Kebijakan Keamanan

Kebijakan Keamanan ini menjelaskan pendekatan publik Sorai terhadap keamanan Platform. Dokumen ini tidak mengungkap konfigurasi teknis yang dapat meningkatkan risiko serangan, dan tidak merupakan jaminan bahwa suatu sistem dapat sepenuhnya bebas dari ancaman keamanan.

1. TUJUAN DAN RUANG LINGKUP

1.1 PT Kecerdasan Artifisial Indonesia (“Sorai”, “Kami”) berkomitmen menjaga kerahasiaan, integritas, dan ketersediaan Platform serta data yang diproses melalui Sorai.AI dengan kontrol keamanan yang wajar dan proporsional terhadap risiko.

1.2 Kebijakan ini berlaku terhadap website, dashboard, storefront, checkout, buyer library, fitur AI, integrasi, API apabila tersedia, sistem pendukung, dan proses operasional yang berada dalam tanggung jawab Sorai.

1.3 Keamanan merupakan tanggung jawab bersama antara Sorai, Pengguna, Penyedia Jasa Pembayaran, penyedia infrastruktur, dan pihak ketiga lain sesuai peran masing-masing.

2. PRINSIP KEAMANAN

2.1 akses berdasarkan kebutuhan dan kewenangan yang relevan;

2.2 pengamanan kredensial, autentikasi, dan sesi pengguna;

2.3 penggunaan koneksi yang aman dan perlindungan data selama transmisi pada kanal yang didukung;

2.4 pencatatan dan pemantauan aktivitas yang relevan untuk keamanan, audit, fraud prevention, dan investigasi;

2.5 pemisahan peran dan pembatasan akses administratif secara proporsional;

2.6 pengelolaan perubahan, pembaruan, dan kerentanan sesuai risiko;

2.7 pengelolaan penyedia pihak ketiga dan pembatasan data sesuai kebutuhan layanan;

2.8 kesiapan respon insiden, pemulihan, dan komunikasi apabila terjadi gangguan atau insiden keamanan.

3. KEAMANAN AKUN PENGGUNA

3.1 Pengguna wajib menggunakan kata sandi yang kuat dan unik, menjaga kerahasiaan OTP/kode autentikasi, tidak membagikan Akun, serta mengamankan email, nomor telepon, perangkat, domain, API key, dan kredensial lain yang terhubung.

3.2 Pengguna wajib memastikan perangkat dan browser yang digunakan tidak terinfeksi malware dan menggunakan versi perangkat lunak yang masih mendapatkan pembaruan keamanan secara wajar.

3.3 Jika tersedia, Sorai dapat menerapkan verifikasi tambahan, autentikasi berlapis, risk-based authentication, rate limit, session management, atau pengamanan lain berdasarkan risiko.

3.4 Pengguna wajib segera melaporkan dugaan pengambilalihan Akun, phishing, akses tidak sah, perubahan rekening yang tidak dikenali, atau aktivitas transaksi mencurigakan melalui kanal dukungan resmi Sorai.

4. KEAMANAN PEMBAYARAN

4.1 Pembayaran melalui Sorai diproses melalui Penyedia Jasa Pembayaran pihak ketiga yang memiliki izin dari otoritas yang berwenang, sebagaimana ditunjuk oleh Sorai. Sorai tidak memposisikan diri sebagai penyedia jasa pembayaran.

4.2 Data pembayaran diproses sesuai arsitektur integrasi dan kebutuhan transaksi. Informasi yang secara teknis ditangani langsung oleh Penyedia Jasa Pembayaran tunduk pada kontrol keamanan dan ketentuan penyedia tersebut.

4.3 Sorai dapat menggunakan reference ID, status transaksi, metadata, webhook, informasi settlement, dan data lain yang diperlukan untuk merekonsiliasi, menampilkan status, memproses refund, menangani dispute, atau mendeteksi fraud tanpa menjadikan Saldo pada Platform sebagai uang elektronik atau simpanan.

4.4 Sorai dapat menerapkan atau meneruskan instruksi hold/release, refund, reserve, atau pembatasan pencairan apabila diizinkan oleh struktur Penyedia Jasa Pembayaran dan diperlukan untuk buyer protection, dispute, chargeback, investigasi, atau kepatuhan.

5. KEAMANAN DATA DAN AKSES INTERNAL

5.1 Sorai membatasi akses internal ke sistem dan data berdasarkan kebutuhan pekerjaan, kewenangan, dan tujuan yang sah. Akses sensitif dapat tunduk pada proses persetujuan, autentikasi, dan pencatatan yang sesuai risiko.

5.2 Data Pribadi diproses sesuai Kebijakan Privasi. Sorai membatasi pemrosesan dan penyimpanan data hanya sepanjang diperlukan untuk tujuan yang telah ditetapkan, pemenuhan kewajiban hukum, serta kepentingan keamanan dan operasional.

5.3 Sorai dapat menggunakan enkripsi atau mekanisme proteksi transport seperti HTTPS/TLS pada kanal yang didukung, serta mekanisme proteksi penyimpanan yang sesuai dengan karakteristik data dan infrastruktur.

5.4 Akses ke data produksi, apabila diperlukan untuk support atau investigasi, dibatasi dan dilakukan sesuai kebutuhan yang sah.

6. LOGGING, MONITORING, DAN FRAUD PREVENTION

6.1 Sorai dapat menyimpan log teknis, event keamanan, catatan perubahan, order history, payment reference, delivery event, dan data audit lain yang relevan untuk menjaga integritas sistem, membantu penyelesaian sengketa, dan mendeteksi penyalahgunaan.

6.2 Sorai dapat menggunakan sistem atau penyedia pihak ketiga untuk mendeteksi pola tidak wajar, credential abuse, transaksi mencurigakan, chargeback risk, bot abuse, atau indikasi fraud.

6.3 Monitoring dilakukan secara proporsional dan tidak menghilangkan kewajiban Pengguna untuk mematuhi Syarat & Ketentuan serta menjaga Akunnya sendiri.

6.4 Monitoring keamanan dan fraud dapat mencakup indikator perjudian/judi online, pornografi, Konten seksual terlarang, transaction laundering, produk digital fiktif, cloaking, redirect dinamis, aktivitas akun yang tidak wajar, dan pola transaksi yang menunjukkan penyalahgunaan Platform.

7. PENCEGAHAN PERJUDIAN, PORNOGRAFI, DAN PENYALAHGUNAAN PLATFORM

7.1 Sorai melarang penggunaan Platform untuk perjudian/judi online, pornografi atau eksploitasi seksual, Konten seksual terlarang, transaction laundering, cloaking, produk digital fiktif yang digunakan sebagai jalur pembayaran ilegal, serta aktivitas terlarang lain sebagaimana diatur dalam Syarat & Ketentuan.

7.2 Untuk melindungi Platform, Pembeli, Kreator yang sah, dan ekosistem pembayaran, Sorai dapat menerapkan kontrol keamanan dan fraud prevention yang menganalisis Konten, kategori/metadata produk, URL/redirect, domain, device signals, log, identitas/verifikasi, pola transaksi, payment reference, laporan Pengguna, serta indikator risiko lain yang relevan.

7.3 Sorai dapat menggunakan kontrol untuk mendeteksi pengelabuan seperti cloaking, redirect dinamis berdasarkan IP/user-agent/waktu, URL shortener atau iframe tersembunyi, penggantian Konten setelah review, penggunaan halaman eksternal, atau mekanisme lain yang dimaksudkan untuk menampilkan materi yang berbeda kepada Sorai atau Penyedia Jasa Pembayaran dibandingkan kepada Pembeli.

7.4 Sepanjang secara teknis tersedia bagi Sorai dan diperbolehkan hukum, investigasi dapat mencakup Konten privat/gated atau materi yang baru tersedia setelah pembayaran apabila terdapat laporan, indikator risiko, permintaan Penyedia Jasa Pembayaran, atau dasar yang wajar untuk menduga pelanggaran.

7.5 Apabila ditemukan atau secara wajar diduga terdapat pelanggaran, Sorai dapat mengisolasi atau memblokir Konten, menonaktifkan halaman/checkout/domain, membatasi akses, menangguhkan atau mengakhiri Akun, memaksa logout, meminta verifikasi tambahan, menyimpan bukti, dan mengkoordinasikan hold, reserve, refund, reversal, atau pembatasan pencairan dengan Penyedia Jasa Pembayaran sesuai kewenangan dan hukum yang berlaku. Sorai juga dapat melaporkan atau memberikan informasi yang diperlukan kepada pihak berwenang atau mitra terkait.

7.6 Kontrol keamanan, monitoring, review, atau moderasi Sorai tidak merupakan jaminan bahwa seluruh pelanggaran akan terdeteksi sebelum Konten ditampilkan atau Transaksi terjadi. Tidak adanya deteksi, notifikasi, atau tindakan pada suatu waktu tidak berarti Sorai menyetujui, mengesahkan, atau menjamin legalitas Konten atau aktivitas tersebut.

7.7 Pengguna bertanggung jawab penuh atas Konten, Produk Digital, Jasa, tautan, halaman eksternal, kredensial, aktivitas, dan Transaksi yang berasal dari atau dikendalikan melalui Akunnya. Pengguna tidak dapat mengalihkan tanggung jawab tersebut kepada Sorai dengan alasan bahwa Platform menyediakan hosting, checkout, delivery, integrasi pembayaran, atau fungsi teknis lainnya.

7.8 Sepanjang diizinkan hukum, Sorai tidak bertanggung jawab atas perjudian, pornografi, aktivitas seksual terlarang, cloaking, transaction laundering, atau aktivitas ilegal lain yang dilakukan Pengguna semata-mata karena aktivitas tersebut menggunakan atau melewati infrastruktur Sorai. Pengecualian ini tidak berlaku sejauh kerugian secara langsung disebabkan oleh tindakan atau kelalaian Sorai yang menjadi tanggung jawab Sorai berdasarkan hukum dan tidak dapat dikesampingkan.

8. PENYEDIA PIHAK KETIGA DAN RANTAI PASOK TEKNOLOGI

8.1 Sorai menggunakan penyedia pihak ketiga untuk fungsi tertentu seperti infrastruktur platform, cloud/hosting, domain, komunikasi, analytics, AI, dan pembayaran. Ketergantungan tersebut dikelola sesuai peran, kebutuhan data, dan risiko layanan.

8.2 Sorai akan menggunakan upaya yang wajar untuk memilih penyedia yang memiliki kemampuan dan komitmen keamanan yang sesuai, serta menerapkan pengaturan kontraktual atau teknis yang relevan apabila diperlukan.

8.3 Insiden pada penyedia pihak ketiga dapat memengaruhi Sorai. Dalam hal tersebut, Sorai akan berkoordinasi dengan penyedia yang relevan untuk mitigasi, pemulihan, komunikasi, dan pemenuhan kewajiban hukum.

9. PENGELOLAAN KERENTANAN DAN PERUBAHAN

9.1 Sorai dapat melakukan pengujian, scanning, review, patching, hardening, atau pembaruan keamanan berdasarkan risiko, ketersediaan patch, sifat kerentanan, dampak terhadap layanan, dan prioritas operasional.

9.2 Perubahan material pada sistem dapat melalui proses review dan pengujian yang proporsional sebelum diterapkan ke lingkungan produksi, sepanjang memungkinkan.

9.3 Sorai dapat menonaktifkan fitur, API, integrasi, atau akses tertentu tanpa pemberitahuan terlebih dahulu apabila diperlukan untuk menanggulangi ancaman keamanan yang nyata atau mendesak.

10. RESPON INSIDEN DAN PEMULIHAN

10.1 Sorai memiliki proses untuk menerima laporan, melakukan triase, mengisolasi dampak, menyelidiki penyebab, melakukan mitigasi, memulihkan layanan, dan mendokumentasikan insiden keamanan sesuai tingkat keparahan.

10.2 Jika insiden melibatkan Data Pribadi, Sorai akan menjalankan proses penanganan sesuai Kebijakan Privasi dan peraturan pelindungan data yang berlaku, termasuk pemberitahuan apabila diwajibkan.

10.3 Sorai dapat mengubah kredensial, memaksa logout, menangguhkan Akun, membatasi payout, memblokir domain/IP/perangkat, atau mengambil tindakan sementara lain yang wajar untuk mencegah perluasan dampak.

10.4 Pemulihan layanan dapat diprioritaskan berdasarkan keamanan, integritas data, fungsi pembayaran, serta dampak terhadap Pengguna.

11. AKTIVITAS KEAMANAN YANG DILARANG

11.1 Tanpa izin tertulis Sorai, Pengguna atau pihak lain dilarang:

1. melakukan penetration testing, vulnerability scanning, exploit, fuzzing agresif, atau pengujian yang dapat mengganggu sistem;
2. mengakses atau mencoba mengakses akun, data, API, endpoint, file, atau sistem yang bukan haknya;
3. melakukan credential stuffing, brute force, phishing, social engineering, session hijacking, atau pencurian token;
4. menyebarkan malware, ransomware, spyware, bot, atau kode berbahaya;
5. melakukan denial-of-service, traffic flooding, atau tindakan yang mengganggu ketersediaan layanan;
6. menghindari atau mengakali penerapan pembatasan sistem, kontrol akses, proses KYC/KYB, pengendalian fraud, pembatasan pembayaran, atau mekanisme keamanan lainnya;
7. menggunakan scraping, automation, atau bot dengan cara yang merusak, tidak sah, atau melanggar hak pihak lain;
8. mengungkapkan kerentanan secara publik sebelum Sorai memiliki waktu yang wajar untuk melakukan mitigasi, kecuali pengungkapan diwajibkan oleh hukum.

12. PENGUNGKAPAN KERENTANAN SECARA BERTANGGUNG JAWAB

12.1 Peneliti keamanan yang menemukan dugaan kerentanan diminta melaporkannya secara bertanggung jawab melalui kanal keamanan atau kontak resmi yang dicantumkan pada Platform.

12.2 Laporan sebaiknya memuat deskripsi kerentanan, langkah reproduksi yang aman, dampak, bukti yang tidak mengekspos Data Pribadi pihak lain, dan informasi kontak pelapor.

12.3 Pelapor wajib menghindari akses atau pengambilan data yang tidak diperlukan, tidak mengubah atau menghapus data, tidak mengganggu layanan, tidak melakukan extortion, dan memberikan waktu yang wajar bagi Sorai untuk menyelidiki serta memperbaiki.

12.4 Kebijakan ini tidak memberikan izin umum untuk melakukan pengujian aktif. Safe-harbor atau program bug bounty, apabila tersedia, akan diatur dalam ketentuan terpisah.

13. BATASAN DAN TANGGUNG JAWAB PENGGUNA

13.1 Tidak ada sistem informasi yang dapat dijamin 100% aman. Kebijakan ini menjelaskan upaya dan prinsip keamanan, bukan jaminan absolut terhadap seluruh ancaman atau insiden.

13.2 Pengguna bertanggung jawab atas keamanan sistem di luar kendali Sorai, termasuk perangkat, jaringan, email, domain, password manager, integration key, dan sistem pihak ketiga milik Pengguna, serta atas Konten dan aktivitas yang dilakukan melalui Akun Pengguna, termasuk apabila digunakan untuk perjudian, pornografi, cloaking, transaction laundering, atau aktivitas terlarang lainnya.

13.3 Sorai tidak meminta Pengguna untuk mengirimkan kata sandi, OTP, private key, atau kredensial rahasia melalui kanal komunikasi biasa. Pengguna harus berhati-hati terhadap pihak yang mengatasnamakan Sorai.

13.4 Pelaksanaan kontrol keamanan, review, atau moderasi oleh Sorai tidak mengalihkan tanggung jawab hukum Pengguna atas Konten atau aktivitasnya dan tidak membentuk jaminan bahwa Platform bebas dari seluruh penyalahgunaan. Tanggung jawab Sorai tetap terbatas pada kewajiban keamanan dan kewajiban lain yang secara hukum menjadi tanggung jawab Sorai.

14. PERUBAHAN KEBIJAKAN DAN KONTAK

14.1 Sorai dapat memperbarui Kebijakan ini untuk menyesuaikan perkembangan teknologi, ancaman, layanan, atau kewajiban hukum. Tanggal versi terbaru akan dicantumkan pada dokumen.

14.2 Pertanyaan keamanan, laporan insiden, dan laporan kerentanan dapat disampaikan melalui kanal kontak resmi yang tersedia pada Platform Sorai.AI. Sebelum Kebijakan ini diberlakukan, Sorai akan memastikan tersedia kanal yang sesuai untuk laporan keamanan.