Contract

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 1 a 101

CONTRATTO PER LA CONDUZIONE DELLA SPERIMENTAZIONE CLINICA SU MEDICINALI

Titolo

“A Phase 3, Randomized, Double-blind, Placebo-Controlled, Multicenter Study of ABSK021 to Assess the Efficacy and Safety in Patients with Tenosynovial Giant Cell Tumor "

TRA

Azienda USL Toscana Centro Ospedale S. Xxxxxxx xx Xxxxx (d'ora innanzi denominato/a “Ente"), con sede legale in Xxxxxx Xxxxx Xxxxx Xxxxx 0, 00000 Xxxxxxx (Xxxxxx), C.F. e P. IVA n. 0006593810481, in persona del Legale Rappresentante, Dr Xxxxxxx Xxxx, in qualità di Direttore Generale, che ha munito di idonei poteri di firma del presente atto il Direttore Staff della Direzione Sanitaria Dr Xxxxxxxxxx Xxxxx nato il 12/06/1961 a Milano C.F. SRGLSN61H12F205M,

E

HongKong Tigermed Co., Limited, con sede legale in Xxxxxx Xxxx Xx. 0000, 00xx Xxxxx, Xxxxxxx Xxxx, 000 Xxxxxxxx Xxxx, Xxxxx Xxxxx, Xxxx Xxxx, Tax Registration Number: 58993572, in persona del Legale Rappresentante, Xxxxxx de Cler in qualità di Regional Head Project Management EMEA, (d'ora innanzi denominato/a "CRO"), che agisce in nome e per conto di Abbisko Therapeutics Co., Ltd (d'ora innanzi denominato/a "Promotore") con sede legale in X.0, 000 Xxxx, Xxxxx Xxxx, Xxxx (Xxxxxxxx) Xxxxx Xxxx Xxxxx Xxxx Xxxxxxxx, Xxxxxxxx, 000000 Cina in forza di idonea delega conferita in data 07Jun2023.

Il rappresentante legale UE della CRO HongKong Tigermed Co., Limited è Marti Farm d.o.o. all’indirizzo

della Sede Legale: Xxxxxxxxx 00, Xxxxxx, 00000, Xxxxxxx,

di seguito per brevità denominati/e singolarmente/collettivamente "la Parte/le Parti".

Premesso che:

A. è interesse del Promotore effettuare, ai sensi del Regolamento (UE) n. 536/2014 (di seguito “Regolamento”), la sperimentazione clinica dal titolo: "A Phase 3, Randomized, Double-blind, Placebo- Controlled, Multicenter Study of ABSK021 to Assess the Efficacy and Safety in Patients with Tenosynovial Giant Cell Tumor" (di seguito "Sperimentazione"), avente ad oggetto il Protocollo versione n. 1.2 del 21.Mar.2023 e suoi successivi emendamenti debitamente approvati (di seguito "Protocollo"), codice EU CT n. 2023-503245-58-00 presso l'Ente, sotto la responsabilità del Xxxx. Xxxxxxx Xxxxxx Xxxxx, in qualità di Responsabile scientifico della sperimentazione oggetto del presente Contratto (di seguito “Sperimentatore principale”), presso la SOC Oncologia Medica del P.O. Santo

Stefano di Prato (di seguito “Centro di sperimentazione”);

B. il Promotore ha individuato quale referente scientifico per la parte di propria competenza Qingping Zou. Il Promotore può modificare il referente scientifico per la parte di propria competenza con notifica

scritta all’Ente;

C. il Centro di sperimentazione possiede le competenze tecniche e scientifiche per la Sperimentazione ed

è struttura adeguata alla conduzione della sperimentazione nel rispetto della normativa vigente;

D. lo Sperimentatore principale e i suoi diretti collaboratori, qualificati in base al Protocollo ad intervenire con poteri discrezionali nell’esecuzione di esso (di seguito “Co-sperimentatori”), così come tutti gli altri soggetti che svolgano qualsiasi parte della Sperimentazione sotto la supervisione dello Sperimentatore principale, sono idonei alla conduzione della Sperimentazione in conformità alla normativa applicabile, conoscono il Protocollo e le norme di buona pratica clinica e possiedono i requisiti normativi e regolamentari necessari, compreso il rispetto della normativa vigente riguardante il conflitto di

interessi;

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 2 a 101

E. salvo quanto eventualmente, successivamente, diversamente concordato per iscritto dalle Parti, l’Ente

dovrà condurre la Sperimentazione esclusivamente presso le proprie strutture;

F. l’Ente è dotato di apparecchiature idonee, necessarie all'esecuzione della Sperimentazione secondo quanto indicato nel Protocollo;

G. la Sperimentazione è stata regolarmente autorizzata a norma del Capo II del Regolamento, previo

provvedimento di autorizzazione nazionale AIFA caricato sul portale UE di cui all’art. 80 del

Regolamento in data 05 maggio 2023.

La Sperimentazione è stata regolarmente autorizzata, ai sensi del Regolamento UE 536/2014: per la “Parte I” dall’Agenzia Regolatoria dei Paesi Bassi in qualità di Stato Membro Relatore in data 28 Agosto 2023; per

la “Parte II” dal Comitato Etico Territoriale CE AVEN in data 30 Settembre 2023.

H. ai sensi dell’art. 76 del Regolamento e delle disposizioni nazionali applicabili, il Promotore ha stipulato la polizza assicurativa come meglio precisato all’art.8 del presente Contratto;

In considerazione delle Premesse, tra le Parti si conviene e si stipula quanto segue:

Art. 1 – Interezza del Contratto

1.1. Le premesse, il Protocollo, anche se non materialmente accluso, e tutti gli allegati, incluso il budget

(Allegato A) e il glossario relativo alla protezione dati personali (Allegato B), fanno parte integrante e sostanziale del presente Contratto.

Art. 2 – Oggetto

2.1 Il Promotore affida all'Ente l'esecuzione della Sperimentazione alle condizioni indicate nel presente Contratto, in accordo col Protocollo, con gli eventuali successivi emendamenti, nonché con le modifiche al presente Contratto/budget da questi derivanti e formalizzate mediante i necessari atti di modifica

tempestivamente sottoscritti.

2.2 La Sperimentazione deve essere condotta nel più scrupoloso rispetto del Protocollo, nella versione vigente, accettata dallo Sperimentatore principale e approvata dal Comitato Etico e dall’Autorità Competente, in conformità alla vigente normativa in materia di sperimentazioni cliniche di medicinali e ai

principi etici e deontologici che ispirano l'attività medica dei professionisti a vario titolo coinvolti.

2.3 La Sperimentazione deve essere altresì condotta in conformità ai principi contenuti nella Convenzione sui Diritti dell'Uomo e la Biomedicina, nella Dichiarazione di Helsinki nella versione aggiornata, nelle vigenti regole della Buona Pratica Clinica, e in conformità delle leggi applicabili in tema di trasparenza e

prevenzione della corruzione, nonché di protezione dei dati personali secondo la normativa vigente.

2.4 Con la sottoscrizione del presente Contratto, le Parti dichiarano di conoscere e accettare il contenuto

di quanto sopra richiamato.

2.5 Il Promotore e lo Sperimentatore principale, avendo l’obbligo di tutelare la salute dei pazienti, quando ricorrano le circostanze, possono adottare urgenti e adeguate misure a tutela della sicurezza dei pazienti, quali la sospensione temporanea dello studio (interruzione del trattamento per i pazienti già coinvolti nella sperimentazione, ovvero interruzione dell’inclusione di nuovi soggetti), con le modalità previste dall’art.

38 del Regolamento (UE) 536/2014, fermo restando l’obbligo per il Promotore di informare immediatamente il Comitato Etico, l’Autorità Competente ed i Centri di sperimentazione, oltre che i partecipanti allo studio in merito ai nuovi eventi, alle misure intraprese e al programma di provvedimenti da adottare, completando tempestivamente le procedure previste dalla vigente normativa. Il Promotore,

avuta comunicazione dallo sperimentatore di un evento avverso grave, comunica tempestivamente alla

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 3 a 101

banca dati elettronica tutte le reazioni sospette avverse gravi e inattese nei termini di cui al comma 2

dell’art. 42 del Regolamento (UE) n. 536/2014, anche ai sensi del comma 3 mediante segnalazione.

2.6 Poiché la Sperimentazione prevede l’inclusione competitiva dei pazienti, è prevista da parte dell’Ente l’inclusione di circa 2 soggetti. Per l'UE è pianificato un totale di 30 con un massimo di 90 pazienti ammissibili alla sperimentazione a livello globale e limitato ai termini previsti dallo sponsor. Il periodo previsto di inclusione è suscettibile di modifiche in funzione del suo andamento anche a livello internazionale. Al raggiungimento del numero totale dei pazienti previsti per l’intera Sperimentazione, l’inclusione di ulteriori pazienti verrà automaticamente chiusa, indipendentemente dal numero di pazienti inclusi presso l’Ente, a eccezione dei pazienti che hanno già fornito il loro consenso a partecipare alla Sperimentazione, a meno che essi stessi non ritirino il consenso. Il Promotore provvederà a inviare all’Ente

adeguata e tempestiva comunicazione.

2.7 L’Ente e il Promotore conserveranno la documentazione inerente la Sperimentazione (fascicolo permanente “Trial Master File”) per il periodo di tempo e secondo le specifiche indicate dalla vigente legislazione (o per un periodo più lungo, qualora ciò sia richiesto da altre norme applicabili o da un accordo economico tra Ente e Promotore). Il Promotore ha l’obbligo di comunicare al Centro di sperimentazione l’avvenuta scadenza del termine dell’obbligo di conservazione. A richiesta del Promotore, dopo lo spirare del termine suddetto, le Parti potranno concordare le condizioni di un ulteriore periodo di conservazione,

rendendo previamente anonimi i dati.

2.8 L’Ente e il Promotore, ciascuno per gli ambiti di propria competenza, si obbligano inoltre a conservare la citata documentazione adottando delle forme di digitalizzazione (o dematerializzazione) documentale ove applicabile. Indipendentemente dal fatto che l’archiviazione della documentazione inerente la Sperimentazione riguardi o meno dati personali (di natura particolare o meno), secondo le definizioni del Regolamento (UE) n. 679/2016 (di seguito, “GDPR”), l’Ente e il Promotore dovranno adottare tutte le misure fisiche e tecniche di cui all’art. 32 del GDPR ed effettuare gli eventuali controlli di sicurezza previsti dalla normativa vigente, a protezione di dati, informazioni e documenti (sia cartacei che elettronici). Il sistema di archiviazione adottato dovrà garantire non solo l’integrità dei dati, delle informazioni e dei documenti cartacei ed elettronici, ma altresì la loro futura leggibilità per tutto il periodo previsto dall’obbligo di conservazione. Per l’espletamento di tale obbligazione, sia il Promotore che l’Ente potranno

avvalersi di soggetti esterni che gestiscano tale obbligo di archiviazione.

2.9 Il Promotore, l’Ente e lo Sperimentatore principale devono rispettare le direttive, le indicazioni, le

istruzioni e le raccomandazioni impartite dal Comitato Etico e dall’Autorità competente.

Art. 3 – Sperimentatore principale e Co-sperimentatori

3.1 Lo Sperimentatore principale sarà coadiuvato nell’esecuzione della Sperimentazione da collaboratori diretti, qualificati in base al Protocollo ad intervenire con poteri discrezionali nell’esecuzione di esso (di seguito “Co-sperimentatori”), nonché dal personale, sanitario e non sanitario, incaricato dall’Ente. Co- sperimentatori e altro personale opereranno sotto la responsabilità dello Sperimentatore Principale per gli aspetti relativi alla Sperimentazione; essi dovranno essere qualificati per la conduzione della Sperimentazione ed aver ricevuto preventivamente adeguata formazione, secondo la normativa vigente, da parte del Promotore; ciascuno di essi dovrà aver manifestato la propria disponibilità a partecipare alla

Sperimentazione.

3.2 Le Parti prendono atto che lo Sperimentatore principale è tenuto a ogni responsabilità e obbligo

imposti a tale figura dalla normativa vigente in materia di sperimentazioni cliniche di medicinali.

3.3 Il presente rapporto intercorre tra il Promotore e l’Ente. Il Promotore è estraneo a rapporti esistenti

tra l’Ente, lo Sperimentatore principale, i Co-sperimentatori e tutto l’altro personale partecipante alla

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 4 a 101

Sperimentazione, restando quindi sollevato da qualsiasi pretesa che costoro dovessero avanzare in

relazione alla Sperimentazione.

3.4 In relazione alla Sperimentazione oggetto del presente Contratto, le Parti si danno atto di aver adempiuto a quanto previsto dall’art. 7 del Regolamento, nonché dall’art. 6, comma 4 del D. Lgs. 14 maggio 2019, n. 52, come modificato dall’art. 11-bis della L. 17 luglio 2020, n. 77, di conversione del D.L. 19 maggio

2020, n. 34 (“Decreto Rilancio”).

3.5 Qualora il rapporto tra lo Sperimentatore principale e l’Ente dovesse per qualsiasi ragione concludersi, l’Ente deve informarne tempestivamente per iscritto il Promotore, indicando il nominativo di un sostituto e segnalandolo nella banca dati elettronica europea. L’indicazione del sostituto deve essere oggetto di approvazione da parte del Promotore e del Comitato Etico competente. L’Ente garantisce che il nuovo Sperimentatore principale abbia i requisiti idonei a proseguirla, accetti i termini e le condizioni del presente Contratto e assuma l’impegno di rispettare il Protocollo nell’esecuzione della Sperimentazione. Nelle more dell’approvazione dell’emendamento sostanziale di cambio dello Sperimentatore principale, lo Sperimentatore indicato dall’Ente garantisce la necessaria continuità dell’attività sperimentale.

Nel caso in cui il Promotore non intenda accettare il nominativo del sostituto proposto dall’Ente oppure questi non proponga un sostituto, il Promotore potrà recedere dal presente Contratto in accordo a quanto

previsto dall’art. 7.

3.6 Lo Sperimentatore principale, prima di iniziare la Sperimentazione, deve acquisire il consenso informato del paziente o del suo rappresentante legale, secondo quanto previsto dalla vigente normativa in materia di sperimentazioni cliniche e il consenso al trattamento dei dati personali ai sensi e per gli effetti della vigente normativa nazionale e comunitaria in materia di protezione dei dati personali, come

successivamente declinato all’art. 11.

3.7 Lo Sperimentatore principale ha l’obbligo di registrare e documentare dettagliatamente tutti gli eventi avversi ed eventi avversi gravi e di darne comunicazione al Promotore nei termini previsti dalla legislazione vigente. Inoltre, lo Sperimentatore principale deve fornire ogni altra informazione clinica di rilievo indicata nel Protocollo (ad esempio gravidanza), direttamente o indirettamente correlabile all’esecuzione della Sperimentazione, secondo quanto previsto dal Protocollo, dalle norme di Buona Pratica Clinica e dalla

normativa applicabile in materia di farmacovigilanza e sperimentazione clinica di medicinali.

3.8 L’Ente garantisce il corretto svolgimento della Sperimentazione da parte dello Sperimentatore principale e del personale posto sotto la sua responsabilità secondo i più elevati standard di diligenza. In

particolare:

3.8.1 Lo Sperimentatore principale deve consegnare tutte le Schede Raccolta Dati (Case Report Forms-CRF) correttamente compilate, secondo termini e modalità previsti dal Protocollo della sperimentazione e dalla normativa applicabile, in formato cartaceo o elettronico, e comunque con tempestività come da GCP,

entro i termini previsti dal Protocollo della sperimentazione.

3.8.2 Lo Sperimentatore principale si impegna altresì a risolvere le richieste di chiarimento (queries)

generate dal Promotore entro i termini previsti dal Protocollo della sperimentazione.

3.8.3 Per verificare la corrispondenza tra i dati registrati nelle Schede Raccolta Dati e quelli contenuti nei documenti originali (per es. cartella clinica), l’Ente e lo Sperimentatore principale consentono l’accesso diretto ai dati originali durante le visite di monitoraggio e nel corso di eventuali audit promossi da Promotore e ispezioni da parte delle Autorità Competenti, incluse le modalità da remoto, purché non

vengano violate le norme in materia di riservatezza e di protezione dei dati personali dei pazienti.

3.8.4 L’Ente e lo Sperimentatore principale, informati con congruo preavviso, devono consentire il corretto

svolgimento dell’attività di monitoraggio e di auditing e di ispezioni presso il Centro di Sperimentazione da

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 5 a 101

parte del personale del Promotore e da parte dell’Autorità Competente, attività effettuate per garantire

la regolare esecuzione della Sperimentazione.

3.9 L’Ente avviserà tempestivamente il Promotore qualora un’Autorità Competente comunichi all’Ente un avviso di ispezione/audit relativo alla Sperimentazione e, se non negato espressamente dall’Autorità Competente, l’Ente autorizzerà il Promotore a parteciparvi, inviando nel contempo al Promotore ogni

comunicazione scritta ricevuta e/o trasmessa ai fini o in risultanza dell’ispezione/audit.

3.10 L’Ente e il Promotore garantiscono che i campioni biologici (sangue, urine, saliva ecc.) dei pazienti coinvolti nella Sperimentazione di cui al presente Contratto saranno utilizzati esclusivamente per la Sperimentazione oggetto del presente Contratto, secondo le previsioni del Protocollo e della vigente normativa. L’eventuale conservazione e successivo utilizzo sono vincolati all’acquisizione di uno specifico consenso informato da parte del paziente (o del genitore/tutore legale), al parere favorevole del Comitato Etico, nei limiti e con le garanzie previste dalle norme vigenti e dalle linee di indirizzo di cui all’art. 1 del D.

Lgs. 14 maggio 2019 n. 52.

Art. 4 – Medicinali Sperimentali, Materiali e Servizi

4.1 Il Promotore si impegna a fornire gratuitamente all’Ente, per tutta la durata della Sperimentazione e nelle quantità necessarie e sufficienti all’esecuzione della Sperimentazione, il prodotto farmaceutico oggetto della Sperimentazione (ABSK021) e gli altri farmaci previsti dal protocollo in ottemperanza al D.M. 21 dicembre 2007, Allegato 1, punto 3 Tabella I, inclusi i medicinali da utilizzarsi in associazione o combinazione tra loro, ogniqualvolta oggetto dello studio sia appunto l’associazione o combinazione (in seguito “Medicinali Sperimentali”), e a provvedere con oneri a proprio carico alla fornitura dei medicinali ausiliari e della terapia di background, cioè lo standard terapeutico per la patologia oggetto di sperimentazione, qualora inclusa, secondo il protocollo sperimentale, nel confronto fra le diverse strategie terapeutiche oggetto di sperimentazione. Le quantità dei Medicinali Sperimentali, dei medicinali ausiliari e della terapia di background a carico del Promotore devono essere adeguate alla numerosità della casistica trattata. La ricezione e il tracciamento dei farmaci dovranno avvenire con la registrazione dei lotti. Restano a carico dell’Ente le terapie di background non incluse nelle strategie terapeutiche di confronto. Il Promotore si impegna altresì a fornire con oneri a proprio carico ogni altro materiale necessario all’esecuzione della Sperimentazione (di seguito “Materiali”), nonché gli esami di laboratorio, diagnostici o di monitoraggio, inerenti l’utilizzo dei Medicinali Sperimentali o gli obiettivi primari e secondari della

Sperimentazione (di seguito, “Servizi”).

4.2 Al ricorrere delle condizioni previste dalla normativa vigente in materia di uso terapeutico di medicinale sottoposto a sperimentazione clinica, con particolare riguardo alla dichiarazione di Helsinki e alle buone prassi in materia di continuità terapeutica, il Promotore s’impegna, laddove applicabile e salvo motivi in contrario da precisarsi per iscritto, a rendere disponibile il farmaco oggetto della sperimentazione clinica al termine della sperimentazione, oltre il periodo di osservazione, per i pazienti che abbiano ottenuto un beneficio clinico dal farmaco sperimentale, valutato in base al giudizio dello Sperimentatore principale (indipendentemente dall’applicabilità o meno del D. M. 7 settembre 2017 “Disciplina dell’uso terapeutico di medicinale sottoposto a sperimentazione clinica”). Nei pazienti con beneficio clinico la fornitura del farmaco sarà proseguita fino a quando esso non sarà reso disponibile tramite gli ordinari canali di dispensazione, in modo da garantire la continuità terapeutica. In accordo con la Dichiarazione di Helsinki, l’informazione circa la disponibilità o meno all’accesso post-trial da parte del Promotore dovrà essere resa

palese ai partecipanti alla sperimentazione nei documenti di consenso informato.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 6 a 101

4.3 I Medicinali Sperimentali devono essere inviati dal Promotore alla Farmacia dell’Ente che provvederà alla loro registrazione, appropriata conservazione e consegna allo Sperimentatore principale, così come

previsto dal Protocollo e dalla normativa vigente.

4.4 I Medicinali Sperimentali dovranno essere muniti di adeguato documento di trasporto destinato alla Farmacia, con la descrizione del tipo di farmaco, della sua quantità, del lotto di preparazione, dei requisiti per la conservazione, della scadenza e i riferimenti alla Sperimentazione (codice di protocollo,

Sperimentatore principale e Centro di Sperimentazione interessato).

4.5 L’Ente e lo Sperimentatore principale devono utilizzare i Medicinali Sperimentali e i Materiali forniti dal Promotore esclusivamente nell’ambito e per l’esecuzione della Sperimentazione. L’Ente non deve trasferire o cedere a terzi i Medicinali Sperimentali e/o i Materiali/Servizi forniti dal Promotore ai sensi del

presente Contratto.

Art. 5 – Comodato d’uso

Non applicabile.

Art. 6 – Corrispettivo

6.1 Il corrispettivo pattuito per paziente eleggibile, valutabile che abbia completato lo studio, e per il quale sia stata compilata validamente la relativa CRF/eCRF, comprensivo di tutte le spese sostenute dall’Ente per l’esecuzione della Sperimentazione e dei costi di tutte le attività ad essa collegate, è pari ad un massimo di

€ 30.827,00 + IVA (se applicabile) per paziente, come meglio dettagliato nel Budget qui allegato (Allegato

A).

6.2 La CRO, per conto del Promotore, si impegna a corrispondere quanto dovuto ai sensi del presente articolo sulla base di quanto risulta da adeguato prospetto/rendiconto giustificativo, concordato tra le Parti.

Il pagamento del compenso di cui sopra verrà effettuato con la cadenza indicata nel Budget (Allegato A, paragrafo “Liquidazione e Fatture”) sulla base del numero dei pazienti coinvolti nel relativo periodo, dei trattamenti da loro effettuati secondo Protocollo e in presenza delle relative CRF/eCRF debitamente

compilate e ritenute valide dal Promotore in base alle attività svolte.

6.3 Tutti gli esami di laboratorio/strumentali e ogni altra prestazione/attività aggiuntiva non compresa nel corrispettivo pattuito per paziente eleggibile, richiesta dal Promotore, così come approvato dal Comitato Etico e dall’Autorità Competente e come dettagliato in Allegato A (paragrafo “Oneri e Compensi” - parte 2), saranno rimborsati e fatturati dalla CRO per conto del Promotore in aggiunta al corrispettivo pattuito

per paziente eleggibile.

6.4 L’Ente non riceverà alcun compenso per pazienti non valutabili a causa di inosservanza del Protocollo, di violazione delle norme di Buona Pratica Clinica o di mancato rispetto della normativa vigente in materia di sperimentazioni cliniche di medicinali. L’Ente non avrà diritto ad alcun compenso anche per pazienti coinvolti successivamente alla comunicazione di interruzione e/o conclusione della Sperimentazione da parte del Promotore od oltre il numero massimo di soggetti da includere ai sensi del presente Contratto,

ove non concordati con il Promotore.

6.5 La CRO per conto del Promotore provvederà, inoltre, a rimborsare all’Ente tutti i costi aggiuntivi risultanti da attività mediche/diagnostiche, compresi eventuali ricoveri, non previste nel Protocollo o nei successivi emendamenti allo stesso, e non già coperti dai compensi sopra elencati, qualora tali attività si rendano indispensabili per una corretta gestione clinica del paziente in sperimentazione. Il rimborso sarà effettuato solo a condizione che tali attività e i relativi costi vengano tempestivamente comunicati, giustificati e documentati per iscritto al Promotore e approvati per iscritto dallo stesso, ferma restando la

comunicazione in forma codificata dei dati personali del paziente.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 7 a 101

6.6 Se nel corso dello svolgimento della Sperimentazione si rendesse necessario aumentare il supporto economico a favore dell’Ente, il Promotore potrà integrare, con un addendum/emendamento, il presente Contratto, prevedendo l’adeguato aumento del Budget qui allegato.
6.7 In ottemperanza alla normativa sull’obbligo della fatturazione elettronica per le cessioni di beni e per la prestazione di servizi anche tra privati, l’Ente emetterà fatture in formato XML (Extensible Markup Language) e trasmesse tramite il Sistema di Interscambio (SDI). La CRO per conto dello Sponsor comunica i dati necessari per l’emissione della fattura elettronica: RAGIONE SOCIALE HongKong Tigermed Co., Limited, Xxxxxx Xxxx Xx. 0000, 00xx Xxxxx, Xxxxxxx Xxxx, 000 Xxxxxxxx Xxxx, Xxxxx Xxxxx Xxxx Xxxx, CODICE DESTINATARIO: XXXXXXX Tax Registration Number: 58993572
COORDINATE BANCARIE ENTE/ENTITY BANK ACCOUNT
	Nome e cognome del Beneficiario	AZIENDA USL TOSCANA CENTRO
	Indirizzo del Beneficiario	XXXXXX XXXXX XXXXX XXXXX, 0 00000 XXXXXXX
	Nome della banca	B.P.M.
	Indirizzo della banca	Xxxxxx Xxxxxxxxx 0, 00000 Xxxxxxx
	Numero di conto bancario/IBAN	XX00 X 00000 00000 000000000000
	Indirizzo e-mail del Beneficiario per i pagamenti	xxxxxxxxxxxxxxxx@xxxxxxxxx.xxxxxxx.xx
	Codice SWIFT	XXXXXX00X00
	P. IVA/VAT	06593810481
6.8 I pagamenti effettuati per i servizi svolti dall’Ente (i) rappresentano il corretto valore di mercato di detti servizi, poiché adeguati rispetto al tariffario applicabile presso l’Ente, (ii) sono stati negoziati a condizioni commerciali normali, (iii) non sono stati definiti sulla base del volume o valore di prescrizioni o comunque in riferimento a tali prescrizioni o altre attività economiche che si generino fra le Parti e (iv) non sono inferiori al DRG regionale o al nomenclatore o al tariffario dell’Ente se presente. A fronte delle attività svolte o delle spese sostenute includendo i Pazienti in Sperimentazione, al cui pagamento il Promotore sia tenuto, né l’Ente né lo Sperimentatore principale chiederanno altri rimborsi o corrispettivi ad altri soggetti.
6.9 II Promotore mette inoltre a disposizione dei pazienti che partecipano alla Sperimentazione la possibilità di ottenere la copertura solo le spese di viaggio con un massimo di 27 € per visita sostenute in relazione a ciascuna prestazione sanitaria effettuata presso l’Ente, nel rispetto della normativa applicabile, mediante le procedure, i massimali e le spese ammissibili preventivamente approvate dal Comitato Etico. La copertura delle spese deve essere effettuata esclusivamente attraverso l’amministrazione dell’Ente che attuerà le proprie procedure in materia. Ciascun paziente presenterà l’elenco delle spese all’Ente; ai fini della copertura da parte del Promotore, tale elenco sarà debitamente codificato a cura dell’Ente. L’Ente, in considerazione della durata dello studio, concorderà i termini per la presentazione al Promotore dell’elenco delle spese relative ai pazienti e presentate all’Ente in occasione delle prestazioni sanitarie eseguite nel periodo di riferimento. II Promotore potrà controllare le somme richieste confrontandole con le visite eseguite dai pazienti ed effettuerà i relativi pagamenti in favore dell’Ente. Sarà quindi

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 8 a 101

responsabilità dell’Ente provvedere alla copertura delle spese per ciascun paziente coinvolto, secondo gli

importi di cui alla tabella dettagliata nel Budget qui allegato sub A Parte 1 Voce NP007.

Qualora previsto dal Protocollo, è possibile una indennità compensativa per le spese e per i mancati guadagni direttamente connessi con la partecipazione alla sperimentazione, anche per l’accompagnatore di pazienti che siano impossibilitati a viaggiare da soli quali, ad esempio, i pazienti minorenni, i soggetti incapaci, i pazienti fragili. Ciascun paziente presenterà l’elenco delle spese all’Ente o al soggetto da questo delegato, ai fini della copertura da parte del Promotore.

Tutti i costi relativi a voci non specificate nell’Allegato A non verranno rimborsati.

Le Parti concordano che le eventuali spese e commissioni bancarie dovute per i bonifici esteri dovranno

essere addebitate interamente all’ordinante e in nessun caso potranno essere dedotte dall’importo che

viene accreditato al beneficiario.

Art. 7 – Durata, Recesso e Risoluzione

7.1 Il presente Contratto produrrà effetti a partire dalla data di ultima sottoscrizione (“Data di decorrenza”) e rimarrà in vigore sino all’effettiva conclusione della Sperimentazione presso l’Ente, così come previsto nel Protocollo di studio, salvo eventuali modifiche concordate tra le Parti. Fermo restando quanto sopra, il presente Xxxxxxxxx produrrà i suoi effetti a seguito del rilascio di formale autorizzazione da parte

dell’Autorità Competente.

7.2 L’Ente si riserva il diritto di recedere dal presente Contratto mediante comunicazione scritta e con

preavviso di 30 giorni da inoltrare al Promotore con raccomandata A.R. o PEC nei casi di:

- insolvenza del Promotore, proposizione di concordati anche stragiudiziali con i creditori del Promotore o avvio di procedure esecutive nei confronti del Promotore. Qualora la situazione sopra indicata riguardi la CRO, il Promotore sarà tenuto a subentrarle e proseguire l’attività, qualora non procuri

l’intervento di un’altra CRO, approvata dall’Ente, in sostituzione di quella divenuta insolvente;

- cessione di tutti o di parte dei beni del Promotore ai creditori o definizione con gli stessi di un accordo

per la moratoria dei debiti.

Il preavviso avrà effetto dal momento del ricevimento da parte del Promotore della comunicazione di cui

sopra.

7.3 Il Promotore, ai sensi dell’art. 1373, comma 2, Codice Civile, si riserva il diritto di recedere dal presente Contratto in qualunque momento per giustificati motivi mediante comunicazione scritta inviata a mezzo raccomandata A.R. o PEC, con preavviso di 30 giorni. Tale preavviso avrà effetto dal momento del ricevimento da parte dell’Ente di detta comunicazione.

In caso di recesso del Promotore sono comunque fatti salvi gli obblighi assunti e le spese effettuate dall’Ente alla data della comunicazione di recesso. In particolare, il Promotore corrisponderà all’Ente tutte le spese documentate e non revocabili che questo abbia sostenuto al fine di garantire la corretta ed efficace esecuzione della Sperimentazione (ove applicabile, incluse le spese sostenute dall’Ente nei confronti dei pazienti-partecipanti), nonché i compensi sino a quel momento maturati.

In caso di recesso anticipato, il Promotore ha diritto di ricevere, quale proprietario a titolo originario, tutti

i dati e risultati, anche parziali, ottenuti dall’Ente nel corso della Sperimentazione e anche successivamente, se derivanti da o correlati a essa.

7.4 In caso di interruzione della Sperimentazione, ai sensi della normativa applicabile, il Promotore corrisponderà all'Ente i rimborsi delle spese e i compensi effettivamente maturati e documentati fino a

quel momento.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 9 a 101

7.5 Resta peraltro inteso che lo scioglimento anticipato del Contratto non comporterà alcun diritto di una

Parte di avanzare, nei confronti dell’altra, pretese risarcitorie o richieste di pagamento ulteriori rispetto a

quanto convenuto.

7.6 Gli effetti del presente Contratto cesseranno automaticamente ai sensi dell’art. 1454 del Codice Civile nel caso in cui una delle Parti non abbia adempiuto a uno degli obblighi previsti dal presente Contratto entro 30 giorni dalla richiesta scritta di adempimento presentata dall’altra parte.

Resta in ogni caso salva l’applicabilità degli artt. 1218 e seguenti del Codice Civile.

7.7 In caso di risoluzione del presente Contratto non derivante da inadempimento dell’Ente, quest’ultimo avrà diritto al rimborso delle spese effettivamente sostenute per la Sperimentazione prima del ricevimento della notifica di risoluzione e a un compenso per i servizi resi in conformità al protocollo e al presente contratto, in proporzione all'attività svolta sino al momento della risoluzione. L'Ente s’impegna

a restituire al Promotore eventuali importi già liquidati e relativi ad attività non svolte.

7.8 In tutti i casi di interruzione o di risoluzione del presente Contratto, sarà attuata ogni precauzione per garantire la massima tutela dei pazienti già coinvolti, in accordo con quanto previsto dal Protocollo approvato dal Comitato Etico, garantendo, nei limiti e con le modalità previste dall’art. 4.2, la continuità

terapeutica.

Art. 8 - Copertura assicurativa

8.1 Il Promotore è tenuto a garantire, secondo la legislazione vigente, il risarcimento dei danni subiti dai pazienti e riconducibili alla partecipazione alla sperimentazione clinica secondo il Protocollo, commisurato

alla natura e alla portata dei rischi conseguenti.

8.2 Fatte salve le previsioni dell’art 76 del Regolamento e della L. 8 marzo 2017, n. 24 e dei rispettivi provvedimenti attuativi, la copertura assicurativa fornita dal Promotore garantisce rispetto alle ipotesi di responsabilità civile del Promotore, dell’istituzione sanitaria sede della Sperimentazione, dello

Sperimentatore principale, e degli altri Sperimentatori coinvolti presso il Centro dell'Ente.

8.3 Il Promotore dichiara, con la firma del presente contratto, di aver stipulato adeguata polizza assicurativa (n. ITLSCR09918, con la Compagnia Chubb European Group SE) per la responsabilità civile verso terzi, a copertura del rischio di eventuali danni derivanti ai pazienti dalla partecipazione alla Sperimentazione, secondo quanto previsto dal D.M. 14 luglio 2009. La polizza assicurativa è stata ritenuta dal Comitato Etico rispettosa dei termini di legge e adeguatamente tutelante i soggetti coinvolti nella

sperimentazione clinica.

8.4 Il Promotore, con la firma del presente contratto, dichiara di farsi carico delle conseguenze connesse a eventuali inadeguatezze, anche sopravvenute, della copertura assicurativa in argomento, integrandole

ove necessario in coerenza con quanto previsto all’art. 8.1.

8.5 Il Promotore in particolare, nel caso in cui intenda recedere dal Contratto, garantisce che la Società assicuratrice assicuri in ogni caso la copertura dei soggetti già inclusi nello studio clinico anche per il

prosieguo della Sperimentazione ai sensi dell'art. 2 comma 3 del D.M. 17/07/09.

8.6 All’atto del sinistro, l’Ente è tenuto a comunicare l’esistenza di coperture assicurative per la

responsabilità RCT Medical Malpractice (a copertura sia dell’Ente, sia del personale medico che ha

somministrato il farmaco), ai sensi dell’articolo 1910 codice civile.

Art. 9 - Relazione finale, titolarità e utilizzazione dei risultati

9.1 Il Promotore avrà diritti di pubblicazione illimitati per i risultati e potrà fornire i dati a terzi per la pubblicazione. Il Promotore si impegna a divulgare tutti i risultati dello studio anche se negativi.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 10 a 101

9.2 Il Promotore assume la responsabilità della preparazione del rapporto clinico finale e dell’invio entro i termini previsti dalla vigente normativa allo Sperimentatore principale e al Comitato Etico del riassunto dei risultati della Sperimentazione stessa. Indipendentemente dall’esito di una sperimentazione clinica, entro un anno (e sei mesi nel caso di studi pediatrici) dalla sua conclusione, il Promotore trasmette una sintesi dei risultati della sperimentazione alla banca dati EU secondo le modalità previste dall’Art 37.4 del

Regolamento (UE) n. 536/2014.

9.3 Tutti i dati, i risultati, le informazioni, i materiali, le scoperte e le invenzioni derivanti dall'esecuzione

della Sperimentazione, nel perseguimento degli obiettivi della stessa, sono di proprietà esclusiva del Promotore salvo il diritto degli Sperimentatori, ricorrendone i presupposti, di esserne riconosciuti autori.

A fronte di una procedura attivata dal Promotore per il deposito di una domanda di brevetto avente a oggetto invenzioni ricavate nel corso della Sperimentazione, l’Ente e lo Sperimentatore principale si impegnano a fornire al Promotore, con spese a carico dello stesso, il supporto, anche documentale, utile

a tal fine.

9.4 L’Ente può utilizzare i dati e i risultati della Sperimentazione, del cui trattamento è autonomo titolare ai sensi di legge, unicamente per i propri scopi istituzionali scientifici e di ricerca. Tale utilizzo non deve in alcun caso pregiudicare la segretezza degli stessi e la tutela brevettuale dei relativi diritti di proprietà intellettuale spettanti al Promotore.

Le Parti riconoscono reciprocamente che resteranno titolari dei diritti di proprietà industriale e intellettuale relativi alle proprie pregresse conoscenze (background knowledge) e alle proprie conoscenze sviluppate o ottenute nel corso della Sperimentazione, ma a prescindere e

indipendentemente dalla sua conduzione e dai suoi obiettivi (sidegroundknowledge).

9.5 Presentazione e pubblicazione da parte dell’Ente:

a) Al termine della Sperimentazione e della valutazione da parte del Promotore di tutti i dati della Sperimentazione, o in caso di conclusione anticipata o abbandono della Sperimentazione, l'Ente e lo Sperimentatore Principale possono pubblicare o divulgare pubblicamente, per scopi non commerciali, i metodi e i risultati della Sperimentazione lo Studio ("Dati dello studio") a condizione che (a) lo Studio sia stato condotto presso l'Ente in conformità con il Protocollo; e (b) tale pubblicazione o presentazione (i) sia effettuata in una rivista medica o scientifica riconosciuta o in una conferenza scientifica riconosciuta, (ii) si faccia uso di tutti i Dati di studio dell'Ente e non di sottoinsiemi di Dati di studio, e (iii) sia effettuato in

conformità con le disposizioni delle Sezioni 9.5 (b) fino a 9.5 (d), di seguito.

b) L'Ente e lo Sperimentatore principale non devono pubblicare o altrimenti divulgare pubblicamente i Dati dello studio senza il previo consenso scritto dello Sponsor. Una copia di tale divulgazione sarà consegnata allo Sponsor per la revisione almeno sessanta (60) giorni prima della data di invio per la pubblicazione (compresi gli abstract) o della divulgazione pubblica (il "Periodo di revisione"). Se durante il Periodo di revisione, il Promotore richiede che l'Ente e/o lo Sperimentatore Principale elimini qualsiasi informazione riservata diversa dai Dati dello studio, l'Entità e/o lo Sperimentatore Principale dovranno farlo. Se lo Sponsor approva la pubblicazione o la divulgazione, l'Entità e il Ricercatore principale accettano di discutere con lo Sponsor qualsiasi suggerimento dello Sponsor in merito alla presentazione dei Dati dello

studio e ai tempi della divulgazione

c) Se durante il Periodo di revisione, il Promotore notifica all'Ente o allo Sperimentatore Principale che desidera depositare domande di brevetto su qualsiasi invenzione, scoperta o miglioramento divulgato o contenuto nelle divulgazioni, l'Ente o lo Sperimentatore Principale rinvieranno la pubblicazione o altra divulgazione per un periodo, non superiore a sessanta (60) giorni, sufficienti per consentire allo Sponsor o

al suo designato di depositare o far depositare qualsiasi domanda di brevetto desiderata.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 11 a 101

d) Nonostante qualsiasi disposizione contraria nella presente Sezione 9, poiché la Sperimentazione è parte di uno studio di ricerca clinica multicentrico, nessuna richiesta di pubblicazione o divulgazione pubblica da parte dell'Ente o Sperimentatore Principale sarà effettuata fino alla pubblicazione dei risultati multicentrici. Dopo il primo verificarsi di (i) pubblicazione dei risultati multicentrici, (ii) notifica da parte dello Sponsor che tale invio multicentrico non è più pianificato, o (iii) trascorso il diciottesimo (18) mese dalla cessazione dello studio presso tutti i centri partecipanti, l'Ente e lo Sperimentatore Principale possono pubblicare o presentare pubblicamente i Dati dello studio, a condizione che l'Ente e lo

Sperimentatore Principale rispettino le Sezioni 9.5(b) e 9.5(c) di cui sopra.

9.6 Le disposizioni del presente articolo resteranno valide ed efficaci anche dopo la risoluzione o la

cessazione degli effetti del presente Contratto.

Art. 10 Segretezza di informazioni tecnico-commerciali e diffusione dei risultati

10.1 Con la sottoscrizione del presente Contratto, ciascuna delle Parti si impegna a mantenere riservate per l’intera durata del presente Contratto (termine estensibile in sede negoziale fino alla loro caduta in pubblico dominio, qualora necessario in base ad eventuali accordi con licenzianti), tutte le informazioni di natura tecnica e/o commerciale messe a sua disposizione dall’altra Parte e/o sviluppate nel corso della Sperimentazione e nel perseguimento degli obiettivi della stessa, che siano classificabili come “Segreti Commerciali” ai sensi degli artt. 98 e 99 del Codice della Proprietà Industriale (D. Lgs. n. 30/2005, come modificato dal D. Lgs. n. 63/2018 in recepimento della Direttiva UE 2016/943), adottando ogni misura di carattere contrattuale, tecnologico o fisico idonea per la loro protezione, anche nei confronti di propri

dipendenti, collaboratori, sub-appaltatori, danti o aventi causa.

Ciascuna delle Parti inoltre dichiara e garantisce quanto segue:

(i) i propri Segreti Commerciali sono stati acquisiti, utilizzati e rivelati lecitamente e non vi sono – per

quanto ad essa noto – azioni giudiziarie, contestazioni, richieste di risarcimento o di indennizzo promosse anche in via stragiudiziale, da parte di terzi rivendicanti la titolarità di tali segreti.

(ii) essa, pertanto, terrà indenne e manleverà l’altra Parte da azioni giudiziarie, contestazioni, richieste di

risarcimento o di indennizzo promosse anche in via stragiudiziale, da parte di terzi rivendicanti la titolarità di tali segreti.

10.2 Le Parti sono obbligate all'adeguata e corretta diffusione e pubblicazione dei risultati della Sperimentazione nonché alla loro adeguata comunicazione ai pazienti partecipanti ed ai rappresentanti dei pazienti. Il Promotore, ai sensi della vigente normativa, è tenuto a rendere pubblici tempestivamente i risultati, anche se negativi, ottenuti a conclusione della Sperimentazione, non appena disponibili da parte di tutti i Centri partecipanti e comunque non oltre i termini a tal fine stabiliti dalle disposizioni applicabili

dell’Unione Europea.

10.3 Ai sensi dell'art. 5, comma secondo, lett. c) del D.M. 8 febbraio 2013, lo Sperimentatore principale ha diritto di diffondere e pubblicare, senza limitazione alcuna, i risultati della Sperimentazione ottenuti presso l’Ente, nel rispetto delle disposizioni vigenti in materia di riservatezza dei dati sensibili, di protezione dei dati personali e di tutela della proprietà intellettuale, nonché nel rispetto dei termini e delle condizioni di cui al presente Contratto. Per garantire la correttezza della raccolta e la veridicità dell'elaborazione dei dati e dei risultati della Sperimentazione ottenuti presso l’Ente, in vista della loro presentazione o pubblicazione, almeno 60 giorni prima di esse lo Sperimentatore principale dovrà trasmettere al Promotore il testo del documento destinato ad essere presentato o pubblicato. Ove dovessero sorgere questioni relative all'integrità scientifica del documento e/o questioni afferenti agli aspetti regolatori, brevettuali o di tutela della proprietà intellettuale, le Parti e lo Sperimentatore Principale procederanno

nei 60 giorni successivi al riesame del documento. Lo Sperimentatore principale accetterà di tenere conto

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 12 a 101

dei suggerimenti del Promotore nella presentazione o pubblicazione, solo se necessari ai fini della tutela della riservatezza delle informazioni, dei dati personali e della tutela della proprietà intellettuale, purché

non in contrasto con l'attendibilità dei dati, con i diritti, la sicurezza e il benessere dei pazienti.

10.4 Il Promotore riconosce di non aver diritto di chiedere l'eliminazione delle informazioni contenute nel

documento, salvo quando tali richieste e modifiche siano necessarie ai fini della tutela della riservatezza dei dati, della protezione dei dati personali e della tutela della proprietà intellettuale.

10.5 Il Promotore, allo scopo di presentare una richiesta di brevetto e qualora risulti necessario, potrà chiedere allo Sperimentatore principale di differire di ulteriori 90 giorni la pubblicazione o presentazione del documento.

In caso di sperimentazione multicentrica, lo Sperimentatore principale non potrà pubblicare i dati o risultati del proprio Centro sino a che tutti i dati e risultati della Sperimentazione siano stati integralmente pubblicati ovvero per almeno 18 mesi dalla conclusione della Sperimentazione, dalla sua interruzione o chiusura anticipata.

Laddove la pubblicazione recante i risultati di una sperimentazione multicentrica ad opera del Promotore, o del terzo da questi designato, non venga effettuata entro 18 mesi (secondo la normativa vigente almeno dodici mesi) dalla fine della Sperimentazione multicentrica, lo Sperimentatore potrà pubblicare i risultati

ottenuti presso l’Ente, nel rispetto di quanto contenuto nel presente articolo.

10.6 Al termine della Sperimentazione e della valutazione da parte del Promotore di tutti i dati della Sperimentazione, o in caso di conclusione anticipata o abbandono della Sperimentazione, l'Ente e lo Sperimentatore Principale possono pubblicare o divulgare pubblicamente, per scopi non commerciali, i metodi e i risultati della Sperimentazione lo Studio ("Dati dello studio") a condizione che (a) lo Studio sia stato condotto presso l'Ente in conformità con il Protocollo; e (b) tale pubblicazione o presentazione (i) sia effettuata in una rivista medica o scientifica riconosciuta o in una conferenza scientifica riconosciuta e sia

effettuata in conformità con le disposizioni del presente articolo.

Art. 11- Protezione dei dati personali

11.1 Le Parti nell’esecuzione delle attività previste dal presente Contratto si impegnano a trattare i dati personali, di cui vengano per qualsiasi motivo a conoscenza durante la sperimentazione clinica, nel rispetto degli obiettivi di cui ai precedenti articoli e in conformità a quanto disposto dal Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 (“GDPR”), nonché dalle correlate disposizioni legislative e amministrative nazionali vigenti, con le loro eventuali successive modifiche e/o integrazioni (di seguito, collettivamente, “Leggi in materia di Protezione dei dati”) nonché degli eventuali regolamenti degli

Enti.

11.2 I termini utilizzati nel presente articolo, nel Contratto, nella documentazione di informativa e consenso e in ogni altro documento utilizzato per le finalità della sperimentazione clinica devono essere

intesi e utilizzati secondo il significato a essi attribuito nell’Allegato B.

11.3 L’Ente e il Promotore si qualificano come autonomi titolari del trattamento ai sensi dell’art. 4 paragrafo 17) del GDPR. Ciascuna delle Parti provvederà a propria cura e spese, nell’ambito del proprio assetto organizzativo, alle eventuali nomine di Responsabili del trattamento e attribuzione di funzioni e

compiti a soggetti designati, che operino sotto la loro autorità, ai sensi del GDPR e della normativa vigente.

11.4 Per le finalità della Sperimentazione saranno trattati dati personali riferiti alle seguenti categorie di interessati: soggetti partecipanti alla sperimentazione; persone che operano per le Parti. Tali interessati sono informati sul trattamento che li riguarda a mezzo di idonea informativa. Per le finalità della Sperimentazione saranno trattate le seguenti tipologie di dati personali: dati di cui all’art. 4 n. 1 del GDPR;

dati rientranti nelle categorie “particolari” di dati personali - e in particolare dati relativi alla salute e alla

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 13 a 101

vita sessuale, dati genetici - di cui all’art. 9 del GDPR. Tali dati saranno trattati nel rispetto dei principi di

liceità, correttezza, trasparenza, adeguatezza, pertinenza e necessità di cui all’art.5, paragrafo 1 del GDPR.

11.5 Il Promotore potrà trasmettere i dati ad affiliate del gruppo del Promotore e a terzi operanti per suo conto, anche all'estero, in paesi al di fuori dell'Unione Europea soltanto nel rispetto delle condizioni di cui agli artt. 44 e ss. del GDPR. Ai fini del presente Accordo, "Affiliata" o "Affiliate" indicano qualsiasi persona o Ente controllata, controllante o sotto controllo comune con lo Sponsor o l'Ente. A tal fine, per "controllo" si intende la titolarità effettiva diretta o indiretta di almeno il cinquanta per cento (50%) del capitale con diritto di voto (o l'equivalente) di tale persona fisica o giuridica o che ha il diritto di dirigere, nominare o rimuovere una maggioranza o più dei membri del suo consiglio di amministrazione (o loro equivalente), o avere il potere di controllare la gestione generale di tale persona o entità, per contratto, legge o altro. In questo caso il Promotore garantirà un adeguato livello di protezione dei dati personali anche mediante l’utilizzo delle Standard Contractual Clauses approvate dalla Commissione Europea. Ove il Promotore abbia sede in uno Stato che non rientra nell’ambito di applicazione del diritto dell’Unione Europea e che:

- non sia stato oggetto di una decisione di adeguatezza della Commissione europea ex artt. 44 e 45 del GDPR UE 2016/679, e/o

- non garantisca un livello di protezione adeguato ai sensi del GDPR,

il Promotore e l’Ente dovranno compilare e sottoscrivere il documento Standard Contractual Clauses

(quest’ultimo viene allegato al presente Contratto).

11.6 Le Parti garantiscono che le persone da esse autorizzate a trattare dati personali per le finalità della Sperimentazione rispettino i principi posti a tutela del diritto alla protezione dei dati personali e del diritto alla riservatezza, e che le persone che hanno accesso ai dati personali siano obbligati a trattarli in

conformità alle istruzioni dettate, in coerenza con il presente articolo, dal titolare di riferimento.

11.7 Lo Sperimentatore principale è individuato dall’Ente quale persona autorizzata al trattamento ai sensi

dell’art. 29 del GDPR e quale soggetto designato ai sensi dell’art. 2 quaterdecies del Codice.

11.8 Lo Sperimentatore principale deve informare in modo chiaro e completo, prima che abbia inizio la Sperimentazione (incluse le relative fasi prodromiche e di screening) ogni paziente circa natura, finalità, risultati, conseguenze, rischi e modalità del trattamento dei dati personali; in particolare il paziente deve inoltre essere informato che Autorità nazionali e straniere, nonché il Comitato Etico, potranno accedere, nell’ambito di attività di monitoraggio, verifica e controllo sulla ricerca, alla documentazione relativa alla sperimentazione così come anche alla documentazione sanitaria originale del paziente, e che ad esse

potranno anche eccedere in visione, nell’ambito delle rispettive competenze, Monitor e Auditor.

11.9 Lo Sperimentatore principale deve acquisire dal paziente debitamente informato il documento di consenso oltre che alla partecipazione alla Sperimentazione, anche al trattamento dei dati. L’Ente è

responsabile della conservazione di tale documento.

11.10 Qualora una parte accerti una violazione dei dati personali, si impegna a comunicarlo all’altra entro

48 ore dall’accertamento della violazione, ferma restando l’autonomia della stessa nella valutazione della sussistenza delle condizioni e nell’adempimento degli obblighi previsti dagli artt. 33 e 34 del GDPR.

Art. 12 - Modifiche

12.1 Il presente Contratto e i relativi allegati/addendum, unitamente al Protocollo quale parte integrante,

costituiscono l'intero accordo tra le Parti.

12.2 Il Contratto può essere modificato/integrato solo con il consenso scritto di entrambe le Parti. Le eventuali modifiche saranno oggetto di addendum al presente Contratto e decorreranno dalla data della

loro sottoscrizione, salvo diverso accordo tra le Parti.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 14 a 101

Art. 13 - Disciplina anti-corruzione e per la prevenzione di reati

13.1 L’Ente e il Promotore si impegnano a rispettare la normativa anticorruzione applicabile in Italia.

13.2 Il Promotore dichiara di aver adottato misure di vigilanza e controllo ai fini del rispetto e dell’attuazione delle previsioni del D. Lgs. 8 giugno 2001 n. 231, nonché, in quanto applicabili e non in contrasto con la normativa vigente in Italia, e loro successive modifiche e integrazioni. L’Ente e le sue strutture cliniche e amministrative, si impegnano a collaborare in buona fede, nei limiti di quanto previsto dalla normativa italiana di cui sopra, con il personale e il management del Promotore al fine di facilitare la piena e corretta attuazione degli obblighi che ne derivano e l’attuazione delle procedure operative a tal

fine messe a punto dal Promotore.

13.3 Ai sensi e per gli effetti della L. n. 190 del 6 novembre 2012 (“Legge Anticorruzione”) e sue successive modificazioni, l’Ente dichiara di avere adottato il Piano Triennale per la prevenzione della corruzione, consultabile al sito xxxxx://xxx.xxx.xx/xxxxx-xxxxxxxxx-xx-xxxxxxxxxxx-xxxxx-xxxxxxxxxx-x-xxxxx-

trasparenza

13.4 L’Ente e il Promotore s’impegnano reciprocamente a informare immediatamente l’altra parte circa

ogni eventuale violazione del presente articolo di cui venga a conoscenza e a rendere disponibili tutti i dati informativi e la documentazione per ogni opportuna verifica.

13.5 Il Promotore può divulgare per qualsiasi scopo legittimo, nei limiti della normativa sul trattamento

dei dati, i termini del presente Contratto o di qualsiasi suo emendamento.

13.6 La violazione di quanto previsto da questo articolo costituisce grave inadempimento del presente

Contratto ai sensi e per gli effetti di cui all'art. 1456 Codice Civile, risultando pregiudicato il rapporto di fiducia tra le Parti.

Art. 14 - Trasferimento diritti, cessione del Contratto

14.1 Il presente Contratto ha carattere fiduciario e, pertanto, le Parti non possono cedere o trasferire lo stesso a terzi, senza il preventivo consenso scritto dell’altra Parte. Ogni Parte acconsente a che l’altra Parte possa cedere e/o trasferire in tutto o in parte i diritti e gli obblighi a loro pervenuti direttamente o indirettamente dalla firma del presente Contratto a un loro successore o a una società o entità a essa collegata, previa accettazione da parte del cessionario di tutte le condizioni e i termini del presente Contratto. Qualsiasi trasferimento di diritti in assenza delle suddette condizioni sarà considerato nullo e

mai avvenuto.

14.2 In caso di cambio di denominazione dell’Ente non si renderà necessario alla presente convenzione.

L’Ente sarà comunque tenuto a notificare tempestivamente al Promotore tale cambio di denominazione.

Art. 15 - Oneri fiscali

15.1 Il presente Contratto viene sottoscritto con firma digitale ai sensi della normativa vigente. Le imposte e tasse inerenti e conseguenti alla stipula del presente Contratto, ivx xomprese l’imposta di bollo sull’originale informatico di cui all’art. 2 della Tabella Allegato A – tariffa parte I del DPR n. 642/1972 e

l’imposta di registro devono essere versate, nel rispetto della normativa applicabile.

15.1 Le imposte e tasse inerenti e conseguenti alla stipula del presente Contratto, ivx xomprese

l’imposta di bollo sull’originale informatico di cui all’art. 2 della Tabella Allegato A – tariffa parte I del DPR n. 642/1972 devono essere versate, nel rispetto della normativa applicabile.

In particolare, l’imposta di bollo è a carico del Promotore.

15.2 Ai sensi dell’art. 7 ter del DPR n. 633/1972 e successive modifiche, le prestazioni contrattuali

saranno fatturate fuori campo IVA, per mancanza del presupposto della territorialità.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 15 a 101

Art. 16 - Legge regolatrice e Foro competente

16.1 La legge regolatrice del presente Contratto è la legge italiana

16.2 Per tutte le eventuali controversie che dovessero sorgere in relazione all’interpretazione, applicazione ed esecuzione del presente Contratto, fermo restando l’impegno delle Parti ad esperire un preventivo tentativo di conciliazione in sede stragiudiziale, sarà competente, in via esclusiva, il Foro di

Firenze.

Art. 17 – Lingua

17.1 In caso di difformità tra la versione in lingua inglese e quella in lingua italiana del presente Contratto,

la versione in italiano prevarrà.

Art. 18

Questo contratto è firmato in n. 1 copia digitale che le Parti medesime, sottoscrivendo digitalmente, dichiarano di approvare in ogni sua parte e per intero

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 16 a 101

Firmato da

In nome e per conto di

HONGKONG TIGERMED CO., LIMITED,

Head of Project Management & Solutions of EMEA – Europe Dr Xxxxxx Xx Xxxx

2023/12/05 | 16:33:53 CST

Per l’Ente

Azienda Usl Toscana Centro

Il Legale Rappresentante o suo delegato/ The legal representative Direttore Staff Direzione Sanitaria

Xxxx. Xxxxxxxxxx Xxxxx

XXXXXXXXXX XXXXX

2023.12.21 11:45:28

CN=XXXXXXXXXX XXXXX X=IT

O=Regione Toscana/01386030488 2.5.4.97=VATIT-01386030488

RSA/2048 bits

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 17 a 101

ALLEGATO A – BUDGET

COSTI E COMPENSI

Parte 1 - Oneri fissi e Compenso per paziente coinvolto nello studio

- Fornitura del/i Medicinale/i Sperimentale/i e/o di ogni altro materiale in sperimentazione o necessario allo svolgimento della stessa affinché non vi sia aggravio di costi a carico del S.S.N. (kit diagnostici,

dispositivi medici, ecc.).

Oneri fissi in euro

Codice	Costi per il Centro	Budget in €
SC003	Oneri per l’attivazione	1497.00
SC008	Farmacia: oneri per l’attivazione	615.00
SC009	Farmacia: oneri per la chiusura	308.00
SC023	Chiusura dello studio: include tutte le attività legate alla chiusura del Centro	543.00
SC020	Archivio dei documenti, Costo totale di archiviazione	494.00
SC150	Oneri per la distruzione del farmaco – all’occorrenza	138.00
SC130	Rinnovo del consenso, nuovo consenso informato amministrato allo stesso paziente	39.00
SC090	Registrazione e archivio dei report/moduli degli eventi avversi seri: in occasione dell’incidente	33.00
	Costi totali per il Centro (€)	€ 3667.00

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 18 a 101

Compenso a paziente coinvolto nello studio (solo visita di screening): € 4260.00 IVA (se applicabile)

- Compenso per screening failure e unscheduled visit: calcolato caso per caso sulla base delle procedure effettuate.

-

- Compenso massimo per il Centro sperimentale a paziente completato (Compenso a paziente coinvolto

– overhead aziendale - tutti i costi sostenuti dall’Ente per la sperimentazione): € 30327.00+ IVA (se applicabile)..

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 19 a 101

Code	Procedure	Quantity	Budget	ISV	SV	C1D1	C1D15	C2D1	C2D15	C3D1	C4D1	C5D1	C6D1	C7D1	EoT	Safety FU	Pro FU	Part 2	C1D1.1	C2D1.1	C3D1.1	C4D1.1	C7D1.1	EoT.1	Safety FU.1	Pro FU.1
INCO N	Informed consent	1	40	40
INCEX	Eligibility criteria	1	37	37
T9210	Medical History with Demographics	1	72	72
99205	Physical examination	15	172		172		172	172		172	172	172	172	172	172				172	172	172	172	172	172
99211	Vital Signs	17	28		28	28	28	28	28	28	28	28	28	28	28				28	28	28	28	28	28
S0042	ECOG Score	15	18		18		18	18		18	18	18	18	18	18				18	18	18	18	18	18
84702	Serum pregnancy	5	24		24									24	24								24	24
84703	Urine pregnancy	7	17					17		17	17	17	17						17			17
85025	Hematology	16	23		23	23	23	23		23	23	23	23	23	23				23	23	23	23	23	23
T9999	Blood Chemistry	17	36		36	36	36	36	36	36	36	36	36	36	36				36	36	36	36	36	36
82550	Myocardial Enzyme Test - CK	17	7		7	7	7	7	7	7	7	7	7	7	7				7	7	7	7	7	7
82553	Myocardial Enzyme Test - CK-MB	17	19		19	19	19	19	19	19	19	19	19	19	19				19	19	19	19	19	19
84484	Myocardial Enzyme Test -	1	33		33

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 20 a 101

Code	Procedure	Quantity	Budget	ISV	SV	C1D1	C1D15	C2D1	C2D15	C3D1	C4D1	C5D1	C6D1	C7D1	EoT	Safety FU	Pro FU	Part 2	C1D1.1	C2D1.1	C3D1.1	C4D1.1	C7D1.1	EoT.1	Safety FU.1	Pro FU.1
	Cardiac Troponin I (cTnI) or Cardiac Troponin T (cTnT)
85610	Coagulation - Prothrombin time (PT)	7	9		9						9			9	9							9	9	9
T5209	Coagulation - Fibrinogen	7	20		20						20			20	20							20	20	20
INR	Coagulation - International Normalized Ratio (INR)	7	18		18						18			18	18							18	18	18
85730	Coagulation - activated partial thromboplastin time (aPTT)	7	14		14						14			14	14							14	14	14
85670	Coagulation - Thrombin time(TT)	7	27		27						27			27	27							27	27	27
81005	Urinalysis	16	7		7	7	7	7		7	7	7	7	7	7				7	7	7	7	7	7
T0060	Thyroid panel	7	73		73						73			73	73							73	73	73
T0703	Virology	1	51		51
93000	12-lead ECG: Includes tracing, interpretation and report	17	56		56	56	56	56	56	56	56	56	56	56	56				56	56	56	56	56	56

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 21 a 101

Code	Procedure	Quantity	Budget	ISV	SV	C1D1	C1D15	C2D1	C2D15	C3D1	C4D1	C5D1	C6D1	C7D1	EoT	Safety FU	Pro FU	Part 2	C1D1.1	C2D1.1	C3D1.1	C4D1.1	C7D1.1	EoT.1	Safety FU.1	Pro FU.1
78473	Echocardiograp hy/ MUGA	7	611		611						611			611	611							611	611	611
ADXX X	Xdverse events	19	23	23		23	23	23	23	23	23	23	23	23	23	23			23	23	23	23	23	23	23
CONM D	Concomitant medications	19	21	21		21	21	21	21	21	21	21	21	21	21	21			21	21	21	21	21	21	21
RAND M	Randomization	1	46			46
T0299	PK Sample Collection	8	22			22	22				22			22	22							22	22	22
73222	Tumor imaging (MRI) with contrast material(s)	9	606		606						606			606	606		606					606	606	606		606
R3222	MRI Interpretation and Report	9	82		82						82			82	82		82					82	82	82		82
88399	Tissue Specimen Collection	1	774	77 4
95851	Range of motion (ROM) of affected joints (incl. report)	7	26		26						26			26	26							26	26	26
S0005	Worst Stiffness NRS and BPI Worst Pain NRS	14	14		14	14		14		14	14	14	14	14	14					14	14	14	14	14

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 22 a 101

Code	Procedure	Quantity	Budget	ISV	SV	C1D1	C1D15	C2D1	C2D15	C3D1	C4D1	C5D1	C6D1	C7D1	EoT	Safety FU	Pro FU	Part 2	C1D1.1	C2D1.1	C3D1.1	C4D1.1	C7D1.1	EoT.1	Safety FU.1	Pro FU.1
S0034	PROMIS Physical Functioning Scale	14	32		32	32		32		32	32	32	32	32	32					32	32	32	32	32
S0034	European Quality of Life Questionnaire (EuroQol) (EQ- 5D)	14	32		32	32		32		32	32	32	32	32	32					32	32	32	32	32
S0034	XXX-XXX- XXXXX	00	32		32	32	32	32	32	32	32	32	32	32	32
	Procedures Sub Total (€)			€ 96 7	€ 2070	€ 398	€ 464	€ 537	€ 222	€ 537	€ 2.045	€ 537	€ 537	€ 2.052	€ 2.052	€ 44	€ 688	€ 0	€ 427	€ 488	€ 488	€ 2.013	€ 2.020	€ 2.020	€ 44	€ 688

Sub-Total: 21330.00 euro

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 23 a 101

Code	Procedure	Quantity	Budget	ISV	SV	C1D1	C1D15	C2D1	C2D15	C3D1	C4D1	C5D1	C6D1	C7D1	EoT	Safety FU	Pro FU	Part 2	C1D1.1	C2D1.1	C3D1.1	C4D1.1	C7D1.1	EoT.1	Safety FU.1	Pro FU.1
NP00 4	Physician - Per Hour	20	84		84	168	84	84	84	84	84	84	84	84	84	42	42	42		84	84	84	84	84	42	42
NP02 2	Study Coordinator, Complex - Per Visit	20	79		79	158	79	79	79	79	79	79	79	79	79	40	40	40		79	79	79	79	79	40	40
NP00 6	Pharmacy, Simple (e.g. tablets, cream tubes) - Per Preparation (formerly Per Visit); dispense drug	10	29				29		29		29	29	29	29						29	29	29	29
NP00 7	Patient Reimbursemen t, Expenses, Patient Travel - Per Visit	22	27		27	27	27	27	27	27	27	27	27	27	27	27	27	27		27	27	27	27	27	27	27
	Non Procedures Sub Total (€)				€ 190	€ 353	€ 219	€ 190	€ 219	€ 190	€ 219	€ 219	€ 219	€ 219	€ 190	€ 109	€ 109	€ 109	€ 0	€ 219	€ 219	€ 219	€ 219	€ 190	€ 109	€ 109

SubTotal: 4147.00 euro

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 24 a 101

Invoiceable Procedure	Budget
Serum pregnancy test	24
Urine pregnancy test	17
Blood Chemistry	36
Thyroid panel	73
Myocardial Enzyme Test - CK	7
Myocardial Enzyme Test - CK-MB	19
Myocardial Enzyme Test - Cardiac Troponin I (cTnI) or Cardiac Troponin T (cTnT)	33
12-lead ECG: Includes tracing, interpretation and report	56
XXXX	000
MRI with contrast	606
Virology	51
Hematology	23
Coagulation - Prothrombin time (PT)	9
Coagulation - Thrombin time(TT)	27
Coagulation - International Normalized Ratio (INR)	18
Coagulation - Fibrinogen	20
Urinalysis	7
Tissue Specimen Collection	774
ECOG	18

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 25 a 101

Blood Draw	22
Range of motion measurements and report; each extremity or each trunk section (spine)	26
NCI-PRO-CTCAE	32
Scripps Neurological Rating Scale (SNRS) (NRS)	14
Bristol Activities of Daily Living Scale (BADLS); 20-item scale, caregiver-administered	7
Echocardiograph	388

Quantity	Budget	ISV	SV	C1D1	C1D15	C2D1	C2D15	C3D1	C4D1	C5D1	C6D1	C7D1	EoT	Safety FU	Pro FU	Part 2	C1D1.1	C2D1.1	C3D1.1	C4D1.1	C7D1.1	EoT.1	Safety FU.1	Pro FU.1
Overhead (all costs)	19 %	220	460	117	124	144	78	144	430	44	44	426	411	29	51	0	23	34	34	424	420	405	29	51
Total Cost Per Visit with Overhead( €)		1.377	2.883	734	778	900	490	900	2.694	900	900	2.668	2.572	182	948	0	769	841	841	2.656	2.630	2.534	182	948

Total Cost Per Patient (€) € 30.327

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 26 a 101

- Tutti i costi rimborsabili relativi allo studio, inclusi quelli coperti dal contributo per paziente coinvolto nello studio, non comporteranno aggravio di costi a carico del SSN.

- Gli esami di laboratorio verranno effettuati con kit diagnostici forniti da Lab Connect ed inviati presso

un unico laboratorio centralizzato esterno, con spese a carico del Promotore

Parte 2 - Costi aggiuntivi per esami strumentali e/o di laboratorio da effettuarsi sulla base del

Tariffario dell’Ente (o in difetto sulla base del nomenclatore tariffario della Regione dove è situato il

Centro di sperimentazione) vigente al momento dell’erogazione delle rispettive prestazioni.

Non sono previsti costi aggiuntivi.

Parte 3 - Indennità per i pazienti/accompagnatori coinvolti nello studio clinico:

- Si fa rinvio al modello “Indennità per i partecipanti alla sperimentazione”, incluso nel dossier della

domanda ai sensi del Regolamento (UE) n. 536/2014, da intendersi richiamato nel presente Contratto come sua parte integrante e sostanziale.

LIQUIDAZIONE E FATTURE

- Il compenso deve essere liquidato entro 30 giorni dalla ricezione della fattura.

- Le fatture devono essere emesse con cadenza prevista semestrale secondo quanto maturato nel periodo di riferimento, sulla base di apposita richiesta di emissione fattura da parte del Promotore da inviare al seguente indirizzo:

Azienda USL Toscana Centro

Task Force sperimentazione clinica

Presidio Ospedaliero “Xxxxx Xxxxxx”

Xxxxx Xxxxxxxxxxxx 00 - 00000 Xxxxxxx

e-mail: xxxxxxxxxxxxxxxx@xxxxxxxxx.xxxxxxx.xx

Si precisa che nella causale dell’eventuale bonifico è importante indicare anche il numero e la data della

fattura

- Nel caso in cui le coordinate bancarie subissero eventuali variazioni, faranno fede quelle riportate sulle

fatture emesse dall’Azienda

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 27 a 101

ALLEGATO B – GLOSSARIO RELATIVO ALLA PROTEZIONE DEI DATI PERSONALI

(Terminologia riferita al GDPR – Reg. UE n. 2016/679 – ed alle norme attuative italiane)

Dato personale - qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”). si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale.

Trattamento - qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione.

Pseudonimizzazione - il trattamento dei dati personali tale che i dati non possano più essere attribuiti a un interessato specifico senza l'utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile.

Interessato – la persona fisica cui si riferiscono i dati personali (art. 4 n.1 GDPR).

Titolare del trattamento - la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali. quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell'Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell'Unione o degli Stati membri (art.4 n. 7 GDPR).

Responsabile del trattamento - la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento (art. 4 n.8 GDPR).

Altri soggetti che trattano dati personali – le persone autorizzate al trattamento dei dati personali sotto l'autorità diretta del Titolare o del Responsabile (artt. 28, n. 3, lettera b, 29 e 32, n. 4 GDPR), ivi incluse quindi le persone fisiche alle quali il Titolare o il Responsabile abbiano attribuito specifici compiti e funzioni connessi al trattamento, che operano sotto l’autorità del Titolare e nell’ambito dell’assetto organizzativo, ai sensi dell’art. 2 quaterdecies del D.lgs. 196/2003 così come modificato dal D.lgs. 101/2018.

Consenso dell'interessato - qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell'interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento.

Violazione dei dati personali - la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati.

Dati relativi alla salute - i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute.

Dati genetici - i dati personali relativi alle caratteristiche genetiche ereditarie o acquisite di una persona fisica che forniscono informazioni univoche sulla fisiologia o sulla salute di detta persona fisica, e che risultano in particolare dall'analisi di un campione biologico della persona fisica in questione.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 28 a 101

Campione biologico - ogni campione di materiale biologico da cui possano essere estratti dati genetici caratteristici di un individuo.

Sponsor/Promotore - la persona, società, istituzione oppure organismo che si assume la responsabilità di avviare, gestire e/o finanziare una sperimentazione clinica.

CRO – organizzazione di ricerca a Contratto alla quale lo sponsor può affidare una parte o tutte le proprie competenze in tema di sperimentazione clinica.

Monitor – il responsabile del monitoraggio della Sperimentazione individuato dallo sponsor/CRO.

Auditor – il responsabile della esecuzione della verifica sulla conduzione della Sperimentazione, come parte integrante della assicurazione di qualità, individuato dallo sponsor/CRO.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 29 a 101

ALLEGATO C

CLAUSOLE CONTRATTUALI STANDARD

Nome dell'organizzazione che esporta i dati: Azienda Usl Toscana Centro Indirizzo: sede legale, P.zza Santa Xxxxx Nuova, 1 – 00000 Xxxxxxx (l'esportatore dei dati)

E

Nome dell'organizzazione che importa i dati: Abbisko Therapeutics Co., Ltd.

Indirizzo: Xx. 0, 000 Xxxx, Xxxxx Xxxx, Xxxx (Xxxxxxxx) Xxxxx Xxxx Xxxxx Xxxx Xxxxxxxx, Xxxxxxxx, 000000 Cina

(l'importatore di dati)

singolarmente/ collettivamente “la Parte/leParti”,

CONVENGONO in merito alle seguenti clausole contrattuali (“Clausole”) al fine di garantire adeguate garanzie rispetto alla tutela della privacy e dei diritti e delle libertà fondamentali delle persone per il trasferimento dei dati personali di cui all'Allegato 1 dall'esportatore all’ importatore dei dati:

SEZIONE I

Clausola 1

Scopo e ambito di applicazione

a) Scopo delle presenti clausole contrattuali tipo è garantire il rispetto dei requisiti del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (1) in caso di trasferimento di dati personali verso un paese terzo.

b) Le parti:

i) la o le persone fisiche o giuridiche, la o le autorità pubbliche, lo o gli organismi o altri organi (di seguito la o le

«entità») che trasferiscono i dati personali, elencate nell’allegato I.A. (di seguito «esportatore»), e

ii) la o le entità di un paese terzo che ricevono i dati personali dall’esportatore, direttamente o indirettamente tramite un’altra entità anch’essa parte delle presenti clausole, elencate

nell’allegato I.A. (di seguito «importatore»)

hanno accettato le presenti clausole contrattuali tipo (di seguito «clausole»).

c) Le presenti clausole si applicano al trasferimento di dati personali specificato all’allegato I.B.

d) L’appendice delle presenti clausole contenente gli allegati ivi menzionati costituisce parte integrante

delle presenti clausole.

Clausola 2

Effetto e invariabilità delle clausole

a) Le presenti clausole stabiliscono garanzie adeguate, compresi diritti azionabili degli interessati e

mezzi di ricorso effettivi, in conformità dell’articolo 46, paragrafo 1, e dell’articolo 46, paragrafo 2, lettera c), del regolamento (UE) 2016/679 e, per quanto riguarda i trasferimenti di dati da titolari del trattamento a responsabili del trattamento e/o da responsabili del trattamento a responsabili del

trattamento, clausole contrattuali tipo in conformità dell’articolo 28, paragrafo 7, del regolamento

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 30 a 101

(UE) 2016/679, purché non siano modificate, tranne per selezionare il modulo o i moduli appropriati o per aggiungere o aggiornare informazioni nell’appendice. Ciò non impedisce alle parti di includere le clausole contrattuali tipo stabilite nelle presenti clausole in un contratto più ampio e di aggiungere altre clausole o garanzie supplementari, purché queste non contraddicano, direttamente o indirettamente, le presenti clausole o ledano i diritti o le libertà fondamentali degli interessati.

b) Le presenti clausole non pregiudicano gli obblighi cui è soggetto l’esportatore a norma del

regolamento (UE) 2016/679.

Clausola 3

Terzi beneficiari

a) Gli interessati possono invocare e far valere le presenti clausole, in qualità di terzi beneficiari, nei

confronti dell’esportatore e/o dell’importatore, con le seguenti eccezioni:

i) clausola 1, clausola 2, xxxxxxxx 3, clausola 6, clausola 7;

ii) clausola 8 - modulo uno: clausola 8.5, lettera e), e clausola 8.9, lettera b);

iii) clausola 12 - modulo uno: clausola 12, lettere a) e d);

iv) clausola 13;

v) clausola 15.1, lettere c), d) ed e);

vi) clausola 16, lettera e);

vii) Clausola 18, lettere a) e b); modulo quattro: clausola 18.

b) La lettera a) lascia impregiudicati i diritti degli interessati a norma del regolamento (UE) 2016/679.

Clausola 4

Interpretazione

a) Quando le presenti clausole utilizzano termini che sono definiti nel regolamento (UE) 2016/679, tali termini hanno lo stesso significato di cui a detto regolamento.

b) Le presenti clausole vanno lette e interpretate alla luce delle disposizioni del regolamento (UE) 2016/679.

c) Le presenti clausole non devono essere interpretate in un senso che non sia conforme ai diritti e agli obblighi previsti dal regolamento (UE) 2016/679.

Clausola 5

Gerarchia

In caso di contraddizione tra le presenti clausole e le disposizioni di accordi correlati, vigenti tra le parti al momento dell’accettazione delle presenti clausole, o conclusi successivamente, prevalgono le presenti clausole.

Clausola 6

Descrizione dei trasferimenti

I dettagli dei trasferimenti, in particolare le categorie di dati personali trasferiti e le finalità per le quali i

dati sono trasferiti, sono specificati nell’allegato I.B.

Clausola 7 — Facoltativa

Clausola di adesione successiva

a) Un’entità che non sia parte delle presenti clausole può, con l’accordo delle parti, aderire alle presenti clausole in qualunque momento, in qualità di esportatore o di importatore, compilando l’appendice e firmando l’allegato I.A.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 31 a 101

b) Una volta compilata l’appendice e firmato l’allegato I.A, l’entità aderente diventa parte delle presenti

clausole e ha i diritti e gli obblighi di un esportatore o di un importatore, conformemente alla sua

designazione nell’allegato I.A.

c) L’entità aderente non ha diritti od obblighi derivanti a norma delle presenti clausole per il periodo precedente all’adesione.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 32 a 101

SEZIONE II — OBBLIGHI DELLE PARTI

Clausola 8

Garanzie in materia di protezione dei dati

L’esportatore garantisce di aver fatto quanto ragionevolmente possibile per stabilire che l’importatore, grazie all’attuazione di misure tecniche e organizzative adeguate, è in grado di adempiere agli obblighi che gli incombono a norma delle presenti clausole.

MODULO UNO: Trasferimento da titolare del trattamento a titolare del trattamento

8.1. Limitazione delle finalità

L’importatore tratta i dati personali soltanto per le finalità specifiche del trasferimento di cui all’allegato

I.B. Può trattare i dati personali per un’altra finalità soltanto:

i) se ha ottenuto il consenso preliminare dell’interessato;

ii) se il trattamento è necessario per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria nell’ambito di specifici procedimenti amministrativi, regolamentari o giudiziari; o

iii) se il trattamento è necessario per la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica.

8.2. Trasparenza

a) Per consentire agli interessati di esercitare effettivamente i propri diritti in conformità della

clausola 10, l’importatore li informa, direttamente o tramite l’esportatore, circa:

i) la sua identità e i suoi dati di contatto;

ii) le categorie di dati personali trattati;

iii) il diritto di ottenere una copia delle presenti clausole;

iv) qualora intenda trasferire successivamente i dati personali a terzi, il destinatario o le categorie di destinatari (ove opportuno al fine di fornire informazioni significative), la finalità del trasferimento successivo e il motivo dello stesso in conformità della clausola 8.7.

b) La lettera a) non si applica se l’interessato dispone già delle informazioni, anche quando tali

informazioni sono già state fornite dall’esportatore, o se la comunicazione delle informazioni

risulta impossibile o implicherebbe uno sforzo sproporzionato per l’importatore. In quest’ultimo caso l’importatore, per quanto possibile, rende pubbliche le informazioni.

c) Su richiesta, le parti mettono gratuitamente a disposizione dell’interessato una copia delle presenti clausole, compresa l’appendice da loro compilata. Nella misura necessaria a proteggere segreti aziendali o altre informazioni riservate, compresi i dati personali, le parti possono espungere informazioni dall’appendice prima di trasmetterne una copia, fornendo tuttavia una sintesi significativa qualora l’interessato non sia altrimenti in grado di comprenderne il contenuto o di esercitare i propri diritti. Su richiesta, le parti comunicano all’interessato le ragioni delle espunzioni, per quanto possibile senza rivelare le informazioni espunte.

d) Le lettere da a) a c) lasciano impregiudicati gli obblighi incombenti all’esportatore a norma

degli articoli 13 e 14 del regolamento (UE) 2016/679.

8.3. Esattezza e minimizzazione dei dati

a) Ciascuna parte provvede affinché i dati personali siano esatti e, se necessario, aggiornati.

L’importatore adotta tutte le misure ragionevoli per cancellare o rettificare tempestivamente i

dati inesatti rispetto alle finalità per le quali sono trattati.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 33 a 101

b) Se una parte viene a conoscenza del fatto che i dati personali che ha trasferito o ricevuto sono

inesatti o obsoleti, ne informa senza ingiustificato ritardo l’altra parte.

c) L’importatore provvede affinché i dati personali siano adeguati, pertinenti e limitati a quanto

necessario rispetto alle finalità per le quali sono trattati.

8.4. Limitazione della conservazione

L’importatore conserva i dati personali per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono trattati. Mette in atto misure tecniche o organizzative adeguate per garantire il rispetto di tale obbligo, compresa la cancellazione o l’anonimizzazione dei dati e di tutti i backup alla fine del periodo di conservazione.

8.5. Sicurezza del trattamento

a) L’importatore e, durante la trasmissione, anche l’esportatore mettono in atto misure tecniche e organizzative adeguate per garantire la sicurezza dei dati personali, compresa la protezione da ogni violazione di sicurezza che comporti accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso a tali dati (di seguito

«violazione dei dati personali»). Nel valutare l’adeguato livello di sicurezza, essi tengono debitamente conto dello stato dell’arte, dei costi di attuazione, nonché della natura,

dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi derivanti dal trattamento per gli interessati. Le parti prendono in considerazione in particolare la possibilità di ricorrere alla cifratura o alla pseudonimizzazione, anche durante la trasmissione, qualora la finalità del trattamento possa essere conseguita in tal modo.

b) Le parti concordano le misure tecniche e organizzative di cui all’allegato II. L’importatore effettua controlli regolari per garantire che tali misure continuino a offrire un adeguato livello di sicurezza.

c) L’importatore garantisce che le persone autorizzate al trattamento dei dati personali si siano

impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza.

d) In caso di una violazione dei dati personali trattati dall’importatore a norma delle presenti clausole, l’importatore adotta misure adeguate per porre rimedio alla violazione, anche per attenuarne i possibili effetti negativi.

e) In caso di una violazione dei dati personali che possa presentare un rischio per i diritti e le

libertà delle persone fisiche, l’importatore informa l’esportatore e l’autorità di controllo competente in conformità della clausola 13 senza ingiustificato ritardo. Tale notifica contiene i) una descrizione della natura della violazione (compresi, ove possibile, le categorie e il numero approssimativo di interessati e di registrazioni dei dati personali in questione),

ii) le sue probabili conseguenze, iii) le misure adottate o di cui si propone l’adozione per porre rimedio alla violazione e iv) i recapiti di un punto di contatto presso il quale possono essere ottenute maggiori informazioni. Nella misura in cui non gli sia possibile fornire le informazioni contestualmente,

l’importatore può fornirle in fasi successive senza ulteriore ingiustificato ritardo.

f) In caso di una violazione dei dati personali che possa presentare un rischio elevato per i diritti e le libertà delle persone fisiche, l’importatore informa senza ingiustificato ritardo gli interessati della violazione dei dati personali e della sua natura, se necessario in cooperazione con

l’esportatore, unitamente alle informazioni di cui alla lettera e), punti da ii) a iv), a meno che

l’importatore abbia attuato misure volte a ridurre in modo significativo il rischio per i diritti o le

libertà delle persone fisiche o che la notifica implichi uno sforzo sproporzionato. In

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 34 a 101

quest’ultimo caso, l’importatore effettua una comunicazione pubblica o adotta misure

analoghe per informare il pubblico della violazione dei dati personali.

g) L’importatore documenta tutte le circostanze pertinenti relative alla violazione dei dati personali, comprese le sue conseguenze e i provvedimenti adottati per porvi rimedio, e ne tiene un registro.

8.6. Dati sensibili

Qualora il trasferimento riguardi dati personali che rivelino l’origine razziale o etnica, le opinioni

politiche, le convinzioni religiose o filosofiche o l’appartenenza sindacale, dati genetici o dati biometrici

intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o

all’orientamento sessuale della persona, o dati relativi a condanne penali e a reati (in prosieguo «dati sensibili»), l’importatore applica limitazioni specifiche e/o garanzie supplementari adeguate alla natura specifica dei dati e ai rischi connessi. Ciò può includere limitazioni del personale autorizzato ad accedere ai dati personali, misure di sicurezza supplementari (quali la pseudonimizzazione) e/o limitazioni

aggiuntive all’ulteriore divulgazione.

Questo richiede di rendere anonimi i dati in modo tale che la persona non sia più identificabile da nessuno, in linea con il considerando 26 del regolamento (UE) 2016/679, e che tale processo sia irreversibile.

8.7. Trasferimenti successivi

L’importatore non comunica i dati personali a terzi situati al di fuori dell’Unione europea (nel suo stesso paese o in un altro paese terzo - di seguito: «trasferimento successivo»), a meno che il terzo sia o accetti di essere vincolato dalle presenti clausole, secondo il modulo appropriato. Altrimenti, il trasferimento successivo da parte dell’importatore può aver luogo solo se:

i) è diretto verso un paese che beneficia di una decisione di adeguatezza in conformità

dell’articolo 45 del regolamento (UE) 2016/679 che copre il trasferimento successivo;

ii) il terzo fornisce in altro modo garanzie adeguate in conformità dell’articolo 46 o 47 del

regolamento (UE) 2016/679 in relazione al trattamento in questione;

iii) il terzo stipula uno strumento vincolante con l’importatore che garantisce lo stesso livello di protezione dei dati previsto dalle presenti clausole e l’importatore fornisce una copia di tali garanzie all’esportatore;

iv) il trasferimento è necessario per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria nell’ambito di specifici procedimenti amministrativi, regolamentari o giudiziari;

v) il trasferimento è necessario per la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica, o

vi) qualora non ricorra nessuna delle altre condizioni, l’importatore ha ottenuto il consenso

esplicito dell’interessato al trasferimento successivo in una situazione specifica, dopo averlo informato delle sue finalità, dell’identità del destinatario e dei possibili rischi di siffatto

trasferimento per l’interessato dovuti alla mancanza di garanzie adeguate in materia di protezione dei dati. In tal caso, l’importatore informa l’esportatore e, su richiesta di quest’ultimo, gli trasmette copia delle informazioni fornite all’interessato.

Qualunque trasferimento successivo è soggetto al rispetto da parte dell’importatore di tutte le altre

garanzie previste dalle presenti clausole, in particolare la limitazione delle finalità.

8.8. Trattamento sotto l’autorità dell’importatore

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 35 a 101

L’importatore provvede affinché chiunque agisca sotto la sua autorità, compreso un responsabile del

trattamento, tratti i dati soltanto su sua istruzione.

8.9. Documentazione e rispetto

a) Xxxxxxxx parte deve essere in grado di dimostrare il rispetto degli obblighi che le incombono a norma delle presenti clausole. In particolare, l’importatore conserva documentazione adeguata delle attività di trattamento effettuate sotto la sua responsabilità.

b) Su richiesta, l’importatore mette tale documentazione a disposizione dell’autorità di controllo

competente.

Clausola 9

Ricorso a sub-responsabili del trattamento (non applicabile)

Clausola 10

Diritti dell’interessato

MODULO UNO: Trasferimento da titolare del trattamento a titolare del trattamento

a) L’importatore, se del caso con l’assistenza dell’esportatore, tratta qualunque richiesta di informazioni e richiesta ricevute da un interessato in relazione al trattamento dei suoi dati personali e all’esercizio dei suoi diritti in virtù delle presenti clausole senza ingiustificato ritardo, al più tardi

entro un mese dal ricevimento della richiesta di informazioni o richiesta. L’importatore adotta misure adeguate per agevolare tali richieste di informazioni, richieste e l’esercizio dei diritti dell’interessato. Tutte le informazioni fornite all’interessato sono in forma intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro.

b) In particolare, su richiesta dell’interessato, e gratuitamente, l’importatore:

i) conferma all’interessato se i dati personali che lo riguardano sono o meno oggetto di trattamento e, in caso affermativo, fornisce una copia di tali dati e le informazioni di cui all’allegato I; se i dati personali sono stati o saranno oggetto di un trasferimento successivo, fornisce informazioni circa i destinatari o le categorie di destinatari (se del caso al fine di fornire informazioni significative) a cui i dati personali sono stati o saranno trasferiti, la finalità di tali trasferimenti successivi e il loro motivo in conformità della clausola 8.7; e fornisce informazioni sul diritto di proporre reclamo a un’autorità di controllo conformemente alla clausola 12, lettera c), punto i);

ii) rettifica i dati inesatti o incompleti dell’interessato;

iii) cancella i dati personali dell’interessato se tali dati sono o sono stati trattati in violazione di una delle presenti clausole, garantendo i diritti del terzo beneficiario, o se l’interessato revoca il consenso su cui si basa il trattamento.

c) Qualora l’importatore tratti i dati personali per finalità di marketing diretto, cessa il trattamento per tali finalità se l’interessato vi si oppone.

d) L’importatore non prende alcuna decisione basata unicamente sul trattamento automatizzato dei

dati personali trasferiti (di seguito «decisione automatizzata»), che produca effetti giuridici che

riguardano l’interessato o che incida in modo analogo significativamente sulla sua persona, salvo con il consenso esplicito dell’interessato o se autorizzato in tal senso dalla legislazione del paese di destinazione, a condizione che tale legislazione preveda misure adeguate a tutela dei diritti e dei legittimi interessi dell’interessato. In tal caso l’importatore, se necessario in cooperazione con

l’esportatore:

i) informa l’interessato della prevista decisione automatizzata, delle conseguenze previste e della

logica utilizzata; e

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 36 a 101

ii) attua garanzie adeguate, consentendo almeno all’interessato di contestare la decisione,

esprimere la propria opinione e ottenere il riesame da parte di un essere umano.

e) Qualora le richieste dell’interessato siano eccessive, in particolare per il carattere ripetitivo,

l’importatore può addebitare un contributo spese ragionevole tenuto conto dei costi amministrativi dell’accoglimento della richiesta o rifiutarsi di soddisfare la richiesta.

f) L’importatore può rifiutare la richiesta dell’interessato se tale rifiuto è consentito dalla legislazione del paese di destinazione ed è necessario e proporzionato in una società democratica per salvaguardare uno degli obiettivi di cui all’articolo 23, paragrafo 1, del regolamento (UE) 2016/679.

g) Se l’importatore intende rifiutare la richiesta dell’interessato, informa quest’ultimo dei motivi del rifiuto e della possibilità di proporre reclamo all’autorità di controllo competente e/o di proporre ricorso giurisdizionale.

Clausola 11

Ricorso

a) L’importatore informa gli interessati, in forma trasparente e facilmente accessibile, mediante avviso individuale o sul suo sito web, di un punto di contatto autorizzato a trattare i reclami. Tratta prontamente qualunque reclamo ricevuto da un interessato.

MODULO UNO: Trasferimento da titolare del trattamento a titolare del trattamento

b) In caso di controversia tra un interessato e una delle parti sul rispetto delle presenti clausole, la parte in questione fa tutto il possibile per risolvere la questione in via amichevole in modo tempestivo. Le parti si tengono reciprocamente informate di tali controversie e, se del caso, cooperano per risolverle.

c) Qualora l’interessato invochi un diritto del terzo beneficiario in conformità della clausola 3, l’importatore accetta la decisione dell’interessato di:

i) proporre reclamo all’autorità di controllo dello Stato membro di residenza abituale o del luogo di lavoro o all’autorità di controllo competente in conformità della clausola 13;

ii) deferire la controversia agli organi giurisdizionali competenti ai sensi della clausola 18.

Le parti accettano che l’interessato possa essere rappresentato da un organismo, un’organizzazione o un’associazione senza scopo di lucro alle condizioni di cui all’articolo 80, paragrafo 1, del regolamento (UE) 2016/679.

d) L’importatore si attiene a qualunque decisione vincolante a norma della legislazione applicabile dell’UE o degli Stati membri.

e) L’importatore dichiara che la scelta compiuta dall’interessato non pregiudica i diritti sostanziali o procedurali spettanti allo stesso relativamente ai rimedi giuridici previsti dalla legislazione applicabile.

Clausola 12

Responsabilità

MODULO UNO: Trasferimento da titolare del trattamento a titolare del trattamento

a) Xxxxxxxx parte è responsabile nei confronti delle altre parti per i danni che essa ha causato loro violando le presenti clausole.

b) Xxxxxxxx parte è responsabile nei confronti dell’interessato per i danni materiali o immateriali che

essa gli ha causato violando i diritti del terzo beneficiario previsti dalle presenti clausole, e

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 37 a 101

l’interessato ha il diritto di ottenere il risarcimento. Ciò lascia impregiudicata la responsabilità dell’esportatore a norma del regolamento (UE) 2016/679.

c) Qualora più di una parte sia responsabile per un danno causato all’interessato a seguito di una

violazione delle presenti clausole, tutte le parti responsabili sono responsabili in solido e l’interessato

ha il diritto di agire in giudizio contro una qualunque di loro.

d) Le parti convengono che, se una delle parti è ritenuta responsabile a norma della lettera c), essa ha il diritto di reclamare dalle altre parti la parte del risarcimento corrispondente alla loro parte di responsabilità per il danno.

e) L’importatore non può invocare il comportamento di un responsabile del trattamento o un sub- responsabile del trattamento per sottrarsi alla propria responsabilità.

Clausola 13

Controllo

MODULO UNO: Trasferimento da titolare del trattamento a titolare del trattamento

a) [Qualora l’esportatore sia stabilito in uno Stato membro dell’UE:] L’autorità di controllo responsabile di garantire che l’esportatore rispetti il regolamento (UE) 2016/679 per quanto riguarda il

trasferimento dei dati, quale indicata all’allegato I.C, agisce in qualità di autorità di controllo competente.

b) L’importatore accetta di sottoporsi alla giurisdizione dell’autorità di controllo competente e di cooperare con la stessa nell’ambito di qualunque procedura volta a garantire il rispetto delle

presenti clausole. In particolare, l’importatore accetta di rispondere alle richieste di informazioni, sottoporsi ad attività di revisione e rispettare le misure adottate dall’autorità di controllo, comprese le misure di riparazione e risarcimento. Fornisce all’autorità di controllo conferma scritta che sono state adottate le misure necessarie.

SEZIONE III — LEGISLAZIONE E OBBLIGHI LOCALI IN CASO DI ACCESSO DA PARTE DI AUTORITÀ PUBBLICHE

Clausola 14

Legislazione e prassi locali che incidono sul rispetto delle clausole

a) MODULO UNO: Trasferimento da titolare del trattamento a titolare del trattamento Le parti garantiscono di non avere motivo di ritenere che la legislazione e le prassi del paese terzo di destinazione applicabili al trattamento dei dati personali da parte dell’importatore, compresi

eventuali requisiti di comunicazione dei dati personali o misure che autorizzano l’accesso da parte delle autorità pubbliche, impediscono all’importatore di rispettare gli obblighi che gli incombono a norma delle presenti clausole. Ciò si basa sul presupposto che la legislazione e le prassi che

rispettano l’essenza dei diritti e delle libertà fondamentali e non vanno oltre quanto necessario e

proporzionato in una società democratica per salvaguardare uno degli obiettivi di cui all’articolo 23, paragrafo 1, del regolamento (UE) 2016/679 non sono in contraddizione con le presenti clausole.

b) Le parti dichiarano che, nel fornire la garanzia di cui alla lettera a), hanno tenuto debitamente conto dei seguenti elementi:

i) le circostanze specifiche del trasferimento, tra cui la lunghezza della catena di trattamento, il numero di attori coinvolti e i canali di trasmissione utilizzati; i trasferimenti successivi previsti; il tipo di destinatario; la finalità del trattamento; le categorie e il formato dei dati personali trasferiti; il settore economico in cui ha luogo il trasferimento; il luogo di conservazione dei dati trasferiti;

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 38 a 101

ii) la legislazione e le prassi del paese terzo di destinazione — comprese quelle che impongono la comunicazione di dati alle autorità pubbliche o che le autorizzano ad accedere ai dati — pertinenti alla luce delle circostanze specifiche del trasferimento, nonché le limitazioni e le garanzie applicabili;

iii) qualunque garanzia contrattuale, tecnica o organizzativa pertinente predisposta per integrare le garanzie di cui alle presenti clausole, comprese le misure applicate durante la trasmissione e il trattamento dei dati personali nel paese di destinazione.

c) L’importatore garantisce che, nell’effettuare la valutazione di cui alla lettera b), ha fatto tutto il possibile per fornire all’esportatore le informazioni pertinenti e dichiara che continuerà a cooperare con l’esportatore per garantire il rispetto delle presenti clausole.

d) Le parti accettano di documentare la valutazione di cui alla lettera b) e di metterla a disposizione

dell’autorità di controllo competente su richiesta.

e) L’importatore accetta di informare prontamente l’esportatore se, dopo aver accettato le presenti clausole e per la durata del contratto, ha motivo di ritenere di essere, o essere diventato, soggetto a una legislazione o prassi non conformi ai requisiti di cui alla lettera a), anche a seguito di una modifica della legislazione del paese terzo o di una misura (ad esempio una richiesta di

comunicazione) che indichi un’applicazione pratica di tale legislazione che non è conforme ai

requisiti di cui alla lettera a).

f) A seguito di una notifica in conformità della lettera e), o se ha altrimenti motivo di ritenere che l’importatore non sia più in grado di adempiere agli obblighi che gli incombono a norma delle presenti clausole, l’esportatore individua prontamente le misure adeguate (ad esempio, misure

tecniche o organizzative per garantire la sicurezza e la riservatezza) che egli stesso e/o l’importatore devono adottare per far fronte alla situazione. L’esportatore sospende il trasferimento dei dati se ritiene che non possano essere assicurate garanzie adeguate per tale trasferimento, o su istruzione dell’autorità di controllo competente. In tal caso l’esportatore ha diritto di risolvere il contratto per quanto riguarda il trattamento dei dati personali a norma delle presenti clausole. Se le parti del

contratto sono più di due, l’esportatore può esercitare il diritto di risoluzione soltanto nei confronti della parte interessata, salvo diversamente concordato dalle parti. In caso di risoluzione del contratto in conformità della presente clausola, si applica la clausola 16, lettere d) ed e).

Clausola 15

Obblighi dell’importatore in caso di accesso da parte di autorità pubbliche

MODULO UNO: Trasferimento da titolare del trattamento a titolare del trattamento

15.1. Notifica

a) L’importatore accetta di informare prontamente l’esportatore e, ove possibile, l’interessato (se necessario con l’aiuto dell’esportatore) se:

i) riceve una richiesta giuridicamente vincolante di un’autorità pubblica, comprese le autorità giudiziarie, a norma della legislazione del paese di destinazione, di comunicare dati personali trasferiti in conformità delle presenti clausole; tale notifica comprende informazioni sui dati personali richiesti, sull’autorità richiedente, sulla base giuridica della richiesta e sulla risposta fornita; o

ii) viene a conoscenza di qualunque accesso diretto effettuato, conformemente alla legislazione del paese terzo di destinazione, da autorità pubbliche ai dati personali trasferiti

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 39 a 101

in conformità delle presenti clausole; tale notifica comprende tutte le informazioni

disponibili all’importatore.

b) Se la legislazione del paese di destinazione vieta all’importatore di informare l’esportatore e/o l’interessato, l’importatore accetta di fare tutto il possibile per ottenere un’esenzione dal divieto, al fine di comunicare al più presto quante più informazioni possibili. Per poterlo

dimostrare su richiesta dell’esportatore, l’importatore accetta di documentare di aver fatto

tutto il possibile.

c) Laddove consentito dalla legislazione del paese di destinazione, l’importatore accetta di fornire periodicamente all’esportatore, per la durata del contratto, quante più informazioni pertinenti possibili sulle richieste ricevute (in particolare, il numero di richieste, il tipo di dati richiesti, la o le autorità richiedenti, se le richieste sono state contestate e l’esito di tali contestazioni ecc.).

d) L’importatore accetta di conservare le informazioni di cui alle lettere da a) a c) per la durata del contratto e di metterle a disposizione dell’autorità di controllo competente su richiesta.

e) Le lettere da a) a c) lasciano impregiudicato l’obbligo dell’importatore in conformità della

clausola 14, lettera e), e della clausola 16 di informare prontamente l’esportatore qualora non

sia in grado di rispettare le presenti clausole.

15.2. Riesame della legittimità e minimizzazione dei dati

a) L’importatore accetta di riesaminare la legittimità della richiesta di comunicazione, in

particolare il fatto che essa rientri o meno nei poteri conferiti all’autorità pubblica richiedente, e di contestarla qualora, dopo un’attenta valutazione, concluda che sussistono fondati motivi per ritenere che essa sia illegittima a norma della legislazione del paese di destinazione, compresi gli obblighi applicabili a norma del diritto internazionale e dei principi di cortesia

internazionale. L’importatore, alle stesse condizioni, si avvale delle possibilità di ricorso.

Quando contesta una richiesta, l’importatore chiede l’adozione di provvedimenti provvisori affinché gli effetti della richiesta siano sospesi fintantoché l’autorità giudiziaria competente non abbia deciso nel merito. Non comunica i dati personali richiesti fino a quando non sia tenuto a farlo ai sensi delle norme procedurali applicabili. Tali requisiti lasciano impregiudicati gli obblighi dell’importatore a norma della clausola 14, lettera e).

b) L’importatore accetta di documentare la propria valutazione giuridica e qualunque contestazione della richiesta di comunicazione e, nella misura consentita dalla legislazione del paese di destinazione, mette tale documentazione a disposizione dell’esportatore. Su richiesta, la mette a disposizione anche dell’autorità di controllo competente.

c) Quando risponde a una richiesta di comunicazione l’importatore accetta di fornire la quantità minima di informazioni consentite, sulla base di un’interpretazione ragionevole della richiesta.

SEZIONE IV — DISPOSIZIONI FINALI

Clausola 16

Inosservanza delle clausole e risoluzione

a) L’importatore informa prontamente l’esportatore qualora, per qualunque motivo, non sia in grado di

rispettare le presenti clausole.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 40 a 101

b) Qualora l’importatore violi le presenti clausole o non sia in grado di rispettarle, l’esportatore sospende il trasferimento dei dati personali all’importatore fino a che il rispetto non sia nuovamente garantito o il contratto non sia risolto. Ciò lascia impregiudicata la clausola 14, lettera f).

c) L’esportatore ha diritto di risolvere il contratto per quanto riguarda il trattamento dei dati personali

a norma delle presenti clausole qualora:

i) l’esportatore abbia sospeso il trasferimento dei dati personali all’importatore in conformità della lettera b) e il rispetto delle presenti clausole non sia ripristinato entro un termine ragionevole e in ogni caso entro un mese dalla sospensione;

ii) l’importatore violi in modo sostanziale o persistente le presenti clausole; o

iii) l’importatore non si conformi a una decisione vincolante di un organo giurisdizionale competente o di un’autorità di controllo competente in merito agli obblighi che gli incombono a norma delle presenti clausole.

In tali casi, informa l’autorità di controllo competente di tale inosservanza. Qualora le parti del contratto siano più di due, l’esportatore può esercitare il diritto di risoluzione soltanto nei confronti della parte interessata, salvo diversamente concordato dalle parti.

d) I dati personali che sono stati trasferiti prima della risoluzione del contratto in conformità della

lettera c) sono, a scelta dell’esportatore, restituiti immediatamente all’esportatore o cancellati integralmente. Lo stesso vale per qualunque copia dei dati. L’importatore certifica all’esportatore la cancellazione dei dati. Finché i dati non sono cancellati o restituiti, l’importatore continua ad

assicurare il rispetto delle presenti clausole. Qualora la legislazione locale applicabile all’importatore vieti la restituzione o la cancellazione dei dati personali trasferiti, l’importatore garantisce che continuerà ad assicurare il rispetto delle presenti clausole e che tratterà i dati solo nella misura e per il tempo richiesto dalla legislazione locale.

e) Ciascuna parte può revocare il proprio accordo a essere vincolata dalle presenti clausole qualora i) la Commissione europea adotti una decisione in conformità dell’articolo 45, paragrafo 3, del regolamento (UE) 2016/679 riguardante il trasferimento di dati personali cui si applicano le presenti clausole; o ii) il regolamento (UE) 2016/679 diventi parte del quadro giuridico del paese verso il quale i dati personali sono trasferiti. Ciò lascia impregiudicati gli altri obblighi che si applicano al trattamento in questione a norma del regolamento (UE) 2016/679.

Clausola 17

Legge applicabile

MODULO UNO: Trasferimento da titolare del trattamento a titolare del trattamento

Le presenti clausole sono disciplinate dalla legge di uno degli Stati membri dell’UE, purché essa riconosca

i diritti del terzo beneficiario. Le parti convengono che tale legge è quella della Repubblica italiana.

Clausola 18

Scelta del foro e giurisdizione

MODULO UNO: Trasferimento da titolare del trattamento a titolare del trattamento

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 41 a 101

a) Qualunque controversia derivante dalle presenti clausole è risolta dagli organi giurisdizionali di uno

Stato membro dell’UE.

b) Le parti convengono che tali organi giurisdizionali sono quelli della Repubblica italiana.

c) L’interessato può agire in giudizio contro l’esportatore e/o l’importatore anche dinanzi agli organi

giurisdizionali dello Stato membro in cui ha la propria residenza abituale.

d) Le parti accettano di sottoporsi alla giurisdizione di tali organi giurisdizionale.

NOTA

ESPLICATIVA: APPENDICE

Deve essere possibile distinguere chiaramente le informazioni applicabili a ciascun trasferimento o a ciascuna categoria di trasferimenti e, a tale riguardo, determinare i ruoli rispettivi delle parti quali esportatori e/o importatori. Non occorre per forza compilare e firmare appendici distinte per ciascun trasferimento/categoria di trasferimenti e/o rapporto contrattuale laddove tale trasparenza possa essere garantita con un’unica appendice. Tuttavia, ove necessario per assicurare una sufficiente chiarezza, dovrebbero essere utilizzate appendici distinte.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 42 a 101

ALLEGATO I

A. ELENCO DELLE PARTI

MODULO UNO: Trasferimento da titolare del trattamento a titolare del trattamento Esportatore/i:

1.Nome: Azienda Usl Toscana Centro

Indirizzo Piazza Santa Xxxxx Nuova, 1 – 00000 Xxxxxxx

Nome, posizione e dettagli di contatto della persona da contattare: Responsabile normativa privacy Avv. Xxxxxxx Xxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxx@xxxxxxxxx.xxxxxxx.xx

Attività rilevanti per i dati trasferiti ai sensi delle presenti clausole:

Raccolta di dati personali, compresi i dati personali sensibili dei soggetti di studio; Trasferimento dei dati personali all'importatore di dati; Archiviazione del master file della sperimentazione clinica (TMF); Creazione e aggiornamento della cartella clinica dei soggetti di studio; Divulgazione dei dati della sperimentazione clinica alle autorità nazionali competenti nel corso dell'ispezione;

Firma e data:

XXXXXXXXXX XXXXX

2023.12.21 11:46:16

CN=XXXXXXXXXX XXXXX C=IT

O=Regione Toscana/01386030488 2.5.4.97=VATIT-01386030488

RSA/2048 bits

[la data dovrà coincidere con la data di entrata in vigore del Contratto di Ricerca]

Xxxxx (titolare/responsabile del trattamento): Titolare del trattamento dei dati

Importatore/i:

Nome: Abbisko Therapeutics Co., Ltd

Indirizzo: Xx.0, 000 Xxxx, Xxxxx Xxxx, Xxxxx (Xxxxxxxx) Xxxxx Xxxx Xxxxx Xxxx Xxxxxxxx, Xxxxxxxx, 000000 Xxxxx

Nome, posizione e dettagli di contatto della persona da contattare: Xxxxx Xxxxxxxxxx, DPO, xxx.xxxxxxxxx@xxxx.xx

Attività rilevanti per i dati trasferiti ai sensi delle presenti Clausole:

• Ricezione dei dati personali dello sperimentatore, del personale dello studio e del soggetto dello studio (pseudonimizzati) dall'importatore di dati

• Conservazione dei dati personali

• Pubblicazioni e presentazioni dei risultati dello studio

• Presentazione della/e domanda/e di autorizzazione all'immissione in commercio

1.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 43 a 101

2023/12/06 | 23:52:09 CST

Xxxxx (titolare/responsabile del trattamento): Titolare del trattamento

• Deposito di domande di brevetto

• Presentazioni alle autorità di regolamentazione e agli EC/IRB che supervisionano questo e altri studi

• Analisi e reporting di sicurezza ed efficacia

• Divulgazione dei dati della sperimentazione clinica alle autorità nazionali competenti nel corso di un'ispezione

• Contenzioso relativo al farmaco in studio o alla sperimentazione clinica

• Elaborazione delle richieste di risarcimento assicurativo

Firma e data: [la data deve coincidere con la data di entrata in vigore del Contratto di Ricerca

B. DESCRIZIONE DEL TRASFERIMENTO

MODULO UNO: Trasferimento da titolare del trattamento a titolare del trattamento

Categorie di interessati i cui dati personali sono trasferiti soggetti dello studio, sperimentatore, personale dello studio Categorie di dati personali trasferiti

(i) Solo per lo sperimentatore e il personale dello studio: 1. Dati identificativi e di contatto di base (ad esempio nome, indirizzo, e-mail, telefono, data di nascita, ecc.); 2. Curriculum Vitae, informazioni sulla licenza, informazioni finanziarie, dettagli sul coinvolgimento nello Studio.

(ii) Solo per i soggetti di studio: 1. Identificatori indiretti: sesso, mese e anno di nascita (e/o età) e il numero di identificazione personale assegnato ai soggetti di studio; 2. Dati sensibili, come di seguito descritti.

Dati sensibili trasferiti (se del caso) e limitazioni o garanzie applicate che tengono pienamente conto della natura dei dati e dei rischi connessi, ad esempio una rigorosa limitazione delle finalità, limitazioni

all’accesso (tra cui accesso solo per il personale che ha seguito una formazione specializzata), tenuta di un registro degli accessi ai dati, limitazioni ai trasferimenti successivi o misure di sicurezza supplementari.

Solo per i soggetti dello Studio vengono trasferite le seguenti categorie di dati sensibili:

(i) Dati medici/sanitari, inclusa l'anamnesi, le note degli esami e i risultati dei test dello Studio (ad esempio, gruppo sanguigno, segni vitali, test delle urine, radiografie, esami fisici, condizioni note, sondaggi medici o risultati di questionari e altri Procedure specifiche dello studio richieste dal Protocollo di Studio). Ciò include campioni di fluidi e tessuti dello Studio, che vengono elaborati e/o conservati al di fuori del paese di origine dei Soggetti dello studio;

(ii) Altri dati sensibili (ad esempio, dati demografici, come razza o origine etnica); e/o

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 44 a 101

(iii) Eventuali dati biometrici o genetici limitati richiesti dal Protocollo di Studio. (Lo sponsor non esegue il sequenziamento completo del DNA del genoma.)

Vengono applicati standard di minimizzazione dei dati rispetto alla raccolta di dati personali sensibili e i dati personali sensibili vengono trattati solo per gli scopi descritti nel presente Allegato I.B. Una volta raccolti, i dati personali sensibili vengono trasferiti attraverso canali sicuri e l'accesso ai dati personali sensibili è limitato a persone ed entità soggette a solidi obblighi di riservatezza e che seguono una formazione adeguata.

La frequenza del trasferimento (ad esempio se i dati sono trasferiti come evento singolo o su base continua)

I dati personali dello sperimentatore e del personale dello studio vengono trasferiti una tantum. I dati personali del soggetto dello studio vengono trasferiti su base continuativa.

Natura del trattamento

I Dati Personali sono soggetti ad attività di Trattamento associate all'intero ciclo di vita del protocollo di Studio, a partire dalla conduzione della sperimentazione clinica fino alla presentazione delle domande di autorizzazione all'immissione in commercio, tra cui:

(i) Per lo sperimentatore e il personale dello studio:

I dati dello sperimentatore e del personale dello studio sono soggetti ad attività di trattamento quali trasferimento, revisione, archiviazione in database, invio alle autorità di regolamentazione e altri motivi commerciali legittimi.

(ii) Solo per i Soggetti dello Studio:

I dati personali, compresi i dati sensibili, sono soggetti ad attività di trattamento, tra cui, a titolo esemplificativo, raccolta, pseudonimizzazione, trasferimento, analisi statistica, aggregazione, archiviazione e utilizzo, in conformità con il protocollo dello Studio, consenso informato (ICF) e i requisiti legali e normativi , per:

1. comunicazioni alle autorità di regolamentazione e agli EC/IRB che supervisionano questo e altri studi;

2. domande di autorizzazione all'immissione in commercio;

3. pubblicazioni e presentazioni;

4. domande di brevetto;

5. analisi e reporting di sicurezza ed efficacia;

6. revisione o difesa di qualsiasi richiesta di risarcimento danni da parte del soggetto;

7. ricerche aggiuntive;

8. archiviazione del master file della sperimentazione clinica;

9. creazione e aggiornamento della dossier medico dei Soggetti di Studio; e/o

10. divulgazione dei dati della sperimentazione clinica alle autorità nazionali competenti nel corso di un'ispezione

Finalità del trasferimento dei dati e dell’ulteriore trattamento

Il trasferimento e l'ulteriore trattamento dei Dati personali vengono effettuati nell'interesse della tutela della salute pubblica, per garantire la qualità e la sicurezza del farmaco in studio e l'affidabilità dei dati, e affinché i Titolari del trattamento possano perseguire la ricerca scientifica nella conduzione dell'attività clinica di Studio. I Dati personali vengono inoltre trasferiti e ulteriormente trattati per conformarsi ai

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 45 a 101

requisiti legali e normativi dello Sponsor, tra cui segnalazioni di sicurezza, archiviazione, divulgazione alle autorità competenti, per svolgere lo Studio e altri scopi di ricerca, in conformità con l'ICF, e per soddisfare i suoi interessi legittimi .

Periodo di conservazione dei dati personali oppure, se non è possibile, criteri utilizzati per determinare tale periodo

I campioni raccolti durante lo Studio verranno conservati per almeno 25 anni anni successivi allo Studio.

I dati personali saranno conservati per tutta la durata dello Studio e successivamente, per tutto il tempo necessario a soddisfare gli scopi per i quali sono stati raccolti e per tutto il tempo in cui lo Sponsor è tenuto a conservarli per reporting, tenuta dei registri o altri scopi legali .

Per i trasferimenti a (sub-)responsabili del trattamento, specificare anche la materia disciplinata, la natura e la durata del trattamento

I dati personali, compresi i dati sensibili, possono, se necessario, essere soggetti anche alle attività di trattamento descritte nel presente Allegato I.B da altri responsabili del trattamento che lavorano sotto la direzione dello Sponsor, come fornitori autorizzati, consulenti o appaltatori dello Sponsor (ad esempio, organizzazioni di ricerca a contratto (CRO) e laboratori); da società o rappresentanti affiliati allo Sponsor; e/o dai collaboratori dello Sponsor che lavorano per sviluppare il farmaco in studio. I dati personali possono essere trattati da tali sub-responsabili per la durata dello Studio e successivamente, per tutto il tempo necessario a soddisfare gli scopi per i quali sono stati raccolti e per tutto il tempo in cui lo Sponsor è tenuto a conservarli per la reportistica, la tenuta dei registri o altri scopi legali.

C. AUTORITÀ DI CONTROLLO COMPETENTE

MODULO UNO: Trasferimento da titolare del trattamento a titolare del trattamento Identificare la o le autorità di controllo competenti conformemente alla clausola 13

Autorità competente per la protezione dei dati che disciplina la sede dell'Istituzione. Responsabile normativa privacy: xxxxxxxxxxxxxxxxxxxxxxxxxx@xxxxxxxxx.xxxxxxx.xx

ALLEGATO II

MISURE TECNICHE E ORGANIZZATIVE, COMPRESE MISURE TECNICHE E ORGANIZZATIVE PER GARANTIRE LA SICUREZZA DEI DATI

MODULO UNO: Trasferimento da titolare del trattamento a titolare del trattamento

Importatore di dati L'Importatore di dati mantiene e applica varie politiche, standard e processi progettati per proteggere i dati personali e altri dati a cui i dipendenti dell'Importatore di Dati hanno accesso. Di seguito è riportata una descrizione delle misure minime di sicurezza tecniche e organizzative che devono essere implementate dall'Importatore di Dati:
1. Misure di pseudonimizzazione e crittografia dei dati personali	Pseudonimizzazione e Anonimizzazione Laddove i dati personali dei soggetti della sperimentazione clinica siano trasferiti dall'esportatore dei dati allo Sponsor, dovrebbe essere definito e messo in atto un metodo per l'anonimizzazione o la pseudonimizzazione. Ciò deve garantire che qualsiasi informazione che possa essere utilizzata per identificare un soggetto sia completamente eliminata o

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 46 a 101

sostituita con uno pseudonimo, valore che non consente l'identificazione diretta dell'individuo. Crittografia dei Dati Personali: Controlli Crittografici e Xxxxxxxx Principale A seconda della sensibilità e del volume dei dati Personali, questi saranno archiviati o distribuiti tramite media o reti di telecomunicazione solo dopo essere stati crittografati o dopo l'utilizzo di altri meccanismi che garantiscano che le informazioni non siano intelligibili o non siano manipolate da terzi. I Dati Personali Sensibili richiederanno sempre la crittografia. • Sarà sviluppata e attuata una politica sull'uso dei controlli crittografici per la protezione delle informazioni. • Devono essere adottate procedure di gestione principale per supportare l'uso delle tecniche crittografiche da parte dell'organizzazione durante tutto il loro ciclo di vita. La procedura dovrà affrontare lo scambio di chiavi tra soggetti terzi e l'organizzazione, oltre a definire ruoli e responsabilità dei soggetti coinvolti nella gestione della sicurezza stabilita.

2. Misure per garantire la continua riservatezza, integrità, disponibilità e resilienza dei sistemi e dei servizi di trattamento

Acquisizione del Sistema e Gestione del Cambiamento Dovrà essere sviluppata una metodologia formale, una politica o un documento procedurale simile relativo al Ciclo di Vita dello Sviluppo dei Sistemi (SDLC). La metodologia deve dettagliare le diverse fasi dell'SDLC quali avvio, pianificazione, progettazione, sviluppo, test, implementazione, manutenzione e smaltimento. • Deve essere in atto una procedura formale di gestione/controllo delle modifiche che richieda: o I test del software e dell'infrastruttura prima dell'implementazione e dopo le modifiche devono essere effettuati e documentati. o Tutte le modifiche devono essere testate prima di essere rilasciate nell'ambiente di produzione. o Le registrazioni o la documentazione delle modifiche devono essere conservate.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 47 a 101

	o Le procedure di backup di applicazioni, sistema e dati devono essere implementate prima degli aggiornamenti o della manutenzione. È necessario conservare le registrazioni di tutte le versioni promosse nell'ambiente di produzione. Gli archivi di tutte le versioni rilasciate, inclusa la documentazione, devono essere mantenuti.
3. Misure per garantire la capacità di ripristinare tempestivamente la disponibilità e l'accesso ai dati personali in caso di incidente fisico o tecnico	Continuità Aziendale e Ripristino di Emergenza Insieme allo Sponsor sono state stabilite Linee Guida per il Piano di Ripristino di Emergenza (DRP) e la Gestione della Continuità Aziendale (BCM) al fine di migliorare la capacità di prevenzione dei rischi dell'azienda, stabilire una risposta efficace a varie interruzioni aziendali non pianificate, ridurre gli impatti negativi, garantire il funzionamento continuo delle attività dell'azienda e raggiungere uno sviluppo sostenibile.
4. Processi per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento	Testare, Verificare e Valutare l'Efficacia delle Misure Devono essere identificati e implementati controlli di sicurezza delle informazioni per l'infrastruttura di rete per proteggere le informazioni nelle applicazioni e nei sistemi. • Le reti devono essere protette dal traffico dannoso su altre reti o sottoreti (interne o esterne) da uno o più firewall. • I meccanismi di rilevamento delle intrusioni (Intrusion Detection System) devono essere utilizzati per applicazioni, sistemi e reti aziendali critici per identificare tipi di attacchi predeterminati e nuovi. I sensori di rilevamento delle intrusioni nella rete devono essere protetti dagli attacchi. • È necessario eseguire regolarmente test di penetrazione sulle applicazioni basate sul Web e sui perimetri di rete. • I processi devono essere documentati e implementati per la protezione dal malware che includono scansioni periodiche, scansioni in tempo reale, prevenzione, rilevamento e misure correttive del malware.
5. Misure per l'identificazione e l'autorizzazione dell'utente	Accesso utente: identificazione e autorizzazione dell'utente Deve essere stabilita, documentata, esaminata e comunicata a tutte le parti una politica/procedura formale di controllo degli accessi in base ai requisiti aziendali e di sicurezza

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 48 a 101

dell'organizzazione. La politica di controllo dell'accesso comprende, ma non è limitata a, la disattivazione degli account predefiniti, l'obbligo di documentazione delle procedure operative sull'identificazione e l'autenticazione e l'uso limitato degli account utente privilegiati per l'accesso ai sistemi informativi. • Gli account utente devono essere forniti solo al Personale che deve accedere ai sistemi per fornire i servizi o attività lavorative pertinenti. • È necessario fornire una notifica se le circostanze cambiano in modo tale che la persona/gli utenti non richiedano più l'accesso ai Sistemi. • Accesso del personale a sistemi/applicazioni solo in conformità con le politiche, le procedure, le SOP e gli standard di sicurezza concordati. • Tutti gli accessi all'Accesso Privilegiato o agli Account Amministrativi dovranno essere: o mantenuto al minimo necessario per l'efficace funzionamento dei Servizi; e o rivisto regolarmente • Viene mantenuto un elenco aggiornato di tutto il Personale a cui è stato concesso l'accesso ai Sistemi e ai Servizi insieme a tutti i dettagli dell'account utente. • Eventuali ID e password predefiniti per sistemi e/o account di rete dovranno essere modificati durante l'installazione ove possibile (es. sistema operativo di rete, hub, switch, router, ecc.) e gli stessi non condivisi. Le politiche, le procedure e/o gli standard per controllare le attività di mobile computing e telelavoro devono essere definiti, documentati e comunicati.

6. Misure per la protezione dei dati durante la trasmissione

Protezione dei dati durante la trasmissione Requisiti documentati di controllo fisico, tecnico, amministrativo e ambientale devono essere sostenuti durante il trasporto di qualsiasi trasmissione di dati o spostamento di supporti fisici.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 49 a 101

	• È necessario mantenere un livello di protezione equivalente a quello disponibile durante l'archiviazione dei dati. • Politiche e controlli che affrontano i rischi durante lo scambio di dati tra le parti, garantendo che i dati siano disponibili solo in caso di necessità e non accessibili al pubblico durante o dopo lo scambio e che tali procedure siano documentate.
7. Misure per la protezione dei dati durante la conservazione	Protezione dei dati durante la conservazione Devono essere identificati e implementati controlli di sicurezza delle informazioni per l'infrastruttura di rete per proteggere le informazioni nelle applicazioni e nei sistemi • Le reti devono essere protette dal traffico dannoso su altre reti o sottoreti (interne o esterne) da uno o più firewall. • Deve essere in atto una procedura per mantenere aggiornato il software antivirus su workstation, laptop e sistemi mission critici all'interno dell'organizzazione o Deve essere adottata una procedura per mantenere gli attuali livelli di patch di sicurezza e altri aggiornamenti software di sicurezza su applicazioni e reti. o È necessario disporre di una protezione firewall attiva aggiornata per il perimetro della rete e di una connessione Internet dedicata protetta da firewall o Se è disponibile l’accesso mobile o remoto ai dati, è necessario implementare l’autenticazione a due fattori, come i token o l’autenticazione biometrica. I meccanismi di rilevamento delle intrusioni (Sistema di Rilevamento delle Intrusioni Basato su Host (HIDS) e sistema di rilevamento delle intrusioni basato su rete (NIDS)) devono essere utilizzati per applicazioni, sistemi e reti aziendali critici per identificare tipi di attacchi predeterminati e nuovi.
8. Misure per garantire la sicurezza fisica dei luoghi in cui vengono trattati i dati personali	Sicurezza fisica dei luoghi in cui vengono trattati i dati personali I perimetri di Sicurezza Generale (barriere come muri, cancelli di ingresso controllati da tessera o banchi reception presidiati)

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 50 a 101

	devono essere progettati per proteggere le aree in cui sono ubicate le strutture di elaborazione delle informazioni. Dovranno essere progettate specifiche pratiche di sicurezza aggiuntive (come specifici cancelli di ingresso controllati da tessera, registri di ingresso o banchi reception presidiati) per proteggere le aree in cui sono contenute informazioni altamente riservate.
9. Misure per garantire la registrazione degli eventi	Procedura di risposta agli incidenti Un incidente riceverebbe attenzione immediata da parte di tutto il personale interessato. Una volta identificati e convalidati, gli incidenti verranno segnalati in base alle politiche di sicurezza e privacy.
10. Misure per garantire la configurazione del sistema, inclusa la configurazione predefinita	Configurazione di sistema È stato stabilito, approvato e mantenuto un processo di specifica funzionale, configurazione e progettazione del sistema computerizzato per definire i principi, i requisiti e il contenuto principale dei documenti di specifica per i sistemi computerizzati.
11. Misure di governo e gestione dell'informatica interna e della sicurezza informatica	Governance e gestione della sicurezza informatica Le politiche e le procedure sulla sicurezza delle informazioni devono essere definite, approvate, mantenute e comunicate ai dipendenti e a tutte le parti esterne interessate. • Deve essere predisposto un programma di formazione obbligatorio e documentato sulla sicurezza delle informazioni che comunichi le caratteristiche principali della politica di sicurezza della Società per le risorse che elaborano o hanno accesso alle informazioni e ai sistemi informativi aziendali pertinenti. • È necessario che sia disponibile personale dedicato e qualificato per supportare l'organizzazione e gestire le attività e i controlli sulla sicurezza delle informazioni.
12. Misure per la certificazione/assicurazione dei processi e dei prodotti	Certificazione/assicurazione di processi e prodotti Lo sponsor è sottoposto ad audit da parte del QA interno e delle autorità di regolamentazione allo scopo di convalidare e certificare sistemi e processi.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 51 a 101

13. Misure per garantire la minimizzazione e la qualità dei dati	Minimizzazione e qualità dei dati I dati personali raccolti o elaborati devono essere adeguati e non eccedenti rispetto allo scopo aziendale per il quale le informazioni vengono raccolte e che tutto il trattamento dei dati personali sia conforme agli scopi aziendali approvati e alle normative applicabili. • I controlli devono garantire che qualsiasi divulgazione di dati personali sia basata sui requisiti aziendali e in linea con la comprensione e le aspettative degli interessati. È necessario implementare controlli per mitigare l'esposizione illegale in caso di potenziale perdita o divulgazione involontaria. • I controlli devono garantire che i dati personali siano accurati e aggiornati per lo scopo aziendale specificato o come richiesto dalle linee guida normative.
14. Misure per garantire una conservazione limitata dei dati	Registrazioni di dati e conservazione delle informazioni All'interno dell'azienda è stata istituita una serie di programmi di gestione dei documenti relativi ai processi clinici che includono la creazione e il mantenimento di documenti autentici, affidabili e utilizzabili, la protezione dell'integrità di tali documenti per tutto il tempo necessario, consentendole di continuare la propria attività, rispettare le normative ambiente e garantire la necessaria responsabilità.
15. Misure per garantire la responsabilità	Responsabilità Lo sponsor ha in atto politiche interne contenenti istruzioni formali per le procedure di trattamento dei dati. Gli appaltatori vengono attentamente controllati per quanto riguarda la sicurezza dei dati; il personale dello sponsor viene formato periodicamente per mantenere la consapevolezza in merito alla protezione dei dati e ai requisiti di sicurezza.
16. Misure per garantire la cancellazione dei dati	Cancellazione dei dati È in atto un processo per garantire lo smaltimento di dati obsoleti, documenti riservati e privati e supporti fisici secondo le procedure e le linee guida approvate.
17. Misure per garantire il monitoraggio, l'identificazione e la revisione continui dei rischi nuovi o emergenti e	Gestione del rischio È necessario implementare un programma di valutazione del rischio informatico.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 52 a 101

delle azioni di mitigazione o riparazione • Garantire che sia in atto un processo per monitorare e rivedere tutti i rischi identificati su base continuativa.
• Garantire che sia in atto un processo per fornire attività di mitigazione per ciascun rischio identificato.
• È in atto un processo per la valutazione del rischio di terze parti utilizzate.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 53 a 101

CLINICAL TRIAL AGREEMENT FOR THE DRUGS

Title

“A Phase 3, Randomized, Double-blind, Placebo-Controlled, Multicenter Study of ABSK021 to Assess the Efficacy and Safety in Patients with Tenosynovial Giant Cell Tumor"

BETWEEN

Azienda USL Toscana Centro Ospedale S. Xxxxxxx xx Xxxxx (hereinafter the “Entity”), with registered office in Xxxxxx Xxxxx Xxxxx Xxxxx 0, 00000 Xxxxxxx (Xxxxxx), Tax Code and VAT no. 006593810481, through its Legal Representative Dr Xxxxxxx Xxxx, in his capacity as acting General Director, who has duly empowered the Staff Director of the Health Directorate Dr Xxxxxxxxxx Xxxxx born on 12/06/1961 in Milan C.F.

SRGLSN61H12F205M,

AND

HongKong Tigermed Co., Limited, headquartered in Xxxx Xx. 0000, 00xx Xxxxx, Xxxxxxx Xxxx, 000 Xxxxxxxx Xxxx, Xxxxx Xxxxx, Xxxx Xxxx, Tax Registration Number: 58993572, in the person of legal representative, Xxxxxx de Cler in their capacity as Regional Head Project Management EMEA (hereinafter referred to as “CRO”), acting in its own name and on behalf of Abbisko Therapeutics Co., Ltd (hereinafter referred to as “Sponsor”) with legal office in Xx.0, 000 Xxxx, Xxxxx Xxxx, Xxxxx (Xxxxxxxx) Pilot Free Trade Xxxx Xxxxxxxx, Xxxxxxxx, 000000 Xxxxx, by virtue of appropriate delegation granted on 07Jun2023.

The EU legal representative of CRO HongKong Tigermed Co., Limited is Marti Farm d.o.o. at registered

office address: Xxxxxxxxx 00, Xxxxxx, 00000, Xxxxxxx.

hereinafter referred to individually/collectively as “Party/Parties”

Whereas:

A. it is in the interest of the Sponsor to carry out, pursuant to Regulation (EU) no. 536/2014 (hereinafter the “Regulation”), the clinical trial entitled: “A Phase 3, Randomized, Double-blind, Placebo- Controlled, Multicenter Study of ABSK021 to Assess the Efficacy and Safety in Patients with Tenosynovial Giant Cell Tumor” (hereinafter the “Trial”), having as its object the Protocol version no.

1.2 of 21 Mar 2023 and its subsequent duly approved amendments (hereinafter the “Protocol”), EU CT code no. 2023-503245-58-00 at the Entity, under the responsibility of Dr Xxxxxxx Xxxxxx Xxxxx, in his capacity as Scientific Responsible for the experimentation which is the subject of this Agreement (hereinafter “Principal Investigator”), at Hospital of Prato Oncologia Medica (hereinafter “Trial

Centre”);

B. the Sponsor has identified Qingping Zou as the scientific contact for the part of its competence. The Sponsor may change the scientific and technical contact for the par falling within its competence by

notifying the Entity in writing;

C. the Trial Centre has the technical and scientific know-how to carry out the Trial and is suitable facility

for the Trial to be conducted in accordance with the applicable regulations;

D. the Principal Investigator and his/her direct healthcare staff qualified according to the Protocol to intervene with discretionary powers in the execution of it (hereinafter “Subinvestigators”), as well as all other subjects playing any part in the Trial under the supervision of the Principal Investigator are qualified to conduct the Trial in accordance with the applicable regulations, are familiar with the Protocol and the standards of good clinical practice and possess the necessary regulatory and legal

requirements including compliance with the current regulations regarding the conflict of interest;

E. except as otherwise subsequently agreed in writing by the Parties, the Entity shall only conduct the

Trial in its own facilities.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 54 a 101

F. The Entity is equipped with suitable equipment necessary to carry out the Trial as indicated in the

Protocol;

G. The Trial has been duly authorized in accordance with Chapter II of the Regulation, following the AIFA national authorization decision uploaded on the EU portal referred to in Article 80 of the Regulation

05 May 2023.

The Trial has been regularly authorized, pursuant to EU Regulation 536/2014: for "Part I" by the Regulatory Agency the Netherlands as Rapporteur Member State on August 28, 2023; for "Part II" by the Territorial

Ethics Committee CE AVEN on September 30, 2023.

H. In accordance with Article 76 of the Regulation and the applicable national provisions, Sponsor took

out an insurance policy as detailed in Article 8 of this Agreement;

In consideration of the foregoing, it is hereby agreed as follows

Art. 1 – Entirety of Agreement

1.1. The recitals, the Protocol – even if not physically attached – and all the Annexes including the budget (Annex A) and the data protection glossary (Annex B) form an integral and substantial part of this

Agreement.

Art. 2 – Subject matter of the Agreement

2.1. The Sponsor hereby entrusts the Entity with the execution of the Trial under the terms of this Agreement, in accordance with the Protocol and any subsequent amendments, and with the amendments to this Agreement/budget resulting from such amendments formalized by the necessary deeds of

amendment, duly signed.

2.2. The Trial is to be conducted in strict compliance with the Protocol, in the version in force as accepted by the Principal Investigator and approved by the Ethics Committee and the Competent Authority in conformity with the laws applicable to clinical drug trials and the principles of ethics and medical practice

followed by the healthcare staff involved in the Trial in any capacity.

2.3. The Trial shall also be conducted in accordance with the principles of the Convention on Human Rights and Biomedicine, the updated version of the Helsinki Declaration, the current rules of good clinical practice, and in accordance with the applicable laws on transparency, anti-corruption and the current data

protection regulations.

2.4. By signing this Agreement, the Parties declare that they know and accept the contents of the above

rules and regulations.

2.5. The Sponsor and the Principal Investigator, having an obligation to protect patients’ safety, where required in the circumstances, may take urgent, appropriate measures to protect patients’ safety such as temporarily suspending the study (interruption of treatment for patients already enrolled or interruption of the enrolment of new patients), in the manner provided for by Article 38 of Regulation (EU) 536/2014, subject to the Sponsor’s obligation to immediately inform the Ethics Committee, the Competent Authority and the Trial centers as well as the participants in the study, of any new events, the measures taken and the program of measures to be taken in the future, and will duly complete the procedures required by the applicable laws. The Sponsor, having been informed by the Principal Investigator of a serious adverse event, promptly communicates to the electronic database all the serious and suspected adverse events within the terms referred to in Paragraph 2 of Article of Regulation (EU) 536/2014, also pursuant to

Paragraph 3 by reporting.

2.6. As the Trial involves the competitive inclusion of patients, the Entity expects to include approximately

2 subjects. For EU a total of 30 with a maximum of 90 patients eligible for the Trial globally and limited to

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 55 a 101

the terms provided for by the Sponsor is planned. The enrolment period may be changed depending on the national or international trend in enrolment. When the total number of patients permitted for the entire Trial has been reached, the inclusion of further patients will be closed automatically, regardless of the number of patients enrolled at the Centre, apart from patients who have already provided their consent to take part in the Trial, unless the patients themselves withdraw their consent. The Sponsor will

timely notify the Entity accordingly.

2.7. The Entity and the Sponsor will keep the Trial documentation (the “Trial Master File”) for the period of time and as specified in the applicable laws (or for a longer period if required by other applicable laws or by a financial agreement between Entity and the Sponsor).

The Sponsor is obligated to inform the Centre of the expiry of the mandatory conservation period at the

request of the Sponsor, after expiry of the mandatory conservation period, the Parties may agree the terms of a further conservation period, anonymizing the data in advance.

2.8. The Entity and the Sponsor, each within their own sphere of responsibility, shall also use forms of document digitalization (or dematerialization), if applicable. Regardless of whether or not the archived Trial documentation contains personal data (of a special nature or otherwise), according to the definitions in Regulation (EU) no. 679/2016 (hereinafter “GDPR”), the Entity and the Sponsor shall take all the physical and technical measures referred to in Article 32 of said GDPR and shall carry out any security checks as required by the applicable regulation to protect the data, information and documents (both printed and digital). The archiving system shall guarantee not only the integrity of the data, information and printed/digital documents but also their future legibility throughout the mandatory conservation period. To fulfil such obligation both the Sponsor and the Entity may rely on external service providers to manage

the archiving obligation.

2.9. The Sponsor, the Entity and the Principal Investigator shall comply with the directions, indications,

instructions and recommendations given by the Ethics Committee and by the Competent Authority.

Art. 3 – Principal Investigator and Subinvestigators

3.1. The Principal Investigator shall be assisted in the execution of the Trial by direct collaborators, qualified under the Protocol to intervene with discretionary powers in the execution of the Trial (hereinafter “Subinvestigators”), and as well as by the healthcare and non-healthcare personnel engaged by the Entity. Subinvestigators and other personnel will operate under the responsibility of the Principal Investigator for all aspects pertaining to the Trial; they will have to be qualified to conduct the Trial and have previously received adequate training by the Sponsor, in accordance with applicable regulations and each of them

must have declared her/his willingness to take part in the Trial.

3.2. The Parties acknowledge that the Principal Investigator is bound by all the responsibilities and

obligations imposed on their role by the applicable regulations on clinical trials regarding medicines.

3.3. This Agreement is made between the Sponsor and the Entity. The Sponsor is extraneous to the relations between the Entity, the Principal Investigator, the Subinvestigators and all other personnel participating in the Trial and is thus indemnified in respect of any claim that they may take in relation to

the Trial.

3.4. In relation to the Trial covered by this Agreement, the Parties acknowledge that they have complied with the provisions of Article 7 of the Regulation as well as Article 6, Paragraph 4 of Legislative Decree no. 52 of 14 May 2019, as amended by Article 11-bis of Law no. 77 of 17 July 2020, converting Legislative

Decree no. 34 of 19 May 2020 (“Decreto Rilancio”).

3.5. If the relationship between the Principal Investigator and the Entity ends for any reason, the Entity

will inform the Sponsor in writing indicating the name of a replacement and reporting it in the European

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 56 a 101

electronic database. The name of a replacement must be approved by the Sponsor and by the competent Ethics Committee. The Entity guarantees that the new Principal Investigator is qualified to continue the Trial, that he will accept the terms and conditions of this Agreement and that he will agree to respect the Protocol when executing the Trial. Pending approval of the substantial amendment for the change of Principal Investigator, the Investigator indicated by the Entity shall carry out the necessary continuity in the Trial activities. If the Sponsor does not intend to accept the name of the replacement proposed by the Entity, or if the Entity does not propose a substitute, the Sponsor may terminate this Agreement in

accordance with the provisions of Article 7.

3.6. Before starting the Trial, the Principal Investigator shall obtain the informed consent of the patient or his/her legal representative, in accordance with the current laws on clinical trials, as well as the consent for the processing of personal data in accordance with the current Italian and EU laws on data protection,

as specified in Article 11 below.

3.7. The Principal Investigator is obliged to register and document in detail all adverse events and serious adverse events and to report them to the Sponsor within the terms established by current legislation. Furthermore, the Principal Investigator has to provide any other clinical information indicated in the Protocol (e.g., pregnancy) that is directly or indirectly related to the execution of the Trial, in accordance with the provisions of the Protocol, the rules of Good Clinical Practice and the laws applicable to

pharmacovigilance and clinical drugs trials.

3.8. The Entity guarantees the correct performance of the Trial by the Principal Investigator and the

personnel under his responsibility in accordance with the highest standards of diligence. In particular:

3.8.1. the Principal Investigator shall submit all properly completed Case Report Forms (CRFs), duly compiled, in accordance with the terms and conditions of the Protocol for the Trial and with the applicable regulations, in printed or digital form and in any case in a timely manner as per GCP, by the date indicated

in the Trial Protocol;

3.8.2. the Principal Investigator shall also resolve any queries raised by the Sponsor by the date indicated

in the Trial Protocol;

3.8.3. to verify the correspondence between the data recorded on the CRF and the data contained in the original clinical records, the Entity and the Principal Investigator shall allow direct access to the source data during the monitoring visits and any audits by the Sponsor and inspections by the Competent Authorities

including remote methods, provided that the laws on confidentiality and patient privacy are respected;

3.8.4. the Entity and the Principal Investigator, having been informed sufficiently in advance, shall allow the correct execution of the monitoring and auditing and inspections at the Trial Centre by the Sponsor and by the Competent Authority, such activities to be carried out to guarantee the proper execution of the

Trial.

3.9. The Entity shall promptly inform the Sponsor if a regulatory authority informs the Entity of an inspection/audit in relation to the Trial and, unless expressly refused by the Competent Authority, the Entity will authorize the Sponsor to take part, while sending the Sponsor all the written communications

received for the purposes of the inspection/audit.

3.10. The Entity and the Sponsor guarantee that the biological samples (blood, urine, saliva, etc.) that may be collected from patients undergoing the Trial covered by this Agreement shall only be used for the purposes of the Trial in accordance with the provisions of the Protocol and of the current regulations. Any conservation and subsequent use are subject to the acquisition of specific informed consent from the

patient (or the parent/legal guardian) to the favorable opinion of the Ethics Committee in accordance with

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 57 a 101

the limits and guarantees provided for in the current regulations and guidelines referred to in Article 1 of

Legislative Decree 52 of 14 May 2019.

Art. 4 – Trial Drugs – Materials and Services

4.1. The Sponsor shall provide the Entity, free of charge and for the duration of the Trial, with the necessary and sufficient quantities of the pharmaceutical product relating to the Trial (ABSK021) and shall provide the other drugs provided for in the Protocol, in accordance with Ministerial Decree of 21 December 2007, Annex 1, Paragraph 3, Table I, including the drugs to be used in association or combination, whenever the object of the study relates to such an association or combination (the “Trial Drugs”). The Sponsor shall also provide at its own expense the supply of auxiliary medicines and the background therapy, that is the therapeutic standard for the pathology subject of the Trial, if included, according to the Trial Protocol, in the comparison among the different therapeutic strategies being tested. The quantities of Trial Drugs, auxiliary medicines and background therapy charged to the Sponsor must be adequate to the number of cases treated. The receipt and tracking of drugs must take place upon registration of the batches. Background therapies not included in the comparison therapeutic strategies remain the responsibility of the Entity. Sponsor also undertakes to provide, at its own expenses, any other materials necessary for the execution of the Trial (the “Materials”) as well as laboratory, diagnostic or monitoring test relating to use

of the Trial Drugs or primary and secondary objectives of the Trial (hereinafter “Services”).

4.2. Upon fulfilment of the conditions laid down in the current regulations on the therapeutic use of a drugs undergoing clinical trials, with particular regard to the Declaration of Helsinki and good practice in the field of therapeutic continuity, the Sponsor agrees, where applicable and unless reasons to the contrary (to be specified in writing), to make the drug undergoing clinical trials available at the end of the Trial, beyond the follow-up period, for patients who have obtained a clinical benefit from the investigational drug, assessed according to the judgment of the Principal Investigator (regardless of whether or not the Ministerial Decree of 7 September 2017 “Discipline of therapeutic use of investigational medicinal product”). In patients with clinical benefit, the supply of the drug will be continued until it is made available through the ordinary dispensing channels, so as to ensure therapeutic continuity. In accordance with the Declaration of Helsinki, information about the availability or non-availability of post- trial access by the Sponsor should be made known to the Trial participants in the informed consent

documents.

4.3. The Trial Drugs shall be sent by the Sponsor to the Pharmacy of the Entity, which will record them, store them appropriately and deliver them to the Principal Investigator in accordance with the provisions

of the Protocol and the current regulations.

4.4. The Trial Drugs shall be accompanied by an adequate transport note addressed to the Pharmacy, describing the type of drug, the quantity, batch, storage requirements, expiry date and references to the

Trial (Protocol code, Principal Investigator and Trial Centre).

4.5. The Entity and the Principal Investigator shall use the Trial Drugs and Materials supplied by the Sponsor exclusively in the context and conduct of the Trial. The Entity shall not transfer or assign to a third party

the Trial Drug and/or Materials/Services supplied by the Sponsor under the terms of this Agreement.

4.6. All the expired or otherwise unusable Trial Drugs or those that have not been used on conclusion of the Trial will be collected by the Sponsor (or its representative) and will subsequently be disposed of at the

Sponsor’s expense.

Art. 5 – Loan for us

Not applicable

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 58 a 101

Art. 6 – Remuneration

6.1. The remuneration agreed for each eligible valuable patient who has completed the study according to the Protocol and for whom the related CRF/eCRF has been duly compiled, including all the costs incurred by the Entity in execution of the Trial and the costs to cover all the related activities, is equal to a maximum of € 30.827,00 + VAT (if applicable) per patient as specified in greater detail in the Budget annexed

(Attachment A).

6.2. The CRO, on behalf of Sponsor, will pay the amount due under the terms of this article on the basis of a valid statement of account/supporting document agreed between the Parties. The above amount will be paid at the intervals indicated in the Budget (Annex A, Paragraph “Payments and Invoices”), on the basis of the number of patients enrolled during the period, the treatments carried out according to the Protocol and in the presence of the duly completed CRF/ECRF duly compiled and

validated by the Sponsor based on the activities carried out.

6.3. All the laboratory/instrument tests and any other services or additional activities not covered by the price agreed per eligible patient and requested by the Sponsor as approved by the Ethics Committee and Competent Authority and as detailed in Annex A (Paragraph “Costs and payments” – Part 2), shall be reimbursed and invoiced by the CRO on behalf of Sponsor in addition to the price paid for each eligible

patient.

6.4. The Entity will receive no remuneration for patients who cannot be assessed due to failure to observe the Protocol, violation of the rules of Good Clinical Practice or failure to comply with the laws applicable to clinical drug trials. The Entity will have no right to receive any remuneration for any patient enrolled after notification of interruption and/or conclusion of the Trial by the Sponsor/, or any number beyond the maximum number of patients stipulated under the terms of this Agreement, if not agreed with the

Sponsor.

6.5. The CRO on behalf of Sponsor shall also reimburse the Entity with all the additional costs of medical/diagnostic activities, including hospital admissions, which are not provided for in the Protocol or amendments to the Protocol, and which are not already covered by the above payments, if such activities are essential for the proper clinical treatment of a patient undergoing the Trial. The reimbursement will only be paid on condition that such activities and costs have been properly communicated, with justification, and have been documented in writing to the Sponsor and approved in writing by the Sponsor,

and provided that the patient’s personal data is communicated in anonymized form.

6.6. If, during the Trial, it is necessary to increase the financial support to the Entity, the Sponsor may

supplement this Agreement by an addendum/amendment, authorizing the appropriate increase to the attached Budget.

6.7. In accordance with the regulation on mandatory e-invoicing for sales of goods and services among private individuals, the Entity shall issue invoices in XML (Extensible Markup Language) format. Invoices are to be sent through the interchange system (SDI).

The CRO on behalf of Sponsor hereby provides the data necessary for the issuance of the invoice: COMPANY NAME

HongKong Tigermed Co., Limited,

Xxxxxx Xxxx Xx. 0000, 00xx Xxxxx, Xxxxxxx Xxxx, 218 Electric Road, North Point Hong Kong,

RECIPIENT CODE: XXXXXXX

Tax Registration Number: 58993572

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 59 a 101

ENTITY BANK ACCOUNT
	Name and surname of the beneficiary	AZIENDA USL TOSCANA CENTRO
	Address of the beneficiary	XXXXXX XXXXX XXXXX XXXXX, 0 00000 XXXXXXX
	Name of the bank	B.P.M.
	Bank address	Xxxxxx Xxxxxxxxx 0, 00000 Xxxxxxx
	IBAN/Number of bank account	XX00 X 00000 00000 000000000000
	Mail address of the beneficiary for the payments	xxxxxxxxxxxxxxxx@xxxxxxxxx.xxxxxxx.xx
	Codice SWIFT/SWIFT code	XXXXXX00X00
	P. IVA/VAT	06593810481

6.8. The payments made for the Entity's services (i) represent the fair market value for those services, as they reflect the tariff scale applied by the Entity, (ii) were negotiated under normal market conditions, (iii) were not agreed on the basis of the volume or value of prescriptions or in reference to those prescriptions or other financial activities between the Parties and (iv) are not lower than the regional DRG or the nomenclator or tariff schedule of the institution if any. Neither the Entity nor the Principal Investigator shall request any compensation or reimbursement from any other party in return for the activities performed or costs incurred by including the patients in the Trial, which the Sponsor is obligated to pay

for.

6.9. The CRO on behalf of Sponsor will also provide patients taking part in the Trial with the possibility of reimbursement of only travel expenses with a maximum of 27€ per visit incurred in relation to each visit made to the Entity, in compliance with the provisions of applicable regulations, according to the procedures, maximum amounts and permitted expenses approved in advance by the Ethics Committee. Costs may only be reimbursed by the administration office of the Entity, which will implement its own procedures. Each patient will submit receipts for the expenses incurred in visiting the Entity; for the purposes of obtaining reimbursement from the Sponsor, the list will be anonymized by the Entity. Considering the duration of the study, the Entity will agree the terms for submission to the Sponsor of the statement of account based on the receipts for patients’ expenses presented to the Entity during the treatments carried out in the reference period. The Sponsor may check the sums claimed by comparing them against the treatments completed by the patients and will make the related payments to the Entity. It will then be the responsibility of the Entity to arrange to reimburse the sums to each patient in accordance with the amounts in the table contained in the Budget herewith attached sub A Part 1 Item NP007.).

It provided for in the Protocol, may be offered a compensatory allowance for expenses and lost earnings directly associated with participation in the Trial, also for the careers of patients who are unable to travel alone, for example children, incapacitated subjects, vulnerable patients. Each patient will present the list of expenses to the Entity or to the person delegated by this, for the purposes of coverage by the Sponsor.

All costs related to items not listed in Annex A will not be reimbursed. Parties agree that any bank charges

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 60 a 101

and commissions due for foreign wire transfer shall be charged entirely to the originator and in no case

can they be deducted from the amount that is credited to the payee.

Art. 7 - Duration, termination and cancellation

7.1 This Agreement shall take effect from the date of the last signature (“Effective Date”) and shall remain in force until conclusion of the Trial at the Entity, as provided for in the study Protocol, subject to any amendments agreed by the Parties. Without affecting the foregoing provision, this Agreement shall remain

in full force and effect following the issue of formal authorization by the Competent Authority.

7.2 The Entity may terminate this Agreement in writing with 30-day notice, sent to the Sponsor by

registered post or certified email, in the following cases:

- insolvency of the Sponsor, proposal of composition arrangements, also extrajudicially, with the creditors of the Sponsor or the commencement of enforcement action against the Sponsor. If the situation indicated above relates to the CRO, the Sponsor is obligated to take over from the CRO and to continue the activities, unless the intervention of another CRO – approved by the Entity – is obtained

to replace the insolvent CRO;

- the sale of all or part of the assets of the Sponsor to the creditors or the agreement of a moratorium

with creditors.

The notice will take effect from the time when the Sponsor receives the above communication

7.3. The Sponsor, in accordance with Article 1373(2) of the Italian Civil Code, may terminate this Agreement at any time by sending 30-day notice in writing by registered post or certified email. The notice will take effect from the time when the Entity receives such communication. The termination by the Sponsor will not affect the obligations assumed and costs paid by the Entity on the date of notification of termination. In particular, the Sponsor will pay the Entity all the documented, non- revocable expenses, contained in Annex A, that it has incurred in order to ensure the correct, efficient execution of the Trial (where applicable, including the costs incurred by the Entity towards the patients/participants) and all the payments accruing up until that time.

In the case of early termination, the Sponsor may, as the original owner, receive all the complete and

partial data and results obtained by the Entity during the Trial and also thereafter, if deriving from or related to the Trial.

7.4. In case of termination of the Trial, in accordance with the applicable regulation, Sponsor will pay the

Entity the expenses and remunerations contained in Annex A that have accrued and are documented up until that time.

7.5. It is also agreed that the early termination of this Agreement shall not give either Party any right to

claim from the other Party any compensation or requests for payment other than those already agreed.

7.6. This Agreement shall cease to have effect automatically pursuant to Article 1454 of the Civil Code in the event that either Party has not fulfilled one of its obligations as provided for herein, within 30 days from a written notice to perform sent by the other Party.

The provisions of Articles 1218 et seq. of the Italian Civil Code shall apply in any event.

7.7. If this Agreement is terminated for reasons not due to non-compliance by the Entity, the Entity shall have the right to reimbursement of the expenses incurred in relation to the Trial prior to receipt of the notice of termination, and to payment for the services rendered in accordance with the Protocol and this Agreement, proportionately to the activities completed up to the date of termination. The Entity shall

repay the Sponsor any amounts already paid in relation to activities that were not completed.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 61 a 101

7.8. In all cases of interruption or termination of this Agreement, full precautions will be taken to protect the patients already involved, in accordance with the Protocol approved by the Ethics Committee,

guaranteeing, within the limits and the modality set in the Article 4.2 continuity of treatment

Art. 8 – Insurance cover

8.1. The Sponsor is required to guarantee, according to current legislation, compensation for damages

suffered by patients and attributable to participation in the clinical Trial, in accordance with the Protocol, commensurate with the nature and extent of the consequent risks.

8.2. Without prejudice to the provisions of Article 76 of the Regulation and of Law 8 March 2017, n. 24 and the respective implementing measures, the insurance coverage provided by the Sponsor guarantees with respect to the hypotheses of civil liability of the Sponsor, the health entity where the Trial is conducted,

the Principal Investigator, and the other Investigators involved at the Entity.

8.3. The Sponsor confirms, by signing this Agreement, that it has taken out a third-party liability insurance policy (no. ITLSCR09918, with the insurer Chubb European Group SE) to cover the risk of injury to patients from taking part in the Trial, in accordance with M.D. of 14 July 2009. The Ethics Committee considered that the insurance policy complies with the provisions of the law and adequately protects the patients

taking part in the Trial.

8.4. The Sponsor confirms, by signing this Agreement, that it is liable for any consequences resulting from any present or future deficiencies in the insurance cover mentioned above, integrating them where

necessary in accordance with the provisions of Article 8.1.

8.5. In particular, in the event that the Sponsor intends to withdraw from the Agreement, the Sponsor warrants that the insurer shall in all cases guarantee the coverage of patients already included in the

clinical trial also during the continuation of the Trial, in accordance with Article 2 par. 3 of M.D. of 17/07/09.

8.6. At the time of the accident, the Entity is required to disclose the existence of policies for liability RCT (Third-party liability) Medical Malpractice (to cover the Entity and the medical staff administering the drug) in accordance with Article 1910 of the Italian Civil Code.

Art. 9 – Final report, ownership and use of results

9.1.The Sponsor is the owner of the data and results of the study and can publish them and provide them

to third parties. The Sponsor will publish the results of the Study even if the results are negative.

9.2 The Sponsor is liable for preparing the final clinical report and for sending a summary of the results of the Trial to the Principal Investigator and Ethics Committee by the applicable legal deadline. Regardless of the outcome of a clinical Trial, within one year (and six months in the case of pediatric studies) from its conclusion, the Sponsor sends a summary of the results of the Trial to the EU database in accordance with

the procedures set out in Article 37.4 of the Regulation (UE) n. 536/2014.

9.3. All the data, the results, information, materials, discoveries and inventions deriving from the execution of the Trial in pursuit of its objectives, is the exclusive property of the Sponsor, without prejudice to the

right of the Investigators, if the conditions are met, to be recognized as authors.

If the Sponsor takes action to file an application for a patent relating to inventions obtained during the

course of the Trial, the Entity and the Principal Investigator shall provide to Sponsor, at the expense of the latter, all the assistance and documentary support necessary for that purpose.

9.4. The Entity may use the data and the results of the Trial, whose processing it is autonomous data controller pursuant the applicable regulation for its own institutional, scientific and research purposes only. Such use must not under any circumstance affect the secrecy and the patent protection of the related

intellectual property rights due to Sponsor. The Parties mutually acknowledge they will still be the owners

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 62 a 101

of industrial and intellectual property rights relating to their background knowledge and to their own knowledge developed or obtained in the course of the Trial, but regardless and irrespectively from the way

it is conducted (sidegroundknowledge).

9.5 Presentation & Publication by Entity

a) Upon completion of the Trial and evaluation by Sponsor of all data from the Trial, or upon early termination or abandonment of the Trial, Entity and Principal Investigator may publish or otherwise publicly disclose, for non-commercial purposes, the methods and results of the Trial (“Study Data”) provided that (a) the Trial was conducted at Institution in compliance with the Protocol; and (b) such publication or presentation (i) is made in a recognized medical or scientific journal or at a recognized scientific conference, (ii) makes use of all of Entity’s Study Data and not subsets of Study Data, and (iii) is

made in accordance with the provisions of Sections 9.5 (b) through 9.5 (d), below.

b) Entity and Principal Investigator shall not publish or otherwise publicly disclose any Study Data without Sponsor’s written consent. A copy of such disclosure will be given to Sponsor for review at least sixty (60) days prior to the date of submission for publication (including abstracts) or of public disclosure (the “Review Period”). If during the Review Period, Sponsor requests that Entity and/or Principal Investigator delete any Confidential Information other than Study Data, Entity and/or Principal Investigator shall do so. If Sponsor approves the publication or disclosure, Entity and Principal Investigator agree to discuss with Sponsor any of Sponsor’s suggestions with respect to the presentation of Study Data, and the timing of the

disclosure.

c) If during the Review Period, Sponsor notifies Entity or Principal Investigator that it desires patent applications to be filed on any invention, discovery or improvement disclosed or contained in the disclosures, Entity and Investigator will defer publication or other disclosure for a period, not to exceed an additional sixty (60) days, sufficient to permit Sponsor or its designee to file or have filed any desired patent

applications.

d) Notwithstanding anything to the contrary in this Section 9, as the Trial is part of a multi-centre clinical research study, no submission for publication or public disclosure by Entity or Principal Investigator will be made until after publication of the multi-centre results. After the first to occur of (i) publication of the multi-centre results, (ii) notification by Sponsor that such a multi-centre submission is no longer planned, or (iii) the eighteen (18) month anniversary of the termination of the study at all participating centers, Entity and Principal Investigator may publish or publicly present the Study Data, subject to Entity’s and

Principal Investigator’s compliance with Sections 9.5(b) and 9.5(c), above.

9.6 The provisions of this article will remain valid and binding even after termination or cancellation of this

Agreement.

Art. 10 – Secrecy of technical and commercial information and dissemination of data

10.1. By signing this Agreement, each Party undertakes to treat as private for the entire duration of this Agreement (time limit extendable in the course of negotiation until their fall into public domain, if necessary on the basis of any agreements with the licensors), all the technical and/or commercial information provided by the other Party and/or developed during the course of the Trial and in pursuit of its objectives, which may be classified as “Commercial Secrets” within the meaning of articles 98 and 99 of the Industrial Property Code (legislative decree 30/2005 as amended by legislative decree 63/2018 enacting Directive EU 2016/943), and shall take all the contractual, technological or physical measures necessary to protect such information, also with regard to their own employees, contractors,

subcontractors, successors or assigns.

Each Party also represents and warrants as follows:

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 63 a 101

(i) its own Commercial Secrets have been acquired, used and disclosed legally and there are not – as far as is known to it – any legal actions, disputes, claims for compensation or indemnity, whether judicial or

extrajudicial, brought by any third-party claiming ownership of such secrets.

(ii) It shall therefore indemnify the other Party in respect of any legal actions, complaints, claims for

compensation or indemnity, whether judicial or extrajudicial, brought by any third-party claiming ownership to such secrets.

10.2. The Parties are obligated to adequately and accurately disclose and publish the results of the Trial as well as to communicate them adequately to the patients taking part and to the patients’ representatives. Under the terms of the applicable regulations, the Sponsor is required to promptly publish the results of the Trial even if negative, obtained at the end of the Trial as soon as they become available from all the participating Sites and any case no later than the deadlines for this purpose established by the applicable

provisions of the European Union.

10.3. Pursuant to Article 5(2) (c) of M.D. of 8 February 2013, the Principal Investigator has the right to disseminate and publish, without limitation, the results of the Trial obtained from the Institution, in accordance with the current laws on the confidentiality of sensitive data, data protection and intellectual property, and in accordance with the terms and conditions of this Agreement. To ensure that the data processing is correct and accurate, and the results of the Trial obtained at the Entity, in view of their presentation or publication, at least 60 days before them, the Principal Investigator will send the Sponsor the text of the document Intended to be presented or published. Should issues arise in relation to the scientific integrity of the document and/or issues regarding regulatory aspects, patents or the protection of intellectual property, the Parties and the Principal Investigator will proceed over the next 60 days to review the document The Principal Investigator shall agree to take into account the Sponsor’s suggestions in the publication or presentation, only if necessary to protect the confidentiality of information, personal data, and to protect intellectual property, provided that the amendments do not conflict with the

reliability of the data, or the rights, safety and well-being of the patients.

10.4. The Sponsor acknowledges that it has no right to request the deletion of information contained in

the document, except where such requests and amendments are necessary for, data confidentiality, data protection and the protection of intellectual property.

10.5. The Sponsor may, for the purposes of presenting a patent application and if necessary, ask the Principal Investigator to delay the publication or presentation of the document by a further 90 days. The Trial being multi-centre, the Principal Investigator may not publish the data or the results of his or her own Centre until all data and results of the Trial have been published in full or for at least 18 months from conclusion of the Trial, its interruption or early termination. If a publication containing the results of a multi-centre trial, published by the Sponsor or by the third party designated by the Sponsor is not completed within 18 months (at least twelve months under the current regulations) from the end of the multi-centre Trial, the Investigator may publish the results obtained at the Entity, in accordance with the

contents of this article.

10. 6 Upon completion of the Experiment and evaluation by the Promoter of all of the Experiment Data, or in the event of early termination or abandonment of the Experiment, the Entity and the Principal Investigator may publish or publicly disclose, for non-commercial purposes, the methods and results of the Experiment the Study ("Study Data") provided that (a) the Study was conducted at the Entity in accordance with the Protocol and (b) such publication or presentation (i) is made in a recognized medical or scientific

journal or at a recognized scientific conference and is carried out with the provisions of this Article.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 64 a 101

Art. 11 – Data protection

11.1. In executing the contractual activities the Parties shall treat all the personal data which, for any reason, they have come to know during the clinical Trial in accordance with the objectives of the foregoing articles and in conformity with the provisions of Regulation (EU) 2016/679 of the European Parliament and Council of 27 April 2016 (GDPR), and with the related provisions of law and orders of national administrations, including any subsequent amendments (collectively the “Data Protection Laws”) as well

as any regulations of the Entities.

11.2. The terms used in this article, in this Agreement, in the informed consent documents and in any other

documents used for the purposes of the Trial shall be construed and utilized in accordance with the meanings given in Annex B.

11.3. The Entity and Sponsor are independent data controllers for the purposes of article 4 paragraph 7 of the GDPR. Each of the Parties will arrange at its own expense, as part of its organizational structure, for the appointment of Data Processors and assignment of functions and tasks to designated subjects, who

operate under their authority, in accordance with the GDPR and current legislation.

11.4. For the purposes of the Trial, personal data relating to the following categories of data subjects will be processed: persons taking part in the trial; persons operating on the Parties’ behalf. Such data subjects will be appropriately informed of the processing of their data. For the purposes of the Trial, the following types of personal data will be processed: the data referred to in article 4 paragraph 1 of the GDPR; data classified as “sensitive” – and in particular, data relating to health, sexual life and genetic data – referred to in Article 9 GDPR. Such data shall be processed in accordance with the principles of legality, fairness,

transparency, adequacy, relevance and necessity as contained in Article 5 paragraph 1 of the GDPR.

11.5. The Sponsor may send the data to other affiliates of the Sponsor’s group and to third parties operating on its behalf, including those abroad, in countries outside of the EU, only in compliance with the conditions set out in Articles 44 and ss. of the GDPR. For the purpose of this Agreement, "Affiliate" or "Affiliates" shall mean any person or entity controlled by, controlling, or under common control with either Sponsor or Entity. For this purpose, "control" means direct or indirect beneficial ownership of at least fifty percent (50%) interest in the voting stock (or the equivalent) of such person or entity or having the right to direct, appoint or remove a Segoe UI majority or more of the members of its board of directors (or their equivalent), or having the power to control the general management of such person or entity, by contract, law or otherwise. In this case, the Sponsor will guarantee an adequate level of protection of personal data also through the use of the Standard Contractual Clauses approved by the European Commission. Where the Sponsor is established in a State that does not fall within the scope of European Union law and that:

- has not been the subject of an adequacy decision of the European Commission pursuant to Articles 44 and 45 of the EU GDPR 2016/679, and/or

- does not ensure an adequate level of protection under the GDPR,

the Sponsor and the Entity must complete and sign the Standard Contractual Clauses document (this last document is attached to this Agreement).

11.6. The Parties warrant that the persons authorized by them to process personal data for the purposes of the Trial will comply with the principles in force to safeguard data protection and the right to confidentiality and that any persons having access to the personal data will be obligated to process the

data in accordance with the instructions given, in accordance with this article, by the data controller.

11.7. The Principal Investigator has been identified by the Entity as a person authorized for the data

processing for the purposes of Article 29 GDPR and as a designated party for the purposes of Article 2 quaterdecies of the Italian Law Decree 196/2003.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 65 a 101

11.8 The Principal Investigator shall provide clear, complete information to all patients before the Trial starts (also before the preliminary phases or screening) to all patients, regarding the nature, purpose, results, consequences, risks and methods of the processing of personal data; in particular, all patients must be informed that the national and international authorities and the Ethics Committee may, in connection with the monitoring, checking and control of the Trial, have access to the related documentation and also to the original healthcare records of the patient, and that the data may also be accessed by the Monitors

and Auditors in connection with their respective duties.

11.9. The Principal Investigator must obtain from the duly informed patient the consent document in addition to the participation to the Trial, also for the processing of data. The Institution is responsible for

keeping this document.

11.10 If either Party discovers a data protection breach, the other Party shall be informed within 48 hours

from the breach having been verified, without prejudice to such Party’s independent assessment of the

existence of the conditions and fulfilment of the obligations contained in Articles 33 and 34 GDPR.

Art. 12 – Amendments

12.1 This Agreement and its annexes/addenda together with the Protocol, form an integral part hereof,

constitute the entire agreement between the Parties.

12.2 This Agreement may only be amended/supplemented with the written consent of both Parties. Any amendments will be contained in an addendum to this Agreement and will take effect from the date of

signature, unless agreed otherwise by the Parties.

Art. 13 – Anti-corruption provisions and for the prevention of crimes

13.1. The Entity and the Sponsor will comply with the anticorruption laws applicable in Italy.

13.2 The Sponsor confirms that it has taken supervisory and control measures to ensure compliance with, and implementation of, the provisions of Italian Legislative Decree no. 231 of 8 June 2001 and, where applicable and not conflicting with laws in Italy, and its amendments and addendum. The Entity and its clinical and administrative facilities undertake to collaborate in good faith in accordance with the provisions of Italian law as mentioned above and will collaborate with the Sponsor’s personnel and management to facilitate full, accurate implementation of the resulting obligations and the

implementation of the operational procedures developed by the Sponsor for that purpose.

13.3 For the purposes of Law 190 of 6 November 2012 (“Anticorruption Act”) as amended, the Entity confirms that it has adopted the Three-Year Anti-corruption Plan, consultable at the website: xxxxx://xxx.xxx.xx/xxxxx-xxxxxxxxx-xx-xxxxxxxxxxx-xxxxx-xxxxxxxxxx-x-xxxxx-xxxxxxxxxxx

.

13.4. The Entity and the Sponsor shall immediately inform each other of any violation of this article by the

other Party, of which they become aware, and will provide full information and documents, for all the appropriate investigations.

13.5 the Sponsor may disclose the terms of this Agreement or any amendments to this Agreement for any

legitimate purpose, within the limits of the data protection laws.

13.6 The violation of any provisions of this article will constitute serious breach of this Agreement pursuant

to Article 1456 of the Italian Civil Code, if the relationship of trust between the Parties is affected.

Art. 14 – Transfer of rights, assignment of contract and subcontracting

14.1. This Agreement is fiduciary in nature and therefore the Parties may not assign or transfer this Agreement to any third party without the prior consent of the other Party. Each Party will allow the other Party to assign and/or transfer all or part of the rights and obligations received directly or indirectly

from the signing of this Agreement to a successor or to a company or organization affiliated to it , on

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 66 a 101

condition by the transferee of acceptance to all the terms and conditions herein. Any transfer of rights taking place in the absence of such conditions shall be considered null and void and shall be disregarded.

14.2 In the event of a change of name of the Entity, no amendment to this Agreement shall be necessary.

However, the Entity is required to duly inform the Sponsor of its change of name.

Art. 15 – Fiscal obligations

15.1. This Agreement is signed digitally in accordance with the applicable regulations. All the taxes and duties relating to or resulting from the stipulation of this Agreement, including the revenue stamp on the digital original as referred to in Article 2 of the table in Annex A – tariff part I of Presidential Decree

642/1972, and the registration tax, must be paid in accordance with the applicable regulations.

15.1. All the taxes and duties relating to or resulting from the stipulation of this Agreement, including the revenue stamp on the digital original as referred to in Article 2 of the table in Annex A – tariff part I of Presidential Decree 642/1972, must be paid in accordance with the applicable regulations.

In particular, the stamp duty is borne by the Sponsor.

15.2 Pursuant to Article 7 ter of Presidential Decree No. 633/1972, as amended, the contractual services will be invoiced outside the scope of VAT, due to the lack of the territoriality requirement.

Art. 16 – Governing law and forum

16.1 The governing law of this Agreement is the Italian law.

16.2. For any disputes that may arise in relation to the interpretation, application and execution of this

Agreement, without prejudice to the Parties’ commitment to make a prior attempt at out-of-court settlement the court of Firenze shall have exclusive jurisdiction.

Art. 17 – Language

17.1. In the event of any discrepancy between the English language version and the Italian version of this

Agreement, the Italian version will prevail.

Art. 18

This agreement is signed in no. 1 copy which the Parties themselves, by subscribing digitally, declare to approve in its entirety and in full.

Signed by

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 67 a 101

For and on behalf of

HONGKONG TIGERMED CO., LIMITED,

Name: Xxxxxx De Cler

Title: Head of Project Management & Solutions of EMEA – Europe Signature:

2023/12/05 | 16:33:53 CST

For the Institution

XXXXXXXXXX XXXXX

2023.12.21 11:47:27

CN=XXXXXXXXXX XXXXX C=IT

O=Regione Toscana/01386030488 2.5.4.97=VATIT-01386030488

RSA/2048 bits

The legal representative Direttore Staff Direzione Sanitaria Xxxx. Xxxxxxxxxx Xxxxx

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 68 a 101

ANNEX A – BUDGET

COSTS AND PAYMENTS

Part 1 – Fixed costs and payments per patient involved in the study

- Supply of the Trial Drug(s) and/or of any other materials required for the trial provided that there are

no extra costs for the National Health Service (diagnostics kits, medical devices, etc.).

Fixed Costs

Code	Site Costs	Budget
SC003	Study Start-Up Fee/Site Set-Up Fee	1497.00
SC008	Pharmacy: Set-Up Fee	615.00
SC009	Pharmacy: Close-Out Fee	308.00
SC023	Study Close out: including all activities related to closing out the site	543.00
SC020	Document Storage, Archiving Total Cost	494.00
SC150	Drug Destruction Fee - Per Occurrence	138.00
SC130	Re-consent, Informed consent performed again with the same patient	39.00
SC090	Log and File Serious Adverse Event (SAEs) Reports/Forms: per incident	33.00
	Total Site Costs (€)	€ 3667.00

Payment per patient involved in the study (screening visit only): € 4260.00 VAT (if applicable)

- Compensation for screening failure and unscheduled visit: calculated for each case based on the procedures performed.

- Destruction of the Trial Drug as required by art. 4.6 of the Agreement: see item in Table Fixed Costs

- Maximum payment per trial Centre for each completed patient (Payment for enrolled patient -

company overheads - all the costs incurred by the Entity for the trial): € 30327.00_ + VAT (if applicable).

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 69 a 101

Code	Procedure	Quantity	Budget	ISV	SV	C1D1	C1D15	C2D1	C2D15	C3D1	C4D1	C5D1	C6D1	C7D1	EoT	Safety FU	Pro FU	Part 2	C1D1.1	C2D1.1	C3D1.1	C4D1.1	C7D1.1	EoT.1	Safety FU.1	Pro FU.1
INCO N	Informed consent	1	40	40
INCEX	Eligibility criteria	1	37	37
T9210	Medical History with Demographics	1	72	72
99205	Physical examination	15	172		172		172	172		172	172	172	172	172	172				172	172	172	172	172	172
99211	Vital Signs	17	28		28	28	28	28	28	28	28	28	28	28	28				28	28	28	28	28	28
S0042	ECOG Score	15	18		18		18	18		18	18	18	18	18	18				18	18	18	18	18	18
84702	Serum pregnancy	5	24		24									24	24								24	24
84703	Urine pregnancy	7	17					17		17	17	17	17						17			17
85025	Hematology	16	23		23	23	23	23		23	23	23	23	23	23				23	23	23	23	23	23
T9999	Blood Chemistry	17	36		36	36	36	36	36	36	36	36	36	36	36				36	36	36	36	36	36
82550	Myocardial Enzyme Test - CK	17	7		7	7	7	7	7	7	7	7	7	7	7				7	7	7	7	7	7
82553	Myocardial Enzyme Test - CK-MB	17	19		19	19	19	19	19	19	19	19	19	19	19				19	19	19	19	19	19
84484	Myocardial Enzyme Test -	1	33		33

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 70 a 101

Code	Procedure	Quantity	Budget	ISV	SV	C1D1	C1D15	C2D1	C2D15	C3D1	C4D1	C5D1	C6D1	C7D1	EoT	Safety FU	Pro FU	Part 2	C1D1.1	C2D1.1	C3D1.1	C4D1.1	C7D1.1	EoT.1	Safety FU.1	Pro FU.1
	Cardiac Troponin I (cTnI) or Cardiac Troponin T (cTnT)
85610	Coagulation - Prothrombin time (PT)	7	9		9						9			9	9							9	9	9
T5209	Coagulation - Fibrinogen	7	20		20						20			20	20							20	20	20
INR	Coagulation - International Normalized Ratio (INR)	7	18		18						18			18	18							18	18	18
85730	Coagulation - activated partial thromboplastin time (aPTT)	7	14		14						14			14	14							14	14	14
85670	Coagulation - Thrombin time(TT)	7	27		27						27			27	27							27	27	27
81005	Urinalysis	16	7		7	7	7	7		7	7	7	7	7	7				7	7	7	7	7	7
T0060	Thyroid panel	7	73		73						73			73	73							73	73	73
T0703	Virology	1	51		51
93000	12-lead ECG: Includes tracing, interpretation and report	17	56		56	56	56	56	56	56	56	56	56	56	56				56	56	56	56	56	56

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 71 a 101

Code	Procedure	Quantity	Budget	ISV	SV	C1D1	C1D15	C2D1	C2D15	C3D1	C4D1	C5D1	C6D1	C7D1	EoT	Safety FU	Pro FU	Part 2	C1D1.1	C2D1.1	C3D1.1	C4D1.1	C7D1.1	EoT.1	Safety FU.1	Pro FU.1
78473	Echocardiograp hy/ MUGA	7	611		611						611			611	611							611	611	611
XXXX X	Adverse events	19	23	23		23	23	23	23	23	23	23	23	23	23	23			23	23	23	23	23	23	23
CONM D	Concomitant medications	19	21	21		21	21	21	21	21	21	21	21	21	21	21			21	21	21	21	21	21	21
RAND M	Randomization	1	46			46
T0299	PK Sample Collection	8	22			22	22				22			22	22							22	22	22
73222	Tumour imaging (MRI) with contrast material(s)	9	606		606						606			606	606		606					606	606	606		606
R3222	MRI Interpretation and Report	9	82		82						82			82	82		82					82	82	82		82
88399	Tissue Specimen Collection	1	774	77 4
95851	Range of motion (ROM) of affected joints (incl. report)	7	26		26						26			26	26							26	26	26
S0005	Worst Stiffness NRS and BPI Worst Pain NRS	14	14		14	14		14		14	14	14	14	14	14					14	14	14	14	14

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 72 a 101

Code	Procedure	Quantity	Budget	ISV	SV	C1D1	C1D15	C2D1	C2D15	C3D1	C4D1	C5D1	C6D1	C7D1	EoT	Safety FU	Pro FU	Part 2	C1D1.1	C2D1.1	C3D1.1	C4D1.1	C7D1.1	EoT.1	Safety FU.1	Pro FU.1
S0034	PROMIS Physical Functioning Scale	14	32		32	32		32		32	32	32	32	32	32					32	32	32	32	32
S0034	European Quality of Life Questionnaire (EuroQol) (EQ- 5D)	14	32		32	32		32		32	32	32	32	32	32					32	32	32	32	32
S0034	XXX-XXX- XXXXX	00	32		32	32	32	32	32	32	32	32	32	32	32
	Procedures Sub Total (€)			€ 96 7	€ 2070	€ 398	€ 464	€ 537	€ 222	€ 537	€ 2.045	€ 537	€ 537	€ 2.052	€ 2.052	€ 44	€ 688	€ 0	€ 427	€ 488	€ 488	€ 2.013	€ 2.020	€ 2.020	€ 44	€ 688

Sub-Total: 21330.00 euro

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 73 a 101

Code	Procedure	Quantity	Budget	ISV	SV	C1D1	C1D15	C2D1	C2D15	C3D1	C4D1	C5D1	C6D1	C7D1	EoT	Safety FU	Pro FU	Part 2	C1D1.1	C2D1.1	C3D1.1	C4D1.1	C7D1.1	EoT.1	Safety FU.1	Pro FU.1
NP00 4	Physician - Per Hour	20	84		84	168	84	84	84	84	84	84	84	84	84	42	42	42		84	84	84	84	84	42	42
NP02 2	Study Coordinator, Complex - Per Visit	20	79		79	158	79	79	79	79	79	79	79	79	79	40	40	40		79	79	79	79	79	40	40
NP00 6	Pharmacy, Simple (e.g. tablets, cream tubes) - Per Preparation (formerly Per Visit); dispense drug	10	29				29		29		29	29	29	29						29	29	29	29
NP00 7	Patient Reimbursemen t, Expenses, Patient Travel - Per Visit	22	27		27	27	27	27	27	27	27	27	27	27	27	27	27	27		27	27	27	27	27	27	27
	Non Procedures Sub Total (€)				€ 190	€ 353	€ 219	€ 190	€ 219	€ 190	€ 219	€ 219	€ 219	€ 219	€ 190	€ 109	€ 109	€ 109	€ 0	€ 219	€ 219	€ 219	€ 219	€ 190	€ 109	€ 109

SubTotal: 4147.00 euro

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 74 a 101

Invoiceable Procedure	Budget
Serum pregnancy test	24
Urine pregnancy test	17
Blood Chemistry	36
Thyroid panel	73
Myocardial Enzyme Test - CK	7
Myocardial Enzyme Test - CK-MB	19
Myocardial Enzyme Test - Cardiac Troponin I (cTnI) or Cardiac Troponin T (cTnT)	33
12-lead ECG: Includes tracing, interpretation and report	56
XXXX	000
MRI with contrast	606
Virology	51
Hematology	23
Coagulation - Prothrombin time (PT)	9
Coagulation - Thrombin time(TT)	27
Coagulation - International Normalized Ratio (INR)	18
Coagulation - Fibrinogen	20
Urinalysis	7
Tissue Specimen Collection	774
ECOG	18

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 75 a 101

Blood Draw	22
Range of motion measurements and report; each extremity or each trunk section (spine)	26
NCI-PRO-CTCAE	32
Scripps Neurological Rating Scale (SNRS) (NRS)	14
Bristol Activities of Daily Living Scale (BADLS); 20-item scale, caregiver-administered	7
Echocardiograph	388

Quantity	Budget	ISV	SV	C1D1	C1D15	C2D1	C2D15	C3D1	C4D1	C5D1	C6D1	C7D1	EoT	Safety FU	Pro FU	Part 2	C1D1.1	C2D1.1	C3D1.1	C4D1.1	C7D1.1	EoT.1	Safety FU.1	Pro FU.1
Overhead (all costs)	19 %	220	460	117	124	144	78	144	430	44	44	426	411	29	51	0	23	34	34	424	420	405	29	51
Total Cost Per Visit with Overhead( €)		1.377	2.883	734	778	900	490	900	2.694	900	900	2.668	2.572	182	948	0	769	841	841	2.656	2.630	2.534	182	948

Total Cost Per Patient (€) € 30.327

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 76 a 101

- All the reimbursable costs of the study, including those covered by the contribution per patient involved, shall not lead to any extra cost payable by the National Health Service

- The lab tests will be carried out with diagnostic kits supplied by Lab Connect and shipped to a unique

centralized Lab at Sponsor’s expenses.

Part 2 – Additional costs for instrumental tests and/or lab tests to be carried out according to the Tariff

of the Entity (or over cost on the basis of the tariff nomenclator of the Region where the Trial Center is located) in force at the time of the provision of the respective services.

No additional costs are planned.

Part 3 – Payment Allowance for patients/carers involved in the clinical trial: (if applicable)

- Reference is made to the model "Compensation for participants in the trial", included in the application dossier pursuant to Regulation (EU) no. 536/2014, to be understood as referred to in this

Agreement as an integral and substantial part.

PAYMENTS AND INVOICES

- The payment must be made within 30 days from receipt of the invoice.

- The invoices must be issued at the required six months intervals half yearly based on the amounts

accruing during the reference period and the request for invoice by the Sponsor.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 77 a 101

ANNEX B - GLOSSARY RELATING TO THE PROTECTION OF PERSONAL DATA

(Terminology referring to the GDPR - UE Reg. n. 2016/679 - ad to the Italian implementing rules)

Personal Data - any information relating to an identified, or identifiable, natural person (the “Data Subject”). An identifiable natural person is a person who can be identified directly or indirectly using an identifier such as: a name, an identification number, location data, an online identifier or one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of the individual.

Processing - any operation or set of operations which is performed on personal data or on sets of personal data, whether or not by automated means, such as collection, recording, organization, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction.

Pseudonymisation - the processing of personal data in such a manner that the personal data can no longer be attributed to a specific data subject without the use of additional information, provided that such additional information is kept separately and is subject to technical and organisational measures to ensure that the personal data are not attributed to an identified or identifiable individual.

Data Subject - the natural person to whom the personal data refer (art. 4 n.1 GDPR).

Data Controller - the natural or legal person, public authority, agency or any other Institution which, alone or jointly with others, determines the purposes and means of the processing of personal data. where the purposes and means of such processing are determined by Union or member State law, the controller or the specific criteria for its nomination may be provided for by Union or member State law (art. 4 n. 7 GDPR) .

Data Processor - a natural or legal person, public authority, agency or other body which processes personal data on behalf of the data controller.

Other Subjects processing personal data - persons authorized to process personal data under the direct authority of the Data Controller or the Data Processor (art. 28, n. 3, letter b, 29 and 32, n. 4 GDPR), including therefore the natural persons to whom the Data Controller or the Data Processor has assigned specific tasks and functions related to the processing, who operate under the Data Controller's authority and within the organizational structure, pursuant to art. 2 quaterdecies " of Legislative Decree 196/2003 as amended by Legislative Decree 101/2018.

Consent of the Data Subject - any freely given, specific, informed and unambiguous indication of the data subject's wishes by which he or she, by a statement or by a clear affirmative action, signifies agreement to the processing of personal data relating to him or her.

Personal Data Breach - any breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorized disclosure, or access to, personal data transmitted, stored or otherwise processed.

Medical Data - personal data pertaining to the physical or mental health of an individual including the provision of medical services, which may reveal information about his or her state of health.

Genetic data - personal data relating to the hereditary genetic or acquired characteristics of an individual which provides unequivocal information about the physiology or health of that individual and which results, in particular, from the testing of a biological sample from the individual in question.

Biological sample - any sample of biological material from which the characteristic genetic data of an individual can be extracted.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 78 a 101

Sponsor/Promoter - the person, company, institution or body that is responsible for starting, managing and/or funding a clinical trial.

CRO – the contractual research organisation to which the sponsor may entrust all or part of its competencies relating to clinical trials.

Monitor – the party responsible for monitoring the Trial, appointed by the Sponsor/CRO.

Auditor – the party responsible for auditing the conduct of the Trial as an integral part of quality assurance, appointed by the Sponsor/CRO.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 79 a 101

ANNEX C

STANDARD CONTRACTUAL CLAUSES

Name of the data exporting organisation: Azienda Usl Toscana Centro Address: sede legale, P.zza Santa Xxxxx Nuova, 1 – 00000 Xxxxxxx (the data export)

And

Name of the data importing organisation : Abbisko Therapeutics Co., Ltd.

Address: Xx. 0, 000 Xxxx, Xxxxx Xxxx, Xxxxx (Xxxxxxxx) Pilot Free Trade Xxxx Xxxxxxxx, Xxxxxxxx, 000000 Xxxxx

(the data importer)

each a “party”; together “the parties”,

HAVE HEREBY CONVENED regarding the following contractual clauses (”Clauses”) in order to ensure adequate safeguards with respect to the protection of the privacy and fundamental rights and freedoms of individuals for the transfer of personal data under Annex 1 by the data exporter to the data importer:

SECTION I

Clause 1

Purpose and scope

(a) The purpose of these standard contractual clauses is to ensure compliance with the requirements of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation)(1)for the transfer of personal data to a third country.

(b) The Parties:

(i) the natural or legal person(s), public authority/ies, agency/ies or other body/ies (hereinafter

‘entity/ies’) transferring the personal data, as listed in Annex I.A (hereinafter each ‘data exporter’), and

(ii) the entity/ies in a third country receiving the personal data from the data exporter, directly or

indirectly via another entity also Party to these Clauses, as listed in Annex I.A (hereinafter each ‘data importer’)

have agreed to these standard contractual clauses (hereinafter: ‘Clauses’).

(c) These Clauses apply with respect to the transfer of personal data as specified in Annex I.B.

(d) The Appendix to these Clauses containing the Annexes referred to therein forms an integral part of these Clauses.

Clause 2

Effect and invariability of the Clauses

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 80 a 101

(a) These Clauses set out appropriate safeguards, including enforceable data subject rights and effective legal remedies, pursuant to Article 46(1) and Article 46(2)(c) of Regulation (EU) 2016/679 and, with respect to data transfers from controllers to processors and/or processors to processors, standard contractual clauses pursuant to Article 28(7) of Regulation (EU) 2016/679, provided they are not modified, except to select the appropriate Module(s) or to add or update information in the Appendix. This does not prevent the Parties from including the standard contractual clauses laid down in these Clauses in a wider contract and/or to add other clauses or additional safeguards, provided that they do not contradict, directly or indirectly, these Clauses or prejudice the fundamental rights or freedoms of data subjects.

(b) These Clauses are without prejudice to obligations to which the data exporter is subject by virtue of Regulation (EU) 2016/679.

Clause 3

Third-party beneficiaries

(a) Data subjects may invoke and enforce these Clauses, as third-party beneficiaries, against the data exporter and/or data importer, with the following exceptions:

(i) Clause 1, Xxxxxx 2, Xxxxxx 3, Xxxxxx 6, Xxxxxx 7;

(ii) Clause 8 – Module One: Clause 8.5 (e) and Clause 8.9(b);

(iii) Clause 12 – Module One: Clause 12(a) and (d);

(iv) Clause 13;

(v) Clause 15.1(c), (d) and (e);

(vi) Clause 16(e);

(vii) Clause 18 –Clause 18(a) and (b); Module Four: Clause 18.

(b) Paragraph (a) is without prejudice to rights of data subjects under Regulation (EU) 2016/679.

Clause 4

Interpretation

(a) Where these Clauses use terms that are defined in Regulation (EU) 2016/679, those terms shall have the same meaning as in that Regulation.

(b) These Clauses shall be read and interpreted in the light of the provisions of Regulation (EU) 2016/679.

(c) These Clauses shall not be interpreted in a way that conflicts with rights and obligations provided for in Regulation (EU) 2016/679.

Clause 5

Hierarchy

In the event of a contradiction between these Clauses and the provisions of related agreements between the Parties existing at the time these Clauses are agreed or entered into thereafter, these Clauses shall prevail.

Clause 6

Description of the transfer(s)

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 81 a 101

The details of the transfer(s), and in particular the categories of personal data that are transferred and the purpose(s) for which they are transferred, are specified in Annex I.B.

Clause 7 – Optional

Docking clause

(a) An entity that is not a Party to these Clauses may, with the agreement of the Parties, accede to these Clauses at any time, either as a data exporter or as a data importer, by completing the Appendix and signing Annex I.A.

(b) Once it has completed the Appendix and signed Annex I.A, the acceding entity shall become a Party to these Clauses and have the rights and obligations of a data exporter or data importer in accordance with its designation in Annex I.A.

(c) The acceding entity shall have no rights or obligations arising under these Clauses from the period prior to becoming a Party.

SECTION II – OBLIGATIONS OF THE PARTIES

Clause 8

Data protection safeguards

The data exporter warrants that it has used reasonable efforts to determine that the data importer is able, through the implementation of appropriate technical and organisational measures, to satisfy its obligations under these Clauses.

MODULE ONE: Transfer controller to controller

8.1 Purpose limitation

The data importer shall process the personal data only for the specific purpose(s) of the transfer, as set out in Annex I.B. It may only process the personal data for another purpose:

(i) where it has obtained the data subject’s prior consent;

(ii) where necessary for the establishment, exercise or defense of legal claims in the context of specific administrative, regulatory or judicial proceedings; or

(iii) where necessary in order to protect the vital interests of the data subject or of another natural person.

8.2 Transparency

(a) In order to enable data subjects to effectively exercise their rights pursuant to Clause 10, the data importer shall inform them, either directly or through the data exporter:

(i) of its identity and contact details;

(ii) of the categories of personal data processed; (iii)of the right to obtain a copy of these Clauses;

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 82 a 101

(iv) where it intends to onward transfer the personal data to any third party/ies, of the recipient or categories of recipients (as appropriate with a view to providing meaningful information), the purpose of such onward transfer and the ground therefore pursuant to Clause 8.7.

(b) Paragraph (a) shall not apply where the data subject already has the information, including when such information has already been provided by the data exporter, or providing the information proves impossible or would involve a disproportionate effort for the data importer. In the latter case, the data importer shall, to the extent possible, make the information publicly available.

(c) On request, the Parties shall make a copy of these Clauses, including the Appendix as completed by them, available to the data subject free of charge. To the extent necessary to protect business secrets or other confidential information, including personal data, the Parties may redact part of the text of the Appendix prior to sharing a copy, but shall provide a meaningful summary where the data subject would otherwise not be able to understand its content or exercise his/her rights. On request, the Parties shall provide the data subject with the reasons for the redactions, to the extent possible without revealing the redacted information.

(d) Paragraphs (a) to (c) are without prejudice to the obligations of the data exporter under Articles 13 and 14 of Regulation (EU) 2016/679.

8.3 Accuracy and data minimization

(a) Each Party shall ensure that the personal data is accurate and, where necessary, kept up to date. The data importer shall take every reasonable step to ensure that personal data that is inaccurate, having regard to the purpose(s) of processing, is erased or rectified without delay.

(b) If one of the Parties becomes aware that the personal data it has transferred or received is inaccurate, or has become outdated, it shall inform the other Party without undue delay.

(c) The data importer shall ensure that the personal data is adequate, relevant and limited to what is necessary in relation to the purpose(s) of processing.

8.4 Storage limitation

The data importer shall retain the personal data for no longer than necessary for the purpose(s) for which it is processed. It shall put in place appropriate technical or organizational measures to ensure compliance with this obligation, including erasure or anonymization of the data and all back-ups at the end of the retention period.

8.5 Security of processing

(a) The data importer and, during transmission, also the data exporter shall implement appropriate technical and organizational measures to ensure the security of the personal data, including protection against a breach of security leading to accidental or unlawful destruction, loss, alteration, unauthorized disclosure or access (hereinafter ‘personal data breach’). In assessing the appropriate level of security, they shall take due account of the state of the art, the costs of implementation, the nature, scope, context and purpose(s) of processing and the risks involved in the processing for the data subject. The Parties shall in particular consider having recourse to encryption or pseudonymization, including during transmission, where the purpose of processing can be fulfilled in that manner.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 83 a 101

(b) The Parties have agreed on the technical and organizational measures set out in Xxxxx XX. The data importer shall carry out regular checks to ensure that these measures continue to provide an appropriate level of security.

(c) The data importer shall ensure that persons authorised to process the personal data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality.

(d) In the event of a personal data breach concerning personal data processed by the data importer under these Clauses, the data importer shall take appropriate measures to address the personal data breach, including measures to mitigate its possible adverse effects.

(e) In case of a personal data breach that is likely to result in a risk to the rights and freedoms of natural persons, the data importer shall without undue delay notify both the data exporter and the competent supervisory authority pursuant to Clause 13. Such notification shall contain i) a description of the nature of the breach (including, where possible, categories and approximate number of data subjects and personal data records concerned), ii) its likely consequences, iii) the measures taken or proposed to address the breach, and iv) the details of a contact point from whom more information can be obtained. To the extent it is not possible for the data importer to provide all the information at the same time, it may do so in phases without undue further delay.

(f) In case of a personal data breach that is likely to result in a high risk to the rights and freedoms of natural persons, the data importer shall also notify without undue delay the data subjects concerned of the personal data breach and its nature, if necessary in cooperation with the data exporter, together with the information referred to in paragraph (e), points ii) to iv), unless the data importer has implemented measures to significantly reduce the risk to the rights or freedoms of natural persons, or notification would involve disproportionate efforts. In the latter case, the data importer shall instead issue a public communication or take a similar measure to inform the public of the personal data breach.

(g) The data importer shall document all relevant facts relating to the personal data breach, including its effects and any remedial action taken, and keep a record thereof.

8.6 Sensitive data

Where the transfer involves personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, genetic data, or biometric data for the purpose of uniquely identifying a natural person, data concerning health or a person’s sex life or sexual orientation, or data relating to criminal convictions or offences (hereinafter ‘sensitive data’), the data importer shall apply specific restrictions and/or additional safeguards adapted to the specific nature of the data and the risks involved. This may include restricting the personnel permitted to access the personal data, additional security measures (such as pseudonymization) and/or additional restrictions with respect to further disclosure.

This requires anonymising the data in such a way that the person is no longer identifiable by anyone, in line with recital 26 of Regulation (EU) 2016/679, and that this process is irreversible.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 84 a 101

8.7 Onward transfers

The data importer shall not disclose the personal data to a third party located outside the European Union (in the same country as the data importer or in another third country, hereinafter ‘onward

transfer’) unless the third party is or agrees to be bound by these Clauses, under the appropriate

Module. Otherwise, an onward transfer by the data importer may only take place if:

(i) it is to a country benefitting from an adequacy decision pursuant to Article 45 of Regulation (EU) 2016/679 that covers the onward transfer;

(ii) the third party otherwise ensures appropriate safeguards pursuant to Articles 46 or 47 of Regulation (EU) 2016/679 with respect to the processing in question;

(iii) the third party enters into a binding instrument with the data importer ensuring the same level of data protection as under these Clauses, and the data importer provides a copy of these safeguards to the data exporter;

(iv) it is necessary for the establishment, exercise or defense of legal claims in the context of specific administrative, regulatory or judicial proceedings;

(v) it is necessary in order to protect the vital interests of the data subject or of another natural person; or

(vi) where none of the other conditions apply, the data importer has obtained the explicit consent of the data subject for an onward transfer in a specific situation, after having informed him/her of its purpose(s), the identity of the recipient and the possible risks of such transfer to him/her due to the lack of appropriate data protection safeguards. In this case, the data importer shall inform the data exporter and, at the request of the latter, shall transmit to it a copy of the information provided to the data subject.

Any onward transfer is subject to compliance by the data importer with all the other safeguards under these Clauses, in particular purpose limitation.

8.8 Processing under the authority of the data importer

The data importer shall ensure that any person acting under its authority, including a processor, processes the data only on its instructions.

8.9 Documentation and compliance

(a) Each Party shall be able to demonstrate compliance with its obligations under these Clauses. In particular, the data importer shall keep appropriate documentation of the processing activities carried out under its responsibility.

(b) The data importer shall make such documentation available to the competent supervisory authority on request.

Clause 9

Use of sub-processors (not applicable)

Clause 10

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 85 a 101

Data subject rights

MODULE ONE: Transfer controller to controller

(a) The data importer, where relevant with the assistance of the data exporter, shall deal with any enquiries and requests it receives from a data subject relating to the processing of his/her personal data and the exercise of his/her rights under these Clauses without undue delay and at the latest within one month of the receipt of the enquiry or request. The data importer shall take appropriate measures to facilitate such enquiries, requests and the exercise of data subject rights. Any information provided to the data subject shall be in an intelligible and easily accessible form, using clear and plain language.

(b) In particular, upon request by the data subject the data importer shall, free of charge:

(i) provide confirmation to the data subject as to whether personal data concerning him/her is being processed and, where this is the case, a copy of the data relating to him/her and the information in Annex I; if personal data has been or will be onward transferred, provide information on recipients or categories of recipients (as appropriate with a view to providing meaningful information) to which the personal data has been or will be onward transferred, the purpose of such onward transfers and their ground pursuant to Clause 8.7; and provide information on the right to lodge a complaint with a supervisory authority in accordance with Clause 12(c)(i);

(ii) rectify inaccurate or incomplete data concerning the data subject;

(iii)erase personal data concerning the data subject if such data is being or has been processed in violation of any of these Clauses ensuring third-party beneficiary rights, or if the data subject withdraws the consent on which the processing is based.

(c) Where the data importer processes the personal data for direct marketing purposes, it shall cease processing for such purposes if the data subject objects to it.

(d) (d) The data importer shall not make a decision based solely on the automated processing of the

personal data transferred (hereinafter ‘automated decision’), which would produce legal effects concerning the data subject or similarly significantly affect him/her, unless with the explicit consent of the data subject or if authorised to do so under the laws of the country of destination, provided that such laws lays down suitable measures to safeguard the data subject’s rights and legitimate interests. In this case, the data importer shall, where necessary in cooperation with the data exporter:

(i) inform the data subject about the envisaged automated decision, the envisaged consequences and the logic involved; and

(ii)implement suitable safeguards, at least by enabling the data subject to contest the decision, express his/her point of view and obtain review by a human being.

(e) Where requests from a data subject are excessive, in particular because of their repetitive character, the data importer may either charge a reasonable fee taking into account the administrative costs of granting the request or refuse to act on the request.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 86 a 101

(f) The data importer may refuse a data subject’s request if such refusal is allowed under the laws of the country of destination and is necessary and proportionate in a democratic society to protect one of the objectives listed in Article 23(1) of Regulation (EU) 2016/679.

(g) If the data importer intends to refuse a data subject’s request, it shall inform the data subject of the reasons for the refusal and the possibility of lodging a complaint with the competent supervisory authority and/or seeking judicial redress.

Clause 11

Redress

(a) The data importer shall inform data subjects in a transparent and easily accessible format, through individual notice or on its website, of a contact point authorised to handle complaints. It shall deal promptly with any complaints it receives from a data subject.

MODULE ONE: Transfer controller to controller

(b) In case of a dispute between a data subject and one of the Parties as regards compliance with these Clauses, that Party shall use its best efforts to resolve the issue amicably in a timely fashion. The Parties shall keep each other informed about such disputes and, where appropriate, cooperate in resolving them.

(c) Where the data subject invokes a third-party beneficiary right pursuant to Clause 3, the data importer shall accept the decision of the data subject to:

(i) lodge a complaint with the supervisory authority in the Member State of his/her habitual residence or place of work, or the competent supervisory authority pursuant to Clause 13;

(ii)refer the dispute to the competent courts within the meaning of Clause 18.

(d) The Parties accept that the data subject may be represented by a not-for-profit body, organisation or association under the conditions set out in Article 80(1) of Regulation (EU) 2016/679.

(e) The data importer shall abide by a decision that is binding under the applicable EU or Member State law.

(f) The data importer agrees that the choice made by the data subject will not prejudice his/her substantive and procedural rights to seek remedies in accordance with applicable laws.

Clause 12

Liability

MODULE ONE: Transfer controller to controller

(a) Each Party shall be liable to the other Party/ies for any damages it causes the other Party/ies by any breach of these Clauses.

(b) Each Party shall be liable to the data subject, and the data subject shall be entitled to receive compensation, for any material or non-material damages that the Party causes the data subject by breaching the third-party beneficiary rights under these Clauses. This is without prejudice to the liability of the data exporter under Regulation (EU) 2016/679.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 87 a 101

(c) Where more than one Party is responsible for any damage caused to the data subject as a result of a breach of these Clauses, all responsible Parties shall be jointly and severally liable and the data subject is entitled to bring an action in court against any of these Parties.

(d) The Parties agree that if one Party is held liable under paragraph (c), it shall be entitled to claim back from the other Party/ies that part of the compensation corresponding to its/their responsibility for the damage.

(e) The data importer may not invoke the conduct of a processor or sub-processor to avoid its own liability.

Clause 13

Supervision

MODULE ONE: Transfer controller to controller

(a) [Where the data exporter is established in an EU Member State:] The supervisory authority with responsibility for ensuring compliance by the data exporter with Regulation (EU) 2016/679 as regards the data transfer, as indicated in Annex I.C, shall act as competent supervisory authority.

(b) The data importer agrees to submit itself to the jurisdiction of and cooperate with the competent supervisory authority in any procedures aimed at ensuring compliance with these Clauses. In particular, the data importer agrees to respond to enquiries, submit to audits and comply with the measures adopted by the supervisory authority, including remedial and compensatory measures. It shall provide the supervisory authority with written confirmation that the necessary actions have been taken.

SECTION III – LOCAL LAWS AND OBLIGATIONS IN CASE OF ACCESS BY PUBLIC AUTHORITIES

Clause 14

Local laws and practices affecting compliance with the Clauses MODULE ONE: Transfer controller to controller

(a) The Parties warrant that they have no reason to believe that the laws and practices in the third country of destination applicable to the processing of the personal data by the data importer, including any requirements to disclose personal data or measures authorising access by public authorities, prevent the data importer from fulfilling its obligations under these Clauses. This is based on the understanding that laws and practices that respect the essence of the fundamental rights and freedoms and do not exceed what is necessary and proportionate in a democratic society to safeguard one of the objectives listed in Article 23(1) of Regulation (EU) 2016/679, are not in contradiction with these Clauses.

(b) The Parties declare that in providing the warranty in paragraph (a), they have taken due account in particular of the following elements:

(i) the specific circumstances of the transfer, including the length of the processing chain, the number of actors involved and the transmission channels used; intended onward transfers; the type of

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 88 a 101

recipient; the purpose of processing; the categories and format of the transferred personal data; the economic sector in which the transfer occurs; the storage location of the data transferred;

(ii) the laws and practices of the third country of destination– including those requiring the disclosure of data to public authorities or authorizing access by such authorities – relevant in light of the specific circumstances of the transfer, and the applicable limitations and safeguards ;

(iii)any relevant contractual, technical or organizational safeguards put in place to supplement the safeguards under these Clauses, including measures applied during transmission and to the processing of the personal data in the country of destination.

(c) The data importer warrants that, in carrying out the assessment under paragraph (b), it has made its best efforts to provide the data exporter with relevant information and agrees that it will continue to cooperate with the data exporter in ensuring compliance with these Clauses.

(d) The Parties agree to document the assessment under paragraph (b) and make it available to the competent supervisory authority on request.

(e) The data importer agrees to notify the data exporter promptly if, after having agreed to these Clauses and for the duration of the contract, it has reason to believe that it is or has become subject to laws or practices not in line with the requirements under paragraph (a), including following a change in the laws of the third country or a measure (such as a disclosure request) indicating an application of such laws in practice that is not in line with the requirements in paragraph (a).

(f) Following a notification pursuant to paragraph (e), or if the data exporter otherwise has reason to believe that the data importer can no longer fulfil its obligations under these Clauses, the data exporter shall promptly identify appropriate measures (e.g. technical or organisational measures to ensure security and confidentiality) to be adopted by the data exporter and/or data importer to address the situation. The data exporter shall suspend the data transfer if it considers that no appropriate safeguards for such transfer can be ensured, or if instructed by the competent supervisory authority to do so. In this case, the data exporter shall be entitled to terminate the contract, insofar as it concerns the processing of personal data under these Clauses. If the contract involves more than two Parties, the data exporter may exercise this right to terminate only with respect to the relevant Party, unless the Parties have agreed otherwise. Where the contract is terminated pursuant to this Clause, Clause 16(d) and (e) shall apply.

Clause 15

Obligations of the data importer in case of access by public authorities MODULE ONE: Transfer controller to controller

15.1 Notification

(a)The data importer agrees to notify the data exporter and, where possible, the data subject promptly (if necessary with the help of the data exporter) if it:

(i) receives a legally binding request from a public authority, including judicial authorities, under the laws of the country of destination for the disclosure of personal data transferred pursuant to these

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 89 a 101

Clauses; such notification shall include information about the personal data requested, the requesting authority, the legal basis for the request and the response provided; or

(ii)becomes aware of any direct access by public authorities to personal data transferred pursuant to these Clauses in accordance with the laws of the country of destination; such notification shall include all information available to the importer.

(b)If the data importer is prohibited from notifying the data exporter and/or the data subject under the laws of the country of destination, the data importer agrees to use its best efforts to obtain a waiver of the prohibition, with a view to communicating as much information as possible, as soon as possible. The data importer agrees to document its best efforts in order to be able to demonstrate them on request of the data exporter.

(c) Where permissible under the laws of the country of destination, the data importer agrees to provide the data exporter, at regular intervals for the duration of the contract, with as much relevant information as possible on the requests received (in particular, number of requests, type of data requested, requesting authority/ies, whether requests have been challenged and the outcome of such challenges, etc.).

(d)The data importer agrees to preserve the information pursuant to paragraphs (a) to (c) for the duration of the contract and make it available to the competent supervisory authority on request.

(e)Paragraphs (a) to (c) are without prejudice to the obligation of the data importer pursuant to Clause 14(e) and Clause 16 to inform the data exporter promptly where it is unable to comply with these Clauses.

15.2 Review of legality and data minimization

(a)The data importer agrees to review the legality of the request for disclosure, in particular whether it remains within the powers granted to the requesting public authority, and to challenge the request if, after careful assessment, it concludes that there are reasonable grounds to consider that the request is unlawful under the laws of the country of destination, applicable obligations under international law and principles of international comity. The data importer shall, under the same conditions, pursue possibilities of appeal. When challenging a request, the data importer shall seek interim measures with a view to suspending the effects of the request until the competent judicial authority has decided on its merits. It shall not disclose the personal data requested until required to do so under the applicable procedural rules. These requirements are without prejudice to the obligations of the data importer under Clause 14(e).

(b)The data importer agrees to document its legal assessment and any challenge to the request for disclosure and, to the extent permissible under the laws of the country of destination, make the documentation available to the data exporter. It shall also make it available to the competent supervisory authority on request.

(c) The data importer agrees to provide the minimum amount of information permissible when responding to a request for disclosure, based on a reasonable interpretation of the request.

SECTION IV – FINAL PROVISIONS

Clause 16

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 90 a 101

Non-compliance with the Clauses and termination

(a)The data importer shall promptly inform the data exporter if it is unable to comply with these Clauses, for whatever reason.

(b)In the event that the data importer is in breach of these Clauses or unable to comply with these Clauses, the data exporter shall suspend the transfer of personal data to the data importer until compliance is again ensured or the contract is terminated. This is without prejudice to Clause 14(f).

(c) （c）The data exporter shall be entitled to terminate the contract, insofar as it concerns the processing of personal data under these Clauses, where:

(i) the data exporter has suspended the transfer of personal data to the data importer pursuant to paragraph (b) and compliance with these Clauses is not restored within a reasonable time and in any event within one month of suspension;

(ii) the data importer is in substantial or persistent breach of these Clauses; or

(iii)the data importer fails to comply with a binding decision of a competent court or supervisory authority regarding its obligations under these Clauses.

In these cases, it shall inform the competent supervisory authority of such non-compliance. Where the contract involves more than two Parties, the data exporter may exercise this right to termination only with respect to the relevant Party, unless the Parties have agreed otherwise.

(d)Personal data that has been transferred prior to the termination of the contract pursuant to paragraph (c) shall at the choice of the data exporter immediately be returned to the data exporter or deleted in its entirety. The same shall apply to any copies of the data. The data importer shall certify the deletion of the data to the data exporter. Until the data is deleted or returned, the data importer shall continue to ensure compliance with these Clauses. In case of local laws applicable to the data importer that prohibit the return or deletion of the transferred personal data, the data importer warrants that it will continue to ensure compliance with these Clauses and will only process the data to the extent and for as long as required under that local law.

(e)Either Party may revoke its agreement to be bound by these Clauses where (i) the European Commission adopts a decision pursuant to Article 45(3) of Regulation (EU) 2016/679 that covers the transfer of personal data to which these Clauses apply; or (ii) Regulation (EU) 2016/679 becomes part of the legal framework of the country to which the personal data is transferred. This is without prejudice to other obligations applying to the processing in question under Regulation (EU) 2016/679.

Clause 17

Governing law

MODULE ONE: Transfer controller to controller

These Clauses shall be governed by the law of one of the EU Member States, provided such law allows for third-party beneficiary rights. The Parties agree that this shall be the law of Italian Republic.

Clause 18

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 91 a 101

Choice of forum and jurisdiction

MODULE ONE: Transfer controller to controller

(a)Any dispute arising from these Clauses shall be resolved by the courts of an EU Member State. (b)The Parties agree that those shall be the courts of Italian Republic.

(c) A data subject may also bring legal proceedings against the data exporter and/or data importer before the courts of the Member State in which he/she has his/her habitual residence.

(d)The Parties agree to submit themselves to the jurisdiction of such courts.

EXPLANATORY

NOTE APPENDIX

It must be possible to clearly distinguish the information applicable to each transfer or category of transfers and, in this regard, to determine the respective role(s) of the Parties as data exporter(s) and/or data importer(s). This does not necessarily require completing and signing separate appendices for each transfer/category of transfers and/or contractual relationship, where this transparency can achieved through one appendix. However, where necessary to ensure sufficient clarity, separate appendices should be used.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 92 a 101

ANNEX I

A. LIST OF PARTIES

MODULE ONE: Transfer controller to controller Data exporter(s):

[the date shall be same with the effective date of the CTA]

Role (controller/processor): Data Controller

Name: Azienda Usl Toscana Centro

Address: Xxxxxx Xxxxx Xxxxx Xxxxx, 0 – 00000 Xxxxxxx Responsible for privacy legislation Lawyer Xxxxxxx Xxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxx@xxxxxxxxx.xxxxxxx.xx

Activities relevant to the data transferred under these Clauses:

Collection of personal data, including sensitive personal data of study subjects; Transferring personal data to data importer; Archiving of the clinical trial master file (TMF); Creating and updating the medical files of study subjects; Disclosing clinical trial data to the national competent authorities in the course of and inspection;

Signature and date:

XXXXXXXXXX XXXXX

2023.12.21 11:48:04

CN=XXXXXXXXXX XXXXX C=IT

O=Regione Toscana/01386030488 2.5.4.97=VATIT-01386030488

RSA/2048 bits

1.

Data importer(s):

Name: Abbisko Therapeutics Co., Ltd

Address: Xx.0, 000 Xxxx, Xxxxx Xxxx, Xxxxx (Xxxxxxxx) Xxxxx Xxxx Xxxxx Xxxx Xxxxxxxx, Xxxxxxxx, 000000 Xxxxx

Contact person’s name, position and contact details: Xxxxx Xxxxxxxxxx, DPO, xxx.xxxxxxxxx@xxxx.xx Activities relevant to the data transferred under these Clauses:

• Receipt of Investigator, Study Personnel, and Study Subject Personal Data (pseudonymized) from data importer

• Storage of Personal Data

• Publications and presentations of Study results

• Filing market authorization application(s)

• Filing patent application(s)

• Submissions to regulatory authorities and ECs/IRBs overseeing this and other studies

• Safety and efficacy analysis and reporting

• Disclosing clinical trial data to the national competent authorities in the course of an inspection

1.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 93 a 101

Role (controller/processor): Data Controller

2023/12/06 | 23:52:09 CST

• Litigation related to the study drug or clinical trial

• Processing insurance claims

Signature and date:

B. DESCRIPTION OF TRANSFER

MODULE ONE: Transfer controller to controller

Categories of data subjects whose personal data is transferred

study subjects, investigator, study personnel

Categories of personal data transferred

(i) For investigator and study personnel only: 1. Basic identification and contact data (e.g., name, address, email, telephone, date of birth, etc.); 2. Curriculum Vitae, license information, financial disclosures, details on the involvement in the Study.

(ii) For study subjects only: 1. Indirect identifiers: gender, month and year of birth (and/or age) and the personal identification number assigned to the study subjects; 2. Sensitive data, as described below.

Sensitive data transferred (if applicable) and applied restrictions or safeguards that fully take into consideration the nature of the data and the risks involved, such as for instance strict purpose limitation, access restrictions (including access only for staff having followed specialized training), keeping a record of access to the data, restrictions for onward transfers or additional security measures.

For Study Subject, only, the following categories of sensitive data are transferred:

(i) Medical/Health data, including medical history, examination notes and test results from the Study (e.g., blood type, vital signs, urine test, x-rays, physical exams, known conditions, medical survey or questionnaire results, and other Study-specific procedures required by the Study Protocol). This includes fluid and tissue samples from the Study, which are processed and/or stored outside of the Study Subjects’ home country;

(ii) Other sensitive data (e.g., demographic data, such as race or ethnic origin); and/or

(iii) Any biometric or limited genetic data required by the Study Protocol. (Sponsor does not perform full genome DNA sequencing.)

Data minimization standards are enforced with respect to the collection of sensitive Personal Data, and sensitive Personal Data is Processed only for the purposes outlined in this Annex I.B. Once collected, sensitive Personal Data is transferred through secure channels, and access to sensitive Personal Data is

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 94 a 101

restricted to persons and entities who are under robust confidentiality obligations and who undergo appropriate training.

The frequency of the transfer (e.g. whether the data is transferred on a one-off or continuous basis).

Investigator and Study Personnel Personal Data is transferred on a one-off basis. Study Subject Personal Data is transferred on a continuous basis.

Nature of the processing

Personal Data is subject to Processing activities associated with the whole lifecycle of the Study protocol, starting from the conduct of the clinical trial through filing marketing authorization application(s), including the following:

(i) For Investigator and Study Personnel:

Investigator and Study Personnel data is subject to Processing activities such as transfer, review, database storage, submission to regulatory authorities, and other legitimate business reasons.

(ii) For Study Subjects only:

Personal Data, including sensitive data, is subject to Processing activities, including, but not limited to, collection, pseudonymization, transfer, statistical analysis, aggregation, storage, and use, in accordance with the Study protocol, ICF, and legal and regulatory requirements, for:

1. submissions to regulatory authorities and ECs/IRBs overseeing this and other studies;

2. marketing authorization applications;

3. publications and presentations;

4. patent applications;

5. safety and efficacy analysis and reporting;

6. review or defense of any subject injury claims;

7. additional research;

8. archiving of the clinical trial master file;

9. creating and updating the medical files of Study Subjects; and/or

10. disclosure of clinical trial data to the national competent authorities in the course of an inspection

Purpose(s) of the data transfer and further processing

The transfer and further processing of Personal Data is made in the interest of protection of public health, to ensure the quality and safety of the Study drug and the reliability of the data, and for the Controllers to pursue scientific research in the conduct of the clinical Study. Persona Data is also

transferred and further processed to comply with Sponsor’s legal and regulatory requirements, including safety reporting, archiving, disclosure to competent authorities, to carry out the Study and other research purposes, in accordance with the ICF, and to fulfil its legitimate interests.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 95 a 101

The period for which the personal data will be retained, or, if that is not possible, the criteria used to determine that period

Samples collected during the Study will be maintained for 25 years after the Study.

Personal Data will be stored for the duration of the Study and afterward, for as long as necessary to fulfil the purposes for which it was collected and for as long as Sponsor is required to maintain it for reporting, record-keeping, or other legal purposes.

For transfers to (sub-) processors, also specify subject matter, nature and duration of the processing

Personal Data, including sensitive data, may, as needed, also be subject to the Processing activities

described in this Annex I.B by other Processors working at Sponsor’s direction, such as authorized vendors, consultants, or contractors of Sponsor (e.g., contract research organizations and laboratories); by Sponsor affiliated companies or representatives; and/or by Sponsor collaborators working to develop the Study drug. Personal Data may be Processed by such Sub-Processors for the duration of the Study and afterward, for as long as necessary to fulfil the purposes for which it was collected and for as long as Sponsor is required to maintain it for reporting, record-keeping, or other legal purposes.

C. COMPETENT SUPERVISORY AUTHORITY MODULE ONE: Transfer controller to controller

Identify the competent supervisory authority/ies in accordance with Clause 13

Competent data protection authority governing the location of the Institution: xxxxxxxxxxxxxxxxxxxxxxxxxx@xxxxxxxxx.xxxxxxx.xx.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 96 a 101

ANNEX II

TECHNICAL AND ORGANIZATIONAL MEASURES INCLUDING TECHNICAL AND ORGANIZATIONAL MEASURES TO ENSURE THE SECURITY OF THE DATA

MODULE ONE: Transfer controller to controller

Data importer Data Importer maintains and enforces various policies, standards and processes designed to secure personal data and other data to which Data Importer employees are provided access. The following is a description of the minimum technical and organizational security measures to be implemented by Data Importer:
1. Measures of pseudonymization and encryption of personal data	Pseudonymization and Anonymization Where personal data of clinical trial subjects transferred from data exporter to Sponsor, a method for anonymization or pseudonymization should be defined and in place. This must ensure that any information which could be used to identify a subject is fully eliminated or replaced with a pseudonym, the value which does not allow the individual to be directly identified. Encryption of Personal Data: Cryptographic Controls and Key Management Depending on the sensitivity and volume of Personal data, it shall only be stored or distributed via media or telecommunications networks after it has been encrypted or other mechanism is used which guarantees that the information is not intelligible or is not manipulated by third parties. Sensitive Personal Data will always require encryption. • A policy on the use of cryptographic controls for protection of information shall be developed and implemented. • Key management procedures shall be in place to support the organization's use of cryptographic techniques throughout their lifecycle. The procedure shall address the key exchange between third parties and the organization, in addition to defining roles and responsibilities of those involved in the administration of the security established.
2. Measures for ensuring ongoing confidentiality, integrity, availability and resilience of processing systems and services	System acquisition and Change Management A formal Systems Development Lifecycle (SDLC) methodology, policy or similar procedural document shall be developed. The methodology shall detail the different phases of SDLC such as initiation, planning, design, development, testing, implementation, maintenance and disposal.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 97 a 101

	• A formal change management/change control procedure must be in place requiring: o Testing of software and infrastructure prior to implementation and after changes must be in place and documented. o All changes must be tested before being released into the production environment. o Records or documentation of the changes must be retained. o Application, system, and data backup procedures must be implemented prior to upgrades or maintenance. Records must be maintained of all releases which are promoted into the production environment. Archives of all released versions, including documentation, must be maintained.
3. Measures for ensuring the ability to restore the availability and access to personal data in a timely manner in the event of a physical or technical incident	Business Continuity and Disater Recovery A Business Continuity Management (BCM) and Disaster Recovery Plan Guideline (DRP) have been established within Sponsor in order to improve the company’s risk prevention capability, establish an effective response to various unplanned business disruptions, reduce negative impacts, ensure the continuous operation of the company’s business, and achieve sustainable development.
4. Processes for regularly testing, assessing and evaluating the effectiveness of technical and organizational measures in order to ensure the security of the processing	Testing, Assessing and Evaluating Effectiveness of Measures Information security controls shall be identified and implemented for network infrastructure to protect information in applications and systems. • Networks shall be protected from malicious traffic on other networks or sub-networks (internal or external) by one or more firewalls. • Intrusion detection mechanisms (Intrusion Detection System) shall be employed for critical business applications, systems and networks to identify predetermined and new types of attacks. Network intrusion detection sensors shall be protected against attacks. • Regular penetration tests must be executed against web-based applications and network perimeters. • Processes shall be documented and implemented to protect against malware which include periodic scans, real time scans, malware prevention, detection and corrective measures.

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 98 a 101

5. Measures for user identification and authorization

User access: user identification and authorization A formal access control policy/procedure shall be established, documented, reviewed, and communicated to all parties based on the organization’s business and security requirements. The access control policy shall include, but not be limited to, deactivation of default accounts, requirement of documentation of operational procedures on identification and authentication, and restricted use of privileged user accounts access to the information systems. • User accounts should only be provided for Personnel that must access Systems in order to deliver the Services or relevant work activities. • Notification must be provided if circumstances change such that person/users no longer requires access to Systems. • Personnel access to systems/applications only in accordance with Agreed Policies, Procedures, SOP’s and Security Standards. • All access to Privileged Access or Administrative Accounts shall be: o kept to the minimum necessary for effective operation of the Services; and o reviewed regularly • An up-to-date list of all Personnel who have been given access to Systems and the Services is maintained together with all user account details. • Any default IDs and passwords for systems and/or network accounts must be changed during installation where feasible (e.g. network operating system, hubs, switches, routers, etc.) and the same not shared. Policy, procedures and/or standards to control mobile computing and teleworking activities must be defined, documented and communicated.

6. Measures for the protection of data during transmission

Protection of data during transmission Documented physical, technical, administrative and environmental control requirements must be sustained during the transport of any data transmission or physical media movement. • An equivalent level of protection must be maintained as those available during storage of data. • Policies and controls that address risks during data exchange between parties, ensuring that data is only available on a need-to-know

AIFA National template 10-11-2022 Clinical Trial Agreement (CTA) PI Baldi V. 0.5 20 Sep 2023

Pag. 99 a 101

	basis and not publicly accessible during or after exchange and that such procedures are documented.
7. Measures for the protection of data during storage	Protection of data during storage Information security controls shall be identified and implemented for network infrastructure to protect information in applications and systems • Networks shall be protected from malicious traffic on other networks or sub-networks (internal or external) by one or more firewalls. • A procedure for maintaining up to date anti-virus software on workstations, laptops, and mission critical systems within the organization must be in place o A procedure for maintaining current security patch levels and other security software updates on applications and networks must be in place. o Up to date active firewall protection for the network perimeter and a dedicated firewall-protected connection to the internet must be in place o Two-factor authentication such as tokens or biometric authentication must be implemented if mobile or remote access to data is available. Intrusion detection mechanisms (Host-based Intrusion Detection System (HIDS) and Network-based Intrusion Detection System (NIDS)) shall be employed for critical business applications, systems and networks to identify predetermined and new types of attacks.
8. Measures for ensuring physical security of locations at which personal data are processed	Physical security of locations at which personal data are processed General Security perimeters (barriers such as walls, card-controlled entry xxxxx or manned reception desks) shall be designed to protect areas in which information processing facilities are located. Specific additional security practices (such as specific card-controlled entry xxxxx, records of entry, or manned reception desks) shall be designed to protect areas in which contain highly confidential information.
9. Measures for ensuring events logging	Incident Response Procedure An incident would receive immediate attention from all relevant personnel. Once identified and validated, incidents will be reported according to the security and privacy policies.