PayKita
Beranda Masuk
PAYKITA · LEGAL & PRIVACY

Ketentuan Layanan & Kebijakan Privasi

Berlaku untuk seluruh layanan PayKita — dashboard merchant, halaman checkout, REST API, webhook, integrasi API Shopee Partner/GoPay Merchant, dan Notification Listener untuk provider yang didukung.

Terakhir diperbarui: 18 Agustus 2026
Ringkasnya QRIS dan dana tetap milik merchant. Kredensial provider sensitif dienkripsi. Integrasi API dan Notification Listener memiliki risiko sesi, perubahan format notifikasi, serta pembatasan dari provider atau perangkat.
01

Ringkasan Layanan

PayKita adalah payment tools QRIS untuk merchant. Sistem menyimpan QRIS statis milik merchant, membuat QRIS order dengan nominal yang ditentukan, lalu mendeteksi transaksi masuk melalui provider yang sedang aktif untuk mencocokkan pembayaran dengan order.

Shopee Partner

Memeriksa mutasi melalui sesi/cookie portal ShopeePay Partner yang merchant hubungkan sendiri.

GoPay Merchant

Menggunakan nomor merchant + OTP, kemudian sesi access/refresh token untuk membaca transaksi GoBiz.

Notification Listener

Membaca notifikasi aplikasi pembayaran yang dipilih merchant. Provider tanpa API, termasuk OrderKuota, diproses melalui Listener dan tidak membutuhkan session provider.

Model akses saat ini: merchant dapat menghubungkan provider, menyimpan QRIS, dan mencoba order sampai PAID tanpa langganan. Project dapat dibuat tanpa langganan. Langganan diperlukan untuk membuat/membuat ulang API Key per Project dan menggunakan REST API PayKita.
02

Data yang Diproses PayKita

Untuk menjalankan akun dan payment tools, PayKita dapat memproses data berikut sesuai fitur yang digunakan:

  • Data akun merchant seperti nama, email, status verifikasi, konfigurasi 2FA, dan status langganan.
  • Data order seperti reference, nominal dasar, fee, kode unik, nominal bayar, status, waktu dibuat/dibayar/kedaluwarsa, provider pembayaran, redirect URL, serta webhook khusus order jika merchant menggunakannya.
  • Payload QRIS statis merchant beserta nama/kota merchant yang dapat dibaca dari QRIS.
  • Data transaksi provider yang diperlukan untuk pencocokan order seperti ID transaksi, nominal, status, jenis layanan, dan waktu transaksi.
  • Kredensial sesi provider sesuai bagian integrasi di bawah.

PayKita tidak membutuhkan akses SMS, kontak, galeri, lokasi perangkat, VPN, atau kendali perangkat Android karena PayKita saat ini tidak menggunakan APK catcher.

03

Data Integrasi API & Notification Listener

Shopee Partner

PayKita menyimpan cookie sesi __shopee_partner_website_x_token_live dalam bentuk terenkripsi. Cookie digunakan untuk mengakses daftar transaksi portal merchant selama sesi masih valid.

GoPay Merchant

PayKita menggunakan nomor merchant untuk meminta OTP. Setelah OTP diverifikasi, access token, refresh token, dan token OTP sementara (jika masih pending) disimpan terenkripsi. PayKita tidak menyimpan password GoPay karena flow yang digunakan berbasis nomor + OTP.

Notification Listener

PayKita Listener mengirim informasi notifikasi dari aplikasi pembayaran yang dipilih merchant, seperti sumber aplikasi, judul, isi, waktu, dan identitas notifikasi. Sistem PayKita hanya memproses notifikasi yang sesuai dengan sumber QRIS aktif.

Enkripsi kredensial: data sensitif yang memang perlu disimpan dilindungi menggunakan AES-256-GCM dengan kunci aplikasi yang terpisah dari data terenkripsi di database.
04

Risiko Penggunaan Integrasi Provider

Integrasi API Shopee Partner/GoPay Merchant bergantung pada sesi dan endpoint pihak ketiga, sedangkan Notification Listener bergantung pada akses notifikasi, layanan latar belakang, dan format notifikasi aplikasi pembayaran. Merchant wajib memahami risiko ini sebelum mengaktifkan deteksi pembayaran otomatis.

Risiko Shopee Partner
  • Deteksi pembayaran menggunakan sesi portal merchant dan endpoint web yang bukan API publik resmi yang dijamin stabil untuk integrator PayKita.
  • Cookie dapat kedaluwarsa, dicabut, atau berhenti valid ketika sesi/login akun berubah.
  • Perubahan endpoint, format request/response, atau proteksi keamanan provider dapat membuat deteksi otomatis berhenti bekerja sampai integrasi disesuaikan.
  • Otomatisasi akses dapat bertentangan dengan kebijakan/ketentuan akun provider. Shopee dapat melakukan flag, pembatasan, penangguhan, atau tindakan lain sesuai kebijakannya.
Risiko GoPay Merchant — penting
  • Integrasi memakai flow/session dan endpoint GoBiz yang dapat berubah tanpa pemberitahuan serta tidak dijamin sebagai API publik untuk integrator PayKita.
  • Pola transaksi dengan fee tambahan atau nominal unik yang muncul berulang dapat meningkatkan risiko aktivitas dianggap tidak wajar/mencurigakan oleh sistem provider. Dampaknya dapat berupa pemeriksaan, pembatasan fitur, penangguhan, sampai risiko akun diblokir/banned.
  • Karena itu PayKita merekomendasikan Fee OFF + Nominal Unik OFF + Mode Hybrid. Hybrid mempertahankan nominal bulat dan hanya menggunakan +1/+2 minimum saat ada bentrok order PENDING.
  • Mode Hybrid adalah upaya mengurangi pola transaksi otomatis, bukan jaminan akun tidak akan terkena flag atau pembatasan.
  • Jika akun dibatasi, akses saldo atau pencairan dana merchant dapat ikut terdampak sesuai kebijakan GoPay/Gojek.
Baca GOPAY RECOMMENDATION →
Risiko Notification Listener
  • Perangkat Android harus memiliki Notification Access dan layanan PayKita Listener perlu tetap berjalan untuk provider yang hanya dideteksi melalui Listener.
  • Mode hemat baterai, pembatasan background service, perubahan sistem Android, atau aplikasi provider dapat membuat notifikasi terlambat atau tidak terbaca.
  • Format teks notifikasi dapat berubah. Notifikasi yang tidak dikenali akan diabaikan agar tidak menandai order sebagai PAID secara keliru.
  • Aktifkan hanya aplikasi pembayaran yang Anda miliki atau memang berwenang Anda kelola.
05

Penyimpanan & Pengiriman Data

  • Data akun, order, konfigurasi, QRIS, sesi provider yang relevan, serta event Listener disimpan pada database yang dikonfigurasi operator PayKita.
  • Kredensial sensitif provider dan secret tertentu disimpan terenkripsi sebelum masuk database.
  • Data transaksi provider digunakan untuk pencocokan pembayaran, rekonsiliasi, dan penandaan order menjadi PAID.
  • Jika merchant mengatur Webhook Default Project atau mengirim webhook khusus per order, PayKita mengirim event ke satu URL sesuai prioritas: webhook order → webhook project → Webhook Default akun lama.
  • PayKita tidak menjual kredensial provider atau data transaksi merchant kepada pengiklan.

Berakhirnya langganan tidak otomatis menghapus token/provider atau konfigurasi Listener. Koneksi yang relevan tetap disimpan agar dapat digunakan kembali; akses REST API tetap mengikuti status langganan. Merchant dapat memutuskan koneksi atau mengubah sumber Listener secara manual.

06

Kontrol Pengguna

  • Shopee Partner: tombol Putuskan menghapus cookie sesi Shopee yang tersimpan dari akun PayKita.
  • GoPay Merchant: tombol Putuskan menghapus nomor/token sesi GoPay yang tersimpan pada koneksi tersebut.
  • Notification Listener: merchant dapat memilih aplikasi pembayaran yang diizinkan dari APK PayKita Listener. Provider yang menggunakan PayKita Listener, termasuk OrderKuota, tidak membutuhkan koneksi API merchant.
  • QRIS: merchant dapat menghapus QRIS provider dari panel masing-masing dan memilih provider QRIS aktif.
  • Password & 2FA: password dapat diganti/reset dan 2FA Authenticator dapat diaktifkan/dinonaktifkan dari Pengaturan.
  • API Key: akun dengan langganan aktif dapat membuat API Key berbeda untuk setiap Project. Jika langganan habis, key project tetap tersimpan namun penggunaan REST API dikunci sampai langganan aktif lagi.
07

Keamanan

  • Kredensial provider, webhook secret, dan data rahasia tertentu dienkripsi menggunakan AES-256-GCM.
  • Password akun lokal PayKita di-hash menggunakan bcrypt dengan cost factor 12.
  • API Key disimpan sebagai hash untuk autentikasi dan salinan penuh yang dapat direveal disimpan terenkripsi jika dibuat melalui versi yang mendukung fitur tersebut.
  • 2FA berbasis Authenticator/TOTP tersedia pada menu Pengaturan.
  • Webhook PayKita ditandatangani menggunakan HMAC-SHA256 agar merchant dapat memverifikasi payload.
  • Merchant tetap bertanggung jawab menjaga email, password, OTP, API Key, perangkat, dan akun provider miliknya sendiri.
08

Batasan Tanggung Jawab

PayKita disediakan sebagaimana adanya (as-is). PayKita bukan bank, PJP (Penyelenggara Jasa Pembayaran), maupun agregator resmi. PayKita membantu merchant membentuk QRIS order dan mencocokkan pembayaran; dana customer masuk ke QRIS/akun provider milik merchant dan tidak ditampung PayKita sebagai dana pihak ketiga.

Dalam batas yang diizinkan hukum, PayKita tidak bertanggung jawab atas gangguan provider, session expired, perubahan API/endpoint pihak ketiga, keterlambatan deteksi, salah konfigurasi merchant, pembatasan/penangguhan akun provider, atau kerugian tidak langsung yang timbul dari penggunaan integrasi opsional.

09

Perubahan Kebijakan

Kebijakan ini dapat diperbarui ketika fitur, integrasi, atau proses PayKita berubah. Versi terbaru tersedia pada halaman /privasi. Dengan terus menggunakan layanan setelah pembaruan berlaku, Anda dianggap menyetujui versi terbaru sejauh diperbolehkan oleh ketentuan yang berlaku.

10

Kontak

Pertanyaan mengenai layanan, risiko integrasi, atau privasi dapat disampaikan melalui Contact Support PayKita.

Hubungi Support via Telegram →