Naskah lengkap

Kebijakan Privasi Keluarga Madani

Status: DRAF. Naskah ini disusun dari pembacaan kode dan dokumen internal (docs/INVENTARIS_DATA.md), bukan oleh pengacara. Wajib ditinjau konsultan hukum sebelum diterbitkan. Tanda [ ... ] = data yang belum ada; [PERIKSA] = fakta yang perlu dicek ulang; [KEPUTUSAN PEMILIK: ...] = hal yang belum diputuskan.

Berlaku sejak: [TANGGAL BERLAKU]

Versi: [NOMOR VERSI]

Singkatnya

• Tanpa akun, semua data hanya ada di HP Anda. Keluarga Madani bisa dipakai penuh tanpa internet dan tanpa akun.
• Data baru dikirim ke server bila orang tua masuk dengan akun Google dan memakai Keluarga Premium (atau masa percobaannya) untuk menyambungkan HP Ayah, Ibu, dan anak. Server memakai Google Firebase di Jakarta (asia-southeast2).
• Pengawasan HP anak selalu terlihat oleh anak. Anak diberi penjelasan dan menekan "setuju" di HP-nya sendiri, ada notifikasi atau ikon penanda, dan izin bisa dicabut lewat Pengaturan HP.
• Kami tidak membaca isi layar, isi pesan, kata sandi, atau isi halaman yang dibuka anak. Tidak ada screenshot diam-diam. Aplikasi tidak memakai layanan Aksesibilitas (AccessibilityService).
• Tidak ada iklan, tidak ada alat analitik atau pelacak, dan data Anda tidak dijual.
• Anda bisa menghapus data online, akun, dan pesan bantuan dari menu Keluarga › Data dan keamanan › Hapus data.
• Jujur soal yang belum sempurna: sebagian data di server belum punya penghapusan otomatis. Rinciannya ada di bagian 7.
• Pertanyaan: WhatsApp 0899 9912 410 (Senin–Sabtu, 08.00–20.00 WIB).

1. Siapa kami

Keluarga Madani dibuat dan dikelola oleh pengembang perorangan wikira dev, milik Indra Kurniawan. Dalam kebijakan ini disebut "kami".

Kami adalah pihak yang menentukan untuk apa dan bagaimana data di layanan online Keluarga Madani diproses (pengendali data). [PERIKSA: peran pengendali/prosesor ditinjau penasihat hukum, lihat catatan terpisah.]

• WhatsApp: 0899 9912 410 (wa.me/628999912410)
• Email: halo@wikiradev.com

Kebijakan ini berlaku untuk aplikasi Android Keluarga Madani (id paket com.kurniawan.keluargamadani), baik yang diunduh dari situs kami maupun dari Google Play. [PERIKSA: sesuaikan bila hanya satu jalur distribusi yang dipakai.]

2. Dua cara memakai aplikasi

Setelah masa Premium habis dan tidak diperpanjang, aplikasi tetap bisa dipakai offline. Sinkron ke server dan pengawasan HP anak berhenti. Data yang sudah ada di server tidak otomatis terhapus saat paket habis; hapus sendiri lewat menu Hapus data bila tidak ingin disimpan (bagian 8).

3. Data yang kami proses

3a. Data yang hanya ada di HP Anda

Semua catatan (keuangan, ibadah, anak, pengaturan) disimpan di database di HP. Bila Anda tidak memakai Keluarga Premium, data ini tidak pernah dikirim ke kami.

• Backup/ekspor: berkas .json atau CSV yang Anda buat sendiri. Berkas backup tidak terenkripsi; Anda yang menentukan di mana berkas itu disimpan atau dibagikan.
• PIN orang tua: disimpan sebagai sandi teracak (hash dengan garam), bukan PIN aslinya.
• Aplikasi tidak ikut dicadangkan otomatis ke Google Drive (fitur Auto Backup Android dimatikan).

3b. Data akun

3c. Data keluarga yang disinkronkan (hanya saat Keluarga Premium aktif)

Keuangan keluarga (hanya orang tua yang bisa melihat; HP anak tidak bisa membacanya):

kantong, kategori, transaksi (nama, nominal, tanggal, catatan, pencatat), tagihan, tujuan tabungan dan setorannya, utang-piutang (termasuk nama pihak yang berutang/memberi utang yang Anda tulis).

Ibadah dan dompet anak: profil anak (nama, uang saku, batas layar, pengaturan), ceklis ibadah, poin, hadiah, mutasi dompet anak.

Pengawasan HP anak (masing-masing punya saklar dan izin sendiri):

Catatan penghapusan: bila sebuah catatan dihapus di satu HP, aplikasi mengirim tanda "dihapus" ke HP lain. Lihat bagian 7 tentang apa yang tersisa.

3d. Pesan bantuan

Bila Anda mengirim pesan dari menu Bantuan, kami menyimpan: kategori, isi pesan (10–1000 huruf), nomor WhatsApp bila Anda mengisinya, versi aplikasi, id pengguna pengirim, dan balasan kami. Kotak "Sertakan info teknis" menyala secara bawaan dan bisa Anda matikan; isinya versi aplikasi, versi Android, merek dan model HP, jenis paket, dan sumber unduhan. Info teknis tidak memuat nama, saldo, data anak, atau lokasi. Batas 3 pesan per hari.

3e. Pembelian kode aktivasi (lewat Mayar)

Pembayaran Premium dilakukan di luar aplikasi lewat platform pembayaran Mayar. Saat membeli, Anda mengisi nama dan nomor WhatsApp di halaman Mayar, dan data pembayaran diproses oleh Mayar dan penyedia kanal pembayarannya (mis. QRIS, e-wallet, transfer). Kami tidak menerima atau menyimpan nomor kartu, PIN, atau data rekening Anda. [PERIKSA: data apa saja yang diteruskan Mayar ke penjual.]

Kami menerima pemberitahuan pembayaran, lalu membuat kode aktivasi dan mengirimkannya lewat WhatsApp. Pada catatan kode di server, kami dapat menulis nama pembeli atau nomor pesanan agar bisa melacak keluhan. Saat kode dipakai, server mencatat kode itu dipakai oleh keluarga mana dan kapan.

3f. Unduhan lain

• Pengumuman dari pengembang: aplikasi mengunduh pengumuman umum dari server Google (Firestore) saat dibuka. Ini menyala secara bawaan dan bisa dimatikan di Pengaturan [PERIKSA: nama saklar di layar]. Tidak ada data pribadi yang dikirim, tetapi alamat IP HP Anda terlihat oleh server Google, seperti pada setiap koneksi internet.
• Jadwal sholat online (mati secara bawaan): bila dinyalakan, aplikasi meminta jadwal dari api.myquran.com dengan id kota, tahun, dan bulan. Server itu dapat melihat alamat IP Anda.
• Cek pembaruan (versi dari situs, mati secara bawaan): hanya meminta informasi versi.

3g. Data yang TIDAK kami kumpulkan

• Kontak, SMS, rekaman suara, kamera, atau berkas di HP.
• Isi layar, isi chat, kata sandi, atau ketikan anak.
• Isi halaman web atau kata yang dicari anak (penyaring hanya membaca nama situsnya).
• Data iklan atau pelacak: tidak ada SDK iklan, analitik, atau laporan kerusakan (crash) di aplikasi.

4. Untuk apa data dipakai

1. Menjalankan fitur yang Anda pilih: catatan keuangan, ibadah anak, sinkron antar HP, dan pengawasan HP anak.
2. Mengatur siapa boleh melihat apa (misalnya HP anak tidak bisa membaca keuangan keluarga).
3. Mengaktifkan dan memeriksa status paket Premium serta masa percobaan, termasuk mencegah masa percobaan diulang dengan pasang ulang aplikasi.
4. Menjawab pertanyaan dan keluhan.
5. Mengirim pengumuman umum tentang aplikasi.

Kami tidak memakai data Anda atau anak Anda untuk iklan, membuat profil pemasaran, atau dijual ke pihak lain.

5. Dasar pemrosesan: persetujuan

• Orang tua memberi persetujuan saat masuk dengan akun Google, membuat atau bergabung dengan keluarga, dan menyalakan tiap fitur pengawasan.
• Anak diberi penjelasan dan diminta menekan setuju di HP-nya sendiri untuk tiap fitur pengawasan (lihat bagian 9). Persetujuan anak ini adalah bentuk keterbukaan kepada anak, bukan pengganti persetujuan orang tua atau wali.
• Pengiriman pesan bantuan dan pembelian kode terjadi atas tindakan Anda sendiri.

Anda bisa menarik persetujuan kapan saja: mematikan fitur, mencabut izin di Pengaturan HP, keluar dari mode anak, atau menghapus data (bagian 8). Penarikan tidak memengaruhi pemrosesan yang sudah terjadi sebelumnya.

[PERIKSA: penasihat hukum menilai apakah ada dasar lain (mis. pelaksanaan perjanjian untuk data pembelian) yang lebih tepat.]

6. Siapa yang bisa melihat data

6a. Pihak ketiga

Masing-masing pihak ini punya kebijakan privasinya sendiri.

7. Berapa lama data disimpan

Kami ingin jujur: penghapusan otomatis saat ini dijalankan oleh aplikasi di HP, lalu dikirim ke server sebagai tanda "dihapus". Server belum punya penghapusan otomatis sendiri. Artinya, bila aplikasi di HP tidak dibuka, HP anak tidak online, atau paket sudah habis, data lama bisa tetap tersimpan di server sampai Anda menghapusnya.

Penghapusan otomatis di server (TTL) sedang kami siapkan dan belum punya tanggal. Sampai saat itu, data online dihapus lewat menu Hapus data.

8. Hak Anda dan cara memakainya

Anda berhak meminta akses, perbaikan, dan penghapusan data pribadi Anda, serta menarik persetujuan.

• Melihat dan memperbaiki: semua catatan bisa dilihat dan diubah langsung di aplikasi. Nama di keluarga bisa diubah oleh orang tua. Untuk salinan data di server yang tidak terlihat di aplikasi, hubungi kami lewat WhatsApp. Kami menjawab paling lambat 7 hari kerja.
• Membawa data: buat Backup (berkas .json) atau ekspor CSV dari Pengaturan.

8a. Menghapus data: menu Keluarga › Data dan keamanan › Hapus data

Semua tindakan meminta Anda mengetik kata HAPUS dan tidak bisa dibatalkan. Simpan backup dulu bila datanya masih dibutuhkan.

1. Hapus data online keluarga (hanya pembuat keluarga): menghapus data keluarga di server (keuangan, ibadah, poin, dompet, lokasi, riwayat situs, kiriman gambar) dan melepas semua HP lain, termasuk HP anak. Data di HP Anda tetap ada, sisa masa Premium tetap tersimpan, dan sinkron di HP Anda dijeda agar data tidak terunggah lagi.
2. Hapus akun: menghapus akun Google Anda dari layanan online, keanggotaan, dan penunjuk keluarga. Anda perlu masuk ulang sebagai pengaman. Bila Anda pembuat keluarga, keluarga beserta sisa masa Premium ikut hilang dan kode aktivasi yang sudah dipakai tidak bisa dipakai lagi. Data di HP tetap ada dan aplikasi tetap bisa dipakai offline.
3. Hapus semua data di HP ini: lewat Pengaturan Android (Info aplikasi › Penyimpanan › Hapus data). Ini tidak menghapus data online; lakukan langkah 1 dan 2 lebih dulu bila perlu.
4. Pesan bantuan: hapus satu per satu dari layar Pesan saya ke tim di menu Bantuan.
5. Data satu anak: di tab Anak, kelola anak › Hapus. Catatan uang saku anak di Keuangan tetap ada.

Catatan penghapusan tanpa data pribadi. Saat Anda menghapus data online atau akun, aplikasi menyimpan satu baris ke server berisi jenis penghapusan, jenis paket, sisa hari Premium, apakah Anda pembuat keluarga, dan waktunya. Baris ini tidak memuat id pengguna, nama, email, atau id keluarga. Tujuannya agar kami bisa membantu bila ada keluhan "Premium saya hilang".

8b. Yang mungkin tersisa setelah penghapusan

Agar tidak ada salah paham, berikut hal yang saat ini tidak ikut terhapus oleh tombol di atas [PERIKSA semua butir terhadap aturan server yang sudah diterbitkan]:

• Akun anonim HP anak di Firebase Authentication (HP anak dilepas, tetapi akunnya tidak dihapus).
• Catatan kode undangan lama.
• Catatan kode aktivasi (memuat id keluarga yang memakai kode dan catatan pembeli).
• Catatan status paket keluarga.
• Data di HP lain yang masih menyimpan salinan lokal (misalnya HP pasangan yang sudah terlepas).
• Salinan cadangan internal penyedia server, sesuai kebijakan Google. [PERIKSA]

Bila Anda ingin butir-butir ini dihapus, hubungi kami lewat WhatsApp. Kami memprosesnya paling lambat 7 hari kerja setelah identitas Anda kami pastikan.

8A. Data pembeli

Bagian ini untuk orang yang membeli kode aktivasi (lewat Mayar) dan untuk daftar pelanggan yang kami pakai melayani pembeli.

• Yang kami simpan: nama, nomor WhatsApp, email (bila ada), nomor pesanan Mayar, paket, tanggal beli, tanggal kode dipakai, catatan layanan (misalnya sudah dihubungi atau keluhan yang pernah masuk), dan pesan yang kami kirim kepada Anda.
• Dari mana: dari Anda saat membeli di Mayar (Mayar juga menyimpan data itu menurut kebijakannya sendiri) dan dari percakapan Anda dengan kami.
• Untuk apa: mengirim kode, membantu bila ada kendala, memproses refund, mengingatkan masa perpanjangan, dan pembukuan. Pesan promosi hanya kami kirim bila Anda menyetujuinya secara terpisah.
• Siapa yang melihat: hanya pemilik aplikasi lewat tab Admin yang dibatasi akun admin. Tidak dijual atau dibagikan ke pihak lain, kecuali penyedia layanan yang diperlukan (Mayar untuk pembayaran, Google Firebase untuk penyimpanan di server Jakarta). [PERIKSA]
• Hubungan dengan data keluarga: daftar pembeli hanya mencatat kode dan masa berlakunya. Kami tidak membaca isi data keluarga Anda (keuangan, ibadah, anak) dari daftar ini, dan data anak tidak pernah masuk ke daftar pembeli.
• Lama simpan: catatan transaksi dan nomor pesanan disimpan 10 tahun mengikuti kewajiban pembukuan [PERIKSA: konsultan pajak]. Data kontak (nomor WhatsApp dan email) disimpan selama Anda menjadi pelanggan dan [KEPUTUSAN PEMILIK: usul 2 tahun setelah masa Premium berakhir], lalu dihapus. Anda bisa meminta penghapusan lebih awal; catatan yang wajib untuk pembukuan tetap kami simpan tanpa data kontak bila memungkinkan.
• Hak Anda: minta melihat, memperbaiki, atau menghapus data pembeli lewat WhatsApp 0899 9912 410. Kami menjawab paling lambat 7 hari kerja.

9. Bagian khusus: anak

Keluarga Madani dirancang untuk dipakai orang tua atau wali mengawasi HP anaknya sendiri. Anak tidak membuat akun dengan email atau nomor HP. Aplikasi tidak memeriksa usia pengguna. [PERIKSA: batas usia anak dan bentuk persetujuan wali ditinjau penasihat hukum.]

9a. Dua lapis persetujuan

1. Orang tua/wali memutuskan memasang mode anak dan menyalakan tiap fitur. Orang tua bertanggung jawab memberi tahu anak dan menjelaskan alasannya.
2. Anak melihat penjelasan di HP-nya sendiri sebelum tiap izin diberikan: apa yang diakses, untuk apa, tidak dipakai untuk apa, dan apa yang dikirim ke orang tua. Anak menekan "Setuju dan lanjut", lalu memberi izin Android sendiri.

9b. Yang dilihat dan tidak dilihat orang tua

Dilihat orang tua (bila fiturnya menyala): nama aplikasi dan lama pemakaiannya, nama situs utama yang dibuka, jumlah percobaan situs yang diblokir, titik lokasi pada waktu pengecekan, nama tempat yang ditandai, status HP hidup, ceklis ibadah, poin, dompet, dan gambar yang anak kirim sendiri.

Tidak dilihat orang tua dan tidak dikumpulkan aplikasi: isi layar, isi chat atau pesan, kata sandi, ketikan, foto dan berkas di HP anak (kecuali yang anak kirim sendiri), isi halaman web, kata yang dicari, dan isi lalu lintas internet. Penyaring situs hanya membaca nama situs, bukan isinya.

9c. Yang tidak kami lakukan

• Tidak ada screenshot diam-diam. Satu-satunya cara mengambil layar adalah alur di atas, dengan hitung mundur, penanda, pratinjau, dan keputusan kirim di tangan anak.
• Tidak memakai layanan Aksesibilitas (AccessibilityService) untuk membaca isi layar.
• Tidak melacak lokasi terus-menerus: satu titik diambil per pengecekan.
• Tidak menyimpan kata sandi.

10. Keamanan

• Koneksi ke server memakai HTTPS; koneksi tanpa enkripsi ditolak oleh aplikasi.
• Aturan akses server memisahkan data per keluarga dan membatasi apa yang bisa dibaca HP anak.
• Login memakai akun Google; kami tidak menyimpan kata sandi. PIN orang tua disimpan teracak.
• Kode undangan sekali pakai dan berlaku 24 jam.
• Cadangan otomatis Android dimatikan agar data keluarga tidak tersalin ke luar tanpa Anda sadari.

Tidak ada sistem yang benar-benar kebal. Jaga HP Anda dengan kunci layar, jangan bagikan PIN orang tua dan kode aktivasi, dan simpan berkas backup di tempat aman (berkas ini tidak terenkripsi). Bila terjadi kebocoran data yang berdampak pada Anda, kami akan memberi tahu Anda lewat WhatsApp dan Pesan dari admin di aplikasi, paling lambat 3×24 jam sejak kami ketahui [PERIKSA: kewajiban pemberitahuan menurut UU Pelindungan Data Pribadi].

11. Data yang diproses di luar Indonesia

Database keluarga (Cloud Firestore) berada di Jakarta. Namun beberapa layanan dapat memproses data di luar Indonesia:

• Firebase Authentication dan layanan akun Google: lokasi pemrosesan ditentukan Google dan tidak dapat kami pilih. [PERIKSA]
• Cloudflare 1.1.1.1: jaringan global; pertanyaan nama situs bisa dilayani server di luar negeri.
• WhatsApp: layanan global milik Meta.
• api.myquran.com dan Mayar: lokasi server [PERIKSA].

Dengan memakai fitur yang bersangkutan, Anda memahami hal ini. [PERIKSA: penasihat hukum menilai syarat transfer data lintas negara.]

12. Perubahan kebijakan

Kebijakan ini bisa berubah bila fitur atau aturan berubah. Perubahan penting (misalnya data baru yang dikumpulkan atau pihak ketiga baru) akan kami beritahukan lewat pengumuman di aplikasi [PERIKSA: pengumuman bisa dimatikan pengguna; pertimbangkan pemberitahuan tambahan] sebelum berlaku, dan bila perlu kami akan meminta persetujuan ulang. Tanggal berlaku di atas selalu menunjukkan versi terbaru.

13. Kontak

• WhatsApp: 0899 9912 410 (wa.me/628999912410), Senin–Sabtu 08.00–20.00 WIB. Biasanya dibalas dalam 1×24 jam kerja.
• Email: halo@wikiradev.com
• Pengendali data: wikira dev / Indra Kurniawan

Jangan mengirim kode aktivasi lengkap atau data pribadi anak di grup atau tempat umum.