Kebijakan Privasi Phylex Scan

Berlaku sejak 2 November 2026 · Diperbarui 7 November 2026 (masa simpan hasil cek dan laporan calon klien; sebelumnya 6 November: dasar pemrosesan per tujuan, transfer data ke luar negeri, pemberitahuan kegagalan pelindungan, permintaan aparat penegak hukum, pendaftaran PSE, kontak calon klien) · Versi draf 2026-11i

1. Siapa kami
2. Data yang kami kumpulkan
3. Untuk apa data dipakai
4. Analitik kunjungan situs
5. Di mana data disimpan dan siapa yang memprosesnya
6. Berapa lama data disimpan
7. Keamanan
8. Hak Anda
9. Kontak

1. Siapa kami

Phylex Scan adalah layanan pemindaian keamanan aplikasi web dari Phylex (Phoenix Stratos Secura), unit usaha PT FOINIKS DIGITAL, Jl. Kyai Maja No. 31C, Kebayoran Baru, Jakarta Selatan 12120, Indonesia, yang terdaftar sebagai Penyelenggara Sistem Elektronik Lingkup Privat di Kementerian Komunikasi dan Digital (PB-UMKU 812001414217800110001, 6 November 2026). Untuk data akun dan organisasi, kami adalah pengendali data pribadi. Untuk data yang muncul dari aset yang Anda pindai, kami memprosesnya atas perintah dan untuk kepentingan organisasi Anda.

2. Data yang kami kumpulkan

Kami tidak meminta data kartu pembayaran di aplikasi. Kami tidak memakai cookie iklan, cookie pihak ketiga, atau pelacak pihak ketiga (seperti Google Analytics atau piksel media sosial) di situs maupun console Phylex Scan.

3. Untuk apa data dipakai

• Menjalankan layanan: login, memverifikasi kepemilikan aset, menjalankan scan, menyusun temuan dan laporan.
• Memastikan scan hanya dilakukan terhadap aset yang Anda miliki atau yang Anda berwenang uji. Bukti kepemilikan dicek ulang sebelum setiap scan.
• Mengirim notifikasi: ringkasan hasil scan, peringatan kerentanan baru, dan balasan tiket.
• Memberikan dukungan, menegakkan batas paket, mencegah penyalahgunaan, dan memenuhi kewajiban hukum.
• Menyusun hasil layanan penilaian yang Anda pesan (mis. laporan Cek Kesiapan PDP). Hasil ini hanya diisi dan dibaca tim Phylex yang menangani layanan, tidak dipakai untuk keperluan lain, dan disimpan di workspace organisasi Anda.
• Menanggapi pertanyaan yang Anda kirim lewat formulir "Hubungi kami". Data ini tidak dipakai untuk pemasaran massal tanpa persetujuan Anda.
• Menindaklanjuti calon klien yang sudah berkomunikasi dengan tim kami (mis. bertukar kartu nama, chat, telepon, atau pertemuan) dan setuju dihubungi lewat email: menyiapkan bahan diskusi dari cek teknis ringan atas situs publik perusahaan dan mengirim email penawaran. Setiap email disetujui pimpinan sebelum dikirim, memuat alasan Anda menerimanya, dan tautan untuk berhenti. Kami tidak memakai daftar email yang dibeli atau dikumpulkan tanpa kontak.

Dasar pemrosesan

Setiap tujuan di atas memakai salah satu dasar pemrosesan dalam Pasal 20 ayat (2) UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP):

Bila pemrosesan memakai persetujuan, Anda dapat menariknya kapan saja melalui kontak di bagian 9; penarikan tidak memengaruhi pemrosesan yang sudah dilakukan sebelumnya. Bila pemrosesan memakai kepentingan sah, Anda dapat mengajukan keberatan dan kami akan menilainya.

Kami tidak menjual data Anda dan tidak memakai hasil scan Anda untuk pelatihan model atau keperluan pihak lain.

4. Analitik kunjungan situs

Untuk memahami dari mana pengunjung datang dan halaman mana yang berguna, kami menjalankan analitik first-party buatan sendiri. Datanya tidak dikirim ke layanan analitik atau iklan pihak ketiga.

• Yang dicatat per kunjungan: halaman yang dibuka, domain situs perujuk (tanpa alamat lengkapnya), parameter kampanye UTM (source, medium, campaign), perkiraan negara dan kota, bahasa situs yang dipakai, dan jenis perangkat (ponsel, tablet, atau desktop).
• Alamat IP tidak disimpan. IP hanya dipakai sesaat di server kami untuk menebak negara, lewat header dari penyedia jaringan kami atau database GeoIP yang tersimpan di server kami sendiri (tidak dikirim ke pihak lain), dan untuk membatasi permintaan berlebih. Setelah itu IP dibuang.
• Disimpan sebagai agregat. Data kunjungan disimpan sebagai jumlah per hari (misalnya "12 sesi dari Google hari ini"), bukan sebagai riwayat per orang.
• Tanpa cookie. Browser Anda menyimpan beberapa nilai di localStorage: ID sesi acak (phx_sid), tanggal dan waktu kunjungan terakhir (phx_day, phx_seen), sumber kunjungan pertama dan sesi saat ini (phx_ft, phx_st), dan pilihan bahasa (phx_lang). Nilai ini tidak memuat data pribadi dan bisa Anda hapus kapan saja lewat pengaturan browser.
• Saat Anda mendaftar, sumber kunjungan sesi pendaftaran (misalnya "Google organik, halaman beranda") disalin ke akun Anda. Tujuannya mengetahui saluran mana yang menghasilkan registrasi, trial, dan langganan. Tim internal kami hanya melihat email Anda dalam bentuk tersamar di laporan ini.
• Database GeoIP: IP Geolocation by DB-IP (lisensi CC BY 4.0), disimpan dan dipakai di server kami sendiri.
• Bot dan crawler tidak dihitung. Bila browser Anda mengirim sinyal Global Privacy Control atau Do Not Track, tidak ada event analitik yang dikirim.
• Masa simpan: data agregat harian dan catatan atribusi registrasi dihapus otomatis setelah 13 bulan. Atribusi yang tersalin ke akun disimpan selama akun aktif, sama seperti data akun lainnya.
• Dasar pemrosesan: kepentingan sah kami untuk mengukur dan memperbaiki layanan, dengan data yang diminimalkan sesuai UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi. Anda dapat mengajukan keberatan melalui kontak di bawah.

5. Di mana data disimpan dan siapa yang memprosesnya

Pemindaian dijalankan sepenuhnya di infrastruktur kami. Alat pemindai tidak mengirim data aset Anda ke layanan pihak ketiga; fitur yang memerlukan server pihak ketiga (mis. pengujian out-of-band) dinonaktifkan. Untuk informasi ancaman, kami hanya mengunduh katalog publik (misalnya CISA KEV) dan tidak mengirim data Anda ke sumber tersebut.

Permintaan dari aparat penegak hukum

Kami tidak menjual data. Sebagai PSE Lingkup Privat terdaftar, kami memberikan akses terhadap Sistem Elektronik dan Data Elektronik untuk pengawasan dan penegakan hukum hanya sesuai peraturan perundang-undangan dan melalui permintaan resmi; tidak ada pihak lain yang diberi akses ke sistem kami. Data Pribadi hanya kami berikan kepada penyidik, penuntut umum, hakim, atau instansi lain yang berwenang bila ada permintaan tertulis yang sah, yang menyebut dasar kewenangan, subjek, jenis data, dan jangka waktunya (PP 33/2026 Pasal 155). Setiap permintaan diperiksa keaslian dan kelengkapannya oleh Pejabat Pelindungan Data Pribadi, data yang diserahkan dibatasi pada yang relevan, diserahkan secara aman, dan dicatat. Untuk data yang kami proses atas nama organisasi Anda, kami memberi tahu pemilik organisasi kecuali dilarang oleh aparat atau peraturan. Permintaan lisan atau melalui pesan singkat tidak kami layani.

Transfer data ke luar wilayah Indonesia

Sebagian data pribadi diproses di luar Indonesia oleh penyedia di tabel di atas, sesuai Pasal 56 UU PDP:

• Google Firebase Authentication: data login (email, nama, foto profil) dapat diproses di pusat data Google di luar Indonesia.
• Google Vertex AI (lokasi global): hanya data temuan dan pertanyaan yang sudah disamarkan, serta nama domain dan hasil cek teknis untuk bahan diskusi calon klien, seperti dijelaskan di atas.
• Resend: alamat email penerima dan isi ringkasan notifikasi diproses di server Resend di luar Indonesia.

Data utama layanan (organisasi, aset, hasil scan, temuan, tiket, tagihan, dan log audit) tetap disimpan di Google Cloud region Jakarta. Untuk setiap transfer ke luar negeri, kami memastikan ada pelindungan yang memadai dan mengikat: ketentuan pemrosesan data (data processing terms) yang mengikat penyedia untuk memproses data hanya atas perintah kami dan menjaganya tetap aman, enkripsi saat data dikirim, serta minimisasi dan penyamaran data sebelum dikirim. Anda dapat meminta informasi lebih lanjut tentang transfer ini melalui kontak di bagian 9.

Asisten Phylex adalah satu-satunya fitur yang mengirim data temuan ke luar region Jakarta, dan hanya dalam bentuk yang sudah disamarkan seperti di atas. Riwayat percakapan "Tanya Asisten" disimpan di Google Cloud region Jakarta bersama data organisasi Anda dan terhapus saat Anda menekan "Mulai percakapan baru" di panel Asisten.

6. Berapa lama data disimpan

• Berkas hasil mentah scan di penyimpanan cloud dihapus otomatis setelah 90 hari.
• Temuan, laporan, dan riwayat triase disimpan selama akun organisasi aktif, agar Anda dapat melihat tren dan bukti perbaikan untuk audit.
• Aset yang Anda hapus disembunyikan dari tampilan dan jadwalnya dihentikan; riwayat scannya tetap tersimpan sebagai jejak audit sampai Anda meminta penghapusan.
• Hasil layanan penilaian (mis. Cek Kesiapan PDP) disimpan di workspace organisasi selama organisasi aktif, agar dapat dibandingkan dengan penilaian ulang. Anda dapat mengunduhnya kapan saja lewat Akun & data dan meminta penghapusannya kapan saja melalui support@foiniks.com; kami menghapusnya paling lambat 14 hari setelah permintaan. Bahan lain yang Anda kirim untuk sesi (di luar workspace) dihapus 30 hari setelah laporan diserahkan.
• Kontak calon klien yang tidak menjadi klien kami tinjau dan hapus paling lambat 24 bulan setelah komunikasi terakhir. Bila Anda memilih berhenti menerima email, kami hanya menyimpan sidik (hash) alamat email Anda agar tidak dikirimi lagi.
• Hasil cek teknis ringan dan laporan cek cepat atas situs calon klien (cek HTTPS/TLS, cek bersih situs dari hasil mesin pencari, dan laporan PDF bernomor) dihapus otomatis 12 bulan setelah dibuat, atau 90 hari setelah calon klien kami tandai tidak melanjutkan. Laporan dapat dihapus lebih awal atas permintaan Anda.
• Agregat analitik kunjungan dan atribusi registrasi dihapus otomatis setelah 13 bulan.
• Penutupan organisasi dan penghapusan akun: sejak permintaan dibuat, pemrosesan baru (scan, jadwal, peringatan intel, Asisten, undangan, tagihan baru) dihentikan. Data dihapus permanen setelah masa tenggang 14 hari, atau dalam 1 jam bila Anda memilih "Hapus segera". Yang dihapus: aset, kredensial login scan, riwayat scan dan berkas mentahnya, temuan, peringatan, tiket, percakapan Asisten, undangan, hasil layanan penilaian, keanggotaan, profil, dan akun login.
• Setelah penghapusan, kami tetap menyimpan hanya yang wajib atau perlu menurut hukum:
  • tagihan, faktur, dan bukti transfer selama 10 tahun (kewajiban penyimpanan dokumen perpajakan, UU KUP Pasal 28 ayat 11), tanpa alamat email pembuatnya;
  • log audit dan dokumen RoE organisasi yang ditutup selama 2 tahun, sebagai bukti bahwa setiap scan dilakukan atas izin pemilik aset; alamat IP pengguna yang menghapus akunnya dikosongkan;
  • domain email kantor organisasi yang ditutup selama 2 tahun, untuk mencegah trial gratis dipakai berulang.
  Setelah masa itu habis, data tersebut dihapus otomatis.
• Di luar basis data Phylex: log server di Google Cloud Logging (bisa memuat alamat email saat terjadi galat pengiriman) terhapus otomatis setelah 30 hari, dan catatan pengiriman email di Resend mengikuti masa simpan Resend. Pesan formulir "Hubungi kami" dengan alamat email yang sama ikut dihapus saat akun dihapus.
• Bila Anda ingin data yang masih disimpan (tagihan, log audit, RoE) dihapus lebih awal, kirim permintaan dari alamat email akun ke support@foiniks.com. Tagihan dan bukti pembayaran tidak dapat dihapus sebelum 10 tahun karena kewajiban hukum; untuk log audit dan RoE, kami menilai permintaan Anda dan memberi jawaban tertulis.
• Bila seorang anggota menghapus akunnya, data organisasi (aset, temuan, tiket) tetap milik organisasi; namanya di tiket diganti "Pengguna dihapus" dan alamat emailnya dikosongkan dari catatan organisasi.

7. Keamanan

• Semua koneksi memakai HTTPS. Data di Google Cloud dienkripsi saat disimpan.
• Akses data dibatasi per organisasi; pengguna dari organisasi lain tidak dapat melihat aset atau temuan Anda.
• Akses staf Phylex dibatasi menurut peran (eksekutif, analis keamanan, layanan pelanggan) dan tercatat di log audit.
• Setiap unduhan laporan dicatat.
• Laporan analitik kunjungan hanya dapat dibuka oleh peran eksekutif Phylex; akses dibatasi di server dan di aturan basis data, bukan hanya disembunyikan di tampilan.

Pemberitahuan kegagalan pelindungan data

Bila terjadi kegagalan pelindungan data pribadi (misalnya kebocoran atau akses tanpa izin), kami memberi tahu secara tertulis subjek data yang terdampak dan lembaga pengawas pelindungan data pribadi paling lambat 3 × 24 jam sejak kegagalan diketahui, sesuai Pasal 46 UU PDP. Pemberitahuan memuat data pribadi yang terungkap, kapan dan bagaimana data terungkap, serta upaya penanganan dan pemulihan yang kami lakukan. Dalam keadaan tertentu yang diatur peraturan, kami juga memberi tahu masyarakat. Bila kegagalan menyangkut data yang kami proses atas perintah organisasi Anda (misalnya hasil scan), kami memberi tahu pemilik organisasi dalam waktu yang sama agar dapat memenuhi kewajibannya sendiri.

8. Hak Anda

Sesuai Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi, Anda berhak:

• mendapat informasi tentang pemrosesan data pribadi Anda;
• mengakses dan memperoleh salinan data Anda dalam format yang bisa dibaca mesin dan dipindahkan ke layanan lain;
• memperbaiki data yang tidak akurat;
• meminta penghapusan data atau penutupan akun, serta penundaan atau pembatasan pemrosesan;
• menarik persetujuan dan mengajukan keberatan atas pemrosesan tertentu.

Hak yang sama berlaku bagi pengguna di Uni Eropa menurut GDPR (akses, portabilitas, penghapusan, pembatasan, dan keberatan; Pasal 15–21).

Lakukan sendiri di console, menu akun → Akun & data (atau phylex.foiniks.com/akun):

• Unduh data akun (JSON) untuk setiap pengguna, dan unduh data organisasi (ZIP berisi JSON serta dokumen RoE dan bukti transfer) untuk pemilik. Laporan scan juga dapat diunduh dalam format PDF, CSV, Markdown, atau JSON sesuai paket.
• Tutup organisasi (pemilik) dan hapus akun (setiap pengguna), dengan konfirmasi dan masa tenggang seperti di bagian 6. Pemilik terakhir organisasi yang masih punya anggota perlu menyerahkan peran pemilik terlebih dahulu.

Langkah lengkapnya ada di panduan Akun & data. Untuk hak lain, atau data yang tidak terhubung ke akun (misalnya formulir "Hubungi kami"), kirim permintaan ke alamat di bawah. Kami menanggapi permintaan akses, perbaikan, serta penundaan atau pembatasan pemrosesan paling lambat 3 × 24 jam sesuai UU PDP, dan permintaan lain dalam jangka waktu yang diatur peraturan yang berlaku.

9. Kontak

PT FOINIKS DIGITAL — Phylex
Jl. Kyai Maja No. 31C, Kebayoran Baru, Jakarta Selatan 12120
Email: support@foiniks.com