Kebijakan Privasi Obscura

1. Siapa Kami

1.1. PT Virtue Digital Indonesia (merek Valid, val.id; "Kami") menyediakan Obscura, platform manajemen dokumen. Kebijakan ini menjelaskan data pribadi apa yang Kami proses, untuk apa, dan hak Anda atas data tersebut, sesuai UU 27/2022 tentang Pelindungan Data Pribadi ("UU PDP") dan peraturan pelaksanaannya (termasuk PP 33/2026).

1.2. Kapan Kami Pengendali dan kapan Prosesor.

• Pada Obscura Cloud, Pelanggan adalah Pengendali Data Pribadi atas isi dokumen dan atas data Pengguna di dalam organisasinya, termasuk data akun mereka. Kami adalah Prosesor yang memproses data tersebut untuk dan atas nama Pelanggan serta berdasarkan instruksinya (lihat DPA).
• Kami adalah Pengendali hanya atas data hubungan pelanggan Kami sendiri (kontak pendaftaran dan penagihan, faktur, calon pelanggan), data pengunjung situs web Kami, dan log keamanan yang Kami perlukan untuk melindungi layanan Cloud.
• Pada pemasangan Private dan Enterprise, pelanggan adalah Pengendali atas seluruh data di servernya (lihat Pasal 7).

2. Tiga Kelompok yang Dibahas Kebijakan Ini

Kebijakan ini membahas tiga kelompok secara terpisah:

• Bagian A (Pasal 3): pengunjung situs obscr.id (termasuk getobscura.id, yang dialihkan ke sana) dan pihak yang mendaftar atau menghubungi Kami.
• Bagian B (Pasal 4 dan 5): Pengguna dari organisasi Pelanggan Obscura Cloud, penandatangan eksternal, dan pengguna aplikasi seluler Obscura.
• Bagian C (Pasal 6): pihak ketiga yang datanya muncul di dalam dokumen Pelanggan.

Pasal 7 dan seterusnya berlaku untuk semuanya.

3. Bagian A: Pengunjung Situs dan Pendaftar

3.1. Situs web

• Situs obscr.id tidak memasang cookie. Situs hanya menyimpan pilihan bahasa Anda di localStorage peramban.
• Situs tidak memuat alat analitik, piksel iklan, atau pelacak pihak ketiga, dan tidak mengirim permintaan ke penyedia font pihak ketiga (font dihosting sendiri).
• Formulir kontak berupa tautan mailto: tanpa server di belakangnya. Isi surel yang Anda kirim diterima di contact@obscr.id melalui program surel Anda sendiri.
• Server situs dapat mencatat log akses standar (alamat IP, waktu, halaman) untuk keamanan dan pemeliharaan. Masa simpan: paling lama 30 hari.

3.2. Pendaftaran dan permintaan demo

Bila Anda mendaftar atau menghubungi Kami, Kami memproses: nama organisasi, nama kontak, surel, telepon, subdomain yang diminta, bahasa, serta catatan persetujuan (alamat IP, user agent, waktu, dan versi Syarat dan Kebijakan ini).

3.3. Tujuan, dasar, dan masa simpan

4. Bagian B: Pengguna Organisasi Pelanggan

Bagian ini berlaku bagi karyawan dan orang lain yang diberi akun oleh Pelanggan di Obscura Cloud, serta bagi penandatangan eksternal sebagaimana diuraikan dalam Pasal 4.3. Organisasi Anda (Pelanggan) adalah Pengendali atas data ini, termasuk data akun Anda, dan Kami memprosesnya atas nama Pelanggan sebagai Prosesor. Kami menjadi Pengendali hanya atas data yang ditandai sebagai milik Kami di bawah ini dan atas log keamanan yang Kami perlukan untuk melindungi layanan Cloud (Pasal 1.2). Untuk isi dokumen, lihat Pasal 6.

4.1. Data yang Kami proses

• Akun: surel, nama tampilan, telepon (opsional), avatar; kata sandi (hanya hash argon2id); MFA (rahasia TOTP terenkripsi; passkey); identitas SSO; sesi (alamat IP dan user agent tidak disimpan pada sesi); perangkat dan push token; penghitung penguncian akun; token atur ulang kata sandi (hanya hash, berlaku 30 menit).
• Jejak audit (hanya-tambah dan berantai hash): setiap tindakan yang diaudit beserta alamat IP, user agent, dan ID permintaan, termasuk upaya yang ditolak; peristiwa penandatangan eksternal beserta IP dan user agent.
• Pembagian dan perlindungan dokumen: log akses tautan bagi, catatan penerbitan unduhan dan salinan (IP, user agent), persetujuan eksternal, permintaan transfer dan pengisian.
• Penandaan forensik: salinan yang diterbitkan memuat tanda tak kasatmata dan kode salinan yang mengidentifikasi penerima dan waktu, untuk menelusuri kebocoran.
• Tanda tangan elektronik: spesimen dan tanda tangan tersimpan; nomor telepon terverifikasi dan status pendaftaran sertifikat tersertifikasi (Pasal 4.2); data penandatangan eksternal (Pasal 4.3).
• KYB organisasi (Kami Pengendali): nama badan hukum, NIB, NPWP, alamat, nama penandatangan. NIK penandatangan tidak disimpan.
• Penagihan (Kami Pengendali): surel kontak dan penagihan, NPWP dan alamat pembeli pada faktur. Kartu di-tokenisasi oleh Midtrans di peramban; Kami hanya menerima nomor kartu tersamar (masked).
• Statistik penggunaan: hitungan harian per organisasi dan pemakaian token AI. Aplikasi tidak memuat pustaka analitik atau pelacakan.

4.2. Pendaftaran tanda tangan elektronik tersertifikasi (PSrE)

Untuk menandatangani dengan sertifikat elektronik, Anda lebih dulu mendaftar pada Penyelenggara Sertifikasi Elektronik (PSrE) berizin melalui aplikasi. Untuk keperluan itu, aplikasi mengumpulkan:

• foto KTP Anda (hanya dapat diambil dengan kamera) dan, bila Anda kehendaki, foto NPWP;
• video singkat wajah Anda yang direkam beserta suara untuk pemeriksaan liveness (paling lama 8 detik);
• biodata: nama lengkap, NIK, tempat dan tanggal lahir, jenis kelamin, alamat, provinsi dan kota/kabupaten, unit organisasi dan jabatan, serta nomor telepon yang telah diverifikasi.

Video wajah dan suara tersebut merupakan data biometrik, yang termasuk data pribadi yang bersifat spesifik menurut Pasal 4 ayat (2) UU PDP. Data tersebut hanya diproses dengan persetujuan eksplisit Anda, yang Anda berikan di aplikasi sebelum pengajuan, dan semata-mata agar penyelenggara sertifikasi berizin dapat memverifikasi identitas Anda dan menerbitkan sertifikat elektronik.

Data tersebut dikirim kepada PT Peruri Digital Security (Peruri Sign-IT), PSrE berizin. Peruri memproses data itu sebagai Pengendali tersendiri berdasarkan Kebijakan Sertifikat (Certificate Policy), Pernyataan Penyelenggaraan Sertifikasi (Certification Practice Statement), Perjanjian Pemilik Sertifikat (Subscriber Agreement), dan kebijakan privasinya. Untuk pemasangan yang ditagih melalui Valid, permintaan diteruskan melalui perantara yang Kami operasikan (Valid Broker); Kami tidak menyimpan foto maupun video tersebut di sana. Server Obscura tidak menyimpan foto KTP, foto NPWP, maupun video. Yang disimpan hanya nomor telepon terverifikasi dan status pendaftaran.

Bila organisasi Anda mengaktifkan fitur AI dan Anda memilih mengisi formulir dari foto KTP, foto itu dikirim ke penyedia AI organisasi Anda semata-mata untuk membaca teks di dalamnya; Anda dapat mengetik sendiri data tersebut sebagai gantinya.

Penandatanganan tanpa sertifikat elektronik tersertifikasi tidak memerlukan satu pun data di atas.

4.3. Penandatangan eksternal

Penandatangan eksternal adalah orang di luar organisasi yang menandatangani melalui tautan. Untuk mereka, Kami memproses: nama, surel, nomor telepon, alamat IP serta keterangan peramban atau aplikasi saat menandatangani, waktu dan versi persetujuan yang diberikan, gambar tanda tangan, dan saluran pengiriman kode sekali pakai.

Kode sekali pakai dan tautan tanda tangan dikirim melalui surel, menggunakan server surel organisasi atau, pada Obscura Cloud, server surel milik Kami. Bila organisasi mengaktifkan pengiriman melalui WhatsApp, kode dan tautan itu juga dapat dikirim melalui layanan WhatsApp milik Meta.

Catatan tersebut disimpan bersama dokumen yang ditandatangani, sesuai aturan retensi organisasi. Tautan tanda tangan yang sudah dipakai menampilkan tanda terima selama 90 hari.

4.4. Tujuan, dasar, dan masa simpan

4.5. Cookie dan penyimpanan lokal di aplikasi web

Aplikasi web memakai satu cookie esensial, obscura_session (HttpOnly, Secure, SameSite=Lax, 24 jam), untuk menjaga sesi masuk. Peramban juga menyimpan token masuk, bahasa, tema, status antarmuka, dan draf lokal di localStorage. Tidak ada cookie iklan atau analitik.

5. Aplikasi Seluler Obscura

5.1. Aplikasi seluler Obscura hanya terhubung ke server Obscura milik organisasi Anda (di Obscura Cloud atau pada pemasangan Private atau Enterprise), ditambah Apple Push Notification service atau Firebase Cloud Messaging untuk notifikasi. Organisasi Anda adalah Pengendali atas data yang dikirim aplikasi ke servernya.

5.2. Aplikasi tidak memuat SDK analitik, pelaporan crash, iklan, maupun pelacakan. Aplikasi tidak memakai pengenal iklan (advertising identifier) dan tidak melacak Anda di aplikasi atau situs lain.

5.3. Izin perangkat. Aplikasi meminta setiap izin hanya pada saat Anda memakai fitur yang memerlukannya:

• Kamera: untuk mengambil foto KTP dan video liveness dalam pendaftaran sertifikat (Pasal 4.2), serta untuk memotret halaman yang bocor guna menelusuri sumbernya.
• Mikrofon: video liveness direkam beserta suara.
• Galeri foto: untuk memilih atau menyimpan berkas.
• Face ID / Touch ID: untuk membuka aplikasi dan mengonfirmasi tanda tangan. Pemeriksaan biometrik dilakukan di perangkat; aplikasi hanya menerima hasil berhasil atau gagal dari sistem operasi, dan tidak ada templat biometrik yang keluar dari perangkat.

5.4. Data yang disimpan di perangkat.

• Di penyimpanan aman yang didukung iOS Keychain atau Android Keystore: token masuk (berlaku 30 hari dan diperpanjang selama dipakai), pengenal perangkat, dokumen yang baru dibuka, riwayat pencarian, pengaturan Anda, dan pilihan Anda tentang berbagi data dengan AI.
• Di penyimpanan privat aplikasi: salinan luring dokumen yang Anda sematkan dan cache pratinjau. Salinan luring dihapus saat Anda keluar dari akun.

5.5. **Notifikasi push.** Push token perangkat Anda disimpan di server organisasi Anda. Token itu dihapus saat Anda keluar dari akun, saat Anda mematikan notifikasi, atau saat akun Anda dinonaktifkan. Notifikasi berisi pemberitahuan singkat dan tautan ke dalam aplikasi, bukan isi dokumen.

6. Bagian C: Pihak Ketiga yang Datanya Ada di Dokumen Pelanggan

6.1. Dokumen yang diunggah Pelanggan dapat memuat data pribadi orang lain, misalnya karyawan, mitra, atau pelanggan Pelanggan, termasuk nama orang dan organisasi yang diekstraksi dari dokumen, teks hasil ekstraksi, dan embedding pencarian.

6.2. Dalam hal ini Pelanggan adalah Pengendali dan menentukan tujuan, dasar hukum, dan masa simpan. Kami hanya bertindak sebagai Prosesor berdasarkan instruksi Pelanggan dan DPA.

6.3. Jika data Anda ada di dokumen suatu organisasi dan Anda ingin menggunakan hak Anda (akses, koreksi, penghapusan, dan lainnya), hubungi organisasi tersebut lebih dulu. Kami akan membantu Pelanggan menanggapi permintaan Anda. Jika Anda mengirim permintaan itu kepada Kami, Kami meneruskannya kepada Pelanggan.

6.4. Riwayat percakapan AI yang tidak disimpan dihapus setelah 30 hari secara bawaan (dapat diatur Admin). Masa simpan dokumen mengikuti aturan retensi Pelanggan.

7. Edisi Private dan Enterprise (Pemeriksaan Lisensi)

Obscura Private dan Enterprise dipasang di server pelanggan. Pelanggan menjalankan server tersebut dan menjadi Pengendali atas seluruh data di dalamnya. Kami tidak memiliki akses ke data itu dan tidak berkedudukan sebagai Pengendali maupun Prosesor atasnya, dengan dua pengecualian yang menempatkan Kami sebagai Prosesor:

• Data pemeriksaan lisensi: pemeriksaan lisensi harian ke licence.getobscura.id, yang berisi sidik jari lisensi, edisi, versi build, tanggal kedaluwarsa, dan modul. Tidak ada data dokumen, nama tenant, identitas pengguna, atau jumlah pengguna. Pemasangan terisolasi (air-gapped) tidak mengirim apa pun.
• Valid Broker: untuk pemasangan yang ditagih melalui Valid, permintaan e-Sign dan e-Meterai yang diteruskan melalui Valid Broker, yang juga menghitung unit. Broker tidak menyimpan isi dokumen maupun hash-nya, dan tidak menyimpan foto maupun video pendaftaran (Pasal 4.2).

8. Penerima Data dan Subprosesor

Kami tidak menjual data pribadi. Kami membagikannya hanya kepada pihak berikut sejauh perlu untuk Layanan:

Pencarian semantik (embedding) dijalankan secara lokal tanpa pihak ketiga. Penyuntingan dokumen Office (OnlyOffice) di-host sendiri. Kami juga dapat mengungkapkan data bila diwajibkan hukum atau permintaan sah pihak berwenang.

9. Transfer Data ke Luar Negeri

9.1. Dokumen dan basis data disimpan di Indonesia, pada server milik Kami di pusat data di Jakarta, termasuk cadangan. Surel Layanan dikirim melalui server surel milik Kami di Indonesia. Transfer lintas negara yang Kami lakukan secara rutin adalah sebagai berikut:

• ke penyedia AI di Amerika Serikat, hanya bila fitur AI diaktifkan dengan penyedia bawaan;
• ke **layanan push Apple dan Google** (global), hanya untuk metadata notifikasi;
• ke WhatsApp (Meta Platforms) (global), hanya bila organisasi mengaktifkan pengiriman melalui WhatsApp;
• ke Cloudflare (global), hanya untuk kueri DNS domain Kami.

9.2. Tujuan: menjawab pertanyaan atau membaca unggahan atas permintaan Pengguna, mengirimkan notifikasi dan kode sekali pakai, serta menjalankan resolusi domain Kami. Dasar transfer menurut Pasal 56 UU PDP: Kami memastikan negara tujuan memiliki tingkat pelindungan yang setara atau lebih tinggi; bila tidak, Kami mengandalkan pelindungan yang memadai dan mengikat (misalnya perjanjian pemrosesan data dengan penyedia); bila keduanya tidak ada, persetujuan.

9.3. Risiko: data yang dikirim berada di bawah hukum negara lain dan pengendalian penyedia selama diproses. Untuk menguranginya, Admin dapat mematikan AI, memakai kunci penyedia sendiri atau endpoint yang di-host sendiri, atau memblokir AI per klasifikasi dokumen. Folder Private Vault tidak pernah dikirim ke AI. Kami tidak memakai konten Pelanggan untuk melatih model.

10. Masa Simpan

11. Hak Anda dan Cara Menggunakannya

Menurut UU PDP (Pasal 5 sampai 14), Anda berhak untuk:

• mendapatkan informasi tentang pemrosesan data Anda;
• meminta koreksi data yang keliru (Kami tindak lanjuti dalam 3 x 24 jam, Pasal 30);
• mengakses dan meminta salinan data Anda (3 x 24 jam, Pasal 32);
• meminta penghapusan atau pemusnahan data (Pasal 8, 42 sampai 45);
• menarik persetujuan; pemrosesan dihentikan dalam 3 x 24 jam (Pasal 40);
• meminta pembatasan pemrosesan (3 x 24 jam, Pasal 41);
• keberatan atas keputusan otomatis (Pasal 10);
• menuntut ganti rugi atas pelanggaran (Pasal 12);
• meminta portabilitas data (Pasal 13).

Cara mengajukan: untuk data yang Kami kendalikan (Pasal 1.2), kirim permintaan tertulis ke contact@obscr.id dengan subjek "Privasi", dengan menyebut nama, surel akun, dan hak yang ingin digunakan. Kami dapat meminta bukti identitas. Permintaan dicatat dan dijawab secara tertulis. Hak dapat dibatasi sesuai pengecualian dalam UU PDP.

Bila Anda Pengguna di suatu organisasi, organisasi Anda adalah Pengendali atas data Anda, sehingga permintaan (akses, koreksi, penghapusan, dan lainnya) sebaiknya diajukan lebih dulu kepada organisasi Anda. Anda juga dapat menyurati Kami di contact@obscr.id dengan subjek "Privasi"; pada Obscura Cloud, Kami meneruskan permintaan itu kepada organisasi Anda dan membantunya menanggapi.

Penghapusan akun: akun dihapus oleh administrator organisasi Anda. Saat akun dihapus, akses masuk, perangkat, dan sertifikat dicabut. Catatan yang wajib disimpan organisasi, seperti jejak auditnya, tetap disimpan sesuai aturan retensi organisasi tersebut.

Untuk isi dokumen Pelanggan, ajukan kepada Pelanggan (Pengendali). Kami membantunya.

12. Persetujuan

Penerimaan Syarat dan Ketentuan bukan persetujuan atas pemrosesan data pribadi. Bila pemrosesan didasarkan pada persetujuan (misalnya untuk menanggapi permintaan demo, notifikasi push, berbagi data dengan AI di aplikasi, atau pendaftaran tanda tangan elektronik tersertifikasi), persetujuan itu diminta terpisah dan tidak dipaksakan sebagai syarat layanan yang tidak berkaitan (Pasal 22 sampai 24 UU PDP; PP 33/2026). Anda dapat menariknya kapan saja tanpa memengaruhi pemrosesan sebelumnya.

13. Keamanan

Kami menerapkan langkah teknis dan organisasi untuk melindungi data (Pasal 35 dan 39 UU PDP): enkripsi berkas saat disimpan (enkripsi amplop per objek); kunci tanda tangan, rahasia MFA, dan kredensial tersimpan dienkripsi; TLS saat transit; pemisahan tenant (skema basis data dan ruang penyimpanan terpisah per organisasi); jejak audit antiubah berantai hash dengan verifikasi berkala; MFA (TOTP, passkey), SSO (OIDC, LDAP, SCIM), penguncian setelah gagal berulang, kata sandi minimal 12 karakter. Layanan dikembangkan dan dioperasikan di bawah sistem manajemen keamanan informasi PT Virtue Digital Indonesia yang tersertifikasi ISO/IEC 27001. Tidak ada sistem yang bebas risiko sepenuhnya. Rincian ada di Lampiran 2 DPA.

14. Kegagalan Pelindungan Data Pribadi

Bila terjadi kegagalan pelindungan data yang memengaruhi Anda, Pengendali (Pelanggan untuk data di organisasinya, atau Kami untuk data yang Kami kendalikan) memberi tahu Anda dan lembaga berwenang secara tertulis dalam 3 x 24 jam, dan dalam hal tertentu juga mengumumkannya kepada publik (Pasal 46 UU PDP). Sebagai Prosesor, Kami memberi tahu Pelanggan lebih awal (lihat DPA).

15. Keputusan Otomatis dan AI

Keluaran AI hanya bantuan. Kami tidak membuat keputusan yang menimbulkan akibat hukum bagi Anda semata-mata dari pemrosesan otomatis. Pengguna meninjau keluaran AI sebelum dipakai. Anda berhak berkeberatan (Pasal 10 UU PDP).

Sebelum Anda memakai fitur AI di aplikasi seluler, aplikasi meminta persetujuan Anda atas pembagian data tersebut. Pilihan Anda disimpan di perangkat dan dapat diubah di menu Akun. Penyedia AI dipilih oleh organisasi Anda: OpenAI, Anthropic, atau endpoint kompatibel yang dapat di-host sendiri. Pada Obscura Cloud dengan penyedia bawaan, data dikirim ke Amerika Serikat (Pasal 9).

16. Anak-anak

Layanan ditujukan bagi organisasi dan tidak ditujukan bagi anak-anak (Pasal 16A UU ITE; Pasal 25 UU PDP). Kami tidak dengan sengaja mengumpulkan data anak. Bila Anda mengetahui hal tersebut terjadi, hubungi contact@obscr.id.

17. Kontak Privasi

Pertanyaan atau permintaan tentang privasi: contact@obscr.id. Petugas Pelindungan Data Pribadi Kami dapat dihubungi di alamat yang sama (Pasal 53 dan 54 UU PDP).

18. Penggabungan, Peleburan, atau Pengambilalihan

Bila Kami melakukan penggabungan, pemisahan, pengambilalihan, atau peleburan, Kami memberi tahu Anda sebelum dan sesudah peristiwa itu (Pasal 48 UU PDP). Data tetap dilindungi menurut kebijakan ini sampai pihak penerus memberi tahu perubahan.

19. Perubahan Kebijakan

Perubahan pada kebijakan ini diberitahukan sebelum berlaku melalui surel dan/atau di dalam Layanan (Pasal 21 ayat 2 UU PDP). Kami menyimpan versi lama.

20. Pengaduan

Anda dapat mengadukan dugaan pelanggaran kepada Kami di contact@obscr.id, atau kepada Lembaga PDP atau lembaga lain yang ditunjuk undang-undang.

21. Bahasa

Kebijakan ini dibuat dalam Bahasa Indonesia dan Bahasa Inggris. Bila terdapat perbedaan, versi Bahasa Indonesia yang berlaku.

22. Versi dan Tanggal Berlaku

Versi 2026-10. Berlaku sejak 28 Oktober 2026.