1. Pendahuluan

PT Vintora Teknologi Indonesia ("Perusahaan", "kami") mengoperasikan platform CRIVE — platform kreator ekonomi berbasis AI dengan misi "Monetize Your GENIUS" — melalui aplikasi mobile dan situs web crive.app ("Layanan").

Kebijakan ini menjelaskan bagaimana kami mengumpulkan, menggunakan, dan mengungkapkan data pribadi Anda, serta hak-hak Anda sebagai Subjek Data berdasarkan Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP").

Dengan menggunakan Layanan, Anda menyetujui kebijakan ini. Jika tidak setuju, harap tidak menggunakan Layanan kami.

2. Data Pribadi yang Kami Kumpulkan

2.1 Data yang Anda Berikan Langsung

• Nama lengkap dan nama tampilan
• Alamat email dan nomor telepon
• Foto profil
• Akun media sosial yang dihubungkan (Instagram, TikTok, YouTube, Facebook, LinkedIn, Twitter/X)
• Konten yang Anda buat (teks, gambar, video)
• Preferensi dan pengaturan akun
• Informasi pembayaran melalui Midtrans, Xendit, Apple App Store (iOS), dan Google Play (Android) — kami tidak menyimpan data kartu secara langsung

2.2 Data yang Dikumpulkan Otomatis

• Data penggunaan: fitur yang diakses, frekuensi, durasi sesi
• Data perangkat: jenis, OS, versi aplikasi, identifier
• Data log: alamat IP, waktu akses, halaman yang dikunjungi
• Lokasi umum (kota/wilayah) berdasarkan IP
• Data perilaku: pola interaksi untuk peningkatan Layanan
• Cookie dan teknologi pelacak di situs crive.app

2.3 Data dari Pihak Ketiga

• Profil dari platform media sosial yang Anda sambungkan via OAuth
• Data analitik performa konten dari platform yang terhubung

3. Tujuan dan Dasar Hukum Pemrosesan

4. Pengungkapan Data kepada Pihak Ketiga

4.1 Penyedia Layanan (Sub-Processor)

Total: 20 penyedia aktif + 2 tidak aktif.

4.2 Pengungkapan Hukum

Kami dapat mengungkapkan data jika diwajibkan oleh hukum, perintah pengadilan, atau otoritas pemerintah yang berwenang.

4.3 Transfer Data Internasional

Transfer data lintas batas dilakukan dengan perlindungan setara sesuai Pasal 35–37 UU PDP melalui Data Processing Agreement (DPA).

4.4 Data yang Tidak Digunakan untuk AI Training

1. Data keuangan dan perbankan
2. Data medis dan kesehatan
3. Data hukum dan peradilan
4. Dokumen identitas pemerintah (KTP, Paspor, NPWP)
5. Data biometrik
6. Data anak-anak (di bawah 18 tahun)
7. Data keyakinan agama dan pandangan politik

5. Hak-Hak Anda sebagai Subjek Data

Berdasarkan UU PDP No. 27/2022, Anda memiliki hak berikut:

6. Keamanan Data

CRIVE menerapkan arsitektur keamanan 7 lapis sesuai CVE-003 v7.0.0 §69:

• Enkripsi transit: TLS 1.3
• Enkripsi at-rest: AES-256 pada database dan file storage
• Autentikasi: JWT RS256 (token akses 15 menit + refresh 30 hari)
• Kontrol akses: Role-Based Access Control (RBAC)
• Monitoring: Audit log dan pemantauan real-time
• Pengujian: Assessment keamanan OWASP Top 10 rutin
• Password: Argon2id hashing dengan salt 16-byte

7. Retensi dan Penghapusan Data

8. Notifikasi Pelanggaran Data

• Notifikasi ke otoritas dalam 3×24 jam (standar CRIVE — lebih ketat dari UU PDP 14 hari)
• Notifikasi ke Subjek Data terdampak tanpa penundaan yang tidak semestinya
• Kontak pelaporan: privacy@crive.app

9. Cookie dan Pelacakan

• Esensial: Diperlukan agar situs berfungsi — tidak dapat dinonaktifkan
• Analitik: Memahami penggunaan situs — dapat dinonaktifkan
• Personalisasi: Mengingat preferensi — dapat dinonaktifkan

Anda dapat mengontrol cookie melalui banner persetujuan atau pengaturan browser.

10. Persetujuan AI dan Pelatihan Model

• Secara default, persetujuan AI training aktif (ai_training_consent = TRUE)
• Anda dapat opt-out kapan saja via Pengaturan Privasi > Persetujuan AI
• 7 kategori data sensitif (lihat Bagian 4.4) tidak pernah digunakan untuk AI

11. Perlindungan Anak

CRIVE tidak ditujukan untuk anak di bawah 17 tahun. Jika Anda mengetahui seorang anak telah memberikan datanya kepada kami, segera hubungi privacy@crive.app.

12. Data Protection Officer

13. Perubahan Kebijakan

Perubahan material akan diberitahukan melalui email atau notifikasi dalam aplikasi minimal 30 hari sebelum berlaku efektif.

1. Introduction

PT Vintora Teknologi Indonesia ("Company", "we") operates CRIVE — an AI-powered creator economy platform with the mission "Monetize Your GENIUS" — via its mobile app and website crive.app ("Service").

This policy describes how we collect, use, and disclose your personal data, and your rights under Indonesian Law No. 27/2022 on Personal Data Protection ("UU PDP"). By using the Service, you agree to this policy.

2. Personal Data We Collect

2.1 Data You Provide

• Full name and display name
• Email address and phone number
• Profile photo
• Linked social media accounts (Instagram, TikTok, YouTube, Facebook, LinkedIn, Twitter/X)
• Content you create (text, images, videos)
• Account preferences and settings
• Payment info processed via Midtrans, Xendit, Apple App Store (iOS), and Google Play (Android) — we do not store card data directly

2.2 Automatically Collected Data

• Usage data: features accessed, frequency, session duration
• Device data: type, OS, app version, identifiers
• Log data: IP address, access time, pages visited
• General location (city/region) based on IP
• Behavioral data: interaction patterns for Service improvement
• Cookies and tracking technologies on crive.app

2.3 Data from Third Parties

• Profiles from social media platforms connected via OAuth
• Content performance analytics from connected platforms

3. Purpose and Legal Basis

4. Disclosure to Third Parties

4.1 Sub-Processors

Total: 20 active providers + 2 retired.

4.2 Legal Disclosure

We may disclose data when required by law, court orders, or authorized government requests.

4.3 International Data Transfers

Cross-border transfers are conducted with equivalent protection per Articles 35–37 UU PDP through Data Processing Agreements (DPA).

4.4 Data Excluded from AI Training

1. Financial and banking data
2. Medical and health data
3. Legal and judicial data
4. Government ID documents (KTP, Passport, Tax ID)
5. Biometric data
6. Children's data (under 18)
7. Religious beliefs and political views

5. Your Rights as a Data Subject

Under UU PDP No. 27/2022, you have the following rights:

6. Data Security

CRIVE implements a 7-layer security architecture per CVE-003 v7.0.0 §69:

• Transit encryption: TLS 1.3
• At-rest encryption: AES-256 on database and file storage
• Authentication: JWT RS256 (15-minute access + 30-day refresh tokens)
• Access control: Role-Based Access Control (RBAC)
• Monitoring: Real-time audit logs and security monitoring
• Testing: Regular OWASP Top 10 security assessments
• Passwords: Argon2id hashing with 16-byte salt

7. Data Retention and Deletion

8. Data Breach Notification

• Notify authority within 3×24 hours (CRIVE standard — stricter than UU PDP 14-day requirement)
• Notify affected Data Subjects without undue delay
• Breach reporting contact: privacy@crive.app

9. Cookies and Tracking

• Essential: Required for site functionality — cannot be disabled
• Analytics: Help us understand site usage — can be disabled
• Personalization: Remember your preferences — can be disabled

You can manage cookies through the consent banner or your browser settings.

10. AI Consent and Model Training

• By default, AI training consent is on (ai_training_consent = TRUE)
• You may opt out at any time via Privacy Settings > AI Consent
• 7 categories of sensitive data (see Section 4.4) are never used for AI training

11. Children's Privacy

CRIVE is not intended for children under 17. If you learn that a child has provided personal data to us, contact privacy@crive.app immediately.

12. Data Protection Officer

13. Policy Changes

Material changes will be notified via email or in-app notification at least 30 days before taking effect.