Kebijakan Privasi

Kebijakan Privasi ini menjelaskan bagaimana PT Bangun Mimpi Widiwo (“KUKURU”, “Kami”, atau “Pengendali Data”) memperoleh, mengumpulkan, menggunakan, memproses, menyimpan, melindungi, dan menghapus Data Pribadi pengguna platform KUKURU.

KUKURU merupakan platform pendamping pembentukan kebiasaan positif berbasis keluarga yang memfasilitasi keterlibatan orang tua/wali dan anak melalui aktivitas, misi, progres, serta mekanisme gamifikasi digital.

Kami berkomitmen untuk memproses Data Pribadi secara sah, terbatas, transparan, dan sesuai dengan tujuan penyelenggaraan layanan serta ketentuan peraturan perundang-undangan yang berlaku.

Kebijakan ini berlaku terhadap pemrosesan Data Pribadi dalam layanan KUKURU, termasuk website, aplikasi, dashboard orang tua/wali, profil anak, API, serta kanal komunikasi resmi yang dikelola PT Bangun Mimpi Widiwo.

KUKURU berupaya menerapkan prinsip Data Minimization, yaitu membatasi pengumpulan Data Pribadi pada informasi yang relevan dan diperlukan untuk menyediakan dan mengamankan layanan.

KUKURU akan terus mengevaluasi kebutuhan pengumpulan data sebagai bagian dari pengembangan tata kelola privasi dan keamanan informasi.

KUKURU mengakui bahwa Data Pribadi anak memerlukan tingkat pelindungan khusus sesuai ketentuan peraturan perundang-undangan yang berlaku.

Profil anak dirancang untuk dibuat dan dikelola dalam konteks keluarga oleh orang tua atau wali yang telah memiliki akun KUKURU.

KUKURU menyediakan mekanisme persetujuan orang tua/wali dalam proses onboarding dan mencatat informasi persetujuan tertentu sebagai bagian dari pengelolaan layanan.

KUKURU sedang memperkuat mekanisme tersebut agar validitas dan versi persetujuan juga ditegakkan secara konsisten pada sisi server sebelum pemrosesan tertentu terhadap Data Pribadi anak dilakukan.

KUKURU tidak menggunakan implementasi aplikasi saat ini untuk melakukan penargetan iklan perilaku terhadap anak.

KUKURU berkomitmen untuk tidak menjual Data Pribadi anak sebagai komoditas data.

Pemrosesan Data Pribadi dilakukan berdasarkan dasar pemrosesan yang relevan menurut peraturan perundang-undangan, yang dapat meliputi:

1. persetujuan yang sah;
2. pelaksanaan layanan atau hubungan kontraktual dengan pengguna;
3. pemenuhan kewajiban hukum;
4. pelindungan kepentingan pengguna; dan/atau
5. kepentingan sah lainnya yang dapat digunakan berdasarkan hukum.

Untuk pemrosesan Data Pribadi anak yang memerlukan persetujuan, KUKURU menerapkan mekanisme persetujuan melalui orang tua dan/atau wali sesuai ketentuan yang berlaku.

PT Bangun Mimpi Widiwo berupaya menerapkan pengamanan teknis dan organisasi yang proporsional terhadap risiko pemrosesan Data Pribadi.

Kontrol keamanan yang telah menjadi bagian dari arsitektur KUKURU antara lain:

• penggunaan mekanisme autentikasi;
• hashing PIN anak;
• session anak yang dikelola melalui server;
• pembatasan akses berdasarkan identitas, kepemilikan data, keanggotaan keluarga, dan konteks autentikasi;
• pembatasan akses langsung terhadap data autentikasi anak;
• penerapan Row Level Security pada database aplikasi;
• pemisahan penggunaan kredensial publik dan kredensial server;
• validasi server-side terhadap operasi tertentu yang berkaitan dengan anak; dan
• mekanisme transaksi database untuk operasi tertentu yang memerlukan konsistensi dan pencegahan duplikasi.

KUKURU menggunakan penyedia infrastruktur dan layanan teknologi yang dapat menyediakan pengamanan tambahan pada lapisan transportasi, penyimpanan, database, hosting, dan autentikasi.

Standar dan konfigurasi kriptografi spesifik yang disediakan oleh penyedia infrastruktur dapat bergantung pada konfigurasi dan layanan penyedia terkait.

Prinsip Least Privilege

KUKURU menerapkan dan terus mengembangkan prinsip least privilege, yaitu membatasi akses terhadap data dan fungsi berdasarkan kebutuhan sistem, identitas pengguna, kepemilikan data, keanggotaan keluarga, dan konteks autentikasi.

KUKURU tidak menyatakan telah memiliki formal RBAC secara penuh pada versi layanan saat ini.

KUKURU menyimpan Data Pribadi selama masih diperlukan untuk:

• menyediakan layanan;
• menjaga keamanan dan integritas layanan;
• memenuhi kewajiban hukum;
• menangani permintaan atau sengketa; dan
• memenuhi tujuan pemrosesan yang sah.

KUKURU sedang mengembangkan kebijakan retensi teknis dan mekanisme penghapusan/anonymisasi yang lebih terstruktur sebagai bagian dari pengembangan tata kelola privasi dan ISMS.

Apabila pengguna mengajukan permintaan penghapusan akun atau Data Pribadi, KUKURU akan melakukan verifikasi dan memproses permintaan tersebut sesuai kemampuan operasional serta ketentuan hukum yang berlaku.

Sesuai ketentuan peraturan perundang-undangan yang berlaku, Subjek Data dapat memiliki hak untuk:

• memperoleh informasi mengenai pemrosesan Data Pribadi;
• mengakses Data Pribadi;
• memperbaiki Data Pribadi yang tidak akurat;
• menarik persetujuan sesuai kondisi yang diperbolehkan;
• meminta penghentian pemrosesan tertentu;
• meminta penghapusan Data Pribadi sesuai ketentuan hukum; dan
• menggunakan hak lain yang diberikan oleh peraturan perundang-undangan.

Untuk Data Pribadi anak, pelaksanaan hak dapat dilakukan melalui orang tua atau wali sesuai ketentuan yang berlaku.

Permohonan dapat disampaikan melalui kontak privasi KUKURU. KUKURU akan memverifikasi dan menangani permohonan sesuai kewajiban serta jangka waktu yang ditentukan oleh peraturan perundang-undangan yang berlaku.

Apabila KUKURU mengetahui adanya insiden keamanan yang berdampak terhadap Data Pribadi, KUKURU akan melakukan penilaian, mitigasi, dan tindakan yang sesuai dengan karakteristik serta tingkat risiko insiden.

Apabila insiden tersebut memenuhi kriteria pemberitahuan berdasarkan peraturan perundang-undangan yang berlaku, PT Bangun Mimpi Widiwo akan melakukan pemberitahuan kepada pihak yang diwajibkan sesuai prosedur dan jangka waktu yang ditetapkan oleh hukum.

KUKURU sedang mengembangkan prosedur incident response yang lebih terstruktur sebagai bagian dari penerapan tata kelola keamanan informasi.

KUKURU menggunakan cookies dan/atau mekanisme penyimpanan session yang diperlukan untuk fungsi autentikasi, keamanan, dan keberlangsungan session pengguna.

Berdasarkan implementasi aplikasi saat ini, KUKURU tidak menggunakan cookie periklanan untuk behavioral advertising.

Cookies atau mekanisme teknis tertentu juga dapat digunakan oleh penyedia layanan teknologi yang mendukung operasional KUKURU. Penggunaan tersebut dapat bergantung pada konfigurasi layanan penyedia terkait.

Dalam menyediakan layanan, KUKURU dapat menggunakan penyedia teknologi pihak ketiga untuk fungsi seperti:

• hosting aplikasi;
• database;
• autentikasi;
• penyimpanan;
• deployment;
• keamanan; dan
• layanan teknis lainnya.

KUKURU akan berupaya mengevaluasi aspek keamanan dan privasi penyedia layanan sesuai risiko serta kebutuhan operasional.

Apabila pemrosesan atau transfer Data Pribadi melibatkan yurisdiksi lain, KUKURU akan memperhatikan ketentuan transfer Data Pribadi yang berlaku.

KUKURU dapat memperbarui Kebijakan Privasi ini seiring perubahan layanan, teknologi, praktik keamanan, kebutuhan operasional, atau ketentuan hukum.

Versi dan tanggal berlaku akan ditampilkan pada dokumen.

Apabila perubahan bersifat material, KUKURU akan berupaya memberikan pemberitahuan yang sesuai melalui layanan atau kanal komunikasi yang tersedia.