YourVoice 隐私声明

1. 简介
   1. 英美资源集团 (Anglo American plc) 和我们的关联公司（下称“公司”、“我们”、和“我们的”）设立了名为“YourVoice”的举报系统和报告热线。YourVoice 是一项保密服务，可通过该服务报告和调查有关可能不道德、非法或不安全行为和做法的顾虑。该服务由外部服务提供商 (Convercent)（下称“服务提供商”）代表我们独立进行管理。
   2. YourVoice 面向公司及其关联公司的所有员工（包括承包商）、客户、供应商和其他利益相关者开放。
   3. 如果个人通过 YourVoice 提出报告，我们将处理该个人以及报告中可能提及的其他任何人的个人数据。
   4. 如果您是英美资源集团公司的员工，或提交了涉及英美资源集团公司员工的报告，则对 YourVoice 涉及的您的任何个人数据进行处理的数据控制方将为英美资源服务（英国）有限公司（Anglo American Services (UK) Ltd，注册办公地址为 17 Charterhouse Street, London EC1N 6RA）和相关英美资源集团雇用实体（其名称和联系方式可在您的雇用合同中找到）。如果您未受雇于英美资源集团并选择使用 YourVoice 进行报告，或如果您是通过 YourVoice 完成的报告的被报告对象，则该报告中包含的关于您的任何个人数据的数据控制方都将为英美资源服务（英国）有限公司（注册办公地址为 17 Charterhouse Street, London, EC1N 6RA），以及报告事故发生地的最合适集团实体。
   5. 本隐私声明是对《外部隐私声明》（在线提供）和《员工隐私声明》（通过内联网向英美资源集团员工提供）（两者合称为《隐私声明》）的补充。除下列信息外，《隐私声明》的内容也适用于 YourVoice。
   6. 以下隐私声明介绍如何以及为什么对 YourVoice 涉及的个人数据进行处理。其目标在于根据隐私法履行为个人提供其个人数据处理方式相关信息的义务。
   7. 如果您对本隐私声明有任何疑问、有任何与您的个人数据相关的顾虑、想要行使适用法律赋予的权利或想要以其他格式获取本隐私声明中包含的信息，请联系我们的数据保护团队：[email protected]。
2. 我们处理哪些数据？
   1. 如果您使用 YourVoice 系统进行报告，您可选择匿名提交报告。如果您这样做，我们不会对报告涉及的关于您的个人数据进行处理。
   2. 如果您选择向服务提供商披露您的身份，服务提供商将收集您提供的所有个人数据，包括名字、姓氏、电子邮箱、联系电话；如果您是英美资源集团的员工，则还包括您的员工编号和所在地点。您的报告内容也将与您的个人数据一起进行处理，其中可能会包括您目击/想要报告的相关事故或事件的详细信息，以及您想要就事故表达的任何个人意见或想法的详细信息。如果您选择向我们披露您的身份，我们也将处理此个人数据。
   3. 如果出现对您的行为或对您参与特定事件或活动进行指控的报告，我们和服务提供商将（在适用法律允许的情况下）收集您的名字、姓氏、别名或昵称，以及（在适用情况下）性别、员工编号、职务、所在公司和联系信息。我们和服务提供商还将收集关于报告涉及的指控的信息，包括指控的性质。其中可能会包括有关指控的或证实的刑事犯罪信息，服务提供商将在适用法律允许的情况下代表我们进行处理。我们还将在后续核实和调查指控行为期间收集进一步的信息。
   4. 无论报告有何依据，通过 YourVoice 系统提供的所有个人数据都将由公司保密管理。公司意识到个人在提出顾虑时可能不希望身份被识别。在此类情况下，公司将尽一切可能保护个人的身份，且不会在未经同意的情况下披露身份信息。如果无法在不透露个人身份的情况下评价、评估和调查报告的顾虑，则处理相关事宜的调查团队将与该个人就是否以及如何继续处理进行讨论。在某些情况下，因为调查本身可能会透露信息来源、可能需要提出顾虑之人的个人陈述作为针对施暴者的证据，或后期的法律程序可能需要该个人出庭作证，所以可能无法确保绝对保密。
3. 公司如何收集数据？
   1. 所处理的 YourVoice 系统涉及的所有个人数据都收集自报告方。此外，在调查报告内容期间可能会生成和处理其他个人数据。具体包括：
      1. 涉及接收或处理举报报告的人员的身份、职责和联系信息；
      2. 报告的事实；
      3. 核实举报的事实时收集的信息；
      4. 有关核实程序的报告；以及（如适用）
      5. 跟进信息。
   2. 请参阅《集团举报政策》，详细了解您或任何第三方可如何进行报告。
4. 处理这些数据有何目的以及执行处理有何法律依据？
   1. 当我们处理 YourVoice 涉及的关于您的个人数据时，首要目的在于促进提出有关严重不当行为以及违背我们价值观和行为准则的行为的顾虑、调查这些顾虑，以及（在发现顾虑属实的情况下）采取适当措施进行处理，并防止未来出现类似顾虑。
   2. 这涉及通过处理个人数据来：
      1. 接收、讨论以及（在适用的情况下）审查报告；
      2. 请求提供其他信息用于证实报告；
      3. 整理通过报告接收的信息并向指定调查团队提供此类信息（请参阅第 6 部分，获取有关披露个人数据的更多信息）；
      4. 调查指控的行为；以及
      5. 向服务提供商和进行报告的个人（在相关的情况下）提供反馈，并向英美资源集团公司提供建议。
   3. 如《隐私声明》所述，特定数据保护法要求提供处理个人数据的有效法律依据。我们在以下必要情况下处理相关信息：
      1. 履行我们的法律或法规义务（例如，在欧洲经济区 [EEA]，与打击贿赂相关的法律以及其他要求我们运营举报热线的法律），在 EEA 中，依据为 GDPR 第 6(1)(c) 条 — 法律义务；
      2. 取得我们的合法权益（请参阅下文中有关这些权益的说明），前提是处理不会不当影响您的权益或基本权利和自由，在 EEA 中，依据为 GDPR 第 6(1)(f) 条 — 合法权益；或
      3. 保护相关个人或另一自然人的切身利益（例如，为了保护生命或人身安全），在 EEA 中，依据为 GDPR 第 6(1)(d) 条 — 切身利益；或者
      4. 促进提出有关违背我们价值观和行为准则的行为的顾虑、调查这些顾虑、采取适当措施进行处理，以及防止未来出现类似顾虑。根据适用数据保护法，这些目的包括第 4.4 段中详细介绍的合法权益。
      5. 如果适用数据保护法要求，我们将在收集、使用和披露您的个人数据前，获取您对收集、使用和披露您的个人数据的知情同意。
   4. 上述合法权益包括我们在以下方面的权益：
      1. 防止出现违背我们的价值观和行为准则的行为、以符合道德和负责任的方式开展业务、遵守法律以及保护员工的健康和安全；
      2. 为了公正和高效起见，使用合适的团队代表所有英美资源集团实体调查报告内容；以及
      3. 行使我们根据《欧盟基本权利宪章》第 16 和 17 条（在适用情况下）获得的权利，或类似适用法律赋予的权利，包括开展业务的自由以及财产相关的权利。
   5. 仅在适用法律许可的情况下才会处理特殊类别的个人数据（或敏感信息）。例如：
      1. 如果通过 YourVoice 进行的指控与工作场所歧视相关，我们将以履行就业、社会保险和社会保障法（根据 GDPR 第 9(2)(b) 条 — 就业、社会保险和社会保障法）和适用法律领域的义务及行使这些领域的特定权利为依据处理相关的特殊类别个人数据；
      2. 如果通过 YourVoice 进行的指控与其他歧视指控相关，我们将以重大公共利益（根据 GDPR 第 9(2)(g) 条 — 重大公共利益）和适用法律为依据处理相关的特殊类别个人数据。例如，在英国，我们将根据《2018 年数据保护法》附件 1 第 8 款处理与平等机会或待遇相关的特殊类别个人数据；
      3. 如果通过 YourVoice 进行的指控与损害公司利益的违反适用法律行为相关，我们将通过处理相关的特殊类别个人数据来主张、行使或捍卫合法诉求（根据 GDPR 第 9(2)(f) 条 — 主张、行使或捍卫合法诉求）；以及
      4. 在南非，如果通过 YourVoice 进行的指控与工作场所不公平歧视或骚扰相关，根据《2014 年个人数据保护法 4》第 27(1)(b) 节规定的法定权利和义务，必须通过该等数据处理方可主张、行使或捍卫。
   6. 与刑事定罪和犯罪相关的个人数据仅可在适用法律许可的情况下进行处理。 例如：
      1. 如果通过 YourVoice 系统进行的指控可能构成刑事犯罪，我们将以重大公共利益（根据 GDPR 第 9(2)(g) 条 — 重大公共利益）和适用法律为依据处理该个人数据。例如，在英国，我们将根据《2018 年数据保护法》附件 1 第 10 款处理该个人数据，以防止或侦查违法行为。此外， 在德国，根据《德国联邦数据保护法》第 26 条第 1 款第 2 句，被指控员工的个人数据仅会在侦查刑事犯罪所必需的情况下进行处理，但前提是有被记录的正当理由相信该员工在受雇期间实施了刑事犯罪、必须处理相应数据才能调查刑事犯罪，且该等调查的重要性应高于被调查员工在公司享有的合法权益，特别是调查的类型和范围应与引发调查的正当理由相符。。
5. 保留个人数据
   1. 在满足数据收集目的所需的期限内保留个人数据。
   2. 服务提供商将在调查相关事宜以及（在相关的情况下）完成与任何调查结果相关的措施所需的期限内保留报告，且在这两种情况下，都将遵守适用法律并符合法律、法规或内部政策要求。
   3. 一般情况下，报告保留在安全且访问受限的数据库中，以便公司保留回应与相关措施有关的未来合法主张的能力。公司努力确保个人数据尽可能保持最新，并在合理可行的情况下尽快删除无关数据或多余数据，或进行匿名处理。
   4. 请注意，根据隐私声明，某些数据可能需要保存更长时间。特别是，我们可能会根据适用法律的要求或履行法律和法规义务的需要，以及出于其他合法业务理由（例如，适用法定时效期限）对一些特定类型的数据进行不同期限的保存。
6. 披露个人数据
   1. 您的个人数据可能被透露给以下需要了解这些数据的人员或允许其访问该 信息：
      1. 处理各个案例的特定调查团队（例如 ABAS、司法鉴定调查部门和信息安全团队）、人力资源部的相关成员（当调查与人力资源相关时）以及安全部的相关人员（当调查与安全相关时）；
      2. 监督举报和调查流程的个人及管理机构，例如相关风险和保障部主管、YourVoice 监督委员会成员、道德委员会、业务部门 CEO 和集团职能部门主管；
      3. 接收提交的报告信息并从英美资源集团公司接收有关报告反馈的服务提供商；
      4. 从服务提供商处接收信息的指定 ABAS 联系人；
      5. 内部和外部专业人员，其中可能会包括集团法务部和为处理各个案例的调查团队提供帮助的司法鉴定公司；
      6. 需要访问报告信息的英美资源集团公司，例如，如果 ABAS 调查结果建议针对员工采取行动，则会向英美资源集团内的相关雇用公司提供调查报告，包括直线经理和人力资源团队的相关成员；
      7. 向英美资源集团以及服务提供商提供服务的第三方，例如 IT 系统提供商或托管服务提供商；以及
      8. 法律要求我们进行披露的法院、公共机构、执法人员和诉讼当事人，例如在发现报告不实、未经证实且为恶意，并且被举报人要求披露该举报信息以进行诽谤或中伤诉讼的情况。
   2. 公司期望所有第三方根据适用法律处理向其披露的任何数据，包括遵守数据保密性和安全性的要求。其中，我们与服务提供商之间的合同要求其保护个人数据，包括在必要情况下对举报人的身份保密。此外，上述其他服务提供商已与我们签订包含个人数据保护条款的合同。
   3. 如果这些第三方充当“数据处理方”，则其代表我们并按照我们针对上述目的的指令执行其任务。在这种情况下，我们仅在提供所需服务的必要范围内向这些数据处理方披露您的个人数据。
   4. 如果您在特定地点通过 YourVoice 进行报告，公司可能会需要与报告相关的人员分享您的身份，以根据 GDPR 第 14(2)(f) 条履行其数据保护义务。但是，在透露您的身份前，我们将始终小心评估这些义务是否要求我们这样做。其中需要特别指出的是，如果有可能使得无法实现调查目标或严重损害调查目标的实现，或由于要求提供适当措施用于保护被举报人合法权益的适用法律规定的其他例外情况，我们没有义务告知您或任何其他人有关信息的来源。例如，适用法律可能会出于举报人优先的合法权益规定对举报人的身份相关信息进行
      保密。
   5. 此外，我们可能会与国家当局共享个人数据，以履行必要的法律义务。例如，即将进行的诉讼、未决法律程序或法定审计属于这类情况。
7. 个人数据国际转移
   1. 尽管数据将在 EEA 托管，但服务提供商及其呼叫中心位于美国。因此，在举报报告通过电话进行以及服务提供商的美国团队通过系统维护访问数据的情况下，位于 EEA 的英美资源集团公司可能会将个人数据从 EEA 转移到美国。司法管辖区位于 EEA 之外的英美资源集团公司也可能会根据适用数据保护法将个人数据从自己所在的司法管辖区转移到美国，并且如果适用法律要求提供同意，则您对此表示同意。
   2. 此外，位于 EEA 的英美资源集团公司还会将个人数据转移到位于 EEA 之外的其他英美资源集团公司，反之亦然，例如在调查由指控行为发生地的 ABAS 团队执行的情况下。
   3. 报告由位于中国的个人提出或报告与位于中国的个人有关时，有关报告的详细信息也将在中国托管。
   4. 在将个人数据转移到 EEA 之外的所有情况中，都根据欧盟委员会批准的 GDPR 第 46(2) 条中的标准合同条款，通过与接收方签订数据转移协议来对个人数据进行保护。对于在 YourVoice 热线背景下将个人数据从位于 EEA 以外司法管辖区的英美资源集团公司转移的情况，个人数据根据适用数据保护法的要求受到保护。
   5. 如果适用法律允许，您可能有权要求提供转移您个人数据时所依据的任何数据转移协议的副本，或要求访问所使用的保护措施。向您提供的任何数据转移协议都可能会出于商业敏感性的理由进行修订。若要请求查看这些合同，请联系 [email protected]。
8. 更改通知
   1. 公司可能会随时更改或更新本隐私声明。如果适用数据保护法要求，我们将获取您对此类更改或更新的同意。
   2. 根据适用法律的规定，如果我们更改数据保护方法或修改所提供的有关如何处理您的个人数据的信息，您将获得有关这些更改的通知或获悉我们已更新《隐私声明》或本隐私声明，以便您知晓我们会处理哪些信息以及我们如何使用这些信息，且如果适用数据保护法要求，我们将获取您对此类更改的同意。
   3. 本隐私声明的最后更新和审查时间为 2019 年 10 月。

附件：

Part 1: 适用于欧盟数据主体的其他信息

9. 您享有哪些权利？
   1. 您对您的个人数据具有特定权利，但存在若干例外情况，且在某些情况下取决于我们进行的处理活动。以下为有关其中各项权利的详细信息：
      1. 访问。您有权要求我们向您提供我们所保存的有关您个人数据的副本，并且您有权获知以下信息：(a) 您的个人数据的来源；(b) 处理这些数据的目的、法律依据和方法；(c) 数据控制方的身份；以及 (d) 可能向其转移您的个人数据的实体或实体类别，允许您访问此类数据及向您提供其副本（包括与报告相关时）。请注意，在特定司法管辖区（例如，法国），根据报告所涉人员的访问权限，其无法从数据控制方获取有关举报人身份的信息。
      2. 更正。您可要求我们更正不准确的个人数据或填写不完整的个人数据。我们可能会在更正前尝试核实个人数据的准确性。
      3. 删除。您可要求我们在以下情况中删除您的个人数据：不再出于收集时的目的需要这些数据；您撤销了同意（在数据处理基于同意的情况下）；您反对处理您的个人数据；您的个人数据被非法处理；或为了履行必要的法律义务。如果处理您的个人数据是履行法律义务或主张、行使或捍卫合法诉求所必需的，则我们不需要满足您的要求。
      4. 限制。您可要求我们在以下情况中限制处理您的个人数据：个人数据的准确性具有争议，以便允许我们核实其准确性；处理为非法行为，但您不想将个人数据删除；主张、行使或捍卫合法诉求仍然需要它；在行使您的反对权后核实存在重要理由。在以下情况中，我们可在收到限制请求后继续使用您的个人数据：我们拥有您的同意；为了主张、行使或捍卫合法诉求；或为了保护其他自然人或法人的权利。
      5. 数字遗产。仅适用于法国，您有权就您的个人数据在您去世后的处理方式明确（一般或特定）指令。
      6. 转移您的个人数据：您可要求我们以结构化、常用且机器可读的格式向您提供您的个人数据，您也可要求将其直接转移给其他数据控制方，但前提为：该处理是基于您的同意或是履行与您签订的合同；且该处理是通过自动化的方式进行。
      7. 您还有权反对基于合法利益的正当理由进行处理。当我们基于合法利益处理个人数据时，您有权反对进行此类处理。如果您反对，则除非我们提供具有信服力的合法理由，证明处理优先于您的利益、权利和自由；或我们出于主张、行使或捍卫合法诉求的目的需要处理数据，否则我们必须停止此类处理。
      8. 您有权要求提供用于保护转移至您所在司法管辖区之外的任何个人数据的保护措施的副本。任何此类保护措施（包括向您提供的数据转移协议）都可能会出于商业敏感性的理由进行修订。若要请求查看这些合同，请联系 [email protected]。
      9. 如果您认为对您个人数据的处理侵犯了适用法律，您也有权向当地监管机构（即您的居住地、工作地或所指控侵权的所在地）提出投诉。您可在此处找到当地监管机构的联系信息。

Part 2: 适用于德国数据主体的其他信息

有关隐私声明第 1 部分（简介）的其他信息。

请注意，如果您位于德国，则仅可通过 YourVoice 报告严重问题。YourVoice 可用于报告以下行为：

• 构成危害公司利益的刑事犯罪（特别是伪造公司记录、欺诈、腐败、内幕交易等）；或
• 侵犯人权（例如，通过接受童工利用国外有利生产条件）、工作场所暴力或威胁、性骚扰、违反环境保护法规以及违反《德国一般平等待遇法》(AGG)。

如果您位于德国，则 YourVoice 不用于报告违反公司价值观和行为准则的行为，除非这些行为也属于以上列出的类别之一。所谓的“软性因素”，例如，客户服务中的友好态度问题不应通过 YourVoice 报告。员工的私生活也不应成为报告的内容。

如果您担心想要报告的顾虑无法通过 YourVoice 进行报告，请联系您的直线经理或人力资源代表进行报告。

如果您对本隐私声明有任何疑问、有任何与您的个人数据相关的顾虑、想要行使适用法律赋予的权利或想要以其他格式获取其中包含的信息，请联系我们的数据保护团队 ([email protected]) 或数据保护官 ([email protected])。

有关隐私声明第 2 部分（我们处理哪些数据）的额外信息。

如果您同意处理您的个人数据，则仅当您通过 YourVoice 进行报告时才有可能可披露您的身份。收集此同意时，我们将告诉您披露自己的身份所涉及的后果。特别是，我们将让您知晓，可能必须向与您的指控相关的人员披露您的身份或出于履行数据保护信息义务的目的进行披露。如果您不想提供您的同意，但仍想在沟通您的顾虑时披露自己的身份，请利用其他沟通渠道（例如，通过联系您的直线经理或人力资源代表）。您可通过多种方式让我们知道您的顾虑，而使用 YourVoice 只是其中一种。

但是，通过 YourVoice 以非匿名方式报告的任何人都应知晓（取决于特定情况），可能会有必要向与报告相关的人员分享举报人的身份，以便履行数据保护信息义务。

有关隐私声明第 4 部分（处理这些数据有何目的以及执行处理有何法律依据？）的额外信息

  4.8   如果您在德国通过 YourVoice 进行报告并想要披露自己的身份，则我们基于您的同意这一法律依据处理您的个人数据（根据 GDPR 第 6(1)(a) 条 — 同意）。

  4.9   在德国，如果通过 YourVoice 系统进行的指控可能构成犯罪行为，则根据《德国联邦数据保护法》第 26 条第 1 款第 2 句，被指控员工的个人数据仅会在侦查刑事犯罪所必需的情况下进行处理，但前提是有被记录的正当理由相信该员工在受雇期间实施了刑事犯罪、必须处理相应数据才能调查刑事犯罪，且该等调查的重要性应高于被调查员工在公司享有的合法权益，特别是调查的类型和范围应与引发调查的正当理由相符。。

Part 3: 适用于新加坡和中国数据主体的其他重要信息

有关隐私声明第 2 部分（我们处理哪些数据）的其他信息。

第 2.2 款替换为以下内容

  2.2   如果您选择向服务提供商披露您的身份，即表明您同意服务提供商收集您的个人数据，包括名字、姓氏、出生日期、电子邮箱、联系电话；如果您是英美资源集团的员工，则还包括雇用公司的名称、您的员工编号、业务部门和所在地点。您还同意，您的报告内容也将与您的个人信息一起进行处理，其中可能会包括您目击/想要举报的相关事故或事件的详细信息，以及您想要就事故表达的任何个人意见或想法的详细
信息。

有关隐私声明第 4 部分（处理这些数据有何目的以及执行处理有何法律依据？）的额外信息

第 4.5 款替换为以下内容

  4.5   仅在适用法律授权的情况下处理敏感个人数据。例如：

     4.5.1   在新加坡和中国，我们将根据适用数据保护法处理此个人数据，包括在处理此类个人数据有必要获取同意的情况下获取同意。

     4.5.2   如果在中国提交此数据但未获得处理此类数据的同意，则我们可能无法完整处理相关指控。

第 4.6 款替换为以下内容

  4.6   与刑事定罪和犯罪相关的个人数据仅可在适用法律许可的情况下进行处理。例如：

     4.6.1   在新加坡和中国，我们将根据适用数据保护法处理此个人数据，包括在处理此类个人数据有必要获取同意的情况下获取同意。

     4.6.2   如果在中国提交此数据但未获得处理此类数据的同意，则我们可能无法完整处理相关指控。

有关隐私声明第 6 部分（个人数据披露）的其他 信息

第 6.1 款替换为以下内容

  6.1   您同意，可能向需要了解您个人数据的人员披露或允许其访问该信息：

     6.1.1   处理各个案例的特定调查团队（例如 ABAS、司法鉴定调查部门和信息安全团队）、人力资源部的相关成员（在调查与人力资源相关的情况下）以及安全部的相关人员（在调查与安全相关的情况下）；

     6.1.2   监督举报和调查流程的个人及治理机构，例如相关风险和保证部主管、YourVoice 监督委员会成员、道德委员会、业务部门 CEO 和集团职能部门 主管；

     6.1.3   接收在报告期间提交的信息并从英美资源集团公司接收有关报告反馈的服务提供商；

     6.1.4   从服务提供商处接收信息的指定 ABAS 联系人；

     6.1.5   内部和外部专业人员，其中可能会包括为处理各个案例的调查团队提供帮助的集团法务部和司法鉴定公司；

     6.1.6   需要访问报告中的信息的英美资源集团公司，例如，如果 ABAS 调查结果建议针对员工采取行动，则会向英美资源集团内的相关雇用公司提供调查报告，包括直线经理和人力资源团队的相关成员；

     6.1.7   向英美资源集团以及服务提供商提供服务的第三方，例如 IT 系统提供商或托管服务提供商；以及

     6.1.8   法律要求我们向其披露的法院、公共机构、执法人员和诉讼当事人，例如在发现报告不实、未经证实且为恶意，并且被告需要该披露以进行诽谤或中伤诉讼的情况下。

同意

同意本隐私政策即表明本人特此同意公司出于上述声明中规定的目的收集、使用、披露和/或处理我的个人数据（包括我的敏感数据，如适用），包括但不限于将我的个人数据转移至 海外。