Bedriftsregler for PayPal-brukere

PayPal-konsernets mål er å bruke helhetlige, tilstrekkelige og globale databeskyttelses- og personvernstandarder for håndtering av alle brukerpersonopplysninger i PayPal-konsernet.  Disse brukerbedriftsreglene gjelder for alle brukerpersonopplysninger

• overført fra et EØS-konsernmedlem (som behandlingsansvarlig) til et ikke-EØS-konsernmedlem (som behandlingsansvarlig eller databehandler) og
• videreoverført av en mottaker som ikke er EØS-konsernmedlem i henhold til disse brukerbedriftsreglene til et annet ikke-EØS-konsernmedlem (som behandlingsansvarlig eller databehandler).

Brukere over hele verden gir personopplysningene sine til konsernmedlemmer for å bruke tjenestene konsernet tilbyr.  De fleste brukerpersonopplysninger samles inn og lagres i USA.  PayPals globale virksomhet krever at brukerpersonopplysninger deles med andre PayPal-selskaper i USA og globalt der PayPal for øyeblikket har eller har til hensikt å ha en tilstedeværelse.

PayPal er opptatt av å sikre tilstrekkelig beskyttelse av brukeropplysningene uavhengig av hvor personopplysningene befinner seg, og å sikre tilstrekkelig beskyttelse av brukerpersonopplysningene når de overføres utenfor EØS-området.

En liste over konsernmedlemmer som er underlagt disse brukerbedriftsreglene, finnes i vedlegg I. Ansatte som befinner seg i de jurisdiksjonene som er oppført i vedlegg II, kan ha tilgang til brukerpersonopplysninger. Disse listene kan endres i takt med at selskapets virksomhet utvides.

Det materielle virkeområdet for disse reglene fremgår av definisjonene og paragrafene i disse reglene, for eksempel i paragraf 12 (brukerpersonopplysninger og typer registrerte), paragraf 2.1 om typer behandling, det vil si formålene som brukernes personopplysninger behandles for, og en liste over land er tilgjengelig i vedlegg II.

Brukerbedriftsreglene er juridisk bindende gjennom en avtale («IGA») mellom PayPal (Europe) S.à r.l. & Cie, S.C.A. («ledende konsernmedlem») og andre PayPal-konsernmedlemmer.  IGA krever at konsernmedlemmene overholder disse brukerbedriftsreglene. Konsernmedlemmer krever at deres ansatte overholder disse brukerbedriftsreglene ved håndtering av brukerpersonopplysninger.

Bedriftsledere og toppledelsen i PayPal-gruppen er ansvarlig for å håndheve overholdelse av disse brukerbedriftsreglene, inkludert å sikre at alle ansatte kjenner til og overholder disse brukerbedriftsreglene.

Den ansvarlige for overholdelse av personvern driver PayPals personvernprogram. Hun/han har en overordnet stilling i PayPal Holdings, Inc. og rapporterer direkte til personvernombud eller den øverste lederen som har ansvar for overholdelse hos PayPal.  Lederen for overholdelse av personvern overvåker PayPals globale team for overholdelse av personvern og kommuniserer med andre interne organiseringer eller team, for eksempel drift, informasjonssikkerhet, samsvar, risiko og intern revisjon, for å sikre ensartet kommunikasjon, praksis og retningslinjer vedrørende personvern globalt i hele PayPal-konsernet. PayPals globale team for overholdelse av personvern utvikler og koordinerer implementering av sin overholdelsesstrategi i hele PayPal-gruppen, og bekrefter operasjonell overholdelse.  PayPals globale team for overholdelse av personvern har direkte og indirekte representanter i alle deler av PayPal-konsernet som, blant annet, bidrar til å sikre overholdelse av brukerbedriftsreglene og gjeldende databeskyttelseslover.

Den juridisk ansvarlige for personvern leder PayPals globale juridiske personvernteam og rapporterer direkte til juridisk direktør eller den øverste lederen for den juridiske avdelingen hos PayPal. Den juridisk ansvarlige for personvern definerer selskapets forpliktelser i henhold til gjeldende databeskyttelseslover og disse brukerbedriftsreglene. Den juridiske lederen for personvern og PayPals globale juridiske team for personvern samarbeider tett med den juridiske lederen for personvern og PayPals globale team for etterlevelse av personvern, og samarbeider med andre interne organisasjoner og team, som for eksempel juridisk avdeling, driftsavdeling, informasjonssikkerhet og risikoavdeling, for å gi juridisk rådgivning og tolke juridiske og regulatoriske implikasjoner knyttet til personvernspørsmål i stadig endring på tvers av PayPal-konsernet globalt.

PayPals globale team for overholdelse av personvern og PayPals globale juridiske personvernteam utgjør sammen PayPals globale personvernteam.

Den europeiske databeskyttelsesansvarlige i Luxembourg er utnevnt av og rapporterer til ledelsen i PayPal (Europe) S.à r.l. et Cie, S.C.A. Den europeiske databeskyttelsesansvarlige fungerer som hovedkontaktperson for EØS-landenes databeskyttelsesmyndigheter og utfører ikke oppgaver som kan føre til interessekonflikter. Den europeiske personvernombudet har blant annet følgende oppgaver: å informere og gi råd til konsernmedlemmer og ansatte som behandler personopplysninger, om deres forpliktelser i henhold til personvernlovgivningen for å sikre samsvar med disse brukerbedriftsreglene, å samarbeide med PayPals globale personvernteam for å overvåke konsernmedlemmers overholdelse av personvernlovgivning og relaterte retningslinjer og å gi juridisk rådgivning til konsernmedlemmer der det blir anmodet om når det gjelder vurdering av innvirkning av databeskyttelse samt implementering. Den europeiske databeskyttelsessvarlige skal rapportere til øverste ledelse og kan informere øverste ledelse dersom det oppstår spørsmål eller problemer i forbindelse med utførelsen av sine oppgaver.

Konsernmedlemmer følger disse behandlingsprinsippene for brukerpersonopplysninger.

2.1 Begrensning av formål

Brukerpersonopplysninger skal kun behandles til spesifikke, eksplisitte og legitime formål.  Spesielt kan brukerpersonopplysninger behandles for å

• kommunisere med brukere i forbindelse med tjenestene
• tilby, administrere og legge til rette for levering av tjenester på forespørsel fra brukerne, herunder å åpne en konto og administrere brukernes betalinger
• forbedre tjenestene og utvikle nye tjenester
• løse tvister, håndtere rettssaker, feilsøke problemer og yte kundestøtte, herunder til formål knyttet til dataanalyse, testing, forskning og statistikk
• utføre risikostyring
• behandle transaksjoner og innkreve skyldige gebyrer, herunder bevise at transaksjoner er utført
• kontrollere kredittverdighet og betalingsevne
• måle brukernes interesse for og tilbakemeldinger og meninger om tjenester, og informere brukerne om nettbaserte og andre tilbud, tjenester og oppdateringer
• tilpasse brukernes opplevelser
• oppdage og beskytte mot feil, svindel og annen kriminell aktivitet, inkludert bekreftelse av brukerens identitet og kontaktinformasjon
• oppfylle PayPal-konsernets juridiske, kontraktsmessige eller forskriftsmessige forpliktelser
• håndheve vilkårene for tjenesten og annet beskrevet for brukerne på tidspunktet for innsamling og i tjenestens personvernerklæring
• beskytte sikkerheten, integriteten og tilgjengeligheten til tjenestene og PayPal-konsernets nettverk
• beskytte PayPal-konsernets juridiske rettigheter og interesser, inkludert, men ikke begrenset til, å etablere, utøve eller forsvare seg mot rettslige krav eller inkassoprosesser
• vurdere hvilke betalingsalternativer og tjenester vi kan tilby brukerne, for eksempel ved å gjennomføre interne og eksterne kredittvurderinger
• overholde interne prosedyrer

Behandling av brukerpersonopplysninger til andre formål enn de ovennevnte krever forhåndsgodkjenning fra PayPals globale juridiske avdeling for personvern.  Ved tvil skal konsernmedlemmer rådføre seg med PayPals globale juridiske personvernteam.

Brukerens personopplysninger skal ikke behandles videre for et sekundært formål på en måte som er uforenlig med de ovennevnte formålene, med mindre det foreligger et rettslig grunnlag for dette i henhold til gjeldende lovgivning for det konsernmedlemmet i EØS som er ansvarlig for innsamlingen og/eller overføringen av brukerpersonopplysningene (dvs. den eksporterende enheten).   

2.2 Dataminimering, nøyaktighet og lagringsbegrensning

Brukerpersonopplysninger skal være

• nøyaktige og, der det er nødvendig, oppdaterte
• tilstrekkelige, relevante og begrenset til det som er nødvendig i forhold til behandlingsformålene
•  oppbevares ikke lenger enn det som er nødvendig for å oppfylle formålene som opplysningene ble innhentet eller viderebehandlet for, og
• slettet, fjernet, ødelagt eller anonymisert i samsvar med gjeldende retningslinjer fra PayPal, dersom opplysningene ikke lenger er nødvendige for de formålene de ble behandlet for, med mindre det foreligger et rettslig grunnlag for videre behandling eller oppbevaring er påkrevd i henhold til gjeldende lovgivning eller gjeldende retningslinjer fra PayPal.

2.3 Rettsgrunnlag for behandling og rettferdighet

1. Juridisk grunnlag for behandling av brukerpersonopplysninger

Konsernmedlemmer skal sikre at brukerpersonopplysninger blir behandlet rettferdig og lovlig, og særlig basert på minst en av de følgende juridiske grunnene:

• et entydig, frivillig, konkret og informert samtykke fra brukeren
• behandling som er nødvendig for utførelsen av en kontrakt der brukeren er part, eller for å kunne gjennomføre tiltak på forespørsel fra brukeren før inngåelse av en kontrakt
• behandling som er nødvendig for å overholde en juridisk forpliktelse som konsernmedlemmer er underlagt
• behandling som er nødvendig for å beskytte brukerens eller en annen fysisk persons livsviktige interesser
• behandling som er nødvendig for utførelsen av en aktivitet som utføres i offentlig interesse eller utøvelse av offisiell myndighet som er tildelt konsernmedlemmer eller en tredjepart som opplysningene er oppgitt til, eller
• behandling som er nødvendig for formålet med de legitime interessene som forfølges av konsernmedlemmer eller tredjeparten eller partene som opplysningene er gitt til, med unntak av når slike interesser overstyres av interessene for brukerens grunnleggende rettigheter og frihet

2. Rettslig grunn for behandling av brukeres særlige kategorier av personopplysninger

Når det er nødvendig å innhente personopplysninger av spesiell kategori, eller når brukerne frivillig oppgir slike opplysninger, skal konsernmedlemmene sørge for at brukernes personopplysninger av spesiell kategori kun behandles på grunnlag av minst ett av følgende punkter:

• brukers uttalte samtykke
• behandling som er nødvendig for å beskytte kjerneinteressene til brukeren eller en annen person der brukeren er fysisk eller lovlig i ute av stand til å gi sitt samtykke
• behandling som er knyttet til brukerpersonopplysninger som er tydelig offentliggjort av brukeren, eller
• behandling som er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav, eller når domstolene opptrer i sin rettslige funksjon.

3. Rettslig grunnlag for behandling som innebærer automatisert beslutningstaking

Dersom en bruker kan bli gjenstand for en avgjørelse som utelukkende er basert på automatisert behandling, herunder profilering, og som har rettsvirkninger eller betydelige konsekvenser (en «automatisert avgjørelse»), skal konsernmedlemmene sikre at den automatiserte avgjørelsen

• er nødvendig for å inngå eller oppfylle en kontrakt mellom brukeren og et konsernmedlem,
• er godkjent i henhold til EU-lovgivning eller lovgivningen i en medlemsstat som konsernmedlemmet er underlagt, og som også fastsetter egnede tiltak for å ivareta brukerens rettigheter, friheter og berettigede interesser, eller
• er basert på brukerens uttrykkelige samtykke.

Videre skal konsernmedlemmet, i det minste i det første og tredje tilfellet ovenfor, iverksette egnede tiltak for å ivareta brukerens rettigheter, friheter og berettigede interesser, for eksempel ved å gi brukeren mulighet til å få en representant fra kundeservice til å vurdere avgjørelsen individuelt og la brukeren fremføre sitt synspunkt. Kundeservicerepresentanten skal eskalere saken til den europeiske databeskyttelsesansvarlige hvis brukeren fortsetter å være uenig i en automatisert beslutning. Når det er aktuelt, skal den juridisk ansvarlige for personvern konsulteres og den ansvarlige for overholdelse av personvern skal underrettes.

2.4 Transparens

Ved innsamling av brukerpersonopplysninger skal konsernmedlemmer informere brukere om

• Identiteten og kontaktopplysningene til konsernmedlemmet som står for den opprinnelige innsamlingen og behandlingen,
• Kontaktopplysningene til den europeiske databeskyttelsesansvarlige. De relevante opplysningene er: Den europeiske databeskyttelsesansvarlig (DPO) hos PayPal (Europe) S.à r.l et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxembourg, eller på nettet.
• De tilsiktede formålene med behandlingen samt det juridiske grunnlaget for behandlingen
• Når behandlingen er basert på berettigede interesser, de berettigede interessene som forfølges av konsernmedlemmet eller av en tredjepart
• Mottakere eller kategorier av mottakere (herunder behandlere) av brukerpersonopplysninger,
• Der det er relevant, opplysning om at konsernmedlemmet har til hensikt å overføre brukerens personopplysninger til et tredjeland eller en internasjonal organisasjon, samt om det foreligger eller ikke en beslutning om tilstrekkelig beskyttelse fra Europakommisjonen, eller en henvisning til de relevante eller egnede sikkerhetstiltakene (inkludert disse brukerbedriftsreglene) der man støtter seg på disse, samt hvordan man kan få tak i en kopi av dem eller hvor de er gjort tilgjengelige,
• Perioden som brukerpersonopplysningene skal lagres i, eller, dersom dette ikke er mulig, kriteriene som legges til grunn for å fastsette denne perioden,
• Eksistensen av brukerrettigheter, herunder retten til å be et konsernmedlem om innsyn i, retting eller sletting av brukerpersonopplysninger, eller begrensning av behandlingen som gjelder brukeren, samt retten til å gjøre innvendinger mot behandlingen og retten til dataportabilitet,
• Når behandlingen er basert på samtykke, skal det fremgå at det foreligger en rett til å trekke tilbake samtykket når som helst, uten at dette påvirker lovligheten av behandlingen som var basert på samtykket før det ble trukket tilbake
• Retten til å inngi klage til en databeskyttelsesmyndighet
• Når utlevering av brukerpersonopplysninger er et lovbestemt eller avtalemessig krav, eller et krav som er nødvendig for å inngå en avtale, samt om svar på spørsmålene er obligatoriske eller frivillige, og hvilke konsekvenser det kan få å unnlate å svare, og
• Når det gjelder automatiserte avgjørelser, meningsfull informasjon om den underliggende logikken, samt betydningen og de forventede konsekvensene av slik behandling for brukeren.

Konsernmedlemmer kan oppgi denne informasjonen i en personvernerklæring for tjenesten som skal være tilgjengelig via en lenke og/eller vises på en fremhevet plassering på alle tjenestenettsteder eller applikasjoner og under registreringen.  Plikten til å informere brukerne gjelder ikke hvis brukeren allerede er klar over informasjonen.  

Der fremlegging av informasjon er umulig eller ville involvere en uforholdsmessig innsats, kan konsernmedlemmer avstå fra å oppgi informasjonen.  Dette vil kun være tilfelle for brukerpersonopplysninger som ikke er innhentet fra brukeren direkte. 

I spesielle tilfeller kan fremlegging av spesifikk informasjon utsettes eller utelates, for eksempel i forbindelse med undersøkelser rundt urettmessig atferd eller for å overholde gjeldende lover, eller der fremlegging av informasjonen kan sette integriteten til undersøkelsen på spill.

2.5 Ansvarlighet, konfidensialitet og sikkerhet 

1. Ansvarlighet

Hvert konsernmedlem som opptrer som behandlingsansvarlig skal være ansvarlig for og kunne dokumentere at brukerbedriftsreglene overholdes.

For å sikre overholdelsen av regelverket, og når det er påkrevd, gjennomføres konsekvensanalyser for personvern i forbindelse med behandlingsoperasjoner som sannsynligvis vil medføre en høy risiko for fysiske personers rettigheter og friheter. Dersom en konsekvensanalyse for personvern, slik den er beskrevet i forordning (EU) 2016/679, tyder på at behandlingen vil medføre en høy risiko dersom ikke konsernmedlemmet iverksetter tiltak for å redusere risikoen, skal den kompetente personvernmyndigheten konsulteres før behandlingen påbegynnes.

Det er iverksatt egnede tekniske og organisatoriske tiltak som er utformet for å gjennomføre personvernprinsippene og for å legge til rette for at kravene i brukerbedriftsreglene blir overholdt i praksis (innebygd personvern og standardinnstillinger for personvern).

2. Konfidensialitet og sikkerhet

Konsernmedlemmer bruker fysiske, tekniske og organisatoriske sikkerhetskontroller som er i samsvar med mengden og sensitiviteten til brukerpersonopplysningene, for å hindre uautorisert behandling, inkludert, men ikke begrenset til, uautorisert tilgang til, kjøp og bruk av, tap av, ødeleggelse av eller skade på brukerpersonopplysninger. Konsernmedlemmer bruker kryptering, brannmurer, tilgangskontroller, standarder og andre prosedyrer til å beskytte brukerpersonopplysninger mot uautorisert tilgang.  Fysisk og logisk tilgang til elektroniske filer og utskrifter er ytterligere begrenset basert på jobbansvar og forretningsbehov.

3. Brudd på personopplysninger

Ved oppdagelse av et brudd på personvernet som definert i artikkel 4 nr. 12, artikkel 33 nr. 1 og artikkel 34 nr. 1 i GDPR-forordningen (EU) 2016/679 samt artikkel 33.1, skal det berørte konsernmedlemmet uten unødig forsinkelse varsle det ledende konsernmedlemmet, den europeiske personvernansvarlige og andre relevante interessenter i henhold til gjeldende interne retningslinjer. Dersom bruddet på personvernet sannsynligvis vil medføre en høy risiko for fysiske personers rettigheter og friheter, skal konsernmedlemmet og det ledende konsernmedlemmet, i samråd med den europeiske personvernansvarlige, underrette de berørte registrerte og personvernmyndigheten, etter behov. Brudd på personvernet skal dokumenteres for å registrere i) de faktiske omstendighetene knyttet til bruddet, ii) virkningene av bruddet og iii) hvilke korrigerende tiltak som er iverksatt. Slik dokumentasjon skal oversendes til den kompetente databeskyttelsesmyndigheten på forespørsel fra denne.

2.6 Brukeres valg og rettigheter

Brukere kan utøve følgende rettigheter:

• Brukere kan få tilgang til og korrigere det meste av brukerpersonopplysninger relatert til dem, som konsernmedlemmer vedlikeholder, ved hjelp av det tilknyttede nettverktøyet eller selvbetjeningsprosessen som gjøres tilgjengelig for dem gjennom tjenestenettstedet eller appen.
• I alle tilfeller har brukere rett til å sende inn en forespørsel om tilgang til å se eller få en kopi av sine brukerpersonopplysninger som ikke er tilgjengelige via tjenestens nettsted eller app|. Brukere må kontakte kundeservice via instruksjonene som er oppgitt gjennom tjenestens nettsted eller i appen.
• Brukere også kan be om rettelse av sine opplysninger hvis de er ufullstendige eller feilaktige. Konsernmedlemmer skal overholde slike forespørsler og skal informere brukerne når opplysningene er korrigert. Konsernmedlemmer skal varsle tredjeparter som brukerens data har blitt formidlet til, om eventuelle rettelser, med mindre det er umulig eller innebærer uforholdsmessig innsats.
• Brukere kan utøve sin rett til å få en manuell gjennomgang av enhver automatisert beslutning som er truffet av et gruppemedlem i samsvar med punkt 2.3 (c).
• Brukere kan motsette seg behandlingen av brukerpersonopplysningene. Konsernmedlemmer vil overholde slike forespørsler, med mindre oppbevaring av brukerpersonopplysninger er påkrevd i henhold til gjeldende lovgivning eller for å forsvare PayPal-konsernet mot juridiske krav. Brukere vil bli informert om utfallet av forespørselen og tiltak som iverksettes av konsernmedlemmene.
• Brukere kan dessuten be om å få stengt kontoene sine ved å følge instruksjonene gjennom tjenestens nettsted eller app. De kan også utøve sine rettigheter til begrensning av behandlingen av personopplysningene eller til sletting av brukerpersonopplysningene i forbindelse med en slik kontoavslutning. Konsernmedlemmer vil fjerne eller anonymisere en brukers informasjon fra en tjeneste så snart som det med rimelighet er mulig basert på kontoaktiviteten.  I noen tilfeller kan konsernmedlemmer utsette avslutningen av en konto eller beholde brukerpersonopplysninger for å utføre en undersøkelse eller der det er påkrevd etter gjeldende lov. Konsernmedlemmer kan også beholde brukerinformasjon fra avsluttede kontoer for å oppdage og forhindre svindel, innkassere eventuelle utestående gebyrer, løse tvister, feilsøke problemer, bistå med eventuelle undersøkelser, håndtere risiko, håndheve vilkår og betingelser for en tjeneste, overholde juridiske eller forskriftsmessige krav og gjennomføre andre tiltak som ellers er tillatt etter gjeldende lov. Dataene skal ikke oppbevares i en form som muliggjør identifisering av den registrerte, lenger enn det som er nødvendig for formålet som dataene var samlet inn for eller som de behandles ytterligere for, og vil bli slettet når den underliggende årsaken til å oppbevare dem har blitt adressert eller løst.
• Med unntak av for brukere som har valgt å ikke motta bestemt kommunikasjon, kan konsernmedlemmer bruke brukerpersonopplysninger til å tilpasse kommunikasjon til brukere basert på deres interesser i henhold til gjeldende lov.  Brukere som ikke ønsker å motta markedsføringskommunikasjon fra PayPal-konsernet, vil bli tilbudt lett tilgjengelige måter å takke nei til ytterligere annonsering på, for eksempel i kontoinnstillingene eller ved å følge instruksjoner som er oppgitt i e-post eller via en lenke i kommunikasjonen.

I alle tilfeller kan brukerne utøve de ovennevnte rettighetene ved å kontakte kundestøtten. Der en brukers identitet er vanskelig å bekrefte, kan konsernmedlemmer kreve at brukeren oppgir ytterligere legitimasjon. Konsernmedlemmer skal overholde forespørsler innenfor de tidsrammene som er fastsatt i gjeldende lovgivning, med unntak av tilfeller der gjeldende lov åpner for unntak for slike forpliktelser.

2.7 Offentliggjøring og overføring av personopplysninger

Konsernmedlemmer kan dele brukerpersonopplysninger i det normale omfanget av virksomheten med andre konsernmedlemmer over hele verden for de formålene som er angitt i punkt 2.1.

1. Offentliggjøring og overføringer til eksterne offentlige myndigheter

I henhold til gjeldende lovgivning, avtaler eller gjeldende internasjonale konvensjoner kan konsernmedlemmer dele personopplysninger med politimyndigheter og tilsynsmyndigheter når det er nødvendig i et demokratisk samfunn for å beskytte nasjonal sikkerhet, forsvar og offentlig sikkerhet, for å forebygge, undersøke, oppdage og rettsforfølge kriminelle handlinger, og særlig i samsvar med handelsrestriksjonene som fastsatt i internasjonale og/eller nasjonale instrumenter, skatterapporteringskrav eller rapporteringskrav i forbindelse med antihvitvasking av penger.

Dersom et konsernmedlem utenfor EU har grunn til å tro at lovgivningen som gjelder for det, hindrer enheten i å oppfylle sine forpliktelser i henhold til brukerbedriftsreglene, og dette har en vesentlig innvirkning på garantiene som reglene gir, skal konsernmedlemmet utenfor EU (med mindre dette er forbudt) umiddelbart underrette det ledende konsernmedlemmet og/eller den europeiske personvernansvarlige. Dette inkluderer hvis det

1. mottar en rettslig bindende anmodning fra en offentlig myndighet utenfor EU om utlevering av brukerens personopplysninger som er overført i henhold til disse brukerbedriftsreglene, i slike tilfeller skal konsernmedlemmet utenfor EU (med mindre dette er forbudt) gi det ledende konsernmedlemmet og/eller den europeiske databeskyttelsesansvarlige opplysninger om de forespurte brukerens personopplysninger, den anmodende offentlige myndigheten utenfor EU, det rettslige grunnlaget for anmodningen og det gitte svaret,
2. blir kjent med at offentlige myndigheter utenfor EU har direkte tilgang til brukerens personopplysninger som er overført i henhold til brukerbedriftsreglene, i slike tilfeller skal konsernmedlemmet utenfor EU (med mindre dette er forbudt) gi det ledende konsernmedlemmet og/eller den europeiske personvernansvarlige den informasjonen som konsernmedlemmet utenfor EU har kjennskap til.

Dersom det i enkelte tilfeller er forbudt å suspendere og/eller gi beskjed, skal det berørte gruppemedlemmet gjøre sitt ytterste for å oppnå tillatelse til å fravike dette forbudet, slik at det kan formidle så mye informasjon som mulig og så raskt som mulig. Et konsernmedlem utenfor EU vil vurdere lovligheten av hver enkelt anmodning om utlevering fra en offentlig myndighet utenfor EU for å avgjøre om den faller innenfor den aktuelle myndighetens fullmakter, og vil bestride anmodningen dersom dette ikke er tilfelle. Den skal dokumentere og føre protokoll over sin gjennomgang og, med mindre dette er forbudt, gjøre denne tilgjengelig for det ledende konsernmedlemmet og/eller den europeiske databeskyttelsesansvarlige. Den vil også gjøre opplysningene tilgjengelige for kompetente personvernmyndigheter på forespørsel.

Et konsernmedlem utenfor EU skal gi det minste tillatte omfanget av opplysninger når det besvarer en begjæring om utlevering fra en offentlig myndighet utenfor EU, basert på en rimelig tolkning av begjæringen.

Konsernmedlemmer kan ikke overføre brukerpersonopplysninger til en offentlig myndighet utenfor EU på en omfattende, uforholdsmessig og vilkårlig måte som går utover det som er nødvendig i et demokratisk samfunn.

2. Utlevering av personopplysninger til en databehandler

Når konsernmedlemmer overfører brukerpersonopplysninger til en databehandler, skal databehandleren gjennomgå en risikovurdering knyttet til personvern, databeskyttelse og informasjonssikkerhet før arbeidet påbegynnes og før eventuelle overføringer av brukerpersonopplysninger om brukere finner sted.  Omfanget av vurderingen vil variere avhengig av hvor følsomme de behandlede brukerpersonopplysningene er. Vurderingen av personvern, databeskyttelse og informasjonssikkerhet er ikke obligatorisk for databehandlere som allerede har gjennomgått en slik vurdering eller som er konsernmedlemmer, med mindre behandlingsaktivitetene innebærer høyrisikoaktiviteter, sett i lys av personopplysningenes art og omfang samt typen av de aktuelle behandlingsaktivitetene.

Behandlere, herunder et konsernmedlem som opptrer som behandler, må inngå en avtale med det aktuelle konsernmedlemmet som skal fungere som behandlingsansvarlig for brukerpersonopplysningene, for å sikre tilstrekkelige tiltak for personvern, databeskyttelse og informasjonssikkerhet. En slik avtale inkluderer klausuler som sikrer riktig bruk av brukerpersonopplysninger og sikkerhetstiltak som samsvarer med mengde av, type og sensitivitet for de involverte brukerpersonopplysningene. 

Som et minimum må de kontraktsmessige sikkerhetsforanstaltningene dekke følgende:

• Krav til overholdelse av loven og til å kun behandle brukerpersonopplysninger i henhold til vilkårene i avtalen og kun etter instruksjoner fra den aktuelle konsernmedlemmene
• Forsikring om at personer som er autorisert til å behandle brukerpersonopplysninger, har forpliktet seg til å overholde taushetsplikten eller er underlagt en passende lovfestet taushetsplikt,
• Forsikring om at det ikke inngås avtale med en annen databehandler uten forutgående spesifikk eller generell skriftlig godkjenning fra konsernmedlemmet, og at en slik databehandler skal overholde de samme kontraktsmessige sikkerhetstiltakene når den selv inngår avtale med en annen databehandler.
• Nødvendige tekniske og organisatoriske tiltak tilpasset sensitiviteten til brukerpersonopplysningene og den aktuelle behandlingen
• Støtte til konsernmedlemmet gjennom egnede tekniske og organisatoriske tiltak, i den grad dette er mulig, for å oppfylle konsernmedlemmets forpliktelse til å svare på forespørsler om utøvelse av den registrertes rettigheter,
• Plikter knyttet til varsling om sikkerhetsbrudd, for eksempel å varsle PayPal skriftlig uten unødig forsinkelse så snart man blir kjent med et sikkerhetsbrudd.
• Etter valg av det konsernmedlemmet som har utlevert opplysningene, skal alle personopplysningene slettes eller returneres til dette konsernmedlemmet etter at tjenesteleveransen knyttet til behandlingen er avsluttet, og eksisterende kopier skal slettes, med mindre lovgivningen i Unionen eller i en medlemsstat krever at personopplysningene oppbevares,
• Rett til å overvåke behandlernes overholdelse av de kontraktsmessige garantiene
• Bestemmelser om utbedring i tilfelle av behandlerens manglende overholdelse av de juridiske eller kontraktsmessige forpliktelsene.

Avtalene må inneholde bestemmelser som sikrer at manglende overholdelse av vilkårene i avtalen kan resultere i suspensjon eller oppsigelse av avtalen, blant andre tiltak som er angitt i avtalen.

3. Utlevering av personopplysninger til tredjeparter

Når konsernmedlemmer overfører personopplysninger om EØS-brukere til tredjeparter (herunder databehandlere som ikke er konsernmedlemmer og som er lokalisert i et land utenfor EØS som (i) ikke sikrer et tilstrekkelig beskyttelsesnivå (i henhold til EUs personvernforordning), og (ii) ikke har andre ordninger som oppfyller EUs krav til tilstrekkelig beskyttelse, skal konsernmedlemmet sikre at tredjeparten innfører passende kontraktsmessige sikkerhetstiltak, slik som standardkontraktsklausuler godkjent av EU-kommisjonen, som gir et beskyttelsesnivå som står i forhold til disse brukerbedriftsreglene, eller alternativt sikre at overføringen (i) skjer med brukerens uttrykkelige samtykke, (ii) er nødvendig for å inngå eller oppfylle en avtale inngått med brukeren, (iii) er nødvendig eller lovpålagt av viktige hensyn til allmenninteressen, (iv) er nødvendig for å beskytte brukerens livsviktige interesser, eller (v) er nødvendig for å gjøre gjeldende, fastslå eller forsvare rettskrav.

2.8 Konsekvensanalyser ved overføring

Medlemmer skal vurdere (og kontinuerlig overvåke) om tredjelands lover eller praksis forhindrer overholdelse av disse brukerbedriftsreglene. Slike vurderinger skal ta hensyn til

• de konkrete omstendighetene rundt overføringene eller gruppen av overføringer, samt eventuelle planlagte videreoverføringer innenfor det samme tredjelandet eller til et annet tredjeland, herunder:
• formålene med overføringen og behandlingen av opplysningene (f.eks. markedsføring, HR, lagring, IT-støtte, kliniske studier),
• hvilke typer enheter som er involvert i behandlingen (dataimportøren og eventuelle videre mottakere ved videreoverføring),
• den økonomiske sektoren der overføringen eller serien av overføringer finner sted,
• kategoriene og formatet på de overførte personopplysningene,
• stedet for behandlingen, herunder lagringen, og
• overføringskanalene som brukes,
• lovene og praksisene i det tredje bestemmelseslandet som er relevante i lys av omstendighetene rundt overføringen, herunder de som krever utlevering av opplysninger til offentlige myndigheter eller gir slike myndigheter adgang til opplysningene, samt de som gir adgang til disse opplysningene under transitt mellom dataeksportørens land og dataimportørens land, og
• Eventuelle relevante kontraktsmessige, tekniske eller organisatoriske sikkerhetstiltak som er iverksatt for å supplere sikkerhetstiltakene i henhold til brukerbedriftsreglene, herunder tiltak som iverksettes under overføring og ved behandling av brukerens personopplysninger i mottakerlandet.

Dersom det ikke kan sikres tilstrekkelig beskyttelse, må overføringene innstilles eller avsluttes. Vurderingene skal dokumenteres og gjøres tilgjengelige for databeskyttelsesmyndighetene på forespørsel.

2.9 Forespørsler fra offentlige myndigheter

Importører skal på forespørsel informere det ledende konsernmedlemmet om forespørsler om innsyn fra offentlige myndigheter. De skal på rimelig vis bestride krav om taushetsplikt eller ulovlige forespørsler, begrense utlevering av opplysninger til et minimum og føre protokoll over tiltakene.

Hvis brukere mener at deres brukerpersonopplysninger har blitt behandlet i strid med brukerbedriftsreglene, kan de rapportere problemet til kundeservicefunksjonen hos det aktuelle konsernmedlemmet via den aktuelle tjenestens nettsted, e-post eller som ellers angitt i gjeldende vilkår.  Brukere kan generelt finne svar på de mest vanlige spørsmål om personvern ved å skrive inn ordet «personvern» i den aktuelle tjenestens hjelpedel, noe som vanligvis vil sende brukeren til en side som angår personvern eller policy.  «Hjelpedelen» til den relevante tjenesten er det unike startpunktet for alle brukeres spørsmål knyttet til personvern eller behandlingen av brukerinformasjonen, og gir brukerne mulighet til å kontakte kundeservice. 

Ved tvil om hvilken kanal som skal brukes til å rapportere personvernrelaterte problemer, kan brukere kontakte den europeiske databeskyttelsesansvarlige på nettet.

Kundeservice undersøker og prøver å løse problemer som tas opp av brukere. Ansatte som er ansvarlige for behandling av personvernrelaterte problemer, samarbeider tett med PayPals globale personvernteam og gir brukerne svar i henhold til PayPals policyer, prosedyrer og retningslinjer. Hvis brukere mener at deres problemer ikke er tilstrekkelig adressert, eller hvis de ikke får et svar, kan de be om at problemet eskaleres til den europeiske databeskyttelsesansvarlige. Juridisk personvernansvarlig vil konsulteres og den ansvarlige for overholdelse av personvern vil bli underrettet. Eskaleringsbaner skal bestemmes basert på typen og omfanget av problemet, og skal videresendes til riktig team uten forsinkelser.  Svar på klagen skal sendes til brukeren innen en rimelig tidsperiode, og i alle tilfeller innen en periode på tre (3) måneder etter datoen for forespørselen, unntatt ved uvanlige omstendigheter eller ved kompliserte spørsmål, da brukeren blir informert om at svaret vil ta lenger tid enn tre (3) måneder.

Klagehåndteringsmekanismen strider ikke mot brukernes rett til å bringe inn klager for kompetente databeskyttelsesmyndigheter eller domstoler. Brukere kan blant annet inngi en klage

• til en kompetent personvernmyndighet, særlig i den medlemsstaten hvor brukeren har sitt faste bosted, sitt arbeidssted eller hvor det påståtte bruddet har funnet sted, og
• for den kompetente domstolen i den medlemsstaten der det konsernmedlemmet som er behandlingsansvarlig eller databehandler for brukerpersonopplysninger har et forretningssted, eller der brukeren har sitt faste oppholdssted.

EØS-brukere som mistenker et brudd på brukerbedriftsreglene utenfor EØS, har rett til rettslig håndhevelse og rett til å få oppreisning og, der det er hensiktsmessig, erstatning i tilfelle brudd på et av de håndhevbare elementene i brukerbedriftsreglene i egenskap av tredjepartsbegunstigede, og spesielt for avsnitt 2, 3, 4, 7, 8 og 9 i brukerbedriftsreglene, for de kompetente databeskyttelsesmyndighetene eller for domstolene i samsvar med avsnitt 3. Disse håndhevelsesrettighetene kommer i tillegg til andre rettsmidler eller rettigheter som tilbys av PayPal eller som er tilgjengelige i henhold til gjeldende lovgivning.

Selv om det ikke er et krav, oppfordres EØS-brukere til å først rapportere problemet direkte til konsernmedlemmet i stedet for til databeskyttelsesmyndighetene eller domstolene.  Dette muliggjør et effektiv og raskt svar fra PayPal-konsernet og minimerer mulige forsinkelser fra databeskyttelsesmyndigheter eller rettstvister.

PayPal Europe S.à r.l. et Cie, S.C.A., et privateid aksjeselskap i Luxembourg, godtar ansvar for å samtykker til å overvåke konsernmedlemmets overholdelse av brukerbedriftsreglene.  Ledende konsernmedlem forplikter seg til (i) å iverksette nødvendige tiltak for å bøte på brudd utført av konsernmedlemmer utenfor EØS-området og (ii) å betale kompensasjon til brukere i EØS-området bestemt av ansvarlig databeskyttelsesmyndighet eller domstolene i Luxembourg for eventuelle skader som direkte skyldes brudd på brukerbedriftsreglene av konsernmedlemmer utenfor EØS-området, hvis det aktuelle konsernmedlemmet ikke kan eller ikke er villig til å betale erstatning eller overholde kjennelsen. 

Ledende konsernmedlem erkjenner og godtar at det bærer bevisbyrden når det gjelder påståtte brudd på brukerbedriftsreglene.

Ledende konsernmedlem (eller et annet konsernmedlem) skal ikke holdes ansvarlig hvis det på rimelig vis fremlegger, basert på tilgjengelige fakta og med hensyntaken til kommentarene fra brukeren, at konsernmedlemmet utenfor EØS-området ikke har brutt brukerbedriftsreglene eller ikke er ansvarlig for eventuelle skader påstått av brukeren.

Konsernmedlemmer vil sikre at alle ansatte som behandler brukerpersonopplysninger, samt de ansatte som er involvert i utformingen av verktøy som skal brukes til å innhente eller behandle brukerpersonopplysninger, får opplæring i bevissthet rundt personvern og informasjonssikkerhet for å påpeke overfor og informere ansatte om behovet for å beskytte og sikre brukerpersonopplysninger i samsvar med disse brukerbedriftsreglene. 

Ansatte er forpliktet til å hvert år gjennomføre elektronisk opplæring innen overholdelse, sentrert rundt bedriftens etiske retningslinjer, som inkluderer en del om databeskyttelse.  Nyansatte er forpliktet til å gjennomføre den elektroniske opplæringen innen overholdelse når ansettelsesforholdet starter.

I tillegg til denne elektroniske opplæringen innen overholdelse gjennomfører PayPals globale personvernteam og den europeiske databeskyttelsesansvarlige opplæring om bevissthet rundt personvern og informasjonssikkerhet for å påpeke overfor og informere ansatte om behovet for å beskytte og sikre personopplysninger. Slik opplæringer gjennomføres årlig eller oftere hvis omstendighetene krever det.

Opplæringen de ansatte mottar, skal tilpasses deres tilgangsnivåer til brukerpersonopplysninger, og ytterligere opplæring skal gis til ansatte med høye tilgangsnivåer. 

Konsernmedlemmer skal informere ansatte at om at manglende overholdelse av disse brukerbedriftsreglene kan resultere i disiplinærtiltak og andre tiltak som er tillatt etter gjeldende lov.  En kopi av disse brukerbedriftsreglene og andre relevante personvern- og sikkerhetsrelaterte policyer og prosedyrer er tilgjengelig for ansatte til enhver tid via bedriftens intranett. Brukerbedriftsreglene er også inkludert i bedriftens etiske retningslinjer som alle ansatte er forpliktet til å lese og godta å overholde.

For å bidra til å sikre overholdelse av disse brukerbedriftsreglene, gjennomgår PayPals globale team for overholdelse av personvern fortløpende aktiviteter og praksis for behandling av brukerpersonopplysningene. Disse aktivitetene koordineres i nært samarbeid med den europeiske databeskyttelsesansvarlige. Disse aktivitetene gjennomføres med jevne mellomrom, og minst én gang i året, og bidrar til å vurdere om brukerbedriftsreglene overholdes.

Internrevisjonsteamet er en uavhengig og objektiv rådgiver for ledelsen og styret, som, gjennom revisjonskomiteen, kommuniserer revisjonsresultatene til styret, de personvernansvarlige og til den europeiske databeskyttelsesansvarlige. 

Internrevisjonsteamet kan utføre en gjennomgang av aktiviteter eller rutiner identifisert av det globale personvernteamet med jevne mellomrom. Internrevisjonsteamet, de personvernansvarlige og den europeiske databeskyttelsesansvarlige skal, hvis det er nødvendig, kreve at en handlingsplan utføres for å sikre samsvar med disse brukerbedriftsreglene. I den grad interne grupper ikke løser saker på en tilfredsstillende måte, kan konsernet utnevne uavhengige, eksterne revisorer for videre løsning.

Den europeiske databeskyttelsesansvarlige, PayPals globale team for overholdelse av personvern eller internrevisjonsteam og eksterne revisorer utvikler detaljerte revisjonsplaner basert på risikoen ved behandlingen.

Resultater av personvernrevisjonen vil være tilgjengelige for kompetente databeskyttelsesmyndigheter på forespørsel.

Med verdens varierende juridiske krav knyttet til databeskyttelse, etablerer brukerbedriftsreglene et ensartet sett av krav for å sikre riktig behandling av brukerpersonopplysninger. Mens brukerbedriftsreglene utgjør et minstekrav som konsernmedlemmer skal overholde, skal konsernmedlemmer overholde gjeldende lover som kan pålegge en strengere standard enn den som er beskrevet i disse bedriftsreglene.

Ingenting i disse brukerbedriftsreglene påvirker et konsernmedlems forpliktelser i henhold til gjeldende banklovgivning, særlig i forbindelse med banksikkerhet.   Hvis gjeldende lovgivning kommer i konflikt med disse brukerbedriftsreglene ved at den kan hindre et konsernmedlem i å oppfylle sine forpliktelser i henhold til brukerbedriftsreglene og har en betydelig innvirkning på garantiene som er oppgitt der, skal konsernmedlemmet umiddelbart varsle den europeiske databeskyttelsesansvarlige, med unntak av tilfeller der det å oppgi slik informasjon er forbudt av en politimyndighet eller lov.  Den europeiske databeskyttelsesansvarlige, personvernansvarlige og ledende konsernmedlem skal bestemme riktige tiltak, og, i tilfelle tvil, konsultere de aktuelle datatilsynsmyndighetene.

Konsernmedlemmer skal samarbeide og hjelpe hverandre for å håndtere forespørsler eller klager fra brukerne når det gjelder disse brukerbedriftsreglene.

Konsernmedlemmer skal svare omhyggelig og passende på forespørsler fra databeskyttelsesmyndigheter om disse brukerbedriftsreglene.  Hvis en ansatt mottar en slik anmodning fra en databeskyttelsesmyndighet, må han eller hun umiddelbart informere den europeiske databeskyttelsesansvarlige.   

Konsernmedlemmer skal samarbeide om henvendelser og godta revisjoner fra kompetente databeskyttelsesmyndigheter i EØS-området når det gjelder overholdelse av disse brukerbedriftsreglene, og skal respektere beslutninger i samsvar med gjeldende lov og rettsikkerhetsrettigheter.

Konsernmedlemmer skal følge råd fra databeskyttelsesmyndighetene i spørsmål relatert til brukerbedriftsreglene. Enhver tvist knyttet til en kompetent databeskyttelsesmyndighets utøvelse av tilsyn med overholdelsen av de interne brukerbedriftsreglene skal avgjøres av domstolene i den medlemsstaten hvor databeskyttelsesmyndigheten er lokalisert, i samsvar med denne medlemsstatens prosessrett. Konsernmedlemmene samtykker i å underkaste seg disse domstolenes jurisdiksjon.

PayPal forbeholder seg retten til å endre disse brukerbedriftsreglene som nødvendig, for eksempel for å være i samsvar med endringer i gjeldende lover, regler, bestemmelser, PayPal-praksis, prosedyrer og organisasjonsstruktur eller krav som er pålagt av relevante databeskyttelsesmyndigheter.

PayPals globale juridiske personvernteam (under ledelse av den juridisk ansvarlige for personvern) skal foreslå nødvendige endringer i disse brukerbedriftsreglene. PayPals globale team for overholdelse av personvern (under ledelse av den ansvarlige for overholdelse av personvern) og den europeiske databeskyttelsesansvarlige må godkjenne alle endringer i brukerbedriftsreglene og skal spore alle endringer i brukerbedriftsreglene, samt eventuelle endringer i listen over konsernmedlemmer. Konsernmedlemmer skal rapportere endringer i brukerbedriftsreglene til relevante databeskyttelsesmyndigheter for formell godkjenning og i henhold til gjeldende lov.

Ledende konsernmedlem vil rådføre seg med den ansvarlige databeskyttelsesmyndigheten vedrørende vesentlige endringer i brukerbedriftsreglene som vil påvirke overholdelse av databeskyttelsesreglene eller gjennomføringen av brukerbedriftsreglene.  Ledende konsernmedlem skal minst én gang i året underrette den ledende personvernmyndigheten om vesentlige endringer i konsernets brukerbedriftsregler og endringer i listen over konsernmedlemmer. Dersom en vesentlig endring er til skade for beskyttelsesnivået som disse brukerbedriftsreglene gir, eller på annen måte vil påvirke brukerbedriftsreglene i betydelig grad (f.eks. endringer i deres bindende karakter eller endringer i det ledende konsernselskapet), skal slike endringer meddeles på forhånd til den ledende databeskyttelsesmyndigheten med en kort forklaring på årsakene til oppdateringen, slik at den ledende databeskyttelsesmyndigheten sammen med andre kompetente databeskyttelsesmyndigheter kan vurdere om endringene krever en ny godkjenning.

PayPals globale personvernteam vil samarbeide for å støtte den europeiske databeskyttelsesansvarlige som, spesielt, vil koordinere svar og raskt adressere kommentarer, forslag eller innvendinger til endringene som fremlegges av ansvarlig databeskyttelsesmyndighet på vegne av PayPal. Alle kommentarer, forslag eller innvendinger fremlagt av andre databeskyttelsesmyndigheter, vil bli formidlet til den europeiske databeskyttelsesansvarlige av ansvarlig databeskyttelsesmyndighet som vil handle på vegne av de andre databeskyttelsesmyndighetene.  

Endringer i brukerbedriftsreglene skal være gjeldende for alle konsernmedlemmer fra ikrafttredelsesdatoen for implementeringen. PayPals globale personvernteam og den europeiske personvernansvarlige vil informere konsernmedlemmene om endringer i brukerbedriftsreglene før disse trer i kraft. Konsernmedlemmer varsle brukere om vesentlige endringer i brukerbedriftsreglene i henhold til brukerens tjenesteinnstillinger, enten via masseutsendelser av e-post eller ved publisering på nettstedet, med en klar melding til brukere om at brukerreglene er endret. Konsernmedlemmer skal legge ut de reviderte brukerbedriftsreglene på valgte eksterne nettsteder eller i applikasjoner som er tilgjengelig for brukere.  Endringer i brukerbedriftsreglene trer i kraft innen en periode på to måneder etter at konsernmedlemmer har varslet brukere og publisert de reviderte brukerbedriftsreglene

Det skjer ingen overføring til et nytt konsernmedlem før det nye BCR-medlemmet i gruppen er reelt bundet av brukerbedriftsreglene og kan sikre etterlevelse av disse.

Brukerbedriftsreglene skal publiseres og en lenke skal gjøres tilgjengelig på tjenestens nettsted eller i applikasjoner.  De vil være tilgjengelige på viktige EU-språk. Brukere kan be om en kopi fra den europeiske databeskyttelsesansvarlige (DPO), PayPal (Europe) S.à r.l et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxembourg, eller via nettet.

Gjelder fra dato: Dato for publisering

Kontakt: Brukere kan stille spørsmål eller ta opp problemer relatert til disse brukerbedriftsreglene ved å kontakte:

The European Data Protection Officer (DPO)

PayPal (Europe) S.à r.l et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxembourg, eller ved å kontakte PayPal via følgende lenke: https://www.paypal.com.resource.data-analyze.v1.endpoints-api.com/uk/cshelp/contact-us/privacy

Konsernmedlemmene skal tolke brukerbedriftsreglene på en måte som er mest i samsvar med de grunnleggende begrepene i prinsippene i forordning (EU) 2016/679 eller eventuell senere EU-lovgivning som erstatter denne.

De følgende definisjonene gjelder for disse brukerbedriftsreglene:

Styre betyr styret hos det ansvarlige konsernmedlemmet.

Behandlingsansvarlig betyr den juridiske personen som, alene eller sammen med andre, bestemmer formålene og midlene for behandlingen av personopplysninger.

Databeskyttelsesmyndigheter betyr de uavhengige offentlige myndighetene som, gjennom undersøkelses- og påleggsmyndighet, fører tilsyn med anvendelsen av databeskyttelseslover, i henhold til kapittel VI i forordning (EU) 2016/679 og andre relevante nasjonale lover.

EØS betyr EØS-området, som for øyeblikket består av EU-medlemslandene, Island, Liechtenstein og Norge.

Ansatt betyr ansatte, arbeidstakere, praktikanter og annet personell eller stabmedlemmer, inkludert ekstra eller midlertidige arbeidstakere, alternativ arbeidsstyrke eller entreprenører for et konsernmedlem, enten ansatt eller engasjert på fulltids- eller deltidsbasis og uavhengig av type ansettelse eller engasjement.

Europeisk databeskyttelsesansvarlig (DPO) betyr den ansatte som er utnevnt av og rapporterer til ledelsen hos det ansvarlige konsernmedlemmet og som også fungerer som medlem av PayPals globale juridiske personvernteam. Den europeiske databeskyttelsesansvarlige befinner seg i Luxembourg.

Konsernmedlem betyr en enhet i PayPal-konsernet som har gjort rettsgyldig en kopi av IGA.

IGA betyr den interne konsernavtalen mellom det ledende konsernmedlemmet og andre medlemmer av PayPal-gruppen, som gir disse brukerbedriftsreglene bindende virkning innenfor PayPal-gruppen.

Ansvarlig databeskyttelsesmyndighet betyr «Commission nationale pour la protection des données» (CNPD) i Luxembourg («Datatilsynet» i Norge).

Ledende konsernmedlem betyr PayPal (Europe) S.à r.l. & Cie, S.C.A., et privateid aksjeselskap basert i Luxembourg.

PayPals globale personvernteam betyr det koordinerte PayPals globale team for overholdelse av personvern og PayPals globale juridiske personvernteam.

PayPals globale team for overholdelse av personvern betyr medlemmer av overholdelsesorganisasjonen som spesifikt håndterer overholdelse og gjennomføring av PayPals personvernprogram. 

PayPals globale juridiske personvernteam betyr medlemmer av juridisk avdeling som spesifikt håndterer personvern og databeskyttelse.

PayPal-konsernet betyr PayPal Holdings, Inc. («PayPal») og alle enheter direkte eller indirekte kontrollert av PayPal, som behandler brukerpersonopplysninger, der kontroll betyr eierskapet til mer enn femti prosent (50 %) av stemmene til å velge direktører i selskapet eller mer enn femti prosent (50 %) av eierandelen i firmaet.

Personopplysninger betyr informasjon som er relatert til en identifisert eller identifiserbar fysisk person; en identifiserbar person er en som kan identifiseres, direkte eller indirekte, spesielt ved henvisning til et identifikasjonsnummer eller til én eller flere faktorer som er spesifikke for hans/hennes fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sosiale identitet.

Behandle betyr en operasjon eller et sett av operasjoner som utføres på personopplysninger, automatisk eller ikke, som for eksempel innsamling, registrering, organisering, lagring, tilpasning eller endring, henting, konsultasjon, bruk, deling ved overføring, formidling eller på annen måte gjør tilgjengelig, justering eller kombinasjon, blokkering, sletting eller ødeleggelse.

Behandler betyr eventuelle fysiske eller juridiske personer som behandler personopplysninger på vegne av et konsernmedlem.

Særkategorier av personopplysninger betyr personopplysninger som avslører rase eller etnisk opprinnelse, politiske holdninger, religiøse eller filosofiske overbevisninger, fagforeningsmedlemskap, genetiske opplysninger, biometriske opplysninger som har til formål å identifisere en fysisk person på en entydig måte, opplysninger knyttet til straffbare handlinger, eller opplysninger om helse, seksualliv eller seksuell orientering.

Tjeneste betyr et nettsted, en applikasjon eller andre produkter eller tjenester som tilbys av et konsernmedlem til en bruker.

Tredjepart betyr eventuelle fysiske eller juridiske personer, offentlige myndigheter, byråer eller eventuelle andre organer enn brukeren, konsernmedlemmet og personene som, under direkte myndighet fra konsernmedlemmet, for eksempel ansatte, er autorisert til å behandle personopplysninger. Begrepet «Tredjepart» skal omfatte behandlere som ikke er konsernmedlemmer.

Bruker betyr tidligere og eksisterende kunder av PayPal-konsernet, potensielle kunder, investorer, forretningspartnere og forhandlere.

Brukerpersonopplysninger betyr personopplysninger som er knyttet til brukere.

Brudd på brukerpersonopplysninger betyr et brudd på sikkerheten som fører til utilsiktet eller ulovlig ødeleggelse, tap, endring, uautorisert videreformidling av eller tilgang til brukerpersonopplysninger som overføres, lagres eller på annen måte behandles.

Liste over konsernmedlemmer

EU/EØS-enheter

Enheter i Storbritannia

Enheter utenfor EU/EØS/Storbritannia

Liste over land

Ikke-EU

Storbritannia

EU