隐私政策

1. 适用范围与责任主体

本政策适用于 Harapan Kita 公开网站、安装式网页应用、居民服务、受理点案件管理及工作人员界面。可用功能取决于所选受理点和功能设置。拟使用机构为马来西亚民主行动党，即 Parti Tindakan Demokratik（Democratic Action Party，DAP）。负责服务中心及邮寄地址已列于上方。本草稿生效前，仍须书面明确代表该党的授权。

决定居民资料处理目的与方式的机构属于资料控制方。Tootaio Studio 负责开发平台，目前作为临时技术保管方持有实际资料。仅凭保管行为不能决定法律角色；处理指示、管理员访问、保密、服务商责任及交还／删除安排须书面明确。本草稿不代表已取得党中央认可或已签订完整的控制方与处理方协议。

2. 处理的资料种类

按所用服务，记录可能包括姓名、MyKad／IC 或其他身份证明、电话、电邮、住址与投诉地址、出生日期／年龄、性别、国籍、族群、宗教、职业、家庭成员及紧急联系人。案件与福利记录可能包含收入、援助资格、物资／现金援助、家庭情况、健康／残障资料、指控、证明文件、照片及工作人员备注。仅应收集与具体事项有关的资料。

我们亦处理咨询与 WhatsApp 消息、附件、联系人卡片、头像、送达／已读状态、投票回答、社区话题和公开帖文。工作人员资料包括账号与角色、密码哈希、会话、活动／访问日志、使用反馈及可追溯截图水印。技术记录可能包含网络地址或防滥用哈希、浏览器标识、时间、设备信息及分析事件。自由文本与文件即使没有专门字段，也可能包含个人资料。

3. 资料来源

资料来自您通过表单、咨询、电话、到访、WhatsApp 及上传所提供的信息；也来自获授权代表、家属、转介机构及记录服务过程的工作人员。启用时，本地 MyKad 读卡器向工作人员流程提供卡片资料。已连接的 WhatsApp 账号可导入联系人、近期对话、按需请求的历史消息及媒体。公开选区边界资料用于辅助选择受理点，并不证明您的选民登记或政治倾向。代表他人提供资料者须具备授权，并在适当情况下向当事人提供本通知。

4. 处理目的

身份与联系资料用于居民匹配、减少重复、恢复提交记录及联系您；案件内容、位置与附件用于评估、分派、转介、调查及跟进；家庭与福利资料用于援助评估和发放记录；咨询历史用于持续服务及转交工作人员；投票标识用于资格和重复投票控制；工作人员账号与日志用于授权、服务问责、安全及调查。汇总统计用于服务报告，公开统计不应披露可识别个人的案件细节。

5. 同意与敏感资料

在 PDPA 适用的范围内，处理须有同意或具体法律允许的依据，且对已说明目的而言必要、适度并相关。健康、宗教信仰、政治观点、涉嫌犯罪及生物识别资料可能需要明确同意或法定例外。普通照片或 IC 号码并不自动构成生物识别，但仍须作为个人资料保护。请勿上传不必要的身份证副本、金融凭证或医疗记录。工作人员记录敏感资料或向外部提供前，须取得适当授权。

阅读本政策、浏览网站或保存浏览器偏好，本身不等于同意所有用途。表单的具体同意对应其说明的服务。可选政治宣传及募款联系须另行征求同意，亦可撤回；申请服务不应被视为政治支持。若其他合法依据要求保存或披露，撤回同意不自动消除相关义务。

6. 必填资料与选择

必填字段会在相应表单标明。公开投诉通常需要身份／联系资料及事项说明；实名投票和咨询记录恢复可能需要 IC 与电话。未提供必需资料或必要同意，相关在线功能可能无法使用。工作人员可说明是否适合其他渠道或匿名立案；匿名并不适用于所有福利流程。浏览公开信息不需要工作人员账号。可选定位、浏览器通知与分析偏好，均不影响对事项本身的判断。

7. 访问权限与允许的披露

访问对象原则上限于按角色、受理点职责及业务需要获授权的 DAP 服务中心人员与技术管理员。Tootaio Studio 可为托管、支持、排障及获授权管理访问资料。同属一党并不意味着可无限制查看所有居民档案。为办理具体事项，可向政府部门、地方政府、公用事业单位、相关服务提供者及援助合作方转介必要资料。接收方可能对其后续处理独立负责；重大转介须予说明，敏感资料须在取得必要许可后提供。

有效法律程序、维护合法权利或适用的紧急例外亦可能要求披露，但须限于合法必要范围。不得以一般服务同意为依据出售资料、向无关政党提供资料，或挪作无关政治宣传、募款及商业营销。新增用途须另行评估合法性、说明用途，并在必要时取得同意。

8. 公开内容与分享

社区话题、加油站帖文／评论、已发布图片、投票结果、文章及服务统计可能公开。公开帖文可能展示所选姓名等署名，亦可被复制、索引、拍照或分享。请勿公开 IC、电话、私人地址、儿童资料、健康记录或他人的个人资料。案件档案及私人咨询并非公开帖文。投票总数公开不代表每笔个人投票记录已不可逆匿名化。发现有害个人信息可要求工作人员移除，但本站移除不能保证外部副本亦被删除。

9. 技术服务与外部链接

源码可识别的集成包括：Cloudflare Tunnel／CDN 相关传输；经关联账号及 Baileys 连接服务提供的 WhatsApp／Meta 消息与群组邀请；umami.tootaio.com 上的自托管 Umami；可配置的 OpenAI 兼容文字、网页搜索及图片接口；部分前端库使用的 unpkg；Iconify 图标 API。地图／导航和分享可能打开 Google Maps、OpenStreetMap、Bing、Facebook、X、Telegram 或 WhatsApp。部分后台地图从 OpenStreetMap 加载图块，并从 GitHub 读取公开边界文件。浏览器连接外部服务时，该服务会收到网络及请求信息。

接口兼容 OpenAI 不代表实际供应商就是 OpenAI。实际 AI 运营商、次级处理方、账号条款、存储区域及训练／保存设置，仍须与部署配置和合同核对。Baileys 是连接软件，并不证明使用的是官方 WhatsApp Business API。可选外链不会因此获得整库案件访问。外部接收方适用其自身通知；提供链接不构成对其处理方式的保证。

10. 马来西亚托管与跨境处理

项目负责人说明主要应用服务器及备份位于马来西亚。这不代表全部处理均留在境内：消息、CDN 传输、外部库、分析基础设施或 AI 请求可能涉及境外国家与远程支持。控制方须确认实际目的地和接收方，评估第 129 条适用的跨境条件与保障，并在传输前履行必要通知／同意义务。仍须建立传输清单、处理方条款及服务商保存依据。本草稿不声称已完成跨境影响评估或所有供应商提供同等保护。

11. AI 辅助与人工复核

启用时，咨询文本及相关对话上下文可能发送至配置的 AI 服务，结合 FAQ 资料并可选使用网页搜索。工作人员亦可用 AI 整理案件、翻译或制作发布文字与图片。咨询流程会尝试移除已识别身份值及 IC／电话模式，但自动遮蔽无法确保移除所有标识、姓名、地址、图片或上下文线索。请勿在提示词中加入不必要的敏感资料。实际账号条款核实前，不能保证供应商不训练或不保留数据。敏感事项请要求人工协助；AI 可能出错，不构成具有约束力的服务、法律、医疗或财务决定。

12. 定位、图片与通知

经浏览器授权，概略或精确位置可用于选择附近受理点或标识投诉地点。投诉照片的 GPS 元数据可能被提取并保存为案件位置，即使您未手动填写坐标；上传前移除元数据可避免该项披露。图片清理并不必然删除已提取入记录的位置。公开受理点定位使用本地边界文件。打开导航可能向地图服务发送起点／终点。可选浏览器通知可能在共享设备屏幕显示案件更新，可在浏览器设置管理授权。

13. 保存与删除

目前运营要求是对居民、案件、福利、咨询、WhatsApp 记录及备份无限期／永久保存，尚未批准这些类别的固定到期时间。关闭功能、断开 WhatsApp、登出或清除浏览器资料不会删除服务器记录。这是对现有要求的披露，并不表示永久保存合法。PDPA 适用时，个人资料不得保存超过必要时间；同意或政治用途不能取代该要求。必须批准按目的制定的保存表及删除／匿名化流程，才可将本草稿视为具备送审条件。

分析数据另有已记录的运维清理计划：每天清理超过 30 天的 Umami 回放片段及超过 90 天的热力图事件，基础事件与会话则长期保留。仍须重新核实实机执行和备份覆盖。有效法律保全可能延迟特定记录的删除。删除请求须逐项评估，并说明合法拒绝原因、继续保留类别及复核期限。线上删除后，资料可能暂存于隔离备份直至批准的轮换到期；目前尚未确认备份轮换期限。

14. 安全与保密

现有实现包括角色／受理点访问控制、受保护的工作人员会话、密码哈希、请求校验、防滥用、活动记录及追溯水印。配置正确时，WhatsApp 连接凭证使用加密；这不代表所有消息、附件、数据库及备份均具备端到端或静态加密。HTTPS、存储／备份加密、权限复核、补丁、恢复测试及人员保密仍需部署和运维证据。导出、打印或发送给获授权外部接收方的文件须单独保护。任何网络或存储系统均无法保证绝对安全；发现疑似泄露请尽快通过隐私渠道报告。

15. 个人权利与申请

依适用法律，您可了解处理方式、申请查阅及更正、撤回同意、反对符合条件且造成损害或困扰的处理、停止直接营销、申请符合条件的数据可携带，以及在不再需要时要求删除或缩短保存。这些权利存在法定条件和例外，并非承诺无条件抹除全部案件或备份。「PDPA 与个人权利」文件说明核验、期限、费用、代表及申诉流程。无需公开发帖或向所有受理点重复申请。

16. 成年用户与儿童资料

平台用户须年满 18 岁。这是项目资格规则，并非官方选民登记或党员身份证明。请勿建立儿童账号或利用平台向儿童进行政治宣传。由获授权成年人提交的服务事项可能附带提及儿童／受扶养人；工作人员须尽量减少相关资料、核实授权，并适用必要的监护人许可及法律保护。发现未经授权收集未成年人资料，可要求负责机构评估限制、更正或删除。仅公布年龄规则并不等于已完成年龄核验。

17. 事件、更新与法律适用

疑似泄露须遏制、评估及记录；达到法定触发条件时，须按适用期限向马来西亚专员及受影响者通知。Tootaio Studio 须向实际控制方升级事件；本草稿并不证明已委任 DPO 或完成响应演练。马来西亚 PDPA 是否适用取决于主体与处理情境，包括其商业交易适用范围；涉及政治不代表当然豁免或当然全面适用。其他适用的保密及法律责任仍然存在。

修订须标示版本及生效日期；重大新增用途或披露须实施前说明，并在需要时重新取得同意。马来文及英文通知须保持一致，中文用于提升可读性。任何语言版本均不限制法定权利，重大差异须更正。目前草稿尚无生效日期，不得宣称已获认证或通过审计。