Privasi dan Keamanan Data

PASAL 1 — PENDAHULUAN

Kebijakan Privasi ini (“Kebijakan”) menjelaskan bagaimana PT. Karya Anak Yang Adidaya (“Penyelenggara”, “Kami”) selaku Pengendali Data Pribadi mengumpulkan, menggunakan, menyimpan, mengungkapkan, dan melindungi Data Pribadi Anda sehubungan dengan penggunaan platform Tukuya.com (“Platform”) beserta seluruh layanan, fitur, dan produk yang tersedia di dalamnya.

Kebijakan ini merupakan bagian yang tidak terpisahkan dari Syarat dan Ketentuan Platform dan disusun dengan mengacu pada:

1. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”);
2. Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik sebagaimana telah diubah terakhir dengan Undang-Undang Nomor 1 Tahun 2024 (“UU ITE”);
3. Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik;
4. Peraturan Pemerintah Nomor 80 Tahun 2019 tentang Perdagangan Melalui Sistem Elektronik (“PP PMSE”);
5. Peraturan Menteri Komunikasi dan Informatika Nomor 5 Tahun 2020 tentang Penyelenggara Sistem Elektronik Lingkup Privat; dan
6. Peraturan perundang-undangan terkait lainnya yang berlaku di Republik Indonesia.

Dengan mengakses dan/atau menggunakan Platform, Anda menyatakan telah membaca, memahami, dan menyetujui Kebijakan ini. Apabila Anda tidak menyetujui Kebijakan ini, mohon untuk tidak mengakses atau menggunakan Platform.

PASAL 2 — DEFINISI

PASAL 3 — DATA PRIBADI YANG KAMI KUMPULKAN

Kami mengumpulkan dan memproses kategori Data Pribadi berikut sesuai dengan kebutuhan penyediaan Layanan:

PASAL 4 — CARA KAMI MENGUMPULKAN DATA PRIBADI

Kami mengumpulkan Data Pribadi Anda melalui cara-cara berikut:

1. Secara langsung: Langsung dari Anda
2. Secara otomatis: Secara otomatis melalui Cookies, log server, dan teknologi pelacakan lainnya saat Anda menggunakan Platform
3. Dari pihak ketiga: Dari pihak ketiga yang bekerja sama dengan Kami, termasuk Mitra Pembayaran (Xendit), Mitra Pengiriman (Bebas Kirim, Kiriminaja), platform marketplace yang diintegrasikan (Tokopedia, Shopee, Bukalapak), penyedia layanan analitik, dan Penyedia AI Pihak Ketiga
4. Dari sumber publik: Dari sumber yang tersedia secara publik, sejauh diizinkan oleh peraturan perundang-undangan yang berlaku.

PASAL 5 — TUJUAN PEMROSESAN DATA PRIBADI

Kami memproses Data Pribadi Anda untuk tujuan-tujuan berikut:

1. Memfasilitasi pendaftaran Akun, verifikasi identitas, dan pengelolaan Akun Pengguna;
2. Menyediakan, mengoperasikan, memelihara, dan meningkatkan kualitas Platform beserta seluruh Layanan;
3. Memproses dan memfasilitasi transaksi jual beli antara Pembeli dan Penjual, termasuk pemrosesan pembayaran melalui Mitra Pembayaran dan pengaturan pengiriman melalui Mitra Pengiriman;
4. Menyediakan Layanan AI, termasuk menghasilkan rekomendasi produk, konten otomatis, optimasi listing, dan layanan chatbot;
5. Melakukan analisis bisnis, riset pasar, pengukuran kinerja, dan pembuatan laporan statistik dalam bentuk agregat dan anonim untuk pengembangan Platform;
6. Mengirimkan komunikasi pemasaran, promosi, newsletter, dan penawaran khusus (dengan persetujuan terpisah dari Anda);
7. Memberikan layanan pelanggan, merespons pertanyaan, keluhan, dan permintaan Anda;
8. Mendeteksi, mencegah, dan menangani penipuan (fraud), aktivitas mencurigakan, pelanggaran keamanan, dan pelanggaran Syarat dan Ketentuan;
9. Memenuhi kewajiban hukum, termasuk kewajiban perpajakan, pelaporan regulator, dan kepatuhan terhadap perintah pengadilan atau permintaan dari instansi penegak hukum yang berwenang;
10. Menyelesaikan sengketa, menegakkan perjanjian, dan melindungi hak, properti, atau keselamatan Kami, Pengguna, atau pihak ketiga;
11. Memfasilitasi program afiliasi dan penghitungan komisi; dan
12. Tujuan-tujuan lain yang disampaikan kepada Anda pada saat pengumpulan Data Pribadi atau yang secara wajar terkait dengan tujuan-tujuan di atas.

PASAL 6 — DASAR HUKUM PEMROSESAN DATA PRIBADI

Berdasarkan Pasal 20 UU PDP, Kami memproses Data Pribadi Anda dengan dasar hukum sebagai berikut:

1. Persetujuan (Pasal 20 ayat (2) huruf a UU PDP): Anda telah memberikan persetujuan secara eksplisit untuk satu atau lebih tujuan tertentu. Persetujuan ini dapat Anda tarik sewaktu-waktu sebagaimana diatur dalam Pasal 10 Kebijakan ini;
2. Pelaksanaan Perjanjian (Pasal 20 ayat (2) huruf b UU PDP): Pemrosesan diperlukan untuk pelaksanaan perjanjian antara Kami dengan Anda, termasuk penyediaan Layanan, pemrosesan transaksi, dan pengelolaan Akun;
3. Kewajiban Hukum (Pasal 20 ayat (2) huruf c UU PDP): Pemrosesan diperlukan untuk memenuhi kewajiban hukum Kami, termasuk kewajiban perpajakan, pelaporan regulator, penyimpanan data transaksi sesuai PP PMSE, dan kepatuhan terhadap perintah pengadilan;
4. Kepentingan Sah (Pasal 20 ayat (2) huruf f UU PDP): Pemrosesan diperlukan untuk kepentingan sah Kami, termasuk pencegahan penipuan, peningkatan keamanan Platform, analisis bisnis, dan pengembangan layanan, dengan tetap memperhatikan keseimbangan antara kepentingan Kami dan hak-hak Anda sebagai Subjek Data Pribadi.

PASAL 7 — PENGGUNAAN KECERDASAN BUATAN (AI) DAN DATA PRIBADI

PASAL 8 — PENGUNGKAPAN DATA PRIBADI KEPADA PIHAK KETIGA

Kami dapat mengungkapkan Data Pribadi Anda kepada pihak ketiga berikut dengan tetap menerapkan prinsip kehati-hatian dan perlindungan yang memadai:

1. Mitra Pembayaran: Xendit selaku penyedia layanan payment gateway untuk memproses transaksi pembayaran Anda;
2. Mitra Pengiriman: Bebas Kirim dan Kiriminaja selaku penyedia layanan logistik untuk memfasilitasi pengiriman produk;
3. Platform Marketplace: Tokopedia, Shopee, dan Bukalapak untuk sinkronisasi produk, stok, dan pengelolaan pesanan apabila Anda mengaktifkan fitur integrasi marketplace;
4. Penyedia AI Pihak Ketiga: Pihak ketiga yang menyediakan teknologi AI sebagaimana diuraikan dalam Pasal 7 Kebijakan ini;
5. Penyedia Layanan Teknis: Penyedia layanan cloud hosting, analitik, keamanan siber, dan layanan pendukung operasional Platform lainnya;
6. Pemerintah dan Regulator: Instansi pemerintah, regulator, pengadilan, atau lembaga penegak hukum yang berwenang apabila diwajibkan oleh peraturan perundang-undangan atau perintah yang sah.

Setiap pihak ketiga penerima Data Pribadi terikat oleh perjanjian pemrosesan data (Data Processing Agreement) yang mewajibkan mereka untuk memproses Data Pribadi hanya sesuai instruksi Kami dan menerapkan langkah-langkah keamanan yang memadai sebagaimana disyaratkan oleh UU PDP.

PASAL 9 — TRANSFER DATA PRIBADI LINTAS BATAS

Dalam rangka penyediaan Layanan (termasuk penggunaan Penyedia AI Pihak Ketiga, layanan cloud hosting, dan integrasi pembayaran), Data Pribadi Anda dapat ditransfer ke dan disimpan di server yang berlokasi di luar wilayah Republik Indonesia.

Sesuai dengan Pasal 55 dan 56 UU PDP, transfer Data Pribadi ke luar wilayah Indonesia hanya dilakukan apabila:

1. Negara penerima memiliki tingkat pelindungan Data Pribadi yang setara atau lebih tinggi dari yang diatur dalam UU PDP; atau
2. Terdapat pelindungan Data Pribadi yang memadai dan bersifat mengikat antara Kami dengan pihak penerima, termasuk melalui perjanjian pemrosesan data, klausul kontraktual standar, atau mekanisme perlindungan lainnya yang diakui oleh peraturan perundang-undangan yang berlaku; atau
3. Anda telah memberikan persetujuan eksplisit setelah mendapatkan informasi yang memadai mengenai negara tujuan transfer, standar perlindungan yang diterapkan, dan risiko yang mungkin timbul.

Kami akan memastikan bahwa seluruh pihak penerima Data Pribadi di luar Indonesia menerapkan standar perlindungan yang tidak lebih rendah dari ketentuan UU PDP.

PASAL 10 — HAK-HAK ANDA SEBAGAI SUBJEK DATA PRIBADI

Sesuai dengan UU PDP, Anda memiliki hak-hak berikut yang dapat dilaksanakan dengan menghubungi Kami melalui email [email protected]:

1. Hak atas Informasi: Anda berhak mendapatkan informasi yang jelas mengenai identitas Kami, dasar hukum, tujuan, jenis data yang diproses, dan akuntabilitas pemrosesan Data Pribadi Anda (Pasal 5 UU PDP);
2. Hak Akses dan Salinan: Anda berhak mengakses dan memperoleh salinan Data Pribadi Anda yang Kami proses secara gratis. Kami akan merespons permintaan akses Anda dalam waktu 3x24 jam (tiga kali dua puluh empat jam) sejak permintaan diterima (Pasal 7 dan 32 UU PDP);
3. Hak Perbaikan: Anda berhak melengkapi, memperbarui, dan/atau memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi Anda (Pasal 6 UU PDP);
4. Hak Penghapusan: Anda berhak mengakhiri pemrosesan, menghapus, dan/atau memusnahkan Data Pribadi Anda, dengan pengecualian data yang wajib dipertahankan berdasarkan kewajiban hukum (Pasal 8 UU PDP);
5. Hak Menarik Persetujuan: Anda berhak menarik kembali persetujuan yang telah Anda berikan. Penarikan persetujuan tidak mempengaruhi keabsahan pemrosesan yang dilakukan sebelum penarikan. Konsekuensi penarikan persetujuan dapat berupa ketidakmampuan Kami untuk menyediakan sebagian atau seluruh Layanan kepada Anda (Pasal 9 UU PDP);
6. Hak Menolak Keputusan Otomatis: Anda berhak menolak keputusan yang semata-mata didasarkan pada pemrosesan secara otomatis, termasuk profiling, yang menimbulkan akibat hukum atau berdampak signifikan (Pasal 10 UU PDP);
7. Hak Pembatasan Pemrosesan: Anda berhak menunda atau membatasi pemrosesan Data Pribadi secara proporsional terhadap tujuan pemrosesan (Pasal 11 UU PDP);
8. Hak Portabilitas Data: Anda berhak memperoleh dan menggunakan Data Pribadi Anda dalam format yang umum digunakan dan dapat dibaca oleh sistem elektronik, serta mengirimkan Data Pribadi tersebut ke Pengendali Data Pribadi lain (Pasal 13 UU PDP);
9. Hak Menggugat dan Ganti Rugi: Anda berhak mengajukan gugatan dan menerima ganti rugi atas pelanggaran pemrosesan Data Pribadi Anda sesuai peraturan perundang-undangan yang berlaku (Pasal 12 UU PDP).

Pelaksanaan hak-hak di atas dilakukan melalui permohonan tercatat sesuai Pasal 14 UU PDP. Kami berhak meminta verifikasi identitas Anda sebelum memproses permohonan. Beberapa hak di atas dapat dikecualikan untuk kepentingan pertahanan dan keamanan negara, penegakan hukum, kepentingan publik, dan pengawasan sektor keuangan sebagaimana diatur dalam Pasal 15 UU PDP.

PASAL 11 — PENYIMPANAN DAN RETENSI DATA PRIBADI

PASAL 12 — COOKIES DAN TEKNOLOGI PELACAKAN

PASAL 13 — KEAMANAN DATA PRIBADI

Kami menerapkan langkah-langkah keamanan teknis dan organisasional yang wajar untuk melindungi Data Pribadi Anda dari akses tidak sah, pengungkapan, perubahan, penghapusan, atau perusakan, sesuai dengan Pasal 35 UU PDP, PP 71/2019, dan standar keamanan informasi yang berlaku. Langkah-langkah tersebut meliputi:

1. Enkripsi data pribadi baik saat penyimpanan (at rest) maupun saat transmisi (in transit) menggunakan protokol SSL/TLS;
2. Sistem kontrol akses berbasis peran (role-based access control) yang membatasi akses Data Pribadi hanya kepada personel yang berwenang;
3. Firewall, sistem deteksi dan pencegahan intrusi (IDS/IPS), dan monitoring keamanan berkelanjutan;
4. Audit keamanan berkala dan pengujian kerentanan (vulnerability assessment);
5. Prosedur respons insiden keamanan yang terdokumentasi;
6. Sistem backup dan pemulihan data (disaster recovery) secara berkala; dan
7. Pelatihan kesadaran keamanan informasi bagi seluruh personel yang menangani Data Pribadi.

Meskipun Kami telah berupaya semaksimal mungkin, tidak ada metode transmisi melalui internet atau metode penyimpanan elektronik yang dapat dijamin keamanannya secara absolut. Kami tidak dapat menjamin keamanan mutlak atas Data Pribadi Anda.

PASAL 14 — PELINDUNGAN DATA ANAK

Platform tidak ditujukan untuk anak di bawah usia 18 (delapan belas) tahun. Kami tidak secara sengaja mengumpulkan Data Pribadi dari anak di bawah usia 18 tahun tanpa persetujuan dari orang tua atau wali sah sebagaimana disyaratkan oleh Pasal 25 UU PDP dan Pasal 16A UU ITE.

Apabila Kami mengetahui bahwa Kami telah mengumpulkan Data Pribadi dari anak di bawah usia 18 tahun tanpa persetujuan orang tua atau wali yang sah, Kami akan segera mengambil langkah-langkah untuk menghapus Data Pribadi tersebut. Apabila Anda adalah orang tua atau wali dan mengetahui bahwa anak Anda telah memberikan Data Pribadi kepada Kami tanpa persetujuan Anda, mohon segera hubungi Kami melalui email [email protected].

PASAL 15 — NOTIFIKASI PELANGGARAN DATA PRIBADI

Dalam hal terjadi kegagalan pelindungan Data Pribadi yang mengakibatkan perusakan, kehilangan, perubahan, pengungkapan tidak sah, atau akses tidak sah terhadap Data Pribadi Anda, Kami akan:

1. Menyampaikan pemberitahuan tertulis kepada Anda selaku Subjek Data Pribadi yang terdampak dan kepada lembaga yang berwenang (Lembaga Pelindungan Data Pribadi atau Kementerian Komunikasi dan Digital) dalam waktu paling lambat 3x24 jam (tiga kali dua puluh empat jam) sejak diketahuinya pelanggaran;
2. Pemberitahuan tersebut akan memuat minimal: (i) deskripsi Data Pribadi yang terdampak, (ii) kronologi dan bagaimana pelanggaran terjadi, serta (iii) upaya penanganan dan pemulihan yang telah dan akan dilakukan;
3. Apabila pelanggaran mengganggu pelayanan publik dan/atau berdampak signifikan terhadap kepentingan masyarakat, Kami juga akan menyampaikan pemberitahuan kepada publik melalui media elektronik sebagaimana diwajibkan oleh Pasal 46 UU PDP.

PASAL 16 — PENGGUNAAN DATA UNTUK KEPERLUAN INTERNAL DAN PEMASARAN

PASAL 17 — PERUBAHAN KEBIJAKAN PRIVASI

Kami berhak mengubah Kebijakan ini sewaktu-waktu sesuai dengan perkembangan peraturan perundang-undangan, kebijakan internal, dan kebutuhan operasional Platform. Perubahan material akan diberitahukan kepada Anda melalui email dan/atau notifikasi pada Platform paling lambat 7 (tujuh) hari kalender sebelum perubahan berlaku efektif.

Tanggal “terakhir diperbarui” pada bagian atas Kebijakan ini akan diperbarui setiap kali terjadi perubahan. Penggunaan Platform yang berkelanjutan setelah tanggal efektif perubahan dianggap sebagai penerimaan Anda atas Kebijakan yang telah diubah. Kami menyarankan Anda untuk meninjau Kebijakan ini secara berkala.

PASAL 18 — HUKUM YANG BERLAKU

Kebijakan ini dibuat, ditafsirkan, dan dilaksanakan berdasarkan hukum Negara Republik Indonesia. Setiap sengketa yang timbul terkait Kebijakan ini tunduk pada mekanisme penyelesaian sengketa sebagaimana diatur dalam Syarat dan Ketentuan Platform.

PASAL 19 — HUBUNGI KAMI

Apabila Anda memiliki pertanyaan, permintaan, keluhan, atau ingin melaksanakan hak-hak Anda sebagai Subjek Data Pribadi sehubungan dengan Kebijakan ini, silakan hubungi Kami melalui:

Kami akan berupaya merespons setiap permintaan atau pertanyaan Anda dalam waktu paling lambat 3x24 jam (tiga kali dua puluh empat jam) sejak permintaan diterima secara lengkap, sesuai dengan ketentuan Pasal 32 UU PDP.

---

--- AKHIR DOKUMEN KEBIJAKAN PRIVASI ---

Dengan menggunakan Platform Tukuya.com, Anda menyatakan bahwa Anda telah membaca, memahami, dan menyetujui seluruh ketentuan dalam Kebijakan Privasi ini.

© 2026 PT. Karya Anak Yang Adidaya. Seluruh hak dilindungi undang-undang.