Kebijakan privasi

Patepang dikelola oleh PT Pakuan Teknologi Pangrango, beralamat di Jl. Cihideung Udik RT 004/RW 009, Desa Cihideung Udik, Kecamatan Ciampea, Kabupaten Bogor, Jawa Barat 16620, Indonesia, terdaftar dengan NIB 2810260094182 (pendaftaran PSE menyusul sebelum Patepang diluncurkan). Dalam kebijakan ini, “kami” berarti badan itu. Kami adalah pengendali data pribadi untuk data yang diproses server Patepang.

Kebijakan ini berlaku untuk aplikasi Patepang dan situs patepang.com beserta subdomainnya, seperti legal.patepang.com dan help.patepang.com. Patepang belum diluncurkan: kebijakan ini menjelaskan cara layanan memproses data saat sudah berjalan. Kebijakan ini baru berlaku setelah ditinjau penasihat hukum. Kebijakan ini tidak berlaku untuk layanan pihak lain yang kamu pakai bersama Patepang, seperti App Store, Google Play, sistem HP-mu, atau aplikasi peta; masing-masing memproses data menurut kebijakannya sendiri (bagian 8). Kebijakan ini juga tidak mencakup lamaran kerja: kami belum menerima lamaran, dan sebelum menerimanya kami menerbitkan pemberitahuan privasi untuk pelamar.

Pertanyaan dan permintaan tentang data pribadi: [email protected]. Pejabat pelindungan data pribadi: direktur perseroan, lewat alamat surel yang sama.

2.1 Istilah dalam kebijakan ini

Data pribadi

Data tentang orang yang teridentifikasi atau bisa diidentifikasi, sendiri atau digabung dengan informasi lain, menurut UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Id akun dan data yang terkait dengannya kami perlakukan sebagai data pribadi, walaupun tidak memuat nama.

Pengendali dan pemroses

Pengendali data pribadi menentukan tujuan dan cara data diproses; untuk data di server Patepang, itu kami. Pemroses memproses data atas nama pengendali, seperti penyedia di bagian 8.

Akun dan id akun

Akunmu adalah kunci kriptografi yang dibuat di HP-mu. Id akun adalah sidik (SHA-256) kunci publik perangkat pertamamu, dan tidak memuat nama, nomor telepon, atau email.

Perangkat

HP yang memegang kunci akunmu. Setiap perangkat punya nomor dan kuncinya sendiri, dan satu akun paling banyak punya 3 perangkat aktif.

Rantai kunci

Catatan publik yang hanya bertambah tentang perangkat, penjaga, dan pengaturan pemulihan akunmu. Setiap entrinya ditandatangani dua kali, dengan Ed25519 dan ML-DSA-65, oleh perangkatmu atau oleh enklaf pemulihan.

Log transparansi kunci

Catatan publik yang hanya bertambah tentang entri rantai kunci semua akun, dengan ringkasan bertanda tangan setiap jam, supaya siapa pun bisa memeriksa bahwa kunci tidak diganti diam-diam.

Tempel

Satu-satunya cara terhubung: satu HP menampilkan kode QR, HP lain memindainya, lalu kedua HP digoyang bersama sekitar dua detik. Variannya: tempel ulang tanpa goyang untuk pasangan yang sudah pernah tempel, tempel tanpa sinyal, tempel untuk masuk ruang acara, permintaan koneksi antarpeserta ruang yang disaksikan enklaf, dan tempel pemulihan dengan penjaga.

Lahir dan sponsor

Akun lahir di tempel pertamanya. Akun yang dibuat di HP yang tidak bisa memberi bukti keaslian aplikasi dari Apple atau Google hanya bisa lahir lewat tempel dengan akun lain, yang menjadi sponsornya.

Enklaf

Lingkungan terisolasi di server yang kodenya bisa dibuktikan. Enklaf tempel mencocokkan goyangan dan menyaksikan sertifikat tempel; enklaf pemulihan menandatangani pemulihan akun dan akhir akun yang tidak aktif.

Sertifikat tempel

Bukti sebuah tempel, ditandatangani kedua HP dan saksi di enklaf tempel.

Koneksi

Orang yang pernah tempel denganmu.

Penjaga

Tiga orang yang pernah tempel denganmu, atau dua bila kamu baru tempel dengan tepat dua orang, yang kamu pilih untuk memulihkan akunmu. Dua penjaga cukup.

Pemulihan

Memindahkan akunmu ke HP baru lewat tempel dengan dua penjaga, dengan masa tunggu 48 jam yang bisa dibatalkan dari HP lamamu.

Cadangan akun

Salinan terenkripsi data di HP-mu yang disimpan server bila kamu menyalakannya. Kuncinya dipecah untuk penjagamu.

Amplop

Satu pesan terenkripsi yang menunggu di server untuk satu perangkat penerima.

Token pengiriman

Kode acak yang dibuat HP penerima untuk satu koneksi, supaya koneksi itu bisa mengirim ke kotak masuknya. Server hanya menyimpan hash-nya.

Kabar, momen, lingkaran, dan rencana

Kabar adalah kiriman harian ke semua koneksi atau satu lingkaran; momen adalah catatan sebuah pertemuan; lingkaran adalah kelompok koneksi yang kamu susun sendiri di HP; rencana adalah ajakan bertemu. Semuanya terenkripsi ujung ke ujung.

Ruang acara dan titik lahir

Ruang acara adalah ruang sementara, paling lama 7 hari, tempat orang yang hadir di sebuah acara masuk lewat tempel dengan panitia. Titik lahir adalah ruang acara di sebuah kota yang tercantum di daftar publik, tempat orang yang belum punya koneksi bisa lahir lewat tempel dengan tuan rumahnya.

Server

Sistem Patepang yang menyimpan dan meneruskan data, beserta enklafnya. Sekarang ada satu wilayah server, di Singapura.

Moderator

Orang, bukan program, yang meninjau laporan dengan kuncinya sendiri dan hanya bisa membuka bukti yang disegel untuknya.

Enam kata

Frasa yang dibuat HP-mu untuk membuka berkas ekspor atau mode perjalanan. Frasa itu tidak disimpan di mana pun, dan kami tidak pernah menanyakannya.

Sebagian besar Patepang hidup di HP-mu dan tidak pernah sampai ke kami. Data aplikasi disimpan tersegel dengan kunci perangkat keras HP, di tempat yang tidak ikut cadangan sistem HP.

• Kunci pribadi akun dan perangkatmu tidak pernah meninggalkan HP.
• PIN diperiksa di HP dan tidak pernah dikirim. Patepang tidak pernah menanyakan PIN-mu.
• Isi aplikasimu: orang yang kamu temui dan nama mereka, percakapan, kabar, momen, lingkaran, rencana, catatan, dan pengaturan. Semua ini keluar dari HP dalam bentuk terenkripsi: ke orang yang kamu pilih, di cadangan akun bila kamu mengaktifkannya (bagian 4.7), atau di berkas ekspor yang kamu buat sendiri. Pengecualiannya adalah yang kamu keluarkan sendiri dalam bentuk terbuka: berkas dari Simpan bukti (teks satu percakapan beserta nama orangnya, untuk polisi atau pengacara), berkas kalender .ics dari rencana, dan nama tempat yang kamu buka di aplikasi peta (bagian 8).
• Wilayah rumah (provinsi) hanya disimpan di HP.
• Nama panggilan dan foto profil hanya dikirim terenkripsi ke orang yang pernah kamu temui. Ulang tahun bersifat pilihan, tanggal dan bulan saja, dan hanya dikirim ke penerima yang kamu pilih.
• Bukti untuk laporan: isi yang sudah tampil di HP-mu disimpan tersegel di HP selama 30 hari sejak tiba, walaupun pengirimnya menghapusnya, supaya masih bisa kamu laporkan. Isi itu hanya keluar bila kamu melaporkannya.
• Pengingat rencana, momen setahun lalu, dan koneksi yang memudar dijadwalkan di HP, tanpa nama.
• Persetujuanmu atas syarat dan ketentuan, pedoman komunitas, dan kebijakan ini, beserta pernyataanmu bahwa umurmu 18 tahun atau lebih, dicatat di HP-mu dengan versi dan waktunya. Catatan itu tidak dikirim ke server dan tidak ikut cadangan akun; layar Transparansi di aplikasi menampilkannya.
• Widget di layar utama Android, bila kamu memasangnya, membaca cuplikan kecil yang disimpan tersegel di HP. Isinya, misalnya kabar terakhir dari orang yang kamu pilih, tampil di layar utama dan bisa terlihat oleh orang yang melihat layarmu.

Aplikasi tidak meminta izin buku alamat, dan tidak membaca galeri fotomu: foto dipilih lewat pemilih milik sistem HP. Nama tempat di momen dan rencana kamu ketik sendiri. Aplikasi meminta izin kamera untuk memindai kode dan mengambil foto atau video, dan izin mikrofon untuk merekam pesan suara, video, dan catatan suara di chat, kabar, dan momen; yang direkam hanya keluar dari HP bila kamu mengirimnya, terenkripsi. Lokasi HP-mu hanya dibaca saat kamu membagikan lokasi sementara atau menghitung jarak ke lokasi yang dibagikan kepadamu (bagian 3.1). Sensor gerak hanya dibaca selama goyangan tempel, sekitar dua detik (bagian 4.2), dan izin notifikasi ditanyakan lebih dulu (bagian 4.8).

3.1 Izin HP yang diminta aplikasi

Setiap izin diminta saat kamu pertama kali memakai fiturnya, dan bisa kamu cabut kapan saja di pengaturan HP.

3.2 Yang kamu keluarkan sendiri dari HP

Selain pengecualian di atas, beberapa tindakanmu membuat salinan di luar perlindungan Patepang. Salinan tanpa enkripsi bisa dibaca aplikasi lain, cadangan HP atau awan, dan siapa pun yang memegangnya.

• Simpan pada foto, video, atau momen, dan Simpan ke HP di Penyimpanan, menaruh salinan tanpa enkripsi di galerimu.
• Buku kenangan adalah PDF tanpa enkripsi yang dibuat di HP; nama, foto, dan cerita orang lain yang hadir hanya ikut bila kamu menyalakannya. Ekspor arsip tahunan disegel seperti berkas ekspor.
• Berkas ekspor terenkripsi dan hanya terbuka dengan enam katanya, tetapi halaman pembukanya bisa menyimpan isinya sebagai berkas JSON tanpa enkripsi (bagian 10.7).
• Kode penghapusan adalah berkas yang bisa menjadwalkan penghapusan akunmu, siapa pun yang memegangnya (bagian 10.4).
• Berkas yang kamu buka di aplikasi lain lewat lembar bagikan diproses aplikasi itu menurut kebijakannya sendiri.

Server Patepang menyimpan data berikut. Dasar hukum yang disebut mengikuti Pasal 20 UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Data di bagian ini datang dari lima sumber:

Dari kamu

Yang kamu kirim atau pilih sendiri: kunci publik dan perubahan rantai kuncimu, penjaga, grup dan ruang yang kamu buat atau masuki, kota daftar tunggu, laporan, pembelian, surel kepada kami, dan isi terenkripsi yang tidak bisa kami baca.

Dibuat aplikasi di HP-mu

Yang dibuat aplikasi untuk menjalankan layanan: tanda tangan untuk masuk, token pengiriman, rekaman goyangan tersegel, dan kunci acak per pemasangan untuk batas akun.

Dicatat server

Waktu dan tanggal: kapan akun dibuat dan lahir, tanggal terakhir aktif, tanggal terakhir setiap perangkat masuk, waktu tempel, waktu dan kelompok ukuran setiap amplop, dan ukuran media yang sudah dibulatkan. Negara asal permintaan, yang diberikan Cloudflare, hanya masuk hitungan harian tanpa akun.

Dari orang lain

Orang yang tempel denganmu ikut menandatangani sertifikat tempel kalian. Anggota grup bisa menambahkanmu ke grup, dan admin bisa mengeluarkanmu. Panitia ruang acara memasukkanmu lewat tempel. Penjagamu menjawab permintaanmu dan menandatangani pernyataan untuk pemulihanmu. Sponsor melahirkan akunmu. Laporan orang lain tentang isi darimu membuka kasus tentang akunmu, yang diputuskan moderator.

Dari Apple dan Google

Hasil pemeriksaan keaslian aplikasi dan penanda batas akun per HP saat akun dibuat, token notifikasi yang mereka buat untuk HP-mu, dan status langganan serta transaksi tip dari App Store atau Google Play.

4.1 Akun dan perangkat

Id akun (sidik kunci publik perangkat pertamamu), wilayah server akunmu, waktu akun dibuat, waktu akun lahir (dibulatkan ke 15 menit), cara lahir (diatestasi atau disponsori, dan akun sponsornya bila disponsori), tanggal terakhir aktif, status langganan, ruang media terpakai, jadwal penghapusan bila kamu memintanya, kunci darurat, dan status moderasi. Untuk setiap perangkat: nomornya, jenisnya, kunci publiknya, tanggal terakhir masuk, dan kapan ditambahkan atau dicabut. Masuk memakai tanda tangan kunci perangkat, tanpa kata sandi; token masuk hanya disimpan sebagai hash dan berlaku 24 jam.

Server juga menyimpan kunci publik setiap perangkat untuk memulai percakapan terenkripsi, sebagian sekali pakai; bonus ruang media dari pertemuan kedua; dan apakah pengingat pertemuan menyala. Untuk akun yang tidak aktif, server mencatat hari pengingat bulan ke-11 dikirim dan hari penghapusannya; keduanya dihapus begitu kamu aktif lagi. Perangkat yang 60 hari tidak masuk ditandai basi bila ada perangkat lain di akunmu yang aktif, sampai perangkat itu masuk lagi. Selama kunci darurat berlaku, server menyimpan sampai kapan dan perangkat mana yang memasangnya. Saat penghapusan dijadwalkan, server menyimpan entri penutup yang ditandatangani perangkatmu, atau yang kamu kirim sebagai kode penghapusan, tanpa mencatat yang mana. Bila kamu membatalkannya, server menyimpan hash entri itu, paling banyak 16, sampai rantai kuncimu berubah, supaya kode yang sama tidak bisa menjadwalkan penghapusan lagi.

Untuk menjalankan akunmu: masuk, paket dan kuota, lahir dan berakhirnya akun, batas penyalahgunaan, dan sanksi. Dasar: pemenuhan perjanjian denganmu (syarat dan ketentuan), dan kepentingan yang sah untuk mencegah penyalahgunaan.

4.2 Tempel

Untuk setiap tempel yang berhasil: id kedua akun, jenis tempel, waktunya (dibulatkan ke 15 menit), ruangnya bila terjadi di ruang acara, dan sertifikat tempel. Sertifikat itu memuat waktu yang ditandatangani kedua HP sampai ke menit, nomor perangkat, dan tanda tangan kedua HP serta saksi. Jadi server tahu akun mana pernah bertemu akun mana, kapan, dan dengan cara apa. Server tidak pernah menerima lokasi HP-mu dalam bentuk yang bisa dibacanya: lokasi sementara yang kamu bagikan di sebuah percakapan melewati server terenkripsi ujung ke ujung, seperti pesan (bagian 3.1). Tetapi untuk tempel di titik lahir, server tahu kotanya: daftar titik lahir yang publik menyebut kota setiap ruang, dan tempel di sana mencatat ruangnya.

Rekaman goyangan (2 sampai 2,5 detik data sensor gerak) disegel di HP untuk enklaf tempel, yaitu lingkungan terisolasi yang kodenya bisa dibuktikan. Server hanya memegang bentuk tersegelnya dan tidak bisa membacanya. Enklaf membandingkan dua rekaman, membuangnya, lalu hanya mengembalikan keputusannya. Rekaman hanya dipakai untuk mencocokkan dua goyangan yang terjadi bersamaan, tidak pernah untuk mengenali orang.

Selama tempel berlangsung, data sesinya disimpan beberapa menit saja. Tempel tanpa sinyal menyimpan bahannya paling lama 7 hari sampai dikonfirmasi. Server juga menghitung berapa akun berbeda yang pernah kamu tempel, untuk syarat membuat ruang acara dan menjadi sponsor.

Untuk menunjukkan bahwa dua orang bertemu langsung: tempel adalah satu-satunya cara terhubung dan cara akun lahir. Tempel membuktikan bahwa dua HP digoyang bersama, atau bahwa dua orang sengaja bekerja sama dari jauh untuk menirunya (lihat batasnya di halaman Keamanan). Dasar: pemenuhan perjanjian.

4.3 Pengiriman pesan

Setiap pesan disimpan sebagai amplop terenkripsi untuk perangkat penerima, bersama akun dan perangkat penerima, kelompok ukurannya, dan waktu dibuat. Permintaan kirim tidak memakai akun pengirim, jadi server Patepang tidak mencatat siapa pengirimnya, dengan dua pengecualian. Pesan pertama setelah tempel (paling banyak 20 dalam 24 jam) dikirim dengan token yang terikat pada tempel itu, sehingga server tahu pesan itu datang dari orang yang kamu tempel. Dan bila kamu memutus koneksi pada hari kalian bertemu, server bisa menyimpulkannya dari token tempel yang dicabut HP-mu.

Amplop dihapus begitu perangkat penerima mengambilnya. Amplop yang belum diambil tetap tersimpan sampai perangkat itu dicabut atau akunnya dihapus; pengirimnya tidak bisa menariknya kembali, juga tidak dengan “Hapus untuk semua”.

Token pengiriman dibuat di HP penerima, satu untuk setiap koneksi dan arah. Server hanya menyimpan hash-nya, terhubung ke penerima, dan menghapus token yang dicabut 30 hari setelah dicabut. Waktu dan ukuran lalu lintas tetap terlihat oleh server. Cloudflare juga melihat penerima dan token setiap pengiriman, beserta alamat IP pengirimnya (bagian 8).

Kabar dan momen dikirim ke setiap penerima lewat sesi berdua, seperti pesan, dengan jeda acak, jadi server tidak tahu siapa anggota lingkaranmu. Selama kamu membagikan lokasi sementara, HP-mu mengirim pembaruan setiap 30 detik dengan ketukan tetap, bergerak atau diam, supaya waktunya tidak menunjukkan kapan kamu bergerak; server dan Cloudflare hanya melihat amplop yang lebih sering ke percakapan itu. [Pembaruan lokasi di latar pada Android, yang di versi sekarang masih terkirim setiap kali berpindah sekitar 10 meter: menunggu perbaikan sebelum peluncuran] Selama aplikasimu tersambung ke kotak masuknya, server tahu perangkat itu sedang tersambung, untuk memutuskan apakah perlu mengirim notifikasi; tanda itu hanya ada di memori, hilang sendiri, dan tidak ditulis ke disk.

Untuk mengantar pesan. Dasar: pemenuhan perjanjian.

4.4 Grup

Id grup dan id akun anggotanya, peran (admin atau anggota), siapa menambahkan siapa, dan tanggal bergabung. Keanggotaan ini disimpan tanpa enkripsi di server. Nama, foto, dan pesan grup terenkripsi ujung ke ujung: server hanya memegangnya dalam bentuk terenkripsi, pesan sampai diambil setiap perangkat anggota, dan foto sebagai media (bagian 4.5). Data keanggotaan dihapus saat kamu keluar dari grup. Server juga menyimpan hash token grup, yang diganti admin setelah ada anggota yang keluar atau dikeluarkan. Tanggal grup dibuat dan tanggal bergabung disimpan per hari saja. Anggota grup bisa termasuk orang yang belum pernah kamu temui, karena setiap anggota boleh mengundang orang yang pernah tempel dengannya. Untuk menjalankan grup. Dasar: pemenuhan perjanjian.

4.5 Foto, video, suara, dan berkas

Media disimpan terenkripsi, masing-masing dengan kuncinya sendiri yang hanya dikirim di dalam pesan terenkripsi. Server mencatat id objek, kunci unduhan acak, akun pemiliknya (untuk kuota), ukuran yang sudah dibulatkan ke atas di dalam enkripsi, kelasnya (pesan, kabar, momen, stiker, cadangan, atau ruang), dan tanggalnya. Unduhan tidak memakai akun, jadi server Patepang tidak bisa menghubungkan pengunggah dan pengunduh. Cloudflare, yang meneruskan unggahan dan unduhan itu, bisa menghubungkan keduanya lewat alamat IP dan kunci unduhan (bagian 8).

Foto yang dikirim sebagai foto dikodekan ulang tanpa data EXIF dan lokasi. Berkas yang dikirim sebagai dokumen dikirim apa adanya, termasuk metadatanya, dan aplikasi memperingatkan hal itu. Foto di kabar, momen, album grup, foto grup, dan foto profil juga digambar ulang tanpa lokasi dan info kamera, video digambar ulang tanpa metadata, dan pilihan Kirim kualitas asli tetap tanpa metadata. Album ruang acara sedang dibangun dan menyusul; saat tersedia, medianya mengikuti aturan yang sama. Untuk menyimpan dan mengantar media. Dasar: pemenuhan perjanjian.

4.6 Ruang acara, titik lahir, dan daftar tunggu kota

Untuk ruang acara dan titik lahir: tuan rumah, jenis ruang, jam buka dan tutup, kota untuk titik lahir, peserta dan waktu mereka masuk, kartu peserta terenkripsi, permintaan koneksi antarpeserta, dan papan terenkripsi tanpa nama penulis. Kartu dan papan dienkripsi dengan kunci ruang, yang dibagikan kepada peserta, bukan kepada server. Akun yang dikeluarkan tuan rumah tidak bisa masuk lagi ke ruang itu. Daftar titik lahir bersifat publik: kota dan jamnya, tanpa tuan rumah. Semuanya dihapus beberapa menit setelah ruang ditutup, paling lama 7 hari setelah dibuka. Akun yang belum lahir boleh menulis satu kota untuk daftar tunggu titik lahir; kota itu dihapus saat akun lahir atau setelah 90 hari. Dasar: pemenuhan perjanjian.

4.7 Penjaga, pemulihan, dan cadangan akun

Server mencatat siapa menjaga siapa dan jawaban mereka. Pemulihan menyimpan kunci publik HP baru, pernyataan bertanda tangan dua penjaga, dan waktunya, dengan masa tunggu 48 jam. Selama pemulihan berjalan, perangkat lamamu dan setiap akun yang pernah tempel denganmu diberi tahu. Data pemulihan dihapus 8 hari setelah pemulihan selesai. Pecahan kunci cadangan yang dienkripsi ulang penjaga untuk HP barumu disimpan sampai 7 hari setelah pemulihan dijalankan, atau dihapus saat pemulihannya batal atau gagal; pecahan yang tidak dipakai pemulihan mana pun dihapus setelah 7 hari. Bila kamu menyalakan kunci mati, pemulihan lewat penjaga mati dan pemulihan yang sedang menunggu dibatalkan; pilihan itu tercatat di rantai kuncimu, yang publik (bagian 6.1).

Cadangan akun bersifat pilihan dan butuh paling sedikit dua penjaga. HP-mu mengenkripsi cadangan dengan kunci baru setiap kali, lalu memecah kuncinya menjadi pecahan yang masing-masing disegel untuk HP satu penjaga. Dua pecahan cukup untuk membuka cadangan. Server menyimpan cadangan dan pecahan kunci itu tetapi tidak bisa membuka keduanya. Foto dan grup belum ikut dicadangkan. Dasar: pemenuhan perjanjian.

Dua penjagamu yang bersekongkol bisa membuka cadangan tanpa pemulihan. Aplikasi penjaga hanya memakai pecahannya saat tempel pemulihan, tetapi itu aturan aplikasi, bukan batas kriptografi: dengan aplikasi yang diubah, dua penjaga bisa membuka cadangan diam-diam, tanpa masa tunggu 48 jam dan tanpa pemberitahuan kepadamu. Cadangan berisi orang yang kamu temui dan nama mereka, percakapan, kabar, momen, catatan, dan token pengiriman koneksimu. Karena itu, pilih penjaga yang benar-benar kamu percaya.

4.8 Notifikasi

Bila kamu mengizinkan notifikasi, server menyimpan token notifikasi HP-mu dari Apple atau Google. Token itu disimpan terenkripsi, tetapi server membukanya untuk mengirim notifikasi, jadi server bisa membacanya. Setiap notifikasi berukuran sama, 176 byte, tersegel untuk HP-mu: jenis dan waktunya saja, tanpa pengirim dan tanpa isi. Apple dan Google hanya tahu ada notifikasi ke perangkat itu pada waktu tertentu. Di Android, notifikasi diterima lewat SDK Firebase Cloud Messaging dari Google di dalam aplikasi. [Apakah SDK itu mengirim data pengiriman notifikasi ke Google: belum dikonfirmasi] Pengingat pertemuan dari server mati sampai kamu menyalakannya. Bila menyala, server hanya menyimpan bahwa pengingat itu menyala: pengingatnya tidak menyebut siapa pun, HP-mu sendiri yang mencari tempel mana yang dimaksud, dan server tidak menyimpan pengingat yang sudah dikirim. Setelah notifikasi pesan tiba, HP-mu masuk ke server dan mengambil pesan yang menunggu, jadi server melihat kapan HP-mu aktif.

Token dihapus bersama perangkat atau akunnya, atau saat Apple atau Google menyatakannya tidak berlaku lagi. Token juga dihapus bila kamu mencabut izin notifikasi: sistem HP tidak memberi tahu aplikasi saat izin dicabut, jadi aplikasi memeriksanya setiap kali dibuka, lalu meminta server melupakan tokennya. Server tidak menyimpan apa pun tentang permintaan itu, dan sejak itu tidak mengirim notifikasi, pengingat pertemuan, atau pengingat bulan ke-11 ke HP itu sampai kamu mengizinkan notifikasi lagi. Bila server belum bisa dihubungi, aplikasi mencoba lagi dan mengatakannya di pengaturan Notifikasi. Sampai kamu membuka Patepang lagi setelah mencabut izin, token tetap di server: server tetap menyimpannya dan tetap mengirim notifikasi lewat Apple atau Google, yang tetap melihat waktunya; HP-mu hanya tidak menampilkannya. Dasar: pemenuhan perjanjian, dan persetujuanmu atas izin notifikasi.

4.9 Langganan dan tip

Untuk langganan: toko tempat kamu membeli, pengenal acak yang menghubungkan pembelian dengan akunmu, status langganan, apakah masa coba sudah dipakai, dan batas aksesnya. Hash id langganan dari toko hanya disimpan selama langganan aktif, termasuk masa coba dan masa tenggang. Kami tidak menyimpan harga, cara bayar, identitas akun tokomu, atau kuitansi. Pembelian diperiksa lewat layanan Apple atau Google. Pengenal acak itu juga tersimpan di Apple atau Google bersama pembelianmu, sehingga mereka bisa menghubungkannya dengan akun tokomu.

Tip hanya dihitung dalam jumlah harian; hash id transaksinya disimpan 30 hari untuk mencegah hitungan ganda, tanpa akun, jumlah, atau produk. Dasar: pemenuhan perjanjian.

4.10 Laporan dan moderasi

Saat kamu melaporkan sesuatu, kamu memilih bahasa isinya, supaya laporan sampai ke moderator yang membacanya. HP-mu lalu menyegel isi yang dilaporkan untuk para moderator; server tidak bisa membacanya. Kamu juga memilih satu dari delapan kategori, tanpa pilihan yang dipilihkan untukmu, dan boleh menulis catatan untuk moderator, paling banyak 500 karakter; keduanya ikut disegel dalam ukuran yang sama apa pun isinya, jadi server tidak tahu kategorinya, ada tidaknya catatan, atau panjangnya. Server menyimpan akun yang dilaporkan, jenis isi, bahasa, pernyataan bertanda tangan dari penulis isi itu, bukti tersegel, jam laporan dibuat, serta status, keputusan, alasan, dan banding kasusnya. Akun, perangkat, dan alamat pelapor tidak disimpan. Moderator adalah manusia; setiap pembacaan kasus dan keputusan dicatat di log audit.

Laporan tentang akun yang sama digabung ke satu kasus terbuka. Pelapor mendapat tanda terima, 32 byte acak yang disimpan server sebagai hash, untuk membaca status dan keputusan kasusnya, tanpa bukti dan tanpa nama siapa pun. Akun yang dilaporkan membaca keputusan dan alasan tertulisnya, tanpa tahu siapa pelapornya. Batas 10 laporan sehari per akun pelapor dan 20 per perangkat dihitung di memori, tanpa menautkan pelapor ke akun yang dilaporkan.

Untuk menjaga keselamatan orang yang memakai Patepang dan menegakkan pedoman komunitas. Dasar: kepentingan yang sah, dan kewajiban hukum bila berlaku.

4.11 Mencegah bot dan akun massal

Saat akun dibuat, HP memberi bukti dari Apple (App Attest dan DeviceCheck) atau Google (Play Integrity) bahwa aplikasinya asli. Server memeriksanya lalu hanya menyimpan cara akun lahir. Bila HP tidak bisa memberi bukti itu, misalnya karena perangkatnya tidak mendukungnya atau layanannya tidak terjangkau, akun dibuat tanpa bukti dan hanya bisa lahir lewat tempel dengan sponsor. Bukti yang ditolak pemeriksaan server membuat akun tidak dibuat, dan kamu bisa mencoba lagi. Untuk batas 3 akun per HP per bulan, server membaca dan menulis penanda milik Apple atau Google untuk HP itu: dua bit DeviceCheck di Apple, atau bit device recall di Google. Penanda itu disimpan Apple atau Google, tetap ada walaupun aplikasi dihapus (di Android juga setelah HP direset), dan tidak ikut terhapus bersama akunmu. Server sendiri menyimpan kunci acak per pemasangan, bulannya, dan jumlahnya; hitungan bulan lalu dihapus setiap hari. Penghitung laju sementara memakai perangkat, akun, atau alamat IP (alamat IP hanya di rute tanpa masuk), di memori, tanpa ditulis ke disk. Dasar: kepentingan yang sah.

4.12 Alamat IP, negara, dan log

Server Patepang tidak menyimpan atau mencatat alamat IP; Cloudflare melihatnya di setiap permintaan (bagian 8). Negara dari Cloudflare hanya dipakai untuk hitungan harian pembuatan akun dan mulai langganan; negara yang dipakai kurang dari 5 akun hari itu dihitung sebagai “lainnya”. Log server tanpa alamat IP dan tanpa id akun, disimpan 7 hari. Log juga tidak memuat badan permintaan yang membawa isi terenkripsi, token, atau alamat surel. Log audit mencatat tindakan operator dan moderator, tanpa id akun, dan disimpan tanpa batas waktu. [Aturan lama penyimpanan log audit: menunggu keputusan]

4.13 Hitungan dan laporan transparansi

Server menyimpan hitungan harian tanpa akun, misalnya jumlah akun, tempel, laporan, dan keputusan. Kota atau negara yang dipakai kurang dari 5 akun digabung sebagai “lainnya”. Hitungan ini dipakai untuk menjalankan layanan, dan sebagiannya untuk laporan transparansi; semuanya disimpan tanpa batas waktu. Dasar: kepentingan yang sah.

4.14 Pembaruan aplikasi

Aplikasi yang kamu pasang dari App Store atau Google Play tidak memeriksa pembaruan sendiri, baik ke Expo, ke server kami, maupun ke server lain. Versi baru hanya datang lewat toko itu, yang memprosesnya menurut kebijakannya sendiri (bagian 8). Hanya bila kamu membuka layar Periksa versi, aplikasi mengambil daftar rilis bertanda tangan dari server kami untuk mencocokkan versimu dengan daftar itu.

Versi uji yang dibagikan langsung kepada penguji, di luar toko, masih menanyakan pembaruan ke layanan Expo (EAS Update) setiap kali dibuka. Permintaan itu membawa alamat IP HP, pengenal acak untuk pemasangan aplikasi itu, platform, dan versi. Dasar: kepentingan yang sah untuk mengirim perbaikan kepada penguji.

4.15 Panggilan

Panggilan suara dan video belum tersedia di aplikasi untuk HP. Saat tersedia, datanya diproses seperti berikut. Sinyal panggilan dikirim di dalam amplop terenkripsi seperti pesan, jadi server tidak tahu sebuah amplop adalah panggilan, dan tidak ada catatan panggilan di server mana pun. Hanya koneksimu yang bisa meneleponmu.

Suara dan gambar dienkripsi antara kedua HP (DTLS-SRTP) dan selalu lewat server relay (TURN) Cloudflare Realtime, sehingga orang yang kamu telepon tidak melihat alamat IP-mu. Untuk memakai relay itu, HP-mu mengambil paling banyak 24 token panggilan sehari dari server, menurut jadwalnya sendiri, tidak saat menelepon kecuali tokennya habis. Server menandatangani token itu secara buta, tanpa bisa melihatnya, jadi token yang dipakai tidak bisa dikaitkan dengan akun yang mengambilnya. Worker panggilan Cloudflare menyimpan hash token yang sudah dipakai sampai harinya berakhir, paling lama 24 jam, tanpa alamat IP, akun, atau waktu. Cloudflare, sebagai penyedia relay, melihat alamat IP dan waktunya, seperti untuk permintaan lain (bagian 8). Panggilan grup sampai empat orang memakai cara yang sama.

Di layar panggilan sistem HP, Patepang tidak memberikan foto atau id akun. Nama penelepon hanya tampil bila kamu memilih nama di notifikasi, tidak pernah untuk chat terkunci atau dalam mode perjalanan, dan panggilan Patepang tidak masuk daftar panggilan HP. Dasar: pemenuhan perjanjian.

4.16 Pemberitahuan dari Patepang

Bila terjadi sesuatu di server yang menyangkut datamu, misalnya kebocoran (bagian 14), kami menerbitkannya di daftar Pemberitahuan dari Patepang. Daftar itu ditandatangani dengan kunci yang dipasang di aplikasi, jadi orang yang menguasai server, jaringan, atau alamatnya tidak bisa memalsukannya, dan pemberitahuannya tidak menyebut nama siapa pun.

Aplikasi membaca daftar itu setelah kamu membukanya dengan PIN, saat aplikasi kembali ke layar, dan saat kamu membuka Pemberitahuan dari Patepang di Pengaturan, paling sering sekali 15 menit. Bacaan itu permintaan anonim ke penyedia berkas yang terpisah dari server Patepang: tanpa token, id akun, perangkat, atau cookie, dan tanpa cache yang bisa memberi HP-mu tanda pengenal. Penyedia berkas melihat alamat IP, waktu, dan jenis aplikasi atau browser, sama seperti untuk siapa pun; di HP, setiap bacaan membawa satu kode acak sekali pakai yang tidak tersambung ke bacaan lain. Server Patepang tidak melihat bacaan itu. HP-mu menyimpan versi daftar, pemberitahuan untuk wilayah servermu, dan tanda mana yang sudah kamu baca; semuanya tidak dikirim dan tidak ikut cadangan atau ekspor. Dasar: kewajiban hukum untuk pemberitahuan kebocoran, dan kepentingan yang sah untuk kejadian lain.

4.17 Data pribadi yang bersifat spesifik

UU PDP menggolongkan sebagian data pribadi sebagai bersifat spesifik: data dan informasi kesehatan, data biometrik, data genetika, catatan kejahatan, data anak, dan data keuangan pribadi (Pasal 4 ayat (2)). Server Patepang tidak meminta data seperti itu dan tidak bisa membacanya di isi yang kamu kirim:

• Biometrik. Bila kamu membuka Patepang dengan Face ID atau sidik jari, sistem HP yang memeriksanya. Patepang tidak pernah menerima atau menyimpan data wajah atau sidik jarimu.
• Gerak. Rekaman goyangan hanya dipakai di enklaf untuk mencocokkan dua goyangan, tidak untuk mengenali orang, lalu dibuang (bagian 4.2).
• Suara. Transkrip pesan suara dibuat dengan pengenal suara di HP-mu, dan suara serta teksnya tidak dikirim ke mana pun.
• Keuangan. Kami tidak menyimpan kartu, rekening, cara bayar, harga, atau kuitansi (bagian 4.9).
• Anak. Patepang hanya untuk orang berumur 18 tahun ke atas (bagian 12).
• Isi yang kamu kirim bisa memuat data seperti itu, misalnya tentang kesehatanmu. Isi itu terenkripsi ujung ke ujung, dan hanya terbaca penerimanya, atau moderator sebatas salinan yang dilaporkan (bagian 4.10).
• Moderasi. Catatan kasus bisa memuat kode alasan seperti konten seksual anak atau gambar intim tanpa izin, dan disimpan selama akun yang dilaporkan ada (bagian 7).

Daftar di UU PDP tidak menyebut hubungan antarakun, tetapi catatan siapa pernah bertemu siapa, kapan, dan di ruang mana bisa mengungkap banyak hal tentang hidupmu. Karena itu kami menyebutnya terus terang di bagian 4.2 dan menyimpannya hanya selama kedua akunnya ada (bagian 7).

4.18 Ringkasan: tujuan, dasar hukum, dan bila kamu menolak

Pasal 20 ayat (2) UU PDP mengenal enam dasar pemrosesan. Kami memakai empat: pemenuhan perjanjian, yaitu syarat dan ketentuan yang kamu setujui; kewajiban hukum; kepentingan yang sah, yang harus seimbang dengan hak-hakmu; dan persetujuan. Tabel ini merangkum bagian 4.1 sampai 4.16.

Pesan, grup, kabar, momen, rencana, foto, suara, dan berkas dienkripsi di HP sebelum dikirim, dan hanya terbuka di HP penerima. Server tidak memegang kuncinya. Isi itu bisa dibaca pihak lain karena tindakanmu atau tindakan penerimanya: saat kamu atau penerimanya melaporkannya (moderator membaca salinan yang dilaporkan), atau saat kamu atau penerimanya menyimpannya sebagai berkas bukti, berkas ekspor, atau berkas lain di luar aplikasi.

Server tidak bisa membuka cadangan akun. Cadangan dibuka HP barumu setelah pemulihan yang disetujui dua penjaga, atau oleh dua penjagamu bila mereka bersekongkol (bagian 4.7).

“Hapus untuk semua” dan pesan yang menghilang adalah janji aplikasi, bukan jaminan teknis: salinan di HP penerima ada di HP mereka. Isi yang sudah tampil juga masih bisa dilaporkan penerimanya sampai 30 hari sejak isi itu tiba di HP-nya, walaupun pengirimnya sudah menghapusnya. Tangkapan layar juga tetap mungkin.

Menghapus isi juga tidak menghapus setiap salinannya seketika: amplop yang belum diambil penerima tetap di server sampai diambil, cadangan akunmu yang terakhir masih memuat isi itu sampai cadangan berikutnya, dan cadangan basis data menyimpan data yang dihapus sampai 40 hari (bagian 7).

Yang tidak bisa disembunyikan dari server adalah data untuk mengantar isi itu: penerima, waktu, kelompok ukuran, dan data lain di bagian 4. Suara dan gambar panggilan dienkripsi antara kedua HP, dan relay yang meneruskannya tidak bisa membacanya (bagian 4.15). Lokasi sementara terkirim terenkripsi seperti pesan (bagian 3.1).

Selain kami dan penyedia di bagian 8, orang lain melihat sebagian datamu, tergantung hubungannya denganmu. Isi terenkripsi hanya terbuka di HP orang yang menerimanya.

6.1 Siapa saja

• Rantai kunci akunmu bersifat publik, supaya HP orang lain bisa memeriksa kuncimu sebelum mempercayainya. Siapa pun yang tahu id akunmu bisa membaca kunci publik perangkatmu, waktu setiap perubahan, id akun para penjagamu, dan, bila akunmu diblokir, tanda blokir itu. Rantai itu juga menunjukkan jenis setiap perangkat, apakah kamu menyalakan kunci mati, dan, setelah akunmu dihapus, entri penutupnya.
• Log transparansi kunci bersifat publik dan hanya bertambah. Isinya menunjukkan berapa banyak perubahan dan kapan, bukan akun mana.
• Daftar titik lahir dan laporan transparansi juga publik, tanpa akun siapa pun (bagian 4.6 dan 4.13).

6.2 Orang yang pernah tempel denganmu

• Mereka menerima nama panggilan dan foto profilmu, terenkripsi. Kabar, status, dan ulang tahunmu hanya sampai ke orang yang kamu pilih, dan kamu bisa menyembunyikannya dari seseorang tanpa ia diberi tahu.
• Tanda dibaca dan tanda mengetik hanya terkirim bila kamu memilihnya. Tanda Sampai selalu terkirim, karena itu bagian dari status kirim.
• Kartu kontakmu hanya sampai ke penerima yang kamu pilih, hanya berisi baris yang kamu centang, dan bisa kamu tarik lagi.
• Di momen bersama, orang yang hadir melihat kontribusi masing-masing, dan tanda bahwa kamu hadir baru terlihat orang lain setelah kamu menerimanya.
• Orang yang pernah tempel denganmu diberi tahu bila akunmu sedang dipulihkan.

6.3 Anggota grup dan peserta ruang acara

Anggota grup saling melihat sesama anggota; peserta ruang acara melihat peserta lain sesuai perannya.

• Grup. Anggota melihat daftar anggota, termasuk anggota yang belum pernah mereka temui, yang ditandai aplikasi. Mereka melihat pesan grup, kabar grup, dan polling, serta kartu kontak dan lokasi sementara yang kamu kirim ke grup; aplikasi memperingatkanmu lebih dulu bila ada anggota yang belum pernah kamu temui. Anggota baru melihat isi album grup sejak mereka bergabung. Admin bisa mengeluarkan anggota dan menghapus pesan serta kabar grup.
• Ruang acara. Peserta melihat daftar peserta lain dan kartu mereka. Tulisan di papan tampil tanpa nama penulis, kecuali pengumuman panitia. Peserta bisa meminta koneksi dengan peserta lain, dan yang diminta melihat siapa yang meminta. Tuan rumah bisa mengeluarkan peserta.

6.4 Penjaga

• Orang yang kamu pilih sebagai penjaga melihat permintaanmu, lalu menerima atau menolaknya. Bila seorang penjaga menolak, kamu diberi tahu, tanpa alasannya.
• Bila cadangan aktif, setiap penjaga memegang satu pecahan kunci cadanganmu. Satu pecahan tidak membuka apa pun, tetapi dua penjaga yang bersekongkol bisa membuka cadanganmu (bagian 4.7).
• Saat kamu memulihkan akun, dua penjagamu bertemu dan tempel dengan HP barumu, lalu menandatangani pernyataan untuk pemulihan itu.

6.5 Moderator dan pelapor

• Bila isi darimu dilaporkan, moderator membaca salinan yang dilaporkan, pernyataan penulisnya, serta kategori dan catatan pelapor, tetapi tidak isi lain milikmu.
• Bila kamu melapor, akun yang kamu laporkan tidak diberi tahu siapa pelapornya. Ia membaca keputusan dan alasannya, dan kamu membaca keputusan yang sama lewat tanda terimamu, tanpa bukti dan tanpa nama siapa pun.
• Bila akunmu diblokir, aplikasi orang lain menunjukkan bahwa kuncimu diblokir karena pelanggaran. Alasannya tidak publik.

6.6 Orang yang memegang atau melihat HP-mu

• Notifikasi di layar kunci hanya menyebut jenisnya, tanpa isi pesan. Nama pengirim hanya tampil bila kamu memilihnya, dan tidak pernah untuk chat terkunci atau dalam mode perjalanan.
• Chat bisa dikunci di balik PIN, dan mode perjalanan menyegel orang, percakapan, kabar, momen, dan catatan dengan enam kata. Orang yang memegang HP yang terbuka masih bisa tahu bahwa mode perjalanan menyala, dan menghitung jumlah koneksimu dari catatan inti aplikasi, tanpa nama.
• Widget di layar utama Android menampilkan isi yang kamu pilih untuknya (bagian 3).

Data di HP-mu tinggal di sana sampai kamu menghapusnya, menghapus aplikasinya, atau akunmu berakhir: begitu server menyatakan akunmu tidak ada lagi, aplikasi menghapus kunci dan datanya sendiri. Bukti untuk laporan disimpan 30 hari sejak isinya tiba. Posisi dari lokasi sementara dilepas dari HP penerima setelah waktu berbaginya berakhir. Isi berkas ekspor yang kamu buka di aplikasi hanya tampil selama layarnya terbuka dan tidak disimpan. Salinan di HP orang lain ada di HP mereka, di luar jangkauan kami.

8.1 Tanpa penjualan dan tanpa iklan

Kami tidak menjual data dan tidak membagikannya untuk iklan atau pemasaran. Tidak ada data yang kami berikan kepada pengiklan atau pialang data, dan kami tidak memakai data untuk menyusun profil tentangmu atau memilih apa yang kamu lihat: Patepang tidak punya algoritma yang menyusun isi untukmu, dan kabar harian berakhir dengan “Selesai untuk hari ini”.

8.2 Penyedia yang memproses data untuk kami

Penyedia di bawah memproses data untuk kami sebagai bagian dari layanan. Setiap penyedia terikat perjanjian untuk memproses data hanya atas perintah kami dan memberi perlindungan yang sama atau setara dengan kebijakan ini. Untuk akun toko dan pembelianmu, Apple dan Google juga bertindak atas nama mereka sendiri, menurut kebijakan privasi mereka. [Perjanjian pemrosesan data dengan setiap penyedia: menunggu pemilik dan penasihat hukum]

Amazon Web Services (AWS)

Server aplikasi, enklaf, basis data, dan kunci enkripsi. Bisa mengakses semua yang disimpan server: data di bagian 4 dan isi yang terenkripsi. Lokasi: Singapura; kunci enkripsi cadangan basis data di Frankfurt, Jerman.

Cloudflare

Jaringan di depan server (DNS, TLS, perlindungan serangan, pembatasan laju), penyimpanan media terenkripsi, cadangan basis data terenkripsi, relay panggilan bila fitur panggilan tersedia, dan penyajian situs patepang.com beserta subdomainnya. Cloudflare membuka enkripsi koneksi (TLS) di jaringannya, jadi melihat setiap permintaan ke server kecuali isi yang terenkripsi ujung ke ujung. Yang terlihat: alamat IP, waktu, dan ukuran; token masuk, id akun, dan nomor perangkat; penerima dan token setiap pesan yang dikirim; dan kunci setiap media yang diunggah atau diunduh. Karena itu, lewat alamat IP, Cloudflare bisa menghubungkan sebuah HP dengan akunnya, pengirim pesan dengan penerimanya, dan pengunggah media dengan pengunduhnya. Isi pesan dan media tetap terenkripsi. Untuk panggilan, relay Cloudflare Realtime melihat alamat IP kedua HP dan waktunya, tetapi tidak suara atau gambarnya, dan Worker panggilan menyimpan hash token yang sudah dipakai paling lama 24 jam, tanpa alamat IP atau akun (bagian 4.15). Lokasi: pusat data terdekat di seluruh dunia; media dengan petunjuk lokasi Asia-Pasifik (petunjuk, bukan jaminan); cadangan di wilayah hukum Uni Eropa. Lama penyimpanan lognya: [Retensi log dan Security Events Cloudflare: belum dikonfirmasi]

Apple

App Store (unduhan, langganan, tip), layanan notifikasi, dan pemeriksaan keaslian aplikasi saat akun dibuat, termasuk dua bit DeviceCheck yang menghitung akun yang dibuat sebuah iPhone dalam sebulan (bagian 4.11). Melihat akun App Store dan pembeliannya (data Apple sendiri), pengenal acak langganan, token notifikasi, dan waktu notifikasi. Lokasi: Amerika Serikat dan global.

Google

Google Play (unduhan dan pembayaran), Firebase Cloud Messaging (notifikasi, lewat SDK-nya di aplikasi Android), Play Integrity dan device recall (pemeriksaan keaslian aplikasi dan hitungan akun per HP saat akun dibuat), dan Google Cloud Pub/Sub (pemberitahuan tagihan Google Play ke server, dengan token pembeliannya). Melihat hal yang sama seperti Apple. Lokasi: Amerika Serikat dan global.

Expo (EAS Update)

Pemeriksaan pembaruan, hanya untuk versi uji yang dibagikan kepada penguji di luar toko (bagian 4.14); aplikasi dari App Store dan Google Play tidak menghubungi Expo. Melihat alamat IP, pengenal acak per pemasangan, platform, dan versi. Lokasi: [Lokasi pemrosesan Expo: belum dikonfirmasi]

Zoho Mail

Menerima dan menyimpan surel yang kamu kirim ke alamat surel kami. Melihat alamat surelmu, isi suratmu, dan lampirannya. Lokasi: Amerika Serikat (pusat data Zoho untuk surel patepang.com).

Halaman status

Menyajikan halaman status layanan. [Penyedia halaman status: belum dipilih]

Penyedia berkas pemberitahuan

Menyajikan daftar Pemberitahuan dari Patepang yang dibaca aplikasi (bagian 4.16). Melihat alamat IP, waktu, dan jenis aplikasi atau browser setiap bacaan, tanpa akun. [Penyedia dan lokasi berkas pemberitahuan: belum dipilih]

8.3 Layanan yang kamu buka sendiri

Bila kamu membuka tempat sebuah rencana di peta, nama tempat yang kamu ketik dikirim ke Apple Maps di iPhone, atau ke aplikasi peta di HP Android-mu (misalnya Google Maps), yang memprosesnya menurut kebijakan mereka sendiri. Itu hanya terjadi saat kamu menekannya. Hal yang sama berlaku saat kamu membuka lokasi yang dibagikan kepadamu di aplikasi peta: posisinya baru sampai ke aplikasi peta saat kamu menekan tombolnya. Pratinjau tautan di Patepang hanya menampilkan alamatnya: HP-mu tidak mengambil halaman itu sampai kamu sendiri membukanya di browser. Berkas yang kamu bagikan lewat lembar bagikan HP sampai ke aplikasi yang kamu pilih, yang memprosesnya menurut kebijakannya sendiri.

8.4 Aparat penegak hukum dan pemerintah

Permintaan dari aparat penegak hukum dan pemerintah dijelaskan di halaman Transparansi. Ringkasnya:

• Kami tidak menyimpan nama, nomor telepon, atau email siapa pun, jadi permintaan harus menyebut id akun.
• Yang bisa ada di server untuk sebuah id akun adalah data di bagian 4 yang masih tersimpan menurut bagian 7: catatan akun dan perangkat; rantai kunci; tempel (dengan akun mana, kapan sampai ke menit, jenisnya, dan ruangnya); keanggotaan grup, keikutsertaan di ruang acara yang masih buka, dan penjaga; amplop yang belum diambil, dalam bentuk terenkripsi; status langganan; dan kasus moderasi.
• Apple atau Google bisa mencocokkan pengenal acak langganan dengan akun toko pembelinya, dan token notifikasi dengan perangkatnya. Jadi data Patepang yang digabung dengan catatan Apple atau Google bisa menunjukkan siapa pemilik sebuah akun.
• Yang tidak ada, sehingga tidak bisa kami berikan: isi pesan, kabar, momen, atau media dalam bentuk terbaca; nama, foto, nomor telepon, email, atau buku alamat; alamat IP, lokasi HP dalam bentuk terbaca, atau catatan panggilan.
• Patepang versi pertama tidak menahan data atas permintaan siapa pun (legal hold): penghapusan yang sudah terjadwal tetap berjalan.
• Setiap permintaan dihitung di laporan transparansi menurut negara, jenis, dan hasilnya, tanpa menyebut akun.

[Kebijakan tertulis untuk permintaan aparat, termasuk dasar hukum yang kami terima dan kapan pengguna diberi tahu: menunggu keputusan dan tinjauan penasihat hukum] [Pelaporan konten seksual anak ke pihak berwenang, dan pengungkapan data dalam keadaan darurat yang mengancam nyawa: menunggu keputusan pemilik dan tinjauan penasihat hukum] Permintaan resmi dikirim ke [email protected].

8.5 Bila Patepang berpindah tangan

Bila PT Pakuan Teknologi Pangrango bergabung dengan badan lain, diambil alih, menjual Patepang, atau bubar, data yang disimpan server (bagian 4) bisa ikut beralih bersama layanannya. Yang tidak bisa ikut beralih adalah yang memang tidak kami pegang: kunci pribadimu, isi dalam bentuk terbaca, dan data yang tetap di HP-mu (bagian 3). Pengumuman bila Patepang berhenti beroperasi diatur di Syarat dan ketentuan. [Apa yang terjadi pada data saat penggabungan, pengambilalihan, penjualan, atau pembubaran, kapan dan lewat mana kamu diberi tahu, dan pilihanmu sebelum data beralih: menunggu keputusan pemilik dan tinjauan penasihat hukum]

Data server dari pengguna di Indonesia diproses di luar Indonesia: di Singapura (server utama), di pusat data Cloudflare terdekat, di Asia-Pasifik (media terenkripsi), di Uni Eropa (cadangan basis data terenkripsi), di Amerika Serikat atau secara global (Apple dan Google; Expo hanya untuk versi uji para penguji; Zoho Mail untuk surel yang kamu kirim ke kami), dan di lokasi penyedia halaman status (bagian 8). Saat ini hanya ada satu wilayah server, Singapura, dan akun belum bisa dipindahkan ke wilayah lain.

Isi yang kamu kirim terenkripsi ujung ke ujung, dan data di server serta cadangannya disimpan terenkripsi. [Dasar transfer menurut Pasal 56 UU PDP: menunggu tinjauan penasihat hukum]

Selama diproses di luar Indonesia, data dilindungi dengan cara di bagian 13: kunci pribadimu tidak pernah meninggalkan HP, basis data dan cadangannya dienkripsi dengan kunci di AWS KMS, dan cadangan disimpan di wilayah hukum Uni Eropa dengan kuncinya di Frankfurt. Penyedia di Amerika Serikat dan global hanya menerima data yang disebut untuk mereka di bagian 8, tidak pernah isi dalam bentuk terbaca. Berkas pemberitahuan juga diproses di lokasi penyedianya (bagian 8).

UU PDP memberimu hak atas data pribadimu. Di Patepang, caranya sebagai berikut. Setiap hak di bawah disertai pasalnya di UU PDP, cara memakainya, dan batasnya. Sebagian besar kamu pakai sendiri di aplikasi, karena kunci di HP-mu yang membuktikan bahwa akun itu milikmu (bagian 10.11).

10.1 Mendapat informasi

Mendapat informasi tentang pemrosesan datamu: kebijakan ini, dan jawaban atas pertanyaanmu di [email protected]. Hak ini, di Pasal 5, mencakup siapa kami, dasar hukum dan tujuan pemrosesan, dan siapa yang bertanggung jawab atasnya; bagian 2, 4, dan 8 menjawabnya. Di aplikasi, layar Transparansi menunjukkan versi kebijakan yang kamu setujui di HP itu dan kapan.

10.2 Mengakses dan mendapat salinan

Mengakses dan mendapat salinan: data di HP-mu ada di aplikasi dan bisa kamu ekspor sebagai berkas terenkripsi yang dibuka dengan enam kata. Berkas ekspor hanya berisi data di HP-mu, tidak data di server. Untuk data di server, aplikasi menampilkan langganan, kuota, penjaga, pemulihan, keputusan moderasi, jumlah tempel, dan rantai perangkatmu. Belum ada cara mengunduh semua data server sekaligus. [Cara meminta salinan data di server: menunggu keputusan dan pembangunan] Hak ini ada di Pasal 7. Isi pesan dan media tidak bisa kami salinkan dari server: isi itu tersimpan terenkripsi, dan amplop dihapus begitu diambil. Salinannya ada di HP-mu dan di berkas ekspormu.

10.3 Memperbaiki dan memperbarui

Memperbaiki: nama panggilan dan profil kamu ubah sendiri di aplikasi. Begitu juga nama yang kamu berikan kepada koneksimu, catatan, dan pengaturan, yang semuanya ada di HP-mu. Data di server sebagian besar dibuat dari tindakanmu sendiri dan berubah saat kamu bertindak lagi, misalnya mengganti penjaga, menyalakan atau mematikan pengingat pertemuan, atau memilih kota lain di daftar tunggu. Rantai kunci dan log transparansi kunci tidak bisa diubah ke belakang, karena itulah yang membuat keduanya bisa dipercaya: perubahan baru ditambahkan sebagai entri baru. Bila menurutmu keputusan moderasi tentang akunmu keliru, ajukan banding di aplikasi; untuk data lain yang menurutmu salah, tulis ke [email protected]. Hak ini ada di Pasal 6.

10.4 Menghapus dan mengakhiri pemrosesan

Menghapus dan mengakhiri pemrosesan: hapus isi milikmu di aplikasi, atau hapus akunmu. Caranya ada di halaman Hapus akun. Hak ini ada di Pasal 8.

• Penghapusan akun punya tenggang 7 hari yang bisa dibatalkan. Setelah itu server menghapus semua yang terhubung dengan akunmu, kecuali catatan penutup selama 12 bulan, entrinya di log transparansi kunci, dan salinan di cadangan basis data sampai 40 hari (bagian 7).
• Tanpa aplikasi, kamu bisa memakai kode penghapusan yang kamu buat lebih dulu di aplikasi, lewat halaman Hapus akun Patepang tanpa aplikasi. Siapa pun yang memegang berkas kode itu bisa menjadwalkan penghapusan akunmu, jadi simpan di tempat yang hanya kamu buka.
• Kamu juga bisa menghapus sebagian: mematikan cadangan menghapus cadangan di server, keluar dari grup menghapus keanggotaanmu, menghapus media kabar dan momen menghapus objeknya, dan mencabut izin notifikasi menghapus token notifikasimu saat aplikasi dibuka lagi.
• Akun yang diblokir tidak bisa dihapus lebih awal; akun itu terhapus sendiri setelah 12 bulan tidak aktif. [Hak penghapusan bagi akun yang diblokir: menunggu tinjauan penasihat hukum]
• Menghapus akun tidak menghentikan langganan di toko, dan tidak menghapus data yang dipegang Apple atau Google, seperti akun tokomu dan penanda batas akun di HP-mu (bagian 4.11).

10.5 Menarik persetujuan

Menarik persetujuan: pilihan privasi di aplikasi bisa diubah kapan saja. Pilihan seperti tanda dibaca dan nama di notifikasi dimulai dari yang paling privat sampai kamu memilih. Mencabut izin notifikasi di pengaturan HP menghentikan tampilannya di HP-mu, dan saat Patepang dibuka berikutnya, aplikasi meminta server menghapus token notifikasimu (bagian 4.8). Lokasi sementara berhenti saat kamu menekan Berhenti berbagi atau waktunya habis, dan izin kamera, mikrofon, lokasi, dan pengenal suara bisa kamu cabut di pengaturan HP. Hak ini ada di Pasal 9. [Apakah persetujuan yang hanya dicatat di HP cukup sebagai bukti persetujuan menurut UU PDP: menunggu tinjauan penasihat hukum]

10.6 Menunda atau membatasi pemrosesan

Membatasi pemrosesan, mengajukan keberatan, dan menggugat sesuai UU PDP, lewat [email protected]. Hak menunda atau membatasi pemrosesan ada di Pasal 11. Banyak pembatasan bisa kamu lakukan sendiri di aplikasi: mematikan cadangan, pengingat pertemuan, dan notifikasi; menyalakan kunci darurat bila perangkatmu hilang atau direbut, yang menahan penautan perangkat, perubahan penjaga, dan pemulihan selama 72 jam; atau menyalakan kunci mati, yang mematikan pemulihan lewat penjaga. Untuk pembatasan lain, sebutkan pemrosesan mana dan alasannya dalam suratmu.

10.7 Memindahkan data

Memindahkan data: berkas ekspor adalah arsip JSON terenkripsi yang dibuka dengan enam kata. Kamu bisa membukanya di HP lewat Buka berkas ekspor, atau di komputer dengan halaman pembuka yang bisa kamu simpan bersama berkasnya. Halaman itu bekerja tanpa internet, tidak menyimpan apa pun, dan bisa menyimpan isinya sebagai berkas JSON tanpa enkripsi, yang bisa dibaca program lain. Patepang tidak memasukkan berkas ekspor kembali ke akun. Hak ini ada di Pasal 13. [Format berkas ekspor yang dipatok untuk umum, dan tempat halaman pembuka diterbitkan di luar aplikasi: menunggu keputusan]

10.8 Mengajukan keberatan

Mengajukan keberatan atas keputusan otomatis (bagian 11), lewat [email protected]. Hak ini ada di Pasal 10. Kamu juga bisa menyampaikan keberatan atas pemrosesan yang berdasar kepentingan yang sah (bagian 4.18) lewat surel yang sama, dan atas keputusan moderasi lewat banding di aplikasi.

10.9 Menggugat dan menerima ganti rugi

Bila pemrosesan datamu melanggar UU PDP, kamu berhak menggugat dan menerima ganti rugi (Pasal 12). Kamu bisa menghubungi kami lebih dulu di [email protected] supaya masalahnya bisa diselesaikan bersama, tanpa mengurangi hak itu. Cara penyelesaian sengketa lain ada di Syarat dan ketentuan.

10.10 Mengadu ke lembaga pelindungan data pribadi

Kamu juga bisa mengadu ke lembaga pelindungan data pribadi yang ditetapkan pemerintah. [Nama lembaga pelindungan data pribadi dan saluran pengaduannya: menunggu tinjauan penasihat hukum]

10.11 Cara mengajukan permintaan dan membuktikan akunmu

Sebagian besar hak di atas kamu pakai sendiri di aplikasi, di Pengaturan, karena kepemilikan akun dibuktikan dengan kunci di HP-mu, bukan dengan nama, nomor, atau surel. Karena kami tidak menyimpan nama, email, atau nomor teleponmu, kami tidak bisa mengenali akunmu dari sebuah surel, dan aplikasi belum menampilkan id akunmu. Patepang tidak pernah meminta id akun, PIN, enam kata, atau kode penghapusan lewat surel atau telepon, dan tidak bertindak atas akun karena sebuah surel atau telepon. Lewat surel kami menjawab pertanyaan dan menerima keberatan serta pengaduan. [Cara membuktikan pemilik akun untuk permintaan lewat surel: menunggu keputusan] [Proses dan batas waktu menjawab permintaan sesuai UU PDP: menunggu keputusan dan tinjauan penasihat hukum]

10.12 Yang tidak bisa kami lakukan

Karena isi terenkripsi ujung ke ujung dan server tidak mengenal identitas siapa pun, ada hal yang tidak bisa kami lakukan, juga bila kamu memintanya:

• membaca, menyalin, atau memulihkan isi pesan, kabar, momen, dan media dari server;
• mengubah atau menghapus salinan di HP orang lain: “Hapus untuk semua” meminta aplikasi mereka menghapusnya (bagian 5);
• memulihkan akunmu bila semua perangkatmu hilang dan tidak ada dua penjaga yang bisa membantu;
• membuka cadangan akun atau berkas ekspor tanpa kunci yang hanya ada di HP-mu, di tangan penjagamu, atau di enam katamu;
• menghapus entri log transparansi kunci, yang permanen sesuai rancangannya dan tidak menyebut akun secara publik.

Patepang tidak membuat profil tentangmu, dan isi tidak dipindai otomatis, karena server memang tidak bisa membacanya. Keputusan moderasi selalu diambil manusia. Tetapi beberapa aturan berjalan otomatis dan bisa berdampak besar bagimu:

• Akun yang belum lahir dihapus 30 hari setelah dibuat bila belum ada tempel. Akun yang tidak aktif selama 12 bulan dihapus, dengan pengingat lewat notifikasi di bulan ke-11 bila kamu mengizinkan notifikasi.
• Bila media di server melewati kuotamu selama 12 bulan, media kabar, momen, dan stiker yang paling lama dihapus sampai muat, dengan peringatan 3 bulan, 1 bulan, dan 1 minggu sebelumnya.
• Saat akun dibuat, bila HP-mu tidak bisa memberi bukti keaslian aplikasi dari Apple atau Google, akunmu tidak bisa lahir sendiri dan harus menunggu tempel dengan sponsor. Bila bukti itu ditolak pemeriksaan server, akun tidak dibuat. Satu HP hanya bisa membuat 3 akun dalam satu bulan kalender.
• Akun yang tiga akun sponsornya diblokir dalam setahun tidak bisa menjadi sponsor lagi.
• Tempel hanya berhasil bila enklaf menilai dua goyangan cocok, dan tempel adalah satu-satunya cara terhubung dan lahir. Goyangan yang terlalu lemah bisa ditolak; bila goyang berdua tidak berhasil, orang lain boleh membantu menggoyang kedua HP.
• Pemulihan yang tidak dibatalkan dijalankan otomatis setelah masa tunggu 48 jam, dan semua perangkat lamamu keluar dari akun. Pemulihan gagal sendiri bila rantai kuncimu berubah lebih dulu.
• Penghapusan akun yang dijadwalkan dijalankan otomatis setelah tenggang 7 hari, kecuali dibatalkan. Kode penghapusan berhenti berlaku sendiri begitu perangkat, penjaga, atau pengaturan pemulihanmu berubah.

Kamu bisa mengajukan keberatan atas keputusan otomatis lewat [email protected], dan atas keputusan moderasi lewat banding di aplikasi. [Cara meninjau keberatan atas keputusan otomatis, sesuai Pasal 10 UU PDP: menunggu tinjauan penasihat hukum]

Patepang hanya untuk orang berumur 18 tahun ke atas. Server tidak menerima tanggal lahir atau umur siapa pun; ulang tahun di aplikasi bersifat pilihan, tanggal dan bulan saja.

Saat kamu membuat akun, atau memulihkan akun di HP baru, aplikasi memintamu mencentang “Umurku 18 tahun atau lebih.” Kotak itu mulai kosong, dan umurmu sendiri tidak ditanyakan. Pernyataan itu dicatat hanya di HP-mu bersama waktunya, tidak dikirim ke server, dan tidak ikut cadangan (bagian 3). Aplikasi belum memakai sinyal rentang umur dari sistem HP, seperti yang disediakan Apple dan Google. [Rating umur Patepang di App Store dan Google Play: menunggu pemilik]

Karena server tidak mengenal identitas siapa pun, kami tidak bisa memeriksa umur pemilik sebuah akun. Data anak termasuk data pribadi yang bersifat spesifik menurut UU PDP (bagian 4.17). [Langkah bila ada pengguna di bawah 18 tahun, dan apakah pernyataan umur sendiri cukup menurut PP 17/2025 (PP Tunas) sebelum sinyal umur dari sistem HP dipakai: menunggu tinjauan penasihat hukum]

Isi dienkripsi ujung ke ujung di HP. Kunci pribadi disimpan dengan kunci perangkat keras HP. Koneksi ke server memakai TLS 1.3 dengan HSTS dan DNSSEC; jalur dari Cloudflare ke server memakai TLS dua arah. Basis data terenkripsi, setiap bagian server hanya mendapat hak akses yang dibutuhkannya, dan kunci enklaf hanya terbuka di dalam enklaf yang terbukti. Penjelasan lengkapnya ada di halaman Keamanan.

13.1 Di HP-mu

• Pesan dan isi lain dienkripsi dengan libsignal (PQXDH dengan ML-KEM-1024 dan triple ratchet), di inti Rust yang memegang semua kunci; bagian lain aplikasi tidak pernah melihat kunci pribadi.
• Data aplikasi dan salinan media di HP disimpan tersegel, dan tidak ikut cadangan sistem HP.
• Kunci tanda tangan ML-DSA-65, yang dibutuhkan untuk mengubah akun dan menandatangani sertifikat tempel serta pernyataan penjaga, terkunci di balik PIN atau biometrik dan diikat ke kunci perangkat keras HP (Secure Enclave atau StrongBox). Pencuri HP yang belum membuka PIN tidak bisa mengubah akunmu. Kunci untuk notifikasi dan mengambil pesan terbuka setelah HP pertama kali dibuka sejak menyala, seperti di aplikasi pesan lain.
• Chat bisa dikunci di balik PIN, mode perjalanan menyegel isi dengan enam kata, dan kunci darurat mengeluarkan semua perangkat lain dari akunmu bila satu perangkat hilang atau direbut.

13.2 Dalam perjalanan ke server

• Koneksi ke Cloudflare memakai minimal TLS 1.3, dengan HSTS preload, DNSSEC, dan pembatasan penerbit sertifikat (CAA). Server hanya menerima koneksi dari Cloudflare, yang membuktikan dirinya dengan sertifikat klien milik zona Patepang. Aturan WAF dan pembatasan laju di Cloudflare menahan serangan sebelum sampai ke server.
• Amplop tidak membawa pengirim, token pengiriman disimpan sebagai hash, isi dibulatkan ke kelompok ukuran, dan media dibantali, sehingga server hanya tahu ukuran kira-kira.

13.3 Di server dan enklaf

• Server berjalan di jaringan pribadi AWS dengan disk terenkripsi. Tidak ada pintu masuk jarak jauh yang terbuka di server: setiap sesi operator lewat AWS Session Manager dan tercatat.
• Basis data terenkripsi dengan kunci di AWS KMS dan hanya dihubungi lewat TLS dengan nama server yang diperiksa. Setiap bagian server masuk dengan perannya sendiri, dan setiap baris yang menyebut akun dilindungi aturan per baris, sehingga sebuah perangkat tidak bisa membaca data akun lain.
• Alat moderator dan admin berjalan di proses terpisah yang tidak bisa dicapai lewat jalur aplikasi, hanya lewat Cloudflare Access, dan setiap moderator masuk dengan kuncinya sendiri.
• Token notifikasi disimpan terenkripsi dengan kunci data dari AWS KMS. Kunci yang menandatangani log transparansi kunci ada di AWS KMS, hanya bisa dipakai mesin yang menjalankan pekerjaan terjadwal, dan setiap upaya mengubah aturan pemakaiannya membunyikan alarm.
• Enklaf berjalan di AWS Nitro Enclaves dan membuktikan kodenya dengan atestasi. Kuncinya hanya terbuka di dalam versi enklaf yang diterima, sehingga operator server pun tidak memegangnya.

13.4 Cadangan

Basis data dicadangkan setiap hari, dan perubahannya dikirim terus-menerus. Setiap berkas cadangan dimampatkan dan dienkripsi (AES-256-GCM) dengan kunci data sendiri, yang dibungkus kunci AWS KMS di Frankfurt, lalu disimpan di Cloudflare R2 di wilayah hukum Uni Eropa, terkunci 35 hari dan dihapus setelah 40 hari. Pemulihan dari cadangan dilatih setiap bulan dan sebelum setiap rilis, dengan target kehilangan data paling banyak 15 menit dan layanan pulih dalam 4 jam.

13.5 Kunci yang bisa diperiksa orang lain

• Setiap catatan jangka panjang ditandatangani dua kali, dengan Ed25519 dan ML-DSA-65, dan HP menolaknya bila salah satu tanda tangan tidak benar.
• Ringkasan log transparansi kunci ditandatangani setiap jam, dan pihak luar bisa mengaudit log itu tanpa akun. Ringkasan itu juga mengikat log audit, sehingga entri log audit yang dihapus atau diubah ketahuan.
• Daftar moderator ditandatangani dua dari tiga pemegang kunci akar, Pemberitahuan dari Patepang ditandatangani dengan kunci yang dipasang di aplikasi, dan setiap rilis dicatat di log publik Sigstore Rekor.

13.6 Pemantauan, orang, dan rilis

• Log server disimpan 7 hari dan tidak pernah memuat alamat IP bersama id akun. Setiap pekerjaan terjadwal dan setiap tindakan moderator dan admin dicatat di log audit yang berantai hash.
• AWS GuardDuty dan alarm memantau akun AWS, Cloudflare memantau jaringan, dan temuan penting dikirim ke kontak keamanan. Penanganan insiden mengikuti bagian 14.
• Moderator membuka bukti di konsol tanpa sumber pihak ketiga; kunci mereka tersegel kata sandi, dan bukti yang dibuka tidak disimpan.
• Dependensi dipatok ke versi tertentu yang berumur paling sedikit 14 hari, kerentanan yang sudah diketahui menghentikan pemeriksaan otomatis dan rilis, dan setiap rilis disertai daftar komponennya (SBOM).

13.7 Audit dan kerentanan

Audit keamanan oleh pihak luar adalah syarat sebelum peluncuran publik dan belum dilakukan. Tidak ada sistem yang bebas risiko; bila kamu menemukan kerentanan, laporkan ke [email protected].

Bila kami mengetahui kebocoran data pribadi, kami memberi tahu secara tertulis lembaga pelindungan data pribadi dan orang yang terdampak paling lambat 3 × 24 jam, sesuai Pasal 46 UU PDP. Karena server tidak punya kontak siapa pun, pemberitahuan untukmu disampaikan di halaman status (status.patepang.com) dan di patepang.com. Pemberitahuan juga tampil di aplikasi saat aplikasi dibuka, sebagai spanduk Pemberitahuan dari Patepang dan di Pengaturan, bagian Bantuan dan transparansi (bagian 4.16). HP yang tidak dibuka belum menerimanya: tidak ada notifikasi yang membangunkan HP untuk itu. [Apakah pemberitahuan di aplikasi dan di halaman status memenuhi pemberitahuan tertulis menurut Pasal 46 UU PDP: menunggu tinjauan penasihat hukum] Isinya: apa yang terjadi dan kapan, data apa yang terdampak, apa yang sudah kami lakukan, dan apa yang bisa kamu lakukan. Yang belum diketahui kami sebut terus terang, lalu kami susul. Setiap insiden dihitung di laporan transparansi.

Saat insiden terjadi, kami lebih dulu menahan kerusakannya, misalnya dengan mencabut kredensial yang bocor atau mengganti mesin yang dibobol, lalu menyelidikinya dengan log yang ada, memulihkan layanan, memberi tahu, dan menulis tinjauan tentang penyebab dan perbaikannya. Orang yang melaporkan sebuah insiden kepada kami mendengar tentangnya dari kami sebelum umum. Server dibangun supaya kebocoran darinya menghasilkan sedikit: di dalamnya tidak ada pesan, nama, foto, atau daftar kontak dalam bentuk terbaca.

15.1 Situs patepang.com dan subdomainnya

Situs patepang.com dan subdomainnya, kecuali halaman status (bagian 8), berupa berkas statis: tanpa cookie, tanpa analitik, tanpa formulir, tanpa penyimpanan di browser, dan tanpa skrip atau huruf dari pihak lain. Situs-situs itu disajikan Cloudflare, yang mencatat alamat IP dan jenis browser pengunjung di log permintaannya (bagian 8). Pencarian di beranda bantuan menyaring halaman itu di browser-mu; kata yang kamu ketik tidak dikirim atau disimpan.

Satu halaman bekerja dengan datamu: Hapus akun Patepang tanpa aplikasi. Halaman itu membaca berkas kode penghapusan yang kamu pilih di browser-mu, lalu hanya mengirim entri penghapusan di dalamnya ke server Patepang. Halaman itu tidak menyimpan apa pun dan tidak menampilkan id akunmu, dan server memakai alamat IP-mu hanya untuk membatasi jumlah kode yang dikirim dari satu jaringan, tanpa menyimpannya.

15.2 Cookie dan teknologi serupa

Situs Patepang tidak memasang cookie, piksel pelacak, atau penyimpanan browser apa pun, jadi tidak ada yang perlu kamu setujui atau tolak di sana. Aplikasi juga tidak memakai cookie atau alat pelacak iklan. Yang disimpan aplikasi di HP-mu untuk bekerja:

• data aplikasimu yang tersegel, termasuk catatan persetujuanmu (bagian 3);
• catatan kecil milik perangkat, di luar data akun: versi daftar moderator dan daftar pemberitahuan terakhir yang diterima HP itu, tanda pemberitahuan yang sudah dibaca, dan catatan tersegel yang dipakai HP untuk menyusun kalimat notifikasi tanpa membuka aplikasi;
• pengingat yang dijadwalkan di sistem HP, tanpa nama orang atau judul rencana;
• penanda yang disimpan Apple atau Google untuk HP-mu: token notifikasi dan bit penghitung akun (bagian 4.8 dan 4.11). Penanda ini milik sistem dan tokonya, bukan Patepang.

Menghapus aplikasi menghapus semua yang disimpan aplikasi di HP-mu, kecuali penanda yang disimpan Apple atau Google.

15.3 Surel

Bila kamu menulis surel kepada kami, kami menerima alamat surel dan isi suratmu. [Lama penyimpanan surel: menunggu keputusan] Surelmu diterima dan disimpan Zoho Mail di Amerika Serikat (bagian 8). Jangan pernah mengirim PIN, enam kata, atau berkas kode penghapusan: kami tidak pernah menanyakannya, dan surel yang memintanya bukan dari kami.

Kebijakan ini bisa berubah, misalnya saat fitur baru hadir atau setelah ditinjau penasihat hukum. Tanggal di bagian atas halaman menunjukkan perubahan terakhir. Perubahan penting kami umumkan di halaman ini dan di halaman status sebelum berlaku.

Setiap versi yang terbit tetap bisa dibaca di alamatnya sendiri: daftarnya ada di bagian Versi di akhir halaman ini dan di halaman Dokumen legal. Aplikasi mencatat di HP-mu versi kebijakan ini yang kamu setujui dan kapan, dan layar Transparansi di aplikasi menampilkannya.

Versi baru sampai ke aplikasi bersama versi aplikasi yang baru. Saat kamu membuka Patepang setelah memperbaruinya, aplikasi menampilkan dokumen yang berubah dengan tanda Diperbarui dan meminta persetujuanmu lagi. Sampai kamu menyetujuinya, pesan untukmu tetap masuk, tetapi kamu belum bisa mengirim apa pun. Bila tidak setuju, kamu bisa mengekspor datamu dan menghapus akunmu dari layar itu. Versi aplikasi yang lebih lama tidak menanyakan versi kebijakan yang lebih baru. [Apakah setiap perubahan meminta persetujuan lagi, atau perubahan kecil cukup diberitahukan: menunggu keputusan]

Pertanyaan dan permintaan tentang data pribadi: [email protected]. Pertanyaan juga bisa lewat telepon, +62 851-6101-1651; permintaan sebaiknya lewat surel, supaya tercatat. Pejabat pelindungan data pribadi: direktur perseroan, lewat alamat surel yang sama. Surat: PT Pakuan Teknologi Pangrango, Jl. Cihideung Udik RT 004/RW 009, Desa Cihideung Udik, Kecamatan Ciampea, Kabupaten Bogor, Jawa Barat 16620, Indonesia. Alamat lain ada di halaman Kontak.

17.1 Tugas pejabat pelindungan data pribadi

Pejabat pelindungan data pribadi memberi saran supaya pemrosesan data di Patepang mematuhi UU PDP dan kebijakan ini, memantau kepatuhan itu, memberi saran tentang penilaian dampak pelindungan data pribadi saat ada fitur atau penyedia baru, dan menjadi penghubung untuk pertanyaan dan permintaan tentang data pribadi, termasuk dengan lembaga pelindungan data pribadi. [Penilaian dampak pelindungan data pribadi untuk Patepang: menunggu pemilik dan penasihat hukum]

Setiap versi yang terbit tetap di alamatnya sendiri. Alamat tanpa tanggal, legal.patepang.com/id/kebijakan-privasi, menampilkan versi yang berlaku. Selama dokumen ini masih draf, kedua alamat menampilkan drafnya.