隱私政策

1. 關於我們

HOYA Surgical Optics（以下簡稱「我們」、「本公司」或「HSO」）為全球眼科醫療器材製造商，專精於白內障及屈光手術所用之人工晶體與相關手術產品。我們致力於在所有營運環節中保護個人資訊。本隱私權聲明闡述我們於業務活動過程中如何收集、使用、分享及保護個人資訊。

根據您所在地區及所接觸的產品或服務，您的個人資料控制者將為您所在國家/地區的相關當地HOYA Surgical Optics法律實體。這意味著不同司法管轄區由不同HSO實體擔任控制者。HOYA Surgical Optics GMBH可能擔任歐洲特定活動的控制者，並作為集團層級特定事務的中央聯絡窗口。

本隱私權政策適用於我們處理的所有個人資訊，惟員工資料另行適用內部隱私權聲明。其適用範圍涵蓋透過網站收集之資訊、與產品服務相關之資訊、商業互動期間取得之資訊、求職應徵與招募相關資訊，以及內部營運流程所涉及之資訊。

我們業務遍及全球，本隱私權政策旨在跨司法管轄區一致適用。若當地隱私權法規賦予額外權利或施加額外要求，我們將遵守該等當地義務。

本隱私聲明反映HSO營運所在國家關鍵資料保護法規之要求, 包括:

• 奧地利、法國、德國、義大利、英國、歐洲經濟區:《一般資料保護規範》(GDPR), 以及英國境內的《英國GDPR》與《2018年資料保護法》
• 中國:《個人資訊保護法》(PIPL)
• 印度:《2023年數位個人資料保護法》
• 日本: 《個人資訊保護法》(APPI)
• 新加坡:《2012年個人資料保護法》(PDPA)
• 韓國:《個人資訊保護法》(PIPA)
• 泰國:《2019年個人資料保護法》(PDPA)
• 美國:《健康保險攜帶與責任法案》(HIPAA)、《加州消費者隱私法案》(CCPA)及其他現行適用之州級隱私法規

若當地法律賦予額外權利或義務，HSO將適用該司法管轄區的相關規定。

若您對負責處理您個人資料的控制者有任何疑問，請參閱下方的「聯絡我們」部分。

2. 我們收集的資訊

我們在與客戶、供應商、承包商、業務夥伴、潛在客戶、醫療專業人員、研究參與者、訪客及其他利益相關者進行商業活動時，會收集個人資料。我們可能收集的個人資料類別包括以下內容。

2.1 您提供給我們的資訊

• 聯絡與身分識別資料（姓名、電子郵件、電話、公司、職稱、職務、工作地址、專業識別號碼）
• 醫療專業人員與研究人員之專業資訊（專科領域、所屬機構、專業資格、培訓紀錄）
• 合約與交易資訊（協議書、採購訂單、發票、付款及其他交易紀錄）
• 與醫療專業人員合約相關的財務及酬勞資訊（費用、酬金、顧問協議及透明度報告所需相關紀錄）
• 您建立帳戶時的登入及帳戶憑證（例如：使用者名稱/電子郵件與密碼）
• 通訊與往來紀錄（電子郵件、通話、會議記錄、查詢、意見回饋、投訴）
• 招募與應徵者資訊（履歷/簡歷、求職信、申請表、學歷資格、工作經歷、推薦信、面試筆記、評估結果）
• 活動與行銷數據（報名記錄、偏好設定、問卷回覆、參與紀錄、推薦證言）
• 媒體內容（活動、訪談、推薦證言或培訓課程之照片、影音紀錄）
• 醫療專業人員之影像及其他媒體資料（須經適當同意後方可於本公司網站、出版物或宣傳材料使用）
• 同意記錄與偏好管理資訊
• 產品與培訓資料（服務請求、意見回饋表、培訓出席紀錄）
• 盡職調查、入職流程或合規審查期間提供的資訊
• 為支援稽核、訴訟、監管申報或爭議解決所提供之資訊

2.2 我們自動收集的資訊

當您使用我們的網站、平台或設施時，我們可能會自動收集特定資訊，包括：

• 數位身分與活動數據（IP位址、瀏覽器類型、裝置資訊、作業系統、登入事件、會話記錄）
• 網站使用資訊，包含瀏覽頁面、點擊連結、Cookie資料、熱力圖及問卷調查
• 系統、平台或設施存取紀錄，包含登入事件、訪客Wi-Fi使用狀況、閉路電視影像、安全通行證資料及稽核軌跡
• 用於建立使用者檔案、轉換追蹤、廣告網絡或再行銷活動的線上識別碼（須符合適用之同意要求）

2.3 我們可能從第三方接收的資訊

在合法情況下，我們亦可能接收第三方提供的資訊，包括：

• 經銷商、合作夥伴或公開來源提供的商業聯絡資訊
• 來自監管機構、行業數據庫或篩查服務商的合規性或驗證資訊
• 參與合作之醫療服務提供者或研究人員的專業資訊
• 招聘機構、教育機構或前雇主提供的候選人背景審查結果與推薦資料（在法律允許範圍內）
• 第三方於合作、稽核、臨床研究或法規義務情境下所共享之資料

2.4 特殊類別資訊（僅限必要且法律允許之情況）

我們不會例行性收集患者資訊。然而，在有限情況下可能直接或間接處理健康數據，例如：

• 處理投訴、警戒通報、產品召回或不良事件通報時
• 涉及受試者的上市後監測或臨床研究活動
• 在監管提交文件中需證明安全性與效能時

此類處理嚴格限於作為醫療器材製造商履行法規與法律義務之必要範圍。

3. 我們如何及為何使用您的資訊

下表說明我們使用個人資訊的目的、涉及的數據類別及處理的法律依據。若基於合法權益進行處理，相關依據將予以標示。

註 : 若當地法律不允許以合法利益作為法律依據，我們將採用其他合法依據。例如：

• 日本: 處理行為須限於蒐集時揭露之「特定使用目的」範圍內。詳見附件A。
• 加拿大、中國、印度、新加坡、南韓、泰國、美國: 處理將基於同意，或依當地法律允許之其他依據（如履行契約、遵守法律義務、保護生命或健康，或其他法定例外情形）。

4. 敏感資料使用

我們所收集及使用的部分個人資料，依據適用法律可能被視為敏感資料。此類資料可能包含與醫療設備使用相關的健康資訊。

我們僅在嚴格必要時收集及使用敏感個人資料，例如：

• 為履行醫療器材安全與法規申報義務（包含警戒性通報、不良事件管理、上市後監測或產品召回），或
• 支援臨床研究與調查，此時HOYA Surgical Optics擔任參與者資料的控制者。此類情況下，資料通常由授權的臨床研究機構、醫療專業人員或研究夥伴代表我們收集管理，並遵循倫理與法律要求進行處理。
• 其他經您明確同意之特定目的。

您可隨時選擇保留或撤回同意。然若提供服務、履行法規義務或支援研究參與需涉及敏感個人資訊，則可能無法在未獲同意下繼續進行。

5. 《健康保險攜帶與責任法案》規範之受保護健康資訊

在美國, 我們處理的部分資訊可能依據《健康保險攜帶與責任法案》(HIPAA) 被歸類為受保護健康資訊 (PHI)。 HOYA Surgical Optics 並非 HIPAA 涵蓋實體；然當我們以醫療服務提供者業務合作夥伴身分行事，或因法規申報、藥物警戒活動或臨床研究而接收 PHI 時，我們將遵循 HIPAA 要求及適用契約義務處理此類資訊。

6. 人工智慧與自動化技術之應用

我們運用人工智慧 (AI) 工具:

商業工具中的AI應用

我們在內部應用程式（例如 Microsoft Copilot) 中運用 AI 功能，以支援文件撰寫、摘要整理及溝通等任務。此類工具可能依情境處理商業聯絡資料或內容。

不採用自動化決策

我們不會在無人監督的情況下, 使用AI系統對您做出產生法律效力或同等重大影響的決策。

7. 資訊共享

我們不會出售或出租您的個人資訊。我們可能與以下對象共享資訊:

• 集團公司 - 用於內部管理、業務延續及提供集團層級服務。
• 可信服務供應商 - 例如IT託管與雲端服務商、分析平台、客戶關係管理工具、行銷支援夥伴、活動主辦方、調查工具供應商、支付或應付帳款服務商及合約管理平台。此類合作方均依我們指示行事，並受嚴格保密與資料保護義務約束。
• 醫療保健提供者、監管機構及透明度登記機構 - 為協調或管理產品安全、召回、投訴、臨床研究、警戒通報，或涉及醫療專業人員往來的法定透明度披露所必需
• 專業顧問與專家 - 包括律師、審計師、顧問、保險公司、稅務顧問及其他受聘支援業務或應對法律索賠的外部專家。
• 研究與合作夥伴 - lorsque nous travaillons conjointement avec des institutions universitaires, des hôpitaux ou des partenaires industriels dans le cadre d'études cliniques ou d'activités de recherche.
• 企業交易 - 涉及合併、收購、合資、資產剝離、重組或業務/資產出售的第三方。
• 監管機構、執法機關或其他公共權力機關 - 基於法律要求、司法程序，或為保護個人或企業安全、權利或財產所必需。
• 第三方平台與嵌入式內容供應商 - 例如您在本公司網站上與其內容互動的地圖、影音或社群媒體服務。
• 應您要求之其他對象 - 當您要求我們將您的資訊分享給其他方時，例如醫療保健提供者或合作夥伴。

所有接收資料的對象均須遵守嚴格的保密與資料保護義務。

8. 國際資料傳輸

您的個人資訊可能被傳輸至您居住國家/地區之外。在此情況下，我們將採取符合適用法律要求的保障措施。

內部轉移

所有在HOYA集團內的內部傳輸均受《HOYA數據共享框架》規範。該框架納入歐盟委員會《標準合約條款》(SCCs)及同等保護措施，確保跨國共享個人資訊時獲得完善保障。

外部傳輸

當我們使用位於您所在國家/地區以外的外部服務供應商或合作夥伴時，將採取以下保障措施：

• 經歐洲委員會或英國主管機關核准之標準契約條款 (SCCs)
• 充分性認定（經歐洲委員會、英國或其他監管機構認可者）
• 補充性契約、組織或技術保障措施

8.1 特定國家規則

• 歐盟/歐洲經濟區與英國: 資料傳輸須符合《一般資料保護規範》(GDPR) 或《英國GDPR》, 並視情況採用標準合約條款、英國補充條款或適足性認定。
• 中國: 個人資訊跨境傳輸須遵守《個人資訊保護法》(PIPL) 。必要時, 我們將取得同意、進行安全評估或備案, 並採用中國網路資訊中心 (CAC) 核准之標準合約或其他機制。
• 印度: 跨境傳輸受《2023年數位個人資料保護法》(DPDPA) 規範，除非政府限制。我們透過合約與技術保障措施確保充分保護。
• 新加坡: 資料移轉至新加坡境外須遵循《2012年個人資料保護法》(PDPA)，該法規要求移轉資訊須持續獲得同等程度之保護。
• 南韓: 國際傳輸受《個人資訊保護法》(PIPA) 規範。必要時，我們將取得同意或採用韓國法律允許的其他合法傳輸機制。
• 泰國: 跨境傳輸受《2019年個人資料保護法》(PDPA)規範。當接收國具備充分保護措施、已獲取同意或適用其他法律依據時，傳輸即屬合法。
• 美國: 使用美國服務供應商時，我們要求簽訂合約保障條款，並視情況依賴歐美數據隱私框架及英國延伸條款（如適用）。
• 加拿大: 國際傳輸遵循《個人資訊保護與電子文件法》(PIPEDA) 進行。保障措施包含確保傳輸資訊獲得充分保護的合約條款。

9. 資料保存期限

我們僅在達成本隱私聲明所述目的所需期間內，或依法定要求保留您的個人資訊。這意味著保留期限可能因資訊類型及適用之法律、法規與合約要求而異。

例如:

• 為監管、產品安全或警戒目的所收集之資訊，可能依醫療器材法規要求之期限予以保留。
• 合約與財務紀錄可能為遵守稅務、會計及商業法規義務而保留。
• 招聘資訊將保留至招聘流程結束，若法律要求或您同意延長保留期限，則可延續保留。
• 行銷資訊將保留至您撤回同意或反對我們使用您的資訊為止。

當個人資料不再需要時，我們將安全地刪除或匿名化處理，使其無法再與您建立關聯。

10. 您的權利

您的隱私權取決於居住地。例如：

• 若您位於歐洲經濟區 (EEA) 或英國, 您享有《通用資料保護條例》(GDPR) 賦予的權利（例如：存取權、更正權、刪除權、反對權、限制權、資料可攜權及撤回同意權）。
• 若您位於日本, 您的權利受《個人資訊保護法》(APPI) 規範。
• 若您位於其他國家, 您的權利可能因當地法律而異。

無論您身處何地, 我們都將尊重並適用您當地法律賦予的權利。

欲查閱各國完整權利清單，請造訪: www.hoya.com/Privacyrights

欲行使相關權利，請透過以下方式聯繫我們。

11. 資訊安全保障

我們採取適當技術與組織措施保護您的個人資訊，包括:

• 適時對傳輸中及靜止狀態的資料進行加密
• 實施存取控制機制，僅限授權使用者存取資料
• 採用多層次安全架構，包含防火牆與入侵防禦系統
• 定期執行安全稽核、風險評估與漏洞測試
• 威脅監控與事件處理應變程序

這些措施符合全球資訊安全標準，旨在保護您的資料免於遺失、濫用或未經授權的存取。

12. Cookie 與分析工具

我們使用Cookies及類似技術以確保網站功能運作、提升安全性並優化您的使用體驗。部分Cookies屬必要性使用；其餘如分析與行銷Cookies則需取得您的同意。 我們使用的分析工具包含 Google Analytics、Google Tag Manager、Microsoft Clarity 及 LinkedIn Insight Tag。這些工具協助我們理解訪客行為、優化網站並衡量行銷成效。您可隨時透過同意管理器或瀏覽器設定管理或撤回同意。

13. 聯絡我們

若您對本隱私聲明或個人資料處理方式有任何疑問，請聯繫:

HSO 隱私辦公室

電子郵件: [email protected]

您的查詢將轉交至您所在國家/地區的相關HOYA Surgical Optics實體, 該實體將作為您個人資訊的控制者，負責當地業務活動（如招聘、客戶或供應商關係、產品服務等）。

14. 本政策之變更

我們可能更新本政策以反映數據處理實務或法律義務之變更。更新時，我們將修改本頁頂端的「生效日期」，並在適當時突顯重要更新內容。

附件 A - 特定使用目的（日本）

依據《個人資訊保護法》(APPI), 於日本境內蒐集個人資訊時, 必須於蒐集當下明定使用目的。HOYA Surgical Optics之使用目的如下所列, 除非於蒐集資訊時另行通知或協議，否則均適用此等目的。