Kebijakan Privasi

Kebijakan Privasi ini menjelaskan data pribadi apa yang diproses saat Anda memakai RANCAQ yang dikelola PT Rofasys Mitra Prima ("kami"), untuk apa, di mana, dan apa hak Anda. Kebijakan ini disusun berdasarkan Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP") dan melengkapi Syarat & Ketentuan.

Kebijakan ini tidak berlaku untuk instalasi RANCAQ yang dipasang pelanggan di server sendiri (self-host); data di instalasi tersebut sepenuhnya dikelola pelanggan.

Peran kami

UU PDP membedakan Pengendali (yang menentukan tujuan pemrosesan) dan Prosesor (yang memproses atas nama pengendali). Peran kami bergantung pada jenis datanya:

Bila Anda karyawan yang memakai RANCAQ di perusahaan Anda, perusahaan Anda adalah pengendali data Anda di dalam workspace. Permintaan tentang data tersebut sebaiknya diajukan ke perusahaan Anda; kami membantu perusahaan memenuhinya.

Data yang kami proses

Kami tidak menjual data pribadi dan tidak memakainya untuk iklan.

Dasar pemrosesan

Sesuai UU PDP, kami memproses data pribadi berdasarkan:

• pemenuhan perjanjian — menjalankan layanan yang Anda daftarkan;
• kepentingan yang sah — menjaga keamanan layanan dan mencegah penyalahgunaan;
• kewajiban hukum — bila peraturan mewajibkan kami menyimpan atau memberikan data;
• instruksi pelanggan — untuk data yang kami proses sebagai prosesor.

Cookie dan penyimpanan di browser

RANCAQ hanya memakai satu cookie teknis wajib: cookie sesi yang menjaga Anda tetap masuk. Cookie ini tidak dapat dibaca skrip halaman dan berakhir saat sesi habis atau Anda keluar. Pilihan bahasa dan tema disimpan di penyimpanan lokal browser Anda.

Tidak ada cookie iklan, analitik pihak ketiga, atau pelacak. Situs informasi RANCAQ sendiri tidak memasang cookie; jaringan Cloudflare dapat memasang cookie teknis untuk keamanan lalu lintas.

Lokasi data dan pihak ketiga

Data workspace dan akun disimpan di server yang berlokasi di Indonesia.

Kami memakai pihak ketiga berikut untuk menjalankan layanan:

Cloudflare dapat memproses alamat IP dan data teknis, dan Google dapat memproses alamat email tujuan serta isi email sistem, di luar wilayah Indonesia. Kami hanya memakai pihak ketiga yang menerapkan pelindungan data yang setara atau lebih tinggi dari UU PDP, sebagaimana disyaratkan untuk transfer data pribadi ke luar wilayah hukum Indonesia.

Berapa lama data disimpan

• Akun: selama akun aktif, atau sampai workspace terakhir tempat akun itu menjadi anggota dihapus.
• Workspace trial yang tidak dilanjutkan: dihapus permanen 30 hari setelah trial berakhir.
• Tautan aktivasi, reset password, dan undangan: kedaluwarsa dalam 24 jam, 1 jam, dan 7 hari. Tautan tidak disimpan dalam bentuk asli, dan isi email sistem dihapus dari basis data setelah email terkirim.
• Cadangan: cadangan basis data disimpan paling lama 14 hari; data yang dihapus ikut hilang dari cadangan setelah masa itu.

Keamanan

Langkah yang kami terapkan antara lain:

• koneksi terenkripsi (TLS) antara browser dan layanan;
• password disimpan sebagai hash bcrypt, dan token di tautan email disimpan sebagai hash;
• isolasi data antarpelanggan di tingkat basis data (row-level security), sehingga satu workspace tidak dapat membaca data workspace lain;
• log audit atas perubahan penting di setiap workspace;
• pembatasan percobaan masuk dan pendaftaran untuk menahan penyalahgunaan.

Tidak ada sistem yang sepenuhnya bebas risiko. Karena itu kami juga menyiapkan prosedur bila terjadi kegagalan pelindungan data (lihat di bawah).

Hak Anda

Sesuai UU PDP, Anda berhak antara lain untuk:

• mendapatkan informasi tentang pemrosesan data pribadi Anda;
• mengakses dan memperoleh salinan data pribadi Anda;
• melengkapi, memperbarui, atau memperbaiki data yang tidak akurat;
• meminta pemrosesan diakhiri, serta data dihapus atau dimusnahkan;
• menarik kembali persetujuan yang pernah Anda berikan;
• mengajukan keberatan atas keputusan yang semata-mata didasarkan pada pemrosesan otomatis;
• menunda atau membatasi pemrosesan;
• mendapatkan dan memakai data pribadi Anda dalam format yang umum dipakai;
• menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi Anda.

Kirim permintaan ke [email protected] dari alamat email akun Anda. Kami dapat meminta verifikasi identitas sebelum memprosesnya dan menanggapinya dalam jangka waktu yang ditetapkan UU PDP. Untuk data di dalam workspace perusahaan, kami meneruskan permintaan kepada perusahaan tersebut sebagai pengendali.

Kegagalan pelindungan data

Bila terjadi kegagalan pelindungan data pribadi, kami memberi tahu pihak yang terdampak dan lembaga yang berwenang paling lambat 3 × 24 jam sejak kegagalan itu kami ketahui, sesuai UU PDP. Pemberitahuan memuat data yang terdampak, kapan dan bagaimana kejadiannya, serta langkah penanganan dan pemulihan.

Anak

RANCAQ ditujukan untuk organisasi dan karyawannya, bukan untuk anak. Kami tidak dengan sengaja memproses data pribadi anak.

Perjanjian Pemrosesan Data

Bagian ini berlaku antara kami dan pelanggan untuk data yang kami proses sebagai prosesor. Ia menjadi bagian dari Syarat & Ketentuan tanpa perlu ditandatangani terpisah; pelanggan dengan kesepakatan tertulis dapat mengatur hal yang lebih rinci di sana.

1. Pokok dan jangka waktu. Kami memproses data pribadi di workspace pelanggan selama pelanggan memakai layanan, hanya untuk menjalankan RANCAQ.
2. Instruksi. Kami memproses data hanya sesuai instruksi pelanggan — yaitu penggunaan fitur oleh pengguna workspace dan kesepakatan tertulis — kecuali hukum mewajibkan lain.
3. Kerahasiaan. Orang yang kami beri akses ke data pelanggan terikat kewajiban kerahasiaan, dan akses diberikan hanya bila diperlukan untuk menjalankan atau memulihkan layanan.
4. Keamanan. Kami menerapkan langkah keamanan yang dijelaskan di bagian Keamanan di atas.
5. Subprosesor. Pelanggan menyetujui subprosesor yang tercantum di bagian Lokasi data dan pihak ketiga. Kami memberi tahu admin workspace sebelum menambah atau mengganti subprosesor, dan pelanggan dapat berkeberatan.
6. Bantuan. Kami membantu pelanggan menanggapi permintaan subjek data dan memenuhi kewajibannya menurut UU PDP, sejauh wajar.
7. Pemberitahuan insiden. Kami memberi tahu pelanggan tanpa penundaan yang tidak semestinya, dan paling lambat 3 × 24 jam, setelah mengetahui kegagalan pelindungan data yang menyangkut data pelanggan.
8. Akhir pemrosesan. Saat layanan berakhir, kami menghapus data pelanggan sesuai bagian Berapa lama data disimpan, kecuali hukum mewajibkan penyimpanan lebih lama.
9. Informasi. Atas permintaan tertulis, kami memberikan informasi yang wajar untuk menunjukkan kepatuhan pada bagian ini.

Perubahan kebijakan

Kami dapat memperbarui Kebijakan Privasi ini. Perubahan penting kami beritahukan lewat email kepada admin workspace atau lewat aplikasi, paling lambat 14 hari sebelum berlaku. Tanggal berlaku di bagian atas halaman ini selalu menunjukkan versi terakhir.

Kontak

Pertanyaan dan permintaan tentang data pribadi:

PT Rofasys Mitra Prima
Gedung Graha MIR Lantai 6 Zona A1, Jl. Pemuda No. 9, Jakarta Timur, DKI Jakarta, Indonesia
Email: [email protected]