Kebijakan Privasi

Siapa kami dan cakupan kebijakan ini

Sora dibuat dan dijalankan oleh bithinker (selanjutnya “kami”). bithinker bukan perusahaan berbadan hukum terdaftar. Sora saat ini masih dalam tahap akses awal.

Kebijakan ini berlaku untuk situs dan aplikasi Sora, termasuk tautan publik yang dibuat dari aplikasi Anda. Penggunaan Sora juga tunduk pada Syarat & Ketentuan.

Data yang kami kumpulkan

Kami hanya menyimpan data yang dibutuhkan agar Sora berjalan:

• Data akun masuk: Anda bisa masuk lewat Google, GitHub, atau email dan kata sandi. Untuk Google, kami meminta izin dasar saja (identitas, email, dan nama profil) dan menyimpan ID akun Google, email, nama, dan tanggal akun dibuat. Untuk GitHub, kami meminta izin read:user dan user:email, dan menyimpan ID akun GitHub, email utama yang sudah terverifikasi, nama, dan tanggal akun dibuat. Foto profil Google atau GitHub Anda tidak kami ambil; foto profil hanya tersimpan bila Anda mengunggahnya sendiri di Profil & akun, dan hanya Anda yang bisa melihatnya. Kami tidak punya akses ke Gmail, Drive, Kontak, Kalender, maupun repositori GitHub Anda.
• Email dan kata sandi: jika Anda mendaftar dengan email, kami menyimpan email, nama, dan hash kata sandi (PBKDF2-SHA256 dengan salt, 100.000 iterasi), bukan kata sandi aslinya. Akun baru aktif setelah email dikonfirmasi lewat tautan yang berlaku 24 jam. Satu email hanya punya satu akun: bila Anda masuk lewat Google atau GitHub dengan email terverifikasi yang sudah punya akun Sora, Anda masuk ke akun yang sama.
• Isi workspace: data usaha yang Anda dan tim masukkan (misalnya produk, penjualan, pelanggan, pengaturan, riwayat versi, catatan aktivitas, riwayat obrolan dengan AI, dan catatan menjalankan otomasi).
• File: logo, foto produk, foto pelanggan atau pekerjaan, dan PDF yang Anda unggah. Foto diperkecil dan dikompres di peramban Anda sebelum diunggah.
• Data pelanggan Anda lewat tautan pesan publik: nama, nomor telepon, alamat, catatan, dan barang yang dipesan. Alamat IP pelanggan juga disimpan, hanya di workspace usaha tersebut, semata-mata untuk membatasi pesanan berulang (spam). Entri IP yang sudah lama dibersihkan saat pesanan berikutnya masuk.
• Penyimpanan di perangkat dan peramban: lihat bagian “Cookie dan penyimpanan di perangkat” di bawah.
• Jika Anda menghubungi Sora lewat WhatsApp untuk berlangganan, kami menerima nomor WhatsApp dan pesan Anda untuk memproses langganan.
• Catatan pembayaran paket: nominal, tanggal, cara bayar, nomor referensi, paket dan periodenya, serta nama workspace, nama, dan email pemilik saat itu. Catatan ini adalah pembukuan kami, jadi tetap disimpan walaupun workspace atau akunnya dihapus.
• Statistik kunjungan: Cloudflare Web Analytics menghitung kunjungan ke halaman Sora dan ke alamat workspace di bysora.app (termasuk tautan pesan publik), dalam bentuk jumlah saja: halaman, negara, jenis perangkat, peramban, dan situs asal kunjungan. Tanpa cookie, dan tidak melacak orang per orang.

Untuk apa data digunakan

Kami memakai data hanya untuk:

• Menjalankan Sora: menampilkan, menyimpan, dan mengolah data usaha Anda.
• Memungkinkan Anda masuk dan menjaga sesi tetap aktif.
• Menjalankan fitur AI yang Anda pilih (lihat bagian berikutnya).
• Menjaga keamanan dan mencegah penyalahgunaan, misalnya pembatasan pesanan berulang dan batas pemakaian AI bulanan.
• Mengelola langganan dan membantu Anda: tim internal Sora (hanya orang yang didaftarkan sebagai tim, dengan peran pemilik, admin, atau hanya-lihat) memakai dasbor internal yang menampilkan data akun (nama, email, cara masuk, dan jumlah sesi aktif), ringkasan tiap workspace (nama, alamat, paket, anggota dan undangan, domain sendiri, serta jumlah pemakaian AI dan catatan bulan ini), dan catatan pembayaran. Isi data usaha Anda tidak ditampilkan di dasbor. Atas permintaan Anda, tim dapat membuatkan akun atau workspace untuk Anda; Anda menerima email untuk membuat kata sandi sendiri. Setiap perubahan oleh tim dicatat beserta petugasnya.
• Akses dukungan: untuk menyelesaikan masalah yang Anda laporkan, anggota tim dapat masuk ke akun Anda dan melihat Sora persis seperti yang Anda lihat, paling lama 1 jam setiap kali. Setiap akses dicatat (siapa, kapan, akun mana), dan perubahan yang dibuat selama itu tercatat di riwayat workspace sebagai “via tim Sora” beserta email petugasnya. Dalam mode ini tim tidak bisa mengubah kata sandi, nama, atau foto Anda, menghapus akun atau workspace, maupun membuat kunci API.
• Memahami pemakaian Sora secara umum dari statistik kunjungan di atas (jumlah, bukan per orang).
• Tidak untuk hal lain: kami tidak memasang iklan, tidak menjual data Anda, dan tidak memakai cookie pelacak, analitik per orang, atau pelacak pihak ketiga selain statistik kunjungan Cloudflare di atas. Font pun dimuat dari server kami sendiri.

Pemrosesan oleh AI (DeepSeek)

Fitur AI Sora memakai layanan DeepSeek. Penyedia ini dapat memproses data di luar Indonesia. Hanya fitur yang Anda jalankan yang mengirim data, dan setiap fitur mengirim hal yang berbeda:

• “Tanya Sora” (asisten AI): mengirim konfigurasi workspace (struktur aplikasi, termasuk nama, telepon, dan alamat usaha di pengaturan, serta alamat webhook), jumlah catatan (bukan isi catatannya), dan percakapan (20 pesan terakhir ditambah pesan baru Anda).
• “Catat cepat”: mengirim teks yang Anda ketik, ditambah judul maksimal 150 baris terbaru dari koleksi terkait (misalnya nama pelanggan dan produk beserta harga dan satuannya).
• Terjemahan dan contoh data dari AI: hanya mengirim teks dan struktur aplikasi, tanpa isi catatan.
• Foto dan file yang Anda unggah tidak pernah dikirim ke AI.

Dengan siapa data dibagikan

Kami tidak menjual data. Data hanya sampai ke pihak berikut sebatas yang diperlukan:

• Cloudflare: menjalankan aplikasi, menyimpan semua data (database, file, dan log kesalahan), menghitung statistik kunjungan (Cloudflare Web Analytics), dan mengirim email transaksional lewat Cloudflare Email Service (konfirmasi email, atur ulang kata sandi, sambutan setelah akun dibuat, pemberitahuan untuk anggota tim yang diundang, dan email saat tim Sora membuatkan akun atau workspace untuk Anda; tanpa email pemasaran). Cloudflare dapat memproses data di pusat data di luar Indonesia.
• Google dan GitHub: untuk proses masuk dengan akun Google atau GitHub.
• DeepSeek: untuk fitur AI, sebagaimana dijelaskan di atas.
• Layanan tujuan webhook dan WhatsApp yang Anda atur sendiri: otomasi buatan Anda dapat mengirim sebuah catatan ke alamat https pilihan Anda. Setelah terkirim, ketentuan layanan penerima yang berlaku. WhatsApp hanya dibuka lewat tautan wa.me di perangkat Anda; Sora sendiri tidak mengirim pesan WhatsApp.
• Aplikasi lain yang Anda hubungkan sendiri lewat plugin API: siapa pun yang memegang kunci API dapat membaca (dan dengan akses tulis, mengubah) semua catatan workspace itu. Pemilik dan admin membuat serta mencabut kunci di Pengaturan aplikasi → Plugin; Sora hanya menyimpan sidik (hash) kuncinya.
• Pihak berwenang, jika kami diwajibkan oleh hukum yang berlaku.

Peran Anda sebagai pemilik usaha

Untuk data pelanggan dan data lain yang Anda masukkan ke workspace, Andalah yang menentukan data apa yang dikumpulkan dan untuk apa. Anda bertanggung jawab atas data tersebut, termasuk memberi tahu pelanggan Anda bila diperlukan. Sora menyimpan dan mengolahnya atas nama Anda.

Pembayaran QRIS langsung masuk ke akun QRIS Anda sendiri. Sora tidak memproses, menahan, atau mengonfirmasi pembayaran.

Cookie dan penyimpanan di perangkat

Sora memakai cookie berikut, semuanya untuk fungsi masuk dan pilihan tampilan, bukan untuk melacak:

• sora_session: menjaga Anda tetap masuk. Berlaku 30 hari, tidak bisa dibaca oleh skrip di halaman (HttpOnly), dan dibatasi agar tidak ikut terkirim dari situs lain (SameSite=Lax). Server hanya menyimpan hash dari token ini, dan keluar (logout) menghapusnya.
• sora_oauth_state dan sora_return: pengaman proses masuk dengan Google atau GitHub dan alamat untuk kembali sesudahnya. Berlaku 10 menit dan hanya dipakai saat masuk.
• sora_lang dan sora_theme: bahasa dan tema pilihan Anda, agar sama di semua alamat workspace. Berlaku 1 tahun.
• sora_support_return: hanya di peramban anggota tim Sora selama akses dukungan (paling lama 1 jam), untuk kembali ke akun tim itu sendiri. HttpOnly.
• Tidak ada cookie lain.

Data yang disimpan di perangkat Anda

Selain cookie, peramban Anda menyimpan beberapa hal di perangkat sendiri agar Sora nyaman dipakai:

• pilihan bahasa;
• salinan aplikasi dan workspace untuk dipakai tanpa internet (dihapus saat Anda keluar);
• penjualan Kasir yang belum terkirim, yang bisa memuat data pelanggan yang Anda ketik, sampai berhasil terkirim;
• draf stok opname, pengaturan printer dan struk, serta banner yang sudah Anda tutup;
• keranjang pesanan di tautan pesan publik;
• perintah pertama yang Anda ketik di halaman depan sebelum masuk (hanya selama tab terbuka).
• Sora juga menyimpan cadangan tampilan aplikasi dan file statis agar cepat dibuka. Data usaha Anda tidak ikut disimpan di cadangan ini.

Berapa lama data disimpan

• Data workspace disimpan selama workspace dan akun Anda ada.
• Riwayat versi tersimpan; 200 versi terbaru ditampilkan. Catatan aktivitas menyimpan 20.000 entri terbaru, dan catatan menjalankan otomasi menyimpan 500 entri terbaru.
• Kolom atau koleksi yang Anda hapus dari aplikasi diarsipkan, bukan dibuang, dan disimpan sampai workspace-nya dihapus.
• File yang diunggah tidak dihapus otomatis; tetap tersimpan sampai workspace-nya dihapus.
• Alamat IP pemesan di tautan pesan publik: entri yang sudah lama dibersihkan saat pesanan berikutnya masuk, dan ikut terhapus bersama workspace.
• Penjualan tidak dihapus, melainkan dibatalkan, agar pembukuan tetap konsisten.

Hak Anda atas data pribadi

Sesuai Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), Anda berhak meminta akses, memperbaiki, mengunduh salinan, menghapus data Anda, menarik persetujuan, dan mengajukan keberatan atas pemrosesan data Anda.

Cara menggunakannya, sebisa mungkin langsung di aplikasi:

• Salin data: pemilik dan admin dapat memakai “Unduh semua data” untuk mengunduh seluruh catatan sebagai file Excel.
• Ubah atau hapus data: Anda dapat mengedit dan menghapus catatan di aplikasi. Penjualan dibatalkan, bukan dihapus.
• Keluar dari workspace: anggota tim dapat keluar sendiri, dan pemilik dapat mengeluarkan anggota. Undangan dapat dibatalkan.
• Hapus workspace atau akun: pemilik dapat menghapus workspace di Pengaturan aplikasi → Profil usaha, dan siapa pun dapat menghapus akunnya di menu akun → Profil & akun → “Hapus akun”.
• Hapus riwayat obrolan AI: obrolan dengan Tanya Sora dapat dibersihkan.
• Untuk hal lain, atau bila Anda ingin menarik persetujuan atau mengajukan keberatan, kirim email ke contact@example.com. Kami akan membalas dan membantu sebatas yang dimungkinkan hukum.
• Jika Anda pelanggan sebuah usaha yang memakai Sora, hubungi usaha tersebut terlebih dahulu karena usaha itulah yang mengelola data Anda.

Menghapus akun Anda

Anda dapat menghapus akun sendiri lewat menu akun (lingkaran inisial atau foto di kanan atas) → Profil & akun → “Hapus akun”, lalu mengetik email akun Anda untuk konfirmasi.

Penghapusan akun langsung menghapus akun Anda, semua sesi masuk di setiap perangkat, keanggotaan Anda di workspace milik orang lain, dan setiap workspace yang Anda miliki beserta catatan, riwayat versi, kolom yang diarsipkan, catatan aktivitas, dan file yang diunggah. Pemilik juga dapat menghapus satu workspace saja di Pengaturan aplikasi → Profil usaha → “Hapus usaha”.

Data dihapus seketika dari basis data dan penyimpanan file Sora. Salinan pemulihan internal milik penyedia infrastruktur kami (Cloudflare) dapat tersisa hingga 30 hari sebelum hilang dengan sendirinya; kami tidak memakainya untuk memulihkan data yang sudah Anda hapus.

Penghapusan tidak dapat dibatalkan. Jika Anda pemilik usaha, unduh semua data lewat “Unduh semua data” sebelum menghapus. Jika ada kendala, Anda tetap bisa mengirim permintaan ke contact@example.com dari alamat email yang Anda pakai untuk masuk.

Keamanan

Sora memakai HTTPS, menyimpan kata sandi hanya sebagai hash (tidak pernah dalam bentuk aslinya), dan hanya menyimpan hash dari token sesi. Setiap workspace punya database sendiri yang terpisah. Penjelasan lengkapnya ada di Keamanan & Data.

Tidak ada sistem yang sepenuhnya kebal. Kami tidak dapat menjamin keamanan mutlak, tetapi kami berusaha menjaganya dengan wajar.

Anak-anak

Sora ditujukan bagi orang dewasa berusia 18 tahun ke atas yang menjalankan usaha. Kami tidak sengaja mengumpulkan data anak-anak. Jika Anda menduga ada data anak di Sora, beri tahu kami di contact@example.com.

Perubahan kebijakan ini

Kami dapat memperbarui kebijakan ini seiring Sora berkembang. Tanggal berlaku terbaru selalu tampil di halaman ini. Jika ada perubahan penting, kami akan memberi tahu Anda lewat aplikasi atau situs.

Hubungi kami

Pertanyaan, permintaan data, atau keluhan soal privasi: kirim email ke contact@example.com.