1. Who we are1. Siapa kami
UrusFirma (urusfirma.my) is an online management portal for small law firms in Malaysia. In this notice, "UrusFirma", "we" and "us" mean the operator of UrusFirma; "your firm" means the law firm that subscribes; "you" means a person whose personal data we handle.
Contact for anything about privacy or personal data: ask@urusfirma.my.
UrusFirma (urusfirma.my) ialah portal pengurusan dalam talian untuk firma guaman kecil di Malaysia. Dalam notis ini, "UrusFirma", "kami" merujuk kepada pengendali UrusFirma; "firma anda" ialah firma guaman yang melanggan; "anda" ialah individu yang data peribadinya kami kendalikan.
Hubungi kami untuk sebarang perkara tentang privasi atau data peribadi: ask@urusfirma.my.
2. Your firm and us2. Firma anda dan kami
Your firm decides what goes in. For the records your firm keeps in UrusFirma (clients, opportunities, quotations, case files, invoices, receipts, payment vouchers and staff), your firm is the data user (the controller) under the PDPA. UrusFirma processes that data on your firm's behalf and only to run the service for it. Your firm is responsible for having a lawful basis to record its clients' and staff's data and for giving them its own privacy notice.
We decide for our own account data. For the details of firm users (logins) and the firm's subscription, UrusFirma is the data user.
If you are a client of a law firm that uses UrusFirma, please contact that firm first about your data. We will help the firm answer you.
Firma anda menentukan apa yang dimasukkan. Bagi rekod yang disimpan oleh firma anda dalam UrusFirma (klien, peluang, sebut harga, fail kes, invois, resit, baucar bayaran dan kakitangan), firma anda ialah pengguna data (pengawal) di bawah PDPA. UrusFirma memproses data itu bagi pihak firma anda dan hanya untuk menjalankan perkhidmatan untuknya. Firma anda bertanggungjawab memastikan ada asas yang sah untuk merekod data klien dan kakitangannya, dan memberi mereka notis privasi firma sendiri.
Kami menentukan bagi data akaun kami. Bagi butiran pengguna firma (log masuk) dan langganan firma, UrusFirma ialah pengguna data.
Jika anda klien kepada firma guaman yang menggunakan UrusFirma, sila hubungi firma itu dahulu tentang data anda. Kami akan membantu firma tersebut menjawab anda.
3. Data we hold3. Data yang kami simpan
| Category | What it includes |
|---|---|
| Firm users (logins) | Name, email, role (Owner, Equity Partner, Staff), lawyer code, a salted hash of the password (never the password itself), the date you accepted this notice, and login and session records. |
| Firm details | Firm name, short name, address, phone, email, SST number (if used), services, document numbering, invoice payment details (bank, account name and number, note), the firm logo and the firm's payment QR image. |
| Clients | Name and contact details (such as phone, email and address) that your firm enters. |
| Opportunities and quotations | Description, service, stage, value, the people involved, and issued quotations with their particulars, amounts and discount. |
| Case file records | Reference number, title, client, service, lawyer in charge, court (as text), next date, status, cost log, short activity notes, and document records (name, type, date and an optional link to where your firm keeps the file). |
| Invoices, receipts and payment vouchers | Numbers, dates, particulars, amounts, SST if used, payments received and payments made. Issued documents keep a fixed copy of their details so they do not change later. |
| Staff and payroll | Staff name, staff ID, department, position, basic pay, allowances, EPF, SOCSO and EIS amounts and rates, and monthly payslips. Visible only to the firm's Owner and Equity Partners. |
| Imported records | Clients, case files, unpaid invoices and past monthly fee totals that your firm imports from CSV files. The file is read in your browser; only the rows are sent, and the file itself is not kept. |
| Subscription | Plan, amounts, dates, the phone number given for payment and the toyyibPay bill reference. Bank and card details are entered on toyyibPay/FPX, not on UrusFirma. |
| Security records | An audit log of important actions (who did what, and when), including every view and change of payroll, and technical logs needed to run and protect the service. |
| Kategori | Apa yang termasuk |
|---|---|
| Pengguna firma (log masuk) | Nama, e-mel, peranan (Pemilik, Rakan Kongsi Ekuiti, Kakitangan), kod peguam, hash bergaram bagi kata laluan (bukan kata laluan itu sendiri), tarikh anda menerima notis ini, serta rekod log masuk dan sesi. |
| Butiran firma | Nama firma, nama ringkas, alamat, telefon, e-mel, nombor SST (jika digunakan), perkhidmatan, penomboran dokumen, butiran bayaran invois (bank, nama dan nombor akaun, nota), logo firma dan imej QR bayaran firma. |
| Klien | Nama dan butiran hubungan (seperti telefon, e-mel dan alamat) yang dimasukkan oleh firma anda. |
| Peluang dan sebut harga | Keterangan, perkhidmatan, peringkat, nilai, individu yang terlibat, serta sebut harga yang dikeluarkan bersama butiran, amaun dan diskaun. |
| Rekod fail kes | Nombor rujukan, tajuk, klien, perkhidmatan, peguam yang bertanggungjawab, mahkamah (sebagai teks), tarikh seterusnya, status, log kos, nota aktiviti ringkas, dan rekod dokumen (nama, jenis, tarikh dan pautan pilihan ke tempat firma anda menyimpan fail). |
| Invois, resit dan baucar bayaran | Nombor, tarikh, butiran, amaun, SST jika digunakan, bayaran diterima dan bayaran dibuat. Dokumen yang telah dikeluarkan menyimpan salinan tetap butirannya supaya tidak berubah kemudian. |
| Kakitangan dan gaji | Nama kakitangan, ID kakitangan, jabatan, jawatan, gaji pokok, elaun, amaun dan kadar KWSP, PERKESO dan SIP, serta slip gaji bulanan. Hanya boleh dilihat oleh Pemilik dan Rakan Kongsi Ekuiti firma. |
| Rekod yang diimport | Klien, fail kes, invois belum dibayar dan jumlah fi bulanan terdahulu yang diimport oleh firma anda dari fail CSV. Fail dibaca dalam pelayar anda; hanya baris data dihantar, dan fail itu sendiri tidak disimpan. |
| Langganan | Pelan, amaun, tarikh, nombor telefon yang diberi untuk bayaran dan rujukan bil toyyibPay. Butiran bank dan kad dimasukkan di toyyibPay/FPX, bukan di UrusFirma. |
| Rekod keselamatan | Log audit bagi tindakan penting (siapa buat apa, dan bila), termasuk setiap paparan dan perubahan gaji, serta log teknikal yang perlu untuk menjalankan dan melindungi perkhidmatan. |
Activity notes and other free-text fields can contain sensitive information. Please keep them short and do not enter privileged or confidential case details there.
Nota aktiviti dan ruangan teks bebas lain boleh mengandungi maklumat sensitif. Sila pastikan ia ringkas dan jangan masukkan butiran kes yang istimewa atau sulit di situ.
4. What we do not hold4. Apa yang tidak kami simpan
- No uploaded documents. UrusFirma does not accept file uploads. Case files hold records and links only; the documents stay where your firm keeps them. The only images stored are your firm logo and your payment QR image (small PNG, JPEG or WebP files, checked when saved).
- No identity, bank or tax numbers for staff are needed for payslips, and the app does not ask for them.
- No card or online banking details. Subscription payments are made on toyyibPay/FPX.
Even so, the records in UrusFirma (client names, matter titles, fees, staff pay) are personal and often confidential data, and we treat them that way.
- Tiada dokumen dimuat naik. UrusFirma tidak menerima muat naik fail. Fail kes menyimpan rekod dan pautan sahaja; dokumen kekal di tempat firma anda menyimpannya. Imej yang disimpan hanyalah logo firma dan imej QR bayaran anda (fail PNG, JPEG atau WebP yang kecil, disemak semasa disimpan).
- Tiada nombor kad pengenalan, akaun bank atau cukai kakitangan diperlukan untuk slip gaji, dan aplikasi tidak memintanya.
- Tiada butiran kad atau perbankan dalam talian. Bayaran langganan dibuat di toyyibPay/FPX.
Walaupun begitu, rekod dalam UrusFirma (nama klien, tajuk perkara, fi, gaji kakitangan) ialah data peribadi dan selalunya sulit, dan kami mengendalikannya sedemikian.
5. Why we use it5. Tujuan penggunaan
Only to provide UrusFirma to your firm:
- to create and manage logins, roles and access;
- to store and show your firm's records, and produce its quotations, invoices, receipts, vouchers and payslips;
- to show the Sales Dashboard and prepare the monthly AI report;
- to send account emails (password resets and invitations), which contain a one-time link;
- to manage the subscription and payments;
- to keep the service secure, investigate problems and meet legal obligations;
- to answer your questions and requests.
We do not sell personal data, use it for advertising, or use your firm's records to train AI models.
Hanya untuk menyediakan UrusFirma kepada firma anda:
- untuk membuat dan mengurus log masuk, peranan dan akses;
- untuk menyimpan dan memaparkan rekod firma anda, serta menghasilkan sebut harga, invois, resit, baucar dan slip gajinya;
- untuk memaparkan Papan Pemuka Jualan dan menyediakan laporan AI bulanan;
- untuk menghantar e-mel akaun (tetapan semula kata laluan dan jemputan) yang mengandungi pautan sekali guna;
- untuk mengurus langganan dan bayaran;
- untuk menjaga keselamatan perkhidmatan, menyiasat masalah dan memenuhi kewajipan undang-undang;
- untuk menjawab soalan dan permintaan anda.
Kami tidak menjual data peribadi, tidak menggunakannya untuk pengiklanan, dan tidak menggunakan rekod firma anda untuk melatih model AI.
6. AI monthly report6. Laporan AI bulanan
On the 1st of each month, UrusFirma prepares one sales report for your firm using Anthropic's Claude API. The report is shown to every user of your firm.
What is sent: only aggregated figures for the firm, such as total fees collected, number and value of invoices issued and overdue, numbers of new, won and lost opportunities, totals per service (under your firm's own service names, such as "Conveyancing") and month-by-month comparisons.
What is never sent: client names or contact details, case file titles or details, activity notes, document records, staff names, payroll or any login details.
If a month has too little activity, no request is made. The AI explains the figures; the figures themselves are calculated by UrusFirma. Please check them before acting on the report.
Pada 1 haribulan setiap bulan, UrusFirma menyediakan satu laporan jualan untuk firma anda menggunakan API Claude dari Anthropic. Laporan ini dipaparkan kepada semua pengguna firma anda.
Apa yang dihantar: hanya angka agregat bagi firma, seperti jumlah fi dikutip, bilangan dan nilai invois dikeluarkan dan tertunggak, bilangan peluang baharu, berjaya dan gagal, jumlah mengikut perkhidmatan (menggunakan nama perkhidmatan firma anda sendiri, seperti "Hartanah") dan perbandingan bulan demi bulan.
Apa yang tidak sekali-kali dihantar: nama atau butiran hubungan klien, tajuk atau butiran fail kes, nota aktiviti, rekod dokumen, nama kakitangan, gaji atau sebarang butiran log masuk.
Jika aktiviti bulan itu terlalu sedikit, tiada permintaan dibuat. AI menerangkan angka; angka itu sendiri dikira oleh UrusFirma. Sila semak angka sebelum bertindak berdasarkan laporan.
8. Transfers outside Malaysia8. Pemindahan ke luar Malaysia
Cloudflare runs a global network, so data may be stored or processed on servers outside Malaysia (UrusFirma's database is placed in the Asia-Pacific region). Anthropic processes the aggregated figures for the AI report in the United States or other countries where it operates. We use these providers because they apply strong security measures, and we send each of them only what its task needs.
Cloudflare mengendalikan rangkaian global, jadi data mungkin disimpan atau diproses di pelayan di luar Malaysia (pangkalan data UrusFirma ditempatkan di rantau Asia Pasifik). Anthropic memproses angka agregat untuk laporan AI di Amerika Syarikat atau negara lain tempat ia beroperasi. Kami menggunakan penyedia ini kerana mereka mempunyai langkah keselamatan yang kukuh, dan kami hanya menghantar apa yang diperlukan untuk tugas masing-masing.
9. Security9. Keselamatan
- Each firm's data is kept separate: every record belongs to one firm, and the server checks this on every request.
- Role-based access: payroll, money totals, approvals and settings are limited to the Owner and Equity Partners.
- An audit log records important actions, including every view and change of payroll. Payroll figures are never written to technical logs.
- Passwords are stored only as salted hashes (PBKDF2). Sessions use a secure, HttpOnly cookie. Login attempts are rate-limited.
- All traffic uses HTTPS, with strict security headers in the browser.
No system is completely secure. If a personal data breach happens that affects your firm, we will tell your firm without undue delay and notify the authorities where the law requires.
- Data setiap firma diasingkan: setiap rekod milik satu firma, dan pelayan menyemak perkara ini pada setiap permintaan.
- Akses mengikut peranan: gaji, jumlah wang, kelulusan dan tetapan terhad kepada Pemilik dan Rakan Kongsi Ekuiti.
- Log audit merekod tindakan penting, termasuk setiap paparan dan perubahan gaji. Angka gaji tidak sekali-kali ditulis ke log teknikal.
- Kata laluan disimpan sebagai hash bergaram sahaja (PBKDF2). Sesi menggunakan kuki HttpOnly yang selamat. Cubaan log masuk dihadkan.
- Semua trafik menggunakan HTTPS, dengan pengepala keselamatan yang ketat dalam pelayar.
Tiada sistem yang selamat sepenuhnya. Jika berlaku pelanggaran data peribadi yang menjejaskan firma anda, kami akan memaklumkan firma anda tanpa kelewatan yang tidak wajar dan memaklumkan pihak berkuasa apabila dikehendaki oleh undang-undang.
11. Retention and deletion11. Penyimpanan dan pemadaman
- Your firm's records are kept while the firm uses UrusFirma. If the subscription ends, the data is kept (locked) so the firm can renew.
- The firm's Owner can ask us to delete the firm's account and data at any time. We will delete it within 90 days of the request. Please print or save any documents you need first: your firm may have its own legal duties to keep client and accounting records.
- Records of subscription payments may be kept for as long as tax and accounting laws require.
- Removed activity notes are wiped completely; the audit log keeps only that a note was removed, by whom and when.
- Rekod firma anda disimpan selagi firma menggunakan UrusFirma. Jika langganan tamat, data tetap disimpan (dikunci) supaya firma boleh memperbaharui langganan.
- Pemilik firma boleh meminta kami memadam akaun dan data firma pada bila-bila masa. Kami akan memadamnya dalam tempoh 90 hari dari permintaan. Sila cetak atau simpan dokumen yang anda perlukan dahulu: firma anda mungkin mempunyai kewajipan undang-undang sendiri untuk menyimpan rekod klien dan perakaunan.
- Rekod bayaran langganan mungkin disimpan selama tempoh yang dikehendaki oleh undang-undang cukai dan perakaunan.
- Nota aktiviti yang dibuang dipadam sepenuhnya; log audit hanya merekod bahawa nota telah dibuang, oleh siapa dan bila.
12. Your rights12. Hak anda
Under the PDPA you may:
- ask for access to your personal data and a copy of it;
- ask us to correct data that is inaccurate, incomplete or out of date;
- withdraw your consent, or ask us to limit how your data is processed (this may mean we can no longer provide the service);
- ask about data portability where the law provides for it.
Firm users can correct most details themselves in the app. For anything else, email ask@urusfirma.my. We will reply within 21 days. We may need to confirm your identity first. Requests about records your firm keeps (for example, as one of its clients) are passed to that firm, which decides on them.
Di bawah PDPA anda boleh:
- meminta akses kepada data peribadi anda dan salinannya;
- meminta kami membetulkan data yang tidak tepat, tidak lengkap atau tidak terkini;
- menarik balik persetujuan anda, atau meminta kami mengehadkan cara data anda diproses (ini mungkin bermakna kami tidak lagi dapat menyediakan perkhidmatan);
- bertanya tentang kemudahalihan data apabila diperuntukkan oleh undang-undang.
Pengguna firma boleh membetulkan kebanyakan butiran sendiri dalam aplikasi. Untuk perkara lain, e-mel ask@urusfirma.my. Kami akan menjawab dalam tempoh 21 hari. Kami mungkin perlu mengesahkan identiti anda dahulu. Permintaan tentang rekod yang disimpan oleh firma anda (contohnya sebagai salah seorang kliennya) akan dimajukan kepada firma itu, yang akan membuat keputusan.
13. Changes and contact13. Perubahan dan hubungan
We may update this notice when the service or the law changes. The date at the top shows the latest version; for important changes we will tell firm Owners by email or in the app. UrusFirma is meant for firms and their staff, not for children.
This notice is available in English and Bahasa Malaysia. Questions or complaints: ask@urusfirma.my. You may also contact the Personal Data Protection Commissioner of Malaysia.
Kami mungkin mengemas kini notis ini apabila perkhidmatan atau undang-undang berubah. Tarikh di bahagian atas menunjukkan versi terkini; untuk perubahan penting, kami akan memaklumkan Pemilik firma melalui e-mel atau dalam aplikasi. UrusFirma bertujuan untuk firma dan kakitangannya, bukan untuk kanak-kanak.
Notis ini tersedia dalam Bahasa Inggeris dan Bahasa Malaysia. Soalan atau aduan: ask@urusfirma.my. Anda juga boleh menghubungi Pesuruhjaya Perlindungan Data Peribadi Malaysia.