Privacy Policy

Last updated 11 October 2026

This Policy is the general information and privacy framework for Carraway & Willow. It describes the kinds of information that may be processed and why, without representing that every category, purpose or technology it describes applies to every person or service at every time. Where mandatory applicable law requires something different, that law prevails to the extent it requires, and nothing here waives a right the law does not allow to be waived. It is also the written notice for Malaysia’s Personal Data Protection Act 2010, and a Bahasa Malaysia version follows the English version below.

Who we are

Carraway & Willow Editorials is operated by FunnelVoyage Sdn. Bhd. (Company No. 202301032343). Registered office: B-5-8, Plaza Mont Kiara, Kuala Lumpur, 50480, Malaysia.

This Privacy Policy (“Policy”) describes the manner in which the operator named above, a company incorporated in Malaysia as a private limited company (Sdn. Bhd.), including in its trade as Carraway & Willow Editorials (“Company”, “Carraway & Willow”, “we”, “us” or “our”), may collect, receive, access, use, disclose, retain, transfer, secure and otherwise process information in connection with our business.

This Policy is intended to operate as a general, globally applicable information and privacy framework for the Company and its websites, applications, software, platforms, products, services, accounts, premises, communications, commercial activities, employment and recruitment activities, business relationships and other activities involving information.

The Company may operate through different brands, websites, products, services, business units, affiliates, contractors, service providers and technologies. References in this Policy to the Company include such activities and persons to the extent applicable.

General application

This Policy is intended to apply broadly to information processed by or for the Company, regardless of the form in which that information is collected or maintained and regardless of whether the relevant activity occurs online, offline, electronically, physically, automatically or manually.

It may therefore apply to information relating to, among others:

website visitors;
application and platform users;
customers and prospective customers;
purchasers and recipients;
clients and business contacts;
suppliers, vendors and contractors;
representatives and agents;
employees and prospective employees;
former employees;
event participants;
persons communicating with the Company;
persons whose information is provided to the Company by another person or organisation; and
other individuals whose information the Company may process in connection with its activities.

This Policy is intended to provide a general framework rather than a jurisdiction-specific statement of every right, obligation, disclosure or procedural requirement that may apply to every person or activity.

Where applicable law imposes a requirement, restriction, right, protection, disclosure, consent requirement, notification requirement, procedure or remedy that differs from this Policy, the applicable mandatory legal requirement shall apply to the extent required by law.

Nothing in this Policy is intended to exclude, restrict, waive or otherwise limit any right, protection or obligation that cannot lawfully be excluded, restricted, waived or limited.

Information and personal data

For purposes of this Policy, “information” includes information that the Company receives, collects, generates, derives, observes, accesses, stores or otherwise processes.

Depending on the applicable law, some information may constitute “personal data”, “personal information”, “personally identifiable information”, “sensitive personal data”, “sensitive information” or another legally defined category.

The meaning and legal treatment of these terms may differ between jurisdictions.

Accordingly, references in this Policy to personal data or personal information should be understood according to the applicable law governing the relevant processing activity.

Where a particular jurisdiction applies a statutory definition, threshold or classification, that statutory definition shall apply for purposes of that jurisdiction.

Collection, recording, analysis, use and disclosure of information

To the fullest extent permitted by applicable law, the Company may collect, receive, generate, record, observe, organise, combine, analyse, derive, use, store, disclose, transfer and otherwise process information obtained through interactions with the Company, its websites, digital platforms, products, services, communications and business activities.

Such information may include personal data, contact and account information, device and technical information, identifiers, usage and interaction data, browsing and navigation activity, session events and recordings, engagement metrics, submitted content, feedback, preferences, transaction information, diagnostic information, analytics outputs, inferences and other information made available to or generated by the Company, subject to applicable law.

The Company may process such information for purposes including providing and operating its business, products and services; maintaining and improving functionality, performance, usability and security; analysing user journeys, behaviour, engagement and interactions; understanding demand and business performance; developing, testing and improving products, services and features; conducting research and analytics; personalising experiences; measuring and improving communications and marketing; maintaining records; preventing misuse and fraud; administering relationships; supporting internal operations; and meeting applicable legal, regulatory and contractual requirements.

For these purposes, the Company may use its own systems and engage or disclose relevant information to its affiliates, service providers, contractors, technology providers, analytics providers, hosting providers, consultants, professional advisers and other relevant third parties who support or participate in these activities. Such parties may process information on the Company’s behalf or, where applicable, in accordance with their own lawful responsibilities.

Information may be combined with other information available to the Company, transformed into statistical or analytical outputs, aggregated, de-identified or otherwise processed to the extent permitted by applicable law. Information that has been irreversibly anonymised so that individuals are no longer identifiable may be used for lawful analytical, statistical, research, operational and business purposes.

The Company does not intend to sell personal data directly as a standalone commercial product. This statement does not, by itself, prohibit lawful disclosures, transfers, service-provider arrangements, analytics arrangements or other processing permitted by this Privacy Policy and applicable law.

Information may be processed or transferred in jurisdictions other than the jurisdiction in which it was collected, subject to applicable legal requirements governing international transfers and the relevant processing arrangement.

The scope, purposes and manner of processing remain subject to applicable law, including any mandatory requirements concerning notice, consent or other lawful grounds, disclosure, security, retention, data-subject rights and international transfers. Nothing in this provision constitutes permission to process information for a purpose or in a manner prohibited by applicable law.

Information we may process

The information processed by the Company may vary according to the circumstances, products, services and relationship involved.

Depending on those circumstances, information may include the categories below.

Identity information

This may include:

name;
username;
account name;
aliases;
title;
age or date of birth;
nationality;
government-issued identifiers;
identification documents;
account identifiers;
customer or employee numbers; and
similar identifying information.

Contact information

This may include:

email address;
telephone number;
postal address;
residential address;
business address;
billing address;
shipping or delivery address;
emergency contact information; and
other contact information.

Commercial and transaction information

This may include:

purchases;
orders;
subscriptions;
quotations;
invoices;
payment status;
transaction history;
customer-service history;
returns;
refunds;
preferences;
contractual information;
service history;
warranty information; and
related correspondence.

Payment and financial information

This may include:

payment information;
bank information;
transaction information;
billing information;
tax information;
payment-provider identifiers;
fraud-prevention information; and
information necessary to process or reconcile payments.

Where payment services are provided by third parties, payment credentials and payment-card information may be collected and processed directly by the relevant payment provider rather than being retained by the Company.

Technical and device information

This may include:

IP address;
device identifiers;
browser information;
operating system;
device type;
network information;
language or regional settings;
log information;
timestamps;
diagnostic information;
crash reports;
application information;
connectivity information; and
information concerning interactions with Company systems.

Usage and behavioural information

This may include:

pages viewed;
searches;
clicks;
interactions;
navigation;
features used;
preferences;
engagement;
purchasing behaviour;
advertising interactions;
responses to communications;
inferred interests; and
other information concerning the use of websites, applications, platforms, products or services.

Location information

Depending on the service and applicable permissions or law, this may include:

approximate location;
precise location;
device-derived location;
delivery location;
workplace location; and
other location-related information.

The Company does not assume that precise location information is collected merely because a device may technically be capable of providing it.

Communications

This may include:

emails;
messages;
customer-service communications;
support tickets;
enquiries;
complaints;
correspondence;
recordings of communications where lawful and appropriate;
photographs;
video;
audio; and
other communications or materials provided to or received by the Company.

User-provided materials

Depending on the relevant service, this may include:

documents;
photographs;
videos;
audio;
reviews;
comments;
messages;
uploads;
feedback;
submissions;
files;
account content; and
other materials provided by or through an individual.

Employment and recruitment information

Where relevant, this may include:

applications;
CVs and résumés;
qualifications;
employment history;
references;
compensation information;
payroll information;
benefits information;
attendance;
performance information;
disciplinary information;
work-related communications;
workplace-access information;
photographs;
identification information; and
other information reasonably associated with recruitment or employment.

Sensitive or specially protected information

Depending on the circumstances and applicable law, the Company may encounter information concerning:

health;
medical information;
biometrics;
genetics;
precise location;
racial or ethnic origin;
religion or philosophical beliefs;
political information;
trade-union membership;
sexual information or orientation;
criminal information;
children’s information;
authentication credentials; and
other information receiving heightened legal protection.

The Company does not intend this Policy to create a general authorisation to collect or process sensitive information.

Where sensitive or specially protected information is processed, the Company may rely on a legally recognised basis, condition, exemption, authorisation, consent, statutory requirement or other lawful mechanism applicable to the relevant activity.

Sources of information

Information may be obtained from a variety of sources, including:

directly from the relevant individual;
from an account or transaction;
from another individual;
from an employer, client, customer or purchaser;
from family members or other representatives;
from publicly available sources;
from affiliated companies;
from suppliers and service providers;
from payment processors;
from logistics providers;
from analytics or advertising providers;
from social-media platforms;
from identity or authentication providers;
from business partners;
from government authorities;
from regulators;
from devices;
from software and applications;
from automated systems;
from artificial-intelligence systems; and
from other lawful sources.

The source of information may affect the applicable legal basis, notice obligations, rights and restrictions.

Purposes of processing

The Company may process information for purposes that may include:

providing products;
providing services;
providing digital content;
providing software;
operating websites and applications;
creating and administering accounts;
authentication;
identity verification;
processing transactions;
processing payments;
fulfilling orders;
arranging delivery;
customer support;
returns and refunds;
warranty administration;
communications;
responding to enquiries;
maintaining business relationships;
managing suppliers and contractors;
recruitment;
employment administration;
workplace administration;
security;
fraud prevention;
abuse prevention;
detecting unauthorised activity;
cybersecurity;
debugging;
system administration;
analytics;
research;
product development;
service improvement;
personalisation;
advertising;
marketing;
promotional communications;
legal and regulatory compliance;
tax and accounting;
audit;
insurance;
risk management;
dispute resolution;
enforcement of agreements;
protection of Company rights;
protection of individuals;
safety;
emergency response;
corporate transactions;
mergers, acquisitions, reorganisations or restructurings; and
other purposes permitted or required by applicable law.

Where legally permissible, information may also be processed for purposes that are compatible with, reasonably related to, or otherwise connected with the purposes for which the information was originally collected.

Where applicable law requires additional notice, consent or authorisation for a new purpose, the Company may implement the mechanism required by that law.

Legal bases and other lawful grounds

Depending on the jurisdiction and circumstances, the Company may process information on one or more legally recognised grounds, which may include:

consent;
performance of a contract;
taking steps at an individual’s request before entering into a contract;
legitimate interests;
compliance with a legal obligation;
protection of vital interests;
public interest;
statutory authority;
employment-related grounds;
regulatory requirements;
fraud prevention;
establishment, exercise or defence of legal claims;
other applicable exemptions; or
another lawful basis recognised by applicable law.

The legal basis or condition applicable to a particular processing activity may differ according to jurisdiction, the type of information involved and the circumstances of the processing.

Consent, where relied upon, may be subject to withdrawal or other controls under applicable law. Withdrawal of consent does not necessarily affect processing lawfully carried out before withdrawal or processing that may continue on another lawful basis.

Cookies, tracking and similar technologies

The Company may use cookies and similar technologies in connection with its websites, applications, platforms, communications and services.

These technologies may include:

cookies;
pixels;
tags;
SDKs;
local storage;
device identifiers;
analytics technologies;
advertising technologies;
attribution technologies;
session technologies;
personalisation technologies;
conversion tracking;
cross-site or cross-context tracking; and
other comparable technologies.

Such technologies may be used for purposes including:

operating essential functions;
authentication;
maintaining sessions;
remembering preferences;
security;
analytics;
measuring performance;
understanding usage;
personalisation;
advertising;
attribution;
marketing; and
improving or evaluating products and services.

The availability of particular controls may depend upon the relevant technology, device, browser, jurisdiction and service.

Where applicable law requires consent or another control mechanism, the Company may provide or support the relevant mechanism.

Available controls may include:

browser settings;
device settings;
platform controls;
cookie controls;
consent-management tools;
advertising controls;
opt-out mechanisms; and
legally recognised privacy signals.

Disabling certain technologies may affect functionality.

Marketing and communications

The Company may communicate with individuals for purposes including:

transaction-related communications;
account communications;
service communications;
customer support;
administrative matters;
product information;
promotional communications;
advertising;
newsletters;
offers;
events; and
other communications permitted by applicable law.

Communications may be delivered by:

email;
SMS;
telephone;
postal communication;
push notification;
messaging platforms;
social-media platforms; or
other available communication channels.

Where applicable law requires prior consent, an opt-in mechanism or another condition, the relevant requirement may apply.

Where applicable law provides an opt-out right, individuals may use the relevant available mechanism.

Stopping promotional communications does not necessarily stop transactional, security, legal, account or other non-promotional communications that are necessary or permitted to be sent.

Disclosure and sharing of information

Information may be disclosed, transferred, made available or otherwise shared with categories of recipients that may include:

employees;
officers and representatives;
contractors;
affiliates;
suppliers;
vendors;
processors;
hosting providers;
cloud-service providers;
payment processors;
logistics providers;
customer-service providers;
analytics providers;
advertising providers;
technology providers;
professional advisers;
lawyers;
accountants;
auditors;
insurers;
financial institutions;
investors;
acquirers;
successors;
regulators;
government authorities;
courts;
law-enforcement authorities;
other parties involved in legal proceedings;
business partners; and
other persons where permitted, required or authorised by applicable law.

Information may also be disclosed where necessary or appropriate to:

comply with law;
respond to lawful requests;
protect rights or property;
protect individuals;
investigate suspected misconduct;
detect fraud;
prevent security incidents;
enforce agreements;
establish, exercise or defend legal claims;
complete corporate transactions; or
otherwise pursue a lawful purpose.

For purposes of this Policy, “sharing” is not limited to a sale of information for monetary consideration.

Sale, sharing, targeted advertising and related activities

Certain jurisdictions distinguish between concepts such as:

sale of personal information;
sharing of personal information;
targeted advertising;
behavioural advertising;
cross-context behavioural advertising;
disclosure for monetary consideration;
disclosure for business purposes;
data brokerage; and
similar activities.

The Company may engage in activities that are characterised differently under different legal regimes.

Where a jurisdiction provides a specific right to opt out, restrict, object to or otherwise control a particular activity, the Company may provide the mechanism required by applicable law.

The availability and scope of such rights may vary by jurisdiction.

Third-party services and links

The Company may use third-party services, integrations, platforms, applications, payment providers, analytics providers, advertising providers, social-media services, authentication services, logistics providers and other third-party technologies.

Third parties may process information independently or on behalf of the Company, depending upon the relevant relationship.

Websites, applications or services may also contain links or functionality associated with third parties.

The privacy practices of third parties may be governed by their own notices, policies or terms.

The Company does not assume responsibility for information-processing practices of third parties except to the extent required by applicable law or expressly agreed.

International processing and transfers

Because the Company may conduct business internationally, information may be accessed, processed, stored or transferred across national borders.

Relevant locations may include Malaysia and other jurisdictions in which the Company, its affiliates, suppliers, service providers, professional advisers or other recipients operate.

International transfers may occur through:

affiliates;
service providers;
cloud infrastructure;
hosting providers;
payment providers;
support providers;
business partners;
corporate transactions; or
other lawful arrangements.

Where applicable law imposes requirements concerning international transfers, the Company may use mechanisms or safeguards required or recognised by that law.

These may include, where applicable:

adequacy decisions;
contractual safeguards;
standard contractual clauses;
approved contractual mechanisms;
transfer assessments;
supplementary safeguards;
consent;
statutory exceptions;
data-localisation arrangements; or
other legally recognised mechanisms.

No statement in this Policy is intended to represent that a single international-transfer mechanism applies universally.

Data retention

Information may be retained for periods determined by factors including:

the purposes for which it was collected;
the nature of the relationship;
contractual requirements;
legal requirements;
regulatory requirements;
tax and accounting requirements;
limitation periods;
dispute resolution;
legal claims;
fraud prevention;
security;
operational requirements;
backups;
disaster recovery; and
legal holds.

Different categories of information may therefore be retained for different periods.

Where information is no longer required for a relevant purpose and there is no legal, operational or other legitimate reason to retain it, it may be deleted, anonymised, aggregated or otherwise handled in accordance with applicable requirements.

Deletion may not necessarily result in immediate removal from all backup, archival or legally preserved systems.

Security

The Company may implement measures intended to protect information against unauthorised access, alteration, disclosure, destruction, loss or misuse.

Depending on the circumstances, such measures may include:

access controls;
authentication;
authorisation;
encryption;
logging;
monitoring;
network controls;
endpoint controls;
backups;
disaster recovery;
incident response;
physical security;
personnel controls;
supplier controls;
security testing;
vulnerability management; and
other technical, administrative or organisational measures.

Security measures may vary according to the nature and sensitivity of the information, the relevant risks, available technology and applicable legal requirements.

No method of transmission, storage or processing can necessarily be represented as completely secure.

Accordingly, except where applicable law requires otherwise, the Company does not represent that information can be protected against every possible security event, vulnerability, unauthorised act or circumstance.

Security incidents and data breaches

The Company may maintain processes for identifying, assessing, containing, investigating and responding to suspected or actual security incidents.

Where required or appropriate, such processes may include:

detection;
investigation;
containment;
remediation;
recovery;
risk assessment;
regulatory notification;
contractual notification;
notification to affected individuals;
coordination with service providers;
coordination with law-enforcement authorities; and
other actions required by applicable law.

Whether notification is required, when it must occur, to whom it must be made and what information it must contain may depend on applicable law and the circumstances of the incident.

Children and minors

The Company may provide services that are subject to age restrictions or specific rules concerning children or minors.

The Company may apply age-related controls, parental authorisation mechanisms or other safeguards where required or considered appropriate.

Where applicable law imposes specific requirements concerning children’s information, those requirements may apply regardless of any general provision in this Policy.

The Company does not intend this Policy to override statutory definitions of a child, minor or applicable age threshold.

If information concerning a child is collected or processed in circumstances where applicable law requires parental or guardian authorisation, the relevant legal requirements shall apply.

Automated processing, profiling and artificial intelligence

The Company may use automated systems, algorithms, machine-learning systems and artificial-intelligence technologies in connection with its activities.

Such technologies may be used for purposes including:

search;
recommendations;
personalisation;
analytics;
fraud detection;
security;
customer support;
content processing;
product development;
research;
classification;
prediction;
workflow automation;
decision support; and
other permitted purposes.

Depending on the service, the Company or its service providers may process information using generative or other AI systems.

Where legally permitted, information may be used for model development, evaluation, testing, improvement, safety, security or related purposes.

The extent to which information is used for such purposes may depend on the relevant service, contractual arrangement, settings and applicable law.

Where applicable law provides rights concerning profiling, automated decision-making, human review, explanation, objection, contestability or related matters, those rights may apply according to the relevant jurisdiction and circumstances.

The Company does not intend this Policy to represent that every automated process constitutes legally significant automated decision-making.

Rights and choices

Depending on the applicable jurisdiction and circumstances, individuals may have rights concerning their information.

Such rights may include:

access;
confirmation of processing;
correction;
updating;
deletion;
erasure;
restriction;
objection;
portability;
withdrawal of consent;
objection to certain processing;
opt-out of sale;
opt-out of sharing;
opt-out of targeted advertising;
limitation of certain sensitive-information processing;
objection to profiling;
rights concerning automated decision-making;
human review;
complaint;
appeal; and
rights concerning discriminatory treatment for exercising applicable privacy rights.

The existence, scope, conditions, exemptions and procedure for exercising these rights depend on applicable law.

Some requests may therefore be denied, restricted, delayed or subject to conditions where permitted or required by law.

The Company may take reasonable steps to verify the identity or authority of a person making a request where permitted or required.

The Company may also require additional information necessary to identify the relevant records or understand the request.

Nothing in this Policy is intended to prevent the exercise of a right that cannot lawfully be restricted.

Privacy requests and complaints

Privacy requests, questions or complaints may be submitted to the Company at support@carrawayandwillow.xyz, or in writing to the registered office stated at the start of this Policy.

Where the Company is required by applicable law to appoint a data protection officer, privacy officer or other designated contact, that person may be reached through the same contact.

The Company may establish procedures for handling privacy requests, including identity verification, clarification, internal review and response.

Where applicable law provides a right to complain to a data-protection authority, regulator or other competent body, that right remains available subject to the applicable legal framework.

Confidential information

Privacy and confidentiality are related but distinct concepts.

Information may be confidential without constituting personal data, and personal data may be subject to privacy law without constituting confidential information for all purposes.

The Company’s handling of confidential business information may also be governed by:

contracts;
confidentiality agreements;
employment obligations;
supplier arrangements;
professional duties;
intellectual-property protections; and
other applicable legal requirements.

This Policy should not be interpreted as replacing a separate confidentiality agreement where one is required or applicable.

Employment and recruitment

Where the Company processes information in connection with employment, recruitment or workforce management, such information may be processed for purposes including:

recruitment;
candidate assessment;
background checks where lawful;
onboarding;
payroll;
benefits;
taxation;
attendance;
workplace administration;
security;
access control;
performance management;
training;
compliance;
investigations;
disciplinary processes;
workplace safety;
business continuity; and
termination of employment.

Workplace monitoring, CCTV, device monitoring, communications monitoring, access logs, location information and similar activities may be used where lawful and appropriate.

Employment-related processing may be subject to additional statutory, contractual or collective requirements in the relevant jurisdiction.

Business contacts, suppliers and contractors

The Company may process information concerning representatives of:

customers;
clients;
suppliers;
vendors;
contractors;
distributors;
agents;
professional advisers;
business partners; and
other organisations.

Such processing may include:

contact administration;
contracting;
procurement;
payments;
account management;
due diligence;
compliance;
security;
fraud prevention;
communications;
relationship management; and
business administration.

Where an organisation provides personal information to the Company, that organisation may remain responsible for complying with any obligations applicable to its provision or disclosure of that information.

Publicly available and third-party information

The Company may receive or access information from publicly available sources, business databases, professional networks, social-media platforms, government sources, third-party providers or other lawful sources.

The legal status and permissible use of such information may vary between jurisdictions.

The Company may process such information where permitted, required or otherwise authorised by applicable law.

Corporate transactions

Information may be processed or disclosed in connection with:

mergers;
acquisitions;
investments;
financing;
restructuring;
reorganisations;
transfers of assets or business operations;
insolvency;
due diligence;
sale of a business or business unit; or
other corporate transactions.

Such processing or disclosure may occur before, during or after the relevant transaction, subject to applicable legal requirements.

Legal, regulatory and safety disclosures

The Company may process or disclose information where reasonably necessary or legally required to:

comply with law;
respond to lawful requests;
comply with court orders;
comply with regulatory requirements;
cooperate with competent authorities;
establish, exercise or defend legal claims;
investigate suspected misconduct;
protect the Company;
protect customers or other individuals;
prevent fraud;
address security issues;
protect property;
address emergencies; or
comply with other legally recognised requirements.

Jurisdictional and local-law override

This Policy is intended to function as a general global framework.

It is not intended to replace mandatory jurisdiction-specific requirements.

Where the Company is subject to a law or regulatory regime that imposes requirements concerning information processing, privacy, consent, disclosure, retention, security, international transfers, children’s information, marketing, automated decision-making, consumer rights, employee information or other privacy matters, that requirement may apply to the relevant activity.

Accordingly:

Where mandatory applicable law imposes a requirement, right, protection, restriction, procedure or remedy that differs from this Policy, the mandatory applicable law shall prevail to the extent required by law.

This includes applicable laws governing:

the location of the Company;
the location of the individual;
the location of the processing;
the location of the relevant transaction;
the location of relevant systems or service providers;
the nature of the product or service;
the employment relationship;
the relevant industry or activity; or
another legally relevant connecting factor.

Nothing in this Policy is intended to create a contractual waiver of mandatory statutory rights.

Jurisdiction-specific notices and supplemental mechanisms

Depending on the circumstances, the Company may maintain or provide additional:

privacy notices;
collection notices;
consent mechanisms;
cookie controls;
preference centres;
data-subject request procedures;
state-specific notices;
employee notices;
applicant notices;
children’s notices;
contractual data-processing terms;
transfer documentation;
regulatory disclosures; or
other legally required mechanisms.

Such materials may supplement this Policy without necessarily replacing the general framework stated here.

Where a supplemental notice or legally required instrument applies to a particular processing activity, that notice or instrument may govern the relevant matter to the extent applicable.

Notice for Malaysia

For the purposes of the Personal Data Protection Act 2010 of Malaysia (“PDPA”), this Policy, read together with any notice provided at the point of collection, is intended to serve as the Company’s written notice under the PDPA. The descriptions of personal data, purposes, sources and classes of recipients in this Policy apply for that purpose.

Where personal data is requested, the point of collection may indicate which details are required and which are voluntary. If required details are not provided, the Company may be unable to respond to an enquiry, complete a transaction, or provide the relevant product or service.

Requests to access or correct personal data, to withdraw consent, or to limit the processing of personal data, including for direct marketing, may be made through the contact in the section on privacy requests and complaints, subject to the conditions, fees and exemptions the PDPA provides. A complaint may also be made to the Personal Data Protection Commissioner of Malaysia.

This notice is issued in English and Bahasa Malaysia. In the event of any inconsistency between the two versions, the English version prevails to the extent permitted by applicable law.

No universal representation

The Company operates across different products, services, technologies, jurisdictions and relationships.

Accordingly, except to the extent expressly required by applicable law, this Policy should not be interpreted as a representation that:

every category of information described is collected in every service;
every purpose described applies to every individual;
every technology described is used at every time;
every right described is available in every jurisdiction;
every recipient category receives information in every circumstance;
every transfer mechanism applies to every transfer;
every retention period is identical;
every security measure is implemented in every environment; or
every provision necessarily applies to every person or transaction.

The actual processing applicable to a particular individual or activity may depend on the relevant service, relationship, jurisdiction, settings, contractual arrangements, applicable law and circumstances.

No absolute security or availability warranty

To the maximum extent permitted by applicable law, the Company does not represent or warrant that:

systems will always be available;
information will never be lost;
information will never be accessed without authorisation;
communications will always be secure;
security controls will prevent every possible incident;
third-party systems will operate without interruption; or
information processing will be free from errors or technical failures.

This section does not exclude or limit obligations that cannot lawfully be excluded or limited.

Relationship with other Company documents

This Policy governs information and data matters.

Other aspects of the Company’s activities may be governed by separate Company instruments, including:

Terms & Conditions;
Corporate Standards;
product or service-specific terms;
employment arrangements;
supplier agreements;
confidentiality agreements;
data-processing agreements;
consent mechanisms;
product documentation; and
other contractual or legally required instruments.

Where an issue concerns information or personal data, this Policy is the Company’s principal general privacy framework.

Where an issue concerns a matter governed by another legally enforceable instrument, that instrument may also apply.

External-facing materials, including marketing content, product and service descriptions, case studies, testimonials, examples and other publications, are subject to the Terms & Conditions.

Nothing in this Policy is intended to override a specific contractual provision except to the extent required by applicable law.

Nothing in the Terms & Conditions or this Policy shall be interpreted as expanding the Company’s legal authority to process personal data beyond what is permitted by applicable law.

Changes to this Policy

The Company may revise, amend, update, replace or otherwise modify this Policy from time to time.

Changes may reflect:

changes in the Company’s activities;
changes in technology;
changes in products or services;
changes in service providers;
changes in applicable law;
regulatory developments;
operational changes;
security considerations; or
other relevant circumstances.

The updated version will indicate its effective or last-updated date.

Where applicable law requires additional notice, consent or another procedure for a material change, the Company may implement the mechanism required by that law.

Severability

If any provision of this Policy is determined to be unlawful, invalid, unenforceable or inapplicable in a particular jurisdiction or circumstance, that determination shall not, to the extent permitted by law, affect the remaining provisions.

The affected provision may be applied to the maximum extent legally permissible, or treated as modified to the minimum extent necessary to comply with applicable law.

Governing legal framework

The Company is incorporated in Malaysia.

The Company’s general legal framework is therefore established under Malaysian law, subject to the application of mandatory laws and legally enforceable rights applicable to particular processing activities, individuals, transactions or jurisdictions.

Nothing in this Policy is intended to assert that Malaysian law displaces mandatory privacy, data-protection, consumer, employment or other legal requirements that apply outside Malaysia.

Where a dispute or regulatory matter arises, the governing law, jurisdiction and available remedies shall be determined in accordance with any valid applicable contractual provisions and the laws applicable to the relevant circumstances, and the competent authority in accordance with the legal rules applicable to that matter.

Interpretation

This Policy should be interpreted according to its wording and the applicable legal framework.

Headings are included for convenience and do not limit the scope of the provisions to which they relate.

References to laws, regulations or legal concepts include amendments, replacements, successor provisions and legally applicable equivalents, where appropriate.

References to singular terms may include plural terms and vice versa where the context permits.

Contact

For questions, requests or complaints concerning this Policy or the Company’s handling of information, contact the Company at support@carrawayandwillow.xyz, or write to the registered office stated at the start of this Policy.

Where required by applicable law, the Company may identify an applicable privacy representative, data-protection officer, local representative or other designated contact through the relevant jurisdiction-specific mechanism.

Notis Perlindungan Data Peribadi (Bahasa Malaysia)

Notis ini ialah versi Bahasa Malaysia bagi Dasar Privasi Carraway & Willow, dan dikeluarkan sebagai notis bertulis menurut Akta Perlindungan Data Peribadi 2010 (“APDP”). Ia menerangkan jenis maklumat yang mungkin diproses dan sebabnya, tanpa menyatakan bahawa setiap kategori, tujuan atau teknologi yang diterangkan terpakai kepada setiap orang atau perkhidmatan pada setiap masa. Jika undang-undang mandatori yang terpakai menghendaki sesuatu yang berbeza, undang-undang itu diguna pakai setakat yang dikehendakinya. Sekiranya terdapat percanggahan antara versi Bahasa Inggeris dan Bahasa Malaysia, versi Bahasa Inggeris akan diguna pakai setakat yang dibenarkan oleh undang-undang yang terpakai.

Siapa kami

Carraway & Willow Editorials is operated by FunnelVoyage Sdn. Bhd. (Company No. 202301032343). Registered office: B-5-8, Plaza Mont Kiara, Kuala Lumpur, 50480, Malaysia.

Dasar Privasi ini (“Dasar”) menerangkan cara pengendali yang dinamakan di atas, sebuah syarikat yang diperbadankan di Malaysia sebagai syarikat sendirian berhad (Sdn. Bhd.), termasuk dalam perniagaannya sebagai Carraway & Willow Editorials (“Syarikat”, “Carraway & Willow” atau “kami”), mungkin mengumpul, menerima, mengakses, menggunakan, mendedahkan, menyimpan, memindahkan, melindungi dan selainnya memproses maklumat berkaitan dengan perniagaan kami.

Dasar ini bertujuan untuk berfungsi sebagai rangka kerja maklumat dan privasi yang umum dan terpakai di peringkat global bagi Syarikat dan laman web, aplikasi, perisian, platform, produk, perkhidmatan, akaun, premis, komunikasi, aktiviti komersial, aktiviti pekerjaan dan pengambilan pekerja, hubungan perniagaan dan aktiviti lain yang melibatkan maklumat.

Syarikat mungkin beroperasi melalui jenama, laman web, produk, perkhidmatan, unit perniagaan, syarikat bersekutu, kontraktor, pembekal perkhidmatan dan teknologi yang berbeza. Rujukan kepada Syarikat dalam Dasar ini termasuk aktiviti dan orang tersebut setakat yang terpakai.

Pemakaian umum

Dasar ini bertujuan untuk terpakai secara meluas kepada maklumat yang diproses oleh atau bagi pihak Syarikat, tanpa mengira bentuk maklumat itu dikumpul atau disimpan dan tanpa mengira sama ada aktiviti berkenaan berlaku dalam talian, luar talian, secara elektronik, fizikal, automatik atau manual.

Oleh itu, ia mungkin terpakai kepada maklumat yang berkaitan dengan, antara lain:

pelawat laman web;
pengguna aplikasi dan platform;
pelanggan dan bakal pelanggan;
pembeli dan penerima;
klien dan kenalan perniagaan;
pembekal, vendor dan kontraktor;
wakil dan ejen;
pekerja dan bakal pekerja;
bekas pekerja;
peserta acara;
orang yang berkomunikasi dengan Syarikat;
orang yang maklumatnya diberikan kepada Syarikat oleh orang atau organisasi lain; dan
individu lain yang maklumatnya mungkin diproses oleh Syarikat berkaitan dengan aktivitinya.

Dasar ini bertujuan untuk menyediakan rangka kerja umum, dan bukannya pernyataan khusus bidang kuasa tentang setiap hak, kewajipan, pendedahan atau keperluan prosedur yang mungkin terpakai kepada setiap orang atau aktiviti.

Jika undang-undang yang terpakai mengenakan keperluan, sekatan, hak, perlindungan, pendedahan, keperluan persetujuan, keperluan pemberitahuan, prosedur atau remedi yang berbeza daripada Dasar ini, keperluan undang-undang mandatori yang terpakai itu hendaklah diguna pakai setakat yang dikehendaki oleh undang-undang.

Tiada apa-apa dalam Dasar ini yang bertujuan untuk mengecualikan, menyekat, mengetepikan atau selainnya mengehadkan apa-apa hak, perlindungan atau kewajipan yang menurut undang-undang tidak boleh dikecualikan, disekat, diketepikan atau dihadkan.

Maklumat dan data peribadi

Bagi maksud Dasar ini, “maklumat” termasuk maklumat yang diterima, dikumpul, dijana, diperoleh, diperhati, diakses, disimpan atau selainnya diproses oleh Syarikat.

Bergantung pada undang-undang yang terpakai, sesetengah maklumat mungkin merupakan “data peribadi”, “maklumat peribadi”, “maklumat pengenalan peribadi”, “data peribadi sensitif”, “maklumat sensitif” atau kategori lain yang ditakrifkan oleh undang-undang.

Maksud dan layanan undang-undang bagi istilah-istilah ini mungkin berbeza antara bidang kuasa.

Oleh itu, rujukan dalam Dasar ini kepada data peribadi atau maklumat peribadi hendaklah difahami mengikut undang-undang yang terpakai yang mengawal aktiviti pemprosesan berkenaan.

Jika sesuatu bidang kuasa menggunakan takrifan, ambang atau pengelasan statutori, takrifan statutori itu hendaklah terpakai bagi maksud bidang kuasa tersebut.

Pengumpulan, perekodan, analisis, penggunaan dan pendedahan maklumat

Setakat yang sepenuhnya dibenarkan oleh undang-undang yang terpakai, Syarikat boleh mengumpul, menerima, menjana, merekod, memerhati, menyusun, menggabungkan, menganalisis, menerbitkan, menggunakan, menyimpan, mendedahkan, memindahkan dan selainnya memproses maklumat yang diperoleh melalui interaksi dengan Syarikat, laman web, platform digital, produk, perkhidmatan, komunikasi dan aktiviti perniagaannya.

Maklumat sedemikian mungkin termasuk data peribadi, maklumat hubungan dan akaun, maklumat peranti dan teknikal, pengecam, data penggunaan dan interaksi, aktiviti pelayaran dan navigasi, peristiwa dan rakaman sesi, metrik penglibatan, kandungan yang dikemukakan, maklum balas, keutamaan, maklumat transaksi, maklumat diagnostik, output analitik, inferens dan maklumat lain yang disediakan kepada atau dijana oleh Syarikat, tertakluk kepada undang-undang yang terpakai.

Syarikat boleh memproses maklumat sedemikian untuk tujuan termasuk menyediakan dan mengendalikan perniagaan, produk dan perkhidmatannya; mengekalkan dan menambah baik fungsi, prestasi, kebolehgunaan dan keselamatan; menganalisis perjalanan pengguna, tingkah laku, penglibatan dan interaksi; memahami permintaan dan prestasi perniagaan; membangun, menguji dan menambah baik produk, perkhidmatan dan ciri; menjalankan penyelidikan dan analitik; memperibadikan pengalaman; mengukur dan menambah baik komunikasi dan pemasaran; menyelenggara rekod; mencegah penyalahgunaan dan penipuan; mentadbir hubungan; menyokong operasi dalaman; dan memenuhi keperluan undang-undang, kawal selia dan kontraktual yang terpakai.

Bagi tujuan ini, Syarikat boleh menggunakan sistemnya sendiri dan melibatkan atau mendedahkan maklumat yang berkaitan kepada syarikat bersekutunya, pembekal perkhidmatan, kontraktor, pembekal teknologi, pembekal analitik, pembekal pengehosan, perunding, penasihat profesional dan pihak ketiga lain yang berkaitan yang menyokong atau mengambil bahagian dalam aktiviti ini. Pihak sedemikian boleh memproses maklumat bagi pihak Syarikat atau, jika terpakai, mengikut tanggungjawab sah mereka sendiri.

Maklumat boleh digabungkan dengan maklumat lain yang tersedia kepada Syarikat, diubah menjadi output statistik atau analitik, diagregatkan, dinyahpengenalpastikan atau selainnya diproses setakat yang dibenarkan oleh undang-undang yang terpakai. Maklumat yang telah dianonimkan secara tidak boleh dipulihkan supaya individu tidak lagi dapat dikenal pasti boleh digunakan untuk tujuan analitik, statistik, penyelidikan, operasi dan perniagaan yang sah.

Syarikat tidak berhasrat menjual data peribadi secara langsung sebagai produk komersial yang berdiri sendiri. Kenyataan ini, dengan sendirinya, tidak melarang pendedahan, pemindahan, perkiraan pembekal perkhidmatan, perkiraan analitik atau pemprosesan lain yang sah yang dibenarkan oleh Dasar Privasi ini dan undang-undang yang terpakai.

Maklumat boleh diproses atau dipindahkan di bidang kuasa selain bidang kuasa tempat ia dikumpulkan, tertakluk kepada keperluan undang-undang yang terpakai yang mengawal pemindahan antarabangsa dan perkiraan pemprosesan yang berkaitan.

Skop, tujuan dan cara pemprosesan kekal tertakluk kepada undang-undang yang terpakai, termasuk apa-apa keperluan mandatori berkenaan notis, persetujuan atau asas yang sah yang lain, pendedahan, keselamatan, pengekalan, hak subjek data dan pemindahan antarabangsa. Tiada apa-apa dalam peruntukan ini yang merupakan kebenaran untuk memproses maklumat bagi tujuan atau dengan cara yang dilarang oleh undang-undang yang terpakai.

Maklumat yang mungkin kami proses

Maklumat yang diproses oleh Syarikat mungkin berbeza mengikut keadaan, produk, perkhidmatan dan hubungan yang terlibat.

Bergantung pada keadaan tersebut, maklumat mungkin termasuk kategori di bawah.

Maklumat identiti

Ini mungkin termasuk:

nama;
nama pengguna;
nama akaun;
nama samaran;
gelaran;
umur atau tarikh lahir;
kewarganegaraan;
pengecam yang dikeluarkan oleh kerajaan;
dokumen pengenalan;
pengecam akaun;
nombor pelanggan atau pekerja; dan
maklumat pengenalan yang serupa.

Maklumat perhubungan

Ini mungkin termasuk:

alamat e-mel;
nombor telefon;
alamat pos;
alamat kediaman;
alamat perniagaan;
alamat pengebilan;
alamat penghantaran;
maklumat perhubungan kecemasan; dan
maklumat perhubungan lain.

Maklumat komersial dan transaksi

Ini mungkin termasuk:

pembelian;
pesanan;
langganan;
sebut harga;
invois;
status pembayaran;
sejarah transaksi;
sejarah khidmat pelanggan;
pemulangan;
bayaran balik;
pilihan;
maklumat kontrak;
sejarah perkhidmatan;
maklumat waranti; dan
surat-menyurat berkaitan.

Maklumat pembayaran dan kewangan

Ini mungkin termasuk:

maklumat pembayaran;
maklumat bank;
maklumat transaksi;
maklumat pengebilan;
maklumat cukai;
pengecam pembekal pembayaran;
maklumat pencegahan penipuan; dan
maklumat yang diperlukan untuk memproses atau menyelaraskan pembayaran.

Jika perkhidmatan pembayaran disediakan oleh pihak ketiga, bukti kelayakan pembayaran dan maklumat kad pembayaran mungkin dikumpul dan diproses secara langsung oleh pembekal pembayaran berkenaan dan bukannya disimpan oleh Syarikat.

Maklumat teknikal dan peranti

Ini mungkin termasuk:

alamat IP;
pengecam peranti;
maklumat pelayar;
sistem pengendalian;
jenis peranti;
maklumat rangkaian;
tetapan bahasa atau serantau;
maklumat log;
cap masa;
maklumat diagnostik;
laporan ranap;
maklumat aplikasi;
maklumat sambungan; dan
maklumat berkenaan interaksi dengan sistem Syarikat.

Maklumat penggunaan dan tingkah laku

Ini mungkin termasuk:

halaman yang dilihat;
carian;
klik;
interaksi;
navigasi;
ciri yang digunakan;
pilihan;
penglibatan;
tingkah laku pembelian;
interaksi pengiklanan;
maklum balas terhadap komunikasi;
minat yang disimpulkan; dan
maklumat lain berkenaan penggunaan laman web, aplikasi, platform, produk atau perkhidmatan.

Maklumat lokasi

Bergantung pada perkhidmatan dan kebenaran atau undang-undang yang terpakai, ini mungkin termasuk:

lokasi anggaran;
lokasi tepat;
lokasi yang diperoleh daripada peranti;
lokasi penghantaran;
lokasi tempat kerja; dan
maklumat lain berkaitan lokasi.

Syarikat tidak menganggap bahawa maklumat lokasi tepat dikumpul semata-mata kerana sesuatu peranti secara teknikal mampu menyediakannya.

Komunikasi

Ini mungkin termasuk:

e-mel;
mesej;
komunikasi khidmat pelanggan;
tiket sokongan;
pertanyaan;
aduan;
surat-menyurat;
rakaman komunikasi jika sah dan sesuai;
gambar;
video;
audio; dan
komunikasi atau bahan lain yang diberikan kepada atau diterima oleh Syarikat.

Bahan yang diberikan oleh pengguna

Bergantung pada perkhidmatan berkenaan, ini mungkin termasuk:

dokumen;
gambar;
video;
audio;
ulasan;
komen;
mesej;
muat naik;
maklum balas;
serahan;
fail;
kandungan akaun; dan
bahan lain yang diberikan oleh atau melalui seseorang individu.

Maklumat pekerjaan dan pengambilan pekerja

Jika berkaitan, ini mungkin termasuk:

permohonan;
CV dan resume;
kelayakan;
sejarah pekerjaan;
rujukan;
maklumat imbuhan;
maklumat gaji;
maklumat faedah;
kehadiran;
maklumat prestasi;
maklumat tatatertib;
komunikasi berkaitan kerja;
maklumat akses tempat kerja;
gambar;
maklumat pengenalan; dan
maklumat lain yang semunasabahnya berkaitan dengan pengambilan pekerja atau pekerjaan.

Maklumat sensitif atau yang dilindungi secara khusus

Bergantung pada keadaan dan undang-undang yang terpakai, Syarikat mungkin menemui maklumat berkenaan:

kesihatan;
maklumat perubatan;
biometrik;
genetik;
lokasi tepat;
asal usul kaum atau etnik;
agama atau kepercayaan falsafah;
maklumat politik;
keahlian kesatuan sekerja;
maklumat seksual atau orientasi seksual;
maklumat jenayah;
maklumat kanak-kanak;
bukti kelayakan pengesahan; dan
maklumat lain yang menerima perlindungan undang-undang yang lebih tinggi.

Syarikat tidak berniat agar Dasar ini mewujudkan kebenaran umum untuk mengumpul atau memproses maklumat sensitif.

Jika maklumat sensitif atau yang dilindungi secara khusus diproses, Syarikat mungkin bergantung pada asas, syarat, pengecualian, kebenaran, persetujuan, keperluan statutori atau mekanisme sah lain yang diiktiraf oleh undang-undang dan terpakai kepada aktiviti berkenaan.

Sumber maklumat

Maklumat mungkin diperoleh daripada pelbagai sumber, termasuk:

secara langsung daripada individu berkenaan;
daripada akaun atau transaksi;
daripada individu lain;
daripada majikan, klien, pelanggan atau pembeli;
daripada ahli keluarga atau wakil lain;
daripada sumber yang tersedia secara awam;
daripada syarikat bersekutu;
daripada pembekal dan pembekal perkhidmatan;
daripada pemproses pembayaran;
daripada pembekal logistik;
daripada pembekal analitik atau pengiklanan;
daripada platform media sosial;
daripada pembekal identiti atau pengesahan;
daripada rakan niaga;
daripada pihak berkuasa kerajaan;
daripada pengawal selia;
daripada peranti;
daripada perisian dan aplikasi;
daripada sistem automatik;
daripada sistem kecerdasan buatan; dan
daripada sumber sah yang lain.

Sumber maklumat mungkin mempengaruhi asas undang-undang, kewajipan notis, hak dan sekatan yang terpakai.

Tujuan pemprosesan

Syarikat mungkin memproses maklumat bagi tujuan yang mungkin termasuk:

menyediakan produk;
menyediakan perkhidmatan;
menyediakan kandungan digital;
menyediakan perisian;
mengendalikan laman web dan aplikasi;
mewujudkan dan mentadbir akaun;
pengesahan;
pengesahan identiti;
memproses transaksi;
memproses pembayaran;
memenuhi pesanan;
mengatur penghantaran;
sokongan pelanggan;
pemulangan dan bayaran balik;
pentadbiran waranti;
komunikasi;
menjawab pertanyaan;
mengekalkan hubungan perniagaan;
menguruskan pembekal dan kontraktor;
pengambilan pekerja;
pentadbiran pekerjaan;
pentadbiran tempat kerja;
keselamatan;
pencegahan penipuan;
pencegahan penyalahgunaan;
mengesan aktiviti tanpa kebenaran;
keselamatan siber;
penyahpepijatan;
pentadbiran sistem;
analitik;
penyelidikan;
pembangunan produk;
penambahbaikan perkhidmatan;
pemperibadian;
pengiklanan;
pemasaran;
komunikasi promosi;
pematuhan undang-undang dan peraturan;
percukaian dan perakaunan;
audit;
insurans;
pengurusan risiko;
penyelesaian pertikaian;
penguatkuasaan perjanjian;
perlindungan hak Syarikat;
perlindungan individu;
keselamatan diri;
tindak balas kecemasan;
urus niaga korporat;
penggabungan, pengambilalihan, penyusunan semula atau penstrukturan semula; dan
tujuan lain yang dibenarkan atau dikehendaki oleh undang-undang yang terpakai.

Jika dibenarkan oleh undang-undang, maklumat juga mungkin diproses bagi tujuan yang serasi dengan, semunasabahnya berkaitan dengan, atau selainnya berhubung dengan tujuan asal maklumat itu dikumpul.

Jika undang-undang yang terpakai menghendaki notis, persetujuan atau kebenaran tambahan bagi sesuatu tujuan baharu, Syarikat mungkin melaksanakan mekanisme yang dikehendaki oleh undang-undang tersebut.

Asas undang-undang dan alasan sah lain

Bergantung pada bidang kuasa dan keadaan, Syarikat mungkin memproses maklumat atas satu atau lebih alasan yang diiktiraf oleh undang-undang, yang mungkin termasuk:

persetujuan;
pelaksanaan kontrak;
mengambil langkah atas permintaan seseorang individu sebelum memasuki kontrak;
kepentingan sah;
pematuhan kewajipan undang-undang;
perlindungan kepentingan vital;
kepentingan awam;
kuasa statutori;
alasan berkaitan pekerjaan;
keperluan peraturan;
pencegahan penipuan;
mewujudkan, melaksanakan atau mempertahankan tuntutan undang-undang;
pengecualian lain yang terpakai; atau
asas sah lain yang diiktiraf oleh undang-undang yang terpakai.

Asas atau syarat undang-undang yang terpakai kepada sesuatu aktiviti pemprosesan mungkin berbeza mengikut bidang kuasa, jenis maklumat yang terlibat dan keadaan pemprosesan.

Persetujuan, jika menjadi sandaran, mungkin tertakluk kepada penarikan balik atau kawalan lain di bawah undang-undang yang terpakai. Penarikan balik persetujuan tidak semestinya menjejaskan pemprosesan yang dijalankan secara sah sebelum penarikan balik atau pemprosesan yang boleh diteruskan atas asas sah yang lain.

Kuki, penjejakan dan teknologi serupa

Syarikat mungkin menggunakan kuki dan teknologi serupa berkaitan dengan laman web, aplikasi, platform, komunikasi dan perkhidmatannya.

Teknologi ini mungkin termasuk:

kuki;
piksel;
tag;
SDK;
storan setempat;
pengecam peranti;
teknologi analitik;
teknologi pengiklanan;
teknologi atribusi;
teknologi sesi;
teknologi pemperibadian;
penjejakan penukaran;
penjejakan merentas laman atau merentas konteks; dan
teknologi setanding yang lain.

Teknologi sedemikian mungkin digunakan bagi tujuan termasuk:

mengendalikan fungsi penting;
pengesahan;
mengekalkan sesi;
mengingati pilihan;
keselamatan;
analitik;
mengukur prestasi;
memahami penggunaan;
pemperibadian;
pengiklanan;
atribusi;
pemasaran; dan
menambah baik atau menilai produk dan perkhidmatan.

Ketersediaan kawalan tertentu mungkin bergantung pada teknologi, peranti, pelayar, bidang kuasa dan perkhidmatan berkenaan.

Jika undang-undang yang terpakai menghendaki persetujuan atau mekanisme kawalan lain, Syarikat mungkin menyediakan atau menyokong mekanisme berkenaan.

Kawalan yang tersedia mungkin termasuk:

tetapan pelayar;
tetapan peranti;
kawalan platform;
kawalan kuki;
alat pengurusan persetujuan;
kawalan pengiklanan;
mekanisme menarik diri; dan
isyarat privasi yang diiktiraf oleh undang-undang.

Melumpuhkan teknologi tertentu mungkin menjejaskan kefungsian.

Pemasaran dan komunikasi

Syarikat mungkin berkomunikasi dengan individu bagi tujuan termasuk:

komunikasi berkaitan transaksi;
komunikasi akaun;
komunikasi perkhidmatan;
sokongan pelanggan;
hal pentadbiran;
maklumat produk;
komunikasi promosi;
pengiklanan;
surat berita;
tawaran;
acara; dan
komunikasi lain yang dibenarkan oleh undang-undang yang terpakai.

Komunikasi mungkin disampaikan melalui:

e-mel;
SMS;
telefon;
komunikasi pos;
pemberitahuan tolak;
platform pemesejan;
platform media sosial; atau
saluran komunikasi lain yang tersedia.

Jika undang-undang yang terpakai menghendaki persetujuan terdahulu, mekanisme ikut serta atau syarat lain, keperluan berkenaan mungkin terpakai.

Jika undang-undang yang terpakai memperuntukkan hak untuk menarik diri, individu boleh menggunakan mekanisme berkenaan yang tersedia.

Menghentikan komunikasi promosi tidak semestinya menghentikan komunikasi transaksi, keselamatan, undang-undang, akaun atau komunikasi bukan promosi lain yang perlu atau dibenarkan untuk dihantar.

Pendedahan dan perkongsian maklumat

Maklumat mungkin didedahkan, dipindahkan, disediakan atau selainnya dikongsi dengan kategori penerima yang mungkin termasuk:

pekerja;
pegawai dan wakil;
kontraktor;
syarikat bersekutu;
pembekal;
vendor;
pemproses;
pembekal pengehosan;
pembekal perkhidmatan awan;
pemproses pembayaran;
pembekal logistik;
pembekal khidmat pelanggan;
pembekal analitik;
pembekal pengiklanan;
pembekal teknologi;
penasihat profesional;
peguam;
akauntan;
juruaudit;
syarikat insurans;
institusi kewangan;
pelabur;
pengambil alih;
pengganti;
pengawal selia;
pihak berkuasa kerajaan;
mahkamah;
pihak berkuasa penguatkuasaan undang-undang;
pihak lain yang terlibat dalam prosiding undang-undang;
rakan niaga; dan
orang lain jika dibenarkan, dikehendaki atau diberi kuasa oleh undang-undang yang terpakai.

Maklumat juga mungkin didedahkan jika perlu atau sesuai untuk:

mematuhi undang-undang;
menjawab permintaan yang sah;
melindungi hak atau harta;
melindungi individu;
menyiasat salah laku yang disyaki;
mengesan penipuan;
mencegah insiden keselamatan;
menguatkuasakan perjanjian;
mewujudkan, melaksanakan atau mempertahankan tuntutan undang-undang;
menyempurnakan urus niaga korporat; atau
selainnya mencapai tujuan yang sah.

Bagi maksud Dasar ini, “perkongsian” tidak terhad kepada penjualan maklumat untuk balasan kewangan.

Penjualan, perkongsian, pengiklanan bersasar dan aktiviti berkaitan

Sesetengah bidang kuasa membezakan antara konsep seperti:

penjualan maklumat peribadi;
perkongsian maklumat peribadi;
pengiklanan bersasar;
pengiklanan tingkah laku;
pengiklanan tingkah laku merentas konteks;
pendedahan untuk balasan kewangan;
pendedahan untuk tujuan perniagaan;
pembrokeran data; dan
aktiviti serupa.

Syarikat mungkin menjalankan aktiviti yang dicirikan secara berbeza di bawah rejim undang-undang yang berbeza.

Jika sesuatu bidang kuasa memperuntukkan hak khusus untuk menarik diri daripada, menyekat, membantah atau selainnya mengawal sesuatu aktiviti tertentu, Syarikat mungkin menyediakan mekanisme yang dikehendaki oleh undang-undang yang terpakai.

Ketersediaan dan skop hak tersebut mungkin berbeza mengikut bidang kuasa.

Perkhidmatan dan pautan pihak ketiga

Syarikat mungkin menggunakan perkhidmatan, integrasi, platform, aplikasi, pembekal pembayaran, pembekal analitik, pembekal pengiklanan, perkhidmatan media sosial, perkhidmatan pengesahan, pembekal logistik dan teknologi pihak ketiga yang lain.

Pihak ketiga mungkin memproses maklumat secara bebas atau bagi pihak Syarikat, bergantung pada hubungan berkenaan.

Laman web, aplikasi atau perkhidmatan juga mungkin mengandungi pautan atau fungsi yang berkaitan dengan pihak ketiga.

Amalan privasi pihak ketiga mungkin dikawal oleh notis, dasar atau terma mereka sendiri.

Syarikat tidak menanggung tanggungjawab bagi amalan pemprosesan maklumat pihak ketiga kecuali setakat yang dikehendaki oleh undang-undang yang terpakai atau dipersetujui secara nyata.

Pemprosesan dan pemindahan antarabangsa

Oleh sebab Syarikat mungkin menjalankan perniagaan di peringkat antarabangsa, maklumat mungkin diakses, diproses, disimpan atau dipindahkan merentas sempadan negara.

Lokasi berkenaan mungkin termasuk Malaysia dan bidang kuasa lain tempat Syarikat, syarikat bersekutunya, pembekal, pembekal perkhidmatan, penasihat profesional atau penerima lain beroperasi.

Pemindahan antarabangsa mungkin berlaku melalui:

syarikat bersekutu;
pembekal perkhidmatan;
infrastruktur awan;
pembekal pengehosan;
pembekal pembayaran;
pembekal sokongan;
rakan niaga;
urus niaga korporat; atau
perkiraan sah yang lain.

Jika undang-undang yang terpakai mengenakan keperluan berkenaan pemindahan antarabangsa, Syarikat mungkin menggunakan mekanisme atau perlindungan yang dikehendaki atau diiktiraf oleh undang-undang tersebut.

Ini mungkin termasuk, jika terpakai:

keputusan kecukupan;
perlindungan kontraktual;
fasal kontrak standard;
mekanisme kontraktual yang diluluskan;
penilaian pemindahan;
perlindungan tambahan;
persetujuan;
pengecualian statutori;
perkiraan penyetempatan data; atau
mekanisme lain yang diiktiraf oleh undang-undang.

Tiada pernyataan dalam Dasar ini yang bertujuan untuk menyatakan bahawa satu mekanisme pemindahan antarabangsa terpakai secara sejagat.

Penyimpanan data

Maklumat mungkin disimpan bagi tempoh yang ditentukan oleh faktor termasuk:

tujuan maklumat itu dikumpul;
sifat hubungan;
keperluan kontrak;
keperluan undang-undang;
keperluan peraturan;
keperluan percukaian dan perakaunan;
tempoh had masa;
penyelesaian pertikaian;
tuntutan undang-undang;
pencegahan penipuan;
keselamatan;
keperluan operasi;
sandaran;
pemulihan bencana; dan
penahanan undang-undang.

Oleh itu, kategori maklumat yang berbeza mungkin disimpan bagi tempoh yang berbeza.

Jika maklumat tidak lagi diperlukan bagi sesuatu tujuan berkenaan dan tiada sebab undang-undang, operasi atau sebab sah lain untuk menyimpannya, ia mungkin dipadamkan, ditanpanamakan, diagregatkan atau selainnya dikendalikan mengikut keperluan yang terpakai.

Pemadaman tidak semestinya menyebabkan maklumat dikeluarkan serta-merta daripada semua sistem sandaran, arkib atau sistem yang dipelihara menurut undang-undang.

Keselamatan

Syarikat mungkin melaksanakan langkah yang bertujuan untuk melindungi maklumat daripada akses, pengubahan, pendedahan, pemusnahan, kehilangan atau penyalahgunaan tanpa kebenaran.

Bergantung pada keadaan, langkah sedemikian mungkin termasuk:

kawalan akses;
pengesahan;
kebenaran;
penyulitan;
pengelogan;
pemantauan;
kawalan rangkaian;
kawalan titik akhir;
sandaran;
pemulihan bencana;
tindak balas insiden;
keselamatan fizikal;
kawalan kakitangan;
kawalan pembekal;
ujian keselamatan;
pengurusan kerentanan; dan
langkah teknikal, pentadbiran atau organisasi yang lain.

Langkah keselamatan mungkin berbeza mengikut sifat dan sensitiviti maklumat, risiko berkenaan, teknologi yang tersedia dan keperluan undang-undang yang terpakai.

Tiada kaedah penghantaran, penyimpanan atau pemprosesan yang semestinya boleh dinyatakan sebagai selamat sepenuhnya.

Oleh itu, kecuali jika undang-undang yang terpakai menghendaki sebaliknya, Syarikat tidak menyatakan bahawa maklumat boleh dilindungi daripada setiap kemungkinan peristiwa keselamatan, kerentanan, perbuatan tanpa kebenaran atau keadaan.

Insiden keselamatan dan pelanggaran data

Syarikat mungkin mengekalkan proses untuk mengenal pasti, menilai, membendung, menyiasat dan bertindak balas terhadap insiden keselamatan yang disyaki atau sebenar.

Jika dikehendaki atau sesuai, proses sedemikian mungkin termasuk:

pengesanan;
penyiasatan;
pembendungan;
pemulihan keadaan;
pemulihan;
penilaian risiko;
pemberitahuan kepada pengawal selia;
pemberitahuan kontraktual;
pemberitahuan kepada individu yang terjejas;
penyelarasan dengan pembekal perkhidmatan;
penyelarasan dengan pihak berkuasa penguatkuasaan undang-undang; dan
tindakan lain yang dikehendaki oleh undang-undang yang terpakai.

Sama ada pemberitahuan diperlukan, bila ia mesti dibuat, kepada siapa ia mesti dibuat dan maklumat yang mesti dikandunginya mungkin bergantung pada undang-undang yang terpakai dan keadaan insiden tersebut.

Kanak-kanak dan belum dewasa

Syarikat mungkin menyediakan perkhidmatan yang tertakluk kepada sekatan umur atau peraturan khusus berkenaan kanak-kanak atau orang yang belum dewasa.

Syarikat mungkin menggunakan kawalan berkaitan umur, mekanisme kebenaran ibu bapa atau perlindungan lain jika dikehendaki atau dianggap sesuai.

Jika undang-undang yang terpakai mengenakan keperluan khusus berkenaan maklumat kanak-kanak, keperluan tersebut mungkin terpakai tanpa mengira apa-apa peruntukan umum dalam Dasar ini.

Syarikat tidak berniat agar Dasar ini mengatasi takrifan statutori bagi kanak-kanak, orang belum dewasa atau ambang umur yang terpakai.

Jika maklumat berkenaan kanak-kanak dikumpul atau diproses dalam keadaan yang undang-undang yang terpakai menghendaki kebenaran ibu bapa atau penjaga, keperluan undang-undang berkenaan hendaklah terpakai.

Pemprosesan automatik, pemprofilan dan kecerdasan buatan

Syarikat mungkin menggunakan sistem automatik, algoritma, sistem pembelajaran mesin dan teknologi kecerdasan buatan berkaitan dengan aktivitinya.

Teknologi sedemikian mungkin digunakan bagi tujuan termasuk:

carian;
cadangan;
pemperibadian;
analitik;
pengesanan penipuan;
keselamatan;
sokongan pelanggan;
pemprosesan kandungan;
pembangunan produk;
penyelidikan;
pengelasan;
ramalan;
automasi aliran kerja;
sokongan keputusan; dan
tujuan lain yang dibenarkan.

Bergantung pada perkhidmatan, Syarikat atau pembekal perkhidmatannya mungkin memproses maklumat menggunakan sistem kecerdasan buatan generatif atau lain-lain.

Jika dibenarkan oleh undang-undang, maklumat mungkin digunakan bagi pembangunan, penilaian, pengujian, penambahbaikan, keselamatan model atau tujuan berkaitan.

Sejauh mana maklumat digunakan bagi tujuan sedemikian mungkin bergantung pada perkhidmatan, perkiraan kontraktual, tetapan dan undang-undang yang terpakai.

Jika undang-undang yang terpakai memperuntukkan hak berkenaan pemprofilan, pembuatan keputusan automatik, semakan manusia, penjelasan, bantahan, kebolehcabaran atau perkara berkaitan, hak tersebut mungkin terpakai mengikut bidang kuasa dan keadaan berkenaan.

Syarikat tidak berniat agar Dasar ini menyatakan bahawa setiap proses automatik merupakan pembuatan keputusan automatik yang signifikan dari segi undang-undang.

Hak dan pilihan

Bergantung pada bidang kuasa dan keadaan yang terpakai, individu mungkin mempunyai hak berkenaan maklumat mereka.

Hak sedemikian mungkin termasuk:

akses;
pengesahan pemprosesan;
pembetulan;
pengemaskinian;
pemadaman;
penghapusan;
sekatan;
bantahan;
kebolehpindahan;
penarikan balik persetujuan;
bantahan terhadap pemprosesan tertentu;
menarik diri daripada penjualan;
menarik diri daripada perkongsian;
menarik diri daripada pengiklanan bersasar;
pengehadan pemprosesan maklumat sensitif tertentu;
bantahan terhadap pemprofilan;
hak berkenaan pembuatan keputusan automatik;
semakan manusia;
aduan;
rayuan; dan
hak berkenaan layanan diskriminasi kerana melaksanakan hak privasi yang terpakai.

Kewujudan, skop, syarat, pengecualian dan prosedur bagi melaksanakan hak-hak ini bergantung pada undang-undang yang terpakai.

Oleh itu, sesetengah permintaan mungkin ditolak, disekat, ditangguhkan atau dikenakan syarat jika dibenarkan atau dikehendaki oleh undang-undang.

Syarikat mungkin mengambil langkah yang munasabah untuk mengesahkan identiti atau kuasa orang yang membuat permintaan jika dibenarkan atau dikehendaki.

Syarikat juga mungkin memerlukan maklumat tambahan yang perlu untuk mengenal pasti rekod berkenaan atau memahami permintaan tersebut.

Tiada apa-apa dalam Dasar ini yang bertujuan untuk menghalang pelaksanaan hak yang menurut undang-undang tidak boleh disekat.

Permintaan dan aduan privasi

Permintaan, pertanyaan atau aduan privasi boleh dikemukakan kepada Syarikat di support@carrawayandwillow.xyz, atau secara bertulis ke pejabat berdaftar yang dinyatakan pada permulaan Dasar ini.

Jika Syarikat dikehendaki oleh undang-undang yang terpakai untuk melantik pegawai perlindungan data, pegawai privasi atau orang hubungan lain yang ditetapkan, orang tersebut boleh dihubungi melalui saluran yang sama.

Syarikat mungkin mewujudkan prosedur bagi mengendalikan permintaan privasi, termasuk pengesahan identiti, penjelasan, semakan dalaman dan jawapan.

Jika undang-undang yang terpakai memperuntukkan hak untuk membuat aduan kepada pihak berkuasa perlindungan data, pengawal selia atau badan berwibawa lain, hak tersebut kekal tersedia tertakluk kepada rangka kerja undang-undang yang terpakai.

Maklumat sulit

Privasi dan kerahsiaan ialah konsep yang berkaitan tetapi berbeza.

Maklumat mungkin sulit tanpa merupakan data peribadi, dan data peribadi mungkin tertakluk kepada undang-undang privasi tanpa merupakan maklumat sulit bagi semua tujuan.

Pengendalian maklumat perniagaan sulit oleh Syarikat juga mungkin dikawal oleh:

kontrak;
perjanjian kerahsiaan;
kewajipan pekerjaan;
perkiraan pembekal;
kewajipan profesional;
perlindungan harta intelek; dan
keperluan undang-undang lain yang terpakai.

Dasar ini tidak harus ditafsirkan sebagai menggantikan perjanjian kerahsiaan yang berasingan jika perjanjian sedemikian dikehendaki atau terpakai.

Pekerjaan dan pengambilan pekerja

Jika Syarikat memproses maklumat berkaitan dengan pekerjaan, pengambilan pekerja atau pengurusan tenaga kerja, maklumat tersebut mungkin diproses bagi tujuan termasuk:

pengambilan pekerja;
penilaian calon;
semakan latar belakang jika sah;
pengenalan kerja;
gaji;
faedah;
percukaian;
kehadiran;
pentadbiran tempat kerja;
keselamatan;
kawalan akses;
pengurusan prestasi;
latihan;
pematuhan;
penyiasatan;
proses tatatertib;
keselamatan tempat kerja;
kesinambungan perniagaan; dan
penamatan pekerjaan.

Pemantauan tempat kerja, CCTV, pemantauan peranti, pemantauan komunikasi, log akses, maklumat lokasi dan aktiviti serupa mungkin digunakan jika sah dan sesuai.

Pemprosesan berkaitan pekerjaan mungkin tertakluk kepada keperluan statutori, kontraktual atau kolektif tambahan dalam bidang kuasa berkenaan.

Kenalan perniagaan, pembekal dan kontraktor

Syarikat mungkin memproses maklumat berkenaan wakil kepada:

pelanggan;
klien;
pembekal;
vendor;
kontraktor;
pengedar;
ejen;
penasihat profesional;
rakan niaga; dan
organisasi lain.

Pemprosesan sedemikian mungkin termasuk:

pentadbiran kenalan;
pengkontrakan;
perolehan;
pembayaran;
pengurusan akaun;
usaha wajar;
pematuhan;
keselamatan;
pencegahan penipuan;
komunikasi;
pengurusan hubungan; dan
pentadbiran perniagaan.

Jika sesebuah organisasi memberikan maklumat peribadi kepada Syarikat, organisasi itu mungkin kekal bertanggungjawab untuk mematuhi apa-apa kewajipan yang terpakai kepada pemberian atau pendedahan maklumat tersebut olehnya.

Maklumat yang tersedia secara awam dan maklumat pihak ketiga

Syarikat mungkin menerima atau mengakses maklumat daripada sumber yang tersedia secara awam, pangkalan data perniagaan, rangkaian profesional, platform media sosial, sumber kerajaan, pembekal pihak ketiga atau sumber sah yang lain.

Status undang-undang dan penggunaan yang dibenarkan bagi maklumat sedemikian mungkin berbeza antara bidang kuasa.

Syarikat mungkin memproses maklumat sedemikian jika dibenarkan, dikehendaki atau selainnya diberi kuasa oleh undang-undang yang terpakai.

Urus niaga korporat

Maklumat mungkin diproses atau didedahkan berkaitan dengan:

penggabungan;
pengambilalihan;
pelaburan;
pembiayaan;
penstrukturan semula;
penyusunan semula;
pemindahan aset atau operasi perniagaan;
ketidakmampuan bayar;
usaha wajar;
penjualan perniagaan atau unit perniagaan; atau
urus niaga korporat yang lain.

Pemprosesan atau pendedahan sedemikian mungkin berlaku sebelum, semasa atau selepas urus niaga berkenaan, tertakluk kepada keperluan undang-undang yang terpakai.

Pendedahan undang-undang, peraturan dan keselamatan

Syarikat mungkin memproses atau mendedahkan maklumat jika semunasabahnya perlu atau dikehendaki oleh undang-undang untuk:

mematuhi undang-undang;
menjawab permintaan yang sah;
mematuhi perintah mahkamah;
mematuhi keperluan peraturan;
bekerjasama dengan pihak berkuasa yang berwibawa;
mewujudkan, melaksanakan atau mempertahankan tuntutan undang-undang;
menyiasat salah laku yang disyaki;
melindungi Syarikat;
melindungi pelanggan atau individu lain;
mencegah penipuan;
menangani isu keselamatan;
melindungi harta;
menangani kecemasan; atau
mematuhi keperluan lain yang diiktiraf oleh undang-undang.

Keutamaan undang-undang bidang kuasa dan tempatan

Dasar ini bertujuan untuk berfungsi sebagai rangka kerja global yang umum.

Ia tidak bertujuan untuk menggantikan keperluan mandatori khusus bidang kuasa.

Jika Syarikat tertakluk kepada undang-undang atau rejim peraturan yang mengenakan keperluan berkenaan pemprosesan maklumat, privasi, persetujuan, pendedahan, penyimpanan, keselamatan, pemindahan antarabangsa, maklumat kanak-kanak, pemasaran, pembuatan keputusan automatik, hak pengguna, maklumat pekerja atau perkara privasi lain, keperluan itu mungkin terpakai kepada aktiviti berkenaan.

Oleh itu:

Jika undang-undang mandatori yang terpakai mengenakan keperluan, hak, perlindungan, sekatan, prosedur atau remedi yang berbeza daripada Dasar ini, undang-undang mandatori yang terpakai itu hendaklah diguna pakai setakat yang dikehendaki oleh undang-undang.

Ini termasuk undang-undang yang terpakai yang mengawal:

lokasi Syarikat;
lokasi individu;
lokasi pemprosesan;
lokasi transaksi berkenaan;
lokasi sistem atau pembekal perkhidmatan berkenaan;
sifat produk atau perkhidmatan;
hubungan pekerjaan;
industri atau aktiviti berkenaan; atau
faktor penghubung lain yang relevan dari segi undang-undang.

Tiada apa-apa dalam Dasar ini yang bertujuan untuk mewujudkan pengetepian kontraktual terhadap hak statutori mandatori.

Notis khusus bidang kuasa dan mekanisme tambahan

Bergantung pada keadaan, Syarikat mungkin mengekalkan atau menyediakan:

notis privasi tambahan;
notis pengumpulan;
mekanisme persetujuan;
kawalan kuki;
pusat pilihan;
prosedur permintaan subjek data;
notis khusus negeri;
notis pekerja;
notis pemohon;
notis kanak-kanak;
terma pemprosesan data kontraktual;
dokumentasi pemindahan;
pendedahan peraturan; atau
mekanisme lain yang dikehendaki oleh undang-undang.

Bahan sedemikian mungkin melengkapi Dasar ini tanpa semestinya menggantikan rangka kerja umum yang dinyatakan di sini.

Jika sesuatu notis tambahan atau instrumen yang dikehendaki oleh undang-undang terpakai kepada sesuatu aktiviti pemprosesan tertentu, notis atau instrumen itu mungkin mengawal perkara berkenaan setakat yang terpakai.

Notis bagi Malaysia

Bagi maksud Akta Perlindungan Data Peribadi 2010 Malaysia (“APDP”), Dasar ini, dibaca bersama dengan apa-apa notis yang diberikan semasa pengumpulan, bertujuan untuk menjadi notis bertulis Syarikat di bawah APDP. Perihalan data peribadi, tujuan, sumber dan kelas penerima dalam Dasar ini terpakai bagi maksud tersebut.

Apabila data peribadi diminta, tempat pengumpulan mungkin menyatakan butiran yang wajib dan butiran yang pilihan. Jika butiran yang wajib tidak diberikan, Syarikat mungkin tidak dapat menjawab pertanyaan, menyempurnakan transaksi, atau menyediakan produk atau perkhidmatan berkenaan.

Permintaan untuk mengakses atau membetulkan data peribadi, menarik balik persetujuan, atau mengehadkan pemprosesan data peribadi, termasuk bagi pemasaran langsung, boleh dibuat melalui saluran hubungan dalam bahagian mengenai permintaan dan aduan privasi, tertakluk kepada syarat, fi dan pengecualian yang diperuntukkan oleh APDP. Aduan juga boleh dibuat kepada Pesuruhjaya Perlindungan Data Peribadi Malaysia.

Notis ini dikeluarkan dalam Bahasa Inggeris dan Bahasa Malaysia. Sekiranya terdapat percanggahan antara kedua-dua versi, versi Bahasa Inggeris akan diguna pakai setakat yang dibenarkan oleh undang-undang yang terpakai.

Tiada representasi sejagat

Syarikat beroperasi merentas produk, perkhidmatan, teknologi, bidang kuasa dan hubungan yang berbeza.

Oleh itu, kecuali setakat yang dikehendaki secara nyata oleh undang-undang yang terpakai, Dasar ini tidak harus ditafsirkan sebagai representasi bahawa:

setiap kategori maklumat yang diterangkan dikumpul dalam setiap perkhidmatan;
setiap tujuan yang diterangkan terpakai kepada setiap individu;
setiap teknologi yang diterangkan digunakan pada setiap masa;
setiap hak yang diterangkan tersedia di setiap bidang kuasa;
setiap kategori penerima menerima maklumat dalam setiap keadaan;
setiap mekanisme pemindahan terpakai kepada setiap pemindahan;
setiap tempoh penyimpanan adalah sama;
setiap langkah keselamatan dilaksanakan dalam setiap persekitaran; atau
setiap peruntukan semestinya terpakai kepada setiap orang atau transaksi.

Pemprosesan sebenar yang terpakai kepada seseorang individu atau aktiviti tertentu mungkin bergantung pada perkhidmatan, hubungan, bidang kuasa, tetapan, perkiraan kontraktual, undang-undang yang terpakai dan keadaan berkenaan.

Tiada waranti keselamatan atau ketersediaan mutlak

Setakat maksimum yang dibenarkan oleh undang-undang yang terpakai, Syarikat tidak menyatakan atau menjamin bahawa:

sistem akan sentiasa tersedia;
maklumat tidak akan hilang;
maklumat tidak akan diakses tanpa kebenaran;
komunikasi akan sentiasa selamat;
kawalan keselamatan akan menghalang setiap kemungkinan insiden;
sistem pihak ketiga akan beroperasi tanpa gangguan; atau
pemprosesan maklumat akan bebas daripada kesilapan atau kegagalan teknikal.

Bahagian ini tidak mengecualikan atau mengehadkan kewajipan yang menurut undang-undang tidak boleh dikecualikan atau dihadkan.

Hubungan dengan dokumen Syarikat yang lain

Dasar ini mengawal perkara maklumat dan data.

Aspek lain aktiviti Syarikat mungkin dikawal oleh instrumen Syarikat yang berasingan, termasuk:

Terma & Syarat;
Piawaian Korporat;
terma khusus produk atau perkhidmatan;
perkiraan pekerjaan;
perjanjian pembekal;
perjanjian kerahsiaan;
perjanjian pemprosesan data;
mekanisme persetujuan;
dokumentasi produk; dan
instrumen kontraktual atau instrumen lain yang dikehendaki oleh undang-undang.

Jika sesuatu isu berkenaan maklumat atau data peribadi, Dasar ini ialah rangka kerja privasi umum yang utama bagi Syarikat.

Jika sesuatu isu berkenaan perkara yang dikawal oleh instrumen lain yang boleh dikuatkuasakan dari segi undang-undang, instrumen itu juga mungkin terpakai.

Bahan yang berhadapan dengan pihak luar, termasuk kandungan pemasaran, huraian produk dan perkhidmatan, kajian kes, testimoni, contoh dan penerbitan lain, tertakluk kepada Terma & Syarat.

Tiada apa-apa dalam Dasar ini yang bertujuan untuk mengatasi peruntukan kontraktual yang khusus kecuali setakat yang dikehendaki oleh undang-undang yang terpakai.

Tiada apa-apa dalam Terma & Syarat atau Dasar ini yang boleh ditafsirkan sebagai memperluas kuasa undang-undang Syarikat untuk memproses data peribadi melebihi apa yang dibenarkan oleh undang-undang yang terpakai.

Perubahan kepada Dasar ini

Syarikat boleh menyemak, meminda, mengemas kini, menggantikan atau selainnya mengubah suai Dasar ini dari semasa ke semasa.

Perubahan mungkin mencerminkan:

perubahan dalam aktiviti Syarikat;
perubahan dalam teknologi;
perubahan dalam produk atau perkhidmatan;
perubahan dalam pembekal perkhidmatan;
perubahan dalam undang-undang yang terpakai;
perkembangan peraturan;
perubahan operasi;
pertimbangan keselamatan; atau
keadaan lain yang berkaitan.

Versi yang dikemas kini akan menunjukkan tarikh kuat kuasa atau tarikh kemas kini terakhirnya.

Jika undang-undang yang terpakai menghendaki notis, persetujuan atau prosedur tambahan bagi sesuatu perubahan material, Syarikat mungkin melaksanakan mekanisme yang dikehendaki oleh undang-undang tersebut.

Kebolehpisahan

Jika mana-mana peruntukan Dasar ini didapati menyalahi undang-undang, tidak sah, tidak boleh dikuatkuasakan atau tidak terpakai dalam sesuatu bidang kuasa atau keadaan tertentu, dapatan itu tidak akan, setakat yang dibenarkan oleh undang-undang, menjejaskan peruntukan selebihnya.

Peruntukan yang terjejas boleh diguna pakai setakat maksimum yang dibenarkan oleh undang-undang, atau dianggap diubah suai setakat minimum yang perlu untuk mematuhi undang-undang yang terpakai.

Rangka kerja undang-undang yang mengawal

Syarikat diperbadankan di Malaysia.

Oleh itu, rangka kerja undang-undang umum Syarikat diwujudkan di bawah undang-undang Malaysia, tertakluk kepada pemakaian undang-undang mandatori dan hak yang boleh dikuatkuasakan dari segi undang-undang yang terpakai kepada aktiviti pemprosesan, individu, transaksi atau bidang kuasa tertentu.

Tiada apa-apa dalam Dasar ini yang bertujuan untuk menegaskan bahawa undang-undang Malaysia menggantikan keperluan privasi, perlindungan data, pengguna, pekerjaan atau keperluan undang-undang mandatori lain yang terpakai di luar Malaysia.

Jika sesuatu pertikaian atau perkara peraturan timbul, undang-undang yang mengawal, bidang kuasa dan remedi yang tersedia hendaklah ditentukan mengikut apa-apa peruntukan kontrak sah yang terpakai dan undang-undang yang terpakai kepada keadaan berkaitan, dan pihak berkuasa berwibawa mengikut peraturan undang-undang yang terpakai kepada perkara tersebut.

Tafsiran

Dasar ini hendaklah ditafsirkan mengikut perkataannya dan rangka kerja undang-undang yang terpakai.

Tajuk dimasukkan untuk kemudahan dan tidak mengehadkan skop peruntukan yang berkaitan dengannya.

Rujukan kepada undang-undang, peraturan atau konsep undang-undang termasuk pindaan, penggantian, peruntukan pengganti dan padanan yang terpakai dari segi undang-undang, jika sesuai.

Rujukan kepada istilah tunggal boleh termasuk istilah jamak dan sebaliknya jika konteks membenarkan.

Hubungi kami

Bagi pertanyaan, permintaan atau aduan berkenaan Dasar ini atau pengendalian maklumat oleh Syarikat, hubungi Syarikat di support@carrawayandwillow.xyz, atau tulis ke pejabat berdaftar yang dinyatakan pada permulaan Dasar ini.

Jika dikehendaki oleh undang-undang yang terpakai, Syarikat mungkin mengenal pasti wakil privasi, pegawai perlindungan data, wakil tempatan atau orang hubungan lain yang ditetapkan melalui mekanisme khusus bidang kuasa berkenaan.