Kami serius soal keamanan, bukan cuma slogan. Kami kelola data sesuai UU PDP 27/2022, dengan enkripsi in-transit & at-rest, isolasi data antar-brand, kontrol akses berbasis peran, dan audit log workspace.
Kami transparan soal apa yang sudah kami terapkan, ditulis apa adanya, tanpa janji sertifikat yang belum kami punya.
UU Perlindungan Data Pribadi Indonesia. Sudah disahkan oleh Kominfo. Wajib untuk semua SaaS yang handle PII warga Indonesia.
Selaras dengan prinsip GDPR Eropa. Untuk customer Eropa atau yang punya cabang Eropa. DPA tersedia atas permintaan.
Bukan satu layer firewall doang, security TavKreatif berlapis dari encryption, akses, audit, network, sampai vulnerability scan.
Data di Postgres (Supabase) & object storage (Cloudflare R2) dienkripsi at-rest pakai AES-256 — standar bawaan kedua penyedia. Kunci enkripsi dikelola di sisi penyedia, terpisah dari aplikasi. Kalau disk fisik dicuri, data tetap tak terbaca.
Semua koneksi browser ↔ server lewat HTTPS/TLS. HSTS aktif, sertifikat di-issue & auto-renew otomatis lewat Let's Encrypt (via Caddy). Tidak ada lalu lintas plaintext.
Role hierarki granular (Owner, Admin, Manager, sampai Client Viewer & Kolaborator Eksternal) dengan izin per-modul. 2FA (TOTP) tersedia untuk semua user; panel super-admin internal wajib 2FA. SSO/SAML direncanakan untuk Enterprise.
Aksi penting dicatat ke audit log workspace dengan timestamp, tipe aksi, aktor, dan target. Bisa di-export CSV kapan saja. Log tidak bisa diedit atau dihapus dari aplikasi.
Database Supabase managed dengan akses jaringan dibatasi — tidak diekspos sembarangan ke internet. Aplikasi berjalan di balik reverse-proxy Caddy. Endpoint publik & sensitif dibatasi rate-limit per IP / per user.
Tiap commit lewat pipeline CI(type-check, lint, test) sebelum di-deploy otomatis. Dependency dipantau lewat GitHub & di-patch berkala.
Aplikasi & database kami hosting di region Singapura, dengan enkripsi in-transit & at-rest dan isolasi data antar-brand. Kami kelola data sesuai prinsip UU PDP.
Kami pakai penyedia infrastruktur tepercaya dengan sertifikasi keamanan mereka sendiri. Untuk transfer keluar Indonesia berlaku Standard Contractual Clauses (SCC) sesuai UU PDP.
SLA insiden security & data breach. Jangan tunggu wartawan yang kabarin, kami yang notify kamu duluan, dalam 72 jam (sesuai UU PDP).
Error monitoring + uptime check otomatis. Begitu ada anomali atau laporan masuk, langsung ditangani.
Kalau insiden involves data pribadi, notify customer + Kominfo dalam 72 jam (UU PDP Pasal 46). Email + dashboard banner + status page update.
Laporan awal berisi scope, jumlah user terdampak, jenis data, dan langkah mitigasi yang sudah diambil. Update lanjutan dikirim ke semua yang terdampak.
Full root cause analysis, timeline, dan corrective action. Public post-mortem (tanpa PII) dipublish di blog. Internal review & process improvement.
Subprocessor adalah pihak ketiga yang punya akses terbatas ke data customer untuk menjalankan layanan. Berikut subprocessor utama yang kami pakai.
Kami sangat menghargai security researcher yang lapor secara responsible. Kirim temuan ke security@tavkreatif.id, kami balas & tindak lanjuti secepatnya, dan kasih credit dengan izinmu.
Kami senang bantu, kirim pertanyaan keamanan, minta DPA, atau ringkasan praktik keamanan kami. Cocok buat tim procurement / legal sebelum mulai.