Kebijakan privasi Sampul

1.1. Kebijakan ini menjelaskan data pribadi yang kami kumpulkan lewat Sampul, untuk apa data itu dipakai, siapa yang bisa melihatnya, berapa lama disimpan, dan cara Kakak memakai hak atas data itu.

1.2. Kebijakan ini berlaku untuk situs sampul.id, editor di app.sampul.id, halaman undangan di sampul.id/u/, dan aplikasi Android Sampul.

1.3. Pengendali data adalah Ardaya Pratama, yang mengelola Sampul sebagai usaha perorangan, berkedudukan di Yogyakarta. Di dokumen ini disebut "kami". Kontak: halo@sampul.id dan WhatsApp +62 878-3893-5217.

1.4. "Kakak" berarti pemilik akun, juga orang yang diundang pemilik untuk membantu, misalnya keluarga atau penerima tamu. "Tamu" berarti orang yang menerima dan membuka undangan. "Pengunjung" berarti siapa pun yang membuka situs.

1.5. Kebijakan ini disusun mengikuti Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), dan dibaca bersama syarat dan ketentuan di sampul.id/syarat.

2.1. Alamat email akun. Kalau Kakak masuk dengan Google, kami menerima email, profil dasar seperti nama dan foto profil, serta ID akun Google dari Google.

2.2. Alamat IP dan jenis browser atau perangkat setiap kali Kakak masuk. Sistem login mencatatnya untuk menjaga sesi dan memeriksa upaya masuk yang mencurigakan.

2.3. Peran Kakak di setiap acara, misalnya pemilik, editor, atau penerima tamu.

2.4. Catatan persetujuan: versi syarat dan kebijakan privasi saat akun pertama kali dipakai. Setelah asisten AI tersedia, juga persetujuan asisten AI beserta waktu setuju dan waktu dicabut.

2.5. Di aplikasi Android: token notifikasi per perangkat, id instalasi, dan versi aplikasi.

3.1. Isi undangan diketik Kakak. Isinya bisa memuat:

• nama lengkap dan nama panggilan mempelai, gelar, urutan anak, nama orang tua beserta tanda sudah wafat, dan akun Instagram;
• jadwal acara, nama tempat, alamat, link peta, dan link siaran langsung;
• data hadiah: bank atau e-wallet, nomor rekening, nama pemilik rekening, gambar QRIS, dan alamat kirim;
• kontak keluarga: nama, peran, dan nomor WhatsApp;
• cerita singkat, salam, dan templat pesan WhatsApp.

3.2. Foto dan musik yang Kakak unggah. Data lokasi dan metadata lain di foto dibuang saat diproses. File asli dihapus setelah versi untuk web selesai dibuat.

3.3. Saat undangan terbit, kami membuat gambar pratinjau dari foto sampul dan nama mempelai. Gambar ini muncul saat link dibagikan di WhatsApp.

3.4. Isi undangan memuat data orang lain, misalnya orang tua dan keluarga. Kakak memastikan mereka tahu dan setuju datanya dicantumkan.

3.5. Undangan yang tayang bisa dibaca siapa pun yang memegang link-nya. Halaman undangan kami tandai supaya tidak dimuat mesin pencari, tetapi halaman itu tidak rahasia. Pertimbangkan hal ini sebelum mencantumkan nomor rekening, alamat rumah, atau nomor telepon.

3.6. Kalau Kakak dan pasangan memberi izin portofolio, salinan undangan bisa ditampilkan sebagai contoh di sampul.id. Salinan itu tidak memuat tamu, jawaban kehadiran, ucapan, data hadiah, kontak, dan link siaran. Nama orang tua hanya tampil kalau dipilih. Kalau acaranya di rumah, alamatnya kami hapus dari salinan sebelum ditampilkan. Kalau acaranya dihapus, izin itu ikut dicabut dan salinannya kami turunkan. Rinciannya ada di lembar izin yang Kakak berdua setujui.

4.1. Daftar tamu diisi Kakak: nama, sapaan, nomor HP, grup, dan jumlah orang. Penerima tamu bisa menambahkan tamu yang datang tanpa undangan, dengan nama dan jumlah orang.

4.2. Dari tamu sendiri: jawaban kehadiran dan jumlah orang, serta ucapan beserta nama pengirimnya. Lewat link umum, tamu mengetik namanya sendiri.

4.3. Setiap tamu mendapat link pribadi. Kami mencatat waktu Kakak mengetuk tombol Kirim untuk tamu itu dan waktu link-nya pertama kali dibuka. Kakak bisa melihat keduanya per tamu. Untuk syarat pengembalian dana, yang dihitung adalah saat tamu mengetuk "Buka sampul" di link pribadinya, atau mengirim jawaban kehadiran atau ucapan lewat link itu (syarat dan ketentuan pasal 7.2).

4.4. Di hari acara: waktu check-in, jumlah orang, serta perangkat dan akun penerima tamu yang mencatatnya.

4.5. Kakak bisa memberi keluarga link pengirim. Pemegang link itu bisa melihat nama dan nomor HP tamu di grup yang ditugaskan kepadanya.

4.6. Undangan dikirim dari WhatsApp milik Kakak atau keluarga. Kami tidak mengirim pesan WhatsApp dan tidak menerima data dari WhatsApp.

4.7. Notifikasi di aplikasi hanya memuat jumlah jawaban kehadiran atau ucapan, tanpa nama tamu dan tanpa isi ucapan.

5.1. Pembayaran. Kami mencatat pesanan: paket, nominal, cara bayar, kode pesanan, dan statusnya. Pembayaran QRIS diproses Midtrans. Kami tidak menerima nomor kartu, PIN, atau kata sandi bank. Notifikasi pembayaran dari Midtrans bisa memuat data pembayar. Kalau pembayaran dikonfirmasi manual, kami mencocokkan nominal di catatan bank, yang bisa menampilkan nama pembayar. Nama itu tidak kami salin.

5.2. Pengembalian dana. Alasan pengajuan (tidak wajib) dan, kalau dana perlu ditransfer manual, rekening tujuan: bank, nomor, dan nama pemilik. Rekening ini hanya dibaca admin untuk mengirim dana kembali.

5.3. Asisten AI belum tersedia, jadi belum ada data yang dikirim ke penyedia model AI. Setelah fitur ini tersedia dan Kakak menyetujuinya, teks yang Kakak ketik atau tempel, serta foto yang Kakak unggah untuk isi otomatis, dikirim ke penyedia model AI. Nomor HP dan nomor rekening di teks disamarkan sebelum dikirim. Foto dikirim apa adanya. Kami meminta penyedia tidak menyimpan isinya, dan kami sendiri tidak menyimpan isi itu di database maupun di catatan sistem. Yang kami catat hanya pemakaiannya: fitur, waktu, jumlah token, dan biaya.

5.4. Aplikasi Android:

• Laporan crash dan data sesi aplikasi dikirim langsung ke Google lewat Firebase Crashlytics dan Firebase Sessions, tanpa nama tamu, nomor HP, dan isi undangan. Data sesi berisi pengenal sesi acak, pengenal instalasi Firebase, waktu aplikasi dibuka, model dan pabrikan HP, versi Android, dan versi aplikasi. Keduanya berhenti saat laporan crash dimatikan di Pengaturan aplikasi.
• Pemindai QR memakai Google ML Kit. Gambar kamera dan isi QR diproses di perangkat. ML Kit mengirim info perangkat (pabrikan, model, versi Android), info aplikasi, dan ukuran kinerja langsung ke Google untuk diagnostik dan analitik pemakaian. Pengiriman ini tidak bisa dimatikan.
• Data di HP (sesi, draf, antrean simpan, data hari-H) disimpan terenkripsi, tidak ikut cadangan otomatis Android, dan dihapus saat keluar akun.

5.5. Daftar tunggu. Email, bulan dan tahun rencana menikah kalau diisi, waktu dan versi persetujuan, serta sumber pendaftaran. Kami mengirim satu email konfirmasi, dan alamat baru masuk daftar setelah tautan di email itu diketuk. Email orang yang kami undang mencoba lebih dulu, misalnya penguji aplikasi dan pasangan beta, disimpan di daftar undangan terpisah.

5.6. Pengunjung situs dan halaman undangan:

• Ukuran kecepatan halaman tanpa identitas: waktu muat, jenis jaringan, besar memori perangkat, lebar layar, kode tema, serta kota dan provinsi. Tanpa alamat IP, nama tamu, alamat link, atau pengenal perangkat.
• Cloudflare, jaringan yang kami pakai, melihat alamat IP dan permintaan setiap pengunjung.
• Saat form di link umum, form daftar tunggu, atau formulir laporan dibuka, Cloudflare Turnstile memeriksa browser untuk memastikan pengirimnya bukan bot.
• Untuk membatasi kiriman berulang, kami menyimpan alamat IP dalam bentuk acak satu arah (hash), paling lama 1 hari, kecuali hash di laporan undangan (5.8).

5.7. Email ke halo@sampul.id. Alamat pengirim dan isi email tersimpan di kotak surat kami.

5.8. Laporan undangan. Lewat tautan "Laporkan undangan ini" kami menyimpan undangan yang dilaporkan, kategori laporan, catatan (tidak wajib, paling banyak 500 karakter), waktu laporan, serta status dan hasil pemeriksaannya. Nama dan email pelapor tidak diminta. Alamat IP disimpan dalam bentuk hash untuk membatasi jumlah laporan. Admin menerima email pemberitahuan berisi alamat undangan, kategori, dan 140 karakter pertama catatan, tanpa alamat IP. Pemilik undangan tidak melihat isi laporan maupun data pelapor. Kalau laporan terbukti melanggar, pemilik hanya menerima pemberitahuan berisi alasan dari admin.

6.1. Tujuan dan dasar pemrosesan:

Tujuan	Data	Dasar
Menjalankan layanan: akun, membuat dan menampilkan undangan, link pribadi, kehadiran, ucapan, hari-H, dan notifikasi	data akun, isi undangan, data tamu	perjanjian dengan Kakak (syarat dan ketentuan)
Pembayaran, pengembalian dana, dan pembukuan	pesanan, notifikasi Midtrans, rekening tujuan pengembalian dana	perjanjian; kewajiban hukum untuk pembukuan
Email layanan: kode masuk, pengembalian dana, kompensasi gangguan, pemberitahuan pemeliharaan, pemberitahuan pelanggaran dan penghentian undangan, pengingat sebelum draf dihapus, pemberitahuan kegagalan pelindungan data, perubahan syarat dan kebijakan	email akun	perjanjian
Asisten AI (belum tersedia)	teks dan foto yang Kakak kirim	persetujuan, bisa dicabut
Daftar tunggu	email	persetujuan
Contoh di sampul.id	salinan undangan	persetujuan kedua mempelai
Keamanan dan pencegahan penyalahgunaan: catatan masuk, batas kiriman, pemeriksaan bot, pemeriksaan laporan undangan	alamat IP, jenis perangkat, hash IP	kepentingan yang sah untuk melindungi akun dan layanan
Memperbaiki aplikasi dan kecepatan halaman	laporan crash, ukuran kecepatan halaman	kepentingan yang sah

6.2. Kami tidak menjual data, tidak memakai data untuk iklan, dan tidak membuat profil pemasaran. Data tamu hanya dipakai untuk undangan tempat tamu itu diundang.

6.3. Email ke daftar tunggu hanya tentang pembukaan Sampul. Kami tidak mengirim email promosi ke pemilik akun tanpa persetujuan terpisah.

6.4. Telemetri ML Kit di 5.4 dikirim langsung ke Google dan tidak sampai ke kami. Google memakainya untuk keperluannya sendiri.

7.1. Di dalam satu acara:

• Pemilik dan admin acara: semua data acara itu, termasuk nomor HP tamu dan pesanan.
• Editor: isi undangan, daftar tamu, jawaban kehadiran, dan ucapan.
• Anggota dengan akses lihat: daftar tamu, jawaban kehadiran, dan ucapan.
• Penerima tamu: daftar tamu tanpa nomor HP.
• Pemegang link pengirim keluarga: nama dan nomor HP tamu di grupnya.
• Tamu: data dirinya dan jawabannya sendiri, lewat link pribadi.
• Layar sapa di tempat acara, biasanya di TV atau laptop: nama, sapaan, dan jumlah orang tamu yang baru check-in. Siapa pun yang melihat layar atau memegang link-nya bisa membacanya. Pemilik dan editor bisa mengganti link itu, dan link lama langsung tidak berlaku.
• Siapa pun yang memegang link undangan: isi undangan yang tayang dan ucapan yang ditampilkan.

7.2. Admin Sampul bisa membaca data untuk menjalankan layanan, memeriksa pembayaran dan pengembalian dana, menangani laporan pelanggaran, dan membantu kalau Kakak meminta. Server hanya bisa dimasuki lewat jaringan pribadi (VPN). Panel database hanya menerima akun Google pengelola dan hanya dinyalakan saat dibutuhkan.

7.3. Penyedia layanan di pasal 8 menerima data sebatas yang mereka perlukan.

7.4. Kami membuka data kepada pihak berwenang hanya kalau diwajibkan hukum.

8.1. Penyedia ini memproses data atas nama kami, untuk keperluan yang tertulis:

Penyedia	Untuk apa	Data yang sampai
Pusat data di Indonesia	tempat fisik server	semua data di server
Operator server fisik (host t2net-jkt)	menjalankan mesin tempat server kami berada. Mesin itu juga dipakai pihak lain	akses teknis ke disk server, yang memuat semua data
Cloudflare	jaringan dan perlindungan situs, pemeriksaan bot (Turnstile), penerusan email ke halo@sampul.id	alamat IP dan permintaan setiap pengunjung, isi halaman yang lewat, sinyal browser, isi email
Cloudflare R2	salinan cadangan	semua data, dalam bentuk terenkripsi. Cloudflare tidak memegang kunci pembukanya
Resend	mengirim email	alamat email penerima dan isi email
Midtrans	pembayaran QRIS dan pengembalian dana	nominal dan kode pesanan. Data pembayar dipegang Midtrans serta bank atau e-wallet pembayar
OpenRouter dan penyedia model AI di belakangnya (rencananya Google)	asisten AI, belum tersedia	belum ada data. Setelah tersedia: teks yang sudah disamarkan dan foto untuk isi otomatis
Apple (Passwords dan iCloud Keychain)	menyimpan kata sandi dan kunci akses admin	kata sandi dan kunci akses admin, serta salinan daftar email undangan mencoba lebih dulu
Google	masuk dengan Google, notifikasi aplikasi (Firebase Cloud Messaging), laporan crash dan data sesi (Crashlytics, Firebase Sessions), pemindai QR (ML Kit), kotak surat admin (Gmail)	profil dasar dan email; token perangkat, nama mempelai sebagai judul notifikasi, dan jumlah jawaban; log crash, data sesi (pengenal sesi dan pengenal instalasi Firebase), dan info perangkat; info perangkat, info aplikasi, dan ukuran kinerja; isi email ke halo@sampul.id dan pemberitahuan sistem di kotak surat admin

8.2. Layanan lain yang kami pakai untuk kode, pemantauan server, dan akses admin tidak menerima data Kakak atau tamu.

8.3. Google Play dan WhatsApp adalah layanan yang Kakak pakai langsung. Data di sana diatur kebijakan privasi masing-masing.

9.1. Database dan file disimpan di server kami di pusat data di Indonesia. Untuk uji pemulihan, tiap bulan satu salinan database dipulihkan sementara di laptop admin yang disknya terenkripsi, lalu dihapus.

9.2. Salinan cadangan disimpan di Cloudflare R2, di luar Indonesia. Ini termasuk pengiriman data ke luar Indonesia. Pelindungnya: data dienkripsi di server kami sebelum diunggah, Cloudflare tidak memegang kunci pembukanya, dan akses ke tempat penyimpanan cadangan dibatasi untuk admin.

9.3. Cloudflare, Resend, Google, dan Apple bisa memproses data di luar Indonesia. Setelah asisten AI tersedia, OpenRouter dan penyedia model AI juga bisa. Yang sudah pasti: cadangan di Cloudflare R2 (9.2), dan email dikirim lewat Resend dari Jepang.

10.1. Data disimpan selama dibutuhkan, lalu dihapus otomatis:

Data	Lama simpan
Data tamu: daftar tamu, link pribadi, jawaban kehadiran, ucapan, catatan check-in, link pengirim	90 hari setelah acara, di semua paket. Yang tersisa hanya angka rekap tanpa nama dan nomor. Kalau acara dihapus pemiliknya: 7 hari setelah dihapus. Saat akun dihapus: langsung, untuk undangan yang hanya dikelola akun itu
Halaman undangan	Ringkas sampai 30 hari setelah acara. Lengkap dan Didampingi sampai 12 bulan setelah acara, sebagai arsip tanpa data tamu sejak hari ke-90. Masa tayang bisa bertambah sebagai ganti gangguan dari sistem kami, dan jadwal hapus isi dan file ikut bergeser
Isi undangan di sistem (draf dan versi tayang)	90 hari setelah masa tayang habis, atau 30 hari setelah acara dihapus. Undangan yang disembunyikan tetap disimpan sampai masa tayangnya habis. Saat akun dihapus: langsung, untuk undangan yang hanya dikelola akun itu
Foto, musik, dan file lain	sampai masa tayang habis, atau 7 hari setelah acara dihapus. Foto yang Kakak hapus dan tidak dipakai lagi: paling lama sekitar 2 hari. Unggahan yang gagal diproses: 24 jam. Saat akun dihapus: langsung, untuk undangan yang hanya dikelola akun itu
Undangan yang belum pernah terbit dan belum dibayar	kalau tanggal acaranya sudah lewat atau belum diisi, dan isinya tidak diubah 180 hari: foto dan musik dihapus, lalu undangan ditandai terhapus. Daftar tamunya terhapus 7 hari kemudian, isinya 30 hari kemudian. Email pengingat dikirim sekitar 14 hari sebelumnya. Undangan yang belum terbit tetapi sudah dibayar tidak kena aturan ini; isinya disimpan sampai acara atau akun dihapus
Akun	sampai Kakak menghapusnya
Catatan masuk (alamat IP dan jenis perangkat)	catatan login: 90 hari. Sesi yang masih dipakai menyimpannya selama dipakai, lalu dihapus 90 hari setelah terakhir dipakai
Token notifikasi aplikasi	sampai keluar akun, akun dihapus, atau token ditolak Firebase
Catatan persetujuan, dan pemakaian asisten AI setelah tersedia	sampai akun dihapus
Pesanan dan pengembalian dana	5 tahun. Setelah akun dihapus, disimpan tanpa data pribadi
Rekening tujuan pengembalian dana	dihapus 30 hari setelah dana dikirim, saat pengajuan ditolak, atau saat akun dihapus
Notifikasi pembayaran dari Midtrans	90 hari
Daftar tunggu	belum dikonfirmasi: 7 hari. Berhenti: langsung dihapus. Seluruh daftar: 90 hari setelah Sampul dibuka untuk umum
Daftar undangan mencoba lebih dulu (penguji aplikasi dan pasangan beta)	sampai Sampul dibuka untuk umum
Ukuran kecepatan halaman	90 hari
Alamat IP dalam bentuk hash	1 hari. Hash di laporan undangan disimpan bersama laporannya
Laporan undangan	sampai diperiksa, lalu dihapus 90 hari setelah pemeriksaan ditutup. Email pemberitahuan laporan di kotak admin: 90 hari
Izin portofolio	selama salinan tayang (paling lama 2 tahun setelah acara), ditambah 1 tahun sebagai bukti. Izin yang tidak pernah lengkap: 90 hari
Email ke halo@sampul.id	1 tahun setelah percakapan selesai. Yang terkait sengketa atau pengembalian dana: sampai urusannya selesai, ditambah 1 tahun
Catatan insiden (gangguan layanan dan kegagalan pelindungan data)	3 tahun
Catatan untuk mengulang tindakan setelah pemulihan (id, email dalam bentuk hash, waktu)	35 hari
Catatan sistem (log)	diputar menurut ukuran berkas; riwayat tugas terjadwal 14 hari. Tanpa kode link pribadi dan tanpa isi kiriman tamu, tetapi catatan login memuat alamat IP
Data hari-H di perangkat penerima tamu	24 jam setelah hari-H ditutup di perangkat dan semua data terkirim. Paling lama 7 hari setelah acara dimulai. Berkas dari tombol "Ekspor darurat" (antrean check-in yang belum terkirim, untuk dipindah ke HP lain) tidak terhapus otomatis, jadi hapus sendiri setelah dipakai

10.2. Database dicadangkan tiap malam dan cadangannya disimpan 35 hari. File dicadangkan harian dan mingguan. Data yang sudah dihapus masih ada di cadangan sampai sekitar 35 hari, lalu hilang dengan sendirinya. Kalau sistem dipulihkan dari cadangan, penghapusan otomatis menurut waktu berjalan lagi. Tindakan sesudah cadangan terakhir yang bisa hilang karena pemulihan kami jalankan ulang: hapus akun, cabut izin portofolio, berhenti dari daftar tunggu, dan perbaikan data yang diminta lewat halo@sampul.id. Untuk itu kami menyimpan catatan berisi id, email dalam bentuk hash, dan waktu, selama 35 hari.

11.1. Menurut UU PDP, Kakak berhak mendapat informasi tentang pemrosesan data (kebijakan ini), melihat dan mendapat salinan data, memperbaiki data, menghapus data, menarik persetujuan, meminta pemrosesan ditunda atau dibatasi, dan mengajukan keberatan. Caranya:

Hak	Cara
Melihat dan mendapat salinan	Isi undangan terlihat di editor. Daftar tamu dan jawaban kehadiran bisa diunduh sebagai CSV sampai 90 hari setelah acara. Rincian pesanan ada di app.sampul.id. Salinan data lain bisa diminta lewat halo@sampul.id
Memperbaiki	Lewat editor sampai acara paling awal dimulai. Sesudahnya lewat halo@sampul.id
Menghapus akun	Menu Pengaturan di aplikasi, atau app.sampul.id/akun/hapus. Rinciannya di 11.2
Menarik persetujuan asisten AI, setelah fiturnya tersedia	Pengaturan, tombol "Cabut persetujuan"
Berhenti dari daftar tunggu	Tautan di setiap email, tombol berhenti langganan di aplikasi email, atau balas ke halo@sampul.id
Mencabut izin portofolio	Halaman acara, link izin untuk pasangan, atau halo@sampul.id. Salinan diturunkan paling lambat 3 hari kerja
Mematikan laporan crash	Pengaturan aplikasi
Permintaan lain, termasuk keberatan dan pembatasan	halo@sampul.id

11.2. Hapus akun:

• Sebelum menghapus, Kakak diminta masuk ulang, paling lama 5 menit sebelum permintaan dikirim. Di web dengan kode baru lewat email. Di aplikasi dengan masuk ulang lewat Google, atau kode baru lewat email untuk akun yang tidak memakai Google.
• Penghapusan diproses saat itu juga dan tidak bisa dibatalkan. Kalau ada gangguan di tengah jalan, sistem menyelesaikannya otomatis. Undangan yang hanya dikelola akun itu ikut terhapus dan berhenti tayang, termasuk yang sudah dibayar, tanpa pengembalian dana otomatis.
• Acara yang punya admin lain tetap ada dan dikelola admin itu.
• Yang tetap disimpan: catatan pesanan dan pengembalian dana tanpa data pribadi, selama 5 tahun. Alamat link undangan tetap dicadangkan supaya tidak dipakai orang lain. Waktu dan hasil penghapusan dicatat tanpa data pribadi dan disimpan 24 bulan. Satu email catatan berisi id akun internal, tanpa email dan nama, disimpan di kotak surat admin selama 35 hari untuk mengulang penghapusan kalau sistem dipulihkan dari cadangan.
• Salinan cadangan memuat data akun sampai sekitar 35 hari.

11.3. Permintaan untuk melihat, memperbaiki, atau menghapus data kami jawab paling lambat 3 x 24 jam sejak permintaan diterima. Kami bisa meminta bukti bahwa permintaan datang dari pemilik data, misalnya balasan dari email akun.

11.4. Kalau Kakak merasa data tidak ditangani sesuai kebijakan ini, hubungi kami dulu di halo@sampul.id. Kakak juga berhak mengadu ke lembaga yang berwenang menurut UU PDP.

12.1. Data tamu dikumpulkan untuk pemilik undangan. Tamu yang ingin datanya diubah atau dihapus bisa meminta ke pemilik undangan, atau menulis ke halo@sampul.id.

12.2. Pemilik undangan bisa menghapus tamu dari daftar (jawaban kehadiran dan catatan check-in ikut terhapus), memperbaiki jawaban kehadiran, dan menyembunyikan ucapan. Ucapan dari tamu yang dihapus tetap ada beserta nama pengirimnya sampai terhapus otomatis 90 hari setelah acara. Untuk menghapusnya lebih cepat, tulis ke halo@sampul.id.

12.3. Semua data tamu terhapus otomatis 90 hari setelah acara.

13.1. Langkah yang kami jalankan:

• Server berada di Indonesia, tanpa port yang terbuka ke internet. Semua lalu lintas lewat sambungan terenkripsi (HTTPS) melalui Cloudflare.
• Server hanya bisa dimasuki lewat jaringan pribadi (VPN) dengan kunci SSH. Panel database hanya menerima akun Google pengelola, dengan sesi pendek dan kata sandi, dan hanya dinyalakan saat dibutuhkan.
• Kunci rahasia layanan tidak ada di aplikasi atau browser.
• Link pribadi tamu memakai kode acak 128 bit dan tidak ditulis ke catatan sistem.
• Cadangan tiap malam dienkripsi sebelum dikirim ke penyimpanan di luar server.
• Kami tidak menyimpan data kartu atau kredensial bank.

13.2. Cadangan dibuat tiap malam, jadi data dari sekitar 24 jam terakhir bisa hilang kalau server rusak.

13.3. Kalau terjadi kegagalan pelindungan data, kami memberi tahu secara tertulis paling lambat 3 x 24 jam, sesuai UU PDP:

• pemilik akun dan pendaftar daftar tunggu, lewat email dari kabar@mail.sampul.id;
• tamu, lewat pemilik undangan, dan bila perlu lewat pengumuman di sampul.id;
• lembaga yang berwenang menurut UU PDP.

Pemberitahuan itu memuat data yang terungkap, kapan dan bagaimana kejadiannya, serta langkah penanganan dan pemulihan. Pertanyaan bisa dikirim ke halo@sampul.id. Setiap kejadian kami catat.

14.1. Di situs dan halaman undangan, kami tidak memakai cookie iklan atau analitik pihak ketiga, jadi tidak ada banner cookie. Untuk aplikasi Android, lihat 5.4.

14.2. Yang kami simpan di browser:

Tempat	Isi	Hilang kapan
Halaman undangan	tanda sudah dibuka, pilihan musik nyala atau mati, serta isian kehadiran dan ucapan (sessionStorage)	saat tab ditutup
sampul.id dan semua subdomainnya	penanda pemilik (cookie sampul_pemilik), dipasang editor web, supaya undangan yang dibuka pengelolanya tidak dihitung sebagai dibuka tamu. Kalau penanda ada, halaman undangan bertanya ke app.sampul.id apakah login di browser ini mengelola undangan itu. Jawabannya hanya ya atau tidak, dipakai saat itu saja, dan tidak disimpan. Undangan yang ditanyakan juga tidak dicatat	saat keluar atau menghapus akun di browser itu, saat editor web mendapati login sudah berakhir, atau paling lama 90 hari setelah terakhir dipakai. Penanda yang tertinggal tidak mengubah apa pun: server tetap menjawab bukan pengelola
Editor di app.sampul.id	cookie sesi login. Halaman undangan juga mengirim cookie ini saat bertanya seperti di baris atas	saat keluar atau menghapus akun; paling lama 400 hari. Sesi di server berakhir setelah 90 hari tidak dipakai
Halaman gabung di app.sampul.id	token undangan anggota selama belum masuk (sessionStorage)	setelah bergabung, atau saat tab ditutup
Editor di app.sampul.id	draf dan antrean simpan saat offline (IndexedDB), pilihan tampilan (localStorage)	setelah tersinkron, atau saat keluar akun
Hari-H di browser	daftar tamu acara itu dan antrean check-in (IndexedDB)	tombol "Hapus data hari-H dari perangkat ini", atau otomatis seperti di pasal 10. Berkas "Ekspor darurat" tidak ikut terhapus

14.3. Cloudflare Turnstile baru dimuat saat form dibuka.

15.1. Sampul ditujukan untuk pasangan yang menyiapkan pernikahan. Pemilik akun yang belum cakap hukum memakai Sampul dengan persetujuan orang tua atau wali, sesuai syarat dan ketentuan pasal 2.2.

15.2. Daftar tamu bisa memuat nama anak sebagai bagian keluarga yang diundang. Datanya diperlakukan sama dengan data tamu lain.

16.1. Kalau kebijakan ini berubah, kami memberi tahu lewat email paling lambat 14 hari sebelum perubahan berlaku.

16.2. Versi dan tanggal berlaku tertulis di akhir halaman ini.

Ardaya Pratama, Yogyakarta, halo@sampul.id, WhatsApp +62 878-3893-5217.