Keamanan & Legalitas

Setiap dokumen yang ditandatangani melalui AlphaSign dilindungi oleh beberapa lapisan keamanan kriptografis:

• Enkripsi transit (TLS 1.3): Seluruh komunikasi antara perangkat Anda dan server kami dienkripsi dengan protokol standar industri.
• Enkripsi penyimpanan (AES-256): Dokumen disimpan dalam keadaan terenkripsi di server berlokasi di Indonesia. Hanya sistem yang memiliki kunci yang dapat membaca isi file.
• Tanda tangan digital (PKI): Setiap dokumen final ditandatangani secara digital menggunakan infrastruktur kunci publik dengan kunci kriptografis yang dikelola secara aman.
• Timestamp Authority (TSA): Waktu penandatanganan dibuktikan oleh pihak ketiga independen sehingga tidak dapat dipalsukan.
• Integritas dokumen (SHA-256): Setelah semua pihak menandatangani, hash final dokumen dikunci. Perubahan sekecil apapun pada file akan terdeteksi.

Setiap dokumen yang selesai ditandatangani dicatat secara permanen di blockchain publik kami:

• Immutable chain: Setiap blok berisi hash transaksi yang terhubung ke blok sebelumnya. Mengubah satu blok akan memutus seluruh rantai.
• Transparansi: Siapa saja dapat memverifikasi bahwa suatu penandatanganan benar-benar terjadi melalui halaman Ledger Publik.
• Privasi terjaga: Blockchain hanya mencatat bukti kriptografis (hash). Tidak ada nama, email, atau isi dokumen yang dipublikasikan.
• Permanen: Data di ledger tidak dapat dihapus — bahkan oleh kami sebagai pengelola platform.

Kami menerapkan sistem keamanan berlapis untuk melindungi akses ke akun Anda:

• Passwordless login: Login tanpa password menggunakan kode OTP yang dikirim ke email. Lebih aman dari password yang lemah atau bocor.
• PIN proteksi: Lapisan keamanan tambahan (opsional) untuk aksi sensitif seperti hapus dokumen atau ubah email.
• Deteksi perangkat baru: Setiap login dari perangkat yang belum dikenali akan memicu notifikasi email ke pemilik akun.
• Trusted devices: Perangkat yang sudah diverifikasi dapat dipercayakan tanpa perlu OTP ulang selama periode tertentu.
• Account lockout: Setelah beberapa percobaan login gagal, akun terkunci otomatis untuk mencegah brute force.
• IP rate limiting: IP yang melakukan terlalu banyak percobaan gagal dibatasi otomatis.
• Session management: Anda dapat melihat semua perangkat yang login dan logout secara remote kapan saja.

Seluruh aktivitas penting dicatat secara otomatis dan tidak dapat dihapus:

• Siapa yang membuat dokumen, kapan, dan dari perangkat apa.
• Siapa yang menandatangani, kapan, IP address, dan browser yang digunakan.
• Seluruh perubahan pada akun, tim, dan pengaturan organisasi.
• Riwayat login (berhasil dan gagal) tersimpan selama 12 bulan.

Jejak audit ini dapat digunakan sebagai bukti hukum jika diperlukan.

Tanda tangan elektronik di Indonesia diakui sah berdasarkan:

• UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (UU ITE), khususnya Pasal 11 tentang tanda tangan elektronik.
• UU No. 19 Tahun 2016 tentang Perubahan atas UU ITE.
• PP No. 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik, khususnya Pasal 60 tentang persyaratan tanda tangan elektronik yang sah.

Persyaratan keandalan tanda tangan elektronik yang dipenuhi oleh AlphaSign:

1. Data pembuatan tanda tangan terkait hanya dengan penandatangan.
2. Data pembuatan tanda tangan pada saat penandatanganan hanya berada dalam kuasa penandatangan.
3. Segala perubahan terhadap tanda tangan yang terjadi setelah penandatanganan dapat diketahui.
4. Segala perubahan terhadap informasi elektronik yang terkait dengan tanda tangan dapat diketahui.
5. Terdapat cara tertentu untuk mengidentifikasi siapa penandatangannya.
6. Terdapat cara tertentu untuk menunjukkan bahwa penandatangan telah memberikan persetujuan.

• Server di Indonesia: Data disimpan di pusat data di Indonesia dengan sertifikasi keamanan internasional.
• CDN: Aset statis dilayani melalui content delivery network untuk kecepatan akses optimal.
• HTTPS enforced: Seluruh traffic dipaksa menggunakan HTTPS dengan security headers standar industri.
• Backup otomatis: Data di-backup secara berkala ke lokasi terpisah.
• Monitoring 24/7: Sistem dipantau secara real-time untuk deteksi anomali.
• Pembaruan keamanan: Patch keamanan diterapkan secara rutin.

• Autentikasi berbasis token — tidak ada password yang dikirim dalam setiap request.
• Rate limiting per paket mencegah penyalahgunaan.
• Deteksi abuse otomatis memantau pola penggunaan abnormal.
• Token yang mencurigakan otomatis dibatasi atau ditangguhkan.
• Security headers standar industri diterapkan di seluruh endpoint.
• Request log disimpan untuk periode terbatas untuk audit, lalu dihapus otomatis.

AlphaSign menggunakan arsitektur multi-tenant dengan isolasi ketat:

• Scope per organisasi: Setiap query database otomatis di-filter berdasarkan organisasi aktif. Dokumen, kontak, template, dan data lainnya tidak pernah bercampur antar-organisasi.
• Role-based access: Owner, Admin, dan Member memiliki hak akses berbeda. Hanya Owner yang dapat mengubah pengaturan kritis organisasi.
• Fitur sesuai paket: Akses fitur dikontrol per paket — fitur yang belum dibeli tidak dapat diakses bahkan melalui URL langsung.
• Custom domain isolation: Setiap domain custom (whitelabel) mendapat sertifikat SSL tersendiri yang diterbitkan secara otomatis.
• Investigasi terbatas: Platform admin hanya dapat mengakses data tenant lain melalui sesi investigasi berdurasi maksimal 24 jam, dengan persetujuan ganda (dual-authorization) dan audit trail permanen.

Proses pembayaran dilindungi oleh beberapa lapisan keamanan:

• Verifikasi kriptografis: Setiap notifikasi pembayaran diverifikasi menggunakan signature kriptografis. Notifikasi palsu otomatis ditolak.
• Validasi nominal: Jumlah pembayaran yang diterima dicocokkan dengan jumlah yang seharusnya. Ketidakcocokan otomatis ditolak.
• Perlindungan duplikasi: Notifikasi pembayaran yang sama tidak dapat diproses lebih dari sekali.
• 3D Secure: Pembayaran kartu kredit menggunakan 3D Secure untuk verifikasi tambahan.
• Fraud Detection: Sistem deteksi fraud berjalan otomatis — transaksi mencurigakan ditolak sebelum diproses.
• Rate limiting: Percobaan checkout dibatasi untuk mencegah abuse.

Kami tidak menyimpan nomor kartu kredit atau data sensitif pembayaran lainnya. Seluruh pemrosesan kartu dilakukan oleh payment gateway berstandar PCI-DSS.