Reguli corporatiste privind utilizatorii PayPal

Obiectivul Grupului PayPal este să aplice standarde uniforme, adecvate și globale de protecție a datelor și de confidențialitate în cazul prelucrării tuturor Datelor cu caracter personal ale utilizatorilor în ansamblul Grupului PayPal.  Aceste reguli corporative ale utilizatorilor se aplică tuturor datelor cu caracter personal ale utilizatorului:

• transferat de la un membru al grupului SEE (în calitate de operator) la un membru al grupului din afara SEE (în calitate de operator sau procesator); și
• transferat ulterior de către un membru al grupului beneficiar din afara SEE în conformitate cu prezentele Reguli corporative ale utilizatorilor către un alt membru al grupului din afara SEE (în calitate de operator sau procesator).

Utilizatorii transmit la nivel global Datele lor cu caracter personal Membrilor Grupului, pentru a utiliza serviciile pe care le oferă Grupul.  Majoritatea Datelor cu caracter personal ale utilizatorilor sunt colectate și stocate în Statele Unite ale Americii.  Activitatea globală a PayPal necesită ca Datele cu caracter personal ale utilizatorilor să fie comunicate altor entități PayPal din Statele Unite ale Americii și la nivel global, acolo unde PayPal este sau intenționează să fie prezentă.

PayPal se angajează să protejeze în mod adecvat Informațiile despre utilizatori, indiferent de locul în care se află Datele cu caracter personal și să asigure protecția adecvată a Datelor cu caracter personal ale utilizatorilor în cazul în care acestea sunt transferate în afara SEE.

O listă a membrilor grupului care sunt supuși acestor reguli corporative pentru utilizatori este stabilită în anexa I. Angajații aflați în jurisdicțiile enumerate în anexa II pot avea acces la datele cu caracter personal ale utilizatorului. Aceste liste se pot schimba pe măsură ce afacerea companiei se extinde.

Domeniul de aplicare material al acestor Reguli este făcut referire la definițiile și secțiunile prezentelor Reguli, cum ar fi secțiunea 12 (Datele cu caracter personal ale utilizatorilor și tipurile de persoane vizate), secțiunea 2.1 pentru tipurile de prelucrare, adică scopurile pentru care sunt prelucrate datele cu caracter personal ale utilizatorului, iar o listă a țărilor este disponibilă în Anexa II.

Regulile corporative ale utilizatorilor devin obligatorii din punct de vedere juridic printr-un acord ("IGA") între PayPal (Europe) S.à r.l. & Cie, S.C.A. ("Membru principal al Grupului") și alți membri ai Grupului PayPal.  IGA impune Membrilor Grupului să respecte aceste Reguli corporatiste privind utilizatorii. Membrii Grupului impun Angajaților lor să respecte aceste Reguli corporatiste privind utilizatorii atunci când tratează Datele cu caracter personal ale utilizatorilor.

Directorii entităților și conducerea superioară a Grupului PayPal răspund pentru asigurarea respectării acestor Reguli corporatiste privind utilizatorii, inclusiv pentru garantarea faptului că Angajații au cunoștință de aceste Reguli corporatiste privind utilizatorii și le respectă.

Responsabilul de confidențialitate pentru conformitate conduce programul de confidențialitate PayPal. Acest responsabil ocupă o funcție de conducere în cadrul PayPal Holdings, Inc. și se subordonează direct directorului de conformitate sau directorului de la cel mai înalt nivel ierarhic care conduce funcția de conformitate în cadrul PayPal.  Responsabilul cu confidențialitatea supraveghează echipa globală de conformitate a confidențialității PayPal și interacționează cu alte organizații sau echipe interne, cum ar fi operațiunile, securitatea informațiilor, conformitatea, riscurile și auditul intern pentru a asigura comunicări, practici și politici de confidențialitate consecvente în cadrul Grupului PayPal la nivel global. Echipa PayPal globală de conformitate în materie de confidențialitate dezvoltă și coordonează punerea în aplicare a strategiei sale de conformitate în ansamblul Grupului PayPal și verifică conformitatea operațională.  Echipa PayPal globală de conformitate în materie de confidențialitate are reprezentanți direcți și indirecți în întregul Grup PayPal, care, printre altele, contribuie la asigurarea respectării Regulilor corporatiste privind utilizatorii și a legilor aplicabile privind protecția datelor.

Responsabilul cu confidențialitatea juridică supraveghează echipa juridică globală de confidențialitate PayPal și raportează direct directorului juridic sau celui mai înalt director executiv care conduce funcția juridică la PayPal. Responsabilul legal de confidențialitate definește obligațiile companiei în conformitate cu legile aplicabile privind protecția datelor și în conformitate cu aceste Reguli corporative pentru utilizatori. Responsabilul juridic de confidențialitate și echipa juridică globală de confidențialitate PayPal lucrează în strânsă coordonare cu responsabilul de confidențialitate și cu echipa globală de confidențialitate PayPal și interacționează cu alte organizații și echipe interne, cum ar fi juridic, operațiuni, securitatea informațiilor și riscuri, pentru a oferi consultanță juridică și a interpreta implicațiile juridice și de reglementare privind evoluția aspectelor de confidențialitate în cadrul Grupului PayPal la nivel global.

Împreună, Echipa globală de conformitate cu confidențialitatea PayPal și Echipa juridică globală de confidențialitate PayPal formează Echipa globală de confidențialitate PayPal.

Responsabilul european cu protecția datelor din Luxemburg este numit de conducerea PayPal (Europe) S. à r.l. et Cie, S.C.A. și se subordonează acesteia. Responsabilul european cu protecția datelor acționează ca persoană de contact principală pentru autoritățile de protecție a datelor din SEE și nu îndeplinește nicio sarcină care ar putea duce la un conflict de interese. Responsabilul european cu protecția datelor are, printre altele, următoarele atribuții: să informeze și să consilieze membrii grupului și angajații acestora, care prelucrează date cu caracter personal, cu privire la obligațiile lor în temeiul legislației privind confidențialitatea pentru a asigura respectarea acestor reguli corporative ale utilizatorilor; să colaboreze cu echipa globală de confidențialitate PayPal pentru a monitoriza respectarea legislației privind confidențialitatea și a politicilor conexe ale membrilor grupului; și să ofere consultanță juridică membrilor grupului, la cerere, în ceea ce privește evaluările impactului privind protecția datelor și punerea în aplicare a acestora. Responsabilul european cu protecția datelor raportează celui mai înalt nivel de conducere și poate informa cel mai înalt nivel de conducere dacă apar întrebări sau probleme în timpul exercitării atribuțiilor sale.

Membrii Grupului respectă următoarele principii de Prelucrare a Datelor cu caracter personal ale utilizatorilor.

2.1 Limitarea scopului

Datele cu caracter personal ale utilizatorilor se Prelucrează doar în scopuri specifice, explicite și legitime.  În special, Datele cu caracter personal ale utilizatorilor pot fi Prelucrate:

• comunica cu utilizatorii în legătură cu serviciile
• oferirea, administrarea și facilitarea furnizării de Servicii la solicitarea Utilizatorilor, inclusiv deschiderea unui cont și administrarea plăților Utilizatorilor;
• îmbunătățirea Serviciilor și dezvoltarea de noi Servicii;
• soluționarea disputelor, gestionarea litigiilor, depanarea problemelor și furnizarea de servicii pentru clienți, inclusiv în scopuri de analiză a datelor, testare, cercetare și statistică;
• efectua managementul riscului;
• să proceseze tranzacțiile și să colecteze comisioanele datorate, inclusiv să dovedească că tranzacțiile au fost executate;
• verifică bonitatea și solvabilitatea;
• să măsoare interesul, feedback-ul și opinia Utilizatorilor cu privire la Servicii și să informeze Utilizatorii despre ofertele, Serviciile și actualizările online și offline;
• personalizarea experiențelor utilizatorilor;
• detectarea și protejarea împotriva erorilor, fraudei și a altor activități infracționale, inclusiv confirmarea identității și informațiilor de contact ale utilizatorului;
• îndeplinirea obligațiilor legale, contractuale sau de reglementare ale Grupului PayPal;
• să aplice termenii și condițiile Serviciului și așa cum este descris altfel Utilizatorilor în momentul colectării și în politica de confidențialitate a Serviciului;
• proteja securitatea, integritatea și disponibilitatea Serviciilor și a rețelei Grupului PayPal;
• protejarea drepturilor și intereselor legale ale Grupului PayPal, inclusiv, dar fără a se limita la, stabilirea, exercitarea sau apărarea împotriva revendicărilor legale sau a procedurilor de colectare;
• să evalueze ce opțiuni și servicii de plată să ofere utilizatorilor, de exemplu prin efectuarea de evaluări interne și externe ale creditului; și
• respectă procedurile interne PayPal.

Prelucrarea datelor cu caracter personal ale utilizatorilor în alte scopuri decât cele de mai sus este supusă aprobării prealabile din partea echipei juridice globale de confidențialitate PayPal.  Atunci când există îndoieli, Membrii Grupului se vor consulta cu Echipa PayPal globală juridică de confidențialitate.

Datele cu caracter personal ale utilizatorului nu vor fi prelucrate ulterior într-un scop secundar într-un mod incompatibil cu scopurile enumerate mai sus, cu excepția cazului în care există un temei legal pentru a face acest lucru în conformitate cu legislația aplicabilă a membrului grupului din SEE responsabil pentru colectarea și/sau transferul datelor cu caracter personal ale utilizatorului (adică entitatea exportatoare).   

2.2 Minimizarea datelor, acuratețea și limitarea stocării

Datele cu caracter personal ale utilizatorilor trebuie:

• să fie exacte și, dacă este necesar, să fie actualizate;
• Adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile pentru care sunt Prelucrate;
•  Păstrate nu mai mult decât este necesar pentru a atinge scopurile pentru care au fost colectate sau prelucrate ulterior; și
• Șterse, șterse, distruse sau anonimizate în conformitate cu politicile PayPal aplicabile, în cazul în care nu mai sunt necesare pentru scopurile pentru care au fost Procesate, cu excepția cazului în care există un temei legal pentru prelucrarea ulterioară sau păstrarea este impusă de legea aplicabilă sau de politicile PayPal aplicabile.

2.3 Temeiuri legale pentru prelucrare și corectitudine

1. Temeiul juridic pentru prelucrarea datelor cu caracter personal ale utilizatorului

Membrii Grupului vor asigura că Datele cu caracter personal ale utilizatorilor sunt Prelucrate în mod echitabil și legal și, în special, pe baza a cel puțin unuia dintre următoarele temeiuri juridice:

• Consimțământul neechivoc, liber, specific și informat al utilizatorului;
• prelucrarea este necesară pentru executarea unui contract la care Utilizatorul este parte sau pentru a face demersuri la cererea Utilizatorului înainte de încheierea unui contract;
• prelucrarea este necesară în vederea îndeplinirii unei obligații legale care le revine Membrilor Grupului;
• Prelucrarea necesară pentru protejarea intereselor vitale ale utilizatorului sau ale altei persoane fizice;
• prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care sunt învestiți Membrii Grupului sau un Terț căruia îi sunt divulgate datele sau
• prelucrarea este necesară în scopul intereselor legitime urmărite de Membrul Grupului sau de Terțul sau Terții cărora le sunt divulgate datele, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale Utilizatorului.

2. Temeiul juridic pentru prelucrarea datelor cu caracter personal din categoria specială a utilizatorilor

În cazul în care este necesară colectarea de date cu caracter personal din categoria specială sau în cazul în care utilizatorii furnizează în mod voluntar astfel de informații, membrii grupului se vor asigura că datele cu caracter personal din categoria specială ale utilizatorilor sunt prelucrate numai pe baza a cel puțin unul dintre următoarele motive:

• consimțământul expres al Utilizatorului;
• prelucrarea este necesară pentru protejarea intereselor vitale ale Utilizatorului sau ale unei alte persoane fizice, atunci când Utilizatorul se află în incapacitate fizică sau juridică de a-și da consimțământul;
• prelucrarea se referă la Date cu caracter personal ale utilizatorilor care sunt făcute publice în mod manifest de către Utilizator sau
• Prelucrarea necesară pentru stabilirea, exercitarea sau apărarea pretențiilor legale sau ori de câte ori instanțele acționează în calitatea lor judiciară.

3. Temeiul juridic pentru prelucrarea care implică luarea automată a deciziilor

În cazul în care un utilizator poate fi supus unei decizii bazate exclusiv pe prelucrarea automată, inclusiv crearea de profiluri, care produce efecte juridice sau semnificative ("Decizie automată"), membrii grupului se vor asigura că decizia automată:

• este necesar pentru încheierea sau executarea unui contract între Utilizator și un Membru al Grupului;
• este autorizată de legislația UE sau a statului membru la care este supus Membrul Grupului și care stabilește, de asemenea, măsuri adecvate pentru a proteja drepturile și libertățile și interesele legitime ale Utilizatorului; sau
• se bazează pe consimțământul explicit al utilizatorului.

În plus, cel puțin în primul și al treilea caz de mai sus, Membrul Grupului va oferi măsuri adecvate pentru a proteja drepturile și libertățile și interesele legitime ale Utilizatorului, cum ar fi oferirea Utilizatorului posibilitatea de a avea un reprezentant al serviciului de asistență pentru clienți care să revizuiască decizia individual și să permită Utilizatorului să-și prezinte punctul de vedere. Reprezentantul serviciului de asistență clienți va trimite cazul la nivelul superior al Responsabilului cu protecția datelor din UE în cazul în care Utilizatorul nu este de acord în continuare cu o Decizie automatizată. Când este cazul, va fi consultat responsabilul legal de confidențialitate și va fi informat responsabilul cu confidențialitatea de conformitate.

2.4 Transparență

Atunci când colectează Date cu caracter personal ale utilizatorilor, Membrii Grupului vor comunica Utilizatorilor:

• Identitatea și datele de contact ale Membrului Grupului responsabil pentru colectarea și prelucrarea inițială;
• Datele de contact ale responsabilului european cu protecția datelor. Detaliile relevante sunt: Responsabilul european cu protecția datelor (DPO) PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, sau online.
• scopurile preconizate ale prelucrării, precum și temeiul juridic pentru prelucrare;
• În cazul în care prelucrarea se bazează pe interese legitime, interesele legitime urmărite de membrul grupului sau de o terță parte
• Destinatarii sau categoriile de destinatari (inclusiv procesatorii) datelor cu caracter personal ale utilizatorului;
• Dacă este cazul, faptul că Membrul Grupului intenționează să transfere Datele cu caracter personal ale utilizatorilor către o țară terță sau o organizație internațională și existența sau absența unei decizii de adecvare din partea Comisiei Europene sau o trimitere la garanțiile adecvate sau adecvate (inclusiv aceste Reguli corporative ale utilizatorilor) în cazul în care acestea sunt invocate și mijloacele prin care se poate obține o copie a acestora sau în cazul în care au fost puse la dispoziție;
• Perioada pentru care vor fi stocate datele cu caracter personal ale utilizatorului sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a determina acea perioadă;
• Existența drepturilor Utilizatorului, inclusiv dreptul de a solicita Membrului Grupului accesul și rectificarea sau ștergerea Datelor cu caracter personal ale Utilizatorului sau restricționarea Prelucrării care îl privește pe Utilizator sau de a se opune Prelucrării, precum și dreptul la portabilitatea datelor;
• În cazul în care prelucrarea se bazează pe consimțământ, existența dreptului de a-și retrage consimțământul în orice moment, fără a afecta legalitatea prelucrării bazate pe consimțământ înainte de retragerea acestuia;
• Dreptul de a depune o plângere la o autoritate de protecție a datelor;
• În cazul în care furnizarea datelor cu caracter personal ale utilizatorului este o cerință legală sau contractuală sau o cerință necesară pentru a încheia un contract, precum și dacă răspunsurile la întrebări sunt obligatorii sau voluntare, precum și posibilele consecințe ale nerăspunsului; și
• În cazul deciziilor automatizate, informații semnificative despre logica implicată, precum și semnificația și consecințele preconizate ale unei astfel de prelucrări pentru utilizator.

Membrii Grupului pot comunica aceste informații printr-o politică de confidențialitate a Serviciului, accesibilă printr-un link și/sau afișată într-un loc vizibil din fiecare site web sau aplicație a Serviciului și în timpul înregistrării.  Obligația de a informa Utilizatorii nu se aplică dacă Utilizatorii cunosc deja informațiile.  

În cazul în care comunicarea informațiilor se dovedește imposibilă sau ar necesita un efort disproporționat, Membrii Grupului pot omite să furnizeze informațiile.  Această posibilitate se referă numai la Datele cu caracter personal ale utilizatorilor care nu au fost obținute direct de la Utilizatori. 

În circumstanțe excepționale, comunicarea unor informații specifice poate fi amânată sau omisă, de exemplu, în contextul investigării unor comportamente ilicite sau în vederea respectării legilor aplicabile sau atunci când comunicarea informațiilor ar putea periclita integritatea investigației.

2.5 Responsabilitate,  confidențialitate și securitate

1. Responsabilitate

Fiecare membru al grupului care acționează în calitate de operator de date va fi responsabil și poate demonstra conformitatea cu Regulile corporative ale utilizatorilor.

Pentru a îmbunătăți conformitatea și atunci când este necesar, se efectuează evaluări ale impactului asupra protecției datelor pentru operațiunile de prelucrare care pot avea ca rezultat un risc ridicat pentru drepturile și libertățile persoanelor fizice. În cazul în care o evaluare a impactului asupra protecției datelor, astfel cum este prevăzută în Regulamentul (UE) 2016/679, indică faptul că prelucrarea ar avea ca rezultat un risc ridicat în absența măsurilor luate de membrul grupului pentru a atenua riscul, autoritatea competentă pentru protecția datelor, înainte de prelucrare, va fi consultată.

Sunt puse în aplicare măsuri tehnice și organizatorice adecvate care sunt concepute pentru a pune în aplicare principiile de protecție a datelor și pentru a facilita respectarea cerințelor stabilite de Regulile corporative ale utilizatorilor în practică (protecția datelor încă din momentul conceperii și în mod implicit).

2. Confidențialitate și securitate

Membrii Grupului utilizează controale de securitate fizice, tehnice și organizatorice, proporționale cu volumul și cu caracterul sensibil al Datelor cu caracter personal ale utilizatorilor, pentru a preveni Prelucrarea neautorizată, inclusiv, dar fără a se limita la accesul neautorizat la Datele cu caracter personal ale utilizatorilor, achiziția și utilizarea, pierderea, distrugerea sau deteriorarea neautorizată a acestora. Membrii grupului folosesc criptarea, firewall-urile, controalele de acces, standardele și alte proceduri pentru a proteja datele personale ale utilizatorilor împotriva accesului neautorizat.  Accesul fizic și logic la fișiere electronice și pe suport de hârtie este restricționat suplimentar, în funcție de responsabilitățile postului și de necesitățile activității.

3. Încălcarea datelor cu caracter personal

În cazul descoperirii unei încălcări a datelor cu caracter personal, astfel cum este definită la articolul 4 alineatul (12), articolul 33 alineatul (1) și articolul 34 alineatul (1) din Regulamentul (UE) 2016/679 GDPR și articolul 33.1, membrul grupului afectat va notifica fără întârzieri nejustificate membrul principal al grupului, responsabilul european cu protecția datelor și alte părți interesate necesare, conform politicilor interne aplicabile. În cazul în care încălcarea securității datelor cu caracter personal este susceptibilă să conducă la un risc ridicat pentru drepturile și libertățile persoanelor fizice, membrul grupului și membrul principal al grupului, în consultare cu responsabilul european cu protecția datelor, informează persoanele vizate afectate și autoritatea pentru protecția datelor, după caz. Încălcările securității datelor cu caracter personal vor fi documentate pentru a înregistra i) faptele legate de încălcarea datelor cu caracter personal, ii) efectele acesteia și iii) sunt enumerate măsurile de remediere întreprinse. Această documentație este furnizată autorității competente pentru protecția datelor, la cererea acesteia.

2.6 Opțiuni și drepturi ale Utilizatorilor

Utilizatorii își pot exercita următoarele drepturi:

• Utilizatorii pot să acceseze și să rectifice majoritatea Datelor cu caracter personal ale utilizatorilor care îi privesc și care sunt menținute de Membrii Grupului, utilizând instrumentului online adecvat sau procesul de autoservire care le este pus la dispoziție prin intermediul site-ului web sau al aplicației Serviciului.
• În toate cazurile, Utilizatorii au dreptul să transmită o solicitare de acces în calitate de persoană vizată, pentru a vizualiza sau a primi o copie a Datelor cu caracter personal ale utilizatorilor care îi privesc și care nu sunt accesibile prin intermediul site-ului web sau al aplicației Serviciului. Se recomandă Utilizatorilor să contacteze serviciul de asistență clienți urmând indicațiile oferite prin intermediul site-ului web sau al aplicației Serviciului.
• De asemenea, Utilizatorii pot solicita rectificarea datelor lor dacă acestea sunt incomplete sau inexacte. Membrii Grupului vor da curs acestei solicitări și vor informa Utilizatorii când datele lor au fost rectificate. Membrii Grupului vor notifica terților cărora le-au fost dezvăluite datele Utilizatorului cu privire la orice rectificare, cu excepția cazului în care acest lucru se dovedește imposibil sau implică un efort disproporționat.
• Utilizatorii își pot exercita dreptul de a obține o revizuire umană a oricărei Decizii automatizate luate de un Membru al Grupului în conformitate cu Secțiunea 2.3 (c).
• Utilizatorii se pot opune prelucrării datelor lor cu caracter personal ale utilizatorului. Membrii Grupului vor da curs acestor solicitări, cu excepția cazului în care păstrarea Datelor cu caracter personal ale utilizatorilor este impusă de legea aplicabilă sau este necesară pentru apărarea Grupului PayPal împotriva acțiunilor în justiție. Utilizatorii vor fi informați cu privire la rezultatul solicitării lor și la măsurile luate de Membrii Grupului.
• De asemenea, Utilizatorii pot solicita închiderea conturilor lor, urmând instrucțiunile oferite prin intermediul site-ului web sau al aplicației Serviciului. De asemenea, aceștia își pot exercita drepturile de restricționare a prelucrării datelor lor cu caracter personal ale utilizatorului sau de ștergere a datelor cu caracter personal ale utilizatorului, în legătură cu o astfel de închidere a contului. Membrii Grupului vor elimina sau vor anonimiza informațiile unui Utilizator dintr-un Serviciu cât mai curând posibil, în funcție de activitatea contului.  În unele cazuri, Membrii Grupului pot să întârzie închiderea unui cont sau să păstreze Datele cu caracter personal ale utilizatorilor pentru a efectua o investigație sau pentru a respecta legea aplicabilă. Membrii Grupului pot să păstreze Informațiile despre utilizatori din conturi închise și pentru a detecta și a preveni fraudele, pentru a încasa orice comision datorat, pentru a soluționa dispute, pentru a depana probleme, pentru a asista orice investigație, pentru a gestiona riscurile, pentru a pune în aplicare termenii și condițiile unui Serviciu, pentru a respecta cerințele legale sau de reglementare și pentru a întreprinde alte acțiuni permise de legea aplicabilă. Datele vor fi păstrate într-o formă care permite identificarea persoanelor vizate doar atât timp cât este necesar pentru scopurile în care au fost colectate datele sau în care sunt prelucrate în continuare și vor fi șterse după ce motivul pentru care au fost păstrate a fost soluționat sau rezolvat.
• Membrii Grupului pot folosi Datele cu caracter personal ale Utilizatorilor pentru a adresa utilizatorilor comunicări bazate pe interesele lor, în conformitate cu legea aplicabilă și exceptând Utilizatorii care au ales să nu primească anumite comunicări.  Utilizatorii care nu doresc să primească comunicări de marketing de la Grupul PayPal vor avea la dispoziție mijloace ușor accesibile pentru a se opune publicității ulterioare, de exemplu, în setările conturilor lor sau urmând instrucțiunile trimise printr-un e-mail sau printr-un link privind comunicarea.

În toate cazurile, Utilizatorii își pot exercita drepturile de mai sus contactând serviciul de asistență pentru clienți. Dacă identitatea unui Utilizator este dificil de verificat, Membrii Grupului pot solicita Utilizatorului să prezinte dovezi suplimentare ale identității. Membrii Grupului vor da curs solicitărilor în termenele prevăzute de legea aplicabilă, cu excepția cazului în care legea aplicabilă prevede o excepție de la această obligație.

2.7 Dezvăluiri și transferuri de date cu caracter personal

Membrii Grupului pot comunica Date cu caracter personal ale utilizatorilor, în cursul obișnuit al activității lor și în sfera lor de activitate, altor Membri ai Grupului din întreaga lume, în scopurile identificate în secțiunea 2.1.

1. Publicări și transferuri către autorități publice externe

În conformitate cu legile, tratatele sau convențiile internaționale aplicabile, Membrii Grupului pot comunica Date cu caracter personal autorităților de aplicare a legii și autorităților de reglementare, atunci când este necesar, într-o societate democratică, pentru a garanta securitatea națională, apărarea, siguranța publică și prevenirea, investigarea, depistarea și urmărirea penală a infracțiunilor și, în special, pentru a se conforma sancțiunilor prevăzute de actele normative internaționale și/sau naționale, cerințelor de raportare fiscală sau cerințelor privind combaterea spălării banilor.

În cazul în care un membru al grupului din afara UE are motive să creadă că legislația aplicabilă îi împiedică entitatea respectivă să își îndeplinească obligațiile în temeiul Regulilor corporative ale utilizatorilor, cu un efect substanțial asupra garanțiilor oferite de Reguli, membrul grupului din afara UE va informa cu promptitudine (cu excepția cazului în care este interzis) membrul principal al grupului și/sau responsabilul european cu protecția datelor. Aceasta include dacă:

1. primește o solicitare obligatorie din punct de vedere juridic din partea unei autorități publice din afara UE pentru divulgarea datelor cu caracter personal ale utilizatorilor transferate în temeiul prezentului Regulament corporativ al utilizatorului, caz în care membrul grupului din afara UE va furniza (cu excepția cazului în care este interzis) membrului principal al grupului și/sau responsabilului european cu protecția datelor cu caracter personal informații despre datele cu caracter personal ale utilizatorului solicitate, autoritatea publică terță solicitantă; temeiul juridic al cererii și răspunsul furnizat;
2. ia cunoștință de orice acces direct al autorităților publice din afara UE la datele cu caracter personal ale utilizatorilor transferate în conformitate cu Regulile corporative ale utilizatorilor, caz în care membrul grupului din afara UE va furniza (cu excepția cazului în care este interzis) membrului principal al grupului și/sau responsabilului european cu protecția datelor informațiile cunoscute de membrul grupului din afara UE.

În cazul în care, în cazuri specifice, suspendarea și/sau notificarea sunt interzise, membrul grupului solicitat se străduiește să obțină dreptul de a renunța la această interdicție pentru a comunica cât mai multe informații și cât mai curând posibil. Membrul grupului din afara UE va examina legalitatea fiecărei cereri de divulgare din partea unei autorități publice din afara UE pentru a evalua dacă aceasta se încadrează în competențele acordate autorității respective și va contesta cererea în caz contrar. Acesta va documenta și va păstra o evidență a revizuirii sale și, cu excepția cazului în care este interzisă, o va pune la dispoziția membrului grupului principal și/sau a responsabilului european cu protecția datelor. De asemenea, acesta îl va pune la dispoziția autorităților competente pentru protecția datelor, la cerere.

Membrul grupului din afara UE va furniza cantitatea minimă de informații permisă atunci când răspunde la o solicitare de divulgare din partea unei autorități publice din afara UE, pe baza unei interpretări rezonabile a cererii.

Membrii grupului nu pot transfera datele cu caracter personal ale utilizatorilor către o autoritate publică non-UE într-un mod masiv, disproporționat și nediferențiat, care ar depăși ceea ce este necesar într-o societate democratică.

2. Dezvăluirea datelor cu caracter personal către o persoană împuternicită de operator

Atunci când membrii grupului transferă datele cu caracter personal ale utilizatorului către un procesator, persoana împuternicită de operator va fi supusă unei evaluări a riscurilor de confidențialitate, protecție a datelor și securitatea informațiilor înainte de inițierea activității și înainte de orice transfer de date cu caracter personal ale utilizatorului.  Domeniul de aplicare al evaluării va varia în funcție de sensibilitatea datelor cu caracter personal ale utilizatorului prelucrate. Evaluarea confidențialității, protecției datelor și securității informațiilor nu este obligatorie pentru procesatorii care au fost deja supuși unei astfel de evaluări sau care sunt membri ai grupului, cu excepția cazului în care activitățile de prelucrare implică activități cu risc ridicat, ținând cont de natura și cantitatea datelor cu caracter personal și de tipul de activități de prelucrare în cauză.

Procesatorii, inclusiv un membru al grupului care intervine în calitate de procesator, trebuie să încheie un acord cu membrul relevant al grupului care va acționa în calitate de operator al datelor cu caracter personal ale utilizatorului pentru a oferi măsuri adecvate de confidențialitate, protecție a datelor și securitatea informațiilor. Un astfel de acord conține clauze care asigură utilizarea adecvată a Datelor cu caracter personal ale utilizatorilor și măsuri de securitate proporționale cu volumul, natura și caracterul sensibil al Datelor cu caracter personal ale utilizatorilor care sunt vizate. 

Garanțiile contractuale trebuie să acopere cel puțin următoarele aspecte:

• cerințe de a respecta legea și de a Prelucra Datele cu caracter personal ale utilizatorilor numai în conformitate cu termenii acordului și cu instrucțiunile Membrilor respectivi ai Grupului;
• Asigurarea că persoanele autorizate să prelucreze datele cu caracter personal ale utilizatorului s-au angajat să respecte confidențialitatea sau se află sub o obligație legală adecvată de confidențialitate;
• Asigurarea că nu se efectuează nicio angajare prealabilă a unui alt procesator fără autorizația prealabilă scrisă specifică sau generală a Membrului Grupului și în cazul în care acesta respectă aceleași garanții contractuale atunci când angajează el însuși un alt procesator.
• măsuri tehnice și organizatorice adecvate, adaptate la caracterul sensibil al Datelor cu caracter personal ale utilizatorilor și la Prelucrarea respectivă;
• Asistența acordată Membrului Grupului prin măsuri tehnice și organizatorice adecvate, în măsura în care acest lucru este posibil, pentru îndeplinirea obligației Membrului Grupului de a răspunde solicitărilor de exercitare a drepturilor persoanei vizate;
• Obligații de notificare a încălcării securității, cum ar fi notificarea PayPal prompt în scris, fără întârzieri nejustificate, după ce a luat cunoștință de o încălcare a securității.
• La alegerea membrului grupului divulgator, ștergerea sau returnarea tuturor datelor cu caracter personal membrului grupului respectiv după încheierea furnizării serviciilor legate de prelucrare și ștergerea copiilor existente, cu excepția cazului în care dreptul Uniunii sau al statului membru impune stocarea datelor cu caracter personal;
• dreptul de a audita respectarea garanțiilor contractuale de către Persoana împuternicită de operator;
• dispoziții privind remedierea în caz de nerespectare de către Persoana împuternicită de operator a obligațiilor sale legale sau contractuale.

Acordurile trebuie să conțină dispoziții care să asigure că nerespectarea termenilor acordului poate avea ca rezultat suspendarea sau rezilierea acordului, printre alte drepturi la acțiune identificate în acord.

3. Dezvăluirea datelor cu caracter personal către terțe părți

În cazul în care membrii grupului transferă date cu caracter personal ale utilizatorilor din SEE către terțe părți (inclusiv persoane împuternicite de operator care nu sunt membre ale grupului situate într-o țară din afara SEE care (i) nu oferă niveluri adecvate de protecție (în sensul Regulamentului general privind protecția datelor al UE) și (ii) nu are alte mecanisme care ar îndeplini cerințele UE privind caracterul adecvat al nivelului de adecvare, membrul grupului se asigură că partea terță implementează garanții contractuale adecvate; cum ar fi clauzele contractuale standard aprobate de Comisia Europeană, care oferă niveluri de protecție proporționale cu aceste Reguli corporative ale utilizatorilor sau, alternativ, asigură că transferul (i) are loc cu consimțământul explicit al Utilizatorului, (ii) este necesar pentru încheierea sau executarea unui contract încheiat cu Utilizatorul, (iii) este necesar sau necesar din punct de vedere legal din motive importante de interes public, (iv) este necesar pentru a proteja interesele vitale ale Utilizatorului; sau (v) este necesar pentru exercitarea, stabilirea sau apărarea drepturilor în instanță.

2.8 Evaluări ale impactului transferului

Membrii vor evalua (și vor monitoriza în permanență) dacă legile sau practicile țărilor terțe împiedică respectarea prezentului Regulament corporativ al utilizatorilor. Aceste evaluări iau în considerare:

• Circumstanțele specifice ale transferurilor sau ale setului de transferuri și ale oricăror transferuri ulterioare avute în vedere în aceeași țară terță sau către o altă țară terță, inclusiv:
• scopurile pentru care sunt transferate și prelucrate datele (de exemplu, marketing, resurse umane, stocare, asistență IT, studii clinice);
• tipurile de entități implicate în prelucrare (importatorul de date și orice alt destinatar al oricărui transfer ulterior);
• sectorul economic în care are loc transferul sau setul de transferuri;
• categoriile și formatul datelor cu caracter personal transferate;
• locația prelucrării, inclusiv depozitarea; și
• canalele de transmisie utilizate;
• Legile și practicile țării terțe de destinație relevante în funcție de circumstanțele transferului, inclusiv cele care impun divulgarea datelor autorităților publice sau autorizează accesul acestor autorități și cele care asigură accesul la aceste date în timpul tranzitului dintre țara exportatorului de date și țara importatorului de date; și
• Orice garanții contractuale, tehnice sau organizatorice relevante puse în aplicare pentru a completa garanțiile în conformitate cu Regulile corporative ale utilizatorului, inclusiv măsurile aplicate în timpul transmiterii și prelucrării datelor cu caracter personal ale utilizatorului în țara de destinație.

În cazul în care nu poate fi asigurată o protecție adecvată, transferurile trebuie suspendate sau încheiate. Evaluările sunt documentate și puse la dispoziția autorităților de protecție a datelor, la cerere.

2.9 Solicitări ale autorităților publice

Importatorii informează membrul principal al grupului, la cerere, cu privire la cererile de acces ale autorităților publice. Aceștia contestă în mod rezonabil secretul sau cererile ilegale, reduc la minimum divulgarea și înregistrează acțiunile.

În cazul în care Utilizatorii consideră că Datele lor cu caracter personal au fost prelucrate cu încălcarea Regulilor corporative ale utilizatorilor, aceștia pot raporta problemele funcției de servicii pentru clienți a Membrului Grupului relevant prin intermediul site-ului web al Serviciului relevant, prin e-mail sau după cum este indicat în alt mod în termenii și condițiile aplicabile.  În general, Utilizatorii pot găsi răspunsuri la cele mai frecvente întrebări și motive de îngrijorare legate de confidențialitate tastând cuvântul „confidențialitate” în secțiunea de ajutor a serviciului relevant, care, de obicei, va direcționa Utilizatorul către o anumită pagină sau politică privind confidențialitatea.  Secțiunea „ajutor” a serviciului relevant este punctul de intrare unic pentru toate interogările Utilizatorilor referitoare la confidențialitatea lor sau la prelucrarea Informațiilor despre utilizatori care îi privesc și oferă Utilizatorilor posibilitatea să contacteze serviciul de asistență clienți. 

În caz de îndoială cu privire la canalul pe care să îl utilizeze pentru a raporta problemele legate de confidențialitate, Utilizatorii pot contacta Responsabilul European cu Protecția Datelor Online.

Serviciul de asistență clienți investighează și încearcă să soluționeze motivele de îngrijorare semnalate de Utilizatori. Angajații care au sarcina să soluționeze motivele de îngrijorare legate de confidențialitate colaborează îndeaproape cu Echipa PayPal globală de confidențialitate și răspund Utilizatorilor în conformitate cu politicile, procedurile și îndrumările PayPal. Dacă Utilizatorii consideră că motivele lor de îngrijorare nu au fost soluționate adecvat sau nu au primit răspuns, pot solicita ca motivele lor de îngrijorare să fie trimise către nivelul superior al Responsabilului european cu protecția datelor. Responsabilul juridic de confidențialitate va fi consultat și va fi informat responsabilul de confidențialitate de conformitate. Căile de trimitere a cazurilor la nivelul superior se stabilesc pe baza naturii și a obiectului motivului de îngrijorare și vor fi transmise fără întârziere echipei corespunzătoare.  Utilizatorul va primi răspuns la reclamație într-un termen rezonabil și, în orice caz, în termen de trei (3) luni de la data interogării, cu excepția circumstanțelor neobișnuite sau a întrebărilor complexe, când Utilizatorul va fi informat că primirea răspunsului va dura mai mult de trei (3) luni.

Mecanismul de soluționare a reclamațiilor nu aduce atingere dreptului utilizatorilor de a depune plângeri în fața autorităților competente de protecție a datelor sau a instanțelor judecătorești. În special, Utilizatorii pot depune o reclamație:

• în fața unei autorități competente pentru protecția datelor, în special în statul membru în care utilizatorii își au reședința obișnuită, locul de muncă sau locul presupusei încălcări; și
• în fața instanței competente din statele membre în care Membrul Grupului care este Operatorul sau Persoana Împuternicită de Operator al Datelor cu Caracter Personal ale Utilizatorului are o sediu sau în care Utilizatorul își are reședința obișnuită.

Utilizatorii SEE care suspectează o încălcare a Regulilor corporative ale utilizatorilor în afara SEE au dreptul la executare judiciară și dreptul de a obține despăgubiri și, după caz, despăgubiri în cazul oricărei încălcări a unuia dintre elementele executorii ale Regulilor corporative ale utilizatorilor în calitate de beneficiari terți, și în special pentru secțiunile 2, 3, 4, 7, 8 și 9 din Regulile corporative de utilizare în fața autorităților competente de protecție a datelor sau în fața instanțelor în conformitate cu Secțiunea 3. Aceste drepturi de executare se adaugă altor căi de atac sau drepturi furnizate de PayPal sau disponibile în conformitate cu legislația aplicabilă.

Deși nu este obligatoriu, Utilizatorii din SEE sunt încurajați să raporteze motivele lor de îngrijorare direct Membrului Grupului înainte de a se adresa Autorităților de protecție a datelor sau instanțelor.  Astfel, Grupul PayPal are posibilitatea să furnizeze un răspuns eficient și prompt și se reduc la minimum întârzierile care pot fi cauzate de procedurile Autorităților de protecție a datelor sau ale instanțelor judecătorești.

PayPal Europe S.à r.l. et Cie, S.C.A., o societate luxemburgheză cu răspundere limitată, își asumă responsabilitatea și este de acord să supravegheze respectarea de către membrii grupului a Regulilor corporative ale utilizatorilor.  Membrul principal al Grupului se angajează (i) să ia măsurile necesare pentru a remedia o încălcare comisă de Membrii Grupului în afara SEE și (ii) să plătească Utilizatorilor din SEE despăgubirile acordate de Autoritatea principală de protecție a datelor sau de instanțele din Luxemburg pentru orice daună care rezultă direct din încălcarea Regulilor corporatiste privind utilizatorii de către Membrii Grupului din afara SEE, în cazul în care Membrul relevant al Grupului nu este în măsură sau nu este dispus să plătească despăgubirea sau să se supună hotărârii autorității sau a instanței. 

Membrul principal al Grupului confirmă și acceptă că îi revine sarcina probei în ceea ce privește presupusele încălcări ale Regulilor corporatiste privind utilizatorii.

Membrul principal al grupului (sau orice alt membru al grupului) nu va fi răspunzător dacă demonstrează în mod rezonabil, pe baza faptelor disponibile și ținând cont de comentariile utilizatorului, că membrul grupului din afara SEE nu a încălcat regulile corporative ale utilizatorului sau nu este responsabil pentru niciun prejudiciu pretins de utilizator.

Membrii Grupului vor asigura că toți Angajații care Prelucrează Date cu caracter personal ale utilizatorilor, precum și Angajații implicați în conceperea de instrumente care vor fi utilizate pentru a colecta sau a prelucra Date cu caracter personal ale utilizatorilor beneficiază de instruire de conștientizare în materie de confidențialitate și securitate a informațiilor, pentru a accentua și a informa Angajații cu privire la necesitatea de a proteja și securiza Datele cu caracter personal ale utilizatorilor, în conformitate cu prezentele Reguli corporatiste privind utilizatorii. 

Angajații au obligația să urmeze anual cursurile de instruire online privind conformitatea, concentrate asupra Codului de conduită și etică în afaceri, care conține o secțiune despre protecția datelor.  Noii angajați au obligația să urmeze cursul de instruire online privind conformitatea la începutul activității lor.

Pe lângă acest curs de instruire online privind conformitatea, Echipa PayPal globală de confidențialitate și Responsabilul european cu protecția datelor efectuează instruiri privind confidențialitatea și securitatea informațiilor, pentru a accentua și a informa Angajații cu privire la necesitatea de a proteja și securiza Datele cu caracter personal. Aceste instruiri se realizează anual sau mai frecvent, dacă este necesar.

Instruirea de care beneficiază Angajații va fi adaptată la nivelul lor de acces la Datele cu caracter personal ale utilizatorilor, iar Angajații cu niveluri de acces superioare vor beneficia de instruire suplimentară. 

Membrii Grupului vor informa Angajații că nerespectarea prezentelor Reguli corporatiste privind utilizatorii poate avea ca rezultat măsuri disciplinare și alte măsuri permise de legea aplicabilă.  Angajații au la dispoziție în permanență, prin rețeaua Intranet a societății, un exemplar al prezentelor Reguli corporatiste privind utilizatorii, precum și alte politici și proceduri relevante privind confidențialitatea și securitatea. Regulile corporatiste privind utilizatorii sunt, de asemenea, incluse în Codul de conduită și etică în afaceri, pe care toți Angajații au obligația să îl consulte și sunt de acord să îl respecte. 

Pentru a asigura conformitatea cu aceste Reguli corporative ale utilizatorilor, Echipa globală de conformitate a confidențialității PayPal verifică în mod continuu activitățile și practicile de prelucrare a datelor cu caracter personal ale utilizatorilor. Aceste activități sunt coordonate în strânsă colaborare cu Responsabilul european cu protecția datelor. Aceste activități au loc periodic și cel puțin anual și ajută la evaluarea conformității cu Regulile corporative ale utilizatorilor.

Echipa de Audit intern este un consilier independent și obiectiv al conducerii și al Consiliului de administrație, care, prin intermediul comitetului de audit, comunică constatările de audit Consiliului de administrație, responsabililor cu confidențialitatea și Responsabilului european cu protecția datelor. 

Echipa de Audit intern poate verifica periodic activitățile sau practicile identificate de Echipa globală de confidențialitate. Echipa de audit intern, responsabilii cu confidențialitatea și responsabilul european cu protecția datelor vor solicita, dacă este necesar, executarea unui plan de acțiune pentru a asigura conformitatea cu aceste reguli corporative pentru utilizatori. În măsura în care grupurile interne nu rezolvă problemele în mod adecvat, Grupul poate numi auditori externi independenți care să furnizeze soluții suplimentare.

Responsabilul european cu protecția datelor, Echipa PayPal globală de conformitate în materie de confidențialitate sau echipele de audit intern și auditorii externi elaborează planuri și grafice de audit detaliate, pe baza riscurilor asociate Prelucrării.

Rezultatele auditului de confidențialitate vor fi disponibile autorităților competente de protecție a datelor, la cerere.

Deoarece cerințele legale referitoare la protecția datelor variază în întreaga lume, Regulile corporatiste privind utilizatorii stabilesc un set coerent de cerințe, pentru a asigura Prelucrarea adecvată a Datelor cu caracter personal ale utilizatorilor. Regulile corporatiste privind utilizatorii constituie o cerință de referință care trebuie respectată de Membrii Grupului, însă aceștia vor respecta legile aplicabile care pot impune standarde mai stricte decât cele prevăzute în prezentele Reguli corporatiste.

Nicio dispoziție din prezentele Reguli corporatiste privind utilizatorii nu afectează obligațiile Membrilor Grupului prevăzute de dreptul bancar aplicabil, în special cele referitoare la secretul bancar.   Dacă există conflicte între legea aplicabilă și prezentele Reguli corporatiste privind utilizatorii, care ar putea să împiedice un Membru al Grupului să își îndeplinească obligațiile prevăzute în prezentele Reguli corporatiste privind utilizatorii și care au efecte semnificative asupra garanțiilor prevăzute în acestea, Membrul Grupului va notifica de îndată Responsabilul european cu protecția datelor, cu excepția cazurilor în care furnizarea acestor informații este interzisă de o autoritate de aplicare a legii sau de lege.  Responsabilul european cu protecția datelor, responsabilii cu confidențialitatea și Membrul principal al Grupului vor stabili măsurile adecvate și, în caz de îndoială, se vor consulta cu Autoritatea de protecție a datelor competentă.

Membrii Grupului vor coopera și se vor asista reciproc pentru a trata solicitările sau reclamațiile Utilizatorilor având ca obiect prezentele Reguli corporatiste privind utilizatorii.

Membrii Grupului vor răspunde cu diligență și în mod corespunzător la solicitările Autorităților de protecție a datelor referitoare la Regulile corporatiste privind utilizatorii.  Dacă un Angajat primește o astfel de solicitare de la o Autoritate de protecție a datelor, Angajatul trebuie să informeze imediat Responsabilul european cu protecția datelor.   

Membrii Grupului vor coopera în cadrul anchetelor Autorităților de protecție a datelor competente din SEE și vor accepta auditurile efectuate de acestea în ceea ce privește respectarea prezentelor Reguli corporatiste privind utilizatorii și vor respecta deciziile acestor Autorități, în conformitate cu legea aplicabilă și cu respectarea garanțiilor procedurale.

Membrii grupului vor respecta sfaturile autorităților de protecție a datelor cu privire la aspectele legate de Regulile corporative ale utilizatorilor. Orice litigiu legat de exercitarea de către o autoritate competentă pentru protecția datelor a supravegherii respectării regulilor corporative pentru utilizatori va fi soluționat de instanțele din statul membru al autorității pentru protecția datelor respectivă, în conformitate cu dreptul procedural al statului membru respectiv. Membrii grupului sunt de acord să se supună jurisdicției acestor instanțe.

PayPal își rezervă dreptul de a modifica aceste Reguli corporative pentru utilizatori după cum este necesar, de exemplu, pentru a respecta modificările legilor, regulilor, reglementărilor, practicilor, procedurilor și structurii organizaționale PayPal aplicabile sau cerințelor impuse de autoritățile relevante de protecție a datelor.

Echipa juridică globală de confidențialitate PayPal (sub conducerea responsabilului juridic cu confidențialitatea) va propune orice modificări necesare ale acestor Reguli corporative ale utilizatorilor. Echipa globală de conformitate a confidențialității PayPal (sub conducerea responsabilului cu confidențialitatea în materie de conformitate) și responsabilul european cu protecția datelor trebuie să aprobe toate modificările aduse Regulilor corporative ale utilizatorilor și vor urmări toate modificările aduse Regulilor corporative ale utilizatorilor, precum și orice modificare a listei membrilor grupului. Membrii Grupului vor raporta Autorităților relevante de protecție a datelor modificările aduse Regulilor corporatiste privind utilizatorii în vederea aprobării oficiale și conform cerințelor legii aplicabile.

Membrul principal al Grupului se va consulta cu Autoritatea principală de protecție a datelor cu privire la modificările semnificative ale Regulilor corporatiste privind utilizatorii, care ar afecta conformitatea cu cerințele de protecție a datelor sau funcționarea Regulilor corporatiste privind utilizatorii.  Membrul principal al grupului va comunica modificările semnificative ale Regulilor corporative ale utilizatorilor și modificările aduse listei membrilor grupului cel puțin o dată pe an autorității principale pentru protecția datelor. În cazul în care o modificare substanțială este în detrimentul nivelului de protecție oferit de aceste Reguli corporative ale utilizatorilor sau ar afecta în mod semnificativ Regulile corporative ale utilizatorilor (de exemplu, modificări ale caracterului său obligatoriu sau modificări ale Membrului principal al grupului), astfel de modificări vor fi comunicate în prealabil Autorității principale pentru protecția datelor, cu o scurtă explicație a motivelor actualizării, astfel încât autoritatea principală de protecție a datelor să poată evalua împreună cu alte autorități competente de protecție a datelor dacă modificările necesită o nouă aprobare.

Echipele globale de confidențialitate PayPal vor colabora pentru a sprijini responsabilul european cu protecția datelor, care, în special, va coordona răspunsurile și va aborda prompt comentariile, sugestiile sau obiecțiile cu privire la modificările ridicate de autoritatea principală pentru protecția datelor în numele PayPal. Orice observație, sugestie sau obiecție formulată de alte Autorități de protecție a datelor va fi comunicată Responsabilului european cu protecția datelor de către Autoritatea principală de protecție a datelor, care va acționa în numele celorlalte Autorități de protecție a datelor.  

Modificările aduse Regulilor corporatiste privind utilizatorii se vor aplica tuturor Membrilor Grupului la data punerii efective în aplicare. Echipa globală de confidențialitate PayPal și responsabilul european cu protecția datelor vor informa membrii grupului cu privire la modificările aduse Regulilor corporative ale utilizatorilor înainte de implementare. Membrii Grupului vor comunica Utilizatorilor o înștiințare referitoare la modificările semnificative ale Regulilor corporatiste privind utilizatorii, în conformitate cu preferințele Utilizatorului de folosire a Serviciului, fie prin e-mail în masă, fie prin postare pe site-uri web, avertizând clar utilizatorii, în avans, că Regulile privind Utilizatorii s-au modificat. Membrii Grupului vor publica Regulile corporatiste privind utilizatorii revizuite pe site-urile web externe selectate sau în aplicațiile accesibile Utilizatorilor.  Revizuirile aduse Regulilor corporative pentru utilizatori intră în vigoare în termen de două luni de la notificarea utilizatorilor de către membrii grupului și publicarea Regulilor corporative pentru utilizatori revizuite.

Nu se face niciun transfer către un nou membru al grupului până când noul membru al grupului BCR nu este efectiv obligat să respecte Regulile corporative ale utilizatorului și poate asigura conformitatea.

Regulile corporatiste privind utilizatorii vor fi publicate și un link va fi pus la dispoziție pe site-ul web sau în aplicațiile Serviciului.  Acestea vor fi disponibile în principalele limbi ale UE. Utilizatorii pot solicita o copie de la Responsabilul European cu Protecția Datelor (DPO), PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg sau online.

Data intrării în vigoare: Data publicării

Contact: Utilizatorii pot transmite orice întrebare sau nelămurire referitoare la prezentele Reguli corporatiste privind utilizatorii contactând:

Responsabilul european cu protecția datelor (DPO)

PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg sau contactându-PayPal la următorul link: https://www.paypal.com.resource.data-analyze.v1.endpoints-api.com/uk/cshelp/contact-us/privacy

Membrii grupului interpretează normele corporative privind utilizatorii într-un mod care este cel mai în concordanță cu conceptele de bază ale principiilor Regulamentului (UE) 2016/679 sau ale oricărei legislații UE care înlocuiește.

În scopurile prezentelor Reguli corporatiste privind utilizatorii, se aplică definițiile următoare:

Consiliu de administrație înseamnă consiliul de administrație al Membrului principal al Grupului.

Operator înseamnă persoana juridică care, singură sau împreună cu alții, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal.

Autoritățile de protecție a datelor înseamnă autoritățile publice independente care supraveghează, prin competențe de investigare și corectare, aplicarea legii privind protecția datelor, în conformitate cu capitolul VI din Regulamentul (UE) 2016/679 și cu alte legi naționale relevante.

SEE înseamnă Spațiul Economic European, care cuprinde, în prezent, statele membre ale UE, Islanda, Liechtenstein și Norvegia.

Angajat înseamnă angajați, lucrători, stagiari și alți angajați sau membri ai personalului, inclusiv lucrători potențiali sau temporari, forță de muncă alternativă sau contractanți ai unui Membru al Grupului, indiferent dacă sunt angajați sau contractați cu normă întreagă sau cu fracțiune de normă și indiferent de tipul de angajare sau contractare.

Responsabilul european cu protecția datelor (DPO) înseamnă angajatul care este numit de conducerea Membrului principal al Grupului și se subordonează acesteia, fiind, de asemenea, membru al Echipei PayPal globale juridice de confidențialitate. DPO european se află în Luxemburg.

Membru al Grupului înseamnă o entitate din Grupul PayPal care a încheiat un exemplar al IGA.

IGA înseamnă Acordul intragrup dintre Membrul Principal al Grupului și alți Membri ai Grupului PayPal, care conferă acestor Reguli corporative pentru utilizatori efect obligatoriu în cadrul Grupului PayPal.

Autoritatea principală de protecție a datelor înseamnă „Commission nationale pour la protection des données” (Comisia națională de protecție a datelor) („CNPD") din Luxemburg.

Membru principal al grupului înseamnă PayPal (Europe) S.à r.l. & Cie, S.C.A., o societate luxemburgheză cu răspundere limitată.

Echipa PayPal globală de confidențialitate înseamnă Echipa PayPal globală de conformitate în materie de confidențialitate și Echipa PayPal globală juridică de confidențialitate, coordonate.

Echipa PayPal globală de conformitate în materie de confidențialitate înseamnă membrii Organizației de conformitate care se ocupă în mod specific de conformitate și de funcționarea programului de confidențialitate PayPal. 

Echipa PayPal globală juridică de confidențialitate înseamnă membrii Departamentului juridic care se ocupă în mod specific de confidențialitate și de protecția datelor.

Grupul PayPal înseamnă PayPal Holdings, Inc. ("PayPal") și orice entitate controlată direct sau indirect de PayPal care prelucrează datele cu caracter personal ale utilizatorilor, în cazul în care controlul înseamnă deținerea a mai mult de cincizeci la sută (50%) din puterea de vot pentru a alege directorii companiei sau mai mare de cincizeci la sută (50%) din participația în capitalurile comerciale ale companiei.

Date cu caracter personal înseamnă orice informații privind o persoană fizică identificată sau identificabilă; o persoană identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un număr de identificare sau la unul sau mai mulți factori specifici identității sale fizice, fiziologice, psihice, economice, culturale sau sociale.

Prelucrare înseamnă orice operațiune sau set de operațiuni efectuate asupra Datelor cu caracter personal, indiferent dacă acest lucru este realizat sau nu pe căi automate, cum ar fi colectarea, înregistrarea, organizarea, stocarea, adaptarea sau modificarea, recuperarea, consultarea, utilizarea, divulgarea prin transmitere, difuzare sau punere la dispoziție în alt mod, alinierea sau combinarea, blocarea, ștergerea sau distrugerea.

Persoană împuternicită de operator înseamnă orice persoană fizică sau juridică care Prelucrează Date cu caracter personal în numele unui Membru al Grupului.

Categorii speciale Date cu caracter personal înseamnă date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, convingerile religioase sau filozofice, apartenența la un sindicat, date genetice, date biometrice în scopul identificării unice a unei persoane fizice, informații referitoare la infracțiuni sau informații privind sănătatea, viața sexuală sau orientarea sexuală.

Serviciu înseamnă un site web, o aplicație sau alt produs sau serviciu oferit de un membru al grupului pentru utilizare de către un utilizator.

Terță parte înseamnă orice persoană fizică sau juridică, autoritate publică, agenție sau orice alt organism, altul decât Utilizatorul, Membrul Grupului și persoanele care, sub autoritatea directă a Membrului Grupului, cum ar fi Angajații, sunt autorizate să Prelucreze Date cu Caracter Personal. Termenul "terță parte" include procesatorii care nu sunt membri ai grupului.

Utilizator înseamnă clienți, potențiali, investitori, parteneri de afaceri și comercianți foști și existenți ai Grupului PayPal.

Date cu caracter personal ale utilizatorilor înseamnă Date cu caracter personal care se referă la Utilizatori.

Încălcarea datelor cu caracter personal ale utilizatorului înseamnă o încălcare a securității care duce la distrugerea, pierderea, modificarea, dezvăluirea neautorizată sau accesul neautorizat la datele cu caracter personal ale utilizatorului transmise, stocate sau prelucrate în alt mod.

Lista membrilor grupului

Entități UE/SEE

Entități din Regatul Unit

Entități din afara UE/SEE/Regatul Unit

Lista țărilor

Țări non-UE

Regatul Unit

UE