Privacy Notice隐私通知

English — Full Version

1. Who processes your data

MORUTO (Business Registration No. 202603084352 (LA0088029-W)), of 201, Jalan Sungai Besi, 57100 Kuala Lumpur, Malaysia, is the data controller. Contact: WhatsApp +60 10-887 7781. MORUTO processes personal data in accordance with the Personal Data Protection Act 2010.

2. What we collect

Depending on how you interact with MORUTO, we may collect:

• name; mobile number; email; date of birth; gender;
• member account details; PIN or authentication data;
• ticket numbers, orders, payment and refund records;
• reservation dates, seatings, arrival and redemption records;
• menu selections and dietary preferences;
• food allergy and related health information;
• Wallet top-up, spending, balance, refund and transfer records;
• customer service communications, complaints and dispute records;
• IP address, browser, device and website usage data;
• cookie and website analytics data;
• images that may appear in on-site environment or event recordings.

We process this data only for purposes that are reasonable, necessary, and notified to you.

3. Why we use it

• processing presale applications and confirming payment;
• issuing and managing tickets;
• creating and verifying member accounts;
• managing BP Charity Circle numbers;
• arranging reservations;
• managing menu selections and allergy requirements;
• providing food, beverage and on-site service;
• handling rescheduling, cancellation, refunds and complaints;
• managing the MORUTO Wallet;
• preventing fraud, duplicate use and unauthorised transactions;
• complying with tax, accounting, safety and legal requirements;
• improving the website, the restaurant and the guest experience;
• sending offers, event news and birthday messages, where you have separately consented.

4. Mandatory and optional information

Mandatory information may include your name, mobile number, order and payment details, reservation details, and identity verification data that we reasonably need. If you do not provide this, MORUTO may be unable to complete a ticket sale, member registration, reservation, refund, or Wallet service.

Optional information includes email, date of birth, gender, marketing consent, and non-essential preferences. You can decline to provide these and still buy a ticket and make a reservation.

5. Allergy and sensitive information

Allergy and related health information is treated separately:

• we obtain your explicit consent before processing it;
• it is made available only to staff who need it to plan menus and manage food safety;
• it is never used for marketing;
• it is deleted or anonymised within 30 days after the relevant meal;
• where a food safety incident, complaint or legal dispute arises, it may be retained for as long as necessary to deal with that matter.

The allergy consent checkbox appears only if you actually enter allergy information.

6. Service providers and cross-border processing

MORUTO uses service providers to operate. These fall into the following categories:

• cloud database and hosting providers;
• website hosting providers;
• SMS and one-time-password providers;
• communication and customer service platforms;
• website analytics providers;
• payment processors;
• accounting, legal and technical service providers;
• government authorities legally entitled to require data.

Some of these providers may process or store data outside Malaysia. Where that happens, MORUTO takes reasonable contractual, technical and security measures. MORUTO does not sell your personal data.

7. How long we keep it

Category	Retention
Member account basics	While the account is active; deleted or anonymised 3 years after the account becomes inactive or after last activity.
Orders, payments, refunds, Wallet records	As required by tax, accounting, dispute and legal requirements.
Allergy and health information	Deleted or anonymised within 30 days after the meal, except where an incident or dispute requires longer.
Marketing data	Until you unsubscribe.
Unsubscribe records	Retained, so MORUTO can show it stopped sending marketing to you.
Security, login and system logs	Only as long as reasonably needed.

8. Your rights

You may contact MORUTO through official WhatsApp to:

• access your personal data;
• correct it;
• update it;
• withdraw marketing consent;
• ask us to stop unnecessary processing;
• request deletion, where applicable;
• complain about how your data has been handled.

MORUTO may first ask you to verify your identity, so that we do not disclose your data to someone else. If tax, transaction, anti-fraud or legal requirements mean part of your data must be retained, MORUTO will explain why it cannot be deleted immediately.

9. Minors

Where a guest is a minor, personal data must be provided by a parent or guardian, who confirms they are entitled to provide it. MORUTO does not send marketing directly to minors. A guest below the legal drinking age is served only the non-alcoholic welcome drink.

10. Security

MORUTO applies measures including access controls, role-based permissions, secure authentication, encryption where appropriate, audit logs, backups, and incident response procedures. No system can be guaranteed to be completely secure, and MORUTO does not claim that it is.

11. Data breach

If MORUTO becomes aware of a possible data breach, MORUTO will investigate, take reasonable steps to contain the impact, and notify the relevant authorities and affected individuals in accordance with applicable law and regulatory requirements.

12. Cookies

See the Cookie Notice.

简体中文 —— 完整版

一、谁在处理您的资料

MORUTO（商业注册号 202603084352 (LA0088029-W)），地址 201, Jalan Sungai Besi, 57100 Kuala Lumpur, Malaysia，为资料控制者。 联络方式：WhatsApp +60 10-887 7781。 MORUTO 依据《2010 年个人资料保护法令》处理个人资料。

二、我们收集什么

视您与 MORUTO 的往来方式，我们可能收集：

• 姓名；电话号码；Email；生日；性别；
• 会员资料；PIN 或认证资料；
• 门票编号、订单、付款及退款记录；
• 预约日期、场次、到店及核销记录；
• 菜单选择与饮食偏好；
• 食物过敏及健康相关资料；
• Wallet 充值、消费、余额、退款及转让记录；
• 客服沟通、投诉及争议资料；
• IP 地址、浏览器、设备及网站使用资料；
• Cookie 及网站分析资料；
• 现场环境及活动记录中可能出现的影像。

我们仅在合理、必要及已通知的目的范围内处理这些资料。

三、用途

• 处理预售申请、确认付款；
• 发放及管理门票；
• 创建及验证会员账号；
• 管理 BP Charity Circle 编号；
• 安排预约；
• 管理菜单选择与过敏需求；
• 提供餐饮及现场服务；
• 处理改期、取消、退款和投诉；
• 管理 MORUTO Wallet；
• 防止欺诈、重复使用及未经授权的交易；
• 遵守税务、会计、安全及法律要求；
• 改善网站、餐厅和顾客体验；
• 在您另行同意时，发送优惠、活动及生日营销信息。

四、必填与选填资料

必填资料可能包括：姓名、电话、订单及付款资料、预约资料， 以及我们合理需要的身份验证资料。不提供这些资料，可能导致 MORUTO 无法完成售票、 会员注册、预约、退款或 Wallet 服务。

选填资料包括：Email、生日、性别、营销同意， 以及非必要的偏好资料。不提供这些，您仍然可以购票和预约。

五、过敏及敏感资料

过敏及健康相关资料另行处理：

• 处理前会独立取得您的明确同意；
• 只提供给需要处理菜单与食品安全的员工；
• 绝不用于营销；
• 在该次用餐完成后 30 天 内删除或匿名化；
• 如发生食品安全事故、投诉或法律争议，可在处理该事项所必要的期限内继续保留。

只有当您实际填写过敏资料时，相关的敏感资料同意框才会出现。

六、服务商与跨境处理

MORUTO 的运作需要使用服务商，类别包括：

• 云端数据库及托管商；
• 网站托管商；
• 短信及 OTP 服务商；
• 通讯和客服平台；
• 网站分析商；
• 付款处理商；
• 会计、法律及技术服务商；
• 依法有权要求资料的政府机关。

部分服务商可能在马来西亚境外处理或储存资料。 发生此情况时，MORUTO 会采取合理的合约、技术和安全措施。MORUTO 不出售您的个人资料。

七、保留期限

类别	保留期限
会员基本资料	账号有效期间保留；账号停用或最后活动后 3 年删除或匿名化。
订单、付款、退款及 Wallet 记录	按税务、会计、争议及法律要求保留。
过敏及健康资料	该次用餐后 30 天内删除或匿名化，事故或争议除外。
营销资料	保留至您退订为止。
退订记录	继续保留，以证明 MORUTO 已不再向您发送营销。
安全、登录及系统日志	只保留合理所需期限。

八、您的权利

您可以通过官方 WhatsApp 向 MORUTO 申请：

• 查询个人资料；
• 更正资料；
• 更新资料；
• 撤回营销同意；
• 请求停止不必要的处理；
• 在适用情况下请求删除；
• 对个人资料的处理提出投诉。

MORUTO 可先要求您进行合理的身份验证，以免把您的资料交给别人。 如税务、交易、防欺诈或法律要求必须继续保留部分资料， MORUTO 会向您说明不能立即删除的原因。

九、未成年人

如顾客未成年，个人资料应由父母或监护人提供，并确认其有权提交该等资料。 MORUTO 不直接向未成年人发送营销信息。未达法定饮酒年龄的顾客，只获提供无酒精迎宾饮品。

十、安全

MORUTO 采取的措施包括：存取控制、角色权限、安全认证、 在适当情况下的加密、审计日志、备份，以及事故应变程序。 没有任何系统可以保证绝对安全，MORUTO 也不作此声称。

十一、数据泄露

如 MORUTO 察觉可能发生数据泄露，将进行调查、采取合理措施控制影响， 并依适用法律及监管要求，向有关机关及受影响人士发出通知。

十二、Cookie

请参阅《Cookie 及网站分析通知》。

Bahasa Malaysia — Versi Penuh

1. Siapa yang memproses data anda

MORUTO (No. Pendaftaran Perniagaan 202603084352 (LA0088029-W)), beralamat di 201, Jalan Sungai Besi, 57100 Kuala Lumpur, Malaysia, ialah pengawal data. Hubungi: WhatsApp +60 10-887 7781. MORUTO memproses data peribadi mengikut Akta Perlindungan Data Peribadi 2010.

2. Apa yang kami kumpul

Bergantung kepada cara anda berurusan dengan MORUTO, kami mungkin mengumpul:

• nama; nombor telefon bimbit; e-mel; tarikh lahir; jantina;
• butiran akaun ahli; PIN atau data pengesahan;
• nombor tiket, pesanan, rekod pembayaran dan bayaran balik;
• tarikh tempahan, sesi, rekod kehadiran dan penebusan;
• pilihan menu dan keutamaan pemakanan;
• maklumat alahan makanan dan maklumat kesihatan berkaitan;
• rekod tambah nilai, perbelanjaan, baki, bayaran balik dan pemindahan Wallet;
• komunikasi khidmat pelanggan, aduan dan rekod pertikaian;
• alamat IP, pelayar, peranti dan data penggunaan laman web;
• data kuki dan analitik laman web;
• imej yang mungkin muncul dalam rakaman persekitaran atau acara di premis.

Kami memproses data ini hanya bagi tujuan yang munasabah, perlu, dan telah dimaklumkan kepada anda.

3. Tujuan penggunaan

• memproses permohonan prajualan dan mengesahkan pembayaran;
• mengeluarkan dan mengurus tiket;
• membuka dan mengesahkan akaun ahli;
• mengurus nombor BP Charity Circle;
• mengatur tempahan;
• mengurus pilihan menu dan keperluan alahan;
• menyediakan perkhidmatan makanan, minuman dan perkhidmatan di premis;
• mengendalikan penjadualan semula, pembatalan, bayaran balik dan aduan;
• mengurus MORUTO Wallet;
• mencegah penipuan, penggunaan berulang dan transaksi tanpa kebenaran;
• mematuhi keperluan cukai, perakaunan, keselamatan dan undang-undang;
• menambah baik laman web, restoran dan pengalaman tetamu;
• menghantar tawaran, berita acara dan mesej hari lahir, jika anda telah memberi persetujuan berasingan.

4. Maklumat wajib dan pilihan

Maklumat wajib mungkin termasuk nama, nombor telefon, butiran pesanan dan pembayaran, butiran tempahan, serta data pengesahan identiti yang kami perlukan secara munasabah. Jika anda tidak memberikannya, MORUTO mungkin tidak dapat melengkapkan jualan tiket, pendaftaran ahli, tempahan, bayaran balik atau perkhidmatan Wallet.

Maklumat pilihan termasuk e-mel, tarikh lahir, jantina, persetujuan pemasaran, dan keutamaan yang tidak penting. Anda masih boleh membeli tiket dan membuat tempahan tanpa memberikannya.

5. Maklumat alahan dan maklumat sensitif

• kami memperoleh persetujuan nyata anda sebelum memprosesnya;
• ia hanya diberikan kepada kakitangan yang memerlukannya untuk perancangan menu dan keselamatan makanan;
• ia tidak sekali-kali digunakan untuk pemasaran;
• ia dipadam atau dijadikan tanpa nama dalam tempoh 30 hari selepas hidangan berkenaan;
• jika berlaku insiden keselamatan makanan, aduan atau pertikaian undang-undang, ia boleh disimpan selama tempoh yang perlu untuk menguruskan perkara tersebut.

Kotak persetujuan alahan hanya muncul jika anda benar-benar mengisi maklumat alahan.

6. Pembekal perkhidmatan dan pemprosesan rentas sempadan

MORUTO menggunakan pembekal perkhidmatan dalam kategori berikut:

• pembekal pangkalan data awan dan pengehosan;
• pembekal pengehosan laman web;
• pembekal SMS dan kata laluan sekali guna (OTP);
• platform komunikasi dan khidmat pelanggan;
• pembekal analitik laman web;
• pemproses pembayaran;
• pembekal perkhidmatan perakaunan, guaman dan teknikal;
• pihak berkuasa kerajaan yang berhak menuntut data mengikut undang-undang.

Sebahagian pembekal ini mungkin memproses atau menyimpan data di luar Malaysia. Dalam keadaan itu, MORUTO mengambil langkah kontraktual, teknikal dan keselamatan yang munasabah. MORUTO tidak menjual data peribadi anda.

7. Tempoh penyimpanan

Kategori	Tempoh
Maklumat asas akaun ahli	Sepanjang akaun aktif; dipadam atau dijadikan tanpa nama 3 tahun selepas akaun tidak aktif atau selepas aktiviti terakhir.
Pesanan, pembayaran, bayaran balik, rekod Wallet	Mengikut keperluan cukai, perakaunan, pertikaian dan undang-undang.
Maklumat alahan dan kesihatan	Dipadam atau dijadikan tanpa nama dalam 30 hari selepas hidangan, kecuali jika insiden atau pertikaian memerlukan tempoh lebih lama.
Data pemasaran	Sehingga anda berhenti melanggan.
Rekod berhenti melanggan	Disimpan, supaya MORUTO dapat menunjukkan ia telah berhenti menghantar pemasaran kepada anda.
Log keselamatan, log masuk dan log sistem	Hanya selama tempoh yang munasabah diperlukan.

8. Hak anda

Anda boleh menghubungi MORUTO melalui WhatsApp rasmi untuk:

• mengakses data peribadi anda;
• membetulkannya;
• mengemas kininya;
• menarik balik persetujuan pemasaran;
• meminta kami menghentikan pemprosesan yang tidak perlu;
• meminta pemadaman, jika berkenaan;
• membuat aduan mengenai pengendalian data anda.

MORUTO boleh meminta anda mengesahkan identiti terlebih dahulu, supaya data anda tidak didedahkan kepada orang lain. Jika keperluan cukai, transaksi, pencegahan penipuan atau undang-undang memerlukan sebahagian data disimpan, MORUTO akan menerangkan sebab ia tidak boleh dipadam serta-merta.

9. Kanak-kanak dan remaja

Jika tetamu belum dewasa, data peribadi hendaklah diberikan oleh ibu bapa atau penjaga, yang mengesahkan bahawa mereka berhak berbuat demikian. MORUTO tidak menghantar bahan pemasaran terus kepada individu bawah umur. Tetamu di bawah umur minum sah hanya akan dihidangkan minuman aluan tanpa alkohol.

10. Keselamatan

MORUTO menggunakan langkah termasuk kawalan akses, kebenaran berasaskan peranan, pengesahan selamat, penyulitan jika sesuai, log audit, sandaran, dan prosedur tindak balas insiden. Tiada sistem boleh dijamin selamat sepenuhnya, dan MORUTO tidak mendakwa sedemikian.

11. Pelanggaran data

Jika MORUTO mengetahui kemungkinan berlaku pelanggaran data, MORUTO akan menyiasat, mengambil langkah munasabah untuk mengawal kesannya, dan memberitahu pihak berkuasa berkaitan serta individu yang terjejas mengikut undang-undang dan keperluan kawal selia yang terpakai.

12. Kuki

Sila rujuk Notis Kuki.

Updates to This Document本文件的更新方式

Governing Law适用法律