Kebijakan Privasi Rekapin

1. Komitmen Privasi Global

Rekapin (“Layanan”, “Kami”) berkomitmen penuh untuk melindungi privasi data pribadi, data bisnis, transaksi Point of Sale (POS), serta catatan arus kas (cashflow) dari para Merchant kami. Kebijakan ini menjelaskan bagaimana informasi Anda dikumpulkan, digunakan, diproses, diamankan, dan diungkapkan sesuai dengan regulasi perlindungan data yang berlaku di Indonesia (termasuk Undang-Undang Perlindungan Data Pribadi / UU PDP) serta standar perlindungan data global seperti General Data Protection Regulation (GDPR) Uni Eropa dan California Consumer Privacy Act (CCPA).

2. Data yang Kami Kumpulkan & Sumber Informasi

Kami mengumpulkan informasi dari Anda melalui beberapa cara ketika Anda mengakses atau menggunakan layanan Rekapin:

3. Bagaimana Kami Melindungi Data Anda (Keamanan Teknis)

Kami menerapkan standar keamanan kelas enterprise untuk melindungi data Anda dari akses tanpa izin, kehilangan, perubahan, atau pengungkapan:

• Keamanan Autentikasi JWT & HttpOnly Cookies: Token akses JWT disimpan di dalam cookie peramban dengan flag HttpOnly, Secure, dan SameSite=Lax. Metode ini melumpuhkan celah serangan Cross-Site Scripting (XSS) dan melarang script berbahaya membaca token secara langsung dari localStorage.
• Proteksi CSRF: Kebijakan SameSite=Lax mencegah cookie dikirimkan secara otomatis oleh peramban dalam skenario permintaan lintas situs yang mencurigakan (CSRF).
• Enkripsi Data: Komunikasi data dienkripsi menggunakan protokol HTTPS (TLS 1.3). Data sensitif di database PostgreSQL (seperti password dan token integrasi pihak ketiga) dienkripsi secara penuh menggunakan enkripsi satu arah salt-hashing (BCrypt) dan enkripsi kunci simetris AES-256.
• Isolasi Database & Backups: Database kami secara otomatis dicadangkan setiap jam dan disimpan dalam penyimpanan awan yang terisolasi dengan akses jaringan tertutup (VPC).

4. Penggunaan & Pembagian Informasi (Kepatuhan Pihak Ketiga)

Data transaksi, produk, dan keuangan Anda adalah milik Anda sepenuhnya. Rekapin **TIDAK AKAN PERNAH** menjual, menyewakan, memperdagangkan, atau membagikan data operasional merchant Anda kepada pengiklan atau pihak ketiga mana pun untuk tujuan komersial. Kami membagikan data terbatas hanya dalam kondisi berikut:

• Penyedia Layanan (Sub-Processor): Kami bekerja sama dengan infrastruktur hosting cloud (seperti AWS/Google Cloud) dan Payment Gateway (Mayar Gateway) untuk memproses pembayaran langganan secara terenkripsi. Sub-processor ini terikat kontrak ketat untuk tidak menyalahgunakan data Anda.
• Kepatuhan Hukum: Kami dapat mengungkapkan informasi Anda jika diwajibkan secara hukum oleh undang-undang perlindungan data yang berlaku di Republik Indonesia atas perintah pengadilan resmi dari penegak hukum.

5. Hak-Hak Pengguna Berdasarkan Hukum Perlindungan Data Global

Sesuai dengan UU Perlindungan Data Pribadi (UU PDP), GDPR, dan CCPA, Anda memiliki hak penuh untuk mengontrol data Anda:

• Akses & Portabilitas: Melihat dan mengunduh seluruh data historis transaksi, kasir, dan laporan keuangan dalam format CSV/Excel kapan saja.
• Koreksi Data: Mengubah atau memperbarui informasi profil secara mandiri melalui menu Pengaturan.
• Kebijakan Retensi Finansial 5 Tahun: Berdasarkan undang-undang hukum pembukuan pajak komersial di Indonesia, data transaksi finansial, invoice langganan, dan pembukuan kasir wajib diarsipkan selama minimal 5 (lima) tahun. Setelah periode 5 tahun berlalu, data tersebut akan dihapus secara permanen atau dianonimkan sepenuhnya dari database aktif kami.
• Penghapusan Akun & Data (Hak untuk Dilupakan): Anda berhak mengajukan penghapusan akun. Setelah akun ditutup, data non-transaksional Anda akan dihapus secara permanen dalam 30 hari kerja, sedangkan arsip log transaksi historis akan diisolasi dari akses operasional dan tunduk pada retensi wajib perpajakan di atas.
• Do Not Sell My Info (CCPA): Rekapin secara default tidak menjual informasi pribadi pengguna, dan kami menjamin hak pengguna untuk menolak pembagian data non-esensial ke sub-processor eksternal.

6. Protokol Kebocoran Data (Data Breach Incident Protocol)

Dalam hal terjadi insiden keamanan siber yang mengakibatkan akses ilegal, kebocoran, atau hilangnya data pribadi/bisnis Merchant pada infrastruktur server Rekapin, kami berkomitmen untuk:

• Mengambil langkah teknis mitigasi guna mengisolasi kebocoran dalam waktu kurang dari 24 jam sejak insiden terdeteksi.
• Memberikan notifikasi tertulis secara transparan kepada Merchant yang terdampak dan melaporkannya kepada otoritas perlindungan data terkait dalam kurun waktu **maksimal 72 jam** sesuai dengan mandat hukum UU PDP dan GDPR.
• Menyediakan bantuan panduan pemulihan keamanan akun (seperti reset massal kredensial akses).

7. Kebijakan Privasi Anak di Bawah Umur

Layanan Rekapin tidak ditujukan untuk anak-anak di bawah usia 18 tahun. Kami tidak secara sengaja mengumpulkan, meminta, atau memproses informasi pribadi dari anak-anak di bawah 18 tahun tanpa persetujuan tertulis dari orang tua atau wali hukum yang sah selaku penanggung jawab usaha Merchant. Jika kami mengetahui telah mengumpulkan data anak di bawah 18 tahun tanpa verifikasi wali, kami akan segera menghapus data tersebut dari server kami.