Kebijakan Pelindungan Data Pribadi

1.1. Pernyataan Komitmen: ARTEFAK (beroperasi melalui domain resmi artefak.id) menempatkan pelindungan data pribadi dan kerahasiaan informasi bisnis sebagai prinsip mendasar dalam pengembangan seluruh ekosistem komputasi otonom. Kebijakan ini menguraikan bagaimana data pribadi dihimpun, dikelola, diproses, disimpan, dan dilindungi.

1.2. Kedudukan Hukum Ganda Berdasarkan UU PDP: Sesuai ketentuan Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi:

• ARTEFAK sebagai Prosesor Data Pribadi: Terhadap seluruh Data Klien (termasuk percakapan pengguna akhir melalui kanal perpesanan, berkas dokumen internal yang diunggah ke basis pengetahuan, dan rekaman operasional bisnis), ARTEFAK bertindak semata-mata sebagai Prosesor Data Pribadi yang memproses data atas instruksi sah Klien dalam rangka penyelenggaraan Layanan. Klien berkedudukan sebagai Pengendali Data Pribadi.
• ARTEFAK sebagai Pengendali Data Pribadi: Terhadap informasi registrasi akun merchant, nama narahubung korporat, alamat surat elektronik resmi, nomor kontak bisnis, data faktur penagihan, serta data log aktivitas atau lalu lintas kunjungan situs web artefak.id, ARTEFAK bertindak sebagai Pengendali Data Pribadi.

1.3. Keterkaitan dengan Syarat dan Ketentuan Layanan: Kebijakan Privasi ini merupakan bagian tidak terpisahkan dari Syarat dan Ketentuan Layanan ARTEFAK. Istilah-istilah yang didefinisikan dalam Syarat dan Ketentuan Layanan memiliki arti yang sama ketika digunakan dalam kebijakan ini.

2.1. Data Akun dan Kredensial Bisnis: Informasi yang diberikan langsung oleh Klien pada saat pendaftaran, penjajakan kerja sama, atau konfigurasi akun, mencakup nama lengkap penanggung jawab, nama badan usaha, alamat surat elektronik korporat, nomor telepon seluler atau WhatsApp bisnis, jabatan, alamat kantor, serta kata sandi terenkripsi dan kunci API (API keys).

2.2. Data Operasional Layanan (Data Klien): Informasi yang ditransmisikan, dihubungkan, atau diunggah oleh Klien ke dalam ekosistem Layanan, meliputi:

• Teks percakapan, nomor telepon pengguna akhir, dan metadata komunikasi yang masuk melalui integrasi kanal resmi (seperti WhatsApp Business API).
• Berkas dokumen internal, pedoman SOP operasional, katalog produk, dan basis data pengetahuan yang diunggah Klien untuk keperluan pemrosesan Retrieval-Augmented Generation (RAG).
• Instruksi kustom, konfigurasi alur kerja, dan data riwayat aksi yang dieksekusi oleh agen kecerdasan buatan.

2.3. Data Teknis dan Metrik Kinerja Sistem: Informasi yang terekam secara otomatis saat mengakses infrastruktur ARTEFAK, mencakup alamat protokol internet (IP address), jenis peramban (browser), sistem operasi, identitas unik perangkat (unique device identifier), metrik latensi komputasi, stempel waktu akses (timestamp), rekaman log audit keamanan (audit logs), serta volume konsumsi token kecerdasan buatan.

2.4. Data Pribadi yang Bersifat Spesifik: ARTEFAK tidak secara sengaja mengumpulkan atau memproses Data Pribadi yang bersifat spesifik (seperti data biometrik, data genetika, data catatan kejahatan, data anak, data keuangan pribadi, atau riwayat kesehatan individu) dalam lingkungan standar. Apabila alur kerja bisnis Klien mengharuskan pemrosesan data spesifik tersebut, Klien bertanggung jawab penuh memastikan dasar persetujuan eksplisit telah diperoleh secara sah dari Subjek Data Pribadi terkait sesuai Pasal 22 UU PDP.

3.1. Dasar Pemrosesan Sesuai UU PDP: ARTEFAK hanya memproses data pribadi apabila terdapat landasan hukum pemrosesan yang sah berdasarkan Pasal 20 UU PDP, yang meliputi:

• Pelaksanaan Perjanjian: Pemrosesan diperlukan untuk memenuhi kewajiban kontraktual penyediaan Layanan sesuai Formulir Pemesanan, PKS, atau Syarat dan Ketentuan.
• Kewajiban Hukum: Pemrosesan diperlukan untuk mematuhi peraturan perundang-undangan di Indonesia (seperti pencatatan perpajakan, audit keuangan, atau perintah sah aparat penegak hukum).
• Kepentingan yang Sah: Pemrosesan dilakukan demi menjaga integritas sistem, mendeteksi penyusupan siber, mencegah penipuan, serta memelihara stabilitas operasional infrastruktur.
• Persetujuan: Persetujuan yang sah, eksplisit, dan dapat dibuktikan dari Subjek Data Pribadi yang bersangkutan.

3.2. Tujuan Pemrosesan: Data dihimpun dan diproses untuk tujuan:

• Menyediakan, menjalankan, mengonfigurasi, dan memelihara keandalan Layanan komputasi dan agen AI.
• Mengautentikasi hak akses akun, mengelola kuota penggunaan, dan menerbitkan faktur tagihan resmi.
• Menyampaikan pembaruan perangkat lunak, peringatan keamanan, serta pemberitahuan teknis resmi.
• Melakukan investigasi forensik terhadap dugaan pelanggaran hukum atau serangan keamanan siber.

4.1. Jaminan Kerahasiaan Basis Pengetahuan: Berkas dokumen, pedoman kerja, dan database internal yang diunggah ke dalam sistem Retrieval-Augmented Generation (RAG) disimpan dalam ruang indeks vektor terisolasi milik masing-masing Klien. Data tersebut hanya diakses secara real-time pada saat pembentukan konteks pemanggilan agen dan tidak diekstraksi ke dataset publik.

4.2. Kebijakan Retensi Model Fondasi: Pada saat menyelaraskan pemanggilan model kecerdasan buatan fondasi global (antara lain melalui gerbang komputasi perantara yang terisolasi), ARTEFAK memberlakukan kebijakan peniadaan retensi data (zero-data retention) pada tingkat integrasi API komersial enterprise. Dengan kebijakan ini, penyedia model eksternal dilarang menyimpan atau memanfaatkan data transmisi tersebut untuk melatih model mereka.

4.3. Penyesuaian Model Khusus (Fine-Tuning Privat): Dalam hal Klien memesan layanan penyesuaian model privat (private model fine-tuning), himpunan data latih yang digunakan diisolasi secara khusus dalam klaster komputasi privat Klien dan bobot model hasil adaptasi sepenuhnya menjadi aset eksklusif Klien yang terpisah dari ekosistem umum.

4.4. Pemusnahan Representasi Vektor (Vector Embeddings Deletion): Dalam arsitektur pemrosesan nalar AI, setiap berkas yang dihapus oleh Klien akan langsung memicu penghapusan permanen atas indeks representasi vektor (vector embeddings) pada basis data vektor terkait. Sistem tidak menyisakan salinan indeks semantik atau jejak pencarian apa pun setelah berkas sumber dihapus.

4.5. Inferensi Nalar Nir-Memori (Stateless Reasoning): Setiap siklus pemanggilan penalaran kecerdasan buatan berlangsung secara mandiri tanpa menyimpan memori permanen antar-sesi (stateless inference). Penyedia model dasar pihak ketiga tidak menyimpan atau mempertahankan konteks percakapan setelah tanggapan inferensi selesai dikirimkan kembali ke sistem ARTEFAK.

5.1. Lokasi Pusat Data di Indonesia: Seluruh basis data operasional utama, berkas dokumen terunggah, indeks vektor pengetahuan, dan log audit transaksi diselenggarakan pada infrastruktur pusat data komputasi awan yang berlokasi di dalam wilayah hukum Republik Indonesia.

5.2. Arsitektur Isolasi Multi-Penyewa: Sistem ARTEFAK menerapkan isolasi data logis yang ketat (logical tenant isolation) menggunakan pemisahan basis data atau penguncian skema berbasis identitas unik penyewa (tenant identifier / workspace isolation). Pendekatan ini mencegah terjadinya kebocoran atau kontaminasi data antar-klien secara mutlak.

5.3. Lingkungan Komputasi Khusus (Dedicated Cloud): Bagi Klien dengan kebutuhan kendali data tingkat tinggi, ARTEFAK menyediakan opsi penyebaran sistem dalam lingkungan komputasi awan khusus terkelola (Managed Dedicated Cloud) atau infrastruktur cloud privat milik Klien sendiri, di mana seluruh lapisan data berada di bawah kendali perimeter Klien.

6.1. Larangan Penjualan Data: ARTEFAK tidak pernah menjual, menyewakan, atau memperdagangkan data pribadi Klien maupun data pengguna akhir kepada pihak ketiga mana pun untuk tujuan periklanan, pemasaran pihak ketiga, atau monetisasi data.

6.2. Sub-Prosesor Tepercaya: Dalam menyelenggarakan Layanan, ARTEFAK bekerja sama dengan penyedia layanan pihak ketiga yang telah melalui uji kelayakan keamanan dan kepatuhan data (Sub-Prosesor), yang terbatas pada:

• Penyedia infrastruktur komputasi awan dan penyimpanan objek bersertifikasi ISO/IEC 27001 dan SOC 2.
• Penyedia gateway resmi perpesanan digital (seperti Meta Platforms Ireland Ltd / WhatsApp LLC) guna menyalurkan transmisi pesan dan komunikasi pelanggan.
• Penyedia gerbang pembayaran berlisensi Bank Indonesia untuk pemrosesan tagihan faktur.
• Penyedia antarmuka pemrograman aplikasi (API) model kecerdasan buatan tingkat enterprise dengan klausul pelindungan data tanpa penyimpanan (zero-retention agreement).

6.3. Pengikatan Perjanjian Pemrosesan Data: Seluruh Sub-Prosesor diikat secara kontraktual melalui Perjanjian Pemrosesan Data (Data Processing Agreement) yang mewajibkan standar pelindungan data yang setara atau lebih ketat daripada ketentuan dalam kebijakan ini.

6.4. Pemrosesan Transaksi Keuangan dan Non-Penyimpanan Data Sensitif: Seluruh transaksi pembayaran diproses melalui gerbang pembayaran terlisensi resmi yang diawasi oleh Bank Indonesia dan Otoritas Jasa Keuangan (OJK). ARTEFAK tidak pernah menghimpun, memproses, atau menyimpan nomor kartu kredit atau debit lengkap, kode CVV, maupun Personal Identification Number (PIN) perbankan Klien pada infrastruktur komputasi ARTEFAK.

6.5. Batas Kendali Teknis atas Kanal Komunikasi Eksternal: Dalam menghubungkan kanal perpesanan digital (seperti WhatsApp melalui pemindaian kode QR atau API), sistem ARTEFAK hanya memproses data token sesi penautan perangkat (device pairing token) yang diotorisasi secara sukarela oleh Klien. ARTEFAK berkedudukan independen dan bukan merupakan afiliasi dari Meta Platforms Inc. ARTEFAK tidak memiliki kendali atas sistem deteksi anomali perangkat (device fingerprinting), evaluasi reputasi nomor, atau peninjauan keamanan yang diselenggarakan oleh Meta Platforms Inc. Apabila akun Klien mengalami peninjauan atau pemblokiran oleh pihak Meta, seluruh prosedur verifikasi identitas serta pengajuan banding (appeal) merupakan kewenangan mandiri dari pihak Meta Platforms Inc. dan diselesaikan berdasarkan ketentuan kebijakan privasi penyedia tersebut.

7.1. Kepatuhan Pasal 56 UU PDP: Apabila pemrosesan Layanan memerlukan transmisi data ke luar wilayah hukum Republik Indonesia (seperti saat memproses inferensi komputasi kecerdasan buatan melalui peladen penyedia model fondasi global), ARTEFAK memastikan pemenuhan persyaratan transfer data lintas batas berdasarkan Pasal 56 UU PDP, yaitu:

• Negara domisili penyedia teknologi memiliki tingkat pelindungan data pribadi yang setara atau lebih tinggi dari ketentuan UU PDP; atau
• Terdapat perjanjian pengikatan pelindungan data pribadi yang memuat klausul standar pelindungan data yang mengikat secara hukum antara ARTEFAK dan penyedia teknologi tersebut; atau
• Telah diperoleh persetujuan yang sah dari Pengendali Data Pribadi sehubungan dengan pemanfaatan orkestrasi model tersebut.

7.2. Pembatasan Muatan Data Transmisi (Payload Minimization): Dalam setiap transmisi data ke penyedia model eksternal, sistem ARTEFAK secara proaktif meminimalkan muatan data dengan hanya mengirimkan potongan konteks percakapan yang relevan dan menghapus metadata pengenal pribadi yang tidak dibutuhkan dalam proses penalaran bahasa.

8.1. Tindakan Pengamanan Teknis dan Organisasi: ARTEFAK menerapkan langkah pengamanan berlapis untuk mencegah akses tidak sah, pengungkapan tanpa hak, manipulasi data, atau kehancuran berkas, meliputi:

• Enkripsi data dalam transit (encryption in transit) menggunakan protokol Transport Layer Security modern (TLS 1.3).
• Enkripsi data dalam penyimpanan (encryption at rest) pada lapisan basis data dan media penyimpanan menggunakan standar enkripsi AES-256.
• Pengendalian hak akses berbasis peran (Role-Based Access Control / RBAC) dengan prinsip wewenang paling rendah (principle of least privilege).
• Pemantauan anomali jaringan, pertahanan terdistribusi terhadap serangan penolakan layanan (DDoS mitigation), dan pencatatan jejak audit sistem secara kriptografis.

8.2. Prosedur Tanggap Darurat dan Notifikasi Insiden: Apabila terjadi insiden keamanan yang mengakibatkan kegagalan pelindungan data pribadi:

• ARTEFAK segera mengaktifkan rencana mitigasi darurat untuk mengisolasi dampak insiden dan menutup celah kerentanan.
• ARTEFAK menyampaikan pemberitahuan resmi tertulis secara elektronik kepada narahubung resmi Klien paling lambat 3 x 24 (tiga kali dua puluh empat) jam sejak insiden terverifikasi, memuat rincian data pribadi yang terungkap, kronologi kejadian, potensi dampak risiko, serta langkah penanganan dan pemulihan yang telah diambil.
• ARTEFAK siap berkoordinasi dengan Pengendali Data Pribadi dalam penyusunan laporan wajib kepada Lembaga Pelindungan Data Pribadi yang berwenang di Indonesia.

9.1. Model Pembiayaan dan Matriks Retensi Data: Portofolio produk ARTEFAK menerapkan model pembiayaan yang disesuaikan dengan karakteristik layanan, mencakup produk berbasis saldo kredit prabayar (seperti agen otomasi percakapan), produk lisensi berlangganan berkala tetap, serta kontrak enterprise terkelola. Jadwal penyimpanan dan pemusnahan data diselaraskan sebagai berikut:

9.2. Kebijakan Retensi Berdasarkan Karakteristik Produk:

• Produk Berbasis Saldo Kredit Prabayar: ARTEFAK menjamin tidak akan menghapus akun Klien yang masih memiliki sisa saldo kredit prabayar secara sepihak. Saldo kredit yang belum terpakai tidak memiliki batas kedaluwarsa (berlaku tanpa batas waktu). Terhadap akun bersaldo Rp0 (nol rupiah) yang tidak memiliki aktivitas selama 12 bulan berturut-turut setelah 3 kali peringatan resmi, akun dapat dinonaktifkan sesuai kebijakan akun dorman.
• Produk Berlangganan Berkala dan Kontrak Berjangka: Data akun dan konfigurasi disimpan selama masa berlangganan aktif. Setelah masa berlangganan berakhir atau tidak diperpanjang, Klien diberikan masa tenggang selama 30 (tiga puluh) hari kalender untuk mengunduh seluruh Data Klien sebelum pemusnahan permanen dilaksanakan secara bertahap dalam kurun waktu 90 (sembilan puluh) hari kalender.
• Penutupan Akun atas Permohonan Klien: Klien pada skema pembiayaan apa pun berhak mengajukan penutupan akun sewaktu-waktu. Seluruh data operasional akan dihapus permanen setelah verifikasi identitas dan penyelesaian kewajiban administratif.

9.3. Retensi Khusus Berdasarkan Kewajiban Regulasi: Rekaman transaksi keuangan, faktur penagihan, serta catatan log audit keamanan tertentu tetap disimpan dalam jangka waktu 5 tahun semata-mata guna memenuhi kewajiban berdasarkan ketentuan peraturan perundang-undangan di bidang perpajakan, pencegahan tindak pidana, atau pembuktian sengketa hukum resmi.

10.1. Penjabaran Hak Berdasarkan Pasal 5 sampai Pasal 13 UU PDP: Setiap individu selaku Subjek Data Pribadi memiliki hak-hak yang dijamin oleh undang-undang:

10.2. Mekanisme Pelaksanaan Hak Subjek Data:

• Bagi Pengguna Langsung atau Akun Korporat: Permohonan pelaksanaan hak dapat diajukan secara langsung melalui surat elektronik resmi ke alamat dpo@artefak.id dengan melampirkan bukti verifikasi identitas diri yang sah.
• Bagi Pelanggan Akhir Klien: Mengingat kedudukan ARTEFAK sebagai Prosesor Data Pribadi, permohonan yang diajukan oleh pengguna akhir pelanggan Klien wajib disampaikan secara langsung kepada Klien yang bersangkutan selaku Pengendali Data Pribadi. ARTEFAK akan memberikan bantuan teknis yang wajar kepada Klien untuk memenuhi permohonan tersebut.

10.3. Pengawasan Manusia dan Mitigasi Keputusan Otomatis: Sejalan dengan Pasal 11 UU PDP dan ketentuan Pasal 6 Syarat dan Ketentuan Layanan, seluruh agen kecerdasan buatan ARTEFAK beroperasi sebagai alat bantu otomasi (asistif). Klien selaku Pengendali Data Pribadi bertanggung jawab penuh menerapkan supervisi dan verifikasi manusia (Human-in-the-Loop) sebelum mengeksekusi tindakan atau keputusan yang berdampak finansial atau menimbulkan akibat hukum bagi Subjek Data Pribadi.

10.4. Pelindungan atas Data yang Dimasukkan Secara Sukarela: Subjek Data Pribadi dan staf Klien diimbau untuk tidak memasukkan data pribadi sensitif yang tidak relevan (seperti informasi medis rahasia, nomor dokumen kependudukan pribadi, atau kata sandi) secara sukarela ke dalam kolom pesan terbuka. Klien bertanggung jawab mengatur pedoman operasional dan filter masukan data pada kanal komunikasi yang terhubung.

11.1. Kuki Esensial Operasional: Situs web artefak.id dan portal konsol Layanan menggunakan kuki teknis esensial (cookies) dan penyimpanan lokal (local storage) semata-mata untuk mengelola sesi autentikasi pengguna yang aman, mengingat preferensi antarmuka (seperti mode tema gelap atau terang dan pilihan bahasa), serta mengelola keamanan sesi penjelajahan.

11.2. Bebas dari Kuki Pelacak Iklan Pihak Ketiga: ARTEFAK tidak menyematkan kuki pelacak periklanan pihak ketiga (third-party advertising trackers) atau jaringan pemasaran perilaku (behavioral targeting networks) pada situs web resmi ARTEFAK.

11.3. Pengaturan Peramban: Pengguna dapat mengonfigurasi pengaturan peramban untuk menolak atau menghapus kuki. Namun, penonaktifan kuki esensial dapat menyebabkan sebagian fitur konsol manajemen Layanan tidak berfungsi dengan optimal.