Buat toko gratis

Kebijakan Privasi

Versi 0.3-draft · Diperbarui 26 Oktober 2026

Draf. Dokumen ini belum ditinjau ahli hukum dan belum berlaku.

Kebijakan Privasi ini menjelaskan pemrosesan data pribadi oleh CV OTO RITECH selaku pengendali data pribadi atas layanan Kiosly berdasarkan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Istilah yang ditulis dengan huruf awal kapital dalam Kebijakan Privasi ini memiliki arti sebagaimana dimaksud dalam Syarat dan Ketentuan Kiosly.

Pasal 1Data Pribadi yang Dikumpulkan

(1) Kiosly mengumpulkan data pribadi sebatas yang diperlukan untuk menyelenggarakan Platform.

(2) Data pribadi Pembeli yang dikumpulkan Kiosly meliputi:

  1. identitas dan kontak, yaitu nama, alamat surat elektronik, dan nomor telepon;
  2. data pengiriman, yaitu nama penerima, nomor telepon penerima, alamat lengkap, kota, dan kode pos;
  3. riwayat Pesanan, yaitu Produk yang dibeli, jumlah, harga, metode pembayaran yang dipilih, status Pesanan, dan nomor resi;
  4. data Komplain, yaitu alasan Komplain, keterangan yang ditulis Pembeli, dan foto yang dilampirkan;
  5. data rekening bank, yaitu nama pemilik rekening, nama bank, dan nomor rekening tujuan pengembalian dana, yang dikumpulkan hanya dalam hal Pembeli mengajukan pengembalian dana; dan
  6. data teknis, yaitu alamat protokol internet, jenis perangkat dan peramban, serta catatan aktivitas untuk keamanan dan pencegahan penyalahgunaan.

(3) Data pribadi Penjual yang dikumpulkan Kiosly meliputi:

  1. identitas dan kontak, yaitu nama, alamat surat elektronik, dan nomor telepon;
  2. data Toko, yaitu nama Toko, alamat, dan informasi usaha yang diisikan Penjual;
  3. data rekening bank, yaitu nama pemilik rekening, nama bank, dan nomor rekening untuk Pencairan;
  4. nomor induk kependudukan pada Kartu Tanda Penduduk, yang dikumpulkan hanya dalam hal Penjual mengklaim nama domain .my.id karena dipersyaratkan oleh pengelola nama domain; dan
  5. data Transaksi dan penggunaan, yaitu riwayat Pesanan di Toko, Saldo, Pencairan, dan catatan aktivitas.

(4) Kiosly tidak meminta data Kartu Tanda Penduduk untuk keperluan selain sebagaimana dimaksud pada ayat (3) huruf d.

(5) Kiosly tidak mengumpulkan dan tidak menyimpan data instrumen pembayaran, meliputi nomor kartu, nomor identifikasi pribadi, kode verifikasi kartu, dan kredensial dompet elektronik.

(6) Data instrumen pembayaran sebagaimana dimaksud pada ayat (5) diproses langsung oleh Penyedia Jasa Pembayaran.

(7) Kiosly tidak menyimpan kata sandi Pengguna dalam bentuk yang dapat dibaca dan hanya menyimpan sidik acak satu arah (hash) yang tidak dapat dikembalikan menjadi kata sandi asli.

Pasal 2Dasar dan Tujuan Pemrosesan

(1) Kiosly memproses data pribadi berdasarkan dasar pemrosesan sebagaimana dimaksud dalam Pasal 20 ayat (2) Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi dengan rincian sebagai berikut:

  1. pemenuhan kewajiban perjanjian, untuk:
    1. pembuatan dan pengelolaan Akun;
    2. pemrosesan Pesanan, pembayaran, dan pengiriman;
    3. penanganan Komplain, mediasi, dan pengembalian dana;
    4. Pencairan Saldo ke rekening bank Penjual; dan
    5. pengiriman pemberitahuan transaksional, meliputi verifikasi alamat surat elektronik, status Pesanan, dan tagihan;
  2. pemenuhan kewajiban hukum, untuk:
    1. penyimpanan dokumen keuangan dan catatan Transaksi; dan
    2. penanggapan permintaan instansi yang berwenang;
  3. pemenuhan kepentingan yang sah, untuk:
    1. pencegahan penipuan, Transaksi fiktif, dan penyalahgunaan Platform; dan
    2. peningkatan keandalan dan keamanan layanan; dan
  4. persetujuan Pengguna yang dapat ditarik kembali setiap saat, untuk pengiriman informasi pemasaran dan penawaran.

(2) Kiosly tidak memproses data pribadi untuk tujuan di luar tujuan sebagaimana dimaksud pada ayat (1).

(3) Kiosly wajib memberitahukan tujuan pemrosesan yang baru kepada Pengguna sebelum pemrosesan untuk tujuan tersebut dilakukan.

Pasal 3Pihak Ketiga Penerima Data Pribadi

(1) Kiosly hanya membagikan data pribadi kepada pihak yang diperlukan untuk menyelenggarakan layanan dan sebatas data yang diperlukan oleh pihak tersebut.

(2) Pihak penerima data pribadi meliputi:

  1. [LENGKAPI: nama badan hukum penyedia gerbang pembayaran], berkedudukan di [LENGKAPI: negara], yang memproses pembayaran dari Pembeli dan menerima nomor Pesanan, nilai Transaksi, alamat surat elektronik, dan data yang diperlukan metode pembayaran;
  2. PT Bank Rakyat Indonesia (Persero) Tbk, berkedudukan di Indonesia, yang menerbitkan nomor rekening virtual dan mengirim Pencairan serta menerima nomor Pesanan, nilai Transaksi, serta nama dan nomor rekening penerima;
  3. [LENGKAPI: nama badan hukum KiriminAja], berkedudukan di Indonesia, yang memesan dan melacak pengiriman serta menerima nama penerima, nomor telepon, alamat lengkap, kode pos, serta berat dan isi paket;
  4. [LENGKAPI: nama badan hukum dnama.id], berkedudukan di Indonesia, yang mendaftarkan nama domain Toko serta menerima nama Toko, nama pemilik, dan nomor induk kependudukan untuk nama domain .my.id;
  5. Cloudflare, Inc., berkedudukan di Amerika Serikat, yang menyimpan berkas media yang diunggah, meliputi foto Produk dan foto bukti Komplain, serta menerima berkas tersebut beserta metadatanya;
  6. [LENGKAPI: nama penyedia server], berkedudukan di [LENGKAPI: negara], yang menjalankan basis data dan aplikasi serta menerima seluruh data yang tersimpan di Platform;
  7. Penjual pemilik Toko tempat Pembeli berbelanja, yang memenuhi Pesanan serta menerima nama penerima, nomor telepon, alamat pengiriman, dan rincian Pesanan; dan
  8. instansi yang berwenang, yang menerima data pribadi untuk memenuhi kewajiban hukum sebatas yang diminta secara sah.

(3) Dalam hal data pribadi ditransfer kepada pihak yang berkedudukan di luar wilayah hukum Negara Republik Indonesia, Kiosly wajib memastikan tersedianya pelindungan data pribadi yang memadai dan bersifat mengikat sesuai dengan Pasal 56 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

(4) Kiosly tidak menjual data pribadi dan tidak membagikan data pribadi kepada pengiklan.

Pasal 4Masa Retensi

(1) Kiosly menyimpan data pribadi selama diperlukan untuk mencapai tujuan pemrosesan atau selama diwajibkan oleh peraturan perundang-undangan.

(2) Masa retensi data pribadi ditetapkan sebagai berikut:

  1. data Akun yang aktif disimpan selama Akun aktif;
  2. data Akun yang dimintakan penghapusan dianonimkan pada saat permintaan penghapusan diproses;
  3. dokumen dan catatan keuangan, meliputi Pesanan, pembayaran, Saldo, Pencairan, dan pengembalian dana, disimpan selama 10 (sepuluh) tahun sejak akhir tahun pajak yang bersangkutan;
  4. catatan Komplain dan mediasi disimpan selama 5 (lima) tahun sejak Komplain ditutup;
  5. catatan aktivitas dan log keamanan disimpan selama [LENGKAPI: jumlah] bulan; dan
  6. data pemasaran disimpan sampai dengan Pengguna menarik persetujuannya.

(3) Permintaan penghapusan data pribadi dilaksanakan dengan cara anonimisasi, yaitu penghapusan nama, alamat surat elektronik, nomor telepon, dan foto profil serta penggantiannya dengan penanda yang tidak mengarah kepada orang tertentu.

(4) Data Pesanan dan catatan keuangan tetap disimpan tanpa identitas Pengguna setelah anonimisasi karena dokumen yang menjadi dasar pembukuan wajib disimpan selama 10 (sepuluh) tahun sesuai dengan ketentuan peraturan perundang-undangan di bidang perpajakan.

Pasal 5Hak Subjek Data Pribadi

(1) Pengguna sebagai subjek data pribadi berhak:

  1. mendapatkan informasi tentang kejelasan identitas, dasar kepentingan hukum, tujuan permintaan dan penggunaan data pribadi, serta akuntabilitas Kiosly;
  2. melengkapi, memperbarui, dan/atau memperbaiki kesalahan dan/atau ketidakakuratan data pribadi tentang dirinya;
  3. mendapatkan akses dan memperoleh salinan data pribadi tentang dirinya;
  4. mengakhiri pemrosesan, menghapus, dan/atau memusnahkan data pribadi tentang dirinya;
  5. menarik kembali persetujuan pemrosesan data pribadi yang telah diberikan;
  6. mengajukan keberatan atas pengambilan keputusan yang hanya didasarkan pada pemrosesan secara otomatis, termasuk pemrofilan, yang menimbulkan akibat hukum atau berdampak signifikan bagi dirinya;
  7. menunda atau membatasi pemrosesan data pribadi secara proporsional;
  8. mendapatkan dan/atau menggunakan data pribadi tentang dirinya dalam format yang lazim digunakan atau dapat dibaca oleh sistem elektronik serta mengirimkannya kepada pengendali data pribadi lain; dan
  9. menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data pribadi tentang dirinya.

(2) Pembeli dapat menggunakan hak sebagaimana dimaksud pada ayat (1) huruf b, huruf c, dan huruf d secara langsung melalui halaman Akun.

(3) Berkas yang diunduh melalui fitur akses sebagaimana dimaksud pada ayat (2) memuat profil, alamat, dan ringkasan riwayat Pesanan.

(4) Permintaan penghapusan melalui halaman Akun dilaksanakan dengan cara anonimisasi sebagaimana dimaksud dalam Pasal 4 ayat (3) dan mengakhiri seluruh sesi Akun.

(5) Hak Pembeli selain sebagaimana dimaksud pada ayat (2) dan seluruh hak Penjual sebagaimana dimaksud pada ayat (1) diajukan melalui permohonan tercatat ke alamat surat elektronik [LENGKAPI: alamat surat elektronik pelindungan data].

(6) Permohonan sebagaimana dimaksud pada ayat (5) harus memuat hak yang akan digunakan dan keterangan yang cukup untuk memastikan bahwa permohonan diajukan oleh Pengguna yang bersangkutan.

(7) Kiosly wajib menindaklanjuti permintaan pembaruan atau perbaikan data pribadi, pemberian akses, penghentian pemrosesan setelah penarikan persetujuan, dan penundaan atau pembatasan pemrosesan paling lambat 3 x 24 (tiga kali dua puluh empat) jam sejak permintaan diterima.

(8) Dalam hal hak Pengguna dikecualikan berdasarkan Pasal 15 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, Kiosly wajib memberitahukan pengecualian tersebut beserta alasannya kepada Pengguna.

Pasal 6Keamanan Data Pribadi

(1) Kiosly wajib melindungi keamanan data pribadi dengan langkah teknis dan organisasi yang sepadan dengan risikonya, meliputi:

  1. enkripsi lalu lintas data antara perangkat Pengguna dan Platform melalui koneksi HTTPS/TLS;
  2. penyimpanan kata sandi dalam bentuk sidik acak satu arah sebagaimana dimaksud dalam Pasal 1 ayat (7);
  3. pemrosesan data instrumen pembayaran secara langsung oleh Penyedia Jasa Pembayaran;
  4. pembatasan akses tim pada Toko berdasarkan peran Owner, Manager, atau Operator;
  5. pencatatan jejak audit atas tindakan sensitif, termasuk permintaan penghapusan data pribadi; dan
  6. pembatasan akses basis data dan layanan pendukung hanya dari dalam server Kiosly.

(2) Dalam hal terjadi kegagalan pelindungan data pribadi, Kiosly wajib menyampaikan pemberitahuan tertulis kepada Pengguna dan lembaga yang berwenang paling lambat 3 x 24 (tiga kali dua puluh empat) jam.

(3) Pemberitahuan sebagaimana dimaksud pada ayat (2) memuat:

  1. data pribadi yang terungkap;
  2. waktu dan cara data pribadi terungkap; dan
  3. upaya penanganan dan pemulihan yang dilakukan Kiosly.

(4) Pengguna yang menemukan celah keamanan atau menduga adanya penyalahgunaan data pribadi dapat melaporkannya ke alamat surat elektronik [LENGKAPI: alamat surat elektronik keamanan].

(5) Kiosly wajib menanggapi setiap laporan sebagaimana dimaksud pada ayat (4) dan tidak menempuh upaya hukum terhadap pelapor yang beriktikad baik.

Pasal 7Kontak Pengendali Data Pribadi

(1) Pengendali data pribadi atas layanan Kiosly adalah CV OTO RITECH, berkedudukan di [LENGKAPI: alamat lengkap], Probolinggo, Jawa Timur, Indonesia.

(2) Pertanyaan, permohonan pelaksanaan hak, atau keberatan terkait data pribadi disampaikan kepada:

  1. alamat surat elektronik [LENGKAPI: alamat surat elektronik pelindungan data]; dan
  2. petugas pelindungan data pribadi [LENGKAPI: nama atau jabatan].

(3) Kiosly wajib menanggapi permohonan sebagaimana dimaksud pada ayat (2) dalam jangka waktu sebagaimana dimaksud dalam Pasal 5 ayat (7).

(4) Pengguna yang menilai tanggapan Kiosly belum memadai berhak mengajukan pengaduan kepada lembaga yang berwenang di bidang pelindungan data pribadi.