데이터 처리 부속서(DPA)

1. 목적과 적용 범위

이 부속서는 컨트롤러가 서비스를 이용하면서 프로세서에게 개인정보 처리를 맡기는 데 적용되며, 이용약관과 이용 계약의 일부입니다.

개인정보 보호에 관해 이용 계약과 다르면 이 부속서가 우선합니다.

2. 처리 내용(부속서 I)

3. 프로세서의 의무

• 컨트롤러의 문서화된 지시(이용 계약·서비스 설정·관리자 조작)에 따라서만 처리하고, 지시가 법령에 어긋난다고 보면 바로 알립니다(제28조 제3항 (a)).
• 처리 권한을 가진 사람에게 비밀유지 의무를 지웁니다((b)).
• 부속서 II의 기술적·관리적 보호조치를 시행합니다(제32조, (c)).
• 정보주체 권리 요청에 응할 수 있도록 기능(내 데이터 내보내기·요청 대기열·삭제 실행)과 지원을 제공합니다((e)).
• 보안·침해 통지·영향평가·사전 협의 의무 이행을 돕습니다(제32조~제36조, (f)).
• 계약이 끝나면 컨트롤러의 선택에 따라 데이터를 돌려주고 삭제합니다. 법령상 보존 의무가 있으면 그 기간 동안 분리 보관합니다((g)).
• 이 부속서를 지킨다는 것을 보여 주는 정보를 제공하고, 합리적인 사전 통지 뒤의 감사(서면 질의·제3자 인증 보고서 우선)에 협조합니다((h)).
• 목적 외 처리 금지, 재위탁 제한, 관리·감독 수용, 손해배상 책임을 집니다(「개인정보 보호법」 제26조 제1항, 시행령 제28조).

4. 하위 처리자

컨트롤러는 부속서 III의 하위 처리자 이용을 일반적으로 승인합니다. 프로세서는 하위 처리자를 더하거나 바꾸기 30일 전에 알리고, 컨트롤러는 합리적인 사유로 이의를 제기할 수 있습니다(제28조 제2항·제4항). 하위 처리자에게는 이 부속서와 같은 수준의 의무를 계약으로 지웁니다.

5. 국외 이전

EU·EEA의 개인정보를 대한민국으로 옮기는 것은 집행위원회 적정성 결정 (EU) 2022/254 에 근거합니다. 하위 처리자가 있는 제3국으로의 이전은 적정성 결정(EU-미국 DPF 등) 또는 표준계약조항(SCC, (EU) 2021/914 — 모듈 3: 프로세서→프로세서)과 추가 보호조치에 근거합니다.

6. 개인정보 침해 통지

프로세서는 침해를 알게 된 뒤 지체 없이(목표 24시간 안) 컨트롤러에 알리고, 컨트롤러가 72시간 안에 신고할 수 있도록(GDPR 제33조, 「개인정보 보호법」 제34조) 성격·범위·영향받은 정보주체와 항목·예상 결과·조치를 알 수 있는 대로 제공합니다.

7. 기술적·관리적 보호조치(부속서 II)

• 전송 구간 암호화(TLS 1.2 이상), 비밀정보·접근 토큰 암호화 보관(AES-256-GCM, 키는 클라우드 키 보관소)
• 테넌트별 데이터 분리(데이터베이스 행 수준 보안), 역할 기반 접근 권한, 최소 권한
• 위변조를 확인할 수 있는 감사 기록(해시 체인) — 기록 전에 이메일·전화번호 등을 가림
• AI 모델 제공자에게는 요청에 필요한 최소 데이터만 전송하고, 업로드·색인 전에 주민등록번호 등을 가림
• 백업과 복구, 장애 관측, 취약점 점검
• 개인정보 취급자 교육과 비밀유지 서약

8. 하위 처리자 목록(부속서 III)

개인정보처리방침 16-4절(수령인과 하위 처리자)의 표가 최신 목록입니다.

9. 기간과 효력

이 부속서는 이용 계약과 함께 효력이 생기고 끝납니다. 계약이 끝난 뒤에도 데이터 반환·삭제와 비밀유지 의무는 남습니다.