Privacy Notice / Notis Privasi

Introduction & Identity of Data User

This Privacy Notice ("Notice") is issued by Databrews Solutions ("Company", "We"), the data user and operator of BukuKita, in compliance with the Personal Data Protection Act 2010 (PDPA) (Act 709) of Malaysia, as amended by the Personal Data Protection (Amendment) Act 2023.

This Notice governs the collection, use, processing, disclosure, storage, and transfer of your personal data and the personal data of your child(ren). By using the Services and submitting personal data, you acknowledge that you have read, understood, and given your free, specific, and informed consent to the processing of your personal data in accordance with this Notice.

Contact for Privacy Matters

For any queries, concerns, or requests relating to the processing of your personal data, please contact Us at:

We aim to acknowledge all enquiries within 3 business days and to resolve substantive matters within 21 days.

Categories of Personal Data Collected

3.1 Identity Data

Full name (parent/guardian), child(ren)'s full name(s), date of birth, gender, relationship to child.

3.2 Contact Data

Email address, mobile phone number (where provided).

3.3 Credential Data

Account username, encrypted password credentials (never stored in plaintext), authentication tokens.

3.4 Children's Health & Medical Data (Sensitive Personal Data)

Vaccination records, immunisation schedule status, growth measurements, health visit records, medication records. This constitutes sensitive personal data under PDPA 2010, Section 40 and requires your explicit written consent.

3.5 Image & Document Data

Photographs of the Child Health Record Book submitted via Book Scan (OCR); profile photographs (where voluntarily uploaded).

3.6 Technical & Device Data

Device type, OS version, app version, IP address, time zone, app interaction logs.

3.7 Diagnostic & Performance Data

Crash logs, error reports, app performance metrics.

3.8 Behavioural & Usage Data

Features accessed, navigation patterns, feature preferences.

3.9 Communications Data

Content of messages, feedback, or support requests you submit to Us.

Obligatory vs. Voluntary Data

Certain data is obligatory for the provision of Services (PDPA 2010, Section 7(1)(f)):

We shall not be liable for any loss or inability to access the Services resulting from your failure to provide obligatory data.

Purposes of Processing

5.1 Primary Purposes

Creating and managing your account; creating child health profiles; storing and organising vaccination and growth records; generating personalised immunisation schedules (KKM/NIP); processing vaccine book photos via OCR; providing customer support.

5.2 Operational & Business Purposes

Improving Services; internal research using anonymised data only; monitoring security threats; enforcing Terms of Service. Your identifiable health data will never be used to train AI models without your separate explicit consent.

5.3 Legal & Regulatory Compliance

Complying with Malaysian law, court orders, and regulatory directives; fulfilling mandatory reporting obligations including data breach notifications.

5.4 Communications & Marketing

Service-related communications; with your separate opt-in consent, promotional materials (which you may withdraw at any time).

Consent

6.1 How We Obtain Your Consent

Pursuant to PDPA 2010, Section 6(1)(a), consent is obtained: at account registration; at child profile creation (sensitive health data, PDPA S.40); at the point of OCR feature use; and separately for marketing opt-in.

6.2 Consent for Minors

By adding a child profile, you represent that you are the parent or legal guardian of that child and have full legal authority to consent to the collection of their data.

6.3 Withdrawal of Consent

You may withdraw consent by contacting support@bukukita.my, or by deleting your account. Withdrawal does not affect the lawfulness of prior processing (PDPA 2010, Section 38). Withdrawal of obligatory data consent will result in Our being unable to continue providing the Services.

Disclosure to Third Parties

Your personal data will not be sold, rented, or traded to any third party for commercial purposes (PDPA 2010, Section 8).

Authorised service providers:

We may also share data with: subsidiaries/affiliates (same level of protection); professional advisors (under confidentiality); successor entities in corporate transactions (with advance notice to you); and law enforcement/courts where required by law.

Cross-border transfers to Singapore and the United States are made with appropriate contractual safeguards pursuant to PDPA 2010, Section 129. By using the Services, you consent to such transfers.

Retention of Personal Data

We retain your personal data only as long as necessary (PDPA 2010, Section 10):

Upon expiry of retention periods, We will securely destroy or permanently anonymise your personal data.

Security of Personal Data

We implement appropriate technical and organisational measures pursuant to PDPA 2010, Section 9, including:

• Row-Level Security (RLS) ensuring each user can only access their own data
• TLS/HTTPS encryption for all data in transit
• Encrypted storage for authentication credentials
• Private, access-controlled file storage
• Secure JWT-based authentication via device-level secure storage
• Regular security assessments and access controls

Data Breach Notification

Pursuant to the Personal Data Protection (Amendment) Act 2023, in the event of a data breach likely to result in significant harm, We will:

1. Notify the Personal Data Protection Commissioner within 72 hours of becoming aware;
2. Notify affected users as soon as practicable where the breach poses high risk to your rights; and
3. Maintain a written record of all data breaches.

Notification will be made by email to your registered address and/or via a prominent in-App notice.

Your Rights Under the PDPA

11.1 Right of Access (PDPA 2010, S.30)

Request access to your personal data. A processing fee may apply. We will respond within 21 days of a valid, complete request.

11.2 Right of Correction (PDPA 2010, S.34)

Request correction of inaccurate, incomplete, or misleading data. Where We decline, We will provide written reasons and record your objection.

11.3 Right to Limit Processing (PDPA 2010, S.43)

Request that We cease or limit processing causing you unwarranted substantial damage or distress. We will respond within 21 days.

11.4 Right to Data Portability (Amendment Act 2023)

Request your data in a structured, machine-readable format for transfer to another provider where technically feasible.

11.5 Right to Withdraw Consent (PDPA 2010, S.38)

Withdraw consent at any time; withdrawal does not affect prior lawful processing.

11.6 Right to Complain

Lodge a complaint with the Personal Data Protection Commissioner (PDPC) at www.pdp.gov.my or 03-8911 5400.

Cookies and Tracking Technologies

Our Website (https://bukukita.my) may use cookies and similar tracking technologies. Where such technologies involve the collection of personal data, you will be informed and given the opportunity to consent or decline. Strictly necessary cookies for website operation do not require your consent.

Account Deletion

You may delete your account via: App → Settings → Account → Delete Account.

Upon deletion:

• All personal data will be permanently deleted within 30 days (subject to legal retention obligations in Section 8)
• Anonymised, aggregated statistical data may be retained
• All health records will be permanently and irreversibly lost

Third-Party Links and Services

The Services may contain links to third-party websites or services. This Notice does not apply to those third-party platforms. We are not responsible for the privacy practices of any third party. You are encouraged to review the privacy policies of any third-party services you access.

Medical and Health Disclaimer

Updates to This Notice

We reserve the right to update or amend this Notice. Where We make material changes, We will notify you by email at least 14 days before the changes take effect and display a prominent in-App notice. Your continued use of the Services after the effective date constitutes acceptance of the revised Notice. If you do not agree, you must cease using the Services and delete your account before the effective date.

Governing Law & Jurisdiction

This Notice shall be governed by the laws of Malaysia, including the PDPA 2010 and its subsidiary legislation. Any dispute arising from or in connection with this Notice shall be subject to the exclusive jurisdiction of the courts of Malaysia.

Contact Us

We aim to acknowledge all enquiries within 3 business days and to resolve substantive matters within 21 days.

Pengenalan & Identiti Pengguna Data

Notis Privasi ini ("Notis") diterbitkan oleh Databrews Solutions ("Syarikat", "Kami"), pengguna data dan pengendali BukuKita, menurut Akta Perlindungan Data Peribadi 2010 (PDPA) (Akta 709) Malaysia, sebagaimana dipinda oleh Akta Perlindungan Data Peribadi (Pindaan) 2023.

Notis ini mengawal pengumpulan, penggunaan, pemprosesan, pendedahan, penyimpanan, dan pemindahan data peribadi anda dan data peribadi anak-anak anda. Dengan menggunakan Perkhidmatan dan menyerahkan data peribadi, anda mengakui bahawa anda telah membaca, memahami, dan memberikan persetujuan bebas, khusus, dan termaklum anda untuk pemprosesan data peribadi anda selaras dengan Notis ini.

Hubungi untuk Perkara Privasi

Untuk sebarang pertanyaan, kebimbangan, atau permintaan berkaitan dengan pemprosesan data peribadi anda, sila hubungi Kami di:

Kami berhasrat untuk mengakui semua pertanyaan dalam masa 3 hari bekerja dan menyelesaikan perkara substantif dalam masa 21 hari.

Kategori Data Peribadi yang Dikumpulkan

3.1 Data Identiti

Nama penuh (ibu bapa/penjaga), nama penuh anak-anak, tarikh lahir, jantina, hubungan dengan anak.

3.2 Data Hubungan

Alamat e-mel, nombor telefon bimbit (jika diberikan).

3.3 Data Kelayakan

Nama pengguna akaun, kelayakan kata laluan yang disulitkan (tidak pernah disimpan dalam teks biasa), token pengesahan.

3.4 Data Kesihatan & Perubatan Kanak-kanak (Data Peribadi Sensitif)

Rekod vaksinasi, status jadual imunisasi, ukuran pertumbuhan, rekod lawatan kesihatan, rekod ubat-ubatan. Ini merupakan data peribadi sensitif di bawah PDPA 2010, Seksyen 40 dan memerlukan persetujuan bertulis eksplisit anda.

3.5 Data Imej & Dokumen

Gambar Buku Rekod Kesihatan Kanak-kanak yang diserahkan melalui Imbasan Buku (OCR); gambar profil (jika dimuat naik secara sukarela).

3.6 Data Teknikal & Peranti

Jenis peranti, versi OS, versi aplikasi, alamat IP, zon waktu, log interaksi aplikasi.

3.7 Data Diagnostik & Prestasi

Log ranap, laporan ralat, metrik prestasi aplikasi.

3.8 Data Tingkah Laku & Penggunaan

Ciri-ciri yang diakses, corak navigasi, pilihan ciri.

3.9 Data Komunikasi

Kandungan mesej, maklum balas, atau permintaan sokongan yang anda serahkan kepada Kami.

Data Wajib vs. Sukarela

Data tertentu adalah wajib untuk penyediaan Perkhidmatan (PDPA 2010, Seksyen 7(1)(f)):

Kami tidak akan bertanggungjawab atas sebarang kerugian atau ketidakupayaan untuk mengakses Perkhidmatan akibat kegagalan anda untuk memberikan data wajib.

Tujuan Pemprosesan

5.1 Tujuan Utama

Mencipta dan mengurus akaun anda; mencipta profil kesihatan kanak-kanak; menyimpan dan menyusun rekod vaksinasi dan pertumbuhan; menjana jadual imunisasi peribadi (KKM/NIP); memproses gambar buku vaksin melalui OCR; menyediakan sokongan pelanggan.

5.2 Tujuan Operasi & Perniagaan

Menambah baik Perkhidmatan; penyelidikan dalaman menggunakan data tanpa nama sahaja; memantau ancaman keselamatan; menguatkuasakan Terma Perkhidmatan. Data kesihatan yang boleh dikenal pasti anda tidak akan digunakan untuk melatih model AI tanpa persetujuan eksplisit berasingan anda.

5.3 Pematuhan Undang-undang & Peraturan

Mematuhi undang-undang Malaysia, perintah mahkamah, dan arahan kawal selia; memenuhi kewajipan pelaporan mandatori termasuk pemberitahuan pelanggaran data.

5.4 Komunikasi & Pemasaran

Komunikasi berkaitan perkhidmatan; dengan persetujuan opt-in berasingan anda, bahan promosi (yang boleh anda tarik balik pada bila-bila masa).

Persetujuan

6.1 Cara Kami Mendapatkan Persetujuan Anda

Menurut PDPA 2010, Seksyen 6(1)(a), persetujuan diperoleh: semasa pendaftaran akaun; semasa penciptaan profil anak (data kesihatan sensitif, PDPA S.40); pada titik penggunaan ciri OCR; dan secara berasingan untuk opt-in pemasaran.

6.2 Persetujuan untuk Kanak-kanak

Dengan menambah profil anak, anda menyatakan bahawa anda adalah ibu bapa atau penjaga sah kanak-kanak tersebut dan mempunyai kuasa undang-undang penuh untuk bersetuju dengan pengumpulan data mereka.

6.3 Penarikan Balik Persetujuan

Anda boleh menarik balik persetujuan dengan menghubungi support@bukukita.my, atau dengan memadamkan akaun anda. Penarikan balik tidak menjejaskan kesahihan pemprosesan terdahulu (PDPA 2010, Seksyen 38). Penarikan balik persetujuan data wajib akan mengakibatkan Kami tidak dapat terus menyediakan Perkhidmatan.

Pendedahan kepada Pihak Ketiga

Data peribadi anda tidak akan dijual, disewa, atau diperdagangkan kepada mana-mana pihak ketiga untuk tujuan komersial (PDPA 2010, Seksyen 8).

Pembekal perkhidmatan yang diberi kuasa:

Kami juga boleh berkongsi data dengan: subsidiaris/sekutu (tahap perlindungan yang sama); penasihat profesional (di bawah kerahsiaan); entiti pengganti dalam transaksi korporat (dengan notis terlebih dahulu kepada anda); dan penguatkuasa undang-undang/mahkamah di mana dikehendaki oleh undang-undang.

Pemindahan rentas sempadan ke Singapura dan Amerika Syarikat dibuat dengan perlindungan kontrak yang sesuai menurut PDPA 2010, Seksyen 129. Dengan menggunakan Perkhidmatan, anda bersetuju dengan pemindahan tersebut.

Penyimpanan Data Peribadi

Kami menyimpan data peribadi anda hanya selama yang diperlukan (PDPA 2010, Seksyen 10):

Setelah tamat tempoh penyimpanan, Kami akan memusnahkan atau menanomkan data peribadi anda secara kekal dengan selamat.

Keselamatan Data Peribadi

Kami melaksanakan langkah-langkah teknikal dan organisasi yang sesuai menurut PDPA 2010, Seksyen 9, termasuk:

• Keselamatan Peringkat Baris (RLS) yang memastikan setiap pengguna hanya boleh mengakses data mereka sendiri
• Penyulitan TLS/HTTPS untuk semua data dalam transit
• Penyimpanan yang disulitkan untuk kelayakan pengesahan
• Penyimpanan fail peribadi dengan kawalan akses
• Pengesahan berasaskan JWT yang selamat melalui storan selamat peringkat peranti
• Penilaian keselamatan dan kawalan akses yang kerap

Pemberitahuan Pelanggaran Data

Menurut Akta Perlindungan Data Peribadi (Pindaan) 2023, sekiranya berlaku pelanggaran data yang mungkin mengakibatkan kemudaratan yang ketara, Kami akan:

1. Memberitahu Pesuruhjaya Perlindungan Data Peribadi dalam masa 72 jam selepas menyedarinya;
2. Memberitahu pengguna yang terjejas secepat yang boleh dilaksanakan di mana pelanggaran menimbulkan risiko tinggi kepada hak anda; dan
3. Mengekalkan rekod bertulis bagi semua pelanggaran data.

Pemberitahuan akan dibuat melalui e-mel ke alamat berdaftar anda dan/atau melalui notis yang menonjol dalam Aplikasi.

Hak Anda di Bawah PDPA

11.1 Hak Akses (PDPA 2010, S.30)

Meminta akses kepada data peribadi anda. Yuran pemprosesan mungkin dikenakan. Kami akan memberi respons dalam masa 21 hari dari permintaan yang sah dan lengkap.

11.2 Hak Pembetulan (PDPA 2010, S.34)

Meminta pembetulan data yang tidak tepat, tidak lengkap, atau mengelirukan. Di mana Kami menolak, Kami akan memberikan alasan bertulis dan merekodkan bantahan anda.

11.3 Hak Mengehadkan Pemprosesan (PDPA 2010, S.43)

Meminta agar Kami menghentikan atau mengehadkan pemprosesan yang menyebabkan kemudaratan atau kesusahan yang tidak wajar kepada anda. Kami akan memberi respons dalam masa 21 hari.

11.4 Hak Kemudahalihan Data (Akta Pindaan 2023)

Meminta data anda dalam format berstruktur yang boleh dibaca mesin untuk dipindahkan ke pembekal lain di mana boleh dilaksanakan secara teknikal.

11.5 Hak Menarik Balik Persetujuan (PDPA 2010, S.38)

Menarik balik persetujuan pada bila-bila masa; penarikan balik tidak menjejaskan pemprosesan sah terdahulu.

11.6 Hak untuk Membuat Aduan

Membuat aduan dengan Pesuruhjaya Perlindungan Data Peribadi (PDPC) di www.pdp.gov.my atau 03-8911 5400.

Kuki dan Teknologi Penjejakan

Laman Web kami (https://bukukita.my) mungkin menggunakan kuki dan teknologi penjejakan yang serupa. Di mana teknologi tersebut melibatkan pengumpulan data peribadi, anda akan dimaklumkan dan diberi peluang untuk bersetuju atau menolak. Kuki yang benar-benar diperlukan untuk operasi laman web tidak memerlukan persetujuan anda.

Pemadaman Akaun

Anda boleh memadam akaun anda melalui: Aplikasi → Tetapan → Akaun → Padam Akaun.

Semasa pemadaman:

• Semua data peribadi akan dipadam secara kekal dalam masa 30 hari (tertakluk kepada kewajipan penyimpanan undang-undang dalam Seksyen 8)
• Data statistik yang dianomkan dan diagregatkan mungkin dikekalkan
• Semua rekod kesihatan akan hilang secara kekal dan tidak dapat dipulihkan

Pautan dan Perkhidmatan Pihak Ketiga

Perkhidmatan mungkin mengandungi pautan ke laman web atau perkhidmatan pihak ketiga. Notis ini tidak terpakai kepada platform pihak ketiga tersebut. Kami tidak bertanggungjawab atas amalan privasi mana-mana pihak ketiga. Anda digalakkan untuk menyemak polisi privasi mana-mana perkhidmatan pihak ketiga yang anda akses.

Penafian Perubatan dan Kesihatan

Kemas Kini kepada Notis Ini

Kami berhak untuk mengemas kini atau meminda Notis ini. Di mana Kami membuat perubahan yang material, Kami akan memberitahu anda melalui e-mel sekurang-kurangnya 14 hari sebelum perubahan berkuat kuasa dan memaparkan notis yang menonjol dalam Aplikasi. Penggunaan berterusan Perkhidmatan anda selepas tarikh efektif merupakan penerimaan Notis yang telah disemak semula. Jika anda tidak bersetuju, anda mesti berhenti menggunakan Perkhidmatan dan memadam akaun anda sebelum tarikh efektif.

Undang-undang yang Mengawal & Bidang Kuasa

Notis ini hendaklah ditadbir oleh undang-undang Malaysia, termasuk PDPA 2010 dan perundangan subsidiari. Sebarang pertikaian yang timbul daripada atau berkaitan dengan Notis ini hendaklah tertakluk kepada bidang kuasa eksklusif mahkamah Malaysia.

Hubungi Kami

Kami berhasrat untuk mengakui semua pertanyaan dalam masa 3 hari bekerja dan menyelesaikan perkara substantif dalam masa 21 hari.

© 2026 Databrews Solutions. Hak cipta terpelihara. / All rights reserved.