隐私政策

一、我们如何收集和使用您的个人信息

我们遵循合法、正当、必要和诚信原则，仅为明确、合理且与处理目的直接相关的目的处理您的个人信息，并尽量收集实现相关目的所需的最少信息。

1. 联系咨询与需求沟通

当您通过网站联系表单、电话、电子邮件、微信公众号、小程序或其他渠道联系我们时，我们可能收集：

• （1）公司名称；
• （2）姓名；
• （3）职位；
• （4）电话号码；
• （5）电子邮箱；
• （6）您主动填写或提供的需求、问题、意见及其他沟通内容。

我们将使用上述信息识别并联系您、回复咨询、评估合作需求、安排后续沟通，以及保存必要的沟通和服务记录。

请您不要在一般联系表单中提交与咨询目的无关的身份证号码、医疗健康信息、遗传信息、生物识别信息、金融账户信息或其他敏感个人信息。如确有必要，我们将另行向您说明处理目的、方式、范围及对个人权益的影响，并依法取得您的单独同意。

2. 商务合作及合同关系管理

当您本人或您所在的机构与我们开展科研、技术、供应、投资、采购、服务或其他商务合作时，我们可能收集您的姓名、联系方式、所属机构、部门、职位、职业资质、授权或签署信息、合作沟通记录，以及订立和履行合同所必需的信息。

我们将使用上述信息开展合作洽谈、主体及资质核验、合同签署和履行、项目管理、财务结算、档案管理、争议处理及法律合规工作。

3. 科研、临床研究及医学相关活动

当您参与、咨询或协助卓斯特复开展科研项目、临床研究、患者招募、医学信息交流或有其他科研合作意向时，我们可能根据具体项目征询并处理以下信息：

• （1）基本身份信息，例如姓名、性别、年龄或出生日期；
• （2）联系信息，例如电话号码、电子邮箱和联系地址；
• （3）专业信息，例如所属医疗机构、科室、职称、研究领域和执业资质；
• （4）医疗健康信息，例如病史、诊疗记录、检查检验结果、用药记录、手术记录、康复情况、不良事件及研究随访信息；
• （5）研究所必需的生物样本信息、遗传信息或其他依法属于敏感个人信息的信息；
• （6）伦理审查、受试者管理、研究质量控制以及法律法规要求的其他信息。

我们仅会在具备合法处理基础、完成必要的伦理审查并履行相应告知和同意义务后处理上述信息。医疗健康信息、遗传信息、生物识别信息以及特定身份信息属于敏感个人信息；处理此类信息可能对个人权益产生较大影响，我们将依法说明处理的必要性及影响，并在法律要求时取得您的单独同意或书面同意。

如研究采用编码化、去标识化或匿名化方式，我们将根据研究目的和适用要求采取相应措施。经过匿名化处理且无法识别特定自然人、不能复原的信息，不属于个人信息。

4. 医学问询、安全性信息和质量反馈

当您向我们提出医学信息问询，或报告与研究项目、技术、产品安全性、不良事件或质量问题有关的信息时，我们可能收集报告人的姓名、联系方式、职业、所属机构及其与相关人员的关系，并根据实际需要收集相关人员的基本信息、健康状况、诊疗和用药情况、事件经过、处理结果及随访信息。

我们将使用上述信息回应问询、开展安全性评估和随访、进行质量调查、风险控制，并履行适用的科研、伦理、医疗或监管义务。对于此类场景，我们可能另行提供专项隐私告知。

5. 学术会议、培训、宣教及其他活动

当您报名或参加由我们组织、协办或支持的会议、培训、学术交流、科普宣教或其他活动时，我们可能收集您的姓名、联系方式、所属机构、部门、职位、专业领域、报名及出席记录。

如活动涉及照片、录音或录像，我们将在活动现场、报名材料或专项说明中进行提示，并根据适用法律取得必要授权。相关信息将用于活动组织、身份确认、会务沟通、活动记录和依法开展的宣传展示。

6. 资讯发送

在取得您的同意或具备其他合法处理基础的情况下，我们可能使用您的姓名和联系方式，向您发送与卓斯特复科研进展、学术活动、合作机会及相关服务有关的资讯。您可以按照信息中提供的方式退订，也可以通过本政策列明的联系方式要求我们停止发送。

7. 人员招聘

当您向我们申请职位时，我们可能收集您的姓名、性别、年龄或出生日期、照片、联系方式、教育背景、工作经历、专业能力、资格证书、期望职位、面试评价及您主动提供的其他简历信息。

我们将使用上述信息开展候选人筛选、笔试、面试、背景核验、录用沟通及人才库管理。涉及背景调查或向第三方核验信息时，我们将依法告知并取得必要授权。

8. 访客管理和办公场所安全

当您到访我们的办公或研发场所时，我们可能收集您的姓名、联系方式、所属机构、到访时间、被访人员、访问事由及门禁或访客记录。确有必要核验身份时，我们可能查验有效身份证件，但不会超出安全管理目的收集信息。

我们将使用上述信息进行预约、身份核验、门禁管理、安全保障和突发事件处置。

9. 网站运行、网络安全及体验优化

当您访问我们的网站或使用线上服务时，网站服务器和相关技术组件可能自动记录以下信息：IP地址、浏览器类型及版本、操作系统、设备类型、访问日期和时间、访问页面、来源页面、点击或交互记录、错误日志，以及Cookie或类似技术产生的标识信息。

我们处理上述信息主要用于保障网站稳定和安全运行、排查故障、防范恶意访问、统计页面使用情况及改善浏览体验。我们不会仅根据上述信息对您作出对个人权益产生重大影响的自动化决定。

10. 处理个人信息相关请求、投诉和争议

当您行使个人信息权利、提出投诉或与我们发生争议时，我们可能收集核验您身份和处理相关事项所必需的信息，包括姓名、联系方式、身份核验信息、请求或投诉内容、沟通记录及相关证明材料。

11. 履行法定职责或法定义务

我们可能为遵守适用的法律法规、科研伦理要求、监管规定、司法或行政机关依法提出的要求，处理与具体义务直接相关的个人信息。

二、我们如何获得您的个人信息

我们主要通过以下方式获得个人信息：

• 1. 您直接向我们提供，例如填写表单、发送电子邮件、拨打电话、报名活动、提交简历、签署文件或参与研究；
• 2. 您使用网站、公众号、小程序或其他数字服务时，由设备或系统自动生成；
• 3. 在取得合法授权或具备其他合法处理基础的情况下，由您的雇主、所属机构、医疗机构、研究合作方、服务供应商或其他合作伙伴提供；
• 4. 在法律允许的范围内，从合法公开的信息中获得；
• 5. 法律法规允许的其他来源。

如果您向我们提供他人的个人信息，请确保您有权提供该信息，并已按照适用法律向相关个人进行必要告知、取得必要同意。

三、处理个人信息的法律依据

根据具体场景，我们处理个人信息可能基于以下一种或多种法律依据：

• 1. 已取得您的同意；
• 2. 为订立、履行您作为一方当事人的合同所必需；
• 3. 按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；
• 4. 为履行法定职责或者法定义务所必需；
• 5. 为应对突发公共卫生事件，或者在紧急情况下保护自然人的生命健康和财产安全所必需；
• 6. 为公共利益实施新闻报道、舆论监督等行为，在合理范围内处理个人信息；
• 7. 依照法律规定，在合理范围内处理个人自行公开或者其他已经合法公开的个人信息；
• 8. 法律、行政法规规定的其他情形。

当个人信息处理基于您的同意时，您有权撤回同意。撤回同意不影响撤回前基于同意进行的个人信息处理活动的效力。

四、Cookie及类似技术

为保障网站正常运行、记住您的Cookie选择并改善访问体验，我们可能使用Cookie及类似技术。Cookie通常是网站存储在您设备上的小型文本文件。

我们可能使用的Cookie类别包括：

• 1. 必要Cookie：用于网站加载、安全防护、表单提交、会话维持及保存您的Cookie同意或拒绝选择。拒绝必要Cookie可能导致部分功能无法正常使用；
• 2. 功能Cookie：用于记住语言、显示或其他偏好设置；
• 3. 统计分析Cookie：在启用相关功能并取得必要同意后，用于了解网站访问和使用情况，以改善网站内容及性能。

您可以通过网站的Cookie提示工具接受或拒绝非必要Cookie，也可以通过浏览器设置删除或限制Cookie。不同浏览器提供的管理方式可能不同。

网站可能使用由第三方提供的托管、内容分发、字体、表单或安全服务。当前网站页面可能加载Google Fonts等第三方网络资源；加载相关资源时，第三方服务提供者可能接收到您的IP地址、浏览器和设备信息等必要的网络请求信息。第三方如何处理信息受其自身隐私政策约束。我们将根据业务和合规需要调整第三方服务，并尽量减少不必要的数据传输。

五、我们如何委托处理、提供、转移和公开您的个人信息

1. 委托处理

为提供网站托管、系统运维、内容分发、表单处理、电子邮件、会议服务、数据存储、研究支持、审计或其他必要服务，我们可能委托服务供应商处理个人信息。

我们将与受托方约定处理目的、期限、方式、信息种类、保护措施及双方权利义务，并要求其仅按照我们的指示和适用法律处理个人信息。我们会对受托方的个人信息处理活动进行必要监督。

2. 向其他个人信息处理者提供

原则上，我们不会向其他个人信息处理者提供您的个人信息。如确需提供，我们将依法向您告知接收方名称或姓名、联系方式、处理目的、处理方式和个人信息种类，并在法律要求时取得您的单独同意。

在科研或临床研究中，如需向研究机构、医疗机构、伦理审查机构、检测机构、数据管理机构、申办方或监管机构提供信息，我们将根据研究方案、专项隐私告知、知情同意书和适用法律执行，并采取编码化、去标识化或其他必要保护措施。

3. 转移

如因合并、分立、解散、被宣告破产、资产或业务转让等原因需要转移个人信息，我们将依法向您告知接收方的名称或姓名和联系方式，并要求接收方继续履行个人信息处理者义务。接收方变更原处理目的或处理方式的，将依法重新取得您的同意。

4. 公开披露

原则上，我们不会公开披露您的个人信息。如确需公开披露，我们将依法告知公开披露的目的、信息种类，并取得您的单独同意。法律法规另有规定，或者司法、行政机关依法要求的除外。

5. 不出售个人信息

我们不会以出售个人信息为目的向第三方提供您的个人信息。

六、个人信息跨境处理

我们的科研合作、临床研究、网站技术服务、国际学术交流或监管活动可能涉及境外机构或服务提供者。如确需向中华人民共和国境外提供您的个人信息，我们将根据适用法律履行相应义务，包括但不限于：

• 1. 向您告知境外接收方的名称或姓名、联系方式、处理目的、处理方式、个人信息种类，以及您向境外接收方行使权利的方式和程序；
• 2. 在法律要求时取得您的单独同意；
• 3. 对敏感个人信息出境的必要性以及对个人权益的影响进行说明；
• 4. 通过数据出境安全评估、个人信息保护认证、订立个人信息出境标准合同或法律规定的其他机制满足个人信息出境条件；
• 5. 采取必要措施，保障境外接收方的个人信息处理活动达到适用法律规定的保护标准。

如具体科研或临床项目涉及个人信息出境，我们将通过知情同意书或专项隐私告知进一步说明。

七、我们如何存储和保护您的个人信息

1. 存储地点

我们将根据适用法律和实际服务安排存储个人信息。对于在中华人民共和国境内运营中收集和产生的个人信息，我们原则上在境内存储；因业务确需向境外提供的，将按照本政策第六条及适用法律执行。

2. 保存期限

我们仅在实现处理目的所必要的最短期限内保存您的个人信息。法律法规、科研伦理、临床研究、药品或医疗相关监管、财务、审计、档案或争议解决规则另有保存期限要求的，我们将按照相关要求保存。

保存期限届满后，我们将删除个人信息或进行匿名化处理。法律规定的保存期限尚未届满，或者删除个人信息从技术上难以实现的，我们将停止除存储和采取必要安全保护措施之外的处理。

3. 安全措施

我们将采取与个人信息处理风险相适应的管理、技术和物理安全措施，包括访问权限控制、身份鉴别、传输或存储保护、备份恢复、日志审计、人员培训、保密管理、供应商管理和安全事件应急机制，以防止个人信息遭到未经授权的访问、泄露、篡改、丢失、毁损或非法使用。

互联网环境并非绝对安全。请您妥善保护自己的账号、设备和联系方式，不要通过不安全渠道向我们发送敏感个人信息。

4. 安全事件处置

如发生或可能发生个人信息泄露、篡改、丢失，我们将按照法律规定向有关部门报告，并按照相关规定进行补救措施。法律要求通知个人的，我们将通过电子邮件、电话、短信、站内通知或公告等方式告知事件情况、可能造成的危害、已采取的措施、您可以采取的防范措施以及其他在相关法规框架下公司能够提供的支持。

八、您的个人信息权利

在适用法律规定的范围内，您对自己的个人信息享有以下权利：

• 1. 知情权和决定权；
• 2. 限制或拒绝处理的权利；
• 3. 查阅、复制您的个人信息；
• 4. 请求更正、补充不准确或不完整的个人信息；
• 5. 在符合法定条件时请求删除个人信息；
• 6. 撤回基于同意作出的授权；
• 7. 要求我们解释个人信息处理规则；
• 8. 在符合法律规定及主管部门条件时，请求将个人信息转移至您指定的个人信息处理者；
• 9. 对自动化决策结果提出说明要求或拒绝仅通过自动化决策作出对个人权益有重大影响的决定；
• 10. 注销您在我们相关服务中注册的账号（如适用）；
• 11. 法律法规规定的其他权利。

自然人死亡后，其近亲属为了自身合法、正当利益，可以依照法律对死者相关个人信息行使查阅、复制、更正、删除等权利，死者生前另有安排的除外。

您可以通过本政策第十三条所列方式联系我们以行使上述权利。为保障信息安全，我们可能要求您提交必要信息以核验身份。我们将在法律规定或合理期限内进行处理并答复。

对于合理请求，我们原则上不收取费用。对于无正当理由重复提出、明显超出合理限度，或将严重损害他人合法权益的请求，我们可能依法收取必要成本或拒绝处理，并向您说明理由。

九、我们可能无法响应请求的情形

在下列情形中，我们可能依法无法响应您的部分或全部请求：

• 1. 与我们履行法律法规规定的义务有关；
• 2. 与国家安全、国防安全直接相关；
• 3. 与公共安全、公共卫生或重大公共利益直接相关；
• 4. 与刑事侦查、起诉、审判和执行判决等直接相关；
• 5. 有充分证据表明请求人存在主观恶意或滥用权利；
• 6. 为保护您或其他个人的生命、财产等重大合法权益但难以取得本人同意；
• 7. 响应请求将导致您或其他个人、组织的合法权益受到严重损害；
• 8. 涉及依法应当保密的商业秘密、研究数据或其他受保护信息；
• 9. 法律法规规定的其他情形。

十、未成年人个人信息保护

我们的服务原则上主要面向成年人。我们不会故意通过一般网站服务收集不满十四周岁未成年人的个人信息。

如科研、临床研究、健康咨询或其他特定项目确需处理不满十四周岁未成年人的个人信息，我们将遵守未成年人个人信息保护的特别规定，制定专门处理规则，并取得其父母或其他监护人的同意。涉及敏感个人信息的，还将履行相应的特别保护义务。

如果您发现不满十四周岁的未成年人未经监护人同意向我们提供了个人信息，请通过本政策列明的方式联系我们，我们将在核实后依法处理。

十一、自动化决策

目前，我们不会仅通过自动化决策方式对您作出对个人权益有重大影响的决定。未来如使用自动化决策技术，我们将保证决策过程透明、结果公平公正，不对个人在交易价格等条件上实行不合理的差别待遇，并依法向您提供说明、拒绝或其他权利保障机制。

十二、第三方网站和服务

我们的网站或其他服务可能包含指向第三方网站、平台或服务的链接。第三方服务由相应第三方独立运营，其个人信息处理活动不受本政策约束。建议您在向第三方提供个人信息前阅读其隐私政策。我们将依法对由我们委托处理个人信息的服务提供者承担相应管理责任，但无法控制您自主访问的第三方网站或服务。

十四、本政策的更新

我们可能根据法律法规变化、监管要求、业务调整或技术更新对本政策进行修订。更新后的政策将在网站或相关服务页面公布，并标明更新日期和生效日期。公司对本政策的更新拥有最终解释权。

如修订将对您的个人信息权益产生重大影响，我们将酌情通过网站提示、弹窗、电子邮件或其他适当方式进行通知。对于依法需要重新取得同意的处理活动，我们将在继续处理前重新征得您的同意。

十五、定义

• 1. 个人信息：以电子或者其他方式记录的、与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
• 2. 敏感个人信息：一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
• 3. 处理：对个人信息的收集、存储、使用、加工、传输、提供、公开、删除等活动。
• 4. 去标识化：个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。
• 5. 匿名化：个人信息经过处理无法识别特定自然人且不能复原的过程。