본 데이터 처리 계약(“DPA”)은 ELXAO SASU(“프로세서”)와 고객(“컨트롤러”) 간의 계약의 핵심 부분을 구성하며 규정(EU) 제28조를 구현합니다. 2016/679(“GDPR”) 및 프랑스 데이터 보호법(1978년 1월 6일 Loi n° 78-17 개정). 이는 ELXAO가 서비스 제공 과정에서 컨트롤러를 대신하여 개인 데이터를 처리할 때마다 적용됩니다.
정의
"개인 데이터", "처리", "컨트롤러", "프로세서", "하위 프로세서", "데이터 주체", "특수 범주 데이터" 및 "개인 데이터 침해"라는 용어는 GDPR 제4조에 명시된 의미를 갖습니다. 본 DPA가 명시적으로 우선 적용되는 경우를 제외하고 계약 조건은 본 DPA에 적용됩니다.
처리 주제, 기간 및 성격
| 항목 | 설명 |
|---|---|
| 소재 | 컨트롤러를 대신하여 마케팅 운영 서비스(웹사이트, SEO, 유료 미디어, 분석, CRM/이메일, 브랜딩, 소셜 미디어, 현지화, PM/이벤트) 제공. |
| 기간 | 서비스 기간에 아래에 명시된 보유 기간을 더한 기간입니다. |
| 성격과 목적 | 서비스 제공에 필요한 개인 데이터의 저장, 구성, 분석, 전송, 호스팅 및 삭제. |
| 데이터 주체의 카테고리 | 컨트롤러의 최종 사용자, 잠재 고객, 고객, 가입자, 직원, 공급업체 및 이벤트 참석자. |
| 개인정보의 카테고리 | 식별 데이터(이름, 직위), 연락처 데이터(이메일, 전화, 우편 주소), 직업 데이터(회사, 역할), 온라인 식별자(IP, 쿠키, 장치 ID), 행동 데이터(클릭, 세션, 전환), 상업 데이터(주문, 청구), 이벤트 데이터(등록, 출석, 배지, 녹음). |
| 특수 카테고리 데이터 | 기본적으로 처리되지 않습니다. 모든 예외에는 서면 지침과 추가 보호 장치가 필요합니다. |
역할 및 지침
컨트롤러는 처리 목적과 수단을 결정합니다. ELXAO 개인 데이터는 계약, 명령, SLA, 컨트롤러의 개인정보 보호정책 및 이후 전송된 특정 서면 지침에 의해 공식화되는 컨트롤러의 문서화된 지침에 따라서만 처리됩니다. ELXAO 데이터 보호법 위반 지시를 고려하는 경우 과도한 지체 없이 컨트롤러에게 이를 알립니다.
직원의 기밀 유지
ELXAO 개인 데이터를 처리하도록 승인된 모든 개인은 강제 가능한 기밀 유지 의무(고용 계약, 프리랜서 계약 또는 NDA)를 준수하고 자신의 역할에 적합한 개인 데이터 보호 교육을 받았는지 확인합니다.
보안 조치
ELXAO 다음을 포함하여 적절한 기술 및 조직적 조치(GDPR 32조)를 구현합니다.
- 프로덕션 데이터 저장소에 대한 전송 중 TLS 1.2+ 암호화 및 미사용 AES-256 암호화.
- 최소 권한 원칙을 적용한 역할 기반 액세스 제어 모든 관리자에게 필수 다단계 인증입니다.
- 정기적인 취약성 검사 및 패치를 통해 강화된 EU 호스팅 인프라입니다.
- 코드 검토, 비밀 관리, 보안 SDLC 및 프로덕션/스테이징 환경 분리.
- 중앙 집중식, 무결성 보호 로깅 의심스러운 인증 및 데이터 내보내기 이벤트에 대해 경고합니다.
- 문서화된 복원 테스트를 통해 지리적으로 분리된 암호화된 백업입니다.
- 직원 온보딩/오프보딩 절차, 비밀번호 관리자, 전체 디스크 암호화 기능을 갖춘 안전한 노트북.
- 비즈니스 연속성 및 사고 대응 계획은 최소한 매년 검토됩니다.
하위 처리
컨트롤러는 ELXAO 특정 처리 활동(호스팅, 이메일 전달, 분석, 광고 플랫폼, 고객 지원 도구, 이벤트 관리 플랫폼)을 수행하기 위해 하위 처리자를 고용할 수 있는 일반 권한을 부여합니다. ELXAO는 [email protected]로 요청 시 제공되는 하위 처리자의 현재 목록을 유지 관리하며 추가 또는 교체가 예정된 경우 최소 30일 전에 사전 통지합니다. 이 기간 동안 컨트롤러는 합당한 데이터 보호 근거에 따라 이의를 제기할 수 있습니다. ELXAO 각 하청 처리자에게 본 DPA에 명시된 것보다 덜 보호적인 데이터 보호 의무를 부과합니다.
국제 송금
개인 데이터는 주로 유럽 경제 지역(EEA) 내에서 처리됩니다. 처리에 적합성 결정 없이 EEA 외부 국가로의 전송이 포함되는 경우, ELXAO는 GDPR 제46조, 주로 2021년 6월 4일자 유럽 위원회의 표준 계약 조항(SCC)에 따른 적절한 보호 조치에 의존하며, 전송 영향 평가에서 요구하는 추가 조치로 보완됩니다.
컨트롤러에 대한 지원
ELXAO 적절한 기술 및 조직적 조치를 통해 데이터 주체 요청(GDPR 제12~22조)에 응답할 의무를 이행하고 GDPR 제32~36조(보안, 침해 알림, DPIA, 사전 협의)를 준수하도록 컨트롤러를 지원합니다. 서비스에는 표준 지원이 포함되어 있습니다. 요청당 근무일 1일을 초과하는 상당한 작업에 대해서는 서면 통지 후 ELXAO의 당시 전문가 요율로 청구될 수 있습니다.
개인정보 침해
ELXAO 컨트롤러의 데이터에 영향을 미치는 개인 데이터 침해를 인지한 후 부당한 지체 없이 어떤 경우에도 72시간 이내에 컨트롤러에게 알립니다. 통지에는 위반의 성격, 영향을 받은 범주 및 대략적인 양, 예상되는 결과 및 이를 해결하기 위해 취하거나 제안한 조치가 포함됩니다.
감사
ELXAO 합당한 요청이 있을 경우 1년에 한 번(위반 이후 제외) 컨트롤러에게 본 DPA 준수를 입증하는 데 필요한 정보를 제공합니다. 가능한 경우 하위 프로세서의 ISO 27001/SOC 2 유형 보고서를 포함합니다. 현장 감사는 ELXAO의 운영을 부당하게 방해하지 않는 방식으로 감사관 또는 상호 승인된 제3자 감사관이 기밀 유지를 원칙으로 하여 감사관의 비용으로 합당한 사전 통지를 받고 업무 시간 중에 수행할 수 있습니다.
데이터 반환 또는 삭제
본 계약이 종료되면 ELXAO는 컨트롤러의 선택에 따라 30일 이내에 모든 개인 데이터를 구조화되고 일반적으로 사용되며 기계 판독이 가능한 형식으로 반환하거나 모든 생산 및 운영 시스템에서 삭제할 것입니다. 백업 복사본은 표준 순환 주기(최대 90일)에 따라 삭제되며 관련 법률에서 요구하는 경우에만 해당 기간 이후에도 보관될 수 있습니다. 이 경우 본 DPA의 보안 및 기밀 유지 의무가 계속 적용됩니다.
책임
MSA의 책임 조항은 본 DPA에 따라 발생하는 청구에 적용됩니다. 각 당사자는 GDPR 82조에 따라 데이터 주체 및 감독 기관에 대한 책임을 집니다.
문의
본 DPA에 따른 데이터 보호 관련 질문, 요청 또는 통지가 있는 경우 ELXAO([email protected])로 문의하세요.