Kebijakan Privasi Aplikasi iClus

1. Pendahuluan

PT. Killian Teknologi Indonesia ("KTI", "Kami", atau "Pengelola") adalah pemilik dan penyelenggara Aplikasi iClus yang dalam hal ini bertindak sebagai Penyelenggara Sistem Elektronik dan/atau Prosesor Data Pribadi.

Aplikasi iClus digunakan untuk mendukung proses administrasi dan pengelolaan klaim asuransi tanggung jawab pengangkut angkutan udara yang diproses oleh Perusahaan Asuransi di Indonesia yang dalam hal ini bertindak sebagai Pengendali Data Pribadi atas klaim asuransi.

Kebijakan Privasi ini menjelaskan bagaimana Data Pribadi diperoleh, dikumpulkan, diolah, dianalisis, disimpan, diungkapkan, hingga dimusnahkan (secara bersama-sama disebut sebagai "Pemrosesan") serta dilindungi melalui penggunaan Aplikasi sesuai dengan peraturan perundang-undangan yang berlaku di Indonesia.

2. Data yang Dikumpulkan

Kami dapat mengumpulkan dan memproses:

3. Tujuan Pemrosesan Data

Data digunakan secara terbatas dan spesifik untuk tujuan berikut:

1. Pengoperasian dan penyediaan layanan pada Aplikasi;
2. Pengelolaan dan administrasi klaim asuransi tanggung jawab pengangkut angkutan udara;
3. Verifikasi, evaluasi, dan pemrosesan pembayaran klaim oleh ACA;
4. Komunikasi dengan Pengguna terkait status klaim, informasi layanan, dan pemberitahuan sistem;
5. Audit dan kepatuhan hukum;
6. Pencegahan penipuan (fraud prevention) dan transaksi mencurigakan;
7. Pemeliharaan dan peningkatan keamanan sistem serta penanganan insiden siber;
8. Penanganan pengaduan, komplain, dan penyelesaian sengketa.

4. Dasar Pemrosesan Data

Pemrosesan Data Pribadi melalui Aplikasi iClus dilaksanakan berdasarkan dasar hukum pemrosesan (lawful basis) yang sah sesuai dengan ketentuan peraturan perundang-undangan yang berlaku, meliputi:

1. Persetujuan Sah dan Eksplisit
   Persetujuan yang diberikan secara sah dan eksplisit oleh Subjek Data Pribadi untuk 1 (satu) atau beberapa tujuan pemrosesan tertentu sebagaimana telah disampaikan oleh Pengelola dan/atau ACA;
2. Pemenuhan Kewajiban Perjanjian
   Pemenuhan kewajiban dalam rangka pelaksanaan perjanjian di mana Subjek Data Pribadi merupakan salah satu pihak, atau guna memenuhi permintaan Subjek Data Pribadi sebelum dan/atau pada saat melakukan perjanjian pemrosesan klaim asuransi;
3. Pemenuhan Kewajiban Hukum
   Pemenuhan kewajiban hukum yang melekat pada Pengendali Data Pribadi dan/atau Pengelola berdasarkan ketentuan peraturan perundang-undangan; dan
4. Pemenuhan Kepentingan yang Sah (Legitimate Interest)
   Pemenuhan kepentingan yang sah lainnya dari Pengendali Data Pribadi dan/atau Pengelola dengan tetap memperhatikan tujuan, kebutuhan, serta keseimbangan antara kepentingan tersebut dengan hak-hak Subjek Data Pribadi.

5. Pengungkapan dan Transfer Data Pribadi

Dalam rangka penyelenggaraan layanan Aplikasi iClus, pelaksanaan pemrosesan klaim asuransi, serta pemenuhan kewajiban hukum, Pengelola dan/atau ACA dapat mengungkapkan dan/atau mentransfer Data Pribadi Subjek Data kepada Pihak Ketiga dengan tetap memperhatikan prinsip kerahasiaan dan pelindungan data, yang meliputi:

1. PT Asuransi Central Asia (ACA)
   Selaku Pengendali Data Pribadi, untuk kepentingan verifikasi, evaluasi, pemrosesan, hingga pencairan atau penyelesaian klaim asuransi;
2. Mitra Pengangkutan (Maskapai Penerbangan dan Perusahaan Kargo)
   Untuk melakukan verifikasi manifes penerbangan, data pengangkutan, konfirmasi status barang/bagasi, serta investigasi atas insiden kerugian atau kerusakan;
3. Penyedia Layanan Teknologi Informasi dan Penyedia Jasa Pendukung
   Pihak ketiga yang menyediakan layanan infrastruktur cloud, keamanan siber, verifikasi identitas (e-KYC), layanan analisis sistem, maupun pemeliharaan aplikasi yang terikat kontrak kerja sama dengan Pengelola;
4. Auditor, Penasihat Hukum, dan Konsultan Independen
   Termasuk namun tidak terbatas pada auditor eksternal, penilai kerugian (loss adjuster), konsultan hukum, dan penasihat profesional guna kepentingan audit kepatuhan, analisis hukum, serta penanganan sengketa; dan
5. Otoritas Regulator dan Penegak Hukum
   Instansi pemerintah atau otoritas yang berwenang (termasuk Kementerian Komunikasi dan Digital, Otoritas Jasa Keuangan, Kementerian Perhubungan, atau Lembaga Peradilan) berdasarkan ketentuan peraturan perundang-undangan, perintah pengadilan, atau proses hukum yang sah.

Jaminan Perlindungan Data oleh Pihak Ketiga

Pengelola dan ACA memastikan bahwa setiap Pihak Ketiga yang menerima Data Pribadi wajib menerapkan standar pelindungan data dan keamanan siber yang setara dengan ketentuan dalam Kebijakan Privasi ini serta Peraturan Perundang-undangan yang Berlaku melalui perjanjian kerja sama atau perjanjian kerahasiaan (Non-Disclosure Agreement).

Larangan Komersialisasi Data

Pengelola dan ACA tidak akan pernah menjual, menyewakan, memperdagangkan, atau memperalihkan Data Pribadi Subjek Data kepada pihak ketiga mana pun untuk kepentingan komersial atau pemasaran di luar ketentuan Kebijakan Privasi ini.

6. Penyimpanan, Masa Retensi, dan Penghapusan Data Pribadi

1. Penyimpanan Data

Pengelola dan/atau ACA melakukan penyimpanan Data Pribadi Subjek Data pada fasilitas peladen (server) dan/atau pangkalan data (database) yang dikelola dengan menerapkan standar keamanan dan enkripsi yang memadai.

2. Masa Retensi Data

Data Pribadi akan disimpan dan diretensi selama Subjek Data Pribadi terdaftar aktif pada Aplikasi iClus. Apabila layanan klaim telah selesai, akun ditutup, dan/atau Subjek Data Pribadi menarik persetujuannya, Pengelola dan/atau ACA akan tetap menyimpan Data Pribadi tersebut untuk jangka waktu paling singkat 5 (lima) tahun atau selama batas waktu lain yang ditentukan, guna pemenuhan tujuan berikut:

• Kepatuhan terhadap kewajiban hukum, regulasi tata kelola industri asuransi, dan ketentuan perpajakan;
• Kebutuhan pembuktian hukum, penanganan pengaduan, dan penyelesaian sengketa di masa mendatang; serta
• Kepentingan audit internal, eksternal, maupun pemeriksaan oleh otoritas negara yang berwenang.

3. Penghapusan dan Pemusnahan Data

Apabila masa retensi telah berakhir atau Data Pribadi dipandang tidak lagi relevan dengan tujuan pemrosesan, Pengelola dan/atau ACA wajib melakukan penghapusan dan/atau pemusnahan Data Pribadi dari sistem secara permanen dan aman, sesuai dengan ketentuan peraturan perundang-undangan yang berlaku.

7. Keamanan dan Ketahanan Siber Data Pribadi

Pengelola dan ACA berkomitmen untuk melindungi Data Pribadi Subjek Data dari akses, pengungkapan, pemrosesan, perubahan, perusakan, atau kehilangan yang tidak sah. Pengamanan tersebut dilaksanakan melalui langkah-langkah teknis, operasional, dan organisasional yang memadai, meliputi:

Pengamanan Teknis dan Infrastruktur

Penerapan enkripsi data pada saat data ditransmisikan (data in transit) maupun disimpan (data at rest), penggunaan sistem pemantauan keamanan (firewall), serta pembatasan hak akses berbasis peran (Role-Based Access Control) pada peladen dan pangkalan data.

Pengamanan Organisasi dan Personel

Penetapan kebijakan internal perlindungan data, evaluasi sistem keamanan secara berkala, serta pengikatan perjanjian kerahasiaan (Non-Disclosure Agreement) bagi seluruh personel Pengelola dan/atau ACA yang diberikan hak akses terhadap Data Pribadi.

Pemberitahuan Kegagalan Pelindungan Data Pribadi (Data Breach Notification)

Dalam hal terjadi insiden atau kegagalan pelindungan Data Pribadi yang berdampak pada kerahasiaan, integritas, atau ketersediaan Data Pribadi, Pengelola dan/atau ACA akan menyampaikan pemberitahuan tertulis kepada Subjek Data Pribadi dan Otoritas yang berwenang dalam jangka waktu paling lambat 3 x 24 (tiga kali dua puluh empat) jam sesuai dengan ketentuan peraturan perundang-undangan.

Tanggung Jawab Keamanan oleh Subjek Data

Subjek Data Pribadi wajib senantiasa menjaga kerahasiaan kredensial akun Aplikasi iClus miliknya, termasuk nama pengguna (username), kata sandi (password), dan kode verifikasi (One-Time Password/OTP). Pengelola dan ACA dibebaskan dari tanggung jawab atas insiden kebocoran data yang terbukti disebabkan oleh kelalaian atau kesalahan Subjek Data Pribadi dalam menjaga kredensial akun tersebut.

8. Hak Subjek Data Pribadi dan Prosedur Pelaksanaannya

1. Hak-Hak Subjek Data Pribadi

Sesuai dengan Peraturan Perundang-undangan yang berlaku, Subjek Data Pribadi memiliki hak-hak sebagai berikut:

• Hak Mendapatkan Informasi — berhak mendapatkan kejelasan identitas, dasar hukum, serta tujuan pemrosesan Data Pribadi oleh Pengelola dan ACA;
• Hak Memperbaiki dan Melengkapi — berhak memperbarui, melengkapi, dan/atau memutakhirkan Data Pribadi yang tidak akurat atau tidak lengkap dalam sistem Aplikasi iClus;
• Hak Mengakses dan Memperoleh Salinan — berhak mengakses dan mendapatkan salinan Data Pribadi miliknya sesuai dengan ketentuan peraturan perundang-undangan;
• Hak Menarik Kembali Persetujuan — berhak menarik kembali persetujuan pemrosesan Data Pribadi yang sebelumnya telah diberikan;
• Hak Menunda atau Membatasi Pemrosesan — berhak meminta penundaan atau pembatasan pemrosesan Data Pribadi secara proporsional sesuai dengan tujuannya;
• Hak Mengakhiri Pemrosesan dan Penghapusan — berhak meminta pengakhiran pemrosesan, penghapusan, dan/atau pemusnahan Data Pribadi miliknya; serta
• Hak Keberatan atas Pengambilan Keputusan Otomatis — berhak mengajukan keberatan atas tindakan pemrosesan yang semata-mata didasarkan pada pemrosesan secara otomatis (automated decision making/profiling) yang menimbulkan akibat hukum bagi Subjek Data.

2. Prosedur Pengajuan Hak Subjek Data

Subjek Data Pribadi dapat mengajukan permohonan pelaksanaan hak-hak sebagaimana dimaksud pada ayat 1 di atas melalui saluran resmi yang disediakan oleh Pengelola dan/atau ACA (Petugas Pelindungan Data/Data Protection Officer) via pos elektronik (email) di: [alamat_email_dpo/compliance@domain.com].

Untuk kepentingan keamanan data, Pengelola dan/atau ACA berhak melakukan verifikasi identitas pemohon terlebih dahulu sebelum memproses permintaan pelaksanaan hak tersebut.

3. Penolakan dan Pembatasan Hak

Pengelola dan/atau ACA berhak menolak permohonan penghapusan, pemusnahan, atau penarikan persetujuan dari Subjek Data Pribadi, baik sebagian maupun seluruhnya, apabila:

• Pemrosesan Data Pribadi tersebut masih diperlukan untuk pemenuhan kewajiban hukum, regulasi, perpajakan, atau perintah otoritas/pengadilan;
• Diperlukan untuk kepentingan pertahanan dan keamanan nasional, proses penegakan hukum, atau penyelesaian sengketa hukum yang sedang berlangsung; dan/atau
• Diatur lain berdasarkan ketentuan peraturan perundang-undangan yang berlaku.

9. Transfer Data dan Pengungkapan Data Pribadi

1. Ketentuan Umum Transfer Data

Pengelola dan/atau ACA dapat melakukan transfer, pemindahtanganan, atau pengungkapan Data Pribadi Subjek Data kepada Pihak Ketiga baik yang berada di dalam maupun di luar wilayah hukum Republik Indonesia dengan senantiasa berlandaskan pada dasar hukum pemrosesan (lawful basis) yang sah serta sebatas tujuan pemrosesan yang telah ditentukan dalam Kebijakan Privasi ini.

2. Transfer Data Pribadi Dalam Negeri (Domestic Data Transfer)

Transfer Data Pribadi antar-pihak di dalam wilayah hukum Republik Indonesia (termasuk pemrosesan data antara Pengelola, ACA, vendor pendukung teknologi, penyedia gerbang pembayaran, mitra verifikasi identitas, maupun instansi/asosiasi industri terkait) dilakukan dengan memenuhi ketentuan berikut:

• Pihak penerima Data Pribadi wajib menjamin dan menerapkan tingkat pelindungan Data Pribadi yang setara atau tidak lebih rendah dari standar pelindungan yang diterapkan oleh Pengelola dan ACA;
• Transfer dilakukan semata-mata untuk pemenuhan kewajiban perjanjian, pemrosesan klaim asuransi, pemenuhan kewajiban regulasi, atau kepentingan yang sah (legitimate interest); dan
• Pengelola dan/atau ACA mengikat pihak penerima data dalam perjanjian tertulis (Data Processing Agreement atau Data Transfer Agreement) yang memuat kewajiban kerahasiaan dan pengamanan data.

3. Transfer Data Pribadi Lintas Batas (Cross-Border Data Transfer)

Dalam hal Pengelola dan/atau ACA memanfaatkan infrastruktur teknologi, peladen (server), atau layanan komputasi awan (cloud services) yang berada di luar wilayah hukum Republik Indonesia, transfer Data Pribadi ke luar negeri wajib memenuhi sekurang-kurangnya salah satu kondisi berikut:

• Negara domisili penerima Data Pribadi telah dinilai memiliki tingkat pelindungan Data Pribadi yang setara atau lebih tinggi dibandingkan dengan UU PDP;
• Terdapat perjanjian transfer data (Data Transfer Agreement) atau klausul kontrak standar (Standard Contractual Clauses) yang mengikat pihak penerima untuk memberikan perlindungan Data Pribadi secara memadai; atau
• Dalam hal kondisi pada huruf a dan b tidak terpenuhi, Pengelola dan/atau ACA telah memperoleh persetujuan eksplisit (explicit consent) dari Subjek Data Pribadi untuk melakukan transfer data lintas batas tersebut.

4. Tanggung Jawab dan Batasan Pihak Ketiga Penerima Data

Setiap Pihak Ketiga yang menerima Data Pribadi (baik domestik maupun internasional) dilarang keras menggunakan Data Pribadi tersebut untuk kepentingan di luar instruksi tertulis Pengelola/ACA atau untuk tujuan komersial independen pihak ketiga tersebut.

10. Penanganan dan Pemberitahuan Insiden Keamanan Data

1. Kewajiban Pemberitahuan Insiden (Data Breach Notification)

Dalam hal terjadi insiden kegagalan Pelindungan Data Pribadi (data breach) yang berdampak pada kerahasiaan, integritas, atau ketersediaan Data Pribadi Subjek Data pada Aplikasi iClus, Pengelola dan/atau ACA wajib menyampaikan pemberitahuan secara tertulis kepada Subjek Data Pribadi dan Otoritas yang berwenang dalam jangka waktu paling lambat 3 x 24 (tiga kali dua puluh empat) jam sejak insiden tersebut diketahui.

2. Muatan Informasi Pemberitahuan

Pemberitahuan tertulis sebagaimana dimaksud pada ayat 1 di atas sekurang-kurangnya memuat informasi mengenai:

• Jenis dan kategori Data Pribadi yang terungkap, bocor, atau terdampak;
• Waktu dan kronologi singkat terjadinya kegagalan pelindungan data;
• Langkah-langkah penanganan, mitigasi, dan pemulihan yang telah serta sedang dilakukan oleh Pengelola dan ACA; serta
• Saluran komunikasi resmi atau kontak Petugas Pelindungan Data (Data Protection Officer) yang dapat dihubungi oleh Subjek Data.

3. Tindakan Penanggulangan dan Pemulihan

Sejak ditemukannya indikasi kegagalan pelindungan data, Pengelola dan ACA akan segera mengambil langkah-langkah teknis dan operasional yang diperlukan untuk menghentikan penyebaran data, menutup celah kerentanan sistem, serta memulihkan keandalan layanan Aplikasi iClus.

4. Pelaporan Mandiri oleh Subjek Data

Apabila Subjek Data menduga atau menemukan indikasi adanya akses tidak sah, pengambilalihan akun (account takeover), atau kebocoran kredensial Aplikasi iClus miliknya, Subjek Data wajib segera memberitahukan kepada Pengelola dan/atau ACA melalui saluran layanan pelanggan resmi guna dilakukan tindakan pengamanan awal berupa pemblokiran akun sementara.

11. Perubahan dan Pemutakhiran Kebijakan Privasi

1. Hak Pembaruan

Pengelola dan ACA berhak untuk melakukan perubahan, penambahan, pengurangan, atau pemutakhiran atas Kebijakan Privasi ini dari waktu ke waktu guna menyesuaikan dengan perkembangan teknologi, perubahan peraturan perundang-undangan, atau dinamika operasional Aplikasi iClus.

2. Mekanisme Pemberitahuan Perubahan

Dalam hal terdapat perubahan yang bersifat material (material changes) atas Kebijakan Privasi ini, Pengelola dan/atau ACA akan menyampaikan pemberitahuan kepada Subjek Data sebelum perubahan tersebut berlaku efektif, melalui salah satu atau beberapa media berikut:

• Pengumuman atau penayangan notifikasi khusus (pop-up notice) pada Aplikasi iClus;
• Pengiriman pemberitahuan melalui pos elektronik (email) yang terdaftar pada akun Subjek Data; atau
• Media komunikasi resmi lainnya yang dikelola oleh Pengelola dan/atau ACA.

3. Keberlakuan dan Persetujuan

• Setiap perubahan atas Kebijakan Privasi ini akan mencantumkan "Tanggal Efektif" pemutakhiran di bagian akhir atau awal dokumen ini.
• Dengan tetap mengakses, mengunduh, atau menggunakan Aplikasi iClus setelah tanggal berlakunya pemutakhiran Kebijakan Privasi tersebut, Subjek Data dianggap telah membaca, memahami, dan menyetujui seluruh pemutakhiran ketentuan dalam Kebijakan Privasi yang baru.
• Apabila Subjek Data tidak menyetujui perubahan atau pemutakhiran Kebijakan Privasi tersebut, Subjek Data berhak untuk menghentikan penggunaan Aplikasi iClus dan/atau melakukan penarikan persetujuan sesuai dengan mekanisme yang diatur dalam Bagian 8 (Hak-Hak Subjek Data Pribadi) dokumen ini.

12. Hubungi Kami dan Petugas Pelindungan Data Pribadi

1. Petugas Pelindungan Data Pribadi (Data Protection Officer / DPO)

Apabila Subjek Data memiliki pertanyaan, keluhan, permohonan eksekusi hak (seperti akses, koreksi, atau penghapusan data), atau insiden terkait Pelindungan Data Pribadi pada Aplikasi iClus, Subjek Data dapat menghubungi Petugas Pelindungan Data Pribadi (DPO) kami melalui:

2. Pengelola Aplikasi & Pengembang Teknologi

3. Penanggung Jawab Produk Asuransi & Pengendali Data

13. Hukum yang Berlaku dan Penyelesaian Sengketa

Kebijakan Privasi ini diatur dan ditafsirkan berdasarkan hukum Republik Indonesia. Setiap sengketa yang timbul dari atau sehubungan dengan Kebijakan Privasi ini akan diselesaikan secara musyawarah untuk mufakat dalam jangka waktu 30 (tiga puluh) hari kerja. Apabila tidak tercapai kesepakatan, sengketa dapat diselesaikan di luar pengadilan melalui Lembaga Alternatif Penyelesaian Sengketa Sektor Jasa Keuangan (LAPS SJK) atau melalui pengadilan pada Pengadilan Negeri Jakarta Selatan.