---
title: "Kebijakan keamanan dan hukum yang perlu diperiksa sebelum memakai kode pendaftaran buatan AI dalam layanan"
locale: id
category: how_to
category_name: "Panduan"
translation_status: reviewed
license: cc_by
author: "injoys"
source_url: https://injoys.com/en/articles/ai-generated-signup-security-privacy-checklist
published_at: 2026-07-23T17:57:27+09:00
---

# Kebijakan keamanan dan hukum yang perlu diperiksa sebelum memakai kode pendaftaran buatan AI dalam layanan

> Kode pendaftaran yang dibuat AI dalam 5 menit mungkin berfungsi, tetapi mudah melewatkan kebijakan operasional seperti pengaturan ulang kata sandi, penutupan akun, kebijakan privasi, dan syarat penggunaan. Sebelum diterapkan ke layanan nyata, manusia harus menetapkan dengan jelas desain keamanan, kewajiban hukum, serta standar penyimpanan dan penghapusan data.

## Key Points

- Fungsi pendaftaran bukan sekadar masalah kode, melainkan sistem operasional yang menggabungkan autentikasi, pemulihan akun, penutupan akun, syarat, dan standar pemrosesan data pribadi.
- Kata sandi tidak boleh disimpan dalam bentuk asli, tetapi harus disimpan dengan metode hash satu arah yang aman seperti bcrypt, Argon2id, atau PBKDF2.
- Tautan pengaturan ulang kata sandi memerlukan kebijakan seperti masa berlaku singkat, penggunaan satu kali, penyimpanan token yang aman, dan pencegahan pengungkapan apakah akun ada atau tidak.
- Di Korea, bagi layanan yang mengumpulkan data pribadi seperti email, penting untuk memublikasikan kebijakan privasi, menyatakan tujuan pengumpulan dan penggunaan, serta menetapkan periode penyimpanan dan prosedur pemusnahan.
- Saat meminta kode kepada AI, AI harus dibuat untuk menanyakan kebijakan yang belum diputuskan sebelum implementasi agar celah keamanan dan hukum dapat dikurangi.

## Mengapa berbahaya memakai begitu saja kode pendaftaran anggota yang dibuat AI

Jika Anda meminta AI generatif seperti ChatGPT atau Claude dengan kalimat “buatkan fitur pendaftaran anggota dengan email dan kata sandi”, Anda bisa memperoleh kode yang berfungsi dalam waktu singkat. Namun pendaftaran anggota pada layanan nyata bukan sekadar formulir input dan fungsi penyimpanan ke database. Ini adalah sistem operasional yang harus dirancang bersama dengan pemulihan akun, perubahan kata sandi, penutupan akun, kebijakan pemrosesan data pribadi, syarat penggunaan, hak admin, dan kebijakan retensi data.

Khususnya di Korea, jika Anda mengumpulkan informasi yang dapat mengidentifikasi seseorang seperti email, nama, nomor ponsel, atau pengenal login sosial, Anda harus mempertimbangkan kewajiban terkait pemrosesan data pribadi menurut Undang-Undang Perlindungan Data Pribadi. Kode yang dibuat AI hanyalah contoh umum, dan tanggung jawab hukum serta tanggung jawab operasional layanan tetap berada pada operator layanan.

## Prinsip inti: AI bisa membuat kode, tetapi tidak bisa menggantikan keputusan kebijakan

Kode yang dibuat AI cenderung berfokus pada “apakah fiturnya berjalan”. Sebaliknya, layanan nyata harus mampu menjawab pertanyaan berikut.

- Dengan prosedur apa akun dipulihkan ketika pengguna lupa kata sandi?
- Saat mengubah kata sandi, apakah kata sandi saat ini diperiksa ulang?
- Ketika ada permintaan penutupan akun, data apa yang dihapus dan data apa yang disimpan?
- Apakah item yang benar-benar dikumpulkan, tujuan, dan periode penyimpanan tertulis secara akurat dalam kebijakan pemrosesan data pribadi?
- Apakah ada dasar kontraktual untuk menangguhkan pengguna yang melanggar ketentuan?
- Apakah layar admin menampilkan data pribadi seminimal mungkin dan menyimpan catatan akses?

Jika Anda hanya berkata kepada AI “buatkan pendaftaran anggota”, keputusan-keputusan seperti ini bisa terlewat. Karena itu, operator harus lebih dulu menetapkan kebijakan, dan merancang prompt agar AI bertanya tentang hal-hal yang belum ditentukan.

## Keamanan dasar: kata sandi tidak boleh pernah disimpan dalam bentuk asli

Operator layanan pun tidak boleh dapat mengetahui kata sandi asli pengguna. Jika kata sandi disimpan sebagai teks biasa di database, ketika terjadi insiden kebocoran, dampaknya akan langsung meluas.

Cara yang aman adalah menyimpan kata sandi setelah mengubahnya menjadi hash satu arah. Hash satu arah adalah metode transformasi yang dirancang agar pemulihan teks asli secara praktis tidak mungkin dilakukan. Secara umum, untuk penyimpanan kata sandi, algoritma yang dirancang untuk penyimpanan kata sandi seperti bcrypt, Argon2id, dan PBKDF2 lebih direkomendasikan daripada fungsi hash umum yang cepat.

### Hal yang harus diperiksa saat menyimpan kata sandi

| Item pemeriksaan | Arah yang disarankan | Alasan |
|---|---|---|
| Penyimpanan teks biasa | Dilarang keras | Jika DB bocor, semua akun langsung berada dalam bahaya |
| Algoritma hash | Gunakan bcrypt, Argon2id, PBKDF2, dan sejenisnya | Meningkatkan biaya serangan brute force |
| Penggunaan salt | Terapkan salt unik per pengguna | Kata sandi yang sama pun menghasilkan hash yang berbeda |
| Pengaturan biaya kerja | Tetapkan cukup tinggi dengan mempertimbangkan performa server | Mempersulit serangan tebakan massal |
| Pencatatan log | Jangan tinggalkan kata sandi dan token reset di log | Mencegah insiden lanjutan akibat kebocoran log |

Framework web utama seperti Ruby on Rails, Django, dan Laravel menyediakan fitur penyimpanan kata sandi yang aman, tetapi menggunakan nilai bawaan framework tidak berarti pemulihan akun, penutupan akun, hingga kebijakan pemrosesan data pribadi otomatis terselesaikan.

## 5 kebijakan wajib yang mudah dilewatkan AI

### 1. Kebijakan reset kata sandi

Pengguna pasti akan lupa kata sandi. Jika tidak ada fitur reset kata sandi, operator harus menangani permintaan pemulihan akun secara manual, dan dalam proses itu risiko kesalahan verifikasi identitas atau paparan data pribadi dapat meningkat.

Reset kata sandi bukan sekadar “mengirim tautan lewat email”, tetapi juga mencakup masa berlaku token, pencegahan penggunaan ulang, dan pencegahan pengungkapan keberadaan akun.

#### Kebijakan yang harus diputuskan

- Masa berlaku tautan reset: Tetapkan singkat, misalnya 15 menit atau 30 menit.
- Penggunaan satu kali: Tautan yang sudah digunakan sekali harus segera dinonaktifkan.
- Cara penyimpanan token: Pertimbangkan cara menyimpan token reset dalam bentuk hash, bukan menyimpan teks asli token reset di DB.
- Pencegahan pengungkapan keberadaan akun: Meskipun email yang tidak ada dimasukkan, tampilkan respons yang sama seperti “Jika email terdaftar, kami telah mengirim email panduan.”
- Pembatasan permintaan: Jika terjadi permintaan reset berlebihan dari email atau IP yang sama, terapkan pembatasan kecepatan.
- Notifikasi: Jika kata sandi diubah, kirim notifikasi perubahan kepada pengguna.

### 2. Kebijakan perubahan informasi anggota

Anggota ingin mengubah email, kata sandi, nama panggilan, pengaturan penerimaan notifikasi, dan lainnya. Pada fitur minimal yang dibuat AI, layar perubahan informasi anggota sering kali terlewat.

Khususnya perubahan kata sandi adalah pekerjaan yang sensitif secara keamanan. Jika perubahan diizinkan hanya dengan mempercayai sesi yang sudah login, orang lain dapat mengambil alih akun saat pengguna meninggalkan tempat duduk di kafe atau kantor.

#### Kebijakan yang harus diputuskan

- Putuskan apakah akan meminta kata sandi saat ini kembali saat mengubah kata sandi.
- Putuskan apakah akan mewajibkan verifikasi alamat email baru saat mengubah email.
- Putuskan apakah akan mengirim notifikasi ke email lama dan email baru setelah perubahan email.
- Putuskan apakah akan mempertahankan sesi login yang ada setelah perubahan informasi penting, atau mewajibkan login ulang.
- Putuskan apakah akan menyimpan riwayat perubahan informasi anggota sebagai audit log.

### 3. Kebijakan penutupan akun anggota dan penghapusan data

Penutupan akun anggota adalah salah satu kebijakan terpenting dalam layanan nyata. Pengguna harus dapat berhenti menggunakan layanan, dan dapat mengajukan permintaan terkait penghapusan atau penghentian pemrosesan data pribadi. Jika fitur penutupan akun tidak ada, atau setelah penutupan akun pengguna masih tetap bisa login, risiko kepercayaan dan hukum akan meningkat secara bersamaan.

Namun, menghapus semua data secara fisik segera bukan selalu jawaban yang benar. Data yang memiliki alasan retensi yang sah seperti pembayaran, pajak, penanganan sengketa, dan pencegahan penyalahgunaan mungkin perlu disimpan selama periode tertentu. Karena itu, kebijakan penutupan akun harus membedakan “apa yang dihapus, apa yang dianonimkan, dan apa yang disimpan”.

#### Perbandingan Soft Delete dan Hard Delete

| Kategori | Makna | Kelebihan | Hal yang perlu diperhatikan |
|---|---|---|---|
| Hard Delete | Menghapus data secara fisik dari DB | Mengurangi risiko tersisanya data pribadi | Jika catatan pembayaran dan sengketa ikut dihapus, dapat timbul masalah hukum dan akuntansi |
| Soft Delete | Menandai sebagai status penutupan akun dan memblokir login | Mudah mempertahankan catatan transaksi, relasi postingan, dan catatan audit | Data pribadi dapat tetap tersisa, sehingga diperlukan anonimisasi dan pembatasan akses |
| Anonimisasi | Mengubah atau menghapus pengenal seperti email dan nama agar sulit dipulihkan | Menurunkan risiko identifikasi sambil mempertahankan statistik dan catatan transaksi | Perlu ditinjau apakah tingkatnya benar-benar menyulitkan identifikasi ulang |

#### Cara yang sering digunakan dalam praktik

- Bedakan status akun seperti `active`, `suspended`, `deleted`.
- Akun yang ditutup harus segera tidak dapat login.
- Pengenal langsung seperti email, nama, dan nomor telepon dihapus atau dianonimkan.
- Riwayat pembayaran, catatan terkait pajak, dan catatan penanganan penyalahgunaan disimpan secara terbatas dengan dasar hukum dan periode penyimpanan yang ditetapkan.
- Tuliskan dengan jelas dalam kebijakan pemrosesan data pribadi item yang disimpan setelah penutupan akun, tujuan, dan periodenya.

### 4. Kebijakan pemrosesan data pribadi

Bahkan jika hanya mengumpulkan satu email, pemberitahuan terkait pemrosesan data pribadi tetap diperlukan. Kebijakan pemrosesan data pribadi bukanlah “dokumen yang kira-kira harus kita unggah juga”, melainkan dokumen resmi yang menjelaskan informasi apa yang diproses layanan nyata dan untuk tujuan apa.

Menyalin begitu saja kebijakan pemrosesan data pribadi dari situs lain berbahaya. Jika Anda menuliskan informasi yang sebenarnya tidak dikumpulkan, atau melewatkan informasi yang sebenarnya dikumpulkan, dokumen dan layanan menjadi tidak sesuai. Jika memanfaatkan AI, pertama-tama susun field database, formulir pendaftaran anggota, item yang diberikan oleh login sosial, item pengumpulan log, dan item integrasi pembayaran, lalu minta AI membuat draf berdasarkan hal tersebut.

#### Item utama yang perlu disertakan dalam kebijakan pemrosesan data pribadi

- Item data pribadi yang dikumpulkan: email, nama, nama panggilan, pengenal login sosial, informasi pembayaran, dan sebagainya
- Tujuan pengumpulan dan penggunaan: identifikasi anggota, login, dukungan pelanggan, pemrosesan pembayaran, pencegahan penyalahgunaan, dan sebagainya
- Periode penyimpanan dan penggunaan: sampai penutupan akun anggota, periode retensi menurut peraturan perundang-undangan terkait, dan sebagainya
- Prosedur dan metode pemusnahan: penghapusan DB, anonimisasi, siklus pemusnahan data cadangan, dan sebagainya
- Ada tidaknya pemberian kepada pihak ketiga: jika ada pemberian eksternal seperti iklan, analitik, pembayaran, pengiriman, dan sebagainya
- Ada tidaknya pendelegasian pemrosesan: cloud, pengiriman email, perantara pembayaran, alat konsultasi pelanggan, dan sebagainya
- Hak pengguna dan cara menjalankannya: permintaan akses, perbaikan, penghapusan, penghentian pemrosesan, dan sebagainya
- Penanggung jawab perlindungan data pribadi atau kanal pertanyaan

## Perbedaan antara kebijakan pemrosesan data pribadi dan syarat penggunaan

Kedua dokumen sama-sama penting, tetapi perannya berbeda.

| Dokumen | Peran inti | Risiko jika tidak ada atau lemah |
|---|---|---|
| Kebijakan pemrosesan data pribadi | Menjelaskan mengapa dan bagaimana data pribadi diproses | Pelanggaran kewajiban pemberitahuan dan publikasi menurut Undang-Undang Perlindungan Data Pribadi, penurunan kepercayaan pengguna |
| Syarat penggunaan | Menentukan ketentuan penggunaan layanan dan dasar tindakan operator | Kurangnya dasar pembatasan terhadap abuse, penipuan, ujaran kasar, akun spam |

Kebijakan pemrosesan data pribadi lebih dekat dengan panduan pemrosesan data, sedangkan syarat penggunaan lebih dekat dengan ketentuan kontrak antara pengguna dan layanan. Salah satu saja tidak cukup.

### 5. Syarat penggunaan dan kebijakan sanksi

Jika tidak ada syarat penggunaan, meskipun pengguna jahat menyalahgunakan layanan, dasar untuk menangguhkan akun, menghapus postingan, dan membatasi penggunaan menjadi lemah. Khususnya layanan seperti komunitas, marketplace, SaaS, dan platform konten, tempat pengguna meninggalkan aktivitas, wajib memiliki ketentuan dan kebijakan operasional.

#### Konten utama yang perlu disertakan dalam syarat penggunaan

- Syarat pendaftaran anggota dan tanggung jawab pengelolaan akun
- Tindakan yang dilarang: tindakan ilegal, penipuan, spam, penyalahgunaan crawling, ujaran kasar, pelanggaran hak orang lain, dan sebagainya
- Alasan dan prosedur pembatasan penggunaan layanan
- Standar penanganan postingan atau konten buatan pengguna
- Jika ada layanan berbayar, ketentuan pembayaran, pengembalian dana, dan pembatalan
- Pemberitahuan tentang perubahan, penghentian sementara, dan penghentian layanan
- Batasan tanggung jawab dan prosedur penyelesaian sengketa

Pada layar pendaftaran, prosedur persetujuan terhadap kebijakan pemrosesan data pribadi dan syarat penggunaan harus dimasukkan dengan jelas. Jika persetujuan opsional dan persetujuan wajib bercampur, pengguna harus dapat membedakan dan memilihnya.

## Kebijakan tidak hilang meskipun menggunakan login sosial

Jika menggunakan login sosial seperti Google, Kakao, atau Apple, beban penyimpanan kata sandi sendiri dan fitur pencarian kata sandi berkurang. Namun kebijakan pendaftaran anggota tidak hilang.

Dalam login sosial pun, item berikut tetap diperlukan.

- Nyatakan informasi apa yang diterima dari penyedia login sosial mana.
- Bedakan pemutusan koneksi akun sosial dan penutupan akun anggota layanan.
- Cerminkan item yang dikumpulkan seperti email, gambar profil, dan pengenal unik dalam kebijakan pemrosesan data pribadi.
- Persetujuan terhadap syarat penggunaan layanan itu sendiri harus diperoleh secara terpisah.
- Kebijakan penangguhan akun, penutupan akun, dan retensi data harus ditentukan oleh operator layanan.

## Prinsip keamanan saat membuat halaman admin

Jika anggota sudah ada, halaman admin juga menjadi diperlukan. Namun halaman admin adalah area berisiko tinggi yang mudah menyebabkan insiden kebocoran data pribadi. Desain “admin dapat melihat semua informasi” harus dihindari.

### Item pemeriksaan halaman admin

| Item | Kebijakan yang disarankan |
|---|---|
| Hak akses | Berikan hanya hak minimum sesuai peran admin |
| Informasi yang ditampilkan | Tampilkan hanya informasi yang diperlukan seperti email, status pendaftaran, status sanksi |
| Informasi sensitif | Jangan tampilkan kata sandi, token, dan informasi pembayaran lengkap |
| Fitur sanksi | Catat alasan penangguhan yang terhubung dengan tindakan terlarang dalam syarat penggunaan |
| Audit log | Catat siapa, kapan, dan informasi anggota apa yang dilihat atau diubah |
| Autentikasi admin | Terapkan kata sandi yang kuat dan autentikasi multifaktor |

## Struktur prompt yang baik saat meminta kepada AI

Kepada AI, Anda harus menyampaikan bukan hanya “fitur”, tetapi juga “kebijakan”. Menggunakan struktur berikut dapat mengurangi hal yang terlewat.

### Item yang perlu disertakan dalam prompt

1. Stack teknologi: misalnya Ruby on Rails, Next.js, Django, Laravel, dan sebagainya
2. Metode pendaftaran anggota: email dan kata sandi, login sosial, sistem undangan, dan sebagainya
3. Kebijakan autentikasi: verifikasi email, pembatasan kegagalan login, kedaluwarsa sesi, ada tidaknya autentikasi 2 langkah
4. Kebijakan kata sandi: metode hash, prosedur perubahan, masa berlaku tautan reset
5. Kebijakan penutupan akun: penghapusan, anonimisasi, data yang disimpan, apakah pendaftaran ulang diizinkan
6. Dokumen hukum: dasar pembuatan draf kebijakan pemrosesan data pribadi dan syarat penggunaan
7. Kebijakan admin: pencarian anggota, penangguhan, audit log, hak minimum
8. Penanganan pengecualian: email yang sudah terdaftar, pendaftaran ulang akun yang sudah ditutup, login akun yang ditangguhkan, dan sebagainya

### Contoh prompt

```text
Implementasikan fitur pendaftaran anggota dan login dengan email dan kata sandi.
Simpan kata sandi dengan hash satu arah yang aman dan jangan simpan teks biasa.
Tautan reset kata sandi hanya berlaku 30 menit dan harus dibuang setelah digunakan 1 kali.
Saat mengubah kata sandi, minta pengguna memasukkan kembali kata sandi saat ini.
Saat penutupan akun anggota, blokir login segera, anonimisasi email dan nama, tetapi rancang agar riwayat pembayaran dapat disimpan dalam status terpisah dengan mempertimbangkan kebutuhan retensi hukum.
Buat daftar item yang perlu masuk ke draf kebijakan pemrosesan data pribadi dan syarat penggunaan berdasarkan field database yang dikumpulkan.
Masukkan kotak centang persetujuan ketentuan wajib di layar pendaftaran.
Rancang halaman admin berdasarkan prinsip hak minimum agar hanya email, status pendaftaran, dan status sanksi yang terlihat, serta simpan semua pencarian dan perubahan sebagai audit log.
Sebelum implementasi, jika ada kebijakan yang belum saya tetapkan tetapi perlu diputuskan, tanyakan terlebih dahulu.
```

Kalimat terakhir, “Sebelum implementasi, jika ada kebijakan yang belum saya tetapkan tetapi perlu diputuskan, tanyakan terlebih dahulu,” sangat penting. Jika kalimat ini dimasukkan, AI tidak hanya menjadi alat pembuat kode, tetapi berperan sebagai perencana pendukung yang menemukan kekurangan kebijakan.

## Checklist sebelum deployment

Sebelum diterapkan pada layanan nyata, periksa item berikut.

- Apakah kata sandi tidak disimpan sebagai teks biasa?
- Apakah tautan reset kata sandi memiliki masa berlaku singkat dan batasan penggunaan 1 kali?
- Apakah layar permintaan reset tidak mengungkapkan keberadaan akun?
- Apakah perubahan kata sandi mewajibkan pemeriksaan ulang kata sandi saat ini?
- Apakah perubahan email memiliki prosedur verifikasi email baru?
- Apakah fitur penutupan akun anggota benar-benar ada dan login diblokir?
- Apakah data yang dihapus, dianonimkan, dan disimpan setelah penutupan akun dibedakan?
- Apakah kebijakan pemrosesan data pribadi sesuai dengan item yang benar-benar dikumpulkan?
- Apakah syarat penggunaan mencakup tindakan terlarang dan dasar sanksi akun?
- Apakah ada prosedur persetujuan terhadap ketentuan dan kebijakan pemrosesan data pribadi saat pendaftaran?
- Apakah halaman admin dirancang berdasarkan prinsip hak minimum?
- Apakah akses admin dan riwayat pencarian serta perubahan data pribadi tersimpan dalam log?
- Apakah kata sandi, token, dan informasi sensitif tidak tersisa di log serta alat pelacakan error?
- Jika menggunakan login sosial, apakah informasi yang diterima dan kebijakan pemutusan koneksi tercermin dalam dokumen?

## Kesimpulan

Kemampuan pengembangan produk di era AI tidak ditentukan hanya oleh kemampuan membuat kode dengan cepat. Untuk mengoperasikan layanan nyata, keamanan autentikasi, perlindungan data pribadi, penutupan akun dan retensi, ketentuan, hak admin, serta situasi pengecualian harus diputuskan lebih dulu.

AI meningkatkan kecepatan implementasi, tetapi operatorlah yang harus menilai kebijakan apa yang aman, legal, dan sesuai untuk layanan. Saat membuat fitur pendaftaran anggota, sebelum meminta kode kepada AI, Anda harus terlebih dahulu mendefinisikan “apa yang dikumpulkan, bagaimana melindunginya, kapan menghapusnya, dan dengan dasar apa memberikan sanksi”.

## FAQ

### Mengapa kode pendaftaran anggota yang dibuat oleh AI tidak boleh langsung dideploy?
Kode yang dibuat oleh AI mungkin dapat menjalankan fungsi login dasar, tetapi bisa saja melewatkan kebijakan operasional seperti pengaturan ulang kata sandi, penutupan akun anggota, kebijakan privasi, ketentuan penggunaan, dan hak administrator. Dalam layanan nyata, bukan hanya kesalahan kode yang harus dikelola, tetapi juga perlindungan data pribadi, pembajakan akun, penanganan pelanggaran ketentuan, hingga kewajiban penyimpanan data.

### Mengapa berbahaya menyimpan kata sandi apa adanya di database?
Jika kata sandi disimpan dalam teks biasa, akun pengguna akan langsung terekspos begitu database bocor. Kata sandi harus disimpan dengan metode hash satu arah yang sesuai untuk penyimpanan kata sandi, seperti bcrypt, Argon2id, atau PBKDF2, dan operator layanan pun tidak boleh dapat melihat kata sandi aslinya.

### Berapa lama tautan pengaturan ulang kata sandi sebaiknya berlaku?
Jawaban yang tepat bergantung pada tingkat risiko layanan, tetapi secara umum lebih aman menetapkan masa berlaku yang singkat. Misalnya, disarankan untuk membatasinya menjadi 15 menit atau 30 menit, segera menonaktifkan tautan yang sudah digunakan sekali, dan menerapkan pembatasan laju pada permintaan pengaturan ulang yang berlebihan.

### Apakah semua data harus segera dihapus saat anggota menutup akun?
Tidak selalu benar bahwa semua data harus segera dihapus. Informasi identitas seperti email dan nama umumnya dihapus atau dianonimkan, tetapi informasi yang perlu disimpan karena alasan hukum atau akuntansi, seperti riwayat pembayaran atau catatan penanganan sengketa, dapat disimpan secara terbatas dengan menetapkan tujuan dan jangka waktunya.

### Apakah Soft Delete aman dari sudut pandang perlindungan data pribadi?
Soft Delete adalah metode yang menandai akun sebagai telah ditutup sehingga mencegah login dan penggunaan, tetapi data pribadi masih dapat tetap berada di database. Oleh karena itu, pengenal seperti email, nama, dan nomor telepon harus dianonimkan atau aksesnya dibatasi, dan tujuan serta jangka waktu penyimpanan harus tercermin secara jelas dalam kebijakan privasi.

### Apakah kebijakan privasi diperlukan meskipun hanya mengumpulkan email?
Di Korea, alamat email juga dapat termasuk data pribadi jika dapat mengidentifikasi seseorang atau dapat mengidentifikasi seseorang jika digabungkan dengan informasi lain. Jika Anda mengumpulkan email saat mengoperasikan layanan, Anda harus merangkum dalam kebijakan privasi item yang dikumpulkan, tujuan penggunaan, jangka waktu penyimpanan, metode pemusnahan, dan cara pengguna menggunakan haknya.

### Bolehkah menyalin dan memakai kebijakan privasi layanan lain?
Menyalinnya begitu saja berisiko. Jika Anda mencantumkan item yang sebenarnya tidak dikumpulkan atau melewatkan item yang sebenarnya dikumpulkan, isi dokumen tidak akan sesuai dengan operasional layanan. Kebijakan harus disusun berdasarkan field database Anda sendiri, formulir pendaftaran, item yang diberikan melalui login sosial, dan alat eksternal yang dialihdayakan.

### Mengapa ketentuan penggunaan diperlukan?
Ketentuan penggunaan adalah syarat kontrak antara pengguna dan layanan. Dengan adanya ketentuan, Anda dapat menyajikan secara jelas standar operasional seperti tindakan yang dilarang, penangguhan akun, penghapusan postingan, pengembalian dana layanan berbayar, dan penghentian layanan, serta menyiapkan dasar untuk mengambil tindakan terhadap pengguna berbahaya.

### Jika menggunakan login sosial, apakah tidak perlu membuat fungsi pengaturan ulang kata sandi?
Jika layanan tidak menyimpan kata sandi sendiri, beban pengaturan ulang kata sandi dapat beralih ke penyedia login sosial. Namun, penutupan akun anggota, kebijakan privasi, ketentuan penggunaan, penangguhan akun, halaman administrator, dan pemberitahuan tentang informasi yang diterima dari penyedia sosial tetap diperlukan.

### Kalimat apa yang wajib dimasukkan saat meminta AI membuat fitur pendaftaran anggota?
Sebaiknya masukkan kalimat, “Sebelum mengimplementasikan, jika ada kebijakan yang belum saya tetapkan dan perlu diputuskan, tanyakan dulu kepada saya.” Kalimat ini berfungsi membuat AI menanyakan kembali kebijakan yang terlewat, seperti verifikasi email, penanganan penutupan akun, jangka waktu penyimpanan, dan persetujuan ketentuan, sebelum sekadar membuat kode.

### Data pribadi apa yang sebaiknya dapat dilihat di halaman administrator?
Administrator hanya boleh dapat melihat informasi minimum yang diperlukan untuk pekerjaannya. Misalnya, lebih aman untuk hanya menampilkan item yang diperlukan secara operasional seperti email, status pendaftaran, dan status sanksi, serta tidak menampilkan informasi sensitif seperti kata sandi, token pengaturan ulang, atau seluruh informasi pembayaran.

## Sources

- [Undang-Undang Perlindungan Informasi Pribadi Pusat Informasi Peraturan Perundang-undangan Nasional](https://www.law.go.kr/법령/개인정보보호법)
- [Standar Verifikasi Keamanan Aplikasi OWASP](https://owasp.org/www-project-application-security-verification-standard/)
- [Lembar Panduan Lupa Kata Sandi OWASP](https://cheatsheetseries.owasp.org/cheatsheets/Forgot_Password_Cheat_Sheet.html)
- [Lembar Panduan Penyimpanan Kata Sandi OWASP](https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html)
- [Publikasi Khusus NIST 800-63B Pedoman Identitas Digital: Autentikasi dan Manajemen Siklus Hidup](https://pages.nist.gov/800-63-3/sp800-63b.html)

## Images

![Orang dan robot AI meninjau formulir pendaftaran di laptop dengan ikon keamanan](https://injoys.com/rails/active_storage/blobs/proxy/eyJfcmFpbHMiOnsiZGF0YSI6MjYyNCwicHVyIjoiYmxvYl9pZCJ9fQ==--0893ad23b7ea7bbe6d1ef282efb9d1c931ec9db4/ai-d2835ae1.webp)
![Formulir pendaftaran berkunci dengan ikon kata sandi, kunci, penghapusan, data, dan audit](https://injoys.com/rails/active_storage/blobs/proxy/eyJfcmFpbHMiOnsiZGF0YSI6MjYzMCwicHVyIjoiYmxvYl9pZCJ9fQ==--30aaa449fe22dfcb0737b24e7d1395585a305189/ai-1e42e3f5.webp)