Dasar Privasi
1. Data yang kami kumpul
| Jenis | Contoh | Kenapa |
|---|---|---|
| Akaun | E-mel, nama paparan, kata laluan (disimpan sebagai cincangan) | Log masuk dan mengenal pasti anda dalam kumpulan |
| Resit & dokumen | Gambar resit, bil, penyata, borang EA, teks yang dibaca AI | Rekod perbelanjaan dan bukti pelepasan cukai |
| Kewangan | Pendapatan tahunan, PCB, zakat, komitmen bulanan, pendapatan sampingan | Anggaran cukai dan bajet — semuanya pilihan |
| Kumpulan | Nama kumpulan, ahli, peranan dan kebenaran | Perkongsian yang terkawal antara ahli |
| Teknikal | Alamat IP (untuk had kadar sahaja, tidak disimpan kekal), jenis pelayar, cap masa | Keselamatan dan pencegahan penyalahgunaan |
Kami tidak meminta nombor kad pengenalan, nombor cukai (TIN) atau nombor akaun bank, dan menasihatkan anda tidak menaipnya ke dalam nota resit.
2. Bagaimana AI digunakan
Gambar resit dihantar kepada perkhidmatan model bahasa (AI) pihak ketiga untuk dibaca. Bacaan itu dipulangkan kepada anda sebagai cadangan. Setiap bacaan dicatat sebagai satu unit kuota akaun anda; kandungan resit tidak disimpan oleh kami di luar akaun anda.
Peringkat perkhidmatan pembekal AI. Buat masa ini ListBelanja menggunakan peringkat percuma pembekal AI itu. Di bawah terma pembekal untuk peringkat percuma, kandungan yang dihantar dan jawapan yang dijana boleh digunakan oleh pembekal untuk menyediakan, menambah baik dan membangunkan produk serta teknologi pembelajaran mesinnya, dan boleh dibaca oleh penilai manusia (selepas diputuskan daripada akaun kami). Pada peringkat berbayar, pembekal tidak menggunakan kandungan itu untuk menambah baik produknya. Jika kami beralih ke peringkat berbayar, perubahan itu diumumkan melalui kemas kini dasar ini. Jika anda tidak mahu sesuatu resit (contohnya resit perubatan) dihantar kepada AI, masukkan resit itu secara manual — kemasukan manual tidak menghantar apa-apa kepada AI.
Pembantu soalan cukai ("Tanya ListBelanja"): apabila anda bertanya, soalan anda dan ringkasan angka rekod akaun anda (pelepasan yang digunakan dan baki had, anggaran cukai — tanpa gambar resit, nama atau e-mel) dihantar kepada perkhidmatan AI yang sama di bawah peringkat perkhidmatan yang sama (lihat di atas). Kami menyimpan hanya bilangan soalan sebulan (untuk kuota) serta model dan token yang digunakan — bukan teks soalan atau jawapan.
Resit melalui e-mel. E-mel yang anda forward ke alamat resit anda diterima oleh pembekal perkhidmatan e-mel kami (Amerika Syarikat) bagi pihak kami. Kami menyimpan lampiran atau teks resit itu sehingga anda memprosesnya; yang belum diproses dipadam selepas 30 hari. E-mel daripada pengirim yang bukan ahli kumpulan ditolak dan kandungannya tidak disimpan — hanya sebab penolakan. AI hanya membaca resit selepas anda menekan Proses.
3. Siapa boleh melihat data anda
- Anda: resit, belanja dan rekod yang anda masukkan.
- Admin kumpulan anda: semua resit dalam kumpulan, kerana dia menguruskan pemfailan untuk kumpulan. Ahli lain hanya melihat resitnya sendiri, kecuali admin memberi kebenaran "Lihat resit semua orang".
- Juruaudit yang dilantik admin: rekod yang sudah difail atau dikunci, baca sahaja.
- Pemilik platform: hanya statistik agregat (bilangan isi rumah, penggunaan). Dia tidak boleh membaca resit mana-mana keluarga; sekatan ini dikuatkuasakan oleh pangkalan data.
- Pembekal infrastruktur (di bawah) memproses data bagi pihak kami dan terikat dengan syarat pemprosesan data mereka.
Kami tidak berkongsi data dengan pengiklan, broker data, atau LHDN. Kami hanya mendedahkan data jika dikehendaki oleh undang-undang Malaysia, dan akan memaklumkan anda kecuali dilarang.
4. Di mana data disimpan
- Pangkalan data: pembekal pangkalan data awan, rantau Asia Tenggara.
- Gambar & dokumen: storan objek awan, dengan pautan paparan yang tamat sendiri.
- Aplikasi: rangkaian penyampaian awan global.
- Bacaan AI: pembekal perkhidmatan AI (Amerika Syarikat).
Data boleh diproses di luar Malaysia oleh pembekal ini. Dengan menggunakan perkhidmatan, anda bersetuju dengan pemindahan ini, yang dilindungi oleh syarat kontrak pembekal berkenaan.
5. Keselamatan
- Sesi disimpan dalam kuki tersulit yang tidak boleh dibaca oleh skrip (HttpOnly, Secure).
- Setiap baris data ditanda dengan kumpulannya, dan pangkalan data menolak sebarang capaian silang kumpulan (Row Level Security).
- Kata laluan minimum 12 aksara; pautan jemputan sekali guna dan luput dalam 7 hari.
- Sandaran pangkalan data bulanan disulitkan.
- Tiada data disimpan dalam peranti anda, kecuali senarai "cuba dahulu" untuk pelawat tanpa akaun, yang dipadam sebaik sahaja dipindahkan ke akaun.
- Pendaftaran dan pemulihan kata laluan boleh disemak oleh perkhidmatan anti-bot pihak ketiga (tanpa CAPTCHA): pembekal itu memproses isyarat teknikal pelayar untuk tujuan keselamatan sahaja, bukan untuk iklan.
- Kata laluan baharu disemak terhadap senarai kebocoran awam (HaveIBeenPwned) secara k-anonymity: hanya 5 aksara pertama cincangan kata laluan dihantar — kata laluan anda tidak pernah meninggalkan pelayan kami.
6. Berapa lama kami simpan
Setiap tempoh di bawah dijalankan secara automatik oleh pembersihan harian app; tiada sesiapa menyemak akaun anda secara manual.
- Butiran resit dan rekod cukai (kedai, tarikh, jumlah, kategori, pelepasan) disimpan selagi akaun anda wujud — kami tidak memadamnya secara automatik.
- Gambar resit, pelan Percuma: disimpan sepanjang tempoh simpan rekod yang dikehendaki LHDN (kini 7 tahun), dikira dari akhir tahun borang cukai dikemukakan; kemudian gambar dibuang dan butirannya kekal. Pelan berbayar: gambar disimpan selagi pelan aktif, dan selepas pelan tamat sekurang-kurangnya tempoh yang sama dikira dari tarikh tamat.
- Isi rumah Percuma yang tidak digunakan: selepas 34 bulan tanpa log masuk, ketua keluarga menerima notis e-mel; gambar resit dibuang paling awal selepas 36 bulan tanpa log masuk dan sekurang-kurangnya 60 hari selepas notis itu (log masuk membatalkannya); butiran resit kekal. Lihat Terma, bahagian 4.
- Resit yang anda padam disimpan dalam tong sampah 30 hari, kemudian dipadam kekal.
- Resit melalui e-mel yang belum diproses dipadam selepas 30 hari.
- Bila isi rumah ditutup, semua ahli dinyahaktifkan serta-merta (tiada sesiapa boleh log masuk lagi) dan semua data — resit, gambar, rekod cukai dan akaun — dipadam kekal selepas 30 hari. Sebelum itu, isi rumah boleh dibuka semula atas permintaan melalui sokongan@listbelanja.com; eksport data anda sebelum menutup. Rekod bayaran dikekalkan untuk perakaunan (lihat Pemprosesan pembayaran), dan salinan dalam sandaran hilang apabila tempoh sandaran tamat (lihat Sandaran).
7. Hak anda di bawah PDPA (termasuk padam akaun)
- Akses & salinan: Lagi → Data & pemulihan → Muat turun sandaran (JSON), atau pek audit ZIP.
- Pembetulan: sunting mana-mana rekod dalam aplikasi bila-bila masa.
- Tarik balik persetujuan / pemadaman: mana-mana pengguna boleh memadam data dan akaunnya sendiri dalam Lagi → Data & pemulihan → Padam data saya. Ia berlaku serta-merta, dalam aplikasi, tanpa e-mel atau borang. Admin isi rumah pula boleh menutup seluruh isi rumah (Tutup isi rumah). Satu pengecualian: resit tahun yang sudah dikunci (difail kepada LHDN) dipindahkan kepada ketua keluarga anda dan bukan dipadam, kerana undang-undang menghendaki rekod cukai disimpan; anda dimaklumkan tentang ini sebelum mengesahkan.
- Had pemprosesan: anda boleh berhenti menggunakan ciri AI dan menambah resit secara manual.
- Aduan: hubungi kami dahulu; anda juga berhak membuat aduan kepada Pesuruhjaya Perlindungan Data Peribadi Malaysia.
- Hubungi kami: sokongan@listbelanja.com — untuk permintaan data, aduan atau soalan privasi.
8. Kuki
Kami hanya menggunakan satu kuki yang perlu: sesi log masuk anda. Tiada kuki penjejakan atau analitik pihak ketiga.
9. Kanak-kanak
Akaun dibuka oleh orang dewasa. Ahli di bawah 18 tahun hanya boleh dijemput oleh admin kumpulan yang bertanggungjawab terhadap mereka, dan datanya dikawal oleh admin itu.
10. Perubahan
Kami akan memaklumkan perubahan penting kepada dasar ini dalam aplikasi — kad di skrin Utama bersama ringkasan perubahan — sekurang-kurangnya 14 hari sebelum berkuat kuasa. Setiap versi, termasuk perubahan kecil, direkod dalam Sejarah perubahan di bawah.
11. Hubungi kami
Soalan, aduan atau permintaan berkaitan data anda: Lagi → Bantuan & maklum balas dalam app — status dan balasan kami dipaparkan di situ. Pemadaman tidak memerlukan permintaan: Lagi → Data & pemulihan → Padam data saya berkuat kuasa serta-merta — butiran di Hak anda di bawah PDPA.
Pemprosesan pembayaran
Bayaran langganan diproses oleh pemproses pembayaran berlesen (pematuhan PCI DSS). ListBelanja menerima daripada pemproses itu hanya maklumat yang diperlukan untuk mengurus langganan anda (pengenal pelanggan, status langganan, jumlah dan tarikh bayaran, serta empat digit terakhir kad jika dipaparkan oleh pemproses). Nombor kad penuh dan kod CVC tidak pernah dihantar kepada atau disimpan oleh ListBelanja. Rekod bayaran disimpan sekurang-kurangnya sepanjang tempoh simpan rekod LHDN (kini 7 tahun) untuk keperluan perakaunan dan cukai; rekod teknikal acara pembayaran dipadam selepas 12 bulan.
Maklum balas
Apabila anda menghantar maklum balas dalam app, kami menyimpan mesej anda, jenisnya, dan maklumat teknikal (skrin semasa, bahasa, jenis peranti dan pelayar, sama ada app dipasang). Tiada kandungan resit dilampirkan. E-mel anda disimpan bersama laporan hanya jika anda menanda "benarkan pemilik menghubungi saya". Maklum balas digunakan untuk membaiki perkhidmatan, dipadam serta-merta jika anda memadam akaun, dan dipadam kekal 24 bulan selepas ia selesai atau ditutup.
Penilaian ListBelanja
Anda boleh menilai ListBelanja (1 hingga 5 bintang, komen pilihan) dalam Tetapan. Kami menyimpan bintang, komen, bahasa dan tarikh bersama akaun anda — satu penilaian setiap pengguna, boleh diubah atau dibuang pada bila-bila masa. Purata semua penilaian dan bilangannya dipaparkan di halaman awam ListBelanja dan dalam data berstruktur untuk enjin carian (sebagai penilaian pengguna sebenar, tanpa nama). Komen anda dipaparkan secara awam hanya jika anda menanda "benarkan komen saya dipaparkan" — dengan nama pertama anda sahaja, dan komen yang mengandungi e-mel, nombor telefon atau pautan ditolak. Pemilik platform boleh menyembunyikan komen awam yang menyalahgunakan ciri ini (spam, pautan, kandungan menyinggung) atau memadam penilaian daripada akaun palsu — teks anda tidak pernah disunting, dan setiap tindakan itu direkod. Penilaian dipadam serta-merta bersama akaun anda.
Laporan ralat automatik
Jika app menghadapi ralat teknikal, ia menghantar laporan tanpa pengenalan kepada kami: mesej ralat, skrin yang dibuka, versi app, bahasa, jenis pelayar dan sistem, sama ada dalam talian dan sama ada app dipasang. Tiada akaun, e-mel, kumpulan, alamat IP atau kandungan resit dalam laporan itu — ia tidak boleh dikaitkan dengan anda. Laporan dipadam selepas 30 hari.
Sandaran
Untuk melindungi data anda daripada kehilangan, salinan sandaran pangkalan data dibuat setiap hari (disimpan 14 hari dalam storan peribadi kami) dan setiap bulan (disulitkan, disimpan 90 hari). Kata laluan tidak pernah disandarkan. Data yang anda padam kekal dalam salinan sandaran lama sehingga tempoh simpanan itu tamat, kemudian hilang sepenuhnya; ia hanya digunakan untuk memulihkan perkhidmatan selepas kerosakan, tidak untuk tujuan lain.
Sejarah perubahan
- Versi 1.11 · 2 Oktober 2026 — Nama pembekal teknologi digantikan dengan kelas perkhidmatan (pembekal AI, pembekal pangkalan data & storan awan, rangkaian penyampaian, pemproses pembayaran berlesen, perkhidmatan e-mel, perkhidmatan anti-bot) — termasuk dalam sejarah ini. Tiada perubahan pada apa yang dikumpul, bagaimana ia diproses atau hak anda.
- Versi 1.10 · 2 Oktober 2026 — Bahagian baharu 'Penilaian ListBelanja': bintang & komen pilihan disimpan bersama akaun (satu setiap pengguna, boleh dibuang); purata tanpa nama dipaparkan di halaman awam & data berstruktur; komen dipaparkan awam hanya dengan kebenaran anda (nama pertama sahaja); pemilik boleh menyembunyikan komen yang menyalahgunakan ciri atau memadam akaun palsu — teks tidak pernah disunting.
- Versi 1.9 · 1 Oktober 2026 — Bahagian 6 ditulis semula sebagai senarai penuh tempoh simpanan automatik — butiran resit, gambar resit (tempoh simpan rekod LHDN; pelan berbayar), isi rumah tidak digunakan (notis e-mel dahulu), tong sampah, resit e-mel, penutupan isi rumah — dengan setiap tempoh dipaparkan terus daripada tetapan app. Dibetulkan: isi rumah yang ditutup dipadam selepas tempoh penutupan (bukan dalam), dibuka semula hanya atas permintaan e-mel kerana ahli tidak boleh log masuk lagi, dan salinan dalam sandaran hilang mengikut tempoh sandaran. Rekod teknikal acara pembayaran turut dinyatakan.
- Versi 1.8 · 27 September 2026 — Resit melalui e-mel: e-mel yang di-forward ke alamat resit keluarga diterima oleh pembekal perkhidmatan e-mel kami bagi pihak kami; lampiran atau teks resit disimpan sehingga diproses (dipadam selepas 30 hari); e-mel daripada bukan ahli keluarga ditolak tanpa kandungan disimpan.
- Versi 1.7 · 27 September 2026 — E-mel hubungan sokongan@listbelanja.com untuk permintaan data dan aduan; kata laluan baharu disemak terhadap senarai kebocoran awam secara k-anonymity (kata laluan tidak pernah dihantar).
- Versi 1.6 · 27 September 2026 — Bahagian 5: pendaftaran dan pemulihan kata laluan boleh disemak oleh perkhidmatan anti-bot pihak ketiga (tanpa CAPTCHA; isyarat teknikal pelayar diproses untuk keselamatan sahaja).
- Versi 1.5 · 27 September 2026 — Bahagian 2 dibetulkan: ListBelanja kini menggunakan peringkat percuma pembekal AI — di bawah terma pembekal, kandungan yang dihantar boleh digunakan untuk menambah baik produk pembekal dan dibaca oleh penilai manusia. Kenyataan terdahulu bahawa data tidak digunakan untuk melatih model telah ditarik balik. Kemasukan manual tidak menghantar apa-apa kepada AI.
- Versi 1.4 · 27 September 2026 — Bahagian 2 diperluas: pembantu soalan cukai 'Tanya ListBelanja' — soalan dan ringkasan angka rekod (tanpa gambar resit, nama atau e-mel) dihantar kepada perkhidmatan AI; hanya bilangan soalan dan model/token disimpan, bukan teks soalan.
- Versi 1.3 · 25 September 2026 — Bahagian baharu 'Laporan ralat automatik': laporan teknikal tanpa pengenalan (tiada akaun, e-mel, IP atau resit), dipadam selepas 30 hari.
- Versi 1.2 · 24 September 2026 — Rujukan silang ditulis semula sebagai pautan yang jelas; bahagian 10 menerangkan cara perubahan diumumkan dalam app; sejarah perubahan ditambah. Tiada perubahan pada cara data anda digunakan.
- Versi 1.1 · 24 September 2026 — Permintaan data dan padam akaun kini terus dalam app (Bantuan & maklum balas, Padam data saya); terjemahan English dan 中文 ditambah.
- Versi 1.0 · 20 September 2026 — Versi pertama.
Perubahan penting diumumkan dalam app sekurang-kurangnya 14 hari sebelum berkuat kuasa. Perubahan kecil — ejaan, terjemahan, susunan atau penjelasan — direkod di sini sahaja.
Privacy Policy
1. Data we collect
| Type | Examples | Why |
|---|---|---|
| Account | Email, display name, password (stored as a hash) | Signing in and identifying you within your group |
| Receipts & documents | Receipt images, bills, statements, EA forms, text read by the AI | Expense records and evidence for tax reliefs |
| Financial | Yearly income, PCB, zakat, monthly commitments, side income | Tax estimates and budgeting — all optional |
| Group | Group name, members, roles and permissions | Controlled sharing between members |
| Technical | IP address (for rate limiting only, not stored permanently), browser type, timestamps | Security and abuse prevention |
We do not ask for your identity card number, tax number (TIN) or bank account number, and advise you not to type them into receipt notes.
2. How AI is used
Receipt images are sent to a third-party language-model (AI) service to be read. The reading is returned to you as a suggestion. Each reading is counted as one unit of your account's quota; receipt content is not stored by us outside your account.
The AI provider's service tier. ListBelanja currently uses that provider's free tier. Under the provider's terms for the free tier, submitted content and generated responses may be used by the provider to provide, improve and develop its products and machine-learning technologies, and may be read by human reviewers (after being disconnected from our account). On the paid tier, the provider does not use that content to improve its products. If we move to the paid tier, the change will be announced through an update to this policy. If you do not want a particular receipt (for example a medical receipt) sent to the AI, enter it manually — manual entry sends nothing to the AI.
Tax question assistant ("Ask ListBelanja"): when you ask a question, your question and a numeric summary of your account's records (reliefs used and remaining caps, estimated tax — no receipt images, names or email) are sent to the same AI service under the same service tier (see above). We store only the number of questions per month (for the quota) and the model and tokens used — never the question or answer text.
Receipts by email. Emails you forward to your receipt address are received by our email service provider (United States) on our behalf. We keep the receipt attachment or text until you process it; unprocessed ones are deleted after 30 days. Mail from senders who are not members of your group is rejected and its content is not stored — only the reason for rejection. AI reads a receipt only after you tap Process.
3. Who can see your data
- You: the receipts, spending and records you enter.
- Your group admin: every receipt in the group, because they handle the group's filing. Other members see only their own receipts, unless the admin grants the "See everyone's receipts" permission.
- An auditor appointed by the admin: records that are already filed or locked, read-only.
- The platform owner: aggregate statistics only (number of accounts, usage). They cannot read any user's receipts; this restriction is enforced by the database.
- Infrastructure providers (below) process data on our behalf and are bound by their data-processing terms.
We do not share data with advertisers, data brokers or LHDN. We disclose data only where required by Malaysian law, and will inform you unless prohibited.
4. Where data is stored
- Database: a cloud database provider, Southeast Asia region.
- Images & documents: cloud object storage, with viewing links that expire on their own.
- Application: a global cloud delivery network.
- AI reading: an AI service provider (United States).
Data may be processed outside Malaysia by these providers. By using the service you agree to this transfer, which is protected by the providers' contractual terms.
5. Security
- Sessions are kept in an encrypted cookie that scripts cannot read (HttpOnly, Secure).
- Every row of data is tagged with its group, and the database rejects any cross-group access (Row Level Security).
- Passwords are at least 12 characters; invitation links are single-use and expire in 7 days.
- Monthly database backups are encrypted.
- No data is stored on your device, except the "try first" list for visitors without an account, which is deleted as soon as it is moved into an account.
- Sign-up and password reset may be checked by a third-party anti-bot service (without CAPTCHAs): that provider processes technical browser signals for security only, not for advertising.
- New passwords are checked against public breach lists (HaveIBeenPwned) using k-anonymity: only the first 5 characters of the password's hash are sent — your password never leaves our server.
6. How long we keep it
Every period below is applied automatically by the app's daily cleanup; nobody reviews your account by hand.
- Receipt details and tax records (shop, date, total, category, relief) are kept for as long as your account exists — we do not delete them automatically.
- Receipt images, Free plan: kept for the record-keeping period LHDN requires (currently 7 years), counted from the end of the year the tax return is filed; then the image is removed and its details stay. Paid plans: images are kept while the plan is active, and after it ends for at least the same period counted from the end date.
- Unused Free households: after 34 months without a sign-in, the household admins get an email notice; receipt images are removed no earlier than 36 months without a sign-in and at least 60 days after that notice (signing in cancels it); receipt details stay. See Terms, section 4.
- Receipts you delete stay in the trash for 30 days, then are deleted permanently.
- Unprocessed receipts sent by email are deleted after 30 days.
- When a household is closed, every member is deactivated immediately (no one can sign in any more) and all data — receipts, images, tax records and accounts — is permanently deleted after 30 days. Before then, the household can be reopened on request via sokongan@listbelanja.com; export your data before closing. Payment records are kept for accounting (see Payment processing), and copies in backups disappear when the backup retention period ends (see Backups).
7. Your rights under the PDPA (including deleting your account)
- Access & copy: More → Data & recovery → Download backup (JSON), or the audit-pack ZIP.
- Correction: edit any record in the app at any time.
- Withdraw consent / deletion: any user can delete their own data and account under More → Data & recovery → Delete my data. It happens immediately, in the app, without email or forms. A household admin can also close the whole household (Close household). One exception: receipts from a year that is already locked (filed with LHDN) are transferred to your head of family rather than deleted, because the law requires tax records to be kept; you are told this before confirming.
- Limiting processing: you can stop using the AI features and add receipts manually.
- Complaints: contact us first; you also have the right to complain to the Personal Data Protection Commissioner of Malaysia.
- Contact us: sokongan@listbelanja.com — for data requests, complaints or privacy questions.
8. Cookies
We use only one necessary cookie: your sign-in session. No tracking cookies or third-party analytics.
9. Children
Accounts are opened by adults. Members under 18 can only be invited by the group admin responsible for them, and their data is controlled by that admin.
10. Changes
We will announce material changes to this policy in the app — a card on the Home screen with a summary of what changes — at least 14 days before they take effect. Every version, including minor changes, is recorded in the Change history below.
11. Contact us
Questions, complaints or requests about your data: More → Help & feedback in the app — the status and our reply are shown there. Deletion needs no request: More → Data & recovery → Delete my data takes effect immediately — details under Your rights under the PDPA.
Payment processing
Subscription payments are processed by a licensed payment processor (PCI DSS compliant). ListBelanja receives from the processor only what is needed to manage your subscription (a customer identifier, subscription status, payment amounts and dates, and the last four digits of the card if the processor shows them). Full card numbers and CVC codes are never sent to or stored by ListBelanja. Payment records are kept for at least LHDN's record-keeping period (currently 7 years) for accounting and tax purposes; technical payment event records are deleted after 12 months.
Feedback
When you send feedback in the app, we keep your message, its type, and technical details (current screen, language, device and browser type, whether the app is installed). No receipt content is attached. Your email is stored with the report only if you tick "allow the owner to contact me". Feedback is used to improve the service, is deleted immediately if you delete your account, and is permanently deleted 24 months after it is resolved or closed.
Rating ListBelanja
You can rate ListBelanja (1 to 5 stars, optional comment) in Settings. We store the stars, comment, language and date with your account — one rating per user, changeable or removable at any time. The average of all ratings and their number are shown on ListBelanja's public pages and in structured data for search engines (as genuine user ratings, without names). Your comment is shown publicly only if you tick "allow my comment to be shown" — with your first name only, and comments containing an email, phone number or link are rejected. The platform owner may hide public comments that abuse the feature (spam, links, offensive content) or delete ratings from fake accounts — your text is never edited, and every such action is recorded. Ratings are deleted immediately together with your account.
Automatic error reports
If the app hits a technical error, it sends us an anonymous report: the error message, the screen that was open, app version, language, browser and system type, whether it was online and whether the app is installed. No account, email, group, IP address or receipt content is included — it cannot be linked to you. Reports are deleted after 30 days.
Backups
To protect your data from loss, database backups are made daily (kept 14 days in our private storage) and monthly (encrypted, kept 90 days). Passwords are never backed up. Data you delete remains in older backups until that retention period ends, then disappears completely; backups are used only to restore the service after a failure, for no other purpose.
Change history
- Version 1.11 · 2 October 2026 — Technology vendor names replaced with service classes (AI provider, cloud database & storage provider, delivery network, licensed payment processor, email service, anti-bot service) — including in this history. No change to what is collected, how it is processed or your rights.
- Version 1.10 · 2 October 2026 — New section 'Rating ListBelanja': stars and an optional comment are stored with your account (one per user, removable); the anonymous average is shown on public pages and in structured data; your comment is shown publicly only with your permission (first name only); the owner may hide abusive comments or delete fake accounts' ratings — text is never edited.
- Version 1.9 · 1 October 2026 — Section 6 rewritten as a full list of automatic retention periods — receipt details, receipt images (LHDN record-keeping period; paid plans), unused households (email notice first), trash, emailed receipts, household closure — with every period shown directly from the app's settings. Corrected: a closed household is deleted after (not within) the closure period, can be reopened only on request by email because members can no longer sign in, and copies in backups expire with the backup retention period. Technical payment event records are now listed too.
- Version 1.8 · 27 September 2026 — Receipts by email: emails forwarded to the family receipt address are received by our email service provider on our behalf; the receipt attachment or text is kept until processed (deleted after 30 days); mail from non-family senders is rejected without storing its content.
- Version 1.7 · 27 September 2026 — Contact email sokongan@listbelanja.com for data requests and complaints; new passwords are checked against public breach lists using k-anonymity (the password is never sent).
- Version 1.6 · 27 September 2026 — Section 5: sign-up and password reset may be checked by a third-party anti-bot service (without CAPTCHAs; technical browser signals are processed for security only).
- Version 1.5 · 27 September 2026 — Section 2 corrected: ListBelanja currently uses the AI provider's free tier — under the provider's terms, submitted content may be used to improve the provider's products and read by human reviewers. The earlier statement that data is not used to train models has been withdrawn. Manual entry sends nothing to the AI.
- Version 1.4 · 27 September 2026 — Section 2 expanded: the 'Ask ListBelanja' tax assistant — your question and a numeric summary of your records (no receipt images, names or email) are sent to an AI service; only the number of questions and model/tokens are stored, never the question text.
- Version 1.3 · 25 September 2026 — New section 'Automatic error reports': anonymous technical reports (no account, email, IP or receipts), deleted after 30 days.
- Version 1.2 · 24 September 2026 — Cross-references rewritten as clear links; section 10 explains how changes are announced in the app; change history added. No change to how your data is used.
- Version 1.1 · 24 September 2026 — Data requests and account deletion now happen directly in the app (Help & feedback, Delete my data); English and Chinese translations added.
- Version 1.0 · 20 September 2026 — First version.
Material changes are announced in the app at least 14 days before they take effect. Minor changes — spelling, translation, layout or clarification — are recorded here only.
隐私政策
1. 我们收集的数据
| 类型 | 例子 | 原因 |
|---|---|---|
| 账户 | 电邮、显示名称、密码（以哈希保存） | 登录并在团体中识别您 |
| 收据与文件 | 收据图片、账单、结算单、EA表格、AI读取的文字 | 支出记录与税务减免凭证 |
| 财务 | 年收入、PCB、天课、每月固定支出、副业收入 | 税务估算与预算——均为可选 |
| 团体 | 团体名称、成员、角色与权限 | 成员之间受控的共享 |
| 技术 | IP地址（仅用于限流，不永久保存）、浏览器类型、时间戳 | 安全与防止滥用 |
我们不会索取您的身份证号、税务编号（TIN）或银行账号，并建议您不要将它们输入收据备注。
2. AI如何使用
收据图片会发送至第三方语言模型（AI）服务读取，读取结果以建议形式返回给您。每次读取计为您账户配额的一个单位；收据内容不会由我们保存在您账户之外。
AI 服务商的服务层级。ListBelanja 目前使用该 AI 服务商的免费层级。根据服务商免费层级的条款，所提交的内容和生成的回答可能被服务商用于提供、改进和开发其产品及机器学习技术，并可能由人工审核员阅读（在与我们的账户断开关联之后）。在付费层级，服务商不会使用这些内容改进其产品。若我们转用付费层级，将通过本政策的更新公布。若您不希望某张收据（例如医疗收据）发送给 AI，请以手动方式输入——手动输入不会向 AI 发送任何内容。
税务问题助手（“问 ListBelanja”）：当您提问时，您的问题及您账户记录的数字摘要（已使用的减免与剩余额度、预计税额——不含收据图片、姓名或电邮）会在相同的服务层级下（见上文）发送至同一 AI 服务。我们仅保存每月提问次数（用于配额）以及所用的模型和令牌，不保存问题或回答文本。
通过电邮提交收据。您转发到您的收据地址的电邮由我们的电邮服务商（美国）代表我们接收。我们会保存收据附件或正文，直到您处理为止；未处理的会在30天后删除。来自非团体成员的邮件会被拒绝，其内容不会被保存——只保存拒绝原因。只有在您点按“处理”之后，AI 才会读取收据。
3. 谁能看到您的数据
- 您：您输入的收据、支出和记录。
- 您的团体管理员：团体内所有收据，因为由其负责团体的报税。其他成员只能看到自己的收据，除非管理员授予“查看所有人收据”的权限。
- 管理员任命的审计员：已申报或已锁定的记录，只读。
- 平台所有者：仅汇总统计（账户数量、使用量）。其不能读取任何用户的收据；此限制由数据库强制执行。
- 基础设施供应商（见下）代我们处理数据，并受其数据处理条款约束。
我们不与广告商、数据经纪商或LHDN共享数据。只有在马来西亚法律要求时才会披露数据，且除非被禁止，否则会通知您。
4. 数据存放地点
- 数据库：云数据库服务商，东南亚区域。
- 图片与文件：云对象存储，查看链接自动过期。
- 应用：全球云分发网络。
- AI读取：AI 服务商（美国）。
这些供应商可能在马来西亚境外处理数据。使用本服务即表示您同意此传输，该传输受供应商合同条款保护。
5. 安全
- 会话保存在脚本无法读取的加密Cookie中（HttpOnly、Secure）。
- 每一行数据都标记所属团体，数据库拒绝任何跨团体访问（行级安全）。
- 密码至少12个字符；邀请链接一次性使用，7天后过期。
- 每月数据库备份均加密。
- 您的设备上不保存任何数据，只有无账户访客的“先试试”清单例外，且在转入账户后立即删除。
- 注册和重设密码可能会经过第三方防机器人服务检查（无需验证码）：该服务商仅为安全目的处理浏览器技术信号，不用于广告。
- 新密码会以 k-匿名方式与公开泄露名单（HaveIBeenPwned）比对：仅发送密码哈希值的前 5 个字符——您的密码从不离开我们的服务器。
6. 保存多久
以下每个期限都由应用的每日清理自动执行；没有人会人工审查您的账户。
- 收据明细与税务记录（商家、日期、金额、类别、减免）在您的账户存在期间一直保存——我们不会自动删除。
- 收据图片（免费方案）：在LHDN要求的记录保存期内保留（目前为7年），从提交报税表当年年底起计算；之后移除图片，明细保留。付费方案：方案有效期间保留图片，方案结束后自结束日起至少再保留同样的期限。
- 未使用的免费家庭：连续34个月无人登录后，户主会收到电邮通知；收据图片最早在连续36个月无人登录、且通知发出至少60天后才移除（登录即可取消）；收据明细保留。见条款第4条。
- 您删除的收据在回收站保留30天，然后永久删除。
- 通过电邮提交但未处理的收据在30天后删除。
- 团体关闭时，所有成员立即被停用（之后任何人都无法登录），所有数据——收据、图片、税务记录和账户——在30天后永久删除。在此之前，可发电邮至sokongan@listbelanja.com申请重新开启；请在关闭之前导出数据。付款记录为会计用途保留（见支付处理），备份中的副本在备份保留期结束后消失（见备份）。
7. 您在PDPA下的权利（包括删除账户）
- 访问与副本：更多 → 数据与恢复 → 下载备份（JSON），或审计资料包ZIP。
- 更正：随时在应用内编辑任何记录。
- 撤回同意／删除：任何用户都可在“更多 → 数据与恢复 → 删除我的数据”删除自己的数据和账户。在应用内即时生效，无需电邮或表格。家庭管理员也可关闭整个家庭（关闭家庭）。一个例外：已锁定年份（已向LHDN申报）的收据会转移给您的家长而非删除，因为法律要求保存税务记录；确认前会告知您。
- 限制处理：您可停止使用AI功能，改为手动添加收据。
- 投诉：请先联系我们；您也有权向马来西亚个人数据保护专员投诉。
- 联系我们：sokongan@listbelanja.com——用于数据请求、投诉或隐私问题。
8. Cookie
我们只使用一个必要的Cookie：您的登录会话。没有跟踪Cookie或第三方分析。
9. 儿童
账户由成年人开设。18岁以下成员只能由对其负责的团体管理员邀请，其数据由该管理员控制。
10. 变更
本政策的重大变更将在生效前至少14天于应用内公布——主页上会出现附有变更摘要的卡片。每个版本（包括细微变更）都记录在下方的变更记录中。
11. 联系我们
有关您数据的问题、投诉或请求：应用内的更多 → 帮助与反馈——状态和我们的回复都显示在那里。删除无需申请：更多 → 数据与恢复 → 删除我的数据即时生效——详情见您在PDPA下的权利。
支付处理
订阅付款由持牌支付处理商（符合 PCI DSS）处理。ListBelanja仅从该处理商获取管理您订阅所需的信息（客户标识、订阅状态、付款金额与日期，以及处理商显示的卡号末四位）。完整卡号和CVC码从不发送给或保存于ListBelanja。付款记录为会计与税务目的至少保存LHDN记录保存期（目前为7年）；支付技术事件记录在12个月后删除。
反馈
当您在应用内提交反馈时，我们保存您的信息、类型及技术资料（当前页面、语言、设备与浏览器类型、是否已安装应用）。不附带任何收据内容。只有当您勾选“允许所有者联系我”时，您的电邮才会与报告一起保存。反馈用于改进服务，若您删除账户则立即删除，并在解决或关闭24个月后永久删除。
为 ListBelanja 评分
您可以在设置中为 ListBelanja 评分（1 至 5 星，评论可选）。我们将星级、评论、语言和日期与您的账户一起保存——每位用户一个评分，可随时修改或移除。所有评分的平均值及数量会显示在 ListBelanja 的公开页面和面向搜索引擎的结构化数据中（作为真实用户评分，不含姓名）。只有当您勾选“允许显示我的评论”时，您的评论才会公开显示——只显示您的名字，且包含电邮、电话号码或链接的评论会被拒绝。平台所有者可以隐藏滥用此功能的公开评论（垃圾信息、链接、冒犯性内容）或删除来自虚假账户的评分——您的文字从不被编辑，且每项操作都会被记录。评分会随您的账户立即删除。
自动错误报告
当应用遇到技术错误时，会向我们发送匿名报告：错误信息、当时打开的页面、应用版本、语言、浏览器与系统类型、是否在线以及是否已安装应用。报告不包含账户、电邮、团体、IP地址或收据内容，无法与您关联。报告在30天后删除。
备份
为防止数据丢失，数据库每日备份（在我们的私人存储中保留14天）并每月备份（加密，保留90天）。密码从不备份。您删除的数据在旧备份中保留至保留期结束，然后完全消失；备份仅用于故障后恢复服务，不作他用。
变更记录
- 版本 1.11 · 2026年10月2日 — 技术供应商名称改为服务类别（AI 服务商、云数据库与存储服务商、分发网络、持牌支付处理商、电邮服务、防机器人服务）——包括本历史记录。所收集的内容、处理方式和您的权利均无变化。
- 版本 1.10 · 2026年10月2日 — 新增“为 ListBelanja 评分”：星级和可选评论与账户一起保存（每位用户一个，可移除）；匿名平均值显示在公开页面和结构化数据中；只有经您允许才会公开显示评论（只显示名字）；所有者可隐藏滥用评论或删除虚假账户的评分——文字从不被编辑。
- 版本 1.9 · 2026年10月1日 — 第6条改写为完整的自动保存期限清单——收据明细、收据图片（LHDN记录保存期；付费方案）、未使用的家庭（先发电邮通知）、回收站、电邮收据、关闭家庭——每个期限都直接取自应用设定。更正：关闭的家庭在关闭期满之后（而非之内）删除；由于成员已无法登录，只能通过电邮申请重新开启；备份中的副本随备份保留期届满而消失。另列明支付技术事件记录。
- 版本 1.8 · 2026年9月27日 — 通过电邮提交收据：转发到家庭收据地址的电邮由我们的电邮服务商代表我们接收；收据附件或正文保存至处理为止（30 天后删除）；来自非家庭成员的邮件会被拒绝，且不保存其内容。
- 版本 1.7 · 2026年9月27日 — 联系电邮 sokongan@listbelanja.com 用于数据请求和投诉；新密码以 k-匿名方式与公开泄露名单比对（密码从不发送）。
- 版本 1.6 · 2026年9月27日 — 第5条：注册和重设密码可能会经过第三方防机器人服务检查（无需验证码；仅为安全目的处理浏览器技术信号）。
- 版本 1.5 · 2026年9月27日 — 第2条更正：ListBelanja 目前使用 AI 服务商的免费层级——根据服务商条款，所提交的内容可能被用于改进服务商的产品并由人工审核员阅读。先前关于数据不用于训练模型的说明已撤回。手动输入不会向 AI 发送任何内容。
- 版本 1.4 · 2026年9月27日 — 第2条扩充：税务助手“问 ListBelanja”——您的问题及记录的数字摘要（不含收据图片、姓名或电邮）会发送至 AI 服务；仅保存提问次数和模型/令牌，不保存问题文本。
- 版本 1.3 · 2026年9月25日 — 新增“自动错误报告”：匿名技术报告（不含账户、电邮、IP或收据），30天后删除。
- 版本 1.2 · 2026年9月24日 — 交叉引用改写为清晰的链接；第10条说明如何在应用内公布变更；新增变更记录。您数据的使用方式没有变化。
- 版本 1.1 · 2026年9月24日 — 数据请求与删除账户现可直接在应用内完成（“帮助与反馈”、“删除我的数据”）；新增英文与中文译本。
- 版本 1.0 · 2026年9月20日 — 首个版本。
重大变更将在生效前至少14天于应用内公布。细微变更（拼写、翻译、排版或说明）仅记录于此。