Data kamu, aturan kamu.

Data yang kami kumpulkan

Kami cuma minta data yang perlu buat layanan jalan. Nggak ada tracking diam-diam, nggak ada selling profile ke pihak iklan. Berikut kategori datanya:

Data identitas akun

• Nama lengkap dan email — wajib, buat login + verifikasi.
• Nomor WhatsApp— opsional, buat notif aktivasi & reset password.
• Foto profil — opsional, kamu upload sendiri kapan saja.
• Nama studio/agency dan workspace — diisi saat onboarding.

Data konten workspace

• Brief, kanban card, asset file yang kamu buat — semua disimpan terenkripsi di server Singapura (Supabase/Tencent), tunduk UU PDP Indonesia.
• Pesan chat tim & komentar feedback klien — disimpan 365 hari, lalu otomatis dihapus.
• File upload (foto, video, dokumen) — disimpan selama akun aktif + 90 hari grace setelah cancel.

Data telemetri (otomatis)

• IP address & device info — buat security audit, ditahan 90 hari lalu di-anonimkan.
• Browser type, OS, screen size— buat optimasi UI & bug tracking.
• Page view + click event — anonim, agregat, nggak diikat ke user identity.

Cara kami pakai data

Setiap data punya tujuan jelas. Nggak ada repurposing diam-diam.

Penggunaan untuk AI & Tavern

Prompt & output yang kamu hasilkan di Tavern AI TIDAKdipakai untuk training model AI manapun. Kami pakai opsi “no training” di semua API provider, dan workspace enterprise bisa minta data isolation tambahan.

Untuk improve fitur Tavern internal, kami pakai data agregat yang sudah di-anonimisasi (tanpa identitas user/brand) — itupun bisa di-opt-out lewat Settings → AI Provider.

Berbagi data dengan pihak ketiga

Kami tidak pernah menjual data kamu. Tapi ada beberapa layanan pihak ketiga yang kami pakai untuk operasi — semuanya pakai kontrak Data Processing Agreement (DPA) yang ketat.

Sub-processor yang kami pakai

• Mayar Indonesia — payment gateway. Data: email, no. invoice, nominal. Lokasi: Indonesia. Privacy policy Mayar →
• Cloudflare — CDN, DDoS protection, penyimpanan file (R2). Data: IP, request headers, aset terupload. Lokasi: global edge (Singapura).
• Sumopod (gateway AI) — inference AI. Data: konten prompt (PII masking, no-training).
• Sumopod — email transaksional dari noreply@tavkreatif.id. Data: alamat email penerima.
• Supabase (Singapura)— database & backup harian. Data: seluruh data workspace (terenkripsi).

Permintaan dari penegak hukum

Kami cuma kasih data ke aparat kalau ada surat perintah pengadilan / penetapan tertulis yang valid menurut hukum Indonesia. Kami akan notif user yang terkena permintaan, kecuali dilarang oleh pengadilan. Transparency report dipublikasikan tiap 6 bulan.

Retensi & penghapusan data

Data nggak disimpen forever. Setiap kategori ada masa simpan yang clear, dan kamu bisa minta delete kapan saja.

Default retention

• Akun aktif → data disimpan selama akun masih ada.
• Cancel subscription → 90 hari grace period (data masih bisa di-restore), lalu auto-delete.
• Account deletion request → eksekusi dalam 30 hari, kecuali ada kewajiban hukum (e.g. faktur pajak) yang perlu di-retain.
• Log audit security → 1 tahun (anonim setelah 90 hari).
• Faktur & data billing → 10 tahun (sesuai UU Pajak).

Cara minta delete

Settings → Keamanan → Danger Zone → Hapus Akun. Atau kirim email ke privacy@tavkreatif.id dari alamat email akun. SLA respons: 3 hari kerja.

Hak kamu sebagai pemilik data

UU PDP 27/2022 ngasih kamu beberapa hak. Kami siap dukung semuanya.

• Hak akses — minta export data kamu sendiri. Download .zip dari Settings → Keamanan → Export Data.
• Hak koreksi — edit profile, email, no. WA langsung di Settings.
• Hak hapus — delete akun + semua data terkait. Beberapa data billing harus di-retain sesuai UU.
• Hak pembatasan pemrosesan — pause processing tanpa delete (e.g. pause AI training data feedback).
• Hak portabilitas — export dalam format machine-readable (JSON + CSV) yang bisa diimport ke tools lain.
• Hak keberatan — opt-out dari newsletter, telemetri agregat, atau fitur AI features kapan saja.
• Hak tarik persetujuan — withdraw consent untuk processing yang basisnya consent (e.g. marketing email).

Cookies, local storage & tracking

Kami pakai cookies seminimal mungkin — cuma yang esensial buat app jalan. Nggak ada third-party tracking pixel atau retargeting cookie.

Yang kami pakai

• Session cookie (essential) — buat login state, expired 30 hari.
• CSRF token (essential) — security, per-session.
• Theme preference (functional) — dark/light mode pilihan kamu, local storage.
• Analytics (anonim, opt-in) — self-hosted Plausible, no fingerprint, no cross-site tracking.

Yang TIDAK kami pakai

• Google Analytics / Facebook Pixel / TikTok Pixel — zero third-party trackers.
• Retargeting cookie atau adtech partner.
• Cross-site fingerprinting.

Penggunaan oleh anak di bawah 13 tahun

TavKreatif Space adalah produk B2B untuk profesional creative. Kami nggak mengizinkan pendaftaran oleh anak di bawah 13 tahun. User antara 13–17 tahun butuh persetujuan tertulis dari orang tua/wali (kirim ke privacy@tavkreatif.id).

Kalau kamu sadar ada akun yang dibuat oleh anak <13 tahun, tolong laporin — kami akan delete dalam 7 hari kerja.

Kontak & Data Protection Officer (DPO)

Ada pertanyaan, keluhan, atau mau eksekusi hak data kamu? Hubungin kami langsung — bukan form generic, tapi orang nyata yang bales.

Kalau merasa hak data kamu dilanggar, kamu juga bisa lapor ke Kementerian Komunikasi dan Informatika RI sebagai otoritas pengawas UU PDP. Detail prosedur di kominfo.go.id.