KEBIJAKAN PRIVASI

dicekdulu.com

Penyelenggara: PT Cek Dulu Indonesia Versi: 1.0 (DRAFT) Berlaku sejak: [TANGGAL]

⚠️ DRAFT KERJA — WAJIB DIREVIEW ADVOKAT SEBELUM DIPUBLIKASIKAN. Disusun mengacu pada Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Bagian [...] harus diisi.

1. Ringkasan

Kami memproses dua kelompok data yang berbeda, dengan kedudukan hukum yang juga berbeda:

| Kelompok | Contoh | Kedudukan Kami | |---|---|---| | Data Akun | nama, surel, jabatan, data perusahaan Klien | Pengendali | | Data dalam Dokumen | isi rekening koran, data KTP, data Subjek Data | Prosesor — atas instruksi Klien |

Untuk Data dalam Dokumen, Klien adalah Pengendali Data Pribadi. Kami memproses hanya sesuai instruksi Klien dan tidak menggunakannya untuk tujuan Kami sendiri.

Apabila Anda adalah Subjek Data yang datanya diperiksa melalui Layanan ini, permintaan pelaksanaan hak Anda pada prinsipnya diajukan kepada perusahaan yang mengunggah data Anda. Kami akan membantu meneruskannya — lihat Bagian 8.

2. Data yang Kami Kumpulkan

2.1. Data Akun (Kami sebagai Pengendali)

Nama, alamat surel, nomor telepon, jabatan
Nama badan usaha, alamat, NPWP
Kata sandi (tersimpan dalam bentuk hash, tidak dapat dibaca)
Riwayat pembelian dan penggunaan Token
Alamat IP, jenis peramban, waktu akses, dan catatan aktivitas

2.2. Data dalam Dokumen (Kami sebagai Prosesor)

Bergantung pada layanan yang digunakan Klien:

Cek Mutasi — isi rekening koran: nomor rekening, nama pemilik, periode, seluruh transaksi, saldo, dan metadata berkas.

Cek KTP — citra kartu identitas dan swafoto, serta data yang terkandung di dalamnya: NIK, nama, tempat dan tanggal lahir, alamat, jenis kelamin, agama, status perkawinan, pekerjaan, dan kewarganegaraan.

Cek Kredit Score — citra kartu identitas dan dokumen pendukung yang disediakan Klien atau Subjek Data.

2.3. Rekaman Pernyataan

Setiap permintaan verifikasi disertai rekaman pernyataan Klien: teks pernyataan yang ditampilkan, versi dokumen, waktu, alamat IP, dan identitas Pengguna yang memberikannya.

3. Dasar Pemrosesan

3.1. Data Akun diproses berdasarkan pelaksanaan perjanjian dengan Klien dan kepentingan sah Kami dalam menyelenggarakan dan mengamankan Layanan.

3.2. Data dalam Dokumen diproses berdasarkan instruksi Klien selaku Pengendali. Klien menyatakan dan menjamin memiliki dasar hukum yang sah untuk pemrosesan tersebut — baik berupa persetujuan Subjek Data maupun dasar sah lainnya menurut peraturan perundang-undangan.

3.3. Kami tidak memperoleh Data Pribadi Subjek Data secara langsung dari Subjek Data, melainkan dari Klien.

4. Tujuan Pemrosesan

Kami memproses Data Pribadi untuk:

menyediakan layanan verifikasi dan penilaian risiko yang diminta Klien;
menerbitkan Hasil dan laporan;
mengelola akun, Token, dan penagihan;
menjaga keamanan Layanan dan mencegah penyalahgunaan;
memenuhi kewajiban hukum;
membela hak Kami dalam hal terjadi sengketa.

Kami TIDAK:

menjual Data Pribadi kepada pihak manapun;
menggunakan Data Pribadi untuk periklanan atau pemasaran kepada Subjek Data;
membangun profil komersial atas Subjek Data;
menggunakan isi Dokumen Klien untuk melatih model kecerdasan buatan pihak ketiga.

Kami dapat menggunakan data agregat dan teranonimkan — yang tidak memungkinkan identifikasi Klien maupun Subjek Data — untuk meningkatkan kualitas metode pemeriksaan.

5. Subprosesor dan Pihak Ketiga

Kami menggunakan penyedia layanan berikut:

| Penyedia | Keperluan | Data yang diproses | |---|---|---| | [api.co.id] | Pembacaan data kartu identitas, pencocokan wajah, pencocokan data kependudukan | Citra kartu identitas, swafoto, NIK, nama, tanggal lahir | | [Privy] | Mitra pencocokan data kependudukan melalui api.co.id | NIK, nama, tanggal lahir |

5.1. Penyedia pembacaan kartu identitas menghapus citra setelah proses ekstraksi selesai.

5.2. Daftar ini dapat berubah. Perubahan material diberitahukan kepada Klien sebelum berlaku.

5.3. Kami dapat mengungkapkan Data Pribadi apabila diwajibkan oleh peraturan perundang-undangan, perintah pengadilan, atau permintaan sah dari pihak berwenang.

6. Penyimpanan dan Penghapusan

6.1. Dokumen sumber (berkas rekening koran, citra kartu identitas, dokumen pendukung) dihapus otomatis setelah jangka waktu retensi yang dipilih Klien: 30, 90, 180, atau 365 hari. Standar bawaan adalah 90 hari.

6.2. Hasil, temuan, rekaman pernyataan, dan catatan audit disimpan lebih lama untuk keperluan pembuktian, penyelesaian sengketa, dan kepatuhan — sekurang-kurangnya [5 tahun] atau sesuai jangka waktu yang diwajibkan peraturan perundang-undangan.

6.3. Bukti persetujuan tertulis yang diunggah Klien disimpan secara permanen selama hubungan dengan Klien berlangsung.

6.4. Data Akun disimpan selama hubungan usaha berlangsung dan selama jangka waktu yang wajar setelahnya.

6.5. Penghapusan dilakukan secara otomatis dan dicatat dalam catatan audit.

7. Keamanan

Langkah pengamanan yang Kami terapkan:

enkripsi data dalam pengiriman dan dalam penyimpanan;
penyimpanan dokumen pada wadah tertutup; akses hanya melalui tautan bertanda waktu berumur pendek;
penyamaran NIK dan nomor rekening pada antarmuka, catatan sistem, dan laporan kesalahan;
autentikasi dua faktor wajib untuk peran Owner dan Admin;
pembatasan akses berdasarkan peran;
pencatatan setiap akses terhadap dokumen dan hasil;
pemantauan pola penggunaan yang mengindikasikan penyalahgunaan.

Tidak ada sistem yang sepenuhnya kebal. Kami tidak dapat menjamin keamanan mutlak, namun berkomitmen menerapkan standar yang wajar dan memperbaikinya secara berkelanjutan.

8. Hak Subjek Data

Berdasarkan UU 27/2022, Subjek Data berhak untuk:

memperoleh informasi mengenai pemrosesan Data Pribadinya;
memperoleh akses dan salinan Data Pribadinya;
memperbaiki data yang tidak akurat;
mengakhiri pemrosesan, menghapus, atau memusnahkan Data Pribadinya;
menarik persetujuan;
mengajukan keberatan atas pengambilan keputusan yang semata-mata bersifat otomatis;
menuntut ganti rugi atas pelanggaran pemrosesan.

Cara mengajukan:

8.1. Karena Kami berkedudukan sebagai Prosesor atas data dalam Dokumen, permintaan pada prinsipnya diajukan kepada perusahaan yang mengunggah data Anda selaku Pengendali.

8.2. Apabila Anda tidak mengetahui perusahaan tersebut, atau permintaan Anda tidak ditanggapi, hubungi Kami di [dpo@dicekdulu.com]. Kami akan meneruskan permintaan kepada Klien terkait dan membantu penanganannya.

8.3. Kami akan menanggapi dalam jangka waktu yang diwajibkan peraturan perundang-undangan.

8.4. Untuk memverifikasi identitas pemohon, Kami dapat meminta informasi tambahan. Informasi tersebut hanya digunakan untuk keperluan verifikasi.

9. Pengambilan Keputusan Otomatis

9.1. Layanan menghasilkan penilaian sebagian melalui proses otomatis.

9.2. Penilaian tersebut bukan keputusan akhir. Keputusan terhadap Subjek Data sepenuhnya diambil oleh Klien, yang berdasarkan Syarat & Ketentuan diwajibkan melakukan penilaian independen dan tidak menjadikan Hasil sebagai satu-satunya dasar keputusan.

9.3. Subjek Data yang keberatan atas keputusan yang menyangkut dirinya dapat mengajukannya kepada Klien selaku pihak yang mengambil keputusan.

10. Transfer Data ke Luar Wilayah Indonesia

10.1. Data pada prinsipnya diproses dan disimpan di wilayah Republik Indonesia.

10.2. Sebagian penyedia layanan pendukung dapat memproses data di luar wilayah Indonesia. Dalam hal demikian, Kami memastikan terdapat tingkat pelindungan yang memadai sesuai ketentuan peraturan perundang-undangan.

11. Kegagalan Pelindungan Data

11.1. Dalam hal terjadi kegagalan pelindungan Data Pribadi, Kami memberitahukan secara tertulis kepada Subjek Data yang terdampak dan kepada lembaga yang berwenang paling lambat 3×24 jam sejak diketahui.

11.2. Pemberitahuan memuat data yang terungkap, waktu dan cara terungkapnya, serta upaya penanganan dan pemulihan.

12. Kuki (Cookies)

12.1. Kami menggunakan kuki yang diperlukan untuk pengoperasian Layanan — sesi masuk, keamanan, dan preferensi tampilan.

12.2. [Kami menggunakan / tidak menggunakan] kuki analitik pihak ketiga. → isi sesuai kenyataan; jangan disalin begitu saja

13. Anak

Layanan ditujukan untuk penggunaan bisnis dan tidak diperuntukkan bagi anak. Kami tidak dengan sengaja mengumpulkan Data Pribadi anak sebagai pengguna Layanan.

14. Perubahan Kebijakan

14.1. Kebijakan ini dapat diubah. Perubahan material diberitahukan sekurang-kurangnya 30 hari sebelum berlaku.

14.2. Setiap versi disimpan beserta nomor versi dan tanggal berlaku.

15. Kontak

PT Cek Dulu Indonesia [Alamat lengkap]

Pelindungan Data Pribadi: [dpo@dicekdulu.com] Umum: [halo@dicekdulu.com]

Anda juga berhak menyampaikan pengaduan kepada lembaga yang berwenang di bidang pelindungan data pribadi.

CATATAN UNTUK REVIEW PENGACARA

Kedudukan Prosesor — seluruh kebijakan ini bertumpu pada kedudukan Kami sebagai Prosesor. Pastikan hal ini bertahan secara hukum mengingat Kami juga melakukan analisa manual dan menerbitkan skor dengan metodologi Kami sendiri. Ada argumen bahwa untuk Cek Kredit Score, Kami sebenarnya bertindak sebagai Pengendali Bersama. Ini perlu keputusan.
Jangka waktu retensi hasil (Bagian 6.2) — angka [5 tahun] adalah usulan. Sesuaikan dengan ketentuan yang berlaku dan risiko sengketa.
Petugas Pelindungan Data — periksa apakah PT Cek Dulu Indonesia wajib menunjuk Petugas Pelindungan Data Pribadi mengingat sifat dan skala pemrosesannya. Kemungkinan besar ya, karena pemrosesan dilakukan dalam skala besar dan menyangkut data keuangan serta identitas.
Bagian 5 — nama subprosesor wajib diperiksa ulang terhadap perjanjian yang benar-benar berlaku, bukan sekadar daftar penyedia yang direncanakan.
Bagian 12 — isi sesuai kenyataan. Menyatakan tidak menggunakan kuki analitik padahal memasang alat analitik adalah pernyataan tidak benar kepada publik.