NEMAS – PT. Golden Alura Refineri
Terakhir Diperbarui: 3 September 2026
1. PENDAHULUAN
Golden Alura Refineri (“Perusahaan”, “kami”, atau “GAR”), selaku pengelola Platform Nemas (“Platform”), berkomitmen untuk melindungi Data Pribadi Pengguna sesuai dengan Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi (“UU PDP”) beserta peraturan pelaksanaannya (termasuk PP No. 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik), ketentuan Anti Pencucian Uang dan Pencegahan Pendanaan Terorisme (APU-PPT) berdasarkan UU No. 8 Tahun 2010, serta Peraturan Bappebti yang berlaku terkait Perdagangan Fisik Emas Digital.
Kebijakan Privasi ini merupakan pemberitahuan pemrosesan data sebagaimana dimaksud Pasal 21 dan 22 UU PDP. Dengan mendaftar, mengakses, dan/atau menggunakan Platform Nemas, Anda menyatakan telah membaca, memahami, dan menyetujui ketentuan dalam Kebijakan Privasi ini. Jika Anda tidak menyetujui, mohon untuk tidak melanjutkan penggunaan Platform.
2. DEFINISI
a. Data Pribadi adalah data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya, baik secara langsung maupun tidak langsung, melalui sistem elektronik atau nonelektronik.
b. Data Pribadi Umum meliputi antara lain: nama lengkap, NIK, alamat, email, dan nomor telepon.
c. Data Pribadi Spesifik (sensitif) meliputi: data keuangan pribadi (rekening bank, sumber dana, penghasilan), data biometrik wajah untuk verifikasi, dan data lain sebagaimana dimaksud Pasal 4 UU PDP. Pemrosesan Data Spesifik tunduk pada pengamanan lebih tinggi.
d. Pengendali Data Pribadi adalah PT. Golden Alura Refineri yang menentukan tujuan dan mengendalikan pemrosesan Data Pribadi.
e. Prosesor Data Pribadi adalah pihak ketiga yang memproses Data Pribadi atas nama Pengendali (contoh: penyedia cloud, payment gateway, jasa kurir, penyedia e-KYC).
f. Subjek Data Pribadi / Pengguna / Nasabah adalah individu yang Data Pribadinya diproses oleh Perusahaan.
g. Platform Nemas adalah situs web dan/atau aplikasi mobile yang dikelola oleh PT. Golden Alura Refineri untuk penyediaan layanan perdagangan emas fisik digital.
3. DATA PRIBADI YANG KAMI KUMPULKAN
Kami menerapkan prinsip minimisasi data (Pasal 28 UU PDP). Hanya data yang relevan dan diperlukan untuk tujuan yang sah yang kami kumpulkan.
3.1. Data Identitas dan KYC (e-KYC)
1. Nomor Induk Kependudukan (NIK);
2. Nama lengkap sesuai identitas;
3. Tempat dan tanggal lahir;
4. Jenis kelamin;
5. Alamat sesuai dokumen identitas dan/atau alamat domisili;
6. Kewarganegaraan dan pekerjaan;
7. Nomor Pokok Wajib Pajak (NPWP), apabila dipersyaratkan;
8. Foto selfie dan verifikasi liveness / biometrik wajah untuk pencocokan identitas;
9. Salinan/foto dokumen identitas (KTP atau dokumen lain yang dipersamakan).
Catatan Minimisasi: Walaupun KTP memuat Agama dan Status Perkawinan, Perusahaan TIDAK mengekstraksi, menyimpan secara terstruktur, atau menggunakan data Agama dan Status Perkawinan tersebut. Data tersebut akan dilakukan pengaburan (redaction) otomatis pada sistem OCR dan tidak menjadi basis pemrosesan.
3.2. Data Identitas dan KYC (e-KYC)
1. Alamat email;
2. Nomor telepon/ponsel;
3. Data akun Platform (termasuk riwayat transaksi, saldo emas, dan device ID).
3.3. Data Keuangan dan Transaksi (Data Spesifik)
1. Nama bank dan nomor rekening (wajib atas nama yang sama dengan identitas);
2. Sumber dana dan rata-rata penghasilan (untuk keperluan CDD/EDD APU-PPT);
3. Riwayat transaksi pembelian, penjualan (buyback), penarikan fisik, dan transfer antar Nasabah.
Data ini diklasifikasikan sebagai Data Pribadi Spesifik dan disimpan dengan enkripsi tingkat lanjut.
3.4. Data Teknis dan Perangkat
1. Alamat IP;
2. Jenis perangkat, sistem operasi, dan browser;
3. Data log aktivitas, waktu akses, dan URL penghubung;
4. Informasi cookie dan teknologi pelacakan sejenis (diuraikan pada Bagian Cookie Policy).
3.5. Data yang Tidak Kami Kumpulkan
Kami tidak mengumpulkan data agama, status perkawinan, data kesehatan, data genetika, catatan kejahatan, atau pandangan politik, kecuali diwajibkan secara tegas oleh peraturan perundang-undangan.
4. DASAR HUKUM PEMROSESAN DATA PRIBADI
Pemrosesan dilakukan berdasarkan Pasal 20 UU PDP:
a. Persetujuan eksplisit dari Subjek Data untuk satu atau lebih tujuan tertentu (basis utama);
b. Pelaksanaan kewajiban kontraktual — untuk memenuhi Syarat dan Ketentuan Platform;
c. Pemenuhan kewajiban hukum Pengendali (KYC, CDD, EDD, APU-PPT, pelaporan kepada Bappebti, PPATK, dan otoritas perpajakan);
d. Perlindungan kepentingan vital Subjek Data;
e. Kepentingan umum atau pelaksanaan kewenangan berdasarkan peraturan perundang-undangan; dan/atau.
f. Kepentingan yang sah (legitimate interest) yang telah melalui balancing test, seperti pencegahan fraud dan peningkatan keamanan Platform.
5. TUJUAN PEMROSESAN DATA PRIBADI
a. Melaksanakan pendaftaran, verifikasi identitas (KYC), Customer Due Diligence (CDD), dan Enhanced Due Diligence (EDD);
b. Memproses transaksi pembelian, penjualan (buyback), penarikan emas fisik, dan transfer antar Nasabah;
c. Mengelola akun, saldo emas, riwayat transaksi, dan layanan pelanggan;
d. Memenuhi kewajiban hukum dan pelaporan kepada Bappebti, PPATK, aparat penegak hukum, dan instansi perpajakan;
e. Mencegah, mendeteksi, dan menangani penipuan, pencucian uang, pendanaan terorisme, serta penyalahgunaan layanan;
f. Meningkatkan keamanan, kinerja, dan kualitas Platform (termasuk audit trail);
g. Mengirimkan pemberitahuan terkait transaksi, perubahan layanan, dan informasi penting lainnya (bersifat transactional);
h. Mengirimkan informasi promosi dan penawaran — HANYA berdasarkan persetujuan terpisah / opt-in yang dapat ditarik kapan saja. Tanpa opt-in, kami tidak mengirimkan komunikasi pemasaran.
6. PENGUNGKAPAN DATA PRIBADI KEPADA PIHAK KETIGA
Kami tidak menjual atau menyewakan Data Pribadi. Pengungkapan hanya dilakukan pada:
a. Prosesor Data yang bekerja atas nama kami (penyedia layanan cloud yang telah tersertifikasi ISO 27001, payment gateway, jasa kurir/logistik emas, kustodian/depository, asuransi, penyedia e-KYC/liveness, dan konsultan IT) yang terikat Data Processing Agreement (DPA) dengan kewajiban kerahasiaan dan keamanan setara UU PDP;
b. Otoritas dan instansi pemerintah yang berwenang berdasarkan perintah sah (Bappebti, PPATK, OJK, aparat penegak hukum, otoritas perpajakan);
c. Dalam rangka merger, akuisisi, atau reorganisasi perusahaan, dengan pemberitahuan kepada Subjek Data dan kewajiban menjaga kerahasiaan;
d. Pihak lain sepanjang Anda memberikan persetujuan spesifik.
Daftar kategori Prosesor Data tersedia atas permintaan kepada DPO melalui email info@nemas.id
7. PENYIMPANAN, LOKASI DATA, DAN TRANSFER LINTAS BATAS
a. Lokasi Penyimpanan: Seluruh Data Pribadi disimpan pada pusat data dan pusat pemulihan bencana (data center & disaster recovery center) yang berlokasi di wilayah Negara Kesatuan Republik Indonesia, sesuai PP 71/2019 dan ketentuan Bappebti yang berlaku.
b. Transfer Lintas Batas: Apabila dalam keadaan tertentu pemrosesan dilakukan di luar wilayah Indonesia (misalnya layanan cloud global atau sistem deteksi penipuan), transfer hanya dilakukan ke negara yang memiliki tingkat pelindungan Data Pribadi setara atau lebih tinggi dari UU PDP, atau berdasarkan mekanisme kontraktual yang memadai (Standard Contractual Clauses), dan setelah melakukan penilaian dampak. Transfer lintas batas akan diinformasikan secara transparan.
c. Pengamanan transfer: menggunakan enkripsi end-to-end (TLS 1.2 atau lebih tinggi) dan enkripsi at-rest AES-256.
8. JANGKA WAKTU RETENSI
a. Selama akun aktif dan/atau masih terdapat saldo emas atau kewajiban yang belum diselesaikan;
b. Setelah penutupan akun, Data Pribadi disimpan paling lama 5 (lima) tahun sejak penutupan akun, sesuai kewajiban APU-PPT (Pasal 18 UU No. 8 Tahun 2010) dan ketentuan Bappebti, atau lebih lama apabila dipersyaratkan oleh peraturan perundang-undangan perpajakan atau perintah pengadilan;
c. Setelah jangka waktu retensi berakhir, Data Pribadi akan dihapus secara aman (secure deletion) atau dianonimkan secara irreversibel, dengan dokumentasi internal;
d. Data yang diperlukan untuk sengketa hukum dapat disimpan hingga sengketa berkekuatan hukum tetap.
9. KEAMANAN DATA PRIBADI
Kami menerapkan langkah teknis dan organisatoris sesuai Pasal 35–39 UU PDP dan praktik industri, meliputi:
a. Enkripsi: AES-256 at-rest untuk NIK, rekening, dan data spesifik; TLS 1.2+ in-transit; hashing bcrypt untuk kredensial;
b. Pengendalian Akses: Role-Based Access Control (RBAC), prinsip least privilege, dan Multi-Factor Authentication untuk akses internal;
c. Pseudonimisasi dan segregasi lingkungan production serta development;
d. Pemantauan: SIEM, Intrusion Detection System, logging dan audit trail;
e. Pengujian: Vulnerability Assessment & Penetration Test (VAPT) berkala;
f. Pelatihan APU-PPT dan Perlindungan Data Pribadi bagi karyawan terkait.
Meskipun demikian, tidak ada metode yang 100% aman. Anda wajib menjaga kerahasiaan kredensial (kata sandi, OTP, PIN). Kami tidak pernah meminta OTP atau password melalui email maupun telepon.
10. PEMBERITAHUAN KEGAGALAN PELINDUNGAN DATA PRIBADI
Sesuai Pasal 46 UU PDP, dalam hal terjadi kegagalan pelindungan Data Pribadi (data breach) yang berdampak pada Data Pribadi Anda, kami akan:
a. Memberitahukan secara tertulis kepada Anda paling lambat 3 × 24 jam sejak diketahuinya kegagalan, melalui email terdaftar dan/atau notifikasi dalam Platform, dengan informasi mengenai jenis data yang terdampak, dampak potensial, dan langkah mitigasi yang telah dilakukan;
b. Melaporkan kejadian tersebut kepada Lembaga Pelindungan Data Pribadi dan instansi terkait dalam jangka waktu yang dipersyaratkan peraturan;
c. Melakukan investigasi, penutupan celah, dan tindakan mitigasi untuk mencegah dampak lebih lanjut.
Anda disarankan untuk segera mengganti kata sandi dan mengaktifkan autentikasi multi-faktor apabila menerima notifikasi tersebut.
11. HAK SUBJEK DATA PRIBADI
Sesuai Pasal 5–15 UU PDP, Anda memiliki hak-hak berikut:
a. Hak atas informasi — kejelasan identitas Pengendali, dasar hukum, tujuan, dan akuntabilitas pemrosesan;
b. Hak akses — memperoleh salinan Data Pribadi yang kami proses;
c. Hak perbaikan — memperbaiki Data yang tidak akurat atau tidak lengkap;
d. Hak penghapusan (right to erasure) dalam kondisi tertentu, dengan memperhatikan kewajiban retensi hukum;
e. Hak pembatasan pemrosesan dalam kondisi tertentu;
f. Hak portabilitas data — memperoleh Data Pribadi dalam format terstruktur, umum digunakan, dan dapat dibaca mesin (misalnya CSV/JSON) sepanjang teknis memungkinkan;
g. Hak menarik persetujuan sewaktu-waktu tanpa mempengaruhi keabsahan pemrosesan sebelum penarikan. Penarikan persetujuan untuk tujuan wajib (KYC/APU-PPT) dapat mengakibatkan penghentian layanan;
h. Hak keberatan terhadap pemrosesan berdasarkan kepentingan sah dan terhadap pemrosesan untuk pemasaran langsung;
i. Hak mengajukan pengaduan kepada Lembaga Pelindungan Data Pribadi;
j. Hak terkait pemrosesan otomatis / profiling yang menimbulkan akibat hukum signifikan (apabila diterapkan).
Permintaan dapat diajukan melalui email info@nemas.id . Kami akan melakukan verifikasi identitas dan menindaklanjuti dalam jangka waktu sesuai UU PDP (umumnya maksimal 3 × 24 jam untuk konfirmasi penerimaan dan maksimal 30 hari kalender untuk pemenuhan hak). Permintaan dapat ditolak apabila bertentangan dengan kewajiban hukum kami.
12. BATASAN USIA DAN DATA ANAK
Platform Nemas ditujukan untuk Warga Negara Indonesia berusia minimal 17 (tujuh belas) tahun atau telah menikah dan cakap hukum. Kami tidak secara sengaja mengumpulkan Data Pribadi anak di bawah usia 17 tahun. Apabila kami mengetahui telah mengumpulkan data anak tanpa persetujuan orang tua/wali yang sah, kami akan segera menghapus data tersebut.
13. PENGECUALIAN HAK SUBJEK DATA
Sesuai Pasal 15 UU PDP, pelaksanaan hak Subjek Data dapat dikecualikan untuk:
a. Kepentingan pertahanan dan keamanan nasional;
b. Kepentingan proses penegakan hukum;
c. Kepentingan umum dalam rangka penyelenggaraan negara;
d. Kepentingan pengawasan sektor jasa keuangan, moneter, sistem pembayaran, dan stabilitas sistem keuangan; atau
e. Kepentingan statistik dan penelitian ilmiah dengan anonimisasi.
14. COOKIE POLICY
Bagian ini menjelaskan penggunaan cookie dan teknologi serupa pada Platform Nemas.
14.1. Apa itu Cookie?
Cookie adalah file teks kecil yang ditempatkan pada perangkat Anda saat mengunjungi Platform. Cookie membantu Platform mengingat informasi tentang kunjungan Anda, memudahkan kunjungan berikutnya, dan membuat Platform lebih berguna.
14.2. Jenis Cookie yang Kami Gunakan
a. Cookie Esensial (Wajib) — Diperlukan agar Platform dapat berfungsi dengan baik, termasuk untuk proses login, keamanan sesi, dan manajemen transaksi. Cookie ini tidak dapat dinonaktifkan.
b. Cookie Fungsional — Digunakan untuk mengingat preferensi Anda (misalnya bahasa atau pengaturan tampilan) agar pengalaman penggunaan lebih nyaman.
c. Cookie Analitik / Kinerja — Membantu kami memahami bagaimana Pengguna berinteraksi dengan Platform (contoh: halaman yang paling sering dikunjungi, waktu kunjungan). Data ini digunakan untuk meningkatkan kinerja dan kualitas layanan. Cookie ini hanya aktif berdasarkan persetujuan (opt-in) melalui cookie banner.
d. Cookie Pemasaran — Digunakan untuk menampilkan penawaran yang relevan. Cookie ini hanya aktif apabila Anda memberikan persetujuan opt-in secara terpisah untuk komunikasi pemasaran.
14.3. Dasar Hukum Penggunaan Cookie
Cookie Esensial diproses berdasarkan kepentingan sah dan/atau pelaksanaan kontrak. Cookie non-esensial (Analitik dan Pemasaran) diproses berdasarkan persetujuan Anda yang dapat ditarik kapan saja.
14.4. Pengelolaan Cookie
Anda dapat mengelola preferensi cookie melalui:
Catatan: Menonaktifkan Cookie Esensial dapat menyebabkan sebagian fitur Platform tidak berfungsi dengan optimal, termasuk proses login dan transaksi.
14.5. Cookie Pihak Ketiga
Dalam beberapa kasus, kami menggunakan layanan pihak ketiga untuk analitik (contoh: Google Analytics atau Firebase). Pihak ketiga tersebut memiliki kebijakan privasi sendiri. Kami mendorong Anda untuk membaca kebijakan privasi mereka. Penggunaan cookie pihak ketiga untuk tujuan non-esensial hanya dilakukan setelah Anda memberikan persetujuan.
15. PERUBAHAN KEBIJAKAN PRIVASI
Kami dapat memperbarui Kebijakan Privasi ini dari waktu ke waktu sesuai perubahan hukum atau layanan. Perubahan material akan diberitahukan melalui Platform dan/atau email terdaftar, paling kurang 7 (tujuh) hari kalender sebelum berlaku efektif. Untuk perubahan yang memerlukan persetujuan baru berdasarkan UU PDP, kami akan meminta persetujuan ulang (re-consent). Penggunaan berkelanjutan setelah perubahan efektif dianggap sebagai persetujuan, kecuali peraturan mensyaratkan persetujuan spesifik.
16. KONTAK PENGENDALI DATA PRIBADI DAN PEJABAT PELINDUNGAN DATA
Pengendali Data Pribadi:
Golden Alura Refineri
Pengelola Platform Nemas
Alamat: Kawasan SIER – Jl. Rungkut Industri IV No. 10, Surabaya
Email Layanan Pelanggan:
Email Khusus Perlindungan Data:
Pejabat Pelindungan Data Pribadi (DPO):
Call Center: +62-813-998-911
Apabila perselisihan tidak terselesaikan, Anda berhak mengajukan pengaduan kepada Lembaga Pelindungan Data Pribadi Republik Indonesia dan/atau menempuh jalur hukum sesuai peraturan perundang-undangan yang berlaku di Republik Indonesia.
17. PENUTUP
Kebijakan Privasi & Cookie Policy ini merupakan bagian yang tidak terpisahkan dari Syarat dan Ketentuan Platform Nemas. Hal-hal yang belum diatur merujuk pada peraturan perundang-undangan yang berlaku di Republik Indonesia. Hukum yang berlaku adalah hukum Republik Indonesia.
Dengan menggunakan Platform Nemas, Anda menyatakan telah membaca, memahami, dan menyetujui Kebijakan Privasi & Cookie Policy ini.
Golden Alura Refineri
Pengelola Platform Nemas
Dokumen ini berlaku efektif sejak tanggal pembaruan yang tercantum di atas.
Jelajahi fitur lengkap aplikasi Nemas yang dirancang untuk memudahkan Anda menabung, bertransaksi, dan mengelola aset emas digital secara aman dan transparan.
