Kebijakan Privasi

2a. Informasi akun (tuan rumah)

Ketika kamu membuat akun, kami mengumpulkan alamat email dan password yang di-hash secara aman melalui Firebase Authentication (Google). Kami tidak pernah menyimpan atau mengakses password aslimu. Jika kamu mendaftar dengan Google, kami menerima alamat email dan pengenal akun Google-mu, bukan password.

2b. Data acara

Ketika kamu membuat acara, kami menyimpan nama acara, jenis acara, tanggal mulai dan berakhir, mode pengungkapan foto, batas foto dan tamu, preset film, nama tautan (slug) pilihanmu, serta pengaturan visibilitas di Cloud Firestore.

2c. Data tamu

Tamu tidak perlu membuat akun. Tamu hanya memberikan nama tampilan pilihan mereka sendiri. Kami menyimpan nama tersebut, waktu bergabung, dan jumlah foto yang diambil. Tidak ada alamat email yang dikumpulkan dari tamu.

2d. Pengenal perangkat tamu

Supaya satu perangkat hanya memakai satu slot tamu dari kuota yang dibayar tuan rumah, kami membuat pengenal acak (UUID) dan menyimpannya di cookie dan localStorage perangkatmu. Sebagai cadangan (misalnya saat penyimpanan browser dihapus atau dibatasi Safari), kami juga menghitung "sidik jari perangkat" menggunakan pustaka FingerprintJS versi open-source. Perhitungan ini terjadi sepenuhnya di perangkatmu, tidak memanggil server pihak ketiga mana pun, dan yang kami simpan hanya hasil berupa kode acak di dalam daftar perangkat acara tersebut. Kami tidak memakainya untuk iklan, tidak menggabungkannya antar acara, dan tidak membagikannya kepada siapa pun.

2e. Foto

Foto ditangkap dari kamera perangkat, diproses dengan preset film sepenuhnya di perangkat pengguna, lalu diunggah ke Firebase Storage. Kami menyimpan file gambar WebP, thumbnail, dan metadata: ID acara, nama tamu, preset, serta stempel waktu pengambilan.

2f. Akses kamera

Aplikasi meminta akses kamera melalui API getUserMedia browser, dan browser akan menampilkan permintaan izin sebelum kamera menyala. Aliran video diproses secara lokal di perangkatmu dan tidak pernah dikirim ke server kami. Hanya gambar akhir yang kamu ambil yang diunggah.

2g. Pesan suara, video & akses mikrofon

Untuk acara Phone Guestbook, aplikasi meminta akses mikrofon (dan kamera depan untuk pesan video) melalui API browser, dengan permintaan izin dari browser terlebih dahulu. Rekaman diproses di perangkat, lalu satu pesan diunggah ke Firebase Storage bersama nama tampilan tamu, durasi, jenis file, dan waktu perekaman. Pesan bersifat privat dan hanya dapat diputar, diunduh, atau dihapus oleh tuan rumah acara.

2h. Data pembayaran

Untuk acara berbayar yang dibeli di situs web, kami menggunakan gerbang pembayaran Midtrans. Kami menyimpan ID pesanan, jumlah yang dibayar, status transaksi, dan stempel waktu pembayaran di Cloud Firestore. Pembayaran diproses oleh Midtrans; kami tidak pernah menerima, menyimpan, atau memproses nomor kartu, rekening bank, atau detail instrumen pembayaran apa pun. Data sensitif pembayaran sepenuhnya ditangani oleh Midtrans sesuai standar PCI-DSS mereka. Pembelian di aplikasi iOS dijelaskan di 2m.

2i. Analitik produk

Kami menggunakan PostHog untuk memahami cara orang memakai satualbum: halaman yang dibuka, tombol yang diklik, langkah pembuatan acara yang diselesaikan atau ditinggalkan, serta data teknis seperti jenis perangkat dan browser. Tanpa persetujuan cookie analitik, PostHog berjalan dalam mode tanpa cookie: tidak ada cookie maupun data yang disimpan di perangkatmu, tidak ada rekaman sesi, dan setiap pemuatan halaman dihitung sebagai pengunjung anonim yang baru, sehingga kami tidak bisa mengenali kunjungan berulang. Jika kamu membayar album, ID pengunjung anonim dari halaman tempat kamu membayar dihubungkan ke akunmu di server kami, agar pembelian tercatat dalam kunjungan yang sama dengan langkah-langkah sebelumnya; tidak ada yang disimpan di perangkatmu untuk ini. Jika kamu mengizinkan cookie analitik, PostHog menyimpan pengenal di browser agar kunjungan berulang dan alur pemakaian dapat dianalisis, dan merekam sesi (session replay), yaitu rekaman interaksi layar untuk mendiagnosis masalah. Semua kolom isian disensor secara otomatis, dan area yang menampilkan wajah atau data pribadi (tampilan kamera, galeri foto, dan kolom nama tamu) diblokir sehingga tidak ikut terekam.

2j. Pengukuran iklan (Meta; bisa kamu tolak)

Jika kamu mengizinkan cookie pengukuran iklan, kami memuat Meta Pixel dan mengirim peristiwa konversi (pendaftaran, pembuatan acara, pembelian) ke Meta melalui Pixel di browser dan Conversions API di server kami, agar kami tahu iklan mana yang menghasilkan pelanggan. Data yang dikirim ke Meta dapat mencakup alamat email, nama depan, dan negaramu dalam bentuk hash SHA-256, pengenal akun dalam bentuk hash, alamat IP, user agent browser, dan cookie _fbp/_fbc; Pixel juga menerima pengenal akunmu dalam bentuk hash (juga untuk sesi tanpa akun) serta emailmu dalam bentuk hash bila kamu masuk dengan akun. Server kami mengirim alamat halaman tanpa query string-nya; Pixel, bila kamu izinkan, melaporkan alamat halaman seperti yang tampil di browser. Di /unsubscribe dan /auth tidak ada apa pun yang dikirim ke Meta. Sebelum kamu memilih, Pixel tidak dimuat dan tidak ada cookie Meta yang dibuat, tetapi server kami tetap dapat mengirim peristiwa kunjungan dan konversi (kunjungan halaman, mulai membuat album, pembuatan acara, pendaftaran, checkout) ke Meta melalui Conversions API, hanya jika kamu tiba lewat klik iklan Meta atau masuk dengan akun: berisi ID klik iklan tersebut (dari cookie pihak pertama kami sa_ad), user agent browser, pengenal akunmu dalam bentuk hash (juga untuk sesi tanpa akun), serta emailmu dalam bentuk hash bila kamu masuk dengan akun, dan alamat IP — tanpa cookie _fbp/_fbc. Ada dua pengecualian. Saat kamu membuat album, server kami mengirim satu kali peristiwa "album dibuat" ke Meta selama kamu belum menolak, termasuk sebelum kamu memilih: peristiwa ini membawa pengenal akunmu dalam bentuk hash (juga untuk sesi tanpa akun), email dalam bentuk hash bila kamu masuk dengan akun, alamat IP, user agent browser, ID klik iklan dari sa_ad, serta cookie _fbp/_fbc bila sudah ada di perangkatmu. Dan saat kamu membayar, server kami melaporkan pembelian (jumlah dan mata uang) ke Meta selama kamu belum menolak, termasuk sebelum kamu memilih: berisi email, nomor telepon (bila akunmu punya), nama depan, negara, dan pengenal akunmu dalam bentuk hash (juga untuk sesi tanpa akun), ID klik iklan dari sa_ad, user agent browser, dan alamat IP — ditambah cookie _fbp/_fbc hanya bila kamu mengizinkan cookie pengukuran iklan. Jika kamu menolak ("Hanya yang diperlukan"), Pixel tidak dimuat dan tidak ada peristiwa apa pun yang dikirim ke Meta, termasuk dari sisi server.

2k. Atribusi kreator & sumber kunjungan

Jika kamu tiba melalui tautan kreator (satualbum.id/r/nama), kami menyimpan nama kreator tersebut di cookie sa_ref agar komisi mereka dapat kami bayarkan bila kamu nantinya berlangganan. Jika kamu tiba melalui tautan iklan (parameter utm_ atau ID klik iklan seperti fbclid), kami menyimpan sumber kunjungan pertama itu di cookie sa_ad agar kami tahu iklan mana yang berhasil; dengan persetujuan analitik, salinannya juga disimpan di localStorage bersama situs perujuk. Data ini bersifat first-party, tidak dijual, dan tidak dibagikan ke pihak ketiga selain sebagaimana dijelaskan di bagian 2j.

2l. Data teknis & log

Penyedia infrastruktur kami (Google Firebase dan Vercel) mencatat data teknis standar seperti alamat IP, user agent, dan log permintaan sebagai bagian dari pengoperasian dan pengamanan layanan. Kami juga menerapkan pembatasan laju permintaan berbasis alamat IP untuk mencegah penyalahgunaan.

2m. Aplikasi iOS satualbum

Aplikasi iOS satualbum memakai album, akun, dan server yang sama dengan situs web, dan semua yang tertulis di kebijakan ini juga berlaku untuknya. Yang berbeda di aplikasi:

• Izin. Aplikasi meminta izin iOS untuk kamera (memotret, merekam pesan video untuk buku tamu, dan memindai kode QR album), mikrofon (pesan suara dan video untuk buku tamu), dan, saat kamu menyimpan foto atau kode QR, izin untuk menambahkannya ke galeri fotomu. Memilih gambar dari galeri (misalnya sampul album) memakai pemilih foto iOS, yang hanya memberikan foto yang kamu pilih kepada aplikasi. Foto diproses dengan tampilan film di ponselmu, dan hanya foto akhirnya yang diunggah.
• Kuota tamu. Sebagai pengganti cookie dan sidik jari perangkat (2d), aplikasi menyimpan kunci perangkat acak di Keychain iOS dan juga membaca pengenal vendor (IDFV), yaitu ID yang diberikan Apple untuk ponselmu kepada tiap pembuat aplikasi. Keduanya hanya disimpan di daftar perangkat album yang kamu ikuti, untuk menghitung satu slot tamu per ponsel, dan tidak pernah dipakai untuk iklan atau pelacakan.
• Pembelian di App Store. Di aplikasi, paket berbayar dan tambahan dibeli sebagai pembelian dalam aplikasi lewat App Store milik Apple dan dikelola oleh RevenueCat atas nama kami. Pembayaran diterima oleh Apple; kami dan RevenueCat tidak pernah melihat data kartu atau rekening bankmu. RevenueCat menerima ID pengguna satualbum-mu, album dan pesanan yang dibeli, serta detail transaksi dari Apple (produk, harga, mata uang, tanggal, dan ID transaksi), dan server kami menyimpan detail yang sama untuk mengaktifkan album. Permintaan pengembalian dana untuk pembelian di App Store diurus oleh Apple.
• Masuk dengan Apple. Jika kamu masuk dengan Apple, kami menerima alamat email dan, pada kali pertama, namamu. Jika kamu memilih Sembunyikan Email Saya (Hide My Email), yang kami terima adalah alamat relay pribadi dari Apple (misalnya @privaterelay.appleid.com), dan email dari kami sampai kepadamu melalui Apple. Akun tidak wajib: kamu bisa membuat, bergabung ke, dan membayar album tanpa akun.
• Analitik. Aplikasi meminta persetujuan analitiknya sendiri. Tanpa persetujuan, PostHog berjalan tanpa menyimpan apa pun di ponselmu, dan setiap kali aplikasi dibuka dihitung sebagai pengunjung anonim yang baru. Dengan persetujuan, PostHog menyimpan pengenal di ponselmu dan, jika kamu punya akun, menghubungkan pemakaianmu dengan alamat emailmu. PostHog memperkirakan lokasi kasar (negara dan kota) dari alamat IP. Aplikasi tidak merekam sesi, tidak memuat SDK iklan maupun Meta Pixel, tidak mengirim apa pun ke Meta, dan tidak melacakmu di aplikasi atau situs milik perusahaan lain.
• Laporan error. Jika pelaporan error diaktifkan, aplikasi mengirim laporan crash dan sebagian kecil catatan waktu kinerja ke Sentry: errornya, versi aplikasi dan iOS, serta model perangkat, tanpa nama atau emailmu.
• Laporan foto. Jika kamu melaporkan sebuah foto, kami mencatat album, foto, alasan, dan ID pengguna satualbum-mu (ID anonim aplikasi jika kamu tidak punya akun). Foto itu langsung disembunyikan di ponselmu dan laporannya ditinjau oleh tim kami. Memblokir seorang tamu hanya berlaku di ponselmu.
• Di ponselmu. Aplikasi menyimpan sesi masukmu, kunci perangkat, pilihan bahasa dan persetujuanmu, album yang kamu ikuti, tamu yang kamu blokir, draf album, dan foto yang menunggu diunggah, sampai foto itu terunggah atau aplikasinya kamu hapus.
• Menghapus data. Jika kamu punya akun, menghapus akun dari layar akun di aplikasi akan menghapus akunmu dan semua album yang kamu buat beserta foto, tamu, dan pesannya; jika kamu masuk dengan Apple, kami juga mencabut akses aplikasi ke Apple ID-mu. Tanpa akun, pilihan untuk menghapus album dan datamu di layar yang sama menghapus semua album yang kamu buat. Catatan pembayaran dan transaksi App Store tetap disimpan sesuai kewajiban hukum perpajakan dan akuntansi, dan RevenueCat menyimpan catatan pembeliannya sesuai kebijakannya sendiri. Foto yang kamu ambil sebagai tamu di album orang lain tetap ada di album itu sampai tuan rumahnya menghapus foto itu atau albumnya.
• Penyedia layanan untuk aplikasi: Google Firebase, Vercel, Apple, RevenueCat, PostHog, Sentry, dan Resend (lihat bagian 5).

Google Firebase (Authentication, Cloud Firestore, Storage)

Dioperasikan oleh Google LLC. Menyimpan email dan hash password, konfigurasi acara, data tamu, metadata foto, file foto, thumbnail, serta pesan suara dan video. Data dapat disimpan di server yang berlokasi di luar Indonesia. Lihat firebase.google.com/support/privacy.

Vercel

Hosting dan pengiriman aplikasi. Memproses alamat IP dan log permintaan sebagai bagian dari pengoperasian. Lihat vercel.com/legal/privacy-policy.

Midtrans

Gerbang pembayaran untuk pembelian di situs web. Memproses pembayaran untuk acara berbayar dan menerima detail instrumen pembayaran sesuai standar PCI-DSS. Kami menerima notifikasi webhook yang hanya berisi status transaksi dan ID pesanan, bukan data kartu atau rekening. Lihat midtrans.com/privacy-policy.

Apple (App Store, Masuk dengan Apple)

Mendistribusikan aplikasi iOS, memproses pembayaran pembelian dalam aplikasi, dan menyediakan Masuk dengan Apple, termasuk alamat relay Sembunyikan Email Saya (lihat 2m). Lihat apple.com/legal/privacy.

RevenueCat

Mengelola pembelian dalam aplikasi iOS atas nama kami: menerima ID pengguna satualbum-mu, album dan pesanan yang dibeli, serta detail transaksi App Store, lalu mengonfirmasi pembeliannya ke server kami. Tidak pernah menerima data kartu atau rekening. Lihat revenuecat.com/privacy.

Sentry (jika diaktifkan)

Laporan error dan catatan kinerja dari aplikasi iOS: jenis error, versi aplikasi dan iOS, serta model perangkat, tanpa nama atau email. Lihat sentry.io/privacy.

Resend

Pengiriman email transaksional (verifikasi akun dan pengingat pembayaran). Memproses alamat email penerima dan isi email. Lihat resend.com/legal/privacy-policy.

PostHog

Analitik produk: tanpa cookie jika kamu tidak menyetujui, dengan pengenal browser dan rekaman sesi jika kamu menyetujui (lihat 2i). Permintaan diarahkan melalui domain kami sendiri (/ingest) agar tidak diblokir pemblokir iklan; ini tidak mengubah data apa pun yang dikirim. Lihat posthog.com/privacy.

Meta Platforms (pengukuran iklan; berhenti sepenuhnya jika kamu menolak)

Pengukuran efektivitas iklan melalui Meta Pixel dan Conversions API, sebagaimana dijelaskan di bagian 2j. Lihat facebook.com/privacy/policy.