Kebijakan Privasi & Pelindungan Data Pribadi

Pasal 1: Ketentuan Umum & Definisi

Dalam Kebijakan Privasi ini, istilah-istilah berikut memiliki pengertian sebagaimana diuraikan di bawah ini:

1. "Perusahaan" berarti PT. NBW Tours & Travel, badan hukum yang didirikan berdasarkan hukum Republik Indonesia, bertindak sebagai Pengendali Data Pribadi.
2. "Platform" berarti situs web resmi, aplikasi seluler, sistem reservasi, dan antarmuka digital yang dioperasikan oleh Perusahaan.
3. "Data Pribadi" berarti setiap data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasikan dengan informasi lainnya baik secara langsung maupun tidak langsung melalui sistem elektronik atau non-elektronik.
4. "Subjek Data" berarti orang perseorangan pada diri siapa Data Pribadi melekat, termasuk calon jamaah, wisatawan, pelanggan korporasi, dan pengunjung Platform.
5. "Pemrosesan Data Pribadi" mencakup perolehan, pengumpulan, pengolahan, penganalisisan, penyimpanan, perbaikan, pembaruan, penampilan, pengumuman, transfer, penyebarluasan, pengungkapan, penghapusan, dan/atau pemusnahan Data Pribadi.
6. "UU PDP" berarti Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi beserta peraturan pelaksanaannya.
7. "GDPR" berarti General Data Protection Regulation (Regulation (EU) 2016/679).
8. "Saudi PDPL" berarti Undang-Undang Pelindungan Data Pribadi Kerajaan Arab Saudi (Royal Decree No. M/19) dan regulasi Kementerian Haji & Umrah.

Pasal 2: Ruang Lingkup & Pengendali Data Pribadi

2.1 Kebijakan Privasi ini berlaku untuk seluruh Data Pribadi yang dikumpulkan dan diproses oleh Perusahaan sehubungan dengan penyediaan layanan biro perjalanan wisata, mencakup ibadah Umrah, ibadah Haji Khusus, paket wisata mancanegara dan domestik, pemesanan tiket penerbangan, reservasi akomodasi, layanan korporasi (MICE), serta penyewaan transportasi bus pariwisata.

2.2 Perusahaan bertindak sebagai Pengendali Data Pribadi yang menentukan tujuan dan melakukan kendali pemrosesan Data Pribadi Anda.

Pasal 3: Kategori Data Pribadi yang Dikumpulkan

Guna memenuhi persyaratan hukum keimigrasian, penerbangan, dan akomodasi, Perusahaan mengumpulkan kategori data berikut:

3.1 Data Identitas Umum

• Nama lengkap sesuai Kartu Tanda Penduduk (KTP) atau Paspor.
• Nomor Induk Kependudukan (NIK) dan salinan Kartu Keluarga (KK) / Akta Nikah / Akta Kelahiran untuk keperluan verifikasi mahram atau keluarga.
• Tempat dan tanggal lahir, usia, serta jenis kelamin.
• Nama ayah kandung (dipersyaratkan khusus untuk penerbitan E-Visa Umrah & Haji).

3.2 Data Dokumen Perjalanan Internasional & Imigrasi

• Nomor paspor kebangsaan, tanggal penerbitan, tanggal habis berlaku, dan kantor imigrasi penerbit.
• Salinan digital pindaian halaman identitas paspor beresolusi tinggi.
• Foto biometrik latar belakang putih berstandar ICAO / Kedutaan Besar negara tujuan.
• Rekam riwayat visa dan nomor registrasi platform Nusuk Kerajaan Arab Saudi.

3.3 Data Kontak & Akun Platform

• Alamat domisili lengkap dan kode pos.
• Nomor telepon seluler dan nomor WhatsApp aktif.
• Alamat surat elektronik (email) aktif.
• Kredensial keamanan akun (kata sandi terenkripsi secara kriptografis).

3.4 Data Kesehatan Spesifik

• Sertifikat vaksinasi internasional (misal: Vaksinasi Meningitis Meningokokus, Covid-19, Polio) yang diwajibkan oleh otoritas kesehatan Republik Indonesia dan negara tujuan.
• Catatan kondisi disabilitas fisik atau kebutuhan asistensi khusus (kursi roda / diet medis) untuk keselamatan selama perjalanan.

3.5 Data Keuangan & Pembayaran

• Informasi rekening bank pengirim dan bukti transfer pembayaran resmi.
• Riwayat transaksi pemesanan paket, tagihan deposit, dan faktur pelunasan.
• Catatan Keamanan: Perusahaan tidak memproses maupun menyimpan data nomor kartu kredit/debit lengkap atau CVV/PIN. Seluruh otorisasi perbankan diproses langsung melalui Payment Gateway berlisensi Bank Indonesia dengan enkripsi PCI-DSS.

Pasal 4: Dasar Hukum Pemrosesan Data Pribadi

Sesuai dengan Pasal 20 UU PDP dan Pasal 6 GDPR, Perusahaan hanya memproses Data Pribadi Anda berdasarkan dasar hukum yang sah berikut:

1. Persetujuan Eksplisit (Consent): Persetujuan sukarela yang Anda berikan saat melakukan pendaftaran akun, pemesanan paket, atau pengiriman formulir.
2. Pelaksanaan Kontrak (Contractual Necessity): Pemrosesan data yang mutlak diperlukan untuk melaksanakan perjanjian penyediaan jasa perjalanan wisata atau ibadah antara Anda dan Perusahaan.
3. Kepatuhan terhadap Kewajiban Hukum (Legal Obligation): Pemrosesan yang diwajibkan oleh peraturan perundang-undangan, termasuk pelaporan SISKOPATUH Kementerian Agama RI, manifes penerbangan sipil, dan pelaporan perpajakan.
4. Pelindungan Kepentingan Vital (Vital Interests): Pemrosesan data darurat medis apabila diperlukan untuk menyelamatkan jiwa Subjek Data selama perjalanan.

Pasal 5: Tujuan Pemrosesan Data

Data Pribadi Anda diproses semata-mata untuk tujuan-tujuan berikut:

• Memvalidasi pendaftaran dan menerbitkan tanda terima pemesanan paket resmi.
• Menerbitkan tiket pesawat melalui Global Distribution System (GDS) maskapai penerbangan anggota IATA.
• Mengajukan penerbitan Visa Umrah, Visa Haji Khusus, atau Visa Kunjungan Turis ke otoritas kedutaan/kementerian luar negeri terkait.
• Melakukan reservasi kamar hotel, voucher transportasi darat, dan konsumsi halal di destinasi perjalanan.
• Mendaftarkan kepesertaan asuransi perjalanan jiwa, kesehatan, dan bagasi resmi.
• Menyampaikan pembaruan jadwal manasik, jadwal penerbangan, dan koordinasi operasional Tour Leader / Muthawwif.
• Menanggapi pertanyaan, permintaan bantuan, keluhan, atau pengajuan pengembalian dana (refund).

Pasal 6: Pengungkapan & Pembagian Data Kepada Pihak Ketiga

6.1 Perusahaan TIDAK AKAN PERNAH menjual, menyewakan, atau memperdagangkan Data Pribadi Anda kepada pihak ketiga mana pun untuk tujuan periklanan atau pemasaran pihak luar.

6.2 Guna kelancaran operasional perjalanan, Data Pribadi Anda hanya diungkapkan kepada mitra resmi yang terikat kewajiban kerahasiaan (*Data Processing Agreement*), antara lain:

• Kementerian Agama Republik Indonesia: Untuk pendaftaran nomor porsi dan manifes SISKOPATUH.
• Kementerian Luar Negeri & Kedutaan Besar / Otoritas Nusuk Kerajaan Arab Saudi: Untuk pemrosesan visa resmi.
• Maskapai Penerbangan Resmi: Untuk penerbitan tiket dan manifes keselamatan penumpang (API/PNR).
• Penyedia Akomodasi Hotel & Mitra Muassasah / Syarikah Luar Negeri: Untuk reservasi kamar dan layanan *ground handling*.
• Perusahaan Asuransi Perjalanan: Untuk penerbitan polis pertanggungan perlindungan jamaah.
• Penyedia Layanan Pembayaran Berlisensi: Untuk pemrosesan transaksi perbankan yang aman.

Pasal 7: Pengalihan Data Lintas Batas Negara (Cross-Border Transfer)

7.1 Mengingat sifat industri perjalanan wisata internasional dan ibadah ke Tanah Suci, Perusahaan perlu mentransfer Data Pribadi Anda ke luar wilayah Negara Republik Indonesia (khususnya ke Kerajaan Arab Saudi dan negara tujuan wisata).

7.2 Berdasarkan Bab VII UU PDP dan Pasal 44-49 GDPR, Perusahaan memastikan bahwa pengalihan data lintas batas tersebut dilakukan dengan tingkat pelindungan data yang setara, didasarkan pada perjanjian pemrosesan data resmi, atau dilakukan dalam rangka pemenuhan kontrak perjalanan yang Anda minta.

Pasal 8: Penyimpanan, Jangka Waktu Retensi, & Penghapusan Data

8.1 Data Pribadi Anda disimpan secara aman pada pusat data terenkripsi yang memenuhi standar keamanan industri ISO/IEC 27001 dan SOC 2.

8.2 Perusahaan menyimpan Data Pribadi Anda selama jangka waktu yang diperlukan untuk memenuhi tujuan pengumpulan data, atau selama masa retensi minimum yang diwajibkan oleh undang-undang (antara lain: retensi dokumen keuangan dan perpajakan selama 10 tahun, serta regulasi riwayat keberangkatan Kemenhaj RI).

8.3 Setelah jangka waktu retensi berakhir atau atas permintaan penghapusan yang sah dari Anda, Data Pribadi Anda akan dihapus atau dimusnahkan secara permanen menggunakan metode penghancuran data yang aman.

Pasal 9: Hak-Hak Anda Sebagai Subjek Data Pribadi

Berdasarkan Pasal 5 sampai Pasal 13 UU PDP dan Pasal 15 sampai Pasal 22 GDPR, Anda memiliki hak-hak hukum berikut:

• Hak Mendapatkan Informasi: Mengetahui kejelasan identitas, dasar hukum, tujuan pemrosesan, dan pihak penerima Data Pribadi Anda.
• Hak Akses & Salinan Data: Mengakses dan memperoleh salinan Data Pribadi Anda yang tersimpan pada sistem Perusahaan.
• Hak Pembaruan & Rektifikasi: Memperbaiki atau memperbarui Data Pribadi yang tidak akurat, tidak lengkap, atau sudah kedaluwarsa.
• Hak Penghapusan (Right to Erasure): Meminta penghapusan atau pemusnahan Data Pribadi Anda dengan tunduk pada ketentuan retensi hukum yang berlaku.
• Hak Pembatasan Pemrosesan: Menunda atau membatasi pemrosesan Data Pribadi untuk tujuan tertentu.
• Hak Penarikan Persetujuan: Menarik kembali persetujuan yang telah diberikan sewaktu-waktu tanpa memengaruhi keabsahan pemrosesan data sebelumnya.

Pasal 10: Kebijakan Cookie & Teknologi Pelacakan

10.1 Platform Perusahaan menggunakan cookie dan teknologi serupa untuk memastikan kestabilan sesi login, mengingat preferensi mata uang dan bahasa, serta mengumpulkan analisis statistik kinerja web secara anonim.

10.2 Anda memiliki kendali penuh untuk menolak cookie non-esensial melalui banner interaktif atau melalui menu Pusat Preferensi Cookie yang tersedia di setiap halaman.

Pasal 11: Keamanan & Kerahasiaan Data Pribadi

11.1 Perusahaan menerapkan langkah-langkah keamanan teknis dan organisasi yang ketat, termasuk penggunaan enkripsi Secure Socket Layer (SSL/TLS 256-bit) untuk transmisi data, enkripsi basis data saat istirahat (*AES-256 encryption at rest*), pembatasan hak akses berbasis peran (*Role-Based Access Control*), dan pemantauan sistem secara berkala.

11.2 Seluruh staf dan petugas operasional Perusahaan terikat oleh perjanjian kerahasiaan (*Non-Disclosure Agreement*) dan kode etik perlindungan data pribadi.

Pasal 12: Pemberitahuan Kegagalan Pelindungan Data (Data Breach)

Dalam hal terjadi kegagalan pelindungan Data Pribadi (insiden keamanan data yang berdampak pada kerahasiaan data), Perusahaan berkomitmen untuk menyampaikan pemberitahuan tertulis secara resmi dalam waktu paling lambat 3 x 24 (tiga kali dua puluh empat) jam kepada Subjek Data yang terdampak dan Lembaga Pelindungan Data Pribadi sesuai amanat Pasal 46 UU PDP.

Pasal 13: Perlindungan Data Pribadi Anak

Pemrosesan Data Pribadi anak (individu berusia di bawah 18 tahun) untuk keperluan penerbitan tiket dan visa ibadah/wisata wajib memperoleh persetujuan tertulis dari orang tua kandung atau wali yang sah sesuai dengan ketentuan hukum yang berlaku.

Pasal 14: Kontak Pejabat Pelindungan Data (DPO) & Pengaduan

Apabila Anda memiliki pertanyaan, klarifikasi, atau keluhan terkait penerapan Kebijakan Privasi ini, silakan menghubungi pejabat resmi kami:

Pasal 15: Kebijakan Data Pengguna Akun Google (Google API Services User Data Policy)

Platform PT NBW Tours & Travel menyediakan fitur autentikasi masuk cepat menggunakan Akun Google (Google Single Sign-On / Google OAuth 2.0 / Google Identity Services). Sehubungan dengan integrasi ini, Perusahaan memberlakukan kepatuhan penuh terhadap standar perlindungan data pengguna Google sebagai berikut:

1. Data yang Diakses & Dikumpulkan: Saat Anda memilih untuk masuk menggunakan Google, Perusahaan hanya meminta akses terhadap data profil dasar publik Anda, yang terbatas pada: (a) Nama Lengkap, (b) Alamat Email, dan (c) URL Foto Profil (Avatar). Perusahaan TIDAK PERNAH meminta, mengakses, atau menyimpan kata sandi (password) Akun Google Anda, daftar kontak pribadi, riwayat penelusuran, pesan Gmail, maupun berkas Google Drive Anda.
2. Tujuan Penggunaan Data Akun Google: Informasi yang diterima dari Google hanya digunakan secara terbatas untuk:
   • Memverifikasi identitas dan mempermudah proses pembuatan akun jamaah secara instan tanpa perlu pengisian formulir manual berulang.
   • Mengirimkan konfirmasi pemesanan paket ibadah/wisata, jadwal keberangkatan manasik, rincian pembayaran, serta e-tiket resmi ke alamat email Anda.
   • Menampilkan nama dan foto profil Anda pada Portal Akun Jamaah (Dashboard) demi kenyamanan navigasi layanan.
3. Larangan Pengalihan & Penjualan Data (Strict Prohibition): Perusahaan menyatakan secara tegas bahwa data profil Akun Google Anda:
   • TIDAK PERNAH dijual, disewakan, atau diperdagangkan kepada pihak mana pun dalam kondisi apa pun.
   • TIDAK DIGUNAKAN untuk keperluan periklanan pihak ketiga, broker data, pemasaran lintas platform, atau penargetan iklan.
   • TIDAK DIGUNAKAN untuk melatih (training), menyempurnakan, atau mengembangkan model kecerdasan buatan (AI) umum atau pembelajaran mesin (machine learning).
4. Kepatuhan Terhadap Persyaratan Penggunaan Terbatas Google: Penggunaan dan transfer informasi yang diterima oleh PT NBW Tours & Travel dari Google API ke aplikasi atau sistem lain akan mematuhi Kebijakan Data Pengguna Layanan Google API (Google API Services User Data Policy), termasuk persyaratan Penggunaan Terbatas (Limited Use requirements).
5. Pencabutan Akses & Penghapusan Data (Revocation & Deletion): Anda memiliki hak mutlak untuk mencabut izin akses aplikasi kapan saja melalui pengaturan keamanan akun Google Anda di menu Google Account Permissions (https://myaccount.google.com/permissions). Jika Anda mencabut akses atau mengajukan permohonan penghapusan akun, data terkait yang tersimpan di sistem kami akan dihapus secara permanen sesuai Pasal 9 Kebijakan Privasi ini.