Kebijakan Privasi

Kebijakan Privasi ini berlaku untuk seluruh layanan yang disediakan oleh AlphaSign ("Kami", "Platform"), termasuk website, aplikasi web, API, layanan whitelabel, dan layanan terkait lainnya. Dengan mengakses atau menggunakan layanan kami, Anda menyetujui pengumpulan dan penggunaan data sebagaimana dijelaskan dalam kebijakan ini.

1. Data yang kami kumpulkan

1.1 Data yang Anda berikan secara langsung

• Data akun: Nama lengkap, alamat email, dan informasi organisasi (jika ada) saat Anda mendaftar.
• Dokumen: File PDF yang Anda unggah untuk ditandatangani, termasuk dokumen dalam project batch.
• Tanda tangan: Gambar tanda tangan (draw/type/upload) yang Anda buat.
• Template: Template dokumen yang Anda buat beserta konfigurasi field (posisi QR, teks, tanda tangan).
• Data penandatangan: Nama dan email pihak yang Anda undang untuk menandatangani.
• Kontak & departemen: Data kontak dan struktur organisasi yang Anda kelola di platform.
• Komunikasi: Pesan yang Anda kirim melalui tiket support.
• Data pembayaran: Informasi transaksi diproses oleh Midtrans (kami tidak menyimpan nomor kartu kredit). Termasuk data kupon/promo yang digunakan.
• Branding & kustomisasi: Logo, warna, favicon, teks watermark, dan konfigurasi QR code custom yang Anda unggah untuk tenant/organisasi Anda.

1.2 Data yang dikumpulkan secara otomatis

• Data perangkat: Alamat IP, jenis browser, sistem operasi, dan perkiraan lokasi geografis.
• Log aktivitas: Waktu login, halaman yang diakses, dan aksi yang dilakukan (untuk jejak audit dan keamanan).
• Cookie: Cookie sesi untuk autentikasi dan preferensi (lihat bagian Cookie di bawah).
• Data penggunaan kuota: Jumlah tanda tangan, dokumen, dan penyimpanan yang digunakan per periode billing.

2. Cara kami menggunakan data

Kami menggunakan data Anda untuk:

• Menyediakan, menjalankan, dan memelihara layanan tanda tangan elektronik.
• Memverifikasi identitas penandatangan dan keaslian dokumen.
• Memelihara jejak audit yang tidak dapat diubah (immutable audit trail) sebagai bukti hukum.
• Mencatat setiap penandatanganan di blockchain publik untuk transparansi dan integritas.
• Menerapkan tanda tangan digital kriptografis (PKI) pada dokumen final.
• Mengirim notifikasi, undangan tanda tangan, permintaan approval, dan pengingat terkait dokumen.
• Memproses pembayaran, mengelola langganan, dan menerapkan kupon/diskon.
• Mengelola kuota penggunaan dan fitur sesuai paket Anda.
• Merender branding kustom (logo, warna, QR code) pada dokumen dan halaman verifikasi sesuai konfigurasi tenant.
• Meningkatkan keamanan akun (deteksi perangkat baru, perlindungan lockout, monitoring abuse).
• Merespon tiket support dan komunikasi Anda.
• Mematuhi kewajiban hukum yang berlaku.

3. Dasar hukum pemrosesan

Kami memproses data Anda berdasarkan:

• Pelaksanaan kontrak: Untuk menyediakan layanan sesuai Syarat & Ketentuan yang Anda setujui.
• Kepentingan yang sah: Untuk menjaga keamanan layanan, mencegah penyalahgunaan, dan melakukan investigasi atas dugaan pelanggaran.
• Kewajiban hukum: Untuk mematuhi peraturan perundang-undangan yang berlaku.
• Persetujuan: Untuk pengiriman komunikasi non-esensial (yang dapat Anda tarik kapan saja).

4. Penyimpanan data

4.1 Lokasi penyimpanan

Data Anda disimpan di pusat data di wilayah Asia Tenggara (Indonesia — Jakarta). Kami memilih penyedia infrastruktur yang memiliki sertifikasi keamanan internasional.

4.2 Masa retensi

• Dokumen yang ditandatangani: Disimpan selama masa retensi sesuai paket Anda (1–7 tahun tergantung tier paket), atau lebih lama jika diwajibkan hukum.
• Jejak audit & blockchain: Permanen — tidak dapat dihapus karena merupakan bukti integritas dokumen.
• Data akun: Selama akun aktif. Setelah penghapusan akun, data dihapus dalam 30 hari kecuali yang diwajibkan retensi hukum.
• Log keamanan: Login history disimpan 12 bulan. Activity log disimpan 24 bulan.
• Email log: Metadata email (tanpa isi) disimpan 6 bulan untuk monitoring.
• Data branding (logo, favicon, QR logo): Selama tenant aktif. Dihapus saat tenant dinonaktifkan atau akun ditutup.

4.3 Penghapusan

Setelah masa retensi berakhir, data dihapus secara otomatis melalui proses terjadwal. Anda juga dapat meminta penghapusan data melalui pengaturan akun atau menghubungi kami.

5. Keamanan data

Kami menerapkan langkah-langkah keamanan teknis dan organisasional, termasuk:

• Enkripsi saat transit (TLS 1.3) dan saat disimpan (AES-256) untuk seluruh data.
• Penandatanganan digital menggunakan infrastruktur kunci publik (PKI) dengan kunci kriptografis yang dikelola secara aman dan terpisah.
• Timestamp Authority (TSA) untuk bukti waktu penandatanganan yang independen.
• Kontrol akses berbasis peran (RBAC) untuk membatasi akses data sesuai peran pengguna dalam organisasi.
• Isolasi data antar-tenant — data organisasi Anda tidak pernah bercampur dengan organisasi lain.
• Deteksi perangkat baru dan notifikasi login dari lokasi tidak dikenal.
• Perlindungan brute force (lockout setelah percobaan gagal berulang).
• PIN proteksi opsional untuk aksi sensitif.
• Verifikasi integritas pembayaran (signature verification, amount validation, replay protection).
• Rate limiting dan deteksi abuse otomatis pada API.
• Jejak audit permanen yang mencatat setiap aksi pada dokumen.

Penjelasan lengkap tersedia di halaman Keamanan & Legalitas.

6. Multi-tenant & isolasi data organisasi

Platform kami menggunakan arsitektur multi-tenant. Setiap organisasi (tenant) memiliki ruang data yang terisolasi:

• Dokumen, kontak, departemen, dan template hanya dapat diakses oleh anggota organisasi yang sama.
• Admin organisasi dapat melihat dan mengelola data dalam lingkup organisasinya.
• Platform admin dapat mengakses data lintas-tenant hanya untuk tujuan support, investigasi pelanggaran, atau kewajiban hukum — selalu dengan alasan tercatat dan batas waktu.
• Data branding (logo, warna, domain) tenant ditampilkan kepada pengunjung yang mengakses domain/halaman verifikasi tenant tersebut.

7. Custom domain & whitelabel

Jika Anda menggunakan fitur custom domain:

• Domain Anda diarahkan ke server kami. Kami menerbitkan sertifikat SSL secara otomatis untuk domain tersebut.
• Pengunjung domain custom Anda akan melihat branding organisasi Anda, bukan branding default AlphaSign.
• Data teknis domain (nama domain, status verifikasi DNS) disimpan dalam sistem kami.
• Kami tidak bertanggung jawab atas konfigurasi DNS yang salah di pihak Anda.

8. Investigasi & akses administratif

Platform admin berwenang melakukan investigasi terbatas terhadap akun pengguna dalam kondisi berikut:

• Dugaan pelanggaran Syarat & Ketentuan.
• Laporan penyalahgunaan atau aktivitas mencurigakan.
• Permintaan penegak hukum yang sah.
• Kebutuhan support teknis yang tidak bisa diselesaikan tanpa inspeksi data.

Setiap investigasi dicatat dalam log permanen (audit trail) yang mencakup admin pelaku, alasan, waktu, dan data yang diakses. Investigasi dibatasi waktu dan memerlukan otorisasi ketat.

9. Berbagi data dengan pihak ketiga

Kami tidak menjual, menyewakan, atau membagikan data pribadi Anda kepada pihak ketiga untuk tujuan pemasaran.

Kami hanya membagikan data dalam situasi berikut:

• Penyedia infrastruktur: Layanan cloud (hosting, penyimpanan, CDN, email) yang terikat kontrak kerahasiaan.
• Pemroses pembayaran: Midtrans memproses transaksi pembayaran. Kami tidak menyimpan data kartu kredit.
• Timestamp Authority (TSA): Layanan timestamp independen untuk bukti waktu penandatanganan. Hanya hash dokumen yang dikirim, bukan isi dokumen.
• Kewajiban hukum: Jika diwajibkan oleh perintah pengadilan, peraturan pemerintah, atau proses hukum yang sah.
• Atas instruksi Anda: Misalnya, saat Anda mengundang pihak lain untuk menandatangani dokumen atau membagikan link verifikasi.

10. Hak Anda

Anda memiliki hak untuk:

• Mengakses: Meminta salinan data pribadi yang kami simpan tentang Anda.
• Memperbaiki: Memperbarui data yang tidak akurat melalui pengaturan akun.
• Menghapus: Meminta penghapusan akun dan data terkait (dengan memperhatikan kewajiban retensi hukum dan integritas dokumen yang sudah ditandatangani).
• Membatasi: Meminta pembatasan pemrosesan data tertentu.
• Portabilitas: Mengekspor data Anda dalam format yang dapat dibaca mesin (CSV).
• Menarik persetujuan: Menarik persetujuan pemrosesan data non-esensial kapan saja.

Untuk menjalankan hak Anda, hubungi kami melalui halaman kontak.

11. Cookie

11.1 Apa itu cookie

Cookie adalah file kecil yang disimpan di perangkat Anda saat mengunjungi website kami.

11.2 Cookie yang kami gunakan

• Cookie esensial (wajib): Diperlukan untuk autentikasi sesi, keamanan CSRF, dan menjalankan fungsi dasar platform. Tidak dapat dinonaktifkan.
• Cookie preferensi: Menyimpan pilihan Anda (misalnya persetujuan cookie, perangkat terpercaya). Disimpan di localStorage.

11.3 Cookie pihak ketiga

Kami tidak menggunakan cookie untuk iklan, pelacakan lintas situs, atau analytics pihak ketiga.

11.4 Pilihan Anda

Saat pertama kali mengunjungi situs, banner cookie akan ditampilkan. Anda dapat menerima atau menolak cookie non-esensial. Pilihan Anda disimpan dan banner tidak akan muncul lagi. Anda juga dapat menghapus cookie melalui pengaturan browser.

12. Penggunaan API & logging

Jika Anda menggunakan REST API, kami mencatat:

• Request metadata: method, path, status code, response time, IP address, user agent.
• Data ini disimpan maksimal 30 hari untuk monitoring dan deteksi penyalahgunaan.
• Setelah 30 hari, log dihapus otomatis dari sistem.
• Scoring abuse dilakukan secara otomatis tanpa intervensi manusia. Jika token Anda ditangguhkan, hubungi support untuk klarifikasi.

13. Perlindungan anak

Layanan kami tidak ditujukan untuk anak di bawah 18 tahun. Kami tidak secara sengaja mengumpulkan data dari anak-anak. Jika Anda mengetahui bahwa anak di bawah umur telah memberikan data kepada kami, hubungi kami untuk penghapusan segera.

14. Transfer data internasional

Data Anda disimpan dan diproses di pusat data wilayah Asia Tenggara (Indonesia). Jika terjadi transfer ke wilayah lain (misalnya untuk layanan email atau CDN), kami memastikan perlindungan yang setara melalui kontrak pemrosesan data.

15. Perubahan kebijakan

Kebijakan ini dapat diperbarui dari waktu ke waktu untuk mencerminkan perubahan layanan atau peraturan. Perubahan material akan kami informasikan melalui email atau notifikasi di platform setidaknya 14 hari sebelum berlaku efektif. Tanggal "Terakhir diperbarui" di bagian atas menunjukkan revisi terbaru.

16. Hubungi kami

Jika Anda memiliki pertanyaan, permintaan, atau keluhan terkait privasi data Anda:

• Kontak: Hubungi kami melalui form kontak
• Halaman kontak: https://alphasign.pastibisa.app/kontak

Kami akan merespon dalam waktu 14 hari kerja.