KEBIJAKAN PRIVASI PLATFORM BAMA

Berlaku efektif: 29 Agustus 2026 · Versi 1.3

Privasi adalah prioritas Kami. Kebijakan Privasi ini menjelaskan bagaimana Bama mengumpulkan, menggunakan, dan melindungi data dari Pengelola Organisasi dan Anggota. Kami berusaha menjelaskannya dengan sejelas mungkin agar Anda dapat memahami praktik perlindungan data Kami dengan mudah. Dokumen ini menjadi bagian dari Ketentuan Layanan dan Perjanjian Pemrosesan Data Platform Bama.

BAGIAN I — PENDAHULUAN DAN DEFINISI

Pasal 1 — Penyedia Layanan dan Lingkup

1.1. Platform Bama dioperasikan oleh PT Doro Kampus Indonesia, suatu perseroan terbatas berdasarkan hukum Republik Indonesia, beralamat di Gedung Is Plaza Lt.5, Jl. Pramuka Kav 150, Utan Kayu Utara, Jakarta Timur 13120, terdaftar sebagai Penyelenggara Sistem Elektronik (PSE) Lingkup Privat dengan Tanda Daftar PSE Nomor 021105.02/DJAI.PSE/06/2026 ("Penyedia Layanan", "Kami").

1.2. Kebijakan Privasi ini menjelaskan cara Penyedia Layanan mengumpulkan, menggunakan, mengungkapkan, menyimpan, melindungi, dan memproses Data Pribadi yang terkait dengan penggunaan Platform Bama, baik oleh Pengelola Organisasi Mahasiswa maupun Anggota Organisasi.

1.3. Istilah-istilah yang digunakan dalam Kebijakan Privasi ini memiliki arti yang sama sebagaimana didefinisikan dalam Ketentuan Layanan Platform Bama, kecuali konteks menentukan lain.

Pasal 2 — Peran Para Pihak dalam Pemrosesan Data Pribadi

2.1. Sehubungan dengan Data Pribadi Anggota yang dikelola melalui Platform Bama:

(a) Organisasi Mahasiswa, yang diwakili oleh Pengelola, bertindak sebagai Pengendali Data Pribadi (Data Controller) dan bertanggung jawab atas seluruh kewajiban Pengendali Data sebagaimana diatur dalam UU PDP;

(b) Penyedia Layanan bertindak sebagai Pemroses Data Pribadi (Data Processor) yang memproses Data Pribadi Anggota atas nama dan berdasarkan instruksi Pengendali Data;

(c) Rincian hak dan kewajiban Pengendali Data dan Pemroses Data Pribadi diatur dalam Perjanjian Pemrosesan Data (DPA) yang merupakan bagian tak terpisahkan dari Kebijakan Privasi ini.

2.2. Sehubungan dengan Data Pribadi Pengelola sebagai individu yang menggunakan Platform Bama, Penyedia Layanan bertindak sebagai Pengendali Data Pribadi.

2.3. Penyedia Layanan dapat menunjuk Mitra Pemroses, yaitu pihak ketiga atau entitas terkait, baik di dalam maupun di luar wilayah hukum Republik Indonesia, untuk melaksanakan pemrosesan teknis, penyimpanan, pengamanan, pengembangan model dan algoritma, serta fungsi infrastruktur lainnya atas nama dan berdasarkan instruksi Penyedia Layanan.

BAGIAN II — DATA YANG DIKUMPULKAN DAN DIPROSES

Pasal 3 — Kategori Data Pribadi yang Dikumpulkan

3.1. Penyedia Layanan mengumpulkan dan memproses kategori Data Pribadi sebagai berikut, sesuai dengan tujuan pemrosesan yang relevan:

3.2. Penyedia Layanan tidak secara sengaja mengumpulkan kategori Data Pribadi yang Bersifat Spesifik sebagaimana dimaksud dalam Pasal 4 ayat (2) UU PDP (termasuk data kesehatan, biometrik, genetik, pandangan politik, keyakinan agama, atau orientasi seksual). Apabila Pengelola mengunggah data semacam itu, Pengelola menjamin telah memperoleh persetujuan eksplisit yang sesuai dari Anggota.

3.3. Apabila Pengguna memilih untuk mendaftar atau masuk ke Platform Bama menggunakan fitur autentikasi Google (Google Sign-In), Penyedia Layanan menerima dari Google data berikut sebagai bagian dari Data Identitas: nama, alamat surel, status verifikasi surel, dan pengenal akun Google. Data ini digunakan untuk membuat atau mengaitkan akun Pengguna dan tunduk pada tujuan pemrosesan yang sama sebagaimana diatur dalam Kebijakan Privasi ini.

3.4. Fitur autentikasi Google hanya mengakses profil dasar dan alamat surel akun Google Pengguna (melalui cakupan openid, email, dan profile). Penyedia Layanan tidak menerima kata sandi akun Google Pengguna. Autentikasi ini sendiri tidak memberikan akses ke layanan Google lainnya, termasuk Gmail maupun Kontak, dan terpisah dari fitur impor Google Drive sebagaimana diatur dalam Pasal 3.5. Google bertindak sebagai penyedia identitas independen; penggunaan fitur ini juga tunduk pada Kebijakan Privasi Google (https://policies.google.com/privacy). Metode autentikasi ini tidak menambah kategori Data Pribadi atau tujuan pemrosesan baru di luar yang telah dinyatakan dalam Kebijakan Privasi ini.

3.5. Platform Bama menyediakan fitur opsional untuk mengimpor dokumen Organisasi dari Google Drive ke dalam Arsip. Fitur ini hanya berjalan apabila Pengelola memulainya sendiri dan menyetujui permintaan izin pada layar persetujuan Google. Ketentuan berikut berlaku:

(a) Penyedia Layanan meminta cakupan drive.file, yang membatasi akses hanya pada berkas dan folder yang dipilih secara eksplisit oleh Pengelola melalui pemilih berkas Google. Isi Google Drive selebihnya tidak dapat dibaca, diubah, maupun dihapus oleh Penyedia Layanan.

(b) Token otorisasi Google disimpan dalam keadaan terenkripsi dan hanya digunakan untuk menjalankan proses impor yang diminta. Token dihapus segera setelah proses impor dijalankan sampai selesai atau berhenti karena kesalahan. Apabila Pengelola telah memberikan izin pada layar persetujuan Google tetapi tidak melanjutkan pemilihan berkas, token yang terenkripsi tersebut belum terhapus secara otomatis. Dalam hal demikian Pengelola dapat mencabut izin sebagaimana dimaksud pada huruf (d), yang membuat token tersebut tidak lagi dapat digunakan. Penyedia Layanan sedang menambahkan penghapusan otomatis untuk keadaan ini.

(c) Berkas yang telah diimpor menjadi Data Dokumen Organisasi sebagaimana dimaksud dalam Pasal 3.1 dan tunduk pada ketentuan retensi dalam Pasal 6.

(d) Pengelola dapat mencabut izin ini sewaktu-waktu melalui halaman izin akun Google (https://myaccount.google.com/permissions).

Data yang diperoleh melalui Google Drive hanya digunakan untuk menyediakan fitur impor arsip kepada Organisasi yang bersangkutan, sesuai dengan Kebijakan Data Pengguna Layanan API Google termasuk persyaratan Penggunaan Terbatas (Limited Use).

Pasal 3A — Cookie dan Teknologi Penyimpanan Serupa

3A.1. Penyedia Layanan menggunakan cookie dan teknologi penyimpanan serupa pada peramban Pengguna, termasuk penyimpanan lokal (local storage) dan penyimpanan sesi (session storage), dengan pembagian sebagaimana diuraikan dalam Pasal 3A.2.

3A.2. Kategori cookie dan teknologi penyimpanan yang digunakan:

3A.3. Cookie kategori Wajib tidak dapat dinonaktifkan karena Platform tidak dapat berfungsi tanpanya. Cookie kategori Analitik hanya dipasang setelah memperoleh persetujuan sebagaimana diatur dalam Pasal 3A.4.

3A.4. Persetujuan atas cookie Analitik diperoleh dengan cara berikut:

(a) Pengunjung yang belum memiliki akun memberikan atau menolak persetujuan melalui pemberitahuan yang ditampilkan pada kunjungan pertama. Sebelum Pengunjung menentukan pilihan, Penyedia Layanan tidak memasang cookie Analitik. Pada keadaan tersebut Penyedia Layanan hanya menghitung kunjungan halaman dan interaksi menggunakan pengenal sementara yang disimpan di memori peramban dan hilang ketika halaman ditutup, sehingga dua kunjungan tidak dapat dikaitkan satu sama lain. Apabila Pengunjung kemudian memberikan persetujuan, pengenal sementara tersebut dibuang dan diganti dengan pengenal baru, sehingga aktivitas sebelum persetujuan tidak dikaitkan dengan akun Pengguna. Dasar hukum pada keadaan ini adalah kepentingan sah (UU PDP Ps. 20(2)(f)).

(b) Pengguna terdaftar memberikan persetujuan atas pemrosesan Analitik pada saat menerima Kebijakan Privasi dalam proses pendaftaran akun. Untuk Pengguna yang mendaftar sebelum berlakunya versi ini, perubahan sebagaimana diatur dalam Pasal 3A diberitahukan terlebih dahulu sesuai Pasal 14, dan Pengguna dapat menolak pemrosesan Analitik sewaktu-waktu melalui halaman Akun Saya sebagaimana diatur dalam Pasal 3A.5, tanpa memengaruhi fungsi Platform.

(c) Persetujuan atas pemrosesan Analitik saat ini belum dipisahkan dari penerimaan dokumen lain, melainkan diberikan dalam satu pernyataan persetujuan bersama dokumen yang ditampilkan pada jalur pendaftaran yang bersangkutan: Ketentuan Layanan, Kebijakan Privasi, dan Perjanjian Pemrosesan Data bagi Pengelola yang mendaftarkan Organisasi baru, serta Ketentuan Layanan dan Kebijakan Privasi bagi Anggota yang bergabung melalui tautan undangan. Penyedia Layanan sedang memisahkan pernyataan persetujuan Analitik menjadi pilihan tersendiri yang dapat ditolak tanpa menghalangi pendaftaran. Sampai pemisahan tersebut berlaku, penolakan dilakukan melalui halaman Akun Saya dan berlaku seketika.

3A.5. Sesuai dengan Pasal 9, persetujuan atas cookie Analitik dapat ditarik kembali sewaktu-waktu tanpa memengaruhi fungsi Platform, melalui pengaturan pada halaman Akun Saya di dalam Platform. Penarikan menghentikan pengumpulan data Analitik dan menghapus pengenal yang tersimpan pada perangkat tersebut. Peristiwa yang sudah tercatat sebelum penarikan dan masih berada dalam antrean pengiriman dapat tetap terkirim beberapa saat setelahnya; peristiwa tersebut berasal dari periode sebelum penarikan dan tidak ada peristiwa baru yang dikumpulkan sesudahnya. Penarikan berlaku pada perangkat dan peramban tempat pilihan tersebut dibuat. Menghapus cookie melalui pengaturan peramban menghapus pengenal analitik pada perangkat tersebut, tetapi tidak dicatat sebagai penarikan persetujuan. Bagi Pengguna yang sedang masuk ke akun, pengumpulan akan berjalan kembali pada kunjungan berikutnya kecuali persetujuan ditarik melalui halaman Akun Saya. Penolakan yang sudah tercatat tidak hilang karena pembaruan Kebijakan ini.

3A.6. Perekaman sesi (session replay) tidak dijalankan pada Platform Bama, demikian pula pengumpulan otomatis atas setiap elemen yang ditekan (autocapture). Data Analitik yang dikumpulkan terbatas pada kunjungan halaman dan sejumlah peristiwa produk yang ditetapkan secara eksplisit oleh Penyedia Layanan, yang nama dan bidangnya bersifat tetap. Peristiwa tersebut memuat:

(a) pengenal internal Pengguna dan Organisasi, jabatan, serta identitas Organisasi berupa nama Organisasi, perguruan tinggi, fakultas, program studi, dan periode kepengurusan; dan

(b) pengenal internal atas objek yang dikenai tindakan, misalnya pengenal proker atau dokumen, beserta jumlah dan status.

Setiap peristiwa juga disertai Data Perangkat dan Teknis sebagaimana dimaksud dalam Pasal 3.1, yaitu jenis peramban, sistem operasi, bahasa, zona waktu, ukuran layar, domain perujuk, serta lama kunjungan dan kedalaman gulir halaman. Peristiwa tersebut tidak memuat nama Anggota, alamat surel, nomor kontak, nomor induk mahasiswa, judul maupun isi dokumen, catatan keuangan, atau teks bebas lain yang diketikkan Pengguna ke dalam Platform. Apabila salah satu fitur yang dinonaktifkan di atas diaktifkan di kemudian hari, pengaktifannya diberitahukan terlebih dahulu sesuai Pasal 14 dan memerlukan persetujuan Analitik sebagaimana diatur dalam Pasal 3A.4.

3A.7. Alamat halaman yang dikirim ke penyedia analitik dibersihkan terlebih dahulu: seluruh parameter kueri dihapus, dan bagian alamat yang memuat token pada tautan undangan, tautan pemulihan kata sandi, tautan tanda tangan elektronik, tautan presensi, dan tautan berhenti berlangganan diganti dengan penanda umum. Alamat yang menunjuk ke situs pihak lain dipangkas hingga nama domainnya saja. Token, parameter kueri, dan data kontak tidak dikirim ke penyedia analitik.

3A.8. Penyedia Layanan tidak menggunakan cookie periklanan, tidak mengizinkan jaringan iklan pihak ketiga memasang cookie melalui Platform, dan tidak melakukan pelacakan lintas situs untuk tujuan pemasaran.

3A.9. Pemrosesan data Analitik dilakukan oleh Mitra Pemroses yang berkedudukan di luar wilayah hukum Republik Indonesia. Transfer tersebut tunduk pada ketentuan Pasal 7.

3A.10. Apabila Pengelola menggunakan fitur impor Google Drive sebagaimana dimaksud dalam Pasal 3.5, Google dapat memasang cookie miliknya sendiri sepanjang proses otorisasi berlangsung. Cookie tersebut dikendalikan oleh Google dan tunduk pada Kebijakan Privasi Google.

BAGIAN III — TUJUAN PEMROSESAN DAN DASAR HUKUM

Pasal 4 — Matriks Tujuan Pemrosesan

4.1. Penyedia Layanan memproses Data Pribadi untuk tujuan-tujuan sebagaimana diuraikan dalam matriks berikut. Setiap tujuan memiliki status aktivasi, dasar hukum, kategori data, dan bentuk data yang ditentukan:

4.2. Status "Belum aktif" menunjukkan bahwa tujuan pemrosesan tersebut belum diaktifkan pada tanggal efektif Kebijakan Privasi ini. Aktivasi akan didahului dengan: (a) pemberitahuan minimum 30 (tiga puluh) hari kalender sebelumnya kepada Pengguna; (b) permintaan persetujuan eksplisit tambahan (granular consent) yang spesifik untuk tujuan tersebut; (c) jaminan bahwa penolakan persetujuan tambahan tidak akan memengaruhi akses Pengguna terhadap fitur inti Platform Bama; dan (d) untuk tujuan yang memproses Data Pribadi Anggota, perolehan persetujuan eksplisit tambahan langsung dari Anggota sebagai Subjek Data pada saat aktivasi akun Anggota, secara terpisah dan dapat dibedakan secara jelas dari penerimaan Ketentuan Layanan oleh Pengelola, sesuai dengan Pasal 22 ayat (4) UU PDP.

4.3. Pseudonimisasi dilakukan dengan menerapkan teknik kriptografi searah pada identifier pengguna, dengan pemisahan kunci identifikasi dari Data yang diproses, sehingga Data tidak dapat dikaitkan kembali dengan Subjek Data tertentu tanpa informasi tambahan yang disimpan secara terpisah dengan langkah pengamanan teknis dan organisasi yang memadai.

4.4. Penyedia Layanan tidak menjual Data Pribadi yang teridentifikasi kepada pihak ketiga. Lisensi data, layanan verifikasi, layanan matching, dan layanan iklan kepada pihak ketiga sebagaimana dimaksud dalam matriks Pasal 4.1 dilakukan setelah Aktivasi sebagaimana diatur dalam Pasal 4.2, dengan basis persetujuan eksplisit tambahan dari Subjek Data, dan dalam bentuk pseudonim atau anonim sesuai dengan kategori layanan yang relevan.

Pasal 5 — Dasar Hukum Pemrosesan

5.1. Penyedia Layanan memproses Data Pribadi berdasarkan satu atau lebih dasar hukum sebagaimana diatur dalam Pasal 20 ayat (2) UU PDP, yaitu:

(a) Persetujuan eksplisit dari Subjek Data;

(b) Pelaksanaan kontrak antara Subjek Data dan Penyedia Layanan, termasuk Ketentuan Layanan;

(c) Pemenuhan kewajiban hukum Penyedia Layanan;

(d) Pelindungan kepentingan vital Subjek Data;

(e) Pelaksanaan tugas dalam kepentingan publik;

(f) Kepentingan sah Penyedia Layanan, sepanjang kepentingan tersebut tidak mengesampingkan hak dan kepentingan Subjek Data.

5.2. Dalam hal pemrosesan didasarkan pada persetujuan, Subjek Data berhak menarik persetujuan tersebut sewaktu-waktu sesuai dengan prosedur dalam Pasal 12 Kebijakan Privasi ini, tanpa memengaruhi keabsahan pemrosesan yang telah dilakukan sebelum penarikan persetujuan.

BAGIAN IV — RETENSI, LOKASI, DAN PEMBAGIAN DATA

Pasal 6 — Jangka Waktu Penyimpanan Data

6.1. Penyedia Layanan menyimpan Data Pribadi selama jangka waktu yang diperlukan untuk mencapai tujuan pemrosesan sebagaimana diuraikan dalam matriks pada Pasal 4.1, atau selama jangka waktu lebih lama apabila diwajibkan oleh peraturan perundang-undangan, dengan rincian sebagai berikut:

6.2. Setelah berakhirnya jangka waktu penyimpanan, Data Pribadi akan dihapus, dianonimkan, atau diarsipkan sesuai dengan standar industri yang relevan. Data yang dianonimkan secara permanen dapat dipertahankan untuk tujuan analitik, riset, atau peningkatan Layanan tanpa batasan waktu.

Pasal 7 — Lokasi Pemrosesan dan Transfer Lintas Wilayah Hukum

7.1. Data Pribadi disimpan secara utama pada infrastruktur cloud yang berlokasi di Indonesia. Pemrosesan teknis lebih lanjut dapat dilakukan oleh Mitra Pemroses yang berlokasi di wilayah Asia atau yurisdiksi lain yang ditentukan oleh Penyedia Layanan berdasarkan kebutuhan operasional, pertimbangan keamanan, dan pengembangan teknologi.

7.2. Pemindahan Data Pribadi ke luar wilayah hukum Republik Indonesia dilakukan dengan dasar hukum yang sah sebagaimana diatur dalam Pasal 56 UU PDP, termasuk satu atau lebih dari hal-hal berikut:

(a) Persetujuan eksplisit dari Subjek Data, yang diperoleh melalui penerimaan Kebijakan Privasi ini;

(b) Klausul kontraktual standar yang mewajibkan Mitra Pemroses untuk menerapkan langkah-langkah perlindungan setara dengan UU PDP;

(c) Penilaian bahwa yurisdiksi tujuan pemrosesan memiliki tingkat perlindungan Data Pribadi yang setara atau lebih tinggi;

(d) Dasar hukum lain yang sah berdasarkan UU PDP dan peraturan pelaksanaannya.

7.3. Pengguna dapat memperoleh informasi lebih rinci mengenai Mitra Pemroses dan langkah-langkah perlindungan yang diterapkan dengan mengirimkan permintaan kepada Petugas Perlindungan Data sesuai prosedur dalam Pasal 13.

Pasal 8 — Pembagian Data kepada Pihak Ketiga

8.1. Penyedia Layanan dapat membagikan Data Pribadi kepada pihak-pihak berikut, dengan dasar hukum dan kondisi yang relevan:

(a) Mitra Pemroses, untuk tujuan operasional, teknis, keamanan, dan pengembangan Platform, berdasarkan kontrak pemrosesan data yang mewajibkan perlindungan setara;

(b) Otoritas pemerintah, lembaga penegak hukum, atau pengadilan, dalam hal terdapat permintaan resmi berdasarkan kewajiban hukum yang sah;

(c) Pihak yang terlibat dalam transaksi korporasi (akuisisi, merger, restrukturisasi), dengan komitmen perlindungan Data Pribadi yang setara;

(d) Penasihat profesional Penyedia Layanan (auditor, konsultan hukum) dalam batas yang diperlukan untuk pelaksanaan tugas mereka, dengan kewajiban kerahasiaan;

(e) Pihak ketiga yang menerima layanan verifikasi, matching, atau iklan sebagaimana diatur dalam Pasal 4.1, setelah Aktivasi sebagaimana diatur dalam Pasal 4.2 dan dengan basis persetujuan eksplisit tambahan;

(f) Pihak lain dengan persetujuan eksplisit Subjek Data untuk tujuan spesifik yang diinformasikan pada saat persetujuan diberikan.

8.2. Penyedia Layanan tidak menjual Data Pribadi yang teridentifikasi kepada pihak ketiga untuk tujuan komersial pihak ketiga tersebut yang tidak terkait dengan tujuan pemrosesan yang dinyatakan dalam Kebijakan Privasi ini.

BAGIAN V — HAK SUBJEK DATA PRIBADI

Pasal 9 — Hak Subjek Data Berdasarkan UU PDP

9.1. Subjek Data Pribadi memiliki hak-hak berikut sebagaimana diatur dalam Pasal 5 sampai dengan Pasal 14 UU PDP:

(a) Hak untuk memperoleh informasi mengenai pemrosesan Data Pribadi (hak atas informasi);

(b) Hak untuk mengakses Data Pribadi yang diprosess (hak akses);

(c) Hak untuk memperbaiki atau memperbarui Data Pribadi yang tidak akurat (hak perbaikan);

(d) Hak untuk menghapus Data Pribadi (hak penghapusan), sepanjang tidak bertentangan dengan kewajiban hukum atau kepentingan sah Penyedia Layanan;

(e) Hak untuk membatasi pemrosesan Data Pribadi (hak pembatasan);

(f) Hak untuk menarik persetujuan atas pemrosesan yang berbasis persetujuan;

(g) Hak untuk menolak pemrosesan berbasis kepentingan sah, dengan justifikasi yang relevan;

(h) Hak atas portabilitas Data dalam format yang umum digunakan;

(i) Hak untuk tidak tunduk pada keputusan yang sepenuhnya didasarkan pada pemrosesan otomatis yang menimbulkan akibat hukum atau dampak signifikan;

(j) Hak untuk mengajukan keberatan atau keluhan kepada Penyedia Layanan dan/atau lembaga pengawas yang berwenang.

Pasal 10 — Tata Cara Pelaksanaan Hak

10.1. Tata cara pelaksanaan hak Subjek Data Pribadi berbeda berdasarkan jenis Subjek Data:

(a) Pengelola Organisasi Mahasiswa: dapat mengajukan permintaan langsung kepada Penyedia Layanan melalui Petugas Perlindungan Data sebagaimana diatur dalam Pasal 13;

(b) Anggota Organisasi Mahasiswa: dalam hal Data Pribadi diproses oleh Penyedia Layanan sebagai Pemroses berdasarkan instruksi Organisasi sebagai Pengendali, permintaan pelaksanaan hak harus diajukan terlebih dahulu kepada Pengelola Organisasi. Pengelola wajib menanggapi permintaan dalam batas kewenangannya. Apabila Anggota tidak memperoleh tanggapan dalam jangka waktu yang wajar, Anggota dapat menghubungi Penyedia Layanan secara langsung melalui Petugas Perlindungan Data;

(c) Penyedia Layanan akan menanggapi permintaan dalam jangka waktu maksimum 30 (tiga puluh) hari kalender setelah verifikasi identitas Subjek Data, sesuai dengan Pasal 30 UU PDP.

10.2. Untuk pelaksanaan hak yang melibatkan Data Anggota, Penyedia Layanan dapat mensyaratkan koordinasi dengan Pengelola Organisasi sebagai Pengendali Data, dan dapat menunda atau menolak permintaan yang bertentangan dengan instruksi Pengendali Data, kecuali apabila instruksi tersebut bertentangan dengan hukum.

10.3. Penyedia Layanan dapat menolak atau membatasi pelaksanaan hak Subjek Data dalam keadaan-keadaan yang diizinkan oleh UU PDP, termasuk apabila pemenuhan permintaan akan: (a) bertentangan dengan kewajiban hukum; (b) memengaruhi hak pihak ketiga; (c) tidak dapat dilaksanakan secara teknis dalam bentuk yang diminta; atau (d) memerlukan upaya yang tidak proporsional.

BAGIAN VI — KEAMANAN DAN INSIDEN DATA

Pasal 11 — Langkah-langkah Keamanan

11.1. Penyedia Layanan menerapkan langkah-langkah teknis dan organisasi yang wajar untuk melindungi Data Pribadi dari akses tidak sah, kehilangan, penyalahgunaan, penghancuran, atau perubahan, termasuk namun tidak terbatas pada:

(a) Enkripsi Data Pribadi pada saat transit (TLS/SSL) dan saat penyimpanan (encryption at rest);

(b) Kontrol akses berbasis peran (role-based access control) dengan prinsip hak akses minimum;

(c) Otentikasi multi-faktor untuk akses ke sistem yang sensitif;

(d) Pemantauan keamanan dan logging aktivitas;

(e) Pengamanan fisik dan lingkungan untuk infrastruktur;

(f) Penilaian risiko keamanan secara berkala;

(g) Pelatihan keamanan dan privasi bagi personel yang memiliki akses ke Data Pribadi;

(h) Pseudonimisasi dan anonimisasi sebagaimana relevan dengan tujuan pemrosesan.

11.2. Meskipun Penyedia Layanan menerapkan langkah-langkah pengamanan, tidak ada sistem pengamanan elektronik yang sepenuhnya tidak dapat ditembus. Penyedia Layanan tidak menjamin keamanan absolut atas Data Pribadi dan tidak bertanggung jawab atas akses tidak sah yang terjadi akibat faktor di luar kendali wajarnya.

Pasal 12 — Penanganan Insiden Pelindungan Data Pribadi

12.1. Dalam hal terjadi insiden pelindungan Data Pribadi yang berdampak material pada Subjek Data, Penyedia Layanan akan:

(a) Memberitahukan Subjek Data yang terdampak dan Lembaga Pengawas Pelindungan Data Pribadi (atau Kementerian Komunikasi dan Informatika selama Lembaga belum dibentuk) dalam waktu paling lambat 3 x 24 (tujuh puluh dua) jam sejak diketahuinya insiden, sesuai dengan Pasal 46 UU PDP;

(b) Memberikan informasi mengenai kategori dan perkiraan jumlah Subjek Data yang terdampak, perkiraan dampak, dan langkah-langkah mitigasi yang diambil;

(c) Mengoordinasikan respons dengan Pengelola Organisasi dalam hal insiden melibatkan Data Anggota;

(d) Melakukan investigasi dan tindakan perbaikan untuk mencegah kejadian serupa.

12.2. Pengelola Organisasi wajib memberitahukan Penyedia Layanan dalam waktu maksimum 24 (dua puluh empat) jam sejak diketahuinya insiden yang melibatkan Data Anggota, baik yang terjadi pada sistem Organisasi maupun pada Platform.

BAGIAN VII — INFORMASI PENYEDIA LAYANAN DAN KETENTUAN AKHIR

Pasal 13 — Petugas Perlindungan Data (Data Protection Officer)

13.1. Penyedia Layanan menunjuk Petugas Perlindungan Data (DPO) untuk mengawasi kepatuhan terhadap UU PDP dan menangani permintaan, keluhan, atau pertanyaan terkait pelindungan Data Pribadi:

Nama

Davy Lutfhan Satria

Surel

dpo@dorokampus.com

Telepon

+62 812 9529 6831

Alamat

Gedung Is Plaza Lt.5, Jl. Pramuka Kav 150, Utan Kayu Utara, Jakarta Timur 13120

13.2. Subjek Data dapat menghubungi Petugas Perlindungan Data untuk: (a) mengajukan permintaan pelaksanaan hak; (b) mengajukan keluhan atau pertanyaan terkait pemrosesan Data Pribadi; (c) memperoleh informasi tambahan mengenai praktik perlindungan data Penyedia Layanan.

13.3. Subjek Data yang merasa hak-haknya dilanggar dapat mengajukan keluhan kepada Lembaga Pengawas Pelindungan Data Pribadi (atau Kementerian Komunikasi dan Informatika selama Lembaga belum dibentuk).

Pasal 14 — Perubahan Kebijakan Privasi

14.1. Penyedia Layanan dapat mengubah Kebijakan Privasi ini dari waktu ke waktu. Perubahan akan diberitahukan kepada Pengguna melalui Platform, surel, atau saluran komunikasi lain yang dianggap layak oleh Penyedia Layanan, dengan masa pemberitahuan:

(a) Minimal 30 (tiga puluh) hari kalender untuk perubahan yang menambah tujuan pemrosesan Data Pribadi yang baru atau mengubah hak material Subjek Data, yang memerlukan persetujuan eksplisit tambahan;

(b) Minimal 7 (tujuh) hari kalender untuk perubahan lainnya.

14.2. Versi Kebijakan Privasi yang berlaku adalah versi terbaru yang dipublikasikan oleh Penyedia Layanan. Versi-versi terdahulu tersedia atas permintaan kepada Petugas Perlindungan Data.

Pasal 15 — Anak di Bawah Umur

15.1. Platform Bama ditujukan untuk Organisasi Mahasiswa pada perguruan tinggi. Penyedia Layanan tidak secara sengaja mengumpulkan Data Pribadi dari individu di bawah usia 18 (delapan belas) tahun tanpa persetujuan dari orang tua atau wali sebagaimana diatur dalam Pasal 25 UU PDP.

15.2. Apabila Pengelola mengelola Data Anggota yang berusia di bawah 18 tahun, Pengelola wajib telah memperoleh persetujuan dari orang tua atau wali yang berwenang dan menjamin kepatuhan terhadap ketentuan UU PDP terkait pemrosesan Data Anak serta Peraturan Pemerintah tentang tata kelola pelindungan anak dalam sistem elektronik.

15.3. Data Pribadi Anggota yang menurut informasi usia yang tersedia berusia di bawah 18 (delapan belas) tahun secara otomatis dikecualikan dari pemrosesan untuk tujuan pengembangan model kecerdasan buatan, integrasi antar-layanan dalam Ekosistem, serta layanan kepada pihak ketiga sebagaimana dimaksud dalam Pasal 4.1, dan hanya diproses untuk tujuan operasional inti Platform.

Pasal 16 — Bahasa

16.1. Kebijakan Privasi ini disusun dalam Bahasa Indonesia. Apabila terdapat versi terjemahan dalam bahasa lain, versi Bahasa Indonesia merupakan versi yang mengikat secara hukum sesuai dengan UU No. 24 Tahun 2009.

Pasal 17 — Referensi Hukum

17.1. Kebijakan Privasi ini disusun dengan mengacu pada peraturan perundang-undangan yang berlaku di Republik Indonesia, termasuk namun tidak terbatas pada:

(a) Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP);

(b) Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik;

(c) Peraturan Menteri Komunikasi dan Informatika Nomor 5 Tahun 2020 sebagaimana telah diubah, mengenai Penyelenggara Sistem Elektronik Lingkup Privat;

(d) Undang-Undang Nomor 11 Tahun 2008 sebagaimana telah diubah dengan Undang-Undang Nomor 19 Tahun 2016 tentang Informasi dan Transaksi Elektronik;

(e) Peraturan perundang-undangan terkait lainnya yang berlaku di Republik Indonesia.

— PENUTUP —

Ditetapkan dan berlaku efektif: 29 Agustus 2026

© 2026 PT Doro Kampus Indonesia