Kebijakan Privasi

Lyriot (“kami”) berkomitmen melindungi privasi Anda. Kebijakan ini menjelaskan bagaimana kami mengumpulkan, menggunakan, membagikan, dan melindungi data pribadi Anda, sesuai dengan Peraturan Perlindungan Data Umum (GDPR) dan hukum Prancis yang berlaku.

Kami mengumpulkan kategori data berikut:

• Data pendaftaran: nama lengkap, alamat email, kata sandi terenkripsi (bcrypt), kota, negara, jenis kelamin, tanggal lahir, nomor telepon (opsional).
• Data profil: foto profil (disimpan di Cloudflare R2), biografi, minat.
• Data aktivitas: acara yang Anda buat dan ikuti, pendaftaran daftar tunggu, komentar yang diterbitkan, reaksi, check-in dengan kode QR, pesan yang dipertukarkan (isi dan waktu), pertemanan, status baca pesan (tanda terima baca), pencapaian yang terbuka, rangkaian aktivitas, kode undangan, dan daftar orang yang diundang.
• Data gamifikasi: poin yang terkumpul menurut sumbernya, peringkat saat ini, riwayat papan peringkat, boost aktif beserta masa berlakunya, saldo dan riwayat dompet poin.
• Data pembayaran: riwayat transaksi (langganan, acara berbayar, boost), langganan aktif dan tanggal perpanjangan. Data bank dan kartu ditangani sepenuhnya oleh Stripe — kami tidak pernah menyimpannya.
• Data penyelenggara (Stripe Connect): untuk penyelenggara yang menerima pembayaran, Stripe mengumpulkan data verifikasi identitas secara langsung: identitas (nama, tanggal lahir, pindaian dokumen identitas), alamat pos lengkap, data bank (IBAN atau nomor rekening), dan bila berlaku informasi perusahaan (nama badan usaha, nomor pajak). Data ini tunduk pada kebijakan privasi Stripe.
• Data lokasi: koordinat GPS (lintang/bujur) yang dimasukkan saat membuat acara, untuk menampilkan peta dan memungkinkan pencarian berdasarkan kedekatan. Kami tidak pernah mengumpulkan lokasi Anda secara terus-menerus. Jika Anda sudah mengizinkan lokasi di perangkat Anda, posisi Anda, yang dibulatkan hingga sekitar sepuluh kilometer, juga digunakan untuk mengurutkan saran kota; posisi ini tidak disimpan di akun Anda.
• Data lamaran: CV, surat lamaran, dan alamat LinkedIn yang dikirim melalui /careers/apply dan disimpan di Cloudflare R2 (bucket “resumes”). Disimpan paling lama 2 tahun.
• Data kontak: nama, alamat email, dan isi pesan yang dikirim melalui formulir /contact.
• Data teknis: alamat IP, jenis peramban, halaman yang dikunjungi, tanggal dan waktu koneksi, pengenal sesi (NextAuth), token notifikasi push (Firebase).

Data Anda digunakan untuk:

• Menyediakan, menjalankan, dan menyempurnakan layanan kami
• Mengautentikasi Anda dan melindungi akun Anda (masuk dengan email dan kata sandi atau melalui Google OAuth)
• Menampilkan acara, profil, dan papan peringkat yang relevan bagi Anda
• Memproses pembayaran (langganan, acara berbayar, boost) melalui Stripe
• Menyalurkan dana kepada penyelenggara acara berbayar melalui Stripe Connect
• Mengirim notifikasi (email dengan Resend, push dengan Firebase)
• Memberikan poin secara otomatis setiap 15 menit melalui tugas terjadwal (cron)
• Menghitung dan memperbarui peringkat pengguna secara otomatis
• Membuat pengulangan acara berulang (mingguan, bulanan, dan seterusnya)
• Menagih dan meneruskan pembayaran acara kepada penyelenggara
• Menyetel ulang papan peringkat mingguan, bulanan, dan tahunan secara berkala
• Memeriksa syarat program undangan (pencegahan penyalahgunaan)
• Menampilkan status daring dan aktivitas terakhir Anda kepada teman-teman Anda
• Memungkinkan moderasi konten dan penanganan laporan
• Mencegah penipuan, penyalahgunaan, dan akun ganda
• Memenuhi kewajiban hukum dan akuntansi kami

Kami memproses data Anda berdasarkan dasar hukum berikut:

• Pelaksanaan perjanjian: untuk menyediakan layanan Lyriot yang Anda gunakan (akun, acara, pembayaran, pesan)
• Kepentingan sah: untuk menyempurnakan platform, mencegah penipuan, menjaga keamanan, menampilkan status daring, dan menjalankan papan peringkat
• Persetujuan: untuk notifikasi push (dapat ditarik kapan saja di pengaturan) dan untuk komunikasi komersial opsional
• Kewajiban hukum: untuk mematuhi peraturan yang berlaku, khususnya kewajiban akuntansi (penyimpanan 5 tahun) dan permintaan otoritas peradilan

Kami tidak pernah menjual data pribadi Anda. Kami hanya membagikannya kepada penyedia teknis kami, dan hanya sebatas yang diperlukan untuk menjalankan layanan:

• Stripe: pemrosesan pembayaran (langganan, acara berbayar, boost) dan pencairan kepada penyelenggara melalui Stripe Connect — kebijakan Stripe
• OVH: hosting basis data PostgreSQL (VPS, Prancis); Cloudflare R2: penyimpanan berkas (foto profil, CV)
• Resend: pengiriman email transaksional (konfirmasi pendaftaran, penyetelan ulang kata sandi, pemberitahuan acara)
• Mapbox: penampilan peta interaktif untuk lokasi acara dan pencarian berdasarkan kedekatan
• Photon (komoot) dan Nominatim (OpenStreetMap Foundation, data di Inggris dan Belanda): saran kota saat mengetik; Nominatim hanya digunakan jika Photon tidak merespons. Server kami hanya mengirimkan teks yang diketik dan, untuk Photon, posisi perkiraan: pusat negara Anda atau, jika Anda sudah mengizinkan lokasi, posisi Anda yang dibulatkan hingga sekitar sepuluh kilometer. Nama, alamat IP, dan akun Anda tidak pernah dikirimkan kepada mereka.
• Firebase (Google): pengiriman notifikasi push ke perangkat Anda (jika Anda mengaktifkannya)
• Google OAuth: jika Anda memilih masuk dengan Google, nama, email, dan foto profil Google Anda diteruskan ke Lyriot
• Otoritas yang berwenang: apabila diwajibkan oleh hukum, putusan pengadilan, atau pembelaan hak-hak sah kami

Sebagian penyedia berkedudukan di luar Uni Eropa (Firebase/Google, Stripe, di Amerika Serikat). Transfer ini dijamin oleh:

• Klausul Kontrak Baku yang disahkan Komisi Eropa
• Keputusan kecukupan perlindungan dari Komisi (misalnya EU–US Data Privacy Framework untuk Stripe dan Google)
• Jaminan yang memadai sebagaimana diatur dalam Pasal 46 GDPR

Kami menyimpan data Anda selama akun Anda aktif. Jika Anda menghapusnya, data dihapus dalam 30 hari, kecuali ada kewajiban hukum yang menghalangi:

• Data transaksi: 5 tahun (kewajiban akuntansi Prancis)
• Data lamaran (CV, surat): paling lama 2 tahun
• Log teknis: 12 bulan
• Riwayat moderasi dan sanksi: tanpa batas waktu (keamanan dan pencegahan penyalahgunaan)
• Pesan pribadi yang dihapus: metadata (tanggal, peserta) dapat tetap disimpan meskipun isinya telah dihapus

Berdasarkan GDPR, Anda memiliki hak-hak berikut:

• Hak akses: melihat data yang kami simpan tentang Anda
• Hak perbaikan: memperbaiki data Anda yang tidak akurat (langsung di Pengaturan atau dengan menghubungi kami)
• Hak penghapusan: menghapus akun Anda melalui Pengaturan → Zona sensitif (diproses dalam 30 hari)
• Hak portabilitas: memperoleh salinan data Anda dalam format terstruktur
• Hak keberatan: mengajukan keberatan atas pemrosesan tertentu (misalnya komunikasi komersial atau status daring)
• Hak pembatasan: meminta penghentian sementara pemrosesan dalam hal-hal tertentu
• Hak terkait keputusan otomatis: memperoleh informasi tentang pemrosesan otomatis (pemberian poin, penghitungan peringkat, verifikasi undangan) dan menggugat hasilnya

Untuk menggunakan hak-hak ini: formulir kontak. Anda juga dapat mengajukan pengaduan kepada CNIL.

Langkah teknis dan organisasi yang diterapkan:

• Enkripsi seluruh komunikasi saat transit (HTTPS/TLS)
• Kata sandi dienkripsi dengan bcrypt (tidak pernah disimpan dalam bentuk terbaca)
• Akses ke data dibatasi menurut prinsip hak seminimal mungkin
• Penyimpanan berkas yang aman di Cloudflare R2 (akses melalui URL bertanda tangan sementara)
• Perlindungan CSRF pada semua formulir (token NextAuth)
• Pencatatan tindakan administrasi
• Cadangan basis data secara berkala
• Jika terjadi pelanggaran data, pihak yang terdampak akan diberi tahu dalam 72 jam, sebagaimana diwajibkan GDPR

Kami menggunakan kuki teknis yang diperlukan agar platform berfungsi (sesi pengguna, perlindungan CSRF). Kami juga menggunakan penyimpanan lokal peramban Anda untuk mengingat preferensi Anda (tema terang atau gelap, mata uang tampilan, bahasa): data ini tidak pernah meninggalkan perangkat Anda. Selengkapnya, lihat kebijakan kuki kami.

Lyriot terbuka bagi orang berusia 15 tahun ke atas, sesuai Pasal 7-1 undang-undang perlindungan data Prancis. Di negara yang undang-undangnya menetapkan usia berbeda (misalnya 13 tahun di Amerika Serikat menurut COPPA, atau 16 tahun di sejumlah negara anggota Uni Eropa), berlaku usia yang lebih melindungi. Kami tidak dengan sengaja mengumpulkan data anak di bawah umur yang belum mencapai usia yang disyaratkan. Jika Anda menduga anak seperti itu telah membuat akun, segera hubungi kami.

Selain GDPR Eropa, Lyriot mematuhi ketentuan perlindungan data berikut sesuai negara tempat tinggal Anda:

• California (CCPA/CPRA): jika Anda tinggal di California, Anda memiliki hak tambahan berdasarkan California Consumer Privacy Act dan California Privacy Rights Act: hak untuk mengetahui data pribadi apa yang dikumpulkan, hak penghapusan, hak menolak penjualan data (kami tidak menjual data Anda), dan hak untuk tidak didiskriminasi karena menggunakan hak-hak tersebut. Tulis kepada kami di contact@lyriot.com untuk menggunakannya.
• Britania Raya (UK GDPR): kami mematuhi GDPR Britania pascabrexit. Otoritas pengawasnya adalah ICO (Information Commissioner's Office). Hak-hak Anda setara dengan hak-hak dalam GDPR Eropa.
• Brasil (LGPD): berdasarkan Lei Geral de Proteção de Dados Pessoais, Anda memiliki hak akses, perbaikan, penghapusan, portabilitas, dan keberatan. Otoritas yang berwenang adalah ANPD (Autoridade Nacional de Proteção de Dados).
• Kanada (PIPEDA + Undang-Undang 25): kami mematuhi Undang-Undang Perlindungan Informasi Pribadi dan Dokumen Elektronik (PIPEDA) serta, di Québec, Undang-Undang 25 (undang-undang pemutakhiran ketentuan perlindungan informasi pribadi). Otoritas: OPC (federal) dan CAI (Québec).
• Australia (Privacy Act 1988): kami mematuhi Undang-Undang Privasi Australia dan Australian Privacy Principles. Otoritas yang berwenang adalah OAIC (Office of the Australian Information Commissioner).
• Jepang (APPI): berdasarkan Undang-Undang Perlindungan Informasi Pribadi (個人情報の保護に関する法律), kami memenuhi kewajiban APPI. Otoritas yang berwenang adalah PPC (Personal Information Protection Commission / 個人情報保護委員会).
• Tiongkok (PIPL): berdasarkan Undang-Undang Perlindungan Informasi Pribadi (个人信息保护法), kami memproses data Anda menurut asas keabsahan, kepatutan, dan keperluan. Otoritas yang berwenang adalah CAC (Cyberspace Administration of China / 国家互联网信息办公室).
• Korea Selatan (PIPA): berdasarkan Undang-Undang Perlindungan Informasi Pribadi (개인정보 보호법), Anda memiliki hak akses, perbaikan, penghapusan, dan keberatan. Otoritas yang berwenang adalah PIPC (Personal Information Protection Commission / 개인정보보호위원회).
• India (DPDP Act 2023): berdasarkan Digital Personal Data Protection Act 2023, Anda berhak memperoleh informasi, memperbaiki, dan menghapus data pribadi digital Anda. Lembaga yang berwenang adalah Data Protection Board of India (sedang dibentuk oleh MeitY).
• Turki (KVKK): berdasarkan Undang-Undang Nomor 6698 tentang Perlindungan Data Pribadi (Kişisel Verilerin Korunması Kanunu), Anda memiliki hak akses, perbaikan, dan penghapusan. Otoritas yang berwenang adalah KVKK (Kişisel Verileri Koruma Kurumu).
• Indonesia (UU PDP): berdasarkan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, hak Anda mencakup akses, perbaikan, dan penghapusan. Lembaga yang berwenang adalah Kementerian Komunikasi dan Informatika.
• Thailand (PDPA): berdasarkan Personal Data Protection Act B.E. 2562 (2019), Anda memiliki hak akses, portabilitas, penghapusan, dan keberatan. Lembaga yang berwenang adalah PDPC (Personal Data Protection Committee).
• Arab Saudi (PDPL): berdasarkan Personal Data Protection Law (نظام حماية البيانات الشخصية), Anda memiliki hak akses dan perbaikan. Otoritas yang berwenang adalah SDAIA (Saudi Data and AI Authority / الهيئة السعودية للبيانات والذكاء الاصطناعي).

Otoritas pengawas per negara :

Kami dapat memperbarui kebijakan ini sewaktu-waktu. Jika terjadi perubahan mendasar, kami akan memberi tahu Anda melalui email atau notifikasi di platform. Melanjutkan penggunaan Lyriot setelah pemberitahuan tersebut berarti Anda menerima perubahan itu.

Kebijakan ini disusun dalam bahasa Prancis. Versi dalam bahasa lain merupakan terjemahan yang disediakan hanya sebagai informasi; jika terdapat perbedaan, hanya versi bahasa Prancis yang mengikat secara hukum.

Pengendali data: Lyriot, Prancis.

Untuk pertanyaan apa pun mengenai data pribadi Anda, untuk menggunakan hak-hak GDPR Anda (akses, perbaikan, penghapusan, portabilitas, keberatan, pembatasan), atau untuk pengaduan apa pun tentang pemrosesan data Anda: formulir kontak atau langsung ke contact@lyriot.com.

Anda juga dapat mengajukan pengaduan kepada otoritas pengawas yang berwenang: Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, 75007 Paris.