Kebijakan Privasi

CUAN University — PT NUTA MAKMUR SEJAHTERA

Terakhir diperbarui: 5 Juli 2026

Kebijakan Privasi ini disusun berdasarkan dan tunduk pada Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP"), serta Regulation (EU) 2016/679 (General Data Protection Regulation atau "GDPR") bagi Pengguna yang berdomisili di wilayah Uni Eropa/EEA, dan peraturan perundang-undangan lainnya yang berlaku di Republik Indonesia.

Harap membaca Kebijakan Privasi ini secara saksama sebelum menggunakan situs web cuanuniversity.id, platform pembelajaran, komunitas, fitur, konten, dan layanan yang Kami sediakan (bersama-sama disebut "Platform").

1. Ketentuan Umum

Perlindungan Data Pribadi adalah prioritas bagi PT Nuta Makmur Sejahtera ("Kami" atau "CUAN University"). Kami berkomitmen melindungi dan menghormati privasi pengguna ("Anda" atau "Pengguna") saat mengakses dan menggunakan Platform.

Dalam pengolahan Data Pribadi Anda, Kami bertindak sebagai Pengendali Data Pribadi (Data Controller) sebagaimana dimaksud Pasal 1 angka 4 UU PDP dan Art. 4(7) GDPR.

Platform ini ditujukan untuk pengguna berusia minimal 18 (delapan belas) tahun. Pengumpulan Data Pribadi anak di bawah umur hanya dapat dilakukan dengan persetujuan orang tua/wali yang terverifikasi sesuai Pasal 25 UU PDP dan Art. 8 GDPR.

Dengan mengunjungi, menggunakan layanan, atau mendaftarkan akun pada Platform, Anda menerima dan menyetujui pendekatan yang diuraikan dalam Kebijakan Privasi ini.

2. Definisi

"Data Pribadi": setiap data tentang orang perseorangan yang teridentifikasi atau dapat diidentifikasi, secara tersendiri atau dikombinasi dengan informasi lain (Pasal 1 angka 1 UU PDP; Art. 4(1) GDPR).
"Data Pribadi Spesifik": data yang memerlukan perlindungan khusus, antara lain data keuangan pribadi, data kesehatan, data biometrik, dan data anak (Pasal 4 ayat (2) UU PDP).
"Pengolahan": pemerolehan, pengumpulan, penganalisisan, penyimpanan, perbaikan, pembaruan, penampilan, pengumuman, transfer, penyebarluasan, pengungkapan, dan/atau penghapusan/pemusnahan Data Pribadi.
"Subjek Data Pribadi": Anda sebagai orang perseorangan yang pada dirinya melekat Data Pribadi.
"Persetujuan": persetujuan yang sah, eksplisit, terinformasi, spesifik, dan diberikan tanpa paksaan.
"Pelanggaran Data Pribadi": kegagalan pelindungan yang mengakibatkan kerusakan, kehilangan, perubahan, pengungkapan, atau akses tidak sah terhadap Data Pribadi.

3. Data Pribadi yang Kami Kumpulkan

3.1 Data yang Anda berikan langsung

Data pendaftaran akun: nama lengkap, alamat email, nomor telepon/WhatsApp;
Data transaksi: riwayat pembelian membership, metode pembayaran yang dipilih, dan (untuk keperluan refund) nama pemilik dan nomor rekening tujuan;
Data profil dan aktivitas belajar: progres modul, jenjang keanggotaan, kehadiran event;
Konten yang Anda unggah: rekaman live untuk sesi bedah, komentar, pertanyaan, dan interaksi di komunitas (termasuk Discord/grup resmi);
Korespondensi dengan customer support melalui email, WhatsApp, atau kanal lain.

3.2 Data yang dikumpulkan secara otomatis

Informasi teknis: alamat IP (dianonimisasi — oktet terakhir dihapus untuk keperluan analitik), informasi login, jenis dan versi browser, sistem operasi, pengaturan zona waktu;
Informasi kunjungan: URL yang diakses (termasuk tanggal dan waktu), produk/halaman yang dilihat, interaksi halaman, dan durasi kunjungan;
Data atribusi pemasaran: parameter UTM (utm_source, utm_medium, utm_campaign, utm_term, utm_content), URL referrer, dan URL halaman tujuan;
Data peristiwa perilaku (behavioral event data): pendaftaran akun, tampilan kelas, peristiwa checkout dan pembayaran, untuk analisis funnel dan retensi.

3.3 Data dari sumber lain

Kami dapat menerima data dari mitra program afiliasi/referral, penyedia pembayaran, penyedia analitik, dan platform media sosial apabila Anda mendaftar melalui akun media sosial (Google/Facebook), sesuai kebijakan penyedia terkait.

3.4 Yang TIDAK Kami kumpulkan

Nomor lengkap kartu kredit, CVV, atau kode keamanan lain — diproses eksklusif oleh penyedia layanan pembayaran yang Kami tunjuk (PT Midtrans Indonesia);
Data biometrik, data genetik, data orientasi seksual, keyakinan agama, atau opini politik;
Rekaman keystroke, perekaman layar, atau pelacakan pergerakan mouse;
Data Pribadi anak di bawah 18 tahun tanpa persetujuan orang tua/wali yang terverifikasi.

4. Dasar Hukum dan Tujuan Pengolahan

Sesuai Pasal 20 UU PDP dan Art. 6 GDPR, Kami hanya mengolah Data Pribadi Anda berdasarkan dasar hukum berikut:

Tujuan Pengolahan	Dasar Hukum UU PDP	Dasar Hukum GDPR
Penyediaan Platform, akun, dan pemenuhan kewajiban membership	Pasal 20(2)(b) — pelaksanaan perjanjian	Art. 6(1)(b)
Pemrosesan pembayaran, refund, dan pencegahan penipuan transaksi	Pasal 20(2)(b) — pelaksanaan perjanjian	Art. 6(1)(b)
Fasilitasi Brand Deal (berbagi data relevan dengan mitra brand)	Pasal 20(2)(a) — Persetujuan	Art. 6(1)(a)
Atribusi pemasaran dan pengukuran kampanye (UTM tracking)	Pasal 20(2)(a) — Persetujuan	Art. 6(1)(a)
Analitik produk, perbaikan UX, analisis cohort dan funnel	Pasal 20(2)(a)/(f) — Persetujuan / kepentingan sah	Art. 6(1)(a)/(f)
Pemenuhan kewajiban perpajakan dan pembukuan	Pasal 20(2)(c) — kewajiban hukum	Art. 6(1)(c)
Komunikasi pemasaran langsung	Pasal 20(2)(a) — Persetujuan terpisah per kanal	Art. 6(1)(a)
Keamanan Platform dan pencegahan kecurangan	Pasal 20(2)(f) — kepentingan sah	Art. 6(1)(f)
Penggunaan testimoni/dokumentasi Anda untuk pemasaran	Pasal 20(2)(a) — Persetujuan eksplisit terpisah	Art. 6(1)(a)

5. Penggunaan Data Pribadi

Kami menggunakan Data Pribadi Anda untuk:

mengidentifikasi dan mendaftarkan Anda sebagai member, serta mengadministrasikan, memverifikasi, dan mengelola akun dan jenjang keanggotaan Anda;
memfasilitasi pembayaran, refund garansi 7 hari, dan penagihan;
menyediakan course, template, sesi bedah live, komunitas, event offline, dan akses Brand Deal;
menghubungkan Anda dengan mitra brand dalam rangka Brand Deal (hanya data yang relevan dan dengan Persetujuan Anda);
mengirim komunikasi layanan (non-promosi): tanda terima, perubahan jadwal, informasi akun, pemberitahuan perubahan kebijakan;
mengirim komunikasi pemasaran apabila Anda telah memberikan Persetujuan terpisah;
memantau dan menganalisis aktivitas serta data demografis pengguna untuk memelihara, mengembangkan, menguji, dan mempersonalisasi Platform;
menjaga keamanan Platform, mencegah kecurangan (termasuk penyalahgunaan garansi refund dan pembajakan konten), dan memenuhi kewajiban hukum.

Data anonim dan agregat. Kami dapat menggunakan data yang telah dianonimisasi atau diagregasi untuk analitik, riset, dan pengembangan produk. Data yang telah dianonimisasi tidak lagi dapat mengidentifikasi Anda dan tidak tunduk pada batasan Kebijakan Privasi ini.

6. Pembuatan Profil dan Keputusan Otomatis

Sesuai Pasal 10 UU PDP dan Art. 22 GDPR, Kami memberitahukan bahwa Kami melakukan profiling untuk:

segmentasi pengguna berdasarkan sumber traffic (analisis UTM);
analisis kohort dan funnel untuk mengukur retensi dan drop-off;
rekomendasi konten/modul yang sesuai progres belajar Anda;
personalisasi materi pemasaran (hanya dengan Persetujuan Anda).

Anda berhak menolak (object) pembuatan profil otomatis dan meminta peninjauan oleh manusia atas keputusan yang diambil semata-mata berdasarkan pemrosesan otomatis. Kami tidak melakukan pengambilan keputusan otomatis yang menimbulkan akibat hukum atau berdampak signifikan terhadap Anda tanpa peninjauan manusia — termasuk kenaikan jenjang keanggotaan dan persetujuan akses Brand Deal, yang selalu melibatkan tinjauan tim Kami.

7. Pengungkapan Data Pribadi

7.1 Penerima Data

Kami dapat membagi Data Pribadi Anda dengan kategori pihak berikut, masing-masing terikat perjanjian pemrosesan data (Data Processing Agreement) sesuai Pasal 51 UU PDP dan Art. 28 GDPR:

Penyedia layanan pembayaran (PT Midtrans Indonesia) untuk pemrosesan transaksi dan refund;
Mitra brand dalam rangka Brand Deal — terbatas pada data yang relevan (nama, kontak, profil live selling) dan hanya dengan Persetujuan Anda;
Penyedia hosting dan infrastruktur cloud untuk operasional Platform;
Penyedia platform komunitas (mis. Discord) sesuai kebijakan privasi platform terkait;
Penyedia layanan email/WhatsApp transaksional untuk komunikasi layanan;
Penyedia analitik yang membantu memperbaiki Platform;
Penasihat profesional (konsultan hukum, auditor, akuntan) di bawah kerahasiaan profesional;
Pemerintah dan lembaga penegak hukum apabila diminta secara sah berdasarkan peraturan perundang-undangan;
Calon pembeli/penjual dalam hal aksi korporasi (akuisisi, merger, penjualan aset), dengan pemberitahuan kepada Anda.

Kami TIDAK menjual, menyewakan, atau memperdagangkan Data Pribadi Anda kepada pihak ketiga manapun untuk imbalan finansial.

7.2 Pengumuman publik

Kami dapat mengumumkan nama dan jenjang keanggotaan Anda melalui Platform atau media sosial Kami untuk pengumuman kompetisi, leaderboard, atau aktivitas komunitas. Anda dapat menolak (opt-out) pengumuman tersebut melalui kontak pada Bagian 15.

8. Transfer Data Internasional

Data Pribadi Anda dapat disimpan atau diolah di luar Indonesia (mis. server cloud atau penyedia layanan global).

Sesuai Pasal 56 UU PDP, transfer ke luar wilayah hukum Indonesia hanya dilakukan apabila negara penerima memiliki tingkat pelindungan setara atau lebih tinggi; apabila tidak, transfer dilakukan dengan (a) jaminan pelindungan yang memadai dan mengikat, atau (b) Persetujuan Anda.

Bagi Pengguna Uni Eropa/EEA, transfer ke luar EEA dilakukan berdasarkan mekanisme Chapter V GDPR, termasuk adequacy decision atau Standard Contractual Clauses (SCC).

9. Penyimpanan dan Retensi Data

Seluruh Data Pribadi disimpan di jaringan yang aman dan seluruh transaksi pembayaran dienkripsi. Kami menerapkan periode retensi yang proporsional:

Kategori Data	Periode Retensi
Data akun dan pendaftaran	Selama akun aktif + 30 hari setelah penutupan
Data analitik dan peristiwa perilaku	12 bulan sejak pengumpulan
Data atribusi pemasaran (UTM)	24 bulan sejak pengumpulan
Data identifikasi anonim dan sesi	12 bulan sejak aktivitas terakhir
Catatan transaksi dan pembayaran	10 tahun (UU Dokumen Perusahaan No. 8/1997)
Log autentikasi dan akses	6 bulan sejak pembuatan
Korespondensi customer support	2 tahun sejak resolusi
Rekaman live yang diunggah untuk sesi bedah	Selama membership aktif + 90 hari
Dokumentasi event offline (dengan Persetujuan pemasaran)	Selama Persetujuan belum ditarik, maksimal 5 tahun

Setelah masa retensi berakhir, Data Pribadi dimusnahkan permanen dari sistem produksi dalam 90 hari dan dari backup dalam 180 hari, kecuali diperlukan untuk legal hold, perintah pengadilan, atau kepatuhan hukum.

10. Hak Anda sebagai Subjek Data Pribadi

Sesuai Pasal 5–14 UU PDP dan Art. 15–22 GDPR, Anda berhak:

Hak atas Informasi (Pasal 5) — memperoleh informasi jelas mengenai identitas Pengendali, dasar hukum, tujuan, dan akuntabilitas pengolahan;
Hak Akses (Pasal 6; GDPR Art. 15) — mengakses dan memperoleh salinan Data Pribadi Anda;
Hak Pembetulan (Pasal 7; GDPR Art. 16) — meminta perbaikan data yang tidak akurat atau tidak lengkap;
Hak Penghapusan (Pasal 8; GDPR Art. 17) — mengakhiri pengolahan dan menghapus/memusnahkan Data Pribadi Anda, kecuali data yang wajib dipertahankan berdasarkan hukum (mis. catatan pembayaran untuk perpajakan);
Hak Menarik Persetujuan (Pasal 9; GDPR Art. 7(3)) — menarik Persetujuan kapan saja tanpa mempengaruhi keabsahan pengolahan sebelum penarikan;
Hak atas Keputusan Otomatis (Pasal 10; GDPR Art. 22) — mengajukan keberatan atas keputusan yang semata-mata didasarkan pemrosesan otomatis, termasuk profiling, dan meminta peninjauan manusia;
Hak Membatasi Pemrosesan (Pasal 11; GDPR Art. 18) — menunda atau membatasi pemrosesan secara proporsional;
Hak Portabilitas Data (Pasal 12; GDPR Art. 20) — memperoleh Data Pribadi dalam format yang lazim dibaca sistem elektronik dan mentransmisikannya ke pengendali lain;
Hak Menuntut Ganti Rugi (Pasal 12) — menggugat dan menerima ganti rugi atas pelanggaran pengolahan Data Pribadi;
Hak Keberatan (GDPR Art. 21) — bagi Pengguna EU/EEA, keberatan atas pengolahan berbasis kepentingan sah termasuk direct marketing.

Pelaksanaan hak: kirim permintaan ke kontak pada Bagian 15. Kami mengonfirmasi penerimaan paling lambat 3 × 24 jam dan menyelesaikan permintaan dalam 30 (tiga puluh) hari kalender; untuk kompleksitas tinggi, dapat diperpanjang hingga 60 hari (atau, bagi Pengguna EU, sesuai batas waktu GDPR Art. 12(3)) dengan pemberitahuan kepada Anda. Kami dapat meminta verifikasi identitas sebelum memproses permintaan.

Menarik Persetujuan atau meminta penghapusan dapat mengakibatkan Anda tidak lagi dapat menggunakan sebagian atau seluruh Layanan.

11. Keamanan Data Pribadi

Langkah teknis dan organisasional yang Kami terapkan meliputi:

Enkripsi data dalam transit menggunakan TLS 1.2 atau lebih tinggi;
Enkripsi Data Pribadi Spesifik dalam penyimpanan menggunakan AES-256;
Hashing kriptografis kredensial autentikasi dengan algoritma standar industri dan salting;
Kontrol akses berbasis peran (role-based access control);
Audit keamanan berkala, pemindaian kerentanan, dan pengujian penetrasi;
Prosedur respons insiden untuk deteksi, isolasi, dan pemulihan.

11.1 Pemberitahuan Pelanggaran Data

Sesuai Pasal 46 UU PDP (dan GDPR Art. 33–34 bagi Pengguna EU), apabila terjadi kegagalan pelindungan Data Pribadi, Kami akan:

memberitahukan secara tertulis kepada Anda dan Lembaga pengawas paling lambat 3 × 24 jam (72 jam) sejak Kami mengetahui kegagalan;
mencantumkan informasi mengenai data yang terungkap, kapan dan bagaimana pengungkapan terjadi, serta upaya penanganan dan pemulihan;
dalam keadaan tertentu, mengumumkan kegagalan tersebut kepada publik.

Transmisi melalui internet tidak sepenuhnya aman; Kami berupaya sebaik mungkin melindungi Data Pribadi dengan standar industri. Anda bertanggung jawab menjaga kerahasiaan kredensial akun dan keamanan perangkat Anda.

12. Kebijakan Cookies

Kami menggunakan banner persetujuan cookies (Cookie Consent Banner) untuk mendapatkan Persetujuan eksplisit sebelum menempatkan cookies non-esensial.

Kategori	Tujuan	Persetujuan
Esensial	Sesi login, keamanan, fungsi dasar Platform	Tidak diperlukan
Fungsional	Mengingat preferensi bahasa, wilayah, kustomisasi	Diperlukan
Analitik	Memahami penggunaan Platform (UTM, cohort, funnel)	Diperlukan
Pemasaran	Iklan yang dipersonalisasi, retargeting	Diperlukan

Anda dapat mengelola atau menghapus cookies melalui pengaturan browser; sebagian fungsi Platform mungkin tidak dapat diakses tanpa cookies esensial.

13. Pengakuan dan Persetujuan

Kebijakan Privasi ini merupakan perjanjian elektronik. Mencentang kotak "Saya menyetujui Kebijakan Privasi" saat pendaftaran merupakan Persetujuan aktif Anda yang sah, eksplisit, terinformasi, spesifik, dan tanpa paksaan (Pasal 22 UU PDP; GDPR Art. 7).

Kami meminta Persetujuan terpisah dan granular untuk:

pengolahan Data Pribadi untuk penyediaan layanan inti (wajib);
berbagi data dengan mitra brand untuk Brand Deal (opsional, saat pengaktifan Brand Access);
komunikasi pemasaran via email (opsional);
komunikasi pemasaran via SMS/WhatsApp (opsional);
komunikasi pemasaran via telepon (opsional);
cookies analitik dan pemasaran (opsional);
profiling untuk personalisasi (opsional);
penggunaan testimoni, nama, foto, atau dokumentasi event Anda untuk materi pemasaran (opsional).

Apabila Anda memberikan Data Pribadi individu lain kepada Kami, Anda menjamin telah memperoleh persetujuan sah dari individu tersebut.

14. Privasi Anak, Materi Pemasaran, dan Perubahan Kebijakan

Privasi anak. Platform ditujukan untuk pengguna 18 tahun ke atas. Apabila Kami mengetahui telah mengumpulkan Data Pribadi anak tanpa persetujuan orang tua/wali yang sah, Kami akan segera menghapusnya (Pasal 25 UU PDP).

Materi pemasaran. Kami hanya mengirim materi pemasaran melalui kanal yang telah Anda setujui. Anda dapat berhenti berlangganan kapan saja melalui tautan unsubscribe pada setiap email atau dengan menghubungi Kami. Pesan non-promosi (tanda terima, informasi akun) tetap dapat dikirim.

Perubahan kebijakan. Perubahan akan diterbitkan pada halaman ini. Untuk perubahan materiil, Kami memberitahukan melalui email dan banner pada Platform paling lambat 30 (tiga puluh) hari sebelum tanggal efektif.

15. Pejabat Pelindungan Data dan Kontak

Sesuai Pasal 53–54 UU PDP, Kami menunjuk Pejabat Pelindungan Data Pribadi (DPO):

Pengendali Data: PT Nuta Makmur Sejahtera (CUAN University) BRIGIF MANSION No. WLD 168, Jl. BRIGIF, Desa/Kelurahan Ciganjur, Kec. Jagakarsa, Kota Adm. Jakarta Selatan, Provinsi DKI Jakarta, Kode Pos 12630

Pertanyaan umum: [email protected]
Privasi & hak Subjek Data / DPO: [email protected]
Pelaporan Pelanggaran Data: [email protected]
WhatsApp/Telepon: [NOMOR RESMI]
Nama DPO: Customer Service - Cuan University
Jabatan: Customer Service

16. Hukum yang Berlaku dan Penyelesaian Sengketa

Kebijakan Privasi ini diatur berdasarkan hukum Republik Indonesia, khususnya UU PDP No. 27/2022. Sengketa diselesaikan melalui:

musyawarah dan mediasi antara Anda dan Kami;
pengaduan kepada Lembaga pelindungan data pribadi sesuai Pasal 60 UU PDP;
apabila tidak tercapai kesepakatan, melalui Pengadilan Negeri Jakarta Selatan.

Bagi Pengguna Uni Eropa/EEA, hak mengajukan keluhan kepada otoritas pelindungan data setempat (supervisory authority) berdasarkan GDPR Art. 77 tetap berlaku.