개인정보 처리 부속계약서 (DPA)

본 개인정보 처리 부속계약서(“DPA”)는 주식회사 공도 (“Sandevaux”)와 사업자 고객(“고객”) 간 서비스 이용약관을 보완합니다. 개인정보 보호법 §26에 따른 수탁자, GDPR §28의 “processor”로서 Sandevaux 가 고객의 개인정보를 처리하는 모든 경우에 적용됩니다.

제1조 (역할)

고객은 서비스를 통해 업로드·생성하는 개인정보의 관리자(controller) 이고 Sandevaux 는 수탁자(processor) 입니다. 각 당사자는 자신에게 적용되는 개인정보 보호 법령을 준수합니다.

제2조 (범위·기간·성격·목적)

• 대상: 고객의 주문서에 기재된 서비스 제공에 필요한 처리
• 기간: Sandevaux 가 고객 개인정보를 보유하는 동안
• 성격·목적: 서비스 운영에 필요한 저장·전송·백업·분석 등의 처리
• 개인정보 항목: 계정 식별자, 조직 소속, 이용·활동 메타데이터, 연결된 디바이스 텔레메트리, 고객이 저장하기로 한 콘텐츠
• 정보주체 범주: 고객의 임직원, 초대된 협업자, 고객 배포판의 최종 이용자

제3조 (지시)

Sandevaux 는 고객의 문서화된 지시(약관·본 DPA·서비스 설정)에 따라서만 개인정보를 처리 합니다. 지시가 관련 법령을 위반한다고 판단하는 경우 이를 고객에게 통지합니다.

제4조 (기밀유지)

Sandevaux 는 고객 개인정보를 처리하도록 승인된 인력에게 기밀유지 의무를 부담시킵니다.

제5조 (안전조치)

Sandevaux 는 개인정보처리방침에 기재된 기술적·관리적 보호조치(전송/저장 시 암호화, 역할 기반 접근통제, 감사로그, 사고 대응)를 포함하여 적절한 조치를 시행합니다. 고객은 자신의 보안 요건에 맞게 서비스를 구성할 책임을 부담합니다.

제6조 (수탁자)

고객은 Sandevaux 가 /legal/subprocessors에 게시된 수탁자를 활용함에 일반적으로 동의합니다. Sandevaux 는 신규·교체 수탁자를 30일 이상 사전 안내하고, 본 DPA와 동등 이상의 개인정보 보호 의무를 각 수탁자에게 부담시킵니다. 고객은 해당 페이지에 명시된 절차로 이의를 제기할 수 있습니다.

제7조 (국외 이전)

Sandevaux 가 고객 관할 밖으로 개인정보를 이전하는 경우 EU 표준계약조항(Module 2 또는 Module 3), 적정성 결정 또는 이에 준하는 이전 메커니즘을 적용합니다.

제8조 (정보주체 요청)

Sandevaux 는 처리 성격을 고려하여 열람·정정·삭제·이동성·처리정지 요청에 대응하는 데 합리적 지원을 제공합니다. Sandevaux 에 직접 접수된 요청은 지체 없이 고객에게 전달합니다.

제9조 (사고 통지)

Sandevaux 는 고객 개인정보에 영향을 미치는 개인정보 침해를 인지한 후 지체 없이 고객에게 통지합니다. 통지에는 침해 성격, 영향을 받은 정보주체·기록의 범주와 대략적 수, 예상되는 결과, 취한 또는 제안한 조치가 포함됩니다.

제10조 (반환·파기)

서비스 종료 또는 만료 시 Sandevaux 는 고객의 선택에 따라 고객 개인정보를 반환하거나 파기합니다. 다만 법령상 보존이 요구되는 기간(예: 세법상 청구 기록)은 예외로 합니다.

제11조 (감사)

Sandevaux 는 본 DPA 준수를 입증할 정보를 제공하며, 합리적 사전 통지와 기밀유지 하에서 고객 또는 고객이 지정한 독립 감사인의 감사에 응합니다. 연 1회를 초과하는 감사의 합리적 비용은 고객이 부담합니다.

제12조 (책임)

본 DPA와 관련한 각 당사자의 책임은 약관에 규정된 책임 제한을 따릅니다.

제13조 (준거법)

본 DPA는 약관과 동일한 준거법을 따릅니다.