KEBIJAKAN PRIVASI PLATFORM BAMA

Berlaku efektif sejak: [TBD — Juli 2026]

Privasi adalah prioritas Kami. Kebijakan Privasi ini menjelaskan bagaimana Bama mengumpulkan, menggunakan, dan melindungi data dari Pengelola Organisasi dan Anggota. Kami berusaha menjelaskannya dengan sejelas mungkin agar Anda dapat memahami praktik perlindungan data Kami dengan mudah. Dokumen ini menjadi bagian dari Ketentuan Layanan dan Perjanjian Pemrosesan Data Platform Bama.

BAGIAN I — PENDAHULUAN DAN DEFINISI

Pasal 1 — Penyedia Layanan dan Lingkup

1.1. Platform Bama dioperasikan oleh PT Doro Kampus Indonesia, suatu perseroan terbatas berdasarkan hukum Republik Indonesia, beralamat di Gedung Is Plaza Lt.5, Jl. Pramuka Kav 150, Utan Kayu Utara, Jakarta Timur 13120, terdaftar sebagai Penyelenggara Sistem Elektronik (PSE) Lingkup Privat ("Penyedia Layanan", "Kami").

1.2. Kebijakan Privasi ini menjelaskan cara Penyedia Layanan mengumpulkan, menggunakan, mengungkapkan, menyimpan, melindungi, dan memproses Data Pribadi yang terkait dengan penggunaan Platform Bama, baik oleh Pengelola Organisasi Mahasiswa maupun Anggota Organisasi.

1.3. Istilah-istilah yang digunakan dalam Kebijakan Privasi ini memiliki arti yang sama sebagaimana didefinisikan dalam Ketentuan Layanan Platform Bama, kecuali konteks menentukan lain.

Pasal 2 — Peran Para Pihak dalam Pemrosesan Data Pribadi

2.1. Sehubungan dengan Data Pribadi Anggota yang dikelola melalui Platform Bama:

(a) Organisasi Mahasiswa, yang diwakili oleh Pengelola, bertindak sebagai Pengendali Data Pribadi (Data Controller) dan bertanggung jawab atas seluruh kewajiban Pengendali Data sebagaimana diatur dalam UU PDP;

(b) Penyedia Layanan bertindak sebagai Pemroses Data Pribadi (Data Processor) yang memproses Data Pribadi Anggota atas nama dan berdasarkan instruksi Pengendali Data;

(c) Rincian hak dan kewajiban Pengendali Data dan Pemroses Data Pribadi diatur dalam Perjanjian Pemrosesan Data (DPA) yang merupakan bagian tak terpisahkan dari Kebijakan Privasi ini.

2.2. Sehubungan dengan Data Pribadi Pengelola sebagai individu yang menggunakan Platform Bama, Penyedia Layanan bertindak sebagai Pengendali Data Pribadi.

2.3. Penyedia Layanan dapat menunjuk Mitra Pemroses, yaitu pihak ketiga atau entitas terkait, baik di dalam maupun di luar wilayah hukum Republik Indonesia, untuk melaksanakan pemrosesan teknis, penyimpanan, pengamanan, pengembangan model dan algoritma, serta fungsi infrastruktur lainnya atas nama dan berdasarkan instruksi Penyedia Layanan.

BAGIAN II — DATA YANG DIKUMPULKAN DAN DIPROSES

Pasal 3 — Kategori Data Pribadi yang Dikumpulkan

3.1. Penyedia Layanan mengumpulkan dan memproses kategori Data Pribadi sebagai berikut, sesuai dengan tujuan pemrosesan yang relevan:

3.2. Penyedia Layanan tidak secara sengaja mengumpulkan kategori Data Pribadi yang Bersifat Spesifik sebagaimana dimaksud dalam Pasal 4 ayat (2) UU PDP (termasuk data kesehatan, biometrik, genetik, pandangan politik, keyakinan agama, atau orientasi seksual). Apabila Pengelola mengunggah data semacam itu, Pengelola menjamin telah memperoleh persetujuan eksplisit yang sesuai dari Anggota.

BAGIAN III — TUJUAN PEMROSESAN DAN DASAR HUKUM

Pasal 4 — Matriks Tujuan Pemrosesan

4.1. Penyedia Layanan memproses Data Pribadi untuk tujuan-tujuan sebagaimana diuraikan dalam matriks berikut. Setiap tujuan memiliki status aktivasi, dasar hukum, kategori data, dan bentuk data yang ditentukan:

4.2. Status "Belum aktif" menunjukkan bahwa tujuan pemrosesan tersebut belum diaktifkan pada tanggal efektif Kebijakan Privasi ini. Aktivasi akan didahului dengan: (a) pemberitahuan minimum 30 (tiga puluh) hari kalender sebelumnya kepada Pengguna; (b) permintaan persetujuan eksplisit tambahan (granular consent) yang spesifik untuk tujuan tersebut; dan (c) jaminan bahwa penolakan persetujuan tambahan tidak akan memengaruhi akses Pengguna terhadap fitur inti Platform Bama, sesuai dengan Pasal 22 UU PDP.

4.3. Pseudonimisasi dilakukan dengan menerapkan teknik kriptografi searah pada identifier pengguna, dengan pemisahan kunci identifikasi dari Data yang diproses, sehingga Data tidak dapat dikaitkan kembali dengan Subjek Data tertentu tanpa informasi tambahan yang disimpan secara terpisah dengan langkah pengamanan teknis dan organisasi yang memadai.

4.4. Penyedia Layanan tidak menjual Data Pribadi yang teridentifikasi kepada pihak ketiga. Lisensi data, layanan verifikasi, layanan matching, dan layanan iklan kepada pihak ketiga sebagaimana dimaksud dalam matriks Pasal 4.1 dilakukan setelah Aktivasi sebagaimana diatur dalam Pasal 4.2, dengan basis persetujuan eksplisit tambahan dari Subjek Data, dan dalam bentuk pseudonim atau anonim sesuai dengan kategori layanan yang relevan.

Pasal 5 — Dasar Hukum Pemrosesan

5.1. Penyedia Layanan memproses Data Pribadi berdasarkan satu atau lebih dasar hukum sebagaimana diatur dalam Pasal 20 ayat (2) UU PDP, yaitu:

(a) Persetujuan eksplisit dari Subjek Data;

(b) Pelaksanaan kontrak antara Subjek Data dan Penyedia Layanan, termasuk Ketentuan Layanan;

(c) Pemenuhan kewajiban hukum Penyedia Layanan;

(d) Pelindungan kepentingan vital Subjek Data;

(e) Pelaksanaan tugas dalam kepentingan publik;

(f) Kepentingan sah Penyedia Layanan, sepanjang kepentingan tersebut tidak mengesampingkan hak dan kepentingan Subjek Data.

5.2. Dalam hal pemrosesan didasarkan pada persetujuan, Subjek Data berhak menarik persetujuan tersebut sewaktu-waktu sesuai dengan prosedur dalam Pasal 12 Kebijakan Privasi ini, tanpa memengaruhi keabsahan pemrosesan yang telah dilakukan sebelum penarikan persetujuan.

BAGIAN IV — RETENSI, LOKASI, DAN PEMBAGIAN DATA

Pasal 6 — Jangka Waktu Penyimpanan Data

6.1. Penyedia Layanan menyimpan Data Pribadi selama jangka waktu yang diperlukan untuk mencapai tujuan pemrosesan sebagaimana diuraikan dalam matriks pada Pasal 4.1, atau selama jangka waktu lebih lama apabila diwajibkan oleh peraturan perundang-undangan, dengan rincian sebagai berikut:

6.2. Setelah berakhirnya jangka waktu penyimpanan, Data Pribadi akan dihapus, dianonimkan, atau diarsipkan sesuai dengan standar industri yang relevan. Data yang dianonimkan secara permanen dapat dipertahankan untuk tujuan analitik, riset, atau peningkatan Layanan tanpa batasan waktu.

Pasal 7 — Lokasi Pemrosesan dan Transfer Lintas Wilayah Hukum

7.1. Data Pribadi disimpan secara utama pada infrastruktur cloud yang berlokasi di Indonesia. Pemrosesan teknis lebih lanjut dapat dilakukan oleh Mitra Pemroses yang berlokasi di wilayah Asia atau yurisdiksi lain yang ditentukan oleh Penyedia Layanan berdasarkan kebutuhan operasional, pertimbangan keamanan, dan pengembangan teknologi.

7.2. Pemindahan Data Pribadi ke luar wilayah hukum Republik Indonesia dilakukan dengan dasar hukum yang sah sebagaimana diatur dalam Pasal 56 UU PDP, termasuk satu atau lebih dari hal-hal berikut:

(a) Persetujuan eksplisit dari Subjek Data, yang diperoleh melalui penerimaan Kebijakan Privasi ini;

(b) Klausul kontraktual standar yang mewajibkan Mitra Pemroses untuk menerapkan langkah-langkah perlindungan setara dengan UU PDP;

(c) Penilaian bahwa yurisdiksi tujuan pemrosesan memiliki tingkat perlindungan Data Pribadi yang setara atau lebih tinggi;

(d) Dasar hukum lain yang sah berdasarkan UU PDP dan peraturan pelaksanaannya.

7.3. Pengguna dapat memperoleh informasi lebih rinci mengenai Mitra Pemroses dan langkah-langkah perlindungan yang diterapkan dengan mengirimkan permintaan kepada Petugas Perlindungan Data sesuai prosedur dalam Pasal 13.

Pasal 8 — Pembagian Data kepada Pihak Ketiga

8.1. Penyedia Layanan dapat membagikan Data Pribadi kepada pihak-pihak berikut, dengan dasar hukum dan kondisi yang relevan:

(a) Mitra Pemroses, untuk tujuan operasional, teknis, keamanan, dan pengembangan Platform, berdasarkan kontrak pemrosesan data yang mewajibkan perlindungan setara;

(b) Otoritas pemerintah, lembaga penegak hukum, atau pengadilan, dalam hal terdapat permintaan resmi berdasarkan kewajiban hukum yang sah;

(c) Pihak yang terlibat dalam transaksi korporasi (akuisisi, merger, restrukturisasi), dengan komitmen perlindungan Data Pribadi yang setara;

(d) Penasihat profesional Penyedia Layanan (auditor, konsultan hukum) dalam batas yang diperlukan untuk pelaksanaan tugas mereka, dengan kewajiban kerahasiaan;

(e) Pihak ketiga yang menerima layanan verifikasi, matching, atau iklan sebagaimana diatur dalam Pasal 4.1, setelah Aktivasi sebagaimana diatur dalam Pasal 4.2 dan dengan basis persetujuan eksplisit tambahan;

(f) Pihak lain dengan persetujuan eksplisit Subjek Data untuk tujuan spesifik yang diinformasikan pada saat persetujuan diberikan.

8.2. Penyedia Layanan tidak menjual Data Pribadi yang teridentifikasi kepada pihak ketiga untuk tujuan komersial pihak ketiga tersebut yang tidak terkait dengan tujuan pemrosesan yang dinyatakan dalam Kebijakan Privasi ini.

BAGIAN V — HAK SUBJEK DATA PRIBADI

Pasal 9 — Hak Subjek Data Berdasarkan UU PDP

9.1. Subjek Data Pribadi memiliki hak-hak berikut sebagaimana diatur dalam Pasal 5 sampai dengan Pasal 14 UU PDP:

(a) Hak untuk memperoleh informasi mengenai pemrosesan Data Pribadi (hak atas informasi);

(b) Hak untuk mengakses Data Pribadi yang diprosess (hak akses);

(c) Hak untuk memperbaiki atau memperbarui Data Pribadi yang tidak akurat (hak perbaikan);

(d) Hak untuk menghapus Data Pribadi (hak penghapusan), sepanjang tidak bertentangan dengan kewajiban hukum atau kepentingan sah Penyedia Layanan;

(e) Hak untuk membatasi pemrosesan Data Pribadi (hak pembatasan);

(f) Hak untuk menarik persetujuan atas pemrosesan yang berbasis persetujuan;

(g) Hak untuk menolak pemrosesan berbasis kepentingan sah, dengan justifikasi yang relevan;

(h) Hak atas portabilitas Data dalam format yang umum digunakan;

(i) Hak untuk tidak tunduk pada keputusan yang sepenuhnya didasarkan pada pemrosesan otomatis yang menimbulkan akibat hukum atau dampak signifikan;

(j) Hak untuk mengajukan keberatan atau keluhan kepada Penyedia Layanan dan/atau lembaga pengawas yang berwenang.

Pasal 10 — Tata Cara Pelaksanaan Hak

10.1. Tata cara pelaksanaan hak Subjek Data Pribadi berbeda berdasarkan jenis Subjek Data:

(a) Pengelola Organisasi Mahasiswa: dapat mengajukan permintaan langsung kepada Penyedia Layanan melalui Petugas Perlindungan Data sebagaimana diatur dalam Pasal 13;

(b) Anggota Organisasi Mahasiswa: dalam hal Data Pribadi diproses oleh Penyedia Layanan sebagai Pemroses berdasarkan instruksi Organisasi sebagai Pengendali, permintaan pelaksanaan hak harus diajukan terlebih dahulu kepada Pengelola Organisasi. Pengelola wajib menanggapi permintaan dalam batas kewenangannya. Apabila Anggota tidak memperoleh tanggapan dalam jangka waktu yang wajar, Anggota dapat menghubungi Penyedia Layanan secara langsung melalui Petugas Perlindungan Data;

(c) Penyedia Layanan akan menanggapi permintaan dalam jangka waktu maksimum 30 (tiga puluh) hari kalender setelah verifikasi identitas Subjek Data, sesuai dengan Pasal 30 UU PDP.

10.2. Untuk pelaksanaan hak yang melibatkan Data Anggota, Penyedia Layanan dapat mensyaratkan koordinasi dengan Pengelola Organisasi sebagai Pengendali Data, dan dapat menunda atau menolak permintaan yang bertentangan dengan instruksi Pengendali Data, kecuali apabila instruksi tersebut bertentangan dengan hukum.

10.3. Penyedia Layanan dapat menolak atau membatasi pelaksanaan hak Subjek Data dalam keadaan-keadaan yang diizinkan oleh UU PDP, termasuk apabila pemenuhan permintaan akan: (a) bertentangan dengan kewajiban hukum; (b) memengaruhi hak pihak ketiga; (c) tidak dapat dilaksanakan secara teknis dalam bentuk yang diminta; atau (d) memerlukan upaya yang tidak proporsional.

BAGIAN VI — KEAMANAN DAN INSIDEN DATA

Pasal 11 — Langkah-langkah Keamanan

11.1. Penyedia Layanan menerapkan langkah-langkah teknis dan organisasi yang wajar untuk melindungi Data Pribadi dari akses tidak sah, kehilangan, penyalahgunaan, penghancuran, atau perubahan, termasuk namun tidak terbatas pada:

(a) Enkripsi Data Pribadi pada saat transit (TLS/SSL) dan saat penyimpanan (encryption at rest);

(b) Kontrol akses berbasis peran (role-based access control) dengan prinsip hak akses minimum;

(c) Otentikasi multi-faktor untuk akses ke sistem yang sensitif;

(d) Pemantauan keamanan dan logging aktivitas;

(e) Pengamanan fisik dan lingkungan untuk infrastruktur;

(f) Penilaian risiko keamanan secara berkala;

(g) Pelatihan keamanan dan privasi bagi personel yang memiliki akses ke Data Pribadi;

(h) Pseudonimisasi dan anonimisasi sebagaimana relevan dengan tujuan pemrosesan.

11.2. Meskipun Penyedia Layanan menerapkan langkah-langkah pengamanan, tidak ada sistem pengamanan elektronik yang sepenuhnya tidak dapat ditembus. Penyedia Layanan tidak menjamin keamanan absolut atas Data Pribadi dan tidak bertanggung jawab atas akses tidak sah yang terjadi akibat faktor di luar kendali wajarnya.

Pasal 12 — Penanganan Insiden Pelindungan Data Pribadi

12.1. Dalam hal terjadi insiden pelindungan Data Pribadi yang berdampak material pada Subjek Data, Penyedia Layanan akan:

(a) Memberitahukan Subjek Data yang terdampak dan Lembaga Pengawas Pelindungan Data Pribadi (atau Kementerian Komunikasi dan Informatika selama Lembaga belum dibentuk) dalam waktu paling lambat 3 x 24 (tujuh puluh dua) jam sejak diketahuinya insiden, sesuai dengan Pasal 46 UU PDP;

(b) Memberikan informasi mengenai kategori dan perkiraan jumlah Subjek Data yang terdampak, perkiraan dampak, dan langkah-langkah mitigasi yang diambil;

(c) Mengoordinasikan respons dengan Pengelola Organisasi dalam hal insiden melibatkan Data Anggota;

(d) Melakukan investigasi dan tindakan perbaikan untuk mencegah kejadian serupa.

12.2. Pengelola Organisasi wajib memberitahukan Penyedia Layanan dalam waktu maksimum 24 (dua puluh empat) jam sejak diketahuinya insiden yang melibatkan Data Anggota, baik yang terjadi pada sistem Organisasi maupun pada Platform.

BAGIAN VII — INFORMASI PENYEDIA LAYANAN DAN KETENTUAN AKHIR

Pasal 13 — Petugas Perlindungan Data (Data Protection Officer)

13.1. Penyedia Layanan menunjuk Petugas Perlindungan Data (DPO) untuk mengawasi kepatuhan terhadap UU PDP dan menangani permintaan, keluhan, atau pertanyaan terkait pelindungan Data Pribadi:

Nama

Davy Lutfhan Satria

Surel

admin@dorokampus.com

Telepon

+62 812 9529 6831

Alamat

Gedung Is Plaza Lt.5, Jl. Pramuka Kav 150, Utan Kayu Utara, Jakarta Timur 13120

13.2. Subjek Data dapat menghubungi Petugas Perlindungan Data untuk: (a) mengajukan permintaan pelaksanaan hak; (b) mengajukan keluhan atau pertanyaan terkait pemrosesan Data Pribadi; (c) memperoleh informasi tambahan mengenai praktik perlindungan data Penyedia Layanan.

13.3. Subjek Data yang merasa hak-haknya dilanggar dapat mengajukan keluhan kepada Lembaga Pengawas Pelindungan Data Pribadi (atau Kementerian Komunikasi dan Informatika selama Lembaga belum dibentuk).

Pasal 14 — Perubahan Kebijakan Privasi

14.1. Penyedia Layanan dapat mengubah Kebijakan Privasi ini dari waktu ke waktu. Perubahan akan diberitahukan kepada Pengguna melalui Platform, surel, atau saluran komunikasi lain yang dianggap layak oleh Penyedia Layanan, dengan masa pemberitahuan:

(a) Minimal 30 (tiga puluh) hari kalender untuk perubahan yang menambah tujuan pemrosesan Data Pribadi yang baru atau mengubah hak material Subjek Data, yang memerlukan persetujuan eksplisit tambahan;

(b) Minimal 7 (tujuh) hari kalender untuk perubahan lainnya.

14.2. Versi Kebijakan Privasi yang berlaku adalah versi terbaru yang dipublikasikan oleh Penyedia Layanan. Versi-versi terdahulu tersedia atas permintaan kepada Petugas Perlindungan Data.

Pasal 15 — Anak di Bawah Umur

15.1. Platform Bama ditujukan untuk Organisasi Mahasiswa pada perguruan tinggi. Penyedia Layanan tidak secara sengaja mengumpulkan Data Pribadi dari individu di bawah usia 18 (delapan belas) tahun tanpa persetujuan dari orang tua atau wali sebagaimana diatur dalam Pasal 25 UU PDP.

15.2. Apabila Pengelola mengelola Data Anggota yang berusia di bawah 18 tahun, Pengelola wajib telah memperoleh persetujuan dari orang tua atau wali yang berwenang dan menjamin kepatuhan terhadap ketentuan UU PDP terkait pemrosesan Data Anak.

Pasal 16 — Bahasa

16.1. Kebijakan Privasi ini disusun dalam Bahasa Indonesia. Apabila terdapat versi terjemahan dalam bahasa lain, versi Bahasa Indonesia merupakan versi yang mengikat secara hukum sesuai dengan UU No. 24 Tahun 2009.

Pasal 17 — Referensi Hukum

17.1. Kebijakan Privasi ini disusun dengan mengacu pada peraturan perundang-undangan yang berlaku di Republik Indonesia, termasuk namun tidak terbatas pada:

(a) Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP);

(b) Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik;

(c) Peraturan Menteri Komunikasi dan Informatika Nomor 5 Tahun 2020 sebagaimana telah diubah, mengenai Penyelenggara Sistem Elektronik Lingkup Privat;

(d) Undang-Undang Nomor 11 Tahun 2008 sebagaimana telah diubah dengan Undang-Undang Nomor 19 Tahun 2016 tentang Informasi dan Transaksi Elektronik;

(e) Peraturan perundang-undangan terkait lainnya yang berlaku di Republik Indonesia.

— PENUTUP —

Ditetapkan dan berlaku efektif sejak: [TBD — Juli 2026]

© 2026 PT Doro Kampus Indonesia