Dasar Privasi

Versi 1.26 · berkuat kuasa 8 November 2026 · Sejarah perubahan · Notis ini dibuat menurut Akta Perlindungan Data Peribadi 2010 (PDPA)

Ringkasan. Kami menyimpan resit, dokumen dan maklumat cukai yang anda masukkan, untuk satu tujuan: membantu anda, keluarga dan organisasi anda menyimpan rekod dan mengira cukai. Tiada iklan, tiada penjualan data, tiada penjejak. Anda boleh mengeksport atau memadam data anda bila-bila masa. Penyata gaji dan Borang EA/EC yang anda muat naik dibaca dalam peranti anda bila boleh, dan fail anda hanya boleh dilihat dan digunakan oleh anda — lihat Penyata gaji, Borang EA/EC & fail dokumen anda.

1. Data yang kami kumpul

Jenis	Contoh	Kenapa
Akaun	E-mel, nama paparan, kata laluan (disimpan sebagai cincangan)	Log masuk dan mengenal pasti anda dalam kumpulan
Resit & dokumen	Gambar resit, bil, penyata, borang EA, teks yang dibaca AI	Rekod perbelanjaan dan bukti pelepasan cukai
Kewangan & data cukai	Data cukai yang anda isi: gaji & Borang EA (nama & nombor majikan, saraan, PCB, KWSP, PERKESO, zakat potongan gaji) dan salinan fail Borang EA yang diimbas; status keluarga (berkahwin, pasangan berpendapatan atau tidak), bilangan anak mengikut kategori, status OKU diri, pasangan & anak; pelepasan tanpa resit, zakat & derma, pendapatan & bayaran lain; komitmen bulanan, pendapatan sampingan	Anggaran cukai, e-Filing BE / Borang B dan bajet — semuanya pilihan. Status OKU ialah data peribadi sensitif (berkaitan kesihatan): ia disimpan hanya jika anda sendiri menandakannya, semata-mata untuk mengira pelepasan OKU
Penyata gaji & Borang EA/EC (pilihan)	Angka penyata gaji bulanan yang anda sahkan: bulan, nama majikan, pendapatan kasar, potongan, gaji bersih, pendapatan bercukai, serta nama & amaun setiap baris pendapatan dan potongan (cth. elaun, KWSP, PERKESO, PCB, zakat, pinjaman); angka Borang EA/EC; salinan fail hanya jika anda memilih untuk menyimpannya	Analisis gaji, bajet bulanan, tarikh gaji dan anggaran cukai — lihat Penyata gaji, Borang EA/EC & fail dokumen anda
Telegram (pilihan)	Pengenal sembang & nama paparan Telegram yang anda sambungkan bagi setiap kumpulan; gambar atau PDF resit yang anda hantar kepada bot; resit yang menunggu pilihan kumpulan (rujukan fail & kapsyen)	Memasukkan resit yang anda hantar melalui Telegram ke kumpulan yang betul
Notifikasi (pilihan)	Langganan notifikasi telefon setiap peranti (alamat push yang diberi pelayar, jenis pelayar, bahasa); peti keluar notifikasi aktiviti — jenis peristiwa dan ringkasan pendek seperti nama kedai atau jumlah, tanpa gambar	Menghantar peringatan tarikh akhir dan notifikasi aktiviti masa nyata yang anda hidupkan
Kumpulan & ruang	Nama & jenis kumpulan, ahli, peranan, jawatan (cth. Bendahari) dan kebenaran; ruang yang anda sertai atau cipta dengan akaun yang sama; profil organisasi (pilihan: no. pendaftaran, TIN, SST, alamat)	Perkongsian yang terkawal antara ahli, satu akaun untuk keluarga, syarikat, persatuan & klien, dan kepala pada borang & penyata yang dicetak
Wang, akaun & rancangan (pilihan)	Akaun wang yang anda cipta (nama, jenis, mata wang, baki pembukaan, had kredit, hari penyata — bukan nombor akaun bank atau kad), pindahan antara akaun, matlamat simpanan, pinjaman & BNPL, hutang kawan (nama orang sahaja), langganan & bil, butiran kenderaan dan maklumat yang anda isi untuk anggaran bantuan	Baki, bajet, kalendar wang dan perancangan — lihat Wang, akaun & rancangan
Perniagaan (pilihan)	Sumber pendapatan, invois, sebut harga & nota kredit, pelanggan, produk & stok, aset; kelayakan MyInvois anda (disimpan tersulit)	Borang B, invois, e-Invois dan laporan perniagaan — lihat Perniagaan & e-Invois
Peranti & sambungan (pilihan)	Pengenal kelayakan kunci peranti; token Pintasan telefon, sambungan pembantu AI anda sendiri dan pautan kalendar peribadi (disimpan sebagai cincangan) serta log akses sambungan	Mengunci app pada peranti anda, menghantar catatan dari pintasan, dan membenarkan pembantu AI pilihan anda membaca data anda — lihat Peranti, sambungan & mod cuba
Teknikal	Alamat IP (untuk had kadar sahaja, tidak disimpan kekal), jenis pelayar, cap masa	Keselamatan dan pencegahan penyalahgunaan

Kami tidak meminta nombor kad pengenalan atau nombor akaun bank, dan menasihatkan anda tidak menaipnya ke dalam nota resit. Nombor cukai (TIN) hanya disimpan jika anda sendiri mengisinya — untuk butiran pembeli e-Invois anda atau profil organisasi (pilihan). Bila anda memuat naik penyata gaji atau Borang EA/EC, nombor kad pengenalan, nombor akaun bank, nombor KWSP/PERKESO, nombor gaji atau kakitangan dan nombor cukai (TIN) yang tercetak padanya tidak disimpan.

2. Bagaimana AI digunakan

Gambar resit dihantar kepada perkhidmatan model bahasa (AI) pihak ketiga untuk dibaca. Bacaan itu dipulangkan kepada anda sebagai cadangan. Setiap bacaan dicatat sebagai satu unit kuota akaun anda; kandungan resit tidak disimpan oleh kami di luar akaun anda.

Peringkat perkhidmatan pembekal AI. Buat masa ini ListBelanja menggunakan peringkat percuma pembekal AI itu. Di bawah terma pembekal untuk peringkat percuma, kandungan yang dihantar dan jawapan yang dijana boleh digunakan oleh pembekal untuk menyediakan, menambah baik dan membangunkan produk serta teknologi pembelajaran mesinnya, dan boleh dibaca oleh penilai manusia (selepas diputuskan daripada akaun kami). Pada peringkat berbayar, pembekal tidak menggunakan kandungan itu untuk menambah baik produknya. Jika kami beralih ke peringkat berbayar, perubahan itu diumumkan melalui kemas kini dasar ini. Jika anda tidak mahu sesuatu resit (contohnya resit perubatan) dihantar kepada AI, masukkan resit itu secara manual — kemasukan manual tidak menghantar apa-apa kepada AI.

Pembaca AI sandaran. Bila model utama tidak tersedia atau kapasiti percuma hari itu penuh, resit atau dokumen anda boleh dibaca oleh model lain daripada pembekal AI yang sama (di bawah peringkat dan terma yang sama, di atas), atau oleh pembaca AI yang dikendalikan rangkaian penyampaian awan kami (bahagian 4). Di bawah terma pembekal rangkaian itu, kandungan yang dibaca tidak digunakan untuk melatih model AI dan tidak disimpan selepas jawapan dihantar.

Kandungan dokumen ialah data, bukan arahan. App mengarahkan setiap pembaca AI supaya menganggap kandungan resit dan dokumen sebagai data sahaja dan tidak mengikut arahan yang tertulis di dalamnya; setiap bacaan tetap dipaparkan kepada anda untuk disemak sebelum disimpan. Bila dokumen gaji atau cukai dihantar sebagai teks, nombor pengenal peribadi disembunyikan dahulu — lihat Penyata gaji, Borang EA/EC & fail dokumen anda.

Pembantu soalan cukai ("Tanya ListBelanja"): apabila anda bertanya, soalan anda dan ringkasan angka rekod akaun anda (pelepasan yang digunakan dan baki had, anggaran cukai — tanpa gambar resit, nama atau e-mel) dihantar kepada perkhidmatan AI yang sama di bawah peringkat perkhidmatan yang sama (lihat di atas). Kami menyimpan hanya bilangan soalan sebulan (untuk kuota) serta model dan token yang digunakan — bukan teks soalan atau jawapan.

Pembantu AI anda sendiri (sambungan peribadi). Jika anda menyambungkan pembantu AI pilihan anda (cth. app sembang atau alat pengaturcaraan) kepada akaun anda, anda meluluskannya sendiri pada skrin persetujuan dalam app. Ia hanya mendapat akses baca sahaja kepada skop yang anda pilih — ringkasan rekod, tiada fail atau gambar; token aksesnya disimpan sebagai cincangan, setiap akses dilog untuk paparan anda, dan anda boleh membatalkannya bila-bila masa. Data yang dibaca oleh pembantu itu kemudian diproses oleh penyedia pembantu pilihan anda di bawah terma mereka — bukan oleh pembekal AI ListBelanja.

Pembantu AI dengan identiti web. untuk menyemak pembantu yang meminta akses, ListBelanja mengambil maklumat awam pembantu itu (nama & alamat kembali) daripada laman webnya dan menyimpannya paling lama sehari; tiada data anda dihantar kepada laman itu.

Resit melalui e-mel. E-mel yang anda forward ke alamat resit anda diterima oleh pembekal perkhidmatan e-mel kami (Amerika Syarikat) bagi pihak kami. Kami menyimpan lampiran atau teks resit itu sehingga anda memprosesnya; yang belum diproses dipadam selepas 30 hari. E-mel daripada pengirim yang bukan ahli kumpulan ditolak dan kandungannya tidak disimpan — hanya sebab penolakan. AI hanya membaca resit selepas anda menekan Proses. Setiap kiriman (e-mel atau Telegram) direkod bersama pengirimnya: ahli melihat kirimannya sendiri, admin melihat semua kiriman kumpulan.

Sejarah perubahan rekod. Bila resit, belanja, wang masuk, akaun, pindahan, rancangan wang, penyata gaji, pantri, senarai beli atau rekod perniagaan diubah atau dipadam, kami menyimpan siapa membuat perubahan itu (atau “Automatik” bagi proses app sendiri), bila, dan nilai lama → baharu bagi butiran yang berubah sahaja; bagi rekod yang dipadam, petikan terakhirnya. Teks bacaan AI, fail, kelayakan MyInvois dan butiran teknikal tidak disimpan. Sejarah hanya boleh dilihat oleh sesiapa yang boleh melihat rekod itu sendiri (kebenaran yang sama — termasuk juruaudit bagi rekod yang dibenarkan untuknya), dimasukkan dalam “Muat turun data saya”, tidak disalin ke sandaran harian, dan dipadam sendiri selepas tempoh yang dinyatakan dalam Data saya — lebih awal bila kumpulan ditutup atau pemilik rekod memadam akaunnya. Bila akaun seseorang dipadam, namanya dikosongkan daripada sejarah rekod orang lain.

Resit melalui Telegram. Bila anda menyambung Telegram dengan kod daripada app, kami menyimpan pengenal sembang dan nama paparan Telegram anda bersama akaun anda bagi setiap kumpulan yang anda sambungkan. Gambar atau PDF yang anda hantar kepada bot dimuat turun daripada Telegram ke peti resit kumpulan itu dan diproses seperti resit melalui e-mel. Jika Telegram anda disambung ke beberapa kumpulan, bot memaparkan nama kumpulan anda sendiri pada butang pilihan, dan resit yang menunggu pilihan anda disimpan seketika, kemudian dipadam sendiri jika tidak dijawab. Selain itu bot hanya menghantar balasan ringkas ke Telegram. Putuskan sambungan bila-bila masa dalam app atau dengan /putus; fail yang sudah diterima kekal dalam rekod anda.

Pusat Tangkap, catatan pantas & amaran bank. Catatan pantas (teks atau suara, cth. "nasi lemak 5") disimpan sebagai belanja yang menunggu semakan anda. Jika anda memajukan e-mel amaran transaksi bank atau e-dompet ke alamat resit anda, app hanya mengambil amaun, nama peniaga dan tarikh untuk dijadikan catatan "Perlu semak"; kod OTP/TAC dibuang, dan nombor akaun atau kad penuh serta kata laluan tidak pernah disimpan. Pintasan telefon menghantar teks catatan menggunakan token peranti rawak yang disimpan sebagai cincangan dan boleh dibatalkan bila-bila masa dalam app. Di iPhone, automasi Pintasan (iOS 27) yang anda bina sendiri boleh menghantar teks notifikasi app bank dan e-dompet yang anda pilih dengan token yang sama — ia melalui laluan yang sama seperti app Android (amaun, nama peniaga dan tarikh sahaja; kod OTP/TAC dibuang dan tidak pernah disimpan); gambar atau PDF resit yang dihantar Pintasan masuk ke peti resit anda seperti lampiran e-mel. ListBelanja tidak membaca senarai app di telefon anda; anda memilih app dalam automasi itu dan boleh memadamnya atau membatalkan token bila-bila masa.

Kategori dipelajari. bila catatan tiba melalui bot, e-mel amaran bank atau Pintasan, pelayan membaca nama dan kategori rekod anda sendiri yang sepadan (resit disahkan & belanja yang sudah disemak) untuk mencadangkan kategori — tiada data dikongsi dengan sesiapa.

Peraturan kategori. perkataan & pilihan kategori/pelepasan/projek yang anda tetapkan disimpan dalam tetapan akaun anda dan dipakai pada rekod anda sendiri (termasuk catatan daripada Telegram & e-mel amaran).

Notifikasi telefon. Bila anda menghidupkan notifikasi telefon, pelayar anda memberi alamat langganan push yang kami simpan bersama jenis pelayar dan bahasa anda. Setiap notifikasi dihantar sebagai ketukan kosong tanpa kandungan melalui perkhidmatan push pelayar; peranti anda kemudian mengambil teksnya terus daripada pelayan kami. Notifikasi aktiviti (cth. tuntutan diluluskan, resit baharu dalam peti kumpulan) disimpan dalam peti keluar ringkas supaya ia sampai ke setiap peranti anda, kemudian dipadam sendiri. Matikan bila-bila masa dalam Lagi → Peringatan dan notifikasi.

Perbandingan tanpa nama (pilihan). Jika anda memilih untuk menyertai “Orang seperti anda”, kami mengira — sekali sehari — agregat tanpa nama daripada jumlah tuntutan setiap pelepasan cukai anda (dihadkan pada had LHDN), dikumpul bersama peserta lain ikut borang dan kadar cukai. Tiada nama, resit, peniaga atau butiran lain digunakan; kumpulan kecil digabung atau tidak diterbitkan, pelepasan yang dituntut terlalu sedikit orang disembunyikan, dan angka dibundarkan. Agregat disimpan tanpa pengenal pengguna, tidak disalin ke sandaran harian dan dibuang sendiri selepas beberapa tahun taksiran. Anda boleh tarik diri bila-bila masa; data anda keluar daripada pengiraan seterusnya.

Rekod dengan suara. Bila anda menekan 🎤 dalam borang belanja tanpa resit, pertuturan anda ditukar kepada teks oleh pelayar anda sendiri — sesetengah pelayar menghantar audio itu kepada perkhidmatan pengecaman suara pembuat pelayar untuk ditukar. ListBelanja tidak menerima, merakam atau menyimpan audio; hanya teks yang anda semak dan simpan menjadi rekod belanja. Mikrofon hanya digunakan selepas anda menekan 🎤 dan membenarkannya, dan berhenti bila anda berhenti bercakap, menekan sekali lagi, menyimpan atau membatalkan borang.

Harga barang. Harga setiap barang, barang yang naik harga dan kedai paling murah dikira dalam peranti anda daripada item resit yang sudah disimpan untuk kumpulan yang anda boleh lihat. Tiada data baharu dikumpul dan tiada harga dihantar atau dikongsi ke mana-mana.

3. Siapa boleh melihat data anda

Anda: resit, belanja dan rekod yang anda masukkan.
Satu akaun, banyak ruang: setiap kumpulan yang anda sertai atau cipta (keluarga, syarikat, persatuan, klien) ialah ruang berasingan. Orang dalam sesuatu ruang hanya melihat rekod ruang itu — bukan ruang lain anda.
Admin kumpulan anda: semua resit dalam kumpulan, kerana dia menguruskan pemfailan untuk kumpulan. Ahli lain hanya melihat resitnya sendiri, kecuali admin memberi kebenaran "Lihat resit semua orang".
Penyemak, pelulus & pembayar tuntutan (cth. Bendahari, Pengurus kewangan) yang diberi kebenaran oleh admin: tuntutan perbelanjaan yang dihantar untuk keputusan mereka, termasuk gambar resit tuntutan itu. Jawatan yang turut diberi "Lihat resit semua orang" (lalai bagi jawatan seperti pasangan, Bendahari dan Pengurus kewangan — admin boleh mematikannya) melihat semua resit kumpulan.
Juruaudit atau akauntan yang dijemput admin: rekod yang sudah difail atau dikunci, dan rekod tahun yang ditutup oleh organisasi, baca sahaja. Dalam ruang keluarga, peribadi, perniagaan, amalan profesional atau sewa, mereka juga boleh membuka profil cukai admin (pembayar cukai ruang itu), baca sahaja.
Penyata gaji, analisis gaji dan salinan fail dokumen anda: hanya anda — tidak kepada ahli kumpulan, admin, juruaudit atau akauntan yang dijemput (lihat Penyata gaji, Borang EA/EC & fail dokumen anda).
Akaun wang, pindahan, rancangan & hutang kawan anda: hanya anda. Rekod yang anda tanda Kongsi boleh dibaca (tidak diubah) oleh admin kumpulan anda sendiri; akaun wang berkongsi juga boleh dibaca oleh juruaudit kumpulan itu. Ahli lain dan ruang lain tidak melihatnya.
Data cukai penuh anda (gaji & Borang EA, PCB, keluarga, pelepasan dan zakat) tidak dibuka kepada admin atau juruaudit lain kecuali anda menghidupkan "Benarkan admin & juruaudit membuka profil cukai penuh saya" (lalai: mati). Pengoptimum cukai keluarga hanya memaparkan cukai dikenakan, PCB dibayar dan baki/pulangan anda (bukan pendapatan) kepada admin, dan anda boleh menarik diri. Dalam ruang organisasi, cukai peribadi kakitangan & AJK tidak dibuka kepada sesiapa.
Pemilik platform: hanya statistik agregat (bilangan kumpulan, penggunaan). Dia tidak boleh membaca resit mana-mana kumpulan melalui app — tiada skrin atau muat turun untuk itu, dan pangkalan data menolaknya. Sandaran harian disimpan untuk pemulihan bencana sahaja dan tidak boleh dibuka melalui app.
Pembekal infrastruktur (di bawah) memproses data bagi pihak kami dan terikat dengan syarat pemprosesan data mereka.

Kami tidak berkongsi data dengan pengiklan, broker data, atau LHDN — kecuali dokumen e-Invois yang anda sendiri hantar ke sistem MyInvois LHDN melalui app (lihat Perniagaan & e-Invois). Kami hanya mendedahkan data jika dikehendaki oleh undang-undang Malaysia, dan akan memaklumkan anda kecuali dilarang.

4. Di mana data disimpan

Pangkalan data: pembekal pangkalan data awan, rantau Asia Tenggara.
Gambar & dokumen: storan objek awan, dengan pautan paparan yang tamat sendiri.
Aplikasi: rangkaian penyampaian awan global.
Bacaan AI: pembekal perkhidmatan AI (Amerika Syarikat).
Bacaan AI sandaran: rangkaian penyampaian awan global yang sama seperti aplikasi.

Data boleh dipindahkan dan diproses di luar Malaysia oleh pembekal ini. Pemindahan itu dibuat mengikut seksyen 129 Akta Perlindungan Data Peribadi 2010 (seperti dipinda): ia perlu untuk menyediakan perkhidmatan yang anda minta, anda bersetuju dengannya dengan menggunakan perkhidmatan, dan setiap pembekal terikat dengan terma perkhidmatan dan syarat keselamatannya (bagi pembekal AI pada peringkat percuma, lihat bahagian 2).

5. Keselamatan

Sesi disimpan dalam kuki tersulit yang tidak boleh dibaca oleh skrip (HttpOnly, Secure).
Setiap baris data ditanda dengan kumpulannya, dan pangkalan data menolak sebarang capaian silang kumpulan (Row Level Security).
Kata laluan minimum 12 aksara; pautan jemputan sekali guna dan luput dalam 7 hari.
Sandaran pangkalan data bulanan disulitkan.
Tiada data akaun disimpan kekal dalam peranti anda. Pengecualian: salinan terkini data yang app paparkan (senarai resit, belanja, senarai beli, tetapan dan jadual LHDN) disimpan dalam storan pelayar peranti ini supaya app dibuka serta-merta dan disegarkan di latar — ia dipadam sendiri bila anda log keluar atau sesi anda ditolak; resit yang diimbas ketika tiada talian disimpan sementara dalam peranti dan dipadam sebaik sahaja dimuat naik; senarai "cuba dahulu" untuk pelawat tanpa akaun dipadam sebaik sahaja dipindahkan ke akaun; dan beberapa bendera teknikal tanpa maklumat peribadi (pilihan bahasa sebelum log masuk, petunjuk sesi, app dipasang, notifikasi telefon dihidupkan pada peranti ini).
Pendaftaran dan pemulihan kata laluan boleh disemak oleh perkhidmatan anti-bot pihak ketiga (tanpa CAPTCHA): pembekal itu memproses isyarat teknikal pelayar untuk tujuan keselamatan sahaja, bukan untuk iklan.
Kata laluan baharu disemak terhadap senarai kebocoran awam (HaveIBeenPwned) secara k-anonymity: hanya 5 aksara pertama cincangan kata laluan dihantar — kata laluan anda tidak pernah meninggalkan pelayan kami.
Setiap fail yang dimuat naik disemak di pelayan: kandungannya mesti benar-benar PDF atau gambar yang sepadan dengan jenisnya — fail HTML, skrip, SVG atau arkib yang menyamar ditolak, dan saiz serta bilangan muat naik dihadkan. Fail dilayan dengan pengepala yang menghalang pelayar menjalankan kandungannya, dan pautan paparan tamat sendiri.
Pemberitahuan pelanggaran data. Jika berlaku pelanggaran data peribadi, kami memaklumkan Pesuruhjaya Perlindungan Data Peribadi dan anda (jika anda terjejas) mengikut seksyen 12B Akta Perlindungan Data Peribadi 2010 dan garis panduan Pesuruhjaya, dalam tempoh yang ditetapkan di dalamnya — melalui notis dalam app dan e-mel ke alamat akaun anda — dengan penerangan tentang apa yang berlaku, data yang terlibat dan langkah yang boleh anda ambil. Setiap insiden direkod dalam daftar pelanggaran kami. Rujukan rasmi: pdp.gov.my.

6. Berapa lama kami simpan

Setiap tempoh di bawah dijalankan secara automatik oleh pembersihan harian app; tiada sesiapa menyemak akaun anda secara manual.

Butiran resit dan rekod cukai (kedai, tarikh, jumlah, kategori, pelepasan) disimpan selagi akaun anda wujud — kami tidak memadamnya secara automatik.
Gambar resit, pelan Percuma: disimpan sepanjang tempoh simpan rekod yang dikehendaki LHDN (kini 7 tahun), dikira dari akhir tahun borang cukai dikemukakan; kemudian gambar dibuang dan butirannya kekal. Pelan berbayar: gambar disimpan selagi pelan aktif, dan selepas pelan tamat sekurang-kurangnya tempoh yang sama dikira dari tarikh tamat.
Kumpulan Percuma yang tidak digunakan: selepas 34 bulan tanpa log masuk, admin kumpulan menerima notis e-mel; gambar resit dibuang paling awal selepas 36 bulan tanpa log masuk dan sekurang-kurangnya 60 hari selepas notis itu (log masuk membatalkannya); butiran resit kekal. Lihat Terma, bahagian 4.
Resit yang anda padam disimpan dalam tong sampah 30 hari, kemudian dipadam kekal.
Resit melalui e-mel yang belum diproses dipadam selepas 30 hari.
Salinan Borang EA yang anda imbas disimpan dalam storan dokumen bersama rekod cukai tahun itu (bukti untuk pek audit) selagi EA itu ada dalam Data cukai, dan dipadam bila anda membuang EA itu.
Penyata gaji (angka) disimpan selagi akaun anda wujud atau sehingga anda memadam bulan itu. Salinan fail penyata gaji dan Borang EA/EC disimpan hanya jika anda memilihnya, dan dipadam bila anda memadam salinan itu, bulan atau Borang EA itu, atau akaun anda.
Akaun wang, pindahan, matlamat, pinjaman, hutang kawan, produk & stok disimpan selagi akaun anda wujud atau sehingga anda memadamnya, dan dipadam bersama akaun anda.
Token Pintasan, sambungan pembantu AI & pautan kalendar kekal sehingga anda membatalkannya, dan dipadam bersama akaun anda.
Resit Telegram yang menunggu pilihan kumpulan dan peti keluar notifikasi aktiviti ialah data sementara — kedua-duanya dipadam sendiri selepas tempoh yang singkat.
Rekod organisasi: resit, belanja dan tuntutan yang anda masukkan ke dalam ruang organisasi (syarikat, persatuan, firma, perniagaan, amalan profesional, sewa), serta tuntutan yang sudah diluluskan atau dibayar dan resit tahun berkunci dalam mana-mana kumpulan, kekal dengan kumpulan itu (diserahkan kepada adminnya) apabila anda meninggalkannya, dikeluarkan atau memadam akaun.
Bila kumpulan ditutup, semua ahli kumpulan itu dinyahaktifkan serta-merta (tiada sesiapa boleh log masuk ke kumpulan itu lagi) dan semua data kumpulan itu — resit, gambar, rekod cukai dan akaun — dipadam kekal selepas 30 hari. Ahli yang masih aktif di ruang lain mengekalkan akaun dan ruang itu (dia menerima kumpulan peribadi baharu). Sebelum itu, kumpulan boleh dibuka semula atas permintaan melalui sokongan@listbelanja.com; eksport data anda sebelum menutup. Rekod bayaran dikekalkan untuk perakaunan (lihat Pemprosesan pembayaran), dan salinan dalam sandaran hilang apabila tempoh sandaran tamat (lihat Sandaran).

7. Hak anda di bawah PDPA (termasuk padam akaun)

Akses & salinan: Lagi → Data & pemulihan → Data saya menyenaraikan setiap jenis data yang disimpan tentang anda, siapa boleh melihatnya dan berapa lama ia disimpan; Muat turun sandaran (JSON) memberi salinannya, dan pek audit ZIP memberi resit bersama gambar.
Pembetulan: sunting mana-mana rekod dalam aplikasi bila-bila masa.
Kemudahalihan data: muat turun sandaran JSON (di atas) ialah salinan data anda dalam format yang boleh dibaca mesin, yang boleh anda berikan kepada pihak lain. Anda juga boleh meminta kami menghantar data anda terus kepada pengawal data lain pilihan anda melalui Bantuan & maklum balas atau e-mel di bawah; ia dilaksanakan mengikut seksyen 43A Akta Perlindungan Data Peribadi 2010, setakat yang boleh dilaksanakan secara teknikal dan format data serasi.
Tarik balik persetujuan / pemadaman: mana-mana pengguna boleh memadam data dan akaunnya sendiri dalam Lagi → Data & pemulihan → Padam data saya. Ia berlaku serta-merta, dalam aplikasi, tanpa e-mel atau borang. Salinan fail dokumen anda (Borang EA/EC, penyata gaji, dokumen pendapatan) turut dipadam, kecuali yang masih dirujuk oleh rekod organisasi yang kekal dengan kumpulannya. Admin kumpulan pula boleh menutup seluruh kumpulan (Tutup kumpulan). Pengecualian: resit tahun yang sudah dikunci (difail kepada LHDN) dan tuntutan yang sudah diluluskan atau dibayar dipindahkan kepada admin kumpulan anda dan bukan dipadam, kerana undang-undang menghendaki rekod cukai disimpan dan ia rekod kewangan kumpulan; dalam ruang organisasi, rekod yang anda masukkan kekal dengan organisasi itu. Anda dimaklumkan tentang ini sebelum mengesahkan.
Had pemprosesan: anda boleh berhenti menggunakan ciri AI dan menambah resit secara manual.
Aduan: hubungi kami dahulu; anda juga berhak membuat aduan kepada Pesuruhjaya Perlindungan Data Peribadi Malaysia.
Hubungi kami: sokongan@listbelanja.com — untuk permintaan data, aduan atau soalan privasi.
Pegawai perlindungan data: permintaan, pertanyaan dan aduan perlindungan data diuruskan oleh pengendali ListBelanja melalui saluran di atas. Apabila pelantikan Pegawai Perlindungan Data dikehendaki di bawah seksyen 12A Akta, pegawai itu dilantik dan dihubungi melalui saluran yang sama.

8. Kuki

Kami hanya menggunakan satu kuki yang perlu: sesi log masuk anda. Tiada kuki penjejakan atau analitik pihak ketiga.

9. Kanak-kanak

Akaun dibuka oleh orang dewasa. Ahli di bawah 18 tahun hanya boleh dijemput oleh admin kumpulan yang bertanggungjawab terhadap mereka, dan datanya dikawal oleh admin itu.

10. Perubahan

Kami akan memaklumkan perubahan penting kepada dasar ini dalam aplikasi — kad di skrin Utama bersama ringkasan perubahan — sekurang-kurangnya 14 hari sebelum berkuat kuasa. Setiap versi, termasuk perubahan kecil, direkod dalam Sejarah perubahan di bawah.

11. Hubungi kami

Soalan, aduan atau permintaan berkaitan data anda: Lagi → Bantuan & maklum balas dalam app — status dan balasan kami dipaparkan di situ. Pemadaman tidak memerlukan permintaan: Lagi → Data & pemulihan → Padam data saya berkuat kuasa serta-merta — butiran di Hak anda di bawah PDPA.

Penyata gaji, Borang EA/EC & fail dokumen anda

Ringkasnya. Fail yang anda muat naik hanya boleh dilihat dan digunakan oleh anda. Ia dibaca dalam peranti anda bila boleh; yang disimpan hanyalah angka yang anda sahkan. Salinan fail disimpan hanya jika anda memilihnya, dan boleh dipadam bila-bila masa.

Dibaca dalam peranti anda. Penyata gaji bulanan dan Borang EA/EC berbentuk PDF digital (cth. yang dijana sistem gaji majikan atau penyata gaji kerajaan) dibaca terus dalam pelayar anda — fail itu tidak dihantar kepada AI dan tidak menggunakan kuota imbasan anda. Fail yang bukan penyata gaji atau borang ditolak tanpa dihantar kepada AI.
Apa yang disimpan. Hanya angka yang anda semak dan sahkan — bagi penyata gaji: bulan, nama majikan, pendapatan kasar, potongan, gaji bersih, pendapatan bercukai, serta nama dan amaun setiap baris pendapatan & potongan; bagi Borang EA/EC: angka yang dimasukkan ke Data cukai (bahagian 1). Sesetengah baris potongan, seperti zakat, boleh mendedahkan kepercayaan agama — data peribadi sensitif — dan ia disimpan hanya kerana ia tercetak pada penyata yang anda pilih untuk simpan, semata-mata untuk analisis anda.
Apa yang tidak disimpan. Nombor kad pengenalan, nombor akaun bank, nombor KWSP/PERKESO, nombor gaji atau kakitangan dan nombor cukai (TIN) pada dokumen dikesan hanya untuk diabaikan. Nama pada dokumen hanya dibandingkan dengan nama akaun anda untuk memberi amaran jika dokumen itu mungkin milik orang lain; nama itu tidak disimpan.
Siapa boleh melihat. Hanya anda. Penyata gaji dan analisisnya tidak kelihatan kepada ahli kumpulan, admin, juruaudit atau akauntan yang dijemput. Angka Borang EA/EC dalam Data cukai mengikut peraturan profil cukai di bahagian 3 (dibuka kepada admin & juruaudit hanya dengan kebenaran anda). Salinan fail dokumen yang anda muat naik hanya boleh dibuka oleh anda; pemilik platform tidak boleh membukanya melalui app, dan ia tidak didedahkan kepada sesiapa kecuali jika dikehendaki undang-undang Malaysia (bahagian 3).
Salinan fail ialah pilihan. Setiap aliran muat naik mempunyai kotak semak untuk menyimpan salinan fail; jika tidak ditanda, fail tidak dimuat naik langsung. Lalainya boleh ditukar dalam Lagi → Privasi: penyata gaji — tiada salinan; Borang EA/EC — salinan disimpan sebagai bukti cukai sepanjang tempoh simpan rekod LHDN (kini 7 tahun). Anda boleh memadam salinan bila-bila masa — angka yang sudah disahkan kekal.
Bacaan AI hanya atas pilihan anda. Jika dokumen tidak dapat dibaca dalam peranti (cth. gambar atau PDF imbasan), tiada apa-apa dihantar kepada AI secara automatik. Anda boleh mengisi angka sendiri, atau menekan butang bacaan AI: dokumen itu kemudian dihantar kepada pembaca AI yang sama seperti imbasan resit (bahagian 2) dan menggunakan satu imbasan daripada kuota anda. Bila dokumen dihantar sebagai teks, nombor kad pengenalan, nombor cukai, nombor akaun, nombor KWSP/PERKESO, nombor gaji, e-mel dan nombor telefon disembunyikan sebelum dihantar; gambar dihantar seperti adanya.
Imbas pukal Borang EA (firma, HR & akauntan). Borang yang diimbas secara pukal dibaca AI satu demi satu; ia tidak dimuat naik ke storan akaun, dan bacaannya disimpan dalam tab pelayar itu sahaja sehingga tab ditutup atau dikosongkan. Pengguna yang mengimbas borang orang lain mesti dibenarkan berbuat demikian (lihat Terma: Dokumen yang anda muat naik).

Peti dokumen tersulit. fail & nota yang anda masukkan disulitkan dalam peranti anda dengan kunci daripada frasa laluan anda sebelum dimuat naik; kami hanya menyimpan bait tersulit dan tidak boleh membacanya. Frasa laluan & kod pemulihan tidak pernah dihantar kepada kami. Jenis dokumen, label pendek & tarikh luput disimpan tanpa disulitkan (dalam tetapan akaun anda) supaya peringatan berfungsi. Fail tersulit dipadam bila anda memadamnya atau memadam akaun.

Wang, akaun & rancangan

Akaun & baki. Akaun yang anda cipta (tunai, bank, kad kredit, e-dompet, simpanan, pinjaman) menyimpan nama, jenis, mata wang, baki pembukaan dan tarikhnya, had kredit dan hari penyata yang anda isi. ListBelanja tidak meminta atau menyimpan nombor akaun bank atau kad, dan tidak menyambung ke bank anda — baki dikira daripada rekod yang anda masukkan.
Pindahan, matlamat & pinjaman. Pindahan antara akaun sendiri, matlamat simpanan, serta pinjaman & BNPL (pemberi, jumlah, kadar dan ansuran yang anda isi) disimpan untuk baki, jadual bayaran dan anggaran — semuanya anggaran, bukan nasihat kewangan.
Hutang kawan & bahagi bil. Hanya nama orang yang anda taip, amaun dan sejarah bayaran — tiada nombor telefon, e-mel atau data hubungan lain, dan tiada pautan awam. Anda berkongsi baki melalui mesej yang anda salin sendiri.
Langganan, bil, kenderaan & bantuan. Langganan dan bil, butiran kenderaan (cth. jenis dan tarikh tamat cukai jalan atau insurans) dan maklumat yang anda isi untuk anggaran bantuan kerajaan disimpan dalam tetapan akaun anda. Anggaran dikira dalam app daripada jadual rasmi yang diterbitkan; ListBelanja tidak berhubung dengan sistem kerajaan dan tidak menyimpan nombor kad pengenalan.
Kalendar wang. Jika anda mencipta pautan kalendar peribadi, hanya cincangan tokennya disimpan; pautan boleh dibatal dan diganti bila-bila masa.
Siapa nampak & berapa lama. Hanya anda — kecuali rekod yang anda tanda Kongsi (bahagian 3). Disimpan selagi akaun anda wujud atau sehingga anda memadamnya; dipadam bersama akaun anda.

Suapan kalendar wang (pilihan). jika anda menghidupkan “Sertakan fasa STR & luput SARA”, tajuk dan tarikh fasa STR yang diumumkan serta tarikh luput baki SARA turut dihantar kepada app kalendar yang melanggan pautan peribadi anda — tiada amaun, tiada resit. Lalai mati dan boleh dimatikan bila-bila masa.

Elaun anak & duit raya. nama panggilan anak (tanpa nombor pengenalan atau tarikh lahir), elaun, tabung & rekod duit raya / ang pao disimpan dalam tetapan akaun anda sahaja — ahli lain kumpulan tidak melihatnya.

Buku kumpulan & komen. buku belanja berkumpulan menyimpan nama buku, ahli (pengguna app atau nama tetamu sahaja — tiada nombor telefon atau e-mel), belanja berkongsi, siapa membayar, bahagian setiap ahli, kadar mata wang dan penyelesaian; ia dilihat oleh admin dan ahli ruang itu sahaja (juruaudit tidak). Komen pada rekod dilihat oleh sesiapa yang boleh melihat rekod itu; @sebutan menghantar notifikasi tanpa teks komen. Bila anda memadam akaun, komen anda dipadam bersama, manakala nama anda dalam buku kekal sebagai baris bernama supaya baki ahli lain tidak berubah.

Bil yang diimbas & ringkasan mingguan. bila anda mengimbas atau menaip bil belum bayar, nama pembekal, amaun, tarikh akhir dan nombor akaun bil atau rujukan JomPAY yang tertera disimpan bersama langganan & bil dalam tetapan akaun anda, untuk peringatan dan bayaran — ini bukan nombor akaun bank atau kad. Ringkasan mingguan melalui e-mel atau notifikasi hanya dihantar jika anda menghidupkannya, dan dikira daripada rekod anda sendiri.

Perniagaan & e-Invois

Rekod perniagaan. Sumber pendapatan, wang masuk & keluar, aset, bayaran cukai, invois, sebut harga & nota kredit, butiran pelanggan yang anda isi, produk dan pergerakan stok disimpan untuk Borang B, invois dan laporan. Admin kumpulan dan ahli yang diberi kebenaran rekod perniagaan melihat rekod perniagaan kumpulan; juruaudit membaca sahaja.
MyInvois (pilihan). Jika anda menyambungkan MyInvois LHDN, Client ID & Client Secret anda disimpan tersulit dengan kunci pelayan dan tidak pernah dihantar semula ke pelayar. Dokumen e-Invois (butiran penjual, pembeli, item dan cukai) dihantar ke MyInvois hanya bila anda menekan Hantar, dan seterusnya diproses LHDN di bawah undang-undang cukai. Anda boleh memutuskan sambungan bila-bila masa.
Rekod perniagaan disimpan selagi akaun wujud, kekal dengan kumpulan organisasi bila anda keluar (bahagian 6), dan dipadam bersama akaun atau kumpulan.

Sijil digital MyInvois. jika anda memuatkan fail sijil digital (.p12/.pfx) untuk menandatangani e-Invois, fail dan kata laluannya dibuka dalam pelayar anda sahaja. Kunci peribadi tidak pernah dihantar ke pelayan kami dan tidak disimpan — ia kekal dalam memori sesi dan dibuang bila anda log keluar, skrin dikunci, halaman ditutup atau selepas tempoh tidak aktif. Kami menyimpan hanya maklumat awam sijil (nama pemilik, penerbit, nombor siri, tarikh sah dan cap jari) dalam tetapan anda untuk paparan dan peringatan tarikh luput; anda boleh memadamnya bila-bila masa (“Lupakan maklumat sijil”). Dokumen yang ditandatangani dihantar ke MyInvois hanya apabila anda memilih untuk menghantarnya, dengan kelayakan MyInvois anda sendiri.

Laporan keadaan sewa. nama penyewa, keadaan bilik & item, nota, bacaan meter, gambar & nama pengesahan yang anda rekod disimpan dalam tetapan akaun anda & storan dokumen anda; anda bertanggungjawab memaklumkan penyewa bahawa laporan & gambar ini disimpan.

Wang runcit, perjalanan, pekerja & pelanggan. wang runcit, baucar, pra-kelulusan perjalanan dan pendahuluan menyimpan tajuk, amaun, tarikh, penerima, projek, resit yang dipaut dan siapa menyemak, meluluskan atau merekod bayaran; ia dilihat oleh pemohon, penyemak, pelulus dan pembayar tuntutan ruang itu, admin, dan juruaudit (baca sahaja). Gaji & cuti pekerja (nama, jawatan, bulan lahir dan mula kerja, gaji, elaun, status perkahwinan, bilangan anak, cuti — tanpa nombor kad pengenalan), penyata akaun pelanggan, tahap harga, medan tersuai dan butiran pembekal e-Invois kendiri disimpan dalam tetapan akaun anda; nombor MyKad pembekal tidak disimpan.

Fail PDF, penyata bank & fail yang tidak lagi dirujuk. Fail PDF invois dan resit pelanggan dijana dalam peranti anda dan hanya meninggalkan peranti bila anda sendiri berkongsi atau menghantarnya — kami tidak menghantar e-mel kepada pelanggan anda. Penyata bank yang diimport untuk wang masuk organisasi dibaca dalam peranti; hanya baris kredit yang anda pilih disimpan sebagai rekod wang masuk, dan nombor akaun atau kad yang panjang dalam keterangan disamarkan sebelum disimpan. Fail lampiran rekod perniagaan yang tidak lagi dirujuk oleh mana-mana rekod dipadam oleh pembersihan harian automatik selepas tempoh selamat yang sama dengan tempoh sandaran.

Peranti, sambungan & mod cuba

Kunci peranti. Wajah, cap jari atau PIN disahkan oleh peranti anda sendiri — ListBelanja tidak pernah menerima atau menyimpan data biometrik. Yang disimpan dalam tetapan akaun hanyalah pengenal kelayakan rawak, jenis pelayar, keluarga peranti dan tarikh didaftar, supaya app tahu peranti mana yang dikunci. Buang peranti bila-bila masa dalam Lagi.
Mod privasi. "Sembunyikan amaun" hanya menukar paparan pada skrin anda; tetapannya disimpan dalam akaun anda.
Mod cuba tanpa akaun. Senarai beli dan belanja tunai yang anda buat semasa mencuba kekal dalam storan pelayar peranti itu sahaja — tiada apa-apa dihantar ke pelayan kami — dan dipindahkan ke akaun hanya jika anda mendaftar atau log masuk.
Kad kongsi & surat waris. Kad untuk media sosial dan surat waris dijana dalam peranti anda; ia hanya meninggalkan peranti bila anda sendiri berkongsi, mencetak atau menyimpannya.
Pintasan & sambungan. Token Pintasan telefon dan sambungan pembantu AI anda disimpan sebagai cincangan, boleh dibatalkan bila-bila masa, dan dipadam bersama akaun anda (lihat bahagian 2 dan Resit melalui e-mel).

Log perjalanan GPS. lokasi dibaca hanya selepas anda menekan Mula & hanya semasa app dibuka; koordinat kekal dalam memori peranti dan dibuang bila perjalanan tamat — hanya jumlah km yang anda simpan sebagai tuntutan perbatuan.

Gambar profil & pengesahan dua langkah (pilihan). gambar profil dipotong dan dikecilkan dalam peranti anda, kemudian disimpan dalam tetapan akaun. Jika anda menghidupkan pengesahan dua langkah, rahsia apl pengesah disimpan dan disahkan oleh perkhidmatan log masuk kami; kami hanya menyimpan cincangan bergaram bagi kod pemulihan sekali guna — kod itu tidak boleh dibaca semula, tidak disalin ke sandaran harian dan dipadam bersama akaun anda.

App Android ListBelanja (pilihan). App Android ListBelanja memaparkan laman ini di dalamnya melalui enjin pelayar telefon anda (pelayar lalai yang menyokong paparan laman dipercayai): Dasar Privasi ini terpakai sepenuhnya, log masuk dan storan laman dikongsi dengan pelayar itu, dan tiada data tambahan dikumpul oleh app. Kemas kini app dimuat turun daripada listbelanja.com sahaja dan cap jarinya disahkan sebelum dipasang. Untuk mencadangkan app bank dan e-dompet, app menyemak nama pakej app yang terpasang berbanding senarai yang disertakan di dalam telefon sahaja — senarai app anda tidak pernah dihantar. Tangkapan notifikasi adalah pilihan dan mati sehingga anda menghidupkannya: jika anda memberinya akses pemberitahuan, ia membaca notifikasi daripada app bank dan e-dompet yang anda tanda sahaja, dalam telefon anda. Notifikasi yang mengandungi kod OTP/TAC tidak pernah dihantar; nombor kad dan akaun yang panjang ditopeng sebelum dihantar; hanya nama app, tajuk dan teks notifikasi transaksi dihantar ke akaun ListBelanja anda melalui token peranti yang boleh dibatal. Pelayan tidak merekod promosi, had, baki atau tambah nilai. App tidak meminta kebenaran SMS, kenalan atau lokasi, dan token tidak disalin ke sandaran awan telefon.

Dua binaan, satu app Android. ListBelanja untuk Android ialah app yang sama (nama pakej dan tandatangan yang sama) dalam dua binaan. (1) APK dari listbelanja.com — tidak membaca pemberitahuan, SMS atau skrin anda dan tidak meminta akses pemberitahuan; kemas kininya dimuat turun dari listbelanja.com dan disahkan sebelum dipasang. (2) ListBelanja dari kedai app rasmi Android — membawa tangkapan notifikasi pilihan seperti di atas: sebelum skrin akses pemberitahuan dibuka, app memaparkan pendedahan dalam app yang menerangkan apa yang dibaca (notifikasi app bank dan e-dompet yang anda tanda sahaja), kenapa (merekod bayaran dan wang masuk dalam Perlu semak), apa yang dihantar (tajuk dan teks notifikasi transaksi selepas ditapis dalam telefon, nama app dan masa, melalui HTTPS bersama token peranti anda — ListBelanja merekod amaun, pedagang atau penerima dan tarikh daripadanya) dan bahawa kod OTP/TAC dibuang dalam telefon. Tiada notifikasi dibaca sehingga anda menekan Terima; anda boleh menolak, atau mematikan akses bila-bila masa dalam tetapan telefon. Kemas kini binaan kedai app diurus oleh kedai app rasmi Android. Data anda tidak dijual dan tidak dikongsi untuk iklan. Status penyenaraian dalam kedai app disemak secara automatik daripada halaman awam penyenaraian — tiada data pengguna terlibat.

E-mel kepada sokongan

Bila anda menghantar e-mel ke sokongan@listbelanja.com, kami menyimpan alamat e-mel, nama paparan, subjek, mesej dan lampiran anda dalam peti sokongan kami supaya kami boleh membalas dan merujuk perbualan itu. E-mel ini tidak dipautkan secara automatik kepada akaun app anda. E-mel yang ditanda sampah dipadam sendiri; perbualan lain disimpan sehingga anda meminta ia dipadam — balas e-mel itu atau hubungi kami (bahagian 7).

Pemprosesan pembayaran

Bayaran langganan diproses oleh pemproses pembayaran berlesen (pematuhan PCI DSS). ListBelanja menerima daripada pemproses itu hanya maklumat yang diperlukan untuk mengurus langganan anda (pengenal pelanggan, status langganan, jumlah dan tarikh bayaran, serta empat digit terakhir kad jika dipaparkan oleh pemproses). Nombor kad penuh dan kod CVC tidak pernah dihantar kepada atau disimpan oleh ListBelanja. Rekod bayaran disimpan sekurang-kurangnya sepanjang tempoh simpan rekod LHDN (kini 7 tahun) untuk keperluan perakaunan dan cukai; rekod teknikal acara pembayaran dipadam selepas 12 bulan.

Maklum balas

Apabila anda menghantar maklum balas dalam app, kami menyimpan mesej anda, jenisnya, dan maklumat teknikal (skrin semasa, bahasa, jenis peranti dan pelayar, sama ada app dipasang). Tiada kandungan resit dilampirkan. E-mel anda disimpan bersama laporan hanya jika anda menanda "benarkan pemilik menghubungi saya". Maklum balas digunakan untuk membaiki perkhidmatan, dipadam serta-merta jika anda memadam akaun, dan dipadam kekal 24 bulan selepas ia selesai atau ditutup.

Penilaian ListBelanja

Anda boleh menilai ListBelanja (1 hingga 5 bintang, komen pilihan) dalam Tetapan. Kami menyimpan bintang, komen, bahasa dan tarikh bersama akaun anda — satu penilaian setiap pengguna, boleh diubah atau dibuang pada bila-bila masa. Purata semua penilaian dan bilangannya dipaparkan di halaman awam ListBelanja dan dalam data berstruktur untuk enjin carian (sebagai penilaian pengguna sebenar, tanpa nama). Komen anda dipaparkan secara awam hanya jika anda menanda "benarkan komen saya dipaparkan" — dengan nama pertama anda sahaja, dan komen yang mengandungi e-mel, nombor telefon atau pautan ditolak. Pemilik platform boleh menyembunyikan komen awam yang menyalahgunakan ciri ini (spam, pautan, kandungan menyinggung) atau memadam penilaian daripada akaun palsu — teks anda tidak pernah disunting, dan setiap tindakan itu direkod. Penilaian dipadam serta-merta bersama akaun anda.

Pasar & dapur

Lokasi. Bila anda menekan "Guna lokasi saya", pelayar meminta kebenaran anda. Koordinat dibundar kepada 2 titik perpuluhan (kira-kira 1 km) dalam peranti anda sebelum disimpan dalam tetapan akaun anda atau dihantar untuk mencari kedai berhampiran — lokasi tepat anda tidak pernah disimpan atau dihantar. Anda boleh memilih negeri dan daerah sahaja tanpa lokasi. Alat harga di halaman awam tidak menyimpan lokasi langsung.

Amaran harga, laporan & pengesahan. Amaran harga menyimpan barang, harga sasaran atau peratus turun, lokasi yang dibundar dan jarak carian bersama akaun anda; pelayan menyemaknya selepas data harga dikemas kini dan menghantar notifikasi. Laporan harga atau promosi yang anda hantar (kedai, barang, harga, tarikh promosi, nota pilihan, dan resit anda jika dikongsi daripada resit) serta pengesahan anda disimpan bersama akaun untuk had harian dan mencegah penyalahgunaan; pengguna lain hanya melihat harga, kedai, tarikh, status dan bilangan pengesahan — tidak pernah nama anda, dan resit anda kekal peribadi. Amaran, laporan dan pengesahan dipadam bersama akaun anda.

Imbas tanda harga & risalah. Bila anda mengimbas tanda harga rak atau risalah promosi untuk mengisi laporan, gambar itu dihantar terus kepada pembaca AI yang sama seperti imbasan resit untuk dibaca sahaja (nama barang, saiz, harga, harga biasa, tarikh tamat promosi dan nama kedai jika tertera) — gambar tidak disimpan oleh kami. Hasil bacaan hanya mengisi borang dalam peranti anda; tiada apa-apa dihantar sebagai laporan sehingga anda menyemaknya dan menekan "Hantar laporan". Setiap imbasan dikira dalam kuota imbasan AI kumpulan anda.

Pantri, menu & pilihan diet. Pantri dan menu mingguan ialah data kumpulan seperti senarai beli (ahli dengan kebenaran yang sama melihat dan mengubahnya) dan dipakai untuk peringatan barang hampir luput; ia dipadam mengikut peraturan kumpulan. Pilihan diet (jika dipilih) disimpan dalam tetapan anda dan hanya dipakai untuk menu dan cadangan barang ganti.

Kad ahli kedai. Nama kedai dan nombor kad ahli yang anda simpan digunakan untuk memaparkan kod bar kad itu di kaunter; kod bar dilukis dalam peranti anda dan tiada apa-apa dihantar kepada kedai. Nombor kad bayaran (kad debit/kredit) ditolak dan tidak disimpan. Kad dipadam bila anda membuangnya atau memadam akaun. Tanda harga yang anda imbas untuk menyemak caj resit (barang, harga, kedai dan tarikh) disimpan dalam tetapan akaun anda untuk tempoh singkat supaya app boleh membandingkannya dengan resit anda.

Kod bar & data rujukan. Gambar kod bar dibaca dalam peranti anda. Bila anda mencari kod bar, hanya nombornya dihantar oleh pelayan kami kepada pangkalan data produk terbuka Open Food Facts — tiada maklumat akaun atau lokasi anda — dan nama produk disimpan untuk carian seterusnya. Harga barang ialah data terbuka KPDN PriceCatcher (OpenDOSM); lokasi kedai dianggarkan daripada poskod (GeoNames) dan nama/alamat kedai melalui OpenStreetMap. Data rujukan ini tidak mengandungi data pengguna.

Senarai beli bernama & tugasan. Nama senarai, susunan, tanda lalai dan arkib disimpan bersama kumpulan anda dan dilihat oleh admin serta ahli kumpulan (bukan juruaudit). Bila barang diserahkan kepada ahli, nama kedai dan ahli itu disimpan pada barang. Bila ahli memadam akaun, senarai yang diciptanya diserahkan kepada admin kumpulan; memadam senarai memindahkan barangnya ke Senarai utama.

Sisa makanan. Setiap log sisa menyimpan nama makanan, kuantiti, sebab, nilai anggaran berserta sumbernya, tarikh, nota pilihan dan pautan kepada barang pantri atau resit, bersama kumpulan anda; admin dan ahli kumpulan boleh melihatnya, juruaudit tidak. Nilai dikira dalam peranti anda daripada resit anda dan data harga pasaran yang sudah dimuat — tiada data dihantar kepada pihak lain. Log dipadam bersama akaun atau kumpulan, atau bila anda memadamnya.

Kedai saya, menu & resepi. Kedai yang anda ikuti (kod dan nama kedai, hingga sepuluh), tetapan menu (bajet, bilangan orang, hidangan, masakan) dan Resepi saya (tajuk dan bahan sahaja — langkah tidak disimpan, hingga dua puluh) disimpan dalam tetapan akaun anda. Ringkasan mingguan Kedai saya menggunakan kod kedai tersebut untuk membaca harga awam KPDN; ia dihantar melalui e-mel atau notifikasi mengikut tetapan Peringatan anda. Menu yang disimpan ke Rancang makan dilihat oleh kumpulan anda. Teks resepi yang ditampal dihurai dalam peranti dan tidak dihantar kepada AI.

Kod bar & kad harga. Imbasan kod bar menghantar nombor kod bar sahaja (tanpa identiti anda) kepada pangkalan data produk terbuka; butiran produk disimpan dalam cache bersama. ListBelanja tidak menentukan status halal — pautan ke portal rasmi sahaja. Kad harga bercarta dilukis dalam peranti anda daripada harga awam, tanpa lokasi, kedai atau resit.

Hala tuju & cadangan ciri

Bila anda mencadangkan ciri, teks cadangan anda dan bahasanya disimpan bersama akaun anda. Pembaca AI latar (pembekal AI yang sama seperti imbasan) menyemaknya — spam, aduan atau pendua — dan menulis tajuk serta huraian ringkas dalam 3 bahasa; hanya tajuk, huraian, status dan bilangan undi dipaparkan dalam app dan di halaman awam Hala tuju — tidak pernah nama anda atau teks asal anda. Undi anda disimpan (satu setiap cadangan) untuk mengira jumlah dan memaklumkan anda bila cadangan itu dibina; senarai pengundi tidak pernah dipaparkan. Anda boleh menarik balik undi bila-bila masa. Bila akaun dipadam, undi anda dipadam dan cadangan anda kekal tanpa nama.

Laporan ralat automatik

Jika app menghadapi ralat teknikal, ia menghantar laporan tanpa pengenalan kepada kami: mesej ralat, skrin yang dibuka, versi app, bahasa, jenis pelayar dan sistem, sama ada dalam talian dan sama ada app dipasang. Tiada akaun, e-mel, kumpulan, alamat IP atau kandungan resit dalam laporan itu — ia tidak boleh dikaitkan dengan anda. Sebelum disimpan, pelayan turut membuang nombor pengenal, amaun, e-mel dan petikan teks daripada mesej ralat. Laporan dipadam selepas 30 hari.

Sandaran

Untuk melindungi data anda daripada kehilangan, salinan sandaran pangkalan data dibuat setiap hari (disimpan 14 hari dalam storan peribadi kami) dan setiap bulan (disulitkan, disimpan 90 hari). Kata laluan tidak pernah disandarkan. Data yang anda padam kekal dalam salinan sandaran lama sehingga tempoh simpanan itu tamat, kemudian hilang sepenuhnya; ia hanya digunakan untuk memulihkan perkhidmatan selepas kerosakan, tidak untuk tujuan lain.

Sejarah perubahan

Versi 1.26 · 8 November 2026 — Peranti: app Android ListBelanja kini dalam dua binaan, satu app — APK dari listbelanja.com tidak membaca pemberitahuan, SMS atau skrin; ListBelanja dari kedai app rasmi Android membawa tangkapan notifikasi pilihan dengan pendedahan dalam app (apa yang dibaca, kenapa, apa yang dihantar, OTP/TAC dibuang dalam telefon) dan tiada notifikasi dibaca sehingga anda menekan Terima. Kemas kini binaan kedai app diurus kedai app rasmi Android. Tiada data baharu dikumpul dan data tidak dijual.
Versi 1.25 · 7 November 2026 — Peranti: di iPhone, automasi Pintasan anda sendiri (iOS 27) boleh menghantar teks notifikasi app bank & e-dompet yang anda pilih ke ListBelanja dengan token peranti — pelayan mengambil amaun, nama peniaga dan tarikh sahaja; kod OTP/TAC dibuang dan tidak disimpan; gambar atau PDF resit yang dihantar Pintasan masuk ke peti resit anda seperti lampiran e-mel. Senarai app di telefon anda tidak pernah dibaca.
Versi 1.24 · 7 November 2026 — Peranti: app Android mencadangkan app bank & e-dompet dengan menyemak nama pakej app terpasang berbanding senarai di dalam telefon sahaja — senarai app anda tidak pernah dihantar; akses pemberitahuan kekal pilihan.
Versi 1.23 · 7 November 2026 — Peranti: app Android ListBelanja kini app penuh — laman ini dipaparkan di dalamnya melalui enjin pelayar telefon (log masuk dan storan dikongsi dengan pelayar itu; tiada data tambahan dikumpul); kemas kini app dimuat turun dari listbelanja.com sahaja dan cap jarinya disahkan; tangkapan notifikasi kekal pilihan dan mati sehingga dihidupkan.
Versi 1.22 · 7 November 2026 — Peranti: app Android ListBelanja Tangkap (pilihan) membaca notifikasi app bank dan e-dompet yang anda tanda sahaja, dalam telefon — kod OTP/TAC tidak pernah dihantar, nombor panjang ditopeng, promosi, had, baki dan tambah nilai tidak direkod; token boleh dibatal.
Versi 1.21 · 6 November 2026 — Wang: buku kumpulan & komen (ahli dengan nama sahaja, dilihat ahli ruang; @sebutan tanpa teks komen), bil yang diimbas (nombor akaun bil & rujukan JomPAY dalam tetapan) & ringkasan mingguan pilihan. Perniagaan: wang runcit & perjalanan, gaji & cuti pekerja tanpa nombor kad pengenalan, pembekal e-Invois kendiri tanpa MyKad. Peranti: gambar profil & pengesahan dua langkah (cincangan kod pemulihan sahaja).
Versi 1.20 · 30 Oktober 2026 — Bahagian 2: sejarah perubahan rekod (siapa mengubah apa & bila — dilihat hanya oleh yang boleh melihat rekod itu, tidak disalin ke sandaran harian, dipadam sendiri); perbandingan tanpa nama pilihan (agregat tanpa pengenal); pembantu AI dengan identiti web; kategori dipelajari & peraturan kategori anda. Bahagian baharu dalam 'Wang', 'Perniagaan & e-Invois', 'Fail dokumen', 'Peranti' & 'Pasar & dapur': fasa STR & luput SARA dalam suapan kalendar (pilihan), elaun anak & duit raya, sijil digital MyInvois (kunci peribadi tidak pernah meninggalkan peranti), laporan keadaan sewa, PDF invois & penyata bank diproses dalam peranti, peti dokumen tersulit dalam peranti, log perjalanan GPS (koordinat tidak disimpan), senarai beli bernama & tugasan, sisa makanan, Kedai saya, menu & resepi.
Versi 1.19 · 30 Oktober 2026 — Bahagian baharu 'Wang, akaun & rancangan' (akaun & baki tanpa nombor akaun bank atau kad, pindahan, matlamat, pinjaman, hutang kawan dengan nama sahaja, langganan, kenderaan & anggaran bantuan dalam tetapan), 'Perniagaan & e-Invois' (kelayakan MyInvois disimpan tersulit; e-Invois dihantar ke LHDN hanya bila anda menekan Hantar), 'Peranti, sambungan & mod cuba' (kunci peranti tanpa data biometrik, mod cuba dalam peranti sahaja) dan 'E-mel kepada sokongan'. Bahagian 2: pembantu AI anda sendiri (baca sahaja, token dicincang, boleh dibatal); Pusat Tangkap, catatan pantas & e-mel amaran bank (OTP/TAC dibuang); kad ahli kedai. Bahagian 3: rekod yang anda tanda Kongsi; e-Invois yang anda hantar ke MyInvois. Bahagian 7: Data saya menyenaraikan apa yang disimpan.
Versi 1.18 · 29 Oktober 2026 — Bahagian baharu 'Penyata gaji, Borang EA/EC & fail dokumen anda': dibaca dalam peranti bila boleh; hanya angka yang anda sahkan disimpan — nombor kad pengenalan, akaun bank, KWSP/PERKESO, nombor gaji & TIN diabaikan; penyata gaji & salinan fail hanya untuk anda; salinan fail pilihan & boleh dipadam selepas disahkan; bacaan AI hanya atas pilihan anda, dengan nombor pengenal disembunyikan dalam teks yang dihantar. Bahagian 2 & 4: pembaca AI sandaran pada rangkaian penyampaian awan (kandungan tidak digunakan untuk melatih model dan tidak disimpan); arahan dalam dokumen tidak diikut; pemindahan rentas sempadan mengikut seksyen 129. Bahagian 5: semakan kandungan fail di pelayan dan pemberitahuan pelanggaran data mengikut seksyen 12B. Bahagian 7: kemudahalihan data (seksyen 43A) dan pegawai perlindungan data; Padam data saya turut memadam salinan fail dokumen. Laporan ralat automatik kini ditapis daripada nombor, amaun & petikan teks.
Versi 1.17 · 24 Oktober 2026 — Bahagian 'Pasar & dapur': imbas tanda harga & risalah promosi (pilihan) — gambar dihantar kepada pembaca AI yang sama seperti imbasan resit untuk dibaca sahaja dan tidak disimpan; bacaan hanya mengisi borang laporan dalam peranti, tiada laporan dihantar sehingga anda menyemak dan menghantarnya; setiap imbasan dikira dalam kuota imbasan AI kumpulan.
Versi 1.16 · 24 Oktober 2026 — Bahagian baharu 'Pasar & dapur' (ciri pilihan): lokasi dibundar kira-kira 1 km dalam peranti sebelum disimpan atau dihantar, atau negeri & daerah sahaja; amaran harga, laporan & pengesahan harga disimpan bersama akaun dan dipaparkan kepada orang lain tanpa nama anda; pantri & menu ialah data kumpulan seperti senarai beli; pilihan diet hanya untuk menu & barang ganti; carian kod bar menghantar nombornya sahaja kepada pangkalan data produk terbuka; harga & lokasi kedai ialah data rujukan terbuka tanpa data pengguna. Bahagian baharu 'Hala tuju & cadangan ciri': teks cadangan disimpan bersama akaun dan disemak AI latar; hanya tajuk, huraian, status & bilangan undi dipaparkan (tidak pernah nama atau teks asal anda); undi disimpan untuk kiraan & makluman bila dibina.
Versi 1.15 · 24 Oktober 2026 — Penjelasan bahagian 5 (tiada perubahan pada data yang dikumpul, siapa yang boleh melihatnya atau hak anda): app menyimpan salinan terkini data yang dipaparkan (senarai resit, belanja, senarai beli, tetapan, jadual LHDN) dalam storan pelayar peranti anda sendiri supaya ia dibuka serta-merta dan disegarkan di latar; salinan itu dipadam sendiri bila anda log keluar atau sesi ditolak, dan tidak pernah dihantar ke mana-mana.
Versi 1.14 · diumumkan 17 Oktober 2026, berkuat kuasa 24 Oktober 2026 — Penjelasan (tiada perubahan pada hak anda): bahagian 1 kini menyenaraikan setiap data cukai yang anda isi dalam Data cukai — gaji & Borang EA (nama & nombor majikan, salinan fail EA), status keluarga, anak ikut kategori, status OKU (data berkaitan kesihatan, hanya jika anda menandakannya), pelepasan tanpa resit, zakat & derma dan pendapatan lain; sambungan Telegram (pengenal sembang, fail yang anda hantar, nama kumpulan anda pada butang pilihan, resit yang menunggu pilihan kumpulan); serta langganan notifikasi telefon dan peti keluar notifikasi aktiviti. Bahagian 6: salinan EA dipadam bila EA dibuang; resit Telegram yang menunggu dan peti keluar notifikasi dipadam sendiri.
Versi 1.13 · diumumkan 16 Oktober 2026, berkuat kuasa 24 Oktober 2026 — Penjelasan (tiada perubahan pada data yang dikumpul atau hak anda): pemilik platform tidak boleh membaca resit melalui app — muat turun sandaran penuh daripada app dibuang, sandaran harian untuk pemulihan bencana sahaja; jawatan dengan kebenaran 'Lihat resit semua orang' (lalai bagi pasangan, Bendahari & Pengurus kewangan, boleh dimatikan admin) melihat semua resit kumpulan; perkara yang disimpan dalam peranti kini disenaraikan tepat (resit imbasan luar talian sementara, bendera teknikal tanpa maklumat peribadi); rekod dengan suara: pertuturan ditukar kepada teks oleh pelayar anda, ListBelanja tidak menerima audio; harga barang dikira dalam peranti anda daripada item resit sedia ada.
Versi 1.12 perubahan penting · diumumkan 10 Oktober 2026, berkuat kuasa 24 Oktober 2026 — Satu akaun, banyak ruang: setiap kumpulan yang anda sertai atau cipta berasingan. Profil cukai penuh anda hanya dibuka kepada admin & juruaudit dengan persetujuan anda (lalai mati); akauntan/juruaudit yang dijemput boleh membuka profil cukai admin ruang peribadi/keluarga/perniagaan, baca sahaja. Pelulus & pembayar tuntutan melihat tuntutan yang diputuskan sahaja. Rekod organisasi dan tuntutan yang diluluskan/dibayar kekal dengan kumpulannya apabila anda keluar atau memadam akaun. Kiriman peti resit direkod bersama pengirimnya. Istilah 'isi rumah' digantikan dengan 'kumpulan'. baca versi lama
Versi 1.11 · 2 Oktober 2026 — Nama pembekal teknologi digantikan dengan kelas perkhidmatan (pembekal AI, pembekal pangkalan data & storan awan, rangkaian penyampaian, pemproses pembayaran berlesen, perkhidmatan e-mel, perkhidmatan anti-bot) — termasuk dalam sejarah ini. Tiada perubahan pada apa yang dikumpul, bagaimana ia diproses atau hak anda.
Versi 1.10 · 2 Oktober 2026 — Bahagian baharu 'Penilaian ListBelanja': bintang & komen pilihan disimpan bersama akaun (satu setiap pengguna, boleh dibuang); purata tanpa nama dipaparkan di halaman awam & data berstruktur; komen dipaparkan awam hanya dengan kebenaran anda (nama pertama sahaja); pemilik boleh menyembunyikan komen yang menyalahgunakan ciri atau memadam akaun palsu — teks tidak pernah disunting.
Versi 1.9 · 1 Oktober 2026 — Bahagian 6 ditulis semula sebagai senarai penuh tempoh simpanan automatik — butiran resit, gambar resit (tempoh simpan rekod LHDN; pelan berbayar), isi rumah tidak digunakan (notis e-mel dahulu), tong sampah, resit e-mel, penutupan isi rumah — dengan setiap tempoh dipaparkan terus daripada tetapan app. Dibetulkan: isi rumah yang ditutup dipadam selepas tempoh penutupan (bukan dalam), dibuka semula hanya atas permintaan e-mel kerana ahli tidak boleh log masuk lagi, dan salinan dalam sandaran hilang mengikut tempoh sandaran. Rekod teknikal acara pembayaran turut dinyatakan.
Versi 1.8 · 27 September 2026 — Resit melalui e-mel: e-mel yang di-forward ke alamat resit keluarga diterima oleh pembekal perkhidmatan e-mel kami bagi pihak kami; lampiran atau teks resit disimpan sehingga diproses (dipadam selepas 30 hari); e-mel daripada bukan ahli keluarga ditolak tanpa kandungan disimpan.
Versi 1.7 · 27 September 2026 — E-mel hubungan sokongan@listbelanja.com untuk permintaan data dan aduan; kata laluan baharu disemak terhadap senarai kebocoran awam secara k-anonymity (kata laluan tidak pernah dihantar).
Versi 1.6 · 27 September 2026 — Bahagian 5: pendaftaran dan pemulihan kata laluan boleh disemak oleh perkhidmatan anti-bot pihak ketiga (tanpa CAPTCHA; isyarat teknikal pelayar diproses untuk keselamatan sahaja).
Versi 1.5 · 27 September 2026 — Bahagian 2 dibetulkan: ListBelanja kini menggunakan peringkat percuma pembekal AI — di bawah terma pembekal, kandungan yang dihantar boleh digunakan untuk menambah baik produk pembekal dan dibaca oleh penilai manusia. Kenyataan terdahulu bahawa data tidak digunakan untuk melatih model telah ditarik balik. Kemasukan manual tidak menghantar apa-apa kepada AI.
Versi 1.4 · 27 September 2026 — Bahagian 2 diperluas: pembantu soalan cukai 'Tanya ListBelanja' — soalan dan ringkasan angka rekod (tanpa gambar resit, nama atau e-mel) dihantar kepada perkhidmatan AI; hanya bilangan soalan dan model/token disimpan, bukan teks soalan.
Versi 1.3 · 25 September 2026 — Bahagian baharu 'Laporan ralat automatik': laporan teknikal tanpa pengenalan (tiada akaun, e-mel, IP atau resit), dipadam selepas 30 hari.
Versi 1.2 · 24 September 2026 — Rujukan silang ditulis semula sebagai pautan yang jelas; bahagian 10 menerangkan cara perubahan diumumkan dalam app; sejarah perubahan ditambah. Tiada perubahan pada cara data anda digunakan.
Versi 1.1 · 24 September 2026 — Permintaan data dan padam akaun kini terus dalam app (Bantuan & maklum balas, Padam data saya); terjemahan English dan 中文 ditambah.
Versi 1.0 · 20 September 2026 — Versi pertama.

Perubahan penting diumumkan dalam app sekurang-kurangnya 14 hari sebelum berkuat kuasa. Perubahan kecil — ejaan, terjemahan, susunan atau penjelasan — direkod di sini sahaja.

← ListBelanja

Privacy Policy

Version 1.26 · effective 8 November 2026 · Change history · This notice is given under the Personal Data Protection Act 2010 (PDPA)

Summary. We store the receipts, documents and tax details you enter, for one purpose: helping you, your family and your organisations keep records and work out tax. No advertising, no selling of data, no trackers. You can export or delete your data at any time. Payslips and EA/EC forms you upload are read on your device whenever possible, and your files can only be seen and used by you — see Payslips, EA/EC forms & your document files.

1. Data we collect

Type	Examples	Why
Account	Email, display name, password (stored as a hash)	Signing in and identifying you within your group
Receipts & documents	Receipt images, bills, statements, EA forms, text read by the AI	Expense records and evidence for tax reliefs
Financial & tax data	The tax data you fill in: salary & EA form (employer name & number, remuneration, PCB, EPF, SOCSO, salary-deducted zakat) and copies of the EA form files you scan; family status (married, spouse with or without income), number of children by category, disability (OKU) status for yourself, your spouse & children; reliefs without receipts, zakat & donations, other income & payments; monthly commitments, side income	Tax estimates, Form BE / Form B e-Filing and budgeting — all optional. Disability (OKU) status is sensitive personal data (health-related): it is stored only if you tick it yourself, solely to work out the disability reliefs
Payslips & EA/EC forms (optional)	The monthly payslip figures you confirm: month, employer name, gross pay, deductions, net pay, taxable income, and the name & amount of each income and deduction line (e.g. allowances, EPF, SOCSO, PCB, zakat, loans); EA/EC form figures; a copy of the file only if you choose to keep one	Salary analysis, monthly budget, pay dates and tax estimates — see Payslips, EA/EC forms & your document files
Telegram (optional)	The Telegram chat ID & display name you connect for each group; the receipt photos or PDFs you send to the bot; receipts waiting for your group choice (file reference & caption)	Putting the receipts you send by Telegram into the right group
Notifications (optional)	Each device's phone-notification subscription (the push address your browser provides, browser type, language); an outbox of activity notifications — the event type and a short summary such as the shop name or total, no images	Sending the deadline reminders and real-time activity notifications you turn on
Groups & spaces	Group name & type, members, roles, job titles (e.g. Treasurer) and permissions; the spaces you join or create with the same account; organisation profile (optional: registration no., TIN, SST, address)	Controlled sharing between members, one account for family, company, association & clients, and headers on printed forms & statements
Money, accounts & plans (optional)	The money accounts you create (name, type, currency, opening balance, credit limit, statement day — not bank account or card numbers), transfers between accounts, savings goals, loans & BNPL, friend debts (people's names only), subscriptions & bills, vehicle details and the details you fill in for aid estimates	Balances, budgets, the money calendar and planning — see Money, accounts & plans
Business (optional)	Income sources, invoices, quotations & credit notes, customers, products & stock, assets; your MyInvois credentials (stored encrypted)	Form B, invoices, e-Invoices and business reports — see Business & e-Invoices
Devices & connections (optional)	Device-lock credential identifiers; phone Shortcut tokens, connections to your own AI assistant and private calendar links (stored as hashes) and the connections' access log	Locking the app on your device, sending notes from shortcuts, and letting the AI assistant of your choice read your data — see Devices, connections & try mode
Technical	IP address (for rate limiting only, not stored permanently), browser type, timestamps	Security and abuse prevention

We do not ask for your identity card number or bank account number, and advise you not to type them into receipt notes. A tax number (TIN) is stored only if you enter it yourself — for your e-Invoice buyer details or an organisation profile (optional). When you upload a payslip or an EA/EC form, the identity card number, bank account number, EPF/SOCSO numbers, salary or staff number and tax number (TIN) printed on it are not stored.

2. How AI is used

Receipt images are sent to a third-party language-model (AI) service to be read. The reading is returned to you as a suggestion. Each reading is counted as one unit of your account's quota; receipt content is not stored by us outside your account.

The AI provider's service tier. ListBelanja currently uses that provider's free tier. Under the provider's terms for the free tier, submitted content and generated responses may be used by the provider to provide, improve and develop its products and machine-learning technologies, and may be read by human reviewers (after being disconnected from our account). On the paid tier, the provider does not use that content to improve its products. If we move to the paid tier, the change will be announced through an update to this policy. If you do not want a particular receipt (for example a medical receipt) sent to the AI, enter it manually — manual entry sends nothing to the AI.

Backup AI readers. When the main model is unavailable or the day's free capacity is full, your receipt or document may be read by another model from the same AI provider (under the same tier and terms, above), or by an AI reader run by our cloud delivery network (section 4). Under that network provider's terms, the content it reads is not used to train AI models and is not kept after the response is returned.

Document content is data, not instructions. The app instructs every AI reader to treat receipt and document content as data only and not to follow instructions written inside it; every reading is still shown to you to check before it is saved. When a salary or tax document is sent as text, personal identifier numbers are hidden first — see Payslips, EA/EC forms & your document files.

Tax question assistant ("Ask ListBelanja"): when you ask a question, your question and a numeric summary of your account's records (reliefs used and remaining caps, estimated tax — no receipt images, names or email) are sent to the same AI service under the same service tier (see above). We store only the number of questions per month (for the quota) and the model and tokens used — never the question or answer text.

Your own AI assistant (personal connection). If you connect an AI assistant of your choice (e.g. a chat app or a coding tool) to your account, you approve it yourself on a consent screen in the app. It only gets read-only access to the scopes you choose — record summaries, no files or images; its access token is stored as a hash, every access is logged for you to see, and you can revoke it at any time. Data read by that assistant is then processed by your chosen assistant's provider under their terms — not by ListBelanja's AI provider.

AI assistants with a web identity. to check an assistant asking for access, ListBelanja fetches that assistant's public information (name and return addresses) from its website and keeps it for at most a day; none of your data is sent to that website.

Receipts by email. Emails you forward to your receipt address are received by our email service provider (United States) on our behalf. We keep the receipt attachment or text until you process it; unprocessed ones are deleted after 30 days. Mail from senders who are not members of your group is rejected and its content is not stored — only the reason for rejection. AI reads a receipt only after you tap Process. Every submission (email or Telegram) is recorded with its sender: members see their own submissions, admins see all of the group's.

Record change history. When a receipt, expense, money-in entry, account, transfer, money plan, payslip, pantry item, shopping-list item or business record is changed or deleted, we keep who made the change (or “Automatic” for the app's own processes), when, and the old → new value of the changed details only; for a deleted record, its last snapshot. AI-read text, files, MyInvois credentials and technical details are not kept. The history can be seen only by those who can see the record itself (the same permission — including auditors for records they are allowed to see), is included in “Download my data”, is not copied into daily backups, and is deleted automatically after the period shown in My data — earlier when the group is closed or the record's owner deletes their account. When someone's account is deleted, their name is cleared from the history of other people's records.

Receipts by Telegram. When you connect Telegram with a code from the app, we store your Telegram chat ID and display name with your account for each group you connect. The photos or PDFs you send to the bot are downloaded from Telegram into that group's receipt inbox and processed like emailed receipts. If your Telegram is connected to several groups, the bot shows your own group names on the choice buttons, and a receipt waiting for your choice is kept briefly, then deleted by itself if you do not answer. Otherwise the bot only sends short replies to Telegram. Disconnect any time in the app or with /putus; files already received stay in your records.

Capture Centre, quick notes & bank alerts. Quick notes (text or voice, e.g. "nasi lemak 5") are stored as spending waiting for your review. If you forward a bank or e-wallet transaction-alert email to your receipt address, the app only takes the amount, merchant name and date to make a "Needs review" note; OTP/TAC codes are discarded, and full account or card numbers and passwords are never stored. Phone shortcuts send the note text using a random device token that is stored as a hash and can be revoked at any time in the app. On iPhone, a Shortcuts automation (iOS 27) you build yourself can send the text of bank and e-wallet notifications you choose with the same token — it goes through the same path as the Android app (amount, merchant name and date only; OTP/TAC codes are discarded and never stored); receipt images or PDFs sent by Shortcuts land in your receipt inbox like e-mail attachments. ListBelanja does not read the list of apps on your phone; you choose the apps in that automation and can delete it or revoke the token at any time.

Learned categories. when a note arrives via the bot, a bank alert e-mail or Shortcuts, the server reads the names and categories of your own matching records (verified receipts and reviewed spending) to suggest a category — no data is shared with anyone.

Category rules. the words and category/relief/project choices you set are stored in your account settings and applied to your own records (including notes from Telegram and alert e-mails).

Phone notifications. When you turn on phone notifications, your browser gives a push subscription address, which we store with your browser type and language. Each notification is sent as an empty nudge with no content through the browser's push service; your device then fetches the text straight from our server. Activity notifications (e.g. a claim approved, a new receipt in the group inbox) are kept in a short outbox so they reach each of your devices, then deleted by themselves. Turn them off any time in More → Reminders and notifications.

Anonymous comparison (optional). If you choose to join “People like you”, we calculate — once a day — anonymous aggregates from the claimed total of each of your tax reliefs (capped at the LHDN limit), grouped with other participants by form and tax band. No names, receipts, merchants or other details are used; small groups are merged or not published, reliefs claimed by too few people are hidden, and figures are rounded. Aggregates are stored without any user identifier, are not copied into daily backups and are removed automatically after a few years of assessment. You can opt out any time; your data leaves the next calculation.

Recording by voice. When you tap 🎤 in the spending-without-a-receipt form, your speech is turned into text by your own browser — some browsers send that audio to their maker's speech-recognition service to do this. ListBelanja never receives, records or stores audio; only the text you check and save becomes a spending record. The microphone is used only after you tap 🎤 and allow it, and stops when you stop speaking, tap again, save or cancel the form.

Item prices. Each item's price, the items that went up and the cheapest shop are worked out on your device from receipt items already stored for the groups you can see. No new data is collected and no prices are sent or shared anywhere.

3. Who can see your data

You: the receipts, spending and records you enter.
One account, many spaces: every group you join or create (family, company, association, client) is a separate space. People in one space only see that space's records — not your other spaces.
Your group admin: every receipt in the group, because they handle the group's filing. Other members see only their own receipts, unless the admin grants the "See everyone's receipts" permission.
Claim checkers, approvers & payers (e.g. a Treasurer or Finance manager) given the permission by the admin: the expense claims sent for their decision, including those claims' receipt images. Roles that also hold "See everyone's receipts" (the default for roles such as spouse, Treasurer and Finance manager — the admin can switch it off) see every receipt in the group.
An auditor or accountant invited by the admin: records that are already filed or locked, and records of years the organisation has closed, read-only. In family, personal, business, professional-practice or rental spaces they can also open the admin's tax profile (the taxpayer of that space), read-only.
Your payslips, salary analysis and copies of your document files: you only — not group members, admins, auditors or invited accountants (see Payslips, EA/EC forms & your document files).
Your money accounts, transfers, plans & friend debts: you only. Records you mark Share can be read (not changed) by your own group admin; shared money accounts can also be read by that group's auditors. Other members and other spaces do not see them.
Your full tax data (salary & EA form, PCB, family, reliefs and zakat) is not opened to admins or other auditors unless you turn on "Let admins & auditors open my full tax profile" (off by default). The family tax optimiser shows the admin only your tax charged, PCB paid and balance/refund (not your income), and you can opt out. In organisation spaces, staff and committee members' personal tax is never opened to anyone.
The platform owner: aggregate statistics only (number of accounts, usage). They cannot read any user's receipts through the app — there is no screen or download for it, and the database refuses it. Daily backups are kept for disaster recovery only and cannot be opened through the app.
Infrastructure providers (below) process data on our behalf and are bound by their data-processing terms.

We do not share data with advertisers, data brokers or LHDN — except the e-Invoice documents you yourself send to LHDN's MyInvois system through the app (see Business & e-Invoices). We disclose data only where required by Malaysian law, and will inform you unless prohibited.

4. Where data is stored

Database: a cloud database provider, Southeast Asia region.
Images & documents: cloud object storage, with viewing links that expire on their own.
Application: a global cloud delivery network.
AI reading: an AI service provider (United States).
Backup AI reading: the same global cloud delivery network as the application.

Data may be transferred to and processed outside Malaysia by these providers. Such transfers are made under section 129 of the Personal Data Protection Act 2010 (as amended): they are necessary to provide the service you ask for, you agree to them by using the service, and every provider is bound by its service terms and security conditions (for the AI provider's free tier, see section 2).

5. Security

Sessions are kept in an encrypted cookie that scripts cannot read (HttpOnly, Secure).
Every row of data is tagged with its group, and the database rejects any cross-group access (Row Level Security).
Passwords are at least 12 characters; invitation links are single-use and expire in 7 days.
Monthly database backups are encrypted.
No account data is kept on your device. Exceptions: a current copy of the data the app shows (receipt list, spending, shopping lists, settings and the LHDN tables) is kept in this device's browser storage so the app opens instantly and refreshes in the background — it deletes itself when you sign out or your session is rejected; receipts scanned while offline are held on the device only until they upload, then deleted; the "try first" list for visitors without an account is deleted as soon as it is moved into an account; and a few technical flags with no personal information (language choice before sign-in, a session hint, app installed, phone notifications switched on for this device).
Sign-up and password reset may be checked by a third-party anti-bot service (without CAPTCHAs): that provider processes technical browser signals for security only, not for advertising.
New passwords are checked against public breach lists (HaveIBeenPwned) using k-anonymity: only the first 5 characters of the password's hash are sent — your password never leaves our server.
Every uploaded file is checked on the server: its content must really be a PDF or an image that matches its type — disguised HTML, script, SVG or archive files are rejected, and upload size and numbers are limited. Files are served with headers that stop the browser from running their content, and viewing links expire on their own.
Data breach notification. If a personal data breach happens, we notify the Personal Data Protection Commissioner and you (if you are affected) under section 12B of the Personal Data Protection Act 2010 and the Commissioner's guidelines, within the periods they set — through a notice in the app and an email to your account address — explaining what happened, the data involved and the steps you can take. Every incident is recorded in our breach register. Official reference: pdp.gov.my.

6. How long we keep it

Every period below is applied automatically by the app's daily cleanup; nobody reviews your account by hand.

Receipt details and tax records (shop, date, total, category, relief) are kept for as long as your account exists — we do not delete them automatically.
Receipt images, Free plan: kept for the record-keeping period LHDN requires (currently 7 years), counted from the end of the year the tax return is filed; then the image is removed and its details stay. Paid plans: images are kept while the plan is active, and after it ends for at least the same period counted from the end date.
Unused Free groups: after 34 months without a sign-in, the group admins get an email notice; receipt images are removed no earlier than 36 months without a sign-in and at least 60 days after that notice (signing in cancels it); receipt details stay. See Terms, section 4.
Receipts you delete stay in the trash for 30 days, then are deleted permanently.
Unprocessed receipts sent by email are deleted after 30 days.
Copies of EA forms you scan are kept in document storage with that year's tax records (evidence for the audit pack) for as long as the EA is in your Tax data, and deleted when you remove that EA.
Payslips (figures) are kept for as long as your account exists or until you delete that month. File copies of payslips and EA/EC forms are kept only if you choose to, and are deleted when you delete the copy, that month or EA form, or your account.
Money accounts, transfers, goals, loans, friend debts, products & stock are kept for as long as your account exists or until you delete them, and are deleted together with your account.
Shortcut tokens, AI-assistant connections & calendar links last until you revoke them, and are deleted together with your account.
Telegram receipts waiting for a group choice and the activity-notification outbox are temporary data — both are deleted by themselves after a short time.
Organisation records: receipts, expenses and claims you enter in an organisation space (company, association, firm, business, professional practice, rental), and in any group claims already approved or paid and locked-year receipts, stay with that group (handed to its admin) when you leave it, are removed or delete your account.
When a group is closed, every member of that group is deactivated immediately (no one can sign in to that group any more) and all of that group's data — receipts, images, tax records and accounts — is permanently deleted after 30 days. Members still active in other spaces keep their account and those spaces (they get a new personal group). Before then, the group can be reopened on request via sokongan@listbelanja.com; export your data before closing. Payment records are kept for accounting (see Payment processing), and copies in backups disappear when the backup retention period ends (see Backups).

7. Your rights under the PDPA (including deleting your account)

Access & copy: More → Data & recovery → My data lists every type of data stored about you, who can see it and how long it is kept; Download backup (JSON) gives you a copy, and the audit-pack ZIP gives receipts with their images.
Correction: edit any record in the app at any time.
Data portability: the JSON backup download (above) is a machine-readable copy of your data that you can give to anyone else. You can also ask us to send your data directly to another data controller of your choice through Help & feedback or the email below; this is done under section 43A of the Personal Data Protection Act 2010, as far as technically feasible and where the data format is compatible.
Withdraw consent / deletion: any user can delete their own data and account under More → Data & recovery → Delete my data. It happens immediately, in the app, without email or forms. Copies of your document files (EA/EC forms, payslips, income documents) are deleted too, except those still referenced by organisation records that stay with their group. A group admin can also close the whole group (Close the group). Exceptions: receipts from a year that is already locked (filed with LHDN) and claims already approved or paid are transferred to your group admin rather than deleted, because the law requires tax records to be kept and they are the group's financial records; in organisation spaces, the records you entered stay with that organisation. You are told this before confirming.
Limiting processing: you can stop using the AI features and add receipts manually.
Complaints: contact us first; you also have the right to complain to the Personal Data Protection Commissioner of Malaysia.
Contact us: sokongan@listbelanja.com — for data requests, complaints or privacy questions.
Data protection officer: data protection requests, questions and complaints are handled by the operator of ListBelanja through the channels above. When the appointment of a Data Protection Officer is required under section 12A of the Act, that officer is appointed and is reached through the same channels.

8. Cookies

We use only one necessary cookie: your sign-in session. No tracking cookies or third-party analytics.

9. Children

Accounts are opened by adults. Members under 18 can only be invited by the group admin responsible for them, and their data is controlled by that admin.

10. Changes

We will announce material changes to this policy in the app — a card on the Home screen with a summary of what changes — at least 14 days before they take effect. Every version, including minor changes, is recorded in the Change history below.

11. Contact us

Questions, complaints or requests about your data: More → Help & feedback in the app — the status and our reply are shown there. Deletion needs no request: More → Data & recovery → Delete my data takes effect immediately — details under Your rights under the PDPA.

Payslips, EA/EC forms & your document files

In short. The files you upload can only be seen and used by you. They are read on your device whenever possible; only the figures you confirm are stored. A copy of the file is kept only if you choose to, and can be deleted at any time.

Read on your device. Monthly payslips and EA/EC forms that are digital PDFs (e.g. produced by an employer's payroll system or a government payslip) are read directly in your browser — the file is not sent to any AI and does not use your scan quota. Files that are not a payslip or a form are rejected without being sent to an AI.
What is stored. Only the figures you check and confirm — for a payslip: month, employer name, gross pay, deductions, net pay, taxable income, and the name and amount of each income & deduction line; for an EA/EC form: the figures entered into Tax data (section 1). Some deduction lines, such as zakat, can reveal religious belief — sensitive personal data — and are stored only because they are printed on a payslip you chose to save, solely for your own analysis.
What is not stored. The identity card number, bank account number, EPF/SOCSO numbers, salary or staff number and tax number (TIN) on the document are detected only to be ignored. The name on the document is only compared with your account name to warn you if the document may belong to someone else; that name is not stored.
Who can see it. Only you. Payslips and their analysis are not visible to group members, admins, auditors or invited accountants. EA/EC figures in Tax data follow the tax-profile rules in section 3 (opened to admins & auditors only with your permission). Copies of the document files you upload can only be opened by you; the platform owner cannot open them through the app, and they are not disclosed to anyone unless required by Malaysian law (section 3).
Keeping a copy is optional. Every upload flow has a tick box for keeping a copy of the file; if it is not ticked, the file is not uploaded at all. The defaults can be changed under More → Privacy: payslips — no copy; EA/EC forms — a copy is kept as tax evidence for LHDN's record-keeping period (currently 7 years). You can delete a copy at any time — the confirmed figures stay.
AI reading only at your choice. If a document cannot be read on your device (e.g. a photo or a scanned PDF), nothing is sent to an AI automatically. You can fill in the figures yourself, or tap the AI reading button: the document is then sent to the same AI reader used for receipt scans (section 2) and uses one scan from your quota. When a document is sent as text, identity card numbers, tax numbers, account numbers, EPF/SOCSO numbers, salary numbers, emails and phone numbers are hidden before it is sent; images are sent as they are.
Bulk EA form scanning (firms, HR & accountants). Forms scanned in bulk are read by the AI one by one; they are not uploaded to account storage, and their readings are kept in that browser tab only until the tab is closed or cleared. Users who scan other people's forms must be permitted to do so (see Terms: Documents you upload).

Encrypted document vault. files and notes you add are encrypted on your device with a key from your passphrase before upload; we only store the encrypted bytes and cannot read them. Your passphrase and recovery code are never sent to us. The type, a short label and the expiry date are stored unencrypted (in your account settings) so reminders can work. Encrypted files are deleted when you delete them or your account.

Money, accounts & plans

Accounts & balances. The accounts you create (cash, bank, credit card, e-wallet, savings, loan) store the name, type, currency, opening balance and its date, credit limit and statement day you fill in. ListBelanja does not ask for or store bank account or card numbers, and does not connect to your bank — balances are worked out from the records you enter.
Transfers, goals & loans. Transfers between your own accounts, savings goals, and loans & BNPL (the lender, amount, rate and instalment you fill in) are stored for balances, payment schedules and estimates — all estimates, not financial advice.
Friend debts & bill splitting. Only the name you type, the amount and the payment history — no phone number, email or other contact data, and no public link. You share balances through messages you copy yourself.
Subscriptions, bills, vehicles & aid. Subscriptions and bills, vehicle details (e.g. type and road-tax or insurance expiry dates) and the details you fill in for government-aid estimates are stored in your account settings. Estimates are worked out in the app from published official tables; ListBelanja does not connect to government systems and does not store identity card numbers.
Money calendar. If you create a private calendar link, only a hash of its token is stored; the link can be revoked and replaced at any time.
Who sees it & how long. You only — except records you mark Share (section 3). Kept for as long as your account exists or until you delete them; deleted together with your account.

Money calendar feed (optional). if you turn on “Include STR phases and SARA expiry”, the titles and dates of announced STR phases and the SARA balance expiry date are also sent to calendar apps that subscribe to your private link — no amounts, no receipts. Off by default and can be turned off at any time.

Kids’ allowance & festive money. children’s nicknames (no ID numbers or birth dates), allowances, savings and festive money records are stored in your account settings only — other group members can’t see them.

Group books & comments. a shared expense book stores the book name, members (app users or guest names only — no phone numbers or emails), shared expenses, who paid, each member’s share, currency rates and settlements; it is visible only to the admin and members of that space (not auditors). Comments on a record are visible to anyone who can see that record; an @mention sends a notification without the comment text. When you delete your account your comments are deleted with it, while your name in a book stays as a named row so other members’ balances do not change.

Scanned bills & weekly summary. when you scan or type an unpaid bill, the biller name, amount, due date and the bill account number or JomPAY reference shown on it are stored with your subscriptions & bills in your account settings, for reminders and payment — these are not bank account or card numbers. The weekly summary by email or notification is sent only if you turn it on, and is calculated from your own records.

Business & e-Invoices

Business records. Income sources, money in & out, assets, tax payments, invoices, quotations & credit notes, the customer details you enter, products and stock movements are stored for Form B, invoices and reports. The group admin and members given the business-records permission see the group's business records; auditors read only.
MyInvois (optional). If you connect LHDN's MyInvois, your Client ID & Client Secret are stored encrypted with a server key and are never sent back to the browser. e-Invoice documents (seller, buyer, item and tax details) are sent to MyInvois only when you tap Send, and are then processed by LHDN under tax law. You can disconnect at any time.
Business records are kept for as long as the account exists, stay with an organisation group when you leave (section 6), and are deleted together with the account or group.

MyInvois digital certificate. if you load a digital certificate file (.p12/.pfx) to sign e-Invoices, the file and its password are opened in your browser only. The private key is never sent to our servers and is never stored — it stays in the session’s memory and is removed when you sign out, the screen locks, the page closes or after a period of inactivity. We keep only the certificate’s public details (holder name, issuer, serial number, validity dates and fingerprint) in your settings, for display and expiry reminders; you can delete them at any time (“Forget certificate details”). Signed documents are sent to MyInvois only when you choose to submit them, with your own MyInvois credentials.

Rental condition reports. the tenant’s name, room and item conditions, notes, meter readings, photos and sign-off names you record are stored in your account settings and document storage; you are responsible for telling the tenant these reports and photos are kept.

Petty cash, trips, employees & customers. petty cash, vouchers, trip pre-approvals and cash advances store the title, amount, dates, payee, project, linked receipt and who reviewed, approved or recorded payment; they are visible to the requester, that space’s claim reviewers, approvers and payers, admins, and auditors (read only). Employee pay & leave (name, job title, birth and start month, salary, allowances, marital status, number of children, leave — without identity card numbers), customer statements, price levels, custom fields and self-billed e-Invoice supplier details are stored in your account settings; supplier MyKad numbers are not stored.

PDF files, bank statements & files no longer referenced. Invoice and customer receipt PDFs are made on your device and only leave it when you share or send them yourself — we never email your customers. Bank statements imported for an organisation’s money in are read on the device; only the credit lines you choose are saved as money-in records, and long account or card numbers in the description are masked before saving. Business record attachments that are no longer referenced by any record are deleted by the automatic daily clean-up after a safety period equal to the backup period.

Devices, connections & try mode

Device lock. Your face, fingerprint or PIN is checked by your own device — ListBelanja never receives or stores biometric data. Only a random credential identifier, the browser type, the device family and the date it was registered are stored in your account settings, so the app knows which devices are locked. Remove a device any time in More.
Privacy mode. "Hide amounts" only changes what your screen shows; the setting is stored in your account.
Try mode without an account. The shopping list and cash spending you create while trying stay in that device's browser storage only — nothing is sent to our servers — and move into an account only if you sign up or sign in.
Share cards & heir letter. Social-media cards and the heir letter are generated on your device; they only leave it when you share, print or save them yourself.
Shortcuts & connections. Phone Shortcut tokens and your AI-assistant connections are stored as hashes, can be revoked at any time, and are deleted together with your account (see section 2 and Receipts by email).

GPS trip log. location is read only after you tap Start and only while the app is open; coordinates stay in your device’s memory and are discarded when the trip ends — only the total km you save as a mileage claim is kept.

Profile picture & two-step verification (optional). your profile picture is cropped and resized on your device, then stored in your account settings. If you turn on two-step verification, the authenticator app secret is stored and checked by our sign-in service; we keep only salted hashes of the one-time recovery codes — the codes cannot be read back, are not copied into daily backups and are deleted with your account.

ListBelanja Android app (optional). The ListBelanja Android app shows this site inside it through your phone’s browser engine (the default browser that supports trusted site display): this Privacy Policy applies in full, sign-in and site storage are shared with that browser, and the app collects no additional data. App updates are downloaded from listbelanja.com only and their fingerprint is verified before installing. To suggest bank and e-wallet apps, the app checks installed app package names against a built-in list on the phone only — your app list is never sent. Notification capture is optional and off until you turn it on: if you give it notification access, it reads notifications only from the bank and e-wallet apps you tick, on your phone. Notifications containing OTP/TAC codes are never sent; long card and account numbers are masked before sending; only the app name, title and text of transaction notifications are sent to your ListBelanja account through a device token you can revoke. The server does not record promotions, limits, balances or top-ups. The app does not ask for SMS, contacts or location permissions, and the token is not copied to the phone’s cloud backup.

Two builds, one Android app. ListBelanja for Android is the same app (same package name and signature) in two builds. (1) APK from listbelanja.com — does not read your notifications, SMS or screen and does not ask for notification access; its updates are downloaded from listbelanja.com and verified before installing. (2) ListBelanja from the official Android app store — includes the optional notification capture described above: before the notification access screen opens, the app shows an in-app disclosure explaining what is read (notifications from the bank and e-wallet apps you tick only), why (to record payments and money in under To review), what is sent (the title and text of transaction notifications after filtering on the phone, the app name and time, over HTTPS with your device token — ListBelanja records the amount, merchant or payee and date from it) and that OTP/TAC codes are dropped on the phone. No notification is read until you tap Accept; you can decline, or turn access off at any time in your phone settings. Updates of the app-store build are handled by the official Android app store. Your data is not sold and not shared for advertising. The app-store listing status is checked automatically from the public listing page — no user data is involved.

Emails to support

When you email sokongan@listbelanja.com, we keep your email address, display name, subject, message and attachments in our support inbox so we can reply and refer back to the conversation. These emails are not automatically linked to your app account. Emails marked as junk are deleted by themselves; other conversations are kept until you ask for them to be deleted — reply to that email or contact us (section 7).

Payment processing

Subscription payments are processed by a licensed payment processor (PCI DSS compliant). ListBelanja receives from the processor only what is needed to manage your subscription (a customer identifier, subscription status, payment amounts and dates, and the last four digits of the card if the processor shows them). Full card numbers and CVC codes are never sent to or stored by ListBelanja. Payment records are kept for at least LHDN's record-keeping period (currently 7 years) for accounting and tax purposes; technical payment event records are deleted after 12 months.

Feedback

When you send feedback in the app, we keep your message, its type, and technical details (current screen, language, device and browser type, whether the app is installed). No receipt content is attached. Your email is stored with the report only if you tick "allow the owner to contact me". Feedback is used to improve the service, is deleted immediately if you delete your account, and is permanently deleted 24 months after it is resolved or closed.

Rating ListBelanja

You can rate ListBelanja (1 to 5 stars, optional comment) in Settings. We store the stars, comment, language and date with your account — one rating per user, changeable or removable at any time. The average of all ratings and their number are shown on ListBelanja's public pages and in structured data for search engines (as genuine user ratings, without names). Your comment is shown publicly only if you tick "allow my comment to be shown" — with your first name only, and comments containing an email, phone number or link are rejected. The platform owner may hide public comments that abuse the feature (spam, links, offensive content) or delete ratings from fake accounts — your text is never edited, and every such action is recorded. Ratings are deleted immediately together with your account.

Market & kitchen

Location. When you tap "Use my location", your browser asks for your permission. The coordinates are rounded to 2 decimal places (about 1 km) on your device before they are stored in your account settings or sent to find nearby shops — your exact location is never stored or sent. You can pick only a state and district instead. The price tool on the public page does not store any location.

Price alerts, reports & confirmations. A price alert stores the item, the target price or percentage drop, the rounded location and the search distance with your account; the server checks it after the price data is updated and sends a notification. Price or promotion reports you send (shop, item, price, promotion dates, an optional note, and your receipt if shared from a receipt) and your confirmations are stored with your account for the daily limit and to prevent abuse; other users only see the price, shop, date, status and number of confirmations — never your name, and your receipt stays private. Alerts, reports and confirmations are deleted together with your account.

Price-tag & flyer scans. When you scan a shelf price tag or promotion flyer to fill in a report, the photo is sent straight to the same AI reader used for receipt scans, to be read only (item name, size, price, normal price, promotion end date and the shop name if printed) — the photo is not stored by us. The result only fills in the form on your device; nothing is sent as a report until you check it and tap "Send report". Each scan counts towards your group's AI scan quota.

Pantry, menu & diet choices. The pantry and weekly menu are group data like the shopping list (members with the same permission see and change them) and are used for reminders about items close to expiry; they are deleted under the group rules. Diet choices (if picked) are stored in your settings and used only for the menu and substitute suggestions.

Store membership cards. The store name and membership-card number you save are used to show that card's barcode at the counter; the barcode is drawn on your device and nothing is sent to the store. Payment card (debit/credit) numbers are refused and not stored. A card is deleted when you remove it or delete your account. Price tags you scan to check a receipt's charges (item, price, store and date) are kept in your account settings for a short time so the app can compare them with your receipts.

Barcodes & reference data. Barcode images are read on your device. When you look up a barcode, only its number is sent by our server to the open product database Open Food Facts — no account information or location of yours — and the product name is kept for later lookups. Item prices are KPDN PriceCatcher open data (OpenDOSM); shop locations are estimated from postcodes (GeoNames) and shop names/addresses via OpenStreetMap. This reference data contains no user data.

Named shopping lists & tasks. List names, order, the default mark and archive state are stored with your group and seen by the group’s admins and members (not auditors). When an item is assigned to a member, the shop name and that member are stored on the item. When a member deletes their account, lists they created pass to the group admin; deleting a list moves its items to the Main list.

Food waste. Each waste log stores the food name, amount, reason, estimated value with its source, date, an optional note and a link to the pantry item or receipt, with your group; group admins and members can see it, auditors cannot. Values are worked out on your device from your receipts and market price data already loaded — no data is sent to anyone else. Logs are deleted with the account or group, or when you delete them.

My stores, meal plans & recipes. The shops you follow (shop code and name, up to ten), your meal plan settings (budget, household size, meals, cuisines) and My recipes (title and ingredients only — steps are not stored, up to twenty) are stored in your account settings. The weekly My stores summary uses those shop codes to read public KPDN prices; it is sent by email or notification according to your Reminders settings. A menu saved to the meal plan is seen by your group. Pasted recipe text is parsed on your device and never sent to AI.

Barcodes & price cards. A barcode scan sends only the barcode number (not your identity) to an open product database; product details are kept in a shared cache. ListBelanja does not decide halal status — it only links to the official portal. Price cards with a chart are drawn on your device from public prices, without location, shops or receipts.

Roadmap & feature suggestions

When you suggest a feature, your suggestion text and its language are stored with your account. A background AI reader (the same AI provider as scanning) checks it — spam, complaints or duplicates — and writes a short title and description in 3 languages; only the title, description, status and vote count are shown in the app and on the public Roadmap page — never your name or your original text. Your vote is stored (one per suggestion) to count the total and to notify you when the suggestion is built; the list of voters is never shown. You can withdraw your vote at any time. When your account is deleted, your votes are deleted and your suggestions remain without a name.

Automatic error reports

If the app hits a technical error, it sends us an anonymous report: the error message, the screen that was open, app version, language, browser and system type, whether it was online and whether the app is installed. No account, email, group, IP address or receipt content is included — it cannot be linked to you. Before a report is stored, the server also removes identifier numbers, amounts, emails and quoted text from the error message. Reports are deleted after 30 days.

Backups

To protect your data from loss, database backups are made daily (kept 14 days in our private storage) and monthly (encrypted, kept 90 days). Passwords are never backed up. Data you delete remains in older backups until that retention period ends, then disappears completely; backups are used only to restore the service after a failure, for no other purpose.

Change history

Version 1.26 · 8 November 2026 — Devices: the ListBelanja Android app now comes in two builds, one app — the APK from listbelanja.com does not read notifications, SMS or the screen; ListBelanja from the official Android app store includes optional notification capture with an in-app disclosure (what is read, why, what is sent, OTP/TAC dropped on the phone) and no notification is read until you tap Accept. Updates of the app-store build are handled by the official Android app store. No new data is collected and data is not sold.
Version 1.25 · 7 November 2026 — Devices: on iPhone, your own Shortcuts automation (iOS 27) can send the text of bank & e-wallet notifications you choose to ListBelanja with a device token — the server keeps only the amount, merchant name and date; OTP/TAC codes are discarded and never stored; receipt images or PDFs sent by Shortcuts land in your receipt inbox like e-mail attachments. The list of apps on your phone is never read.
Version 1.24 · 7 November 2026 — Devices: the Android app suggests bank & e-wallet apps by checking installed app package names against a built-in list on the phone only — your app list is never sent; notification access stays optional.
Version 1.23 · 7 November 2026 — Devices: the ListBelanja Android app is now the full app — this site is shown inside it through the phone’s browser engine (sign-in and storage are shared with that browser; no additional data is collected); app updates are downloaded from listbelanja.com only and their fingerprint is verified; notification capture stays optional and off until turned on.
Version 1.22 · 7 November 2026 — Devices: the optional ListBelanja Capture Android app reads notifications only from the bank and e-wallet apps you tick, on your phone — OTP/TAC codes are never sent, long numbers are masked, promotions, limits, balances and top-ups are not recorded; the token can be revoked.
Version 1.21 · 6 November 2026 — Money: group books & comments (members by name only, visible to space members; @mentions without comment text), scanned bills (bill account numbers & JomPAY references in settings) & an optional weekly summary. Business: petty cash & trips, employee pay & leave without identity card numbers, self-billed e-Invoice suppliers without MyKad. Devices: profile picture & two-step verification (recovery code hashes only).
Version 1.20 · 30 October 2026 — Section 2: record change history (who changed what and when — visible only to people who can see that record, not copied into daily backups, removed automatically); optional anonymous comparison (aggregates without identifiers); AI assistants with a web identity; learned categories and your category rules. New paragraphs in 'Money', 'Business & e-Invoices', 'Document files', 'Devices' and 'Market & kitchen': STR phases and SARA expiry in the calendar feed (optional), kids’ allowance and festive money, MyInvois digital certificate (the private key never leaves your device), rental condition reports, invoice PDFs and bank statements processed on your device, encrypted document vault, GPS trip log (coordinates not stored), named shopping lists and tasks, food waste, My stores, menus and recipes.
Version 1.19 · 30 October 2026 — New sections 'Money, accounts & plans' (accounts & balances without bank account or card numbers, transfers, goals, loans, friend debts with names only, subscriptions, vehicles & aid estimates in settings), 'Business & e-Invoices' (MyInvois credentials stored encrypted; e-Invoices sent to LHDN only when you tap Send), 'Devices, connections & try mode' (device lock without biometric data, try mode on the device only) and 'Emails to support'. Section 2: your own AI assistant (read-only, hashed token, revocable); Capture Centre, quick notes & bank-alert emails (OTP/TAC discarded); store membership cards. Section 3: records you mark Share; e-Invoices you send to MyInvois. Section 7: My data lists what is stored.
Version 1.18 · 29 October 2026 — New section 'Payslips, EA/EC forms & your document files': read on your device whenever possible; only the figures you confirm are stored — identity card, bank account, EPF/SOCSO, salary numbers & TIN are ignored; payslips & file copies are for you only; file copies are optional and can be deleted once confirmed; AI reading only at your choice, with identifier numbers hidden in text that is sent. Sections 2 & 4: backup AI reader on the cloud delivery network (content not used to train models and not kept); instructions inside documents are not followed; cross-border transfers under section 129. Section 5: server-side file content checks and data breach notification under section 12B. Section 7: data portability (section 43A) and the data protection officer; Delete my data now also deletes copies of document files. Automatic error reports are now stripped of numbers, amounts & quoted text.
Version 1.17 · 24 October 2026 — Section 'Market & kitchen': price-tag & promotion-flyer scans (optional) — the photo is sent to the same AI reader as receipt scans to be read only and is not stored; the reading only fills in the report form on your device, and no report is sent until you check and send it; each scan counts towards the group's AI scan quota.
Version 1.16 · 24 October 2026 — New section 'Market & kitchen' (optional feature): your location is rounded to about 1 km on your device before it is stored or sent, or only a state & district is used; price alerts, price reports & confirmations are stored with your account and shown to others without your name; the pantry & menu are group data like the shopping list; diet choices are used only for the menu & substitutes; a barcode lookup sends only its number to an open product database; prices & shop locations are open reference data with no user data. New section 'Roadmap & feature suggestions': suggestion text is stored with your account and checked by a background AI; only the title, description, status & vote count are shown (never your name or original text); votes are stored for the count & to notify you when it is built.
Version 1.15 · 24 October 2026 — Clarification of section 5 (no change to what is collected, who can see it or your rights): the app keeps a current copy of the data it shows (receipt list, spending, shopping lists, settings, LHDN tables) in your own device's browser storage so it opens instantly and refreshes in the background; that copy deletes itself when you sign out or the session is rejected, and is never sent anywhere.
Version 1.14 · announced 17 October 2026, effective 24 October 2026 — Clarification (no change to your rights): section 1 now lists every piece of tax data you fill in under Tax data — salary & EA form (employer name & number, copies of the EA file), family status, children by category, disability (OKU) status (health-related data, only if you tick it), reliefs without receipts, zakat & donations and other income; the Telegram connection (chat ID, the files you send, your group names on the choice buttons, receipts waiting for a group choice); and phone-notification subscriptions and the activity-notification outbox. Section 6: EA copies are deleted when the EA is removed; waiting Telegram receipts and the notification outbox delete themselves.
Version 1.13 · announced 16 October 2026, effective 24 October 2026 — Clarification (no change to what is collected or your rights): the platform owner cannot read receipts through the app — the in-app full-backup download was removed, daily backups are for disaster recovery only; roles with the 'See everyone's receipts' permission (the default for spouse, Treasurer & Finance manager, which the admin can switch off) see every receipt in the group; what is kept on your device is now listed exactly (offline scans until they upload, technical flags with no personal information); recording by voice: speech is turned into text by your browser and ListBelanja never receives audio; item prices are worked out on your device from existing receipt items.
Version 1.12 material change · announced 10 October 2026, effective 24 October 2026 — One account, many spaces: every group you join or create is separate. Your full tax profile is opened to admins & auditors only with your consent (off by default); invited accountants/auditors can open the admin's tax profile in personal/family/business spaces, read-only. Claim approvers & payers see only the claims they decide. Organisation records and approved/paid claims stay with their group when you leave or delete your account. Receipt-inbox submissions are recorded with their sender. 'Household' wording replaced with 'group'. read the old version
Version 1.11 · 2 October 2026 — Technology vendor names replaced with service classes (AI provider, cloud database & storage provider, delivery network, licensed payment processor, email service, anti-bot service) — including in this history. No change to what is collected, how it is processed or your rights.
Version 1.10 · 2 October 2026 — New section 'Rating ListBelanja': stars and an optional comment are stored with your account (one per user, removable); the anonymous average is shown on public pages and in structured data; your comment is shown publicly only with your permission (first name only); the owner may hide abusive comments or delete fake accounts' ratings — text is never edited.
Version 1.9 · 1 October 2026 — Section 6 rewritten as a full list of automatic retention periods — receipt details, receipt images (LHDN record-keeping period; paid plans), unused households (email notice first), trash, emailed receipts, household closure — with every period shown directly from the app's settings. Corrected: a closed household is deleted after (not within) the closure period, can be reopened only on request by email because members can no longer sign in, and copies in backups expire with the backup retention period. Technical payment event records are now listed too.
Version 1.8 · 27 September 2026 — Receipts by email: emails forwarded to the family receipt address are received by our email service provider on our behalf; the receipt attachment or text is kept until processed (deleted after 30 days); mail from non-family senders is rejected without storing its content.
Version 1.7 · 27 September 2026 — Contact email sokongan@listbelanja.com for data requests and complaints; new passwords are checked against public breach lists using k-anonymity (the password is never sent).
Version 1.6 · 27 September 2026 — Section 5: sign-up and password reset may be checked by a third-party anti-bot service (without CAPTCHAs; technical browser signals are processed for security only).
Version 1.5 · 27 September 2026 — Section 2 corrected: ListBelanja currently uses the AI provider's free tier — under the provider's terms, submitted content may be used to improve the provider's products and read by human reviewers. The earlier statement that data is not used to train models has been withdrawn. Manual entry sends nothing to the AI.
Version 1.4 · 27 September 2026 — Section 2 expanded: the 'Ask ListBelanja' tax assistant — your question and a numeric summary of your records (no receipt images, names or email) are sent to an AI service; only the number of questions and model/tokens are stored, never the question text.
Version 1.3 · 25 September 2026 — New section 'Automatic error reports': anonymous technical reports (no account, email, IP or receipts), deleted after 30 days.
Version 1.2 · 24 September 2026 — Cross-references rewritten as clear links; section 10 explains how changes are announced in the app; change history added. No change to how your data is used.
Version 1.1 · 24 September 2026 — Data requests and account deletion now happen directly in the app (Help & feedback, Delete my data); English and Chinese translations added.
Version 1.0 · 20 September 2026 — First version.

Material changes are announced in the app at least 14 days before they take effect. Minor changes — spelling, translation, layout or clarification — are recorded here only.

← ListBelanja

隐私政策

版本 1.26 · 2026年11月8日生效 · 变更记录 · 本通知依据2010年个人数据保护法令（PDPA）发布

摘要。我们保存您输入的收据、文件和税务资料，只为一个目的：帮助您和您的团体保存记录并计算税务。没有广告，不出售数据，没有跟踪器。您可随时导出或删除您的数据。您上传的工资单与 EA/EC 表格会尽可能在您的设备上读取，您的文件只有您本人可以查看和使用——见工资单、EA/EC 表格与您的文件。

1. 我们收集的数据

类型	例子	原因
账户	电邮、显示名称、密码（以哈希保存）	登录并在团体中识别您
收据与文件	收据图片、账单、结算单、EA表格、AI读取的文字	支出记录与税务减免凭证
财务与税务资料	您填写的税务资料：薪金与 EA 表格（雇主名称与编号、酬金、PCB、公积金、社险、薪金扣除的天课）以及您扫描的 EA 表格文件副本；家庭状况（已婚、配偶有无收入）、按类别的子女人数、本人、配偶与子女的残疾（OKU）状况；无收据减免、天课与捐款、其他收入与付款；每月固定支出、副业收入	税务估算、BE 表格／B 表格电子报税与预算——均为可选。残疾（OKU）状况属敏感个人数据（与健康相关）：只有在您自行勾选时才会保存，且仅用于计算残疾减免
工资单与 EA/EC 表格（可选）	您确认的每月工资单数字：月份、雇主名称、总收入、扣款、净工资、应税收入，以及每一行收入与扣款的名称和金额（例如津贴、公积金、社险、PCB、天课、贷款）；EA/EC 表格数字；只有在您选择保留时才保存文件副本	工资分析、每月预算、发薪日期与税额估算——见工资单、EA/EC 表格与您的文件
Telegram（可选）	您为每个团体连接的 Telegram 聊天编号与显示名称；您发给机器人的收据照片或 PDF；等待您选择团体的收据（文件引用与说明）	把您通过 Telegram 发送的收据放入正确的团体
通知（可选）	每台设备的手机通知订阅（浏览器提供的推送地址、浏览器类型、语言）；活动通知发件箱——事件类型与简短摘要（例如商店名称或金额），不含图片	发送您开启的截止日期提醒与实时活动通知
团体与空间	团体名称与类型、成员、角色、职位（例如司库）与权限；您用同一账户加入或创建的空间；机构资料（可选：注册号、TIN、SST、地址）	成员之间受控的共享；一个账户用于家庭、公司、协会与客户；印于表格与报表的抬头
资金、账户与规划（可选）	您创建的资金账户（名称、类型、货币、期初余额、信用额度、账单日——不含银行账号或卡号）、账户之间的转账、储蓄目标、贷款与先买后付、朋友欠款（仅姓名）、订阅与账单、车辆资料，以及您为援助估算填写的资料	余额、预算、资金日历与规划——见资金、账户与规划
生意（可选）	收入来源、发票、报价单与贷记单、客户、产品与库存、资产；您的 MyInvois 凭证（加密保存）	B 表格、发票、电子发票与生意报表——见生意与电子发票
设备与连接（可选）	设备锁的凭证标识；手机快捷指令令牌、您自己的 AI 助手连接与私人日历链接（以哈希保存），以及连接的访问日志	在您的设备上锁定应用、从快捷指令发送记录，并让您选择的 AI 助手读取您的数据——见设备、连接与试用模式
技术	IP地址（仅用于限流，不永久保存）、浏览器类型、时间戳	安全与防止滥用

我们不会索取您的身份证号或银行账号，并建议您不要将它们输入收据备注。税务编号（TIN）只有在您自行填写时才会保存——用于您的电子发票买方资料或机构资料（可选）。当您上传工资单或 EA/EC 表格时，其上印有的身份证号、银行账号、公积金／社险编号、工资或员工编号以及税务编号（TIN）不会被保存。

2. AI如何使用

收据图片会发送至第三方语言模型（AI）服务读取，读取结果以建议形式返回给您。每次读取计为您账户配额的一个单位；收据内容不会由我们保存在您账户之外。

AI 服务商的服务层级。ListBelanja 目前使用该 AI 服务商的免费层级。根据服务商免费层级的条款，所提交的内容和生成的回答可能被服务商用于提供、改进和开发其产品及机器学习技术，并可能由人工审核员阅读（在与我们的账户断开关联之后）。在付费层级，服务商不会使用这些内容改进其产品。若我们转用付费层级，将通过本政策的更新公布。若您不希望某张收据（例如医疗收据）发送给 AI，请以手动方式输入——手动输入不会向 AI 发送任何内容。

后备 AI 读取程序。当主模型不可用或当日免费容量已满时，您的收据或文件可能由同一 AI 服务商的其他模型（适用上述相同层级与条款）读取，或由我们的云分发网络所运行的 AI 读取程序（第4条）读取。根据该网络服务商的条款，其读取的内容不会用于训练 AI 模型，也不会在回复送出后保留。

文件内容是数据，不是指令。应用会指示每个 AI 读取程序只把收据与文件内容视为数据，不执行其中写明的任何指令；每次读取结果仍会显示给您核对后才保存。当工资或税务文件以文字形式发送时，会先隐藏个人识别号码——见工资单、EA/EC 表格与您的文件。

税务问题助手（“问 ListBelanja”）：当您提问时，您的问题及您账户记录的数字摘要（已使用的减免与剩余额度、预计税额——不含收据图片、姓名或电邮）会在相同的服务层级下（见上文）发送至同一 AI 服务。我们仅保存每月提问次数（用于配额）以及所用的模型和令牌，不保存问题或回答文本。

您自己的 AI 助手（个人连接）。若您把自己选择的 AI 助手（例如聊天应用或编程工具）连接到您的账户，需由您本人在应用内的同意页面批准。它只获得您所选范围的只读权限——仅记录摘要，不含文件或图片；其访问令牌以哈希保存，每次访问都会记录供您查看，您也可随时撤销。该助手读取的数据随后由您所选助手的提供者依其条款处理——而非 ListBelanja 的 AI 服务商。

具有网站身份的 AI 助手。为核查请求访问的助手，ListBelanja 会从其网站读取该助手的公开信息（名称与返回地址），最多保存一天；不会向该网站发送您的任何数据。

通过电邮提交收据。您转发到您的收据地址的电邮由我们的电邮服务商（美国）代表我们接收。我们会保存收据附件或正文，直到您处理为止；未处理的会在30天后删除。来自非团体成员的邮件会被拒绝，其内容不会被保存——只保存拒绝原因。只有在您点按“处理”之后，AI 才会读取收据。每份提交（电邮或 Telegram）都会连同提交者一并记录：成员只看到自己的提交，管理员看到团体的所有提交。

记录变更历史。当收据、开销、收入、账户、转账、理财计划、薪资单、储藏物品、购物清单项目或生意记录被更改或删除时，我们会保存由谁更改（或应用自身流程标记为“自动”）、何时，以及仅针对已更改细节的旧值 → 新值；已删除的记录则保存其最后快照。AI 识别文本、文件、MyInvois 凭证与技术细节不予保存。只有可查看该记录本身的人（相同权限——包括获准查看该记录的审计员）才能查看其变更记录；变更记录包含在“下载我的数据”中，不会复制到每日备份，并在“我的数据”所示期限后自动删除——团体关闭或记录所有者删除账户时会提早删除。某人的账户被删除后，其名字会从他人记录的变更记录中清除。

通过 Telegram 提交收据。当您用应用中的代码连接 Telegram 时，我们会为您连接的每个团体，把您的 Telegram 聊天编号与显示名称与您的账户一起保存。您发给机器人的照片或 PDF 会从 Telegram 下载到该团体的收据收件箱，并像电邮收据一样处理。若您的 Telegram 连接了多个团体，机器人会在选择按钮上显示您自己的团体名称；等待您选择的收据只会短暂保存，若您未作答便会自动删除。除此之外，机器人只会向 Telegram 发送简短回复。您可随时在应用中或用 /putus 断开连接；已收到的文件仍保留在您的记录中。

捕获中心、快速记录与银行提醒。快速记录（文字或语音，例如“nasi lemak 5”）会保存为等待您审核的开销。若您把银行或电子钱包的交易提醒电邮转发到您的收据地址，应用只会提取金额、商家名称与日期，生成一条“待审核”记录；OTP/TAC 验证码会被丢弃，完整账号或卡号以及密码从不保存。手机快捷指令使用随机设备令牌发送记录文字，令牌以哈希保存，可随时在应用内撤销。在 iPhone 上，您自行创建的快捷指令自动化（iOS 27）可使用同一令牌发送您选定的银行与电子钱包应用通知文字——它与安卓应用走同一路径（仅金额、商家名称与日期；OTP/TAC 验证码会被丢弃且从不保存）；快捷指令发送的收据图片或 PDF 会像电邮附件一样进入您的收据收件箱。ListBelanja 不会读取您手机上的应用清单；您在该自动化中自行选择应用，并可随时删除它或撤销令牌。

学习到的类别。当记录通过机器人、银行提醒邮件或快捷指令到达时，服务器会读取您自己匹配记录（已核实收据与已审核支出）的名称与类别以建议类别——不会与任何人共享数据。

类别规则。您设定的关键词与类别/减免/项目选择保存在您的账户设置中，并应用于您自己的记录（包括来自 Telegram 与提醒电邮的记录）。

手机通知。当您开启手机通知时，浏览器会提供一个推送订阅地址，我们会连同浏览器类型与语言一起保存。每条通知都以不含任何内容的空白提醒，经由浏览器的推送服务发出；您的设备随后直接从我们的服务器取得通知文字。活动通知（例如报销获批、团体收件箱有新收据）会保存在简短的发件箱中，以便送达您的每台设备，之后自动删除。可随时在“更多 → 提醒与通知”中关闭。

匿名比较（可选）。若您选择加入“与您相似的人”，我们每天一次根据您各项税务减免的申报总额（以 LHDN 上限为限）计算匿名汇总数据，并按表格及税率级别与其他参与者分组。不使用姓名、收据、商家或其他细节；小群组会被合并或不予发布，申报人数过少的减免会被隐藏，数字均经四舍五入。汇总数据不含任何用户识别信息，不会复制到每日备份，并在数个课税年后自动删除。您可随时退出；您的数据将从下一次计算中移除。

语音记录。当您在无收据开销表格中点按 🎤 时，您的语音由您自己的浏览器转换为文字——部分浏览器会把音频发送到浏览器开发商的语音识别服务进行转换。ListBelanja 不会接收、录制或保存任何音频；只有您检查并保存的文字才会成为开销记录。只有在您点按 🎤 并允许后才会使用麦克风，您停止说话、再次点按、保存或取消表格时即停止。

商品价格。每件商品的价格、涨价商品与最便宜的商店，均在您的设备上根据您可查看团体中已保存的收据项目计算。不会收集新数据，也不会发送或分享任何价格。

3. 谁能看到您的数据

您：您输入的收据、支出和记录。
一个账户，多个空间：您加入或创建的每个团体（家庭、公司、协会、客户）都是独立的空间。某空间内的人只能看到该空间的记录——看不到您的其他空间。
您的团体管理员：团体内所有收据，因为由其负责团体的报税。其他成员只能看到自己的收据，除非管理员授予“查看所有人收据”的权限。
报销审核人、批准人与付款人（例如司库、财务经理），经管理员授权：提交给他们决定的报销，包括该报销的收据图片。同时拥有“查看所有人收据”权限的职位（配偶、司库与财务经理等职位的默认权限——管理员可关闭）可看到团体内所有收据。
管理员邀请的审计员或会计师：已申报或已锁定的记录，以及机构已关闭年度的记录，只读。在家庭、个人、生意、专业执业或出租空间中，他们也可查看管理员（该空间的纳税人）的税务资料，只读。
您的工资单、工资分析与文件副本：只有您本人——团体成员、管理员、审计员或受邀会计师都看不到（见工资单、EA/EC 表格与您的文件）。
您的资金账户、转账、规划与朋友欠款：只有您本人。您标记为共享的记录可由您自己团体的管理员读取（不能修改）；共享的资金账户也可由该团体的审计员读取。其他成员与其他空间看不到。
您的完整税务资料（薪金与 EA 表格、PCB、家庭、减免与天课）不会向管理员或其他审计员开放，除非您开启“允许管理员与审计员查看我的完整税务资料”（默认关闭）。家庭税务优化器只向管理员显示您的应缴税额、已缴 PCB 及应补／退税额（不含收入），且您可选择退出。在机构空间中，员工与理事的个人税务不会向任何人开放。
平台所有者：仅汇总统计（账户数量、使用量）。其无法通过应用读取任何用户的收据——没有相关画面或下载，数据库也会拒绝。每日备份仅用于灾难恢复，无法通过应用打开。
基础设施供应商（见下）代我们处理数据，并受其数据处理条款约束。

我们不与广告商、数据经纪商或LHDN共享数据——您本人通过应用发送到 LHDN MyInvois 系统的电子发票文件除外（见生意与电子发票）。只有在马来西亚法律要求时才会披露数据，且除非被禁止，否则会通知您。

4. 数据存放地点

数据库：云数据库服务商，东南亚区域。
图片与文件：云对象存储，查看链接自动过期。
应用：全球云分发网络。
AI读取：AI 服务商（美国）。
后备 AI 读取：与应用相同的全球云分发网络。

这些供应商可能把数据传输到马来西亚境外并在境外处理。此类传输依照2010年个人数据保护法令（经修订）第129条进行：传输是提供您所要求的服务所必需的，您使用本服务即表示同意，而且每个供应商都受其服务条款与安全条件约束（AI 服务商的免费层级见第2条）。

5. 安全

会话保存在脚本无法读取的加密Cookie中（HttpOnly、Secure）。
每一行数据都标记所属团体，数据库拒绝任何跨团体访问（行级安全）。
密码至少12个字符；邀请链接一次性使用，7天后过期。
每月数据库备份均加密。
您的设备上不长期保存任何账户数据。例外：应用所显示数据的最新副本（收据清单、开支、购物清单、设定与 LHDN 表格）保存在本设备的浏览器存储中，以便应用即时打开并在后台刷新——当您登出或会话被拒绝时会自动删除；离线时扫描的收据暂存在设备上，上传后立即删除；无账户访客的“先试试”清单在转入账户后立即删除；以及少量不含个人信息的技术标记（登录前的语言选择、会话提示、应用已安装、本设备已开启手机通知）。
注册和重设密码可能会经过第三方防机器人服务检查（无需验证码）：该服务商仅为安全目的处理浏览器技术信号，不用于广告。
新密码会以 k-匿名方式与公开泄露名单（HaveIBeenPwned）比对：仅发送密码哈希值的前 5 个字符——您的密码从不离开我们的服务器。
每个上传的文件都会在服务器上检查：其内容必须确实是与其类型相符的 PDF 或图片——伪装的 HTML、脚本、SVG 或压缩文件会被拒绝，上传的大小与数量也受限制。文件以阻止浏览器执行其内容的标头提供，查看链接会自动过期。
数据泄露通知。若发生个人数据泄露，我们会依照2010年个人数据保护法令第12B条及专员的指南，在其规定的期限内通知个人数据保护专员以及您（如您受影响）——通过应用内通知及发送至您账户地址的电邮——说明发生了什么、涉及哪些数据以及您可采取的措施。每起事件都记录在我们的泄露登记册中。官方参考：pdp.gov.my。

6. 保存多久

以下每个期限都由应用的每日清理自动执行；没有人会人工审查您的账户。

收据明细与税务记录（商家、日期、金额、类别、减免）在您的账户存在期间一直保存——我们不会自动删除。
收据图片（免费方案）：在LHDN要求的记录保存期内保留（目前为7年），从提交报税表当年年底起计算；之后移除图片，明细保留。付费方案：方案有效期间保留图片，方案结束后自结束日起至少再保留同样的期限。
未使用的免费团体：连续34个月无人登录后，团体管理员会收到电邮通知；收据图片最早在连续36个月无人登录、且通知发出至少60天后才移除（登录即可取消）；收据明细保留。见条款第4条。
您删除的收据在回收站保留30天，然后永久删除。
通过电邮提交但未处理的收据在30天后删除。
您扫描的 EA 表格副本与该年度的税务记录一同保存在文件存储中（作为审计包凭证），只要该 EA 仍在您的税务资料中就会保留，您移除该 EA 时即删除。
工资单（数字）在您的账户存在期间保存，或保存至您删除该月份为止。工资单与 EA/EC 表格的文件副本只有在您选择时才会保存，并在您删除该副本、该月份或该 EA 表格，或删除账户时一并删除。
资金账户、转账、目标、贷款、朋友欠款、产品与库存在您的账户存在期间或至您删除为止保存，并随您的账户一并删除。
快捷指令令牌、AI 助手连接与日历链接保留至您撤销为止，并随您的账户一并删除。
等待选择团体的 Telegram 收据与活动通知发件箱属临时数据——两者都会在短时间后自动删除。
机构记录：您在机构空间（公司、协会、事务所、生意、专业执业、出租）录入的收据、开销与报销，以及任何团体中已批准或已付款的报销与已锁定年度的收据，在您退出、被移除或删除账户时仍保留在该团体（转交其管理员）。
团体关闭时，该团体所有成员立即被停用（之后任何人都无法登录该团体），该团体的所有数据——收据、图片、税务记录和账户——在30天后永久删除。仍在其他空间活跃的成员保留其账户及这些空间（会获得一个新的个人团体）。在此之前，可发电邮至sokongan@listbelanja.com申请重新开启；请在关闭之前导出数据。付款记录为会计用途保留（见支付处理），备份中的副本在备份保留期结束后消失（见备份）。

7. 您在PDPA下的权利（包括删除账户）

访问与副本：更多 → 数据与恢复 → 我的数据列出关于您保存的每类数据、谁能查看以及保存多久；下载备份（JSON）提供副本，审计资料包 ZIP 提供收据及其图片。
更正：随时在应用内编辑任何记录。
数据可携带：下载 JSON 备份（见上）是您数据的机器可读副本，您可以将其交给任何其他方。您也可以通过“帮助与反馈”或下方电邮，要求我们把您的数据直接发送给您选择的另一数据控制者；我们依照2010年个人数据保护法令第43A条，在技术可行且数据格式兼容的范围内执行。
撤回同意／删除：任何用户都可在“更多 → 数据与恢复 → 删除我的数据”删除自己的数据和账户。在应用内即时生效，无需电邮或表格。您的文件副本（EA/EC 表格、工资单、收入文件）也会一并删除，仍被保留在其团体的机构记录所引用的除外。团体管理员也可关闭整个团体（关闭团体）。例外：已锁定年份（已向LHDN申报）的收据以及已批准或已付款的报销会转移给您的团体管理员而非删除，因为法律要求保存税务记录，且这些是团体的财务记录；在机构空间中，您录入的记录保留在该机构。确认前会告知您。
限制处理：您可停止使用AI功能，改为手动添加收据。
投诉：请先联系我们；您也有权向马来西亚个人数据保护专员投诉。
联系我们：sokongan@listbelanja.com——用于数据请求、投诉或隐私问题。
数据保护官：数据保护方面的请求、询问与投诉由 ListBelanja 运营者通过上述渠道处理。当法令第12A条要求委任数据保护官时，将委任该官员，并通过相同渠道联系。

8. Cookie

我们只使用一个必要的Cookie：您的登录会话。没有跟踪Cookie或第三方分析。

9. 儿童

账户由成年人开设。18岁以下成员只能由对其负责的团体管理员邀请，其数据由该管理员控制。

10. 变更

本政策的重大变更将在生效前至少14天于应用内公布——主页上会出现附有变更摘要的卡片。每个版本（包括细微变更）都记录在下方的变更记录中。

11. 联系我们

有关您数据的问题、投诉或请求：应用内的更多 → 帮助与反馈——状态和我们的回复都显示在那里。删除无需申请：更多 → 数据与恢复 → 删除我的数据即时生效——详情见您在PDPA下的权利。

工资单、EA/EC 表格与您的文件

简而言之。您上传的文件只有您本人可以查看和使用。文件会尽可能在您的设备上读取；只保存您确认的数字。只有在您选择时才会保存文件副本，且可随时删除。

在您的设备上读取。属于数字 PDF 的每月工资单与 EA/EC 表格（例如由雇主薪资系统或政府工资单生成）直接在您的浏览器中读取——文件不会发送给任何 AI，也不占用您的扫描配额。不是工资单或表格的文件会被拒绝，且不会发送给 AI。
保存的内容。只保存您核对并确认的数字——工资单：月份、雇主名称、总收入、扣款、净工资、应税收入，以及每一行收入与扣款的名称和金额；EA/EC 表格：录入税务资料的数字（第1条）。部分扣款项目（例如天课）可能透露宗教信仰——属于敏感个人数据——仅因其印在您选择保存的工资单上才会保存，且只用于您本人的分析。
不保存的内容。文件上的身份证号、银行账号、公积金／社险编号、工资或员工编号以及税务编号（TIN）只会被识别出来以便忽略。文件上的姓名只会与您的账户名称比对，以便在文件可能属于他人时提醒您；该姓名不会被保存。
谁能看到。只有您本人。工资单及其分析不会显示给团体成员、管理员、审计员或受邀会计师。税务资料中的 EA/EC 数字依照第3条的税务资料规则处理（只有经您许可才向管理员与审计员开放）。您上传的文件副本只有您本人能打开；平台所有者无法通过应用打开，除非马来西亚法律要求，否则不会向任何人披露（第3条）。
保留副本是可选的。每个上传流程都有一个保留文件副本的勾选框；不勾选就完全不会上传文件。默认设置可在“更多 → 隐私”中更改：工资单——不保留副本；EA/EC 表格——在 LHDN 记录保存期内保留副本作为税务凭证（目前为7年）。您可随时删除副本——已确认的数字仍保留。
只有在您选择时才使用 AI 读取。若文件无法在您的设备上读取（例如照片或扫描版 PDF），不会自动发送任何内容给 AI。您可以自行填写数字，或点按 AI 读取按钮：文件随后会发送给与收据扫描相同的 AI 读取程序（第2条），并占用您配额中的一次扫描。当文件以文字形式发送时，身份证号、税务编号、账号、公积金／社险编号、工资编号、电邮与电话号码会在发送前被隐藏；图片则按原样发送。
批量扫描 EA 表格（事务所、人力资源与会计师）。批量扫描的表格由 AI 逐一读取；不会上传到账户存储，读取结果只保存在该浏览器标签页中，直到标签页关闭或被清空。扫描他人表格的用户必须获得相应许可（见条款：您上传的文件）。

加密文件保险箱。您添加的文件与备注在上传前于您的设备内用由密码短语派生的密钥加密；我们只保存加密数据，无法读取。您的密码短语与恢复码从不发送给我们。类型、简短标签与到期日以未加密方式保存在您的账户设置中，以便提醒。删除文件或账户时，加密文件会被删除。

资金、账户与规划

账户与余额。您创建的账户（现金、银行、信用卡、电子钱包、储蓄、贷款）保存您填写的名称、类型、货币、期初余额及其日期、信用额度与账单日。ListBelanja 不会索取或保存银行账号或卡号，也不会连接您的银行——余额根据您输入的记录计算。
转账、目标与贷款。您自己账户之间的转账、储蓄目标，以及贷款与先买后付（您填写的贷方、金额、利率与分期）会被保存，用于余额、还款计划与估算——全部为估算，不是理财建议。
朋友欠款与分账。只保存您输入的姓名、金额与还款记录——没有电话号码、电邮或其他联系资料，也没有公开链接。您通过自己复制的信息分享余额。
订阅、账单、车辆与援助。订阅与账单、车辆资料（例如类型及路税或保险到期日）以及您为政府援助估算填写的资料，保存在您的账户设置中。估算在应用内根据已公布的官方表格计算；ListBelanja 不连接政府系统，也不保存身份证号。
资金日历。若您创建私人日历链接，只保存其令牌的哈希；链接可随时撤销并更换。
谁能看到与保存多久。只有您本人——您标记为共享的记录除外（第3条）。在您的账户存在期间或至您删除为止保存；随您的账户一并删除。

理财日历订阅（可选）。若您开启“包括 STR 阶段与 SARA 到期”，已公布 STR 阶段与 SARA 余额到期日的标题和日期也会发送给订阅您私人链接的日历应用——不含金额与收据。默认关闭，可随时关闭。

孩子零用钱与红包。孩子昵称（不含身份证号或出生日期）、零用钱、储蓄与红包记录只保存在您的账户设置中——群组其他成员看不到。

团体账本与评论。团体共享账本保存账本名称、成员（应用用户或仅访客姓名——不含电话号码或电邮）、共享开支、付款人、每位成员的份额、汇率与结算；仅该空间的管理员与成员可见（审计员不可见）。记录上的评论对所有能查看该记录的人可见；@提及会发送不含评论内容的通知。删除账户时，您的评论会一并删除，而您在账本中的姓名会保留为一行姓名，以免其他成员的余额改变。

扫描的账单与每周摘要。当您扫描或输入未付账单时，账单上的收款方名称、金额、到期日以及账单账号或 JomPAY 参考号会与订阅和账单一起保存在您的账户设置中，用于提醒与付款——这些不是银行账号或卡号。每周电邮或通知摘要仅在您开启后发送，并根据您自己的记录计算。

生意与电子发票

生意记录。收入来源、进账与支出、资产、税款、发票、报价单与贷记单、您录入的客户资料、产品与库存变动会被保存，用于 B 表格、发票与报表。团体管理员及获授权生意记录的成员可查看团体的生意记录；审计员只读。
MyInvois（可选）。若您连接 LHDN 的 MyInvois，您的 Client ID 与 Client Secret 会以服务器密钥加密保存，且从不回传到浏览器。电子发票文件（卖方、买方、项目与税务资料）只有在您点按“发送”时才会发送到 MyInvois，之后由 LHDN 依税法处理。您可随时断开连接。
生意记录在账户存在期间保存；您退出机构团体时仍保留在该团体（第6条）；并随账户或团体一并删除。

MyInvois 数码证书。若您载入数码证书文件（.p12/.pfx）以签署电子发票，该文件及其密码仅在您的浏览器中打开。私钥绝不会发送到我们的服务器，也不会被保存——它只保留在会话内存中，并在您登出、屏幕锁定、页面关闭或闲置一段时间后被清除。我们只在您的设置中保存证书的公开资料（持有人名称、签发机构、序列号、有效日期及指纹），用于显示及到期提醒；您可随时删除（“忘记证书资料”）。已签名的文档仅在您选择提交时，使用您自己的 MyInvois 凭证发送到 MyInvois。

出租屋况报告。您记录的租客姓名、房间与物品状况、备注、表读数、照片与确认姓名保存在您的账户设置与文件存储中；您有责任告知租客这些报告与照片会被保存。

零用现金、出差、员工与客户。零用现金、付款凭单、出差预先批准与预支款保存标题、金额、日期、收款人、项目、关联收据以及审核、批准或记录付款的人员；申请人、该空间的报销审核人、批准人与付款人、管理员以及审计员（只读）可见。员工薪资与休假（姓名、职位、出生与入职月份、薪金、津贴、婚姻状况、子女人数、休假——不含身份证号码）、客户对账单、价格等级、自定义字段与自开电子发票供应商资料保存在您的账户设置中；不保存供应商的 MyKad 号码。

PDF 文件、银行对账单与不再被引用的文件。发票与客户收据 PDF 在您的设备内生成，只有在您自行分享或发送时才会离开设备——我们不会向您的客户发送电邮。为机构收入导入的银行对账单在设备内读取；只有您选择的入账行会保存为收入记录，说明中较长的账号或卡号会在保存前隐藏。不再被任何记录引用的业务记录附件，会在与备份期相同的安全期后由每日自动清理删除。

设备、连接与试用模式

设备锁。您的面容、指纹或 PIN 由您自己的设备验证——ListBelanja 从不接收或保存生物特征数据。账户设置中只保存随机凭证标识、浏览器类型、设备系列与登记日期，以便应用知道哪些设备已上锁。可随时在“更多”中移除设备。
隐私模式。“隐藏金额”只改变您屏幕上的显示；该设置保存在您的账户中。
无账户试用模式。试用时建立的购物清单与现金开销只保存在该设备的浏览器存储中——不会发送到我们的服务器——只有在您注册或登录时才会转入账户。
分享卡与遗属信。社交媒体卡片与遗属信在您的设备上生成；只有在您自行分享、打印或保存时才会离开设备。
快捷指令与连接。手机快捷指令令牌与您的 AI 助手连接以哈希保存，可随时撤销，并随您的账户一并删除（见第2条与通过电邮提交收据）。

GPS 行程记录。只有在您点“开始”后且应用打开时才读取位置；坐标只保存在设备内存中，行程结束即丢弃——只保留您保存为里程报销的总公里数。

头像与两步验证（可选）。头像在您的设备上裁剪并缩小，然后保存在账户设置中。若您开启两步验证，身份验证器应用的密钥由我们的登录服务保存与核验；我们只保存一次性恢复代码的加盐哈希——这些代码无法被读回，不复制到每日备份，并随您的账户一并删除。

ListBelanja 安卓应用（可选）。ListBelanja 安卓应用通过您手机的浏览器引擎（支持可信网站显示的默认浏览器）在应用内显示本网站：本隐私政策完全适用，登录状态与网站存储与该浏览器共享，应用不收集任何额外数据。应用更新仅从 listbelanja.com 下载，并在安装前核对其指纹。为建议银行与电子钱包应用，应用仅在手机上将已安装应用的包名与内置清单比对——您的应用清单绝不会被发送。通知捕获为可选且默认关闭，直到您开启：若您授予通知使用权，它只会在您的手机上读取您勾选的银行与电子钱包应用的通知。含 OTP/TAC 验证码的通知绝不会发送；较长的卡号与账号在发送前会被遮盖；只有交易通知的应用名称、标题与文字会通过可撤销的设备令牌发送到您的 ListBelanja 账户。服务器不记录促销、额度、余额或充值。此应用不请求短信、联系人或位置权限，令牌也不会复制到手机的云端备份。

两种版本，同一个安卓应用。安卓版 ListBelanja 是同一个应用（相同的包名与签名），提供两种版本。（1）来自 listbelanja.com 的 APK——不读取您的通知、短信或屏幕，也不请求通知使用权；其更新从 listbelanja.com 下载，并在安装前经过核验。（2）来自安卓官方应用商店的 ListBelanja——包含上述可选的通知捕获：在打开通知使用权画面之前，应用会在应用内显示说明，解释读取什么（仅限您勾选的银行与电子钱包应用的通知）、为什么（把付款与入账记录到“待核对”）、发送什么（交易通知经手机内过滤后的标题与内容、应用名称与时间，通过 HTTPS 连同您的设备令牌发送——ListBelanja 从中记录金额、商家或收款方及日期），以及 OTP/TAC 验证码会在手机内丢弃。在您点“接受”之前不会读取任何通知；您可以拒绝，或随时在手机设置中关闭使用权。应用商店版本的更新由安卓官方应用商店处理。您的数据不会被出售，也不会为广告目的分享。应用商店上架状态会从公开的上架页面自动检查——不涉及任何用户数据。

发送给客服的电邮

当您发送电邮至 sokongan@listbelanja.com 时，我们会把您的电邮地址、显示名称、主题、内容与附件保存在客服收件箱中，以便回复并查阅该对话。这些电邮不会自动关联到您的应用账户。被标记为垃圾的电邮会自动删除；其他对话会保存至您要求删除为止——回复该电邮或联系我们（第7条）。

支付处理

订阅付款由持牌支付处理商（符合 PCI DSS）处理。ListBelanja仅从该处理商获取管理您订阅所需的信息（客户标识、订阅状态、付款金额与日期，以及处理商显示的卡号末四位）。完整卡号和CVC码从不发送给或保存于ListBelanja。付款记录为会计与税务目的至少保存LHDN记录保存期（目前为7年）；支付技术事件记录在12个月后删除。

反馈

当您在应用内提交反馈时，我们保存您的信息、类型及技术资料（当前页面、语言、设备与浏览器类型、是否已安装应用）。不附带任何收据内容。只有当您勾选“允许所有者联系我”时，您的电邮才会与报告一起保存。反馈用于改进服务，若您删除账户则立即删除，并在解决或关闭24个月后永久删除。

为 ListBelanja 评分

您可以在设置中为 ListBelanja 评分（1 至 5 星，评论可选）。我们将星级、评论、语言和日期与您的账户一起保存——每位用户一个评分，可随时修改或移除。所有评分的平均值及数量会显示在 ListBelanja 的公开页面和面向搜索引擎的结构化数据中（作为真实用户评分，不含姓名）。只有当您勾选“允许显示我的评论”时，您的评论才会公开显示——只显示您的名字，且包含电邮、电话号码或链接的评论会被拒绝。平台所有者可以隐藏滥用此功能的公开评论（垃圾信息、链接、冒犯性内容）或删除来自虚假账户的评分——您的文字从不被编辑，且每项操作都会被记录。评分会随您的账户立即删除。

市场与厨房

位置。当您点按“使用我的位置”时，浏览器会请求您的许可。坐标在保存到您的账户设置或发送以查找附近商店之前，会在您的设备上四舍五入到小数点后 2 位（约 1 公里）——绝不保存或发送您的精确位置。您也可以只选择州属与县区。公开页面上的价格工具不会保存任何位置。

价格提醒、报告与确认。价格提醒会把商品、目标价格或下降百分比、四舍五入后的位置及搜索距离与您的账户一起保存；服务器在价格数据更新后检查并发送通知。您提交的价格或促销报告（商店、商品、价格、促销日期、可选备注，以及从收据分享时的该收据）与您的确认会与账户一起保存，用于每日上限与防止滥用；其他用户只能看到价格、商店、日期、状态与确认次数——绝不显示您的名字，您的收据仍为私有。提醒、报告与确认会随您的账户一起删除。

扫描价格标签与传单。当您扫描货架价格标签或促销传单来填写报告时，照片会直接发送给与收据扫描相同的 AI 读取程序，仅用于读取（商品名称、规格、价格、原价、促销截止日期，以及印有的商店名称）——我们不会保存照片。读取结果只会填入您设备上的表格；在您检查并点按“提交报告”之前，不会发送任何报告。每次扫描计入您团体的 AI 扫描配额。

储藏、菜单与饮食选择。储藏与每周菜单和购物清单一样属于团体数据（拥有相同权限的成员可查看与修改），并用于即将到期商品的提醒；按团体规则删除。饮食选择（如有选择）保存在您的设置中，只用于菜单与替代商品建议。

商店会员卡。您保存的商店名称与会员卡号用于在柜台显示该卡的条形码；条形码在您的设备上绘制，不会向商店发送任何内容。支付卡（借记卡/信用卡）号码会被拒绝且不会保存。您移除会员卡或删除账户时即删除。您为核对收据收费而扫描的价格标签（商品、价格、商店与日期）会在您的账户设置中短期保存，以便应用与您的收据比对。

条形码与参考数据。条形码图片在您的设备上读取。当您查询条形码时，只有其号码由我们的服务器发送到开放产品数据库 Open Food Facts——不含您的账户信息或位置——产品名称会被保存以供日后查询。商品价格是 KPDN PriceCatcher 开放数据（OpenDOSM）；商店位置根据邮区（GeoNames）以及经 OpenStreetMap 的商店名称/地址估算。这些参考数据不含任何用户数据。

命名购物清单与任务。清单名称、排序、默认标记和归档状态与您的团体一同保存，团体管理员和成员可见（审计员不可见）。项目指派给成员时，商店名称和该成员会保存在项目上。成员删除账户时，其创建的清单转交团体管理员；删除清单会把项目移至主清单。

食物浪费。每条浪费记录保存食物名称、数量、原因、估算价值及其来源、日期、可选备注，以及与储藏物品或收据的关联，并与您的团体一同保存；团体管理员和成员可见，审计员不可见。价值在您的设备上根据您的收据及已加载的市场价格数据计算——不会向任何第三方发送数据。记录会随账户或团体一并删除，或在您删除时删除。

我的商店、菜单与食谱。您关注的商店（商店代码和名称，最多十家）、菜单设置（预算、人数、餐次、菜系）和“我的食谱”（仅标题和食材——不保存做法，最多二十道）保存在您的账户设置中。“我的商店”每周汇总使用这些商店代码读取 KPDN 公开价格，并按您的提醒设置通过电邮或通知发送。保存到膳食计划的菜单可被您的团体查看。粘贴的食谱文字在您的设备上解析，绝不发送给 AI。

条形码与价格卡。扫描条形码只会把条形码号码（不含您的身份）发送到开放商品数据库；商品详情保存在共享缓存中。ListBelanja 不判定清真状态——只链接官方门户。带图表的价格卡在您的设备上根据公开价格绘制，不含位置、商店或收据。

路线图与功能建议

当您建议功能时，建议文本及其语言会与您的账户一起保存。后台 AI 读取程序（与扫描相同的 AI 服务商）会检查它——垃圾信息、投诉或重复——并以 3 种语言撰写简短标题与说明；应用内及公开路线图页面只显示标题、说明、状态与票数——绝不显示您的名字或原文。您的投票会被保存（每项建议一票），用于计算总数并在建议建成时通知您；投票者名单绝不公开。您可随时撤回投票。删除账户时，您的投票会被删除，您的建议则以匿名形式保留。

自动错误报告

当应用遇到技术错误时，会向我们发送匿名报告：错误信息、当时打开的页面、应用版本、语言、浏览器与系统类型、是否在线以及是否已安装应用。报告不包含账户、电邮、团体、IP地址或收据内容，无法与您关联。保存前，服务器还会从错误信息中删除识别号码、金额、电邮与引用的文字。报告在30天后删除。

备份

为防止数据丢失，数据库每日备份（在我们的私人存储中保留14天）并每月备份（加密，保留90天）。密码从不备份。您删除的数据在旧备份中保留至保留期结束，然后完全消失；备份仅用于故障后恢复服务，不作他用。

变更记录

版本 1.26 · 2026年11月8日 — 设备：ListBelanja 安卓应用现提供两种版本，同为一个应用——来自 listbelanja.com 的 APK 不读取通知、短信或屏幕；来自安卓官方应用商店的 ListBelanja 包含可选的通知捕获，并在应用内显示说明（读取什么、为什么、发送什么、OTP/TAC 在手机内丢弃），在您点“接受”之前不会读取任何通知。应用商店版本的更新由安卓官方应用商店处理。不收集任何新数据，数据也不会被出售。
版本 1.25 · 2026年11月7日 — 设备：在 iPhone 上，您自己的快捷指令自动化（iOS 27）可使用设备令牌把您选定的银行与电子钱包应用通知文字发送到 ListBelanja——服务器只保留金额、商家名称与日期；OTP/TAC 验证码会被丢弃且从不保存；快捷指令发送的收据图片或 PDF 会像电邮附件一样进入您的收据收件箱。您手机上的应用清单从不会被读取。
版本 1.24 · 2026年11月7日 — 设备：安卓应用仅在手机上将已安装应用的包名与内置清单比对以建议银行与电子钱包应用——您的应用清单绝不会被发送；通知使用权仍为可选。
版本 1.23 · 2026年11月7日 — 设备：ListBelanja 安卓应用现为完整应用——本网站通过手机浏览器引擎显示在应用内（登录状态与存储与该浏览器共享；不收集额外数据）；应用更新仅从 listbelanja.com 下载并核对指纹；通知捕获仍为可选，默认关闭直至开启。
版本 1.22 · 2026年11月7日 — 设备：可选的安卓应用 ListBelanja 捕获只在手机上读取您勾选的银行与电子钱包应用的通知——OTP/TAC 验证码绝不发送，较长号码会被遮盖，促销、额度、余额与充值不会被记录；令牌可撤销。
版本 1.21 · 2026年11月6日 — 资金：团体账本与评论（成员仅姓名，空间成员可见；@提及不含评论内容）、扫描的账单（账单账号与 JomPAY 参考号保存在设置中）与可选的每周摘要。生意：零用现金与出差、不含身份证号码的员工薪资与休假、不含 MyKad 的自开电子发票供应商。设备：头像与两步验证（仅保存恢复代码哈希）。
版本 1.20 · 2026年10月30日 — 第2条：记录变更历史（谁在何时更改了什么——仅可查看该记录的人可见，不复制到每日备份，自动删除）；可选的匿名比较（不含身份标识的汇总）；具有网络身份的 AI 助手；学习到的类别与您的类别规则。“资金”“生意与电子发票”“文件”“设备”与“市场与厨房”新增段落：日历订阅中的 STR 阶段与 SARA 到期（可选）、孩子零用钱与红包、MyInvois 数码证书（私钥绝不离开您的设备）、出租状况报告、在设备上处理的发票 PDF 与银行对账单、加密文件保险箱、GPS 行程记录（不保存坐标）、命名购物清单与任务、食物浪费、我的商店、菜单与食谱。
版本 1.19 · 2026年10月30日 — 新增“资金、账户与规划”（账户与余额不含银行账号或卡号、转账、目标、贷款、仅保存姓名的朋友欠款、订阅、车辆与援助估算保存在设置中）、“生意与电子发票”（MyInvois 凭证加密保存；只有在您点按发送时才把电子发票发送给 LHDN）、“设备、连接与试用模式”（设备锁不涉及生物特征数据，试用模式只在设备上）以及“发送给客服的电邮”。第2条：您自己的 AI 助手（只读、令牌哈希保存、可撤销）；捕获中心、快速记录与银行提醒电邮（丢弃 OTP/TAC）；商店会员卡。第3条：您标记为共享的记录；您发送到 MyInvois 的电子发票。第7条：“我的数据”列出所保存的内容。
版本 1.18 · 2026年10月29日 — 新增“工资单、EA/EC 表格与您的文件”条款：尽可能在设备上读取；只保存您确认的数字——身份证号、银行账号、公积金／社险编号、工资编号与 TIN 均被忽略；工资单与文件副本只供您本人使用；文件副本可选，并可在确认后删除；只有在您选择时才使用 AI 读取，且发送的文字会先隐藏识别号码。第2、4条：云分发网络上的后备 AI 读取程序（内容不用于训练模型，也不保留）；不执行文件中的指令；依第129条进行跨境传输。第5条：服务器检查文件内容，并依第12B条通知数据泄露。第7条：数据可携带（第43A条）与数据保护官；“删除我的数据”现亦删除文件副本。自动错误报告现会删除数字、金额与引用文字。
版本 1.17 · 2026年10月24日 — “市场与厨房”条款：扫描价格标签与促销传单（可选）——照片发送给与收据扫描相同的 AI 读取程序，仅用于读取，不会被保存；读取结果只会填入您设备上的报告表格，在您检查并提交之前不会发送任何报告；每次扫描计入团体的 AI 扫描配额。
版本 1.16 · 2026年10月24日 — 新增“市场与厨房”条款（可选功能）：位置在保存或发送前于设备上四舍五入至约 1 公里，或只使用州属与县区；价格提醒、价格报告与确认与账户一起保存，向他人显示时不含您的名字；储藏与菜单和购物清单一样属于团体数据；饮食选择只用于菜单与替代商品；条形码查询只把号码发送到开放产品数据库；价格与商店位置是不含用户数据的开放参考数据。新增“路线图与功能建议”条款：建议文本与账户一起保存并由后台 AI 检查；只显示标题、说明、状态与票数（绝不显示您的名字或原文）；投票会被保存，用于计算总数并在建成时通知您。
版本 1.15 · 2026年10月24日 — 第5条说明（所收集的数据、可查看者与您的权利均无变化）：应用将所显示数据的最新副本（收据清单、开支、购物清单、设定、LHDN 表格）保存在您自己设备的浏览器存储中，以便即时打开并在后台刷新；该副本在您登出或会话被拒绝时自动删除，且从不发送到任何地方。
版本 1.14 · 2026年10月17日公布, 2026年10月24日生效 — 说明（您的权利没有变化）：第1条现列出您在“税务资料”中填写的每项税务数据——薪金与 EA 表格（雇主名称与编号、EA 文件副本）、家庭状况、按类别的子女、残疾（OKU）状况（与健康相关的数据，仅在您勾选时保存）、无收据减免、天课与捐款及其他收入；Telegram 连接（聊天编号、您发送的文件、选择按钮上您的团体名称、等待选择团体的收据）；以及手机通知订阅与活动通知发件箱。第6条：移除 EA 时其副本即删除；等待中的 Telegram 收据与通知发件箱会自动删除。
版本 1.13 · 2026年10月16日公布, 2026年10月24日生效 — 说明（所收集的数据与您的权利均无变化）：平台所有者无法通过应用读取收据——已移除应用内的完整备份下载，每日备份仅用于灾难恢复；拥有“查看所有人收据”权限的职位（配偶、司库与财务经理的默认权限，管理员可关闭）可看到团体内所有收据；现已准确列出保存在设备上的内容（离线扫描的收据在上传前暂存、不含个人信息的技术标记）；语音记录：语音由您的浏览器转换为文字，ListBelanja 不会接收音频；商品价格在您的设备上根据现有收据项目计算。
版本 1.12 重大变更 · 2026年10月10日公布, 2026年10月24日生效 — 一个账户，多个空间：您加入或创建的每个团体相互独立。您的完整税务资料仅在您同意时向管理员与审计员开放（默认关闭）；受邀会计师／审计员可只读查看个人／家庭／生意空间管理员的税务资料。报销批准人与付款人只看到其决定的报销。机构记录及已批准／已付款的报销在您退出或删除账户时仍保留在其团体。收据收件箱的提交会连同提交者记录。“住户”用语改为“团体”。查看旧版本
版本 1.11 · 2026年10月2日 — 技术供应商名称改为服务类别（AI 服务商、云数据库与存储服务商、分发网络、持牌支付处理商、电邮服务、防机器人服务）——包括本历史记录。所收集的内容、处理方式和您的权利均无变化。
版本 1.10 · 2026年10月2日 — 新增“为 ListBelanja 评分”：星级和可选评论与账户一起保存（每位用户一个，可移除）；匿名平均值显示在公开页面和结构化数据中；只有经您允许才会公开显示评论（只显示名字）；所有者可隐藏滥用评论或删除虚假账户的评分——文字从不被编辑。
版本 1.9 · 2026年10月1日 — 第6条改写为完整的自动保存期限清单——收据明细、收据图片（LHDN记录保存期；付费方案）、未使用的家庭（先发电邮通知）、回收站、电邮收据、关闭家庭——每个期限都直接取自应用设定。更正：关闭的家庭在关闭期满之后（而非之内）删除；由于成员已无法登录，只能通过电邮申请重新开启；备份中的副本随备份保留期届满而消失。另列明支付技术事件记录。
版本 1.8 · 2026年9月27日 — 通过电邮提交收据：转发到家庭收据地址的电邮由我们的电邮服务商代表我们接收；收据附件或正文保存至处理为止（30 天后删除）；来自非家庭成员的邮件会被拒绝，且不保存其内容。
版本 1.7 · 2026年9月27日 — 联系电邮 sokongan@listbelanja.com 用于数据请求和投诉；新密码以 k-匿名方式与公开泄露名单比对（密码从不发送）。
版本 1.6 · 2026年9月27日 — 第5条：注册和重设密码可能会经过第三方防机器人服务检查（无需验证码；仅为安全目的处理浏览器技术信号）。
版本 1.5 · 2026年9月27日 — 第2条更正：ListBelanja 目前使用 AI 服务商的免费层级——根据服务商条款，所提交的内容可能被用于改进服务商的产品并由人工审核员阅读。先前关于数据不用于训练模型的说明已撤回。手动输入不会向 AI 发送任何内容。
版本 1.4 · 2026年9月27日 — 第2条扩充：税务助手“问 ListBelanja”——您的问题及记录的数字摘要（不含收据图片、姓名或电邮）会发送至 AI 服务；仅保存提问次数和模型/令牌，不保存问题文本。
版本 1.3 · 2026年9月25日 — 新增“自动错误报告”：匿名技术报告（不含账户、电邮、IP或收据），30天后删除。
版本 1.2 · 2026年9月24日 — 交叉引用改写为清晰的链接；第10条说明如何在应用内公布变更；新增变更记录。您数据的使用方式没有变化。
版本 1.1 · 2026年9月24日 — 数据请求与删除账户现可直接在应用内完成（“帮助与反馈”、“删除我的数据”）；新增英文与中文译本。
版本 1.0 · 2026年9月20日 — 首个版本。

重大变更将在生效前至少14天于应用内公布。细微变更（拼写、翻译、排版或说明）仅记录于此。