Berlaku sejak 5 September 2026 · Versi 1.1 · Mengacu ke UU PDP No. 27/2022
Data yang Kami Kumpulkan
- Data akun: nomor WhatsApp, email, nama tampilan, password (di-hash bcrypt)
- Data transaksi: produk yang dibeli, nomor tujuan, jumlah, waktu, metode bayar
- Data jaringan: upline/downline langsung, riwayat cascade margin
- Data teknis: IP address, user agent, waktu akses (keamanan + rate limit)
- Data pembayaran: kami TIDAK menyimpan kartu/rekeningmu — payment gateway (Winpay dkk.) yang memegang
Cara Kami Menggunakan Data
- Memproses transaksi dan mengirim struk / SN pulsa
- Mengirim update status trx via WhatsApp / email
- Memverifikasi identitas saat login, transfer saldo besar, atau refund
- Menghitung cascade margin untuk upline sesuai jaringan yang kamu daftarkan
- Analitik agregat (tidak ada info personal individual dibagikan ke advertiser)
- Kepatuhan hukum jika ada perintah pengadilan yang sah
Yang TIDAK Kami Lakukan
- Menjual data personal ke pihak ketiga
- Membagikan riwayat trx ke advertiser
- Mengirim marketing tanpa persetujuan (opsi opt-out di setiap broadcast)
- Menyimpan info kartu kredit/debit
Berbagi ke Pihak Ketiga
Data dibagikan HANYA ke:
- Payment gateway (Winpay) — untuk memproses pembayaran, hanya nominal + referensi trx
- openh2h.com upstream — untuk dispatch topup, hanya nomor tujuan + produk (tanpa data personal user)
- Provider WhatsApp (untuk notifikasi trx) — hanya nomor + pesan notifikasi
- Otoritas hukum (jika ada perintah pengadilan yang sah)
Cookies & Session
Kami memakai cookie HttpOnly untuk sesi login (nama sida untuk admin, cookie session terpisah untuk agen). Cookie session valid maksimum 8 jam (admin) atau 7 hari (agen), setelah itu login ulang diminta. Tidak ada third-party tracking cookie (Google Analytics, Facebook Pixel, dll) di halaman transaksi.
Keamanan
- Password disimpan di-hash dengan bcrypt (tidak dapat dibalik)
- Kredensial gateway pembayaran disimpan terenkripsi AES-256-GCM di server, master key di luar database
- Semua koneksi HTTPS wajib (HSTS 1 tahun); tidak ada HTTP terbuka
- Webhook payment diverifikasi RSA-SHA256 signature — tidak bisa dipalsukan tanpa private key
- Rate limit di endpoint login untuk mencegah brute force
- Audit log admin — setiap perubahan config/refund tercatat
Hak Kamu (UU PDP)
Sesuai UU PDP No. 27/2022, kamu berhak:
- Meminta akses ke data personal kamu (kami kirim via email dalam 14 hari kerja)
- Meminta koreksi data yang salah
- Meminta penghapusan akun + data (setelah kewajiban trx & retensi pajak selesai)
- Menarik persetujuan pemrosesan data untuk keperluan non-esensial
- Menolak marketing (opsi opt-out di setiap pesan)
- Mengajukan keluhan ke Kementerian Kominfo jika tidak puas dengan penanganan kami
Retensi Data
- Data transaksi: 5 tahun (kewajiban pajak/audit)
- Data akun aktif: sepanjang akun aktif + 30 hari setelah dinonaktifkan
- Log teknis (IP, user agent): 90 hari
- Webhook payment log: 90 hari
- Audit log admin: 2 tahun
Anak di Bawah Umur
Layanan kami tidak ditujukan untuk pengguna di bawah 17 tahun. Jika kamu mengetahui anak di bawah umur menggunakan layanan ini, hubungi DPO agar akun bisa kami tutup dan data dihapus.
Kontak Data Protection Officer
