Kebijakan Privasi | MurmurHost

1. Versi Singkat

Kami mengumpulkan data minimum yang diperlukan untuk menagih dan mendukung Anda. Kami tidak meminta nama lengkap, alamat, telepon, atau identifikasi pemerintah Anda. Kami menggunakan alat analitik yang di-host sendiri yang tidak menyimpan cookie atau pengidentifikasi pribadi. Kami tidak menjual, membagikan, atau mentransfer data Anda ke jaringan periklanan atau mitra pemasaran. Kami tidak menyimpan data yang berada di server — isi VPS Anda adalah milik Anda dan kami tidak memeriksanya.

Bagian ini adalah ringkasan bahasa sederhana. Ketentuan rinci menyusul.

2. Siapa Kami

Pengontrol data untuk Kebijakan Privasi ini adalah MurmurHost LLC, sebuah perseroan terbatas yang didirikan berdasarkan hukum Republik Seychelles. Kami dapat dihubungi di [email protected] untuk semua korespondensi terkait privasi.

Untuk hal-hal yang diatur oleh Peraturan Perlindungan Data Umum UE (GDPR) di mana kami tidak memiliki perwakilan di Uni Eropa berdasarkan Pasal 27, kami akan menanggapi pertanyaan secara langsung melalui alamat email yang sama.

3. Apa yang Kami Kumpulkan

3.1 Saat pendaftaran

Satu-satunya data yang kami perlukan saat pendaftaran adalah alamat email yang berfungsi. Kami menggunakannya untuk mengirimkan faktur, pemberitahuan layanan, dan korespondensi dukungan. Anda dapat secara opsional memberikan nama tampilan, nama organisasi, yurisdiksi penagihan, atau pengidentifikasi PPN; ini tidak wajib dan hanya disimpan jika Anda memberikannya.

3.2 Saat pembayaran

Untuk pembayaran cryptocurrency, kami mencatat hash transaksi dan jaringan cryptocurrency sehingga kami dapat merekonsiliasi pembayaran dengan faktur Anda. Kami tidak mengaitkan alamat dompet Anda dengan Akun Anda melebihi durasi penyelesaian faktur; setelah faktur diselesaikan, alamat penerima diputar dan tidak disimpan terhadap catatan pelanggan.

Untuk pembayaran kartu jika tersedia (saat ini terbatas pada SKU non-lepas pantai), kami hanya menerima empat digit terakhir kartu dan referensi tokenisasi dari pemroses pembayaran. Kami tidak menyimpan nomor kartu lengkap. Cakupan metode pembayaran lengkap dan hubungan pemroses didokumentasikan di /payment-methods.

3.3 Data operasional

Kami menyimpan alamat IP dari mana panel pelanggan paling baru diakses selama sembilan puluh (90) hari, setelah itu dihapus. Kami menyimpan hash dari seed kata sandi satu kali berbasis waktu (TOTP) jika Anda telah mengaktifkan autentikasi dua faktor. Kami menyimpan stempel waktu login berhasil dan gagal selama sembilan puluh (90) hari untuk tujuan deteksi penipuan.

3.4 Konten dukungan dan tiket

Ketika Anda membuka tiket dukungan, konten tiket Anda — termasuk lampiran apa pun yang Anda bagikan — disimpan di infrastruktur kami untuk durasi yang ditetapkan dalam Bagian 8. Konten tiket diperlakukan sebagai rahasia dan hanya diakses oleh staf dukungan dan teknik yang menangani tiket tersebut.

3.5 Data yang berada di server

Data yang Anda simpan di dalam server pribadi virtual, server khusus, kotak surat, atau Layanan lainnya secara operasional tidak terlihat oleh kami. Kami tidak memeriksa, mencatat, memindai, atau menyalin isi infrastruktur yang dikendalikan pelanggan sebagai hal rutin. Jika kami diharuskan untuk bertindak atas data — misalnya untuk mematuhi perintah pengadilan lokal yang disampaikan dengan benar — kami melakukannya sesuai prosedur di Bagian 7 dan hanya sejauh yang diwajibkan secara hukum.

4. Apa yang Tidak Kami Kumpulkan

Kami tidak mengumpulkan, meminta, atau menyimpan:

Nama lengkap hukum, kecuali dimasukkan secara sukarela untuk penagihan
Alamat pos, kecuali dimasukkan secara sukarela untuk penagihan
Nomor telepon
Dokumen identifikasi yang dikeluarkan pemerintah
Data pelacakan perilaku tentang penjelajahan Anda di situs web di luar analitik yang menghormati privasi yang dirangkum dalam Bagian 5
Pengidentifikasi iklan pihak ketiga (tidak ada Google Ads, Meta Pixel, Twitter pixel, atau pelacak sebanding yang ada di situs pemasaran kami)
Pengidentifikasi lintas situs yang dibagikan dengan broker data

Masuk ke panel pelanggan memerlukan cookie sesi. Cookie sesi sangat penting untuk pengoperasian Layanan dan dibebaskan dari persetujuan ePrivacy UE berdasarkan Pasal 5(3) Recital 25 Directive 2002/58/EC. Cookie tersebut HttpOnly, Secure, SameSite=Lax, dan kedaluwarsa saat Anda keluar atau setelah empat belas (14) hari tidak aktif, mana yang lebih dulu.

5.2 Analitik

Kami menggunakan Plausible Analytics pada instance yang di-host sendiri di bawah kendali kami. Plausible tidak menyetel cookie di browser Anda, tidak mengumpulkan pengidentifikasi pribadi, dan tidak melacak pengguna di seluruh kunjungan atau domain. Metrik agregat yang dihasilkannya — tampilan halaman, perujuk, negara pada tingkat kode negara, dan durasi kunjungan — digunakan untuk mengevaluasi kinerja situs pemasaran dan tidak terkait dengan Akun Anda.

5.3 Tidak ada pelacak pihak ketiga

Situs pemasaran tidak menyertakan Google Analytics, Meta Pixel, Hotjar, Mixpanel, Segment, atau teknologi pelacakan pihak ketiga yang sebanding. Panel pelanggan berjalan di subdomainnya sendiri dan tidak berisi analitik sama sekali.

6. Bagaimana Kami Menggunakan Informasi

Kami menggunakan informasi yang dijelaskan dalam Bagian 3 hanya untuk tujuan berikut:

Pengiriman layanan: penyediaan, pengoperasian, pemeliharaan, dan dukungan Layanan
Penagihan: membuat, mengirimkan, dan merekonsiliasi faktur
Penanganan penyalahgunaan: menyelidiki laporan, berkomunikasi dengan pelanggan yang terkena dampak, dan mematuhi kewajiban hukum
Pemberitahuan layanan: berkomunikasi tentang status layanan, pemeliharaan terjadwal, pembaruan keamanan, dan perubahan material pada Ketentuan atau Kebijakan ini
Komunikasi pemasaran, hanya dengan persetujuan eksplisit: kami mengirim email pemasaran hanya kepada pelanggan yang secara eksplisit memilih masuk. Status Akun default adalah tidak ikut.

7. Berbagi dan Pengungkapan

7.1 Perintah pengadilan

Kami mengungkapkan data kepada otoritas penegak hukum atau yudisial hanya setelah menerima perintah yang disampaikan dengan benar dari pengadilan yang berwenang di salah satu negara tempat kami beroperasi. Kami tidak secara sukarela mengungkapkan data pelanggan kepada otoritas di luar yurisdiksi operasi kami. Perintah pengadilan asing tidak otomatis dihormati; perintah tersebut ditinjau berdasarkan nasihat penasihat lokal dan diungkapkan hanya sejauh yang diwajibkan secara hukum.

7.2 Permintaan Perjanjian Bantuan Hukum Bersama (MLAT)

Permintaan MLAT diproses berdasarkan kasus per kasus. Jika permintaan disampaikan dengan benar dan didukung oleh bukti substantif berdasarkan perjanjian yang relevan, kami bekerja sama sejauh yang diwajibkan secara hukum dan tidak lebih. Jika permintaan tidak disampaikan dengan benar atau gagal memenuhi standar substantif yang relevan, kami menolak.

7.3 Pemroses pihak ketiga

Kami mengandalkan sejumlah kecil pemroses pihak ketiga yang diperlukan untuk mengoperasikan platform:

Mailgun (atau yang setara) untuk pengiriman email transaksional, termasuk pengiriman faktur, reset kata sandi, dan korespondensi penyalahgunaan. Pemroses hanya menerima alamat email dan konten pesan.
BTCPay Server, di-host sendiri di infrastruktur yang kami kendalikan, untuk pemrosesan pembayaran cryptocurrency. Tidak ada pemroses pembayaran kripto pihak ketiga (seperti BitPay atau Coinbase Commerce) yang digunakan untuk Layanan lepas pantai.
PostgreSQL, di-host di infrastruktur yang kami kendalikan, untuk database pelanggan.
UptimeRobot atau pemantauan uptime yang setara, yang hanya menerima nama host publik dan status respons HTTP.

7.4 Tidak ada pemasaran atau periklanan

Kami tidak membagikan, menjual, melisensikan, atau mentransfer data pelanggan ke jaringan periklanan, broker data, atau mitra pemasaran. Kami tidak menjalankan iklan di Layanan dan tidak memonetisasi data pelanggan.

8. Retensi Data

8.1 Akun Aktif

Data pribadi yang terkait dengan Akun aktif disimpan selama durasi Akun.

8.2 Akun yang Dibatalkan

Setelah pembatalan, data pribadi disimpan selama sembilan puluh (90) hari untuk memungkinkan pemulihan jika terjadi pembatalan yang tidak disengaja, kemudian dihapus.

8.3 Catatan penagihan

Catatan penagihan — nomor faktur, jumlah, mata uang, yurisdiksi pendirian jika diberikan, dan pengidentifikasi pajak jika diberikan — disimpan selama tujuh (7) tahun untuk mematuhi kewajiban retensi catatan pajak di yurisdiksi operasi kami.

8.4 Tiket dukungan

Konten tiket dukungan disimpan selama dua belas (12) bulan sejak tiket ditutup, kemudian dihapus.

8.5 Log operasional

Kami tidak menyimpan log sisi server dari aktivitas pelanggan. Secara khusus: kami tidak menulis ke penyimpanan persisten salah satu dari berikut ini — log akses per pelanggan, stempel waktu IP untuk lalu lintas masuk, log riwayat perintah, rekaman sesi konsol, kode keluar cron-job yang ditandai dengan identitas pelanggan, log kueri DNS.

Catatan aliran lalu lintas tepi agregat (NetFlow / IPFIX) disimpan dalam memori volatil di tepi selama paling lama satu (1) jam untuk pengambilan keputusan mitigasi DDoS aktif, tidak pernah ditulis ke penyimpanan persisten, dan tidak pernah dikorelasikan dengan pelanggan.

Upaya login panel pelanggan dilacak hanya dalam memori volatil, untuk satu-satunya tujuan pembatasan laju credential-stuffing. Sesi yang berhasil tidak dicatat ke disk.

Hasilnya tercermin dalam Laporan Transparansi publik kami (https://murmurhost.com/transparency): ketika permintaan yudisial untuk catatan aktivitas pelanggan tiba, catatan yang dihasilkan secara struktural nol karena catatan tersebut tidak dikumpulkan.

9. Transfer Internasional

Data pribadi disimpan di infrastruktur di yurisdiksi tempat Layanan pelanggan digunakan. Panel pelanggan itu sendiri berjalan di infrastruktur di Belanda, dengan replikasi database ke satu lokasi di luar lokasi di Islandia untuk tujuan pemulihan bencana.

Untuk pelanggan yang berdomisili di UE, ini berarti data panel pelanggan melintasi batas internal antara Belanda (di dalam EEA) dan Islandia (di luar EEA tetapi di dalam Wilayah Ekonomi Eropa untuk tujuan perlindungan data). Islandia diakui oleh Komisi Eropa sebagai menyediakan tingkat perlindungan data yang memadai.

10. Hak Anda

Jika Anda adalah individu dalam lingkup GDPR UE, GDPR Inggris, California Consumer Privacy Act (CCPA), atau kerangka kerja privasi yang sebanding, Anda memiliki hak yang ditetapkan dalam peraturan yang berlaku. Hak yang paling umum digunakan adalah:

10.1 Hak akses

Anda dapat meminta salinan data pribadi yang kami simpan tentang Anda. Kami merespons dalam tiga puluh (30) hari.

10.2 Hak perbaikan

Anda dapat mengoreksi data pribadi yang tidak akurat yang kami simpan tentang Anda. Sebagian besar bidang dapat diedit langsung di panel pelanggan; untuk bidang yang tidak dapat, hubungi [email protected].

10.3 Hak penghapusan ("hak untuk dilupakan")

Anda dapat meminta penghapusan data pribadi yang kami simpan tentang Anda. Kami akan menghapusnya kecuali kami memiliki kewajiban hukum untuk menyimpannya (terutama retensi catatan penagihan tujuh tahun di Bagian 8.3, dalam hal ini data pribadi di luar lingkup itu dihapus dan catatan penagihan dianonimkan sejauh mungkin).

10.4 Hak portabilitas data

Anda dapat meminta ekspor data pribadi yang kami simpan tentang Anda dalam format yang dapat dibaca mesin. Ekspor dikirim sebagai JSON, dienkripsi dengan frasa sandi yang Anda berikan.

10.5 Hak pembatasan dan keberatan

Anda dapat meminta kami membatasi pemrosesan data pribadi Anda sementara keluhan atau permintaan koreksi sedang diselidiki, dan Anda dapat menolak pemrosesan berdasarkan alasan kepentingan sah. Penolakan komunikasi pemasaran dihormati segera atas permintaan.

11. Cara Menggunakan Hak Anda

Untuk menggunakan hak apa pun yang dijelaskan dalam Bagian 10, kirim email ke [email protected]. Kami merespons dalam tiga puluh (30) hari. Jika kami mengantisipasi memerlukan waktu tambahan (terutama untuk permintaan penghapusan yang kompleks di mana kami harus memverifikasi lingkup retensi hukum), kami akan memberi tahu Anda dalam tiga puluh (30) hari awal dan menyelesaikan respons dalam maksimum enam puluh (60) hari berikutnya.

Kami tidak mengenakan biaya untuk permintaan rutin. Jika permintaan jelas tidak berdasar, berlebihan, atau berulang, kami dapat mengenakan biaya yang wajar atau menolak untuk bertindak, sebagaimana diizinkan oleh GDPR Pasal 12(5).

12. Tindakan Keamanan

12.1 Enkripsi saat istirahat

Data panel pelanggan, termasuk catatan faktur dan konten tiket dukungan, disimpan dengan enkripsi tingkat disk menggunakan LUKS/dm-crypt dengan AES-XTS-256.

12.2 Enkripsi dalam transit

Semua koneksi antara browser pelanggan, panel pelanggan, dan layanan internal kami menggunakan TLS 1.3 atau, jika TLS 1.3 tidak tersedia di klien, TLS 1.2 dengan suite sandi kuat dan kerahasiaan maju. Kami tidak mendukung TLS 1.0 atau TLS 1.1.

12.3 Kontrol akses

Akses internal ke data pelanggan dibatasi untuk staf dukungan dan teknik yang menangani tiket atau insiden tertentu. Autentikasi dua faktor wajib bagi semua staf yang mengakses antarmuka administrator panel pelanggan.

12.4 Log audit

Akses internal ke data pelanggan dicatat dengan detail yang cukup untuk merekonstruksi siapa yang mengakses apa dan kapan. Log audit disimpan selama sembilan puluh (90) hari.

13. Privasi Anak-anak

Layanan kami tidak ditujukan untuk individu di bawah usia enam belas (16) tahun. Kami tidak dengan sengaja mengumpulkan data pribadi dari anak di bawah ambang batas ini. Jika kami menemukan bahwa kami telah mengumpulkan data pribadi dari anak di bawah ambang batas, kami menghapusnya segera dan mengembalikan pembayaran apa pun yang diterima. Orang tua atau wali yang percaya bahwa anak di bawah umur mereka telah memberikan data pribadi kepada kami harus menghubungi [email protected].

14. Perubahan Kebijakan Ini

Kami dapat memperbarui Kebijakan Privasi ini secara berkala. Perubahan material — yang mempengaruhi kategori data yang kami kumpulkan, tujuan penggunaan data, atau pihak ketiga yang kami bagikan data — diberitahukan melalui email penagihan dan diumumkan melalui spanduk di panel pelanggan selama tiga puluh (30) hari sebelum berlaku. Perubahan non-material (klarifikasi, pemformatan, perbaikan tautan rusak) dapat dilakukan tanpa pemberitahuan sebelumnya; tanggal "Terakhir diperbarui" di bagian atas dokumen ini mencerminkan perubahan terbaru.

15. Kontak

Untuk pertanyaan, permintaan, atau keluhan terkait privasi:

Tim privasi: [email protected]
Tim hukum: [email protected]
Alamat pos: MurmurHost LLC, Republik Seychelles (alamat lengkap diberikan atas permintaan tertulis)

Jika Anda yakin kami gagal mematuhi hukum privasi yang berlaku, Anda memiliki hak untuk mengajukan keluhan kepada otoritas pengawas di yurisdiksi Anda. Untuk penduduk UE, ini adalah otoritas perlindungan data Negara Anggota Anda; untuk penduduk Inggris, Kantor Komisaris Informasi; untuk penduduk California, Badan Perlindungan Privasi California.