Firemní pravidla týkající se uživatelů služby PayPal

Cílem skupiny PayPal je uplatňovat jednotné, přiměřené a globální normy ochrany dat a soukromí pro nakládání se všemi osobními údaji uživatelů v rámci skupiny PayPal.  Tato firemní pravidla týkající se uživatelů se vztahují na všechny osobní údaje uživatelů:

• převedeny z Člena Skupiny EHP (jako správce) na Člena skupiny mimo EHP (jako správce nebo zpracovatel); a dále
• dále předává příjemce člen skupiny mimo EHP podle těchto firemních pravidel týkajících se uživatelů jinému členovi skupiny mimo EHP (jako správci nebo zpracovateli).

Uživatelé globálně poskytují své osobní údaje členům skupiny za účelem využívání služeb, které skupina nabízí.  Většina osobních údajů uživatelů je shromažďována a ukládána ve Spojených státech amerických.  Globální podnikání společnosti PayPal vyžaduje, aby byly osobní údaje uživatelů sdíleny s dalšími subjekty PayPal ve Spojených státech a globálně, kde má nebo hodlá mít PayPal v současnosti zastoupení.

Společnost PayPal se zavazuje přiměřeně chránit informace o uživateli bez ohledu na to, kde se osobní údaje nacházejí, a poskytovat odpovídající ochranu osobních údajů uživatele tam, kde jsou přenášeny mimo EHP.

Seznam členů skupiny, na které se vztahují tato firemní pravidla týkající se uživatelů, je uveden v příloze I. K osobním údajům uživatelů mohou mít přístup zaměstnanci nacházející se v jurisdikcích uvedených v příloze II. Tyto seznamy se mohou měnit s rozšiřováním podnikání společnosti.

Věcná působnost těchto Pravidel je uvedena v definicích a oddílech těchto Pravidel, například v části 12 (Osobní údaje uživatelů a typy subjektů údajů), v části 2.1 pro typy zpracování, tj. účely, pro které jsou osobní údaje uživatelů zpracovávány, a seznam zemí je k dispozici v příloze II.

Firemní pravidla týkající se uživatelů jsou právně závazná na základě smlouvy (dále jen "dohoda IGA") uzavřené mezi společností PayPal (Europe) S.à r.l. & Cie, S.C.A. ("vedoucí člen skupiny") a další členové skupiny PayPal.  IGA vyžaduje, aby členové skupiny dodržovali tato podniková pravidla pro uživatele. Členové skupiny vyžadují, aby jejich zaměstnanci při nakládání s osobními údaji uživatelů dodržovali tato podniková pravidla uživatelů.

Vedoucí podniku a vrcholový management skupiny PayPal jsou odpovědní za vymáhání dodržování těchto podnikových pravidel pro uživatele, včetně zajištění toho, aby si zaměstnanci byli vědomi těchto podnikových pravidel pro uživatele a dodržovali je.

Program ochrany osobních údajů společnosti PayPal řídí vedoucí pro dodržování předpisů. Zastává vedoucí pozici ve společnosti PayPal Holdings, Inc. a podléhá přímo řediteli pro dodržování předpisů nebo nejvyššímu vedoucímu pracovníkovi vedoucímu funkci dodržování předpisů ve společnosti PayPal.  Vedoucí pro dodržování předpisů dohlíží na tým společnosti PayPal pro globální dodržování ochrany osobních údajů a spolupracuje s dalšími interními organizacemi nebo týmy, jako je provoz, zabezpečení informací, dodržování předpisů, rizika a interní audit, aby pomohl zajistit konzistentní komunikaci, postupy a zásady ochrany osobních údajů v rámci celé skupiny PayPal po celém světě. Tým PayPal Global Privacy Compliance Team vyvíjí a koordinuje implementaci své strategie dodržování předpisů v rámci skupiny PayPal a ověřuje dodržování provozních předpisů.  Tým PayPal Global Privacy Compliance má v celé skupině PayPal přímé i nepřímé zástupce, kteří mimo jiné pomáhají zajistit dodržování podnikových pravidel pro uživatele a příslušných zákonů na ochranu údajů.

Vedoucí právního oddělení ochrany osobních údajů dohlíží na tým společnosti PayPal zabývající se globálním právním oddělením ochrany osobních údajů a je přímo podřízen vedoucímu právnímu oddělení nebo nejvyššímu vedoucímu pracovníkovi ve společnosti PayPal. Právní vedoucí ochrany osobních údajů definuje povinnosti společnosti podle platných zákonů o ochraně osobních údajů a těchto firemních pravidel pro uživatele. Právní oddělení ochrany osobních údajů a tým společnosti PayPal pro globální právní ochranu osobních údajů úzce spolupracují s vedoucím ochrany osobních údajů pro dodržování předpisů a týmem společnosti PayPal pro globální dodržování předpisů a spolupracují s dalšími interními organizacemi a týmy, jako jsou právní oddělení, provoz, zabezpečení informací a rizika, s cílem poskytovat právní poradenství a interpretovat právní a regulační důsledky vyvíjejících se záležitostí týkajících se ochrany osobních údajů v rámci skupiny PayPal po celém světě.

Tým společnosti PayPal pro globální ochranu osobních údajů společně tvoří tým společnosti PayPal pro dodržování globálních předpisů o ochraně osobních údajů a právní tým společnosti PayPal pro globální ochranu osobních údajů.

Evropský pověřenec pro ochranu údajů se sídlem v Lucemburku je jmenován vedením společnosti PayPal (Europe) S.à r.l. a je mu podřízen. et Cie, S.C.A. Evropský pověřenec pro ochranu osobních údajů působí jako primární kontaktní osoba pro orgány pro ochranu údajů v EHP a nevykonává žádné úkoly, které by mohly vést ke střetu zájmů. Evropský pověřenec pro ochranu osobních údajů má mimo jiné následující povinnosti: informovat členy skupiny a jejich zaměstnance, kteří zpracovávají osobní údaje, a radit jim o jejich povinnostech vyplývajících z právních předpisů o ochraně osobních údajů, aby bylo zajištěno dodržování těchto firemních pravidel týkajících se uživatelů; spolupráce s týmem společnosti PayPal pro globální ochranu osobních údajů při sledování dodržování právních předpisů o ochraně osobních údajů a souvisejících zásad členů skupiny; a na požádání poskytovat členům skupiny právní poradenství týkající se posouzení vlivu na ochranu osobních údajů a jejich provádění. Evropský pověřenec pro ochranu osobních údajů podává zprávy nejvyššímu stupni vedení a může informovat nejvyšší úroveň vedení, pokud se během výkonu jeho povinností vyskytnou jakékoli dotazy nebo problémy.

Členové skupiny dodržují při práci s osobními údaji uživatelů následující zásady zpracovávání.

2.1 Omezení účelu

Osobní údaje uživatelů mohou být zpracovávány pro určité, výslovně vyjádřené a legitimní účely.  Osobní údaje uživatelů mohou být konkrétně zpracovávány pro tyto účely:

• komunikovat s uživateli v souvislosti se službami
• nabízet, spravovat a usnadňovat poskytování služeb na žádost uživatelů, včetně otevření účtu a správy plateb uživatelů;
• zlepšování služeb a vývoj nových služeb;
• řešení sporů, řízení soudních sporů, řešení problémů a poskytování služeb zákazníkům, včetně analýzy dat, testování, výzkumu a statistických účelů;
• provádět řízení rizik;
• zpracovávat transakce a inkasovat dlužné poplatky, včetně prokazování, že transakce byly provedeny;
• kontrolovat bonitu a solventnost;
• měřit zájem uživatelů o služby a jejich zpětnou vazbu a názory na ně a informovat uživatele o online a offline nabídkách, službách a aktualizacích;
• přizpůsobení zkušeností uživatelů;
• odhalování a ochrana před chybami, podvody a jinou trestnou činností, včetně potvrzování totožnosti a kontaktních údajů Uživatele;
• plnění zákonných, smluvních nebo regulatorních povinností skupiny PayPal;
• vynucovat podmínky služby a jak je jinak popsáno uživatelům v době shromažďování a v zásadách ochrany osobních údajů služby;
• ochrana zabezpečení, integrity a dostupnosti služeb a sítě skupiny PayPal;
• ochrana zákonných práv a zájmů skupiny PayPal, mimo jiné včetně stanovení, výkonu nebo obrany proti právním nárokům nebo inkasním postupům;
• posouzení, jaké platební možnosti a služby uživatelům nabídnout, například prováděním interních a externích hodnocení úvěruschopnosti; a dále
• dodržovat interní postupy společnosti PayPal.

Zpracování osobních údajů uživatelů pro jiné než výše uvedené účely podléhá předchozímu souhlasu týmu PayPal pro globální právní ochranu osobních údajů.  V případě pochybností požádají členové skupiny o konzultaci tým společnosti PayPal pro právní aspekty globální ochrany osobních údajů.

Osobní údaje uživatele nebudou dále zpracovávány pro sekundární účely způsobem, který je neslučitelný s výše uvedenými účely, pokud pro to neexistuje právní základ podle platných právních předpisů člena skupiny v EHP odpovědného za shromažďování a/nebo přenos osobních údajů uživatele (tj. vyvážejícího subjektu).   

2.2 Minimalizace údajů, přesnost a omezení uložení

Osobní údaje uživatelů musí být:

• přesné a v případě potřeby aktualizované;
• Přiměřené, relevantní a omezené na to, co je nezbytné ve vztahu k účelům, pro které jsou zpracovávány;
•  Uchovávány pouze po dobu nezbytně nutnou k dosažení účelů, pro které byly shromážděny nebo dále zpracovány; a dále
• vymazány, odstraněny, zničeny nebo anonymizovány v souladu s platnými zásadami společnosti PayPal, pokud již nejsou potřebné pro účely, pro které byly zpracovány, pokud neexistuje právní důvod pro další zpracování nebo pokud je jejich uchovávání vyžadováno platnými zákony nebo platnými zásadami společnosti PayPal.

2.3 Právní důvody pro zpracování a korektnost

1. Právní základ pro zpracování osobních údajů uživatelů

Členové skupiny musí zajistit, aby byly osobní údaje uživatelů zpracovávány korektně a v souladu se zákony, a především na základě nejméně jednoho z následujících zákonných důvodů, kterými jsou:

• Jednoznačný, svobodně udělený, konkrétní a informovaný souhlas uživatele;
• zpracování nezbytné k plnění smlouvy, jejíž je uživatel smluvní stranou, nebo provádění kroků vyžádaných uživatelem před uzavřením smlouvy;
• zpracování nezbytné ke splnění zákonné povinnosti člena skupiny;
• zpracování nezbytné pro ochranu životně důležitých zájmů uživatele nebo jiné fyzické osoby;
• zpracování nezbytné k plnění úkonů ve veřejném zájmu nebo při výkonu veřejné moci svěřeném členům skupiny nebo třetí straně, které jsou údaje předávány; nebo
• zpracování nezbytné pro účely oprávněných zájmů sledovaných členem skupiny nebo třetí stranou nebo stranami, kterým jsou údaje předány, s výjimkou případů, kdy jsou tyto zájmy převyšovány zájmy základních práv a svobod uživatele.

2. Právní základ pro zpracování osobních údajů zvláštní kategorie uživatelů

Pokud je vyžadováno shromažďování osobních údajů zvláštní kategorie nebo pokud uživatelé takové informace poskytnou dobrovolně, členové skupiny zajistí, aby osobní údaje uživatelů zvláštní kategorie byly zpracovávány pouze na základě alespoň jednoho z následujících důvodů:

• výslovný souhlas uživatele;
• zpracování nezbytné k ochraně životně důležitých zájmů uživatele nebo jiné osoby, pokud je uživatel fyzicky nebo právně neschopen poskytnout svůj souhlas;
• zpracování se týká osobních údajů uživatele zjevně zveřejněných uživatelem; nebo
• Zpracování nezbytné pro určení, výkon nebo obhajobu právních nároků nebo kdykoli soudy jednají v rámci svých soudních pravomocí.

3. Právní základ pro zpracování zahrnující automatické rozhodování

Pokud může být Uživatel předmětem rozhodnutí založeného výhradně na automatizovaném zpracování, včetně profilování, které má právní nebo významné účinky ("Automatizované rozhodnutí"), Členové skupiny zajistí, aby Automatizované rozhodnutí:

• je nezbytné pro uzavření nebo plnění smlouvy mezi Uživatelem a Členem Skupiny;
• je povoleno právem EU nebo členského státu, kterému člen skupiny podléhá, a které rovněž stanoví vhodná opatření k ochraně práv a svobod a oprávněných zájmů uživatele; nebo
• je založeno na výslovném souhlasu uživatele.

Přinejmenším v prvním a třetím výše uvedeném případě člen skupiny poskytne vhodná opatření k ochraně práv a svobod a oprávněných zájmů uživatele, například poskytne uživateli možnost nechat si rozhodnutí individuálně přezkoumat zástupcem zákaznické podpory a umožnit uživateli vyjádřit svůj názor. Pokud uživatel i nadále nesouhlasí s automatizovaným rozhodnutím, musí pracovník oddělení podpory zákazníků předat záležitost pověřenci EU pro ochranu osobních údajů. V případě potřeby bude konzultován vedoucí právního oddělení ochrany osobních údajů a bude informován vedoucí pro dodržování předpisů.

2.4 Transparentnost

Při shromažďování osobních údajů uživatelů musí členové skupiny uživatele informovat o:

• Totožnost a kontaktní údaje Člena skupiny odpovědného za původní shromažďování a zpracování;
• Kontaktní údaje evropského pověřence pro ochranu osobních údajů. Příslušné údaje jsou: Evropský pověřenec pro ochranu osobních údajů (DPO) PayPal (Europe) S. à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg nebo online.
• zamýšlené účely zpracování, jakož i právní základ pro zpracování;
• Pokud je zpracování založeno na oprávněných zájmech, oprávněných zájmech sledovaných členem skupiny nebo třetí stranou
• příjemci nebo kategorie příjemců (včetně zpracovatelů) osobních údajů uživatelů;
• V příslušných případech skutečnost, že člen skupiny má v úmyslu předat osobní údaje uživatele třetí zemi nebo mezinárodní organizaci, a existence nebo neexistence rozhodnutí Evropské komise o odpovídající ochraně nebo odkaz na vhodná nebo vhodná ochranná opatření (včetně těchto firemních pravidel týkajících se uživatelů), pokud se o ně spoléhá, a prostředky, kterými lze získat jejich kopii nebo kde byly zpřístupněny;
• Doba, po kterou budou osobní údaje uživatele uloženy, nebo pokud to není možné, kritéria použitá ke stanovení této doby;
• existence práv uživatele, včetně práva požadovat od člena skupiny přístup k osobním údajům uživatele a jejich opravu nebo výmaz nebo omezení zpracování týkajícího se uživatele nebo vznést námitku proti zpracování, jakož i právo na přenositelnost údajů;
• Pokud je zpracování založeno na souhlasu, existence práva kdykoli odvolat souhlas, aniž by to ovlivnilo zákonnost zpracování založeného na souhlasu před jeho odvoláním;
• Právo podat stížnost u Úřadu pro ochranu osobních údajů;
• Pokud je poskytnutí Osobních údajů Uživatele zákonným nebo smluvním požadavkem nebo požadavkem nezbytným k uzavření smlouvy, jakož i to, zda jsou odpovědi na otázky povinné nebo dobrovolné, jakož i možné důsledky neposkytnutí odpovědi; a dále
• V případě automatizovaných rozhodnutí smysluplné informace o použité logice, jakož i o významu a předpokládaných důsledcích takového zpracování pro uživatele.

Členové skupiny mohou tyto informace poskytnout v zásadách ochrany osobních údajů služby, které musí být dostupné prostřednictvím odkazu anebo zobrazené na dobře viditelném místě každé webové stránky nebo aplikace služby a během registrace.  Povinnost informovat uživatele neplatí, pokud jsou již uživatelé o těchto skutečnostech informováni.  

Pokud je poskytnutí informací prokazatelně nemožné nebo by na ně bylo nutné vynaložit nepřiměřené úsilí, mohou se členové skupiny poskytnutí informací zdržet.  Týká se to pouze osobních údajů uživatele, které nebyly získány přímo od uživatele. 

Ve výjimečných případech může být poskytnutí konkrétních informací odloženo nebo vynecháno. Příkladem může být souvislost s vyšetřováním protiprávního jednání nebo dodržování příslušných zákonů nebo situace, kdy by poskytnutí informací mohlo ohrozit integritu vyšetřování.

2.5 Odpovědnost,  důvěrnost a bezpečnost

1. Odpovědnost

Každý člen skupiny, který jedná jako správce údajů, je odpovědný za dodržování firemních pravidel týkajících se uživatelů a je schopen je prokázat.

V zájmu lepšího dodržování předpisů a v případě potřeby se provádějí posouzení vlivu na ochranu osobních údajů u operací zpracování, které by mohly mít za následek vysoké riziko pro práva a svobody fyzických osob. Pokud z posouzení vlivu na ochranu osobních údajů podle nařízení (EU) 2016/679 vyplyne, že by zpracování představovalo vysoké riziko, pokud by člen skupiny nepřijal opatření ke zmírnění rizika, bude před zpracováním konzultován příslušný orgán pro ochranu osobních údajů.

Jsou zavedena vhodná technická a organizační opatření, která jsou navržena tak, aby uplatňovala zásady ochrany údajů a usnadňovala dodržování požadavků stanovených podnikovými pravidly pro uživatele v praxi (záměrná a standardní ochrana údajů).

2. Důvěrnost a bezpečnost

Členové skupiny využívají fyzická, technická a organizační bezpečnostní opatření přiměřená množství a citlivosti osobních údajů uživatelů, aby zabránili neoprávněnému zpracování, mimo jiné včetně neoprávněného přístupu, získávání a používání, ztráty, zničení nebo poškození osobních údajů uživatelů. Členové skupiny používají šifrování, brány firewall, řízení přístupu, standardy a další postupy k ochraně osobních údajů uživatelů před neoprávněným přístupem.  Fyzický a logický přístup k elektronickým a vytištěným souborům je dále omezen podle pracovních povinností a firemních potřeb.

3. Porušení zabezpečení osobních údajů

Po zjištění porušení zabezpečení osobních údajů, jak je definováno v čl. 4 odst. 12, čl. 33 odst. 1 a čl. 34 odst. 1 nařízení GDPR (EU) 2016/679 a článku 33.1, dotčený člen skupiny bez zbytečného odkladu informuje vedoucího člena skupiny, evropského pověřence pro ochranu osobních údajů a další požadované zúčastněné strany v souladu s platnými interními předpisy. Pokud je pravděpodobné, že narušení bezpečnosti osobních údajů bude mít za následek vysoké riziko pro práva a svobody fyzických osob, člen skupiny a vedoucí člen skupiny po konzultaci s evropským pověřencem pro ochranu osobních údajů informují dotčené subjekty údajů a případně orgán pro ochranu osobních údajů. Případy porušení zabezpečení osobních údajů se zdokumentují tak, aby se zaznamenaly i) skutečnosti týkající se porušení zabezpečení osobních údajů, ii) jeho účinky a iii) jsou uvedena přijatá nápravná opatření. Tato dokumentace se poskytne příslušnému orgánu pro ochranu údajů na jeho žádost.

2.6 Možnosti a práva uživatelů

Uživatelé mohou uplatnit následující práva:

• Uživatelé mají přístup a mohou měnit většinu osobních údajů uživatelů udržovaných u členů skupiny, které se jich týkají, přes příslušný online nástroj nebo samoobslužný proces, který je jim k dispozici přes web nebo aplikaci služby.
• Uživatelé mají v každém případě právo podat žádost o přístup k údajům, které nejsou přístupné přes web nebo aplikaci služby, aby si je mohli prohlédnout nebo obdržet jejich kopii. Uživatelé musí kontaktovat oddělení podpory zákazníků podle pokynů uvedených na webu nebo v aplikaci služby.
• Pokud jsou údaje neúplné nebo nepřesné, mohou uživatelé požádat o jejich opravu. Členové skupiny takovému požadavku vyhoví, a jakmile budou údaje opraveny, informují o tom uživatele. Členové skupiny oznámí třetím stranám, kterým byly zpřístupněny údaje Uživatele, o jakékoli opravě, pokud se to neukáže jako nemožné nebo to nevyžaduje nepřiměřené úsilí.
• Uživatelé mohou uplatnit své právo na lidskou kontrolu jakéhokoli automatizovaného rozhodnutí přijatého členem skupiny v souladu s oddílem 2.3 (c).
• Uživatelé mohou vznést námitku proti zpracování svých osobních údajů uživatelů. Členové skupiny takovým požadavkům vyhoví, pokud uchovávání osobních údajů uživatele není vyžadováno příslušným zákonem nebo pokud není potřebné k ochraně skupiny PayPal proti právním krokům. Uživatelé budou o výsledku svého požadavku a o opatřeních přijatých členy skupiny informováni.
• Kromě toho mohou uživatelé podle pokynů uvedených na webu nebo v aplikaci služby požádat o zrušení svého účtu. Mohou také uplatnit svá práva na omezení zpracování svých osobních údajů uživatelů nebo na výmaz osobních údajů uživatelů v souvislosti s takovým zrušením účtu. Členové skupiny údaje o uživateli ze služby odstraní nebo je anonymizují, a to v co nejkratší rozumné lhůtě (v závislosti na aktivitě na účtu).   V některých případech mohou členové skupiny zrušení účtu odložit, případně mohou osobní údaje uživatele nadále uchovávat kvůli vyšetřování nebo v případech požadovaných příslušnými zákony. Členové skupiny mohou údaje uživatelů uzavřených účtů uchovávat za účelem zjišťování podvodů a ochrany proti nim, vybírání dlužných poplatků, řešení sporů, řešení problémů, pomoci při jakémkoli vyšetřování, správy rizik, vymáhání dodržování smluvních podmínek služby, dodržování požadavků zákonů či předpisů či podnikání jiných kroků povolených příslušnými zákony. Údaje nebudou uchovávány ve formě umožňující identifikaci subjektů údajů déle než je nutné pro účely, pro které byly údaje shromažďovány nebo pro které byly dále zpracovány, a budou odstraněny, jakmile důvod pro jejich uchovávání pomine.
• S výjimkou uživatelů, kteří se rozhodli nepřijímat určitá sdělení, mohou členové skupiny na základě osobních údajů uživatelů posílat uživatelům cílená sdělení podle jejich zájmů (v souladu splatnými zákony).  Uživatelům, kteří si nepřejí přijímat od skupiny PayPal marketingová sdělení, budou nabídnuty snadno dostupné možnosti pro zamítnutí zasílání dalších reklam (například v nastavení účtu nebo podle pokynů uvedených ve-mailu nebo odkazu ve sdělení).

Ve všech případech mohou Uživatelé uplatnit výše uvedená práva kontaktováním zákaznické podpory. Pokud je obtížné ověřit totožnost uživatele, mohou členové skupiny uživatele požádat, aby poskytl další doklad totožnosti. Členové skupiny požadavkům vyhoví ve lhůtách stanovených příslušnými zákony, s výjimkou situací, kdy příslušný zákon povoluje výjimky.

2.7 Zveřejňování a předávání osobních údajů

Členové skupiny mohou osobní údaje uživatelů v rámci běžných postupů podnikání sdílet s ostatními členy skupiny po celém světě pro účely uvedené v části 2.1.

1. Zveřejňování a předávání externím veřejným orgánům

V souladu s příslušnými zákony, smlouvami a příslušnými mezinárodními úmluvami mohou členové skupiny sdílet osobní údaje s policejními a regulačními orgány, pokud je to v demokratické společnosti nutné pro zajištění národní bezpečnosti, obrany, veřejné bezpečnosti, prevence, vyšetřování, odhalování a stíhání trestných činů a především pro dodržování sankcí stanovených mezinárodními nebo národními předpisy, požadavků na podávání daňových informací nebo požadavků na oznamování praní špinavých peněz.

Pokud má člen skupiny mimo EU důvody se domnívat, že právní předpisy, které se na něj vztahují, brání tomuto subjektu v plnění jeho povinností vyplývajících z firemních pravidel pro uživatele, což má podstatný dopad na záruky poskytované těmito pravidly, člen skupiny mimo EU (pokud to není zakázáno) neprodleně informuje vedoucího člena skupiny a/nebo evropského pověřence pro ochranu osobních údajů. To zahrnuje případy, kdy:

1. obdrží právně závaznou žádost orgánu veřejné moci mimo EU o zpřístupnění osobních údajů uživatelů předávaných podle těchto firemních pravidel týkajících se uživatelů, přičemž v takovém případě člen skupiny mimo EU (pokud to není zakázáno) poskytne vedoucímu členovi skupiny a/nebo evropskému pověřenci pro ochranu osobních údajů informace o požadovaných osobních údajích uživatele, žádajícím orgánu veřejné moci mimo EU, právní základ žádosti a poskytnutou odpověď;
2. se dozví o jakémkoli přímém přístupu orgánů veřejné moci ze zemí mimo EU k osobním údajům uživatelů předávaným v souladu s firemními pravidly týkajícími se uživatelů, přičemž v takovém případě člen skupiny mimo EU (pokud to není zakázáno) poskytne vedoucímu členovi skupiny a/nebo evropskému pověřenci pro ochranu osobních údajů takové informace, které jsou známy členovi skupiny mimo EU.

Pokud jsou v konkrétních případech pozastavení a/nebo oznámení zakázány, vynasnaží se dožádaný člen skupiny získat právo zrušit tento zákaz, aby mohl sdělit co nejvíce informací a co nejdříve. Člen skupiny mimo EU přezkoumá zákonnost každé žádosti o zpřístupnění podané veřejným orgánem mimo EU, aby posoudil, zda spadá do pravomocí udělených tomuto orgánu, a pokud tomu tak není, žádost zpochybní. O svém přezkumu bude dokumentovat a uchovávat záznamy, a pokud to nebude zakázáno, zpřístupní je vedoucímu členovi skupiny a/nebo evropskému pověřenci pro ochranu osobních údajů. Na požádání je také zpřístupní příslušným orgánům pro ochranu osobních údajů.

Člen skupiny mimo EU poskytne v odpovědi na žádost o zpřístupnění podanou orgánem veřejné moci mimo EU minimální přípustné množství informací, a to na základě rozumného výkladu žádosti.

Členové skupiny nemohou předávat osobní údaje uživatelů orgánu veřejné moci mimo EU rozsáhlým, nepřiměřeným a nerozlišujícím způsobem, který by překračoval rámec toho, co je nezbytné v demokratické společnosti.

2. Zpřístupnění osobních údajů zpracovateli

Pokud členové skupiny předávají osobní údaje uživatelů zpracovateli, bude zpracovatel před zahájením práce a před jakýmkoli předáním osobních údajů uživatelů podroben posouzení rizik v oblasti ochrany osobních údajů, údajů a bezpečnosti informací.  Rozsah posouzení se bude lišit v závislosti na citlivosti zpracovávaných osobních údajů uživatele. Posouzení ochrany soukromí, údajů a bezpečnosti informací není povinné pro zpracovatele, kteří již byli podrobeni takovému posouzení nebo kteří jsou členy skupiny, pokud činnosti zpracování nezahrnují vysoce rizikové činnosti s ohledem na povahu a množství osobních údajů a typ dotčených činností zpracování.

Zpracovatelé, včetně člena skupiny, který vystupuje jako zpracovatel, musí uzavřít dohodu s příslušným členem skupiny, který bude jednat jako správce osobních údajů uživatelů, aby zajistil odpovídající opatření v oblasti ochrany osobních údajů, údajů a bezpečnosti informací. Součástí takové smlouvy jsou ustanovení zajišťující odpovídající nakládání s osobními údaji uživatelů a bezpečnostní opatření přiměřená objemu, povaze a citlivosti osobních údajů uživatelů, kterých se týká. 

Smluvní záruky musí zahrnovat přinejmenším následující prvky:

• požadavky na dodržování zákonů a zpracování osobních údajů uživatelů výhradně v souladu s podmínkami smlouvy a výhradně podle pokynů příslušného člena skupiny;
• Ujištění, že osoby oprávněné zpracovávat osobní údaje uživatele se zavázaly k mlčenlivosti nebo mají příslušnou zákonnou povinnost mlčenlivosti;
• Ujištění, že žádné předchozí zapojení jiného zpracovatele není provedeno bez předchozího výslovného nebo obecného písemného souhlasu Člena skupiny a že tento zpracovatel bude respektovat stejné smluvní záruky, pokud sám zapojí dalšího zpracovatele.
• příslušná technická a organizační opatření přizpůsobená citlivosti daných osobních údajů uživatelů a jejich zpracování;
• Pomoc členovi skupiny vhodnými technickými a organizačními opatřeními, pokud je to možné, za účelem splnění povinnosti člena skupiny reagovat na žádosti o výkon práv subjektu údajů;
• Oznamovací povinnost týkající se porušení zabezpečení, například povinnost neprodleně a písemně informovat společnost PayPal bez zbytečného odkladu poté, co se dozví o porušení zabezpečení.
• Podle volby člena skupiny, který je zveřejňuje, vymazání nebo navrácení všech osobních údajů tomuto členovi skupiny po ukončení poskytování služeb souvisejících se zpracováním a výmaz stávajících kopií, pokud právo Unie nebo členského státu nevyžaduje uchovávání osobních údajů;
• právo provádět audity dodržování smluvních záruk ze strany zpracovatele;
• ustanovení o nápravě v případě nedodržení právních a smluvních povinností zpracovatele.

Smlouvy musí obsahovat ustanovení o tom, že kromě jiných opravných prostředků uvedených ve smlouvě může nedodržení podmínek smlouvy vést k pozastavení nebo ukončení platnosti smlouvy.

3. Předávání osobních údajů třetím stranám

Pokud členové skupiny předávají osobní údaje uživatelů z EHP třetím stranám (včetně zpracovatelů, kteří nejsou členy skupiny, se sídlem v zemi mimo EHP, která (i) neposkytuje odpovídající úroveň ochrany (ve smyslu obecného nařízení EU o ochraně osobních údajů) a (ii) nemá jiná ujednání, která by splňovala požadavky EU na odpovídající ochranu, člen skupiny zajistí, aby třetí strana zavedla vhodná smluvní ochranná opatření, jako jsou standardní smluvní doložky schválené Evropskou komisí, které poskytují úroveň ochrany přiměřenou těmto firemním pravidlům týkajícím se uživatele, nebo alternativně zajišťují, že převod (i) probíhá s výslovným souhlasem uživatele, (ii) je nezbytný k uzavření nebo plnění smlouvy uzavřené s uživatelem, (iii) je nezbytný nebo právně vyžadovaný z důležitých důvodů veřejného zájmu, (iv) je nezbytné k ochraně životně důležitých zájmů uživatele; nebo (v) je nezbytné pro uplatnění, určení nebo obhajobu právních nároků.

2.8 Posouzení dopadů převodu

Členové musí posoudit (a průběžně sledovat), zda zákony nebo postupy třetích zemí nebrání dodržování těchto firemních pravidel týkajících se uživatelů. Tato posouzení zohledňují:

• Zvláštní okolnosti předání nebo souboru předání a jakéhokoli plánovaného dalšího předávání v rámci téže třetí země nebo do jiné třetí země, včetně:
• účely, pro které jsou údaje přenášeny a zpracovávány (např. marketing, HR, ukládání, IT podpora, klinická hodnocení);
• typy subjektů zapojených do zpracování (dovozce údajů a jakýkoli další příjemce jakéhokoli dalšího předání);
• hospodářské odvětví, v němž k převodu nebo souboru převodů dochází;
• kategorie a formát předávaných osobních údajů;
• místo zpracování, včetně uložení; a dále
• použité přenosové kanály;
• právní předpisy a postupy třetí země určení relevantní s ohledem na okolnosti předání, včetně těch, které vyžadují zpřístupnění údajů orgánům veřejné moci nebo povolují přístup těmto orgánům, a těch, které umožňují přístup k těmto údajům během tranzitu mezi zemí vývozce údajů a zemí dovozce údajů; a dále
• Veškerá příslušná smluvní, technická nebo organizační opatření zavedená k doplnění záruk podle firemních pravidel týkajících se uživatelů, včetně opatření uplatňovaných během přenosu a zpracování osobních údajů uživatelů v zemi určení.

Nelze-li zajistit odpovídající ochranu, musí být předávání pozastaveno nebo ukončeno. Posouzení musí být zdokumentována a na požádání zpřístupněna orgánům pro ochranu údajů.

2.9 Žádosti orgánů veřejné moci

Dovozci informují vedoucího člena skupiny na požádání o žádosti orgánů veřejné moci o přístup. Musí přiměřeně napadat utajení nebo nezákonné požadavky, minimalizovat zveřejnění a zaznamenávat úkony.

Pokud se uživatelé domnívají, že jejich osobní údaje byly zpracovány v rozporu s firemními pravidly pro uživatele, mohou své obavy nahlásit oddělení zákaznických služeb příslušného člena skupiny prostřednictvím webové stránky příslušné služby, e-mailu nebo jiným způsobem uvedeným v platných podmínkách.  Uživatelé obecně mohou najít odpovědi na nejčastější otázky a obavy týkající se ochrany osobních údajů zadáním slova „soukromí“ do sekce nápovědy příslušné služby, která uživatele obvykle přesměruje na stránku nebo zásady týkající se ochrany osobních údajů.  Sekce „nápověda“ příslušné služby je jedinečným vstupním bodem pro všechny dotazy uživatelů týkající se jejich soukromí nebo zpracování jejich uživatelských informací a poskytuje uživatelům možnost kontaktovat zákaznickou podporu. 

V případě pochybností o tom, jaký kanál použít k nahlášení obav týkajících se ochrany osobních údajů, se uživatelé mohou obrátit na evropského pověřence pro ochranu osobních údajů online.

Zákaznická podpora prošetřuje a pokouší se vyřešit obavy vznesené uživateli. Zaměstnanci odpovědní za řešení problémů souvisejících s ochranou soukromí úzce spolupracují s globálním týmem pro ochranu osobních údajů PayPal a odpovídají uživatelům v souladu se zásadami, postupy a pokyny společnosti PayPal. Pokud se uživatelé domnívají, že jejich obavy nebyly adekvátně vyřešeny, nebo pokud neobdrželi odpověď, mohou požádat, aby byly jejich obavy postoupeny evropskému inspektorovi ochrany údajů. Bude konzultován právní vedoucí ochrany osobních údajů a bude informován vedoucí ochrany osobních údajů pro dodržování předpisů. Postupy eskalace budou určeny na základě povahy a rozsahu problému a budou neprodleně předány příslušnému týmu.  Odpověď na stížnost bude uživateli poskytnuta v přiměřené lhůtě a v každém případě do tří (3) měsíců od data dotazu, s výjimkou neobvyklých okolností nebo složitých otázek, kdy bude Uživatel informován. že odpověď bude trvat déle než tři (3) měsíce.

Mechanismem vyřizování stížností není dotčeno právo uživatelů podávat stížnosti příslušným orgánům pro ochranu osobních údajů nebo soudům. Uživatelé mohou podat stížnost zejména:

• u příslušného orgánu pro ochranu osobních údajů, zejména v členském státě obvyklého bydliště, místa výkonu práce nebo místa údajného porušení údajů; a dále
• u příslušného soudu členských států, ve kterých má provozovnu člen skupiny, který je správcem nebo zpracovatelem osobních údajů uživatele, nebo kde má uživatel obvyklé bydliště.

Uživatelé z EHP, kteří mají podezření na porušení firemních pravidel týkajících se uživatelů mimo EHP, mají právo na soudní vymáhání a právo na nápravu a případně odškodnění v případě jakéhokoli porušení některého z vymahatelných prvků firemních pravidel týkajících se uživatelů jako oprávněné třetí strany, a to konkrétně pro oddíly 2, 3, 4, 7, 8 a 9 Firemních pravidel pro uživatele před příslušnými orgány pro ochranu osobních údajů nebo před soudy v souladu s oddílem 3. Tato práva na vymáhání doplňují další opravné prostředky nebo práva, která poskytuje společnost PayPal nebo která jsou k dispozici podle platných zákonů.

I když to není vyžadováno, doporučujeme uživatelům EHP, aby svůj problém nejprve nahlásili přímo členovi skupiny, nikoli úřadům pro ochranu údajů nebo soudům.  To umožňuje efektivní a rychlou reakci od skupiny PayPal a minimalizuje možné prodlevy ze strany úřadů pro ochranu údajů nebo soudních řízení.

PayPal Europe S.à r.l. et Cie, S.C.A., lucemburská společnost s ručením omezeným, přijímá odpovědnost za dodržování firemních pravidel týkajících se uživatelů ze strany členů skupiny a souhlasí s tím, že na ně bude dohlížet.  Vedoucí člen skupiny se zavazuje (i) přijmout nezbytná opatření k nápravě porušení spáchaného členy skupiny mimo EHP; a (ii) zaplatit uživatelům z EHP odškodnění udělené hlavním úřadem pro ochranu údajů nebo lucemburskými soudy za jakékoli škody přímo vyplývající z porušení podnikových pravidel pro uživatele členy skupiny mimo EHP, pokud by příslušný člen skupiny nebyl schopen nebo ochoten zaplatit náhradu nebo splnit příkaz. 

Vedoucí člen skupiny bere na vědomí a přijímá, že nese důkazní břemeno ohledně údajného porušení podnikových pravidel pro uživatele.

Vedoucí člen skupiny (nebo jakýkoli jiný člen skupiny) nenese odpovědnost, pokud na základě dostupných skutečností a s přihlédnutím k připomínkám uživatele přiměřeně prokáže, že člen skupiny mimo EHP neporušil firemní pravidla týkající se uživatelů nebo není odpovědný za jakoukoli škodu tvrzenou uživatelem.

Členové skupiny zajistí, aby všichni zaměstnanci zpracovávající osobní údaje uživatelů a zaměstnanci, kteří se podílejí na vytváření nástrojů pro shromažďování nebo zpracovávání osobních údajů uživatelů, absolvovali školení týkající se ochrany osobních údajů a zabezpečení informací, jehož cílem je informovat zaměstnance a zdůraznit jim potřebu chránit a zabezpečit osobní údaje uživatelů v souladu s těmito firemními pravidly týkajícími se uživatelů. 

Zaměstnanci jsou povinni každoročně absolvovat online školení o dodržování předpisů zaměřené na etický kodex, které bude zahrnovat část o ochraně údajů.  Noví zaměstnanci jsou povinni absolvovat online školení o dodržování předpisů při vstupu do zaměstnaneckého poměru.

Kromě tohoto online školení o dodržování předpisů povedou tým společnosti PayPal pro globální ochranu osobních údajů a evropský pověřenec pro ochranu osobních údajů školení týkající se ochrany osobních údajů a zabezpečení informací, jehož cílem je informovat zaměstnance a zdůraznit jim potřebu chránit a zabezpečit osobní údaje. Toto školení probíhá každoročně nebo častěji, pokud to vyžadují okolnosti.

Školení, které zaměstnanci absolvují, musí být přizpůsobeno jejich úrovni přístupu k osobním údajům uživatelů, přičemž uživatelé s vyšší úrovní přístupu musí absolvovat doplňující školení. 

Členové skupiny musí zaměstnance informovat o tom, že nedodržení těchto firemních pravidel týkajících se uživatelů může mít za následek disciplinární a jiná opatření povolená příslušnými zákony.  Kopie těchto firemních pravidel týkajících se uživatelů a jiných souvisejících zásad a postupů týkajících se ochrany osobních údajů mají zaměstnanci neustále k dispozici na firemním intranetu. Firemní pravidla týkající se uživatelů jsou také součástí etického kodexu, který si musí všichni zaměstnanci nastudovat a řídit se jím.

V zájmu zajištění souladu s těmito firemními pravidly týkajícími se uživatelů tým společnosti PayPal pro globální dodržování předpisů o ochraně osobních údajů průběžně kontroluje aktivity a postupy zpracování osobních údajů uživatelů. Tyto činnosti jsou koordinovány v úzké spolupráci s evropským pověřencem pro ochranu údajů. Tyto aktivity probíhají pravidelně, nejméně však jednou ročně, a pomáhají nám posoudit soulad s firemními pravidly pro uživatele.

Tým interního auditu je nezávislým a objektivním poradcem managementu a představenstva, který prostřednictvím výboru pro audit sděluje zjištění auditu představenstvu, vedení ochrany soukromí a evropskému pověřenci pro ochranu osobních údajů. 

Tým interního auditu může pravidelně provádět přezkum činností nebo postupů identifikovaných týmem pro ochranu soukromí. Tým interního auditu, vedoucí ochrany osobních údajů a evropský pověřenec pro ochranu osobních údajů v případě potřeby požadují, aby byl vypracován akční plán k zajištění souladu s těmito podnikovými pravidly pro uživatele. V případě, že interní skupiny nevyřeší záležitosti adekvátně, může Skupina jmenovat nezávislé externí auditory pro další řešení.

Evropský pověřenec pro ochranu osobních údajů, tým PayPal Global Privacy Compliance Team nebo týmy interního auditu a externí auditoři vypracují podrobné plány auditu a harmonogramy založené na riziku zpracování.

Výsledky auditu ochrany osobních údajů budou na požádání k dispozici příslušným orgánům pro ochranu osobních údajů.

Vzhledem k odlišným právním požadavkům na ochranu osobních údajů v jednotlivých zemích světa představují firemní pravidla týkající se uživatelů konzistentní soubor požadavků, které pomáhají zajistit řádné zpracování osobních údajů uživatelů. Firemní pravidla týkající se uživatelů představují základní požadavky na členy skupiny, ale členové skupiny musí dodržovat také příslušné zákony, které mohou vyžadovat přísnější standardy než firemní pravidla.

Žádná část těchto firemních pravidel týkajících se uživatelů neovlivňuje povinnosti členů skupiny stanovené příslušnými zákony o bankách, a to především v souvislosti s bankovním tajemstvím.   Pokud je příslušný zákon v rozporu s těmito firemními pravidly týkajícími se uživatelů, mohl by členovi skupiny bránit ve splnění povinností stanovených firemními pravidly týkajícími se uživatelů a má podstatný vliv na stanovené záruky, musí člen skupiny neprodleně upozornit evropského pověřence pro ochranu osobních údajů. Výjimkou jsou případy, kdy poskytnutí takových informací zakazuje orgán zabývající se vymáháním práva nebo zákon.  Evropský pověřenec pro ochranu osobních údajů, vedoucí zabývající se ochranou osobních údajů a vedoucí člen skupiny musí určit vhodný postup a v případě pochybností se poradit s příslušným orgánem pro ochranu osobních údajů.

Členové skupiny budou spolupracovat a vzájemně si pomáhat při vyřizování žádostí nebo stížností od uživatelů s ohledem na tato podniková pravidla uživatelů.

Členové skupiny budou svědomitě a přiměřeně reagovat na požadavky úřadů pro ochranu údajů týkající se podnikových pravidel uživatelů.  Pokud zaměstnanec obdrží takovou žádost od úřadu pro ochranu údajů, měl by o tom okamžitě informovat evropského pověřence pro ochranu údajů.   

Členové skupiny budou spolupracovat na dotazech a přijímat audity od příslušných úřadů pro ochranu údajů v EHP s ohledem na dodržování těchto podnikových pravidel pro uživatele a budou respektovat jejich rozhodnutí v souladu s platnými zákony a řádnými procesními právy.

Členové skupiny se budou v otázkách týkajících se firemních pravidel týkajících se uživatelů řídit doporučeními orgánů pro ochranu osobních údajů. Veškeré spory související s výkonem dohledu příslušného orgánu pro ochranu osobních údajů nad dodržováním firemních pravidel týkajících se uživatelů budou řešeny soudy členského státu daného úřadu pro ochranu osobních údajů v souladu s procesním právem tohoto členského státu. Členové skupiny souhlasí s tím, že se podřídí jurisdikci těchto soudů.

Společnost PayPal si vyhrazuje právo tato firemní pravidla týkající se uživatelů podle potřeby upravit, například v reakci na změny platných zákonů, pravidel, předpisů, postupů, postupů a organizační struktury společnosti PayPal nebo na požadavky příslušných orgánů pro ochranu osobních údajů.

Tým společnosti PayPal pro globální právní ochranu osobních údajů (pod vedením vedoucího právního oddělení pro ochranu osobních údajů) navrhne nezbytné změny těchto firemních pravidel týkajících se uživatelů. Tým společnosti PayPal pro globální dodržování předpisů o ochraně osobních údajů (pod vedením vedoucího pro dodržování předpisů pro ochranu osobních údajů) a evropský pověřenec pro ochranu osobních údajů musí schválit všechny změny firemních pravidel týkajících se uživatelů a sledovat všechny změny firemních pravidel týkajících se uživatelů i každou změnu v seznamu členů skupiny. Členové skupiny nahlásí příslušnému úřadu pro ochranu údajů změny podnikových pravidel pro uživatele k formálnímu schválení a podle požadavků platných zákonů.

Vedoucí člen skupiny bude konzultovat s hlavním úřadem pro ochranu osobních údajů podstatné změny podnikových pravidel pro uživatele, které by ovlivnily dodržování ochrany údajů nebo fungování podnikových pravidel uživatele.  Vedoucí člen skupiny bude nejméně jednou ročně informovat hlavní orgán pro ochranu osobních údajů o podstatných změnách firemních pravidel týkajících se uživatelů a změny v seznamu členů skupiny. Pokud podstatná změna poškozuje úroveň ochrany poskytovanou těmito firemními pravidly pro uživatele nebo by jinak významně ovlivnila firemní pravidla pro uživatele (např. změny jejich závazné povahy nebo změny vedoucího člena skupiny), budou tyto změny předem oznámeny hlavnímu orgánu pro ochranu osobních údajů se stručným vysvětlením důvodů aktualizace, aby vedoucí orgán pro ochranu osobních údajů mohl společně s dalšími příslušnými orgány pro ochranu osobních údajů posoudit, zda změny vyžadují nové schválení.

Týmy společnosti PayPal pro globální ochranu osobních údajů budou spolupracovat na podpoře evropského pověřence pro ochranu osobních údajů, který bude zejména koordinovat odpovědi a neprodleně reagovat na připomínky, návrhy nebo námitky ke změnám vzneseným hlavním úřadem pro ochranu osobních údajů jménem společnosti PayPal. Jakékoli připomínky, návrhy nebo námitky vznesené jinými úřady pro ochranu údajů budou sděleny evropskému pověřenci pro ochranu údajů vedoucím úřadem pro ochranu údajů, který bude jednat jménem ostatních úřadů pro ochranu údajů.  

Změny podnikových pravidel pro uživatele budou platit pro všechny členy skupiny ke dni účinnosti implementace. Tým společnosti PayPal pro globální ochranu osobních údajů a evropský pověřenec pro ochranu osobních údajů budou členy skupiny před jejich implementací informovat o změnách firemních pravidel týkajících se uživatelů. Členové skupiny poskytnou uživatelům oznámení o podstatných změnách podnikových pravidel pro uživatele v souladu s preferencemi služby uživatele buď hromadným e-mailem nebo zveřejněním na webových stránkách s jasným upozorněním pro uživatele předem, že se pravidla pro uživatele změnila . Členové skupiny zveřejní upravená Pravidla pro uživatele na vybraných externích webových stránkách nebo v aplikacích přístupných uživatelům.  Revize firemních pravidel týkajících se uživatelů vstoupí v platnost do dvou měsíců poté, co členové skupiny upozorní uživatele a zveřejní revidovaná firemní pravidla týkající se uživatelů.

K žádnému převodu na nového člena skupiny nedojde, dokud nový člen skupiny BCR nebude účinně vázán firemními pravidly týkajícími se uživatelů a nebude schopen zajistit jejich dodržování.

Uveřejní se firemní pravidla pro uživatele a na webu nebo v aplikacích služby bude zpřístupněn odkaz.  Budou k dispozici v klíčových jazycích EU. Uživatelé si mohou kopii vyžádat u Evropského pověřence pro ochranu osobních údajů (DPO), PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg nebo online.

Datum účinnosti: Datum zveřejnění

Kontakt: Uživatelé mohou vznést jakékoli dotazy nebo připomínky týkající se těchto podnikových pravidel uživatele kontaktováním:

Evropský pověřenec pro ochranu osobních údajů (DPO)

PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg nebo kontaktujte PayPal na následujícím odkazu: https://www.paypal.com.resource.data-analyze.v1.endpoints-api.com/uk/cshelp/contact-us/privacy

Členové skupiny vykládají podniková pravidla týkající se uživatelů způsobem, který je co nejvíce v souladu se základními pojmy zásad nařízení (EU) 2016/679 nebo jakékoli nahrazující právní předpisy EU.

Pro účely těchto firemních pravidel týkajících se uživatelů platí následující definice:

Pojem představenstvo označuje představenstvo vedoucího člena skupiny.

Správcem se rozumí právnická osoba, která sama nebo společně s jinými určuje účely a prostředky zpracování Osobních údajů.

Úřady pro ochranu údajů se rozumí nezávislé orgány veřejné moci, které prostřednictvím vyšetřovacích a nápravných pravomocí dohlížejí na uplatňování právních předpisů o ochraně údajů podle kapitoly VI nařízení (EU) 2016/679 a dalších příslušných vnitrostátních právních předpisů.

Zkratka EHP označuje Evropský hospodářský prostor, který se v současné době skládá z členských států EU, Islandu, Lichtenštejnska a Norska.

Pojemzaměstnanec označuje zaměstnance, pracovníky, stážisty a další personál, včetně pracovníků na dobu určitou nebo dočasných zaměstnanců, náhradních pracovníků nebo smluvních partnerů člena skupiny, ať už jsou zaměstnaní nebo najatí na plný nebo částečný úvazek, a to bez ohledu na typ zaměstnaneckého nebo smluvního vztahu.

Pojemevropský pověřenec pro ochranu osobních údajů(DPO) označuje zaměstnance, který je jmenován vedením vedoucího člena skupiny a zodpovídá se mu a působí také v rámci týmu společnosti PayPal pro globální ochranu osobních údajů. Evropský pověřenec pro ochranu osobních údajů sídlí v Lucembursku.

Pojemčlen skupiny označuje subjekt skupiny PayPal, který uzavřel smlouvu v rámci skupiny.

Dohodou IGA se rozumí vnitroskupinová dohoda mezi vedoucím členem skupiny a ostatními členy skupiny PayPal, díky níž jsou tato firemní pravidla týkající se uživatelů v rámci skupiny PayPal závazná.

Pojemhlavní orgán pro ochranu osobních údajů  označuje komisi CNPD (Commission nationale pour la protection des données) v Lucembursku.

Vedoucí člen skupiny označuje společnost PayPal (Europe) S.à r.l. & Cie, S.C.A., lucemburská společnost s ručením omezeným.

Pojemtým společnosti PayPal pro globální ochranu osobních údajů označuje koordinovaný tým společnosti PayPal pro globální dodržování předpisů o ochraně osobních údajů a tým společnosti PayPal pro právní aspekty globální ochrany osobních údajů.

Pojem tým společnosti PayPal pro globální dodržování předpisů o ochraně osobních údajů  označuje členy organizace pro dodržování předpisů, kteří se konkrétně zabývají dodržováním a fungováním programu pro ochranu osobních údajů PayPal. 

Pojemtým společnosti PayPal pro právní aspekty globální ochrany osobních údajů označuje členy právního oddělení, kteří se konkrétně zabývají ochranou dat a osobních údajů.

Termínem skupiny PayPal se rozumí společnost PayPal Holdings, Inc. (dále jen "společnost PayPal") a jakýkoli subjekt přímo či nepřímo ovládaný společností PayPal, který zpracovává osobní údaje uživatelů, přičemž kontrolou se rozumí vlastnictví většího než padesáti procent (50 %) hlasovacích práv při volbě ředitelů společnosti nebo více než padesáti procent (50 %) vlastnického podílu ve společnosti.

Identifikovatelná osoba  je osoba, kterou lze přímo nebo nepřímo identifikovat, především odkazem na identifikační číslo nebo na jeden nebo více specifických faktorů její fyzické, fyziologické, mentální, hospodářské, kulturní nebo sociální identity.

Pod pojmemzpracování  se rozumí jakákoli operace nebo soubor operací prováděných s osobními údaji, ať už přímo či automaticky. Patří sem například shromažďování, nahrávání, uspořádání, uchovávání, přizpůsobení nebo změny, načítání, nahlížení, používání, poskytování přenosem, šířením nebo jinými prostředky, připojování či slučování, blokování, vymazání nebo zničení.

Pojemzpracovatel označuje fyzickou nebo právnickou osobu, která zpracovává osobní údaje za člena skupiny.

Osobními údaji zvláštní kategorie se rozumí osobní údaje odhalující rasový nebo etnický původ, politické názory, náboženské nebo filozofické přesvědčení, členství v odborech, genetické údaje, biometrické údaje za účelem jedinečné identifikace fyzické osoby, informace týkající se trestných činů nebo informace týkající se zdraví, sexuálního života nebo sexuální orientace.

Služba znamená web, aplikaci nebo jiný produkt či službu nabízenou Členem skupiny k použití Uživatelem.

Třetí stranou se rozumí jakákoli fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jakýkoli jiný subjekt jiný než uživatel, člen skupiny a osoby, které jsou pod přímým vedením člena skupiny, jako jsou zaměstnanci, oprávněny zpracovávat osobní údaje. Pojem "třetí strana" zahrnuje zpracovatele, kteří nejsou členy skupiny.

Pojem uživatel označuje minulé a stávající zákazníky, potenciální zákazníky, investory, obchodní partnery a obchodníky skupiny PayPal.

Pod pojmemosobní údaje uživatelů se rozumí osobní údaje týkající se uživatelů.

Porušením Osobních údajů Uživatele se rozumí narušení bezpečnosti, které vede k náhodnému nebo nezákonnému zničení, ztrátě, změně, neoprávněnému zveřejnění nebo přístupu k Osobním údajům Uživatele přenášeným, uloženým nebo jinak zpracovávaným.

Seznam členů skupiny

Subjekty z EU/EHP

Subjekty ze Spojeného království

Subjekty mimo EU/EHP/Spojené království

Seznam zemí

Mimo EU

Velká Británie

EU