Chiwa Pay
Daftar Sekarang

Data & Security

Versi Sebelumnya
Versi saat ini

Versi Sebelumnya
Versi saat ini
Dalam dokumen ini

  1. Keamanan Infrastruktur

    Layanan Chiwa Pay dijalankan menggunakan infrastruktur yang dirancang untuk mendukung keamanan, ketersediaan, dan keandalan sistem. Halaman ini bersifat informatif dan dibaca bersama Syarat dan Ketentuan serta Kebijakan Privasi Chiwa Pay.

    Kontrol keamanan yang diterapkan Chiwa Pay dapat mencakup:

    • Enkripsi data saat transmisi menggunakan protokol yang aman.
    • Kontrol akses berbasis peran (role-based access control).
    • Pemantauan aktivitas sistem dan log operasional.
    • Segmentasi layanan dan pembatasan akses internal.
    • Backup dan prosedur pemulihan layanan.
    • Pembaruan keamanan dan pemeliharaan sistem secara berkala.

    Tidak ada sistem yang dapat dijamin sepenuhnya bebas dari risiko. Chiwa Pay berupaya menjaga keamanan sistem yang berada dalam kendalinya sesuai ketentuan peraturan perundang-undangan yang berlaku, dan Pengguna tetap bertanggung jawab atas keamanan sistem yang berada dalam kendali Pengguna.

  2. Keamanan Akun

    Keamanan akun merupakan tanggung jawab bersama antara Chiwa Pay dan Pengguna.

    Untuk membantu melindungi akun, Pengguna diminta untuk:

    • Menggunakan password yang kuat dan unik.
    • Tidak membagikan OTP kepada siapa pun.
    • Membatasi akses dashboard hanya kepada pihak yang memerlukannya.
    • Meninjau akses pengguna secara berkala.
    • Segera mencabut akses yang tidak lagi digunakan.

    Chiwa Pay dapat meminta verifikasi tambahan sebelum memproses perubahan data sensitif, termasuk perubahan Rekening Pencairan, pemulihan akun, dan/atau perubahan kontak utama.

  3. Keamanan API

    Merchant yang menggunakan API bertanggung jawab menjaga keamanan integrasi yang dibangun pada sistemnya.

    Praktik yang direkomendasikan:

    • Menyimpan API key dan webhook secret pada server yang aman.
    • Tidak menempatkan Kredensial pada aplikasi frontend dan/atau repository publik.
    • Memvalidasi signature pada setiap webhook yang diterima.
    • Memverifikasi status Transaksi melalui API sebelum memproses pesanan.
    • Menerapkan mekanisme idempotency untuk mencegah pemrosesan Transaksi ganda.
    • Merotasi Kredensial secara berkala dan/atau segera apabila terdapat indikasi risiko.

    Apabila ditemukan indikasi kebocoran Kredensial dan/atau penyalahgunaan akses, Chiwa Pay dapat membatasi, menonaktifkan, dan/atau merotasi Kredensial terkait untuk melindungi sistem dan Pengguna, serta akan memberitahukan Pengguna dalam Waktu yang Wajar sebagaimana diatur dalam Syarat dan Ketentuan.

  4. Validasi Transaksi

    Setiap Transaksi harus divalidasi berdasarkan status Transaksi yang tersedia melalui dashboard, API, dan/atau webhook.

    Sebelum menyerahkan produk dan/atau layanan kepada Pelanggan, Merchant wajib memastikan:

    • Status Transaksi telah berhasil diproses.
    • Nominal pembayaran sesuai dengan nilai Transaksi.
    • Reference ID sesuai dengan Transaksi yang dimaksud.
    • Tidak terdapat indikasi duplikasi dan/atau anomali Transaksi.

    Notifikasi pembayaran dari Pelanggan, seperti tangkapan layar atau bukti transfer, tidak boleh dijadikan satu-satunya dasar verifikasi Transaksi.

  5. Pemantauan Risiko

    Chiwa Pay memantau aktivitas akun dan Transaksi, secara otomatis dan/atau manual, untuk mendeteksi pola yang dapat menunjukkan risiko operasional, penyalahgunaan layanan, dan/atau aktivitas yang tidak wajar.

    Tindakan yang dapat dilakukan Chiwa Pay meliputi:

    • Review Transaksi tertentu.
    • Permintaan klarifikasi dan/atau dokumen tambahan.
    • Pembatasan sementara fitur tertentu.
    • Penundaan Settlement.
    • Penolakan Transaksi yang mengandung risiko tinggi.

    Tindakan tersebut dilakukan secara proporsional berdasarkan hasil evaluasi risiko dan kebutuhan kepatuhan yang berlaku, sebagaimana diatur lebih lanjut dalam Syarat dan Ketentuan.

  6. Penanganan Insiden Keamanan

    Apabila Pengguna menduga terjadi akses tidak sah, kebocoran Kredensial, dan/atau aktivitas yang tidak dikenal pada akun, Pengguna diminta untuk:

    1. Segera mengubah password dan Kredensial yang terdampak.
    2. Menonaktifkan dan/atau merotasi API key dan webhook secret yang terkait.
    3. Meninjau aktivitas terbaru pada sistem Pengguna.
    4. Menghubungi tim dukungan Chiwa Pay sesegera mungkin.

    Semakin cepat insiden dilaporkan, semakin cepat tindakan mitigasi dapat dilakukan. Dalam penanganan insiden, Pengguna wajib bekerja sama secara wajar, termasuk menyediakan informasi, log, dan kronologi kejadian yang relevan.

    Apabila terjadi insiden pada sistem Chiwa Pay yang menurut peraturan perundang-undangan wajib diberitahukan, Chiwa Pay akan memberitahukan Pengguna dan/atau pihak berwenang sesuai ketentuan yang berlaku.

  7. Tanggung Jawab Merchant

    Merchant bertanggung jawab atas keamanan sistem, aplikasi, server, perangkat, dan proses operasional yang berada di bawah kendalinya.

    Tanggung jawab tersebut mencakup:

    • Pengelolaan akses internal.
    • Keamanan aplikasi dan server.
    • Penyimpanan Kredensial.
    • Validasi Transaksi.
    • Rekonsiliasi data Transaksi.
    • Kepatuhan terhadap standar keamanan yang relevan bagi bisnis Merchant.

    Kesalahan konfigurasi, implementasi integrasi yang tidak sesuai dokumentasi resmi, dan/atau kegagalan menjaga keamanan sistem internal Merchant dapat meningkatkan risiko Transaksi tidak sah dan gangguan operasional.

  8. Pelaporan Kerentanan

    Apabila Anda menemukan kerentanan keamanan dan/atau perilaku sistem yang berpotensi memengaruhi keamanan layanan, buat ticket melalui aplikasi support Chiwa Pay dengan subject Laporan Kerentanan - ringkasan temuan.

    Sertakan informasi yang relevan, termasuk langkah reproduksi, URL dan/atau endpoint terkait, waktu kejadian, dampak yang teridentifikasi, dan bukti pendukung yang tersedia. Tim support akan meneruskan laporan ke tim teknis untuk ditinjau dalam Waktu yang Wajar.

    Anda dilarang melakukan eksploitasi, pengambilan data, eskalasi akses, dan/atau pengujian yang dapat mengganggu layanan maupun Pengguna lain. Anda juga dilarang mengirimkan password, OTP, API key penuh, data pribadi Pelanggan, dan/atau rahasia produksi yang tidak diperlukan.

    Pengujian keamanan di luar pelaporan sebagaimana dijelaskan di atas tetap tunduk pada larangan dalam Syarat dan Ketentuan, termasuk penetration testing dan load testing tanpa persetujuan tertulis dari PT Chiwa Lentera Nusantara.

    Chiwa Pay tidak akan mengajukan tuntutan hukum terhadap pelapor semata-mata karena penelitian keamanan yang dilakukan dengan itikad baik, sepanjang pelapor membatasi pengujian pada hal yang diperlukan untuk mengonfirmasi temuan, tidak mengakses atau mengambil data melebihi kebutuhan pembuktian, tidak mengganggu layanan, tidak melanggar privasi pihak lain, segera menghentikan pengujian setelah temuan terkonfirmasi atau setelah diminta Chiwa Pay, melaporkan temuan melalui kanal resmi, dan menjaga kerahasiaan temuan sampai Chiwa Pay memberikan izin publikasi.

    Perlindungan tersebut tidak berlaku terhadap pemerasan, ancaman, rekayasa sosial, akses fisik tanpa izin, eksploitasi untuk keuntungan pribadi, pengambilan atau perubahan data, gangguan layanan, pengujian terhadap sistem pihak ketiga, dan/atau tindakan lain yang melanggar hukum. Ketentuan ini tidak dapat mengikat pihak ketiga dan tidak membatasi kewajiban Chiwa Pay untuk melaporkan tindakan yang secara hukum wajib dilaporkan.