Kebijakan Privasi

1. Pendahuluan

Kebijakan Privasi ini menjelaskan bagaimana PT INOVASI KSATRIA INDONESIA sebagai pengelola RekberPay mengumpulkan, menggunakan, menyimpan, dan melindungi data pribadi pengguna. Kami berupaya mematuhi Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) serta peraturan turunannya.

Kami menulis halaman ini seapa adanya mungkin, termasuk hal-hal yang belum kami lakukan. Jika ada bagian yang menurut kamu tidak sesuai dengan kenyataan, tolong laporkan ke email resmi kami, [email protected], dan kami perbaiki.

2. Data yang kami kumpulkan

Saat kamu mendaftar dan menggunakan layanan, kami menyimpan:

• Akun: alamat email, nama lengkap, username, kata sandi dalam bentuk hash (kami tidak pernah menyimpan kata sandi asli), nomor telepon jika kamu mengisinya, dan metode pendaftaran (email atau Google).
• Verifikasi identitas (KYC), jika kamu mengajukannya: nama sesuai KTP, Nomor Induk Kependudukan (NIK), jenis dokumen identitas, foto dokumen identitas, foto selfie, nomor WhatsApp, alamat lengkap (provinsi, kota/kabupaten, kecamatan, kelurahan, dan alamat jalan), serta nama bank dan nomor rekening. Untuk akun badan usaha, nama entitas.
• Transaksi: rincian transaksi rekber, pembayaran, penarikan dana beserta data tujuan yang kamu masukkan, riwayat saldo, serta pesan dan lampiran bukti pada chat transaksi dan sengketa.
• Teknis: alamat IP saat login terakhir dan saat kamu menyetujui ketentuan, waktu login, percobaan login yang gagal, dan catatan aktivitas (audit log) berisi perubahan status beserta pelakunya.
• Opsional: tautan profil media sosial (Instagram, Shopee, TikTok Shop) jika kamu mengisinya, kode referral, dan konfigurasi autentikasi dua faktor.

Kami tidak mengumpulkan tanggal lahir, data biometrik selain foto yang kamu unggah sendiri untuk KYC, lokasi GPS, maupun daftar kontak di perangkatmu. Kami juga tidak pernah meminta PIN, OTP, atau kata sandi rekening/e-wallet milikmu; petugas kami tidak akan pernah menanyakannya.

3. Cara kami menggunakan data

Data pribadi digunakan untuk:

• Memverifikasi identitas dan mencegah penipuan serta penyalahgunaan akun.
• Memproses transaksi, pembayaran, dan pencairan dana sesuai instruksimu.
• Menengahi sengketa antara pembeli dan penjual berdasarkan bukti yang diunggah kedua pihak.
• Mengirim notifikasi transaksi dan akun melalui email, in-app, dan WhatsApp bila kamu mengaktifkannya.
• Memberikan dukungan pengguna dan menjawab pertanyaan.
• Memenuhi kewajiban hukum dan menanggapi permintaan resmi aparat yang berwenang.
• Menjaga keamanan sistem, termasuk mendeteksi pola transaksi tidak wajar.

Kami tidak menggunakan data pribadimu untuk mengambil keputusan otomatis yang sepenuhnya tanpa campur tangan manusia. Aturan risiko kami dapat menandai sebuah transaksi atau penarikan untuk ditinjau, tetapi keputusan akhir menahan atau menolak selalu ditinjau oleh tim kami.

4. Dasar pemrosesan

Kami memproses data pribadi atas dasar berikut:

• Pelaksanaan kontrak: data akun dan transaksi, karena tanpanya layanan rekber tidak dapat dijalankan.
• Persetujuan: data KYC, notifikasi WhatsApp, dan cookie analitik. Persetujuan dapat kamu tarik kapan saja, dengan konsekuensi bahwa fitur terkait tidak lagi tersedia.
• Kewajiban hukum: penyimpanan catatan keuangan dan penyampaian data atas permintaan resmi.
• Kepentingan yang sah: pencegahan penipuan dan pengamanan sistem.

5. Pihak ketiga yang memproses data

Kami tidak menjual data pribadi dan tidak menukarkannya untuk kepentingan komersial pihak lain. Untuk menjalankan layanan, data tertentu diproses oleh penyedia berikut:

• Midtrans (PT Midtrans, Indonesia): memproses pembayaran masuk. Menerima data yang diperlukan untuk transaksi pembayaran.
• SendPulse dan Resend: mengirim email transaksional. Menerima alamat email dan isi notifikasi. Server berada di luar Indonesia.
• Meta Platforms (WhatsApp Cloud API): mengirim notifikasi WhatsApp jika kamu menautkan nomormu. Menerima nomor WhatsApp dan isi pesan notifikasi. Server berada di luar Indonesia.
• Google: hanya jika kamu memilih masuk dengan Google. Menerima permintaan autentikasi. Server berada di luar Indonesia.
• Cloudflare (Turnstile): verifikasi anti-bot pada halaman masuk dan daftar. Server berada di luar Indonesia.
• Have I Been Pwned: saat kamu membuat kata sandi, kami mengirim lima karakter pertama dari hash kata sandi (bukan kata sandinya) untuk memeriksa apakah kata sandi tersebut pernah bocor. Layanan ini tidak dapat merekonstruksi kata sandimu dari data tersebut.
• Penyedia analitik (Google Analytics, Meta Pixel): hanya berjalan jika kamu menyetujui cookie analitik. Lihat bagian Cookie di bawah.
• Aparat berwenang: atas perintah atau permintaan resmi sesuai hukum yang berlaku.

Sebagian penyedia di atas memproses data di luar wilayah Indonesia. Untuk transfer semacam itu kami membatasi data yang dikirim hanya pada yang diperlukan untuk fungsi tersebut. Data KYC (foto dokumen, NIK, alamat) tidak dikirim ke penyedia mana pun di atas; data tersebut hanya berada pada server kami.

6. Penyimpanan & keamanan

Data dikirim melalui koneksi terenkripsi (TLS 1.2 atau lebih tinggi). Kata sandi disimpan sebagai hash, tidak dapat dibaca balik. Kredensial dan kunci layanan disimpan sebagai konfigurasi server, bukan di dalam basis data aplikasi.

Pada panel internal, NIK dan nomor rekening ditampilkan tersamar secara default. Menampilkan nilai penuh hanya dapat dilakukan oleh superadmin, dan setiap kali itu terjadi, peristiwanya dicatat dalam audit log beserta pelaku dan alamat IP-nya.

Dokumen KYC yang kamu unggah disimpan pada server kami dengan akses dibatasi berdasarkan kepemilikan berkas. Kami belum menerapkan enkripsi tingkat berkas (encryption at rest) untuk dokumen tersebut, dan kami memilih menyatakannya terbuka di sini daripada mengklaim perlindungan yang belum ada. Peningkatan ini ada dalam rencana kerja kami.

Catatan transaksi keuangan kami simpan sekurangnya 5 tahun mengikuti praktik pencatatan keuangan di Indonesia. Penghapusan data setelah masa simpan berakhir saat ini dilakukan melalui peninjauan manual, bukan proses otomatis terjadwal.

7. Hak kamu atas data pribadi

Sesuai UU PDP, kamu berhak meminta akses dan salinan data, koreksi data yang tidak akurat, penghapusan data, pembatasan pemrosesan, penarikan persetujuan, serta salinan data dalam format yang dapat dibaca mesin.

Saat ini permintaan tersebut dilayani melalui permintaan tertulis, belum melalui tombol mandiri di dashboard. Kirim permintaanmu ke email resmi kami, [email protected], dari alamat email yang terdaftar pada akunmu. Kami akan memverifikasi identitas pemohon lebih dahulu, karena mengirim data akun ke pihak yang salah justru merupakan kebocoran. Permintaan diproses dalam 14 hari kerja; bila perlu waktu lebih lama, kami memberi tahu alasannya.

Penghapusan tidak dapat dilakukan selama masih ada transaksi berjalan, saldo tersisa, atau sengketa yang belum selesai. Sebagian data juga wajib kami simpan sampai masa simpan yang diatur regulasi keuangan berakhir, meskipun akunmu sudah ditutup. Dalam hal itu kami membatasi penggunaannya hanya untuk pemenuhan kewajiban hukum.

8. Cookie

Kami memakai dua jenis cookie. Cookie yang diperlukan menjaga sesi login, melindungi dari serangan CSRF, dan mengingat preferensi seperti bahasa. Cookie ini tidak dipakai untuk profiling dan tidak dapat dinonaktifkan karena layanan tidak dapat berjalan tanpanya.

Cookie analitik dan pemasaran (Google Analytics, Meta Pixel) hanya dimuat setelah kamu menekan persetujuan pada banner cookie. Sebelum kamu memilih, skrip tersebut tidak dijalankan sama sekali. Kamu dapat menolak dengan memilih "Hanya yang diperlukan", dan pilihanmu kami simpan di peramban.

Untuk mengubah pilihan, hapus data situs RekberPay pada pengaturan peramban lalu muat ulang halaman; banner akan muncul kembali. Jika kami memperbarui kebijakan ini secara material, banner akan meminta persetujuan ulang.

9. Insiden kebocoran data

Jika terjadi kebocoran data pribadi, kami akan memberitahukan pengguna yang terdampak dan lembaga yang berwenang selambatnya 3×24 jam sejak kami mengetahuinya, sesuai UU PDP. Pemberitahuan berisi data yang terdampak, waktu dan dampaknya sejauh yang kami ketahui, serta langkah penanganan dan saran tindakan bagimu. Laporan dugaan celah keamanan dapat dikirim melalui kebijakan pengungkapan kerentanan kami.

10. Anak di bawah umur

Layanan RekberPay ditujukan untuk pengguna berusia 17 tahun ke atas atau yang sudah cakap hukum. Kami tidak meminta tanggal lahir saat pendaftaran, sehingga usia tidak diverifikasi secara otomatis. Jika kami mengetahui sebuah akun dimiliki anak di bawah umur, akun tersebut akan ditangguhkan dan datanya dihapus kecuali yang wajib disimpan menurut hukum. Jika kamu orang tua atau wali dan menemukan hal ini, hubungi email resmi kami, [email protected].

11. Perubahan kebijakan

Kebijakan Privasi dapat diperbarui mengikuti perubahan layanan atau regulasi. Tanggal pembaruan terakhir tercantum di bagian atas halaman ini. Untuk perubahan yang bersifat material, kami memberi tahu melalui email atau notifikasi di dashboard sebelum berlaku efektif, dan persetujuan cookie akan diminta ulang.

12. Kontak

Pertanyaan, permintaan hak data, atau keberatan terkait privasi dapat dikirim ke email resmi kami, [email protected], atau melalui halaman kontak. Jika kamu merasa penanganan kami tidak memadai, kamu berhak mengadukan hal tersebut kepada lembaga pelindungan data pribadi yang berwenang di Indonesia.