Personal Information Processing Policy of CMIC Korea Co., Ltd.
CMIC Korea Co., Ltd. (hereinafter referred to as the 'Company') sets forth and operates the Personal Information Processing
Policy as follows to protect the personal information of the information subject in accordance with Article 30 of the PersonalInformation Protection Act and to deal with related problems promptly and smoothly.
Article 1 (Personal Information Processing Purpose)
The Company may process personal information for the purposes of conducting clinical trials, organizing, analyzing, andreporting the results, utilizing related researches, and so forth. The personal information processed by the Company shall not beused other than the above-mentioned purpose, and if the purpose of use changes, the Company shall take necessary measures,such as obtaining separate consent.
Article 2 (Personal Information Items to be processed)
The Company may collect the minimum personal information necessary for the purpose of Article 1, and the items of personal
information to be collected by the Company are as follows.
①

Persons subject to clinical trials: Gender, date of birth, and medical information (medical history, laboratory test results)②

Researchers participating in clinical trials
1.

Required items: Email, CV, mobile phone number, gender, date of birth, name, company phone number, position,department, company name, occupation, and education background2.

Optional items: Resident registration number, bank account information, passport number, home address, home phone
number, and marital status

Article 3 (Processing and Retention Period of Personal Information)①

The Company may process and retain personal information within the period of retention and use of personal informationor the period of retention and use of personal information agreed upon when collecting personal information from theinformation subject in accordance with the laws and regulations.

②The Company may process and retain the personal information of the Company's clinical trial subjects and researchers fora period determined by the relevant laws and regulation authorities or for thirty (30) years after the end of the clinical trial.

Article 4 (Providing Personal Information to a Third Party)
The Company may process the personal information of the information subject only within the range specified in Article 1, andmay provide personal information to a third party only when it falls under Article 17 of the Personal Information Protection Act,
such as with the consent of the information subject or if there is a special provision of the law.
Article 5 (Entrustment of Personal Information Processing)①

The Company entrusts personal information processing as follows for smooth handling of personal information.
1.

Cloud server operation

Trustee: Marubeni IT Solutions Inc.

Commissioned works: CHD ICT support for BOX system introduction, and cloud system maintenance2.

Data management set-upTrustee: CRScube
3.

4.


Contents of commissioned work: EDC set up based on clinical results
Document storage company
Trustee: Tong-In
Contents of commissioned work: Document storageTranslation company
Trustee: ClintransContents of commissioned work: Translation on clinical trial results②In addition to the purpose for the performance of commissioned work, when signing an entrustment contract, the Company
stipulates the prohibition of personal information processing, technical and administrative protection measures, restrictions
on re-entrustment, trustee's management and supervision, and matters concerning liabilities including compensation fordamages in the documents such as the contract, and oversees whether the trustee handles personal information safely.

③If the contents of commissioned work or the trustee change, the Company shall disclose it without delay through thisPersonal Information Processing Policy.

Article 6 (Rights and Obligations of Information Subject and How to Exercise)①

The information subject may exercise the following rights related to personal information protection to the Company at anytime.
1. Request for viewing personal information. However, access to viewing personal information may be restricted or
rejected if access to reading the personal information is prohibited or restricted according to the laws, if there is a riskof harming the life or body of another person, or if there is a risk of unduly infringing on the property and other interestsof a third party.
2. Request for correction and deletion in case of errors, etc. However, if it is specified as an object to be collected in otherlaws and regulations, the information subject may not request to delete the concerning personal information.
3. Request for suspension of processing. However, if there is a special provision in the law or it is inevitable to comply
with the obligations under the law, if there is a risk of harming the life or body of another person, if there is a fear ofunduly infringing on the property and other interests of a third party, or if contracted service may not be provided
when failing to process the personal information, the Company may reject the request for suspension of processing.

②

The exercise of rights pursuant to Paragraph 1 may be made in writing, through phone, e-mail, fax, etc. to the Company,
and the Company shall take necessary action without delay.

③If the information subject requests correction or deletion of personal information errors, etc., the Company shall not use orprovide the personal information until the correction or deletion is completed.

④The rights pursuant to Paragraph 1 may be exercised through an agent such as a legal representative of the information
subject or a person who has been delegated. In this case, a power of attorney shall be submitted in accordance with the formof Appendix No. 11 of the Enforcement Regulations of the Personal Information Protection Act.

⑤The information subject shall not infringe on its own or others' personal information processed by the Company and theprivacy of third parties by violating related laws and regulations such as the Personal Information Protection Act.

Article 7 (Destruction of Personal Information)①When the personal information becomes unnecessary due to reasons such as the expiration of the personal information
retention period, and the achievement of the purpose of processing, the Company shall destroy the personal information
without delay.

②Despite the personal information retention period agreed by the information subject has elapsed or the purpose of processing
has been achieved, in a case where personal information shall be continuously kept in accordance with other laws andregulations, the personal information shall be kept by transferring to a separate database (DB) or changing the storage
location.

③The procedure and method of destroying personal information are as follows.

1.

Destruction procedure: The Company shall select the personal information in which the reason for destruction occurredand destroy the personal information under the responsibility of the Personal Information Protection Officer.

2.

Destruction method: Personal information recorded and stored in paper documents shall be shredded with a shredder
or incinerated, and information in the form of electronic files shall be completely deleted using technical methods andmanaged and supervised so that it may not be recovered and used again.

Article 8 (Measures to Ensure the Safety of Personal Information)
The Company takes the following measures to ensure the safety of personal information.
1.

Administrative measures: Establishment and implementation of internal management plans, minimization of personal
information handlers, regular employee training, etc.

2.

Technical measures: Management of access authority and access control to the personal information processing systems,etc., storage of personal information processing system access records, use of security functions to prevent forgery, alterationand theft of access records, encryption of unique identification information, and security program installation3.

Physical measures: Control of access by unauthorized persons to computer rooms, data storage rooms, etc.

Article 9 (Personal Information Protection Officer)①

The Company has designated the Personal Information Protection Officer as follows, who takes full responsibility for thehandling of personal information and deals with complaints and relief from damages of information subjects related topersonal information processing.
1.

Personal Information Protection Officer

Name: Seunghyun Nam

Position: Country Head

Contact: 02-3708-3600 / seunghyun-nam@cmicgroup.com

2.

Department in charge of personal information protection

Name of Department: HR &IT/ Administration

Person in charge: Hyelan SongContact: 02-3708-3653 / hyelan-song@cmicgroup.com

3.

The information subject may contact the Personal Information Protection Officer and the department in charge ofpersonal information protection for all matters such as inquiries, complaint handling, and damage relief related topersonal information protection. The Company shall respond and handle inquiries from the information subject without
delay.

Article 10 (Request for Viewing Personal Information)
The information subject may request the following department to allow him/her to read the personal information under Article
35 of the Personal Information Protection Act. The Company shall endeavor to expedite the request for access to viewing thepersonal information from the information subject promptly.

▶ Receiving and processing department of the request to access to reading the personal informationName of Department: HR &IT/ Administration

Person in charge: Hyelan SongContact: 02-3708-3653 / hyelan-song@cmicgroup.com

Article 11 (Remedy for Infringement on the Rights and Interests)
The information subject may inquire about damage relief, consultation, etc. for personal information infringement to thefollowing organizations. The organizations below are separate bodies from the Company, and if the information subject is notsatisfied with the Company's own handling results of personal information complaints or damage relief, or more detailed help isin need, the information subject may contact the organizations.
1.

Personal Information Infringement Report Center (operated by the Korea Internet & Security Agency)
Duties: Receiving the reports of personal information infringement and request for consultationHomepage: privacy.kisa.or.krPhone: (without area code) 118

Address: (Zip Code: 58324) #3F, Personal Information Infringement Report Center 9, Jinheung-gil, Naju-si,Jeollanam-do, Republic of Korea (301-2, Bitgaram-dong)2.

Personal Information Dispute Mediation Committee

Duties: Receiving the applications for personal information dispute mediation, and collective dispute mediation

Homepage: www.kopico.go.krPhone: (without area code) 1833-6972

Address: (Zip Code: 03171) #4F, Seoul Government Complex, 209, Sejong-daero, Jongno-gu, Seoul, Republic ofKorea

3.

Cyber Crime Investigation Unit of the Supreme Prosecutors' Office: 02-3480-3573 (www.spo.go.kr)

4.

Cyber Security Bureau of the National Police Agency: 182 (http://cyberbureau.police.go.kr)

Article 12 (Enforcement of Personal Information Processing Policy)①

This Personal Information Processing Policy shall be applied from December 1, 2020.

②

If changing this Personal Information Processing Policy, the Company shall compare the contents before and after thechange to publicly notify from seven (7) days before the change is implemented so that the information subject may know
them well.

㈜시믹코리아 개인정보 처리방침(주)시믹코리아(이하 ‘회사’)는 개인정보 보호법 제30조에 따라 정보주체의 개인정보를 보호하고 이와 관련한고충을 신속하고 원활하게 처리할 수 있도록 하기 위하여 다음과 같이 개인정보 처리방침을 정하여 운영하고있습니다.

제1조 (개인정보의 처리목적) 회사는 임상시험 실시 및 결과에 대한 정리, 분석 및 보고, 관련 연구 활용 등의목적을 위하여 개인정보를 처리합니다. 처리하고 있는 개인정보는 위 목적 이외의 용도로는 이용되지 않으며,이용 목적이 변경되는 경우에는 별도의 동의를 받는 등 필요한 조치를 이행할 예정입니다.

제2조 (처리하는 개인정보 항목) 회사는 제1조의 목적에 필요한 최소한의 개인정보를 수집하며, 회사가 수집하는 개인정보의 항목은 다음과 같습니다.
①임상시험 대상자: 성별, 생년월일, 의료정보(병력, 실험실적 검사 결과)②

임상시험 참여 연구자1.

필수항목: 이메일, CV, 휴대전화번호, 성별, 생년월일, 이름, 회사전화번호, 직책, 부서, 회사명, 직업, 학력2.

선택항목: 주민등록번호, 은행계좌정보, 여권번호, 자택주소, 자택전화번호, 결혼여부

제3조 (개인정보의 처리 및 보유기간)①회사는 법령에 따른 개인정보 보유·이용기간 또는 정보주체로부터 개인정보를 수집시에 동의 받은 개인정보 보유·이용기간 내에서 개인정보를 처리 ·보유합니다.

②

회사의 임상시험 대상자 및 연구자의 개인정보는 관련 법령 및 규제 당국에서 정하는 기간 또는 임상시험종료 후 30년 동안 처리 및 보유합니다.

제4조 (개인정보의 제3자 제공)회사는 정보주체의 개인정보를 제1조에서 명시한 범위 내에서만 처리하며, 정보주체의 동의, 법률의 특별한 규정 등 개인정보 보호법 제17조에 해당하는 경우에만 개인정보를 제3자에게 제공합니다.

제5조 (개인정보처리의 위탁)①회사는 원활한 개인정보처리를 위하여 다음과 같이 개인정보 처리 업무를 위탁합니다.
1.

Cloud server 운영위탁 받은 자: 마루베니(Marubeni IT Solutions Inc.)위탁하는 업무: BOX 시스템 도입을 위한 CHD ICT 지원, Could system 유지보수2.

Data Management set up위탁 받는 자: ㈜씨알에스큐브(CRScube)위탁하는 업무의 내용: 임상결과를 바탕으로 한 EDC set up②3.

문서보관 업체위탁 받는 자: 통인위탁하는 업무의 내용: 문서 보관4.

번역 업체위탁 받는 자: ㈜클린트랜스(Clintrans)위탁하는 업무의 내용: 임상 시험 결과에 대한 번역 업무회사는 위탁계약 체결 시 위탁업무 수행목적 외 개인정보 처리금지, 기술적 ·관리적 보호조치, 재위탁 제한, 수탁자 관리 ·감독, 손해배상 등 책임에 관한 사항을 계약서 등 문서에 명시하고, 수탁자가 개인정보를
안전하게 처리하는지를 감독하고 있습니다.

③위탁업무의 내용이나 수탁자가 변경될 경우에는 지체없이 본 개인정보 처리방침을 통하여 공개하도록 하겠습니다.

제6조 (정보주체의 권리 ·의무 및 행사방법)①정보주체는 회사에 대해 언제든지 다음 각 호의 개인정보 보호 관련 권리를 행사할 수 있습니다.
1.

개인정보 열람 요구. 다만 법률에 따라 열람이 금지되거나 제한되는 경우, 다른 사람의 생명 신체를해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우에는 열람을 제한하거나 거절할 수 있습니다.

2.

오류 등이 있을 경우 정정 및 삭제 요구. 다만, 다른 법령에서 수집 대상으로 명시되어 있는 경우에는그 삭제를 요구할 수 없습니다.

3.

처리정지 요구. 다만 법률에 특별한 규정이 있거나 법령상 의무 준수를 위해 불가피한 경우, 다른 사람의 생명.신체를 해할 우려가 있거나 다른 사람의 재산과 그밖의 이익을 부당하게 침해할 우려가 있는 경우, 개인정보를 처리하지 아니하면 약정한 서비스를 제공하지 못하는 등 경우에는 처리 정지 요구를 거절할 수 있습니다.

②

제1항에 따른 권리 행사는 회사에 대해 서면, 전화, 전자우편, 모사전송(FAX) 등을 통하여 하실 수 있으며회사는 이에 대해 지체없이 조치하겠습니다.

③정보주체가 개인정보의 오류 등에 대한 정정 또는 삭제를 요구한 경우에는 회사는 정정 또는 삭제를 완료할 때까지 해당 개인정보를 이용하거나 제공하지 않습니다.

④

제1항에 따른 권리 행사는 정보주체의 법정대리인이나 위임을 받은 자 등 대리인을 통하여 하실 수 있습
니다. 이 경우 개인정보 보호법 시행규칙 별지 제11호 서식에 따른 위임장을 제출하여야 합니다.

⑤정보주체는 개인정보 보호법 등 관계법령을 위반하여 회사가 처리하고 있는 정보주체 본인이나 타인의 개인정보 및 사생활을 침해하여서는 아니됩니다.

제7조 (개인정보의 파기)①회사는 개인정보 보유기간의 경과, 처리 목적 달성 등 개인정보가 불필요하게 되었을 때에는 지체없이 해당 개인정보를 파기합니다.

②정보주체로부터 동의 받은 개인정보 보유기간이 경과하거나 처리 목적이 달성되었음에도 불구하고 다른법령에 따라 개인정보를 계속 보존하여야 하는 경우에는, 해당 개인정보를 별도의 데이터베이스(DB)로 옮기거나 보관장소를 달리하여 보존합니다.

③개인정보 파기의 절차 및 방법은 다음과 같습니다.
1.

파기절차: 회사는 파기 사유가 발생한 개인정보를 선정하고 개인정보 보호책임자의 책임하에 개인정보를 파기합니다.

2.

파기방법: 종이 문서에 기록 ·저장된 개인정보는 분쇄기로 분쇄하거나 소각하고 전자적 파일 형태의정보는 기술적 방법을 사용하여 완전히 삭제하여 다시 복구하여 사용하지 않도록 관리 및 감독합니다.

제8조 (개인정보의 안전성 확보조치)회사는 개인정보의 안전성 확보를 위해 다음과 같은 조치를 취하고 있습니다.
1.

관리적 조치: 내부관리계획 수립·시행, 개인정보 취급자 최소화 및 정기적 직원 교육 등2.

기술적 조치: 개인정보처리시스템 등의 접근권한 및 접근통제 관리, 개인정보처리 시스템 접속기록의 보관,접속기록의 위변조 및 도난 방지를 위한 보안 기능 사용, 고유식별정보 등의 암호화, 보안프로그램 설치

3.

물리적 조치: 전산실, 자료보관실 등의 비인가자 접근통제

제9조 (개인정보 보호책임자)①회사는 개인정보 처리에 관한 업무를 총괄해서 책임지고, 개인정보 처리와 관련한 정보주체의 불만처리및 피해구제 등을 위하여 아래와 같이 개인정보 보호책임자를 지정하고 있습니다.
1.

개인정보 보호책임자

성명: 남승현

직책: Country Head연락처: 02-3708-3600 / seunghyun-nam@cmicgroup.com

2.

개인정보 보호 담당부서

부서명: 인사총무팀

담당자: 송혜란

연락처: 02-3708-3653 / hyelan-song@cmicgroup.com

3.

정보주체는 회사의 모든 개인정보 보호 관련 문의, 불만처리, 피해구제 등에 관한 사항을 개인정보 보호책임자 및 담당부서로 문의하실 수 있습니다. 회사는 정보주체의 문의에 대해 지체없이 답변 및 처리해드릴 것입니다.

제10조 (개인정보 열람청구)정보주체는 개인정보 보호법 제35조에 따른 개인정보의 열람 청구를 아래의 부서에 할 수 있습니다. 회사는정보주체의 개인정보 열람청구가 신속하게 처리되도록 노력하겠습니다.
▶ 개인정보 열람청구 접수처리 부서부서명: 인사총무팀

담당자: 송혜란

연락처: 02-3708-3653 / hyelan-song@cmicgroup.com제11조 (권익침해 구제방법)정보주체는 아래 기관에 대해 개인정보 침해에 대한 피해구제, 상담 등을 문의할 수 있습니다. 아래 기관은 회사와는 별개의 기관으로서, 회사의 자체적인 개인정보 불만처리, 피해구제 결과에 만족하지 못하시거나 보다자세한 도움이 필요하시면 문의하여 주시기 바랍니다.
1.

2.

개인정보 침해신고센터 (한국인터넷진흥원 운영)소관업무: 개인정보 침해사실 신고, 상담 신청홈페이지: privacy.kisa.or.kr전화: (국번없이) 118주소: (58324) 전남 나주시 진흥길 9(빛가람동 301-2) 3층 개인정보침 신고센터개인정보 분쟁조정위원회

소관업무: 개인정보 분쟁조정신청, 집단분쟁조정

홈페이지: www.kopico.go.kr전화: (국번없이) 1833-6972

주소: (03171)서울특별시 종로구 세종대로 209 정부서울청사 4층

3.

대검찰청 사이버범죄수사단: 02-3480-3573 (www.spo.go.kr)

4.

경찰청 사이버안전국: 182 (http://cyberbureau.police.go.kr)

제12조 (개인정보 처리방침의 시행)①본 개인정보 처리방침은 2020. 12. 1. 부터 적용됩니다.

②

회사가 본 개인정보 처리방침을 변경하는 경우, 변경 내용 시행 7일전부터 정보주체가 잘 알 수 있도록변경 전후의 내용을 비교하여 공지합니다.