CerdasChat

DRAF — perlu ditinjau ahli hukum sebelum berlaku.DRAFT — subject to review by a legal professional before it takes effect.

Kebijakan Privasi CerdasChat

Tanggal berlaku: [diisi saat tayang] · Versi: draf 11 November 2026 (revisi 2)

Kebijakan ini menjelaskan bagaimana CerdasChat, layanan milik PT SATU BALI WISATA NUSANTARA ("kami"), memproses data pribadi sesuai Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP") dan peraturan terkait.

1. Siapa kami dan peran kami

PT SATU BALI WISATA NUSANTARA, Jl. Tunjung Tutur II, Br. Dualang, Peguyangan Kaja, Denpasar Utara 80115, Bali, Indonesia. Kontak privasi: [email protected].

  • Sebagai Pengendali Data Pribadi, kami memproses data pengunjung situs, pendaftar uji coba, dan pelanggan kami (pemilik usaha dan stafnya).
  • Sebagai Prosesor Data Pribadi, kami memproses data tamu/pelanggan dari usaha yang memakai CerdasChat ("Klien"), misalnya orang yang mengirim pesan ke WhatsApp, Instagram, Facebook Messenger atau email Klien. Untuk data ini, Klien adalah Pengendali Data Pribadi dan kami memprosesnya hanya atas perintah Klien berdasarkan perjanjian layanan dan perjanjian pemrosesan data. Tamu yang ingin menggunakan haknya sebaiknya menghubungi usaha yang bersangkutan; kami akan membantu Klien memenuhinya.

2. Data yang kami proses

a. Pendaftar uji coba

Nama usaha, jenis usaha, nama, nomor WhatsApp, email, link Instagram/website (opsional), info usaha yang Anda tulis (harga, jam buka, lokasi, FAQ), waktu pendaftaran, dan catatan persetujuan Anda.

b. Pelanggan (Klien) dan stafnya

Nama, nomor WhatsApp, email, nama usaha, data akun dan staf yang diberi akses, data tagihan dan pembayaran, info usaha untuk AI, serta catatan dukungan.

c. Tamu Klien (sebagai Prosesor)

Data yang dikirim lewat kanal yang Klien sambungkan: nama profil, nomor WhatsApp, ID/nama pengguna Instagram atau Facebook, alamat email, isi pesan dan lampiran, waktu pesan, serta status percakapan (misalnya "diteruskan ke pemilik").

d. Pengunjung situs

Situs ini tidak memakai cookie pelacak, iklan, atau analitik pihak ketiga. Pilihan bahasa disimpan di perangkat Anda (localStorage). Server memproses alamat IP sementara untuk keamanan dan pembatasan kiriman formulir; alamat IP tidak disimpan bersama data pendaftaran. Penyedia jaringan kami dapat mencatat log teknis.

e. Jika data tidak diberikan

Sebagian data (misalnya nomor WhatsApp atau email) diperlukan untuk menyiapkan uji coba atau menjalankan layanan. Jika data itu tidak diberikan atau tidak lengkap, kami mungkin tidak dapat menyediakan uji coba atau layanan yang diminta.

3. Tujuan pemrosesan

  • Menyiapkan uji coba, menghubungi Anda, dan menawarkan langganan yang Anda minta.
  • Menyediakan layanan: menerima pesan tamu, menghasilkan balasan AI dari info usaha Klien, meneruskan hal penting ke Klien, menampilkan percakapan di kotak masuk.
  • Penagihan, dukungan pelanggan, dan pemberitahuan layanan (misalnya peringatan kuota).
  • Keamanan, pencegahan penyalahgunaan dan spam, serta perbaikan mutu layanan.
  • Memenuhi kewajiban hukum (misalnya perpajakan dan permintaan aparat yang sah).

Kami tidak menjual data pribadi, tidak memakainya untuk iklan, dan tidak memakai isi percakapan tamu Klien untuk melatih model AI umum.

Kami dapat menyusun statistik gabungan yang tidak mengidentifikasi siapa pun (misalnya jumlah chat AI per bulan) untuk menghitung kuota, mengelola kapasitas, dan memperbaiki layanan.

4. Dasar pemrosesan

  • Persetujuan (Pasal 20 ayat 2 huruf a UU PDP): pendaftaran uji coba, yang dapat Anda tarik kapan saja.
  • Pemenuhan perjanjian (huruf b): penyediaan layanan dan penagihan bagi Klien.
  • Kewajiban hukum (huruf c): pencatatan keuangan dan perpajakan.
  • Kepentingan yang sah (huruf f): keamanan sistem dan pencegahan penyalahgunaan.
  • Untuk data tamu Klien, dasar pemrosesan ditentukan oleh Klien sebagai Pengendali.

5. Penyimpanan dan retensi

  • Data pendaftar uji coba: paling lama 12 bulan sejak kontak terakhir jika tidak berlanjut menjadi pelanggan, lalu dihapus.
  • Data percakapan tamu Klien: selama langganan aktif, atau lebih singkat sesuai pengaturan Klien. Setelah langganan berakhir atau kanal diputus, dihapus paling lambat 30 hari, termasuk dari cadangan dalam siklus cadangan berikutnya.
  • Data tagihan: disimpan selama diwajibkan peraturan perpajakan (umumnya 10 tahun).

6. Pihak lain dan transfer ke luar negeri

Kami memakai penyedia layanan (subprosesor) yang hanya memproses data untuk menjalankan layanan kami:

  • Penyedia model AI untuk menghasilkan balasan; isi pesan dan info usaha dikirim ke mereka. Server mereka dapat berada di luar Indonesia (misalnya Amerika Serikat).
  • Meta Platforms (WhatsApp, Instagram, Messenger) sebagai kanal pesan yang Klien sambungkan.
  • Penyedia server, jaringan dan email (termasuk Cloudflare) untuk hosting, keamanan dan pengiriman email.
  • Penyedia pembayaran untuk memproses tagihan.

Transfer data ke luar wilayah Indonesia dilakukan sesuai Pasal 56 UU PDP: kami memilih penyedia dengan tingkat pelindungan data yang setara atau lebih tinggi, atau memakai perlindungan yang memadai dan mengikat (misalnya perjanjian pemrosesan data), dan bila tidak ada keduanya, berdasarkan persetujuan. Kami berusaha meminimalkan data pribadi yang dikirim ke penyedia AI. Daftar subprosesor terbaru dapat diminta lewat email.

7. Data Platform Meta (WhatsApp, Instagram, Messenger)

Bila Klien menyambungkan WhatsApp Business Platform, Instagram Messaging atau Messenger Platform ke CerdasChat, kami menerima data dari Meta ("Data Platform"), seperti nama profil, ID pengguna atau nomor WhatsApp, dan isi pesan. Kami memakai Data Platform hanya untuk menyediakan layanan kotak masuk dan balasan AI bagi Klien yang menyambungkannya. Kami tidak menjual atau melisensikan Data Platform, tidak memakainya untuk iklan, profil, atau penargetan, tidak menggabungkannya dengan data dari sumber lain di luar kebutuhan layanan, dan tidak membagikannya kecuali kepada subprosesor yang disebut di atas untuk menjalankan layanan, atau bila diwajibkan hukum. Kami mematuhi Ketentuan Platform Meta dan kebijakan pengembang yang berlaku. Bila Klien memutus sambungan atau berhenti berlangganan, Data Platform dihapus paling lambat 30 hari. Siapa pun dapat meminta penghapusan Data Platform miliknya lewat halaman Penghapusan Data.

8. Balasan AI dan pemrosesan otomatis

Balasan kepada tamu Klien dibuat secara otomatis oleh model AI berdasarkan isi pesan dan info usaha dari Klien. AI tidak dipakai untuk mengambil keputusan yang menimbulkan akibat hukum atau berdampak signifikan bagi seseorang: konfirmasi booking, harga khusus, keluhan, dan hal yang AI tidak yakin jawabannya diteruskan ke Klien untuk diputuskan oleh manusia. Klien dan stafnya dapat membaca percakapan dan mengambil alih kapan saja. Kami tidak memakai isi percakapan tamu Klien untuk melatih model AI umum. Jika Anda merasa dirugikan oleh balasan otomatis, Anda dapat mengajukan keberatan (lihat bagian 9).

9. Hak Anda sebagai Subjek Data Pribadi

Sesuai UU PDP, Anda berhak:

  • mendapat informasi tentang pemrosesan data Anda;
  • melengkapi, memperbarui, dan memperbaiki data yang keliru;
  • mengakses dan memperoleh salinan data Anda;
  • mengakhiri pemrosesan, menghapus, dan/atau memusnahkan data Anda;
  • menarik kembali persetujuan;
  • mengajukan keberatan atas keputusan yang hanya didasarkan pada pemrosesan otomatis yang berdampak signifikan pada Anda;
  • menunda atau membatasi pemrosesan;
  • memperoleh dan/atau memakai data Anda dalam format yang umum dipakai (portabilitas); dan
  • menggugat dan menerima ganti rugi atas pelanggaran pemrosesan data Anda.

Kirim permintaan ke [email protected]. Kami dapat meminta verifikasi identitas. Kami menanggapi dalam waktu yang ditetapkan UU PDP (paling lambat 3 x 24 jam untuk konfirmasi penerimaan dan tindak lanjut sesuai ketentuan). Untuk data tamu Klien, kami meneruskan permintaan kepada Klien sebagai Pengendali dan membantu pelaksanaannya.

Keluhan. Jika Anda tidak puas dengan cara kami menangani data atau permintaan Anda, hubungi kami lebih dulu agar dapat kami selesaikan. Anda juga berhak menyampaikan pengaduan kepada lembaga penyelenggara pelindungan data pribadi yang ditetapkan berdasarkan UU PDP.

10. Keamanan dan kegagalan pelindungan data

Kami menerapkan langkah teknis dan organisasi yang wajar: koneksi terenkripsi (HTTPS), pembatasan akses berdasarkan peran, file data dengan izin akses terbatas, pembatasan kiriman dan perlindungan anti-spam, serta pencadangan. Tidak ada sistem yang sepenuhnya aman.

Jika terjadi kegagalan pelindungan data pribadi (misalnya kebocoran data), kami akan:

  • segera menahan insiden, menyelidiki penyebabnya, dan memulihkan sistem;
  • memberi tahu secara tertulis Subjek Data yang terdampak dan lembaga yang berwenang paling lambat 3 x 24 jam sesuai Pasal 46 UU PDP, sekurang-kurangnya mengenai data pribadi yang terungkap, kapan dan bagaimana data terungkap, serta upaya penanganan dan pemulihannya;
  • memberi tahu Klien yang terdampak tanpa penundaan dan membantu Klien memenuhi kewajibannya sebagai Pengendali atas data tamunya;
  • memberi tahu masyarakat bila diwajibkan dalam keadaan tertentu; dan
  • mencatat insiden dan langkah perbaikannya agar tidak terulang.

11. Cookie dan penyimpanan lokal

Situs ini tidak memasang cookie pelacak, iklan, atau analitik. Kami hanya menyimpan pilihan bahasa Anda di penyimpanan lokal peramban (localStorage); data ini tetap di perangkat Anda, tidak dikirim ke server kami, dan dapat dihapus lewat pengaturan peramban. Penyedia jaringan kami (Cloudflare) dapat memasang cookie teknis yang diperlukan untuk keamanan. Bila kelak kami memakai cookie yang tidak mutlak diperlukan, kami akan memperbarui kebijakan ini dan meminta persetujuan Anda lebih dulu.

12. Anak-anak

Layanan ini ditujukan untuk pelaku usaha dan hanya boleh didaftarkan oleh orang dewasa yang cakap hukum. Kami tidak dengan sengaja mengumpulkan data anak melalui situs ini. Tamu Klien bisa saja anak-anak; Klien sebagai Pengendali bertanggung jawab memperoleh persetujuan orang tua atau wali bila diwajibkan Pasal 25 UU PDP. Jika Anda mengetahui data anak dikirim kepada kami tanpa persetujuan yang sah, hubungi kami dan kami akan menghapusnya.

13. Pesan dari kami

Kami mengirim pesan layanan yang diperlukan, misalnya terkait uji coba, tagihan, peringatan kuota, dan perubahan layanan. Pesan promosi hanya kami kirim bila Anda menyetujuinya, dan Anda dapat berhenti menerimanya kapan saja dengan membalas pesan tersebut atau mengirim email kepada kami.

14. Pengalihan usaha dan situs pihak lain

Jika terjadi penggabungan, pengambilalihan, atau pengalihan usaha CerdasChat, data pribadi dapat beralih kepada pihak penerus yang wajib melanjutkan pelindungannya sesuai kebijakan ini; kami akan memberi tahu Subjek Data sesuai Pasal 48 UU PDP. Situs ini dapat memuat tautan ke situs atau layanan pihak lain (misalnya Meta); untuk itu berlaku kebijakan privasi pihak tersebut.

15. Perubahan kebijakan

Kami dapat memperbarui kebijakan ini. Perubahan penting akan diumumkan di situs ini dan, bagi Klien, lewat email sebelum berlaku.

16. Kontak

PT SATU BALI WISATA NUSANTARA · Jl. Tunjung Tutur II, Br. Dualang, Peguyangan Kaja, Denpasar Utara 80115, Bali · [email protected]

Kami akan menunjuk Pejabat Pelindungan Data Pribadi bila diwajibkan Pasal 53 UU PDP. Sampai saat itu, semua pertanyaan dan permintaan terkait data pribadi ditangani melalui alamat email di atas.

Jika terdapat perbedaan antara versi bahasa Indonesia dan bahasa Inggris, versi bahasa Indonesia yang berlaku.

CerdasChat Privacy Policy

Effective date: [set at launch] · Version: draft 11 November 2026 (revision 2)

This policy explains how CerdasChat, a service of PT SATU BALI WISATA NUSANTARA ("we"), processes personal data under Indonesian Law No. 27 of 2022 on Personal Data Protection ("PDP Law") and related regulations.

1. Who we are and our role

PT SATU BALI WISATA NUSANTARA, Jl. Tunjung Tutur II, Br. Dualang, Peguyangan Kaja, Denpasar Utara 80115, Bali, Indonesia. Privacy contact: [email protected].

  • As a Personal Data Controller, we process the personal data of website visitors, trial applicants and our customers (business owners and their staff).
  • As a Personal Data Processor, we process the personal data of guests and customers of businesses that use CerdasChat ("Clients"), for example people who message a Client's WhatsApp, Instagram, Facebook Messenger or email. For this data, the Client is the Personal Data Controller, and we process it only on the Client's instructions under the service agreement and a data processing agreement. Guests who wish to exercise their rights should contact the business concerned; we will help the Client fulfil the request.

2. Data we process

a. Trial applicants

Business name, business type, your name, WhatsApp number, email, Instagram/website link (optional), the business info you write (prices, hours, location, FAQ), submission time, and a record of your consent.

b. Customers (Clients) and their staff

Name, WhatsApp number, email, business name, account and staff access data, billing and payment data, business info for the AI, and support records.

c. Clients' guests (as Processor)

Data sent through the channels a Client connects: profile name, WhatsApp number, Instagram or Facebook user ID/username, email address, message content and attachments, message times, and conversation status (e.g. "forwarded to owner").

d. Site visitors

This site uses no tracking cookies, ads or third-party analytics. Your language choice is stored on your device (localStorage). The server processes IP addresses temporarily for security and to rate-limit form submissions; IP addresses are not stored with trial applications. Our network provider may keep technical logs.

e. If data is not provided

Some data (such as a WhatsApp number or email address) is needed to set up the trial or run the service. If it isn't provided, or is incomplete, we may not be able to provide the trial or service you asked for.

3. Purposes

  • Setting up the trial, contacting you, and offering the subscription you asked about.
  • Providing the service: receiving guest messages, generating AI replies from the Client's business info, forwarding important matters to the Client, showing conversations in the inbox.
  • Billing, customer support and service notices (e.g. quota warnings).
  • Security, abuse and spam prevention, and improving service quality.
  • Meeting legal obligations (e.g. tax obligations and lawful requests from authorities).

We do not sell personal data, do not use it for advertising, and do not use Clients' guest conversations to train general AI models.

We may produce aggregated statistics that do not identify anyone (e.g. the number of AI chats per month) to count quotas, manage capacity and improve the service.

4. Legal bases

  • Consent (Art. 20(2)(a) PDP Law): trial sign-up, which you may withdraw at any time.
  • Performance of a contract (b): providing the service and billing Clients.
  • Legal obligation (c): financial and tax records.
  • Legitimate interest (f): system security and abuse prevention.
  • For Clients' guest data, the legal basis is determined by the Client as Controller.

5. Storage and retention

  • Trial applicant data: at most 12 months after last contact if you do not become a customer, then deleted.
  • Clients' guest conversation data: while the subscription is active, or shorter per the Client's settings. After the subscription ends or a channel is disconnected, deleted within 30 days, including from backups in the next backup cycle.
  • Billing data: kept as long as tax regulations require (generally 10 years).

6. Other parties and transfers outside Indonesia

We use service providers (sub-processors) that process data only to run our service:

  • AI model providers to generate replies; message content and business info are sent to them. Their servers may be outside Indonesia (e.g. the United States).
  • Meta Platforms (WhatsApp, Instagram, Messenger) as the messaging channels a Client connects.
  • Server, network and email providers (including Cloudflare) for hosting, security and email delivery.
  • Payment providers to process invoices.

Transfers outside Indonesia follow Article 56 of the PDP Law: we choose providers with an equal or higher level of data protection, or use adequate and binding safeguards (e.g. data processing agreements), and failing both, rely on consent. We aim to minimise the personal data sent to AI providers. The current list of sub-processors is available on request by email.

7. Meta Platform Data (WhatsApp, Instagram, Messenger)

When a Client connects the WhatsApp Business Platform, Instagram Messaging or the Messenger Platform to CerdasChat, we receive data from Meta ("Platform Data"), such as profile name, user ID or WhatsApp number, and message content. We use Platform Data only to provide the inbox and AI reply service to the Client who connected it. We do not sell or license Platform Data, do not use it for advertising, profiling or targeting, do not combine it with data from other sources beyond what the service needs, and do not share it except with the sub-processors listed above to run the service, or where required by law. We comply with the Meta Platform Terms and applicable developer policies. When a Client disconnects or cancels, Platform Data is deleted within 30 days. Anyone can request deletion of their Platform Data via the Data Deletion page.

8. AI replies and automated processing

Replies to Clients' guests are generated automatically by an AI model, based on the message content and the business info provided by the Client. The AI is not used to make decisions that have legal effects on, or significantly affect, anyone: booking confirmations, special rates, complaints and anything the AI isn't sure about are passed to the Client for a person to decide. The Client and its staff can read conversations and take over at any time. We do not use Clients' guest conversations to train general AI models. If you believe an automated reply has affected you unfairly, you can object (see section 9).

9. Your rights as a Data Subject

Under the PDP Law you have the right to:

  • be informed about the processing of your data;
  • complete, update and correct inaccurate data;
  • access and obtain a copy of your data;
  • end processing of, delete and/or destroy your data;
  • withdraw consent;
  • object to decisions based solely on automated processing that significantly affect you;
  • delay or restrict processing;
  • obtain and/or use your data in a commonly used format (portability); and
  • bring a claim and receive compensation for violations in the processing of your data.

Send requests to [email protected]. We may ask you to verify your identity. We respond within the time limits set by the PDP Law (within 3 x 24 hours to acknowledge your request and act on it as required). For Clients' guest data, we forward the request to the Client as Controller and help carry it out.

Complaints. If you are unhappy with how we have handled your data or your request, please contact us first so we can try to put it right. You also have the right to complain to the personal data protection authority established under the PDP Law.

10. Security and personal data breaches

We apply reasonable technical and organisational measures: encrypted connections (HTTPS), role-based access, data files with restricted permissions, rate limiting and anti-spam protection, and backups. No system is completely secure.

If a personal data breach occurs (for example, a data leak), we will:

  • contain the incident promptly, investigate the cause and restore our systems;
  • notify affected Data Subjects and the competent authority in writing within 3 x 24 hours as required by Article 46 of the PDP Law, covering at least what personal data was exposed, when and how it was exposed, and what we are doing to handle and recover from it;
  • notify affected Clients without delay and help them meet their obligations as Controllers of their guests' data;
  • inform the public where the law requires it in certain circumstances; and
  • record the incident and the corrective steps taken to prevent it happening again.

11. Cookies and local storage

This site sets no tracking, advertising or analytics cookies. We only store your language choice in your browser's local storage (localStorage); it stays on your device, is not sent to our server, and can be cleared in your browser settings. Our network provider (Cloudflare) may set technical cookies needed for security. If we ever use cookies that are not strictly necessary, we will update this policy and ask for your consent first.

12. Children

This service is intended for businesses and may only be signed up for by adults with legal capacity. We do not knowingly collect children's data through this site. Some of a Client's guests may be children; the Client, as Controller, is responsible for obtaining parental or guardian consent where Article 25 of the PDP Law requires it. If you become aware that a child's data has been sent to us without valid consent, please contact us and we will delete it.

13. Messages from us

We send necessary service messages, for example about your trial, invoices, quota warnings and changes to the service. We only send promotional messages if you have agreed to receive them, and you can opt out at any time by replying to the message or emailing us.

14. Business transfers and third-party sites

If CerdasChat's business is merged, acquired or transferred, personal data may pass to the successor, who must continue to protect it in line with this policy; we will notify Data Subjects as required by Article 48 of the PDP Law. This site may link to other websites or services (such as Meta); their own privacy policies apply there.

15. Changes

We may update this policy. Material changes will be announced on this site and, for Clients, by email before they take effect.

16. Contact

PT SATU BALI WISATA NUSANTARA · Jl. Tunjung Tutur II, Br. Dualang, Peguyangan Kaja, Denpasar Utara 80115, Bali · [email protected]

We will appoint a Personal Data Protection Officer where Article 53 of the PDP Law requires it. Until then, all questions and requests about personal data are handled through the email address above.

If the Indonesian and English versions differ, the Indonesian version prevails.