Kebijakan Privasi

1.1 Definisi

Universitas

Universitas Harkat Negeri, selaku pengendali data pribadi yang diproses melalui Layanan.

Layanan

SSO (Single Sign-On) Universitas Harkat Negeri: gerbang identitas untuk masuk ke aplikasi kampus, termasuk halaman masuk, aktivasi, pemulihan akun, halaman Akun, dan Console administrator.

Pengguna

Mahasiswa, dosen, tenaga kependidikan, alumni, dan pihak lain yang diberi akun oleh Universitas.

Aplikasi terhubung

Aplikasi kampus yang memakai Layanan untuk mengenali Pengguna.

Data pribadi

Data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi, sebagaimana dimaksud dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Unit TI

Unit di Universitas yang mengelola dan mengoperasikan Layanan.

1.2 Ruang Lingkup

• Kebijakan ini berlaku untuk data pribadi yang diproses oleh Layanan, yaitu identitas, autentikasi, sesi, dan catatan keamanan.
• Data di dalam aplikasi terhubung, misalnya nilai, keuangan, atau dokumen, diatur oleh kebijakan aplikasi masing-masing.
• Bila terdapat perbedaan dengan kebijakan privasi resmi Universitas, kebijakan resmi Universitas yang berlaku.

1.3 Dasar Pemrosesan

Universitas memproses data pribadi untuk menjalankan hubungan akademik dan kepegawaian dengan Pengguna, memenuhi kewajiban hukum, serta menjaga keamanan sistem informasi Universitas. Aplikasi yang memerlukan persetujuan akan meminta izin Pengguna sebelum menerima data apa pun.

2.1 Data Identitas

Nama, ID kampus (NIM atau NIP), email yang tercatat, username lama bila ada, dan status keanggotaan (mahasiswa, dosen, tenaga kependidikan, atau alumni). Data ini berasal dari sistem akademik dan kepegawaian Universitas, bukan dibuat sendiri oleh Pengguna di Layanan.

2.2 Data Autentikasi

• Kata sandi disimpan hanya sebagai hash Argon2id. Kata sandi asli tidak pernah tersimpan dan tidak dapat dibaca siapa pun, termasuk administrator.
• Passkey disimpan sebagai kunci publik; kunci rahasianya tetap di perangkat Pengguna.
• Kunci verifikasi dua langkah (TOTP) disimpan terenkripsi dengan AES-256-GCM. Kode pemulihan disimpan sebagai hash.

2.3 Data Sesi dan Perangkat

Label perangkat dan ringkasan peramban, alamat IP saat masuk dan saat terakhir dipakai, waktu masuk, waktu aktif terakhir, dan waktu kedaluwarsa sesi, serta aplikasi yang dibuka dari sesi itu. Rahasia sesi hanya disimpan sebagai hash.

2.4 Catatan Audit dan Keamanan

Siapa melakukan apa dan kapan: masuk dan keluar, aplikasi yang dibuka, perubahan pengaturan akun, persetujuan aplikasi, serta tindakan administrator. Setiap catatan menyertakan sesi, alamat IP, dan identitas peramban (user agent) asal permintaan. Catatan ini tidak pernah berisi kata sandi, token, atau kode verifikasi.

2.5 Yang Tidak Kami Proses

• Kata sandi dan rahasia sesi dalam bentuk asli.
• Aktivitas Pengguna di dalam aplikasi terhubung.
• Pelacak iklan, analitik pihak ketiga, atau profil perilaku untuk tujuan komersial.

3.1 Tujuan Penggunaan

• Memastikan bahwa yang masuk benar-benar Pengguna pemilik akun.
• Mengirim email aktivasi, pemulihan kata sandi, dan pemberitahuan keamanan.
• Melindungi akun, misalnya dengan membatasi percobaan masuk, mengunci akun sementara, dan mendeteksi pola yang mencurigakan.
• Menampilkan kepada Pengguna perangkat yang sedang masuk, alamat IP-nya, dan aplikasi yang dibuka, agar sesi asing mudah dikenali dan diakhiri.
• Menelusuri insiden keamanan, misalnya dari perangkat dan alamat IP mana sebuah akun dipakai, dan memenuhi kewajiban audit Universitas.

3.2 Batasan Penggunaan

Data pribadi tidak dijual, tidak dipakai untuk iklan, dan tidak digunakan untuk tujuan di luar yang disebutkan dalam kebijakan ini.

4.1 Kepada Aplikasi Terhubung

Setiap aplikasi hanya menerima data yang tercakup dalam izin (scope) yang diberikan kepadanya:

openid

Pengenal akun yang tetap (sub), tanpa data pribadi lain.

profile

Nama dan ID kampus (NIM atau NIP).

email

Email yang tercatat dan status verifikasinya.

affiliation

Jenis keanggotaan, misalnya mahasiswa atau dosen.

Aplikasi tidak pernah menerima kata sandi, passkey, kode verifikasi, maupun data sesi Pengguna.

4.2 Kepada Penyedia Layanan

Penyedia pengiriman email dan infrastruktur yang bekerja atas instruksi Universitas dapat memproses data seperlunya, misalnya alamat email penerima dan isi pesan aktivasi, dengan kewajiban menjaga kerahasiaannya.

4.3 Kewajiban Hukum

Data dapat diungkapkan kepada pihak berwenang bila diwajibkan oleh peraturan perundang-undangan.

5.1 Cookie yang Digunakan

sso_session

Menjaga Pengguna tetap masuk. Wajib; tanpa cookie ini Layanan tidak dapat berfungsi.

sso_mfa

Menyimpan langkah verifikasi sementara saat masuk dengan verifikasi dua langkah. Wajib dan berumur singkat.

sso_last_identifier

Mengingat identitas terakhir yang dipakai agar masuk berikutnya lebih cepat. Bersifat kenyamanan, berlaku hingga 180 hari.

Pilihan tampilan terang atau gelap disimpan di peramban Pengguna dan tidak dikirim ke server.

5.2 Tanpa Pelacak

Layanan tidak memakai cookie iklan maupun cookie analitik pihak ketiga.

6.1 Langkah Keamanan

• Seluruh koneksi ke Layanan memakai HTTPS.
• Kredensial disimpan dalam bentuk hash atau terenkripsi sebagaimana diuraikan pada Pasal 2.
• Percobaan masuk dibatasi dan akun dikunci sementara setelah kegagalan berulang.
• Tindakan administrator atas akun memerlukan verifikasi ulang dan dicatat dalam audit.
• Akses administrator dibatasi menurut peran.

Tidak ada sistem yang sepenuhnya bebas risiko. Bila terjadi kegagalan pelindungan data pribadi, Universitas akan memberi tahu Pengguna yang terdampak sesuai ketentuan peraturan perundang-undangan.

6.2 Masa Simpan

• Sesi dan kode otorisasi yang kedaluwarsa dihapus secara berkala.
• Catatan audit, termasuk alamat IP dan user agent di dalamnya, disimpan sesuai kebijakan retensi yang ditetapkan Unit TI, tidak tanpa batas. Alamat IP pada sesi ikut terhapus bersama sesinya.
• Data identitas disimpan selama Pengguna memiliki hubungan dengan Universitas. Setelah hubungan berakhir, akun dapat dinonaktifkan dan data disimpan atau dihapus sesuai kebijakan arsip Universitas.

7.1 Hak atas Data Pribadi

Sesuai Undang-Undang Pelindungan Data Pribadi, Pengguna berhak untuk:

• Mendapat informasi yang jelas tentang pemrosesan data pribadinya, sebagaimana kebijakan ini.
• Mengakses datanya. Ringkasan akun, perangkat aktif beserta alamat IP-nya, aplikasi yang diizinkan, dan riwayat aktivitas dapat dilihat langsung di halaman Akun.
• Memperbaiki data yang keliru. Data identitas diperbaiki di sumbernya, yaitu sistem akademik atau kepegawaian, melalui unit terkait.
• Mengakhiri sesi dan mencabut izin aplikasi kapan saja melalui halaman Akun.
• Meminta penghapusan atau pembatasan pemrosesan, sepanjang tidak bertentangan dengan kewajiban Universitas menyimpan rekam akademik dan kepegawaian.
• Mengajukan keberatan atas pemrosesan data pribadinya.

7.2 Cara Mengajukan Permintaan

Permintaan terkait data pribadi diajukan ke Unit TI dengan menyebutkan NIM atau NIP. Untuk melindungi akun, Universitas dapat meminta Pengguna membuktikan identitasnya sebelum permintaan diproses.

8.1 Perubahan Kebijakan

Kebijakan ini dapat diperbarui mengikuti perubahan Layanan atau peraturan. Tanggal pembaruan tercantum di bagian atas halaman, dan perubahan penting diumumkan melalui kanal resmi Universitas.

8.2 Hukum yang Berlaku

Kebijakan ini tunduk pada hukum Republik Indonesia, termasuk Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

8.3 Kontak

Pertanyaan tentang kebijakan ini dapat disampaikan ke Unit TI Universitas Harkat Negeri melalui kanal resmi di harkatnegeri.ac.id.