Kebijakan Privasi

1. Informasi yang kami kumpulkan

Kami mengumpulkan kategori data berikut:

• Informasi akun: nama, alamat email, hash kata sandi, peran (pelajar, perekrut, admin), foto profil jika Anda mengunggahnya.
• Informasi pertanyaan & akademik: informasi yang Anda kirimkan melalui formulir pertanyaan dan pendaftaran kami, seperti nama, alamat email, nomor telepon, negara asal, negara tujuan, jenjang gelar yang diinginkan, minat program, nilai tes (TOEFL/IELTS/GRE/GMAT, dll.), IPK, institusi sebelumnya, anggaran, dan periode masuk. Anda dapat mengirimkan pertanyaan tanpa membuat akun.
• Dokumen yang Anda unggah: transkrip, pernyataan tujuan, surat rekomendasi, salinan paspor, dokumen visa, dan materi pendaftaran lainnya.
• Komunikasi: pesan yang Anda kirimkan kepada penasihat, tiket dukungan, kiriman ulasan.
• Informasi rujukan: jika Anda bergabung dengan program rujukan atau perekrut kami, atau mendaftar menggunakan kode atau tautan rujukan orang lain, kami mencatat kode rujukan dan koneksi antar-akun yang dihasilkan guna mengelola program tersebut.
• Informasi pembayaran: kami tidak menyimpan nomor kartu; pembayaran diproses oleh Stripe, yang menerima detail kartu langsung dari peramban Anda. Kami menyimpan pengenal pembayaran Stripe, jumlah yang ditagih, dan status pembelian.
• Informasi penggunaan & perangkat: alamat IP, string user-agent, jalur permintaan, dan stempel waktu yang dicatat di log sisi server dan di penyedia edge kami (Cloudflare). Hanya digunakan untuk keamanan, pencegahan penyalahgunaan, dan debugging. Kami tidak menjalankan analitik sisi klien atau pelacak iklan.
• Catatan persetujuan: saat Anda mengirimkan pertanyaan, mendaftar, atau memilih untuk menerima email pemasaran, kami menyimpan catatan izin yang Anda berikan (kotak centang mana, di halaman mana, versi kebijakan, IP Anda, dan user-agent Anda saat itu) sehingga kami dapat membuktikan persetujuan tersebut jika kelak dipertanyakan.
• Penyedia autentikasi: jika Anda masuk dengan Google, kami menerima nama, email, dan foto profil Anda dari Google sesuai persetujuan Anda.

2. Mengapa kami memproses data ini (dasar hukum)

Untuk pengguna di UE, UK, dan EEA, kami mengandalkan dasar hukum berikut berdasarkan GDPR:

• Kontrak (Pasal 6(1)(b)): untuk membuat dan mengelola akun Anda, menanggapi pertanyaan Anda, menampilkan daftar universitas dan beasiswa yang relevan, memproses pembayaran, memberikan layanan yang dibeli, menyediakan dukungan penasihat, dan mengelola program rujukan.
• Kepentingan sah (Pasal 6(1)(f)): untuk mengoperasikan dan mengamankan Layanan, mencegah penipuan dan penyalahgunaan, menganalisis penggunaan agregat untuk meningkatkan kualitas produk, dan menanggapi pertanyaan Anda.
• Kewajiban hukum (Pasal 6(1)(c)): untuk mematuhi persyaratan pajak, akuntansi, dan regulasi.
• Persetujuan (Pasal 6(1)(a)): untuk komunikasi pemasaran opsional.

3. Bagaimana kami membagikan data Anda

Kami tidak menjual data pribadi Anda. Kami tidak membagikan data pribadi Anda kepada universitas atau penyedia beasiswa; daftar pada Layanan dikurasi dari sumber publik, dan kami bukan agen perekrutan untuk institusi mana pun. Kami membagikan data dengan:

• Penyedia layanan yang membantu kami menjalankan Layanan:
  • Stripe, Inc. (pemrosesan pembayaran, AS), kebijakan privasi.
  • Hetzner Online GmbH (hosting server, Jerman), kebijakan privasi.
  • Cloudflare, Inc. (DNS, CDN, TLS, keamanan edge, dan penyimpanan objek R2 untuk dokumen yang diunggah seperti salinan paspor dan visa, AS), kebijakan privasi.
  • Neon, Inc. (basis data Postgres terkelola, wilayah: AWS Frankfurt, Jerman), kebijakan privasi.
  • Resend, Inc. (email transaksional, AS), kebijakan privasi.
  • Google LLC (masuk OAuth, AS), kebijakan privasi.
  Penyedia ini secara kontraktual dibatasi untuk menggunakan data Anda hanya sebagaimana diperlukan untuk menyediakan layanan kepada kami.
• Otoritas hukum: bila diwajibkan oleh hukum, surat panggilan pengadilan, atau untuk melindungi hak dan keselamatan kami.
• Pengalihan bisnis: sehubungan dengan merger, akuisisi, atau penjualan aset (dengan pemberitahuan kepada Anda).

4. Transfer data internasional

Server dan basis data utama kami berlokasi di Jerman (UE). Sebagian penyedia layanan kami (Stripe, Resend, Cloudflare, Google) berbasis di Amerika Serikat. Ketika data ditransfer ke luar UE/EEA, kami mengandalkan Standard Contractual Clauses (SCC) yang disetujui oleh Komisi Eropa, serta sertifikasi masing-masing penyedia berdasarkan kerangka kerja yang berlaku (mis. EU–US Data Privacy Framework).

5. Berapa lama kami menyimpan data Anda

• Data akun: selama akun Anda aktif, dan hingga 24 bulan setelah penghapusan untuk pencegahan penipuan.
• Dokumen pendaftaran (transkrip, pernyataan, rekomendasi, nilai tes): disimpan selama Anda memiliki layanan aktif dengan kami, dan jika tidak, dihapus setelah mencapai jangka waktu penyimpanan kami sejak diunggah. Dokumen identitas dan keuangan yang sensitif (salinan paspor, catatan keuangan) disimpan untuk jangka waktu yang lebih pendek dibanding dokumen lainnya. Anda juga dapat menghapus dokumen apa pun sendiri dari dasbor Anda kapan saja. Lihat “Bagaimana kami menghapus dokumen” di bawah ini.
• Catatan pembayaran: 7 tahun untuk kepatuhan pajak dan akuntansi.
• Komunikasi dukungan: hingga 3 tahun setelah penyelesaian.
• Log server: hingga 90 hari.

Bagaimana kami menghapus dokumen

Kami menerapkan proses penyimpanan data pada dokumen yang diunggah agar tidak menyimpannya lebih lama dari yang diperlukan. Sebuah dokumen menjadi memenuhi syarat untuk dihapus setelah Anda tidak lagi memiliki layanan aktif dengan kami dan usianya melampaui jangka waktu penyimpanan untuk jenisnya, atau setelah mencapai batas usia maksimum mutlak terlepas dari aktivitas. Dokumen yang terkait dengan layanan aktif tidak pernah dihapus oleh proses ini. Sebelum dokumen apa pun dihapus, kami mengirimi Anda email dan menampilkan pemberitahuan di dasbor Anda, dan Anda dapat menandai dokumen untuk dipertahankan jika masih membutuhkannya. Dokumen yang memenuhi syarat pertama-tama disembunyikan dan ditahan selama masa tenggang yang memungkinkannya dipulihkan, lalu dihapus secara permanen dari penyimpanan kami. Jangka waktu penyimpanan yang tepat dikonfigurasikan oleh tim kami dan dapat berubah; Anda selalu dapat meminta penghapusan data Anda lebih awal melalui portal hak yang dijelaskan dalam “Hak Anda” di bawah ini.

6. Hak Anda

Tergantung pada tempat tinggal Anda, Anda mungkin memiliki hak berikut atas data pribadi Anda:

• Akses: meminta salinan data yang kami simpan tentang Anda.
• Koreksi: meminta kami memperbaiki data yang tidak akurat.
• Penghapusan: meminta penghapusan akun dan data terkait Anda (tunduk pada kewajiban penyimpanan menurut hukum).
• Portabilitas: menerima salinan data Anda dalam format yang dapat dibaca mesin.
• Keberatan & pembatasan: menolak pemrosesan atau meminta kami membatasinya.
• Menarik persetujuan: untuk setiap pemrosesan yang didasarkan pada persetujuan.
• Pengaduan: mengajukan pengaduan kepada otoritas perlindungan data setempat Anda.

Banyak dari hak ini dapat Anda jalankan sendiri dari halaman Privasi & Data di dalam akun Anda: Anda dapat mengunduh salinan data Anda yang dapat dibaca mesin (portabilitas), mengedit profil Anda (koreksi), mengelola persetujuan pemasaran, dan meminta penghapusan akun. Untuk hal yang tidak dapat Anda selesaikan di sana, kirimkan email kepada kami di [email protected]. Kami merespons dalam 30 hari.

Penduduk UE/UK (GDPR/UK GDPR): jika Anda yakin kami tidak menangani data Anda dengan semestinya, Anda berhak mengajukan pengaduan kepada otoritas perlindungan data nasional Anda. Anda dapat menemukan otoritas Anda melalui European Data Protection Board.

Penduduk California (CCPA/CPRA): selain hak-hak di atas, Anda berhak mengetahui informasi pribadi apa yang kami kumpulkan, meminta penghapusan atau koreksinya, menolak penjualan atau pembagian informasi pribadi, dan membatasi penggunaan informasi pribadi yang sensitif. Kami tidak menjual atau membagikan informasi pribadi dalam arti istilah tersebut digunakan dalam CCPA/CPRA (kami tidak menukarkannya dengan imbalan uang atau imbalan berharga lainnya, dan kami tidak membagikannya untuk iklan perilaku lintas konteks). Anda juga dapat menunjuk agen resmi untuk mengajukan permintaan atas nama Anda; kami akan memverifikasi kewenangan agen sebelum bertindak. Kami tidak melakukan diskriminasi terhadap pengguna yang menjalankan hak privasi mereka.

Brasil (LGPD): subjek data di Brasil memiliki hak yang setara atas akses, koreksi, anonimisasi, portabilitas, penghapusan, informasi tentang pembagian, dan pencabutan persetujuan. Kontak kami di atas juga berfungsi sebagai saluran untuk permintaan LGPD.

Kanada (PIPEDA): pengguna Kanada dapat meminta akses ke dan koreksi atas informasi pribadi mereka, dan dapat menarik persetujuan (tunduk pada pembatasan hukum atau kontraktual) dengan menghubungi kami di email di atas.

Korea Selatan (PIPA): pengguna di Republik Korea memiliki hak untuk diberi tahu tentang pemrosesan informasi pribadi mereka serta hak untuk mengakses, mengoreksi, menghapus, dan menangguhkan pemrosesannya, dan untuk menarik persetujuan apa pun yang sebelumnya diberikan. Kami mengumpulkan informasi pribadi hanya dengan persetujuan Anda atau dasar hukum lain yang sah, menggunakannya semata-mata untuk tujuan yang dijelaskan dalam kebijakan ini, dan tidak mentransfernya kepada pihak ketiga kecuali sebagaimana diatur di sini. Untuk menjalankan hak ini, atau mengangkat kekhawatiran apa pun tentang cara informasi pribadi Anda ditangani, hubungi kami di [email protected]. Anda juga dapat melaporkan kekhawatiran kepada Personal Information Protection Commission (PIPC) atau Korea Internet & Security Agency (KISA).

7. Keamanan

Kami menggunakan langkah-langkah standar industri untuk melindungi data Anda saat transit (TLS 1.3) dan saat tersimpan (AES-256 pada basis data dan penyimpanan file kami). Kata sandi di-hash dengan bcrypt. Akses dibatasi pada personel resmi berdasarkan kebutuhan-untuk-mengetahui. Terlepas dari langkah-langkah ini, tidak ada sistem yang sepenuhnya aman; jika kami menemukan pelanggaran yang secara material memengaruhi data Anda, kami akan memberi tahu Anda dan, bila diwajibkan, otoritas terkait tanpa penundaan yang tidak semestinya.

8. Cookie dan analitik

Kami tidak menggunakan analitik pihak ketiga, iklan, atau pelacakan lintas situs. Kami mencatat metadata permintaan sisi server dasar (alamat IP, user-agent, jalur permintaan, dan stempel waktu) untuk keamanan, pencegahan penyalahgunaan, dan debugging. Log ini disimpan hingga 90 hari.

Kami menggunakan sejumlah kecil cookie pihak pertama dan satu entri localStorage, yang semuanya benar-benar diperlukan atau berbasis preferensi (tidak memerlukan persetujuan berdasarkan aturan ePrivacy UE):

• Sesi autentikasi (cookie yang disetel oleh NextAuth, HTTP-only, kedaluwarsa saat Anda keluar atau setelah masa pakai sesi): membuat Anda tetap masuk di seluruh halaman.
• gp_ref (TTL 90 hari): mencatat kode rujukan dari URL ?ref=CODE sehingga kami dapat mengatribusikan pendaftaran Anda ke perekrut atau pengguna perujuk yang tepat.
• gp-theme (disimpan di localStorage peramban, bukan sebagai cookie HTTP): mengingat preferensi terang/gelap/kontras-tinggi Anda.

Anda dapat menghapusnya kapan saja dari kontrol data-situs peramban Anda. Menghapus cookie autentikasi akan mengeluarkan Anda; menghapus yang lain mengembalikan ke pengaturan bawaan dan menghilangkan atribusi rujukan.

9. Anak-anak

GlobalPath tidak ditujukan untuk anak-anak di bawah usia 16 tahun. Kami tidak dengan sengaja mengumpulkan informasi pribadi dari siapa pun yang berusia di bawah 16 tahun. Jika kami mengetahui bahwa kami telah mengumpulkan informasi tersebut, kami menghapusnya. Jika Anda yakin seorang anak di bawah usia 16 tahun telah memberi kami data pribadi, silakan hubungi kami di [email protected].

10. Perubahan kebijakan ini

Kami dapat memperbarui kebijakan ini dari waktu ke waktu. Perubahan material akan diumumkan melalui email dan di halaman ini, dengan tanggal berlaku yang direvisi di atas. Penggunaan Layanan yang berkelanjutan setelah perubahan berlaku merupakan penerimaan atas kebijakan yang diperbarui.

11. Hubungi kami

Untuk pertanyaan khusus privasi atau untuk menjalankan hak data Anda, hubungi tim privasi kami di [email protected]. Untuk semua pertanyaan lain tentang Layanan, hubungi kami di [email protected].