Kebijakan Privasi

1. Data yang Kami Kumpulkan

a. Data akun

• Nama bisnis dan alamat email (wajib, untuk verifikasi dan komunikasi);
• Password — disimpan hanya sebagai hash PBKDF2-SHA512 dengan salt unik, tidak pernah dalam bentuk teks asli;
• Waktu verifikasi email, waktu login terakhir, dan alamat IP login terakhir.

b. Data operasional

• String QRIS statis merchant beserta nama dan kota merchant yang terbaca dari payload;
• Data transaksi: ID pesanan eksternal, nominal dasar, kode unik, status, dan waktu pembayaran;
• Log mutasi yang diterima dari kanal deteksi (aplikasi Android, Moota, Cekmutasi, atau email);
• Log pengiriman webhook, termasuk URL tujuan dan kode respons.

c. Data teknis

• Alamat IP, user agent, dan header permintaan untuk keamanan dan pembatasan laju;
• Catatan upaya login gagal dan status pemblokiran IP.

Kami tidak mengumpulkan data kartu pembayaran, PIN, OTP perbankan, atau kredensial mobile banking Anda. Kami juga tidak meminta akses ke isi pesan pribadi.

2. Dasar dan Tujuan Pemrosesan

• Pelaksanaan perjanjian — menyediakan Layanan yang Anda minta;
• Kepentingan sah — mencegah penipuan, penyalahgunaan, dan serangan siber;
• Kewajiban hukum — memenuhi permintaan otoritas yang berwenang;
• Persetujuan — untuk komunikasi pemasaran, yang dapat Anda tolak kapan saja.

3. Email Transaksional

Kami mengirim email yang diperlukan agar akun Anda berfungsi: verifikasi alamat email, kode reset password, dan pemberitahuan keamanan. Email ini dikirim melalui penyedia SMTP kami (noreply@abadiagent.cloud) dan tidak dapat dinonaktifkan selama akun aktif, karena tanpanya akun tidak dapat dipulihkan.

4. Aplikasi Android Pendamping

Aplikasi QRISGate Listener memerlukan izin akses notifikasi agar dapat membaca notifikasi pembayaran dari aplikasi bank dan e-wallet yang Anda pilih. Penting untuk dipahami:

• Aplikasi hanya membaca notifikasi dari paket aplikasi yang Anda aktifkan secara eksplisit di dalam aplikasi;
• Aplikasi mengirim judul dan isi notifikasi tersebut ke endpoint QRISGate yang Anda konfigurasi sendiri, beserta device token Anda;
• Aplikasi tidak mengunggah tangkapan layar, riwayat chat, kontak, atau file Anda;
• Aplikasi tidak menyimpan kredensial bank. Izin akses notifikasi dapat dicabut kapan saja melalui Pengaturan Android.

5. Berbagi Data dengan Pihak Ketiga

Kami tidak menjual data pribadi Anda. Data hanya dibagikan kepada:

• Penyedia infrastruktur — hosting aplikasi dan basis data (Turso, Vercel);
• Penyedia email — untuk pengiriman email transaksional;
• Google — hanya apabila Anda memilih masuk memakai akun Google (OAuth). Pada kasus itu Google menerima permintaan autentikasi dan mengembalikan alamat email serta identitas akun Anda;
• Kanal deteksi yang Anda hubungkan sendiri (Moota, Cekmutasi);
• Otoritas — apabila diwajibkan oleh hukum atau perintah yang sah.

6. Penyimpanan dan Retensi

• Data akun disimpan selama akun aktif;
• Token verifikasi dan reset dihapus otomatis setelah kedaluwarsa;
• Log transaksi dan mutasi disimpan untuk keperluan audit dan sengketa;
• Setelah akun dihapus, data pribadi dihapus atau dianonimkan dalam 30 hari, kecuali data yang wajib disimpan menurut ketentuan hukum.

7. Keamanan Data

• Password di-hash dengan PBKDF2-SHA512 (100.000 iterasi) dan salt unik per akun;
• API key disimpan sebagai hash SHA-256, jadi kunci aslinya tidak dapat dibaca kembali dari basis data;
• Device token disimpan pada basis data agar dapat ditampilkan kembali di dashboard Anda. Token ini dapat dicabut dan dibuat ulang kapan saja dari halaman Kunci API, dan wajib Anda jaga seperti password karena berfungsi sebagai kredensial pengiriman mutasi;
• Token verifikasi dan reset disimpan sebagai hash, bukan teks asli;
• Sesi ditandatangani HMAC-SHA256 dengan secret server dan cookie httpOnly;
• Seluruh lalu lintas produksi menggunakan HTTPS/TLS;
• Akses ke basis data produksi dibatasi dan diaudit.

8. Hak Anda

Sebagai subjek data, Anda berhak untuk:

• Meminta akses dan salinan data pribadi Anda;
• Meminta perbaikan data yang tidak akurat;
• Meminta penghapusan data (right to erasure), dengan pengecualian kewajiban hukum;
• Menarik persetujuan atas pemrosesan berbasis persetujuan;
• Mengajukan keberatan atas pemrosesan tertentu;
• Mengajukan keluhan kepada otoritas pelindungan data yang berwenang.

Permintaan dapat dikirim ke abadiagent@gmail.com dan akan kami tanggapi dalam 14 hari kerja.

9. Cookie dan Teknologi Serupa

Kami menggunakan cookie yang diperlukan untuk fungsi inti: cookie sesi (qrisgate_session) yang bersifat httpOnly dan SameSite=Lax. Kami tidak menggunakan cookie iklan pihak ketiga untuk pelacakan lintas situs.

10. Anak di Bawah Umur

Layanan ini ditujukan untuk pelaku usaha berusia minimal 18 tahun. Kami tidak dengan sengaja mengumpulkan data dari anak di bawah umur. Apabila hal tersebut diketahui, data akan segera dihapus.

11. Perubahan Kebijakan

Perubahan material akan diberitahukan melalui email terdaftar atau dashboard minimal 14 hari sebelum berlaku. Versi terbaru selalu tersedia di halaman ini beserta tanggal pembaruan.

12. Kontak

Pertanyaan tentang privasi: abadiagent@gmail.com. Lihat juga Syarat & Ketentuan dan Disclaimer.