隐私政策
2021 年 12 月 13 日

编辑页眉，添加标题 ARIAL 10 全部大写目录A.目的 _____________________________________________________________________ 3
B.范围 _____________________________________________________________________ 3
C.定义 _____________________________________________________________________ 3
D.数据保护原则 _____________________________________________________________ 3
E.法律依据 _________________________________________________________________ 4
F.麦格纳控制者和处理者的责任 _______________________________________________ 4
G.个人数据保留 _____________________________________________________________ 4
H.转移和披露 _______________________________________________________________ 4I.隐私设计 _________________________________________________________________ 4
J.数据主体权利 _____________________________________________________________ 5K.个人数据泄露 _____________________________________________________________ 5L.培训 _____________________________________________________________________ 5
附表 “A” – 范围国家 _____________________________________________________ 6

Magna International Inc.I 隐私政策2编辑页眉，添加标题 ARIAL 10 全部大写

A.目的麦格纳坚定致力于根据适用法律保护所有利益相关者的隐私。对于该承诺，以下政策阐明了麦格纳遵守指定国家适用数据隐私法的框架。

B.范围
本政策适用于：i.

居住在指定国家（“范围国家”，定义如下）的 Magna International Inc. 的所有实体、员工及其运营集团、工厂、合资企业和其他全球运营机构（以下统称“麦格纳”）；

ii.

居住在范围国家将个人数据已提供给麦格纳的任何数据主体（定义如下）；iii.

控制或处理居住在范围国家的数据主体的个人数据的麦格纳任何实体或员工（不论所在何地）；

iv.

拥有本政策明确所述职位的麦格纳任何其他员工。

C.定义
“控制”个人数据或由“控制者”执行，指确定处理个人数据的目的和方法；“范围国家”指本政策附表 A 所列的国家（可能不时更新），包括欧盟成员国以及其法规与欧盟《一般数据保护条例》类似的其他国家；“个人数据”指居住在范围国家的单个识别的或可识别的自然人（“数据主体”）的任何信息。若参考以
下信息可以直接或间接识别某个人，则该人是可识别的：i.

数据主体的身份标识，如姓名、身份证号、位置信息等；或ii.

该数据主体特有的物理身份、社会身份或财务身份的标识信息。

“个人数据泄露”指违反安全规定，导致意外或非法破坏、丢失、更改、未经授权的披露或访问个人数据；“处理者”指依照命令或代表控制者处理个人数据的个人或实体。
“处理”指对个人数据进行的任何操作，包括收集、记录、组织、构造、存储、更改、使用、传输披露、删除或销毁。
“个人敏感信息”，在中国，指若泄露或非法使用，易侵犯数据主体的个人尊严或对其造成重大安全损害
的任何个人数据，包括个人财务数据（如银行账号等）和身份信息（如护照或驾驶证号等），而在其他范
围国家，“个人敏感信息”仅指显示种族或民族出身、政治观点、文化/宗教/哲学信仰、工会成员身份的数据、涉及健康或性生活和性取向的数据、基因数据或生物识别数据。

D.数据保护原则麦格纳将遵循范围国家适用的数据隐私法中有关处理个人数据的原则。原则如下：•应仅以合法、透明且合理的方式处理麦格纳直接或间接收集的数据主体的个人数据；•麦格纳应仅出于指定、明确且合法的目的收集个人数据；•麦格纳收集的个人数据量应适当、相关且控制在上述目的必需的尺度；•

麦格纳应采取合理措施，确保收集的个人数据的准确性和最新性，并删除不准确的数据；•麦格纳应仅在为执行收集数据的特定目的必要期间保留个人数据；以及•麦格纳应根据技术和组织措施处理个人数据，特别是敏感数据，以确保适当的安全性，防止数据泄露。

Magna International Inc.I 隐私政策3

编辑页眉，添加标题 ARIAL 10 全部大写

E.法律依据麦格纳应在范围国家适用的数据隐私法允许的情况下处理个人数据。法律依据为：•保护数据主体或他人的切身利益；•遵守麦格纳在适用法律、法规或合同项下的法律义务；•履行合同或应数据主体的请求与其签订合同；•追求麦格纳的合法权益，除非数据主体的基本权利和自由超越了这些权益；以及•在法律要求的情况下，获得数据主体的同意。

F.麦格纳控制者和处理者的责任
麦格纳控制者和处理者应实施措施确保并能够证明，其依照范围国家适用的数据隐私法进行处理。同时，麦格纳控制者和处理者应确保数据主体的权利。
麦格纳应仅使用作出充分保证的处理者，保证其将实施符合范围国家适用的数据隐私法的要求的适当技术和组织措施。麦格纳使用的任何处理者应仅按照麦格纳控制者的文件指示处理个人数据，且应受要求其遵
守范围国家适用的数据隐私法要求的书面合同约束。
麦格纳的任何控制者和处理者均应保存其负责的处理活动的记录，其中至少应包括以下信息：控制者或处理者的姓名和联系方式、处理目的、个人数据类别及数据主体类别的描述、已向其披露个人数据的接收人
类别、个人数据转移到第三国的相关信息、概述所采用的技术和组织安全措施以及个人数据的适用保留期。
收集数据主体的个人数据后，麦格纳控制者应立即向其提供特定信息，包括个人数据的用途、处理范围以及保留期。出现收集个人数据的新目的或最初目的发生变化时，应通知数据主体，并在范围国家适用的数
据隐私法要求的情况下征求其同意。若数据主体行使权利（如下所述），麦格纳控制者和处理者应以简洁、明了、易懂和可轻松获得的形式并用清晰简明的语言回应。同时，麦格纳的任何控制者和处理者均应按照
麦格纳信息安全、风险与合规部管理的信息安全政策中概述的要求，实施恰当的措施保护其正在处理的个人数据。

G.个人数据保留
麦格纳信息治理团队已根据法律和业务要求确定了保留期，载于 Magna’s Global Record Retention
Schedule（麦格纳的全球记录保留时间表，“MGRRS”）。MGRRS 规定了麦格纳必须保留公司信息的期限，并在诉讼和监管行动中提供辩护。麦格纳的任何控制者和处理者均应决定保留期届满后是否删除、销毁或匿名化个人数据。

H.转移和披露在必需的范围内且有法律依据的情况下，麦格纳的控制者和处理者可以向第三方披露特定有限的个人数据，如关联公司、服务提供商、业务合作伙伴、政府机构等。
麦格纳的控制者和处理者仅能在以下情况下将个人数据转移到另一个国家：•范围国家已确定目的地国具备足够的数据保护水平；•转移受数据保护主管当局批准的合同条款的约束；或•范围国家适用的数据隐私法许可的范围。

I.隐私设计Magna International Inc.I 隐私政策4编辑页眉，添加标题 ARIAL 10 全部大写在收集和处理个人信息之前，特别是在处理高风险信息（如大规模处理个人敏感信息）时，麦格纳应进行隐私风险评估。根据评估结果，麦格纳应设计和实施适当的保护措施，以最大限度地减少已确定的风险，包括处理最低限度信息所需的默认系统。

J.数据主体权利根据范围国家适用的数据隐私法，每个数据主体均享有若干权利，其中包括以下权利：•从麦格纳控制者处确认其个人数据是否正在处理，并获得该数据的副本。如有，数据主体可以要求
访问其数据，包括其他信息，如处理目的、接收人及数据保留期限（查阅复制权）；•以结构化、常用和机器可读的格式接收自己的个人数据，并将该数据传输给另一个控制者（数据可携带权）；•在未来任何时候撤销所给予的同意（撤销同意权）；•

向其居住国的数据保护当局投诉（投诉权）；以及•

反对处理自己的个人数据（拒绝权）。

此外，数据主体可以要求：•

麦格纳纠正与其相关的不准确个人数据（更正补充权），并限制处理不准确数据和非法数据（限制处理权）；以及•在特定情况下，要求麦格纳删除其个人数据（删除权）或将其匿名化。

麦格纳不会歧视任何行使自己权利的人。然而，行使权利可能会产生某些后果，数据主体应事先考虑到这些后果（例如，如果数据主体撤销了其提交给麦格纳人才库的申请数据的处理许可，则麦格纳可能不再通知该数据主体合适职位）。
麦格纳还应将数据主体的更正、限制或删除请求通知所有控制者和处理者（该等个人数据已向其披露）。

K.个人数据泄露
麦格纳高度重视个人数据泄露问题，并会迅速做出响应。
如果个人数据泄露可能会危及数据主体的权利和自由，麦格纳处理者应在得知此事后立即通知麦格纳控制
者。同样，如有必要，麦格纳控制者应在发现泄露后，在范围国家适用的数据隐私法规定的期限内，通知相关数据保护当局。控制者还应以清晰简明的语言向任何受影响的数据主体通知泄露情况。麦格纳控制者
应与数据保护当局密切合作，以逆转泄露的影响，并降低未来泄露的风险。

L.培训
麦格纳应确保能够接触到大量个人数据或个人敏感信息的员工得到培训，并能够证明他们能够理解和遵守数据隐私规定。
麦格纳应确保所有员工理解其根据本政策、任何相关程序和适用法律保护个人数据的责任。

Magna International Inc.I 隐私政策5编辑页眉，添加标题 ARIAL 10 全部大写

附表 “A” – 范围国家所有欧盟成员国
巴西中国日本
北马其顿塞尔维亚
韩国
瑞士
泰国
土耳其
英国

Originally Enacted: May 25, 2018
Current Version: December 13, 2021
Next Review: December 13, 2024
Issued By: Data Privacy
Approved By: Chief Compliance Officer on behalf of the Magna Compliance Council

Magna International Inc.I 隐私政策6

2021 年 12 月 13 日版本 4.0