Kebijakan Privasi Dompet Noken

Versi 3.3 — Terakhir diperbarui: 28 Oktober 2026 — Berlaku 5 November 2026

Berlaku mulai: 5 November 2026

Kebijakan ini menjelaskan bagaimana Dompet Noken mengumpulkan, menggunakan, membagikan, dan melindungi data Anda.

1. Identitas Pengendali Data

Dompet Noken diselenggarakan oleh PT NOKEN GRUP TEKNOLOGI, perseroan perorangan berkedudukan di Kota Jayapura, Papua, Nomor Induk Berusaha 0510260055719, beralamat di Furia Puskopat Kotaraja No. 345, RT 011 RW 002, Kelurahan Wahno, Kecamatan Abepura, Kota Jayapura, Provinsi Papua 99226. Dompet Noken terdaftar sebagai Penyelenggara Sistem Elektronik Lingkup Privat di Kementerian Komunikasi dan Digital dengan Nomor 030221.01/DJAI.PSE/10/2026.

• Direktur: Paris Asa Bumbungan
• Kontak privasi: dompetnoken@gmail.com, atau tombol Bantuan (WhatsApp) di aplikasi

1A. Pejabat Pelindungan Data Pribadi

Pejabat Pelindungan Data Pribadi kami adalah Paris Asa Bumbungan (Direktur). Pertanyaan, permintaan, atau keluhan tentang data pribadi Anda dapat dikirim ke dompetnoken@gmail.com.

2. Data yang Kami Kumpulkan

• Data akun: nama, alamat email, dan kata sandi (disimpan dalam bentuk terenkripsi oleh sistem autentikasi Supabase).
• Status konfirmasi email: kapan alamat email Anda dikonfirmasi, serta catatan waktu pengiriman kode konfirmasi atau kode masuk dan berapa kali kode yang salah dimasukkan — untuk membatasi berapa kali kode boleh dikirim dan dicoba. Catatan itu tidak memuat kodenya. Kode yang kami kirim ke email Anda disimpan sistem autentikasi kami (Supabase) hanya dalam bentuk teracak, dan tidak dapat dipakai lagi setelah terpakai atau kedaluwarsa.
• Data Telegram: ID chat dan nama pengguna Telegram, untuk menautkan akun Anda dengan bot.
• Kalimat yang Anda ketik atau kirim untuk dibaca otomatis: pesan di layar Chat aplikasi web maupun keterangan yang menyertai foto/suara di bot Telegram, beserta jawaban singkat sistem atasnya — misalnya alasan sebuah pesan belum bisa diproses, dan catatan keputusan atas draf yang lahir dari pesan chat web (disetujui, menunggu persetujuan, ditolak, diperbaiki, atau ditutup otomatis), lengkap dengan nominal, jenis, tanggal, keterangan, nama rekening, dan nama kategorinya. Catatan keputusan ditulis ke riwayat orang yang mengirim pesannya, termasuk bila yang memutuskan anggota lain (misalnya Pemilik yang menyetujui draf Staff); ia tidak membuat anggota lain bisa membaca percakapan Anda. Disimpan agar percakapan Anda masih ada saat halaman dibuka kembali, lalu dihapus (Bagian 6). Kalimat mentahnya hanya dapat dibaca oleh Anda sendiri. Pemilik, Finance Admin, maupun Member ruang kerja Anda tidak dapat membacanya, sekalipun pesannya dikirim di ruang kerja mereka dan sekalipun mereka yang menyetujui transaksinya — pembatasannya dipasang di basis data, bukan sekadar disembunyikan di tampilan. Dua hal tetap perlu Anda ketahui, dan kami sebutkan karena “tidak ada yang bisa membacanya” tidak benar. Pertama, kalimatnya dikirim ke layanan kecerdasan buatan untuk dibaca menjadi draf transaksi (Bagian 5). Kedua, akses penyelenggara dan staf operasional tetap tunduk pada Bagian 4.
• Hasil pembacaannya — dan ini memang dibagikan: keterangan, nominal, tanggal, kategori, dan foto struk yang lahir dari pesan Anda dapat dilihat Pemilik dan Finance Admin ruang kerja, karena merekalah yang memeriksa dan menyetujui transaksinya. Yang tertutup hanya kalimat mentahnya; angka yang masuk buku tetap bisa diperiksa orang yang bertanggung jawab atasnya.
• Data transaksi keuangan: nominal, tanggal, kategori, keterangan, rekening, dan penanggung jawab yang Anda catat.
• Foto struk yang Anda kirim untuk dibaca otomatis. Lewat bot Telegram, fotonya tetap berada di server Telegram dan tidak kami simpan sebelum Anda menyetujui transaksinya. Lewat aplikasi web, fotonya dikecilkan dulu di perangkat Anda, lalu disimpan di penampung sementara yang terpisah dari penyimpanan bukti transaksi, paling lama 24 jam, sampai Anda memutuskan. Di antara pengguna, foto di penampung itu hanya dapat dibuka oleh Anda sendiri — Pemilik maupun anggota lain ruang kerja Anda tidak dapat membukanya. Fotonya tetap dikirim ke layanan kecerdasan buatan untuk dibaca (Bagian 5), dan akses penyelenggara tetap tunduk pada Bagian 4. Bila transaksinya Anda setujui, fotonya dipindah menjadi foto bukti transaksi; bila Anda tolak, bila drafnya kedaluwarsa, atau bila pembacaannya gagal, fotonya dihapus.
• Foto bukti transaksi: foto yang menyertai transaksi yang Anda setujui. Disimpan sesuai retensi paket Anda (Bagian 6).
• Catatan suara: diproses sesaat untuk transkripsi, lalu dihapus segera; yang tersimpan hanya hasil teksnya. Rekaman dari aplikasi web (paling lama 120 detik) menunggu transkripsinya di penampung sementara yang sama dengan foto, yang hanya dapat dibuka oleh Anda sendiri di antara pengguna; rekamannya tidak pernah disimpan sebagai lampiran transaksi.
• Langganan notifikasi perangkat: bila Anda mengizinkan notifikasi di aplikasi web, kami menyimpan alamat pengiriman notifikasi yang diberikan peramban Anda, kunci enkripsinya, keterangan jenis peramban/perangkat (*user agent*), dan kapan notifikasi terakhir berhasil sampai. Di antara pengguna, data ini hanya dapat dilihat oleh Anda sendiri. Isi notifikasinya sengaja umum — tanpa nominal dan tanpa nama ruang kerja — karena notifikasi dapat tampil di layar kunci; rinciannya Anda baca di aplikasi.
• Catatan pemasangan aplikasi: bila aplikasi web menawarkan pemasangan ke layar utama HP Anda, kami mencatat apa yang terjadi dengan tawaran itu — ditampilkan, tombolnya ditekan, pemasangan diterima atau dibatalkan, aplikasinya terpasang, Anda memilih "Nanti saja", atau halaman dibuka di peramban di dalam aplikasi lain (misalnya Instagram) — beserta jenis HP/peramban secara umum dan tanggalnya. Paling banyak satu catatan per jenis per hari. Tidak ada isi pesan, data keuangan, maupun alamat IP di dalamnya. Kami memakainya untuk mengetahui apakah tawaran pemasangan membantu atau mengganggu.
• Data ruang kerja: nama ruang kerja, daftar anggota beserta perannya, dan undangan.
• Data pembayaran: status dan riwayat pembayaran. Nomor kartu dan nomor rekening Anda diproses langsung oleh mitra pembayaran dan tidak pernah sampai ke sistem kami.
• Log akses dan jejak audit: catatan tindakan yang dilakukan di dalam aplikasi terhadap data ruang kerja Anda, dan catatan setiap kali admin membuka data pelanggan lewat aplikasi ini (lihat Bagian 4).

3. Bagaimana Kami Menggunakan Data Anda

• Menyediakan dan menjalankan fitur pencatatan keuangan.
• Memproses pesan teks, foto struk, dan catatan suara — yang Anda kirim lewat bot Telegram maupun layar Chat di aplikasi web — menjadi draf transaksi melalui layanan kecerdasan buatan.
• Mengirim ringkasan keuangan, pengingat tagihan, dan pemberitahuan status akun/pembayaran.
• Menjaga keamanan layanan, menyelidiki penyalahgunaan, dan memperbaiki gangguan teknis.

Kami tidak menjual data Anda kepada pihak mana pun. Data akun yang dibuat sebelum Bagian 3A terbit, dan seluruh data keuangan di aplikasi, tidak pernah dipakai untuk iklan. Pengukuran iklan untuk pengunjung halaman publik dan akun baru dijelaskan di Bagian 3A.

3A. Pengukuran Iklan

Bagian ini berlaku sejak 20 Oktober 2026, tanggal terbitnya, untuk pengunjung halaman publik Dompet Noken dan untuk akun yang dibuat sejak tanggal itu. Bagian lain kebijakan ini berlaku sesuai tanggal di kepala dokumen. Akun yang dibuat sebelum tanggal itu tidak ikut diukur, termasuk bila kelak membeli paket.

Kami beriklan di Facebook dan Instagram (Meta). Tujuan pengukurannya dua: mengetahui iklan mana yang benar-benar membawa pengguna, dan membantu Meta menampilkan iklan kami kepada orang yang mungkin tertarik.

• Hanya di halaman publik. Meta Pixel — kode dari Meta — kami pasang hanya di halaman penawaran Personal, Keluarga, dan Usaha, serta halaman pendaftaran (termasuk layar yang menyatakan akun Anda sudah dibuat). Ia tidak pernah dipasang di dalam aplikasi setelah Anda masuk — tidak di layar Chat, transaksi, laporan, paket, pengaturan, maupun halaman lain yang menampilkan data Anda.
• Kejadian yang diukur: halaman dibuka, tombol beli atau coba gratis ditekan (beserta paket yang dipilih dan bagian halaman tempat tombolnya), dan akun berhasil dibuat.
• Yang diterima Meta lewat Pixel: kejadian di atas, penanda klik iklan dan penanda peramban dari Meta, serta alamat IP dan jenis peramban yang terbaca oleh Pixel saat peramban Anda terhubung ke Meta. Tidak ada alamat email, nama, maupun data keuangan Anda yang dikirim lewat Pixel; isian formulir tidak ikut terkirim.
• Asal kunjungan dari iklan: bila Anda membuka halaman publik lewat tautan iklan atau tautan bertanda, tanda pada tautan itu (misalnya nama kampanye, nomor iklan, dan penanda klik dari Meta), halaman tempat Anda pertama datang, dan waktunya disimpan di cookie pihak pertama di peramban Anda selama 30 hari. Kunjungan tanpa tanda iklan tidak dicatat.
• Asal iklan per akun: bila Anda membuat akun dalam 30 hari itu, asal iklan tersebut kami simpan bersama akun Anda, beserta alamat IP dan jenis peramban saat Anda mendaftar, selama 180 hari sejak Anda mendaftar, lalu dihapus.
• Catatan pendaftaran dan pembelian pertama: untuk setiap akun yang dibuat sejak tanggal di atas — dari iklan maupun tidak — kami mencatat di sistem kami sendiri kapan akun dibuat dan, bila Anda membeli paket berbayar untuk pertama kali, nama paket dan jumlah yang Anda bayar, dikaitkan dengan asal iklannya bila ada. Catatan ini memuat alamat email Anda dalam bentuk teracak (*hash*), bukan alamat emailnya, disimpan 30 hari sejak kejadiannya lalu dihapus, dan tidak kami kirim ke Meta maupun pihak lain.

Pertanyaan atau permintaan penghapusan dapat Anda sampaikan lewat kanal pada Bagian 8 dan Bagian 12. Anda juga dapat menghapus cookie di peramban Anda, dan mengatur iklan yang Anda lihat lewat pengaturan iklan di akun Meta Anda.

4. ⚠️ Akses Administratif oleh Penyelenggara — dibaca dengan saksama

Bagian ini kami tulis apa adanya karena Anda berhak tahu, sekalipun isinya tidak menyenangkan.

Penyelenggara, melalui Direkturnya (Paris Asa Bumbungan), memiliki akses administratif penuh ke basis data Dompet Noken, dan secara teknis DAPAT melihat data yang Anda catat — termasuk transaksi, foto struk, dan transkrip suara.

Akses itu ada karena dibutuhkan untuk menjalankan layanan: menangani keluhan yang Anda laporkan, menelusuri data yang tampak keliru, memulihkan kerusakan, menyelidiki penyalahgunaan, dan memenuhi permintaan aparat penegak hukum yang sah (Bagian 4A).

Kami tidak akan pernah mengatakan bahwa kami "tidak bisa melihat" data Anda, karena itu tidak benar. Yang bisa kami janjikan adalah pembatasan berikut:

• Akses hanya dilakukan bila memang diperlukan untuk alasan di atas — bukan untuk keingintahuan, bukan untuk analisis komersial.
• Data Anda tidak dibagikan ke pihak lain di luar mitra teknologi pada Bagian 5.
• Antar-ruang-kerja tetap terpisah. Pembatasan teknis (Row Level Security) mencegah satu ruang kerja membaca data ruang kerja lain, dan pembatasan itu berlaku juga bagi sesama pengguna, termasuk peran Staff.

Apa yang tercatat, dan apa yang TIDAK

Setiap kali admin membuka data pelanggan lewat aplikasi ini, aksesnya tercatat — siapa yang membuka, kapan, dan halaman mana yang dibuka. Catatan itu bersifat tambah-saja: tidak dapat disunting maupun dihapus, termasuk oleh admin sendiri.

Satu pengecualian kami sebutkan terang-terangan: akses langsung ke basis data untuk pemeliharaan darurat dilakukan di luar aplikasi, sehingga tidak tercatat otomatis. Ini batas yang permanen, bukan kekurangan yang menunggu diperbaiki.

Selain itu, tindakan yang dilakukan melalui aplikasi terhadap data ruang kerja Anda — pembatalan transaksi, perubahan peran anggota, keputusan persetujuan, dan sejenisnya — tersimpan di jejak audit beserta pelaku dan waktunya, dan dapat Anda lihat sendiri di menu Pengaturan → Riwayat Audit.

Staf operasional Noken

Selain penyelenggara, Dompet Noken dapat menunjuk staf operasional untuk memantau layanan sehari-hari — misalnya memastikan sistem berjalan, menindaklanjuti pembayaran yang tertunda, atau membantu masalah akses akun.

Untuk keperluan itu, staf operasional dapat melihat:

• nama dan alamat email pemilik akun;
• nomor HP pemilik akun, bila tersimpan (saat ini Dompet Noken tidak meminta maupun menyimpan nomor HP);
• nama ruang kerja, jenis & paket, status langganan, tanggal daftar dan tanggal habis;
• jumlah pemakaian fitur pembacaan otomatis (AI);
• status pesanan pembayaran (tanpa nominal).

Staf operasional tidak dapat melihat:

• isi transaksi keuangan Anda — nominal, keterangan, kategori, rekening, saldo, anggaran, maupun target tabungan;
• nominal pembayaran Anda.

Staf operasional dapat memperpanjang masa coba atau membuka akses sementara ke ruang kerja yang terkunci, dan tidak dapat menandai pembayaran sebagai lunas maupun mengubah data transaksi Anda. Tindakan itu dibatasi waktu yang kami tetapkan, dan alasan wajib diisi pada setiap tindakan.

Bila pemrosesan otomatis akun Anda ditunda (lihat Syarat dan Ketentuan Pasal 10A), staf operasional dapat melihat pola aktivitas teknis akun tersebut, misalnya frekuensi dan jenis pengiriman, untuk menilai apakah penundaannya tepat. Isi pesan Anda tidak termasuk dan tidak dapat mereka lihat. Berdasarkan pola itu, staf dapat membuka atau memblokir penundaan tersebut, dengan alasan wajib yang ikut tercatat.

Kabar otomatis yang kami terima tentang akun Anda

Agar masalah pembayaran dan akses tidak terlambat kami sadari, sistem mengirim kabar otomatis lewat Telegram kepada penyelenggara dan staf operasional pada tiga kejadian:

• akun baru terdaftar — berisi alamat email Anda dan waktu pendaftaran;
• pesanan pembayaran dibuat — berisi nama ruang kerja, nama paket, nomor pesanan, dan waktu;
• pembayaran dinyatakan lunas — dengan keterangan yang sama.

Kabar ini tidak pernah memuat isi transaksi Anda — tidak ada nominal transaksi, keterangan, kategori, rekening, maupun saldo. Nominal pembayaran hanya dikirim kepada penyelenggara; kabar yang diterima staf operasional menyebut nomor pesanan tanpa nominalnya.

Selain itu, halaman administrasi menampilkan status penautan Telegram tiap pelanggan — tertaut atau belum. Yang ditampilkan hanya statusnya; nama pengguna Telegram dan pengenal chat Anda tidak pernah dikirim ke halaman itu.

Setiap akses dan tindakan tercatat — siapa, kapan, ruang kerja mana, dan alasannya — dalam catatan yang tidak dapat diubah atau dihapus lewat aplikasi, termasuk oleh admin sendiri. Batas pencatatan itu sama dengan yang dijelaskan di atas: akses langsung ke basis data untuk pemeliharaan darurat berada di luar jangkauannya.

Catatan akses admin tetap dibuat dan tersimpan, tetapi belum dapat Anda lihat sendiri di aplikasi.

4A. Permintaan dari Aparat Penegak Hukum

Kami hanya memberikan data pribadi kepada aparat penegak hukum atau instansi berwenang bila ada permintaan tertulis yang sah menurut peraturan perundang-undangan. Setiap permintaan kami periksa dasar hukumnya, kami batasi hanya pada data yang diminta, dan kami catat. Bila tidak dilarang oleh hukum, kami memberi tahu pengguna yang datanya diminta.

Permintaan disampaikan secara tertulis ke dompetnoken@gmail.com atau ke alamat pada Bagian 1. Tata caranya kami tulis dalam prosedur internal tentang permintaan aparat penegak hukum.

5. Pihak Ketiga yang Memproses Data Anda

Untuk menjalankan layanan, sebagian data diproses mitra teknologi berikut:

Sebagian mitra di atas memproses data di luar wilayah Indonesia. Daftar ini dapat berubah seiring perkembangan layanan, dan versi terbaru akan selalu tercermin di kebijakan ini.

6. Retensi dan Penghapusan Data

• Catatan suara mentah: dihapus segera setelah berhasil ditranskripsi, atau setelah upaya transkripsi gagal secara permanen. Yang tersimpan hanya hasil teksnya. Untuk rekaman dari aplikasi web, bila penghapusan itu sempat gagal, rekamannya dihapus saat Anda menyetujui atau menolak draf transaksinya — dan dalam keadaan apa pun paling lama 24 jam sejak dikirim. Transaksi yang sudah Anda setujui tidak ikut terhapus.
• Foto dari aplikasi web yang belum Anda putuskan: paling lama 24 jam di penampung sementara, lalu dihapus — disetujui atau tidak. Foto dihapus lebih cepat begitu Anda menolak drafnya, begitu drafnya kedaluwarsa, atau begitu pembacaannya gagal. Foto yang Anda setujui dipindah menjadi foto bukti transaksi (butir berikutnya). Bila pemindahan itu gagal, transaksinya tetap tercatat tanpa lampiran foto, dan Anda diberi tahu.
• Foto bukti transaksi: 30 hari untuk paket Gratis, 90 hari untuk paket berbayar (Personal, Keluarga, dan Usaha — baik mode Teks Saja maupun Semua Fitur), dihitung sejak disimpan sebagai bukti transaksi, yaitu saat Anda menyetujui transaksinya. Setelah periode itu, hanya berkas fotonya yang dihapus.
• Isi pesan yang Anda kirim untuk dibaca otomatis: 30 hari. Berlaku sama untuk pesan lewat bot Telegram maupun layar Chat di web, dan mencakup salinan yang tersimpan di antrean pemrosesan, termasuk teks hasil pembacaan foto struk dan transkrip catatan suara. Untuk riwayat chat dan pesan Telegram, 30 hari itu dihitung sejak pesannya dikirim (untuk catatan keputusan atas draf: sejak keputusannya dibuat); untuk salinan di antrean pemrosesan, dihitung sejak pembacaannya selesai — biasanya beberapa detik sesudah Anda mengirim. Setelah itu kalimat mentah dan teks hasil pembacaannya dihapus; catatan transaksi yang sudah Anda setujui tidak ikut terhapus — lihat butir berikutnya.
• Catatan teknis pemrosesan (waktu dan status berhasil/gagal setiap pembacaan otomatis): sampai 60 hari. Sejak hari ke-31 catatan ini sudah tidak memuat isi pesan Anda — yang tersisa hanya waktu, status, dan keterangan teknisnya (misalnya kode kegagalan, atau daftar nominal yang terdeteksi bila pesan ditolak karena memuat beberapa transaksi sekaligus).
• Hitungan pemakaian fitur (berapa kali pembacaan otomatis dipakai dalam satu periode langganan, tanpa isi apa pun di dalamnya): sampai 90 hari setelah periode itu berakhir. Ini yang kami pakai untuk menghitung kuota pemakaian Anda secara adil.
• Data transaksi yang sudah Anda setujui (nominal, tanggal, kategori, rekening, dan keterangannya): tidak dihapus otomatis, dan tetap tersimpan selama akun Anda aktif. Teks mentah hasil pembacaan foto dan transkrip catatan suara tidak termasuk di sini — keduanya dihapus di hari ke-30 bersama isi pesan (butir di atas).
• Draf transaksi yang sudah Anda setujui atau tolak: dihapus 180 hari setelah diputuskan. Transaksi yang lahir dari draf yang disetujui tetap ada — yang terhapus hanya drafnya.
• Langganan notifikasi perangkat: disimpan selama akun Anda ada. Bila Anda mematikannya, atau layanan notifikasi menyatakan alamatnya sudah tidak berlaku, langganan itu dinonaktifkan dan tidak dipakai lagi; catatannya (kapan dan kenapa berhenti) tetap disimpan agar kami bisa menjelaskan kenapa sebuah kabar tidak sampai, dan ikut terhapus bila akun Anda dihapus.
• Catatan pengiriman kode email (waktu pengiriman dan jumlah kode yang salah dimasukkan, tanpa kodenya): 30 hari sejak kodenya dikirim, lalu dihapus. Status konfirmasi email (kapan alamat dikonfirmasi) disimpan selama akun Anda ada.
• Catatan pemasangan aplikasi: 90 hari sejak dicatat, lalu dihapus; ikut terhapus lebih awal bila akun Anda dihapus.
• Data pengukuran iklan (Bagian 3A): cookie asal kunjungan di peramban Anda 30 hari; asal iklan per akun 180 hari sejak Anda mendaftar; catatan pendaftaran dan pembelian pertama 30 hari sejak kejadiannya.
• Bila langganan tidak diperpanjang, seluruh data tetap tersimpan dan dapat dilihat serta diunduh dalam mode baca-saja.
• Data yang sudah dihapus masih ada di salinan cadangan sampai sekitar satu bulan, yaitu di cadangan otomatis penyedia basis data dan di salinan terenkripsi pada layanan penyimpanan terpisah. Salinan itu terhapus otomatis dalam sekitar satu bulan, tanpa perlu tindakan dari siapa pun. Cadangan ini ada untuk memulihkan data bila terjadi kerusakan, dan tidak dipakai untuk keperluan lain.

6A. Ulasan dan Penilaian

Bila Anda memberi ulasan lewat bot Telegram atau halaman Pengaturan, kami menyimpan: penilaian bintang (1–5), kalimat ulasan bila Anda menuliskannya, pilihan izin tampil, dan bentuk nama yang Anda pilih. Ulasan bersifat per akun, bukan per ruang kerja — satu ulasan untuk satu orang.

Memberi ulasan sepenuhnya pilihan Anda, dan tidak memengaruhi apa pun di akun Anda. Tawaran mengulas dikirim paling banyak satu kali, lewat saluran mana pun — bila Anda memilih "Nanti saja", kami tidak menawarkan lagi.

Anda tetap bisa mengulas kapan pun tanpa menunggu ditawari: lewat perintah `/ulasan` di bot Telegram, atau lewat Pengaturan → Ulasan di web. Keduanya terbuka setelah Anda mencatat transaksi pertama — sebelum itu belum ada yang bisa Anda nilai, jadi formulirnya belum kami tampilkan.

Kalimat ulasan Anda tidak dikirim ke layanan kecerdasan buatan mana pun. Ia disimpan sebagai teks biasa, tidak diproses model, dan tidak memotong kuota pembacaan otomatis Anda.

Siapa yang melihatnya

Penyelenggara dan staf operasional melihat ulasan Anda beserta penilaiannya. Ketika ada ulasan baru, kami menerima kabar otomatis lewat Telegram berisi bintang dan potongan kalimatnya.

Izin tampil publik — terpisah, dan bisa ditarik kapan saja

Ulasan Anda tidak ditampilkan ke siapa pun kecuali Anda memberi izin secara terpisah. Izin itu ditanyakan sendiri, sesudah ulasannya tersimpan, dan jawabannya tidak memengaruhi apa pun selain penayangan.

Bila Anda mengizinkan, Anda juga memilih bagaimana nama Anda ditulis: nama lengkap, nama depan saja, atau inisial.

Anda dapat menarik izin itu kapan saja lewat `/ulasan` di Telegram atau halaman Pengaturan. Begitu ditarik:

• ulasan Anda langsung dilepas dari daftar yang kami pilih untuk ditampilkan, dan sistem menolak memilihnya lagi selama izinnya belum diberikan kembali;
• bila ulasan Anda memang sedang kami tampilkan saat izinnya ditarik, kami menerima pemberitahuan untuk menurunkannya dari materi yang kami kendalikan — halaman kami, media sosial kami, dan materi promosi kami. (Bila ulasan Anda belum pernah kami tampilkan, tidak ada yang perlu diturunkan, jadi pemberitahuan itu tidak terbit.)

Satu hal kami sebutkan apa adanya: materi yang sudah terlanjur disalin orang lain di luar kendali kami — misalnya tangkapan layar yang dibagikan ulang pihak ketiga — tidak bisa kami tarik kembali. Yang kami janjikan adalah menurunkannya dari tempat yang memang kami kelola.

Hubungan Anda dengan kami dicantumkan jujur

Bila ulasan Anda ditampilkan, kami mencantumkan hubungan Anda dengan Dompet Noken — karyawan, rekanan, atau pelanggan. Label itu hanya kami yang menetapkan, tidak bisa diubah pengulas, dan setiap penetapannya tercatat di jejak audit yang tidak dapat disunting maupun dihapus.

Kami melakukannya karena ulasan dari orang yang bekerja dengan kami tidak sama beratnya dengan ulasan dari pelanggan yang membayar, dan menyembunyikan bedanya akan menyesatkan orang yang membacanya.

Penghapusan

Ulasan Anda ikut terhapus saat akun Anda dihapus, tanpa perlu permintaan terpisah — bintang, kalimat, pilihan izin, dan bentuk nama semuanya hilang bersama akunnya. Seperti data lain, salinannya masih ada di cadangan sampai sekitar satu bulan (lihat Bagian 6) lalu terhapus otomatis.

Satu hal tertinggal, dan kami sebutkan apa adanya. Bila kami pernah menetapkan label hubungan Anda (karyawan/rekanan/pelanggan) atau memilih ulasan Anda untuk ditampilkan, tindakan itu tercatat di jejak audit yang tidak dapat disunting maupun dihapus oleh siapa pun, termasuk kami — justru itu gunanya, dan itu pula yang kami janjikan di bagian sebelumnya. Jejak itu bertahan setelah akun Anda hilang.

Yang tersimpan di sana hanya nomor identitas akun berupa deretan acak, ditambah label yang kami tetapkan. Tidak ada nama, tidak ada alamat email, tidak ada kalimat ulasan, tidak ada penilaian bintang. Setelah akun Anda dihapus, nomor itu tidak lagi menunjuk ke profil, ulasan, maupun transaksi mana pun — semuanya sudah ikut terhapus.

Nomor itu sendiri masih dapat ditemukan di tiga tempat: salinan cadangan sampai sekitar satu bulan (lihat Bagian 6), catatan akses admin (lihat Bagian 4), dan catatan hak masa coba — yang justru kami simpan supaya satu orang tidak bisa mengambil masa coba gratis berkali-kali dengan menghapus lalu membuat akun lagi. Berbeda dari cadangan, dua yang terakhir tidak punya masa hapus otomatis: keduanya kami simpan selama layanan berjalan.

7. ⚠️ Retensi Kami TIDAK Memenuhi Kewajiban Pembukuan Pajak

Ini penting dan sering disalahpahami, jadi kami sebutkan terang-terangan.

Peraturan perpajakan Indonesia mewajibkan dokumen yang menjadi dasar pembukuan disimpan dalam jangka sepuluh tahun — diatur dalam Undang-Undang tentang Ketentuan Umum dan Tata Cara Perpajakan, Pasal 28 ayat (11). Kewajiban penyimpanan dokumen serupa juga dikenal dalam peraturan perundang-undangan tentang dokumen perusahaan.

Retensi foto bukti transaksi kami — 30 atau 90 hari — jauh lebih pendek dari itu, dan memang tidak dirancang untuk memenuhinya.

Karena itu:

• Kewajiban menyimpan pembukuan tetap berada pada Anda sebagai pengguna atau pemilik usaha. Dompet Noken tidak dapat diandalkan sebagai arsip pembukuan untuk keperluan pajak atau audit.
• Kami menyediakan fitur "Unduh semua data saya" di menu Pengaturan → Izin Privasi untuk membantu Anda mengarsipkan sendiri. Berkasnya berisi seluruh data ruang kerja dalam format JSON. Kami sarankan Anda mengunduh dan menyimpannya secara berkala, terutama sebelum foto struk melewati masa retensinya.
• Kami tidak memberikan nasihat perpajakan. Untuk memastikan kewajiban yang berlaku bagi usaha Anda, konsultasikan dengan konsultan pajak atau petugas pajak setempat.

8. Hak Anda atas Data

Sesuai Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, Anda berhak untuk:

• Memperoleh informasi tentang identitas kami, dasar hukum, dan tujuan pemrosesan data Anda.
• Melengkapi, memperbarui, dan memperbaiki data pribadi Anda.
• Mengakses dan memperoleh salinan data pribadi Anda.
• Mengakhiri pemrosesan, menghapus, dan/atau memusnahkan data pribadi Anda, sepanjang tidak bertentangan dengan kewajiban hukum lain.
• Menarik kembali persetujuan yang telah Anda berikan.
• Mengajukan keberatan atas pengambilan keputusan yang semata-mata otomatis.
• Menuntut ganti rugi atas pelanggaran pemrosesan data pribadi Anda.

Yang sudah dapat Anda lakukan sendiri sekarang, tanpa menghubungi kami:

• Mengunduh seluruh data — Pengaturan → Izin Privasi → "Unduh semua data saya".
• Melihat jejak audit ruang kerja Anda — Pengaturan → Riwayat Audit.
• Mencabut izin pemrosesan AI — Pengaturan → Izin Privasi.
• Mengoreksi transaksi langsung di aplikasi.
• Melihat daftar sesi login aktif dan keluar dari perangkat lain — Pengaturan → Keamanan.

Keputusan yang diambil secara otomatis. Satu keputusan di Dompet Noken diambil sistem tanpa campur tangan manusia: penundaan sementara pembacaan otomatis bila pola pengiriman sebuah akun jauh di luar kewajaran (Syarat dan Ketentuan Pasal 10A). Keputusan itu tidak menghapus data apa pun, tidak mengubah catatan keuangan Anda, dan tidak menghalangi Anda mencatat sendiri lewat dasbor web.

Sesuai hak Anda untuk mengajukan keberatan atas keputusan yang semata-mata otomatis, Anda dapat meminta penundaan itu ditinjau manusia: hubungi kami lewat tombol Bantuan (WhatsApp) di aplikasi, lewat email dompetnoken@gmail.com, atau — bila akun Anda tertaut ke Telegram — kirim perintah /bantuan di bot. Staf operasional akan memeriksa pola aktivitasnya — bukan isi pesan Anda — lalu membuka atau mempertahankan penundaan tersebut dengan alasan yang tercatat.

Permintaan penghapusan akun dan data belum tersedia sebagai tombol swalayan; ajukan melalui alamat email pada bagian Kontak (Bagian 12) dan akan kami tindak lanjuti dalam waktu yang wajar.

9. Keamanan

Langkah yang benar-benar sudah berjalan:

• Pemisahan antar ruang kerja di tingkat basis data (Row Level Security), sehingga data satu ruang kerja tidak dapat dibaca ruang kerja lain, dan peran Staff tidak dapat melihat agregat ruang kerja.
• Kata sandi tidak pernah kami simpan maupun lihat dalam bentuk apa pun; pengelolaannya sepenuhnya di sistem autentikasi Supabase dengan standar industri.
• Jejak audit untuk tindakan di dalam aplikasi, yang dapat Anda periksa sendiri, serta pencatatan setiap akses admin ke data pelanggan (keduanya beserta batasnya dijelaskan pada Bagian 4).
• Verifikasi dua langkah (2FA) pada akun penyelenggara di layanan infrastruktur yang kami gunakan.
• Salinan cadangan harian terenkripsi di luar penyedia basis data. Selain cadangan otomatis milik penyedia, setiap hari kami membuat salinan basis data yang dienkripsi terlebih dahulu, lalu menyimpannya di layanan penyimpanan terpisah. Enkripsinya dilakukan sebelum berkas meninggalkan sistem kami, sehingga penyedia penyimpanan itu tidak dapat membaca isinya. Tujuannya satu: bila terjadi kerusakan atau kehilangan di penyedia basis data, data Anda tidak ikut hilang bersamanya.
• Lalu lintas terenkripsi (HTTPS), dan pemantauan kesalahan teknis untuk mendeteksi gangguan lebih cepat.

Kami tidak mengklaim sistem ini kebal. Tidak ada sistem yang kebal.

Apabila terjadi insiden keamanan yang berdampak pada data pribadi Anda, kami akan memberi tahu Anda dan/atau otoritas terkait selambat-lambatnya 3x24 jam sejak insiden diketahui, sesuai peraturan perundang-undangan yang berlaku. Langkah penanganannya kami tulis dalam prosedur internal tentang kebocoran data pribadi.

10. Persetujuan Pemrosesan oleh AI

Kami meminta persetujuan Anda sebelum data (foto, suara, teks) diproses oleh sistem AI. Untuk mendaftar lewat formulir, persetujuan ini wajib diberikan dengan mencentang kotak tersendiri yang terpisah dari persetujuan Syarat dan Ketentuan dan tidak tercentang dengan sendirinya; persetujuan juga dapat diberikan saat menautkan bot Telegram, atau lewat layar Chat maupun menu Pengaturan → Izin Privasi. Untuk izin yang diberikan saat mendaftar, kami mencatat versi teks persetujuannya, waktunya, dan bahwa izin itu diberikan saat pendaftaran. Persetujuan dapat dicabut kapan saja melalui menu Pengaturan → Izin Privasi. Pencabutan menghentikan pemrosesan data baru oleh AI, namun tidak menghapus data yang sudah tersimpan.

11. Perubahan Kebijakan

Kami dapat memperbarui kebijakan ini sewaktu-waktu. Perubahan yang signifikan akan diberitahukan melalui aplikasi dan/atau Telegram sebelum berlaku efektif.

12. Kontak

Pertanyaan, keberatan, atau permintaan terkait data pribadi dapat disampaikan ke: dompetnoken@gmail.com, atau lewat tombol Bantuan (WhatsApp) di aplikasi.