Dasar Privasi

Kemaskini terakhir: 7 Nov 2026 · Versi 1.2

1. Pengenalan

Genesis Flex Sdn. Bhd. (No. Syarikat 1247193-X) ("G-Flex", "kami") mengendalikan platform pentadbiran manfaat penjagaan kesihatan G-Flex. Dasar Privasi ini menerangkan cara kami mengumpul, menggunakan, mendedahkan, dan melindungi data peribadi mengikut Akta Perlindungan Data Peribadi 2010 Malaysia ("PDPA").

Dengan menggunakan platform G-Flex, anda bersetuju dengan amalan yang diterangkan dalam dasar ini.

2. Pengawal Data

Pengawal data ialah Genesis Flex Sdn. Bhd., dengan alamat di 26-01-02, FTTH Plaza Centro, No. 8, Jalan Batu Tiga Lama, 41300 Klang, Selangor, Malaysia. Untuk pertanyaan privasi, hubungi Pegawai Perlindungan Data kami di privacy@gflex.com.my.

3. Data Peribadi Yang Kami Kumpul

Kami mengumpul kategori data peribadi berikut:

• Data Identiti: Nama penuh, nombor NRIC/pasport, tarikh lahir, jantina, kewarganegaraan, gambar
• Data Hubungan: Alamat e-mel, nombor telefon, alamat kediaman dan tempat kerja
• Data Pekerjaan: ID pekerja, afiliasi korporat, jawatan, jabatan, tarikh mula/tamat pekerjaan
• Data Kesihatan & Perubatan: Kod diagnosis (ICD-10), preskripsi, sijil cuti sakit, rekod rawatan, surat jaminan, bil perubatan dan sejarah tuntutan
• Data Kewangan: Butiran akaun bank (untuk pembayaran balik), rekod invois, jumlah penggunaan manfaat
• Data Teknikal: Alamat IP, jenis pelayar, cap masa log masuk, pengecam sesi, rekod jejak audit
• Data Tanggungan: Nama, NRIC, tarikh lahir, dan hubungan tanggungan yang didaftarkan

Data peribadi sensitif: Data kesihatan dan perubatan merupakan "data peribadi sensitif" di bawah PDPA dan hanya diproses dengan persetujuan jelas anda atau seperti yang dibenarkan oleh undang-undang (termasuk pemprosesan bagi tujuan perubatan oleh atau di bawah tanggungjawab seorang profesional penjagaan kesihatan).

Kanak-kanak dan tanggungan: Apabila anda mendaftarkan tanggungan, termasuk kanak-kanak di bawah umur 18 tahun, anda mengesahkan bahawa anda diberi kuasa (sebagai ibu bapa, penjaga atau ahli prinsipal) untuk memberikan data peribadi mereka dan persetujuan yang diperlukan bagi pihak mereka.

4. Cara Kami Menggunakan Data Anda

Kami memproses data peribadi untuk tujuan berikut:

• Mentadbir pelan manfaat penjagaan kesihatan dan pengesahan kelayakan
• Memproses tuntutan perubatan, surat jaminan, dan pembayaran balik
• Mengurus rangkaian penyedia dan operasi klinik panel
• Menjana invois, e-invois (LHDN), dan laporan kewangan
• Pengesanan penipuan, pemantauan senarai pantau, audit tuntutan, dan analisis automatik (pemprofilan) berkaitan corak tuntutan dan kunjungan untuk mengenal pasti aktiviti luar biasa atau berpotensi penipuan
• Menyediakan sokongan pelanggan dan menyelesaikan pertikaian
• Pematuhan terhadap obligasi undang-undang dan peraturan
• Keselamatan sistem, pemantauan prestasi, dan pengelogan audit

5. Asas Undang-undang untuk Pemprosesan

PDPA Malaysia adalah berasaskan persetujuan. Kami memproses data peribadi berdasarkan asas berikut yang diiktiraf di bawah PDPA:

• Persetujuan: Persetujuan yang anda berikan semasa pendaftaran atau log masuk pertama. Bagi data peribadi sensitif (termasuk data kesihatan dan perubatan), kami bergantung pada persetujuan jelas anda seperti yang dikehendaki oleh Seksyen 40 PDPA, atau atas dasar tujuan perubatan apabila pemprosesan dilakukan oleh atau di bawah tanggungjawab seorang profesional penjagaan kesihatan.
• Pelaksanaan kontrak: Apabila pemprosesan diperlukan untuk pelaksanaan pengaturan pentadbiran manfaat yang melibatkan anda atau majikan anda, atau untuk mengambil langkah atas permintaan anda sebelum memeterai pengaturan tersebut.
• Kewajipan undang-undang: Apabila pemprosesan diperlukan untuk mematuhi kewajipan undang-undang yang terpakai kepada kami, seperti undang-undang cukai Malaysia (e-invois LHDN) dan keperluan penyimpanan rekod.
• Kepentingan penting (vital): Apabila pemprosesan diperlukan untuk melindungi kepentingan penting anda, contohnya dalam kecemasan perubatan.

Kami tidak bergantung pada asas "kepentingan sah" yang berdiri sendiri seperti yang difahami di bawah GDPR EU. Aktiviti pencegahan penipuan, keselamatan dan penambahbaikan perkhidmatan dijalankan atas dasar persetujuan anda dan kewajipan undang-undang kami.

6. Pendedahan Data Peribadi

Kami mungkin berkongsi data peribadi dengan:

• Majikan Anda (Korporat): Ringkasan penggunaan manfaat, status tuntutan, dan laporan agregat — hanya data yang berkaitan untuk mentadbir program manfaat korporat anda
• Klinik Panel & Pedagang: Pengesahan kelayakan ahli, butiran surat jaminan, dan hak manfaat yang diperlukan untuk rawatan tanpa tunai
• Penyedia Infrastruktur: Supabase Inc. (pengehosan pangkalan data, rantau Singapura) dan Vercel Inc. (pengehosan aplikasi) sebagai pemproses data di bawah kewajipan kontrak
• Pihak Berkuasa Kawal Selia: LHDN (e-invois), seperti yang dikehendaki oleh undang-undang Malaysia

Kami tidak menjual data peribadi kepada pihak ketiga. Kami tidak berkongsi data dengan pengiklan.

7. Pengehosan Data & Pemindahan Rentas Sempadan

Data aplikasi dihoskan pada pelayan PostgreSQL yang diurus oleh Supabase di Singapura (ap-southeast-1), rantau pusat data terurus yang terdekat dengan Malaysia. Penyedia infrastruktur kami (Supabase Inc. dan Vercel Inc.) diperbadankan di luar Malaysia, dan akses terhad oleh kakitangan mereka dari bidang kuasa lain mungkin berlaku bagi tujuan sokongan, penyelenggaraan dan keselamatan. Apabila sebarang pemindahan atau akses kepada data peribadi di luar Malaysia berlaku, kami memastikan ia tertakluk kepada perlindungan kontrak yang sesuai dan dijalankan selaras dengan PDPA.

Carian kod diagnosis mungkin menggunakan perkhidmatan rujukan pengekodan perubatan awam (API ICD-10-CM NIH Clinical Tables, A.S.). Hanya istilah carian klinikal yang dimasukkan oleh pengguna dihantar kepada perkhidmatan tersebut; tiada nama ahli, NRIC, atau rekod kesihatan yang boleh dikenal pasti dipindahkan. Semua pengiraan manfaat, penjanaan kod QR dan pemprosesan tuntutan berlaku dalam platform.

8. Keselamatan Data

Kami melaksanakan langkah keselamatan berikut:

• Penyulitan Dalam Transit: Semua data dihantar melalui TLS 1.2+ (HTTPS dikuatkuasakan). Sijil SSL diperuntukkan melalui Let's Encrypt dengan pembaharuan automatik.
• Penyulitan Semasa Rehat: Penyulitan cakera AES-256 pada semua storan pangkalan data (infrastruktur terurus Supabase).
• Kawalan Akses: Kawalan akses berasaskan peranan (RBAC) dengan 4 peranan berbeza. 115+ dasar Keselamatan Peringkat Baris (RLS) peringkat pangkalan data menguatkuasakan pengasingan data berbilang penyewa.
• Pengesahan: Kata laluan disimpan menggunakan bcrypt dengan salt. Pengurusan sesi melalui token JWT selamat.
• Jejak Audit: Pengelogan audit menyeluruh bagi semua akses data, pengubahsuaian, dan tindakan pentadbiran dengan penjejakan nilai sebelum/selepas.
• Sandaran: Sandaran pangkalan data harian automatik dengan keupayaan pemulihan titik-dalam-masa.

9. Pemberitahuan Pelanggaran Data

Selaras dengan Akta Perlindungan Data Peribadi (Pindaan) 2024, kami mengekalkan prosedur untuk mengesan, menilai dan bertindak balas terhadap pelanggaran data peribadi. Apabila berlaku pelanggaran yang menyebabkan atau berkemungkinan menyebabkan kemudaratan yang ketara kepada individu yang terjejas, kami akan memberitahu Pesuruhjaya Perlindungan Data Peribadi, dan subjek data yang terjejas, dalam tempoh dan cara yang dikehendaki oleh PDPA dan peraturan subsidiarinya. Kami telah melantik Pegawai Perlindungan Data dan mengekalkan Pelan Tindak Balas Insiden Keselamatan dalaman yang mengawal pengendalian pelanggaran.

10. Penyimpanan Data

Kami menyimpan data peribadi mengikut jadual berikut:

• Rekod tuntutan dan bil perubatan: 7 tahun dari tarikh penciptaan
• Rekod kewangan (invois, e-invois): 7 tahun
• Rekod ahli: Tempoh pekerjaan ditambah 2 tahun
• Log audit: 7 tahun
• Data sesi dan pengesahan: 90 hari
• Sejarah pemberitahuan: 1 tahun

Selepas tempoh penyimpanan, data peribadi dianonimkan (PII digantikan dengan pengecam tidak boleh dibalikkan) manakala data agregat dikekalkan untuk pelaporan sejarah.

11. Hak Anda Di Bawah PDPA

Sebagai subjek data di bawah PDPA, anda berhak untuk:

• Akses: Meminta salinan data peribadi anda yang dipegang oleh kami
• Pembetulan: Meminta pembetulan data yang tidak tepat atau tidak lengkap
• Penarikan Persetujuan: Menarik balik persetujuan untuk pemprosesan data (nota: ini mungkin menjejaskan keupayaan anda menggunakan ciri platform tertentu)
• Kebolehpindahan Data: Meminta data anda dalam format berstruktur yang boleh dibaca mesin
• Aduan: Memfailkan aduan kepada Jabatan Perlindungan Data Peribadi Malaysia

Untuk melaksanakan mana-mana hak ini, hubungi Pegawai Perlindungan Data kami di privacy@gflex.com.my. Kami akan menjawab dalam masa 21 hari seperti yang dikehendaki oleh PDPA.

12. Kuki & Analitik

Platform G-Flex menggunakan localStorage untuk penyimpanan sesi (keutamaan bahasa, token pengesahan).

Laman web awam kami (www.gflex.com.my) menggunakan Google Tag Manager dan Google Analytics 4 untuk mengukur cara pelawat menggunakan laman, contohnya halaman yang dilihat, cara pelawat tiba, dan sama ada permintaan demo telah dihantar. Alat ini menetapkan kuki dan menghantar data penggunaan, termasuk alamat IP dan butiran pelayar anda, kepada Google, yang mungkin memprosesnya di luar Malaysia. Analitik aktif sejak paparan halaman pertama anda; notis kuki di laman memaklumkannya kepada anda. Kami tidak menggunakan kuki pengiklanan atau pemasaran semula, dan kami tidak menghantar nama, alamat e-mel atau butiran lain yang anda isi dalam borang kepada Google Analytics.

Anda boleh menghentikan analitik pada bila-bila masa dengan memadam kuki dan data laman ini dalam pelayar anda, dengan memasang alat tambahan penarikan diri Google Analytics, atau dengan menulis kepada privacy@gflex.com.my.

Borang permintaan demo di laman web awam kami mengumpul butiran yang anda taip (nama, syarikat, emel kerja, nombor telefon, jawatan, saiz syarikat, perkara yang anda minati, cara dan bahasa yang anda mahu dihubungi, dan sebarang nota) bersama halaman yang anda lihat, laman yang merujuk anda dan sebarang tag kempen dalam pautan. Kami menggunakannya untuk mengatur dan menyusuli permintaan demo anda. Jika anda menanda kotak pilihan pada borang, kami juga akan menghantar berita dan tawaran G-Flex kepada anda; anda boleh berhenti melanggan pada bila-bila masa, dan permintaan demo anda tidak bergantung padanya. Untuk melindungi borang daripada penyalahgunaan automatik kami menggunakan Cloudflare Turnstile, yang dimuatkan dari Cloudflare apabila anda mula mengisi borang dan mungkin memproses alamat IP dan butiran pelayar anda. Pangkalan data kami tidak menyimpan alamat IP anda; untuk menghadkan penghantaran berulang, kami hanya menyimpan kod harian yang dikacau (hash) yang diterbitkan daripadanya. Penyedia pengehosan kami mungkin menyimpan log pelayan rutin.

13. Perubahan Kepada Dasar Ini

Kami mungkin mengemaskini Dasar Privasi ini dari semasa ke semasa. Perubahan material akan dimaklumkan melalui pemberitahuan dalam aplikasi. Penggunaan berterusan platform selepas pemberitahuan merupakan penerimaan dasar yang disemak. Nombor versi dan tarikh di bahagian atas dokumen ini menunjukkan semakan terkini.

14. Hubungi Kami

Genesis Flex Sdn. Bhd.
Pegawai Perlindungan Data
26-01-02, FTTH Plaza Centro, No. 8, Jalan Batu Tiga Lama, 41300 Klang, Selangor
E-mel: privacy@gflex.com.my
Laman web: www.gflex.com.my