Kebijakan Privasi BayarBayar.in | Perlindungan Data Pengguna

1. Cakupan kebijakan

Kebijakan ini berlaku untuk situs, dashboard, API, payment page, dan fitur BayarBayar.in yang ditayangkan pada domain tempat dokumen ini tersedia. “Pengelola” berarti pihak yang mengoperasikan deployment BayarBayar.in tersebut.

Kebijakan ini mencakup data pengunjung, pemilik akun merchant, anggota tim, pengguna API, dan data terbatas pelanggan yang tercantum dalam transaksi pembayaran. Informasi yang diproses langsung oleh bank, aplikasi pembayaran, atau provider mengikuti kebijakan privasi pihak tersebut.

2. Persetujuan dan dasar pemrosesan

Dengan mengakses atau menggunakan BayarBayar.in, Anda memahami pemrosesan data sebagaimana dijelaskan di halaman ini. Untuk data yang wajib disediakan agar layanan bekerja, penolakan dapat menyebabkan sebagian fitur tidak dapat digunakan.

Pengelola memproses data untuk menjalankan layanan yang diminta, menjaga keamanan, memenuhi kepentingan operasional yang wajar, mematuhi kewajiban hukum, dan—jika diwajibkan—berdasarkan persetujuan pengguna.

3. Informasi yang kami proses

Data akunNama bisnis, alamat email, password yang telah di-hash, status verifikasi, peran anggota, konfigurasi 2FA, dan kode pemulihan yang telah di-hash.

Data projectNama dan slug project, mode Sandbox/Live, Merchant ID, QRIS statis terenkripsi, callback URL, redirect allowlist, rate limit, API key yang telah di-hash, dan webhook secret terenkripsi.

Data koneksi providerNomor telepon yang di-hash atau disamarkan, identitas merchant/outlet, metadata challenge OTP, serta token dan cookie sesi provider yang disimpan dalam bentuk terenkripsi. Kode OTP digunakan untuk verifikasi dan tidak ditampilkan kembali sebagai credential layanan.

Data transaksiOrder ID, nominal asli, kode unik, total pembayaran, payload QRIS dinamis, status, waktu pembuatan/kedaluwarsa/penyelesaian, provider transaction ID, refund, dan metadata yang telah dibatasi atau disanitasi.

Data webhook dan auditCallback URL, event ID, payload status, hasil pengiriman, jumlah retry, request ID, aksi akun, waktu, alamat IP, dan informasi teknis terkait keamanan.

Data perangkat dan penggunaanAlamat IP, user agent, waktu akses, endpoint yang digunakan, kode respons, referrer terbatas, serta cookie sesi yang diperlukan untuk login.

KomunikasiInformasi yang Anda berikan ketika meminta bantuan, termasuk isi pesan dan lampiran bila tersedia.

BayarBayar.in tidak meminta pelanggan memasukkan PIN, password perbankan, data kartu, atau OTP pembayaran pada payment page.

4. Cara kami menggunakan informasi

Membuat dan memelihara akun, sesi, project, API key, dan akses anggota.
Menghasilkan QRIS dinamis dan menampilkan halaman pembayaran.
Memeriksa mutasi, mencocokkan pembayaran, memperbarui status, serta membantu rekonsiliasi.
Mengirim dan mencoba ulang webhook ke callback URL project.
Mendeteksi penyalahgunaan, duplikasi, mutasi ambigu, serangan, atau aktivitas yang melanggar ketentuan.
Menyediakan dukungan, pemberitahuan keamanan, verifikasi email, dan pemulihan akun.
Menganalisis performa layanan secara agregat dan mengembangkan fungsi yang relevan.
Memenuhi kewajiban hukum, permintaan resmi yang sah, atau melindungi hak pengguna dan Pengelola.

5. Cookie dan file log

BayarBayar.in menggunakan cookie sesi esensial untuk menjaga login member. Cookie sesi disetel dengan pembatasan keamanan browser dan bukan digunakan untuk iklan lintas situs.

Log teknis dapat mencatat alamat IP, browser/user agent, waktu, endpoint, request ID, kode status, dan kesalahan. Log digunakan untuk keamanan, audit, pemecahan masalah, pemantauan kapasitas, dan pencegahan penipuan. Credential seperti API key, OTP, token provider, dan cookie sesi tidak boleh dimasukkan ke log aplikasi.

Anda dapat mengatur cookie melalui browser, tetapi menonaktifkan cookie esensial akan membuat member area tidak dapat digunakan.

6. Kapan data dapat dibagikan

Kami tidak menjual atau menyewakan data pribadi. Data dapat dibagikan secara terbatas kepada:

Provider pembayaran atau akun GoPay Merchant yang Anda hubungkan, untuk autentikasi dan pemeriksaan transaksi.
Penyedia infrastruktur seperti hosting, database, DNS, email, backup, monitoring, atau keamanan yang digunakan oleh Pengelola.
Callback URL milik project, sesuai konfigurasi webhook yang dibuat oleh pemilik akun.
Penasihat profesional, auditor, atau otoritas jika diwajibkan hukum atau diperlukan untuk menangani pelanggaran dan sengketa.
Pihak penerus jika terjadi pengalihan layanan, dengan perlindungan data yang tetap berlaku.

Merchant bertanggung jawab memastikan callback URL dan sistem penerimanya aman serta memiliki dasar yang sah untuk memproses data pelanggan.

7. Lokasi dan masa penyimpanan

Data disimpan pada infrastruktur yang dipilih Pengelola deployment. Jika penyedia infrastruktur memproses data di wilayah lain, Pengelola akan menggunakan perlindungan yang wajar sesuai hukum yang berlaku.

Data dipertahankan selama akun aktif dan selama diperlukan untuk operasional, keamanan, rekonsiliasi transaksi, audit, penyelesaian sengketa, backup, atau kewajiban hukum. Permintaan penghapusan dapat dikecualikan untuk catatan keuangan, keamanan, anti-fraud, dan audit yang masih wajib atau patut dipertahankan.

Challenge OTP memiliki masa berlaku terbatas. Sesi provider dapat dihapus ketika akun provider diputuskan, sedangkan catatan audit atas tindakan tersebut dapat tetap disimpan.

8. Perlindungan keamanan

BayarBayar.in menerapkan pengamanan berlapis, termasuk hashing password dan API key, enkripsi untuk QRIS statis, webhook secret, challenge OTP, dan sesi provider, pemisahan data per akun, CSRF protection, rate limiting, audit log, pembatasan redirect, dan validasi webhook.

Walaupun upaya yang wajar diterapkan, tidak ada sistem internet yang sepenuhnya bebas risiko. Pengguna wajib menjaga password, API key, webhook secret, perangkat, email, serta akun merchantnya dan segera mengganti credential jika diduga bocor.

9. Hak dan pilihan pengguna

Sesuai hukum yang berlaku dan dengan pengecualian yang sah, Anda dapat meminta:

Informasi atau salinan data pribadi yang diproses.
Perbaikan data yang keliru atau tidak lengkap.
Penghapusan data tertentu.
Pembatasan atau penghentian pemrosesan tertentu.
Keberatan terhadap pemrosesan tertentu.
Portabilitas data dalam format yang wajar bila berlaku.
Penarikan persetujuan untuk pemrosesan yang bergantung pada persetujuan.

Pengelola dapat meminta verifikasi identitas sebelum memenuhi permintaan dan akan menanggapinya dalam waktu yang diwajibkan hukum. Anda juga dapat mengajukan pengaduan kepada otoritas yang berwenang.

10. Pengguna di bawah umur

BayarBayar.in ditujukan untuk pemilik atau pengelola bisnis yang memiliki kecakapan hukum. Kami tidak secara sengaja menawarkan akun merchant kepada anak di bawah 18 tahun. Jika data anak diberikan tanpa dasar yang sah, hubungi Pengelola agar dapat ditinjau dan dihapus bila diwajibkan.

11. Layanan dan tautan pihak ketiga

BayarBayar.in dapat terhubung ke situs, aplikasi pembayaran, provider, atau callback milik pihak ketiga. Kebijakan ini tidak mengatur praktik pihak ketiga tersebut. Bacalah kebijakan privasi mereka sebelum memberikan data atau menghubungkan akun.

Integrasi GoPay Merchant dalam proyek ini bersifat tidak resmi dan hanya boleh digunakan dengan akun merchant milik sendiri. Pengelola tidak mengendalikan perubahan kebijakan, autentikasi, atau ketersediaan layanan provider.

12. Perubahan kebijakan

Kebijakan ini dapat diperbarui untuk mengikuti perubahan fitur, risiko, provider, atau hukum. Versi terbaru akan dipublikasikan di halaman ini beserta tanggal berlakunya. Perubahan material dapat diberitahukan melalui dashboard, email, atau kanal layanan lain yang tersedia.

13. Menghubungi Pengelola

Untuk pertanyaan, koreksi, permintaan hak data, atau laporan keamanan, hubungi Pengelola melalui kanal kontak resmi yang dipublikasikan pada domain tempat BayarBayar.in ini dijalankan. Sertakan email akun dan penjelasan permintaan, tetapi jangan pernah mengirim password, API key, OTP, webhook secret, cookie, atau token provider.

Penting untuk pemilik deployment: identitas badan usaha, alamat, dan kanal kontak resmi Pengelola harus dicantumkan pada domain produksi sesuai kewajiban yang berlaku.