INTEGRITETSSKYDDSPOLICY

INTEGRITETSSKYDDSPOLICY Xbrane Bipharma AB Xbrane Bipharma värnar m sina anställdas, kunders, leverantörer, aktieägare ch andra intressenters persnliga integritet. Därför är det viktigt att de persnliga uppgifter sm lämnas till Blaget hanteras på ett öppet sätt med intressenternas integritet i fkus. I denna integritetsskyddsplicy, sm gäller för alla sm på någt sätt är i kntakt med Xbrane Bipharma sm anställd, arbetssökande, kund, leverantör, aktieägare eller annan intressent eller på annat sätt har kntakt med Blaget, redgörs hur ch varför Blaget behandlar persnuppgifter ch vilka rättigheter den enskilda individen har enligt gällande persnuppgiftslagstiftning. Om inte annat specifikt anges är det Xbrane Bipharma AB, rg. nr 556749-2375, Banvaktsvägen 22, 171 48 Slna, Sverige ( Xbrane, Blaget ) sm har ansvaret för behandlingen av persnuppgifter. I Xbranekncernen ingår Primm Pharma s.r.l, rg. nr: MI2075109, med säte i Milan, Italien. 1. Vad är en persnuppgift? En persnuppgift är all infrmatin sm direkt, eller indirekt, kan hänföras till en fysisk levande persn. Exempel på detta är alltifrån persnnummer till e-pstadresser, men även krypterade uppgifter kan utgöra persnuppgifter m de kan kpplas till fysiska persner. 2. Vad är en "behandling" av en persnuppgift? Begreppet "behandling" är brett ch mfattar det mesta man kan göra med en persnuppgift. Allt från insamling ch lagring till ändring, användning eller radering utgör "behandling". 3. Vilka typer av persnuppgifter kmmer Blaget i kntakt med? Xbrane är ett biteknikblag vars kunder ch partners utgörs av andra läkemedelsblag vilket innebär att blaget primärt har B2B-relatiner. De persnuppgifter sm uppkmmer därifrån är identitetsuppgifter så sm namn samt kntaktuppgifter så sm e-pstadress ch telefnnr för kntaktpersnerna på dessa blag. Inga känsliga persnuppgifter hanteras därmed i Blagets kundrelatiner. De persnuppgifter sm Blaget primärt hanterar rör anställda, styrelseledamöter, persner i ledande befattning ch deras närstående, de sm valt att prenumerera på

Blagets nyhetsbrev samt aktieägare eller ptentiella investerare sm valt att anmäla sig till blagsstämmr eller investerarträffar. 4. När samlar Xbrane in persnuppgifter? Uppgifter sm persnen själv lämnar till Blaget. Xbrane samlar in ch behandlar persnuppgifter sm persner lämnar till Blaget, t.ex. m du är anställd i Blaget, ingår i Styrelsen eller är närstående till anställda i ledande befattning, m du söker en tjänst i blaget, har insiderinfrmatin rörande Blaget ch därmed registreras i en lggbk, registrerar dig till vårt nyhetsbrev, eller är kntaktpersn för ett företag sm är Blagets kund, leverantör eller dylikt. Uppgifter från andra källr Blaget samlar in persnuppgifter på närstående till ledande befattningshavare då detta är ett krav enligt MAR (EU-förrdningen m marknadsmissbruk). Dessa uppgifter lämnad då från den persn i ledande befattning sm innehar närståenderelatinen. Blaget insamlar även uppgifter m de 10 största aktieägarna i Blaget utifrån aktiebken. Sådan infrmatin innefattar namn, adress ch antal aktier. Detta gör vi för att kunna presentera ägarlista i enlighet börsens regelverk på webbsida ch i finansiella rapprter. 5. Varför behandlar vi dina persnuppgifter? För att Blaget ska kunna fullfölja sina åtaganden sm arbetsgivare, kund, leverantör mm måste Blaget behandla vissa persnuppgifter. Blaget behandlar persnuppgifter i huvudsak för att: Administrera löner ch andra ersättningar till anställda ch styrelseledamöter Infrmera ch kmmunicera med aktieägare Hantera kundreskntra ch leverantörsreskntra. Följa de regelverk sm framförallt är relaterade till att Blaget är ett publikt börsnterat blag. Se ytterligare infrmatin under punkt 8. 6. Vad har Blaget för laglig grund för att behandla persnuppgifter? För att få behandla persnuppgifter krävs det att det finns en laglig grund för detta. Blaget behandlar persnuppgifter på följande grunder; Då persnuppgiftsbehandlingen är nödvändig för att Blaget ska kunna fullgöra ett anställningsavtal t.ex. för att administrera lönehanteringen men även persnlig utbildnings- ch utvecklingsplan för anställda.

Då persnuppgiftsbehandlingen är nödvändig för att fullgöra en rättslig förpliktelse t.ex. bkföringsskyldighet eller regelverk ch lagar för börsnterade blag. Då Blaget har ett berättigat intresse av att behandla persnuppgifter t.ex. för att kunna skicka ut nyhetsbrev till aktieägare ch andra intressenter Då persnuppgiftsbehandlingen är tillåten på grund av att den berörda har lämnat sitt samtycke till den. Se ytterligare infrmatin under punkt 8. 7. Hur länge sparas persnuppgifter? Persnuppgifter behandlas endast så länge sm det är nödvändigt för de ändamål de samlats in för - exempelvis så länge det krävs för att Blaget ska kunna fullfölja de skyldigheter sm Blaget har med anledning av ett avtal med mtparten. Blaget kan kmma att spara uppgifterna längre m det krävs enligt lag eller för att bevaka dess rättsliga intressen, t.ex. m det pågår en juridisk prcess. Persnuppgifter raderas eller annymiseras när de inte längre är relevanta för de ändamål sm de har samlats in för. Se ytterligare infrmatin under punkt 8. 8. Sammanställning av Blagets persnuppgiftsbehandling För vilka ändamål behandlar Blaget persnuppgifter? Administrera nyhetsbrev Vilken laglig grund har Blaget för behandlingen? Berättigat intresse Vilka kategrier av persnuppgifter behandlas? namn Kntaktuppgifter: e-pst ch telefnnr. Hur länge sparas uppgifter? Fram tills att persnen avregistrerar sig från nyhetsbrevet Administrera löner ch andra ersättningar samt kntaktuppgifter för anställda Fullföljande av avtal ch möjliggöra kntakt ch kmmunikatin namn, persnnr. Kntaktuppgifter: e-pst ch telefnnr. Känsliga persnuppgifter: lön ch andra ersättningar, bankknt, skattetabell, frånvar pga sjukdm, vård av sjukt barn eller föräldraledighet. Fram till 2 år efter avslutad anställning förutm infrmatins sm berörs av bkföringslagen ch därmed ska lagras i 7 år.

För vilka ändamål behandlar Blaget persnuppgifter? Administrera incitamentsprgram ch utbildningsplan för anställda Bilder tagna av anställda ch eventuellt partners i arbetsmiljö i syfte att dkumentera företagshistria samt för att användas i redaktinella syften samt för marknadsföring av Blaget. Kntaktuppgift till närmast anhörig till anställd utifall någn lycka eller dylikt inträffar den anställda Presentatin av Styrelse, ledning ch advisry bard på Blagets webbsida, finansiella rapprter, presentatiner mm Vilken laglig grund har Blaget för behandlingen? Fullföljande av avtal samt berättigat intresse Berättigat intresse. Berättigat intresse. Nasdaq OMX infrmatinskrav på emittenter ch berättigat intresse. Vilka kategrier av persnuppgifter behandlas? namn Känsliga persnuppgifter: lön ch andra ersättningar, aktieinnehav i Blagets aktier ch finansiella instrument, utfall av prestatinsmål kpplade till incitamentsprgram, CV ch utbildningsplan. I förekmmande fall namn, titel, företag Bild namn Kntaktuppgifter: telefnnr. namn, födelseår Funktin/Titel eller närståenderelatin Bild Krtfattad CV/Bigrafi Hur länge sparas uppgifter? Fram till 2 år efter avslutad anställning förutm infrmatins sm berörs av bkföringslagen ch därmed ska lagras i 7 år. mtiverat utifrån ett företagshistriskt perspektiv samt så länge sm bilderna är aktuella för att använda i syfte att marknadsföra Blaget. Fram till att anställning uppför mtiverat utifrån ett företagshistriskt perspektiv

För vilka ändamål behandlar Blaget persnuppgifter? Fullfölja MAR:s (EUförrdningen m marknadsmissbruk) krav m att upprätta ch hålla uppdaterad en förteckning på ledande befattningshavare samt deras närstående. Lggböcker över persner sm besitter insiderinfrmatin rörande Blaget Genmföra ch hantera rekryteringsprcess er ch inkmmande jbbansökningar. Aktiebk sm utgör underlag för vilka aktieägare Blaget har. Vilken laglig grund har Blaget för behandlingen? MAR:s (EUförrdningen m marknadsmissbruk) MAR:s (EUförrdningen m marknadsmissbruk) Berättigat intresse av att hantera rekryteringsprcesse n. Aktieblagslagen, Nasdaq OMX infrmatinskrav på emittenter Vilka kategrier av persnuppgifter behandlas? namn, persnnr Kntaktuppgifter: telefnnr., adress, e- mail. Titel eller närståenderelatin namn, persnnr. Kntaktuppgifter: adress, e-pst ch telefnnr. Blag sm persnen ev representerar samt dess adress, funktin/titel. Namn, adress, telefnnummer samt e-pst Övriga uppgifter sm lämnas i ansökan exempelvis titel, erfarenhet etc. Identitetsuppgifter t.ex. namn på aktieägare. Kntaktuppgifter: adress Antal aktier ch röster Hur länge sparas uppgifter? Ingen tidsgräns Ingen tidsgräns Så länge rekryteringsprces sen för tjänsten pågår ch så länge sm krävs enligt gällande preskriptinskrav i diskrimineringslag en. För det fallet Blaget vill spara uppgifter för framtida rekryteringar kmmer Blaget att begära samtycke. Ingen tidsgräns

För vilka ändamål behandlar Blaget persnuppgifter? Anmälningar till Blagsstämmr ch investerarträffar Hantera befintliga ch ptentiella kund- ch partnerrelatiner Hantera befintliga ch ptentiella leverantörer Vilken laglig grund har Blaget för behandlingen? Aktieblagslagen, Berättigat intresse Berättigat intresse. Berättigat intresse. Vilka kategrier av persnuppgifter behandlas? Identitetsuppgifter t.ex. namn. Kntaktuppgifter t.ex. e-pst, telefnnr., adress Antal aktier ch röster Ev matrestriktiner m detta anges för beställning av förtäring. Identitetsuppgifter t.ex. namn på kntaktpersner på blagen. Kntaktuppgifter, såsm telefnnummer ch e-pst till dessa kntaktpersner Identitetsuppgifter t.ex. namn på kntaktpersner på blagen. Kntaktuppgifter, såsm telefnnummer ch e-pst till dessa kntaktpersner Hur länge sparas uppgifter? nödvändigt för att hantera förfrågan. nödvändigt för att hantera kund- ch partnerrelatinen. nödvändigt för att hantera Blagets förfrågan på mtpartens tjänster ch varr. 9. Prfilering Persner sm berör av Blagets persnuppgiftsbehandling kan närsmhelst invända mt behandling av persnuppgifter genm prfilering. Detta gör du genm att kntakta ss på dataskydd@xbrane.cm 10. Vilka kan vi kmma att dela dina uppgifter med? Blaget kan kmma att dela persnuppgifter med dtterblaget Primm Pharma rg. nr: MI2075109. Detta skulle då exempelvis kunna gälla kntaktuppgifter till kntaktpersner på blag sm Xbrane har eller kan kmma att inleda kund- ch

partnerrelatiner med eller använda sig av sm leverantörer. Det kan även ske för uppgifter m anställda relaterat till incitamentsprgram sm hanteras på kncernnivå. Infrmatinsutbyte mellan kncernblagen kan även ske i rekryteringsprcesser. Blaget sm mttar uppgifterna är persnuppgiftsbiträden för den behandling persnuppgifter det utför för dessa ändamål. Blaget kan kmma att dela persnuppgifter med företag ch leverantörer sm tillhandahåller tjänster för ss t.ex. för att hantera utskick eller tillhandahålla ITsystem. Dessa företag får endast behandla persnuppgifterna enligt våra instruktiner ch får inte använda uppgifterna för egna ändamål. Blaget kan ckså kmma att dela persnuppgifter m det följer av lag eller myndighetsföreskrift, exempelvis m Blaget är tvungna att lämna ut uppgifter till Skatteverket av bkföringsskäl eller till Försäkringskassan. Blaget kan även kmma att dela uppgifterna med Blagets revisr. 11. Var behandlas uppgifter? Sm utgångspunkt behandlas de lagrade persnuppgifterna inm EU. För det fall att Blaget använder ss sig av tjänsteleverantörer sm överför persnuppgifter till länder utanför EU ch EES kmmer Blaget att vidta åtgärder för att skydda persnuppgifterna i enlighet med tillämpliga lagkrav, exempelvis genm att kräva garantier m att leverantören skyddar uppgifterna i enlighet med gällande dataskyddsregler. Om persner sm berörs av Blagets persnuppgiftsbehandling vill veta mer m vilka skyddsåtgärder vi vidtagit kan de kntakta Blaget. 12. Rättigheter för persner var persnuppgifter lagras av Blaget Rättelse ch tillgång till persnuppgifter Sm registrerad har den berörda persnen rätt att när sm helst begära rättelse av felaktiga uppgifter eller ändra de persnuppgifter sm de lämnat. Den berörda persnen har ckså rätt att ta del av vilka persnuppgifter Blaget har registrerade m denne. Detta görs genm att begära ett så kallat registerutdrag. Återkalla samtycke med framtida verkan Behandlar Blaget den berörda persnens persnuppgifter på den rättsliga grunden samtycke har den berörda persnens rätt att när sm helst återkalla sitt frtsatta samtycke avseende framtida behandling.

Mtsätta sig behandling Den berörda persnen har rätt att mtsätta sig den behandling sm Blaget utför med stöd av en intresseavvägning. Den berörda persnen kan när sm helst avsäga sig kmmunikatinsutskick (detta rör persner sm registrerat sig för nyhetsbrev). Avregistrera kan göras genm att klicka på en länk i det aktuella utskicket eller kntakta Blaget (se kntaktuppgifter nedan). Radering Under vissa mständigheter har den berörda persnen rätt att få sina persnuppgifter raderade. Detta gäller dck inte m Blaget exempelvis är skyldiga enligt lag att bevara uppgifterna. Begränsning av behandling Den berörda parten kan även ha rätt att begära att behandlingen av sina persnuppgifter begränsas. Om den berörda persnen begär att behandlingen av sina uppgifter ska begränsas kan det dck medföra att Blaget inte kan uppfylla våra eventuella skyldigheter gentemt persnen under den tid behandlingen begränsats. Ett sådant exempel skulle kunna vara m en prenumerant på nyhetsbrevet endast vill erhålla viss typ av utskick. Dataprtabilitet För det fall att den berörda parten vill flytta sina uppgifter från Blaget har den även rätt att få en kpia på de persnuppgifter sm rör denne samlade i ett strukturerat, maskinläsbart frmat (rätt till dataprtabilitet). Denna rätt mfattar endast uppgifter sm persnen själv har delat med Blaget. 13. Klagmål avseende vår behandling av dina persnuppgifter Skulle någn vara missnöjd med Blagets sätt att behandla dennes persnuppgifter hänvisar Blaget i första hand till dataskydd@xbrane.cm. Om persnen inte är nöjd med Blagets sätt att hantera dennes klagmål på kan de framföra sitt klagmål till behörig tillsynsmyndighet, för närvarande Datainspektinen. 14. Kntaktuppgifter till persnuppgiftsansvarig Martin Åmark, VD, Xbrane Bipharma AB, rg. n. 556749-2375, Banvaktsvägen 22, 171 48 Slna, Tel: 076-034 67 33, är persnuppgiftsansvarig ch ansvarar därmed för Xbrane Bipharmas behandling av persnuppgifter. Vid frågr m dataskydd eller ang att utnyttja rättigheten enligt van nås Blaget lättast på: dataskydd@xbrane.cm

Ändringar i integritetsskyddsplicyn Blaget förbehåller sig rätten att göra ändringar i sin integritetsplicy. Den senaste versinen återfinns på Blagets webbsida. Vid uppdateringar sm är av avgörande betydelse för Blaget behandling av persnuppgifter (exempelvis ändring av angivna ändamål) kmmer detta att kmmuniceras till berörda parter.