1. Cakupan dan identitas
Kebijakan ini berlaku untuk situs pemasaran Lacak, proses pendaftaran dan penagihan, aplikasi web dan mobile, layanan atribusi, CRM, outbound, dukungan, serta integrasi yang diaktifkan pelanggan.
Layanan ini dijalankan oleh Lacak. Pertanyaan privasi dapat dikirim ke [email protected].
Kebijakan ini disusun mengikuti Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”) beserta peraturan pelaksananya, dan hukum lain yang berlaku pada hubungan tertentu.
Ketika sebuah bisnis menggunakan Lacak untuk mengelola data pelanggan akhirnya, bisnis tersebut tetap bertanggung jawab menentukan tujuan penggunaan data dan memastikan bahwa penggunaan tersebut memiliki dasar pemrosesan yang sah. Tanggung jawab spesifik dapat dijelaskan lebih lanjut dalam perjanjian layanan atau perjanjian pemrosesan data.
2. Data yang diproses
Data akun dan workspace
Nama, alamat email, nomor telepon, organisasi, peran, preferensi, status undangan, perangkat, sesi, dan informasi lain yang diperlukan untuk membuat serta mengamankan akun. Data ini umumnya merupakan data staf pelanggan bisnis yang diberi akses ke workspace.
Data penagihan dan transaksi
Paket, periode, tanggal penagihan, invoice, status pembayaran, kredit penggunaan, dan referensi transaksi. Detail instrumen pembayaran dapat diproses langsung oleh penyedia pembayaran dan tidak selalu disimpan oleh Lacak.
Identitas kontak pelanggan akhir
Nama, nomor WhatsApp dan route komunikasi lain, sumber akuisisi, campaign, atribut, aktivitas, penjualan, pembelian, nilai transaksi, dokumen, catatan, assignment, serta informasi workflow yang dimasukkan atau dihubungkan oleh pelanggan bisnis.
Isi percakapan dan media
Pada produk CRM penuh, Lacak menyimpan isi percakapan WhatsApp beserta media yang dikirim dan diterima melalui nomor yang dihubungkan pelanggan, atas nama pelanggan bisnis tersebut. Isi percakapan dan media disimpan dalam keadaan terenkripsi dan hanya dapat diakses oleh workspace pemiliknya. Lacak juga memproses metadata terbatas yang diperlukan untuk identitas, routing, status, atribusi, keamanan, dan rekonsiliasi.
Isi percakapan pelanggan tidak dibaca untuk kepentingan pemasaran Lacak dan tidak dipakai sebagai data bisnis lain.
Data integrasi
Identitas akun atau aset, status izin, konfigurasi, event, webhook, metrik campaign, biaya iklan, dan bukti operasional dari channel, platform iklan, pembayaran, atau layanan lain yang dipilih pelanggan.
Data teknis dan keamanan
Alamat jaringan, jenis perangkat dan browser, waktu akses, log autentikasi, status permintaan, kelas kesalahan, audit perubahan, metrik performa, dan bukti pemulihan yang diperlukan untuk menjaga layanan.
Komunikasi dengan Lacak
Pesan dukungan, permintaan penjualan, masukan, rekaman keputusan implementasi, dan lampiran yang dikirim kepada tim Lacak.
3. Tujuan pemrosesan
Lacak memproses data untuk:
- membuat, mengautentikasi, dan mengamankan akun serta workspace;
- menyediakan atribusi, CRM, pesan, dokumen, outbound, laporan, dan fungsi mobile;
- menghubungkan sumber, percakapan, pelanggan, penjualan, dan pembelian;
- menjalankan penagihan, kredit penggunaan, dukungan, dan komunikasi layanan;
- mendeteksi penyalahgunaan, menjaga isolasi akses, memulihkan kegagalan, dan mengaudit perubahan;
- memenuhi kewajiban hukum serta menanggapi permintaan yang sah;
- meningkatkan produk berdasarkan data penggunaan yang dibatasi; percakapan pelanggan tidak dibaca untuk kepentingan iklan Lacak.
Dasar pemrosesan dapat mencakup pelaksanaan kontrak, persetujuan, kepentingan yang sah, kewajiban hukum, atau dasar lain yang tersedia sesuai konteks dan hukum yang berlaku. Untuk data pelanggan akhir, dasar pemrosesan ditentukan dan dipastikan oleh pelanggan bisnis.
4. Peran pengendali dan prosesor
Untuk data akun, penagihan, keamanan, dan hubungan langsung dengan pengguna, Lacak bertindak sebagai Pengendali Data Pribadi karena Lacak menentukan pemrosesan yang diperlukan untuk menjalankan dan melindungi layanan.
Untuk data pelanggan akhir — identitas kontak, isi percakapan, media, dan catatan komersial yang dimasukkan atau dihubungkan melalui workspace — pelanggan bisnis bertindak sebagai Pengendali Data Pribadi dan Lacak bertindak sebagai Prosesor Data Pribadi. Lacak memproses data tersebut hanya berdasarkan instruksi pelanggan bisnis dan sejauh diperlukan untuk menyediakan layanan.
Sebagai Pengendali, pelanggan bisnis bertanggung jawab atas dasar pemrosesan yang sah terhadap pelanggan akhirnya, termasuk pemberitahuan, persetujuan bila diperlukan, preferensi komunikasi, daftar larangan kontak, keakuratan data, dan instruksi retensi. Lacak dapat menolak instruksi yang jelas melanggar hukum, keamanan, aturan provider, atau hak pihak lain.
5. Penyimpanan, lokasi data, dan transfer lintas negara
Data layanan Lacak disimpan dan diproses pada infrastruktur Cloudflare, Inc. di region Asia-Pasifik (Singapura).
Karena itu, data pribadi yang berasal dari Indonesia disimpan dan diproses di luar wilayah Indonesia. Penyimpanan dan pemrosesan tersebut merupakan transfer data pribadi lintas negara sebagaimana diatur dalam UU PDP. Dengan menggunakan Lacak, pelanggan bisnis sebagai Pengendali mengetahui dan menyetujui transfer tersebut, dan bertanggung jawab menyampaikan informasi ini kepada pelanggan akhirnya sesuai kewajibannya.
Untuk transfer lintas negara, Lacak dan pelanggan menggunakan mekanisme kontraktual, penilaian pelindungan, dan pengamanan lain yang sesuai dengan peran masing-masing dan hukum yang berlaku. Channel, cloud, pembayaran, atau integrasi lain yang dipilih pelanggan juga dapat memproses data di negara lain sesuai ketentuan penyedia tersebut.
6. Keamanan
Lacak menggunakan kontrol teknis dan organisasi yang disesuaikan dengan risiko, termasuk:
- enkripsi data dalam pengiriman dan enkripsi saat disimpan, dengan kunci yang dipisahkan per bisnis sehingga data satu workspace tidak dapat dibuka dengan kunci workspace lain;
- kontrol akses berdasarkan bisnis dan peran, sehingga hak mengikuti pekerjaan pengguna;
- catatan audit yang tersimpan untuk perubahan penting, sehingga siapa melakukan apa dan kapan tetap dapat diperiksa;
- perlindungan kredensial, pengujian, backup, prosedur pemulihan, serta pembatasan data pada log dan pekerjaan latar.
Kebijakan ini menjelaskan pengamanan secara umum dan tidak memuat detail arsitektur. Tidak ada layanan yang dapat menjamin risiko nol. Pengguna harus menjaga kredensial, perangkat, izin provider, dan daftar anggota workspace. Dugaan insiden dapat dilaporkan melalui kontak di bawah.
7. Pembagian data dan subprosesor
Lacak menggunakan penyedia berikut untuk menjalankan layanan:
- Cloudflare, Inc. — infrastruktur komputasi, penyimpanan, jaringan, dan keamanan tempat layanan Lacak dijalankan.
- Meta Platforms, Inc. — WhatsApp Business Platform untuk mengirim dan menerima pesan pada nomor yang dihubungkan pelanggan. Pengiriman dan penerimaan pesan WhatsApp tunduk pada ketentuan dan kebijakan Meta, dan Lacak tidak mengendalikan keputusan Meta atas akun, nomor, atau template pelanggan.
Selain itu, data dapat dibagikan secara terbatas kepada:
- penyedia komunikasi, keamanan, observabilitas, dan dukungan teknis lain yang diperlukan untuk menjalankan layanan;
- provider channel, platform iklan, penyedia pembayaran, dan integrasi yang diaktifkan pelanggan;
- konsultan profesional yang terikat kewajiban kerahasiaan;
- otoritas atau pihak lain ketika diwajibkan oleh hukum atau diperlukan untuk melindungi hak dan keamanan;
- penerus usaha dalam transaksi korporasi yang sah, dengan perlindungan yang sesuai.
Daftar subprosesor yang berlaku dapat diminta melalui [email protected]. Lacak tidak menjual data pelanggan akhir sebagai daftar pemasaran.
8. Retensi, kuota, dan penghapusan
Data disimpan selama diperlukan untuk menyediakan layanan, mempertahankan keamanan dan audit, menyelesaikan sengketa, memenuhi kewajiban hukum, serta menjalankan instruksi retensi pelanggan. Periode retensi data pelanggan akhir mengikuti ketentuan paket pelanggan dan instruksi pelanggan bisnis sebagai Pengendali.
Periode dapat berbeda berdasarkan jenis data. Cache, log operasional, bukti transaksi, backup, dan data komersial memiliki tujuan serta siklus yang berbeda. Penghapusan akun tidak selalu langsung menghapus salinan backup; salinan tersebut terhapus secara bertahap mengikuti siklus retensi dan tetap dibatasi penggunaannya.
Setiap paket memiliki kuota penyimpanan media dan data. Ketika kuota tercapai, Lacak tidak menghapus data yang sudah tersimpan secara otomatis. Yang terjadi adalah penyimpanan media baru diblokir sampai kuota ditambah atau ruang dikosongkan oleh pelanggan.
Pelanggan dapat meminta ekspor atau penghapusan melalui fungsi produk atau kontak yang tersedia, dengan mempertimbangkan otorisasi, sengketa aktif, kewajiban penyimpanan, dan data milik pihak lain. Petunjuk permintaan tersedia pada halaman Penghapusan Data.
9. Hak subjek data
Sesuai UU PDP dan hukum lain yang berlaku, subjek data dapat meminta informasi pemrosesan, akses dan salinan data, koreksi, penghapusan atau pemusnahan, pembatasan pemrosesan, penarikan persetujuan, keberatan atas pengambilan keputusan otomatis, serta portabilitas data.
Untuk data yang dikelola oleh sebuah bisnis melalui Lacak, permintaan disampaikan terlebih dahulu kepada bisnis tersebut sebagai Pengendali. Lacak sebagai Prosesor mendukung permintaan akses dan penghapusan yang sah melalui pelanggan bisnis, sesuai kontrak dan kemampuan layanan, dan tidak menanggapi permintaan tersebut secara langsung tanpa instruksi Pengendali.
Permintaan dapat memerlukan verifikasi identitas dan ruang lingkup agar data tidak diberikan kepada pihak yang salah atau dihapus atas permintaan pihak yang salah.
10. Pemberitahuan insiden
Apabila terjadi kegagalan pelindungan data pribadi yang memengaruhi data pelanggan, Lacak memberitahukan pelanggan bisnis yang terdampak tanpa penundaan yang tidak wajar setelah insiden diketahui dan dikonfirmasi, sesuai kewajiban dalam UU PDP.
Pemberitahuan mencakup informasi yang tersedia mengenai jenis data yang terdampak, waktu kejadian, dan langkah penanganan serta pemulihan. Pelanggan bisnis sebagai Pengendali bertanggung jawab memberitahukan subjek data dan otoritas yang berwenang sesuai kewajibannya, dan Lacak membantu dengan informasi yang dimilikinya.
Dugaan insiden keamanan dapat dilaporkan kapan saja ke [email protected].
12. Perubahan kebijakan
Kebijakan dapat diperbarui ketika produk, provider, praktik pemrosesan, atau kewajiban hukum berubah. Tanggal berlaku di bagian atas akan diperbarui. Perubahan material dapat diberitahukan melalui produk, email, atau kanal lain yang wajar sebelum berlaku apabila diperlukan.
13. Kontak
Pertanyaan, permintaan data, atau laporan privasi dapat dikirim ke [email protected]. Cantumkan workspace, hubungan dengan data, dan permintaan secara spesifik. Jangan mengirim kata sandi, token, atau data rahasia yang tidak diperlukan.
Ketentuan komersial layanan dijelaskan pada Ketentuan Layanan.
