Kebijakan Privasi

1. Data yang Kami Proses

• NIM (ID mahasiswa): untuk mengidentifikasi sesi dan data akademik Anda. Disimpan di Redis (sesi) dan SQLite (API key).
• Password kampus (SIAKAD dan MyBest): dipakai satu kali saat login untuk memverifikasi identitas, lalu disimpan terenkripsi AES-256-GCM di Redis agar sesi tetap hidup. Tidak pernah dikirim kembali ke browser dan tidak pernah ditulis sebagai teks biasa.
• Data akademik (jadwal, nilai, KHS, KRS, kartu ujian, presensi, tugas, bahan ajar): ditampilkan hanya kepada Anda dan disimpan sementara di cache Redis dengan TTL berjenjang (10 menit sampai 2 jam). Tidak pernah ditulis ke disk.
• Konfigurasi webhook (Discord/Telegram): Anda yang isi sendiri di dashboard, disimpan terenkripsi di SQLite untuk fitur notifikasi yang Anda aktifkan.
• Metadata Personal API Key: hanya hash-nya yang disimpan. Key utuh ditampilkan tepat satu kali saat dibuat.

2. Bagaimana Kredensial Anda Dilindungi

• Enkripsi AES-256-GCM: seluruh payload sesi (termasuk password kampus) dienkripsi dengan kunci 256-bit turunan dari master key server. Dump Redis hanya menghasilkan ciphertext, dan perubahan sembarang langsung ditolak oleh auth tag.
• Zero plaintext: password tidak pernah muncul di log, respons API, atau browser Anda setelah login.
• Cookie aman: sesi browser memakai cookie HttpOnly, Secure, SameSite=Lax yang tidak bisa dibaca JavaScript halaman.
• Rate limiting: login dibatasi 5 percobaan per menit per NIM; API dibatasi 60 permintaan per menit per klien.

3. Yang Terjadi di Browser Anda

• Dashboard menyimpan cache kecil di memori tab (3 menit) agar perpindahan halaman instan dan server kampus tidak dilewati berulang kali.
• Logout (perangkat ini atau semua perangkat) langsung membersihkan cache tersebut, jadi pengguna berikutnya di browser yang sama tidak bisa melihat data Anda.
• Token fallback untuk skrip bisa tersimpan di localStorage browser Anda; logout atau bersih-bersih data browser menghapusnya.

4. Pihak Ketiga

• Tidak ada analytics, tracker, iklan, atau telemetry. Layanan ini tidak melaporkan apa pun ke pihak lain.
• Satu-satunya traffic keluar adalah ke portal resmi kampus UBSI (untuk mengambil data akademik Anda sendiri) dan ke kanal notifikasi yang Anda konfigurasi sendiri (Discord/Telegram/webhook pribadi).

5. Retensi dan Penghapusan Data

• Logout perangkat ini: menghapus token sesi Anda dari Redis seketika.
• Logout semua perangkat: menghapus seluruh sesi yang pernah diterbitkan untuk NIM Anda.
• Kadaluarsa otomatis: sesi mati setelah 7 hari tanpa aktivitas (sliding, diperpanjang selama akun dipakai).
• Cache akademik: transien, habis dalam 10 menit sampai 2 jam, tidak pernah disimpan permanen.
• API key: mencabut key menghapusnya dari database seketika.

6. Tanggung Jawab Anda

• Gunakan hanya kredensial milik Anda sendiri. Layanan ini ada agar mahasiswa bisa membaca data akademiknya sendiri dengan nyaman. Mengumpulkan kredensial orang lain atau mengotomasi hal di luar pembacaan data adalah pelanggaran kebijakan ini dan Code of Conduct proyek.

7. Disclaimer Institusi

• Ini proyek independen buatan mahasiswa. Tidak berafiliasi dengan, tidak didukung oleh, dan tidak terhubung resmi dengan Universitas Bina Sarana Informatika. Seluruh data akademik tetap milik universitas dan hanya ditampilkan kembali kepada Anda, pemilik sah data tersebut.

8. Kontak

Pertanyaan atau permintaan penghapusan data bisa disampaikan lewat email admin@muaraai.com atau issue di repo github.com/MuaraAI/UBSI-API.