데이터 처리 부속합의서

1. 정의

처리 책임자, 수탁 처리자, 재위탁 처리자, 정보주체, 개인정보, 처리, 개인정보 침해 등의 용어는 UK GDPR 및 EU GDPR에서 정한 의미를 갖습니다. “개인정보 보호 법률”은 UK GDPR, EU GDPR(규정 2016/679), 영국 개인정보 보호법 2018 및 그 밖의 적용되는 개인정보 보호 또는 사생활 보호 법률을 의미합니다.

2. 역할 및 범위

계약에 따라 처리되는 개인정보의 경우 고객은 처리 책임자이고 Clavio는 수탁 처리자입니다(고객 자체가 최종 사용자를 위한 수탁 처리자인 경우 Clavio는 재위탁 처리자입니다). Clavio는 서비스 제공 및 지원 목적으로만 개인정보를 처리합니다. 처리의 대상, 기간, 성격과 목적, 개인정보 유형 및 정보주체 범주는 아래 부속서 A에 설명되어 있습니다.

3. 수탁 처리자의 의무(제28조)

Clavio는 다음을 이행합니다.

• 문서화된 지시 — 법률에서 달리 요구하지 않는 한 고객의 문서화된 지시(계약 및 이 DPA의 지시 포함)에 따라서만 개인정보를 처리합니다. 법률상 다른 처리가 요구되면 Clavio는 허용되는 범위에서 고객에게 먼저 알립니다.
• 기밀 유지 — 개인정보 처리를 허가받은 사람이 적절한 기밀 유지 의무를 부담하도록 합니다.
• 보안 — §6 및 부속서 B에 설명된 기술적·조직적 조치를 이행합니다(제32조).
• 재위탁 처리자 — §5에 따라서만 재위탁 처리자를 이용합니다.
• 정보주체 권리 지원 — 처리 성격을 고려하여 고객이 정보주체 요청(열람, 정정, 삭제, 제한, 이동권, 반대)에 대응할 수 있도록 적절한 조치로 지원합니다.
• 규정 준수 지원 — Clavio가 이용할 수 있는 정보를 고려하여 고객의 제32–36조(보안, 침해 통지, 개인정보 보호 영향평가 및 사전 협의) 준수를 지원합니다.
• 삭제 또는 반환 — 서비스 제공 종료 후 고객의 선택에 따라 모든 개인정보를 삭제하거나 반환하고, 법률상 보관이 요구되지 않는 한 기존 사본을 삭제합니다(§8 참조).
• 감사 — 제28조 준수를 입증하는 데 필요한 정보를 제공하고, 합리적인 기밀 유지 및 보안 약정을 전제로 고객 또는 고객이 위임한 감사인의 검사 등을 포함한 감사를 허용하고 이에 협조합니다.

4. 개인정보 침해

Clavio는 고객의 개인정보에 영향을 주는 침해를 인지한 후 부당한 지체 없이 고객에게 통지하고, 고객이 제33조 및 제34조에 따라 감독기관과 정보주체에 대한 자체 통지 의무를 이행하도록 합리적으로 이용 가능한 정보를 제공합니다.

5. 재위탁 처리자

고객은 Clavio가 서비스를 제공하기 위해 재위탁 처리자를 이용하는 데 일반적 승인을 부여합니다. 현재 Clavio의 재위탁 처리자는 개인정보 처리방침과 아래에 나열되어 있습니다. Clavio는 각 재위탁 처리자에게 이 DPA와 실질적으로 동등한 개인정보 보호 의무를 부과하며 그 이행에 대한 책임을 계속 부담합니다. Clavio는 예정된 변경 사항을 고객에게 알리고 합리적인 개인정보 보호 사유로 이의를 제기할 기회를 제공합니다.

• Anthropic — 전사된 텍스트의 AI 다듬기. 녹취록 및 받아쓰기 내용을 처리합니다.
• OpenAI (Whisper) — 음성의 텍스트 전사. 음성 녹음을 처리합니다.
• Groq — 구성된 경우 음성을 텍스트로 전사할 수 있습니다. 해당 계정의 데이터 제어 설정에 따라 음성 녹음과 관련 추론 데이터를 처리합니다.
• Lemon Squeezy — Merchant of Record로서 결제 처리 및 구독 청구. 계정·신원 데이터(이름, 이메일), 청구 및 결제 정보, 세금 목적의 국가 정보를 처리합니다.
• Apple — 로그인 및 신원 확인. 계정·신원 데이터를 처리합니다.
• Google — 로그인 및 신원 확인. 계정·신원 데이터를 처리합니다.
• Railway — 애플리케이션 호스팅 및 데이터베이스 인프라. 부속서 A에 설명된 모든 범주를 처리할 수 있습니다.
• GitLab — 소프트웨어 배포 및 운영 도구. 진단 및 운영 데이터를 처리합니다.

6. 보안 조치(제32조)

Clavio는 개인정보를 보호하기 위한 적절한 기술적·조직적 조치를 유지합니다. 여기에는 전송 중 데이터 암호화(TLS), 비밀번호 대신 해시 처리된 인증 토큰만 저장, 업무상 알 필요에 따른 접근 통제, 신뢰할 수 있는 인프라 제공업체 이용, 서비스의 지속적인 기밀성·무결성·가용성·복원력을 보장하도록 설계된 운영 관행이 포함됩니다. 조치의 요약은 부속서 B에 있습니다.

7. 국제 이전

이 DPA에 따른 처리에 개인정보를 영국 또는 EEA 밖의 적정성 결정이 없는 국가로 이전하는 것이 포함되면, 당사자들은 해당 이전이 제46조에 따른 적절한 보호조치를 전제로 이루어지는 데 동의합니다. 구체적으로 유럽연합 집행위원회의 표준계약조항(EU 2021/914)과 영국 이전에 대한 영국 국제 데이터 이전 계약 / 영국 부속합의서가 적용되며, 이는 참조로 편입되고 부속서의 세부사항으로 완성됩니다. 당사는 통상 이 조항들을 협상 없이 체결합니다.

8. 기간, 삭제 및 반환

이 DPA는 Clavio가 고객을 대신해 개인정보를 처리하는 동안 적용됩니다. 서비스가 해지되거나 만료되면 Clavio는 고객의 선택에 따라 개인정보를 삭제하거나 반환하고 기존 사본을 삭제합니다. 다만 짧은 백업 순환 기간 및 법률상 요구되는 보관은 예외로 합니다.

9. 부속서 A — 처리 세부사항

• 대상 및 성격: AI 음성 받아쓰기 서비스 제공. 받아쓰기의 수집, 전송, 전사 및 다듬기와 계정·구독 관리를 포함합니다.
• 목적: 고객 및 고객의 승인된 사용자에게 서비스 제공.
• 기간: 계약 기간과 §8에 따른 제한적인 종료 처리 기간.
• 정보주체 범주: 고객의 승인된 사용자(예: 직원 또는 팀원).
• 개인정보 유형: 계정·신원 데이터(사용자 식별자, 이름, 이메일 — Apple 비공개 릴레이 주소 포함), 음성 녹음 및 녹취록, 세금 목적의 국가를 포함한 구독·청구·결제 정보(당사의 Merchant of Record인 Lemon Squeezy가 처리), 사용·진단·기기/OS 데이터.
• 특별 범주 데이터: 녹취록 생성을 위해 일시적으로 처리되는 음성 녹음. AI 모델 학습에 사용하지 않습니다.

10. 부속서 B — 보안 조치(요약)

• 전송 중 개인정보 암호화(TLS).
• 로그인된 신원 제공업체를 통한 인증. 비밀번호가 아닌 해시 처리된 토큰만 저장.
• 역할 및 업무상 알 필요에 따른 시스템·데이터 접근 통제.
• 개인정보 보호 조건에 따라 신뢰할 수 있고 보안 검토를 거친 인프라 및 AI 재위탁 처리자 이용.
• 보안 이벤트 탐지 및 대응을 위한 로그 기록과 모니터링, 개인정보 침해를 고객에게 통지하는 절차.
• 사고 후 개인정보 가용성과 접근을 적시에 복구하도록 설계된 조치.

11. 문의

이 DPA의 요청, 서명 또는 관련 질문은 office@justetools.co.uk로 문의하세요.