개인정보 처리위탁 계약 (Data Processing Agreement)

본 계약은 회사가 서비스를 통하여 이용자를 대신하여 방문자의 개인정보를 처리함에 있어, 개인정보보호법 제26조에 따른 처리위탁 관계에서 위탁 업무의 내용, 수탁자인 회사의 의무, 정보주체의 권리 보장, 개인정보의 안전한 관리 및 계약 종료 시 처리에 관한 사항을 정함을 목적으로 합니다. 위탁의 목적은 이용자가 운영하는 웹사이트·서비스 방문자의 행동데이터(방문·이벤트·유입 등)를 수집·저장·분석하여 이용자에게 통합 분석 리포트 및 관련 기능을 제공하는 것이며, 회사는 그 목적 달성에 필요한 범위에서만 개인정보를 처리합니다.

본 계약에서 이용자는 방문자 개인정보의 수집·이용 목적과 방법을 결정하는 개인정보처리자로서 위탁자(controller)의 지위를 가지며, 회사는 이용자의 위탁에 따라 개인정보 처리업무를 수행하는 수탁자로서 처리자(processor)의 지위를 가집니다. 회사는 개인정보보호법 제26조에 근거하여 이용자가 문서(본 계약, 서비스 설정 및 이용자의 지시 포함)로 정한 위탁 업무의 범위 내에서만 개인정보를 처리하며, 이용자의 지시에 반하여 개인정보를 처리하지 않습니다. 다만 회사는 법령상 준수 의무가 있는 경우 그 범위에서 처리할 수 있으며, 이 경우 관련 법령이 금지하지 않는 한 그 사유를 이용자에게 알립니다.

회사가 위탁받아 처리하는 개인정보는 방문자 행동데이터에 한정되며, 그 목적·항목·정보주체 범위·처리 기간은 위 각 호와 같습니다. 회사는 이용자가 collector 설정 및 서비스 이용을 통하여 지시한 범위를 초과하여 개인정보를 처리하지 않습니다.

회사는 수탁자로서 다음 의무를 준수합니다. 첫째, 이용자가 문서로 정한 위탁 업무의 목적 범위 내에서만 개인정보를 처리하고, 목적 외의 이용 또는 제3자 제공을 하지 않습니다. 둘째, 개인정보보호법 및 관계 법령, 이용자의 정당한 지시를 준수하며, 제7조의 안전성 확보조치를 이행합니다. 셋째, 개인정보를 처리하는 임직원의 범위를 최소한으로 제한하고 비밀유지 의무를 부과하며, 관련 교육을 실시합니다. 넷째, 제5조에 따르지 아니한 재위탁을 하지 않습니다. 다섯째, 이용자의 지시가 법령에 위반된다고 판단되는 경우 지체 없이 이용자에게 그 사실을 알립니다. 회사는 위탁 업무 수행 목적 외에 개인정보를 자신의 목적으로 이용하지 않습니다. 다만 통계·집계 정보의 생성 및 이용은, 이용자가 서비스 설정 또는 별도 문서로 사전에 허용한 범위에서, 개인정보보호법 제28조의2가 허용하는 통계작성 목적에 한하여, 개인을 식별할 수 없도록 처리한 정보에 대하여만 가능하며, 회사는 그 처리내역을 이용자에게 고지합니다. 이러한 처리는 서비스 이용약관 제12조 제2항의 통계적·비식별 처리 기준과 정합하는 범위에서 이루어집니다.

회사는 서비스 제공을 위하여 클라우드 인프라 사업자, AI 생성·분석 처리 사업자 등에게 개인정보 처리업무의 일부를 재위탁할 수 있으며, 재위탁을 하는 경우 위탁자인 이용자의 사전 동의를 받습니다. 이용자는 본 계약을 승낙하는 시점에, 회사가 본 계약 및 개인정보 처리방침을 통하여 열거하는 재수탁자 카테고리(클라우드 인프라 사업자, 결제대행 사업자, AI 생성·분석 추론 사업자 등)에 대한 재위탁에 사전 동의합니다. 회사가 새로운 재수탁자를 추가하려는 경우 재수탁자의 명칭과 재위탁 업무의 내용을 사전에 이용자에게 통지하며, 이용자가 통지 후 합리적 유예기간(원칙적으로 14일) 내에 서면으로 이의를 제기하지 아니하면 해당 재위탁에 동의한 것으로 봅니다. 이용자가 정당한 사유로 이의를 제기하는 경우 회사와 이용자는 합리적 대안을 협의하며, 대안에 합의하지 못하는 경우 이용자는 해당 기능 또는 계약을 해지할 수 있습니다. 회사는 재수탁자에게 본 계약에 따른 회사의 의무와 동등한 수준의 개인정보 보호 의무를 계약으로 부과하고 이를 감독하며, 재수탁자의 개인정보 처리로 인하여 발생한 손해에 대하여 관련 법령이 정하는 범위에서 책임을 부담합니다.

위 각 국외 처리는 개인정보보호법 제28조의8(개인정보의 국외 이전)의 적용을 받습니다. 회사는 같은 조 제2항 각 호의 사항(이전되는 개인정보 항목, 이전되는 국가·시기·방법, 이전받는 자의 명칭·연락처, 이용목적 및 보유·이용기간, 국외 이전을 거부하는 방법·절차 및 그 효과)을 이용자에게 제공하며, 위탁자(controller)인 이용자는 이를 자신의 방문자(정보주체)를 대상으로 하는 개인정보 처리방침에 고지하여야 합니다. 회사가 자신의 개인정보 처리방침에 이를 게시하는 것만으로 이용자의 방문자에 대한 고지의무가 면제되지 아니합니다. 위 국외 처리는 서비스 계약의 이행 및 정보주체의 편의를 위하여 필요한 처리위탁·보관에 해당하며, 위 각 호의 사항을 처리방침에 공개하는 방식으로 이루어지는 경우 정보주체의 별도 동의 없이 수행될 수 있습니다(개인정보보호법 제28조의8 제1항 제3호). 회사는 국외에서 처리되는 개인정보에 대하여도 본 계약 및 관계 법령이 정하는 보호조치를 적용하며, 이전받는 자의 명칭·연락처·이전 국가·이전 항목·처리 목적·보유이용기간·거부 방법 등 같은 조 제2항의 사항을 개인정보 처리방침의 일부로 편입되는 형태로 게시합니다.

회사는 개인정보보호법 제29조 및 관련 고시(개인정보의 안전성 확보조치 기준)에 따라 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 다음의 기술적·관리적·물리적 조치를 이행합니다. 첫째, 개인정보처리시스템에 대한 접근권한의 최소 부여 및 접근통제, 계정·권한 관리. 둘째, 개인정보의 전송구간 암호화 및 중요 정보의 저장 시 암호화. 셋째, 접속기록의 보관·점검 및 위·변조 방지 조치. 넷째, 악성프로그램 방지를 위한 보안프로그램의 설치·갱신. 다섯째, 물리적 접근 통제 및 재해·장애 대비 조치. 회사는 안전성 확보조치의 수준을 관련 법령 및 위협 환경 변화에 맞추어 지속적으로 점검·개선합니다.

회사는 정보주체가 직접 회사에 권리 행사를 요청하는 경우, 지체 없이 그 사실을 위탁자인 이용자에게 통지하고 이용자의 지시에 따라 처리하며, 법령이 회사에 직접 의무를 부과하는 범위에서는 이에 따릅니다. 회사는 이러한 지원에 대하여 관련 법령이 허용하는 범위에서 합리적 비용을 청구할 수 있습니다.

회사는 자신이 처리하는 개인정보에 관하여 유출·분실·도난 등 개인정보 침해사고(이하 '유출등')를 인지한 경우, 부당한 지연 없이 그리고 인지한 때부터 지체 없이(원칙적으로 72시간 이내, 사안의 긴급성이 있는 경우 그보다 신속히) 위탁자인 이용자에게 통지합니다. 통지에는 유출등이 된 개인정보의 항목, 시점과 경위, 정보주체에게 미칠 수 있는 영향, 회사가 취한 조치 및 피해 최소화 방안 등 이용자가 개인정보보호법 제34조에 따른 정보주체 통지 및 개인정보보호위원회·한국인터넷진흥원에 대한 신고 의무를 이행하는 데 필요한 정보를 포함합니다. 회사는 이용자가 법령상 통지·신고 의무를 이행할 수 있도록 관련 자료 제공 및 협조를 다합니다.

이용자는 회사가 위탁받은 개인정보를 본 계약 및 관계 법령에 따라 안전하게 처리하고 있는지 감독할 수 있습니다. 이용자는 합리적인 사전 통지를 거쳐 회사에 대하여 개인정보 처리 현황 및 안전성 확보조치에 관한 자료의 제출을 요청하거나, 필요한 경우 서면 점검을 요청할 수 있으며, 회사는 정당한 사유가 없는 한 이에 협조합니다. 감사·점검은 회사의 정상적인 영업활동을 부당하게 방해하지 않는 범위에서 통상 연 1회 이내로 실시하며, 회사의 영업비밀 및 다른 이용자·제3자의 개인정보 보호를 위하여 필요한 범위에서 접근이 제한될 수 있습니다. 감사 결과 개선이 필요한 사항이 확인되는 경우 회사는 합리적 기간 내에 시정 조치를 이행합니다.

본 계약 또는 서비스 이용계약이 종료된 경우, 회사는 이용자의 선택에 따라 위탁받아 처리한 개인정보를 이용자에게 반환하거나 파기합니다. 파기는 복구·재생이 불가능한 방법으로 수행하며, 회사는 이용자의 요청이 있는 경우 파기 결과에 관한 확인 자료를 제공합니다. 다만 관계 법령에 따라 회사가 보관하여야 하는 의무가 있는 경우에는 그 법령이 정하는 기간 동안 해당 목적 범위에서만 안전하게 보관한 후 파기합니다. 이용자가 계약 종료 후 상당한 기간(회사가 서비스 화면에 고지하는 유예기간) 내에 반환을 요청하지 않는 경우 회사는 이를 파기할 수 있습니다.

회사와 이용자는 각자 개인정보보호법 및 관계 법령에 따른 의무를 준수하며, 각자의 귀책사유로 발생한 손해에 대하여 책임을 부담합니다. 회사가 위탁받은 업무의 범위를 위반하여 개인정보를 처리함으로써 정보주체 또는 제3자에게 손해가 발생한 경우, 개인정보보호법 제26조 제7항 및 제6항의 취지에 따라 회사를 이용자의 소속 직원으로 보아 관련 책임 규정이 준용됩니다. 다만 이용자의 지시, 이용자가 제공·설정한 정보의 오류, 또는 이용자의 법령 위반에 기인한 손해에 대하여는 회사가 책임을 지지 않습니다. 회사의 손해배상 책임의 범위 및 한도는 관련 법령이 허용하는 범위에서 서비스 이용계약(이용자가 파트너인 경우 파트너 데이터 API 이용약관, 그 밖의 경우 서비스 이용약관)이 정하는 바에 따릅니다. 다만 개인정보 침해로 인한 회사의 이용자에 대한 배상책임에는 서비스 이용계약의 이용료 기준 한도를 적용하지 아니하고 개인정보보호법 등 관련 법령에 따르며, 관련 법령이 허용하지 않는 과도한 전부 면책은 적용되지 않습니다.

본 계약은 이용자가 서비스에 가입하거나 collector를 설치·이용하는 시점에 효력이 발생하며, 서비스 이용계약에 종속되어 이용계약이 존속하는 기간 동안 유효합니다. 서비스 이용계약이 종료되면 본 계약도 함께 종료됩니다. 다만 성질상 계약 종료 이후에도 존속하여야 하는 조항(제9조 유출 통지에 따른 사후 협조, 제11조 반환·파기, 제12조 책임 및 손해배상 등)은 그 목적 달성에 필요한 범위에서 계약 종료 후에도 효력을 유지합니다. 개인정보보호법령의 개정 등으로 본 계약의 변경이 필요한 경우, 회사는 변경 내용을 서비스 화면 또는 개인정보 처리방침을 통하여 고지합니다.

본 계약 및 개인정보 처리위탁과 관련한 문의는 회사가 서비스 화면(statlane.kr) 및 개인정보 처리방침에 게시하는 개인정보 보호책임자 및 사업자정보(상호: 디바인컴퍼니 / Divine Company, 사업자등록번호: 572-19-01127, 주소: 서울특별시 성북구 북악산로 713, 3동 307호)를 통하여 접수할 수 있습니다. 대표자·연락처·통신판매업 신고번호 등 그 밖의 사업자정보는 회사가 서비스 화면에 게시하는 최신 정보를 참조하시기 바랍니다.