Ikhtisar Keamanan

Daftar Isi

1. 1. Singkatnya
2. 2. Tempat data Anda disimpan
3. 3. Enkripsi
4. 4. Memisahkan data setiap bisnis
5. 5. Pelindungan saat masuk
6. 6. Jejak audit dan deteksi pemalsuan
7. 7. Cadangan dan pemulihan
8. 8. Pembayaran dan uang
9. 9. Kecerdasan buatan
10. 10. Akses tim kami
11. 11. Pemantauan dan penanganan insiden
12. 12. Sertifikasi
13. 13. Yang dapat Anda lakukan
14. 14. Melaporkan kerentanan

Versi: 1.2 · Diterbitkan: 16 Oktober 2026 · Berlaku: sejak persetujuan untuk Ruang Kerja baru; untuk Ruang Kerja yang telah menyetujui Versi sebelumnya, pada tanggal yang diberikan STAK dalam pemberitahuannya berdasarkan Pasal 20 Ketentuan Layanan Pelanggan · Teks yang berlaku: Bahasa Inggris (Pasal 23.9 Ketentuan Layanan Pelanggan)

Diterbitkan oleh: STAK Global, LLC, sebuah perusahaan dengan tanggung jawab terbatas (limited liability company) yang dibentuk di Negara Bagian Delaware, Amerika Serikat (nomor berkas 10798493), yang memiliki STAK (ستاك) dan Layanan. Kontak: [email protected].

Ikhtisar Keamanan ini menjelaskan dengan bahasa yang sederhana bagaimana kami melindungi data bisnis Anda dan menyimpan salinannya, sesuai keadaan pada Tanggal Berlaku Versi ini. Kami memperbaruinya ketika hal itu berubah. Dokumen ini hanya bersifat informasi. Komitmen kontraktual kami ada dalam Perjanjian Pemrosesan Data. Istilah yang didefinisikan dalam Ketentuan Layanan Pelanggan STAK memiliki arti yang sama dalam Ikhtisar Keamanan ini.

1. Singkatnya

• Data Anda dienkripsi saat berpindah dan saat disimpan di sistem kami.
• Data setiap bisnis dipisahkan dari semua bisnis lain di dalam basis data itu sendiri.
• Kami membuat Cadangan berkelanjutan, dan menyimpan salinan harian dan bulanan di negara lain, yang dilindungi dari penghapusan dini.
• Kami tidak menyimpan nomor kartu, dan kami tidak pernah menerima atau memegang uang Anda.
• Setiap perubahan penting dicatat dalam jejak audit yang tidak dapat diubah oleh Pengguna mana pun.
• Saat ini kami tidak memiliki sertifikasi ISO 27001 atau laporan SOC 2. Kami akan menyatakannya di sini ketika kami memperolehnya.

2. Tempat data Anda disimpan

2.1 Layanan berjalan di infrastruktur cloud Amazon Web Services di wilayah Frankfurt, di Republik Federal Jerman. Cadangan disalin ke wilayah Amazon Web Services terpisah di Republik Irlandia. Pemisahan ini berarti salinan data Anda tetap dapat disimpan meskipun seluruh wilayah hosting utama gagal.

2.2 Di masa depan kami dapat memindahkan hosting ke wilayah lain. Kami akan memberitahukan Anda sekurang-kurangnya 30 hari sebelumnya. Menjalankan Layanan sementara dari Cadangan di Republik Irlandia setelah hilangnya wilayah hosting utama bukan pemindahan, dan kami akan memberi tahu Anda tentang hal itu tanpa penundaan.

2.3 STAK disediakan oleh STAK Global, LLC, sebuah perusahaan yang dibentuk di Amerika Serikat. Penyedia hosting kami dan sebagian penyedia layanan kami juga tunduk pada hukum Amerika Serikat. Kami melindungi data Anda dari akses tanpa izin oleh pemerintah mana pun sebagaimana diatur dalam Pasal 13 Perjanjian Pemrosesan Data: kami mengungkapkan data hanya atas permintaan yang mengikat, memberi tahu Anda kecuali hukum melarangnya, membatasi pengungkapan pada batas minimum, dan menolak permintaan yang secara wajar kami anggap melanggar hukum. Data Anda dienkripsi saat disimpan dan saat berpindah.

3. Enkripsi

3.1 Setiap koneksi ke Layanan dienkripsi dengan TLS versi 1.2 atau lebih baru, dan aplikasi memverifikasi identitas server basis data pada setiap koneksi.

3.2 Basis data, disk, berkas, Cadangan, dan penyimpanan rahasia dienkripsi saat disimpan dengan AES-256, menggunakan kunci yang dikelola melalui layanan manajemen kunci Amazon atau oleh penyedia hosting.

3.3 Berkas karyawan dan rekam klinis Anda dienkripsi tambahan di dalam aplikasi dengan kunci terpisah, dan kunci untuk menghubungkan ke Penyedia Layanan Pembayaran dan penyedia lain disimpan dalam penyimpanan rahasia terpisah yang dienkripsi dengan kunci terpisah.

4. Memisahkan data setiap bisnis

4.1 Setiap catatan data suatu bisnis dalam basis data memuat pengenal Bisnis tempat catatan itu berada. Basis data itu sendiri menerapkan aturan keamanan tingkat baris (row-level security) yang menghentikan aplikasi membaca atau menulis catatan Bisnis lain. Ini merupakan lapisan pelindungan independen di bawah pemeriksaan milik aplikasi sendiri.

4.2 Akun basis data yang digunakan aplikasi tidak memiliki izin untuk melewati aturan ini.

5. Pelindungan saat masuk

5.1 Anda dapat masuk dengan:

• kode verifikasi yang dikirim melalui WhatsApp ke nomor yang terverifikasi;
• kunci sandi (passkey), dengan pengenalan wajah atau sidik jari;
• akun Google, Apple, atau Microsoft.

Aplikasi autentikator dapat digunakan sebagai langkah kedua setelah masuk. Kami tidak menggunakan kata sandi.

5.2 Anda dapat mewajibkan verifikasi dua langkah untuk peran tertentu, dan Pemilik serta Admin diberi peringatan ketika ada yang mengubah metode verifikasi mereka. Setiap orang diberi peringatan ketika Akun miliknya digunakan dari perangkat baru. Pada Paket yang mencakupnya, Anda juga dapat menetapkan batas waktu sesi tidak aktif, dan Pemilik diberi peringatan ketika ada yang masuk dari perangkat baru.

5.3 Setiap Anggota Staf mendapat peran dan hak akses yang ditentukan, dan akses mereka dapat dibatasi pada Cabang tertentu. Staf pada Perangkat bersama menggunakan nomor identifikasi pribadi (PIN) enam digit, dan masuk dengan PIN itu terkunci setelah lima kali salah.

6. Jejak audit dan deteksi pemalsuan

6.1 Setiap perubahan penting dicatat dalam jejak audit, dengan siapa yang melakukannya, kapan, dari mana, dan dari alamat IP mana. Tidak ada Pengguna yang dapat mengubah atau menghapus jejak ini, kecuali bahwa pelaksanaan permintaan untuk menghapus data seorang Pelanggan Akhir menghilangkan identitas orang tersebut dari entrinya sambil tetap mencatat apa yang dilakukan, oleh siapa, dan kapan. Jejak ini dihapus bersama Data Pelanggan pada saat pengakhiran berdasarkan Ketentuan.

6.2 Entri akuntansi dihubungkan dalam suatu rantai yang mengungkap setiap perubahan berikutnya, dan Anda dapat memeriksa integritasnya dari halaman Keamanan.

7. Cadangan dan pemulihan

7.1 Kami membuat Cadangan berkelanjutan dari basis data, yang memungkinkan pemulihan ke saat mana pun dalam 35 hari terakhir. Kami juga membuat:

• Cadangan harian, disimpan selama 35 hari;
• Cadangan bulanan, disimpan selama 12 bulan;
• Cadangan logis basis data (database dump) setiap malam, disimpan selama 35 hari dalam penyimpanan terkunci.

7.2 Cadangan harian dan bulanan disalin ke Irlandia. Kebijakan brankas cadangan di Frankfurt dan Irlandia mencegah siapa pun, termasuk tim kami sendiri, menghapus suatu Cadangan sebelum jangka waktu retensinya berakhir atau mengubah jangka waktu tersebut. Brankas itu juga dikunci dalam mode kepatuhan (compliance mode) penyedia hosting, yang dirancang agar tidak seorang pun, termasuk siapa pun yang mungkin mengambil alih salah satu akun kami pada penyedia hosting, dapat menghapus Cadangan dalam 35 hari pertamanya.

7.3 Setiap bulan kami menguji pemulihan basis data dari Cadangan. Kami berupaya agar kehilangan data tidak lebih dari 15 menit jika basis data gagal, dan tidak lebih dari 24 jam jika seluruh wilayah hosting hilang, sejalan dengan sasaran pemulihan dalam Perjanjian Tingkat Layanan.

7.4 Kami menyimpan Cadangan untuk memulihkan layanan, bukan sebagai arsip bagi Anda. Karena itu, mohon ekspor data Anda secara berkala dari halaman Paket dan penagihan atau dari setiap Aplikasi.

8. Pembayaran dan uang

8.1 Layanan dirancang agar nomor kartu tidak melewati atau tersimpan di sistem kami: pembayaran berlangsung pada halaman milik Penyedia Layanan Pembayaran sendiri atau pada terminal dan aplikasi penerimaan kartu mereka yang bersertifikat. Layar Layanan tidak memuat kolom untuk nomor kartu atau kode keamanannya, dan Anda dapat meminta, dari halaman Keamanan, agar kolom teks dipindai untuk mencari nomor kartu yang dimasukkan secara keliru.

8.2 Uang Anda diselesaikan langsung dari Penyedia Layanan Pembayaran ke rekening bank Anda. Kami tidak pernah menerima atau memegangnya.

8.3 Mengubah rekening bank yang terdaftar di STAK untuk menerima penyelesaian pembayaran memerlukan langkah verifikasi tambahan dan baru berlaku setelah 48 jam. Pemilik diberi peringatan segera agar dapat membatalkannya.

9. Kecerdasan buatan

9.1 Data dikirim ke penyedia AI hanya ketika Pengguna meminta Fitur AI, mengunggah dokumen untuk dibaca oleh fitur tersebut, seperti struk, atau ketika otomatisasi yang disiapkan Pengguna menjalankan langkah AI, dan hanya data yang diperlukan untuk permintaan atau langkah itu yang dikirim.

9.2 Data Anda tidak digunakan untuk melatih model kecerdasan buatan. Fitur AI mengubah catatan hanya setelah konfirmasi tegas dari Anda, atau berdasarkan otomatisasi yang telah disiapkan dan diaktifkan oleh Pengguna yang berwenang.

10. Akses tim kami

Akses ke Lingkungan Produksi dibatasi pada sejumlah terbatas staf yang disebutkan namanya dan memerlukan autentikasi multifaktor, dan dimulainya setiap sesi akses dicatat dalam log. Akses administratif ke server hanya melalui layanan manajemen sistem Amazon, tanpa login langsung ke server.

Kami melihat data Anda hanya dalam hal-hal berikut:

• untuk memberikan dukungan yang Anda minta;
• untuk mengoperasikan, memelihara, dan memulihkan Layanan;
• untuk menyelidiki Insiden Keamanan atau dugaan pelanggaran terhadap Kebijakan Penggunaan yang Dapat Diterima;
• jika hukum mewajibkannya.

11. Pemantauan dan penanganan insiden

11.1 Kami memantau infrastruktur cloud secara otomatis sepanjang waktu, dengan peringatan langsung kepada tim kami. Setiap tindakan administratif pada infrastruktur cloud dicatat dalam log, dan ancaman serta hak akses berlebih dideteksi secara otomatis.

11.2 Jika suatu Pelanggaran Data Pribadi memengaruhi data Anda, kami memberitahukan Anda tanpa penundaan yang tidak semestinya: dalam waktu 24 jam setelah mengetahuinya jika memungkinkan, dan bagaimanapun juga dalam waktu 48 jam. Kami memberi tahu Anda apa yang terjadi dan apa yang telah kami lakukan.

12. Sertifikasi

Saat ini kami tidak memiliki sertifikasi ISO 27001 atau laporan SOC 2. Kami juga tidak memiliki sertifikasi PCI DSS, karena Layanan dirancang agar data kartu tidak melewati sistem kami: data itu diproses pada halaman milik Penyedia Layanan Pembayaran sendiri atau pada terminal dan aplikasi mereka yang bersertifikat. Penyedia Layanan Pembayaran yang Anda hubungkan ke Layanan memiliki sertifikasi mereka sendiri. Kami akan mencantumkan di sini setiap sertifikasi yang kami peroleh di masa depan.

Jika Anda menerima pembayaran kartu melalui halaman STAK Anda, pembeli diarahkan ke halaman milik Penyedia Layanan Pembayaran Anda sendiri, atau Anda menggunakan terminal dan aplikasinya yang bersertifikat, sehingga halaman STAK tidak pernah mengumpulkan data kartu. Periksa kewajiban PCI DSS Anda sendiri dengan Penyedia Layanan Pembayaran Anda; bisnis yang menggunakan pengalihan semacam itu biasanya mengisi kuesioner penilaian mandiri yang paling singkat (SAQ A). STAK tidak mengklaim memiliki sertifikasi PCI DSS.

13. Yang dapat Anda lakukan

• Aktifkan verifikasi dua langkah untuk Pemilik dan Admin.
• Berikan kepada setiap Anggota Staf hanya hak akses yang dibutuhkan pekerjaannya, dan segera cabut akses siapa pun yang pergi.
• Ekspor data Anda secara berkala, sekurang-kurangnya sebulan sekali.
• Jaga agar Perangkat titik penjualan tetap terhubung sampai penjualan yang dicatat secara luring selesai disinkronkan, sebelum menghapus data atau keluar dari Perangkat mana pun.
• Jaga agar sistem dan peramban perangkat Anda tetap mutakhir.
• Segera beri tahu kami tentang aktivitas mencurigakan apa pun.

14. Melaporkan kerentanan

Jika Anda menemukan kerentanan keamanan, kirim email kepada kami di [email protected]. Kami menangani laporan secara rahasia. Kami mengizinkan pengujian keamanan beritikad baik dalam batas Pasal 10 Kebijakan Penggunaan yang Dapat Diterima, dan kami tidak mengajukan keluhan atau tuntutan terhadap siapa pun yang tetap berada dalam batas tersebut dan melaporkan kerentanan kepada kami tanpa penundaan.