법적 고지

데이터 처리 계약

최종 업데이트: 2026년 11월 1일

이 번역본은 편의를 위해 제공됩니다. 영문본이 법적 구속력을 가지며, 두 버전이 서로 다를 경우 영문본이 우선합니다. 영문본 보기.

본 데이터 처리 계약(이하 “DPA”)은 고객과 인도에 등록된 회사인 Astrizon Technology Solutions Private Limited(이하 “프로세서”) 간의 이용약관의 일부를 이룹니다. 본 DPA는 프로세서가 Zolensa를 통해 고객을 대신하여 개인정보를 처리할 때마다 적용됩니다. 고객이 자신의 고객사를 위한 프로세서로 활동하는 경우, 프로세서는 그 고객의 하위 프로세서가 되며 본 조건이 그에 맞게 적용됩니다.

1. 정의

“데이터 보호법”이란 EU 일반 데이터 보호 규정(GDPR), 영국 GDPR 및 2018년 영국 데이터 보호법(Data Protection Act 2018), 스위스 연방 데이터 보호법, 2023년 인도 디지털 개인정보 보호법(Digital Personal Data Protection Act, DPDP Act), 그리고 캘리포니아 소비자 프라이버시법(CCPA) 같은 미국 주법을 포함하여 해당 처리에 적용되는 법률을 말합니다. “개인정보”, “컨트롤러”, “프로세서”, “정보주체”, “개인정보 침해” 및 “처리”는 GDPR에서 정한 의미를 갖습니다. “고객 개인정보”란 프로세서가 서비스를 통해 고객을 위해 처리하는 개인정보를 말합니다.

2. 역할과 지시

고객은 컨트롤러(또는 자신의 고객사를 위해 활동하는 프로세서)이고, 프로세서는 고객의 문서화된 지시에 따라서만 고객 개인정보를 처리합니다. 이용약관, 본 DPA, 그리고 고객의 서비스 이용 및 설정이 그러한 지시에 해당합니다. 프로세서는 어떤 지시가 데이터 보호법을 위반한다고 판단하는 경우 고객에게 알립니다. 처리의 세부 사항은 부속서 I에 있습니다.

3. 비밀유지

프로세서는 고객 개인정보를 처리할 권한이 있는 모든 사람이 비밀유지 의무를 지고, 자신의 역할에 필요한 접근 권한만 갖도록 합니다.

4. 보안

프로세서는 위험에 상응하는 부속서 II의 기술적 및 관리적 조치를 이행하며, 전반적인 보호 수준이 낮아지지 않는 한 이를 갱신할 수 있습니다.

5. 하위 프로세서

고객은 하위 프로세서 페이지에 기재된 하위 프로세서에 대해 일반적 승인을 부여합니다. 프로세서는 새 하위 프로세서를 추가하기 최소 30일 전에 해당 페이지를 갱신하고 워크스페이스 소유자에게 이메일을 보내 통지합니다. 고객은 그 기간 내에 합리적인 데이터 보호상의 이유로 이의를 제기할 수 있으며, 당사자들이 해결책에 합의하지 못하는 경우 고객은 영향을 받는 서비스를 종료하고 잔여 기간에 대해 선불 요금을 환불받을 수 있습니다. 프로세서는 각 하위 프로세서에 본 DPA보다 보호 수준이 낮지 않은 데이터 보호 의무를 부과하며, 그들에 대해 책임을 집니다.

6. 국외 이전

프로세서는 인도에서 서비스를 호스팅하며 일부 하위 프로세서는 다른 국가에 있습니다. 유럽경제지역의 개인정보를 이전하는 경우, 당사자들은 유럽연합 집행위원회 시행 결정(EU) 2021/914로 채택된 표준 계약 조항(SCC)의 모듈 2(컨트롤러에서 프로세서로) 및 고객이 프로세서인 경우 모듈 3(프로세서에서 프로세서로)에 동의하며, 이는 다음 선택 사항과 함께 인용에 의해 편입됩니다. 제7조는 적용되지 않습니다. 제9조는 옵션 2(일반적 승인)가 30일 전 통지와 함께 적용됩니다. 제11조의 선택 문구는 적용되지 않습니다. 제13조는 고객의 설립지를 따릅니다. 제17조 및 제18조에 따라 아일랜드의 법률과 법원이 적용됩니다. 본 DPA의 부속서 I 및 II는 SCC의 부속서를 보완합니다. 영국에서 이전하는 경우에는 정보위원회가 발행한 국제 데이터 이전 부속서가 적용되고, 스위스의 경우에는 SCC 내의 참조를 스위스 법률에 대한 참조로 읽어 SCC가 적용됩니다. SCC가 본 DPA와 충돌하는 경우 SCC가 우선합니다.

7. 고객 지원

프로세서는 처리의 성격을 고려하여, 주로 서비스의 기능을 통해 고객이 정보주체의 요청에 답변하는 것과 보안, 침해 통지, 데이터 보호 영향평가, 감독기관과의 협의를 지원합니다. 정보주체가 프로세서에 직접 연락하는 경우, 프로세서는 법률이 달리 요구하지 않는 한 답변하지 않고 해당 요청을 고객에게 전달합니다.

8. 개인정보 침해

프로세서는 고객 개인정보에 영향을 미치는 개인정보 침해를 인지한 후 부당한 지체 없이, 어떤 경우에도 48시간 이내에 고객이 자신의 의무를 이행하는 데 필요한 정보와 함께 고객에게 통지하며, 더 많은 사실이 파악되는 대로 고객에게 계속 알립니다. 프로세서는 침해를 억제하고 그 영향을 줄이기 위해 합리적인 조치를 취합니다.

9. 삭제 및 반환

고객은 서비스를 통해 언제든지 고객 개인정보를 내보내고 삭제할 수 있으며, 각 조사의 보관 기간을 설정합니다. 계약이 종료되면 프로세서는 이용약관에 따른 내보내기 기간이 끝난 후 30일 이내에 저장소의 파일을 포함한 모든 고객 개인정보를 삭제합니다. 단, 법률상 일부를 보관해야 하는 경우에는 해당 데이터를 비밀로 유지하고 그 목적으로만 처리합니다.

10. 감사

프로세서는 본 DPA의 준수를 입증하는 데 합리적으로 필요한 정보를 제공합니다. 고객은 연 1회, 30일 전 통지를 거쳐 업무 시간 중에 서비스나 다른 고객의 데이터를 방해하지 않는 방식으로 자신의 비용으로 직접 감사하거나 비밀유지 의무를 지는 독립 감사인으로 하여금 감사하게 할 수 있습니다. 개인정보 침해가 발생하거나 감독기관이 요구하는 경우에는 더 자주 감사할 수 있습니다.

11. 미국 주 개인정보 보호법

캘리포니아 소비자 프라이버시법 또는 유사한 법률이 적용되는 경우, 프로세서는 서비스 제공자이며 고객 개인정보를 판매하거나 공유하지 않고, 직접적인 사업 관계 밖에서 또는 서비스 이외의 목적으로 이를 보유, 사용 또는 공개하지 않으며, 해당 법률이 허용하는 경우를 제외하고 다른 개인정보와 결합하지 않습니다. 프로세서는 더 이상 이러한 의무를 이행할 수 없게 되면 고객에게 알립니다.

12. 책임 및 우선순위

본 DPA에 따른 각 당사자의 책임은 데이터 보호법이 허용하지 않는 경우를 제외하고 이용약관의 한도를 따릅니다. 본 DPA가 데이터 보호에 관하여 이용약관과 충돌하는 경우 본 DPA가 우선합니다.

13. 부속서 I: 처리 세부 사항

14. 부속서 II: 기술적 및 관리적 조치

• 모든 연결에 TLS를 사용한 전송 중 암호화, 녹화물의 비공개 저장, 만료되는 서명된 링크를 통한 제공.
• Argon2id로 해시한 비밀번호, 워크스페이스 소유자와 플랫폼 직원에 대한 2단계 인증 의무화, 저장 시 암호화된 제공업체 키와 2단계 인증 비밀키.
• 각 워크스페이스 내 역할 기반 접근 통제, 고객사에는 참가자를 코드로만 표시, 연락처 정보는 조사 팀으로 제한.
• 애플리케이션에서 워크스페이스별 고객 데이터 분리, 모든 요청을 사용자의 워크스페이스와 역할에 따라 확인.
• 로그인, 초대, 업로드에 대한 요청 횟수 제한, 사이트 간 요청 위조 방지, 보안 헤더.
• 로그인, 초대, 동의, 내보내기, 다운로드, 삭제에 대한 감사 로그.
• 데이터 최소화: 사진에서 위치 정보 제거, 유형과 크기에 따른 업로드 검사, 다운로드는 7일 후 만료.
• 고객이 설정하는 조사별 보관 기간, 파일을 포함한 참가자, 조사, 워크스페이스 전체의 삭제.
• 서버 보안 강화, 정기 보안 업데이트, 방화벽, 호스팅 제공업체가 보관하는 백업.
• 접근 권한이 있는 직원의 비밀유지 의무, 업무에 필요한 범위로 접근 제한.
• 개인정보 침해를 탐지, 평가하고 48시간 이내에 통지하는 절차.