Bedrijfsregels voor PayPal-Gebruikers

Het doel van de PayPal-groep is om uniforme, adequate en mondiale standaarden op het gebied van gegevensbescherming en privacy toe te passen voor de behandeling van alle Persoonsgegevens van Gebruikers in de gehele PayPal-groep.  Deze Bedrijfsregels voor Gebruikers zijn van toepassing op alle Persoonsgegevens van Gebruikers:

• overgedragen van een EER-groepslid (als Verwerkingsverantwoordelijke) naar een niet-EER-groepslid (als Verwerkingsverantwoordelijke of Verwerker); en
• verder worden overgedragen door een ontvangend niet-EER-groepslid onder deze Bedrijfsregels voor Gebruikers aan een ander niet-EER-groepslid (als Verwerkingsverantwoordelijke of Verwerker).

Gebruikers wereldwijd verstrekken hun Persoonsgegevens aan Groepsleden om gebruik te maken van de services die de Groep biedt.  De meeste Persoonsgegevens van Gebruikers worden verzameld en opgeslagen in de Verenigde Staten.  In verband met de mondiale activiteiten van PayPal dienen Persoonsgegevens van Gebruikers te worden gedeeld met andere PayPal-entiteiten in de Verenigde Staten en wereldwijd waar PayPal momenteel aanwezig is of van plan is aanwezig te zijn.

PayPal stelt alles in het werk om de gegevens van Gebruikers afdoende te beschermen, ongeacht waar deze zich bevinden, en om afdoende bescherming te blijven bieden voor de Persoonsgegevens van Gebruikers als deze naar locaties buiten de EER worden overgedragen.

Een lijst van Groepsleden die onderworpen zijn aan deze Bedrijfsregels voor Gebruikers is opgenomen in Bijlage I. Medewerkers die zich in de in Bijlage II vermelde rechtsgebieden bevinden, kunnen toegang hebben tot Persoonsgegevens van Gebruikers. Deze lijsten kunnen veranderen naarmate de activiteiten van het bedrijf zich uitbreiden.

Het materiële toepassingsgebied van deze Regels wordt verwezen in de definities en secties van deze Regels, zoals in paragraaf 12 (Persoonsgegevens van Gebruikers en soorten betrokkenen), paragraaf 2.1 voor de soorten verwerking, d.w.z. de doeleinden waarvoor Persoonsgegevens van Gebruikers worden verwerkt, en een lijst van landen is beschikbaar in Bijlage II.

De Bedrijfsregels voor Gebruikers worden wettelijk bindend gemaakt door een overeenkomst (de 'IGA') tussen PayPal (Europe) S.à r.l. & Cie, S.C.A. ('Leidend groepslid') en andere entiteiten van de PayPal-groep.  De IGA verplicht Groepsleden om deze Bedrijfsregels voor Gebruikers na te leven. Groepsleden verplichten hun Medewerkers om deze Bedrijfsregels voor Gebruikers na te leven wanneer zij Persoonsgegevens van Gebruikers Verwerken.

De bedrijfsleiders en het senior management van de PayPal-groep zijn verantwoordelijk voor het toezicht op de naleving van deze Bedrijfsregels voor Gebruikers en dienen ervoor te zorgen dat medewerkers zich bewust zijn van deze Bedrijfsregels voor Gebruikers en deze naleven.

Het Hoofd Privacynaleving stuurt het privacyprogramma van PayPal aan. Hij/zij heeft een senior functie binnen PayPal Holdings, Inc. en brengt rechtstreeks verslag uit aan de Chief Compliance Officer of de leidinggevende die aan het hoofd staat van de compliancefunctie bij PayPal.  Het Hoofd Privacynaleving houdt toezicht op het PayPal Global Privacy Compliance Team en communiceert met andere interne organisaties of teams, zoals operaties, informatiebeveiliging, naleving, risico en interne audits, om consistente communicatie, praktijken en beleidsregels inzake privacy in de PayPal-groep wereldwijd te waarborgen. Het PayPal Global Privacy Compliance Team ontwikkelt en coördineert de implementatie van de nalevingsstrategie in de PayPal-groep en controleert de naleving ervan.  Het PayPal Global Privacy Compliance Team heeft directe en indirecte vertegenwoordigers binnen de PayPal-groep die, onder andere, helpen de naleving van de Bedrijfsregels voor Gebruikers en de toepasselijke wetten inzake gegevensbescherming na te leven.

Het Hoofd Privacyrecht houdt toezicht op het PayPal Global Privacy Legal Team en brengt rechtstreeks verslag uit aan de Chief Legal Officer of de leidinggevende die aan het hoofd staat van de juridische functie bij PayPal. Het Hoofd Privacyrecht definieert de verplichtingen van het bedrijf krachtens de wetgeving inzake gegevensbescherming en deze Bedrijfsregels voor Gebruikers. Het Hoofd Privacyrecht en het PayPal Global Privacy Legal Team werken nauw samen met het Hoofd Privacynaleving en het PayPal Global Compliance Privacy Team en communiceren met andere interne organisaties en teams, zoals recht, operaties, informatiebeveiliging en risico, om wereldwijd juridisch advies te verstrekken en de gevolgen van wet- en regelgeving voor zich ontwikkelende privacykwesties te interpreteren binnen de PayPal-groep.

Het PayPal Global Privacy Compliance Team en het PayPal Global Privacy Legal Team vormen gezamenlijk het PayPal Global Privacy Team.

De Europese functionaris voor gegevensbescherming, gevestigd in Luxemburg, wordt aangesteld door en brengt verslag uit aan het management van PayPal (Europe) S.à r.l. et Cie, S.C.A. De Europese functionaris voor gegevensbescherming treedt op als het primaire aanspreekpunt voor de gegevensbeschermingsautoriteiten van de EER en voert geen taken uit die tot een belangenconflict kunnen leiden. De Europese functionaris voor gegevensbescherming heeft onder meer de volgende taken: de Groepsleden en hun medewerkers, die Persoonsgegevens Verwerken, informeren en adviseren over hun verplichtingen uit hoofde van de privacywetgeving om ervoor te zorgen dat deze Bedrijfsregels voor Gebruikers worden nageleefd; samenwerken met het PayPal Global Privacy Team om toe te zien op de naleving van de privacywetgeving en het daarmee verband houdende beleid van de Groepsleden; en op verzoek juridisch advies verstrekken aan de Groepsleden met betrekking tot de effectbeoordelingen op het gebied van gegevensbescherming en de tenuitvoerlegging daarvan. De Europese functionaris voor gegevensbescherming brengt verslag uit aan het hoogste managementniveau en kan het hoogste managementniveau op de hoogte brengen indien zich tijdens de uitvoering van zijn taken vragen of problemen voordoen.

Groepsleden nemen de volgende beginselen voor de Verwerking van Persoonsgegevens van Gebruikers in acht:

2.1 Beperking van de doeleinden

Persoonsgegevens van Gebruikers worden uitsluitend voor specifieke, uitdrukkelijk omschreven en gerechtvaardigde doeleinden Verwerkt.  In het bijzonder kunnen Persoonsgegevens van Gebruikers worden Verwerkt om:

• te communiceren met Gebruikers in verband met diensten
• de levering van Diensten op verzoek van Gebruikers aan te bieden, te beheren en te faciliteren, met inbegrip van het openen van een rekening en het beheren van betalingen van Gebruikers;
• de Services te verbeteren en nieuwe Services te ontwikkelen,
• geschillen op te lossen, geschillen te beheren, problemen op te lossen en klantenservice te bieden, onder meer voor gegevensanalyse, testen, onderzoek en statistische doeleinden;
• risicobeheer uit te voeren,
• transacties te verwerken en verschuldigde vergoedingen te innen, met inbegrip van het bewijzen dat transacties zijn uitgevoerd;
• kredietwaardigheid en solvabiliteit te controleren,
• de interesse van Gebruikers in en hun feedback en mening over Services te meten en Gebruikers te informeren over online en offline aanbiedingen, Services en updates,
• de ervaringen van Gebruikers aan te passen,
• fouten, fraude en andere criminele activiteiten op te sporen en hiertegen te beschermen, inclusief het bevestigen van de identiteit en contactgegevens van de Gebruiker;
• de wettelijke of contractuele verplichtingen van de PayPal-groep na te komen,
• de voorwaarden van de Service en andere bepalingen die zijn beschreven voor Gebruikers op het moment van verzameling en in het privacybeleid van de Service te handhaven,
• de beveiliging, integriteit en beschikbaarheid van de Services en het netwerk van de PayPal-groep te beschermen,
• de wettelijke rechten en belangen van de PayPal-groep te beschermen, met inbegrip van, maar niet beperkt tot, het instellen, uitoefenen of verdedigen tegen juridische vorderingen.
• te beoordelen welke betaalmethoden en services Gebruikers aangeboden krijgen, bijvoorbeeld door het verrichten van interne en externe kredietwaardigheidsbeoordelingen;
• te voldoen aan interne PayPal-procedures.

De Verwerking van de Persoonsgegevens van Gebruikers voor andere doeleinden is onderworpen aan de voorafgaande goedkeuring van het PayPal Global Privacy Legal Team.  In geval van twijfel zullen Groepsleden het PayPal Global Privacy Legal Team raadplegen.

Persoonsgegevens van Gebruikers worden niet verder Verwerkt op een manier die onverenigbaar is met de hierboven vermelde doeleinden, tenzij er een wettelijke basis is om dit te doen onder het toepasselijke recht van het Groepslid in de EER dat verantwoordelijk is voor het verzamelen en/of overdragen van de Persoonsgegevens van Gebruikers (d.w.z. de exporterende entiteit).   

2.2 Dataminimalisatie, nauwkeurigheid en opslagbeperking

Persoonsgegevens van Gebruikers:

• zijn nauwkeurig en waar nodig up-to-date,
• zijn adequaat, ter zake dienend en beperkt tot wat noodzakelijk is in verband met de doeleinden waarvoor ze worden Verwerkt;
•  worden niet langer bewaard dan nodig is voor het doel waarvoor zij oorspronkelijk werden verzameld of waarvoor zij verder werden Verwerkt; en
• worden gewist, verwijderd, vernietigd of geanonimiseerd in overeenstemming met het toepasselijke PayPal-beleid, wanneer ze niet langer nodig zijn voor de doeleinden waarvoor ze zijn Verwerkt, tenzij er een rechtsgrond is voor verdere Verwerking of bewaring vereist door de toepasselijke wetgeving of het toepasselijke PayPal-beleid.

2.3 Rechtsgronden voor verwerking en behoorlijkheid

1. Wettelijke basis voor de verwerking van Persoonsgegevens van Gebruikers

Groepsleden dragen er zorg voor dat de Persoonsgegevens van Gebruikers eerlijk en rechtmatig worden Verwerkt, in het bijzonder op basis van ten minste een van de volgende rechtsgronden:

• Ondubbelzinnige, vrije, specifieke en geïnformeerde toestemming van de Gebruiker;
• Verwerking die noodzakelijk is voor de uitvoering van een overeenkomst waarbij de Gebruiker een partij is of om op verzoek van de Gebruiker maatregelen te nemen voorafgaand aan het aangaan van een overeenkomst
• Verwerking die noodzakelijk is om te voldoen aan een wettelijke verplichting waaraan Groepsleden zijn onderworpen
• Verwerking die noodzakelijk is om de vitale belangen van de Gebruiker of een andere natuurlijke persoon te beschermen
• Verwerking die noodzakelijk is voor de uitvoering van een taak van algemeen belang of voor de uitoefening van het openbaar gezag die aan Groepsleden of aan Derden aan wie de gegevens zijn bekendgemaakt, is opgedragen
• Verwerking die noodzakelijk is voor de legitieme belangen die worden nagestreefd door het Groepslid of door de Derde(n) aan wie de gegevens worden onthuld, behalve wanneer dergelijke belangen worden tenietgedaan door de belangen inzake de grondrechten en vrijheden van de Gebruiker.

2. Wettelijke basis voor de verwerking van Bijzondere persoonsgegevens van Gebruikers

Indien een verzameling van Bijzondere persoonsgegevens vereist is of Gebruikers vrijwillig dergelijke informatie verstrekken, zorgen Groepsleden ervoor dat de Bijzondere persoonsgegevens van Gebruikers alleen worden Verwerkt op basis van ten minste een van de volgende gronden:

• uitdrukkelijke toestemming van de Gebruiker
• Verwerking die noodzakelijk is voor de bescherming van de vitale belangen van de Gebruiker of van een andere persoon wanneer de Gebruiker fysiek of juridisch niet in staat is zijn/haar toestemming te geven
• Verwerking die betrekking heeft op Persoonsgegevens van een Gebruiker die duidelijk openbaar zijn gemaakt door de Gebruiker
• Verwerking die noodzakelijk is voor de vaststelling, uitoefening of onderbouwing van rechtsvorderingen of wanneer rechtbanken optreden in hun gerechtelijke hoedanigheid.

3. Rechtsgrond voor verwerking in het kader van geautomatiseerde besluitvorming

Wanneer een Gebruiker kan worden onderworpen aan een beslissing die uitsluitend is gebaseerd op geautomatiseerde Verwerking, met inbegrip van profilering, en die juridische of significante gevolgen heeft (een "Geautomatiseerde beslissing"), zullen de Groepsleden ervoor zorgen dat de Geautomatiseerde beslissing:

• noodzakelijk is voor het aangaan of uitvoeren van een overeenkomst tussen de Gebruiker en een Groepslid;
• is toegestaan op grond van het EU-recht of het Lidstatelijke recht waaraan het Groepslid is onderworpen en dat ook voorziet in passende maatregelen om de rechten en vrijheden en legitieme belangen van de Gebruiker te beschermen; dan wel
• is gebaseerd op de uitdrukkelijke toestemming van de Gebruiker.

Verder zal het Groepslid in ten minste het eerste en derde geval hierboven passende maatregelen treffen om de rechten en vrijheden en legitieme belangen van de Gebruiker te beschermen, zoals de Gebruiker de mogelijkheid bieden om een medewerker van de klantenservice de beslissing individueel te laten beoordelen en de Gebruiker in staat te stellen zijn standpunt kenbaar te maken. De vertegenwoordiger van de klantenservice zal de zaak doorverwijzen naar de Europese functionaris voor gegevensbescherming indien de gebruiker het niet eens blijft met een geautomatiseerd besluit. Indien van toepassing zal het Hoofd Privacyrecht worden geraadpleegd en het Hoofd Privacynaleving worden geïnformeerd.

2.4 Transparantie

Bij het verzamelen van Persoonsgegevens van Gebruikers informeren de Groepsleden de Gebruikers over het volgende:

• De identiteit en de contactgegevens van het Groepslid dat verantwoordelijk is voor de oorspronkelijke verzameling en Verwerking;
• De contactgegevens van de Europese functionaris voor gegevensbescherming. De relevante details zijn: De Europese functionaris voor gegevensbescherming (DPO), PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, of online.
• De beoogde doeleinden van de Verwerking en de rechtsgrond voor de Verwerking;
• Wanneer de Verwerking is gebaseerd op gerechtvaardigde belangen, de gerechtvaardigde belangen die worden nagestreefd door het Groepslid of door een derde
• De ontvangers of categorieën van ontvangers (met inbegrip van Verwerkers) van de Persoonsgegevens van Gebruikers;
• Indien van toepassing, het feit dat het Groepslid van plan is Persoonsgegevens van Gebruikers over te dragen aan een derde land of internationale organisatie en het al dan niet bestaan van een adequaatheidsbesluit van de Europese Commissie, of een verwijzing naar de passende of geschikte waarborgen (met inbegrip van deze Bedrijfsregels voor Gebruikers) waar deze worden ingeroepen en de middelen om een kopie ervan te verkrijgen of waar ze beschikbaar zijn gesteld;
• De periode gedurende welke de Persoonsgegevens van Gebruikers worden bewaard of, indien dat niet mogelijk is, de criteria die worden gebruikt om die periode te bepalen;
• Het bestaan van Gebruikersrechten, waaronder het recht om het Groepslid te verzoeken om toegang tot en rectificatie of verwijdering van Persoonsgegevens van Gebruikers of beperking van de Verwerking met betrekking tot de Gebruiker of om bezwaar te maken tegen de Verwerking, evenals het recht op gegevensoverdraagbaarheid;
• Wanneer de Verwerking is gebaseerd op toestemming, het bestaan van het recht om de toestemming te allen tijde in te trekken, zonder afbreuk te doen aan de rechtmatigheid van de Verwerking op basis van toestemming vóór de intrekking ervan;
• Het recht om een klacht in te dienen bij een Gegevensbeschermingsautoriteit;
• Wanneer het verstrekken van Persoonsgegevens van Gebruikers een wettelijke of contractuele vereiste is, of een vereiste die noodzakelijk is om een contract aan te gaan, evenals de vraag of antwoorden op de vragen verplicht of vrijwillig zijn, evenals de mogelijke gevolgen van het uitblijven van een antwoord; alsmede
• In het geval van Geautomatiseerde beslissingen, zinvolle informatie over de onderliggende logica, evenals het belang en de verwachte gevolgen van een dergelijke Verwerking voor de Gebruiker.

Groepsleden kunnen de informatie verstrekken in een privacybeleid voor de Service, dat toegankelijk zal zijn via een link en/of zal worden weergegeven op een prominente locatie van elke website of toepassing van de Service en tijdens de registratie.  De verplichting om Gebruikers te informeren geldt niet als Gebruikers reeds op de hoogte zijn van de informatie.  

Indien het verstrekken van informatie onmogelijk blijkt of onevenredig veel moeite zou kosten, kunnen de Groepsleden besluiten de informatie niet te verstrekken.  Dit zou alleen het geval zijn voor Persoonsgegevens van Gebruikers die niet rechtstreeks van de Gebruiker zijn verkregen. 

In uitzonderlijke omstandigheden kan de verstrekking van specifieke informatie worden uitgesteld of achterwege gelaten, bijvoorbeeld in het kader van onderzoeken naar onrechtmatig gedrag of om te voldoen aan de toepasselijke wetgeving of wanneer de verstrekking van de informatie de integriteit van het onderzoek in gevaar zou brengen.

2.5 Verantwoording, vertrouwelijkheid en veiligheid

1. Verantwoording

Elk Groepslid dat optreedt als verwerkingsverantwoordelijke is verantwoordelijk voor en in staat om de naleving van de Bedrijfsregels voor Gebruikers aan te tonen.

Om de naleving te verbeteren en indien nodig, worden gegevensbeschermingseffectbeoordelingen uitgevoerd voor verwerkingen die waarschijnlijk een hoog risico voor de rechten en vrijheden van natuurlijke personen inhouden. Indien uit een gegevensbeschermingseffectbeoordeling zoals bedoeld in Verordening (EU) 2016/679 blijkt dat de verwerking een hoog risico zou inhouden indien het Groepslid geen maatregelen neemt om het risico te beperken, wordt voorafgaand aan de verwerking de bevoegde Gegevensbeschermingsautoriteit geraadpleegd.

Er worden passende technische en organisatorische maatregelen genomen om de beginselen van gegevensbescherming toe te passen en de naleving van de vereisten van de Bedrijfsregels voor Gebruikers in de praktijk te vergemakkelijken (gegevensbescherming door ontwerp en door standaardinstellingen).

2. Vertrouwelijkheid en veiligheid

Groepsleden gebruiken fysieke, technische en organisatiegebonden beveiligingsmiddelen in evenredige mate met de hoeveelheid en de gevoeligheid van de Persoonsgegevens van Gebruikers om ongeautoriseerde Verwerking te voorkomen, met inbegrip van, maar niet beperkt tot, ongeautoriseerde toegang tot, verwerving, gebruik, verlies, vernietiging of beschadiging van Persoonsgegevens van Gebruikers. Groepsleden gebruiken versleuteling, firewalls, toegangscontroles, standaarden en andere procedures om Persoonsgegevens van Gebruikers te beschermen tegen ongeautoriseerde toegang.  Fysieke en logische toegang tot elektronische en papieren bestanden wordt verder beperkt op basis van functieverantwoordelijkheden en bedrijfsbehoeften.

3. Inbreuk in verband met Persoonsgegevens

Bij ontdekking van een inbreuk in verband met persoonsgegevens zoals gedefinieerd in artikel 4, lid 12, artikel 33, lid 1, en artikel 34, lid 1, van Verordening (EU) 2016/679 van de AVG en artikel 33.1, lid 1, stelt het betrokken Groepslid het Leidende groepslid, de Europese functionaris voor gegevensbescherming en andere vereiste belanghebbenden onverwijld op de hoogte overeenkomstig het toepasselijke interne beleid. Indien de inbreuk in verband met persoonsgegevens waarschijnlijk zal leiden tot een hoog risico voor de rechten en vrijheden van natuurlijke personen, stellen het Groepslid en het Leidende groepslid, in overleg met de Europese functionaris voor gegevensbescherming, de betrokkenen en de Gegevensbeschermingsautoriteit in kennis, naargelang het geval. Inbreuken in verband met persoonsgegevens worden gedocumenteerd om i) de feiten met betrekking tot de inbreuk in verband met persoonsgegevens, ii) de gevolgen ervan en iii) de genomen corrigerende maatregelen vast te leggen. Deze documentatie wordt op verzoek van de bevoegde Gegevensbeschermingsautoriteit verstrekt.

2.6 Keuzes en rechten van gebruikers

Gebruikers kunnen de volgende rechten uitoefenen:

• De Gebruikers hebben toegang tot de meeste Persoonsgegevens die op hen betrekking hebben en die Groepsleden over hen bewaren, en kunnen deze wijzigen met behulp van de juiste online tool die of het juiste zelfbedieningsproces dat hen via de website of toepassing van de Service ter beschikking wordt gesteld.
• De Gebruikers hebben in alle gevallen het recht om een inzageverzoek in te dienen om hun Persoonsgegevens die niet toegankelijk zijn via de website of toepassing van de Service te bekijken of een kopie van deze gegevens te ontvangen. De Gebruikers dienen contact op te nemen met de klantenservice met behulp van de instructies op de website of toepassing van de Service.
• De Gebruikers kunnen ook om rectificatie van hun gegevens verzoeken indien deze onvolledig of onnauwkeurig zijn. Groepsleden zullen aan een dergelijk verzoek voldoen en zullen Gebruikers op de hoogte stellen wanneer hun gegevens zijn gecorrigeerd. Groepsleden zullen derden aan wie de gegevens van de Gebruiker zijn vrijgegeven op de hoogte stellen van rectificaties, tenzij dit onmogelijk blijkt of onevenredig veel moeite kost.
• Gebruikers kunnen hun recht uitoefenen op een menselijke beoordeling van een Geautomatiseerde Beslissing die door een Groepslid is genomen in overeenstemming met paragraaf 2.3 (c).
• Gebruikers kunnen bezwaar maken tegen de Verwerking van hun Persoonsgegevens van Gebruikers. Groepsleden houden zich aan dergelijke verzoeken, tenzij het bewaren van de Persoonsgegevens van Gebruikers vereist is door de toepasselijke wetgeving of om de PayPal-groep tegen rechtsvorderingen te verdedigen. Gebruikers worden op de hoogte gesteld van de uitkomst van hun verzoek en van de maatregelen die de Groepsleden hebben genomen.
• Bovendien kunnen de Gebruikers vragen om hun rekeningen te sluiten door de instructies te volgen die via de website of toepassing van de Service worden verstrekt. Ze kunnen ook hun recht uitoefenen op beperking van de Verwerking van hun Persoonsgegevens van Gebruikers, of verwijdering van Persoonsgegevens van Gebruikers, in verband met het sluiten van een dergelijke rekening. Groepsleden zullen de informatie van een Gebruiker op een Service zo snel als redelijkerwijs mogelijk is op basis van rekeningactiviteit verwijderen of anoniem maken.  In sommige gevallen kunnen Groepsleden de sluiting van een rekening uitstellen of Persoonsgegevens van Gebruikers bewaren om een onderzoek in te stellen of wanneer dit door de toepasselijke wetgeving wordt vereist. Groepsleden kunnen Gebruikersinformatie van gesloten rekeningen ook bewaren om fraude op te sporen en te voorkomen, verschuldigde vergoedingen te innen, geschillen op te lossen, problemen op te lossen, hulp te bieden bij onderzoeken, risico's te beheren, de voorwaarden van een Service te handhaven, te voldoen aan de wettelijke of reglementaire vereisten en andere acties te ondernemen die anderszins zijn toegestaan door de toepasselijke wetgeving. De gegevens worden in een vorm die het mogelijk maakt de betrokkenen te identificeren, niet langer bewaard dan noodzakelijk is voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden Verwerkt, en worden gewist zodra de redenen voor de bewaring ervan zijn weggenomen.
• Met uitzondering van de Gebruikers die ervoor hebben gekozen bepaalde mededelingen niet te ontvangen, kunnen Groepsleden Persoonsgegevens van Gebruikers gebruiken om op interesses gebaseerde mededelingen te sturen aan de Gebruiker, in overeenstemming met de toepasselijke wetgeving.  Gebruikers die geen marketingberichten van de PayPal-groep wensen te ontvangen, zullen gemakkelijk toegankelijke middelen aangeboden krijgen om zich te verzetten tegen verdere reclame, bijvoorbeeld in hun rekeninginstellingen of door de aanwijzingen op te volgen die in een e-mail of via een link op de mededeling worden gegeven.

In alle gevallen kunnen Gebruikers de bovenstaande rechten uitoefenen door contact op te nemen met de klantenservice. Indien de identiteit van een Gebruiker moeilijk te verifiëren is, kunnen Groepsleden de Gebruiker om een aanvullend identificatiebewijs vragen. Groepsleden zullen verzoeken inwilligen binnen de door het toepasselijke recht voorgeschreven termijnen, tenzij de toepasselijke wetgeving in een uitzondering op een dergelijke verplichting voorziet.

2.7 Openbaarmaking en overdracht van Persoonsgegevens

Groepsleden kunnen Persoonsgegevens van Gebruikers in het kader van de normale uitoefening en omvang van hun activiteiten delen met andere Groepsleden wereldwijd voor de in paragraaf 2.1 genoemde doeleinden.

1. Openbaarmaking en overdracht aan externe overheidsinstanties

In overeenstemming met de toepasselijke wetten, verdragen of toepasselijke internationale overeenkomsten mogen Groepsleden Persoonsgegevens delen met wetshandhavings- en regelgevende autoriteiten indien dit in een democratische samenleving noodzakelijk is voor het waarborgen van de nationale veiligheid, de landsverdediging, de openbare veiligheid, het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten en in het bijzonder om te voldoen aan de in internationale en/of nationale instrumenten vastgelegde sancties, de vereisten inzake belastingrapportage of de rapportageverplichtingen in verband met de bestrijding van het witwassen van geld.

Wanneer een niet-EU-groepslid redenen heeft om aan te nemen dat de wetgeving die op hem van toepassing is, die entiteit verhindert haar verplichtingen uit hoofde van de Bedrijfsregels voor Gebruikers na te komen, met een aanzienlijk effect op de garanties die door de regels worden geboden, zal het niet-EU-groepslid (tenzij verboden) het Leidende groepslid en/of de Europese functionaris voor gegevensbescherming hiervan onmiddellijk op de hoogte stellen. Dit geldt ook als het:

1. een juridisch bindend verzoek ontvangt van een niet-EU-overheidsinstantie voor openbaarmaking van Persoonsgegevens van Gebruikers die worden overgedragen op grond van deze Bedrijfsregels voor Gebruikers, in welk geval het niet-EU-groepslid (tenzij verboden) het Leidende groepslid en/of de Europese functionaris voor gegevensbescherming informatie verstrekt over de gevraagde Persoonsgegevens van Gebruikers, de verzoekende niet-EU-overheidsinstantie, de rechtsgrond voor het verzoek en het gegeven antwoord;
2. zich bewust wordt van enige directe toegang van niet-EU-overheidsinstanties tot Persoonsgegevens van Gebruikers die zijn overgedragen op grond van de Bedrijfsregels voor Gebruikers, in welk geval het niet-EU-groepslid (tenzij verboden) het Leidende groepslid en/of de Europese functionaris voor gegevensbescherming de informatie zal verstrekken die bekend is bij het niet-EU-groepslid.

Indien in specifieke gevallen de opschorting en/of kennisgeving verboden is, zal het aangezochte Groepslid trachten het recht te verkrijgen om van dit verbod af te zien teneinde zo veel mogelijk informatie zo snel mogelijk mee te delen. Het niet-EU-groepslid toetst de wettigheid van elk verzoek om openbaarmaking door een niet-EU-overheidsinstantie om te beoordelen of het binnen de aan die autoriteit verleende bevoegdheden valt, en betwist het verzoek indien dit niet het geval is. Zij documenteert en registreert haar evaluatie en, tenzij dit verboden is, stelt zij deze ter beschikking van het Leidende groepslid en/of de Europese functionaris voor gegevensbescherming. Zij zal deze op verzoek ook ter beschikking stellen van de bevoegde Gegevensbeschermingsautoriteiten.

Het niet-EU-groepslid verstrekt de minimaal toegestane hoeveelheid informatie wanneer hij reageert op een verzoek om openbaarmaking van een niet-EU-overheidsinstantie, op basis van een redelijke interpretatie van het verzoek.

Groepsleden mogen Persoonsgegevens van Gebruikers niet op een massale, onevenredige en ongedifferentieerde manier overdragen aan een niet-EU-overheidsinstantie die verder zou gaan dan wat nodig is in een democratische samenleving.

2. Openbaarmaking van persoonsgegevens aan een verwerker

Wanneer Persoonsgegevens van Gebruikers aan een Verwerker worden overgedragen, wordt de Verwerker onderworpen aan een privacy-, gegevensbeschermings- en informatiebeveiligingsrisicobeoordeling voorafgaand aan de aanvang van de werkzaamheden en voorafgaand aan enige overdracht van Persoonsgegevens van Gebruikers.  De reikwijdte van de beoordeling is afhankelijk van de gevoeligheid van de verwerkte Persoonsgegevens van Gebruikers. De privacy-, gegevensbeschermings- en informatiebeveiligingsbeoordeling is niet verplicht voor Verwerkers die al aan een dergelijke beoordeling zijn onderworpen of die Groepslid zijn, tenzij de Verwerkingsactiviteiten activiteiten met een hoog risico inhouden, rekening houdend met de aard en hoeveelheid van de Persoonsgegevens en het type Verwerkingsactiviteiten in kwestie.

Verwerkers, met inbegrip van een Groepslid dat als Verwerker optreedt, moeten een overeenkomst sluiten met het betrokken Groepslid dat als Verwerkingsverantwoordelijke van de Persoonsgegevens van Gebruikers optreedt, om te zorgen voor adequate maatregelen op het gebied van privacy, gegevensbescherming en informatiebeveiliging. Een dergelijke overeenkomst bevat clausules die zorgen voor het juiste gebruik van de Persoonsgegevens van Gebruikers en veiligheidsmaatregelen die in verhouding staan tot het bedrag, de aard en de gevoeligheid van de betrokken Persoonsgegevens van Gebruikers. 

De contractuele waarborgen moeten ten minste de volgende zaken bestrijken:

• vereisten om de wet na te leven en Persoonsgegevens van Gebruikers alleen te Verwerken in overeenstemming met de voorwaarden van de overeenkomst en alleen in opdracht van de betrokken Groepsleden
• zekerheid dat personen die gemachtigd zijn om de Persoonsgegevens van Gebruikers te verwerken, zich hebben verbonden tot vertrouwelijkheid of een passende wettelijke verplichting tot vertrouwelijkheid hebben
• garantie dat er geen voorafgaande inschakeling van een andere verwerker plaatsvindt zonder voorafgaande specifieke of algemene schriftelijke toestemming van het Groepslid, en dat deze verwerker dezelfde contractuele waarborgen in acht neemt wanneer hij zelf een andere verwerker inschakelt
• passende technische en organisatorische maatregelen, aangepast aan de gevoeligheid van de betrokken Persoonsgegevens van Gebruikers en Verwerking
• bijstand aan het Groepslid door middel van passende technische en organisatorische maatregelen, voor zover dit mogelijk is, om te voldoen aan de verplichting van het Groepslid om te reageren op verzoeken tot uitoefening van de rechten van de betrokkene
• verplichtingen tot melding van inbreuken op de beveiliging, zoals het onmiddellijk schriftelijk melden aan PayPal zonder onnodige vertraging nadat zij zich bewust zijn geworden van een inbreuk op de beveiliging
• naar keuze van het bekendmakende Groepslid, het wissen of teruggeven van alle persoonsgegevens aan dat Groepslid na beëindiging van de verlening van diensten met betrekking tot verwerking, en het wissen van bestaande kopieën, tenzij het Unierecht of het lidstatelijke recht de opslag van de persoonsgegevens voorschrijft
• een recht om de naleving van de contractuele garanties door de Verwerkers te controleren
• bepalingen inzake voorzieningen in geval van niet-nakoming door de Verwerker van zijn wettelijke of contractuele verplichtingen

De overeenkomsten moeten bepalingen bevatten die ervoor zorgen dat niet-naleving van de bepalingen van de overeenkomst kan leiden tot opschorting of beëindiging van de overeenkomst, naast andere in de overeenkomst vastgestelde rechtsmiddelen.

3. Openbaarmaking van persoonsgegevens aan derden

Wanneer Groepsleden Persoonsgegevens van EER-gebruikers overdragen aan Derden (met inbegrip van Verwerkers die geen Groepsleden zijn die gevestigd zijn in een niet-EER-land dat (i) geen adequaat beschermingsniveau biedt (in de zin van de Algemene Verordening Gegevensbescherming van de EU) en (ii) geen andere regelingen heeft die voldoen aan de adequaatheidsvereisten van de EU, zal het Groepslid ervoor zorgen dat de Derde partij passende contractuele waarborgen toepast, zoals modelcontractbepalingen die zijn goedgekeurd door de Europese Commissie, die een beschermingsniveau bieden dat in overeenstemming is met deze Bedrijfsregels voor Gebruikers, of, als alternatief, ervoor zorgen dat de overdracht (i) plaatsvindt met de uitdrukkelijke toestemming van de Gebruiker, (ii) noodzakelijk is om een met de Gebruiker gesloten overeenkomst te sluiten of uit te voeren, (iii) noodzakelijk of wettelijk vereist is om gewichtige redenen van algemeen belang, (iv) noodzakelijk is om de vitale belangen van de Gebruiker te beschermen; of (v) noodzakelijk is voor de uitoefening, vaststelling of onderbouwing van rechtsvorderingen.

2.8 Effectbeoordelingen van overdrachten

Leden moeten beoordelen (en doorlopend monitoren) of wetten of praktijken van derde landen de naleving van deze Bedrijfsregels voor Gebruikers in de weg staan. Bij deze beoordelingen wordt rekening gehouden met:

• De specifieke omstandigheden van de overdrachten of een reeks overdrachten, en van eventuele voorgenomen verdere overdrachten binnen hetzelfde derde land of naar een ander derde land, met inbegrip van:
• de doeleinden waarvoor de gegevens worden doorgegeven en verwerkt (bv. marketing, HR, opslag, IT-ondersteuning, klinische proeven);
• de soorten entiteiten die bij de verwerking betrokken zijn (de gegevensimporteur en eventuele verdere ontvangers van eventuele verdere overdrachten);
• de economische sector waarin de overdracht of de reeks overdrachten plaatsvindt;
• de categorieën en het formaat van de overgedragen persoonsgegevens;
• de plaats van de verwerking, met inbegrip van de opslag; alsmede
• de gebruikte transmissiekanalen;
• de wetten en praktijken van het derde land van bestemming die relevant zijn in het licht van de omstandigheden van de overdracht, met inbegrip van de wetten en praktijken die vereisen dat gegevens aan overheidsinstanties worden bekendgemaakt of die dergelijke autoriteiten toegang verlenen en de wetten en praktijken die voorzien in toegang tot deze gegevens tijdens de doorvoer tussen het land van de gegevensexporteur en het land van de gegevensimporteur; alsmede
• alle relevante contractuele, technische of organisatorische veiligheidsmaatregelen die zijn ingesteld ter aanvulling van de waarborgen uit hoofde van de Bedrijfsregels voor Gebruikers, met inbegrip van maatregelen die worden toegepast tijdens de overdracht en de verwerking van de Persoonsgegevens van Gebruikers in het land van bestemming.

Als er geen adequate bescherming kan worden gegarandeerd, moeten de overdrachten worden opgeschort of beëindigd. Beoordelingen worden gedocumenteerd en op verzoek ter beschikking gesteld van de Gegevensbeschermingsautoriteiten.

2.9 Verzoeken van overheidsinstanties

Importeurs stellen het Leidende groepslid op verzoek in kennis van verzoeken voor toegang door overheidsinstanties. Zij zullen op redelijke wijze geheimhouding of onwettige verzoeken betwisten, openbaarmaking tot een minimum beperken en acties registreren.

Als Gebruikers van mening zijn dat hun Persoonsgegevens zijn verwerkt in strijd met de Bedrijfsregels voor Gebruikers, kunnen ze dergelijke kwesties melden aan de klantenservice van het betreffende Groepslid via de website van de betreffende service, via e-mail of op een andere manier zoals aangegeven in de toepasselijke algemene voorwaarden.  Gebruikers kunnen doorgaans antwoorden vinden op de meest voorkomende privacyvragen en bezorgdheden door het woord 'privacy' in te typen in de hulpsectie van de relevante service, waarna de Gebruiker doorgaans wordt doorgestuurd naar een privacyspecifieke pagina of een privacybeleid.  De 'hulp'-sectie van de relevante service is het unieke toegangspunt voor alle vragen van Gebruikers met betrekking tot hun privacy of de Verwerking van hun Gebruikersinformatie en biedt de Gebruiker de mogelijkheid om contact op te nemen met de klantenservice. 

In geval van twijfel over welk kanaal u moet gebruiken om privacygerelateerde problemen te melden, kunnen Gebruikers onlinecontact opnemen met de Europese functionaris voor gegevensbescherming.

De klantenondersteuning onderzoekt en probeert problemen op te lossen die door Gebruikers naar voren zijn gebracht. Medewerkers die verantwoordelijk zijn voor het behandelen van privacygerelateerde problemen werken nauw samen met het PayPal Global Privacy Team en beantwoorden Gebruikers in overeenstemming met de beleidsregels, procedures en richtlijnen van PayPal. Als Gebruikers van mening zijn dat aan hun bezorgdheden onvoldoende aandacht is besteed, of als ze geen antwoord hebben gekregen, kunnen ze vragen dat hun bezorgdheden worden doorverwezen naar de Europese functionaris voor gegevensbescherming. Het Hoofd Privacyrecht zal worden geraadpleegd en het Hoofd Privacynaleving wordt op de hoogte gebracht. Escalatiepaden worden bepaald op basis van de aard en omvang van het probleem en worden zonder vertraging naar het juiste team gestuurd.  Een reactie op de klacht dient binnen een redelijke termijn aan de Gebruiker te worden verstrekt, in ieder geval binnen een termijn van drie (3) maanden na de datum van het verzoek, behalve in bijzondere omstandigheden of bij complexe vragen, in welk geval de Gebruiker zal worden geïnformeerd dat het antwoord meer dan drie (3) maanden in beslag zal nemen.

De regeling voor het indienen van klachten doet geen afbreuk aan het recht van Gebruikers om klachten in te dienen bij de bevoegde Gegevensbeschermingsautoriteiten of rechtbanken. Gebruikers kunnen met name een klacht indienen:

• voor een bevoegde Gegevensbeschermingsautoriteit, met name in de Lidstaat van de gewone verblijfplaats, de werkplek of de plaats van de vermeende inbreuk van de Gebruikers; alsmede
• voor de bevoegde rechtbank van de Lidstaten waar het Groepslid dat de Verwerkingsverantwoordelijke of Verwerker van de Persoonsgegevens van Gebruikers is, een vestiging heeft, of waar de Gebruiker zijn gewone verblijfplaats heeft.

Gebruikers in de EER die een schending van de Bedrijfsregels voor Gebruikers buiten de EER vermoeden, hebben het recht op gerechtelijke handhaving en het recht op verhaal en, indien van toepassing, schadevergoeding in geval van een schending van een van de afdwingbare elementen van de Bedrijfsregels voor Gebruikers als derde begunstigden, en in het bijzonder voor Artikelen 2, 3, 4, 7, 8 en 9 van de Bedrijfsregels voor Gebruikers voor de bevoegde gegevensbeschermingsautoriteiten of voor de rechtbanken in overeenstemming met artikel 3. Deze handhavingsrechten vormen een aanvulling op andere rechtsmiddelen of rechten die door PayPal worden geboden of die beschikbaar zijn op grond van de toepasselijke wetgeving.

Hoewel dit niet verplicht is, worden Gebruikers in de EER aangemoedigd om hun bezorgdheid eerst rechtstreeks aan het Groepslid te melden in plaats van aan de Gegevensbeschermingsautoriteiten of de rechtbanken.  Dit maakt een efficiënte en snelle reactie van de PayPal Groep mogelijk en minimaliseert mogelijke vertragingen bij de Gegevensbeschermingsautoriteiten of gerechtelijke procedures.

PayPal Europe S.à r.l. et Cie, S.C.A., een Luxemburgse besloten vennootschap met beperkte aansprakelijkheid, aanvaardt de verantwoordelijkheid voor en gaat ermee akkoord toe te zien op de naleving van de Bedrijfsregels voor Gebruikers door de Groepsleden.  Het Leidende groepslid verbindt zich ertoe (i) de nodige stappen te ondernemen om een inbreuk te herstellen die is gepleegd door Groepsleden buiten de EER, en (ii) de vergoeding te betalen aan Gebruikers in de EER die is toegekend door de Leidende gegevensbeschermingsautoriteit of de Luxemburgse rechtbanken voor schade die rechtstreeks voortvloeit uit de inbreuk op de Bedrijfsregels voor Gebruikers door Groepsleden buiten de EER, indien het betrokken Groepslid niet in staat of niet bereid is de vergoeding te betalen of de opdracht uit te voeren. 

Het Leidende groepslid erkent en aanvaardt dat het de bewijslast draagt met betrekking tot een vermeende inbreuk op de Bedrijfsregels voor Gebruikers.

Het Leidende groepslid (of een ander Groepslid) is niet aansprakelijk indien hij op basis van de beschikbare feiten en rekening houdend met de opmerkingen van de Gebruiker redelijkerwijs kan aantonen dat het Groepslid van buiten de EER de Bedrijfsregels voor Gebruikers niet heeft overtreden of niet verantwoordelijk is voor enige door de Gebruiker beweerde schade.

Groepsleden zullen ervoor zorgen dat alle Medewerkers die Persoonsgegevens van Gebruikers Verwerken en alle Medewerkers die betrokken zijn bij het ontwerp van tools die zullen worden gebruikt voor het verzamelen of Verwerken van Persoonsgegevens van Gebruikers, een privacy- en informatiebeveiligingstraining krijgen om de noodzaak van de bescherming en beveiliging van Persoonsgegevens van Gebruikers in overeenstemming met deze Bedrijfsregels voor Gebruikers te benadrukken en deze Medewerkers hierover te informeren. 

Medewerkers moeten jaarlijks een online nalevingstraining volgen rond de Code voor zakelijk gedrag en ethiek, die een gedeelte over gegevensbescherming bevat.  Nieuwe medewerkers moeten de online nalevingstraining volgen zodra zij in dienst treden.

Naast deze online nalevingstraining organiseren het PayPal Global Privacy Team en de Europese functionaris voor gegevensbescherming bewustwordingscursussen op het gebied van privacy en informatiebeveiliging om Medewerkers te wijzen op en informeren over de noodzaak om Persoonsgegevens te beschermen en te beveiligen. Dergelijke opleidingen worden jaarlijks gegeven, of vaker indien de omstandigheden dit vereisen.

De training die Medewerkers krijgen, wordt aangepast aan de mate waarin zij toegang hebben tot Persoonsgegevens van Gebruikers en er wordt aanvullende opleiding verstrekt aan Medewerkers met een hoger toegangsniveau. 

Groepsleden zullen Medewerkers informeren dat het niet naleven van deze Bedrijfsregels voor Gebruikers kan leiden tot disciplinaire maatregelen en andere maatregelen die zijn toegestaan door de toepasselijke wetgeving.  Een exemplaar van deze Bedrijfsregels voor Gebruikers en andere relevante privacy- en beveiligingsgerelateerde beleidsregels en procedures is te allen tijde beschikbaar voor Medewerkers via het intranet van het bedrijf. De Bedrijfsregels voor Gebruikers zijn ook opgenomen in de Code voor zakelijk gedrag en ethiek, die alle Medewerkers moeten lezen en naleven.

Om ervoor te zorgen dat deze Bedrijfsregels voor Gebruikers worden nageleefd, controleert het PayPal Global Privacy Compliance Team regelmatig de verwerkingsactiviteiten en -praktijken op het gebied van Persoonsgegevens van Gebruikers. Deze activiteiten worden gecoördineerd in nauw overleg met de Europese functionaris voor gegevensbescherming. Deze activiteiten vinden periodiek en ten minste jaarlijks plaats en helpen bij het beoordelen van de naleving van de Bedrijfsregels voor Gebruikers.

Het Interne auditteam is een onafhankelijke en objectieve adviseur van het management en de raad van bestuur, die via het auditcomité de bevindingen van de audit doorgeeft aan de raad van bestuur, het Hoofd Privacyrecht en het Hoofd Privacynaleving en de Europese functionaris voor gegevensbescherming. 

Het Interne auditteam kan op regelmatige basis een beoordeling uitvoeren van activiteiten of praktijken die door het Global Privacy Team zijn geïdentificeerd. Het Interne auditteam, het Hoofd Privacyrecht en Hoofd Privacynaleving en de Europese functionaris voor gegevensbescherming schrijven zo nodig voor dat een actieplan wordt uitgevoerd om naleving van deze Bedrijfsregels voor Gebruikers te waarborgen. Voor zover interne groepen de zaken niet adequaat oplossen, kan de Groep onafhankelijke externe auditors aanstellen voor verdere afwikkeling.

De Europese functionaris voor gegevensbescherming, het PayPal Global Privacy Compliance Team of interne auditteams en externe auditors ontwikkelen gedetailleerde auditplannen en -schema's op basis van het risico van de Verwerking.

De resultaten van de privacyaudit zijn op verzoek beschikbaar voor de bevoegde gegevensbeschermingsautoriteiten.

Aangezien de wettelijke vereisten met betrekking tot gegevensbescherming over de hele wereld uiteenlopen, worden in de Bedrijfsregels voor Gebruikers een consistente reeks vereisten vastgelegd om de passende Verwerking van Persoonsgegevens van Gebruikers te helpen waarborgen. Hoewel de Bedrijfsregels voor Gebruikers een basisvereiste vastleggen waaraan Groepsleden moeten voldoen, dienen Groepsleden te voldoen aan de toepasselijke wetten die een strengere norm kunnen opleggen dan de normen die in deze Bedrijfsregels zijn uiteengezet.

Niets in deze Bedrijfsregels voor Gebruikers doet afbreuk aan de verplichtingen van Groepsleden uit hoofde van de toepasselijke bankwetgeving, in het bijzonder met betrekking tot het bankgeheim.   Indien het toepasselijke recht in strijd is met deze Bedrijfsregels voor Gebruikers in die zin dat het een Groepslid kan beletten zijn verplichtingen uit hoofde van de Bedrijfsregels voor Gebruikers na te komen en een aanzienlijk effect kan hebben op de daarin geboden garanties, stelt het Groepslid de Europese functionaris voor gegevensbescherming daarvan onmiddellijk in kennis, tenzij het verstrekken van dergelijke informatie door een wetshandhavingsautoriteit of de wet wordt verboden.  De Europese functionaris voor gegevensbescherming, het Hoofd privacyrecht en Hoofd Privacynaleving en het Leidende groepslid bepalen passende maatregelen en raadplegen in geval van twijfel de bevoegde Gegevensbeschermingsautoriteit.

Groepsleden werken samen en helpen elkaar bij de afhandeling van verzoeken of klachten van Gebruikers met betrekking tot deze Bedrijfsregels voor Gebruikers.

Groepsleden reageren zorgvuldig en passend op verzoeken van Gegevensbeschermingsautoriteiten met betrekking tot de Bedrijfsregels voor Gebruikers.  Indien een Medewerker een dergelijk verzoek van een Gegevensbeschermingsautoriteit ontvangt, moet hij of zij de Europese functionaris voor gegevensbescherming daarvan onmiddellijk in kennis stellen.   

Groepsleden zullen meewerken aan onderzoeken en audits aanvaarden van bevoegde Gegevensbeschermingsautoriteiten in de EER met betrekking tot de naleving van deze Bedrijfsregels voor Gebruikers en zullen hun beslissingen respecteren in overeenstemming met de toepasselijke wetgeving en de rechten inzake een eerlijke rechtsgang.

Groepsleden zullen het advies van de Gegevensbeschermingsautoriteiten opvolgen over kwesties die verband houden met de Bedrijfsregels voor Gebruikers. Elk geschil met betrekking tot de uitoefening van toezicht door een bevoegde Gegevensbeschermingsautoriteit op de naleving van de Bedrijfsregels voor Gebruikers zal worden beslecht door de rechtbanken van de Lidstaat van die Gegevensbeschermingsautoriteit, in overeenstemming met het procesrecht van die Lidstaat. De Groepsleden stemmen ermee in zich te onderwerpen aan de jurisdictie van deze rechtbanken.

PayPal behoudt zich het recht voor om deze Bedrijfsregels voor Gebruikers te wijzigen als dit nodig is, bijvoorbeeld om te voldoen aan wijzigingen in de toepasselijke wetten, regels, voorschriften, PayPal-praktijken, procedures en organisatiestructuur of vereisten die worden opgelegd door de betreffende Gegevensbeschermingsautoriteiten.

Het PayPal Global Privacy Legal Team (onder leiding van het Hoofd Privacyrecht), zal zo nodig wijzigingen voorstellen met betrekking tot deze Bedrijfsregels voor Gebruikers. Het PayPal Global Privacy Compliance Team (onder leiding van het Hoofd Privacynaleving) en de Europese functionaris voor gegevensbescherming moeten alle wijzigingen van de Bedrijfsregels voor Gebruikers goedkeuren en houden alle wijzigingen van de Bedrijfsregels voor Gebruikers evenals alle wijzigingen in de lijst met Groepsleden bij. Groepsleden brengen bij de betreffende Gegevensbeschermingsautoriteiten verslag uit over wijzigingen in de Bedrijfsregels voor Gebruikers voor formele goedkeuring en zoals vereist door de toepasselijke wetgeving.

Het Leidende groepslid raadpleegt de Leidende gegevensbeschermingsautoriteit met betrekking tot materiële wijzigingen in de Bedrijfsregels voor Gebruikers die van invloed kunnen zijn op de naleving van de regels inzake gegevensbescherming of de werking van de Bedrijfsregels voor Gebruikers.  Het Leidende groepslid zal ten minste eenmaal per jaar belangrijke wijzigingen in de Bedrijfsregels voor Gebruikers en wijzigingen in de lijst van Groepsleden meedelen aan de Leidende Gegevensbeschermingsautoriteit. Als een wezenlijke wijziging afbreuk doet aan het beschermingsniveau dat wordt geboden door deze Bedrijfsregels voor Gebruikers of anderszins een aanzienlijke invloed zou hebben op de Bedrijfsregels voor Gebruikers (bijv. wijzigingen in het bindende karakter ervan of wijzigingen in het Leidende groepslid), zullen dergelijke wijzigingen vooraf worden meegedeeld aan de Leidende Gegevensbeschermingsautoriteit met een korte uitleg van de redenen voor de update, zodat de Leidende Gegevensbeschermingsautoriteit samen met andere bevoegde Gegevensbeschermingsautoriteiten kan beoordelen of voor de wijzigingen een nieuwe goedkeuring vereist is.

Het PayPal Global Privacy Team werkt samen om de Europese functionaris voor gegevensbescherming te ondersteunen, die met name de reacties zal coördineren en onverwijld opmerkingen, suggesties of bezwaren zal afhandelen met betrekking tot de wijzigingen die de Leidende gegevensbeschermingsautoriteit namens PayPal heeft ingediend. Alle opmerkingen, suggesties of bezwaren van andere Gegevensbeschermingsautoriteiten worden aan de Europese functionaris voor gegevensbescherming meegedeeld door de Leidende Gegevensbeschermingsautoriteit, die namens de andere Leidende gegevensbeschermingsautoriteiten optreedt.  

Wijzigingen in de Bedrijfsregels voor Gebruikers zijn met ingang van de datum van tenuitvoerlegging van toepassing op alle Groepsleden. Het PayPal Global Privacy Team en de Europese functionaris voor gegevensbescherming zullen de Groepsleden op de hoogte brengen van wijzigingen in de Bedrijfsregels voor Gebruikers voorafgaand aan de implementatie. Groepsleden melden materiële wijzigingen in de Bedrijfsregels voor Gebruikers op voorhand aan de Gebruikers in overeenstemming met de Servicevoorkeuren van de Gebruiker, hetzij per massa-e-mail, hetzij via een bericht op de website, met een duidelijke waarschuwing aan de Gebruikers dat de Gebruikersregels zijn gewijzigd. Groepsleden publiceren de herziene Bedrijfsregels voor Gebruikers op geselecteerde externe websites of toepassingen die toegankelijk zijn voor Gebruikers.  Herzieningen van de Bedrijfsregels voor Gebruikers worden van kracht binnen een periode van twee maanden nadat de Groepsleden de Gebruikers hiervan op de hoogte hebben gebracht en de herziene Bedrijfsregels voor Gebruikers hebben gepubliceerd.

Er vindt geen overdracht plaats aan een nieuw Groepslid totdat het nieuwe Groepslid effectief gebonden is aan de Bedrijfsregels voor Gebruikers en kan zorgen voor naleving.

De Bedrijfsregels voor Gebruikers worden gepubliceerd en op de websites of toepassingen van de Service wordt een link geplaatst.  Ze zullen beschikbaar zijn in de belangrijkste EU-talen. Gebruikers kunnen schriftelijk een exemplaar aanvragen bij de Europese functionaris voor gegevensbescherming (DPO), PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg of online.

Ingangsdatum: Datum van publicatie

Contact: voor vragen of problemen met betrekking tot deze Bedrijfsregels voor Gebruikers kunnen Gebruikers contact opnemen met:

De Europese functionaris voor gegevensbescherming (DPO)

PayPal (Europe) S.à r.l et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg of door contact met PayPal op te nemen via de volgende link: https://www.paypal.com/uk/cshelp/contact-us/privacy

Groepsleden interpreteren de Bedrijfsregels voor Gebruikers op de wijze die het meest consistent is met de basisbegrippen van de beginselen van Verordening (EU) 2016⁄679 of enige andere EU-richtlijn of verordening ter vervanging daarvan.

Voor de toepassing van deze Bedrijfsregels voor Gebruikers gelden de volgende definities:

Raad van bestuur :de raad van bestuur van het Leidende groepslid.

Verwerkingsverantwoordelijke: de rechtspersoon die, alleen of samen met anderen, het doel van en de middelen voor de verwerking van Persoonsgegevens vaststelt.

Gegevensbeschermingsautoriteiten : de onafhankelijke overheidsinstanties die, door middel van onderzoeks- en correctiebevoegdheden, toezicht houden op de toepassing van de wetgeving inzake gegevensbescherming, overeenkomstig hoofdstuk VI van Verordening (EU) 2016/679 en andere relevante nationale wetgeving.

EER: de Europese Economische Ruimte, momenteel bestaande uit de lidstaten van de EU alsmede IJsland, Liechtenstein en Noorwegen.

Medewerker :medewerkers, werknemers, stagiairs en ander personeel of personeelsleden, met inbegrip van voorwaardelijke of tijdelijke werknemers, plaatsvervangers of contractanten van een Groepslid, werkzaam of aangesteld in voltijds of deeltijds dienstverband, ongeacht het soort werk of aanstelling.

Europese functionaris voor gegevensbescherming (DPO): de medewerker die is aangesteld door en verslag uitbrengt aan het management van het Leidende groepslid en die tevens lid is van het PayPal Global Privacy Legal Team. De Europese DPO is gevestigd in Luxemburg.

Groepslid: een entiteit van de PayPal-groep die een exemplaar van de IGA heeft uitgevoerd.

IGA : de Intragroepsovereenkomst tussen het Leidende groepslid en andere Groepsleden van PayPal die deze Bedrijfsregels voor Gebruikers bindende werking geeft binnen de PayPal-groep.

Leidende gegevensbeschermingsautoriteit: de 'Commission Nationale pour la Protection des Données' ('CNPD') in Luxemburg.

Leidend groepslid:  PayPal (Europe) S.à r.l. & Cie, S.C.A., een Luxemburgse besloten vennootschap met beperkte aansprakelijkheid.

PayPal Global Privacy Team: het gecoördineerde PayPal Global Privacy Compliance Team en het PayPal Global Privacy Legal Team.

PayPal Global Privacy Compliance Team: leden van de Nalevingsorganisatie die specifiek bezig zijn met de naleving en werking van het PayPal-privacyprogramma. 

PayPal Global Privacy Legal Team: leden van de Juridische afdeling die specifiek bezig zijn met privacy en gegevensbescherming.

PayPal-groep: PayPal Holdings, Inc.('PayPal') en elke entiteit die rechtstreeks of onrechtstreeks onder de Controle van PayPal valt en die Persoonsgegevens van Gebruikers verwerkt, waarbij Controle het bezit betekent van meer dan vijftig procent (50%) van de stemrechten om de bestuurders van het bedrijf te kiezen, of meer dan vijftig procent (50%) van het eigendomsbelang in het bedrijf.

Persoonsgegevens  betekent elke informatie met betrekking tot een geïdentificeerd of identificeerbaar natuurlijk persoon; een identificeerbare persoon is iemand die direct of indirect kan worden geïdentificeerd, in het bijzonder aan de hand van een identificatienummer of een of meer factoren die kenmerkend zijn voor zijn/haar fysieke, fysiologische, psychische, economische, culturele of sociale identiteit.

Proces   betekent elke bewerking of reeks bewerkingen die zijn uitgevoerd op persoonsgegevens, automatisch of niet, zoals het verzamelen, vastleggen, organiseren, opslaan, aanpassen of wijzigen, opvragen, raadplegen, gebruiken, openbaar maken door overdracht, verspreiden of anderszins beschikbaar maken, op elkaar afstemmen of samenbrengen, blokkeren, wissen of vernietigen van Persoonsgegevens.

Verwerker :een natuurlijke persoon of rechtspersoon die Persoonsgegevens Verwerkt namens een Groepslid.

Bijzondere Persoonsgegevens:  Persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een natuurlijke persoon, informatie met betrekking tot strafbare feiten of informatie over gezondheid, seksleven of seksuele geaardheid blijken.

Service: een website, toepassing of ander product of andere service die door een Groepslid wordt aangeboden voor gebruik door een Gebruiker.

Derde : een natuurlijke persoon of rechtspersoon, overheidsinstantie, agentschap of enig ander orgaan dan de Gebruiker, het Groepslid en de personen die onder rechtstreeks gezag van het Groepslid, zoals Medewerkers, bevoegd zijn om Persoonsgegevens te Verwerken. De term "Derde" omvat Verwerkers die geen Groepslid zijn.

Gebruiker: voormalige en bestaande klanten, potentiële klanten, investeerders, zakelijke partners en webwinkels van de PayPal-groep.

Persoonsgegevens van Gebruikers: Persoonsgegevens die betrekking hebben op Gebruikers.

Inbreuk op Persoonsgegevens van Gebruikers betekent een inbreuk op de beveiliging die leidt tot de onopzettelijke of onwettige vernietiging, het verlies, de wijziging, de ongeoorloofde openbaarmaking van of de toegang tot de Persoonsgegevens van Gebruikers die zijn verzonden, opgeslagen of anderszins verwerkt.

Lijst van Groepsleden

EU/EER-entiteiten

Entiteiten in het Verenigd Koninkrijk

Entiteiten buiten de EU/EER/VK

Lijst van landen

Niet-EU-landen

Verenigd Koninkrijk

EU