Privacy Notice / Notis Privasi
Last updated 24 October 2026
Privacy Notice (version 2026-10-24)
We, the operator of VacayTicket named below, process your personal data in accordance with the Personal Data Protection Act 2010 (PDPA). This notice explains what we collect, why, who we share it with, how long we keep it and what you can do about it.
1. The personal data we process
| When | What | Obligatory? |
|---|---|---|
| Booking (with or without an account) | Full name as on your IC or passport, mobile number, email address, the tickets, dates and amounts you book, and whether you confirmed holding the ID a resident rate requires. We do not collect your IC or passport number. | Yes |
| Creating an account | Name, email, password (stored only as a one-way hash), and optionally your mobile number | Name, email and password yes; mobile no |
| Contacting us | Name, email, message, and optionally mobile number and booking reference | Name, email and message yes |
| Using the site | IP address and session cookies needed to run the site securely (for example to stop repeated password guessing) | Yes, technically necessary |
Payments are handled by our payment provider. We never see or store your card number or online-banking login.
2. Why we process it
- To reserve, pay for and issue your tickets, and send them to you by email.
- To let you find your booking again with your reference and mobile number.
- To answer questions, handle cancellations, refunds and complaints.
- To protect the site and our customers against fraud and abuse.
- To keep the records the law requires, such as accounting and tax records.
- Only if you opt in: to send you occasional offers by email. This is separate from your booking.
3. Where it comes from
Directly from you, when you book, create an account or contact us. Ticket status (for example "redeemed") comes from our ticket supplier.
4. Who we share it with
- Our ticket supplier, GlobalTix, and through it the attraction or tour operator: your name, email and booking details, so the ticket can be issued in your name. GlobalTix processes data outside Malaysia (including Singapore).
- Our payment provider, CHIP (Malaysia): your name, email, mobile number and the amount, to take payment and issue refunds.
- Service providers that run the site for us: our email delivery provider (Resend, which may process data in the United States), our file storage provider (Cloudflare), and our hosting provider. They act on our instructions and are bound to keep the data secure.
- Authorities, where the law requires us to.
We do not sell your personal data, and we do not share it with anyone for their own marketing.
5. How long we keep it
- Paid bookings: 7 years, for accounting and tax records. After that the personal details are deleted.
- Checkouts that were never paid: personal details are removed after 90 days.
- Our PDF copies of your e-tickets: one year after your visit date.
- Messages you send us: 2 years.
- Your account: until you delete it. Bookings made with it are then kept, without the link to your account, for the period above.
- Marketing consent: until you withdraw it.
- Security logs: up to 30 days.
6. Cookies
We only use cookies that the site needs to work: a session cookie, a security token for forms, and your light or dark theme choice stored in your browser. We do not use advertising or analytics cookies, so there is nothing to opt out of.
7. How we protect it
Connections are encrypted; passwords are hashed; access to booking data is limited to the staff who need it; e-ticket files are stored privately and only downloadable by you; and each provider we use is bound to keep data secure.
8. Your rights and choices
- Access: ask for a copy of the personal data we hold about you. Signed-in customers can download it from their account.
- Correction: ask us to correct anything inaccurate or out of date. Account details can be edited directly.
- Withdraw consent / stop marketing: untick offers in your account, or email us. We stop at once.
- Delete your account: from your account page. Booking records we must keep by law are retained as described above.
- Complaints: contact us first; you may also complain to the Personal Data Protection Commissioner of Malaysia.
Write to [privacy email to be completed before launch]. We reply within 21 days, as the PDPA requires.
9. What happens if you do not provide data
Name, mobile number and email are needed to book: without them we cannot issue or send your tickets. Everything marked optional can be left blank without any effect on your booking.
Notis Privasi (versi 2026-10-24)
Kami, pengendali VacayTicket yang dinyatakan di bawah, memproses data peribadi anda menurut Akta Perlindungan Data Peribadi 2010 (APDP). Notis ini menerangkan data yang kami kumpul, sebabnya, pihak yang menerimanya, tempoh simpanan dan hak anda.
1. Data peribadi yang kami proses
| Bila | Data | Wajib? |
|---|---|---|
| Membuat tempahan (dengan atau tanpa akaun) | Nama penuh seperti dalam kad pengenalan atau pasport, nombor telefon bimbit, alamat e-mel, tiket, tarikh dan amaun yang ditempah, serta sama ada anda mengesahkan memegang dokumen pengenalan yang diperlukan untuk kadar penduduk. Kami tidak mengumpul nombor kad pengenalan atau pasport anda. | Ya |
| Membuka akaun | Nama, e-mel, kata laluan (disimpan sebagai cincangan sehala sahaja), dan nombor telefon bimbit secara pilihan | Nama, e-mel dan kata laluan ya; telefon tidak |
| Menghubungi kami | Nama, e-mel, mesej, serta nombor telefon dan rujukan tempahan secara pilihan | Nama, e-mel dan mesej ya |
| Menggunakan laman | Alamat IP dan kuki sesi yang diperlukan untuk menjalankan laman dengan selamat (contohnya untuk menyekat cubaan meneka kata laluan berulang kali) | Ya, keperluan teknikal |
Pembayaran dikendalikan oleh penyedia pembayaran kami. Kami tidak pernah melihat atau menyimpan nombor kad atau maklumat log masuk perbankan dalam talian anda.
2. Tujuan pemprosesan
- Untuk menempah, menerima bayaran dan mengeluarkan tiket anda, serta menghantarnya melalui e-mel.
- Untuk membolehkan anda mencari semula tempahan dengan rujukan dan nombor telefon bimbit.
- Untuk menjawab pertanyaan serta mengendalikan pembatalan, bayaran balik dan aduan.
- Untuk melindungi laman dan pelanggan kami daripada penipuan dan salah guna.
- Untuk menyimpan rekod yang dikehendaki undang-undang, seperti rekod perakaunan dan cukai.
- Hanya jika anda bersetuju: untuk menghantar tawaran sekali-sekala melalui e-mel. Ini berasingan daripada tempahan anda.
3. Sumber data
Terus daripada anda semasa menempah, membuka akaun atau menghubungi kami. Status tiket (contohnya "telah digunakan") diterima daripada pembekal tiket kami.
4. Pihak yang menerima data anda
- Pembekal tiket kami, GlobalTix, dan melaluinya pengendali tarikan atau lawatan: nama, e-mel dan butiran tempahan anda, supaya tiket dapat dikeluarkan atas nama anda. GlobalTix memproses data di luar Malaysia (termasuk Singapura).
- Penyedia pembayaran kami, CHIP (Malaysia): nama, e-mel, nombor telefon bimbit dan amaun, untuk menerima bayaran dan membuat bayaran balik.
- Penyedia perkhidmatan yang menjalankan laman bagi pihak kami: penyedia penghantaran e-mel (Resend, yang mungkin memproses data di Amerika Syarikat), penyedia storan fail (Cloudflare) dan penyedia hos kami. Mereka bertindak atas arahan kami dan terikat untuk menjaga keselamatan data.
- Pihak berkuasa, apabila dikehendaki oleh undang-undang.
Kami tidak menjual data peribadi anda dan tidak berkongsinya dengan sesiapa untuk tujuan pemasaran mereka sendiri.
5. Tempoh simpanan
- Tempahan yang telah dibayar: 7 tahun, untuk rekod perakaunan dan cukai. Selepas itu butiran peribadi dipadam.
- Pembayaran yang tidak diselesaikan: butiran peribadi dipadam selepas 90 hari.
- Salinan PDF e-tiket anda: satu tahun selepas tarikh lawatan.
- Mesej yang anda hantar kepada kami: 2 tahun.
- Akaun anda: sehingga anda memadamnya. Tempahan yang dibuat melaluinya kemudian disimpan, tanpa pautan ke akaun anda, bagi tempoh di atas.
- Kebenaran pemasaran: sehingga anda menariknya balik.
- Log keselamatan: sehingga 30 hari.
6. Kuki
Kami hanya menggunakan kuki yang diperlukan untuk laman berfungsi: kuki sesi, token keselamatan untuk borang, dan pilihan tema cerah atau gelap yang disimpan dalam pelayar anda. Kami tidak menggunakan kuki pengiklanan atau analitik.
7. Cara kami melindungi data
Sambungan disulitkan; kata laluan dicincang; akses kepada data tempahan dihadkan kepada kakitangan yang memerlukannya; fail e-tiket disimpan secara peribadi dan hanya boleh dimuat turun oleh anda; dan setiap penyedia yang kami gunakan terikat untuk menjaga keselamatan data.
8. Hak dan pilihan anda
- Akses: memohon salinan data peribadi yang kami simpan mengenai anda. Pelanggan yang log masuk boleh memuat turunnya daripada akaun mereka.
- Pembetulan: meminta kami membetulkan data yang tidak tepat atau lapuk. Butiran akaun boleh disunting terus.
- Menarik balik kebenaran / menghentikan pemasaran: nyahtanda tawaran dalam akaun anda, atau e-mel kepada kami. Kami berhenti serta-merta.
- Memadam akaun: daripada halaman akaun anda. Rekod tempahan yang wajib disimpan mengikut undang-undang dikekalkan seperti di atas.
- Aduan: hubungi kami dahulu; anda juga boleh membuat aduan kepada Pesuruhjaya Perlindungan Data Peribadi Malaysia.
Tulis kepada [privacy email to be completed before launch]. Kami membalas dalam tempoh 21 hari seperti yang dikehendaki APDP.
9. Akibat tidak memberikan data
Nama, nombor telefon bimbit dan e-mel diperlukan untuk menempah: tanpanya kami tidak dapat mengeluarkan atau menghantar tiket anda. Medan bertanda pilihan boleh dibiarkan kosong tanpa menjejaskan tempahan anda.