Kepatuhan GDPR & UU PDP
VillaTax, PT Asiah Legal Jaya Terakhir diperbarui: Mei 2026
Pembukaan
Halaman ini menguraikan langkah-langkah kepatuhan yang diterapkan oleh VillaTax (dioperasikan oleh PT Asiah Legal Jaya, No. 1446293) berdasarkan dua kerangka hukum yang berbeda namun saling melengkapi:
- Peraturan Perlindungan Data Umum (GDPR, Peraturan UE 2016/679 tanggal 27 April 2016), yang berlaku karena keberadaan pengguna yang berdomisili di Uni Eropa, terlepas dari lokasi server VillaTax
- Undang-Undang Perlindungan Data Pribadi Indonesia (UU PDP No. 27/2022, yang mulai berlaku penuh pada 17 Oktober 2024), yang berlaku karena aktivitas PT Asiah Legal Jaya di wilayah Republik Indonesia dan pengumpulan data dari warga negara serta penduduk Indonesia
Kedua kerangka ini saling melengkapi dan memperkuat. Apabila persyaratan salah satu lebih ketat dari yang lain, VillaTax secara konsisten menerapkan tingkat perlindungan yang lebih tinggi. Kebijakan Privasi lengkap VillaTax tersedia di villa-tax.operium.store/kebijakan-privasi-villa-bali dan merupakan dokumen acuan untuk pemrosesan data pribadi.
1. Pengendali Data
PT Asiah Legal Jaya adalah pengendali data (Data Controller dalam pengertian GDPR, Pengendali Data Pribadi dalam pengertian UU PDP) atas seluruh data pribadi yang dikumpulkan dan diproses melalui platform VillaTax.
| Keterangan | Detail |
|---|---|
| Nama perusahaan | PT Asiah Legal Jaya |
| Nomor entitas | 1446293 |
| Alamat kantor | Benoa Square lantai 3 suite 4.3, Jalan By Pass Ngurah Rai No 21 A, Badung, Bali, Indonesia |
| Email kontak | commercial@operium.store |
| +6281387983316 |
PT Asiah Legal Jaya menentukan tujuan dan cara pemrosesan data pribadi. Subprosesor yang ditugaskan untuk penyediaan layanan bertindak semata-mata atas instruksi PT Asiah Legal Jaya dan tidak dapat menggunakan data tersebut untuk kepentingan mereka sendiri.
Sesuai dengan Pasal 53 UU PDP, PT Asiah Legal Jaya menunjuk seorang Petugas Pelindungan Data Pribadi (setara dengan Data Protection Officer, DPO) yang bertanggung jawab atas pengawasan kepatuhan internal. Petugas ini dapat dihubungi di commercial@operium.store.
2. Dua Kerangka Hukum: GDPR & UU PDP
2.1 GDPR, Peraturan Eropa
Server VillaTax berlokasi di Indonesia dan PT Asiah Legal Jaya tidak memiliki pendirian di Uni Eropa. Meskipun demikian, GDPR tetap berlaku bagi VillaTax dengan dasar berikut:
Penargetan orang-orang di UE: VillaTax dapat diakses oleh, dan secara aktif melayani, pengguna yang berdomisili di negara-negara anggota Uni Eropa (pemilik villa berkewarganegaraan Prancis, Jerman, Belanda, Swedia, dll. yang berlokasi di Bali). GDPR berlaku untuk pemrosesan data orang-orang tersebut sepanjang pemrosesan tersebut berkaitan dengan penawaran layanan kepada mereka, terlepas dari lokasi pendirian pengendali data atau lokasi servernya (Ps. 3.2 GDPR).
2.2 UU PDP, Undang-Undang Indonesia
Undang-Undang No. 27/2022 tentang Perlindungan Data Pribadi, yang diundangkan pada 17 Oktober 2022 dan berlaku penuh pada 17 Oktober 2024, merupakan undang-undang Indonesia pertama yang secara khusus mengatur perlindungan data pribadi. UU ini banyak terinspirasi dari GDPR namun mengintegrasikan kekhususan yang sesuai dengan konteks hukum dan kelembagaan Indonesia.
UU PDP berlaku bagi VillaTax karena alasan-alasan berikut:
- PT Asiah Legal Jaya adalah badan hukum yang tunduk pada hukum Indonesia
- VillaTax memproses data warga negara dan penduduk Indonesia (pemilik villa, karyawan, tamu Indonesia)
- Kegiatan utama VillaTax (kepatuhan pajak Indonesia) melibatkan pemrosesan data pajak dan administratif yang diatur oleh hukum Indonesia
Perbedaan utama antara GDPR dan UU PDP yang perlu diperhatikan:
| Aspek | GDPR | UU PDP |
|---|---|---|
| Otoritas pengawas | CNIL, BfDI, AEPD, dll. (per negara anggota) | Kementerian Komunikasi dan Digital (Komdigi) |
| Batas waktu notifikasi pelanggaran | 72 jam (Ps. 33) | Segera (segera), Ps. 46 |
| Hak portabilitas | Ps. 20 (format yang dapat dibaca mesin | Ps. 11) format dan metode yang sesuai |
| Sanksi maksimum | 4% omzet global atau EUR 20 juta | 2% omzet nasional atau Rp 25 miliar |
| Petugas perlindungan data | DPO wajib jika pemrosesan skala besar | Petugas PDP direkomendasikan |
| Hak keberatan | Ps. 21 | Ps. 10 |
3. Prinsip-Prinsip Dasar yang Diterapkan
VillaTax mendasarkan seluruh pemrosesan datanya pada prinsip-prinsip fundamental GDPR (Ps. 5) dan UU PDP (Ps. 16), yang diterapkan pada tingkat persyaratan tertinggi dari kedua kerangka tersebut:
Keabsahan, kejujuran, dan transparansi: Setiap pengumpulan data didasarkan pada dasar hukum yang teridentifikasi. Tidak ada pemrosesan yang dilakukan tanpa sepengetahuan Pengguna atau dengan cara yang bertentangan dengan kepentingannya yang sah. Halaman ini dan Kebijakan Privasi memastikan transparansi penuh atas pemrosesan.
Pembatasan tujuan: Data yang dikumpulkan hanya digunakan untuk tujuan-tujuan yang dinyatakan pada saat pengumpulan. Tidak ada penggunaan kembali untuk tujuan yang tidak sesuai. Khususnya, data pajak Pengguna tidak pernah digunakan untuk keperluan iklan, komersial pihak ketiga, atau pembuatan profil.
Minimisasi data: VillaTax hanya mengumpulkan data yang benar-benar diperlukan untuk penyediaan Layanan. Paket Free hanya memerlukan alamat email dan nama. Data tambahan (NPWP, kabupaten, struktur hukum) dikumpulkan secara bertahap sesuai kebutuhan fungsional, atas inisiatif Pengguna.
Akurasi: VillaTax menyediakan alat yang diperlukan bagi Pengguna untuk menjaga data mereka tetap akurat dan terkini (halaman Pengaturan, akses API). Pengguna bertanggung jawab atas akurasi data yang mereka masukkan; VillaTax berkomitmen untuk memproses data tersebut sesuai dengan keadaannya pada saat pemrosesan.
Pembatasan penyimpanan: Data hanya disimpan selama yang benar-benar diperlukan. Jangka waktu penyimpanan spesifik per kategori dirinci dalam Pasal 7 Kebijakan Privasi dan bagian 9 halaman ini.
Integritas dan kerahasiaan: Langkah-langkah teknis dan organisasi yang memadai diterapkan untuk melindungi data dari akses tidak sah, kehilangan, pemusnahan, atau perubahan (lihat bagian 5).
Akuntabilitas: PT Asiah Legal Jaya mendokumentasikan pemrosesan, dasar hukum, langkah-langkah keamanan, dan insidennya. Dokumentasi ini tersedia atas permintaan otoritas pengawas yang berwenang (Komdigi, CNIL, dan yang setara).
4. Dasar Hukum Pemrosesan
Sesuai dengan Pasal 6 GDPR dan Pasal 20 dan seterusnya dari UU PDP, setiap pemrosesan data pribadi yang dilakukan oleh VillaTax didasarkan pada dasar hukum yang spesifik dan teridentifikasi.
4.1 Pelaksanaan Kontrak (Ps. 6.1.b GDPR, Ps. 20.1.b UU PDP)
Merupakan dasar hukum utama VillaTax untuk pemrosesan yang diperlukan untuk penyediaan layanan:
- Pembuatan dan pengelolaan akun pengguna (email, nama, kata sandi yang di-hash)
- Pemrosesan data pemesanan OTA untuk perhitungan pajak otomatis (PBJT, PPh, PPN)
- Pembuatan laporan kepatuhan DJP / Coretax dan deklarasi SPT
- Perhitungan iuran BPJS dan penggajian PPh 21 (modul SDM)
- Pemrosesan pembayaran langganan melalui Xendit
- Pengiriman email transaksional (konfirmasi, pengingat jatuh tempo, peringatan pajak)
4.2 Kewajiban Hukum (Ps. 6.1.c GDPR, Ps. 20.1.c UU PDP)
Berlaku apabila pemrosesan diwajibkan oleh ketentuan hukum yang mengikat:
- Penyimpanan data pajak selama 10 tahun sesuai dengan Pasal 29 UU KUP (UU No. 6/1983 beserta perubahannya)
- Pemrosesan data NPWP dan deklarasi DJP sesuai dengan kewajiban pajak Indonesia
- Penyelenggaraan pembukuan PSAK sesuai dengan UU No. 8/1997 tentang Dokumen Perusahaan
- Pelaporan BPJS Kesehatan dan Ketenagakerjaan sesuai dengan UU No. 24/2011
4.3 Kepentingan Sah (Ps. 6.1.f GDPR, Ps. 20.1.f UU PDP)
Digunakan secara terbatas dan proporsional untuk pemrosesan yang tidak termasuk dalam kategori sebelumnya:
- Log keamanan (log akses, deteksi intrusi, pembatasan laju), kepentingan sah dalam mengamankan platform
- Pemantauan kesalahan dan kinerja melalui Sentry (dengan pengikisan PII diaktifkan), kepentingan sah dalam peningkatan layanan secara berkelanjutan
- Statistik penggunaan yang diagregasi dan dianonimkan, kepentingan sah dalam optimasi pengalaman pengguna
Untuk setiap pemrosesan yang didasarkan pada kepentingan sah, PT Asiah Legal Jaya telah melakukan uji keseimbangan (balancing test) yang mengonfirmasi bahwa kepentingan tersebut tidak mengesampingkan hak dan kebebasan fundamental orang-orang yang bersangkutan. Uji ini tersedia atas permintaan.
4.4 Persetujuan (Ps. 6.1.a GDPR, Ps. 20.1.a UU PDP)
Persetujuan diminta hanya untuk pemrosesan yang tidak tercakup oleh dasar hukum sebelumnya dan tidak diperlukan untuk penyediaan Layanan: komunikasi pemasaran opsional, survei kepuasan. Persetujuan dapat ditarik kapan saja tanpa merugikan akses ke Layanan.
5. Langkah-Langkah Keamanan Teknis dan Organisasi
VillaTax menerapkan serangkaian langkah keamanan teknis dan organisasi yang komprehensif sesuai dengan Pasal 32 GDPR dan Pasal 35 UU PDP, yang sebanding dengan tingkat risiko yang ditimbulkan oleh pemrosesan.
5.1 Keamanan Infrastruktur
- Hosting: server berlokasi di Indonesia
- Enkripsi saat transit: TLS 1.3 pada semua komunikasi antara browser dan server VillaTax; TLS 1.2 minimum untuk komunikasi antar-layanan
- Enkripsi saat tidak aktif: Cadangan terenkripsi; kunci enkripsi dikelola terpisah dari data
- Akses server: Autentikasi eksklusif melalui kunci SSH (autentikasi kata sandi dinonaktifkan di tingkat sistem operasi); akses dibatasi oleh firewall
- Database: PostgreSQL hanya dapat diakses dari koneksi lokal yang terautentikasi (127.0.0.1); pemisahan ketat antara lingkungan produksi dan pengembangan
5.2 Keamanan Aplikasi
- Kata sandi: Hash bcrypt dengan faktor biaya 12 rounds (tidak dapat dibalik, PT Asiah Legal Jaya tidak dapat mengambil kata sandi Anda dalam bentuk teks biasa)
- Token JWT: Ditandatangani melalui jose (HMAC-SHA256), masa berlaku dikonfigurasi, rotasi berkala
- Kunci API: Dibuat secara acak (256 bit entropi), di-hash sebelum disimpan, tidak dapat dipulihkan dalam bentuk teks biasa
- CSRF: Perlindungan terhadap serangan Cross-Site Request Forgery pada semua formulir dan mutasi status
- Rate limiting: Pembatasan laju pada semua rute API dan endpoint autentikasi untuk mencegah serangan brute force
- Cookie: Atribut
httpOnly,secure, dansameSite: laxpada semua cookie sesi - Header HTTP: Content Security Policy (CSP), X-Frame-Options, X-Content-Type-Options, dan HSTS dikonfigurasi
- Rahasia: Tidak ada kunci rahasia atau data sensitif yang dikirimkan sebagai parameter URL atau disimpan dalam bentuk teks biasa di kode sumber
5.3 Pemantauan dan Deteksi
- Sentry: Pemantauan kesalahan dan kinerja dengan konfigurasi pengikisan PII diaktifkan, tidak ada data pribadi yang dapat diidentifikasi dalam laporan kesalahan yang dikirimkan ke Sentry
- Log aplikasi: Pencatatan akses, tindakan kritis (log audit), dan kesalahan sistem, disimpan selama 90 hari bergulir
- Peringatan: Sistem peringatan otomatis saat terjadi anomali perilaku (volume permintaan yang tidak biasa, kesalahan autentikasi yang berulang)
5.4 Pencadangan dan Kesinambungan Layanan
- Frekuensi: Pencadangan lengkap database setiap hari pada pukul 03.00 UTC
- Retensi: 14 hari bergulir (rotasi otomatis)
- Enkripsi: Semua cadangan dienkripsi saat tidak aktif
- Uji pemulihan: Uji pemulihan berkala untuk memastikan integritas dan kegunaan cadangan
5.5 Langkah-Langkah Organisasi
- Akses ke data produksi dibatasi pada anggota tim yang benar-benar membutuhkan akses tersebut (prinsip hak akses minimum)
- Perjanjian kerahasiaan ditandatangani oleh seluruh staf dan mitra yang memiliki akses ke data
- Prosedur penanganan insiden keamanan yang terdokumentasi
- Peninjauan hak akses secara berkala
6. Pemrosesan Data Sensitif
6.1 Foto Paspor
Foto paspor tamu, yang dikumpulkan sesuai dengan kewajiban Indonesia untuk melaporkan wisatawan asing (Siskoharlat), merupakan data sensitif yang memerlukan perlindungan yang diperkuat. VillaTax menerapkan protokol berikut:
- Penyimpanan sementara yang aman di server berlokasi di Indonesia, dengan enkripsi saat tidak aktif
- Penghapusan otomatis dan permanen dalam 24 jam setelah tamu check-out, yang dilaksanakan oleh proses cron otomatis yang berjalan setiap hari
- Tidak ada analisis, ekstraksi teks (OCR), pengenalan wajah, atau pemrosesan analitik pada gambar-gambar ini
- Penghapusan simultan dari file fisik dan semua referensi dalam database
- Tidak ada salinan yang disimpan di media apa pun setelah penghapusan
Jangka waktu 24 jam ini sesuai dengan peraturan Siskoharlat dan melampaui persyaratan minimum, sebagai penerapan prinsip minimisasi penyimpanan.
6.2 Data Pajak dan Nomor NPWP
Nomor NPWP (Nomor Pokok Wajib Pajak) dan data pajak terkait diperlakukan dengan tingkat kerahasiaan tertinggi. Nomor ini tidak pernah dikirimkan kepada pihak ketiga komersial dan aksesnya dibatasi pada sistem otomatis VillaTax yang diperlukan untuk perhitungan pajak. Nomor NPWP dienkripsi saat tidak aktif dalam database.
6.3 Data Staf
Data gaji dan iuran sosial karyawan villa (nama, gaji, BPJS) diproses dalam kerangka ketat modul SDM VillaTax. Data ini hanya dapat diakses oleh pemilik akun yang bersangkutan dan anggota tim yang memiliki otorisasi eksplisit. Data ini tunduk pada kewajiban hukum penyimpanan selama 5 tahun sesuai dengan peraturan BPJS.
7. Transfer Data Internasional
7.1 Aliran Data dan Lokasi
| Layanan | Lokasi | Data yang Ditransfer | Jaminan |
|---|---|---|---|
| Penyedia hosting | Indonesia | Semua data pengguna | Lihat daftar subprosesor, bagian 11 |
| Xendit | Indonesia | Data pembayaran (dianonimkan) | PCI DSS Level 1, hukum Indonesia |
| Resend Inc. | AS | Email pengguna, konten transaksional | Klausul Kontraktual Standar (SCC) |
| Sentry | AS | Log kesalahan yang dianonimkan (pengikisan PII) | Klausul Kontraktual Standar (SCC) |
7.2 Transfer data pribadi pengguna UE/EEA ke Indonesia
Karena server VillaTax berlokasi di Indonesia, pemrosesan data pribadi yang ditransfer dari UE/EEA melibatkan transfer ke luar Kawasan Ekonomi Eropa. Indonesia saat ini belum memiliki keputusan kecukupan dari Komisi Eropa. VillaTax tidak menggunakan pengecualian Pasal 49 sebagai mekanisme umum untuk transfer yang teratur atau berulang. Mekanisme transfer yang sesuai berdasarkan Bab V GDPR harus berlaku sebelum transfer tersebut dilakukan. Setiap penggunaan pengecualian Pasal 49 secara khusus harus dinilai, didokumentasikan, dan dibatasi pada transfer tertentu yang bersangkutan.
7.3 Mekanisme Perlindungan untuk Transfer ke Subprosesor Lain di Luar UE dan Indonesia
Untuk transfer ke subprosesor yang berlokasi di Amerika Serikat (Resend, Sentry), VillaTax menggunakan Klausul Kontraktual Standar (SCC) yang disetujui oleh Komisi Eropa sesuai dengan Keputusan Pelaksanaan (UE) 2021/914 tanggal 4 Juni 2021. SCC ini dimasukkan dalam perjanjian pemrosesan data yang ditandatangani dengan setiap subprosesor.
Selain itu, langkah-langkah teknis tambahan diterapkan:
- Konfigurasi pengikisan PII (Personal Identifiable Information) dalam Sentry, tidak ada data pribadi yang dapat diidentifikasi dalam log kesalahan yang dikirimkan di luar UE
- Minimisasi data yang dikirimkan ke Resend (alamat email dan konten transaksional saja, tidak ada data pajak)
- Tidak ada data pemesanan, pajak, atau staf yang dikirimkan ke subprosesor non-Eropa
7.4 Kepatuhan UU PDP untuk Transfer di Luar Indonesia
Sesuai dengan Pasal 56 UU PDP, transfer data pribadi ke negara atau wilayah asing mensyaratkan tingkat perlindungan yang setara dengan yang dijamin oleh UU PDP. VillaTax memastikan bahwa:
- Transfer ke Amerika Serikat diatur oleh SCC dan jaminan kontraktual yang memadai
- Tidak ada transfer ke negara-negara tanpa jaminan yang memadai yang dilakukan tanpa persetujuan eksplisit Pengguna
8. Hak Anda, GDPR & UU PDP
Hak-hak yang diuraikan di bawah ini berlaku untuk seluruh Pengguna VillaTax, terlepas dari kewarganegaraan atau tempat tinggal mereka, berdasarkan GDPR (untuk penduduk UE) atau UU PDP (untuk warga negara Indonesia), sesuai kerangka yang paling melindungi yang berlaku untuk situasi Anda.
8.1 Hak Akses (Ps. 15 GDPR, Ps. 6 UU PDP)
Anda dapat meminta kapan saja salinan lengkap data pribadi yang VillaTax simpan tentang Anda, serta informasi mengenai tujuan pemrosesan, penerima, jangka waktu penyimpanan, dan hak-hak Anda. Sebagian besar data Anda dapat langsung diakses dan diekspor dari dashboard tanpa intervensi dukungan.
8.2 Hak Rektifikasi (Ps. 16 GDPR, Ps. 7 UU PDP)
Anda dapat memperbaiki data yang tidak akurat atau tidak lengkap langsung dari halaman Pengaturan. Untuk data yang tidak dapat diakses secara mandiri, hubungi commercial@operium.store. Rektifikasi diproses dalam 30 hari.
8.3 Hak Portabilitas (Ps. 20 GDPR, Ps. 11 UU PDP)
VillaTax menyediakan alat ekspor secara mandiri di dashboard Anda:
- Ekspor CSV: Pemesanan, rincian pajak, data penggajian BPJS/PPh 21, pembayaran Banjar, data properti
- Ekspor ZIP: Arsip lengkap semua dokumen dan laporan yang dihasilkan (deklarasi SPT, laporan PBJT, slip gaji)
Ekspor ini tersedia segera, tanpa penundaan pemrosesan atau intervensi dukungan. Anda juga dapat mengajukan permintaan portabilitas formal ke commercial@operium.store jika Anda menginginkan format tertentu yang tidak tersedia secara mandiri.
8.4 Hak Penghapusan (Ps. 17 GDPR, Ps. 8 UU PDP)
Anda dapat meminta penghapusan lengkap akun dan semua data terkait. Setelah menerima permintaan yang terverifikasi di commercial@operium.store, VillaTax akan melanjutkan dalam 30 hari kalender dengan penghapusan permanen dan tidak dapat dipulihkan dari:
- Semua informasi pribadi akun (email, nama, kata sandi yang di-hash)
- Semua data properti dan pemesanan terkait
- Semua data staf dan perhitungan penggajian
- Semua dokumen yang diunggah dan laporan yang dihasilkan
- Semua catatan pembayaran Banjar
- Semua log aktivitas yang dapat diidentifikasi
Pengecualian wajib berdasarkan hukum: Data pajak yang tunduk pada kewajiban hukum penyimpanan (data DJP, BPJS, selama 5 tahun sesuai dengan UU KUP) tidak dapat dihapus sebelum berakhirnya jangka waktu tersebut. Data ini akan dianonimkan secara permanen dalam 30 hari setelah permintaan Anda, sehingga tidak lagi memungkinkan identifikasi Anda. Konfirmasi penghapusan/anonimisasi akan dikirimkan kepada Anda melalui email.
8.5 Hak Pembatasan Pemrosesan (Ps. 18 GDPR, Ps. 9 UU PDP)
Anda dapat meminta pembatasan pemrosesan data Anda dalam kasus-kasus yang diatur oleh hukum: perselisihan mengenai akurasi data, pemrosesan yang tidak sah tanpa permintaan penghapusan, penyimpanan yang diperlukan untuk suatu sengketa. Selama periode pembatasan, data Anda tidak akan diproses secara aktif (akun dalam mode tidak aktif).
8.6 Hak Keberatan (Ps. 21 GDPR, Ps. 10 UU PDP)
Anda dapat mengajukan keberatan terhadap pemrosesan apa pun yang didasarkan pada kepentingan sah VillaTax. Jika keberatan diajukan, VillaTax akan menghentikan pemrosesan tersebut kecuali jika dapat menunjukkan alasan sah yang mendesak yang mengesampingkan hak Anda, atau jika pemrosesan diperlukan untuk penetapan, pelaksanaan, atau pembelaan hak dalam suatu sengketa hukum. Keberatan terhadap pemrosesan untuk keperluan prospeksi komersial bersifat mutlak dan tanpa pengecualian.
8.7 Hak untuk Tidak Menjadi Subjek Keputusan Otomatis (Ps. 22 GDPR, Ps. 12 UU PDP)
VillaTax tidak melakukan pengambilan keputusan sepenuhnya otomatis yang menghasilkan dampak hukum yang signifikan terhadap Pengguna. Perhitungan pajak otomatis Mesin Pajak adalah alat bantu pengambilan keputusan, keputusan akhir untuk mengajukan laporan selalu berada di tangan Pengguna atau konsultan pajaknya.
8.8 Prosedur Penggunaan Hak
Untuk menggunakan salah satu hak ini, ajukan permintaan Anda ke commercial@operium.store dari alamat email yang terkait dengan akun VillaTax Anda. Cantumkan dalam email: nama lengkap, alamat email akun, hak yang ingin Anda gunakan, dan jika berlaku, data yang dimaksud.
Jangka waktu pemrosesan:
| Tahap | Jangka Waktu |
|---|---|
| Konfirmasi penerimaan | 72 jam |
| Verifikasi identitas | 5 hari kerja |
| Penyelesaian penuh | 30 hari kalender (dapat diperpanjang hingga 90 hari untuk kasus kompleks, dengan pemberitahuan sebelumnya) |
| Konfirmasi pelaksanaan | Dalam 5 hari setelah pelaksanaan |
Penggunaan hak-hak ini sepenuhnya gratis.
9. Jangka Waktu Penyimpanan
| Kategori data | Jangka Waktu | Dasar Hukum Penyimpanan |
|---|---|---|
| Data akun | Durasi langganan + 90 hari | Pelaksanaan kontrak |
| Data pemesanan dan pendapatan pajak | 5 tahun | UU KUP (Ps. 29), kewajiban hukum DJP |
| Deklarasi SPT yang diekspor | 5 tahun sejak deklarasi | UU KUP (Ps. 29) |
| Data BPJS dan penggajian | 5 tahun | UU BPJS (UU 24/2011) |
| Foto paspor | 24 jam pasca-checkout | Minimisasi (Siskoharlat) |
| Log transaksi Xendit (ID) | 3 tahun | Akuntansi (UU No. 8/1997) |
| Log teknis dan kesalahan Sentry | 90 hari bergulir | Kepentingan sah keamanan |
| Cadangan database | 14 hari | Kesinambungan layanan |
| Token JWT sesi | Maks. 30 hari (kedaluwarsa otomatis) | Keamanan |
| Magic link email | 7 hari | Keamanan |
10. Penanganan Insiden, Notifikasi Pelanggaran
10.1 Prosedur Internal
Jika terdeteksi pelanggaran data pribadi, VillaTax segera mengaktifkan Rencana Respons Insiden (RRI) yang mencakup:
- Isolasi dan penahanan pelanggaran dalam satu jam setelah terdeteksi
- Penilaian sifat, cakupan, dan risiko pelanggaran dalam 24 jam
- Dokumentasi lengkap insiden (sifat data, jumlah orang yang terdampak, kemungkinan konsekuensi, langkah yang diambil)
- Pemberitahuan kepada otoritas dan orang-orang yang terdampak sesuai batas waktu hukum
10.2 Pemberitahuan kepada Otoritas Pengawas
Berdasarkan GDPR (Ps. 33): Jika terjadi pelanggaran yang berpotensi menimbulkan risiko bagi hak dan kebebasan orang-orang yang bersangkutan, VillaTax akan memberitahukan otoritas pengawas yang berwenang dalam 72 jam setelah insiden diketahui. Pemberitahuan akan mencakup: sifat pelanggaran, kategori dan perkiraan jumlah orang yang terdampak, langkah-langkah yang telah atau akan diambil.
Berdasarkan UU PDP (Ps. 46): Undang-undang Indonesia mewajibkan pemberitahuan segera kepada Komdigi (Kementerian Komunikasi dan Digital) jika terjadi kegagalan perlindungan data pribadi. VillaTax akan memenuhi kewajiban ini dengan memberitahukan Komdigi dalam waktu maksimum 14 hari kalender, sesuai dengan ketentuan peraturan UU PDP.
10.3 Pemberitahuan kepada Orang-Orang yang Terdampak
Berdasarkan GDPR (Ps. 34): Jika pelanggaran berpotensi menimbulkan risiko tinggi bagi hak dan kebebasan orang-orang, VillaTax akan memberitahukan Pengguna yang terdampak tanpa penundaan yang tidak wajar, dalam istilah yang jelas dan sederhana: sifat pelanggaran, kontak titik kontak, kemungkinan konsekuensi, langkah-langkah yang diambil.
Berdasarkan UU PDP (Ps. 46): VillaTax akan memberitahukan orang-orang yang terdampak dalam 14 hari setelah pelanggaran diketahui, sesuai dengan persyaratan UU PDP.
11. Subprosesor (Pemroses)
| Subprosesor | Peran | Lokasi | Jaminan | DPA |
|---|---|---|---|---|
| Penyedia hosting | Hosting dan penyimpanan | Indonesia | Kewajiban kontraktual keamanan dan kerahasiaan | Perjanjian pemrosesan data |
| PT Xendit Pembayaran Indonesia | Pemrosesan pembayaran | Indonesia | PCI DSS Level 1 | Perjanjian mitra Xendit |
| Resend Inc. | Email transaksional | AS | Klausul Kontraktual Standar | DPA tersedia atas permintaan |
| Sentry | Pemantauan kesalahan / kinerja | AS | SCC + pengikisan PII dikonfigurasi | DPA tersedia atas permintaan |
Setiap subprosesor terikat pada PT Asiah Legal Jaya melalui perjanjian pemrosesan data (Data Processing Agreement, DPA atau Perjanjian Pemrosesan Data) yang memuat kewajiban kontraktual mengenai keamanan, kerahasiaan, dan kepatuhan regulasi. PT Asiah Legal Jaya melakukan tinjauan kepatuhan subprosesor secara tahunan.
12. Pembaruan Halaman Ini
Halaman Kepatuhan GDPR & UU PDP ini ditinjau setiap kuartal atau setiap kali terjadi perubahan legislatif atau regulasi yang signifikan. Setiap perubahan substansial yang mempengaruhi hak Anda atau tata cara pemrosesan dikomunikasikan melalui email kepada seluruh pengguna terdaftar setidaknya 14 hari kalender sebelum berlaku.
Tanggal "Terakhir diperbarui" di bagian atas halaman ini menunjukkan tanggal revisi terbaru. Versi sebelumnya tersedia atas permintaan ke commercial@operium.store.
13. Otoritas Pengawas yang Berwenang
Anda berhak mengajukan pengaduan kepada otoritas perlindungan data yang berwenang di yurisdiksi tempat tinggal Anda:
| Yurisdiksi | Otoritas | Kontak |
|---|---|---|
| Prancis | CNIL, Commission Nationale de l'Informatique et des Libertés | cnil.fr |
| Jerman | BfDI, Bundesbeauftragter für den Datenschutz | bfdi.bund.de |
| Belanda | AP, Autoriteit Persoonsgegevens | autoriteitpersoonsgegevens.nl |
| Australia | OAIC, Office of the Australian Information Commissioner | oaic.gov.au |
| Indonesia | Komdigi, Kementerian Komunikasi dan Digital | komdigi.go.id |
| Uni Eropa (penyelesaian sengketa online) | Platform ODR, Online Dispute Resolution | ec.europa.eu/consumers/odr |
VillaTax (PT Asiah Legal Jaya) villa-tax.operium.store, Mei 2026
Dokumen ini diatur oleh hukum Republik Indonesia dan Peraturan (UE) 2016/679 untuk aspek-aspek yang tunduk pada GDPR. Dalam hal terjadi perbedaan antara terjemahan dan versi bahasa Prancis, versi bahasa Prancis yang berlaku.