Kebijakan Privasi (Privacy Policy)

#CTARTech ("NusaGRC", "Kami") berkomitmen tinggi untuk melindungi privasi, data pribadi, dan keamanan informasi milik Pengguna, Pelanggan Tenant, dan Pengunjung Platform kami ("Anda"). Kebijakan Privasi ini menjelaskan bagaimana kami mengumpulkan, menggunakan, menyimpan, memproses, dan melindungi data pribadi Anda sesuai dengan Undang-Undang Republik Indonesia No. 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP) dan standar internasional ISO/IEC 27001:2022.

1. Data Pribadi Yang Kami Kumpulkan

Kami mengumpulkan data pribadi yang Anda berikan secara langsung saat mendaftar atau menggunakan layanan NusaGRC:

• Data Identitas & Kontak: Nama lengkap, alamat email bisnis, nomor telepon, nama perusahaan/tenant, dan jabatan.
• Data Kredensial Akun: Alamat email login dan kata sandi terenkripsi (Hash bcrypt).
• Data Teknis & Akses: Alamat IP (*IP Address*), tipe peramban (*User Agent*), log aktivitas audit (*Audit Trail*), dan tanggal/waktu akses.
• Data Pemrosesan GRC Tenant: Data alur pemrosesan ROPA, tiket permohonan hak subjek data (DSAR), penilaian risiko (Risk Register), dan bukti audit cloud terintegrasi.

2. Dasar Hukum & Tujuan Pemrosesan Data

Sesuai Pasal 20 UU PDP, kami memproses data pribadi Anda berdasarkan persetujuan sah (*consent*), pemenuhan kewajiban kontrak layanan SaaS, dan kepatuhan terhadap hukum Republik Indonesia untuk tujuan berikut:

• Menyediakan, mengoperasikan, dan memelihara fitur platform NusaGRC Multi-Tenant.
• Mengotentikasi identitas pengguna dan menerapkan kontrol akses berbasis peran (*Role-Based Access Control - RBAC*).
• Mengirimkan pemberitahuan insiden keamanan, pengingat tenggat waktu DSAR (30-day countdown timer), dan pembaruan sistem.
• Menyediakan dokumen laporan bukti audit yang sah untuk audit internal maupun eksternal (Kominfo, BSSN, Auditor KAP).

3. Keamanan & Enkripsi Data Pribadi

Kami mengimplementasikan tindakan pengamanan teknis dan organisasional yang ketat untuk mencegah akses tidak sah, pengubahan, atau kebocoran data pribadi:

• Enkripsi In-Transit: Seluruh komunikasi data menggunakan protokol enkripsi TLS 1.3/HTTPS.
• Enkripsi At-Rest: Data sensitif dienkripsi di tingkat database menggunakan kunci enkripsi KMS (*Envelope Encryption*).
• Isolasi Multi-Tenant: Data antar perusahaan/tenant diskat secara ketat melalui arsitektur penguncian database *BelongsToTenant*.

4. Hak-Hak Subjek Data Pribadi (UU PDP Pasal 16 - 26)

Sebagai pemilik data pribadi, Anda memiliki hak penuh sesuai regulasi UU PDP:

• Hak Akses & Informasi: Meminta salinan dan rincian pemrosesan data pribadi Anda.
• Hak Perbaikan & Pembaruan: Mengubah nama, email, atau informasi profil akun Anda di menu `/profile`.
• Hak Penghapusan (Right to Erasure): Meminta penghapusan data pribadi Anda melalui Portal DSAR Mandiri kami.
• Hak Penarikan Persetujuan: Membatalkan persetujuan pemrosesan data pribadi kapan saja.

5. Hubungi Pejabat Pelindung Data Pribadi (DPO Contact)

Apabila Anda memiliki pertanyaan, keluhan, atau ingin melaksanakan Hak Subjek Data Pribadi Anda, silakan hubungi tim DPO resmi kami melalui: