Kebijakan ini menjelaskan data pribadi apa yang diproses Konek QR, untuk apa, berapa lama disimpan, siapa saja yang ikut memprosesnya, dan apa hakmu. Kebijakan ini disusun mengikuti Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) dan aturan pelaksananya.
1. Pengendali data
Pengendali data untuk layanan Konek QR adalah Konek QR. Hubungi kami soal data pribadi di [email protected] dengan judul "Data pribadi", atau WhatsApp 0899-6511-116.
Untuk data pembeli yang kamu kirim ke Konek QR sebagai merchant (misalnya di deskripsi atau metadata tagihan), kamu adalah pengendali datanya dan Konek QR memprosesnya atas namamu.
2. Data yang kami proses
Saat kamu mendaftar dan memakai akun
- email, nama lengkap, dan nomor WhatsApp (opsional);
- password, yang hanya kami simpan dalam bentuk hash argon2id; kalau kamu masuk dengan Google, ID akun Google dan emailnya;
- rahasia 2FA (terenkripsi) dan kode pemulihan (dalam bentuk hash);
- pilihan bahasa dan tema, sesi masuk, dan perangkat yang pernah berhasil masuk.
QRIS dan tagihan
- isi QRIS statis yang kamu tambahkan: nama merchant terdaftar, NMID, kota, penerbit, dan kategori usaha;
- tagihan: nominal, kode unik, deskripsi,
referenceId,metadata,returnUrl, status, dan waktunya; - logo, nama tampilan, dan label halaman bayar.
HP Listener
- nama HP yang kamu beri, versi aplikasi, dan laporan kesehatan berkala: status akses notifikasi, baterai dan pengisian daya, jenis jaringan, jumlah antrean, dan waktu notifikasi terakhir;
- pengenal perangkat dalam bentuk hash, untuk mendeteksi satu HP yang dipasangkan ke beberapa akun. Kami hanya menyimpan HMAC dari hash pengenal Android-nya, tidak pernah pengenal aslinya;
- notifikasi pembayaran dari aplikasi merchant yang ada di daftar Listener (aplikasi akun merchant yang didukung). Teks notifikasi bisa memuat nama pembayar kalau aplikasi merchant-mu menampilkannya. Notifikasi dari aplikasi lain, chat, dan SMS tidak pernah dikirim.
Saldo dan biaya
- isi ulang saldo, potongan biaya, dan riwayat ledger saldo.
Integrasi dan notifikasi
- API key (dalam bentuk hash), endpoint webhook dan secret-nya (terenkripsi), log pengiriman webhook;
- chat Telegram yang kamu sambungkan untuk notifikasi.
Data teknis dan keamanan
- alamat IP, jenis browser, waktu akses, dan catatan percobaan masuk;
- sinyal risiko untuk mendeteksi penyalahgunaan, misalnya pola nominal dan kata kunci di nama atau deskripsi tagihan.
Laporan dan komunikasi
- laporan dari tombol "Laporkan" di halaman bayar, termasuk email pelapor kalau diisi;
- email dan pesan WhatsApp yang kamu kirim ke kami.
Pengunjung situs ini dan halaman bayar
- konekqr.web.id tidak memakai cookie, analitik, atau pelacak pihak ketiga. Alat Cek QRIS membaca QRIS di browsermu; yang dikirim ke server hanya NMID dan MPAN-nya (nomor merchant di penerbitnya), untuk menampilkan status di Konek QR.
- halaman bayar mencatat alamat IP dan data teknis di log server untuk keamanan.
Kami tidak pernah meminta atau menyimpan password, PIN, OTP, atau token akun merchant-mu.
3. Untuk apa data dipakai, dan dasarnya
| Tujuan | Dasar pemrosesan |
|---|---|
| Membuat dan menjalankan akunmu, membuat tagihan dan QR, mencocokkan pembayaran, mengirim notifikasi yang kamu atur | pelaksanaan perjanjian (Syarat dan Ketentuan) |
| Memotong biaya, mengelola saldo, dan menyimpan catatan transaksi | pelaksanaan perjanjian dan kewajiban hukum |
| Menjaga keamanan akun, mencegah penipuan, judi online, dan penyalahgunaan QRIS | kepentingan yang sah dan kewajiban hukum |
| Menjawab pertanyaan, laporan, dan permintaanmu | pelaksanaan perjanjian dan kepentingan yang sah |
| Mengirim kabar penting tentang akun, keamanan, dan perubahan layanan | pelaksanaan perjanjian |
| Membaca notifikasi pembayaran lewat Listener | persetujuanmu di layar persetujuan data Listener, yang bisa kamu cabut dengan memutuskan HP |
Kami tidak menjual data pribadi, tidak memakainya untuk iklan, dan tidak mengirim email promosi tanpa persetujuanmu.
4. Keputusan otomatis
Sistem deteksi penyalahgunaan memberi skor risiko dari pola transaksi, isi tagihan, perilaku akun, dan laporan pembayar. Skor yang tinggi bisa menahan tagihan live secara otomatis sampai ditinjau. Penutupan akun dan daftar hitam NMID selalu diputuskan oleh manusia. Kamu berhak meminta peninjauan ulang oleh manusia atas keputusan otomatis lewat [email protected].
5. Berapa lama data disimpan
| Data | Lama disimpan |
|---|---|
| Teks notifikasi pembayaran dari Listener | 30 hari, setelah itu hanya nominal dan waktunya |
| Antrean notifikasi di HP yang belum terkirim | sampai 7 hari, di HP itu |
| Pengenal perangkat HP Listener (hash) | selama akunmu aktif, juga untuk HP yang sudah diputus |
Event akun (yang juga dibaca lewat GET /v1/events) dan log pengiriman webhook | 30 hari |
| Sesi masuk | sampai keluar, atau 7 hari |
| Catatan percobaan masuk yang gagal | 90 hari |
| Log server | 30 hari |
| Backup database terenkripsi | 30 hari |
| Data akun, QRIS, tagihan, dan pengaturan | selama akunmu aktif |
| Setelah akun ditutup | dihapus atau dianonimkan paling lambat 30 hari, kecuali catatan transaksi, ledger saldo, audit log, dan data kasus penyalahgunaan, yang kami simpan selama diwajibkan hukum atau diperlukan untuk menyelesaikan sengketa |
6. Pihak yang ikut memproses data
Kami memakai penyedia berikut, masing-masing hanya untuk tugasnya:
- Cloudflare: jaringan dan perlindungan semua host konekqr.web.id, Turnstile di form masuk dan daftar, penerusan email care@, dan penyimpanan backup terenkripsi;
- penyedia server (VPS) tempat aplikasi dan database berjalan;
- Resend: pengiriman email akun;
- Google: kalau kamu memilih masuk dengan Google;
- Telegram: kalau kamu menyambungkannya untuk notifikasi;
- Have I Been Pwned: pengecekan password bocor; yang dikirim hanya 5 karakter awal hash password, bukan password-nya.
Sebagian penyedia ini memproses data di luar Indonesia. Kami memilih penyedia yang memberi perlindungan data yang setara atau lebih tinggi dari UU PDP.
Kami juga bisa memberikan data kepada aparat penegak hukum, atau kepada penyedia QRIS dalam kasus penipuan atau penyalahgunaan QRIS, kalau diwajibkan hukum atau diminta secara sah.
7. Cara kami menjaga data
Koneksi selalu terenkripsi (HTTPS). Password, API key, dan token disimpan sebagai hash; secret webhook, Telegram, dan 2FA dienkripsi. Isi QRIS disegel dengan HMAC supaya tidak bisa ditukar diam-diam. Server hanya menerima lalu lintas lewat Cloudflare, akses admin dilindungi 2FA, dan setiap tindakan admin tercatat di audit log. Backup dienkripsi.
8. Hakmu
Sesuai UU PDP, kamu berhak:
- mendapat informasi tentang pemrosesan datamu, dan meminta salinannya;
- membetulkan data yang salah atau tidak lengkap; sebagian bisa langsung kamu ubah di dashboard;
- meminta datamu dihapus, atau pemrosesannya dihentikan atau dibatasi;
- menarik persetujuan yang pernah kamu berikan;
- menolak keputusan yang sepenuhnya otomatis dan meminta peninjauan oleh manusia;
- mendapat datamu dalam format yang bisa dibaca mesin, misalnya ekspor CSV tagihan dari dashboard;
- mengajukan keberatan atau gugatan sesuai hukum yang berlaku.
Kirim permintaan dari email akunmu ke [email protected] dengan judul "Data pribadi". Kami menjawab paling lambat 3 x 24 jam sejak permintaan diterima, dan mungkin meminta bukti bahwa kamu pemilik akun. Sebagian data tetap kami simpan kalau hukum mewajibkannya (lihat bagian 5).
9. Kalau terjadi kebocoran data
Kalau terjadi kegagalan pelindungan data pribadi yang menyangkut datamu, kami memberi tahu kamu dan lembaga yang berwenang secara tertulis paling lambat 3 x 24 jam sejak kami mengetahuinya. Pemberitahuan itu memuat data apa yang terdampak, kapan dan bagaimana kejadiannya, serta langkah yang kami ambil dan yang sebaiknya kamu ambil.
10. Anak-anak
Konek QR untuk merchant berusia 18 tahun ke atas. Kami tidak dengan sengaja memproses data anak. Kalau kamu tahu ada akun milik anak, kabari kami.
11. Perubahan kebijakan
Kalau kebijakan ini berubah secara penting, kami memberi tahu lewat email dan dashboard paling lambat 14 hari sebelum berlaku. Tanggal versi ada di bagian atas halaman ini.
12. Cookie dan penyimpanan di browser
Bagian ini menjelaskan cookie dan penyimpanan di browser yang dipakai Konek QR. Singkatnya: situs ini tidak memakai cookie sama sekali, dan dashboard hanya memakai cookie yang benar-benar diperlukan supaya kamu bisa masuk dengan aman. Tidak ada cookie iklan, analitik, atau pelacak pihak ketiga. Pada kunjungan pertama, situs menampilkan pemberitahuan singkat tentang hal ini; pilihan "Mengerti" disimpan di browsermu sebagai kq.notice, bukan sebagai cookie.
Situs konekqr.web.id
Situs ini, termasuk dokumentasi dan alat Cek QRIS, tidak memasang cookie. Beberapa pilihanmu disimpan di penyimpanan lokal browser (localStorage), tidak pernah dikirim ke server kami, dan bisa kamu hapus kapan saja lewat pengaturan browser:
| Nama | Isi | Kapan dibuat |
|---|---|---|
kq.theme | tema terang atau gelap | saat kamu memilih tema yang berbeda dari setelan perangkatmu |
kq.locale | bahasa Indonesia atau Inggris | saat kamu memilih bahasa lewat tombol ID/EN |
kq.notice | bahwa kamu sudah menutup pemberitahuan cookie | saat kamu menekan "Mengerti" |
scalar-reference-selected-client-v2, colorMode | bahasa contoh kode yang dipilih di Referensi API, dan mungkin mode warnanya (disimpan oleh Scalar, penampil referensi API) | saat kamu membuka atau memakai halaman Referensi API |
Dashboard app.konekqr.web.id
Dashboard hanya memakai cookie yang diperlukan untuk masuk dan menjaga keamanan akun. Semuanya cookie __Host-: hanya dikirim lewat HTTPS ke app.konekqr.web.id, tidak bisa dibaca JavaScript, dan tidak dibagikan ke situs lain.
| Nama | Gunanya | Berlaku |
|---|---|---|
__Host-kq_session | menandai bahwa kamu sudah masuk | sampai kamu keluar, paling lama 7 hari |
__Host-kq_device | mengenali browser yang pernah berhasil masuk ke akunmu, supaya orang yang salah menebak password tidak bisa mengunci kamu di browser itu | 180 hari |
__Host-kq_2fa | menyimpan langkah masuk saat kamu memasukkan kode 2FA | 5 menit |
__Host-kq_reg | menyimpan langkah pendaftaran setelah email diverifikasi | 30 menit |
__Host-kq_oauth | menghubungkan kepergian dan kepulanganmu dari Google saat masuk dengan Google | 10 menit |
Karena cookie ini diperlukan agar layanan yang kamu minta bisa berjalan, cookie ini tidak memerlukan persetujuan terpisah. Kalau kamu memblokirnya, kamu tidak bisa masuk ke dashboard.
Form masuk dan daftar memakai Cloudflare Turnstile untuk membedakan manusia dari bot. Turnstile berjalan di dalam frame dari challenges.cloudflare.com dan diatur oleh kebijakan privasi Cloudflare. Pilihan bahasa dan tema di dashboard disimpan di profil akunmu.
Halaman bayar dan API
Halaman bayar di pay.konekqr.web.id dan API di api.konekqr.web.id tidak memasang cookie.
13. Bahasa
Kebijakan ini dibuat dalam bahasa Indonesia dan bahasa Inggris. Kalau ada perbedaan, versi bahasa Indonesia yang berlaku.