Daftar isi / Contents

1. Siapa kami dan ruang lingkup
2. Cara kerja akun
3. Data yang kami kumpulkan dan alasannya
4. Tanpa iklan, analitik, dan pelacak
5. Dasar pemrosesan data
6. Dengan siapa data dibagikan
7. Transfer data lintas negara
8. Berapa lama data disimpan
9. Keamanan
10. Hak Anda dan cara menggunakannya
11. Anak-anak
12. Perubahan kebijakan
13. Kontak
1. Who we are and scope
2. How accounts work
3. Data we collect and why
4. No ads, analytics or trackers
5. Legal bases for processing
6. Who the data is shared with
7. International transfers
8. How long we keep data
9. Security
10. Your rights and how to use them
11. Children
12. Changes to this policy
13. Contact

Kebijakan Privasi Evolnu

Terakhir diperbarui: 9 November 2026. English version: klik di sini.

Ringkasan singkat

Akun memakai username Evolnu dan PIN. Metode Google, Instagram atau TikTok ditampilkan hanya jika tersedia. Untuk metode DM, kami menerima ID provider, handle dan status follow; untuk Google, kami memverifikasi token identitas. Kami tidak meminta nomor telepon atau nama asli.
PIN Anda hanya kami simpan dalam bentuk hash (argon2id), tidak pernah sebagai teks biasa. Kami tidak meminta kata sandi Google, Instagram atau TikTok Anda.
Evolnu tidak memuat iklan atau SDK analitik dan tidak menjual data Anda. Jika Anda memilih Google, Google Identity Services dapat memakai cookie atau penyimpanan sesuai kebijakan Google untuk autentikasi.
Pembayaran lewat QRIS diproses oleh penyedia pembayaran pihak ketiga. Kami tidak menerima nomor kartu, e-wallet, atau rekening Anda.
Anda dapat menghapus akun sendiri kapan saja di halaman Akun, atau lewat email: evolnu.com/delete-account.

1. Siapa kami dan ruang lingkup

EvolnuCity ("Layanan") adalah game sosial berbasis web di evolnu.com. EvolnuCity dikembangkan dan dioperasikan oleh Evolnu Digital di Indonesia ("kami"). Untuk data pribadi yang diproses melalui Layanan, kami bertindak sebagai pengendali data pribadi.

Kebijakan ini berlaku untuk situs evolnu.com dan layanan server di belakangnya. Kontak kami: info@evolnu.com.

2. Cara kerja akun

Untuk membuat akun, pilih metode yang tersedia pada halaman daftar. Metode DM Instagram/TikTok meminta follow lalu kata daftar sesuai instruksi; bot membalas link sekali pakai yang berlaku 15 menit. Metode Google memverifikasi token Google. Semua jalur meminta username Evolnu, nama tampilan dan PIN 6 angka beserta konfirmasi sebelum akun dibuat. Berikutnya Anda masuk dengan username Evolnu dan PIN. Google dapat dipakai jika tertaut dan tersedia; pemulihan Google juga hanya untuk identitas yang telah tertaut. Bila lupa PIN, kirim DM "lupa pin" untuk mengaturnya ulang; ini membuktikan bahwa Anda mengendalikan akun Instagram tersebut.

Kami tidak mengakses akun Instagram Anda. Kami hanya menerima DM yang Anda kirim ke akun Evolnu dan informasi yang disebut di bagian 3.1.

3. Data yang kami kumpulkan dan alasannya

3.1 Dari Instagram (Meta) saat Anda mengirim DM

ID Instagram Anda yang unik untuk akun Evolnu (IGSID), username Instagram, dan status apakah Anda mengikuti akun Evolnu. Dipakai untuk membuat dan mengenali akun serta memastikan syarat "follow" terpenuhi.
Isi pesan Anda hanya dibaca untuk mengenali kata kunci dan tidak kami simpan. Kami menyimpan ID pesannya selama 14 hari agar pesan yang sama tidak diproses dua kali.

3.2 Data akun

Username Evolnu yang tetap, nama tampilan, hash PIN, waktu akun dibuat/diubah, serta identitas provider yang tertaut. Handle Instagram/TikTok adalah metadata yang dapat diperbarui dari provider; perubahan handle tidak mengganti username Evolnu. Token Google dapat menyertakan nama/email; informasi itu bukan kunci penautan dan tidak ditampilkan pada profil publik.
Jumlah percobaan PIN yang salah dan waktu penguncian sementara, untuk melindungi akun Anda.
Link pendaftaran yang kami kirim: kami menyimpan hash token (bukan token-nya), IGSID, username, tujuannya (daftar atau atur ulang PIN), dan waktu berlaku.

3.3 Sesi dan keamanan

Sesi login: pengenal sesi, hash token penyegar, alamat IP, user agent (jenis browser dan perangkat), waktu dibuat, terakhir dipakai, dan kedaluwarsa (sesi berlaku hingga 30 hari sejak terakhir dipakai). Dipakai agar Anda tetap masuk dengan aman dan dapat melihat serta mengeluarkan perangkat.
Catatan keamanan: peristiwa seperti masuk, gagal masuk, penguncian, ganti PIN, dan pencabutan sesi, beserta IP dan user agent. Dipakai untuk mendeteksi penyalahgunaan.

3.4 Pembelian koin dan Diamond

Pesanan: ID pesanan, paket, jenis mata uang (Koin atau Diamond), jumlah, nominal rupiah, status, kode metode pembayaran, penyedia pembayaran yang dipakai beserta referensinya, dan waktu.
Email dan nomor telepon: tidak diminta saat Anda membeli. Bila penyedia pembayaran mewajibkan alamat email atau nomor telepon, kami mengisinya dengan nilai samaran (misalnya o-1a2b3c4d@evolnu.com); itu bukan milik Anda.
Catatan notifikasi (callback) dari penyedia pembayaran untuk setiap pesanan, serta saldo koin dan Diamond dan riwayat perubahannya.
Pembayaran QRIS dilakukan di aplikasi bank atau e-wallet Anda sendiri; nomor kartu, e-wallet, atau rekening Anda tidak pernah kami terima.
Ketersediaan top-up dan status pesanan ditampilkan di halaman Koin & Diamond dan Pesanan.

3.5 Data teknis dan penyimpanan di browser

Alamat IP dipakai untuk membatasi laju permintaan dan menjaga keamanan, dan tercatat dalam log server.
Browser Anda menyimpan sesi masuk dan pilihan tema (localStorage), serta ID pesanan terakhir (sessionStorage). Token aktivasi atau reset PIN hanya berada dalam memori tab sampai dipakai; setelah memuat ulang halaman, buka kembali tautan DM. Anda dapat menghapusnya dengan keluar atau membersihkan data situs. Sesi API Evolnu memakai bearer token. Jika Anda memilih Google, SDK autentikasi Google dapat memakai cookie untuk mengelola pilihan masuk; token transaksi dan credential Google tetap hanya di memori tab.

Untuk memulihkan permintaan yang hasilnya belum pasti, aplikasi dapat menyimpan rincian permintaan di browser. Data ini dapat tetap ada sampai aplikasi menghapus atau mengganti permintaan tersebut, atau Anda menghapus data browser.

3.6 Data yang tidak kami kumpulkan

Email (kecuali yang Anda isi sendiri saat membeli), nomor telepon, nama asli, tanggal lahir, lokasi perangkat, kontak perangkat, kamera, dan mikrofon.
Kata sandi Instagram dan isi DM Instagram Anda selain yang disebut di bagian 3.1.
Nomor kartu, e-wallet, atau rekening.

3.7 Data permainan dan sosial

Layanan menyimpan dan memproses pilihan karakter dan rumah, alamat game yang dialokasikan server, saldo koin dan Diamond, inventaris, Nu, kemajuan pekerjaan, data percobaan serta hasil minigame yang diverifikasi, chat dan DM di dalam game, relasi follow, blokir dan laporan untuk menjalankan fitur permainan dan sosial. Nama tampilan dan bio dapat ditampilkan pada profil; pembatasan akses mengikuti aturan fitur terkait.

4. Tanpa iklan, analitik, dan pelacak

Situs Evolnu tidak memakai iklan, SDK analitik, pelaporan kerusakan, atau pelacak pihak ketiga. Saat game dibuka, termasuk sebelum masuk akun, browser memuat Google Fonts melalui fonts.googleapis.com dan fonts.gstatic.com. Game juga memakai aset bawaan Evolnu. SDK Google Identity Services dari accounts.google.com dimuat hanya saat Anda memilih proses Google. Identitas provider hanya ditautkan setelah proof dan PIN akun asal diperiksa; email Google tidak ditampilkan pada profil, pencarian atau room. Saat Anda membayar dengan memindai QRIS di aplikasi bank atau e-wallet Anda, atau diarahkan ke Instagram untuk mengirim DM, aplikasi atau halaman tersebut dikelola pihak lain dan tunduk pada kebijakan privasi mereka.

5. Dasar pemrosesan data

Pelaksanaan perjanjian: membuat dan menjalankan akun, memproses pembelian, dan menambahkan koin.
Kepentingan yang sah: keamanan akun dan layanan, pencegahan penyalahgunaan, dan pencatatan teknis.
Kewajiban hukum: menyimpan catatan transaksi sesuai peraturan pajak dan akuntansi.
Persetujuan: pesan DM yang Anda kirim. Anda dapat menarik persetujuan dengan menghapus akun.

6. Dengan siapa data dibagikan

Meta (Instagram): sumber DM yang Anda kirim. Kami mengirim balasan DM berisi link kepada Anda lewat Instagram.
Penyedia pembayaran (gerbang QRIS pihak ketiga; yang dipakai dapat berganti dari waktu ke waktu): nama paket, nominal, ID pesanan, dan metode pembayaran. Sebagian penyedia juga menerima nama tampilan Anda sebagai nama pembeli, disaring dari karakter khusus dan dipotong hingga 20–60 karakter. Email dan nomor telepon yang diwajibkan penyedia kami isi dengan nilai samaran milik Evolnu, bukan milik Anda.
Penyedia hosting (Amazon Web Services, wilayah Singapura) yang menyimpan data atas nama kami.
Pihak berwenang bila diwajibkan hukum.

Kami tidak menjual atau menyewakan data Anda. Fitur sosial menampilkan nama tampilan, bio, kartu profil, relasi sosial, alamat game dan XP Karier kepada pemain lain sesuai pembatasan akses server. Preferensi tampilkan Instagram mengatur baris atau tautan Instagram pada tampilan; username tetap dapat ditemukan melalui pencarian dan fitur sosial lain.

7. Transfer data lintas negara

Server kami berada di Singapura. Meta (Instagram) dan penyedia hosting dapat memproses data di luar Indonesia. Penyedia pembayaran memproses data sesuai kebijakan privasinya sendiri. Kami hanya memakai penyedia yang menerapkan perlindungan yang wajar dan membagikan data seperlunya.

8. Berapa lama data disimpan

Data akun disimpan selama akun Anda ada. Profil permainan dan saldo koin serta Diamond dihapus melalui proses hapus akun. Catatan audit perubahan saldo dan laporan yang memakai pengenal internal akun tidak dihapus oleh proses tersebut.
Link pendaftaran: dihapus 7 hari setelah dipakai, dicabut, atau kedaluwarsa.
Sesi login: dihapus 30 hari setelah berakhir atau dicabut.
ID pesan Instagram: 14 hari.
Catatan keamanan dan catatan callback pembayaran: 180 hari.
Catatan pesanan dan pembayaran dapat kami simpan selama diwajibkan peraturan pajak dan akuntansi (di Indonesia umumnya hingga 10 tahun). Setelah akun dihapus, catatan ini tidak lagi terhubung ke Anda: tautan ke akun dan email dihapus.
Log teknis server disimpan terbatas sesuai rotasi log, dan cadangan sistem (bila ada) sampai rotasinya berakhir.

9. Keamanan

Komunikasi memakai HTTPS/TLS.
PIN disimpan sebagai hash argon2id dengan rahasia tambahan di server; PIN tidak pernah disimpan sebagai teks biasa.
Akun dikunci sementara setelah 5 kali PIN salah, dengan waktu kunci yang bertambah hingga 24 jam.
Token akses berlaku singkat (15 menit); token penyegar diputar dan pemakaian ulang yang mencurigakan mencabut sesi.
Mengganti PIN dan menghapus akun meminta PIN lagi. Anda dapat mengeluarkan perangkat lain dari halaman Akun.
Tidak ada sistem yang sepenuhnya aman. Jika terjadi insiden yang berdampak pada Anda, kami akan memberi tahu sesuai hukum yang berlaku.

10. Hak Anda dan cara menggunakannya

Sesuai hukum yang berlaku (termasuk UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi), Anda berhak meminta akses, perbaikan, dan penghapusan data Anda, menarik persetujuan, dan mengajukan keberatan. Anda dapat menghapus akun sendiri di halaman Akun (perlu PIN), atau mengirim permintaan ke info@evolnu.com. Kami berupaya menjawab dalam 30 hari. Lihat cara menghapus akun.

11. Anak-anak

Evolnu tidak ditujukan untuk anak di bawah 13 tahun, dan tidak dengan sengaja mengumpulkan data dari mereka. Jika Anda mengetahui anak di bawah 13 tahun memiliki akun, hubungi kami agar akun dihapus.

12. Perubahan kebijakan

Kami dapat memperbarui kebijakan ini. Tanggal pembaruan naskah ada di bagian atas halaman. Untuk perubahan penting, kami akan memberi pemberitahuan yang wajar di situs ini.

13. Kontak

Pertanyaan atau permintaan terkait privasi: info@evolnu.com. Situs: evolnu.com.

Evolnu Privacy Policy

Last updated: 9 November 2026. Versi Bahasa Indonesia: klik di sini.

Quick summary

Accounts use an Evolnu username and PIN. Google, Instagram or TikTok methods are shown only when available. For DM methods we receive a provider ID, handle and follow status; for Google we verify an identity token. We do not ask for your phone number or real name.
Your PIN is stored only as a hash (argon2id), never as plain text. We never ask for your Google, Instagram or TikTok password.
Evolnu has no ads or analytics SDKs and does not sell your data. If you choose Google, Google Identity Services may use cookies or storage under Google’s policy for authentication.
QRIS payments are processed by a third-party payment provider. We never receive your card, e-wallet or account numbers.
You can delete your account yourself at any time on the Account page, or by email: evolnu.com/delete-account.

1. Who we are and scope

EvolnuCity (the "Service") is a social web game at evolnu.com. EvolnuCity is developed and operated by Evolnu Digital in Indonesia ("we"). For personal data processed through the Service we act as the data controller.

This policy covers the evolnu.com website and the server services behind it. Contact: info@evolnu.com.

2. How accounts work

To create an account, choose an available method on the sign-up page. Instagram/TikTok DM methods require following and sending the configured sign-up word; the bot replies with a single-use link valid for 15 minutes. Google verifies a Google token. Every path asks for an Evolnu username, display name and a confirmed 6-digit PIN before creating an account. After that you sign in with your Evolnu username and PIN. Google can be used when linked and available; Google recovery also requires an already linked identity. If you forget your PIN, send the DM "lupa pin" to reset it; this proves you control that Instagram account.

We do not access your Instagram account. We only receive the DMs you send to the Evolnu account and the information listed in section 3.1.

3. Data we collect and why

3.1 From Instagram (Meta) when you send a DM

Your Instagram ID that is unique to the Evolnu account (IGSID), your Instagram username, and whether you follow the Evolnu account. Used to create and recognise your account and to check that the "follow" requirement is met.
The text of your message is read only to recognise the keyword and is not stored. We keep the message ID for 14 days so the same message is not processed twice.

3.2 Account data

Your stable Evolnu username, display name, PIN hash, account timestamps and linked provider identities. Instagram/TikTok handles are metadata refreshed from the provider; a handle change does not change your Evolnu username. Google tokens may include a name/email; these are not linking keys and are not shown on public profiles.
The number of wrong PIN attempts and any temporary lock, to protect your account.
The sign-up links we send: we store a hash of the token (not the token itself), the IGSID, username, purpose (sign up or PIN reset) and validity time.

3.3 Sessions and security

Login sessions: session ID, a hash of the refresh token, IP address, user agent (browser and device type), and when it was created, last used and expires (a session lasts up to 30 days from last use). Used to keep you signed in securely and to let you see and sign out devices.
Security records: events such as sign-in, failed sign-in, lock-out, PIN change and session revocation, with IP and user agent. Used to detect abuse.

3.4 Coin and Diamond purchases

Orders: order ID, package, currency (Coins or Diamonds), quantity, amount in rupiah, status, payment method code, the payment provider used and its reference, and time.
Email and phone: not requested when you buy. If a payment provider requires an email address or phone number, we fill it with placeholder values (for example o-1a2b3c4d@evolnu.com); they are not yours.
Notification (callback) records from the payment provider for each order, plus your coin and Diamond balances and their change history.
QRIS payments are made in your own bank or e-wallet app; your card, e-wallet or account numbers are never received by us.
Top-up availability and order status are shown on the Coins & Diamonds and Orders pages.

3.5 Technical data and browser storage

Your IP address is used for rate limiting and security and appears in server logs.
Your browser stores your signed-in session and theme choice (localStorage), and the last order ID (sessionStorage). Activation or PIN-reset tokens stay only in tab memory until used; after reloading the page, reopen the DM link. You can remove them by signing out or clearing site data. Evolnu API sessions use bearer tokens. If you choose Google, Google’s authentication SDK may use cookies to manage sign-in choices; transaction tokens and Google credentials stay only in tab memory.

To recover requests whose outcome is uncertain, the app may store request details in your browser. This data may remain until the app deletes or replaces the request, or you delete your browser data.

3.6 Data we do not collect

Email (other than what you enter yourself when buying), phone number, real name, date of birth, device location, device contacts, camera and microphone.
Your Instagram password, and the content of your Instagram DMs beyond what section 3.1 describes.
Card, e-wallet or account numbers.

3.7 Game and social data

The Service stores and processes your character and house choices, server-assigned game address, coin and Diamond balances, inventory, Nu, job progress, minigame attempt data and verified results, in-game chat and direct messages, follow connections, blocks and reports to operate game and social features. Your display name and bio may appear on your profile; access restrictions follow the relevant feature rules.

4. No ads, analytics or trackers

The Evolnu website uses no ads, analytics SDKs, crash reporting or third-party trackers. When the game opens, including before sign-in, the browser loads Google Fonts through fonts.googleapis.com and fonts.gstatic.com. The game also uses bundled Evolnu assets. Google Identity Services from accounts.google.com is loaded only when you choose a Google flow. Linking requires provider proof and the original account PIN; Google email is not shown in profiles, search or rooms. When you pay by scanning the QRIS code in your bank or e-wallet app, or are sent to Instagram to send a DM, those apps and pages are run by others and follow their own privacy policies.

5. Legal bases for processing

Performance of a contract: creating and running your account, processing purchases and adding coins.
Legitimate interests: account and service security, preventing abuse, and technical records.
Legal obligation: keeping transaction records as tax and accounting rules require.
Consent: the DMs you send. You can withdraw consent by deleting your account.

6. Who the data is shared with

Meta (Instagram): the source of the DMs you send. We send you a DM reply containing a link through Instagram.
Payment provider (third-party QRIS gateway; the one in use may change from time to time): package name, amount, order ID and payment method. Some providers also receive your display name as the buyer name, stripped of special characters and cut to 20–60 characters. Any email or phone number a provider requires is filled with placeholder values owned by Evolnu, not yours.
Hosting provider (Amazon Web Services, Singapore region), which stores data on our behalf.
Authorities where the law requires it.

We do not sell or rent your data. Social features show your display name, bio, profile card, social connections, game address and Career XP to other players according to server access restrictions. The show Instagram preference controls the Instagram line or link in the interface; your username can still be found through search and other social features.

7. International transfers

Our servers are in Singapore. Meta (Instagram) and the hosting provider may process data outside Indonesia. Payment providers process data under their own privacy policies. We only use providers that apply reasonable safeguards and we share data only as needed.

8. How long we keep data

Account data is kept while your account exists. The account-deletion process removes your game profile and coin and Diamond balances. Balance-change audit records and reports that use an internal account identifier are not deleted by that process.
Sign-up links: deleted 7 days after they are used, revoked or expire.
Login sessions: deleted 30 days after they end or are revoked.
Instagram message IDs: 14 days.
Security records and payment callback records: 180 days.
Order and payment records may be kept for as long as tax and accounting rules require (in Indonesia generally up to 10 years). After the account is deleted these records are no longer linked to you: the link to the account and the email are removed.
Technical server logs are kept for a limited time according to log rotation, and system backups (if any) until their rotation ends.

9. Security

Communication uses HTTPS/TLS.
The PIN is stored as an argon2id hash with an extra server-side secret; it is never stored as plain text.
An account is locked temporarily after 5 wrong PINs, with a lock time that grows up to 24 hours.
Access tokens are short-lived (15 minutes); refresh tokens are rotated and suspicious re-use revokes the session.
Changing your PIN and deleting your account ask for your PIN again. You can sign out other devices from the Account page.
No system is completely secure. If an incident affects you, we will notify you as the applicable law requires.

10. Your rights and how to use them

Under applicable law (including Indonesian Law No. 27 of 2022 on Personal Data Protection) you may ask for access to, correction of and deletion of your data, withdraw consent, and object to processing. You can delete your account yourself on the Account page (your PIN is required), or send a request to info@evolnu.com. We aim to reply within 30 days. See how to delete your account.

11. Children

Evolnu is not intended for children under 13 and does not knowingly collect data from them. If you know of a child under 13 who has an account, contact us so we can delete it.

12. Changes to this policy

We may update this policy. The document’s last-updated date is at the top of the page. For important changes we will give reasonable notice on this site.

13. Contact

Privacy questions or requests: info@evolnu.com. Website: evolnu.com.