Perlindungan data yang dapat Anda periksa

PAOLA merancang layanan data klien berdasarkan UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi: transparansi tujuan, pembatasan pemrosesan, keamanan, akurasi, dan hak subjek data.

Kepercayaan dibangun dari kontrol yang dapat dilihat — bukan slogan. Kami tidak menyatakan data “100% aman”, “bank-grade”, atau bersertifikasi sebelum bukti itu ada.

Pengendali data (direncanakan): Operator platform PAOLA (nama badan hukum pengendali data akan dicantumkan secara penuh setelah dikunci secara legal).

Konsultasi profesional: PajakOnline Consulting — pemberi telaah profesional perpajakan, hanya jika Anda meminta professional review dan memberi persetujuan terpisah.

Pembagian peran antar badan hukum tidak disamarkan. Nama badan hukum pengendali platform akan dicantumkan penuh setelah dikunci legal. Telaah profesional dilakukan PajakOnline Consulting hanya setelah persetujuan terpisah.

Ringkas: kami mengumpulkan data yang Anda kirim lewat formulir konsultasi (nama, perusahaan, kontak, ringkasan kebutuhan) untuk menghubungi Anda terkait janji temu. Kami tidak meminta lampiran SP2DK pada formulir ini.

Notice lengkap:

• Kebijakan privasi
• Notice khusus layanan SP2DK
• Kebijakan AI

Situs ini disajikan melalui HTTPS. Kontrol berikut adalah standar minimum sebelum unggah SP2DK dibuka:

• Enkripsi saat pengiriman dan penyimpanan
• Akses berbasis peran dan least privilege
• Pemisahan data antar-member
• Audit log yang tidak mudah diubah
• Pemindaian malware pada dokumen
• MFA untuk konsultan dan administrator
• Backup terenkripsi dan rencana insiden

Unggah member tersedia di akun (/app) untuk uji internal: TLS, enkripsi at rest, pemindaian, consent, log, dan hapus. Kampanye unggah massal belum dibuka. ClamAV dipakai jika terpasang; jika tidak, pemeriksaan heuristik dinyatakan di status berkas.

Paola di situs ini membantu pertanyaan umum berdasarkan regulasi yang dipublikasikan. Jangan tempel SP2DK di chat. Analisis unggahan memakai aturan sistem PAOLA, dan jika diaktifkan operator, API SpaceXAI (api.x.ai) — bukan aplikasi konsumen grok.com.

Tiga kegiatan tidak dicampur: (1) analisis kasus untuk menyelesaikan permintaan Anda; (2) peningkatan dari data yang telah dianonimkan — opsional, terpisah, tidak dikirim ke vendor untuk training; (3) training model — default dilarang.

Klaim “dokumen tidak digunakan untuk melatih model AI” belum ditampilkan. Klaim itu hanya boleh dipakai setelah DPA penyedia AI mengatur no-training, retensi, lokasi, batasan akses manusia vendor, penghapusan, dan subprocessor — lalu operator menyalakan flag publik.

Selengkapnya: Kebijakan AI.

• Hosting & penyajian web — Menjalankan situs dan API PAOLA. Dokumen klien: tidak. Status: Aktif (infrastruktur operator)
• Penyimpanan terenkripsi lokal — Objek dokumen kasus (AES-256-GCM). Dokumen klien: dapat diproses. Status: Aktif di akun member
• Pemindai malware — ClamAV jika terpasang; jika tidak, pemeriksaan heuristik dinyatakan di status berkas. Dokumen klien: dapat diproses. Status: Aktif pada unggah
• Penyedia model AI (SpaceXAI / xAI API) — Analisis isi dokumen untuk menyelesaikan permintaan kasus, via https://api.x.ai/v1 (bukan grok.com). Dokumen klien: tidak. Status: Tidak memproses dokumen sampai AI_DOCUMENT_ANALYSIS diaktifkan dan DPA dicatat

Subprocessor AI: xAI (API SpaceXAI, https://api.x.ai/v1). Bukan aplikasi konsumen. DPA dan zero-retention tidak diklaim sampai operator menguncinya secara tertulis.

Kami tidak memakai kalimat “disimpan selama diperlukan” tanpa penjelasan.

*Durasi final dikunci setelah kajian hukum, operasional, dan audit. Pengguna akan melihat durasi sebelum mengunggah.

Ketika dashboard kasus tersedia, panel akses akan menampilkan:

Sistem analisis PAOLA. Konsultan yang ditugaskan (nama/inisial dan status). Supervisor apabila diperlukan untuk quality control. Tidak dapat diakses oleh tim marketing dan pihak yang tidak menangani kasus.

Pengguna akan melihat access log (unggah, analisis, review, draft). Log bersifat append-only dan tidak memuat isi dokumen.

Access log kasus tampil di dashboard member. Rantai hash append-only. Isi dokumen tidak masuk log. Konsultan PajakOnline Consulting hanya melihat file di konsol staf setelah persetujuan dan penugasan; unduh ke perangkat staf dilarang.

Hari ini: formulir konsultasi untuk janji temu; chat Paola untuk pertanyaan umum (jangan tempel SP2DK). Member yang masuk dapat mengunggah lewat aplikasi: unggah → pemindaian → (Mode Awal: redaksi + tinjauan) → analisis aturan sistem (bukan model AI vendor) → hasil dan log di akun. Jika member menyetujui telaah profesional, data diakses PajakOnline Consulting di konsol staf setelah penugasan.

Bukan WhatsApp, bukan email pribadi, bukan laptop staf.

Sesuai kerangka UU 27/2022, Anda berhak antara lain untuk:

• meminta informasi tentang pemrosesan data Anda;
• mengakses dan memperoleh salinan data yang kami miliki;
• meminta perbaikan data yang tidak akurat;
• menarik persetujuan untuk tujuan opsional (misalnya pemasaran);
• meminta penghapusan sesuai batas hukum dan retensi;
• mengajukan pengaduan (lihat prosedur pengaduan).

Kirim permintaan ke privacy@pajakonline.com. Kami berupaya menanggapi permintaan hak subjek data dalam 14 hari kerja.

Petugas Perlindungan Data PAOLA
Email: privacy@pajakonline.com

Penunjukan nama individu DPO/privacy lead dan status kewajiban formal DPO masih dikaji berdasarkan skala dan karakter pemrosesan. Peran kontak di atas sudah aktif untuk eskalasi.

1. Kirim uraian pengaduan ke privacy@pajakonline.com.
2. Kami mencatat, menelaah, dan memberi tanggapan sesuai SLA di atas.
3. Jika tidak puas, Anda dapat menempuh jalur pengaduan kepada otoritas pelindungan data pribadi yang berwenang di Indonesia.

Rencana tanggap insiden mencakup deteksi, pembatasan dampak, pemberitahuan sesuai kewajiban hukum, dan pemulihan. Kontak eskalasi: privacy@pajakonline.com.

Runbook operasional insiden untuk unggah dokumen akan dilengkapi sebelum gerbang unggah SP2DK dibuka. Ringkasan publik ini bukan pengganti notifikasi insiden formal.

Pengujian independen direncanakan secara berkala setelah unggah produksi, atau setelah perubahan arsitektur material. Ringkasan publik hanya memuat tanggal dan lingkup — bukan temuan mentah atau PoC.

Belum ada ringkasan yang dipublikasikan. Setelah tes selesai, di sini hanya akan tampil tanggal, firma, metode, dan lingkup — tanpa temuan mentah atau PoC.

Belum diperoleh. PAOLA tidak menampilkan lencana ISO 27001 atau klaim setara sebelum sertifikat berlaku atas entitas dan ruang lingkup yang benar.

• 2026-09-11-a1 · 11 September 2026

  Versi awal Trust Center dan notice (Fase A). Unggah dokumen klien belum dibuka. Klaim no-training AI, membership gratis, dan sertifikasi tidak diaktifkan.

• 2026-09-11-c1 · 11 September 2026

  Fase C: telaah profesional PajakOnline Consulting. Penugasan staf, akses hanya di konsol (tanpa unduh ke perangkat), log review, cabut akses saat kasus selesai atau offboarding.

• 2026-09-11-d1 · 11 September 2026

  Fase D: analisis dokumen dapat memakai API SpaceXAI (api.x.ai) jika diaktifkan. Bukan grok.com. Klaim no-training tidak otomatis; hanya jika flag publik dan DPA vendor dikunci operator.

• 2026-09-11-e1 · 11 September 2026

  Fase E: statistik agregat dengan ambang anonimitas; pentest/sertifikasi hanya jika ada ringkasan nyata. Kampanye membership gratis tetap di belakang flag.