데이터 처리 위탁 계약(DPA)

1. 목적, 성격 및 목표

사이버 보안 플랫폼의 제공: 개인정보 처리 책임자의 기기에 대한 보호, 인벤토리, 업데이트, 모니터링, 사고 탐지 및 대응, 규정 준수 보고서, 그리고 옵션에 따른 이메일 보안.

2. 데이터 및 정보주체의 범주

• 정보주체: 개인정보 처리 책임자의 직원, 임원, 기기 사용자, 그리고 K-Mail의 경우 이메일 상대방.
• 데이터: 식별자와 사용자 이름, 기기의 이름과 특성, 소프트웨어 인벤토리, DNS 로그, 보안 이벤트, 파일 해시, 그리고 명시적 동의가 있는 경우 파일 샘플, 분석된 이메일의 메타데이터와 내용(K-Mail).
• 특수 범주의 데이터는 찾지 않으며, 분석된 콘텐츠에 우연히 포함된 경우에도 동일한 보호 장치로 처리합니다.

3. 기간

이 계약은 구독 기간 전체와 구독 종료 시 데이터가 삭제될 때까지 적용됩니다.

4. 수탁처리자의 의무

• 개인정보 처리 책임자의 문서화된 지시에 따라서만 데이터를 처리합니다. 이전의 경우도 같으며, 유럽연합 또는 회원국 법률상 의무가 있는 경우에는 사전에 책임자에게 이를 알립니다.
• 데이터 처리 권한이 있는 사람의 기밀 유지를 보장합니다.
• 제5조에 설명된 보안 조치를 이행합니다.
• 정보주체 권리 행사 요청에 대응하고 GDPR 제32조부터 제36조까지의 의무(영향 평가와 감독기관 사전 협의 포함)를 이행하도록 책임자를 지원합니다.
• 재수탁처리자의 의무 이행에 대해 책임자에게 완전한 책임을 집니다.
• 지시가 규정에 위배된다고 판단되면 즉시 책임자에게 알립니다.

5. 보안 조치

• 유럽연합 내 고객 데이터 호스팅 [À VALIDER : 호스팅 업체명]
• 전송 중(TLS 1.3) 및 저장 시 암호화, 고객별 고유 키 사용
• 체계적인 필터링과 데이터베이스 행 수준 보안 규칙을 통한 고객 격리
• 에이전트의 상호 인증, 서명된 명령과 업데이트, 재전송 방지
• 강력한 인증, 최소 권한, 내부 접근 감사 로그
• 자동으로 적용되는 보관 기간, 암호화된 백업

6. 재수탁처리자

개인정보 처리 책임자는 수탁처리자 페이지에 나열된 재수탁처리자의 이용을 일반적으로 승인합니다. 수탁처리자는 추가 또는 교체를 최소 30일 전에 개인정보 처리 책임자에게 알립니다. 개인정보 처리 책임자는 정당한 사유가 있으면 이의를 제기할 수 있고, 합의가 되지 않으면 위약금 없이 해지할 수 있습니다. 각 재수탁처리자는 동등한 의무를 부담합니다.

7. 개인정보 유출

수탁처리자는 개인정보 유출을 인지한 후 지체 없이, 늦어도 48시간 이내에 개인정보 처리 책임자에게 통지하며, 개인정보 처리 책임자가 감독기관에 직접 통지하는 데 필요한 정보를 함께 제공합니다. [À VALIDER : 기한]

8. 감사

수탁처리자는 이 계약의 준수를 입증하는 데 필요한 정보를 제공하고, 사고가 없는 한 연 1회 이내로, 합리적인 사전 통지를 거쳐 다른 고객의 기밀을 존중하는 범위에서 감사를 허용합니다.

9. 계약 종료

구독이 끝나면 수탁처리자는 30일 동안 데이터를 내보낼 수 있도록 하고, 이후 책임자의 선택에 따라 데이터를 반환하거나 사본과 함께 삭제합니다. 법적 보존 의무가 있는 경우는 예외입니다.

10. 이전

고객 데이터는 유럽연합 내 호스팅을 목표로 합니다. 수탁처리자 페이지에서 EU 밖에 설립된 것으로 확인된 재수탁처리자(거래 이메일 발송, 활성화된 경우 Kayzen Copilot 같은 선택 서비스)만 GDPR 제45조 또는 제46조의 보호 장치(적정성 결정 또는 표준계약조항)에 따라 데이터를 수신할 수 있습니다.