Pertanyaan "data kami disimpan di mana?" sering muncul saat SaaS lokal mulai menjual ke enterprise, sektor publik, fintech, healthtech, pendidikan, atau perusahaan yang punya kebijakan internal ketat. Founder kadang menjawab terlalu cepat: "di cloud aman." Untuk buyer, jawaban itu belum cukup.
Data residency, data localization, dan sovereign cloud adalah topik yang sering bercampur. Founder tidak harus menjadi ahli regulasi cloud, tetapi perlu memahami istilah, tahu data apa yang diproses, bisa menjelaskan region/vendor, dan tidak membuat janji kontrak yang belum sanggup dipenuhi.
Artikel ini bukan nasihat hukum. Untuk kewajiban sektor tertentu, transfer data lintas negara, atau kontrak besar, libatkan counsel dan advisor compliance.
Bedakan istilah
Data residency biasanya berarti lokasi fisik atau yurisdiksi tempat data disimpan atau diproses. Data localization biasanya berarti kewajiban menyimpan data di wilayah tertentu. Sovereign cloud biasanya merujuk pada layanan cloud yang dirancang untuk memenuhi kontrol kedaulatan data, akses, operasional, atau kepatuhan tertentu.
Buyer bisa memakai istilah ini secara longgar. Tugas founder adalah mengklarifikasi:
- apakah mereka bertanya lokasi data
- apakah ada aturan internal/regulasi
- apakah data boleh diproses di luar negeri
- apakah support vendor luar negeri boleh akses
- apakah hanya data tertentu yang harus tinggal di Indonesia
Jangan langsung mengubah arsitektur sebelum memahami kebutuhan sebenarnya.
Mulai dari data map
Data residency tidak bisa dijawab tanpa data map:
- kategori data
- data pribadi atau bukan
- data bisnis sensitif atau bukan
- lokasi penyimpanan utama
- lokasi backup
- vendor/subprocessor
- akses internal
- akses vendor luar negeri
- proses export/deletion
Jika data map belum ada, jawaban ke buyer akan kabur. Gunakan data map dari artikel UU PDP sebagai dasar.
Pertanyaan buyer yang perlu dijawab
Siapkan jawaban untuk:
- cloud provider apa yang dipakai
- region apa yang dipakai
- backup disimpan di mana
- log disimpan di mana
- vendor apa yang menerima data
- apakah data diproses oleh AI/tool pihak ketiga
- apakah support vendor bisa melihat data
- apakah ada data transfer lintas negara
- bagaimana data diekspor atau dihapus
Jawaban ini harus konsisten dengan privacy policy, kontrak, dan security questionnaire.
UU PDP dan transfer data
UU No. 27 Tahun 2022 mengatur pelindungan data pribadi dan memuat ketentuan mengenai transfer data pribadi. Untuk interpretasi kewajiban spesifik, founder perlu counsel, terutama jika transfer lintas negara, data sensitif, atau sektor regulated terlibat.
Rujukan awal: UU No. 27 Tahun 2022 di peraturan.go.id dan metadata/abstrak BPK.
Secara operasional, founder bisa mulai dengan:
- tahu data apa yang lintas region/vendor
- tahu dasar pemrosesan dan instruksi pelanggan
- mencatat vendor/subprocessor
- menyiapkan klausul kontrak data
- menghindari tool yang mengirim data sensitif tanpa review
- menyiapkan export/deletion process
Cloud region bukan satu-satunya jawaban
Memakai region Indonesia bisa membantu menjawab sebagian pertanyaan residency, tetapi bukan seluruh compliance. Buyer juga akan bertanya:
- siapa operator cloud
- siapa yang bisa akses
- apakah backup ikut di region yang sama
- apakah log atau analytics keluar region
- apakah support global bisa mengakses metadata
- apakah vendor lain menerima data
Arsitektur modern sering punya banyak layanan. Jika database di Indonesia tetapi error logging, analytics, email, atau AI tool menerima data di region lain, jawaban "semua data di Indonesia" bisa salah.
Kapan perlu arsitektur terpisah
Beberapa pelanggan mungkin meminta:
- dedicated environment
- single-tenant deployment
- region tertentu
- no cross-border processing
- private connectivity
- customer-managed key
- restricted support access
Ini bisa mahal. Jangan menjanjikan tanpa pricing dan scope. Untuk startup kecil, tawarkan fase:
- pilot dengan data terbatas
- masking/anonymization
- region yang tersedia
- export/import manual
- dedicated environment sebagai paket enterprise
Checklist data residency
- data map tersedia
- region utama tercatat
- backup region tercatat
- log/analytics vendor dicatat
- AI/support tool direview
- subprocessor list tersedia
- kontrak menyebut data handling
- buyer requirement diklarifikasi tertulis
- gap dicatat sebelum proposal
- counsel dilibatkan untuk kewajiban lintas negara atau regulated sector
Cara menjawab buyer
Contoh jawaban:
"Saat ini data aplikasi utama disimpan di [region/provider]. Backup disimpan di [lokasi]. Beberapa vendor pendukung seperti [kategori vendor] dapat memproses metadata atau data support terbatas. Kami bisa membagikan subprocessor list dan data flow. Jika ada requirement data tidak boleh keluar Indonesia, kami perlu scope tertulis agar bisa menilai arsitektur dan biaya."
Jawaban ini lebih baik daripada "bisa" tanpa syarat. Ia membuka diskusi scope.
Decision rule untuk founder
- Jika pertanyaan hanya procurement umum, jawab dengan data flow dan region.
- Jika buyer punya kebijakan internal, minta dokumen requirement.
- Jika sektor regulated, libatkan counsel.
- Jika butuh arsitektur khusus, pisahkan pricing enterprise.
- Jika nilai kontrak kecil tetapi requirement berat, pertimbangkan menolak atau menunda.
Data residency sheet
Buat tabel:
- System: database utama
- Data: akun, transaksi, konfigurasi
- Region: region cloud utama
- Backup: region dan retention
- Vendor access: siapa bisa akses
- Customer export: tersedia atau belum
- Notes: gap atau requirement khusus
Tambahkan baris untuk:
- object storage
- log/error monitoring
- analytics
- support tool
- email provider
- payment provider
- AI tool
- warehouse/BI
Tabel ini sering membuka kejutan. Banyak tim hanya memikirkan database utama, padahal log, support ticket, atau analytics juga bisa berisi data pelanggan.
Arsitektur bertahap
Jika buyer meminta residency ketat, jangan langsung membangun dedicated environment. Pertimbangkan tahap:
- Tahap 1: dokumentasi data flow dan subprocessor
- Tahap 2: batasi data sensitif di tool pihak ketiga
- Tahap 3: pindahkan database/storage ke region yang diminta
- Tahap 4: pisahkan environment untuk akun enterprise
- Tahap 5: kontrol akses/support yang lebih ketat
Setiap tahap punya biaya. Masukkan ke pricing enterprise jika kebutuhan muncul dari satu akun besar.
Klausul kontrak yang perlu diperhatikan
Minta counsel membaca klausul tentang:
- lokasi penyimpanan data
- transfer data lintas negara
- subprocessor notification
- akses vendor dan support
- deletion setelah kontrak
- audit rights
- incident notification
Jangan menyetujui "data tidak boleh keluar Indonesia" jika logging, support, email, atau AI tool masih mengirim data ke luar. Kontrak harus sesuai arsitektur nyata.
Pertanyaan klarifikasi untuk buyer
Sebelum menjawab "bisa", tanyakan:
- data apa yang wajib tinggal di lokasi tertentu?
- apakah requirement berlaku untuk backup dan log?
- apakah metadata support termasuk?
- apakah vendor global boleh mengakses untuk troubleshooting?
- apakah pilot boleh memakai data dummy atau terbatas?
- apakah requirement berasal dari regulasi, kebijakan internal, atau preferensi procurement?
Jawaban buyer menentukan scope. Requirement regulasi dan preferensi internal perlu diperlakukan berbeda, dan keduanya perlu ditulis sebelum masuk proposal.
Langkah berikutnya
Buat data residency sheet satu halaman: data category, system, vendor, region, backup, access, dan notes. Isi untuk database utama, storage, logs, analytics, support, email, payment, dan AI tools. Dari sana, founder bisa menjawab buyer dengan fakta, bukan asumsi.