Versi: 1.1.3-2026-10-23 · Berlaku sejak: 2026-10-23

Kebijakan Privasi Bukujanji

Versi: 1.1.3 Tanggal Efektif: 23 Oktober 2026

1. Pengantar

Bukujanji ("kami") menghormati privasi Anda dan tunduk pada UU No. 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP), PP 71/2019, Permenkominfo 5/2020, serta praktik privasi internasional yang baik. Kebijakan ini menjelaskan jenis data yang kami kumpulkan, bagaimana kami memprosesnya, kepada siapa kami membagikannya, dan hak-hak Anda sebagai subjek data.

Pengendali Data (Controller): PT Kreatif Sistem Teknologi, Jakarta. Petugas Perlindungan Data (DPO): Ryan Sunaryo, Direktur Utama — ryan.sunaryo@kreatifcity.com.

2. Data yang Kami Kumpulkan

2.1 Data identitas dan kontak

• Nama, alamat email, nomor WhatsApp, kode telepon negara, kota, foto profil.
• Untuk Pemilik Komunitas: KTP (NIK + nama + alamat), foto selfie, NPWP (jika ada), data rekening bank.
• Untuk Peserta yang booking atas nama anak: nama anak, tanggal lahir, jenis kelamin, hubungan dengan booker.

2.2 Data transaksi dan booking

• Riwayat booking event/paket, status pembayaran, riwayat refund, kode promo yang dipakai.
• Catatan check-in (QR scan timestamp), ulasan yang Anda berikan.
• Data pembayaran (nomor kartu, VA) tidak disimpan di server kami — diproses dan disimpan oleh Midtrans sesuai standar PCI-DSS.

2.3 Data perangkat dan penggunaan

• Alamat IP, jenis perangkat, OS, browser, locale, identitas push (OneSignal).
• Halaman yang Anda kunjungi, aksi yang dilakukan, timestamp.
• Cookies dan teknologi serupa (lihat Cookie Policy).

2.4 Data komunikasi

• Konten pesan yang Anda kirim ke customer service, riwayat email broadcast yang kami kirim, pengaturan notifikasi Anda.

2.5 Data deklarasi kesehatan

• Untuk kelas yang membutuhkannya (misalnya yoga, olahraga), Anda dapat diminta mengisi deklarasi kesehatan singkat. Data ini bukan rekam medis; hanya disimpan pada catatan booking sebagai informasi dasar untuk Pemilik Komunitas.

2.6 Rekam medis (klinik pengguna modul Rekam Medis)

• Klinik yang memakai modul Rekam Medis mencatat data kesehatan pasiennya di Bukujanji: identitas pasien (termasuk NIK, tempat & tanggal lahir, alamat, kontak), alergi, persetujuan, serta isi kunjungan (keluhan, riwayat penyakit, pemeriksaan, tanda vital, diagnosis, tindakan, rencana, cara bayar) dan tanda tangan tenaga kesehatan.
• Untuk data ini klinik adalah pengendali data, dan Bukujanji (PT Kreatif Sistem Teknologi) memprosesnya atas nama dan perintah klinik sebagai prosesor data. Permintaan pasien atas rekam medisnya (akses, salinan, koreksi) diajukan ke klinik; kami membantu klinik memenuhinya.
• Isi klinis, NIK, dan identitas pelengkap pasien disimpan terenkripsi per kolom (AES-256-GCM) dengan kunci terpisah, hanya dibuka oleh tenaga kesehatan atau staf klinik yang diberi izin, dan setiap pembukaan dicatat.

3. Dasar Hukum Pemrosesan

Sesuai Pasal 20 UU PDP, kami memproses data Anda berdasarkan:

• Persetujuan eksplisit — saat Anda check checkbox saat signup/booking.
• Pelaksanaan kontrak — untuk memberikan layanan booking yang Anda minta.
• Kepatuhan hukum — untuk pajak, audit, perintah hukum.
• Kepentingan sah — untuk keamanan platform, pencegahan penipuan, perbaikan produk.

Anda dapat menarik persetujuan kapan saja; lihat Bagian 7.

4. Bagaimana Kami Menggunakan Data

• Memproses booking, pembayaran, refund, dan settlement.
• Mengirim konfirmasi booking, pengingat event (email + push), kuitansi.
• Memungkinkan Pemilik Komunitas mengelola roster event mereka (mereka melihat nama, email, dan nomor telepon peserta yang booking event-nya).
• Menampilkan ulasan publik dengan nama yang dimask ("Sari W.").
• Mendeteksi penipuan dan menjaga integritas platform.
• Analytics agregat untuk peningkatan produk (tidak menargetkan individu).
• Komunikasi pemasaran opt-in only (broadcast komunitas baru, promo) — Anda dapat unsubscribe kapan saja.

5. Pembagian Data ke Pihak Ketiga

Kami membagikan data secara terbatas dan terikat kontrak (DPA):

• Pemilik Komunitas event yang Anda book: nama, email, telepon, deklarasi kesehatan, identitas peserta (untuk roster + check-in). Mereka tidak menerima data riwayat booking Anda di komunitas lain.
• Midtrans untuk pemrosesan pembayaran.
• Iris by Midtrans untuk pencairan dana ke Pemilik Komunitas / Outlet.
• AWS S3 (penyimpanan file — KTP, foto rekening bank, dokumen karyawan, dll) — wilayah Jakarta, Indonesia.
• AWS SES (pengiriman email transaksional) — wilayah Singapura.
• OneSignal untuk push notifications.
• Meta (WhatsApp Business API) untuk pengiriman pesan transaksional bila diaktifkan.
• Penyedia model bahasa (AI) untuk balasan otomatis di chat WhatsApp dan webchat: bila Anda berinteraksi dengan asisten otomatis kami, isi pesan Anda dan nama Anda dikirim ke penyedia AI tersebut untuk menghasilkan jawaban. Penyedia yang kami gunakan saat ini adalah Moonshot AI (MOONSHOT AI PTE. LTD., server di Singapura menurut kebijakan privasi platform mereka); kami juga dapat menggunakan OpenAI (Amerika Serikat). Penyedia tersebut menyatakan konten yang dikirimkan dipakai untuk melatih dan menyempurnakan model serta algoritma mereka, dan disimpan selama akun kami di layanan mereka masih aktif — bukan untuk jangka waktu tertentu. Anda dapat menghindari pemrosesan ini dengan meminta dilayani staf manusia.
• Telegram untuk notifikasi operasional internal ke tim kami (mis. permintaan penarikan saldo) yang dapat memuat nama, nomor telepon, dan nominal transaksi Anda.
• Google Analytics 4 dan Meta Pixel pada situs web kami untuk mengukur kunjungan dan efektivitas iklan (lihat Cookie Policy).
• Kementerian Kesehatan (platform SATUSEHAT): kunjungan rekam medis yang sudah ditandatangani dikirim ke SATUSEHAT atas nama klinik, memakai kredensial milik klinik, bila klinik menyalakan integrasi tersebut sesuai kewajibannya sebagai fasilitas pelayanan kesehatan. Server SATUSEHAT berada di Indonesia.
• Otoritas hukum bila ada perintah pengadilan, panggilan kepolisian, atau permintaan resmi yang valid.

Kami tidak menjual data pribadi Anda ke pihak ketiga untuk tujuan komersial mereka sendiri.

5.1 Koneksi AI (untuk pemilik outlet)

"Koneksi AI" memungkinkan pemilik outlet menghubungkan asisten AI pilihannya sendiri — misalnya ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google), Grok (xAI), atau aplikasi lain yang mendukung protokol MCP — ke outlet milik pemilik tersebut. Fitur ini terpisah dari asisten otomatis yang dijelaskan di atas, yang dijalankan Bukujanji sendiri untuk membalas pelanggan. Bagian ini berlaku bagi pemilik outlet yang memakai fitur tersebut dan bagi pelanggan yang datanya tersimpan di outlet yang terhubung.

• Siapa yang memutuskan. Hanya akun pemilik outlet yang dapat membuat koneksi (akun karyawan ditolak). Pemilik masuk di halaman milik Bukujanji — kata sandi tidak diberikan kepada penyedia AI — lalu melihat layar persetujuan yang menyebut nama penyedia AI, daftar data yang akan dikirim, dan memungkinkan pemilik menghilangkan centang pada tiap izin untuk mengubah data. Izin membaca dan membalas chat Inbox WhatsApp tidak tercentang secara bawaan. Kami mencatat persetujuan pemilik: outlet, izin yang diberikan, versi teks persetujuan, waktu, alamat IP, user-agent peramban, serta nama dan host aplikasi AI.
• Peran para pihak. Pemilik outlet yang memutuskan pengiriman data pelanggan outlet ke penyedia AI dan bertanggung jawab atas dasar hukumnya terhadap pelanggannya sendiri. Bukujanji bertanggung jawab untuk mengirim hanya data yang diminta aplikasi AI yang terhubung, sebatas izin yang diberikan pemilik. Setelah data sampai ke penyedia AI, data itu disimpan dan diproses menurut kebijakan privasi serta ketentuan penyedia tersebut, bukan kebijakan ini; kami tidak mengendalikan, dan tidak bertanggung jawab atas, penyimpanan, penggunaan, atau kebocoran data di sisi penyedia. Beberapa paket individu penyedia AI dapat memakai percakapan untuk melatih model kecuali pemilik menonaktifkannya di pengaturan penyedia.
• Data yang dapat diakses. Bergantung pada izin yang diberikan pemilik: jadwal dan booking (nama dan nomor telepon pelanggan, layanan, jam, status, jumlah tagihan/terbayar, serta catatan booking dan alasan pembatalan yang ditulis staf); daftar pelanggan (nama, telepon, kunjungan terakhir, dan nama anak/peserta di outlet kelas); informasi paket, sisa kuota, dan tindak lanjut; ringkasan laporan (angka omzet dan jumlah); katalog dan harga (layanan, meja/lapangan, kelas, promo, voucher); serta dompet outlet (saldo, settlement, dan riwayat penarikan — angka saja, tidak pernah nomor rekening bank). Bila pemilik mencentang izin Inbox WhatsApp, isi chat WhatsApp pelanggan, beserta nama dan nomornya, juga dapat dibaca aplikasi AI. Kami tidak mengirim tanggal lahir atau catatan pelanggan yang sudah tersimpan, dan tidak mengirim data outlet lain. Bila pemilik mengizinkan, aplikasi AI juga dapat membuat atau mengubah data di outlet (misalnya layanan, kelas, promo, booking dari paket aktif, memindahkan atau membatalkan booking kelas, menandai kehadiran, data dan catatan pelanggan, pengingat WhatsApp, dan balasan chat Inbox). Setiap perubahan itu ditampilkan sebagai pratinjau dan baru dilakukan setelah pemilik mengonfirmasinya di percakapan, dan asisten tidak memiliki kemampuan menghapus data.
• Tidak didorong, hanya atas permintaan. Bukujanji tidak mengirim data outlet ke penyedia AI atas inisiatif sendiri. Data keluar hanya ketika aplikasi AI yang terhubung memintanya lewat panggilan tertentu. Tiap koneksi dibatasi 60 permintaan per menit dan, untuk daftar pelanggan (nama dan nomor telepon), 500 baris per hari.
• Token dan masa berlaku. Akses diberikan melalui OAuth. Access token berlaku 1 jam; refresh token berlaku 30 hari dan diganti setiap kali dipakai; catatan otorisasi yang mendasarinya disimpan hingga 400 hari. Token terikat pada satu outlet dan tidak dapat dipakai untuk outlet lain.
• Pencabutan. Pemilik dapat mencabut koneksi kapan saja di Pengaturan → Koneksi AI, atau mengubah izinnya tanpa menghubungkan ulang. Pencabutan memutus koneksi sejak permintaan berikutnya (paling lambat sekitar satu menit). Seluruh koneksi seorang pemilik juga dicabut otomatis saat pemilik mengganti kata sandi dari halaman pengaturan akun; mengatur ulang kata sandi lewat "Lupa kata sandi" saat ini tidak mencabutnya, jadi cabut koneksi secara manual bila Anda mencurigai akun Anda diakses orang lain. Pencabutan tidak menghapus data yang sudah diterima penyedia AI; untuk menghapus data itu, hubungi penyedia tersebut.
• Log aktivitas kami. Untuk setiap panggilan lewat koneksi, kami menyimpan catatan di basis data kami berisi: pengenal koneksi dan aplikasi AI, nama tool yang dipanggil, berhasil atau tidak, kode galat dan pesan galat singkat (maksimal 300 karakter, ditulis oleh kami; bila panggilan ditolak, pesan ini dapat memuat nama atau nomor telepon pelanggan yang disebut dalam penolakan, misalnya nomor yang sudah terdaftar), lama pemrosesan, rujukan ke catatan yang dibuat (misalnya ID transaksi), dan waktunya. Argumen panggilan hanya disimpan dalam bentuk tersamar: teks bebas diringkas menjadi dua karakter pertama ditambah panjangnya (misalnya "Ca…(7)"), hanya nilai struktural seperti tanggal, jam, status, dan jenis filter yang disimpan apa adanya (maksimal 60 karakter per nilai), angka dan nilai benar/salah disimpan, kode konfirmasi sekali pakai dibuang, dan catatan yang terlalu besar hanya menyimpan nama argumennya. Isi yang dikembalikan ke aplikasi AI tidak disimpan di log ini. Kami memakainya untuk keamanan, dukungan, deteksi penyalahgunaan, dan menampilkan riwayat koneksi kepada pemilik. Log ini saat ini tidak dihapus berdasarkan jadwal tetap; Anda dapat meminta penghapusannya sesuai Bagian 7.
• Permintaan fitur. Bila pemilik meminta AI melakukan sesuatu yang tidak dapat dilakukan, asisten dapat meninggalkan deskripsi singkat dan umum atas permintaan itu (maksimal 500 karakter, ditambah konteks hingga 300 karakter), bersama pengenal koneksi dan outlet, untuk ditinjau tim produk kami. Asisten diinstruksikan untuk tidak memasukkan nama pelanggan, nomor telepon, atau data pribadi lain di dalamnya.

6. Penyimpanan Data

• Data akun aktif: disimpan selama akun aktif.
• Riwayat transaksi: 10 tahun sesuai UU Perpajakan.
• Log audit & keamanan: 90 hari; peristiwa kritis (mis. kegagalan login, perubahan izin) 180 hari.
• Koneksi AI: catatan persetujuan dan status koneksi tetap disimpan setelah koneksi dicabut, sebagai bukti persetujuan; log panggilan tool dijelaskan di Bagian 5.1 dan saat ini tidak dihapus berdasarkan jadwal tetap.
• Data yang Anda minta untuk dihapus: dihapus dalam 30 hari kerja, kecuali yang wajib disimpan secara hukum (akan diberi flag "anonymized" dan tidak digunakan lagi untuk profil pribadi).
• Rekam medis klinik (Bagian 2.6): disimpan selama diwajibkan peraturan bagi klinik — rekam medis elektronik paling singkat 25 tahun sejak kunjungan terakhir pasien (Permenkes 24/2022). Rekam medis tidak ikut terhapus ketika akun pelanggan dihapus.
• Cadangan (backup) database: dapat berisi data Anda hingga 90 hari setelah permintaan hapus, lalu di-overwrite oleh siklus rotasi backup.

7. Hak Subjek Data (Pasal 5–14 UU PDP)

Anda berhak:

• Akses — melihat data yang kami simpan tentang Anda.
• Koreksi — meminta perbaikan data yang salah/usang.
• Penghapusan — meminta penghapusan akun dan data terkait (subjek pengecualian hukum di Bagian 6).
• Portabilitas — meminta salinan data Anda dalam format yang umum digunakan (JSON/CSV).
• Pembatasan — meminta kami berhenti memproses data tertentu sementara permintaan diselidiki.
• Penarikan persetujuan — withdraw consent untuk pemrosesan opsional (notif marketing, dll.).
• Komplain ke otoritas — mengajukan keluhan ke Komdigi (Pengawas Pelindungan Data Pribadi) bila Anda tidak puas dengan respons kami.

Cara: kirim email ke support@bukujanji.com dengan bukti identitas. Kami merespons dalam 3×24 jam kerja sesuai standar UU PDP.

7.1 Cara menghapus akun Bukujanji

1. Pastikan tidak ada transaksi atau booking yang masih aktif.
2. Kirim email dari alamat email yang terdaftar di Bukujanji ke support@bukujanji.com, dengan subjek "Permintaan Penghapusan Akun" dan berisi: nama lengkap, email terdaftar, dan (opsional) alasan penghapusan.
3. Tim kami meninjau permintaan dalam 1–3 hari kerja, dan menghubungi Anda bila perlu verifikasi tambahan.
4. Setelah disetujui, akun dan data terkait dihapus sesuai jangka waktu di Bagian 6, dan Anda menerima email konfirmasi.

Penghapusan bersifat permanen: data yang sudah dihapus tidak dapat dikembalikan, kecuali yang wajib kami simpan secara hukum (lihat Bagian 6).

8. Keamanan Data

• Basis data utama kami di-hosting secara mandiri (self-hosted) di pusat data Jakarta, Indonesia, bukan layanan basis data terkelola pihak ketiga.
• TLS 1.2+ untuk semua koneksi.
• Hashing bcrypt untuk password (Pemilik Komunitas / Customer login).
• Akses internal terbatas dengan role-based permission + audit log.
• Isi rekam medis, NIK, dan kredensial integrasi SATUSEHAT dienkripsi per kolom (AES-256-GCM) dengan kunci terpisah; setiap pembukaan rekam medis dicatat.
• Kode kami memiliki pengujian otomatis atas kontrol akses (termasuk isolasi antar-outlet). Uji penetrasi oleh pihak independen direncanakan dan belum dilakukan.
• Insiden keamanan material akan diberitahukan ke subjek data terdampak dan ke Komdigi dalam 3×24 jam sesuai Pasal 46 UU PDP.

9. Anak di Bawah Umur

Platform tidak ditujukan untuk pengguna di bawah 18 tahun sebagai pemegang akun mandiri. Jika peserta event adalah anak, booking harus dilakukan oleh orang tua/wali yang berusia 18+ atas nama anak (fitur "Booking untuk anak"). Data anak yang kami simpan terbatas pada nama, tanggal lahir, jenis kelamin — dan hanya digunakan untuk roster event yang relevan.

10. Transfer Lintas Batas

Data utama Anda disimpan di Indonesia (basis data dan penyimpanan berkas kami berada di Jakarta). Namun sebagian pemrosesan dilakukan di luar Indonesia:

• Singapura — pengiriman email transaksional (AWS SES) dan balasan otomatis AI (Moonshot AI), bila Anda berinteraksi dengan asisten otomatis kami.
• Amerika Serikat — OpenAI (bila digunakan sebagai penyedia AI), Google Analytics, Meta Pixel, OneSignal.
• Infrastruktur global — Meta (WhatsApp Business API), Telegram.
• Penyedia AI pilihan pemilik outlet (Koneksi AI, Bagian 5.1) — lokasinya bergantung pada penyedia yang dihubungkan pemilik (misalnya OpenAI, Anthropic, Google, atau xAI); data dikirim ke sana atas perintah pemilik dan kami tidak mengendalikan di mana penyedia menyimpannya.

Untuk transfer semacam ini, kami memastikan negara tujuan memiliki tingkat perlindungan yang setara, atau menggunakan Standard Contractual Clauses (SCC) sebagai mekanisme legitimasi sesuai Pasal 56 UU PDP.

11. Perubahan Kebijakan

Pembaruan material akan diberitahukan via email + banner Platform 14 hari sebelum efektif. Versi terbaru selalu tersedia di /legal/privacy-policy.

12. Kontak

Petugas Perlindungan Data (DPO): Ryan Sunaryo, Direktur Utama — ryan.sunaryo@kreatifcity.com Customer service dan permintaan hak subjek data: support@bukujanji.com Surat: PT Kreatif Sistem Teknologi, Jakarta.