DRAFT UNTUK REVIEW — BELUM BERLAKU. Disusun berdasarkan PRD v2.3 dan identitas operator dari pemilik produk. Dokumen ini tidak menyatakan semua fitur telah diimplementasikan atau DekaSign telah tersertifikasi.

Tanggal berlaku: Menunggu persetujuan legal

Keamanan DekaSign

DRAFT UNTUK REVIEW — BELUM BERLAKU. Naskah ini disusun berdasarkan PRD v2.3. Identitas operator telah diisi berdasarkan informasi pemilik produk; kontak resmi, praktik pemrosesan yang nyata, rincian kontrak, dan kesiapan layanan tetap harus diverifikasi sebelum publikasi. Bagian {{...}} wajib dilengkapi. Dokumen ini bukan pernyataan bahwa semua fitur telah diimplementasikan atau bahwa DekaSign telah tersertifikasi.

Penanggung jawab layanan: CV DNA Konsultan.
Alamat terdaftar: Jl. Arabika 8 Blok AA 1 No. 9, RT.001/RW.005, Pondok Kopi, Duren Sawit, Jakarta Timur, DKI Jakarta 13460, Indonesia.
Kontak keamanan: [PENDING CONFIGURATION: SECURITY_CONTACT].
Pembaruan informasi: [PENDING CONFIGURATION: SECURITY_REVIEW_DATE].
Lingkup rilis yang sudah diverifikasi: Aplikasi web Approval Workflow (Form Builder, kanvas alur persetujuan, pengajuan, keputusan, delegasi, notifikasi email) dan Native Document Sign mandiri maupun setelah persetujuan, dengan bukti integritas internal DekaSign atas PDF final. Segel elektronik bersertifikat, sertifikat pribadi penanda tangan, trusted timestamp, SSO, dan external provider signing tidak termasuk rilis ini..

1. Cara membaca halaman ini

DekaSign dirancang untuk pengajuan approval dan penandatanganan dokumen dengan pemisahan identitas, kewenangan, versi dan bukti. Halaman ini menjelaskan pendekatan serta batas keamanan. Hanya kontrol yang sudah dioperasikan dan diverifikasi pada rilis yang disebutkan boleh dinyatakan tersedia kepada pelanggan.

Status saat draf disiapkan: sumber yang ditinjau adalah PRD v2.3 dan reference runtime v1.18. Pengujian contoh lokal bukan audit aplikasi produksi. Native cryptographic signing, embedding provenance PDF, provider live, SSO produksi, migrations PostgreSQL dan keseluruhan browser security tidak dianggap selesai oleh keberadaan dokumen desain atau screenshot.

Kontrol produksi dan bukti yang boleh diumumkan: [PENDING CONFIGURATION: VERIFIED_SECURITY_MEASURES].

Tidak ada klaim ISO 27001, SOC 2, sertifikasi PSrE, kepatuhan eIDAS/NIST/GDPR menyeluruh, atau availability SLA yang dibuat dari rancangan ini. Informasi sertifikasi yang sah, bila kelak ada, harus menyebut entitas, layanan, ruang lingkup dan masa berlaku yang benar.

2. Identitas, akses organisasi dan permission

Rancangan memisahkan akun, membership, role, kewenangan kategori, assignment task, permission dokumen dan kebijakan session. Satu menu yang terlihat bukan hak menjalankan semua tindakan. Organization Owner adalah superuser dalam tenant-nya, termasuk akses administratif terhadap dokumen Private, tetapi tidak dapat mengakses tenant lain, membaca OTP/private key, atau menyamar sebagai signer.

Pengguna biasa hanya dapat mengakses resource sesuai izin yang sah. Keamanan meliputi pemeriksaan pada API, pencarian, metadata, preview, export dan worker—bukan sekadar menyembunyikan tombol. Operator dukungan tidak otomatis diberi hak browsing semua dokumen pelanggan.

SSO nonaktif secara default. Aktivasi memerlukan konfigurasi, pengujian dan tindakan berwenang. MFA/OTP yang diwajibkan organisasi tidak dimatikan akibat downgrade atau kendala pembayaran. Metode, enrollment, recovery serta pencabutan sesi harus diuji pada semua jalur login yang ditawarkan. Status produksi untuk mekanisme tersebut mengikuti daftar kontrol terverifikasi, bukan tombol pada prototype.

3. Guest tanpa akun dan pengamanan kontak

Guest signing membatasi akses pada penerima, proses dan giliran yang sah. Link atau UUID bukan grant untuk mengetahui semua data. Undangan dikirim ketika giliran aktif; kode baru dibuat setelah penerima menekan Send Verification Code.

Nomor/email ditetapkan saat preparation. Guest tidak boleh memilih tujuan kode sendiri. Pembuktian penguasaan kontak dibedakan dari validasi format dan pemeriksaan identitas hukum. Email OTP serta OTP telepon tidak otomatis disebut MFA dengan tingkat assurance tertentu; penilaian mengikuti faktor, metode dan bukti yang benar-benar digunakan.

Session guest dirancang terbatas waktu, scope dan tujuan, dengan perlindungan replay, batas percobaan dan pencabutan. Perangkat baru dapat memerlukan verifikasi ulang tanpa menghapus draft yang sudah disimpan. Owner tidak memperoleh kode lewat Notification Logs. Tool pembaca mailbox dan identitas demo hanya alat developer lokal dan tidak boleh menjadi fitur publik.

4. Native E-Sign, provider dan integritas hasil

Native E-Sign yang ditetapkan PRD mengikat consent ke versi dokumen dan melindungi bukti per signer, kemudian menyegel PDF final atas nama platform. Segel tersebut tidak berpura-pura sebagai sertifikat pribadi signer. Additional Identity Verification memeriksa identitas melalui layanan yang dipilih; hasilnya bukan tanda tangan provider terhadap isi PDF.

External Provider Signing diterima hanya melalui adapter/profil yang kompatibel, dengan pemeriksaan hasil, identitas/sertifikat sesuai kebutuhan, urutan dan versi. Kembalinya browser ke halaman sukses atau callback “accepted” bukan satu-satunya bukti Signed.

Visible Signature dan Digital Only menjalankan kewajiban signing yang sama; appearance bukan credential. Tombol Use Signature tidak sama dengan Sign Document. Keputusan approval juga bukan signature. Dokumen keseluruhan baru disebut Signed setelah seluruh checkpoint serta hasil final yang diwajibkan lolos pemeriksaan.

Kesiapan implementasi dan validasi kriptografis produksi: [PENDING CONFIGURATION: CRYPTOGRAPHIC_SERVICE_DISCLOSURE]. Jangan menyimpulkan hasil reference signature.simulated merupakan signed PDF yang terverifikasi.

5. Encrypted provenance dan Signing Process ID

Profil output baru DekaSign mensyaratkan UUID proses pada payload provenance terenkripsi yang ditanam sebelum signing dan tercakup seal/signature. Manifest terpisah mengikat UUID, hash final, envelope dan checkpoint. Data tersebut memungkinkan penelusuran dengan izin yang benar, bukan pencarian publik seluruh dokumen.

Raw OTP, password, kunci dan biometrik tidak dimasukkan ke payload. Hash atau UUID saja tidak membuktikan keaslian; verifier memeriksa integritas, binding, cakupan signature dan manifest. File yang diubah, dikonversi, atau diprint ulang tidak otomatis mewarisi status original. Legacy file yang tidak membawa payload tidak dinyatakan mempunyai embedded provenance.

Enkripsi payload berbeda dari enkripsi database dan tidak berarti PDF wajib memakai open password. Rotasi kunci tidak boleh dilakukan dengan menulis ulang PDF final. Material verifikasi serta dekripsi yang diperlukan selama retensi yang sah membutuhkan lifecycle dan pemulihan yang diuji.

6. File, penyimpanan dan deployment

Kontrol yang direncanakan mencakup transport terlindungi, private object storage, validasi/quarantine file, pembatasan parser, version/hash, akses download terotorisasi serta retensi yang terukur. Kami tidak menyatakan skema end-to-end encryption di mana DekaSign sama sekali tidak dapat memproses plaintext, karena layanan render, review dan signing memerlukan pemrosesan server sesuai rancangan.

Shared dan dedicated memakai batas yang disepakati untuk database, file, keys, workers, runtime history, logs dan backups. Dedicated tidak otomatis berarti semua data tetap di negara atau perangkat pelanggan; provider, AI, support dan jalur export harus disebutkan dalam kontrak. Lokasi serta tanggung jawab deployment aktual: [PENDING CONFIGURATION: DATA_LOCATION_DISCLOSURE].

Final artifact tidak ditimpa untuk mengubah sejarah. Keutuhan bukti tetap berdampingan dengan kewajiban privasi/retensi; tidak menjadi klaim penyimpanan abadi. Rincian penghapusan dan cadangan dijelaskan dalam Privacy Policy serta DPA.

7. Integrasi, API, secret dan AI

Koneksi memiliki scope tenant/environment, akun provider, capability dan izin use/manage yang berbeda. API key organisasi tidak memberi hak menyetujui atau menandatangani sebagai manusia. Secret tidak diletakkan pada canvas, URL publik, log, screenshot atau keluaran AI.

Inbound callback, outbound webhook, data import/export dan notifikasi mempunyai pemeriksaan masing-masing. Timeout yang hasilnya belum diketahui memerlukan rekonsiliasi; retry tidak boleh menggandakan keputusan, signature atau biaya. Export cloud menggunakan final bytes yang sama dan tujuan yang diotorisasi, bukan mengubah signed PDF.

AI berfungsi sebagai asisten draft. Data dokumen atau output API tidak menjadi instruksi untuk mengubah izin. Proposal AI ditinjau dan divalidasi sebelum diterapkan; AI tidak boleh mengambil credential atau memberikan hak yang tidak dimiliki pengguna. Penyedia, retention dan pembatasan penggunaan data AI wajib dijelaskan sebelum diaktifkan.

8. Pengembangan, monitoring dan pemulihan

Program keamanan produksi harus mencakup review perubahan, pembaruan dependency, pengujian authorization/tenant, audit yang disanitasi, observability, response insiden serta restore drill. Bukti harus menyebut build, environment, dependency dan tanggal. Hasil unit test atau screenshot tidak menggantikan penetration test atau pemeriksaan browser-origin end-to-end.

Ringkasan pengujian/assurance yang boleh dipublikasikan: [PENDING CONFIGURATION: SECURITY_ASSURANCE_DISCLOSURE]. Tidak ada target p95, uptime 99,9%, RPO/RTO, atau “nol kebocoran” yang berubah menjadi jaminan hanya karena terdapat pada sasaran engineering. SLA yang disepakati ditentukan dalam perjanjian layanan.

9. Tanggung jawab bersama

DekaSign bertanggung jawab mengoperasikan kontrol yang dikontrakkan. Organisasi bertanggung jawab atas penetapan kewenangan, kebutuhan data, penerima, konfigurasi, peninjauan serta kebijakan retensi yang sah. Pengguna menjaga akun dan memverifikasi tindakan yang dilakukan atas namanya. Provider menjalankan kewajiban menurut peran dan kontraknya.

Kewajiban pelanggan tidak membebaskan penyedia dari tanggung jawabnya. Sebaliknya, layanan tidak dapat mencegah seluruh pembagian file oleh orang yang sudah memiliki copy sah, atau menjamin setiap isi dokumen pelanggan benar. Kontrol download/print bukan anti-copy atau remote-delete absolut.

10. Melaporkan masalah keamanan

Kirim ringkasan ke [PENDING CONFIGURATION: SECURITY_CONTACT]: komponen yang terdampak, langkah reproduksi minimal, dampak, waktu dan kontak Anda. Jangan sertakan data pribadi pihak lain, credential, OTP, full PDF pelanggan atau materi eksploitasi berlebihan. Kanal pertukaran bukti sensitif akan ditentukan setelah kontak awal: [PENDING CONFIGURATION: SECURE_REPORTING_CHANNEL].

Jangan mengakses data tenant lain, mengubah/menghapus data, melakukan denial-of-service, social engineering, atau pengujian di luar izin. Jika menemukan akses tak sengaja, hentikan pengujian dan laporkan. Halaman ini bukan penawaran bug bounty atau safe-harbor yang belum disetujui. Ruang lingkup pengujian berizin dan target respons pelaporan adalah [PENDING CONFIGURATION: VULNERABILITY_DISCLOSURE_PROCEDURE].

Untuk permintaan hak privasi gunakan halo@dekasign.com. Untuk insiden pelanggan, pemberitahuan mengikuti DPA serta hukum yang berlaku; halaman ini tidak menunda atau menggantikan kewajiban tersebut.

Batas dokumen: informasi ini tidak membuka kunci, detail tenant, temuan rentan yang belum diperbaiki atau konfigurasi yang dapat disalahgunakan. Pernyataan baru hanya dipublikasikan setelah evidence dan peninjauan yang sesuai tersedia.