只要你的店保存了客人姓名、电话或到店记录，马来西亚 PDPA 2010 就适用——店大店小无关。五项义务：只收必要的、说明为什么收、营销前取得明确同意、安全保存且绝不出售、让客人查阅、更正或撤回。在预约处放一段书面告知、营销讯息加一个勾选同意，基本就覆盖了大部分。
每家美容院、Spa 与诊所都会收集个人资料——姓名、电话、生日、疗程记录，有时还有照片。在马来西亚《2010 年个人资料保护法》（PDPA）之下，这让你有责任合法处理这些资料。这不是要吓你，而是关乎信任。顾客把资料交给你，期待你保护它；把这件事做对，既是法律义务，也是竞争优势。以下是实务上的意思——请注意这是一般性指引，并非法律意见。
重点摘要
- ✓只要你保存姓名和电话，PDPA 就适用于你——店的大小无关紧要。
- ✓只收集你需要的，并告诉顾客你为什么收集。
- ✓取得清楚的同意，尤其是在发送营销讯息之前。
- ✓安全储存资料、绝不外卖——一套有信誉的系统会替你加密并备份。
- ✓让顾客可以查阅、更正或撤回——这是他们在 PDPA 下的权利。
PDPA 规则真的适用于一家小美容院吗？
适用。PDPA 规管在商业交易中处理的个人资料，而顾客的姓名、电话与到访记录正属于此类。并没有“因为店小就豁免”这回事。好消息是：一旦你了解原则，合规大多是常识，而好的系统会替你完成大部分工作。
只收集你需要的——并说明原因
你收集的每一个栏位都该有目的。为了提醒而留电话，合理；索取顾客的身份证号码，通常没必要。收集资料时，简短告诉顾客你会用来做什么——预约、提醒，以及在他们同意下的促销。
- ✓姓名与电话——用于预约与提醒。
- ✓疗程记录——为了更好、更安全的服务。
- ✓营销同意——一个独立、明确的“好”。
同意：多数美容院最容易做错的一环
为确认预约而收电话是一回事；拿那个号码狂发促销又是另一回事。最佳做法是：为营销取得清楚、独立的同意——注册时一个简单的勾选即可——并在顾客退订时立即照办。这既保护你在法律上的立场，也让你的 WhatsApp 营销受欢迎，而非惹人厌。
安全储存——绝不外卖
PDPA 要求采取合理措施，保护个人资料免于遗失、滥用与未经授权的存取。实务上这意味着：别把顾客名单放在没上锁的 WhatsApp 群、或人人可复制的共享表格里。有信誉的云端系统会加密储存资料、进行备份，并透过权限分级限制团队里谁能看到什么。
尊重顾客权利
在 PDPA 之下，顾客可以要求查看你持有的资料、更正错误、并撤回同意。准备一个简单的处理方式——通常一个联络邮箱就够——并及时处理。一套能在几秒内找到、编辑并导出顾客记录的系统，会让这件事毫不费力。
MyBMS Pro 为顾客资料提供一个安全、有权限控制的存放处，并具备同意追踪与即时记录查询——这是 PDPA 合规的实务基石。欢迎预约免费演示，并请务必就你的具体义务咨询合格的专业顾问。
关于作者
William Tang · BMS Solution Sdn. Bhd. 创始人
William Tang 是 BMS Solution Sdn. Bhd.（MyBMS Pro 打造者）的创始人。他长期与马来西亚各地的美容院、Spa、诊所与汽车美容店紧密合作，帮助他们把预约、收银、会员与员工管理搬上同一个云端平台。