Kebijakan Privasi dan Ketentuan Penggunaan melayani tujuan hukum yang benar-benar berbeda, melindungi pihak yang berbeda, dan disyaratkan oleh undang-undang yang berbeda - namun keduanya sering tertukar, digabung secara keliru, atau dihilangkan sepenuhnya. Panduan ini menjelaskan secara tepat apa yang dicakup setiap dokumen, mana yang wajib menurut hukum untuk situs Anda, apa yang harus dimuat masing-masing agar memenuhi regulasi utama termasuk GDPR, dan cara mengelola kedua dokumen seiring layanan Anda berkembang.
Apa itu Kebijakan Privasi?
Kebijakan Privasi adalah dokumen hukum yang mengungkapkan bagaimana situs atau aplikasi Anda mengumpulkan, menggunakan, menyimpan, dan membagikan data pribadi milik pengguna. Dokumen ini ditulis untuk pengguna: tujuannya memberi tahu mereka tentang hak atas data dan praktik data Anda, sehingga mereka dapat membuat keputusan yang tepat apakah akan memakai layanan Anda.
Apa yang termasuk data pribadi
Data pribadi adalah segala informasi yang dapat mengidentifikasi seseorang secara langsung maupun tidak langsung. Cakupannya lebih luas daripada yang umumnya dibayangkan. Termasuk pengenal yang jelas seperti nama, alamat surel, dan nomor telepon, tetapi juga yang kurang jelas: alamat IP, pengenal cookie, sidik jari perangkat, data lokasi, dan bahkan kombinasi data yang bersama-sama mengidentifikasi seseorang. Jika situs Anda memasang cookie, menerima kiriman formulir kontak, atau mencatat data akses server, Anda sedang mengumpulkan data pribadi.
Untuk siapa dan mengapa ada
Kewajiban hukum memiliki Kebijakan Privasi berasal dari otoritas perlindungan data, bukan pengadilan. GDPR (UE), CalOPPA (California), PIPEDA (Kanada), LGPD (Brasil), dan POPIA (Afrika Selatan) masing-masing mewajibkan entitas mana pun yang mengumpulkan data pribadi penduduk yurisdiksinya untuk mengungkapkan praktik datanya. Kebijakan Apple dan Google menambah persyaratan lain: aplikasi apa pun yang mengumpulkan data pengguna harus menautkan ke Kebijakan Privasi yang patuh di halaman tokonya.
Note
Apa itu Ketentuan Penggunaan?
Ketentuan Penggunaan (juga disebut Ketentuan Layanan, Syarat dan Ketentuan, atau Perjanjian Pengguna) adalah kontrak antara Anda dan pengguna yang mengatur cara mereka berinteraksi dengan layanan Anda. Berbeda dari Kebijakan Privasi, dokumen ini tidak terutama membahas data: ia menetapkan aturan penggunaan, membatasi tanggung jawab Anda, melindungi kekayaan intelektual Anda, dan menentukan apa yang terjadi saat timbul sengketa.
Kontrak tanpa pertimbangan bukanlah kontrak. Ketentuan Penggunaan Anda hanya dapat ditegakkan jika pengguna punya kesempatan nyata untuk membacanya dan menyetujuinya sebelum mulai memakai layanan Anda.
Apa yang diatur Ketentuan Penggunaan
- Penggunaan yang diizinkan dan dilarang - apa yang boleh dan tidak boleh dilakukan pengguna di platform Anda
- Kekayaan intelektual - siapa pemilik konten, lisensi apa yang diberikan pengguna kepada Anda, dan apa yang Anda lisensikan kepada mereka
- Pembatasan tanggung jawab - batas ganti rugi, penafian jaminan, dan kewajiban ganti rugi
- Penghentian akun - alasan Anda dapat menangguhkan atau menutup akun pengguna
- Penyelesaian sengketa - klausul arbitrase, pelepasan gugatan kolektif, serta hukum dan yurisdiksi yang berlaku
- Hak mengubah - bagaimana dan kapan Anda dapat mengubah ketentuan serta bagaimana pengguna diberi tahu
Apakah Ketentuan Penggunaan wajib menurut hukum?
Tidak ada undang-undang khusus yang mewajibkan Ketentuan Penggunaan seperti undang-undang perlindungan data mewajibkan Kebijakan Privasi. Namun tanpa itu, Anda tidak punya dasar kontraktual untuk menegakkan aturan terhadap penyalahgunaan, tidak ada batas tanggung jawab yang terdokumentasi, dan tidak ada pengalihan hak kekayaan intelektual yang jelas atas konten buatan pengguna. Untuk layanan apa pun di luar blog yang murni informatif, beroperasi tanpa Ketentuan Penggunaan adalah risiko bisnis yang signifikan meskipun secara teknis tidak ilegal.
Tip
Perbedaan utama keduanya
Kebingungan antara kedua dokumen ini wajar: keduanya perjanjian hukum yang ditampilkan di situs web dan keduanya memakai bahasa formal yang mirip. Namun tujuan, dasar hukum, dan konsekuensi ketidakpatuhannya sepenuhnya berbeda.
| Aspek | Kebijakan Privasi | Ketentuan Penggunaan |
|---|---|---|
| Tujuan utama | Memberi tahu pengguna tentang praktik data | Menetapkan aturan penggunaan layanan |
| Melindungi | Pengguna (hak atas datanya) | Bisnis (tanggung jawab, kekayaan intelektual) |
| Wajib menurut hukum? | ✓ Ya, saat mengumpulkan data pribadi | ✗ Tidak, tetapi sangat dianjurkan |
| Diatur oleh | GDPR, CalOPPA, CCPA, PIPEDA, dll. | Hukum kontrak dan perlindungan konsumen |
| Ditulis untuk | Pengguna, regulator, toko aplikasi | Pengguna dan pengadilan |
| Perlu persetujuan pengguna? | ✓ Di sebagian yurisdiksi (GDPR) | ✓ Penerimaan tersirat atau klik setuju |
| Pemberitahuan pembaruan | ✓ Diwajibkan GDPR untuk perubahan material | ✓ Diperlukan jika ketentuan berubah |
| Bisa digabung jadi satu? | ✗ Sebaiknya tetap terpisah | ✗ Sebaiknya tetap terpisah |
Menggabungkan kedua dokumen menjadi satu berkas "Ketentuan dan Kebijakan Privasi" adalah kesalahan umum. Regulator mengharapkan keduanya terpisah karena fungsinya berbeda. Otoritas pengawas GDPR yang meninjau Kebijakan Privasi Anda seharusnya tidak perlu membaca pembatasan tanggung jawab dan klausul arbitrase Anda untuk menemukan pengungkapan pemrosesan data. Jaga keduanya sebagai dokumen terpisah yang ditautkan dengan jelas.
Mana yang Anda butuhkan menurut hukum?
Jawabannya bergantung pada jenis situs Anda, lokasi pengguna, dan apakah Anda mengumpulkan data pribadi. Pohon keputusan praktisnya singkat.
Apakah Anda mengumpulkan data pribadi dari pengguna?
Jika ya - dan "ya" mencakup memasang cookie, mengumpulkan alamat surel, mencatat alamat IP, atau memakai alat analitik seperti Google Analytics -, Anda perlu Kebijakan Privasi. Ini berlaku terlepas dari besar atau kecilnya situs Anda. GDPR berlaku bagi organisasi mana pun yang memproses data penduduk UE, di mana pun organisasi itu berada.
Apakah Anda punya pengguna terdaftar, akun berbayar, atau konten buatan pengguna?
Jika ya, Anda juga perlu Ketentuan Penggunaan. Setiap layanan tempat pengguna membuat akun, membayar akses, atau mengunggah konten memerlukan aturan yang dapat ditegakkan untuk mengatur hubungan tersebut. Tanpa ketentuan, Anda tidak punya dasar kontraktual untuk menutup akun pengguna yang melanggar aturan Anda, tidak ada pengalihan hak kekayaan intelektual yang jelas atas kontennya, dan tidak ada pembatasan tanggung jawab yang terdokumentasi.
Periksa persyaratan toko aplikasi dan jaringan iklan
Apple App Store mewajibkan tautan Kebijakan Privasi untuk aplikasi apa pun yang mengumpulkan data pengguna. Google Play mewajibkannya untuk semua aplikasi. Google AdSense mewajibkan Kebijakan Privasi yang mengungkapkan penggunaan cookie dan iklan pihak ketiga sebagai syarat persetujuan akun. Jika situs Anda menghasilkan pendapatan iklan, Kebijakan Privasi yang patuh adalah prasyarat monetisasi, bukan sekadar formalitas kepatuhan.
Nilai eksposur yurisdiksi Anda
Jika ada pengguna Anda di UE atau Inggris, GDPR dan UK GDPR berlaku terlepas dari lokasi perusahaan Anda. Jika ada di California, CalOPPA dan CCPA dapat berlaku. Jika ada di Brasil, LGPD berlaku. Sebagian besar situs publik dengan trafik internasional tunduk pada beberapa undang-undang privasi sekaligus - pendekatan praktisnya adalah menulis Kebijakan Privasi yang memenuhi regulasi paling ketat yang berlaku (umumnya GDPR).
Pemeriksa Keterbacaan Teks Persetujuan
Nilai tingkat keterbacaan dan kepatuhan bahasa sederhana untuk Kebijakan Privasi atau Ketentuan Penggunaan Anda - GDPR mewajibkan pemberitahuan privasi ditulis dengan bahasa yang jelas dan mudah dipahami.
Apa yang harus dimuat setiap dokumen
Isi wajib yang spesifik bergantung pada yurisdiksi Anda, tetapi undang-undang privasi utama saling tumpang tindih cukup banyak. Memakai standar paling lengkap sebagai dasar - GDPR - menghasilkan kebijakan yang juga memenuhi sebagian besar regulasi privasi lain.
Isi wajib Kebijakan Privasi menurut GDPR
- Identitas pengendali data - nama badan hukum, alamat terdaftar, dan detail kontak
- Kontak petugas perlindungan data - wajib untuk organisasi tertentu; opsional tetapi praktik baik untuk lainnya
- Kategori data yang dikumpulkan - secara spesifik data pribadi apa yang Anda kumpulkan dan dari sumber mana
- Dasar hukum pemrosesan - untuk setiap kategori data, dasar GDPR mana yang berlaku (persetujuan, kepentingan sah, kontrak, kewajiban hukum)
- Tujuan dan periode penyimpanan - bagaimana setiap kategori data digunakan dan berapa lama disimpan
- Pembagian ke pihak ketiga - semua pihak ketiga yang menerima data pribadi, termasuk penyedia analitik dan iklan
- Hak pengguna - akses, koreksi, penghapusan, portabilitas, penolakan, pembatasan, dan cara menggunakannya
- Otoritas pengawas - hak mengajukan keluhan kepada otoritas perlindungan data yang relevan
Isi wajib Ketentuan Penggunaan
Tidak ada daftar isi wajib menurut hukum untuk Ketentuan Penggunaan: dokumen ini adalah kontrak, dan persyaratan kontrak berbeda menurut yurisdiksi dan jenis layanan. Klausul komersial standar yang sebaiknya Anda sertakan: mekanisme penerimaan (klik atau penggunaan situs), syarat kelayakan (usia, yurisdiksi), pemberian lisensi penggunaan layanan, kepemilikan kekayaan intelektual dan penggunaan yang dilarang, lisensi atas konten buatan pengguna (jika ada), penafian jaminan, pembatasan tanggung jawab, ganti rugi, penyelesaian sengketa dan hukum yang berlaku, serta proses perubahan.
Persyaratan tanggal "terakhir diperbarui"
Kedua dokumen harus menampilkan tanggal revisi material terakhirnya. Ini sekaligus persyaratan hukum menurut GDPR dan kebutuhan praktis: pengguna perlu tahu versi mana yang mereka baca dan apakah berubah sejak terakhir ditinjau. Saat memperbarui salah satu dokumen, selalu perbarui tanggalnya, beri tahu pengguna sesuai ketentuan, dan gunakan Pembanding Ketentuan dan Privasi untuk membuat ringkasan perubahan yang jelas bagi teks pemberitahuan Anda.
Warning
Menjaga kebijakan Anda tetap mutakhir
Kebijakan bukan dokumen sekali jadi. Setiap kali Anda menambah alat analitik, mengubah periode penyimpanan, mengintegrasikan prosesor pembayaran baru, atau memperluas ke yurisdiksi baru, Kebijakan Privasi Anda mungkin perlu diperbarui. Ketentuan Penggunaan perlu diperbarui saat Anda menambah fitur, mengubah model harga, atau perlu merespons jenis penyalahgunaan baru.
Memakai pembanding versi untuk pembaruan kebijakan
Melacak apa yang berubah antaversi kebijakan sangat penting karena dua alasan: Anda perlu tahu apa yang harus dimuat dalam pemberitahuan kepada pengguna, dan regulator dapat meminta riwayat perubahan selama audit. Pembanding Ketentuan dan Privasi membandingkan versi lama dan baru per bagian, menyoroti teks yang berubah, dan menandai istilah sensitif seperti "menjual", "membagikan ke pihak ketiga", dan "mengalihkan" yang butuh perhatian khusus dalam komunikasi ke pengguna. Dengan begitu proses pembaruan dapat diaudit dan teks pemberitahuan mudah disusun.
Kapan memberi tahu pengguna
GDPR mewajibkan pemberitahuan perubahan material pada Kebijakan Privasi sebelum berlaku - biasanya lewat surel ke pengguna terdaftar plus banner di situs. Yang termasuk material mencakup setiap kategori pengumpulan data baru, setiap pembagian ke pihak ketiga baru, setiap perubahan periode penyimpanan, dan setiap transfer data internasional baru. Koreksi tata bahasa kecil atau penyusunan ulang bagian tanpa perubahan substansial biasanya tidak memerlukan pemberitahuan formal, meskipun memperbarui tanggal tetap wajib.
Pembanding Ketentuan dan Privasi
Bandingkan versi lama dan baru kebijakan Anda dengan perbedaan per bagian dan deteksi istilah sensitif - memudahkan penulisan pemberitahuan perubahan dan menjaga riwayat pembaruan Anda tetap dapat diaudit.
Kesalahan umum dan kasus khusus
Sebagian besar masalah kebijakan di situs nyata termasuk dalam kumpulan kesalahan yang bisa diprediksi. Mengetahuinya lebih dulu jauh lebih murah daripada menemukannya saat penyelidikan regulator atau sengketa hukum.
Memakai templat umum tanpa penyesuaian
Templat generator gratis menghasilkan kebijakan yang menggambarkan praktik data situs umum, bukan situs Anda. Jika templat menyatakan "kami tidak memakai cookie" tetapi situs Anda memakai Google Analytics, Anda secara publik menyatakan praktik data yang keliru. Setiap templat harus ditinjau dan diedit agar menggambarkan aliran data Anda yang sebenarnya sebelum dipublikasikan. Pemeriksa Keterbacaan Teks Persetujuan membantu memastikan teks, setelah disesuaikan, tetap terbaca dan tidak terkubur dalam jargon hukum.
Menggabungkan kedua dokumen jadi satu
Sebagian situs menerbitkan satu dokumen "Ketentuan dan Kebijakan Privasi". Regulator tidak menyukainya karena pengungkapan privasi jadi lebih sulit ditemukan - GDPR mewajibkan informasi privasi "mudah diakses". Secara praktis, ini juga menyulitkan pembaruan dokumen secara independen dan pencarian informasi spesifik oleh pengguna. Jaga keduanya sebagai halaman terpisah yang bertautan.
Tidak menangani cookie dan kaitannya dengan banner
Kebijakan Privasi yang mengungkapkan penggunaan cookie harus dirujuk dari banner persetujuan cookie Anda. Banner meminta persetujuan; kebijakan menjelaskan apa yang dicakup persetujuan itu. Jika banner Anda menautkan ke halaman yang tidak benar-benar menjelaskan cookie yang dipakai, persetujuannya tidak sah menurut GDPR. Gunakan Pemeriksa Kepatuhan Banner Cookie untuk memastikan implementasi banner dan rujukan Kebijakan Privasi Anda konsisten, serta Validator Mode Persetujuan untuk memastikan sinyal teknis mode persetujuan Anda sesuai dengan kebijakan yang Anda nyatakan.
Warning
Key takeaways
- Kebijakan Privasi memberi tahu pengguna tentang praktik data dan wajib menurut hukum ketika Anda mengumpulkan data pribadi - termasuk cookie dan analitik.
- Ketentuan Penggunaan menetapkan aturan penggunaan layanan dan melindungi bisnis Anda: tidak diwajibkan hukum, tetapi tanpa itu muncul eksposur tanggung jawab yang signifikan.
- GDPR, CalOPPA, CCPA, dan sebagian besar kebijakan toko aplikasi mewajibkan Kebijakan Privasi; ambangnya adalah mengumpulkan data pribadi apa pun dari pengguna di yurisdiksi tersebut.
- Jaga kedua dokumen sebagai halaman terpisah yang bertautan jelas - menggabungkannya membuat Kebijakan Privasi lebih sulit ditemukan regulator dan pengguna.
- Gunakan Pemeriksa Keterbacaan Teks Persetujuan untuk memastikan kebijakan Anda memenuhi syarat bahasa sederhana GDPR.
- Setiap pembaruan kebijakan yang material memerlukan pemberitahuan kepada pengguna sebelum berlaku - gunakan Pembanding Ketentuan dan Privasi untuk mendokumentasikan perubahannya.
- Templat umum harus disesuaikan dengan praktik data Anda yang sebenarnya sebelum dipublikasikan - kebijakan yang tidak akurat lebih buruk daripada kebijakan sederhana tetapi benar.