데이터 처리 계약

1. 적용 범위 및 역할

본 데이터 처리 계약("DPA")은 고객이 사업자로서 서비스를 이용하고 Rediacc가 고객을 대신하여 고객 개인 데이터를 처리하는 경우, Rediacc OÜ("Rediacc", "처리자")과 고객 사이의 이용 약관의 일부를 이룹니다. 이용 약관에서 정의된 용어는 여기서도 같은 의미를 가집니다. 본 DPA는 영어로 작성되었으며 번역본은 편의를 위해서만 제공됩니다. 번역본이 영어본과 다른 경우 영어본이 우선합니다.

고객 개인 데이터에 관하여 고객은 컨트롤러(또는 자신의 컨트롤러를 위해 활동하는 처리자)이고 Rediacc는 처리자(또는 하위 처리자)입니다. 계정, 청구 및 동의 기록과 텔레메트리 데이터에 대해서는 개인정보 처리방침에 설명된 대로 Rediacc가 독립적인 컨트롤러이며, 본 DPA는 그 처리에는 적용되지 않습니다.

고객의 머신에 있는 고객 데이터는 Rediacc가 처리하지 않습니다. 암호화된 설정 저장소와 호스팅 백업은 Rediacc가 보유하지 않은 키로 암호화되므로, Rediacc는 해당 데이터 블롭을 저장하지만 그 내용을 읽을 수 없습니다.

2. 정의

• "데이터 보호법"은 EU 일반 개인정보 보호법(규정(EU) 2016/679, "GDPR"), 영국 GDPR 및 본 DPA에 따른 처리에 적용되는 그 밖의 데이터 보호 관련 법률을 의미합니다.
• "고객 개인 데이터"는 플랫폼을 제공하면서 Rediacc가 고객을 대신하여 처리하는 개인 데이터를 의미하며, 예를 들어 고객이 초대한 승인된 사용자와 팀원의 이름 및 이메일 주소, 그리고 고객이 플랫폼에 저장하는 암호화된 데이터가 이에 해당합니다.
• "개인 데이터 침해", "처리", "컨트롤러", "처리자" 및 "정보 주체"는 GDPR에서 부여된 의미를 가집니다.
• "SCC"는 유럽 집행위원회 이행 결정(EU) 2021/914에 따라 승인된 표준 계약 조항을 의미합니다.
• "하위 처리자"는 고객 개인 데이터를 처리하기 위해 Rediacc가 선정한 제3자를 의미합니다.

3. 지침에 따른 처리

Rediacc는 법률이 달리 요구하는 경우를 제외하고, 문서화된 고객의 지침(이용 약관, 본 DPA, 그리고 고객의 서비스 사용 및 설정)에 따라서만 고객 개인 데이터를 처리합니다. 법률이 달리 요구하는 경우, 법률이 금지하지 않는 한 Rediacc는 처리 전에 고객에게 알립니다. Rediacc는 어떤 지침이 데이터 보호법을 위반한다고 판단하면 고객에게 알립니다.

4. 처리의 세부 사항

• 대상과 목적: 계정 및 팀 관리, 라이선스 발급, 암호화된 설정 저장, 호스팅 백업 스토리지 및 지원을 포함한 플랫폼 제공
• 기간: 이용 약관의 존속 기간에 제11조에 정한 삭제 기간을 더한 기간
• 처리의 성격: 수집, 저장, 전송, 조회 및 삭제
• 정보 주체의 범주: 고객의 승인된 사용자, 초대된 팀원 및 파트너 담당자
• 개인 데이터의 범주: 이름, 이메일 주소, 조직과 직책, 인증 데이터(비밀번호 해시, 패스키 공개 키), 세션의 네트워크 주소와 사용자 에이전트, 그리고 고객이 플랫폼에 저장하는 암호화된 데이터 안에 포함된 모든 개인 데이터
• 특수 범주: 의도하지 않으며, 고객은 특수 범주의 데이터를 암호화하지 않은 채로 플랫폼에 저장해서는 안 됩니다

5. 기밀 유지

Rediacc는 고객 개인 데이터를 처리할 권한이 있는 모든 사람이 기밀 유지 의무를 지도록 보장합니다.

6. 보안

Rediacc는 GDPR 제32조에 따라 다음을 포함한 적절한 기술적, 관리적 조치를 시행합니다:

• 전송 중(TLS 1.2 이상) 및 저장 중 암호화, 그리고 Rediacc가 보유하지 않은 키를 사용한 설정 저장소와 호스팅 백업의 클라이언트 측 암호화
• 다단계 인증을 적용하여 운영 시스템에 대한 접근을 권한 있는 인원으로 제한
• 고객 데이터의 논리적 분리 및 리전별 데이터 저장
• 운영 시스템의 로깅 및 모니터링, 그리고 보안 조치의 정기적인 테스트

7. 하위 처리자

고객은 Rediacc가 하위 처리자를 선정하는 것을 승인합니다. Rediacc는 각 하위 처리자에게 본 DPA보다 덜 엄격하지 않은 데이터 보호 의무를 부과하며, 하위 처리자의 이행에 대해 계속 책임을 집니다. 현재의 하위 처리자는 다음과 같습니다:

• Cloudflare, Inc.(미국, 글로벌 네트워크): 계정 포털과 API(Workers), 계정 데이터베이스(D1), 호스팅 백업 및 객체 스토리지(R2), 콘텐츠 전송과 DNS, 양식의 봇 방지(Turnstile) 호스팅
• Amazon Web Services, Inc.(Amazon Simple Email Service, 고객의 계정 리전을 담당하는 AWS 리전): 로그인 링크, 알림, 청구서와 같은 트랜잭션 이메일 발송
• Stripe, Inc. 및 그 계열사(미국 및 아일랜드): 유료 구독의 결제 처리, 구독 청구, 청구서 발행 및 세금 계산
• Hostinger(유럽 연합 내 가상 서버): 텔레메트리 데이터와 서비스 로그를 수신하는 텔레메트리 및 관측 엔드포인트(otlp.rediacc.io) 호스팅

Rediacc는 하위 처리자를 추가하거나 교체하기 최소 30일 전에, 이 페이지를 업데이트하고 계정 이메일로 알립니다. 고객은 그 기간 내에 합리적인 데이터 보호상의 이유로 이의를 제기할 수 있습니다. 양 당사자가 이의를 해결하지 못하는 경우, 고객은 영향을 받는 서비스를 해지하고 해지 이후 기간에 대해 선불로 지급한 요금을 환불받을 수 있습니다.

웹사이트 분석(Plausible)은 고객 개인 데이터를 처리하지 않으며 개인정보 처리방침의 적용을 받습니다.

8. 국제 이전

고객 개인 데이터가 적정성 결정이 없는 유럽 경제 지역 밖의 국가로 이전되는 경우, SCC가 참조에 의해 본 DPA에 포함됩니다. 고객이 컨트롤러인 경우에는 모듈 2(컨트롤러에서 처리자로), 고객이 처리자인 경우에는 모듈 3(처리자에서 처리자로)이 적용됩니다. SCC와 관련하여, 선택적 도킹 조항(제7조)이 적용되고, 제9조(a)의 옵션 2(일반 승인)가 본 DPA 제7조에 정한 통지 기간과 함께 적용되며, 제11조의 선택적 문구는 적용되지 않고, 제17조와 제18조는 에스토니아의 법률과 법원을 선택하며, 부속서 I과 II는 본 DPA의 제1조, 제4조, 제6조로, 부속서 III은 제7조로 완성됩니다.

영국 GDPR의 적용을 받는 이전에는 SCC와 함께 영국 정보위원회(Information Commissioner)가 발표한 국제 데이터 이전 부속서가 적용됩니다. Rediacc는 EU-미국 데이터 프라이버시 프레임워크 인증을 받은 하위 처리자에 대해서는 이 프레임워크에 의존합니다.

9. 정보 주체의 요청 및 지원

Rediacc는 고객 개인 데이터에 관한 정보 주체의 요청을 즉시 고객에게 전달하며, 고객의 지침이 있는 경우를 제외하고는 직접 답변하지 않습니다. 처리의 성격을 고려하여, Rediacc는 그러한 요청에 대한 답변과, 데이터 보호 영향 평가 및 사전 협의를 포함하여 GDPR 제32조부터 제36조에 따른 고객의 의무 이행을 지원합니다.

10. 개인 데이터 침해

Rediacc는 고객 개인 데이터에 영향을 미치는 개인 데이터 침해를 알게 된 후 부당한 지체 없이, 어떠한 경우에도 72시간 이내에 고객에게 통지합니다. 통지에는 알려진 범위에서 침해의 성격, 관련된 정보 주체와 기록의 범주 및 대략적인 수, 예상되는 결과, 그리고 취했거나 제안하는 조치가 기재됩니다. Rediacc는 침해를 차단하고 시정하기 위해 합리적인 조치를 취합니다.

11. 삭제 또는 반환

서비스가 종료되면 고객은 30일 이내에 고객 개인 데이터를 내보낼 수 있습니다. 그 후 Rediacc는 법률에 따라 Rediacc가 보관해야 하는 경우를 제외하고, 고객 개인 데이터를 운영 중인 시스템에서 삭제하며 백업에서는 90일 이내에 삭제합니다.

12. 감사

Rediacc는 GDPR 제28조 준수를 입증하는 데 필요한 정보를, 주로 합리적인 보안 질의서에 대한 서면 답변과 Rediacc 및 하위 처리자의 이용 가능한 감사 보고서 및 인증을 통해 고객에게 제공합니다. 그 정보가 충분하지 않거나 감독 당국이 요구하는 경우, 고객은 자신의 비용으로, 30일 전에 통지하고, 영업 시간 중에, 연 1회를 넘지 않게, 기밀 유지 의무 하에, 서비스나 다른 고객에게 지장을 주지 않는 방식으로 감사를 실시할 수 있습니다.

13. 책임 및 우선순위

본 DPA에 따른 각 당사자의 책임은 데이터 보호법이 허용하지 않는 경우를 제외하고는 이용 약관의 제한을 따릅니다. 본 DPA가 이용 약관과 충돌하는 경우 고객 개인 데이터의 처리에 대해서는 본 DPA가 우선하며, SCC가 본 DPA와 충돌하는 경우에는 SCC가 우선합니다.

14. 본 DPA의 출처

본 DPA의 일부는 Common Paper Data Processing Agreement Standard Terms Version 1.1(commonpaper.com/standards/data-processing-agreement/1.1)에서 가져와 수정한 것이며, 이는 Common Paper, Inc.가 크리에이티브 커먼즈 저작자표시 4.0 국제 라이선스(CC BY 4.0)로 공개한 것입니다. 본문은 재구성 및 축약되었고 서비스에 맞게 수정되었습니다. Common Paper, Inc.는 본 DPA를 보증하지 않습니다.