Personal Data Protection Notice under the Personal Data Protection Act 2010 (PDPA) · Effective 7 November 2026
1. Who we are
Blitz Gym SS15 Sdn Bhd ("Blitz Gym", "we", "us") runs Blitz Gym at 1, Jalan SS 15/8a, SS 15, 47500 Subang Jaya, Selangor. We are the data controller for the personal data described in this notice. It covers our members, walk-in guests, personal training clients, people who contact us, and visitors to blitzgym.com.my.
2. Personal data we collect
Depending on how you deal with us, we may collect:
Identity and contact details: name, phone/WhatsApp number, email address, date of birth, and an identification number where needed to register or verify a membership.
Emergency contact: name and phone number of someone we can call if you are hurt or unwell at the gym.
Membership and payment records: plan type, start and end dates, visit and check-in history, invoices and payment status. Card and e-wallet details are handled by our booking and payment providers; we do not store full card numbers.
Health and fitness information you choose to share (sensitive personal data): for example injuries, medical conditions or training goals you tell a coach, so we can keep your training safe.
Facial recognition data (biometric data, which is sensitive personal data): a face image and the facial template created from it, used for gym entry. See section 5.
Photos and videos: images taken at the gym for our social media, only with your consent if you can be identified.
Messages and enquiries: what you send us through our website form, WhatsApp, email, phone or social media.
Public reviews: your Google display name, star rating and review text if you review Blitz Gym on Google. See section 6.
Website data: basic technical information such as IP address, browser type and pages visited, recorded by our website host.
3. How we collect it
Mostly from you: when you sign up at the front desk or through our booking app (KATCH), buy a walk-in pass, book personal training, register for facial recognition entry, fill in our website enquiry form, message us, or post a review. We also receive records from our booking and payment providers, and from Google when you leave a review on our Google Business Profile.
4. Why we use it
To register you, manage your membership or pass, and let you into the gym.
To process payments, issue receipts and keep proper accounts.
To keep members safe, including contacting your emergency contact and adapting training to any health information you give us.
To deliver personal training and track your progress.
To answer enquiries, complaints and reviews.
To send you service messages, such as membership expiry, opening hour changes or closures.
To send you promotions, only if you have agreed. You can opt out at any time.
To share gym photos and videos on our social media, only with your consent where you can be identified.
To keep our premises and members secure, investigate incidents, and meet our legal obligations.
5. Facial recognition entry
Our door access system uses facial recognition so members can enter during opening hours. When you register, the system captures your face image and creates a facial template from it. Under the PDPA this is biometric data, a type of sensitive personal data, so we only process it with your explicit consent, which we ask for at registration.
We use it only to verify your identity at the entrance and to keep an entry log. We do not use it for marketing, do not sell it, and do not share it except with the provider that operates the access system for us.
You can withdraw your consent at any time by telling the front desk. We will then delete your facial data, and we will discuss other ways for you to enter the gym.
6. Google reviews and our review-reply tool
We use an internal tool, "Blitz Gym Review Assistant", to help us reply to reviews left on Blitz Gym's Google Business Profile. With permission from Blitz Gym's own Google account, the tool uses the Google Business Profile API to:
read new reviews on our own business profile (reviewer display name, star rating, review text and date), and
post our owner reply to a review after a staff member has checked and approved it.
To do this, the review details pass through our workflow automation service (n8n). The review text is sent to an AI model provider (Anthropic) to suggest a draft reply, and the draft is emailed to our team for approval. A person approves every reply before it is posted. The tool only accesses Blitz Gym's own business account. It does not access any reviewer's Google account.
We use Google data only to read and reply to our reviews. We do not sell it, use it for advertising, or use it to build profiles of reviewers. Our use and transfer of information received from Google APIs follows the Google API Services User Data Policy, including the Limited Use requirements. Blitz Gym can remove the tool's access at any time from its Google Account security settings.
7. Who we share it with
We share personal data only where needed for the purposes above, with:
our booking and membership platform (KATCH) and payment providers;
the provider of our facial recognition door access system;
technology providers that host or process data for us, including Google (email, Business Profile), Meta (WhatsApp, Instagram, Facebook), Netlify (website hosting and enquiry forms), n8n (workflow automation) and Anthropic (AI drafting of review replies);
our coaches and staff, on a need-to-know basis;
professional advisers such as accountants, auditors and lawyers;
emergency services or medical personnel if your health or safety is at risk;
government, regulatory or law enforcement bodies when the law requires it.
We do not sell your personal data.
8. Transfers outside Malaysia
Some of the providers above store or process data on servers outside Malaysia, for example in Singapore, the United States or the European Union. When this happens we take reasonable steps, as required by the PDPA, to make sure your data is protected to a standard comparable to Malaysian law, such as using reputable providers bound by contracts and security commitments.
9. How long we keep it
Membership and payment records: for as long as you are a member, then up to 7 years for tax and accounting purposes.
Facial recognition data: deleted within 30 days after your membership ends, or sooner if you withdraw consent.
Health information given to coaches: for as long as you train with us, then deleted within 12 months.
Enquiries and messages: up to 12 months after the conversation ends, unless they form part of a membership record.
Review-reply drafts and approval emails: up to 90 days. Published reviews and replies stay on Google until removed there.
When data is no longer needed we delete or anonymise it.
10. How we protect it
We limit access to staff who need it, protect accounts with passwords and two-step verification where available, use providers with recognised security practices, and train staff on handling member information. If a personal data breach is likely to cause significant harm, we will notify the Personal Data Protection Commissioner and the affected individuals as the PDPA requires.
11. Your rights and choices
You may:
ask for access to, or a copy of, the personal data we hold about you;
ask us to correct data that is inaccurate, incomplete or out of date;
withdraw consent, for example to marketing, social media photos or facial recognition;
ask us to limit how we use your data;
ask us to send your data to another organisation where technically feasible (data portability);
complain to the Personal Data Protection Commissioner (Jabatan Perlindungan Data Peribadi) if you are unhappy with how we handled your data.
To make a request, contact us using the details in section 14. We will respond within 21 days. We may need to verify your identity first, and we may refuse a request where the PDPA allows us to.
12. Is giving us your data compulsory?
Your name, contact number, emergency contact and payment details are needed to give you a membership or pass. Without them we cannot register you. Health information, consent to facial recognition, photos and marketing are voluntary. Not providing them will not stop you from joining, though some services such as personal training may be limited if we cannot do them safely.
13. Our website
blitzgym.com.my does not use advertising or tracking cookies. Our website host may record basic technical logs to keep the site running and secure, and our pages load fonts from Google Fonts. Links to KATCH, WhatsApp and social media take you to those services, which have their own privacy policies.
14. Changes and contact
We may update this notice from time to time. The latest version will always be on this page with its effective date.
Blitz Gym SS15 Sdn Bhd
Attn: Personal Data Protection Contact
1, Jalan SS 15/8a, SS 15, 47500 Subang Jaya, Selangor
This notice is issued in English and Bahasa Malaysia. If there is any inconsistency between the two versions, the English version prevails.
Dasar Privasi
Notis Perlindungan Data Peribadi di bawah Akta Perlindungan Data Peribadi 2010 (PDPA) · Berkuat kuasa 7 November 2026
1. Siapa kami
Blitz Gym SS15 Sdn Bhd ("Blitz Gym", "kami") mengendalikan Blitz Gym di 1, Jalan SS 15/8a, SS 15, 47500 Subang Jaya, Selangor. Kami ialah pengawal data bagi data peribadi yang diterangkan dalam notis ini. Notis ini meliputi ahli kami, tetamu masuk harian (walk-in), pelanggan latihan peribadi, orang yang menghubungi kami, dan pelawat laman web blitzgym.com.my.
2. Data peribadi yang kami kumpul
Bergantung pada urusan anda dengan kami, kami mungkin mengumpul:
Butiran identiti dan perhubungan: nama, nombor telefon/WhatsApp, alamat e-mel, tarikh lahir, dan nombor pengenalan diri jika perlu untuk mendaftar atau mengesahkan keahlian.
Kenalan kecemasan: nama dan nombor telefon orang yang boleh kami hubungi jika anda cedera atau tidak sihat di gim.
Rekod keahlian dan pembayaran: jenis pelan, tarikh mula dan tamat, sejarah lawatan dan daftar masuk, invois dan status pembayaran. Butiran kad dan e-dompet dikendalikan oleh penyedia tempahan dan pembayaran kami; kami tidak menyimpan nombor kad penuh.
Maklumat kesihatan dan kecergasan yang anda pilih untuk kongsi (data peribadi sensitif): contohnya kecederaan, keadaan perubatan atau matlamat latihan yang anda beritahu jurulatih, supaya latihan anda selamat.
Data pengecaman wajah (data biometrik, iaitu data peribadi sensitif): imej wajah dan templat wajah yang dihasilkan daripadanya, untuk kemasukan ke gim. Lihat seksyen 5.
Foto dan video: imej yang dirakam di gim untuk media sosial kami, hanya dengan persetujuan anda jika anda boleh dikenal pasti.
Mesej dan pertanyaan: apa yang anda hantar kepada kami melalui borang laman web, WhatsApp, e-mel, telefon atau media sosial.
Ulasan awam: nama paparan Google, penarafan bintang dan teks ulasan anda jika anda mengulas Blitz Gym di Google. Lihat seksyen 6.
Data laman web: maklumat teknikal asas seperti alamat IP, jenis pelayar dan halaman yang dilawati, yang direkodkan oleh hos laman web kami.
3. Cara kami mengumpulnya
Kebanyakannya daripada anda sendiri: apabila anda mendaftar di kaunter atau melalui aplikasi tempahan kami (KATCH), membeli pas masuk harian, menempah latihan peribadi, mendaftar untuk kemasukan pengecaman wajah, mengisi borang pertanyaan di laman web, menghantar mesej kepada kami, atau menulis ulasan. Kami juga menerima rekod daripada penyedia tempahan dan pembayaran kami, dan daripada Google apabila anda meninggalkan ulasan di Profil Perniagaan Google kami.
4. Tujuan kami menggunakannya
Untuk mendaftar anda, mengurus keahlian atau pas anda, dan membenarkan anda masuk ke gim.
Untuk memproses pembayaran, mengeluarkan resit dan menyimpan akaun yang betul.
Untuk memastikan keselamatan ahli, termasuk menghubungi kenalan kecemasan anda dan menyesuaikan latihan dengan maklumat kesihatan yang anda berikan.
Untuk menyampaikan latihan peribadi dan memantau kemajuan anda.
Untuk menjawab pertanyaan, aduan dan ulasan.
Untuk menghantar mesej perkhidmatan, seperti tamat tempoh keahlian, perubahan waktu operasi atau penutupan.
Untuk menghantar promosi, hanya jika anda bersetuju. Anda boleh menarik diri pada bila-bila masa.
Untuk berkongsi foto dan video gim di media sosial kami, hanya dengan persetujuan anda jika anda boleh dikenal pasti.
Untuk menjaga keselamatan premis dan ahli kami, menyiasat insiden, dan mematuhi kewajipan undang-undang kami.
5. Kemasukan pengecaman wajah
Sistem akses pintu kami menggunakan pengecaman wajah supaya ahli boleh masuk semasa waktu operasi. Semasa pendaftaran, sistem merakam imej wajah anda dan menghasilkan templat wajah daripadanya. Di bawah PDPA, ini ialah data biometrik, sejenis data peribadi sensitif, jadi kami hanya memprosesnya dengan persetujuan nyata anda, yang kami minta semasa pendaftaran.
Kami menggunakannya hanya untuk mengesahkan identiti anda di pintu masuk dan menyimpan log kemasukan. Kami tidak menggunakannya untuk pemasaran, tidak menjualnya, dan tidak berkongsinya kecuali dengan penyedia yang mengendalikan sistem akses tersebut bagi pihak kami.
Anda boleh menarik balik persetujuan anda pada bila-bila masa dengan memaklumkan kaunter hadapan. Kami akan memadam data wajah anda dan berbincang dengan anda tentang cara lain untuk masuk ke gim.
6. Ulasan Google dan alat balasan ulasan kami
Kami menggunakan alat dalaman, "Blitz Gym Review Assistant", untuk membantu kami membalas ulasan di Profil Perniagaan Google Blitz Gym. Dengan kebenaran akaun Google milik Blitz Gym sendiri, alat ini menggunakan Google Business Profile API untuk:
membaca ulasan baharu di profil perniagaan kami sendiri (nama paparan pengulas, penarafan bintang, teks ulasan dan tarikh), dan
menyiarkan balasan pemilik kepada ulasan selepas kakitangan menyemak dan meluluskannya.
Untuk tujuan ini, butiran ulasan melalui perkhidmatan automasi aliran kerja kami (n8n). Teks ulasan dihantar kepada penyedia model AI (Anthropic) untuk mencadangkan draf balasan, dan draf itu dihantar melalui e-mel kepada pasukan kami untuk kelulusan. Setiap balasan diluluskan oleh manusia sebelum disiarkan. Alat ini hanya mengakses akaun perniagaan Blitz Gym sendiri. Ia tidak mengakses akaun Google mana-mana pengulas.
Kami menggunakan data Google hanya untuk membaca dan membalas ulasan kami. Kami tidak menjualnya, tidak menggunakannya untuk pengiklanan, dan tidak menggunakannya untuk membina profil pengulas. Penggunaan dan pemindahan maklumat yang diterima daripada API Google mematuhi Google API Services User Data Policy, termasuk keperluan Limited Use. Blitz Gym boleh menarik balik akses alat ini pada bila-bila masa melalui tetapan keselamatan Akaun Google.
7. Pihak yang menerima data
Kami berkongsi data peribadi hanya apabila perlu untuk tujuan di atas, dengan:
platform tempahan dan keahlian kami (KATCH) serta penyedia pembayaran;
penyedia sistem akses pintu pengecaman wajah kami;
penyedia teknologi yang mengehos atau memproses data bagi pihak kami, termasuk Google (e-mel, Profil Perniagaan), Meta (WhatsApp, Instagram, Facebook), Netlify (pengehosan laman web dan borang pertanyaan), n8n (automasi aliran kerja) dan Anthropic (draf balasan ulasan dengan AI);
jurulatih dan kakitangan kami, atas dasar perlu tahu;
penasihat profesional seperti akauntan, juruaudit dan peguam;
perkhidmatan kecemasan atau kakitangan perubatan jika kesihatan atau keselamatan anda berisiko;
badan kerajaan, pengawal selia atau penguat kuasa undang-undang apabila dikehendaki oleh undang-undang.
Kami tidak menjual data peribadi anda.
8. Pemindahan ke luar Malaysia
Sesetengah penyedia di atas menyimpan atau memproses data di pelayan luar Malaysia, contohnya di Singapura, Amerika Syarikat atau Kesatuan Eropah. Apabila ini berlaku, kami mengambil langkah munasabah seperti yang dikehendaki oleh PDPA untuk memastikan data anda dilindungi pada tahap yang setanding dengan undang-undang Malaysia, seperti menggunakan penyedia bereputasi yang terikat dengan kontrak dan komitmen keselamatan.
9. Tempoh simpanan
Rekod keahlian dan pembayaran: sepanjang tempoh keahlian anda, kemudian sehingga 7 tahun untuk tujuan cukai dan perakaunan.
Data pengecaman wajah: dipadam dalam tempoh 30 hari selepas keahlian anda tamat, atau lebih awal jika anda menarik balik persetujuan.
Maklumat kesihatan yang diberikan kepada jurulatih: sepanjang anda berlatih dengan kami, kemudian dipadam dalam tempoh 12 bulan.
Pertanyaan dan mesej: sehingga 12 bulan selepas perbualan tamat, kecuali jika ia sebahagian daripada rekod keahlian.
Draf balasan ulasan dan e-mel kelulusan: sehingga 90 hari. Ulasan dan balasan yang disiarkan kekal di Google sehingga dibuang di sana.
Apabila data tidak lagi diperlukan, kami memadam atau menjadikannya tanpa nama.
10. Cara kami melindunginya
Kami mengehadkan akses kepada kakitangan yang memerlukannya, melindungi akaun dengan kata laluan dan pengesahan dua langkah jika tersedia, menggunakan penyedia dengan amalan keselamatan yang diiktiraf, dan melatih kakitangan tentang pengendalian maklumat ahli. Jika berlaku pelanggaran data peribadi yang berkemungkinan menyebabkan kemudaratan ketara, kami akan memaklumkan Pesuruhjaya Perlindungan Data Peribadi dan individu yang terjejas seperti yang dikehendaki oleh PDPA.
11. Hak dan pilihan anda
Anda boleh:
meminta akses kepada, atau salinan, data peribadi anda yang kami simpan;
meminta kami membetulkan data yang tidak tepat, tidak lengkap atau tidak terkini;
menarik balik persetujuan, contohnya untuk pemasaran, foto media sosial atau pengecaman wajah;
meminta kami mengehadkan cara kami menggunakan data anda;
meminta kami menghantar data anda kepada organisasi lain jika boleh dilaksanakan secara teknikal (kemudahalihan data);
membuat aduan kepada Pesuruhjaya Perlindungan Data Peribadi (Jabatan Perlindungan Data Peribadi) jika anda tidak berpuas hati dengan cara kami mengendalikan data anda.
Untuk membuat permintaan, hubungi kami menggunakan butiran di seksyen 14. Kami akan menjawab dalam tempoh 21 hari. Kami mungkin perlu mengesahkan identiti anda terlebih dahulu, dan kami boleh menolak permintaan jika dibenarkan oleh PDPA.
12. Adakah pemberian data anda wajib?
Nama, nombor telefon, kenalan kecemasan dan butiran pembayaran anda diperlukan untuk memberi anda keahlian atau pas. Tanpanya, kami tidak dapat mendaftar anda. Maklumat kesihatan, persetujuan pengecaman wajah, foto dan pemasaran adalah secara sukarela. Tidak memberikannya tidak akan menghalang anda daripada menyertai kami, walaupun sesetengah perkhidmatan seperti latihan peribadi mungkin terhad jika kami tidak dapat melaksanakannya dengan selamat.
13. Laman web kami
blitzgym.com.my tidak menggunakan kuki pengiklanan atau penjejakan. Hos laman web kami mungkin merekod log teknikal asas untuk memastikan laman web berfungsi dan selamat, dan halaman kami memuatkan fon daripada Google Fonts. Pautan ke KATCH, WhatsApp dan media sosial akan membawa anda ke perkhidmatan tersebut, yang mempunyai dasar privasi masing-masing.
14. Perubahan dan hubungi kami
Kami boleh mengemas kini notis ini dari semasa ke semasa. Versi terkini sentiasa tersedia di halaman ini bersama tarikh berkuat kuasa.
Blitz Gym SS15 Sdn Bhd
U/P: Pegawai Perhubungan Perlindungan Data Peribadi
1, Jalan SS 15/8a, SS 15, 47500 Subang Jaya, Selangor
Notis ini dikeluarkan dalam Bahasa Inggeris dan Bahasa Malaysia. Sekiranya terdapat sebarang percanggahan antara kedua-dua versi, versi Bahasa Inggeris akan diguna pakai.