Kebijakan Privasi SpaKita

1Pendahuluan & Ruang Lingkup

Kebijakan Privasi ini menjelaskan bagaimana SpaKita mengumpulkan, menggunakan, menyimpan, melindungi, dan mengelola data pribadi pengguna — baik Pelanggan, Mitra, maupun pengguna lain yang mengakses platform.

Kebijakan ini berlaku untuk seluruh kanal resmi SpaKita, termasuk situs web, halaman booking Mitra, Panel Admin, Panel Mitra, portal Pelanggan, aplikasi Mitra, serta komunikasi dukungan yang dilakukan melalui kanal resmi.

Dengan menggunakan platform, pengguna menyetujui praktik pengolahan data sebagaimana dijelaskan dalam kebijakan ini. Apabila pengguna tidak menyetujui, pengguna tidak diperkenankan menggunakan fitur yang memerlukan data pribadi, misalnya membuat akun atau melakukan reservasi.

2Data yang Dapat Dikumpulkan

Jenis data yang dikumpulkan bergantung pada fitur yang digunakan, dan dapat meliputi:

• data akun: nama, nomor telepon/WhatsApp, email, kata sandi (disimpan dalam bentuk hash, bukan teks asli);
• data reservasi: layanan, tanggal, waktu, jumlah orang, jenis pelanggan WNI/WNA, jenis kelamin, lokasi/alamat layanan, catatan;
• data pembayaran: nominal DP, bukti transfer yang diunggah (foto), status pembayaran;
• data usaha Mitra: profil usaha, layanan, harga, jadwal, terapis, galeri, rekening DP;
• riwayat transaksi dan status Booking;
• dokumen/dokumentasi yang diunggah pengguna (misalnya foto usaha, foto bukti DP);
• informasi perangkat, alamat IP, dan log aktivitas sistem;
• serta data teknis lainnya yang diperlukan untuk menjalankan sistem.

3Dasar & Tujuan Penggunaan Data

Data diproses berdasarkan pelaksanaan perjanjian dengan pengguna, pemenuhan kewajiban hukum, kepentingan yang sah penyelenggara platform (misalnya keamanan sistem), dan/atau persetujuan pengguna. Data digunakan untuk:

• membuat dan mengelola akun;
• memproses reservasi/Booking dari awal hingga selesai;
• memverifikasi data pemesanan dan bukti pembayaran DP;
• menghubungkan Pelanggan dengan Mitra terkait pelaksanaan layanan;
• mengirimkan notifikasi dan konfirmasi terkait reservasi;
• menyediakan dukungan pelanggan dan menangani keluhan;
• menghitung komisi, laporan, dan rekonsiliasi transaksi;
• keamanan sistem, pencegahan penyalahgunaan dan penipuan;
• pembuatan laporan internal dan peningkatan layanan;
• serta memenuhi kewajiban hukum yang berlaku.

4Cookie, Sesi Login & Data Teknis

Platform menggunakan cookie sesi dan penyimpanan lokal browser untuk menjaga sesi login tetap aman, mengingat preferensi (misalnya bahasa), serta mendukung fungsi teknis sistem. Cookie sesi dikonfigurasi dengan pengamanan standar (HttpOnly dan SameSite) untuk melindungi dari akses skrip lintas situs.

Log teknis seperti alamat IP, jenis perangkat/browser, dan waktu akses dicatat untuk keperluan keamanan, diagnosa gangguan, dan pencegahan penyalahgunaan. Log tidak digunakan untuk melacak aktivitas pengguna di luar platform.

5Penggunaan Data Pelanggan oleh Mitra

Mitra hanya boleh menggunakan data Pelanggan untuk kepentingan:

• pelaksanaan Booking;
• komunikasi terkait layanan;
• pemberian layanan;
• penyelesaian masalah transaksi.

6Bukti Pembayaran & Dokumen yang Diunggah

Foto bukti pembayaran DP dan dokumen lain yang diunggah pengguna digunakan untuk verifikasi transaksi oleh tim SpaKita dan/atau Mitra terkait. File disimpan dengan nama acak pada direktori khusus dan tidak dapat dieksekusi sebagai kode program.

Foto usaha, galeri, dan banner yang diunggah Mitra ditampilkan kepada publik sebagaimana dimaksudkan Mitra. Mitra wajib memastikan bahwa materi yang diunggah adalah miliknya atau telah mendapatkan izin penggunaannya.

7Keamanan Data

SpaKita menerapkan langkah keamanan yang wajar dan sesuai praktik umum industri untuk melindungi data dari akses, perubahan, pengungkapan, atau penghancuran yang tidak sah, antara lain:

• kata sandi disimpan dalam bentuk hash yang tidak dapat dibaca langsung;
• proteksi CSRF (token pada setiap formulir aksi penting);
• proteksi XSS dengan penyaringan/escape output;
• kueri database menggunakan prepared statement untuk mencegah SQL injection;
• validasi dan pembatasan jenis file pada setiap unggahan;
• pengaturan cookie sesi yang aman (HttpOnly, SameSite, Secure saat HTTPS);
• pembatasan laju (rate limit) pada percobaan login untuk mencegah brute force;
• pencatatan aktivitas administratif (log aktivitas) untuk audit;
• pembatasan akses direktori sensitif dari web;
• serta mekanisme keamanan lainnya sebagaimana diatur dalam Kebijakan Penggunaan Platform.

8Penyimpanan & Retensi Data

Data disimpan selama diperlukan untuk tujuan pengelolaan layanan, transaksi, keamanan, administrasi, penyelesaian sengketa, atau pemenuhan kewajiban hukum.

Riwayat transaksi umumnya dipertahankan untuk keperluan laporan keuangan, komisi, dan audit sesuai ketentuan yang berlaku. Data yang tidak lagi diperlukan dapat dihapus atau dianonimkan sepanjang tidak bertentangan dengan kewajiban hukum.

9Pihak Ketiga

Data dapat diproses oleh penyedia layanan yang mendukung operasional SpaKita, misalnya penyedia:

• hosting;
• pembayaran;
• komunikasi (misalnya tautan WhatsApp);
• email;
• keamanan;
• peta dan analitik;
• serta teknologi pendukung lainnya.

Penggunaan pihak ketiga dilakukan sesuai kebutuhan dan dasar yang berlaku. Penggunaan layanan pihak ketiga dapat tunduk pada syarat dan kebijakan privasi pihak ketiga tersebut.

10Hak Pengguna

Sepanjang diberikan oleh peraturan perlindungan data pribadi yang berlaku (termasuk Undang-Undang Perlindungan Data Pribadi di Indonesia), pengguna memiliki hak untuk meminta:

• informasi mengenai pemrosesan data;
• akses data pribadinya;
• perbaikan dan pembaruan data;
• penghapusan data dalam kondisi tertentu;
• pembatasan pemrosesan dalam kondisi tertentu;
• penarikan persetujuan dalam kondisi tertentu;
• serta hak lainnya berdasarkan ketentuan perlindungan data pribadi yang berlaku.

Permintaan dapat disampaikan melalui kanal kontak resmi SpaKita dengan menyertakan identitas yang cukup untuk verifikasi. Beberapa permintaan dapat dibatasi apabila terdapat kewajiban hukum atau dasar sah lain untuk tetap menyimpan data.

11Data Anak

Platform ditujukan untuk pengguna berusia 18 tahun ke atas. Apabila terdapat layanan untuk anak, pemesanan dan persetujuan harus dilakukan oleh orang tua/wali.

Apabila Provider mengetahui terdapat data anak yang dikumpulkan tanpa persetujuan orang tua/wali yang sah, data tersebut akan ditangani sesuai ketentuan yang berlaku, termasuk penghapusan sepanjang memungkinkan.

12Perubahan Kebijakan

SpaKita dapat memperbarui Kebijakan Privasi ini apabila terdapat perubahan layanan, teknologi, keamanan, atau ketentuan hukum. Versi terbaru selalu tersedia pada halaman ini beserta tanggal pembaruannya.

Pengguna dianjurkan memeriksa halaman ini secara berkala. Penggunaan platform yang berlanjut setelah perubahan dianggap sebagai persetujuan terhadap versi terbaru.

13Kontak

Pertanyaan, permintaan, atau keluhan terkait data pribadi dapat disampaikan melalui kanal kontak resmi yang tersedia pada halaman Hubungi Kami SpaKita.