Kebijakan Privasi

Versi 2.0 · Terakhir diperbarui: 16 Juni 2026 · Berlaku efektif: 16 Juni 2026
Menggantikan seluruh versi sebelumnya. Riwayat versi tersedia atas permintaan ke [email protected].

Ringkasan singkat: auth.my.id adalah layanan Single Sign-On (OAuth2) yang mengautentikasi Anda untuk berbagai aplikasi pihak ketiga. Kami hanya menyimpan data yang diperlukan untuk memberikan layanan ini (akun, kredensial ter-hash, token OAuth, log aktivitas). Kami tidak menjual data Anda. Anda dapat menghapus akun dan seluruh data terkait kapan saja.

📑 Daftar Isi

Pendahuluan & Cakupan
Definisi
Data yang Kami Kumpulkan
Cara Kami Mengumpulkan Data
Dasar Hukum Pemrosesan
Tujuan Penggunaan Data
Otentikasi OAuth & WebAuthn
Cookies & Teknologi Pelacakan
Layanan Pihak Ketiga
Penyimpanan & Enkripsi
Periode Retensi Data
Keamanan Data
Notifikasi Pelanggaran Data
Hak-Hak Anda (UU PDP, GDPR, CCPA)
Cara Menggunakan Hak Anda
Transfer Data Internasional
Privasi Anak
Perubahan Kebijakan
Identitas Pengendali Data & Kontak
Otoritas Pengawas

1. Pendahuluan & Cakupan

auth.my.id ("kami", "kita") dioperasikan oleh perorangan Arif Puji Nugroho dan menyediakan layanan Single Sign-On (SSO) berbasis protokol OAuth 2.0, OpenID Connect, serta dukungan passwordless via WebAuthn. Kebijakan Privasi ini menjelaskan secara rinci bagaimana kami mengumpulkan, menggunakan, menyimpan, membagikan, dan melindungi informasi pribadi Anda saat Anda:

Mengunjungi situs web auth.my.id;
Mendaftar, masuk, atau mengelola akun di auth.my.id;
Menggunakan auth.my.id sebagai Identity Provider (IdP) untuk masuk ke aplikasi pihak ketiga; atau
Berinteraksi dengan fitur bot Telegram, QR login, PIN, atau fitur lain yang kami sediakan.

Dengan mengakses atau menggunakan Layanan, Anda menyetujui praktik yang dijelaskan dalam kebijakan ini. Jika Anda tidak setuju, mohon jangan gunakan Layanan.

Kebijakan ini dirancang untuk mematuhi:

Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP) Republik Indonesia;
General Data Protection Regulation (GDPR) Uni Eropa — untuk pengguna di kawasan EEA;
California Consumer Privacy Act (CCPA) — untuk pengguna di California, Amerika Serikat;
Peraturan privasi relevan lainnya di yurisdiksi tempat kami beroperasi.

2. Definisi

Istilah	Arti
Data Pribadi	Informasi apa pun yang berkaitan dengan individu teridentifikasi atau dapat diidentifikasi, termasuk email, nama, foto, alamat IP, dan pengidentifikasi unik lainnya.
Pemrosesan	Operasi apa pun yang dilakukan pada Data Pribadi (pengumpulan, perekaman, penyimpanan, penggunaan, pengungkapan, penghapusan).
Pengendali Data	Entitas yang menentukan tujuan dan cara pemrosesan Data Pribadi. auth.my.id adalah Pengendali Data untuk data akun Anda.
Pemroses Data	Pihak ketiga yang memproses Data Pribadi atas nama Pengendali Data (mis. penyedia hosting, OAuth provider).
Subjek Data	Anda — individu yang Data Pribadinya diproses.
IdP (Identity Provider)	Layanan yang mengautentikasi pengguna dan mengeluarkan token untuk aplikasi pihak ketiga. auth.my.id berperan sebagai IdP.
Relying Party (RP)	Aplikasi pihak ketiga yang menerima token dari auth.my.id untuk memverifikasi identitas Anda.
WebAuthn	Standar W3C untuk autentikasi passwordless (sidik jari, Face ID, kunci keamanan). Kunci privat tetap berada di perangkat Anda — server hanya menyimpan kunci publik.

3. Data yang Kami Kumpulkan

3.1 Data Akun (diberikan langsung oleh Anda)

Jenis Data	Contoh	Wajib?	Tujuan
Nama Lengkap	Andi Saputra	✅ Ya	Identitas di profil, ditampilkan ke aplikasi yang Anda masuki
Alamat Email	[email protected]	✅ Ya	Login, verifikasi, notifikasi, pemulihan akun
Username	andi.saputra	⚪ Opsional	Pengenal alternatif selain email
Kata Sandi	(di-hash bcrypt/argon2, tidak pernah disimpan plain-text)	✅ Ya	Otentikasi
Foto Profil	avatar.jpg / .png / .svg	⚪ Opsional	Identitas visual di profil & aplikasi
Data Biometrik (WebAuthn)	Sidik jari / Face ID — disimpan hanya di perangkat Anda	⚪ Opsional	Login tanpa kata sandi

Kami TIDAK meminta: nomor telepon, KTP, kartu kredit, rekening bank, alamat rumah, tanggal lahir, atau informasi sensitif lainnya.

3.2 Data OAuth (ketika Anda login via pihak ketiga)

Saat Anda masuk menggunakan provider eksternal, kami menerima data berikut sesuai cakupan yang Anda setujui di layar consent provider:

Provider	Data yang kami terima
Google, Yahoo, Microsoft, Yandex, Zoho, Infomaniak	Email, nama, foto profil (sesuai scope `openid email profile`)
GitHub, GitLab	Email (jika dipublikasikan), username, nama, foto
Discord, Reddit, Line, Telegram, Foursquare, Strava, Coursera, Notion, Netlify	Email (jika tersedia), username, nama, foto

Kami tidak mem-posting, mengirim pesan, atau melakukan aksi atas nama Anda di provider tersebut. Kami hanya menerima token akses & profil dasar untuk memverifikasi identitas Anda.

3.3 Data Teknis (dikumpulkan otomatis)

Jenis Data	Sumber	Disimpan?
Alamat IP	Setiap permintaan HTTP	✅ 30 hari (log), atau sampai akun dihapus (log akun)
User-Agent	Header HTTP browser/klien	✅ 30 hari
URL Referrer	Header HTTP	✅ 30 hari
Timestamp aktivitas	Server	✅ Sesuai retensi (lihat §11)
Device fingerprint (WebAuthn)	Cookie `IdentificationDevice`	✅ 30 hari

3.4 Data Log Aktivitas & Log Akun

Sistem kami secara otomatis mencatat log untuk operasional, keamanan, dan audit:

log_data — metadata perubahan data (field yang diubah, waktu, ID user);
log_activities — aktivitas pengguna (login, logout, ganti password, dll);
log_accounts — akun yang pernah Anda masuki via OAuth;
log_oauths — token OAuth yang diterbitkan & aplikasi yang mengaksesnya.

3.5 Data Komunikasi

Jika Anda menghubungi kami via email ([email protected]) atau Telegram bot dukungan, kami menyimpan isi komunikasi tersebut selama maksimal 2 tahun setelah tiket ditutup untuk keperluan dukungan & audit.

3.6 Data yang Secara Eksplisit TIDAK Kami Kumpulkan

❌ Data lokasi presisi (GPS, koordinat)
❌ Data biometrik mentah (hanya hash publik WebAuthn — lihat §7)
❌ Data sensitif: ras, agama, orientasi seksual, kesehatan, politik
❌ Riwayat penjelajahan di situs web lain
❌ Konten file yang Anda upload (foto profil hanya disimpan jika Anda unggah)
❌ Informasi pembayaran (layanan ini gratis)

4. Cara Kami Mengumpulkan Data

4.1 Langsung dari Anda

Saat Anda mendaftar, login, mengunggah foto profil, mendaftarkan WebAuthn, mengubah pengaturan, atau menghubungi dukungan.

4.2 Secara Otomatis

Log server, log OAuth, dan log aktivitas dikumpulkan otomatis oleh infrastruktur kami selama operasi normal.

4.3 Dari Pihak Ketiga (OAuth Providers)

Saat Anda memilih login via Google/GitHub/dll, kami menerima data profil sesuai scope yang Anda setujui. Tanggung jawab privasi data di provider tersebut berada pada masing-masing provider — bukan pada kami.

5. Dasar Hukum Pemrosesan

Dasar Hukum (UU PDP/GDPR)	Jenis Data	Tujuan
Kontrak / Persetujuan Eksplisit	Email, nama, password hash, kredensial WebAuthn publik	Menyediakan layanan autentikasi
Kepentingan Sah	Log server, log OAuth, log aktivitas	Keamanan, deteksi penyalahgunaan, audit
Persetujuan	Cookies analitik (Google Analytics), foto profil	Statistik penggunaan, personalisasi
Kewajiban Hukum	Data yang relevan dengan permintaan aparat	Mematuhi hukum yang berlaku

6. Tujuan Penggunaan Data

Kami menggunakan Data Pribadi Anda eksklusif untuk:

Menyediakan layanan autentikasi (login, OAuth token issuance, WebAuthn assertion);
Mengelola akun Anda (profil, preferensi bahasa, pemulihan kata sandi);
Meneruskan identitas Anda ke aplikasi pihak ketiga (Relying Party) yang Anda izinkan;
Verifikasi email, notifikasi keamanan, dan komunikasi layanan;
Deteksi & pencegahan penyalahgunaan, brute-force, credential stuffing, dan serangan siber;
Audit & compliance (kapan token diterbitkan, ke aplikasi mana, scope apa);
Perbaikan layanan berbasis metrik agregat (tanpa identitas perorangan).

Komitmen: Kami TIDAK PERNAH menjual Data Pribadi Anda. Tidak kepada pengiklan, broker data, atau pihak ketiga mana pun. Model bisnis kami tidak bergantung pada penjualan data.

7. Otentikasi OAuth & WebAuthn

7.1 OAuth 2.0 & OpenID Connect

auth.my.id bertindak sebagai Authorization Server (Laravel Passport). Saat aplikasi pihak ketiga meminta Anda login:

Anda diarahkan ke auth.my.id dan memilih metode login;
Anda memasukkan kredensial dan menyetujui scope yang diminta aplikasi;
Setelah berhasil, auth.my.id mengembalikan authorization code ke aplikasi;
Aplikasi menukar code dengan access token & refresh token.

Token OAuth disimpan terenkripsi (Laravel Passport) dan otomatis kedaluwarsa sesuai konfigurasi. Anda dapat mencabut token aplikasi kapan saja dari dashboard akun Anda.

7.2 Social Login — Daftar Provider

Saat ini auth.my.id mendukung login via:

Google, Yahoo, Microsoft, Yandex, GitHub, GitLab, Discord, Reddit, Line, Telegram, Notion, Netlify, Zoho, Infomaniak, Coursera, Strava, Foursquare.

Setiap provider memiliki kebijakan privasi sendiri. Anda disarankan untuk meninjaunya sebelum menggunakan provider tersebut.

7.3 WebAuthn (Login Biometrik / Passwordless)

⚠️ Penting tentang data biometrik: Data biometrik Anda (sidik jari, Face ID, pattern device) TIDAK PERNAH dikirim ke server kami atau pihak mana pun. Standar WebAuthn menjamin kunci privat tetap berada di authenticator perangkat Anda (TPM / Secure Enclave). Server kami hanya menyimpan public key credential yang tidak dapat dikonversi kembali menjadi data biometrik.

7.4 QR Login & PIN

Fitur QR Login menggunakan token sekali pakai (one-time token) yang kedaluwarsa dalam 5 menit. Fitur PIN menggunakan PIN 6-digit lokal yang di-hash (bcrypt/argon2) — hanya Anda yang mengetahui PIN asli.

8. Cookies & Teknologi Pelacakan

8.1 Cookies yang Kami Gunakan

Cookie / Storage	Tipe	Durasi	Tujuan
`XSRF-TOKEN`	Esensial	Sesi	Proteksi CSRF (Laravel default)
`auth_session`	Esensial	Sesi / 2 jam	Menjaga Anda tetap login
`IdentificationDevice`	Esensial	30 hari	WebAuthn device binding
`remember_web_*`	Preferensi	5 tahun	Fitur "Ingat saya"
`_ga, _ga_*`	Analitik	2 tahun	Google Analytics — lihat §8.3
`cf_clearance`	Esensial	30 hari	Cloudflare Turnstile / Bot Management

8.2 Teknologi yang TIDAK Kami Gunakan

❌ Cookie iklan / retargeting
❌ Facebook Pixel, LinkedIn Insight, atau pixel pihak ketiga lainnya
❌ Fingerprinting browser / device (selain device fingerprint minimal untuk WebAuthn)
❌ Cross-site tracking

8.3 Google Analytics

Kami menggunakan Google Analytics 4 (ID: G-YBLSZC8EJR) untuk mengukur trafik anonim: halaman yang dikunjungi, durasi sesi, perkiraan geolokasi (tingkat negara/kota), jenis perangkat. Data ini digunakan untuk memperbaiki layanan.

Anda dapat opt-out dengan:

Menginstal Google Analytics Opt-out Browser Add-on;
Mengaktifkan Do Not Track di browser Anda;
Menggunakan browser yang memblokir tracker pihak ketiga (Firefox, Brave, Safari dengan ITP).

8.4 Google reCAPTCHA (Opsional)

Pada lingkungan produksi, halaman login & registrasi dapat menggunakan Google reCAPTCHA v3 untuk mitigasi bot. reCAPTCHA mengumpulkan data perilaku (mouse movement, interaksi) dan mengirimkannya ke Google. Kami tidak menerima isi data tersebut, hanya skor risiko (0.0–1.0).

9. Layanan Pihak Ketiga (Sub-prosesor)

Berikut adalah daftar pihak ketiga yang menangani Data Pribadi atas nama kami:

Penyedia	Fungsi	Data yang Dibagikan	Lokasi Server
Laravel Passport (self-hosted)	OAuth2 / OIDC server	Token, client_id, scope	Server kami sendiri (lihat §10)
MySQL / MariaDB (self-hosted)	Database	Akun, log, OAuth metadata	Server kami sendiri
Cloudflare	DNS, CDN, DDoS protection, Turnstile	Alamat IP, User-Agent	Global edge
Google Analytics	Analitik trafik anonim	Perilaku anonim di situs	Global
Google reCAPTCHA (opsional)	Anti-bot	Skor risiko	Global
Google, Yahoo, Microsoft, Yandex, GitHub, GitLab, Discord, Reddit, Line, Telegram, Notion, Netlify, Zoho, Infomaniak, Coursera, Strava, Foursquare	Social login (IdP upstream)	Profil publik (email, nama, foto sesuai scope)	Per provider
Pusher	Realtime websocket notifikasi	Event notifikasi (tanpa isi pesan)	Global (region configurable)
Telegram Bot API	Bot interaksi (opsional)	Telegram user ID, chat ID, pesan yang Anda kirim ke bot	Global (Telegram)

Kami akan memberitahu Anda melalui email minimal 14 hari sebelum menambahkan atau mengganti sub-prosesor material.

10. Penyimpanan & Enkripsi

10.1 Lokasi Server

Server aplikasi dan database auth.my.id berlokasi di wilayah Asia-Pasifik (sesuai informasi di arif.id). Untuk transfer data lintas-region, lihat §16.

10.2 Enkripsi

Enkripsi in-transit: TLS 1.3 (minimum TLS 1.2) untuk semua koneksi HTTPS.
Enkripsi at-rest: Database dienkripsi menggunakan LUKS / disk-level encryption pada server.
Password hashing: Laravel default bcrypt (cost 12) atau argon2id — password tidak pernah disimpan plain-text.
OAuth token: Disimpan terenkripsi (Laravel Passport) di database; tidak pernah di-log plain-text.
API key OAuth client: Di-hash sebelum disimpan; hanya ditampilkan sekali saat pembuatan.

11. Periode Retensi Data

Jenis Data	Periode Retensi	Kebijakan Penghapusan
Data Akun (email, nama, password hash)	Selama akun aktif	Dihapus permanen dalam 30 hari setelah akun dihapus
Foto Profil	Selama akun aktif	Dihapus bersamaan dengan akun
Kredensial WebAuthn publik	Selama akun aktif	Dihapus ketika Anda unregister device
OAuth Access Token & Refresh Token	Sesuai TTL (default 1 tahun, refresh sliding)	Dihapus otomatis saat kedaluwarsa / revoke
Log OAuth (log_oauths)	90 hari	Rolling window otomatis
Log Akun (log_accounts)	1 tahun	Rolling window otomatis
Log Aktivitas (log_activities)	90 hari	Rolling window otomatis
Log Data (log_data)	180 hari	Rolling window otomatis
Log Server (IP, User-Agent)	30 hari	Rotasi log otomatis
Email dukungan	2 tahun	Dihapus 2 tahun setelah tiket ditutup
Data Analytics (Google Analytics)	14 bulan (default GA4)	Otomatis oleh Google

12. Keamanan Data

Kami menerapkan langkah-langkah keamanan teknis dan organisasional untuk melindungi Data Pribadi Anda:

✅ TLS 1.3 untuk semua koneksi
✅ Password hashing (bcrypt/argon2)
✅ Disk encryption at-rest (LUKS)
✅ Firewall — hanya port 80/443 terbuka ke publik
✅ SSH key-only access (tidak ada login password ke server)
✅ Pembaruan keamanan otomatis (unattended-upgrades)
✅ WebAuthn sebagai opsi passwordless (anti-phishing)
✅ Rate limiting pada endpoint login & token (Laravel throttle)
✅ Audit log untuk aktivitas sensitif
✅ Cloudflare DDoS protection & bot management

Meskipun kami menerapkan langkah-langkah di atas, tidak ada metode transmisi atau penyimpanan elektronik yang 100% aman. Kami tidak dapat menjamin keamanan absolut.

13. Notifikasi Pelanggaran Data

Dalam hal terjadi pelanggaran data yang melibatkan Data Pribadi Anda, kami akan:

Memberi tahu Anda melalui email terdaftar dalam maksimal 72 jam setelah kami mengetahui pelanggaran (sesuai GDPR / praktik terbaik industri);
Menjelaskan sifat pelanggaran, data yang terdampak, dan langkah-langkah mitigasi;
Memberikan rekomendasi langkah yang dapat Anda ambil untuk melindungi diri (mis. ganti kata sandi, cabut token OAuth);
Melaporkan ke otoritas perlindungan data yang relevan jika diwajibkan oleh hukum.

14. Hak-Hak Anda

14.1 Hak Berdasarkan UU PDP Indonesia

Sesuai UU No. 27 Tahun 2022, Anda memiliki hak untuk:

Memperoleh informasi tentang pemrosesan Data Pribadi Anda (§14.1 ini);
Memperbaiki Data Pribadi yang tidak akurat / tidak lengkap;
Mengakhiri pemrosesan, menghapus, atau memusnahkan Data Pribadi;
Menarik kembali persetujuan yang sebelumnya Anda berikan;
Mengajukan keberatan atas pemrosesan yang didasarkan pada kepentingan sah;
Mendapatkan ganti rugi atas pelanggaran pemrosesan Data Pribadi.

14.2 Hak Berdasarkan GDPR (Pengguna UE/EEA)

Hak	Pasal	Deskripsi
Akses	Art. 15	Meminta salinan Data Pribadi yang kami miliki
Perbaikan	Art. 16	Memperbaiki data yang tidak akurat
Penghapusan	Art. 17	"Hak untuk Dilupakan"
Pembatasan	Art. 18	Membatasi pemrosesan dalam kondisi tertentu
Portabilitas	Art. 20	Menerima data dalam format terstruktur (JSON / CSV)
Keberatan	Art. 21	Keberatan atas pemrosesan berbasis kepentingan sah
Penarikan Persetujuan	Art. 7	Kapan saja, tanpa memengaruhi keabsahan pemrosesan sebelumnya

14.3 Hak Berdasarkan CCPA (Pengguna California)

Hak untuk Tahu — kategori data yang dikumpulkan, sumber, dan tujuan;
Hak untuk Menghapus — meminta penghapusan data;
Hak untuk Opt-Out dari Penjualan — kami tidak menjual data, jadi hak ini default terpenuhi;
Hak untuk Non-Diskriminasi — kami tidak mendiskriminasi Anda karena menggunakan hak CCPA.

15. Cara Menggunakan Hak Anda

15.1 Swalayan (Direkomendasikan)

Melihat data Anda: Login → Dashboard → Profile
Mengubah profil: Login → Dashboard → Edit Profile
Mencabut akses aplikasi OAuth: Login → Dashboard → Connected Apps → Revoke
Menghapus akun: Login → Dashboard → Settings → Delete Account
Mengekspor data (portabilitas): Login → Dashboard → Settings → Export Data (format JSON)
Mengatur cookies: Pengaturan browser Anda (lihat §8)

15.2 Melalui Email

Kirim permintaan ke [email protected] dengan subjek "Data Request" atau "Permintaan Data". Sertakan:

Nama lengkap Anda;
Alamat email terdaftar di auth.my.id;
Hak spesifik yang ingin Anda gunakan;
Detail tambahan yang relevan.

Kami akan merespons dalam 30 hari kalender (sesuai GDPR). Permintaan kompleks dapat diperpanjang hingga 60 hari dengan pemberitahuan. Verifikasi identitas mungkin diperlukan.

16. Transfer Data Internasional

Server utama kami berlokasi di Asia-Pasifik. Namun, karena sifat global internet, Data Pribadi Anda dapat ditransfer ke:

Provider OAuth (mis. Google) yang berbasis di AS / global;
Cloudflare edge network (global);
Google Analytics (global).

Untuk transfer ke AS, kami mengandalkan keputusan adequacy EU-US Data Privacy Framework (atau Standard Contractual Clauses jika tidak tercakup). Dengan menggunakan Layanan, Anda menyetujui transfer lintas batas yang diperlukan untuk operasional.

17. Privasi Anak

auth.my.id tidak ditujukan untuk anak di bawah 13 tahun (atau 16 tahun di yurisdiksi UE sesuai GDPR). Kami tidak secara sadar mengumpulkan Data Pribadi dari anak-anak.

Jika Anda orang tua/wali dan yakin anak Anda telah memberikan Data Pribadi kepada kami, hubungi [email protected]. Kami akan menghapus data dalam 48 jam setelah verifikasi.

18. Perubahan Kebijakan

Perubahan minor (koreksi tipografi, klarifikasi): berlaku segera setelah diposting.
Perubahan material (praktik data baru, sub-prosesor baru): diberitahukan melalui email minimal 14 hari sebelum berlaku.

Tanggal "Terakhir diperbarui" di bagian atas menunjukkan versi terbaru. Versi sebelumnya tersedia berdasarkan permintaan.

19. Identitas Pengendali Data & Kontak

Item	Detail
Pengendali Data	Arif Puji Nugroho (perorangan)
Merek Layanan	auth.my.id — Autentikasi Satu Pintu
Email Kontak	[email protected]
Website	arif.id
Waktu Respons	7 hari kerja (umum); 30 hari untuk permintaan data
Bahasa Komunikasi	Bahasa Indonesia, English

Untuk pertanyaan privasi, gunakan subjek email "[PRIVACY]" agar lebih cepat diproses.

20. Otoritas Pengawas

Jika Anda yakin pemrosesan Data Pribadi Anda melanggar hukum, Anda berhak mengajukan keluhan ke otoritas pengawas:

Indonesia: Kementerian Komunikasi dan Informatika (Kominfo) — kominfo.go.id
Uni Eropa: Otoritas perlindungan data di negara anggota Anda (lihat daftar di edpb.europa.eu)
California (AS): California Attorney General — oag.ca.gov/privacy

Kami mendorong Anda untuk menghubungi kami terlebih dahulu agar kami dapat menyelesaikan masalah secara langsung.