Kebijakan privasi
Draf 18 Oktober 2026, sedang direview advokat. Teks dalam [kurung siku] adalah data perusahaan yang akan dilengkapi sebelum peluncuran dan belum mengikat.
Kebijakan ini menjelaskan data pribadi apa yang diproses lewat situs dan layanan Hex256, untuk tujuan apa, berapa lama, ke mana dikirim, dan apa hak Anda menurut UU 27/2022 tentang Pelindungan Data Pribadi (UU PDP).
1. Siapa kami
Hex256 dioperasikan oleh PT [NAMA BADAN HUKUM], beralamat di [ALAMAT KANTOR TERDAFTAR], [KOTA] [KODE POS], Indonesia, NIB [NOMOR NIB], terdaftar sebagai Penyelenggara Sistem Elektronik Lingkup Privat dengan nomor [NOMOR TANDA DAFTAR PSE LINGKUP PRIVAT].
Pejabat Pelindungan Data Pribadi (PPDP) kami: [NAMA PEJABAT PELINDUNGAN DATA PRIBADI], [email protected]. Pertanyaan umum soal privasi: [email protected].
2. Dua peran kami
- Pengendali data untuk data pengunjung situs, pendaftar pilot, pengguna akun, dan kontak tagihan. Kami yang menentukan tujuan dan cara pemrosesannya.
- Prosesor data untuk data pribadi yang mungkin ikut terlihat saat kami memeriksa sistem pelanggan, misalnya nama tabel, contoh baris yang terbuka, atau alamat email di temuan. Di sini pelanggan adalah pengendali, dan kami hanya memproses atas instruksinya sesuai Pasal 51 UU PDP dan perjanjian pemrosesan data (DPA).
3. Data yang kami proses
- Cek gratis: nama domain yang Anda masukkan, alamat IP Anda untuk pembatasan pemakaian, dan data publik domain itu (DNS, sertifikat TLS, header situs).
- Pendaftaran pilot: nama, perusahaan, email kerja, nomor WhatsApp, domain, paket pilihan, dan catatan yang Anda tulis.
- Akun: email, nama, peran di workspace, waktu masuk, dan log aktivitas keamanan (misalnya pembuatan API key atau persetujuan pemindaian).
- Layanan berbayar: daftar aset (domain, repo, akun cloud), hasil pemeriksaan, temuan, insiden, dan dokumen yang Anda unggah. Kami tidak menyimpan nilai secret, kata sandi, atau isi baris database yang terbuka; yang kami catat hanya lokasi, jenis, dan jumlahnya.
- Partner API: nama key, scope, waktu pemakaian, dan jumlah hit. Isi permintaan ROPA dan draf insiden tidak disimpan.
- Tagihan: nama badan usaha, NPWP, alamat penagihan, dan riwayat pembayaran.
4. Tujuan dan dasar pemrosesan
- Menjalankan layanan yang Anda minta dan memenuhi kontrak (Pasal 20 ayat 2 huruf b).
- Menghubungi Anda soal pendaftaran pilot dan meneruskan perkara ke Dampingin, berdasarkan persetujuan yang bisa ditarik kapan saja (Pasal 20 ayat 2 huruf a).
- Mencegah penyalahgunaan, misalnya pembatasan cek gratis per alamat IP dan log keamanan, berdasarkan kepentingan yang sah (Pasal 20 ayat 2 huruf f).
- Memenuhi kewajiban hukum, misalnya perpajakan dan notifikasi kegagalan pelindungan data (Pasal 20 ayat 2 huruf c).
Data pelanggan tidak dipakai untuk melatih model AI tanpa persetujuan tertulis dan anonimisasi lebih dulu.
5. Pemakaian AI dan keputusan otomatis
Kami memakai model AI untuk mengelompokkan dan memprioritaskan temuan teknis. Potongan kode dan bukti disamarkan sebelum dikirim, dan model tidak membuat keputusan tentang orang perseorangan. Keputusan yang berdampak pada Anda, seperti menangguhkan akun, selalu diambil oleh manusia.
6. Pihak yang menerima data
Kami tidak menjual data pribadi. Data hanya diteruskan ke subprosesor yang membantu menjalankan layanan, dengan kewajiban kerahasiaan yang setara. Daftar lengkap, termasuk sumber data publik yang kami kueri saat memeriksa domain, ada di halaman subprosesor. Data diteruskan ke Dampingin hanya jika Anda memintanya.
Kami bisa diwajibkan membuka data kepada aparat penegak hukum berdasarkan perintah yang sah. Jika diizinkan hukum, kami memberi tahu Anda lebih dulu.
7. Transfer ke luar Indonesia
Server kami berada di [NEGARA/REGION SERVER] ([NAMA PENYEDIA CLOUD]), dan beberapa subprosesor berada di luar Indonesia, misalnya Amerika Serikat. Sesuai Pasal 56 UU PDP, kami hanya mentransfer data ke negara atau penerima dengan tingkat pelindungan yang setara atau lebih tinggi, atau dengan perjanjian yang mewajibkan pelindungan itu. Jika keduanya tidak tersedia, kami meminta persetujuan Anda lebih dulu.
8. Berapa lama data disimpan
| Data | Masa simpan |
|---|---|
| Hasil cek gratis | Disimpan di memori paling lama 1 jam untuk tampilan hasil, lalu hilang. Tidak ditulis ke database. |
| Formulir pendaftaran pilot | 12 bulan sejak dikirim, lalu dihapus jika Anda tidak menjadi pelanggan. |
| Akun dan anggota workspace | Selama akun aktif, lalu 90 hari setelah pengakhiran untuk masa ekspor data. |
| Temuan, insiden, SBOM, dan log audit workspace | Selama kontrak, lalu 90 hari setelah pengakhiran. Log audit keamanan akun Hex256 sendiri disimpan 1 tahun. |
| Salinan repositori untuk pemindaian | Dihapus segera setelah pemindaian selesai. Yang disimpan hanya temuan dengan potongan yang sudah disamarkan. |
| API key | Hanya hash SHA-256 yang disimpan. Nilai key ditampilkan sekali saat dibuat dan tidak bisa kami lihat lagi. |
| Tagihan dan faktur | 10 tahun, sesuai kewajiban penyimpanan dokumen keuangan perusahaan. |
9. Keamanan
Data dienkripsi saat dikirim (TLS) dan disimpan di server dengan akses terbatas. Akses staf memakai prinsip hak minimum dan dicatat. Akses kami ke repo dan cloud Anda hanya baca, dan bisa Anda cabut sendiri kapan saja.
10. Hak Anda
- Mendapat informasi tentang identitas kami, dasar hukum, tujuan, dan akuntabilitas pemrosesan (Pasal 5).
- Melengkapi, memperbarui, dan memperbaiki data yang tidak akurat (Pasal 6).
- Mengakses dan mendapat salinan data pribadi Anda (Pasal 7).
- Mengakhiri pemrosesan, menghapus, atau memusnahkan data Anda (Pasal 8).
- Menarik kembali persetujuan kapan saja, tanpa memengaruhi pemrosesan sebelum penarikan (Pasal 9).
- Mengajukan keberatan atas keputusan yang hanya didasarkan pada pemrosesan otomatis (Pasal 10).
- Menunda atau membatasi pemrosesan secara proporsional dengan tujuannya (Pasal 11).
- Menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data Anda (Pasal 12).
- Mendapat dan memindahkan data dalam format yang umum dipakai dan bisa dibaca mesin (Pasal 13).
Kirim permintaan ke [email protected] dari email yang terdaftar. Kami menanggapi paling lambat 3x24 jam sejak permintaan lengkap diterima, sesuai tenggat UU PDP. Kami bisa meminta verifikasi identitas sebelum menjalankan permintaan. Jika Anda tidak puas, Anda bisa mengadu ke lembaga pelindungan data pribadi.
11. Cookie
Kami hanya memakai cookie yang benar-benar diperlukan: cookie sesi untuk menjaga Anda tetap masuk, dan cookie sementara saat menghubungkan GitHub. Kami tidak memakai cookie analitik, iklan, atau pelacak pihak ketiga, sehingga tidak ada banner persetujuan cookie.
12. Anak
Hex256 adalah layanan untuk badan usaha. Kami tidak ditujukan untuk dan tidak dengan sengaja memproses data anak di bawah 18 tahun sebagai pengguna.
13. Kegagalan pelindungan data
Jika terjadi kegagalan pelindungan data pribadi yang kami kendalikan, kami memberi tahu Anda dan lembaga pelindungan data paling lambat 3x24 jam, sesuai Pasal 46 UU PDP. Untuk data yang kami proses atas nama pelanggan, kami memberi tahu pelanggan tanpa penundaan agar pelanggan bisa memenuhi kewajibannya.
14. Perubahan kebijakan
Perubahan penting kami umumkan lewat email ke pemilik workspace paling lambat 30 hari sebelum berlaku. Versi dan tanggal berlaku tercantum di atas halaman ini.
15. Kontak
PT [NAMA BADAN HUKUM], [ALAMAT KANTOR TERDAFTAR], [KOTA] [KODE POS], Indonesia. PPDP: [email protected]. Privasi: [email protected]. Celah keamanan: [email protected].