1. Our Two Operational Roles

• Customer Data (We Act as Data Processor): When you enter details about your own customers, clients, or patients ("Customers") into FlowingCare—such as names, phone numbers, and reminder dates—you are the Data Controller (Data User). You decide what is collected and are legally responsible for giving proper notice and securing any required consent. We process and display this information strictly on your instructions to deliver the Platform. We never sell, rent, or monetize your customer records.
• Account Data (We Act as Data Controller): For information concerning you, your registered business profile, team logins, and subscription billing, the Company acts as the Data Controller (Data User). We use this data to run your account, manage billing, and provide technical support.

2. Information We Collect

A. Account Information You Provide

• Business Profile: Business or clinic name, registration number, business category, registered address, and billing contact details.
• User Accounts: Staff names, work email addresses, assigned roles, and login credentials. Passwords are encrypted so they can never be viewed in plain text.
• Billing Records: Subscription tier, transaction history, and payment confirmations. Card details are processed directly by our external payment gateway and are never stored on our servers.
• Customer Reminder Records: Customer names, phone numbers, scheduled dates, and reminder labels entered by your team.

B. Technical & Device Connection Data

• Standard technical login logs (such as IP address, browser type, device information, and login timestamps) used strictly to verify your identity, monitor platform performance, and protect accounts against unauthorized access and automated bot abuse.

C. Important Health Data Warning (Clinics & Healthcare Providers)

Under Section 4 of the PDPA, health information is legally classified as sensitive personal data. If you operate a healthcare practice, a reminder label (such as "Dose 2 Review" or "Annual Screening") may imply a medical condition. You warrant that you have obtained explicit consent from your patients before recording health-indicative reminders.

FlowingCare is strictly an administrative follow-up organizer. It is NOT an Electronic Medical Record (EMR) system. You must never store clinical notes, medical diagnoses, prescriptions, surgical histories, or laboratory results on the Platform.

3. How We Use Information

We process personal data only for legitimate business and operational purposes:

1. Operating the Platform: Displaying your follow-up schedules, tracking overdue tasks, and generating reminder web links that open directly on your own device (we do not transmit customer records to WhatsApp or Meta).
2. Daily Team Summary Emails: Sending active team members an automated morning summary email containing numerical counts only (e.g., "3 reminders due today"). These emails contain zero customer names or phone numbers.
3. Account Administration: Managing trials, subscriptions, billing transactions, issuing tax receipts, and providing customer support.
4. Platform Security & Reliability: Preventing spam, fraud, and brute-force login attacks, troubleshooting technical errors, and maintaining service stability.
5. Legal & Statutory Compliance: Complying with Malaysian corporate, accounting, and tax laws.

Providing necessary account, contact, and billing details is required to establish an account; failure to provide this information will prevent us from providing the Platform to you.

4. Third-Party Service Providers

To operate, support, and secure the Platform, we share personal data only with vetted third-party service providers who assist us with cloud hosting and secure database infrastructure, payment processing, transactional communications, platform performance and error monitoring, aggregate web analytics, customer helpdesk support, and automated text processing. Where automated processing tools are used, records are processed strictly on your instructions and are never used to train public machine learning models. All providers are contractually bound to maintain strict confidentiality and data protection safeguards consistent with the PDPA.

5. Legal Disclosures & Business Transfers

We may disclose personal data where strictly required by Malaysian law, a court order, or an official regulatory directive. If our business is merged, acquired, or reorganized, customer records may be transferred to the successor entity under terms consistent with this Privacy Policy.

6. Security Safeguards

• Data Protection: We apply industry-standard encryption for data in transit and data at rest, along with strict logical account separation to ensure one Subscriber cannot access another Subscriber's records.
• Staff Access Minimization: Company staff do not inspect customer records except where explicitly requested by you for technical troubleshooting or where required by law.
• 48-Hour Incident Notification: If we confirm a data security incident affecting your records, we will notify affected Subscribers within forty-eight (48) hours of confirmation and provide assistance to help you fulfill any statutory reporting obligations.

7. Data Retention & Automatic 60-Day Purging

1. During Active Subscriptions: Data is retained while your trial or paid account remains active.
2. Deleting Individual Records: Account owners and admins can permanently delete any individual customer profile, together with all of that customer's reminders, from your dashboard at any time.
3. Automatic 60-Day Purge After Account Termination:
   • When a paid subscription ends, the account enters an archival Read-Only state. When a trial expires without subscribing, access is suspended until you subscribe.
   • No earlier than sixty (60) days after the subscription ends or the trial expires, the account and all underlying customer lists, reminder histories, and team member logins are permanently and irreversibly wiped from our live production databases.
   • We will send an automated warning email to the registered account owner at least seven (7) days before permanent deletion occurs.
4. Accounting & Tax Records: Invoices and payment receipts are retained for a minimum of seven (7) years to comply with statutory Malaysian tax and accounting regulations.

8. Your Statutory Rights

Under the Malaysian PDPA, you hold specific legal rights:

• Subscribers & Team Members: You may request access to your personal details, correct inaccurate information, request a copy of your records by emailing support@flowingcare.com, or withdraw consent to non-essential processing.
• Customers and Patients of Subscribers: FlowingCare is the software processor; the clinic or business contacting you is the Data Controller. If you wish to view, update, or delete your contact details, or stop receiving reminders, please submit your request directly to that business or clinic.

9. Cookies & Tracking

• Essential Session Cookies: We use essential cookies and authentication tokens necessary to keep your account securely logged in and maintain state across pages.
• Performance & Analytics Scripts: We use standard analytics scripts and diagnostic cookies to understand aggregate website traffic and ensure application stability. These tools collect aggregate telemetry (such as device types, pages visited, and general connection indicators) and do not sell or monetize your personal data.
• No Advertising Trackers: We do not deploy third-party advertising cookies or cross-site commercial tracking networks.

10. Cross-Border Data Transfers

Our third-party cloud infrastructure providers operate globally distributed networks. Consequently, personal data may be stored or processed on secure servers located outside Malaysia. In accordance with Section 129 of the PDPA, we ensure that all overseas cloud recipients are bound by enforceable contractual agreements providing data protection standards comparable to Malaysian law. Subscribing to the Platform constitutes authorization for this necessary cloud processing.

11. Contact Our Data Protection Officer (DPO)

For privacy questions, statutory access requests, or regulatory notices, please contact:

1. Dua Peranan Operasi Kami

• Data Pelanggan (Kami Bertindak sebagai Pemproses Data): Apabila anda memasukkan butiran mengenai pelanggan atau pesakit anda sendiri ("Pelanggan Akhir") ke dalam FlowingCare—seperti nama, nombor telefon, dan tarikh peringatan—anda adalah Pengguna Data (Pengawal Data). Anda menentukan apa yang dikumpul dan bertanggungjawab secara sah untuk memberi notis yang wajar serta mendapatkan persetujuan yang diperlukan. Kami memproses dan memaparkan maklumat ini secara eksklusif atas arahan anda untuk menyediakan Platform. Kami tidak sekali-kali menjual, menyewakan, atau mengaut keuntungan daripada rekod pelanggan anda.
• Data Akaun (Kami Bertindak sebagai Pengguna Data): Bagi maklumat mengenai anda, profil perniagaan berdaftar anda, log masuk pasukan, dan pengebilan langganan, Syarikat bertindak sebagai Pengguna Data (Pengawal Data). Kami menggunakan data ini untuk menguruskan akaun anda, mengendalikan pengebilan, dan menyediakan sokongan teknikal.

2. Maklumat yang Kami Kumpul

A. Maklumat Akaun yang Anda Berikan

• Profil Perniagaan: Nama perniagaan atau klinik, nombor pendaftaran, kategori perniagaan, alamat berdaftar, dan butiran hubungan pengebilan.
• Akaun Pengguna: Nama kakitangan, alamat e-mel kerja, peranan yang ditetapkan, dan kelayakan log masuk. Kata laluan disulitkan sepenuhnya dan tidak boleh dilihat dalam teks biasa.
• Rekod Pengebilan: Peringkat langganan, sejarah transaksi, dan pengesahan pembayaran. Butiran kad pembayaran diproses secara langsung oleh gerbang pembayaran pihak ketiga kami dan tidak pernah disimpan pada pelayan kami.
• Rekod Peringatan Pelanggan: Nama pelanggan akhir, nombor telefon, tarikh yang dijadualkan, dan label peringatan yang dimasukkan oleh pasukan anda.

B. Data Sambungan Teknikal & Peranti

• Log teknikal standard log masuk (seperti alamat IP, jenis pelayar web, maklumat peranti, dan cap masa log masuk) yang digunakan semata-mata untuk mengesahkan identiti anda, memantau prestasi platform, dan melindungi akaun daripada akses tanpa kebenaran serta serangan bot automatik.

C. Peringatan Penting Data Kesihatan (Klinik & Penyedia Penjagaan Kesihatan)

Di bawah Seksyen 4 APDP, maklumat kesihatan diklasifikasikan dari segi undang-undang sebagai data peribadi sensitif. Sekiranya anda mengendalikan klinik atau amalan penjagaan kesihatan, label peringatan (seperti "Semakan Dos 2" atau "Saringan Tahunan") mungkin membayangkan keadaan kesihatan. Anda menjamin bahawa anda telah memperoleh persetujuan nyata daripada pesakit anda sebelum merekodkan peringatan yang berkaitan dengan kesihatan.

FlowingCare hanyalah sebuah alat pengurusan pentadbiran susulan. Ia BUKAN sistem Rekod Perubatan Elektronik (EMR). Anda dilarang sama sekali menyimpan nota klinikal, diagnosis perubatan, preskripsi, sejarah pembedahan, atau keputusan makmal di Platform ini.

3. Cara Kami Menggunakan Maklumat

Kami memproses data peribadi hanya untuk tujuan perniagaan dan operasi yang sah:

1. Mengendalikan Platform: Memaparkan jadual tindakan susulan anda, menjejaki tugasan tertunggak, dan menjana pautan web peringatan yang dibuka terus pada peranti anda sendiri (kami tidak memindahkan rekod pelanggan kepada WhatsApp atau Meta).
2. E-mel Ringkasan Harian Pasukan: Menghantar e-mel ringkasan pagi automatik kepada ahli pasukan aktif yang mengandungi kiraan angka sahaja (contohnya, "3 peringatan perlu diambil tindakan hari ini"). E-mel ini tidak mengandungi nama atau nombor telefon pelanggan.
3. Pentadbiran Akaun: Menguruskan percubaan percuma, langganan, transaksi pengebilan, mengeluarkan resit cukai, dan menyediakan sokongan pelanggan.
4. Keselamatan & Kestabilan Platform: Mencegah spam, penipuan, dan serangan log masuk automatik, mendiagnosis ralat teknikal, dan mengekalkan kestabilan perkhidmatan.
5. Pematuhan Undang-undang & Statutori: Mematuhi undang-undang korporat, perakaunan, dan percukaian Malaysia.

Penyediaan maklumat akaun, perhubungan, dan pengebilan yang diperlukan adalah wajib untuk mewujudkan akaun; kegagalan berbuat demikian akan menyebabkan kami tidak dapat menyediakan Platform kepada anda.

4. Penyedia Perkhidmatan Pihak Ketiga

Untuk mengendalikan, menyokong, dan melindungi Platform, kami berkongsi data peribadi hanya dengan penyedia perkhidmatan pihak ketiga yang diperiksa rapi yang membantu kami dengan pengehosan awan dan infrastruktur pangkalan data selamat, pemprosesan pembayaran, komunikasi transaksi, pemantauan prestasi dan ralat platform, analitik web agregat, meja bantuan pelanggan, dan pemprosesan teks automatik. Di mana alat pemprosesan automatik digunakan, rekod diproses semata-mata mengikut arahan anda dan tidak sekali-kali digunakan untuk melatih model kecerdasan buatan awam. Semua penyedia terikat secara kontrak untuk mengekalkan kerahsiaan ketat dan langkah perlindungan data selaras dengan APDP.

5. Pendedahan Undang-undang & Pemindahan Perniagaan

Kami mungkin mendedahkan data peribadi jika dikehendaki secara ketat oleh undang-undang Malaysia, perintah mahkamah, atau arahan rasmi pihak berkuasa kawal selia. Sekiranya perniagaan kami digabungkan, diambil alih, atau distruktur semula, rekod pelanggan boleh dipindahkan kepada entiti pengganti di bawah terma yang selaras dengan Dasar Privasi ini.

6. Langkah Keselamatan

• Perlindungan Data: Kami menggunakan penyulitan standard industri bagi data dalam transit dan data rehat, serta pengasingan logik akaun yang ketat bagi memastikan seorang Pelanggan Langganan tidak dapat mengakses rekod Pelanggan Langganan yang lain.
• Meminimumkan Akses Kakitangan: Kakitangan Syarikat tidak memeriksa rekod pelanggan kecuali jika diminta secara nyata oleh anda untuk penyelesaian masalah teknikal atau jika dikehendaki oleh undang-undang.
• Pemberitahuan Insiden 48 Jam: Jika kami mengesahkan insiden keselamatan data yang menjejaskan rekod anda, kami akan memberitahu Pelanggan Langganan yang terjejas dalam tempoh empat puluh lapan (48) jam selepas pengesahan dan memberikan bantuan untuk membantu anda memenuhi kewajipan pelaporan statutori anda.

7. Pengekalan Data & Pemadaman Automatik 60 Hari

1. Sepanjang Tempoh Langganan Aktif: Data disimpan selagi tempoh percubaan atau akaun berbayar anda kekal aktif.
2. Memadam Rekod Individu: Pemilik dan pentadbir akaun boleh memadam mana-mana profil pelanggan secara kekal, bersama-sama semua peringatan pelanggan tersebut, daripada papan pemuka anda pada bila-bila masa.
3. Pemadaman Automatik 60 Hari Selepas Penamatan Akaun:
   • Apabila langganan berbayar tamat, akaun memasuki status arkib Baca Sahaja. Apabila tempoh percubaan tamat tanpa melanggan, akses digantung sehingga anda melanggan.
   • Tidak lebih awal daripada enam puluh (60) hari selepas langganan tamat atau tempoh percubaan tamat, akaun tersebut dan semua senarai pelanggan, sejarah peringatan, dan log masuk ahli pasukan akan dipadam secara kekal dan tidak boleh dipulihkan daripada pangkalan data langsung kami.
   • Kami akan menghantar e-mel amaran automatik kepada pemilik akaun berdaftar sekurang-kurangnya tujuh (7) hari sebelum pemadaman kekal dilaksanakan.
4. Rekod Perakaunan & Cukai: Invois dan resit pembayaran disimpan untuk tempoh minimum tujuh (7) tahun bagi mematuhi peraturan statutori percukaian dan perakaunan Malaysia.

8. Hak Statutori Anda

Di bawah APDP Malaysia, anda mempunyai hak undang-undang yang khusus:

• Pelanggan Langganan & Ahli Pasukan: Anda boleh meminta akses kepada butiran peribadi anda, membetulkan maklumat yang tidak tepat, meminta salinan rekod anda dengan menghantar e-mel ke support@flowingcare.com, atau menarik balik persetujuan terhadap pemprosesan yang tidak penting.
• Pelanggan dan Pesakit bagi Pelanggan Langganan: FlowingCare ialah pemproses perisian; klinik atau perniagaan yang menghubungi anda ialah Pengguna Data (Pengawal Data). Jika anda ingin melihat, mengemas kini, atau memadamkan butiran hubungan anda, atau berhenti menerima peringatan, sila kemukakan permintaan anda terus kepada perniagaan atau klinik berkenaan.

9. Kuki & Penjejakan

• Kuki Sesi Penting: Kami menggunakan kuki penting dan token pengesahan yang diperlukan untuk memastikan akaun anda kekal log masuk dengan selamat dan mengekalkan status merentasi halaman web.
• Skrip Prestasi & Analitik: Kami menggunakan skrip analitik standard dan kuki diagnostik untuk memahami trafik agregat laman web serta memastikan kestabilan aplikasi. Alat ini mengumpul telemetri agregat (seperti jenis peranti, halaman yang dilawati, dan penunjuk sambungan umum) dan tidak menjual atau mengaut keuntungan daripada data peribadi anda.
• Tiada Penjejak Iklan: Kami tidak menggunakan kuki pengiklanan pihak ketiga atau rangkaian penjejakan komersial rentas laman.

10. Pemindahan Data Rentas Sempadan

Penyedia infrastruktur awan pihak ketiga kami mengendalikan rangkaian yang diedarkan secara global. Oleh itu, data peribadi mungkin disimpan atau diproses pada pelayan selamat yang terletak di luar Malaysia. Selaras dengan Seksyen 129 APDP, kami memastikan semua penerima awan di luar negara terikat dengan perjanjian kontrak yang boleh dikuatkuasakan yang menyediakan standard perlindungan data yang setanding dengan undang-undang Malaysia. Melanggan Platform ini merupakan pemberian kuasa bagi pemprosesan awan yang diperlukan ini.

11. Hubungi Pegawai Perlindungan Data (DPO) Kami

Untuk sebarang pertanyaan privasi, permintaan akses statutori, atau notis kawal selia, sila hubungi: