隐私声明

本隐私声明由 Chiesi Farmaceutici S.p.A.，包括其分支机构（统称为 “凯西集团” ）根据适用的隐私法规提供，旨在告知提交报告的个人我们如何处理其报告中包含的信息。

如果您位于欧盟，或者您要报告与位于欧盟的凯西集团公司有关的违规行为，则您的数据将根据《通用数据保护条例》（法规编号：(EU) 679/2016，以下简称“GDPR”）进行处理。您在提交报告时选择的凯西集团公司是您的报告的独立数据控制者。报告将在地方层面予以接收和评估（专门上报给意大利母公司或者当地没有分支机构的情况除外），并且只有经过专门培训的人员才可以根据须知原则访问报告的数据并对其负责。

“个人数据”是指与已识别或可识别的生命个体有关的任何信息。这些数据还可以构成不同的信息，这些信息整合之后可以识别个人身份。

“个人数据的处理” 涵盖了对个人数据进行的各种操作，包括手动方式和自动方式。具体包括个人数据的收集、记录、组织、结构化、存储、改编或更改、检索、查找、使用、通过传输、传播或其他方式进行的披露、比对或组合、限制、删除或销毁。

“用户” 是指通过平台（下称“SpeakUp&BeHeard”或“平台”）提交报告的个人。

(1) 基本信息

目的：

SpeakUp&BeHeard 平台是一个基于网络和电话的系统，允许任何个人（包括但不限于凯西的员工、承包商和供应商）报告有关违反法律、法规和内部政策的可疑违规行为或疑虑。报告内容可包括涉嫌违反《集团行为准则》、《反贿赂政策》、反贿赂法、刑法的行为，以及任何其他可能影响公司业务和财务诚信（例如，腐败、利益冲突、不公平行为、欺诈、内幕交易、会计问题）、环境安全或动物福祉的行为。

凯西集团将仅出于以下目的处理您的个人数据：

- 启用和管理举报平台和相关报告；

- 管理报告的生命周期，与包括公共当局在内的利益相关者开展调查；

- 防止和打击非法行为，必要时采取纪律措施；

- 维护公司利益，以及员工和相关第三方的权利。

个人数据的类别：

是否提供个人数据取决于您。SpeakUp&BeHeard 平台提供匿名报告选项，允许您在不提供任何个人数据的情况下提交报告（请注意，根据当地法律体制，调查某些报告可能需要披露您的个人数据）。

如果用户自愿提供其个人数据，则相关数据控制者可能会处理以下类别的数据：

- 用户的身份信息：名字、姓氏和电子邮件地址；

- 报告中提及的或数据控制者在调查过程中获得的被报告人或其他方的个人数据。

请注意，某些报告中包含的信息可能涉及特殊类别的个人数据。根据 GDPR 第 9 条，“特殊数据”是指可能揭示种族或族裔、宗教、哲学信仰、政治观点、党派或工会成员身份的数据以及与健康和性生活有关的数据，在本声明中，还指与刑事定罪和违法行为有关的数据。

处理的法律依据：

法律义务：为了遵守适用的法律法规，满足主管部门提出的要求。

合法权益：我们还将出于维护凯西集团公司（特别是相关数据控制者）合法权益的目的保留您的个人数据，以防止和调查“目的”部分概述的涉嫌违规行为，并相应地在法律程序中（或提起法律诉讼）捍卫公司（或相关数据控制者）的权利。

(2) 我们如何处理您的个人数据

您的报告将仅由专门指定的内部和外部人员根据须知原则进行处理。

您的个人数据也可能分享给其他公司或个人（包括平台的服务提供商），或者被其访问。提供商将仅出于系统维护或向用户提供技术支持的目的而访问数据。

凯西通过签订适当的数据处理协议，指定相关方为数据处理者，来确保您的个人数据得到保护以及此类处理的合法性。因此，我们所有的处理者都应遵守适用的隐私法，并采取适当的安全措施。

在某些情况下，我们可能需要将您的报告的相关信息（包括您的个人数据）分享给要求披露以调查或裁决案件的公共当局和法院，以及在报告管理期间为凯西提供支持的法律顾问。

请注意，用户作为提交报告之个人的身份，将仅在法律义务要求、前述披露要求或为保障被报告人的辩护权而需要进行披露的情况下披露（此规定可能因具体国家/地区的法律而异）。

我们如何保护您的个人数据

凯西采取了适当的安全措施来保护您的个人数据，防止未经授权的访问、披露或数据丢失，具体包括：

- 采用一系列技术来确保个人数据的机密性，包括加密、强密码、双重身份验证，以及用于保护服务器免受外部攻击的防火墙和专用软件；

- 根据严格的资格标准和遵守我们数据保护标准的义务（通过具体的合同约束条款加以保障），选择我们的业务合作伙伴和服务提供商。此外，我们会进行审计和其他评估，以核实上述要求的遵守情况；

- 进行隐私和数据保护培训测试，以核查知识掌握情况，并开展其他活动，以提高员工和承包商的隐私意识。

国际数据传输

第 (1) 条中提到的您的个人数据存储在位于意大利或欧盟境内的平台提供商的服务器（特别指定为数据处理器）上。根据您的报告的具体特点和内容，您的个人数据可能会传输到包括非欧盟国家/地区在内的其他国家/地区。凯西集团评估了报告范围内的国际传输的影响，并采取了适当的保障措施，包括与利益相关者签署标准合同条款。凯西集团公司还签订了公司间协议，规定了美国分支机构和欧洲分支机构之间的数据传输。

中国：根据当地法规，在您明确同意的情况下，您的个人数据将传输到中国境外。请注意，提交报告（点击“发送”按钮）即表示您同意传输您的个人信息。

Chiesi Farmaceutici S.p.A.（位于意大利的母公司）的特定人员可以查阅报告，以协调其在凯西集团内部的管理。

(3) 您的个人数据的保留期限

我们根据最小化、目的限制原则以及可能适用于各分支机构的具体国家/地区的法规，在必要的时间内保留您的个人数据，该保留时间还应与在管理您的报告期间可能出现的情况（例如，法律诉讼、向公共当局提起诉讼）所需的时间保持一致。

已评估/已结束的报告将在调查结束后最多两 (2) 个月内通过选择特定关键词进行匿名化处理。

如果对报告进行内部检查后没有发现任何问题（无事实根据的报告），您的数据将立即被删除。

您的个人数据将根据上述条款进行处理，如果您决定行使下方第 (4) 条中列出任何一项权利，则您的个人数据将在更短的时间内得到处理。保留期限届满后，您的个人数据将根据我们的内部程序进行删除或匿名化处理，除非法律义务另有要求，或者您的个人数据对于在任何司法或其他有关当局面前保护我们的权利是必要的。

请注意，如果您要求删除您的个人数据，我们可能无法处理您的报告或完成调查。

(4) 用户权利

访问、更正、取消、数据迁移、限制处理、反对处理和撤销同意。

凯西提供了专用渠道，以便您在 GDPR 或其他相关法规规定的情形下行使对您个人数据的访问权、更正权、反对或限制处理权、取消权、迁移权（如适用）、撤销同意权。

您可以联系我们的集团数据保护官 (DPO)（电子邮箱：dpoit@chiesi.com ）以获取更多信息并行使您的权利，也可以联系您当地的数据保护官（可访问当地分支机构的网站查阅其联系信息）。您可以访问以下链接：https://www.chiesi.com/en/about-us/our-affiliates/ ，或参阅下方列表，以了解有关我们分支机构的更多信息。

如果您认为凯西未按照本声明中所述原则或适用法律处理您的个人数据，请注意，您有权向数据保护机构投诉。

(5) 关于自动化决策的信息和本声明的更新

您的个人数据不受自动化决策流程（包括资料分析）的约束。

本声明可能会不时更新。对本声明的任何更新将于在平台上发布更新时生效。