隱私聲明

本隱私聲明由 Chiesi Farmaceutici S.p.A.，包括其分支機構（統稱為 “凱西集團” ）根據適用的隱私法規提供，旨在告知提交報告的個人我們如何處理其報告中包含的信息。

如果您位于歐盟，或者您要報告與位于歐盟的凱西集團公司有關的違規行為，則您的數據將根據《通用數據保護條例》（法規編號：(EU) 679/2016，以下簡稱“GDPR”）進行處理。您在提交報告時選擇的凱西集團公司是您的報告的獨立數據控制者。報告將在地方層面予以接收和評估（專門上報給意大利母公司或者當地沒有分支機構的情況除外），并且只有經過專門培訓的人員才可以根據須知原則訪問報告的數據并對其負責。

“個人數據”是指與已識別或可識別的生命個體有關的任何信息。這些數據還可以構成不同的信息，這些信息整合之后可以識別個人身份。

“個人數據的處理” 涵蓋了對個人數據進行的各種操作，包括手動方式和自動方式。具體包括個人數據的收集、記錄、組織、結構化、存儲、改編或更改、檢索、查找、使用、通過傳輸、傳播或其他方式進行的披露、比對或組合、限制、刪除或銷毀。

“用戶” 是指通過平臺（下稱“SpeakUp&BeHeard”或“平臺”）提交報告的個人。

(1) 基本信息

目的：

SpeakUp&BeHeard 平臺是一個基于網絡和電話的系統，允許任何個人（包括但不限于凱西的員工、承包商和供應商）報告有關違反法律、法規和內部政策的可疑違規行為或疑慮。報告內容可包括涉嫌違反《集團行為準則》、《反賄賂政策》、反賄賂法、刑法的行為，以及任何其他可能影響公司業務和財務誠信（例如，腐敗、利益沖突、不公平行為、欺詐、內幕交易、會計問題）、環境安全或動物福祉的行為。
凱西集團將僅出于以下目的處理您的個人數據：
- 啟用和管理舉報平臺和相關報告；
- 管理報告的生命周期，與包括公共當局在內的利益相關者開展調查；
- 防止和打擊非法行為，必要時采取紀律措施；
- 維護公司利益，以及員工和相關第三方的權利。

個人數據的類別：

是否提供個人數據取決于您。SpeakUp&BeHeard 平臺提供匿名報告選項，允許您在不提供任何個人數據的情況下提交報告（請注意，根據當地法律體制，調查某些報告可能需要披露您的個人數據）。
如果用戶自愿提供其個人數據，則相關數據控制者可能會處理以下類別的數據：
- 用戶的身份信息：名字、姓氏和電子郵件地址；
- 報告中提及的或數據控制者在調查過程中獲得的被報告人或其他方的個人數據。

請注意，某些報告中包含的信息可能涉及特殊類別的個人數據。根據 GDPR 第 9 條，“特殊數據”是指可能揭示種族或族裔、宗教、哲學信仰、政治觀點、黨派或工會成員身份的數據以及與健康和性生活有關的數據，在本聲明中，還指與刑事定罪和違法行為有關的數據。

處理的法律依據：

法律義務：為了遵守適用的法律法規，滿足主管部門提出的要求。
合法權益：我們還將出于維護凱西集團公司（特別是相關數據控制者）合法權益的目的保留您的個人數據，以防止和調查“目的”部分概述的涉嫌違規行為，并相應地在法律程序中（或提起法律訴訟）捍衛公司（或相關數據控制者）的權利。

(2) 我們如何處理您的個人數據

您的報告將僅由專門指定的內部和外部人員根據須知原則進行處理。

您的個人數據也可能分享給其他公司或個人（包括平臺的服務提供商），或者被其訪問。提供商將僅出于系統維護或向用戶提供技術支持的目的而訪問數據。

凱西通過簽訂適當的數據處理協議，指定相關方為數據處理者，來確保您的個人數據得到保護以及此類處理的合法性。因此，我們所有的處理者都應遵守適用的隱私法，并采取適當的安全措施。

在某些情況下，我們可能需要將您的報告的相關信息（包括您的個人數據）分享給要求披露以調查或裁決案件的公共當局和法院，以及在報告管理期間為凱西提供支持的法律顧問。

請注意，用戶作為提交報告之個人的身份，將僅在法律義務要求、前述披露要求或為保障被報告人的辯護權而需要進行披露的情況下披露（此規定可能因具體國家/地區的法律而異）。

我們如何保護您的個人數據

凱西采取了適當的安全措施來保護您的個人數據，防止未經授權的訪問、披露或數據丟失，具體包括：

- 采取合理措施，確保個人數據的收集符合最小化和目的限制原則。除非法律要求或允許延長保留期限，否則我們將按照下方第 (3) 條的規定在有限時間內保留您的個人數據；
- 采用一系列技術來確保個人數據的機密性，包括加密、強密碼、雙重身份驗證，以及用于保護服務器免受外部攻擊的防火墻和專用軟件；
- 根據嚴格的資格標準和遵守我們數據保護標準的義務（通過具體的合同約束條款加以保障），選擇我們的業務合作伙伴和服務提供商。此外，我們會進行審計和其他評估，以核實上述要求的遵守情況；
- 進行隱私和數據保護培訓測試，以核查知識掌握情況，并開展其他活動，以提高員工和承包商的隱私意識。

國際數據傳輸

第 (1) 條中提到的您的個人數據存儲在位于意大利或歐盟境內的平臺提供商的服務器（特別指定為數據處理器）上。根據您的報告的具體特點和內容，您的個人數據可能會傳輸到包括非歐盟國家/地區在內的其他國家/地區。凱西集團評估了報告范圍內的國際傳輸的影響，并采取了適當的保障措施，包括與利益相關者簽署標準合同條款。凱西集團公司還簽訂了公司間協議，規定了美國分支機構和歐洲分支機構之間的數據傳輸。
中國：根據當地法規，在您明確同意的情況下，您的個人數據將傳輸到中國境外。請注意，提交報告（點擊“發送”按鈕）即表示您同意傳輸您的個人信息。
Chiesi Farmaceutici S.p.A.（位于意大利的母公司）的特定人員可以查閱報告，以協調其在凱西集團內部的管理。

(3) 您的個人數據的保留期限

我們根據最小化、目的限制原則以及可能適用于各分支機構的具體國家/地區的法規，在必要的時間內保留您的個人數據，該保留時間還應與在管理您的報告期間可能出現的情況（例如，法律訴訟、向公共當局提起訴訟）所需的時間保持一致。
已評估/已結束的報告將在調查結束后最多兩 (2) 個月內通過選擇特定關鍵詞進行匿名化處理。
如果對報告進行內部檢查后沒有發現任何問題（無事實根據的報告），您的數據將立即被刪除。
您的個人數據將根據上述條款進行處理，如果您決定行使下方第 (4) 條中列出任何一項權利，則您的個人數據將在更短的時間內得到處理。保留期限屆滿后，您的個人數據將根據我們的內部程序進行刪除或匿名化處理，除非法律義務另有要求，或者您的個人數據對于在任何司法或其他有關當局面前保護我們的權利是必要的。
請注意，如果您要求刪除您的個人數據，我們可能無法處理您的報告或完成調查。

(4) 用戶權利

訪問、更正、取消、數據遷移、限制處理、反對處理和撤銷同意。
凱西提供了專用渠道，以便您在 GDPR 或其他相關法規規定的情形下行使對您個人數據的訪問權、更正權、反對或限制處理權、取消權、遷移權（如適用）、撤銷同意權。

您可以聯系我們的集團數據保護官 (DPO)（電子郵箱：dpoit@chiesi.com ）以獲取更多信息并行使您的權利，也可以聯系您當地的數據保護官（可訪問當地分支機構的網站查閱其聯系信息）。您可以訪問以下鏈接：https://www.chiesi.com/en/about-us/our-affiliates/ ，或參閱下方列表，以了解有關我們分支機構的更多信息。

如果您認為凱西未按照本聲明中所述原則或適用法律處理您的個人數據，請注意，您有權向數據保護機構投訴。

(5) 關于自動化決策的信息和本聲明的更新

您的個人數據不受自動化決策流程（包括資料分析）的約束。
本聲明可能會不時更新。對本聲明的任何更新將于在平臺上發布更新時生效。