Versi: 1.1.6-2026-11-10 · Berlaku sejak: 2026-11-10

Kebijakan Privasi Bukujanji

Versi: 1.1.6 Tanggal Efektif: 10 November 2026

1. Pengantar

Bukujanji ("kami") menghormati privasi Anda dan tunduk pada UU No. 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP), PP 71/2019, Permenkominfo 5/2020, serta praktik privasi internasional yang baik. Kebijakan ini menjelaskan jenis data yang kami kumpulkan, bagaimana kami memprosesnya, kepada siapa kami membagikannya, dan hak-hak Anda sebagai subjek data.

Pengendali Data (Controller): PT Kreatif Sistem Teknologi, Jakarta. Petugas Perlindungan Data (DPO): Ryan Sunaryo, Direktur Utama — ryan.sunaryo@kreatifcity.com.

2. Data yang Kami Kumpulkan

2.1 Data identitas dan kontak

• Nama, alamat email, nomor WhatsApp, kode telepon negara, kota, foto profil.
• Untuk Pemilik Komunitas: KTP (NIK + nama + alamat), foto selfie, NPWP (jika ada), data rekening bank.
• Untuk Peserta yang booking atas nama anak: nama anak, tanggal lahir, jenis kelamin, hubungan dengan booker.

2.2 Data transaksi dan booking

• Riwayat booking event/paket, status pembayaran, riwayat refund, kode promo yang dipakai.
• Catatan check-in (QR scan timestamp), ulasan yang Anda berikan.
• Data pembayaran (nomor kartu, VA) tidak disimpan di server kami — diproses dan disimpan oleh penyedia pembayaran kami (Midtrans atau Xendit) sesuai standar PCI-DSS.

2.3 Data perangkat dan penggunaan

• Alamat IP, jenis perangkat, OS, browser, locale, identitas push (OneSignal).
• Halaman yang Anda kunjungi, aksi yang dilakukan, timestamp.
• Cookies dan teknologi serupa (lihat Cookie Policy).

2.4 Data komunikasi

• Konten pesan yang Anda kirim ke customer service, riwayat email broadcast yang kami kirim, pengaturan notifikasi Anda.
• Pesan WhatsApp antara Anda dan nomor WhatsApp outlet yang terhubung ke Platform, termasuk percakapan dengan bot pemesanan, disimpan agar dapat dilihat dan dibalas outlet.

2.5 Data deklarasi kesehatan

• Untuk kelas yang membutuhkannya (misalnya yoga, olahraga), Anda dapat diminta mengisi deklarasi kesehatan singkat. Data ini bukan rekam medis; hanya disimpan pada catatan booking sebagai informasi dasar untuk Pemilik Komunitas.

2.6 Rekam medis (klinik pengguna modul Rekam Medis)

• Klinik yang memakai modul Rekam Medis mencatat data kesehatan pasiennya di Bukujanji: identitas pasien (termasuk NIK, tempat & tanggal lahir, alamat, kontak), alergi, persetujuan, serta isi kunjungan (keluhan, riwayat penyakit, pemeriksaan, tanda vital, diagnosis, tindakan, rencana, cara bayar) dan tanda tangan tenaga kesehatan.
• Untuk data ini klinik adalah pengendali data, dan Bukujanji (PT Kreatif Sistem Teknologi) memprosesnya atas nama dan perintah klinik sebagai prosesor data. Permintaan pasien atas rekam medisnya (akses, salinan, koreksi) diajukan ke klinik; kami membantu klinik memenuhinya.
• Isi klinis, NIK, dan identitas pelengkap pasien disimpan terenkripsi per kolom (AES-256-GCM) dengan kunci terpisah, hanya dibuka oleh tenaga kesehatan atau staf klinik yang diberi izin, dan setiap pembukaan dicatat.

2.7 Data karyawan outlet

• Untuk karyawan yang diberi akses oleh outlet: nama, kontak, peran dan hak akses, jadwal kerja, catatan komisi, serta dokumen karyawan yang diunggah outlet.
• Catatan absensi: waktu masuk dan pulang, cara absen, serta lokasi GPS perangkat saat absen (koordinat, jarak ke outlet, dan tingkat akurasi) bila absen dilakukan dengan lokasi.
• Untuk data ini outlet adalah pengendali data, dan Bukujanji memprosesnya atas nama dan perintah outlet. Permintaan karyawan atas datanya diajukan ke outlet; kami membantu outlet memenuhinya.

2.8 Data yang dicatat outlet tentang pelanggan dan peserta

• Outlet dapat mencatat data pelanggan dan peserta layanannya, termasuk anak: keanggotaan dan sisa sesi, kehadiran per peserta beserta foto bukti kehadiran dan catatan, hasil asesmen dan catatan perkembangan, catatan pelanggan yang ditulis staf, serta isian tambahan yang dibuat outlet.
• Untuk data ini outlet adalah pengendali data, dan Bukujanji memprosesnya atas nama dan perintah outlet. Outlet bertanggung jawab atas dasar pemrosesan yang sah, termasuk persetujuan orang tua atau wali untuk data dan foto anak. Permintaan atas data ini diajukan ke outlet; kami membantu outlet memenuhinya.

3. Dasar Hukum Pemrosesan

Sesuai Pasal 20 UU PDP, kami memproses data Anda berdasarkan:

• Persetujuan eksplisit — saat Anda check checkbox saat signup/booking.
• Pelaksanaan kontrak — untuk memberikan layanan booking yang Anda minta.
• Kepatuhan hukum — untuk pajak, audit, perintah hukum.
• Kepentingan sah — untuk keamanan platform, pencegahan penipuan, perbaikan produk.

Anda dapat menarik persetujuan kapan saja; lihat Bagian 7.

4. Bagaimana Kami Menggunakan Data

• Memproses booking, pembayaran, refund, dan settlement.
• Mengirim konfirmasi booking, pengingat event (email + push), kuitansi.
• Memungkinkan Pemilik Komunitas mengelola roster event mereka (mereka melihat nama, email, dan nomor telepon peserta yang booking event-nya).
• Menampilkan ulasan publik dengan nama yang dimask ("Sari W.").
• Mendeteksi penipuan dan menjaga integritas platform.
• Analytics agregat untuk peningkatan produk (tidak menargetkan individu).
• Komunikasi pemasaran opt-in only (broadcast komunitas baru, promo) — Anda dapat unsubscribe kapan saja.

5. Pembagian Data ke Pihak Ketiga

Kami membagikan data secara terbatas dan terikat kontrak (DPA):

• Pemilik Komunitas event yang Anda book: nama, email, telepon, deklarasi kesehatan, identitas peserta (untuk roster + check-in). Mereka tidak menerima data riwayat booking Anda di komunitas lain.
• Midtrans dan Xendit untuk pemrosesan pembayaran.
• Iris by Midtrans untuk pencairan dana ke Pemilik Komunitas / Outlet.
• AWS S3 (penyimpanan file — KTP, foto rekening bank, dokumen karyawan, dll) — wilayah Jakarta, Indonesia.
• AWS SES (pengiriman email transaksional) — wilayah Singapura.
• OneSignal untuk push notifications.
• Meta (WhatsApp Business API) untuk pengiriman pesan transaksional bila diaktifkan.
• Penyedia model bahasa (AI) untuk balasan otomatis di chat WhatsApp dan webchat: bila Anda berinteraksi dengan asisten otomatis kami, isi pesan Anda dan nama Anda dikirim ke penyedia AI tersebut untuk menghasilkan jawaban. Penyedia yang kami gunakan saat ini adalah Moonshot AI (MOONSHOT AI PTE. LTD., badan usaha Singapura; perusahaan induknya berbasis di Tiongkok). Menurut kebijakan privasi platformnya, data disimpan di server Singapura dan dapat dibagikan kepada afiliasinya; lokasi pemrosesan modelnya tidak diungkapkan. Kami juga dapat menggunakan OpenAI (Amerika Serikat). Penyedia tersebut menyatakan konten yang dikirimkan dipakai untuk melatih dan menyempurnakan model serta algoritma mereka, dan disimpan selama akun kami di layanan mereka masih aktif — bukan untuk jangka waktu tertentu. Anda dapat menghindari pemrosesan ini dengan meminta dilayani staf manusia.
• OpenAI untuk fitur pencarian outlet: teks yang Anda ketik di kolom pencarian dan profil publik outlet dikirim ke OpenAI untuk diubah menjadi representasi numerik (embedding) agar hasil pencarian relevan. Server OpenAI berada di Amerika Serikat.
• Google (Google Calendar) bila Anda, staf outlet, atau outlet menghubungkan Google Calendar: detail jadwal (nama layanan atau kelas, waktu, lokasi outlet, dan nama pelanggan atau peserta) dikirim ke kalender yang dihubungkan.
• Telegram untuk notifikasi operasional internal ke tim kami (mis. permintaan penarikan saldo) yang dapat memuat nama, nomor telepon, dan nominal transaksi Anda.
• Cloudflare untuk jaringan pengiriman konten dan keamanan situs, termasuk perlindungan dari serangan. Lalu lintas ke situs, aplikasi, dan API kami melewati jaringan Cloudflare, sehingga data yang Anda kirim atau terima (termasuk alamat IP dan isi permintaan) diproses Cloudflare dalam perjalanannya.
• Anthropic (Claude), alat bantu berbasis AI yang digunakan tim kami untuk pengembangan dan pengujian perangkat lunak, pemeliharaan sistem, penanganan galat, dan dukungan teknis. Dalam pekerjaan tersebut, sebagian data di sistem kami, termasuk data pribadi, dapat terbaca oleh alat ini sebatas yang diperlukan untuk tugas yang sedang dikerjakan. Alat ini tidak dipakai untuk membalas pelanggan dan bukan bagian dari fitur "Koneksi AI" (Bagian 5.1).
• Google Analytics 4 dan Meta Pixel pada situs web kami untuk mengukur kunjungan dan efektivitas iklan (lihat Cookie Policy).
• Kementerian Kesehatan (platform SATUSEHAT): kunjungan rekam medis yang sudah ditandatangani dikirim ke SATUSEHAT atas nama klinik, memakai kredensial milik klinik, bila klinik menyalakan integrasi tersebut sesuai kewajibannya sebagai fasilitas pelayanan kesehatan. Server SATUSEHAT berada di Indonesia.
• Otoritas hukum bila ada perintah pengadilan, panggilan kepolisian, atau permintaan resmi yang valid.

Kami tidak menjual data pribadi Anda ke pihak ketiga untuk tujuan komersial mereka sendiri.

5.1 Koneksi AI (untuk pemilik outlet)

"Koneksi AI" memungkinkan pemilik outlet menghubungkan asisten AI pilihannya sendiri — misalnya ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google), Grok (xAI), atau aplikasi lain yang mendukung protokol MCP — ke outlet milik pemilik tersebut. Fitur ini terpisah dari asisten otomatis yang dijelaskan di atas, yang dijalankan Bukujanji sendiri untuk membalas pelanggan. Bagian ini berlaku bagi pemilik outlet yang memakai fitur tersebut dan bagi pelanggan yang datanya tersimpan di outlet yang terhubung.

• Siapa yang memutuskan. Hanya akun pemilik outlet yang dapat membuat koneksi (akun karyawan ditolak). Pemilik masuk di halaman milik Bukujanji — kata sandi tidak diberikan kepada penyedia AI — lalu melihat layar persetujuan yang menyebut nama penyedia AI, daftar data yang akan dikirim, dan memungkinkan pemilik menghilangkan centang pada tiap izin untuk mengubah data. Izin membaca dan membalas chat Inbox WhatsApp tidak tercentang secara bawaan. Kami mencatat persetujuan pemilik: outlet, izin yang diberikan, versi teks persetujuan, waktu, alamat IP, user-agent peramban, serta nama dan host aplikasi AI.
• Peran para pihak. Pemilik outlet yang memutuskan pengiriman data pelanggan outlet ke penyedia AI dan bertanggung jawab atas dasar hukumnya terhadap pelanggannya sendiri. Bukujanji bertanggung jawab untuk mengirim hanya data yang diminta aplikasi AI yang terhubung, sebatas izin yang diberikan pemilik. Setelah data sampai ke penyedia AI, data itu disimpan dan diproses menurut kebijakan privasi serta ketentuan penyedia tersebut, bukan kebijakan ini; kami tidak mengendalikan, dan tidak bertanggung jawab atas, penyimpanan, penggunaan, atau kebocoran data di sisi penyedia. Beberapa paket individu penyedia AI dapat memakai percakapan untuk melatih model kecuali pemilik menonaktifkannya di pengaturan penyedia.
• Data yang dapat diakses. Bergantung pada izin yang diberikan pemilik: jadwal dan booking (nama dan nomor telepon pelanggan, layanan, jam, status, jumlah tagihan/terbayar, serta catatan booking dan alasan pembatalan yang ditulis staf); daftar pelanggan (nama, telepon, kunjungan terakhir, dan nama anak/peserta di outlet kelas); informasi paket, sisa kuota, dan tindak lanjut; ringkasan laporan (angka omzet dan jumlah); katalog dan harga (layanan, meja/lapangan, kelas, promo, voucher); serta dompet outlet (saldo, settlement, dan riwayat penarikan — angka saja, tidak pernah nomor rekening bank). Bila pemilik mencentang izin Inbox WhatsApp, isi chat WhatsApp pelanggan, beserta nama dan nomornya, juga dapat dibaca aplikasi AI. Kami tidak mengirim tanggal lahir atau catatan pelanggan yang sudah tersimpan, dan tidak mengirim data outlet lain. Bila pemilik mengizinkan, aplikasi AI juga dapat membuat atau mengubah data di outlet (misalnya layanan, kelas, promo, booking dari paket aktif, memindahkan atau membatalkan booking kelas, menandai kehadiran, data dan catatan pelanggan, pengingat WhatsApp, dan balasan chat Inbox). Setiap perubahan itu ditampilkan sebagai pratinjau dan baru dilakukan setelah pemilik mengonfirmasinya di percakapan, dan asisten tidak memiliki kemampuan menghapus data.
• Tidak didorong, hanya atas permintaan. Bukujanji tidak mengirim data outlet ke penyedia AI atas inisiatif sendiri. Data keluar hanya ketika aplikasi AI yang terhubung memintanya lewat panggilan tertentu. Tiap koneksi dibatasi 60 permintaan per menit dan, untuk daftar pelanggan (nama dan nomor telepon), 500 baris per hari.
• Token dan masa berlaku. Akses diberikan melalui OAuth. Access token berlaku 1 jam; refresh token berlaku 30 hari dan diganti setiap kali dipakai; catatan otorisasi yang mendasarinya disimpan hingga 400 hari. Token terikat pada satu outlet dan tidak dapat dipakai untuk outlet lain.
• Pencabutan. Pemilik dapat mencabut koneksi kapan saja di Pengaturan → Koneksi AI, atau mengubah izinnya tanpa menghubungkan ulang. Pencabutan memutus koneksi sejak permintaan berikutnya (paling lambat sekitar satu menit). Seluruh koneksi seorang pemilik juga dicabut otomatis saat pemilik mengganti kata sandi dari halaman pengaturan akun; mengatur ulang kata sandi lewat "Lupa kata sandi" saat ini tidak mencabutnya, jadi cabut koneksi secara manual bila Anda mencurigai akun Anda diakses orang lain. Pencabutan tidak menghapus data yang sudah diterima penyedia AI; untuk menghapus data itu, hubungi penyedia tersebut.
• Log aktivitas kami. Untuk setiap panggilan lewat koneksi, kami menyimpan catatan di basis data kami berisi: pengenal koneksi dan aplikasi AI, nama tool yang dipanggil, berhasil atau tidak, kode galat dan pesan galat singkat (maksimal 300 karakter, ditulis oleh kami; bila panggilan ditolak, pesan ini dapat memuat nama atau nomor telepon pelanggan yang disebut dalam penolakan, misalnya nomor yang sudah terdaftar), lama pemrosesan, rujukan ke catatan yang dibuat (misalnya ID transaksi), dan waktunya. Argumen panggilan hanya disimpan dalam bentuk tersamar: teks bebas diringkas menjadi dua karakter pertama ditambah panjangnya (misalnya "Ca…(7)"), hanya nilai struktural seperti tanggal, jam, status, dan jenis filter yang disimpan apa adanya (maksimal 60 karakter per nilai), angka dan nilai benar/salah disimpan, kode konfirmasi sekali pakai dibuang, dan catatan yang terlalu besar hanya menyimpan nama argumennya. Isi yang dikembalikan ke aplikasi AI tidak disimpan di log ini. Kami memakainya untuk keamanan, dukungan, deteksi penyalahgunaan, dan menampilkan riwayat koneksi kepada pemilik. Log ini saat ini tidak dihapus berdasarkan jadwal tetap; Anda dapat meminta penghapusannya sesuai Bagian 7.
• Permintaan fitur. Bila pemilik meminta AI melakukan sesuatu yang tidak dapat dilakukan, asisten dapat meninggalkan deskripsi singkat dan umum atas permintaan itu (maksimal 500 karakter, ditambah konteks hingga 300 karakter), bersama pengenal koneksi dan outlet, untuk ditinjau tim produk kami. Asisten diinstruksikan untuk tidak memasukkan nama pelanggan, nomor telepon, atau data pribadi lain di dalamnya.

6. Penyimpanan Data

• Data akun aktif: disimpan selama akun aktif.
• Riwayat transaksi: 10 tahun sesuai UU Perpajakan.
• Log audit & keamanan: 90 hari; peristiwa kritis (mis. kegagalan login, perubahan izin) 180 hari.
• Koneksi AI: catatan persetujuan dan status koneksi tetap disimpan setelah koneksi dicabut, sebagai bukti persetujuan; log panggilan tool dijelaskan di Bagian 5.1 dan saat ini tidak dihapus berdasarkan jadwal tetap.
• Data yang Anda minta untuk dihapus: dihapus dalam 30 hari kerja, kecuali yang wajib disimpan secara hukum (akan diberi flag "anonymized" dan tidak digunakan lagi untuk profil pribadi).
• Rekam medis klinik (Bagian 2.6): disimpan selama diwajibkan peraturan bagi klinik — rekam medis elektronik paling singkat 25 tahun sejak kunjungan terakhir pasien (Permenkes 24/2022). Rekam medis tidak ikut terhapus ketika akun pelanggan dihapus.
• Cadangan (backup) database: dapat berisi data Anda hingga 90 hari setelah permintaan hapus, lalu di-overwrite oleh siklus rotasi backup.

7. Hak Subjek Data (Pasal 5–14 UU PDP)

Anda berhak:

• Akses — melihat data yang kami simpan tentang Anda.
• Koreksi — meminta perbaikan data yang salah/usang.
• Penghapusan — meminta penghapusan akun dan data terkait (subjek pengecualian hukum di Bagian 6).
• Portabilitas — meminta salinan data Anda dalam format yang umum digunakan (JSON/CSV).
• Pembatasan — meminta kami berhenti memproses data tertentu sementara permintaan diselidiki.
• Penarikan persetujuan — withdraw consent untuk pemrosesan opsional (notif marketing, dll.).
• Komplain ke otoritas — mengajukan keluhan ke Komdigi (Pengawas Pelindungan Data Pribadi) bila Anda tidak puas dengan respons kami.

Cara: kirim email ke support@bukujanji.com dengan bukti identitas. Kami merespons dalam 3×24 jam kerja sesuai standar UU PDP.

7.1 Cara menghapus akun Bukujanji

1. Pastikan tidak ada transaksi atau booking yang masih aktif.
2. Kirim email dari alamat email yang terdaftar di Bukujanji ke support@bukujanji.com, dengan subjek "Permintaan Penghapusan Akun" dan berisi: nama lengkap, email terdaftar, dan (opsional) alasan penghapusan.
3. Tim kami meninjau permintaan dalam 1–3 hari kerja, dan menghubungi Anda bila perlu verifikasi tambahan.
4. Setelah disetujui, akun dan data terkait dihapus sesuai jangka waktu di Bagian 6, dan Anda menerima email konfirmasi.

Penghapusan bersifat permanen: data yang sudah dihapus tidak dapat dikembalikan, kecuali yang wajib kami simpan secara hukum (lihat Bagian 6).

8. Keamanan Data

• Basis data utama kami di-hosting secara mandiri (self-hosted) di pusat data Jakarta, Indonesia, bukan layanan basis data terkelola pihak ketiga.
• Lalu lintas ke Platform melewati jaringan Cloudflare untuk penyaringan dan perlindungan dari serangan.
• TLS 1.2+ untuk semua koneksi.
• Hashing bcrypt untuk password (Pemilik Komunitas / Customer login).
• Akses internal terbatas dengan role-based permission + audit log.
• Isi rekam medis, NIK, dan kredensial integrasi SATUSEHAT dienkripsi per kolom (AES-256-GCM) dengan kunci terpisah; setiap pembukaan rekam medis dicatat.
• Kode kami memiliki pengujian otomatis atas kontrol akses (termasuk isolasi antar-outlet). Uji penetrasi oleh pihak independen direncanakan dan belum dilakukan.
• Insiden keamanan material akan diberitahukan ke subjek data terdampak dan ke Komdigi dalam 3×24 jam sesuai Pasal 46 UU PDP.

9. Anak di Bawah Umur

Platform tidak ditujukan untuk pengguna di bawah 18 tahun sebagai pemegang akun mandiri. Jika peserta event adalah anak, booking harus dilakukan oleh orang tua/wali yang berusia 18+ atas nama anak (fitur "Booking untuk anak"). Data anak yang kami simpan terbatas pada nama, tanggal lahir, jenis kelamin — dan hanya digunakan untuk roster event yang relevan.

10. Transfer Lintas Batas

Data utama Anda disimpan di Indonesia (basis data dan penyimpanan berkas kami berada di Jakarta). Namun sebagian pemrosesan dilakukan di luar Indonesia:

• Singapura — pengiriman email transaksional (AWS SES) dan balasan otomatis AI (Moonshot AI, yang menurut kebijakannya dapat membagikan data kepada afiliasinya, termasuk perusahaan induknya di Tiongkok), bila Anda berinteraksi dengan asisten otomatis kami.
• Amerika Serikat — OpenAI (fitur pencarian outlet, dan penyedia AI bila digunakan), Google Analytics, Meta Pixel, OneSignal, dan Anthropic (alat bantu pengembangan dan dukungan teknis tim kami).
• Infrastruktur global — Meta (WhatsApp Business API), Telegram, Cloudflare, Google (Google Calendar, bila dihubungkan).
• Penyedia AI pilihan pemilik outlet (Koneksi AI, Bagian 5.1) — lokasinya bergantung pada penyedia yang dihubungkan pemilik (misalnya OpenAI, Anthropic, Google, atau xAI); data dikirim ke sana atas perintah pemilik dan kami tidak mengendalikan di mana penyedia menyimpannya.

Transfer semacam ini dilakukan berdasarkan Pasal 56 UU PDP, dengan mengandalkan ketentuan pelindungan data yang ditetapkan masing-masing penyedia (termasuk klausul kontrak standar bila disediakan penyedia tersebut).

11. Perubahan Kebijakan

Pembaruan material akan diberitahukan via email + banner Platform 14 hari sebelum efektif. Versi terbaru selalu tersedia di /legal/privacy-policy.

12. Kontak

Petugas Perlindungan Data (DPO): Ryan Sunaryo, Direktur Utama — ryan.sunaryo@kreatifcity.com Customer service dan permintaan hak subjek data: support@bukujanji.com Surat: PT Kreatif Sistem Teknologi, Jakarta.