Terakhir diperbarui: 12 Oktober 2026. Versi: 1.1
Kebijakan ini menjelaskan bagaimana Asep (perseorangan) ("Hepifun", "kami"), beralamat di Mojokerto, Jawa Timur, Indonesia, menjadi Pengendali Data Pribadi atas data Anda di hepifun.com, sesuai Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP") dan peraturan terkait.
1. Data yang Kami Kumpulkan
| Kategori | Contoh | Sumber |
|---|---|---|
| Akun | nama, email, kata sandi (disimpan sebagai hash, bukan teks asli), avatar | Anda |
| Data akun Google (bila login dengan Google) | ID akun Google, nama, alamat email, foto profil, status verifikasi email. Kami hanya meminta cakupan dasar (openid, email, profil) dan tidak mengakses Gmail, Drive, kontak, atau data Google lain | |
| Konten | prompt, gambar/video/audio referensi yang Anda unggah (dapat memuat wajah dan suara orang, yang dapat tergolong data biometrik/data pribadi spesifik), hasil video/gambar, karakter, film, riwayat job | Anda dan sistem |
| Transaksi | paket/nominal topup, status pembayaran, referensi gateway, metode pembayaran (kami tidak menyimpan nomor kartu atau rekening), riwayat token | Anda dan penyedia pembayaran |
| Teknis dan keamanan | alamat IP, jenis perangkat/peramban, cookie sesi, log akses, log aktivitas dan upaya login, jejak audit | Otomatis |
| Pencegahan penyalahgunaan bonus/promo | (a) ID perangkat acak yang kami buat dan simpan di peramban Anda; (b) email yang dinormalisasi atau ID akun Google (sub); (c) alamat IP; (d) sidik jari peramban, yaitu hash yang dihitung di peramban Anda dari user agent, platform, bahasa, zona waktu, ukuran layar, jumlah inti CPU, memori perangkat, jumlah titik sentuh, dan hasil render canvas/WebGL. Di server, semua sinyal ini hanya kami simpan dalam bentuk HMAC-SHA256 dengan kunci rahasia server, bukan nilai mentahnya (lihat Bagian 2, 4, dan 7) | Otomatis dan akun Anda |
| Analitik penggunaan (Google Analytics 4) | halaman yang dikunjungi, perangkat dan peramban, sistem operasi, bahasa, perkiraan lokasi (tingkat kota/wilayah, bukan lokasi tepat), sumber kunjungan, interaksi pada halaman, pengenal cookie _ga | Otomatis (Google Analytics) |
| Komunikasi | pesan ke dukungan, laporan konten | Anda |
Kami tidak sengaja mengumpulkan data anak di bawah 18 tahun. Layanan ini bukan untuk mereka.
2. Tujuan dan Dasar Pemrosesan
| Tujuan | Dasar pemrosesan (Pasal 20 UU PDP) |
|---|---|
| Membuat dan mengelola akun, autentikasi, reset kata sandi | Pelaksanaan perjanjian |
| Memproses job pembuatan video/gambar (mengirim Input ke penyedia AI) | Pelaksanaan perjanjian; persetujuan eksplisit untuk Input yang memuat data pribadi spesifik (mis. wajah) |
| Memproses topup, token, kuitansi, refund, rekonsiliasi | Pelaksanaan perjanjian; kewajiban hukum (pembukuan, pajak) |
| Keamanan, pencegahan penipuan dan penyalahgunaan, moderasi konten, penegakan Kebijakan Konten | Kepentingan yang sah; kewajiban hukum |
| Memastikan bonus token pendaftaran dan harga promo generate pertama hanya diberikan satu kali per orang, serta mendeteksi pembuatan akun massal (sinyal perangkat, email/ID Google, IP, dan sidik jari peramban; lihat penjelasan di bawah tabel ini) | Kepentingan yang sah (pencegahan penipuan dan penyalahgunaan); pelaksanaan perjanjian (syarat promo, yaitu satu kali per orang). Kami tidak memakai persetujuan sebagai dasar untuk pemrosesan ini |
| Memenuhi permintaan aparat/lembaga berwenang | Kewajiban hukum |
| Notifikasi layanan (job selesai, topup berhasil) | Pelaksanaan perjanjian |
| Peningkatan layanan (statistik agregat), termasuk analitik penggunaan situs dan studio melalui Google Analytics untuk memahami halaman yang dipakai, performa, dan sumber kunjungan | Kepentingan yang sah (Anda dapat menolak, lihat Bagian 7) |
| Pemasaran (bila ada) | Persetujuan, dapat dicabut kapan saja |
Pencegahan penyalahgunaan bonus/promo. ID perangkat acak dan email ternormalisasi/ID akun Google dipakai untuk menolak pemberian bonus pendaftaran atau harga promo pada akun kedua dari perangkat atau identitas yang sama; hanya itu akibat otomatisnya. Alamat IP dan sidik jari peramban hanya menjadi penanda untuk tinjauan admin dan tidak pernah menolak bonus/promo atau menutup akun secara otomatis. Admin dapat melihat "akun terkait" (perangkat sama, IP sama, sidik jari sama, atau email setara) tanpa melihat IP mentah, dan dapat menangguhkan akun secara manual setelah menilai. Tidak ada keputusan otomatis lain. Bila Anda merasa bonus/promo ditolak keliru (mis. berbagi perangkat dengan anggota keluarga), hubungi kami (Bagian 10) untuk tinjauan manual. Data ini tidak dijual dan tidak dipakai untuk iklan atau pelacakan lintas situs.
Saat Anda mengunggah gambar/video/audio yang memuat orang, Anda menjamin telah memperoleh persetujuan orang tersebut (lihat Kebijakan Konten). Kami meminta persetujuan eksplisit Anda pada saat unggah/pendaftaran untuk pemrosesan ini. Kami memperlakukan citra dan suara orang sebagai data pribadi yang perlu dilindungi secara ekstra dan tidak memakainya untuk mengidentifikasi orang atau membuat templat biometrik. Anda dapat menarik persetujuan dengan menghapus Input atau akun Anda (lihat Bagian 5).
3. Pihak Ketiga dan Transfer Lintas Negara
Kami membagikan data hanya seperlunya kepada Prosesor/penerima berikut:
| Pihak | Peran | Data | Lokasi |
|---|---|---|---|
| Alibaba Cloud (Model Studio), wilayah Singapura | Pemrosesan AI: menghasilkan video/gambar/teks dan moderasi | Prompt, Input referensi, Output | Singapura (dan sesuai infrastruktur Alibaba) |
| MySibayar / iPaymu (payment gateway) | Pemrosesan pembayaran | Nominal, ID pesanan, nama/email, data pembayaran yang Anda masukkan di halaman mereka | Indonesia dan/atau sesuai lokasi infrastruktur penyedia |
| Resend | Pengiriman email (reset kata sandi, notifikasi transaksi) | Email, nama, isi email | Amerika Serikat |
| Login dengan Google | Data profil dasar tersebut di atas | Global/AS | |
| Penyedia VPS pihak ketiga | Hosting server | Seluruh data | Dapat berada di luar Indonesia |
| Wasabi Technologies | Penyimpanan media (upload dan hasil) serta backup terenkripsi | Media Anda, salinan backup terenkripsi | Singapura |
| Cloudflare | CDN dan DNS situs; perlindungan anti-bot (Turnstile) saat pendaftaran bila diaktifkan | IP, metadata permintaan, sinyal peramban | Global |
| Google LLC (Google Analytics 4) | Pemroses analitik penggunaan situs dan studio | Halaman dikunjungi, perangkat/peramban, perkiraan lokasi, pengenal cookie _ga, sumber kunjungan | Amerika Serikat dan/atau pusat data Google lain di seluruh dunia |
Transfer data ke luar Indonesia dilakukan sesuai Pasal 56 UU PDP: kami memastikan negara tujuan memiliki tingkat pelindungan setara atau lebih tinggi; bila tidak, kami memastikan ada pelindungan yang memadai dan mengikat, atau meminta persetujuan Anda. Dengan memakai fitur terkait, Anda menyetujui transfer ini sejauh diperlukan. Kami tidak menjual data pribadi Anda. Kami juga dapat mengungkap data kepada aparat/lembaga berwenang berdasarkan hukum dan prosedur yang sah.
Alibaba Cloud memproses data sesuai perjanjian layanan dan kebijakannya sendiri, yang dapat berubah dan dapat Anda baca di situs Alibaba Cloud. Kami tidak memakai Konten Anda untuk melatih model kami sendiri.
4. Retensi
| Data | Disimpan |
|---|---|
| Akun dan profil | Selama akun aktif; dihapus/dianonimkan dalam 30 hari setelah penghapusan akun |
| Input dan Output (aset, galeri, karakter) | Media disimpan selama akun Anda aktif, sampai Anda menghapusnya atau akun ditutup; media sementara di penyedia AI mengikuti kebijakan mereka (umumnya jangka pendek) |
| Data transaksi, kuitansi, ledger token | 10 tahun untuk kewajiban pembukuan dan pajak (dapat dipertahankan walau akun dihapus, dengan data minimum) |
| Log keamanan dan akses | 6 sampai 12 bulan; kewajiban penyimpanan log sistem elektronik tunduk pada peraturan |
| Laporan konten dan bukti pelanggaran | Selama diperlukan untuk penindakan dan proses hukum |
| Backup | Berotasi: 14 backup harian dan 8 backup mingguan |
| Sinyal IP dan sidik jari peramban untuk pencegahan penyalahgunaan (dalam bentuk HMAC) | 90 hari, lalu dihapus otomatis |
| Sinyal klaim bonus/promo (ID perangkat, email ternormalisasi/ID Google, dalam bentuk HMAC, beserta catatan klaimnya) | Selama akun aktif, dan hingga 12 bulan setelah akun dihapus (lalu dihapus otomatis), agar hapus akun lalu daftar ulang tidak memberi bonus/promo lagi. Yang disimpan hanya nilai HMAC dan catatan klaim, tanpa nama atau konten Anda |
| Data analitik Google Analytics | 14 bulan (pengaturan retensi data Google Analytics kami); setelah itu dihapus otomatis oleh Google. Cookie _ga berlaku hingga 2 tahun sejak aktivitas terakhir Anda dan diperbarui saat Anda berkunjung lagi |
5. Hak Anda
Sesuai Pasal 5 sampai 15 UU PDP Anda berhak: memperoleh informasi pemrosesan; mengakses dan memperoleh salinan data; melengkapi/memperbarui/memperbaiki data; mengakhiri pemrosesan, menghapus, dan/atau memusnahkan data; menarik persetujuan; mengajukan keberatan atas keputusan berbasis pemrosesan otomatis; menunda atau membatasi pemrosesan; menggugat dan menerima ganti rugi atas pelanggaran; serta memperoleh/menggunakan data dalam bentuk yang lazim (portabilitas). Sebagian dapat dilakukan langsung di aplikasi (ubah profil, hapus aset, hapus akun). Untuk lainnya, kirim permintaan ke ciggurich@gmail.com. Kami menanggapi dalam waktu paling lama 3x24 jam untuk konfirmasi dan 30 hari untuk penyelesaian, dan dapat meminta verifikasi identitas. Hak dapat dikecualikan sesuai UU PDP (mis. kewajiban hukum, penegakan hukum). Khusus sinyal klaim bonus/promo, permintaan penghapusan akun atau data tidak menghapus sinyal HMAC dan catatan klaim yang kami perlukan untuk mencegah klaim ulang (lihat Bagian 4), karena kepentingan sah pencegahan penyalahgunaan; data tersebut tidak dipakai untuk tujuan lain. Anda tetap dapat meminta akses, koreksi, atau keberatan atas penolakan bonus/promo dan kami akan meninjaunya secara manual. Menarik persetujuan dapat membuat sebagian fitur tidak bisa dipakai.
6. Keamanan
Kami menerapkan langkah teknis dan organisasi yang wajar: HTTPS dan HSTS, kata sandi di-hash, cookie Secure/HttpOnly, pembatasan akses dan isolasi data per pengguna, media bertanda tangan, rate limit dan perlindungan anti-penyalahgunaan, rahasia sistem terenkripsi, 2FA wajib untuk admin, jejak audit, dan backup berkala. Tidak ada sistem yang sepenuhnya aman; jaga kerahasiaan kata sandi Anda. Bila terjadi kegagalan pelindungan data pribadi, kami akan memberi pemberitahuan tertulis kepada Anda dan lembaga berwenang paling lambat 3x24 jam sesuai Pasal 46 UU PDP, berikut data yang terungkap, waktu, dan upaya penanganan.
7. Cookie
Cookie yang diperlukan. Kami memakai cookie yang diperlukan untuk sesi login dan keamanan (CSRF), serta cookie ID perangkat di bawah ini.
Cookie dan penyimpanan lokal untuk pencegahan penyalahgunaan. Kami menyimpan ID perangkat acak di cookie __Host-hf_did (HttpOnly, Secure; berlaku hingga 2 tahun dan diperpanjang saat Anda berkunjung lagi). Salinan cadangannya disimpan di localStorage/IndexedDB peramban Anda dengan kunci hf_did, agar tetap dikenali bila cookie dihapus. Ini dipakai untuk pencegahan penyalahgunaan bonus/promo (Bagian 2), bukan untuk iklan atau pelacakan lintas situs. Sidik jari peramban dihitung di peramban Anda menjadi hash SHA-256 sebelum dikirim ke kami. Anda dapat menghapus cookie dan data situs lewat pengaturan peramban, tetapi penghapusan ini tidak menghapus catatan klaim yang sudah tersimpan di server (Bagian 4), dan memblokirnya dapat membuat bonus/promo tidak diberikan atau akun ditinjau admin.
Cookie analitik. Di halaman publik dan studio (/app), kami memakai Google Analytics 4 dari Google LLC. Google Analytics memasang cookie _ga (dan cookie turunan _ga_*) di peramban Anda untuk mengenali kunjungan berulang secara pseudonim. Kami tidak memasang Google Analytics di halaman admin dan halaman reset kata sandi. Alamat URL yang dikirim ke Google tidak menyertakan query string, kecuali parameter kampanye (utm_*, gclid, fbclid), sehingga token atau email di URL tidak terkirim. Google Analytics 4 tidak mencatat atau menyimpan alamat IP lengkap Anda. Kami tidak mengirim nama, email, prompt, atau media Anda ke Google Analytics. Kami tidak memakai data ini untuk iklan dan tidak mengaktifkan fitur iklan atau personalisasi iklan. Google memproses data ini atas nama kami dan sesuai ketentuan serta kebijakan privasinya sendiri.
Cara menolak atau mengendalikan. Anda dapat (a) memblokir atau menghapus cookie lewat pengaturan peramban, (b) memasang Google Analytics Opt-out Browser Add-on agar data kunjungan Anda tidak dikirim ke Google Analytics, atau (c) memakai fitur Do Not Track, pemblokir pelacak, atau mode penyamaran peramban Anda. Menolak analitik tidak mengurangi fitur layanan. Menghapus cookie sesi dapat membuat Anda keluar dari akun. Untuk hak lain atas data analitik, hubungi kami (Bagian 5 dan 10).
Cookie iklan tidak kami pakai. Bila nanti kami menambahkannya, kami memperbarui kebijakan ini dan meminta persetujuan Anda lebih dulu.
8. Anak
Layanan untuk usia 18 tahun ke atas. Bila kami mengetahui data anak terkumpul tanpa persetujuan sah orang tua/wali, kami akan menghapusnya.
9. Perubahan
Perubahan material kami beritahukan melalui email atau banner aplikasi sebelum berlaku. Tanggal pembaruan tertera di atas.
10. Kontak
Pejabat/petugas pelindungan data atau penanggung jawab privasi: Asep (pemilik), email ciggurich@gmail.com, Mojokerto, Jawa Timur, Indonesia. Anda juga dapat mengadu kepada lembaga pelindungan data pribadi yang berwenang bila sudah dibentuk dan berfungsi.