1. Pengendali Data Pribadi

Nama: PT PLN Batam

Alamat: Jl Engku Putri No. 2, Batam

Kontak Privasi: ppdp@plnbatam.com

Data Protection Officer (DPO): Tersedia di organisasi PLN Batam

2. Data Pribadi yang Kami Kumpulkan

2.1 Data yang Disimpan di Database

• Email: Untuk autentikasi dan notifikasi
• Nomor Telepon: Untuk komunikasi dan notifikasi
• Nama Perusahaan: Untuk identifikasi dan tampilan
• Alamat IP: Untuk keamanan dan audit (disimpan 1 tahun)
• User Agent: Untuk keamanan dan audit (disimpan 1 tahun)
• Session Cookies: Untuk autentikasi (maksimal 24 jam)
• Kode OTP (ter-hash): Untuk autentikasi (disimpan 7 hari)
• Waktu Login: Untuk jejak audit (disimpan 1 tahun)

2.2 Data yang Disimpan dalam File Terenkripsi

Data sensitif berikut TIDAK disimpan dalam database, melainkan hanya dalam file yang Anda unggah dan terenkripsi (AES-256-CBC):

• NPWP: Dalam dokumen Invoice/Faktur Pajak
• Informasi Rekening Bank: Dalam dokumen pendukung
• Data Keuangan Lainnya: Dalam dokumen tagihan

3. Tujuan Pengumpulan Data

Kami mengumpulkan dan memproses data pribadi Anda untuk:

1. Pelaksanaan Kontrak (SPK): Mengelola alur pembayaran mitra
2. Kepatuhan Hukum: Pelaporan pajak dan audit keuangan pemerintah
3. Keamanan: Mencegah penipuan dan akses tidak sah
4. Komunikasi: Mengirimkan notifikasi terkait status pembayaran

4. Dasar Hukum Pemrosesan

Pemrosesan data pribadi Anda didasarkan pada:

• Pelaksanaan Perjanjian (Pasal 20 ayat 1 huruf b UU PDP): Data diperlukan untuk memenuhi kontrak SPK
• Pemenuhan Kewajiban Hukum (Pasal 20 ayat 1 huruf c UU PDP): Pelaporan pajak dan audit sesuai UU KUP
• Kepentingan yang Sah (Pasal 20 ayat 1 huruf f UU PDP): Keamanan sistem dan pencegahan penipuan

5. Penerima Data

Internal PLN Batam:

• Petugas BPO (Verifikasi dokumen)
• Petugas Keuangan (Proses pembayaran)
• Administrator Sistem (Pemeliharaan teknis)

Pihak Ketiga: Kami TIDAK membagikan data Anda kepada pihak ketiga tanpa persetujuan Anda.

6. Periode Penyimpanan Data

Jenis Data	Periode Penyimpanan
Data Master Mitra	Kontrak aktif + 10 tahun
Kontrak SPK	Kontrak aktif + 10 tahun
Dokumen Unggahan	Kontrak aktif + 10 tahun
Riwayat Login	1 tahun
Permintaan OTP	7 hari setelah kedaluwarsa
Session	30 hari setelah dicabut

Anonimisasi Otomatis: Data mitra yang tidak aktif selama 10 tahun akan dianonimkan secara otomatis.

7. Hak-Hak Anda sebagai Subjek Data

Sesuai UU PDP Pasal 5 dan 6, Anda memiliki hak:

7.1 Hak atas Informasi

Anda berhak mengetahui data apa saja yang kami kumpulkan dan bagaimana kami menggunakannya (kebijakan ini).

7.2 Hak Akses

Anda dapat melihat data pribadi Anda melalui dashboard. Untuk mengunduh data dalam format JSON, silakan hubungi ppdp@plnbatam.com.

7.3 Hak Pembetulan

Data master (email, nama, telepon) dikelola oleh admin PLN. Jika ada data yang salah, hubungi admin PLN untuk koreksi.

7.4 Hak Penghapusan

Keterbatasan: Akun tidak dapat dihapus selama kontrak masih aktif (kewajiban hukum penyimpanan 10 tahun). Untuk menonaktifkan akun, hubungi ppdp@plnbatan.com.

7.5 Hak Portabilitas

Anda dapat meminta data Anda dalam format yang dapat dibaca mesin (JSON) melalui email ke ppdp@plnbatam.com.

7.6 Hak Menarik Persetujuan

Data yang diproses berdasarkan kontrak tidak dapat ditarik selama kontrak aktif. Anda dapat meminta penonaktifan akun.

8. Langkah Keamanan Data

Kami menerapkan langkah-langkah keamanan teknis dan administratif:

• Enkripsi: File terenkripsi dengan AES-256-CBC, transmisi data via HTTPS/TLS
• Autentikasi: Sistem OTP tanpa password, hash OTP dengan bcrypt
• Kontrol Akses: Role-based access control (RBAC), maksimal 5 perangkat per akun
• Rate Limiting: 3 OTP per 15 menit, 5 percobaan login maksimal
• Audit Log: Semua akses dan perubahan data dicatat
• Session Management: Sesi kedaluwarsa otomatis (8 jam, maksimal 24 jam)
• OWASP Headers: X-Frame-Options, CSP, HSTS untuk mencegah serangan web

9. Cookies dan Tracking

Kami menggunakan:

• Session Cookie (mitra_session): Esensial untuk autentikasi, maksimal 24 jam
• CSRF Token: Untuk keamanan form

Kami TIDAK menggunakan cookies analytics atau tracking pihak ketiga.

10. Transfer Data Lintas Batas

Seluruh infrastruktur sistem (database, storage, server) berada di Indonesia. Kami tidak mentransfer data Anda keluar Indonesia.

11. Pemberitahuan Pelanggaran Data

Jika terjadi pelanggaran data yang berdampak pada data pribadi Anda, kami akan memberitahu Anda dalam waktu 3x24 jam sesuai Pasal 14 UU PDP, melalui email.

12. Perubahan Kebijakan Privasi

Kami dapat memperbarui kebijakan ini dari waktu ke waktu. Perubahan akan diumumkan melalui:

• Notifikasi di halaman login
• Email ke semua mitra aktif

Tanggal "Terakhir diperbarui" di bagian atas halaman akan menunjukkan versi terbaru.

13. Kontak & Pengaduan

Untuk pertanyaan, permintaan akses data, atau pengaduan terkait privasi, hubungi:

14. Dasar Hukum

Kebijakan privasi ini disusun berdasarkan:

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
• UU No. 11 Tahun 2008 jo. UU No. 19 Tahun 2016 tentang Informasi dan Transaksi Elektronik
• Peraturan Menteri Komunikasi dan Informatika terkait pelindungan data pribadi