Data Processing Addendum (DPA)

시행일: 2026년 08월 04일 (Ver. 1.0) · 적용 서비스: Xint (Web · Code), aprism

본 데이터 처리 부속서(이하 "DPA")는 Theori Korea 및 Theori, Inc.(이하 "처리자" 또는 "회사")와 회사의 서비스를 이용하는 고객(이하 "컨트롤러" 또는 "고객") 간에 체결됩니다.

본 DPA는 고객이 회사의 서비스 이용약관에 동의함으로써 자동으로 적용됩니다. 본 DPA와 함께 개인정보처리방침 및 GDPR 방침이 적용됩니다.

1. 정의

2. 적용 범위 및 역할

2.1. 역할

2.2. 적용 서비스

본 DPA는 아래 서비스에 적용됩니다.

3. 처리의 목적 및 범위

3.1. 처리 목적

회사는 고객 데이터를 오직 아래의 목적으로만 처리합니다.

3.2. 처리 제한

회사는 다음을 하지 않습니다:

• 고객의 문서화된 지시(서면, 이메일, 시스템 설정 등 포함) 없이 고객 데이터를 처리. 단, 회사에 적용되는 법령(대한민국 및 미국 법령을 포함합니다)이 처리를 요구하는 경우는 예외로 하며, 이 경우 회사는 데이터 보호 법령이 허용하는 범위에서 처리 전에 고객에게 해당 법적 요건을 통지합니다. 다만 해당 법령이 공익상 중대한 사유로 통지를 금지하는 경우에는 그러하지 아니합니다.
• 고객 데이터를 자사의 이익을 위해 사용 (마케팅, AI 학습 등)
• 고객 데이터를 제3자에게 판매, 공유, 또는 대여
• 고객 데이터를 서비스 제공에 필요한 범위를 초과하여 보유

회사는 고객의 지시가 데이터 보호 법령에 위반된다고 판단하는 경우, 해당 지시의 이행을 보류하고 지체 없이 고객에게 통지합니다.

공권력의 접근 요구. 법원·수사기관 등 공권력 기관이 고객 데이터에 대한 접근을 요구하는 경우, 회사는 부속서 2 제1부 EU 표준계약조항 제14조 및 제15조에 정한 절차를 따릅니다. 구체적으로 회사는 (i) 법적으로 금지되지 않는 한 요구를 받은 사실을 지체 없이 고객에게 통지하고, (ii) 요구가 위법하다고 판단되는 경우 이를 다투며, (iii) 요구된 범위 내에서 최소한의 정보만 제공하고, (iv) 관련 기록을 보관하여 고객의 요청 시 제공합니다. 통지가 금지된 경우에도 회사는 그 금지를 완화하기 위해 합리적으로 노력하며, 가능해지는 즉시 통지합니다.

4. 고객의 의무

고객은 다음을 보장합니다:

• 서비스에 업로드하는 데이터에 대한 적법한 수집 근거 보유
• 정보주체에 대한 고지 및 동의(필요한 경우) 완료
• 회사에 제공하는 처리 지시가 데이터 보호 법령에 위반되지 않음

5. 비밀유지

• 회사는 고객 데이터에 접근하는 모든 임직원 및 계약자에 대해 비밀유지 의무를 부과합니다.
• 해당 인력은 서면 비밀유지 계약(NDA) 또는 법적 비밀유지 의무에 구속됩니다.
• 회사는 고객 데이터에 접근하는 인력에 대해 정기적인 데이터 보호 교육을 실시합니다.

6. 보안 조치

6.1. 기술적·관리적 보호 조치

회사는 고객 데이터를 보호하기 위해 다음을 포함한 기술적·관리적 보호 조치를 유지합니다.

• 전송 암호화: TLS 1.2 이상의 암호화된 통신 채널 사용
• 저장 암호화: AES-256 기반 저장 시 암호화(encryption at rest) 적용
• 접근 통제: 역할 기반 접근 제어(RBAC), 다중 인증(MFA)
• 로깅: 접근 기록 및 감사 로그 관리
• 취약점 관리: 정기적 보안 스캔 및 패치 적용
• 네트워크 보안: 방화벽, IDS/IPS, 네트워크 세그멘테이션
• 물리적 보안: 데이터센터 출입 통제
• 직원 관리: 보안 교육, 배경 조회

전체 보안 통제 항목과 실시간 준수 현황은 Trust Center에서 확인할 수 있습니다.

6.2. 인증

회사는 다음의 보안 인증을 유지합니다.

인증서 사본 및 SOC 2 보고서는 Trust Center에서 다운로드 또는 NDA 체결 후 요청할 수 있습니다.

7. 하위 처리자 (Sub-processors)

7.1. 현재 하위 처리자 목록

회사는 고객 데이터를 처리하기 위해 하위 처리자를 사용합니다. 현재 하위 처리자 목록은 Trust Center에서 확인할 수 있습니다.

7.2. 하위 처리자 변경 통지

• 회사는 하위 처리자를 추가 또는 변경할 경우, 새로운 하위 처리자가 고객 데이터 처리를 시작하기 최소 10일 전에 Trust Center의 하위 처리자 목록에 게시하고 변경 사실을 공지합니다.
• 고객은 Trust Center에서 변경 알림 수신을 신청할 수 있습니다. 신청한 고객에게는 같은 기간 내에 이메일로도 통지합니다. 고객이 알림을 신청하지 않은 경우에도 위 게시로 고지가 이루어진 것으로 봅니다.
• 고객은 고지일로부터 10일 이내에 합리적 사유를 들어 서면(privacy@theori.io)으로 이의를 제기할 수 있습니다. 이의가 제기된 경우, 회사는 협의가 끝날 때까지 해당 하위 처리자에 의한 고객 데이터 처리를 시작하지 않습니다.
• 이의 기간 내에 이의가 없는 경우, 고객이 해당 하위 처리자 변경에 동의한 것으로 봅니다.
• 협의로 이의가 해소되지 않는 경우, 고객은 영향을 받는 서비스 부분을 위약금 없이 해지할 수 있으며, 회사는 해지일 이후 기간에 해당하는 선불 요금을 일할 환불합니다.

긴급 교체. 서비스의 보안 또는 연속성을 유지하기 위하여 하위 처리자를 즉시 교체해야 하는 경우(하위 처리자의 보안 사고, 서비스 중단·종료, 계약 해지 등)에는 위 사전 고지 기간을 적용하지 않습니다. 이 경우 회사는 교체 후 지체 없이 그 사실과 사유를 고객에게 고지하며, 고객의 이의 제기권과 위 해지권은 그대로 유지됩니다. 긴급 교체 하위 처리자에게도 제7.3조의 의무를 동일하게 부과합니다.

8. 데이터 보관 및 삭제

8.1. 보관 기간

8.2. 계약 종료 시 처리

• 반환 또는 삭제: 서비스 계약 종료 후, 고객의 선택에 따라, 모든 고객 데이터를 구조화되고 통상적으로 사용되며 기계 판독 가능한 형태로 고객에게 반환(return)하거나, 복구 불가능한 방법으로 삭제합니다. 삭제 완료 시 고객에게 삭제 확인 증명서(Certificate of Destruction)를 제공합니다. 별도 합의가 없는 경우 고객 데이터 반환 또는 삭제를 30일 이내에 완료합니다.
• 내보내기: 고객은 계약 종료 전 서비스 내 내보내기 기능을 통해 데이터를 다운로드할 수 있습니다.
• 예외: 법령에 의해 보관이 의무화된 데이터는 해당 법령이 정한 기간까지 분리 보관 후 파기합니다.

9. 보안 사고 통보

9.1. 통보 절차

회사는 보안 사고 인지 시 다음 절차에 따라 고객(위탁자/컨트롤러)에게 통보합니다. 여기서 "보안 사고"는 고객 데이터의 분실·도난·유출뿐만 아니라 위조·변조·훼손을 포함하며, 유출등이 확정되기 전 그 가능성을 인지한 경우를 포함합니다.

법적 기준:

• 수탁자→위탁자 통지 (본 DPA 대상): GDPR Art.33(2)는 "부당한 지체 없이"를 요구하며, 개인정보 보호법 제26조제8항은 수탁자에게 제34조(유출 통지·신고)를 준용합니다. 본 DPA는 이를 구체화하여 인지 후 48시간 이내로 정하며, 이는 고객이 자신의 법정 기한(72시간)을 충족할 수 있도록 하기 위한 것입니다.
• 위탁자→정보주체 통지: 시행령 §39 — 72시간 이내
• 위탁자→감독기관(PIPC) 신고: 시행령 §40 — 72시간 이내 (1,000명 이상, 민감정보, 외부 침입)
• 유출등의 가능성 통지 (법률 제21445호 제34조제2항, 2026. 9. 11. 시행): 법 제26조제8항에 따라 수탁자에게도 준용됩니다. 회사는 시행일 전에도 위 ①-1을 적용하여 고객이 법정 기한을 충족할 수 있도록 합니다.
• GDPR Art.33(1): 컨트롤러→감독기관 72시간 이내

9.2. 고객의 의무

• 고객은 관할 감독기관 및 정보주체에 대한 통보 의무를 직접 이행합니다.
• 회사는 고객의 통보 의무 이행을 위해 합리적 범위에서 협조합니다.

10. 정보주체 권리 대응

• 정보주체가 회사에 직접 권리 행사를 요청하는 경우, 회사는 해당 요청을 지체 없이 고객에게 전달합니다.
• 회사는 고객의 지시에 따라 정보주체 권리 행사(접근, 정정, 삭제, 이동 등)에 필요한 기술적 조치를 합리적 범위에서 지원합니다.
• 정보주체 권리 대응에 대한 최종 결정 권한은 컨트롤러인 고객에게 있습니다.

11. 개인정보 영향평가 지원

• 회사는 고객이 데이터 보호 영향평가(DPIA) 또는 개인정보 영향평가를 수행할 때 합리적 범위에서 필요한 정보를 제공합니다.
• 고객이 감독기관과의 사전 협의(GDPR Art.36)를 진행할 경우, 회사는 합리적 범위에서 협조합니다.

12. 국외 이전 및 준거법

12.1. 적용 법령

본 DPA는 아래 각 법령이 처리자에게 요구하는 의무를 기준으로 운영되며, 고객 데이터의 소재지 및 정보주체의 거주지에 따라 다음의 법령이 적용됩니다.

• 회사는 고객 데이터를 판매(sell)하지 않으며, CCPA상 "서비스 제공자(Service Provider)"로서 고객의 사업 목적을 위해서만 데이터를 처리합니다.
• 상기 외 국가의 데이터 보호 법령 적용이 필요한 경우, 고객 요청에 따라 별도 검토합니다.

12.2. 국외 이전 보호조치

Theori의 Global CBPR Forum 관련 활동은 국제적 상호운용성 논의의 맥락일 뿐이며, 본 DPA상 국외 이전의 적법 근거가 아닙니다. 국외 이전은 위 표에 기재한 각 근거에 따릅니다.

12.3. 데이터 소재지

위 소재지는 고객 데이터가 저장되는 곳입니다. Xint Web·Xint Code·aprism이 AI 분석을 수행할 때는 아래 제공자에게 입력이 전송되어 처리되며, Zero Data Retention(ZDR) 계약에 따라 처리 즉시 삭제되고 저장되지 않습니다. 따라서 아래 위치는 데이터 소재지가 아니라 일시적인 처리 위치입니다.

AI 추론 시 처리 위치

실제 사용 제공자는 서비스·기능별로 달라질 수 있으며, 위 범위를 벗어나지 않습니다. 하위 처리자로서의 지위와 계약 조건은 부속서 3(Annex III)을 참조하십시오.

13. 감사 권한

13.1. 보고서 기반 감사 (SOC 2 Type II 보고서 제공 이후)

회사가 고객에게 SOC 2 Type II 보고서를 최초로 제공한 날부터, 회사는 다음의 문서를 감사의 주된 수단으로 제공합니다.

고객은 상기 인증 문서가 감사 의무를 충족하는 것으로 인정합니다. 다만, 인증 문서로 확인할 수 없는 특정 사안에 대해서는 §13.2에 따라 추가 감사를 요청할 수 있습니다.

13.2. 직접 감사

• 회사가 고객에게 SOC 2 Type II 보고서를 최초로 제공하기 전까지: 고객은 본 DPA의 준수 여부를 확인하기 위해 연 1회 감사를 요청할 수 있습니다.
• 회사가 고객에게 SOC 2 Type II 보고서를 최초로 제공한 날부터: 고객은 §13.1의 문서로 확인할 수 없는 사안에 한하여, 합리적 사유를 서면으로 제시한 후 연 1회 추가 감사를 요청할 수 있습니다.
• 감사 요청은 최소 30일 전에 서면으로 통지해야 합니다.
• 감사는 업무 시간 내에 수행하며, 회사의 정상적인 업무를 방해하지 않는 범위에서 진행합니다.

13.3. 준수 정보 제공

회사는 본 DPA 및 GDPR Art.28에 규정된 의무 준수를 입증하기 위해 합리적으로 필요한 모든 정보를 고객에게 제공하며, 고객 또는 고객이 위임한 감사인이 수행하는 감사(현장 점검 포함)를 허용하고 이에 협조합니다. 이때 감사의 횟수·통지 기간·수행 방식은 §13.1 및 §13.2에 정한 바에 따릅니다. 다만 감독기관의 명령 또는 데이터 보호 법령이 요구하는 감사에는 위 제한이 적용되지 않습니다.

14. 책임 제한 및 배상

14.1. 일반 책임 제한

• 제14.2조에 규정된 경우를 제외하고, 본 DPA에 따른 회사의 총 책임은 서비스 이용약관에 명시된 책임 제한 조항에 따릅니다.
• 고객의 지시에 의해 발생한 데이터 보호 법령 위반에 대해 회사는 책임을 지지 않습니다.

14.2. 책임 제한 배제 사유 (Carve-outs)

제14.1조의 책임 제한은 다음 각 호에 해당하는 경우에는 적용되지 않습니다.

• (a) 고객 데이터 처리에 있어 회사의 고의(willful misconduct) 또는 중대한 과실(gross negligence)
• (b) 제5조에 따른 비밀유지 의무 위반
• (c) 고객의 문서화된 지시 범위(제3조)를 벗어난 고객 데이터의 무단 처리
• (d) 제14.3조에 따른 배상 의무

14.3. 상호 배상 (Mutual Indemnification)

• (a) 회사는 본 DPA 위반(무단 처리, 보안 조치 미이행(제6조), 침해 통지 지연(제9조) 등 포함)으로 직접 발생한 제3자 청구, 규제 과징금, 벌금 및 합리적 비용(법률 비용 포함)으로부터 고객을 면책(indemnify), 방어(defend) 및 보호(hold harmless)합니다.
• (b) 고객은 본 DPA 위반(위법한 처리 지시 등 포함)으로 직접 발생한 제3자 청구, 규제 과징금, 벌금 및 합리적 비용(법률 비용 포함)으로부터 회사를 면책, 방어 및 보호합니다.

14.4. 규제 과징금 분담

감독기관이 본 DPA에 따른 고객 개인정보 처리와 관련하여 과징금 또는 벌금을 부과하는 경우, 본 항이 §14.3에 우선하여 적용됩니다.

• (a) 각 당사자는 자신의 데이터 보호 법령 위반에 직접 기인하는 과징금에 대해 책임을 집니다.
• (b) 과징금이 양 당사자의 작위 또는 부작위에 기인하는 경우, 각 당사자의 위반 기여도에 비례하여 책임을 분담합니다.
• (c) 양 당사자는 감독기관의 조사 또는 집행 조치에 대해 신의성실에 따라 협력합니다.

14.5. 침해 통지 비용

보안 사고(제9조)로 인해 정보주체 또는 감독기관에 대한 통지가 필요한 경우:

• (a) 회사의 본 DPA 의무 위반에 기인한 사고인 경우, 통지 비용, 신용 모니터링 비용 및 피해 구제 비용은 회사가 부담합니다.
• (b) 고객의 지시 또는 고객의 본 DPA 위반에 기인한 사고인 경우, 해당 비용은 고객이 부담합니다.

15. 기간 및 종료

• 본 DPA는 고객이 서비스를 이용하는 동안 유효합니다.
• 서비스 계약이 종료되면 본 DPA도 자동으로 종료됩니다.
• DPA 종료 후에도 제8조(데이터 삭제), 제9조(보안 사고 통보), 제14조(책임 제한) 조항은 계속 유효합니다.

15.1. 문서 간 우선순위

본 DPA와 다른 계약 문서가 상충하는 경우, 다음 순서에 따라 우선 적용됩니다.

1. EU 표준 계약 조항(SCCs) 또는 기타 법정 이전 메커니즘
2. 본 DPA
3. 서비스 이용약관(Terms of Service)
4. 개인정보처리방침(Privacy Policy)

본 DPA 내 조항 간에 상충이 있는 경우에는 개인정보 보호 법령이 요구하는 최소 수준을 하회하지 않는 해석이 우선하며, 그 범위에서 제13조제3항(준수 정보 제공 및 감사 협조)이 제13조제1항에, 제14조제4항(규제 과징금 분담)이 제14조제3항에 각각 우선합니다.

15.2. 언어

본 DPA는 국문본과 영문본으로 작성됩니다. 고객과 회사 사이에서는 고객이 본 DPA에 동의한 시점에 제시받은 언어의 본이 우선합니다. 이에 따라 Theori, Inc.와 계약한 고객에 대해서는 영문본이, Theori Korea와 국문으로 계약한 고객에 대해서는 국문본이 각각 우선하며, 제16조의 준거법과 일치하도록 해석합니다. 어느 본이 우선하는지 확정할 수 없는 경우 고객에게 유리한 해석에 따릅니다.

다만 부속서 2 제1부의 EU 표준 계약 조항에 대해서는, 유럽연합 집행위원회 시행결정 (EU) 2021/914에 따라 공표된 각 EU 공식 언어본이 동등하게 정본이며, 본 조는 해당 표준 계약 조항 제5조(상충 조항)의 효력에 영향을 미치지 않습니다. 부속서 2 제2부의 UK Addendum에 대해서는 영문본이 정본입니다.

16. 준거법 및 분쟁 해결

본 DPA의 준거법 및 관할 법원은 고객이 계약을 체결한 Theori 법인에 따라 결정됩니다.

• EU/EEA 고객의 경우, 계약 법인에 관계없이 GDPR에 따른 관할 감독기관의 권한은 영향을 받지 않습니다.
• 상기 외 법역의 고객은 서비스 이용약관에 명시된 준거법이 적용됩니다.

17. 연락처

본 DPA에 관한 문의:

부속서 1: 처리 세부사항 (Annex 1)

(i) 처리 대상 정보주체 범주

(ii) 처리 대상 개인정보 유형

(iii) 민감 데이터 처리 및 보호조치

(iv) 처리 빈도

(v) 처리의 성격 및 목적

처리의 성격: 수집, 기록, 저장, 분석, 전송, 삭제 등 서비스 제공에 필요한 자동화된 처리 작업.

(vi) 개인정보 보관 기간

본 부속서 1은 DPA v1.0의 불가분의 일부를 구성하며, DPA 본문과 같은 날부터 적용됩니다.

부속서 2: 국제 데이터 이전 보호조치 (Annex 2: International Data Transfer Safeguards)

본 DPA(Data Processing Addendum) v1.0의 부속서 2로서 적용

적용 서비스: Xint (Web · Code), aprism (DPA 본문과 동일)

참조 편입 (Incorporation by Reference): 본 부속서의 당사자들은 EU 집행위원회 이행결정 (EU) 2021/914에 규정된 표준 계약 조항(Standard Contractual Clauses, 이하 "SCCs") 전문을 본 DPA에 참조 편입합니다. SCCs 원문은 EUR-Lex 공식 텍스트에서 확인할 수 있습니다. 본 부속서의 Annex I, II, III은 SCCs의 부속서로서 효력을 가집니다.

제1부: EU 표준 계약 조항 (Standard Contractual Clauses)

본 제1부는 유럽연합 집행위원회 이행결정 (EU) 2021/914에 따른 표준 계약 조항(이하 "SCCs")의 부속서(Annexes)를 구성합니다.

본 SCCs는 Module 2 (Controller-to-Processor)를 기본으로 적용하며, 고객이 처리자(Processor)로서 자신의 컨트롤러를 대신하여 Theori에 개인정보를 이전하는 경우 Module 3 (Processor-to-Processor)가 적용됩니다.

적용 관계

선택 조항 (Optional Clauses) 적용 여부

Annex I — 당사자 및 이전 세부사항 (Parties and Transfer Details)

Annex I.A — 당사자 목록 (List of Parties)

Data Exporter (데이터 수출자)

Data Importer (데이터 수입자)

Annex I.B — 이전 세부사항 (Description of Transfer)

이전 대상 개인정보의 유형, 정보주체 범주, 처리 목적, 기간 등 구체적인 처리 세부사항은 본 DPA 부속서 1(처리 세부사항)에 기재된 내용과 동일하며, 이를 참조로써 본 조항에 편입합니다.

Annex I.C — 관할 감독기관 (Competent Supervisory Authority)

Annex II — 기술적·관리적 보호조치 (Technical and Organisational Measures)

Data Importer가 구현한 기술적·관리적 보호조치는 DPA 본문 §6(보안 조치) 및 §6.2(인증 현황)에 기술되어 있습니다. 전체 보안 통제 항목과 실시간 준수 현황은 Trust Center에서 확인할 수 있습니다.

Annex III — 하위 처리자 목록 (List of Sub-Processors)

1. 일반적 서면 승인

Data Exporter(고객)는 Data Importer(Theori)가 SCCs Clause 9(a) Option 2에 따라 하위 처리자를 사용하는 것에 대해 일반적 서면 승인(General Written Authorisation)을 부여합니다.

2. 현재 하위 처리자 목록

현재 하위 처리자 목록은 Trust Center에서 실시간으로 관리·업데이트됩니다.

3. 하위 처리자 변경 절차

DPA §7.2에 따라:

1. 하위 처리자 추가 또는 변경 시 처리 개시 10일 전까지 Trust Center에 게시. 알림 수신을 신청한 고객에게는 이메일로도 통지
2. 고객은 고지일로부터 10일 이내 서면(privacy@theori.io) 이의 제기 가능. 이의 제기 시 협의가 끝날 때까지 처리 개시 보류
3. 이의 기간 내 이의가 없는 경우, 동의로 간주
4. 이의 미해소 시 고객은 영향을 받는 서비스 부분을 위약금 없이 해지 가능 (선불 요금 일할 환불)
5. 보안·연속성 유지를 위한 긴급 교체 시에는 사전 고지 기간을 적용하지 않으며, 교체 후 지체 없이 고지

제2부: EU SCCs에 대한 영국 부속서 (UK Addendum)

본 제2부는 영국 정보 커미셔너 사무국(ICO)이 발행한 International Data Transfer Addendum to the EU Commission Standard Contractual Clauses (Version B1.0, 2022년 3월 21일 발효)에 따라 작성되었습니다. 본 부속서는 UK GDPR 제5장의 이전이 실제로 발생하는 경우에 한하여, 고객이 본 DPA를 수락하는 시점에 발효합니다.

Table 1: 당사자 (Parties)

Table 2: 선택된 SCCs, 모듈 및 조항

Table 3: 부속 정보

Table 4: 본 Addendum의 종료

ICO가 승인된 Addendum의 개정판을 발행하는 경우, 어느 당사자든 본 Addendum을 종료할 수 있습니다. Importer는 합리적 통지를 제공하며, 종료 시 대안적 보호조치를 제안합니다.

UK Addendum 추가 조항

1. 관할 감독기관: 영국 Information Commissioner's Office (ICO)
2. 준거법: 잉글랜드 및 웨일스 법률
3. 관할 법원: 잉글랜드 및 웨일스 법원
4. EU SCCs와 본 UK Addendum 간 불일치 시, UK 관련 이전에 대해서는 본 UK Addendum이 우선 적용

제3부: Swiss Addendum (스위스 연방 데이터보호법 적용 보충)

스위스 FADP가 적용되는 경우, 제1부의 EU SCCs는 다음 수정 사항과 함께 적용됩니다.

참고: 대한민국은 현재 스위스 적정국 목록에 포함되어 있지 않으므로, 스위스→한국 이전 시 본 SCCs(Swiss Addendum 포함)가 적용됩니다.

제4부: 이전 경로별 보호조치 요약

데이터 소재지

DPA 본문 §12.3을 참조하십시오.

본 부속서 2는 DPA v1.0의 불가분의 일부를 구성하며, DPA 본문과 같은 날부터 적용됩니다.

부속서 3: 미국 주 개인정보보호법 보충 문서 (US State Privacy Laws Addendum)

본 DPA 부속서 3 (Annex 3)

1. 목적 및 적용 범위

1.1. 목적

본 부속서(이하 "US Addendum")는 DPA 본문 제12조에 따라, 미국 주(州) 개인정보보호법의 적용을 받는 개인정보의 처리에 관한 추가 의무와 조건을 규정합니다.

1.2. 적용 법령

본 US Addendum은 California Consumer Privacy Act / California Privacy Rights Act("CCPA/CPRA")를 포함한 미국 주(州) 개인정보보호법의 적용을 받는 개인정보 처리에 적용됩니다. 이후 신규 제정·시행되는 미국 주 프라이버시법에 대해서도 본 US Addendum의 조항이 합리적 범위에서 준용됩니다.

미국 주 프라이버시법 제정 현황은 IAPP US State Privacy Legislation Tracker에서 확인할 수 있습니다.

1.3. 적용 서비스

본 US Addendum은 DPA 본문 §2.2에 명시된 서비스에 적용됩니다.

2. 용어 정의 및 매핑

회사의 역할: 회사는 모든 미국 주 프라이버시법에 따라 고객의 Service Provider 또는 Processor로서 행동하며, 독립적인 Controller/Business의 지위를 취득하지 않습니다.

3. Service Provider 의무

3.1. 판매·공유 금지

회사는 고객으로부터 수령한 개인정보를 판매(Sell)하거나 공유(Share)하지 않습니다. (Cal. Civ. Code §1798.140(ad), §1798.140(ah))

3.2. 데이터 결합 금지

회사는 고객으로부터 수령한 개인정보를 다른 출처의 개인정보와 결합하지 않습니다. 다만 DPA 본문 및 이용약관에 명시된 사업 목적 수행, 고객의 서면 지시, 법령 준수를 위한 경우는 예외입니다. (Cal. Civ. Code §1798.140(ag)(1)(A)(iv))

3.3. 지시 외 처리 금지

회사는 고객의 문서화된 지시에 따라서만 개인정보를 처리합니다. (Cal. Civ. Code §1798.140(ag)(1)(A)(i))

3.4. 규정 준수 인증

회사는 고객의 합리적 요청이 있는 경우, 본 US Addendum에 규정된 의무를 이해하고 준수할 것임을 인증(certify)합니다. (Cal. Civ. Code §1798.100(d)(1))

3.5. 법률 위반 통지

회사는 본 US Addendum상 의무를 더 이상 충족할 수 없는 경우, 고객에게 지체 없이 통지합니다. (Cal. Civ. Code §1798.100(d)(3))

3.6. 동의 철회 및 옵트아웃 요청 지원

고객이 소비자의 옵트아웃 요청을 전달하는 경우, 회사는 해당 소비자의 개인정보 처리를 합리적 기간 내에 중단합니다.

3.7. GPC(Global Privacy Control) 신호 존중

회사는 GPC 신호를 기술적으로 인식하며, 해당 신호를 옵트아웃 요청과 동등하게 취급합니다. (Cal. Civ. Code §1798.135(e), 11 CCR §7025)

3.8. 감사 협조

감사의 범위, 일정, 비용 부담 등은 DPA 본문 제13조(감사 권한)의 절차에 따릅니다.

3.9. 하위 처리자 관리

회사는 하위 처리자에게 본 US Addendum과 동등한 수준의 보호 의무를 포함하는 서면 계약을 체결합니다.

4. 소비자 권리 지원

4.1. 알 권리 (Right to Know / Right to Access)

고객의 요청 시 15영업일 이내에 해당 소비자에 관하여 회사가 보유하는 개인정보의 카테고리, 처리 목적, 구체적 항목을 고객에게 제공합니다.

4.2. 삭제 권리 (Right to Delete)

고객의 삭제 지시를 수령한 후 30일 이내에 복구 불가능한 방법으로 삭제하고, 하위 처리자에게도 동일한 삭제를 지시합니다.

4.3. 수정 권리 (Right to Correct)

고객의 수정 지시를 수령한 후, 기술적으로 제어 가능한 범위 내에서 합리적 기간 내 수정합니다.

4.4. 대응 기한

회사는 각 주법의 응답 기한(통상 45일, 소비자 통지 후 45일 연장 1회 가능) 내에 고객의 권리 행사 대응을 지원합니다.

5. 민감 개인정보 처리

회사는 Cal. Civ. Code §1798.140(ae)에 정의된 민감 개인정보를 의도적으로 수집·처리하지 않습니다. 고객이 업로드하는 데이터에 민감 개인정보가 포함되지 않도록 하는 것은 고객의 책임입니다.

6. 비식별화 및 집계 데이터

회사가 비식별화된 데이터를 생성하는 경우, CCPA §1798.140(m)에 따라 재식별을 시도하지 않으며, 비식별화 상태 유지를 위한 보호조치를 이행합니다.

7. 차별 금지

회사는 소비자가 미국 주 프라이버시법에 따른 권리를 행사하였다는 이유로 차별하지 않습니다. (CCPA §1798.125)

8. 법령 충돌 시 우선순위

본 US Addendum과 DPA 본문 간 상충 시, 미국 주 프라이버시법 적용 개인정보의 처리에 관해서는 본 US Addendum이 우선 적용됩니다. 복수의 미국 주 프라이버시법이 동시에 적용되는 경우, 소비자에게 가장 높은 수준의 보호를 제공하는 법령을 따릅니다.

본 부속서 3은 DPA v1.0의 불가분의 일부를 구성하며, DPA 본문과 같은 날부터 적용됩니다.

변경 이력

부칙

본 DPA v1.0 및 그 부속서는 문서 상단에 표시된 시행일부터 적용됩니다.

이전의 모든 개인정보처리방침 및 부속 문서는 아래 통합 페이지에서 확인할 수 있습니다.

• 이전 개인정보처리방침 열람하기