Kebijakan Privasi

1. Ruang Lingkup & Pengendali Data

Kebijakan ini menjelaskan bagaimana PT Barakah Nabawiyah Teknologi (“Perusahaan”, “kami”) mengumpulkan, memproses, menyimpan, dan melindungi data pribadi di dalam aplikasi internal NabawiTech Business Suite.

Perusahaan bertindak sebagai Pengendali Data Pribadi (data controller) atas seluruh data yang diproses melalui aplikasi ini. Aplikasi ini adalah sistem internal — aksesnya terbatas pada karyawan, kontraktor, dan mitra kerja Perusahaan yang telah diberi akun. Aplikasi ini tidak ditujukan untuk publik dan tidak menerima pendaftaran mandiri.

Subjek data yang dicakup kebijakan ini meliputi karyawan tetap, karyawan kontrak, magang, freelancer, serta narahubung dari klien dan pemasok yang datanya tercatat dalam sistem.

2. Kepatuhan Regulasi

Pemrosesan data pribadi dalam aplikasi ini dirancang untuk patuh terhadap:

• UU PDP — Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, sebagai kerangka hukum utama karena Perusahaan berkedudukan di Indonesia dan sebagian besar subjek data berada di Indonesia.
• GDPR — Regulation (EU) 2016/679 (General Data Protection Regulation), yang kami terapkan sebagai standar perlindungan bagi seluruh subjek data tanpa membedakan lokasi, dan yang berlaku secara mengikat apabila kami memproses data pribadi orang yang berada di wilayah Uni Eropa.

Apabila terdapat perbedaan tingkat perlindungan antara kedua regulasi tersebut, kami menerapkan ketentuan yang memberikan perlindungan lebih tinggi bagi subjek data.

3. Data yang Kami Kumpulkan

Kami mengumpulkan hanya data yang diperlukan untuk menjalankan administrasi Perusahaan, yaitu:

• Data identitas & kepegawaian — nama lengkap, alamat surel kantor, nomor telepon, alamat, tanggal lahir, jabatan, divisi, tanggal mulai bekerja, dan status kepegawaian.
• Data identitas spesifik — nomor Kartu Tanda Penduduk (KTP) dan Nomor Pokok Wajib Pajak (NPWP). Data ini tergolong data pribadi yang bersifat spesifik dan mendapat perlakuan keamanan tambahan (lihat Bagian 5).
• Data penggajian & keuangan — komponen gaji, tunjangan, potongan, perhitungan pajak penghasilan, dan nomor rekening bank untuk keperluan pembayaran.
• Data operasional kerja — pengajuan dan saldo cuti, catatan kehadiran, timesheet, dan penugasan proyek.
• Data akun & keamanan — kredensial masuk (kata sandi disimpan dalam bentuk hash, tidak pernah sebagai teks terbaca), peran dan hak akses, waktu masuk terakhir, serta catatan aktivitas (activity log) atas tindakan yang dilakukan di dalam sistem.
• Data mitra bisnis — nama dan kontak narahubung klien serta pemasok, sebatas yang dibutuhkan untuk pelaksanaan kontrak dan penagihan.

Kami tidak mengumpulkan data biometrik, data genetika, data kesehatan, pandangan politik, keyakinan agama, atau orientasi seksual melalui aplikasi ini.

4. Dasar & Tujuan Pemrosesan

Seluruh data pribadi dalam aplikasi ini diproses semata-mata untuk kepentingan administratif Perusahaan. Kami tidak memperjualbelikan data pribadi, tidak menyewakannya, tidak menggunakannya untuk pemasaran, tidak membagikannya kepada pengiklan, dan tidak menggunakannya untuk melatih model kecerdasan buatan.

Tujuan pemrosesan terbatas pada:

• administrasi kepegawaian — kontrak kerja, struktur organisasi, dan pengelolaan cuti;
• penggajian serta pemenuhan kewajiban perpajakan dan jaminan sosial;
• pembukuan, penagihan klien, pembayaran pemasok, dan pelaporan keuangan;
• manajemen proyek, alokasi sumber daya, dan pencatatan waktu kerja;
• visualisasi pola jam kerja — atasan langsung dapat melihat ringkasan harian jam kerja yang telah disetujui dari anggota timnya, dan Direksi untuk seluruh karyawan aktif, sebagai alat bantu perencanaan beban kerja. Rinciannya dijelaskan pada Bagian 4a di bawah;
• pengendalian akses, audit keamanan, dan pencegahan penyalahgunaan sistem.

Dasar hukum pemrosesan (UU PDP Pasal 20 ayat (2); GDPR Pasal 6 ayat (1)):

• Pelaksanaan perjanjian — pemenuhan hubungan kerja atau kontrak dengan subjek data (UU PDP Pasal 20 ayat (2) huruf b; GDPR Pasal 6(1)(b)).
• Kewajiban hukum — pemenuhan kewajiban perpajakan, ketenagakerjaan, dan pelaporan (UU PDP Pasal 20 ayat (2) huruf c; GDPR Pasal 6(1)(c)).
• Kepentingan sah — keamanan sistem dan pengendalian internal, setelah diseimbangkan dengan hak dan kepentingan subjek data (UU PDP Pasal 20 ayat (2) huruf f; GDPR Pasal 6(1)(f)).

4a. Visualisasi Pola Jam Kerja kepada Atasan

Aplikasi menampilkan ringkasan visual jam kerja harian Anda — hanya yang berasal dari timesheet yang telah disetujui — kepada atasan langsung Anda, dan kepada Direksi untuk seluruh karyawan aktif. Karena fitur ini memproses data Anda untuk tujuan tambahan di luar pengumpulan aslinya, kami menerangkannya secara terpisah:

• Apa yang terlihat — jumlah jam per hari dibandingkan target jam kerja harian Anda. Bukan isi pekerjaan, bukan nama proyek, bukan deskripsi tugas.
• Rentang waktu — 6 bulan terakhir. Dibatasi secara sengaja: rentang yang lebih panjang dinilai tidak sebanding dengan manfaatnya.
• Siapa yang dapat melihat — atasan langsung Anda saja, dan Direksi. Rekan setingkat tidak dapat melihat data Anda, dan tim HR tidak memiliki akses ke tampilan ini.
• Anda dapat melihat ringkasan Anda sendiri di Beranda — tampilan yang sama persis dengan yang dilihat atasan Anda tentang diri Anda. Ini disediakan agar tidak ada ketimpangan informasi ketika pola kerja Anda dibicarakan, dan melengkapi hak akses atas data pribadi pada Bagian 8.
• Hari libur, akhir pekan, dan cuti yang disetujui ditandai sebagai hari non-kerja — tidak dihitung sebagai kekurangan jam kerja.
• Target jam kerja harian Anda dapat berbeda dari standar (mis. untuk magang atau pekerja lepas). Perubahannya diajukan oleh HR dan harus disetujui Direksi; atasan langsung Anda tidak dapat mengubahnya. Anda menerima notifikasi ketika target Anda berubah, dan perubahan hanya berlaku ke depan — tidak mengubah catatan masa lalu.

Dasar pemrosesan untuk fitur ini adalah kepentingan sah (UU PDP Pasal 20 ayat (2) huruf f; GDPR Pasal 6(1)(f)) — perencanaan beban kerja dan pengelolaan kapasitas tim — setelah diseimbangkan dengan hak dan kepentingan Anda, dengan pembatasan cakupan sebagaimana diuraikan di atas.

Ringkasan ini adalah alat bantu perencanaan, bukan instrumen penilaian kinerja formal. Jam kerja tercatat tidak mencerminkan kualitas atau nilai hasil kerja. Anda berhak mengajukan keberatan atas pemrosesan yang didasarkan pada kepentingan sah — lihat Bagian 8.

Sistem ini tidak mengambil keputusan yang menimbulkan akibat hukum bagi subjek data secara otomatis penuh tanpa keterlibatan manusia. Setiap persetujuan cuti, pengesahan penggajian, dan perubahan hak akses selalu memerlukan tindakan seorang penyetuju yang tercatat identitasnya.

5. Penyimpanan, Keamanan & Retensi

• Enkripsi — data identitas spesifik seperti nomor KTP disimpan dalam bentuk terenkripsi di basis data. Seluruh lalu lintas antara peramban dan server berjalan di atas HTTPS/TLS.
• Kontrol akses berbasis peran — setiap layar dan setiap aksi dibatasi oleh izin yang melekat pada peran pengguna. Seorang pengguna hanya dapat melihat data yang relevan dengan perannya; data penggajian dan data identitas spesifik hanya terbuka bagi HR, Direksi, dan Keuangan sesuai kewenangannya.
• Jejak audit — akses dan perubahan atas data sensitif dicatat dalam log aktivitas beserta identitas pelaku dan waktunya, untuk keperluan audit dan investigasi keamanan.
• Retensi — data kepegawaian disimpan selama hubungan kerja berlangsung dan setelahnya sepanjang masih diperlukan untuk pemenuhan kewajiban hukum. Dokumen dan catatan yang menjadi dasar pembukuan disimpan sekurang-kurangnya 10 (sepuluh) tahun sesuai ketentuan perpajakan Indonesia. Setelah masa retensi berakhir, data dihapus atau dianonimkan.
• Insiden — dalam hal terjadi kegagalan pelindungan data pribadi, kami memberitahukan subjek data yang terdampak dan lembaga yang berwenang paling lambat 3×24 jam sejak diketahui sesuai UU PDP Pasal 46, dan dalam 72 jam sesuai GDPR Pasal 33 apabila ketentuan tersebut berlaku.

6. Pembagian Data

Data pribadi hanya dibagikan kepada pihak lain dalam hal berikut:

• Kewajiban hukum — kepada Direktorat Jenderal Pajak, BPJS, atau instansi berwenang lain ketika diwajibkan peraturan perundang-undangan.
• Penyedia layanan — mitra teknis yang memproses data atas nama kami (misalnya penyedia infrastruktur server dan layanan pencadangan), yang terikat perjanjian pemrosesan data dan hanya boleh memproses sesuai instruksi kami.
• Kepentingan kontraktual — misalnya rekapitulasi jam kerja yang menjadi dasar penagihan kepada klien, terbatas pada informasi yang memang diperjanjikan.

Di luar hal-hal tersebut, data tidak dibagikan kepada pihak ketiga mana pun tanpa persetujuan Anda.

7. Transfer Lintas Negara

Data aplikasi ini disimpan pada infrastruktur yang berlokasi di Indonesia. Apabila di kemudian hari terdapat pemrosesan yang melibatkan pemindahan data ke luar wilayah Indonesia, kami memastikan negara tujuan memiliki tingkat pelindungan data yang setara atau lebih tinggi, atau menerapkan pengamanan kontraktual yang memadai, sesuai UU PDP Pasal 56 dan GDPR Bab V.

8. Hak Anda atas Data Pribadi

Sebagai subjek data, Anda berhak untuk:

• memperoleh informasi mengenai kejelasan identitas, dasar hukum, dan tujuan pemrosesan data Anda;
• mengakses dan memperoleh salinan data pribadi Anda yang tersimpan dalam sistem;
• memperbaiki atau memperbarui data yang tidak akurat — sebagian dapat Anda lakukan sendiri melalui menu Profil Saya, sisanya melalui pengajuan perubahan data kepada tim HR;
• meminta penghapusan data yang tidak lagi memiliki dasar hukum untuk disimpan;
• membatasi atau menunda pemrosesan data Anda dalam hal-hal tertentu;
• menarik kembali persetujuan atas pemrosesan yang dasarnya adalah persetujuan;
• mengajukan keberatan atas pemrosesan yang didasarkan pada kepentingan sah;
• memperoleh dan memindahkan data Anda dalam format yang dapat dibaca sistem lain (portabilitas);
• mengajukan keberatan dan menuntut ganti rugi atas pelanggaran pelindungan data pribadi, serta menyampaikan pengaduan kepada lembaga pengawas yang berwenang.

Permohonan atas hak-hak di atas dapat diajukan melalui kontak pada Bagian 10 dan akan kami tanggapi paling lambat 3×24 jam untuk konfirmasi penerimaan dan 30 hari kalender untuk penyelesaian. Sebagian hak dapat dibatasi apabila bertentangan dengan kewajiban hukum Perusahaan — misalnya catatan penggajian yang wajib disimpan untuk keperluan perpajakan tidak dapat dihapus sebelum masa retensinya berakhir. Dalam hal permohonan ditolak sebagian atau seluruhnya, kami menyampaikan alasannya secara tertulis.

9. Perubahan Kebijakan

Kebijakan ini dapat diperbarui mengikuti perubahan peraturan atau perubahan cara kerja sistem. Tanggal pembaruan terakhir tercantum di bagian atas halaman ini. Untuk perubahan yang berdampak material terhadap hak Anda, kami memberitahukannya melalui notifikasi di dalam aplikasi atau surel kantor sebelum perubahan berlaku.

10. Kontak

Pertanyaan, permohonan pelaksanaan hak, atau pengaduan terkait pelindungan data pribadi dapat disampaikan kepada tim HR/Legal PT Barakah Nabawiyah Teknologi melalui kanal komunikasi internal Perusahaan atau surel resmi Perusahaan. Kami menindaklanjuti setiap permohonan sesuai tenggat pada Bagian 8.