Huling na-update noong Hunyo 8, 2022
Huling na-update noong Hunyo 8, 2022
Ang Controller-to-Controller Standard Contractual Clauses ("SCCs") ay bahagi ng naaangkop na PayPal User Agreement (ang "Kasunduan") sa pagitan mo, na kumikilos bilang isang seller ("ikaw" o "Merchant") at ng PayPal at isinama sa pamamagitan ng pagbanggit dito. Kung sakaling magkakaroon ng anumang salungatan sa pagitan ng mga tuntunin ng SCCs na ito at ng Kasunduan, ang mga tuntunin ng SCCs na ito ang masusunod. Isasaad sa Kasunduan ang kahulugan ng mga naka-capitalize na termino na ginagamit pero hindi binibigyang-kahulugan sa SCCs na ito.
Hanggang sa kinakailangan: (i) ang paglagda mo sa Kasunduan ay ituturing na lagda at pagtanggap sa European Commission Implementing Decision (EU) 2021/914 ng Hunyo 4, 2021 sa standard contractual clauses para sa pagpapadala ng personal na data sa mga third country alinsunod sa Regulation (EU) 2016/679 ("EU Transfer Clauses") ng Merchant, bilang data exporter at sa tungkulin bilang controller; (ii) ang lagda ng PayPal sa Kasunduan ay ituturing na lagda at pagtanggap sa EU Transfer Clauses ng PayPal, bilang data importer at sa tungkulin bilang controller; at (iii) mapapailalim ang mga partido sa mga probisyon ng Module 1 ng EU Transfer Clauses.
Kung sakaling magre-revise ang European Commission at pagkatapos ay magpa-publish ng bagong EU Transfer Clauses (o kung hindi man kinakailangan o ipinapatupad ng European Commission), sumasang-ayon ang mga partido na papalitan ng naturang bagong EU Transfer Clauses ang kasalukuyang EU Transfer Clauses, at gagawin nila ang lahat ng naturang pagkilos na kinakailangan para magkabisa ang pagpapatupad ng bagong EU Transfer Clauses.
Ang EU Transfer Clauses (Module 1) ay isasama sa Kasunduan sa pamamagitan ng pagbanggit at ituturing bilang ganap na maipapatupad sa pagitan ng mga partido sa petsa ng pagkakaroon ng bisa ng Kasunduang ito na sumasailalim sa mga sumusunod na detalye:
Attachment 1
Appendix sa EU Transfer Clauses
Annex 1.A. Naaangkop ang sumusunod, hanggang sa kinakailangan, sa ilalim ng EU Transfer Clauses
Data Exporter
Data Importer
Annex 1.B. Paglalarawan ng Pag-transfer
Mga subject ng data na May-ari ng Naipadalang Personal na Data
Tumutukoy ang naipadalang personal na data sa mga sumusunod na kategorya ng mga subject ng data:
Mga Kategorya ng Na-transfer na Personal na Data
Sensitibong data (kung naaangkop) at Mga Nalalapat na Paghihigpit o Pag-iingat
Tumutukoy ang naipadalang personal na data sa mga sumusunod na kategorya ng sensitibong data:
Nalalapat ang mga paghihigpit at pag-iingat:
Katangian ng Pagpoproseso
Gaya ng nakasaad sa Kasunduan.
(Mga) Layunin ng (mga) Pagpapadala
Ginawa ang pagpapadala para sa mga sumusunod na layunin:
Ang Panahon kung kailan Papanatilihin ang Personal na Data, o, kung hindi iyon Posible, ang Pamantayang Ginagamit para Tukuyin ang Panahong iyon
Pinapanatili lang ng data importer ang personal na data sa tagal na kinakailangan kaugnay ng (mga) nauugnay na layunin kung bakit ito kinolekta (pakitingnan ang mga layunin sa itaas). Para matukoy ang naaangkop na panahon ng pagpapanatili para sa personal na data, isinasaalang-alang ng data importer ang halaga, kalikasan, at pagiging sensitibo ng personal na data, ang potensyal na panganib ng pinsala na dulot ng hindi awtorisadong paggamit o pagbubunyag ng personal na data, ang mga layunin kung saan ipinoproseso ang personal na data at kung makakamit ang mga nasabing layunin sa pamamagitan ng iba pang paraan, at sa naaangkop na legal, panregulatoryo, buwis, accounting o iba pang kinakailangan.
Para sa mga pag-transfer sa Mga (Sub-) Processor, Tukuyin din ang Paksa, Katangian, at Tagal ng Pagpoproseso
Pwedeng magbahagi ang data importer ng personal na data sa mga third-party na service provider na nagsasagawa ng mga serbisyo at function sa tagubilin ng data importer at sa ngalan nito. Halimbawa, ang mga third-party na service provider na ito ay pwedeng magbigay ng elemento ng mga serbisyong ibinigay sa ilalim ng Kasunduan gaya ng pag-verify ng customer, pagpoproseso ng transaction, o customer support, o serbisyo sa data importer na sumusuporta sa mga serbisyong ibinigay sa ilalim ng kasunduang tulad ng storage. Kapag natukoy ang tagal ng pagpoproseso na isinagawa ng mga third-party na service provider, nalalapat ng data importer ang pamantayang ibinigay sa itaas sa Annex1.B.
Annex 1.C. Awtoridad sa Pamamahala
Alinsunod sa Clause 13(a) ng EU Transfer Clauses, ang namamahalang awtoridad na may responsibilidad sa pagtiyak na nakakasunod ang data exporter sa Regulation (EU) 2016/679 tungkol sa pagpapadala ng data, gaya ng ipinapahiwatig sa SCCs na ito, ay dapat kumilos bilang may kapangyarihan at namamahalang awtoridad.
B. Mga Teknikal na Hakbang at Hakbang ng mga Organisasyon Kabilang ang Mga Teknikal at Pang-organisasyong Hakbang para Matiyak ang Security ng Data
Sinisiguro ng mga polisiya ng PayPal ang pagsunod sa prinsipyong ito at kinakailangan nito ang paggamit ng mga teknikal na kontrol para maiwasan ang panganib ng pagbubunyag ng personal na data. Naglalagay ang PayPal ng encryption habang ipinapadala at habang nakaimbak para sa lahat ng personal na data. Gumagamit din kami ng mga pamamaraang nakakasunod sa pamantayan ng industriya sa pag-pseudonymize, gaya ng tokenization para protektahan ang personal na data kung naaangkop. May malawakang polisiya ang PayPal na nagbibigay ng mga pangunahing obligasyon at proseso para protektahan ang data kapag ipinapadala ito sa loob ng enterprise at nang external sa mga third party.
Pinoprotektahan ng matatag na proseso ng pamamahala ng pagbabago ng PayPal ang patuloy na availability at resiliency ng data at mga system sa buong tagal ng bisa ng mga ito sa pamamagitan ng pagtiyak na wastong naplano, naaprubahan, naisagawa, at nasuri ang mga pagbabago. Ang proseso ng pamamahala ng pagpapatuloy ng negosyo ng Kumpanya ay nagbibigay ng balangkas para sa pagbuo ng katatagan ng organisasyon na may kakayahang magkaroon ng mabisang tugon na nangangalaga sa mga interes ng mga pangunahing stakeholder nito.
May mga proseso ang matatag na programa ng pag-recover mula sa sakuna ng PayPal para sa pag-recover ng impormasyon o mga system ng teknolohiya sakaling magkaroon ng anumang malaking pagkaantala, na nagtutuon sa mga IT system na sumusuporta sa pinakamahahalagang proseso ng negosyo at mga activity ng customer. Ang imprastruktura ng teknolohiya ng PayPal ay nakalagak sa maraming secure na data center, na may pangunahin at pangalawang kakayahan, na bawat isa ay may imprastruktura ng network at security, nakatuon na mga server at storage ng application at database.
Regular na pinaplano, ipinapatupad, at inuulat ng PayPal ang tungkol sa mga resulta ng programa ng pagsusuri ng Kumpanya para i-assess at suriin ang pagiging epektibo ng mga hakbang panteknolohiya at pang-organisasyon nito. Ang programa ay pinapamahalaan sa pamamagitan ng aming team ng enterprise para sa panganib at pagsunod na nakikipagtulungan sa mga nauugnay na stakeholder para kumuha at sumuri ng impormasyong kinakailangan para sa pagsusuri, pag-uulat, at pagreremedyo kung kinakailangan.
Kailangan ng mga proseso sa pamamahala ng access ng PayPal sa mga user na mag-log in sa network ng korporasyon gamit ang isang natatanging corporate network account ID at password para sa pagkilala at pag-authenticate sa user bago i-access ang anupamang in-scope na application. Inilapat ang mga naka-automate na polisiya tungkol sa password komposisyon, haba, pagbabago, pag-reuse, at lockout. Ang role-based na access at mga pag-apruba, na sertipikadong quarter, ay ipinapatupad sa lahat ng in-scope system para maipatupad ang hindi bababa sa pribilehiyong alituntunin.
Itinatakda ng mga pandaigdigang polisiya at proseso para sa kaligtasan at security ng PayPal ang mga kinakailangan para mapangasiwaan ang mga proseso ng kaligtasan at security, kasama ang mga pisikal na security, alinsunod sa mga naaangkop na batas, regulasyon, at kinakailangan ng partner. Partikular nang binibigyang pansin ang mga security system at pag-iingat kapag nagtatayo ng mga espesyal o sensitibong lugar gaya ng mga mail room, storage equipment, shipping at pagtanggap, computer/server room, vault ng komunikasyon o lugar na imbakan ng classified na dokumento/impormasyon alinsunod sa pamantayan sa pamamahala ng security ng impormasyon ng Kumpanya.
Ang PayPal ay may nakabalangkas at natukoy na mga uri at katangian ng pag-log in at pag-monitor ng event. Nangongolekta at nag-iipon ang Kumpanya ng ilang uri ng mga log sa naka-centralize na security monitoring system. May itinatag na standard configuration management control para matiyak na makokolekta ang mga log mula sa mga system, at pagkatapos ay ipinapasa sa aming naka-centralize na security monitoring system. Itinakda ng mga polisiya at sumusuportang proseso ng PayPal ang system configuration na iyan at dapat ipatupad ang mga hardening baseline sa lahat ng system.
Itinataguyod ng PayPal ang isang malakas na pilosopiya sa security sa buong Kumpanya. Pinapangasiwaan ng aming Chief Information Security Officer ang security ng impormasyon sa buong pandaigdig na enterprise. Bilang bahagi ng aming Enterprise Risk and Compliance Management Program, ang aming Technology Oversight and Information Security Program ay idinisenyo para suportahan ang Kumpanya sa pamamahala ng mga panganib sa security ng teknolohiya at impormasyon at pagkilala, pagprotekta, pagtukoy, pagtugon at pag-recover mula sa mga banta sa security ng impormasyon. Pinapatunayan at tinitiyak ng PayPal ang mga proseso at produkto nito sa pamamagitan ng iba't ibang programa ng enterprise, kabilang ang (i) mga audit at assessment ng mga teknikal na obligasyon sa pang-industriyang pamantayan ng PayPal kabilang ang, pero hindi limitado sa, ISO 27001, ang mga naaangkop na pamantayan (DSS, PIN, P2PE, atbp.) ng Payment Card Industry (PCI) at American Institute of Certified Public Accountants (AICPA) SOC-1 at SOC-2, (ii) Risk Control Identification Process (RCIP) na tumitiyak sa maagang pakikipag-ugnayan at pamamaaraang ayon sa pamantayan sa pagsukat, pamamahala, at pag-monitor ng panganib na nauugnay sa pagbuo at paglalabas ng mga solution sa produkto, (iii) mga pag-assess sa epekto sa privacy na isinama sa mga unang yugto ng mga proseso ng pag-develop ng produkto at software, at (iv) isang kumprehensibong third party management program, na nagbibigay ng katiyakan sa pamamagitan ng patuloy na pamamahala ng mga panganib sa buong tagal ng bisa ng pakikipag-ugnayan sa isang third party.
Sa pamamagitan ng mga teknikal na kontrol, kinakailangan ng aming mga polisiya na ang mga elemento ng data na nakolekta at na-generate ay ang mga sapat, nauugnay, at limitado sa kung ano ang kinakailangan kaugnay ng mga layunin kung bakit pinoproseso ang mga ito. Tinitiyak ng mga proseso ng PayPal sa pag-assess sa epekto sa privacy na matiyak ang pagsunod sa mga polisiyang ito.
Tinitiyak ng polisiya sa access at kalidad ng PayPal na tama, kumpleto, at updated ang lahat ng personal na data, na nagbibigay-daan sa mga indibidwal na ma-access ang system para iwasto at baguhin ang kanilang impormasyon (hal., address, mga detalye sa pakikipag-ugnayan, atbp.), at, kapag natanggap ang request para sa pagwawasto mula sa isang subject ng data, para magbigay ng serbisyong naghahatid ng kanilang karapatan para sa pagwawasto. Sinusubaybayan ng aming programa ng pamamahala ng data ang kalidad ng data, mga isyu at mga pagremedyo, kung kinakailangan. Kinakailangan namin na mauri ang lahat ng data ayon sa halaga nito sa negosyo nito sa mga nakatalagang panahon ng pagpapanatili, na batay sa mga legal, panregulasyon, at pangnegosyong kinakailangan ng PayPal sa pag-iingat ng record. Kapag nag-expire na ang panahon ng pagpapanatili, dini-dispose, dine-delete, o sinisira ang data at impormasyon.
Nag-develop ang PayPal ng isang hanay ng security ng impormasyon, teknolohiya, pamamahala ng data, pamamahala ng third party, at mga polisiya at prinsipyo sa privacy na nakaayon sa mga pamantayan sa industriya at idinisenyo para makuha ang pakikipatulungan at partnership ng stakeholder sa kamalayan at pagsunod sa mga naturang polisiya at kontrol sa buong organisasyon para matiyak ang paglahok at accountability mula sa itaas pababa sa buong organisasyon. Ang bawat programa ay tumutukoy sa mga accountability para sa mga desisyon, proseso, at kontrol na nauugnay sa cross-functional na data. Bilang isang data controller, ang PayPal ang may responsibilidad para sa at nagpapakita ng pagsunod sa mga nauugnay na artikulo na may dalang obligasyon sa accountability sa GDPR at iba pang naaangkop na batas sa pagprotekta ng data sa pamamagitan ng pagpapatupad ng polisiya sa privacy sa programa at isang pangunahing iba't ibang antas na istruktura sa pang-organisasyon at teknikal na pagkontrol para matiyak ang pagsunod sa batas, regulasyon, polisiya, at mga pamamaraan sa privacy sa buong enterprise. Kasama rito ang kakayahang maipakita ang pagsunod sa mga batas sa pagprotekta ng data sa pamamagitan ng: 1) isang malakas na kultura ng pagsunod, 2) isang istruktura ng pamamahala ng panganib at pagsunod ng enterprise kung saan kasama ang mga komite sa pamamahala, mga tungkulin sa pangangasiwa, pag-uulat ng privacy, 3) accountability sa function ng negosyo para sa pagsunod sa programa ng privacy kasama ang pagtatatag, dokumentasyon, at pagpapanatili ng mga proseso at kontrol ng negosyo, 4) isang pandaigdigang departamento sa privacy sa loob ng Enterprise Compliance Organization para pangasiwaan ang pagsunod ng negosyo sa programa ng privacy at itakda ang mga polisiya, pamantayan, pamamaraan, at tool na pinapatakbo ng mga function ng negosyo, 5) mga komunikasyon sa enterprise ng pandaigdigang function ng privacy para itaguyod ang kamalayan at pag-unawa sa privacy, 6) Enterprise Risk and Compliance Management Framework para matiyak ang paggamit ng mga pare-parehong proseso kabilang ang mga pag-assess sa epekto ng privacy, pag-monitor at pagsusuri sa privacy, pamamahala sa isyu sa privacy, pagsasanay sa privacy, taunang plano sa privacy, at 7) pag-uulat at pagsusuri sa mga komite sa pamamahala na nangangasiwa sa Programa ng Privacy.
May programa ang PayPal para sa pagtiyak na natutugunan ang mga karapatan ng subject ng data, kasama ang pag-access, pagwawasto, at pagbubura. Isinasagawa ang mga request sa pagbubura ng data maliban kung may legal at panregulasyong obligasyon o iba pang lehitimong pangnegosyong dahilan ang PayPal para panatilihin ito. Tinitiyak ng mga polisiya ng PayPal na isasagawa ang pagbubura sa panahon ng lifecycle ng customer.
May kumprehensibong programa sa pamamahala ng third-party ang PayPal, na nagbibigay ng katiyakan sa pamamagitan ng patuloy na pamamahala ng mga panganib sa buong tagal ng bisa ng pakikipag-ugnayan sa isang third party. May mga kontrol kami sa kontrata para i-require ang aming mga processor at kanilang mga subprocessor na maglagay ng kumprehensibong security ng data at mga pamantayan sa privacy sa buong chain ng pagpoproseso. Dapat i-require ng lahat ng subprocessor ang aming paunang pag-apruba bago makilahok.