본 데이터 처리 계약(“DPA”)은 회사와 고객 간의 계약에 대한 부록으로서, 고객이 구독 서비스의 일환으로 회사에 제공하는 개인 데이터의 처리 및 관리에 대한 당사자들의 각 역할을 명시합니다. 본 계약에서 정의되지 않은 모든 대문자 용어는 계약에서 정의된 의미를 갖습니다. 본 DPA는 계약의 종료 또는 만료와 함께 자동으로 종료됩니다. 본 DPA의 어떠한 조항도 계약에 따른 준거법 및 관할권의 적용에 영향을 미치지 않으며, 계약 및 본 DPA에 따라 제기되는 모든 청구에는 계약의 준거법 및 관할권이 적용됩니다.
1. 정의
“제휴하다”"지배"란 당사자가 지배하는 법인, 당사자를 지배하는 법인, 또는 당사자의 공동 지배하에 있는 법인을 의미합니다. 이 정의에서 "지배"란 법인에 대한 50% 지분 이상의 지분을 의미합니다.
“합의”"구독 서비스"란 회사와 고객 간의 구독 서비스 제공에 관한 계약을 의미합니다.
“회사”"회사"는 관련 주문서 및/또는 작업명세서에 명시된 회사 법인을 의미합니다.
“회사 그룹”"Dilicheck SL 및 그 계열사를 의미합니다.".
“고객”"고객 법인"이란 관련 주문서 및/또는 작업명세서에 명시된 고객 법인을 의미합니다.
“데이터 보호 법률”"개인정보 보호법"이라 함은 당사자들이 사업을 운영하거나 서비스를 제공하는 모든 관할 지역에서 개인 데이터의 보호, 처리, 저장, 전송 또는 보안, 개인정보 보호 또는 정보 주체의 권리를 규율하는 모든 관련 법률, 규정, 지침 또는 가이드라인을 의미합니다. 여기에는 유럽연합 일반 데이터 보호 규정(EU) 2016/679("EU GDPR") 및 본 계약에 따라 개인 데이터가 처리되는 모든 관할 지역에서 적용되는 유사한 성격의 기타 데이터 보호 또는 개인정보 보호법, 그리고 기타 현재 또는 미래의 유사한 성격의 법률 및 규정(모두 수시로 개정, 업데이트 또는 재제정됨)이 포함되지만 이에 국한되지는 않습니다.
“데이터 주체”"개인정보"란 고객, 직원, 사용자, 계약자 또는 기타 식별 가능한 개인을 포함하되 이에 국한되지 않고 개인정보의 사용을 통해 직간접적으로 식별될 수 있는 모든 자연인을 의미합니다.
“개인 데이터”"식별 정보"란 식별되었거나 식별 가능한 자연인과 관련된 모든 형태의 정보를 의미합니다. 식별 가능한 개인이란 이름, 식별 번호, 위치 데이터, 온라인 식별자 또는 신체적, 생리적, 유전적, 정신적, 경제적, 문화적 또는 사회적 정체성과 관련된 요소를 포함하되 이에 국한되지 않는 하나 이상의 요소를 참조하여 직간접적으로 식별될 수 있는 사람을 말합니다.
“처리 중”"작업"이란 자동화된 수단을 사용하거나 사용하지 않고 개인 데이터 또는 개인 데이터 세트에 대해 수행되는 모든 작업 또는 일련의 작업을 의미하며, 여기에는 수집, 기록, 구성, 구조화, 저장, 적응 또는 변경, 검색, 조회, 사용, 전송을 통한 공개, 배포 또는 기타 방법으로 제공, 정렬 또는 결합, 제한, 삭제 또는 파기가 포함됩니다.
“표준 계약 조항”"표준 계약 조항"이란 본 데이터 처리 계약(DPA) 체결일 현재 유효한 유럽 위원회 발행의 유럽 경제 지역(EEA) 내 데이터 관리자에서 유럽 경제 지역(EEA) 외부에 설립된 데이터 처리자에게 데이터를 전송하기 위한 표준 계약 조항을 의미합니다. http s : // e ur – l ex . 으 로파 . eu / l 예 al –콘텐츠 /EN / TXT /PDF /? uri = CELEX : 32021 D 0914
“제3국”"국가"란 적절한 보호를 보장하는 시스템이 없는 모든 국가를 의미합니다.
2. 개인정보보호법(DPA)의 적용 범위
본 계약의 일부로서 고객이 회사에 제공하는 모든 개인 데이터와 관련하여, 회사는 데이터 처리자 역할을 하고 고객은 데이터 관리자 역할을 합니다.
3. 개인 데이터 처리
- 본 계약의 목적상, 회사가 고객을 대신하여 처리자로서 활동하는 경우:
- 개인 데이터의 유형 및 데이터 주체의 범주는 다음과 같습니다: 이름, 성, 이메일 주소, 전화번호, 우편 주소;
- 본 처리의 성격/목적은 회사가 GDPR 제27조에 따라 EU 대표 서비스를 제공할 수 있도록 하는 것이며, 여기에는 데이터 주체의 요청 처리 및 지원이 포함됩니다. 처리 기간은 본 계약 기간입니다.
- 회사는 데이터 보호 법률에 따른 의무를 준수해야 하며, 특히 다음과 같은 사항을 준수해야 합니다.
- 개인정보는 본 계약에 명시된 목적을 달성하는 데 필요한 범위 내에서만 처리하며, 해당되는 경우 고객의 서면 지시에 따라 처리합니다.;
- 데이터 보호 법률에 따라 적절한 기술적 및 조직적 조치를 시행하여 그러한 처리로 인해 발생하는 위험에 적합한 수준의 보안을 보장해야 합니다.;
- 당사는 표준 계약 조항의 조건에 따라서만 자사 그룹 내 다른 계열사 또는 하청업체를 통해 제3국에서 개인 데이터를 처리할 수 있습니다.;
- 개인 정보를 처리할 권한을 부여받은 모든 직원 또는 기타 인원이 적절한 기밀 유지 의무를 준수하도록 보장해야 합니다.;
- 본 계약에 따른 처리 의무를 수행하기 위해 고객의 사전 서면 동의를 얻지 않고는 제3자를 고용하지 않으며, 본 하위 조항(v)의 목적을 위해 당사자는 회사가 본 계약에 따라 처리 의무를 수행하기 위해 호스팅 파트너를 고용할 수 있고, 회사 그룹 계열사 또한 위 하위 조항(ii)에 따라 처리 의무를 수행할 수 있다는 데 동의합니다.;
- 데이터 주체로부터 접수된 정보 공개 요청 또는 불만 사항에 대해 합리적으로 가능한 한 빨리 고객에게 통지하고, 해당 요청에 응답하지 않고(고객의 허가를 받았거나 관련 법률에 따라 응답해야 하는 경우는 제외), 고객이 그러한 요청 및 불만 사항과 관련하여 의무를 이행할 수 있도록 합리적으로 가능한 범위 내에서 기술적 및 조직적 조치를 통해 지원합니다.;
- 고객의 요청에 따라, 처리의 성격과 회사가 보유한 정보를 고려하여, 고객이 데이터 보호 법규(해당되는 경우)에 따른 의무를 준수하도록 지원합니다. 구체적으로는 (a) 적절한 기술적 및 조직적 조치를 시행하고, (b) 관련 감독 기관에 개인정보 유출 사실을 통지하거나 해당 데이터 주체에게 관련 데이터 보호 법규에 따라 해당 유출 사실을 알리고, (c) 필요한 경우 데이터 보호 영향 평가를 수행 및/또는 검토하고, 필요한 경우 관련 감독 기관과 협의합니다.;
- 고객의 요청이 있을 경우, 본 조항 3을 준수하고 있음을 입증하는 데 필요한 모든 정보를 제공해야 합니다.
- 계약이 종료되거나 만료되는 경우, 관련 법률에서 요구하는 경우를 제외하고 모든 개인 데이터를 파기하고 해당 개인 데이터의 모든 기존 사본을 삭제해야 합니다.
4. 고객의 의무
고객은 본 계약에 따라 회사가 개인정보를 이용 및 처리할 수 있도록 관련 정보주체로부터 필요한 권한(필요한 경우)을 확보했음을 확인합니다. 고객은 다음을 포함한 모든 관련 데이터 보호 법규를 준수해야 합니다. (i) 고객, 회사 및 고객을 대리하는 제3자의 개인정보 수집, 이용, 처리 및 전송과 관련하여 모든 정보주체에게 필요한 고지 및 적절한 정보 공개를 제공하는 것; (ii) 회사의 의무 이행 또는 본 계약에 따라 허용된 기타 목적을 위해 회사가 개인정보를 처리할 수 있도록 정보주체로부터 필요한 모든 권리 및 유효한 동의를 획득하는 것; (iii) 고객이 특별 범주의 개인정보를 수집 또는 전송하는 경우 정보주체로부터 명시적 동의를 획득하고 모든 관련 데이터 보호 법규를 준수하는 것. 고객은 회사의 구독 서비스가 특별 범주의 개인정보를 수집 또는 처리하도록 설계되지 않았음을 인정합니다.
5. 데이터의 국제 전송
- 당사자들은 서비스 제공 과정에서 유럽 경제 지역(EEA)에서 적용 가능한 데이터 보호 법률에서 요구하는 적절한 수준의 데이터 보호를 제공하지 않는 EEA 외부 관할 지역("제3국")으로 개인 데이터가 전송될 수 있음을 인정합니다. 데이터 처리자는 이러한 전송이 적용 가능한 데이터 보호 법률을 준수하고, GDPR에서 요구하는 수준과 실질적으로 동등한 수준으로 개인 데이터가 보호되도록 적절한 안전장치를 적용하여 이루어지도록 보장해야 합니다.
- 프로세서에서 컨트롤러로의 전송
처리자가 서비스와 관련하여 제3국의 관리자에게 개인 데이터를 전송하는 경우:
(a) 당사자는 그러한 이전이 표준 계약 조항(위원회 시행 결정(EU) 2021/914)에 따라 규율된다는 데 동의합니다.;
(b) 당사자들은 표준 계약 조항의 모듈 4(처리자에서 관리자로)가 적용되는 것에 명시적으로 동의합니다.;
(c) 표준 계약 조항의 목적상 처리자는 데이터 수출자 역할을 하고 관리자는 데이터 수입자 역할을 합니다.;
(d) 표준 계약 조항은 본 데이터 처리 계약에 참조로 통합되며 부록 IV에 전문이 명시되어 있으며 본 계약의 불가분한 일부를 구성합니다.
- 하위 프로세서로의 전송
프로세서가 제3국에 위치한 하위 프로세서와 상호 작용하는 경우:
(a) 처리자는 그러한 전송이 데이터 보호 법률에 따라 적절한 보호 조치를 받도록 보장해야 합니다.;
(b) 해당되는 경우, 그러한 보호 조치에는 프로세서와 관련 하위 프로세서 간의 모듈 3(프로세서 대 프로세서)을 포함한 표준 계약 조항의 실행이 포함되어야 합니다.;
(c) 처리자는 모든 하위 처리자에게 이 DPA에 명시된 것보다 덜 보호적인 계약상 의무를 부과해야 합니다.;
(d) 프로세서는 하위 프로세서의 의무 이행에 대해 컨트롤러에게 전적으로 책임을 져야 합니다.
- 추가 안전 조치 및 이전 영향 평가
프로세서는 다음과 같은 역할을 수행합니다.
(a) 전송 및 후속 처리 중에 개인 데이터를 보호하기 위해 적절한 기술적 및 조직적 조치를 구현해야 하며, 여기에는 적절한 경우 전송 중 암호화, 접근 제어, 데이터 최소화 조치 등이 포함됩니다.;
(b) 필요한 경우 제3국의 법률 및 관행이 표준 계약 조항을 포함한 시행된 안전장치의 효과성에 영향을 미칠 수 있는지 여부를 사례별로 평가합니다.;
(c) 합리적인 요청이 있을 경우, 본 조항 준수를 입증하는 데 합리적으로 필요한 정보(이전 영향 평가의 관련 측면 포함)를 관리자에게 제공합니다.
- 법적 체계의 변화
(a) 표준 계약 조항이 무효화되거나, 수정되거나, 대체되는 경우 또는 (b) 관할 감독 기관이나 법원이 의존하는 보호 조치가 더 이상 적절하지 않다고 판단하는 경우, 당사자는 데이터 보호 법규 준수를 보장하기 위해 필요한 대체 전송 메커니즘 또는 추가 조치를 성실히 이행하기 위해 협력해야 합니다. 그러한 메커니즘을 이행할 수 없는 경우, 데이터 관리자는 불이익 없이 해당 전송을 중단하거나 종료할 수 있습니다.
- 안전조치의 우선순위
본 개인정보처리방침과 표준계약조항 사이에 충돌이 발생하는 경우, 적용 가능한 개인정보 보호 법규를 준수하기 위해 필요한 범위 내에서 표준계약조항이 우선 적용됩니다.
6. 서브프로세서
- 고객은 회사가 제3자 하위 처리업체(이하 "하위 처리업체") 및 회사 그룹 계열사를 통해 개인정보를 처리할 수 있다는 점에 동의합니다. 회사의 현재 하위 처리업체 목록은 본 문서에 명시되어 있으며, 수시로 업데이트될 예정입니다. 회사는 하위 처리업체에 중대한 변경 사항이 있을 경우 고객에게 통지하여 고객이 해당 변경 사항에 대해 합리적인 이의를 제기할 수 있도록 합리적인 노력을 기울일 것입니다. 고객이 새로운 하위 처리업체 선정이 회사의 관련 데이터 보호 법규 준수 능력에 중대한 악영향을 미칠 것이라고 합리적으로 입증할 수 있는 경우, 고객은 그 후 10영업일 이내에 새로운 하위 처리업체 선정에 대한 합리적인 이의 제기 근거를 서면으로 회사에 즉시 통지해야 합니다.
- 고객이 회사의 하위 처리업체에 대한 중대한 변경에 대해 서면으로 이의를 제기하는 경우, 고객과 회사는 지체 없이 협력하여 대안을 제시합니다. 다음 조건이 모두 충족되는 경우, 즉 a) 상호 수용 가능하고 합리적인 대안을 찾을 수 없고, b) 고객에게 관련 데이터 보호 법률에 따른 계약 해지권이 있으며, c) 고객이 본 조항에 따라 신속하게 서면 통지를 제공한 경우, 고객은 새로운 하위 처리업체를 이용하지 않고는 회사가 제공할 수 없는 서비스에 한하여 계약을 해지할 수 있습니다. 관련 데이터 보호 법률에서 금지하지 않는 한, 고객이 조기 해지하는 경우 회사는 해지된 서비스에 대해 고객의 현재 계약 기간 만료일까지의 서비스 요금을 보유하거나 청구할 수 있습니다.
- 회사는 해당 하위 처리업체에도 유사한 데이터 보호 조건을 부과해야 하며, 하위 처리업체로 인해 발생하는 데이터 처리 계약 위반에 대해 회사의 과실 행위 또는 부작위로 인한 경우 해당 위반에 대한 책임을 져야 합니다.
7. 감사
서면 요청이 있고 합리적인 사전 통지(최소 30일 전)가 있는 경우, 회사는 본 데이터 처리 계약에 명시된 의무 준수를 입증하고 고객, 고객이 지정한 다른 독립 감사인 또는 감독 기관이 수행하는 처리 시설에 대한 합리적인 감사(현장 조사 포함)를 가능하게 하고 이에 기여하는 데 합리적으로 필요한 모든 정보를 고객에게 제공해야 합니다. 고객은 관련 데이터 보호 법규에서 달리 요구하거나 고객의 개인 정보에 영향을 미치는 개인 정보 유출이 확인된 경우를 제외하고, 12개월마다 1회 설문 조사 및 필요한 경우 후속 전화 통화를 통해 회사의 처리 활동에 대한 감사 또는 현장 조사를 실시할 수 있습니다. 회사는 감독 기관이 관련 데이터 보호 법규에 따라 데이터 관리자에 대한 감사에 적용하는 것과 동일한 범위 및 조건으로 회사의 처리 시설에 대한 감사를 실시할 권리가 있음에 동의합니다. 회사는 본 조항에 따른 감사 실시를 금지하는 관련 법규가 있는 경우 고객에게 즉시 알려야 합니다. 이러한 경우 고객은 개인정보의 전송을 중단할 권리가 있습니다.
8. 책임
본 데이터 처리 계약에 따른 각 당사자의 책임은 마스터 구독 및 서비스 표준 약관 또는 당사자 간에 체결된 이와 유사한 계약에 명시된 제한 및 면책 조항의 적용을 받습니다.
9. 준거법
본 데이터 처리 계약(DPA)은 구독 및 서비스 표준 약관 또는 당사자 간에 체결된 이와 유사한 계약에 명시된 법률의 적용을 받습니다.