Personal Data Protection Notice

SENTRAFLOW SOLUTION · SSM 202503342999 (PG0581026-K) · Last updated 19 September 2026

English

1. Who we are

Kira is operated by SENTRAFLOW SOLUTION, a business registered in Malaysia under SSM registration number 202503342999 (PG0581026-K), of No 22 Jalan Merbau Indah 1, Taman Merbau Indah, Sungai Dua, 13800 Butterworth, Pulau Pinang, Malaysia. This notice is issued under section 7 of the Personal Data Protection Act 2010 (“PDPA”) and tells you what personal data we collect, why, who we share it with, and how you can exercise your rights.

2. Two different roles — please read this part

Kira holds two kinds of personal data, and our responsibilities differ for each.

Your account. When you or your staff use Kira, we are the data controller for the account information described in section 3 — we decide why and how it is held.
What you put into your books. Your employees’ names, wages, NRIC or passport numbers, tax (TIN), KWSP and PERKESO numbers and leave records; your customers’ and suppliers’ names, contact details and tax numbers; your invoices, receipts, sales, bank statement lines and ledger entries. This is mostly other people’s personal data, and we hold it as a data processor acting on your instructions. Your business remains the data controller for it, which means it is your business — not us — that must have a lawful basis for it and must have told those people how their data is used.

3. What we collect, and where it comes from

About account holders and their staff, we collect:

name, email address, and a one-way hash of your password (never the password itself);
the companies you belong to and your role in each;
your business profile — company name, address, phone, SSM and tax numbers, and, for a sole proprietor who chooses it for e-Invoicing, a MyKad or passport number (stored encrypted);
your subscription, plan and payment status (not card or banking details — see section 6);
security and usage records: when you sign in, your IP address and browser details in our server logs, and which parts of the service are used, so that we can keep accounts secure, limit abuse and fix faults.

This comes from you when you register and use Kira, from the owner of a company who invites you, from our payment provider (whether a payment succeeded), and from LHDN (the outcome of an e-Invoice you submit).

4. Why we process it

To provide the service: bookkeeping, invoicing, point of sale, payroll, SST and reporting.
To produce the statutory filings you ask for (e.g. CP39, EA, EPF and SOCSO files, LHDN e-Invoice submissions).
To sign you in, keep the service and your data secure, prevent abuse, and investigate faults.
To bill your subscription and to send you service emails — password resets, payment confirmations and renewal reminders.
To comply with the law and respond to lawful requests from authorities.

We do not sell personal data, we do not use your books to advertise to you or anyone else, and our staff do not browse your books: our operator tools show account and subscription information, not your transactions.

5. What you must give us, and what is optional

Obligatory: your name, email address and a password, and a company name. Without them we cannot open an account or keep it secure.
Needed for a particular feature: tax, SSM and address details for e-Invoicing; employee identifiers for payroll and statutory filings. If you do not provide them, those features cannot be used, but the rest of Kira still works.
Optional: everything else, such as a phone number or a logo.

6. Who else sees it

We use a small number of service providers, each for one purpose, under contract:

Render — hosting and the database in which your data is stored.
Cloudflare — domain name and network security, through which traffic to Kira passes.
Resend — sending email.
Billplz — collecting subscription payments. Card and banking credentials are entered with Billplz and never reach Kira.
Anthropic — the AI features. Data is sent to Anthropic only when you or your staff use an AI feature (for example, asking the Ledger Copilot a question or scanning a receipt), and only what that request needs. AI reads your books to answer questions. When you scan a receipt, the AI bookkeeper proposes an entry: a small, clear receipt you captured yourself (RM 500 or less) is recorded automatically, and everything else waits for your approval. The Copilot can change your books only if that option is switched on for your company.
LHDN (MyInvois) — e-Invoice submissions, when you choose to submit one.

We may also disclose data where the law requires it, or to protect the rights and safety of our users or the public.

7. Transfer outside Malaysia

Your data is stored and processed outside Malaysia: our hosting and database are in the United States; email is sent through Japan and the United States; the AI provider is in the United States; and Cloudflare operates a global network. Section 129 of the PDPA permits such transfers where the destination provides protection substantially similar to the PDPA or an adequate level of protection, or where you consent. We choose providers that contractually protect the data they handle, and by using Kira you consent to these transfers. If you need your data to remain in Malaysia, Kira is not currently suitable for you — we would rather say so plainly.

8. How long we keep it

Your books and payroll records — while your account is open, and afterwards for as long as Malaysian law requires businesses to keep accounting, tax and payroll records (generally seven years). Records kept for that reason are kept even if deletion is requested, because the law requires it of your business as well as of us.
Your account information — while your account is open. After you ask us to close it, we delete or anonymise it within 30 days, except what we must keep for billing, tax or legal reasons.
Security logs — kept for a limited period, then deleted.

9. Cookies and browser storage

Kira does not use advertising or tracking cookies. Your browser stores only what the app needs to work: your signed-in session, the company you selected, your light/dark theme choice, and, on a point-of-sale till, sales waiting to sync when the connection returns.

10. Your rights

Under the PDPA you may:

ask for a copy of the personal data we hold about you (we respond within 21 days);
ask us to correct it if it is inaccurate, incomplete or out of date;
ask for your data in a structured, machine-readable form to move it to another service (data portability);
withdraw consent, or limit how we process it — noting that this may make the service unusable;
ask us to stop processing it for direct marketing (we do not currently do any).

We do not charge for these requests. If the data in question is your employer’s record of you — your wages, for instance — contact your employer, because they are the data controller and we act on their instructions; we will help them respond.

If you are not satisfied with our response, you may complain to the Personal Data Protection Commissioner (Jabatan Perlindungan Data Peribadi) at www.pdp.gov.my.

11. Security, and a breach

Access is limited by role; employees’ identity and statutory numbers, sole proprietors’ MyKad numbers, the identity numbers and TINs of customers who ask for an e-Invoice at the till, and stored keys are encrypted at rest; passwords are stored only as salted hashes; and the ledger is append-only and hash-chained, so entries cannot be silently altered. If a personal data breach occurs we will notify the Personal Data Protection Commissioner within 72 hours of becoming aware of it, and will tell affected users without unnecessary delay where the breach is likely to cause significant harm.

12. Children

Kira is a business service and is not intended for anyone under 18.

13. Changes to this notice

We will update this notice when what we do with data changes, and change the date at the top. If a change materially affects how your personal data is used, we will tell account holders by email before it takes effect.

14. Contact

For questions, or to exercise any right above, email [email protected] or write to SENTRAFLOW SOLUTION, No 22 Jalan Merbau Indah 1, Taman Merbau Indah, Sungai Dua, 13800 Butterworth, Pulau Pinang, Malaysia. We have not yet appointed a Data Protection Officer; we will appoint one and name them here once the PDPA requires it of us.

Bahasa Malaysia

Notis ini dikeluarkan dalam dua bahasa seperti yang dikehendaki oleh seksyen 7 Akta Perlindungan Data Peribadi 2010. Sekiranya terdapat percanggahan, kedua-dua versi hendaklah dibaca bersama.

1. Siapa kami

Kira dikendalikan oleh SENTRAFLOW SOLUTION, sebuah perniagaan berdaftar di Malaysia dengan nombor pendaftaran SSM 202503342999 (PG0581026-K), beralamat di No 22 Jalan Merbau Indah 1, Taman Merbau Indah, Sungai Dua, 13800 Butterworth, Pulau Pinang, Malaysia. Notis ini dikeluarkan di bawah seksyen 7 Akta Perlindungan Data Peribadi 2010 (“APDP”) dan menerangkan data peribadi yang kami kumpul, sebabnya, dengan siapa ia dikongsi, dan cara anda boleh melaksanakan hak anda.

2. Dua peranan berbeza — sila baca bahagian ini

Akaun anda. Apabila anda atau kakitangan anda menggunakan Kira, kami ialah pengguna data (pengawal) bagi maklumat akaun yang diterangkan dalam bahagian 3.
Apa yang anda masukkan ke dalam rekod perniagaan anda. Nama, gaji, nombor kad pengenalan atau pasport, nombor cukai (TIN), KWSP, PERKESO dan rekod cuti pekerja anda; nama dan butiran pelanggan serta pembekal anda; invois, resit, jualan, baris penyata bank dan catatan lejar. Ini kebanyakannya data peribadi orang lain, dan kami memegangnya sebagai pemproses data mengikut arahan anda. Perniagaan anda kekal sebagai pengawal data bagi data tersebut dan bertanggungjawab memaklumkan individu berkenaan tentang penggunaan data mereka.

3. Data yang kami kumpul dan sumbernya

Mengenai pemegang akaun dan kakitangan mereka, kami mengumpul:

nama, alamat e-mel, dan cincangan sehala kata laluan anda (bukan kata laluan itu sendiri);
syarikat yang anda sertai dan peranan anda dalam setiap syarikat;
profil perniagaan anda — nama syarikat, alamat, telefon, nombor SSM dan cukai, dan, bagi pemilik tunggal yang memilihnya untuk e-Invois, nombor MyKad atau pasport (disimpan dalam bentuk tersulit);
status langganan, pelan dan pembayaran anda (bukan butiran kad atau perbankan — lihat bahagian 6);
rekod keselamatan dan penggunaan: masa log masuk, alamat IP dan butiran pelayar dalam log pelayan kami, dan bahagian perkhidmatan yang digunakan, supaya akaun kekal selamat, penyalahgunaan dihadkan dan kerosakan dapat dibaiki.

Data ini diperoleh daripada anda semasa mendaftar dan menggunakan Kira, daripada pemilik syarikat yang menjemput anda, daripada penyedia pembayaran kami (sama ada sesuatu bayaran berjaya), dan daripada LHDN (keputusan e-Invois yang anda serahkan).

4. Tujuan pemprosesan

Menyediakan perkhidmatan: perakaunan, invois, jualan kaunter, penggajian, SST dan laporan.
Menghasilkan penyerahan berkanun yang anda minta (contohnya CP39, EA, fail KWSP dan PERKESO, penyerahan e-Invois LHDN).
Mengesahkan log masuk anda, menjaga keselamatan perkhidmatan dan data anda, mencegah penyalahgunaan, dan menyiasat kerosakan.
Mengebil langganan anda dan menghantar e-mel perkhidmatan — penetapan semula kata laluan, pengesahan pembayaran dan peringatan pembaharuan.
Mematuhi undang-undang dan menjawab permintaan sah daripada pihak berkuasa.

Kami tidak menjual data peribadi, tidak menggunakan rekod perniagaan anda untuk pengiklanan, dan kakitangan kami tidak meneliti rekod perniagaan anda: alat pengendali kami memaparkan maklumat akaun dan langganan, bukan transaksi anda.

5. Data yang wajib dan pilihan

Wajib: nama, alamat e-mel dan kata laluan anda, serta nama syarikat. Tanpanya kami tidak dapat membuka atau melindungi akaun anda.
Diperlukan untuk ciri tertentu: butiran cukai, SSM dan alamat bagi e-Invois; pengenalan pekerja bagi penggajian dan penyerahan berkanun. Jika tidak diberikan, ciri tersebut tidak dapat digunakan, tetapi bahagian lain Kira masih berfungsi.
Pilihan: selebihnya, seperti nombor telefon atau logo.

6. Pihak lain yang terlibat

Kami menggunakan sebilangan kecil penyedia perkhidmatan, masing-masing untuk satu tujuan, di bawah kontrak:

Render — pengehosan dan pangkalan data tempat data anda disimpan.
Cloudflare — nama domain dan keselamatan rangkaian, yang dilalui trafik ke Kira.
Resend — penghantaran e-mel.
Billplz — kutipan bayaran langganan. Butiran kad dan perbankan dimasukkan di Billplz dan tidak pernah sampai kepada Kira.
Anthropic — ciri AI. Data dihantar kepada Anthropic hanya apabila anda atau kakitangan anda menggunakan ciri AI (contohnya bertanya kepada Ledger Copilot atau mengimbas resit), dan hanya data yang diperlukan untuk permintaan itu. AI membaca rekod anda untuk menjawab soalan. Apabila anda mengimbas resit, pembantu akaun AI mencadangkan satu catatan: resit kecil yang jelas yang anda ambil sendiri (RM 500 atau kurang) direkodkan secara automatik, dan selebihnya menunggu kelulusan anda. Copilot hanya boleh mengubah rekod anda jika pilihan itu dihidupkan untuk syarikat anda.
LHDN (MyInvois) — penyerahan e-Invois, apabila anda memilih untuk menyerahkannya.

Kami juga boleh mendedahkan data apabila dikehendaki oleh undang-undang, atau untuk melindungi hak dan keselamatan pengguna kami atau orang awam.

7. Pemindahan ke luar Malaysia

Data anda disimpan dan diproses di luar Malaysia: pengehosan dan pangkalan data kami berada di Amerika Syarikat; e-mel dihantar melalui Jepun dan Amerika Syarikat; penyedia AI berada di Amerika Syarikat; dan Cloudflare mengendalikan rangkaian global. Seksyen 129 APDP membenarkan pemindahan sedemikian apabila destinasi memberikan perlindungan yang pada dasarnya serupa dengan APDP atau tahap perlindungan yang mencukupi, atau apabila anda memberikan keizinan. Kami memilih penyedia yang melindungi data secara kontrak, dan dengan menggunakan Kira anda bersetuju dengan pemindahan ini. Jika anda memerlukan data anda kekal di Malaysia, Kira belum sesuai untuk anda buat masa ini.

8. Tempoh penyimpanan

Rekod perniagaan dan penggajian anda — sepanjang akaun anda aktif, dan selepas itu selama tempoh yang dikehendaki undang-undang Malaysia bagi rekod perakaunan, cukai dan penggajian (lazimnya tujuh tahun). Rekod yang disimpan atas sebab tersebut kekal disimpan walaupun pemadaman diminta.
Maklumat akaun anda — sepanjang akaun anda aktif. Selepas anda meminta penutupan akaun, kami memadam atau menjadikannya tanpa nama dalam tempoh 30 hari, kecuali apa yang wajib disimpan atas sebab pengebilan, cukai atau undang-undang.
Log keselamatan — disimpan untuk tempoh terhad, kemudian dipadam.

9. Kuki dan storan pelayar

Kira tidak menggunakan kuki pengiklanan atau penjejakan. Pelayar anda hanya menyimpan apa yang diperlukan aplikasi untuk berfungsi: sesi log masuk anda, syarikat yang dipilih, pilihan tema cerah/gelap, dan, pada kaunter jualan, jualan yang menunggu untuk diselaraskan apabila sambungan pulih.

10. Hak anda

Di bawah APDP anda boleh:

meminta salinan data peribadi anda yang kami simpan (kami membalas dalam tempoh 21 hari);
meminta pembetulan jika data itu tidak tepat, tidak lengkap atau lapuk;
meminta data anda dalam bentuk berstruktur yang boleh dibaca mesin untuk dipindahkan ke perkhidmatan lain (kemudahalihan data);
menarik balik keizinan atau menghadkan pemprosesan — perlu diingat ini boleh menyebabkan perkhidmatan tidak dapat digunakan;
meminta kami berhenti memproses data bagi pemasaran langsung (kami tidak menjalankannya buat masa ini).

Kami tidak mengenakan bayaran bagi permintaan ini. Jika data berkenaan ialah rekod majikan anda tentang anda — contohnya gaji anda — sila hubungi majikan anda, kerana merekalah pengawal data dan kami bertindak atas arahan mereka; kami akan membantu mereka menjawab.

Jika anda tidak berpuas hati dengan jawapan kami, anda boleh membuat aduan kepada Pesuruhjaya Perlindungan Data Peribadi (Jabatan Perlindungan Data Peribadi) di www.pdp.gov.my.

11. Keselamatan dan pelanggaran data

Capaian dihadkan mengikut peranan; nombor pengenalan dan nombor berkanun pekerja, nombor MyKad pemilik tunggal, nombor pengenalan dan TIN pelanggan yang meminta e-Invois di kaunter, serta kunci yang disimpan disulitkan; kata laluan hanya disimpan sebagai cincangan bergaram; dan lejar bersifat tambah-sahaja serta dirantai cincang supaya catatan tidak boleh diubah secara senyap. Sekiranya berlaku pelanggaran data peribadi, kami akan memaklumkan Pesuruhjaya Perlindungan Data Peribadi dalam tempoh 72 jam selepas mengetahuinya, dan akan memberitahu pengguna yang terjejas tanpa kelewatan yang tidak wajar apabila pelanggaran itu berkemungkinan menyebabkan kemudaratan yang ketara.

12. Kanak-kanak

Kira ialah perkhidmatan perniagaan dan tidak ditujukan kepada sesiapa yang berumur bawah 18 tahun.

13. Perubahan kepada notis ini

Kami akan mengemas kini notis ini apabila penggunaan data kami berubah, dan menukar tarikh di bahagian atas. Jika sesuatu perubahan menjejaskan penggunaan data peribadi anda secara material, kami akan memaklumkan pemegang akaun melalui e-mel sebelum ia berkuat kuasa.

14. Hubungi kami

Untuk sebarang pertanyaan atau untuk melaksanakan hak di atas, e-mel [email protected] atau tulis kepada SENTRAFLOW SOLUTION, No 22 Jalan Merbau Indah 1, Taman Merbau Indah, Sungai Dua, 13800 Butterworth, Pulau Pinang, Malaysia. Kami belum melantik Pegawai Perlindungan Data; kami akan melantik dan menamakan pegawai tersebut di sini apabila APDP menghendakinya daripada kami.