Tim keamanan membeli aplikasi baru karena ada ancaman yang harus ditangani cepat. Vendor menawarkan uji coba, procurement menyetujui kartu kredit perusahaan, akun enterprise aktif, lalu invoice masuk pada akhir bulan.
Di dashboard, produknya disebut endpoint security, threat intelligence, identity protection, cloud security, vulnerability management, atau security SaaS.
Bagi pengguna, fungsi produknya jelas. Bagi tim pajak, nama kategori itu belum menjawab apa yang sebenarnya dibayar.
Per 13 Agustus 2026, pembelian software dan layanan keamanan dari penyedia digital, khususnya vendor luar negeri, perlu dibaca bersama kontrak atau Terms of Service. Dokumen yang sering dilewati dengan klik “I agree” justru dapat menjelaskan entitas penjual, hak pelanggan, model lisensi, layanan dukungan, lokasi kontraktual, pajak yang dibebankan, serta kondisi perubahan layanan.
Satu halaman invoice tidak selalu membawa seluruh informasi tersebut.
Terms of Service bukan dokumen legal yang terpisah dari pajak
Di banyak perusahaan, tax meminta kontrak. Tim IT menjawab bahwa tidak ada kontrak yang ditandatangani karena produk dibeli secara online.
Padahal hubungan hukumnya tetap ada.
Master Subscription Agreement, Terms of Service, Product Terms, Order Form, Data Processing Addendum, Acceptable Use Policy, dan halaman billing dapat bersama-sama membentuk paket kontraktual.
Bagi tax, dokumen tersebut membantu menjawab beberapa pertanyaan dasar.
Siapa badan hukum yang menjual layanan?
Negara mana yang menjadi domisili pihak tersebut?
Apakah pelanggan mendapat akses ke layanan atau hak menggunakan software tertentu?
Apakah perusahaan memperoleh hak menyalin, memodifikasi, mendistribusikan, atau melakukan eksploitasi lain atas program?
Apakah support termasuk dalam harga?
Apakah ada implementation service, consulting, training, atau managed security service?
Apakah billing dilakukan oleh vendor yang sama atau reseller lain?
Apakah harga sudah mencakup pajak?
Tanpa jawaban itu, tax code di ERP lebih banyak berdasarkan tebakan daripada transaksi.
Cybersecurity dapat dibeli dalam model yang sangat berbeda
Ambil tiga produk yang sama-sama dipakai untuk melindungi jaringan.
Produk pertama adalah SaaS standar. Pelanggan login ke dashboard dan memakai fitur sesuai jumlah user atau endpoint.
Produk kedua berupa software yang diinstal pada lingkungan pelanggan dengan hak penggunaan tertentu dan biaya lisensi tahunan.
Untuk memperluas konteks pada bagian ini, lihat AI Generated Content untuk Bisnis: Biaya Tool, Freelancer, dan Lisensi Perlu Dipisahkan.
Produk ketiga adalah managed detection and response. Vendor bukan hanya memberi platform, tetapi tim manusianya memonitor alert, menganalisis insiden, dan memberi respons selama periode layanan.
Secara operasional, ketiganya termasuk “security”.
Secara pajak, substansinya tidak identik.
Karena itu, perusahaan sebaiknya tidak membuat satu rule “semua cybersecurity = SaaS”.
Baca hak dan aktivitas vendor.
Akses software berbeda dari hak atas software
Salah satu isu yang berulang dalam transaksi teknologi adalah perbedaan antara akses menggunakan software dan pemberian hak tertentu atas kekayaan intelektual.
Kata “license” sering muncul bahkan pada layanan cloud yang secara praktis hanya memberi hak terbatas kepada pelanggan untuk menggunakan platform sesuai Terms of Service.
Sebaliknya, ada transaksi yang benar-benar memberikan hak lebih luas terhadap program, dokumentasi, database, atau teknologi tertentu.
Untuk pembayaran lintas negara, perbedaan ini penting karena karakter penghasilan dapat memengaruhi analisis PPh Pasal 26 dan pasal P3B yang relevan.
DJP menempatkan royalti dan imbalan jasa sebagai kategori pembayaran yang perlu diperhatikan dalam PPh Pasal 26. Namun menentukan kategori pada transaksi software tidak boleh hanya berdasarkan satu kata di invoice.
Pembahasan yang masih berada dalam jalur isu yang sama dapat dilanjutkan ke Pembayaran Royalti vs Jasa Teknologi: Salah Klasifikasi Bisa Mengubah Withholding Tax.
Tax perlu membaca apa yang secara hukum diberikan kepada pelanggan.
Jika kontrak menyatakan pelanggan tidak memperoleh kepemilikan, tidak boleh menyalin kecuali untuk penggunaan yang sangat terbatas, tidak boleh mendistribusikan, dan hanya menerima akses ke fungsi layanan, fakta itu berbeda dari kontrak yang memberikan hak reproduksi atau eksploitasi tertentu.
Hasil akhirnya tetap perlu dinilai berdasarkan aturan domestik dan P3B yang berlaku untuk negara vendor.
P3B tidak boleh diterapkan dari dropdown negara saja
Perusahaan kadang sudah membuat tax matrix untuk vendor luar negeri.
Vendor Singapura masuk baris Singapura. Vendor Amerika Serikat masuk baris Amerika Serikat. Sistem kemudian mengambil tarif treaty yang dianggap sesuai.
Model itu terlalu sederhana jika tidak disertai pengujian syarat.
P3B bukan diskon otomatis berdasarkan alamat vendor.
Per 2026, tata cara penerapan P3B mengacu pada PMK 112 Tahun 2025. DJP menyatakan penggunaan Formulir DGT dan pengunggahan informasi melalui menu SKD WPLN di Coretax untuk penerapan manfaat treaty.
Selain dokumen domisili, perusahaan tetap perlu memastikan bahwa karakter penghasilan dan ketentuan treaty yang dipakai memang sesuai transaksi.
Terms of Service membantu pada bagian ini karena nama entitas legal dan hak yang diberikan sering tercantum di sana, sementara halaman produk hanya menampilkan brand.
Vendor group bisa mengganti entitas penagih
Risiko lain adalah perubahan kontrak tanpa perubahan merek.
Perusahaan membeli produk keamanan selama tiga tahun. Tahun pertama invoice diterbitkan entitas grup di satu negara. Tahun berikutnya vendor melakukan restrukturisasi billing dan invoice pindah ke entitas lain.
Bagi user, tidak ada yang berubah. Username sama, dashboard sama, produk sama.
Bagi tax, negara penerima penghasilan dapat berubah.
Treaty yang relevan dapat berubah.
Data vendor master perlu diperbarui.
Dokumen Form DGT yang diperlukan dapat berubah.
Rekening pembayaran juga mungkin berubah.
Terms of Service dan notice perubahan kontrak menjadi bukti penting untuk mengetahui kapan perpindahan entitas tersebut berlaku.
Jangan hanya memperbarui nomor rekening tanpa mengulang review pajak.
PPN PMSE perlu diperiksa pada billing, bukan diasumsikan
Untuk produk dan jasa digital dari luar negeri, PPN adalah lapisan yang harus dibaca terpisah.
DJP menjelaskan bahwa pelaku PMSE yang telah ditunjuk sebagai Pemungut PPN PMSE wajib memungut PPN atas pemanfaatan barang kena pajak tidak berwujud dan atau jasa kena pajak dari luar Daerah Pabean di dalam Daerah Pabean melalui PMSE.
Tarif yang ditampilkan DJP untuk pemungut PPN PMSE adalah 12 persen atas dasar pengenaan pajak berupa nilai lain sebesar 11/12 dari nilai uang yang dibayar sebelum PPN.
DJP juga menjelaskan bahwa bukti pemungutan dapat berupa commercial invoice, billing, order receipt, atau dokumen sejenis yang menyebutkan pemungutan PPN dan telah dilakukan pembayaran.
Ini relevan untuk cybersecurity SaaS karena invoice digital sering tidak menyerupai faktur pajak lokal.
Finance perlu menyimpan dokumen billing yang benar, bukan hanya screenshot kartu kredit.
Jika vendor memungut PPN PMSE, pastikan invoice atau receipt yang disimpan mempunyai informasi yang memadai sesuai ketentuan.
Jika tidak ada PPN pada billing, jangan langsung menyimpulkan bahwa transaksi tidak mempunyai isu PPN. Periksa status vendor dan mekanisme yang berlaku terhadap pemanfaatan jasa atau barang tidak berwujud dari luar Daerah Pabean.
Support bisa menjadi bagian kecil yang mengubah pembacaan kontrak
Paket enterprise sering mencantumkan premium support.
Kadang support hanya akses email dan knowledge base. Kadang vendor menyediakan technical account manager, incident response specialist, onboarding, health check, atau konsultasi berkala.
Jika harga satu paket tidak memisahkan komponen, tax perlu memahami apakah layanan tersebut integral terhadap akses software atau merupakan jasa yang secara komersial dapat dibedakan.
Tidak setiap kontrak perlu dipaksa menjadi beberapa transaksi.
Namun perusahaan harus memahami isi paketnya.
Kalau ada invoice terpisah untuk implementation atau professional services, jangan otomatis menyalin tax treatment dari subscription utama.
Satu vendor dapat menerima pembayaran dengan karakter berbeda sepanjang tahun.
Managed security bahkan lebih dekat ke operasi manusia
Managed Security Service Provider atau MSSP dapat mengoperasikan fungsi yang jauh lebih luas dibanding SaaS biasa.
Vendor bisa memantau log, melakukan triage alert, memberi rekomendasi remediation, melakukan threat hunting, sampai membantu respons insiden.
Pada kondisi ini, kontrak perlu menjelaskan di mana pekerjaan dilakukan, siapa yang menyediakan tenaga, apa deliverable-nya, dan apakah ada software atau lisensi yang ikut diberikan.
Jika vendor berada di luar negeri, lokasi dan sifat layanan dapat relevan terhadap analisis PPh dan treaty.
Jika vendor lokal, jenis jasa dan status penerima pembayaran perlu dipetakan terhadap ketentuan pemotongan domestik.
Yang penting adalah tidak menganggap semua invoice dari perusahaan teknologi pasti merupakan pembayaran “software”.
Auto renewal menciptakan risiko pajak yang tidak terlihat
SaaS keamanan sering diperpanjang otomatis.
Dari perspektif operasional, fitur ini mencegah perlindungan berhenti mendadak.
Dari perspektif tax, auto renewal dapat membuat pembayaran berikutnya terjadi tanpa review kontrak baru.
Padahal selama setahun bisa terjadi perubahan:
entitas billing berubah,
harga berubah,
paket produk bertambah,
hak pelanggan berubah,
vendor mulai memungut PPN,
status treaty document habis,
atau perusahaan menambah layanan profesional.
Karena itu, perusahaan dapat membuat review gate sebelum tanggal renewal.
Tidak harus rapat besar. Cukup cek vendor entity, country, product scope, tax invoice, Form DGT bila relevan, kontrak terbaru, dan komponen pembayaran.
Security procurement memang cepat, tetapi tax review tidak harus lambat
Kekhawatiran tim IT biasanya masuk akal: jika setiap tool menunggu review panjang, respons terhadap ancaman menjadi lambat.
Solusinya bukan menghapus tax review, melainkan membuat jalur cepat.
Vendor yang sudah terverifikasi dapat masuk katalog dengan tax profile.
Produk standar dengan kontrak sama dapat memakai rule yang sudah disetujui.
Hanya perubahan material yang masuk exception.
Contohnya perubahan entitas penagih, negara, model lisensi, penambahan professional services, nilai kontrak yang signifikan, atau Terms of Service baru yang mengubah hak.
Dengan desain ini, tax tidak perlu membaca ulang seluruh kontrak setiap bulan. Tetapi perusahaan tetap mempunyai kontrol ketika fakta transaksi berubah.
Simpan versi Terms yang berlaku saat transaksi
Layanan online sering mengubah Terms of Service melalui pembaruan halaman web.
Jika perusahaan hanya menyimpan link, lima tahun kemudian isi halaman itu bisa sudah berbeda.
Untuk transaksi material, pertimbangkan menyimpan versi PDF atau salinan dokumen kontraktual yang berlaku ketika order dibuat atau renewal disetujui. Simpan juga Order Form, invoice, bukti pembayaran, correspondence perubahan entitas, dan dokumen pajak.
Praktik ini selaras dengan kebutuhan pembukuan dan audit trail.
Ketentuan perpajakan mewajibkan penyimpanan buku, catatan, dan dokumen yang menjadi dasar pembukuan atau pencatatan selama 10 tahun. Data elektronik juga dapat menjadi bagian dari dokumen yang diminta dalam proses pemeriksaan.
Kalau bukti kontrak hanya berupa halaman web yang terus berubah, perusahaan akan kesulitan menunjukkan hak dan kewajiban yang sebenarnya berlaku pada tahun transaksi.
Buat tax profile untuk setiap kontrak, bukan setiap brand
Satu brand keamanan global bisa mempunyai banyak produk, entitas, dan model komersial.
Karena itu, tax profile sebaiknya melekat pada kombinasi entitas dan kontrak, bukan nama merek semata.
Minimal catat nama legal vendor, negara, produk, jenis akses, komponen jasa, hak IP, metode billing, status PPN, treaty document, periode kontrak, dan tanggal review terakhir.
Jika ada perubahan, profile diperbarui.
Ini jauh lebih aman daripada rule sederhana seperti “Vendor X selalu PPh sekian”.
Terms of Service adalah peta transaksi
Bagi tim keamanan, Terms of Service mungkin terasa sebagai dokumen yang harus dilewati agar akun segera aktif.
Bagi tim pajak, dokumen itu sering menjadi peta pertama untuk memahami siapa yang dibayar dan apa yang diterima.
Cybersecurity dan SaaS bukan kategori pajak tunggal. Di dalamnya dapat ada akses platform, lisensi, layanan manusia, support, implementation, managed service, dan transaksi lintas negara dengan karakter berbeda.
Membaca Terms tidak berarti tax harus menjadi pengacara teknologi. Tax hanya perlu mengambil fakta yang menentukan perlakuan pajak, lalu menghubungkannya dengan invoice, vendor entity, PPN, PPh, dan treaty.
Jika perusahaan melakukan itu sejak awal, biaya keamanan tetap dapat bergerak cepat tanpa membuat administrasi pajak berjalan dalam gelap.