Kebijakan Privasi Nidaa

Versi 1.0

Tanggal Berlaku: 24 Juni 2026

Kebijakan Privasi ini menjelaskan bagaimana PT Kinetikum Indo Solusi ("Kinetikum", "Kami") mengumpulkan, menggunakan, menyimpan, dan melindungi data pribadi yang diproses melalui layanan Nidaa (nidaa.id, api.nidaa.id).

Kebijakan ini disusun sesuai dengan Undang-Undang Republik Indonesia No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) dan peraturan pelaksananya.

1. Definisi & Peran

Subjek Data: orang perorangan yang data pribadinya diproses, mencakup (a) Pelanggan Nidaa (Anda), (b) Penerima pesan WhatsApp yang Anda kirim.
Pengendali Data (Data Controller):
Untuk data Akun Pelanggan: Kinetikum adalah Pengendali.
Untuk data Penerima (nomor WhatsApp, isi pesan, metadata): Pelanggan adalah Pengendali; Kinetikum bertindak sebagai Prosesor Data, mengikuti instruksi Pelanggan yang dituangkan dalam DPA — Nidaa.

2. Data yang Kami Kumpulkan

2.1 Data Akun Pelanggan

Nama, alamat email, nomor telepon, nama perusahaan (saat pendaftaran via SSO Kinexa).
Kata sandi (di-hash dengan bcrypt; tidak pernah disimpan dalam bentuk teks biasa).
API Key dan webhook secret yang Anda buat.
Riwayat pembayaran, invoice, dan data tagihan.
Log aktivitas dasbor (login, perubahan setting, pembuatan kampanye).

2.2 Data Perangkat (Device) WhatsApp

Untuk Mesin Baileys: kredensial sesi WhatsApp Web (auth state) yang dihasilkan dari QR pairing. Tersimpan terenkripsi.
Untuk Mesin Cloud API: phone number ID, business account ID, access token (terenkripsi).
Status koneksi (online/offline), label nama perangkat.

2.3 Data Pesan & Penerima (sebagai Prosesor)

Nomor telepon Penerima yang Anda kirimkan melalui API.
Isi pesan (teks, lampiran media, location, contact card).
Metadata pesan: timestamp kirim, status delivery (sent/delivered/read/failed), error code dari WhatsApp.
Pesan masuk dari Penerima ke perangkat Anda — di-relay ke webhook Anda dan disimpan sementara untuk retry delivery.

2.4 Data Teknis Otomatis

Alamat IP, user agent, browser/OS dari pengakses dasbor.
Cookies sesi (lihat Bagian 8).
Log server (request method, status code, latency).

3. Tujuan Pemrosesan & Dasar Hukum

Tujuan	Dasar Hukum (UU PDP Ps. 20)
Menyediakan & mengoperasikan Layanan Nidaa	Pelaksanaan kontrak (langganan)
Memproses pembayaran & tagihan	Pelaksanaan kontrak + kewajiban hukum (pajak)
Mengirim pesan WhatsApp atas perintah Pelanggan	Instruksi Pengendali (Pelanggan)
Mencegah penyalahgunaan, fraud, spam	Kepentingan sah (legitimate interest)
Komunikasi support & notifikasi layanan	Pelaksanaan kontrak
Newsletter & pemberitahuan produk	Persetujuan tegas (opt-in)
Pemenuhan permintaan aparat penegak hukum	Kewajiban hukum

4. Retensi Data

Data Akun: selama akun aktif + 30 hari setelah penghentian (masa tenggang ekspor).
Log pesan & metadata: maksimal 30 hari sejak pesan dikirim, kecuali Pelanggan Enterprise yang mengaktifkan retensi kustom.
Auth state Baileys / Cloud API token: selama perangkat terhubung. Dihapus segera ketika Pelanggan logout/unlink perangkat.
Data pembayaran & invoice: 10 tahun sesuai kewajiban perpajakan Republik Indonesia.
Log audit (login, perubahan setting): 2 tahun untuk keperluan investigasi keamanan.

5. Berbagi & Pengungkapan Data

Kami tidak menjual data pribadi Anda. Kami hanya membagikan kepada:

Sub-prosesor yang membantu menyediakan Layanan (cloud hosting, payment gateway, email transactional). Daftar sub-prosesor: nidaa.id/legal/dpa#sub-processor.
Meta Platforms, Inc. — untuk Mesin Cloud API, isi pesan diteruskan ke infrastruktur WhatsApp Cloud milik Meta sebagai pihak yang menjalankan pengiriman akhir ke perangkat Penerima. Untuk Mesin Baileys, pesan diteruskan ke server WhatsApp via protocol WhatsApp Web.
Aparat penegak hukum atas permintaan sah yang dilandasi peraturan perundang-undangan.
Perusahaan afiliasi grup Kinexa untuk keperluan integrasi ekosistem (mis. Liqaa untuk channel WhatsApp Anda), hanya dengan persetujuan tegas Anda.

6. Transfer Data Lintas Negara

Data Pelanggan & metadata pesan disimpan di pusat data wilayah Republik Indonesia.
Untuk Mesin Cloud API, isi pesan diproses oleh infrastruktur Meta yang dapat berlokasi di luar Indonesia (umumnya Singapore/USA). Transfer ini dilakukan berdasarkan keperluan pelaksanaan kontrak antara Anda dan Meta, dan tunduk pada Kebijakan Privasi Meta.

7. Hak Subjek Data (UU PDP)

Anda berhak untuk:

Mengakses data pribadi Anda yang kami simpan.
Memperbarui / memperbaiki data yang tidak akurat.
Menghapus data (right to be forgotten), kecuali yang wajib disimpan oleh hukum.
Menarik persetujuan kapan saja.
Memindahkan data (data portability) dalam format yang umum digunakan.
Mengajukan keberatan atas pemrosesan tertentu.
Mengajukan keluhan ke Lembaga Pelindungan Data Pribadi Republik Indonesia.

Untuk menggunakan hak ini, hubungi dpo@kinetikum.co.id atau ajukan via dasbor member.kinexa.id/profile/privacy.

Catatan: untuk hak Penerima pesan (Subjek Data pihak ketiga), permohonan harus diajukan kepada Pelanggan Nidaa yang mengirim pesan, bukan kepada Kinetikum. Kinetikum sebagai Prosesor akan membantu Pelanggan memenuhi permintaan tersebut sesuai DPA.

8. Cookies & Teknologi Pelacakan

nidaa.id dan dasbor menggunakan cookies untuk:

Sesi otentikasi (kx_token) — esensial, tidak dapat dimatikan.
Preferensi tampilan (tema gelap/terang, bahasa).
Analitik agregat (jumlah halaman dilihat). Tidak ada pelacakan iklan pihak ketiga.

9. Keamanan

Kami menerapkan langkah teknis & organisasi yang wajar:

Enkripsi data dalam transit (HTTPS/TLS 1.2+) dan saat disimpan (AES-256-GCM) untuk credentials dan auth state.
Akses terbatas ke production database (RBAC, audit log, MFA wajib untuk staf).
Backup terenkripsi harian, retensi 30 hari.
Pemantauan keamanan 24/7 dan rotasi credential.
Bug bounty internal dan code review untuk perubahan menyentuh data sensitif.

Tidak ada sistem yang sempurna. Jika terjadi insiden kebocoran data yang berdampak material, kami akan memberitahu Anda dan Lembaga PDP dalam 3×24 jam sesuai UU PDP Pasal 46.

10. Perlindungan Anak

Layanan Nidaa tidak ditujukan untuk anak di bawah 18 tahun. Kami tidak secara sengaja mengumpulkan data anak. Jika Anda mengetahui ada data anak di sistem kami, hubungi dpo@kinetikum.co.id untuk penghapusan.

11. Perubahan Kebijakan

Kebijakan ini dapat berubah dari waktu ke waktu. Setiap versi memiliki nomor & tanggal berlaku. Perubahan material akan diberitahukan minimal 14 hari sebelum berlaku melalui email atau dasbor.

12. Kontak

Pengendali Data: PT Kinetikum Indo Solusi

Data Protection Officer (DPO): dpo@kinetikum.co.id

Pertanyaan umum privasi: privacy@nidaa.id

Alamat: (sesuai dokumen pendirian Kinetikum)

Dengan menggunakan Nidaa, Anda menyatakan telah membaca dan memahami Kebijakan Privasi ini.