Kebijakan Privasi

Siapa kami

Vlora adalah perangkat lunak pemesanan dan pembayaran untuk studio kebugaran di Indonesia, seperti pilates dan yoga. Layanan ini dioperasikan oleh PT Fintastic Digital Inovasi yang berkedudukan di Denpasar, Bali, Indonesia.

Kebijakan ini disusun mengacu pada Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, dan berlaku untuk situs vlora.app, halaman pemesanan publik setiap studio, serta aplikasi dasbor di dash.vlora.app.

Dua peran kami atas data Anda

Vlora melayani banyak studio sekaligus. Posisi hukum kami berbeda tergantung data siapa yang sedang dibicarakan, dan perbedaan itu menentukan kepada siapa Anda mengajukan permintaan atas data Anda.

Vlora sebagai Pengendali

Untuk data pengunjung situs vlora.app dan data pemilik akun yang mendaftar serta masuk ke dasbor. Kami yang menentukan tujuan dan cara pemrosesannya, dan permintaan atas data ini ditujukan langsung kepada kami.

Vlora sebagai Prosesor

Untuk data klien yang dimasukkan sebuah studio ke dalam sistem, seperti nama peserta kelas, kontak, catatan, dan riwayat pemesanan. Studio yang menjadi Pengendali atas data itu: studio yang mengumpulkannya, menentukan tujuannya, dan bertanggung jawab atas dasar pemrosesannya. Kami memproses atas instruksi studio.

Kalau Anda peserta kelas di sebuah studio dan ingin mengakses, mengoreksi, atau menghapus data Anda, ajukan kepada studio tempat Anda terdaftar. Kami membantu studio memenuhinya, tetapi kami tidak berwenang mengubah atau menghapus data klien atas permintaan langsung tanpa sepengetahuan studio tersebut.

Data yang kami kumpulkan

Berikut daftar sebenarnya dari apa yang tersimpan, dikelompokkan menurut asal datanya.

Pengunjung situs

Alamat IP, jenis peramban, dan halaman yang dibuka, melalui log server dan cookie yang diuraikan di bagian 7. Formulir permintaan demo di halaman depan tidak mengirim apa pun ke server kami. Formulir itu membuka WhatsApp dengan pesan yang sudah terisi, sehingga kami menerimanya sebagai pesan WhatsApp biasa dan ketentuan privasi WhatsApp berlaku atas pengirimannya.

Pemilik akun

Nama depan dan belakang, alamat email, kata sandi dalam bentuk hash (kami tidak pernah menyimpan kata sandi aslinya), studio tempat Anda bernaung, serta hak akses Anda di dalamnya.

Klien studio

Nama, email, nomor telepon, tanggal lahir, jenis kelamin, alamat, kontak darurat, catatan, catatan medis, status penandatanganan waiver, riwayat pemesanan, dan total pembelanjaan. Field mana yang benar-benar terisi ditentukan oleh studio, bukan oleh kami.

Pemesanan dan pembayaran

Kelas yang dipesan, paket dan kredit yang Anda miliki, serta status transaksi. Data instrumen pembayaran diproses oleh Duitku sebagai penyelenggara jasa pembayaran; nomor kartu tidak pernah melewati maupun tersimpan di sistem kami.

Data pribadi yang bersifat spesifik

Dua field di daftar sebelumnya termasuk data pribadi yang bersifat spesifik menurut Pasal 4 ayat (2) UU PDP: catatan medis dan tanggal lahir. Keduanya opsional dan hanya terisi bila studio memilih mengumpulkannya.

Catatan medis dikumpulkan oleh studio, bukan oleh Vlora. Studio bertanggung jawab memperoleh persetujuan eksplisit dari kliennya sebelum mengisi field itu, dan bertanggung jawab memastikan hanya staf yang berkepentingan dapat melihatnya. Kami menyediakan mekanisme kontrol aksesnya; kami tidak menentukan apa yang dicatat di dalamnya.

Kami tidak memakai data ini untuk tujuan apa pun di luar menampilkannya kembali kepada studio pemiliknya. Data ini tidak dianalisis, tidak diprofilkan, dan tidak dibagikan kepada pihak mana pun.

Tujuan dan dasar pemrosesan

• Menjalankan layanan: membuat dan memelihara akun, memproses pemesanan, menerbitkan bukti pembayaran, dan mengirim email transaksional seperti konfirmasi kelas atau pengingat jadwal.
• Keamanan: mendeteksi upaya masuk yang mencurigakan, membatasi laju permintaan, dan mencatat galat aplikasi agar kerusakan dapat ditemukan dan diperbaiki.
• Kewajiban hukum: menyimpan catatan transaksi sepanjang diwajibkan peraturan perpajakan dan pembukuan.
• Komunikasi: menjawab pertanyaan yang Anda kirimkan lewat email atau WhatsApp.

Kami tidak menjual data pribadi, dan tidak membagikannya kepada pengiklan maupun pialang data.

Masuk dengan akun Google

Vlora menyediakan opsi masuk menggunakan akun Google. Bila Anda memilihnya, kami menerima dari Google hanya nama, alamat email, foto profil, dan pengenal unik akun Google Anda. Kami tidak menerima kata sandi Google Anda dan tidak memperoleh akses ke Gmail, Drive, Kontak, maupun layanan Google lainnya.

Data tersebut dipakai semata-mata untuk membuat dan mengenali akun Vlora Anda. Data itu tidak dijual, tidak dibagikan kepada pihak ketiga selain prosesor yang disebut di bagian 9, dan tidak dipakai untuk periklanan atau pelatihan model apa pun.

Anda dapat mencabut akses Vlora ke akun Google Anda kapan saja melalui halaman izin akun Google, dan meminta penghapusan akun Vlora Anda melalui kontak di bagian 15.

Cookie

Kami memakai cookie seperlunya untuk menjalankan sesi login, ditambah cookie analitik di halaman pemasaran vlora.app. Vlora tidak memasang cookie periklanan.

vlora_access

Menandai sesi yang sedang aktif. Dipasang pada domain induk supaya halaman publik dapat mengenali bahwa Anda sudah masuk.

vlora_refresh

Memperpanjang sesi tanpa meminta Anda masuk ulang. Terbatas pada host dasbor.

vlora_preauth

Menjembatani langkah pemilihan studio ketika akun Anda memiliki akses ke lebih dari satu studio. Terbatas pada host dasbor.

Ketiganya bersifat httpOnly, sehingga tidak dapat dibaca oleh skrip di dalam peramban.

Di situs vlora.app — seluruh halamannya, termasuk artikel, kebijakan privasi ini, dan syarat layanan — kami memuat wadah Google Tag Manager milik kami sendiri yang menjalankan Google Analytics. Skrip itu memasang cookie bernama _ga dan _ga_ diikuti pengenal wadah, untuk menghitung kunjungan dan mengenali kunjungan berulang dari peramban yang sama. Cookie ini tidak httpOnly, sebab memang dibaca oleh skrip Google. Halaman pemesanan sebuah studio, di alamat studio itu sendiri di bawah vlora.app, bukan bagian dari situs ini.

Pengukuran itu berhenti di halaman pemasaran. Dasbor di dash.vlora.app tidak memuat skrip analitik apa pun — bukan dimatikan melalui pengaturan yang bisa dinyalakan lagi, melainkan memang tidak pernah disertakan di sana. Apa yang Anda kerjakan setelah masuk tidak kami ukur.

Halaman studio dan tag pihak ketiga

Setiap studio dapat memasang wadah Google Tag Manager miliknya sendiri pada halaman pemesanan publiknya. Wadah itu dikelola oleh studio, bukan oleh kami.

Karena itu kami tidak dapat menjamin daftar tetap tentang tag apa yang aktif di halaman sebuah studio. Studio dapat menambahkan alat analitik atau piksel iklan kapan saja tanpa pemberitahuan kepada kami. Yang berlaku atas tag tersebut adalah kebijakan privasi studio yang bersangkutan, bukan kebijakan ini.

Halaman pemasaran vlora.app memuat satu wadah Google Tag Manager milik Vlora sendiri, dan isinya kami yang tentukan: hanya Google Analytics, sebagaimana diuraikan di bagian 7. Tidak ada wadah milik studio yang berjalan di sana, dan wadah kami tidak berjalan di halaman pemesanan studio mana pun.

Pihak ketiga yang memproses data

Duitku

Penyelenggara jasa pembayaran berizin di Indonesia. Memproses transaksi QRIS, virtual account, dan kartu. Data instrumen pembayaran Anda berada padanya, bukan pada kami.

Cloudflare R2

Penyimpanan berkas: logo studio, foto kelas, dan dokumen yang diunggah.

Sentry

Pencatatan galat aplikasi, agar kerusakan dapat ditemukan dan diperbaiki. Menerima jejak teknis kesalahan, yang dapat memuat pengenal akun.

Google Analytics

Statistik kunjungan halaman pemasaran vlora.app, dimuat melalui Google Tag Manager. Menerima alamat IP dan halaman yang Anda buka. Tidak dipasang di dasbor maupun di halaman pemesanan studio.

Penyedia pengiriman email

Mengirimkan email transaksional seperti konfirmasi pemesanan dan pemulihan kata sandi.

Sebagian penyedia di atas menjalankan infrastrukturnya di luar wilayah Indonesia, sehingga sebagian pemrosesan berlangsung lintas negara. Kami memilih penyedia yang menerapkan tingkat pelindungan setara dengan yang diwajibkan UU PDP dan mengikatnya dengan ketentuan pemrosesan data.

Di luar daftar ini, kami hanya mengungkapkan data bila diwajibkan oleh hukum atau atas permintaan sah dari aparat penegak hukum.

Penyimpanan dan retensi

Kami menyimpan data pribadi selama masih dibutuhkan untuk tujuan yang disebut di bagian 5: untuk akun, selama akun itu aktif; untuk data klien studio, selama studio masih menjadi pelanggan Vlora dan belum menghapusnya sendiri.

Catatan transaksi disimpan lebih lama daripada data lain, karena peraturan perpajakan dan pembukuan mewajibkannya.

Kami tidak menjalankan penghapusan otomatis berdasarkan tenggat waktu tertentu. Penghapusan dilakukan atas permintaan atau saat akun ditutup, melalui proses yang dijalankan manusia. Kami menyebutkannya secara terbuka daripada mencantumkan periode retensi yang tidak ditegakkan oleh sistem.

Keamanan

• Kata sandi disimpan sebagai hash, tidak pernah dalam bentuk aslinya.
• Seluruh lalu lintas berjalan di atas HTTPS.
• Data setiap studio dipisahkan pada tingkat basis data, sehingga satu studio tidak dapat membaca data studio lain.
• Kredensial pembayaran tiap studio disimpan dalam keadaan terenkripsi.
• Akses staf terhadap data dibatasi menurut izin per peran.

Tidak ada sistem yang sepenuhnya kebal. Bila terjadi kegagalan pelindungan data pribadi, kami akan memberitahukannya kepada Anda dan kepada otoritas yang berwenang sesuai kewajiban Pasal 46 UU PDP.

Hak Anda

UU PDP memberi Anda sejumlah hak atas data pribadi Anda:

• Memperoleh informasi tentang data Anda yang kami proses dan tujuan pemrosesannya.
• Melengkapi atau memperbaiki data yang tidak akurat.
• Mengakses dan memperoleh salinan data Anda.
• Mengakhiri pemrosesan, menghapus, atau memusnahkan data Anda.
• Menarik kembali persetujuan yang pernah Anda berikan.
• Mengajukan keberatan atas pengambilan keputusan yang sepenuhnya otomatis.
• Menuntut ganti rugi atas pelanggaran pemrosesan data pribadi Anda.

Untuk data yang kami kendalikan sendiri, ajukan permintaan ke alamat di bagian 15 dan kami akan menanggapinya dalam waktu yang wajar. Untuk data klien studio, ajukan kepada studio yang bersangkutan. Alasannya diuraikan di bagian 2.

Data anak

Vlora tidak ditujukan untuk anak di bawah 18 tahun dan kami tidak dengan sengaja mengumpulkan data anak. Bila sebuah studio menerima peserta di bawah umur, persetujuan orang tua atau wali menjadi tanggung jawab studio sesuai Pasal 25 UU PDP.

Perubahan kebijakan

Kebijakan ini dapat berubah seiring perkembangan layanan. Tanggal perubahan terakhir tercantum di bagian atas halaman. Untuk perubahan yang berdampak nyata pada hak Anda, kami memberitahu pemilik akun melalui email.

Hubungi kami

Pertanyaan, permintaan atas data Anda, atau keberatan dapat dikirimkan ke:

Pengendali Data

PT Fintastic Digital Inovasi

Alamat

Denpasar, Bali, Indonesia

Email

hi@vlora.app

Bila Anda menilai penanganan kami tidak memadai, Anda berhak mengadukannya kepada lembaga yang berwenang di bidang pelindungan data pribadi.