PayPal

カード処理製品のPayPalデータ保護に関する付帯条項

最終更新日: 2021年9月10日

このカード処理製品のPayPalデータ保護に関する付帯条項(以下「本付帯条項」)は、PayPalグループ(以下「PayPal」)のメンバーが、売り手であるお客様(以下「売り手」または「お客様」)に対して、カード処理、ゲートウェイおよび/または不正防止サービス(以下「支払いサービス」)を提供するすべての製品、サービスまたはその他の提供物に適用されます。本付帯条項は、PayPalでの支払いやPayPalの後払いサービスなどのPayPalウォレットサービスには適用されません。本付帯条項は、PayPalによるお客様への支払いサービスの提供を規定する、売り手とPayPalとの間の関連規約(以下「本規約」)の一部を構成するものとします。本付帯条項の条件と本規約の条件との間に矛盾がある場合、本付帯条項の条件を優先するものとします。本付帯条項で使用されているが定義されていない大文字の用語は、本規約で定められた意味を有するものとします。

本付帯条項は、(i)規約に記載されている発効日、または(ii)本付帯条項に関連してお客様に掲示または提供される通知に記載されている発効日のいずれか遅い日付をもって発効します。弊社は、いつでも本付帯条項を修正することができます。改訂版は、特に断りのない限り、弊社ウェブサイトに掲載された時点で有効になります。変更によりお客様の権利を縮小したり、責任を増大したりする形で本付帯条項を変更した場合、本規約で定められた期間内に、弊社ウェブサイトの[ポリシーの更新]ページに通知を掲載します。お客様が本付帯条項の変更に同意しない場合、お客様は、支払いサービスの使用をいつでも中止することができます。

定義
次の用語は、本付帯条項で使用される場合、以下を意味します。

「管理者」とは、個人データの取扱いの目的および手段を決定する法人を意味します。または、当該用語(または同様の機能に対応する用語)がデータ保護法に規定されている場合には、「管理者」は、適用可能なデータ保護法に規定される意味を有するものとします。

「顧客」とは、支払いサービスを使用し、本付帯条項の目的上のデータ主体である、お客様の顧客を意味します。

「顧客データ」とは、(i)顧客が売り手に提供し、支払いサービスの売り手による使用を通じて売り手がPayPalに渡す個人データ(ii)支払いサービスの売り手による使用を通じてPayPalが顧客の端末およびブラウザから収集し得る個人データを意味します。

「データ保護法」とは、支払いサービスの提供に適用される、適用可能なデータ保護に関する法律、規制、指令、規制要件、および実施規範を意味し、これらに対する修正と関連する規制や文書を含みます。例えば、カリフォルニア州消費者プライバシー法(2018, Cal.Civ.Code §1798.100 et seq)、EU一般データ保護規則2016/679(GDPR)、1988年オーストラリア連邦プライバシー法、個人情報保護および電子文書法(カナダ)、個人情報(プライバシー)条例(Cap.486)(香港)、ブラジル一般データ保護法(2018年連邦法第13709号)、および2012年個人情報保護法(シンガポール)、などが挙げられます。

「PayPalグループ」とは、PayPal, Inc.、およびPayPalまたはその承継人が直接または間接を問わず随時所有または管理するすべての会社を意味します。

「個人データ」とは、識別された自然人または識別可能な自然人(「データ主体」)に関する情報を意味します。識別可能な自然人とは、直接的または間接的に、特に氏名、識別番号、位置情報、オンライン識別子などの識別子、または当該自然人の身体的、生理的、遺伝的、精神的、経済的、文化的、社会的なアイデンティティに固有の1つまたは複数の要素を参照して、識別することができる人物を指します。

「取扱い」または本付帯条項で使用される場合に同様の機能を指す用語は、適用可能なデータ保護法で規定された意味を有するものとします。

管理者としてのPayPal

PayPalは、本付帯条項に基づく顧客データの取扱いに関して、管理者に適用されるデータ保護法の要件を遵守し(顧客データの取扱いに関連して常に適切なセキュリティ対策を実施および維持することを含みますが、これに限定されません)、データ保護法の売り手による違反につながる可能性の高い行為を顧客データに関して故意に行わず、また行うことを許可しないものとします。顧客データ。PayPalは、顧客データを、本付帯条項に記載されている条件と同等の保護性を有する顧客データの保護に関する条件を含む書面による契約書に署名した第三者、下位の取扱い者、またはPayPalグループのメンバーにのみ移転するものとします。

支払いサービスに関連した顧客データの取扱い

両当事者は、売り手およびPayPalが、支払いサービスに関連して取り扱われるすべての顧客データに関して、それぞれ独立した管理者であることを認め、これに同意するものとします。したがって、PayPalは、当該顧客データの取扱いの目的および手段を独立して決定し、当該顧客データに関して売り手との共同管理者ではありません。

両当事者は、以下の限定された目的のために、PayPalによる顧客データおよび支払い取引データの使用、複製ならびに取扱いが許可されていることを認め、これに同意するものとします。

売り手およびその顧客への(不正対策ツールを含む)支払いサービスの提供および改善のために合理的に必要な場合。
不正な支払い取引の監視、防止、検出と、売り手、PayPal、第三者への損害の発生防止。
PayPalに適用される支払いデータの取扱いおよび保持に適用される法的または規制上の義務(適用されるマネーロンダリング防止および本人確認の義務を含む)への準拠。
PayPalの製品およびサービスの分析、開発、および改善。
データ分析およびデータ表の社内使用(ただし、これらに限定されない)。
お客様の個人またはユーザーの顧客データが特定できない場合における、顧客データおよび支払い取引データの集計と開示(地域または業界別の平均の計算を含む)。
適用される法的要件の遵守と、法律に従って情報開示の要求に対応することによる法執行機関の支援。
データ保護法に準拠する目的に限り、売り手に通知するその他の目的。

売り手から顧客への通知

売り手は、(i)本付帯条項に記載の通り、顧客データを取扱う目的においてPayPalが独立した管理者であることを、自身のプライバシーポリシーにおいて顧客に通知し、(ii)売り手のプライバシーステートメントにPayPalプライバシーステートメントへのリンクを掲載するよう、商取引上の合理的な努力を払うものとします。

相互扶助

両当事者は、他方当事者がデータ保護法のもとで独立した管理者としての責任を適切に果たすことができるよう合理的に必要な範囲で、相互に協力することに合意します。売り手がデータ保護法のもとでの顧客による個人情報の開示請求または権利行使を受けた場合、売り手がそのような顧客のアクセス要求に直接応えるものとすることに、両当事者は同意します。また、売り手は、www.paypal.comに記載されているプライバシーステートメントに記載されている指示に従って、PayPalを使用した支払いサービスに関連してデータ主体の権利を行使できることを顧客に通知するものとします。また、PayPalは、セキュリティインシデントに関連して、影響を受ける顧客に通知する必要があると独自の判断において決定を下し、PayPalがそのような連絡を行う上で、影響を受ける顧客に関する必要な連絡先情報を保持していない場合、売り手は商業的に合理的な努力を払って、データ保護法に基づいて、PayPalが影響を受けた顧客への通知義務を遵守するという限られた目的のために、売り手が有する顧客の情報をPayPalに提供するものとします。

国境を越えたデータの移転

両当事者は、PayPalが、本規約に基づいて取り扱う顧客データを、支払いサービスを提供するために必要に応じて収集された国以外に移転する場合があることに同意するものとします。PayPalが本付帯条項の下で保護された顧客データを、データが収集された国の関連規制当局が妥当性の判断を下していない管轄区域に同データを移転する場合、PayPalは、適用されるデータ保護法に従って、顧客データの移転に適切な保護措置が取られることを保証します。例えば、GDPRを遵守するため、顧客の個人データを他のPayPalグループの他のメンバーに移転する際は、管轄監督機関が承認した拘束力のある法人規則およびその他のデータ移転方法を使用します。

欧州連合、スイス、欧州経済領域、またはその加盟各国および英国に所在地のあるお客様の顧客データを PayPalへ移転することに関して、両当事者は、(i)お客様が本規約に署名することは、データ輸出者である売り手が、2004年12月27日に欧州委員会の決定(C(2004)5721)により承認された管理者ー管理者間の標準的契約条項 (以下「管理者ー管理者間の移転条項」)に署名し、これを承諾したとみなされること、(ii)PayPalが本規約に署名することは、データ輸入者であるPayPalが、管理者ー管理者間の移転条項に署名し、これを承諾したとみなされることに同意します。欧州委員会が新たな管理者ー管理者間の移転条項を改定し、その後に公表する場合、または欧州委員会が他の方法で要求または実施する場合、両当事者は、かかる新しい管理者ー管理者間の移転条項が現在の管理者ー管理者間の移転条項に取って代わることに同意します。管理者ー管理者間の移転条項は、参照することにより規約に組み込まれ、以下の詳細に従い、本規約の発効と同時に両当事者間で適切に履行されたものとみなされます。

PayPalは、管理者ー管理者間の移転条項Set II 、条項II(h)(iii)に従い顧客データを処理することに同意し、本規約に署名することにより、かかる条項II(h)(iii)に適切に署名し承諾したものとみなされます。
管理者ー管理者間の移転条項の別紙Bのもとで要求される詳細が別紙1のとおりであることに両当事者は同意します。

別紙1

管理者ー管理者間の移転条項別紙B

データ主体
移転される個人データは、以下のデータ主体に関連するものです。

データ輸出者およびその顧客

移転の目的
移転は以下の目的のために行われます。

本規約に従って、データ輸入者がデータ輸出者に対して提供するサービスの遂行

データのカテゴリ
移転される個人データには、以下のデータのカテゴリが含まれる場合があります。

顧客の名前、請求金額、日時、銀行口座の詳細、カードの詳細情報、CVCコード、郵便番号、国名コード、住所、メールアドレス、ファックス、電話、ウェブサイト、有効期限データ、配送の詳細、課税状況、固有の顧客ID、IPアドレス、所在地、および本規約のもとでPayPalが受領したその他のデータ

受取人
移転された個人データは、以下の受取人にのみ開示することができます。

本規約に基づく輸入者のサービスプロバイダ、関連会社、およびサービスを遂行する人物

機密データ (適切な場合)
移転される個人データは、以下の機密データのカテゴリに関連します。

マーチャントが当該データを保存するようサービスを設定しない限り、適用されません。

データ輸出者のデータ保護登録情報 (該当する場合)

適用されません。

有用な付属情報 (保管期限などの関連情報)

本規約に定めるものとします。

データ保護に関するお問い合わせ

データ輸入者への連絡先は、本規約に記載されています。

データ輸出者への連絡先は、本規約に記載されています。