Kebijakan Privasi Thetawave AI

Terakhir diperbarui: 9 Mei 2026

Kebijakan Privasi ini menjelaskan cara Thetawave AI, Inc., sebuah korporasi Delaware ("Thetawave," "kami," atau "milik kami"), mengumpulkan, menggunakan, mengungkapkan, dan melindungi informasi ketika Anda menggunakan situs web kami (https://thetawave.ai), aplikasi seluler, dan layanan terkait ("Layanan").

Dengan menggunakan Layanan, Anda menyetujui praktik yang dijelaskan dalam Kebijakan ini. Jika Anda tidak setuju, harap jangan gunakan Layanan. Kebijakan ini merupakan bagian dari Ketentuan Layanan kami.

Pemberitahuan Penting

Kami tidak melatih model AI dengan Konten Pengguna Anda. Catatan, dokumen, audio, gambar, dan materi lain yang Anda unggah tidak digunakan untuk melatih model Thetawave, dan kami secara kontraktual mewajibkan penyedia AI dan transkripsi pihak ketiga kami untuk juga tidak melatih model mereka dengan input Anda. Lihat Bagian 5.

Kami tidak menampilkan iklan pihak ketiga di Layanan, dan kami tidak "menjual" informasi pribadi Anda dengan imbalan uang sebagaimana istilah tersebut didefinisikan dalam California Consumer Privacy Act.

Pengguna global. Layanan dioperasikan dari Amerika Serikat. Kami mematuhi undang-undang pelindungan data yang berlaku di UE/Britania Raya/Swiss (GDPR), Jepang (APPI), Korea Selatan (PIPA), Hong Kong (PDPO), Taiwan (PDPA), Kanada (PIPEDA), dan A.S. (CCPA/CPRA serta undang-undang negara bagian). Lihat Bagian 7 dan 12 untuk hak yang berlaku khusus per wilayah.

Daftar Isi

Informasi yang Kami Kumpulkan
Cara Kami Menggunakan Informasi
Dasar Hukum Pemrosesan (EEA / Britania Raya / Swiss)
Cara Kami Membagikan Informasi
Pemrosesan AI atas Konten Pengguna
Cookie, Teknologi Pelacakan, dan Notifikasi Push
Transfer Data Internasional
Retensi Data
Keamanan Data
Privasi Anak
Hak Privasi Anda — Gambaran Umum Global
Hak dan Pemberitahuan Khusus Wilayah
- 12.1 Kawasan Ekonomi Eropa, Britania Raya, dan Swiss (GDPR)
- 12.2 California (CCPA/CPRA)
- 12.3 Negara Bagian A.S. Lainnya
- 12.4 Jepang (APPI)
- 12.5 Korea Selatan (PIPA)
- 12.6 Hong Kong (PDPO)
- 12.7 Taiwan (Personal Data Protection Act)
- 12.8 Kanada (PIPEDA)
- 12.9 Yurisdiksi Lain
Cara Menggunakan Hak Anda
Sinyal Do-Not-Track
Pengungkapan Privasi Aplikasi Seluler (App Store / Google Play)
Tautan dan Layanan Pihak Ketiga
Perubahan atas Kebijakan Ini
Hubungi Kami

1. Informasi yang Kami Kumpulkan

Kami mengumpulkan tiga kategori informasi:

1.1 Informasi yang Anda Berikan

Informasi akun: nama, alamat email, kata sandi (disimpan dalam bentuk hash), preferensi profil, dan — jika Anda masuk menggunakan penyedia identitas pihak ketiga (misalnya, Google, Apple) — data profil dasar yang dibagikan penyedia tersebut kepada kami.
Informasi langganan dan pembayaran: untuk pembelian melalui web, detail penagihan yang ditangani oleh Stripe (kami menerima konfirmasi transaksi dan empat digit terakhir kartu Anda; kami tidak menyimpan nomor kartu pembayaran secara lengkap); untuk pembelian dalam aplikasi seluler, konfirmasi transaksi dari Apple atau Google.
Komunikasi: pesan yang Anda kirimkan ke dukungan (melalui email), masukan, dan tanggapan survei.
Konten Pengguna: catatan, dokumen, rekaman audio, gambar, video, dan materi lain yang Anda unggah, buat, atau hasilkan melalui Layanan. Konten Pengguna Anda dapat dianggap "sensitif" (misalnya, catatan akademik siswa, rekaman suara) dan diperlakukan demikian — lihat Bagian 5 dan 12.

Informasi pribadi pihak ketiga dalam Konten Pengguna. Jika Konten Pengguna Anda mencakup informasi pribadi tentang pihak ketiga (misalnya, nama teman sekelas dalam catatan Anda, atau suara dosen dalam rekaman perkuliahan), Anda bertindak sebagai pengendali informasi tersebut dan menyatakan bahwa Anda memiliki persetujuan yang diperlukan atau dasar hukum lain untuk membagikannya kepada kami. Kami memproses informasi pihak ketiga tersebut semata-mata atas nama Anda untuk menyediakan Layanan kepada Anda, sesuai dengan Kebijakan ini serta Bagian 6.4 dan 9 dari Ketentuan Layanan kami.

1.2 Informasi yang Dikumpulkan Secara Otomatis

Ketika Anda menggunakan Layanan, kami dan penyedia analitik kami secara otomatis mengumpulkan:

Data perangkat & teknis: alamat IP, jenis dan versi peramban, sistem operasi, pengidentifikasi perangkat (termasuk pengidentifikasi iklan seluler jika tidak dinonaktifkan di tingkat sistem operasi), ukuran layar, bahasa, zona waktu.
Data penggunaan: halaman yang dikunjungi, fitur yang digunakan, klik, waktu yang dihabiskan, URL perujuk, kueri pencarian di dalam Layanan, dan perkiraan lokasi yang diperoleh dari alamat IP.
Data diagnostik: laporan kerusakan (crash), log kesalahan, metrik kinerja.

1.3 Informasi dari Pihak Ketiga

Penyedia identitas: jika Anda menggunakan Google Sign-In, Apple Sign-In, atau yang serupa, kami menerima informasi profil dasar yang Anda izinkan.
Pemroses pembayaran: Stripe, Apple, dan Google dapat membagikan data transaksi kepada kami sejauh diperlukan untuk memenuhi pembelian.
Penyedia layanan: alat analitik, pelacakan kesalahan, dan dukungan pelanggan kami membagikan data agregat dan data tingkat peristiwa tentang cara Anda menggunakan Layanan (lihat Bagian 4).

Kami tidak membeli informasi pribadi dari pialang data, dan kami tidak menerima informasi pribadi dari jaringan periklanan.

2. Cara Kami Menggunakan Informasi

Kami menggunakan informasi yang dijelaskan di atas untuk:

Menyediakan, mengoperasikan, memelihara, dan mengamankan Layanan, termasuk mengautentikasi akun Anda, menyinkronkan konten Anda di berbagai perangkat, dan memproses transaksi Anda;
Menghasilkan output AI sebagai tanggapan atas input Anda (lihat Bagian 5);
Berkomunikasi dengan Anda tentang akun, transaksi, perubahan kebijakan yang penting, dan (dengan persetujuan Anda atau apabila diizinkan oleh hukum) pembaruan produk;
Memberikan dukungan pelanggan dan menanggapi pertanyaan Anda;
Mendeteksi, menyelidiki, dan mencegah penipuan, penyalahgunaan, insiden keamanan, dan pelanggaran terhadap Ketentuan kami;
Menganalisis dan meningkatkan Layanan, termasuk analitik penggunaan secara agregat;
Mematuhi kewajiban hukum dan menegakkan Ketentuan kami;
Dengan persetujuan Anda, untuk tujuan lain apa pun yang diungkapkan pada saat pengumpulan.

Kami tidak menggunakan informasi Anda untuk pengambilan keputusan otomatis yang menimbulkan akibat hukum atau akibat signifikan serupa terhadap Anda tanpa peninjauan oleh manusia.

Komunikasi pemasaran dan opt-out. Apabila kami mengirimkan komunikasi pemasaran atau promosi (dengan persetujuan Anda atau apabila diizinkan oleh hukum), Anda dapat berhenti berlangganan kapan saja dengan:

Mengklik tautan "berhenti berlangganan" di email pemasaran mana pun;
Mengubah preferensi notifikasi di pengaturan akun Anda; atau
Mengirim email ke contact@thetawave.ai.

Komunikasi transaksional dan terkait akun (misalnya, peringatan keamanan, pemberitahuan penagihan langganan, perubahan kebijakan yang penting) tidak dapat dihentikan selama akun Anda aktif, karena komunikasi tersebut diperlukan untuk menyediakan Layanan dan mematuhi kewajiban hukum kami.

3. Dasar Hukum Pemrosesan (EEA, Britania Raya, Swiss)

Jika Anda berada di Kawasan Ekonomi Eropa, Britania Raya, atau Swiss, kami memproses data pribadi Anda berdasarkan dasar hukum berikut:

Tujuan	Dasar Hukum
Menyediakan Layanan kepada Anda, termasuk inferensi AI atas input Anda	Pelaksanaan kontrak (Pasal 6(1)(b) GDPR)
Memproses pembayaran dan mencegah penipuan	Pelaksanaan kontrak; kewajiban hukum; kepentingan yang sah
Keamanan layanan dan pencegahan penyalahgunaan	Kepentingan yang sah dalam melindungi pengguna dan Layanan
Analitik dan peningkatan produk	Kepentingan yang sah; persetujuan untuk cookie yang tidak esensial
Komunikasi pemasaran	Persetujuan (yang dapat Anda tarik kapan saja)
Kepatuhan terhadap permintaan hukum	Kewajiban hukum
Pemrosesan data "kategori khusus" dalam Konten Pengguna (jika ada)	Persetujuan tegas Anda (Pasal 9(2)(a))

Anda berhak mengajukan keberatan atas pemrosesan yang didasarkan pada kepentingan yang sah — lihat Bagian 12.1.

4. Cara Kami Membagikan Informasi

Kami membagikan informasi Anda hanya kepada kategori penerima berikut, yang semuanya terikat oleh kewajiban kerahasiaan dan pelindungan data secara kontraktual.

4.1 Penyedia Layanan (Sub-pemroses)

Kami melibatkan penyedia layanan pihak ketiga untuk mengoperasikan Layanan atas nama kami. Mereka diizinkan menggunakan informasi Anda hanya untuk menyediakan layanan mereka kepada kami dan wajib mematuhi kewajiban kerahasiaan dan keamanan yang sesuai. Kategori di bawah ini mencerminkan susunan sub-pemroses kami saat ini; daftar ini dapat berubah seiring pergantian vendor kami.

Kategori	Tujuan	Vendor Utama Saat Ini
Hosting cloud & basis data	Menjalankan backend kami serta menyimpan data akun dan Konten Pengguna	Supabase (PostgreSQL, autentikasi, penyimpanan); penyedia infrastruktur cloud
Inferensi AI (LLM)	Menghasilkan output AI (catatan, ringkasan, kartu hafalan, kuis, obrolan belajar) dari input Anda	OpenAI, Anthropic, Google (lihat Bagian 5)
Transkripsi audio	Mengubah Konten Pengguna berupa audio (misalnya, rekaman perkuliahan) menjadi teks untuk pemrosesan AI selanjutnya	Soniox, Inc., Deepgram, Inc.
Pemrosesan pembayaran web	Memproses langganan yang dibeli melalui situs web	Stripe, Inc. (https://stripe.com/privacy)
Pembelian dalam aplikasi seluler & pengelolaan langganan	Memproses dan merekonsiliasi pembelian App Store / Google Play	Apple Inc., Google LLC, RevenueCat, Inc.
Analitik produk	Memahami cara Layanan digunakan	Mixpanel, Inc.
Pelacakan kesalahan & diagnostik	Mendeteksi dan men-debug masalah	Sentry (Functional Software, Inc.)
Dukungan pelanggan	Menanggapi pertanyaan melalui email	Infrastruktur email (saat ini tanpa alat tiket pihak ketiga)

Pemberitahuan perubahan sub-pemroses. Ketika kami menambahkan atau mengganti sub-pemroses yang material, kami akan memperbarui Kebijakan ini sekurang-kurangnya 14 hari sebelum perubahan tersebut berlaku. Bagi pengguna dengan langganan berbayar yang aktif, kami juga akan memberikan pemberitahuan melalui email atau pesan dalam aplikasi. Jika Anda keberatan terhadap sub-pemroses baru, Anda dapat mengakhiri akun Anda sebelum perubahan tersebut berlaku, dan meminta pengembalian dana secara prorata apabila diwajibkan oleh hukum yang berlaku.

4.2 Pengungkapan Lainnya

Kepatuhan hukum dan keselamatan. Kami dapat mengungkapkan informasi apabila kami dengan iktikad baik meyakini bahwa pengungkapan tersebut diperlukan untuk (a) mematuhi hukum yang berlaku, proses hukum, atau permintaan pemerintah; (b) menegakkan Ketentuan kami; (c) melindungi hak, keselamatan, atau properti Thetawave, pengguna kami, atau publik; atau (d) mendeteksi, mencegah, atau menangani penipuan, masalah keamanan, atau masalah teknis.
Pengalihan bisnis. Jika Thetawave terlibat dalam merger, akuisisi, pembiayaan, reorganisasi, atau penjualan aset, informasi Anda dapat dialihkan sebagai bagian dari transaksi tersebut. Kami akan memberi tahu Anda (misalnya, melalui email dan/atau pemberitahuan yang jelas di Layanan) tentang setiap perubahan kepemilikan atau penggunaan informasi pribadi Anda.
Dengan persetujuan Anda. Kami dapat membagikan informasi kepada pihak lain apabila Anda menginstruksikan kami untuk melakukannya.

4.3 Hal yang TIDAK Kami Lakukan

Kami tidak menjual informasi pribadi Anda dengan imbalan uang.
Kami tidak membagikan informasi pribadi Anda kepada pihak ketiga untuk iklan perilaku lintas konteks (kami tidak menjalankan iklan semacam itu).
Kami tidak mengizinkan penyedia AI atau transkripsi kami untuk melatih model dengan Konten Pengguna Anda (Bagian 5).

"Penjualan" / "pembagian" menurut CCPA — catatan kehati-hatian. CCPA California mendefinisikan "penjualan" (sale) dan "pembagian" (sharing) secara luas. Sepanjang pengungkapan kepada sub-pemroses analitik, AI, transkripsi, atau pelacakan kesalahan kami dapat ditafsirkan sebagai "penjualan" atau "pembagian" berdasarkan CCPA/CPRA, kami memperlakukan aktivitas tersebut sebagai aktivitas yang dapat ditolak (opt-out) dan menghormati sinyal opt-out (termasuk Global Privacy Control / GPC) apabila memungkinkan secara teknis. Lihat Bagian 12.2 untuk hak tambahan bagi penduduk California.

5. Pemrosesan AI atas Konten Pengguna

Bagian ini menjelaskan bagaimana input dan Konten Pengguna Anda berinteraksi dengan model AI. Hal ini merupakan inti dari cara kerja Layanan — harap baca bagian ini.

5.1 Cara Kerja Inferensi AI dan Transkripsi

Ketika Anda menggunakan fitur AI (misalnya, membuat catatan, meringkas PDF, membuat kartu hafalan), input Anda — yang dapat mencakup Konten Pengguna Anda atau kutipannya — ditransmisikan ke salah satu penyedia AI pihak ketiga kami (saat ini OpenAI, Anthropic, dan Google) untuk menghasilkan tanggapan. Ketika Anda mengunggah audio (misalnya, rekaman perkuliahan), audio tersebut terlebih dahulu ditransmisikan ke salah satu penyedia transkripsi kami (Soniox, Deepgram) untuk diubah menjadi teks, yang kemudian diproses oleh penyedia AI sebagaimana dijelaskan di atas.

Tanggapan tersebut dikembalikan kepada Anda dan disimpan di akun Thetawave Anda terkait dengan Konten Pengguna Anda. Penyedia AI dan penyedia transkripsi dapat menyimpan input dan output untuk sementara selama pemrosesan sebagaimana dijelaskan dalam Bagian 5.3, tetapi catatan permanen atas Konten Pengguna dan Output yang dihasilkan AI berada di akun Thetawave Anda, bukan di penyedia tersebut.

5.2 Tidak Ada Pelatihan dengan Konten Anda

Thetawave tidak melatih model AI atau pembelajaran mesin apa pun dengan Konten Pengguna Anda. Kami mengandalkan komitmen kontraktual tanpa-pelatihan dan retensi terbatas dari setiap penyedia AI dan transkripsi kami. Secara khusus:

OpenAI: Kami menggunakan OpenAI API. Berdasarkan kebijakan penggunaan data API OpenAI, OpenAI tidak menggunakan input atau output API untuk melatih modelnya.
Anthropic: Kami menggunakan Anthropic API. Berdasarkan ketentuan komersial Anthropic, Anthropic tidak melatih modelnya dengan input atau output yang dikirimkan melalui API.
Google: Kami menggunakan Google AI / Gemini API berdasarkan ketentuan yang tidak mengizinkan Google melatih modelnya dengan konten API berbayar kami.
Soniox: Kami menggunakan API komersial Soniox berdasarkan ketentuan yang tidak mengizinkan Soniox melatih modelnya dengan konten audio yang kami transmisikan.
Deepgram: Kami menggunakan API komersial Deepgram berdasarkan ketentuan yang tidak mengizinkan Deepgram melatih modelnya dengan konten audio yang kami transmisikan.

Jika kami mengganti penyedia AI atau transkripsi atau ketentuan yang mengatur penyedia tersebut berubah secara material, kami akan memperbarui Kebijakan ini. Anda tidak boleh mengunggah informasi ke Layanan yang tidak Anda inginkan untuk ditransmisikan ke salah satu penyedia ini untuk diproses.

5.3 Tidak Ada Penyimpanan Permanen di Penyedia AI / Transkripsi (Di Luar Batas yang Ditentukan Penyedia)

Penyedia AI dan transkripsi dapat menyimpan input dan output untuk sementara demi tujuan keselamatan, pemantauan penyalahgunaan, dan operasional, sesuai dengan pemberitahuan privasi mereka sendiri. Kami menggunakan konfigurasi tingkat enterprise / API yang meminimalkan retensi tersebut apabila tersedia (misalnya, mode tanpa retensi data atau retensi singkat).

5.4 Data Agregat dan Data yang Dide-identifikasi

Kami dapat menggunakan data yang telah dide-identifikasi atau diagregasi (yang secara wajar tidak dapat dikaitkan kembali dengan Anda) untuk analitik produk, keamanan, dan peningkatan layanan. Kami menggunakan teknik de-identifikasi standar industri (misalnya, menghapus pengidentifikasi langsung, agregasi, dan langkah teknis lain yang dirancang untuk memastikan informasi tersebut secara wajar tidak dapat dikaitkan dengan seorang individu), dan kami secara kontraktual melarang pihak mana pun yang menerima data yang telah dide-identifikasi dari kami untuk mencoba mengidentifikasinya kembali.

6. Cookie, Teknologi Pelacakan, dan Notifikasi Push

6.1 Cookie dan Teknologi Serupa

Kami dan penyedia layanan kami menggunakan cookie, piksel, penyimpanan lokal, kit pengembangan perangkat lunak (SDK), dan teknologi serupa untuk mengoperasikan Layanan. Kami tidak menggunakan cookie untuk iklan perilaku lintas situs. Apabila diwajibkan oleh hukum (termasuk di EEA, Britania Raya, Swiss, Jepang, dan Korea untuk cookie yang tidak esensial), kami akan meminta persetujuan Anda melalui banner cookie sebelum menempatkan cookie yang tidak esensial. Anda dapat mengelola preferensi cookie Anda melalui banner cookie atau pengaturan peramban Anda.

Cookie dan teknologi serupa utama yang kami gunakan adalah:

Nama / Pola	Jenis	Tujuan	Penyedia	Perkiraan Masa Retensi
`sb-*` (token autentikasi)	Sangat diperlukan	Mengautentikasi sesi Anda dan menjaga Anda tetap masuk	Supabase	Sesi / hingga 1 tahun
Token CSRF / anti-pemalsuan	Sangat diperlukan	Mencegah pemalsuan permintaan lintas situs	Thetawave	Sesi
`cookie_consent`	Sangat diperlukan	Mengingat pilihan Anda pada banner cookie	Thetawave	1 tahun
`theme`, `locale`	Fungsional	Mengingat preferensi antarmuka Anda (misalnya, mode gelap, bahasa)	Thetawave	1 tahun
`mp_*`	Analitik (opt-in apabila diwajibkan)	Analitik produk — mengukur penggunaan fitur dan meningkatkan Layanan	Mixpanel	Hingga 1 tahun
Tag sesi Sentry	Sangat diperlukan	Mengaitkan laporan kesalahan dengan sesi untuk debugging	Sentry	Hingga 30 hari

Jika kami menambahkan atau mengubah kategori cookie yang material, kami akan memperbarui tabel ini.

6.2 Notifikasi Push

Jika Anda memilih untuk menerima notifikasi push melalui aplikasi seluler kami, kami mengumpulkan dan menggunakan token push khusus perangkat (yang disediakan oleh Apple Push Notification service ("APNs") untuk iOS atau Firebase Cloud Messaging ("FCM") untuk Android) semata-mata untuk mengirimkan:

Notifikasi terkait layanan (misalnya, transkripsi selesai, pengingat belajar yang Anda atur);
Notifikasi terkait akun (misalnya, peringatan keamanan);
Dengan persetujuan tambahan dari Anda, notifikasi pembaruan produk sesekali.

Anda dapat menonaktifkan notifikasi push kapan saja melalui pengaturan notifikasi perangkat Anda. Menonaktifkan notifikasi push tidak memengaruhi bagian lain dari Layanan.

7. Transfer Data Internasional

Thetawave berkedudukan di Amerika Serikat, dan server kami serta beberapa penyedia layanan kami berlokasi di A.S. dan negara lain. Ketika Anda menggunakan Layanan, informasi pribadi Anda akan ditransfer ke, disimpan, dan diproses di Amerika Serikat dan kemungkinan negara lain, yang mungkin memiliki undang-undang pelindungan data yang berbeda dari negara tempat Anda berdomisili.

Kami mengandalkan perlindungan berikut untuk melindungi transfer internasional:

EEA / Britania Raya / Swiss: Standard Contractual Clauses ("SCC") yang disetujui oleh Komisi Eropa (beserta UK Addendum / padanannya di Swiss) dengan sub-pemroses kami, dilengkapi dengan enkripsi saat transit dan saat disimpan, kontrol akses, dan (apabila berlaku) penilaian dampak transfer. Saat ini kami tidak tersertifikasi berdasarkan EU-US Data Privacy Framework ("DPF"); kami mengandalkan SCC sebagai mekanisme transfer utama.
Jepang: Apabila diwajibkan oleh APPI untuk transfer lintas batas, kami memperoleh persetujuan Anda atau mengandalkan perlindungan yang setara (termasuk ketentuan kontraktual yang setara dengan SCC dengan penerima).
Korea Selatan: Apabila diwajibkan oleh PIPA untuk transfer informasi pribadi ke luar negeri, kami memberikan pengungkapan yang disyaratkan berdasarkan Pasal 28-8 PIPA dan memperoleh persetujuan Anda apabila berlaku.
Hong Kong, Taiwan, Kanada: Kami memastikan bahwa penerima terikat oleh kewajiban kontraktual yang sejalan dengan PDPO, PDPA, dan PIPEDA secara berturut-turut.

Dengan menggunakan Layanan, Anda memahami bahwa informasi Anda akan ditransfer secara internasional sebagaimana dijelaskan di atas.

8. Retensi Data

Kami menyimpan informasi pribadi selama diperlukan untuk menyediakan Layanan dan untuk tujuan yang dijelaskan dalam Kebijakan ini, kecuali jika jangka waktu retensi yang lebih lama diwajibkan oleh hukum.

Kategori Data	Retensi
Informasi akun	Selama akun Anda aktif; dihapus dalam waktu 30 hari setelah penghapusan akun (tidak termasuk cadangan)
Konten Pengguna	Selama akun Anda aktif; dihapus dalam waktu 30 hari setelah Anda menghapus konten atau akun Anda
Cadangan	Disimpan hingga 90 hari setelah penghapusan, kemudian dihapus secara permanen
Catatan pembayaran dan penagihan	Disimpan selama 7 tahun untuk mematuhi kewajiban perpajakan, akuntansi, dan audit
Komunikasi dukungan pelanggan	Hingga 3 tahun setelah penyelesaian
Data diagnostik / log	Hingga 12 bulan
Data yang dide-identifikasi atau diagregasi	Dapat disimpan tanpa batas waktu (tidak dapat dikaitkan kembali dengan Anda)

Anda dapat meminta penghapusan lebih awal kapan saja sebagaimana dijelaskan dalam Bagian 13, dengan tunduk pada pengecualian terbatas (misalnya, apabila retensi diwajibkan oleh hukum).

9. Keamanan Data

Kami menerapkan perlindungan administratif, teknis, dan fisik yang dirancang untuk melindungi informasi Anda, termasuk:

Enkripsi saat transit (TLS) dan saat disimpan;
Kontrol akses dan prinsip hak akses minimum (least privilege) bagi personel kami;
Praktik pengembangan perangkat lunak yang aman dan peninjauan kode;
Peninjauan keamanan vendor untuk sub-pemroses;
Pencatatan log dan pemantauan; serta
Prosedur penanganan insiden.

Tidak ada langkah keamanan yang sempurna, dan kami tidak dapat menjamin keamanan mutlak.

Pemberitahuan pelanggaran data. Jika kami mengetahui adanya pelanggaran data pribadi yang memengaruhi informasi Anda, kami akan memberi tahu Anda dan otoritas pengawas yang berwenang sebagaimana diwajibkan oleh hukum yang berlaku, termasuk:

GDPR / UK GDPR / FADP: pemberitahuan kepada otoritas pengawas dalam waktu 72 jam sejak mengetahuinya (apabila memungkinkan), dan kepada individu yang terdampak tanpa penundaan yang tidak semestinya apabila terdapat risiko tinggi terhadap hak dan kebebasan mereka;
APPI Jepang (Pasal 26): pemberitahuan kepada Personal Information Protection Commission (PPC) dan kepada individu yang terdampak dengan segera, dengan cara dan sesuai jadwal yang disyaratkan oleh APPI;
PIPA Korea Selatan (Pasal 34): pemberitahuan kepada individu yang terdampak tanpa penundaan, dan — untuk pelanggaran yang melibatkan 1.000 individu atau lebih atau informasi sensitif — pemberitahuan kepada PIPC dalam waktu 24 jam;
Undang-undang negara bagian A.S.: pemberitahuan dalam jangka waktu dan sesuai dengan prosedur yang disyaratkan oleh setiap undang-undang pemberitahuan pelanggaran data negara bagian yang berlaku;
Yurisdiksi lain: sebagaimana diwajibkan oleh hukum yang berlaku.

10. Privasi Anak

Layanan tidak ditujukan untuk anak di bawah usia 13 tahun, dan kami tidak dengan sengaja mengumpulkan informasi pribadi dari anak di bawah 13 tahun di Amerika Serikat atau di bawah usia minimum persetujuan digital di negara tempat mereka berdomisili (misalnya, 14 tahun di Spanyol, 15 tahun di Prancis, 16 tahun di Jerman).

Jika Anda berusia antara 13 dan 17 tahun (atau di bawah usia dewasa di yurisdiksi Anda), Anda dapat menggunakan Layanan hanya dengan keterlibatan dan persetujuan orang tua atau wali yang sah.

Untuk perincian tentang cara orang tua dapat memberikan persetujuan orang tua yang dapat diverifikasi berdasarkan COPPA dan undang-undang yang setara (serta cara mencabutnya), lihat Ketentuan Layanan Bagian 2.2.

Jika kami mengetahui bahwa kami telah mengumpulkan informasi pribadi dari anak di bawah usia yang berlaku tanpa persetujuan orang tua yang terverifikasi, kami akan menghapusnya sesegera mungkin. Orang tua yang meyakini bahwa seorang anak telah memberikan informasi pribadi tanpa persetujuan dapat menghubungi kami di contact@thetawave.ai.

Bagi sekolah dan pendidik yang menggunakan Layanan bersama siswa: Anda bertanggung jawab untuk memperoleh setiap persetujuan yang disyaratkan oleh COPPA, FERPA, GDPR, APPI, PIPA, dan undang-undang yang setara, serta untuk bertindak sebagai pihak berwenang yang sesuai berdasarkan undang-undang tersebut.

11. Hak Privasi Anda — Gambaran Umum Global

Bergantung pada tempat tinggal Anda, Anda mungkin memiliki hak-hak berikut:

Akses: hak untuk mengetahui informasi pribadi apa yang kami simpan tentang Anda dan untuk menerima salinannya;
Perbaikan: hak untuk memperbaiki informasi yang tidak akurat atau tidak lengkap;
Penghapusan ("hak untuk dilupakan"): hak untuk meminta penghapusan informasi Anda;
Portabilitas: hak untuk menerima informasi tertentu dalam format yang dapat dipindahkan;
Pembatasan / keberatan: hak untuk membatasi atau mengajukan keberatan atas pemrosesan tertentu;
Menarik persetujuan: hak untuk menarik persetujuan apa pun yang telah Anda berikan;
Opt-out dari "penjualan" / "pembagian" / iklan bertarget: hak untuk menolak (opt-out), apabila berlaku;
Mengajukan pengaduan kepada otoritas pengawas.

Kami menghormati hak-hak ini di mana pun Anda tinggal, sejauh memungkinkan secara wajar. Lihat Bagian 12 untuk perincian khusus per wilayah dan Bagian 13 untuk cara menggunakan hak Anda.

12. Hak dan Pemberitahuan Khusus Wilayah

12.1 Kawasan Ekonomi Eropa, Britania Raya, dan Swiss (GDPR / UK GDPR / FADP)

Jika Anda berada di EEA, Britania Raya, atau Swiss, Anda memiliki hak yang dijelaskan dalam Bagian 11 berdasarkan General Data Protection Regulation (GDPR), UK GDPR, dan Swiss Federal Act on Data Protection (FADP), secara berturut-turut. Anda juga berhak untuk:

Mengajukan pengaduan kepada otoritas pengawas pelindungan data setempat Anda (daftarnya tersedia di https://edpb.europa.eu/about-edpb/about-edpb/members_en untuk EEA; ICO di https://ico.org.uk/ untuk Britania Raya; dan FDPIC di https://www.edoeb.admin.ch untuk Swiss).

Dasar hukum pemrosesan kami tercantum dalam Bagian 3.

Perwakilan UE (Pasal 27 GDPR). Berdasarkan penilaian kami atas sifat, ruang lingkup, konteks, dan tujuan pemrosesan kami — dan karena pemrosesan data pribadi EEA oleh kami tidak dilakukan "dalam skala besar" sehubungan dengan kategori data khusus berdasarkan Pasal 9 GDPR atau data putusan pidana berdasarkan Pasal 10 GDPR — kami belum menunjuk perwakilan UE berdasarkan Pasal 27 GDPR. Pengguna EEA dapat menghubungi contact@thetawave.ai secara langsung untuk pertanyaan apa pun terkait GDPR; kami akan menanggapinya sesuai dengan hukum yang berlaku. Kami akan menilai kembali keputusan ini seiring berkembangnya basis pengguna dan aktivitas pemrosesan kami.

12.2 California (CCPA / CPRA)

Jika Anda adalah penduduk California, Anda memiliki hak yang dijelaskan dalam California Consumer Privacy Act, sebagaimana diubah oleh California Privacy Rights Act ("CCPA/CPRA").

Kategori Informasi Pribadi yang Kami Kumpulkan

Dalam 12 bulan terakhir, kami telah mengumpulkan kategori informasi pribadi berikut (sebagaimana didefinisikan dalam Cal. Civ. Code § 1798.140):

Kategori	Contoh	Dikumpulkan?	Dijual?	Dibagikan (iklan perilaku lintas konteks)?
A. Pengidentifikasi	Nama, email, alamat IP, ID perangkat, nama akun	Ya	Tidak	Tidak
B. Catatan Pelanggan	Alamat penagihan, informasi pembayaran	Ya	Tidak	Tidak
C. Klasifikasi yang dilindungi	Usia (jika diberikan), negara	Terbatas	Tidak	Tidak
D. Informasi komersial	Riwayat langganan, catatan transaksi	Ya	Tidak	Tidak
E. Informasi biometrik	(Karakteristik suara dalam Konten Pengguna berupa audio, jika diunggah)	Jika Anda mengunggah	Tidak	Tidak
F. Aktivitas internet	Data penggunaan, interaksi dengan Layanan	Ya	Tidak	Tidak
G. Geolokasi	Perkiraan lokasi dari IP	Ya	Tidak	Tidak
H. Data sensorik	Audio, gambar, video dalam Konten Pengguna (jika Anda mengunggah)	Jika Anda mengunggah	Tidak	Tidak
I. Profesional/pekerjaan	Tidak dikumpulkan	Tidak	—	—
J. Informasi pendidikan	Konten akademik dalam Konten Pengguna (catatan, materi belajar)	Ya	Tidak	Tidak
K. Inferensi	Preferensi dan pola belajar yang diperoleh dari penggunaan	Ya	Tidak	Tidak
L. PI Sensitif	Kredensial akun; isi persis komunikasi di dalam Layanan	Ya	Tidak	Tidak

Hak Anda sebagai Penduduk California

Hak untuk mengetahui informasi pribadi apa yang telah kami kumpulkan dan bagaimana kami menggunakan serta membagikannya;
Hak untuk meminta penghapusan, dengan tunduk pada pengecualian hukum;
Hak untuk memperbaiki informasi pribadi yang tidak akurat;
Hak untuk menolak (opt-out) "penjualan" atau "pembagian" — kami tidak "menjual" atau "membagikan" informasi pribadi Anda untuk iklan perilaku lintas konteks sebagaimana istilah tersebut didefinisikan berdasarkan CCPA/CPRA, tetapi kami menghormati sinyal opt-out (termasuk Global Privacy Control / GPC) apabila memungkinkan secara teknis;
Hak untuk membatasi penggunaan informasi pribadi sensitif hanya pada yang diperlukan untuk menyelenggarakan Layanan;
Hak untuk tidak didiskriminasi karena menggunakan hak Anda.

"Shine the Light" (Cal. Civ. Code § 1798.83)

Penduduk California dapat meminta informasi tentang pengungkapan informasi pribadi kepada pihak ketiga untuk tujuan pemasaran langsung. Kami tidak melakukan pengungkapan semacam itu.

12.3 Negara Bagian A.S. Lainnya

Jika Anda berdomisili di Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA), Texas (TDPSA), Oregon (OCPA), Montana (MTCDPA), Iowa (ICDPA), Tennessee (TIPA), Delaware (DPDPA), New Jersey (NJDPA), New Hampshire (NHPA), Maryland (MODPA), Minnesota (MCDPA), Indiana (INCDPA), Nebraska (NDPA), Rhode Island (RIDPA), atau Kentucky (KCDPA), Anda memiliki hak yang serupa dengan yang dijelaskan di atas, termasuk (bergantung pada negara bagian Anda) hak untuk mengakses, memperbaiki, menghapus, memindahkan, dan menolak (opt-out) iklan bertarget, "penjualan", dan jenis profiling tertentu. Apabila diwajibkan, Anda berhak mengajukan banding atas penolakan kami terhadap suatu permintaan — lihat Bagian 13.

Anda juga mungkin berhak menunjuk agen resmi untuk mengajukan permintaan atas nama Anda. Kami akan mensyaratkan verifikasi sebelum memenuhi permintaan dari agen resmi.

12.4 Jepang (個人情報保護法 / APPI)

Jika Anda berada di Jepang, kami memproses informasi pribadi Anda sesuai dengan Act on the Protection of Personal Information (APPI).

Tujuan penggunaan dijelaskan dalam Bagian 2. Kami tidak akan menggunakan informasi pribadi Anda untuk tujuan di luar tujuan tersebut tanpa persetujuan Anda, kecuali sebagaimana diizinkan oleh APPI.
Transfer lintas batas: Sebagaimana dijelaskan dalam Bagian 7, informasi Anda akan ditransfer ke Amerika Serikat dan negara lain. Dengan menggunakan Layanan, Anda menyetujui transfer ini sesuai dengan Pasal 28 APPI. Atas permintaan, kami menyediakan informasi tentang sistem pelindungan data di negara penerima dan perlindungan yang telah kami terapkan.
Hak Anda: Anda berhak meminta pengungkapan, perbaikan, penambahan, penghapusan, penghentian penggunaan, penghentian penyediaan kepada pihak ketiga, dan untuk menerima salinan informasi pribadi Anda yang kami simpan.
Operator Usaha Penanganan Informasi Pribadi: Thetawave AI, Inc. adalah operator usaha yang menangani informasi pribadi Anda. Kontak: contact@thetawave.ai.
Pemberitahuan pelanggaran data: Sebagaimana diwajibkan oleh Pasal 26 APPI, kami akan memberi tahu Personal Information Protection Commission (PPC) dan individu yang terdampak tentang pelanggaran yang memenuhi kriteria.
Pengaduan: Jika kami tidak dapat menyelesaikan keluhan Anda, Anda dapat berkonsultasi dengan Personal Information Protection Commission (PPC) Jepang.

12.5 Korea Selatan (개인정보 보호법 / PIPA)

Jika Anda berada di Korea Selatan, kami memproses informasi pribadi Anda sesuai dengan Personal Information Protection Act (PIPA) dan undang-undang terkait.

Tujuan pengumpulan dan penggunaan: sebagaimana dijelaskan dalam Bagian 2.
Item yang dikumpulkan: sebagaimana dijelaskan dalam Bagian 1.
Masa retensi: sebagaimana dijelaskan dalam Bagian 8.
Transfer lintas batas (Pasal 28-8 PIPA): Informasi pribadi Anda dapat ditransfer ke Amerika Serikat dan negara lain kepada penyedia AI, penyedia transkripsi, penyedia hosting, dan sub-pemroses lain yang tercantum dalam Bagian 4. Kami memperoleh persetujuan Anda atas transfer tersebut apabila diwajibkan dan memberikan pengungkapan yang disyaratkan berdasarkan PIPA.
Hak Anda: akses, perbaikan, penghapusan, penghentian pemrosesan, dan penarikan persetujuan. Berdasarkan Pasal 35 PIPA, kami akan menanggapi permintaan akses dan perbaikan dalam waktu 10 hari (dapat diperpanjang 10 hari lagi apabila diperlukan secara wajar).
Petugas Privasi / 개인정보 보호책임자: Hubungi contact@thetawave.ai.
Pemberitahuan pelanggaran data (Pasal 34 PIPA): Kami akan memberi tahu individu yang terdampak tanpa penundaan, dan — untuk pelanggaran yang melibatkan 1.000 individu atau lebih atau informasi sensitif — memberi tahu PIPC dalam waktu 24 jam.
Pengaduan: Anda dapat mengajukan pengaduan kepada Personal Information Protection Commission (PIPC, 개인정보보호위원회) atau Korea Internet & Security Agency (KISA), termasuk Privacy Complaint Center (privacy.go.kr / 118).

12.6 Hong Kong (個人資料（私隱）條例 / PDPO)

Jika Anda berada di Hong Kong, kami memproses data pribadi Anda sesuai dengan Personal Data (Privacy) Ordinance (PDPO) dan Enam Prinsip Pelindungan Data. Anda berhak meminta akses ke dan perbaikan atas data pribadi Anda. Permintaan dapat diajukan ke contact@thetawave.ai. Pengaduan dapat diajukan kepada Office of the Privacy Commissioner for Personal Data (PCPD).

12.7 Taiwan (個人資料保護法 / PDPA)

Jika Anda berada di Taiwan, kami memproses informasi pribadi Anda sesuai dengan Personal Data Protection Act (PDPA). Anda berhak menanyakan, meminta salinan, melengkapi atau memperbaiki, meminta kami menghentikan pengumpulan/pemrosesan/penggunaan, dan meminta penghapusan informasi pribadi Anda. Permintaan dapat diajukan ke contact@thetawave.ai. Apabila diwajibkan, kami memperoleh persetujuan Anda sebelum melakukan transfer internasional atas informasi pribadi Anda.

12.8 Kanada (PIPEDA)

Jika Anda berada di Kanada, kami memproses informasi pribadi Anda sesuai dengan Personal Information Protection and Electronic Documents Act (PIPEDA) dan undang-undang provinsi yang berlaku (misalnya, Law 25 Quebec). Anda berhak untuk mengakses, memperbaiki, dan menarik persetujuan. Pengaduan dapat diajukan kepada Office of the Privacy Commissioner of Canada di https://www.priv.gc.ca/.

12.9 Yurisdiksi Lain

Kami menghormati undang-undang pelindungan data yang berlaku di tempat Anda berdomisili meskipun tidak secara khusus tercantum di atas. Jika Anda berdomisili di yurisdiksi dengan undang-undang yang berlaku (misalnya, LGPD Brasil, Privacy Act Australia, DPDP Act India, PDPL UEA, atau lainnya), silakan hubungi contact@thetawave.ai untuk permintaan terkait hak apa pun; kami akan menanggapinya sesuai dengan hukum yang berlaku.

13. Cara Menggunakan Hak Anda

Untuk menggunakan hak apa pun yang dijelaskan di atas:

Kirim email kepada kami di contact@thetawave.ai dengan baris subjek "Privacy Request"; atau
Gunakan kontrol privasi dalam aplikasi yang kami sediakan.

Untuk melindungi informasi Anda, kami mungkin perlu memverifikasi identitas Anda (biasanya dengan mengonfirmasi bahwa Anda menguasai alamat email yang terkait dengan akun Anda). Jika Anda menggunakan agen resmi, kami dapat meminta bukti pemberian kuasa.

Kami akan menanggapi permintaan yang dapat diverifikasi dalam jangka waktu yang disyaratkan oleh hukum yang berlaku, termasuk:

Undang-Undang	Jangka Waktu Tanggapan
GDPR / UK GDPR	Satu bulan, dapat diperpanjang hingga dua bulan tambahan untuk permintaan yang kompleks atau berjumlah banyak
CCPA / CPRA	45 hari, dapat diperpanjang 45 hari tambahan apabila diperlukan secara wajar
Undang-undang privasi negara bagian A.S. lainnya	Sebagaimana disyaratkan oleh masing-masing undang-undang (biasanya 45 atau 60 hari)
PIPA Korea	10 hari, dapat diperpanjang 10 hari tambahan
APPI Jepang	Tanpa penundaan yang tidak semestinya; kami berupaya menanggapi dalam waktu 30 hari
Yurisdiksi lain	Sebagaimana disyaratkan oleh hukum yang berlaku

Kami tidak akan mendiskriminasi Anda karena menggunakan hak Anda.

Jika kami menolak suatu permintaan, kami akan menjelaskan alasannya, dan — apabila berlaku — Anda berhak mengajukan banding atas keputusan kami. Untuk mengajukan banding, balas email tanggapan kami dalam waktu 60 hari. Jika banding Anda ditolak, Anda dapat mengajukan pengaduan kepada otoritas pengawas pelindungan data atau jaksa agung (attorney general) Anda.

14. Sinyal Do-Not-Track

Sebagian besar peramban menawarkan sinyal "Do Not Track" (DNT). Karena belum ada interpretasi standar industri atas sinyal DNT, Layanan saat ini tidak merespons sinyal DNT. Namun, kami menghormati sinyal opt-out yang diwajibkan oleh hukum (misalnya, Global Privacy Control / GPC apabila berlaku).

15. Pengungkapan Privasi Aplikasi Seluler (App Store / Google Play)

Selain Kebijakan ini, kami membuat pengungkapan privasi melalui mekanisme platform yang disyaratkan oleh Apple dan Google:

Label nutrisi privasi Apple App Store dan iOS Privacy Manifest (PrivacyInfo.xcprivacy) menjelaskan kategori data yang dikumpulkan aplikasi iOS dan cara penggunaannya, dalam format yang disyaratkan oleh Apple.
Formulir Keamanan Data (Data Safety) Google Play menjelaskan kategori data yang dikumpulkan dan dibagikan oleh aplikasi Android, serta praktik keamanan yang kami terapkan, dalam format yang disyaratkan oleh Google.

Pengungkapan dalam formulir tersebut dimaksudkan untuk konsisten dengan Kebijakan ini. Apabila terdapat ketidaksesuaian yang tidak disengaja antara pengungkapan platform dan Kebijakan ini, Kebijakan inilah yang berlaku, dan kami akan berupaya memperbarui pengungkapan platform agar selaras.

16. Tautan dan Layanan Pihak Ketiga

Layanan dapat memuat tautan ke situs web atau integrasi pihak ketiga (misalnya, penyedia identitas, pemroses pembayaran, penyedia AI). Kebijakan ini tidak berlaku bagi pihak ketiga tersebut. Kami menganjurkan Anda untuk meninjau kebijakan privasi mereka sebelum memberikan informasi Anda kepada mereka.

17. Perubahan atas Kebijakan Ini

Kami dapat memperbarui Kebijakan Privasi ini dari waktu ke waktu. Tanggal "Terakhir diperbarui" di bagian atas mencerminkan versi terbaru. Jika kami melakukan perubahan material, kami akan memberi tahu Anda melalui email atau melalui pemberitahuan yang jelas di Layanan sekurang-kurangnya 14 hari sebelum perubahan tersebut berlaku (atau lebih awal apabila diwajibkan oleh hukum yang berlaku). Perubahan material yang memengaruhi sub-pemroses juga tunduk pada persyaratan pemberitahuan dalam Bagian 4.1. Penggunaan Layanan secara berkelanjutan oleh Anda setelah tanggal berlakunya merupakan bentuk penerimaan.

18. Hubungi Kami

Untuk pertanyaan, permintaan, atau pengaduan terkait privasi:

Thetawave AI, Inc. Attn: Privacy Email: contact@thetawave.ai Situs web: https://thetawave.ai

Thetawave AI berkomitmen untuk melindungi privasi Anda dan bersikap transparan tentang cara kami menangani data Anda. Jika ada hal dalam Kebijakan ini yang kurang jelas, silakan hubungi kami — kami dengan senang hati akan membantu.