Yang perlu Anda siapkan: Kebijakan Privasi & Perangkat Kepatuhan Data Pribadi

Langkah 1 — Intake dan pemetaan aliran data: mendaftar setiap titik pengumpulan data, jenis data, tujuan, tempat penyimpanan, jangka retensi, dan setiap pihak yang menerimanya.

• Deskripsi produk dan daftar fitur, termasuk fitur yang belum diluncurkan.
• Alur pengguna dari pendaftaran sampai transaksi selesai (tangkapan layar atau prototipe)
• Daftar formulir dan kolom data yang diminta di setiap titik.
• Daftar seluruh pihak ketiga yang menerima atau mengakses data pengguna: pembayaran, analitik, komputasi awan, pengiriman, CRM, surel pemasaran, pemantau galat, iklan.
• Lokasi server dan region penyimpanan untuk setiap layanan pihak ketiga.
• Kebijakan Privasi dan Syarat & Ketentuan yang berlaku sekarang, bila ada.
• Daftar karyawan atau vendor yang memiliki akses ke basis data produksi.
• Keterangan apakah produk menyasar atau mungkin diakses pengguna di bawah 18 tahun.
• Keterangan apakah ada pengambilan keputusan otomatis, penskoran, atau pemrofilan.
• Akta pendirian dan akta perubahan terakhir, serta Nomor Induk Berusaha (NIB) perusahaan.
• Alamat surel dan nomor kontak yang akan kami cantumkan sebagai kanal urusan data pribadi, beserta jabatan orang yang bertanggung jawab menjawabnya. Kanal ini wajib benar-benar dipantau — undang-undang mewajibkan Anda menyediakan narahubung yang mudah dihubungi.
• Apakah situs atau aplikasi Anda memakai kuki (cookie) atau penyimpanan serupa di perangkat pengguna? Bila ya, untuk apa saja, dan apakah pengguna dapat mengubah pengaturannya?
• Apakah Anda mengirimkan penawaran, promosi, atau buletin kepada pengguna? Apakah Anda menayangkan iklan yang dipilih berdasarkan data pengguna? Bila memakai jasa periklanan pihak ketiga, sebutkan penyedianya.
• Di dalam produk Anda, bagaimana caranya pengguna: (a) menarik persetujuan pemasaran; (b) meminta salinan datanya; (c) meminta datanya diperbaiki; (d) meminta akunnya dihapus? Sebutkan yang sudah ada dan yang belum ada — undang-undang memberi Anda tenggat 3×24 jam untuk sebagian permintaan itu.
• Peristiwa apa yang mengakhiri hubungan Anda dengan pengguna (mis. pengguna menutup akun, akun tidak aktif selama jangka tertentu, langganan berakhir)?
• Berapa lama Anda menyimpan: (a) data akun setelah akun ditutup; (b) catatan transaksi dan dokumen pembukuan; (c) materi yang diunggah pengguna; (d) catatan teknis (log)? Bila belum ada kebijakannya, katakan demikian — kami usulkan angkanya, dengan catatan ada kewajiban simpan paling singkat 5 tahun yang harus dipenuhi. Lampirkan kebijakan retensi yang berlaku sekarang bila ada.
• Apakah kegiatan usaha Anda diawasi otoritas sektoral tertentu — misalnya Otoritas Jasa Keuangan, Bank Indonesia, atau Kementerian Kesehatan? Bila ya, sebutkan mana, karena ketentuan retensi sektoral mendahului ketentuan umum.
• Apakah Anda bersedia menayangkan dan memelihara daftar penyedia jasa yang memproses data pengguna beserta negara pemrosesannya? Ini tidak diwajibkan, tetapi menaikkan mutu dokumen dan memudahkan uji tuntas pemodal.
• Apakah data pribadi yang Anda simpan sudah benar-benar tersimpan dalam bentuk terenkripsi? Sebutkan: (a) apa yang dienkripsi dan apa yang belum; (b) langkah keamanan lain yang sudah berjalan (pembatasan akses menurut peran, autentikasi dua langkah, pencadangan, pencatatan rekam jejak audit, uji kerentanan). Kami hanya menuliskan langkah yang benar-benar berjalan — menuliskan yang belum ada akan membuat Anda menyatakan hal yang tidak benar kepada publik. Bila Anda memasarkan klaim "kami tidak dapat membaca data Anda", sampaikan juga bagaimana mekanismenya.
• Bila Anda mengetahui ada akun yang dimiliki anak di bawah batas usia Anda, apa yang Anda lakukan sekarang?
• Bila ada keputusan yang diambil sistem secara otomatis dan berdampak nyata bagi pengguna (mis. penolakan transaksi, penilaian risiko, pembatasan akun), sebutkan keputusan apa saja itu dan bagaimana pengguna dapat meminta peninjauan oleh manusia.
• Dalam berapa lama Anda dapat benar-benar menanggapi pengaduan pengguna? Sebutkan angka yang sanggup Anda penuhi, bukan angka yang terdengar baik.