Kebijakan Privasi

CareOS oleh PUPA Center (Yayasan Putra Putri Mandiri)

Berlaku sejak: 15 April 2026 · Sesuai UU PDP No. 27 Tahun 2022

Pasal 1 — Definisi

Dalam kebijakan privasi ini:

• "CITTA Apps" atau "Platform" adalah suite aplikasi digital, termasuk Sparq, Mova, Poin, Saku, serta aplikasi yang akan datang: Sapa, Rutin, dan Stepa, yang dioperasikan oleh PUPA Center.
• "PUPA Center" atau "Kami" adalah Yayasan Putra Putri Mandiri, berlokasi di Alam Sutera, Tangerang, Indonesia.
• "Pengguna" atau "Anda" adalah setiap individu yang menggunakan Platform, termasuk siswa, orang tua/wali, guru, dan terapis.
• "Data Pribadi" adalah setiap data tentang individu yang teridentifikasi atau dapat diidentifikasi, sesuai Pasal 1 ayat (1) UU PDP.
• "Data Pribadi Spesifik" meliputi data kesehatan, data anak, data disabilitas, dan data biometrik sesuai Pasal 4 ayat (2) UU PDP.
• "Pusat" atau "Center" adalah sekolah, pusat terapi, atau lembaga yang menggunakan CITTA Apps untuk mendukung siswanya.

Pasal 2 — Data yang Dikumpulkan

Kami mengumpulkan kategori data berikut:

2.1 Data Identitas

• Nama lengkap, tanggal lahir, jenis kelamin
• Nomor WhatsApp (untuk verifikasi dan komunikasi)
• Alamat email (opsional, untuk pemulihan akun)
• Provinsi tempat tinggal

2.2 Data Penggunaan Aplikasi

• Riwayat aktivitas dalam setiap aplikasi (sesi latihan, permainan, pencatatan keuangan)
• Skor kemajuan dan pencapaian
• Preferensi pengaturan (tema, font, aksesibilitas)

2.3 Data Pribadi Spesifik (dengan persetujuan eksplisit)

• Profil neurodivergent (diagnosis primer, jika dibagikan oleh orang tua/wali atau pusat)
• Data kebugaran fisik (berat badan, tinggi badan, riwayat latihan)
• Catatan perilaku dan suasana hati (mood tracking)

2.4 Data Penelitian (anonim)

• Rentang usia, tipe peran (individu/orang tua/guru/terapis)
• Sumber referral, provinsi (digunakan untuk riset dampak platform)

Pasal 3 — Dasar Hukum Pemrosesan

Kami memproses Data Pribadi Anda berdasarkan:

• Persetujuan eksplisit (Pasal 20 UU PDP) — diberikan saat pendaftaran akun dan saat mengaktifkan fitur yang memerlukan Data Pribadi Spesifik.
• Pelaksanaan perjanjian (Pasal 20 huruf b UU PDP) — diperlukan untuk menyediakan layanan yang Anda minta.
• Kepentingan yang sah (Pasal 20 huruf f UU PDP) — untuk meningkatkan keamanan dan kualitas layanan, selama tidak melanggar hak Anda.

Pasal 4 — Tujuan Pemrosesan

Data Anda digunakan untuk:

1. Menyediakan dan mengoperasikan layanan CITTA Apps
2. Personalisasi pengalaman belajar dan latihan
3. Menghasilkan laporan kemajuan untuk guru, orang tua, dan terapis
4. Memberikan penghargaan dan motivasi melalui sistem token (Poin)
5. Penelitian dan pengembangan untuk meningkatkan dukungan bagi komunitas neurodivergent di Indonesia
6. Komunikasi terkait layanan (notifikasi, pengingat, pembaruan)

Kami tidak akan pernah menggunakan data Anda untuk iklan pihak ketiga, profiling komersial, atau penjualan data.

Pasal 5 — Perlindungan Data Anak

Sesuai Pasal 25 UU PDP, kami memberikan perlindungan khusus untuk data anak di bawah 17 tahun:

• Pendaftaran anak dilakukan oleh orang tua/wali atau pusat pendidikan yang berwenang
• Persetujuan pemrosesan data anak diberikan oleh orang tua/wali
• Anak tidak dapat memberikan persetujuan sendiri untuk pemrosesan Data Pribadi Spesifik
• Orang tua/wali dapat melihat, mengubah, atau menghapus data anak kapan saja
• Data anak tidak pernah dipublikasikan atau dibagikan tanpa izin wali
• Kolom owner_account_id pada setiap rekaman menjamin akuntabilitas kepemilikan data

Pasal 6 — Penyimpanan dan Keamanan

Kami menerapkan langkah-langkah keamanan berikut:

• Enkripsi: Semua data dienkripsi saat transit (TLS 1.3) dan saat disimpan (AES-256)
• Database: Supabase (PostgreSQL) dengan Row Level Security (RLS) pada semua tabel
• Lokasi server: Singapura (AWS ap-southeast-1) — yurisdiksi yang mendukung standar perlindungan data
• Akses: Prinsip hak akses minimum (least privilege) untuk seluruh staf
• Retensi: Data disimpan selama akun aktif + 2 tahun setelah penghapusan akun untuk kepatuhan hukum
• Backup: Cadangan harian terenkripsi dengan retensi 30 hari

Pasal 7 — Pembagian Data kepada Pihak Ketiga

Kami hanya membagikan data kepada:

• Supabase Inc. — penyedia database (sub-pemroses data sesuai Pasal 35 UU PDP)
• Anthropic — penyedia AI untuk fitur saran pelatihan (hanya data anonim yang dikirim)
• Cloudflare Inc. — penyedia keamanan web dan CDN
• Pusat/sekolah yang mendaftarkan Anda — guru dan admin pusat melihat data kemajuan siswa mereka

Kami tidak menjual data Anda kepada siapa pun. Semua sub-pemroses terikat perjanjian pemrosesan data.

Pasal 8 — Hak Subjek Data

Sesuai Pasal 5–13 UU PDP, Anda memiliki hak untuk:

1. Hak Akses — mendapatkan salinan data pribadi Anda
2. Hak Koreksi — memperbaiki data yang tidak akurat
3. Hak Hapus — meminta penghapusan data Anda
4. Hak Portabilitas — mendapatkan data dalam format yang dapat dibaca mesin (JSON/CSV)
5. Hak Penarikan Persetujuan — menarik persetujuan kapan saja tanpa memengaruhi keabsahan pemrosesan sebelumnya
6. Hak Keberatan — menolak pemrosesan data untuk tujuan tertentu
7. Hak atas Penjelasan — mendapatkan penjelasan mengenai penggunaan data dalam pengambilan keputusan otomatis

Gunakan formulir di bawah halaman ini atau hubungi kami di privasi@pupacenter.org untuk menggunakan hak Anda. Kami akan merespons dalam 3 x 24 jam sesuai ketentuan UU PDP.

Pasal 9 — Transfer Data Lintas Negara

Data Anda disimpan di server Supabase di Singapura. Sesuai Pasal 56 UU PDP, transfer lintas negara ini dilakukan karena:

• Singapura memiliki perlindungan data yang setara melalui PDPA (Personal Data Protection Act)
• Perjanjian pemrosesan data dengan Supabase menjamin standar keamanan yang memadai
• Anda memberikan persetujuan eksplisit saat pendaftaran

Pasal 10 — Pelanggaran Data

Jika terjadi pelanggaran data yang berdampak pada Data Pribadi Anda:

• Kami akan memberitahu Anda dalam 3 x 24 jam melalui WhatsApp atau email
• Kami akan melaporkan kepada otoritas yang berwenang sesuai Pasal 46 UU PDP
• Kami akan mengambil langkah remediasi segera untuk meminimalkan dampak

Pasal 11 — Perubahan Kebijakan

Kami dapat memperbarui kebijakan ini sesuai kebutuhan. Perubahan material akan disampaikan melalui notifikasi dalam aplikasi dan WhatsApp minimal 14 hari sebelum berlaku. Penggunaan berkelanjutan setelah periode pemberitahuan berarti persetujuan terhadap perubahan.

Pasal 12 — Kontak

Untuk pertanyaan mengenai privasi dan data:

• Email: privasi@pupacenter.org
• WhatsApp: +62 818-533-698
• Alamat: Ruko Prominence Blok 38E No. 42-43, Jl. Sutera Barat Boulevard, Alam Sutera, Tangerang 15143