Versi: 1.1.0-2026-05-16 · Berlaku sejak: 2026-05-16

Kebijakan Privasi Bukujanji

Versi: 1.1.0 Tanggal Efektif: 16 Mei 2026

---

1. Pengantar

Bukujanji ("kami") menghormati privasi Anda dan tunduk pada UU No. 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP), PP 71/2019, Permenkominfo 5/2020, serta praktik privasi internasional yang baik. Kebijakan ini menjelaskan jenis data yang kami kumpulkan, bagaimana kami memprosesnya, kepada siapa kami membagikannya, dan hak-hak Anda sebagai subjek data.

Pengendali Data (Controller): PT Bukujanji Indonesia, Jakarta. Petugas Perlindungan Data (DPO): dpo@bukujanji.com.

2. Data yang Kami Kumpulkan

2.1 Data identitas dan kontak

• Nama, alamat email, nomor WhatsApp, kode telepon negara, kota, foto profil.
• Untuk Pemilik Komunitas: KTP (NIK + nama + alamat), foto selfie, NPWP (jika ada), data rekening bank.
• Untuk Peserta yang booking atas nama anak: nama anak, tanggal lahir, jenis kelamin, hubungan dengan booker.

2.2 Data transaksi dan booking

• Riwayat booking event/paket, status pembayaran, riwayat refund, kode promo yang dipakai.
• Catatan check-in (QR scan timestamp), ulasan yang Anda berikan.
• Data pembayaran (nomor kartu, VA) tidak disimpan di server kami — diproses dan disimpan oleh Midtrans sesuai standar PCI-DSS.

2.3 Data perangkat dan penggunaan

• Alamat IP, jenis perangkat, OS, browser, locale, identitas push (OneSignal).
• Halaman yang Anda kunjungi, aksi yang dilakukan, timestamp.
• Cookies dan teknologi serupa (lihat Cookie Policy).

2.4 Data komunikasi

• Konten pesan yang Anda kirim ke customer service, riwayat email broadcast yang kami kirim, pengaturan notifikasi Anda.

2.5 Data deklarasi kesehatan

• Untuk kelas yang membutuhkannya (misalnya yoga, olahraga), Anda dapat diminta mengisi deklarasi kesehatan singkat. Data ini bukan rekam medis; hanya disimpan pada catatan booking sebagai informasi dasar untuk Pemilik Komunitas.

3. Dasar Hukum Pemrosesan

Sesuai Pasal 20 UU PDP, kami memproses data Anda berdasarkan:

• Persetujuan eksplisit — saat Anda check checkbox saat signup/booking.
• Pelaksanaan kontrak — untuk memberikan layanan booking yang Anda minta.
• Kepatuhan hukum — untuk pajak, audit, perintah hukum.
• Kepentingan sah — untuk keamanan platform, pencegahan penipuan, perbaikan produk.

Anda dapat menarik persetujuan kapan saja; lihat Bagian 7.

4. Bagaimana Kami Menggunakan Data

• Memproses booking, pembayaran, refund, dan settlement.
• Mengirim konfirmasi booking, pengingat event (email + push), kuitansi.
• Memungkinkan Pemilik Komunitas mengelola roster event mereka (mereka melihat nama, email, dan nomor telepon peserta yang booking event-nya).
• Menampilkan ulasan publik dengan nama yang dimask ("Sari W.").
• Mendeteksi penipuan dan menjaga integritas platform.
• Analytics agregat untuk peningkatan produk (tidak menargetkan individu).
• Komunikasi pemasaran opt-in only (broadcast komunitas baru, promo) — Anda dapat unsubscribe kapan saja.

5. Pembagian Data ke Pihak Ketiga

Kami membagikan data secara terbatas dan terikat kontrak (DPA):

• Pemilik Komunitas event yang Anda book: nama, email, telepon, deklarasi kesehatan, identitas peserta (untuk roster + check-in). Mereka tidak menerima data riwayat booking Anda di komunitas lain.
• Midtrans untuk pemrosesan pembayaran.
• Iris by Midtrans untuk pencairan dana ke Pemilik Komunitas / Outlet.
• AWS (S3, RDS, SES) sebagai infrastructure provider — data tetap di wilayah Asia Pasifik (Singapura/Jakarta region) sepanjang mungkin.
• OneSignal untuk push notifications.
• Meta (WhatsApp Business API) untuk pengiriman pesan transaksional bila diaktifkan.
• Otoritas hukum bila ada perintah pengadilan, panggilan kepolisian, atau permintaan resmi yang valid.

Kami tidak menjual data pribadi Anda ke pihak ketiga untuk tujuan komersial mereka sendiri.

6. Penyimpanan Data

• Data akun aktif: disimpan selama akun aktif.
• Riwayat transaksi: 10 tahun sesuai UU Perpajakan.
• Log audit & keamanan: 2 tahun.
• Data yang Anda minta untuk dihapus: dihapus dalam 30 hari kerja, kecuali yang wajib disimpan secara hukum (akan diberi flag "anonymized" dan tidak digunakan lagi untuk profil pribadi).
• Cadangan terenkripsi: dapat berisi data Anda hingga 90 hari setelah permintaan hapus, lalu di-overwrite oleh siklus rotasi backup.

7. Hak Subjek Data (Pasal 5–14 UU PDP)

Anda berhak:

• Akses — melihat data yang kami simpan tentang Anda.
• Koreksi — meminta perbaikan data yang salah/usang.
• Penghapusan — meminta penghapusan akun dan data terkait (subjek pengecualian hukum di Bagian 6).
• Portabilitas — meminta salinan data Anda dalam format yang umum digunakan (JSON/CSV).
• Pembatasan — meminta kami berhenti memproses data tertentu sementara permintaan diselidiki.
• Penarikan persetujuan — withdraw consent untuk pemrosesan opsional (notif marketing, dll.).
• Komplain ke otoritas — mengajukan keluhan ke Komdigi (Pengawas Pelindungan Data Pribadi) bila Anda tidak puas dengan respons kami.

Cara: kirim email ke dpo@bukujanji.com dengan bukti identitas. Kami merespons dalam 3×24 jam kerja sesuai standar UU PDP.

8. Keamanan Data

• TLS 1.2+ untuk semua koneksi.
• Enkripsi at-rest untuk database (AWS RDS encryption).
• Hashing bcrypt untuk password (Pemilik Komunitas / Customer login).
• Akses internal terbatas dengan role-based permission + audit log.
• Pengujian keamanan berkala dan bug bounty informal.
• Insiden keamanan material akan diberitahukan ke subjek data terdampak dan ke Komdigi dalam 3×24 jam sesuai Pasal 46 UU PDP.

9. Anak di Bawah Umur

Platform tidak ditujukan untuk pengguna di bawah 18 tahun sebagai pemegang akun mandiri. Jika peserta event adalah anak, booking harus dilakukan oleh orang tua/wali yang berusia 18+ atas nama anak (fitur "Booking untuk anak"). Data anak yang kami simpan terbatas pada nama, tanggal lahir, jenis kelamin — dan hanya digunakan untuk roster event yang relevan.

10. Transfer Lintas Batas

Bila kami perlu mentransfer data ke luar Indonesia (mis. server backup, vendor analytics), kami memastikan negara tujuan memiliki tingkat perlindungan yang setara, atau menggunakan Standard Contractual Clauses (SCC) sebagai mekanisme legitimasi sesuai Pasal 56 UU PDP.

11. Perubahan Kebijakan

Pembaruan material akan diberitahukan via email + banner Platform 14 hari sebelum efektif. Versi terbaru selalu tersedia di /legal/privacy-policy.

12. Kontak

Petugas Perlindungan Data (DPO): dpo@bukujanji.com Customer service: cs@bukujanji.com Surat: PT Bukujanji Indonesia, Jakarta.