Kebijakan Privasi

1. Cakupan dan peran MyIzin

Kebijakan ini berlaku terhadap pemrosesan Data Pribadi melalui myizin.id, aplikasi izin.myizin.id, akun pengguna, formulir kontak, estimasi, pendaftaran mitra, pengajuan layanan, dokumen proyek, tender/vendor, kontrak, pembayaran, dukungan, notifikasi, alur kerja, serta kanal digital resmi MyIzin lainnya.

Untuk pemrosesan yang tujuan dan cara pemrosesannya ditentukan oleh PT Solusi Izin Indonesia, PT Solusi Izin Indonesia bertindak sebagai Pengendali Data Pribadi. Dalam hubungan tertentu, MyIzin dapat bertindak sebagai Prosesor Data Pribadi atau bekerja bersama pengendali lain apabila tujuan dan mekanisme pemrosesan ditentukan berdasarkan hubungan kontraktual, kewajiban hukum, atau integrasi layanan.

Kebijakan ini tidak mengubah status data yang secara hukum berada di bawah kewenangan instansi pemerintah, customer perusahaan, vendor, perusahaan asuransi, penyedia pembayaran, atau pihak ketiga lain. Peran masing-masing pihak mengikuti fakta pemrosesan, perjanjian, dan peraturan yang berlaku.

2. Dasar hukum dan kerangka regulasi

Pelindungan data pada MyIzin disusun dengan memperhatikan ketentuan hukum Indonesia yang relevan, termasuk:

• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi sebagai kerangka utama hak Subjek Data, prinsip pemrosesan, kewajiban Pengendali/Prosesor, transfer, keamanan, dan penanganan kegagalan pelindungan data.
• Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik mengenai penyelenggaraan sistem elektronik, tata kelola, keamanan, dan prinsip pemrosesan data dalam sistem elektronik.
• Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik beserta perubahannya, terakhir melalui Undang-Undang Nomor 1 Tahun 2024.
• Peraturan Menteri Komunikasi dan Informatika Nomor 20 Tahun 2016 mengenai pelindungan Data Pribadi dalam sistem elektronik, sepanjang masih berlaku dan tidak bertentangan dengan peraturan yang lebih tinggi atau lebih baru.
• Peraturan sektoral lain yang relevan terhadap arsip, perpajakan, transaksi, badan usaha, perizinan, pembayaran, ketenagakerjaan, profesi, asuransi, serta kewajiban hukum lain sesuai jenis layanan.

3. Definisi penting

• Data Pribadi adalah data mengenai orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasikan dengan informasi lain, baik secara langsung maupun tidak langsung melalui sistem elektronik atau nonelektronik.
• Subjek Data Pribadi adalah orang perseorangan yang padanya melekat Data Pribadi.
• Pemrosesan mencakup pemerolehan/pengumpulan, pengolahan/analisis, penyimpanan, perbaikan/pembaruan, penampilan/pengungkapan/transfer, serta penghapusan atau pemusnahan Data Pribadi.
• Pengendali Data Pribadi adalah pihak yang menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi.
• Prosesor Data Pribadi adalah pihak yang memproses Data Pribadi atas nama Pengendali berdasarkan instruksi dan tujuan yang telah ditentukan.

4. Jenis data yang dapat diproses MyIzin

Jenis data yang diproses bergantung pada peran pengguna, fitur, layanan, dan kebutuhan proyek. MyIzin dapat memproses kategori berikut:

Data Pribadi yang bersifat spesifik hanya diproses apabila memang diperlukan untuk layanan, diwajibkan oleh hukum, atau diberikan secara sah untuk tujuan tertentu. MyIzin tidak meminta pengguna mengirim data sensitif yang tidak relevan dengan kebutuhan layanan.

Dokumen perusahaan dapat memuat Data Pribadi individu seperti direktur, pemegang kuasa, pemilik, tenaga ahli, karyawan, atau pihak terkait. Pengguna yang mengunggah dokumen tersebut wajib memastikan memiliki dasar yang sah untuk menyerahkannya.

5. Sumber Data Pribadi

Data dapat diperoleh dari:

• Subjek Data secara langsung melalui registrasi, profil, formulir, pengajuan, upload dokumen, komunikasi, persetujuan, atau transaksi;
• perusahaan atau organisasi yang memberikan akses kepada pengguna sebagai perwakilan, karyawan, kuasa, customer, vendor, atau tenaga profesional;
• mitra/vendor yang terlibat dalam suatu proyek atau tender;
• instansi pemerintah, portal perizinan, atau sumber resmi yang digunakan dalam proses layanan sesuai kewenangan dan dasar yang sah;
• penyedia pembayaran, asuransi, tanda tangan, komunikasi, hosting, keamanan, atau penyedia pendukung lain sesuai integrasi yang digunakan;
• aktivitas teknis saat pengguna mengakses Platform, termasuk session, log, dan informasi keamanan yang dihasilkan sistem.

6. Tujuan pemrosesan Data Pribadi

MyIzin memproses data untuk tujuan yang relevan dan proporsional, termasuk:

1. membuat, memverifikasi, mengamankan, dan mengelola akun;
2. menyediakan informasi layanan dan menghitung estimasi awal;
3. menerima dan memproses permohonan/pengajuan layanan;
4. memeriksa kelengkapan, kebenaran, dan konsistensi dokumen;
5. mengelola alur kerja, persetujuan, target waktu layanan, eskalasi, tugas, dan status pekerjaan;
6. mengelola pendaftaran, kualifikasi, kapabilitas, evaluasi, dan keterlibatan vendor/mitra;
7. menyelenggarakan tender, penawaran, evaluasi, dokumentasi pemenang, dan proses lanjutan sesuai kewenangan;
8. menyiapkan kontrak, persetujuan, otorisasi, berita acara, serta dokumen transaksi;
9. menerbitkan invoice/kuitansi, memproses pembayaran, rekonsiliasi, refund/pengembalian jika berlaku, dan kewajiban keuangan;
10. mengelola perlindungan/asuransi proyek sesuai layanan yang berlaku;
11. menghubungi pengguna mengenai tindakan yang diperlukan, perubahan status, dukungan, dan informasi operasional;
12. menjaga keamanan Platform, mencegah penyalahgunaan, fraud, akses tanpa kewenangan, dan insiden;
13. mencatat audit trail dan bukti proses untuk akuntabilitas;
14. memenuhi kewajiban hukum, perpajakan, akuntansi, arsip, penegakan hukum, dan permintaan sah dari pihak berwenang;
15. mengembangkan kualitas layanan, performa sistem, pengalaman pengguna, dan statistik operasional yang sah;
16. menangani permintaan hak Subjek Data dan sengketa.

7. Dasar pemrosesan

MyIzin menentukan dasar pemrosesan sesuai konteks. Dasar yang dapat digunakan mencakup:

• Persetujuan yang sah secara eksplisit untuk satu atau beberapa tujuan tertentu, apabila persetujuan menjadi dasar yang sesuai.
• Pemenuhan kewajiban perjanjian atau tindakan yang diminta Subjek Data sebelum membuat perjanjian, misalnya pengajuan layanan, penawaran, kontrak, dan transaksi.
• Pemenuhan kewajiban hukum, termasuk kewajiban perpajakan, pembukuan, dokumentasi, atau permintaan sah pihak berwenang.
• Pelindungan kepentingan vital apabila relevan dan diperbolehkan hukum.
• Kepentingan umum/pelayanan publik atau pelaksanaan kewenangan hanya apabila dasar tersebut memang relevan terhadap pemrosesan tertentu.
• Kepentingan sah lainnya dengan memperhatikan tujuan, kebutuhan, dan keseimbangan antara kepentingan MyIzin dan hak Subjek Data, misalnya keamanan sistem, pencegahan fraud, audit, dan peningkatan layanan yang proporsional.

Jika pemrosesan bergantung pada persetujuan, MyIzin akan menggunakan mekanisme persetujuan tertulis atau terekam, elektronik atau nonelektronik, sesuai kebutuhan dan ketentuan yang berlaku.

8. Aktivitas pemrosesan

Pemrosesan dapat mencakup pengumpulan, validasi, verifikasi, pengelompokan, pencocokan, analisis, penyimpanan, penggunaan, pemberian akses, penampilan kepada pihak berwenang, transfer yang sah, pembaruan, koreksi, penghapusan, pemusnahan, serta pembuatan rekam jejak sesuai kebutuhan layanan.

MyIzin menerapkan prinsip pembatasan tujuan. Data yang diperoleh untuk satu tujuan tidak digunakan secara sewenang-wenang untuk tujuan lain yang tidak sesuai. Apabila terjadi perubahan tujuan yang material dan membutuhkan pemberitahuan atau persetujuan baru, MyIzin akan melakukan langkah yang diperlukan sesuai hukum.

Data dapat digunakan antarbagian sistem apabila diperlukan untuk menjalankan proses yang sama secara sah, misalnya menghubungkan pengajuan dengan alur kerja, kontrak, invoice, pembayaran, Vendor, dan catatan aktivitas.

9. Akses internal dan kewenangan

Akses internal terhadap data dibatasi berdasarkan peran, kewenangan, organisasi, fungsi kerja, dan kebutuhan proses. Tidak semua pengguna internal dapat melihat seluruh data.

MyIzin menggunakan autentikasi, pembatasan akses berdasarkan peran dan organisasi, persetujuan berjenjang, catatan aktivitas, serta pengamanan lain untuk mengurangi akses yang tidak sah.

Pengguna yang memperoleh akses karena fungsi kerja wajib menggunakan data hanya untuk tujuan yang sah dan sesuai kewenangan.

10. Penerima data dan pihak ketiga

MyIzin tidak menjual Data Pribadi. Data dapat diberikan atau diakses secara terbatas apabila diperlukan kepada:

• customer/perusahaan yang memiliki hubungan langsung dengan akun, proyek, atau pengguna;
• vendor, mitra, tenaga ahli, konsultan, auditor, atau pelaksana yang membutuhkan data untuk ruang lingkup pekerjaan yang sah;
• instansi pemerintah atau portal perizinan yang berwenang untuk pemrosesan permohonan, verifikasi, atau kewajiban regulasi;
• penyedia hosting/cloud, keamanan, email, komunikasi, penyimpanan, monitoring, pembayaran, tanda tangan, asuransi, atau teknologi pendukung lain sejauh dibutuhkan;
• penasihat profesional, auditor, akuntan, konsultan hukum, atau penyedia jasa yang terikat kewajiban kerahasiaan;
• bank, penyedia pembayaran, atau lembaga keuangan apabila diperlukan untuk transaksi;
• aparat penegak hukum, pengadilan, regulator, atau pihak berwenang lain apabila diwajibkan atau diperbolehkan oleh hukum.

Pihak ketiga dapat bertindak sebagai Prosesor, Pengendali independen, atau pengendali bersama tergantung tujuan, kendali, kontrak, dan kewajiban masing-masing.

11. Transfer Data Pribadi lintas wilayah atau negara

Dalam penggunaan infrastruktur, penyedia teknologi, komunikasi, cloud, keamanan, atau layanan lain, pemrosesan atau penyimpanan tertentu dapat melibatkan lokasi di luar wilayah Indonesia apabila memang digunakan oleh layanan terkait.

Apabila terjadi transfer Data Pribadi ke luar wilayah hukum Indonesia, MyIzin akan menerapkan persyaratan dan mekanisme pelindungan yang diwajibkan oleh UU Pelindungan Data Pribadi dan peraturan pelaksana yang berlaku, termasuk penilaian tingkat pelindungan, pelindungan yang memadai dan mengikat, persetujuan apabila diperlukan, atau mekanisme lain yang sah.

Pernyataan ini tidak berarti seluruh data MyIzin selalu dipindahkan ke luar Indonesia; transfer bergantung pada arsitektur dan penyedia yang benar-benar digunakan untuk fungsi tertentu.

12. Cookie, session, log teknis, dan statistik pengunjung

MyIzin menggunakan mekanisme session dan teknologi terkait yang diperlukan untuk login, keamanan, menjaga state aplikasi, CSRF protection, preferensi teknis, dan fungsi layanan. Browser dapat menyimpan cookie session atau cookie teknis lain yang dibutuhkan agar Platform bekerja dengan benar.

Log teknis dapat memuat informasi seperti alamat IP, user-agent/perangkat, waktu akses, endpoint, autentikasi, error, dan aktivitas keamanan yang relevan. Informasi tersebut digunakan untuk keamanan, troubleshooting, pencegahan fraud, monitoring, dan akuntabilitas.

Pengaturan browser dapat digunakan untuk mengelola cookie. Menonaktifkan cookie yang diperlukan untuk autentikasi atau keamanan dapat menyebabkan sebagian fitur tidak dapat digunakan.

13. Otomasi, analitik, dan fitur AI

MyIzin menggunakan alur kerja, aturan, validasi, perhitungan, dan otomasi untuk membantu pengelolaan proses. Dalam konteks tertentu, fitur berbasis AI dapat digunakan untuk membantu analisis, klasifikasi, peringkasan, atau dukungan kerja apabila fitur tersebut tersedia dan diaktifkan.

Pengguna sebaiknya tidak memasukkan Data Pribadi atau dokumen yang tidak diperlukan ke fitur AI. Apabila fitur AI memerlukan pemrosesan melalui penyedia teknologi eksternal, data yang dikirim harus dibatasi sesuai tujuan, konfigurasi, kewenangan, dan perjanjian yang berlaku.

Apabila suatu pengambilan keputusan otomatis menimbulkan akibat hukum atau dampak signifikan terhadap Subjek Data, hak untuk mengajukan keberatan dan ketentuan lain dalam UU Pelindungan Data Pribadi tetap berlaku sesuai konteks dan peraturan yang berlaku.

Kebijakan ini tidak menjadikan output AI sebagai pengganti keputusan instansi pemerintah, profesional berwenang, atau persetujuan manusia yang memang diwajibkan oleh proses.

14. Retensi, penghapusan, pemusnahan, dan arsip

MyIzin menyimpan data selama masih diperlukan untuk tujuan pemrosesan, hubungan kontraktual, pelaksanaan proyek, kewajiban hukum, audit, pembuktian transaksi, penyelesaian sengketa, keamanan, pencegahan fraud, atau kebutuhan sah lainnya.

Jangka retensi berbeda menurut jenis data. Contohnya, catatan akun aktif dapat dipertahankan selama akun diperlukan; kontrak, invoice, kuitansi, pembayaran, dan bukti transaksi dapat dipertahankan sesuai kewajiban akuntansi/perpajakan atau pembuktian; log keamanan dapat memiliki retensi operasional yang berbeda; dokumen proyek mengikuti kebutuhan layanan, kontrak, arsip, dan hukum.

MyIzin tidak menetapkan satu jangka waktu yang sama untuk seluruh kategori data. Jadwal retensi ditentukan menurut tujuan, risiko, kategori informasi, hubungan kontraktual, serta kewajiban regulasi yang relevan.

Data akan dihapus, dimusnahkan, dianonimkan, atau dihentikan pemrosesannya apabila tujuan telah tercapai, masa retensi berakhir, terdapat permintaan yang sah, atau hukum mengharuskannya, kecuali terdapat dasar yang sah untuk mempertahankan data tersebut.

15. Keamanan Data Pribadi

MyIzin menerapkan langkah teknis dan organisasional yang disesuaikan dengan risiko untuk menjaga kerahasiaan, integritas, ketersediaan, dan akuntabilitas data. Pengamanan dapat mencakup:

• autentikasi dan pengelolaan session;
• pembatasan akses berdasarkan peran dan kewenangan;
• pembatasan data antarorganisasi dan pembatasan ruang lingkup data;
• persetujuan berjenjang dan pemisahan kewenangan;
• audit trail dan pencatatan aktivitas penting;
• HTTPS/TLS untuk komunikasi web;
• validasi input, proteksi aplikasi, monitoring, backup, dan prosedur operasional yang relevan;
• pembatasan akses pihak ketiga sesuai kebutuhan dan kontrak;
• pemeriksaan keamanan, pengelolaan perubahan, dan penanganan insiden sesuai tingkat risiko.

Tidak ada sistem elektronik yang dapat menjamin risiko nol. Pengguna juga bertanggung jawab menjaga password, perangkat, email, OTP, dan kredensial lain serta segera melaporkan dugaan kompromi.

16. Hak Subjek Data Pribadi

Sesuai UU Pelindungan Data Pribadi dan ketentuan yang berlaku, Subjek Data dapat memiliki hak untuk:

1. memperoleh informasi mengenai identitas, dasar kepentingan hukum, tujuan permintaan/penggunaan data, dan akuntabilitas pihak yang meminta data;
2. melengkapi, memperbarui, dan/atau memperbaiki data yang salah atau tidak akurat;
3. mendapatkan akses dan memperoleh salinan Data Pribadi tentang dirinya;
4. mengakhiri pemrosesan, meminta penghapusan, dan/atau pemusnahan dalam kondisi yang memenuhi ketentuan hukum;
5. menarik kembali persetujuan apabila pemrosesan didasarkan pada persetujuan;
6. mengajukan keberatan terhadap keputusan yang hanya didasarkan pada pemrosesan otomatis, termasuk profiling, apabila menimbulkan akibat hukum atau dampak signifikan;
7. menunda atau membatasi pemrosesan secara proporsional sesuai ketentuan yang berlaku;
8. menggugat dan menerima ganti rugi atas pelanggaran pemrosesan sesuai peraturan perundang-undangan;
9. mendapatkan dan/atau menggunakan data dalam format yang lazim atau dapat dibaca sistem, serta mengirimkannya ke pengendali lain apabila persyaratan portabilitas terpenuhi.

Permintaan hak harus disampaikan secara tercatat dan dapat memerlukan verifikasi identitas/kewenangan untuk melindungi data dari akses tidak sah. MyIzin dapat menolak atau membatasi permintaan jika diwajibkan atau diperbolehkan oleh hukum, misalnya untuk melindungi data pihak lain, kepentingan penegakan hukum, kewajiban arsip/transaksi, atau pengecualian lain yang berlaku.

17. Data anak dan penyandang disabilitas

Layanan utama MyIzin ditujukan untuk kebutuhan usaha, profesional, pemilik proyek, customer, dan mitra. Apabila suatu proses membutuhkan Data Pribadi anak, pemrosesan dilakukan secara khusus dan persetujuan orang tua/wali harus diperoleh sesuai ketentuan hukum.

Pemrosesan Data Pribadi penyandang disabilitas dilakukan dengan memperhatikan kebutuhan komunikasi dan aksesibilitas yang sesuai. Apabila hukum mensyaratkan persetujuan dari Subjek Data dan/atau wali, mekanisme tersebut harus dipenuhi.

Apabila Anda mengetahui Data Pribadi anak telah disampaikan ke MyIzin tanpa dasar yang tepat, hubungi MyIzin melalui kanal privasi agar dapat dilakukan verifikasi dan tindakan yang diperlukan.

18. Kegagalan Pelindungan Data Pribadi dan insiden

Jika terjadi kegagalan Pelindungan Data Pribadi, MyIzin akan melakukan identifikasi, pembatasan dampak, investigasi, pemulihan, dokumentasi, dan langkah korektif sesuai tingkat risiko serta kewajiban hukum.

Apabila kondisi memenuhi kewajiban pemberitahuan berdasarkan UU PDP, pemberitahuan tertulis dilakukan paling lambat 3 x 24 jam kepada Subjek Data Pribadi dan lembaga yang berwenang, dengan informasi minimum mengenai data yang terungkap, waktu/cara terjadinya insiden, serta upaya penanganan dan pemulihan. Dalam kondisi tertentu, pemberitahuan kepada masyarakat dapat diwajibkan.

Untuk melaporkan dugaan kebocoran, phishing, pengambilalihan akun, atau insiden keamanan, gunakan kanal resmi MyIzin agar laporan dapat diverifikasi dan ditindaklanjuti.

19. Perubahan Kebijakan Privasi

Kebijakan ini dapat diperbarui apabila terdapat perubahan hukum, regulasi, fitur, arsitektur, kategori data, tujuan pemrosesan, integrasi, atau tata kelola MyIzin.

Jika perubahan bersifat material dan memerlukan pemberitahuan atau persetujuan baru, MyIzin akan melakukan langkah yang diperlukan melalui halaman ini, akun MyIzin, email, atau kanal lain yang sesuai.

Tanggal berlaku pada bagian atas halaman menunjukkan versi kebijakan yang sedang digunakan.

20. Kontak privasi, permintaan data, dan verifikasi

Untuk pertanyaan mengenai privasi, permintaan hak, koreksi data, penarikan persetujuan, permintaan akses/salinan, penghapusan, pembatasan, keberatan atas pemrosesan otomatis, atau laporan insiden, hubungi:

Untuk keamanan, MyIzin dapat meminta verifikasi identitas, akun, perusahaan, kewenangan, atau informasi lain yang wajar sebelum memenuhi permintaan. Jangan mengirim password, OTP, private key, atau kredensial rahasia melalui formulir kontak.