Kebijakan Penyimpanan dan Pemusnahan Data Biometrik

Terakhir diperbarui: 12 Oktober 2026

Ini adalah jadwal tertulis penyimpanan dan pemusnahan data biometrik yang dirujuk oleh Kebijakan Privasi kami. Kebijakan ini berlaku bagi setiap orang yang memulai pemeriksaan wajah di Layanan, di mana pun mereka berada. Layanan adalah aplikasi dan situs web Republik Dunia, termasuk aplikasi yang sama ketika disajikan dengan nama Raised by Humanity. Bagian 1 Kebijakan Privasi menetapkan situs mana saja yang tercakup dalam Layanan, dan kebijakan ini menggunakan pengertian yang sama. Kebijakan ini diterbitkan agar Anda dapat menuntut kami untuk mematuhinya, dan agar hukum yang mewajibkan adanya jadwal publik semacam ini terpenuhi.

1. Cakupan kebijakan ini

Pemeriksaan wajah — pemeriksaan wajah secara langsung yang diuraikan dalam Bagian 4 Kebijakan Privasi — menghasilkan dua jenis data biometrik, keduanya disimpan oleh Amazon Web Services (AWS) di region Uni Eropa (Irlandia) atas nama kami:

Citra wajah rujukan dari sesi pemeriksaan wajah Anda, disimpan di Amazon S3.
Vektor wajah (templat) yang diturunkan dari citra tersebut, disimpan dalam koleksi Amazon Rekognition dan ditautkan ke akun Anda. Koleksi itulah yang memungkinkan kami memeriksa bahwa wajah yang sama tidak dipakai untuk memverifikasi akun kedua.

“Data biometrik” dalam kebijakan ini berarti keduanya, beserta catatan internal dalam basis data kami yang menunjuk pada keduanya (catatan sesi pemeriksaan wajah Anda).

Kebijakan ini tidak mencakup hasil suatu pemeriksaan. Apakah akun Anda terverifikasi, dan catatan bahwa wajah Anda cocok dengan akun lain sehingga verifikasi ditolak (akun mana, dan skor kemiripannya), merupakan catatan akun biasa dan ditangani sebagaimana diuraikan dalam Kebijakan Privasi.

Periode dalam kebijakan ini tidak berlaku untuk satu catatan. Log audit keamanan akun cloud kami mencatat permintaan yang menambahkan wajah Anda ke dalam koleksi, dan entri itu mencatat letak mata, hidung, dan mulut Anda dalam citra rujukan serta sudut kepala Anda — tidak pernah citra atau templatnya. Kami memperlakukan posisi-posisi itu sebagai data biometrik. Entri itu disimpan selama periode yang ditetapkan Bagian 8 Kebijakan Privasi untuk log audit keamanan, suatu periode yang dapat lebih lama daripada periode dalam kebijakan ini, dan pemusnahan data biometrik Anda yang lain tidak menghapus entri tersebut. Kami tidak pernah menggunakan posisi-posisi itu.

2. Kapan data biometrik dimusnahkan

Kami menyimpan data biometrik hanya selama diperlukan untuk memastikan bahwa Anda adalah orang yang unik dan hadir secara langsung, serta untuk mencegah akun pemberi suara ganda. Data itu dimusnahkan secara permanen pada saat yang paling awal di antara hal-hal berikut:

Ketika akun dihapus. Ini mencakup penghapusan yang Anda lakukan di Layanan, dan penutupan yang kami lakukan sendiri, secara manual — berdasarkan Ketentuan Penggunaan, atau karena kami mengetahui bahwa pemegang akun berusia di bawah 18 tahun. Yang membedakan keduanya adalah cara pemusnahan dimulai. Penghapusan yang Anda lakukan di Layanan memulainya secara otomatis: penghapusan itu memusnahkan citra rujukan dan vektor wajah Anda sebagai bagian dari penghapusan itu sendiri — seketika, atau, jika pemilu uji coba yang di dalamnya Anda telah memberi suara berakhir dalam empat belas hari berikutnya, ketika pemilu itu berakhir. Pemilu yang berakhir lebih dari empat belas hari setelah Anda bertindak sama sekali tidak menahan pemusnahan; alasannya diuraikan dalam Bagian 4.5 Kebijakan Privasi. Penutupan yang kami lakukan secara manual tidak memiliki layar di Layanan yang memulainya, sehingga kami sendiri mencatat pemusnahan itu sebagai kewajiban, dan hal itu dapat membuatnya lebih lambat dimulai. Setelah pemusnahan tercatat sebagai kewajiban, pemusnahan dijalankan secara otomatis, dan diulang secara otomatis setiap hari sampai berhasil. Hal itu berlaku baik untuk penghapusan yang Anda lakukan maupun untuk penutupan yang kami lakukan. Hal itu juga yang terjadi jika pemusnahan tidak dapat diselesaikan pada saat Anda menghapus akun Anda: akun Anda tetap dihapus, dan pemusnahan dicatat sebagai kewajiban.
Ketika Anda menarik kembali persetujuan atau meminta kami menghapusnya. Penarikan kembali persetujuan Anda di Layanan (Bagian 4.4 Kebijakan Privasi menyebutkan di mana), dan permintaan ke kontak dalam Kebijakan Privasi, ditangani dengan cara yang sama seperti penghapusan berdasarkan butir 1, dengan satu perbedaan: jika pemusnahan yang tertunda belum dijalankan dan Anda menyelesaikan pemeriksaan wajah baru, pemeriksaan baru itu merupakan persetujuan baru dan pemusnahan yang tertunda dibatalkan. Penghapusan tidak pernah dibatalkan dengan cara ini.
Tiga tahun setelah interaksi terakhir Anda dengan Layanan. Tiga tahun setelah interaksi terakhir yang tercatat dalam arsip kami — sebuah suara, penarikan WDD, upaya verifikasi, penyuntingan partai yang Anda daftarkan, atau sesi yang masih dalam keadaan masuk — sebuah tugas otomatis memusnahkan data biometrik Anda dan mencabut verifikasi Anda. Masuk dan keluar saja tidak dicatat. Imbalan yang diberikan kepada Anda tidak dihitung sebagai interaksi. Akun, saldo, dan suara Anda di masa lalu tidak terpengaruh. Jika Anda kembali, Anda dapat melakukan verifikasi lagi dengan pemeriksaan wajah baru.
Ketika tujuan pengumpulannya telah terpenuhi. Tujuan itu adalah memastikan bahwa Anda adalah orang yang unik dan hadir secara langsung, serta mencegah wajah yang sama memverifikasi akun kedua. Tujuan itu berlangsung selama akun masih ada, karena vektor wajah adalah satu-satunya hal yang dapat melihat akun kedua dibuka dengan wajah yang sama. Ketika tujuan itu berakhir, data dimusnahkan.
Lebih awal jika hukum mewajibkannya.

Kami tidak menyimpan data biometrik lebih dari tiga tahun setelah interaksi terakhir Anda, kecuali entri log audit keamanan yang diuraikan dalam Bagian 1.

Tiga tahun adalah periode yang sama bagi semua orang, dan sebagian hukum menetapkan batas maksimum yang lebih pendek. Colorado mewajibkan data biometrik dimusnahkan paling lambat 24 bulan setelah interaksi terakhir Anda. Kami tidak menanyakan tempat tinggal Anda, sehingga tugas otomatis yang diuraikan di atas tidak dapat menerapkan periode yang lebih pendek kepada Anda dengan sendirinya. Anda tidak perlu menunggu tugas itu. Anda dapat memusnahkan data biometrik Anda sendiri kapan saja, tanpa menghapus akun Anda — Bagian 4.4 Kebijakan Privasi menyebutkan di mana melakukannya di Layanan — dan Anda dapat meminta kami memusnahkannya melalui alamat di Bagian 7.

3. Cara pemusnahan bekerja

Pemusnahan berarti menghapus data, bukan menandainya sebagai tidak terpakai:

Citra rujukan dihapus dari Amazon S3, di bawah setiap sesi pemeriksaan wajah Anda.
Vektor wajah dihapus dari koleksi Amazon Rekognition, dan entri akun dalam koleksi itu ikut dihapus bersamanya.
Catatan internal yang menunjuk pada keduanya dihapus dari basis data kami. Satu-satunya pengecualian adalah catatan bahwa wajah Anda cocok dengan akun lain sehingga verifikasi ditolak (akun mana, dan skor kemiripannya), yang, jika akun Anda masih aktif, disimpan sebagai catatan akun dengan rujukan citranya dihapus; pada saat akun dihapus, catatan itu ikut dimusnahkan bersama yang lain.

Jika ada langkah yang gagal, akun ditandai dan tugas itu mengulanginya setiap hari. Pemeriksaan wajah yang datanya dimusnahkan menurut jadwal ketidakaktifan juga kehilangan verifikasinya pada saat yang sama, sehingga tidak ada akun yang dapat memberi suara atas dasar wajah yang tidak lagi dapat dilihat oleh pemeriksaan duplikat.

Terlepas dari jadwal di atas, tugas harian yang sama menghapus setiap vektor wajah yang tidak lagi tertaut ke suatu akun, sehingga tidak ada yang tertinggal dalam koleksi secara tidak sengaja.

4. Citra yang dilihat atas permintaan

Jika wajah Anda cocok dengan akun lain, verifikasi ditolak secara otomatis dan tidak ada orang yang melihat citra tersebut. Anda dapat meminta kami agar seseorang meninjau keputusan itu; Kebijakan Privasi menjelaskan caranya. Jika Anda memang meminta, orang tersebut membuka citra rujukan dari pemeriksaan Anda dan citra yang disimpan untuk akun yang cocok dengannya — hanya jika keduanya masih ada, karena salah satunya mungkin sudah dimusnahkan menurut jadwal di atas. Keduanya adalah citra rujukan yang sama seperti diuraikan di atas, keduanya dimusnahkan menurut jadwal yang sama, dan tidak ada salinan yang disimpan setelah orang tersebut selesai melihatnya.

5. Penyedia layanan

AWS menyimpan dan memproses data biometrik atas nama kami dan menurut instruksi kami, sebagaimana diuraikan dalam Kebijakan Privasi. Sesi pemeriksaan wajah kami dikonfigurasi sehingga AWS tidak menyimpan citra audit dari sesi tersebut.

Kami merancang eskalasi ke penyedia kedua, Didit, untuk pemeriksaan dokumen identitas ketika pemeriksaan wajah menolak seseorang secara keliru. Eskalasi itu tidak ditawarkan. Layanan tidak memiliki layar yang memulai pemeriksaan semacam itu, dan permintaan yang akan memulainya selalu ditolak. Didit tidak menyimpan data biometrik atau data identitas milik kami. Karena tidak ada pemeriksaan yang dapat dimulai, tidak ada apa pun di Didit yang dapat dijangkau oleh penghapusan akun dan tidak ada apa pun di Didit untuk ditanyakan.

Jika eskalasi itu suatu saat ditawarkan, Kebijakan Privasi akan menyatakan syarat-syarat Didit boleh menyimpan data Anda dan wajib menghapusnya, dan kebijakan ini akan menyatakan bagaimana jadwal pemusnahan dalam Bagian 2 berlaku untuk data tersebut. Kami akan menerbitkan kedua perubahan itu sebelum pemeriksaan semacam itu dilakukan.

6. Perubahan kebijakan ini

Jika kami mengubah periode penyimpanan atau metode pemusnahan, kami akan menerbitkan perubahan itu di halaman ini dan merevisi tanggal “Terakhir diperbarui” di atas sebelum perubahan itu berlaku. Halaman ini adalah satu-satunya pemberitahuan yang dapat kami berikan: dari proses masuk, kami tidak menyimpan alamat surel, nomor telepon, maupun alamat pos Anda, alamat yang Anda berikan pada laporan tentang sebuah partai hanya digunakan untuk laporan itu dan tidak untuk hal lain, dan tidak ada spanduk atau pesan di Layanan — Bagian 13 Kebijakan Privasi menjelaskan alasannya. Periode penyimpanan yang lebih pendek dapat diterapkan seketika. Periode penyimpanan yang lebih panjang tidak diterapkan pada data yang sudah kami simpan sampai perubahan itu diterbitkan di halaman ini selama 30 hari.

Kebijakan ini ditulis dalam bahasa Inggris, dan kami menerbitkannya dalam bahasa lain. Versi yang berlaku bagi Anda adalah versi dalam bahasa yang ditampilkan Layanan kepada Anda. Jika versi itu berbeda dari teks bahasa Inggris, pengertian yang lebih menguntungkan Anda yang berlaku.

7. Kontak

Pertanyaan tentang kebijakan ini dan permintaan terkait data biometrik Anda disampaikan ke alamat kontak dalam Kebijakan Privasi.