※ご注意ください
本規定は、BMW グループ従業員及びビジネスパートナーが人権に関連する違反を報告するに際しての案内です。一般のお問い合わせ及び苦情に関する個人情報保護方針は、ビー・エム・ダブリュー・ジャパン・ファイナンス株式会社のプライバシーポリシーをご参照ください。
This rule is a guide for reporting violations related to human rights by BMW Group employees
and external business partners. For the privacy policy regarding general inquiries andcomplaints, please refer to the Privacy Policy of BMW Japan Finance.

情報提供者に対する個人情報保護方針について
BMWAG では、あなたのプライバシーに関する権利が、個人データを取り扱う上で最も優先されます。私たちは個人データを EU General Data Protection Regulation（GDPR）及び日本の法規定に従って取り扱います。
以下、情報提供者としてのあなたの個人データがどのように取り扱われるかについて記載がありますので、ご確認ください。
また、以下のリンクから BMW グループにおける個人データの取り扱いに関してより詳細にご確認いただ
けます。https://www.bmwgroup.com/en/general/data_privacy.html

１．誰がデータ処理の責任者ですか？データ保護責任者にはどうすればコンタクトすることができますか？
Bayerische Motoren Werke Aktiengesellschaft, Petuelring 130, 80788 Munich, Germany,
domicile and court of registry: Munich HRB 42243 がコンプライアンスに関する報告を受け付け、内容を精査し、調査を行う責任を担います。また、GDPR26 条の観点における法令違反を明確化するために他の BMW グループ会社も協働します。
データ保護責任者には上記の宛先あるいはこちらの E メールアドレス datenschutz@bmw.de からコンタクトすることができます。

２．どのデータを何の目的で処理するのでしょうか？
BMW AG は以下の目的で受領したデータを処理します。
受領した報告を精査し、対象者に関する必要な調査を行うこと：該当がある場合は、監督官庁や裁判所に連携すること：国際弁護士、監査人その他会社が委任する調査官に伝達をすること：他のＢＭＷグループ会社やその提携会社に連携すること。
個人情報を提供する義務はありません。
情報提供者は自身の個人情報を提供する義務はありませんので、匿名でコンプライアンスに関する懸念案件を報告することができます（匿名報告）。
データの種類
報告がなされた場合、私たちは下記の個人情報を取得します。



匿名ではない報告の場合、情報提供者であるあなたの名前、個人的な連絡先と個人を識別するためのデータ

提供があった場合には、就業先に関する情報

該当がある場合は、報告書内に記載されたその他の人の名前や個人情報法的根拠
特定の案件における個人情報の処理は以下の法的根拠によって認められます。
非匿名報告に関する個人情報の収集：上記記載の目的における個人情報の処理に関する同意。あなたが任意で自身の個人情報を非匿名報告によって提供した場合、私たちはその個人情報を、GDPR 第 6 条に従い、報告内容に対応する目的において単独で処理します。



報告書に記載された人の個人情報の収集、処理、開示：関係者あるいは第三者の正当な利益を保護するため（GDPR 第 6 条（１）LIT.C））、法的義務を履行するため（GDPR 第 6 条（１）
LIT.C））。BMW AG は、全社的に従業員による違反や重大な義務違反について、それを特定し、処理し、是正し、制裁するための正当な利益を有します。これは、BMW グループの損害や法的責任のリスクを回避するために、German Act on Regulatory Offenses (OWiG)に従って高い機密性を以て効果的な方法で行われなければなりません。
また、BMW AG は German Supply Chain Due Diligence Act (LkSG)のセクション 8 に従って苦情対応のプロセスを確立することが求められます。さらに、German Corporate Governance Codeの 4．1.3 に基づき、従業員及び第三者に対して、違反案件の報告を安全かつ適切に提出することができる機会を与えるためのレポーティングシステムを構築する必要があります。



公的な手続きの過程における監督官庁への報告など、他の受領者に対する非匿名報告において個人情報が開示された場合：あなたのデータは、法的義務がある場合に共有されます。
（GDPR 第 6 条 (1) LIT. C), F).

３．データの保管期間はどのくらいですか？
私たちは調査及びそれに続く評価の目的で必要な限りにおいてのみあなたの個人情報を保管します。
また、国ごとの法律、契約その他の規定においてデータの保管が義務付けられている場合にも保管します。
報告案件が処理された後は、個人データは国ごとの法律要件に従って削除されるか匿名化されます。
匿名化される場合には、情報提供者として個人の特定につながる事項は永久かつ不可逆的に削除されます。

４．データの保管はどのようにされますか？
データの保管には最先端技術が活用されます。例えば、誤った利用あるいは権限を持たない者によるデータの取り扱いから個人データを守るために、以下の安全措置が取られます：
 個人データへのアクセスは、明記された目的に限り、限られた人数の権限のある者に限定されます。
 収集したデータは暗号化された状態でのみ送信されます。
 センシティブデータについても、暗号化された状態でのみ保管されます。
 権限のない者からのアクセスやハッキングを防ぐため、データ処理に使用される IT システムは他のシステムから独立しています。
 誤った利用を初期段階で検知あるいは防止するために、それらの IT システムは常に監視されています。
2

５．誰とデータを共有しますか？
BMW グループは世界的な組織です。個人情報は、望ましくは欧州連合の域内において、従業員、国ごとの販売会社及びファイナンス会社、BMW グループのパートナー、そして業務委託先で保管、処理されます。特定のケースにおいては、報告事案に対応するために、あるいは社内調査の一環として、BMWAG の他の従業員やその他関連会社に情報を共有することが必要となる場合があります。例えば、BMWAG の子会社における事象に関連する報告に対応する場合などです。
もし調査に必要である場合は、データ主体を保護するために策定された適切なデータプライバシーに関する手当て（例えば、EU standard data protection clauses、GDPR 第 47 条に基づく Binding CorporateRules、あるいは、GDPR 第 49 条に定める特例）に基づき、欧州連合あるいは欧州経済地域外にある
BMW AG の子会社との間で情報を共有することがあります。
私たちは、情報開示に関連するデータ保護の要件を常に確実に遵守します。
もし付随する法定義務がある場合、あるいは BMW AG もしくは第三者が報告内容を調査する正当な権限を有する場合、データの受領者には、法執行機関、公正取引委員会、その他行政当局や裁判所、BMW AG あるいは他の系列会社が委託した国際弁護士や監査人が含まれることがあります。
特定の場合においては、BMW AG はデータ保護規定によって、報告の対象となった方に当該報告にかかる主張を知らせる義務を負います。これは、報告の対象となった方への情報開示が、当該報告内容に関する調査に悪影響を及ぼすことがないと客観的に確認できる場合における法令要件です。情報提供者が自身の名前やその他の個人情報を私たちに提供する場合（非匿名報告をすることによって）、法的に可能な限りにおいて情報提供者としての身元は開示されません。また、情報提供者としての身元が追跡できないことを確保するための手順が取られます。

６．データ主体の権利データ処理に影響を受ける当事者として、GDPR 及びその他の関連法令に基づき、あなたは一定の権利を主張することができます。GDPR ではデータ主体として以下の権利を BMW AG に主張することができます。


データ主体によるアクセス権（GDPR 第 15 条）



データ主体によるアクセス権（GDPR 第 15 条）



訂正の権利（GDPR 第 16 条）



削除の権利（GDPR 第 17 条）



処理を制限する権利（GDPR 第 18 条）



データの可搬性に関する権利（GDPR 第 20 条）

異議を申し立てる権利（GDPR 第 21 条）：
データ処理があなたの同意に基づく場合や私たちあるいは第三者の法的に正当な権利に基づく場合、あなたはご自身のご都合により、あなたのデータ処理について異議を申し立てる権利があります。この場合、私たちはあなたのデータを処理することを止めます。ただし、そのデータ処理について、あなたの意思よりも優先されるべき法的根拠があることを私たちが示すことができる場合、あるいは法的な請求を確立し、行使し、あるいは弁護するためにあなたのデータが必要である場合、これは適用されません。
データプライバシーの侵害があった場合には、あなたはデータ主体として、その国ごとの監督官庁に申し立てを行う権利があります。
3個人情報に関する同意を取り消す場合（非匿名報告の場合）、または個人情報に関するあなたの権利を行使する場合はこちらにコンタクトしてください。
notifications@ bmwgroup.com.
データ保護に関する詳細はこちらからご確認いただけます。
https://www.bmwgroup.com/en/general/data_privacy.html.

７．データ主体者の権利に関するお問合せ先
情報提供者としてのあなたの個人情報の利用に関するご質問については、こちらにお問合せください。
notifications@bmwgroup.com.
BMW AG のデータ保護責任者にもお問合せいただけます。：BMW AG, Petuelring 130, 80788 Munich,Germany,
datenschutz@bmw.de.
BMW AG はあなたの懸念や権利に真摯に取り組みます。しかしながら、もし私たちの対応が適切でないと感じられる場合には、あなたは、国ごとのデータ保護に関する監督官庁に申し出る権利があります。

Updated: December 2022

※ご注意ください
本規定は、BMW グループ従業員及びビジネスパートナーが人権に関連する違反を報告するに際しての案内です。一般のお問い合わせ及び苦情に関する個人情報保護方針は、ビー・エム・ダブリュー・ジャパン・ファイナンス株式会社のプライバシーポリシーをご参照ください。

--Privacy notice information for informants
The protection of your privacy rights during the processing of personal data is a top priority
for Bayerische Motoren Werke Aktiengesellschaft (“BMW AG”). We process personal datain compliance with the provisions of the EU General Data Protection Regulation (“GDPR”)
and in accordance with national statutory provisions.

The following provides information on how your personal data as an informant is processed.
You can find further information on processing of personal data at BMW Group at:https://www.bmwgroup.com/en/general/data_privacy.html

1. Who is responsible for data processing and how can the Data Protection Officer becontacted?

4Bayerische Motoren Werke Aktiengesellschaft, Petuelring 130, 80788 Munich, Germany,
domicile and court of registry: Munich HRB 42243, is responsible for accepting, reviewing, and investigating
reports of compliance concerns and jointly responsible with other
BMW Group affiliated companies for clarifying violations of rules within the meaning ofArticle 26 GDPR.
You can contact our Data Protection Officer at the above address or at:
datenschutz@bmw.de

2. Which data from you do we process and for what purpose?
BMW AG processes your data for the following purposes:
Reviewing and processing your report and conducting any necessary investigations into the person(s) accused;
where applicable, communicating with the authorities and courts in connection with your report; communicatingwith international attorneys and auditors or other investigators engaged by the company; communicating withother BMW Group companies and their affiliated companies.

No obligation to provide your personal data
You may report compliance concerns without sharing your personal data (anonymous report)
and are under no obligation to provide your personal data.

Types of data

When you submit a report, we collect the following personal data and information:
 your name and/or private contact and identification data, should you choose to disclose your identity (non-anonymous report),
 your work contact and (work) organization data, if disclosed by you (non-anonymousreport), and,
 where applicable, the names and other personal data of the persons named in yourreport.
Legal basis
Case-specific processing of your personal data is justified by the following legal basis:
Collection of your personal data in connection with a non-anonymous report: consent
to the processing of personal data for the purposes referred to above. If you voluntarily provide yourpersonal data by submitting a non-anonymous report, we will process
your information solely for the purpose of processing your report under Article 6 (1)LIT. C), F) of the GDPR.

Collection, processing, and disclosure of the personal data of the persons mentioned in your report: tosafeguard the legitimate interests of the person concerned or of a third party (Article 6 (1) LIT. C)
GDPR), to fulfil a legal obligation (Article 6 (1) LIT. C) GDPR). BMW AG has a legitimate interest toidentify, process, rectify, and sanction violationsof the law and severe breaches of duty by employees company-wide. This must be
done in an effective manner with a high level of confidentiality to avert damage and liability risks for
the BMW Group pursuant to sections 30 and 130 of the German Act
5on Regulatory Offenses (OWiG).
BMW AG is also required to establish a complaints procedure in accordance with section 8 of the German Supply Chain Due Diligence Act (LkSG). Point 4.1.3. of the German Corporate Governance Code also requires that a system for reporting compliance concerns beestablished to give employees and third parties the opportunity to submit
reports of infringements within the company safely and in an adequate manner.
Disclosure of your personal data from a non-anonymous report to other recipients,
such as to authorities during the course of official proceedings: Your data is shared
where there is a legal obligation to do so (Article 6 (1) LIT. C), F) GDPR).

3. How long do we store your data?

We store your personal data only as long as it is required for the purposes of the investigation and subsequentassessment, and, also, for as long as we are obliged to store it under country-specific legal, contractual, orstatutory retention periods.
Once the report has been processed, the data will be deleted or anonymized in accordancewith country-specific legal requirements. In the case of anonymization, the reference to your identity as an
informant is permanently and irreversibly removed.

4. How do we store your data?
We utilise state-of-the-art technology to store your data. The following safeguards are used, for example, toprotect your personal data from misuse or any other form of unauthorized processing:

Access to personal data is restricted to a limited number of authorized persons forthe stated purpose.

The data collected is only transmitted in encrypted form.



Sensitive data is also only stored in encrypted form.

The IT systems used for processing data are technically isolated from other systems,
to prevent unauthorized access and hacking.

Access to these IT systems is constantly monitored to detect and prevent misuse inthe early stages.

5. Whom do we share data with?
The BMW Group is a global organization. Personal data is stored and processed by employees, National Sales
and Financial Service Companies, the BMW Group partners and service providers engaged by us, preferablywithin the European Union. In certain cases, your personal data may also be transmitted to other recipients: In

substantiated individual cases, it may be necessary, for the purpose of processing a report or as part of aninternal investigation, to share information with other employees of BMW AG or other companies affiliated withBMW AG, e.g. if the report relates to incidents at BMW AG subsidiaries. If required by the investigation,

information may be shared with BMW AG subsidiaries in a country outside the European Union or the European
Economic Area, based on appropriate data privacy guarantees designed to protect data subjects (e.g. EU
standard data protection clauses, for employee data Binding Corporate Rules under Article 47 GDPR or6

exceptions under Article 49 GDPR). We always ensure compliance with the relevant data protection provisions
relating to the disclosure of information.

If there is a corresponding legal obligation or if BMW AG or a third party has a legitimate interest ininvestigating the report, further recipients may include law enforcement agencies, antitrust authorities, otheradministrative authorities and courts, as well as international attorneys and auditors engaged by BMW AG or
any other company affiliated with BMW AG.

In certain cases, BMW AG is obliged by data protection legislation to inform the accused of the allegations

made against them. This is a statutory requirement in cases where it can be objectively established that thedisclosure of information to the accused can no longer have an adverse effect on the investigation in question.

If you provided us with your name or other personal data (by making a non-anonymous report), your identity as

an informant will not be disclosed, as far as legally possible, and steps will also be taken to ensure your identity
as an informant cannot be traced.

6. Rights of the data subject
As the party affected by the processing of your data, you may claim certain rights under the GDPR and otherrelevant data protection regulations. Under the GDPR, you are entitled as
the data subject to claim the following rights vis-à-vis BMW AG:

Right of access by the data subject (Art. 15 GDPR)

Right to rectification (Art. 16 GDPR)

Right to erasure (Art. 17 GDPR)

Right to restriction of processing (Art. 18 GDPR)

Right to data portability (Art. 20 GDPR)

Right to object (Art. 21 GDPR):
You have the right to object to the processing of your data at any time for reasons that arise from yourparticular situation, provided data processing is on the basis of your consent, on our legitimate interests or
those of a third party. In this case, we will cease to process your data. This does not apply if we can show that
there are compelling legitimate grounds for processing that outweigh your interests, or if we need your data forthe establishment, exercise, or defense of legal claims.
In the event of data privacy violation, you have the right as a data subject to lodge a complaint with your local supervisory authority.
To revoke your consent (in the case of a non-anonymous report) or to exercise your rights regarding yourpersonal data, please contact
notifications@ bmwgroup.com.
You can find more detailed information on your data protection rights at:https://www.bmwgroup.com/en/general/data_privacy.html.

7. Contact for your data subject rights
7For questions relating to the use of your personal data as informant, please contact
notifications@bmwgroup.com.
You can also contact the BMW AG Data Protection Officer: Data Protection Officer, BMW AG, Petuelring 130,80788 Munich, Germany,
datenschutz@bmw.de.
BMW AG takes your concerns and rights very seriously. However, if you believe that we havenot responded in an appropriate manner to your complaints or concerns, you have the rightto lodge a complaint with your local data protection supervisory authority.
Updated: December 2022

Attention：
This rule is a guide for reporting violations related to human rights by BMW Group employees
and external business partners. For the privacy policy regarding general inquiries andcomplaints, please refer to the Privacy Policy of BMW Japan Finance.

8