“PayPal” Lietotāju datu korporatīvie noteikumi

PayPal grupas mērķis ir piemērot vienotus, atbilstošus un globālus datu aizsardzības un privātuma standartus visu lietotāju personas datu apstrādei PayPal grupas ietvaros.  Šie Lietotāja datu korporatīvie noteikumi attiecas uz visiem Lietotāja personas datiem:

• pārsūtīts no EEZ grupas dalībnieka (kā pārzinis) ārpus EEZ grupas dalībnieka (kā pārzinis vai apstrādātājs); kā arī
• pēc tam saņēmējs, kas nav EEZ grupas dalībnieks, saskaņā ar šiem Lietotāju datu korporatīvajiem noteikumiem pārsūta citam grupas dalībniekam ārpus EEZ (kā pārzinim vai apstrādātājam).

Lietotāji visā pasaulē sniedz savus personas datus grupas dalībniekiem, lai izmantotu grupas piedāvātos pakalpojumus.  Lielākā daļa lietotāju personas datu tiek vākti un glabāti Amerikas Savienotajās Valstīs.  PayPal globālajā uzņēmējdarbībā ir nepieciešama lietotāja personas datu koplietošana ar citām PayPal struktūrvienībām Amerikas Savienotajās Valstīs un visā pasaulē, kur PayPal pašlaik izvērš vai plāno izvērst darbību.

PayPal ir apņēmies pienācīgi aizsargāt lietotāja informāciju neatkarīgi no personas datu atrašanās vietas un nodrošināt atbilstošu lietotāja personas datu aizsardzību gadījumos, kad tie tiek pārsūtīti ārpus EEZ.

Grupas dalībnieku saraksts, uz kuriem attiecas šie Lietotāju datu korporatīvie noteikumi, ir dots I pielikumā. Darbiniekiem, kas atrodas II pielikumā uzskaitītajās jurisdikcijās, var būt piekļuve lietotāja personas datiem. Šie saraksti var mainīties, paplašinoties uzņēmuma uzņēmējdarbībai.

Šo noteikumu materiālā piemērošanas joma ir minēta šo noteikumu definīcijās un sadaļās, piemēram, 12. sadaļā (Lietotāju personas dati un datu subjektu veidi), 2.1. sadaļā par apstrādes veidiem, tas ir, nolūkiem, kādos tiek apstrādāti Lietotāja personas dati, un valstu saraksts ir pieejams II pielikumā.

Lietotāju datu korporatīvie noteikumi ir juridiski saistoši ar līgumu ("IGA") starp PayPal (Europe) S.à r.l. &; Cie, S.C.A. ("vadošais grupas dalībnieks") un citi PayPal grupas dalībnieki.  IGA nosaka, ka grupas dalībniekiem jāievēro šie lietotāju korporatīvie noteikumi. Grupas dalībnieki pieprasa, lai viņu darbinieki, apstrādājot lietotāju personas datus, ievērotu šos lietotāju korporatīvos noteikumus.

Uzņēmumu vadītāji un PayPal grupas augstākā vadība ir atbildīgi par atbilstības nodrošināšanu šiem Lietotāju datu korporatīvajiem noteikumiem, tai skaitā nodrošinot, ka darbinieki zina un ievēro šos Lietotāju datu korporatīvos noteikumus.

Atbilstības konfidencialitātes vadītājs vada PayPal konfidencialitātes programmu. Viņš/viņa ieņem augstākā līmeņa vadības amatu uzņēmumā PayPal Holdings, Inc. un ir tieši pakļauts(-a) galvenajam atbilstības speciālistam vai augstākajam vadītājam, kurš uzņēmumā PayPal vada atbilstības jomu.  Atbilstības konfidencialitātes vadītājs pārrauga PayPal globālo konfidencialitātes atbilstības komandu un sadarbojas ar citām iekšējām organizācijām vai komandām, piemēram, darbībām, informācijas drošību, atbilstību, risku un iekšējo auditu, lai palīdzētu nodrošināt konsekventu konfidencialitātes saziņu, praksi un politikas visā PayPal grupā visā pasaulē. PayPal globālā privātuma atbilstības komanda izstrādā un koordinē savas atbilstības stratēģijas ieviešanu visā PayPal grupā un verificē darbības atbilstību.  PayPal globālajai privātuma atbilstības komandai ir tiešie un netiešie pārstāvji visā PayPal grupā, kas, cita starpā, palīdz nodrošināt Lietotāju datu korporatīvo noteikumu un piemērojamo datu aizsardzības tiesību aktu ievērošanu.

Juridiskās privātuma vadītājs pārrauga PayPal globālo privātuma juridisko komandu un ir tieši pakļauts galvenajam juridiskajam darbiniekam vai augstākajam augstākajam vadītājam, kas vada juridisko funkciju PayPal. Interesents par juridisko konfidencialitāti definē uzņēmuma pienākumus saskaņā ar piemērojamajiem datu aizsardzības tiesību aktiem un šiem Lietotāju datu korporatīvajiem noteikumiem. Juridiskās konfidencialitātes vadītājs un PayPal globālā privātuma juridiskā komanda strādā ciešā sadarbībā ar atbilstības privātuma vadītāju un PayPal globālo atbilstības privātuma komandu un mijiedarbojas ar citām iekšējām organizācijām un komandām, piemēram, juridiskajām, operāciju, informācijas drošības un riska jomām, lai sniegtu juridiskas konsultācijas un interpretētu juridisko un regulatīvo ietekmi uz mainīgajiem privātuma jautājumiem visā PayPal grupā visā pasaulē.

PayPal globālā privātuma atbilstības komanda un PayPal globālā privātuma juridiskā komanda kopā veido PayPal globālo privātuma komandu.

Eiropas datu aizsardzības speciālistu, kas atrodas Luksemburgā, ieceļ uzņēmums PayPal (Europe) S.à r.l. et Cie, S.C.A. vadībai. Eiropas datu aizsardzības speciālists darbojas kā EEZ datu aizsardzības iestāžu galvenā kontaktpersona un neveic nekādus uzdevumus, kas varētu izraisīt interešu konfliktu. Eiropas datu aizsardzības inspektoram cita starpā ir šādi pienākumi: informēt un konsultēt grupas dalībniekus un to darbiniekus, kuri apstrādā personas datus, par viņu pienākumiem saskaņā ar privātuma tiesību aktiem, lai nodrošinātu atbilstību šiem Lietotāju datu korporatīvajiem noteikumiem; sadarboties ar PayPal globālo privātuma komandu, lai uzraudzītu atbilstību privātuma tiesību aktiem un saistītajām grupas dalībnieku politikām; un pēc pieprasījuma sniegt grupas dalībniekiem juridiskas konsultācijas par datu aizsardzības ietekmes novērtējumiem un to īstenošanu. Eiropas datu aizsardzības inspektors ziņo augstākajam vadības līmenim un var informēt augstāko vadības līmeni, ja, pildot savus pienākumus, rodas kādi jautājumi vai problēmas.

Grupas dalībnieki ievēro tālāk aprakstītos Lietotāju personas datu apstrādes principus.

2.1 Mērķa ierobežojums

Lietotāju personas dati tiek apstrādāti tikai konkrētiem, precīzi formulētiem un likumīgiem mērķiem.  Jo īpaši lietotāju personas dati var tikt apstrādāti, lai:

• sazināties ar Lietotājiem saistībā ar pakalpojumiem,
• piedāvāt, administrēt un veicināt Pakalpojumu sniegšanu pēc Lietotāju pieprasījumiem, tostarp konta atvēršanu un administrēt Lietotāju maksājumus;
• uzlabotu Pakalpojumus un izstrādātu jaunus Pakalpojumus;
• atrisināt strīdus, pārvaldīt tiesvedību, novērst problēmas un nodrošināt klientu apkalpošanu, tostarp datu analīzes, testēšanas, izpētes un statistikas nolūkos;
• veikt riska pārvaldību;
• apstrādāt darījumus un iekasēt nesamaksātās maksas, tostarp pierādot, ka darījumi ir izpildīti;
• pārbaudīt kredītspēju un maksātspēju;
• novērtētu Lietotāju interesi, atsauksmes un viedokli par Pakalpojumiem un informētu Lietotājus par tiešsaistes un bezsaistes piedāvājumiem, Pakalpojumiem un atjauninājumiem;
• pielāgot lietotāju pieredzi;
• atklātu kļūdas, krāpšanu un citas noziedzīgas darbības un aizsargātu pret tām, tostarp apstiprinātu Lietotāja identitāti un kontaktinformāciju;
• izpildītu PayPal Grupas juridiskās, līgumiskās vai normatīvās saistības;
• īstenotu Pakalpojuma noteikumus un nosacījumus, un kā citādi aprakstīts Lietotājiem datu vākšanas laikā un Pakalpojuma privātuma politikā;
• aizsargātu Pakalpojumu un PayPal grupas tīkla drošību, integritāti un pieejamību;
• aizsargāt PayPal grupas likumīgās tiesības un intereses, tostarp, bet ne tikai, izveidot, īstenot vai aizstāvēties pret juridiskām prasībām vai piedziņas procedūrām;
• izvērtēt, kādas maksāšanas iespējas un pakalpojumus piedāvāt Lietotājiem, piemēram, veicot iekšējus un ārējus kredītnovērtējumus; kā arī
• ievērot iekšējās PayPal procedūras.

Lietotāja personas datu apstrādei citiem mērķiem, kas nav iepriekš minētie mērķi, ir nepieciešams iepriekšējs apstiprinājums no PayPal globālās privātuma juridiskās komandas.  Ja rodas šaubas, grupas dalībnieki konsultēsies ar PayPal globālo privātuma juridisko komandu.

Lietotāja personas dati netiek turpmāk apstrādāti sekundārā nolūkā tādā veidā, kas nav saderīgs ar iepriekš minētajiem nolūkiem, ja vien šādai rīcībai nav juridiska pamata saskaņā ar piemērojamiem tiesību aktiem, kas piemērojami grupas dalībniekam EEZ, kurš ir atbildīgs par lietotāja personas datu vākšanu un/vai pārsūtīšanu (t. i., eksportējošā struktūra).   

2.2 . Datu minimizēšana, precizitāte un glabāšanas ierobežojumi

Lietotāja personas dati ir:

• precīzi un, ja nepieciešams, atjaunināti;
• adekvāts, atbilstošs un aprobežojas ar to, kas nepieciešams saistībā ar nolūkiem, kādiem tas tiek apstrādāts;
•  saglabāti ne ilgāk, kā nepieciešams, lai sasniegtu mērķus, kādiem tie tika vākti vai tālāk apstrādāti; kā arī
• Dzēsti, dzēsti, iznīcināti vai anonimizēti saskaņā ar piemērojamajām PayPal politikām, ja tie vairs nav nepieciešami nolūkiem, kādiem tie tika apstrādāti, ja vien nav juridiska pamata turpmākai apstrādei vai saglabāšanai nav nepieciešams saskaņā ar piemērojamiem tiesību aktiem vai piemērojamām PayPal politikām.

2.3 . Apstrādes juridiskais pamats un taisnīgums

1. Lietotāja personas datu apstrādes tiesiskais pamats

Grupas dalībnieki nodrošina, ka lietotāju personas dati tiek apstrādāti taisnīgā un likumīgā veidā, un jo īpaši, balstoties uz vismaz vienu no šiem juridiskajiem pamatojumiem:

• nepārprotama, brīvi sniegta, konkrēta un apzināta Lietotāja piekrišana;
• apstrāde, kas nepieciešama, lai izpildītu līgumu, kurā lietotājs ir līgumslēdzēja puse, vai lai veiktu pasākumus pēc lietotāja pieprasījuma pirms līguma noslēgšanas;
• apstrāde, kas nepieciešama, lai izpildītu juridiskos pienākumus, kuri jāievēro grupas dalībniekiem;
• apstrāde, kas nepieciešama, lai aizsargātu Lietotāja vai citas fiziskas personas vitālas intereses;
• apstrāde, kas nepieciešama, lai veiktu kādu uzdevumu sabiedrības interesēs vai lai īstenotu grupas dalībniekiem vai trešajai personai, kurai dati tiek izpausti, piešķirtās oficiālās pilnvaras; vai
• apstrāde, kas nepieciešama tādu likumīgo interešu sasniegšanai, kuras tiecas īstenot grupas dalībnieks vai trešā personas vai puses, kurām dati tiek izpausti, izņemot gadījumus, kad pār šādām interesēm dominē ar lietotāja pamattiesībām un brīvībām saistītās intereses.

2. Lietotāju īpašās kategorijas personas datu apstrādes tiesiskais pamats

Ja ir nepieciešama īpašas kategorijas personas datu vākšana vai ja Lietotāji brīvprātīgi sniedz šādu informāciju, grupas dalībnieki nodrošina, ka Lietotāju īpašās kategorijas personas dati tiek apstrādāti tikai, pamatojoties uz vismaz vienu no šādiem pamatojumiem:

• lietotāja skaidra piekrišana;
• apstrāde, kas nepieciešama, lai aizsargātu lietotāja vai citas personas vitāli svarīgas intereses, ja lietotājs fiziski vai juridiski nespēj dot savu piekrišanu;
• apstrāde attiecas uz lietotāja personas datiem, kurus lietotājs ir publiski izpaudis; vai
• Apstrāde, kas vajadzīga, lai celtu, īstenotu vai aizstāvētu likumīgas prasības, vai ikreiz, kad tiesas rīkojas atbilstīgi savai tiesībspējai.

3. Apstrādes juridiskais pamats, kas ietver automātisku lēmumu pieņemšanu

Ja uz lietotāju var attiekties lēmums, kura pamatā ir tikai automatizēta apstrāde, tostarp profilēšana, kam ir juridiska vai būtiska ietekme ("automatizēts lēmums"), grupas dalībnieki nodrošina, ka automatizētais lēmums:

• ir nepieciešams, lai noslēgtu vai izpildītu līgumu starp lietotāju un grupas dalībnieku;
• ir atļauts saskaņā ar ES vai dalībvalsts tiesību aktiem, kas attiecas uz grupas dalībnieku un kas arī nosaka piemērotus pasākumus, lai aizsargātu lietotāja tiesības un brīvības, un likumīgās intereses; vai
• ir balstīts uz Lietotāja nepārprotamu piekrišanu.

Turklāt vismaz pirmajā un trešajā iepriekš minētajā gadījumā grupas dalībnieks nodrošina piemērotus pasākumus, lai aizsargātu Lietotāja tiesības, brīvības un likumīgās intereses, piemēram, nodrošinot Lietotājam iespēju, ka klientu atbalsta pārstāvis individuāli pārskata lēmumu un ļauj Lietotājam sniegt savu viedokli. Ja lietotājs turpina nepiekrist automatizētajam lēmumam, klientu atbalsta pārstāvis jautājumu nodod izskatīšanai ES datu aizsardzības speciālistam. Ja nepieciešams, notiks apspriešanās ar vadītāju privātuma jautājumos un informēs vadītāju par konfidencialitātes atbilstības nodrošināšanu.

2.4 Pārredzamība

Vācot Lietotāja personas datus, Grupas dalībnieki informē Lietotājus par:

• par sākotnējo vākšanu un apstrādi atbildīgā grupas dalībnieka identitāte un kontaktinformācija;
• Eiropas datu aizsardzības speciālista kontaktinformācija. Attiecīgā informācija ir šāda: Eiropas Datu aizsardzības speciālists (DAS) PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg, vai tiešsaistē.
• Paredzētie Apstrādes nolūki, kā arī Apstrādes juridiskais pamats;
• Ja Apstrāde ir balstīta uz likumīgām interesēm, grupas dalībnieka vai trešās personas leģitīmajām interesēm
• Lietotāja personas datu saņēmēji vai saņēmēju kategorijas (ieskaitot apstrādātājus);
• attiecīgā gadījumā fakts, ka grupas dalībnieks plāno nosūtīt lietotāja personas datus uz trešo valsti vai starptautisku organizāciju, un tas, ka pastāv vai nepastāv Eiropas Komisijas lēmums par aizsardzības līmeņa pietiekamību, vai atsauce uz atbilstošiem vai piemērotiem aizsardzības pasākumiem (tostarp šiem Lietotāju datu korporatīvajiem noteikumiem), ja uz tiem atsaucas, un līdzekļi, ar kuriem var iegūt to kopiju, vai ja tie ir darīti pieejami;
• laikposms, cik ilgi lietotāja personas dati tiks glabāti, vai, ja tas nav iespējams, kritēriji, kas izmantoti minētā perioda noteikšanai;
• Lietotāja tiesību esamība, tostarp tiesības pieprasīt no grupas dalībnieka piekļuvi lietotāja personas datiem un to labošanu vai dzēšanu vai apstrādes ierobežošanu attiecībā uz lietotāju vai iebilst pret apstrādi, kā arī tiesības uz datu pārnesamību;
• Ja Apstrāde pamatojas uz piekrišanu, tiesību esamība jebkurā laikā atsaukt piekrišanu, neietekmējot tādas Apstrādes likumīgumu, kuras pamatā ir pirms atsaukuma sniegta piekrišana;
• tiesības iesniegt sūdzību datu aizsardzības iestādei;
• ja Lietotāja personas datu sniegšana ir likumā vai līgumā noteikta prasība vai prasība, kas nepieciešama, lai noslēgtu līgumu, kā arī to, vai atbildes uz jautājumiem ir obligātas vai brīvprātīgas, kā arī atbildes nesniegšanas iespējamās sekas; kā arī
• Automatizētu lēmumu gadījumā – jēgpilna informācija par tajā ietverto loģiku, kā arī šādas Apstrādes nozīmi un paredzamajām sekām Lietotājam.

Grupas dalībnieki var sniegt informāciju Pakalpojuma privātuma politikā, kas ir pieejama, izmantojot saiti un/vai apskatāma redzamā vietā katrā Pakalpojuma tīmekļvietnē vai pieteikumā, kā arī reģistrācijas laikā.  Pienākums informēt Lietotājus nav attiecināms, ja Lietotāji jau zina šo informāciju.  

Ja informācijas sniegšana izrādās neiespējama vai ir saistīta ar nesamērīgām pūlēm, Grupas dalībnieki var atturēties no informācijas sniegšanas.  Tas attiecas tikai uz tādiem Lietotāja personas datiem, kas nav tieši iegūti no Lietotāja. 

Izņēmuma gadījumos īpašas informācijas sniegšanu var atlikt vai izlaist, piemēram, lai izmeklētu nelikumīgu rīcību vai lai ievērotu piemērojamos tiesību aktus, vai arī gadījumos, kad informācijas sniegšana varētu apdraudēt izmeklēšanas integritāti

2.5 . Atbildība,  konfidencialitāte un drošība

1. Atbildība

Katrs grupas dalībnieks, kas darbojas kā datu pārzinis, ir atbildīgs par atbilstību Lietotāju datu korporatīvajiem noteikumiem un spēj to pierādīt.

Lai uzlabotu atbilstību, un vajadzības gadījumā tiek veikti datu aizsardzības ietekmes novērtējumi par apstrādes darbībām, kas varētu radīt augstu risku fizisku personu tiesībām un brīvībām. Ja novērtējumā par ietekmi uz datu aizsardzību, kā noteikts Regulā (ES) 2016/679, ir norādīts, ka apstrāde radītu augstu risku, ja grupas dalībnieks neveiktu pasākumus riska mazināšanai, pirms apstrādes notiks apspriešanās ar kompetento datu aizsardzības iestādi.

Tiek īstenoti atbilstoši tehniski un organizatoriski pasākumi, kas ir paredzēti, lai īstenotu datu aizsardzības principus un praksē veicinātu atbilstību prasībām, kas noteiktas Lietotāju datu korporatīvajos noteikumos (integrēta datu aizsardzība un datu aizsardzība pēc noklusējuma).

2. Konfidencialitāte un drošība

Grupas dalībnieki izmanto fiziskus, tehniskus un organizatoriskus drošības kontroles līdzekļus, kas ir proporcionāli lietotāja personas datu apjomam un sensitivitātei, lai novērstu nesankcionētu apstrādi, ieskaitot, bet ne tikai lietotāja personas datu ieguvi un izmantošanu, zaudēšanu, iznīcināšanu vai bojāšanu. Grupas dalībnieki izmanto šifrēšanu, ugunsmūrus, piekļuves kontroli, standartus un citas procedūras, lai aizsargātu lietotāja personas datus no nesankcionētas piekļuves.  Fiziskā un loģiskā piekļuve elektroniskajiem un drukātajiem failiem tiek vēl vairāk ierobežota, pamatojoties uz darba pienākumiem un uzņēmējdarbības vajadzībām.

3. Personas datu aizsardzības pārkāpums

Atklājot personas datu aizsardzības pārkāpumu, kā definēts VDAR Regulas (ES) 2016/679 4. panta 12. punktā, 33. panta 1. punktā, 34. panta 1. punktā un 33. panta 1. punktā, skartais grupas dalībnieks bez nepamatotas kavēšanās informē vadošo grupas dalībnieku, Eiropas datu aizsardzības speciālistu un citas nepieciešamās ieinteresētās personas saskaņā ar piemērojamo iekšējo politiku. Ja personas datu aizsardzības pārkāpums varētu radīt augstu risku fizisku personu tiesībām un brīvībām, grupas dalībnieks un vadošais grupas dalībnieks, apspriežoties ar Eiropas datu aizsardzības speciālistu, informē ietekmētos datu subjektus un attiecīgā gadījumā datu aizsardzības iestādi. Personas datu aizsardzības pārkāpumus dokumentē, lai fiksētu i) faktus, kas saistīti ar personas datu aizsardzības pārkāpumu, ii) tā sekas un iii) veiktās koriģējošās darbības. Šādu dokumentāciju iesniedz kompetentajai datu aizsardzības iestādei pēc tās pieprasījuma.

2.6 Lietotāju izvēles iespējas un tiesības

Lietotāji var izmantot šādas tiesības:

• Lietotāji var piekļūt un labot lielāko daļu Lietotāja personas datu, kas attiecas uz viņiem, ko Grupas dalībnieki uztur, izmantojot atbilstošu tiešsaistes rīku vai pašapkalpošanās procesu, kas viņiem pieejams Pakalpojuma tīmekļvietnē vai lietojumprogrammā.
• Visos gadījumos Lietotājiem ir tiesības iesniegt datu subjekta piekļuves pieprasījumu, lai apskatītu vai saņemtu savu Lietotāja personas datu kopiju, kas nav pieejama Pakalpojuma tīmekļvietnē vai lietojumprogrammā. Lietotājiem jāsazinās ar klientu atbalsta dienestu, izmantojot Pakalpojuma tīmekļvietnē vai lietojumprogrammā sniegtos norādījumus.
• Lietotāji var arī pieprasīt savu datu labošanu, ja tie ir nepilnīgi vai neprecīzi. Grupas dalībnieki šo prasību izpilda un informē Lietotājus, kad viņu dati ir izlaboti. Grupas dalībnieki informēs trešās personas, kurām ir izpausti Lietotāja dati, par jebkuru labojumu, ja vien tas neizrādīsies neiespējami vai nebūs saistīts ar nesamērīgām pūlēm.
• Lietotāji var izmantot savas tiesības panākt, lai jebkurš automatizētais lēmums, ko grupas dalībnieks pieņēmis saskaņā ar 2.3. punkta c) apakšpunktu, pārskatītu cilvēku.
• Lietotāji var iebilst pret savu Lietotāja personas datu apstrādi. Grupas dalībnieki izpildīs šādus pieprasījumus, ja vien lietotāja Personas datu saglabāšanu neparedz piemērojamie tiesību akti vai arī tas nepieciešams, lai aizstāvētu PayPal Grupu pret tiesiskajām prasībām. Lietotājus informēs par to, vai viņu pieprasījums tiks izpildīts, un pasākumiem, ko veikuši Grupas dalībnieki.
• Turklāt Lietotāji var pieprasīt slēgt savus kontus, izpildot izmantojot Pakalpojuma tīmekļvietnē vai lietojumprogrammā sniegtos norādījumus. Viņi var arī izmantot savas tiesības ierobežot savu lietotāja personas datu apstrādi vai dzēst lietotāja personas datus saistībā ar šādu konta slēgšanu. Grupas dalībnieki izņem vai anonimizē Lietotāja informāciju Pakalpojumā cik drīz vien iespējams, pamatojoties uz naudas kustību kontos.  Dažos gadījumos Grupas dalībnieki var atlikt konta slēgšanu vai saglabāt Lietotāja personas datus izmeklēšanas veikšanai, vai, ja to pieprasa spēkā esošie normatīvie akti. Grupas dalībnieki Lietotāja informāciju var saglabāt arī no slēgtiem kontiem, lai atklātu un novērstu krāpšanu, iekasētu visas nesamaksātās maksas, atrisinātu strīdus, nodarbotos ar problēmu risināšanu, palīdzētu jebkādas izmeklēšanas darbā, pārvaldītu risku, īstenotu Pakalpojuma noteikumus un nosacījumus, ievērotu juridiskās vai normatīvās prasības un veiktu citas darbības, kas citādi atļautas spēkā esošajos normatīvajos aktos. Datus glabā tādā veidā, kas ļauj identificēt datu subjektus ne ilgāk, kā tas ir nepieciešams nolūkiem, kuriem dati tika vākti vai kuriem tos turpmāk apstrādā, un dzēš, tiklīdz ir novērsts vai atrisināts to saglabāšanas galvenais iemesls.
• Izņemot tos Lietotājus, kuri ir izvēlējušies nesaņemt noteiktus paziņojumus, grupas dalībnieki var izmantot Lietotāja personas datus, lai adresētu paziņojumus lietotājiem, balstoties uz viņu interesēm saskaņā ar spēkā esošajiem tiesību aktiem.  Lietotājiem, kuri nevēlas saņemt mārketinga paziņojumus no PayPal grupas, tiek piedāvāti viegli pieejami līdzekļi, lai iebilstu pret turpmāku reklāmu, piemēram, viņu konta iestatījumos vai sekojot norādījumiem e-pastā vai paziņojumā.

Visos gadījumos Lietotāji var izmantot iepriekš minētās tiesības, sazinoties ar klientu atbalsta dienestu. Ja Lietotāja identitāti ir grūti pārbaudīt, Grupas dalībnieki var pieprasīt, lai Lietotājs iesniedz papildu identifikācijas apliecinājumu. Grupas dalībnieki pieprasījumus izpilda spēkā esošajos normatīvajos aktos noteiktajos termiņos, izņemot gadījumus, kad spēkā esošie normatīvie akti paredz izņēmumu šādam pienākumam.

2.7 . Personas datu izpaušana un pārsūtīšana

Grupas Dalībnieki var kopīgot Lietotāja personīgos datus parastā uzņēmējdarbības gaitā un apjomā ar citiem Grupas dalībniekiem visā pasaulē 2.1. sadaļā noteiktajiem mērķiem.

1. Informācijas atklāšana un nosūtīšana ārējām publiskām iestādēm

Saskaņā ar spēkā esošajiem tiesību aktiem, līgumiem vai piemērojamajām starptautiskajām konvencijām grupas dalībnieki var kopīgot personas datus ar tiesībaizsardzības un regulatīvajām iestādēm, ja tas nepieciešams demokrātiskā sabiedrībā valsts drošībai, aizsardzībai, sabiedrības drošībai, noziedzīgu nodarījumu novēršanai, izmeklēšanai, atklāšanai un saukšanai pie atbildības par tiem, un jo īpaši sankciju ievērošanai, kā noteikts starptautiskajos un/vai vietējos instrumentos, nodokļu pārskatu prasībās vai prasības ziņot par nelikumīgi iegūtu līdzekļu legalizācijas novēršanu.

Ja grupas loceklim, kas nav ES dalībnieks, ir pamats uzskatīt, ka tam piemērojamie tiesību akti neļauj šai struktūrai izpildīt savus pienākumus saskaņā ar Lietotāju datu korporatīvajiem noteikumiem, būtiski ietekmējot noteikumos paredzētās garantijas, grupas dalībnieks, kas nav ES dalībnieks, (ja vien tas nav aizliegts) nekavējoties informēs vadošo grupas dalībnieku un/vai Eiropas datu aizsardzības inspektoru. Tas ietver, ja tas:

1. saņem juridiski saistošu pieprasījumu no valsts iestādes, kas nav ES dalībvalsts, par to lietotāju personas datu izpaušanu, kas nosūtīti saskaņā ar šiem Lietotāju datu korporatīvajiem noteikumiem, un tādā gadījumā grupas dalībnieks ārpus ES (ja vien tas nav aizliegts) sniegs vadošajam grupas dalībniekam un/vai Eiropas datu aizsardzības speciālistam informāciju par pieprasītajiem lietotāja personas datiem, pieprasījuma iesniedzēju ārpus ES esošo publisko iestādi, pieprasījuma un sniegtās atbildes juridiskais pamats;
2. uzzina par ārpussavienības valsts iestāžu tiešu piekļuvi lietotāju personas datiem, kas nosūtīti saskaņā ar Lietotāju datu korporatīvajiem noteikumiem, un šādā gadījumā grupas dalībnieks, kas nav ES grupas dalībnieks, (ja vien tas nav aizliegts) sniegs vadošajam grupas dalībniekam un/vai Eiropas datu aizsardzības speciālistam tādu informāciju, kāda ir zināma grupas dalībniekam ārpus ES.

Ja īpašos gadījumos apturēšana un/vai paziņošana ir aizliegta, pieprasījuma saņēmējs grupas dalībnieks cenšas iegūt tiesības atteikties no šā aizlieguma, lai paziņotu pēc iespējas vairāk informācijas un cik drīz vien iespējams. Grupas loceklis, kas nav ES dalībvalsts, pārbaudīs katra informācijas izpaušanas pieprasījuma likumību, ko iesniegusi valsts iestāde ārpus ES, lai novērtētu, vai tas atbilst šai iestādei piešķirtajām pilnvarām, un apstrīdēs pieprasījumu, ja tas tā nav. Tā dokumentēs un reģistrēs savu pārskatu un, ja vien tas nav aizliegts, darīs to pieejamu vadošās grupas loceklim un/vai Eiropas datu aizsardzības inspektoram. Tā arī pēc pieprasījuma darīs to pieejamu kompetentajām datu aizsardzības iestādēm.

Grupas loceklis, kas nav ES dalībvalsts, sniegs minimālo informācijas apjomu, kas pieļaujams, atbildot uz publiskas iestādes ārpus ES esošas iestādes informācijas izpaušanas pieprasījumu, pamatojoties uz pieprasījuma saprātīgu interpretāciju.

Grupas dalībnieki nevar nodot lietotāju personas datus publiskai iestādei ārpus ES masveidā, nesamērīgā un nediferencētā veidā, kas pārsniegtu demokrātiskā sabiedrībā nepieciešamo.

2. Personas datu izpaušana apstrādātājam

Kad grupas dalībnieki nodod Lietotāja personas datus apstrādātājam, apstrādātājam pirms darba uzsākšanas un pirms jebkādas Lietotāja personas datu nodošanas tiks veikts privātuma, datu aizsardzības un informācijas drošības riska novērtējums.  Novērtējuma apjoms mainīsies atkarībā no apstrādāto Lietotāja personas datu sensitivitātes. Privātuma, datu aizsardzības un informācijas drošības novērtējums nav obligāts apstrādātājiem, kuriem jau ir veikts šāds novērtējums vai kuri ir grupas dalībnieki, ja vien apstrādes darbības neietver augsta riska darbības, ņemot vērā personas datu raksturu un apjomu un attiecīgo apstrādes darbību veidu.

Apstrādātājiem, tostarp grupas dalībniekam, kas iejaucas kā apstrādātājs, ir jānoslēdz līgums ar attiecīgo grupas dalībnieku, kurš darbosies kā lietotāja personas datu pārzinis, lai nodrošinātu atbilstošus privātuma, datu aizsardzības un informācijas drošības pasākumus. Šāds līgums ietver punktus, kas paredz Lietotāja personas datu pareizu izmantošanu un iesaistīto Lietotāja personas datu apjomam, raksturam un jutīgumam atbilstošus drošības pasākumus. 

Līgumiskajām garantijām jāattiecas vismaz uz šādiem aspektiem:

• prasības ievērot tiesību aktus un apstrādāt lietotāja personas datus tikai saskaņā ar līguma noteikumiem un attiecīgo grupas dalībnieku norādījumiem;
• pārliecība, ka personas, kuras ir pilnvarotas apstrādāt Lietotāja personas datus, ir apņēmušās ievērot konfidencialitāti vai tām ir atbilstošs likumā noteikts pienākums ievērot konfidencialitāti;
• Apliecinājums, ka bez grupas dalībnieka iepriekšējas konkrētas vai vispārējas rakstiskas atļaujas netiek veikta cita apstrādātāja iepriekšēja iesaistīšana, un ja šāds apstrādātājs ievēro tos pašus līgumiskos aizsardzības pasākumus, iesaistot pašu citu apstrādātāju.
• atbilstošiem tehniskajiem un organizatoriskajiem pasākumiem, kas pielāgoti attiecīgo lietotāja personas datu un apstrādes sensitivitātei;
• Palīdzība grupas dalībniekam ar atbilstošiem tehniskiem un organizatoriskiem pasākumiem, ciktāl tas ir iespējams, lai grupas dalībnieks izpildītu pienākumu atbildēt uz pieprasījumiem par datu subjekta tiesību īstenošanu;
• Pienākumi paziņot par drošības pārkāpumu, piemēram, nekavējoties rakstiski paziņot PayPal, bez nepamatotas kavēšanās pēc tam, kad kļuvis zināms par drošības pārkāpumu.
• pēc izpaužošā grupas dalībnieka izvēles visu personas datu dzēšanu vai atdošanu šim grupas dalībniekam pēc tam, kad beigusies ar apstrādi saistītu pakalpojumu sniegšana, un esošo kopiju dzēšanu, ja vien Savienības vai dalībvalsts tiesību aktos nav paredzēta personas datu glabāšana;
• tiesībām veikt auditu attiecībā uz apstrādātāju atbilstību līgumsaistībām;
• noteikumiem par atlīdzināšanu gadījumā, ja apstrādātājs neievēro savas likumīgās vai līgumsaistības.

Līgumos starp citiem līgumā noteiktajiem tiesiskās aizsardzības līdzekļiem jāiekļauj noteikumi, kas paredz, ka līguma noteikumu neievērošana var apturēt vai izbeigt līguma darbību.

3. Personas datu izpaušana trešajām personām

Ja grupas dalībnieki nosūta EEZ lietotāju personas datus trešām personām (tostarp apstrādātājiem, kas nav grupas dalībnieki, kuri atrodas valstī ārpus EEZ, kura i) nenodrošina pietiekamu aizsardzības līmeni (ES Vispārīgās datu aizsardzības regulas nozīmē) un ii) kurai nav citu pasākumu, kas atbilstu ES pietiekamības prasībām, grupas dalībnieks nodrošina, ka trešā puse īsteno atbilstošas līgumiskas garantijas, piemēram, Eiropas Komisijas apstiprinātas līguma standartklauzulas, kas nodrošina aizsardzības līmeni, kurš ir samērojams ar šiem Lietotāju datu korporatīvajiem noteikumiem, vai arī nodrošina, ka pārsūtīšana i) notiek ar lietotāja nepārprotamu piekrišanu, ii) ir nepieciešama, lai noslēgtu vai izpildītu līgumu, kas noslēgts ar lietotāju, iii) ir nepieciešama vai juridiski nepieciešama, pamatojoties uz svarīgām sabiedrības interesēm, (iv) ir nepieciešams, lai aizsargātu Lietotāja vitālas intereses; vai (v) ir nepieciešams, lai īstenotu, celtu vai aizstāvētu likumīgas prasības.

2.8 Ietekmes uz nodošanu novērtējumi

Dalībvalstis novērtē (un pastāvīgi uzrauga), vai trešo valstu likumi vai prakse nepieļauj atbilstību šiem Lietotāju datu korporatīvajiem noteikumiem. Šādos novērtējumos ņem vērā:

• Īpašie apstākļi, kas saistīti ar nosūtīšanu vai vairākkārtēju nosūtīšanu un jebkādu plānotu tālāku nosūtīšanu tajā pašā trešā valstī vai uz citu trešo valsti, tostarp:
• datu nosūtīšanas un apstrādes nolūki (piemēram, mārketings, cilvēkresursi, glabāšana, IT atbalsts, klīniskie izmēģinājumi);
• apstrādē iesaistīto struktūru veidi (datu saņēmējs un visi tālākas nosūtīšanas turpmākie saņēmēji);
• ekonomikas nozari, kurā notiek nodošana vai nodošana kopumā;
• pārsūtīto personas datu kategorijas un formātu;
• apstrādes vieta, tostarp uzglabāšana; kā arī
• izmantotie pārraides kanāli;
• galamērķa trešās valsts tiesību akti un prakse, kas ir būtiska, ņemot vērā pārsūtīšanas apstākļus, tostarp tiesību akti un prakse, kas pieprasa atklāt datus valsts iestādēm vai atļauj šādām iestādēm piekļūt tiem, un tiesību akti un prakse, kas paredz piekļuvi šiem datiem tranzīta laikā starp datu nosūtītāja valsti un datu saņēmēja valsti; kā arī
• Visi attiecīgie līgumiskie, tehniskie vai organizatoriskie aizsardzības pasākumi, kas ieviesti, lai papildinātu Lietotāju datu korporatīvajos noteikumos paredzētos aizsardzības pasākumus, tostarp pasākumi, ko piemēro pārsūtīšanas laikā un Lietotāja personas datu apstrādei galamērķa valstī.

Ja nevar nodrošināt pienācīgu aizsardzību, pārsūtīšana ir jāaptur vai jāizbeidz. Novērtējumus dokumentē un pēc pieprasījuma dara pieejamus datu aizsardzības iestādēm.

2.9 Valsts iestāžu pieprasījumi

Importētāji informē vadošo grupas dalībnieku pēc valsts iestādes piekļuves pieprasījumu pieprasījuma. Tie pamatoti apstrīd slepenību vai nelikumīgus pieprasījumus, līdz minimumam samazina izpaušanu un reģistrē darbības.

Ja Lietotāji uzskata, ka viņu Lietotāja personas dati ir apstrādāti, pārkāpjot Lietotāju datu korporatīvos noteikumus, viņi var ziņot par bažām attiecīgā grupas dalībnieka klientu apkalpošanas funkcijai, izmantojot attiecīgā Pakalpojuma tīmekļa vietni, e-pastu vai kā citādi norādīts piemērojamajos noteikumos un nosacījumos.  Lietotāji parasti var atrast atbildes uz visbiežāk sastopamajiem jautājumiem par privātumu un bažām, attiecīgā pakalpojuma palīdzības sadaļā ierakstot vārdu “privātums”, kas parasti novirza Lietotāju uz konkrētu privātuma lapu vai politiku.  Attiecīgā pakalpojuma sadaļa “Palīdzība” ir unikāls piekļuves punkts visiem Lietotāju vaicājumiem, kas saistīti ar viņu privātumu vai viņu Lietotāja informācijas apstrādi, un sniedz Lietotājam iespēju sazināties ar klientu atbalsta dienestu. 

Ja rodas šaubas par to, kuru kanālu izmantot, lai ziņotu par bažām, kas saistītas ar privātumu, lietotāji var sazināties ar Eiropas datu aizsardzības speciālistu tiešsaistē.

Klientu atbalsts izmeklē un mēģina atrisināt lietotāju paustās problēmas. Darbinieki, kas atbild par ar privātumu saistītu problēmu risināšanu, cieši sadarbojas ar PayPal Globālo privātuma komandu un atbild lietotājiem saskaņā ar PayPal politikām, procedūrām un norādījumiem. Ja Lietotāji uzskata, ka viņu bažām nav pievērsta pienācīga uzmanība vai ja viņi nav saņēmuši atbildi, viņi var pieprasīt, lai viņu bažas tiktu eskalētas Eiropas datu aizsardzības inspektoram. Notiks apspriešanās ar interesentu privātuma  jautājumos un informēs vadītāju par privātuma atbilstības nodrošināšanu. Eskalācijas ceļus nosaka, ņemot vērā bažu raksturu un apjomu, un jautājumu nekavējoties nosūta attiecīgajai komandai.  Atbilde uz sūdzību Lietotājam tiek sniegta saprātīgā termiņā un katrā ziņā trīs (3)mēnešu laikā pēc izmeklēšanas dienas, izņemot neparastu apstākļu vai sarežģītu jautājumu gadījumā, par kuriem Lietotājam tiks paziņots, ka atbilde prasīs vairāk nekā trīs (3) mēnešus.

Sūdzību izskatīšanas mehānisms neskar Lietotāju tiesības iesniegt sūdzības kompetentām datu aizsardzības iestādēm vai tiesām. Jo īpaši Lietotāji var iesniegt sūdzību:

• kompetentā datu aizsardzības iestādē, jo īpaši dalībvalstī, kurā ir Lietotāju pastāvīgā dzīvesvieta, darbavieta vai iespējamā pārkāpuma izdarīšanas vieta; kā arī
• to dalībvalstu kompetentajā tiesā, kurās atrodas grupas dalībniekam, kas ir Lietotāja personas datu pārzinis vai apstrādātājs, vai kurā ir lietotāja pastāvīgā dzīvesvieta.

EEZ lietotājiem, kuriem ir aizdomas par Lietotāju datu korporatīvo noteikumu pārkāpumu ārpus EEZ, ir tiesības uz tiesībaizsardzību tiesā un tiesības uz tiesisko aizsardzību un attiecīgā gadījumā kompensāciju, ja tiek pārkāpts kāds no Lietotāju datu korporatīvo noteikumu izpildāmajiem elementiem kā trešās puses labuma guvējs, un jo īpaši attiecībā uz 2. un 3. iedaļu, Lietotāju datu korporatīvo noteikumu 4., 7., 8. un 9. punktu kompetentajās datu aizsardzības iestādēs vai tiesās saskaņā ar 3. iedaļu. Šīs izpildes tiesības papildina citus tiesiskās aizsardzības līdzekļus vai tiesības, ko nodrošina PayPal vai kas ir pieejamas saskaņā ar piemērojamiem tiesību aktiem.

Lai gan tas nav nepieciešams, EEZ lietotāji tiek aicināti vispirms ziņot par savām bažām tieši grupas dalībniekam, nevis datu aizsardzības iestādēm vai tiesām.  Tas ļauj PayPal grupai efektīvi un ātri reaģēt un samazina iespējamo kavēšanos, kas var rasties saistībā ar datu aizsardzības iestādēm vai tiesas procedūrām.

PayPal Europe S.à r.l. et Cie, S.C.A., Luksemburgas sabiedrība ar ierobežotu atbildību, uzņemas atbildību un piekrīt pārraudzīt, kā grupas dalībnieki ievēro Lietotāju datu korporatīvos noteikumus.  Vadošais grupas dalībnieks apņemas i) veikt nepieciešamos pasākumus, lai novērstu pārkāpumu, ko izdarījuši grupas dalībnieki ārpus EEZ un ii) izmaksāt kompensāciju EEZ lietotājiem, ko piešķīrusi vadošā datu aizsardzības iestāde vai Luksemburgas tiesas, par visiem zaudējumiem, kas tiešā veidā radušies, grupas dalībniekiem pārkāpjot Lietotāju datu korporatīvos noteikumus ārpus EEZ, ja attiecīgais grupas dalībnieks nespēj vai nevēlas izmaksāt kompensāciju vai izpildīt rīkojumu. 

Vadošais grupas dalībnieks atzīst un piekrīt, ka tam ir pierādīšanas pienākums attiecībā uz iespējamu Lietotāju datu korporatīvo noteikumu pārkāpumu.

Vadošais grupas dalībnieks (vai jebkurš cits grupas dalībnieks) nav atbildīgs, ja tas, pamatojoties uz pieejamajiem faktiem un ņemot vērā lietotāja komentārus, pamatoti pierāda, ka grupas dalībnieks ārpus EEZ nav pārkāpis Lietotāju datu korporatīvos noteikumus vai nav atbildīgs par jebkādu kaitējumu, ko apgalvo lietotājs.

Grupas dalībnieki nodrošina to, ka visi Darbinieki, kas apstrādā Lietotāja personas datus, kā arī Darbinieki, kuri ir iesaistīti tādu rīku izstrādē, kas tiks izmantoti Lietotāja personas datu vākšanai vai apstrādei, saņem privātuma un informācijas drošības izpratnes apmācību, uzsverot un informējot Darbiniekus par nepieciešamību aizsargāt un nodrošināt Lietotāja personas datus saskaņā ar šiem Lietotāju korporatīvajiem noteikumiem. 

Darbiniekiem katru gadu ir jāiziet tiešsaistes atbilstības apmācība par atbilstības nodrošināšanu, pamatojoties uz Uzņēmējdarbības un ētikas kodeksu, kurā iekļauta sadaļa par datu aizsardzību.  Jaunajiem darbiniekiem, sākot darbu, ir jāiziet tiešsaistes apmācība par atbilstību.

Papildus šai tiešsaistes atbilstības apmācībai “PayPal” globālā privātuma komanda un Eiropas datu aizsardzības speciālists nodrošina privātuma un informācijas drošības izpratnes apmācību, lai uzsvērtu darbiniekiem nepieciešamību aizsargāt un glabāt drošībā personas datus un informētu viņus par to. Šāda apmācība notiek katru gadu vai biežāk, ja to prasa apstākļi.

Darbinieku apmācība tiek pielāgota viņu lietotāja personas datu piekļuves līmenim, un darbiniekiem ar augstāku piekļuves līmeni jānodrošina papildu apmācība. 

Grupas dalībnieki informē darbiniekus, ka šo Lietotāju datu korporatīvo noteikumu neievērošana var novest pie disciplināras rīcības un citām piemērojamajos tiesību aktos atļautām darbībām.  Šo Lietotāju datu korporatīvo noteikumu un citu ar privātumu un drošību saistīto politiku un procedūru kopijas darbiniekiem ir pieejamas jebkurā laikā uzņēmuma iekštīklā. Lietotāju datu korporatīvie noteikumi ir iekļauti arī Uzņēmuma rīcības un ētikas kodeksā, kas visiem darbiniekiem jāizskata un jāpiekrīt tā ievērošanai. 

Lai palīdzētu nodrošināt atbilstību šiem Lietotāju datu korporatīvajiem noteikumiem, PayPal globālā privātuma atbilstības komanda pastāvīgi pārskata lietotāju personas datu apstrādes darbības un praksi. Šīs darbības tiek koordinētas ciešā sadarbībā ar Eiropas datu aizsardzības speciālistu. Šīs darbības notiek periodiski un vismaz reizi gadā un palīdz novērtēt atbilstību Lietotāju datu korporatīvajiem noteikumiem.

Iekšējā audita grupa ir neatkarīgs un objektīvs vadības un Direktoru padomes padomnieks, kas ar audita komitejas starpniecību paziņo audita konstatējumus Direktoru padomei, vadītājiem privātuma jautājumos un Eiropas datu aizsardzības inspektoram. 

Iekšējās audita grupa var regulāri pārskatīt Globālās privātuma komandas noteiktās darbības vai praksi. Iekšējās revīzijas komanda, vadītāji privātuma jautājumos un Eiropas datu aizsardzības inspektors vajadzības gadījumā pieprasa izstrādāt rīcības plānu, lai nodrošinātu atbilstību šiem Lietotāju datu korporatīvajiem noteikumiem. Ja iekšējās grupas neatrisina jautājumus pienācīgā mērā, grupa var iecelt neatkarīgus ārējos auditorus turpmākai risināšanai.

Eiropas datu aizsardzības speciālists, PayPal globālā privātuma atbilstības komanda vai iekšējās audita grupas un ārējie auditori izstrādā detalizētus audita plānus un grafikus, pamatojoties uz apstrādes risku.

Privātuma audita rezultāti pēc pieprasījuma būs pieejami kompetentajām datu aizsardzības iestādēm.

Tā kā visā pasaulē pastāv atšķirīgas juridiskās prasības attiecībā uz datu aizsardzību Lietotāju datu korporatīvajos noteikumos ir paredzēts konsekvents prasību kopums, kas palīdz nodrošināt atbilstošu lietotāja personas datu apstrādi. Lai gan Lietotāju datu korporatīvie noteikumi nodrošina pamatprasības, kas jāievēro grupas dalībniekiem, tiem jāievēro arī spēkā esošie tiesību akti, kas var paredzēt stingrākus standartus par šajos korporatīvajos noteikumos izklāstītajiem.

Nekas šajos Lietotāju datu korporatīvajos noteikumos neietekmē grupas dalībnieku saistības saskaņā ar piemērojamajiem banku nozares tiesību aktiem, jo īpaši attiecībā uz bankas noslēpumu.   Ja piemērojamie tiesību akti ir pretrunā šiem Lietotāju datu korporatīvajiem noteikumiem, neļaujot grupas dalībniekam pildīt tā saistības saskaņā ar Lietotāju datu korporatīvajiem noteikumiem, un būtiski ietekmē tajos paredzētā garantijas, grupas dalībnieks nekavējoties informē Eiropas datu aizsardzības speciālistu, izņemot gadījumus, kad šādas informācijas sniegšanu aizliedz tiesībaizsardzības iestāde vai tiesību akti.  Eiropas datu aizsardzības speciālists, vadītāji privātuma jautājumos un vadošais grupas dalībnieks nosaka piemērotu rīcību un šaubu gadījumā konsultējas ar kompetento datu aizsardzības iestādi.

Grupas locekļi sadarbojas un palīdz viens otram apstrādāt Lietotāju pieprasījumus vai sūdzības saistībā ar šiem Lietotāja korporatīvajiem noteikumiem.

Grupas dalībnieki rūpīgi un atbilstoši atbildēs uz datu aizsardzības iestāžu pieprasījumiem par Lietotāju datu korporatīvajiem noteikumiem.  Ja darbinieks no datu aizsardzības iestādes saņem šādu pieprasījumu, viņam nekavējoties jāinformē Eiropas datu aizsardzības speciālists.   

Grupas dalībnieki sadarbojas izmeklēšanā un pieņem EEZ kompetento datu aizsardzības iestāžu auditus attiecībā uz šo Lietotāju datu korporatīvo noteikumu ievērošanu, kā arī ņem vērā viņu lēmumus saskaņā ar spēkā esošajiem tiesību aktiem un paredzētajām procesuālajām tiesībām.

Grupas dalībnieki ievēros datu aizsardzības iestāžu ieteikumus jautājumos, kas saistīti ar Lietotāju datu korporatīvajiem noteikumiem. Visus strīdus, kas saistīti ar to, kā kompetentā datu aizsardzības iestāde uzrauga, kā tiek ievēroti Lietotāju datu korporatīvie noteikumi, izšķir šīs datu aizsardzības iestādes dalībvalsts tiesas saskaņā ar attiecīgās dalībvalsts procesuālajām tiesībām. Grupas dalībnieki piekrīt pakļauties šo tiesu jurisdikcijai.

PayPal patur tiesības pēc nepieciešamības mainīt šos Lietotāju datu korporatīvos noteikumus, piemēram, lai ievērotu izmaiņas piemērojamos tiesību aktos, noteikumos, PayPal praksē, procedūrās un organizatoriskajā struktūrā vai prasībās, ko noteikušas attiecīgās datu aizsardzības iestādes.

PayPal globālā privātuma juridiskā komanda (ko vada vadītājs privātuma jautājumos) ierosinās visas nepieciešamās izmaiņas šajos Lietotāju datu korporatīvajos noteikumos. PayPal globālajai privātuma atbilstības komandai (ko vada vadītājs privātuma atbilstības jautājumos) un Eiropas datu aizsardzības speciālistam ir jāapstiprina visas izmaiņas Lietotāju datu korporatīvajos noteikumos un jāseko līdzi visām izmaiņām Lietotāju datu korporatīvajos noteikumos, kā arī visām izmaiņām grupas dalībnieku sarakstā. Grupas dalībnieki ziņo attiecīgajām datu aizsardzības iestādēm par izmaiņām Lietotāju datu korporatīvajos noteikumos, lai saņemtu oficiālu apstiprinājumu un kā to paredz spēkā esošie tiesību akti.

Vadošais grupas dalībnieks konsultēsies ar vadošo datu aizsardzības iestādi par būtiskām izmaiņām Lietotāju datu korporatīvajos noteikumos, kuras ietekmēs datu aizsardzības atbilstību vai Lietotāju datu korporatīvo noteikumu darbību.  Vadošais grupas dalībnieks vismaz reizi gadā paziņos vadošajai datu aizsardzības iestādei par būtiskām izmaiņām Lietotāju datu korporatīvajos noteikumos un izmaiņām grupas dalībnieku sarakstā. Ja būtiskas izmaiņas kaitē aizsardzības līmenim, ko piedāvā šie Lietotāju datu korporatīvie noteikumi, vai citādi būtiski ietekmētu Lietotāju datu korporatīvos noteikumus (piemēram, izmaiņas to saistošajā raksturā vai izmaiņas vadošajam grupas dalībniekam), par šādām izmaiņām iepriekš tiks paziņots vadošajai datu aizsardzības iestādei, īsi paskaidrojot atjaunināšanas iemeslus, , lai vadošā datu aizsardzības iestāde kopā ar citām kompetentajām datu aizsardzības iestādēm varētu izvērtēt, vai izmaiņām ir nepieciešams jauns apstiprinājums.

PayPal globālās privātuma komandas sadarbosies, lai atbalstītu Eiropas datu aizsardzības speciālistu, kurš jo īpaši koordinēs atbildes un nekavējoties atbildēs uz komentāriem, ierosinājumiem vai iebildumiem pret izmaiņām, ko PayPal vārdā ierosinājusi vadošā datu aizsardzības iestāde. Pārējo datu aizsardzības iestāžu izteiktos komentārus, priekšlikumus vai iebildumus Eiropas datu aizsardzības speciālistam nodos vadošā datu aizsardzības iestāde, kura rīkosies pārējo datu aizsardzības iestāžu vārdā.  

Visiem Grupas dalībniekiem jāsāk ievērot izmaiņas Lietotāju datu korporatīvajos noteikumos no dienas, kad šīs izmaiņas stājās spēkā. PayPal globālā privātuma komanda un Eiropas datu aizsardzības speciālists pirms ieviešanas informēs grupas dalībniekus par izmaiņām Lietotāju datu korporatīvajos noteikumos. Grupas dalībnieki savlaicīgi informēs Lietotājus par būtiskām izmaiņām Lietotāju datu korporatīvajos noteikumos, ievērojot konkrētā Lietotāja Pakalpojumu preferences vai nu izsūtot masveida e-pasta ziņojumus, vai arī publicējot tīmekļvietnē nepārprotamu brīdinājumu Lietotājiem par gaidāmajām izmaiņām Lietotāju noteikumos. Grupas dalībniekiem jāpublicē grozītie Lietotāju datu korporatīvie noteikumi šim nolūkam izvēlētās ārējās tīmekļvietnēs vai lietotājiem pieejamās lietotnēs.  Lietotāju datu korporatīvo noteikumu grozījumi stājas spēkā divu mēnešu laikā pēc tam, kad grupas dalībnieki ir informējuši lietotājus un publicējuši pārskatītos Lietotāju datu korporatīvos noteikumus.

Jauns grupas dalībnieks netiek pārsūtīts, kamēr jaunajam grupas dalībnieka BCR dalībniekam nav saistoši Lietotāju datu korporatīvie noteikumi un viņš nav nodrošinājis atbilstību.

Lietotāju datu korporatīvie noteikumi jāpublicē, un saitei uz tiem jābūt pieejamai Pakalpojuma tīmekļvietnē vai lietotnēs.  Tie būs pieejami galvenajās ES valodās. Lietotāji var pieprasīt kopiju no The European Data Protection Officer (DAS), PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg vai tiešsaistē.

Spēkā stāšanās datums: Publicēšanas datums

Kontaktinformācija: ja lietotājiem rodas kādi jautājumi vai bažas saistībā ar šiem Lietotāju datu korporatīvajiem noteikumiem, viņi var sazināties ar

Eiropas datu aizsardzības speciālists (DAS)

PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal L-2449, Luxembourg vai sazinoties ar PayPal šajā saitē: https://www.paypal.com.resource.data-analyze.v1.endpoints-api.com/uk/cshelp/contact-us/privacy

Grupas dalībnieki interpretē Lietotāju datu korporatīvos noteikumus tādā veidā, kas visvairāk atbilst Regulas (ES) 2016/679 vai jebkuru citu aizstājošu ES tiesību aktu principu pamatjēdzieniem.

Šajos Lietotāju datu korporatīvajos noteikumos izmantotas šādas definīcijas:

Direktoru padome ir vadošā grupas dalībnieka direktoru padome.

Pārzinis ir juridiska persona, kas viena pati vai kopīgi ar citām nosaka Personas datu apstrādes nolūkus un līdzekļus.

Datu aizsardzības iestādes ir neatkarīgas publiskas iestādes, kas, izmantojot izmeklēšanas un korektīvās pilnvaras, uzrauga datu aizsardzības tiesību aktu piemērošanu saskaņā ar Regulas (ES) 2016/679 VI nodaļu un citiem attiecīgiem valsts tiesību aktiem.

EEZ ir Eiropas Ekonomikas zona, kurā pašlaik ietilpst ES dalībvalstis, Islande, Lihtenšteina un Norvēģija.

Darbinieks ir grupas dalībnieka darba ņēmēji, strādnieki, praktikanti un citi personāla pārstāvji vai darbinieki, tostarp līgumstrādnieki vai pagaidu darbinieki, alternatīvs darbaspēks vai darbuzņēmēji, neatkarīgi no tā, vai viņi ir pieņemti darbā vai nolīgti uz pilnu vai nepilnu darba laiku, un neatkarīgi no nodarbinātības vai līgumdarba veida.

Eiropas datu aizsardzības speciālists (DAS) ir vadošā grupas dalībnieka iecelts darbinieks, kurš ir vadošā grupas dalībnieka pakļautībā un vienlaikus darbojas arī kā PayPal globālās privātuma juridiskās komandas dalībnieks. Eiropas DAS birojs atrodas Luksemburgā.

Grupas dalībnieks ir PayPal grupas uzņēmums, kurš ir parakstījis grupas iekšējo līgumu (IGA).

IGA ir grupas iekšējais līgums starp vadošo grupas dalībnieku un citiem PayPal grupas dalībniekiem, kas piešķir šiem Lietotāju datu korporatīvajiem noteikumiem saistošu spēku PayPal grupā.

Vadošā datu aizsardzības iestāde iestāde ir Luksemburgas Datu aizsardzības valsts komisija (Commission nationale pour la protection des données jeb CNPD).

Vadošais grupas dalībnieks nozīmē PayPal (Eiropa) S.à r.l. & Cie, S.C.A., Luksemburgas sabiedrība ar ierobežotu atbildību.

PayPal globālā privātuma komanda ir PayPal privātuma atbilstības globālās komandas un PayPal globālās privātuma juridiskās komandas apvienojums.

PayPal globālā privātuma atbilstības komanda ir atbilstības organizācijas darbinieki, kas atbild konkrēti par PayPal privātuma programmas atbilstību un īstenošanu. 

PayPal globālā privātuma juridiskā komanda ir Juridiskās nodaļas darbinieki, kas atbild konkrēti par privātumu un datu aizsardzību.

PayPal grupa nozīmē PayPal Holdings, Inc. ("PayPal") un jebkuru vienību, ko tieši vai netieši kontrolē PayPal un kas apstrādā Lietotāja personas datus, kur kontrole nozīmē īpašumtiesības uz vairāk nekā piecdesmit procentiem (50%) balsstiesībām, lai ievēlētu uzņēmuma direktorus, vai vairāk nekā piecdesmit procentiem (50%) no uzņēmuma īpašumtiesību daļas.

Personas dati ir jebkāda ar identificētu vai identificējamu fizisku personu saistīta informācija – identificējama persona ir persona, kuru var tieši vai netieši identificēt, jo īpaši pēc atsauces uz identifikācijas numuru vai vienu vai vairākiem faktoriem, kas raksturīgi personas fiziskajai, fizioloģiskajai, garīgajai, ekonomiskajai, kultūras vai sociālajai identitātei.

Apstrāde ir jebkāda darbība vai darbību kopums, kas tiek veikts (ar automatizētiem vai neautomatizētiem līdzekļiem) ar personas datiem, piemēram, datu vākšana, reģistrēšana, klasifikācija, glabāšana, pielāgošana vai pārveidošana, izguve, pētīšana, izmantošana, izpaušana, tos pārraidot, izplatot vai kā citādi padarot pieejamus, datu saskaņošana vai apvienošana, bloķēšana, dzēšana vai iznīcināšana.

Apstrādātājs ir jebkura fiziska vai juridiska persona, kas veic personas datu apstrādi kāda grupas dalībnieka vārdā.

Īpašas kategorijas personas dati ir personas dati, kas atklāj rasi vai etnisko izcelsmi, politiskos uzskatus, reliģisko vai filozofisko pārliecību, dalību arodbiedrībās, ģenētiskos datus, biometriskos datus, lai veiktu fiziskas personas unikālu identifikāciju, informāciju par noziedzīgiem nodarījumiem vai informāciju par veselību, seksuālo dzīvi vai seksuālo orientāciju.

Pakalpojums ir tīmekļa vietne, lietojumprogramma vai cits produkts vai pakalpojums, ko grupas dalībnieks piedāvā lietotāja lietošanai.

Trešā puse ir jebkura fiziska vai juridiska persona, publiska iestāde, aģentūra vai jebkura cita struktūra, kas nav lietotājs, grupas dalībnieks un personas, kuras grupas dalībnieka tiešā pakļautībā, piemēram, darbinieki, ir pilnvarotas apstrādāt personas datus. Termins "trešā puse" ietver apstrādātājus, kas nav grupas dalībnieki.

Lietotājs nozīmē iepriekšējos un esošos PayPal grupas klientus, potenciālos klientus, investorus, biznesa partnerus un tirgotājus.

Lietotāja personas dati ir ar konkrēto lietotāju saistītie personas dati.

Lietotāja personas datu aizsardzības pārkāpums ir drošības pārkāpums, kura rezultātā notiek nejauša vai nelikumīga nosūtīto, uzglabāto vai citādi apstrādāto Lietotāja personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem.

Grupas dalībnieku saraksts

ES/EEZ struktūras

Apvienotās Karalistes uzņēmumi

Uzņēmumi, kas nav ES/EEZ/Apvienotās Karalistes struktūras

Valstu saraksts

Ārpus ES

Apvienotā Karaliste

ES