Apakah AI di WhatsApp Web Aman? Memahami Privasi, API Key, dan Data Anda

Wajar bila Anda ragu sebelum membiarkan AI menyentuh percakapan pelanggan. Chat WhatsApp berisi nama, alamat, nomor pesanan, kadang data yang sensitif. Artikel ini menjelaskan apa yang dilakukan WAPilot terhadap data tersebut, apa yang dikirim ke mana, dan bagian mana yang tetap menjadi tanggung jawab Anda. WAPilot adalah ekstensi Chrome yang membantu Anda membalas pesan di WhatsApp Web dengan bantuan AI, bukan aplikasi WhatsApp mobile dan bukan gateway WhatsApp pihak ketiga.

Ringkasan singkat

• WAPilot berjalan sebagai ekstensi Chrome di atas WhatsApp Web, memakai sesi WhatsApp Web Anda sendiri.
• Secara bawaan, pesan tidak disimpan di server WAPilot. Hanya konteks yang Anda izinkan yang dikirim ke penyedia AI memakai API key apipedia.id milik Anda.
• Bila Remote Control/API diaktifkan, riwayat command diproses lewat server WAPilot dan dihapus otomatis setelah 1, 3, 7, atau 30 hari sesuai pilihan Anda.
• Backup lokal tersimpan di browser; backup ke Google Drive bersifat opsional dan nonaktif secara default. Token, kunci, dan lisensi tidak ikut dibackup.
• Tidak ada sistem yang bisa dijamin 100% aman. Keamanan akun, perangkat, dan kebiasaan operator tetap menentukan.

Di mana WAPilot berjalan

WAPilot berjalan di sisi browser Anda, di atas WhatsApp Web (web.whatsapp.com). Teks chat dibaca dari halaman WhatsApp Web yang sedang Anda buka, lalu ditampilkan kembali sebagai draft saran. Koneksi ke WhatsApp memakai sesi WhatsApp Web yang sama seperti ketika Anda membukanya sendiri, jadi tidak perlu nomor baru atau QR code tambahan.

Konten chat hanya diproses saat Anda secara sadar mengaktifkan fitur (misalnya mengeklik tombol AI) atau saat auto-reply aktif sesuai pengaturan Anda.

Apa yang dikirim ke mana

Konteks percakapan untuk saran balasan

Untuk membuat saran balasan, konteks chat dikirim dari browser ke endpoint API Pedia, lalu diteruskan ke model AI. Menurut Kebijakan Privasi, konteks percakapan tidak disimpan di server WAPilot dan data tidak dipakai untuk melatih model AI. Perlakuan data di sisi API Pedia mengikuti kebijakan privasi apipedia.id sendiri, jadi ada baiknya Anda membacanya juga.

Akun, lisensi, dan statistik

Saat login lewat OAuth, email, ID pengguna, dan status lisensi dipakai untuk mengatur akses. Data autentikasi dan catatan pemakaian AI disimpan di Supabase. Statistik pemakaian dicatat untuk penagihan dan disimpan maksimal 90 hari, tanpa dapat dikaitkan kembali ke isi pesan tertentu. Pengaturan, knowledge base, dan preferensi tersimpan lokal di chrome.storage.local.

Webhook (opsional)

Bila Anda mengaktifkan webhook, data percakapan dikirim ke URL yang Anda tentukan. Setelah itu data berada di sistem tujuan, dan keamanannya menjadi tanggung jawab sistem tersebut.

Peran API key apipedia.id

apipedia.id adalah gateway API yang menyediakan akses ke berbagai model AI. WAPilot memakai API key milik Anda sendiri agar pemakaian transparan, biaya terkontrol, dan privasi tetap di tangan Anda. Anda dapat memantau pemakaian lewat panel analytics.

API key dan token disimpan terenkripsi (AES-GCM) di Chrome storage, dan semua komunikasi memakai HTTPS/TLS. Meski begitu, perlakukan API key seperti kata sandi: jangan dibagikan di chat, tangkapan layar, atau dokumen bersama.

Retensi log dan backup

Retensi log: 1, 3, 7, atau 30 hari

Retensi hanya relevan bila Anda memakai Remote Control/API. Dalam mode itu, riwayat command dan isi prompt AI diproses lewat server WAPilot, lalu dihapus otomatis setelah 1, 3, 7, atau 30 hari. Anda yang memilih.

Contoh (ilustrasi): sebuah toko online menghubungkan alur otomatis ke WAPilot lewat API. Karena riwayat command hanya dibutuhkan untuk menelusuri masalah sesekali, pemilik toko memilih retensi 3 hari agar log tidak menumpuk lebih lama dari yang perlu. Tim lain yang butuh audit lebih panjang dapat memilih 30 hari. Tidak ada pilihan yang otomatis benar; sesuaikan dengan kebutuhan dan kebijakan internal Anda.

Backup: lokal dan Google Drive opsional

• Backup lokal otomatis tersimpan di browser Anda, dalam dua slot (terbaru dan sebelumnya).
• Backup ke Google Drive opsional dan nonaktif secara default. Bila diaktifkan, file disimpan di folder tersembunyi khusus aplikasi di Drive Anda sendiri, bukan di server WAPilot.
• Token, kunci, dan lisensi tidak pernah ikut dibackup.
• Saat restore, backup divalidasi dulu sebelum menimpa data.

Karena backup Drive berada di akun Google Anda, keamanannya ikut bergantung pada akun Google tersebut.

Privacy Mode, Stealth Mode, Remote Control, dan Force Kill

Privacy Mode

Privacy Mode mengaburkan (blur) pesan, nama kontak, dan media di WhatsApp Web agar tidak terbaca orang di sekitar layar. Arahkan kursor untuk membaca, dan gunakan Alt+X untuk menyalakan atau mematikannya. Ini berguna di kafe atau coworking.

Stealth Mode

Stealth Mode memberi kendali atas sinyal yang dikirim ke WhatsApp, misalnya status mengetik/merekam dan read receipts. Ini soal kontrol sinyal, bukan jaminan apa pun terhadap kebijakan atau penilaian pihak WhatsApp.

Remote Control dan Force Kill

Remote Control memungkinkan Anda mengendalikan WAPilot dari luar browser lewat REST API atau server MCP, dengan token per device. Karena kemampuannya luas, aktifkan hanya bila memang dibutuhkan. Tombol Force Kill di dashboard menghentikan paksa Remote Control dengan satu klik kapan pun diperlukan. Asisten juga dapat dinonaktifkan kapan saja tanpa uninstall.

Enterprise on-local untuk data di server sendiri

Untuk perusahaan yang mengharuskan data tetap di infrastruktur sendiri, paket Enterprise menjalankan aplikasi server, database, dan AI di server perusahaan (Docker atau Node), dengan AI lokal atau provider pilihan Anda. Lisensi dicek satu kali saat aktivasi, dan NDA serta SLA disetujui saat pembelian. Detailnya ada di halaman harga, NDA Enterprise, dan SLA Enterprise. Perlu diingat, di model ini pengamanan server menjadi tanggung jawab tim Anda.

Checklist keamanan akun dan operator

• Aktifkan verifikasi dua langkah di akun WhatsApp dan akun Google Anda.
• Gunakan akun Chrome dan perangkat yang tidak dipakai bergantian oleh orang lain.
• Simpan API key apipedia.id di tempat aman; ganti bila sempat terbagikan.
• Aktifkan Privacy Mode saat bekerja di tempat umum.
• Pilih retensi log yang sesingkat kebutuhan Anda.
• Aktifkan Remote Control dan webhook hanya bila dipakai, dan tahu cara Force Kill.
• Pilih mode kirim otomatis hanya untuk pertanyaan berisiko rendah; cek dulu untuk komplain atau data sensitif.
• Cabut akses ekstensi yang tidak dipakai lewat chrome://extensions/.

Bila ingin meninjau pengaturan privasi Anda sekarang, urutan berikut bisa dipakai:

1. Tentukan apakah Anda memakai Remote Control/API; bila tidak, biarkan nonaktif.
2. Bila memakainya, pilih retensi log 1, 3, 7, atau 30 hari sesuai kebutuhan.
3. Putuskan apakah backup Google Drive diperlukan; bila tidak, biarkan nonaktif.
4. Uji Privacy Mode dengan Alt+X sebelum bekerja di tempat umum.
5. Cari tahu letak tombol Force Kill di dashboard agar siap dipakai.

Apa yang tidak bisa dijamin

• Keamanan perangkat, browser, dan ekstensi lain di komputer Anda.
• Pemrosesan data oleh penyedia AI atau pihak ketiga di luar WAPilot, termasuk tujuan webhook Anda.
• Kebijakan dan penilaian WhatsApp terhadap akun Anda.
• Ketepatan jawaban AI. Draft saran tetap perlu dibaca operator, terutama untuk hal sensitif.
• Kebocoran akibat kelalaian pengguna, seperti kata sandi atau API key yang dibagikan.

Karena itu, tidak ada klaim aman mutlak di sini. Yang ditawarkan adalah pilihan dan kendali yang jelas di tangan Anda.

Pertanyaan yang sering diajukan

Apakah pesan saya disimpan di server WAPilot?

Secara bawaan tidak. Hanya konteks yang Anda izinkan yang dikirim ke penyedia AI. Jika Remote Control/API diaktifkan, riwayat command diproses lewat server WAPilot dan dihapus otomatis setelah 1, 3, 7, atau 30 hari sesuai pilihan Anda.

Mengapa saya perlu API key dari apipedia.id?

apipedia.id adalah gateway API yang menyediakan akses ke berbagai model AI. Dengan API key sendiri, pemakaian lebih transparan, biaya lebih terkontrol, dan Anda dapat memantau pemakaian lewat panel analytics.

Apakah backup ke Google Drive wajib?

Tidak. Backup Google Drive opsional dan nonaktif secara default. Bila diaktifkan, file disimpan di folder tersembunyi khusus aplikasi di Drive Anda sendiri, bukan di server WAPilot. Token, kunci, dan lisensi tidak ikut dibackup.

Bagaimana cara menghentikan Remote Control dengan cepat?

Gunakan tombol Force Kill di dashboard. Satu klik menghentikan paksa Remote Control. Anda juga dapat menonaktifkan asisten kapan saja tanpa perlu uninstall ekstensi.

Apakah ada opsi agar data tetap di server perusahaan?

Ada, yaitu paket Enterprise yang menjalankan aplikasi, database, dan AI di infrastruktur Anda sendiri. Lisensi dicek satu kali saat aktivasi. Lihat halaman harga serta dokumen NDA dan SLA Enterprise untuk detailnya.

Bacalah Kebijakan Privasi dan Syarat & Ketentuan secara lengkap sebelum memutuskan. Bila ingin mencoba, ikuti panduan instalasi WAPilot di Chrome, lihat daftar fitur, atau cek FAQ. Untuk integrasi lanjutan, baca panduan webhook dan MCP.