Kebijakan Privasi Aplikasi Alif’s Bakery

1. Siapa kami

Aplikasi Alif’s Bakery dikelola oleh PT Fathan Berkah Abadi, beralamat di Jl. Rajawali No. 99, RT 13, Padukuhan Pringgolayan, Kalurahan Banguntapan, Kapanewon Banguntapan, Kabupaten Bantul, Daerah Istimewa Yogyakarta (“kami”). Kami bertindak sebagai Pengendali Data Pribadi menurut Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”).

Kebijakan ini berlaku untuk aplikasi Alif’s Bakery di Android dan iOS beserta layanan yang terhubung dengannya. Dengan membuat akun dan memakai aplikasi, kamu menyatakan telah membaca dan memahami kebijakan ini.

2. Ringkasan singkat

Kami tidak menjual data pribadimu dan tidak menayangkan iklan di aplikasi ini. Kami memakai layanan pengukuran Google (Firebase Analytics dan Crashlytics) untuk memahami pemakaian aplikasi dan memperbaiki kerusakan — rinciannya di bagian 3h, 3i, dan 4.

3. Data pribadi yang kami kumpulkan

a. Data akun

Nama dan nomor telepon. Pendaftaran memakai nomor telepon: kami mengirim kode sekali pakai (OTP) lewat WhatsApp, dan kode itu hangus dalam 5 menit. Kami tidak meminta kata sandi.

b. Data profil (opsional)

Alamat email, tanggal lahir, foto profil, serta alamat domisili berupa provinsi, kota/kabupaten, kecamatan, kelurahan/desa, detail alamat, dan kode pos. Kamu bisa memakai aplikasi tanpa mengisi bagian ini, kecuali untuk fitur yang memang membutuhkannya.

c. Alamat pengiriman

Label alamat, nama penerima, nomor telepon penerima, alamat lengkap, titik koordinat (lintang dan bujur), serta catatan untuk kurir. Data ini hanya dipakai untuk mengantar pesananmu.

d. Lokasi perangkat

Jika kamu mengizinkan, aplikasi membaca lokasi perangkat hanya pada saat kamu menekan tombol isi otomatis ketika menulis alamat, untuk menebak provinsi dan kota. Kami tidak melacak lokasimu di latar belakang dan tidak menyimpan jejak perjalananmu. Izin ini boleh ditolak — alamat tetap bisa diisi manual.

e. Data pesanan

Produk dan varian yang dipesan, jumlah, harga, outlet yang dipilih, cara pengambilan (ambil sendiri atau diantar), metode pembayaran yang kamu pilih, voucher yang dipakai, status dan waktu pesanan, serta alasan pembatalan bila ada.

f. Poin loyalitas

Saldo poin dan riwayat penambahan atau pengurangannya, termasuk pesanan yang menjadi sumber poin tersebut.

g. Data notifikasi

Token perangkat dari layanan notifikasi (Firebase Cloud Messaging), jenis platform (Android atau iOS), dan waktu perangkat terakhir aktif. Token ini dipakai semata-mata untuk mengirim notifikasi ke perangkatmu.

h. Data penggunaan aplikasi (analitik)

Aplikasi memakai Google Analytics for Firebase untuk mengukur bagaimana aplikasi dipakai. Peristiwa yang kami catat: halaman yang dibuka, masuk dan pendaftaran akun, produk yang dilihat, produk yang dimasukkan ke keranjang, checkout yang dimulai, pesanan yang selesai (nomor pesanan, nilai total, biaya antar, kode voucher, daftar produk), serta pertanyaan Bantuan yang dibuka.

Peristiwa ini ditautkan ke nomor akunmu sebagai pengenal, bukan ke namamu atau nomor teleponmu. Bersama peristiwa tersebut, Google secara otomatis mengumpulkan pengenal instalasi aplikasi, model perangkat, versi sistem operasi, versi aplikasi, perkiraan lokasi tingkat negara atau kota yang diturunkan dari alamat IP, dan — khusus di Android — pengenal iklan perangkat (Advertising ID). Kami tidak memakai data ini untuk menayangkan iklan.

i. Laporan kerusakan aplikasi

Aplikasi memakai Firebase Crashlytics untuk melaporkan kerusakan dan galat. Laporan memuat jenis galat beserta jejak kode (stack trace), model perangkat, versi sistem operasi, versi aplikasi, dan waktu kejadian. Untuk kegagalan yang berasal dari server kami, laporan juga memuat metode HTTP, nama rute yang gagal, dan kode statusnya.

Laporan kerusakan tidak ditautkan ke identitas akunmu, dan kami sengaja mengirim nama rute saja — bukan alamat lengkap beserta nomor pesanan atau parameter pencarian — supaya data pelanggan tidak ikut masuk ke dalamnya.

Analitik dan laporan kerusakan hanya aktif pada aplikasi yang kamu unduh dari toko aplikasi; pada build pengembangan, keduanya dimatikan.

j. Data teknis

Alamat IP, jenis perangkat, versi aplikasi, waktu akses, dan catatan galat (log) di server kami. Data ini muncul secara otomatis saat aplikasi menghubungi server dan dipakai untuk keamanan serta perbaikan kesalahan.

4. Yang tidak kami kumpulkan

• Data pembayaran. Pembayaran diselesaikan langsung di outlet atau kepada pengantar saat pesanan diterima. Aplikasi tidak memproses kartu kredit, kartu debit, maupun nomor rekening, dan tidak menyimpan data finansial apa pun.
• Isi perangkatmu. Aplikasi tidak mengakses daftar kontak, galeri foto, kamera, mikrofon, SMS, maupun daftar aplikasi terpasang.
• Iklan dan pelacakan lintas aplikasi. Aplikasi tidak menayangkan iklan, tidak memuat SDK periklanan, dan tidak menggabungkan datamu dengan data dari aplikasi atau situs lain untuk membuat profil iklan. Kami juga tidak meminta izin pelacakan (App Tracking Transparency) di iOS karena tidak melacak kamu antar aplikasi. Yang kami pakai adalah pengukuran produk: Firebase Analytics dan Crashlytics, seperti dijelaskan di bagian 3h dan 3i. Di Android, SDK analitik itu membaca pengenal iklan perangkat — kamu dapat mengaturnya ulang atau menonaktifkannya lewat Setelan → Google → Iklan di perangkatmu.
• Data pribadi yang bersifat spesifik menurut UU PDP (data kesehatan, biometrik, genetika, catatan kejahatan, pandangan politik) — kami tidak meminta maupun menyimpannya.

5. Tujuan dan dasar pemrosesan

Sesuai Pasal 20 UU PDP, setiap pemrosesan data punya dasar hukumnya sendiri:

Bila kami hendak memakai datamu untuk tujuan baru di luar daftar ini, kami akan meminta persetujuanmu lebih dahulu.

6. Kepada siapa data dibagikan

Kami tidak menjual, menyewakan, atau menukar data pribadimu. Data hanya dibagikan kepada pihak berikut, sebatas yang diperlukan:

• Karyawan dan outlet Alif’s Bakery — nama, nomor telepon, alamat, dan rincian pesanan, agar pesanan dapat disiapkan dan diantar. Akses dibatasi sesuai peran masing-masing.
• Google LLC — melalui tiga layanan Firebase: Cloud Messaging menerima token perangkat untuk mengirim notifikasi; Analytics menerima data penggunaan beserta pengenal akun dan perangkat (bagian 3h); Crashlytics menerima laporan kerusakan (bagian 3i).
• Penyedia pengiriman pesan WhatsApp Qontak — nomor teleponmu, untuk mengirim kode OTP.
• Penyedia peta — saat peta ditampilkan di aplikasi, alamat IP perangkatmu terbaca oleh penyedia ubin peta.
• Aparat penegak hukum atau instansi berwenang — hanya bila diwajibkan oleh peraturan perundang-undangan atau perintah pengadilan yang sah.
• Pihak pengalih usaha — bila usaha kami dijual, digabung, atau direstrukturisasi, dengan perlindungan yang setara dan pemberitahuan kepadamu.

Sebagian penyedia di atas memproses data di luar wilayah Indonesia. Sesuai Pasal 56 UU PDP, kami hanya memakai penyedia yang menerapkan tingkat pelindungan data pribadi setara dengan yang diwajibkan di Indonesia dan terikat perjanjian pemrosesan data.

7. Berapa lama data disimpan

Penghapusan akun berlaku seketika — rinciannya di bagian 10. Catatan transaksi yang wajib disimpan untuk pembukuan dipertahankan tanpa identitasmu. Peristiwa analitik yang sudah terkirim sebelum akun dihapus akan hangus sendiri sesuai masa penyimpanan data di Google Analytics, dan sejak akun dihapus tidak ada lagi peristiwa baru yang ditautkan ke akun tersebut.

8. Keamanan data

• Seluruh komunikasi antara aplikasi dan server kami memakai enkripsi HTTPS/TLS.
• Token masuk disimpan di penyimpanan terenkripsi milik sistem operasi perangkatmu (Keychain di iOS, Keystore di Android).
• Token penyegar dan token perangkat disimpan di server dalam bentuk hash, bukan teks terbuka.
• Akses karyawan ke panel admin dibatasi berdasarkan peran dan dicatat.

Tidak ada sistem yang sepenuhnya kebal. Bila terjadi kegagalan pelindungan data pribadi, kami akan memberitahumu dan lembaga yang berwenang paling lambat 3×24 jam sejak diketahui, sebagaimana diatur Pasal 46 UU PDP.

9. Hak kamu atas data pribadimu

Berdasarkan Pasal 26 sampai 34 UU PDP, kamu berhak:

• Mengetahui data apa yang kami simpan dan untuk apa dipakai;
• Meminta salinan data pribadimu dalam format yang dapat dibaca;
• Memperbaiki data yang keliru atau tidak lengkap;
• Menghapus data pribadimu dan mengakhiri akun;
• Menarik persetujuan yang pernah kamu berikan, misalnya untuk notifikasi promo;
• Menolak atau membatasi pemrosesan tertentu;
• Mengajukan keberatan dan menuntut ganti rugi bila hakmu dilanggar.

Sebagian hak ini bisa kamu jalankan sendiri di aplikasi: ubah nama, email, tanggal lahir, dan alamat lewat menu Profil; matikan notifikasi lewat pengaturan notifikasi di perangkatmu. Untuk permintaan lain, hubungi kami di hc@alifs.id. Kami menjawab paling lambat 3×24 jam sejak permintaanmu diterima, sesuai Pasal 30 UU PDP.

10. Menghapus akun

Penghapusan akun kamu lakukan sendiri di aplikasi, lewat Profil → Edit Profil → Hapus Akun. Bila aplikasi sudah kamu copot dari perangkat, pasang kembali dan masuk dengan nomor teleponmu untuk membuka menu tersebut.

Penghapusan berlaku seketika dan tidak dapat dibatalkan. Saat itu juga:

• Nama, nomor telepon, email, tanggal lahir, foto profil, dan alamat domisili dihapus dari akunmu;
• Semua alamat pengiriman dan token notifikasi perangkat dihapus;
• Semua sesi masukmu dicabut, di perangkat ini maupun perangkat lain;
• Saldo poin yang belum dipakai hangus;
• Alamat pengiriman yang tercatat pada pesanan-pesanan lamamu dibersihkan.

Yang tetap kami simpan. Riwayat pesananmu dipertahankan tanpa identitasmu, karena pesanan itu adalah catatan penjualan toko dan dasar perhitungan kas yang sudah ditutup setiap hari. Kami juga menyimpan satu hash satu arah dari nomor teleponmu — bukan nomornya — semata-mata agar bonus pelanggan baru tidak dibayarkan dua kali bila nomor yang sama mendaftar lagi. Hash itu tidak dapat dikembalikan menjadi nomor telepon dan tidak dipakai untuk tujuan lain.

Satu syarat. Akun tidak dapat dihapus selama masih ada pesanan yang berjalan — rotinya mungkin sudah disiapkan dan kasir perlu bisa menghubungimu. Aplikasi akan memberi tahu nomor pesanan yang menahan penghapusan. Coba lagi setelah pesanan itu selesai atau dibatalkan.

Kalau kamu tidak bisa memakai aplikasi. Hak penghapusan pada bagian 9 tetap berlaku di luar aplikasi: hubungi kami lewat kontak di bagian 13, dan kami jalankan permintaanmu setelah memastikan nomor telepon itu memang milikmu.

11. Anak di bawah umur

Layanan ini ditujukan untuk pengguna berusia 18 tahun ke atas. Anak di bawah 18 tahun hanya boleh memakai aplikasi ini dengan persetujuan dan pengawasan orang tua atau wali, sebagaimana diatur Pasal 25 UU PDP. Kami tidak dengan sengaja mengumpulkan data anak. Bila kamu orang tua atau wali dan mengetahui anakmu memberi data kepada kami tanpa persetujuanmu, hubungi kami dan data tersebut akan kami hapus.

12. Perubahan kebijakan

Kebijakan ini dapat kami perbarui, misalnya ketika ada fitur baru atau perubahan peraturan. Versi terbaru selalu tersedia di https://alifs.id/kebijakan-privasi dengan tanggal berlaku yang diperbarui. Untuk perubahan yang berdampak besar pada hakmu, kami memberitahu lewat notifikasi aplikasi atau pesan di dalam aplikasi sebelum perubahan berlaku.

13. Menghubungi kami

Kamu juga bisa menghubungi kami lewat tombol WhatsApp di beranda aplikasi atau di halaman Bantuan. Bila kamu merasa keluhanmu tidak kami tangani dengan baik, kamu berhak mengadukannya kepada lembaga pelindungan data pribadi yang berwenang di Indonesia.

14. Riwayat versi