Kebijakan Privasi

1Siapa kami dan peran kami

Zekaa adalah platform untuk lembaga zakat yang dikembangkan dan dioperasikan oleh PT Dari Rumah Pertama ("kami"). Peran kami berbeda menurut tempat data itu diolah:

• Situs zekaa.id dan pesan yang Anda kirim kepada kami: kami adalah pengendali data.
• Platform Zekaa (etalase donasi dan console lembaga): lembaga adalah pengendali data donatur, mitra, Fundraiser, dan petugasnya. Kami memprosesnya atas nama lembaga sesuai perjanjian dengan lembaga tersebut.

Bila Anda donatur, kebijakan yang berlaku untuk data Anda adalah kebijakan privasi lembaga tempat Anda berdonasi. Bagian 3 sampai 9 menjelaskan cara platform yang kami jalankan atas nama lembaga mengolah data itu.

2Situs zekaa.id

Situs ini tidak memasang cookie dan tidak memakai alat analitik atau iklan pihak ketiga. Situs juga tidak punya formulir, sehingga data Anda baru sampai kepada kami bila Anda menghubungi kami lewat WhatsApp atau email.

• Situs disajikan lewat Cloudflare. Seperti layanan web pada umumnya, Cloudflare mencatat data teknis permintaan, misalnya alamat IP dan jenis peramban, untuk keamanan dan keandalan layanan.
• Saat Anda menghubungi kami lewat WhatsApp atau email, kami menerima nama, nomor atau alamat email, dan isi pesan Anda. Data itu kami pakai hanya untuk menjawab dan menindaklanjuti permintaan Anda, misalnya menjadwalkan demo.

3Data yang diolah platform

Atas nama lembaga, platform mengolah data berikut:

• Donatur: nama, email, nomor telepon, persetujuan untuk dihubungi, riwayat donasi, catatan atau doa yang ditulis saat berdonasi, dan foto bukti transfer yang diunggah. Bila donatur membuat akun etalase, juga kata sandi (tersimpan dalam bentuk hash), serta alamat IP dan jenis peramban untuk sesi masuknya.
• Petugas lembaga: nama, email, kata sandi (tersimpan dalam bentuk hash), cabang, dan peran.
• Mitra: nama lembaga, alamat, nomor telepon, dan narahubung.
• Fundraiser: nama, email, nomor telepon, dan foto identitas yang diunggah untuk verifikasi.
• Penerima donasi atas nama orang lain: nama dan kontak petugas, mitra, atau Fundraiser yang menerima donasi tunai.

Platform tidak meminta NIK, NPWP, tanggal lahir, atau alamat donatur.

4Untuk apa kami memproses data

Kami memproses data di platform hanya untuk menjalankan layanan sesuai instruksi lembaga. Kami tidak menjual data dan tidak memakai data donatur untuk kepentingan kami sendiri, termasuk untuk pemasaran Zekaa. Pemrosesan itu meliputi:

• Mencatat donasi, membuat instrumen bayar, dan memastikan pembayaran.
• Menghitung Hak Amil, Hak Program, bagian mitra, dan kafalah Fundraiser.
• Menerbitkan kwitansi dan mengirim email kepada donatur atas nama lembaga, misalnya saat donasi diterima dan saat klaim pembayaran selesai diperiksa.
• Menjaga keamanan akun, mencegah penyalahgunaan, dan mencatat jejak perubahan di console.
• Membantu lembaga menghubungi donatur yang bersedia dihubungi.

5Cookie dan penyimpanan peramban

Etalase donasi dan console memakai cookie yang dibutuhkan agar layanan berjalan:

• Cookie sesi masuk dan pembaruan sesi untuk akun donatur dan petugas, ditambah token pengaman formulir (CSRF).
• Pengenal pengunjung acak, berlaku satu tahun, agar satu orang tidak mengaminkan doa yang sama dua kali. Pengenal ini tidak memakai alamat IP.
• Penanda kampanye, berlaku tujuh hari, yang dijelaskan di bagian 6.

Bila donatur memilih agar isiannya diingat, halaman donasi menyimpan nama, nomor WhatsApp, dan email di peramban donatur itu sendiri. Etalase dan console tidak memuat skrip iklan atau analitik pihak ketiga.

6Penanda kampanye

Bila donatur datang dari tautan kampanye, etalase mencatat penandanya pada donasi, yaitu parameter UTM dan penanda klik iklan seperti fbclid dan gclid. Lembaga memakainya untuk mengetahui kampanye mana yang membawa donasi.

Penanda ini dihapus dari donasi 7 hari setelah dicatat dan saat ini tidak dikirim ke platform iklan mana pun.

7Pihak lain yang menerima data

Subpemroses yang kami pilih untuk menjalankan platform:

• Penyimpanan berkas untuk foto bukti transfer dan dokumen. Bukti transfer selalu disimpan privat.
• Pengiriman email untuk email kepada donatur dan petugas.
• Pemantauan operasional untuk catatan galat dan metrik layanan. Alamat email dan nomor panjang disamarkan sebelum catatan dikirim.

Kami mewajibkan subpemroses menjaga kerahasiaan dan keamanan data setara dengan kewajiban kami kepada lembaga. Sebagian subpemroses dapat memproses data di luar Indonesia.

Penyedia yang dipilih dan dikontrak lembaga sendiri:

• Gateway pembayaran (Midtrans atau DOKU). Gateway menerima data yang dibutuhkan untuk pembayaran, termasuk nama, email, dan nomor telepon donatur untuk DOKU.
• Penyedia mutasi bank (Moota atau mutasibank), yang mengirim data mutasi rekening lembaga.
• Google, Facebook, atau Apple, bila lembaga mengaktifkan masuk dengan akun tersebut di etalasenya.

Pemrosesan data oleh penyedia ini diatur antara lembaga dan penyedia tersebut. Lembaga yang memasang Zekaa di servernya sendiri juga memilih subpemrosesnya sendiri.

8Keamanan dan kebocoran data

• Kata sandi disimpan dalam bentuk hash bcrypt.
• Kredensial gateway pembayaran, login pihak ketiga, dan penyedia mutasi bank disimpan terenkripsi AES-256.
• Cookie sesi tidak dapat dibaca skrip halaman (httpOnly) dan hanya dikirim lewat koneksi aman.
• Data setiap lembaga terpisah dari data lembaga lain, dan perubahan penting di console tercatat dengan nama petugas dan waktunya.

Bila kami mengetahui kebocoran data di platform, kami memberi tahu lembaga yang terdampak tanpa penundaan dan menyertakan informasi yang kami ketahui. Dengan begitu lembaga dapat memenuhi kewajibannya memberi tahu donatur dan otoritas dalam 3×24 jam sesuai UU PDP.

9Berapa lama data disimpan

Sebagai pengendali, lembaga menentukan masa simpan data donaturnya. Perilaku sistem saat ini:

• Catatan donasi dan pembayaran disimpan selama lembaga memakai Zekaa, karena menjadi bagian catatan keuangan lembaga.
• Penanda kampanye dihapus 7 hari setelah dicatat. Catatan pemberitahuan dari penyedia mutasi bank dihapus setelah 30 hari.
• Lembaga dapat menganonimkan donatur. Anonimisasi menghapus identitas dari data donatur dan akun etalasenya. Salinan nama pada catatan donasi yang sudah terjadi dan foto bukti transfer tetap tersimpan sebagai bagian catatan keuangan lembaga.
• Penyimpanan dan penghapusan data setelah kerja sama dengan lembaga berakhir diatur dalam perjanjian dengan lembaga tersebut.

10Hak Anda

Sesuai Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, Anda berhak mendapat informasi, mengakses, memperbaiki, dan meminta penghapusan data pribadi Anda, serta menarik persetujuan yang pernah Anda berikan.

• Donatur, mitra, dan Fundraiser menghubungi lembaga yang bersangkutan, karena lembaga adalah pengendali datanya. Kami membantu lembaga memenuhi permintaan itu.
• Pengunjung situs dan siapa pun yang pernah menghubungi kami dapat menghubungi kami langsung di [email protected].

11Perubahan kebijakan

Kami dapat memperbarui kebijakan ini. Tanggal berlaku di bagian atas halaman menunjukkan versi yang sedang berlaku. Perubahan yang menyangkut lembaga yang sudah memakai Zekaa kami sampaikan kepada lembaga tersebut.

12Hubungi kami