DASAR PRIVASI

Stemline Therapeutics, Inc. 及其附属公司（“Stemline”或“我们”）致力于尊重和保护您的隐私。本隐私政策适用于我们通过网站（我们“网站”）以及与您的离线业务相关互动收集和使用个人信息（如本文所定义）的行为。您使用我们网站和向我们披露个人信息的行为即表示您接受本隐私政策。

1. 个人信息的收集

我们可能收集（直接向您或通过第三方来源收集）的个人信息类型以及我们的隐私实践取决于您与 Stemline 的关系以及适用法律的要求。以下是我们收集信息的一些方式以及我们如何使用这些信息。

我们从客户、访问者和访客收集的或关于客户、访问者和访客的信息包括可能被视为个人信息的信息，例如头衔、姓名、地址、电话号码、电子邮箱地址、用户名和互联网协议（“IP”）地址（统称为“个人信息”）。我们可能还收集其他不被视为个人信息的信息，例如您选择向我们提供的人口统计信息，例如您的业务/公司信息、职业经验、教育背景、民族、种族起源、性别、兴趣、喜好、安全问题答案和密码。

此外，如果您参与我们的任何项目或服务，我们可能还通过个人或第三方收集您的用药、病史相关信息及其他医疗保健相关信息，包括但不限于受保护的健康信息。任何与个人的个人信息相关联的受保护健康信息将被视为个人信息，前提是任何受保护的健康信息将按照 HIPAA 的要求受到保护。

我们可能收集个人信息的部分方式如下：

• 通过问卷调查收集和在业务/营销活动期间收集。
• 当您使用我们的网站时，我们可能会为您提供注册接收信息或服务的机会，并可能要求您提供联系信息（例如姓名、家庭住址、家庭电话号码或个人电子邮箱地址）和其他信息（对于医疗保健专业人士，我们可能收集关于姓名、年龄、性别、家庭住址、家庭电话号码、工作地址、工作电话号码、医学专业、专业资格、执照号码和/或医学学会会员号码的信息），以便可以向您发送您可能感兴趣的 Stemline 及其附属公司相关信息。
• 当您联系我们或注册我们提供的计划时，我们可能会获取您的联系信息以及您可能提供给我们的其他个人信息。
• 如果您在使用我们的产品时报告了任何副作用，根据监管要求，我们需要收集特定个人信息。

无需提供个人信息即可查看我们的网站。但是，要使用我们网站上可用的特定功能，可能需要提供个人信息。如果您不想向我们提供个人信息，您可以选择不使用我们网站上的这些功能。

在适用数据保护法允许的范围内，我们可能还接收其他来源的个人信息，这可能包括商业来源，例如公用数据库和数据聚合商。如果适用数据保护法要求，在将个人信息用于商业目的之前，我们将获取您的同意。

2. 我们收集个人信息的其他方式

通过使用 Cookie 和类似技术，当您访问我们的网站时，可能会自动收集下列信息：

• 您的 IP 地址，这是您访问互联网时自动分配给您计算机的号码，有时可用于得出您的大致地理区域。
• 其他唯一标识符，包括移动设备识别号。
• 您的浏览器类型和操作系统。
• 您在访问我们网站之前和之后所访问的网站。
• 您在我们网站上查看的页面和点击的链接。
• 通过 Cookie、网络信标和其他技术收集的信息。
• 有关您与电子邮件消息交互的信息，例如点击的链接以及消息是否被接收、打开或转发；以及
• 标准服务器日志信息。

Cookie 是一小段计算机代码，可允许网络服务器在每次有人使用我们网站时“识别”访问者。Cookie 用于为您量身定制我们的网站、衡量和调查我们网站功能的有效性，提供优惠和广告，以及验证注册服务的用户的身份。您可以随时从您的硬盘驱动器中删除 Cookie，方法是点击通常出现在您的网络浏览器 Settings（设置）或 Options（选项）菜单中的 Privacy（隐私）或 History (历史)  选项卡。在不更改 Cookie 设置的情况下使用我们的网站，您即表示同意我们使用 Cookie。如果您选择阻止 Cookie，您可能无法充分使用我们网站上的内容和功能。

我们可能还使用 Google Analytics 和 Google Analytics Demographics and Interest Reporting 收集与我们网站上的访问者行为及访问者人口统计学相关的信息，以及进行内容开发。如需了解更多有关 Google Analytics 的信息，请访问 www.google.com/policies/privacy/partners/。通过转至 http://tools.google.com/dlpage/gaoptout, 您可以选择不允许 Google 收集和处理您使用我们网站所产生的数据。

3. 个人信息在哪里处理和存储

尽管我们的网站在美国维护，但个人信息可能被传输给您所在国家或地区之外的我们的附属公司、合作伙伴和服务提供商且/或供其访问，包括可能无法提供与您所在国家或地区相似或合理保护级别的国家/地区。如果您从美国之外的国家/地区访问我们的网站，您与我们的通信将会导致跨越国际边境的信息传输。

收集的所有个人信息可能被存储在世界任何位置，包括但不限于美国、云端、我们的服务器、我们附属公司的服务器或我们服务提供商的服务器。

您使用我们的网站即表示您同意在美国境内以及我们在企业经营过程中可能向其传输个人信息的任何国家/地区收集、存储和处理个人信息。

4. 个人信息的使用

我们尊重您的隐私，只会将个人信息用于有限的用途，包括：

• 运营和优化我们的网站、产品、信息和服务。
• 理解您和您的喜好，从而可以改进我们的网站以及我们的产品和服务。
• 处理就职申请。
• 向您提供客户服务，包括回复您的评论和问题。
• 提供和交付您请求的产品、信息和服务。
• 向您发送相关信息，包括确认、发票、技术通知、更新、安全提醒以及支持和管理消息。
• 与您沟通与 Stemline 或我们附属公司及我们选定合作伙伴相关的活动预告、新闻、资讯。
• 防范、调查和防止欺诈性、未经许可或非法的行为；以及
• 在收集或征求您同意时另行说明的其他用途。

5. 个人信息的披露

我们致力于维护您的信任，并且仅在有限的情况下共享个人信息，例如：

• 与我们的附属公司共享。
• 与执行特定职能或代表我们提供服务（例如托管我们的网站、履行订单、提供产品和服务、管理数据库、执行分析、提供客户服务或发送消息）的服务提供商共享。
• 作为商业交易的一部分，包括出售资产、合并、破产、企业重组或类似事件。
• 与第三方共享，以保护我们组织、附属公司、子公司、合作伙伴及我们网站用户的法律权利，执行我们的使用条款，回复和解决申诉或投诉，预防欺诈或出于管理目的，以及遵守或响应法律执行或法律程序或政府或其他实体的合作请求，无论是否法律要求。
• 在遵守适用数据保护法的前提下出于商业目的与第三方共享；以及
• 与其他组织共享，以提供汇总信息，例如人口统计学和使用统计。

6. 更新个人信息

如果您决定不希望个人信息被用于本隐私政策所述的用途，您可以通过下文第 13 节列出的邮寄地址或电子邮箱地址联系我们，要求从我们的数据库中删除个人信息。您也可以联系我们更正或更新个人信息。

7. 加州隐私权

仅限加州居民。根据加州的《反客户信息披露法》(Shine the Light Act)，允许加州居民请求和获取有关哪些个人信息被披露给第三方用于第三方的直接营销目的的信息。我们不会将收集的信息与第三方共享以用于第三方的直接营销目的。

8. 数据保留和存储

只要您使用我们的网站或出于实现收集个人信息的目的所需，包括提供我们的产品和服务、解决争议、进行法律抗辩、开展审计、追求合法商业目的、执行我们的协议以及遵守适用法律，我们就会根据本隐私政策保留收到的个人信息。

9. 个人信息安全

我们采取商业上合理的措施来保护个人信息免受未经授权的访问、使用或披露。但是，没有哪种信息安全或互联网传输或存储方法可以保证 100% 安全。因此，虽然我们尽力保护个人信息，但我们无法确保或保证您传输给我们的信息的安全性，您需要自行承担风险。

10. 儿童的网络隐私

我们的网站面向普通大众。未经父母或监护人事先同意，我们不会故意收集、使用、维护、处理或披露据我们所知未满 13 岁儿童的个人信息，《美国儿童网路隐私保护法》(Children’s Online Privacy Protection Act, COPPA) 允许的情况除外。如果您是 13 岁以下儿童的父母或监护人，您认为该儿童可能向我们提供了个人信息，请与我们联系，我们将立即从我们的数据库中删除此类个人信息。

11. 与其他网站的链接

我们的网站可能包含与其他网站或在线服务的链接，这些网站或在线服务由第三方运营和维护，不受我们控制或由我们进行维护。此类链接不构成我们对这些其他网站、其显示内容或与之相关个人或实体的认可。我们提供这些链接只是为了方便您，您向这些第三方提供的任何信息将按照第三方自己的隐私政策中所述的方式使用。

12. 公司通信

我们可能会定期向您发送电子邮件，提供有关我们产品、相关科学或临床发展、公司活动和其他相关信息的信息。如果适用法律要求，我们将在发送此类电子邮件之前征得您的同意。如果您希望停止接收我们的所有通信或仅接收特定类型的通信，请发送电子邮件至 privacy@MenariniStemline.com与我们联系。

13. 隐私政策的更新

我们保留不时更新本隐私政策的权利。如果我们决定变更本隐私政策，我们将在我们的网站上公布这些变更。我们鼓励您定期查看本隐私政策是否有任何变更。您继续使用我们的网站将受当前版本隐私政策的约束。本隐私政策的最后更新日期为 2019 年 4 月 23 日。

如果您对本隐私政策有任何疑问，请通过以下方式与我们联系：Stemline Therapeutics, Inc., 750 Lexington Avenue, 11th Floor, New York, NY 10022；或发送电子邮件至 privacy@MenariniStemline.com 联系我们。

欧盟《通用数据保护条例》(GDPR) 2016/679 第 13 条规定的欧洲居民隐私政策

本网站面向全球用户，包括居住在欧洲的用户。本文件（“隐私政策”）面向居住在欧洲的用户，提供有关如何处理公司通过本网站（“网站”）收集的个人数据的信息，并构成 GDPR 第 13 条条款下的“给数据主体的信息通知”。

1. 数据控制者、代表和 DPO

根据欧盟 GDPR 2016/679，我们在此通知您，控制者是 Stemline Therapeutics, Inc，办公地址是 750 Lexington Avenue, 11th Floor New York, NY 10022（“公司”或“控制者”）。

符合 GDPR 第 27 条规定的指定欧洲代表是 A. Menarini Industrie Farmaceutiche Riunite S.r.l，注册办公地址是 Firenze, Via Sette Santi, 1。

可以通过以下电子邮箱地址联系数据保护官（“DPO”）： dpo@menarini.com。

2. 我们处理的数据

可能处理下列数据：

• 当您注册到保留区时，我们可能会要求您提供联系方式（例如姓名、家庭住址、家庭电话号码或个人电子邮箱地址）和其他信息（对于医疗保健专业人士，我们可能收集关于姓名、年龄、性别、家庭住址、家庭电话号码、工作地址、工作电话号码、医学专业、专业资格、执照号码和/或医学学会会员号码的信息）。
• 当您浏览本网站时，某些信息可能会被被动收集（即在您不主动提供信息的情况下收集），包括您的 IP 地址（IP 地址是您访问互联网时自动分配给您计算机的号码，有时可用于得出您的大致地理区域）；其他唯一标识符，包括移动设备标识号；您的浏览器类型和操作系统。

3. 我们为什么以及如何处理您的个人数据

在您同意的情况下，公司可能会处理您的一般个人数据，以使您能够从可用的服务和功能中受益并优化其性能，对其使用情况进行统计，根据 GDPR 第 6.1.a 条管理您对网站上可能存在的任何限制访问区域和活动的注册。公司还可能处理您的个人数据以履行法律、法规和欧盟法律规定的义务：出于此目的进行数据处理的法律依据是 GDPR 第 6.1.(c) 条。

此外，在您自愿同意的情况下，您的一般个人数据也可能被用于履行您的请求，且取决于您的选择：

• 履行您正待我们代表访问的请求。
• 用于机构通信（包括时事通讯）或促销活动（营销），也就是使用传统方法和/或联系方式（即纸质邮件、有话务员的电话呼叫等）或自动手段（即通过互联网、传真、电子邮箱、短信、智能手机和平板电脑等移动设备应用程序、社交网络帐户例如 Facebook 或 X 等进行通信）发送广告材料和/或与公司服务相关的商业通信。出于此目的进行数据处理的法律依据是 GDPR 第 6.1.(a) 条。

最后，公司可能会处理您的一般和敏感个人数据，以保护其在法律诉讼中的权利（GDPR 第 6.1.(f) 条和第 9.2.(f) 条）。

您的所有数据都使用适合的自动电子工具进行处理，以确保完全的安全性和机密性。

4. 必要处理和可选处理

本网站上所填写的表格要求您提供处理您的请求绝对必要的个人数据。此类数据用星号 [*] 标记。如果您不愿提供此类数据，我们将无法处理您的请求。

相反，表格可能还允许提供不是处理您的请求绝对必要的个人数据：提供此类数据是可选的 — 不提供也不会有任何后果。

5. 浏览数据

如果您仅访问本网站（即不发送通信或使用任何可用的服务/功能），则对您的数据的处理仅限于浏览数据，即传输到本网站的数据对于运行本网站的计算机和互联网通信协议的运行是必要的。例如，此类数据包括用于访问本网站的 IP 地址或计算机域，以及与用于连接本网站的操作系统相关的其他参数。公司收集这些数据和其他数据（例如，访问次数和在本网站上花费的时间）仅用于统计目的，并以匿名形式收集，以监控本网站的功能和优化其性能。收集此类数据不会与用户的其他信息相关联或用于识别用户；但就其性质而言，此类信息可能允许公司通过处理和关联第三方持有的数据来识别用户。浏览数据通常以匿名方式处理后删除，但公司可能存储及使用这些数据，以检测和识别任何危害本网站或使用本网站的计算机犯罪的肇事者。不影响这种可能性，根据法律规定，上述浏览数据仅临时存储。

6. 与其他网站的链接

本隐私政策仅适用于上文定义的网站。尽管本网站可能包含与其他网站（称为第三方网站）的链接，但请注意，公司不会对此类第三方网站上可能活跃的 Cookie、网络信标或其他用户跟踪技术、其发布的内容和材料或其处理您个人数据的方法进行任何访问或控制；因此，公司明确拒绝对此类事项承担任何责任。因此，您应核实此类第三方网站的隐私政策，并收集有关其条款和条件以及如何处理您的个人数据的信息。

7. 我们存储数据的方式以及存储时长

根据 GDPR 第 5.1.(c) 条的规定，公司所使用的计算机和程序以尽量减少个人和识别数据的使用为原则进行设置。仅在实现本政策所述目的所需的范围内处理此类数据，并且将根据实现特定目的绝对必要的时长进行存储 — 在任何情况下，用于确定存储期限的标准是基于遵守法律允许的时间限制以及数据最小化、存储限制或理性管理我们记录的原则。

8. 有权访问数据的人员

以下类别的人员有权处理用户的数据：技术和管理人员、IT 人员、医药销售代表、产品经理、内部审计和合规人员，以及为履行其工作职责而需要处理数据的其他工作人员。

尽管我们的网站在美国维护，但您的数据可能会被传输给您所在国家或地区之外的我们的附属公司、合作伙伴和服务提供商且/或供其访问，包括可能无法提供与您所在国家或地区相似或合理保护级别的国家/地区。如果您从美国以外的国家/地区访问我们的网站，或者当您提供同意时，您同意将信息传输到您居住国以外的国家/地区，包括我们总部所在的美国。

此外，在第三国，数据也可能被传递给(i) 为自身目的而设立的机构、当局、公共机构；(ii) 为上述目的向公司提供运营本网站所需的商业、专业或技术服务（例如提供 IT 和云计算服务）并支持公司提供您所要求的服务的专业人士、独立顾问（单独工作或合伙工作）以及其他第三方和供应商；(iii) 发生业务合并、收购、转让、审计或其他特别操作时的第三方（或其分支机构）；(iv) 执行其职能的公司监督机构（监督法律义务、道德标准等的执行）。上述接收者应仅接收其各自职能所必需的数据，并应适当承诺仅为上述目的且按照数据保护法的要求处理这些数据。此外，数据还可能被传递给适用法律有时认定的其他合法接收者。除上述情况外，不得将数据共享给不为控制者执行任何商业、专业或技术职能的第三方（无论是法人还是自然人），也不得传播数据。接收数据的各方应以数据控制者、处理者或被授权处理个人数据的人员（视情况而定）的身份出于上述目的且按照适用数据保护法的要求执行数据处理。

9. 您的权利

您可以随时行使 GDPR 第 15-22 条赋予的权利，包括确认与您相关的个人数据是否存在、检查其内容、来源、正确性、位置（是否还涉及任何第三方国家/地区）、请求副本、请求更正以及如果法律有规定时限制处理、删除、反对直接联系活动、反对直接营销（也仅限于特定通信方式）的权利。同样，对于您从与公司的关系角度认为不正确或不合理的数据的处理操作，您可以随时撤回同意和/或就具体问题提出意见，或向数据保护机构提出投诉。

您可以使用上述地址联系数据控制者（联系我们或联系邮件地址）和/或 DPO，就公司处理个人数据提出任何要求、行使您的合法权利和获取有权访问您的数据的各方的最新名单。