Siapa kami

Layanan ini bernama "Mekar", dijalankan oleh timnya yang berbasis di Indonesia (selanjutnya disebut "Mekar", "kami", atau "tim Mekar"). Mekar belum berbentuk badan hukum terpisah; bila dan ketika sebuah entitas terdaftar resmi mengoperasikan Mekar, identitasnya adalah [[OPERATOR_LEGAL_NAME]].

Dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi ("UU PDP"), kami bertindak sebagai Pengendali Data Pribadi atas data yang kamu masukkan ke Mekar.

Pertanyaan, permintaan, atau keluhan soal privasi bisa kamu kirim ke: mekar@beyondertech.com.

[[CONFIRM_WITH_COUNSEL]] UU PDP mensyaratkan penunjukan Pejabat Pelindungan Data (DPO) untuk pengendali yang memproses data pribadi dalam skala besar atau data bersifat spesifik sebagai kegiatan inti. Karena Mekar memproses data kesehatan reproduksi, perlu konfirmasi apakah ambang batas ini sudah terlampaui dan apakah DPO wajib ditunjuk.

Dasar hukum: persetujuanmu

Data yang kamu catat di Mekar — tanggal haid, gejala, mood, catatan jurnal — termasuk "data pribadi yang bersifat spesifik" menurut Pasal 4 ayat (2) UU PDP, karena menyangkut kesehatan reproduksi, seksual, dan mental kamu. Kategori data ini mendapat perlindungan tingkat tertinggi.

Dasar hukum kami untuk memproses data spesifik ini adalah PERSETUJUAN (consent) kamu yang sah, spesifik, dan dapat ditarik kembali. Kamu memberikan persetujuan ini saat membuat akun dan saat memasukkan data kesehatan. Kamu bebas tidak memasukkan data apa pun, dan kamu bisa menarik persetujuan kapan saja (lihat bagian "Hak kamu").

Kami tidak akan memakai data kesehatan spesifik kamu untuk tujuan baru yang tidak dijelaskan di sini tanpa meminta persetujuan terpisah dulu.

Data yang kami kumpulkan & tujuannya

Kami hanya mengumpulkan data yang dibutuhkan agar Mekar berfungsi. Berikut daftar lengkapnya:

•Data akun — alamat email dan kata sandi (kata sandi disimpan dalam bentuk ter-hash, kami tidak pernah melihat kata sandi aslimu). Tujuan: membuat dan mengamankan akunmu, mengirim email verifikasi dan reset kata sandi.

•Nama tampilan & "anon handle" — nama panggilan opsional dan handle anonim otomatis. Tujuan: menampilkan identitasmu di aplikasi dan menjaga anonimitasmu di komunitas.

•Data siklus — tanggal haid terakhir, rata-rata panjang siklus dan panjang haid, serta tujuan penggunaanmu (melacak / merencanakan / program hamil / memantau gejala). Tujuan: menghitung prediksi siklus dan ovulasi.

•Catatan haid — tanggal mulai/berhenti, deras-tidaknya aliran, dan catatan. Tujuan: melacak riwayat haidmu dan menajamkan prediksi.

•Catatan harian — mood, tingkat energi, jam tidur, gelas air, daftar gejala, dan jurnal teks bebas. Tujuan: membantumu memahami pola tubuh dan menampilkan insight harian.

•Streak — jumlah hari berturut-turut kamu mencatat. Tujuan: fitur kebiasaan/streak.

•Komunitas anonim — judul, isi postingan, balasan, dan "love" yang kamu kirim, ditampilkan dengan anon handle (bukan email atau nama aslimu). Tujuan: menjalankan forum komunitas. Ingat: apa pun yang kamu tulis di forum terlihat oleh pengguna lain — jangan tulis hal yang bisa mengidentifikasimu kalau kamu ingin tetap anonim.

•Data teknis — alamat IP, jenis browser/perangkat (user agent), dan sesi login. Tujuan: keamanan, mencegah penyalahgunaan, dan menjaga kamu tetap login.

•Data calon pengguna (lead) — kalau kamu memasukkan email di halaman pendaftaran sebelum punya akun, kami simpan email, bahasa, dan data teknis itu untuk mengabari saat layanan siap.

Mekar TIDAK mengumpulkan data lokasi presisi (GPS), kontak telepon, atau data biometrik.

Kami tidak menjual data kamu

Kami tidak menjual, menyewakan, atau menukar data pribadimu kepada siapa pun. Mekar tidak menampilkan iklan dan tidak membagikan data kesehatanmu ke pengiklan atau broker data.

Kami hanya berbagi data dengan pihak ketiga yang kami butuhkan untuk menjalankan layanan, yaitu:

•Hostinger — penyedia hosting server dan email kami. Data Mekar disimpan di server yang dikelola lewat Hostinger; pusat datanya berada di Indonesia dan/atau Uni Eropa. [[CONFIRM_WITH_COUNSEL]] Lokasi pusat data persisnya perlu dipastikan, karena UU PDP mengatur syarat transfer data pribadi ke luar wilayah Indonesia (Pasal 56) — jika data disimpan di luar negeri, perlu memastikan negara tujuan punya tingkat pelindungan yang setara atau memenuhi salah satu dasar transfer yang sah.

Selain itu, kami dapat membuka data jika diwajibkan oleh hukum yang berlaku (misalnya perintah pengadilan atau permintaan resmi penegak hukum yang sah). Kalau ini terjadi dan kami diizinkan secara hukum untuk memberitahumu, kami akan berusaha melakukannya.

Mekar saat ini belum mengintegrasikan layanan pembayaran. [[CONFIRM_WITH_COUNSEL]] Sebelum fitur berbayar (Plus/Duo) diaktifkan, kebijakan ini harus diperbarui untuk menjelaskan prosesor pembayaran (mis. Midtrans) dan data transaksi yang mereka proses.

Bagaimana kami menjaga data kamu

Kami mengambil langkah keamanan yang wajar untuk melindungi datamu:

•Data dienkripsi saat dikirim antara perangkatmu dan server kami (HTTPS/TLS).

•Kata sandi disimpan dalam bentuk ter-hash, bukan teks biasa.

•Akses login dijaga dengan sesi yang punya masa berlaku.

Supaya jujur: kami BELUM menerapkan enkripsi end-to-end maupun enkripsi data saat disimpan (encryption at rest) di basis data. Tidak ada sistem yang 100% aman, dan kami tidak akan mengklaim sebaliknya. Kami juga tidak memegang sertifikasi keamanan resmi atau pendaftaran pemerintah apa pun yang menjamin keamanan ini.

Kalau terjadi kebocoran data pribadi, UU PDP mewajibkan kami memberi tahu kamu dan otoritas pengawas paling lambat dalam 3×24 jam sejak kami mengetahuinya. Kami akan menjelaskan data apa yang terdampak dan langkah yang bisa kamu ambil.

[[CONFIRM_WITH_COUNSEL]] Mengingat ini data kesehatan spesifik, sebaiknya prosedur tanggap-kebocoran (siapa lapor, ke mana, format pemberitahuan) ditinjau dan, idealnya, enkripsi-saat-disimpan diterapkan sebelum skala pengguna membesar.

Berapa lama kami menyimpan data

Kami menyimpan datamu selama akunmu aktif, supaya prediksi dan riwayatmu tetap ada.

Kalau kamu menghapus akun, semua data pribadimu (akun, siklus, catatan harian, jurnal, dan postingan komunitas) dihapus permanen dari basis data kami — ini penghapusan tuntas (hard delete), bukan sekadar disembunyikan.

Data calon pengguna (lead) dan token verifikasi/reset kata sandi yang sudah tidak terpakai akan dibersihkan secara berkala, paling lama dalam 12 bulan. [[CONFIRM_WITH_COUNSEL]] Jangka waktu retensi ini (termasuk apakah ada data yang wajib disimpan lebih lama karena kewajiban hukum tertentu) sebaiknya ditinjau.

Salinan cadangan (backup) sistem dapat menyimpan data terhapus untuk waktu terbatas sebelum siklus backup menggantinya.

Hak kamu atas data

UU PDP memberimu hak yang nyata atas data pribadimu, dan Mekar sudah menyediakan caranya langsung di dalam aplikasi:

•Akses & ekspor — kamu bisa melihat dan mengunduh datamu lewat fitur ekspor data di halaman Pengaturan.

•Hapus — kamu bisa menghapus akun dan seluruh datamu kapan saja lewat halaman Pengaturan (penghapusan tuntas).

•Perbaikan — kamu bisa mengoreksi data yang keliru langsung di aplikasi.

•Tarik persetujuan — kamu bisa berhenti memberikan data baru, atau menghapus akun untuk menarik persetujuan sepenuhnya. Menarik persetujuan tidak membatalkan pemrosesan yang sudah sah dilakukan sebelumnya.

Kalau kamu kesulitan menjalankan salah satu hak ini, atau ingin mengajukan keberatan, hubungi kami di mekar@beyondertech.com dan kami akan menanggapi sesuai UU PDP. Kamu juga berhak mengajukan pengaduan ke otoritas pelindungan data pribadi yang berwenang di Indonesia.

Usia & data anak

Mekar ditujukan untuk pengguna dewasa. Kamu harus berusia minimal 18 tahun untuk membuat akun sendiri. Pengguna berusia 13 hingga 17 tahun hanya boleh menggunakan Mekar dengan persetujuan dan pendampingan orang tua atau wali yang dapat diverifikasi. Kami tidak menujukan Mekar untuk anak di bawah 13 tahun.

[[CONFIRM_WITH_COUNSEL]] Ambang usia ini perlu dikonfirmasi pengacara. UU PDP mengategorikan data anak sebagai data yang butuh perlindungan khusus dan mewajibkan persetujuan orang tua/wali (Pasal 25–26), tapi tidak menetapkan satu angka usia dewasa digital yang baku. Saat ini aplikasi BELUM punya mekanisme verifikasi usia maupun verifikasi persetujuan orang tua, dan FAQ pada situs pernah mengundang pengguna pra-haid — hal ini sedang diperbaiki dan harus diselesaikan sebelum pemasaran berbayar.

Kalau kamu meyakini seorang anak telah memberikan data ke Mekar tanpa persetujuan orang tua/wali yang sah, hubungi kami di mekar@beyondertech.com agar kami bisa menghapusnya.

Bukan nasihat medis

Mekar adalah alat bantu pelacakan dan edukasi, BUKAN alat medis (medical device) dan BUKAN alat kontrasepsi.

Prediksi haid, ovulasi, masa subur, dan insight harian hanyalah perkiraan berdasarkan data yang kamu masukkan — bukan diagnosis dan tidak boleh dijadikan satu-satunya dasar untuk mencegah atau merencanakan kehamilan.

Mekar tidak menggantikan nasihat, diagnosis, atau perawatan dari tenaga kesehatan profesional. Untuk keputusan kesehatan apa pun — termasuk kontrasepsi, kesuburan, atau gejala yang mengkhawatirkan — konsultasikan dengan dokter atau bidan.

Cookie

Saat ini Mekar hanya memakai cookie yang benar-benar diperlukan: cookie sesi untuk menjagamu tetap login, dan cookie preferensi bahasa (id/en). Kami tidak memakai cookie pelacak iklan.

Kalau nanti kami menambahkan analitik atau alat pengukuran lain, kami akan memperbarui kebijakan ini dan menampilkan pemberitahuan cookie yang sesuai sebelum mengaktifkannya.

Perubahan kebijakan

Kami dapat memperbarui Kebijakan Privasi ini seiring berkembangnya Mekar. Kalau ada perubahan penting yang memengaruhi caramu, kami akan memberi tahu lewat aplikasi atau email sebelum perubahan berlaku. Tanggal "Terakhir diperbarui" di atas selalu menunjukkan versi terbaru.

Hukum yang berlaku & kontak

Kebijakan ini diatur oleh hukum Republik Indonesia, termasuk UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Untuk pertanyaan privasi apa pun, hubungi: mekar@beyondertech.com.

Catatan: dokumen ini adalah draf informasional, bukan nasihat hukum. Sebelum pemasaran berbayar atau peningkatan skala pengguna, dokumen ini akan ditinjau oleh advokat berlisensi di Indonesia.

Who we are

This service is called "Mekar", run by its team based in Indonesia (referred to here as "Mekar", "we", or "the Mekar team"). Mekar is not yet a separate legal entity; if and when a formally registered entity operates Mekar, its identity is [[OPERATOR_LEGAL_NAME]].

Under Law No. 27 of 2022 on Personal Data Protection ("UU PDP"), we act as the Personal Data Controller for the data you enter into Mekar.

Privacy questions, requests, or complaints can be sent to: mekar@beyondertech.com.

[[CONFIRM_WITH_COUNSEL]] UU PDP requires appointing a Data Protection Officer (DPO) for controllers whose core activity is large-scale processing or processing of specific personal data. Because Mekar processes reproductive-health data, we need confirmation of whether this threshold is met and whether a DPO must be appointed.

Our lawful basis: your consent

The data you record in Mekar — period dates, symptoms, moods, journal notes — is "specific personal data" under Article 4(2) of UU PDP, because it concerns your reproductive, sexual, and mental health. This category gets the highest level of protection.

Our lawful basis for processing this specific data is your valid, specific, and withdrawable CONSENT. You give this consent when you create an account and when you enter health data. You are free not to enter any data, and you can withdraw consent at any time (see "Your rights").

We will not use your specific health data for a new purpose not described here without first asking for separate consent.

What we collect & why

We only collect what Mekar needs to work. Here is the full list:

•Account data — email address and password (the password is stored hashed; we never see your actual password). Purpose: to create and secure your account, and to send verification and password-reset emails.

•Display name & anon handle — an optional nickname and an auto-generated anonymous handle. Purpose: to show your identity in the app and to keep you anonymous in the community.

•Cycle data — last period date, average cycle and period length, and your goal (track / plan / conceive / monitor symptoms). Purpose: to compute cycle and ovulation predictions.

•Period logs — start/end dates, flow level, and notes. Purpose: to track your period history and sharpen predictions.

•Daily entries — mood, energy level, sleep hours, water cups, a list of symptoms, and a free-text journal. Purpose: to help you understand your body’s patterns and to show daily insights.

•Streak — the number of consecutive days you log. Purpose: the habit/streak feature.

•Anonymous community — the titles, posts, replies, and "hearts" you submit, shown under your anon handle (not your email or real name). Purpose: to run the community forum. Remember: anything you write in the forum is visible to other users — do not write anything that could identify you if you want to stay anonymous.

•Technical data — IP address, browser/device type (user agent), and login sessions. Purpose: security, abuse prevention, and keeping you logged in.

•Prospect (lead) data — if you enter an email on the sign-up page before having an account, we keep that email, language, and technical data to let you know when the service is ready.

Mekar does NOT collect precise location (GPS), phone contacts, or biometric data.

We do not sell your data

We do not sell, rent, or trade your personal data to anyone. Mekar shows no ads and shares no health data with advertisers or data brokers.

We share data only with the third parties we need to run the service:

•Hostinger — our server-hosting and email provider. Mekar’s data is stored on servers managed via Hostinger; its data centres are in Indonesia and/or the European Union. [[CONFIRM_WITH_COUNSEL]] The exact data-centre location needs to be confirmed, because UU PDP governs the conditions for transferring personal data outside Indonesia (Article 56) — if data is stored abroad, we must ensure the destination country has an adequate level of protection or that another valid transfer basis is met.

We may also disclose data where required by applicable law (for example a court order or a lawful, official request from law enforcement). If this happens and we are legally permitted to tell you, we will try to do so.

Mekar does not yet integrate any payment service. [[CONFIRM_WITH_COUNSEL]] Before paid tiers (Plus/Duo) go live, this policy must be updated to describe the payment processor (e.g. Midtrans) and the transaction data they handle.

How we protect your data

We take reasonable security steps to protect your data:

•Data is encrypted in transit between your device and our servers (HTTPS/TLS).

•Passwords are stored hashed, not in plain text.

•Login access is protected by sessions that expire.

To be honest: we do NOT yet apply end-to-end encryption or encryption at rest in the database. No system is 100% secure, and we will not claim otherwise. We also hold no formal security certification or government registration guaranteeing this security.

If a personal-data breach occurs, UU PDP requires us to notify you and the supervisory authority within 3×24 hours of becoming aware of it. We will explain what data was affected and the steps you can take.

[[CONFIRM_WITH_COUNSEL]] Given that this is specific health data, the breach-response procedure (who reports, to whom, in what format) should be reviewed and, ideally, encryption-at-rest should be applied before the user base scales.

How long we keep data

We keep your data for as long as your account is active, so your predictions and history stay available.

If you delete your account, all your personal data (account, cycle, daily entries, journal, and community posts) is permanently removed from our database — this is a hard delete, not just a hide.

Unused prospect (lead) data and verification/password-reset tokens are purged on a rolling basis, within 12 months at the latest. [[CONFIRM_WITH_COUNSEL]] These retention periods (including whether any data must be kept longer due to a specific legal obligation) should be reviewed.

System backups may retain deleted data for a limited time before the backup cycle overwrites it.

Your rights

UU PDP gives you real rights over your personal data, and Mekar already provides ways to use them right inside the app:

•Access & export — you can view and download your data via the data-export feature on the Settings page.

•Delete — you can delete your account and all your data at any time from the Settings page (hard delete).

•Correction — you can fix incorrect data directly in the app.

•Withdraw consent — you can stop providing new data, or delete your account to withdraw consent entirely. Withdrawing consent does not undo processing that was lawfully done before.

If you have trouble using any of these rights, or want to object, contact us at mekar@beyondertech.com and we will respond in line with UU PDP. You also have the right to lodge a complaint with the competent personal-data-protection authority in Indonesia.

Age & children’s data

Mekar is intended for adult users. You must be at least 18 years old to create an account on your own. Users aged 13 to 17 may use Mekar only with the verifiable consent and supervision of a parent or guardian. We do not direct Mekar at children under 13.

[[CONFIRM_WITH_COUNSEL]] This age threshold needs a lawyer’s confirmation. UU PDP classifies children’s data as needing special protection and requires parental/guardian consent (Articles 25–26), but does not set a single fixed "digital age of majority". The app currently has NO age-verification or parental-consent mechanism, and a site FAQ previously invited pre-menarche users — this is being fixed and must be resolved before paid marketing.

If you believe a child has given data to Mekar without valid parental/guardian consent, contact us at mekar@beyondertech.com so we can remove it.

Not medical advice

Mekar is a tracking and education tool, NOT a medical device and NOT a method of contraception.

Period, ovulation, fertile-window predictions, and daily insights are only estimates based on the data you enter — they are not a diagnosis and should not be your only basis for preventing or planning a pregnancy.

Mekar does not replace the advice, diagnosis, or treatment of a qualified healthcare professional. For any health decision — including contraception, fertility, or worrying symptoms — consult a doctor or midwife.

Cookies

Right now Mekar uses only strictly necessary cookies: a session cookie to keep you logged in, and a language-preference cookie (id/en). We use no advertising or tracking cookies.

If we later add analytics or other measurement tools, we will update this policy and show an appropriate cookie notice before turning them on.

Changes to this policy

We may update this Privacy Policy as Mekar grows. If there is a material change that affects you, we will notify you in the app or by email before it takes effect. The "Last updated" date above always reflects the current version.

Governing law & contact

This policy is governed by the law of the Republic of Indonesia, including Law No. 27 of 2022 on Personal Data Protection.

For any privacy questions, contact: mekar@beyondertech.com.

Note: this document is an informational draft, not legal advice. Before paid marketing or scaling the user base, it will be reviewed by a licensed Indonesian advocate.