隱私政策

1. 簡介

iSewa（「我們」、「我們的」）是一個在馬來西亞營運的物業管理平臺。我們營運網站 isewa.com.my 以及 iSewa 應用程式（統稱「平臺」）。本隱私政策詳細說明我們在您訪問或使用我們的平臺時如何收集、使用、儲存、披露和保護您的個人資訊。

我們致力於遵守馬來西亞《個人資料保護法2010》（「PDPA」）和所有適用的資料保護法規。透過使用平臺，您確認您已閱讀並理解本隱私政策，同意按照本政策所述的方式收集、使用和披露您的個人資訊。

本隱私政策適用於平臺的所有使用者，包括物業所有人、租戶、物業代理、承包商、律師、開發商、買家、代理人以及任何其他訪問或使用平臺的人員。

2. 資料控制人

iSewa 平臺由 TEKNOSIA SDN BHD（一家在馬來西亞註冊成立的公司）營運，該公司是負責通過平臺收集的您的個人資訊的資料控制人。若您對資料保護有任何疑問或關切，您可以聯絡我們的資料保護專員（DPO）：

• 營運實體：TEKNOSIA SDN BHD
• 公司註冊號碼（SSM）：202401043304
• 資料保護專員：dpo@isewa.com.my
• 一般支援：support@isewa.com.my

我們的資料保護專員負責監督對 PDPA 和本隱私政策的遵守情況，並作為馬來西亞個人資料保護部門（Jabatan Perlindungan Data Peribadi）的主要聯絡人。

3. 我們收集的資訊

3.1 您提供的個人資訊

當您註冊帳戶、使用我們的服務或與我們溝通時，您可能會提供以下個人資訊：

• 身份資料：全名、顯示名稱、檔案照片、出生日期以及識別號碼（例如 MyKad/身份証號碼、護照號碼）
• 聯絡資料：電郵地址、電話號碼（手機）以及住宅或商業地址
• 帳戶資料：使用者名稱、密碼（以 bcrypt 雜湊形式儲存）、雙因素驗證（2FA/TOTP）密鑰及復原代碼
• 組織資料：公司或組織名稱、註冊號碼（SSM）以及物業管理公司、代理機構或承包商企業的業務詳情
• 物業資料：物業地址、所有權詳情、租賃協議、單位配置、物業照片、平面圖及相關文件
• 財務資料：銀行帳戶詳情（使用 AES-256-GCM 欄位級加密）、發票記錄、付款歷史、帳單偏好及稅務相關資訊
• 通訊資料：透過平臺訊息系統發送的訊息、維護工單說明、公告及評論
• 文件資料：您上傳至平臺的檔案，包括租賃協議、公用事業帳單、收據、法律文件及其他物業相關文件

3.2 驗證資料

我們支援多種驗證方式並收集相關資料：

• 電郵/密碼：您的電郵和 bcrypt 雜湊密碼；我們從不以純文字儲存密碼
• 手機一次性密碼：您的電話號碼，用於透過簡訊驗證一次性密碼（OTP）
• 社交登入：當您透過 Google、Facebook 或 Apple 驗證時，我們會從這些服務接收您的名稱、電郵和檔案識別碼；我們不會接收或儲存您的社交媒體密碼
• MyDigital ID：若您透過馬來西亞的 MyDigital ID 驗證，我們會從政府身份提供者接收身份驗證
• 雙因素驗證：若已啟用，我們會儲存加密的 TOTP 密鑰和一次性復原代碼

3.3 自動收集的資訊

當您訪問平臺時，我們會自動收集某些技術資訊：

• 裝置資訊：裝置類型、作業系統、瀏覽器類型和版本、螢幕解析度及裝置識別碼
• 網路資訊：IP 位址、網際網路服務提供商及大約的地理位置（國家/城市級別）
• 使用資料：訪問的頁面、使用的功能、時間戳記、點擊模式、工作階段時長、反向連結 URL 及在平臺內的搜尋查詢
• 效能資料：頁面載入時間、錯誤記錄及當機報告，以幫助我們改善平臺的可靠性

3.4 來自第三方的資訊

我們可能會從以下渠道接收有關您的資訊：

• 物業經理或所有人：當他們將您新增為租戶、承包商或其他角色時
• 邀請連結：當您接受加入物業或組織的邀請時，我們會接收轉介背景資訊
• 公用事業供應商：若已整合，在您的同意下，我們可能會代表您檢索公用事業帳戶資訊和帳單資料
• 政府服務：透過 MyDigital ID 或其他馬來西亞政府數位身份服務

4. 處理的法律基礎

根據 PDPA 2010，我們基於以下合法基礎處理您的個人資料：

• 同意（第6條）：當您註冊平臺時，您明確同意按照本隱私政策所述的目的處理您的個人資料。您的同意會連同時間戳記和版本號（consentGivenAt、consentVersion）被記錄下來以供稽核。
• 契約必要性：為根據我們的服務條款向您提供平臺服務（包括物業管理、開票、維護追蹤和通訊）所必需的處理。
• 合法利益：為了防止欺詐、平臺安全、服務改善和分析之目的的處理，其中該等利益未被您的資料保護權利所推翻。
• 法律義務：為遵守馬來西亞法律要求（包括財務記錄保管義務、稅務報告和法院命令）所必需的處理。

5. 我們如何使用您的資訊

我們為以下目的使用您的個人資訊：

5.1 服務提供

• 在平臺上建立和維護您的帳戶
• 驗證您的身份並根據您的角色管理訪問權限
• 處理物業管理業務，包括開票、付款追蹤及帳單
• 管理維護請求、工單及承包商指派
• 安全地儲存和組織物業相關文件
• 啟用平臺使用者間的通訊（所有人、租戶、代理、承包商等）
• 支援代理功能（家庭成員、物業經理）

5.2 通訊

• 發送服務通知，例如發票到期日期、維護更新及租賃提醒
• 傳遞安全警報，包括登入通知、2FA 提示及可疑活動警告
• 提供平臺公告、功能更新及重要服務變更
• 回應您的查詢和支援請求

5.3 平臺改善

• 分析使用模式和趨勢以改善功能和使用者體驗
• 進行內部研究和開發，以推出新的平臺功能
• 監控平臺效能、除錯問題並確保穩定性
• 為業務報告生成匿名、彙總的統計資料

5.4 安全和遵守

• 檢測、防止和回應欺詐、安全事件及濫用
• 執行我們的服務條款和可接受使用政策
• 維護稽核記錄以供遵守和問責之用
• 遵守馬來西亞法律和監管要求

6. 資料分享和披露

我們不會出售、租賃或交易您的個人資料給任何第三方作行銷目的。我們僅在以下情況下可能分享您的資訊：

6.1 平臺使用者之間

物業相關資料在必要時在連接的使用者之間分享，以進行物業管理業務。例如：

• 物業所有人可以看到租戶聯絡資訊和租賃詳情
• 租戶可以看到相關物業詳情以及所有人/代理聯絡資訊
• 代理可以訪問被指派代表所有人管理的物業
• 承包商可以查看指派給他們的維護工單詳情
• 代理可以訪問被所有人授予權限的物業

分享資訊的範圍僅限於每個角色所需的資訊，並由平臺內基於角色的權限系統控制。

6.2 第三方服務提供商

我們聘用受信任的第三方服務提供商來支持平臺的運營。這些提供商在契約上被要求僅根據我們的指示處理您的資料，並遵守適用的資料保護法律。我們的服務提供商類別包括：

• 雲端基礎設施：用於平臺資料和檔案上傳的託管和儲存提供商
• 電郵傳遞：用於發送交易電郵、通知和警報的服務
• 簡訊/一次性密碼傳遞：用於發送電話驗證碼和簡訊通知的提供商
• 付款處理：用於處理訂閱付款（Pro 計劃）的第三方付款閘道
• 驗證提供商：社交登入提供商（Google、Facebook、Apple）和用於身份驗證的 MyDigital ID
• 分析：幫助我們瞭解平臺使用情況的隱私聚焦分析服務

6.3 法律要求

當我們善意認為披露對以下情況有必要時，我們可能會披露您的個人資訊：

• 遵守適用的馬來西亞法律、法規或法律程序（包括法院命令）
• 回應來自政府當局（包括個人資料保護部門）的合法請求
• 保護 iSewa、我們的使用者或公眾的權利、財產或安全
• 調查或防止我們服務條款的潛在違反

6.4 業務轉讓

在發生合併、收購、重組或資產出售的情況下，您的個人資料可能會被轉移至收購實體。我們將通知您任何該等轉移以及由該等交易引起的本隱私政策的任何變更。

7. 資料安全

我們認真對待您的個人資料的安全，並實施安全措施（包括雙因素驗證、AES-256-GCM 加密和速率限制），與 PDPA 要求一致：

7.1 加密

• 傳輸中的資料：您的裝置和我們伺服器之間的所有通訊都使用 TLS（傳輸層安全）進行加密
• 靜止的資料：敏感個人資料（包括身份證號碼和銀行帳戶詳情）使用 AES-256-GCM 欄位級加密進行加密
• 密碼：使用者密碼使用具有適當鹽輪的 bcrypt 進行雜湊；我們從不以純文字儲存密碼

7.2 驗證和訪問控制

• 具備重新整理令牌輪換的安全 JWT（JSON Web Token）驗證，以防止令牌被盜
• 可選的雙因素驗證（2FA/TOTP），以增強帳戶安全
• 多次登入失敗後的帳戶鎖定保護
• 在 2FA 裝置遺失時用於帳戶訪問的復原代碼
• 基於角色的訪問控制（RBAC），確保使用者只能訪問與其角色相關的資料

7.3 基礎設施安全

• 通過 Helmet 強制的 HTTP 安全標頭（內容安全政策、X-Frame-Options 等）
• API 端點上的速率限制，以防止蠻力和拒絕服務攻擊
• 輸入驗證和清理，以防止注入攻擊
• 定期的安全稽核和漏洞評估
• 關於與安全相關的事件的全面稽核記錄

7.4 人員控制

我們職員對個人資料的訪問僅限於職務所需的人員，所有具有訪問權限的職員都受到保密義務的約束。

8. 資料保留

我們僅在必要時保留您的個人資料，以達到收集該資料的目的或法律所要求的時間。我們的具體保留期限如下：

8.1 自動資料清除

我們運營自動資料保留強制系統：

• 每日自動程序（於馬來西亞時間上午 2:30 運行）永久刪除處於軟刪除狀態超過 30 天的使用者帳戶
• 過期的登入工作階段每天自動清理
• 所有自動清除操作都被記錄在我們的稽核記錄中以供遵守問責之用

9. 您在 PDPA 下的權利

根據馬來西亞《個人資料保護法2010》，您對您的個人資料擁有以下權利：

9.1 訪問權

您有權要求訪問我們持有的有關您的個人資料。您可以透過平臺或透過電郵發送至我們的資料保護專員 dpo@isewa.com.my 提交資料主體訪問請求（DSAR）。根據 PDPA 的要求，我們將在 21 天 內回應已驗證的訪問請求。

您的資料匯出將包括：檔案資訊、同意記錄和歷史、租賃記錄和發票、物業和所有權記錄、上傳文件中繼資料、稽核記錄條目及安全事件記錄。

9.2 更正權

您有權要求更正任何不準確或不完整的個人資料。您可以直接透過您的檔案設定更新大部分資訊。對於無法自我更正的資料，請聯絡我們的資料保護專員。

9.3 撤回同意權

您可以隨時撤回您對個人資料處理的同意。您可以透過平臺的設定執行此操作，或聯絡我們的資料保護專員。請注意，撤回同意可能會影響您使用平臺某些功能的能力，我們將在處理您的撤回前通知您任何後果。

同意撤回不影響撤回前所進行的處理或基於其他合法基礎（例如法律義務）的處理的合法性。

9.4 刪除權

您可以隨時要求刪除您的帳戶和相關的個人資料。收到刪除請求後：

• 您的帳戶將立即被軟刪除（停用）
• 您將有 30 天的寬限期在此期間您可以重新激活您的帳戶
• 30 天後，您的個人資料將被永久和不可撤銷地刪除
• 某些資料可能會在該期限後被保留，如法律要求所需（例如財務記錄保留 7 年）

9.5 防止處理權

您有權防止為直接行銷目的處理您的個人資料。我們不從事對使用者的直接行銷，但您可以透過平臺設定中的通知偏好退出非必要通訊。

9.6 行使您的權利的方式

為了行使您的任何權利，您可以：

• 使用平臺內的相關自助選項（檔案設定、帳戶刪除）
• 透過電郵發送至我們的資料保護專員 dpo@isewa.com.my
• 寫信至下面「聯絡我們」部分提供的地址

我們可能會要求您在處理您的請求前驗證您的身份，以確保您的個人資料的安全。

10. 資料洩露通知

在發生可能對受影響資料主體造成重大傷害的個人資料洩露的情況下，我們將：

• 在意識到洩露後 72 小時 內通知個人資料保護部門（PDPA 專員）
• 在合理時間內通知受影響的資料主體，提供有關洩露的詳情、潛在後果以及我們已採取或建議採取的措施
• 在我們的內部事件管理系統中記錄洩露事件，包括嚴重程度、受影響的資料類別、受影響使用者的數量、根本原因分析及補救步驟

11. 國際資料轉移

您的資料主要儲存在馬來西亞並在馬來西亞進行處理。在某些情況下，當使用第三方雲端基礎設施或服務提供商時，您的資料可能會在其他司法管轄區進行處理。如果發生此等轉移，我們確保：

• 適當的保障措施已到位，包括與我們的服務提供商簽訂的契約資料保護條款
• 接收司法管轄區提供充分的資料保護水平，或已實施適當的契約措施
• 轉移符合 PDPA 2010（第 129 章）的要求

12. Cookie 和追蹤技術

12.1 必要 Cookie

我們使用嚴格必要的 Cookie 用於以下目的：

• 驗證：工作階段 Cookie 以維持您的登入狀態並管理安全訪問
• 安全：CSRF（跨網站請求偽造）保護令牌
• 偏好：語言和主題偏好儲存

這些 Cookie 對平臺正常運作是必要的，無法禁用。

12.2 分析 Cookie

我們可能使用隱私聚焦的分析來瞭解使用者如何與平臺互動。這些分析被配置為：

• 不收集或儲存個人識別資訊
• 僅使用匿名或彙總資料
• 不與廣告網路分享資料

12.3 第三方 Cookie

我們不使用廣告或重定向 Cookie。我們不允許第三方廣告網路在平臺上放置 Cookie。

12.4 管理 Cookie

您可以透過您的瀏覽器設定控制和管理 Cookie。請注意，禁用必要 Cookie 可能會防止平臺的某些功能正常運作。

13. 自動決策制定

平臺不使用產生法律效果或類似地顯著影響您的自動決策制定或分析。任何自動處理（例如帳單週期預測或維護優先級建議）僅用於協助使用者，不會取代人工決策。

14. 兒童隱私

平臺不供 18 歲以下的個人使用。我們不故意從 18 歲以下的兒童收集個人資料。如果我們發現我們已從 18 歲以下的兒童收集個人資料，我們將立即採取措施從我們的系統中刪除該資料。

如果您是父母或監護人，並且認為您的孩子向我們提供了個人資料，請聯絡我們的資料保護專員 dpo@isewa.com.my，以便我們採取適當的行動。

15. 第三方連結

平臺可能包含指向非由我們營運的第三方網站、服務或資源的連結。我們對這些第三方的隱私慣例不負責，並建議您在提供任何個人資料前先查看他們的隱私政策。

16. 本隱私政策的變更

我們可能不時更新本隱私政策，以反映我們的慣例、平臺功能或法律要求的變更。當我們進行實質變更時：

• 我們將更新此頁面頂部的「最後更新」日期
• 我們將透過電郵或通過平臺的通知系統通知註冊使用者
• 在 PDPA 要求的情況下，我們將為影響我們如何處理您的個人資料的實質變更獲得新的同意
• 我們維護同意版本歷史以確保可審計性

在任何變更後您對平臺的繼續使用即表示您接受更新的隱私政策。

17. 投訴

如果您認為我們未按照本隱私政策或 PDPA 2010 妥善處理您的個人資料，您可以：

• 聯絡我們的資料保護專員 dpo@isewa.com.my 提出您的關切
• 向個人資料保護部門（馬來西亞個人資料保護部門）提出投訴，網址為 www.pdp.gov.my

18. 聯絡我們

如果您對本隱私政策或我們的資料保護慣例有任何疑問、關切或請求，請聯絡我們：

TEKNOSIA SDN BHD（iSewa 營運商）

• 公司註冊號碼（SSM）：202401043304
• 資料保護專員： dpo@isewa.com.my
• 一般支援： support@isewa.com.my