全球跨境隐私规则政策

审查日期：2023 年 9 月 1 日
生效日期：2023 年 9 月 1 日

在经营业务时，我们致力于恪守我们的隐私价值观，因为我们相信这代表着我们坚定不移地践行道德规范和负责任实践的承诺。我们认识到，创新和新科技的涌现推动着风险、预期和法律不断发生改变，因此我们应当遵守隐私责任标准，并根据这些改变及时调整应用该标准的方式。

在经营业务时，我们致力于恪守我们的隐私价值观，因为我们相信这代表着我们坚定不移地践行道德规范和负责任实践的承诺。我们认识到，创新和新科技的涌现推动着风险、预期和法律不断发生改变，因此我们应当遵守隐私责任标准，并根据这些改变及时调整应用该标准的方式。APEC 跨境隐私规则认证、我们已在欧盟获得批准的 企业约束规则（“BCR”)以及我们对欧盟-美国数据隐私框架 (DPF) 计划、英国 DPF 扩展计划和瑞士-美国数据隐私框架计划的自我认证。

我们公司遵守由美国商务部规定的欧盟-美国数据隐私框架计划（EU-U.S.DPF），英国对 EU-U.S. DPF 的扩展计划，以及瑞士-美国数据隐私框架计划（Swiss-U.S.DPF)。我们已获得美国商务部认证，证明我们遵守欧盟-美国数据隐私框架原则（EU-U.S.DPF 原则），依据 EU-U.S. DPF 处理从欧盟获得的个人数据并依据英国对 EU-U.S. DPF 的扩展计划，处理从英国（包括直布罗陀）获得的个人数据。我们已获得美国商务部认证，证明我们遵守瑞士-美国数据隐私框架计划原则（Swiss-U.S.DPF 原则），依据 Swiss-U.S. DPF处理从瑞士获得的个人数据。如果本政策中的条款与 EU-U.S.DPF 原则和/或 Swiss-U.S.DPF 原则之间存在任何冲突，应以原则为准。如需了解有关数据隐私框架（DPF）计划的更多信息以及查看我们的认证，请访问 https://www.dataprivacyframework.gov/。

本政策适用于我们公司在每个国家/地区的运营，以及每个子公司、每个部门（包括我们业务的任何继任者）开展的涉及个人信息的所有活动，包括但不限于我们的研究、制造、商业推广、企业支持活动，以及为了开展这些活动而需要的数据传输，包括但不限于：

• 研究和制造：评估医疗和健康创新的需求和机会；发起、管理研究和为研究提供资金； 评估和聘用研究人员、科学和道德委员会成员以及商业合作伙伴来支持我们产品的研究和开发；研究招募；评估研究产品和上市产品的安全性、有效性和质量；履行我们的产品安全性和产品质量义务，包括处理和报告不良事件和产品质量投诉；将文件归档以便在健康监管机构进行产品注册并获得批准；以及遵从相关法律法规和道德要求； ；
• 商业推广：针对我们的产品评估市场；广告、营销、销售、分销和交付我们的产品；与使用我们产品的卫生保健专业客户、卫生保健服务购买者、患者和其他终端用户以及我们产品使用者的护理人员沟通和来往；发起和开展活动；评估和吸引商业合作伙伴来支持我们的商业推广活动；以及遵从相关法律法规和道德要求；
• 企业支持：招聘、雇佣、管理、培养员工及与其沟通和支付薪酬；为员工及其家属管理福利；进行员工绩效评估和人才审核；提供培训和其他学习与发展计划；执行员工纪律惩处和申诉程序；管理道德和隐私问题并开展调查；管理和保护我们的有形和虚拟资产和基础设施；采购和支付商品和服务；兑现我们的环境、健康、安全性和其他企业责任承诺；与媒体来往合作；以及遵从相关法律法规和道德要求。

本政策亦适用于处理信息的所有人员，包括但不限于我们的卫生保健专业人士和其他客户；潜在员工、现有员工或前员工及其家属、患者、护理人员、研究人员和研究参与者、科学和道德委员会成员、商业合作伙伴、投资人和股东、政府官员及其他利益相关者。

全体公司员工及高级领导必须承担保护隐私的核心职责。

我们认识到，与个人信息保护有关的疏忽和错误判断可能会为个人带来隐私风险，并为我们的公司带来声誉、运营、财务和合规方面的风险。我们将为所有雇员以及拥有永久或常规权限访问个人信息、参与数据收集或者开发用于处理个人信息的工具的其他人员提供关于本政策的适当培训。我们公司的每一名员工以及为我们公司处理个人信息的其他人员均有责任了解并恪守本政策和适用法律所规定的各自的义务。

我们的隐私价值观和标准

在涉及人员的所有活动中，我们都始终恪守我们的隐私价值观，包括我们如何应用我们的隐私标准。我们的四项隐私价值观是：

尊重	信任	防止伤害	合规
我们认识到隐私问题通常与我们是谁、我们如何看待世界以及我们如何定义自身的本质相关，因此我们努力尊重个人和团体的观点与利益，并尽力在使用和分享其信息时做到公平和透明。	我们深知信任对我们的成功至关重要，因此我们在尊重隐私和保护个人信息方面竭力建立并维护客户、员工、患者和其他利益相关者的信任。	我们理解，滥用个人信息可能会对个人造成有形和无形的伤害，因此我们将尽力避免对个人造成人身方面、财务方面、声誉方面或其他类型的隐私伤害。	我们了解到，法律和法规并不始终与科技、数据流及隐私风险和期待的相关变化保持同步，因此我们将尽力遵从隐私和数据保护法律和法规的精神与条文，力求在全球业务中保持一致性和运营高效性。

1. 我们将我们的隐私标准融入所有使用个人信息的活动、流程、技术和与第三方的合作关系之中。我们将到所有使用个人信息的活动、流程、技术和与第三方的合作关系之中。我们以下列出的是我们的八项隐私原则，从高层次总结了我们针对流程、活动及支持技术的隐私标准和核心要求。

   隐私原则	我们的核心承诺
   1.必要性 – 在收集、使用或分享个人信息之前，我们将定义和记录需要该信息的具体、合法的业务目的。	我们将确定并记录针对这些已定义的业务目的以及适用的法律要求，我们需要使用这些个人信息多长时间。 我们不会收集、使用或分享在超出所需范围以外的个人信息，也不会以可识别个人身份的形式存储这些信息超出上述已定义业务目的以及适用法律要求所需的时间。 如果根据业务要求，我们必须将活动或流程相关的信息保留更长时间，那么我们将对数据进行匿名处理。 我们将在支持技术中设计该必要性要求，并将其传达给支持活动和流程的第三方
   2.公平性 – 我们在处理个人信息时，不会采取对信息相关人员不公平的处理方式。	我们会根据防止伤害的隐私价值观，判断对个人信息的拟议收集、使用或其他处理行为是否存在对个人造成可能和/或严重有形或无形伤害的风险。 如果数据性质、人员类型或活动存在对个人造成可能和/或严重有形或无形伤害的风险，我们将确保相关个人可获得的利益或我们拯救生命、改善健康的使命的重要性超过该伤害的风险，并且该风险可以通过我们已经采取的措施、保障和机制来减轻。 如果风险超过个人可获得的利益，我们将采用相关的安全和保护措施，告知个人这一事实，并在可能的情况下寻求主管监管机构的建议。 我们将仅在个人明确同意、适用法律明确要求或明确允许的情况下才会处理敏感信息。 如果风险超过个人可获得的利益，我们将记录风险分析，并设计任何必要的机制尽可能将风险降到最低。
   3.透明性 – 我们不会出于非透明的目的或以非透明的方式处理个人信息。	只要是根据本政策处理的个人信息，其所有相关个人均有权获得一 份本政策的副本。我们在以下网址在线提供本政策的副本：https://www.msdprivacy.com/index.html。 全球隐私办公室将根据请求向后文所列的地址提供本政策的电子版和/或纸质副本。 当直接从个人收集个人信息时，我们将在收集信息前向收集对象提供清晰、明显且易于获得的隐私告知或以类似的方式告知下列信息：(1) 负责处理信息的公司实体；(2) 我们首席隐私官和/或区域/本地数据隐私官的联系方式；(3) 将被收集的内容；(4) 使用目的；(5) 我们处理信息的法律依据；(6) 分享对象，包括任何回应政府机构合法要求进行个人信息披露的要求；(7) 我们是否以及如何将个人信息传输到其他国家，包括可行的相关国家；(8) 保留时间或者我们做出该决定所基于的标准；(9) 收集对象如何提出问题、疑虑或行使与其个人信息相关的权利；(10) 收集对象如何撤销已经提供的任何同意；(11) 收集对象向监管机构提出投诉的权利；(12) 任何提供个人信息的义务以及拒绝的后果；(13) 我们将执行的任何自动化决策，包括特征分析；以及 (14) 在可能及适当的情况下提供本政策的链接。面向利益相关者的全面隐私声明可通过以下网址在线获得：http://www.msd.com/about/how-we-operate/privacy/transparency-and-privacy.html 当通过观察、传感器或其他间接方式获取个人信息时，我们可能无法在收集信息时向收集对象直接提供隐私告知。在这种情况下，我们将通过其他方式确保面向收集对象的透明性，如在收集信息的设备上或设备随附的材料上张贴或印制隐私告知。 当通过网站、手机应用程序或其他在线应用程序或资源收集个人信息时，我们将采取互联网隐私政策 和 Cookie 隐私承诺 中规定的特定技术标准，以确保满足本政策的透明性要求。 当通过其他来源或并非由我们公司的具体指示而收集个人信息时，在收集信息前，我们通过书面形式与信息提供者确认其已向收集对象说明我们公司的信息收集方式和使用目的。如果不能从信息提供者处获得书面确认，我们将仅使用经过匿名处理的信息，或在使用个人信息前通过隐私告知或类似方式向受影响个人提供以下信息：(1) 负责处理信息的一个或多个公司实体；(2) 我们首席隐私官和/或区域/本地数据保护官的联系方式；(3) 我们公司计划使用的信息；(4) 我们公司计划使用信息的目的；(5) 我们处理信息的法律依据；(6) 分享对象；(7) 我们是否以及如何将个人信息传输到其他国家，包括可行的相关国家；(8) 我们公司计划保留信息的时长或者我们做出该决定所基于的标准；(9) 收集对象如何提出与其个人信息相关的问题、疑虑或行使相关权利，(10) 收集对象如何撤销已经提供的任何同意，(11) 收集对象向监管机构提出投诉的权利，(12) 任何提供个人信息的义务以及拒绝的后果，(13) 我们将执行的任何自动化决策，包括特征分析，以及 (14) 在可能及适当的情况下提供本政策的链接。 我们将确保在支持技术中设计必要的透明性机制（包括支持个人权利请求的机制），并确保支持活动或流程实施的第三方采用合理的方式处理个人信息，即处理方式必须与信息收集对象所收到的隐私告知（或其他可证实的方式）所声明的我们及我们的合作方将要处理信息的方式保持一致。 当我们寻求同意时，我们将获取并采用我们的支持技术记录同意的证据。
   4.目的限制 – 我们仅在遵守必要性和透明性原则的前提下使用个人信息。	如果以前收集的个人信息确认可以用于新的合法业务目的，我们要么在将该个人信息用于新用途之前取得收集对象的同意，要么确保新业务目的与此前向收集对象提供的隐私告知或其他透明性机制中所述的目的相符（包括实质上类似）。我们将依据以下因素确定兼容性：(1) 原始目的与拟议新目的之间的任何联系；(2) 个人的合理预期；(3) 个人信息的性质；(4) 进一步处理对个人造成的后果；以及 (5) 我们具备的保障措施。 我们不会将该原则用于经匿名处理的个人信息，也不用于仅将个人信息用于历史或科学研究目的且满足下列条件的情况：(1) 道德审查委员会或其他有资格的审核人已断定该等使用对个人隐私权及其他权利的风险在可接受的范围内；(2) 我们已采取适当的保障措施，以确保数据最小化；(3) 个人数据经过假名化处理；以及 (4) 符合所有其他适用法律的相关规定。 我们将确保在支持技术中设计目的限制的相关机制，包括任何报告功能和下游信息分享。
   5.数据质量 – 我们将确保个人信息准确、完整、实时有效，且与其预期使用目的一致。	我们将确保在支持技术中设计数据定期审核的机制，以根据信息来源和下游系统验证信息的准确性。 我们将确保在使用、评价、分析、报告信息或做其他处理之前，对敏感信息的准确性和实时有效性进行验证，以防止因使用不准确或失效的数据而损害对人员的公平性。 如果我们公司或合作的第三方对个人信息进行修改，我们将确保在合理可能的情况下及时向相关个人通知此等修改。
   6.安全性 – 我们采用安全保护措施，以保护个人信息和敏感信息免遭丢失、滥用、未经授权的访问、披露、修改和破坏。	我们已经实施了一项全面的信息安全计划，并根据信息敏感度和活动的风险级别，同时考虑当前技术的最佳实践和执行成本，相应地采取适当的安全控制措施。我们的职能部门安全政策包括但不限于：在业务连续性和灾难恢复、加密、身份识别和访问管理、信息分类、信息安全事件管理、网络访问控制、物理安全以及风险管理方面的标准。
   7.数据传输 – 在与其他组织间或跨国传输个人信息时，我们将继续针对此等个人信息保护隐私并对此负责。	(1) 如符合下列要求，我们会在本公司内传输个人信息： (1) 为实现最初收集个人信息的目的或因公司的其他正当利益而需要进行分享；(2) 进行分享的目的以及信息将被分享这一事实符合之前最初收集个人信息时提供给个人的隐私告知或其他透明机制，并且在必要时获得个人的同意；(3) 当我们公司的某一子公司仅代表我们公司另一家子公司处理个人信息时；(4) 在法律规定的情况下，我们公司的该等子公司将按照本政策第 8 条的规定签署内部数据处理协议；(5) 当 IT 基础设施需要此类传输时，前提是实施了所有适当的安全和组织措施，以使此类传输保持合规。 (2) 仅在满足下列要求且我们有责任确保与我们共事的第三方符合下列要求时，我们才向第三方传输或允许第三方处理个人信息： 如果第三方的角色是为我们公司或代表我们公司处理个人信息，，则在向第三方提供个人信息或聘用第三方参与我们的活动之前，我们将：(1) 完成隐私尽职调查以评估与第三方相关的隐私实践和风险；(2) 获得第三方的合同保证，声明其处理个人信息时将只遵守我们公司的指示以及本政策，包括但不限于全部八项隐私原则及本政策中规定的其他标准以及适用法律，并保证其将在发生任何隐私事件（包括任何未能遵守本政策和适用法律规定的标准）或安全事件时立即通知我们公司，同时配合及时纠正任何证实的事件并解决以下第 2 节规定的个人权利；未获得我们的书面授权，以及在未建立一份施加同等数据保护义务的协议的情况下，不会聘用另一个公司来处理个人信息；其将在完成向我们提供服务后或者按照我们的要求，删除或返还我们的所有个人信息；并允许我们公司在信息处理期间审查和监控其操作实践以验证其是否符合上述要求。另外，如果第三方所处理个人信息的来源国家或地区的法律限制个人信息的传输，我们将确保向第三方传输信息的行为满足下文第 (3) 条中所述的跨境数据传输的要求。 如果第三方的角色是向我们公司提供个人信息，则在从第三方获取个人信息前，我们将确保满足从其他来源且并非由我们公司指示进行收集个人信息的透明性要求，并且我们还将从第三方获得合同保证，声明其向我们公司提供个人信息的行为未违反任何法律或侵害任何第三方的权利。 如果第三方的角色是从我们公司接收信息以进行处理（但并非由我们公司指示进行），则在向第三方提供信息之前，我们将确保信息已经过匿名处理，且我们已从第三方获得书面保证，声明其仅将该信息用于协议中规定的业务目的并会遵守适用法律，而且其将不会试图对信息重新进行个人身份识别。 如果传输给第三方是出于保护个人的合法权益或公司的正当利益,我们可以传输信息：(1) 以实现预防欺诈行为或者执行或保护公司的权利和财产的目的；(2) 以保护我们物业内的员工或第三方的人身安全；以及 (3) 以采取安全措施保护我们的资产（当我们合理怀疑发生非法活动或严重的不当行为时）。 如果传输给第三方是为了保护个人的合法权益或公司的正当利益，我们可以传输信息：则 (1) 在签订收购第三方的协议或持有第三方控股权之前，我们需完成隐私尽职调查以评估与收购第三方或持有其控股权益相关的隐私实践和风险；并且 (2) 我们将签订数据传输协议，明确规定关于披露个人信息的条款和条件，以及我们公司及第三方各自的义务。 如果第三方的角色是收购我们公司的全部或部分业务，则在因剥离我们公司任何业务相关而分享任何个人信息之前，我们将 (1) 签订数据传输协议明确规定有关向收购方披露个人信息的条款和条件，包括就个人信息的允许使用范围以及遵守本政策和适用法律中规定的标准做出的合理限制；(2) 在分享信息前审核所有与个人相关的数据要素，以评估该分享行为的要求；(3) 遵循本政策的透明性和目的限制原则，在获取同意后再分享个人信息和敏感信息；并且 (4) 要求第三方及时将任何相关的隐私事件（包括未能遵守本政策和适用法律中规定的标准）通知我们公司，并配合及时纠正任何证实的事件并停止处理相关个人信息。 (3) 我们公司及代表我们公司跨境（包括传到美利坚合众国）传输个人信息时均需遵守本政策。我们还将本政策用于从有法律限制个人信息传输的国家或地区传输个人信息的情况，此外还遵守这些法律规定的任何要求（包括使用向不具有与来源国相同数据保护标准的国家进行跨境传输所需的任何机制）。
   8.法律允许 – 我们仅在满足适用法律要求的前提下处理个人信息。	以上七项隐私原则以及后文所述的个人权利要求均旨在确保满足绝大多数适用于我们全球业务的隐私和数据保护法律的要求。在部分国家或地区，我们需要满足额外的要求，包括但不限于以下几项： 1) 如有要求，我们将针对个人信息的特定处理方式获取特定形式的同意，包括但不限于工人委员会或其他工会组织对此等信息处理的批准； 2) 如有要求，我们将在适用的隐私或数据保护机构对个人信息处理进行登记，或寻求批准； 3) 如有要求，我们将提供比本政策中所规定的更广泛的权利（例如访问和更正权利）； 4) 如有要求，我们将进一步限制个人信息的数据保留期；以及 5) 如有要求，我们将签订包含特定合同条款的协议，包括跨境向第三方传输数据的协议。 6) 如有要求，我们将按公共主管机构的合法请求披露个人信息，包括满足国家安全或执法要求。 如本政策与适用法律存在冲突，则应以向个人提供更多保护的标准为准。

2. 我们将及时解决访问、修改、更正或删除个人信息、拒绝个人信息处理等个人权利请求，或者行使关于个人信息的其他权利。
   1. 访问、更正、删除和其他权利 – 根据我们经营业务所在的大多数国家或地区的法律，个人有权利访问其个人信息，并可以修改、更正或删除不正确、不完整或失效的个人信息。我们将遵循后文第 3a 条，认真处理所有访问、更正和删除个人信息的请求。

      在某些国家，个人可能享有与其个人信息有关的其他权利，如限制处理、拒绝处理（见下文第 2b 节）以及将其数据传输给其他服务提供商的权利。我们将根据适用法律尊重数据权利的行使。根据其他监管要求或遵守当地合规报告的必要性，某些权利（如删除权）可能会受到限制，在这种情况下，我们将在适用时告知您这些限制。

   2. 选择 – 根据我们“尊重”和“信任”的价值观，我们将认真处理个人提出的反对个人信息处理的请求，包括但不限于拒绝参与该信息收集对象此前同意参加的计划或活动及以下事宜：处理其个人信息以用于直接的营销传播、基于其个人信息的针对性通信，以及与其有关的任何评价或决策。这些处理会使用自动化方法或算法并可能对收集对象产生重大影响。
      1. 除法律禁止的情况以外，我们可以驳回妨碍我们公司执行以下事宜的选择请求：(1) 遵守法律或道德义务，包括我们被要求披露个人信息以响应公共机构的合法要求，包括满足国家安全或执法要求；(2) 调查、提出或捍卫法律索赔；或 (3) 履行合同、管理关系或从事其他符合透明度和目的限制原则并且依赖于有关人员的信息的业务活动。根据本政策，在驳回选择请求后的十五个工作日之内，我们将记录并向申请者传达该决策。
3. 我们将及时回应并上报所有与隐私相关的问题、投诉、疑虑或任何潜在的隐私事件和安全事件。
   1. 我们根据本政策处理个人信息所涉的任何信息所属对象均可随时向我们公司提出问题、投诉或疑虑，包括请求获得我们公司内遵从本政策的子公司列表。我们要求我们的员工及其他代表我们公司工作的人员，在有合理理由相信一项适用法律可能使其无法遵从本政策时，均能及时通知我们。个人提出的任何问题、投诉或疑虑，或由任何员工或其他代表我们公司工作的人员提供的通知都应直接发送至全球隐私办公室：
      1. 对于居住在欧洲经济区 (EEA) 的个人，请发送电子邮件至：euprivacydpo@msd.com
      2. 其他请发送电子邮件至 : msd_privacy_office@msd.com
      3. 邮寄地址：Privacy Office, Merck & Co., Inc., UG4B-24, 351 N. Sumneytown Pike, North Wales, Pennsylvania, USA 19454.
   2. 我们要求员工和承包商在获悉与我们公司隐私实践相关的任何问题、投诉或疑虑后，及时通知全球隐私办公室或其业务区域内指定的隐私管理员。
   3. 无论是接到员工、其他个人还是第三方（包括但不限于监管机构、问责机构和政府机构）提出的问题、投诉和疑虑，全球隐私办公室均将审核、调查或与道德、法律和/或合规办公室一同调查所有与我们公司隐私实践相关的问题、投诉和疑虑。对于提出问题、投诉或疑虑的个人或实体，我们将在三十 (30) 个日历日内给予答复，除非法律或第三方请求者要求在更短的时间内答复，或具体情形（如同一时期内正在接受政府调查的情况）需要花费更长的时间。在后一种情况下，我们将在造成延迟的具体情形所允许的条件下尽快书面通知个人或第三方请求者。
   4. 全球隐私办公室、法律与合规部将一同合作回应隐私监管机构的任何询问、检查或调查。
   5. 对于我们公司和投诉人之间无法解决的投诉，我们公司同意在投诉的调查和解决过程中参与下列纠纷解决程序，以便根据本政策解决纠纷，但居住在 EEA 地区的个人或其个人信息受 EEA 地区数据保护法律管辖且数据已传输至 EEA 以外地区的个人，应当参照后文 3.f. 所述的标准执行：
      1. 对于涉及将人力资源活动相关且在雇佣关系背景下的个人信息从 EEA 和英国传输到美国的纠纷，我们公司承诺与相关的欧盟和英国数据保护机构小组合作解决。
      2. 对于涉及将人力资源活动相关且在雇佣关系背景下的个人信息从瑞士传输到美国的纠纷，我们公司承诺与瑞士 FDPIC 合作解决。
      3. 对于涉及根据我们公司遵守亚太经济合作组织 （“APEC”） 经济体之间的跨境隐私规则（“CBPR”）进行个人信息传输的纠纷，我们公司已同意通过我们的责任代理 BBB 国家计划进行争议解决。有关我们参与范围的更多信息，或通过 BBB 国家计划提交隐私查询 ，请单击位于本页底部的公章。
      4. 对于涉及通过欧盟-美国数据隐私框架 (DPF) 计划、英国 DPF 扩展计划和瑞士-美国数据隐私框架计划进行非人力资源活动的个人信息传输的纠纷，我们公司已同意通过独立补救机制进行争议解决（免费），该机制为由 BBB 国家计划运营的数据隐私框架服务。如果您未能及时收到投诉确认，或者您的投诉未能得到令人满意的解决，请访问 https://bbbprograms.org/programs/all-programs/dpf-consumers/ProcessForConsumers 了解更多信息并提出投诉。
   6. 居住在 EEA 地区的个人或其个人信息受 EEA 地区数据保护法律管辖且数据已传输至 EEA 以外地区的个人，且其个人信息是遵照本政策处理的，那么依据本政策该个人有权作为第三方受益人随时强制执行本政策的要求，包括其依据本政策享有的权利遭到侵犯时有权提起法律诉讼以寻求补救措施（如上面第 2 条所述），以及有权因此等权利受侵而获得相应的赔偿。居住在 EEA 地区的个人或其个人信息受 EEA 地区数据保护法律管辖且数据已传输至 EEA 以外地区（为清楚起见，此处说明包括向美国传输）的个人，可根据本政策通过以下机构向负责将个人信息输出到 EEA 之外的子公司提起索赔或投诉：前期：
      1. 位于 EEA 的数据输出者的司法管辖区，或者
      2. 我们的欧洲数据保护官所在国家的司法管辖区，或者
      3. 我们欧洲数据保护官所在国家/地区的司法管辖区，或者
      4. 主管数据保护当局（特别是其常居所、工作地点或被指控侵权地点的成员国），或者
      5. 对我们的 BCR 提供指导的主要数据保护当局：法国 CNIL。
   7. 对于提出问题、投诉或疑虑的个人或实体，我们公司将在三十 (30) 个日历日内给予答复，除非法律或第三方请求者要求在更短的时间内答复，或具体情形需要花费更长的时间。在后一种情况下，我们公司将书面通知个人或第三方请求者。
4. 我们有责任恪守我们的隐私价值观和标准。
   1. 如果我们公司子公司的行为对引起实质隐私事件或安全事件负有责任，则该子公司应对由该隐私事件或安全事件而引发的任何损害索赔金额、罚款或罚金承担财务责任。
      1. i. 如果在我们公司位于 EEA 以外地区的子公司发生任何涉嫌违反本政策的行为，并且影响到居住在 EEA 地区的个人或其个人信息受 EEA 地区数据保护法律管辖且数据已传输至 EEA 以外地区的个人，则欧洲数据保护官应配合并遵照全球隐私办公室的指示，并有责任确保采取必要措施来解决该不当行为。在必要时，Merck, Sharp & Dohme (Europe) Inc. 美国-比利时分公司（“MSD Europe”）负责向居住在 EEA 地区的受影响个人或其个人信息受 EEA 地区数据保护法律管辖且数据已传输至 EEA 以外地区的受影响个人支付因违反本政策而产生的罚款、罚金或损害赔偿金。欧洲数据保护官有责任表明我们公司不对该违反行为负责，而是由全球隐私办公室和我们公司位于 EEA 地区以外应对此涉嫌违反行为负责的子公司提供支持。如果我们公司的另一家子公司须对导致罚款、罚金或损害赔偿金的违反行为负责，则该子公司须及时向 MSD Europe 偿还已由 MSD Europe 代付的任何金额。如果我们公司在 EEA 以外的子公司违反了本政策，EEA 的法院或数据保护当局将有管辖权， 并且受影响的个人将享有针对负责将个人信息输出到 EEA 之外的子公司的权利和救济，如上面第 3.f. 条所述。
      2. 如果 EEA 以外地区的个人因任何涉嫌违反本政策的行为受到影响，则 Merck Sharp & Dohme LLC 应配合并遵照全球隐私办公室的指示，并有责任确保采取必要措施来解决该不当行为，在必要时须向居住在 EEA 地区以外的受影响个人支付因违反本政策而产生的罚款、罚金或损害赔偿金。如果我们公司的另一家子公司须对导致罚款、罚金或损害赔偿金的违反行为负责，则该子公司应当及时向 Merck Sharp & Dohme LLC 偿还已由 Merck Sharp & Dohme LLC 代付的任何金额。

监督和监控

为向监管机构和其他利益相关者保证我们公司致力于恪守对合乎道德和负责任的隐私实践的承诺，公司拥有一个广泛的监督和监控治理小组，由首席隐私官担任主管，并配备专门的全球隐私办公室 (GPO)、一名指定的欧盟 DPO、根据法律或地方当局要求配备的国家 DPO 及隐私管理员，以上人员均由高级领导任命，并将担任全球隐私办公室和其他组织区域的联络人。

我们公司依靠隐私问责机构依据法律定期验证我们是否遵守本政策及相关法律（包括 APEC CBPR）的要求。

除全球隐私办公室管理的保证审查之外，内部和外部审计和保证团队将进行合规审查，以验证公司是否遵守这项政策，包括从属于本政策的任何政策、程序、标准和指导。我们将制定并执行纠正性和预防性行动方案，以解决审计认证团队发现的差距。审计计划的结果将传达至首席隐私官、相关 DPO 和隐私与数据保护委员会，由其负责汇报这些结果（如本政策所述）。

批准本政策或对我们公司依据本政策所开展的实践有司法管辖权的隐私和数据保护机构，有权验证我们是否符合政策要求。在解释和应用本政策方面，我们将遵循符合资格的权威机构的建议。

您需要了解的术语

• 匿名处理。个人信息的变更、截断、删减或其他编辑或修改，目的是使该信息不可逆地无法单独或与其他信息相结合用于识别、查找或联系个人。
• 法律。在我们公司经营业务或我们公司或代表我们公司处理个人信息时所在的国家或地区内具有法律效力的所有适用法律、法规、规定和法令。这包括我们公司已获得批准或认证的所有隐私框架，包括欧盟约束性公司规则（“BCR”）、亚太经济合作组织（“APEC”）跨境隐私规则 （“CBPR”）、欧盟-美国数据隐私框架 (DPF) 计划、英国 DPF 扩展计划和瑞士-美国数据隐私框架计划，均受到美国联邦贸易委员会的调查和执行权的监管。
• 我们的公司。Merck & Co., Inc.（位于美国新泽西州罗威）、其继任者和全球子公司与部门，不包括默沙东作为投资人之一的合资公司。
• 个人信息。与已识别或可识别身份的个人相关的任何数据，包括能识别特定个人身份的数据，或能够用于识别、定位、追踪或联系个人的数据。个人信息包括直接可识别的信息，例如姓名、身份证号码或唯一的职位，以及间接可识别的信息，例如出生日期、唯一的移动或可穿戴设备标识符、电话号码以及密钥编码数据、在线标识符，例如为提供服务或产品而可能收集的 IP 地址或任何个人活动、行为或偏好。
• 个人信息：与已识别或可识别身份的个人相关的任何数据，包括能识别特定个人身份的数据，或能够用于识别、定位、追踪或联系个人的数据。个人信息包括可直接识别身份的信息和可间接识别身份的信息。前者包括姓名、身份证号码或独有的职位名称等；后者包括出生日期、独有的手机号码或可穿戴设备识别码、电话号码以及带有关键代码的数据、 IP 地址等网上识别符，或可能为提供服务或产品而收集的任何个人活动、行为或偏好。
• 隐私事件。违反本政策或隐私和数据保护法律的事件，包括安全事件。应由全球隐私办公室、信息技术风险管理与安全 (ITRMS) 部门和总法律顾问办公室确定是否发生了隐私事件，以及事件情节是否应该被升级为个人数据泄露。
• 处理。 以自动化或非自动化方式对个人相关信息执行任何操作或一组操作，包括但不限于收集、记录、组织、存储、访问、改编、改变、检索、参阅、使用、评价、分析、报告、分享、披露、散播、传输、提供、统一、整合、拦截、删除、擦除或销毁。
• 个人数据泄露。导致意外或非法破坏、损失、变更、未经授权披露或获取个人信息的安全违规违法行为，或我们公司有正当理由相信发生了上述行为。在无意违反本政策的情况下，由我们公司或代表我们公司对个人信息的访问不构成个人数据泄露，只要访问的信息仍完全按照本政策中所允许的方式进一步使用和披露即可。
• 敏感信息。会对个人构成内在风险或潜在伤害的有关个人的任何类型信息，包括法律定义的任何敏感信息，包括但不限于健康、基因、生物特征、种族、民族、宗教、政治或哲学观点、信仰、犯罪记录、精确地理定位信息、银行或其他金融账户号码、政府颁发的个人身份证号码、未成年子女、性生活、性取向、隶属工会、保险、社会保障和其他所在公司或政府提供的福利等相关信息。
• 第三方。并非由我们公司所有、我们公司不持有其控股权益或并非由我们公司雇佣的任何法律实体、协会或个人。在我们公司的子公司或部门根据本政策处理个人信息时，除非本政策中明文规定，否则我们公司的任何子公司或部门都不需要满足本政策中“第三方”的要求，包括我们的一家子公司支持另一家或多家子公司进行处理的情况下亦是如此。

政策更改

本政策可能根据适用法律的要求不时进行更改。本政策发生任何重大更改后，我们公司的隐私网页(www.www.msdprivacy.com) 将发布 60 天的通知。