Kebijakan Privasi

Pengendali data adalah Bx Labs, perseroan terbatas sederhana dengan pemegang saham tunggal menurut hukum Prancis (SASU) dengan modal saham €1.000, terdaftar di Daftar Perdagangan dan Perusahaan (RCS) Paris dengan nomor 108 596 651, yang berkantor pusat di 9 rue des Colonnes, 75002 Paris, Prancis.

Untuk pertanyaan apa pun tentang data Anda, kirim email ke contact@bxlabs.ai.

Kami memproses data berikut saat Anda menggunakan layanan kami:

• Alamat email dan pengenal akun (pendaftaran, masuk, komunikasi)
• Nomor telepon penerima dan skenario telepon prank
• Rekaman audio dan transkripsi otomatis panggilan, serta skenario, suara, dan transkrip uji coba di browser (lihat di bawah)
• Riwayat kredit dan pembelian Anda (pembayarannya sendiri diproses oleh Stripe: kami tidak pernah menerima nomor kartu Anda)
• Negara yang diperkirakan dari alamat IP Anda (tidak pernah alamat itu sendiri), untuk menampilkan dan menagih harga yang berlaku di negara Anda: negara ini tidak disimpan bersama akun Anda; hanya kode dua hurufnya yang dilampirkan pada pembayaran di Stripe dan, untuk harga regional yang lebih murah, dikirim ke Bx Labs OS (lihat § 6)
• Hanya dengan persetujuan Anda: cookie pengukuran audiens dan iklan (lihat § 4)
• Hanya dengan persetujuan terpisah dari Anda: pengukuran penggunaan, peta klik, dan perekaman sesi, dengan teks dan isian disamarkan (lihat § 4)
• Pengukuran kunjungan halaman, tanpa cookie (lihat § 5)
• Pendaftaran dan pembelian, yang dikirim ke alat pelacakan internal kami (lihat § 6)

Perekaman dan transkripsi panggilan. Setiap panggilan telepon yang dilakukan dengan PrankCall AI direkam (kedua suara: suara AI dan suara orang yang ditelepon) dan ditranskripsikan secara otomatis menjadi teks. Uji coba di browser tidak direkam, tetapi skenario, suara yang dipilih, dan transkripnya disimpan. Rekaman, transkrip, dan skenario ini disimpan selama akun Anda ada dan dihapus bersama akun tersebut. Bx Labs dapat mengaksesnya untuk moderasi (kepatuhan terhadap ketentuan penggunaan, pencegahan penyalahgunaan) dan untuk dukungan, dan setiap akses dicatat. Anda dapat memutar ulang dan mengunduh panggilan Anda sendiri dari riwayat Anda.

• Penyediaan layanan — akun, panggilan, kredit, email terkait akun: pelaksanaan kontrak (Pasal 6(1)(b) GDPR)
• Penagihan dan akuntansi: kewajiban hukum (Pasal 6(1)(c))
• Moderasi dan pencegahan penyalahgunaan: kepentingan yang sah (Pasal 6(1)(f))
• Pengukuran kunjungan serta pelacakan pendaftaran dan penjualan (§ 5 dan § 6): kepentingan yang sah (Pasal 6(1)(f))
• Cookie pengukuran audiens dan iklan (§ 4): persetujuan Anda (Pasal 6(1)(a)), yang dapat Anda tarik kapan saja
• Peningkatan pengalaman — pengukuran penggunaan, peta klik, dan perekaman sesi (§ 4): persetujuan Anda (Pasal 6(1)(a)), terpisah dari persetujuan sebelumnya, yang dapat Anda tarik kapan saja

Tidak ada cookie pengukuran atau iklan yang dipasang sampai Anda menerimanya di banner ("Terima", atau kotak "Pengukuran audiens dan iklan"). Hanya dengan persetujuan Anda, kami memuat:

• Google Analytics 4 (pengukuran audiens) dan Google Ads (pengukuran konversi), yang disediakan oleh Google Ireland Limited;
• jika berlaku, piksel Meta (Meta Platforms Ireland Limited) dan piksel TikTok (TikTok Technology Limited), untuk mengukur kampanye iklan kami.

Jika Anda menolak, tidak satu pun dari skrip ini dimuat. Pilihan Anda disimpan selama enam bulan dalam cookie "cookie-consent", setelah itu Anda akan ditanya lagi. Anda dapat mengubahnya kapan saja melalui tautan "Kelola cookie" di bagian bawah setiap halaman: penarikan persetujuan akan mematikan layanan-layanan ini dan menghapus cookie-nya.

Peningkatan pengalaman. Hanya dengan persetujuan Anda, yang diberikan secara terpisah di banner (kotak "Peningkatan pengalaman"), kami mengukur cara situs digunakan untuk meningkatkannya, dengan Umami, alat sumber terbuka yang di-hosting sendiri oleh Bx Labs di Amazon Web Services di Prancis (wilayah Paris, eu-west-3): tidak ada data yang ditransfer ke luar Uni Eropa atau dipercayakan kepada pihak ketiga lainnya. Kami mengumpulkan: kunjungan halaman (alamat tanpa parameter atau jangkarnya, halaman sebelumnya, judul halaman, bahasa, ukuran layar, jenis perangkat, browser dan sistem operasi, negara dan kota yang disimpulkan dari alamat IP, yang tidak disimpan), klik dan gulir (peta klik), serta rekaman sesi Anda (jalannya tampilan halaman, paling lama 10 menit per halaman), di mana semua teks dan semua isian disamarkan; area sensitif (skenario, nomor yang ditelepon, transkrip, riwayat dan rekaman panggilan, alamat email) sama sekali tidak direkam. Umami tidak memasang cookie apa pun, tetapi skripnya membaca dan menulis di perangkat Anda: skrip tersebut hanya dimuat setelah Anda memberikan persetujuan, dan tidak pernah di aplikasi seluler. Dasar hukum: persetujuan Anda (Pasal 6(1)(a) GDPR); persetujuan yang diberikan untuk pengukuran audiens dan iklan tidak mencakup tujuan ini, dan sebaliknya. Masa penyimpanan: 90 hari untuk rekaman sesi, 13 bulan untuk statistik (kunjungan halaman, klik, gulir). Pilihan Anda disimpan selama enam bulan dalam cookie "ux-consent". Menariknya melalui "Kelola cookie" langsung menghentikan pengukuran (halaman akan dimuat ulang).

Tanpa persetujuan, situs hanya menggunakan penyimpanan yang diperlukan agar dapat berfungsi: sesi masuk Anda (Supabase) dan cookie "cookie-consent" serta "ux-consent" yang mengingat pilihan Anda. Jika Anda datang melalui tautan kampanye, tag utm_source, utm_medium, dan utm_campaign-nya hanya disimpan di browser Anda (localStorage) dengan persetujuan Anda, untuk mengukur efektivitas kampanye kami; tanpa persetujuan, tag tersebut hanya dibaca dari alamat halaman pada saat Anda membuat akun (§ 6). Demikian pula, asal kunjungan Anda (situs perujuk dan halaman pendaratan, tanpa parameternya) hanya disimpan di browser Anda (localStorage, 30 hari) dengan persetujuan Anda; tanpa persetujuan, informasi tersebut hanya disimpan di halaman yang terbuka selama kunjungan berlangsung, tanpa menulis apa pun ke browser Anda. Penarikan persetujuan akan menghapusnya.

Dengan persetujuan yang sama, kami juga mengukur tahapan dan hasil pendaftaran, proses masuk, penggunaan studio, uji coba di browser dan panggilan, pembayaran, serta pemutaran rekaman; durasinya, kinerja nyata halaman (Core Web Vitals), dan kategori kesalahan teknis, tanpa pesan kesalahan atau jejak tumpukan (stack trace). Untuk akun yang sedang masuk, pseudonim yang diturunkan dari pengenalnya menggunakan SHA-256 memungkinkan kami mengukur kunjungan kembali dari waktu ke waktu. Umami tidak pernah menerima nama Anda, alamat email Anda, nomor telepon apa pun, skenario, audio, transkrip, maupun token autentikasi. Statistik dan pseudonim ini memiliki masa penyimpanan yang sama, yaitu 13 bulan, dan pengumpulan berhenti saat Anda menarik persetujuan ini.

Kami menghitung kunjungan halaman situs ini. Pengukuran ini dilakukan di server, untuk setiap pengunjung: tanpa cookie, tanpa penyimpanan lokal, dan tanpa skrip di halaman. Tidak ada apa pun yang ditulis ke atau dibaca dari perangkat Anda untuk keperluan ini, sehingga tidak diperlukan persetujuan atas dasar tersebut (Pasal 82 Undang-Undang Perlindungan Data Prancis). Pengukuran ini terpisah dari Google Analytics (§ 4).

Yang dibaca tetapi tidak pernah dikirim atau disimpan: alamat IP dan user agent Anda hanya dibaca untuk menghitung sidik jari yang dijelaskan di bawah, lalu dibuang bersama permintaan tersebut. Tidak pernah dikirim: URL lengkap beserta parameternya (dengan satu-satunya pengecualian tag kampanye utm_source, utm_medium, utm_campaign, utm_content, dan utm_term, jika alamat memuatnya), jalur halaman yang membawa Anda ke sini (hanya domainnya yang disimpan), maupun lokasi apa pun yang lebih rinci daripada negara.

Yang dikirim, untuk setiap kunjungan halaman:

• hari (UTC) dan waktu pengiriman;
• sidik jari harian, yang dijelaskan di bawah;
• jalur halaman, yang dibatasi pada daftar halaman yang dipublikasikan;
• jenis sumber (mesin pencari, jejaring sosial, asisten AI, situs lain, tautan internal, tidak ada) dan, jika relevan, domainnya saja;
• jika ada, tag kampanye (utm_*) dari alamat halaman;
• negara, dalam bentuk kode dua huruf;
• kelas perangkat (desktop, ponsel, tablet, bot).

Sidik jari harian adalah hash (SHA-256) dari alamat IP Anda, user agent Anda, salt yang berubah setiap hari, dan domain situs ini. Sidik jari ini hanya digunakan untuk menghitung pengunjung unik dalam satu hari, dan tidak dapat melacak Anda dari satu hari ke hari berikutnya atau dari satu situs ke situs lain. Sidik jari suatu hari disimpan hingga akhir hari kedua berikutnya (H+2), lalu dihapus oleh pembersihan harian pada pukul 03.15 UTC — yaitu paling lama 76 jam setelah dicatat. Setelah itu hanya tersisa data agregat (kunjungan, pengunjung unik per hari, halaman, sumber, negara, perangkat), yang tidak satu pun berkaitan dengan seseorang.

Penerima: Bx Labs, yang menerima dan mengagregasi kunjungan ini di Bx Labs OS, alat internalnya, yang di-hosting oleh Convex di Uni Eropa (Irlandia). Dasar hukum: kepentingan yang sah (Pasal 6(1)(f) GDPR), yaitu mengukur audiens situs kami sendiri — tanpa pembuatan profil, tanpa iklan, tanpa pencocokan dengan pihak ketiga mana pun. Anda dapat menolak tanpa perlu menghubungi kami: jika browser Anda mengirim sinyal Global Privacy Control (Sec-GPC) atau Do Not Track (DNT), kunjungan tersebut sama sekali tidak diukur.

Saat Anda mengonfirmasi pendaftaran, kami mengirim ke Bx Labs OS, alat internal Bx Labs (di-hosting oleh Convex di Uni Eropa, di Irlandia): alamat email Anda, nama Anda jika diketahui (jika tidak, bagian alamat Anda sebelum @), pengenal akun Anda, tanggal pendaftaran, dan asal kedatangan Anda: situs perujuk (tanpa parameternya), halaman pendaratan, dan, jika Anda datang melalui tautan kampanye, tag-nya (utm_source, utm_medium, utm_campaign, utm_content, utm_term); dengan persetujuan Anda terhadap cookie (§ 4), juga asal kunjungan pertama Anda. Kami juga mengirim negara Anda, yang disimpulkan dari alamat IP Anda saat pendaftaran (tidak pernah alamat IP itu sendiri), kecuali browser Anda memberi sinyal penolakan pelacakan (Global Privacy Control atau Do Not Track). Saat Anda membeli kredit, kami mengirim paket yang dibeli, jumlah kredit, jumlah yang dibayar, dan mata uangnya. Di akhir setiap panggilan, kami mengirim hasilnya (tersambung atau tidak, dan alasannya), durasinya, negara yang ditelepon dan kode teleponnya, serta jumlah kredit, beserta nomor yang ditelepon dan teks prank-nya, untuk dukungan, moderasi, dan pencegahan penyalahgunaan (nomor yang sama ditelepon dari beberapa akun). Saat Anda masuk, dan paling banyak dua kali sehari saat Anda kembali dalam keadaan sudah masuk, kami mengirim tanggal masuk, cara Anda masuk (kata sandi, Google, tautan yang diterima melalui email…), dan jenis akses (situs web atau aplikasi seluler); tidak pernah alamat IP atau browser Anda. Untuk pembelian dengan harga regional yang lebih murah, kami juga mengirim tingkat harga, negara yang diperkirakan dari alamat IP Anda, dan negara kartu Anda (atau, jika tidak ada, negara alamat penagihan Anda), untuk mendeteksi perbedaan di antara keduanya; perbedaan itu juga dicatat di log teknis kami (hanya kode negara dan tingkat harga).

Data ini digunakan untuk memantau pendaftaran, penjualan, dan efektivitas kampanye kami. Tidak ada data pembayaran (kartu, IBAN) yang dikirim: pembayaran tetap berada di Stripe. Dasar hukum: kepentingan yang sah (Pasal 6(1)(f) GDPR). Data ini disimpan selama akun Anda ada, dan permintaan penghapusan Anda (§ 9) juga berlaku untuknya.

Kami tidak pernah menjual data Anda. Data hanya dibagikan kepada penyedia yang dibutuhkan layanan, yang memprosesnya atas nama kami:

• Supabase — basis data dan autentikasi, di-hosting di Uni Eropa (Paris, Prancis)
• Microsoft Azure — server panggilan dan model suara Azure OpenAI, di Uni Eropa (wilayah France Central untuk server)
• Twilio — perutean panggilan telepon dan rekaman
• Stripe — pembayaran kredit (Stripe Payments Europe, Irlandia)
• Brevo — email terkait akun (Prancis)
• Vercel — hosting situs web (Vercel Inc., Amerika Serikat)
• Google — Google Analytics dan Google Ads (Google Ireland Limited), hanya dengan persetujuan Anda (§ 4)
• Meta — piksel Meta (Meta Platforms Ireland Limited), hanya dengan persetujuan Anda (§ 4)
• TikTok — piksel TikTok (TikTok Technology Limited), hanya dengan persetujuan Anda (§ 4)
• Amazon Web Services — hosting Umami, alat pengukuran penggunaan Bx Labs, di Prancis (wilayah Paris), hanya dengan persetujuan Anda (§ 4)
• Convex — hosting Bx Labs OS, alat internal kami (Uni Eropa, Irlandia; § 5 dan § 6)

Apabila penyedia memproses data di luar Uni Eropa (terutama di Amerika Serikat), transfer tersebut dilindungi oleh klausul kontrak standar Komisi Eropa atau oleh Kerangka Privasi Data UE–AS (EU–U.S. Data Privacy Framework).

Berdasarkan Peraturan Umum Perlindungan Data (GDPR) dan Undang-Undang Perlindungan Data Prancis, Anda memiliki hak-hak berikut:

• Hak untuk mengakses data pribadi Anda
• Hak atas perbaikan
• Hak atas penghapusan
• Hak atas pembatasan pemrosesan
• Hak atas portabilitas data
• Hak untuk menolak pemrosesan yang didasarkan pada kepentingan yang sah
• Hak untuk menarik persetujuan Anda kapan saja
• Hak untuk memberikan instruksi mengenai nasib data Anda setelah Anda meninggal dunia

Untuk menggunakan hak-hak tersebut, kirim email ke contact@bxlabs.ai. Jika Anda merasa hak Anda tidak dihormati, Anda dapat mengajukan pengaduan kepada otoritas perlindungan data Prancis (CNIL), 3 place de Fontenoy, 75007 Paris, Prancis, atau di www.cnil.fr/fr/plaintes.

Anda dapat meminta penghapusan seluruh data Anda kapan saja dengan menulis ke contact@bxlabs.ai. Kami akan memproses permintaan Anda dalam waktu 30 hari. Menghapus akun Anda juga menghapus rekaman, transkrip, dan skenario panggilan Anda. Catatan akuntansi yang terkait dengan pembelian Anda disimpan selama jangka waktu yang diwajibkan oleh hukum.

Kami menerapkan langkah-langkah keamanan teknis dan organisasi yang memadai untuk melindungi data pribadi Anda dari akses, perubahan, pengungkapan, atau perusakan yang tidak sah.

Untuk pertanyaan apa pun tentang kebijakan privasi ini, hubungi Bx Labs: contact@bxlabs.ai.