# Data Processing Agreement

{/* Generated from api-calc/src/legal/dpa-v1.md by scripts/generate-dpa-page.mjs.
    Do not edit here: the agreement, this page and the downloadable PDF are the
    same text by construction, and an edit in one place is how they stop being. */}

# Perjanjian Pemrosesan Data, versi 1

_Berlaku mulai 2026-09-20. AstroWay API, api.astroway.info._

## 1. Siapa kami dan apa yang dicakup ini

Perjanjian ini adalah antara **kamu, Pelanggan**, bertindak sebagai pengendali data, dan
**Maksym Burkhan, pengusaha perorangan (ФОП), Ukraina**, yang mengoperasikan
`api.astroway.info` sebagai pemroses datamu berdasarkan Pasal 28 GDPR.

Ini berlaku selama akunmu ada dan kamu mengirimkan permintaan ke API,
dan ini hanya mengatur data yang kamu kirimkan melalui API. Detail akunmu sendiri
adalah masalah terpisah, di mana kami adalah pengendali dan [kebijakan privasi](/privacy) kami berlaku.

## 2. Apa yang kami proses, dan mengapa

**Pokok bahasan dan tujuan.** Kamu mengirimkan data kelahiran ke API: tanggal,
waktu jam, zona waktu atau offset, dan koordinat. Kami menghitung hasil
astrologi dan mengembalikannya. Itulah seluruh tujuannya, dan panggilan API adalah instruksimu.

**Kategori subjek data.** Pengguna akhirmu, atau siapa pun yang momen kelahirannya
kamu kirimkan.

**Jenis data.** Tanggal dan waktu lahir, koordinat, serta kolom `name` dan `city`
yang opsional. **`name` dan `city` tidak pernah disimpan**: keduanya disimpan
dalam memori selama durasi permintaan dan tidak ditulis di mana pun.

**Durasi.** Selama akunmu aktif, tunduk pada bagian 9.

**Apa yang kami catat tentang panggilan, bukan tentang orangnya.** Endpoint, method,
status, latensi, jumlah byte, ringkasan (digest) IP address pemanggil yang tidak
dapat dibalikkan dan telah diberi salt serta 16 bit pertama dari alamat tersebut,
User-Agent, origin, serta negara, kota, dan operator jaringan secara kasar.
Kami menyimpannya selama 30 hari.

## 3. Apa yang kami janjikan

- Kami memproses datamu **hanya berdasarkan instruksi terdokumentasi darimu**,
  yaitu panggilan API yang kamu buat dan instruksi tertulis apa pun yang kamu
  kirimkan kepada kami, kecuali jika hukum UE atau negara anggota mensyaratkan
  lain, dalam hal ini kami akan memberitahumu sebelum memproses kecuali jika
  hukum tersebut melarangnya.
- **Jika suatu instruksi terlihat melanggar hukum bagi kami, kami akan segera
  menyatakannya** daripada melaksanakannya secara diam-diam.
- Layanan ini dioperasikan oleh satu orang, yang **terikat pada kerahasiaan**
  dan merupakan satu-satunya manusia dengan akses administratif.
- Kami menjaga **langkah-langkah keamanan di bagian 5**.
- Kami membantumu menjawab permintaan subjek data, dan membantu kewajibanmu
  berdasarkan Pasal 32 hingga 36, **sejauh hal itu mungkin dan dengan
  mempertimbangkan apa yang kami miliki**. Kualifikasi itu adalah milik hukum
  itu sendiri, dan di sini konkretnya: kami tidak menyimpan nama, email, dan
  pengidentifikasi apa pun untuk pengguna akhirmu, jadi kami biasanya tidak
  dapat menemukan baris data satu orang di pihak kami. Kamu bisa, melalui
  catatanmu sendiri, dan `DELETE /v1/me/account` menghapus semua yang kami
  miliki untuk akunmu.
- Kami tidak menggunakan datamu untuk tujuan kami sendiri, tidak menjualnya,
  dan tidak menggunakannya untuk melatih model.

## 4. Sub-pemroses

Dua, dan mereka adalah infrastrukturnya:

| Sub-pemroses | Peran | Lokasi |
|---|---|---|
| Hetzner Online GmbH | komputasi, database, dan penyimpanan file | Nuremberg, Jerman |
| Cloudflare, Inc. | CDN, DNS, dan perlindungan DDoS, dengan aturan cache wilayah UE | Perusahaan AS, edge UE melayani lalu lintas UE |

Kami membebankan kewajiban perlindungan data yang sama kepada mereka seperti
yang kami emban di sini, dan kami **tetap bertanggung jawab penuh kepadamu**
atas apa yang mereka lakukan.

Kamu memberikan otorisasi umum untuk kedua ini. Kami akan memberitahumu melalui
email sebelum menambahkan atau mengganti salah satunya, dan kamu dapat
mengajukan keberatan berdasarkan alasan perlindungan data yang wajar; jika kami
tidak dapat menyelesaikan keberatan tersebut, kamu dapat berhenti menggunakan
layanan dan kami akan mengembalikan dana bagian yang tidak terpakai dari
periode yang telah kamu bayar.

**Vendor pembayaran dan email kami sengaja tidak ada dalam tabel itu**, karena
mereka tidak pernah melihat data yang dicakup oleh perjanjian ini. Brevo
mengirimkan email transaksional kepadamu, dan Monobank menerima pembayaran
kartu, dengan LiqPay akan ditambahkan pada Oktober 2026. Keduanya berkaitan
dengan akunmu daripada pengguna akhirmu, jadi mereka disebutkan dalam kebijakan
privasi sebagai gantinya.

## 5. Keamanan

- Transport hanya TLS, dan HTTP biasa dialihkan.
- Kata sandi di-hash dengan bcrypt dan kunci API disimpan dalam bentuk hash.
- Alamat IP disimpan hanya sebagai SHA-256 yang diberi salt, dihitung saat
  baris ditulis. Salt berada di lingkungan server, tidak pernah dalam kode.
- Akun database dipisahkan per konsumen, masing-masing dengan izin paling
  terbatas yang berfungsi, dan database hanya mendengarkan pada loopback.
- Cadangan dienkripsi dengan AES-256 sebelum meninggalkan mesin.
- Akses administratif menggunakan kunci SSH, satu orang, tidak ada kredensial
  bersama.

**Apa yang tidak kami miliki**, karena mengklaimnya akan lebih buruk daripada
mengatakannya: kami tidak memiliki laporan SOC 2 dan sertifikat ISO 27001
sendiri. Hetzner memiliki ISO/IEC 27001 untuk pusat data tempat server kami
berada.

## 6. Transfer, dinyatakan dengan jelas

Datamu diproses di server di **Nuremberg, Jerman**, dan kami tidak
mereplikasinya di luar EEA.

Namun demikian, kami didirikan di **Ukraina**, yang tidak memiliki keputusan
kecukupan berdasarkan Pasal 45. Berdasarkan Pedoman EDPB 05/2021, hal itu saja
menjadikan ini transfer ke negara ketiga, begitu pula akses administratif dari
Ukraina ke server Jerman tersebut, karena akses jarak jauh dihitung bahkan
ketika tidak ada yang disalin. Jadi kami tidak memberitahumu bahwa tidak ada
transfer lintas batas; ada, dan inilah yang mencakupnya.

Kami mengadakan **Klausul Kontrak Standar dari Keputusan Pelaksanaan (EU)
2021/914, Modul Dua (pengendali ke pemroses)**, yang digabungkan ke dalam
perjanjian ini melalui referensi dan berlaku di atasnya jika keduanya
bertentangan. Bagian 2, 5, dan 4 dari perjanjian ini berfungsi sebagai Lampiran
I, II, dan III secara berturut-turut. Salinan yang ditandatangani yang
menyebutkan kedua belah pihak tersedia berdasarkan permintaan di
`legal@astroway.info`.

Apa yang ditransfer dalam praktiknya adalah akses administratif terautentikasi
ke sistem di Jerman, bukan ekspor database.

## 7. Menunjukkan bahwa kami mematuhi

Kami memberimu informasi yang kamu butuhkan untuk menunjukkan kepatuhan terhadap
Pasal 28 melalui perjanjian ini dan deskripsi keamanan kami di atas, dan kami
akan melengkapi **satu kuesioner keamanan tertulis yang wajar dalam periode
dua belas bulan mana pun** tanpa biaya.

Jika itu tidak cukup, kamu dapat mengaudit kepatuhan terhadap perjanjian ini
sekali dalam periode dua belas bulan mana pun, dengan pemberitahuan tertulis
tiga puluh hari, **secara jarak jauh**, selama jam kerja, hanya mencakup
pemrosesan yang kami lakukan untukmu dan tidak pernah data pelanggan lain. Kamu
menanggung biaya audit dan auditor mana pun yang kamu tunjuk. Batasan ini
tidak berlaku jika otoritas pengawas memerlukan inspeksi.

## 8. Jika terjadi pelanggaran

Kami memberitahumu **tanpa penundaan yang tidak semestinya** setelah menyadari
adanya pelanggaran data pribadi yang memengaruhi data yang kami proses untukmu,
melalui email ke alamat akunmu. Pemberitahuan pertama mungkin tidak lengkap,
dan kami akan menindaklanjuti saat kami mengetahui lebih banyak.

Kami tidak memiliki detail kontak untuk pengguna akhirmu, jadi pemberitahuan
kepada mereka berdasarkan Pasal 34 tetap menjadi tanggung jawabmu.

## 9. Mengakhirinya

Ketika akunmu berakhir, beritahu kami apakah kamu ingin data yang kami miliki
untukmu dikembalikan atau dihapus, dan kami akan melakukannya. Jika kamu tidak
memberitahu kami apa pun, kami akan menghapusnya.

Satu-satunya pengecualian adalah apa yang diwajibkan oleh undang-undang pajak
untuk kami simpan: catatan pembayaran, selama 1095 hari berdasarkan §44.3 dari
Kode Pajak Ukraina. Tiga tahun, bukan tujuh tahun seperti yang diperkirakan
dalam draf teks sebelumnya. Pasal 17(3)(b) GDPR meninggalkan catatan yang
disimpan untuk kewajiban hukum di luar hak untuk penghapusan, itulah sebabnya
permintaan penghapusan tidak mencakupnya.

## 10. Menerima perjanjian ini

Kamu menerimanya di dasbormu, dan catatan penerimaan itu menyebutkan akunmu,
versi, dan momennya. Pasal 28(9) mensyaratkan kontrak harus dalam bentuk
tertulis, "termasuk dalam bentuk elektronik", sehingga catatan itu adalah
kontrak dan tidak ada yang perlu ditunggu. PDF yang dapat kamu unduh membawa
catatan yang sama. Salinan kertas yang ditandatangani bersama tersedia
berdasarkan permintaan.

Jika kami mengubah teks ini secara material, itu menjadi versi baru dan kami
memintamu untuk menerima versi tersebut; versi yang kamu terima tetap menjadi
versi yang kamu setujui.