Règles de l'entreprise relatives à l'utilisateur PayPal

L’objectif du Groupe PayPal est d’appliquer des normes de respect de la vie privée et de protection des données uniformes, adéquates et globales pour le traitement de toutes les Données à caractère personnel dans l’ensemble du Groupe PayPal.  Les présentes Règles de l'entreprise relatives à l'utilisateur s'appliquent à toutes les Données à caractère personnel des utilisateurs :

• transférées par un Membre du groupe situé dans l'EEE (en tant que Responsable du traitement) à un Membre du groupe situé hors de l'EEE (en tant que Responsable du traitement ou Sous-traitant) ; et
• transférées ultérieurement par un Membre du groupe situé hors de l'EEE (en tant que destinataire) en vertu des présentes Règles de l'entreprise relatives à l'utilisateur à un autre Membre du groupe situé hors de l'EEE (en tant que Responsable du traitement ou Sous-traitant).

Aux quatre coins du monde, les Utilisateurs fournissent leurs Données à caractère personnel aux Membres du groupe pour utiliser les Services proposés par ce dernier.  La plupart des Données à caractère personnel des utilisateurs sont collectées et stockées aux États-Unis.  L’activité internationale de PayPal requiert le partage des Données à caractère personnel des utilisateurs avec les autres entités PayPal aux États-Unis et partout dans le monde où PayPal est actuellement présent ou prévoit de s’implanter.

PayPal s’engage à protéger adéquatement les Données à caractère personnel des utilisateurs, quel que soit l’endroit où elles se trouvent, y compris lors de leur transfert en dehors de l’EÉE.

La liste des Membres du Groupe soumis aux présentes Règles de l'entreprise relatives à l'utilisateur figure à l'Annexe I. Les employés situés dans les juridictions énumérées à l'Annexe II peuvent avoir accès aux Données à caractère personnel des Utilisateurs. Ces listes sont susceptibles d'évoluer à mesure que l'activité de la société se développe.

Le champ d'application matériel des présentes Règles renvoie aux définitions et aux articles des présentes Règles, notamment à l’Article 12 (Données à caractère personnel des utilisateurs et catégories de personnes concernées), à l’Article 2.1 concernant les types de traitements, c'est-à-dire les finalités pour lesquelles les Données à caractère personnel des utilisateurs sont traitées, et à la liste des pays figurant à l'Annexe II.

Les Règles de l'entreprise relatives à l'utilisateur sont rendues juridiquement contraignantes par un accord (l'« IGA ») conclu entre PayPal (Europe) S.à r.l. et Cie, S.C.A. (« Membre principal du groupe ») et tout autre Membre du groupe PayPal.  L’IGA impose aux Membres du groupe de se plier au présent règlement d’entreprise relatives à l’utilisateur. Les Membres du groupe imposent aux Employés de se plier au présent règlement d’entreprise relatif à l’utilisateur lors du traitement des Données à caractère personnel des utilisateurs.

Les chefs d’entreprise et la direction du Groupe PayPal doivent faire respecter la conformité au présent règlement d’entreprise, en s’assurant notamment que les Employés en ont connaissance et qu’ils les respectent.

Le Responsable de la conformité dédié au respect de la vie privée dirige le programme de respect de la vie privée de PayPal. Il est titulaire d’un poste supérieur au sein de PayPal Holdings, Inc. et rend directement des comptes au responsable de la conformité ou au plus haut dirigeant de PayPal chargé de la conformité. Le Responsable de la conformité dédié au respect de la vie privée supervise l'Équipe de conformité PayPal dédiée au respect de la vie privée à l'échelle mondiale et interagit avec d'autres organisations ou équipes internes, comme les services chargés des opérations, de la sécurité informatique, de la conformité, de la gestion des risques et des audits internes pour garantir des communications, pratiques et politiques cohérentes en termes de confidentialité au sein du Groupe PayPal. L’Équipe de conformité PayPal dédiée au respect de la vie privée à l’échelle mondiale développe sa stratégie de conformité et en coordonne la mise en place au sein du Groupe PayPal.  Elle veille également à la conformité opérationnelle.L’Équipe de conformité PayPal dédiée au respect de la vie privée à l’échelle mondiale a des représentants directs et indirects dans le Groupe PayPal qui veillent notamment à la conformité avec les Règles de l’entreprise relatives à l’utilisateur et les lois applicables en matière de protection des données.

Le Responsable juridique dédié au respect de la vie privée supervise l'Équipe juridique PayPal dédiée au respect de la vie privée à l'échelle mondiale et rend compte directement au directeur juridique ou au plus haut responsable de la direction juridique de PayPal. Le Responsable juridique dédié au respect de la vie privée définit les obligations de la société selon les lois applicables en matière de protection des données et les présentes Règles de l'entreprise relatives à l'utilisateur. Le Responsable juridique dédié au respect de la vie privée et l'Équipe juridique PayPal dédiée au respect de la vie privée à l'échelle mondiale travaillent en étroite collaboration avec le Responsable juridique dédié au respect de la vie privée et l'Équipe de conformité PayPal dédiée au respect de la vie privée à l'échelle mondiale. Ils collaborent également avec d'autres services et équipes internes, tels que les services juridiques, opérationnels, de sécurité de l'information et de gestion des risques, afin de fournir des conseils juridiques et d'interpréter les implications juridiques et réglementaires liées à l'évolution des questions de confidentialité au sein du Groupe PayPal à l'échelle mondiale.

Collectivement, l'Équipe de conformité PayPal et l'Équipe juridique PayPal dédiées au respect de la vie privée à l'échelle mondiale constituent l'Équipe PayPal dédiée au respect de la vie privée à l'échelle mondiale.

Le Responsable européen de la protection des données, qui se trouve à Luxembourg, est nommé par la direction de PayPal (Europe) S.àr.l. et Cie, SCA, dont il est le subordonné direct. Le Responsable européen de la protection des données fait office de point de contact principal pour les Autorités chargées de la protection des données de l'EEE et n'exerce aucune fonction susceptible d'entraîner un conflit d'intérêts. Le Responsable européen de la protection des données a, entre autres, les missions suivantes : informer et conseiller les Membres du groupe et leurs employés, qui traitent des données à caractère personnel, sur leurs obligations en vertu de la législation relative à la protection de la vie privée afin de garantir le respect des présentes Règles de l'entreprise relatives à l'utilisateur, collaborer avec l'Équipe PayPal dédiée au respect de la vie privée à l'échelle mondiale afin de contrôler le respect de la législation relative à la protection de la vie privée et des politiques connexes des Membres du groupe, et fournir des conseils juridiques aux Membres du groupe, à leur demande, concernant les analyses d'impact relatives à la protection des données et leur mise en œuvre. Le Responsable européen de la protection des données rend compte au niveau de direction le plus élevé et peut informer ce niveau de direction si des questions ou des problèmes surviennent dans l'exercice de ses fonctions.

Les Membres du groupe respectent les principes de traitement suivants pour les Données personnelles des utilisateurs.

2.1 Restriction de l'objet

Les Données personnelles des utilisateurs doivent être seulement traitées à des fins spécifiques, explicites et légitimes.  Les Données personnelles des utilisateurs peuvent notamment être traitées pour :

• communiquer avec les Utilisateurs au sujet des services ;
• proposer, gérer et faciliter la fourniture des Services à la demande des Utilisateurs, notamment l'ouverture d'un compte et la gestion des paiements des Utilisateurs ;
• améliorer les services et en développer de nouveaux ;
• résoudre les litiges, gérer les contentieux, résoudre les problèmes et assurer le service clientèle, y compris à des fins d'analyse de données, de tests, de recherche et de statistiques ;
• assurer la gestion des risques ;
• traiter des transactions et percevoir les frais dus, notamment pour démontrer que les transactions ont bien été exécutées ;
• vérifier la solvabilité et la capacité de paiement ;
• évaluer l'intérêt des Utilisateurs pour les Services, ainsi que leurs commentaires et avis à leur sujet, et informer les Utilisateurs des offres en ligne et hors ligne, des Services et des mises à jour ;
• personnaliser l'expérience des Utilisateurs ;
• détecter et prévenir les erreurs, les fraudes et autres activités criminelles, y compris en vérifiant l'identité et les coordonnées des Utilisateurs ;
• respecter les obligations légales, contractuelles ou réglementaires du Groupe PayPal ;
• faire respecter les Conditions générales du Service et les autres dispositions communiquées aux Utilisateurs au moment de la collecte des Données à caractère personnel et dans la Politique de confidentialité du Service ;
• protéger la sécurité, l'intégrité et la disponibilité des Services et du réseau du Groupe PayPal ;
• protéger les droits et intérêts légaux du Groupe PayPal, y compris, sans s'y limiter, pour intenter, exercer ou se défendre contre des actions en justice ou des procédures de recouvrement ;
• évaluer les modes de paiement et les services à proposer aux Utilisateurs, par exemple en effectuant des évaluations de solvabilité internes et externes ; et
• se conformer aux procédures internes de PayPal.

Le traitement des Données à caractère personnel des Utilisateurs à des fins autres que celles mentionnées ci-dessus est soumis à l'accord préalable de l'Équipe juridique PayPal dédiée au respect de la vie privée à l'échelle mondiale.  En cas de doute, les Membres du groupe devront se rapprocher de l'Équipe juridique PayPal dédiée au respect de la vie privée à l'échelle mondiale.

Les Données à caractère personnel des utilisateurs ne doivent pas faire l'objet d'un traitement ultérieur à des fins secondaires d'une manière incompatible avec les finalités énumérées ci-dessus, sauf s'il existe une base juridique à cet effet en vertu de la législation applicable du Membre du groupe située dans l'EEE et responsable de la collecte et/ou du transfert des Données à caractère personnel des utilisateurs (c'est-à-dire l'entité exportatrice).   

2.2 Minimisation des données, exactitude et limitation de la durée de conservation

Les Données personnelles des utilisateurs doivent :

• Être exactes et, si nécessaire, à jour
• Être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées
•  Conservées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées ou traitées ultérieurement
• Effacées, supprimées, détruites ou rendues anonymes conformément aux politiques PayPal applicables, lorsqu'elles ne sont plus nécessaires aux fins pour lesquelles elles ont été traitées, sauf s'il existe un fondement juridique justifiant la poursuite du traitement ou si leur conservation est requise par la législation applicable ou les politiques PayPal applicables

2.3 Fondements juridiques du traitement et équité

1. Base juridique du traitement des Données à caractère personnel des Utilisateurs

Les Membres du groupe s'assurent que les Données personnelles d'un Utilisateur sont traitées de manière juste et légale, notamment pour au moins l'un des motifs juridiques suivants :

• Consentement sans ambiguïté, libre, spécifique et éclairé de l'Utilisateur
• Traitement nécessaire à l'exécution d'un contrat duquel l'Utilisateur est une partie ou à la prise de mesures, à la demande de l'Utilisateur, avant la conclusion d'un contrat
• Traitement nécessaire au respect d'une obligation légale à laquelle les Membres du groupe sont soumis
• Traitement nécessaire pour protéger les intérêts vitaux de l'Utilisateur ou d'une autre personne physique
• Traitement nécessaire à l'exécution d'une tâche d'utilité publique ou dans l'exercice d'une autorité officielle conférée à un tiers ou aux Membres du groupe auxquels les données sont divulguées
• Traitement nécessaire aux fins des intérêts légitimes du Membre du groupe ou du/des tiers auxquels les données sont divulguées, sauf si les intérêts des droits et libertés fondamentales de l'Utilisateur prévalent sur ces intérêts légitimes

2. Base juridique du traitement des Données à caractère personnel de catégorie particulière des utilisateurs

Lorsque la collecte de Données à caractère personnel de catégorie particulière est nécessaire ou lorsque les Utilisateurs fournissent volontairement ces informations, les Membres du groupe doivent veiller à ce que les Données à caractère personnel de catégorie particulière des utilisateurs ne soient traitées que sur la base d'au moins l'un des motifs suivants :

• Consentement exprès de l'Utilisateur
• Traitement nécessaire à la protection des intérêts vitaux de l'Utilisateur ou d'une autre personne si l'Utilisateur est physiquement ou juridiquement incapable de donner son consentement
• Traitement concernant les Données personnelles d'un Utilisateur, manifestement rendues publiques par ce dernier
• Traitement nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice, ou lorsque les tribunaux agissent dans le cadre de leurs fonctions judiciaires

3. Base juridique du traitement impliquant une prise de décision automatisée

Lorsqu'un Utilisateur est susceptible de faire l'objet d'une décision fondée exclusivement sur un Traitement automatisé, y compris le profilage, et qui produit des effets juridiques ou significatifs (une « Décision automatisée »), les Membres du groupe veilleront à ce que cette décision automatisée :

• soit nécessaire à la conclusion ou à l'exécution d'un contrat entre l'Utilisateur et un Membre du groupe ;
• soit autorisée par le droit de l'UE ou celui d'un État membre auquel le Membre du groupe est soumis et qui prévoit également des mesures appropriées pour protéger les droits, libertés et intérêts légitimes de l'Utilisateur ; ou
• soit fondée sur le consentement explicite de l'Utilisateur.

En outre, au moins dans les premier et troisième cas susmentionnés, le Membre du groupe doit mettre en place des mesures appropriées pour protéger les droits, libertés et intérêts légitimes de l'Utilisateur, par exemple en offrant à ce dernier la possibilité de faire examiner la décision individuellement par un représentant du Service clientèle et en lui permettant d'exprimer son point de vue. Le représentant du Service clientèle signalera le problème au Responsable européen de la protection des données si l'Utilisateur continue à refuser une décision automatisée. Si nécessaire, le Responsable juridique dédié au respect de la vie privée sera consulté et le Responsable de la conformité dédié au respect de la vie privée en sera informé.

2.4 Transparence

Lorsque vous collectez les Données personnelles des utilisateurs, les Membres du groupe doivent indiquer à ces derniers :

• L'identité et les coordonnées du Membre du groupe responsable de la collecte et du Traitement initiaux
• Les coordonnées du Délégué européen à la protection des données. Ses coordonnées sont les suivantes : Délégué européen à la protection des données (DPD) PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg, ou en ligne.
• Les finalités prévues du Traitement ainsi que la base juridique de celui-ci
• Lorsque le traitement est fondé sur des intérêts légitimes, les intérêts légitimes poursuivis par le Membre du Groupe ou par un tiers
• Les destinataires ou catégories de destinataires (y compris les Sous-traitants) des Données à caractère personnel des utilisateurs
• Le cas échéant, le fait que le Membre du groupe ait l’intention de transférer les Données à caractère personnel des utilisateurs vers un pays tiers ou une organisation internationale, ainsi que l'existence ou l'absence d'une décision d'adéquation de la Commission européenne, ou une référence aux garanties appropriées ou adéquates (y compris les présentes Règles de l'entreprise relatives à l'utilisateur) lorsqu'il est fait appel à celles-ci, ainsi que les moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition
• La durée de conservation des Données à caractère personnel des utilisateurs ou, si cela n'est pas possible, les critères utilisés pour déterminer ladite durée
• L'existence des Droits des utilisateurs, notamment le droit de demander à un Membre du groupe l'accès à leurs Données à caractère personnel, leur rectification ou leur effacement, la limitation du traitement les concernant ou de s'opposer au Traitement, ainsi que le droit à la portabilité des données
• Lorsque le Traitement repose sur le consentement, l'existence du droit de retirer ce consentement à tout moment, sans que cela n'affecte la licéité du Traitement fondé sur le consentement avant son retrait
• Le droit de déposer une réclamation auprès d'une Autorité chargée de la protection des données
• Lorsque la communication des Données à caractère personnel des utilisateurs constitue une obligation légale ou contractuelle, ou une condition nécessaire à la conclusion d'un contrat, ainsi que le caractère obligatoire ou facultatif des réponses aux questions, et les conséquences éventuelles d'un défaut de réponse
• En cas de Décisions automatisées, des informations pertinentes sur la logique sous-jacente, ainsi que sur la portée et les conséquences envisagées d'un tel Traitement pour l'Utilisateur

Les Membres du groupe peuvent communiquer ces informations dans un règlement sur le respect de la vie privée d'un Service, qui doit être accessible via un lien et/ou affiché à un emplacement bien visible sur chaque site ou dans chaque application du Service et lors de l'inscription.  L'obligation d'informer les Utilisateurs ne s'applique pas si ceux-ci ont déjà connaissance des informations.  

Lorsque la communication de ces informations s'avère impossible ou demanderait un effort disproportionné, les Membres du groupe peuvent s'abstenir de les communiquer.  L'obtention indirecte des Données personnelles des utilisateurs serait le seul cas justifiant une telle absence de communication. 

Dans des circonstances exceptionnelles, la communication d'informations spécifiques peut être reportée ou omise, par exemple dans le cadre d'enquêtes pour conduite fautive ou non-respect des lois applicables, ou lorsque la communication des informations pourrait menacer l'intégrité de l'enquête.

2.5 Responsabilité, confidentialité et sécurité

1. Responsabilité

Chaque Membre du groupe agissant en tant que responsable du traitement des données doit se conformer aux Règles de l'entreprise relatives à l'utilisateur et être en mesure d'en apporter la preuve.

Afin de renforcer la conformité et lorsque cela s'avère nécessaire, des analyses d'impact relatives à la protection des données sont réalisées pour les opérations de traitement susceptibles de présenter un risque élevé pour les droits et libertés des personnes physiques. Lorsqu'une analyse d'impact relative à la protection des données, telle que prévue par le Règlement (UE) 2016/679, indique que le traitement entraînerait un risque élevé en l'absence de mesures prises par le Membre du groupe pour atténuer ce risque, l'Autorité compétente chargée de la protection des données sera consultée avant le traitement.

Des mesures techniques et organisationnelles appropriées sont mises en œuvre et conçues pour appliquer les principes de protection des données et faciliter le respect, dans la pratique, des exigences établies par les Règles de l'entreprise relatives à l'utilisateur (protection des données dès la conception et par défaut).

2. Confidentialité et sécurité

Les Membres du groupe utilisent des contrôles de sécurité physiques, techniques et organisationnels proportionnels au volume et à la sensibilité des Données personnelles des utilisateurs pour empêcher tout traitement non autorisé, notamment l'accès non autorisé aux Données personnelles des utilisateurs, ou leur acquisition, perte, destruction ou détérioration. Les Membres du groupe ont recours au chiffrement, à des pare-feu, à des contrôles d'accès, à des normes et à d'autres procédures afin de protéger les Données à caractère personnel des Utilisateurs contre tout accès non autorisé.  L'accès physique et logique aux fichiers électroniques et physiques est restreint selon les responsabilités professionnelles et les besoins commerciaux.

3. Violation de données à caractère personnel

Dès la découverte d'une violation de données à caractère personnel telle que définie aux Articles 4(12), 33(1) et 34(1) du RGPD (Règlement UE 2016/679) et à l'Article 33.1, le Membre du groupe concerné doit en informer sans délai injustifié le Membre principal du groupe, le Délégué européen à la protection des données ainsi que les autres parties prenantes requises, conformément aux politiques internes applicables. Lorsque la violation de données à caractère personnel est susceptible d'entraîner un risque élevé pour les droits et libertés des personnes physiques, le Membre du groupe et le Membre principal du groupe, en concertation avec le Délégué européen à la protection des données, doivent informer les personnes concernées et l'Autorité compétente chargée la protection des données, le cas échéant. Les violations de données à caractère personnel doivent faire l'objet d'un rapport documentant i) les faits relatifs à la violation, ii) ses effets et iii) les mesures correctives prises. Ce rapport doit être transmis à l'Autorité compétente chargée de la protection des données à sa demande.

2.6 Options et droits des Utilisateurs

Les Utilisateurs peuvent exercer les droits suivants :

• Les Utilisateurs peuvent accéder à et corriger la plupart des Données personnelles les concernant, conservées par les Membres du groupe, à l'aide de l'outil en ligne ou du processus en libre-service adéquat mis à leur disposition via le site ou l'application du Service.
• Dans tous les cas, les Utilisateurs ont le droit d'envoyer une demande d'accès à leurs données pour consulter ou recevoir une copie des Données personnelles les concernant qu'ils ne peuvent pas consulter sur le site ou l'application du Service. Les utilisateurs doivent contacter le Service clientèle conformément aux indications données sur le site ou l'application du Service.
• Les Utilisateurs peuvent également demander la rectification de leurs données si celles-ci sont incomplètes ou inexactes. Les Membres du groupe se conformeront à ladite demande et informeront les Utilisateurs de la rectification de leur données. Les Membres du groupe informeront les tiers auxquels les données de l'Utilisateur ont été communiquées de toute rectification, sauf si cela s'avère impossible ou implique un effort disproportionné.
• Les Utilisateurs peuvent exercer leur droit de demander un réexamen par un être humain de toute Décision automatisée prise par un Membre du groupe, conformément à la Section 2.3 (c).
• Les Utilisateurs peuvent contester le Traitement de leurs Données à caractère personnel. Les Membres du groupe se conformeront à ce type de demande, sauf si la conservation des Données personnelles des utilisateurs est exigée par la loi en vigueur ou pour défendre le Groupe PayPal contre les réclamations fondées en droit. Les Utilisateurs seront informés de l'issue de leur demande et des mesures prises par les Membres du groupe.
• Par ailleurs, les Utilisateurs peuvent demander à clôturer leur compte en suivant les instructions fournies par le site ou l'application du Service. Ils peuvent également exercer leurs droits à la limitation du traitement de leurs Données à caractère personnel d'utilisateur, ou à l'effacement de ces données, dans le cadre de cette fermeture de compte. Les Membres du groupe procéderont alors à la suppression ou à l'anonymisation des informations des Utilisateurs d'un Service dès que raisonnablement possible selon l'activité du compte.  Dans certains cas, les membres du groupe peuvent retarder la clôture d'un compte ou conserver les Données personnelles des utilisateurs à des fins d'enquête ou d'application de la loi en vigueur. Les Membres du groupe peuvent également conserver les Données personnelles associées à des comptes clôturés pour détecter et empêcher les fraudes, collecter des commissions, résoudre des litiges et des problèmes, faciliter les enquêtes, gérer les risques, appliquer les Conditions générales d'un service, se conformer aux exigences juridiques ou réglementaires, et prendre d'autres mesures autorisées par la loi applicable. Lesdites données ne seront pas conservées sous une forme permettant d'identifier les sujets correspondant aux données plus longtemps que nécessaire pour parvenir aux fins auxquelles les données ont été collectées ou ont fait l'objet d'un traitement supplémentaire, et seront supprimées lorsque le motif sous-jacent de leur conservation aura été traité ou résolu.
• À l'exception des Utilisateurs ayant choisi de ne pas recevoir certaines communications, les Membres du groupe peuvent utiliser les Données personnelles des utilisateurs pour orienter leurs communications en fonction de leurs intérêts, conformément à la loi applicable.  Les utilisateurs ne souhaitant pas recevoir les communications marketing du Groupe PayPal se verront offrir des moyens facilement accessibles de s'opposer à la réception de publicités, par exemple dans les paramètres de leur compte ou en suivant les indications fournies dans un email ou via un lien intégré dans une communication.

Dans tous les cas, les Utilisateurs peuvent exercer les droits susmentionnés en contactant le Service clientèle. Si l'identité d'un Utilisateur est difficile à vérifier, les Membres du groupe peuvent lui demander de fournir une preuve d'identité supplémentaire. Les Membres du groupe se conformeront aux demandes dans les délais prescrits par la loi applicable, sauf si ladite loi prévoit une exception à une telle obligation.

2.7 Communication et transfert des Données à caractère personnel

Dans le cadre de leurs activités normales, les Membres du groupe peuvent partager les Données personnelles des utilisateurs avec d'autres Membres du groupe, dans le monde entier, aux fins mentionnées dans la section2.1.

1. Communication et transferts à des autorités publiques externes

Conformément aux lois, traités et conventions internationales applicables, les Membres du groupe peuvent partager des Données personnelles avec les autorités policières et réglementaires lorsque cela est nécessaire dans une société démocratique pour préserver la sécurité nationale, et assurer la défense, la sécurité publique, la prévention, les enquêtes, la détection et les poursuites engagées en cas de délits et, notamment, pour se conformer aux sanctions définies dans les lois internationales et/ou nationales, et les exigences déclaratives fiscales ou de signalement d'actes relevant du blanchiment d'argent.

Lorsqu'un Membre du groupe situé hors de l'UE a des raisons de croire que la législation qui lui est applicable l'empêche de remplir ses obligations au titre des Règles de l'entreprise relatives à l'utilisateur, ce qui a une incidence significative sur les garanties prévues par ces Règles, ce Membre du groupe situé en dehors de l'UE en informera sans délai (sauf interdiction) le Membre principal du groupe et/ou le Délégué européen à la protection des données. Cela inclut notamment les cas où :

1. il reçoit une demande juridiquement contraignante émanant d'une autorité publique non européenne visant à obtenir la divulgation de Données à caractère personnel des utilisateurs transférées en vertu des présentes Règles de l'entreprise relatives à l'utilisateur. Dans ce cas, le Membre du groupe situé hors de l'UE fournira (sauf interdiction) au Membre principal du groupe et/ou au Délégué européen à la protection des données des informations concernant les Données à caractère personnel des utilisateurs demandées, l'autorité publique non européenne à l'origine de la demande, la base juridique de la demande et la réponse apportée ;
2. il prend connaissance de tout accès direct par des autorités publiques non européennes aux Données à caractère personnel des utilisateurs transférées conformément aux Règles de l'entreprise relatives à l'utilisateur, auquel cas le Membre du groupe situé hors de l'UE fournira (sauf interdiction) au Membre principal du groupe et/ou au Délégué européen à la protection des données les informations dont il a connaissance.

Si, dans des cas spécifiques, la suspension et/ou la notification sont interdites, le Membre du groupe destinataire de la demande s'efforcera d'obtenir le droit de déroger à cette interdiction afin de communiquer autant d'informations que possible et dans les meilleurs délais. Le Membre groupe situé hors de l'UE examinera la légalité de chaque demande de divulgation émanant d'une autorité publique non européenne afin d'évaluer si celle-ci relève des pouvoirs conférés à cette autorité, et contestera la demande si ce n'est pas le cas. Il documentera et conservera une trace de son examen et, sauf interdiction, mettra ces informations à la disposition du Membre principal du groupe et/ou du Délégué européen à la protection des données. Il les mettra également à la disposition des Autorités compétentes chargées de la protection des données sur demande.

Le Membre du groupe situé hors de l'UE fournira le minimum d'informations autorisé lorsqu'il répondra à une demande de communication d'informations émanant d'une autorité publique non européenne, sur la base d'une interprétation raisonnable de cette demande.

Les Membres du groupe ne peuvent pas transférer les Données à caractère personnel des utilisateurs à une autorité publique située en dehors de l'UE de manière massive, disproportionnée et indiscriminée, qui irait au-delà de ce qui est nécessaire dans une société démocratique.

2. Communication de données à caractère personnel à un Sous-traitant

Lorsque les Membres du groupe transfèrent des Données à caractère personnel des utilisateurs à un Sous-traitant, ce dernier fera l'objet d'une évaluation des risques en matière de confidentialité, de protection des données et de sécurité de l'information avant le début des travaux et avant tout transfert de Données à caractère personnel des utilisateurs.  La portée de cette évaluation variera en fonction du caractère sensible des Données à caractère personnel des utilisateurs traitées. L'évaluation relative à la confidentialité, à la protection des données et à la sécurité de l'information n'est pas obligatoire pour les Sous-traitants qui ont déjà fait l'objet d'une telle évaluation ou qui sont des Membres du groupe, sauf si les activités de Traitement comportent des risques élevés compte tenu de la nature et du volume des Données à caractère personnel ainsi que du type d'activités de Traitement concernées.

Les Sous-traitants, y compris tout Membre du groupe intervenant en tant que Sous-traitant, doivent conclure un accord avec le Membre du groupe concerné qui agira en tant que Responsable du traitement des Données à caractère personnel des utilisateurs, afin de garantir la mise en place de mesures adéquates en matière de confidentialité, de protection des données et de sécurité de l'information. Ledit accord doit inclure des clauses garantissant l'utilisation appropriée des Données personnelles des utilisateurs et des mesures de sécurité proportionnelles au volume, à la nature et à la sensibilité des Données personnelles concernées. 

Les garanties contractuelles doivent au moins couvrir les points suivants :

• Exigences de conformité à la loi et de traitement des Données personnelles des utilisateurs conformément aux termes de l'accord et seulement sur les instructions des Membres du groupe concernés
• Garantie que les personnes autorisées à traiter les Données à caractère personnel des utilisateurs se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale de confidentialité appropriée
• Garantie qu'aucun recours à un autre sous-traitant n'est effectué sans l'autorisation écrite préalable, spécifique ou générale, du Membre du groupe, et que ce sous-traitant respectera les mêmes garanties contractuelles lorsqu'il fera lui-même appel à un autre sous-traitant
• Mesures techniques et organisationnelles adéquates et adaptées à la sensibilité des Données personnelles des utilisateurs et au traitement concernés
• Assistance apportée au Membre du groupe par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, afin de lui permettre de s'acquitter de son obligation de répondre aux demandes d'exercice des droits de la personne concernée
• Obligations de notification des violations de sécurité, notamment celle d'informer PayPal par écrit dans les plus brefs délais, sans retard injustifié, dès la prise de connaissance d'une violation de sécurité
• Au choix du Membre du groupe qui a communiqué les données, la suppression ou la restitution de toutes les Données à caractère personnel à ce Membre du groupe après la fin de la prestation des services liés au traitement, ainsi que la suppression des copies existantes, sauf si le droit de l'Union ou celui d'un État membre exige la conservation des Données à caractère personnel
• Droit de vérification de la conformité des Responsables du traitement avec les garanties contractuelles
• Dispositions en matière de réparation en cas de non-respect, par le Responsable du traitement, de ses obligations juridiques ou contractuelles

L'accord doit prévoir des dispositions garantissant la suspension ou la résiliation de l'accord en cas de non-respect de ses termes, entre autres recours indiqués dans celui-ci.

3. Communication de Données à caractère personnel à des Tiers

Lorsque des Membres du groupe transfèrent les Données à caractère personnel des utilisateurs de l'EEE à des tiers (y compris des Sous-traitants qui ne sont pas Membres du groupe) situés dans un pays hors de l'EEE qui (i) n'assure pas un niveau de protection adéquat (au sens du Règlement général sur la protection des données de l'UE) et (ii) ne dispose pas d'autres dispositions permettant de satisfaire aux exigences d'adéquation de l'UE, le Membre du groupe doit s'assurer que le Tiers met en œuvre des garanties contractuelles appropriées, telles que les clauses contractuelles types approuvées par la Commission européenne, offrant des niveaux de protection équivalents à ceux prévus par les présentes Règles de l'entreprise relatives à l'utilisateur ou, à défaut, s'assurer que le transfert (i) a lieu avec le consentement explicite de l'utilisateur, (ii) est nécessaire à la conclusion ou à l'exécution d'un contrat conclu avec l'utilisateur, (iii) est nécessaire ou légalement requis pour des motifs d'intérêt public importants, (iv) est nécessaire pour protéger les intérêts vitaux de l'Utilisateur, ou (v) est nécessaire à l'exercice, à la constatation ou à la défense de droits en justice.

2.8 Évaluations de l'impact des transferts

Les Membres doivent évaluer (et surveiller en permanence) si les lois ou pratiques d'un pays tiers font obstacle au respect des présentes Règles de l'entreprise relatives à l'utilisateur. Ces évaluations doivent prendre en compte :

• Les circonstances spécifiques des transferts ou de l'ensemble des transferts, ainsi que de tout transfert ultérieur envisagé au sein du même pays tiers ou vers un autre pays tiers, notamment :
• les finalités pour lesquelles les données sont transférées et traitées (par exemple, marketing, ressources humaines, stockage, support informatique, essais cliniques) ;
• les types d'entités impliquées dans le traitement ('’importateur de données et tout autre destinataire d'un transfert ultérieur) ;
• le secteur économique dans lequel le transfert ou l'ensemble de transferts a lieu ;
• les catégories et le format des données à caractère personnel transférées ;
• le lieu du traitement, y compris le stockage ; et
• les canaux de transmission utilisés ;
• Les lois et pratiques du pays tiers de destination pertinentes au regard des circonstances du transfert, y compris celles exigeant la communication de données aux autorités publiques ou autorisant l'accès par ces autorités, ainsi que celles prévoyant l'accès à ces données pendant leur transit entre le pays de l'exportateur de données et le pays de l'importateur de données
• Toutes les garanties contractuelles, techniques ou organisationnelles pertinentes mises en place pour compléter les garanties prévues par les Règles de l'entreprise relatives à l'utilisateur, y compris les mesures appliquées pendant la transmission et au traitement des Données à caractère personnel des utilisateurs dans le pays de destination

Si une protection adéquate ne peut être assurée, les transferts doivent être suspendus ou interrompus. Les évaluations doivent être documentées et mises à la disposition des Autorités chargées de la protection des données sur demande.

2.9 Demandes émanant des autorités publiques

Les importateurs doivent informer le Membre principal du groupe, à sa demande, des demandes d'accès formulées par les autorités publiques. Ils doivent contester de manière raisonnable les demandes fondées sur le secret ou illégales, limiter au maximum la communication de données et consigner les mesures prises.

Si les Utilisateurs estiment que leurs Données à caractère personnel ont été traitées en violation des Règles de l'entreprise relatives à l'utilisateur, ils peuvent signaler leurs préoccupations au Service clientèle du Membre du groupe concerné via le site ou la messagerie électronique du Service en question, ou selon toute autre modalité prévue dans les Conditions générales applicables.  Les Utilisateurs peuvent généralement trouver les réponses aux questions les plus fréquemment posées sur le respect de la vie privée en saisissant « respect de la vie privée » dans la section d’aide du Service concerné, qui les redirige normalement vers une page dédiée au respect de la vie privée ou au règlement correspondant.  La rubrique d’aide du Service concerné est l’unique point d’entrée de toutes les demandes des Utilisateurs concernant le respect de leur vie privée ou le traitement de leurs Données personnelles. 

En cas de doute quant au canal à utiliser pour signaler des problèmes liés à la confidentialité, les Utilisateurs peuvent contacter le Délégué européen à la protection des données en ligne.

Le Service clientèle examine les problèmes soulevés par les Utilisateurs et tente de les résoudre. Les Employés responsables du traitement des problèmes liés au respect de la vie privée travaillent en étroite collaboration avec l’Équipe PayPal dédiée au respect de la vie privée à l’échelle mondiale et répondent aux Utilisateurs conformément aux politiques, procédures et directives de PayPal. Si les Utilisateurs pensent que leurs problèmes n’ont pas été traités de façon adéquate, ou s’ils n’ont pas reçu de réponse, ils peuvent demander à transférer leur problème au Responsable européen de la protection des données. Le Responsable juridique dédié au respect de la vie privée sera consulté et le Responsable de la conformité dédié au respect de la vie privée en sera informé. Les voies de transfert d’un problème doivent être déterminées selon la nature et la portée du problème, et doivent être communiquées sans délai à l’équipe appropriée.  L’Utilisateur doit recevoir une réponse à sa plainte dans un délai raisonnable et, dans tous les cas, dans un délai maximal de trois (3) mois après la date du dépôt, sauf en cas de circonstances inhabituelles ou en présence de questions complexes, auquel cas l’Utilisateur sera informé que la réponse prendra plus de trois (3) mois.

Le mécanisme de traitement des réclamations ne porte pas atteinte au droit des Utilisateurs de saisir les autorités compétentes en matière de protection des données ou les tribunaux. En particulier, les Utilisateurs peuvent déposer une réclamation :

• auprès d'une Autorité compétente chargée de la protection des données, notamment dans l'État membre où se trouve leur résidence habituelle, leur lieu de travail ou le lieu de l'infraction présumée ; et
• devant la juridiction compétente des États membres où le Membre du groupe agissant en tant que Responsable du traitement ou Sous-traitant des données à caractère personnel des utilisateurs dispose d'un établissement, ou où l'Utilisateur a sa résidence habituelle.

Les Utilisateurs de l'EEE qui soupçonnent une violation des Règles de l'entreprise relatives à l'utilisateur en dehors de l'EEE disposent d'un droit à l'exécution judiciaire et du droit d'obtenir réparation et, le cas échéant, une indemnisation en cas de violation de l'un des éléments exécutoires des Règles de l'entreprise relatives à l'utilisateur en tant que tiers bénéficiaires, et plus particulièrement en ce qui concerne les Articles 2, 3, 4, 7, 8 et 9 des Règles de l'entreprise relatives à l'utilisateur, devant les autorités compétentes chargées de la protection des données ou devant les tribunaux, conformément à l’Article 3. Ces droits de recours s'ajoutent aux autres voies de recours ou droits prévus par PayPal ou disponibles en vertu de la législation applicable.

Bien que cela ne soit pas obligatoire, les Utilisateurs de l'EEE sont invités à signaler d'abord leur problème au Membre du groupe plutôt qu'aux Autorités chargées de la protection des données ou aux tribunaux.  Cela permet une réponse rapide et efficace du Groupe PayPal, et réduit au maximum les retards potentiels des Autorités chargées de la protection des données ou des procédures pénales.

PayPal Europe S.à r.l. et Cie, S.C.A., société à responsabilité limitée de droit luxembourgeois, assume la responsabilité du respect des Règles de l'entreprise relatives à l'utilisateur par les Membres du groupe et s'engage à veiller à ce qu'ils s'y conforment.  Le Membre du groupe principal s'engage (i) à prendre les mesures nécessaires pour remédier à une violation commise par les Membres du groupe en dehors de l'EEE ; et (ii) à verser aux Utilisateurs de l'EEE les indemnités accordées par l'Autorité responsable de la protection des données ou les tribunaux luxembourgeois pour tout dommage résultant directement de la violation des Règles de l'entreprise relatives à l'utilisateur par des Membres du groupe situés en dehors de l'EEE, dans le cas où les Membres du groupe concernés seraient incapables de payer lesdites indemnités ou de se conformer à la règle, ou peu disposés à le faire.

Le Membre du groupe principal reconnaît et accepte le fait qu'il porte la charge des preuves en cas de violation présumée des Règles de l'entreprise relatives à l'utilisateur.

Le Membre principal du groupe (ou tout autre Membre du groupe) ne saurait être tenu responsable s'il démontre de manière raisonnable, sur la base des faits disponibles et en tenant compte des observations de l'Utilisateur, que le Membre du groupe situé en dehors de l'EEE n'a pas enfreint les Règles de l'entreprise relatives à l'utilisateur ou n'est pas responsable du préjudice allégué par l'Utilisateur.

Les Membres du groupe veilleront à ce que tous les Employés traitant les Données personnelles des utilisateurs, ainsi que les Employés impliqués dans la conception d'outils destinés à être utilisés pour collecter ou traiter les Données personnelles des utilisateurs, reçoivent une formation les sensibilisant au respect de la vie privée et à la sécurité des données, et ce, afin de les informer de la nécessité et de l'importance de protéger et de sécuriser les Données personnelles des utilisateurs conformément aux présentes Règles de l'entreprise relatives à l'utilisateur. 

Chaque année, les Employés doivent suivre une formation en ligne dédiée à la conformité et axée sur le Code de conduite et d'éthique en entreprise, qui comporte une section sur la protection des données. Les nouveaux Employés doivent suivre la formation en ligne dédiée à la conformité à leur arrivée.

Outre cette formation en ligne dédiée à la conformité, l'Équipe PayPal dédiée au respect de la vie privée à l'échelle mondiale et le Responsable européen de la protection des données dispensent une formation sensibilisant les Employés au respect de la vie privée et à la sécurité des données, et ce, afin de les informer de la nécessité et de l'importance de protéger et de sécuriser les Données personnelles des utilisateurs. Ces formations sont organisées chaque année ou plus fréquemment, si les circonstances l'exigent.

La formation reçue par les Employés doit être adaptée à leur niveau d'accès aux Données personnelles des utilisateurs. Une formation supplémentaire doit être dispensée aux Employés ayant un niveau d'accès supérieur. 

Les Membres du groupe doivent informer les Employés que le non-respect des présentes Règles de l'entreprise relatives à l'utilisateur peut entraîner l'application de mesures disciplinaires et de toute autre mesure autorisée par la loi en vigueur. Les Employés peuvent consulter à tout moment, via l'intranet de la société, une copie des présentes Règles de l'entreprise relatives à l'utilisateur, et des autres procédures et règlements importants concernant la sécurité et le respect de la vie privée. Les Règles de l'entreprise relatives à l'utilisateur sont également incluses dans le Code de conduite et d'éthique en entreprise, que tous les Employés doivent consulter et accepter de respecter.

Afin de garantir le respect des présentes Règles de l'entreprise relatives à l'utilisateur, l'Équipe de conformité PayPal dédiée au respect de la vie privée à l'échelle mondiale contrôle régulièrement les activités et pratiques liées au Traitement des Données à caractère personnel des utilisateurs. Ces activités sont coordonnées en étroite collaboration avec le Responsable européen de la protection des données. Ces activités ont lieu régulièrement, au moins une fois par an, et permettent d'évaluer le respect des Règles de l'entreprise relatives à l'utilisateur.

L’équipe d’audit interne agit en tant que conseiller indépendant et objectif de la direction et du Comité directeur qui, via le comité d’audit, communique les résultats des audits au Comité directeur, aux responsables du respect de la vie privée et au Responsable européen de la protection des données. 

L’équipe d’audit interne peut effectuer une vérification régulière des activités ou pratiques observées par l’Équipe dédiée au respect de la vie privée à l’échelle mondiale. L'équipe d'audit interne, les responsables du respect de la vie privée et le Responsable européen de la protection des données exigeront, si nécessaire, la mise en œuvre d'un plan d'action visant à garantir le respect des présentes Règles de l'entreprise relatives à l'utilisateur. Si les groupes internes venaient à ne pas régler les problèmes de manière adéquate, le groupe pourrait nommer des auditeurs externes indépendants à des fins de résolution plus poussée.

Le Responsable européen de la protection des données, l’Équipe de conformité PayPal dédiée au respect de la vie privée à l’échelle mondiale ou les équipes d’audit interne et les auditeurs externes élaborent des plans et des calendriers d’audit détaillés en fonction des risques liés au traitement.

Les conclusions des audits de confidentialité seront mises à la disposition des Autorités compétentes chargées de la protection des données sur simple demande.

Avec des obligations juridiques en matière de protection des données différentes dans le monde entier, les Règles de l'entreprise relatives à l'utilisateur établissent un ensemble cohérent d'exigences pour garantir le traitement approprié des Données personnelles des utilisateurs. Bien que les Règles de l'entreprise relatives à l'utilisateur créent une exigence fondamentale à laquelle les Membres du groupe doivent se conformer, les Membres du groupe observeront les lois applicables susceptibles d'imposer des normes plus strictes que celles énoncées dans les présentes Règles de l'entreprise.

Aucune disposition des présentes Règles de l'entreprise relatives à l'utilisateur n'affecte les obligations des Membres du groupe en vertu des lois bancaires applicables, notamment en ce qui concerne le secret bancaire. En cas de conflit entre la loi applicable et les présentes Règles de l'entreprise relatives à l'utilisateur, dans la mesure où cela pourrait empêcher un Membre du groupe de remplir ses obligations en vertu des Règles de l'entreprise relatives à l'utilisateur et aurait un effet substantiel sur les garanties qui y sont prévues, le Membre du groupe en informe rapidement le Responsable européen de la protection des données, sauf si la communication de telles informations est interdite par les autorités ou la loi. Le Responsable européen de la protection des données, les responsables du respect de la vie privée et le Membre du groupe principal déterminent la marche à suivre et, en cas de doute, se rapprochent de l'Autorité compétente chargée de la protection des données.

Les Membres du groupe coopéreront et s'entraideront pour traiter les demandes ou les plaintes des Utilisateurs concernant les présentes Règles de l'entreprise relatives à l'utilisateur.

Les Membres du groupe répondront avec diligence et de manière appropriée aux demandes des Autorités chargées de la protection des données concernant les Règles de l'entreprise relatives à l'utilisateur.  Si un Employé reçoit une telle demande d'une Autorité chargée de la protection des données, il doit en informer immédiatement le Responsable européen de la protection des données.  

Les Membres du groupe répondront aux demandes de renseignements et accepteront les audits des Autorités compétentes chargées de la protection des données au sein de l'EEE en ce qui concerne l'observation des présentes Règles de l'entreprise relatives à l'utilisateur et respecteront leurs décisions, conformément à la loi en vigueur et aux droits à l'application régulière de la loi.

Les Membres du groupe se conformeront aux recommandations des Autorités chargées de la protection des données sur les questions liées aux Règles de l'entreprise relatives à l'utilisateur. Tout litige lié à l'exercice, par une Autorité chargée de la protection des données, de son pouvoir de contrôle du respect des Règles de l'entreprise relatives à l'utilisateur sera tranché par les tribunaux de l'État membre dont relève cette autorité, conformément au droit procédural de cet État membre. Les Membres du groupe acceptent de se soumettre à la compétence desdits tribunaux.

PayPal se réserve le droit de modifier les présentes Règles de l'entreprise relatives à l'utilisateur si nécessaire, notamment pour se conformer à des modifications apportées aux lois, règles et réglementations applicables, aux pratiques, procédures et à la structure organisationnelle de PayPal, ou aux exigences imposées par les Autorités compétentes chargées de la protection des données.

L'Équipe juridique PayPal dédiée au respect de la vie privée à l'échelle mondiale (sous la direction du Responsable juridique dédié au respect de la vie privée) proposera les modifications nécessaires aux présentes Règles de l'entreprise relatives à l'utilisateur. L'Équipe de conformité PayPal dédiée au respect de la vie privée à l'échelle mondiale (sous la direction du Responsable de la conformité dédié au respect de la vie privée) et le Délégué européen à la protection des données doivent approuver toutes les modifications apportées aux Règles de l'entreprise relatives à l'utilisateur et assurer le suivi de toutes ces modifications, ainsi que de tout changement intervenant dans la liste des Membres du groupe. Les Membres du groupe doivent soumettre aux Autorités compétentes chargées de la protection des données les modifications apportées aux Règles de l’entreprise relatives à l’utilisateur à des fins d’approbation officielle et conformément aux exigences du droit en vigueur.

Le Membre du groupe principal se rapprochera de l’Autorité responsable de la protection des données en ce qui concerne les changements importants apportés aux Règles de l’entreprise relatives à l’utilisateur qui auraient une incidence sur le respect de la protection des données ou sur l’application des Règles de l’entreprise relatives à l’utilisateur.  Le Membre principal du groupe communiquera à l'Autorité responsable de la protection des données, au moins une fois par an, les modifications substantielles apportées aux Règles de l'entreprise relatives à l'utilisateur ainsi que les modifications apportées à la liste des Membres du groupe. Si une modification substantielle porte atteinte au niveau de protection offert par les présentes Règles de l'entreprise relatives à l'utilisateur ou est susceptible d'affecter de manière significative ces dernières (par exemple, des modifications de leur caractère contraignant ou des changements concernant le Membre principal du groupe), ces modifications seront communiquées à l'avance à l'Autorité responsable de la protection des données, accompagnées d'une brève explication des raisons de cette mise à jour, afin que celle-ci puisse évaluer, en concertation avec les autres Autorités compétentes chargées de la protection des données, si les modifications nécessitent une nouvelle autorisation.

Les membres de l'Équipe PayPal dédiée au respect de la vie privée à l'échelle mondiale travailleront ensemble pour aider le Délégué européen de la protection des données qui, notamment, coordonnera les réponses et répondra rapidement aux commentaires, suggestions ou objections adressés à l'encontre des changements soulevés par l'Autorité responsable de la protection des données au nom de PayPal. Tout commentaire, toute suggestion ou toute objection soulevé(e) par d’autres Autorités chargées de la protection des données sera communiqué(e) au Responsable européen de la protection des données par l’Autorité responsable de la protection des données, qui agira au nom des autres Autorités chargées de la protection des données.  

Les modifications apportées aux Règles de l’entreprise relatives à l’utilisateur s’appliquent à tous les Membres du groupe à la date d’entrée en vigueur de leur introduction. L'Équipe PayPal dédiée au respect de la vie privée à l’échelle mondiale et le Délégué européen à la protection des données informeront les Membres du groupe des modifications apportées aux Règles de l'entreprise relatives à l'utilisateur avant leur mise en œuvre. Les Membres du groupe informeront les Utilisateurs des changements importants apportés aux Règles de l’entreprise relatives à l’utilisateur conformément aux préférences de Service des Utilisateurs, soit par un email groupé, soit par une publication sur le site Web, accompagnée d’un avertissement clair adressé à l’avance aux Utilisateurs et indiquant que les Règles de l’utilisateur ont changé. Les Membres du groupe doivent publier les Règles de l’entreprise relatives à l’utilisateur révisées sur certains sites ou dans certaines applications externes accessibles par les Utilisateurs.  Les modifications apportées aux Règles de l'entreprise relatives à l'utilisateur prennent effet dans un délai de deux mois à compter de la date à laquelle les Membres du groupe en ont informé les Utilisateurs et ont publié les Règles de l'entreprise relatives à l'utilisateur révisées.

Aucun transfert n'est effectué vers un nouveau Membre du groupe tant que ce dernier n'est pas effectivement soumis aux Règles de l'entreprise relatives à l'utilisateur et n'est pas en mesure de s'y conformer.

Les Règles de l'entreprise relatives à l'utilisateur doivent être publiées et un lien doit être mis à disposition sur le site ou dans les applications du Service.  Elles seront disponibles dans les principales langues de l'Union européenne. Les Utilisateurs peuvent en demander une copie auprès du Délégué européen à la protection des données (DPD), PayPal (Europe) S.à r.l et Cie, SCA, 22-24 Boulevard Royal, L-2449 Luxembourg ou en ligne.

Date d’entrée en vigueur : Date de publication

Contact : les Utilisateurs peuvent adresser leurs questions ou préoccupations concernant le présent Règlement d’entreprise en contactant la personne suivante :

Responsable européen de la protection des données

PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg, ou en contactant PayPal via le lien suivant : https://www.paypal.com.resource.data-analyze.v1.endpoints-api.com/uk/cshelp/contact-us/privacy

Les Membres du groupe doivent interpréter les Règles de l'entreprise relatives à l'utilisateur de la manière la plus conforme aux concepts fondamentaux des principes énoncés dans le Règlement (UE) 2016/679 ou dans toute législation européenne qui le remplacerait.

Aux fins des présentes Règles de l’entreprise relatives à l’utilisateur, les définitions suivantes s’appliquent :

Comité directeur désigne le conseil d’administration du Membre du groupe principal.

Responsable du traitement désigne la personne morale qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement des Données à caractère personnel.

Autorités chargées de la protection des données désigne les autorités publiques indépendantes qui contrôlent, grâce à des pouvoirs d'enquête et de sanction, l'application de la législation relative à la protection des données, conformément au Chapitre VI du Règlement (UE) 2016/679 et aux autres législations nationales applicables.

Espace économique européen renvoie à l’Espace économique européen, qui comprend actuellement les États membres de l’UE, l’Islande, le Liechtenstein et la Norvège.

 Employé désigne les employés, travailleurs, stagiaires et autres membres du personnel, y compris les travailleurs occasionnels ou temporaires, les travailleurs suppléants ou les sous-traitants d’un Membre du groupe, qu’ils soient employés ou engagés à temps plein ou à temps partiel, et quel que soit le type d’emploi ou d’engagement.

Responsable européen de la protection des données désigne l’employé qui est nommé par la direction du Membre du groupe principal, qui relève de sa direction, et qui fait également partie de l’Équipe juridique PayPal dédié au respect de la vie privée à l’échelle mondiale. Le Responsable européen de la protection des données se trouve au Luxembourg.

Membre du groupe désigne une entité du Groupe PayPal qui a signé une copie de l’IGA.

AIG désigne l'Accord intragroupe conclu entre le Membre principal du groupe et les autres Membres du groupe PayPal, qui confère à ces Règles de l'entreprise relatives à l'utilisateur un caractère contraignant au sein du Groupe PayPal.

Autorité responsable de la protection des données désigne la « Commission nationale pour la protection des données » (« CNPD ») au Luxembourg.

Membre principal du groupe désigne PayPal (Europe) S.à r.l. et Cie, SCA, une société à responsabilité limitée de droit luxembourgeois.

Équipe PayPal dédiée au respect de la vie privée à l’échelle mondiale désigne l’association de l’Équipe de conformité PayPal dédiée au respect de la vie privée à l’échelle mondiale et de l’Équipe juridique PayPal dédiée au respect de la vie privée à l’échelle mondiale.

Équipe de conformité PayPal dédiée au respect de la vie privée à l’échelle  mondiale désigne les membres de l’organisme de conformité qui s’occupent spécifiquement de la conformité et du fonctionnement du programme de respect de la vie privée de PayPal. 

Équipe juridique PayPal dédiée au respect de la vie privée à l’échelle mondiale désigne les membres du service juridique qui s’occupent spécifiquement du respect de la vie privée et de la protection des données.

Groupe PayPal désigne PayPal Holdings, Inc. (« PayPal ») et toute entité contrôlée directement ou indirectement par PayPal qui traite les Données à caractère personnel des utilisateurs, le terme « Contrôle » désignant la détention de plus de cinquante pour cent (50 %) des droits de vote permettant d'élire les administrateurs de la société, ou de plus de cinquante pour cent (50 %) des parts sociales de la société.

Données à caractère personnel  désigne toute information se rapportant à une personne physique identifiée ou identifiable ; Une personne identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs facteurs propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale.

Traitement désigne toute opération ou ensemble d’opérations effectuées sur les Données à caractère personnel, que ce soit par des moyens automatiques ou non, telles que la collecte, l’enregistrement, l’organisation, le stockage, l’adaptation ou la modification, la récupération, la consultation, l’utilisation, la divulgation par transmission, la diffusion ou toute autre forme de mise à disposition, l’alignement ou la combinaison, le blocage, l’effacement ou la destruction.

Responsable du traitement désigne toute personne physique ou morale qui traite des Données à caractère personnel au nom d’un Membre du groupe.

Données à caractère personnel de catégorie particulière désigne les Données à caractère personnel révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les données génétiques, les données biométriques destinées à identifier de manière unique une personne physique, les informations relatives à des infractions pénales, ou les informations concernant la santé, la vie sexuelle ou l'orientation sexuelle.

Service désigne un site, une application ou tout autre produit ou service proposé par un Membre du groupe à l'intention d'un Utilisateur.

Tiers désigne toute personne physique ou morale, autorité publique, agence ou tout autre organisme autre que l'Utilisateur, le Membre du groupe et les personnes qui, sous l'autorité directe du Membre du groupe, telles que les Employés, sont autorisées à Traiter des Données à caractère personnel. Le terme « Tiers » désigne les Sous-traitants qui ne sont pas des Membres du groupe.

Utilisateur désigne les clients, prospects, investisseurs, partenaires commerciaux et marchands, actuels et passés, du Groupe PayPal.

Données à caractère personnel des utilisateurs désigne les Données à caractère personnel relatives aux Utilisateurs.

Violation des données à caractère personnel des utilisateurs désigne une faille de sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé, de manière accidentelle ou illicite, aux Données à caractère personnel des utilisateurs transmises, stockées ou Traitées de toute autre manière.

Liste des Membres du Groupe

Entités de l'UE/de l'EEE

Entités au Royaume-Uni

Entités hors UE/EEE/Royaume-Uni

Liste des pays

Hors UE

Royaume-Uni

UE