Kebijakan Privasi

1. Pendahuluan

PT Kreasi Dwimitra Utama (“Perusahaan”, “kami”) mengoperasikan aplikasi mobile Karajo (“Aplikasi”). Kebijakan Privasi ini menjelaskan bagaimana kami mengumpulkan, menggunakan, mengungkapkan, dan melindungi informasi Anda saat menggunakan Aplikasi kami.

Karajo adalah sistem manajemen sumber daya manusia (HRMS) yang dirancang untuk pengelolaan karyawan, pencatatan kehadiran, dan administrasi tenaga kerja. Aplikasi ini ditujukan untuk digunakan oleh karyawan dan administrator organisasi yang berlangganan layanan kami (“Tenant”).

Dengan menggunakan Aplikasi, Anda menyetujui pengumpulan dan penggunaan informasi sesuai dengan kebijakan ini. Jika Anda tidak menyetujui ketentuan Kebijakan Privasi ini, mohon untuk tidak mengakses Aplikasi.

2. Informasi yang Kami Kumpulkan

2.1 Informasi Pribadi

Kami mengumpulkan informasi pribadi berikut yang Anda atau perusahaan Anda berikan:

• Kredensial Akun: Alamat email, kata sandi, kode tenant/organisasi
• Profil Karyawan: Nama lengkap, ID karyawan, departemen, jabatan, cabang/lokasi
• Data Kepegawaian: Riwayat jabatan, riwayat pendidikan, sertifikasi, informasi anggota keluarga
• Informasi Kontak: Sebagaimana disediakan oleh sistem HR perusahaan Anda

2.2 Data Biometrik & Autentikasi

• PIN: PIN 6 digit disimpan sebagai hash kriptografi bersalt (SHA-256). Kami tidak pernah menyimpan PIN dalam bentuk teks biasa.
• Autentikasi Biometrik: Data sidik jari atau Face ID diproses sepenuhnya oleh sistem operasi perangkat Anda. Kami tidak mengakses, mengumpulkan, atau menyimpan data biometrik mentah.
• Pengenalan Wajah untuk Kehadiran: Gambar kamera ditangkap saat clock-in/clock-out untuk verifikasi liveness dan konfirmasi identitas. Gambar ini diproses di perangkat menggunakan machine learning dan dikirim ke server kami untuk verifikasi.

2.3 Data Lokasi

• Koordinat GPS: Kami mengumpulkan data lokasi presisi (latitude, longitude, akurasi) saat Anda melakukan clock-in atau clock-out. Data lokasi hanya dikumpulkan pada saat pengiriman kehadiran, bukan secara terus-menerus.
• Validasi Geofence: Lokasi Anda dapat dibandingkan dengan lokasi kerja resmi yang dikonfigurasi oleh perusahaan Anda.

2.4 Data Kamera & Media

• Foto/Video Kehadiran: Frame kamera yang ditangkap selama deteksi liveness dan verifikasi kehadiran
• Tantangan Liveness: Data deteksi wajah real-time (kedipan, senyum, gerakan kepala) diproses di perangkat untuk verifikasi anti-spoofing
• Unggah Dokumen: Foto yang diunggah dari galeri untuk kuitansi reimbursement atau dokumen HR lainnya

2.5 Informasi Perangkat

• Identitas Perangkat: Tipe perangkat, nama perangkat, model perangkat, versi sistem operasi
• Token Notifikasi Push: Token Firebase Cloud Messaging (FCM) untuk pengiriman notifikasi
• Versi Aplikasi: Versi terkini dari aplikasi yang diinstal

2.6 Data Penggunaan & Teknis

• Catatan Kehadiran: Waktu clock-in/out, status kehadiran, penugasan shift
• Alur Persetujuan: Pengajuan cuti, pengajuan reimbursement, keputusan persetujuan dan timestamp
• Data Tugas: Penugasan tugas harian, pembaruan status, catatan penyelesaian
• Laporan Crash: Log crash aplikasi, error stack trace, dan data diagnostik (dikumpulkan melalui Firebase Crashlytics hanya pada build rilis)

3. Cara Kami Menggunakan Informasi Anda

Kami menggunakan informasi yang dikumpulkan untuk tujuan berikut:

Kami tidak menggunakan data Anda untuk:

• Iklan atau penargetan iklan
• Penjualan kepada pihak ketiga
• Profiling yang tidak terkait dengan fungsi manajemen HR

4. Penyimpanan & Keamanan Data

4.1 Penyimpanan di Perangkat

• Penyimpanan Terenkripsi: Token autentikasi, hash PIN, dan kredensial disimpan menggunakan penyimpanan terenkripsi bawaan platform (Android EncryptedSharedPreferences / iOS Keychain)
• Cache Lokal: Notifikasi, data persetujuan, dan jadwal shift di-cache secara lokal untuk akses offline dan dihapus saat logout
• File Sementara: Frame kamera dan gambar terkompresi disimpan sementara selama pemrosesan dan dihapus setelah diunggah

4.2 Penyimpanan di Server

• Isolasi Multi-Tenant: Data organisasi Anda disimpan dalam skema database yang terdedikasi dan terisolasi, memastikan pemisahan ketat dari organisasi lain
• Enkripsi dalam Transit: Semua data yang ditransmisikan antara Aplikasi dan server kami dienkripsi menggunakan HTTPS/TLS dengan certificate pinning
• Kontrol Akses: Akses server dibatasi melalui autentikasi berbasis JWT dengan izin berbasis peran

4.3 Langkah-langkah Keamanan

• Certificate pinning untuk mencegah serangan man-in-the-middle
• Penyimpanan hash bersalt untuk PIN (tidak pernah disimpan dalam teks biasa)
• Timeout sesi otomatis setelah 5 menit tidak aktif
• Penguncian akun setelah 5 percobaan autentikasi gagal (cooldown 15 menit)
• Pemrosesan wajah di perangkat menggunakan ML Kit (data wajah tidak dikirim ke Google)

5. Layanan Pihak Ketiga

Aplikasi ini terintegrasi dengan layanan pihak ketiga berikut:

Layanan-layanan ini memiliki kebijakan privasi masing-masing:

• Google Privacy Policy
• Firebase Privacy

Kami tidak menggunakan SDK iklan pihak ketiga, pelacakan analitik, atau media sosial.

6. Pembagian & Pengungkapan Data

Kami dapat membagikan informasi Anda dalam keadaan berikut:

• Dengan Perusahaan Anda (Tenant): Catatan kehadiran, pengajuan cuti, data tugas, dan informasi terkait HR lainnya dapat diakses oleh administrator dan manajer yang berwenang dalam organisasi Anda
• Penyedia Layanan: Kami menggunakan penyedia infrastruktur cloud untuk menghosting server kami, tunduk pada perjanjian pemrosesan data yang ketat
• Persyaratan Hukum: Kami dapat mengungkapkan informasi jika diwajibkan oleh hukum, peraturan, proses hukum, atau permintaan pemerintah
• Transfer Bisnis: Dalam hal merger, akuisisi, atau penjualan aset, data Anda dapat ditransfer sebagai bagian dari bisnis

Kami tidak menjual, menyewakan, atau memperdagangkan informasi pribadi Anda kepada pihak ketiga.

7. Retensi Data

8. Hak-hak Anda

Tergantung pada yurisdiksi Anda, Anda mungkin memiliki hak-hak berikut:

• Akses: Meminta salinan data pribadi yang kami simpan tentang Anda
• Koreksi: Meminta koreksi data yang tidak akurat atau tidak lengkap
• Penghapusan: Meminta penghapusan data pribadi Anda, tunduk pada persyaratan retensi hukum
• Pembatasan: Meminta pembatasan pemrosesan data pribadi Anda
• Portabilitas Data: Meminta transfer data Anda dalam format terstruktur yang dapat dibaca mesin
• Penarikan Persetujuan: Menarik persetujuan untuk pemrosesan data di mana persetujuan adalah dasar hukum

Untuk menggunakan hak-hak ini, hubungi administrator HR organisasi Anda atau hubungi kami langsung di informasi kontak yang disediakan di bawah.

9. Izin yang Digunakan

Aplikasi meminta izin perangkat berikut:

Semua izin diminta saat penggunaan, bukan saat instalasi. Anda dapat menolak izin, meskipun beberapa fitur mungkin tidak berfungsi tanpanya.

10. Privasi Anak-anak

Aplikasi ini dirancang untuk penggunaan di tempat kerja dan tidak ditujukan untuk anak-anak di bawah 13 tahun. Kami tidak secara sengaja mengumpulkan informasi pribadi dari anak-anak di bawah 13 tahun. Jika kami menemukan bahwa anak di bawah 13 tahun telah memberikan informasi pribadi kepada kami, kami akan segera menghapus informasi tersebut dari server kami.

11. Transfer Data Internasional

Data Anda terutama disimpan dan diproses di Indonesia. Jika organisasi Anda beroperasi di beberapa negara, data dapat ditransfer ke dan diproses di yurisdiksi di luar negara tempat tinggal Anda. Kami memastikan perlindungan yang memadai diterapkan untuk transfer tersebut sesuai dengan undang-undang perlindungan data yang berlaku.

12. Perubahan Kebijakan Privasi

Kami dapat memperbarui Kebijakan Privasi ini dari waktu ke waktu. Kami akan memberi tahu Anda tentang perubahan apa pun dengan:

• Memposting Kebijakan Privasi baru di dalam Aplikasi
• Memperbarui tanggal “Terakhir Diperbarui” di bagian atas kebijakan ini
• Mengirim notifikasi melalui Aplikasi untuk perubahan material

Penggunaan Aplikasi secara berkelanjutan setelah perubahan apa pun merupakan penerimaan Kebijakan Privasi yang diperbarui.

13. Hubungi Kami

Jika Anda memiliki pertanyaan atau kekhawatiran tentang Kebijakan Privasi ini atau praktik data kami, silakan hubungi kami:

Untuk pertanyaan perlindungan data yang spesifik untuk organisasi Anda, silakan hubungi administrator HR Anda.

14. Persetujuan & Dasar Hukum

Dengan mengunduh, menginstal, dan menggunakan aplikasi mobile Karajo, Anda mengakui bahwa Anda telah membaca Kebijakan Privasi ini dan menyetujui ketentuannya.

Kebijakan ini disediakan sesuai dengan:

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP)
• PP No. 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik