Kebijakan Privasi

1. Pengelola dan ruang lingkup

Pengelola layanan: [NAMA BADAN/PERORANGAN — WAJIB DIISI]. Alamat: [ALAMAT — WAJIB DIISI]. Email untuk permintaan data: [EMAIL PRIVASI — WAJIB DIISI]. Dokumen ini menjelaskan pemrosesan data pada layanan NomorSurat, termasuk akun, organisasi, penomoran surat, tanda terima, persetujuan penerima, API, verifikasi publik, dan billing manual.

Draf ini perlu disesuaikan dengan peran pengelola sebagai pengendali atau prosesor data, kontrak dengan organisasi pengguna, serta deployment nyata. Rujukan hukum yang perlu diperiksa pengelola adalah UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi dan peraturan pelaksana yang berlaku.

2. Data yang diproses

• Akun: nama, email, identitas Google, dan avatar yang diberikan provider autentikasi.
• Organisasi: nama, kode, logo, nomor WhatsApp organisasi bila diisi, owner, anggota, role, dan undangan.
• Surat: format, nomor, subjek, tujuan, status pembatalan, pembuat, waktu, token verifikasi, dan metadata audit yang diperlukan untuk integritas arsip.
• Tanda terima: nama penerima, kontak opsional, tanggal diterima, serta snapshot dokumen yang diperlukan untuk membuat ulang PDF berotorisasi.
• Persetujuan penerima: nama penanda tangan, gambar tanda tangan, versi persetujuan, waktu, snapshot dan checksum dokumen, hash alamat IP bila tersedia, hash user agent bila tersedia, serta status permintaan tanda tangan. Tautan mentah tidak disimpan setelah diterbitkan.
• API: nama token, perusahaan pemilik, hak akses, waktu dibuat, kedaluwarsa, dan terakhir dipakai. Nilai token lengkap hanya ditampilkan satu kali dan disimpan sebagai hash.
• Billing manual: periode, nominal, mata uang, metode, referensi, waktu pembayaran, bukti pembayaran bila diunggah, status, dan catatan operator yang aman. Bukti pembayaran tidak untuk ditampilkan publik.
• Teknis: sesi, rate limit, log aplikasi, dan audit operasi yang diperlukan untuk keamanan serta penelusuran. Rincian retensi log deployment wajib diisi pengelola.

3. Tujuan dan dasar pemrosesan

Data diproses untuk membuat akun, memisahkan tenant, mengelola role dan organisasi, menerbitkan nomor surat secara berurutan, membuat tanda terima dan DOCX, merekam persetujuan penerima, menyediakan integrasi API dan verifikasi publik terbatas, menangani permintaan Pro dan riwayat pembayaran, mengirim undangan atau notifikasi bila fitur dan provider dikonfigurasi, serta menjaga audit, keamanan, pencegahan penyalahgunaan, dan kewajiban hukum.

Dasar pemrosesan, kepentingan yang sah, persetujuan, kewajiban kontraktual, dan kewajiban hukum untuk setiap kategori harus disetujui pengelola. Jangan memublikasikan draf ini sebelum pemetaan tersebut selesai.

4. Pihak ketiga dan perpindahan data

• Google digunakan untuk OAuth sesuai akun dan konfigurasi Google Cloud yang dipasang pengelola.
• Fonnte dapat digunakan untuk notifikasi WhatsApp hanya ketika token, endpoint, dan nomor organisasi benar-benar dikonfigurasi. Status provider aktif dan lokasi pemrosesannya wajib diisi.
• Email undangan memakai mail transport yang dipilih pada deployment. Nama provider, fungsi, negara pemrosesan, dan perjanjian pemroses wajib diisi.
• Hosting, database, object storage, CDN, monitoring, backup, dan penyedia pembayaran manual belum ditentukan oleh kode ini. Pengelola wajib mengisi nama, lokasi, fungsi, dasar transfer, dan kontrol akses yang benar-benar digunakan.

Layanan tidak boleh mengklaim lokasi penyimpanan, transfer lintas negara, backup, SLA, atau sertifikasi sebelum bukti deployment dan operasi tersedia.

5. Verifikasi publik dan pembatasan akses

Halaman verifikasi publik hanya menampilkan nomor surat, nama perusahaan, tanggal, dan status. Subjek, tujuan, kontak penerima, alasan pembatalan, token, dan audit internal tidak ditampilkan. Data privat lain hanya boleh diakses melalui route yang memeriksa tenant, role, dan otorisasi.

6. Retensi, perubahan paket, dan penghapusan

Nomor surat yang sudah diterbitkan tidak dihapus atau dipakai ulang; pembatalan menyimpan status dan alasan. Downgrade atau berakhirnya Pro tidak menghapus organisasi, anggota, surat, lampiran, logo historis, atau dokumen yang sudah dihasilkan. Data historis tetap tunduk pada otorisasi akses.

Jangka retensi per kategori: [JADWAL RETENSI AKUN, ARSIP, BUKTI BAYAR, LOG, DAN BACKUP — WAJIB DIISI]. Mekanisme penghapusan, anonimisasi, dan pemusnahan backup: [PROSEDUR — WAJIB DIISI]. Jangan menjanjikan penghapusan otomatis sebelum prosedur tersebut tersedia dan diuji.

7. Permintaan akses, koreksi, dan penghapusan

Permintaan akses, salinan, koreksi, pembatasan, keberatan, atau penghapusan dapat diajukan melalui [EMAIL/FORM PRIVASI — WAJIB DIISI] dengan informasi yang cukup untuk memverifikasi pemohon. Pengelola harus menetapkan metode verifikasi identitas, pemisahan antara owner organisasi dan penerima surat, waktu tanggapan, pengecualian karena kewajiban arsip, serta jalur pengaduan yang berlaku.

Permintaan tidak boleh diproses dengan membocorkan data milik tenant atau penerima lain. Kontak pribadi penerima pada tanda terima diperlakukan sebagai data yang dibatasi.

8. Keamanan dan insiden

Akses aplikasi dibatasi oleh autentikasi, tenant, role, dan policy. Rincian enkripsi menyeluruh, manajemen kunci, backup, pemulihan, pemantauan, dan pemberitahuan insiden belum menjadi janji publik; isi bagian ini setelah S08/S12 membuktikan kontrol deployment yang dipakai.

Kontak insiden: [KONTAK INSIDEN — WAJIB DIISI]. Prosedur penanganan dan pemberitahuan pelanggaran: [PROSEDUR — WAJIB DIISI].

9. Perubahan kebijakan

Perubahan identitas pengelola, tujuan pemrosesan, provider, retensi, atau hak pengguna harus ditinjau dan diberi tanggal berlaku sebelum dipublikasikan. Riwayat versi: [DAFTAR VERSI — WAJIB DIISI].