Personal Data Protection Notice

Effective date: 2026-09-01

1. About this notice

This notice explains how Amazing Borneo Tours & Events Sdn Bhd (“ABT”, “we” or
“us”) collects, uses, stores, discloses and protects your personal data when you subscribe to
marketing emails from MountKinabalu.com.

MountKinabalu.com is operated by Amazing Borneo Tours & Events Sdn Bhd, the controller of your personal
data. If you subscribed through a different source site or brand, we will tell you the
subscription source and the brand that will send emails to you. That source site or brand does not
become a separate data controller merely because it is a subscription source.

This notice is specific to email subscription and marketing activity managed through ABT’s EDM
system. Data processed for bookings, payments, enquiries or travel services may also be subject to
the relevant privacy notice or terms of service.

2. Personal data we collect

We may collect and process:

• your email address;
• your name, if provided;
• the brand, site or form that was the source of your subscription;
• your subscription preferences, consent status and unsubscribe records;
• the date and time of the action, Internet Protocol (IP) address, browser or device information and user-agent string associated with your consent;
• email delivery information, including delivery status, bounces and spam complaints; and
• interaction data such as opens or clicks, only where such tracking is enabled and lawfully permitted for the recipient concerned.

We obtain this data directly from you through subscription or enquiry forms, from your actions on a
preference or unsubscribe page, and from our email service provider in connection with message
delivery.

3. Purposes and basis of processing

We process your personal data to:

• send travel offers, trip ideas, updates and other marketing content from MountKinabalu.com that you have chosen to receive;
• manage subscription preferences, unsubscribe requests and suppression lists so that your choices are respected;
• send welcome emails and manage email deliverability, bounces and complaints;
• keep minimal evidence of consent, withdrawal of consent and suppression for compliance and the handling of legal claims; and
• measure campaign effectiveness, only where such analytics or tracking is enabled and has a lawful basis.

Email marketing is carried out on the basis of your consent. Where the European Union General Data
Protection Regulation (“GDPR”) applies, the basis is consent under Article 6(1)(a). We may keep
minimal evidence of consent, withdrawal and suppression on the basis of legitimate interests under
Article 6(1)(f), and to the extent necessary for the establishment, exercise or defence of legal
claims under Article 17(3)(e).

We will rely on a legal obligation as a basis for processing only where a specific applicable
obligation can be identified.

4. Your choices and the consequences of not providing data

Providing data for a marketing subscription is voluntary. If you do not provide an email address or
do not consent to receive marketing, we will not be able to register you for marketing emails. That
decision will not prevent you from making a booking or an enquiry, and necessary service messages
about a booking or enquiry do not depend on marketing consent.

Your subscription starts when you press Subscribe, unless MountKinabalu.com uses a two-step
confirmation process. Where two-step confirmation is used, the subscription starts only after you
confirm your email address through a link sent to you.

5. Unsubscribing

You can withdraw consent and unsubscribe at any time using the unsubscribe link in any marketing
email. No sign-in is required. You can choose to unsubscribe from MountKinabalu.com only or from all ABT
brands, subject to the options presented.

After you unsubscribe, you will not receive further marketing emails within the scope of that
choice. We may still send necessary messages about your bookings, payments, security or enquiries.
Withdrawing consent does not affect the lawfulness of processing carried out before consent was
withdrawn.

6. Disclosure to data processors

We do not sell your personal data. We may disclose the necessary data to:

• Linode/Akamai, for hosting the EDM application and database in Singapore;
• Postmark and its subprocessors, for email delivery and the handling of delivery status, bounces and complaints, including processing in the United States;
• Cloudflare, Turnstile or R2, where used in the production environment, for content delivery networking, bot protection, request security or asset storage; and
• public authorities, regulators, professional advisers or other parties where permitted or required by law.

Service providers are only permitted to process data for the specified purposes and are subject to
the relevant contractual and security obligations.

7. Cross-border transfers of personal data

Your personal data may be transferred to and processed outside Malaysia, including in Singapore and
the United States. Where GDPR applies, restricted transfers outside the European Economic Area are
protected through data-processing agreements and Standard Contractual Clauses, where applicable.
For transfers from Malaysia, ABT will apply the conditions and safeguards available under section
129 of the Personal Data Protection Act 2010 and the cross-border transfer guidelines in force.

You can request further information about the recipients, destination countries and the relevant
safeguards through info@mountkinabalu.com.

8. Email tracking and analytics

Some emails may use a small pixel or specific links to measure whether a message was opened or a
link was clicked. This information will only be collected where tracking is enabled and lawfully
permitted. Open and click tracking will not be enabled for recipients in the EEA or the United
Kingdom until an appropriate consent basis or territorial policy has been established.

Email-open data is approximate and does not necessarily prove that a person has read a message.

9. Data retention

We keep data only for as long as necessary for the purposes set out in this notice:

• minimal evidence of consent, withdrawal and suppression is kept for up to six years after consent is withdrawn or the relevant relationship ends, whichever is later, subject to documented necessity;
• active marketing profiles are anonymised approximately 24 months after last activity when that data is no longer needed; and
• email interaction events are kept for approximately 24 months before being aggregated into statistics.

When you unsubscribe or request deletion, we may keep a minimal, pseudonymised suppression record
so that the address is not accidentally re-added or contacted for marketing. This record is still
treated as personal data and protected accordingly.

10. Security of personal data

We use reasonable technical and organisational security measures to protect personal data against
loss, misuse, alteration, unauthorised access, disclosure or destruction. Access to data is
restricted to staff and service providers who need it to carry out authorised tasks.

11. Your rights

Subject to applicable law, you may:

• request access to your personal data;
• request correction of data that is inaccurate, incomplete, misleading or out of date;
• withdraw consent and unsubscribe;
• request deletion of data that is no longer needed;
• object to or request restriction of certain processing;
• request data portability, where that right applies; and
• lodge a complaint with the relevant data protection authority.

Some rights are subject to legal exceptions. Where we need to keep a suppression record or minimal
evidence after deleting an active profile, we will limit that record to the data needed to respect
your choice and to handle legal claims.

To exercise your rights, contact info@mountkinabalu.com. We may ask for reasonable information to verify
your identity and the scope of your request.

12. Complaints

If you have a question or complaint, please contact us first through info@mountkinabalu.com.

You may also contact:

Personal Data Protection Commissioner of Malaysia
Level 8, Galeria PjH
Jalan P4W, Persiaran Perdana, Presint 4
Federal Government Administrative Centre
62100 Putrajaya, Malaysia
Email: aduan@pdp.gov.my

Where GDPR applies, you may also lodge a complaint with the relevant data protection supervisory
authority in the country of your residence or place of work, or the place where the alleged
infringement occurred.

13. Changes to this notice

We may update this notice to reflect changes in our practices, technology or applicable law. The
latest version will be published at https://edm.mountkinabalu.com/privacy/mountkinabalu together with its effective date. Where a change
materially affects how we use data on the basis of consent, we will obtain fresh consent where
required.

14. Contact information

Amazing Borneo Tours & Events Sdn Bhd
L1.39, 1st Floor, Kompleks Asia City
Jalan Asia City
88000 Kota Kinabalu, Sabah, Malaysia
Privacy email: info@mountkinabalu.com

Notis Perlindungan Data Peribadi

Tarikh kuat kuasa: 2026-09-01

1. Tentang notis ini

Notis ini menerangkan cara Amazing Borneo Tours & Events Sdn Bhd (“ABT”, “kami” atau
“kita”) mengumpul, menggunakan, menyimpan, menzahirkan dan melindungi data peribadi anda apabila
anda melanggan e-mel pemasaran daripada MountKinabalu.com.

MountKinabalu.com dikendalikan oleh ABT. ABT ialah pengawal data bagi data peribadi anda. Jika anda
melanggan melalui laman atau jenama sumber yang berbeza, kami akan memaklumkan sumber langganan itu
dan jenama yang akan menghantar e-mel kepada anda. Laman atau jenama sumber tersebut tidak menjadi
pengawal data yang berasingan semata-mata kerana ia merupakan sumber langganan.

Notis ini khusus untuk langganan dan aktiviti pemasaran e-mel yang diuruskan melalui sistem EDM ABT.
Data yang diproses bagi tempahan, pembayaran, pertanyaan atau perkhidmatan perjalanan mungkin turut
tertakluk kepada notis privasi atau terma perkhidmatan yang berkaitan.

2. Data peribadi yang kami kumpulkan

Kami boleh mengumpulkan dan memproses:

• alamat e-mel anda;
• nama anda, jika diberikan;
• jenama, laman atau borang yang menjadi sumber langganan anda;
• pilihan langganan, status persetujuan dan rekod berhenti melanggan;
• tarikh dan masa tindakan, alamat Protokol Internet (IP), maklumat pelayar atau peranti dan rentetan ejen pengguna yang berkaitan dengan persetujuan anda;
• maklumat penghantaran e-mel, termasuk status penghantaran, lantunan dan aduan spam; dan
• data interaksi seperti pembukaan atau klik, hanya jika penjejakan tersebut diaktifkan dan dibenarkan di sisi undang-undang bagi penerima berkenaan.

Kami memperoleh data ini secara langsung daripada anda melalui borang langganan atau borang
pertanyaan, daripada tindakan anda pada halaman pilihan atau berhenti melanggan, serta daripada
pembekal perkhidmatan e-mel kami berkaitan penghantaran mesej.

3. Tujuan dan asas pemprosesan

Kami memproses data peribadi anda untuk:

• menghantar tawaran perjalanan, idea perjalanan, kemas kini dan kandungan pemasaran lain daripada MountKinabalu.com yang anda pilih;
• mengurus pilihan langganan, permintaan berhenti melanggan dan senarai sekatan supaya pilihan anda dipatuhi;
• menghantar e-mel aluan dan mengurus kebolehhantaran e-mel, lantunan serta aduan;
• menyimpan bukti minimum tentang persetujuan, penarikan balik persetujuan dan sekatan untuk tujuan pematuhan dan pengendalian tuntutan; dan
• mengukur keberkesanan kempen, hanya jika analitik atau penjejakan tersebut diaktifkan dan mempunyai asas yang sah.

Pemasaran e-mel dibuat berdasarkan persetujuan anda. Jika Peraturan Perlindungan Data Umum Kesatuan
Eropah (“GDPR”) terpakai, asasnya ialah persetujuan di bawah Perkara 6(1)(a). Kami boleh menyimpan
bukti minimum mengenai persetujuan, penarikan balik dan sekatan berdasarkan kepentingan sah di bawah
Perkara 6(1)(f), dan setakat yang perlu bagi pewujudan, pelaksanaan atau pembelaan tuntutan
undang-undang di bawah Perkara 17(3)(e).

Kami hanya akan bergantung pada kewajipan undang-undang sebagai asas pemprosesan apabila kewajipan
khusus yang terpakai dapat dikenal pasti.

4. Pilihan anda dan akibat jika data tidak diberikan

Memberikan data untuk langganan pemasaran adalah secara sukarela. Jika anda tidak memberikan alamat
e-mel atau tidak bersetuju menerima pemasaran, kami tidak akan dapat mendaftarkan anda untuk e-mel
pemasaran. Keputusan tersebut tidak akan menghalang anda daripada membuat tempahan atau pertanyaan,
dan mesej perkhidmatan yang diperlukan berkaitan tempahan atau pertanyaan tidak bergantung pada
persetujuan pemasaran.

Langganan anda bermula apabila anda menekan Langgan, kecuali jika MountKinabalu.com menggunakan proses
pengesahan dua langkah. Jika pengesahan dua langkah digunakan, langganan hanya bermula selepas anda
mengesahkan alamat e-mel melalui pautan yang dihantar kepada anda.

5. Berhenti melanggan

Anda boleh menarik balik persetujuan dan berhenti melanggan pada bila-bila masa melalui pautan
berhenti melanggan dalam mana-mana e-mel pemasaran. Log masuk tidak diperlukan. Anda boleh memilih
untuk berhenti melanggan daripada MountKinabalu.com sahaja atau daripada semua jenama ABT, tertakluk pada
pilihan yang dipaparkan.

Selepas berhenti melanggan, anda tidak akan menerima e-mel pemasaran selanjutnya dalam skop pilihan
tersebut. Kami masih boleh menghantar mesej yang diperlukan berkaitan tempahan, pembayaran,
keselamatan atau pertanyaan anda. Penarikan balik persetujuan tidak menjejaskan kesahan pemprosesan
yang telah dijalankan sebelum persetujuan ditarik balik.

6. Penzahiran kepada pemproses data

Kami tidak menjual data peribadi anda. Kami boleh menzahirkan data yang perlu kepada:

• Linode/Akamai, bagi pengehosan aplikasi dan pangkalan data EDM di Singapura;
• Postmark dan subpemprosesnya, bagi penghantaran e-mel serta pengurusan status penghantaran, lantunan dan aduan, termasuk pemprosesan di Amerika Syarikat;
• Cloudflare, Turnstile atau R2, jika digunakan dalam persekitaran pengeluaran, bagi rangkaian penghantaran kandungan, perlindungan bot, keselamatan permintaan atau penyimpanan aset; dan
• pihak berkuasa awam, pengawal selia, penasihat profesional atau pihak lain apabila dibenarkan atau dikehendaki oleh undang-undang.

Pembekal perkhidmatan hanya dibenarkan memproses data bagi tujuan yang ditetapkan dan tertakluk pada
obligasi kontrak serta keselamatan yang berkaitan.

7. Pemindahan data peribadi rentas sempadan

Data peribadi anda boleh dipindahkan dan diproses di luar Malaysia, termasuk di Singapura dan
Amerika Syarikat. Jika GDPR terpakai, pemindahan terhad di luar Kawasan Ekonomi Eropah dilindungi
melalui perjanjian pemprosesan data dan Klausa Kontrak Standard, jika berkenaan. Bagi pemindahan dari
Malaysia, ABT akan menggunakan syarat dan langkah perlindungan yang terpakai di bawah seksyen 129
Akta Perlindungan Data Peribadi 2010 serta garis panduan pemindahan rentas sempadan yang berkuat
kuasa.

Anda boleh meminta maklumat lanjut mengenai penerima, negara tujuan dan langkah perlindungan yang
berkaitan melalui info@mountkinabalu.com.

8. Penjejakan dan analitik e-mel

Sesetengah e-mel boleh menggunakan piksel kecil atau pautan khusus untuk mengukur sama ada mesej
dibuka atau pautan diklik. Maklumat ini hanya akan dikumpulkan apabila penjejakan diaktifkan dan
dibenarkan di sisi undang-undang. Penjejakan pembukaan dan klik tidak akan diaktifkan bagi penerima
di EEA atau United Kingdom sehingga asas persetujuan atau dasar wilayah yang sesuai telah
ditetapkan.

Data pembukaan e-mel adalah bersifat anggaran dan tidak semestinya membuktikan bahawa seseorang
telah membaca sesuatu mesej.

9. Penyimpanan data

Kami menyimpan data hanya selama yang diperlukan bagi tujuan yang dinyatakan dalam notis ini:

• bukti minimum mengenai persetujuan, penarikan balik dan sekatan disimpan sehingga enam tahun selepas persetujuan ditarik balik atau hubungan yang berkaitan berakhir, mengikut mana-mana yang terkemudian, tertakluk pada keperluan yang didokumenkan;
• profil pemasaran aktif akan dinyahnamakan kira-kira 24 bulan selepas aktiviti terakhir apabila data tersebut tidak lagi diperlukan; dan
• peristiwa interaksi e-mel disimpan kira-kira 24 bulan sebelum digabungkan menjadi statistik.

Apabila anda berhenti melanggan atau meminta pemadaman, kami boleh menyimpan rekod sekatan minimum
yang menggunakan nama samaran supaya alamat tersebut tidak ditambah semula atau dihubungi bagi
pemasaran secara tidak sengaja. Rekod ini masih dianggap sebagai data peribadi dan dilindungi
sewajarnya.

10. Keselamatan data peribadi

Kami menggunakan langkah keselamatan teknikal dan organisasi yang munasabah untuk melindungi data
peribadi daripada kehilangan, penyalahgunaan, ubah suaian, akses, penzahiran atau pemusnahan tanpa
kebenaran. Akses kepada data dihadkan kepada kakitangan dan pembekal perkhidmatan yang memerlukannya
untuk menjalankan tugas yang dibenarkan.

11. Hak anda

Tertakluk pada undang-undang yang terpakai, anda boleh:

• meminta akses kepada data peribadi anda;
• meminta pembetulan data yang tidak tepat, tidak lengkap, mengelirukan atau tidak terkini;
• menarik balik persetujuan dan berhenti melanggan;
• meminta pemadaman data yang tidak lagi diperlukan;
• membantah atau meminta sekatan terhadap pemprosesan tertentu;
• meminta kemudahalihan data, jika hak tersebut terpakai; dan
• membuat aduan kepada pihak berkuasa perlindungan data yang berkaitan.

Sesetengah hak tertakluk pada pengecualian undang-undang. Jika kami perlu menyimpan rekod sekatan atau
bukti minimum selepas pemadaman profil aktif, kami akan mengehadkan rekod tersebut kepada data yang
diperlukan untuk menghormati pilihan anda dan menangani tuntutan undang-undang.

Untuk melaksanakan hak anda, hubungi info@mountkinabalu.com. Kami mungkin meminta maklumat yang munasabah
untuk mengesahkan identiti dan skop permintaan anda.

12. Aduan

Jika anda mempunyai pertanyaan atau aduan, sila hubungi kami terlebih dahulu melalui
info@mountkinabalu.com.

Anda juga boleh menghubungi:

Pesuruhjaya Perlindungan Data Peribadi Malaysia
Aras 8, Galeria PjH
Jalan P4W, Persiaran Perdana, Presint 4
Pusat Pentadbiran Kerajaan Persekutuan
62100 Putrajaya, Malaysia
E-mel: aduan@pdp.gov.my

Jika GDPR terpakai, anda juga boleh membuat aduan kepada pihak berkuasa penyeliaan perlindungan data
yang berkenaan di negara tempat tinggal atau tempat kerja anda, atau tempat pelanggaran yang didakwa
berlaku.

13. Perubahan kepada notis ini

Kami boleh mengemas kini notis ini untuk mencerminkan perubahan pada amalan, teknologi atau undang-
undang yang terpakai. Versi terkini akan diterbitkan di https://edm.mountkinabalu.com/privacy/mountkinabalu berserta tarikh kuat kuasa.
Jika perubahan itu menjejaskan secara ketara cara kami menggunakan data berdasarkan persetujuan,
kami akan mendapatkan persetujuan baharu apabila dikehendaki.

14. Maklumat untuk dihubungi

Amazing Borneo Tours & Events Sdn Bhd
L1.39, Tingkat 1, Kompleks Asia City
Jalan Asia City
88000 Kota Kinabalu, Sabah, Malaysia
E-mel privasi: info@mountkinabalu.com