Who is responsible for your data

BookMeLah operates the booking platform. For platform data — accounts, security, and the operation of the service — BookMeLah decides how the data is used and is the data user under the PDPA.

The provider you book with is a separate data user. They use your booking details to deliver their service and manage your appointment. This notice covers BookMeLah's platform; a provider should give you their own privacy notice.

Where BookMeLah processes booking data on a provider's behalf, it does so under the provider terms.

Personal data we collect

For a customer booking, we collect only what the booking needs:

• your name;
• one contact channel required for the notification method you choose — your Malaysian mobile/WhatsApp number and/or your email address;
• the selected service, date, time, location or meeting details, and any optional note you add;
• records of booking, change and cancellation requests and their outcomes; and
• the consent notices you accept, including the purpose, channel, version and time.

For providers, we collect account authentication details (through Supabase), business name, public link, location, services and availability, and — if you connect it — Google Calendar credentials, which are stored encrypted.

We do not ask for identity-card numbers, payment details, health information or marketing preferences in this release. Please do not put special-category information in a booking note, and providers should not ask you to.

Why we collect and use it

We use personal data to:

• create and manage your booking, including approval, rescheduling and cancellation;
• send operational messages about your booking through the channel you choose;
• show the provider the details they need to deliver the service;
• sync a provider's busy time and confirmed bookings with Google Calendar where they have connected it;
• keep the platform secure, prevent abuse and rate-limit requests, and troubleshoot problems;
• meet legal, tax and accounting obligations; and
• with your separate, optional consent, send promotional messages from the provider.

We do not use your booking data for automated decision-making or for BookMeLah's own marketing.

Your choices and how to opt out

Submitting a booking requires you to agree that your details may be shared with the selected provider to manage the booking. Without that consent we cannot create the booking.

Operational messages are limited to the booking events you request, such as approved, rejected, rescheduled or cancelled.

Promotional messages are optional, off by default, and are never bundled with booking consent. You can withdraw promotional consent at any time by telling the provider or contacting us; withdrawing it does not stop operational booking messages.

You can ask to access, correct or delete your personal data, or withdraw consent, using the contact details below. We may keep records where the law requires it.

Data minimisation

We collect the minimum needed to run and protect the booking. Booking notes are free text, so take care not to include identity-card numbers, financial details, or health or other special-category information.

Who we share it with (processors and recipients)

We share personal data with service providers who process it for us, and with the provider you book with:

• Supabase — hosted PostgreSQL database and authentication;
• Amazon Web Services (AWS) — Lambda compute, API Gateway, SES email delivery, and S3/CloudFront hosting;
• Google Calendar — busy-time sync and confirmed-booking events, only where a provider connects their account;
• email delivery (Amazon SES) — currently disabled by default; when enabled it is used only for operational booking mail; and
• WhatsApp or Telegram — only if you use a manual 'notify' link. Those messages are sent from the provider's own account or app, not by an automated BookMeLah sender.

We do not sell personal data.

Where your data is processed

Some of these providers may process personal data outside Malaysia. Where personal data is transferred outside Malaysia, we expect safeguards consistent with the PDPA. The exact transfer basis and subprocessor list require legal review.

How long we keep it

Confirmed booking records are kept only as long as operational, dispute, legal and tax needs require. Expired booking requests and stale notification logs are deleted or anonymised on a documented schedule. The final retention periods must be set with counsel.

How we protect it

Access is limited to what each role needs. Providers can see only their own customers and bookings. Customer change and cancellation links use unguessable, scoped tokens. Authentication secrets and Google Calendar tokens are encrypted. No system is perfectly secure, but we take reasonable steps to protect your data.

Your rights

Under the PDPA you may request access to and correction of your personal data, withdraw consent, and ask us to limit or delete data where the law allows. Contact us using the details below. We may need to verify your identity before acting on a request.

Changes to this notice

We may update this notice as the product and the law change. We will post the new version here and, where the change is material, tell you through the booking channel you used.

How to contact us

The BookMeLah operator's legal name, SSM registration number, address and a privacy contact are to be confirmed by counsel before launch. Until then, use the contact details shown on the booking page you used.

Siapa yang bertanggungjawab ke atas data anda

BookMeLah mengendalikan platform tempahan. Bagi data platform — akaun, keselamatan dan operasi perkhidmatan — BookMeLah menentukan cara data digunakan dan merupakan pengguna data di bawah PDPA.

Penyedia yang anda tempah merupakan pengguna data yang berasingan. Mereka menggunakan butiran tempahan anda untuk menyampaikan perkhidmatan dan menguruskan temujanji anda. Notis ini meliputi platform BookMeLah; penyedia harus memberikan notis privasi mereka sendiri.

Apabila BookMeLah memproses data tempahan bagi pihak penyedia, ia dilakukan di bawah terma penyedia.

Data peribadi yang kami kumpul

Bagi tempahan pelanggan, kami hanya mengumpul apa yang diperlukan oleh tempahan itu:

• nama anda;
• satu saluran hubungan yang diperlukan untuk kaedah pemberitahuan yang anda pilih — nombor telefon mudah alih/WhatsApp Malaysia dan/atau alamat e-mel anda;
• perkhidmatan, tarikh, masa, lokasi atau butiran mesyuarat yang dipilih, serta sebarang nota pilihan yang anda tambah;
• rekod permintaan tempahan, perubahan dan pembatalan serta hasilnya; dan
• notis persetujuan yang anda terima, termasuk tujuan, saluran, versi dan masa.

Bagi penyedia, kami mengumpul butiran pengesahan akaun (melalui Supabase), nama perniagaan, pautan awam, lokasi, perkhidmatan dan ketersediaan, dan — jika anda menyambungkannya — kelayakan Google Calendar yang disimpan secara disulitkan.

Kami tidak meminta nombor kad pengenalan, butiran pembayaran, maklumat kesihatan atau keutamaan pemasaran dalam keluaran ini. Sila jangan masukkan maklumat kategori khas dalam nota tempahan, dan penyedia tidak harus meminta anda berbuat demikian.

Mengapa kami mengumpul dan menggunakannya

Kami menggunakan data peribadi untuk:

• mencipta dan menguruskan tempahan anda, termasuk kelulusan, penjadualan semula dan pembatalan;
• menghantar mesej operasi tentang tempahan anda melalui saluran yang anda pilih;
• menunjukkan kepada penyedia butiran yang diperlukan untuk menyampaikan perkhidmatan;
• menyelaras waktu sibuk penyedia dan tempahan yang disahkan dengan Google Calendar jika ia disambungkan;
• memastikan platform selamat, mencegah penyalahgunaan dan mengehadkan kadar permintaan, serta menyelesaikan masalah;
• memenuhi kewajipan undang-undang, cukai dan perakaunan; dan
• dengan persetujuan berasingan dan pilihan anda, menghantar mesej promosi daripada penyedia.

Kami tidak menggunakan data tempahan anda untuk membuat keputusan secara automatik atau untuk pemasaran BookMeLah sendiri.

Pilihan anda dan cara menarik diri

Menghantar tempahan memerlukan anda bersetuju bahawa butiran anda boleh dikongsi dengan penyedia yang dipilih untuk menguruskan tempahan itu. Tanpa persetujuan itu kami tidak boleh mencipta tempahan.

Mesej operasi terhad kepada peristiwa tempahan yang anda minta, seperti disahkan, ditolak, dijadual semula atau dibatalkan.

Mesej promosi adalah pilihan, dimatikan secara lalai, dan tidak sekali-kali digabungkan dengan persetujuan tempahan. Anda boleh menarik balik persetujuan promosi pada bila-bila masa dengan memberitahu penyedia atau menghubungi kami; menarik baliknya tidak menghentikan mesej tempahan operasi.

Anda boleh meminta akses, pembetulan atau pemadaman data peribadi anda, atau menarik balik persetujuan, menggunakan butiran hubungan di bawah. Kami mungkin menyimpan rekod jika undang-undang menghendakinya.

Pengurangan data

Kami mengumpul minimum yang diperlukan untuk menjalankan dan melindungi tempahan. Nota tempahan ialah teks bebas, jadi berhati-hati agar tidak memasukkan nombor kad pengenalan, butiran kewangan, atau maklumat kesihatan atau kategori khas yang lain.

Dengan siapa kami berkongsi (pemproses dan penerima)

Kami berkongsi data peribadi dengan penyedia perkhidmatan yang memprosesnya untuk kami, dan dengan penyedia yang anda tempah:

• Supabase — pangkalan data PostgreSQL dan pengesahan yang dihoskan;
• Amazon Web Services (AWS) — pengkomputeran Lambda, API Gateway, penghantaran e-mel SES, dan hosting S3/CloudFront;
• Google Calendar — penyelarasan waktu sibuk dan peristiwa tempahan yang disahkan, hanya jika penyedia menyambungkan akaunnya;
• penghantaran e-mel (Amazon SES) — kini dimatikan secara lalai; apabila diaktifkan ia digunakan hanya untuk e-mel tempahan operasi; dan
• WhatsApp atau Telegram — hanya jika anda menggunakan pautan 'notify' manual. Mesej tersebut dihantar dari akaun atau aplikasi penyedia sendiri, bukan oleh penghantar automatik BookMeLah.

Kami tidak menjual data peribadi.

Di mana data anda diproses

Sesetengah penyedia ini mungkin memproses data peribadi di luar Malaysia. Apabila data peribadi dipindahkan ke luar Malaysia, kami menjangkakan perlindungan yang selaras dengan PDPA. Asas pemindahan yang tepat dan senarai subpemproses memerlukan semakan guaman.

Berapa lama kami menyimpannya

Rekod tempahan yang disahkan disimpan hanya selagi keperluan operasi, pertikaian, undang-undang dan cukai memerlukannya. Permintaan tempahan yang tamat tempoh dan log pemberitahuan lama dipadamkan atau dianonimkan mengikut jadual yang didokumentasikan. Tempoh penyimpanan akhir mesti ditetapkan bersama peguam.

Bagaimana kami melindunginya

Akses dihadkan kepada apa yang diperlukan oleh setiap peranan. Penyedia hanya boleh melihat pelanggan dan tempahan mereka sendiri. Pautan perubahan dan pembatalan pelanggan menggunakan token yang sukar diteka dan berskop. Rahsia pengesahan dan token Google Calendar disulitkan. Tiada sistem yang sempurna selamat, tetapi kami mengambil langkah munasabah untuk melindungi data anda.

Hak anda

Di bawah PDPA anda boleh meminta akses kepada dan pembetulan data peribadi anda, menarik balik persetujuan, dan meminta kami mengehadkan atau memadamkan data jika undang-undang membenarkan. Hubungi kami menggunakan butiran di bawah. Kami mungkin perlu mengesahkan identiti anda sebelum bertindak.

Perubahan pada notis ini

Kami mungkin mengemas kini notis ini apabila produk dan undang-undang berubah. Kami akan menyiarkan versi baharu di sini dan, jika perubahan itu penting, memberitahu anda melalui saluran tempahan yang anda gunakan.

Cara menghubungi kami

Nama sah, nombor pendaftaran SSM, alamat dan hubungan privasi pengendali BookMeLah akan disahkan oleh peguam sebelum pelancaran. Sementara itu, gunakan butiran hubungan yang dipaparkan pada halaman tempahan yang anda gunakan.