Privacy Notice / Notis Privasi

1. Who we are

J&A Productions, registration no. 201503000440 (002395065-P), trading as Small Towns Malaysia (we, us, our), is the data controller responsible for personal data collected through smalltowns.my (the Site).

For anything in this notice, write to support@smalltowns.my. The controller’s registered address and any formal Data Protection Officer contact must be added after legal approval and before this draft becomes effective.

2. What this notice covers

This notice explains what personal data we collect when you visit or create an account on the Site, why we collect it, who receives it, how we protect and retain it, and the rights you may exercise. It does not cover third-party websites or social-media platforms you reach by following a link from the Site.

This notice is provided in Bahasa Malaysia and English on the same page. The version that will prevail if the two differ remains subject to final legal approval before the notice becomes effective.

3. The personal data we collect

Data you give us or create through the Site includes:

• Account details — your display name, primary email address and, if you use password sign-in, a password stored only as a one-way hash. If you choose Google or Facebook sign-in, we receive the provider identifier, name, email address, email-verification result and profile information that provider makes available for the sign-in flow.
• Your collection — the towns you mark as visited, any visit date you record, the towns you save for later and the current collection status derived from those records.
• Your private notes — field notes and planning notes you add to visited or saved towns. These are private to your account in normal product use.
• Account and security choices — connected sign-in methods, email-verification state, active sessions and the legal-document versions shown to or acknowledged by you.
• Correspondence and privacy requests — information you send for support, corrections, partnerships, account security or the exercise of privacy rights.
• Administration data — if you are an authorised editor or administrator, the content changes, ownership references and operational actions needed to run the Site.

When your browser or app calls the Site, our infrastructure necessarily receives request information such as IP address, date and time, route, response status and basic browser or device details for delivery and security. STM does not use Google Analytics, advertising pixels, session replay or general click/page-view analytics in the current MVP.

Some map and distance features can use your device location. Your browser asks first. The location is used in your browser to calculate distances and is not sent to the STM Express API or stored in your account. If you load an embedded Google map, Google separately receives ordinary browser, device and network data plus the map area and location labels needed to display it.

We do not ask for sensitive personal data such as health information, religious or political beliefs, or information about an offence. Please do not put sensitive personal data in private notes or messages to us.

4. Why we use it, and on what basis

A display name, an eligible sign-in method and any information required to complete that method are necessary to create an account. Visits, saved towns, dates and notes are optional; if you do not provide them, the related feature remains empty. Where we rely on consent or browser permission, you may withdraw it, without affecting processing that was lawful beforehand.

5. Cookies and similar technology

The current MVP uses only necessary or user-initiated storage and provider flows. It does not set optional analytics or advertising cookies.

More detail is available in the Cookies & Technology Notice. If optional tracking is introduced later, it must be disclosed and blocked until any legally required choice is made.

6. Other companies involved in providing the Site

IndexNow receives only public content URLs for search-engine notification. STM does not send account, collection, note or privacy-request data to IndexNow. Fonts, icons and application code are bundled with the Site rather than loaded from the analytics and CDN providers assumed in the source draft.

7. Who else we share data with

We share personal data only:

• with service providers that process it to provide the functions described above;
• with professional advisers such as accountants and lawyers where they need it;
• where the law requires it, or to establish, exercise or defend legal claims; or
• if the business is sold or reorganised, with the buyer on terms that continue to protect the data.

We do not sell personal data, rent or trade mailing lists, or give travel partners your private account data. A third-party site you open receives information as an ordinary destination on the internet.

8. Processing outside Malaysia

Some providers may store or process data outside Malaysia, including in Singapore, the European Union and the United States. Before this draft becomes effective, the controller must confirm the actual production regions, contracts and cross-border-transfer safeguards. You may ask us for information about the safeguards that apply.

9. How long we keep it

We may keep statistics that have been irreversibly anonymised and aggregated because they can no longer identify a person. The final production retention schedule, including backup treatment and maximum periods for soft-deleted data and correspondence, remains a launch approval item and will replace this draft wording.

10. Keeping it safe

We take reasonable technical and organisational measures including encrypted connections, one-way password hashing, opaque sessions, access controls, private account-data boundaries, restricted administrator capabilities and maintained software. No website can promise perfect security.

If a personal-data breach occurs, STM will perform the legally required harm and scale assessment and will make any required notification to the Personal Data Protection Commissioner and affected people within the applicable time limits. Notifications are legally reviewed rather than sent automatically by the application.

11. Your rights

Subject to the law and verification requirements, you may:

• ask what personal data we hold about you and request a copy;
• ask us to correct inaccurate, incomplete or out-of-date data;
• withdraw consent or browser permission where processing depends on it;
• ask us to stop processing in circumstances provided by law;
• request portability where that right and a compatible recipient apply; and
• request erasure or another legally available remedy.

You can edit some account, collection and note information yourself. Ordinary account closure is not the same as legal erasure; use the privacy-request route if you want retained data assessed for erasure.

12. Making a request

Use the Privacy request page or write to support@smalltowns.my. We may ask you to verify your identity before releasing or changing data. Access and correction requests use a 21-day internal response target, subject to any extension or different period permitted by law. Portability timing and delivery are verified against the law applicable when the request is received.

13. Children

The Site is not directed at children. If you are under 18, you need the permission of a parent or guardian before creating an account. If we learn that we hold a child’s personal data without the required permission, we will assess and remove it as required. A parent or guardian may contact support@smalltowns.my.

14. Marketing

The current MVP does not provide a marketing-newsletter subscription or send direct marketing. Essential account, verification, recovery and security messages are service communications, not marketing.

15. Automated decisions

We do not make decisions about you solely by automated means that produce legal or similarly significant effects.

16. Account closure and erasure

Closing an account through Account Settings permanently removes sign-in access, clears or anonymises login identifiers and ends active sessions. It currently retains the profile, avatar, visits, saved towns and private notes so the domain records remain internally consistent. A separately verified privacy request is required for erasure or further anonymisation to be legally assessed.

17. Changes to this notice

We may update this notice as the Site and its providers change. The version and updated date at the top identify this release. A material change will be communicated before it takes effect where required, and a new version will not silently replace the text attached to an earlier legal record.

1. Siapa kami

J&A Productions, no. pendaftaran 201503000440 (002395065-P), yang berniaga sebagai Small Towns Malaysia (kami), ialah pengawal data yang bertanggungjawab terhadap data peribadi yang dikumpulkan melalui smalltowns.my (Laman).

Untuk sebarang perkara dalam notis ini, sila e-mel support@smalltowns.my. Alamat berdaftar pengawal data dan maklumat pegawai perlindungan data rasmi, jika berkenaan, mesti ditambah selepas kelulusan undang-undang dan sebelum draf ini berkuat kuasa.

2. Apa yang diliputi oleh notis ini

Notis ini menerangkan data peribadi yang kami kumpulkan apabila anda melayari Laman atau membuka akaun, sebab kami mengumpulkannya, pihak yang menerimanya, cara kami melindungi dan menyimpannya, serta hak yang boleh anda gunakan. Notis ini tidak meliputi laman web pihak ketiga atau platform media sosial yang anda kunjungi melalui pautan dari Laman.

Notis ini disediakan dalam Bahasa Malaysia dan Bahasa Inggeris pada halaman yang sama. Versi yang akan mengatasi sekiranya terdapat percanggahan masih tertakluk pada kelulusan undang-undang muktamad sebelum notis ini berkuat kuasa.

3. Data peribadi yang kami kumpulkan

Data yang anda berikan atau hasilkan melalui Laman termasuk:

• Butiran akaun — nama paparan, alamat e-mel utama dan, jika anda menggunakan log masuk kata laluan, kata laluan yang disimpan hanya sebagai cincangan sehala. Jika anda memilih Google atau Facebook, kami menerima pengecam penyedia, nama, alamat e-mel, keputusan pengesahan e-mel dan maklumat profil yang disediakan oleh penyedia untuk aliran log masuk.
• Koleksi anda — pekan yang anda tandakan sebagai telah dilawati, tarikh lawatan yang direkodkan, pekan yang disimpan untuk kemudian dan status koleksi yang diterbitkan daripada rekod tersebut.
• Nota peribadi anda — nota lapangan dan nota perancangan yang anda tambah pada pekan yang dilawati atau disimpan. Nota ini adalah peribadi bagi akaun anda dalam penggunaan produk biasa.
• Pilihan akaun dan keselamatan — kaedah log masuk yang disambungkan, status pengesahan e-mel, sesi aktif dan versi dokumen undang-undang yang ditunjukkan atau diakui oleh anda.
• Surat-menyurat dan permintaan privasi — maklumat yang anda hantar untuk sokongan, pembetulan, kerjasama, keselamatan akaun atau penggunaan hak privasi.
• Data pentadbiran — jika anda editor atau pentadbir yang dibenarkan, perubahan kandungan, rujukan pemilikan dan tindakan operasi yang diperlukan untuk menjalankan Laman.

Apabila pelayar atau aplikasi anda menghubungi Laman, infrastruktur kami semestinya menerima maklumat permintaan seperti alamat IP, tarikh dan masa, laluan, status respons dan butiran asas pelayar atau peranti untuk penghantaran dan keselamatan. STM tidak menggunakan Google Analytics, piksel pengiklanan, rakaman semula sesi atau analitik umum klik dan paparan halaman dalam MVP semasa.

Sesetengah ciri peta dan jarak boleh menggunakan lokasi peranti anda. Pelayar anda meminta kebenaran terlebih dahulu. Lokasi itu digunakan dalam pelayar anda untuk mengira jarak dan tidak dihantar kepada API STM Express atau disimpan dalam akaun anda. Jika anda memuatkan peta Google terbenam, Google secara berasingan menerima data biasa pelayar, peranti dan rangkaian serta kawasan peta dan label lokasi yang diperlukan untuk memaparkannya.

Kami tidak meminta data peribadi sensitif seperti maklumat kesihatan, kepercayaan agama atau politik, atau maklumat mengenai sesuatu kesalahan. Sila jangan masukkan data peribadi sensitif dalam nota peribadi atau mesej kepada kami.

4. Mengapa kami menggunakannya, dan atas dasar apa

Nama paparan, kaedah log masuk yang layak dan maklumat yang diperlukan untuk melengkapkan kaedah tersebut diperlukan bagi membuka akaun. Lawatan, pekan simpanan, tarikh dan nota adalah pilihan; jika anda tidak memberikannya, ciri berkaitan akan kekal kosong. Jika kami bergantung pada persetujuan atau kebenaran pelayar, anda boleh menariknya balik tanpa menjejaskan pemprosesan yang sah sebelum itu.

5. Kuki dan teknologi serupa

MVP semasa hanya menggunakan storan dan aliran penyedia yang perlu atau dimulakan oleh pengguna. Ia tidak menetapkan kuki analitik atau pengiklanan pilihan.

Butiran lanjut tersedia dalam Notis Kuki & Teknologi. Jika penjejakan pilihan diperkenalkan kemudian, ia mesti didedahkan dan disekat sehingga pilihan yang dikehendaki undang-undang dibuat.

6. Syarikat lain yang terlibat dalam penyediaan Laman

IndexNow hanya menerima URL kandungan awam untuk pemberitahuan enjin carian. STM tidak menghantar data akaun, koleksi, nota atau permintaan privasi kepada IndexNow. Fon, ikon dan kod aplikasi digabungkan dengan Laman dan bukannya dimuatkan daripada penyedia analitik dan CDN yang diandaikan dalam draf sumber.

7. Dengan siapa lagi kami berkongsi data

Kami berkongsi data peribadi hanya:

• dengan penyedia perkhidmatan yang memprosesnya untuk menyediakan fungsi yang diterangkan di atas;
• dengan penasihat profesional seperti akauntan dan peguam apabila mereka memerlukannya;
• apabila dikehendaki undang-undang, atau untuk menegakkan, melaksanakan atau mempertahankan tuntutan undang-undang; atau
• jika perniagaan dijual atau disusun semula, dengan pembeli atas terma yang terus melindungi data.

Kami tidak menjual data peribadi, menyewa atau memperdagangkan senarai mel, atau memberikan data akaun peribadi anda kepada rakan pelancongan. Laman pihak ketiga yang anda buka menerima maklumat sebagai destinasi biasa di internet.

8. Pemprosesan di luar Malaysia

Sesetengah penyedia mungkin menyimpan atau memproses data di luar Malaysia, termasuk di Singapura, Kesatuan Eropah dan Amerika Syarikat. Sebelum draf ini berkuat kuasa, pengawal data mesti mengesahkan rantau pengeluaran sebenar, kontrak dan perlindungan pemindahan rentas sempadan. Anda boleh meminta maklumat mengenai perlindungan yang terpakai.

9. Berapa lama kami menyimpannya

Kami boleh menyimpan statistik yang telah dinyahnamakan dan diagregatkan secara tidak boleh dipulihkan kerana ia tidak lagi boleh mengenal pasti seseorang. Jadual simpanan pengeluaran muktamad, termasuk pengendalian sandaran dan tempoh maksimum bagi data yang dipadam secara lembut serta surat-menyurat, kekal sebagai perkara kelulusan pelancaran dan akan menggantikan kata-kata draf ini.

10. Menjaga keselamatannya

Kami mengambil langkah teknikal dan organisasi yang munasabah termasuk sambungan tersulit, pencincangan kata laluan sehala, sesi legap, kawalan akses, sempadan data akaun peribadi, keupayaan pentadbir terhad dan perisian yang diselenggara. Tiada laman web boleh menjanjikan keselamatan sempurna.

Jika pelanggaran data peribadi berlaku, STM akan menjalankan penilaian kemudaratan dan skala yang dikehendaki undang-undang serta membuat apa-apa pemberitahuan yang diperlukan kepada Pesuruhjaya Perlindungan Data Peribadi dan orang terjejas dalam tempoh yang terpakai. Pemberitahuan disemak dari segi undang-undang dan tidak dihantar secara automatik oleh aplikasi.

11. Hak anda

Tertakluk pada undang-undang dan keperluan pengesahan, anda boleh:

• bertanya data peribadi yang kami simpan mengenai anda dan meminta salinan;
• meminta pembetulan data yang tidak tepat, tidak lengkap atau sudah lapuk;
• menarik balik persetujuan atau kebenaran pelayar apabila pemprosesan bergantung padanya;
• meminta kami berhenti memproses dalam keadaan yang diperuntukkan undang-undang;
• meminta kebolehalihan apabila hak tersebut dan penerima yang serasi terpakai; dan
• meminta pemadaman atau remedi lain yang tersedia di sisi undang-undang.

Anda boleh menyunting sendiri sesetengah maklumat akaun, koleksi dan nota. Penutupan akaun biasa tidak sama dengan pemadaman di sisi undang-undang; gunakan laluan permintaan privasi jika anda mahu data yang dikekalkan dinilai untuk pemadaman.

12. Membuat permintaan

Gunakan halaman Permintaan privasi atau e-mel support@smalltowns.my. Kami mungkin meminta anda mengesahkan identiti sebelum melepaskan atau mengubah data. Permintaan akses dan pembetulan menggunakan sasaran respons dalaman 21 hari, tertakluk pada lanjutan atau tempoh lain yang dibenarkan undang-undang. Tempoh dan penghantaran kebolehalihan disahkan mengikut undang-undang yang terpakai apabila permintaan diterima.

13. Kanak-kanak

Laman ini tidak ditujukan kepada kanak-kanak. Jika anda berumur bawah 18 tahun, anda memerlukan kebenaran ibu bapa atau penjaga sebelum membuka akaun. Jika kami mendapati bahawa kami menyimpan data peribadi kanak-kanak tanpa kebenaran yang diperlukan, kami akan menilai dan membuangnya sebagaimana dikehendaki. Ibu bapa atau penjaga boleh menghubungi support@smalltowns.my.

14. Pemasaran

MVP semasa tidak menyediakan langganan surat berita pemasaran atau menghantar pemasaran langsung. Mesej penting mengenai akaun, pengesahan, pemulihan dan keselamatan ialah komunikasi perkhidmatan, bukan pemasaran.

15. Keputusan automatik

Kami tidak membuat keputusan mengenai anda semata-mata secara automatik yang menghasilkan kesan undang-undang atau kesan ketara yang serupa.

16. Penutupan akaun dan pemadaman

Menutup akaun melalui Tetapan Akaun membuang akses log masuk secara kekal, mengosongkan atau menyahnamakan pengecam log masuk dan menamatkan sesi aktif. Pada masa ini, profil, avatar, lawatan, pekan simpanan dan nota peribadi dikekalkan supaya rekod domain kekal konsisten. Permintaan privasi yang disahkan secara berasingan diperlukan supaya pemadaman atau penyahnamaan lanjut boleh dinilai dari segi undang-undang.

17. Perubahan pada notis ini

Kami mungkin mengemas kini notis ini apabila Laman dan penyedianya berubah. Versi dan tarikh kemas kini di bahagian atas mengenal pasti keluaran ini. Perubahan ketara akan dimaklumkan sebelum berkuat kuasa apabila dikehendaki, dan versi baharu tidak akan menggantikan secara senyap teks yang dilampirkan pada rekod undang-undang terdahulu.