데이터 처리 계약

1. 정의

여기에서 정의되지 않은 대문자 용어는 약관에 부여된 의미를 갖습니다. "GDPR"은 Regulation (EU) 2016/679을 의미합니다. "UK GDPR"은 영국에 적용되는 GDPR의 잔존 EU법 버전을 의미합니다. "관련 데이터 보호법"은 GDPR, UK GDPR, 스위스 FADP, 캘리포니아 소비자 프라이버시법(개정판), 그리고 본 DPA에 따른 처리자의 처리에 적용되는 기타 데이터 보호 또는 프라이버시 법률을 의미합니다. "개인정보", "관리자", "처리자", "정보주체" 및 "처리"는 GDPR에 부여된 의미를 갖습니다.

2. 범위, 역할 및 대상

ONTHEBIAS는 관리자가 ONTHEBIAS 플랫폼을 이용할 때 관리자가 제출하거나 관리자를 대신하여 생성되는 개인정보의 처리자로서 행동합니다. 처리의 대상은 약관에 따른 ONTHEBIAS 디자인, 생성 및 마켓플레이스 플랫폼의 제공입니다. 기간은 약관의 기간에 아래에 설명된 종료 처리 기간을 더한 것입니다. 처리의 성격 및 목적은 약관 및 부속서 1에 설명되어 있습니다. 개인정보 및 정보주체의 범주는 부속서 1에 설명되어 있습니다.

3. 처리자의 의무

처리자는 다음을 이행합니다:

• 관련 법률에 의해 달리 요구되는 경우를 제외하고, 국제 이전에 관한 것을 포함하여 관리자의 문서화된 지시에 따라서만 개인정보를 처리할 것(그러한 경우 법률이 공개를 금지하지 않는 한 처리자는 관리자에게 알림);
• 개인정보를 처리할 권한이 있는 자가 구속력 있는 기밀 유지 의무를 부담하도록 보장할 것;
• 개인정보를 보호하기 위한 적절한 기술적 및 조직적 조치를 시행할 것(부속서 2 참조);
• 처리의 성격을 고려하여, 정보주체 요청에 응답할 관리자의 의무 이행을 지원할 것;
• 데이터 보호 영향 평가 및 감독 기관과의 사전 협의에 관하여 관리자를 지원할 것;
• 관리자의 데이터에 영향을 미치는 개인정보 침해를 인지한 후 부당한 지체 없이(어떠한 경우에도 72시간 이내에) 관리자에게 통지할 것;
• 관리자의 선택에 따라, 서비스 제공 종료 시 모든 개인정보를 삭제하거나 반환하고, 관련 법률상 보관이 요구되지 않는 한 기존 사본을 삭제할 것;
• 본 DPA 준수를 입증하는 데 합리적으로 필요한 모든 정보를 관리자에게 제공할 것.

4. 하위 처리자

관리자는 다음을 조건으로 처리자가 하위 처리자를 참여시킬 수 있도록 일반적인 승인을 부여합니다. 처리자는 개인정보 처리방침 페이지에 최신 하위 처리자 목록을 유지하며, 추가 또는 교체가 있는 경우 시행 최소 30일 전에 앱 내에서 관리자에게 사전 통지합니다. 관리자는 그 통지 기간 내에 합리적인 데이터 보호 사유로 새 하위 처리자에 이의를 제기할 수 있으며, 처리자가 그 이의를 합리적으로 수용할 수 없는 경우 관리자는 영향을 받는 서비스 부분을 해지하고 사용하지 않은 선불 기간에 대해 일할 계산된 환불을 받을 수 있습니다. 처리자는 각 하위 처리자에게 본 DPA와 최소한 동일하게 보호적인 데이터 보호 의무를 부과합니다.

5. 국제 이전

처리자가 EEA, 영국 또는 스위스의 정보주체의 개인정보를 해당 관할권 외부의 적정성 결정 혜택을 받지 못하는 국가로 이전하는 경우, 그 이전은 유럽 위원회의 표준 계약 조항(해당하는 경우 Module 2, 관리자 대 처리자, 또는 Module 3, 처리자 대 하위 처리자), 영국 국제 데이터 이전 부록, 그리고 이에 상응하는 스위스 수단의 규율을 받으며, 각각은 참조로 본 DPA에 편입되고 충돌이 있는 경우 우선합니다. 관리자와 처리자는 각각 데이터 수출자와 데이터 수입자로서 행동하며, 적절한 선택적 조항(Clause 7 도킹, 옵션 없는 Clause 11, Clause 17 Option 1(합의될 회원국의 법) 및 Clause 18(b) 해당 회원국의 관할 포함)이 적용됩니다.

6. 정보주체 요청

처리자가 관리자를 대신하여 처리된 개인정보에 관하여 정보주체로부터 요청을 수령하는 경우, 처리자는 직접 응답하지 않고(수령 확인은 제외) 부당한 지체 없이 그 요청을 관리자에게 전달합니다. 처리자는 처리의 성격을 고려하여 관리자의 응답을 지원합니다.

7. 감사

처리자는 본 DPA 준수를 입증하는 데 합리적으로 필요한 정보를 관리자에게 제공하며, 여기에는 독립 감사 및 인증(처리자가 취득한 경우)의 요약이 포함됩니다. 관리자가 합리적으로 추가 정보 또는 현장 감사를 요구하는 경우, 관리자는 최소 60일 전 서면 통지로, 영업 시간 중에, 합리적인 기밀 유지 및 보안 제약을 조건으로, 관리자의 비용으로 연 1회 처리자를 감사할 수 있습니다. 감독 기관이 감사를 요구하는 경우, 처리자는 법률상 요구되는 대로 협조합니다.

8. 기간 및 해지

본 DPA는 상단에 명시된 날에 발효되어, 약관의 기간 동안 효력을 유지하며, 약관의 해지 시 자동으로 종료됩니다. 해지 시 처리자는 관리자의 선택에 따라 30일 이내에 모든 개인정보를 반환하거나 삭제하며, 관련 법률상 보관이 요구되는 경우는 예외입니다(그러한 경우 처리자는 해당 데이터의 기밀성을 유지하고 요구되는 대로만 처리함).

9. 책임 및 우선순위

약관의 책임 한도 및 배제가 본 DPA에 적용됩니다. 본 DPA와 약관 간에 충돌이 있는 경우, 개인정보 처리에 관한 사항에 대해서는 본 DPA가 우선합니다. 본 DPA와 표준 계약 조항 간에 충돌이 있는 경우, 표준 계약 조항이 우선합니다.

10. 반대 서명 방법

약관을 수락함으로써 관리자는 본 DPA를 수락한 것으로 간주됩니다. 관리자의 기록을 위해(예: 조달 파일용) 서명된 부본이 필요한 경우, 본 페이지를 PDF로 다운로드하여 서명란을 추가하고 서명된 사본을 privacy@onthebias.co로 이메일을 보내 주십시오. ONTHEBIAS가 반대 서명하여 10영업일 이내에 반환하겠습니다.

부속서 1 - 처리에 대한 설명

대상. ONTHEBIAS 디자인, AI 생성 및 마켓플레이스 플랫폼의 제공.

기간. 약관의 기간에 반환 또는 삭제를 위한 최대 30일을 더한 기간.

성격 및 목적. 호스팅, 저장, 데이터베이스, 인증, AI 생성, 이메일 전달, 결제 처리, 마켓플레이스 라우팅, 분석, 보안 모니터링.

개인정보의 범주. 계정 데이터(이메일, 이름, 워크스페이스), 디자인 콘텐츠, 채팅 및 RFQ 콘텐츠, 이용 원격 측정, IP 주소, 상거래 데이터(구독, 크레딧, 주문, 청구서), 그리고 (동의가 있는 경우에만) 마케팅 환경설정.

특별 범주. 의도된 바 없음. 관리자는 별도의 서면 수정안에서 명시적으로 합의하지 않는 한 서비스를 통해 특별 범주 개인정보(건강, 생체 인식, 정치적 견해 등)를 제출해서는 안 됩니다.

정보주체의 범주. 관리자의 인력, 계약자, 그리고 관리자가 플랫폼에 데이터를 제출하는 기타 모든 개인.

빈도. 관리자가 서비스를 이용하는 동안 지속적.

수신자. 개인정보 처리방침에 열거된 하위 처리자, 그리고 법적으로 요구되는 경우 법 집행 또는 감독 기관.

부속서 2 - 기술적 및 조직적 조치

처리자는 다음 조치를 시행합니다:

암호화. 전송 중 데이터에 대해 TLS 1.2 이상; 기본 데이터베이스 및 파일 저장의 저장 데이터에 대해 AES-256.

접근 제어. 역할 기반 접근 제어, 직원에 대한 MFA를 갖춘 SSO, 최소 권한 원칙, 그리고 사용자 데이터에 대한 행 수준 보안.

로깅 및 모니터링. 관리 작업에 대한 감사 로그; Sentry를 통한 오류 및 성능 모니터링; 이상 징후에 대한 경보.

강화. 정기적인 의존성 업데이트, 취약점 스캔 및 코드 검토; 소스 관리가 아닌 관리형 시크릿 저장소에 저장되는 시크릿.

백업 및 복구. 암호화된 저장 및 테스트된 복원을 갖춘 자동 일일 백업.

사고 대응. 탐지, 봉쇄, 통지 및 사고 후 검토를 위한 문서화된 절차.

인력. 고용 계약상의 기밀 유지 의무, 적법한 경우 배경 조사, 그리고 정기적인 보안 교육.

물리적 보안. 기본 호스팅 및 하위 처리자 인프라는 당사 하위 처리자가 운영하는 보안 데이터 센터에 위치합니다(최신 목록은 개인정보 처리방침 참조). 당사는 자체 데이터 센터를 운영하지 않습니다.