Корпоративни правила за потребителя на PayPal

Целта на групата на PayPal е да прилага единни, адекватни и глобални стандарти за защита на данните и поверителността при обработването на всички потребителски лични данни в цялата група на PayPal.  Настоящите Корпоративни правила на Потребителя се прилагат за всички Лични данни на Потребителите:

• прехвърлен от член на група от ЕИП (като администратор) към член на група извън ЕИП (като администратор или обработващ лични данни); както и
• прехвърлени по-нататък от получател член на Групата извън ЕИП съгласно настоящите Корпоративни правила за потребителя на друг член на Групата извън ЕИП (като Администратор или Обработващ лични данни).

Потребителите в глобален мащаб дават своите лични данни на членовете на групата с цел използване на услугите, които се предлагат от групата.  Повечето потребителски лични данни се събират и съхраняват в САЩ.  Глобалната дейност на PayPal изисква потребителските лични данни да бъдат споделяни с други субекти на PayPal в САЩ и по целия свят, където PayPal в момента има или възнамерява да има присъствие.

PayPal се ангажира да защитава по адекватен начин информацията на потребителя, независимо от това, къде се съхранява тя, както и да осигури подходяща защита на потребителските лични данни, когато те се прехвърлят извън ЕИЗ.

Списък на членовете на групата, които са обект на тези корпоративни правила за потребителите, е посочен в приложение I. Служителите, намиращи се в юрисдикциите, изброени в приложение II, могат да имат достъп до личните данни на потребителите. Тези списъци могат да се променят с разширяването на бизнеса на компанията.

Материалният обхват на тези правила е посочен в определенията и разделите на настоящите правила, като например в раздел 12 (Лични данни на потребителите и видове субекти на данни), раздел 2.1 за видовете обработка, т.е. целите, за които се обработват личните данни на потребителите, а списък на държавите е на разположение в приложение II.

Корпоративните правила на потребителя стават правно обвързващи чрез споразумение ("IGA") между PayPal (Europe) S.à r.l. Cie, S.C.A. ("Водещ член на групата") и други членове на групата PayPal.  IGA изисква от членовете на групата да спазват корпоративните правила за потребителя. Членовете на групата изискват от служителите си да спазват корпоративните правила за потребителя при обработването на личните данни на потребителя.

Бизнес ръководителите и висшето ръководство на групата на PayPal са отговорни за спазването на тези корпоративни правила за потребителя, включително да гарантират, че служителите са осведомени и спазват тези корпоративни правила за потребителя.

Потенциалният клиент за поверителност за съответствие управлява програмата за поверителност на PayPal. Той/тя има висша длъжност в рамките на PayPal Holdings, Inc. и докладва директно на главното длъжностно лице по съответствието или на висшия изпълнителен директор, който отговаря за спазването на правилата за съответствие на PayPal.  Ръководителят по въпросите на поверителността на съответствието наблюдава екипа на PayPal Global Privacy Compliance и взаимодейства с други вътрешни организации или екипи, като например операции, информационна сигурност, съответствие, риск и вътрешен одит, за да гарантира съгласувани комуникации, практики и политики за поверителност в PayPal Group в световен мащаб. Глобалният екип за спазване на поверителността на PayPal разработва и координира изпълнението на своята стратегия за съответствие в рамките на групата на PayPal и потвърждава оперативното съответствие.  Глобалният екип за спазване на поверителността на PayPal има преки и непреки представители в цялата група на PayPal, които, наред с други неща, помагат да се гарантира спазването на корпоративните правила за потребителя и приложимите закони за защита на данните.

Ръководителят за правна поверителност наблюдава правния екип на PayPal Global Privacy и докладва директно на главния юрисконсулт или най-висшия висш ръководител, ръководил правната функция в PayPal. Ръководителят на правната поверителност определя задълженията на компанията съгласно приложимите закони за защита на данните и настоящите корпоративни правила на потребителите. Ръководителят за правна поверителност и екипът на PayPal Global Privacy Legal работят в тясна координация с ръководителя за поверителност на съответствието и екипа за поверителност на PayPal Global Compliance и взаимодействат с други вътрешни организации и екипи, като например правни, оперативни, информационни и рискови въпроси, за да предоставят правни съвети и да тълкуват правните и регулаторни последици върху развиващите се въпроси на поверителността в PayPal Group в световен мащаб.

Колективно, екипът на PayPal Global Privacy Compliance Team и PayPal Global Privacy Legal Team формират PayPal Global Privacy Team.

Европейското длъжностно лице за защита на данните, което се намира в Люксембург, се назначава от и докладва на ръководството на PayPal (Europe) S.à r.l. et Cie, S.C.A.. Европейското длъжностно лице по защита на данните действа като основно лице за контакт на органите за защита на данните в ЕИП и не изпълнява задачи, които биха могли да доведат до конфликт на интереси. Европейското длъжностно лице по защита на данните има, наред с другото, следните задължения: да информира и съветва членовете на групата и техните служители, които обработват лични данни, за техните задължения съгласно законодателството за защита на личните данни, за да гарантира спазването на настоящите корпоративни правила за потребителите; да работи с екипа на PayPal Global Privacy за наблюдение на спазването на законодателството в областта на неприкосновеността на личния живот и свързаните с него политики на членовете на групата; и при поискване да предоставя правни съвети на членовете на групата по отношение на оценките на въздействието върху защитата на данните и тяхното изпълнение. Европейското длъжностно лице по защита на данните докладва на най-високото управленско равнище и може да информира висшето управленско равнище, ако възникнат въпроси или проблеми при изпълнението на неговите задължения.

Членовете на групата спазват следните принципи за обработване на лични данни на потребителя.

2.1 Ограничения на целта

Личните данни на потребителя се обработват само за конкретни, изрични и законни цели.  По-специално личните данни на потребителя могат да бъдат обработвани за:

• комуникират с Потребителите във връзка с услугите
• предлагане, администриране и улесняване на предоставянето на Услуги по искане на Потребителите, включително откриване на сметка и администриране на плащанията на Потребителите;
• подобряване на Услугите и разработване на нови Услуги;
• разрешаване на спорове, управление на съдебни спорове, отстраняване на проблеми и предоставяне на обслужване на клиентите, включително за анализ на данни, тестване, изследвания и статистически цели;
• извършване на управление на риска;
• обработва сделки и събира дължими такси, включително доказва, че сделките са изпълнени;
• проверява кредитоспособността и платежоспособността;
• измерване на интереса на потребителите и обратна връзка и мнение относно услугите и информиране на потребителите за онлайн и офлайн оферти, услуги и актуализации;
• персонализиране на опита на потребителите;
• откриване и защита срещу грешки, измами и друга престъпна дейност, включително потвърждаване на самоличността на Потребителя и информация за контакт;
• изпълнение на правни, договорни или регулаторни задължения на PayPal Group;
• прилагане на правилата и условията на Услугата и както е описано по друг начин на Потребителите по време на събирането и в политиката за поверителност на Услугата;
• защита на сигурността, целостта и наличността на Услугите и мрежата на PayPal Group;
• защита на законните права и интереси на PayPal Group, включително, но не само, установяване, упражняване или защита срещу правни искове или процедури за събиране;
• да прецени кои платежни опции и услуги да предложи на Потребителите, например чрез извършване на вътрешни и външни кредитни оценки; както и
• спазване на вътрешните PayPal процедури.

Обработката на лични данни на потребителите за цели, различни от горепосочените цели, подлежи на предварително одобрение от екипа на PayPal Global Privacy Legal.  Когато съществуват някакви съмнения, членовете на групата ще се консултират с глобалния правен екип относно поверителността на PayPal.

Личните данни на потребителите няма да бъдат обработвани по-нататък за вторична цел по начин, който е несъвместим с горепосочените цели, освен ако няма правно основание за това съгласно приложимото законодателство на члена на групата в ЕИП, отговорен за събирането и/или прехвърлянето на личните данни на потребителя (т.е. дружеството износител).   

2.2 Минимизиране на данните, точност и ограничение на съхранението

Личните данни на потребителя са:

• точни и при необходимост актуализирани;
• Адекватно, релевантно и ограничено до необходимото във връзка с целите, за които се обработва;
•  Съхранява се за не повече от необходимото за постигане на целите, за които е бил събран или допълнително обработен; както и
• Изтрити, изтрити, унищожени или анонимизирани в съответствие с приложимите политики на PayPal, когато вече не са необходими за целите, за които са били обработени, освен ако няма правно основание за по-нататъшна обработка или задържане, изисквано от приложимото законодателство или приложимите PayPal политики.

2.3 Правни основания за обработване и добросъвестност

1. Правно основание за обработването на лични данни на потребителите

Членовете на групата ще гарантират, че потребителските лични данни се обработват справедливо и законосъобразно и по-специално на базата на поне едно от следните правни основания:

• Недвусмислено, свободно дадено, конкретно и информирано съгласие на Потребителя;
• обработване, необходимо за изпълнението на договор, по който потребителят е страна, или за да се предприемат стъпки по заявка на потребителя преди сключването на договор;
• обработване, необходимо за спазване на законово задължение, субект на което са членовете на групата;
• Обработване, необходимо за защита на жизненоважните интереси на Потребителя или на друго физическо лице;
• обработване, необходимо за изпълнението на задача, извършвана в интересна обществото, или при упражняване на официална власт, която е дадена на членовете на групата или на трета страна, пред което се разкриват данните; или
• обработване, необходимо за целите на законните интереси, преследвани от члена на групата или от третата страна или страни, пред която/които се разкриват данните, освен когато тези интереси не са отменени от интересите на основните права и свободи на потребителя.

2. Правно основание за обработването на специална категория лични данни на потребителите

Когато се изисква събиране на лични данни от специална категория или когато потребителите доброволно предоставят такава информация, членовете на групата гарантират, че специалните лични данни на потребителите се обработват само въз основа на поне едно от следните основания:

• изричното съгласие на потребителя;
• обработване, необходимо за защита на жизнените интереси на потребителя или на друго лице, когато потребителят е физически или юридически неспособен да даде своето съгласие;
• обработването е свързано с лични данни на потребителя, които очевидно са направени публично достояние от потребителя; или
• Обработване, необходимо за установяването, упражняването или защитата на правни искове или когато съдилищата действат в качеството си на съдебни органи.

3. Правно основание за обработването, включващо автоматично вземане на решения

Когато даден потребител може да бъде обект на решение, основаващо се единствено на автоматизирано обработване, включително профилиране, което води до правни или значителни последици ("автоматизирано решение"), членовете на групата гарантират, че автоматизираното решение:

• е необходимо за сключване или изпълнение на договор между Потребителя и Член на Групата;
• е разрешено от правото на ЕС или на държавата-членка, на което се подчинява членът на групата, и което също така предвижда подходящи мерки за защита на правата и свободите на потребителя и законните му интереси; или
• се основава на изричното съгласие на Потребителя.

Освен това, поне в първия и третия случай по-горе, членът на групата трябва да осигури подходящи мерки за защита на правата и свободите на потребителя и законните интереси, като например да предостави на потребителя възможност да има представител за поддръжка на клиенти, който да прегледа решението индивидуално и да позволи на потребителя да предостави своята гледна точка. Представителят на екипа за поддръжка на клиенти трябва да отнесе въпроса до длъжностното лице за защита на данните на ЕС, в случай че потребителят продължи да не се съгласява с автоматизирано решение. Когато е уместно, ще бъде направена консултация с Ръководителя за правна защита на личните данни и ще бъде уведомен Ръководителят за спазване на поверителността.

2.4 Прозрачност

Когато събират лични данни на потребителя, членовете на групата ще уведомят потребителите за:

• самоличността и данните за контакт на члена на групата, отговорен за първоначалното събиране и обработка;
• Координатите за връзка с Европейското длъжностно лице по защита на данните. Съответните подробности са: Европейският служител по защита на данните (DPO) PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg или Online.
• Предвидените цели на Обработването, както и правното основание за Обработването;
• Когато обработването се основава на законни интереси, законните интереси, преследвани от члена на групата или от трета страна
• Получателите или категориите получатели (включително обработващи) на личните данни на потребителя;
• Когато е приложимо, фактът, че членът на групата възнамерява да прехвърли личните данни на потребителя в трета държава или международна организация и наличието или липсата на решение за адекватност от страна на Европейската комисия, или позоваване на подходящи или подходящи гаранции (включително настоящите корпоративни правила за потребителите), когато се разчита на тях и средствата за получаване на копие от тях или когато те са били предоставени;
• Периодът, за който ще се съхраняват личните данни на Потребителя или, ако това не е възможно, критериите, използвани за определяне на този период;
• Съществуването на права на потребителя, включително правото да се поиска от члена на групата достъп до, коригиране или изтриване на лични данни на потребителя или ограничаване на обработката на потребителя или да се противопостави на обработката, както и правото на преносимост на данните;
• Когато обработването се основава на съгласие, съществуването на право да се оттегли съгласието по всяко време, без да се засяга законосъобразността на обработката въз основа на съгласие преди неговото оттегляне;
• Право на подаване на жалба до орган за защита на данните;
• Когато предоставянето на лични данни на потребителя е законово или договорно изискване, или изискване, необходимо за сключване на договор, както и дали отговорите на въпросите са задължителни или доброволни, както и възможните последици от липсата на отговор; както и
• В случай на автоматизирани решения, смислена информация за използваната логика, както и значението и предвидените последици от такава обработка за потребителя.

Членовете на групата могат да предоставят информацията в политиката за поверителност на услугата, която е достъпна чрез връзка и/или се показва на видно място на всеки уеб сайт или приложение, вкл. по време на регистрацията.  Задължението за информиране на потребителите не се прилага, ако потребителите вече са запознати с информацията.  

Когато предоставянето на информация се окаже невъзможно или би довело до непропорционални усилия, членовете на групата могат да се въздържат от предоставянето на информацията.  Това е приложимо само за лични данни на потребителя, които не са получени директно от потребителя. 

При изключителни обстоятелства предоставянето на конкретна информация може да бъде отложено или пропуснато, например в контекста на разследвания за неправомерно поведение или за спазване на приложимите закони, или когато предоставянето на информацията може да застраши целостта на разследването.

2.5 Отчетност,  поверителност и сигурност

1. Отчетност

Всеки член на групата, действащ като администратор на данни, носи отговорност и е в състояние да докаже спазването на Корпоративните правила на потребителите.

За да се подобри съответствието и когато е необходимо, оценки на въздействието върху защитата на данните се извършват за операции по обработване, които има вероятност да доведат до висок риск за правата и свободите на физическите лица. Когато оценката на въздействието върху защитата на данните, както е посочено в Регламент (ЕС) 2016/679, показва, че обработването би довело до висок риск при липсата на мерки, предприети от члена на групата за намаляване на риска, ще бъде проведена консултация с компетентния орган за защита на данните, преди обработването ще бъде проведена консултация.

Прилагат се подходящи технически и организационни мерки, които са предназначени за прилагане на принципите за защита на данните и за улесняване на спазването на изискванията, установени от Корпоративните правила на потребителя на практика (защита на данните на етапа на проектирането и по подразбиране).

2. Конфиденциалност и сигурност

Членовете на групата използват физически, технически и организационни контроли за сигурност, които са пропорционални на количеството и чувствителността на потребителските лични данни, за да не се допусне неразрешено обработване, включително, но не само, неразрешен достъп до личните данни, придобиването, използването, унищожаването или увреждането на личните данни на потребителя. Членовете на групата използват криптиране, защитни стени, контрол на достъпа, стандарти и други процедури за защита на личните данни на потребителите от неоторизиран достъп.  Физическият и логическият достъп до файлове с електронни и материални копия е допълнително ограничен въз основа на отговорностите на длъжността и бизнес нуждите.

3. Нарушение на сигурността на личните данни

При откриване на нарушение на сигурността на личните данни съгласно определението в член 4, параграф 12, член 33, параграф 1 и член 34, параграф 1 от Регламент (ЕС) 2016/679 на GDPR и член 33.1, засегнатият член на групата уведомява без ненужно забавяне водещия член на групата, Европейското длъжностно лице по защита на данните и други заинтересовани страни съгласно приложимите вътрешни политики. Когато има вероятност нарушението на сигурността на личните данни да породи висок риск за правата и свободите на физическите лица, членът на групата и водещият член на групата, като се консултират с Европейското длъжностно лице по защита на данните, информират засегнатите субекти на данни и Органа за защита на данните, както е приложимо. Нарушенията на сигурността на личните данни се документират, за да се запишат i) фактите, свързани с нарушението на сигурността на личните данни, ii) неговите последици и iii) предприетите коригиращи действия са изброени. Тази документация се предоставя на компетентния орган за защита на данните при поискване от негова страна.

2.6 Избори и права на потребителя

Потребителите могат да упражняват следните права:

• Потребителите могат да имат право на достъп и корекция за повечето свързани с тях потребителски лични данни, които се съхраняват от членовете на групата чрез, като използват съответния онлайн инструмент или процеса на самообслужване, които са им предоставени чрез уеб сайта или приложението на услугата.
• Във всички случаи потребителите имат право да подадат заявка за достъп на субект на данни, за да прегледат или получават копие от своите потребителски лични данни, които не са достъпни чрез уеб сайта или приложението на услугата. Потребителите трябва да се свързват с отдела за поддръжка на клиенти чрез инструкциите, които са им предоставени чрез уеб сайта или приложението на услугата.
• Потребителите също така могат да поискат коригирането на техните данни, ако те са непълни или неточни. Членовете на групата ще спазват такива заявки и ще информират потребителите, когато техните данни са коригирани. Членовете на групата ще уведомят третите страни, на които данните на Потребителя са били разкрити, за всяка корекция, освен ако това се окаже невъзможно или изисква непропорционални усилия.
• Потребителите могат да упражнят правото си да получат преглед от човек на всяко автоматизирано решение, взето от член на групата в съответствие с раздел 2.3 (c).
• Потребителите могат да възразят срещу обработването на личните данни на техните потребители. Членовете на групата ще се съобразим с тези искания, освен ако задържането на Лични данни на потребителя не се изисква от приложимото законодателство или да се PayPal групата срещу правни претенции. Потребителите ще бъдат информирани за резултата от своето искане и мерките, предприети от членовете на групата.
• Освен това потребителите могат да поискат техните акаунти да бъдат закрити, като изпълнят инструкциите, предоставени чрез уеб сайта или приложението на услугата. Те могат също така да упражняват правата си на ограничаване на обработката на личните данни на потребителите или изтриване на личните данни на потребителите във връзка с такова закриване на профила. Членовете на групата ще премахнат или направят анонимна информацията на потребителя в дадена услуга възможно най-скоро, въз основа на дейността на акаунта.  В някои случаи членовете на групата могат да забавят закриването на даден акаунт или да запазят личните данни на потребителя, за да проведат разследване или когато това се изисква от приложимото законодателство. Членовете на групата също така могат да запазят потребителска информация от закрити акаунти за откриване и предотвратяване на измами, събиране на дължими такси, разрешаване на спорове, отстраняване на проблеми, съдействие при разследвания, управление на риск, прилагане на правилата и условията за дадена услуга, спазване на законовите или подзаконови изисквания и предприемане на други действия, разрешени съгласно приложимото законодателство. Данните ще се съхраняват във форма, който позволява идентифицирането на субектите на данните, за не по-дълго от нужното за целите, за които са събрани или за които те се обработват, и ще бъдат заличени, след като основната причина за съхранението им е била адресирана или решена.
• С изключение на тези потребители, които са избрали да не получават определени съобщения, членовете на групата могат да използват лични данни на потребителя, за да насочват комуникациите към потребителите въз основа на интересите си съгласно приложимото законодателство.  На потребителите, които не желаят да получават маркетингови съобщения от групата на PayPal, ще бъдат предложени лесно достъпни средства, за да се противопоставят на по-нататъшната реклама, например в настройките на акаунта или като следват указанията, предоставени в имейл или от връзка в съобщението.

Във всички случаи потребителите могат да упражняват горните права, като се свържат с отдела за поддръжка на клиенти. Когато самоличността на потребителя е трудна за проверка, членовете на групата могат да поискат от потребителя да представи допълнително доказателство за идентификация. Членовете на групата ще спазват заявките във времевите рамки, предвидени от приложимото законодателство, освен когато приложимото законодателство предвижда изключение от това задължение.

2.7 Разкриване и прехвърляне на лични данни

Членовете на групата могат да споделят потребителските лични данни по обичайния начин и обхват на дейността с други членове на групата по целия свят за целите, посочени в Раздел 2.1.

1. Разкриване на информация и предаване на външни публични органи

В съответствие с приложимите закони, договори или приложими международни конвенции, членовете на групата могат да споделят лични данни с правоприлагащи и регулаторни органи, когато е необходимо в едно демократично общество, за да се защитят националната сигурност, отбраната, обществената сигурност, превенцията, разследването, разкриването и наказателното преследване на престъпления, и по-специално да се спазят санкциите, предвидени в международните и/или националните инструменти, изискванията за данъчно отчитане или изискванията за докладване за борба с прането на пари.

Когато член на група, която не е член на ЕС, има основания да смята, че приложимото към него законодателство възпрепятства това образувание да изпълнява задълженията си съгласно Корпоративните правила на потребителя, със значителен ефект върху гаранциите, предоставени от Правилата, членът на групата извън ЕС (освен ако не е забранено) незабавно ще информира водещия член на групата и/или Европейското длъжностно лице по защита на данните. Това включва, ако:

1. получава правно обвързващо искане от публичен орган извън ЕС за разкриване на лични данни на потребители, прехвърлени съгласно настоящите Корпоративни правила за потребителите, в който случай членът на групата извън ЕС (освен ако не е забранено) ще предостави на водещия член на групата и/или на европейското длъжностно лице по защита на данните информация за исканите лични данни на потребителя, на запитващия публичен орган извън ЕС, правното основание за искането и предоставения отговор;
2. узнае за всеки пряк достъп на публични органи извън ЕС до личните данни на потребителите, прехвърлени съгласно корпоративните правила на потребителя, в който случай членът на групата извън ЕС ще предостави (освен ако не е забранено) на водещия член на групата и/или на европейското длъжностно лице по защита на данните такава информация, каквато е известна на члена на групата извън ЕС.

Ако в конкретни случаи спирането и/или уведомяването са забранени, замоленият член на групата полага усилия да получи правото да се откаже от тази забрана, за да съобщи възможно най-много информация и възможно най-скоро. Членът на групата извън ЕС ще направи преглед на законосъобразността на всяко искане за разкриване от публичен орган извън ЕС, за да прецени дали то е в рамките на правомощията, предоставени на този орган, и ще оспори искането, ако това не е така. Той документира и води отчет за своя преглед и, освен ако не е забранено, го предоставя на водещия член на групата и/или на Европейското длъжностно лице по защита на данните. Тя също така ще го предостави на компетентните органи за защита на данните при поискване.

Членът на групата извън ЕС ще предостави минималното допустимо количество информация, когато отговаря на искане за разкриване от публичен орган извън ЕС, въз основа на разумно тълкуване на искането.

Членовете на групата не могат да прехвърлят лични данни на потребители на публичен орган извън ЕС по масивен, непропорционален и безразборен начин, който би надхвърлил необходимото в едно демократично общество.

2. Разкриване на лични данни на обработващ лични данни

Когато Членовете на Групата прехвърлят Лични данни на Обработващ, Обработващият ще бъде подложен на оценка на риска за поверителността, защитата на данните и сигурността на информацията преди започване на работа и преди всяко прехвърляне на Лични данни на Потребителя.  Обхватът на оценката ще варира в зависимост от чувствителността на обработваните лични данни на потребителите. Оценката на неприкосновеността на личния живот, защитата на данните и сигурността на информацията не е задължителна за обработващите лични данни, които вече са били обект на такава оценка или които са членове на групата, освен ако дейностите по обработка не включват дейности с висок риск, като се вземат предвид естеството и количеството на личните данни и вида на съответните дейности по обработка.

Обработващите лични данни, включително член на групата, който се намесва като обработващ, трябва да сключат споразумение със съответния член на групата, който ще действа като администратор на личните данни на потребителя, за да осигури адекватни мерки за поверителност, защита на данните и информационна сигурност. Това споразумение включва клаузи, гарантиращи подходящо използване на лични данни на потребителите и мерки за сигурност, съответстващи на количеството, естеството и чувствителността на съответните потребителски лични данни. 

Като минимум договорните предпазни мерки трябва да покриват следните въпроси:

• Изисквания за спазване на закона и за обработване на потребителските лични данни само в съответствие с условията на Споразумението и само съгласно инструкциите на съответните членове на групата;
• Уверение, че лицата, упълномощени да обработват личните данни на потребителя, са поели ангажимент за поверителност или са под подходящо законово задължение за поверителност;
• Уверение, че не се извършва предварително ангажиране на друг обработващ лични данни без предварително конкретно или общо писмено разрешение на члена на групата, и когато този обработващ лични данни спазва същите договорни гаранции, когато ангажира самия друг обработващ лични данни.
• Подходящи технически и организационни мерки, адаптирани към чувствителността на съответните потребителски лични данни и обработването;
• Съдействие на члена на групата чрез подходящи технически и организационни мерки, доколкото това е възможно, за изпълнение на задължението на члена на групата да отговаря на искания за упражняване на правата на субекта на данни;
• Задължения за уведомяване за нарушения на сигурността, като например да PayPal уведомяват незабавно в писмен вид, без неоправдано забавяне, след като узнаят за нарушение на сигурността.
• по избор на разкриващия член на групата заличаването или връщането на всички лични данни на този член на групата след края на предоставянето на услугите, свързани с обработването, и заличаването на съществуващите копия, освен ако правото на Съюза или правото на държава членка не изисква съхранение на личните данни;
• Право на одит на спазването на договорните гаранции от страна на обработващия данните;
• Разпоредби за отстраняване в случай на неспазване от страна на обработващия данни на неговите правни или договорни задължения.

Споразуменията трябва да съдържат клаузи, които гарантират, че неспазването на условията на споразумението може да доведе до спиране или прекратяване на Споразумението наред с други корективни мерки, посочени в Споразумението.

3. Разкриване на лични данни на трети страни

Когато членовете на групата прехвърлят лични данни на потребители от ЕИП на трети страни (включително обработващи лични данни, които не са членове на групата, намиращи се в държава извън ЕИП, която (i) не осигурява адекватни нива на защита (по смисъла на Общия регламент за защита на данните на ЕС) и (ii) няма други договорености, които биха удовлетворили изискванията на ЕС за адекватност, членът на групата гарантира, че третата страна прилага подходящи договорни гаранции, като стандартни договорни клаузи, одобрени от Европейската комисия, осигуряващи нива на защита, съизмерими с настоящите Корпоративни правила на потребителя, или, алтернативно, гарантират, че прехвърлянето (i) се извършва с изричното съгласие на Потребителя, (ii) е необходимо за сключване или изпълнение на договор, сключен с Потребителя, (iii) е необходимо или законово изисквано по важни причини от обществен интерес, (iv) е необходимо за защита на жизнените интереси на Потребителя; или (v) е необходимо за упражняването, установяването или защитата на правни претенции.

2.8 Оценки на въздействието върху трансфера

Членовете трябва да преценят (и постоянно да наблюдават) дали законите или практиките на трети държави възпрепятстват спазването на настоящите Корпоративни правила на потребителите. В тези оценки се вземат предвид:

• конкретните обстоятелства на предаването или набора от предавания на данни и на всяко предвиждано последващо предаване на данни в рамките на същата трета държава или към друга трета държава, включително:
• целите, за които данните се прехвърлят и обработват (напр. маркетинг, човешки ресурси, съхранение, ИТ поддръжка, клинични изпитвания);
• видовете образувания, участващи в обработването (вносителят на данни и всеки следващ получател на всяко последващо прехвърляне);
• икономическия сектор, в който се извършва прехвърлянето или съвкупността от трансфери;
• категориите и формата на предаваните лични данни;
• мястото на обработване, включително съхранението; както и
• използваните предавателни канали;
• законите и практиките на третата страна по местоназначение, имащи отношение към обстоятелствата на предаването, включително тези, които изискват разкриване на данни на публични органи или разрешаване на достъп на такива органи, както и тези, които осигуряват достъп до тези данни по време на транзита между страната на износителя на данни и страната на вносителя на данни; както и
• Всички съответни договорни, технически или организационни предпазни мерки, въведени за допълване на предпазните мерки съгласно Корпоративните правила за потребителите, включително мерки, прилагани по време на предаването и при обработката на личните данни на потребителите в държавата на местоназначение.

Ако не може да бъде осигурена адекватна защита, прехвърлянията трябва да бъдат спрени или прекратени. Оценките се документират и се предоставят на органите за защита на данните при поискване.

2.9 Искания на публични органи

Вносителите информират водещия член на групата при поискване за исканията за достъп на публичния орган. Те основателно оспорват тайната или незаконните искания, свеждат до минимум разкриването и документират действията.

Ако Потребителите смятат, че техните Лични данни на Потребителя са били обработени в нарушение на Корпоративните правила на Потребителя, те могат да докладват за опасения на функцията за обслужване на клиенти на съответния Член на Групата чрез уебсайта на съответната Услуга, имейл или както е посочено по друг начин в приложимите условия.  Потребителите обикновено могат да намерят отговори на най-честите въпроси и притеснения за поверителността, като въведат думата „поверителност“ в раздела „Помощ“ на съответната услуга, което обикновено насочва потребителя към конкретна страница или политика за поверителност.  Разделът „Помощ“ на съответната услуга е уникалната входна точка за всички потребителски заявки, свързани с тяхната поверителност или обработването на потребителската информация, и предоставя на потребителя възможността да се свърже с отдела за поддръжка на клиенти. 

В случай на съмнение кой канал да използват за докладване на опасения, свързани с неприкосновеността на личния живот, потребителите могат да се свържат с Европейското длъжностно лице по защита на данните онлайн.

Екипът по поддръжка на клиентите разследва и се опитва да разреши повдигнатите от потребителите притеснения. Служителите, отговорни за адресиране на свързаните с поверителността притеснения, работят в тясно сътрудничество с глобалния екип за поверителност на PayPal и отговарят на потребителите в съответствие с политиките, процедурите и указанията на PayPal. Ако потребителите смятат, че притесненията им не са били разгледани адекватно или ако не са получили отговор, те могат да поискат тяхното притеснение да бъде приведено до вниманието на длъжностното лице за защита на данните в ЕС. Ще бъде направена консултация с Ръководителя за правна поверителност и ще бъде уведомен Водещият орган за защита на личните данни. Методите за привеждане на вниманието ще се определят въз основа на характера и обхвата на притеснението и ще се препратят до съответния екип без забавяния.  Отговор на жалбата се предоставя на потребителя в рамките на разумен срок и във всеки случай в рамките на период от три (3) месеца след датата на запитването, освен при необичайни обстоятелства или комплексни въпроси, в който случай потребителят ще бъде уведомен, че отговорът ще отнеме повече от три (3) месеца.

Механизмът за подаване на жалби не засяга правото на потребителите да подават жалби до компетентните органи за защита на данните или съдилищата. По-специално, потребителите могат да подадат жалба:

• пред компетентен орган за защита на данните, по-специално в държавата-членка на обичайното местопребиваване на потребителите, мястото на работа или мястото на предполагаемото нарушение; както и
• пред компетентния съд на държавите членки, в които членът на групата, който е администратор или обработващ лични данни на потребителя, има място на установяване или където е обичайното местопребиваване на потребителя.

Потребителите на ЕИП, които подозират нарушение на Корпоративните правила на потребителите извън ЕИП, имат право на съдебно изпълнение и право да получат обезщетение и, когато е уместно, обезщетение в случай на нарушение на един от приложимите елементи на Корпоративните правила на потребителите като бенефициенти на трети страни, и по-специално за раздели 2, 3, 4, 7, 8 и 9 от Корпоративните правила на потребителя пред компетентните органи за защита на данните или пред съдилищата в съответствие с раздел 3. Тези права за принудително изпълнение са в допълнение към други средства за правна защита или права, предоставени от PayPal или налични съгласно приложимото законодателство.

Въпреки че не е задължително, потребителите в ЕИЗ се насърчават първо да докладват притеснението си директно на члена на групата, а не на органите за защита на данните или на съдилищата.  Това позволява на групата на PayPal да осигури ефикасен и бърз отговор и намалява възможните забавяния от органите за защита на данните или от съдебни процедури.

PayPal Europe S.à r.l. et Cie, S.C.A., люксембургско частно дружество с ограничена отговорност, поема отговорност и се съгласява да следи за спазването от страна на членовете на групата на корпоративните правила на потребителите.  Водещият член на групата се задължава (i) да предприеме необходимите действия за коригиране на нарушение, извършено от членове на групата извън ЕИЗ; и (ii) да изплати обезщетението на потребители в ЕИЗ, което е присъдено от водещия орган за защита на данните или от съдилищата на Люксембург във връзка с каквито и да било вреди, пряко произтичащи от нарушаването на потребителските корпоративни правила от членове на групата извън ЕИЗ, ако съответният член на групата не е в състояние или не желае да заплати компенсацията или да спази нареждането. 

Водещият член на групата потвърждава и приема, че той отговаря за доказване на заявено нарушение на потребителските корпоративни правила.

Водещият член на групата (или всеки друг член на групата) не носи отговорност, ако основателно докаже, въз основа на наличните факти и като вземе предвид коментарите на потребителя, че членът на групата, която не е член на ЕИП, не е нарушил корпоративните правила на потребителя или не носи отговорност за щети, предявени от потребителя.

Членовете на групата ще гарантират, че всички служители, които обработват потребителските лични данни, както и служителите, които участват в проектирането на инструменти, които ще се използват за събиране или обработване на потребителски лични данни, преминават през обучение за поверителност и информираност за защита на информацията, за да се информират служителите и да се подчертае пред тях необходимостта да се защитават и гарантират лични данни на потребителите в съответствие с потребителските корпоративни правила.

От служителите се изисква да преминават на годишна база онлайн обучение за съответствие, което е базирано на Кодекса за бизнес поведение и етика и което включва раздел за защита на данните.  Новите служители трябва да завършат онлайн обучението за съответствие при започване на своята работа.

В допълнение към това онлайн обучение за съответствие глобалният екип по поверителността на PayPal и длъжностното лице за защита на данните в ЕС провеждат обучения за защита на поверителността и информацията, за да се информират служителите и да се подчертае пред тях необходимостта да защитават и пазят личните данни. Такива обучения се извършват на годишна база или по-често, ако обстоятелствата го изискват.

Обучаванията, през които преминават служителите, се адаптират съгласно техните нива на достъп до личните данни на потребителите, като на служителите с по-високи нива на достъп се осигурява допълнителното обучение. 

Членовете на групата ще информират служителите, че неспазването на тези потребителски корпоративни правила може да доведе до дисциплинарни действия и други действия, разрешени от приложимия закон. Копие от тези потребителски корпоративни правила и други съответни политики и процедури за поверителност и защита са достъпни за служителите по всяко време чрез интранета на компанията. Потребителските корпоративни правила също са включени в Кодекса за бизнес поведение и етика, който всички служители трябва да преразгледат и да се съгласят да спазват.

За да се гарантира спазването на тези Корпоративни правила на потребителите, екипът на PayPal Global Privacy Compliance преглежда постоянно дейностите и практиките за обработка на лични данни на потребителите. Тези дейности се координират в тесни консултации с длъжностното лице по защита на данните в ЕС. Тези дейности се провеждат периодично и най-малко веднъж годишно и помагат при оценката на съответствието с Корпоративните правила на потребителите.

Екипът за вътрешен одит е независим и обективен консултант на ръководството и Съвета на директорите, който чрез одиторския комитет съобщава резултатите от одитите на Съвета на директорите, ръководителите на екипите по поверителност и на длъжностното лице по защита на данните в ЕС. 

Екипът за вътрешен одит може редовно да преглежда дейностите или практиките, идентифицирани от глобалния екип за поверителност. Екипът за вътрешен одит, ръководителите по въпросите на неприкосновеността на личния живот и Европейското длъжностно лице по защита на данните, ако е необходимо, изискват изпълнението на план за действие, за да се гарантира спазването на настоящите корпоративни правила на потребителите. Групата може да назначи независими външни одитори за допълнително разрешаване, доколкото вътрешните групи не решават въпросите по адекватен начин.

Длъжностното лице по защита на данните в ЕС, глобалният екип по спазване на поверителността на PayPal или екипите за вътрешен одит и външните одитори разработват подробни одитни планове и графици въз основа на риска от обработването.

Констатациите от одита на неприкосновеността на личния живот ще бъдат на разположение на компетентните органи за защита на данните при поискване.

Предвид различните правни изисквания по целия свят, които са свързани със защитата на данните, потребителските корпоративни правила установяват последователен набор от изисквания, които да помогнат за гарантирането на подходящия начин на обработване на потребителските лични данни. Въпреки че потребителските корпоративни правила създават базово изискване, което членовете на групата да спазват, членовете на групата ще спазват приложимите закони, които могат да наложат по-строги стандарти от тези, които са посочени в настоящите корпоративни правила.

Нищо в тези потребителски корпоративни правила не засяга задълженията на членовете на групата съгласно приложимите банкови закони, по-специално във връзка с банковата тайна.   Ако приложимото законодателство противоречи на потребителските корпоративни правила, тъй като може да попречи на член на групата да изпълни задълженията си съгласно потребителските корпоративни правила, и оказва съществен ефект върху предоставените в него гаранции, членът на групата незабавно трябва да уведоми длъжностното лице по защита на данните в ЕС, освен когато предоставянето на такава информация е забранено от правоприлагащ орган или от закона.  Длъжностното лице по защита на данните в ЕС, ръководителят на екипа по поверителността и водещият член на групата ще определят подходящия курс на действие и в случай на съмнение ще се консултират с компетентния орган за защита на данните.

Членовете на групата ще си сътрудничат и ще си съдействат при обработването на заявки или оплаквания от потребители по отношение на потребителските корпоративни правила.

Членовете на групата ще реагират усърдно и подходящо на заявките от органите за защита на данните относно потребителските корпоративни правила.  Ако служител получи такова искане от орган за защита на данните, той трябва незабавно да уведоми длъжностното лице по защита на данните в ЕС.   

Членовете на групата ще си съдействат по отношение на запитванията и ще приемат одити от компетентните органи за защита на данните в ЕИЗ относно спазването на потребителските корпоративни правила, като също ще зачитат техните решения в съответствие с приложимото законодателство и правата на надлежно обработване.

Членовете на групата ще се съобразяват със съветите на органите за защита на данните по въпроси, свързани с Корпоративните правила на потребителите. Всеки спор, свързан с упражняването от компетентен орган за защита на данните на надзора върху спазването на корпоративните правила на потребителя, ще бъде разрешаван от съдилищата на държавата членка на този орган за защита на данните в съответствие с процесуалното право на тази държава членка. Членовете на групата се съгласяват да се подчинят на юрисдикцията на тези съдилища.

PayPal си запазва правото да променя тези Корпоративни правила на потребителя, ако е необходимо, например, за да се съобрази с промените в приложимите закони, правила, разпоредби PayPal практики, процедури и организационна структура или изисквания, наложени от съответните органи за защита на данните.

Правният екип на PayPal Global Privacy (под ръководството на Legal Privacy Lead) ще предложи всички необходими промени в тези Корпоративни правила за потребителите. Екипът на PayPal Global Privacy Compliance Team (под ръководството на Lead Privacy Lead) и Европейското длъжностно лице по защита на данните трябва да одобрят всички промени в Корпоративните правила на потребителя и да проследяват всички промени в Корпоративните правила на потребителя, както и всяка промяна в списъка на членовете на групата. Членовете на групата трябва да докладват на съответните органи за защита на данните относно промените в потребителските корпоративни правила с цел официално одобрение и съгласно изискванията на приложимото законодателство.

Водещият член групата ще се консултира с водещия орган за защита на данните относно съществените промени в потребителските корпоративни правила, които биха засегнали спазването на защитата на данните или функцията на потребителските корпоративни правила.  Водещият член на групата ще съобщава на водещия орган за защита на данните съществени промени в корпоративните правила на потребителя и промени в списъка на членовете на групата. Ако съществена промяна е в ущърб на нивото на защита, предлагана от настоящите Корпоративни правила на потребителя, или по друг начин би засегнала значително Корпоративните правила на потребителя (напр. промени в обвързващия им характер или промени в члена на водещата група), такива промени ще бъдат съобщени предварително на Водещия орган за защита на данните с кратко обяснение на причините за актуализацията, така че водещият орган за защита на данните да може да прецени заедно с други компетентни органи за защита на данните дали промените изискват ново одобрение.

Глобалните екипи на PayPal за защита на личните данни ще работят заедно в подкрепа на Европейския служител по защита на данните, който по-специално ще координира отговорите и своевременно ще отправя коментари, предложения или възражения срещу промените, повдигнати от водещия орган за защита на данните от името на PayPal. Всички коментари, предложения или възражения, повдигнати от други органи за защита на данните, ще бъдат съобщени на длъжностното лице относно защитата на данните в ЕС от водещия орган за защита на данните, който ще действа от името на другите органи за защита на данните.  

Промените в потребителските корпоративни правила важат за всички членове на групата към датата на влизане в сила на изпълнението. Екипът за глобална поверителност на PayPal и Европейският служител по защита на данните ще информират членовете на групата за промените в корпоративните правила на потребителя преди тяхното прилагане. Членовете на групата ще предоставят известие за съществени промени на потребителските корпоративни правила на потребителите в съответствие с предпочитанията на потребителя за услугите или чрез масови имейли, или чрез публикуване на уеб сайт с ясно и предварително предупреждение до потребителите, че правилата на потребителя са се променили. Членовете на групата публикуват преразгледаните потребителски корпоративни правила на избрани външни уеб сайтове или приложения, които са достъпни за потребителите.  Промените в Корпоративните правила на потребителите влизат в сила в рамките на два месеца, след като Членовете на Групата уведомят Потребителите и публикуват преработените Корпоративни правила на потребителите.

Не се извършва прехвърляне към нов член на групата, докато новият член на ОКП на групата не е ефективно обвързан с корпоративните правила на потребителя и не може да осигури съответствие.

Потребителските корпоративни правила се публикуват и се осигурява връзка на уеб сайта или приложенията на услугата.  Те ще бъдат достъпни на ключови езици на ЕС. Потребителите могат да поискат копие от The European Data Protection Officer (DPO), PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg или Online.

Дата на влизане в сила: Дата на публикуване

За връзка: потребителите могат да изпращат въпроси или притеснения във връзка с тези потребителски корпоративни правила, като се свързват с:

Длъжностното лице относно защитата на данните в ЕС (ДЛЗД)

PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg или като се свържете с PayPal на следния линк: https://www.paypal.com.resource.data-analyze.v1.endpoints-api.com/uk/cshelp/contact-us/privacy

Членовете на групата тълкуват Корпоративните правила на ползвателите по начин, който е в най-голяма степен в съответствие с основните понятия на принципите на Регламент (ЕС) 2016/679 или всяко заместващо законодателство на ЕС.

За целите на тези потребителски корпоративни правила се прилагат следните дефиниции:

Съвет на директорите означава Съветът на директорите на водещия член на групата.

Администратор означава юридическото лице, което самостоятелно или съвместно с други определя целите и средствата за обработка на лични данни.

Органи за защита на данните означава независимите публични органи, които упражняват надзор чрез разследващи и корективни правомощия върху прилагането на законодателството за защита на данните съгласно глава VI от Регламент (ЕС) 2016/679 и други приложими национални закони.

ЕИЗ означава Европейската икономическа зона, която в момента включва държавите-членки на ЕС, Исландия, Лихтенщайн и Норвегия.

Служител означава служители, работници, стажанти и други членове на персонала, включително условни или временни работници, алтернативна работна сила или изпълнители на член на групата, независимо дали са наети, или ангажирани на пълно или на непълно работно време и независимо от вида на заетостта или ангажимента.

Европейско длъжностно лице относно защитата на данните (ДЛЗД) означава служителят, който е назначен и докладва на ръководството на водещия член на групата и също така служи като член на глобалния правен екип за поверителност на PayPal. ДЛЗД в ЕС се намира в Люксембург.

Член на групата означава субект от групата на PayPal, който е изпълнил копие на ВГС.

IGA означава вътрешногруповото споразумение между водещия член на групата и други членове на PayPal група, което дава обвързващо действие на тези корпоративни правила за потребителите в рамките на PayPal група.

Водещият орган за защита на данните означава „Commission nationale pour la protection des données“ („CNPD“) на Люксембург.

Водещ член на групата означава PayPal (Europe) S.à r.l. Cie, S.C.A., люксембургско частно дружество с ограничена отговорност.

Глобален екип за поверителността на PayPal означава координирания глобален екип за спазване на поверителността на PayPal и глобалният правен екип за поверителност на PayPal.

Глобален екип за спазване на поверителността на PayPal означава членове на организацията за съответствие, които се занимават конкретно със спазването и функционирането на програмата за поверителност на PayPal. 

Глобален правен екип за поверителност на PayPal означава членове на правния отдел, които се занимават специално с поверителността и защитата на данните.

PayPal Group означава PayPal Holdings, Inc. ("PayPal") и всяко лице, пряко или косвено контролирано от PayPal, което обработва лични данни на потребителите, където контрол означава собствеността на повече от петдесет процента (50%) от правото на глас за избор на директорите на компанията или повече от петдесет процента (50%) от дяловото участие в собствеността на компанията.

Лични данни означава всяка информация, свързана с идентифицирано или подлежащо на идентификация физическо лице; за подлежащо на идентифициране лице се приема човек, който може да бъде идентифициран, пряко или косвено, по-специално чрез позоваване на идентификационен номер или на един или повече фактори, специфични за неговата/нейната физическа, физиологическа, психическа, икономическа, културна или социална идентичност.

Обработване означава всяка операция или набор от операции, които се извършват с лични данни, независимо дали това става чрез автоматични средства, като например събиране, записване, организиране, съхранение, адаптиране или изменяне, извличане, консултиране, използване, разкриване чрез предаване, разпространение или предоставяне по друг начин на разположение, синхронизиране или комбиниране, блокиране, изтриване или унищожаване.

Обработващ данни означава всяко физическо или юридическо лице, което обработва лични данни от името на член на групата.

Специална категория лични данни означава лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения, членство в синдикални организации, генетични данни, биометрични данни с цел уникално идентифициране на физическо лице, информация, свързана с престъпления, или информация относно здравето, сексуалния живот или сексуалната ориентация.

Услуга означава уебсайт, приложение или друг продукт или услуга, предлагани от член на групата за използване от потребител.

Трета страна означава всяко физическо или юридическо лице, публичен орган, агенция или друг орган, различен от Потребителя, Члена на Групата и лицата, които под прякото ръководство на Члена на Групата, като например Служители, са упълномощени да обработват Лични данни. Терминът "Трета страна" включва Обработващи лица, които не са Членове на Групата.

Потребител означава минали и съществуващи клиенти на PayPal Group, потенциални клиенти, инвеститори, бизнес партньори и търговци.

Потребителски лични данни означава лични данни, свързани с потребителите.

Нарушение на личните данни на потребителя означава нарушение на сигурността, което води до случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни на потребителите, които се предават, съхраняват или обработват по друг начин.

Списък на членовете на групата

Организации на ЕС/ЕИП

Юридически лица в Обединеното кралство

Субекти извън ЕС/ЕИП/ОБЕДИНЕНОТО КРАЛСТВО

Списък на държавите

Извън ЕС

Обединеното кралство

ЕС