Pemberitahuan PDP (Privacy Notice)

1. Pengendali Data Pribadi dan kontak kami

PT Karsa Sibernetik Internasional ("Karsa" atau "kami") merupakan Pengendali Data Pribadi untuk kegiatan pemrosesan yang tujuan dan kendalinya kami tentukan, termasuk pendaftaran, pengelolaan akun, keamanan layanan, dukungan, dan pelaksanaan hak Subjek Data Pribadi.

Pemberitahuan ini disusun berdasarkan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP") serta dengan memperhatikan Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan UU PDP ("PP PDP").

Kanal tersebut dapat digunakan untuk pertanyaan, permohonan hak, pengaduan, pelaporan dugaan insiden, atau permintaan bantuan aksesibilitas.

2. Ruang lingkup

Pemberitahuan ini berlaku bagi pengunjung situs, penanggung jawab perusahaan atau PIC, calon pengguna, pengguna yang diberi akses oleh perusahaan, dan orang yang menghubungi dukungan. Pemrosesan yang dicakup meliputi:

• pengajuan dan peninjauan pendaftaran perusahaan;
• aktivasi dan pengelolaan akun, kata sandi, autentikasi multifaktor, dan sesi masuk;
• pengisian, penyimpanan, dan pembaruan jawaban asesmen;
• penghitungan skor dan kelengkapan serta pembuatan laporan;
• dukungan teknis, komunikasi layanan, keamanan, dan penanganan insiden; dan
• pelaksanaan hak Subjek Data Pribadi dan pemenuhan kewajiban hukum.

Apabila perusahaan Anda memasukkan Data Pribadi pihak lain dan Karsa mengolahnya semata-mata atas instruksi perusahaan tersebut, perusahaan bertindak sebagai pengendali dan Karsa bertindak sebagai prosesor untuk kegiatan tersebut sesuai perjanjian pemrosesan data. Permohonan mengenai data tersebut dapat kami koordinasikan dengan perusahaan yang bertanggung jawab.

Informasi perusahaan, skor organisasi, dan hasil asesmen tidak selalu merupakan Data Pribadi. Informasi tersebut menjadi Data Pribadi apabila mengidentifikasi atau dapat dikaitkan dengan orang perseorangan.

3. Data Pribadi yang kami proses

Data dapat kami peroleh langsung dari Anda, dari PIC atau pengguna perusahaan yang berwenang, atau secara otomatis saat Anda menggunakan Layanan. Jika Data Pribadi diperoleh secara tidak langsung, kami menyampaikan informasi pemrosesan sesuai ketentuan yang berlaku. Untuk pelaksanaan PP PDP, informasi disampaikan paling lambat 30 hari kerja setelah Data Pribadi dikumpulkan atau diperoleh.

Layanan tidak meminta data kesehatan, biometrik, genetika, catatan kejahatan, data anak, atau data keuangan pribadi untuk menjalankan asesmen organisasi. Agama merupakan Data Pribadi yang bersifat umum menurut UU PDP dan juga tidak diperlukan untuk Layanan ini.

4. Data yang diperlukan dan pilihan Anda

Nama PIC, informasi perusahaan, email perusahaan, dan data autentikasi diperlukan untuk memproses pendaftaran dan memberikan akses yang aman. Jika data tersebut tidak diberikan atau tidak dapat diverifikasi, kami mungkin tidak dapat menindaklanjuti pendaftaran atau menyediakan akses ke Layanan.

Catatan tambahan dalam asesmen bersifat opsional, kecuali Layanan menandai penjelasan tertentu sebagai bagian yang diperlukan dari suatu jawaban. Jangan memasukkan nama, NIK, data kesehatan, informasi rekening pribadi, atau identitas pelanggan, karyawan, dan pihak lain yang tidak diperlukan. Gunakan uraian proses organisasi atau contoh yang telah dianonimkan.

Jika Anda mengetahui bahwa Data Pribadi yang tidak relevan atau tidak semestinya telah disampaikan, hubungi kami. Kami akan menilai kebutuhannya, membatasi akses bila diperlukan, dan menghapus, memusnahkan, atau menangani data tersebut sesuai ketentuan.

5. Tujuan, dasar, dan jangka waktu pemrosesan

Kami memproses Data Pribadi secara terbatas untuk tujuan berikut. Dasar pemrosesan ditetapkan untuk setiap kegiatan dan tidak merupakan persetujuan menyeluruh atas semua penggunaan data.

Apabila kami menggunakan kepentingan yang sah, Anda dapat meminta penjelasan mengenai kepentingan, kebutuhan pemrosesan, penilaian keseimbangan, dan pelindungan hak Anda melalui kontak privasi.

Kami tidak menjual atau menyewakan Data Pribadi dan tidak menggunakannya untuk profil iklan pihak ketiga. Data dalam asesmen tidak digunakan untuk promosi, publikasi studi kasus, atau pelatihan model kecerdasan artifisial tanpa penilaian dasar pemrosesan dan pemberitahuan terlebih dahulu serta persetujuan jika diwajibkan.

6. Pihak yang dapat menerima atau mengakses data

Akses internal diberikan kepada personel Karsa sesuai kebutuhan tugas dan kewenangan. Akses administratif, dukungan, dan penanganan keamanan dibatasi serta dicatat sesuai kebijakan kami.

Penyedia yang bertindak sebagai Prosesor Data Pribadi memproses data berdasarkan instruksi dan ketentuan kontraktual yang berlaku. Kami melakukan pengawasan sesuai peran kami dan tetap bertanggung jawab atas pemrosesan yang berada di bawah kendali kami.

7. Transfer Data Pribadi ke luar Indonesia

Penggunaan Supabase, Vercel, Resend, dan subprosesornya dapat melibatkan penyimpanan, pemrosesan, dukungan, akses jarak jauh, pencadangan, atau transfer lanjutan dari luar wilayah Indonesia. Tujuan transfer terbatas pada penyediaan infrastruktur, autentikasi, hosting, pengiriman email layanan, dukungan teknis, keamanan, dan pemulihan layanan.

Sebelum melakukan transfer, kami:

1. memastikan negara tempat penerima berada memiliki tingkat pelindungan Data Pribadi yang setara atau lebih tinggi sesuai ketentuan;
2. apabila persyaratan tersebut tidak terpenuhi, memastikan adanya pelindungan yang memadai dan bersifat mengikat, termasuk instrumen kontraktual dan pengamanan teknis serta organisasi yang sesuai; atau
3. apabila kedua persyaratan tersebut tidak terpenuhi, meminta persetujuan Subjek Data Pribadi sesuai ketentuan.

Kami menilai tujuan transfer, kategori dan jumlah data, penerima dan subprosesor, lokasi penyimpanan dan akses, transfer lanjutan, instrumen hukum, serta risiko terhadap hak Subjek Data Pribadi. Risiko transfer dapat mencakup perbedaan aturan akses oleh otoritas, kesulitan pelaksanaan hak, dan transfer lanjutan. Mitigasi meliputi pembatasan data, kontrol akses, pengamanan saat pengiriman, kewajiban kontraktual, penilaian penyedia, dan evaluasi berkala.

Hak Anda tetap dapat diajukan kepada kami. Informasi lebih lanjut mengenai penerima, negara tujuan, instrumen pelindungan, dan mekanisme pelaksanaan hak dapat diminta melalui kontak privasi.

8. Penyimpanan, penghapusan, dan pemusnahan

Kami menetapkan Masa Retensi berdasarkan tujuan pemrosesan, kategori data, hubungan layanan, kebutuhan keamanan, dan kewajiban hukum yang berlaku.

Jika Data Pribadi harus disimpan lebih lama karena kewajiban hukum, penyelesaian sengketa, atau proses hukum yang sah, kami membatasi pemrosesan pada data, tujuan, dan jangka waktu yang diperlukan serta mendokumentasikan dasarnya.

Setelah Masa Retensi berakhir atau tujuan tidak lagi berlaku, Data Pribadi dihapus, dimusnahkan, atau dianonimkan secara efektif sesuai ketentuan. Apabila diwajibkan, kami memberi tahu Anda mengenai jenis data, alasan, dan tanggal efektif penghapusan atau pemusnahan. Data yang hanya disamarkan dan masih dapat dihubungkan kembali dengan seseorang tetap diperlakukan sebagai Data Pribadi.

9. Persetujuan dan penarikannya

Pemberitahuan ini merupakan penjelasan mengenai pemrosesan. Membaca pemberitahuan, menggunakan Layanan, atau mengirim formulir tidak dengan sendirinya merupakan persetujuan untuk seluruh tujuan pemrosesan.

Jika suatu kegiatan menggunakan persetujuan sebagai dasar pemrosesan, kami meminta tindakan afirmatif yang jelas untuk tujuan tertentu setelah menyampaikan informasi yang diwajibkan. Persetujuan untuk tujuan tambahan diberikan secara terpisah. Tidak memberikan persetujuan untuk tujuan tambahan tidak mengurangi layanan utama, kecuali layanan yang diminta memang memerlukan pemrosesan tersebut.

Anda dapat menarik persetujuan kapan saja melalui support@privasidata.id dengan menyebutkan tujuan yang dimaksud. Setelah permintaan diverifikasi secara proporsional, kami menghentikan pemrosesan yang didasarkan pada persetujuan tersebut paling lambat 3 × 24 jam sejak permintaan diterima. Penarikan tidak membatalkan pemrosesan yang telah dilakukan secara sah sebelum penarikan.

10. Hak Anda sebagai Subjek Data Pribadi

Sesuai persyaratan dan pengecualian yang ditetapkan peraturan perundang-undangan, Anda memiliki hak untuk:

• memperoleh informasi tentang identitas, dasar kepentingan hukum, tujuan pemrosesan, dan akuntabilitas pihak yang meminta Data Pribadi;
• melengkapi, memperbarui, atau memperbaiki Data Pribadi yang tidak akurat;
• mengakses dan memperoleh salinan Data Pribadi beserta informasi rekam jejak pemrosesan yang relevan;
• mengakhiri pemrosesan serta meminta penghapusan atau pemusnahan Data Pribadi;
• menarik kembali persetujuan;
• mengajukan keberatan terhadap keputusan yang hanya didasarkan pada pemrosesan otomatis, termasuk pemrofilan, yang menimbulkan akibat hukum atau dampak signifikan;
• menunda atau membatasi pemrosesan secara proporsional;
• menggugat dan menerima ganti rugi atas pelanggaran pemrosesan; serta
• memperoleh dan menggunakan Data Pribadi dalam format yang lazim atau dapat dibaca sistem elektronik dan mengirimkannya kepada pengendali lain sepanjang persyaratan portabilitas dan interoperabilitas yang aman terpenuhi.

Cara mengajukan permohonan

1. Kirim permohonan tercatat melalui support@privasidata.id dengan mencantumkan identitas dan kontak pemohon, hak yang diminta, serta uraian data atau kegiatan pemrosesan yang terkait.
2. Kami dapat meminta bukti identitas atau kewenangan yang relevan secara proporsional. Jika permohonan diajukan oleh kuasa atau perwakilan yang sah, sertakan bukti kewenangannya. Jangan mengirim kata sandi, kode OTP, atau rahasia autentikasi.
3. Kami mencatat waktu penerimaan, memverifikasi permohonan, menilai pemenuhan atau penolakan sesuai ketentuan, dan menyampaikan hasil melalui kanal yang sama atau kanal lain yang mudah Anda akses.
4. Jika permohonan tidak dapat dipenuhi seluruhnya, kami menyampaikan alasan dan dasar penolakannya serta memenuhi bagian lain yang masih dapat diberikan dengan melindungi Data Pribadi pihak lain.

Verifikasi tidak mengubah titik awal tenggat yang berdasarkan UU PDP dihitung sejak permintaan diterima. Kami dapat menolak permohonan dalam kondisi yang diizinkan peraturan dan akan menjelaskan alasannya.

Jika penanganan kami tidak menyelesaikan pengaduan, Anda dapat melaporkan kepada lembaga yang berwenang menyelenggarakan Pelindungan Data Pribadi atau menggunakan mekanisme penyelesaian sengketa dan upaya hukum yang tersedia.

11. Skor dan pemrosesan otomatis

Skor dan tingkat kelengkapan dihitung secara otomatis berdasarkan jawaban asesmen organisasi. Hasil tersebut merupakan alat evaluasi mandiri dan bukan sertifikasi, pendapat hukum, atau penetapan kepatuhan oleh otoritas. Hasil dapat berubah ketika jawaban diperbarui.

Kami tidak menggunakan skor tersebut untuk mengambil keputusan yang hanya didasarkan pada pemrosesan otomatis dan menimbulkan akibat hukum atau dampak signifikan terhadap orang perseorangan. Anda dapat meminta penjelasan atau pemeriksaan atas hasil yang berkaitan dengan Data Pribadi Anda. Jika fungsi Layanan berubah dan memenuhi kriteria keputusan otomatis tersebut, kami akan memberikan informasi tambahan dan menyediakan mekanisme keberatan serta peninjauan yang melibatkan manusia.

12. Cookie dan teknologi serupa

Layanan menggunakan cookie atau penyimpanan sesi yang diperlukan untuk autentikasi, menjaga sesi masuk, mengaktifkan pengamanan, dan menyimpan pilihan teknis yang diperlukan. Jika teknologi esensial tersebut diblokir, fungsi masuk atau bagian tertentu dari Layanan mungkin tidak dapat digunakan.

Kami tidak menggunakan cookie untuk iklan pihak ketiga atau pemrofilan perilaku untuk iklan. Apabila kami menambahkan teknologi analitik atau pelacakan yang tidak esensial, kami akan menjelaskan tujuan, data, pihak penerima, dan masa penggunaannya serta menyediakan pilihan dan meminta persetujuan apabila diwajibkan.

13. Keamanan dan Kegagalan Pelindungan Data Pribadi

Kami menerapkan langkah teknis dan organisasi yang disesuaikan dengan sifat dan risiko pemrosesan, termasuk pengamanan komunikasi, pengelolaan autentikasi, autentikasi multifaktor, pembatasan akses berdasarkan peran, pencatatan kegiatan, pengelolaan penyedia, dan prosedur penanganan insiden.

Kegagalan Pelindungan Data Pribadi dapat menyangkut kerahasiaan, integritas, atau ketersediaan, termasuk akses, pengungkapan, perubahan, kehilangan, perusakan, atau pemrosesan tidak sah.

Jika terjadi kegagalan yang menimbulkan kewajiban pemberitahuan, kami menyampaikan pemberitahuan tertulis kepada Subjek Data Pribadi dan lembaga paling lambat 3 × 24 jam sesuai ketentuan. Pemberitahuan mencakup Data Pribadi yang terungkap, kapan dan bagaimana kejadian berlangsung, upaya penanganan dan pemulihan, serta informasi kontak yang dapat dihubungi. Pemberitahuan kepada masyarakat dilakukan apabila diwajibkan.

14. Anak dan aksesibilitas

Layanan ditujukan kepada pengguna berusia 18 tahun atau lebih yang bertindak dalam kapasitas profesional. Kami tidak meminta Data Pribadi anak untuk menjalankan asesmen. Jika Data Pribadi anak terlanjur masuk, kami akan menilai dan menanganinya sesuai ketentuan khusus, termasuk persetujuan orang tua atau wali apabila pemrosesan diperlukan secara sah. Data yang tidak diperlukan akan dihapus atau dimusnahkan sesuai ketentuan.

Pengguna Penyandang Disabilitas dapat meminta format komunikasi atau bantuan pengajuan hak yang mudah digunakan. Mekanisme perwakilan atau persetujuan dilaksanakan sesuai kebutuhan dan ketentuan yang berlaku dengan tetap menghormati hak pengguna.

15. Perubahan Pemberitahuan PDP dan pengalihan data

Kami dapat memperbarui Pemberitahuan PDP ini jika layanan, kegiatan pemrosesan, atau peraturan berubah. Perubahan mengenai legalitas atau dasar pemrosesan, tujuan, jenis dan relevansi data, Masa Retensi, rincian data yang dikumpulkan, jangka waktu pemrosesan, atau hak Anda akan diberitahukan sebelum perubahan dilakukan melalui halaman Layanan, email, atau kanal lain yang dapat Anda akses.

Apabila perubahan memerlukan persetujuan baru, kami akan memintanya sebelum pemrosesan terkait dimulai. Penggunaan Layanan yang berlanjut tidak dengan sendirinya dianggap sebagai persetujuan.

Apabila terjadi pengalihan Data Pribadi sehubungan dengan penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran badan hukum, kami akan memberikan pemberitahuan sebelum dan sesudah pengalihan sesuai ketentuan, termasuk informasi mengenai pihak yang bertanggung jawab, perubahan pemrosesan, dan cara menjalankan hak.

Pemberitahuan ini tidak menghapus, mengalihkan, atau membatasi kewajiban Karsa maupun hak Anda berdasarkan peraturan perundang-undangan.