Reguły korporacyjne dotyczące Użytkowników PayPal

Celem Grupy PayPal jest wdrożenie w Grupie PayPal uniwersalnych, odpowiednich i globalnych standardów ochrony danych i prywatności w zakresie obsługi Danych osobowych Użytkownika.  Niniejsze Reguły korporacyjne dotyczące Użytkowników mają zastosowanie do wszystkich Danych osobowych Użytkownika:

• przekazywanych przez Członka Grupy z EOG (jako Administratora danych) do Członka Grupy spoza EOG (jako Administratora danych lub Podmiotu przetwarzającego); oraz
• dalej przekazywanych przez odbiorcę będącego Członkiem Grupy spoza EOG zgodnie z niniejszymi Regułami korporacyjnymi dotyczącymi Użytkowników innemu Członkowi Grupy spoza EOG (jako Administratorowi danych lub Podmiotowi przetwarzającemu).

Użytkownicy na całym świecie udostępniają swoje Dane osobowe Członkom Grupy w celu korzystania z usług oferowanych przez Grupę.  Najwięcej Danych osobowych Użytkownika jest zbieranych i przechowywanych w Stanach Zjednoczonych.  Globalny charakter działalności firmy PayPal wymaga udostępniania Danych osobowych Użytkownika innym podmiotom PayPal w Stanach Zjednoczonych i innych krajach, w których PayPal prowadzi lub zamierza prowadzić działalność.

PayPal dokłada wszelkich starań, aby chronić dane Użytkowników niezależnie od miejsca przechowywania tych danych, oraz stosuje wszelkie odpowiednie środki bezpieczeństwa podczas przekazywania ich poza EOG.

Lista Członków Grupy, którzy podlegają Regułom korporacyjnym dotyczącym Użytkowników, znajduje się w Załączniku I. Dostęp do Danych osobowych Użytkownika może być przyznany pracownikom w krajach wymienionych w Załączniku II. Listy te mogą ulegać zmianom w miarę rozwoju działalności firmy.

Zakres przedmiotowy niniejszych Reguł określono w definicjach i punktach niniejszych Reguł, w tym w punkcie 12 (Dane osobowe Użytkowników i rodzaje osób, których dane dotyczą), w punkcie 2.1 w odniesieniu do rodzajów przetwarzania, tj. celów, w jakich przetwarzane są Dane osobowe Użytkownika, a lista krajów jest dostępna w Załączniku II.

Reguły korporacyjne dotyczące Użytkowników są prawnie wiążące na mocy umowy („Porozumienie wewnątrzgrupowe”) zawartej między PayPal (Europe) S.à r.l. & Cie, S.C.A. („Główny Członek Grupy”) i innymi Członkami Grupy PayPal.  Porozumienie wewnątrzgrupowe nakłada na Członków Grupy obowiązek przestrzegania Reguł korporacyjnych dotyczących Użytkowników. Członkowie Grupy wymagają od swoich Pracowników przestrzegania tych Reguł korporacyjnych dotyczących Użytkowników w toku obsługi Danych osobowych Użytkownika.

Odpowiedzialność za egzekwowanie przestrzegania Reguł korporacyjnych dotyczących Użytkowników, w tym za zapewnienie, żeby Pracownicy je znali i się do nich stosowali, ponosi ścisłe kierownictwo Grupy PayPal.

Za realizację programu prywatności PayPal odpowiada Kierownik ds. Prywatności (compliance privacy lead). Osoba ta pełni wysoką funkcję w PayPal Holdings, Inc. i podlega bezpośrednio dyrektorowi ds. zgodności z przepisami (chief compliance officer) lub zajmującej najwyższe stanowisko w przedsiębiorstwie osobie odpowiadającej za zgodność z przepisami.  Kierownik ds. Prywatności nadzoruje pracę Globalnego Zespołu PayPal ds. Prywatności i Zgodności z Przepisami i współpracuje z innymi jednostkami wewnętrznymi lub zespołami, takimi jak dział operacyjny, dział ds. bezpieczeństwa informatycznego, dział zgodności z przepisami, dział zarządzania ryzykiem i dział audytu wewnętrznego, aby wspomagać przepływ komunikacji w zakresie prywatności i zapewniać stosowanie spójnych zasad oraz praktyk w Grupie PayPal we wszystkich lokalizacjach. Globalny Zespół PayPal ds. Prywatności i Zgodności z Przepisami opracowuje strategię zachowania zgodności z przepisami i koordynuje jej implementację w Grupie PayPal oraz zajmuje się kontrolą działań operacyjnych pod kątem zgodności z przepisami.  Globalny Zespół PayPal ds. Prywatności i Zgodności z Przepisami ma bezpośrednich i pośrednich przedstawicieli w całej Grupie PayPal.

Pracę Globalnego Zespołu Prawnego PayPal ds. Prywatności nadzoruje Kierownik ds. Prywatności w Dziale Prawnym (legal privacy lead), który podlega bezpośrednio dyrektorowi działu prawnego (chief legal officer) lub zajmującej najwyższe stanowisko w przedsiębiorstwie osobie odpowiadającej za sprawy prawne w PayPal. Kierownik ds. Prywatności w Dziale Prawnym definiuje zobowiązania prawne przedsiębiorstwa wynikające z właściwych przepisów prawa ochrony danych oraz niniejszych Reguł korporacyjnych dotyczących Użytkowników. Kierownik ds. Prywatności w Dziale Prawnym oraz Globalny Zespół Prawny PayPal ds. Prywatności ściśle współpracują z Kierownikiem ds. Prywatności, Globalnym Zespołem PayPal ds. Prywatności i Zgodności z Przepisami oraz z innymi jednostkami i zespołami wewnętrznymi, takimi jak dział prawny, dział operacyjny, dział ds. bezpieczeństwa informatycznego i dział zarządzania ryzykiem, w celu udzielania porad prawnych i przygotowywania ekspertyz prawnych w zakresie prywatności w Grupie PayPal na całym świecie.

Globalny Zespół PayPal ds. Prywatności i Zgodności z Przepisami oraz Globalny Zespół Prawny PayPal ds. Prywatności tworzą Globalny Zespół PayPal ds. Prywatności.

Inspektor Ochrony Danych na Europę ma siedzibę w Luksemburgu i jest wyznaczany przez kierownictwo PayPal (Europe) S.à r.l. et Cie, S.C.A i mu podlega. Europejski Inspektor Ochrony Danych pełni rolę głównego punktu kontaktowego dla inspektoratów ochrony danych EOG i nie wykonuje on żadnych zadań, które mogłyby skutkować konfliktem interesów. Do obowiązków Inspektora Ochrony Danych na Europę należy między innymi informowanie Członków Grupy oraz ich pracowników, którzy przetwarzają dane osobowe, o obowiązkach pracowników wynikających z przepisów o ochronie prywatności i Reguł korporacyjnych dotyczących Użytkowników; współpraca z Globalnym Zespołem PayPal ds. Prywatności w celu monitorowania zgodności z przepisami w zakresie prywatności i pokrewnymi zasadami podmiotów będących Członkami Grupy; udzielanie porad prawnych na żądanie Członków Grupy oraz ocena skutków przepisów w zakresie prywatności i ich wdrożenia. Europejski Inspektor Ochrony Danych podlega najwyższemu szczeblowi kadry kierowniczej i może informować najwyższy szczebel kadry kierowniczej o pojawieniu się jakichkolwiek pytań lub problemów w trakcie wykonywania swoich obowiązków.

Członkowie Grupy przestrzegają następujących zasad dotyczących Przetwarzania w odniesieniu do Danych osobowych Użytkownika.

2.1 Ograniczenia dotyczące celu

Dane osobowe Użytkownika mogą podlegać Przetwarzaniu i być wykorzystywane tylko do określonych, konkretnych i dozwolonych prawnie celów.  W szczególności Dane osobowe Użytkownika mogą podlegać Przetwarzaniu w celu:

• komunikowania się z Użytkownikami w związku z usługami
• oferowania, zarządzania Usługami i ułatwiania ich świadczenia na żądanie Użytkowników, w tym otwierania konta i zarządzania płatnościami Użytkowników;
• doskonalenia dotychczasowych Usług i opracowywania nowych Usług;
• rozstrzygania sporów, prowadzenia sporów sądowych, rozwiązywania problemów i świadczenia obsługi klienta, w tym analizy danych, testowania, badań i realizowania celów statystycznych;
• zarządzania ryzykiem;
• przetwarzania transakcji i pobierania należnych opłat, w tym wykazywania, że transakcje zostały zrealizowane;
• sprawdzania zdolności kredytowej i wypłacalności;
• mierzenia zainteresowania Użytkowników Usługami, zbierania opinii na temat Usług, a także informowania Użytkowników o ofertach online i offline, Usługach i aktualizacjach;
• dostosowywania funkcji do potrzeb Użytkownika;
• wykrywania i ochrony przed błędami, oszustwami i innymi działaniami przestępczymi, w tym potwierdzania tożsamości i danych kontaktowych Użytkownika;
• wypełniania zobowiązań prawnych, ustawowych lub umownych Grupy PayPal;
• egzekwowania warunków Usługi i innych postanowień przedstawianych Użytkownikom w chwili gromadzenia danych oraz w zasadach zachowania prywatności Usługi;
• zapewnienia bezpieczeństwa, integralności i dostępności Usług oraz sieci Grupy PayPal;
• ochrony praw i interesów Grupy PayPal, zwłaszcza ustalania, dochodzenia lub odpierania roszczeń prawnych lub prowadzenia postępowań windykacyjnych;
• oceny, jakie opcje płatności i usługi można zaoferować Użytkownikom, na przykład przez przeprowadzanie wewnętrznych i zewnętrznych ocen zdolności kredytowej; oraz
• zapewnienia zgodności z wewnętrznymi procedurami firmy PayPal.

Przetwarzanie Danych osobowych Użytkownika do celów innych niż powyższe wymaga uzyskania wcześniejszej zgody Globalnego Zespołu Prawnego PayPal ds. Prywatności.  W razie jakichkolwiek wątpliwości Członkowie Grupy konsultują się z Globalnym Zespołem Prawnym PayPal ds. Prywatności.

Dane osobowe Użytkownika nie mogą być dalej przetwarzane w innym celu, w sposób niezgodny z celami wymienionymi powyżej, chyba że podstawę prawną takiego przetwarzania stanowią obowiązujące przepisy prawa państwa EOG właściwego dla Członka Grupy odpowiedzialnego za zgromadzenie i/lub przekazanie danych osobowych Użytkownika (tj. podmiotu przekazującego dane).  

2.2 Minimalizacja, dokładność i ograniczenie przechowywania danych

Dane osobowe Użytkownika powinny być:

• dokładne oraz, w razie potrzeby, uaktualniane;
• adekwatne, proporcjonalne i ograniczone do tego, co jest niezbędne w odniesieniu do celów, w których są Przetwarzane;
•  przechowywane nie dłużej niż jest to konieczne do realizacji celów, do jakich zostały pierwotnie zebrane lub dalej Przetworzone; oraz
• usunięte, usunięte, zniszczone lub zanonimizowane zgodnie z obowiązującymi zasadami PayPal, jeśli nie są już potrzebne do celów, w których były Przetwarzane, chyba że istnieje podstawa prawna do dalszego Przetwarzania lub przechowywanie jest wymagane na mocy obowiązujących przepisów prawa lub obowiązujących zasad PayPal.

2.3 Podstawy prawne przetwarzania i rzetelność

1. Podstawa prawna przetwarzania Danych osobowych Użytkownika

Członkowie Grupy mają obowiązek zapewnienia, że Dane osobowe Użytkownika podlegają uczciwemu i zgodnemu z prawem Przetwarzaniu, w szczególności na podstawie co najmniej jednej z następujących podstaw prawnych:

• Jednoznacznej, dobrowolnej, konkretnej i świadomej zgody Użytkownika;
• Przetwarzanie jest niezbędne do spełnienia warunków umowy, której Użytkownik jest stroną, lub do podjęcia czynności na wniosek Użytkownika przed zawarciem umowy;
• Przetwarzanie jest niezbędne do spełnienia wymogów prawnych, którym podlega dany Członek Grupy;
• Przetwarzanie jest niezbędne z punktu widzenia ważnych interesów Użytkownika lub innej osoby fizycznej;
• Przetwarzanie jest niezbędne do wykonania zadań realizowanych w interesie publicznym lub do wykonywania zadań publicznych powierzonych Członkowi Grupy lub Podmiotowi zewnętrznemu, którym ujawniono dane, lub
• Przetwarzanie jest niezbędne na potrzeby uzasadnionych interesów Członka Grupy, Podmiotu zewnętrznego lub innej Strony, którym dane zostały ujawnione, z wyłączeniem przypadków, gdy interesy te stoją w sprzeczności z podstawowymi prawami i swobodami Użytkownika.

2. Podstawa prawna przetwarzania Szczególnych kategorii danych osobowych Użytkowników

Gdy zgromadzenie Szczególnych kategorii danych osobowych jest niezbędne lub Użytkownicy dobrowolnie podają takie informacje, Członkowie Grupy mają obowiązek zapewnienia, że Szczególne kategorie danych osobowych Użytkowników podlegają Przetwarzaniu wyłącznie na podstawie co najmniej jednej z następujących podstaw:

• Przetwarzanie odbywa się na podstawie wyraźnej zgody Użytkownika;
• Przetwarzanie jest niezbędne z punktu widzenia ważnych interesów Użytkownika lub innej osoby, jeżeli Użytkownik jest fizycznie lub prawnie niezdolny do wyrażenia zgody;
• Przetwarzanie dotyczy Danych osobowych użytkownika, które zostały upublicznione przez Użytkownika, lub
• Przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń prawnych lub w każdym przypadku, gdy sądy działają w ramach sprawowania wymiaru sprawiedliwości.

3. Podstawa prawna przetwarzania obejmującego automatyczne podejmowanie decyzji

W przypadku, gdy Użytkownik może podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, która wywołuje skutki prawne lub istotne skutki („Decyzja zautomatyzowana”), Członkowie Grupy zapewnią, by Decyzja zautomatyzowana:

• była niezbędna do zawarcia lub wykonania umowy między Użytkownikiem a Członkiem Grupy;
• była dozwolona przez prawo UE lub prawo państwa członkowskiego, któremu podlega Członek Grupy i które również określa odpowiednie środki ochrony praw, wolności i uzasadnionych interesów Użytkownika; lub
• opierała się na wyraźnej zgodzie Użytkownika.

Ponadto, co najmniej w pierwszym i trzecim z powyższych przypadków, Członek Grupy zapewni odpowiednie środki w celu ochrony praw i wolności oraz uzasadnionych interesów Użytkownika, takie jak zagwarantowanie Użytkownikowi tego, aby decyzja została indywidualnie rozpatrzona przez pracownika Działu Obsługi Klienta, i umożliwienia Użytkownikowi przedstawienia własnego stanowiska. Jeśli Użytkownik nadal nie zgadza się z Decyzją podjętą automatycznie, Dział Obsługi Klienta jest zobowiązany do przekazania sprawy Inspektorowi Ochrony Danych na Europę. W razie potrzeby sprawa jest konsultowana z Kierownikiem ds. Prywatności w Dziale Prawnym oraz informowany jest o niej Kierownik ds. Prywatności.

2.4 Przejrzystość

W przypadku zbierania Danych osobowych Użytkownika Członek Grupy przekazuje Użytkownikowi następujące informacje:

• Tożsamość i dane kontaktowe Członka Grupy odpowiedzialnego za pierwotne gromadzenie i Przetwarzanie;
• Dane kontaktowe Europejskiego Inspektora Ochrony Danych. Poniżej podano dane kontaktowe: Europejski Inspektor Ochrony Danych (IOD), PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luksemburg lub online.
• Zamierzone cele Przetwarzania, a także podstawa prawna Przetwarzania;
• W przypadku, gdy Przetwarzanie odbywa się na podstawie prawnie uzasadnionych interesów, prawnie uzasadnione interesy realizowane przez Członka Grupy lub przez stronę trzecią
• Odbiorcy lub kategorie odbiorców (w tym Podmiotów przetwarzających) Danych osobowych Użytkownika;
• W stosownych przypadkach fakt, że Członek Grupy zamierza przekazać Dane osobowe Użytkownika do państwa trzeciego lub organizacji międzynarodowej oraz wydanie lub niewydanie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, lub odniesienie do odpowiednich lub właściwych zabezpieczeń (w tym Reguł korporacyjnych dotyczących Użytkowników), jeśli są powoływane, oraz sposobów uzyskania ich kopii lub ich udostępnienia;
• Okres, przez który Dane osobowe Użytkownika będą przechowywane, lub, jeśli nie jest to możliwe, kryteria stosowane do określenia tego okresu;
• Dostępne prawa Użytkownika, w tym prawo do żądania od Członka Grupy dostępu do Danych osobowych Użytkownika, ich sprostowania lub usunięcia lub ograniczenia Przetwarzania dotyczącego Użytkownika lub do wniesienia sprzeciwu wobec Przetwarzania, a także prawo do przenoszenia danych;
• W przypadku, gdy przetwarzanie odbywa się na podstawie zgody, dostępność prawa do cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem Przetwarzania dokonanego na podstawie zgody przed jej wycofaniem;
• Prawo do złożenia skargi do Inspektoratu Ochrony Danych;
• Określenie, czy podanie Danych osobowych Użytkownika jest wymogiem ustawowym, umownym lub niezbędnym do zawarcia umowy, a także czy odpowiedzi na pytania są obowiązkowe czy dobrowolne, a także możliwe konsekwencje braku odpowiedzi; oraz
• W przypadku Decyzji zautomatyzowanych, istotne informacje o zastosowanej logice, a także o znaczeniu i przewidywanych konsekwencjach takiego Przetwarzania dla Użytkownika.

Członkowie Grupy mogą podawać te informacje w Zasadach zachowania poufności Usługi, które mogą być dostępne za pośrednictwem łączy lub wyświetlane widocznych miejscach witryn lub aplikacji Usługi oraz podczas zakładania konta.  Obowiązek informowania Użytkownika nie ma zastosowania w sytuacji, gdy Użytkownik zapoznał się już z daną informacją.  

Jeżeli przekazanie informacji jest niemożliwe lub wymaga nadmiernego wysiłku, Członkowie Grupy mogą zrezygnować z dostarczenia informacji.  Dotyczy to wyłącznie sytuacji, gdy Dane osobowe Użytkownika nie zostały uzyskane bezpośrednio od Użytkownika. 

W wyjątkowych okolicznościach przekazanie określonych informacji może być opóźnione lub pominięte, np. w przypadku dochodzeń dotyczących niewłaściwego postępowania, w celu zapewnienia zgodności z obowiązującymi przepisami prawa lub gdy ujawnienie informacji mogłoby uniemożliwić rzetelne zbadanie sprawy.

2.5 Odpowiedzialność, poufność i bezpieczeństwo

1. Odpowiedzialność

Każdy Członek Grupy pełniący rolę administratora danych ponosi odpowiedzialność za przestrzeganie Reguł korporacyjnych dotyczących Użytkowników i musi być w stanie wykazać fakt ich przestrzegania.

W celu zwiększenia przestrzegania i w sytuacjach, gdy jest to wymagane przeprowadza się oceny skutków dla ochrony danych w odniesieniu do operacji przetwarzania, których wynikiem może być wysokie ryzyko naruszenia praw i wolności osób fizycznych. Jeżeli ocena skutków dla ochrony danych określona w rozporządzeniu (UE) 2016/679 wykaże, że wynikiem przetwarzania będzie wysokie ryzyko w przypadku braku środków podjętych przez Członka Grupy w celu ograniczenia tego ryzyka, przed rozpoczęciem przetwarzania skonsultujemy się z właściwym Inspektoratem Ochrony Danych.

Wdraża się odpowiednie środki techniczne i organizacyjne, które mają na celu wprowadzenie zasad ochrony danych i ułatwienie spełnienia w praktyce wymagań określonych w Regułach korporacyjnych dotyczących Użytkowników (uwzględnianie ochrony danych w fazie projektowania oraz domyślna ochrona danych).

2. Poufność i bezpieczeństwo

Członkowie Grupy stosują fizyczne, techniczne i administracyjne zabezpieczenia odpowiednie do ilości i stopnia wrażliwości Danych osobowych Użytkownika w celu zapobiegania ich nieupoważnionemu Przetwarzaniu, w tym uzyskiwaniu nieuprawnionego dostępu do Danych osobowych Użytkownika oraz ich pozyskiwaniu, wykorzystywaniu, utracie lub zniszczeniu. Członkowie Grupy używają szyfrowania, zapór sieciowych, kontroli dostępu, standardów i innych procedur mających na celu uniemożliwienie uzyskania nieupoważnionego dostępu do Danych osobowych Użytkownika.  Fizyczny i logiczny dostęp do danych w postaci fizycznej i elektronicznej jest także ograniczony na podstawie zakresu obowiązków i potrzeb biznesowych.

3. Naruszenie ochrony danych osobowych

Po wykryciu naruszenia ochrony danych osobowych zdefiniowanego w art. 4 ust. 12, art. 33 ust. 1 i art. 34 ust. 1 rozporządzenia RODO (UE) 2016/679 oraz art. 33 ust. 1 Członek Grupy, którego to dotyczy, bez zbędnej zwłoki powiadamia o tym fakcie Głównego Członka Grupy, Europejskiego Inspektora Ochrony Danych i innych interesariuszy, zgodnie z obowiązującymi zasadami wewnętrznymi. Jeżeli istnieje prawdopodobieństwo, że wynikiem naruszenia ochrony danych osobowych może być wysokie ryzyko dla praw lub wolności osób fizycznych, Członek Grupy i Główny Członek Grupy, w porozumieniu z Europejskim Inspektorem Ochrony Danych, informują o tym osoby, których dane dotyczą, oraz, w stosownych przypadkach, Inspektorat Ochrony Danych. Naruszenia ochrony danych osobowych należy udokumentować w celu odnotowania i) faktów związanych z naruszeniem ochrony danych osobowych, ii) ich skutków oraz iii) wykazu podjętych działań zaradczych. Dokumentacja taka jest przekazywana właściwemu Inspektoratowi Ochrony Danych na jego żądanie.

2.6 Prawa Użytkownika i możliwość wyboru

Użytkownicy mogą skorzystać z następujących praw:

• Użytkownik ma prawo do wglądu w większość dotyczących go Danych osobowych Użytkownika przechowywanych przez Członków Grupy oraz wprowadzania w nich poprawek przy użyciu odpowiednich narzędzi online lub procedur samoobsługowych udostępnianych w witrynie lub aplikacji Usługi.
• W każdym przypadku Użytkownik ma prawo zażądać dostępu do danych celem ich przejrzenia lub otrzymania kopii swoich Danych osobowych niedostępnych za pośrednictwem witryny lub aplikacji Usługi. Użytkownik powinien kontaktować się z Działem Obsługi Klienta za pomocą kanałów podanych w witrynie lub aplikacji Usługi.
• Ponadto Użytkownik może poprosić o skorygowanie danych, jeśli są niekompletne lub nieprawidłowe. Członkowie Grupy mają obowiązek rozpatrzyć wniosek Użytkownika i poinformować go o skorygowaniu danych. W przypadku skorygowania Danych osobowych Użytkownika Członkowie Grupy poinformują o tym fakcie podmioty zewnętrzne, którym dane Użytkownika są udostępniane, chyba że okaże się to niemożliwe lub nadmiernie kłopotliwe.
• Użytkownicy mogą skorzystać z przysługującego im prawa do oceny przez człowieka Decyzji zautomatyzowanej podjętej przez Członka Grupy zgodnie z punktem 2.3 (c).
• Użytkownicy mogą nie wyrazić zgody na Przetwarzanie dotyczących ich Danych osobowych Użytkownika. Członkowie Grupy spełnią żądanie Użytkownika, chyba że zatrzymanie Danych osobowych Użytkownika jest wymagane na mocy przepisów prawa właściwego lub konieczne z punktu widzenia ochrony Grupy PayPal przed roszczeniami o charakterze prawnym. Użytkownik otrzyma odpowiedź na żądanie wraz z informacją o działaniach podjętych przez Członków Grupy.
• Ponadto Użytkownik może zażądać zamknięcia konta, wykonując procedurę opisaną na stronie lub w aplikacji Usługi. W związku z zamknięciem konta Użytkownik może również skorzystać z przysługującego mu prawa do ograniczenia Przetwarzania jego Danych osobowych Użytkownika lub usunięcia Danych osobowych Użytkownika. Członkowie Grupy usuną dane Użytkownika z Usługi lub je zanonimizują tak szybko, jak to będzie możliwe z uwzględnieniem czynności podejmowanych na koncie.  W niektórych przypadkach Członkowie Grupy mogą opóźniać zamknięcie konta lub zatrzymać Dane osobowe Użytkownika w celu prowadzenia postępowania lub jeśli wymagają tego przepisy prawa właściwego. Członkowie Grupy mogą także zatrzymać Informacje o Użytkowniku z zamkniętych kont w celu wykrywania oszustw i zapobiegania im, windykacji należności, rozstrzygania sporów, rozwiązywania problemów, współpracy przy dochodzeniach, zarządzania ryzykiem, egzekwowania warunków Usługi, zachowania zgodności z prawem i podejmowania innych działań wymaganych lub dozwolonych w świetle prawa właściwego. Dane będą przechowywane w formie umożliwiającej identyfikację osoby, której dotyczą, nie dłużej jednak, niż jest to konieczne do realizacji celów, w jakich zostały zebrane lub są przetwarzane, i zostaną usunięte, gdy tylko ustanie przyczyna ich zatrzymania.
• Członkowie Grupy mogą wykorzystywać Dane osobowe Użytkownika w celu dostosowywania informacji przekazywanych Użytkownikowi na podstawie jego zainteresowań zgodnie z przepisami prawa właściwego, z wyłączeniem Użytkowników, którzy nie wyrazili zgody na otrzymywanie pewnych informacji.  Jeśli Użytkownik nie chce otrzymywać materiałów marketingowych od Grupy PayPal, może łatwo z nich zrezygnować, np. wybierając odpowiednią opcję w ustawieniach konta, wykonując instrukcje podane w wiadomości e-mail lub korzystając z łącza widocznego w przesłanym materiale.

We wszystkich przypadkach, Użytkownicy mogą wykonywać powyższe przysługujące im prawa, kontaktując się z Działem Obsługi Klienta. Jeśli nie można zweryfikować tożsamości Użytkownika, Członkowie Grupy mogą zażądać od Użytkownika przedstawienia dodatkowych dokumentów tożsamości. Członkowie Grupy spełnią żądanie w czasie określonym przez przepisy prawa właściwego, chyba że przepisy te umożliwiają zwolnienie z tego obowiązku.

2.7 Ujawnianie i przekazywanie Danych osobowych

Członkowie Grupy mogą udostępniać Dane osobowe Użytkownika w ramach zwykłej działalności biznesowej innym Członkom Grupy w dowolnej lokalizacji na potrzeby określone w punkcie 2.1.

1. Ujawnianie i przekazywanie danych zewnętrznym organom publicznym

Zgodnie z przepisami prawa właściwego i umowami międzynarodowymi Członkowie Grupy mogą udostępniać Dane osobowe organom ścigania i organom regulacyjnym w krajach demokratycznych, jeśli jest to niezbędne do zapewnienia bezpieczeństwa narodowego, obronnego, publicznego, a także do zapobiegania przestępstwom, wykrywania ich i ścigania, a w szczególności w celu zachowania zgodności z przepisami dotyczącymi sankcji określonych w instrumentach krajowych i międzynarodowych, sprawozdawczości podatkowej i prania brudnych pieniędzy.

W przypadku gdy Członek Grupy spoza UE ma powody, by sądzić, że mające do niego zastosowanie przepisy uniemożliwiają temu podmiotowi wypełnianie zobowiązań wynikających z Reguł korporacyjnych dotyczących Użytkowników, co będzie mieć istotny wpływ na gwarancje przewidziane w Zasadach, Członek Grupy spoza UE niezwłocznie poinformuje o tym Głównego Członka Grupy i/lub Europejskiego Inspektora Ochrony Danych. Obejmuje to sytuacje, gdy taki Członek Grupy spoza UE:

1. otrzyma prawomocne żądanie od organu publicznego spoza UE o ujawnienie Danych osobowych Użytkownika przekazanych zgodnie z niniejszymi Regułami korporacyjnymi dotyczącymi Użytkowników, w którym to przypadku Członek Grupy spoza UE (o ile nie jest to zabronione) przekaże Głównemu Członkowi Grupy lub Inspektorowi Ochrony Danych na Europę informacje o Danych osobowych Użytkownika, którego dotyczy wniosek, wzywającym organie publicznym spoza UE, podstawie prawnej wniosku i udzielonej odpowiedzi;
2. dowie się o jakimkolwiek bezpośrednim dostępie organów publicznych spoza UE do Danych osobowych Użytkownika przekazywanych zgodnie z Regułami korporacyjnymi dotyczącymi Użytkowników, w którym to przypadku Członek Grupy spoza UE (o ile nie jest to zabronione) przekaże Głównemu Członkowi Grupy lub Inspektorowi Ochrony Danych na Europę informacje znane Członkowi Grupy spoza UE.

Jeżeli w określonych przypadkach zawieszenie i/lub powiadomienie będzie zabronione, Członek Grupy, do którego skierowano żądanie, dołoży starań, aby uzyskać prawo do uchylenia tego zakazu w celu przekazania jak największej ilości informacji tak szybko, jak to możliwe. Członek Grupy spoza UE dokona przeglądu zgodności z prawem każdego żądania ujawnienia informacji pochodzącego od organu publicznego spoza UE, aby ocenić, czy wchodzi ono w zakres uprawnień przyznanych temu organowi, a jeżeli nie, zakwestionuje takie żądanie. Członek Grupy spoza UE udokumentuje i utrwali dokonany przegląd oraz, o ile nie jest to zabronione, udostępni go Głównemu Członkowi Grupy i/lub Inspektorowi Ochrony Danych na Europę. Członek Grupy spoza UE udostępni go również, na żądanie, właściwym Inspektoratom Ochrony Danych.

Członek Grupy spoza UE przekaże minimalną dopuszczalną ilość informacji w odpowiedzi na żądanie ujawnienia informacji złożone przez organ publiczny spoza UE, w oparciu o rozsądną interpretację żądania.

Członkowie Grupy nie mogą przekazywać Danych osobowych Użytkownika organom publicznym spoza UE w sposób masowy, nieproporcjonalny i niezróżnicowany, który wykraczałby poza to, co jest niezbędne w demokratycznym społeczeństwie.

2. Ujawnianie Danych osobowych Podmiotowi przetwarzającemu

W przypadku przekazywania przez Członków Grupy Danych osobowych Użytkownika Podmiotowi przetwarzającemu Podmiot przetwarzający zostanie oceniony pod kątem prywatności, ochrony danych i ryzyka przed rozpoczęciem pracy i zanim takie Dane osobowe Użytkownika zostaną przekazane.  Zakres oceny zależy od stopnia wrażliwości przetwarzanych Danych osobowych Użytkownika. Ocena zachowania prywatności, ochrony danych i bezpieczeństwa informacji nie jest konieczna w przypadku Podmiotów przetwarzających, które zostały już poddane takiej ocenie lub które są Członkami Grupy, chyba że Przetwarzanie wiąże się z prowadzeniem działań o podwyższonym ryzyku w związku z naturą i ilością Danych osobowych oraz formą ich Przetwarzania.

Podmioty przetwarzające, w tym Członkowie Grupy będący Podmiotami przetwarzającymi, muszą zawrzeć umowę z odpowiednim Członkiem Grupy, który będzie pełnił rolę Administratora Danych osobowych Użytkownika, określającą zobowiązania w zakresie zapewnienia odpowiedniego poziomu prywatności, ochrony danych i bezpieczeństwa informacji. Umowa zawiera klauzule zapewniające odpowiednie wykorzystanie Danych osobowych Użytkownika i stosowanie środków bezpieczeństwa adekwatnych do ilości, rodzaju i wrażliwości takich Danych osobowych Użytkownika. 

Gwarancje wynikające z umowy muszą obejmować co najmniej następujące kwestie:

• wymóg przestrzegania przepisów prawa i dokonywania Przetwarzania Danych osobowych Użytkownika wyłącznie zgodnie z postanowieniami umowy i instrukcjami odpowiednich Członków Grupy;
• zapewnienie, że osoby upoważnione do przetwarzania Danych osobowych Użytkownika zobowiązały się do zachowania poufności lub podlegają odpowiedniemu ustawowemu obowiązkowi zachowania poufności;
• zapewnienie, że żaden podmiot przetwarzający nie zostanie wcześniej zaangażowany bez uprzedniej szczególnej lub ogólnej pisemnej zgody Członka Grupy oraz że taki podmiot przetwarzający będzie przestrzegał tych samych zabezpieczeń umownych przy angażowaniu innego podmiotu przetwarzającego.
• stosowanie środków technicznych i organizacyjnych adekwatnych do stopnia wrażliwości Danych osobowych Użytkownika i celów Przetwarzania;
• pomoc Członkowi Grupy przy zastosowaniu odpowiednich środków technicznych i organizacyjnych, w miarę możliwości, w celu wypełnienia przez Członka Grupy obowiązku odpowiadania na wnioski o skorzystanie z praw osoby, której dane dotyczą;
• obowiązki zgłaszania naruszeń bezpieczeństwa, takie jak niezwłoczne pisemne powiadomienie firmy PayPal po uzyskaniu informacji o naruszeniu bezpieczeństwa.
• według wyboru Członka Grupy ujawniającego dane – usunięcie lub zwrócenie temu Członkowi Grupy wszystkich danych osobowych po zakończeniu świadczenia usług związanych z przetwarzaniem oraz usunięcie istniejących kopii, chyba że prawo Unii lub prawo państwa członkowskiego wymaga przechowywania danych osobowych;
• prawo do skontrolowania, czy Podmiot przetwarzający postępuje zgodnie z gwarancjami wynikającymi z umowy;
• postanowienia dotyczące uprawnień w przypadku niespełnienia przez Podmiot przetwarzający zobowiązań wynikających z przepisów prawa lub umowy.

Umowy muszą zawierać klauzule zapewniające, że niespełnienie zapisów umowy może skutkować jej zawieszeniem lub rozwiązaniem poza innymi formami zadośćuczynienia wymienionymi w umowie.

3. Ujawnianie Danych osobowych osobom trzecim

W przypadku, gdy Członkowie Grupy przekazują Dane osobowe Użytkownika z EOG Podmiotom zewnętrznym (w tym Podmiotom przetwarzającym niebędącym Członkami Grupy znajdującym się w kraju nienależącym do EOG, który (i) nie zapewnia odpowiedniego poziomu ochrony (w rozumieniu RODO) oraz (ii) nie dokonał innych ustaleń spełniających wymogi UE w zakresie adekwatności, Członek Grupy zapewni, aby Podmiot zewnętrzny wdrożył odpowiednie zabezpieczenia umowne, takie jak standardowe klauzule umowne zatwierdzone przez Komisję Europejską, zapewniające poziom ochrony współmierny do niniejszych Reguł korporacyjnych dotyczących Użytkowników lub ewentualnie zapewniające, że przekazanie danych (i) będzie odbywać się za wyraźną zgodą Użytkownika, (ii) będzie niezbędne do zawarcia lub wykonania umowy zawartej z Użytkownikiem, (iii) będzie konieczne lub wymagane na mocy prawa z uwagi na ważny interes publiczny, (iv) będzie niezbędna do ochrony żywotnych interesów Użytkownika; lub (v) będzie niezbędne do dochodzenia, ustalenia lub obrony roszczeń prawnych.

2.8 Oceny skutków przekazania danych

Członkowie zobowiązują się przeprowadzać ocenę (i na bieżąco monitorować), czy przepisy prawa lub praktyki państw trzecich uniemożliwiają przestrzeganie niniejszych Reguł korporacyjnych dotyczących Użytkowników. Oceny takie będą uwzględniać:

• szczególne okoliczności jednorazowego lub wielokrotnego przekazania danych osobowych oraz planowanego dalszego przekazania danych w obrębie tego samego państwa trzeciego lub do innego państwa trzeciego, w tym:
• cele, dla których dane są przekazywane i przetwarzane (np. marketing, HR, przechowywanie, wsparcie IT, badania kliniczne);
• rodzaje podmiotów zaangażowanych w przetwarzanie (podmiot odbierający dane i ewentualny kolejny odbiorca w przypadku dalszego przekazania danych);
• sektor gospodarki, w którym następuje jednorazowe lub wielokrotne przekazanie danych osobowych;
• kategorie i format przekazywanych danych osobowych;
• miejsce przetwarzania, w tym przechowywania; oraz
• wykorzystywane kanały przekazywania;
• przepisy i praktyki państwa trzeciego przeznaczenia mające znaczenie w świetle okoliczności przekazywania danych, w tym przepisy i praktyki wymagające ujawnienia danych organom publicznym lub zezwalające takim organom na dostęp oraz przepisy i praktyki przewidujące dostęp do tych danych podczas tranzytu między krajem podmiotu przekazującego dane a krajem podmiotu odbierającego dane; oraz
• wszelkie odpowiednie zabezpieczenia umowne, techniczne lub organizacyjne wprowadzone w celu uzupełnienia zabezpieczeń na mocy Reguł korporacyjnych dotyczących Użytkowników, w tym środki stosowane podczas przesyłania i przetwarzania Danych osobowych Użytkownika w kraju przeznaczenia.

Jeżeli nie można zapewnić odpowiedniej ochrony, przekazywanie danych musi zostać zawieszone lub zakończone. Oceny będą dokumentowane i na żądanie udostępniane Inspektoratom Ochrony Danych.

2.9 Żądania organów publicznych

Podmioty odbierające będą informować Głównego Członka Grupy o żądaniach dostępu ze strony organów publicznych. Podmioty odbierające będą w uzasadnionym zakresie kwestionować obowiązek zachowania tajemnicy lub żądania niezgodne z prawem, ograniczać ujawnianie danych do niezbędnego minimum oraz dokumentować podjęte działania.

Użytkownicy, którzy uznają, że ich Dane osobowe są przetwarzane niezgodnie z Regułami korporacyjnymi dotyczącymi Użytkowników, mogą zgłosić wątpliwości w Dziale Obsługi Klienta odpowiedniego Członka Grupy, korzystając z odpowiedniej witryny Usługi, poczty elektronicznej lub innych kanałów określonych w odpowiednich warunkach.  Odpowiedzi na typowe pytania dotyczące prywatności można znaleźć, wpisując „prywatność” w sekcji pomocy określonej usługi i przechodząc do określonej strony poświęconej prywatności.  Sekcja pomocy poświęcona konkretnej usłudze służy do zadawania pytań o prywatność i przetwarzanie Informacji o Użytkowniku oraz do kontaktowania się z Działem Obsługi Klienta. 

W razie wątpliwości co do kanału służącego do zgłaszania problemów związanych z ochroną danych użytkownicy mogą kontaktować się z Inspektorem Ochrony Danych na Europę online.

Dział Obsługi Klienta bada zgłoszenia Użytkowników i stara się rozwiązywać problemy. Pracownicy odpowiedzialni za rozwiązywanie problemów dotyczących prywatności ściśle współpracują z Globalnym Zespołem PayPal ds. Prywatności i udzielają Użytkownikom odpowiedzi zgodnie z wytycznymi, procedurami i zasadami PayPal. Jeśli Użytkownik uważa, że odpowiedź na zgłoszenie nie jest wystarczająca, lub w ogóle nie otrzyma odpowiedzi, może poprosić o przekazanie pytania do Inspektora Ochrony Danych na Europę. Sprawa taka jest konsultowana z Kierownikiem ds. Prywatności w Dziale Prawnym oraz informowany jest o niej Kierownik ds. Prywatności. Opcje odwołania zależą od rodzaju i zakresu problemu. Należy je niezwłocznie przekierowywać do odpowiednich zespołów.  Użytkownik otrzyma odpowiedź na zgłoszenie w rozsądnym terminie, nie później jednak niż w ciągu trzech (3) miesięcy od daty jego wpłynięcia, poza wyjątkowymi przypadkami i bardzo skomplikowanymi pytaniami, kiedy udzielenie odpowiedzi może potrwać dłużej, ale wówczas Użytkownik zostanie poinformowany, że udzielenie odpowiedzi zajmie więcej niż trzy (3) miesiące.

Mechanizm reklamacji nie znosi praw Użytkownika do zgłaszania problemu w Inspektoratach Ochrony Danych i sądach. W szczególności, Użytkownicy mogą wnosić skargi:

• do właściwego Inspektoratu Ochrony Danych, w szczególności w państwie członkowskim zwykłego pobytu, miejsca pracy lub miejsca domniemanego naruszenia Użytkowników; oraz
• przed sądem właściwym dla Państw Członkowskich, w których Członek Grupy będący Administratorem danych lub Podmiotem przetwarzającym Dane osobowe Użytkownika ma siedzibę lub w których Użytkownik ma miejsce zwykłego pobytu.

Użytkownicy z EOG, którzy podejrzewają naruszenie Reguł korporacyjnych dotyczących Użytkowników poza EOG, mają prawo do egzekwowania na drodze sądowej oraz prawo do uzyskania zadośćuczynienia oraz, w stosownych przypadkach, odszkodowania w przypadku naruszenia któregokolwiek z możliwych do wyegzekwowania elementów Reguł korporacyjnych dotyczących Użytkowników, jako beneficjenci będący stroną trzecią, a w szczególności w odniesieniu do punktów 2, 3, 4, 7, 8 i 9 Reguł korporacyjnych dotyczących Użytkowników przed właściwymi inspektoratami ochrony danych lub sądami zgodnie z punktem 3. Powyższe prawa w zakresie egzekwowania uzupełniają pozostałe środki prawne lub prawa zapewniane przez firmę PayPal lub dostępne na mocy obowiązujących przepisów prawa.

Mimo że nie jest to wymagane, Użytkowników z EOG zachęca się do zgłaszania problemów najpierw Członkowi Grupy przed zgłoszeniem się do Inspektoratu Ochrony Danych lub sądów.  Ta droga umożliwia uzyskanie szybkiej i skutecznej pomocy ze strony Grupy PayPal i minimalizuje ryzyko długiego oczekiwania na wynik rozstrzygnięcia przez Inspektorat Ochrony Danych lub sąd.

PayPal Europe S.à r.l. et Cie, S.C.A., prywatna spółka z ograniczoną odpowiedzialnością z siedzibą w Luksemburgu, ponosi odpowiedzialność za nadzorowanie przestrzegania przez Członków Grupy Reguł korporacyjnych dotyczących Użytkowników.  Główny Członek Grupy (i) podejmuje odpowiednie działania w celu naprawienia skutków naruszenia przez Członków Grupy spoza EOG i (ii) wypłaca rekompensatę Użytkownikom z EOG, których racje zostały uznane przez Głównego Inspektora Ochrony Danych lub sądy w Luksemburgu, za wszelkie szkody powstałe bezpośrednio na skutek naruszenia Reguł korporacyjnych dotyczących Użytkowników przez Członka Grupy spoza EOG, jeśli odpowiedni Członek Grupy nie może lub nie zamierza wypłacić odszkodowania lub podporządkować się przedmiotowemu postanowieniu. 

Obowiązek przedstawienia dowodów w sprawie rzekomego naruszenia Reguł korporacyjnych dotyczących Użytkowników spoczywa na Głównym Członku Grupy.

Główny Członek Grupy (ani żaden inny Członek Grupy) nie poniesie odpowiedzialności, jeżeli wykaże na podstawie materiału dowodowego i opinii Użytkownika, że Członek Grupy spoza EOG nie naruszył Reguł korporacyjnych dotyczących Użytkowników lub nie ponosi odpowiedzialności za jakiekolwiek straty poniesione przez Użytkownika.

Członkowie Grupy zapewnią, że wszyscy Pracownicy dokonujący Przetwarzania Danych osobowych Użytkowników oraz Pracownicy zajmujący się projektowaniem narzędzi służących do zbierania lub przetwarzania Danych osobowych Użytkowników przejdą szkolenie w zakresie prywatności i bezpieczeństwa informacji ułatwiające zabezpieczenie Danych osobowych Użytkowników zgodnie z Regułami korporacyjnymi dotyczącymi Użytkowników.

Pracownicy muszą co roku ukończyć szkolenie online dotyczące Kodeksu etyki i postępowania w biznesie zawierające dział poświęcony ochronie danych. Nowi Pracownicy muszą odbyć szkolenie online w zakresie przestrzegania przepisów prawa od razu po podjęciu zatrudnienia.

Oprócz szkolenia online z zakresu zachowania zgodności z przepisami Globalny Zespół PayPal ds. Prywatności i Inspektor Ochrony Danych na Europę prowadzą szkolenia z prywatności i bezpieczeństwa informacji, informujące Pracowników o konieczności ochrony Danych osobowych. Szkolenia takie odbywają się raz do roku lub częściej, jeśli jest to konieczne.

Szkolenie Pracownika powinno być dostosowane do jego poziomu dostępu do Danych osobowych Użytkowników. Pracownicy z wyższym poziomem dostępu powinni odbyć dodatkowe szkolenie.

Członkowie Grupy muszą poinformować Pracowników, że nieprzestrzeganie Reguł korporacyjnych dotyczących Użytkowników może skutkować podjęciem działań dyscyplinarnych i innych dozwolonych na mocy przepisów prawa właściwego. Kopie Reguł korporacyjnych dotyczących Użytkowników i innych pokrewnych zasad oraz procedur bezpieczeństwa i zachowania prywatności są dostępne zawsze na stronach intranetu PayPal. Reguły korporacyjne dotyczące Użytkowników są także dostępne w ramach Kodeksu etyki i postępowania w biznesie, który Pracownicy mają obowiązek znać i stosować.

Aby zapewnić zachowanie zgodności z Regułami korporacyjnymi dotyczącymi Użytkowników, Globalny Zespół PayPal ds. Prywatności i Zgodności z Przepisami regularnie sprawdza działania i praktyki w zakresie przetwarzania Danych osobowych Użytkownika. Działania te są koordynowane we współpracy z Inspektorem Ochrony Danych na Europę. Działania te odbywają się okresowo, co najmniej raz w roku, i pomagają w ocenie przestrzegania Reguł korporacyjnych dotyczących Użytkowników.

Zespół ds. Audytu Wewnętrznego jest niezależnym i obiektywnym organem doradczym ścisłego kierownictwa i Zarządu, który za pośrednictwem komitetu ds. audytu przekazuje wyniki kontroli Zarządowi, kierownikom ds. prywatności oraz Inspektorowi Ochrony Danych na Europę. 

Zespół ds. Audytu Wewnętrznego może regularnie przeprowadzać kontrole działań i praktyk wskazywanych przez Globalny Zespół ds. Prywatności. W razie potrzeby Zespół ds. Audytu Wewnętrznego, kierownicy ds. prywatności i Inspektor Ochrony Danych na Europę mogą wymagać wdrożenia planu działania celem zapewnienia zgodności z Regułami korporacyjnymi dotyczącymi Użytkowników. W zakresie, w jakim wewnętrzne grupy nie będą w stanie odpowiednio rozwiązać problemu, Grupa może zdecydować o przeprowadzeniu niezależnych audytów zewnętrznych.

Inspektor Ochrony Danych na Europę, Globalny Zespół PayPal ds. Prywatności i Zgodności z Przepisami lub zespoły ds. audytu wewnętrznego i audytorzy zewnętrzni opracowują szczegółowe plany i harmonogramy na podstawie ryzyka związanego z Przetwarzaniem.

Wyniki audytu dotyczącego prywatności będą udostępniane na żądanie właściwym Inspektoratom Ochrony Danych.

Mimo że przepisy prawa ochrony danych różnią się w poszczególnych krajach, Reguły korporacyjne dotyczące Użytkowników określają spójny zestaw wymogów pomagających zapewnić odpowiednie Przetwarzanie Danych osobowych Użytkownika. Reguły korporacyjne dotyczące Użytkowników określają podstawowy poziom wymagań, które powinni spełniać Członkowie Grupy. Członkowie Grupy mają obowiązek przestrzegania przepisów prawa właściwego, jeśli są one bardziej restrykcyjne i wymagają zachowania wyższych standardów ochrony danych niż standardy określone w tych Regułach korporacyjnych.

Żadne z zawartych tu postanowień nie ma wpływu na zobowiązania Członków Grupy wynikające z właściwych przepisów prawa bankowego, w szczególności dotyczące zachowania tajemnicy bankowej. Jeśli przepisy prawa właściwego są sprzeczne z Regułami korporacyjnymi dotyczącymi Użytkowników i uniemożliwiają Członkowi Grupy wypełnienie zobowiązań wynikających z Reguł korporacyjnych dotyczących Użytkowników oraz w sposób znaczący wpływają na zawarte w nich postanowienia, wówczas Członek Grupy powinien niezwłocznie powiadomić o tym fakcie Inspektora Ochrony Danych na Europę, chyba że przekazanie takiej informacji jest zabronione przez przepisy prawa lub decyzje organów ścigania. Inspektor Ochrony Danych na Europę, kierownicy ds. prywatności i Główny Członek Grupy muszą określić odpowiedni schemat działania, a w razie wątpliwości skonsultować się z odpowiednim Inspektoratem Ochrony Danych.

Członkowie Grupy będą współpracować i pomagać sobie wzajemnie w rozpatrywaniu żądań lub reklamacji Użytkowników w odniesieniu do Reguł korporacyjnych dotyczących Użytkowników.

Członkowie Grupy będą starannie i prawidłowo odpowiadać na pytania Inspektoratu Ochrony Danych na temat Reguł korporacyjnych dotyczących Użytkowników.  Jeśli Pracownik otrzyma takie pytanie od Inspektoratu Ochrony Danych, musi jak najszybciej powiadomić o tym Inspektora Ochrony Danych na Europę.  

Członek Grupy będzie odpowiadać na zapytania i umożliwi przeprowadzenie audytu Inspektoratowi Ochrony Danych w EOG w odniesieniu do zgodności z niniejszymi Regułami korporacyjnymi dotyczącymi Użytkowników oraz zastosuje się do decyzji takiej instytucji zgodnie z przepisami prawa właściwego.

Członkowie Grupy będą stosować się do zaleceń Inspektoratów Ochrony Danych w kwestiach związanych z Regułami korporacyjnymi dotyczącymi Użytkowników. Wszelkie spory związane ze sprawowaniem przez właściwy Inspektorat Ochrony Danych nadzoru nad przestrzeganiem Reguł korporacyjnych dotyczących Użytkowników będą rozstrzygane przez sądy państwa członkowskiego tego Inspektoratu Ochrony Danych zgodnie z prawem procesowym tego państwa członkowskiego. Członkowie Grupy wyrażają zgodę na poddanie się właściwości tych sądów.

PayPal zastrzega sobie prawo do wprowadzania zmian w Regułach korporacyjnych dotyczących Użytkowników, jeśli będzie to konieczne np. w celu zachowania zgodności ze zmienionymi przepisami prawa właściwego, regułami, zasadami, praktykami i procedurami PayPal lub wymaganiami nałożonymi przez odpowiednie Inspektoraty Ochrony Danych.

Wszelkie niezbędne modyfikacje Reguł korporacyjnych dotyczących Użytkowników będzie proponować Globalny Zespół Prawny PayPal ds. Prywatności (pod przewodnictwem Kierownika ds. Prywatności w dziale prawnym). Zmiany w Regułach korporacyjnych dotyczących Użytkowników oraz wszelkie zmiany na liście Członków Grupy muszą zatwierdzić Globalny Zespół PayPal ds. Prywatności i Zgodności z Przepisami (pod przewodnictwem Kierownika ds. Prywatności) i Inspektor Ochrony Danych na Europę. Członkowie Grupy mają obowiązek zgłoszenia odpowiednim Inspektoratom Ochrony Danych zmian wprowadzonych w Regułach korporacyjnych dotyczących Użytkowników celem uzyskania formalnego zatwierdzenia i spełnienia wymogów prawnych.

Główny Członek Grupy będzie się konsultować z Głównym Inspektoratem Ochrony Danych w sprawie ważnych zmian w Regułach korporacyjnych dotyczących Użytkowników, które mogą wpływać na zachowanie zgodności z przepisami w zakresie ochrony danych lub egzekwowanie Reguł korporacyjnych dotyczących Użytkowników.  Główny Członek Grupy będzie co najmniej raz w roku informować Główny Organ Ochrony Danych o istotnych zmianach w Regułach korporacyjnych dotyczących Użytkowników oraz o zmianach na liście Członków Grupy. Jeśli istotna zmiana jest niekorzystna dla poziomu ochrony zapewnianego przez niniejsze Reguły korporacyjne dotyczące Użytkowników lub w inny sposób znacząco wpływa na Reguły korporacyjne dotyczące Użytkowników (np. zmiana jej wiążącego charakteru lub zmiany dotyczące Głównego Członka Grupy), o takich zmianach zostanie powiadomiony z wyprzedzeniem Główny Inspektorat Ochrony Danych wraz z krótkim wyjaśnieniem przyczyn zmiany tak, aby Główny Inspektorat Ochrony Danych mógł wspólnie z innymi właściwymi Inspektoratami Ochrony Danych ocenić, czy zmiany wymagają nowego zatwierdzenia.

Globalne Zespoły PayPal ds. Prywatności będą wspólnie wspomagać Inspektora Ochrony Danych na Europę, który w imieniu PayPal będzie koordynować odpowiedzi i niezwłocznie reagować na komentarze, sugestie lub wątpliwości dotyczące zmian podnoszonych przez Główny Inspektorat Ochrony Danych. Wszelkie komentarze, sugestie lub wątpliwości podnoszone przez inne Inspektoraty Ochrony Danych będą zgłaszane Inspektorowi Ochrony Danych na Europę przez Główny Inspektorat Ochrony Danych występujący w imieniu tych innych Inspektoratów Ochrony Danych.  

Zmiany w Regułach korporacyjnych dotyczących Użytkowników obowiązują wszystkich Członków Grupy od dnia ich wejścia w życie. Globalny Zespół ds. Prywatności w systemie PayPal i Inspektor Ochrony Danych na Europę poinformują Członków Grupy o zmianach w Regułach korporacyjnych dotyczących Użytkowników przed ich wdrożeniem. O ważnych zmianach w Regułach korporacyjnych dotyczących Użytkowników Członkowie Grupy będą powiadamiać odpowiednio wcześnie w wiadomościach e-mail lub publikując w witrynie wyraźne ostrzeżenie (zgodnie z preferencjami Użytkownika ustawionymi w Usłudze). Członkowie Grupy będą publikować zmienione Reguły korporacyjne dotyczące Użytkowników w wybranych witrynach zewnętrznych lub aplikacjach, do których Użytkownik ma dostęp.  Zmiany w Regułach korporacyjnych dotyczących Użytkowników wchodzą w życie w ciągu dwóch miesięcy po powiadomieniu Użytkownika przez Członków Grupy i opublikowaniu zmienionych Reguł korporacyjnych dotyczących Użytkowników.

Żadne dane nie zostaną przekazane dokonane na rzecz nowego Członka Grupy, dopóki taki Członek Grupy nie zostanie skutecznie związany Regułami korporacyjnymi dotyczącymi Użytkowników i nie będzie w stanie zapewnić zgodności z nimi.

Reguły korporacyjne dotyczące Użytkowników zostaną opublikowane, a łącze zostanie udostępnione na stronie internetowej lub w aplikacjach Usługi.  Będą one dostępne w najważniejszych językach UE. Użytkownicy mogą zażądać kopii od Europejskiego Inspektora Ochrony Danych (IOD), PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luksemburg lub pobrać ją online.

Data wejścia w życie: Data publikacji

Kontakt: Użytkownicy mogą zgłaszać pytania i wątpliwości w sprawie Reguł korporacyjnych dotyczących Użytkowników, kontaktując się z:

Inspektorem Ochrony Danych na Europę

PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luksemburg lub kontaktując się z PayPal pod następującym łączem: https://www.paypal.com.resource.data-analyze.v1.endpoints-api.com/uk/cshelp/contact-us/privacy

Członkowie Grupy zobowiązują się interpretować Reguły korporacyjne dotyczące Użytkowników w sposób jak najbardziej spójny z podstawowymi pojęciami dotyczącymi zasad określonych w rozporządzeniu (UE) 2016/679 lub aktach UE je zastępujących.

Na potrzeby Reguł korporacyjnych dotyczących Użytkowników obowiązują następujące definicje:

Zarząd oznacza zarząd Głównego Członka Grupy.

Administrator oznacza osobę prawną, która samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania Danych Osobowych.

Inspektoraty Ochrony Danych  oznaczają niezależne organy publiczne, które sprawują nadzór nad stosowaniem przepisów o ochronie danych, korzystając z uprawnień w zakresie prowadzenia postępowań oraz uprawnień naprawczych, zgodnie z rozdziałem VI rozporządzenia (UE) 2016/679 oraz innymi właściwymi przepisami prawa krajowego.

EOG to Europejski Obszar Gospodarczy obejmujący obecnie państwa członkowskie UE, Islandię, Liechtenstein i Norwegię.

Pracownik to pracownik, stażysta lub inny członek personelu, w tym pracownik tymczasowy, zastępczy lub kontraktowy Członka Grupy, niezależnie od warunków, wymiaru i typu zatrudnienia.

Inspektor Ochrony Danych na Europę to pracownik powołany przez kierownictwo i podlegający kierownictwu Głównego Członka Grupy, będący też członkiem Globalnego Zespołu Prawnego PayPal ds. Prywatności. Siedziba Inspektora Ochrony Danych na Europę znajduje się w Luksemburgu.

Członek Grupy to podmiot wchodzący w skład Grupy PayPal, który podpisał Porozumienie wewnątrzgrupowe.

IGA oznacza Umowę wewnątrzgrupową zawartą między Głównym Członkiem Grupy a innymi Członkami Grupy PayPal, na mocy której niniejsze Reguły korporacyjne dotyczące Użytkowników są wiążące w Grupie PayPal.

Główny Inspektorat Ochrony Danych to „Commission nationale pour la protection des données” (CNPD) w Luksemburgu.

Główny Członek Grupy oznacza PayPal (Europe) S.à r.l. & Cie, S.C.A., prywatną spółkę z ograniczoną odpowiedzialnością z siedzibą w Luksemburgu.

Globalny Zespół PayPal ds. Prywatności to Globalny Zespół PayPal ds. Prywatności i Zgodności z Przepisami oraz Globalny Zespół Prawny PayPal ds. Prywatności.

Globalny Zespół PayPal ds. Prywatności i Zgodności z Przepisami to członkowie Organizacji ds. Zgodności z Przepisami zajmującej się w szczególności kwestiami związanymi z przestrzeganiem przepisów prawa oraz działaniem programu PayPal dotyczącego prywatności. 

Globalny Zespół Prawny PayPal ds. Prywatności to pracownicy Działu Prawnego zajmujący się kwestiami związanymi z prywatnością i ochroną danych.

Grupa PayPal to spółka PayPal Holdings, Inc. („PayPal”) i wszelkie podmioty pośrednio lub bezpośrednio podlegające Kontrolowaniu przez PayPal, które przetwarzają Dane osobowe Użytkownika, przy czym Kontrolowanie oznacza posiadanie ponad pięćdziesięciu (50) procent głosów w wyborach zarządu spółki lub ponad pięćdziesięciu (50) procent udziałów w przedsiębiorstwie.

Dane osobowe to wszelkie informacje odnoszące się do zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osoba możliwa do zidentyfikowania to taka, którą można zidentyfikować pośrednio lub bezpośrednio, w szczególności poprzez odniesienie do numeru identyfikacyjnego lub co najmniej jednego czynnika charakterystycznego dla jej tożsamości fizycznej, fizjologicznej, umysłowej, ekonomicznej, kulturalnej lub społecznej.

Przetwarzanie to operacja lub zestaw operacji wykonywanych na Danych osobowych, zarówno przy użyciu zautomatyzowanych, jak i tradycyjnych technik, takich jak zbieranie, nagrywanie, porządkowanie, przechowywanie, adaptacja lub modyfikacja, odzyskiwanie, konsultowanie, wykorzystywanie, ujawnianie, ujawnianie przez przekazywanie, rozpowszechnianie, udostępnianie, dostosowywanie, łączenie, blokowanie, usuwanie i niszczenie.

Podmiot przetwarzający to osoba fizyczna lub prawna, która dokonuje Przetwarzania Danych osobowych w imieniu Członka Grupy.

Dane osobowe szczególnej kategorii oznaczają dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, dane biometryczne pozwalające na jednoznaczne zidentyfikowanie osoby fizycznej, informacje o karalności lub informacje dotyczące zdrowia, życia seksualnego lub orientacji seksualnej.

Usługa to witryna internetowa, aplikacja lub inny produkt bądź usługa oferowane Użytkownikowi przez Członka Grupy.

Podmiot zewnętrzny to osoba fizyczna lub prawna, organ administracji państwowej, agencja lub jakikolwiek podmiot inny niż Użytkownik, Członek Grupy oraz osoby, które pod bezpośrednim nadzorem Członka Grupy, takie jak Pracownicy, są upoważnione do przetwarzania Danych osobowych. Termin „Podmiot zewnętrzny" obejmuje Podmioty przetwarzające, które nie są Członkami Grupy.

Użytkownik to były lub obecny lub potencjalny klient Grupy PayPal, inwestor, partner biznesowy lub handlowiec.

Dane osobowe Użytkownika to Dane osobowe odnoszące się do Użytkownika.

Naruszenie ochrony danych osobowych Użytkownika to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do Danych osobowych Użytkownika przesyłanych, przechowywanych lub w inny sposób Przetwarzanych.

Lista Członków Grupy

Podmioty z UE/EOG

Podmioty w Wielkiej Brytanii

Podmioty spoza UE/EOG/Wielkiej Brytanii

Lista krajów

Kraje spoza UE

Wielka Brytania

Unia Europejska