Pemberitahuan Privasi

1. Tentang kami dan cakupan pemberitahuan ini

Claro adalah platform simulasi phishing dan manajemen risiko manusia yang dikembangkan dan dioperasikan oleh PT Alpha Code Technologies ("AlphaCode" atau "kami"), perusahaan yang didirikan di Indonesia. Pemberitahuan ini menjelaskan cara kami memproses data pribadi ketika Anda mengunjungi getclaro.tech, menggunakan platform Claro sebagai administrator atau peserta pelatihan, serta menggunakan alat pelaporan Claro: add-in Outlook, ekstensi Gmail, dan portal pelaporan publik.

Kami memproses data pribadi sesuai dengan Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Apabila General Data Protection Regulation Uni Eropa (GDPR) berlaku bagi klien atau individu tertentu, kami juga memenuhi ketentuannya.

Claro tersedia sebagai layanan terkelola dan sebagai instalasi on-premise. Pada instalasi on-premise, klien menjalankan Claro di infrastrukturnya sendiri serta menentukan lokasi penyimpanan data dan layanan eksternal opsional yang diaktifkan, sehingga rincian hosting dan penyedia layanan pada bagian 8 dan 9 hanya berlaku sejauh diaktifkan oleh klien.

2. Peran kami: pengendali atau prosesor

UU PDP membedakan Pengendali Data Pribadi, yang menentukan tujuan dan cara pemrosesan data pribadi, dari Prosesor Data Pribadi, yang memproses data atas nama pengendali. Peran kami bergantung pada data siapa yang diproses.

Jika Anda didaftarkan oleh klien Claro, organisasi tersebut adalah pihak pertama yang perlu Anda hubungi untuk pertanyaan tentang alasan pendaftaran Anda dan penggunaan hasil Anda, dan pemrosesan tersebut tunduk pada pemberitahuan privasi organisasi itu sendiri. Kami hanya memproses data Anda berdasarkan instruksi tertulis klien dan perjanjian kami dengannya.

3. Data pribadi yang kami proses

Orang yang didaftarkan oleh organisasi klien

Pihak lain dalam email yang dilaporkan

Email yang dilaporkan dan bukan simulasi kami adalah email sungguhan, sehingga dapat memuat data pribadi orang yang tidak memiliki hubungan dengan Claro, misalnya pengirim dan penerima lainnya. Kami menyimpannya semata-mata agar tim keamanan klien dapat meninjau laporan tersebut, dan email itu dihapus bersama ruang kerja klien.

Pengunjung situs web dan calon klien

• Permintaan kontak dan demo: nama, perusahaan, email kantor, serta secara opsional nomor telepon, jabatan, dan pesan. Formulir ini dikirim ke tim kami melalui email dan tidak disimpan di basis data platform Claro.
• Ransomware Exposure Check: alamat email kantor Anda (disimpan terenkripsi), domain organisasinya, domain yang Anda periksa, bahasa Anda, dan hasil yang disiapkan untuk Anda, termasuk ringkasan PDF.
• Analitik, hanya jika Anda menyetujui cookie: halaman yang dilihat, perkiraan lokasi, informasi perangkat dan peramban, serta peristiwa seperti pengiriman formulir, yang dikumpulkan oleh Google Analytics 4. Kami tidak pernah mengirim nama, alamat email, perusahaan, atau pesan Anda ke Google Analytics.
• Data teknis: setiap permintaan ke server kami membawa alamat IP dan informasi peramban, yang digunakan infrastruktur kami untuk menyediakan dan melindungi layanan.

4. Data yang sengaja tidak kami kumpulkan

• Kredensial yang diisikan. Ketika seseorang mengetik nama pengguna atau kata sandi di halaman phishing simulasi, Claro hanya mencatat bahwa pengisian terjadi. Nilai yang diketik tidak pernah dibaca, disimpan, atau dicatat dalam log.
• Rekaman panggilan. Panggilan suara simulasi tidak pernah direkam. Claro hanya menyimpan tombol yang ditekan untuk menjalankan skrip panggilan dan hasilnya.
• Berkas impor. Berkas CSV yang diunggah untuk mengimpor pengguna diproses di memori lalu dibuang, tidak disimpan.
• Data pribadi yang bersifat spesifik. Claro tidak meminta data pribadi yang bersifat spesifik sebagaimana dimaksud dalam Pasal 4 ayat (2) UU PDP, seperti data kesehatan, biometrik, genetika, catatan kejahatan, atau data keuangan pribadi. Data semacam itu tetap dapat muncul dalam email yang dilaporkan seseorang.

5. Tujuan dan dasar pemrosesan

Pasal 20 UU PDP mewajibkan adanya dasar pemrosesan untuk setiap tujuan. Ketika kami bertindak sebagai prosesor, organisasi klien yang menentukan dasar pemrosesannya, umumnya kepentingan yang sah untuk melindungi sistemnya atau kewajiban hukum seperti yang ditetapkan OJK. Ketika kami bertindak sebagai pengendali, kami menggunakan dasar pemrosesan berikut.

Kami tidak menjual data pribadi dan tidak menggunakan data klien untuk iklan.

6. Fitur AI

Fitur AI diaktifkan per klien, dan klien memilih penyedianya: Anthropic, OpenAI, NVIDIA, atau model yang di-hosting sendiri oleh klien. Saat sebuah fitur digunakan, Claro hanya mengirimkan data yang diperlukan fitur tersebut kepada penyedia.

• Simulasi yang dipersonalisasi: nama depan dan belakang penerima, jabatan, departemen, nama atasan, dan bahasa, beserta skenario yang ditulis administrator klien. Alamat email dan nomor telepon tidak pernah disertakan.
• Analisis ancaman email: isi email yang dikirim atau dilaporkan seseorang untuk dianalisis, beserta sinyal teknis yang diturunkan Claro darinya.
• Pembuatan templat dan pesan pendorong perilaku: instruksi administrator dan konteks yang diperlukan untuk menyesuaikan konten, seperti jabatan, departemen, dan bahasa.

Administrator klien meninjau dan menyetujui setiap email simulasi yang dipersonalisasi AI sebelum dikirim, dan teks dalam laporan Claro yang ditulis AI diberi label yang jelas.

7. Skor risiko dan keputusan otomatis

Claro menghitung skor risiko individu dari hasil simulasi, perilaku pelaporan, dan aktivitas pelatihan, serta dapat menugaskan pelatihan secara otomatis ketika seseorang gagal dalam simulasi. Ini merupakan pemrofilan. Claro sendiri tidak membuat keputusan yang menimbulkan akibat hukum atau dampak signifikan serupa terhadap siapa pun: skor adalah alat bantu bagi tim keamanan klien.

Berdasarkan Pasal 10 UU PDP, Anda berhak mengajukan keberatan atas keputusan yang hanya didasarkan pada pemrosesan otomatis, termasuk pemrofilan, yang menimbulkan akibat hukum atau berdampak signifikan bagi Anda. Sampaikan keberatan tersebut kepada organisasi yang mendaftarkan Anda, dan kami akan mendukung penanganannya.

8. Penyedia layanan dan penerima lainnya

Kami hanya membagikan data pribadi kepada penyedia di bawah ini, kepada organisasi klien yang mendaftarkan Anda, dan kepada otoritas apabila diwajibkan oleh hukum. Penyedia opsional hanya menerima data jika klien mengaktifkan fitur terkait.

Ketika klien menghubungkan sistemnya sendiri, seperti penyedia single sign-on, direktori SCIM, SIEM, atau endpoint webhook, Claro bertukar data dengan sistem tersebut sesuai instruksi klien. Sistem tersebut milik klien dan bukan penyedia layanan kami.

9. Lokasi penyimpanan data dan transfer ke luar negeri

Untuk layanan terkelola, aplikasi, basis data, cache, dan penyimpanan berkas berjalan di Google Cloud Platform di Jakarta (region asia-southeast2), dan log aplikasi dikirim ke Coralogix di Jakarta. Dalam konfigurasi bawaan, data pribadi klien tidak keluar dari Indonesia.

Data hanya keluar dari Indonesia apabila klien menggunakan fitur opsional yang bergantung pada penyedia di luar Indonesia (bagian 8), atau apabila Anda menyetujui cookie analitik di situs web kami. Pasal 56 UU PDP memperbolehkan transfer tersebut apabila negara penerima memiliki tingkat pelindungan yang setara atau lebih tinggi daripada UU PDP, apabila terdapat pelindungan yang memadai dan bersifat mengikat, atau dengan persetujuan Subjek Data Pribadi. Klien yang memutuskan apakah fitur-fitur tersebut diaktifkan untuk ruang kerjanya.

10. Berapa lama data disimpan

Kami menyimpan data pribadi hanya selama diperlukan untuk tujuannya, diizinkan oleh pengaturan klien, atau diwajibkan oleh hukum.

Ketika klien berhenti berlangganan

Ketika klien mengakhiri langganannya, ruang kerjanya ditangguhkan dan dijadwalkan untuk dihapus setelah masa tenggang, secara bawaan 30 hari, dan selama masa itu klien menerima ekspor log auditnya. Setelah masa tenggang berakhir, seluruh catatan basis data dan berkas tersimpan milik klien dihapus secara permanen dari sistem aktif kami, dan kunci enkripsinya dimusnahkan paling akhir. Cadangan basis data yang dibuat sebelum saat itu tidak ikut berubah: hingga kedaluwarsa dalam masa simpan cadangan di atas, cadangan tersebut masih memuat data klien, termasuk kunci enkripsinya dan kolom yang memang tidak pernah dienkripsi, seperti nama, jabatan, dan isi email yang dilaporkan. Prosedur pemulihan kami mewajibkan setiap penghapusan yang telah selesai diterapkan kembali sebelum sistem hasil pemulihan digunakan, sehingga cadangan tidak dapat memunculkan kembali ruang kerja yang telah dihapus. Kami menyimpan catatan bahwa penghapusan telah dilakukan, tanpa memuat data pribadi.

11. Cara kami melindungi data

• Alamat email, nomor telepon, alamat IP, dan kredensial layanan yang terhubung dienkripsi di tingkat aplikasi dengan AES-256-GCM, menggunakan kunci enkripsi terpisah untuk setiap klien.
• Pencarian pada kolom terenkripsi menggunakan hash satu arah berkunci, sehingga nilai tidak perlu didekripsi untuk ditemukan.
• Setiap catatan hanya dimiliki oleh satu ruang kerja klien, dan setiap kueri difilter berdasarkan ruang kerja tersebut.
• Akses di dalam ruang kerja dibatasi berdasarkan peran (administrator, manajer kampanye, analis, peserta), dan klien dapat mewajibkan single sign-on melalui SAML 2.0.
• Tindakan administratif dicatat dalam log audit yang dapat ditinjau dan diekspor oleh klien.
• Koneksi ke Claro dienkripsi saat transit dengan TLS.
• Log dan laporan kesalahan dirancang untuk tidak memuat alamat email, nomor telepon, dan token akses.

Nama dan jabatan tidak dienkripsi di tingkat kolom agar administrator dapat mencari orang; data tersebut dilindungi oleh kontrol akses di atas. Tidak ada sistem yang sepenuhnya aman: jika Anda menemukan masalah keamanan, hubungi kami melalui alamat di bagian 17.

12. Hak Anda

Berdasarkan UU PDP, Anda berhak untuk:

• mendapatkan informasi tentang identitas pengendali, tujuan dan dasar pemrosesan, serta penggunaan data Anda;
• mengakses data pribadi Anda dan memperoleh salinannya;
• memperbaiki data yang tidak akurat atau tidak lengkap;
• mengakhiri pemrosesan data Anda serta meminta data dihapus atau dimusnahkan;
• menarik kembali persetujuan yang telah Anda berikan;
• mengajukan keberatan atas keputusan yang hanya didasarkan pada pemrosesan otomatis, termasuk pemrofilan (bagian 7);
• menunda atau membatasi pemrosesan secara proporsional sesuai tujuannya;
• memperoleh data Anda dalam format yang umum digunakan dan dapat dibaca mesin, serta meminta data tersebut dikirim ke pengendali lain; dan
• menuntut ganti rugi atas pelanggaran dalam pemrosesan data Anda.

Cara mengajukan permintaan

Jika Anda didaftarkan ke Claro oleh suatu organisasi, ajukan permintaan Anda kepada organisasi tersebut karena organisasi itulah pengendalinya. Administratornya dapat mengekspor seluruh data yang disimpan Claro tentang seseorang dalam berkas yang dapat dibaca mesin, memperbaiki data profil, dan menghapus identitas seseorang langsung di Claro. Jika Anda menghubungi kami, kami akan meneruskan permintaan Anda kepada organisasi tersebut dan membantunya menanggapi.

Untuk data yang kami kendalikan (bagian 2), kirim email ke privacy@alphacode.tech. Kami dapat meminta Anda mengonfirmasi identitas terlebih dahulu. UU PDP menetapkan batas waktu tanggapan, misalnya 3 x 24 jam untuk memberikan akses atau memperbaiki data pribadi. Kami menanggapi dalam batas waktu yang berlaku untuk permintaan Anda, dan jika kami tidak dapat memenuhinya, kami akan menjelaskan alasannya.

Beberapa permintaan memiliki batasan. Klien mungkin wajib menyimpan log audit selama 5 tahun berdasarkan peraturan OJK, dan penghapusan di Claro menghilangkan identitas seseorang sambil mempertahankan hasil yang telah dianonimkan sebagai bukti kepatuhan klien.

13. Cookie dan teknologi serupa

Di getclaro.tech, Google Analytics baru dimuat setelah Anda memilih Terima pada banner cookie. Jika Anda menolak atau belum memilih, skrip analitik tidak dimuat dan tidak ada data yang dikirim ke Google. Platform Claro sendiri, termasuk konsol admin dan portal peserta, tidak menggunakan cookie analitik.

Untuk mengubah pilihan Anda, hapus cookie dan penyimpanan situs ini di peramban, dan banner akan muncul kembali pada kunjungan berikutnya. Claro juga menyimpan beberapa preferensi tampilan, seperti sidebar yang diciutkan, di penyimpanan lokal peramban pada perangkat Anda.

14. Kegagalan pelindungan data pribadi

Jika terjadi kegagalan pelindungan data pribadi, kami menanggulanginya dan menilai dampaknya. Ketika kami bertindak sebagai pengendali, kami memberitahukan secara tertulis kepada individu yang terdampak dan kepada lembaga paling lambat 3 x 24 jam sebagaimana diwajibkan Pasal 46 UU PDP, dengan menyebutkan data yang terungkap, kapan dan bagaimana kegagalan terjadi, serta upaya penanganannya. Ketika kami memproses data untuk klien, kami memberi tahu klien tanpa penundaan yang tidak semestinya dan memberikan informasi yang diperlukan agar klien dapat memenuhi kewajiban pemberitahuannya sendiri.

15. Anak-anak

Claro dirancang untuk lingkungan kerja dan tidak ditujukan bagi anak-anak, dan kami tidak dengan sengaja mengumpulkan data pribadi anak melalui situs web kami. Jika klien mendaftarkan seseorang yang berusia di bawah 18 tahun, misalnya pelajar, klien bertanggung jawab memperoleh persetujuan orang tua atau wali sebagaimana diwajibkan Pasal 25 UU PDP.

16. Perubahan pemberitahuan ini

Kami memperbarui pemberitahuan ini ketika pemrosesan kami berubah dan mengubah tanggal di bagian atas halaman. Jika perubahan berdampak material terhadap cara kami memproses data klien, kami juga memberi tahu administrator klien.

17. Hubungi kami

Kirim pertanyaan, permintaan, dan pengaduan terkait privasi ke:

Jika Anda tidak puas dengan tanggapan kami, Anda dapat mengajukan pengaduan kepada lembaga pelindungan data pribadi yang dibentuk berdasarkan UU PDP.