Kebijakan Privasi

1. Definisi

Dalam Kebijakan Privasi ini, istilah berikut memiliki arti sebagaimana didefinisikan di bawah ini:

• "Javara" berarti PT Javara Artificial Int beserta pendiri, karyawan, kontraktor, dan afiliasinya, yang mengoperasikan platform di javara.ai.
• "Platform" berarti layanan perangkat lunak berbasis web dan API yang disediakan oleh Javara, termasuk fitur loyalty management, analitik pertumbuhan berbasis AI, dan integrasi pihak ketiga.
• "Merchant" atau "Pelanggan" berarti pemilik atau operator bisnis F&B (Food & Beverage) yang mendaftar dan menggunakan Platform Javara atas nama usahanya.
• "Anggota Loyalty" atau "End-Customer" berarti konsumen akhir yang mendaftarkan diri ke program loyalty yang dikelola oleh Merchant melalui Platform Javara.
• "Data Pribadi" berarti segala informasi yang dapat digunakan untuk mengidentifikasi seseorang secara langsung maupun tidak langsung, sebagaimana didefinisikan dalam Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi ("UU PDP").
• "Pengendali Data" berarti pihak yang menentukan tujuan dan cara pemrosesan Data Pribadi.
• "Pemroses Data" berarti pihak yang memproses Data Pribadi atas instruksi Pengendali Data.
• "Sub-Prosesor" berarti pihak ketiga yang ditunjuk oleh Javara untuk membantu pemrosesan Data Pribadi dalam rangka penyampaian layanan.
• "Pemrosesan" berarti setiap operasi yang dilakukan terhadap Data Pribadi, termasuk pengumpulan, pencatatan, penyimpanan, penggunaan, pengungkapan, dan penghapusan.
• "Anda" berarti Merchant, Anggota Loyalty, atau pengunjung situs javara.ai yang tunduk pada Kebijakan ini.

---

2. Pengendali Data & Kontak

Pengendali Data:

Javara bertindak sebagai Pengendali Data atas data yang dikumpulkan dari Merchant dan pengguna Platform secara umum. Dalam konteks data Anggota Loyalty yang dikumpulkan atas instruksi Merchant, Javara bertindak sebagai Pemroses Data dengan Merchant sebagai Pengendali Data — hubungan ini diatur lebih lanjut dalam Data Processing Addendum ("DPA").

Untuk pertanyaan terkait privasi, permintaan hak subjek data, atau keluhan, silakan hubungi: privacy@javara.ai

Sebagaimana disyaratkan oleh UU PDP Pasal 53, Javara menunjuk Pejabat Pelindungan Data (DPO) yang dapat dihubungi melalui: dpo@javara.ai.

---

3. Data yang Kami Kumpulkan

Javara mengumpulkan Data Pribadi dari tiga kelompok subjek utama:

3.1 Data Merchant (Pemilik/Operator Bisnis)

Data berikut dikumpulkan saat registrasi dan selama penggunaan Platform:

3.2 Data End-Customer F&B (Anggota Loyalty)

Data berikut dikumpulkan oleh Merchant melalui Platform Javara saat mendaftarkan konsumen ke program loyalty:

Catatan penting: Javara tidak mengumpulkan data keuangan sensitif (nomor rekening, data kartu), data kesehatan, atau data biometrik dari Anggota Loyalty.

3.3 Data Teknis dan Analitik

---

4. Tujuan Penggunaan Data

Javara memproses Data Pribadi hanya untuk tujuan-tujuan yang sah dan telah ditetapkan berikut ini:

Javara tidak menggunakan Data Pribadi untuk iklan pihak ketiga, penjualan data kepada pihak lain, atau pembuatan profil yang merugikan subjek data.

---

5. Dasar Hukum Pemrosesan

Javara memproses Data Pribadi berdasarkan satu atau lebih dasar hukum yang diakui oleh UU PDP Nomor 27 Tahun 2022 dan prinsip-prinsip GDPR (sebagai standar internasional referensi):

Untuk data Anggota Loyalty: Merchant bertanggung jawab memperoleh persetujuan yang sah dari konsumen mereka sebelum mendaftarkan data tersebut ke Platform Javara. Javara mendukung Merchant dalam memenuhi kewajiban ini, antara lain melalui pencatatan waktu pendaftaran Anggota dan penghapusan data Anggota atas permintaan.

---

6. Sub-Prosesor

Javara menggunakan sub-prosesor pihak ketiga berikut untuk membantu penyampaian layanan. Setiap sub-prosesor terikat perjanjian pemrosesan data yang memadai.

Javara akan memperbarui daftar ini setiap kali ada penambahan atau perubahan sub-prosesor material. Merchant akan diberitahu setidaknya 30 hari sebelum penambahan sub-prosesor baru yang memproses Data Pribadi Anggota Loyalty, kecuali dalam keadaan darurat keamanan.

---

7. Integrasi Google Business Profile

Jika Merchant memilih menghubungkan Google Business Profile miliknya, javara mengakses data berikut atas nama dan dengan persetujuan Merchant, melalui Google OAuth (izin business.manage):

• Ulasan (reviews) pada lokasi bisnis milik Merchant — untuk ditampilkan di dashboard javara.
• Informasi lokasi & akun bisnis — hanya untuk membantu Merchant memilih lokasi mana yang ingin dihubungkan.

Penggunaan. Data ulasan dipakai semata untuk menampilkan ulasan kepada Merchant dan membantu Merchant menyusun balasan, termasuk draft balasan berbantuan AI yang disetujui Merchant sebelum dipublikasikan. javara bertindak hanya pada lokasi yang dimiliki dan diotorisasi Merchant.

Pembatasan. javara tidak menjual data Google, tidak memakainya untuk iklan, dan tidak memakainya untuk melatih model AI tujuan-umum. Akses oleh manusia dibatasi hanya bila diperlukan untuk operasional/keamanan atau atas persetujuan Merchant.

Limited Use. Penggunaan dan transfer informasi yang diterima javara dari Google API ke aplikasi lain mematuhi Google API Services User Data Policy, termasuk persyaratan Limited Use.

Pencabutan. Merchant dapat memutus koneksi kapan saja dari pengaturan javara atau dari Akun Google mereka; data Google yang tersimpan kemudian dihapus sesuai kebijakan retensi kami.

---

8. Transfer Data Lintas Batas

Sebagian sub-prosesor Javara berlokasi di luar Indonesia. Transfer data ini dikelola sebagai berikut:

Lokasi Primer (Singapura): Database utama Javara dihosting di pusat data berlokasi di Singapura. Singapura diakui sebagai yurisdiksi dengan standar perlindungan data yang memadai di kawasan Asia Tenggara dan merupakan lokasi residensi data yang diizinkan berdasarkan kebijakan dan praktik industri SEA saat ini.

Transfer ke Amerika Serikat (sebagian penyedia infrastruktur, monitoring, dan layanan AI): Transfer ini dilakukan berdasarkan:

• Klausul Kontrak Standar (Standard Contractual Clauses / SCC) atau mekanisme perlindungan yang setara yang disediakan oleh masing-masing sub-prosesor;
• Kebutuhan kontrak untuk penyampaian layanan (Pasal 56 ayat (1) huruf b UU PDP);
• Penilaian bahwa sub-prosesor yang dimaksud memiliki program kepatuhan privasi yang kuat (SOC 2, ISO 27001, atau setara).

Transfer ke Uni Eropa: Penyedia analitik produk menawarkan opsi residensi data EU. Javara menilai opsi ini untuk memastikan kepatuhan GDPR pada tahap ekspansi selanjutnya.

Javara berkomitmen untuk tidak mentransfer Data Pribadi ke yurisdiksi yang tidak memiliki tingkat perlindungan yang memadai tanpa mekanisme perlindungan yang sesuai.

---

9. Hak Pengguna

Sesuai dengan UU PDP Nomor 27 Tahun 2022 Pasal 5–16, Anda memiliki hak-hak berikut atas Data Pribadi Anda:

Waktu Respons: Javara akan merespons permintaan hak subjek data dalam waktu 14 hari kerja sejak permintaan diterima. Untuk permintaan yang kompleks, Javara dapat memperpanjang respons hingga 30 hari dengan pemberitahuan sebelumnya.

Identifikasi: Untuk melindungi keamanan data, Javara dapat meminta verifikasi identitas sebelum memproses permintaan.

Untuk Anggota Loyalty: Permintaan hak Anggota Loyalty terkait data yang dikumpulkan oleh Merchant mungkin perlu diteruskan ke Merchant yang bersangkutan selaku Pengendali Data.

---

10. Retensi Data

Javara menyimpan Data Pribadi hanya selama diperlukan untuk tujuan yang ditetapkan, atau selama diwajibkan oleh hukum yang berlaku:

Permintaan Penghapusan Awal: Merchant dapat meminta penghapusan Data Pribadi sebelum periode retensi 1 (satu) tahun berakhir melalui privacy@javara.ai. Penghapusan akan dilaksanakan dalam 30 hari kerja, kecuali ada kewajiban hukum yang menghalangi.

---

11. Keamanan Data

Javara menerapkan langkah-langkah teknis dan organisasi yang wajar dan proporsional untuk melindungi Data Pribadi dari akses tidak sah, kebocoran, kehilangan, atau penghancuran:

Keamanan Teknis:

• Enkripsi transit: Seluruh komunikasi data menggunakan TLS 1.2 atau lebih tinggi (HTTPS wajib di semua endpoint).
• Enkripsi diam: Database dienkripsi at-rest menggunakan standar enkripsi AES-256.
• Kontrol akses: Prinsip least-privilege diterapkan; akses ke data produksi dibatasi hanya pada personel yang memerlukan.
• Autentikasi: Login tanpa password (magic link email + Google OAuth) — tidak ada password yang disimpan; verifikasi OTP WhatsApp untuk aksi sensitif (mis. penukaran poin).
• API Security: Endpoint API dilindungi menggunakan token autentikasi dan pembatasan laju (rate limiting).
• Pemindaian kerentanan: Pemindaian keamanan berkala pada dependensi dan infrastruktur.

Keamanan Organisasi:

• Akses data produksi menggunakan prinsip need-to-know.
• Audit log mencatat semua akses dan modifikasi data sensitif.
• Review kebijakan keamanan dilakukan secara berkala.
• Kontraktor dan sub-prosesor terikat oleh kewajiban kerahasiaan dan keamanan yang setara.

---

12. Notifikasi Pelanggaran Data

Dalam hal terjadi pelanggaran keamanan yang mengakibatkan kebocoran, pengungkapan tidak sah, atau penghancuran Data Pribadi, Javara akan:

1. Dalam 72 jam sejak Javara mengetahui adanya pelanggaran yang signifikan: melaporkan kepada otoritas yang berwenang (Komdigi / BSSN atau lembaga pengawas yang ditunjuk berdasarkan UU PDP) sesuai dengan Pasal 46 UU PDP dan ketentuan GDPR Pasal 33 (sebagai referensi standar internasional).
2. Tanpa penundaan yang tidak wajar: Memberitahu Merchant yang terdampak secara langsung melalui email terdaftar.
3. Untuk pelanggaran yang mempengaruhi Anggota Loyalty: Berkoordinasi dengan Merchant yang bersangkutan untuk memastikan notifikasi kepada individu yang terdampak sesuai kewajiban hukum.

Notifikasi kepada individu akan mencakup: (a) deskripsi sifat pelanggaran; (b) kategori dan perkiraan jumlah data yang terdampak; (c) nama dan kontak DPO; (d) kemungkinan konsekuensi; (e) tindakan mitigasi yang diambil atau direncanakan.

---

13. Cookies & Pelacakan

Platform Javara menggunakan cookies dan teknologi pelacakan serupa. Berikut kategori cookies yang digunakan:

Situs marketing javara.ai tidak memasang cookie pelacakan di perangkat pengunjung, sehingga tidak menampilkan banner consent cookies. Pengguna dapat mengelola cookies melalui pengaturan browser, atau mengajukan keberatan atas pemrosesan analitik melalui privacy@javara.ai. Menonaktifkan cookies esensial dapat memengaruhi fungsionalitas Platform.

---

14. Data Anak

Platform Javara dirancang untuk digunakan oleh pelaku usaha F&B (Merchant), bukan oleh anak-anak secara langsung. Oleh karena itu:

• Akun Merchant: Javara tidak secara sengaja membuat akun untuk individu yang berusia di bawah 17 tahun.
• Anggota Loyalty: Dalam konteks program loyalty F&B, dimungkinkan bahwa sebagian Anggota Loyalty adalah anak-anak (misalnya, konsumen di bawah 17 tahun). Merchant selaku Pengendali Data bertanggung jawab untuk memastikan persetujuan yang sah diperoleh dari orang tua atau wali sesuai UU PDP Pasal 25 sebelum mendaftarkan konsumen di bawah umur ke program loyalty.
• Jika Javara mengetahui bahwa data anak-anak di bawah 17 tahun dikumpulkan tanpa persetujuan yang sah dari orang tua/wali, Javara akan menghapus data tersebut setelah menerima laporan.

---

15. Perubahan Kebijakan

Javara dapat memperbarui Kebijakan Privasi ini dari waktu ke waktu untuk mencerminkan perubahan dalam praktik pemrosesan data, persyaratan hukum, atau fitur layanan. Untuk perubahan material, Javara akan:

• Memposting versi baru di https://javara.ai/privacy dengan tanggal pembaruan yang jelas.
• Mengirimkan pemberitahuan email kepada Merchant yang terdaftar setidaknya 14 hari sebelum perubahan material berlaku.
• Memperbarui nomor versi dokumen ini.

Penggunaan Platform yang berkelanjutan setelah tanggal efektif perubahan merupakan penerimaan terhadap Kebijakan yang diperbarui.

---

16. Kontak DPO & Pengaduan

Kontak Privasi:

Jika Anda merasa hak privasi Anda dilanggar dan Javara tidak merespons dengan memuaskan, Anda berhak mengajukan pengaduan kepada:

Kementerian Komunikasi dan Digital (Komdigi) — selaku kementerian yang saat ini menjalankan fungsi pengawasan pelindungan data pribadi, atau Lembaga Pelindungan Data Pribadi setelah lembaga tersebut terbentuk berdasarkan UU PDP.

Website: https://www.komdigi.go.id

---

Dokumen ini diterbitkan oleh Javara (javara.ai) dan tunduk pada hukum Republik Indonesia.

1. Definitions

In this Privacy Policy, the following terms have the meanings defined below:

• "Javara" means PT Javara Artificial Int, its founder, employees, contractors, and affiliates, operating the platform at javara.ai.
• "Platform" means the web-based software services and APIs provided by Javara, including loyalty management, AI-driven growth analytics, and third-party integrations.
• "Merchant" or "Customer" means an F&B (Food & Beverage) business owner or operator who registers and uses the Javara Platform on behalf of their business.
• "Loyalty Member" or "End-Customer" means a consumer who enrolls in a loyalty program managed by a Merchant through the Javara Platform.
• "Personal Data" means any information that can identify a person directly or indirectly, as defined under Law No. 27 of 2022 on Personal Data Protection ("UU PDP").
• "Data Controller" means the party that determines the purposes and means of processing Personal Data.
• "Data Processor" means the party that processes Personal Data on behalf of the Data Controller.
• "Sub-Processor" means a third party engaged by Javara to assist in processing Personal Data in connection with service delivery.
• "Processing" means any operation performed on Personal Data, including collection, recording, storage, use, disclosure, and deletion.
• "You" means the Merchant, Loyalty Member, or visitor to javara.ai who is subject to this Policy.

---

2. Data Controller & Contact

Data Controller:

Javara acts as the Data Controller for data collected from Merchants and general Platform users. For Loyalty Member data collected at the Merchant's instruction, Javara acts as a Data Processor with the Merchant as Data Controller — this relationship is governed by the Data Processing Addendum ("DPA").

For privacy inquiries, data subject rights requests, or complaints, contact: privacy@javara.ai

As required by UU PDP Article 53, Javara appoints a Data Protection Officer (DPO) who can be reached at: dpo@javara.ai.

---

3. Data We Collect

Javara collects Personal Data from three primary groups of data subjects:

3.1 Merchant Data (Business Owner/Operator)

The following data is collected during registration and throughout Platform use:

3.2 F&B End-Customer Data (Loyalty Members)

The following data is collected by Merchants through the Javara Platform when enrolling consumers in loyalty programs:

Important note: Javara does not collect sensitive financial data (account numbers, card data), health data, or biometric data from Loyalty Members.

3.3 Technical and Analytics Data

---

4. Purpose of Processing

Javara processes Personal Data only for the following legitimate and specified purposes:

Javara does not use Personal Data for third-party advertising, selling data to other parties, or building profiles that are detrimental to data subjects.

---

5. Legal Basis for Processing

Javara processes Personal Data based on one or more legal bases recognized by UU PDP No. 27 of 2022 and GDPR principles (as an international reference standard):

For Loyalty Member data: Merchants are responsible for obtaining valid consent from their consumers before enrolling that data in the Javara Platform. Javara supports Merchants in meeting this obligation, including by recording Member enrolment timestamps and deleting Member data upon request.

---

6. Third-Party Sub-Processors

Javara uses the following third-party sub-processors to assist in delivering services. Each sub-processor is bound by adequate data processing agreements.

Javara will update this list whenever a material change in sub-processors occurs. Merchants will be notified at least 30 days in advance of any new sub-processor addition that processes Loyalty Member Personal Data, except in cases of security emergencies.

---

7. Google Business Profile Integration

If a Merchant chooses to connect their Google Business Profile, javara accesses the following data on the Merchant's behalf and with their consent, via Google OAuth (the business.manage scope):

• Reviews on the Merchant's business locations — to display them in the javara dashboard.
• Location & business-account information — only to let the Merchant choose which of their locations to connect.

Use. Review data is used solely to show reviews to the Merchant and to help the Merchant compose replies, including AI-assisted reply drafts that the Merchant approves before publishing. javara acts only on locations the Merchant owns and authorizes.

Restrictions. javara does not sell Google data, does not use it for advertising, and does not use it to train general-purpose AI models. Human access is limited to what is necessary for operations/security or with the Merchant's consent.

Limited Use. javara's use and transfer of information received from Google APIs to any other app adheres to the Google API Services User Data Policy, including the Limited Use requirements.

Revocation. A Merchant can disconnect at any time from javara's settings or from their Google Account; stored Google data is then deleted in accordance with our data-retention policy.

---

8. Cross-Border Data Transfer

Some of Javara's sub-processors are located outside Indonesia. These data transfers are managed as follows:

Primary Location (Singapore): Javara's primary database is hosted in a data centre located in Singapore. Singapore is recognised as a jurisdiction with adequate data protection standards in the Southeast Asian region and is an accepted data residency location under current SEA industry norms and practices.

Transfers to the United States (certain infrastructure, monitoring, and AI service providers): These transfers are made based on:

• Standard Contractual Clauses (SCCs) or equivalent protective mechanisms provided by each sub-processor;
• Contractual necessity for service delivery (UU PDP Article 56(1)(b));
• Assessment that the sub-processors in question maintain robust privacy compliance programmes (SOC 2, ISO 27001, or equivalent).

Transfers to the European Union: The product analytics provider offers EU data residency options. Javara is evaluating this option to ensure GDPR compliance at the next stage of expansion.

Javara is committed to not transferring Personal Data to jurisdictions without adequate protection levels without appropriate safeguard mechanisms.

---

9. User Rights

Pursuant to UU PDP No. 27 of 2022 Articles 5–16, you have the following rights over your Personal Data:

Response Time: Javara will respond to data subject rights requests within 14 business days of receipt. For complex requests, Javara may extend the response period to 30 days with prior notice.

Identification: To protect data security, Javara may request identity verification before processing requests.

For Loyalty Members: Loyalty Member rights requests relating to data collected by Merchants may need to be directed to the relevant Merchant as Data Controller.

---

10. Data Retention

Javara retains Personal Data only for as long as necessary for the specified purposes, or as required by applicable law:

Early Deletion Requests: Merchants may request deletion of Personal Data before the 1 (one) year retention period ends via privacy@javara.ai. Deletion will be executed within 30 business days, unless a legal obligation prevents it.

---

11. Security Measures

Javara implements reasonable and proportionate technical and organisational measures to protect Personal Data from unauthorised access, leakage, loss, or destruction:

Technical Security:

• Encryption in transit: All data communications use TLS 1.2 or higher (HTTPS mandatory on all endpoints).
• Encryption at rest: Databases are encrypted at-rest using AES-256 encryption standards.
• Access control: Least-privilege principles are applied; access to production data is limited to personnel with a need-to-know.
• Authentication: Passwordless login (email magic link + Google OAuth) — no passwords are stored; WhatsApp OTP verification for sensitive actions (e.g., point redemption).
• API Security: API endpoints are protected using authentication tokens and rate limiting.
• Vulnerability scanning: Regular security scans on dependencies and infrastructure.

Organisational Security:

• Production data access follows need-to-know principles.
• Audit logs record all access to and modification of sensitive data.
• Security policy reviews are conducted periodically.
• Contractors and sub-processors are bound by equivalent confidentiality and security obligations.

---

12. Data Breach Notification

In the event of a security breach resulting in a leak, unauthorised disclosure, or destruction of Personal Data, Javara will:

1. Within 72 hours of Javara becoming aware of a significant breach: report to the relevant authority (Komdigi / BSSN or the supervisory body designated under UU PDP) in accordance with UU PDP Article 46 and GDPR Article 33 (as an international standard reference).
2. Without undue delay: Notify directly affected Merchants via their registered email address.
3. For breaches affecting Loyalty Members: Coordinate with the relevant Merchant to ensure notification to affected individuals per legal obligations.

Notifications to individuals will include: (a) a description of the nature of the breach; (b) categories and approximate number of data records affected; (c) DPO name and contact details; (d) likely consequences; (e) mitigation measures taken or planned.

---

13. Cookies & Tracking

The Javara Platform uses cookies and similar tracking technologies. The following cookie categories are used:

The javara.ai marketing site does not place tracking cookies on visitors' devices and therefore does not display a cookie consent banner. Users can manage cookies through browser settings, or object to analytics processing via privacy@javara.ai. Disabling essential cookies may affect Platform functionality.

---

14. Children's Data

The Javara Platform is designed for use by F&B business operators (Merchants), not directly by children. Therefore:

• Merchant accounts: Javara does not knowingly create accounts for individuals under 17 years of age.
• Loyalty Members: In the context of F&B loyalty programs, it is possible that some Loyalty Members are minors (e.g., consumers under 17). Merchants as Data Controllers are responsible for ensuring valid parental or guardian consent is obtained per UU PDP Article 25 before enrolling minors in loyalty programs.
• If Javara becomes aware that data from children under 17 has been collected without valid parental/guardian consent, Javara will delete such data upon receiving a report.

---

15. Changes to Policy

Javara may update this Privacy Policy from time to time to reflect changes in data processing practices, legal requirements, or service features. For material changes, Javara will:

• Post the new version at https://javara.ai/privacy with a clear update date.
• Send email notifications to registered Merchants at least 14 days before material changes take effect.
• Update the version number of this document.

Continued use of the Platform after the effective date of changes constitutes acceptance of the updated Policy.

---

16. DPO Contact & Complaints

Privacy Contact:

If you believe your privacy rights have been violated and Javara has not responded satisfactorily, you have the right to lodge a complaint with:

Ministry of Communication and Digital Affairs (Komdigi) — as the ministry currently exercising personal data protection oversight in Indonesia, or the Personal Data Protection Authority once that body is established under UU PDP.

Website: https://www.komdigi.go.id

---

This document is published by Javara (javara.ai) and is subject to the laws of the Republic of Indonesia.