Kebijakan Privasi

1. Dasar Hukum

Kebijakan Privasi ini disusun dan diterapkan berdasarkan:

• Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP);
• Undang-Undang No. 11 Tahun 2008 sebagaimana diubah dengan UU No. 19 Tahun 2016 tentang Informasi dan Transaksi Elektronik (UU ITE);
• Peraturan Menteri Komunikasi dan Informatika No. 20 Tahun 2016 tentang Perlindungan Data Pribadi dalam Sistem Elektronik;
• Undang-Undang No. 14 Tahun 2008 tentang Keterbukaan Informasi Publik (KIP);
• Peraturan Rektor Universitas Sriwijaya yang relevan tentang tata kelola data institusi.

2. Definisi

Data Pribadi

Data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lain, baik secara langsung maupun tidak langsung melalui sistem elektronik atau nonelektronik.

Data Pribadi Spesifik

Sebagaimana dimaksud Pasal 4 ayat (2) UU PDP, mencakup data kesehatan, biometrik, genetika, catatan kejahatan, data anak, data keuangan pribadi, dan lainnya yang ditetapkan peraturan perundang-undangan.

Pengendali Data Pribadi

Universitas Sriwijaya c.q. Pusat Satu Data & Kecerdasan Digital sebagai pihak yang menentukan tujuan dan kendali pemrosesan Data Pribadi.

Prosesor Data Pribadi

Pihak yang memproses Data Pribadi atas nama Pengendali Data Pribadi.

Subjek Data

Orang perseorangan yang Data Pribadinya melekat, termasuk sivitas akademika Unsri dan pengguna platform.

Pemrosesan

Setiap tindakan atas Data Pribadi: pengumpulan, perekaman, penyimpanan, perubahan, penampilan, penyebarluasan, penyalinan, hingga penghapusan.

3. Data yang Dikumpulkan

Kami mengumpulkan kategori data berikut sesuai prinsip minimasi data (Pasal 16 UU PDP):

3.1 Data Identifikasi

• Nama lengkap, NIP/NIDN/NIM, alamat email institusi (@unsri.ac.id);
• Unit kerja, fakultas/program studi, jabatan, golongan.

3.2 Data Autentikasi & Akses

• Kredensial login (kata sandi disimpan dalam bentuk hash);
• Token sesi, alamat IP, jenis peramban, sistem operasi;
• Waktu masuk/keluar, riwayat akses ke modul tertentu.

3.3 Data Akademik & Operasional

• Data agregat indikator kinerja (mahasiswa, dosen, penelitian, akreditasi, keuangan);
• Data dari sistem sumber resmi Unsri (PDDikti, SIMPEG, SIAKAD, SIMLITABMAS) sesuai pelimpahan kewenangan.

3.4 Data Teknis (Telemetri)

• Log permintaan API, error, performa server;
• Cookie sesi dan preferensi tampilan (tema, bahasa).

Kami tidak meminta Data Pribadi Spesifik (kesehatan, biometrik, dll.) kecuali diwajibkan oleh peraturan perundang-undangan atau dengan persetujuan eksplisit.

4. Tujuan Pemrosesan

Data Pribadi diproses semata-mata untuk:

1. Menyediakan layanan dasbor analitik dan pelaporan strategis universitas;
2. Mendukung pengambilan keputusan berbasis bukti oleh pimpinan Unsri;
3. Melakukan evaluasi mutu, akreditasi, dan benchmark kinerja institusi;
4. Memenuhi kewajiban pelaporan kepada Kementerian Pendidikan, Kebudayaan, Riset, dan Teknologi (Kemendikbudristek) serta lembaga lain yang berwenang;
5. Memastikan keamanan sistem, mencegah penyalahgunaan, dan menanggapi insiden;
6. Peningkatan layanan, pengujian fitur, dan riset internal yang dianonimkan.

5. Dasar Pemrosesan

Sesuai Pasal 20 ayat (2) UU PDP, kami memproses Data Pribadi atas dasar:

• Pelaksanaan tugas kewenangan publik Universitas Sriwijaya sebagai Perguruan Tinggi Negeri (BLU);
• Pelaksanaan kontrak ketenagakerjaan dan kemahasiswaan dengan Subjek Data;
• Pemenuhan kewajiban hukum sebagai pelapor data ke pemerintah;
• Kepentingan sah Universitas dalam tata kelola dan keamanan informasi;
• Persetujuan Subjek Data untuk pemrosesan di luar kategori di atas.

6. Cookie dan Teknologi Serupa

Platform menggunakan cookie dan penyimpanan lokal peramban untuk:

• Sesi otentikasi — diperlukan agar pengguna tetap masuk;
• Preferensi tampilan — bahasa (ID/EN), tema (terang/gelap);
• Cache data grafik — penyimpanan sementara hasil API untuk mempercepat akses.

Kami tidak menggunakan cookie pelacakan iklan pihak ketiga. Pengguna dapat menghapus cookie melalui pengaturan peramban kapan saja.

7. Pembagian Data

Data Pribadi tidak dijual atau disewakan. Pembagian terbatas dilakukan kepada:

• Internal Universitas Sriwijaya — unit kerja yang berwenang atas data terkait, dengan kontrol akses berbasis peran;
• Lembaga Pemerintah — Kemendikbudristek, BPS, BAN-PT, atau lembaga lain berdasarkan kewajiban peraturan perundang-undangan;
• Prosesor Data — penyedia infrastruktur cloud dan perangkat lunak yang terikat perjanjian kerahasiaan dan tunduk pada UU PDP;
• Penegak Hukum — apabila terdapat permintaan resmi yang sah berdasarkan ketentuan hukum.

Pembagian data lintas batas (transfer keluar wilayah Indonesia) dilakukan hanya bila negara tujuan memiliki tingkat perlindungan setara atau lebih tinggi sesuai Pasal 56 UU PDP.

8. Penyimpanan dan Retensi

• Data disimpan pada infrastruktur server yang berlokasi di wilayah Republik Indonesia;
• Retensi data aktif: selama masa Subjek Data berkedudukan di Unsri dan minimum 5 tahun setelah berakhir, sesuai ketentuan arsip pemerintah;
• Setelah masa retensi, data dihapus secara permanen atau dianonimkan, kecuali ada kewajiban hukum untuk menyimpan lebih lama;
• Log keamanan dipertahankan paling singkat 90 hari sesuai Permenkominfo 20/2016.

9. Keamanan Data

Kami menerapkan langkah teknis dan organisasi sesuai Pasal 35 UU PDP:

• Enkripsi data saat transit (TLS 1.2+) dan saat istirahat untuk data sensitif;
• Penyimpanan kata sandi menggunakan algoritma hashing kuat (bcrypt/Argon2);
• Kontrol akses berbasis peran (RBAC) dan prinsip least privilege;
• Pemantauan audit log, deteksi anomali, dan pencatatan akses;
• Pelatihan kesadaran keamanan bagi pengelola sistem;
• Pemberitahuan kebocoran data kepada Subjek Data dan lembaga pengawas dalam 3 × 24 jam sesuai Pasal 46 ayat (3) UU PDP.

10. Hak Subjek Data

Sesuai Pasal 5–14 UU PDP, Subjek Data memiliki hak untuk:

1. Mendapatkan informasi tentang identitas Pengendali dan tujuan pemrosesan;
2. Melengkapi, memperbarui, dan/atau memperbaiki kesalahan Data Pribadi;
3. Mengakses dan memperoleh salinan Data Pribadinya;
4. Mengakhiri pemrosesan, menghapus, dan/atau memusnahkan Data Pribadi;
5. Menarik kembali persetujuan pemrosesan;
6. Mengajukan keberatan atas tindakan pengambilan keputusan otomatis;
7. Menunda atau membatasi pemrosesan secara proporsional;
8. Menggugat dan menerima ganti rugi atas pelanggaran;
9. Mendapatkan dan/atau menggunakan Data Pribadinya dalam format terstruktur dan interoperabel.

Permohonan hak diajukan ke kontak yang tertera pada bagian 13, dan akan ditanggapi paling lama 3 × 24 jam.

11. Data Anak

Platform tidak ditujukan bagi pengguna berusia di bawah 17 tahun. Pemrosesan data anak (jika ada — misalnya peserta program tertentu) dilakukan dengan persetujuan orang tua/wali, sesuai Pasal 25 UU PDP.

12. Perubahan Kebijakan

Kebijakan ini dapat diperbarui sewaktu-waktu untuk menyesuaikan perubahan layanan, peraturan perundang-undangan, atau temuan keamanan. Perubahan material akan diberitahukan melalui:

• Pemberitahuan dalam platform pada login berikutnya;
• Email institusi kepada Subjek Data yang terdampak;
• Pembaruan tanggal pada metadata di atas halaman.

13. Kontak & Pengaduan

Untuk pertanyaan, permohonan hak Subjek Data, atau pengaduan terkait privasi:

Subjek Data juga dapat mengajukan pengaduan kepada Lembaga Pelindungan Data Pribadi setelah lembaga tersebut beroperasi penuh sesuai amanat UU PDP, atau ke instansi yang berwenang lainnya.