Kebijakan Privasi

Kebijakan Privasi ini menjelaskan bagaimana PT Mura Teras Kreatif, perusahaan induk yang mengelola Kiosapi.id sebagai salah satu produknya ("Kiosapi", "kami"), selaku Pengendali Data Pribadi mengumpulkan, memakai, menyimpan, mengungkapkan, dan melindungi data pribadi Anda saat menggunakan layanan Kiosapi.id ("Layanan"). Kebijakan ini disusun mengacu pada Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP"), UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik beserta perubahannya ("UU ITE"), PP No. 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik, serta ketentuan peraturan pelaksana lainnya.

Dengan mendaftar atau menggunakan Layanan, Anda menyatakan telah membaca dan memahami Kebijakan ini serta memberikan persetujuan atas pemrosesan data pribadi sebagaimana dijelaskan di bawah ini. Jika Anda tidak menyetujui Kebijakan ini, mohon tidak menggunakan Layanan.

1. Identitas Pengendali Data Pribadi

PT Mura Teras Kreatif
Bogor Park Residence Blok BB No.10, Pamoyanan, Bogor Selatan, Kota Bogor, Jawa Barat 16163
Nomor Induk Berusaha (NIB): 1305260064228
Tanda Daftar PSE (Penyelenggara Sistem Elektronik) Nomor 130526006422800010001
Email: info@murakreatif.com
Telepon/WhatsApp: 0815-9661-102

Narahubung Pelindungan Data Pribadi (Data Protection Contact): info@murakreatif.com. Permintaan terkait hak atas data pribadi, pertanyaan privasi, dan pengaduan dapat langsung disampaikan ke alamat ini.

2. Data Pribadi yang Kami Kumpulkan

Kami mengumpulkan data pribadi berikut sesuai kebutuhan menyediakan Layanan:

• Data identitas dan akun: alamat email, nomor WhatsApp (opsional), dan kata sandi yang disimpan dalam bentuk hash terenkripsi oleh penyedia autentikasi kami (Supabase). Kami tidak menyimpan kata sandi dalam bentuk terbaca.
• Kredensial API: kunci API (kios_live_…) disimpan hanya sebagai hash SHA-256 satu arah. Nilai kunci penuh tidak kami simpan dan tidak dapat kami lihat atau pulihkan setelah ditampilkan saat pembuatan.
• Data transaksi dan keuangan: riwayat top-up (jumlah, waktu, metode pembayaran, status), saldo prepaid, riwayat pemakaian, dan detail referral. Kami tidak menyimpan nomor kartu kredit/debit, nomor rekening bank, atau data akun e-wallet Anda — data tersebut diproses langsung oleh mitra pembayaran.
• Data pemakaian dan log: model AI yang dipakai, jumlah token (input/output/cache), estimasi biaya per permintaan, waktu permintaan, sumber permintaan (Cursor, web chat, API, CLI, atau Studio), dan alamat IP. Data ini dipakai untuk penghitungan tagihan, pembatasan laju, dan pencegahan penyalahgunaan.
• Konten percakapan (Chat): bila Anda menggunakan fitur Chat, isi pesan, judul percakapan, mode, dan nada percakapan disimpan dalam bentuk terenkripsi (enkripsi-saat-disimpan) dengan kunci yang dikelola terpisah dari basis data utama. Perlu dipahami: untuk menghasilkan jawaban, isi pesan tetap diproses dalam bentuk terbaca oleh gateway kami dan dikirim ke penyedia model AI di hulu sesuai kebijakan privasi mereka — enkripsi kami melindungi salinan yang tersimpan, bukan proses inferensi tersebut.
• Konten media (Studio): gambar, video, dan klip audio yang Anda hasilkan melalui Studio Kreator disimpan sementara di penyimpanan objek kami (Cloudflare R2) dengan masa retensi terbatas (lihat Pasal 8). Prompt teks yang Anda masukkan untuk menghasilkan media juga diproses dan dikirim ke penyedia model AI di hulu. File yang Anda unggah sebagai referensi (mis. foto produk untuk diedit) diperlakukan sama.
• Data channel WhatsApp (Kiosapi Konek): bila Anda mendaftarkan channel WhatsApp Business melalui fitur Konek, kami menyimpan ID Akun WhatsApp Business (WABA), ID Nomor Telepon, dan access token WhatsApp Anda (disimpan dalam bentuk terenkripsi, terpisah dari basis data utama). Kami juga memproses isi pesan dan nomor WhatsApp pelanggan Anda yang masuk melalui channel tersebut untuk menghasilkan balasan otomatis berbasis AI — isi pesan tersebut turut dikirim ke penyedia model AI di hulu (lihat Pasal 5) sebagai bagian dari proses menghasilkan balasan, dan disimpan sementara sesuai masa retensi pada Pasal 8.
• Dokumen basis pengetahuan (RAG): dokumen (PDF/gambar) yang Anda unggah sebagai basis pengetahuan untuk fitur Chat maupun Konek diproses melalui OCR, dipecah menjadi potongan teks, diubah menjadi representasi vektor (embedding), dan disimpan untuk keperluan pencarian saat menghasilkan jawaban.
• Data referral: bila Anda mendaftar melalui tautan referral, kami mencatat ID pengguna yang merujuk Anda (bukan data pribadi pihak ketiga) untuk keperluan pemberian bonus referral sesuai program yang berlaku.
• Data teknis dan perangkat: jenis peramban, sistem operasi, dan preferensi lokal (tema, bahasa) yang disimpan di peramban Anda (localStorage/cookie sesi). Log kesalahan teknis dapat ditangkap oleh sistem pemantauan kami (lihat Pasal 5).
• Preferensi komunikasi: pilihan Anda untuk berlangganan atau berhenti berlangganan komunikasi email produk/newsletter (opt-in/opt-out).

3. Cara Kami Mengumpulkan Data

Data pribadi Anda dikumpulkan melalui cara-cara berikut:

• Langsung dari Anda: saat mendaftar akun, mengisi profil, melakukan top-up, menggunakan fitur Chat atau Studio, menghubungi dukungan, atau mengatur preferensi di dasbor.
• Secara otomatis: saat Anda menggunakan Layanan, sistem kami secara otomatis mencatat log pemakaian, alamat IP, dan data teknis terkait permintaan API.
• Dari pihak ketiga: penyedia autentikasi pihak ketiga (email/kata sandi maupun Masuk dengan Google, keduanya melalui Supabase Auth), mitra pembayaran yang memberikan notifikasi status transaksi kepada kami, dan — bagi pengguna fitur Konek — WhatsApp Business Platform (Meta) yang meneruskan pesan masuk dari pelanggan Anda ke sistem kami.

4. Tujuan dan Dasar Pemrosesan

Kami memproses data pribadi Anda berdasarkan dasar pemrosesan yang sah menurut Pasal 20 UU PDP:

• Pelaksanaan perjanjian: menyediakan dan mengoperasikan Layanan, mengotentikasi akses, menghitung pemakaian dan saldo, memproses pembayaran top-up, dan memberikan dukungan teknis.
• Pemenuhan kewajiban hukum: memenuhi kewajiban pelaporan dan retensi data sesuai peraturan perundang-undangan yang berlaku, termasuk kewajiban sebagai PSE terdaftar.
• Kepentingan yang sah (legitimate interest): keamanan sistem, pencegahan penipuan dan penyalahgunaan, pemantauan kesehatan layanan, peningkatan kualitas Layanan, dan penghitungan statistik agregat (tanpa mengidentifikasi individu) untuk pengembangan produk.
• Persetujuan Anda: pengiriman komunikasi email produk/newsletter (Anda dapat menarik persetujuan kapan saja melalui pengaturan akun di /dashboard/settings).

5. Pengungkapan kepada Pihak Ketiga (Prosesor Data)

Kami menggunakan penyedia layanan tepercaya yang memproses data atas nama kami sebagai Prosesor Data. Kami hanya membagikan data yang diperlukan untuk fungsi masing-masing layanan:

• Supabase (Supabase Inc., Amerika Serikat) — basis data relasional, autentikasi, dan Row Level Security. Menyimpan data akun, saldo, log pemakaian, dan percakapan terenkripsi.
• Cloudflare (Cloudflare, Inc., Amerika Serikat) — hosting gateway API, jaringan tepi (edge network), penyimpanan objek (R2 untuk konten media Studio), dan Workers AI (model AI tier gratis).
• Upstash (Upstash, Inc., Amerika Serikat) — penyimpanan Redis untuk pembatasan laju (rate limiting), kuota tier gratis, dan konfigurasi dinamis (kurs USD/IDR). Data yang tersimpan bersifat non-identifikasi (penghitung per user ID, bukan data pribadi lengkap).
• PT Mura Teras Kreatif — perusahaan induk kami memproses pembayaran menggunakan Xendit (utama) dan DOKU (fallback) sebagai prosesor pembayaran akhir berlisensi Bank Indonesia, mendukung QRIS, e-wallet, virtual account, dan kartu. Kami tidak menyimpan nomor instrumen pembayaran Anda; data tersebut diproses oleh Xendit/DOKU sesuai kebijakan privasi dan lisensi Bank Indonesia mereka.
• Resend (Resend, Inc., Amerika Serikat) — pengiriman email transaksional dan komunikasi produk (konfirmasi top-up, pemberitahuan saldo, newsletter bila Anda opt-in). Resend menerima alamat email dan isi pesan yang diperlukan untuk pengiriman.
• Sentry (Functional Software, Inc., Amerika Serikat) — pemantauan kesalahan dan kinerja sistem (error monitoring). Sentry dapat menangkap pesan kesalahan teknis dan sebagian konteks permintaan; kami mengonfigurasinya untuk tidak mengirim isi prompt atau data sensitif pengguna ke Sentry.
• Penyedia model AI di hulu — menerima isi prompt Anda (teks, gambar referensi, atau instruksi media), termasuk isi pesan pelanggan yang diproses melalui fitur Konek, untuk menghasilkan respons/konten. Penyedia yang kami gunakan saat ini meliputi: OpenAI, Anthropic, Google (Gemini/Vertex AI/Veo/Lyria), Groq, Alibaba Cloud (Qwen/DashScope), DeepSeek, xAI (Grok), Moonshot AI (Kimi), MiniMax, Mistral AI, dan Z.ai (GLM) — seluruhnya lewat API resmi langsung masing-masing penyedia, tanpa perantara agregator. Pemrosesan oleh masing-masing penyedia tunduk pada kebijakan privasi mereka masing-masing.
• Meta Platforms, Inc. (WhatsApp Business Platform, Amerika Serikat) — bagi pengguna fitur Konek, Meta memproses pesan yang dikirim dan diterima melalui WhatsApp Business API atas nama Anda (sebagai pemilik channel) maupun kami (sebagai penyedia teknologi). Pemrosesan oleh Meta tunduk pada WhatsApp Business Data Processing Terms dan kebijakan privasi Meta.

Kami tidak memperjualbelikan data pribadi Anda kepada pihak ketiga. Pengungkapan lain hanya dilakukan bila diwajibkan oleh hukum atau permintaan sah yang sah dari otoritas yang berwenang.

6. Konten yang Anda Kirim ke Model AI

Kiosapi adalah gateway yang meneruskan permintaan Anda (termasuk teks, gambar, dan instruksi pada prompt) ke penyedia model AI pihak ketiga di hulu untuk menghasilkan respons. Jangan mengirim data pribadi sensitif, rahasia, atau milik pihak lain yang tidak Anda miliki haknya melalui prompt. Pemrosesan oleh penyedia hulu tunduk pada kebijakan privasi masing-masing penyedia dan berada di luar kendali kami setelah permintaan diteruskan.

Seluruh konten media (gambar, video, audio) yang dikirim melalui Studio dimoderasi secara otomatis sebelum diproses untuk mencegah penyalahgunaan sesuai kebijakan penyedia dan hukum yang berlaku.

7. Komunikasi Email

Kami mengirimkan dua jenis email:

• Email transaksional (dasar: pelaksanaan perjanjian): konfirmasi pendaftaran/verifikasi, konfirmasi top-up berhasil, peringatan saldo menipis/habis, peringatan batas pengeluaran, dan komunikasi terkait keamanan akun. Email ini selalu dikirim ke akun terdaftar dan tidak dapat dinonaktifkan karena diperlukan untuk beroperasinya Layanan.
• Email produk / newsletter (dasar: persetujuan): informasi fitur baru, model AI yang tersedia, pengumuman pemeliharaan, dan konten relevan lainnya. Email ini hanya dikirim bila Anda mengaktifkan opt-in melalui /dashboard/settings. Anda dapat berhenti berlangganan kapan saja melalui pengaturan akun atau tautan berhenti berlangganan yang tersedia di setiap email tersebut.
• Pengumuman penting (dasar: kepentingan yang sah / pemenuhan kewajiban hukum): dalam situasi tertentu — seperti perubahan kebijakan material, insiden keamanan yang memengaruhi akun Anda, atau kewajiban regulasi — kami dapat mengirim email kepada seluruh pengguna terdaftar terlepas dari preferensi newsletter. Email ini akan mencantumkan tautan untuk memperbarui preferensi komunikasi Anda.

8. Penyimpanan dan Retensi

Kami menyimpan data pribadi sesuai tujuan pemrosesan dan kewajiban hukum yang berlaku. Periode retensi per jenis data:

• Data akun dan profil: selama akun aktif dan hingga 30 (tiga puluh) hari setelah penghapusan akun (masa tenggang pemulihan), kemudian dihapus atau dianonimkan.
• Log pemakaian dan transaksi: 5 (lima) tahun sejak transaksi, sesuai kewajiban pencatatan keuangan dan fiskal berdasarkan hukum Indonesia.
• Konten percakapan (Chat): selama akun aktif; dihapus saat pengguna menghapus percakapan atau akun dihapus.
• Data channel dan pesan WhatsApp (Konek): data channel (ID WABA, ID Nomor Telepon, access token terenkripsi) disimpan selama channel aktif. Isi percakapan dengan pelanggan disimpan maksimal 7 (tujuh) hari sejak pesan diterima untuk keperluan konteks percakapan, kemudian dihapus otomatis oleh sistem.
• Dokumen basis pengetahuan (RAG): disimpan selama akun aktif atau sampai Anda menghapusnya sendiri melalui dasbor.
• Konten media Studio (gambar/video/audio): disimpan sementara di Cloudflare R2 selama maksimal 30 (tiga puluh) hari sejak dibuat, kemudian dihapus secara otomatis oleh sistem. Anda dapat menghapusnya lebih awal melalui dasbor.
• Log teknis dan monitoring kesalahan (Sentry): sesuai kebijakan retensi Sentry (umumnya 90 hari).
• Data referral: selama akun pengguna yang bersangkutan aktif.

9. Transfer Data ke Luar Wilayah Indonesia

Sebagian prosesor data di atas beroperasi di luar Indonesia, sehingga data pribadi Anda dapat ditransfer dan diproses di luar wilayah Indonesia. Sesuai Pasal 56 UU PDP, kami mengupayakan agar:

• negara tujuan memiliki tingkat pelindungan data yang setara dengan atau lebih tinggi dari Indonesia; atau
• prosesor data yang bersangkutan telah menerapkan pengamanan yang memadai (seperti standar kontraktual atau sertifikasi keamanan internasional).

Dengan menggunakan Layanan, Anda memahami dan menyetujui transfer data tersebut sepanjang diperlukan untuk menyediakan Layanan.

10. Keamanan Data

Kami menerapkan langkah teknis dan organisasi yang wajar, antara lain:

• Penyimpanan kunci API sebagai hash SHA-256 satu arah (tidak dapat dipulihkan).
• Enkripsi isi percakapan Chat saat disimpan (encryption at rest), dengan kunci enkripsi yang dikelola terpisah dari basis data.
• Enkripsi transport (HTTPS/TLS) pada seluruh komunikasi Layanan.
• Kontrol akses berbasis peran (Row Level Security) pada basis data: setiap pengguna hanya dapat mengakses datanya sendiri.
• Pemisahan kredensial rahasia (secrets) dari kode sumber.
• Pemantauan kesalahan dan anomali sistem secara berkelanjutan (Sentry) untuk deteksi dini insiden.

Namun, tidak ada sistem yang sepenuhnya aman. Anda turut bertanggung jawab menjaga kerahasiaan kata sandi dan kunci API Anda. Segera laporkan ke kami bila menduga adanya akses tidak sah ke akun Anda.

11. Notifikasi Pelanggaran Data

Apabila terjadi pelanggaran keamanan data pribadi (data breach) yang berpotensi menimbulkan risiko bagi Anda, kami akan:

• Memberitahu otoritas pengawas pelindungan data yang berwenang di Indonesia dalam waktu paling lambat 14 (empat belas) hari sejak kami mengetahui insiden tersebut, sesuai Pasal 46 UU PDP.
• Memberitahu Anda selaku subjek data yang terdampak sesegera mungkin setelah insiden diverifikasi, khususnya jika pelanggaran berpotensi menimbulkan kerugian serius, melalui email ke alamat terdaftar dan/atau pemberitahuan dalam dasbor.

Pemberitahuan akan mencakup: sifat pelanggaran, data yang terdampak, dampak yang mungkin timbul, dan langkah yang kami ambil atau yang dapat Anda ambil untuk mengurangi dampak.

12. Cookie dan Penyimpanan Lokal

Kami menggunakan cookie sesi dan penyimpanan lokal peramban (localStorage) untuk:

• menjaga sesi login Anda tetap aktif;
• menyimpan preferensi tampilan (tema terang/gelap);
• menyimpan kunci API dan data Studio sementara di perangkat Anda untuk fitur Chat (tidak dikirim ke server kami kecuali saat permintaan API dibuat); dan
• mencatat kode referral dari tautan yang Anda kunjungi (untuk program referral, bila ada).

Kami tidak menggunakan cookie pelacak pihak ketiga untuk periklanan. Anda dapat menghapus cookie dan data penyimpanan lokal melalui pengaturan peramban kapan saja, namun hal ini dapat menyebabkan Anda perlu masuk ulang.

13. Pengambilan Keputusan Otomatis

Sistem kami melakukan pemrosesan otomatis terbatas untuk: moderasi konten media (penyaringan konten melanggar hukum), pembatasan laju pemakaian, dan penghitungan tagihan per token. Pemrosesan ini berdasarkan aturan yang telah ditetapkan, bukan profiling individual. Tidak ada keputusan yang berdampak signifikan pada Anda yang dibuat semata-mata secara otomatis tanpa kemungkinan tinjauan manual; Anda dapat mengajukan keberatan melalui kontak kami.

14. Anak di Bawah Umur

Layanan tidak ditujukan bagi anak di bawah usia 17 (tujuh belas) tahun atau di bawah usia dewasa menurut hukum yang berlaku. Kami tidak secara sengaja mengumpulkan data pribadi anak tanpa persetujuan orang tua atau wali yang sah sesuai UU PDP. Bila Anda mengetahui bahwa anak Anda telah memberikan data pribadi tanpa izin Anda, segera hubungi kami agar data tersebut dapat dihapus.

15. Hak Anda sebagai Subjek Data Pribadi

Sesuai UU PDP Pasal 22–29, Anda berhak untuk:

• Mendapatkan informasi dan akses atas data pribadi Anda yang kami proses.
• Memperbaiki/memperbarui data yang tidak akurat atau tidak lengkap.
• Menghapus data pribadi (hak untuk dilupakan) dalam kondisi yang diatur oleh UU PDP. Penghapusan akun dapat diminta melalui fitur hapus akun di dasbor atau email ke kami.
• Menarik persetujuan untuk pemrosesan yang didasarkan pada persetujuan (mis. berhenti berlangganan newsletter) tanpa memengaruhi keabsahan pemrosesan sebelumnya.
• Menolak pemrosesan tertentu dan pembuatan keputusan otomatis yang berdampak pada Anda.
• Portabilitas data — memperoleh salinan data pribadi Anda dalam format yang dapat dibaca mesin, sejauh secara teknis dapat kami sediakan.
• Mengajukan keberatan/pengaduan atas pemrosesan data pribadi Anda.

Untuk menggunakan hak-hak tersebut, hubungi kami di info@murakreatif.com dengan subjek "Permintaan Hak Data Pribadi". Kami akan merespons dalam waktu paling lambat 30 (tiga puluh) hari kerja sejak permintaan diterima dan identitas Anda terverifikasi. Verifikasi identitas dapat kami lakukan sebelum memproses permintaan untuk mencegah pengungkapan tidak sah.

Anda juga berhak mengajukan pengaduan kepada lembaga pengawas pelindungan data pribadi yang berwenang di Indonesia.

16. Tautan ke Layanan Pihak Ketiga

Layanan kami mungkin berisi tautan ke situs web atau layanan pihak ketiga (mis. dokumentasi penyedia model AI). Kami tidak bertanggung jawab atas praktik privasi situs tersebut. Kami mendorong Anda untuk membaca kebijakan privasi setiap layanan pihak ketiga yang Anda kunjungi.

17. Perubahan Kebijakan

Kami dapat memperbarui Kebijakan ini dari waktu ke waktu seiring perkembangan Layanan atau perubahan peraturan. Perubahan yang material (signifikan) akan diberitahukan melalui pemberitahuan dalam dasbor dan/atau email ke alamat terdaftar Anda paling lambat 14 (empat belas) hari sebelum berlaku, kecuali bila perubahan diperlukan segera karena alasan hukum atau keamanan. Tanggal "Terakhir diperbarui" di bagian atas mencerminkan versi terbaru yang berlaku.

18. Penyelenggara Sistem Elektronik (PSE)

Layanan ini diselenggarakan oleh PT Mura Teras Kreatif yang terdaftar sebagai Penyelenggara Sistem Elektronik Privat pada Kementerian Komunikasi dan Digital Republik Indonesia (Komdigi) dengan Tanda Daftar PSE Nomor 130526006422800010001. Tanda daftar ini dapat diverifikasi melalui sistem OSS/PSE Komdigi di pse.komdigi.go.id.

19. Kontak dan Pengaduan

Pertanyaan, permintaan, atau pengaduan terkait privasi dan pelindungan data pribadi dapat disampaikan kepada:

PT Mura Teras Kreatif
Bogor Park Residence Blok BB No.10, Pamoyanan, Bogor Selatan, Kota Bogor, Jawa Barat 16163
Email: info@murakreatif.com
Telepon/WhatsApp: 0815-9661-102
Jam layanan: Senin–Jumat, 09.00–16.00 WIB

Anda berhak mengajukan pengaduan kepada lembaga pengawas pelindungan data pribadi/otoritas yang berwenang di Indonesia apabila merasa hak Anda tidak dipenuhi. Namun, kami sangat menganjurkan untuk menghubungi kami terlebih dahulu agar dapat menyelesaikan masalah secara langsung.