Kebijakan Privasi

1. Pengelola dan ruang lingkup

Pengelola layanan: [NAMA BADAN/PERORANGAN — WAJIB DIISI]. Alamat: [ALAMAT — WAJIB DIISI]. Email untuk permintaan data: [EMAIL PRIVASI — WAJIB DIISI]. Dokumen ini menjelaskan pemrosesan data pada layanan NomorSurat, termasuk akun, organisasi, penomoran surat, tanda terima, persetujuan penerima, API, verifikasi publik, dan billing.

Draf ini perlu disesuaikan dengan peran pengelola sebagai pengendali atau prosesor data, kontrak dengan organisasi pengguna, serta deployment nyata. Rujukan hukum yang perlu diperiksa pengelola adalah UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi dan peraturan pelaksana yang berlaku.

2. Data yang diproses

• Akun: nama, email, identitas Google, dan avatar yang diberikan provider autentikasi.
• Organisasi: nama, kode, logo, nomor WhatsApp organisasi bila diisi, owner, anggota, role, dan undangan.
• Surat: format, nomor, subjek, tujuan, status pembatalan, pembuat, waktu, token verifikasi, dan metadata audit yang diperlukan untuk integritas arsip.
• Tanda terima: nama penerima, kontak opsional, tanggal diterima, serta snapshot dokumen yang diperlukan untuk membuat ulang PDF berotorisasi.
• Persetujuan penerima: nama penanda tangan, gambar tanda tangan, versi persetujuan, waktu, snapshot dan checksum dokumen, hash alamat IP bila tersedia, hash user agent bila tersedia, serta status permintaan tanda tangan. Tautan mentah tidak disimpan setelah diterbitkan.
• API: nama token, perusahaan pemilik, hak akses, waktu dibuat, kedaluwarsa, dan terakhir dipakai. Nilai token lengkap hanya ditampilkan satu kali dan disimpan sebagai hash.
• Langganan dan pembayaran: paket dan periode, nominal, metode pembayaran yang dipilih, ID pesanan, ID dan status transaksi, serta waktu pembayaran yang dilaporkan Midtrans. Nomor kartu, PIN, dan kredensial pembayaran lain dimasukkan langsung di halaman Midtrans dan tidak disimpan layanan ini. Bukti transfer yang pernah diunggah sebelum pembayaran online tetap disimpan sebagai riwayat dan tidak ditampilkan publik.
• Teknis: sesi, rate limit, log aplikasi, dan audit operasi yang diperlukan untuk keamanan serta penelusuran. Rincian retensi log deployment wajib diisi pengelola.

3. Tujuan dan dasar pemrosesan

Data diproses untuk membuat akun, memisahkan tenant, mengelola role dan organisasi, menerbitkan nomor surat secara berurutan, membuat tanda terima dan DOCX, merekam persetujuan penerima, menyediakan integrasi API dan verifikasi publik terbatas, menangani langganan Pro dan riwayat pembayaran, mengirim undangan atau notifikasi bila fitur dan provider dikonfigurasi, serta menjaga audit, keamanan, pencegahan penyalahgunaan, dan kewajiban hukum.

Dasar pemrosesan, kepentingan yang sah, persetujuan, kewajiban kontraktual, dan kewajiban hukum untuk setiap kategori harus disetujui pengelola. Jangan memublikasikan draf ini sebelum pemetaan tersebut selesai.

4. Pihak ketiga dan perpindahan data

• Google digunakan untuk OAuth sesuai akun dan konfigurasi Google Cloud yang dipasang pengelola.
• Fonnte dapat digunakan untuk notifikasi WhatsApp hanya ketika token, endpoint, dan nomor organisasi benar-benar dikonfigurasi. Status provider aktif dan lokasi pemrosesannya wajib diisi.
• Midtrans memproses pembayaran langganan. Nama dan email owner serta nominal, periode paket, dan metode pembayaran yang dipilih dikirim ke Midtrans untuk membuat tagihan. Lokasi pemrosesan dan perjanjian pemroses wajib diisi pengelola.
• Email undangan memakai mail transport yang dipilih pada deployment. Nama provider, fungsi, negara pemrosesan, dan perjanjian pemroses wajib diisi.
• Hosting, database, object storage, CDN, monitoring, dan backup belum ditentukan oleh kode ini. Pengelola wajib mengisi nama, lokasi, fungsi, dasar transfer, dan kontrol akses yang benar-benar digunakan.

Layanan tidak boleh mengklaim lokasi penyimpanan, transfer lintas negara, backup, SLA, atau sertifikasi sebelum bukti deployment dan operasi tersedia.

5. Verifikasi publik dan pembatasan akses

Halaman verifikasi publik hanya menampilkan nomor surat, nama perusahaan, tanggal, dan status. Subjek, tujuan, kontak penerima, alasan pembatalan, token, dan audit internal tidak ditampilkan. Data privat lain hanya boleh diakses melalui route yang memeriksa tenant, role, dan otorisasi.

6. Retensi, perubahan paket, dan penghapusan

Nomor surat yang sudah diterbitkan tidak dihapus atau dipakai ulang; pembatalan menyimpan status dan alasan. Downgrade atau berakhirnya Pro tidak menghapus organisasi, anggota, surat, lampiran, logo historis, atau dokumen yang sudah dihasilkan. Data historis tetap tunduk pada otorisasi akses.

Jangka retensi per kategori: [JADWAL RETENSI AKUN, ARSIP, BUKTI BAYAR, LOG, DAN BACKUP — WAJIB DIISI]. Mekanisme penghapusan, anonimisasi, dan pemusnahan backup: [PROSEDUR — WAJIB DIISI]. Jangan menjanjikan penghapusan otomatis sebelum prosedur tersebut tersedia dan diuji.

7. Permintaan akses, koreksi, dan penghapusan

Permintaan akses, salinan, koreksi, pembatasan, keberatan, atau penghapusan dapat diajukan melalui [EMAIL/FORM PRIVASI — WAJIB DIISI] dengan informasi yang cukup untuk memverifikasi pemohon. Pengelola harus menetapkan metode verifikasi identitas, pemisahan antara owner organisasi dan penerima surat, waktu tanggapan, pengecualian karena kewajiban arsip, serta jalur pengaduan yang berlaku.

Permintaan tidak boleh diproses dengan membocorkan data milik tenant atau penerima lain. Kontak pribadi penerima pada tanda terima diperlakukan sebagai data yang dibatasi.

8. Keamanan dan insiden

Akses aplikasi dibatasi oleh autentikasi, tenant, role, dan policy. Rincian enkripsi menyeluruh, manajemen kunci, backup, pemulihan, pemantauan, dan pemberitahuan insiden belum menjadi janji publik; isi bagian ini setelah S08/S12 membuktikan kontrol deployment yang dipakai.

Kontak insiden: [KONTAK INSIDEN — WAJIB DIISI]. Prosedur penanganan dan pemberitahuan pelanggaran: [PROSEDUR — WAJIB DIISI].

9. Perubahan kebijakan

Perubahan identitas pengelola, tujuan pemrosesan, provider, retensi, atau hak pengguna harus ditinjau dan diberi tanggal berlaku sebelum dipublikasikan. Riwayat versi: [DAFTAR VERSI — WAJIB DIISI].