Rantai Sub-Prosesor dan Transfer Lintas Batas pada Migrasi HR ke SaaS

Pemetaan harus dilakukan per jalur, bukan per vendor.

Jalur	Tujuan	Mekanisme yang dapat dipertahankan
CloudHR (data center utama)	Singapura	Indonesia belum memiliki daftar negara dengan tingkat pelindungan setara yang dapat dirujuk secara pasti, sehingga jalur yang realistis adalah jaminan pelindungan yang memadai dan mengikat dalam kontrak (klausul transfer, kewajiban kerahasiaan, audit, breach notification), disertai transfer impact assessment yang mendokumentasikan risiko akses pemerintah dan hukum setempat.
Replika failover	Frankfurt (UE)	Argumen tingkat pelindungan setara dapat dibangun karena GDPR, tetapi tetap harus didokumentasikan, termasuk penjelasan bahwa failover benar-benar aktif (bukan sekadar cadangan pasif) dan siapa yang dapat mengaksesnya.
SupportPro	Manila	Transfer berantai (onward transfer). CloudHR tetap bertanggung jawab; dibutuhkan persetujuan dan perjanjian aliran ke bawah dengan kewajiban yang setara, plus pemberitahuan kepada PT Logistik Nusantara.
Penanggung asuransi	Hong Kong	Bukan sekadar transfer; ini pengungkapan kepada pengendali lain untuk tujuan klaim. Dibutuhkan dasar pemrosesan sendiri (pelaksanaan kontrak kerja/asuransi), pemberitahuan kepada karyawan beserta penerima data, dan perjanjian pengendali-ke-pengendali. Klaim medis keluarga mencakup data kesehatan, sehingga memerlukan persetujuan eksplisit dan pengamanan lebih ketat.

Persetujuan subjek data adalah pilihan terakhir dalam hierarki, bukan titik awal. Menggunakan persetujuan karyawan untuk seluruh transfer juga bermasalah karena hubungan kerja membuat persetujuan rawan dianggap tidak bebas (tidak freely given).

Klausul minimum yang wajib ada:

1. Sub-prosesor: daftar lengkap dan mutakhir, kewajiban pemberitahuan sebelumnya (misalnya 30 hari), hak menolak, dan aliran kewajiban yang setara ke bawah.
2. Lokasi data dan pembatasan akses: negara penyimpanan dan pemrosesan, siapa yang dapat mengakses dari mana, kewajiban pemberitahuan bila lokasi berubah.
3. Keamanan: enkripsi saat disimpan dan dikirim, manajemen kunci, kontrol akses berbasis peran, logging.
4. Notifikasi insiden: tenggat jelas (misalnya maksimum 24 jam ke PT Logistik Nusantara) dengan isi minimum yang disepakati, agar kewajiban 3x24 jam kepada subjek data dan otoritas tetap dapat dipenuhi.
5. Audit: hak audit dan inspeksi, termasuk audit jarak jauh, akses laporan SOC 2 Type II, hasil pentest, dan kuesioner keamanan; penolakan menyeluruh tidak dapat diterima.
6. Bantuan pemenuhan hak subjek data dan dukungan penilaian dampak.
7. Pengembalian dan penghapusan data saat berakhir, dengan bukti tertulis.
8. Tanggung jawab dan ganti rugi, serta hak penghentian bila terjadi pelanggaran material.
9. Kewajiban transparansi: pemberitahuan privasi PT Logistik Nusantara harus menyebut negara tujuan dan kategori penerima.

Soal penolakan audit. Kebijakan global bukan alasan yang memadai untuk meniadakan hak audit pengendali. Jalur yang dapat diterima: audit jarak dengan akses wawancara dan bukti, ditambah sertifikasi pihak ketiga dan ringkasan hasil pentest. Bila vendor tetap menolak semua bentuk verifikasi, itu sendiri adalah temuan risiko tinggi yang harus dilaporkan ke komite risiko dan menjadi dasar mempertimbangkan penyedia alternatif atau klausul exit.

Penambahan sub-prosesor tanpa pemberitahuan adalah pemrosesan yang tidak sah menurut perjanjian dan menciptakan paparan transfer lintas batas yang belum dinilai.

Langkah penanganan:

1. Minta pengungkapan penuh secara tertulis: sejak kapan aktif, data apa yang diakses, siapa personelnya, di mana data disimpan dan dicadangkan, dan apakah ada sub-prosesor lanjutan di bawah SupportPro.
2. Uji tuntas: penilaian risiko Manila (akses dari jarak jauh atau data dikirim ke sana), kontrol akses, dan dasar transfer. Bila akses hanya lewat sesi jarak jauh tanpa penyimpanan lokal, risikonya berbeda dan harus didokumentasikan.
3. Ambil keputusan: meratifikasi hanya bila uji tuntas lulus dan perjanjian aliran ke bawah ditandatangani; jika tidak, minta SupportPro dikeluarkan dari rantai dan datanya dihapus.
4. Perbarui dokumentasi: catatan aktivitas pemrosesan, pemetaan aliran data, dan pemberitahuan privasi karyawan.
5. Eskalasi vendor: catat pelanggaran pemberitahuan sebagai temuan manajemen vendor, dengan konsekuensi kontraktual.

Boleh go-live bulan depan? Hanya bila seluruh syarat ini terpenuhi: perjanjian pemrosesan data diperbarui, pemetaan aliran data selesai, mekanisme transfer untuk tiap jalur terdokumentasi (termasuk penilaian dampak transfer), bukti audit alternatif diterima, dan SupportPro disahkan atau dihapus. Mengaktifkan sistem produksi untuk 4.500 karyawan tanpa itu berarti menerima risiko yang tidak terukur atas data gaji dan klaim medis keluarga.

Keputusan yang dapat dipertahankan: tunda go-live untuk modul klaim medis dan penggajian, atau jalankan bertahap hanya setelah dokumen tersedia - bukan go-live penuh dengan janji perbaikan menyusul.