Kebijakan Privasi

PT Antares Sintesa Digital menyediakan Kurvas. Kebijakan ini menjelaskan data apa yang kami proses, untuk apa, dan hak apa yang Anda miliki. Kebijakan ini disusun mengacu pada Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

1. Dua peran yang berbeda

Pemisahan ini menentukan siapa yang bertanggung jawab atas apa, jadi kami nyatakan di depan:

• Data akun pengguna (nama, surel, kata sandi terenkripsi, log masuk) - di sini kami bertindak sebagai Pengendali Data Pribadi.
• Data operasional yang dimasukkan perusahaan pelanggan (data pemberi kerja, prospek, kontrak, pekerja, pemasok) - di sini perusahaan pelanggan adalah Pengendali, dan kami hanya Prosesor. Kami memprosesnya atas instruksi pelanggan, bukan untuk keperluan kami sendiri.

Artinya: bila Anda pemberi kerja atau mitra yang datanya ada di dalam Kurvas, permintaan atas data Anda ditujukan kepada perusahaan kontraktor yang bersangkutan. Kami membantu perusahaan tersebut memenuhinya.

2. Data yang kami proses

• Identitas akun: nama, alamat surel, peran, perusahaan tempat bernaung.
• Data perusahaan pelanggan: nama badan usaha, alamat, NPWP, kontak, logo.
• Data operasional: seluruh isi yang dimasukkan pengguna - proyek, unit, anggaran, transaksi, dokumen yang diunggah.
• Data teknis: alamat IP, jenis peramban, waktu akses, dan jejak audit atas tindakan yang mengubah data penting. Jejak audit ini wajib ada agar sistem keuangan dapat dipertanggungjawabkan, dan tidak dapat dinonaktifkan.
• Data pembayaran: bukti transfer yang diunggah beserta keterangannya. Kami tidak menyimpan nomor kartu atau kredensial perbankan.
• Data calon pelanggan dari situs kurvas.id: isian formulir jadwal demo (nama, jabatan, perusahaan, surel, nomor WhatsApp, kota, jumlah proyek aktif, jadwal pilihan, catatan) dan isian sebelum membuka WhatsApp (nama, perusahaan, kota, jumlah proyek aktif).
• Data kunjungan situs: alamat IP, jenis peramban, halaman yang dibuka, sumber kunjungan (misalnya tautan iklan dan parameter UTM), serta penanda cookie Meta Pixel (_fbp, _fbc) dan Google Analytics.

3. Tujuan dan dasar pemrosesan

• Menjalankan layanan - dasar: pelaksanaan perjanjian dengan pelanggan.
• Penagihan dan administrasi pajak - dasar: kewajiban hukum.
• Keamanan, pencegahan penyalahgunaan, dan jejak audit - dasar: kepentingan sah yang tidak melampaui hak Anda.
• Dukungan teknis dan pemberitahuan layanan - dasar: pelaksanaan perjanjian.
• Menghubungi calon pelanggan yang meminta demo atau konsultasi - dasar: permintaan Anda sendiri (langkah sebelum perjanjian).
• Mengukur kunjungan situs dan efektivitas iklan Kurvas - dasar: kepentingan sah untuk mengetahui iklan mana yang mendatangkan calon pelanggan. Anda dapat menolaknya lewat pengaturan cookie peramban atau dengan menghubungi kami (pasal 12).

Kami tidak menjual data pribadi dan tidak menukarnya. Data yang dimasukkan pelanggan ke dalam aplikasi Kurvas tidak pernah dipakai untuk iklan. Data calon pelanggan dari situs kurvas.id dipakai untuk mengukur iklan Kurvas sendiri sebagaimana dijelaskan pada pasal 5. Kami juga tidak menggabungkan data antar pelanggan menjadi data agregat untuk keperluan lain tanpa persetujuan tertulis yang terpisah dari pelanggan yang bersangkutan.

4. Pemisahan data antar perusahaan

Setiap perusahaan memiliki ruang datanya sendiri. Pemisahan ditegakkan pada lapisan basis data melalui row-level security, bukan hanya pada lapisan aplikasi - sehingga kekeliruan di kode aplikasi tidak dengan sendirinya membocorkan data lintas perusahaan. Berkas yang diunggah disimpan pada jalur terpisah per perusahaan dan hanya dapat dibuka melalui tautan bertanda tangan yang berumur pendek.

5. Pihak ketiga

Kami menggunakan penyedia berikut sebatas yang diperlukan untuk menjalankan layanan:

• Penyedia infrastruktur server dan basis data (Contabo, pusat data di Singapura).
• Cloudflare, sebagai jaringan pengiriman konten dan pelindung dari serangan; lalu lintas ke situs dan aplikasi Kurvas melewati jaringan Cloudflare.
• Penyedia layanan surel untuk notifikasi dan undangan pengguna.
• Penyedia pemantauan kesalahan aplikasi.
• Sistem CRM internal kami (dikelola PT Antares Sintesa Digital), tempat isian formulir demo dan isian sebelum membuka WhatsApp diteruskan agar tim Kurvas dapat menindaklanjutinya.
• Meta Platforms (Meta Pixel dan Conversions API), untuk mengukur iklan Kurvas di Facebook dan Instagram. Pixel mencatat halaman yang dibuka. Saat Anda mengirim formulir, kami mengirim ke Meta keterangan bahwa formulir terkirim beserta surel, nomor telepon, dan nama dalam bentuk teracak (hash), penanda cookie Meta, alamat IP, dan jenis peramban, agar Meta dapat mencocokkannya dengan iklan yang Anda lihat.
• Google (Google Analytics untuk statistik kunjungan situs, dan reCAPTCHA untuk menyaring kiriman formulir otomatis). Penggunaan reCAPTCHA tunduk pada Kebijakan Privasi dan Persyaratan Layanan Google.
• WhatsApp (Meta), bila Anda memilih menghubungi kami lewat WhatsApp; percakapan tunduk pada ketentuan WhatsApp.
• Penyedia model AI untuk Asisten Kurvas (Anthropic), hanya bila pemilik perusahaan menyalakan Asisten Kurvas. Yang dikirim adalah pertanyaan pengguna dan angka hasil pencarian data sesuai izinnya; data pribadi perorangan (NIK, NPWP, rekening, kontak, foto, lokasi) tidak ikut dikirim. Percakapan disimpan di Kurvas, hanya terlihat oleh penggunanya, dan dihapus setelah 90 hari.
• Penyedia asisten AI yang dipilih pengguna (misalnya OpenAI untuk ChatGPT, Anthropic untuk Claude, Google untuk Gemini), hanya bila pemilik perusahaan menyalakan fitur Asisten AI dan pengguna menyambungkan asistennya sendiri. Data yang dibaca terbatas pada yang diminta pengguna, sesuai izin dan modul yang dibuka; data pribadi perorangan (NIK, NPWP, rekening, kontak, foto, lokasi) tidak ikut dikirim. Pemrosesan di sisi asisten tunduk pada ketentuan penyedia tersebut, dan sambungan dapat dicabut kapan saja.

Kami tidak memberikan data kepada pihak lain kecuali diwajibkan oleh peraturan perundang-undangan atau perintah pengadilan yang sah.

6. Penyimpanan dan retensi

• Data disimpan selama langganan berjalan, di server pada pusat data di Singapura.
• Masa retensi terukur: jejak audit 12 bulan (alamat IP dan user-agent dikosongkan setelah 90 hari), notifikasi 6 bulan, berkas impor dan ekspor 7 hari, log teknis paling lama 90 hari, salinan cadangan 14 hari.
• Data pribadi pihak ketiga yang dicatat pelanggan (pemberi kerja beserta kontak orangnya, prospek, mandor, subkontraktor) dapat diekspor dan dianonimkan atas permintaan: nama diganti samaran; kontak, NIK, NPWP, rekening, berkas identitas, catatan tindak lanjut, dan surat penawaran yang tersimpan dihapus atau disamarkan, termasuk di jejak audit. Catatan transaksi tetap ada karena kewajiban perpajakan.
• Dari data pembayaran langganan kami hanya menyimpan yang diperlukan untuk mencocokkan tagihan (nomor transaksi, status, jumlah, waktu); nama dan kontak pembayar yang dikirim penyedia pembayaran tidak disimpan.
• Setelah langganan berakhir, data disimpan 30 hari agar pelanggan dapat mengekspornya, lalu dihapus atas permintaan pelanggan.
• Jejak audit dan catatan pembayaran dapat disimpan lebih lama sepanjang diwajibkan ketentuan perpajakan dan akuntansi.
• Pencadangan dilakukan berkala dan disimpan terbatas waktu; salinan cadangan ikut terhapus mengikuti siklus rotasinya.
• Salinan isian formulir di server situs kurvas.id disimpan paling lama 12 bulan; kiriman yang tersaring sebagai spam (termasuk alamat IP pengirimnya) paling lama 90 hari. Keduanya terhapus otomatis.
• Data calon pelanggan di CRM kami disimpan selama diperlukan untuk menindaklanjuti permintaan Anda, dan dihapus bila Anda memintanya (pasal 12).

Transfer ke luar wilayah Indonesia. Karena server berada di Singapura dan sebagian penyedia pada pasal 5 memproses data di luar Indonesia, data pribadi ditransfer ke luar wilayah hukum Indonesia. Sesuai Pasal 56 Undang-Undang Nomor 27 Tahun 2022, transfer ini dilakukan ke negara yang memiliki undang-undang pelindungan data pribadi (Singapura: Personal Data Protection Act 2012) dan disertai pelindungan yang memadai: data dienkripsi saat dikirim, data sensitif dan salinan cadangan dienkripsi saat disimpan, akses ke server dibatasi pada tim kami, dan penyedia terikat ketentuan pemrosesan data masing-masing. Kami tetap bertanggung jawab atas pelindungan data tersebut dan menjamin akses pengawasan oleh instansi yang berwenang sesuai ketentuan penyelenggaraan sistem elektronik.

7. Hak Anda

Sesuai UU PDP 27/2022, Anda berhak untuk:

• mengetahui data apa yang kami proses dan untuk tujuan apa;
• memperoleh salinan data Anda dalam format yang dapat dibaca mesin;
• memperbaiki data yang keliru;
• menghapus data, sepanjang tidak bertentangan dengan kewajiban hukum kami;
• menarik persetujuan atas pemrosesan yang dasarnya persetujuan;
• mengajukan keberatan dan menyampaikan pengaduan.

Permintaan kami tanggapi paling lambat 3×24 jam untuk konfirmasi penerimaan, dan diselesaikan dalam waktu wajar sesuai ketentuan yang berlaku.

8. Keamanan

• Sandi disimpan dalam bentuk hash, tidak pernah dalam bentuk asli.
• Sesi menggunakan token pada cookie httpOnly; token tidak pernah disimpan di penyimpanan peramban yang dapat dibaca skrip.
• NIK, NPWP, nomor rekening, dan rahasia MFA dienkripsi pada basis data; berkas yang diunggah (KTP, NPWP, rekening, kontrak) dienkripsi saat disimpan dan hanya dapat dibuka lewat tautan bertanda tangan berumur pendek.
• Salinan cadangan dienkripsi; kuncinya tidak berada di server.
• Tersedia autentikasi dua faktor untuk akun yang membutuhkannya.
• Seluruh tindakan yang mengubah data penting tercatat pada jejak audit.

Tidak ada sistem yang sepenuhnya kebal. Bila terjadi kebocoran data pribadi, kami memberitahukannya kepada pelanggan yang terdampak dan kepada otoritas yang berwenang paling lambat 3×24 jam sejak diketahui, disertai keterangan mengenai data yang terdampak dan langkah penanganannya.

9. Cookie

Aplikasi Kurvas hanya memakai cookie yang diperlukan agar layanan berfungsi: menjaga sesi masuk dan preferensi tampilan. Aplikasi tidak memakai cookie iklan.

Situs kurvas.id memakai cookie dan skrip berikut:

• Meta Pixel (_fbp, _fbc): mengukur kunjungan dan iklan Kurvas di Facebook dan Instagram.
• Google Analytics (_ga dan sejenisnya): statistik kunjungan situs.
• Penyimpanan di peramban (bukan cookie): mengingat sumber kunjungan (tautan iklan, parameter UTM) selama sesi, dan menyimpan draf isian formulir demo di perangkat Anda agar tidak hilang bila halaman tertutup. Draf ini tidak dikirim sebelum Anda menekan tombol kirim.

Anda dapat menolak atau menghapus cookie ini lewat pengaturan peramban, atau memakai fitur pemblokir pelacak. Situs dan formulir tetap dapat digunakan tanpa cookie tersebut.

10. Anak

Layanan ini ditujukan untuk penggunaan usaha dan tidak diperuntukkan bagi anak di bawah 18 tahun. Kami tidak dengan sengaja mengumpulkan data pribadi anak.

11. Perubahan kebijakan

Perubahan yang berdampak material diberitahukan paling lambat 30 hari sebelum berlaku melalui aplikasi atau surel.

12. Kontak

Pertanyaan, permintaan hak subjek data, atau pengaduan terkait pelindungan data pribadi dapat disampaikan kepada:

Petugas Pelindungan Data Pribadi
PT Antares Sintesa Digital
Email: [email protected]
Alamat: Nucira Building Lt. 1, Jl. MT Haryono Kav. 27, Tebet, Jakarta Selatan

Pengguna aplikasi juga dapat memakai kanal dukungan di dalam aplikasi. Setiap permintaan dikonfirmasi penerimaannya paling lambat 3×24 jam.