Setiap wilayah memiliki aturan berbeda tentang cara SaaS yang menerapkan LLM dalam produksi harus menangani data. Panduan ini adalah panduan praktis — apa yang sebenarnya diwajibkan setiap regulator, apa yang Kunavo sediakan dan tidak sediakan, serta apa yang masih perlu Anda lakukan sendiri. Ini bukan nasihat hukum (untuk itu, konsultasikan dengan pengacara), tetapi merupakan daftar periksa operasional yang benar-benar dibutuhkan sebagian besar tim engineering.
Empat hal universal — berlaku di mana saja
- Pseudonimkan PII sebelum mengirimkannya ke upstream LLM — jangan pernah mengirim nama, email, nomor telepon, atau nomor akun mentah kepada pihak ketiga. Samarkan dengan token stabil, lalu pulihkan secara lokal
- Tandatangani DPA / perjanjian pemrosesan data dengan setiap pemroses yang menangani data pribadi. Kunavo tidak menawarkannya — permintaan diproses di AS dan diteruskan ke penyedia upstream — jadi untuk DPA yang mencakup panggilan LLM, buat kontrak langsung dengan penyedia model (ketentuan enterprise Anthropic, OpenAI, atau Google)
- Pelihara jejak audit — ID permintaan, model yang digunakan, hash prompt, jumlah token, stempel waktu. Log harus dapat dihapus untuk permintaan hak penghapusan
- Perbarui kebijakan privasi Anda — sebutkan pemrosesan AI secara eksplisit, cantumkan subprosesor (Kunavo + penyedia upstream)
Persyaratan khusus wilayah
🇪🇺 Uni Eropa — GDPR (umum)
- DPA Pasal 28 dengan setiap pemroses — Kunavo tidak menawarkannya; untuk panggilan LLM, buat kontrak langsung dengan penyedia model (ketentuan enterprise Anthropic, OpenAI, atau Google)
- Klausul Kontrak Standar (SCC) untuk transfer ke upstream berbasis AS (Anthropic, OpenAI) — klausul tersebut disertakan dalam DPA penyedia sendiri; Kunavo tidak memiliki wilayah UE dan memproses permintaan di AS
- Catatan aktivitas pemrosesan (Pasal 30), termasuk tujuan khusus LLM
- Privasi sejak desain — pseudonimisasi, minimalisasi data, pembatasan tujuan
- Batas waktu pemberitahuan pelanggaran 72 jam jika insiden keamanan berdampak pada subjek di UE
🇩🇪 Jerman — DSGVO + Impressum + DDG
Jerman menambahkan persyaratan di atas GDPR:
- Impressum (§ 5 DDG / § 18 MStV) — publikasikan identitas operator, alamat, kontak, dan otoritas pengawas. Wajib untuk situs yang menargetkan Jerman. Impressum milik Kunavo tersedia di /legal/impressum
- Persetujuan yang lebih ketat untuk pemrosesan data “non-esensial” (persetujuan cookie, analitik)
- Untuk penjualan B2B: aturan reverse charge berlaku di dalam UE. Checkout standar Kunavo tidak menampilkan PPN maupun mengumpulkan ID PPN; untuk dokumen pembukuan, tulis ke contact@kunavo.com
DSGVO-konformer LLM-Einsatz memuat pembahasan mendalam berbahasa Jerman dengan kode penyamaran PII.
🇫🇷 Prancis — RGPD + kekhawatiran kedaulatan AI
- RGPD adalah GDPR; DPA Pasal 28 yang sama berlaku
- CNIL adalah otoritas penegak; perkirakan pengawasan lebih ketat untuk kesehatan/keuangan
- Untuk sektor sensitif (publik, kesehatan, pertahanan): pertimbangkan perutean khusus UE — misalnya Mistral, yang dikontrak secara langsung; Kunavo tidak memiliki wilayah UE dan tidak menawarkan perutean khusus UE
- Kebijakan privasi harus berbahasa Prancis jika melayani konsumen Prancis
Conformité RGPD pour LLM en France untuk pembahasan mendalam berbahasa Prancis.
🇯🇵 Jepang — APPI + tokutei-shoutorihiki
- 特定商取引法 (Undang-Undang Transaksi Komersial Tertentu): terbitkan informasi penjual, kebijakan pengembalian dana, dan metode pembayaran. Wajib untuk B2C di Jepang. Halaman Kunavo di /legal/tokutei-shoutorihiki
- APPI (Undang-Undang Perlindungan Informasi Pribadi) — Kunavo tidak menandatangani perjanjian pemrosesan data; untuk kontrak yang mencakup pemrosesan LLM, hubungi penyedia model secara langsung
- Transfer lintas batas ke upstream AS/UE memerlukan persetujuan atau kontrak
🇰🇷 Korea Selatan — PIPA
- Undang-Undang Perlindungan Informasi Pribadi Korea — salah satu yang paling ketat di dunia
- Persetujuan eksplisit untuk pengumpulan dan transfer lintas batas
- Pemberitahuan privasi berbahasa Korea jika melayani pengguna Korea
🇧🇷 Brasil — LGPD + BACEN untuk fintech
- LGPD (Lei Geral de Proteção de Dados) secara struktural menyerupai GDPR
- Untuk kasus penggunaan PIX / pembayaran, Surat Edaran BACEN 4.018 + 3.978 tentang risiko operasional berlaku — dokumentasikan keputusan model, izinkan keberatan
- Direito ao esquecimento (Pasal 17) — log Anda harus dapat dihapus
Claude untuk analisis risiko PIX di Brasil membahas LGPD + BACEN secara khusus.
🇹🇷 Turki — KVKK
- Undang-Undang Perlindungan Data Pribadi (KVKK) — struktur DPA serupa dengan GDPR
- Transfer data ke luar negeri memerlukan persetujuan eksplisit atau perlindungan yang disetujui KVKK
- Pengendali data harus mendaftar kepada KVKK jika pemrosesan melebihi ambang batas
Zero Data Retention (ZDR) — kapan Anda membutuhkannya
Secara default, Anthropic mencatat prompt selama 30 hari dan Google selama 60 hari untuk pemantauan penyalahgunaan. Untuk beban kerja dengan sensitivitas tinggi (kesehatan, keuangan, pemerintahan, sektor publik UE), penyedia model menawarkan ZDR berdasarkan ketentuan enterprise mereka sendiri. Kunavo tidak menawarkan ZDR, jadi masing-masing hal ini memerlukan kontrak langsung dengan penyedia:
- Anthropic ZDR: untuk pelanggan enterprise Anthropic. Anthropic menghapus prompt dalam 30 detik setelah selesai, tanpa pelatihan, dengan komitmen kontraktual
- Google Vertex AI ZDR + wilayah UE: perutean ke europe-west1 (Belgia) atau europe-west4 (Belanda), data tetap berada di UE, ZDR tersedia
- OpenAI ZDR: hanya tingkat Enterprise
Permintaan yang dikirim melalui Kunavo diproses di AS dan diteruskan ke penyedia upstream, yang kebijakan retensi datanya sendiri berlaku; Kunavo tidak dapat mengaktifkan ZDR atau perutean wilayah UE untuk mereka. Beban kerja yang memerlukan salah satunya harus menggunakan kontrak langsung dengan penyedia model.
Apa yang disediakan Kunavo vs apa yang tetap menjadi tanggung jawab Anda
| Tanggung jawab | Kunavo | Anda |
|---|---|---|
| DPA dengan penyedia model | Tidak ditawarkan | ✓ (kontrak langsung dengan penyedia) |
| Pseudonimisasi PII dalam prompt | ✓ | |
| Log audit tingkat permintaan | ✓ (pihak Kunavo) | ✓ (pihak Anda) |
| ZDR atau perutean wilayah UE | Tidak ditawarkan | ✓ (ketentuan enterprise penyedia) |
| Kebijakan privasi yang menyebutkan subprosesor | ✓ | |
| Hak penghapusan atas data Anda | ✓ | |
| Dokumen pembukuan untuk isi ulang | Tulis ke contact@kunavo.com |
Daftar periksa audit 30 menit
- Memerlukan DPA untuk panggilan LLM? Kunavo tidak menandatanganinya — buat kontrak langsung dengan penyedia model (ketentuan enterprise Anthropic, OpenAI, atau Google)
- Tambahkan langkah pseudonimisasi PII sebelum setiap panggilan LLM (kode template dalam pembahasan mendalam khusus wilayah)
- Pastikan log audit Anda merekam request_id, prompt_hash, model, tokens, timestamp — dan dapat dihapus
- Perbarui kebijakan privasi: cantumkan "Kunavo" + penyedia upstream sebagai subprosesor, sebutkan tujuan (klasifikasi, pembuatan, dll.)
- Publikasikan pemberitahuan khusus wilayah: Impressum (DE), tokutei-shoutorihiki (JP) — pemberitahuan milik Kunavo tersedia di /legal sebagai contoh format
- Jika berada di sektor sensitif: atur ZDR secara langsung dengan penyedia model (Kunavo tidak menawarkannya)
- Tetapkan jadwal peninjauan bulanan — peraturan dan vendor terus berubah, sehingga retensi log audit Anda mungkin perlu disesuaikan
Jangan panik, tetapi jangan melewatkannya
Untuk sebagian besar SaaS B2C tanpa data kategori khusus, empat hal universal + kebijakan privasi yang diperbarui akan membawa Anda 95% menuju kepatuhan. Sisa 5% — pemberitahuan khusus sektor, ZDR, upstream berdaulat — mulai berlaku ketika Anda berkembang atau memasuki industri yang diatur.
Pertanyaan umum
Apakah Kunavo menandatangani DPA (perjanjian pemrosesan data)?
Tidak. Kunavo tidak menawarkan perjanjian pemrosesan data GDPR Pasal 28, Klausul Kontrak Standar, atau residensi data di UE. Permintaan diproses di AS dan diteruskan ke penyedia model upstream, yang kebijakan privasi dan retensi datanya sendiri mengatur apa yang mereka lakukan terhadap konten tersebut. Tim yang memerlukan DPA harus membuat kontrak langsung dengan penyedia model berdasarkan ketentuan enterprise Anthropic, OpenAI, atau Google.
Berapa lama penyedia LLM menyimpan prompt secara default?
Secara default, Anthropic mencatat prompt selama 30 hari dan Google selama 60 hari untuk pemantauan penyalahgunaan. Zero Data Retention menghapus jangka waktu tersebut, tetapi harus diatur langsung dengan setiap penyedia model; Kunavo tidak menawarkannya.
Bagaimana cara mendapatkan Zero Data Retention (ZDR) untuk panggilan API LLM?
Buat kontrak langsung dengan penyedia model: Kunavo tidak menawarkan Zero Data Retention, karena permintaan yang dikirim melaluinya diproses di AS dan diteruskan ke penyedia upstream berdasarkan kebijakan retensi mereka sendiri. Anthropic menawarkan ZDR kepada pelanggan enterprise dan kemudian menghapus prompt dalam 30 detik setelah selesai, tanpa pelatihan dan dengan komitmen kontraktual. Google Vertex AI menawarkan ZDR dengan perutean wilayah UE ke europe-west1 (Belgia) atau europe-west4 (Belanda). OpenAI ZDR hanya tersedia pada tingkat Enterprise.
Apa pekerjaan kepatuhan minimum untuk meluncurkan fitur LLM?
Empat hal berlaku di setiap wilayah: pseudonimkan PII sebelum mencapai upstream LLM, tandatangani perjanjian pemrosesan data, simpan jejak audit (ID permintaan, model, hash prompt, jumlah token, stempel waktu) yang dapat dihapus untuk permintaan hak penghapusan, dan perbarui kebijakan privasi untuk menyebutkan pemrosesan AI serta mencantumkan subprosesor. Untuk sebagian besar SaaS B2C tanpa data kategori khusus, keempat hal tersebut ditambah DPA mencakup sekitar 95% persyaratan.
Negara mana yang memerlukan pemberitahuan tambahan di luar GDPR untuk produk AI?
Jerman mewajibkan Impressum berdasarkan § 5 DDG / § 18 MStV. Jepang mewajibkan pemberitahuan 特定商取引法 yang mencantumkan identitas penjual, kebijakan pengembalian dana, dan metode pembayaran untuk B2C. PIPA Korea Selatan mewajibkan pemberitahuan privasi berbahasa Korea dan persetujuan eksplisit untuk transfer lintas negara. LGPD Brasil menambahkan Surat Edaran BACEN 4.018 dan 3.978 untuk PIX dan kasus penggunaan pembayaran. KVKK Turki mewajibkan persetujuan eksplisit atau perlindungan yang disetujui KVKK untuk transfer data ke luar negeri.