Kebijakan Privasi

1. Pengantar

bukudigi.com ("kami") menghargai privasi kamu. Kebijakan ini menjelaskan jenis data pribadi yang kami kumpulkan, cara penggunaan, dasar hukum pemrosesan, dengan siapa kami berbagi, dan hak kamu sebagai Subjek Data Pribadi sesuai UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP").

2. Data yang Kami Kumpulkan

2.1 Saat kamu mendaftar akun (semua pengguna)

• Identitas dasar: nama, email, password (di-hash), nomor telepon/WhatsApp;
• Data login sosial (jika pakai Google OAuth): Google user ID, email, nama;
• Avatar/foto profil (opsional).

2.2 Saat kamu membeli ebook (pembeli)

• Riwayat transaksi: ID order, buku yang dibeli, jumlah, waktu, metode pembayaran;
• Data pembayaran tidak disimpan oleh kami — diproses sepenuhnya oleh Midtrans. Kami hanya menerima konfirmasi sukses/gagal + ID transaksi;
• IP address dan user agent saat download (untuk log keamanan & deteksi penyalahgunaan).

2.3 Saat kamu mendaftar sebagai penulis

Data tambahan yang lebih sensitif (digolongkan sebagai "Data Spesifik" menurut UU PDP):

• NIK (16 digit Nomor Induk Kependudukan);
• NPWP (jika ada);
• Foto KTP & selfie + KTP (untuk verifikasi identitas);
• Data rekening bank: nama bank, nomor rekening, atas nama;
• Display name & bio sebagai penulis;
• Konten Karya yang di-upload (file PDF, cover, metadata).

2.4 Otomatis dari interaksi dengan Platform

• Log akses: IP, browser, OS, halaman yang dikunjungi, timestamp;
• Cookies — lihat §6. Cookies;
• Data analitik agregat (kami pakai analytics, lihat §7. Pihak Ketiga).

3. Tujuan Penggunaan Data

Kami memproses data pribadi kamu untuk tujuan-tujuan berikut:

• Menjalankan akun kamu (registrasi, login, autentikasi);
• Memproses transaksi pembelian & payout royalti;
• Verifikasi identitas penulis dan kepatuhan pajak (PPh 23);
• Menyusun watermark personal di PDF yang kamu beli;
• Mengirim notifikasi terkait transaksi via email & WhatsApp;
• Mencegah fraud, plagiat, pembajakan, dan penyalahgunaan;
• Memenuhi kewajiban hukum (kerjasama dengan aparat penegak hukum, kewajiban pajak, dll);
• Meningkatkan layanan (analytics agregat, tidak per individu);
• Komunikasi pemasaran (newsletter, promo) — hanya dengan persetujuan eksplisit kamu, dan bisa di-unsubscribe kapan saja.

4. Dasar Hukum Pemrosesan

Sesuai Pasal 20 UU PDP, kami memproses data kamu berdasarkan:

• Persetujuan (consent) — kamu menyetujui kebijakan ini saat mendaftar;
• Pelaksanaan kontrak — untuk menjalankan layanan yang kamu beli/gunakan;
• Kewajiban hukum — pelaporan pajak, kerja sama aparat hukum;
• Kepentingan sah — keamanan sistem, pencegahan fraud, pengembangan layanan;
• Pelindungan kepentingan vital — misalnya kalau ada ancaman keamanan akun.

5. Penyimpanan, Lokasi, & Retensi Data

5.1 Lokasi penyimpanan

• Database utama: server Indonesia (IDCloudHost, Jakarta);
• File & gambar: Cloudflare R2 (objek penyimpanan global dengan replikasi). Data tersimpan di region terdekat user;
• Backup: terenkripsi, disimpan di lokasi geografis berbeda untuk pemulihan bencana.

5.2 Retensi

• Data akun aktif: disimpan selama akun aktif;
• Akun yang dihapus pengguna: dihapus permanen dalam 30 hari (kecuali catatan transaksi/pajak yang wajib disimpan 10 tahun sesuai UU Perpajakan);
• Data verifikasi penulis (KTP, selfie): dihapus 90 hari setelah akun penulis ditutup, kecuali untuk kepentingan investigasi hukum yang masih berjalan;
• Log keamanan & audit: 1–3 tahun.

6. Cookies & Tracking

Kami pakai cookies untuk:

• Esensial (wajib): session login, CSRF token, pengaturan bahasa — tidak bisa dimatikan;
• Analytics (opsional): mengukur traffic halaman secara agregat (tidak per individu);
• Preferensi (opsional): menyimpan filter pencarian, mode tampilan.

Kami tidak pakai cookies pelacakan iklan pihak ketiga seperti Facebook Pixel atau Google Ads tanpa persetujuan eksplisit kamu.

Kamu bisa mengatur/mematikan cookies via browser, tapi beberapa fitur Platform mungkin tidak berfungsi (contoh: login akan terus reset).

7. Berbagi Data dengan Pihak Ketiga

Kami tidak menjual data kamu. Kami berbagi data secara terbatas hanya dengan:

7.1 Penyedia layanan operasional (data processor)

• Midtrans (PT Midtrans, anak perusahaan Gojek/GoTo) — memproses pembayaran. Data dibagikan: nama, email, ID order, nominal. Lihat kebijakan privasi Midtrans.
• Cloudflare, Inc. — CDN, DNS, hosting file (R2). Data file kamu di-host di infrastruktur mereka. Kebijakan privasi Cloudflare.
• Fonnte — gateway WhatsApp untuk OTP & notifikasi. Data: nomor WA, isi pesan notifikasi (mis. kode OTP).
• Google LLC — jika kamu login via Google: data akun Google sebatas yang kamu setujui di OAuth consent. Juga untuk Google Vision API (moderasi cover image).
• OpenAI — moderasi teks Karya (sample max 5000 karakter per Karya). OpenAI berjanji tidak melatih model dengan data API.

7.2 Aparat penegak hukum & kewajiban hukum

• Kami akan mematuhi panggilan resmi/perintah pengadilan/surat permintaan resmi dari aparat penegak hukum Indonesia;
• Data pajak (royalti penulis, NPWP, PPh 23 yang dipotong) dilaporkan ke Direktorat Jenderal Pajak;
• Dalam kasus penyalahgunaan/kejahatan, data dapat diserahkan ke pihak yang berhak setelah verifikasi keabsahan permintaan.

7.3 Transfer data lintas batas

Beberapa penyedia (Cloudflare, Google, OpenAI) memproses data di server di luar Indonesia. Sesuai Pasal 56 UU PDP, transfer dilakukan dengan jaminan tingkat perlindungan yang setara, melalui kontrak standar atau ketentuan perlindungan data dengan masing-masing penyedia.

8. Hak Subjek Data (Pasal 5–13 UU PDP)

Kamu punya hak berikut atas data pribadi kamu:

• Hak untuk mendapat informasi tentang kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan, akuntabilitas pihak yang meminta data;
• Hak akses — meminta salinan data yang kami simpan tentang kamu;
• Hak koreksi — meminta perbaikan data yang tidak akurat;
• Hak menghapus / "right to be forgotten" — meminta penghapusan data (kecuali yang wajib disimpan menurut hukum);
• Hak penghentian pemrosesan;
• Hak menarik kembali persetujuan;
• Hak mengajukan keberatan atas pemrosesan otomatis termasuk profiling;
• Hak portabilitas — menerima data kamu dalam format yang umum digunakan (mis. JSON / CSV);
• Hak menunda/membatasi pemrosesan;
• Hak menggugat & menerima ganti rugi atas pelanggaran data pribadi.

Untuk menggunakan hak ini, kirim email ke privacy@bukudigi.com dengan subjek "Permintaan Hak Subjek Data" + identifikasi kamu (nama, email akun, no KTP untuk verifikasi). Kami merespons dalam 3 × 24 jam kerja sesuai Pasal 13 UU PDP.

9. Keamanan Data

• Password di-hash dengan algoritma bcrypt (industry standard);
• Koneksi HTTPS / TLS untuk semua traffic;
• Database backup harian, terenkripsi;
• Akses internal ke data sensitif (KTP, rekening) terbatas pada admin terverifikasi, dengan audit log;
• Watermark personal di PDF untuk mencegah pembocoran;
• Rate limiting & anti-fraud detection;
• Pemberitahuan kebocoran data: jika terjadi insiden yang berdampak pada hak kamu, kami akan beritahu dalam 3 × 24 jam sesuai Pasal 46 UU PDP.

Meski kami berusaha sekuat tenaga, tidak ada sistem yang 100% aman. Kamu juga punya tanggung jawab menjaga password & perangkat kamu.

10. Anak Di Bawah Umur

Platform tidak ditujukan untuk anak di bawah 17 tahun. Kami tidak sengaja mengumpulkan data anak di bawah 17 tahun. Jika kamu orang tua/wali dan mengetahui anakmu mendaftar tanpa persetujuanmu, hubungi privacy@bukudigi.com — kami akan hapus akun dan datanya.

Anak 17+ yang sudah punya KTP boleh menggunakan platform sebagai pembeli, dengan persetujuan orang tua/wali.

11. Perubahan Kebijakan

Kebijakan ini dapat berubah seiring perkembangan layanan dan regulasi. Perubahan signifikan akan dinotifikasi via email dan banner di Platform minimal 14 hari sebelum efektif. Lihat tanggal "Terakhir diperbarui" di header untuk memastikan kamu membaca versi terkini.

12. Kontak Privacy Officer

Untuk pertanyaan, keberatan, atau penggunaan hak subjek data:

• Email: privacy@bukudigi.com
• Subjek email: "Permintaan Hak Subjek Data" untuk percepatan respons

Kamu juga berhak menyampaikan pengaduan kepada Lembaga Pelindungan Data Pribadi (begitu dibentuk sesuai UU PDP) atau Kementerian Komunikasi & Informatika Republik Indonesia.

Dokumen ini disusun mengacu pada UU No. 27/2022 tentang Pelindungan Data Pribadi. Implementasi penuh menunggu peraturan pelaksana (PP) dan terbentuknya Lembaga PDP. Untuk launch komersial, dianjurkan direview oleh advokat Indonesia.