Kebijakan Privasi

Informasi yang Kami Kumpulkan

1.1 Data Akun dan Identitas

• Informasi Pendaftaran: Username, email, nomor telepon, password (terenkripsi)
• Informasi Login Sosial: ID provider, nama, email, dan foto profil dari Facebook atau Google jika Anda memakai login sosial
• Informasi Passkey: Credential ID, public key, counter keamanan, nama passkey/perangkat, tanggal dibuat, dan waktu terakhir digunakan
• Data Verifikasi: Foto KTP, foto selfie dengan identitas (untuk akun terverifikasi)
• Profil Pengguna: Nama, tanggal lahir, alamat (opsional)

1.2 Data Transaksi

• Payment History: Invoice ID, nominal, metode pembayaran (QRIS, GoPay Merchant QRIS, OVO, BRI, dll), status, tanggal transaksi
• Withdraw History: Nama bank/e-wallet, nomor rekening, jumlah penarikan, status, referensi provider (untuk Instant Withdraw E-Wallet)
• Payment Links: Deskripsi, customer name, callback URL, redirect URL

1.3 Data Teknis

• Log Aktivitas: Alamat IP, user agent, browser, waktu akses
• API Usage: API key, endpoint yang diakses, response time
• Callback Logs: Webhook data, header HTTP, timestamp

1.4 Data Konten Digital

• Files: Nama file, ukuran, tipe, jumlah download
• Images: Foto produk, nama, ukuran, status aktif
• Hidden Content: Text/HTML/Code content, jumlah views

1.5 Data Telegram

• Telegram Chat ID dan username saat menghubungkan akun.
• Status koneksi dan preferensi notifikasi.
• Data ini digunakan untuk mengirim OTP, notifikasi, dan verifikasi 2 langkah.

1.6 Data Facebook Login

• Facebook ID, nama, email, dan foto profil saat login via Facebook.
• Kami tidak menyimpan password Facebook Anda.
• Data hanya digunakan untuk otentikasi dan pembuatan akun.

1.6A Data Google Login

• Google ID, nama, email, dan foto profil saat login via Google.
• Kami tidak menyimpan password Google Anda dan tidak mengakses data Google lain di luar izin OAuth yang Anda setujui.
• Data digunakan untuk otentikasi, pembuatan akun, penghubungan akun, dan proses profil awal.

1.6B Data Passkey / WebAuthn

• Kami menyimpan credential ID, public key, signature counter, nama passkey/perangkat, tanggal pembuatan, dan waktu terakhir digunakan.
• Private key passkey hanya tersimpan di perangkat/authenticator pengguna dan tidak pernah dikirim ke server BAYAR GG.
• Data biometrik seperti sidik jari, Face ID, PIN perangkat, atau pola kunci tidak dikirim ke BAYAR GG dan tidak kami simpan.
• Data passkey digunakan hanya untuk autentikasi akun, pencegahan replay attack, audit login, dan pengelolaan passkey di halaman Pengaturan Keamanan.

1.7 Data WhatsApp Store

• Data Koneksi WhatsApp: Nomor WhatsApp yang terhubung, nama akun WhatsApp, status koneksi (online/offline), dan informasi perangkat (battery level)
• Data Session: Kredensial session (terenkripsi) untuk mempertahankan koneksi WhatsApp tanpa perlu scan QR ulang
• Data Pesanan: Nomor order, produk yang dipesan, invoice, total harga, metode pembayaran, status pesanan, nama pelanggan, dan nomor telepon pelanggan
• Data Produk & Katalog: Nama produk, deskripsi, harga, stok, dan kategori yang Anda buat di WhatsApp Store
• Template Pesan: Konfigurasi template pesan bot, label tombol interaktif, QRIS dinamis, invoice, dan pengaturan alur order
• Data Pelanggan WhatsApp: Nama dan nomor telepon pelanggan yang berinteraksi dengan bot WhatsApp Store Anda

1.8 Data Kartu Virtual VISA & Mastercard

• Data Cardholder: Nama lengkap, tanggal lahir (DOB), nomor identitas (KTP/Passport), email, nomor telepon, dan alamat penagihan (billing address) yang wajib diisi pengguna saat Step 1 Data Identitas Cardholder. Data ini diperlukan oleh penyedia kartu untuk KYC dan compliance, serta digunakan saat Create kartu pertama maupun Create kartu tambahan.
• Data Kartu: Card ID internal, masked PAN (dengan masking), 6 digit awal bila tersedia, 4 digit terakhir, brand (VISA / Mastercard), tipe (PREPAID / DEBIT / CREDIT), status (active / frozen / terminated), saldo USD, tanggal expiry, dan timestamp aktivitas kartu. Pengguna dapat memiliki banyak kartu sekaligus per akun.
• Data Sensitif (PAN/CVV): Detail kartu lengkap (Primary Account Number dan CVV) tidak disimpan di database BAYAR GG. Data ini hanya diambil secara real-time dari penyedia kartu pada saat tombol "Reveal" ditekan, ditampilkan ke pengguna selama maksimal 60 detik, lalu otomatis disembunyikan untuk memenuhi standar PCI-DSS.
• Data KYC Verification: Status KYC (UNSUBMITTED / PENDING / ACCEPTED / REJECTED), session ID partner verifikasi, verification URL, timestamp resolved, alasan rejection (jika ada), dan flag pembayaran fee KYC. Capture ID dan selfie liveness diproses oleh partner verifikasi pihak ketiga, hasilnya dikirim balik ke BAYAR GG via webhook hanya berupa status (tanpa file biometrik).
• Data Transaksi Kartu: Riwayat transaksi yang diambil dari API penyedia (merchant, kategori, nominal, mata uang, status approve/decline, timestamp). Data ini tidak disimpan permanen — diambil per-request saat pengguna membuka halaman kartu atau download statement PDF.
• Data Pembayaran Kartu (Prefund): Invoice ID, nominal IDR, USD, fee Create / fee KYC, kurs konversi yang dipakai (default $1 = Rp 20.000), status pemrosesan (queued / processing / done / failed), timestamp pembayaran, dan metadata auto-refund / refund manual jika pembayaran sukses tetapi proses kartu gagal.
• Data Statement PDF: PDF statement kartu di-generate on-demand oleh BAYAR GG (white-label) berisi opening / closing balance, total debit / credit, dan tabel transaksi. PDF tidak disimpan permanen — di-generate ulang setiap kali request.

1.9 Data QRIS BAYAR GG

• Data Request Akses: Username, nama akun, status persetujuan admin, waktu grant/revoke, mID merchant, limit maksimal transaksi, dan konfigurasi profit/fee user.
• Data Merchant/Usaha: Nama QRIS yang diinginkan, foto produk yang dijual, foto usaha dengan nama QRIS, dan alamat website/sosial media. Data ini diminta saat user mengajukan aktivasi QRIS BAYAR GG production.
• Data Transaksi QRIS BAYAR GG: Invoice ID, qris_invoiceid provider, mID, nominal, status pembayaran, waktu request QRIS, waktu paid, paid reference number, nama pembayar bila tersedia dari provider, metode pembayaran sumber dana, dan webhook log.
• Webhook Log: Payload webhook InterActive QRIS, IP pengirim, response status, result status, dan error message bila ada. Log ini digunakan untuk audit, troubleshooting, dan mencegah double-paid.

1.10 Data Langganan (Subscription)

• Riwayat langganan: Tipe paket (trial, mingguan, bulanan), tanggal mulai dan berakhir, status, invoice pembayaran terkait.
• Status akun: Batas waktu langganan aktif, flag trial sudah dipakai (trial_used), untuk mengatur akses ke QRIS BAYAR GG, BRI Merchant QRIS, GoPay Merchant QRIS, OVO, WhatsApp Store, VISA Card Virtual, dan Mastercard Virtual.
• Data ini digunakan untuk menegakkan syarat langganan, mendeteksi penyalahgunaan trial, dan menjalankan mekanisme auto-freeze kartu saat Premium kedaluwarsa.

1.11 Data Feedback Rating (Ulasan Pelanggan)

• Rating dan komentar: Nilai bintang (1–5) dan teks ulasan yang diberikan customer pada halaman Pay setelah pembayaran berhasil.
• Identifikasi: Dapat dikaitkan dengan invoice ID dan ditampilkan (misalnya nama/inisial) di halaman Pay untuk keperluan reputasi merchant.
• Satu feedback per pembayaran. Data disimpan untuk menampilkan rata-rata rating dan daftar ulasan.

1.12 Log Konfirmasi Manual (Mark as Paid)

• Untuk transaksi yang ditandai manual sebagai Lunas (Mark as Paid) oleh merchant, kami mencatat bahwa tindakan tersebut dilakukan oleh akun merchant tersebut beserta waktu tindakan.
• Khusus QRIS BAYAR GG, Mark as Paid manual tidak tersedia di panel user dan hanya dapat dilakukan administrator. Jika tindakan admin dilakukan, kami mencatat payment ID, user terkait, waktu, dan referensi audit.
• Log ini digunakan untuk audit dan penyelesaian sengketa, serta untuk memastikan integritas data transaksi.

1.13 WhatsApp Cloud — Rekening & Verifikasi Pembayaran

• Perbarui Rekening Withdraw: Nomor WhatsApp pengguna, data bank/rekening yang diisi melalui Flow WhatsApp, dan waktu pembaruan
• Verifikasi Pembayaran: Invoice/nominal/tanggal transaksi yang dilaporkan pengguna, hasil pemeriksaan ke provider QRIS, dan status verifikasi
• Data ini diproses hanya untuk pengguna terdaftar yang terhubung dengan nomor WhatsApp yang sama
• Kami tidak membagikan data rekening withdraw kepada pihak ketiga selain untuk keperluan pemrosesan withdraw yang sah

1.14 Instant Withdraw E-Wallet

• Data Transaksi: Metode e-wallet, nomor tujuan, nominal, biaya admin, referensi provider (ref ID / trx ID), dan status provider
• Limit Harian: Agregat penarikan harian dihitung berdasarkan status verifikasi akun (terverifikasi hingga Rp 500.000/hari, belum terverifikasi hingga Rp 100.000/hari)
• Data dikirim ke provider e-wallet hanya untuk memproses top-up e-wallet sesuai permintaan withdraw Anda

1.15 Data SHOP BAYAR GG

• Data Order Produk Digital: Nomor order, produk, kategori, kode produk, harga, status pembayaran, status pemrosesan provider, waktu order, dan waktu update status.
• Data Tujuan Pengiriman: User ID game, Server ID, nomor HP, email pengiriman, ID pelanggan PLN, atau tujuan lain sesuai jenis produk yang dibeli.
• Data Pembayaran: Metode pembayaran (QRIS atau Saldo BAYAR GG), invoice, nominal, referensi/RRN, paid via, dan detail pembayar yang tersedia dari provider pembayaran.
• Data Saldo BAYAR GG: Jika menggunakan Saldo BAYAR GG, kami mencatat buyer user ID, username pembayar, referensi internal seperti BAYAR-GG-XXXXXX, nominal potongan saldo, dan metadata refund bila terjadi kegagalan pemrosesan.
• Data Produk Digital: SN/token/kode voucher, pesan provider, trx ID provider, dan status pengiriman email produk digital.
• Data Email Pengiriman: Email pelanggan dipakai untuk mengirim kode/SN, bukti transaksi, dan lampiran receipt PDF bila tersedia.

Bagaimana Kami Menggunakan Data

2.1 Penyediaan Layanan

• Memproses pembuatan payment link dan konfirmasi pembayaran
• Mengelola saldo dan proses withdraw ke rekening atau e-wallet Anda (Withdraw Manual dan Instant Withdraw E-Wallet)
• Memproses permintaan verifikasi pembayaran Pending/Expired via website dan WhatsApp Cloud
• Memperbarui detail rekening withdraw melalui WhatsApp Flow atau pengaturan akun di website
• Mengelola langganan layanan (subscription) dan akses ke QRIS BAYAR GG, BRI Merchant QRIS, GoPay Merchant QRIS, OVO, WhatsApp Store, VISA Card Virtual, dan Mastercard Virtual
• Menampilkan feedback rating dan ulasan pelanggan di halaman Pay untuk reputasi merchant
• Mencatat tindakan Mark as Paid oleh merchant atau administrator untuk audit dan integritas transaksi
• Memproses order SHOP BAYAR GG, validasi tujuan produk digital, pembayaran QRIS/Saldo BAYAR GG, pengiriman SN/kode voucher, receipt email, refund, dan status provider
• Menyediakan dashboard analytics dan statistik transaksi
• Mengirim notifikasi pembayaran via webhook callback
• Memproses pesanan WhatsApp Store, invoice, QRIS dinamis, dan pesan otomatis ke pelanggan melalui bot
• Memproses request akses QRIS BAYAR GG, validasi data merchant, pembuatan QRIS dinamis per mID user, webhook pembayaran, dan audit settlement
• Memproses payment link, Create / top-up kartu virtual, KYC verification, auto-freeze, dan auto-refund kartu jika pemrosesan gagal setelah pembayaran sukses
• Menyediakan autentikasi melalui Google OAuth dan Passkey/WebAuthn sesuai metode login yang Anda pilih
• Menyimpan session WhatsApp untuk menjaga koneksi bot tetap aktif

2.2 Keamanan dan Verifikasi

• Verifikasi identitas untuk fitur premium (QRIS BAYAR GG, BRI Merchant QRIS, GoPay Merchant QRIS via OTP, OVO Direct, WhatsApp Store, dan kartu virtual)
• Validasi login sosial dan Passkey untuk memastikan akses akun dilakukan oleh pemilik yang sah
• Deteksi dan pencegahan fraud atau aktivitas mencurigakan
• Monitoring sistem untuk menjaga keamanan platform
• Compliance dengan regulasi anti-money laundering

2.3 Komunikasi

• Mengirim notifikasi penting terkait akun dan transaksi Anda
• Memberikan customer support melalui Telegram/WhatsApp
• Informasi update fitur, maintenance, atau perubahan kebijakan

2.4 Peningkatan Layanan

• Analisis penggunaan untuk meningkatkan performa platform
• Penelitian dan development fitur baru
• Statistik agregat (tidak mengidentifikasi individual user)

Berbagi Data dengan Pihak Ketiga

3.1 Service Providers

3.2 Data yang TIDAK Kami Bagikan

• Kami tidak menjual atau menyewakan data pribadi Anda ke pihak lain
• Kami tidak berbagi data untuk tujuan marketing pihak ketiga
• Kami tidak memberikan data pengguna tanpa izin, kecuali diwajibkan hukum

3.3 Webhook & API Integration

Jika Anda menggunakan API dan webhook callback, kami akan mengirim data transaksi ke URL yang Anda konfigurasi. Anda bertanggung jawab untuk melindungi endpoint tersebut.

Keamanan Data

4.1 Langkah-langkah Keamanan

• Enkripsi: Semua data sensitif dienkripsi menggunakan standar industri
• Token/Kredensial: Token GoPay Merchant diperoleh melalui verifikasi OTP resmi dan disimpan secara aman. Token otomatis diperbarui oleh sistem tanpa menyimpan password Anda
• Password Hashing: Password di-hash dengan algoritma bcrypt yang aman
• Passkey/WebAuthn: Login passkey memakai public key cryptography; server hanya menyimpan public key dan credential metadata, bukan private key atau data biometrik
• HTTPS/SSL: Semua komunikasi dilindungi dengan SSL certificate
• CSRF Protection: Token keamanan untuk mencegah cross-site request forgery
• Rate Limiting: Pembatasan request untuk mencegah abuse
• Session Management: Session timeout otomatis untuk keamanan

4.2 Penyimpanan Data

• Data disimpan di server yang berlokasi di Indonesia
• Database dilindungi dengan access control dan firewall
• Backup rutin untuk disaster recovery
• Retention policy: Data transaksi disimpan selama diperlukan untuk layanan dan compliance

4.5 Keamanan Webhook

• Setiap user memiliki Webhook Secret Key unik untuk verifikasi callback.
• Signature menggunakan HMAC SHA256 untuk memastikan integritas data.
• Webhook Secret dapat di-regenerate untuk meningkatkan keamanan.

4.6 Verifikasi 2 Langkah

• OTP verifikasi login dikirim melalui Telegram Bot yang terenkripsi.
• Kode OTP bersifat satu kali pakai dan berlaku selama 5 menit.
• Maksimal 5 kali percobaan OTP sebelum sesi dikunci.
• Reset password juga menggunakan OTP via Telegram untuk keamanan tambahan.
• Passkey dapat dipakai sebagai metode login tambahan, tetapi tetap harus dikelola oleh pengguna dari perangkat yang aman.

Cookies dan Tracking

5.1 Penggunaan Cookies

Kami menggunakan cookies untuk:

• Session Management: Menjaga Anda tetap login selama menggunakan platform
• Preferences: Menyimpan pilihan bahasa dan pengaturan tampilan
• Security: CSRF token dan session validation
• Analytics: Memahami bagaimana pengguna menggunakan platform (anonymized)

5.2 Cookies Pihak Ketiga

• Bootstrap CDN: Loading CSS/JS dari CDN (tidak tracking)
• Font CDN: Google Fonts untuk typography (minimal data)
• No Advertising Cookies: Kami tidak menggunakan cookies untuk iklan

5.3 Kontrol Cookies

Anda dapat mengatur cookies melalui browser settings. Namun, menonaktifkan cookies esensial dapat mengganggu fungsi platform.

Hak Pengguna

Sesuai dengan regulasi perlindungan data, Anda memiliki hak untuk:

6.1 Akses Data

• Melihat data pribadi yang kami simpan tentang Anda
• Download payment history dan transaction data dari dashboard
• Request copy lengkap data Anda (contact admin)

6.2 Koreksi Data

• Update informasi profil Anda di halaman Settings
• Request koreksi jika ada data yang tidak akurat

6.3 Penghapusan Data (Right to be Forgotten)

• Request penghapusan akun dan data pribadi
• Data transaksi akan tetap disimpan untuk compliance dan audit trail
• Proses penghapusan dapat memakan waktu hingga 30 hari

6.4 Portabilitas Data

• Request export data dalam format machine-readable (JSON/CSV)
• API tersedia untuk mengambil data Anda programmatically

6.5 Hak Koneksi Pihak Ketiga

• Anda berhak memutuskan koneksi Telegram kapan saja melalui Pengaturan.
• Anda berhak memutuskan koneksi Facebook melalui pengaturan akun Facebook.
• Anda berhak memutuskan koneksi WhatsApp Store kapan saja melalui dashboard WhatsApp Store. Saat logout, data session akan dihapus.
• Pemutusan koneksi akan menonaktifkan notifikasi dan 2FA terkait.
• Anda berhak me-regenerate Webhook Secret Key kapan saja.

Keamanan Anak-anak

Layanan kami tidak ditujukan untuk anak-anak di bawah 18 tahun. Kami tidak secara sengaja mengumpulkan data pribadi dari anak-anak. Jika Anda adalah orang tua dan mengetahui bahwa anak Anda memberikan informasi pribadi kepada kami, silakan hubungi kami untuk penghapusan data.

Perubahan Kebijakan Privasi

Kami dapat memperbarui Kebijakan Privasi ini sewaktu-waktu. Perubahan akan:

• Dipublikasikan di halaman ini dengan tanggal "Terakhir diperbarui"
• Diberitahukan melalui email atau notifikasi di dashboard (untuk perubahan material)
• Memberikan Anda waktu 30 hari untuk review sebelum perubahan berlaku efektif
• Jika Anda tidak setuju dengan perubahan, Anda dapat menghentikan penggunaan layanan

Transfer Data Internasional

Data Anda disimpan di server yang berlokasi di Indonesia. Jika ada transfer data ke luar negeri (misalnya untuk CDN atau service providers), kami memastikan perlindungan yang memadai sesuai standar internasional.

Retensi Data

Jenis Data	Periode Penyimpanan	Alasan
Data Akun	Selama akun aktif	Penyediaan layanan
Data Transaksi	Minimum 5 tahun	Compliance & Audit
Log Aktivitas	6 bulan	Security & Troubleshooting
Callback Logs	30 hari	Debugging
Data Verifikasi (KTP)	Selama akun aktif	Compliance KYC
Data WhatsApp Session	Selama terhubung	Menjaga koneksi bot
Data Pesanan WA Store	Minimum 1 tahun	Riwayat transaksi & audit
Data Pelanggan WA Store	Selama akun aktif	Pemrosesan pesanan
Data Kartu Virtual	Selama kartu aktif + masa audit	Operasional kartu, KYC, refund, dan compliance
Data QRIS BAYAR GG	Selama akses merchant aktif + masa audit	Approval merchant, pembayaran, webhook, settlement, dan compliance
Log Webhook QRIS BAYAR GG	Minimum 1 tahun	Audit pembayaran, troubleshooting, dan pencegahan double-paid
Log Prefund Kartu	Minimum 1 tahun	Audit pembayaran, status Create / top-up, dan refund

Compliance & Regulasi

BAYAR GG mematuhi regulasi yang berlaku, termasuk:

• UU ITE No. 11 Tahun 2008: Tentang Informasi dan Transaksi Elektronik
• PP No. 71 Tahun 2019: Tentang Penyelenggaraan Sistem dan Transaksi Elektronik
• Peraturan OJK: Terkait payment gateway dan fintech
• PBI Tentang QRIS: Regulasi Bank Indonesia untuk QRIS
• Ketentuan Penyedia QRIS: Persyaratan merchant, mID, MDR, settlement, dan KYC usaha untuk QRIS BAYAR GG
• PCI-DSS: Prinsip keamanan data kartu, termasuk pembatasan reveal PAN/CVV dan tidak menyimpan detail kartu penuh di database BAYAR GG
• AML/CFT & KYC: Persyaratan identifikasi dan pencegahan penyalahgunaan untuk fitur QRIS BAYAR GG dan kartu virtual

Link ke Situs Lain

Platform kami dapat berisi link atau integrasi ke situs pihak ketiga (seperti BRI merchant portal, InterActive QRIS / penyedia QRIS BAYAR GG, GoPay Merchant, OVO, Facebook login, WhatsApp/Meta, dan penyedia kartu VISA / Mastercard). Kami tidak bertanggung jawab atas kebijakan privasi atau konten dari situs tersebut. Kami mendorong Anda untuk membaca privacy policy mereka.

Hubungi Kami

Jika Anda memiliki pertanyaan tentang Kebijakan Privasi ini atau ingin menggunakan hak privasi Anda, silakan hubungi kami: