Kebijakan Privasi

1. Pendahuluan dan Ruang Lingkup

Kebijakan Privasi ini ("Kebijakan") berlaku untuk seluruh layanan yang disediakan oleh SatuTim.id, yang dioperasikan oleh PT. SATUTIM INDONESIA MAJU ("Kami", "Perusahaan"), berkedudukan di Jakarta, Indonesia.

Kebijakan ini mengatur bagaimana Kami mengumpulkan, menggunakan, menyimpan, melindungi, dan mengungkapkan Data Pribadi Anda sebagaimana diatur dalam Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP") dan Peraturan Pemerintah terkait.

Dengan mendaftar dan menggunakan Platform, Anda ("Pengguna", "Anda") menyatakan telah membaca, memahami, dan menyetujui seluruh ketentuan dalam Kebijakan ini. Jika Anda tidak menyetujui Kebijakan ini, harap segera hentikan penggunaan Platform.

2. Definisi

• "Data Pribadi" adalah setiap data tentang seseorang baik yang teridentifikasi dan/atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya. Meliputi Data Pribadi Umum dan Data Pribadi Spesifik sebagaimana diatur UU PDP.
• "Pengendali Data Pribadi" adalah pihak yang menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi. Dalam hal ini, Kami bertindak sebagai Pengendali Data Pribadi.
• "Prosesor Data Pribadi" adalah pihak yang melakukan pemrosesan Data Pribadi atas nama Pengendali. Termasuk penyedia layanan pihak ketiga yang Kami gunakan.
• "Platform" adalah aplikasi web SatuTim.id beserta seluruh fitur, API, dan layanan terkait.
• "Workspace" adalah ruang kerja virtual di Platform yang dikelola oleh satu organisasi atau tim.

3. Data Pribadi yang Kami Kumpulkan

3.1 Data yang Anda Berikan Secara Langsung

• Data Registrasi: Nama lengkap, alamat email, kata sandi (terenkripsi), nomor telepon (opsional).
• Data Profil: Foto profil, nama tampilan, jabatan, bio, zona waktu, preferensi bahasa.
• Data Organisasi: Nama workspace, nama tim, peran dalam organisasi.
• Data Konten: Proyek, tugas, komentar, pesan diskusi, brief, file lampiran yang Anda buat atau unggah di Platform.
• Data Pembayaran: Informasi tagihan yang diperlukan untuk memproses langganan melalui payment gateway mitra.
• Data Komunikasi: Isi pesan saat Anda menghubungi tim dukungan kami, umpan balik, dan laporan bug.

3.2 Data yang Dikumpulkan Secara Otomatis

• Data Perangkat: Jenis perangkat, sistem operasi, versi browser, resolusi layar, identifikasi perangkat.
• Data Log: Alamat IP, waktu akses, halaman yang dikunjungi, tindakan yang dilakukan di Platform, referrer URL.
• Data Cookie: Cookie sesi, cookie preferensi, dan cookie analitik (lihat Bagian 10).
• Data Lokasi: Lokasi umum berdasarkan alamat IP (negara/kota). Kami tidak mengumpulkan lokasi GPS presisi.

3.3 Data dari Pihak Ketiga

• Login OAuth: Jika Anda mendaftar melalui Google, kami menerima nama, email, dan foto profil dari Google sesuai izin yang Anda berikan.
• Google Workspace (opsional): Jika Anda menghubungkan akun Google Calendar, Kami mengakses scope https://www.googleapis.com/auth/calendar.events hanya untuk membuat, memperbarui, dan menghapus event di kalender Anda berdasarkan tugas SatuTim yang ditugaskan kepada Anda. Kami tidak membaca event lain di kalender Anda. Detail lengkap di Bagian 7 di bawah.
• Undangan Tim: Saat seseorang mengundang Anda ke workspace, kami menerima alamat email Anda dari pengirim undangan.

4. Dasar Hukum Pemrosesan Data

Sesuai Pasal 20 UU PDP, Kami memproses Data Pribadi Anda berdasarkan:

1. Persetujuan: Saat Anda mendaftar dan menyetujui Kebijakan ini.
2. Pelaksanaan Kontrak: Untuk menyediakan layanan yang Anda minta berdasarkan Syarat & Ketentuan.
3. Kepentingan Sah: Untuk keamanan Platform, pencegahan penipuan, dan peningkatan layanan.
4. Kewajiban Hukum: Untuk mematuhi peraturan perundang-undangan yang berlaku di Indonesia.

5. Tujuan Penggunaan Data

Data Pribadi Anda digunakan untuk tujuan berikut:

1. Penyediaan Layanan: Membuat dan mengelola akun, menampilkan konten, memproses kolaborasi tim, dan menjalankan fitur Platform.
2. Komunikasi: Mengirim notifikasi aktivitas tim (email, push notification), pembaruan layanan, dan respons dukungan teknis.
3. Keamanan: Verifikasi identitas (OTP), deteksi aktivitas mencurigakan, pencegahan akses tidak sah, dan audit trail.
4. Pembayaran: Memproses transaksi langganan, mengirim invoice, dan menangani pengembalian dana.
5. Peningkatan Layanan: Menganalisis pola penggunaan secara agregat (bukan individu) untuk memperbaiki fitur dan pengalaman pengguna.
6. Kepatuhan Hukum: Memenuhi kewajiban pelaporan kepada otoritas terkait sesuai peraturan yang berlaku.

Kami TIDAK menggunakan Data Pribadi Anda untuk:

• Penjualan data kepada pihak ketiga untuk tujuan pemasaran.
• Profiling otomatis yang berdampak hukum terhadap Anda.
• Pengambilan keputusan otomatis tanpa keterlibatan manusia yang memiliki akibat hukum atau dampak signifikan.

6. Pengungkapan dan Transfer Data

6.1 Pihak yang Menerima Data

• Anggota Tim/Workspace: Data yang Anda buat (tugas, komentar, diskusi) dapat dilihat oleh anggota workspace sesuai pengaturan visibilitas.
• Penyedia Layanan (Prosesor Data):
  • Cloudflare — hosting infrastruktur dan CDN
  • Resend — pengiriman email transaksional
  • Payment Gateway — pemrosesan pembayaran
• Otoritas Hukum: Jika diwajibkan oleh putusan pengadilan, perintah penyidikan, atau ketentuan perundang-undangan yang berlaku.

6.2 Transfer Data Lintas Batas

Beberapa penyedia layanan kami beroperasi di luar Indonesia. Dalam hal transfer data lintas batas, Kami memastikan:

• Negara penerima memiliki tingkat pelindungan data yang setara atau lebih tinggi, atau
• Terdapat perjanjian pemrosesan data yang mengikat secara hukum dengan standar pelindungan yang memadai sebagaimana disyaratkan Pasal 56 UU PDP.

6.3 Kami TIDAK Melakukan

• Penjualan, penyewaan, atau pertukaran Data Pribadi kepada pihak ketiga untuk tujuan komersial mereka.
• Pengungkapan Data Pribadi tanpa dasar hukum yang sah.
• Transfer data ke negara tanpa mekanisme pelindungan yang memadai.

7. Penggunaan Data Google API

7.1 Scope yang Diminta

• https://www.googleapis.com/auth/calendar.events — membuat, memperbarui, dan menghapus event di kalender Anda yang merepresentasikan tugas SatuTim.
• email, profile, openid — verifikasi identitas akun Google yang dihubungkan.

7.2 Cara Kami Memakai Data Google

Kami HANYA memakai data Google untuk:

1. Membuat event Google Calendar yang berisi tugas SatuTim yang di-assign kepada Anda dan punya dueDate.
2. Memperbarui event tersebut saat tugas berubah (judul, deskripsi, tanggal, status).
3. Menghapus event saat tugas dihapus, di-unassign dari Anda, atau saat Anda Putus koneksi.

Kami TIDAK:

• Membaca event lain di kalender Anda yang tidak Kami buat.
• Membagikan data Google ke pihak ketiga di luar prosesor terpercaya seperti Cloudflare untuk kebutuhan infrastruktur.
• Menggunakan data Google untuk iklan, marketing, profiling, atau melatih model AI/ML.
• Menjual atau menyewakan data Google kepada siapa pun.
• Mengizinkan manusia membaca data Google Anda kecuali (a) Anda eksplisit memberi izin, (b) untuk tujuan keamanan (misal investigasi penyalahgunaan), (c) untuk mematuhi kewajiban hukum, atau (d) data sudah di-agregasi/dianonimkan untuk operasi internal.

7.3 Penyimpanan dan Penghapusan Data Google

• Refresh token Google disimpan di database server Kami dengan kontrol akses ketat untuk menjaga koneksi sinkronisasi tetap aktif.
• Konten yang di-push ke Google Calendar (judul tugas, deskripsi, tanggal) tidak Kami duplikasi sebagai snapshot — yang tersimpan di Google adalah hasil sinkronisasi langsung dari database tugas SatuTim Anda.
• Kami menyimpan mapping ringan (task ID ↔ Google Calendar event ID) untuk memungkinkan update dan penghapusan event yang tepat.
• Saat Anda klik Putus koneksi di SatuTim: (a) Kami panggil endpoint revoke Google secara real-time, (b) hapus refresh token dari database Kami, (c) hapus seluruh mapping task ↔ event. Event yang sudah dibuat tetap di kalender Anda dan menjadi milik Anda.
• Saat Anda menghapus akun SatuTim, semua token Google ikut terhapus permanen dalam waktu paling lambat 30 hari (sesuai Bagian 8 — Retensi).

7.4 Hak Anda atas Data Google

Anda dapat menarik akses kapan saja melalui salah satu cara berikut:

• Klik Putus koneksi di SatuTim → Settings → Integrasi, atau melalui dropdown di header halaman Kalender.
• Cabut akses langsung di Google Account Permissions (myaccount.google.com/permissions).
• Email privacy@satutim.id untuk meminta penghapusan total seluruh data terkait akun Google Anda.

Setelah revoke, sinkronisasi berhenti seketika dan data Google yang Kami simpan di server akan terhapus.

8. Penyimpanan dan Retensi Data

7.1 Lokasi Penyimpanan

Data disimpan di server Cloudflare yang tersebar secara global dengan enkripsi standar industri.

7.2 Periode Retensi

• Data Akun Aktif: Disimpan selama akun aktif dan layanan berlangsung.
• Data Setelah Penghapusan Akun: Dihapus permanen dalam waktu 30 (tiga puluh) hari kalender setelah permintaan penghapusan, kecuali data yang wajib disimpan berdasarkan kewajiban hukum.
• Data Log & Audit: Disimpan selama 12 (dua belas) bulan untuk keperluan keamanan dan kepatuhan.
• Data Pembayaran: Disimpan selama 5 (lima) tahun sesuai ketentuan perpajakan Indonesia.
• Data Backup: Backup otomatis disimpan selama 30 hari dan dihapus secara rolling.

7.3 Penghapusan Data

Setelah periode retensi berakhir, Data Pribadi akan dihapus secara permanen atau dianonimisasi sehingga tidak dapat dikaitkan kembali dengan individu tertentu.

9. Keamanan Data

Kami menerapkan langkah-langkah keamanan teknis dan organisasional berikut:

8.1 Keamanan Teknis

• Enkripsi data saat transit menggunakan TLS 1.3.
• Enkripsi kata sandi menggunakan algoritma bcrypt (one-way hashing).
• Enkripsi data sensitif saat penyimpanan (encryption at rest).
• Autentikasi dua langkah (OTP) untuk verifikasi akun.
• Token JWT dengan masa berlaku terbatas untuk sesi autentikasi.
• Rate limiting untuk mencegah serangan brute force.
• Sanitasi input untuk mencegah SQL injection dan XSS.

8.2 Keamanan Organisasional

• Kontrol akses berbasis peran (RBAC) — akses data dibatasi berdasarkan kebutuhan.
• Audit trail untuk melacak seluruh perubahan data sensitif.
• Pelatihan keamanan data bagi seluruh anggota tim.
• Prosedur tanggap insiden keamanan data.

8.3 Pemberitahuan Pelanggaran Data

Dalam hal terjadi pelanggaran data yang berdampak pada Data Pribadi Anda, Kami akan:

1. Memberitahukan Anda melalui email dalam waktu 3×24 jam sejak pelanggaran teridentifikasi, sesuai Pasal 46 UU PDP.
2. Melaporkan kepada Lembaga Pelindungan Data Pribadi.
3. Menyampaikan langkah-langkah mitigasi yang telah dan akan diambil.

10. Cookie dan Teknologi Pelacakan

9.1 Jenis Cookie yang Digunakan

• Cookie Esensial: Diperlukan untuk fungsi dasar Platform (sesi login, preferensi bahasa). Tidak dapat dinonaktifkan.
• Cookie Fungsional: Menyimpan preferensi pengguna (tema, pengaturan tampilan).
• Cookie Analitik: Mengumpulkan data penggunaan secara anonim untuk peningkatan layanan.

9.2 Pengelolaan Cookie

Anda dapat mengatur preferensi cookie melalui pengaturan browser. Menonaktifkan cookie esensial dapat mempengaruhi fungsionalitas Platform.

Kami TIDAK menggunakan:

• Cookie pelacakan pihak ketiga untuk iklan.
• Pixel pelacakan dari jaringan iklan.
• Fingerprinting browser untuk tujuan identifikasi lintas situs.

11. Hak Subjek Data Pribadi

Sesuai UU PDP, Anda memiliki hak-hak berikut atas Data Pribadi Anda:

1. Hak Akses (Pasal 6): Anda berhak meminta informasi tentang Data Pribadi yang kami proses, termasuk tujuan pemrosesan dan pihak yang menerima data.
2. Hak Koreksi (Pasal 6): Anda berhak meminta perbaikan atas Data Pribadi yang tidak akurat atau tidak lengkap.
3. Hak Penghapusan (Pasal 8): Anda berhak meminta penghapusan Data Pribadi Anda, kecuali data yang wajib disimpan berdasarkan kewajiban hukum.
4. Hak Pembatasan Pemrosesan (Pasal 9): Anda berhak membatasi pemrosesan Data Pribadi dalam keadaan tertentu.
5. Hak Portabilitas (Pasal 11): Anda berhak menerima salinan Data Pribadi dalam format yang umum digunakan dan dapat dibaca mesin.
6. Hak Keberatan (Pasal 7): Anda berhak mengajukan keberatan atas pemrosesan Data Pribadi berdasarkan kepentingan sah.
7. Hak Penarikan Persetujuan (Pasal 9): Anda berhak menarik persetujuan Anda kapan saja. Penarikan tidak mempengaruhi keabsahan pemrosesan sebelumnya.
8. Hak Mengajukan Pengaduan: Anda berhak mengajukan pengaduan kepada Lembaga Pelindungan Data Pribadi jika merasa hak Anda dilanggar.

Cara Menggunakan Hak Anda

Untuk menggunakan hak-hak di atas, hubungi kami melalui:

• Email: privacy@satutim.id
• Halaman Kontak: satutim.id/contact

Kami akan merespons permintaan Anda dalam waktu paling lambat 3×24 jam dan memproses dalam waktu 14 (empat belas) hari kerja.

12. Pelindungan Data Anak

Platform tidak ditujukan untuk anak di bawah 18 tahun. Kami tidak secara sengaja mengumpulkan Data Pribadi anak. Jika orang tua atau wali mengetahui bahwa anak mereka telah memberikan Data Pribadi kepada Kami, silakan hubungi Kami dan data tersebut akan segera dihapus.

13. Tautan ke Situs Pihak Ketiga

Platform dapat memuat tautan ke situs web atau layanan pihak ketiga. Kami tidak bertanggung jawab atas praktik privasi situs pihak ketiga. Kami menyarankan Anda membaca kebijakan privasi setiap situs yang Anda kunjungi.

14. Perubahan Kebijakan Privasi

Kami dapat memperbarui Kebijakan ini dari waktu ke waktu. Jika terjadi perubahan material, Kami akan:

1. Mengirimkan pemberitahuan melalui email ke alamat yang terdaftar.
2. Menampilkan notifikasi di Platform.
3. Memperbarui tanggal "Terakhir diperbarui" di bagian atas halaman ini.

Penggunaan Platform secara berkelanjutan setelah perubahan berlaku dianggap sebagai persetujuan Anda terhadap Kebijakan yang diperbarui. Jika Anda tidak setuju, Anda berhak menghentikan penggunaan dan meminta penghapusan data.

15. Penyelesaian Sengketa

Setiap sengketa terkait Kebijakan ini akan diselesaikan melalui:

1. Musyawarah mufakat antara Para Pihak dalam waktu 30 hari.
2. Mediasi melalui Lembaga Pelindungan Data Pribadi.
3. Jika tidak tercapai penyelesaian, melalui Pengadilan Negeri Jakarta Selatan yang berwenang.

16. Kontak Petugas Pelindungan Data

Untuk seluruh pertanyaan, permintaan, atau keluhan terkait Data Pribadi, hubungi: