Privacy Notice / Notis Privasi

1. Who we are

Traveltour.io operates the Traveltour.io platform, software for travel agencies. This notice explains how we collect, use, disclose and protect personal data when you visit our websites, register an account, or use the platform.

2. Two roles: our customers' data and their customers' data

• Account data. For personal data of agency owners and their staff (names, emails, phone numbers, login records, billing records), we are the data user (controller).
• Tenant data. For personal data that an agency stores in its own workspace (their customers, travellers, bookings, payments), the agency is the data user and we process that data only on the agency's behalf and instructions, as a data processor.

3. What we collect

• Identity and contact details: name, email address, phone number, company name.
• Account and usage data: login timestamps, IP address, browser information, audit logs of actions taken in the platform.
• Billing data: plan, invoices and payment status. Card and bank details are handled by our payment providers and are not stored on our servers.
• Support communications: messages you send us and, where you grant it, records of support access to your dashboard.

4. Why we use it

• To provide, operate, secure and improve the platform.
• To manage subscriptions, billing and renewals.
• To provide support, including tenant-authorised access to your dashboard.
• To send service communications (deploy notices, security alerts, billing notices) and, with your consent, product updates and marketing, which you may opt out of at any time.
• To comply with legal obligations and enforce our Terms of Service.

5. Disclosure and subprocessors

We do not sell personal data. We disclose it only to service providers who help us run the platform, under contracts that restrict their use of it, or where required by law. Our current categories of subprocessors are:

• Cloud hosting and storage (currently DigitalOcean, Singapore region).
• Payment processing (currently Billplz and Stripe, for subscription and tenant payments).
• Transactional email delivery.
• Messaging integrations that an agency chooses to connect (for example WhatsApp-related services).

Some providers store data outside Malaysia. Where personal data is transferred abroad, we take reasonable steps to ensure it remains protected to a standard consistent with the PDPA.

6. Security and retention

• Data is encrypted in transit (TLS). Access to production systems is restricted, and access by platform staff to tenant dashboards requires a tenant-issued, time-limited grant which is logged.
• We keep personal data for as long as the account is active and as needed to meet legal, accounting and dispute-resolution requirements, then delete or anonymise it.
• Departed tenants may request a data export within 30 days of termination, after which data is removed from live systems.

7. Your rights

Under the PDPA you may request access to and correction of your personal data, withdraw consent to processing (which may limit our ability to provide the service), and limit processing for direct marketing. To exercise these rights, contact us at hello@traveltour.io. If you are a customer of one of our agencies, please contact that agency first; we will assist them in responding to your request.

8. Changes and contact

We may update this notice from time to time; the version and effective date at the top will change accordingly, and material changes will be notified in-app or by email. Questions: Traveltour.io, hello@traveltour.io.

1. Siapa kami

Traveltour.io mengendalikan platform Traveltour.io, perisian untuk agensi pelancongan. Notis ini menerangkan bagaimana kami mengumpul, menggunakan, mendedahkan dan melindungi data peribadi apabila anda melawat laman web kami, mendaftar akaun, atau menggunakan platform ini.

2. Dua peranan: data pelanggan kami dan data pelanggan mereka

• Data akaun. Bagi data peribadi pemilik agensi dan kakitangan mereka (nama, emel, nombor telefon, rekod log masuk, rekod pengebilan), kami adalah pengguna data (pengawal).
• Data tenant. Bagi data peribadi yang disimpan oleh agensi dalam ruang kerja mereka sendiri (pelanggan mereka, pelancong, tempahan, pembayaran), agensi tersebut adalah pengguna data dan kami hanya memproses data itu bagi pihak dan atas arahan agensi, sebagai pemproses data.

3. Apa yang kami kumpul

• Butiran identiti dan hubungan: nama, alamat emel, nombor telefon, nama syarikat.
• Data akaun dan penggunaan: masa log masuk, alamat IP, maklumat pelayar, log audit tindakan dalam platform.
• Data pengebilan: pelan, invois dan status pembayaran. Butiran kad dan bank dikendalikan oleh penyedia pembayaran kami dan tidak disimpan pada pelayan kami.
• Komunikasi sokongan: mesej yang anda hantar kepada kami dan, jika anda membenarkannya, rekod akses sokongan ke dashboard anda.

4. Tujuan penggunaan

• Untuk menyediakan, mengendalikan, melindungi dan menambah baik platform.
• Untuk menguruskan langganan, pengebilan dan pembaharuan.
• Untuk memberikan sokongan, termasuk akses ke dashboard anda yang dibenarkan oleh tenant.
• Untuk menghantar komunikasi perkhidmatan (notis penyelenggaraan, amaran keselamatan, notis pengebilan) dan, dengan persetujuan anda, kemas kini produk dan pemasaran, yang boleh anda tolak pada bila-bila masa.
• Untuk mematuhi kewajipan undang-undang dan menguatkuasakan Terma Perkhidmatan kami.

5. Pendedahan dan subpemproses

Kami tidak menjual data peribadi. Kami hanya mendedahkannya kepada penyedia perkhidmatan yang membantu kami mengendalikan platform, di bawah kontrak yang menyekat penggunaan data itu, atau apabila dikehendaki oleh undang-undang. Kategori subpemproses semasa kami:

• Pengehosan dan storan awan (kini DigitalOcean, wilayah Singapura).
• Pemprosesan pembayaran (kini Billplz dan Stripe).
• Penghantaran emel transaksi.
• Integrasi pemesejan yang dipilih oleh agensi (contohnya perkhidmatan berkaitan WhatsApp).

Sesetengah penyedia menyimpan data di luar Malaysia. Apabila data peribadi dipindahkan ke luar negara, kami mengambil langkah munasabah untuk memastikan ia kekal dilindungi pada tahap yang selaras dengan PDPA.

6. Keselamatan dan penyimpanan

• Data disulitkan semasa penghantaran (TLS). Akses kepada sistem pengeluaran adalah terhad, dan akses kakitangan platform ke dashboard tenant memerlukan kebenaran bertempoh yang dikeluarkan oleh tenant dan direkodkan.
• Kami menyimpan data peribadi selagi akaun aktif dan seperti yang diperlukan untuk memenuhi keperluan undang-undang, perakaunan dan penyelesaian pertikaian, kemudian memadam atau menganonimkannya.
• Tenant yang menamatkan langganan boleh memohon eksport data dalam tempoh 30 hari selepas penamatan; selepas itu data dikeluarkan daripada sistem langsung.

7. Hak anda

Di bawah PDPA, anda boleh memohon akses kepada dan pembetulan data peribadi anda, menarik balik persetujuan pemprosesan (yang mungkin menghadkan keupayaan kami menyediakan perkhidmatan), dan menyekat pemprosesan bagi tujuan pemasaran langsung. Untuk melaksanakan hak ini, hubungi kami di hello@traveltour.io. Jika anda pelanggan kepada salah satu agensi kami, sila hubungi agensi tersebut dahulu; kami akan membantu mereka menjawab permohonan anda.

8. Perubahan dan hubungan

Kami mungkin mengemas kini notis ini dari semasa ke semasa; versi dan tarikh berkuat kuasa di bahagian atas akan berubah sewajarnya, dan perubahan material akan dimaklumkan dalam aplikasi atau melalui emel. Pertanyaan: Traveltour.io, hello@traveltour.io.