Kebijakan Privasi

Terakhir diperbarui: 26 Juli 2026

Dokumen ini masih draf. Badan usaha yang mengoperasikan Kareeb belum ditetapkan, jadi di bawah ini ia ditulis sebagai [NAMA BADAN USAHA] dan akan diganti dengan nama, NIB, serta alamat terdaftar begitu entitasnya berdiri. Isi kebijakannya sendiri sudah menggambarkan cara kerja produk hari ini.

Kebijakan ini menjelaskan bagaimana Kareeb — dioperasikan oleh [NAMA BADAN USAHA], selanjutnya disebut "Kareeb" atau "kami" — memproses data pribadi di dalam layanan CRM berbasis WhatsApp kami.

1. Dua peran yang perlu dibedakan

Kareeb adalah perangkat lunak yang dipakai oleh bisnis klien (misalnya klinik, toko, atau penyedia jasa) untuk berkomunikasi dengan pelanggan akhir mereka melalui WhatsApp. UU PDP membedakan dua peran, dan Kareeb berada di kedua sisi tergantung datanya:

• Terhadap data pelanggan akhir, Kareeb adalah Prosesor Data Pribadi — kami memproses data tersebut atas instruksi bisnis klien. Bisnis kliennya yang menentukan tujuan penggunaan dan bertindak sebagai Pengendali Data Pribadi.
• Terhadap data akun pengguna layanan kami sendiri (nama staf, email, informasi penagihan), Kareeb bertindak sebagai Pengendali Data Pribadi.

Jika Anda pelanggan akhir dan ingin tahu mengapa data Anda diproses, permintaan sebaiknya diajukan lebih dulu kepada bisnis yang menghubungi Anda. Kami tetap membantu meneruskan atau menjalankan permintaan itu.

2. Data yang kami proses

Nama

Nama profil WhatsApp, atau nama yang disimpan oleh bisnis klien.

Nomor WhatsApp

Nomor telepon pengirim atau penerima, sebagai identitas percakapan.

Isi pesan

Teks dan lampiran (gambar, dokumen, lokasi, dan sejenisnya) yang dipertukarkan antara bisnis klien dan pelanggan akhir.

Status pesan

Metadata pengiriman dari WhatsApp — terkirim, diterima, dibaca, atau gagal — beserta waktunya.

Catatan persetujuan dan penolakan

Kapan seorang kontak menyatakan bersedia dihubungi untuk suatu tujuan, dan kapan ia menariknya kembali (misalnya dengan membalas BERHENTI), berikut caranya. Catatan ini bersifat tambah-saja: sebuah penarikan adalah baris baru, bukan penimpaan atas persetujuan sebelumnya.

Data akun klien

Nama pengguna staf, alamat email, dan catatan aktivitas di dalam aplikasi.

Kami tidak meminta dan tidak sengaja mengumpulkan data pribadi bersifat spesifik (seperti data kesehatan, biometrik, atau keuangan) di luar apa yang secara sukarela dikirim di dalam percakapan oleh para pihak. Untuk pesan proaktif yang Kareeb jadwalkan bagi klinik, isinya sengaja dibatasi pada nama, waktu, dan tempat — tidak pernah keterangan klinis.

3. Tujuan pemrosesan

• Menyampaikan dan mengelola percakapan antara bisnis klien dan pelanggan akhir — mengirim pesan, menerima balasan, menampilkan riwayat, dan mencatat status pengiriman.
• Memberi bisnis klien rekap dan statistik atas percakapannya sendiri.
• Menghormati permintaan berhenti menerima pesan, dan membuktikan bahwa permintaan itu dihormati.
• Menjaga keamanan dan keandalan layanan, termasuk pencatatan teknis untuk menelusuri gangguan dan penyalahgunaan.
• Memenuhi kewajiban hukum serta kebijakan WhatsApp Business Platform.

Kami tidak menggunakan isi percakapan klien untuk periklanan, dan tidak memakainya untuk melatih model AI umum. Bila fitur balasan AI diaktifkan oleh bisnis klien, pemrosesan hanya dilakukan untuk menghasilkan balasan pada percakapan tersebut.

4. Dasar pemrosesan

Pemrosesan dilakukan berdasarkan perjanjian layanan dengan bisnis klien, persetujuan yang diperoleh bisnis klien dari pelanggan akhirnya (termasuk persetujuan untuk menerima pesan WhatsApp), pelaksanaan kewajiban hukum, dan kepentingan yang sah untuk mengamankan layanan.

5. Penyimpanan dan lokasi data

Kareeb dipasang per bisnis: satu instalasi melayani satu klien, dengan basis datanya sendiri. Tidak ada kolam data bersama antar klien.

• Pada instalasi yang berjalan di infrastruktur klien, data percakapan tidak pernah meninggalkan server klien.
• Pada instalasi yang kami operasikan atas nama klien, data berada di pusat data di wilayah Indonesia atau Asia Tenggara.

Akses dibatasi pada personel yang membutuhkannya untuk operasional dan dukungan teknis, melalui akun yang teridentifikasi.

6. Retensi

Data percakapan disimpan selama akun bisnis klien aktif. Setelah akun ditutup, atau setelah permintaan penghapusan yang sah, data dihapus dalam waktu 30 hari — kecuali sebagian harus dipertahankan lebih lama untuk memenuhi kewajiban hukum. Bisnis klien dapat meminta penghapusan lebih awal atas percakapan tertentu.

7. Pembagian data

• Meta Platforms, Inc. — sebagai penyedia WhatsApp Business Platform, pesan tentu melewati infrastruktur Meta dan diproses menurut ketentuan Meta.
• Penyedia infrastruktur (hosting dan basis data) yang terikat kewajiban kerahasiaan dan hanya memproses atas instruksi kami.
• Penyedia pembayaran, hanya bila bisnis klien mengaktifkan tagihan di dalam chat, dan hanya sebatas data yang diperlukan untuk menerbitkan tagihan tersebut.
• Aparat penegak hukum, hanya bila ada dasar hukum yang sah.

Kami tidak menjual data pribadi kepada pihak ketiga dan tidak menukarnya untuk kepentingan pemasaran pihak lain.

8. Hak Anda

Berdasarkan UU PDP, Anda berhak meminta akses, koreksi, dan penghapusan data pribadi Anda, menarik persetujuan yang pernah Anda berikan, serta mengajukan keberatan atas pemrosesan tertentu. Ajukan permintaan ke data@hubstudio.id dengan menyebutkan nomor WhatsApp terkait. Kami menanggapi dalam waktu wajar, umumnya tidak lebih dari 30 hari. Petunjuk lengkapnya ada di halaman Penghapusan Data.

Untuk berhenti menerima pesan proaktif, cara tercepat tidak memerlukan email sama sekali: balas BERHENTI (atau STOP) pada percakapan WhatsApp itu sendiri. Permintaan tersebut berlaku seketika di seluruh jalur pengiriman proaktif, dan tercatat.

Bila permintaan berkaitan dengan data yang dikendalikan oleh bisnis klien, kami akan mengarahkan atau meneruskan permintaan itu kepada mereka.

9. Keamanan

Kami menerapkan pengendalian teknis dan organisasi yang wajar: koneksi terenkripsi, verifikasi tanda tangan pada setiap webhook masuk (payload yang tidak terverifikasi ditolak dan tidak disimpan), pembatasan akses, serta pencatatan aktivitas. Tidak ada sistem yang sepenuhnya bebas risiko; bila terjadi kegagalan pelindungan data pribadi, kami memberitahukan pihak terkait sesuai ketentuan yang berlaku — UU PDP menetapkan tenggat 3 x 24 jam sejak diketahui.

10. Anak

Layanan ini ditujukan untuk penggunaan bisnis dan tidak diarahkan kepada anak di bawah 18 tahun. Kami tidak dengan sengaja mengumpulkan data anak tanpa persetujuan orang tua atau wali.

11. Kepatuhan

Kebijakan ini disusun mengacu pada Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) beserta peraturan pelaksananya, serta kebijakan WhatsApp Business Platform dan Meta Platform Terms.

12. Perubahan kebijakan

Bila kebijakan ini berubah secara material, kami memperbarui tanggal di atas dan memberitahukan bisnis klien melalui email atau di dalam aplikasi sebelum perubahan berlaku.

13. Kontak

Pertanyaan, permintaan hak subjek data, atau keberatan: data@hubstudio.id.