个人数据保护与隐私政策

Provident Fiduciaries Berhad (注册号 202301011447 (1505369-T))

引言

本个人数据保护与隐私政策（“隐私政策”）规定了 Provident Fiduciaries Berhad（注册号 202301011447 (1505369-T)）（“PFB”）在个人数据处理方面的政策与实践，包括根据马来西亚《2010年个人数据保护法》（“PDPA”）、其修订案、附属法规及其他适用法律法规，对个人数据的收集、使用、披露、存储、保留及跨境传输等处理方式。

1. 定义

在本隐私政策中：

“适用法律” — 指在马来西亚现行有效的所有数据保护、隐私及相关法律、法规、附属立法、监管指南或行为准则，包括 PDPA 及其修订内容，以及在适用情况下涉及跨境传输、披露或处理个人数据的法律。
“客户” — 指作为 PDPA 下数据主体的任何自然人，其个人数据由 PFB 处理，包括但不限于潜在、现有及前客户、企业客户代表、网站访问者、求职者以及任何与 PFB 互动并提供个人数据的个人。
“个人数据” — 指与商业交易相关的任何信息，该信息直接或间接涉及可识别或可被识别的个人，并由 PFB 以自动或非自动方式全部或部分处理，或旨在纳入文件系统中，根据《2010年个人数据保护法》规定。
“处理” — 指对个人数据进行的任何操作或一组操作，包括收集、记录、保存、存储、组织、调整、更改、检索、查询、使用、披露、传输、传播、组合、纠正、删除或销毁等，无论是否通过自动化方式进行。
“敏感个人数据” — 指与个人身体或心理健康状况、政治观点、宗教信仰或类似性质信念、指纹或其他生物识别数据、犯罪或涉嫌犯罪行为相关的个人数据，以及 PDPA 规定的其他类别数据。

2. 个人数据的收集

2.1. PFB 可通过实体或数字方式，或从授权第三方处收集、接收并处理个人数据，以用于建立合同关系、提供服务、履行监管义务或开展业务运营。个人数据类别包括但不限于：

(a) 官方身份证明文件上的全名；
(b) 身份证号码（如身份证 NRIC、护照或其他官方识别号码）；
(c) 出生日期、性别、国籍；
(d) 住宅、商业或通讯地址；
(e) 联系方式，如电话号码及电子邮件地址；
(f) 银行账户及税务识别信息；
(g) 就业及商业信息；
(h) 信贷相关信息及依法来自信用报告机构的数据；
(i) 风险情报数据，包括制裁名单、观察名单或政治公众人物（PEP）筛查；
(j) 财务状况数据，包括资金来源、财富来源及净资产估计；
(k) 生物识别数据，如指纹等（需明确同意）；
(l) 其他为监管或业务需要所必需的个人数据。

2.2. 若客户提供他人个人数据（如受益人或授权代表），客户须确保该披露合法并已取得必要同意。

2.3. PFB 亦可能处理与客户相关的第三方个人数据。

2.4. 本政策应与 PFB 不时发布或纳入的其他数据保护声明一并阅读。

3. 生物识别数据收集

3.1. PFB 可在合法及必要情况下收集生物识别数据（如指纹或面部识别数据），并仅在取得明确同意后进行。

3.2. PFB 将采取加密、安全存储及访问控制等措施保护该类敏感数据。

4. 个人数据处理目的

4.1. PFB 收集、使用及披露个人数据仅用于以下目的：

(a) 建立及维护业务关系；
(b) 客户尽职调查及反洗钱合规；
(c) 通信及服务管理；
(d) 内部管理及审计；
(e) 支付及结算；
(f) 身份验证及安全；
(g) 防止欺诈及违规；
(h) 法律合规；
(i) 权利保护及争议解决；
(j) 风险评估；
(k) 数据验证；
(l) 招聘管理；
(m) 市场或信息发布（需同意）；
(n) 与上述目的直接相关的其他用途。

2. 客户可随时撤回同意，但不影响此前合法处理。

3. PFB 将采取合理安全措施保护数据。

4. 联系方式不会用于未经同意的营销用途。

5. 数据保留

5.1. PFB 仅在必要期限内保留个人数据。

5.2. 保留期限取决于法律、合同及业务需求。

(a) compliance with statutory retention periods prescribed under the Companies Act 2016, Trust Companies Act 1949, Trustees Act 1949, or other applicable legislation;
(b) the establishment, exercise, or defence of legal rights or claims under contract or law; and
(c) compliance, audit, or governance requirements, including internal policy or regulatory directives.

6. 数据披露

6.1. PFB 可向以下方披露个人数据：

(a) 内部员工及授权人员；
(b) 集团公司；
(c) 授权第三方代表；
(d) 服务供应商及顾问；
(e) 政府及监管机构；
(f) 并购相关方；
(g) 信用机构；
(h) 经客户授权方；
(i) 法律允许的其他必要方。

6.2. 所有披露均基于“最低必要原则”。

7. 数据权利

7.1. 数据主体可享有以下权利：

(a) 访问数据；
(b) 更正数据；
(c) 删除数据；
(d) 撤回同意；
(e) 数据可携权。

7.2. 请求需书面提交。

7.3. 可能收取合理费用。

8. 撤回同意

8.1. 可撤回基于同意的数据处理。

8.2. 撤回可能影响服务提供。

8.3. 法律及合同所需处理不受影响。

8.4. Notwithstanding any withdrawal of consent, PFB shall be entitled to continue processing personal data to the extent such processing is required or authorised under applicable law, including:

(a) 法律合规；
(b) 合同履行；
(c) 法律权利；
(d) 法院命令；
(e) 审计与记录。

9. 数据管理

9.1. 客户需确保数据准确。

9.2. PFB 定期清理数据。

9.3. 员工接受数据保护培训。

9.4. 第三方需遵守保密协议。

10. 跨境传输

10.1. 数据可能传输至马来西亚境外。

10.2. 将采取适当保护措施。

10.3. 受外国法律约束风险存在。

10.4. 必要时需客户同意。

11. 数据泄露

11.1. PFB 设有数据泄露应对机制。

11.2. 重大泄露将依法通知。

11.3. 将记录所有数据事件。

12. 第三方责任

12.1. PFB 不对收集前数据负责。

12.2. 客户需确保第三方合法授权。

12.3. 第三方须遵守保密义务。

13. 第三方网站

13.1. 仅供参考用途。

13.2. PFB 不承担外部网站责任。

14. 联系方式

14.1. 所有请求请联系：

(a) 电子邮件：

info@profidu.com

(收件人：数据保护官)

(b) 邮寄地址：

数据保护官

Provident Fiduciaries Berhad

35.9层 Mid Zone, Exchange 106

Lingkaran TRX, Tun Razak Exchange

55188 马来西亚吉隆坡

14.2. 可能需要身份验证。

14.3. 可依法拒绝部分请求。

15. 更新

15.1. 本政策可能不时更新。

15.2. 重大变更将通知用户。

15.3. 更新后继续使用即视为同意。

15.4. 最新版本以官网为准。