Data Anda, dan apa yang kami lakukan dengannya.

1. Siapa yang mengendalikan data Anda

Levora (“kami”) adalah Pengendali Data Pribadi sebagaimana dimaksud UU PDP dan data controller menurut GDPR atas seluruh data yang diproses melalui aplikasi Levora Skincare di iOS dan situs levora.id.

Untuk pertanyaan, permintaan, atau keberatan terkait data pribadi Anda, hubungi admin@levora.id.

2. Data yang kami kumpulkan

Kami hanya mengumpulkan data yang dibutuhkan agar layanan berfungsi.

• Data akun — email, nama, nomor telepon, dan foto profil. Password disimpan sebagai hash Argon2id; kami tidak pernah menyimpan dan tidak dapat membaca password Anda dalam bentuk aslinya.
• Identitas masuk pihak ketiga — pengenal unik dan alamat email dari Google atau Apple bila Anda masuk lewat keduanya. Bila Anda memakai Hide My Email dari Apple, yang kami terima hanya alamat relay, bukan alamat asli Anda.
• Data kulit — foto kulit atau wajah yang Anda unggah, keluhan yang Anda tuliskan, kondisi kulit yang terdeteksi AI, narasi hasil analisis, rutinitas yang direkomendasikan, riwayat skor kulit, catatan kepatuhan rutinitas harian, dan produk yang Anda simpan di My Shelf. Ini tergolong Data Pribadi Spesifik menurut UU PDP dan kategori khusus menurut Pasal 9 GDPR.
• Atribut penampilan — bila Anda menyetujui analisis penampilan secara terpisah, tiga atribut yang diturunkan dari foto wajah yang sudah Anda unggah: kedalaman warna kulit, undertone, dan bentuk wajah. Masing-masing berupa satu label dari daftar nilai yang tetap, disimpan sebagai satu profil per akun. Menurunkannya tidak memerlukan pengambilan foto baru, tidak menyalakan sensor baru, dan tidak meminta akses baru ke galeri foto Anda — yang dibaca adalah foto yang sama yang sudah dipakai analisis kulit. Ini tergolong Data Pribadi Spesifik menurut UU PDP dan kategori khusus menurut Pasal 9 GDPR, sama seperti data kulit Anda. Bagian 6 menjelaskan tujuan ini selengkapnya.
• Data transaksi — alamat pengiriman (nama penerima, telepon, alamat, kota, provinsi, kode pos), isi pesanan, dan status pembayaran. Nomor kartu dan detail rekening tidak pernah menyentuh server kami; semuanya ditangani penyedia pembayaran.
• Data perangkat dan keamanan — platform, nama perangkat, pengenal perangkat, token notifikasi, status pengaktifan kunci biometrik, serta alamat IP dan user agent pada percobaan masuk dan permintaan konsultasi. Data ini dipakai untuk mencegah penyalahgunaan akun dan membatasi laju permintaan.

3. Yang tidak kami kumpulkan

Beberapa hal tampak seperti data pribadi tetapi tidak pernah sampai ke kami.

• Pengenal biometrik. Face ID dan Touch ID diverifikasi sepenuhnya oleh iOS di perangkat Anda. Levora hanya menerima jawaban berhasil atau gagal — pemetaan wajah dan sidik jari Anda tidak pernah dikirim ke server kami dan tidak pernah kami simpan. Atribut bentuk wajah pada bagian 6 adalah hal yang berbeda dan jangan tertukar dengan ini: bentuk wajah hanyalah satu label kategori dari tujuh nilai yang mungkin, bukan pemetaan wajah maupun template biometrik, dan tidak dapat dipakai untuk mengenali, mengidentifikasi, atau mengautentikasi siapa pun.
• Koordinat lokasi. Izin lokasi hanya dipakai di perangkat untuk menentukan zona waktu dan nama kota agar pengingat rutinitas muncul pada waktu yang tepat. Koordinat tidak dikirim ke server kami dan tidak disimpan.
• Data pelacakan. Aplikasi tidak memuat SDK iklan atau analitik pihak ketiga, tidak melacak Anda antar aplikasi atau situs, dan tidak membagikan data untuk keperluan periklanan.

4. Dasar hukum pemrosesan

Setiap pemrosesan berdiri di atas salah satu dasar berikut.

• Pelaksanaan perjanjian — membuat akun, menjalankan pesanan, dan mengirimkan produk.
• Persetujuan eksplisit — memproses foto dan hasil analisis kulit. Karena ini data kesehatan, kami meminta persetujuan tersendiri dan Anda dapat menariknya kapan saja tanpa memengaruhi keabsahan pemrosesan yang sudah terjadi.
• Persetujuan eksplisit yang diminta terpisah lagi — menurunkan atribut penampilan dari foto yang sama. Ini tujuan pemrosesan kedua, bukan perluasan dari yang pertama: layar persetujuannya sendiri, catatannya sendiri, dan penarikannya sendiri. Menyetujui yang satu tidak berarti menyetujui yang lain.
• Kepentingan sah — menjaga keamanan akun, mencegah penyalahgunaan, dan membatasi laju permintaan.
• Kewajiban hukum — menyimpan catatan transaksi sepanjang diwajibkan peraturan perpajakan dan pembukuan.

5. Bagaimana foto kulit Anda diproses

Analisis kulit tidak pernah berjalan tanpa persetujuan Anda. Sebelum analisis pertama, aplikasi menampilkan layar persetujuan yang menyebutkan data apa yang dikirim, siapa penerimanya dan di negara mana, serta untuk apa data itu dipakai. Anda bebas menolak, dan bagian aplikasi lainnya tetap dapat dipakai — hanya analisis kulit yang tidak tersedia.

Persetujuan itu dapat Anda tarik kapan saja lewat Profil di dalam aplikasi. Begitu ditarik, permintaan analisis berikutnya langsung ditolak dan tidak ada data yang dikirim sampai Anda menyetujuinya lagi. Hasil analisis yang sudah terlanjur dibuat tetap tersimpan; untuk menghapusnya, gunakan penghapusan akun pada bagian 10. Bila teks persetujuan kami ubah secara material, kami meminta persetujuan ulang sebelum analisis berikutnya berjalan.

Analisis dijalankan oleh Anthropic (model Claude) di Amerika Serikat sebagai penyedia layanan kami. Anthropic tidak memakai masukan API untuk melatih modelnya.

Hasil analisis merupakan saran perawatan kulit, bukan diagnosis medis, dan tidak menghasilkan keputusan otomatis yang menimbulkan akibat hukum bagi Anda. Anda bebas mengabaikannya.

Setiap analisis yang Anda setujui mengirimkan data berikut, dan hanya data berikut:

• Foto kulit atau wajah — sebelum dikirim, foto diubah ukurannya dan seluruh metadatanya, termasuk EXIF dan data lokasi kamera, dihapus.
• Keluhan kulit yang Anda tulis sendiri.
• Konteks pemeriksaan Skin Loop, bila Anda mengisinya — alasan memindai lebih awal, tingkat keparahan, gejala, lama gejala, dan treatment terakhir.
• Produk My Shelf yang Anda tandai sebagai tersangka — nama, kategori, dan bahan yang Anda masukkan sendiri. Produk lain di My Shelf tidak ikut dikirim.

Untuk keluhan yang serius, menetap, atau memburuk, temui dokter atau dokter spesialis kulit.

6. Bagaimana atribut penampilan Anda diproses

Selain analisis kulit, Levora dapat membaca foto wajah yang sama untuk tujuan kedua: mengetahui atribut yang menjadi dasar saran penampilan sehari-hari, misalnya warna atau gaya yang cocok untuk Anda. Ini tujuan yang terpisah dengan layar persetujuan dan catatan persetujuannya sendiri — bukan perluasan dari analisis kulit, dan menyetujui yang satu tidak pernah berarti menyetujui yang lain.

Menurunkan atribut ini tidak memerlukan pengambilan foto baru, tidak menyalakan sensor baru, dan tidak meminta akses baru ke galeri foto Anda. Yang dibaca adalah foto yang sudah Anda kirimkan untuk analisis kulit, dalam permintaan yang sama dengan analisis kulit itu.

Dari foto itu kami menurunkan tiga atribut, dan tidak lebih dari itu: kedalaman warna kulit, undertone, dan bentuk wajah. Masing-masing berupa satu label yang dipilih dari daftar nilai yang tetap — bentuk wajah, misalnya, adalah satu dari tujuh nilai yang mungkin. Kami menyimpan satu profil semacam itu per akun, yang diperbarui oleh pemindaian Anda yang terbaru. Kami juga menyimpan ukuran internal tentang seberapa yakin analisis pada tiap atribut; ukuran itu tidak pernah ditampilkan kepada Anda sebagai nilai. Bila foto terlalu gelap atau terlalu tertutup sehingga sebuah atribut tidak terbaca, atribut itu dilewati alih-alih ditebak, dan nilai yang sudah kami simpan sebelumnya tetap seperti semula.

Anthropic (model Claude) di Amerika Serikat menjalankan analisis ini sebagai penyedia layanan kami, dalam permintaan yang sama dengan analisis kulit. Anthropic tidak memakai masukan API untuk melatih modelnya. Atribut ini tergolong Data Pribadi Spesifik menurut UU PDP dan kategori khusus menurut Pasal 9 GDPR, dan dasar hukum pemrosesannya adalah persetujuan Anda.

Sama pentingnya, berikut yang tidak dilakukan analisis ini:

• Tidak menilai atau memberi skor pada penampilan Anda, dan tidak menghakimi daya tarik. Tidak ada skor kecantikan di mana pun dalam Levora.
• Tidak menyimpulkan usia, berat badan, etnis, atau ras Anda, dan tidak membuat klaim kesehatan maupun medis apa pun dari atribut ini.
• Bukan pengenalan wajah. Atribut ini tidak dapat dipakai untuk mengenali Anda, tidak pernah dipakai untuk mengidentifikasi atau mengautentikasi Anda, dan tidak pernah dicocokkan dengan orang lain.

Anda boleh menolak analisis penampilan dan tetap memakai analisis kulit seperti sebelumnya, dan Anda dapat menarik persetujuan penampilan kapan saja lewat Profil di dalam aplikasi. Sejak pemindaian berikutnya, atribut ini tidak lagi diturunkan; untuk menghapus atribut yang sudah tersimpan, gunakan penghapusan akun pada bagian 10.

7. Pihak ketiga yang menerima data

Kami tidak pernah menjual data pribadi. Kami membagikannya hanya kepada penyedia layanan yang kami butuhkan untuk menjalankan Levora, sebatas yang diperlukan.

• Anthropic (Amerika Serikat) — menganalisis foto kulit, keluhan, dan konteks pemeriksaan Anda, hanya setelah Anda menyetujuinya. Bila Anda juga menyetujui analisis penampilan, permintaan yang sama menurunkan kedalaman warna kulit, undertone, dan bentuk wajah Anda.
• Supabase (Singapura) — basis data dan penyimpanan berkas.
• Google Cloud (Singapura) — menjalankan server API kami.
• Google dan Apple — memverifikasi identitas saat Anda masuk memakai akun mereka.
• Xendit (Indonesia) — memproses pembayaran pesanan.
• Mitra logistik — mengirimkan pesanan ke alamat Anda.
• Hostinger — mengirim email transaksional seperti konfirmasi akun dan atur ulang password.

8. Pengiriman data ke luar negeri

Server kami berada di Singapura dan analisis AI berlangsung di Amerika Serikat. Untuk pengiriman data ke luar wilayah Indonesia maupun ke luar Wilayah Ekonomi Eropa, kami memastikan pihak penerima menerapkan tingkat pelindungan yang setara melalui perjanjian pemrosesan data dan klausul kontraktual baku, sesuai Pasal 56 UU PDP dan Bab V GDPR.

9. Berapa lama data disimpan

Kami tidak menyimpan data lebih lama dari yang diperlukan.

• Foto kulit dan wajah — kami hanya menyimpan 10 foto terbaru per akun. Foto yang lebih lama dihapus otomatis dari penyimpanan berkas seiring Anda melakukan analisis baru.
• Data akun dan data kulit lainnya (hasil analisis, rutinitas, riwayat skor kulit) — selama akun Anda aktif.
• Atribut penampilan — kedalaman warna kulit, undertone, dan bentuk wajah disimpan sebagai satu profil per akun selama akun Anda aktif. Pemindaian baru yang Anda setujui memperbarui profil itu, bukan menambah catatan baru, sehingga yang kami simpan adalah nilai terkini dan bukan riwayatnya. Menghapus akun akan menghapus profil ini bersama data Anda yang lain.
• Sesi masuk — token penyegar kedaluwarsa 30 hari sejak diterbitkan.
• Tautan berkas — URL bertanda tangan untuk foto berlaku maksimal 24 jam.
• Catatan percobaan masuk — disimpan sebatas kebutuhan keamanan, lalu dihapus.
• Catatan persetujuan analisis AI — untuk tiap tujuan yang ditanyakan kepada Anda, versi teks yang Anda setujui beserta waktu persetujuan dan penarikannya disimpan selama akun Anda aktif, sebagai bukti dasar hukum pemrosesan. Menarik persetujuan menandai catatan itu, bukan menghapusnya.
• Setelah akun dihapus — seluruh data milik Anda dihapus permanen dari basis data dan penyimpanan berkas. Catatan transaksi yang wajib kami simpan menurut peraturan perpajakan disimpan terpisah dalam bentuk terbatas.

10. Hak Anda atas data

UU PDP dan GDPR memberi Anda hak-hak berikut, dan kami menghormatinya tanpa memandang di mana Anda tinggal.

• Mengakses data Anda dan memperoleh salinannya.
• Memperbaiki data yang keliru atau tidak lengkap.
• Menghapus data Anda. Anda dapat melakukannya sendiri kapan saja lewat Profil → Hapus Akun di dalam aplikasi, tanpa perlu menghubungi kami lebih dulu.
• Membatasi atau menolak pemrosesan tertentu.
• Memperoleh data Anda dalam format yang dapat dibaca mesin dan memindahkannya ke penyedia lain.
• Menarik persetujuan kapan saja, langsung lewat Profil di dalam aplikasi. Analisis kulit dan analisis penampilan disetujui secara terpisah dan ditarik secara terpisah: menolak atau menarik persetujuan penampilan membuat analisis kulit tetap berjalan persis seperti sebelumnya, dan tidak memengaruhi apa pun yang lain di aplikasi. Menarik persetujuan analisis kulit menghentikan pemindaiannya, dan analisis penampilan ikut berhenti karena tidak ada lagi pemindaian yang bisa dibaca.
• Mengajukan keluhan kepada lembaga pelindungan data pribadi di Indonesia, atau kepada otoritas pengawas di negara Anda bila berada di Wilayah Ekonomi Eropa.

Kirim permintaan ke admin@levora.id. Permintaan ini gratis dan kami tanggapi selambat-lambatnya dalam 30 hari — lebih cepat bila peraturan yang berlaku mengharuskannya.

11. Bagaimana kami mengamankan data

Password di-hash dengan Argon2id dan seluruh lalu lintas berjalan di atas HTTPS. Foto disimpan pada penyimpanan privat yang hanya dapat diakses lewat URL bertanda tangan berumur pendek, dan basis data dilindungi row level security sehingga satu akun tidak dapat membaca data akun lain. Akun terkunci sementara setelah lima kali percobaan masuk gagal, dan permintaan ke API dibatasi lajunya.

12. Bila terjadi kebocoran data

Bila terjadi kegagalan pelindungan data pribadi, kami memberitahukannya kepada Anda dan kepada lembaga yang berwenang paling lambat 3×24 jam sejak kami mengetahuinya sebagaimana diwajibkan UU PDP, serta dalam 72 jam kepada otoritas pengawas bagi pengguna di Wilayah Ekonomi Eropa. Pemberitahuan itu menjelaskan data apa yang terdampak dan langkah yang kami ambil.

13. Anak-anak

Levora tidak ditujukan bagi anak di bawah 17 tahun. Bila Anda berada di bawah usia tersebut, pemakaian layanan ini memerlukan persetujuan orang tua atau wali. Bila kami mengetahui telah mengumpulkan data anak tanpa persetujuan yang sah, kami menghapusnya.

14. Perubahan kebijakan

Bila kebijakan ini berubah secara material, kami memberitahukannya di dalam aplikasi atau lewat email sebelum perubahan berlaku. Tanggal berlaku di bagian atas halaman selalu menunjukkan versi terkini.

15. Hubungi kami

Pertanyaan, permintaan pelaksanaan hak, atau keberatan mengenai data pribadi Anda dapat dikirim ke admin@levora.id.