Bagaimana kami menangani data yang menyangkut Anda.

1Singkatnya

Hal-hal pokok, sebelum perinciannya:

• Di bot, kami mengenali Anda lewat ID numerik Telegram dan username; jika Anda tidak punya username, lewat nama yang Anda atur di Telegram. Kami tidak meminta dan tidak membaca dari Telegram nama belakang, telepon, email, atau foto profil Anda
• Konten Anda tetap di dalam organisasi Anda: tanpa penjualan data, tanpa iklan, tanpa pemrofilan komersial
• Asisten AI hanya melihat organisasi tempat mereka bekerja, dan penyedia model tidak melatih sistemnya dengan data Anda
• Saat sesuatu bersifat «anonim», kami mengatakan persis apa artinya — sebelum mengirim, bukan sesudahnya (lihat 5.6 dan 5.7)
• Basis data di server di Uni Eropa, cadangan terenkripsi, ekspor PDF yang dapat diverifikasi
• Banyak penghapusan Anda lakukan sendiri dari bot; untuk sisanya cukup satu email (bagian 13)

2Pemberitahuan ini berlaku untuk apa

Pemberitahuan ini mencakup dua hal:

• Bot Tavora di Telegram — platform tempat Anda membangun organisasi, menghubungkan grup, dan memakai usulan, pemungutan suara, tugas, shift, acara, kuesioner, Perpustakaan, Loket, ruang pribadi, dan asisten AI
• Situs tavora.net — halaman utama, panduan, dan formulir dukungan (bagian 15)

Tavora berjalan di dalam Telegram, tetapi bukan Telegram: ini proyek independen, tidak berafiliasi dengan Telegram. Apa yang Anda kirim lewat Telegram juga diproses oleh Telegram sesuai kebijakan privasinya sendiri.

Membaca halaman ini tidak mengikat Anda pada apa pun: ini pemberitahuan, bukan kontrak. Dasar hukum pemrosesan tercantum di bagian 7.

3Pengendali data

Tavora adalah proyek independen dalam fase beta, dikembangkan dan dikelola oleh pengembangnya, yang bertindak sebagai pengendali data dalam pengertian Pasal 4(7) GDPR. Belum ada perusahaan: untuk pertanyaan apa pun tentang data Anda, titik kontaknya adalah alamat ini:

• tavorasystems@gmail.com

Belum ditunjuk petugas pelindungan data (DPO): untuk sifat dan skala pemrosesan ini, Pasal 37 GDPR tidak mewajibkannya. Kami menjawab permintaan data dalam tenggat Pasal 12 GDPR (biasanya dalam satu bulan).

4Tavora dan organisasi: siapa bertanggung jawab atas apa

Tavora adalah platform: organisasi yang berjalan di atasnya dibuat dan dikelola orang lain. Untuk memahami siapa menjawab atas apa, pembedaannya begini:

• Tavora adalah pengendali pemrosesan yang diperlukan agar platform berjalan: akun, infrastruktur, keamanan, cadangan, batas anti-penyalahgunaan, operasi teknis asisten AI
• Pengelola tiap organisasi (pendiri, admin, staf) memutuskan cara memakai perangkat terhadap anggotanya sendiri: siapa yang diterima, peran dan izin apa yang diberikan, apa yang ditulis di berkas anggota (catatan, teguran, penghargaan, label), aturan apa yang diberikan kepada AI. Untuk keputusan itu mereka bertindak sebagai pengendali data independen organisasinya, dan Tavora memproses data atas nama mereka sebagai penyedia platform

Artinya bagi Anda sebagai anggota: untuk konten yang ditulis staf organisasi tentang Anda, pihak pertama yang dihubungi adalah pengelola organisasi. Anda selalu bisa menulis kepada kami juga (bagian 17): kami membantu Anda menggunakan hak Anda dalam keadaan apa pun.

Pengelola wajib memakai perangkat Tavora sesuai hukum pelindungan data. Jika menurut Anda sebuah organisasi menyalahgunakannya, laporkan kepada kami.

5Data yang kami proses

5.1 Data Telegram

Saat Anda berinteraksi dengan bot, Telegram otomatis memberi kami:

• User ID Telegram — pengenal numerik unik Anda
• Username Telegram — nama pengguna publik Anda (terbarui sendiri jika Anda mengubahnya)
• Kode bahasa — untuk menampilkan antarmuka dalam bahasa Anda (bisa diubah di pengaturan)
• Tanggal dan waktu interaksi pertama dan terakhir
• Nama Telegram (tidak pernah nama belakang) — kami menerimanya saat Anda berinteraksi dengan bot: di chat pribadi, saat menulis di grup terhubung, saat bergabung ke grup terhubung, atau saat mengetuk kartu janji temu atau daftar di chat mana pun. Kami hanya menampilkannya jika Anda tidak punya username: untuk menyebut Anda sebagai penulis usulan, suara, komentar, dan jawaban bernama, di daftar organisasi (anggota, peran, staf, permintaan gabung, yang diblokir, departemen), dan untuk menunjukkan siapa yang mengetuk daftar atau janji temu di chat. Nama ini dihapus bersama data akun Anda

Ditambah preferensi yang Anda atur sendiri: zona waktu (untuk pengingat), pengaturan notifikasi per organisasi. Jika Anda memblokir bot di Telegram, kami mencatatnya agar berhenti menghubungi Anda; tandanya terhapus sendiri jika Anda kembali.

5.2 Organisasi dan keanggotaan

• Peran di tiap organisasi (anggota, admin, pendiri) dan izin khusus
• Departemen dan tugas jabatan yang Anda ikuti beserta pengelolanya
• Permintaan bergabung, undangan, dan persetujuannya
• Pemblokiran di tingkat organisasi — dengan User ID, pemberi blokir, dan tanggal
• Permintaan pengalihan kepemilikan organisasi (dua User ID yang terlibat dan statusnya)
• Kehadiran di grup Telegram yang terhubung — ID grup, nama grup, dan siapa yang ada di sana (hanya ID dan username), untuk memverifikasi keanggotaan
• Bahasa organisasi («🌐 Bahasa organisasi»): bahasa pesan di grup dan pesan pribadi yang diterima anggota dari organisasi (pengaturan organisasi, bukan pribadi: menu Anda tetap dalam bahasa Anda)

5.3 Konten yang Anda buat

• Usulan dan butir agenda: judul, teks, jenis, lampiran, komentar
• Suara: suara Anda terkait User ID Anda (siapa yang bisa melihatnya: bagian 8)
• Tugas: judul, deskripsi, checklist, penugasan, catatan (publik atau pribadi), pengingat, riwayat perubahan
• Shift: slot, penugasan, permintaan tukar
• Acara dan kalender: acara, pendaftaran/RSVP, pengingat
• Kuesioner: jawaban Anda (soal anonimitas: 5.7)
• Perpustakaan: materi yang diunggah (dokumen, bab, halaman) dan siapa pengunggahnya
• Loket: usulan, permintaan, dan laporan yang dikirim ke pengelola (soal anonimitas: 5.6)

Untuk menjaga format yang Anda masukkan (tebal, miring, tautan, emoji animasi Telegram Premium) kami juga menyimpan versi «rich» dalam HTML. Emoji Premium disimpan sebagai pengenal numerik, bukan gambar. Lampiran (foto, video, dokumen) tidak disimpan di server kami: kami hanya menyimpan rujukan (file_id) dari Telegram — berkasnya tetap di server Telegram. Satu-satunya pengecualian: untuk PDF dan berkas teks yang diunggah ke Perpustakaan atau ke Instruksi AI dengan AI aktif, kami juga menyimpan teks lengkapnya (dipecah menjadi beberapa bagian untuk pencarian), agar AI bisa memakainya saat menjawab (bagian 6). Hal yang sama berlaku jika AI baru diaktifkan kemudian untuk dokumen yang sudah diunggah. Teks itu tetap ada selama dokumennya ada, meski AI kemudian dimatikan.

5.4 Berkas anggota — data yang dimasukkan staf tentang Anda

Staf organisasi Anda dapat menyimpan berkas untuk tiap anggota. Isinya bisa berupa:

• Catatan internal staf (tidak terlihat oleh Anda maupun anggota lain)
• Teguran dan sanksi, dengan penulis dan tanggal
• Penghargaan, label yang diberikan, dan kolom khusus profil: informasi teks bebas yang ditulis staf (misalnya nomor induk, tim, nomor telepon internal). Staf memutuskan per kolom apakah Anda bisa melihatnya; kolom baru hanya terlihat oleh staf
• Riwayat: masuk/keluar, grup tempat Anda terlihat, statistik aktivitas (usulan, tugas, acara)
• Log aktivitas tindakan staf atas profil Anda: siapa melakukan apa dan kapan. Saat catatan, sanksi, atau kolom dihapus (satu per satu atau dengan «🧹 Bersihkan berkas», termasuk yang diberikan lewat AI), teksnya tidak tersisa di log

Konten ini diputuskan dan ditulis pengelola organisasi, yang bertanggung jawab atasnya sebagai pengendali independen (bagian 4). Staf dapat membersihkan berkas dengan «🧹 Bersihkan berkas», juga berkas orang yang sudah bukan anggota («👥 Anggota» → «🧰 Alat» → «👤 Mantan anggota»): untuk mantan anggota, pembersihan juga menghapus kolom khusus dan mencabut undangan yang tertunda, sedangkan penghargaan tetap ada. Penghapusan akun Anda menghapus seluruh berkas (bagian 13).

5.5 Ruang pribadi

Di luar organisasi Anda punya ruang milik sendiri: agenda (termasuk tempat sebuah janji, jika Anda mengirim lokasi), daftar tugas, kebiasaan beserta jurnalnya, tenggat (dengan foto dokumen jika Anda menambahkannya: foto itu tetap di Telegram seperti lampiran lain), catatan, pengingat (termasuk berulang), kuesioner pribadi, janji temu, dan daftar di chat. Data ini hanya terlihat oleh Anda: tidak muncul di organisasi mana pun, tidak masuk Perpustakaan mana pun, dan tidak ada pengelola yang bisa melihatnya. Satu-satunya pengecualian adalah yang Anda bagikan sendiri: kartu janji temu atau daftar yang dikirim ke sebuah chat dilihat oleh orang di chat itu, dan catatan atau kuesioner yang dibagikan lewat tautan bisa dibuka siapa pun yang punya tautannya. Siapa pun yang mengetuk salah satu kartu itu, meski tidak memakai Tavora, mengirimkan User ID dan username-nya kepada kami (atau namanya, jika tidak punya username): kami menyimpannya untuk dituliskan di kartu dan agar janji temu atau daftar itu berfungsi. Jika sebuah kebiasaan menyangkut data sensitif (merokok, alkohol, narkoba, judi), kami hanya menyimpannya karena Anda sendiri memintanya secara tegas: di panel kebiasaan bot lebih dulu menampilkan pemberitahuan dan menunggu persetujuan Anda, sedangkan kepada asisten pribadi Anda memintanya dengan kata-kata sendiri; Anda bisa menghapusnya kapan saja. Asisten AI pribadi mengaksesnya hanya saat Anda memintanya (bagian 6.4).

5.6 Loket dan anonimitas — dikatakan dengan jujur

Dari Loket, anggota dapat mengirim laporan kepada pengelola secara anonim. Inilah artinya, persis:

• Bagi pengelola benar-benar anonim: mereka tidak melihat nama, username, atau ID — bahkan dengan mencari. Di ekspor CSV kolom pengirim kosong
• Bagi sistem tidak: basis data tetap mencatat siapa yang mengirim laporan. Ini mencegah penyalahgunaan dan memungkinkan Anda mengikuti berkas Anda
• Bot mengatakannya dengan jelas pada saat pengiriman, sebelum Anda memilih

Identitas pengirim laporan anonim tidak pernah diungkap ke pengelola di layar mana pun dari bot. Ia hanya bisa diungkap jika kewajiban hukum mengharuskan kami (bagian 7).

5.7 Kuesioner dan anonimitas

Pembuat kuesioner memilih apakah bernama atau anonim, dan pilihan itu tidak bisa diubah lagi setelah publikasi. Pada kuesioner anonim:

• Selama Anda mengisi, sistem menyimpan tautan sementara antara Anda dan draf (agar Anda bisa melanjutkan pengisian); saat dikirim, tautan itu dihapus: jawaban yang terkirim tidak lagi dapat dilacak ke Anda di basis data
• Tetap tercatat bahwa Anda menjawab (untuk mencegah jawaban ganda), tetapi bukan apa yang Anda jawab
• Karena itu kuesioner anonim tidak memungkinkan mengubah jawaban setelah dikirim

5.8 Donasi (Telegram Stars)

Jika Anda mendukung proyek dengan donasi Telegram Stars kami mencatat: User ID dan username, jumlah, ID transaksi (charge_id, berguna untuk pengembalian dana), tanggal dan waktu, dan nama depan Telegram Anda, yang di sini dipakai semata-mata untuk berterima kasih secara publik jika Anda setuju, atau untuk lencana donatur. Kami tidak menerima dan tidak menyimpan data pembayaran apa pun (kartu, rekening): transaksi terjadi sepenuhnya di dalam Telegram.

5.9 Data teknis

• Jejak audit: untuk tugas dan tindakan pengelolaan kami mencatat siapa melakukan apa dan kapan
• Sesi sementara wizard (pembuatan usulan/tugas…): terhapus otomatis setelah 48 jam tanpa aktivitas
• Lampiran laporan bug/masukan yang dikirim dari bot: disimpan sebagai rujukan Telegram dan dihapus setelah sekitar 30 hari
• Verifikasi PDF yang diekspor: setiap PDF yang diekspor memuat kode verifikasi, dan saat dibuat kami menyimpan sidik (SHA-256) seluruh berkasnya, tanpa data pribadi tambahan. Penerima PDF dapat mengirimkannya ke bot di chat pribadi untuk mengetahui apakah asli atau sudah diubah
• Log teknis: log bot tidak memuat token maupun konten sensitif
• Statistik produk internal (fase beta): peristiwa aktivasi agregat (mis. pembuatan organisasi pertama Anda) dan penghitung penggunaan beberapa layar, terkait User ID dan stempel waktu. Tetap internal, tidak memberi makan pemrofilan maupun iklan, dan akan dihapus atau dianonimkan di akhir beta. Anda dapat meminta penghapusan lebih awal

5.10 Data yang TIDAK kami kumpulkan

Bot tidak meminta dan tidak mengumpulkan atas inisiatifnya sendiri:

• Nama belakang, email, nomor telepon: kami tidak memintanya dan tidak membacanya dari Telegram. Jika Anda sendiri menuliskannya dalam suatu konten, atau staf mencatatnya di kolom kartu Anda (5.4), kami menyimpannya seperti konten lain
• Foto profil atau data biografis
• Lokasi atau data GPS: kami tidak pernah mendeteksinya. Jika Anda sendiri mengirim lokasi sebagai tempat sebuah janji di agenda, kami menyimpan koordinatnya bersama janji tersebut
• Pesan pribadi di luar percakapan dengan bot
• Data dari aplikasi atau layanan lain, riwayat penelusuran, cookie, data perangkat
• Data pembayaran (kartu, rekening, IBAN)

6Asisten AI

Tavora memiliki beberapa asisten AI. Aturan dasar yang sama berlaku untuk semuanya: jawaban dihasilkan model Claude dari Anthropic (bagian 10), data yang dikirim ke penyedia tidak dipakai untuk melatih modelnya, tiap asisten hanya melihat organisasi (atau ruang pribadi) tempat ia bekerja, dan mereka hanya bertindak saat seseorang memintanya. Satu-satunya pengecualian adalah instruksi berkala AI Kelola Anggota, yang berjalan sendiri pada hari dan jam yang dipilih staf (6.2).

6.1 Tavora AI (untuk anggota)

Menjawab pertanyaan berdasarkan materi Perpustakaan yang ditandai «AI = Ya» oleh staf dan pengetahuan dasar Tavora. Kami menyimpan:

• Memori percakapan di chat pribadi: setiap pertukaran terhapus sendiri 30 hari setelah ditulis, meski Anda terus memakai asisten, atau lebih cepat jika Anda menghapusnya; di grup (/ask) memorinya terpisah, per pengguna, dan setiap pertukaran kedaluwarsa setelah 7 hari
• Ringkasan otomatis giliran-giliran lama saat percakapan memanjang (10 giliran terbaru tetap utuh)
• Profil sintetis gaya interaksi Anda (maks. 300 karakter), diperbarui seminggu sekali jika dalam seminggu terakhir Anda sering memakai asisten, hanya untuk mengkalibrasi nada
• Penghitung penggunaan untuk menerapkan batas (tidak memuat teks pertanyaan)
• Cache jawaban untuk pertanyaan publik ke Tavora AI global, agar pertanyaan serupa terjawab seketika

Yang dikirim ke penyedia AI: pertanyaan, giliran-giliran sebelumnya dari percakapan, kutipan Perpustakaan yang relevan, dan Instruksi AI dari staf. User ID dan username Anda tidak dikirim: bagi penyedia, pengguna Tavora AI tidak dapat diidentifikasi.

6.2 AI Kelola Anggota (untuk staf)

Asisten khusus pendiri dan admin. Saat staf memakainya, data anggota yang diperlukan untuk permintaan diproses — dan sebagian dikirim ke penyedia AI: username, peran, label, kolom khusus, statistik aktivitas, sanksi, terbatas pada satu organisasi itu saja. Memori percakapan staf bertahan paling lama 32 pertukaran / 14 hari, terisolasi per organisasi dan per admin. Untuk permintaan jelas tentang satu orang, ia langsung bertindak; untuk beberapa orang, serta untuk pesan pribadi dan pengumuman, ia meminta konfirmasi tertulis lebih dulu. Paling banyak 20 penerima per tindakan, dan setiap tindakan masuk riwayat pengelolaan. Instruksi berkala yang disimpan staf hanya menerapkan sendiri label, peran, pesan pribadi yang diatur aturannya, pencabutan blokir, undangan ke grup, dan catatan internal: pengeluaran, pemblokiran, peringatan, penghargaan, dan kolom profil tetap berupa saran yang dikonfirmasi staf.

6.3 AI Tugas, AI Shift, dan AI Kuesioner (untuk pengelola)

Prinsip yang sama dengan 6.2, diterapkan pada tugas, shift, dan kuesioner: mereka membaca papan, beban kerja, jadwal, dan kuesioner hanya dari area yang izinnya dimiliki pengelola. AI Tugas meminta konfirmasi tertulis untuk tindakan atas beberapa tugas atau beberapa orang dan untuk setiap penghapusan. Sebelum menerbitkan, menutup, membuka kembali, atau menghapus kuesioner (atau pertanyaan yang sudah punya jawaban), menghapus shift yang berisi orang, atau mengeluarkan seseorang dari shift, AI Kuesioner dan AI Shift meminta konfirmasi dalam percakapan: tindakan baru berjalan setelah «ya» dari pengguna di pesan berikutnya, yang diperiksa bot, bukan AI. Penyedia AI menerima data tugas, shift, dan kuesioner yang relevan dengan permintaan (judul, penanggung jawab, tenggat, pertanyaan, jawaban yang dinilai) — tidak pernah seluruh basis data.

6.4 Asisten pribadi (ruang pribadi)

Bekerja hanya dengan data pribadi Anda: daftar tugas, kebiasaan, agenda, catatan, pengingat, tenggat, janji temu, daftar di chat, dan kuesioner pribadi. Memorinya terpisah dari segala hal lain dan tidak berbicara dengan AI organisasi.

6.5 Moderasi otomatis Instruksi AI

Saat staf menyimpan sebuah Instruksi AI (aturan perilaku untuk asisten), teksnya dikirim ke penyedia untuk pemeriksaan keamanan otomatis. Jika melanggar aturan penggunaan (penghinaan, prompt injection, kegiatan ilegal) ia ditandai «diabaikan» dan AI tidak menerapkannya. Hanya teks instruksi yang dikirim, tidak ada data lain.

Embedding (representasi numerik teks untuk pencarian di Perpustakaan dan cache) dihitung secara lokal di server kami dengan model open source: dalam operasi ini tidak ada data yang meninggalkan infrastruktur kami.

7Dasar hukum dan tujuan

Kami tidak memproses data «karena Anda memakai bot maka dianggap setuju»: setiap pemrosesan punya dasar hukum menurut Pasal 6 GDPR.

• Pelaksanaan layanan yang Anda minta (Psl. 6.1.b) — seluruh kerja Tavora: organisasi, usulan, pemungutan suara, tugas, shift, acara, kuesioner, Perpustakaan, Loket, ruang pribadi, asisten AI, notifikasi dan pengingat
• Kepentingan sah (Psl. 6.1.f) — keamanan dan pencegahan penyalahgunaan (batas, blokir, jejak audit), cadangan dan kesinambungan layanan, statistik internal agregat untuk memperbaiki produk, pembelaan hak kami. Anda dapat menolak pemrosesan ini (bagian 13)
• Persetujuan (Psl. 6.1.a) — ucapan terima kasih publik untuk donatur dan formulir dukungan situs; persetujuan tegas (Psl. 9.2.a) untuk menyimpan kebiasaan di ruang pribadi yang menyangkut data sensitif (merokok, alkohol, narkoba, judi). Dapat ditarik kapan saja: untuk sebuah kebiasaan, cukup hapus kebiasaan itu
• Kewajiban hukum (Psl. 6.1.c) — kemungkinan menjawab permintaan sah dari otoritas

Tidak ada keputusan sepenuhnya otomatis yang menimbulkan akibat hukum atau serupa signifikannya bagi Anda (Psl. 22 GDPR): asisten AI mengusulkan, manusia memutuskan. Pengeluaran dan pemblokiran tidak pernah dijalankan otomatis oleh AI.

Data tidak dipakai untuk pemrofilan komersial atau iklan, tidak dijual, dan tidak memberi makan pemasaran jenis apa pun.

8Siapa melihat data Anda

Anggota lain organisasi Anda melihat

• Username Anda (atau, jika tidak punya, nama Telegram Anda) sebagai penulis usulan dan di komentar yang terbit di grup
• Penugasan Anda di tugas dan shift serta catatan publik
• Pendaftaran acara Anda, di tempat daftar peserta terlihat
• Siapa pendiri dan admin organisasi (terlihat oleh setiap anggota)
• Daftar anggota (hanya nama atau username, tidak pernah ID Telegram), jika pendiri membuatnya terlihat oleh semua; jika tidak, hanya staf dan yang punya izin atas anggota yang melihatnya

Hanya pengelola yang melihat

• Suara individual (mis. lewat /votes), di tempat organisasi mengaturnya
• Berkas anggota (catatan internal, teguran, penghargaan, label, riwayat — bagian 5.4)
• Berkas Loket — pengirim terlihat hanya jika laporan tidak anonim (5.6)
• Responden kuesioner bernama (tautan jawaban↔orang tidak pernah terlihat di yang anonim, 5.7)

Tidak ada yang melihat

• Percakapan pribadi Anda dengan bot dan asisten AI
• Ruang pribadi Anda (agenda, daftar tugas, kebiasaan, tenggat, catatan, pengingat), kecuali yang Anda bagikan sendiri (5.5)
• Usulan yang Anda sembunyikan dari tampilan Anda

Selain itu, akses teknis ke basis data terbatas pada pengembang (bagian 12). Tidak ada data yang dibagikan ke pihak ketiga di luar penyedia di bagian 10.

9Masa penyimpanan

Aturan umum: kami menyimpan data selama Anda memakai Tavora dan selama organisasi tempat data itu berada masih ada. Rinciannya:

• Penghapusan organisasi: anggota langsung keluar; selama 10 hari pendiri dapat memulihkannya dari «Organisasi saya» (konten dan pengaturan kembali, anggota bergabung lagi dengan tautan undangan baru), lalu datanya (usulan, suara, tugas…) dihapus permanen dan otomatis
• Penghapusan ruang pribadi («🗑 Hapus ruang saya»): selama 10 hari Anda bisa memulihkannya, asalkan tidak membuat ruang baru dalam waktu itu; setelah itu ruang tersebut dihapus permanen
• Sesi wizard: 48 jam tanpa aktivitas
• Lampiran laporan bug dan masukan: ~30 hari
• Memori AI: Tavora AI: setiap pertukaran 30 hari setelah ditulis (7 di grup), AI pengelolaan 14 hari — di luar reset manual (bagian 13)
• Profil AI sintetis: diganti pada setiap pembaruan mingguan; terhapus dengan reset memori, bersama akun, atau dengan sendirinya saat tidak ada lagi pertukaran pribadi di memori
• Cache jawaban AI: batal sendiri saat materi dasarnya berubah
• Usulan tertunda: difinalkan otomatis setelah 7 hari
• Blokir: blokir organisasi hanya menyimpan User ID (beserta pemblokir dan tanggal) selama aktif; blokir global Tavora juga menyimpan username selama berlaku. Setelah permintaan penghapusan hanya ID yang tersisa, selama blokir aktif
• Memblokir bot: data tetap ada tetapi kami tak lagi menghubungi Anda; Anda bisa meminta penghapusannya
• Statistik beta: dihapus atau dianonimkan di akhir beta
• Cadangan: salinan terenkripsi yang dibuat setiap malam dan disimpan di server kami paling lama 14 hari, lalu dihapus oleh rotasi; salinan terenkripsi dari 5 malam terakhir juga disimpan di Google Drive (bagian 10). Jadi data yang dihapus bisa bertahan di cadangan hingga 14 hari

10Penyedia eksternal

Tavora bertumpu pada sedikit penyedia, masing-masing untuk satu pekerjaan yang jelas. Tidak ada layanan analitik pihak ketiga, piksel, SDK iklan, atau pialang data.

Untuk bot

• Telegram — platform tempat bot hidup: pesan, berkas, dan interaksi melewati servernya sesuai kebijakan privasinya sendiri. Telegram adalah pengendali independen atas pemrosesannya sendiri
• Anthropic (AS) — penyedia model Claude di balik asisten AI. Hanya menerima data yang dijelaskan di bagian 6, tidak memakainya untuk pelatihan (menyimpannya untuk waktu terbatas demi keamanan, lalu menghapusnya) dan memprosesnya sesuai kebijakan privasi serta Data Processing Addendum-nya
• Hosting — bot dan basis data PostgreSQL berjalan di server privat virtual di Uni Eropa, yang kami kelola. Data bot hanya berada di server ini; satu-satunya pengecualian adalah salinan cadangan terenkripsi yang disimpan di Google Drive (poin berikutnya)
• Google Drive (Google) — menyimpan salinan cadangan terenkripsi dari 5 malam terakhir. Setiap cadangan dienkripsi di server kami begitu dibuat, dengan kunci publik (OpenPGP, AES-256), dan versi yang tidak terenkripsi dihapus: hanya berkas terenkripsi yang sampai ke Google Drive, dan Google tidak dapat membacanya karena tidak memiliki kuncinya. Kunci privat yang diperlukan untuk pemulihan disimpan oleh Tavora di luar server dan di luar Google. Salinan yang lebih lama dihapus dari Drive secara otomatis dan permanen (tidak masuk ke tempat sampah)

Untuk situs

• Vercel — hosting tavora.net dan formulir dukungan
• Resend — pengiriman email formulir dukungan
• Cloudflare Turnstile — verifikasi anti-bot formulir, tanpa cookie persisten dan tanpa pelacakan lintas situs

11Transfer ke luar UE

Basis data bot berada di Uni Eropa. Namun beberapa penyedia beroperasi dari Amerika Serikat:

• Anthropic — untuk permintaan ke asisten AI (bagian 6)
• Vercel, Resend, dan Cloudflare — untuk situs dan formulir dukungan (bagian 15)
• Google — untuk salinan cadangan terenkripsi di Google Drive, yang juga dapat disimpan di luar UE (bagian 10)

Transfer ini bertumpu pada jaminan Bab V GDPR: sertifikasi EU-US Data Privacy Framework dan/atau Klausul Kontrak Standar (SCC), tergantung penyedianya. Telegram memproses data menurut kebijakannya sendiri, sebagai pengendali independen.

12Keamanan

Langkah-langkah utama yang berlaku:

• Enkripsi saat transit — komunikasi dengan Telegram dan antara bot dan basis data lewat kanal terenkripsi
• Cadangan terenkripsi — dengan AES-256 dan kunci publik (OpenPGP): server dapat mengenkripsi cadangan tetapi tidak dapat membukanya; kunci untuk pemulihan tidak ada di server maupun di Google
• PDF yang dapat diverifikasi — setiap PDF yang diekspor punya kode verifikasi: dengan mengirimkannya ke bot di chat pribadi, Anda tahu apakah asli atau sudah diubah (cukup satu byte yang berubah)
• Akses terbatas — hanya pengembang yang punya akses langsung ke basis data
• Query terparametrisasi — pelindungan dari SQL injection
• Validasi masukan dan batas panjang untuk semua yang Anda masukkan
• Pembatasan laju anti-penyalahgunaan pada pembuatan dan interaksi
• Pencatatan hemat — tanpa token dan tanpa konten sensitif di log

Tidak ada sistem yang 100% aman. Jika terjadi pelanggaran yang berisiko bagi hak Anda, kami akan memberi tahu otoritas dan — dalam kasus yang diatur Psl. 34 GDPR — Anda juga.

13Hak Anda

GDPR menjamin hak-hak ini untuk Anda (Psl. 15–21), semuanya gratis:

• Akses — mengetahui data apa yang kami miliki tentang Anda dan menerima salinannya
• Perbaikan — mengoreksi data yang tidak akurat (username terbarui sendiri dari Telegram)
• Penghapusan — penghapusan menyeluruh akun Anda: Anda memintanya lewat email dan kami yang menjalankannya (perincian di bawah)
• Pembatasan — meminta kami «membekukan» suatu pemrosesan selagi kami memeriksa keberatan Anda
• Portabilitas — menerima data Anda dalam format terstruktur yang lazim; dari bot Anda bisa mengunduh sendiri PDF daftar tugas ruang pribadi Anda dan ZIP usulan Anda; untuk salinan lengkap semua data Anda, tulis kepada kami
• Keberatan — menolak pemrosesan berbasis kepentingan sah (bagian 7)
• Penarikan persetujuan — kapan saja, tanpa memengaruhi yang sudah terjadi

Pengaduan ke otoritas: Anda selalu berhak menghubungi otoritas pelindungan data Italia (Garante) (Psl. 77 GDPR) atau otoritas pengawas negara Anda, tanpa perlu memberi tahu kami dulu.

Yang bisa Anda lakukan sendiri, sekarang juga, dari bot

• Reset memori AI — tombol «🧹 Reset memori» langsung menghapus giliran percakapan, profil sintetis, dan ringkasan (operasi tak bisa dibatalkan dan meminta konfirmasi)
• Keluar dari organisasi kapan saja
• Menghapus janji, catatan, daftar tugas, pengingat, tenggat, dan kebiasaan di ruang pribadi Anda
• Menghapus seluruh ruang pribadi dengan «🗑 Hapus ruang saya»: selama 10 hari Anda masih bisa memulihkannya, setelah itu ruang tersebut dihapus permanen (bagian 9)
• Menyembunyikan usulan dari tampilan Anda
• Memblokir bot untuk menghentikan semua komunikasi

Apa akibat penghapusan akun

• Dihapus: akun, keanggotaan, peran, berkas anggota tentang Anda (termasuk kolom profil dan penghargaan), permintaan gabung dan pengalihan, jawaban acara, tempat di shift, catatan bahwa Anda menjawab kuesioner, memori dan instruksi berkala AI, statistik beta; ruang pribadi langsung dihapus. Nama Anda juga dihapus dari janji temu dan daftar milik orang lain, termasuk judul yang ditambahkan janji temu itu ke agenda mereka
• Tetap ada: blokir yang aktif, hanya dengan User ID, untuk mencegah bergabung kembali
• Dihapus: organisasi yang Anda dirikan, dengan jendela 10 hari dari bagian 9: selama itu Tavora hanya dapat memulihkannya dengan menyerahkannya kepada pemilik baru
• Dianonimkan: usulan, suara, komentar, tugas, dan catatan yang Anda buat di organisasi orang lain — kontennya tetap (warisan kolektif organisasi), tetapi tanpa kaitan lagi dengan Anda. Jumlah agregat suara tak berubah, identitas pemberi suara dihapus. Jawaban kuesioner dan permintaan ke Loket juga tetap tanpa ID dan nama: pengirimnya tampil sebagai «Pengguna terhapus»

Untuk menggunakan hak yang memerlukan campur tangan kami, tulis ke tavorasystems@gmail.com dengan mencantumkan Telegram User ID Anda. Kami biasanya menjawab dalam satu bulan (Psl. 12 GDPR).

14Anak di bawah umur

Tavora tidak ditujukan untuk anak di bawah 16 tahun dan kami tidak dengan sengaja mengumpulkan data mereka. Jika orang tua atau wali menduga seorang anak memberikan data pribadi kepada kami, mereka bisa menulis untuk penghapusannya (bagian 17).

15Situs web dan formulir dukungan

Situs tavora.net

Situs tidak memakai cookie, tidak punya banner karena memang tidak perlu, dan tidak menyematkan pelacak, analitik pihak ketiga, atau piksel. Hosting (Vercel) menghasilkan log teknis penyajian yang diproses sesuai kebijakan privasinya sendiri.

Formulir dukungan

Saat Anda mengirim laporan dari formulir (/support/) kami mengumpulkan yang Anda tulis: jenis, judul (maks. 120 karakter), deskripsi (maks. 4000), email Anda (untuk membalas), lampiran opsional (maks. 3 berkas; jenis yang diizinkan: gambar, video, PDF, TXT), bahasa halaman, dan sebuah hash IP (SHA-256 dengan salt) yang dipakai hanya untuk pembatasan laju — tidak pernah IP secara terbuka.

Dasar hukum: persetujuan eksplisit Anda (kotak centang wajib) dan pelaksanaan permintaan Anda (membalas Anda). Email berjalan lewat Resend dan tiba di kotak masuk kami; verifikasi anti-bot oleh Cloudflare Turnstile, tanpa cookie persisten.

• Penyimpanan email: waktu yang diperlukan untuk menangani laporan, maksimum 24 bulan
• Log diagnostik formulir: 7 hari, tanpa data pribadi secara terbuka
• Penarikan: Anda dapat menarik persetujuan kapan saja dengan menulis kepada kami; penarikan tidak memengaruhi keabsahan yang sudah terjadi

16Perubahan pemberitahuan ini

Jika Tavora berubah, halaman ini berubah bersamanya. Untuk perubahan besar kami memberi tahu Anda lewat pesan di bot; tanggal pembaruan terakhir selalu ada di atas halaman. Versi sebelumnya tersedia atas permintaan.

17Kontak

Untuk pertanyaan tentang pemberitahuan ini atau untuk menggunakan hak Anda:

• tavorasystems@gmail.com

Cantumkan Telegram User ID Anda dalam permintaan: itu satu-satunya cara kami mengidentifikasi data Anda dengan pasti (kami tidak akan pernah meminta nama atau dokumen, kecuali ada keraguan berdasar tentang identitas pemohon menurut Psl. 12.6 GDPR).