Kebijakan Privasi

1. Siapa yang bertanggung jawab

Pengendali data pribadi Anda adalah operator BaZi.cards:

Untuk setiap permintaan terkait privasi, Anda dapat menghubungi support@bazi.cards. Kami tidak menunjuk petugas pelindungan data pribadi (data protection officer) secara terpisah; operator menangani seluruh permintaan secara langsung.

2. Data apa yang kami kumpulkan

Kami hanya mengumpulkan data yang benar-benar diperlukan oleh Layanan.

• Data akun — alamat e-mail Anda, kata sandi dalam bentuk hash (kami tidak pernah melihat kata sandi itu sendiri), bahasa antarmuka pilihan Anda, dan tanggal pendaftaran.
• Data kelahiran — tanggal, waktu, dan tempat lahir, serta jenis kelamin (opsional). Anda juga dapat memasukkan data kelahiran orang lain (misalnya untuk pembacaan kecocokan); dalam hal ini, Anda menyatakan dan menjamin bahwa Anda berhak membagikan data tersebut.
• Pertanyaan kepada Oracle — teks pertanyaan yang Anda ketik dan jawaban yang dihasilkan secara otomatis, disimpan dalam akun Anda agar dapat diakses kembali.
• Data pembelian — pembacaan yang Anda pesan, jumlah pembayaran, mata uang, tanggal, dan nomor identifikasi pesanan. Nomor kartu dan kredensial pembayaran lainnya ditangani sepenuhnya oleh penyedia layanan pembayaran dan tidak pernah sampai ke server kami.
• Data daftar tunggu (waitlist) — apabila Anda meminta untuk diberi tahu saat pembayaran dibuka di wilayah Anda, kami mencatat alamat e-mail yang Anda masukkan, versi bahasa situs yang Anda gunakan, serta produk dan harga yang ditampilkan kepada Anda pada saat itu.
• Data program referral — apabila program referral tersedia di wilayah Anda dan Anda mengikutinya (dengan mengundang seseorang atau dengan mengikuti undangan), kami menyimpan hash berkunci (HMAC) dari alamat IP, jaringannya, dan pengidentifikasi peramban, untuk mendeteksi referral diri sendiri dan penyalahgunaan. Hash tidak dapat diubah kembali menjadi alamat aslinya; hash tersebut disimpan selama sekitar enam bulan setelah kunjungan terakhir. Dasar hukum: kepentingan sah kami untuk mencegah penipuan.
• Data teknis — alamat IP, jenis peramban, jenis perangkat, halaman rujukan, waktu permintaan, dan catatan kesalahan (error log). Data ini diperlukan untuk menjalankan situs secara aman dan melindunginya dari penyalahgunaan.
• Cookie dan penyimpanan lokal (local storage) — lihat bagian 9 dan Kebijakan Cookie tersendiri.

3. Data kelahiran diperlakukan sebagai data yang bersifat sensitif

Tanggal, waktu yang tepat, dan tempat lahir, apabila digabungkan dengan pertanyaan yang Anda ajukan, dapat mengungkapkan banyak hal tentang diri seseorang. Meskipun data tersebut tidak selalu termasuk dalam kategori “data pribadi yang bersifat spesifik” sebagaimana diatur dalam Pasal 4 ayat (2) UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (“UU PDP”), kami dengan sengaja memperlakukannya dengan tingkat perlindungan setara data pribadi spesifik:

• kami memprosesnya hanya untuk menyusun dan menafsirkan bagan (chart) Anda, dan tidak pernah untuk iklan atau pembuatan profil bagi pihak ketiga;
• kami meminta persetujuan eksplisit Anda sebelum perhitungan pertama dilakukan, sebagaimana dimaksud dalam Pasal 20 UU PDP;
• Anda dapat menghapusnya dari akun Anda kapan saja, dan kami akan menghapusnya dari sistem kami sebagaimana diuraikan pada bagian 5;
• kami tidak pernah menjual, menyewakan, atau membagikannya kepada pialang data (data broker).

4. Tujuan dan dasar hukum pemrosesan

Apabila pemrosesan didasarkan pada persetujuan, Anda dapat menarik kembali persetujuan tersebut kapan saja sebagaimana dijamin dalam Pasal 22 UU PDP; penarikan persetujuan tidak memengaruhi keabsahan pemrosesan yang telah dilakukan sebelumnya.

5. Berapa lama kami menyimpan data

• Akun, data kelahiran, pembacaan, dan riwayat Oracle — selama akun Anda masih ada. Jika Anda menghapus akun, data tersebut dihapus dalam waktu 30 hari; cadangan (backup) ditimpa dalam 90 hari berikutnya.
• Catatan pembelian — selama periode yang disyaratkan oleh peraturan perpajakan dan akuntansi yang berlaku bagi operator (umumnya 5–10 tahun), dalam bentuk yang tidak lagi memuat data kelahiran.
• Log teknis — hingga 90 hari, kecuali insiden tertentu mengharuskan penyimpanan lebih lama.
• Korespondensi dukungan — hingga 3 tahun sejak pesan terakhir.
• Data daftar tunggu (waitlist) — hingga Anda meminta kami menghapus alamat Anda, dan paling lama 24 bulan sejak tanggal Anda mendaftar dalam daftar tunggu tersebut.
• Persetujuan buletin — hingga Anda berhenti berlangganan.

6. Siapa lagi yang mengakses data

Kami tidak menjual data pribadi dan tidak membagikannya kepada pengiklan. Untuk menjalankan Layanan, kami menggunakan sejumlah kecil prosesor data pribadi yang bertindak berdasarkan instruksi kami melalui perjanjian tertulis:

• Hosting — server berlokasi di Uni Eropa (Finlandia). Basis data, perhitungan bagan, serta penyimpanan akun, pembacaan, dan riwayat Oracle Anda berada di sana.
• Nama domain dan perlindungan formulir — Cloudflare, Inc. (Amerika Serikat). Cloudflare menjalankan DNS domain kami dan, pada formulir masuk dan formulir bagan, pemeriksaan Cloudflare Turnstile yang memastikan formulir digunakan oleh manusia; untuk pemeriksaan ini Cloudflare memproses alamat IP Anda dan data teknis peramban. Situs itu sendiri dilayani langsung dari server kami di Finlandia, tidak melalui jaringan Cloudflare. Cloudflare bertindak atas instruksi kami berdasarkan adendum pemrosesan datanya.
• Pembuatan teks — teks jawaban Oracle (dan, apabila pembacaan berbayar tersedia di wilayah Anda, teks pembacaan tertulis) disusun dengan bantuan penyedia layanan pembuatan teks pihak eksternal yang berlokasi di Amerika Serikat. Untuk setiap permintaan, penyedia tersebut hanya menerima teks pertanyaan Anda atau bagian pembacaan yang sedang disusun, beserta data bagan hasil perhitungan yang diperlukan untuk itu (pilar, unsur, indikator terkait pada bagan, dan aturan tradisi yang dipilih untuknya). Penyedia tersebut tidak menerima alamat e-mail, kata sandi, atau data pembayaran Anda. Penyedia bertindak berdasarkan instruksi kami dalam suatu perjanjian pemrosesan data (data processing agreement); berdasarkan ketentuan bisnisnya, data tersebut tidak digunakan untuk melatih model miliknya dan dapat disimpan untuk jangka waktu terbatas (hingga 30 hari) guna mendeteksi penyalahgunaan sebelum akhirnya dihapus.
• Pengiriman e-mail — Brevo (Sendinblue SAS, Prancis) mengirimkan surel konfirmasi, reset kata sandi, dan, dengan persetujuan Anda, buletin. Brevo menerima alamat e-mail Anda dan isi surel.
• Penyedia pembayaran — penyedia layanan pembayaran yang dipilih oleh operator menerima data yang diperlukan untuk memproses pembayaran (jumlah, mata uang, nomor pesanan, dan data yang Anda masukkan pada halaman pembayarannya sendiri). Penyedia tersebut bertindak sebagai pengendali independen untuk transaksi pembayaran itu sendiri; namanya ditampilkan pada halaman pembayaran sebelum Anda membayar. Di halaman kasir kami, formulir pembayaran disediakan oleh Stripe (Stripe Payments Europe, Ltd., Irlandia, dan Stripe, Inc., Amerika Serikat): saat halaman kasir dibuka, Stripe memasang cookie miliknya dan mengumpulkan sinyal teknis perangkat dan peramban untuk mencegah penipuan pembayaran (lihat Kebijakan Cookie).
• Telegram — jika Anda menggunakan bot kami @Bazinterbot, Telegram Messenger Inc. memproses pesan Anda berdasarkan kebijakan privasinya sendiri; kami menerima identifikasi Telegram Anda dan pesan yang Anda kirim ke bot.
• Daftar tunggu (waitlist) — alamat yang ditinggalkan pada formulir daftar tunggu disimpan dalam basis data kami sendiri pada server Uni Eropa yang sama dan tidak diteruskan kepada pihak lain mana pun.

Kami juga dapat mengungkapkan data apabila diwajibkan oleh hukum, misalnya untuk memenuhi permintaan yang sah dari pengadilan atau instansi berwenang, atau untuk menegakkan, melaksanakan, atau membela tuntutan hukum.

7. Transfer data ke luar negeri

Server kami berlokasi di Uni Eropa (Finlandia); akun, data kelahiran, pembacaan, dan riwayat Oracle Anda disimpan di sana. Sebagian prosesor yang disebutkan pada bagian 6 memproses data di luar negara tempat Anda berada:

• Amerika Serikat — layanan pembuatan teks. Saat Anda mengajukan pertanyaan kepada Oracle, atau saat pembacaan tertulis disiapkan untuk Anda, teks pertanyaan dan data bagan hasil perhitungan sebagaimana diuraikan pada bagian 6 dikirimkan melalui koneksi terenkripsi kepada penyedia di Amerika Serikat, yang mengembalikan teks jawabannya. Alamat e-mail, kata sandi, dan data pembayaran Anda tidak dikirimkan. Transfer ini kami lakukan berdasarkan Pasal 56 UU PDP — yaitu melalui perjanjian yang mengikat dan menetapkan tingkat pelindungan data pribadi yang setara (perlindungan yang memadai dan mengikat), yang menjadi bagian dari perjanjian pemrosesan data dengan penyedia tersebut, dan/atau berdasarkan persetujuan Anda. Transfer ini diperlukan untuk menjawab pertanyaan Anda; apabila Anda tidak menghendakinya, jangan gunakan Oracle.
• Amerika Serikat — perlindungan formulir (Cloudflare Turnstile). Cloudflare dapat memproses alamat IP dan data teknis permintaan Anda di Amerika Serikat dan negara lain tempat jaringannya beroperasi. Transfer ini kami lakukan berdasarkan Pasal 56 UU PDP, melalui perjanjian yang mengikat yang menjadi bagian dari adendum pemrosesan data Cloudflare.
• Telegram dan pengiriman e-mail. Jika Anda menggunakan bot Telegram kami, Telegram Messenger Inc. memproses pesan Anda berdasarkan kebijakannya sendiri; Brevo mengirimkan surel kami dari Uni Eropa.

Kami membatasi data yang ditransfer hanya pada yang benar-benar dibutuhkan oleh masing-masing prosesor, dan kami tidak pernah menjual data pribadi.

8. Hak Anda sebagai subjek data

Sebagai subjek data pribadi, Anda memiliki hak-hak berikut sebagaimana dijamin oleh UU PDP dan kami hormati untuk setiap pengguna tanpa memandang yurisdiksi:

• Hak memperoleh informasi — mengenai kejelasan identitas, dasar hukum, tujuan, serta pertanggungjawaban pemrosesan data pribadi Anda;
• Hak akses — untuk mendapatkan salinan data yang kami simpan tentang Anda;
• Hak melengkapi, memperbarui, dan/atau memperbaiki — data kelahiran dapat Anda ubah langsung di akun Anda;
• Hak penghapusan — untuk meminta akun dan data Anda dihapus;
• Hak menarik kembali persetujuan dan menghentikan pemrosesan — kapan saja, untuk buletin dan pemrosesan data kelahiran;
• Hak mengajukan keberatan atas pemrosesan yang didasarkan pada kepentingan sah;
• Hak portabilitas data — untuk menerima data Anda dalam format yang dapat dibaca oleh sistem elektronik dan mengirimkannya kepada pengendali lain, sepanjang secara teknis memungkinkan;
• Hak mengajukan pengaduan — kepada lembaga yang berwenang mengawasi pelindungan data pribadi sesuai UU PDP, tanpa mengurangi hak Anda untuk menempuh upaya hukum lain sesuai peraturan yang berlaku di tempat Anda berada.

Untuk menggunakan salah satu hak tersebut, kirim surel ke support@bazi.cards dari alamat e-mail yang tertaut dengan akun Anda. Kami akan menjawab dalam waktu 30 hari; jika permintaan bersifat kompleks, kami dapat memperpanjang jangka waktu tersebut hingga 60 hari tambahan dan akan menjelaskan alasannya. Kami tidak akan mengenakan biaya kecuali permintaan tersebut jelas tidak berdasar atau berlebihan.

9. Cookie dan analitik

Situs menggunakan sejumlah kecil cookie yang benar-benar diperlukan beserta teknologi serupa: bazi_uid — identifikasi anonim yang menghubungkan perhitungan bagan, pembacaan gratis, dan pembelian Anda sebelum Anda masuk ke akun (400 hari); bazi_session_id — menjaga Anda tetap masuk ke akun Anda (30 hari); bazi_lang — preferensi bahasa Anda (hingga 1 tahun); serta beberapa entri dalam penyimpanan lokal (local storage) peramban Anda — pilihan cookie Anda, bagan terakhir yang dihitung dan bagan yang Anda simpan, identifikasi anonim, dan, apabila Anda memasukkannya, alamat e-mail untuk kuitansi dan pemberitahuan. Penyimpanan lokal tetap berada di perangkat Anda hingga Anda menghapusnya. Daftar lengkapnya ada dalam Kebijakan Cookie.

Untuk memahami cara situs digunakan, kami menjalankan analitik milik kami sendiri (first-party) yang di-host di situs ini. Analitik ini mencatat data penggunaan anonim — halaman yang dilihat, sumber rujukan, klik, kedalaman gulir, waktu pada halaman, jenis perangkat, dan lebar layar — menggunakan skrip yang kami sajikan sendiri, tanpa cookie dan tanpa penyimpanan peramban serta tanpa mengidentifikasi Anda secara pribadi. Kami tidak menggunakan layanan analitik web pihak ketiga mana pun (seperti Google Analytics atau Yandex Metrica), tidak menetapkan cookie analitik atau iklan, dan tidak menggunakan piksel media sosial. Pengukuran tampilan halaman dasar berjalan pada setiap kunjungan; pengukuran yang lebih rinci (peta klik dan pelacakan gulir) baru dimuat setelah Anda menekan “Terima semua” pada banner cookie. Rinciannya ada dalam Kebijakan Cookie.

Perekaman sesi. Hanya setelah Anda menekan “Terima semua”, pengukuran terperinci juga mencatat titik di layar yang Anda klik dan menyimpan rekaman anonim kunjungan Anda ke halaman — perubahan halaman, gerakan penunjuk, klik, dan gulir — agar kami dapat menemukan dan memperbaiki kesalahan di situs. Semua yang Anda ketik di kolom isian disamarkan dan tidak pernah direkam; blok berisi data kelahiran, hasil perhitungan, dan formulir pembayaran dikecualikan dari rekaman. Rekaman hanya dikaitkan dengan pengenal sesi acak, bukan dengan akun, alamat email, atau data pembayaran Anda. Anda dapat menarik persetujuan kapan saja di pengaturan cookie; setelah itu perekaman berhenti.

10. Batas usia

Layanan ini ditujukan bagi orang dewasa. Kami tidak dengan sengaja membuat akun untuk, atau menerima pembayaran dari, orang yang berusia di bawah 18 tahun. Jika Anda meyakini bahwa seorang anak di bawah umur telah memberikan data pribadinya kepada kami, silakan hubungi kami dan kami akan menghapusnya.

11. Keamanan

Seluruh lalu lintas data dienkripsi (TLS). Kata sandi disimpan dalam bentuk hash yang di-salt. Akses ke basis data dibatasi hanya untuk operator dan dicatat. Integritas aplikasi diverifikasi sebelum setiap rilis. Tidak ada sistem yang sepenuhnya aman, sehingga apabila kami menemukan kebocoran data yang berpotensi memengaruhi hak Anda, kami akan memberitahukan Anda dan instansi yang berwenang sesuai dengan jangka waktu yang ditetapkan oleh peraturan perundang-undangan yang berlaku, termasuk kewajiban notifikasi kegagalan pelindungan data pribadi sebagaimana diatur dalam UU PDP.

12. Pemberitahuan regional

Indonesia

Kami memproses data pribadi Anda sesuai dengan UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik sebagaimana diubah terakhir dengan UU No. 1 Tahun 2024 (UU ITE), serta UU No. 8 Tahun 1999 tentang Perlindungan Konsumen sepanjang menyangkut hubungan Anda sebagai konsumen Layanan. Dasar hukum pemrosesan sebagaimana diuraikan pada bagian 4 mengacu pada Pasal 20 UU PDP; hak Anda sebagaimana dimaksud pada bagian 8 mengacu pada Pasal 5 sampai dengan Pasal 9 UU PDP; pengaduan dapat disampaikan kepada lembaga yang berwenang mengawasi pelindungan data pribadi sesuai UU PDP.

Kawasan Ekonomi Eropa dan Britania Raya

Bagi pengguna yang berdomisili di kawasan tersebut, pemrosesan data pribadi tunduk pada Regulation (EU) 2016/679 (GDPR) dan, untuk pengguna di Britania Raya, UK GDPR serta Data Protection Act 2018. Dasar hukum pada bagian 4 mengacu pada Pasal 6 (dan, untuk data kelahiran, Pasal 9 apabila relevan) dari peraturan tersebut.

Negara lain

Di mana pun Anda berada, kami menerapkan standar yang sama sebagaimana diuraikan dalam Kebijakan ini; apabila hukum setempat memberikan hak tambahan kepada Anda, kami menghormatinya.

13. Perubahan Kebijakan ini

Kami dapat memperbarui Kebijakan ini apabila Layanan atau peraturan perundang-undangan berubah. Versi terkini beserta tanggalnya selalu ditampilkan di bagian atas halaman ini. Apabila suatu perubahan secara material memengaruhi hak Anda, kami akan memberitahukannya kepada pengguna terdaftar melalui e-mail sebelum perubahan tersebut berlaku.