個人資料保護

一、個人資料保護政策

邦睿生技股份有限公司重視客戶、供應商、員工及其他利害關係人之個人資料與隱私權保護，依據《個人資料保護法》及相關法令規範，訂定「個人資料保護管理規範」，建立個人資料蒐集、處理、利用、安全維護、當事人權利行使及個資事件應變等管理機制。

本公司依誠信原則，在特定目的及必要範圍內蒐集、處理及利用個人資料，並採取適當之管理及安全防護措施，以避免個人資料遭竊取、竄改、毀損、滅失、洩漏或其他未經授權之使用，持續維護個人資料之機密性、完整性及安全性。

本公司《個人資料保護管理規範》亦明定個資蒐集、處理及利用應以誠實信用方式進行，不得逾越特定目的之必要範圍；資料蒐集時應依法履行告知義務，涉及特定敏感個人資料時，則依相關法令辦理。

二、適用範圍

本公司個人資料保護政策及相關管理制度之適用範圍涵蓋：

• 集團所有營運據點

• 客戶

• 供應商及合作夥伴

• 員工及應徵者

• 其他因公司營運而接觸、蒐集、處理或利用其個人資料之利害關係人

針對公司營運過程中涉及之個人資料，本公司均依相關法令及內部管理規範進行蒐集、處理、利用、保存及安全維護。

三、個人資料保護治理及權責

本公司由財會行政處副總經理擔任個人資料保護專責主管，負責個人資料保護政策及相關制度之督導與推動；各一級主管擔任個人資料保護代表，負責所屬單位個人資料管理措施之執行。

個人資料保護相關管理工作包括：

• 個人資料保護政策及制度之規劃與推動

• 個人資料隱私風險評估及管理

• 個人資料保護教育訓練與宣導

• 個人資料管理制度執行情形之檢視

• 個人資料相關法令遵循

• 個人資料安全事件之應變、處理、通報及改善

• 當事人權利行使之受理及處理

四、個人資料蒐集、處理及利用原則

本公司於蒐集、處理及利用個人資料時，遵循下列原則：

1. 合法及適當蒐集

於合法特定目的及必要範圍內蒐集個人資料，並依法向當事人告知蒐集目的、資料類別、利用期間、地區、對象、方式及相關權利。

2. 目的限制

個人資料之處理及利用以原蒐集目的之必要範圍為原則，除符合法令規定或取得當事人合法同意外，不作與原目的不相符之利用。

3. 資料正確性

本公司持續維護所保有個人資料之正確性；發現資料不正確時，依相關規範進行更正或補充。

4. 保存期限管理

個人資料於特定目的消失或保存期限屆滿後，依相關規定停止處理、利用或辦理刪除。

5. 特種個人資料管理

涉及醫療、基因、性生活、健康檢查及犯罪前科等依法受特別保護之個人資料時，依個人資料保護法及相關規定辦理。

五、當事人權利保障

本公司尊重個人資料當事人依法享有之權利，並建立相關申請及處理程序。

當事人得依法向本公司提出：

• 查詢或請求閱覽

• 請求製給複製本

• 請求補充或更正

• 請求停止蒐集、處理或利用

• 請求刪除個人資料

本公司於接獲當事人申請後，依個人資料保護相關法令及內部作業程序辦理，並由相關個人資料保護業務窗口協助處理。公司內部規範亦訂有申請文件審核、補正及回覆程序。

六、個人資料安全管理措施

為降低個人資料遭未授權存取、竄改、洩漏、毀損或滅失之風險，本公司依資料及資訊資產之重要程度採取適當之技術與管理措施。

1.資料存取及權限管理

依職務需求建立個人帳號及權限，並定期檢視管理者帳號、使用者帳號及存取權限；員工離職或職務異動時，依相關管理程序調整或停用權限。

2.資訊系統安全防護

公司建置防毒軟體、網路防火牆、電子郵件過濾、入侵偵測與防禦機制及相關安全防護措施，降低未授權存取及網路攻擊風險。

3.個人資料及資訊資產管理

資訊資產監控覆蓋率達 100%，所有重要資訊資產均納入監控範圍；實體重要資訊資產亦設置監視設備及相關安全防護措施。

4.資料保存及銷毀

個人資料於保存目的消失或保存期限屆滿時，依規範進行刪除或停止處理利用；資訊設備報廢時，確認機密性資料已刪除，並以適當方式進行設備銷毀。

5.委外管理

委託外部廠商蒐集、處理或利用個人資料時，本公司將相關資訊安全、保密與資料管理要求納入合約或採購文件；委外關係終止時，亦要求廠商返還、移交、刪除或銷毀因履行契約所持有之資料。

七、個人資料安全事件管理與應變

本公司建立個人資料安全事件通報及應變機制。

如發現個人資料遭竊取、竄改、毀損、滅失、洩漏或其他未經授權之存取或使用情形，相關單位應依內部程序進行通報、評估及必要之緊急應變處理，並針對事件原因採取改善措施，以降低事件影響及避免再次發生。

如個人資料遭侵害而依法應通知當事人者，本公司亦依相關法令及內部程序辦理通知。公司《個人資料保護管理規範》已將個資侵害事件之緊急應變及通報，以及個資遭竊取、竄改、毀損、滅失或洩漏時之安全維護列入管理要求。

八、教育訓練、查核及持續改善

本公司持續透過教育宣導、內部查核及管理機制提升員工個人資料保護意識。

新進人員於職前訓練接受資訊安全及個人資料保護相關教育宣導；在職員工亦定期接受相關宣導。稽核室每年依風險評估結果查核個人資料保護及資訊系統相關管理情形，如發現缺失，要求相關單位改善並持續追蹤改善成效。

公司內部規範亦要求建立個人資料保護教育訓練紀錄及相關名冊，以確保管理制度持續落實。

九、115年度個人資料保護執行情形

本公司持續檢視個人資料保護制度之執行情形，透過教育宣導、資訊資產監控、內部查核及事件管理機制，降低個人資料相關風險，並依實際執行情形持續改善相關管理措施。

十、監督及董事會報告

本公司個人資料保護專責主管定期掌握個人資料及資訊安全管理情形，並由相關單位進行執行與監督。資通安全暨個人資料保護治理及執行成果至少每年一次提報董事會，以持續強化公司個人資料保護治理及風險管理。