1. Pendahuluan dan Ruang Lingkup
Arabella Valleta adalah platform perangkat lunak sebagai layanan (Software as a Service) yang menyediakan sistem Point of Sale, manajemen inventaris, dan pengelolaan usaha ritel secara multi-penyewa (multi-tenant).
Kebijakan Privasi ini menjelaskan bagaimana kami mengumpulkan, memproses, menyimpan, membagikan, dan memusnahkan Data Pribadi, serta hak-hak yang Anda miliki atas Data Pribadi tersebut.
Kebijakan ini disusun mengacu pada Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (selanjutnya disebut “UU PDP”) beserta peraturan pelaksananya.
Dengan membuat akun, mengakses, atau menggunakan layanan Arabella Valleta, Anda menyatakan telah membaca dan memahami Kebijakan Privasi ini.
Identitas Pengendali Data Pribadi
| Nama penyelenggara | Arabella Valleta |
|---|---|
| Surel pelindungan data | bimas@arabellavalleta.com |
| Situs | https://www.arabellavalleta.com |
2. Peran Kami: Pengendali dan Prosesor
UU PDP membedakan antara Pengendali Data Pribadi (pihak yang menentukan tujuan dan kendali pemrosesan) dan Prosesor Data Pribadi (pihak yang memproses Data Pribadi atas nama Pengendali). Peran Arabella Valleta berbeda tergantung data yang dibicarakan, dan perbedaan ini menentukan kepada siapa Anda mengajukan permohonan atas hak Anda.
| Jenis data | Peran Arabella Valleta |
|---|---|
| Data akun pemilik usaha dan penggunanya (nama, surel, nomor telepon, peran, riwayat langganan) | Pengendali Data Pribadi. Kami menentukan tujuan dan cara pemrosesannya. |
| Data pelanggan, pemasok, dan karyawan yang dimasukkan oleh pemilik usaha ke dalam sistem | Prosesor Data Pribadi. Pemilik usaha yang bertindak sebagai Pengendali; kami hanya memproses atas instruksi pemilik usaha. |
| Data teknis operasional (log akses, alamat IP, jenis peramban, catatan galat) | Pengendali Data Pribadi, untuk keamanan dan keandalan sistem. |
Penting bagi pelanggan toko. Jika Anda adalah pelanggan sebuah toko yang memakai Arabella Valleta dan ingin mengakses, mengoreksi, atau menghapus data Anda, permohonan tersebut ditujukan kepada toko yang bersangkutan sebagai Pengendali Data Pribadi. Kami akan membantu toko tersebut memenuhinya, namun kami tidak berwenang mengubah data pelanggan atas inisiatif kami sendiri.
3. Data Pribadi yang Kami Proses
3.1 Data yang Anda berikan secara langsung
- Data identitas akun — nama lengkap, alamat surel, foto profil, dan pengenal akun Google apabila Anda mendaftar melalui Google Sign-In.
- Data organisasi — nama usaha, jenis usaha, alamat toko, nomor telepon usaha.
- Data keanggotaan tim — nama, surel, dan peran pengguna yang Anda undang ke dalam organisasi Anda.
- Data komunikasi — isi pesan ketika Anda menghubungi dukungan kami.
3.2 Data yang Anda masukkan sebagai isi sistem
Dalam kedudukan kami sebagai Prosesor, sistem menyimpan data yang Anda masukkan sendiri, antara lain data pelanggan, data pemasok, data karyawan, transaksi penjualan dan pembelian, serta catatan stok.
3.3 Data yang terkumpul secara otomatis
- Alamat IP, jenis perangkat, sistem operasi, dan jenis peramban.
- Waktu akses, halaman yang dibuka, dan catatan galat aplikasi.
- Token autentikasi dan pengenal sesi.
3.4 Data Pribadi yang bersifat spesifik
Pasal 4 ayat (2) UU PDP menggolongkan data kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, data keuangan pribadi, dan pandangan politik sebagai Data Pribadi yang bersifat spesifik.
Arabella Valleta tidak dirancang untuk memproses Data Pribadi yang bersifat spesifik, dan kami tidak meminta data semacam itu. Apabila Anda memasukkannya ke dalam kolom isian bebas, Anda melakukannya atas tanggung jawab Anda sendiri sebagai Pengendali dan wajib memastikan tersedianya dasar pemrosesan yang sah.
4. Dasar Pemrosesan Data Pribadi
Pasal 20 UU PDP mengatur bahwa pemrosesan Data Pribadi wajib memiliki dasar yang sah. Kami memproses Data Pribadi berdasarkan dasar-dasar berikut:
| Dasar pemrosesan | Penerapan pada layanan kami |
|---|---|
| Persetujuan yang sah secara eksplisit | Pembuatan akun, pengiriman informasi produk, dan penggunaan data untuk tujuan di luar pelaksanaan layanan. |
| Pemenuhan kewajiban perjanjian | Penyediaan layanan, pengelolaan langganan, penagihan, dan dukungan teknis. |
| Pemenuhan kewajiban hukum | Penyimpanan catatan transaksi dan pemenuhan kewajiban perpajakan serta permintaan sah dari otoritas berwenang. |
| Pelindungan kepentingan yang sah | Pengamanan sistem, pencegahan penyalahgunaan dan penipuan, serta pemantauan keandalan layanan. |
Apabila pemrosesan didasarkan pada persetujuan, Anda berhak menarik persetujuan tersebut kapan saja. Penarikan persetujuan tidak membatalkan keabsahan pemrosesan yang telah dilakukan sebelum penarikan.
5. Tujuan Pemrosesan
- Membuat, mengautentikasi, dan mengelola akun serta hak akses pengguna.
- Menyediakan, mengoperasikan, dan memelihara fungsi layanan.
- Memisahkan data antarorganisasi sehingga satu organisasi tidak dapat mengakses data organisasi lain.
- Mengelola masa uji coba, langganan, penagihan, dan status pembayaran.
- Memberikan dukungan teknis dan menanggapi pertanyaan Anda.
- Mendeteksi, mencegah, dan menangani gangguan keamanan, penyalahgunaan, dan penipuan.
- Menganalisis penggunaan layanan secara agregat guna meningkatkan kualitas produk.
- Memenuhi kewajiban hukum dan menanggapi permintaan sah dari otoritas berwenang.
Kami tidak menjual Data Pribadi Anda kepada pihak mana pun, dan tidak menggunakan isi data usaha Anda untuk kepentingan komersial kami sendiri.
6. Pembagian Data kepada Pihak Ketiga
Kami membagikan Data Pribadi hanya sejauh diperlukan, kepada pihak-pihak berikut:
| Pihak | Tujuan |
|---|---|
| Google LLC (Firebase Authentication, Cloud Firestore, Cloud Functions, Firebase Hosting) | Infrastruktur autentikasi, basis data, komputasi, dan penyajian aplikasi. |
| Penyedia gerbang pembayaran | Pemrosesan pembayaran langganan. Kami tidak menyimpan nomor kartu pembayaran. |
| Otoritas berwenang | Apabila diwajibkan oleh peraturan perundang-undangan atau perintah pengadilan. |
Setiap pihak ketiga yang memproses Data Pribadi atas nama kami terikat kewajiban kerahasiaan dan keamanan yang setara dengan kebijakan ini.
Transfer Data Pribadi ke luar wilayah Indonesia
Infrastruktur Google Cloud yang kami gunakan dapat menyimpan atau memproses data pada pusat data yang berlokasi di luar wilayah Indonesia. Sesuai Pasal 56 UU PDP, transfer demikian kami lakukan dengan memastikan negara tujuan memiliki tingkat pelindungan yang setara atau lebih tinggi, atau dengan adanya pelindungan yang memadai dan mengikat melalui perjanjian pemrosesan data dengan penyedia layanan.
7. Penyimpanan dan Pemusnahan Data
| Jenis data | Jangka waktu penyimpanan |
|---|---|
| Data akun aktif | Selama akun masih aktif. |
| Data akun uji coba yang tidak dilanjutkan | Paling lama 90 hari setelah masa uji coba berakhir. |
| Data usaha setelah langganan diakhiri | Paling lama 30 hari sebagai tenggang pengunduhan data, kecuali Anda meminta pemusnahan lebih cepat. |
| Catatan transaksi dan dokumen pembukuan | Sesuai jangka waktu yang diwajibkan peraturan perundang-undangan. |
| Log keamanan dan catatan galat | Paling lama 12 bulan. |
Sesuai Pasal 43 dan Pasal 44 UU PDP, kami melakukan penghapusan atau pemusnahan Data Pribadi apabila data tersebut telah habis masa retensinya, tidak lagi diperlukan untuk tujuan pemrosesan, terdapat permintaan yang sah dari Subjek Data Pribadi, atau persetujuan telah ditarik.
8. Keamanan Data Pribadi
Sesuai Pasal 35 dan Pasal 39 UU PDP, kami menerapkan langkah teknis dan organisasi untuk melindungi Data Pribadi, antara lain:
- Enkripsi data dalam pengiriman melalui HTTPS/TLS.
- Enkripsi data dalam penyimpanan pada infrastruktur penyedia layanan awan.
- Autentikasi pengguna melalui Firebase Authentication.
- Aturan otorisasi pada tingkat basis data yang menegakkan pemisahan data antarorganisasi (tenant isolation), sehingga pengguna satu organisasi tidak dapat membaca atau mengubah data organisasi lain.
- Pembatasan hak akses berdasarkan peran pengguna dengan prinsip hak akses seminimal mungkin.
- Pencatatan aktivitas untuk keperluan audit dan penelusuran insiden.
Kami menyadari bahwa tidak ada sistem elektronik yang sepenuhnya kebal. Karena itu kami meninjau dan memperbarui pengamanan kami secara berkala.
9. Pemberitahuan Kegagalan Pelindungan Data Pribadi
Apabila terjadi kegagalan pelindungan Data Pribadi, Pasal 46 UU PDP mewajibkan pemberitahuan disampaikan paling lambat 3 × 24 jam sejak diketahui.
Dalam hal demikian, kami akan menyampaikan pemberitahuan tertulis kepada Subjek Data Pribadi yang terdampak dan kepada lembaga yang berwenang, yang sekurang-kurangnya memuat:
- Data Pribadi yang terungkap;
- kapan dan bagaimana Data Pribadi tersebut terungkap; dan
- upaya penanganan dan pemulihan yang telah dan sedang kami lakukan.
Apabila kegagalan tersebut mengganggu pelayanan publik atau berdampak serius terhadap kepentingan Subjek Data Pribadi, kami juga akan mengumumkannya kepada masyarakat.
10. Hak Anda sebagai Subjek Data Pribadi
Pasal 5 sampai dengan Pasal 15 UU PDP memberikan hak-hak berikut kepada Anda:
- Hak atas informasi — memperoleh kejelasan identitas kami, dasar kepentingan hukum, tujuan pemrosesan, dan akuntabilitas pihak yang meminta Data Pribadi.
- Hak untuk melengkapi dan memperbarui — melengkapi, memperbarui, dan/atau memperbaiki kesalahan atau ketidakakuratan Data Pribadi Anda.
- Hak untuk mengakses — memperoleh akses dan salinan Data Pribadi Anda sesuai dengan ketentuan peraturan perundang-undangan.
- Hak untuk mengakhiri pemrosesan, menghapus, dan memusnahkan Data Pribadi Anda.
- Hak untuk menarik persetujuan atas pemrosesan yang didasarkan pada persetujuan.
- Hak untuk mengajukan keberatan terhadap tindakan pengambilan keputusan yang hanya didasarkan pada pemrosesan otomatis, termasuk pemrofilan, yang menimbulkan akibat hukum atau berdampak signifikan terhadap Anda.
- Hak untuk menunda atau membatasi pemrosesan Data Pribadi secara proporsional sesuai tujuan pemrosesan.
- Hak untuk menggugat dan menerima ganti rugi atas pelanggaran pemrosesan Data Pribadi Anda.
- Hak atas keterbacaan dan pengalihan — memperoleh dan/atau menggunakan Data Pribadi Anda dalam bentuk yang sesuai dengan struktur dan/atau format yang lazim digunakan, serta mengalihkannya kepada Pengendali lain sepanjang sistem yang digunakan dapat saling berkomunikasi secara aman.
Hak-hak tersebut dapat dikecualikan dalam hal-hal tertentu sebagaimana diatur dalam Pasal 15 UU PDP, antara lain untuk kepentingan pertahanan dan keamanan nasional, proses penegakan hukum, kepentingan pengawasan sektor jasa keuangan, serta kepentingan statistik dan penelitian ilmiah.
11. Cara Menggunakan Hak Anda
Sebagian hak dapat Anda jalankan sendiri melalui aplikasi, yaitu memperbarui profil, mengubah data organisasi, mengelola anggota tim, dan mengunduh data usaha Anda.
Untuk permohonan lain, kirimkan surel ke bimas@arabellavalleta.com dengan menyertakan:
- nama dan alamat surel yang terdaftar pada akun Anda;
- nama organisasi Anda pada sistem; dan
- uraian permohonan Anda secara jelas.
Kami akan memverifikasi identitas pemohon terlebih dahulu, kemudian menanggapi permohonan paling lambat 3 × 24 jam sejak permohonan diterima, sesuai ketentuan UU PDP.
Apabila Anda menilai penanganan kami tidak memadai, Anda berhak mengajukan pengaduan kepada lembaga yang berwenang di bidang pelindungan data pribadi.
12. Data Anak dan Penyandang Disabilitas
Layanan Arabella Valleta ditujukan bagi pelaku usaha dan tidak ditujukan bagi anak. Kami tidak dengan sengaja mengumpulkan Data Pribadi anak. Apabila kami mengetahui bahwa Data Pribadi anak telah terkumpul tanpa persetujuan yang sah dari orang tua atau walinya, data tersebut akan kami hapus.
Sesuai Pasal 25 UU PDP, pemrosesan Data Pribadi anak dilakukan dengan persetujuan orang tua atau walinya. Sesuai Pasal 26 UU PDP, pemrosesan Data Pribadi penyandang disabilitas dilakukan dengan persetujuan yang disampaikan melalui cara komunikasi khusus yang dapat dipahami oleh yang bersangkutan.
14. Pengambilan Keputusan Otomatis
Layanan ini dapat menyajikan rekomendasi berbasis analisis data usaha Anda, misalnya saran pengadaan stok. Rekomendasi tersebut bersifat membantu dan tidak menimbulkan akibat hukum bagi Subjek Data Pribadi mana pun. Keputusan akhir sepenuhnya berada di tangan Anda.
Apabila di kemudian hari kami menerapkan pengambilan keputusan otomatis yang menimbulkan akibat hukum atau berdampak signifikan, kami akan memberitahukannya terlebih dahulu dan menyediakan sarana bagi Anda untuk mengajukan keberatan sebagaimana diatur Pasal 10 UU PDP.
15. Kontak dan Pejabat Pelindungan Data Pribadi
Pertanyaan, permohonan, dan pengaduan mengenai pelindungan Data Pribadi dapat disampaikan melalui:
| Surel | bimas@arabellavalleta.com |
|---|---|
| Penyelenggara | Arabella Valleta |
Sesuai Pasal 53 UU PDP, penunjukan Pejabat Pelindungan Data Pribadi wajib dilakukan dalam hal pemrosesan Data Pribadi dilakukan untuk pelayanan publik, kegiatan inti Pengendali memerlukan pemantauan Data Pribadi secara teratur dan sistematis dalam skala besar, atau kegiatan inti Pengendali terdiri atas pemrosesan Data Pribadi yang bersifat spesifik dan/atau yang berkaitan dengan tindak pidana.
16. Perubahan Kebijakan Privasi
Kami dapat memperbarui Kebijakan Privasi ini dari waktu ke waktu, misalnya karena perubahan fitur layanan atau perubahan peraturan perundang-undangan.
Setiap perubahan akan dimuat pada halaman ini disertai tanggal berlaku yang baru. Untuk perubahan yang bersifat material, kami akan memberitahukannya melalui surel terdaftar atau pemberitahuan di dalam aplikasi sebelum perubahan tersebut berlaku.
Penggunaan layanan secara berkelanjutan setelah perubahan berlaku menandakan bahwa Anda menerima kebijakan yang telah diperbarui.