Kebijakan Privasi — WAOtomatis

Diterbitkan oleh PT. BalesOtomatis Teknologi Indonesia · Terakhir diperbarui: 16 Juni 2026

WAOtomatis (“Layanan”) adalah produk yang dimiliki dan dioperasikan oleh PT. BalesOtomatis Teknologi Indonesia (“Perusahaan”, “kami”), sebuah perseroan terbatas yang didirikan berdasarkan hukum Republik Indonesia. Kebijakan Privasi ini (“Kebijakan”) menjelaskan data pribadi apa yang kami kumpulkan, dasar dan tujuan pemrosesannya, dengan siapa kami membaginya, berapa lama kami menyimpannya, serta hak-hak kamu sebagai subjek data sesuai Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”).

Untuk data akun, identitas autentikasi, penagihan, dukungan, serta penggunaan dan data teknis Layanan, kami bertindak sebagai pengendali data pribadi (data controller). Sedangkan untuk konten pesan dan data pelanggan akhir (penerima pesan) yang kamu kirim atau terima melalui Layanan, kamu adalah pengendali dan kami bertindak sebagai prosesor data pribadi (data processor) yang memproses data tersebut atas instruksimu (lihat Bagian 1 dan 3). Kebijakan ini berlaku untuk dashboard, API, webhook, WebSocket, SDK, dan seluruh komponen Layanan. Dengan menggunakan Layanan, kamu menyatakan telah membaca dan memahami Kebijakan ini. Kebijakan ini berlaku efektif sejak 16 Juni 2026 (versi terakhir diperbarui pada tanggal tersebut).

1. Identitas pengendali & ruang lingkup

Pengendali data atas pemrosesan yang kami kendalikan adalah PT. BalesOtomatis Teknologi Indonesia. Kebijakan ini mencakup data pribadi yang kami proses dalam rangka menyediakan Layanan kepada kamu (“Pengguna” atau “kamu”). Perlu dicatat bahwa Layanan bersifat headless: untuk sebagian besar data pelanggan akhir (penerima pesan) yang kamu kirim atau terima melalui Layanan, kamu bertindak sebagai pengendali data dan kami bertindak sebagai prosesor data (data processor) yang memproses data tersebut atas instruksi kamu. Pembagian peran ini dijelaskan lebih lanjut pada Bagian 3.

2. Data pribadi yang kami kumpulkan

Kami hanya mengumpulkan data yang diperlukan untuk menjalankan Layanan. Berikut kategori data yang benar-benar kami proses:

a. Data akun & organisasi

Alamat email pemilik akun (diperoleh saat kamu mendaftar/masuk melalui Supabase).
Nama pemilik akun (opsional).
Nama organisasi dan nama tim yang kamu buat.
Alamat email dan nama (opsional) anggota tim yang kamu undang.
Role serta hak akses berbasis role (owner, admin, member, viewer) per organisasi dan tim.

Kami tidak menyimpan kata sandimu; autentikasi dan pengelolaan kata sandi sepenuhnya didelegasikan ke Supabase.

b. Kredensial & rahasia Layanan

Hash (SHA-256) dari API key — kunci asli (plaintext) tidak pernah kami simpan; hanya prefix (16 karakter pertama) yang disimpan untuk keperluan tampilan.
Token akses WhatsApp Cloud API (WABA) yang kamu hubungkan, disimpan dalam keadaan terenkripsi (AES-256-GCM).
Secret penanda-tangan webhook, disimpan terenkripsi (AES-256-GCM).
Kredensial penyimpanan pihakmu sendiri (endpoint, bucket, access key ID, secret key) bila kamu menggunakan opsi bring-your-own storage S3/R2, disimpan terenkripsi.

c. Data koneksi WhatsApp (WABA)

WABA ID, Business ID, phone number ID, dan nomor telepon WhatsApp (format E.164) yang kamu hubungkan.
Status sesi koneksi (pending, connecting, connected, disconnected, logged_out).

d. Konten & metadata pesan WhatsApp

Isi lengkap pesan WhatsApp masuk dan keluar (teks, dan referensi media seperti gambar, video, audio, dokumen), disimpan dalam payload.
Metadata pesan: arah (masuk/keluar), tipe, status, timestamp, dan ID pesan dari penyedia.
File media yang disimpan di Cloudflare R2 atau di bucket S3/R2 milikmu sendiri.

e. Data pelanggan akhir / penerima

Nomor telepon penerima (chatId, format E.164) untuk setiap pesan.
Nama kontak yang di-cache dari profil pengirim pesan WhatsApp masuk.

Kami secara tegas tidak menyimpan data CRM maupun label pesan di sisi kami.

f. Data pembayaran & penagihan

Detail langganan (paket, siklus, status, tanggal periode).
Faktur (jumlah, deskripsi, order ID Midtrans) dan pembayaran (transaction ID dan order ID Midtrans).
Alamat emailmu yang diteruskan ke Midtrans saat proses checkout untuk memproses pembayaran.

Kami tidak menyimpan nomor kartu atau detail instrumen pembayaranmu; data tersebut diproses langsung oleh Midtrans.

g. Data tiket dukungan

Subjek dan isi tiket dukungan beserta balasannya, serta email dan nama penulisnya.
Email pemberitahuan tiket yang dikirim kepada admin organisasi terkait.

h. Data teknis, penggunaan & log

Metrik penggunaan: jumlah pesan terkirim/diterima per sesi dan per organisasi.
Timestamp penggunaan terakhir API key (lastUsedAt).
Log pengiriman webhook (webhook deliveries), termasuk payload event yang dikirim ke URL webhook-mu beserta status pengirimannya. Untuk event pesan masuk, payload ini dapat memuat konten pesan.
Indeks metadata objek penyimpanan (tipe MIME, ukuran, jenis, penyedia, session ID).

Untuk transparansi: kami tidak mengumpulkan atau menyimpan alamat IP. Layanan hanya menggunakan request ID untuk korelasi log internal.

3. Sumber data & peran kamu

Sebagian data berasal langsung dari kamu (misalnya saat mendaftar, membuat organisasi, mengundang anggota, menghubungkan nomor WABA, atau membuka tiket dukungan). Sebagian lain dihasilkan secara otomatis saat kamu memakai Layanan (metrik penggunaan, status sesi, log pengiriman webhook).

Khusus untuk konten pesan dan data pelanggan akhir (nomor penerima, nama kontak, isi percakapan) yang mengalir melalui nomor WhatsApp yang kamu hubungkan: data ini berasal dari interaksi antara kamu dan pelanggan akhirmu. Atas data ini, kamu adalah pengendali data dan kami memproses data tersebut sebagai prosesor atas instruksimu. Karena itu, kamu bertanggung jawab memiliki dasar pemrosesan yang sah (mis. persetujuan pelanggan akhir) dan menyampaikan pemberitahuan privasi yang sesuai kepada pelanggan akhirmu. Bila pelanggan akhirmu termasuk anak (di bawah 18 tahun), kamu bertanggung jawab memperoleh persetujuan dari orang tua atau walinya sebagaimana diatur Pasal 25 UU PDP. Saat terjadi pesan masuk, konten dapat diteruskan melalui webhook ke URL yang kamu tentukan; pengelolaan data di sistem tujuan tersebut menjadi tanggung jawabmu.

4. Dasar & tujuan pemrosesan

Sesuai Pasal 20 UU PDP, setiap pemrosesan kami sandarkan pada dasar pemrosesan (legal basis) berikut:

Pelaksanaan kontrak — memproses data akun, koneksi WABA, pesan, dan penggunaan untuk menyediakan, mengoperasikan, dan memelihara Layanan sesuai Syarat Layanan.
Kewajiban hukum — menyimpan catatan penagihan dan transaksi sebagaimana diwajibkan peraturan perpajakan dan keuangan.
Kepentingan yang sah — mengamankan Layanan, mencegah penyalahgunaan dan penipuan, menegakkan kuota dan rate limit, mengukur penggunaan untuk penagihan, serta memberikan dukungan teknis. Untuk pemrosesan yang berlandaskan kepentingan yang sah, kami menimbangnya terhadap hak dan kebebasanmu sebagai subjek data, dan kamu dapat menggunakan hak keberatan (Bagian 10) terhadap pemrosesan semacam itu.
Persetujuan — untuk pemrosesan tertentu yang membutuhkan persetujuanmu; kamu dapat menarik persetujuan kapan saja sebagaimana dijelaskan pada Bagian 10.

5. Cookies, sesi & teknologi pelacakan

Kami berusaha jujur soal teknologi penyimpanan di sisi peramban. Berdasarkan implementasi Layanan saat ini:

Sesi autentikasi — dashboard menggunakan Supabase untuk autentikasi dengan sesi yang dipertahankan (persistSession) dan token yang disegarkan otomatis. Sesi ini disimpan oleh pustaka klien Supabase di penyimpanan peramban (mis. localStorage). Penyimpanan ini bersifat esensial agar kamu tetap masuk.
Penyimpanan lokal aplikasi — dashboard menyimpan ID organisasi aktif di localStorage (wao_active_org) dan menyimpan sementara API key yang baru dibuat di sessionStorage (wao_new_key).
Aset pihak ketiga — dashboard dan halaman landing memuat Google Fonts dari googleapis.com dan gstatic.com; dokumentasi memuat aset Scalar dari cdn.jsdelivr.net. Saat kamu memulai penyambungan nomor WhatsApp melalui Meta Embedded Signup, dashboard memuat Facebook SDK dari connect.facebook.net (hanya pada saat itu).
Tanpa analitik & pelacakan — kami tidak menggunakan Google Analytics, Meta Pixel, Plausible, Hotjar, Mixpanel, Segment, atau pixel pelacakan lainnya, dan kami tidak menampilkan banner persetujuan cookie karena tidak ada cookie pelacakan iklan/analitik yang kami pasang.

6. Berbagi data & sub-prosesor

Kami tidak menjual data pribadimu. Untuk menjalankan Layanan, kami berbagi data secukupnya dengan sub-prosesor berikut, masing-masing sesuai tujuannya:

Meta Platforms (WhatsApp Business Platform / Cloud API) — penyedia utama pengiriman dan penerimaan pesan WhatsApp. Memproses konten pesan (teks, media, kontak), pembaruan status pesan, dan payload webhook.
Cloudflare — infrastruktur inti Layanan: komputasi (Workers), penyimpanan media (R2), antrean dan mekanisme percobaan ulang webhook (Queue), hub WebSocket realtime (Durable Objects), state sementara (KV), dan connection pooling database (Hyperdrive) di jaringan edge global.
Supabase — autentikasi dan identitas pengguna (login dashboard, verifikasi JWT). Data yang dibagi mencakup ID pengguna, email, dan token JWT.
Midtrans (anak perusahaan GoTo) — pemrosesan pembayaran. Data yang dibagi mencakup order ID, jumlah transaksi, email dan nama pelanggan, rincian item, serta status transaksi/fraud.
Resend — layanan pengiriman email transaksional. Resend mengirim notifikasi tiket dukungan dan juga menjadi saluran pengiriman email autentikasi yang berasal dari Supabase (mis. konfirmasi pendaftaran dan kode OTP saat masuk). Untuk email autentikasi, pengiriman ini berlaku bagi seluruh Pengguna saat pendaftaran/masuk dan bukan bersifat opsional. Data yang dibagi mencakup email penerima, subjek, isi pesan (termasuk kode OTP untuk email autentikasi), reply-to, dan header threading.

Selain itu, bila kamu mengonfigurasi penyimpanan milikmu sendiri (S3 atau R2), media akan disimpan pada bucket yang kamu kelola, dan pengelolaan data pada penyimpanan tersebut menjadi tanggung jawabmu.

7. Transfer data lintas negara

Sebagian sub-prosesor kami beroperasi di luar wilayah Indonesia, sehingga sebagian data pribadi dapat ditransfer dan diproses lintas negara, antara lain:

Konten pesan WhatsApp diproses oleh Meta, yang umumnya memproses di Amerika Serikat (endpoint graph.facebook.com).
Data autentikasi (ID pengguna, email) diproses oleh Supabase pada infrastruktur AWS ap-southeast-1 (Singapura).
Email transaksional dan email autentikasi (berisi alamat emailmu dan, untuk autentikasi, kode OTP) diproses oleh Resend, yang umumnya beroperasi di Amerika Serikat.
Infrastruktur Cloudflare bersifat global (edge), sehingga pemrosesan dapat terjadi di berbagai lokasi.
Pembayaran melalui Midtrans diproses di Indonesia.

Sesuai Pasal 56 UU PDP, kami hanya melakukan transfer data pribadi ke luar wilayah Indonesia apabila terpenuhi salah satu dari ketentuan berikut: (a) negara tujuan memiliki tingkat pelindungan data pribadi yang setara atau lebih tinggi daripada yang diatur UU PDP; atau (b) terdapat pelindungan yang memadai dan mengikat, yang dalam praktik kami penuhi melalui perjanjian pemrosesan data (data processing agreement) dan ketentuan kontraktual yang mengikat dengan masing-masing sub-prosesor; atau (c) terdapat persetujuan darimu sebagai subjek data. Untuk transfer di atas, kami mengandalkan terutama dasar (b), yaitu ketentuan kontraktual yang mengikat dengan Meta, Supabase, Cloudflare, dan Resend. Transfer hanya dilakukan apabila salah satu kondisi Pasal 56 tersebut terpenuhi.

8. Retensi & penghapusan

Kami menyimpan data hanya selama diperlukan untuk tujuan pemrosesan. Perilaku retensi yang berlaku saat ini:

Riwayat pesan dihapus otomatis berdasarkan jendela retensi sesuai paketmu melalui cron harian: paket Free 30 hari, Starter 90 hari, serta Pro dan Business 365 hari. Pesan yang lebih lama dari jendela tersebut dihapus dari basis data.
Token akses sesi dihapus saat kamu memutuskan koneksi nomor (status diubah menjadi disconnected dan token terenkripsi dikosongkan).
Log pengiriman webhook saat ini disimpan tanpa batas waktu dan dapat memuat payload event, termasuk — untuk event pesan masuk — konten pesan. Penghapusan otomatis log ini belum diberlakukan; lihat catatan keterbatasan di bawah.
Data akun, organisasi, langganan, tiket dukungan, dan indeks objek penyimpanan disimpan selama akunmu aktif. Setelah penutupan akun, kami menghapus data ini dalam jangka waktu yang wajar setelah permintaan penutupan kami proses, kecuali data yang wajib kami simpan untuk memenuhi kewajiban hukum.
Catatan keuangan (faktur dan pembayaran) disimpan sesuai jangka waktu yang diwajibkan peraturan perpajakan dan keuangan Indonesia, yaitu paling sedikit 10 (sepuluh) tahun, meskipun akun telah ditutup.

Sebagai transparansi mengenai keterbatasan saat ini: penghapusan otomatis untuk log pengiriman webhook dan media yang terindeks belum diberlakukan (penghapusan media saat ini dilakukan secara manual), bucket media Cloudflare R2 belum memiliki kebijakan lifecycle terdokumentasi, dan endpoint penghapusan organisasi maupun penghapusan akun secara mandiri belum tersedia di Layanan. Kami memandang hal ini sebagai keterbatasan yang diketahui dan berkomitmen untuk menambahkan penghapusan otomatis berbasis jendela retensi serta mekanisme penghapusan akun/organisasi. Sementara itu, bila kamu ingin menghapus organisasi, akun, log webhook, atau media, ajukan permintaan melalui fitur tiket dukungan di dashboard atau melalui email privasi pada Bagian 14, dan kami akan memprosesnya secara manual.

9. Keamanan data

Kami menerapkan langkah teknis dan organisasi yang wajar untuk melindungi data. Kontrol yang benar-benar diterapkan mencakup:

Enkripsi rahasia saat tersimpan (AES-256-GCM) untuk token akses WABA, secret webhook, dan kredensial penyimpanan milikmu.
Penyimpanan API key dalam bentuk hash (SHA-256); kunci asli tidak pernah disimpan.
Kontrol akses berbasis role (RBAC) dengan empat role (owner, admin, member, viewer) dan penegakan izin terpusat per organisasi/tim, serta cakupan API key per organisasi, tim, atau sesi.
Verifikasi tanda tangan webhook menggunakan HMAC-SHA256 dengan perbandingan waktu-konstan, baik untuk webhook masuk dari Meta (x-hub-signature-256) maupun webhook keluar yang kami tandatangani.
Rate limiting per API key untuk membatasi penyalahgunaan.
Pendelegasian penanganan kata sandi sepenuhnya ke Supabase.

Untuk keandalan pengiriman (bukan sebagai kontrol keamanan data), pengiriman webhook keluar dijalankan melalui antrean dengan percobaan ulang dan dead-letter queue.

Kami tidak dapat menjamin keamanan absolut. Sebagai catatan kejujuran, pencatatan audit (audit log) atas peristiwa akses belum diimplementasikan. Tidak ada sistem yang sepenuhnya bebas risiko, dan kamu turut berperan menjaga keamanan kredensial serta API key-mu.

10. Hak kamu sebagai subjek data

Sesuai UU PDP, kamu memiliki hak-hak berikut atas data pribadimu:

Hak akses — memperoleh informasi dan salinan data pribadimu.
Hak koreksi — memperbaiki data yang tidak akurat atau tidak lengkap.
Hak penghapusan — meminta penghapusan data pribadimu sepanjang tidak bertentangan dengan kewajiban hukum kami.
Hak penarikan persetujuan — menarik persetujuan untuk pemrosesan yang berlandaskan persetujuan.
Hak keberatan — mengajukan keberatan atas pemrosesan tertentu, termasuk pemrosesan yang berlandaskan kepentingan yang sah (Bagian 4).
Hak portabilitas — memperoleh data akunmu dalam format yang dapat dibaca mesin; atas permintaan, kami menyediakan ekspor data akunmu dalam format JSON atau CSV.
Hak mengajukan keberatan/pengaduan dan menuntut ganti rugi — sesuai Pasal 12 UU PDP, kamu berhak mengajukan pengaduan kepada lembaga pelindungan data pribadi (otoritas pengawas) dan menuntut ganti rugi bila kamu menilai hak-hakmu dilanggar.

Sebagian hak dapat kamu jalankan langsung melalui dashboard (mis. koreksi data akun serta pengelolaan anggota dan tim). Untuk hak yang belum tersedia secara mandiri — termasuk penghapusan akun atau organisasi serta ekspor data — ajukan permintaan melalui fitur tiket dukungan di dashboard atau melalui email privasi pada Bagian 14, dan kami akan memprosesnya secara manual. Kami akan mengonfirmasi penerimaan permintaanmu paling lambat 3x24 jam dan menyelesaikannya paling lambat 14 (empat belas) hari kerja sejak permintaan diterima, kecuali peraturan menetapkan jangka waktu lain. Untuk data pelanggan akhir di mana kamu bertindak sebagai pengendali, permintaan dari pelanggan akhir hendaknya diajukan kepada kamu sebagai pengendalinya.

11. Data anak

Layanan ditujukan untuk pengembang dan pelaku usaha. Layanan tidak diperuntukkan bagi individu di bawah usia 18 tahun, dan kami tidak dengan sengaja mengumpulkan data pribadi anak untuk akun Layanan. Sesuai Pasal 25 UU PDP, pemrosesan data pribadi anak memerlukan persetujuan orang tua atau wali. Sepanjang kamu (sebagai pengendali) memproses data anak melalui Layanan — misalnya konten percakapan dengan pelanggan akhir yang merupakan anak — kamu bertanggung jawab memperoleh persetujuan orang tua atau wali tersebut, sebagaimana pembagian peran pada Bagian 3. Bila kamu meyakini ada data anak yang terkumpul tanpa dasar yang sah, hubungi kami melalui kanal pada Bagian 14 agar dapat kami tindak lanjuti.

12. Notifikasi kegagalan pelindungan data (breach)

Bila terjadi kegagalan pelindungan data pribadi yang berdampak pada data pribadimu, sesuai Pasal 46 UU PDP kami akan menyampaikan pemberitahuan tertulis kepadamu sebagai subjek data dan kepada lembaga pelindungan data pribadi paling lambat 3x24 jam sejak kegagalan pelindungan diketahui. Pemberitahuan tersebut akan memuat data pribadi yang terdampak, kapan dan bagaimana kegagalan terjadi, serta langkah penanganan dan pemulihan yang kami ambil. Dalam hal kegagalan pelindungan data mengganggu pelayanan publik atau berdampak serius pada kepentingan masyarakat, pemberitahuan juga dapat kami sampaikan kepada publik sesuai Pasal 46 ayat (3) UU PDP.

13. Perubahan kebijakan

Kami dapat memperbarui Kebijakan ini sewaktu-waktu. Perubahan material akan diberitahukan melalui dashboard atau email. Penggunaan Layanan setelah perubahan berlaku berarti kamu menerima Kebijakan yang diperbarui. Tanggal berlaku efektif Kebijakan ini tercantum pada bagian awal.

14. Kontak & petugas pelindungan data

Pengendali data adalah PT. BalesOtomatis Teknologi Indonesia. Untuk pertanyaan, permintaan terkait hak subjek data, atau hal lain mengenai privasi, kamu dapat menghubungi Petugas Pelindungan Data Pribadi (Data Protection Officer) kami melalui email privacy@waotomatis.com atau melalui alamat surat resmi Perusahaan di Indonesia. Jika kamu memiliki akses ke dashboard, kamu juga dapat mengajukan permintaan melalui fitur tiket dukungan di dashboard. Bagi subjek data yang tidak (atau tidak lagi) memiliki akses ke akun dashboard — termasuk pelanggan akhir/penerima pesan dan mantan anggota tim — permintaan dapat diajukan langsung melalui email privacy@waotomatis.com dengan menyertakan informasi yang memadai agar kami dapat memverifikasi identitasmu dan menindaklanjuti permintaan.