I. Data Protection

a) Pengendali Data Pribadi

Platform XML Mobile beserta situs web xmltronik.com dimiliki dan dikelola sepenuhnya oleh PT Xtra Mendahulukan Layanan (selanjutnya disebut “Kami”). Dalam kedudukan ini, Kami bertindak sebagai Pengendali Data Pribadi yang bertanggung jawab menetapkan tujuan dan mengendalikan pemrosesan Data Pribadi.

b) Pengendali Mandiri

Demi menghadirkan kelancaran dan keamanan fitur pembayaran elektronik terintegrasi, platform Kami terhubung secara resmi melalui Standar Nasional Open API Pembayaran (selanjutnya disebut “SNAP”) dengan pihak ketiga yang bertindak sebagai Penyedia Jasa Pembayaran Kategori 1 yang terdaftar dan diawasi langsung oleh Bank Indonesia (selanjutnya disebut “Pihak Mitra”).

c) Data Protection Officer

Untuk setiap pertanyaan, keluhan, atau pelaksanaan hak pemenuhan data pribadi, Anda dapat menghubungi Pejabat Pelindungan Data (selanjutnya disebut “DPO”) Kami melalui:

PT Xtra Mendahulukan Layanan
legalbusiness@xmltronik.com
Perum Sidanegara Indah Blok 14 No. 526 RT 004/RW 018, Kel. Sidanegara, Kec. Cilacap Tengah, Kab. Cilacap, 53223 Jawa Tengah, Indonesia.

II. Subjek Data Pribadi

a) Batasan Usia

Layanan XML Mobile hanya ditujukan bagi individu yang telah berusia minimal 18 (delapan belas) tahun atau telah cakap menurut hukum di Indonesia (selanjutnya disebut “Batas Usia”). Pengguna yang berada di bawah Batas Usia wajib mendapatkan persetujuan dan pendampingan penuh dari orang tua atau wali yang sah sebelum menggunakan layanan.

Dengan mengakses, mendaftar, mengunjungi, mengunduh dan menggunakan layanan XML Mobile, Anda menyatakan telah memenuhi kualifikasi Batas Usia tersebut atau telah memperoleh persetujuan yang sah dari orang tua/wali, serta setuju untuk membebaskan Kami dari segala bentuk tuntutan, klaim, gugatan, atau tanggung jawab hukum yang timbul akibat ketidakbenaran pernyataan tersebut.

Apabila Anda mengetahui adanya pelanggaran terhadap ketentuan Batas Usia ini pada sistem Kami, mohon segera hubungi DPO agar data terkait dapat segera dihapus.

b) Kedudukan Anda

Anda adalah individu yang mengakses, mendaftar, mengunjungi, mengunduh dan menggunakan layanan XML Mobile yang merupakan pemilik sah atas data pribadinya, yang dalam ketentuan peraturan perundang-undangan disebut sebagai Subjek Data Pribadi (selanjutnya disebut “Pengguna”).

Dengan menggunakan Layanan Kami, Pengguna menyatakan telah memenuhi seluruh persyaratan hukum yang diperlukan dan sepakat untuk tunduk serta patuh terhadap Kebijakan Privasi ini.

c) Hak Pengguna

Pengguna memiliki hak mutlak untuk mengajukan keberatan atau menolak pemrosesan Data Pribadi kapan saja dengan mengirimkan pemberitahuan tertulis melalui email resmi kepada DPO. Atas pengajuan tersebut, DPO akan segera mengambil tindakan konkrit demi kenyamanan Anda, kecuali terdapat alasan sah secara hukum yang mewajibkan Kami melanjutkan pemrosesan, atau demi kepentingan penyelesaian klaim hukum. Pengguna Layanan Kami memiliki hak-hak yang diatur sesuai dengan hukum yang berlaku yaitu:

1. Berhak mendapatkan informasi tentang penggunaan Data Pribadi;
2. Berhak untuk memperbaiki kesalahan dan/atau ketidakakuratan Data Pribadi;
3. Berhak atas akses dan memperoleh salinan Data Pribadi;
4. Berhak untuk mengakhiri pemrosesan, menghapus, dan/atau memusnahkan Data Pribadi tentang dirinya sesuai dengan ketentuan peraturan perundang-undangan;
5. Berhak menarik kembali persetujuan pemrosesan Data Pribadi;
6. Berhak untuk mengajukan keberatan pada pemrosesan secara otomatis, termasuk pemrofilan, yang menimbulkan dampak signifikan pada Subjek Data Pribadi;
7. Berhak menunda atau membatasi pemrosesan Data Pribadi secara proporsional;
8. Berhak mendapatkan dan/atau menggunakan Data Pribadi;
9. Berhak menggunakan dan mengirimkan Data Pribadi tentang dirinya ke Pengendali Data Pribadi lainnya, sepanjang sistem yang digunakan dapat saling berkomunikasi secara aman sesuai dengan prinsip Perlindungan Data Pribadi; dan/atau
10. Hak-hak lainnya yang diatur sesuai dengan hukum yang berlaku.

III. Upaya Pelindungan Data Pribadi

A. Komitmen Keamanan Infrastruktur

Infrastruktur Kami

Kami menerapkan standar keamanan teknis untuk melindungi Data Pribadi yang berada dalam penguasaan, kendali, maupun sistem elektronik Kami (selanjutnya disebut “Data Pada Infrastruktur Kami”). Namun, Pengguna memahami bahwa transmisi informasi melalui jaringan internet tidak dapat dijamin sepenuhnya bebas dari risiko eksternal di luar kendali wajar Kami. Oleh karena itu, Kami mengimbau Pengguna untuk senantiasa memperbarui dan menjaga kerahasiaan kata sandi akun secara berkala demi memperkuat proteksi berlapis.

Infrastruktur Mitra

Dalam menyelenggarakan fitur pembayaran elektronik, data transaksi tertentu akan diteruskan dan diproses pada sistem elektronik yang dikelola secara independen oleh Pihak Mitra (selanjutnya disebut “Data Pada Infrastruktur Mitra”). Pengguna memahami dan menyepakati bahwa pemeliharaan, keamanan dan tata kelola pemrosesan Data Pribadi di dalam Infrastruktur Mitra tunduk pada Kebijakan Privasi terpisah yang dikeluarkan oleh pihak Mitra (selanjutnya disebut “Kebijakan Privasi Mitra”). Pengguna disarankan membaca dan memahami setiap Kebijakan Privasi Mitra berikut dengan perubahannya dari waktu ke waktu. Oleh karena itu, Kami dibebaskan dari segala bentuk kerugian, klaim, atau tanggung jawab hukum yang timbul akibat kegagalan sistem, kelalaian operasional, atau Kegagalan Pelindungan Data Pribadi yang terjadi murni di dalam lingkup Infrastruktur Mitra.

Infrastruktur Mandiri Pengguna

Setiap Data Pribadi dan informasi yang disimpan, diproses, atau dikelola pada perangkat keras, jaringan internet pribadi, maupun media penyimpanan mandiri yang berada dalam penguasaan Pengguna (selanjutnya disebut “Data Pada Infrastruktur Mandiri Pengguna”), berada sepenuhnya di bawah kendali dan tanggung jawab Pengguna. Kami tidak bertanggung jawab atas Kegagalan Pelindungan Data Pribadi yang disebabkan oleh lemahnya proteksi pada Infrastruktur Mandiri Pengguna tersebut.

B. Pembatasan Tanggung Jawab

Keamanan akun XML Mobile juga bergantung pada kepatuhan Pengguna dalam menjaga kerahasiaan data akses pribadinya. Kami dan Pihak Mitra dibebaskan dari segala bentuk kerugian, tuntutan, gugatan, atau tanggung jawab hukum yang timbul akibat kelalaian Pengguna dalam menjaga keamanan informasi akun (termasuk namun tidak terbatas pada kebocoran User ID, kata sandi, One-Time Password (OTP), atau PIN transaksi yang dilakukan oleh Pengguna kepada pihak ketiga), yang memicu terjadinya Kegagalan Pelindungan Data Pribadi.

C. Kegagalan Pelindungan

Mekanisme Pemberitahuan dan Pelaporan

Dalam hal Kami maupun Pihak Mitra mendeteksi adanya aktivitas mencurigakan atau indikasi terjadinya Kegagalan Pelindungan Data Pribadi pada Infrastruktur Kami maupun Infrastruktur Mitra, Kami berkomitmen untuk berkoordinasi dan menyampaikan pemberitahuan tertulis secara patut kepada Pengguna sesuai dengan jangka waktu yang diamanatkan oleh Hukum yang Berlaku. Sebaliknya, apabila Pengguna mencurigai, menemukan, atau mengetahui adanya indikasi kebocoran Data Pribadi atau pelanggaran privasi pada Layanan Kami, Pengguna wajib segera mengajukan laporan tertulis kepada DPO.

Prosedur Penanganan Keluhan

Kami akan segera menanggapi, memeriksa, dan menindaklanjuti setiap laporan yang diajukan oleh Pengguna berdasarkan Kebijakan Privasi ini dan Hukum yang Berlaku, melalui langkah-langkah sebagai berikut:

• Identifikasi dan Verifikasi — Melakukan investigasi mendalam terhadap setiap kronologi dan bukti keluhan yang disampaikan oleh Pengguna;
• Komunikasi Transparan — Memberikan informasi, pembaruan status pemeriksaan, dan tanggapan resmi atas keluhan yang diajukan; dan/atau
• Upaya Pemulihan — Melakukan tindakan teknis dan organisasional yang diperlukan sebagai upaya mitigasi, penanganan, atau pemulihan atas dampak insiden yang dilaporkan.

Batasan Tanggung Jawab Insiden

Kami hanya bertanggung jawab atas kerugian langsung yang dialami oleh Pengguna apabila kerugian tersebut terbukti secara sah disebabkan oleh kelalaian berat (gross negligence) atau tindakan kesengajaan murni dari pihak Kami dalam mengelola Infrastruktur Kami.

Di luar ketentuan tersebut, termasuk namun tidak terbatas pada insiden yang timbul akibat kelalaian Pengguna sendiri, gangguan jaringan massal, atau kegagalan pada Infrastruktur Mitra, Pengguna sepakat untuk membebaskan Kami dari segala bentuk tuntutan, klaim, ganti rugi, gugatan, atau tindakan hukum lainnya yang berkaitan dengan insiden tersebut.

IV. Perolehan Data

A. Dasar Pengumpulan Data

Kami hanya melakukan pengumpulan, penyimpanan, penggunaan, dan pemrosesan Data Pribadi Pengguna berdasarkan dasar hukum yang sah dan diakui secara yuridis menurut ketentuan peraturan perundang-undangan yang berlaku di Indonesia. Adapun dasar hukum yang menjadi landasan Kami meliputi:

1. Persetujuan Anda — Kami mengumpulkan dan memproses Data Pribadi berdasarkan persetujuan yang diberikan secara sadar, tegas dan sukarela oleh Pengguna pada saat melakukan registrasi akun, mengaktifkan fitur tertentu, atau memberikan akses perangkat pada aplikasi XML Mobile maupun situs web xmltronik.com. Dengan tetap menggunakan XML Mobile setelah dilakukannya pembaruan versi Kebijakan Privasi ini, Anda terikat pada Kebijakan Privasi baru yang Kami tetapkan (selanjutnya disebut “Persetujuan Terekam”);
2. Pemenuhan Kewajiban Kontraktual — Pengumpulan Data Pribadi dilakukan demi memenuhi kewajiban hukum dalam rangka pelaksanaan perjanjian, penyediaan layanan transaksi produk digital, transfer dana, pemrosesan pembayaran, serta rekonsiliasi data transaksi yang Pengguna instruksikan melalui platform XML Mobile. Tanpa data ini, layanan yang Anda minta tidak dapat diselenggarakan secara patut;
3. Pemenuhan Kewajiban Hukum — Kami mengumpulkan data tertentu guna mematuhi perintah perundang-undangan dan regulasi yang mengikat perusahaan Kami, termasuk namun tidak terbatas pada kepatuhan terhadap prinsip Know Your Customer (“KYC”), peraturan sektor moneter dan jasa pembayaran dari Bank Indonesia, serta ketentuan hukum mengenai Penerapan Program Anti Pencucian Uang dan Pencegahan Pendanaan Terorisme (“APU-PPT”);
4. Pemenuhan Kepentingan yang Sah — Pengumpulan Data didasarkan pada kepentingan yang sah secara hukum oleh Kami selaku Pengendali Data maupun pihak ketiga yang bekerja sama dengan Kami (seperti Pihak Mitra). Kepentingan yang sah ini mencakup namun tidak terbatas pada:
   • Mendeteksi, mencegah, dan mengatasi tindakan penipuan (fraud), pencurian saldo, atau aktivitas ilegal lainnya di dalam sistem;
   • Memelihara, menguji dan meningkatkan keamanan serta kinerja tata kelola Infrastruktur Kami; dan
   • Melakukan analisis internal demi pengembangan kualitas layanan transaksi pada ekosistem XML Mobile.

B. Keabsahan Data

Dengan menyerahkan atau mengizinkan pengumpulan Data Pribadi kepada Kami, Pengguna menjamin bahwa seluruh data yang Kami terima adalah akurat, valid, mutakhir dan diperoleh melalui cara yang sah serta tidak bertentangan dengan ketentuan peraturan perundang-undangan yang berlaku (“Sah Secara Hukum”).

Apabila Data Pribadi diserahkan oleh pihak ketiga atau perwakilan yang ditunjuk, maka pihak yang menyerahkan data tersebut dengan ini menyatakan dan menjamin bahwa dirinya telah memiliki dasar hukum yang sah, termasuk persetujuan dari pemilik Data Pribadi, serta bertanggung jawab penuh atas keabsahan informasi tersebut di hadapan hukum.

C. Saat Pengumpulan Data

Kami memperoleh dan mengumpulkan Data Pribadi yang diserahkan dan/atau diizinkan untuk digunakan secara sukarela oleh Pengguna kepada Kami saat:

1. Anda mengajukan permohonan layanan, fasilitas transaksi, atau registrasi akun XML Mobile, baik dengan mengisi formulir digital, melengkapi data permohonan melalui situs web xmltronik.com, aplikasi XML Mobile, maupun media lainnya yang disediakan oleh Kami;
2. Anda melakukan pendaftaran sebagai mitra, agen, reseller, atau vendor XML Mobile;
3. Anda melakukan pengkinian (update) data secara mandiri melalui sarana yang disediakan di dalam platform XML Mobile;
4. Anda melakukan transaksi produk digital, transfer, pembayaran, atau pengisian ulang (top up) melalui layanan dan fitur yang tersedia pada aplikasi XML Mobile;
5. Anda melakukan komunikasi dan interaksi dengan Kami, antara lain pada saat Anda menghubungi layanan pelanggan (Customer Service/Helpdesk), menjawab pertanyaan, menyampaikan keluhan, memberikan informasi atau masukan, atau berpartisipasi dalam program promosi, survei, maupun kegiatan yang diselenggarakan oleh XML Mobile;
6. Anda dan/atau perwakilan resmi Anda melakukan transaksi dengan atau melalui sarana elektronik yang disediakan oleh XML Mobile;
7. Melalui aplikasi, platform, media sosial resmi XML Mobile yang Anda gunakan/akses, atau melalui forum komunitas online XML Mobile yang Anda ikuti;
8. Dari perangkat keras (device) yang Anda gunakan pada saat mengakses situs web xmltronik.com atau aplikasi yang disediakan oleh XML Mobile maupun pihak ketiga yang bekerja sama dengan Kami;
9. Ketika Anda dan/atau perwakilan Anda mengunjungi kantor Kami dan lokasi fisik lainnya yang berkaitan dengan XML Mobile;
10. Dari alat pemroses atau pengolah data visual yang terdapat di kantor operasional, kantor pusat, dan lokasi fisik lainnya yang berkaitan dengan XML Mobile (seperti: Rekaman Kamera Pengawas/CCTV); dan/atau
11. Dari pihak terafiliasi XML Mobile, entitas induk/anak perusahaan, atau mitra penyedia jasa pembayaran (termasuk namun tidak terbatas pada Pihak Mitra) yang terintegrasi dengan sistem Kami.

D. Jenis Data Dikumpulkan

Data Pribadi yang Kami kumpulkan meliputi Data Pribadi yang bersifat spesifik dan Data Pribadi yang bersifat umum.

Data Pribadi Yang Bersifat Umum

Merupakan Data Pribadi yang keabsahannya bersifat terbuka dan dapat dikombinasikan untuk mengidentifikasi Pengguna secara wajar, mencakup:

1. Data Identitas Dasar — Nama lengkap, nama pengguna, jenis kelamin, serta foto profil Pengguna (jika disediakan).
2. Data Kontak — Alamat surat elektronik (email), nomor telepon seluler (HP) yang aktif, dan alamat domisili atau pengiriman.
3. Data Autentikasi Sistem dan Identifikasi Perangkat — Informasi log masuk, termasuk User ID, alamat Internet Protocol (IP), data log aktivitas digital, serta metrik teknis perangkat keras Pengguna. Apabila Pengguna menggunakan aplikasi Android XML Mobile, Kami dapat mengumpulkan dan mencatat informasi spesifik dari perangkat Pengguna, meliputi:
   1. Identifikasi unik perangkat (unique device identifier) baik yang bersifat menetap maupun tidak menetap (persistent/non-persistent);
   2. Jenis, tipe, merek, serta seri perangkat keras (hardware) yang Pengguna gunakan;
   3. Media Access Control (MAC) address dan International Mobile Equipment Identity (IMEI);
   4. Versi sistem operasi (Operating System/OS) beserta nama teknis perangkat Pengguna; dan
   5. Alamat email aktif Pengguna serta lokasi aktual Pengguna berdasarkan alamat IP maupun triangulasi Base Transceiver Station (BTS).

Tujuan Pengumpulan dan Hak Pengaturan Perangkat

Pengumpulan informasi perangkat ini ditujukan semata-mata untuk membantu Kami mendeteksi dan mengatasi masalah kompatibilitas teknis aplikasi, mengoptimalkan stabilitas sistem pada perangkat Pengguna, serta sebagai instrumen mitigasi risiko untuk mencegah tindakan penipuan (fraud), pencucian uang, atau aktivitas ilegal lainnya di dalam ekosistem XML Mobile.

Kami berkomitmen untuk tidak membagikan informasi identitas perangkat ini kepada pihak ketiga mana pun tanpa adanya persetujuan sah dari Pengguna, kecuali diatur lain dalam Kebijakan Privasi ini. Jika Pengguna keberatan dan tidak ingin informasi perangkat ini dilacak atau digunakan, Pengguna dapat menonaktifkan izin terkait pada tingkat pengaturan privasi perangkat keras Pengguna, atau langsung menghapus (uninstall) aplikasi Android XML Mobile secara permanen dari perangkat Pengguna.

Data Pribadi Yang Bersifat Spesifik

Merupakan Data Pribadi yang memiliki karakteristik khusus, memerlukan tingkat proteksi lebih tinggi, dan berpotensi memberikan dampak yang signifikan bagi Pengguna jika terjadi kegagalan pelindungan, mencakup:

1. Data Keuangan dan Transaksi — Informasi rekening bank, nomor kartu atau akun pembayaran, riwayat transaksi finansial, detail pembelian produk digital, riwayat pengisian saldo (top up), dan mutasi saldo di dalam platform XML Mobile.
2. Data Verifikasi Identitas (KYC) — Dokumen identitas resmi yang diterbitkan pemerintah (seperti KTP/Paspor), nomor induk kependudukan, serta data verifikasi biometrik (seperti foto pemegang identitas/selfie) yang diperlukan khusus untuk pendaftaran akun terverifikasi melalui sistem terintegrasi.
3. Hak Akses Kamera — Apabila dibutuhkan untuk keperluan verifikasi keabsahan akun, aplikasi XML Mobile akan meminta persetujuan akses kamera pada perangkat keras Pengguna. Gambar atau foto identitas yang diambil melalui akses ini akan diunggah (upload) secara aman ke dalam peladen (server) Kami semata-mata agar Kami dapat melakukan pengecekan dan penyelarasan akun Pengguna. Kami menjamin bahwa:
   1. Hak akses kamera tidak akan digunakan untuk tujuan lain di luar proses verifikasi identitas (KYC) dan keperluan pemindaian kode (scan Barcode/QR Code) terkait transaksi di dalam aplikasi; dan
   2. Pengguna memiliki kendali penuh dan berhak untuk mencabut atau menonaktifkan izin akses kamera ini kapan saja melalui menu pengaturan pada perangkat keras mandiri milik Pengguna.
4. Data Geolokasi — Informasi mengenai lokasi geografis Pengguna secara aktual yang diperoleh melalui perangkat saat Pengguna mengaktifkan fitur berbasis lokasi pada aplikasi XML Mobile.

E. Mekanisme Cookie dan Data Lokasi

Cookie

Cookie atau Cookies merupakan file teks kecil yang mengidentifikasi komputer, tablet, atau smartphone Pengguna ke server Kami dan disimpan dalam peramban (browser) Internet Pengguna. Cookie memungkinkan Kami untuk mengenali alamat Internet Protocol (selanjutnya disebut “IP Address”) Pengguna serta melakukan pemantauan teknis demi peningkatan kualitas Layanan yang Kami berikan. Kami menginformasikan kepada Pengguna bahwa Cookie hanya Kami gunakan secara terbatas untuk kenyamanan dan optimalisasi pengalaman Pengguna dalam menggunakan Layanan Kami.

Data Lokasi

Selain Cookie, Kami juga mengambil data lokasi geografis aktual (Location) Pengguna jika diperlukan pada saat Pengguna pertama kali mengakses atau mengaktifkan fitur tertentu dalam Layanan Kami. Sistem elektronik atau peramban (browser) akan memicu notifikasi permintaan izin (pop-up permission) secara transparan untuk meminta Pengguna mengaktifkan fitur Location tersebut terlebih dahulu. Pengguna memiliki kebebasan penuh untuk menolak akses lokasi ini, dengan konsekuensi beberapa fitur berbasis wilayah pada platform XML Mobile mungkin tidak dapat berfungsi secara optimal.

F. Tautan ke Situs Pihak Ketiga

1. Layanan XML Mobile dan situs web xmltronik.com dapat berisi tautan ke situs atau aplikasi lain yang dikelola oleh pihak ketiga. Jika Pengguna mengklik tautan tersebut, Pengguna akan diarahkan ke situs pihak ketiga tersebut.
2. Pengguna memahami bahwa situs eksternal tersebut tidak dioperasikan oleh Kami. Oleh karena itu, Kami sangat menyarankan Pengguna untuk meninjau Kebijakan Privasi yang berlaku pada situs web pihak ketiga tersebut. Kami tidak memiliki kendali atas dan tidak bertanggung jawab atas konten, kebijakan privasi, perangkat pelindungan data, atau praktik dari situs atau layanan pihak ketiga mana pun.
3. Adapun tautan resmi pihak ketiga yang terintegrasi di dalam aplikasi yang Kami kelola meliputi:
   • xmltronik.otoreport.com dan reportsms.xmltronik.com yang merupakan situs resmi operasional Kami yang berfungsi untuk memfasilitasi Pengguna dalam mengecek berbagai macam laporan atau report transaksi digital yang dilakukan Pengguna; dan
   • android.otoreport.com yang merupakan situs milik mitra teknologi Kami (Exlusoft) yang digunakan terbatas untuk keperluan pemrosesan dan menampilkan banner promosi pada aplikasi XML Mobile.

V. Pemrosesan Data

A. Landasan Pemrosesan

Kami senantiasa mengutamakan dasar kepentingan yang sah (legitimate interest) dalam memproses setiap informasi yang mengidentifikasi Pengguna, baik secara tersendiri maupun dikombinasikan dengan informasi lainnya, melalui sistem elektronik maupun nonelektronik.

B. Rangkaian Tindakan Pemrosesan

Setelah Data Pribadi Pengguna berhasil dihimpun melalui saluran perolehan resmi, Kami melakukan serangkaian tindakan pemrosesan, meliputi:

1. Pengolahan dan Penganalisisan — Menyinkronkan, memvalidasi, dan merekonsiliasikan data untuk memastikan ketepatan instruksi transaksi produk digital serta keabsahan profil akun Pengguna.
2. Penyimpanan dan Pemeliharaan — Menempatkan Data Pribadi pada Infrastruktur Kami dengan standar enkripsi yang memadai untuk menjaga kerahasiaan dan integritas informasi dari potensi akses tidak sah.
3. Pengungkapan dan Pengiriman — Meneruskan data transaksi tertentu serta data verifikasi identitas (KYC) secara terbatas dan seketika (real-time) ke Infrastruktur Pihak Mitra demi penyelesaian transaksi finansial dan kepatuhan hukum transfer dana.
4. Penghapusan atau Pemusnahan — Mengeliminasi data dari sistem Kami apabila telah melewati masa retensi hukum atau berdasarkan permintaan penghapusan yang sah dari Pengguna, sepanjang tidak bertentangan dengan ketentuan hukum yang berlaku.

C. Tujuan Operasional Pemrosesan

Kami memproses Data Pribadi Pengguna secara terbatas dan spesifik untuk kebutuhan operasional sebagai berikut:

1. Penyelenggaraan dan Optimasi Layanan — Memproses registrasi akun, validasi data keuangan, eksekusi produk digital, transfer dana, serta memfasilitasi rekonsiliasi pembayaran pada platform XML Mobile.
2. Mitigasi Risiko dan Keamanan Ekosistem — Mendeteksi secara dini, mencegah, dan mengatasi aktivitas mencurigakan, tindakan penipuan, pencurian saldo, atau potensi serangan siber pada Infrastruktur Kami.
3. Kepatuhan Regulasi Sektor Finansial — Memenuhi kewajiban prinsip KYC, peraturan moneter dari Bank Indonesia, serta ketentuan program APU-PPT yang mengikat operasional Kami maupun Pihak Mitra.
4. Manajemen Pengaduan dan Keluhan — Menindaklanjuti laporan kendala teknis transaksi atau pengaduan masalah privasi yang diajukan Pengguna melalui DPO.

D. Batasan Yurisdiksi Kendali Sistem

Pengguna memahami dan menyepakati bahwa alur pemrosesan data dibatasi oleh batas kedaulatan kendali sistem yang terbagi atas:

1. Infrastruktur Kami — Pemrosesan data log masuk, kontak dan aktivitas utama di bawah kendali penuh Pengendali Data Pribadi.
2. Infrastruktur Mitra — Pemrosesan data keuangan, mutasi saldo, dan validasi akun terverifikasi yang dialihkan secara aman kepada Pihak Mitra dan diatur secara khusus dalam Kebijakan Privasi Mitra.
3. Infrastruktur Mandiri Pengguna — Penyimpanan data lokal, keamanan kata sandi, dan proteksi perangkat keras pribadi Pengguna yang berada sepenuhnya di luar kendali operasional Kami.

VI. Pengamanan, Retensi dan Pengungkapan Data

A. Perlindungan Sistem

1. Kami melindungi Data Pribadi Pengguna dengan menerapkan sistem keamanan berlapis standar industri, termasuk namun tidak terbatas pada penggunaan enkripsi Secure Socket Layer (selanjutnya disebut “SSL”) untuk transmisi data sensitif, pencadangan data (Data Backup) secara berkala, serta penerapan proteksi berbasis kerahasiaan (confidentiality-based data protection);
2. Seluruh Data Pribadi disimpan di dalam jaringan pribadi (private network) pada Infrastruktur Kami yang hanya dapat diakses melalui mekanisme autentikasi ketat dan otorisasi yang terbatas demi mencegah akses tidak sah, sesuai dengan prinsip kerahasiaan (confidentiality) dalam perlindungan Data Pribadi.
3. Kami menyimpan dan menjaga Data Pribadi Pengguna pada Infrastruktur Kami sesuai dengan tujuan pengumpulannya. Kami akan mengambil langkah-langkah teknis dan organisasional yang diperlukan untuk memastikan bahwa Data Pribadi tersebut tetap aman.

B. Retensi Data

1. Kami menyimpan Data Pribadi Pengguna selama hubungan hukum dan transaksional antara Pengguna dan XML Mobile masih berlangsung aktif.
2. Setelah akun Pengguna tidak lagi aktif, ditutup, atau hubungan hukum berakhir, Kami wajib menyimpan dan mempertahankan Data Pribadi Pengguna pada Infrastruktur Kami untuk jangka waktu minimal 5 (lima) tahun terhitung sejak berakhirnya hubungan hukum atau transaksi terakhir Pengguna.
3. Penetapan durasi retensi selama 5 (lima) tahun sebagaimana dimaksud pada ayat (2) dilakukan demi mematuhi kewajiban hukum yang diamanatkan oleh peraturan perundang-undangan di Indonesia, termasuk namun tidak terbatas pada regulasi sektor jasa pembayaran Bank Indonesia, ketentuan program APU-PPT, hukum perpajakan, serta pembuktian hukum apabila timbul sengketa di kemudian hari.

C. Pemusnahan Data

1. Kami akan melakukan penghapusan dan/atau pemusnahan Data Pribadi Pengguna dari Infrastruktur Kami apabila:
   1. Data Pribadi Pengguna tidak lagi diperlukan untuk memenuhi tujuan awal dari pengumpulan dan pemrosesannya;
   2. Penyimpanan tidak lagi diperlukan untuk tujuan kepatuhan terhadap hukum yang berlaku, regulasi moneter, atau audit keuangan;
   3. Dilakukan pengajuan atau permohonan penghapusan secara tertulis dan sah oleh Pengguna, dengan maksud dan identitas terverifikasi secara jelas; atau
   4. Karena alasan hukum lainnya sesuai dengan peraturan perundang-undangan yang berlaku serta kebijakan keamanan data dan privasi Kami.
2. Kami akan melakukan tindakan penghapusan dan/atau pemusnahan Data Pribadi Pengguna secara permanen dari sistem aktif Kami dalam jangka waktu paling lambat 1 (satu) tahun setelah berakhirnya masa retensi sebagaimana dimaksud dalam Bagian B (Retensi Data) dokumen ini, atau setelah terpenuhinya kondisi-kondisi kumulatif pada poin 1 Bagian ini. Namun, sepanjang tidak ada keberatan tertulis dari Pengguna, Kami tetap dapat menyimpan data non-pribadi (anonim/yang telah dide-identifikasi secara permanen) serta kontak bisnis untuk keperluan analisis statistik operasional internal Kami;
3. Sebagai Pengendali Data Pribadi, Kami akan memberitahukan konfirmasi pelaksanaan penghapusan dan/atau pemusnahan Data Pribadi tersebut kepada Pengguna;
4. Dengan dilaksanakannya penghapusan Data Pribadi Pengguna dalam Infrastruktur Kami atas dasar permintaan sah Pengguna, maka Pengguna dengan ini membebaskan Kami secara mutlak dari segala bentuk tanggung jawab hukum atas segala konsekuensi, kerugian, atau hilangnya akses transaksional yang timbul di kemudian hari terkait dengan data yang telah dihapus tersebut.

D. Penampilan, Pengumuman, Transfer, Penyebarluasan, atau Pengungkapan

Kami hanya akan membagi atau mengungkapkan Data Pribadi Pengguna kepada perusahaan-perusahaan yang terafiliasi dengan Kami, pihak berwenang seperti instansi pemerintah, mitra bisnis terpercaya Kami (termasuk Pihak Mitra), pemasok, maupun agen Kami dari waktu ke waktu dan di mana pun. Pengguna memahami dan memberikan persetujuan bahwa Kami dapat membagikan Data Pribadi Pengguna pada situasi-situasi tertentu seperti:

1. Melakukan pembelaan hukum, mitigasi risiko sengketa, atau menghadapi klaim, gugatan, serta tuntutan hukum apa pun;
2. Mematuhi peraturan perundang-undangan, proses peradilan, dan/atau perintah pengadilan yang sah dari pejabat penegak hukum atau instansi pemerintah yang berwenang;
3. Melakukan pemeriksaan internal, audit kepatuhan, atau penyelidikan atas indikasi tindakan penipuan, pencucian uang, atau kesalahan lainnya yang dipersyaratkan dalam rangka proses mematuhi hukum yang berlaku, atau untuk melindungi kepentingan sah Kami;
4. Kepada Pelanggan Kami yang berkaitan dengan pelaksanaan penjualan, penyediaan layanan, pengalihan operasional, atau pekerjaan lain baik sebagian ataupun seluruhnya dari kegiatan bisnis perusahaan Kami;
5. Untuk mempertahankan serta melindungi hak-hak hukum Kami, hak Pengguna Kami lainnya, atau pihak ketiga sesuai dengan kebijaksanaan Kami; dan/atau
6. Kondisi-kondisi darurat atau mendesak lainnya selama diperbolehkan oleh hukum.

VII. Lain-lain

A. Perubahan Pemberitahuan Privasi

1. Kami berhak untuk meninjau, mengubah, menambah, atau memperbarui ketentuan dalam Kebijakan Privasi ini dari waktu ke waktu atas kebijakan Kami sendiri, guna memastikan keselarasan dengan perkembangan Layanan XML Mobile, inovasi teknologi, serta perubahan peraturan perundang-undangan yang berlaku.
2. Setiap perubahan atau pembaruan atas Kebijakan Privasi ini akan Kami informasikan kepada Pengguna melalui notifikasi dalam aplikasi, situs web resmi, atau media komunikasi elektronik lainnya yang terdaftar pada sistem Kami sekurang-kurangnya 3 (tiga) hari kalender sebelum perubahan tersebut berlaku efektif.
3. Apabila Pengguna tetap mengakses atau menggunakan Layanan Kami setelah tanggal berlakunya perubahan tersebut, maka Pengguna dianggap telah membaca, memahami dan memberikan persetujuan yang sah terhadap seluruh perubahan dalam Kebijakan Privasi yang baru.

B. Bahasa dan Alih Bahasa

Kebijakan Privasi ini disusun, ditandatangani dan diterbitkan dalam bahasa Indonesia. Untuk mempermudah Pengguna dalam memahami, Kami tidak melarang pengalihan bahasa, namun setiap hasil terjemahan ke dalam bahasa lain disediakan semata-mata hanya untuk kemudahan referensi. Dalam hal terdapat perbedaan penafsiran, ketidaksesuaian, atau pertentangan makna antara teks asli berbahasa Indonesia dengan versi terjemahannya, maka versi bahasa Indonesia yang akan selalu berlaku, sah, mengikat secara hukum, dan menjadi acuan utama tanpa mengurangi keabsahan Kebijakan Privasi ini.

C. Hukum yang Berlaku dan Penyelesaian Sengketa

1. Kebijakan Privasi ini, termasuk penafsiran, pelaksanaan dan segala akibat hukum yang ditimbulkannya, diatur dan tunduk sepenuhnya pada hukum yang berlaku di bawah yurisdiksi Negara Kesatuan Republik Indonesia (selanjutnya disebut “Hukum yang Berlaku”);
2. Segala perselisihan, pertentangan, atau perbedaan pendapat yang timbul dari atau terkait dengan pelaksanaan Kebijakan Privasi ini akan diselesaikan terlebih dahulu secara musyawarah untuk mufakat dalam jangka waktu 30 (tiga puluh) hari kalender sejak timbulnya perselisihan; dan
3. Apabila penyelesaian secara musyawarah tidak mencapai mufakat, maka Kami dan Pengguna sepakat untuk menyelesaikan perselisihan tersebut melalui yurisdiksi kedudukan hukum yang sah dan eksklusif di Pengadilan Negeri tempat domisili hukum perusahaan Pengendali Data Pribadi XML Mobile berada.

D. Pemisahan atau Keterpisahan

Apabila terdapat suatu ketentuan atau bagian dari Kebijakan Privasi ini yang dinyatakan tidak sah, batal demi hukum, atau tidak dapat diberlakukan oleh pengadilan atau otoritas berwenang berdasarkan hukum yang berlaku, maka ketidakabsahan ketentuan tersebut tidak akan memengaruhi, cacat, atau membatalkan keabsahan ketentuan-ketentuan lainnya dalam Kebijakan Privasi ini. Ketentuan lainnya akan tetap berlaku penuh, sah, dan mengikat para pihak seolah-olah ketentuan yang tidak sah tersebut tidak pernah dicantumkan.

E. Hubungan Dokumen

Kebijakan Privasi ini merupakan satu kesatuan yang tidak terpisahkan dan melengkapi Syarat dan Ketentuan Layanan (selanjutnya disebut “S&K”) penggunaan platform XML Mobile. Dalam hal terjadi pertentangan khusus mengenai “mekanisme teknis pemrosesan dan pelindungan Data Pribadi” antara Kebijakan Privasi ini dengan Syarat dan Ketentuan, maka ketentuan di dalam Kebijakan Privasi ini yang akan diutamakan dan berlaku secara spesifik.