Notis Privasi

1. Siapa kami

NUL TECHNOLOGY (No. Pendaftaran Perniagaan 202603148027 (003857548-W)) ialah sebuah perniagaan yang didaftarkan di Malaysia di bawah Akta Pendaftaran Perniagaan 1956 dan dijalankan sebagai perniagaan milikan tunggal. NUL TECHNOLOGY mengendalikan platform Othersmind dan laman web ini (othersmind.ai). "Othersmind" dan "TK-C3" ialah nama produk dan jenama NUL TECHNOLOGY; kedua-duanya bukan entiti undang-undang yang berasingan.

Alamat perniagaan berdaftar: A-15-02, VILLA ORKID BUKIT PRIMA PELANGI, JLN PELANGI 7, 51200 KUALA LUMPUR, WILAYAH PERSEKUTUAN, MALAYSIA.

Bagi maksud Akta Perlindungan Data Peribadi 2010 (Akta 709) ("PDPA"), sebagaimana yang dipinda oleh Akta Perlindungan Data Peribadi (Pindaan) 2024 (Akta A1727), NUL TECHNOLOGY ialah pengawal data bagi data peribadi yang diterangkan dalam notis ini. Pegawai hubungan privasi dan perlindungan data kami boleh dihubungi di chiewaylee@gmail.com (lihat seksyen 18).

Othersmind ialah platform perniagaan-ke-perniagaan (B2B) untuk kontraktor pembinaan. Pelanggan kami ialah perniagaan; individu yang data peribadinya kami proses lazimnya ialah kakitangan pelanggan kami, dan orang yang berutus e-mel dengan peti mel yang disambungkan oleh pelanggan kami kepada platform.

2. Mengenai notis ini

Notis ini menerangkan cara kami mengumpul, menggunakan, menzahirkan, menyimpan dan melindungi data peribadi apabila anda menggunakan Othersmind atau melawat laman web ini. Notis ini dikeluarkan di bawah seksyen 7 PDPA dan mencerminkan PDPA sebagaimana yang dipinda berkuat kuasa dari tahun 2025, termasuk tujuh Prinsip Perlindungan Data Peribadi (Prinsip Am; Prinsip Notis dan Pilihan; Prinsip Penzahiran; Prinsip Keselamatan; Prinsip Penyimpanan; Prinsip Integriti Data; dan Prinsip Akses), kewajipan pemberitahuan pelanggaran data peribadi (seksyen 12B), hak kemudahalihan data (seksyen 43A) dan rejim pemindahan data ke luar Malaysia yang dipinda (seksyen 129).

Apabila pelanggan kami (perniagaan yang memegang langganan Othersmind) meminta kami memproses data peribadi yang terkandung dalam rekodnya sendiri — contohnya, surat-menyurat dalam peti mel yang disambungkannya — kami memproses data tersebut untuk menyediakan perkhidmatan kepada pelanggan itu di bawah perjanjian kami dengan mereka. Pelanggan bertanggungjawab memastikan bahawa ia berhak menyediakan data tersebut kepada kami.

3. Data peribadi yang kami kumpul

3.1 Data akaun

Apabila anda log masuk dengan Google, kami menyimpan: nama anda, alamat e-mel, pengecam akaun Google, kaedah log masuk anda, peranan anda pada platform, dan cap masa log masuk. Kami tidak sekali-kali melihat atau menyimpan kata laluan Google anda.

3.2 Data Gmail (hanya jika peti mel disambungkan)

Jika perniagaan anda menyambungkan peti mel Gmail, kami menyegerak dan menyimpan medan-medan berikut bagi mesej peti masuk terkini, dan medan-medan ini sahaja:

• ID mesej Gmail dan ID bebenang (thread);
• nama dan alamat e-mel penghantar, serta alamat e-mel penerima;
• baris tajuk (subjek);
• petikan ringkas (snippet) yang disediakan oleh Gmail bagi mesej tersebut;
• ID label Gmail dan cap masa penerimaan;
• sama ada mesej itu mempunyai lampiran (penanda ya/tidak sahaja);
• label yang diterbitkan oleh platform kami: pengelasan aliran kerja pembinaan (contohnya "kelulusan bahan", "RFI", "sijil tuntutan"), tahap keutamaan (urgency), status telah dibaca, dan pautan kepada tuntutan atau dokumen yang berkaitan dengan e-mel itu.

Apa yang kami tidak kumpul: kami tidak membaca atau menyimpan kandungan badan mesej — mesej diambil dalam format metadata Gmail sahaja. Kami tidak memuat turun atau menyimpan lampiran (kami hanya merekodkan sama ada lampiran wujud). Kami tidak mengakses kenalan, kalendar, Drive, atau mana-mana perkhidmatan Google yang lain, dan kami tidak boleh menghantar, mengubah atau memadam e-mel (lihat seksyen 4).

3.3 Data projek dan operasi

Data yang dimasukkan oleh perniagaan anda ke dalam platform: butiran projek, tuntutan kemajuan dan penilaian, arahan perubahan kerja (VO), pesanan belian, rekod pembekal (yang mungkin mengandungi nama, alamat e-mel dan nombor telefon pegawai hubungan pembekal), butiran hubungan perunding, daftar dokumen, jadual kerja, senarai semak dan nota.

3.4 Data teknikal dan audit

Log pelayan (dengan token pengesahan dan kuki diredaksi secara automatik), jejak audit tindakan yang diambil pada platform, rekod larian agen (termasuk input dan output agen AI berkaitan projek anda), pemberitahuan dalam aplikasi, dan kuki sesi yang digunakan untuk mengekalkan log masuk anda.

3.5 Pelawat laman web

Laman web pemasaran ini tidak menetapkan sebarang kuki analitik atau pengiklanan dan tidak menjalankan sebarang penjejak. Fon web dimuatkan daripada Google Fonts, yang bermaksud pelayar anda menghantar alamat IP anda kepada Google apabila halaman dimuatkan.

3.6 Sama ada pemberian data adalah wajib

Data akaun diperlukan untuk menyediakan perkhidmatan — tanpanya kami tidak dapat memberikan anda akses. Penyambungan peti mel Gmail adalah pilihan: jika anda memilih untuk tidak menyambungkannya, ciri-ciri berkaitan Gmail pada platform tidak akan tersedia, tetapi bahagian platform yang lain masih berfungsi.

3.7 Sumber data peribadi

Kami memperoleh data peribadi: secara langsung daripada anda (log masuk dan data yang anda masukkan); daripada peti mel Gmail yang dipilih oleh perniagaan anda untuk disambungkan (yang akan mengandungi data peribadi orang yang berutus e-mel dengan peti mel itu, seperti perunding, pembekal dan wakil klien); dan daripada rekod yang dimasukkan oleh pengguna sah perniagaan anda mengenai rakan sekerja dan kenalan perniagaan mereka.

4. Cara kami mengakses data Gmail

Othersmind bersambung ke Gmail melalui API Gmail rasmi Google, dengan persetujuan nyata anda yang diberikan pada skrin persetujuan Google sendiri. Akses kami sengaja diminimumkan:

• Kami memohon skop gmail.readonly sahaja — akses baca sahaja.
• Kami tidak sekali-kali memohon skop yang membolehkan kami menghantar, mengubah atau memadam e-mel. Platform ini tiada keupayaan untuk menghantar e-mel daripada peti mel anda, dan tidak boleh meminda atau membuang apa-apa dalam peti mel anda.
• Log masuk ke Othersmind ialah aliran berasingan yang menggunakan skop identiti sahaja (nama, alamat e-mel dan profil anda) — log masuk semata-mata tidak memberikan kami akses kepada mana-mana peti mel.
• Mesej diambil dalam format metadata: pengepala (header) dan petikan ringkas yang disediakan Gmail — tidak sekali-kali badan mesej penuh, dan tidak sekali-kali kandungan lampiran.

Anda boleh membatalkan akses Othersmind pada bila-bila masa daripada tetapan keselamatan Akaun Google anda di myaccount.google.com/permissions, yang menjadikan akses kami tidak sah serta-merta. Lihat seksyen 12 mengenai apa yang dipadam dan tidak dipadam apabila sambungan diputuskan.

5. Tujuan pemprosesan data peribadi

Kami memproses data peribadi bagi tujuan-tujuan berikut:

• untuk menyediakan perkhidmatan Othersmind: mengelaskan e-mel yang disegerak kepada kategori aliran kerja pembinaan, menanda keutamaan, memautkan surat-menyurat kepada tuntutan dan kelulusan, menjejak garis masa maklum balas pembayaran berkanun di bawah CIPAA 2012, menjana taklimat pagi, memantau bahan dan kelulusan, serta menyediakan draf dokumen untuk semakan manusia;
• untuk mentadbir akaun, peranan dan akses projek;
• untuk mengamankan platform: pengesahan, kawalan akses, jejak audit, siasatan penyalahgunaan dan insiden;
• untuk mengendali, menyenggara dan menambah baik platform, termasuk penyelesaian masalah daripada log yang telah diredaksi;
• untuk menyampaikan pemberitahuan perkhidmatan; dan
• untuk mematuhi kewajipan undang-undang.

Kami tidak menggunakan data peribadi untuk pengiklanan, dan kami tidak menjual data peribadi kepada sesiapa.

6. Penzahiran Limited Use API Google

7. Pemprosesan AI ke atas data anda

Agen-agen Othersmind menggunakan model bahasa besar (LLM) yang dikendalikan oleh pembekal pihak ketiga. Apa yang dihantar kepada pembekal LLM adalah sengaja dihadkan:

• Pengelasan e-mel: baris tajuk, petikan ringkas Gmail, serta nama dan alamat penghantar bagi e-mel yang disegerak — tidak sekali-kali badan mesej atau lampiran, yang memang tidak kami simpan.
• Taklimat pagi: ringkasan keadaan operasi projek anda — nama projek, jumlah kontrak dan tuntutan, status tuntutan, dan penemuan daripada agen-agen lain.
• Penjanaan draf: konteks projek dan dokumen yang diperlukan untuk menyediakan draf e-mel susulan atau pesanan belian bagi semakan anda.

Bergantung pada konfigurasi kami, inferens dilakukan oleh salah satu pembekal berikut, dan kami hanya akan memproses data anda dengan pembekal yang syarat perkhidmatannya melarang latihan model ke atas data tersebut secara lalai:

• Anthropic PBC (API Claude, Amerika Syarikat — pembekal lalai kami). Commercial Terms of Service Anthropic (berkuat kuasa 17 Jun 2025) menyatakan bahawa Anthropic "may not train models on Customer Content from Services" (tidak boleh melatih model dengan Kandungan Pelanggan daripada Perkhidmatan). Amalan lalai yang diterbitkan Anthropic ialah input dan output API dipadam daripada sistem belakangnya dalam tempoh 30 hari, dengan penyimpanan lebih lama hanya bagi kandungan yang ditanda untuk semakan keselamatan dan amanah.
• Z.AI (model GLM melalui platform antarabangsa api.z.ai, dikendalikan dari Singapura oleh JINGSHENG HENGXING TECHNOLOGY PTE. LTD.). Terms of Use Z.AI (kemas kini terakhir 14 April 2026) menyatakan bagi perkhidmatan API: "We will not use End User Content for developing or improving Services, unless you explicitly agree to such use" (kami tidak akan menggunakan Kandungan Pengguna Akhir untuk membangunkan atau menambah baik Perkhidmatan, melainkan anda bersetuju secara nyata) — dan kami tidak memberikan persetujuan sedemikian. Polisi Privasi Z.AI menyatakan ia tidak menyimpan kandungan pelanggan API.

Kami tidak memberikan kebenaran kepada mana-mana pembekal untuk melatih model dengan data yang kami hantar. Output AI (pengelasan, label keutamaan, taklimat, draf) ialah bantuan bermaklumat semata-mata dan sentiasa tertakluk kepada semakan manusia sebagaimana yang diterangkan dalam Terma Perkhidmatan kami. Pengelasan automatik tidak menghasilkan sebarang keputusan yang mempunyai kesan undang-undang terhadap seseorang individu; pengelasan boleh disemak dan dibetulkan oleh pasukan anda dalam platform.

8. Dengan siapa kami berkongsi data

Kami menzahirkan data peribadi hanya kepada pembekal perkhidmatan (pemproses data) yang kami gunakan untuk mengendalikan Othersmind, seperti yang disenaraikan di bawah, dan selain itu hanya dengan persetujuan atau apabila dikehendaki atau dibenarkan oleh undang-undang. Kami tidak menjual data peribadi, dan kami tidak berkongsi data dengan pengiklan atau broker data.

Setiap pemproses memproses data peribadi atas arahan terdokumen kami di bawah syarat perkhidmatannya. Di bawah PDPA yang dipinda, pemproses data terikat secara langsung dengan Prinsip Keselamatan (seksyen 5(1A) dibaca bersama seksyen 9 PDPA).

9. Pemindahan data ke luar Malaysia

Data peribadi yang diproses oleh Othersmind memang dipindahkan ke luar Malaysia. Aplikasi dan pangkalan data kami dihoskan di Amerika Syarikat (Railway), lapisan web kami disampaikan dari Amerika Syarikat dan rangkaian edge global (Vercel), inferens LLM berlaku di Amerika Syarikat (Anthropic) atau Singapura (Z.AI), dan data Gmail diterima daripada infrastruktur global Google. Seksyen ini merupakan notis pemindahan tersebut sebagaimana yang dikehendaki oleh Garis Panduan Perlindungan Data Peribadi mengenai Pemindahan Data Peribadi Rentas Sempadan (dikeluarkan 29 April 2025).

Kami bergantung pada asas-asas berikut di bawah seksyen 129(3) PDPA (sebagaimana yang dipinda berkuat kuasa 1 April 2025):

• Persetujuan — seksyen 129(3)(a): anda bersetuju dengan pemindahan ini apabila anda membuka akaun atau menyambungkan peti mel setelah notis ini ditunjukkan kepada anda, yang menamakan kelas penerima (seksyen 8) dan tujuan (seksyen 5);
• Keperluan kontrak — seksyen 129(3)(b): pemindahan ini perlu bagi pelaksanaan kontrak kami untuk menyediakan perkhidmatan, yang tidak dapat disampaikan tanpa pengehosan dan pemprosesan pada infrastruktur yang dinamakan; dan
• Langkah berjaga-jaga yang munasabah dan usaha wajar — seksyen 129(3)(f): kami mengambil segala langkah berjaga-jaga yang munasabah, termasuk memilih pembekal yang terikat dengan syarat bertulis yang menghadkan penggunaan data (termasuk komitmen tanpa-latihan dalam seksyen 7), supaya data tidak akan diproses di negara penerima dengan cara yang akan melanggar PDPA.

10. Cara kami melindungi data

Prinsip Keselamatan (seksyen 9 PDPA) menghendaki langkah-langkah praktikal untuk melindungi data peribadi. Kawalan yang benar-benar kami laksanakan ialah:

• semua trafik antara pelayar anda, pelayan kami dan API pihak ketiga disulitkan semasa penghantaran (HTTPS/TLS);
• log masuk dihadkan kepada senarai alamat e-mel yang dibenarkan secara nyata — jika sesuatu alamat tiada dalam senarai, log masuk ditolak (tiada sesiapa dibenarkan secara lalai);
• kawalan akses peringkat projek: pengguna hanya boleh mengakses data bagi projek yang mereka anggotai, dengan kebenaran berasaskan peranan yang dikuatkuasakan pada lapisan API;
• aliran penyambungan Gmail dilindungi daripada pemalsuan dengan token keadaan (state) yang ditandatangani secara kriptografi (HMAC) dan terhad masa, yang luput selepas 10 minit;
• kelayakan perkhidmatan dalaman dibandingkan menggunakan kaedah selamat-masa (timing-safe), dan titik akhir API dihadkan kadarnya (rate-limited);
• token pengesahan, kuki dan token OAuth diredaksi secara automatik daripada log pelayan kami; dan
• akses Gmail adalah baca sahaja mengikut skop, jadi walaupun sistem kami dicerobohi, ia tidak boleh digunakan untuk menghantar, mengubah atau memadam e-mel anda.

Batasan yang kami akui secara jujur: token OAuth Google yang kami simpan dilindungi oleh kawalan akses, penyulitan semasa penghantaran dan perlindungan pangkalan data terurus pembekal pengehosan kami, tetapi pada masa ini tidak disulitkan pada peringkat aplikasi dalam pangkalan data kami. Penyulitan peringkat aplikasi bagi token yang disimpan ada dalam pelan hala tuju kejuruteraan kami; halaman Keselamatan kami menjejaki perkara ini secara terbuka. Anda boleh membatalkan kesahan token ini pada bila-bila masa dengan menarik balik akses daripada Akaun Google anda (seksyen 4).

Kami tidak membuat tuntutan pensijilan keselamatan (seperti ISO 27001 atau SOC 2), dan kami tidak membuat sebarang tuntutan pematuhan yang tidak dapat kami sahkan.

11. Tempoh penyimpanan data

Di bawah Prinsip Penyimpanan (seksyen 10 PDPA), data peribadi tidak boleh disimpan lebih lama daripada yang perlu. Amalan penyimpanan sebenar kami ialah:

• Data akaun, projek, Gmail dan audit: disimpan selagi akaun pelanggan masih aktif. Kami pada masa ini tidak mengendalikan jadual pemadaman automatik bagi rekod-rekod ini; ia dipadam atas permintaan yang disahkan (seksyen 12) dan berikutan penamatan perjanjian pelanggan.
• Sejarah penemuan agen: dipadam secara automatik selepas kira-kira 90 hari.
• Token OAuth: disimpan sehingga dipadam atas permintaan; penarikan balik akses daripada Akaun Google anda membatalkan kesahannya serta-merta tanpa mengira penyimpanan.
• Salinan pembekal LLM: pembekal lalai kami memadam input dan output API dalam tempoh 30 hari (seksyen 7); Z.AI menyatakan ia tidak menyimpan kandungan API.
• Rekod pelanggaran data peribadi (jika berlaku): disimpan sekurang-kurangnya 2 tahun sebagaimana yang dikehendaki oleh Garis Panduan Pemberitahuan Pelanggaran Data JPDP.

Jika anda meminta kami memadam data, atau perjanjian pelanggan tamat, kami akan memadam data peribadi berkenaan dalam tempoh yang munasabah, kecuali apabila kami dikehendaki atau dibenarkan oleh undang-undang untuk menyimpannya (contohnya, rekod yang diperlukan bagi tujuan cukai atau pertikaian).

12. Memutuskan sambungan Gmail dan pemadaman

Kami menerangkan pemutusan sambungan tepat sebagaimana ia berfungsi, kerana dua tindakan berbeza melakukan dua perkara berbeza:

• Memutuskan sambungan dalam Othersmind (tindakan "disconnect" dalam modul peti masuk Gmail) menandakan sambungan itu tidak aktif dan menghentikan semua penyegerakan selanjutnya. Ia tidak memadam rekod e-mel yang telah disegerak ke dalam platform, dan ia tidak memadam token OAuth yang disimpan.
• Menarik balik akses dalam Akaun Google anda (myaccount.google.com/permissions) membatalkan kesahan token kami dengan Google, jadi token itu tidak lagi memberikan sebarang akses — tetapi rekod e-mel yang telah disegerak juga masih kekal dalam platform.

Untuk memadam data e-mel yang telah disegerak dan token yang disimpan, e-melkan chiewaylee@gmail.com dengan tajuk "Othersmind Permintaan Pemadaman Data". Selepas mengesahkan permintaan itu, kami akan memadam rekod e-mel yang disegerak dan token yang disimpan bagi peti mel berkenaan dan mengesahkannya kepada anda secara bertulis. Kami syorkan kedua-duanya: putuskan sambungan (atau tarik balik akses) dahulu, kemudian mohon pemadaman.

13. Hak-hak anda

Di bawah PDPA anda mempunyai hak untuk:

• Mengakses data peribadi anda (seksyen 30) dan membetulkan data yang tidak tepat, tidak lengkap, mengelirukan atau tidak terkini (seksyen 34);
• Menarik balik persetujuan terhadap pemprosesan pada bila-bila masa melalui notis bertulis (seksyen 38), tertakluk kepada apa-apa sekatan undang-undang atau kontrak;
• Menghalang pemprosesan yang mungkin menyebabkan kerosakan atau kesengsaraan (seksyen 42) dan menghentikan pemasaran langsung (seksyen 43) — untuk rekod, kami tidak menggunakan data peribadi untuk pemasaran langsung;
• Kemudahalihan data (seksyen 43A, berkuat kuasa sejak 1 Jun 2025): anda boleh memohon, secara bertulis melalui cara elektronik, supaya kami memindahkan data peribadi anda kepada pengawal data lain pilihan anda, tertakluk kepada kebolehlaksanaan teknikal dan keserasian format data.

Untuk melaksanakan mana-mana hak ini, e-melkan chiewaylee@gmail.com. Kami akan mengesahkan identiti anda sebelum bertindak, memberikan maklum balas dalam tempoh yang ditetapkan oleh PDPA, dan mengenakan hanya fi yang dibenarkan oleh PDPA (jika ada). Jika anda kakitangan atau kenalan perniagaan salah seorang pelanggan kami, kami mungkin merujuk aspek permintaan anda kepada pelanggan tersebut apabila data itu milik rekod mereka.

14. Pemberitahuan pelanggaran data peribadi

Jika berlaku pelanggaran data peribadi, kami akan bertindak selaras dengan seksyen 12B PDPA dan Garis Panduan Perlindungan Data Peribadi mengenai Pemberitahuan Pelanggaran Data (dikeluarkan 25 Februari 2025):

• apabila pelanggaran itu menyebabkan atau mungkin menyebabkan mudarat yang signifikan, kami akan memberitahu Pesuruhjaya Perlindungan Data Peribadi secepat yang praktik, dan dalam apa jua keadaan dalam tempoh 72 jam;
• apabila pelanggaran itu menyebabkan atau mungkin menyebabkan mudarat yang signifikan kepada individu yang terjejas, kami akan memberitahu individu tersebut secara langsung, tanpa kelengahan yang tidak perlu dan tidak lewat daripada 7 hari selepas pemberitahuan kepada Pesuruhjaya; dan
• kami menyimpan rekod dalaman mengenai sebarang pelanggaran selama sekurang-kurangnya 2 tahun.

15. Kuki

Aplikasi Othersmind menggunakan satu kuki sesi penting untuk mengekalkan log masuk anda. Ia ditanda HTTP-only (tidak boleh diakses oleh skrip halaman) dan tidak digunakan untuk penjejakan. Aplikasi mahupun laman web ini tidak menggunakan kuki analitik atau pengiklanan.

16. Kanak-kanak

Othersmind ialah platform perniagaan untuk kontraktor pembinaan. Ia tidak ditujukan kepada kanak-kanak, dan kami tidak dengan sengaja mengumpul data peribadi daripada sesiapa yang berumur bawah 18 tahun. Akaun disediakan hanya untuk kakitangan sah pelanggan kami.

17. Perubahan kepada notis ini

Apabila kami mengubah notis ini, kami akan mengemas kini nombor versi dan tarikh "Kemas kini terakhir" di bahagian atas halaman ini, dalam kedua-dua versi bahasa. Bagi perubahan material — contohnya, kategori data baharu, pemproses baharu, atau tujuan baharu — kami akan memberitahu pemegang akaun melalui e-mel atau notis dalam aplikasi sebelum perubahan itu berkuat kuasa.

18. Hubungi kami dan aduan

Hubungan privasi dan perlindungan data: chiewaylee@gmail.com
NUL TECHNOLOGY (202603148027 (003857548-W))
A-15-02, VILLA ORKID BUKIT PRIMA PELANGI,
JLN PELANGI 7,
51200 KUALA LUMPUR,
WILAYAH PERSEKUTUAN, MALAYSIA

NUL TECHNOLOGY belum melantik Pegawai Perlindungan Data secara rasmi di bawah seksyen 12A PDPA, kerana pemprosesan semasa kami berada di bawah ambang yang ditetapkan dalam Garis Panduan JPDP mengenai Pelantikan Pegawai Perlindungan Data (dikeluarkan 25 Februari 2025). Hubungan di atas ialah hubungan privasi yang kami tetapkan, bukan Pegawai Perlindungan Data yang berdaftar. Kami memantau skala dan aktiviti pemprosesan kami berbanding ambang tersebut dan akan melantik serta mendaftarkan Pegawai Perlindungan Data sekiranya ambang itu dicapai.

Jika anda tidak berpuas hati dengan cara kami mengendalikan data peribadi anda atau sesuatu permintaan, anda boleh membuat aduan kepada Pesuruhjaya Perlindungan Data Peribadi, Jabatan Perlindungan Data Peribadi (JPDP), Malaysia — www.pdp.gov.my.