Glieli deve inviare tramite connessione SSL e penso che sia anche obbligato da Paypal stesso.
Quindi se si fa arrivare i dati dal form su un suo script, qui verifica che sono coerenti e li invia a Paypal tramite SSL è tutto risolto.