Notice générale d’information sur la protection des données personnelles

Nous traitons toujours vos données personnelles pour des finalités spécifiques et nous n’effectuons que des traitements de données personnelles qui sont pertinents pour atteindre cette finalité. En particulier, nous traitons vos données personnelles pour les finalités suivantes :

• Gérer notre relation avec vous (par exemple, à travers nos bases de données) ;

• Mettre en œuvre des mesures pour préparer ou exécuter des contrats existants, y compris via nos plateformes électroniques et assurer la mise en œuvre de services de signature électronique ;

• Assurer la preuve des transactions et assurer les publications requises par nos obligations de transparence;

• Vous fournir une information adéquate et à jour sur des pathologies, des médicaments ainsi que sur nos produits et services ;

• Améliorer la qualité de nos interactions et de nos services en adaptant nos offres à vos besoins spécifiques en analysant les informations détenues afin d’en assurer la conformité ;

• Répondre à vos demandes et vous fournir une aide efficace ;

• Vous envoyer des enquêtes et sondages (par exemple, pour nous aider à améliorer nos futures interactions avec vous) ;

• Vous envoyer des communications et des interactions (par exemple à travers la constitution d’une base de données permettant de consigner les interactions avec les professionnels de santé ou assurer les plannings d’appels, ainsi que l’exécution, le reporting et le suivi des appels) ;

• Suivre vos activités (par exemple, mesurer/anticiper les interactions ou les ventes, le nombre de rendez-vous/d’appels) ;

• Vous inviter à des évènements ou des réunions promotionnelles que nous organisons ou soutenons (par exemple, des évènements scientifiques, speaker events, conférences) ;

• Vous donner accès à nos modules de formation vous permettant de nous fournir certains services ;

• Gérer nos ressources informatiques, y compris la gestion des infrastructures et la continuité des affaires ;

• Protéger les intérêts économiques de notre société, assurer la conformité de nos activités et notamment : assurer la conformité avec nos politiques internes, le respect de nos obligations fiscales ; assurer la traçabilité et le suivi des signalements de pharmacovigilance ; assurer le signalement des abus, la gestion des cas allégués d’abus ou agissements frauduleux, mener des activités d’audits et se défendre dans le cadre d’un litige) ;

• Gérer les opérations de fusions et acquisitions impliquant notre société ;

• Conservation des archives et des enregistrements ;

• Facturation et encaissement;

• Et toute autre finalité imposée par la loi et les autorités.

Vos données personnelles sont importantes, nous nous devons de vous donner la liste exhaustive des personnes / personnes morales susceptibles d’y avoir accès. En aucun cas, nous ne transférons des données si cela n’est pas justifié.

Par ailleurs, nous ne vendons, ne partageons, ne transférons à des tiers aucune autre donnée personnelle vous concernant que celles indiquées dans cette notice d’information.

Les tiers listés ci-dessous sont contractuellement tenus de protéger la confidentialité et la sécurité de vos données personnelles en conformité avec la loi applicable.

La liste des catégories de destinataires potentiels est la suivante :

• Notre personnel (y compris le personnel, les départements ou les autres sociétés du groupe Novartis) ;

• Nos agents indépendants ou courtiers (le cas échéant) ;

• Nos fournisseurs et prestataires de services ;

• Nos prestataires de systèmes d’information, nos prestataires de service Cloud, nos prestataires de bases de données et nos consultants ;

• Nos partenaires commerciaux avec lesquels nous-mêmes ou les sociétés du groupe Novartis offrent des produits ou des services;

• Tout tiers à qui nous avons assigné ou transféré nos droits ou obligations ;

• Et nos conseillers ou avocats dans le cadre d’une vente ou d’un transfert de tout ou partie de nos activités ou actifs.

Vos données personnelles peuvent aussi être accessibles par, ou transférées à tout organisme de régulation, autorité étatique, juridiction ou organisme public national et/ou international, lorsque nous y sommes contraints par la loi ou les règlements, ou à leur demande.

Les données personnelles vous concernant que nous collectons peuvent aussi être traitées, accessibles ou conservées dans un pays en dehors du pays où Novartis Pharma SAS / Sandoz est située, pays qui peut ne pas offrir le même niveau de protection des données personnelles.

Si nous transférons vos données personnelles à des sociétés situées dans d’autres juridictions, nous nous assurerons de protéger vos données personnelles i) en appliquant le niveau de protection requis par les réglementations de protection des données personnelles et de la vie privée applicables à Novartis Pharma SAS / Sandoz, ii) en agissant conformément à nos politiques internes et standards et, iii) en transférant seulement vos données personnelles sur le fondement des clauses contractuelles types approuvées par la Commission européenne, sauf indication en sens contraire. Vous pouvez demander plus d’informations au sujet des transferts internationaux de données personnelles et obtenir une copie des protections adéquates mises en place en exerçant vos droits comme décrit à la Section 6 ci-dessous.

Concernant les transferts de données personnelles aux autres sociétés du groupe, le groupe Novartis a adopté des Règles Internes d’Entreprise qui sont un système de principes, de règles et d’outils destinéà garantir des niveaux effectifs de protection des données personnelles en cas de transfert de données en dehors de l’Espace Economique Européen (c’est-à-dire, les Etats membres de l’Union européenne ainsi que l’Islande, le Liechtenstein et la Norvège, « EEE »), et de la Suisse. Pour en savoir plus sur les Règles Internes d’Entreprise de Novartis, cliquez sur le lien : https://www.novartis.fr/politique-de-confidentialite#regles.

Nous conservons vos données personnelles uniquement le temps nécessaire afin d’accomplir la finalité pour laquelle elles ont été collectées ou pour remplir des obligations légales ou règlementaires.

Les données personnelles vous concernant que nous détenons dans notre base de données et qui ne sont pas relatives à un contrat spécifique seront stockées pendant une durée de 24 mois suivant votre dernière interaction avec nous.

Dans le cadre d’un contrat, la durée de conservation correspond à la durée du contrat que vous-même (ou votre société) avez conclu avec nous, à moins que des obligations légales ou règlementaires n’imposent un délai de conservation plus long ou plus court. A l’issue du délai de conservation, vos données personnelles seront supprimées de nos systèmes actifs.

Les données personnelles collectées et traitées dans le contexte d’un litige sont supprimées ou archivées au moment où i) un accord amiable a été conclu, ii) une décision de justice en dernier ressort a été rendue, ou iii) la demande devient prescrite.

Vous disposez des droits sur vos données dans les conditions et selon les limites autorisées par la réglementation. Ces droits sont ceux de :

• Accéder à l’ensemble de vos données : vous pouvez obtenir des informations relatives au traitement de vos données ainsi qu’une copie de celles-ci ;

• Rectifier et mettre à jour vos données personnelles si vous pensez par exemple qu’une de vos informations est incorrecte, obsolète ou incomplète ;

• Effacer : vous pouvez demander la suppression de vos données personnelles ;

• Demander une limitation des traitements des informations ;

• Vous opposer au traitement de vos données personnelles (pour tout ou partie) ;

• Retirer votre consentement à tout moment pour le traitement de vos données soumis à votre consentement ;

• Donner des instructions sur le sort de vos données après votre décès ;

• Demander la portabilité c’est-à-dire que les données personnelles que vous nous avez fournies vous soient restituées ou transférées à une personne de votre choix, dans un format structuré, couramment utilisé et lisible par machine.

Si vous avez une question ou si vous souhaitez exercer vos droits décrits ci-dessus, vous pouvez envoyer un email à l’adresse [email protected](pour Novartis Pharma SAS) / [email protected](pour Sandoz). Une photocopie de votre pièce d’identité pourra vous être demandée afin de vous identifier, étant entendu que nous l’utilisons uniquement pour vérifier votre identité et que nous ne conservons pas cette photocopie après vérification de votre identité.Quand vous nous envoyez cette photocopie, veillez à occulter votre photographie et votre numéro national d’immatriculation ou son équivalent.

Si vous n’êtes pas satisfait de la façon dont nous traitons vos données personnelles, vous pouvez adresser une réclamation à notre délégué à la protection des données [email protected], qui étudiera vos demandes.

Dans tous les cas, vous avez aussi le droit de déposer plainte auprès des autorités de protection des données compétentes (pour la CNIL : www.cnil.fr).

Vous serez informé de tous futurs changements ou ajouts concernant le traitement de vos données personnelles décrit dans cette notice d’information à travers nos canaux de communication habituels (par exemple, par email ou par le biais de nos sites internet).

---

General Privacy Notice

The responsible use of personal data is a core value at Novartis.

Novartis Group entities (Novartis Pharma SAS / Sandoz) may process your personal data. We will protect your information. We will not process your personal data if we do not have a proper justification for that purpose. You may have legitimate questions: what personal data do we process? When, how and why do we use personal data? You will find below all information about this data processing and about your rights. We remain at your disposal for further questions by email: [email protected] (for Novartis Pharma SAS) / [email protected](for Sandoz).

Our purpose is to reimagine medicine to improve and extent people’s lives. Your trust is important to us, and therefore we are committed to protect your personal data. 

February 2021

This Privacy Notice is addressed to:

• The healthcare professionals with whom we create or maintain a relationship;

• Our customers or prospects who are natural persons;

• The representatives or contact persons of our customers or prospects who are legal entities.

You are receiving this Privacy Notice because Novartis Pharma SAS / Sandoz is processing information about you which constitutes “personal data” and we consider the protection of your personal data and privacy a very important matter.

Novartis Pharma SAS / Sandoz is responsible for the processing of your personal data as it decides why and how it is processed, thereby acting as the “controller”. It may exercise this responsibility alone or jointly with other companies in the Novartis Group (acting as a ‘co-controller’). In this Privacy Notice, “we” or “us” refers to Novartis Pharma SAS / Sandoz.

 

We invite you to carefully read this Privacy Notice, which sets out in which context we are processing your personal data and explains your rights and our obligations when doing so.

Should you have any further question in relation to the processing of your personal data, we invite you to contact [email protected] (for Novartis Pharma SAS) / [email protected](for Sandoz).

1. What information do we have about you?

We collect various types of personal data about you, including:

• Your general and identification information (e.g. name, first name, last name, gender, email and/or postal address, fixed and/or mobile phone number);

• Your function (e.g. position and title, name of company, as well as, for healthcare professionals, first specialty, second specialty, year of graduation from medical school, publications, congress activities, awards, biography, education, links to universities, expertise and participation in/contribution to clinical trials, guidelines, editorial boards and organizations);

• Payment information (e.g. amount of payments, credit card andbank account details, VAT or other tax identification number);

• Novartis unique business partner ID and profile;

• Your electronic identification data where required for the purpose of delivering products or services to our company (e.g. login, access right, passwords, badge number, IP address, online identifiers/cookies, logs, access and connexion times, image recording or sound such as badge pictures, CCTV or voice recordings);

• Information regarding your utilisation, your profile, types of messages discussed, your responses and/or preferences ,including in terms of channels of communication and frequency, and transcription of content or matters discussed;

• Data you provide to us for example when you fill in forms or during events you attend, or when you answer questions during a conversation or in a survey;

• Data which relate to our products and services; and

• Information about the promotional, scientific and medical activities/interactions you have with us, including potential future interactions.

This information may either be directly provided by you, by our business partners (i.e. the legal entity for whom you work), by third parties (e.g. IQVIA, health authorities or medical agencies) or be obtained through trusted publicly available sources (such as PubMed, Clinical Trials.gov, congress websites or university websites).

If you intend to provide us with personal data about other individuals (e.g. your colleagues), you must provide a copy of this Privacy Notice to the relevant individuals, directly or through their employer.

2. For which purposes do we use your personal data and why is this justified?

2.1 Purposes of the processing

We always process your personal data for a specific purpose and only process the personal data which is relevant to achieve that purpose. In particular, we process your personal data for the following purposes:

• Manage our relationship with you (e.g. through our databases);

• Implement tasks in preparation of or to perform existing contracts, including through our electronic platforms and ensure the management of electronic signature services;

• Evidence transactions and ensure our legal obligation of transparency publication;

• Provide you with adequate and updated information about disease, drugs as well as our products and services;

• Improve the quality of our services by adapting our offering to your specific needs, by analysing information held to ensure its compliance;

• Answer your requests and provide you with efficient support;

• Send you surveys and polls (e.g. to help us improve your future interactions with us);

• Send you communications and interactions with you (e.g. through the operation of a database keeping records of interactions with healthcare professionals or managing call planning as well as call execution, reporting and follow-up);

• Track our activities (e.g. measuring interactions or sales, number of appointments/calls);

• Invite you to events or promotional meetings organised or sponsored by us (e.g. medical events, speaker events, conferences);

• Grant you access to our training modules allowing you to provide us with certain services;

• Manage our IT resources, including infrastructure management and business continuity;

• Preserve the company’s economic interests and ensure compliance and reporting (such as complying with our policies and local legal requirements, tax and deductions, managing alleged cases of misconduct or fraud; conducting audits and defending litigation);

• Manage mergers and acquisitions involving our company;

• Archiving and record keeping;

• Billing and invoicing; and

• Any other purposes imposed by law and authorities.

2.2 Legal basis for the processing

We will not process your personal data if we do not have a proper justification foreseen in the law for that purpose. Therefore, we will only process your personal data if:

• We have obtained your prior consent;

• The processing is necessary to perform our contractual obligations towards you or to take pre-contractual steps at your request;

• The processing is necessary to comply with our legal or regulatory obligations; or

• The processing is necessary for our legitimate interests and does not unduly affect your interests or fundamental rights and freedoms.

Please note that, when processing your personal data on this last basis, we always seek to maintain a balance between our legitimate interests and your privacy.

Examples of such ‘legitimate interests’ are data processing activities performed:

• To benefit from cost-effective services (e.g. we may opt to use certain platforms offered by suppliers to process data);

• To offer our products and services;

• To develop a close and trustful professional relationship with health care professionals;

• To promote Novartis innovation in the pharmaceutical field;

• To manage Novartis human and financial resources and optimise interactions with health care professionals;

• To ensure that the right medicine according to a well-informed health care professional technical and professional opinion reaches the patient;

• To prevent fraud or criminal activity, misuses of our products or services as well as the security of our IT systems, architecture and networks;

• To sell any part of our business or its assets or to enable the acquisition of all or part of our business or assets by a third party; and

• To meet our corporate and social responsibility objectives.

For more information on our specific interests, please contact us as indicated under Section 6 below.

Who has access to your personal data and to whom are they transferred?

Your personal data is important, so we will give you the list of natural persons and legal entities which may have access to your personal data. We will not share your data if it is not justified and on a need to know basis to achieve the purposes listed in this Privacy Notice.

We will not sell, share, or otherwise transfer your personal data to third parties other than those indicated in this Privacy Notice.

The below third parties are contractually obliged to protect the confidentiality and security of your personal data, in compliance with applicable law.

The list of potential categories of recipients is the following:

• Our personnel (including personnel, departments or other companies of the Novartis group);

• Our independent agents or brokers (if any);

• Our suppliers and services providers;

• Our IT systems providers, cloud service providers, database providers and consultants;

• Our business partners who offer products or services jointly with us or with our subsidiaries or affiliates;

• Any third party to whom we assign or novate any of our rights or obligations; and

• Our advisors and external lawyers in the context of the sale or transfer of any part of our business or its assets.

Your personal data can also be accessed by or transferred to any national and/or international regulatory, enforcement, public body or court, where we are required to do so by applicable law or regulation or at their request.

The personal data we collect from you may also be processed, accessed or stored in a country outside the country where Novartis Pharma SAS / Sandoz is located, which may not offer the same level of protection of personal data.

International transfers

If we transfer your personal data to external companies in other jurisdictions, we will make sure to protect your personal data by (i) applying the level of protection required under the local data protection/privacy laws applicable to Novartis Pharma SAS / Sandoz, (ii) acting in accordance with our policies and standards and, (iii) unless otherwise specified, only transferring your personal data on the basis of standard contractual clauses approved by the European Commission. You may request additional information in relation to international transfers of personal data and obtain a copy of the adequate safeguard put in place by exercising your rights as set out in Section 6below.

For intra-group transfers of personal data, the Novartis Group has adopted Binding Corporate Rules, a system of principles, rules and tools in an effort to ensure effective levels of data protection relating to transfers of personal data outside the European Economic Area (i.e. European Union Member States, plus Iceland, Liechtenstein and Norway, “EEA”), and Switzerland. Read more about the Novartis Binding Corporate Rules by clicking here https://www.novartis.com/privacy-policy/novartis-binding-corporate-rules-bcr.

4. How do we protect your personal data?

The security of personal data is one of our major concerns. We implement measures and techniques in order to protect your personal data. The purpose is to prevent potential loss, destruction, misappropriation or alteration of your personal data. We have implemented appropriate technical and organisational measures to provide alevel of security and confidentiality to your personal data.

These measures take into account:

1. The state of the art of the technology;

2. The costs of its implementation;

3. The nature of the data; and

4. The risk of the processing.

The purpose thereof is to protect it against accidental or unlawful destruction or alteration, accidental loss, unauthorized disclosure or access and against other unlawful forms of processing.

Moreover, when handling your personal data, we:

• Only collect and processpersonal data which is adequate, relevant and not excessive, as required to meet the above purposes; and

• Ensure that your personal data remains up to date and accurate.

For the latter, we may request you to confirm the personal data we hold about you. You are also invited to spontaneously inform us whenever there is a change in your personal circumstances so we can ensure your personal data is kept up-to-date.

5. How long do we store your personal data?

We will only retain your personal data for as long as necessary to fulfil the purpose for which it was collected or to comply with legal or regulatory requirements.

Personal data we hold in our database about you which is not related to a specific contract will be stored for 24 months after your last interaction with us.

For contracts, the retention period is the term of your (or your company’s) contract with us, plus the period of time until the legal claims under this contract become time-barred, unless overriding legal or regulatory schedules require a longer or shorter retention period. When this period expires, your personal data is removed from our active systems.

Personal data collected and processed in the context of a dispute are deleted or archived (i) as soon as an amicable settlement has been reached, (ii) once a decision in last resort has been rendered or (iii) when the claim becomes time barred.

6. What are your rights and how can you exercise them?

You may exercise the following rights under the conditions and within the limits set forth in the law:

• The right to access your personal data: you have the possibility to obtain information about the data processing and a copy of your personal data;

• The right to request the correction or updating your personal data if you believe that any information relating to you is incorrect, obsolete or incomplete;

• The right to request the erasure of your personal data;

• The right to request the restriction thereof to specific categories of processing;

• The right to object, in whole or in part, to the processing of your personal data;

• The right to withdraw your consent at anytime to the processing of your personal data for which your consent is requested;

• The right to provide guidance about the processing of your personal data after death;

• The right to request its portability, i.e. that the personal data you have provided to us be returned to you or transferred to the person of your choice, in a structured, commonly used and machine-readable format.

If you have a question or want to exercise the above rights, you may send an email to [email protected] (for Novartis Pharma SAS) / [email protected](for Sandoz). A scan of your identity card for identification purpose may be required, it being understood that we shall only use such data to verify your identity and shall not retain the scan after completion of the verification. When sending us such a scan, please make sure to redact your picture and national registry number or equivalent on the scan.

If you are not satisfied with how we process your personal data, please address your request to our data protection officer [email protected], who will investigate your concern.

In any case, you also have the right to file a complaint with the competent data protection authorities, in addition to your rights above (for the CNIL: www.cnil.fr).

7. How will you be informed of the changes to our Privacy Notice?

Any future changes or additions to the processing of your personal data as described in this Privacy Notice will be notified to you through our usual communication channels (e.g. by email or via our internet websites).