AZIENDA OSPEDALIERA UNIVERSITARIA INTEGRATA VERONA

AZIENDA OSPEDALIERA UNIVERSITARIA INTEGRATA VERONA

(D.Lgs. n. 517/1999 - Art. 3 L.R.Veneto n. 18/2009)

Sede Legale: X.xx X. Xxxxxxx, 0- 00000 Xxxxxx – P.IVA/Codice Fiscale 03901420236

Deliberazione del Direttore Generale nr. 475 del 08/05/2023

OGGETTO : AUTORIZZAZIONE ALLA CONDUZIONE DELLO STUDIO PROFIT ``HEOR-22-101- 051`` PROG. 4232CESC. APPROVAZIONE DELLA CONVENZIONE (VALORE ECONOMICO COMPLESSIVO PRESUNTO EURO 20.000,00 + IVA).

Il sottoscritto Dott. Xxxxxxxx Xxxxx Xxxxx nominato con Xxxxxxx xxx Xxxxxxxxxx xxxxx Xxxxxxx xxx Xxxxxx xx. 00 del 26.02.2021 delibera quanto segue.

AZIENDA OSPEDALIERA UNIVERSITARIA INTEGRATA VERONA

(D.Lgs. n. 517/1999 - Art. 3 L.R.Veneto n. 18/2009)

   Sede Legale: X.xx X. Xxxxxxx, 0- 00000 Xxxxxx – P.IVA/Codice Fiscale 03901420236  

IL DIRETTORE GENERALE

Preso atto della seguente proposta di deliberazione del Responsabile (UOS) UNITA` RICERCA CLINICA - BT

Premesso che in ottemperanza alle disposizioni dettate al riguardo dal decreto legge n. 158 del 13/09/2012 convertito, con modificazioni, nella legge n. 189 dell’08/11/2012 e dal Decreto del Ministero della Salute dell’08/02/2013 e che, a seguito e in conformità delle disposizioni di cui sopra con deliberazione n. 689 del 26/09/2013, l’Azienda Ospedaliera Universitaria Integrata Verona (AOUI) ha provveduto a prendere atto e recepire, per quanto di competenza, le determinazioni della DGRV n. 1066 del 28/06/2013 in materia di Comitati Etici per le Sperimentazioni Cliniche istituendo il Comitato Etico per la Sperimentazione Clinica (CESC) delle province di Verona e Rovigo;

Rilevata l’opportunità di provvedere alla periodica formale autorizzazione alla conduzione degli studi profit condotti presso l’AOUI Verona;

Vista la richiesta recepita al protocollo n. 15535 del 10/03/2023 con la quale la società Vertex Pharmaceuticals Incorporated (“Promotore”), ha chiesto l’autorizzazione all’effettuazione dello studio promosso da Vertex Pharmaceuticals Incorporated e così identificato:

Prog. CESC	4232CESC
Titolo	Studio in real-world, sull’impiego delle risorse sanitarie nei pazienti con Fibrosi Cistica (FC) con almeno una mutazione F508del trattati con ivacaftor/tezacaftor/elexacaftor + ivacaftor in Italia: studio non interventistico, retrospettivo, osservazionale
Sigla	HEOR-22-101-051
Struttura interessata	UOC Fibrosi Cistica
Sperimentatore Principale	Xxxx. Xxxxx Xxxxxxx
Direttore XXX	Xxxx. Xxxxx Xxxxxxx
Approvazione CESC	05/04/2023 (prot. n. 22235 del 12/04/2023)
Pazienti previsti	200
Durata	Entro dicembre 2023
Quota paziente	Il corrispettivo totale a paziente completato e valutabile sarà di 100,00 euro + IVA (ove dovuta) salvo differenti importi, come dettagliato nella convenzione, per pazienti non completati, ma diversamente valutabili
Altro contributo	Il Promotore si impegna a fornire materiali come indicato nell’articolo 4 del contratto, allegato al presente provvedimento quale sua parte integrante e sostanziale
Altri costi rimborsabili	Possono essere previsti costi opzionali e/o aggiuntivi per prestazioni sanitarie che verranno rimborsati dal Promotore a ristoro dei costi sostenuti dall’AOUI

AZIENDA OSPEDALIERA UNIVERSITARIA INTEGRATA VERONA

(D.Lgs. n. 517/1999 - Art. 3 L.R.Veneto n. 18/2009)

   Sede Legale: X.xx X. Xxxxxxx, 0- 00000 Xxxxxx – P.IVA/Codice Fiscale 03901420236  

Preso atto che è stata esaminata tutta la documentazione pertinente allo studio in esame, richiamata nei sopraesposti prospetti, agli atti della Segreteria del CESC;

Riscontrato che il CESC ha approvato la documentazione inviata dallo Sperimentatore Principale, concernente gli aspetti inerenti la validità scientifica e l’utilità della ricerca, il protocollo e il disegno sperimentale, la correttezza etica, le modalità di arruolamento e le forme di acquisizione del consenso, la dichiarazione dello Sperimentatore Principale xxxx. Xxxxx Xxxxxxx per lo studio prog. 4232CESC, relativa al conflitto di interessi, l’idoneità delle strutture coinvolte e le eventuali compensazioni finanziarie;

Dato atto che il CESC ha approvato nella seduta del 05/04/2023 lo studio, la cui documentazione è conservata agli atti della Segreteria del CESC;

Considerate con particolare attenzione tutte le condizioni di copertura per i pazienti che partecipano allo studio clinico e all’eventuale indennizzo;

Riscontrato che tutti gli aspetti dello stesso sono pienamente corrispondenti alle indicazioni normative in materia di sperimentazioni cliniche;

Attestata la regolarità amministrativa e tecnica da parte del Dirigente proponente; Acquisiti, per quanto di competenza, i pareri favorevoli in merito espressi dal

Direttore Amministrativo e dal Direttore Sanitario;

DELIBERA

per le motivazioni in premessa indicate e che si intendono integralmente richiamate,

1. di autorizzare la conduzione presso l’Azienda Ospedaliera Universitaria Integrata Verona dello studio profit 4232CESC approvato nella seduta del Comitato Etico per la Sperimentazione Clinica delle province di Verona e Rovigo del 05/04/2023, la cui documentazione è conservata agli atti della Segreteria del CESC;

2. di approvare il testo del contratto allegato al presente provvedimento quale parte integrante e sostanziale dello stesso, all’uopo predisposto per disciplinare gli aspetti normativi ed economici dei rapporti tra l’Azienda Ospedaliera Universitaria Integrata Verona e Vertex Pharmaceuticals Incorporated;

3. di dare atto che il contratto di cui al precedente punto 2 decorrerà dalla data di sottoscrizione e fino al momento di conclusione dello studio presso l’AOUI, salvo proroga o anticipato scioglimento per mutuo consenso scritto o per recesso di una delle parti, fermo restando quanto previsto dall’art. 11 del contratto;

4. di dare atto che nessun costo riferito allo studio in argomento è a carico del Servizio Sanitario Nazionale (SSN) né dei soggetti arruolati nello studio;

5. di dare atto che nessun onere è a carico del bilancio di AOUI;

AZIENDA OSPEDALIERA UNIVERSITARIA INTEGRATA VERONA

(D.Lgs. n. 517/1999 - Art. 3 L.R.Veneto n. 18/2009)

   Sede Legale: X.xx X. Xxxxxxx, 0- 00000 Xxxxxx – P.IVA/Codice Fiscale 03901420236  

6. di incaricare l’UOC Contabilità e Bilancio dell’AOUI di fatturare e introitare per lo studio: la quota di monitoraggio di euro 2.000,00 + IVA (ove dovuta); la quota prevista per ogni paziente arruolato, per un valore economico complessivo previsto di euro 20.000,00; la fatturazione di eventuali altre prestazioni contrattualmente previste;

7. di dare atto che eventuali costi aggiuntivi troveranno la copertura come da modulo di fattibilità agli atti presso la Segreteria del CESC.

IL DIRETTORE AMMINISTRATIVO IL DIRETTORE SANITARIO

Dott.ssa Xxxxx Xxxx Dott.ssa Xxxxxxx Xxxxxxxx

IL DIRETTORE GENERALE

Dott. Xxxxxxxx Xxxxx Xxxxx

CONVENZIONE CONCERNENTE CONDIZIONI E MODALITA’ PER L’ESECUZIONE DELLO STUDIO OSSERVAZIONALE	AGREEMENT CONCERNING CONDITIONS AND METHODS FOR CONDUCTING THE OBSERVATIONAL STUDY
CONTRATTO ECONOMICO	FINANCIAL AGREEMENT
TRA	BETWEEN
Azienda Ospedaliera Universitaria Integrata Verona (AOUI Verona) (di seguito per brevità “Ente”), con sede in Xxxxxxxx Xxxxxxx 0, 00000 Xxxxxx Xxxxxx, C.F. e P.IVA 03901420236, nella persona del legale rappresentante, Direttore Generale, Dott. Xxxxxxxx Xxxxx Xxxxx	Azienda Ospedaliera Universitaria Integrata Verona (AOUI Verona) (hereinafter “Institution”), with offices at Xxxxxxxx Xxxxxxx 0, 00000 Xxxxxx Xxxxx, Tax Code and VAT no. 03901420236, represented by its legal representative, General Manager, Dr Xxxxxxxx Xxxxx Xxxxx
E	AND
Vertex Pharmaceuticals Incorporated (di seguito per brevità “Promotore” o “Vertex”) con sede legale in 00 Xxxxxxxx Xxxxxx Xxxxxx, XX 00000- 0000, XXX C.F. e P.IVA. 043039129 nella persona di Xxxxx Xxxx, in qualità di Director, Development Strategic Sourcing	Vertex Pharmaceuticals Incorporated (hereinafter the “Sponsor” or “Vertex”) with its registered office in 00 Xxxxxxxx Xxxxxx Xxxxxx, XX 00000-0000, XXX Tax Code and VAT no. 043039129 represented by Xxxxx Xxxx in the capacity of Director, Development Strategic Sourcing
PREMESSO CHE	WHEREAS
Il promotore ha richiesto all’Autorità competente la pertinente autorizzazione ad effettuare lo studio osservazionale, non interventistico, retrospettivo e real-world per descrivere l'impatto di ELX/TEZ/IVA + IVA (Kaftrio + Kaydeco) sulla funzione polmonare e sull'utilizzo delle risorse sanitarie (HCRU) prima e dopo l'inizio del trattamento tra le persone affette da FC con mutazione F508del in Italia. Codice protocollo n. HEOR-22-101-051 (di	the Sponsor asked the Competent Authority for the relevant authorisation to conduct the Real-world, non-interventional, retrospective, observational Study to describe the impact of ELX/TEZ/IVA + IVA (Kaftrio + Kalydeco)on lung function and health care resource utilization (HCRU) before and after treatment initiation among people with CF with a F508del mutation in Italy. Vertex Project no.

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

1

seguito lo “Studio”)	HEOR-22-101-051, (hereinafter the “Study”)
- che lo studio e tutti i documenti inviati al Comitato Etico per lo studio”) e approvati dal medesimo costituiscono parte integrante della presente convenzione seppure non necessariamente allegati alla stessa;	- the Study and all the documents sent to the Clinical Trials Ethics Committee (hereinafter, “CESC”) and approved by the same, constitute an integral part of this Agreement even if they are not necessarily attached to it;
- che il CESC delle Province di Verona e Rovigo con sede presso l’AOUI Verona, Xxxxxxxx X. Xxxxxxx 0, 00000 Xxxxxx ha espresso il proprio parere favorevole in ordine allo studio in oggetto in occasione della seduta del 5 aprile 2023;	- the CESC delle Province di Verona e Rovigo, with offices at the AOUI Verona, Xxxxxxxx X. Xxxxxxx 0, 00000 Xxxxxx, expressed its favourable opinion on the clinical Study in question during the meeting of 5 April 2023;
- che il Promotore e l’Ente hanno convenuto sui nominativi dei collaboratori professionali e delle deleghe per le attività previste dallo studio forniti dallo Sperimentatore Principale (di seguito “Sperimentatore”);	- the Sponsor and the Institution have agreed on the names of the professional collaborators and proxies for the activities required for the Study, provided by the Principal Investigator (hereinafter, the “Investigator”);
- Il Promotore ha provveduto a versare all’Ente la somma di euro 6.000,00 per la valutazione della ricerca e/o per l’emissione del parere unico ed altre eventuali voci;	the Sponsor has taken steps to pay the Institution the sum of € 6.000,00 for the assessment of the research and/or issuance of the single opinion and any other items;
- che lo studio non può avere inizio prima della sottoscrizione della presente convenzione da parte di entrambe le parti;	- the Study cannot commence until this Agreement has been signed by both parties;
- che l’inizio dello studio nonché l’efficacia della presente convenzione sono subordinate all’acquisizione del parere favorevole dell’Autorità competente nelle modalità previste dalla normativa vigente;	- the start of the Study, as well as the effectiveness of this Agreement, are conditional on obtaining a favourable opinion from the Competent Authority according to the procedures set forth by current legislation;
- che lo studio sui pazienti potrà essere condotta solo nel pieno rispetto della dignità dell’uomo e dei suoi diritti fondamentali così come dettato dalla “Dichiarazione di Helsinki”, dalle norme di “Good Clinical Practice“ (GCP) emanate dalla Comunità Europea (così come recepiti dal Governo Italiano ed in	- the Study on the patients can only be conducted in full compliance with human dignity and fundamental human rights as set out in the “Declaration of Helsinki”, the standards of “Good Clinical Practice” (GCP) issued by the European Community (as transposed by the Italian Government and in

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

2

accordo con le Linee Guida emanate dagli stessi organismi), in attuazione di quanto prevede inoltre la Convenzione del Consiglio d’Europa per la protezione dei diritti dell’uomo e della dignità dell’essere umano nell’applicazione della biologia e della medicina fatta ad Oviedo il 4 /4/1997 e, infine, secondo i contenuti dei codici italiani di deontologia medica delle professioni sanitarie e dei Regolamenti vigenti in materia, nonché nel rispetto delle leggi vigenti in materia di prevenzione della corruzione.	accordance with the Guidelines issued by said organisations), in implementation of what is also set out by the Council of Europe Convention for the Protection of Human Rights and Dignity of the Human Being with regard to the Application of Biology and Medicine executed in Oviedo on 04/04/1997 and, finally, as per the contents of the Italian medical codes of conduct for health professions and in compliance with the applicable anti-corruption laws in force.
SI CONVIENE E SI STIPULA QUANTO SEGUE	THE PARTIES HEREBY AGREE AND STIPULATE AS FOLLOWS
ART. 1 - PREMESSA	ARTICLE 1 – RECITALS
Le premesse e gli eventuali allegati costituiscono parte integrante del presente contratto.	The recitals and any exhibits constitute an integral part of this Agreement.
ART. 2 - REFERENTI DELLO STUDIO	ARTICLE 2 - CONTACT PERSONS FOR THE STUDY
L’Ente, su indicazione del Promotore, nomina quale Responsabile dello Studio richiamato in premessa, a seguito di formale accettazione, il Dr. Xxxxx Xxxxxxx, Direttore della U.O.C. Fibrosi Cistica dell’Ente, in qualità di Sperimentatore Principale (di seguito “Sperimentatore”), il quale potrà essere coadiuvato nell’esecuzione dello studio da personale strutturato e non strutturato.	At the instruction of the Sponsor, the Institution appoints Dr Xxxxx Xxxxxxx, Director of U.O.C. Fibrosi Cistica of the Institution, as Supervisor of the above-mentioned Study, following formal acceptance, in the capacity of Principal Investigator (hereinafter, “Investigator”), who may be assisted in the performance of the study by permanent/non- permanent staff.
Il personale dell’Ente che collabora allo svolgimento dello studio non può ricevere alcun compenso dal Promotore né avere contratti o intrattenere con la medesima rapporti di qualsiasi tipo, se non di	Staff members of the Institution who participate in the Study may not receive any consideration from the Sponsor, nor may they interact or maintain relationships of any kind with it, except for technical-

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

3

carattere tecnico scientifico attinenti lo studio.	scientific purposes related to the Study.
Il Promotore individua quale proprio referente tecnico scientifico dello Studio Thi Xxxx Xxx Xxxxxxxx Xxxx ad avere contatti con lo staff dell’istituto per il trasferimento dei dati presso l’ente designato dallo sponsornel rispetto di quanto previsto dalla normativa di riferimento.	The Sponsor appoints Xxx Xxxx Xxx Xxxxxxxx Xxxx as its scientific-technical contact person for the Study, to interact with the staff at the institution for data transfer to the third party designed by the sponsor, in compliance with the provisions of applicable legislation.
L’Ente accetta le visite di monitoraggio e di auditing che verranno eseguite presso la U.O.C. Fibrosi Cistica dell’Ente da parte del personale del Promotore o di società terza incaricata dal Promotore, al fine di verificare il corretto andamento dello studio.	The Institution hereby accepts the monitoring and auditing visits that will be carried out at U.O.C. Fibrosi Cistica of the Institution by the staff of the Sponsor or of third parties appointed by the Sponsor, in order to verify that the Study is being conducted correctly.
Qualora il rapporto di collaborazione tra Sperimentatore e Ente dovesse, per qualsivoglia ragione, giungere al termine, l’Ente è tenuto ad informare per iscritto il Promotore prima possibile.	If the collaborative relationship between the Investigator and the Institution terminates for any reason, the Institution shall notify the Sponsor thereof in writing as soon as possible.
L’Ente notifica immediatamente al Promotore se un’Autorità Regolatoria ha iniziato un procedimento ispettivo e fornisce copia, nel rispetto della normativa vigente, della corrispondenza tra l’Ente e l’Autorità Regolatoria risultante a seguito di tale ispezione.	The Institution shall immediately notify the Sponsor if a Regulatory Authority initiates an inspection procedure and shall provide a copy, in compliance with the current legislation, of any correspondence between the Institution and the Regulatory Authority resulting from that inspection.
L’Ente garantisce che, alla data della stipula della presente Convezione:	The Institution represents that, on the date of execution of this Agreement:
a) l’Ente e lo Sperimentatore possiedono tutti i requisiti normativi e regolamentari necessari per condurre lo studio;	a) the Institution and the Investigator meet all legal and regulatory requirements necessary to conduct the Study;
b) all’Ente non è stata interdetta o preclusa la possibilità di svolgere ricerche cliniche; parimenti, l’Ente garantisce che nemmeno allo Sperimentatore è stata interdetta o	b) the Institution has not been debarred or precluded from conducting clinical research; likewise, the Institution represents that the Investigator has also not been debarred or

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

4

preclusa la possibilità di svolgere ricerche cliniche nei Paesi in cui egli/ella ha prestato la propria attività professionale;	precluded from conducting clinical research in the countries where he/she has engaged in his/her professional activity;
c) né l’Ente né lo Sperimentatore sono stati coinvolti da autorità governative, regolamentari o giudiziali in indagini, inchieste, denunce o azioni esecutive attualmente pendenti che siano connesse alla conduzione di ricerche cliniche.	c) neither the Institution nor the Investigator has been involved by governmental, regulatory or judicial authorities in currently pending investigations, inquiries, claims or enforcement actions that are connected to conducting clinical research.
L’Ente garantisce inoltre che per tutta la durata della presente Convenzione, e per i tre anni successivi alla cessazione dei suoi effetti, comunicherà tempestivamente al Promotore la sussistenza di qualsiasi circostanza tale da risultare in una preclusione o un impedimento allo svolgimento delle attività di ricerca clinica.	The Institution also undertakes that for the entire term of this Agreement and for three years after it ceases to be in effect, it will notify the Sponsor promptly of any circumstance that results in a preclusion or bar to conducting clinical research activity.
L’Ente attesta che da parte propria e dello Sperimentatore non sussiste alcun conflitto di interesse tra le Parti della Convenzione tale da impedire o influenzare il corretto adempimento degli impegni assunti ai sensi della Convenzione stessa. L’Ente si impegna anche per conto dello sperimentatore ad informare immediatamente il Promotore di eventuali conflitti di interesse sorti successivamente alla sottoscrizione della presente convenzione.	The Institution certifies on its and the Investigator’s behalf that there is no conflict of interest between the Parties to the Agreement that would prevent or influence the proper performance of the obligations assumed under the Agreement. The Institution also undertakes on behalf of the Investigator to immediately inform the Sponsor of any conflicts of interest that arise after the execution of this Agreement.
ART. 3 – INIZIO STUDIO E NUMERO PAZIENTI	ARTICLE 3 – START OF THE STUDY AND NUMBER OF PATIENTS
L'Ente è anche tenuto ad accertare che, prima dello svolgimento di qualsiasi attività associata allo Studio, lo Sperimentatore e il personale assistente interno ed esterno coinvolto nella conduzione dello stesso abbiano completato ogni modulo di formazione richiesto GCP/GPP proposto da Vertex ovvero qualsiasi altro corso di formazione ritenuto equivalente da Vertex. La formazione deve essere ripetuta al termine del periodo di certificazione	The Institution is also required to ensure that, before carrying out any activity associated with the Study, the Investigator and the internal and external assistant staff involved in conducting the same have completed any required GCP/GPP training module proposed by Vertex or any other training course deemed equivalent by Vertex. The training must be repeated at the end of the certification period or in case of updates and / or changes to the GCP/GPP

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

5

oppure in caso di aggiornamenti e/o modifiche agli standard di GCP/GPP stabiliti nelle norme applicabili.	standards established in the applicable regulations.
Lo studio verrà effettuato esclusivamente sui pazienti eleggibili secondo i criteri di inclusione ed esclusione riportati nel protocollo di studio e solo dopo aver acquisito dagli stessi il consenso informato.	The Study shall be performed only on patients that are eligible under the inclusion and exclusion criteria stated in the study protocol and only after informed consent has been obtained from them.
Le cartelle dei pazienti, fino a un massimo di 200, saranno selezionate dall’Ente entro il 31 Dicembre 2023 (data stimata). I dati pseudoanonimizzati di tali pazienti saranno trasferiti dall'Ente al fornitore designato dallo Sponsor, il quale è denominato "Procure Solutions" (di seguito, "Procure Solutions"). Lo sponsor Vertex Pharmaceuticals (Vertex) e la Società delegata responsabile dell'analisi dei dati (Procure Solution snc di Xxxxxxx Xxxxxxx Xxxxx & C. Xxx Xxxxxxx 0/X, 00000 Xxxxxx (XX, Xxxxx) sono coresponsabili del trattamento di tali dati personali raccolti. l’Ente, il Promotore e la società delegata, agiranno quali Titolari autonomi del trattamento, ciascuno per quanto attiene al proprio ambito di competenza.	Patient files, up to a maximum of 200, will be selected by the Institution Study site through 31 December 2023 (estimated date). The pseudonymized data of such patients will be transferred from the Institution to the Sponsor´s designee, which is the data analysis vendor named "Procure Solutions" (hereinafter, "Procure Solutions". The sponsor Vertex Pharmaceuticals (Vertex) and the delegated company responsible for data analysis (Procure Solution snc di Xxxxxxx Xxxxxxx Xxxxx & C. Xxx Xxxxxxx 0/X, 00000 Xxxxxx (XX, Xxxxx) are co- responsible for the processing of the personal data collected. Institution, the Sponsor and the delegated company shall act as autonomous Data Controllers, each within its own sphere of competence.
Le Parti prendono atto che un eventuale aumento del numero di cartelle dei pazienti da rivedere presso il centro dell’Ente dovrà essere preventivamente concordato tra le parti, sentito il parere dello sperimentatore, notificato al CESC e formalizzato tra le parti ai sensi del successivo art. 14.	The Parties acknowledge that any increase in the number of patients charts to be reviewed at the Institution’s Study site must be previously agreed between the parties, having heard the opinion of the Investigator, and having notified the CESC and following formalisation between the parties pursuant to Article 14 below.
Il Promotore comunicherà tempestivamente per iscritto allo Sperimentatore la data di chiusura della revisione delle cartelle dei pazienti, per scadenza dei tempi previsti, e lo Sperimentatore sarà quindi tenuto a svolgere lo studio solo su quelle cartelle già inclusi	The Sponsor shall promptly inform the Investigator in writing of the chart review closure date, because the deadlines have passed, and the Investigator shall therefore be obligated to conduct the Study only on those patients charts who have already been included

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

6

alla data di detta comunicazione.	by the date of the above notification.
Il Promotore non avrà alcuna responsabilità e non riconoscerà alcun compenso per le cartelle dei pazienti inclusi dallo Sperimentatore, su sua iniziativa, oltre il numero massimo concordato o in data successiva a quella della comunicazione di interruzione dell’inclusione.	The Sponsor shall not be liable and shall not pay any fee for the patients charts provided by the Investigator, by his/her own initiative, beyond the maximum agreed number or after the notification of discontinuation of the inclusion.
ART. 4 - OBBLIGAZIONI DELLE PARTI	ARTICLE 4 - OBLIGATIONS OF THE PARTIES
4.1 Obblighi del Promotore e dell’Ente:	4.1 Obligations of the Sponsor and the Institution:
4.1.1 Il Promotore si impegna:	4.1.1 The Sponsor undertake:
a) ad osservare tutte le istruzioni, le direttive e le raccomandazioni precisate nel parere del CESC;	a) to follow all instructions, directives and recommendations stated in the CESC’s opinion;
b) a fornire gratuitamente tutti i supporti necessari per la registrazione e la raccolta dati ed altro materiale eventualmente previsto dal protocollo di studio o comunque necessario allo svolgimento dello stesso (quale: trial master file contenent i dati pseudoanonimizzati inclusa la eCRF, dati demografici selezionali, risorse mediche utilizzate (es ospedalizzazioni, medicine usate)	b) to provide free of charge all media required for recording and collecting data and any other material required by the study protocol or otherwise required for performing the study (such as: (master file containing pseudonymised data including eCRF, select demographic information, healthcare resource utilization (e.g., hospitalisations, medication use)
c) il Promotore si impegna a versare l’importo di Euro 2.000 (duemila/00) IVA se applicabile, quale corrispettivo per la verifica dell’andamento dello studio, da versare entro 30 giorni dalla firma della convenzione secondo le modalità concordate con l’Ente;	c) the Sponsor agrees to pay the amount of € 2.000 () VAT if applicable, as payment for the verification of the progress of the study, to be paid within 30 days from the signing of the agreement according to the procedures agreed with the Institution;

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

7

d) comunicare all’Ente il termine entro il quale permane l’obbligo in capo allo stesso di conservare la documentazione inerente lo studio.	d) to inform the Institution of the time limit within which it remains obligated to retain the documentation pertaining to the Study.
4.1.2 L’Ente si impegna:	4.1.2 The Institution undertakes:
a) tramite lo Sperimentatore, a garantire la conduzione dello studio nel rispetto di quanto previsto dal Protocollo;	a) through the Investigator, to ensure that the Study is conducted in compliance with Protocol requirements;
b) ad osservare tutte le istruzioni, le direttive e le raccomandazioni precisate nel parere del CESC;	b) to comply with all instructions, guidelines and recommendations specified in the opinion of the CESC;
c) a tenere informati costantemente il Promotore e il CESC sull’andamento della sperimentazione secondo i requisiti del protocollo o della legge applicabile;	c) to keep the Sponsor and the CESC regularly informed of the progress of the Study according to the protocol requirements or applicable law.;
d) a conservare la documentazione inerente lo studio per un periodo minimo di 15 anni successivi alla conclusione dello studio salva diversa indicazione del Promotore;	d) to retain the Study documentation for a minimum period of 15 years following conclusion of the Study unless the Sponsor indicates otherwise;
ART. 5 - CORRISPETTIVO	ARTICLE 5 - FEE
Prima di iniziare qualsiasi attività prevista dal presente contratto, l'Ente otterrà da Vertex, e Vertex fornirà, un ordine di acquisto che copra le attività in questione. Vertex non sarà obbligata a compensare l’Ente per i servizi non coperti da tale ordine di acquisto. L'Ente presenterà una fattura per gli importi dovuti ai sensi del presente Contratto, man mano che tali importi diventano esigibili, e includerà il numero dell'ordine di acquisto a: xxxxxxxx_xxxxxxx@xxxx.xxx. Vertex pagherà all’Ente tutti gli importi correttamente fatturati entro 60 giorni dal ricevimento da parte di Vertex della fattura.	Prior to commencing any Services hereunder, Institution will obtain from Vertex, and Vertex will provide Institution with, a purchase order covering the relevant Services. Vertex will not be obligated to compensate Institution for any Services not covered by a Vertex purchase order. Institution will submit an invoice for amounts owed under this Agreement as such amounts become due, which invoice will include the applicable Vertex purchase order number to:xxxxxxxx_xxxxxxx@xxxx.xxx. Vertex will pay Institution all properly invoiced amounts within 60 days after Vertex’s receipt of the applicable invoice.
A copertura dei costi derivanti e/o generati dall o studio, per ogni cartella clinica di paziente valutabile incluso e trattato secondo il protocollo di studio e per il quale sarà compilata la relativa CRF (“Case Report Form”) selezionando le informazioni demografiche, le informazioni sull'uso delle risorse sanitarie e i dati relativi alla salute, all’Ente verranno	To cover the costs deriving from and/or generated by the Study, for each eligible and evaluable patient chart included according to the study protocol and for whom the related completed CRF (“Case Report Form”), select demographic information, healthcare resource use information, the Institution will be paid the amounts indicated below based on the activities

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

8

corrisposti gli importi sotto indicati, in base alle attività svolte (importi in euro, IVA esclusa) ed effettuate secondo lo schema terapeutico riportato di seguito e descritto nel protocollo di studio:	performed (amounts in Euros, VAT excluded) and completed according to the therapeutic schedule shown below and described in the study protocol:
Il corrispettivo totale a paziente completato e valutabile sarà di € 100.00 IVA (se applicabile).	The total fee for each completed and evaluable patient chart will be €100.00 VAT (if applicable).
Non vi sarà compenso, ad eccezione degli oneri fissi del CESC/Segreteria/Unità Ricerca Clinica, per violazione dei criteri di inclusione e, comunque nel caso di non corretta e completa osservanza del protocollo, ferma restando, in tali ipotesi, la necessaria e preventiva risoluzione della convenzione secondo la procedura di cui al successivo art. 11.	No fee will be paid, except for the fixed costs of the CESC/Secretariat/Clinical Research Unit if the inclusion criteria are violated and if the protocol is not properly and completely adhered to, subject to, in those cases, the necessary and prior termination of the agreement according to the procedure under Art. 11 below.
Gli importi per paziente del presente articolo, saranno corrisposti all’Ente con cadenza biennale a fronte di emissione di regolare fattura da parte dello stesso, da inviare ai seguenti indirizzi:	The amounts per patient chart in this article will be paid to the Institution on a half-yearly basis against issuance of a valid invoice by the Institution, to be sent to the following addresses:
Accounts Payable Vertex Pharmaceuticals Incorporated X.X. Xxx 00000 Xxxxxx, XX 00000	Accounts Payable Vertex Pharmaceuticals Incorporated X.X. Xxx 00000 Xxxxxx, XX 00000
con le seguenti modalità di inoltro: via email all’indirizzo xxxxxxxx_xxxxxxx@xxxx.xxx e Xxxxxx_Xxxx_Xxxxxxxx@xxxx.xxx	with the following methods of submission: via email to xxxxxxxx_xxxxxxx@xxxx.xxx and Xxxxxx_Xxxx_Xxxxxxxx@xxxx.xxx
Il pagamento verrà effettuato entro 60 giorni dalla ricezione della fattura da parte di Vertex. Il saldo verrà effettuato in ogni caso solamente dopo la consegna a Procure Solution di tutte le schede raccolta dati pseudoanonimizzate le cui queries siano stato risolte.	Payment shall be made 60 days after Vertex’s receipt of applicable invoice. The balance shall in any case be paid only after that Procure Solution has received all requested data (pseudonymized) with all queries resolved.
Le Parti convengono che il beneficiario sotto designato è il legittimo beneficiario del presente Accordo e che i pagamenti ai sensi dello stesso saranno corrisposti esclusivamente al seguente	The Parties agree that the payee designated below is the proper payee for this Agreement, and that payments under this Agreement will be made only to the following payee (“Payee”):

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

9

beneficiario (il “Beneficiario”):
		Informazioni bancarie:	Banking Information:
		Nome della banca	Bank Name	Banco BPM S.p.A.
		Indirizzo della banca	Bank Address	filiale di Piazza Nogara n. 2
		Città della banca	Bank City	VERONA
		Stato/Provincia della banca	Bank State/Province	VERONA
		Codice postale della banca	Bank Postal Code	37121
		Paese della banca	Bank Country	ITALIA
		Xxxxxx ricevente	Receiving Account Currency	Euo
		XXXX	XXXX	XX00X0000000000000000000000
		Codice SWIFT	Swift Code	XXXXXX00000
		Informazioni di contatto	Contact Information
		Nome del destinatario inviante fattura	Name of recipient sending invoices	xxxxxxxx.xxxxxxxx@xxxx.xxxxxx.xx xxxxxxxx.xxxxxx@xxxx.xxxxxx.xx
		Nr di riferimento studio	HEOR-22-101-051	HEOR-22-101-051
		ART. 6 - TRATTAMENTO DEI DATI PERSONALI				ARTICLE 6 - PERSONAL DATA PROCESSING
6.1 Le Parti si impegnano a rispettare le leggi sulla privacy applicabili, compresi gli aspetti relativi alle misure di sicurezza e riservatezza; le parti accettano che agire in piena conformità con le leggi sulla privacy è una condizione essenziale per qualsiasi incarico relativo allo studio.				6.1 The parties hereby undertake to comply with applicable privacy laws including aspects relating to safety and confidentiality measures; the parties hereby accept that acting in full conformity with privacy laws is an essential condition for any appointment related to the Study .
6.2.Xxxxx salvo quanto disposto dall’art. 13, l’Ente garantisce, per sé e per lo Sperimentatore, di essere pienamente edotto circa tutti gli obblighi derivanti da qualsivoglia normativa applicabile relativa al segreto professionale in campo medico ed alla protezione dei dati personali dei pazienti, inclusi a titolo				6.2 Without prejudice to the provisions set forth in Article 13, the Institution hereby guarantees, for itself and the Investigator, to be fully aware of the obligations imposed by any applicable regulation concerning professional secrecy in the medical field and the protection of patients personal data,

Nome del Beneficiario	Payee Name	Azienda Ospedaliera Universitaria Integrata Verona (AOUI Verona)
Indirizzo del Beneficiario	Payee Address	x.xx Xxxxxxxx Xxxxxxx 0, Xxxxxx
Partita IVA/codice fiscale	VAT/Tax ID	P. IVA 03901420236

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

10

esemplificativo ma non esaustivo il Regolamento Europeo 2016/679, il Codice Privacy (D.Lgs 196/03, s.m.i.), e per quanto applicabili i provvedimenti, le linee guida e le vigenti autorizzazioni generali dell’Autorità Garante italiana per la protezione dei dati personali (collettivamente “Leggi Privacy”).	including, but not limited to, EU Reg. 2016/679, the privacy code (Legislative Decree 196/03 and subsequent amendments), as applicable, provisions, guidelines issued by the Italian authority for the protection of personal data (hereinafter collectively “Privacy Laws”);
6.3 In ossequio alle Leggi Privacy, le Parti riconoscono reciprocamente che per lo svolgimento dello Studio, l’Ente e il Promotore agiranno quali Titolari autonomi del trattamento, ciascuno per quanto attiene al proprio ambito di competenza.	6.3 In compliance with the Privacy Laws, the parties mutually agree that for the conduct of the Study, the Institution and the Sponsor shall act as autonomous Data Controllers, each for its respective sphere of competence, pursuant to applicable law. For purposes of clarity, Sponsor is the controller of all personal data on its systems.
6.4 Si conviene inoltre che agirà quale responsabile del trattamento dei dati personali per conto dell’Ente	6.4 It is hereby also agreed that the Investigator shall act as personal data processor on behalf of Institution.
6.5 Lo Sperimentatore è individuato dall’Ente quale persona autorizzata al trattamento ai sensi dell’art. 29 del GDPR delegata di specifici compiti ai sensi dell’art. 2 quaterdecies del Codice Privacy.	6.5 The Investigator has been identified by the Institution as a person authorized for the data processing for the purposes of Article 29 GDPR and Article 2 of the Code.
6.6 Le Parti si impegnano affinché tutto il proprio personale coinvolto nello svolgimento dello Studio e più in generali, nell’esecuzione del presente contratti Cincluso il personale dello studio e il personale dell’Ente) rispetti le Leggi sulla Privacy e le istruzioni dello Sponsor relativamente alla protezione dei dati personali, inclusi gli aspetti di sicurezza e confidenzialità dei dati.	6.6 The parties undertake that all their staff involved in the conduct of the Study and, more generally, in the execution of this Agreement (including Study staff and Site personnel), shall observe Privacy Laws and the Sponsor’s instructions with regard to the protection of personal data including those aspects concerning data security and confidentiality.
6.7 Le Parti si impegnano a : (i) fornire al paziente coinvolto nello Studio un’informativa privacy ai sensi dell’Articol14 del GDPR e ottenere il consenso al trattamento; (ii) ottenere il consenso informato scritto del paziente prima della sua partecipazione allo Studio; (iii) rispettare i diritti privacy di ogni interessato come stabilito dalle Leggi Privacy applicabili; (iv) adottare tutte le adeguate misure fisiche, logiche, organizzative, tecniche ed informatiche in ossequio alle Leggi Privacy applicabili.	6.7 Such obligation includes, for example: (i) providing patients involved in the Study with a full privacy notice in compliance with Article 14 of the GDPR; (ii) obtaining the patient’s written informed consent before his/her participation in the Study; (iii) to serve the privacy rights of each data subject as established in applicable privacy laws; (iv) to adopt all adequate physical, logical, organizational, technical and IT measures in compliance with applicable privacy laws.
6.8 Lo Sperimentatore provvederà a separare in modo adeguato i dati identificativi dei pazienti dai	6.8 The Investigator shall adequately separate the patients identification details from data concerning

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

11

dati relativi ai risultati dello Studio (ad esempio rendendo tali dati pseudonimizzati tramite l’individuazione dei risultati con un codice alfanumerico generato casualmente) affinché siano trasmessi al Promotore (Procure Solutions) solamente dati pseudonimizzati.	Study results (e.g. by making such data pseudonymised by identifying results with a randomly generated alphanumerical code) so that pseudonymised data alone is sent to the Sponsor´s designee (Procure Solutions).
6.9 L’Ente e lo Sperimentatore consentiranno al Promotore di aver accesso ai dati clinici (incluse le cartelle cliniche) e ad ogni altra informazione che possa essere rilevante per lo Studio nei limiti delle disposizioni di legge applicabili e rispettando le misure di sicurezza, nonché la confidenzialità dei dati come indicato nell’informativa privacy rilasciata ad ogni paziente.	6.9 The Institution and Investigator shall allow the Sponsor to access clinical data (including clinical records) and any other information that may be pertinent to the Study, again in compliance with applicable privacy laws and observing security and data confidentiality measures and as permitted by the signed informed consent form of each patient.
6.10 I dati personali dei pazienti in Studio saranno accessibili esclusivamente a dipendenti, rappresentanti, collaboratori, monitors e auditors del Promotore, alle competenti autorità e come altrimenti previsto nell'informativa privacy fornita a tali soggetti, in ogni caso solo nell’esercizio delle loro funzioni.	6.10 The personal data of such Study patients shall be accessible only to the Sponsor’s employees, representatives, business partners, monitors and auditors, the competent authorities and as otherwise set forth in the privacy notice provided to such subjects, in each case only in the performance of their duties.
6.11 L'Ente e lo Sperimentatore si impegnano a fornire a ciascun paziente dello Studio informazioni chiare e complete sulle modalità di trattamento dei suoi dati personali prima della sua partecipazione allo Studio ai sensi delle leggi sulla privacy applicabili. Prima dell'inizio dello Studio, comprese le eventuali fasi preparatorie e di screening, lo Sperimentatore si impegna a fornire a ciascun paziente un'adeguata scheda informativa sulla natura, gli scopi, i risultati, le conseguenze e i rischi dello Studio prima della sua partecipazione. Prima dell'arruolamento del paziente, o Sperimentatore provvederà a raccogliere il consenso scritto di ciascun paziente a partecipare allo Studio e al trattamento dei dati personali; (, in conformità a quanto richiesto dalle leggi e in conformità alle Leggi Privacy applicabili. Le obbligazioni e le previsioni della presente xxxxxxxx continueranno ad essere valide ed efficaci anche successivamente al termine di validità e/o efficacia della presente convenzione per qualunque causa intervenuto.	6.11 The Institution and the Investigator hereby undertake to provide each Study patient with clear and complete information on the ways in which their personal data will be handled before their participation in the Study pursuant to applicable privacy laws. Before the start of the Study, including any preparatory and screening phases, the Investigator undertakes to provide each patient with a suitable information sheet concerning the nature, purposes, results, consequences and risks of the Study before they take part in the Study. Before the patient chart is reviewed, the Investigator or person by him authorized, shall obtain the patient’s written informed consent: to participation in the Study and to the processing of his/her personal data in compliance with applicable privacy laws. The obligations and provisions of this clause shall continue to be valid and effective even after the end of the validity and/or efficacy of this Agreement occurred for whatever reason.

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

12

6.12 Il Promotore può inviare i dati ad altre affiliate del gruppo dello Promotore e a terzi che operano per suo conto, anche all'estero, in paesi extra UE che non offrono lo stesso livello di protezione dei dati garantito in Europa. In tal caso il Promotore è responsabile dell'adozione delle misure necessarie per garantire un livello adeguato di protezione dei dati. Il trasferimento dei dati dall'Ente al Promotore negli Stati Uniti (che non è stato riconosciuto dalla Commissione Europea in sede di decisione di adeguatezza), sarà effettuato, ai sensi dell'art. 46 GDPR, sulla base delle “Clausole Contrattuali Standard” (SCC) adottate dalla Commissione Europea con Decisione di Esecuzione (UE) 2021/914 del 4 giugno 2021 qui allegate come Allegato A.	6.12 The Sponsor may send the data to other affiliates of the Sponsor’s group and to third parties operating on its behalf, including those abroad, in countries outside of the EU that do not offer the same level of data protection as is guaranteed in Europe. In such a case Sponsor is responsible for taking the measures necessary to guarantee an adequate level of data protection. The transfer of data by the Institution to the Sponsor in the United States (which has not been recognized by the European Commission under an adequacy decision), will be carried out, pursuant to art. 46 GDPR, on the basis of the "Standard Contractual Clauses" (SCC) adopted by the European Commission by Implementing Decision (EU) 2021/914 of 4th June 2021 attached hereto as Annex A.
6.13 Se una delle parti scopre una violazione della protezione dei dati, l'altra parte è informata entro 48 ore dalla verifica della violazione, senza pregiudicare la valutazione indipendente della parte sulla sussistenza delle condizioni e sull'adempimento degli obblighi di cui agli articoli 33 e 34 GDPR . In caso di disaccordo tra le parti in merito all'eventualità di effettuare segnalazioni alle autorità di controllo o agli interessati, il soggetto sul cui sistema risiedono i dati al momento della "violazione dei dati personali" decide in via definitiva se presentare tali notifica.	6.13 If either party discovers a data protection breach, the other party shall be informed within 48 hours from the breach having been verified, without affecting the party’s independent assessment of the existence of the conditions and fulfilment of the obligations contained in Articles 33 and 34 GDPR. In the event of a disagreement between the parties regarding whether to make any notifications to supervisory authorities or data subjects, the party on whose system the data resides at the time of the “personal data breach” shall make the final determination regarding whether to submit such notification.
6.14 Le parti si impegnano a cooperare in buona fede affinché i soggetti partecipanti allo Studio possano esercitare i diritti previsti dal GDPR. L'Ente garantisce che tutti questi soggetti siano informati che, se desiderano esercitare tali diritti, devono contattare lo Sperimentatore principale o il personale dello studio, dato che il Promotore generalmente riceve i dati personali solo in forma codificata e non ha accesso alle identità dei soggetti. Se l'Ente riceve una richiesta da un soggetto relativa ai dati personali detenuti dal Promotore, l'Ente notificherà tempestivamente al Promotore tale richiesta, il Promotore determinerà la risposta appropriata alla richiesta e l'Ente coopererà in buona fede con il	6.14 The parties agree to cooperate in good faith to ensure that subjects participating in the Study may exercise their rights under the GDPR. Institution shall ensure that all such subjects are informed that if they wish to exercise such rights, they must contact Principal Investigator or study staff, given that Sponsor generally receives personal data only in coded form and lacks access to subject identities. If Institution receives a request from a subject related to personal data held by Sponsor, Institution shall promptly notify Sponsor of such request, Sponsor shall determine the appropriate response to the request, and Institution shall cooperate in good faith

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

13

Promotore per rispondere a tali soggetti entro le tempistiche previste dall'art. 12 GDPR.	with Sponsor to respond to such subjects within the timeframes set forth in Article 12 GDPR.
ART. 7 – DATI SCIENTIFICI: SEGRETEZZA, PROPRIETÀ, RISULTATI E POLITICA DI PUBBLICAZIONE	ARTICLE 7 – SCIENTIFIC DATA: CONFIDENTIALITY, OWNERSHIP, RESULTS AND PUBLICATION POLICY
7.1 Salvo quanto disposto dal presente articolo 7, l’Ente manterrà le informazioni correlate allo studio nel più stretto riserbo e non divulgherà tali informazioni riservate a terzi senza il consenso scritto del Promotore. L’Ente garantisce che l’obbligo alla riservatezza sarà esteso allo Sperimentatore e ai suoi collaboratori e a qualunque altra persona, estranea all’Ente, che, per qualsiasi motivo, dovesse venire a conoscenza di dati riservati. I presenti obblighi di riservatezza e confidenzialità rimarranno in vigore finché le informazioni non saranno rese di dominio pubblico da parte del Promotore.	7.1 Subject to the provisions of this Article 7, the Institution shall maintain Study-related information with the utmost discretion and shall not disclose such information to third parties without the Sponsor’s written consent. The Institution shall ensure that this confidentiality obligation is extended to the Investigator and to his/her co-investigators and to any other person, external to the Institution, who may become aware of said confidential data, for any reason whatever. These obligations of privacy and confidentiality shall remain in effect until the Sponsor has released the information into the public domain.
7.2 La divulgazione dei risultati dovrà avvenire secondo quanto previsto dalla vigente normativa.	7.2 The results may only be disclosed in accordance with current legislation.
Il Promotore si assume inoltre la responsabilità della preparazione del Rapporto Clinico finale e della trasmissione al Comitato Etico per il tramite del portale AIFA per le sperimentazioni cliniche o con modalità alternative identificate dall’Autorità Competente. Lo sperimentatore può utilizzare il Rapporto Clinico finale per elaborare la pubblicazione dei dati ottenuti dallo studio. In tal caso lo Sperimentatore dovrà inviare il manoscritto al Promotore prima della sua sottomissione per la pubblicazione. Il Promotore avrà 60 giorni (silenzio – assenso), dal ricevimento del manoscritto, durante i quali potrà suggerire modifiche. Lo Sperimentatore	The Sponsor also assumes responsibility for preparing the final Clinical Report and submitting it to the Ethics Committee through the AIFA T(Agenzia Italiana del Farmaco [Italian Medicines Agency]) portal for clinical Studys or in an alternative manner identified by the Competent Authority. The Investigator may use the final Clinical Report to prepare the publication of the data obtained from the study . In that case, the Investigator must send the manuscript to the Sponsor before its submission for publication. The Sponsor shall have 60 days from the receipt of the manuscript to suggest any changes (silence shall be deemed consent). The Investigator

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

14

accetterà di incorporare nella pubblicazione commenti e ulteriori informazioni, qualora non siano in contrasto con l’attendibilità dei dati, con i diritti, con la sicurezza e il benessere dei pazienti. In ogni caso, è fatto salvo il diritto del Promotore di richiedere, a sua discrezione, un ritardo nella pubblicazione del manoscritto di massimo 90 giorni rispetto alla data di pubblicazione prefissata dall’Ente, al fine di consentire la tutela di eventuali diritti di proprietà industriale del Promotore.	undertakes to incorporate all comments and additional information into the publication, as long as these do not impair the reliability of the data, rights, safety and well-being of the patients. In any case, the Sponsor retains the right to require, at its discretion, a delay in the publication of the manuscript of up to 90 days after the publication date established by the Institution, in order to allow the protection of any of the Sponsor’s industrial property rights.
Resta inteso che ogni eventuale pubblicazione da parte dello Sperimentatore potrà avvenire solo dopo la pubblicazione multicentrica effettuata dal Promotore, o da terzo da questi designato, oppure decorsi dodici (12) mesi dalla fine della Sperimentazione multicentrica senza che sia avvenuta la pubblicazione primaria ad opera del promotore.	It is understood that any publication by the Investigator may be made only after the multicentre publication by the Sponsor or a third party designated by the Sponsor, or after twelve (12) months have elapsed from the end of the multicentre Trial without the Sponsor having made the primary publication.
7.3 Tutti i dati privi di elementi identificativi e quanto prodotto in relazione allo studio, incluse tutte le schede raccolta dati, la documentazione, le informazioni, i materiali ed i risultati in qualsiasi forma generati nel corso dell’esecuzione dello studio, sono di proprietà del Promotore, al quale vengono trasferiti in virtù della presente Convenzione. La proprietà del promotore riguarderà pertanto tutti i dati scientifici e non i dati personali. Appartiene all’Ente, che ha l’obbligo di conservarlo nella cartella clinica del paziente, tutto il materiale predetto originale, completo dei dati identificativi del paziente, così come raccolto prima della trasposizione nelle schede rese pseudoanonimizzate, che appartengono, invece, al Promotore.	7.3 All data without identifying information and all information produced in relation to the Study, including all case report forms, documentation, information, materials and outcomes in any form generated during the performance of the Study, shall be the property of the Sponsor, to which they are transferred by virtue of this Agreement. The Sponsor’s ownership shall therefore include all scientific data and not personal data. All the aforementioned original material, complete with the patient’s identification details, as collected before transposition into pseudonymized records, belongs to the Institution, which has the obligation of storing it in the patient’s medical records. The subsequently pseudonymized records instead belong to the Sponsor.

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

15

Eventuali risultati suscettibili di brevetto, derivanti direttamente dallo studio, saranno in ogni caso di proprietà del Promotore nel rispetto delle normative vigenti. È consentita anche in questo caso la pubblicazione dei risultati dello studio agli sperimentatori che vi ha preso parte fermo restando le procedure di verifica di cui al punto 7.2 precedente.	Any patentable outcomes deriving directly from the Study shall be the property of the Sponsor in all cases in accordance with current legislation. Investigators who have taken part in the Study are also permitted to publish the Study results in the case in question, subject to the revision procedures referred to in point 7.2 above.
Il Promotore è proprietario dei dati scientifici e titolare esclusivo di tutti i diritti di proprietà industriale/intellettuale e di sfruttamento economico, in Italia ed all’estero, di tutti i dati, i risultati, le invenzioni, le informazioni e le conoscenze derivanti, in via diretta o indiretta, dallo studio, così come di qualunque lavoro o materiale generato in funzione dello studio.	The Sponsor is the owner of the scientific data and the sole owner of all the industrial/intellectual property rights and the rights to economically exploit, in Italy and abroad, all data, outcomes, inventions, information and knowledge deriving, directly or indirectly, from the Study, as well as any work or material generated in relation to the Study.
È inteso che i pagamenti delle somme di cui all’art. 5 includono altresì il corrispettivo per l’acquisto da parte del Promotore di tutti i diritti di proprietà e di sfruttamento economico sui dati e risultati dello studio.	It is hereby understood that the payments of the amounts established in article 5 also include the fee giving the Sponsor all ownership and economic exploitation rights to the data and results of the Study.
7.4 Gli obblighi e le disposizioni del presente articolo continueranno a essere pienamente validi ed efficaci anche a seguito della risoluzione o cessazione per qualsiasi causa del presente contratto.	7.4 The obligations and provisions of this Article shall remain fully valid and effective even after the termination or cessation of this Agreement for any reason.
ART. 8 – COMPLIANCE E LOTTA ALLA CORRUZIONE	ARTICLE 8 – COMPLIANCE AND ANTI- CORRUPTION MEASURES
L’Ente, lo Sperimentatore e/o i collaboratori coinvolti nell’esecuzione dello studio si impegnano a rispettare la normativa anti-corruzione vigente in Italia. In ogni caso, l’Ente e lo Sperimentatore	The Institution, the Investigator and/or the co- investigators involved in performing the Study agree to comply with the anti-corruption legislation in force in Italy. In any case, the Institution and the

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

16

dichiarano di non avere (direttamente o indirettamente) offerto, corrisposto, ricevuto, ovvero autorizzato l’offerta, corresponsione o accettazione a/da alcuno di denaro, beni o qualsiasi utilità – e si impegnano ad astenersi dall’offrire, corrispondere, ricevere, ovvero autorizzare l’offerta, corresponsione o accettazione a/da alcuno di denaro, beni o qualsiasi utilità, ovvero dal compiere qualsiasi altra attività – con l’obiettivo di influenzare impropriamente o indebitamente l’attività di un pubblico ufficiale o di un qualunque altro soggetto col fine di ottenerne un indebito vantaggio.	Investigator represent that they have not (directly or indirectly) offered, paid, received, or authorised the offer, payment or acceptance to/from anyone of money, goods or any benefit – and undertake to refrain from offering, paying, receiving, or authorising the offer, payment or acceptance to/from anyone of money, goods or any benefit, or engaging in any other activity – with the objective of improperly or unduly influencing the actions of a public official or of any other party for the purpose of obtaining an undue advantage.
Qualora il Promotore avesse fondata notizia del mancato rispetto della normativa anti-corruzione vigente in Italia, ovvero della violazione dei principi contenuti nel Piano aziendale di prevenzione alla corruzione, in via di emanazione ai sensi della Legge 6 novembre 2012, n. 190, il Promotore potrà immediatamente risolvere la presente Convenzione.	If the Sponsor obtains founded knowledge of violation of the anti-corruption legislation in force in Italy or of violation of the principles contained in the Institution Corruption Prevention Plan in the process of being issued pursuant to Law No. 190 of 6 November 2012, the Sponsor may terminate this Agreement immediately.
L’Ente provvederà a portare a conoscenza del Promotore il Piano aziendale di prevenzione della corruzione con gli strumenti ritenuti più idonei.	The Institution shall inform the Sponsor of the Institution Corruption Prevention Plan by the means it deems most suitable.
ART. 9 - COPERTURA ASSICURATIVA	ARTICLE 9 - INSURANCE COVERAGE
Le Parti riconoscono che, trattandosi di studio osservazionale, ai sensi della Determinazione AIFA del 20/03/2008, non è necessario stipulare specifica polizza assicurativa per la responsabilità civile verso i pazienti, la cui copertura ricade nel programma di gestione del rischio nell’ambito della normale pratica clinica.	The Parties acknowledge that, as this is an observational study, pursuant to the Italian Medicines Agency Resolution of March 20, 2008, it is not necessary to take out a specific insurance policy to cover civil liability to patients, coverage for which is part of the risk management program within the sphere of normal clinical practice.
ART. 10 - DECORRENZA DELLA CONVENZIONE	ARTICLE 10 - EFFECTIVE DATE OF THE AGREEMENT
Le Parti convengono che la presente scrittura avrà validità a decorrere dalla data di sottoscrizione della	The Parties agree that this document shall be effective from the date it is signed by both parties, or

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

17

convenzione da parte di entrambe le parti, ovvero dall’acquisizione del parere favorevole allo studiorilasciato dall’Autorità competente nelle modalità previste dalla legislazione vigente, laddove successiva, e rimarrà in vigore fino alla data di chiusura formale del centro presso l’Ente.	from the date on which the favourable opinion on the clinical Study is obtained, issued by the Competent Authority according to the provisions set forth by current legislation, if this occurs later, and shall remain in effect until the formal close-out date of the Study site at the Institution.
La data di termine della sperimentazione è prevista indicativamente entro Dicembre 2023, i dati saranno selezionati dalle cartelle cliniche dei pazienti fino al 31 Dicembre 2022 o, comunque, al momento della effettiva chiusura del Centro.	The end date of the Study is tentatively scheduled for December 2023 (patient chart data will be selected through December 31st. 2022) or, in any case, at the time of the actual closure of the Site.
ART. 11 - RECESSO E INTERRUZIONE ANTICIPATA – RISOLUZIONE	ARTICLE 11 - WITHDRAWAL AND EARLY DISCONTINUATION - TERMINATION
11.1 Recesso ed interruzione anticipata	11.1 Withdrawal and early discontinuation
Ciascuna parte può recedere dal presente contratto prima della scadenza per giustificati motivi mediante comunicazione scritta e con preavviso di 30 giorni ai sensi dell’articolo 1373, comma II, c.c., da inoltrare all’altra parte mediante raccomandata a/r o pec. In caso di recesso del promotore sono comunque fatti salvi gli obblighi assunti e le spese effettuate dall’Ente alla data della comunicazione di recesso, senza la possibilità di ottenere il risarcimento per gli eventuali maggiori e diversi danni.	Either party may withdraw from this Agreement before its expiry for justified reasons by giving 30 days’ advance written notice pursuant to Article 1373, paragraph II, of the Italian Civil Code to be sent to the other party by registered mail with receipt of delivery or certified e-mail. If the Sponsor withdraws, such withdrawal shall not affect the obligations assumed and the expenses incurred by the Institution up to the date of notice of withdrawal, with no ability to obtain compensation for additional or different damages.
L’Ente si impegna a restituire l’eventuale compenso già liquidato e relativo ad attività non ancora eseguite.	The Institution agrees to return any fees already paid and relating to yet unperformed activities.
Il Promotore può recedere dal presente contratto per fondate e oggettive ragioni di natura organizzativa, funzionale o amministrativa che rendano obiettivamente impossibile la prosecuzione dello studio. Il promotore potrà recedere dal presente contratto anche nel caso in cui non intenda accettare il sostituto del responsabile della sperimentazione proposto dall’Ente.	The Sponsor may withdraw from this Agreement for founded and objective organisational, functional or administrative reasons that make the continuance of the Study objectively impossible. The Sponsor may also withdraw from this Agreement if it does not wish to accept the replacement for the Principal Investigator proposed by the Institution.

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

18

In particolare, nel caso di recesso anticipato, il promotore liquiderà all’Ente tutte le spese documentate e non revocabili che questo abbia sostenuto al fine di garantire la corretta ed efficace esecuzione dello studio, nonché i compensi sino a quel momento maturati. In caso di recesso anticipato, il promotore ha diritto di ricevere, quale proprietario a titolo originario, ogni risultato anche parziale, ottenuto dall’Ente a seguito e nel corso dello studio.	In particular, in the event of early withdrawal, the Sponsor shall pay the Institution all the documented and irrevocable costs it incurred to ensure the proper and effective performance of the Study, as well as the fees earned up to that time. In the event of early withdrawal, the Sponsor shall be entitled, as original owner, to receive all results, including partial results, obtained by the Institution as a result of and during the Study.
11.2 Risoluzione	11.2 Termination
Ciascuna delle parti della presente convenzione si riserva il diritto di risolvere la presente convenzione per gravi e documentate inadempienze dell’altra parte.	Each party to this Agreement reserves the right to terminate this Agreement for serious and documented breaches by the other party.
La presente convenzione si intenderà risolta di diritto ai sensi dell’articolo 1456 c.c. qualora lo studio non venga condotta in conformità al d.lgs. 6.11.2007 n. 200, al d.lgs. 24.06.2003 n. 211 e secondo le norme di Buona Pratica Clinica in vigore.	This Agreement shall be deemed terminated as a matter of law pursuant to Article 1456 of the Italian Civil Code if the Study is not conducted in accordance with d.lgs. no. 200 of 06/11/2007, d.lgs. no. 211 of 24/06/2003 and the current Good Clinical Practices regulations.
La presente convenzione si ritiene in ogni caso sospesa o interrotta definitivamente in caso di specifica determinazione in tal senso assunta dall’Autorità competente secondo la normativa vigente.	This Agreement shall be deemed definitively suspended or discontinued if a specific resolution to that effect is issued by the Competent Authority under current legislation.
ART. 12 - REGISTRAZIONE E BOLLI.	ARTICLE 12 - REGISTRATION AND STAMP DUTY
Il presente atto è soggetto a registrazione solo in caso di uso. Le spese di bollo sono a carico del Promotore.	This deed is subject to registration only in the event of its use. Stamp duty shall be paid by the Sponsor.

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

19

ART. 13 – FORO COMPETENTE E NORMATIVA APPLICABILE.	ARTICLE 13 – COMPETENT JURISDICTION AND APPLICABLE LAW.
La normativa applicabile alla presente convenzione è quella dello Stato Italiano.	The legislation that shall apply to this Agreement is that of the Italian State.
Per ogni eventuale controversia relativa all’interpretazione e/o all’esecuzione del presente contratto, non risolvibile in via amichevole, è competente, in via esclusiva, il Foro di Verona, con espressa esclusione di qualsiasi altro Foro, generale e facoltativo.	The Court of Verona shall have exclusive jurisdiction over any dispute arising from the interpretation and/or performance of this Agreement which cannot be resolved amicably, thereby expressly excluding any other general or optional Court.
ART. 14 - MODIFICHE ED INTEGRAZIONI	ARTICLE 14 - AMENDMENTS AND SUPPLEMENTS
Eventuali modifiche alla presente Convenzione potranno essere effettuate, previo accordo fra le Parti, solo tramite stesura di apposite modifiche scritte.	Any changes to this Agreement may only be made by drafting specific written amendments, subject to prior agreement between the Parties.
Le parti si danno reciprocamente atto che il contratto è stato negoziato in ogni sua parte e che non trovano pertanto applicazione le disposizioni di cui agli artt. 1341 e 1342, c.c.	The Parties mutually acknowledge that all parts of this Agreement were negotiated and that, therefore, the provisions of Articles 1341 and 1342 of the Italian Civil Code do not apply.
ART. 15 – CESSIONE	ARTICLE 15 – ASSIGNMENT
I diritti e gli obblighi dell’Ente o del Promotore non possono essere ceduti o formare oggetto di sub contratti senza preventivo consenso scritto del Promotore o dell’Ente.	The rights and obligations of the Institution or of the Sponsor cannot be assigned or subcontracted without the Sponsor’s or the Institution’s prior written consent.
ART. 16 – RISPETTO DELLA NORMATIVA	ARTICLE 16 – COMPLIANCE WITH THE LAW

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

20

L’Ente dichiara che, anche nell’esecuzione della presente convenzione, agirà nel pieno rispetto della normativa italiana per qualsiasi attività condotta dal proprio personale, ovvero da terzi.	The Institution represents that, in performing this Agreement, it will act in full compliance with the Italian legislation for any activity conducted by its staff or by third parties.
Similmente il Promotore, che considera tutti i suddetti principi ed elevati standard etici come valori primari ed irrinunciabili in tutte le proprie attività, ha introdotto un programma finalizzato a prevenire la corruzione in ogni sua forma ed espressione, applicando i più rigorosi criteri di correttezza ed appropriatezza in tutte le proprie transazioni e collaborazioni.	Likewise, the Sponsor, which considers all the aforementioned principles and high ethical standards as primary and fundamental values in all its activities, has introduced a programme to prevent corruption in all forms and expressions by applying the strictest criteria of integrity and propriety in all its transactions and dealings.
Conseguentemente le parti si impegnano a rispettare le leggi vigenti in materia di prevenzione della corruzione (a titolo esemplificativo ove applicabili: Legge 190/2012, DPR n. 62/2013, D. Lgs 231/01).	Consequently, the Parties undertake to comply with the anti-corruption laws in effect (for example, where applicable: Law 190/2012, DPR (Decreto del Presidente della Repubblica [Presidential Decree]) no. 62/2013, D.Lgs no. 231/01)
Resta inteso che la parte inadempiente si impegna a manlevare e tenere indenne l’altra parte e il Promotore da qualsiasi pregiudizio che possa derivare dal comportamento della parte inadempiente in violazione delle suddette normative.	It is acknowledged that the breaching party undertakes to indemnify and hold the other party and the Sponsor harmless from any harm that may result from the breaching party’s conduct in violation of the aforesaid laws.
ART. 17 – LINGUA	ART. 17 – LANGUAGE
17.1 In caso di difformità tra la versione in lingua inglese e quella in lingua italiana del presente Contratto, la versione in italiano prevarrà.	17.1 In the event of any discrepancy between the English and Italian versions of this Agreement, the Italian version will prevail.

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

21

Xxxxx, approvato e sottoscritto.	Read, approved and signed.
p. l’Ente:	for the Hospital:
Azienda Ospedaliera Universitaria Integrata Verona (AOUI Verona)	Azienda Ospedaliera Universitaria Integrata Verona (AOUI Verona)
Direttore Generale	Chief Executive
Dott. Xxxxxxxx Xxxxx Xxxxx	Dr Xxxxxxxx Xxxxx Xxxxx
Data:             Firma:	Date:             Signature:
p. il Promotore:	for the Sponsor:
Vertex Pharmaceuticals Incorporated	Vertex Pharmaceuticals Incorporated
Direttore esecutivo, Vendor and Business Management	Executive Director, Vendor and Business Management
Xxxx. Xxxxx Xxxx	Dr Xxxxx Xxxx
Data:             Firma:	Date:  Signature:
Per presa visione e accettazione	Read and accepted
Il responsabile della sperimentazione	The Principal Investigator
Xxxx. Xxxxx Xxxxxxx	Dr Xxxxx Xxxxxxx
Data:             Firma:	Date:  Signature:

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

22

ALLEGATO A ANNEX A

STANDARD CONTRACTUAL CLAUSES	CLAUSOLE CONTRATTUALI TIPO
SECTION I	SEZIONE I
Clause 1	Clausola 1
Purpose and scope	Finalità e ambito
(a)The purpose of these standard contractual clauses is to ensure compliance with the requirements of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation) (1) for the transfer of personal data to a third country.	a)Scopo delle presenti clausole contrattuali tipo è garantire il rispetto dei requisiti del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (Regolamento generale sulla protezione dei dati) (1) in caso di trasferimento di dati personali verso un Paese terzo.
(b)The Parties:	b)Le Parti:
(i)the natural or legal person(s), public authority/ies, agency/ies or other body/ies (hereinafter ‘entity/ies’) transferring the personal data, as listed in Annex I.A (hereinafter each ‘data exporter’), and	i)la o le persone fisiche o giuridiche, la o le autorità pubbliche, lo o gli organismi o altri organi (di seguito la o le “entità”) che trasferiscono i dati personali, elencate nell’allegato I.A. (di seguito “esportatore”), e
(ii)the entity/ies in a third country receiving the personal data from the data exporter, directly or indirectly via another entity also Party to these Clauses, as listed in Annex I.A (hereinafter each ‘data importer’)	ii)la o le entità di un Paese terzo che ricevono i dati personali dall’esportatore, direttamente o indirettamente tramite un’altra entità anch’essa parte delle presenti clausole, elencate nell’allegato I.A. (di seguito “importatore”)
have agreed to these standard contractual clauses (hereinafter: ‘Clauses’).	hanno accettato le presenti clausole contrattuali tipo (di seguito: “clausole”).
(c)These Clauses apply with respect to the transfer of personal data as specified in Annex I.B.	c)Le presenti clausole si applicano al trasferimento di dati personali specificato all’allegato I.B
(d)The Appendix to these Clauses containing the Annexes referred to therein forms an integral part of these Clauses.	d)L’appendice delle presenti clausole contenente gli allegati ivi menzionati costituisce parte integrante delle presenti clausole.
(1) Where the data exporter is a processor subject to Regulation (EU) 2016/679 acting on behalf of a Union institution or body as controller, reliance on these Clauses when engaging another processor (sub-processing)	(1) Qualora l’esportatore sia un responsabile del trattamento soggetto al regolamento (UE) 2016/679 che agisce per conto di un’istituzione o di un organo dell’Unione in qualità di titolare del trattamento, l’utilizzo delle presenti clausole

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

23

not subject to Regulation (EU) 2016/679 also ensures compliance with Article 29(4) of Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (OJ L 295, 21.11.2018, p. 39), to the extent these Clauses and the data protection obligations as set out in the contract or other legal act between the controller and the processor pursuant to Article 29(3) of Regulation (EU) 2018/1725 are aligned. This will in particular be the case where the controller and processor rely on the standard contractual clauses included in Decision 2021/915.	quando è fatto ricorso a un altro responsabile del trattamento (sub-responsabile del trattamento) non soggetto al regolamento (UE) 2016/679 garantisce anche il rispetto dell’articolo 29, paragrafo 4, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (GU L 295 del 21.11.2018, pag. 39), nella misura in cui le presenti clausole e gli obblighi in materia di protezione dei dati stabiliti nel contratto o in altro atto giuridico tra il titolare del trattamento e il responsabile del trattamento in conformità dell’articolo 29, paragrafo 3, del regolamento (UE) 2018/1725 sono allineati. Si tratta, in particolare, del caso in cui il titolare del trattamento e il responsabile del trattamento si basano sulle clausole contrattuali tipo incluse nella decisione 2021/915.
Clause 2	Clausola 2
Effect and invariability of the Clauses	Efficacia e invariabilità delle Clausole
(a)These Clauses set out appropriate safeguards, including enforceable data subject rights and effective legal remedies, pursuant to Article 46(1) and Article 46(2)(c) of Regulation (EU) 2016/679 and, with respect to data transfers from controllers to processors and/or processors to processors, standard contractual clauses pursuant to Article 28(7) of Regulation (EU) 2016/679, provided they are not modified, except to select the appropriate Module(s) or to add or update information in the Appendix. This does not prevent the Parties from including the standard contractual clauses laid down in these Clauses in a wider contract and/or to add other clauses or additional safeguards, provided that they do not contradict, directly or indirectly, these Clauses or prejudice the fundamental rights or freedoms of data subjects.	(a)Le presenti Clausole stabiliscono le opportune misure di salvaguardia, compresi i diritti applicabili dell’Interessato e i rimedi legali efficaci, ai sensi dell’art. 46(1) e dell’art. 46(2)(c) del Regolamento (UE) 2016/679 e, con riferimento ai trasferimenti di dati dai titolari del trattamento ai responsabili del trattamento e/o dai responsabili del trattamento ai responsabili del trattamento, clausole contrattuali tipo ai sensi dell’art. 28(7) del Regolamento (UE) 2016/679, a condizione che non vengano modificati, tranne per selezionare il/i modulo/i appropriato/i o per aggiungere o aggiornare le informazioni nell’Appendice. Ciò non impedisce alle parti di includere le clausole contrattuali tipo stabilite nelle presenti clausole in un contratto più ampio e di aggiungere altre clausole o garanzie supplementari, purché queste non contraddicano, direttamente o indirettamente, le presenti clausole o ledano i diritti o le libertà fondamentali degli interessati.

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

24

(b)These Clauses are without prejudice to obligations to which the data exporter is subject by virtue of Regulation (EU) 2016/679.	(b)Le presenti Clausole non pregiudicano gli obblighi ai quali l’esportatore dei dati è soggetto ai sensi del Regolamento (UE) 2016/679.
Clause 3	Clausola 3
Third-party beneficiaries	Beneficiari terzi
(a)Data subjects may invoke and enforce these Clauses, as third-party beneficiaries, against the data exporter and/or data importer, with the following exceptions:	(a)Gli interessati possono invocare e applicare le presenti Clausole, in qualità di beneficiari terzi, nei confronti dell’esportatore dei dati e/o dell’importatore dei dati, con le seguenti eccezioni:
(i)Clause 1, Xxxxxx 2, Xxxxxx 3, Xxxxxx 6, Xxxxxx 7;	(i)Xxxxxxxx 1, Xxxxxxxx 0, Xxxxxxxx 0, Xxxxxxxx 0, Xxxxxxxx 0;
(ii)Clause 8.5 (e) and Clause 8.9(b);	(ii)Clausola 8.5 (e) e Clausola 8.9(b);
(iii)Clause 12(a) and (d);	(iii)Clausola 12(a) e (d);
(iv)Clause 13;	(iv)Clausola 13;
(v)Clause 15.1(c), (d) and (e);	(v)Clausola 15.1(c), (d) ed (e);
(vi)Clause 16(e);	(vi) Clausola 16(e);
(vii)Clause 18(a) and (b).	(vii)Clausola 18(a) e (b).
(b)Paragraph (a) is without prejudice to rights of data subjects under Regulation (EU) 2016/679.	(b)Il comma (a) non pregiudica i diritti degli Interessati ai sensi del Regolamento (UE) 2016/679.
Clause 4	Clausola 4
Interpretation	Interpretazione
(a)Where these Clauses use terms that are defined in Regulation (EU) 2016/679, those terms shall have the same meaning as in that Regulation.	(a)Laddove le presenti Clausole utilizzino termini definiti nel Regolamento (UE) 2016/679, tali termini avranno lo stesso significato loro attribuito nel Regolamento.
(b)These Clauses shall be read and interpreted in the light of the provisions of Regulation (EU) 2016/679.	b)Le presenti clausole vanno lette e interpretate alla luce delle disposizioni del regolamento (UE) 2016/679.
(c)These Clauses shall not be interpreted in a way that conflicts with rights and obligations provided for in Regulation (EU) 2016/679.	(c)Le presenti Clausole non saranno interpretate in modo da entrare in conflitto con i diritti e gli obblighi previsti dal Regolamento (UE) 2016/679.
Clause 5	Clausola 5
Hierarchy	Gerarchia

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

25

In the event of a contradiction between these Clauses and the provisions of related agreements between the Parties, existing at the time these Clauses are agreed or entered into thereafter, these Clauses shall prevail.	In caso di contraddizione tra le presenti Clausole e le disposizioni dei relativi accordi tra le Parti, esistenti al momento in cui le presenti Clausole sono concordate o stipulate successivamente, prevarranno le presenti Clausole.
Clause 6	Clausola 6
Description of the transfer(s)	Descrizione del/i trasferimento/i
The details of the transfer(s), and in particular the categories of personal data that are transferred and the purpose(s) for which they are transferred, are specified in Annex I.B.	I dettagli dei trasferimenti, in particolare le categorie di dati personali trasferiti e le finalità per le quali i dati sono trasferiti, sono specificati nell’allegato I.B.
Clause 7 – Optional	Clausola 7 – Opzionale
Docking clause	Docking clause- Clausola di adesione successiva
(a)An entity that is not a Party to these Clauses may, with the agreement of the Parties, accede to these Clauses at any time, either as a data exporter or as a data importer, by completing the Appendix and signing Annex I.A.	(a)Un’entità che non sia una Parte delle presenti Clausole può, con l’accordo delle Parti, aderire alle presenti Clausole in qualsiasi momento, in qualità di esportatore dei dati o di importatore dei dati, completando l’Appendice e firmando l’Allegato I.A.
(b)Once it has completed the Appendix and signed Annex I.A, the acceding entity shall become a Party to these Clauses and have the rights and obligations of a data exporter or data importer in accordance with its designation in Annex I.A.	b) Una volta compilata l’appendice e firmato l’allegato I.A, l’entità aderente diventa parte delle presenti clausole e ha i diritti e gli obblighi di un esportatore o di un importatore, conformemente alla sua designazione nell’allegato I.A.
(c)The acceding entity shall have no rights or obligations arising under these Clauses from the period prior to becoming a Party.	c) L’entità aderente non ha diritti od obblighi derivanti a norma delle presenti clausole per il periodo precedente all’adesione.
SECTION II – OBLIGATIONS OF THE PARTIES	SEZIONE II – OBBLIGHI DELLE PARTI
Clause 8	Clausola 8
Data protection safeguards	Misure di salvaguardia per la protezione dei dati

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

26

The data exporter warrants that it has used reasonable efforts to determine that the data importer is able, through the implementation of appropriate technical and organisational measures, to satisfy its obligations under these Clauses.	L’esportatore dei dati garantisce di aver compiuto ogni ragionevole sforzo per stabilire che l’importatore dei dati sia in grado, attraverso l’implementazione di misure tecniche e organizzative appropriate, di adempiere ai propri obblighi ai sensi delle presenti Clausole.
8.1Purpose limitation	8.1Limitazione dello scopo
The data importer shall process the personal data only for the specific purpose(s) of the transfer, as set out in Annex I. B. It may only process the personal data for another purpose:	L’importatore tratta i dati personali soltanto per le finalità specifiche del trasferimento di cui all’allegato I.B. Può trattare i dati personali per un’altra finalità soltanto:
(i) where it has obtained the data subject’s prior consent;	i) se ha ottenuto il consenso preliminare dell’interessato;
(ii) where necessary for the establishment, exercise or defence of legal claims in the context of specific administrative, regulatory or judicial proceedings; or	ii) se il trattamento è necessario per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria nell’ambito di specifici procedimenti amministrativi, regolamentari o giudiziari; o
(iii) where necessary in order to protect the vital interests of the data subject or of another natural person.	iii) se il trattamento è necessario per la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica.
8.2Transparency	8.2 Trasparenza
(a) In order to enable data subjects to effectively exercise their rights pursuant to Clause 10, the data importer shall inform them, either directly or through the data exporter:	a) Per consentire agli interessati di esercitare effettivamente i propri diritti in conformità della clausola 10, l’importatore li informa, direttamente o tramite l’esportatore, circa:
(i) of its identity and contact details;	i) la sua identità e i suoi dati di contatto;
(ii) of the categories of personal data processed;	ii) le categorie di dati personali trattati;
(iii) of the right to obtain a copy of these Clauses;	iii) il diritto di ottenere una copia delle presenti clausole;
(iv)where it intends to onward transfer the personal data to any third party/ies, of the recipient or categories of recipients (as appropriate with a view to providing meaningful information), the purpose of such onward transfer and the ground therefore pursuant to Clause 8.7.	iv) qualora intenda trasferire successivamente i dati personali a terzi, il destinatario o le categorie di destinatari (ove opportuno al fine di fornire informazioni significative), la finalità del trasferimento successivo e il motivo dello stesso in conformità della clausola 8.7.
(b) Paragraph (a) shall not apply where the data subject already has the information, including when such information has already been provided by the data exporter, or providing the information proves impossible or would involve a disproportionate effort for the data importer. In the latter case, the data importer shall, to the	b) La lettera a) non si applica se l’interessato dispone già delle informazioni, anche quando tali informazioni sono già state fornite dall’esportatore, o se la comunicazione delle informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato per l’importatore. In quest’ultimo caso

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

27

extent possible, make the information publicly available.	l’importatore, per quanto possibile, rende pubbliche le informazioni.
(c) On request, the Parties shall make a copy of these Clauses, including the Appendix as completed by them, available to the data subject free of charge. To the extent necessary to protect business secrets or other confidential information, including personal data, the Parties may redact part of the text of the Appendix prior to sharing a copy, but shall provide a meaningful summary where the data subject would otherwise not be able to understand its content or exercise his/her rights. On request, the Parties shall provide the data subject with the reasons for the redactions, to the extent possible without revealing the redacted information.	c) Su richiesta, le parti mettono gratuitamente a disposizione dell’interessato una copia delle presenti clausole, compresa l’appendice da loro compilata. Nella misura necessaria a proteggere segreti aziendali o altre informazioni riservate, compresi i dati personali, le parti possono espungere informazioni dall’appendice prima di trasmetterne una copia, fornendo tuttavia una sintesi significativa qualora l’interessato non sia altrimenti in grado di comprenderne il contenuto o di esercitare i propri diritti. Su richiesta, le parti comunicano all’interessato le ragioni delle espunzioni, per quanto possibile senza rivelare le informazioni espunte.
(d) Paragraphs (a) to (c) are without prejudice to the obligations of the data exporter under Articles 13 and 14 of Regulation (EU) 2016/679.	d) Le lettere da a) a c) lasciano impregiudicati gli obblighi incombenti all’esportatore a norma degli articoli 13 e 14 del regolamento (UE) 2016/679.
8.3Accuracy and data minimisation	8.3Accuratezza e minimizzazione dei dati
(a)Each Party shall ensure that the personal data is accurate and, where necessary, kept up to date. The data importer shall take every reasonable step to ensure that personal data that is inaccurate, having regard to the purpose(s) of processing, is erased or rectified without delay.	a) Ciascuna parte provvede affinché i dati personali siano esatti e, se necessario, aggiornati. L’importatore adotta tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati.
(b)If one of the Parties becomes aware that the personal data it has transferred or received is inaccurate, or has become outdated, it shall inform the other Party without undue delay.	b) Se una parte viene a conoscenza del fatto che i dati personali che ha trasferito o ricevuto sono inesatti o obsoleti, ne informa senza ingiustificato ritardo l’altra parte.
(c)The data importer shall ensure that the personal data is adequate, relevant and limited to what is necessary in relation to the purpose(s) of processing.	c) L’importatore provvede affinché i dati personali siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati.
8.4Storage limitation	8.4 Limitazione della conservazione
The data importer shall retain the personal data for no longer than necessary for the purpose(s) for which it is processed. It shall put in place appropriate technical or organisational measures to ensure compliance with this obligation, including erasure or anonymisation (2) of the data and all back-ups at the end of the retention period.	L’importatore conserva i dati personali per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono trattati. Mette in atto misure tecniche o organizzative adeguate per garantire il rispetto di tale obbligo, compresa la cancellazione o l’anonimizzazione dei dati e di tutti i backup alla fine del periodo di conservazione.

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

28

8.5Security of processing	8.5Sicurezza del trattamento
(a)The data importer and, during transmission, also the data exporter shall implement appropriate technical and organisational measures to ensure the security of the personal data, including protection against a breach of security leading to accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access (hereinafter ‘personal data breach’). In assessing the appropriate level of security, they shall take due account of the state of the art, the costs of implementation, the nature, scope, context and purpose(s) of processing and the risks involved in the processing for the data subject. The Parties shall in particular consider having recourse to encryption or pseudonymisation, including during transmission, where the purpose of processing can be fulfilled in that manner.	a) L’importatore e, durante la trasmissione, anche l’esportatore mettono in atto misure tecniche e organizzative adeguate per garantire la sicurezza dei dati personali, compresa la protezione da ogni violazione di sicurezza che comporti accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso a tali dati (di seguito “violazione dei dati personali”). Nel valutare l’adeguato livello di sicurezza, essi tengono debitamente conto dello stato dell’arte, dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi derivanti dal trattamento per gli interessati. Le parti prendono in considerazione in particolare la possibilità di ricorrere alla cifratura o alla pseudonimizzazione, anche durante la trasmissione, qualora la finalità del trattamento possa essere conseguita in tal modo.
(b) The Parties have agreed on the technical and organisational measures set out in Xxxxx XX. The data importer shall carry out regular checks to ensure that these measures continue to provide an appropriate level of security.	b) Le parti concordano le misure tecniche e organizzative di cui all’allegato II. L’importatore effettua controlli regolari per garantire che tali misure continuino a offrire un adeguato livello di sicurezza.
(c) The data importer shall ensure that persons authorised to process the personal data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality.	c) L’importatore garantisce che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza.
(d)In the event of a personal data breach concerning personal data processed by the data importer under these Clauses, the data importer shall take appropriate measures to address the personal data breach, including measures to mitigate its possible adverse effects.	d) In caso di una violazione dei dati personali trattati dall’importatore a norma delle presenti clausole, l’importatore adotta misure adeguate per porre rimedio alla violazione, anche per attenuarne i possibili effetti negativi.
(e) In case of a personal data breach that is likely to result in a risk to the rights and freedoms of natural persons, the data importer shall without undue delay notify both the data exporter and the competent supervisory authority pursuant to Clause 13. Such notification shall contain i) a	e) In caso di una violazione dei dati personali che possa presentare un rischio per i diritti e le libertà delle persone fisiche, l’importatore informa l’esportatore e l’autorità di controllo competente in conformità della clausola 13 senza ingiustificato ritardo. Tale notifica

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

29

description of the nature of the breach (including, where possible, categories and approximate number of data subjects and personal data records concerned), ii) its likely consequences, iii) the measures taken or proposed to address the breach, and iv) the details of a contact point from whom more information can be obtained. To the extent it is not possible for the data importer to provide all the information at the same time, it may do so in phases without undue further delay.	contiene i) una descrizione della natura della violazione (compresi, ove possibile, le categorie e il numero approssimativo di interessati e di registrazioni dei dati personali in questione), ii) le sue probabili conseguenze, iii) le misure adottate o di cui si propone l’adozione per porre rimedio alla violazione e iv) i recapiti di un punto di contatto presso il quale possono essere ottenute maggiori informazioni. Nella misura in cui non gli sia possibile fornire le informazioni contestualmente, l’importatore può fornirle in fasi successive senza ulteriore ingiustificato ritardo.
(f) In case of a personal data breach that is likely to result in a high risk to the rights and freedoms of natural persons, the data importer shall also notify without undue delay the data subjects concerned of the personal data breach and its nature, if necessary in cooperation with the data exporter, together with the information referred to in paragraph (e), points ii) to iv), unless the data importer has implemented measures to significantly reduce the risk to the rights or freedoms of natural persons, or notification would involve disproportionate efforts. In the latter case, the data importer shall instead issue a public communication or take a similar measure to inform the public of the personal data breach.	f) In caso di una violazione dei dati personali che possa presentare un rischio elevato per i diritti e le libertà delle persone fisiche, l’importatore informa senza ingiustificato ritardo gli interessati della violazione dei dati personali e della sua natura, se necessario in cooperazione con l’esportatore, unitamente alle informazioni di cui alla lettera e), punti da ii) a iv), a meno che l’importatore abbia attuato misure volte a ridurre in modo significativo il rischio per i diritti o le libertà delle persone fisiche o che la notifica implichi uno sforzo sproporzionato. In quest’ultimo caso, l’importatore effettua una comunicazione pubblica o adotta misure analoghe per informare il pubblico della violazione dei dati personali.
(g)The data importer shall document all relevant facts relating to the personal data breach, including its effects and any remedial action taken, and keep a record thereof.	g) L’importatore documenta tutte le circostanze pertinenti relative alla violazione dei dati personali, comprese le sue conseguenze e i provvedimenti adottati per porvi rimedio, e ne tiene un registro.
8.6Sensitive data	8.6 Dati sensibili
Where the transfer involves personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, genetic data, or biometric data for the purpose of uniquely identifying a natural person, data concerning health or a person’s sex life or sexual orientation, or data relating to criminal convictions or offences (hereinafter ‘sensitive data’), the data importer shall apply specific	Qualora il trasferimento riguardi dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l’appartenenza sindacale, dati genetici o dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona, o dati relativi a condanne penali e a reati (in prosieguo “dati sensibili”), l’importatore applica limitazioni specifiche e/o

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

30

restrictions and/or additional safeguards adapted to the specific nature of the data and the risks involved. This may include restricting the personnel permitted to access the personal data, additional security measures (such as pseudonymisation) and/or additional restrictions with respect to further disclosure.	garanzie supplementari adeguate alla natura specifica dei dati e ai rischi connessi. Ciò può includere limitazioni del personale autorizzato ad accedere ai dati personali, misure di sicurezza supplementari (quali la pseudonimizzazione) e/o limitazioni aggiuntive all’ulteriore divulgazione.
8.7Onward transfers	8.7 Trasferimenti successivi
The data importer shall not disclose the personal data to a third party located outside the European Union (3) (in the same country as the data importer or in another third country, hereinafter ‘onward transfer’) unless the third party is or agrees to be bound by these Clauses, under the appropriate Module. Otherwise, an onward transfer by the data importer may only take place if:	L’importatore non comunica i dati personali a terzi situati al di fuori dell’Unione europea (3) (nel suo stesso Paese o in un altro Paese terzo - di seguito: “trasferimento successivo”), a meno che il terzo sia o accetti di essere vincolato dalle presenti clausole, secondo il modulo appropriato. Altrimenti, il trasferimento successivo da parte dell’importatore può aver luogo solo se:
(i)it is to a country benefitting from an adequacy decision pursuant to Article 45 of Regulation (EU) 2016/679 that covers the onward transfer;	(i) sia in un Paese che beneficia di una decisione di adeguatezza ai sensi dell’Articolo 45 del Regolamento (UE) 2016/679 che comprende il trasferimento successivo;
(ii)the third party otherwise ensures appropriate safeguards pursuant to Articles 46 or 47 of Regulation (EU) 2016/679 with respect to the processing in question;	(ii) la terza parte assicura comunque adeguate misure di salvaguardia ai sensi degli artt. 46 o 47 del Regolamento (UE) 2016/679 in relazione al trattamento in oggetto;
(iii)the third party enters into a binding instrument with the data importer ensuring the same level of data protection as under these Clauses, and the data importer provides a copy of these safeguards to the data exporter;	(iii) la terza parte entra in uno strumento vincolante con l’importatore dei dati che garantisce lo stesso livello di protezione dei dati previsto dalle presenti Clausole, e l’importatore dei dati fornisce una copia di tali misure di salvaguardia all’esportatore dei dati;
(iv)it is necessary for the establishment, exercise or defence of legal claims in the context of specific administrative, regulatory or judicial proceedings;	(iv) è necessario per l’istituzione, l’esercizio o la difesa di azioni legali nel contesto di specifici procedimenti amministrativi, normativi o giudiziari;
(v)it is necessary in order to protect the vital interests of the data subject or of another natural person; or	(v) è necessario per proteggere gli interessi vitali dell’interessato o di un’altra persona fisica; o
(vi)where none of the other conditions apply, the data importer has obtained the explicit consent of the data subject for an onward transfer in a specific situation, after having informed him/her of its purpose(s), the identity of the recipient and the possible risks of such transfer to him/her due to the lack of appropriate data protection safeguards. In this case, the data importer shall inform the data exporter and, at the request of	(vi) qualora nessuna delle altre condizioni si applichi, l’importatore dei dati ha ottenuto l’esplicito consenso dell’interessato per un ulteriore trasferimento in una situazione specifica, dopo aver informato il medesimo della/e sua/e finalità, dell’identità del destinatario e dei possibili rischi di tale trasferimento a causa della mancanza di adeguate misure di salvaguardia per la

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

31

the latter, shall transmit to it a copy of the information provided to the data subject.	protezione dei dati. In tal caso, l’importatore informa l’esportatore e, su richiesta di quest’ultimo, gli trasmette copia delle informazioni fornite all’interessato.
Any onward transfer is subject to compliance by the data importer with all the other safeguards under these Clauses, in particular purpose limitation.	Qualunque trasferimento successivo è soggetto al rispetto da parte dell’importatore di tutte le altre garanzie previste dalle presenti clausole, in particolare la limitazione delle finalità.
(3) The Agreement on the European Economic Area (EEA Agreement) provides for the extension of the European Union’s internal market to the three EEA States Iceland, Liechtenstein and Norway. The Union data protection legislation, including Regulation (EU) 2016/679, is covered by the EEA Agreement and has been incorporated into Annex XI thereto. Therefore, any disclosure by the data importer to a third party located in the EEA does not qualify as an onward transfer for the purpose of these Clauses.	(3) L’accordo sullo Spazio economico europeo (accordo SEE) prevede l’estensione del mercato interno dell’Unione europea ai tre Stati del SEE: Islanda, Liechtenstein e Norvegia. La legislazione dell’Unione sulla protezione dei dati, regolamento (UE) 2016/679 compreso, è materia contemplata dall’accordo SEE, nel cui allegato XI è stata integrata. Pertanto, qualunque comunicazione da parte dell’importatore a terzi situati nel SEE non può essere considerata un trasferimento successivo ai fini delle presenti clausole.
8.8Processing under the authority of the data importer	8.8Trattamento sotto l’autorità dell’importatore dei dati
The data importer shall ensure that any person acting under its authority, including a processor, processes the data only on its instructions.	L’importatore provvede affinché chiunque agisca sotto la sua autorità, compreso un responsabile del trattamento, tratti i dati soltanto su sua istruzione.
8.9Documentation and compliance	8.9Documentazione e conformità
(a)Each Party shall be able to demonstrate compliance with its obligations under these Clauses. In particular, the data importer shall keep appropriate documentation of the processing activities carried out under its responsibility.	a) Xxxxxxxx parte deve essere in grado di dimostrare il rispetto degli obblighi che le incombono a norma delle presenti clausole. In particolare, l’importatore conserva documentazione adeguata delle attività di trattamento effettuate sotto la sua responsabilità.
(b)The data importer shall make such documentation available to the competent supervisory authority on request.	(b) Su richiesta, l’importatore dei dati dovrà mettere tale documentazione a disposizione dell’autorità di vigilanza competente.
Clause 9	Clausola 9
Use of sub-processors	Uso di sub-incaricati del trattamento
[Clause 9: Intentionally Omitted]	[Clausola 9: Omesso intenzionalmente]

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

32

Clause 10	Clausola 10
Data subject rights	Diritti dell’interessato
(a) The data importer, where relevant with the assistance of the data exporter, shall deal with any enquiries and requests it receives from a data subject relating to the processing of his/her personal data and the exercise of his/her rights under these Clauses without undue delay and at the latest within one month of the receipt of the enquiry or request. (4) The data importer shall take appropriate measures to facilitate such enquiries, requests and the exercise of data subject rights. Any information provided to the data subject shall be in an intelligible and easily accessible form, using clear and plain language.	(a) L’importatore dei dati, ove pertinente con l’assistenza dell’esportatore dei dati, dovrà gestire qualsiasi richiesta e domanda ricevuta da un interessato relativa al trattamento dei suoi dati personali e all’esercizio dei suoi diritti ai sensi delle presenti Clausole senza indebito ritardo e al più tardi entro un mese dalla ricezione della richiesta o domanda. (4) L’importatore adotta misure adeguate per agevolare tali richieste di informazioni, richieste e l’esercizio dei diritti dell’interessato. Tutte le informazioni fornite all’interessato sono in forma intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro.
(4) That period may be extended by a maximum of two more months, to the extent necessary taking into account the complexity and number of requests. The data importer shall duly and promptly inform the data subject of any such extension.	(4) Tale termine può essere prorogato al massimo di due mesi, se necessario, tenuto conto della complessità e del numero di richieste. L’importatore dei dati informerà debitamente e tempestivamente l’interessato di tale estensione.
(b)In particular, upon request by the data subject the data importer shall, free of charge:	(b)In particolare, su richiesta dell’interessato, l’importatore dei dati dovrà, gratuitamente:
(i)provide confirmation to the data subject as to whether personal data concerning him/her is being processed and, where this is the case, a copy of the data relating to him/her and the information in Annex I; if personal data has been or will be onward transferred, provide information on recipients or categories of recipients (as appropriate with a view to providing meaningful information) to which the personal data has been or will be onward transferred, the purpose of such onward transfers and their ground pursuant to Clause 8.7; and provide information on the right to lodge a complaint with a supervisory authority in accordance with Clause 12(c)(i);	i)conferma all’interessato se i dati personali che lo riguardano sono o meno oggetto di trattamento e, in caso affermativo, fornisce una copia di tali dati e le informazioni di cui all’allegato I; se i dati personali sono stati o saranno oggetto di un trasferimento successivo, fornisce informazioni circa i destinatari o le categorie di destinatari (se del caso al fine di fornire informazioni significative) a cui i dati personali sono stati o saranno trasferiti, la finalità di tali trasferimenti successivi e il loro motivo in conformità della clausola 8.7; e fornisce informazioni sul diritto di proporre reclamo a un’autorità di controllo conformemente alla clausola 12, lettera c), punto i);

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

33

(ii)rectify inaccurate or incomplete data concerning the data subject;	ii)rettifica i dati inesatti o incompleti dell’interessato;
(iii)erase personal data concerning the data subject if such data is being or has been processed in violation of any of these Clauses ensuring third-party beneficiary rights, or if the data subject withdraws the consent on which the processing is based.	iii)cancella i dati personali dell’interessato se tali dati sono o sono stati trattati in violazione di una delle presenti clausole, garantendo i diritti del terzo beneficiario, o se l’interessato revoca il consenso su cui si basa il trattamento.
(c)Where the data importer processes the personal data for direct marketing purposes, it shall cease processing for such purposes if the data subject objects to it.	c)Qualora l’importatore tratti i dati personali per finalità di marketing diretto, cessa il trattamento per tali finalità se l’interessato vi si oppone.
(d)The data importer shall not make a decision based solely on the automated processing of the personal data transferred (hereinafter ‘automated decision’), which would produce legal effects concerning the data subject or similarly significantly affect him/her, unless with the explicit consent of the data subject or if authorised to do so under the laws of the country of destination, provided that such laws lays down suitable measures to safeguard the data subject’s rights and legitimate interests. In this case, the data importer shall, where necessary in cooperation with the data exporter:	d)L’importatore non prende alcuna decisione basata unicamente sul trattamento automatizzato dei dati personali trasferiti (di seguito “decisione automatizzata”), che produca effetti giuridici che riguardano l’interessato o che incida in modo analogo significativamente sulla sua persona, salvo con il consenso esplicito dell’interessato o se autorizzato in tal senso dalla legislazione del Paese di destinazione, a condizione che tale legislazione preveda misure adeguate a tutela dei diritti e dei legittimi interessi dell’interessato. In tal caso l’importatore, se necessario in cooperazione con l’esportatore:
(i)inform the data subject about the envisaged automated decision, the envisaged consequences and the logic involved; and	i) informa l’interessato della prevista decisione automatizzata, delle conseguenze previste e della logica utilizzata; e
(ii)implement suitable safeguards, at least by enabling the data subject to contest the decision, express his/her point of view and obtain review by a human being.	ii) attua garanzie adeguate, consentendo almeno all’interessato di contestare la decisione, esprimere la propria opinione e ottenere il riesame da parte di un essere umano.
(e)Where requests from a data subject are excessive, in particular because of their repetitive character, the data importer may either charge a reasonable fee taking into account the administrative costs of granting the request or refuse to act on the request.	e) Qualora le richieste dell’interessato siano eccessive, in particolare per il carattere ripetitivo, l’importatore può addebitare un contributo spese ragionevole tenuto conto dei costi amministrativi dell’accoglimento della richiesta o rifiutarsi di soddisfare la richiesta.

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

34

(f)The data importer may refuse a data subject’s request if such refusal is allowed under the laws of the country of destination and is necessary and proportionate in a democratic society to protect one of the objectives listed in Article 23(1) of Regulation (EU) 2016/679.	f) L’importatore può rifiutare la richiesta dell’interessato se tale rifiuto è consentito dalla legislazione del Paese di destinazione ed è necessario e proporzionato in una società democratica per salvaguardare uno degli obiettivi di cui all’articolo 23, paragrafo 1, del regolamento (UE) 2016/679.
(g)If the data importer intends to refuse a data subject’s request, it shall inform the data subject of the reasons for the refusal and the possibility of lodging a complaint with the competent supervisory authority and/or seeking judicial redress.	(g) Nel caso in cui l’importatore dei dati intenda rifiutare la richiesta di un interessato, informerà l’interessato dei motivi del rifiuto e della possibilità di presentare reclamo presso l’autorità di vigilanza competente e/o richiedere un risarcimento giudiziario.
Clause 11	Clausola 11
Redress	Rimedio
(a)The data importer shall inform data subjects in a transparent and easily accessible format, through individual notice or on its website, of a contact point authorised to handle complaints. It shall deal promptly with any complaints it receives from a data subject.	(a) L’importatore dei dati informerà gli Interessati in un formato trasparente e facilmente accessibile, tramite comunicazione individuale o sul proprio sito web, di un punto di contatto autorizzato a gestire i reclami. Tratta prontamente qualunque reclamo ricevuto da un interessato.
(b)In case of a dispute between a data subject and one of the Parties as regards compliance with these Clauses, that Party shall use its best efforts to resolve the issue amicably in a timely fashion. The Parties shall keep each other informed about such disputes and, where appropriate, cooperate in resolving them.	b) In caso di controversia tra un interessato e una delle parti sul rispetto delle presenti clausole, la parte in questione fa tutto il possibile per risolvere la questione in via amichevole in modo tempestivo. Le parti si tengono reciprocamente informate di tali controversie e, se del caso, cooperano per risolverle.
(c)Where the data subject invokes a third-party beneficiary right pursuant to Clause 3, the data importer shall accept the decision of the data subject to:	c) Qualora l’interessato invochi un diritto del terzo beneficiario in conformità della clausola 3, l’importatore accetta la decisione dell’interessato di:
(i)lodge a complaint with the supervisory authority in the Member State of his/her habitual residence or place of work, or the competent supervisory authority pursuant to Clause 13;	i) proporre reclamo all’autorità di controllo dello Stato membro di residenza abituale o del luogo di lavoro o all’autorità di controllo competente in conformità della clausola 13;
(ii)refer the dispute to the competent courts within the meaning of Clause 18.	ii) deferire la controversia agli organi giurisdizionali competenti ai sensi della clausola 18.

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

35

(d)The Parties accept that the data subject may be represented by a not-for-profit body, organisation or association under the conditions set out in Article 80(1) of Regulation (EU) 2016/679.	d) Le parti accettano che l’interessato possa essere rappresentato da un organismo, un’organizzazione o un’associazione senza scopo di lucro alle condizioni di cui all’articolo 80, paragrafo 1, del regolamento (UE) 2016/679.
(e)The data importer shall abide by a decision that is binding under the applicable EU or Member State law.	e) L’importatore si attiene a qualunque decisione vincolante a norma della legislazione applicabile dell’UE o degli Stati membri.
(f)The data importer agrees that the choice made by the data subject will not prejudice his/her substantive and procedural rights to seek remedies in accordance with applicable laws.	(f) L’importatore dei dati conviene che la scelta fatta dall’interessato non pregiudicherà i suoi diritti sostanziali e procedurali di richiedere rimedi in conformità con le leggi applicabili.
Clause 12	Clausola 12
Liability	Responsabilità
(a)Each Party shall be liable to the other Party for any damages it causes the other Party by any breach of these Clauses.	a) Xxxxxxxx parte sarà responsabile nei confronti dell’altra Parte per danni causati all’altra Parte dall’eventuale violazione delle presenti Clausole.
(b) Each Party shall be liable to the data subject, and the data subject shall be entitled to receive compensation, for any material or non-material damages that the Party causes the data subject by breaching the third-party beneficiary rights under these Clauses. This is without prejudice to the liability of the data exporter under Regulation (EU) 2016/679.	b) Xxxxxxxx parte è responsabile nei confronti dell’interessato per i danni materiali o immateriali che essa gli ha causato violando i diritti del terzo beneficiario previsti dalle presenti clausole, e l’interessato ha il diritto di ottenere il risarcimento. Ciò lascia impregiudicata la responsabilità dell’esportatore a norma del regolamento (UE) 2016/679.
(c)Where more than one Party is responsible for any damage caused to the data subject as a result of a breach of these Clauses, all responsible Parties shall be jointly and severally liable and the data subject is entitled to bring an action in court against any of these Parties.	c) Qualora più di una parte sia responsabile per un danno causato all’interessato a seguito di una violazione delle presenti clausole, tutte le parti responsabili sono responsabili in solido e l’interessato ha il diritto di agire in giudizio contro una qualunque di loro.
(d)The Parties agree that if one Party is held liable under paragraph (c), it shall be entitled to claim back from the other Party/ies that part of the compensation corresponding to its/their responsibility for the damage.	d) Le parti convengono che, se una delle parti è ritenuta responsabile a norma della lettera c), essa ha il diritto di reclamare dalle altre parti la parte del risarcimento corrispondente alla loro parte di responsabilità per il danno.

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

36

(e)The data importer may not invoke the conduct of a processor or sub-processor to avoid its own liability.	(e) L’importatore dei dati non può invocare la condotta di un responsabile del trattamento o di un sub-incaricato del trattamento per evitare la propria responsabilità.
Clause 13	Clausola 13
Supervision	Supervisione
(a)The supervisory authority with responsibility for ensuring compliance by the data exporter with Regulation (EU) 2016/679 as regards the data transfer, as indicated in Annex I.C, shall act as competent supervisory authority.	(a)L’autorità di vigilanza responsabile di garantire la conformità da parte dell’esportatore dei dati al Regolamento (UE) 2016/679 per quanto riguarda il trasferimento dei dati, come indicato nell’Allegato I.C, agirà come autorità di vigilanza competente.
(b)The data importer agrees to submit itself to the jurisdiction of and cooperate with the competent supervisory authority in any procedures aimed at ensuring compliance with these Clauses. In particular, the data importer agrees to respond to enquiries, submit to audits and comply with the measures adopted by the supervisory authority, including remedial and compensatory measures. It shall provide the supervisory authority with written confirmation that the necessary actions have been taken.	(b)L’importatore dei dati si impegna a sottomettersi alla giurisdizione di e cooperare con l’autorità di vigilanza competente in qualsiasi procedura finalizzata a garantire la conformità alle presenti Clausole. In particolare, l’importatore accetta di rispondere alle richieste di informazioni, sottoporsi ad attività di revisione e rispettare le misure adottate dall’autorità di controllo, comprese le misure di riparazione e risarcimento. Fornisce all’autorità di controllo conferma scritta che sono state adottate le misure necessarie.
SECTION III – LOCAL LAWS AND OBLIGATIONS IN CASE OF ACCESS BY PUBLIC AUTHORITIES	SEZIONE III – LEGGI E OBBLIGHI LOCALI IN CASO DI ACCESSO DA PARTE DELLE AUTORITÀ PUBBLICHE
Clause 14	Clausola 14
Local laws and practices affecting compliance with the Clauses	Leggi e pratiche locali che influiscono sulla conformità alle Clausole
(a) The Parties warrant that they have no reason to believe that the laws and practices in the third country of destination applicable to the processing of the personal data by the data importer, including any requirements to disclose personal data or measures authorising access by public authorities, prevent the data importer from fulfilling its obligations under these Clauses. This is based on the understanding that laws and practices that respect the essence of the fundamental rights and freedoms and do not exceed what is necessary and proportionate in a democratic society to safeguard one of the	(a) Le Parti garantiscono di non avere motivo di ritenere che le leggi e le pratiche nel Paese terzo di destinazione applicabili al trattamento dei dati personali da parte dell’importatore dei dati, compresi eventuali requisiti per la divulgazione dei dati personali o misure che autorizzano l’accesso da parte delle autorità pubbliche, impediscano all’importatore dei dati di adempiere ai propri obblighi ai sensi delle presenti Clausole. Ciò si basa sul presupposto che la legislazione e le prassi che rispettano l’essenza dei diritti e delle libertà fondamentali e non vanno oltre quanto necessario e

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

37

objectives listed in Article 23(1) of Regulation (EU) 2016/679, are not in contradiction with these Clauses.	proporzionato in una società democratica per salvaguardare uno degli obiettivi di cui all’articolo 23, paragrafo 1, del regolamento (UE) 2016/679 non sono in contraddizione con le presenti clausole.
(b) The Parties declare that in providing the warranty in paragraph (a), they have taken due account in particular of the following elements:	b) Le parti dichiarano che, nel fornire la garanzia di cui alla lettera a), hanno tenuto debitamente conto dei seguenti elementi:
(i) the specific circumstances of the transfer, including the length of the processing chain, the number of actors involved and the transmission channels used; intended onward transfers; the type of recipient; the purpose of processing; the categories and format of the transferred personal data; the economic sector in which the transfer occurs; the storage location of the data transferred;	i) le circostanze specifiche del trasferimento, tra cui la lunghezza della catena di trattamento, il numero di attori coinvolti e i canali di trasmissione utilizzati; i trasferimenti successivi previsti; il tipo di destinatario; la finalità del trattamento; le categorie e il formato dei dati personali trasferiti; il settore economico in cui ha luogo il trasferimento; il luogo di conservazione dei dati trasferiti;
(ii)the laws and practices of the third country of destination– including those requiring the disclosure of data to public authorities or authorising access by such authorities – relevant in light of the specific circumstances of the transfer, and the applicable limitations and safeguards (5);	ii) la legislazione e le prassi del Paese terzo di destinazione — comprese quelle che impongono la comunicazione di dati alle autorità pubbliche o che le autorizzano ad accedere ai dati — pertinenti alla luce delle circostanze specifiche del trasferimento, nonché le limitazioni e le garanzie applicabili (5);
(5) As regards the impact of such laws and practices on compliance with these Clauses, different elements may be considered as part of an overall assessment. Such elements may include relevant and documented practical experience with prior instances of requests for disclosure from public authorities, or the absence of such requests, covering a sufficiently representative time-frame. This refers in particular to internal records or other documentation, drawn up on a continuous basis in accordance with due diligence and certified at senior management level, provided that this information can be lawfully shared with third parties. Where this practical experience is relied upon to conclude that the data importer will not be prevented from complying with these Clauses, it needs to be supported by other relevant, objective elements, and it is for the Parties to consider carefully whether these elements together carry sufficient weight, in	(5) Per quanto riguarda l’impatto di tali leggi e pratiche sulla conformità alle presenti Clausole, elementi diversi possono essere considerati come parte di una valutazione complessiva. Tali elementi possono includere un’esperienza pratica pertinente e documentata in casi precedenti di richieste di comunicazione da parte di autorità pubbliche, o l’assenza di tali richieste, per un periodo di tempo sufficientemente rappresentativo. Si tratta in particolare di registri interni o altra documentazione, elaborati su base continuativa conformemente alla dovuta diligenza e certificati a livello di alta dirigenza, sempre che tali informazioni possano essere lecitamente condivise con terzi. Qualora per concludere che all’importatore non sarà impedito di rispettare le presenti clausole si faccia affidamento su questa esperienza pratica, essa deve essere sostenuta da altri elementi pertinenti e oggettivi, e spetta alle parti valutare attentamente se tali elementi,

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

38

terms of their reliability and representativeness, to support this conclusion. In particular, the Parties have to take into account whether their practical experience is corroborated and not contradicted by publicly available or otherwise accessible, reliable information on the existence or absence of requests within the same sector and/or the application of the law in practice, such as case law and reports by independent oversight bodies.	congiuntamente, abbiano un peso sufficiente in termini di affidabilità e rappresentatività per sostenere tale conclusione. In particolare, le Parti devono tenere conto se la loro esperienza pratica è corroborata e non contraddetta da informazioni accessibili pubblicamente o altrimenti accessibili sull’esistenza o assenza di richieste all’interno dello stesso settore e/o sull’applicazione della legge in vigore, come la legge sui casi e le relazioni da parte di enti di vigilanza indipendenti.
(iii)any relevant contractual, technical or organisational safeguards put in place to supplement the safeguards under these Clauses, including measures applied during transmission and to the processing of the personal data in the country of destination.	(iii)eventuali tutele contrattuali, tecniche o organizzative adottate per integrare le tutele ai sensi delle presenti Clausole, comprese le misure applicate durante la trasmissione e il trattamento dei dati personali nel Paese di destinazione.
(c)The data importer warrants that, in carrying out the assessment under paragraph (b), it has made its best efforts to provide the data exporter with relevant information and agrees that it will continue to cooperate with the data exporter in ensuring compliance with these Clauses.	c)L’importatore garantisce che, nell’effettuare la valutazione di cui alla lettera b), ha fatto tutto il possibile per fornire all’esportatore le informazioni pertinenti e dichiara che continuerà a cooperare con l’esportatore per garantire il rispetto delle presenti clausole.
(d)The Parties agree to document the assessment under paragraph (b) and make it available to the competent supervisory authority on request.	d)Le parti accettano di documentare la valutazione di cui alla lettera b) e di metterla a disposizione dell’autorità di controllo competente su richiesta.
(e)The data importer agrees to notify the data exporter promptly if, after having agreed to these Clauses and for the duration of the contract, it has reason to believe that it is or has become subject to laws or practices not in line with the requirements under paragraph (a), including following a change in the laws of the third country or a measure (such as a disclosure request) indicating an application of such laws in practice that is not in line with the requirements in paragraph (a).	e)L’importatore accetta di informare prontamente l’esportatore se, dopo aver accettato le presenti clausole e per la durata del contratto, ha motivo di ritenere di essere, o essere diventato, soggetto a una legislazione o prassi non conformi ai requisiti di cui alla lettera a), anche a seguito di una modifica della legislazione del Paese terzo o di una misura (ad esempio una richiesta di comunicazione) che indichi un’applicazione pratica di tale legislazione che non è conforme ai requisiti di cui alla lettera a).
(f)Following a notification pursuant to paragraph (e), or if the data exporter otherwise	f)A seguito di una notifica in conformità della lettera e), o se ha altrimenti motivo di ritenere

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

39

has reason to believe that the data importer can no longer fulfil its obligations under these Clauses, the data exporter shall promptly identify appropriate measures (e.g. technical or organisational measures to ensure security and confidentiality) to be adopted by the data exporter and/or data importer to address the situation. The data exporter shall suspend the data transfer if it considers that no appropriate safeguards for such transfer can be ensured, or if instructed by the competent supervisory authority to do so. In this case, the data exporter shall be entitled to terminate the contract, insofar as it concerns the processing of personal data under these Clauses. If the contract involves more than two Parties, the data exporter may exercise this right to termination only with respect to the relevant Party, unless the Parties have agreed otherwise. Where the contract is terminated pursuant to this Clause, Clause 16(d) and (e) shall apply.	che l’importatore non sia più in grado di adempiere agli obblighi che gli incombono a norma delle presenti clausole, l’esportatore individua prontamente le misure adeguate (ad esempio, misure tecniche o organizzative per garantire la sicurezza e la riservatezza) che egli stesso e/o l’importatore devono adottare per far fronte alla situazione L’esportatore sospende il trasferimento dei dati se ritiene che non possano essere assicurate garanzie adeguate per tale trasferimento, o su istruzione dell’autorità di controllo competente. In tal caso l’esportatore ha diritto di risolvere il contratto per quanto riguarda il trattamento dei dati personali a norma delle presenti clausole. Se le parti del contratto sono più di due, l’esportatore può esercitare il diritto di risoluzione soltanto nei confronti della parte interessata, salvo diversamente concordato dalle parti. Laddove il contratto sia risolto ai sensi della presente Xxxxxxxx, si applicheranno le Clausole 16(d) ed (e).
Clause 15	Clausola 15
Obligations of the data importer in case of access by public authorities	Obblighi dell’importatore dei dati in caso di accesso da parte delle autorità pubbliche
15.1Notification	15.1Notifica
(a)The data importer agrees to notify the data exporter and, where possible, the data subject promptly (if necessary with the help of the data exporter) if it:	a) L’importatore accetta di informare prontamente l’esportatore e, ove possibile, l’interessato (se necessario con l’aiuto dell’esportatore) se:
(i)receives a legally binding request from a public authority, including judicial authorities, under the laws of the country of destination for the disclosure of personal data transferred pursuant to these Clauses; such notification shall include information about the personal data requested, the requesting authority, the legal basis for the request and the response provided; or	i) riceve una richiesta giuridicamente vincolante di un’autorità pubblica, comprese le autorità giudiziarie, a norma della legislazione del Paese di destinazione, di comunicare dati personali trasferiti in conformità delle presenti clausole; tale notifica comprende informazioni sui dati personali richiesti, sull’autorità richiedente, sulla base giuridica della richiesta e sulla risposta fornita; o
(ii)becomes aware of any direct access by public authorities to personal data transferred pursuant to these Clauses in accordance with the laws of	ii)viene a conoscenza di qualunque accesso diretto effettuato, conformemente alla legislazione del Paese terzo di destinazione, da

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

40

the country of destination; such notification shall include all information available to the importer.	autorità pubbliche ai dati personali trasferiti in conformità delle presenti clausole; tale notifica comprende tutte le informazioni disponibili all’importatore.
(b)If the data importer is prohibited from notifying the data exporter and/or the data subject under the laws of the country of destination, the data importer agrees to use its best efforts to obtain a waiver of the prohibition, with a view to communicating as much information as possible, as soon as possible. The data importer agrees to document its best efforts in order to be able to demonstrate them on request of the data exporter.	b) Se la legislazione del Paese di destinazione vieta all’importatore di informare l’esportatore e/o l’interessato, l’importatore accetta di fare tutto il possibile per ottenere un’esenzione dal divieto, al fine di comunicare al più presto quante più informazioni possibili. Per poterlo dimostrare su richiesta dell’esportatore, l’importatore accetta di documentare di aver fatto tutto il possibile.
(c)Where permissible under the laws of the country of destination, the data importer agrees to provide the data exporter, at regular intervals for the duration of the contract, with as much relevant information as possible on the requests received (in particular, number of requests, type of data requested, requesting authority/ies, whether requests have been challenged and the outcome of such challenges, etc.).	c) Laddove consentito dalla legislazione del Paese di destinazione, l’importatore accetta di fornire periodicamente all’esportatore, per la durata del contratto, quante più informazioni pertinenti possibili sulle richieste ricevute (in particolare, il numero di richieste, il tipo di dati richiesti, la o le autorità richiedenti, se le richieste sono state contestate e l’esito di tali contestazioni ecc.).
(d)The data importer agrees to preserve the information pursuant to paragraphs (a) to (c) for the duration of the contract and make it available to the competent supervisory authority on request.	d)L’importatore accetta di conservare le informazioni di cui alle lettere da a) a c) per la durata del contratto e di metterle a disposizione dell’autorità di controllo competente su richiesta.
(e)Paragraphs (a) to (c) are without prejudice to the obligation of the data importer pursuant to Clause 14(e) and Clause 16 to inform the data exporter promptly where it is unable to comply with these Clauses.	(e)I commi da (a) a (c) non pregiudicano l’obbligo dell’importatore dei dati ai sensi della Clausola 14(e) e della Clausola 16 di informare tempestivamente l’esportatore dei dati laddove non sia in grado di rispettare le presenti Clausole.
15.2Review of legality and data minimisation	15.2Verifica della legalità e minimizzazione dei dati
(a)The data importer agrees to review the legality of the request for disclosure, in particular whether it remains within the powers granted to the requesting public authority, and to challenge the request if, after careful	(a)L’importatore dei dati si impegna a verificare la legalità della richiesta di divulgazione, in particolare se rimane nell’ambito dei poteri conferiti all’autorità pubblica richiedente, e a contestare la richiesta se, dopo attenta

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

41

assessment, it concludes that there are reasonable grounds to consider that the request is unlawful under the laws of the country of destination, applicable obligations under international law and principles of international comity. The data importer shall, under the same conditions, pursue possibilities of appeal. When challenging a request, the data importer shall seek interim measures with a view to suspending the effects of the request until the competent judicial authority has decided on its merits. It shall not disclose the personal data requested until required to do so under the applicable procedural rules. These requirements are without prejudice to the obligations of the data importer under Clause 14(e).	valutazione, conclude che vi sono ragionevoli motivi per ritenere che la richiesta sia illegale ai sensi delle leggi del Paese di destinazione, degli obblighi applicabili ai sensi del diritto internazionale e dei principi di rispetto reciproco internazionale. L’importatore, alle stesse condizioni, si avvale delle possibilità di ricorso. Quando contesta una richiesta, l’importatore chiede l’adozione di provvedimenti provvisori affinché gli effetti della richiesta siano sospesi fintantoché l’autorità giudiziaria competente non abbia deciso nel merito. Non comunica i dati personali richiesti fino a quando non sia tenuto a farlo ai sensi delle norme procedurali applicabili. Tali requisiti lasciano impregiudicati gli obblighi dell’importatore a norma della clausola 14, lettera e).
(b)The data importer agrees to document its legal assessment and any challenge to the request for disclosure and, to the extent permissible under the laws of the country of destination, make the documentation available to the data exporter. It shall also make it available to the competent supervisory authority on request.	b) L’importatore accetta di documentare la propria valutazione giuridica e qualunque contestazione della richiesta di comunicazione e, nella misura consentita dalla legislazione del Paese di destinazione, mette tale documentazione a disposizione dell’esportatore. Su richiesta, la mette a disposizione anche dell’autorità di controllo competente.
(c)The data importer agrees to provide the minimum amount of information permissible when responding to a request for disclosure, based on a reasonable interpretation of the request.	c)Quando risponde a una richiesta di comunicazione l’importatore accetta di fornire la quantità minima di informazioni consentite, sulla base di un’interpretazione ragionevole della richiesta.
SECTION IV – FINAL PROVISIONS	SEZIONE IV – DISPOSIZIONI FINALI
Clause 16	Clausola 16
Non-compliance with the Clauses and termination	Mancata conformità alle Clausole e risoluzione
(a)The data importer shall promptly inform the data exporter if it is unable to comply with these Clauses, for whatever reason.	(a) L’importatore dei dati informerà tempestivamente l’esportatore dei dati se non è in grado di agire in conformità con le presenti Clausole, per qualsiasi motivo.
(b)In the event that the data importer is in breach of these Clauses or unable to comply with these Clauses, the data exporter shall suspend the	b) Qualora l’importatore violi le presenti clausole o non sia in grado di rispettarle, l’esportatore sospende il trasferimento dei dati

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

42

transfer of personal data to the data importer until compliance is again ensured or the contract is terminated. This is without prejudice to Clause 14(f).	personali all’importatore fino a che il rispetto non sia nuovamente garantito o il contratto non sia risolto. Ciò lascia impregiudicata la clausola 14, lettera f).
(c)The data exporter shall be entitled to terminate the contract, insofar as it concerns the processing of personal data under these Clauses, where:	c) L’esportatore ha diritto di risolvere il contratto per quanto riguarda il trattamento dei dati personali a norma delle presenti clausole qualora:
(d)the data exporter has suspended the transfer of personal data to the data importer pursuant to paragraph (b) and compliance with these Clauses is not restored within a reasonable time and in any event within one month of suspension;	d) l’esportatore abbia sospeso il trasferimento dei dati personali all’importatore in conformità della lettera b) e il rispetto delle presenti clausole non sia ripristinato entro un termine ragionevole e in ogni caso entro un mese dalla sospensione;
(ii)the data importer is in substantial or persistent breach of these Clauses; or	e)l’importatore violi in modo sostanziale o persistente le presenti clausole; o
(iii)the data importer fails to comply with a binding decision of a competent court or supervisory authority regarding its obligations under these Clauses.	iii)l’importatore non si conformi a una decisione vincolante di un organo giurisdizionale competente o di un’autorità di controllo competente in merito agli obblighi che gli incombono a norma delle presenti clausole.
In these cases, it shall inform the competent supervisory authority of such non-compliance. Where the contract involves more than two Parties, the data exporter may exercise this right to termination only with respect to the relevant Party, unless the Parties have agreed otherwise.	In tali casi, informa l’autorità di controllo competente di tale inosservanza. Qualora le parti del contratto siano più di due, l’esportatore può esercitare il diritto di risoluzione soltanto nei confronti della parte interessata, salvo diversamente concordato dalle parti.
f)Personal data that has been transferred prior to the termination of the contract pursuant to paragraph (c) shall at the choice of the data exporter immediately be returned to the data exporter or deleted in its entirety. The same shall apply to any copies of the data. The data importer shall certify the deletion of the data to the data exporter. Until the data is deleted or returned, the data importer shall continue to ensure compliance with these Clauses. In case of local laws applicable to the data importer that prohibit the return or deletion of the transferred personal data, the data importer warrants that it will continue to ensure compliance with these Clauses and will only process the data to the extent and for as long as required under that local law.	f)I dati personali che sono stati trasferiti prima della risoluzione del contratto in conformità della lettera c) sono, a scelta dell’esportatore, restituiti immediatamente all’esportatore o cancellati integralmente. Lo stesso vale per qualunque copia dei dati. L’importatore certifica all’esportatore la cancellazione dei dati. Finché i dati non sono cancellati o restituiti, l’importatore continua ad assicurare il rispetto delle presenti clausole. Qualora la legislazione locale applicabile all’importatore vieti la restituzione o la cancellazione dei dati personali trasferiti, l’importatore garantisce che continuerà ad assicurare il rispetto delle presenti clausole e che tratterà i dati solo nella misura e per il tempo richiesto dalla legislazione locale.
(g)Either Party may revoke its agreement to be bound by these Clauses where (i) the European Commission adopts a decision pursuant to Article 45(3) of Regulation (EU) 2016/679 that	g)Ciascuna parte può revocare il proprio accordo a essere vincolata dalle presenti clausole qualora i) la Commissione europea adotti una decisione in conformità dell’articolo

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

43

covers the transfer of personal data to which these Clauses apply; or (ii) Regulation (EU) 2016/679 becomes part of the legal framework of the country to which the personal data is transferred. This is without prejudice to other obligations applying to the processing in question under Regulation (EU) 2016/679.	45, paragrafo 3, del regolamento (UE) 2016/679 riguardante il trasferimento di dati personali cui si applicano le presenti clausole; o ii) il regolamento (UE) 2016/679 diventi parte del quadro giuridico del Paese verso il quale i dati personali sono trasferiti. Sono fatti salvi gli altri obblighi che si applicano al trattamento in oggetto ai sensi del Regolamento (UE) 2016/679.
Clause 17	Clausola 17
Governing law	Normativa applicabile
These Clauses shall be governed by the law of one of the EU Member States, provided such law allows for third- party beneficiary rights. The Parties agree that this shall be the law of Italy.	Le presenti clausole sono disciplinate dalla legge di uno degli Stati membri dell’UE, purché essa riconosca i diritti del terzo beneficiario. Le Parti convengono che questa sarà la normativa italiana.
Clause 18	Clausola 18
Choice of forum and jurisdiction	Scelta del foro competente e della giurisdizione
(a)Any dispute arising from these Clauses shall be resolved by the courts of an EU Member State.	(a)Qualsiasi controversia derivante dalle presenti Clausole sarà risolta dai tribunali di uno Stato membro dell’UE.
(b)The Parties agree that those shall be the courts of Italy.	(b)Le Parti concordano che questi saranno i tribunali italiani.
(c)A data subject may also bring legal proceedings against the data exporter and/or data importer before the courts of the Member State in which he/she has his/her habitual residence.	(c)Un interessato può anche intentare procedimenti legali contro l’esportatore dei dati e/o l’importatore dei dati dinanzi ai tribunali dello Stato membro in cui ha la sua abituale residenza.
(d)The Parties agree to submit themselves to the jurisdiction of such courts.	(d)Le Parti convengono di sottomettersi alla giurisdizione di tali tribunali.

ANNEX I	ALLEGATO I
A.LIST OF PARTIES	A.ELENCO DELLE PARTI

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

44

0.Xxxx exporters(s):	1.Esportatore/i dei dati:
Name: Azienda Ospedaliera Universitaria Integrata Verona	Nome: Azienda Ospedaliera Universitaria Integrata Verona
Address: p.le X. Xxxxxxx, 0 00000 Xxxxxx XXXXX	Indirizzo: x.xx X. Xxxxxxx, 0 00000 Xxxxxx XXXXXX
Contact person’s name, position and contact details:	Nome, posizione e recapiti del referente:
Activities relevant to the data transferred under these Clauses:	Attività relative ai dati trasferiti ai sensi delle presenti Clausole:
Performance of the study HEOR-22-101-051 Study to describe the impact of ELX/TEZ/IVA + IVA on lung function and health care resource utilization (HCRU) before and after treatment initiation among people with CF with a F508del mutation in Italy	Esecuzione del protocollo dello studio HEOR- 00-000-000 Studio osservazionale, non interventistico, retrospettivo e real-world per descrivere l'impatto di ELX/TEZ/IVA + IVA sulla funzione polmonare e sull'utilizzo delle risorse sanitarie (HCRU) prima e dopo l'inizio del trattamento tra le persone affette da FC con mutazione F508del in Italia.
Signature and date:	Firma e data:
By:_	Firma:
Dr Xxxxxxxx Xxxxx Xxxxx General Director	Dott. Xxxxxxxx Xxxxx Xxxxx Direttore Generale
Date:	Data:
Role: Controller	Ruolo: titolare del trattamento
0.Xxxx importer(s):	2.Importatore/i dei dati:
Name: Vertex Pharmaceuticals Incorporated	Nome e cognome:Vertex Pharmaceuticals Incorporated
Address: 00 Xxxxxxxx Xxxxxx, Xxxxxx, Xxxxxxxxxxxxx 00000, XXX	Indirizzo: 00 Xxxxxxxx Xxxxxx, Xxxxxx, Xxxxxxxxxxxxx 00000, Xxxxx Xxxxx

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

45

Contact person’s name(s), position/s) and contact details:	Nome/i, qualifica/he e dati di contatto del referente:
Xxxxx Xxxx, Executive Director, Vendor and Business Management, Vertex Pharmaceuticals Incorporated, 00 Xxxxxxxx Xxxxxx, Xxxxxx, Xxxxxxxxxxxxx 00000, XXX, XXX_Xxxxxx@xxxx.xxx	Xxxxx Xxxx, Direttore esecutivo, Vendor and Business Management, Vertex Pharmaceuticals Incorporated, 00 Xxxxxxxx Xxxxxx, Xxxxxx, Xxxxxxxxxxxxx 00000, XXX, XXX_Xxxxxx@xxxx.xxx
Xxxx Xxxxxxx, Executive Director, Privacy Legal, Vertex Pharmaceuticals Incorporated, 00 Xxxxxxxx Xxxxxx, Xxxxxx, Xxxxxxxxxxxxx 00000, XXX, xxxxxx@xxxx.xxx	Xxxx Xxxxxxx, Direttore esecutivo, Privacy Legal, Vertex Pharmaceuticals Incorporated, 00 Xxxxxxxx Xxxxxx, Xxxxxx, Xxxxxxxxxxxxx 00000, XXX, xxxxxx@xxxx.xxx
Activities relevant to the data transferred under these Clauses:	Attività relative ai dati trasferiti ai sensi delle presenti Clausole:
Performance of the study HEOR-22-101-051 Study to describe the impact of ELX/TEZ/IVA + IVA on lung function and health care resource utilization (HCRU) before and after treatment initiation among people with CF with a F508del mutation in Italy	Esecuzione dello studioHEOR-22-101-051 Studio osservazionale, non interventistico, retrospettivo e real-world per descrivere l'impatto di ELX/TEZ/IVA + IVA sulla funzione polmonare e sull'utilizzo delle risorse sanitarie (HCRU) prima e dopo l'inizio del trattamento tra le persone affette da FC con mutazione F508del in Italia.
Signature (on behalf of Vertex Pharmaceuticals Incorporated) and date:	Firma (per conto di Vertex Pharmaceuticals Incorporated) e data:
By:_	Firma:
Xxxxx Xxxx, Executive Director, Vendor and Business Management	Xxxxx Xxxx, Direttore esecutivo, Vendor e Business Management
Date:	Data:
Role: Controller	Ruolo: titolare del trattamento
B.DESCRIPTION OF TRANSFER	B.DESCRIZIONE DEL TRASFERIMENTO

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

46

Categories of data subjects whose personal data is transferred	Categorie di interessati i cui dati personali sono trasferiti
•Study participants	•Partecipanti allo studio
•Health care professionals	•Operatori sanitari
Categories of personal data transferred	Categorie di dati personali trasferiti
Study participants:	Partecipanti allo studio
•Identifiers: participant subject ID;	•Identificativi: ID del soggetto partecipante;
•Personal characteristics: age, gender, height and weight, and racial or ethnic origin;	•Caratteristiche personali: età, sesso, altezza e peso e origine razziale o etnica;
•Biometric information used to identify a person by scanning or other technical means;	•Informazioni biometriche utilizzate per identificare una persona mediante scansione o altri mezzi tecnici;
•Health-related information: drugs, therapies, medical products or equipment used, family health or morbidity history , pregnancy-related information, dietary information, disabilities, physical condition, medical diagnosis, medical history, medical images and associated metadata, medical treatment information, genetic information, biological samples, vital signs, and test results (such as for drugs and/or alcohol);	•Informazioni relative alla salute: farmaci, terapie, prodotti medici o apparecchiature utilizzati, anamnesi familiare o morbilità, informazioni correlate alla gravidanza, informazioni alimentari, disabilità, condizione fisica, diagnosi medica, anamnesi medica, immagini mediche e metadati associati, informazioni sul trattamento medico, informazioni genetiche, campioni biologici, segni vitali e risultati dei test (quali farmaci e/o alcol);
•Sex life and reproductive health: pregnancy- related information, sexual activity and contraception-related information;	•Vita sessuale e salute riproduttiva: informazioni correlate alla gravidanza, attività sessuale e informazioni correlate alla contraccezione;
•Pharmacovigilance information: adverse reaction or event information, drug identification, participant outcome information, reporting country/location, concomitant therapies and treatment dates;	• Informazioni di farmacovigilanza: informazioni su reazioni avverse o eventi, identificazione del farmaco, informazioni sull’esito del partecipante, Paese/sede di riferimento, terapie concomitanti e date di trattamento;
•Clinical Research Information: Adverse Event Data, Baseline Characteristics, Clinical Trial Periods/Stages, Medications and other medical terminology, Outcome Measures, Protocol Number, Reason Not Completed Types and Dates, Research Participant Arm/Group; and	• Informazioni sulla ricerca clinica: Dati sugli eventi avversi, caratteristiche al basale, periodi/stadi della sperimentazione clinica, farmaci e altra terminologia medica, misure degli esiti, numero di protocollo, tipi e date per motivi non completati, braccio/gruppo del partecipante alla ricerca; e
•Self-reported information: Completed quality of life questionnaires.	•Informazioni autoriferite: Compilazione dei questionari sulla qualità della vita.

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

47

Health care professionals:	Operatori sanitari:
•Business contact details	•Recapiti aziendali
•Resume	•Curriculum vitae
Sensitive data transferred (if applicable) and applied restrictions or safeguards that fully take into consideration the nature of the data and the risks involved, such as for instance strict purpose limitation, access restrictions (including access only for staff having followed specialised training), keeping a record of access to the data, restrictions for onward transfers or additional security measures.	Dati sensibili trasferiti (se del caso) e limitazioni o garanzie applicate che tengono pienamente conto della natura dei dati e dei rischi connessi, ad esempio una rigorosa limitazione delle finalità, limitazioni all’accesso (tra cui accesso solo per il personale che ha seguito una formazione specializzata), tenuta di un registro degli accessi ai dati, limitazioni ai trasferimenti successivi o misure di sicurezza supplementari.
See Xxxxx XX	Vedere l’Allegato II
The frequency of the transfer (e.g. whether the data is transferred on a one-off or continuous basis).	La frequenza del trasferimento (per es. se i dati sono trasferiti come evento singolo o su base continua).
Data transfer is performed during the conduct of the study	Il trasferimento dei dati viene eseguito durante la conduzione dello studio
Nature of the processing:	Natura del trattamento:
The processing of personal data of participants in the context of clinical trials conducted by the Sponsor.	Il trattamento dei dati personali dei partecipanti nell’ambito delle sperimentazioni cliniche condotte dal Promotore.
Purpose(s) of the data transfer and further processing:	Finalità del trasferimento dei dati e dell’ulteriore trattamento:
Performance of the clinical trial protocol HEOR-22-101-051 Study to describe the impact of ELX/TEZ/IVA + IVA on lung function and health care resource utilization (HCRU) before and after treatment initiation among people with CF with a F508del mutation in Italy	Esecuzione del protocollo di sperimentazione clinica HEOR-22-101-051 Studio osservazionale, non interventistico, retrospettivo e real-world per descrivere l'impatto di ELX/TEZ/IVA + IVA sulla funzione polmonare e sull'utilizzo delle risorse sanitarie (HCRU) prima e dopo l'inizio del trattamento tra le persone affette da FC con mutazione F508del in Italia
The period for which the personal data will be retained, or, if that is not possible, the criteria used to determine that period:	Periodo di conservazione dei dati personali oppure, se non è possibile, criteri utilizzati per determinare tale periodo:

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

48

For as long as Vertex as the Sponsor is legally required to do under applicable laws.	Fino a quando Vertex in qualità di Sponsor sarà legalmente tenuta a fare ciò ai sensi delle leggi applicabili.
For transfers to processors, also specify subject matter, nature and duration of the processing	Per i trasferimenti ai responsabili, specificare anche l'oggetto, la natura e la durata del trattamento
Vertex will transfer data as necessary to its processors assisting on the study for purposes of managing the study, including for travel/reimbursement, payment, monitoring/auditing, and other purposes set forth in the informed consent form, for the period outlined in the informed consent form	Vertex trasferirà i dati, se necessario, ai suoi responsabili del trattamento che assistono allo studio ai fini della gestione dello studio, inclusi viaggio/rimborso, pagamento, monitoraggio/auditing e altri scopi indicati nel modulo di consenso informato, per il periodo indicato nel modulo di consenso informato.
X.COMPETENT SUPERVISORY AUTHORITY	C.AUTORITÀ DI VIGILANZA COMPETENTE
Identify the competent supervisory authority/ies in accordance with Clause 13	Identificare la o le autorità di controllo competenti conformemente alla clausola 13
Italian Data Protection Authority	Garante per la protezione dei dati personali

ANNEX II	ALLEGATO II
TECHNICAL AND ORGANISATIONAL	MISURE TECNICHE E
MEASURES INCLUDING TECHNICAL	ORGANIZZATIVE, COMPRESE LE
AND ORGANISATIONAL MEASURES TO	MISURE TECNICHE E
ENSURE THE SECURITY OF THE DATA	ORGANIZZATIVE PER GARANTIRE LA
	SICUREZZA DEI DATI

•Security Control Category / •Categoria di controllo di sicurezza

•Description / •Descrizione

•Information Security Program / •Programma di sicurezza delle informazioni

•Vertex has formally defined roles and responsibilities for developing, implementing, and managing a comprehensive written information security program for the organization / •Vertex ha definito formalmente ruoli e responsabilità per lo sviluppo, l’implementazione e la gestione di un programma scritto completo di sicurezza delle informazioni per l’organizzazione •Relevant personnel are trained, qualified and experienced to be able to fulfill these functions and any other functions that might reasonably be expected

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

49

	to be carried out by the personnel responsible for safeguarding personal data. / •Il personale pertinente è formato, qualificato ed esperto per essere in grado di svolgere queste funzioni e tutte le altre funzioni che potrebbero ragionevolmente essere svolte dal personale responsabile della salvaguardia dei dati personali.
•Risk Assessment / •Valutazione del rischio	•Vertex conduct information security risk assessments at least annually and whenever there is a material change in the organization’s business or technology practices that may impact the privacy, confidentiality, security, integrity or availability of personal data. / •Vertex conduce valutazioni dei rischi per la sicurezza delle informazioni almeno una volta all’anno e ogniqualvolta vi sia una modifica sostanziale nelle pratiche aziendali o tecnologiche dell’organizzazione che possa influire sulla privacy, la riservatezza, la sicurezza, l’integrità o la disponibilità dei dati personali.
•Workforce security / •Sicurezza del personale	•Vertex maintains an information security training program for its personnel. / •Vertex mantiene un programma di formazione sulla sicurezza delle informazioni per il proprio personale.
•Asset Management / •Gestione delle risorse	•Vertex maintains an inventory of users, devices and information system services and enables appropriate and authorized access to Vertex information and technology assets. / •Vertex mantiene un inventario di utenti, dispositivi e servizi di sistemi informativi e consente l’accesso appropriato e autorizzato alle risorse informative e tecnologiche di Vertex.
•Vendor Management and Oversight / •Gestione e supervisione dei fornitori	•Vertex establishes and maintains processes to identify, mitigate, and monitor security risks throughout the third party / •Vertex stabilisce e mantiene processi per identificare, mitigare e monitorare i rischi per la sicurezza in tutta la terza parte
•Access Controls / •Controllo degli accessi	•Vertex establishes and maintains a defined program to identify users, devices, and information system services and enable appropriate and authorized access to Vertex Information and technology assets. / •Vertex stabilisce e mantiene un programma definito per identificare utenti, dispositivi e servizi di sistemi informatici e consentire l’accesso appropriato e autorizzato alle risorse tecnologiche e informative di Vertex.
•Data Protection / •Protezione dei dati	•Vertex implements organizational and technical measures to protect the confidentiality and integrity of Vertex information and technology assets, in compliance with regulatory and business requirements. / •Vertex adotta misure organizzative e tecniche per proteggere la riservatezza e l’integrità delle informazioni e delle risorse tecnologiche di Vertex, in conformità ai requisiti normativi e aziendali.

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

50

•Incident Detection and Response / •Rilevamento e risposta agli incidenti

•Vertex establishes and maintains a security incident response team along with a set of procedures for the identification and management of security incidents. / •Vertex stabilisce e gestisce un team di risposta agli incidenti di sicurezza insieme a una serie di procedure per l’identificazione e la gestione degli incidenti di sicurezza.

Encryption and Pseudonymi zation / Crittografia e pseudonimiz zazione

o Vertex applies encryption with industry-standard algorithms and key lengths to Personal Data: o Vertex applica ai Dati personali la crittografia con algoritmi standard del settore e lunghezze delle chiavi: o Stored on laptops, mobile devices, portable storage devices or removable archival media o Archiviato su laptop, dispositivi mobili, dispositivi di archiviazione portatili o supporti di archiviazione rimovibili o Stored on file servers or in application databases o Memorizzato su file server o nei database delle applicazioni o Stored outside of the organization’s physical controls o Archiviato al di fuori dei controlli fisici dell'organizzazione o Transmitted across any public network (such as the Internet) or wirelessly o Trasmesso su qualsiasi rete pubblica (come Internet) o in modalità wireless o Transmitted in email attachments o Trasmesso in allegati di posta elettronica o In transit outside of the organization’s information systems o In transito al di fuori dei sistemi informativi dell'organizzazione The study site pseudonymizes all personal data about study participants prior to transferring such data to Vertex. Therefore, all data on Vertex systems about the study participants are pseudonymized o Il centro partecipante allo studio pseudonimizza tutti i dati personali relativi ai partecipanti allo studio prima di trasferire tali dati a Vertex. Pertanto, tutti i dati sui sistemi Vertex relativi ai partecipanti allo studio sono pseudonimizzati

ANNEX III	ALLEGATO III
LIST OF SUB-PROCESSORS	ELENCO DI SUB-INCARICATI DEL TRATTAMENTO

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

51

[Xxxxx XXX: Intentionally Omitted] [Allegato III: Omesso intenzionalmente]

HEOR-22-101-051 ITA_ Site 802 INST CSA_PI Cipolli_ Bilingual_v. 1.0

52

AZIENDA OSPEDALIERA UNIVERSITARIA INTEGRATA VERONA

(D.Lgs. n. 517/1999 - Art. 3 L.R.Veneto n. 18/2009)

Sede Legale: X.xx X. Xxxxxxx, 0- 00000 Xxxxxx – P.IVA/Codice Fiscale 03901420236

ATTESTAZIONE DI PUBBLICAZIONE

La presente deliberazione è pubblicata all’albo on line a norma di legge a decorrere dal 09/05/2023 per 15 giorni consecutivi e trasmessa contestualmente al Collegio Sindacale.

IL DIRETTORE UOC AFFARI GENERALI

dott.ssa Xxxxxx Xxxxxxxx

Deliberazione firmata digitalmente e conservata secondo la normativa vigente