Kebijakan Privasi

1. Tentang Kebijakan Ini

Kebijakan Privasi ini menjelaskan bagaimana PT Kumbaya Indonesia Grup ("Kumbaya", "kami") mengumpulkan, menggunakan, menyimpan, membagikan, dan melindungi data pribadi Anda saat Anda menggunakan situs dan aplikasi kumbaya.id ("Platform").

PT Kumbaya Indonesia Grup bertindak sebagai Pengendali Data Pribadi atas pemrosesan yang diuraikan dalam Kebijakan ini.

Kumbaya adalah platform yang menghubungkan penyelenggara trip / trip organizer ("Vendor") dengan peserta pendakian dan wisata alam ("Peserta"). Kebijakan ini berlaku untuk Vendor, Peserta, staf Vendor, dan pengunjung Platform.

Kami memproses data pribadi sesuai Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP") beserta peraturan pelaksananya.

Dengan mendaftar atau menggunakan Platform, Anda menyatakan telah membaca dan memahami Kebijakan Privasi ini.

2. Data yang Kami Kumpulkan

2.1 Data akun

• Nama, alamat email, nomor telepon/WhatsApp, kata sandi (disimpan dalam bentuk hash, tidak pernah dalam bentuk asli).
• Username, nama brand, deskripsi usaha, bio, foto profil, dan lokasi operasional (khusus Vendor).
• Jika Anda mendaftar atau masuk melalui Google: pengenal akun Google, nama, alamat email, dan foto profil dari akun Google Anda.

2.2 Data verifikasi identitas (KYC)

• Foto Kartu Tanda Penduduk (KTP) dan foto selfie.
• Tautan akun media sosial dan dokumen pendukung lain sesuai tingkat verifikasi.
• Status, waktu pengajuan, waktu verifikasi, dan alasan penolakan (bila ada).

Data KYC digunakan semata-mata untuk memverifikasi identitas Vendor dan mencegah penipuan.

2.3 Data keuangan

• Nama bank, nomor rekening, dan nama pemilik rekening untuk pencairan dana (payout) Vendor.
• Riwayat pemesanan, pembayaran, tagihan, pencairan, pengembalian dana, dan bukti transfer yang Anda unggah.

Kami tidak menyimpan nomor kartu kredit/debit, CVV, PIN, atau kredensial mobile banking Anda. Seluruh pembayaran kartu, virtual account, dan e-wallet diproses langsung oleh penyedia pembayaran berlisensi (Xendit).

2.4 Data peserta trip

Untuk keselamatan pendakian dan kepatuhan terhadap persyaratan pengelola kawasan, Platform memproses data Peserta berikut — baik diisi sendiri oleh Peserta maupun dimasukkan oleh Vendor:

• Nama lengkap, jenis kelamin, nomor telepon, alamat, tempat dan tanggal lahir.
• Nomor Induk Kependudukan (NIK), disimpan dalam bentuk terenkripsi.
• Golongan darah, riwayat alergi, dan kondisi medis relevan.
• Kontak darurat (nama, hubungan, dan nomor telepon).
• Pengalaman mendaki, jadwal dan titik kumpul yang dipilih, serta status check-in di lapangan.

Data golongan darah, alergi, dan kondisi medis merupakan data pribadi bersifat spesifik menurut UU PDP. Kami memprosesnya berdasarkan persetujuan Anda dan untuk melindungi kepentingan vital Peserta selama kegiatan berlangsung.

2.5 Data teknis dan penggunaan

• Alamat IP, jenis perangkat dan peramban, sistem operasi, serta halaman yang Anda kunjungi.
• Waktu akses, log kesalahan, dan aktivitas penting di dalam akun (misalnya perubahan pengaturan atau akses ke data sensitif).
• Cookie dan penyimpanan lokal — lihat Bagian 7.

2.6 Data dari integrasi opsional Vendor

• Impor konten Instagram: jika Vendor menautkan atau mengimpor unggahan Instagram, kami mengambil konten publik dari unggahan tersebut (gambar, teks, tanggal) untuk ditampilkan sebagai materi trip di Platform.
• Asisten WhatsApp AI: jika Vendor mengaktifkan fitur ini, layanan asisten kami memproses nomor WhatsApp dan isi percakapan antara Vendor dan pelanggannya untuk menyusun balasan otomatis serta basis pengetahuan Vendor. Fitur ini bersifat opsional dan dapat dinonaktifkan; penghapusan akun Vendor juga memicu penghapusan data pada layanan asisten tersebut.

3. Tujuan dan Dasar Pemrosesan

• Menyediakan layanan — membuat akun, menampilkan trip, memproses pemesanan, menerbitkan e-tiket dan kuitansi. Dasar: pelaksanaan perjanjian.
• Verifikasi dan keamanan — memverifikasi identitas Vendor, mencegah penipuan dan penyalahgunaan akun. Dasar: kepentingan sah dan kewajiban hukum.
• Pembayaran dan pencairan dana — memproses tagihan, pembayaran, refund, dan payout. Dasar: pelaksanaan perjanjian dan kewajiban hukum.
• Keselamatan kegiatan — menyiapkan manifest peserta, check-in lapangan, dan penanganan keadaan darurat. Dasar: persetujuan dan perlindungan kepentingan vital.
• Komunikasi — mengirim notifikasi transaksi, pengingat, dan informasi layanan melalui email, WhatsApp, atau notifikasi dalam aplikasi. Dasar: pelaksanaan perjanjian dan persetujuan.
• Peningkatan produk — analitik penggunaan secara agregat untuk memperbaiki fitur dan performa. Dasar: kepentingan sah.
• Kepatuhan — memenuhi kewajiban perpajakan, akuntansi, dan permintaan sah dari otoritas berwenang. Dasar: kewajiban hukum.

4. Pembagian Data

Kami tidak menjual data pribadi Anda. Kami membagikan data hanya kepada pihak berikut, sebatas yang diperlukan:

• Vendor penyelenggara trip — menerima data Peserta yang memesan trip mereka untuk keperluan pendaftaran ke pengelola kawasan, manifest, dan keselamatan.
• Penyedia pembayaran (Xendit) — untuk memproses pembayaran, refund, dan pencairan dana.
• Penyedia infrastruktur dan layanan pendukung — hosting, basis data, penyimpanan berkas, pengiriman email transaksional, dan analitik (termasuk Google Firebase Analytics).
• Pengelola kawasan / taman nasional dan pihak berwenang — bila diwajibkan untuk perizinan pendakian, penanganan darurat, atau berdasarkan permintaan sah sesuai hukum yang berlaku.
• Penasihat profesional — auditor atau penasihat hukum, dengan kewajiban kerahasiaan.

Sebagian penyedia layanan kami berada atau menyimpan data di luar wilayah Indonesia. Dalam hal terjadi transfer data lintas negara, kami memastikan penerima menerapkan tingkat pelindungan yang setara sebagaimana disyaratkan UU PDP.

5. Penyimpanan dan Retensi

• Data akun disimpan selama akun Anda aktif.
• Data transaksi dan catatan keuangan disimpan sekurang-kurangnya 5 (lima) tahun untuk memenuhi kewajiban perpajakan dan akuntansi, meskipun akun telah dihapus.
• Dokumen KYC disimpan selama Vendor aktif dan dihapus atau dianonimkan setelah kewajiban penyimpanan berakhir.
• Data Peserta disimpan selama diperlukan untuk penyelenggaraan trip, penanganan klaim, dan sengketa.
• Log teknis umumnya disimpan dalam jangka pendek untuk keperluan keamanan dan pemecahan masalah.

6. Keamanan Data

• Seluruh lalu lintas Platform dienkripsi menggunakan HTTPS/TLS.
• Kata sandi disimpan sebagai hash satu arah; NIK peserta dienkripsi saat disimpan.
• Akses internal dibatasi berdasarkan peran (role-based access control), dan akses ke data sensitif dicatat dalam log audit.
• Dokumen KYC dan bukti pembayaran disimpan pada penyimpanan privat yang hanya dapat diakses melalui tautan bertanda tangan berbatas waktu.

Tidak ada sistem yang sepenuhnya bebas risiko. Bila terjadi kegagalan pelindungan data pribadi, kami akan memberitahukan Anda dan otoritas terkait paling lambat 3 x 24 jam sejak diketahui, sebagaimana diatur UU PDP.

7. Cookie dan Teknologi Serupa

Kami menggunakan cookie dan penyimpanan lokal peramban untuk:

• Cookie esensial — menjaga sesi login dan melindungi formulir dari serangan CSRF. Cookie ini tidak dapat dinonaktifkan tanpa mengganggu fungsi Platform.
• Cookie preferensi — mengingat pengaturan tampilan dan status onboarding Anda.
• Cookie analitik — mengukur penggunaan fitur melalui Google Firebase Analytics.

Anda dapat menghapus atau memblokir cookie melalui pengaturan peramban Anda.

8. Hak Anda

Sesuai UU PDP, Anda berhak untuk:

• Memperoleh informasi dan mengakses data pribadi Anda.
• Memperbaiki atau melengkapi data yang tidak akurat.
• Menghapus data pribadi dan mengakhiri pemrosesan.
• Menarik persetujuan atas pemrosesan yang didasarkan pada persetujuan.
• Mengajukan keberatan atas pengambilan keputusan otomatis yang berdampak hukum bagi Anda.
• Memperoleh salinan data Anda dalam format yang lazim digunakan.
• Menyampaikan keluhan dan menuntut ganti rugi atas pelanggaran pelindungan data pribadi.

Sebagian besar hak ini dapat Anda jalankan sendiri melalui halaman Profil → Pengaturan Akun, termasuk memperbarui data dan menghapus akun. Untuk permintaan lainnya, hubungi kami di [email protected]. Kami akan menanggapi paling lambat 3 x 24 jam kerja sejak permintaan diterima dan diverifikasi.

Untuk data Peserta yang dimasukkan oleh Vendor, Vendor bertindak sebagai pihak yang menentukan pemrosesan atas data tersebut. Permintaan terkait data Peserta dapat diajukan kepada Vendor terkait atau melalui kami, dan kami akan meneruskannya.

9. Penghapusan Akun

Anda dapat menghapus akun kapan saja melalui halaman Profil. Setelah penghapusan, data profil dan konten Anda dihapus atau dianonimkan, termasuk data pada layanan asisten WhatsApp AI bila fitur tersebut pernah diaktifkan. Data transaksi yang wajib disimpan menurut peraturan perpajakan dan akuntansi tetap kami simpan sesuai Bagian 5, dalam bentuk seminimal mungkin.

Penghapusan akun tidak membatalkan pemesanan yang sedang berjalan atau kewajiban pembayaran yang belum diselesaikan.

10. Anak dan Peserta di Bawah Umur

Platform ditujukan untuk pengguna berusia 18 tahun ke atas. Peserta di bawah 18 tahun hanya dapat didaftarkan oleh orang tua atau wali yang memberikan persetujuan atas pemrosesan data pribadi anak tersebut. Bila kami mengetahui adanya akun yang dibuat oleh anak tanpa persetujuan wali, kami akan menghapus akun beserta datanya.

11. Tautan dan Layanan Pihak Ketiga

Platform dapat memuat tautan ke situs pihak ketiga, termasuk media sosial Vendor dan halaman pembayaran. Kebijakan privasi pihak ketiga berlaku atas data yang Anda berikan di situs mereka, dan kami tidak bertanggung jawab atas praktik privasi tersebut.

12. Perubahan Kebijakan

Kami dapat memperbarui Kebijakan Privasi ini dari waktu ke waktu. Perubahan material akan kami beritahukan melalui email atau notifikasi di dalam Platform sebelum berlaku efektif. Tanggal pembaruan terakhir selalu tercantum di bagian atas halaman ini.

13. Hubungi Kami

Pertanyaan, permintaan hak Subjek Data Pribadi, atau keluhan terkait privasi dapat disampaikan ke:

• Pengendali Data Pribadi: PT Kumbaya Indonesia Grup
• Email: [email protected]
• Situs: kumbaya.id

Apabila tanggapan kami dinilai belum memadai, Anda berhak mengajukan pengaduan kepada lembaga yang berwenang di bidang pelindungan data pribadi di Indonesia.