隐私政策

1. 关于我们

HOYA Surgical Optics（以下简称“我们”、“本公司”或“HSO”）是全球眼科医疗器械制造商，专注于白内障及屈光手术领域的人工晶体及相关外科产品。我们致力于在所有业务运营中保护个人信息。本隐私声明阐述了我们在商业活动中如何收集、使用、共享及保护个人信息。

根据您所在地区及所接触的产品或服务，您的个人信息控制者将为所在国相关当地HOYA Surgical Optics法律实体。这意味着不同司法管辖区由不同HSO实体担任控制者。HOYA Surgical Optics GMBH可能在欧洲特定业务活动中担任控制者，并作为集团层面的特定事务联络中心。

本隐私政策适用于我们处理的所有个人信息（员工数据除外，该类数据受独立内部隐私声明约束）。其适用范围涵盖通过网站收集的信息、与产品服务相关的信息、业务往来中获取的信息、招聘申请相关信息以及内部业务运营产生的信息。

我们业务遍及全球，本隐私政策旨在跨司法管辖区保持一致适用。若当地隐私法律赋予额外权利或提出附加要求，我们将遵守当地义务。

本隐私声明符合HSO运营所在国的核心数据保护法规要求, 包括:

• 奥地利、法国、德国、意大利、英国、欧洲经济区:《通用数据保护条例》（GDPR），以及英国的《英国GDPR》和《2018年数据保护法案》
• 中国:《个人信息保护法》（PIPL）
• 印度:《2023年数字个人信息保护法》
• 日本:《个人信息保护法》（APPI）
• 新加坡:《2012年个人数据保护法》（PDPA）
• 韩国:《个人信息保护法》（PIPA）
• 泰国:《2019年个人数据保护法》（PDPA）
• 美国:《健康保险携带与责任法案》（HIPAA）、《加州消费者隐私法案》（CCPA）及其他现行适用的州隐私法律

若当地法律规定了额外权利或义务，HSO将在该司法管辖区适用相关规则。

若您对负责处理您个人信息的控制者有疑问，请参阅下文"联系我们"部分。

2. 我们收集的信息

我们在与客户、供应商、承包商、商业伙伴、潜在客户、医疗专业人员、研究参与者、访客及其他利益相关方开展业务活动中收集个人信息。我们可能收集的个人信息类别包括以下内容。

2.1 您提供给我们的信息

• 联系和身份信息（姓名、电子邮件、电话、公司、职位、职务、工作地址、专业身份编号）
• 医疗专业人员及研究人员的职业信息（专业领域、所属机构、资质证书、培训记录）
• 合同与交易信息（协议、采购订单、发票、付款及其他交易记录）
• 与医疗专业人员合同相关的财务及报酬信息（费用、酬金、咨询协议及透明度报告所需的相关记录）
• 账户登录凭证（如用户名/邮箱及密码）
• 通信与往来记录（电子邮件、通话记录、会议纪要、咨询内容、反馈意见、投诉信息）
• 招聘与候选人信息（简历/履历、求职信、申请表、资质证明、工作经历、推荐信、面试记录、评估结果）
• 活动与营销数据（注册信息、偏好设置、调查反馈、参与记录、客户证言）
• 媒体内容（活动、访谈、推荐信或培训课程中的照片、视频及音频录制）
• 经适当同意后收集并发布于我们网站、出版物或宣传材料的医疗专业人士图像及其他媒体资料
• 同意记录与偏好管理信息
• 产品与培训数据（服务请求、反馈表、培训出席记录）
• 尽职调查、入职或合规核查期间提供的信息
• 为支持审计、诉讼、监管申报或争议解决而提供的信息

2.2 我们自动收集的信息

当您使用我们的网站、平台或设施时，我们可能会自动收集某些信息，包括:

• 数字身份与活动数据（IP地址、浏览器类型、设备信息、操作系统、登录事件、会话日志）
• 网站使用信息，包括访问页面、点击链接、Cookie数据、热力图及调查问卷
• 系统、平台或设施的访问记录，包括登录事件、访客Wi-Fi使用情况、监控录像、安全通行证数据及审计轨迹
• 用于用户画像、转化追踪、广告网络或再营销活动的在线标识符（需符合适用同意要求）

2.3 我们可能从第三方获取的信息

在合法情况下，我们亦可能接收第三方提供的信息，包括:

• 来自分销商、合作伙伴或公开渠道的商业联系信息
• 来自监管机构、行业数据库或筛查服务商的合规性或验证信息
• 参与我们合作的医疗保健提供者或研究人员的职业信息
• 招聘机构、教育机构或前雇主提供的候选人背景调查结果及推荐信（在法律允许范围内）
• 第三方在合作、审计、临床研究或监管义务背景下共享的数据

2.4 特殊类别的信息（仅在必要且法律允许的情况下）

我们通常不收集患者信息。但在有限情况下，健康数据可能被间接或直接处理，例如：

• 处理投诉、警戒报告、召回或不良事件通知时
• 涉及受试者的上市后监测或临床研究活动
• 在监管申报中需证明安全性和性能时

此类处理严格限定于满足医疗器械制造商的法规与法律义务所需范围。

3. 信息使用方式与目的说明

下表阐明了我们使用个人信息的用途、涉及的数据类别以及处理的法律依据。当我们基于合法利益处理时，将明确标注。

注: 若当地法律不允许以合法利益作为法律依据，我们将采用其他合法依据。例如

• 日本: 处理必须限定在收集时披露的"特定使用目的"范围内。详见附件A。
• 加拿大、中国、印度、新加坡、韩国、泰国、美国: 处理将基于同意，或依据当地法律允许的其他依据（如履行合同、遵守法律义务、保护生命健康或其他法定例外情形）。

4. 敏感数据使用

根据适用法律，我们收集和使用的部分个人信息属于敏感范畴。例如，与医疗设备使用相关的健康信息即可能属于此类。

我们仅在严格必要时收集和使用敏感个人信息，例如:

• 为履行医疗器械安全及监管报告义务（包括警戒性报告、不良事件管理、上市后监督或产品召回），或
• 支持临床研究时（此时HOYA Surgical Optics作为参与者数据的控制者）。此类情况下，数据通常由授权的临床研究机构、医疗专业人员或研究合作伙伴代表我们收集管理，并遵循伦理及法律要求进行处理。
• 您已明确同意的其他特定用途。

您可随时选择拒绝或撤回同意。但若提供服务、履行监管义务或支持研究参与需使用敏感个人信息，则在未获同意的情况下我们可能无法继续相关操作。

5. HIPAA 下的受保护健康信息

在美国，我们处理的部分信息可能属于《健康保险携带与责任法案》（HIPAA）定义的受保护健康信息（PHI）。 HOYA Surgical Optics并非HIPAA覆盖实体；但当我们作为医疗保健提供者的业务合作伙伴，或因监管报告、药物警戒活动或临床研究而接收PHI时，我们将严格遵循HIPAA要求及相关合同义务处理此类信息。

6. 人工智能与自动化技术应用

我们使用人工智能（AI）工具:

商业工具中的AI应用

我们在内部应用程序中使用AI功能（例如Microsoft Copilot），以支持文档创建、摘要生成和沟通等任务。这些工具可能根据上下文处理业务 联系数据或内容。

禁止自动化决策

我们不会在缺乏人工监督的情况下，使用AI系统对您作出产生法律效力或同等重要影响的决策。

7. 信息共享

我们不会出售或出租您的个人信息。我们可能与以下对象共享信息:

• 集团公司 - 用于内部管理、业务连续性及提供集团级服务。
• 可信赖的服务提供商 - 包括IT托管及云服务商、分析平台、客户关系管理工具、营销支持伙伴、活动组织方、调研工具供应商、支付或应付账款服务商及合同管理平台。这些方均遵循我方指示行事，并受严格保密及数据保护义务约束。
• 医疗保健提供者、监管机构及透明度登记处 - 在协调或管理产品安全、召回、投诉、临床研究、警戒报告或医疗专业人员合作相关透明度披露要求时。
• 专业顾问与专家 - 包括律师、审计师、咨询顾问、保险商、税务顾问及其他受聘支持业务运营或应对法律索赔的外部专家。
• 研究与合作伙伴 - 当我们与学术机构、医院或行业伙伴共同开展临床研究或科研活动时。
• 企业交易 - 涉及合并、收购、合资、剥离、重组或业务/资产出售的第三方。
• 监管机构、执法部门或其他公共机构 - 在法律要求、司法程序需要或为保护个人及企业安全、权益或财产时。
• 第三方平台及嵌入式内容提供商 - 例如您在我们网站上使用其内容的地图、视频或社交媒体服务。
• 应您要求共享的其他方 - 当您要求我们与其他方（如医疗保健提供者或合作方）共享您的信息时。

所有接收数据的方均受严格保密和数据保护义务约束。

8. 国际数据传输

您的个人信息可能被转移至您居住国以外的地区。在此过程中，我们将采取符合适用法律要求的保护措施。

内部转移

HOYA集团内部所有数据传输均遵循《HOYA数据共享框架》。该框架采用欧盟委员会《标准合同条款》（SCCs）及同等保护措施，确保跨国共享个人信息时的安全保障。

外部传输

当我们使用位于您所在国家/地区之外的外部服务提供商或合作伙伴时，将采取以下保障措施:

• 经欧盟委员会或英国当局批准的标准合同条款（SCCs）
• 充分性决定（经欧盟委员会、英国或其他监管机构认可）
• 补充性合同、组织或技术保障措施

8.1 特定国家规则

• 欧盟/欧洲经济区及英国: 数据转移遵循《通用数据保护条例》（GDPR）或《英国通用数据保护条例》（UK GDPR），在适用情况下采用标准合同条款、英国补充条款或充分性决定。
• 中国: 个人信息跨境转移受《个人信息保护法》（PIPL）约束。必要时，我们将获取同意、进行安全评估或备案，并采用中国国家互联网信息办公室（CAC）批准的标准合同或其他机制。
• 印度: 跨境传输受《2023年数字个人数据保护法》（DPDPA）许可，除非政府限制。我们通过合同和技术保障措施确保充分保护。
• 新加坡: 境外传输遵循《2012年个人数据保护法》（PDPA），要求传输信息持续获得同等保护。
• 韩国: 国际传输受《个人信息保护法》（PIPA）规范。必要时，我们将获取用户同意或采用韩国法律允许的其他合法传输机制。
• 泰国: 跨境传输受《2019年个人数据保护法》（PDPA）管辖。当接收国具备充分保护措施、已获同意或存在其他法律依据时，允许进行传输。
• 美国: 使用美国服务提供商时，我们要求签订合同保障条款，并在适用情况下依托欧盟-美国数据隐私框架及英国扩展条款（如适用）等机制。
• 加拿大: 国际传输遵循《个人信息保护与电子文件法》（PIPEDA）执行。保障措施包括确保传输信息获得充分保护的合同条款。

9. 信息保存期限

我们仅在实现本隐私声明所述目的所需期限内，或法律要求期限内保留您的个人信息。这意味着保留期限可能因信息类型及适用的法律、监管和合同要求而有所不同。

例如:

• 为监管、产品安全或警戒目的收集的信息，将依据医疗器械法规要求进行保留。
• 合同及财务记录可能因税务、会计及商业法律义务而被保留。
• 招聘信息将在招聘流程期间及法律要求或您同意延长的后续期限内保留。
• 营销信息将保留至您撤回同意或反对我们使用您的信息为止。

当个人信息不再需要时，我们将安全删除或匿名化处理，确保其无法再与您建立关联。

10. 您的权利

您的隐私权取决于居住地。例如:

• 若您位于欧洲经济区或英国, 您享有《通用数据保护条例》（GDPR）赋予的权利（如访问权、更正权、删除权、反对权、限制处理权、数据可携权及撤回同意权）。
• 若您位于日本, 您的权利受《个人信息保护法》（APPI）约束。
• 若您身处其他国家/地区, 您的权利可能因当地法律而异。

无论您身处何地，我们都将尊重并适用您当地法律赋予的权利。

各国完整权利概述请访问: www.hoya.com/Privacyrights

如需行使相关权利，请通过以下方式联系我们。

11. 信息安全保障

我们采取适当的技术和组织措施保护您的个人信息，包括:

• 对传输中及存储中的数据进行加密（视情况而定）
• 访问控制机制，确保数据仅限授权用户访问
• 多层安全架构（含防火墙及入侵防御系统）
• 定期安全审计、风险评估及漏洞测试
• 威胁监测与事件响应机制

这些措施符合全球信息安全标准，旨在保护您的数据免遭丢失、滥用或未经授权的访问。

12. Cookie与分析工具

我们使用Cookies及类似技术确保网站功能、安全性并提升您的使用体验。部分Cookies属必要使用；另一些如分析和营销Cookies则需您同意。 我们使用的分析工具包括Google Analytics、Google Tag Manager、Microsoft Clarity及LinkedIn Insight Tag。这些工具帮助我们了解访客行为、优化网站体验并评估营销成效。您可随时通过同意管理器或浏览器设置管理或撤回同意。

13. 联系我们

若您对本隐私声明或个人信息处理方式有任何疑问，请通过以下方式联系我们:

HSO隐私办公室

邮箱: [email protected]

您的咨询将转交至您所在国家的相关 HOYA Surgical Optics 实体，该实体将作为您个人信息在当地活动（如招聘、客户或供应商关系、产品服务）中的控制者。

14. 政策变更

我们可能根据数据处理实践或法律义务的变化更新本政策。更新时，我们将修订本页顶部的"生效日期"，并在必要时突出显示重要变更。

附件A – 特定使用目的（日本）

根据《个人信息保护法》（APPI）规定，我们在日本收集个人信息时必须在收集时明确使用目的。HOYA Surgical Optics的使用目的如下所示。除非在收集信息时另行通知或达成协议，否则这些目的均适用。