Kebijakan Privasi — Boat Komodo Trip

Boat Komodo Trip ("kami") merupakan pengendali data pribadi yang diproses melalui situs ini, sesuai Pasal 4(7) GDPR Uni Eropa dan Undang-Undang Perlindungan Data Pribadi Republik Indonesia (UU 27/2022).

• Alamat: Labuan Bajo, Nusa Tenggara Timur, Indonesia
• Email: [email protected]
• WhatsApp: +62 851-9009-6797
• Kontak perlindungan data: [email protected] (subjek: Permintaan Data Pribadi)

Berlaku sejak: 2026-04-20. Versi 2.0.

Kami memproses data minimum yang diperlukan untuk setiap tujuan di bawah, dengan dasar hukum sesuai Pasal 6(1) GDPR.

Kategori	Contoh	Tujuan	Dasar hukum	Retensi
Identifikasi & kontak	Nama, email, nomor telepon, WhatsApp, negara	Menjawab permintaan, membuat penawaran, konfirmasi pemesanan	Pasal 6(1)(b) — kontrak	3 tahun setelah kontak terakhir
Detail booking	Tanggal, jumlah tamu, kebutuhan diet, scan paspor (bila dibutuhkan)	Operasional trip, manifest kapal, clearance pemerintah	Pasal 6(1)(b) & (c) — kontrak & kewajiban hukum	10 tahun (retensi dokumen dagang)
Data penggunaan	IP (dipangkas), browser, perangkat, halaman yang dilihat, rekaman sesi (Clarity)	Mengukur performa, memperbaiki bug, meningkatkan konten	Pasal 6(1)(a) — persetujuan via banner	GA4: 14 bulan · Clarity: 12 bulan
Marketing & remarketing	Event Google Ads / Meta pixel (hanya dengan persetujuan)	Menampilkan iklan relevan di platform lain	Pasal 6(1)(a) — persetujuan	Hingga persetujuan ditarik atau 12 bulan

Kami tidak mengumpulkan data kategori khusus (Pasal 9 GDPR) — agama, kesehatan, orientasi seksual — kecuali Anda sendiri memberikan data diet atau medis yang diperlukan untuk trip. Pada kasus itu pemrosesan berdasarkan Pasal 9(2)(a) (persetujuan eksplisit) dan akan dihapus setelah trip selesai.

Data dibagikan hanya kepada prosesor berikut, masing-masing dengan Perjanjian Pemrosesan Data (DPA) sesuai Pasal 28 GDPR.

• Google LLC (Google Analytics 4, Google Tag Manager) — USA — transfer data berdasarkan SCC EU + Data Privacy Framework (DPF).
• Microsoft Corporation (Clarity — heatmap & rekaman sesi) — USA — bersertifikat DPF.
• Cloudflare Inc. (hosting & CDN) — EU & USA — bersertifikat DPF.
• WhatsApp (Meta Platforms Ireland) — pesan dienkripsi end-to-end; Meta menyimpan metadata (nomor telepon, timestamp). Lihat kebijakan WhatsApp.
• Penyedia pembayaran — ketika Anda membayar deposit, penyedia (mis. Xendit, Stripe, Wise) memproses data kartu/bank langsung. Kami hanya menerima token konfirmasi.

Kami tidak pernah menjual, menyewakan, atau memperdagangkan data pribadi Anda.

Sebagian prosesor berlokasi di luar EEA / Inggris / Indonesia. Transfer dilindungi oleh: (i) keputusan adequacy Komisi Eropa bila tersedia; (ii) Standard Contractual Clauses (2021/914) dengan langkah pelengkap; (iii) EU–US Data Privacy Framework bila berlaku. Salinan jaminan tersedia atas permintaan.

Anda memiliki hak-hak berikut terhadap data Anda:

• Akses (Pasal 15) — memperoleh salinan data.
• Pembetulan (Pasal 16) — memperbaiki data yang tidak akurat.
• Penghapusan / hak untuk dilupakan (Pasal 17).
• Pembatasan (Pasal 18) — menangguhkan pemrosesan selama sengketa.
• Portabilitas (Pasal 20) — menerima data dalam format yang dapat dibaca mesin.
• Keberatan (Pasal 21) — menghentikan pemrosesan berdasarkan legitimate interest atau marketing langsung.
• Menarik persetujuan (Pasal 7.3) — kapan saja, melalui tautan Pengaturan cookie di footer, atau via email.
• Mengajukan keluhan (Pasal 77) — kepada otoritas pengawas setempat (mis. KOMINFO di Indonesia, CNIL di Prancis, ICO di Inggris).
• Tidak menjadi sasaran keputusan otomatis (Pasal 22) — kami tidak membuat keputusan otomatis yang berimplikasi hukum.

Untuk menggunakan hak-hak ini, kirim email ke [email protected]. Kami akan merespons dalam 30 hari (Pasal 12.3).

Kami menggunakan Google Consent Mode v2 — cookies analitik dan marketing diblokir secara default sampai Anda memberikan persetujuan melalui banner. Daftar lengkap ada di Kebijakan Cookie. Anda dapat mengubah pilihan kapan saja via Pengaturan cookie.

Situs disajikan via TLS 1.3 dengan HSTS pre-load (Cloudflare Pages). Proses sensitif (upload paspor, pembayaran) berjalan di kanal terenkripsi terpisah. Apabila terjadi insiden yang berisiko terhadap hak Anda, kami akan memberitahu otoritas pengawas dalam 72 jam (Pasal 33 GDPR) dan, bila diperlukan, memberitahu Anda tanpa penundaan berarti (Pasal 34).

Layanan kami tidak ditujukan untuk anak di bawah 16 (EU) / 17 (Indonesia). Kami tidak secara sadar mengumpulkan data dari anak-anak tanpa persetujuan orang tua/wali. Jika Anda menduga seorang anak memberikan data kepada kami, hubungi kami dan akan kami hapus.

Kami dapat memperbarui kebijakan ini. Perubahan material akan ditampilkan di bagian atas halaman minimal 30 hari dan, bila relevan, dikirim via email. Tanggal "Berlaku sejak" di atas mencerminkan versi terbaru.