Blog
Checklist Kepatuhan Menerima Pembayaran Online di Indonesia (PSE & PDP)
Menerima pembayaran online bukan sekadar memasang tombol "Bayar" di website. Ada lapisan aturan yang perlu dipahami setiap pemilik usaha di Indonesia, mulai dari pendaftaran sistem elektronik hingga perlindungan data pelanggan. Artikel ini menyusun compliance pembayaran Indonesia menjadi checklist praktis yang mudah diikuti oleh merchant, UMKM, maupun developer — supaya kamu bisa terima QRIS dan Virtual Account dengan tenang, tanpa melanggar ketentuan yang berlaku.
Perlu ditegaskan sejak awal: tulisan ini bersifat edukasi umum, bukan nasihat hukum. Regulasi bisa berubah dan penerapannya bergantung pada skala serta model bisnis kamu. Untuk keputusan yang mengikat, konsultasikan dengan penasihat hukum atau langsung merujuk ke sumber resmi (Kementerian Komunikasi dan Digital serta Bank Indonesia).
Kenapa Compliance Pembayaran Indonesia Penting
Saat kamu menerima uang dari pelanggan secara digital, kamu menyentuh dua wilayah sensitif sekaligus: sistem elektronik dan data pribadi. Keduanya diatur negara. Mengabaikannya berisiko sanksi administratif, pemblokiran layanan, hingga hilangnya kepercayaan pelanggan.
Kabar baiknya, sebagian besar beban berat — memproses dan menyimpan dana — bukan tanggung jawab merchant secara langsung, melainkan mitra Payment Gateway yang berlisensi Bank Indonesia. Tugas kamu sebagai merchant lebih ke arah tata kelola: mendaftarkan sistem, menyusun kebijakan privasi, dan memastikan alur pembayaran aman. Checklist di bawah membantumu memetakan apa yang benar-benar jadi tanggung jawabmu.
Peran Mitra Berlisensi Bank Indonesia
Sebelum masuk checklist, pahami dulu pembagian peran. Di Indonesia, aktivitas memproses transaksi pembayaran dan menampung dana adalah kegiatan yang wajib berlisensi dari Bank Indonesia (Penyelenggara Jasa Pembayaran/PJP).
BorderPay adalah lapisan teknologi (software) yang berdiri di atas mitra Payment Gateway berlisensi. BorderPay sendiri bukan payment gateway dan bukan PJP. Artinya, pemrosesan dan penyimpanan dana dilakukan oleh mitra yang sudah mengantongi izin BI — sementara BorderPay menyediakan cara mudah untuk terhubung: buat link manual dari dashboard, payment link, Embed Checkout (tempel satu snippet), atau REST API. Ada pula endpoint GET /payment-methods untuk discovery metode yang tersedia.
Kenapa ini penting untuk compliance? Karena dengan memakai lapisan di atas mitra berlisensi, kamu tidak perlu mengurus izin PJP sendiri untuk sekadar menerima QRIS atau VA. Beban lisensi ada di pihak yang tepat.
Checklist 1: Pendaftaran PSE Komdigi
Jika kamu mengoperasikan website, aplikasi, atau layanan yang bisa diakses publik dan melibatkan transaksi elektronik, kamu berpotensi masuk kategori Penyelenggara Sistem Elektronik (PSE) yang wajib mendaftar ke Kementerian Komunikasi dan Digital (Komdigi, sebelumnya Kominfo).
Yang perlu kamu lakukan:
- Kenali kewajibanmu. PSE Lingkup Privat umumnya mencakup portal, situs, atau aplikasi yang menyediakan/mengelola transaksi keuangan atau menampung data pengguna. Cek apakah usahamu masuk kriteria.
- Siapkan dokumen dasar. Umumnya termasuk identitas badan usaha, deskripsi layanan, serta kebijakan privasi dan syarat & ketentuan yang bisa diakses publik.
- Daftar melalui kanal resmi Komdigi. Pendaftaran dilakukan lewat sistem OSS/portal resmi yang berlaku. Ikuti prosedur terkini karena mekanismenya dapat diperbarui.
- Simpan bukti dan perbarui data. Jika ada perubahan signifikan pada layanan, perbarui informasi pendaftaran sesuai ketentuan yang berlaku.
Catatan penting: kewajiban dan ambang batas PSE bisa berbeda tergantung jenis dan skala usaha. Jangan berasumsi — verifikasi ke sumber resmi atau penasihat hukum.
Checklist 2: Kepatuhan UU PDP (Perlindungan Data Pribadi)
Undang-Undang Perlindungan Data Pribadi (UU PDP) mengatur bagaimana kamu boleh mengumpulkan, memakai, menyimpan, dan menghapus data pribadi pelanggan. Saat menerima pembayaran, kamu hampir pasti memproses data seperti nama, email, nomor telepon, atau detail transaksi.
Hal-hal mendasar yang sebaiknya kamu penuhi:
Kebijakan Privasi (Privacy Policy)
- Jelaskan data apa yang dikumpulkan dan untuk tujuan apa.
- Sebutkan siapa yang mungkin memproses data tersebut (misalnya mitra pembayaran berlisensi).
- Cantumkan hak pengguna: mengakses, memperbaiki, dan menghapus datanya.
- Berikan kanal kontak untuk pertanyaan privasi.
Syarat & Ketentuan (Terms of Service)
- Atur hak dan kewajiban antara kamu dan pelanggan.
- Cantumkan aturan refund, pembatalan, dan penyelesaian sengketa secara jelas.
Prinsip Penanganan Data
- Minimalkan data. Kumpulkan hanya yang perlu untuk transaksi.
- Dasar pemrosesan yang sah. Umumnya berupa persetujuan (consent) atau pelaksanaan kontrak.
- Keamanan. Lindungi data dengan langkah teknis dan organisasi yang wajar.
- Retensi. Jangan menyimpan data lebih lama dari yang diperlukan.
Dengan memakai mitra berlisensi lewat BorderPay, sebagian data pembayaran sensitif tidak perlu kamu simpan sendiri — pemrosesan dan penyimpanan dana ada di sisi mitra. Ini mengurangi permukaan risiko datamu.
Checklist 3: Keamanan Teknis Alur Pembayaran
Compliance tidak berhenti di dokumen. Alur teknis pembayaranmu juga harus rapi supaya tidak jadi celah. Beberapa hal yang perlu diperhatikan:
| Area | Yang perlu dipastikan |
|---|---|
| Notifikasi | Verifikasi tanda tangan HMAC pada webhook (payment.paid, payment.expired, payment.failed) |
| Idempotensi | Tangani webhook secara idempoten agar event ganda tidak menggandakan pesanan |
| Kedaluwarsa | Pahami masa berlaku: QRIS 60 menit, VA 24 jam; lewat itu otomatis kedaluwarsa (tanpa bayar-telat) |
| Log | Manfaatkan log webhook dan fitur kirim ulang saat terjadi kegagalan |
| Enkripsi | Pastikan situs memakai HTTPS dan simpan kredensial API dengan aman |
BorderPay mengirim notifikasi bertanda tangan HMAC dan menyediakan log serta kirim ulang. Di sisi merchant, praktik terbaiknya tetap: verifikasi tanda tangan dan pastikan pemrosesan idempoten. Detail teknis ada di dokumentasi, dan konsep webhook serta idempotensi bisa kamu pelajari lebih jauh di panduan integrasi API pembayaran.
Checklist 4: KYC dan Kesiapan Go-Live
Untuk menerima uang sungguhan, kamu wajib menyelesaikan KYC (Know Your Customer). Ini bagian dari kepatuhan anti pencucian uang yang diterapkan mitra berlisensi. Prosesnya melibatkan verifikasi identitas dan data usaha.
Yang membantu: kamu bisa memakai mode test/sandbox sejak hari pertama untuk menguji integrasi tanpa menunggu KYC selesai. Jadi tim developer bisa mulai bekerja lebih awal, sementara proses verifikasi berjalan paralel. Ingat, kata "langsung" hanya berlaku untuk integrasi dan sandbox — bukan untuk go-live menerima uang, yang butuh KYC tuntas. Langkah demi langkahnya bisa kamu ikuti di panduan uji pembayaran di sandbox sebelum go-live.
Tentang biaya: tidak ada biaya pendaftaran atau langganan — biaya hanya muncul saat transaksi. Untuk rincian tarif, silakan lihat halaman pricing agar informasinya selalu akurat.
Checklist 5: Settlement, Penarikan, dan Transparansi
Kepatuhan juga soal transparansi ke pelanggan dan pencatatan internal:
- Settlement. Dana tertahan sebentar lalu tersedia sesuai jadwal per metode. Perhitungan mengikuti hari kerja dan melewati akhir pekan serta libur nasional. Status dan tanggal tampil di dashboard — berguna untuk rekonsiliasi dan pembukuan.
- Penarikan. Dana ditarik otomatis ke rekening bank Indonesia. Ada biaya per penarikan; jika penarikan gagal, saldo dikembalikan penuh.
- Pencatatan. Simpan catatan transaksi yang rapi untuk kebutuhan pajak dan audit sesuai ketentuan yang berlaku.
Transparansi seperti ini bukan cuma soal kepatuhan internal, tapi juga menjaga kepercayaan pelanggan yang menunggu konfirmasi pembayaran mereka diproses dengan benar.
Ringkasan Checklist
- Cek dan lakukan pendaftaran PSE ke Komdigi bila usahamu memenuhi kriteria.
- Susun kebijakan privasi dan syarat & ketentuan yang selaras dengan UU PDP.
- Terapkan prinsip minimalisasi & keamanan data.
- Amankan alur teknis: verifikasi HMAC, idempotensi, HTTPS.
- Selesaikan KYC sebelum go-live; pakai sandbox untuk uji lebih awal.
- Jaga transparansi settlement, penarikan, dan pencatatan.
Dengan checklist ini, kamu punya peta yang jelas untuk menerima pembayaran online secara patuh. BorderPay membantu di sisi teknis — menghubungkanmu ke mitra Payment Gateway berlisensi Bank Indonesia lewat integrasi yang praktis, sehingga fokusmu bisa kembali ke bisnis. Siap mulai? Buat akun lewat halaman registrasi dan uji integrasi di sandbox hari ini, atau baca dulu FAQ untuk pertanyaan umum seputar akun dan keamanan.
Artikel ini disusun sebagai panduan umum dan bukan nasihat hukum. Selalu rujuk sumber resmi dan penasihat profesional untuk keputusan kepatuhan yang mengikat.