Kebijakan Pelindungan Data Pribadi & Privasi

1. Ketentuan Umum

Kebijakan Pelindungan Data Pribadi dan Privasi ("Kebijakan") ini mengatur pemrosesan Data Pribadi oleh GemBox yang dioperasikan oleh PT Teknologi Lintas Persada ("GemBox", "Kami", atau "Pengendali Data Pribadi").

Kebijakan ini berlaku bagi pengguna GemBox, termasuk Tenant, Owner, Property Agent, Admin GemBox, Vendor Maintenance, Vendor Access Gate, calon pengguna, dan pihak lain yang berinteraksi dengan layanan GemBox.

Kebijakan ini merupakan bagian yang tidak terpisahkan dari Syarat dan Ketentuan Penggunaan GemBox.

2. Dasar Hukum

Pemrosesan Data Pribadi oleh GemBox mengacu pada ketentuan yang berlaku, termasuk:

1. Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP");
2. Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik;
3. Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi ("PP PDP");
4. peraturan perundang-undangan lain yang relevan dengan penyelenggaraan layanan, transaksi elektronik, pembayaran, keamanan informasi, perlindungan konsumen, dan kegiatan usaha GemBox.

3. Definisi

Data Pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi, baik secara tersendiri maupun dikombinasikan dengan informasi lain.

Subjek Data Pribadi adalah orang perseorangan yang Data Pribadinya diproses oleh GemBox.

Pengendali Data Pribadi adalah pihak yang menentukan tujuan dan melakukan kendali atas pemrosesan Data Pribadi.

Prosesor Data Pribadi adalah pihak yang melakukan pemrosesan Data Pribadi berdasarkan perintah Pengendali Data Pribadi.

Pemrosesan meliputi perolehan, pengumpulan, pengolahan, penganalisisan, penyimpanan, perbaikan, pembaruan, penggunaan, penampilan, pengungkapan, transfer, penghapusan dan/atau pemusnahan Data Pribadi.

4. Jenis Data Pribadi yang Dapat Diproses

4.1 Data Identitas

Nama lengkap, nomor telepon, email, tanggal lahir, alamat, foto profil, kewarganegaraan, data identitas sesuai kebutuhan verifikasi, dan informasi identitas lain yang diperlukan.

4.2 Data Verifikasi

Dokumen identitas, foto/selfie untuk verifikasi apabila digunakan, hasil verifikasi, status verifikasi, dan informasi KYC yang diperlukan.

4.3 Data Keuangan dan Transaksi

Nama pemilik rekening, rekening bank, riwayat transaksi, jumlah pembayaran, invoice, refund, dan informasi transaksi lain yang diperlukan.

Apabila pembayaran diproses oleh penyedia pembayaran pihak ketiga, GemBox tidak bermaksud menyimpan data kartu pembayaran secara penuh kecuali memang diperlukan dan diizinkan oleh hukum.

4.4 Data Properti

Informasi Owner, alamat dan lokasi properti, foto/video properti, informasi unit, dokumen kepemilikan atau penguasaan sesuai kebutuhan, serta data transaksi penyewaan.

4.5 Data Lokasi

Lokasi perangkat atau informasi lokasi yang diberikan pengguna apabila diperlukan untuk fitur tertentu dan memiliki dasar pemrosesan yang sesuai.

4.6 Data Perangkat dan Log

IP address, jenis perangkat, sistem operasi, browser, device identifier, waktu akses, log aplikasi, dan informasi keamanan teknis.

4.7 Data Digital Key dan Smart Access

Digital key, access credential, kode akses, jadwal akses, riwayat akses, status perangkat, event log, dan informasi teknis smartlock/access gate.

4.8 Data Komunikasi

Komunikasi melalui aplikasi, email, customer service, chat, tiket layanan, pengaduan, dan komunikasi terkait transaksi.

5. Data Pribadi yang Bersifat Spesifik

GemBox dapat memproses Data Pribadi yang bersifat spesifik hanya apabila terdapat kebutuhan yang sah dan dasar pemrosesan yang sesuai. Data tersebut dapat mencakup data keuangan pribadi, biometrik apabila fitur digunakan, data anak apabila relevan, dan kategori lain sebagaimana ditentukan peraturan perundang-undangan.

GemBox menerapkan prinsip minimisasi data dan tidak meminta atau memproses data yang tidak diperlukan untuk tujuan layanan.

6. Tujuan Pemrosesan Data

• Pendaftaran dan akun: pembuatan akun, autentikasi, pemulihan akun, dan keamanan.
• Layanan penyewaan: pencarian properti, booking, pembayaran, kontrak, check-in, check-out, dan masa sewa.
• Verifikasi: verifikasi Tenant, Owner, Agent, dan properti; pencegahan fraud.
• Smart access: pembuatan digital key, pengaturan akses, jadwal akses, audit trail, dan keamanan.
• Maintenance: request, penjadwalan teknisi, assignment, pelaksanaan, dan konfirmasi pekerjaan.
• Customer service: pertanyaan, pengaduan, sengketa, dan investigasi transaksi.
• Keamanan: deteksi aktivitas mencurigakan, fraud prevention, investigasi insiden, dan keamanan platform.
• Kepatuhan: pemenuhan kewajiban hukum, perpajakan, pencatatan transaksi, dan permintaan otoritas yang sah.

7. Dasar Pemrosesan Data Pribadi

GemBox menggunakan dasar pemrosesan yang sesuai dengan tujuan dan keadaan pemrosesan, yang dapat meliputi:

GemBox memastikan bahwa pemrosesan Data Pribadi tidak dilakukan secara diskriminatif berdasarkan ras, suku, agama, atau golongan tertentu.

8. Persetujuan Pengguna

Apabila pemrosesan memerlukan persetujuan, GemBox akan meminta persetujuan secara spesifik, tertulis atau terekam secara elektronik, jelas, mudah dipahami, dan tidak menyesatkan.

Persetujuan untuk satu tujuan tidak otomatis dianggap sebagai persetujuan untuk tujuan lainnya. Pengguna dapat menarik kembali persetujuan sesuai mekanisme yang disediakan GemBox.

9. Hak Pengguna sebagai Subjek Data Pribadi

Sesuai ketentuan UU PDP, pengguna memiliki hak yang antara lain meliputi:

1. Memperoleh informasi mengenai identitas dan tujuan pemrosesan;
2. Mengakses Data Pribadi;
3. Memperbaiki dan memperbarui Data Pribadi;
4. Menghapus atau memusnahkan Data Pribadi sesuai ketentuan;
5. Menarik persetujuan;
6. Membatasi atau menunda pemrosesan sesuai kondisi yang berlaku;
7. Memperoleh Data Pribadi dalam format yang lazim digunakan;
8. Meminta pemindahan Data Pribadi kepada Pengendali lain sesuai ketentuan;
9. Mengajukan keberatan terhadap keputusan yang semata-mata didasarkan pada pemrosesan otomatis dalam kondisi yang diatur hukum; dan
10. Menggugat dan memperoleh ganti rugi sesuai ketentuan hukum.
11. Melaporkan kepada Lembaga Pelindungan Data Pribadi apabila GemBox tidak merespons atau tidak memenuhi permohonan hak Subjek Data sesuai ketentuan.

10. Mekanisme Permintaan Hak Data

Permintaan hak Data Pribadi dapat disampaikan melalui:

Email

[email protected]

Customer Service

+62 021 2936 8919

Alamat

Gedung Graha MIR Lt.6 Zona A1 Jl. Pemuda No. 09 RT 01 RW 03 Kelurahan Rawamangun Kecamatan Pulo Gadung Kota Jakarta Timur, DKI Jakarta 13220

GemBox akan melakukan verifikasi identitas dan merespons permintaan dalam 3 × 24 (tiga kali dua puluh empat) jam kerja sejak permintaan diterima dan terverifikasi. Apabila permintaan tidak dapat dipenuhi, GemBox akan memberikan alasan penolakan dalam jangka waktu yang sama. GemBox menyediakan mekanisme permintaan yang aksesibel, termasuk bagi penyandang disabilitas dan pengguna yang membutuhkan komunikasi alternatif.

GemBox dapat meminta informasi tambahan yang wajar untuk melakukan verifikasi identitas dan mencegah permintaan yang tidak sah.

11. Koreksi Data

Pengguna dapat meminta perbaikan terhadap Data Pribadi yang tidak akurat, tidak lengkap, atau tidak mutakhir. GemBox akan memproses permintaan sesuai jangka waktu dan ketentuan yang ditetapkan peraturan perundang-undangan.

GemBox akan memproses koreksi dan memberitahukan hasilnya dalam 3 × 24 jam kerja sejak permintaan terverifikasi.

12. Penghapusan dan Pemusnahan Data

GemBox akan mengakhiri pemrosesan apabila tujuan pemrosesan telah tercapai, masa retensi berakhir, atau terdapat permintaan Subjek Data Pribadi yang dapat dipenuhi berdasarkan hukum, kecuali terdapat kewajiban hukum atau dasar sah lain untuk tetap menyimpan data.

GemBox akan memberitahukan penghapusan atau pemusnahan Data Pribadi kepada Subjek dalam 3 × 24 jam sebelum atau setelah pelaksanaan, sesuai ketentuan yang berlaku.

13. Retensi Data

GemBox menetapkan masa retensi berdasarkan jenis data, tujuan, risiko, kebutuhan operasional, dan kewajiban hukum.

14. Keamanan Data Pribadi

GemBox menerapkan langkah teknis dan organisatoris yang wajar dan sesuai risiko untuk menjaga kerahasiaan, integritas, ketersediaan, autentikasi, otorisasi, dan auditability.

• Enkripsi saat transmisi dan, jika sesuai, saat penyimpanan;
• Password hashing;
• Multi-factor authentication sesuai kebutuhan;
• Role-based access control;
• Access logging dan audit trail;
• Backup dan disaster recovery;
• Vulnerability management dan pengujian keamanan;
• Monitoring keamanan;
• Incident response; dan
• Pembatasan akses internal berdasarkan kebutuhan pekerjaan.

15. Pemrosesan oleh Pihak Ketiga

Untuk menyediakan layanan, GemBox dapat menggunakan pihak ketiga seperti:

Pihak ketiga hanya diberikan data sesuai kebutuhan, tujuan, dasar pemrosesan, dan pengaturan kontraktual yang berlaku. Apabila bertindak sebagai Prosesor Data Pribadi, pihak tersebut wajib memproses data berdasarkan instruksi dan ketentuan yang ditetapkan GemBox.

16. Owner, Agent dan Vendor

GemBox dapat membagikan Data Pribadi yang diperlukan kepada Owner, Agent, Vendor Maintenance atau Vendor Access Gate apabila diperlukan untuk menjalankan layanan. Prinsip: Need to Know & Minimum Necessary Data.

• Tenant → Owner: data yang diperlukan untuk booking, komunikasi dan pengelolaan sewa.
• Tenant → Vendor Maintenance: data yang diperlukan untuk pekerjaan maintenance.
• Tenant → Vendor Access Gate: data yang diperlukan untuk pembuatan/pengelolaan akses.
• Owner → Tenant: informasi property, akses ke property dan informasi transaksi yang diperlukan.

17. Penggunaan Data untuk Marketing

GemBox dapat mengirimkan informasi promosi, properti, program loyalitas, newsletter, dan informasi produk melalui kanal yang tersedia. Untuk komunikasi yang memerlukan persetujuan, pengguna dapat memberikan atau menolak persetujuan dan dapat berhenti berlangganan melalui mekanisme yang disediakan.

18. Cookies dan Teknologi Pelacakan

Website dan aplikasi GemBox dapat menggunakan cookies, SDK, analytics, log, device identifier, dan teknologi sejenis untuk keamanan, autentikasi, analitik, peningkatan performa, personalisasi, dan pengukuran penggunaan layanan.

19. Lokasi dan Smart Access

Apabila pengguna menggunakan fitur lokasi atau smart access, GemBox dapat memproses data yang diperlukan untuk menyediakan fitur tersebut. Digital key dapat dibatasi berdasarkan properti, pengguna, waktu, masa sewa, atau parameter keamanan lainnya.

Aktivitas akses dapat dicatat sebagai audit trail dan akses dapat dicabut apabila masa sewa berakhir atau terdapat alasan keamanan yang sah.

20. CCTV dan Data Visual

Apabila properti atau fasilitas tertentu menggunakan CCTV, GemBox dan/atau pengelola property akan memperhatikan ketentuan pelindungan Data Pribadi yang berlaku. Informasi mengenai keberadaan CCTV dapat diberikan pada area yang relevan sesuai kebutuhan.

21. Transfer Data ke Luar Indonesia

Apabila Data Pribadi ditransfer atau diproses di luar wilayah Republik Indonesia, GemBox memastikan bahwa transfer tersebut memenuhi setidaknya salah satu mekanisme berikut:

1. Negara atau organisasi penerima memiliki tingkat pelindungan data pribadi yang setara atau lebih tinggi dari ketentuan yang berlaku di Indonesia;
2. Terdapat perjanjian pelindungan data yang memadai dan mengikat secara hukum antara GemBox dan penerima data; atau
3. Terdapat persetujuan eksplisit dari Subjek Data Pribadi setelah mendapatkan informasi yang cukup mengenai risiko transfer tersebut.

GemBox akan memberitahukan Subjek Data Pribadi mengenai rencana transfer data ke luar Indonesia beserta tujuan, negara atau wilayah penerima, dan mekanisme pelindungan yang diterapkan, sebelum transfer dilaksanakan. Layanan pihak ketiga luar negeri yang digunakan GemBox saat ini mencakup antara lain: layanan cloud hosting/infrastructure, layanan komunikasi dan notifikasi, dan layanan keamanan informasi.

22. Kegagalan Pelindungan Data Pribadi

Apabila terjadi kegagalan Pelindungan Data Pribadi yang memenuhi kriteria hukum, GemBox akan melakukan:

1. identifikasi dan containment;
2. investigasi;
3. mitigasi;
4. pemulihan;
5. dokumentasi;
6. evaluasi keamanan; dan
7. pemberitahuan kepada pihak yang diwajibkan berdasarkan hukum.

Apabila terjadi kegagalan yang memenuhi kriteria hukum, GemBox akan memberitahukan secara tertulis kepada Subjek Data Pribadi yang terdampak dan kepada Lembaga Pelindungan Data Pribadi dalam 3 × 24 (tiga kali dua puluh empat) jam sejak diketahuinya kegagalan tersebut. Apabila kegagalan berdampak pada layanan publik atau kepentingan umum secara serius, pemberitahuan juga akan disampaikan kepada masyarakat melalui sarana yang tersedia. GemBox mendokumentasikan setiap kegagalan dan langkah penanggulangan yang dilakukan.

23. Penilaian Dampak Pelindungan Data

1. GemBox akan melakukan Data Protection Impact Assessment (DPIA) apabila pemrosesan memiliki potensi risiko tinggi, termasuk apabila relevan untuk pemrosesan skala besar, pemantauan sistematis, data spesifik, pencocokan data, automated decision, atau penggunaan teknologi baru.
2. GemBox memberitahukan penggunaan automated decision yang berdampak signifikan dan menyediakan mekanisme keberatan dengan pilihan intervensi manusia.

24. Pejabat/Petugas Pelindungan Data Pribadi

Apabila diwajibkan oleh peraturan perundang-undangan, GemBox akan menunjuk pejabat atau petugas yang melaksanakan fungsi Pelindungan Data Pribadi.

Data Protection Contact / DPO

Sdr. Prayoga Dwi Rahmansyah

Email

[email protected]

Alamat

Gedung Graha MIR Lt.6 Zona A1 Jl. Pemuda No. 09 RT 01 RW 03 Kelurahan Rawamangun Kecamatan Pulo Gadung Kota Jakarta Timur, DKI Jakarta 13220

25. Tanggung Jawab Pengguna

• Memberikan data yang benar dan tidak menyesatkan;
• Tidak memberikan Data Pribadi orang lain tanpa dasar yang sah;
• Menjaga password, OTP, digital key dan kredensial akses;
• Tidak membagikan akses kepada pihak yang tidak berwenang;
• Segera melaporkan aktivitas atau akses yang mencurigakan; dan
• Memperbarui data apabila terdapat perubahan.

26. Anak

Anak

GemBox mensyaratkan pengguna berusia minimal 18 (delapan belas) tahun untuk mendaftar secara mandiri. Apabila dalam pelaksanaan layanan terdapat pemrosesan Data Pribadi anak (di bawah 18 tahun), GemBox akan menerapkan mekanisme:

1. Identifikasi dan verifikasi usia,
2. Perolehan persetujuan dari orang tua atau wali yang sah melalui mekanisme yang dapat dibuktikan, dan
3. Prosedur transisi hak apabila pengguna mencapai usia dewasa.

Penyandang Disabilitas

GemBox berkomitmen menyediakan mekanisme permintaan hak yang aksesibel bagi penyandang disabilitas, termasuk melalui komunikasi alternatif yang sesuai. Persetujuan dari pengguna penyandang disabilitas dapat diberikan oleh yang bersangkutan dan/atau walinya melalui sarana komunikasi khusus sesuai kebutuhan.

27. Perubahan Kebijakan

1. GemBox dapat memperbarui Kebijakan ini apabila terdapat perubahan layanan, teknologi, model bisnis, mekanisme pemrosesan Data Pribadi, atau peraturan perundang-undangan. Perubahan material akan diberitahukan melalui aplikasi, website, email, atau sarana komunikasi lain yang sesuai.
2. Dalam hal terjadi penggabungan, pemisahan, pengambilalihan, peleburan, atau pembubaran GemBox, GemBox akan memberitahukan Subjek Data Pribadi sebelum dan sesudah pengalihan Data Pribadi tersebut, sesuai ketentuan PP PDP.

28. Penyelesaian Pengaduan

Pengguna dapat menyampaikan pengaduan terkait Data Pribadi melalui:

Email

[email protected]

Subject

PENGADUAN DATA PRIBADI - [Nama Pengguna]

Customer Service

+62 021 2936 8919

1. GemBox akan melakukan verifikasi dan investigasi sesuai prosedur internal dan ketentuan hukum yang berlaku.
2. Apabila pengguna mengalami kerugian akibat pelanggaran ketentuan Pelindungan Data Pribadi oleh GemBox, pengguna dapat mengajukan klaim ganti rugi melalui email [email protected] dengan subject 'KLAIM GANTI RUGI DATA PRIBADI - [Nama Pengguna]'.
3. GemBox akan melakukan asesmen dan memberikan respons dalam waktu yang wajar. Apabila tidak tercapai kesepakatan, pengguna berhak menempuh jalur penyelesaian sengketa sesuai ketentuan hukum yang berlaku.

29. Hukum yang Berlaku

Kebijakan ini diatur dan ditafsirkan berdasarkan hukum Republik Indonesia.

30. Persetujuan

Kebijakan ini merupakan pemberitahuan pemrosesan data. Pendaftaran meminta pengakuan telah membaca kebijakan dan persetujuan Syarat dan Ketentuan secara eksplisit. Mengakses website saja tidak memberikan persetujuan untuk pemrosesan opsional.

Dalam hal suatu aktivitas pemrosesan membutuhkan persetujuan khusus, GemBox akan meminta persetujuan tersebut secara terpisah sesuai ketentuan yang berlaku.

31. Pengaturan Data dan Pilihan Anda

Pada Pengaturan Data, unduh ekspor akun dalam JSON, ajukan ekspor tambahan untuk dokumen atau arsip, dan ajukan atau tarik permintaan penghapusan. Permintaan memiliki referensi, status dan tenggat tanggapan. Peninjauan menjaga agar data orang lain tidak ikut dibagikan.

Penghapusan tidak sama dengan pembatalan sewa. Sewa aktif, saldo, pengembalian, bukti transaksi atau sengketa ditangani terlebih dahulu; catatan yang harus ditahan dicatat dengan alasan, cakupan dan batas waktunya. Data yang tidak diperlukan dihapus melalui proses penyelesaian permintaan, termasuk penanganan salinan cadangan. Status diterima bukan bukti penghapusan selesai.

Email pemasaran memerlukan pilihan terpisah yang awalnya tidak aktif. Hentikan kapan saja di Pengaturan Data atau tautan pada email pemasaran. Email OTP dan transaksi tetap dikirim untuk menjalankan layanan. Cookie opsional dapat ditolak dari banner tanpa kehilangan layanan utama.

Daftar Subprosesor dan DPA bisnis melengkapi kebijakan ini. Pembacaan atau penggunaan website saja tidak dianggap persetujuan pemasaran atau cookie opsional. Pemrosesan untuk kontrak, keamanan dan kewajiban hukum mengikuti dasar yang sesuai, bukan persetujuan umum tanpa batas.