데이터 처리 부속 계약(DPA)

본 데이터 처리 부속 계약(이하 "DPA")은 이용약관의 일부를 구성하며, 모든 유료 고객에게 자동으로 적용됩니다. 본 DPA는 Jonot Oy(사업자 번호 3620928-7, 이하 "Jonot", "수탁자(프로세서)")가 고객(이하 "위탁자(컨트롤러)")을 대신하여 최종 사용자의 개인정보를 처리하는 경우에 적용됩니다. 양측의 역할은 GDPR 제28조에 따라 정해지며, 별도의 서명은 필요하지 않습니다.

1. 역할 및 적용 범위

위탁자는 처리의 목적과 방법을 결정합니다. Jonot은 위탁자를 대신하여 오직 수탁자로서만 개인정보를 처리합니다. 본 DPA는 GDPR이 해당 처리에 적용되는 범위 내에서 적용됩니다. Polar(결제)가 수행하는 처리는 Polar 자신의 위탁자 지위에서 이루어지며 본 DPA의 대상이 아닙니다.

2. 처리에 관한 지시

Jonot은 위탁자의 문서화된 지시—여기에는 이용약관, 본 DPA, 그리고 고객의 서비스 이용이 포함됩니다—에 따라서만 개인정보를 처리합니다. 다만 법률상 다른 조치가 요구되는 경우는 예외이며, 이 경우 Jonot은 법률로 금지되지 않는 한 처리에 앞서 해당 요건을 위탁자에게 알립니다. Jonot은 어떤 지시가 데이터 보호법을 위반한다고 판단하는 경우 위탁자에게 이를 통지합니다.

3. 대상, 기간, 성격 및 목적

처리의 대상 및 기간, 성격 및 목적, 그리고 개인정보 및 정보주체의 범주는 부속서 1에 기재되어 있습니다. 처리는 고객이 유효한 구독을 유지하는 동안, 그리고 개인정보 처리방침에 명시된 보유 기간 동안 계속됩니다.

4. 비밀유지

Jonot은 개인정보 처리를 허가받은 사람이 비밀유지 의무를 약속했거나 적절한 법정 비밀유지 의무를 부담하도록 보장합니다.

5. 보안

Jonot은 GDPR 제32조에 따라 위험 수준에 상응하는 적절한 보안을 확보하기 위해 적절한 기술적, 조직적 조치를 시행합니다. 현재의 조치는 부속서 2에 기재되어 있습니다.

6. 재수탁자

위탁자는 재수탁자 이용에 대해 포괄적인 승인을 부여합니다. 현재의 재수탁자는 부속서 3에 기재되어 있습니다. Jonot은 각 재수탁자에게 본 DPA와 동등한 수준의 데이터 보호 의무를 부과하며, 그 수행에 대해 계속 책임을 집니다. Jonot은 재수탁자 변경을 계획하는 경우 위탁자에게 통지하고 이의를 제기할 기회를 제공합니다.

7. 정보주체의 요청

Jonot은 적절한 기술적, 조직적 조치를 통해 접근, 정정, 삭제, 처리 제한, 이동, 또는 이의제기와 관련한 정보주체의 요청에 위탁자가 대응할 수 있도록 지원합니다. Jonot이 이러한 요청을 직접 받은 경우 위탁자에게 전달하며, 위탁자로부터 별도의 지시가 없는 한 스스로 응답하지 않습니다.

8. 지원 및 개인정보 침해

Jonot은 GDPR 제32조부터 제36조까지에 따른 위탁자의 의무를 지원합니다. 위탁자의 데이터에 영향을 미치는 개인정보 침해를 인지한 경우, Jonot은 부당한 지체 없이 위탁자에게 통지하고 합리적으로 확보 가능한 정보를 제공합니다.

9. 데이터 이전

Jonot은 적정성 결정이나 EU 표준계약조항과 같은 적절한 안전장치가 없는 한 개인정보를 EEA 역외로 이전하지 않습니다. 엣지에서의 처리는 당사 인프라 제공업체를 통해 전 세계 여러 지점에서 이루어질 수 있습니다. 이러한 이전에 관한 안전장치는 부속서 3에 기재되어 있습니다.

10. 데이터 반환 및 삭제

계약 종료 시 Jonot은 이용약관에 명시된 방식으로 개인정보를 삭제 또는 반환합니다: 30일간의 내보내기 기간, 운영 중인 레코드의 삭제, 그리고 90일 이내 소거되는 백업(법률상 보유가 요구되는 경우는 제외).

11. 감사

Jonot은 본 DPA 준수를 입증하는 데 필요한 정보를 제공하고, 감사를 허용하며 이에 협조합니다. Jonot은 이러한 의무를 문서 또는 제3자 보고서로 충족할 수 있습니다. 현장 감사는 합리적인 사전 통지와 비밀유지를 필요로 하며, 침해가 의심되는 경우를 제외하고 연 1회를 초과하여 실시되지 않습니다.

12. 책임 및 변경

본 DPA에 따른 책임은 이용약관에 정해진 책임 제한을 따릅니다. Jonot은 법적 또는 운영상의 변경을 반영하기 위해 본 DPA를 업데이트할 수 있습니다. 중요한 변경 사항은 이용약관에 따라 통지됩니다.

부속서 1 — 처리의 내용

• 대상 및 목적: 위탁자에게 대기열 관리 서비스를 제공하는 것.
• 성격: 최종 사용자의 대기열 데이터에 대한 저장, 표시 및 실시간 처리.
• 개인정보의 범주: 최종 사용자의 이름, 전화번호, 대기열 이력 및 대기표 메타데이터, 그리고 직원 사용자의 계정 데이터.
• 정보주체의 범주: 고객의 대기열에 참여하는 최종 사용자 및 고객의 직원 사용자.
• 기간: 구독 계약 기간, 그리고 개인정보 처리방침에 명시된 보유 기간.

부속서 2 — 보안 조치

• 전송 구간 암호화(엣지에서의 HTTPS).
• 접근 통제 및 최소 권한 원칙.
• 엣지에서의 요청 속도 제한 및 인증.
• 백업 및 순환 대상에서의 제외.
• 접근 및 이벤트 로그 기록.

부속서 3 — 재수탁자

• Cloudflare: 호스팅, 데이터베이스(D1), Durable Objects, 그리고 엣지 네트워크.
• 이메일 제공업체: 거래성 이메일(예: 확인 이메일).
• Polar: 결제. 자체 위탁자로서 활동하며(본 DPA상의 재수탁자가 아닙니다).

문의: info@jonot.io.