Kebijakan ini menjelaskan bagaimana [NAMA BADAN USAHA] ("RisetFlow", "kami") memproses data pribadi saat menyediakan layanan RisetFlow di situs, aplikasi, dan API kami ("Layanan"). Kebijakan ini mengacu pada Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP") dan Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik.
1. Siapa kami
| Item | Keterangan |
|---|---|
| Nama badan usaha | [NAMA BADAN USAHA] |
| Alamat | [ALAMAT LENGKAP] |
| Nomor Induk Berusaha (NIB) | [NIB] |
| Tanda daftar PSE Lingkup Privat | [NOMOR TANDA DAFTAR PSE] |
| Kontak privasi | [EMAIL PRIVASI] |
| Pejabat atau petugas pelindungan data pribadi | [NAMA/JABATAN, bila ditunjuk] |
Untuk data akun dan pemakaian Anda, RisetFlow adalah pengendali data pribadi. Untuk seat institusi, kampus menentukan siapa yang bergabung dan RisetFlow memproses data atas dasar perjanjian dengan kampus.
2. Data yang kami kumpulkan
| Kategori | Contoh | Sumber |
|---|---|---|
| Identitas dan kontak | Nama, email, peran (mahasiswa, dosen, admin institusi), institusi, bidang studi bila Anda mengisinya | Anda saat daftar atau mengubah profil |
| Kredensial | Kata sandi (disimpan sebagai hash, tidak bisa dibaca kembali), token sesi, pengenal akun Google bila Anda masuk dengan Google | Dibuat saat daftar atau masuk |
| Naskah dan unggahan | Naskah, berkas PDF, daftar pustaka, materi kuliah, dan teks lain yang Anda masukkan atau unggah | Anda |
| Riwayat kerja | Pertanyaan dan hasil dari aksi AI, proyek, folder pustaka, pengaturan | Anda dan sistem |
| Kredit dan pembayaran | Paket, kredit, tagihan, nominal, waktu dan status pembayaran QRIS | Sistem dan penyedia pembayaran |
| Data teknis dan keamanan | Alamat IP, jenis peramban, waktu masuk, catatan audit, catatan panggilan AI (model tingkat, jumlah token, latensi, status; tanpa isi lengkap) | Dibuat sistem |
| Pencegahan penyalahgunaan | Kode satu arah dari alamat IP dan email yang dipakai mendaftar, jumlah pendaftaran per hari, dan kode ajakan | Dibuat sistem |
| Komunikasi dengan kami | Isi email dukungan dan permintaan pengembalian dana | Anda |
Kami tidak mengumpulkan data kartu pembayaran. Pembayaran QRIS berjalan lewat aplikasi bank atau dompet digital Anda dan kami hanya menerima status pembayarannya.
3. Tujuan pemrosesan dan dasar hukumnya
| Tujuan | Data | Dasar (UU PDP Pasal 20 ayat (2)) |
|---|---|---|
| Membuat dan mengelola akun, verifikasi email, reset kata sandi | Identitas, kontak, kredensial | Pelaksanaan perjanjian (huruf b) |
| Menjalankan fitur sesuai paket, termasuk memproses permintaan AI | Naskah, unggahan, riwayat kerja | Pelaksanaan perjanjian (huruf b) |
| Menagih langganan, mencatat kredit, mengirim pengingat | Kredit dan pembayaran, kontak | Pelaksanaan perjanjian (huruf b) |
| Menjaga keamanan, membatasi laju akses, audit | Data teknis dan keamanan | Kepentingan yang sah (huruf f) dan kewajiban hukum (huruf c) |
| Mencegah pendaftaran massal dan penyalahgunaan paket Gratis | Pencegahan penyalahgunaan, verifikasi anti-bot | Kepentingan yang sah (huruf f) |
| Menyimpan catatan transaksi dan perpajakan | Kredit dan pembayaran | Kewajiban hukum (huruf c) |
| Menghitung biaya dan memperbaiki mutu dari data agregat | Catatan panggilan AI, metrik pemakaian | Kepentingan yang sah (huruf f) |
| Memenuhi permintaan aparat yang berwenang | Sesuai permintaan | Kewajiban hukum (huruf c) |
| Mengirim kabar produk | Persetujuan (huruf a), dapat dicabut kapan saja |
Kami tidak menjual data pribadi, tidak memakai naskah Anda untuk iklan, dan tidak melatih model dari naskah Anda.
4. Asisten AI dan apa yang dikirim ke penyedia AI
Hasil AI dibuat oleh model milik penyedia layanan AI pihak ketiga. Untuk membuat hasil, kami mengirim: teks permintaan Anda, bagian naskah atau berkas yang Anda lampirkan pada permintaan itu, riwayat percakapan yang relevan, dan daftar paper dari hasil pencarian yang menjadi bahan rujukan. Kata sandi, token sesi, dan data pembayaran tidak pernah dikirim.
Teks yang Anda tulis atau lampirkan dikirim apa adanya. Bila naskah memuat nama, data narasumber, atau data pribadi lain, data itu ikut terkirim. Hapus atau samarkan data pribadi yang tidak perlu sebelum Anda memakai aksi AI, terutama untuk naskah yang melibatkan responden penelitian.
Kami meminta rantai penyedia kami menjaga kerahasiaan data, tetapi ketentuan akhir pemrosesan mengikuti masing-masing penyedia. Hasil AI bisa keliru; lihat bagian 4 Syarat Layanan.
5. Pihak ketiga yang menerima data
| Pihak | Fungsi | Data yang diterima | Lokasi pemrosesan |
|---|---|---|---|
| Penyedia layanan AI pihak ketiga | Membuat hasil AI | Lihat bagian 4 | Dapat di luar Indonesia |
| Penyedia server (Jakarta) | Menyimpan aplikasi dan basis data | Seluruh data Layanan | Indonesia |
| Basis data akademik terbuka dan registri DOI | Mencari paper dan memverifikasi DOI | Kata kunci, judul, dan DOI dari pencarian dan daftar pustaka Anda; bukan identitas Anda | Dapat di luar Indonesia |
| Penyedia pembayaran QRIS | Memproses pembayaran | Nominal, nomor tagihan, status pembayaran | Indonesia |
| Penyedia email | Email verifikasi, reset kata sandi, pengingat | Alamat email, nama, isi email | Dapat di luar Indonesia |
| Layanan verifikasi anti-bot | Mencegah pendaftaran oleh bot | Data teknis peramban dan perangkat, termasuk alamat IP | Dapat di luar Indonesia |
| Layanan masuk dengan akun Google (opsional) | Masuk tanpa kata sandi baru | Email, nama, dan pengenal akun dari Google | Sesuai ketentuan penyedia |
| Penyimpanan cadangan di luar server | Salinan cadangan terenkripsi | Salinan data Layanan | [LOKASI] |
Kami tidak mencantumkan nama penyedia teknis dan dapat menggantinya tanpa menurunkan perlindungan di kebijakan ini. Kami memberi tahu Anda setidaknya [14] hari sebelum menambah subprosesor yang menerima isi naskah.
6. Transfer data ke luar Indonesia
Server utama kami berada di Jakarta. Sebagian data dikirim ke luar Indonesia saat penyedia AI, penyedia email, atau layanan anti-bot memprosesnya. UU PDP Pasal 56 membolehkan transfer dengan syarat berjenjang: negara penerima punya pelindungan setara atau lebih tinggi, atau ada pelindungan yang memadai dan mengikat, atau Anda menyetujuinya. Kami membatasi data yang dikirim pada yang diperlukan untuk fitur yang Anda jalankan. Dengan memakai aksi AI, Anda memahami bahwa isi permintaan diproses di luar Indonesia seperti dijelaskan di sini.
7. Penyimpanan dan penghapusan
| Data | Lama disimpan |
|---|---|
| Akun, naskah, riwayat kerja | Selama akun aktif, atau sampai Anda menghapusnya. Setelah penghapusan akun, kami menghapus data dalam [30] hari. |
| Cadangan basis data | [7] hari bergulir, lalu ditimpa. Salinan di cadangan ikut hilang saat cadangan itu habis masa simpannya. |
| Tagihan dan catatan pembayaran | Selama diwajibkan peraturan perpajakan dan akuntansi, walaupun akun sudah dihapus. |
| Catatan teknis dan keamanan | [90 hari] |
| Catatan panggilan AI (tanpa isi lengkap) | [12 bulan] |
| Kode pencegahan penyalahgunaan | [JANGKA WAKTU] |
8. Hak Anda
UU PDP Pasal 5 sampai Pasal 13 memberi Anda hak untuk: mendapat informasi tentang pemrosesan; melengkapi dan memperbaiki data; mengakses dan memperoleh salinan data; mengakhiri pemrosesan serta menghapus atau memusnahkan data; menarik persetujuan; mengajukan keberatan atas keputusan yang hanya didasarkan pada pemrosesan otomatis; menunda atau membatasi pemrosesan; menggugat dan menerima ganti rugi; dan memperoleh data dalam format yang lazim.
Sebagian besar data bisa Anda ubah sendiri di pengaturan akun. Untuk permintaan lain, kirim email ke [EMAIL PRIVASI] dari email terdaftar. Kami dapat meminta verifikasi identitas dan menanggapi permintaan perbaikan, akses, penarikan persetujuan, serta penundaan atau pembatasan paling lambat 3 x 24 jam sejak permintaan diterima. Hak ini dapat dibatasi bila ada kewajiban hukum lain, misalnya kewajiban menyimpan catatan pajak.
9. Keamanan
- Koneksi terenkripsi HTTPS untuk situs, aplikasi, dan API.
- Kata sandi disimpan sebagai hash. Sesi memakai cookie HttpOnly, dan perubahan data dilindungi token CSRF.
- Pembatasan laju untuk masuk dan pendaftaran.
- Data tiap workspace dipisahkan secara logis. Admin institusi melihat pemakaian, bukan isi naskah anggota.
- Catatan sistem tidak memuat kata sandi atau isi naskah lengkap.
- Cadangan berkala dengan uji pemulihan.
Tidak ada sistem yang sepenuhnya aman. Bila terjadi kegagalan pelindungan data pribadi yang kami kendalikan, kami memberi tahu Anda dan lembaga pelindungan data pribadi secara tertulis paling lambat 3 x 24 jam, sesuai UU PDP Pasal 46.
10. Cookie
Aplikasi memakai cookie sesi (HttpOnly) agar Anda tetap masuk dan cookie CSRF untuk melindungi permintaan Anda. Keduanya diperlukan agar Layanan berfungsi. Situs landing tidak memasang cookie pelacak.
11. Anak
Pengguna di bawah 18 tahun memerlukan persetujuan orang tua atau wali (UU PDP Pasal 25). Bila Anda orang tua atau wali dan menduga anak Anda mendaftar tanpa persetujuan, hubungi [EMAIL PRIVASI] dan kami menghapus akunnya.
12. Perubahan kebijakan
Kami memberi tahu Anda lewat email atau di aplikasi setidaknya [14] hari sebelum perubahan penting berlaku. Versi sebelumnya tersedia atas permintaan.
13. Kontak dan pengaduan
- Email privasi: [EMAIL PRIVASI]
- Alamat surat: [ALAMAT LENGKAP]
Bila Anda tidak puas dengan tanggapan kami, Anda dapat mengadu kepada lembaga penyelenggara pelindungan data pribadi sesuai UU PDP: [NAMA LEMBAGA DAN KANAL PENGADUANNYA].
Rujukan hukum
- Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi: https://peraturan.bpk.go.id/Details/229798/uu-no-27-tahun-2022
- Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik: https://jdih.kemenkeu.go.id/dok/pp-71-tahun-2019