1. Ruang Lingkup dan Tujuan

Sistem ini berfungsi sebagai gerbang autentikasi terpusat (Single Sign-On) serta portal dan halaman monitoring bagi layanan digital UNUGIRI. Pemrosesan data oleh SSO dilakukan secara terbatas untuk keperluan verifikasi login (yang divalidasi ke layanan identitas), pengelolaan sesi, pemantauan aktivitas autentikasi, serta integrasi aplikasi yang sah.

2. Jenis Data yang Diproses

• Salinan terbatas data identitas institusional (nama, nomor identitas, email) yang bersumber dari layanan identitas untuk keperluan sesi dan portal.
• Informasi peran (role) dan hak akses (permission) yang diambil dari layanan identitas untuk menentukan akses aplikasi.
• Data sesi dan aktivitas autentikasi (catatan login/logout).
• Data teknis terbatas seperti alamat IP, perangkat, dan log aktivitas untuk keamanan dan monitoring.
• Snapshot identitas terbatas (nama, pengenal, peran) yang disalin ke dalam log keamanan pada saat aktivitas terjadi untuk keperluan forensik — dijelaskan pada butir 8.
• Kata sandi tidak disimpan oleh SSO; kredensial dikelola dan diverifikasi oleh layanan identitas.

3. Dasar Pemrosesan Data

Pemrosesan data dilakukan berdasarkan kewajiban institusional UNUGIRI, kepentingan keamanan informasi, serta kepatuhan terhadap peraturan perundang-undangan yang berlaku di Republik Indonesia.

4. Penggunaan dan Pembagian Data

• Data digunakan untuk autentikasi, otorisasi, dan operasional sistem.
• Data dibagikan secara terbatas kepada aplikasi terintegrasi yang sah.
• Data tidak diperjualbelikan atau dibagikan tanpa dasar hukum yang sah.

5. Retensi dan Penghapusan Data

Data disimpan selama diperlukan untuk mendukung layanan dan kewajiban institusional, kemudian dihapus atau dianonimkan sesuai kebijakan internal dan ketentuan hukum yang berlaku. Untuk log keamanan berlaku masa simpan khusus sebagaimana diatur pada butir 8.

6. Keamanan Informasi

Sistem menerapkan praktik keamanan informasi yang wajar dan sesuai standar, termasuk enkripsi data, pembatasan akses berbasis peran, pencatatan aktivitas, serta mekanisme perlindungan terhadap akses tidak sah dan penyalahgunaan.

7. Pemantauan dan Audit

Demi menjaga keamanan dan keandalan sistem, aktivitas tertentu dapat dipantau dan dicatat sesuai kebijakan internal UNUGIRI serta peraturan yang berlaku.

8. Log Keamanan, Aktivitas & Forensik

Sebagai rincian lebih lanjut dari butir 2, 5, dan 7: untuk menjaga keamanan sistem, mencegah penyalahgunaan, serta mendukung penyelidikan (forensik) apabila terjadi insiden keamanan, sistem mencatat data teknis yang menyertai aktivitas autentikasi dan akses. Pencatatan ini melekat pada penggunaan layanan dan diproses atas dasar kepentingan sah keamanan informasi, pelaksanaan layanan, serta pemenuhan kewajiban hukum — bukan atas dasar persetujuan — sebagaimana dimungkinkan oleh Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Data yang dicatat, antara lain:

• Alamat IP perangkat yang mengakses, serta apakah berasal dari jaringan lokal/privat atau publik (bukan geolokasi persis).
• Informasi perangkat/peramban dari User-Agent (jenis dan versi peramban serta sistem operasi). Sistem tidak mengambil nama komputer, nomor seri, atau identitas perangkat keras Anda.
• Tanggal, waktu, dan jenis aktivitas (mis. login, logout, atau tindakan pada aplikasi).
• Riwayat login termasuk percobaan yang gagal, untuk mendeteksi upaya akses tidak sah.
• Snapshot identitas saat kejadian: nama, pengenal (nama pengguna/email), dan peran akun yang melakukan aktivitas — disimpan pada baris log agar tetap terdokumentasi walau data akun kelak berubah atau dihapus. Untuk login gagal, hanya pengenal yang diketikkan yang tersimpan.
• Untuk tindakan administratif tertentu, sistem juga mencatat alamat (URL) dan metode permintaan serta ringkasan perubahan data (sebelum/sesudah) untuk keperluan audit.
• ID perangkat berupa penanda acak (pseudonim) yang disimpan pada cookie keamanan giri_device_id, untuk mengenali perangkat yang sama antar-sesi. Ini bukan nama, nomor seri, atau identitas perangkat keras — hanya penanda acak, dan tidak digunakan untuk pelacakan lintas-situs, iklan, atau profilisasi. Cookie ini diperlakukan sebagai strictly-necessary untuk keamanan; penetapan dasar hukumnya (kepentingan sah keamanan vs. persetujuan) ditinjau oleh Pejabat Pelindungan Data (DPO) UNUGIRI.
• Preferensi bahasa peramban (Accept-Language) dan halaman perujuk (Referer).

Log ini hanya digunakan untuk tujuan keamanan dan forensik, tidak untuk pemasaran maupun pemantauan pribadi di luar keperluan tersebut. Akses terhadap log dibatasi hanya bagi administrator/tim keamanan yang berwenang.

Masa simpan: log keamanan disimpan paling lama 12 (dua belas) bulan, kecuali perlu disimpan lebih lama untuk penyelidikan insiden yang sedang berlangsung atau pemenuhan kewajiban hukum. Log yang melewati masa simpan dihapus secara berkala melalui proses otomatis.

Karena log ini diproses atas dasar kepentingan sah keamanan dan/atau kewajiban hukum, permintaan penghapusan dapat ditolak atau ditunda sepanjang log masih diperlukan untuk keperluan keamanan, penyelidikan insiden, atau pemenuhan kewajiban hukum.

9. Responsible Disclosure

UNUGIRI menghargai pelaporan kerentanan keamanan yang dilakukan secara bertanggung jawab. Apabila Anda menemukan potensi celah keamanan, diharapkan untuk melaporkannya melalui kanal resmi tanpa mengeksploitasi atau menyebarluaskan informasi tersebut.

• Tidak menyalahgunakan atau mengeksploitasi kerentanan.
• Tidak mengganggu ketersediaan layanan.
• Memberikan informasi teknis yang cukup untuk verifikasi.

10. Hak Pengguna

• Memperoleh informasi terkait pemrosesan data pribadi.
• Meminta perbaikan/pembaruan data melalui mekanisme resmi kampus.
• Meminta penghapusan atau pemusnahan data pribadi sesuai ketentuan yang berlaku (untuk log keamanan tunduk pada pembatasan pada butir 8).
• Menarik kembali persetujuan atas pemrosesan yang didasarkan pada persetujuan.
• Membatasi atau menolak pemrosesan tertentu.
• Meminta peninjauan oleh manusia atas keputusan yang dibuat sepenuhnya secara otomatis (mis. penetapan hak akses).
• Mengajukan pertanyaan atau keberatan terkait privasi dan keamanan.

11. Perubahan Kebijakan

Kebijakan ini dapat diperbarui dari waktu ke waktu untuk menyesuaikan perubahan kebijakan institusi, teknologi, maupun peraturan yang berlaku.

12. Kontak

Pertanyaan, permintaan pelaksanaan hak, atau keberatan terkait Kebijakan Privasi dan Keamanan ini dapat disampaikan ke [email protected] atau kanal resmi Universitas Nahdlatul Ulama Sunan Giri. Permohonan akan ditindaklanjuti sesuai prosedur dan jangka waktu yang wajar.