Data protection notice

English

Mesura Health — Personal Data Protection Notice (PDPA 2010)

Data user: Vast Dynamic Ltd, trading as Mesura Health — a Hong Kong company, registration number 77131343, registered address Level 9, Amtel Building, 144-148 Des Voeux Road Central, Hong Kong ("Vast Dynamic Ltd", "Mesura") Data protection contact: the Data Protection Officer, support@mesura.health, or by post to the registered address above

This notice is issued under the Personal Data Protection Act 2010. It applies from the moment you first contact the programme, and before any personal data is collected.

Mesura is a Hong Kong company, so your data is controlled from outside Malaysia. We apply the PDPA to your data and give you the rights in §5 regardless, and you may complain to the Malaysian Commissioner at any time. See §3 on transfers.

1. What we collect

Your name, WhatsApp number and language preference; your answers to health assessment questions (height, weight, screening questions); your messages on the programme channel; your self-reported measurements during care; care events from our partner clinic; and payment records (never card numbers). Your health information is sensitive personal data and is processed only with your explicit consent. We do not collect your NRIC, ID documents or photos. Data is collected directly from you, and from the partner clinic for your care.

2. Why

To assess your suitability and run your care programme; to keep you safe (message screening and escalation to your care team); to coordinate with the partner clinic and pharmacy; to bill you; to improve the service (de-identified); and to meet legal obligations. Optional, separate consents — never required for care: direct marketing (s.43); inclusion of your de-identified data in published research.

3. Who it is disclosed to

The partner clinic providing your care, and its pharmacy; our service providers — WhatsApp business messaging (respond.io; Meta/WhatsApp), our payment provider (Airwallex), cloud hosting, and WellTech Health as our platform operator/processor; and authorities where the law permits or requires. The full list and safeguards are in the Privacy Policy. We never sell your personal data.

On AI: the programme uses AI to draft routine replies, route messages and prepare summaries for your doctor. It runs on a model operated by the partner clinic, on the clinic's own infrastructure in Malaysia — your messages are not sent to any external AI company and are not used to train anyone's models.

Transfer outside Malaysia — please read. Because Mesura is a Hong Kong company, your personal data is transferred out of Malaysia to Hong Kong as a normal part of running your programme, and our service providers process it in other countries too. By consenting you agree to that transfer. Your clinical record held by the partner clinic remains in Malaysia.

4. Whether you must provide it

Providing the data in §1 (other than the optional consents) is obligatory to receive the service — without it we cannot assess you, your doctor cannot treat you safely, and the pharmacy cannot dispense. If you choose not to provide it, we will not collect any health information and the programme cannot proceed.

5. Your rights, and how to use them

Write to the data protection contact above, message us on the programme channel, or use the contact page at mesura.health — you do not need to write a formal letter to exercise a right. We will verify your identity before acting.

Access (s.30): request a copy of your personal data. We respond within 21 days, and we do not charge a fee — the PDPA allows one, and we have chosen to waive it.
Correction (s.34): have inaccurate, incomplete, misleading or out-of-date data corrected. Corrections supersede the record; originals are preserved in the audit trail.
Withdraw consent (s.38): at any time, without reason. We then stop processing and cease the data exchange with the clinic. We retain only what the law requires: the clinic's statutory medical record, our consent and audit records, and records held per the retention schedule; the rest is quarantined. Withdrawal during treatment is handled safely — see the Medical Consent §7.
Prevent processing likely to cause damage or distress (s.42).
Stop direct marketing (s.43): immediate effect; never affects your care.

Timelines: access and correction within the statutory 21 days; every other request acknowledged within 2 working days and answered within 14 days.

6. Complaints

Complain to the data protection contact above first if you wish — but you may complain at any time to the Personal Data Protection Commissioner (Jabatan Perlindungan Data Peribadi, JPDP). Clinical-conduct complaints go to the Malaysian Medical Council.

7. Retention and security

Data is kept per our retention schedule (clinical/programme records per medical-record retention rules — 7 years; payment records 7 years per tax law; marketing data until you withdraw).

What happens at the end of that period, stated plainly. Our records are held in an append-only system: entries can be added but not altered or erased. That is deliberate — it is what makes your care record and our audit trail trustworthy, and it is why we can show you exactly what was done and when. The consequence is that we quarantine rather than delete: at the end of retention, and immediately if you withdraw consent, the record is closed to all operational use. Nothing is served, messaged, analysed, exported or acted on from it. It can only be reopened through a restricted route that itself records who opened it and when. Marketing contact data is deleted from our marketing systems when you withdraw.

We would rather tell you this than claim a deletion we cannot perform.

Your data is protected by access controls, encryption in transit, append-only audit logging, and consent-gated data flows; breaches are notified to the Commissioner and to you as the PDPA (as amended) requires.

This notice is issued in English and Bahasa Malaysia. The Bahasa Malaysia text follows below in this same document. The notice is drafted in English and the Bahasa Malaysia text is a translation of it; if there is any inconsistency between the two, the English version prevails.**

Bahasa Malaysia

Mesura Health — Notis Perlindungan Data Peribadi (PDPA 2010)

Pengguna data: Vast Dynamic Ltd, beroperasi sebagai Mesura Health — sebuah syarikat Hong Kong, nombor pendaftaran syarikat 77131343, alamat berdaftar Level 9, Amtel Building, 144-148 Des Voeux Road Central, Hong Kong ("Vast Dynamic Ltd", "Mesura") Pegawai Perlindungan Data: support@mesura.health, atau melalui pos ke alamat berdaftar di atas

Notis ini dikeluarkan di bawah Akta Perlindungan Data Peribadi 2010. Ia terpakai dari saat anda mula-mula menghubungi program ini, dan sebelum sebarang data peribadi dikumpulkan.

Mesura ialah syarikat Hong Kong, jadi data anda dikawal dari luar Malaysia. Kami tetap menerapkan PDPA ke atas data anda dan memberi anda hak-hak dalam §5 tanpa mengira perkara itu, dan anda boleh membuat aduan kepada Pesuruhjaya Malaysia pada bila-bila masa. Lihat §3 mengenai pemindahan data.

1. Apa yang kami kumpulkan

Nama, nombor WhatsApp dan bahasa pilihan anda; jawapan anda kepada soalan penilaian kesihatan (tinggi, berat, soalan saringan); mesej anda dalam saluran program; ukuran yang anda laporkan sendiri semasa rawatan; peristiwa penjagaan daripada klinik rakan kongsi kami; dan rekod pembayaran (tidak sekali-kali nombor kad). Maklumat kesihatan anda ialah data peribadi sensitif dan diproses hanya dengan persetujuan nyata anda. Kami tidak mengumpul nombor kad pengenalan (NRIC), dokumen pengenalan diri, atau gambar. Data dikumpulkan terus daripada anda, dan daripada klinik rakan kongsi untuk penjagaan anda.

2. Mengapa

Untuk menilai kesesuaian anda dan menjalankan program penjagaan anda; untuk memastikan keselamatan anda (saringan mesej dan eskalasi kepada pasukan penjagaan anda); untuk menyelaraskan dengan klinik dan farmasi rakan kongsi; untuk mengeluarkan bil; untuk menambah baik perkhidmatan (tanpa pengenalan diri); dan untuk memenuhi kewajipan undang-undang. Persetujuan pilihan yang berasingan — tidak sekali-kali diperlukan untuk penjagaan: pemasaran langsung (s.43); dan penyertaan data anda yang telah dinyahkenal dalam penyelidikan yang diterbitkan.

3. Kepada siapa ia didedahkan

Klinik rakan kongsi yang memberikan penjagaan anda, dan farmasinya; penyedia perkhidmatan kami — pemesejan perniagaan WhatsApp (respond.io; Meta/WhatsApp), penyedia pembayaran kami (Airwallex), pengehosan awan, dan WellTech Health sebagai pengendali platform/pemproses data kami; dan pihak berkuasa apabila undang-undang membenarkan atau menghendakinya. Senarai penuh dan langkah perlindungan ada dalam Dasar Privasi. Kami tidak sekali-kali menjual data peribadi anda.

Mengenai AI: program ini menggunakan AI untuk merangka jawapan rutin, menghalakan mesej dan menyediakan ringkasan untuk doktor anda. Ia berjalan pada model yang dikendalikan oleh klinik rakan kongsi, di atas infrastruktur klinik itu sendiri di Malaysia — mesej anda tidak dihantar kepada mana-mana syarikat AI luar dan tidak digunakan untuk melatih model sesiapa pun.

Pemindahan ke luar Malaysia — sila baca. Oleh sebab Mesura ialah syarikat Hong Kong, data peribadi anda dipindahkan keluar dari Malaysia ke Hong Kong sebagai sebahagian biasa daripada menjalankan program anda, dan penyedia perkhidmatan kami turut memprosesnya di negara lain. Dengan memberi persetujuan, anda bersetuju dengan pemindahan itu. Rekod klinikal anda yang disimpan oleh klinik rakan kongsi kekal di Malaysia.

4. Sama ada anda wajib memberikannya

Memberikan data dalam §1 (selain daripada persetujuan pilihan) adalah wajib untuk menerima perkhidmatan ini — tanpanya kami tidak dapat menilai anda, doktor anda tidak dapat merawat anda dengan selamat, dan farmasi tidak dapat mengeluarkan ubat. Jika anda memilih untuk tidak memberikannya, kami tidak akan mengumpul sebarang maklumat kesihatan dan program tidak dapat diteruskan.

5. Hak anda, dan cara menggunakannya

Hubungi Pegawai Perlindungan Data di atas, hantar mesej dalam saluran program, atau gunakan halaman hubungi kami di mesura.health — anda tidak perlu menulis surat rasmi untuk menggunakan hak anda. Kami akan mengesahkan identiti anda sebelum bertindak.

Akses (s.30): meminta salinan data peribadi anda. Kami membalas dalam tempoh 21 hari, dan kami tidak mengenakan sebarang fi — PDPA membenarkan fi dikenakan, tetapi kami telah memilih untuk mengetepikannya.
Pembetulan (s.34): membetulkan data yang tidak tepat, tidak lengkap, mengelirukan atau sudah lapuk. Pembetulan menggantikan rekod terdahulu; rekod asal dikekalkan dalam jejak audit.
Menarik balik persetujuan (s.38): pada bila-bila masa, tanpa memberi sebab. Kami kemudian berhenti memproses dan menghentikan pertukaran data dengan klinik. Kami hanya menyimpan apa yang dikehendaki undang-undang: rekod perubatan berkanun klinik, rekod persetujuan dan audit kami, serta rekod yang disimpan mengikut jadual penyimpanan; selebihnya dikuarantin. Penarikan balik semasa rawatan diuruskan dengan selamat — lihat Keizinan Perubatan §7.
Menghalang pemprosesan yang mungkin menyebabkan kerosakan atau tekanan (s.42).
Menghentikan pemasaran langsung (s.43): berkuat kuasa serta-merta; tidak sekali-kali menjejaskan penjagaan anda.

Tempoh masa: akses dan pembetulan dalam tempoh 21 hari berkanun; setiap permohonan lain diakui dalam tempoh 2 hari bekerja dan dijawab dalam tempoh 14 hari.

6. Aduan

Anda boleh membuat aduan kepada Pegawai Perlindungan Data di atas terlebih dahulu jika anda mahu — tetapi anda boleh pada bila-bila masa membuat aduan kepada Pesuruhjaya Perlindungan Data Peribadi (Jabatan Perlindungan Data Peribadi, JPDP). Aduan berkaitan kelakuan klinikal hendaklah dibuat kepada Majlis Perubatan Malaysia (MMC).

7. Penyimpanan dan keselamatan

Data disimpan mengikut jadual penyimpanan kami (rekod klinikal/program mengikut peraturan penyimpanan rekod perubatan — 7 tahun; rekod pembayaran 7 tahun mengikut undang-undang cukai; data pemasaran sehingga anda menarik balik persetujuan).

Apa yang berlaku pada akhir tempoh itu, dinyatakan dengan jelas. Rekod kami disimpan dalam sistem yang hanya boleh ditambah: catatan boleh ditambah tetapi tidak boleh diubah atau dipadam. Itu adalah keputusan yang disengajakan — ia yang menjadikan rekod penjagaan anda dan jejak audit kami boleh dipercayai, dan ia yang membolehkan kami menunjukkan kepada anda dengan tepat apa yang telah dilakukan dan bila. Akibatnya, kami menguarantin dan bukan memadam: pada akhir tempoh penyimpanan, dan serta-merta jika anda menarik balik persetujuan, rekod itu ditutup daripada semua penggunaan operasi. Tiada apa-apa disampaikan, dimesejkan, dianalisis, dieksport atau ditindaklanjuti daripadanya. Ia hanya boleh dibuka semula melalui laluan terhad yang dengan sendirinya merekodkan siapa yang membukanya dan bila. Data hubungan pemasaran memang dipadam daripada sistem pemasaran kami apabila anda menarik balik persetujuan.

Kami lebih rela memberitahu anda perkara ini daripada mendakwa pemadaman yang kami tidak mampu lakukan.

Data anda dilindungi oleh kawalan akses, penyulitan semasa penghantaran, log audit yang hanya boleh ditambah, dan aliran data yang dikawal persetujuan; pelanggaran data dimaklumkan kepada Pesuruhjaya dan kepada anda sebagaimana yang dikehendaki PDPA (sebagaimana dipinda).

Notis ini dikeluarkan dalam Bahasa Inggeris dan Bahasa Malaysia. Notis ini disediakan dalam Bahasa Inggeris dan teks Bahasa Malaysia ini ialah terjemahannya; jika terdapat sebarang percanggahan antara kedua-dua versi, versi Bahasa Inggeris yang mengatasi.**