A PayPal-felhasználókkal kapcsolatos vállalati szabályok

A PayPal-csoport célja, hogy a Csoporton belül az összes Felhasználói személyes adat kezelésére vonatkozóan egységes, megfelelő és globális adatvédelmet és adatvédelmi szabványokat alkalmazzon.  Ezek a felhasználókkal kapcsolatos vállalati szabályok minden felhasználói személyes adatra vonatkoznak:

• továbbítás EGT-csoporttagról (adatkezelőként) EGT-n kívüli csoporttagra (adatkezelőként vagy adatfeldolgozóként); és
• továbbadás egy, EGT-n kívüli fogadó fél csoporttag által a felhasználókkal kapcsolatos vállalati szabályok alapján egy másik, EGT-n kívüli csoporttagnak (adatkezelőként vagy adatfeldolgozóként).

A Felhasználók világszerte Személyes adatokat biztosítanak a Csoport tagjai számára a Csoport által kínált szolgáltatások igénybevétele érdekében.  A legtöbb Felhasználói személyes adat gyűjtése és tárolása az Amerikai Egyesült Államokban történik.  A PayPal globális üzletvitele miatt a Felhasználói személyes adatokat az Amerikai Egyesült Államokban működő más PayPal-jogalanyokkal, valamint globális szinten, a PayPal jelenlegi és jövőbeli működési területein is meg kell osztanunk.

A PayPal elkötelezett aziránt, hogy megfelelő védelmet biztosítson a Felhasználók adatai számára, függetlenül attól, hogy a Személyes adatok hol találhatók, illetve megfelelő védelmet nyújtson a Felhasználói személyes adatok számára akkor is, amikor ezeket az Európai Gazdasági Térségen kívülre továbbítják.

A felhasználókkal kapcsolatos vállalati szabályok hatálya alá tartozó csoporttagok listáját az I. melléklet tartalmazza. A II. mellékletben felsorolt joghatóságokban dolgozó alkalmazottak hozzáférhetnek a felhasználók személyes adataihoz. Ezek a listák változhatnak, ahogy a vállalat üzleti tevékenysége bővül.

A jelen Szabályok tárgyi hatályára a jelen Szabályzat fogalommeghatározásai és szakaszai utalnak, például a 12. szakaszban (A felhasználók személyes adatai és az érintettek típusai), a 2.1. szakaszban a feldolgozás típusaira, azaz a Felhasználói személyes adatok feldolgozásának céljaira, valamint az országok listája a II. mellékletben található.

A felhasználókkal kapcsolatos vállalati szabályokat a PayPal (Europe) S.à.r.l. között létrejött megállapodás ("IGA") teszi jogilag kötelező erejűvé. & Cie, S.C.A. ("Vezető csoporttag") és a PayPal csoport más tagjai.  Az Államközi megállapodás értelmében a Csoport tagjainak be kell tartaniuk a Felhasználókkal kapcsolatos vállalati szabályokat. A Csoport tagjai minden Alkalmazottól megkövetelik, hogy a Felhasználói személyes adatok kezelése során betartsák a Felhasználókkal kapcsolatos vállalati szabályokat.

A PayPal-csoport üzleti vezetői és felső vezetői felelősek a Felhasználókkal kapcsolatos vállalati szabályok betartatásáért és azért, hogy minden Alkalmazott pontosan ismerje és betartsa a Felhasználókkal kapcsolatos vállalati szabályokat.

A megfelelőségi adatvédelmi vezető irányítja a PayPal adatvédelmi programot. Ez a személy vezető pozíciót tölt be a PayPal Holdings, Inc. vállalatnál, és közvetlenül a megfelelőségi igazgatónak vagy a PayPal megfelelőségi részlegét vezető legmagasabb beosztású igazgatónak tartozik jelentési kötelezettséggel.  A megfelelőségi adatvédelmi vezető felügyeli a PayPal globális adatvédelmi megfelelőségi csapatát, és együttműködik más belső szervezetekkel vagy csapatokkal, például az üzemeltetéssel, az információbiztonsággal, a megfelelőséggel, a kockázatokkal és a belső auditokkal annak érdekében, hogy világszerte biztosítsa a következetes adatvédelmi kommunikációt, gyakorlatokat és irányelveket a PayPal Csoporton belül. A PayPal globális adatvédelmi megfelelőségi csapata felelős a megfelelőségi stratégia kidolgozásáért és megvalósításáért, valamint a működési megfelelőség ellenőrzéséért a teljes PayPal-csoportban.  A PayPal globális adatvédelmi megfelelőségi csapata közvetlen és közvetett képviselőkkel rendelkezik a PayPal-csoport valamennyi vállalatában. Ezek a képviselők többek között azért felelősek, hogy gondoskodjanak a Felhasználókkal kapcsolatos vállalati szabályok és a vonatkozó adatvédelmi jogszabályok betartatásáról.

A jogi adatvédelmi vezető felügyeli a PayPal globális adatvédelmi jogi csapatát, és közvetlenül a PayPal jogi igazgatójának vagy a jogi funkciót vezető legmagasabb rangú vezetőnek tartozik beszámolási kötelezettséggel. A jogi adatvédelmi vezető határozza meg a vállalatnak a vonatkozó adatvédelmi jogszabályok és a felhasználókkal kapcsolatos vállalati szabályok szerinti kötelezettségeit. A jogi adatvédelmi vezető és a PayPal globális adatvédelmi jogi csapata szorosan együttműködik a megfelelőségi adatvédelmi vezetővel és a PayPal globális megfelelőségi adatvédelmi csapatával, és együttműködik más belső szervezetekkel és csapatokkal, például jogi, üzemeltetési, információbiztonsági és kockázati csoportokkal, hogy jogi tanácsadást nyújtson, és értelmezze a jogi és szabályozási következményeket a PayPal Csoport globális adatvédelmi ügyeinek alakulásával kapcsolatban.

A PayPal globális adatvédelmi megfelelőségi csapata és a PayPal globális adatvédelmi jogi csapata együttesen alkotja a PayPal globális adatvédelmi csapatát.

A Luxemburgban működő Európai adatvédelmi tisztviselőt a PayPal (Europe) S.à r.l. et Cie, S.C.A. jelöli ki, és a PayPal (Europe) S.à r.l. et Cie, S.C.A. felé tartozik jelentési kötelezettséggel. Az európai adatvédelmi tisztviselő az EGT adatvédelmi hatóságainak elsődleges kapcsolattartója, és nem lát el olyan feladatokat, amelyek összeférhetetlenséghez vezethetnek. Az európai adatvédelmi tisztviselő feladatai többek között a következők: tájékoztatni és tanácsokkal ellátni a személyes adatokat kezelő csoporttagokat és alkalmazottaikat az adatvédelmi jogszabályok értelmében a felhasználókkal kapcsolatos vállalati szabályoknak való megfelelés biztosítására vonatkozó kötelezettségeikről; együttműködik a PayPal globális adatvédelmi csapatával az adatvédelmi jogszabályoknak és a csoporttagok kapcsolódó szabályzatainak való megfelelés nyomon követése érdekében; valamint kérésre jogi tanácsadás nyújtása a csoporttagoknak az adatvédelmi hatásvizsgálatokkal és azok végrehajtásával kapcsolatban. Az európai adatvédelmi tisztviselő a legmagasabb vezetői szintnek tesz jelentést, és tájékoztathatja a legmagasabb vezetői szintet, ha feladataik ellátása során bármilyen kérdés vagy probléma merül fel.

A Csoport tagjai a következő elveket tartják szem előtt a Felhasználói személyes adatok kezelése során.

2.1 Adott célra való korlátozás

A Felhasználói személyes adatokat csak meghatározott, egyértelmű és törvényes célokból lehet kezelni.  A Felhasználói személyes adatok a következő célokból kezelhetők:

• kommunikáció a Felhasználókkal a szolgáltatásokkal kapcsolatban
• Szolgáltatások nyújtásának felajánlása, adminisztrálása és megkönnyítése a Felhasználók kérésére, beleértve a számlanyitást és a Felhasználók kifizetéseinek kezelését;
• a Szolgáltatások javítása és új Szolgáltatások kifejlesztése;
• viták rendezése, peres ügyek kezelése, problémák elhárítása és ügyfélszolgálat biztosítása, beleértve az adatelemzési, tesztelési, kutatási és statisztikai célokat;
• kockázatkezelés elvégzése;
• tranzakciók feldolgozása és a tartozások beszedése, beleértve a tranzakciók végrehajtásának bizonyítását;
• a hitelképesség és a fizetőképesség ellenőrzése;
• a Felhasználók Szolgáltatások iránti érdeklődésének, visszajelzéseinek és véleményének mérése, valamint a Felhasználók tájékoztatása az online és offline ajánlatokról, Szolgáltatásokról és frissítésekről;
• a Felhasználói élmény testreszabása;
• hiba, csalás és egyéb bűncselekmények észlelése és az ellenük való védelem, beleértve a Felhasználó személyazonosságának és elérhetőségének megerősítését;
• PayPal Csoport jogi, szerződéses vagy szabályozási kötelezettségeinek teljesítése;
• érvényesítse a Szolgáltatás feltételeit és a Felhasználók számára a gyűjtés időpontjában és a Szolgáltatás adatvédelmi irányelveiben leírt egyéb módon;
• a Szolgáltatások és a PayPal Group hálózata biztonságának, integritásának és rendelkezésre állásának védelme;
• a PayPal Csoport törvényes jogainak és érdekeinek védelme, beleértve, de nem kizárólagosan a jogi követelések vagy behajtási eljárások megállapítását, gyakorlását vagy az azokkal szembeni védekezést;
• annak felmérése, hogy milyen fizetési lehetőségeket és szolgáltatásokat kínáljanak a Felhasználóknak, például belső és külső hitelminősítések elvégzésével; és
• betartja a belső PayPal eljárásokat.

A felhasználók személyes adatainak a fenti céloktól eltérő célokra történő feldolgozásához a PayPal globális adatvédelmi jogi csapatának előzetes jóváhagyása szükséges.  Kétség esetén a Csoport tagjai a PayPal globális adatvédelmi jogi csapatától kérhetnek segítséget.

A Felhasználói személyes adatok másodlagos célból történő további feldolgozása nem végezhető el a fent felsorolt célokkal össze nem egyeztethető módon, kivéve, ha erre a Felhasználói személyes adatok gyűjtéséért és/vagy továbbításáért felelős EGT-beli csoporttag (azaz az exportáló jogi személy) vonatkozó jogszabályai alapján jogalap van.   

2.2 Adatminimalizálás, pontosság és tárolási korlátozás

A Felhasználói személyes adatokkal kapcsolatban mindig szem előtt kell tartani a következőket:

• Az adatoknak pontosnak és ha szükséges, naprakésznek kell lenniük;
• Megfelelő, releváns és a feldolgozás céljai szempontjából szükséges mértékre korlátozott;
•  Csak addig őrizhető meg, amíg az gyűjtés vagy további feldolgozás céljainak eléréséhez szükséges; és
• Törölve, törölve, megsemmisítve vagy anonimizálva a vonatkozó PayPal irányelveknek megfelelően, amennyiben már nincs rájuk szükség abból a célból, amelyből feldolgozták őket, kivéve, ha a további feldolgozásnak vagy megőrzésnek jogi alapja van az alkalmazandó jogszabályok vagy az alkalmazandó PayPal szabályzatok alapján.

2.3 Az adatkezelés jogalapja és a méltányosság

1. A felhasználói személyes adatok feldolgozásának jogalapja 

A Csoporttagoknak gondoskodniuk kell arról, hogy a Felhasználói személyes adatok kezelése tisztességesen és jogszerűen, és a következők közül legalább egy jogalap meglétével történjen:

• A Felhasználó egyértelmű, önkéntes, konkrét és tájékozott hozzájárulása;
• Az adatkezelésre egy olyan szerződés teljesítéséhez van szükség, amelynek a Felhasználó az egyik szerződő fele, vagy az adatkezelés a szerződés megkötését megelőzően a Felhasználó kérésére történő lépések megtételéhez szükséges;
• Az adatkezelés a Csoporttagokra vonatkozó jogi kötelezettségek teljesítéséhez szükséges;
• Az adatkezelés a Felhasználó vagy más természetes személy létfontosságú érdekeinek védelme érdekében szükséges;
• Az adatkezelés valamely közérdekű vagy a Csoporttagokra vagy az adatokat átvevő Harmadik félre ruházott hivatalos hatáskör gyakorlásának keretében végzett feladat végrehajtásához szükséges; vagy
• Az adatkezelés a Csoporttag vagy az adatokat átvevő Harmadik fél vagy felek jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek a Felhasználó alapvető jogaihoz és szabadságaihoz fűződő érdekek.

2. A felhasználók különleges kategóriába sorolt személyes adatai feldolgozásának jogalapja

Ha különleges kategóriába tartozó személyes adatok gyűjtésére van szükség, vagy ha a felhasználók önként megadják ezeket az információkat, a csoporttagoknak gondoskodniuk kell arról, hogy a felhasználók különleges kategóriába tartozó személyes adatait csak az alábbi indokok legalább egyike alapján dolgozzák fel:

• A Felhasználó kifejezett hozzájárulása;
• Az adatkezelés a Felhasználó létfontosságú érdekeinek védelme miatt szükséges, vagy ha a Felhasználó fizikai vagy jogi cselekvőképtelenségéből adódóan nem képes a hozzájárulását adni, egy másik személy létfontosságú érdekeinek védelme miatt szükséges;
• Az adatkezelés a Felhasználó által kifejezetten nyilvánosságra hozott Felhasználói személyes adatokhoz kapcsolódik; vagy
• Az adatkezelés jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez szükséges, vagy amikor a bíróságok igazságszolgáltatási hatáskörükben járnak el.

3. Az automatikus döntéshozatallal járó adatkezelés jogalapja

Ha egy felhasználóra olyan döntés vonatkozhat, amely kizárólag automatizált feldolgozáson alapul, ideértve a profilalkotást is, és amely jogi vagy jelentős hatással jár ("automatizált döntés"), a csoporttagoknak biztosítaniuk kell, hogy az automatizált döntés:

• a felhasználó és a csoporttag közötti szerződés megkötéséhez vagy teljesítéséhez szükséges;
• a csoporttagra alkalmazandó uniós vagy tagállami jog teszi lehetővé, amely megfelelő intézkedéseket határoz meg a felhasználó jogainak, szabadságainak és jogos érdekeinek védelme érdekében; vagy
• a Felhasználó kifejezett hozzájárulásán alapul.

Továbbá legalább a fenti első és harmadik esetben a csoporttagnak megfelelő intézkedéseket kell tennie a felhasználó jogainak, szabadságainak és jogos érdekeinek védelme érdekében, például lehetőséget kell biztosítania a felhasználó számára, hogy egy ügyfélszolgálati képviselő egyénileg felülvizsgálja a döntést, és lehetővé tegye a felhasználó számára, hogy kifejtse álláspontját. Ha a Felhasználó nem ért egyet az Automatizált döntéssel, az ügyféltámogatási képviselőnek az Európai Unió adatvédelmi tisztviselője számára kell eszkalálnia az ügyet. Szükség esetén konzultálunk a jogi adatvédelmi vezetővel, és értesítjük a megfelelőségi adatvédelmi vezetőt.

2.4 Átláthatóság

A Felhasználói személyes adatok gyűjtése során a Csoporttagoknak a következőkről kell tájékoztatniuk a Felhasználókat:

• Az eredeti gyűjtésért és feldolgozásért felelős csoporttag neve és elérhetőségei;
• Az európai adatvédelmi tisztviselő elérhetőségei. A lényeges adatok a következők: Az európai adatvédelmi tisztviselő (DPO) PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg vagy online.
• A feldolgozás tervezett céljai, valamint a feldolgozás jogalapja;
• Ha a feldolgozás jogos érdeken alapul, akkor a csoporttag vagy egy harmadik fél jogos érdekei
• A Felhasználói személyes adatok címzettjei vagy címzettjeinek kategóriái (beleértve az adatfeldolgozókat is);
• Adott esetben annak ténye, hogy a csoporttag a Felhasználói személyes adatokat harmadik országba vagy nemzetközi szervezetnek kívánja továbbítani, valamint az Európai Bizottság megfelelőségi határozatának megléte vagy hiánya, vagy hivatkozás a megfelelő vagy megfelelő biztosítékokra (ideértve a felhasználókkal kapcsolatos vállalati szabályokat is), amennyiben ezekre támaszkodnak, és azok másolatának megszerzésének módjára, vagy ahol azokat elérhetővé tették;
• A Felhasználói személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, az időtartam meghatározásához használt kritériumok;
• A felhasználói jogok megléte, ideértve azt a jogot is, hogy kérje a csoporttagtól a Felhasználó személyes adataihoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, illetve tiltakozzon az adatkezelés ellen, valamint az adathordozhatósághoz való jogot;
• Ha az Adatkezelés hozzájáruláson alapul, a hozzájárulás bármikor történő visszavonásának joga, anélkül, hogy ez befolyásolná a visszavonás előtt a hozzájárulás alapján végzett adatkezelés jogszerűségét;
• Az adatvédelmi hatóságnál panasz benyújtásának joga;
• Ha a Felhasználói személyes adatok rendelkezésre bocsátása törvényi vagy szerződéses követelmény, vagy szerződés megkötéséhez szükséges követelmény, valamint hogy a kérdések megválaszolása kötelező vagy önkéntes, valamint a válaszadás elmulasztásának lehetséges következményei; és
• Automatizált döntések esetén érthető információ az alkalmazott logikáról, valamint az ilyen feldolgozás jelentőségéről és várható következményeiről a Felhasználó számára.

A Csoporttagok hivatkozáson keresztül elérhető és/vagy az egyes Szolgáltatások webhelyén vagy az alkalmazásokban jól láthatóan elhelyezett adatvédelmi irányelvekben, illetve a regisztráció során adhatják meg ezeket az információkat.  A Felhasználók tájékoztatására vonatkozó kötelezettség nem vonatkozik arra az esetre, ha a Felhasználóknak már tudomásuk van ezekről az információkról.  

Ha az információk biztosítása nem megoldható, vagy aránytalanul nagy erőfeszítést igényel, a Csoporttagok eltekinthetnek a tájékoztatástól.  Ez kizárólag olyan Felhasználói személyes adatok esetén engedhető meg, amelyeket nem közvetlenül a Felhasználóktól gyűjtöttek be. 

Kivételes esetekben bizonyos információk rendelkezésre bocsátása elhalasztható vagy elhagyható, például jogellenes magatartás kivizsgálása során vagy a vonatkozó jogszabályoknak való megfelelés érdekében, illetve olyan esetekben, amikor az információ biztosítása veszélyeztetné a vizsgálat integritását.

2.5 Elszámoltathatóság,  titoktartás és biztonság

1. Elszámoltathatóság

Minden adatkezelőként eljáró csoporttag felelős a felhasználókkal kapcsolatos vállalati szabályokért, és képesnek kell tudnia bizonyítani azok betartását.

A megfelelés javítása érdekében és szükség esetén adatvédelmi hatásvizsgálat készül azon adatkezelési műveletek tekintetében, amelyek valószínűsíthetően magas kockázattal járnak a természetes személyek jogaira és szabadságaira nézve. Amennyiben az (EU) 2016/679 rendeletben meghatározott adatvédelmi hatásvizsgálat azt jelzi, hogy az adatkezelés a csoporttag által a kockázat csökkentése érdekében hozott intézkedések hiányában magas kockázattal járna, az adatkezelést megelőzően konzultálni kell az illetékes adatvédelmi hatósággal.

Megfelelő technikai és szervezési intézkedéseket hajtanak végre, amelyek célja az adatvédelmi elvek végrehajtása, valamint a felhasználókkal kapcsolatos vállalati szabályok által meghatározott követelményeknek való gyakorlati megfelelés megkönnyítése (beépített és alapértelmezett adatvédelem).

2. Titoktartás és biztonság

A Csoporttagok a Felhasználói személyes adatok mennyiségének és bizalmasságának megfelelő mértékű fizikai, technikai és szervezeti biztonsági intézkedésekkel védik a Felhasználói személyes adatokat a jogosulatlan kezeléssel szemben, beleértve többek között a jogosulatlan hozzáférést, gyűjtés és használatot, valamint az adatok elvesztését, megsemmisülését és károsodását. A csoporttagok titkosítással, tűzfalakkal, hozzáférés-vezérléssel, szabványokkal és egyéb eljárásokkal védik a felhasználók személyes adatait az illetéktelen hozzáféréstől.  A Csoporttagok a munkaköri felelősségek és az üzleti igények alapján további korlátozásokat is alkalmazhatnak az elektronikus és papíralapú dokumentumokhoz való fizikai és logikai hozzáférésre.

3. Adatvédelmi incidens

Az (EU) 2016/679 GDPR rendelet 4. cikkének (12) bekezdésében, 33. cikkének (1) bekezdésében és 34. cikkének (1) bekezdésében, valamint 33. cikkének (1) bekezdésében meghatározott adatvédelmi incidens felfedezése esetén az érintett csoporttag indokolatlan késedelem nélkül értesíti a vezető csoporttagot, az európai adatvédelmi tisztviselőt és az alkalmazandó belső szabályzatok szerint szükséges egyéb érdekelt feleket. Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, a csoporttag és a vezető csoporttag az európai adatvédelmi tisztviselővel konzultálva tájékoztatja az érintetteket és adott esetben az adatvédelmi hatóságot. Az adatvédelmi incidenst dokumentálni kell, hogy rögzítsék i) az adatvédelmi incidenssel kapcsolatos tényeket, ii) annak hatásait és iii) a megtett korrekciós intézkedéseket. Ezt a dokumentációt kérésre az illetékes adatvédelmi hatóság rendelkezésére kell bocsátani.

2.6 A Felhasználók választási lehetőségei és jogai

A felhasználók a következő jogokat gyakorolhatják:

• A Felhasználók a Csoporttagok által velük kapcsolatban tárolt Felhasználói személyes adatok nagy részét elérhetik és helyesbíthetik a Szolgáltatás webhelyén vagy az alkalmazásban elérhetővé tett megfelelő online eszközzel vagy önkiszolgáló folyamattal.
• A Felhasználóknak minden esetben joguk van érintetti hozzáférési kérést küldeni a Szolgáltatás webhelyén vagy az alkalmazásban nem elérhető Felhasználói személyes adatok megtekintésére, illetve az adatok másolatának a rendelkezésükre bocsátására vonatkozóan. A Felhasználók a Szolgáltatás webhelyén vagy az alkalmazásban megadott utasításoknak megfelelően kell felvenniük a kapcsolatot az ügyféltámogatással.
• Hiányos vagy pontatlan adatok esetén a Felhasználók az adatok helyesbítését is kérhetik. A Csoporttagok minden esetben eleget tesznek az ilyen kérelmeknek, és értesítik a Felhasználókat, ha az adatok helyesbítése megtörtént. A csoporttagok értesítik a helyesbítésről azokat a harmadik feleket, akikkel a felhasználó adatait közölték, kivéve, ha ez lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényel.
• A felhasználók a 2.3(c) szakasznak megfelelően gyakorolhatják azon jogukat, hogy a csoporttagok által hozott automatizált döntések emberi felülvizsgálatát kérjék.
• A felhasználók tiltakozhatnak személyes adataik feldolgozása ellen. A Csoporttagok eleget tesznek az ilyen kérelmeknek, kivéve, ha a Felhasználói személyes adatok megőrzését a vonatkozó jogszabályok írják elő, vagy az adatok megőrzésére a PayPal-csoport jogi követelések elleni védelméhez van szükség. A Csoporttagok értesítik a Felhasználókat a kérelem eredményéről és az elvégzett intézkedésekről.
• A Felhasználók emellett a Szolgáltatás webhelyén vagy az alkalmazásban megadott utasításokat követve számlájuk lezárását is kérhetik. Az ilyen fiók lezárásával kapcsolatban gyakorolhatják a Felhasználói személyes adataik feldolgozásának korlátozására vagy a Felhasználói személyes adatok törlésére vonatkozó jogaikat is. A Csoporttagok a számlatevékenység alapján az észszerűen lehetséges legrövidebb időn belül eltávolítják a Szolgáltatásból vagy névtelenné teszik a Felhasználó adatait.  Egyes esetekben a Csoporttagok elhalaszthatják a számla lezárását, illetve megőrizhetik a Felhasználói személyes adatokat, ha az egy vizsgálat lefolytatásához vagy a vonatkozó jogszabályok értelmében szükséges. A Csoporttagok emellett a lezárt számlákhoz tartozó Felhasználói adatokat is megőrizhetik csalások észlelése és megelőzése, tartozások begyűjtése, vitás ügyek rendezése, problémák megoldása, vizsgálatok elősegítése, kockázatkezelés, valamely Szolgáltatás felhasználási feltételeinek érvényesítése, jogi vagy szabályozási követelményeknek való megfelelés, illetve a vonatkozó jogszabályok által megengedett egyéb intézkedések megtétele érdekében. Az adatok megőrzése olyan formában történik, amely az érintettek azonosítását legfeljebb az eredeti adatgyűjtés vagy a további kezelés céljához szükséges időre teszi lehetővé, és az adatok megőrzését szükségessé tevő ok megszűnését követően az adatok törölve lesznek.
• A vonatkozó jogszabályoknak megfelelően a Csoporttagok a Felhasználói személyes adatokat az érdeklődési körön alapuló célzott kommunikációhoz is felhasználhatják, kivéve azon Felhasználók esetében, akik kifejezetten jelezték, hogy nem szeretnének ilyen megkereséseket kapni.  Azok a Felhasználók, akik nem szeretnének marketingüzeneteket kapni a PayPal-csoporttól, könnyen elérhető módokon, például a számla beállításaiban, az e-mailben kapott utasításokat követve vagy az üzenetben szereplő hivatkozásra kattintva iratkozhatnak le a további reklámokról.

A Felhasználó a fenti jogait minden esetben az ügyfélszolgálattal kapcsolatba lépve gyakorolhatja. Ha egy Felhasználó személyazonossága nehezen ellenőrizhető, a Csoporttagok további dokumentumokat vagy adatokat kérhetnek a Felhasználótól személyazonossága igazolására. A Csoporttagok a vonatkozó jogszabályokban meghatározott határidőn belül teljesítik a kéréseket, kivéve, ha a vonatkozó jogszabályok mentességet biztosítanak számukra az ilyen kötelezettségeik alól.

2.7 Személyes adatok nyilvánosságra hozatala és továbbítása

A Csoporttagok a normál üzletmenet részeként világszerte megoszthatják a Felhasználói személyes adatokat más Csoporttagokkal a 2.1. szakaszban meghatározott célokból.

1. Közzététel és továbbítás külső hatóságok részére

A vonatkozó jogszabályoknak, megállapodásoknak vagy nemzetközi egyezményeknek megfelelően a Csoporttagok bűnüldözési és szabályozó hatóságokkal is megoszthatják a Személyes adatokat, ha arra egy demokratikus társadalomban a nemzetbiztonság vagy a közbiztonság megőrzése, bűncselekmények megelőzése, kivizsgálása és észlelése, büntetőeljárás lefolytatása, illetve a nemzetközi és/vagy nemzeti aktusokban lefektetett szankcióknak, adóbevallási követelményeknek vagy pénzmosás elleni bejelentési követelményeknek való megfelelés érdekében van szükség.

Ha egy nem uniós csoporttagnak oka van feltételezni, hogy a rá alkalmazandó jogszabályok megakadályozzák az adott szervezetet a felhasználókkal kapcsolatos vállalati szabályok szerinti kötelezettségeinek teljesítésében, ami jelentős hatással van a szabályok által nyújtott garanciákra, a nem uniós csoporttag (hacsak ez nem tiltott) haladéktalanul tájékoztatja a vezető csoporttagot és/vagy az európai adatvédelmi tisztviselőt. Ez magában foglalja, ha:

1. jogilag kötelező erejű kérelmet kap egy nem uniós hatóságtól a felhasználókkal kapcsolatos vállalati szabályok alapján továbbított felhasználói személyes adatok nyilvánosságra hozatalára, amely esetben a nem uniós csoporttag (amennyiben ez nem tiltott) tájékoztatja a vezető csoporttagot és/vagy az európai adatvédelmi tisztviselőt a kért felhasználói személyes adatokról, a megkereső nem uniós hatóságról, a kérelem jogalapja és az arra adott válasz;
2. tudomást szerez arról, hogy nem uniós hatóságok közvetlenül hozzáférnek a felhasználókkal kapcsolatos vállalati szabályok szerint továbbított felhasználói személyes adatokhoz, amely esetben a nem uniós csoporttag (amennyiben ez nem tiltott) a vezető csoporttag és/vagy az európai adatvédelmi tisztviselő rendelkezésére bocsátja a nem uniós csoporttag számára ismert információkat.

Ha bizonyos esetekben a felfüggesztés és/vagy az értesítés tilos, a megkeresett csoporttagnak törekednie kell arra, hogy jogot szerezzen a tilalomtól való eltekintésre annak érdekében, hogy a lehető legtöbb információt közölje a lehető leghamarabb. A nem uniós csoporttag megvizsgálja a nem uniós hatóságok által benyújtott minden egyes közzétételi kérelem jogszerűségét annak értékelése érdekében, hogy az a hatóságra ruházott hatáskörbe tartozik-e, és vitatja a kérelmet, ha nem. Dokumentálja és nyilvántartást vezet a felülvizsgálatról, és amennyiben ez nem tiltja, azt a vezető csoporttag és/vagy az európai adatvédelmi tisztviselő rendelkezésére bocsátja. Kérésre az illetékes adatvédelmi hatóságok rendelkezésére is bocsátja.

A nem uniós csoporttagnak a kérelem észszerű értelmezése alapján rendelkezésre kell bocsátania a nem uniós hatóságok közzététel iránti kérelmének megválaszolásakor minimálisan megengedett információmennyiséget.

A csoporttagok nem továbbíthatják a Felhasználói személyes adatokat nem uniós hatóságoknak olyan tömeges, aránytalan és megkülönböztetés nélküli módon, amely meghaladja a demokratikus társadalomban szükséges mértéket.

2. Személyes adatok közlése adatfeldolgozóval

Amikor a csoporttagok Felhasználói személyes adatokat továbbítanak egy adatfeldolgozónak, az adatfeldolgozót a munka megkezdése és a Felhasználói személyes adatok továbbítása előtt a magánélet védelmére, az adatvédelemre és az információbiztonságra vonatkozó kockázatértékelésnek vetik alá.  Az értékelés hatóköre a feldolgozott Felhasználói személyes adatok érzékenységétől függően változik. A magánélet, az adatvédelem és az információbiztonság értékelése nem kötelező azon adatfeldolgozók számára, akik már átestek ilyen értékelésen, vagy amelyek csoporttagok, kivéve, ha az adatkezelési tevékenységek magas kockázatú tevékenységekkel járnak, figyelembe véve a személyes adatok jellegét és mennyiségét, valamint az érintett feldolgozási tevékenységek típusát.

Az adatfeldolgozóknak, beleértve az adatfeldolgozóként közreműködő csoporttagokat is, megállapodást kell kötniük az érintett csoporttaggal, aki a Felhasználói személyes adatok adatkezelőjeként jár el a megfelelő adatvédelmi, adatvédelmi és információbiztonsági intézkedések biztosítása érdekében. Ennek a megállapodásnak tartalmaznia kell a Felhasználói személyes adatok megfelelő felhasználására, illetve az érintett Felhasználói személyes adatok mennyiségének, természetének és bizalmasságának megfelelő biztonsági intézkedésekre vonatkozó rendelkezéseket. 

A megállapodásban meghatározott óvintézkedéseknek legalább a következőkre ki kell terjedniük:

• A jogszabályoknak való megfelelésre, illetve a Felhasználói személyes adatok a megállapodás feltételeinek megfelelő és kizárólag az érintett Csoporttag utasításai szerint történő kezelésére vonatkozó követelmények;
• Annak biztosítása, hogy a Felhasználói személyes adatok feldolgozására felhatalmazott személyek elkötelezték magukat a titoktartás mellett, vagy megfelelő törvényi titoktartási kötelezettség vonatkozik rájuk;
• Annak biztosítása, hogy a csoporttag előzetes, konkrét vagy általános írásbeli engedélye nélkül nem kerül sor másik adatfeldolgozó előzetes konkrét vagy általános írásbeli megbízására, és amennyiben az adott adatfeldolgozónak ugyanazokat a szerződéses biztosítékokat kell tiszteletben tartania, amikor maga vesz igénybe egy másik adatfeldolgozót.
• Az érintett Felhasználói személyes adatok bizalmasságának és a kezelés módjának megfelelő technikai és szervezeti intézkedések;
• Segítségnyújtás a csoporttagnak megfelelő technikai és szervezési intézkedésekkel, amennyiben ez lehetséges, a csoporttag azon kötelezettségének teljesítése érdekében, hogy válaszoljon az érintett jogainak gyakorlására irányuló kérelmekre;
• A biztonság megsértésének bejelentésére vonatkozó kötelezettségek, például a biztonság megsértéséről való tudomásszerzést követően haladéktalanul, indokolatlan késedelem nélkül írásban értesíteni PayPal.
• Az adatokat átadó csoporttag választása szerint a feldolgozással kapcsolatos szolgáltatások nyújtásának befejezését követően az összes személyes adat törlése vagy visszaküldése az adott csoporttagnak, valamint a meglévő másolatok törlése, kivéve, ha az uniós vagy tagállami jog előírja a személyes adatok tárolását;
• Az Adatfeldolgozó szerződéses kötelezettségei betartásának ellenőrzésére vonatkozó jog;
• Jogorvoslatra vonatkozó rendelkezések arra az esetre, ha az Adatfeldolgozó nem tartja be a jogszabályi vagy szerződéses kötelezettségeit.

A megállapodásnak olyan rendelkezéseket is tartalmaznia kell, amelynek kimondják, hogy a megállapodás feltételei betartásának elmulasztása a megállapodásban meghatározott egyéb jogorvoslatok mellett a megállapodás felfüggesztésével vagy felmondásával járhat.

3. Személyes adatok átadása harmadik feleknek

Ha a csoporttagok EGT-beli felhasználói személyes adatokat továbbítanak olyan harmadik feleknek (ideértve azokat az adatfeldolgozókat is, amelyek nem EGT-országokban találhatók, és amelyek (i) nem biztosítanak megfelelő szintű védelmet (az EU általános adatvédelmi rendelete értelmében), és (ii) nem rendelkeznek az EU megfelelőségi követelményeinek megfelelő egyéb megállapodásokkal, a csoporttagnak gondoskodnia kell arról, hogy a harmadik fél megfelelő szerződéses biztosítékokat alkalmazzon, mint például az Európai Bizottság által jóváhagyott általános szerződési feltételek, amelyek a felhasználókkal kapcsolatos vállalati szabályokkal arányos védelmi szintet biztosítanak, vagy alternatívaként biztosítják, hogy az adattovábbítás (i) a Felhasználó kifejezett hozzájárulásával történjen, (ii) a Felhasználóval kötött szerződés megkötéséhez vagy teljesítéséhez szükséges, (iii) fontos közérdekből szükséges vagy jogilag kötelező, (iv) a Felhasználó létfontosságú érdekeinek védelméhez szükséges; vagy (v) jogi igények érvényesítéséhez, megalapozásához vagy védelméhez szükséges.

2.8 Átcsoportosítási hatásvizsgálatok

A tagok értékelik (és folyamatosan nyomon követik), hogy harmadik országok jogszabályai vagy gyakorlatai akadályozzák-e a felhasználókkal kapcsolatos vállalati szabályoknak való megfelelést. Az ilyen értékelések során figyelembe kell venni:

• Az adattovábbítások vagy adattovábbítás-sorozatok, valamint az ugyanazon harmadik országon belüli vagy egy másik harmadik országba irányuló bármely tervezett további adattovábbítás sajátos körülményei, beleértve:
• az adatok továbbításának és feldolgozásának céljai (pl. marketing, HR, tárolás, informatikai támogatás, klinikai vizsgálatok);
• az adatkezelésben részt vevő szervezetek típusai (az adatátvevő és a harmadik fél részére történő továbbítás bármely további címzettje);
• az a gazdasági ágazat, amelyben az átruházásra vagy transzfersorozatra sor kerül;
• a továbbított személyes adatok kategóriái és formátuma;
• a feldolgozás helye, beleértve a tárolást is; és
• az alkalmazott átviteli csatornák;
• a rendeltetési hely szerinti harmadik országnak a továbbítás körülményei szempontjából releváns jogszabályai és gyakorlatai, beleértve azokat, amelyek előírják az adatok hatóságok számára történő közlését, vagy amelyek engedélyezik az ilyen hatóságok számára az adatokhoz való hozzáférést, valamint azokat, amelyek az adatátadó országa és az adatátvevő országa közötti tranzit során hozzáférést biztosítanak ezekhez az adatokhoz; és
• A felhasználókkal kapcsolatos vállalati szabályok szerinti biztosítékok kiegészítése érdekében bevezetett vonatkozó szerződéses, technikai vagy szervezeti biztosítékok, beleértve a Felhasználói személyes adatoknak a rendeltetési országban történő továbbítása és feldolgozása során alkalmazott intézkedéseket.

Ha nem biztosítható a megfelelő védelem, az átadásokat fel kell függeszteni vagy meg kell szüntetni. Az értékeléseket dokumentálni kell, és kérésre az adatvédelmi hatóságok rendelkezésére kell bocsátani.

2.9 Hatósági megkeresések

Az importőrök kérésre tájékoztatják a vezető csoporttagot a hatósági hozzáférési kérelmekről. Ésszerűen kifogásolniuk kell a titoktartást vagy a jogellenes kérelmeket, minimálisra kell csökkenteniük a nyilvánosságra hozatalt és rögzíteniük kell az intézkedéseket.

Ha a felhasználók úgy vélik, hogy személyes adataikat a felhasználókkal kapcsolatos vállalati szabályok megsértésével dolgozták fel, aggályaikat bejelenthetik az adott csoporttag ügyfélszolgálati funkciójának az adott szolgáltatás webhelyén, e-mailben vagy a vonatkozó feltételekben jelzett egyéb módon.  Az érintett szolgáltatás súgójában a Felhasználók általában megtalálhatják a választ a leggyakoribb adatvédelmi kérdésekre és aggályokra. A súgóban az „adatvédelem” szót beírva a rendszer általában átirányítja a Felhasználót egy adatvédelemmel kapcsolatos oldalra vagy adatvédelmi irányelvre.  Az érintett szolgáltatás súgója egyedi ügyintézési pontként szolgál a Felhasználók adatvédelemmel és Felhasználói adatok kezelésével kapcsolatos kérdéseihez, és az ügyféltámogatással való kapcsolatfelvétel lehetőségét is biztosítja a Felhasználók számára. 

Amennyiben kétség merül fel azzal kapcsolatban, hogy melyik csatornát kell használni az adatvédelemmel kapcsolatos aggályok bejelentésére, a felhasználók online kapcsolatba léphetnek az európai adatvédelmi tisztviselővel .

Az ügyféltámogatás a Felhasználók által felvetett minden aggályt kivizsgál és megpróbál megoldani. Az adatvédelemmel kapcsolatos aggályok kezeléséért felelős Alkalmazottak szorosan együttműködnek a PayPal globális adatvédelmi csapatával, és a PayPal irányelveinek, eljárásainak és útmutatásának megfelelően válaszolnak a Felhasználók kérdéseire. Ha a Felhasználók úgy vélik, hogy az aggályaikkal nem megfelelő módon foglalkoztak, vagy a kérdéseikre nem kaptak választ, kérhetik az aggályaik eszkalálását az Európai adatvédelmi tisztviselő felé. Konzultálunk a jogi adatvédelmi vezetővel, és értesítjük a megfelelőségi adatvédelmi vezetőt. Az eszkaláció útvonalát az aggályok természete és köre alapján kell meghatározni, és haladéktalanul továbbítani kell őket a megfelelő csapat felé.  A Felhasználónak észszerű időn belül, de legkésőbb a kérdés elküldésének dátumától számított három (3) hónapon belül meg kell küldeni a választ, kivéve szokatlan körülmények vagy összetett kérdések esetén, amely esetben a Felhasználót értesíteni kell arról, hogy a válasz megküldése három (3) hónapnál több időt vesz igénybe.

A panaszkezelési mechanizmus nem sérti a Felhasználók azon jogát, hogy panaszt nyújtsanak be az illetékes adatvédelmi hatóságokhoz vagy bíróságokhoz. A Felhasználók különösen panaszt tehetnek:

• illetékes adatvédelmi hatóság előtt, különösen a Felhasználók szokásos tartózkodási helye, munkahelye vagy az állítólagos jogsértés helye szerinti tagállamban; és
• azon tagállamok illetékes bírósága előtt, amelyekben a Felhasználói személyes adatok Adatkezelőjének vagy Feldolgozójának minősülő csoporttag tevékenységi hellyel vagy a Felhasználó szokásos tartózkodási helye található.

Azok az EGT-felhasználók, akik azt gyanítják, hogy az EGT-n kívül megsértették a felhasználókkal kapcsolatos vállalati szabályokat, jogosultak bírósági végrehajtásra, valamint jogorvoslatra és adott esetben kártérítésre a felhasználókkal kapcsolatos vállalati szabályok érvényesíthető elemeinek megsértése esetén, mint harmadik fél kedvezményezettek, és különösen a 2. és 3. szakaszban, A felhasználókkal kapcsolatos vállalati szabályok 4., 7., 8. és 9. cikke az illetékes adatvédelmi hatóságok vagy bíróságok előtt a 3. szakasznak megfelelően. Ezek a végrehajtási jogok kiegészítik a PayPal által biztosított vagy az alkalmazandó jogszabályok alapján rendelkezésre álló egyéb jogorvoslati lehetőségeket vagy jogokat.

Bár nem kötelező, az Európai Gazdasági Térségen belüli Felhasználóknak az Adatvédelmi hatóságok vagy a bíróságok felkeresése előtt javasolt először közvetlenül a Csoporttag felé jelenteni aggályaikat.  Ez hatékony és gyors választ tesz lehetővé a PayPal-csoport részéről, és csökkenti az adatvédelmi hatósági és bírósági eljárásokból eredő lehetséges késéseket.

A luxemburgi PayPal Europe S.à r.l. et Cie, S.C.A. luxemburgi korlátolt felelősségű társaság felelősséget vállal a felhasználókkal kapcsolatos vállalati szabályok csoporttagok általi betartásáért, és vállalja, hogy felügyeli azt.  A Vezető csoporttag vállalja, hogy (i) minden szükséges lépést megtesz a Csoporttagok Európai Gazdasági Térségen kívül elkövetett szabálysértéseinek orvoslása érdekében, és (ii) az Európai Gazdasági Térségen belüli Felhasználók számára megfizeti a Vezető adatvédelmi hatóság vagy Luxemburg bírósága által megítélt kártérítést minden olyan kárért, amely közvetlenül a Felhasználókkal kapcsolatos vállalati szabályok Csoporttagok általi, Európai Gazdasági Térségen kívüli megsértéséből ered, ha az érintett Csoporttag nem képes teljesíteni a végzést, vagy nem tudja vagy nem hajlandó megfizetni a kártérítést. 

A Vezető csoporttag tudomásul veszi és vállalja, hogy a Felhasználókkal kapcsolatos vállalati szabályok állítólagos megsértésének tekintetében a bizonyítás terhét neki kell viselnie.

A vezető csoporttag (vagy bármely más csoporttag) nem vonható felelősségre, ha a rendelkezésre álló tények alapján és a felhasználó észrevételeit figyelembe véve észszerűen bizonyítja, hogy az EGT-n kívüli csoporttag nem sértette meg a felhasználókkal kapcsolatos vállalati szabályokat, vagy nem felelős a felhasználó által állított károkért.

A Csoporttagoknak biztosítaniuk kell, hogy a Felhasználói személyes adatokat kezelő Alkalmazottak, valamint a Felhasználói személyes adatok begyűjtéséhez vagy kezeléséhez használt eszközök tervezésében érintett Alkalmazottak megfelelő adatvédelmi és információbiztonsági képzésben részesüljenek annak érdekében, hogy tisztában legyenek a Felhasználói személyes adatok Felhasználókkal kapcsolatos vállalati szabályoknak megfelelő védelmének fontosságával. 

Az Alkalmazottaknak évente el kell végezniük egy adatvédelmi modult is tartalmazó, magatartási kódexszel és etikus üzletvitellel kapcsolatos online képzést.  Az újonnan felvett Alkalmazottaknak a munkaviszony kezdetekor el kell végezniük a megfelelőséggel kapcsolatos online képzést.

A megfelelőséggel kapcsolatos online képzés mellett a PayPal globális adatvédelmi csapata és az Európai adatvédelmi tisztviselő által tartott adatvédelmi és információbiztonsági képzés is hozzájárul ahhoz, hogy az Alkalmazottak tisztában legyenek a Személyes adatok védelmének fontosságával. Ezekre a képzésekre évente vagy szükség esetén ennél gyakrabban kerül sor.

Az Alkalmazottak számára biztosított képzést a Felhasználói személyes adatokhoz való hozzáférésük szintjéhez kell igazítani, és a magasabb szintű hozzáféréssel rendelkező Alkalmazottak számára további képzéseket kell biztosítani. 

A Csoporttagoknak tájékoztatniuk kell az Alkalmazottakat arról, hogy a Felhasználókkal kapcsolatos vállalati szabályok betartásának elmulasztása fegyelmi eljárást és a vonatkozó jogszabályok által megengedett egyéb lépéseket vonhat maga után.  A Felhasználókkal kapcsolatos vállalati szabályokat, valamint az egyéb kapcsolódó adatvédelmi és biztonsági irányelveket és eljárásokat az Alkalmazottak bármikor elérhetik a vállalat intranetén keresztül. A Felhasználókkal kapcsolatos vállalati szabályok emellett a Magatartási kódex és etikus üzletvitel című dokumentumban is megtalálhatók, amelyet minden Alkalmazottnak át kell tekintenie és be kell tartania. 

A felhasználókkal kapcsolatos vállalati szabályoknak való megfelelés érdekében az PayPal globális adatvédelmi megfelelőségi csapata folyamatosan felülvizsgálja a felhasználók személyes adatainak feldolgozásával kapcsolatos tevékenységeket és gyakorlatokat. Ezekre a tevékenységekre az Európai adatvédelmi tisztviselővel szoros együttműködésben kerül sor. Ezekre a tevékenységekre rendszeres időközönként, de legalább évente kerül sor, és segítenek a felhasználókkal kapcsolatos vállalati szabályoknak való megfelelés értékelésében.

A belső auditálásért felelős csapat a vezetőség és az Igazgatótanács független és objektív tanácsadójaként működik, amely az auditálási bizottságon keresztül kommunikálja az auditok eredményeit az Igazgatótanács, az adatvédelmi vezetők és az Európai adatvédelmi tisztviselő felé. 

A belső auditálásért felelős csapat rendszeres időközönként felülvizsgálhatja a globális adatvédelmi csapat által meghatározott tevékenységeket és gyakorlatokat. A belső ellenőrzési csoport, az adatvédelmi vezetők és az európai adatvédelmi tisztviselő szükség esetén cselekvési terv végrehajtását írják elő a felhasználókkal kapcsolatos vállalati szabályoknak való megfelelés biztosítása érdekében. Ha a belső csapatok nem tudják megfelelő módon megoldani az ügyet, a Csoport független külső auditorokat jelölhet ki a további állásfoglalás érdekében.

Az Európai adatvédelmi tisztviselő, a PayPal globális adatvédelmi megfelelőségi csapata vagy a belső auditálásért felelős csapatok és a külső auditorok az adatkezeléssel járó kockázatoknak megfelelő részletes auditálási tervet és ütemezést készítenek.

Az adatvédelmi audit eredményeit kérésre az illetékes adatvédelmi hatóságok rendelkezésére bocsátjuk.

A világszerte eltérő adatvédelmi követelményekre adott válaszul a Felhasználókkal kapcsolatos vállalati szabályok egységes követelményrendszert határoznak meg a Felhasználói személyes adatok megfelelő kezeléséhez. Bár a Felhasználókkal kapcsolatos vállalati szabályok jelentik a Csoporttagok által követendő elsődleges követelményt, a Csoporttagoknak minden olyan vonatkozó jogszabályt is be kell tartaniuk, amelyek a jelen Vállalati szabályokban meghatározottaknál szigorúbb rendelkezéseket írnak elő.

A Felhasználókkal kapcsolatos vállalati szabályok semelyik része nem befolyásolja a Csoporttagok vonatkozó banki jogszabályok szerinti kötelezettségeit, különös tekintettel a banktitokkal kapcsolatos kötelezettségekre.   Ha a vonatkozó jogszabályok olyan, a Felhasználókkal kapcsolatos vállalati szabályokkal ütköző rendelkezéseket írnak elő, amelyek akadályoznák a Csoporttagot a Felhasználókkal kapcsolatos vállalati szabályok által meghatározott kötelezettségei teljesítésében, vagy amelyek jelentős hatással vannak az itt meghatározott garanciákra, a Csoporttagnak haladéktalanul értesítenie kell az Európai adatvédelmi tisztviselőt, kivéve, ha az ilyen információk átadását bűnüldözési hatóság vagy törvény tiltja.  Az Európai adatvédelmi tisztviselő, az adatvédelmi vezetők és a Vezető csoporttag közösen határozzák meg a megfelelő lépéseket, és kétség esetén az illetékes Adatvédelmi hatósággal is konzultálnak.

A Csoporttagok együttműködnek és segítik egymást a Felhasználókkal kapcsolatos vállalati szabályokra vonatkozó kérések és panaszok kezelésében.

A Csoporttagok mindig körültekintően és megfelelő módon válaszolják meg az Adatvédelmi hatóságok Felhasználókkal kapcsolatos vállalati szabályokat érintő kérelmeit.  Ha egy Alkalmazott ilyen kérelmet kap egy Adatvédelmi hatóságtól, arról haladéktalanul tájékoztatnia kell az Európai adatvédelmi tisztviselőt.   

A Csoporttagok a vonatkozó jogszabályoknak és a tisztességes eljáráshoz való jognak megfelelően együttműködnek az Európai Gazdasági Térség Adatvédelmi hatóságaival a jelen Felhasználókkal kapcsolatos vállalati szabályoknak való megfelelést érintő vizsgálatok és auditok során, és tiszteletben tartják a döntéseiket.

A csoporttagok betartják az adatvédelmi hatóságok tanácsait a felhasználókkal kapcsolatos vállalati szabályokkal kapcsolatban. A felhasználókkal kapcsolatos vállalati szabályoknak való megfelelés tekintetében az illetékes adatvédelmi hatóság által gyakorolt felügyelettel kapcsolatos vitákat az adott adatvédelmi hatóság tagállamának bíróságai rendezik az adott tagállam eljárási jogával összhangban. A csoporttagok vállalják, hogy alávetik magukat e bíróságok joghatóságának.

PayPal fenntartja a jogot, hogy szükség esetén módosítsa a felhasználókkal kapcsolatos vállalati szabályokat, például azért, hogy megfeleljen az alkalmazandó törvények, szabályok, rendeletek, PayPal gyakorlatok, eljárások és szervezeti felépítés változásainak vagy az illetékes adatvédelmi hatóságok által előírt követelményeknek.

A PayPal globális adatvédelmi jogi csapata (a jogi adatvédelmi vezető vezetésével) javaslatot tesz a felhasználókkal kapcsolatos vállalati szabályok szükséges módosításaira. A PayPal globális adatvédelmi megfelelőségi csapatának (a megfelelőségi adatvédelmi vezető vezetésével) és az európai adatvédelmi tisztviselőnek jóvá kell hagynia a felhasználókkal kapcsolatos vállalati szabályok minden módosítását, és nyomon kell követnie a felhasználókkal kapcsolatos vállalati szabályok módosításait, valamint a csoporttagok listájában bekövetkező változásokat. Formális jóváhagyás céljából és a vonatkozó jogszabályok előírásainak megfelelően a Csoporttagoknak minden releváns Adatvédelmi hatóság felé jelenteniük kell a Felhasználókkal kapcsolatos vállalati szabályok módosításait.

A Vezető csoporttagnak a Felhasználókkal kapcsolatos vállalati szabályokat érintő minden olyan jelentős módosításról konzultálnia kell a Vezető adatvédelmi hatósággal, amely hatással lehet az adatvédelmi előírásoknak való megfelelésre vagy a Felhasználókkal kapcsolatos vállalati szabályok működésére.  A vezető csoporttag legalább évente egyszer tájékoztatja a vezető adatvédelmi hatóságot a felhasználókkal kapcsolatos vállalati szabályok és a csoporttagok listájának lényeges változásairól. Ha egy lényeges változás hátrányosan érinti a felhasználókkal kapcsolatos vállalati szabályok által kínált védelem szintjét, vagy más módon jelentősen befolyásolná a felhasználókkal kapcsolatos vállalati szabályokat (pl. a kötelező jelleg megváltozása vagy a vezető csoporttagot érintő változások), az ilyen változásokról előzetesen tájékoztatjuk a fő adatvédelmi hatóságot, röviden ismertetve a frissítés okait, annak érdekében, hogy a fő adatvédelmi hatóság más illetékes adatvédelmi hatóságokkal együtt értékelhesse, hogy a változások új jóváhagyást igényelnek-e.

A PayPal globális adatvédelmi csoportjai együtt fognak működni az európai adatvédelmi tisztviselő támogatása érdekében, aki különösen koordinálja a válaszokat, és haladéktalanul reagál a fő adatvédelmi hatóság által a PayPal nevében felvetett módosításokkal kapcsolatos észrevételekre, javaslatokra vagy kifogásokra. Az egyéb Adatvédelmi hatóságoktól érkező megjegyzéseket, javaslatokat és kifogásokat az egyéb Adatvédelmi hatóságok nevében eljáró Vezető adatvédelmi hatóság kommunikálja az Európai adatvédelmi tisztviselő felé.  

A Felhasználókkal kapcsolatos vállalati szabályok módosításai a hatálybalépés dátumával minden Csoporttagra vonatkozóan kötelező erejűvé válnak. A PayPal globális adatvédelmi csapata és az európai adatvédelmi tisztviselő a bevezetés előtt tájékoztatja a csoporttagokat a felhasználókkal kapcsolatos vállalati szabályok változásairól. A Csoporttagok a Felhasználók Szolgáltatással kapcsolatos preferenciáinak megfelelően e-mailben vagy a webhelyen közzétett figyelmeztetésben előzetesen értesítik a Felhasználókat a Felhasználókkal kapcsolatos vállalati szabályok jelentős módosításairól. A Csoporttagoknak a megfelelő külső webhelyeken vagy a Felhasználók számára elérhető alkalmazásokban közzé kell tenniük a Felhasználókkal kapcsolatos vállalati szabályok átdolgozott verzióját.  A felhasználókkal kapcsolatos vállalati szabályok módosításai két hónapon belül lépnek érvénybe azt követően, hogy a csoporttagok értesítették a felhasználókat, és közzétették a módosított felhasználókkal kapcsolatos vállalati szabályokat.

Nem történik átruházás új csoporttagra mindaddig, amíg az új csoporttagot nem kötik ténylegesen a felhasználókkal kapcsolatos vállalati szabályok, és nem tud megfelelni a követelményeknek.

A Felhasználókkal kapcsolatos vállalati szabályokat közzé kell tenni, és a Szolgáltatás webhelyén vagy az alkalmazásokban elérhetővé kell tenni a szabályokra mutató hivatkozást.  Ezek a legfontosabb uniós nyelveken állnak majd rendelkezésre. A felhasználók másolatot kérhetnek a következő címen: The European Data Protection Officer (DPO), PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg vagy online.

Hatálybalépés dátuma: Közzététel dátuma

Kapcsolatfelvétel: A Felhasználók a következő címre küldhetik el a Felhasználókkal kapcsolatos vállalati szabályokat érintő kérdéseiket vagy aggályaikat:

The European Data Protection Officer (DPO)

PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg vagy vegye fel PayPal a kapcsolatot az alábbi linken: https://www.paypal.com.resource.data-analyze.v1.endpoints-api.com/uk/cshelp/contact-us/privacy

A csoporttagoknak a felhasználókkal kapcsolatos vállalati szabályokat úgy kell értelmezniük, hogy az a leginkább összhangban legyen az (EU) 2016/679 rendelet vagy az azt felváltó bármely uniós jogszabály alapelveinek alapfogalmaival.

A Felhasználókkal kapcsolatos vállalati szabályok tekintetében a következő fogalommeghatározások alkalmazandók:

AzIgazgatótanács kifejezés a Vezető csoporttagok igazgatótanácsát jelenti.

Adatkezelő : az a jogi személy, amely önállóan vagy másokkal együtt meghatározza a Személyes adatok kezelésének céljait és eszközeit.

Adatvédelmi hatóságok : azok a független közhatalmi szervek, amelyek vizsgálati és korrekciós hatáskörök révén felügyelik az adatvédelmi törvény alkalmazását az (EU) 2016/679 rendelet VI. fejezete és más vonatkozó nemzeti jogszabályok szerint.

AzEGT az Európai Gazdasági Térség rövidítése, amely jelenleg az Európai Unió tagállamait, Izlandot, Liechtensteint és Norvégiát foglalja magában.

AzAlkalmazott valamely Csoporttag alkalmazottját, dolgozóját, gyakornokát vagy egyéb személyzetét jelenti, az alkalmi, ideiglenes és helyettesítő munkaerőt és az alvállalkozókat is beleértve, a foglalkoztatás típusától és a teljes vagy részmunkaidős státusztól függetlenül.

AzEurópai adatvédelmi tisztviselő (DPO) a Vezető csoporttag vezetősége által kijelölt és annak beszámolási kötelezettséggel tartozó Alkalmazott, aki egyúttal a PayPal globális adatvédelmi jogi csapatának is tagja. Az Európai adatvédelmi tisztviselő székhelye Luxemburgban van.

Csoporttag alatt a PayPal-csoport olyan jogalanyát értjük, amely aláírta az Államközi megállapodást.

IGA : a vezető csoporttag és más PayPal csoporttagok közötti csoporton belüli megállapodás, amely kötelező érvényűvé teszi ezeket a felhasználókkal kapcsolatos vállalati szabályokat a PayPal csoporton belül.

AVezető adatvédelmi hatósága  a luxemburgi „Commission nationale pour la protection des données” („CNPD”) hatóságot jelenti.

Vezető csoporttag : PayPal (Europe) S.à.r.l. & Cie, S.C.A., luxemburgi korlátolt felelősségű társaság.

APayPal globális adatvédelmi csapata a PayPal globális adatvédelmi megfelelőségi csapatát és a PayPal globális adatvédelmi jogi csapatát jelenti.

APayPal globális adatvédelmi megfelelőségi csapata a megfelelőségi szervezet azon tagjait jelenti, akik a PayPal adatvédelmi programjának működésével és megfelelőségével foglalkoznak. 

APayPal globális adatvédelmi jogi csapata a jogi részleg adatvédelemért felelős tagjait jelenti.

PayPal Csoport a PayPal Holdings, Inc. ("PayPal") vállalatot és bármely olyan jogi személyt jelent, amely közvetlenül vagy közvetve PayPal irányítása alatt áll, és amely felhasználói személyes adatokat dolgoz fel, ahol az ellenőrzés a szavazati jogok több mint ötven százalékának (50%) a vállalat igazgatóinak megválasztásához szükséges tulajdonlást jelenti, vagy a vállalat tulajdonosi érdekeltségének több mint ötven százalékát (50%) jelenti.

Személyes adatok : azonosítható személy alatt olyan személyeket értünk, akik egy azonosítószám vagy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális identitásukra jellemző egy vagy több tényező alapján közvetlen vagy közvetett módon azonosíthatók.

Adatkezelés alatt a Személyes adatokon automatikusan vagy nem automatikusan végzett műveletet vagy műveletsort értünk, ideértve többek között a Személyes adatok gyűjtését, rögzítését, rendszerezését, tárolását, adaptálását vagy módosítását, visszakeresését, megtekintését, felhasználását, továbbítással való közlését, terjesztését vagy egyéb módon történő elérhetővé tételét, összehangolását vagy kombinálását, korlátozását, törlését és megsemmisítését.

AzAdatfeldolgozó az egyes Csoporttagok nevében Személyes adatokat kezelő természetes vagy jogi személy.

Különleges kategóriába tartozó Személyes adat : faji vagy etnikai hovatartozásra, politikai véleményre, vallási vagy világnézeti meggyőződésre, szakszervezeti tagságra, genetikai adatra, természetes személy egyedi azonosítása céljából biometrikus adatra, bűncselekménnyel kapcsolatos információkra, egészségi állapotra, szexuális életre vagy szexuális irányultságra utaló személyes adat.

Szolgáltatás : olyan webhely, alkalmazás vagy egyéb termék vagy szolgáltatás, amelyet egy csoporttag kínál a felhasználó általi használatra.

Harmadik fél : a felhasználón, a csoporttagon és a csoporttag közvetlen irányítása alatt álló személyeken, például alkalmazottakon kívüli bármely természetes vagy jogi személy, hatóság, ügynökség vagy bármely más szerv, amely jogosult a személyes adatok feldolgozására. A "harmadik fél" kifejezés magában foglalja azokat az adatfeldolgozókat is, akik nem csoporttagok.

Felhasználó alatt a PayPal Csoport korábbi és jelenlegi ügyfeleit, potenciális ügyfeleit, befektetőit, üzleti partnereit és kereskedőit értjük.

AFelhasználói személyes adatok a Felhasználókhoz kapcsolódó Személyes adatokat jelentik.

A Felhasználói személyes adatok megsértése a biztonság olyan sérülését jelenti, amely a továbbított, tárolt vagy más módon feldolgozott Felhasználói személyes adatok véletlen vagy jogellenes megsemmisítéséhez, elvesztéséhez, megváltoztatásához, jogosulatlan közzétételéhez vagy az azokhoz való jogosulatlan hozzáféréshez vezet.

Csoporttagok listája

EU/EGT szervezetek

Egyesült királyságbeli jogi személyek

Nem EU-/EGT-/egyesült királyságbeli szervezetek

Országok listája

EU-n kívüli

Egyesült Királyság

EU