데이터 처리 부속서 (Data Processing Addendum)

번역 안내. 본 문서는 변호사 검토 전 초안으로서 법률 자문이 아니며, 이해를 돕기 위한 참고용 한국어 번역본입니다. 영문 원본과 본 번역본 사이에 충돌 또는 불일치가 있는 경우 모든 면에서 영문본이 우선합니다.

1. 역할

XenoStep과 공급자는 재판매, 상품 전달, 고객 지원, 컴플라이언스, 세무 및 결제 운영과 관련하여 각자가 처리하는 개인정보에 대하여 독립적인 개인정보처리자(data controller)입니다. 별도의 서면 합의에서 달리 정하지 않는 한, 양 당사자는 본 부속서에 따라 서로에 대하여 수탁처리자(processor)와 처리자(controller)의 관계로 행위하지 않습니다.

각 당사자는 자신의 처리 근거, 고지, 보안, 보유 및 정보주체 대응 의무에 대하여 스스로 책임을 부담합니다.

2. 공유되는 데이터

XenoStep은 상품 전달, 계정 활성화, 지원, 사기 방지 및 고객 전환 목적으로 고객 이메일 주소를 공급자와 공유할 수 있습니다. XenoStep은 상품 전달, 지원 문제 해결, 구독 관리, 환불 처리, 분쟁 조사 또는 법적 의무 이행에 합리적으로 필요한 사용 데이터도 공유할 수 있습니다.

공급자는 공유된 데이터를 오로지 승인된 상품 및 관련 지원 의무를 위하여만 사용할 수 있습니다.

3. 재수탁처리자 및 서비스 제공자

XenoStep은 플랫폼 운영, 결제 처리, 이메일 발송, 애플리케이션 인프라 호스팅 및 데이터 저장을 위하여 서비스 제공자를 이용합니다. 현재의 핵심 제공자에는 Stripe (https://stripe.com), Supabase (https://supabase.com), Resend (https://resend.com) 및 Vercel (https://vercel.com)이 포함됩니다.

XenoStep은 보안, 성능, 컴플라이언스 또는 운영상의 사유로 필요에 따라 제공자를 변경할 수 있습니다.

4. 국외 이전

데이터는 미국에서 처리될 수 있습니다. 요구되는 경우, 이전은 표준계약조항(SCC), 적정성 결정 또는 기타 적법한 이전 메커니즘에 근거합니다.

공급자는 적법한 근거와 적절한 보호조치가 없는 한 공유된 고객 데이터를 다른 국가로 이전하여서는 안 됩니다.

5. 보안

각 당사자는 합리적인 관리적, 기술적, 조직적 보호조치를 적용하여야 합니다. 최소한, 공유된 데이터는 전송 중 및 저장 시 암호화, 접근 통제, 최소 권한 원칙, 계정 보안 통제 및 접근 검토 절차를 통하여 보호되어야 합니다.

6. 침해 통지

공유된 고객 데이터에 영향을 미치는 보안 사고를 발견한 당사자는 부당한 지체 없이, 그리고 사고를 확인한 후 늦어도 72시간 이내에 상대방에게 통지하여야 합니다. 통지에는 영향을 받은 데이터, 예상되는 영향, 차단 조치 및 후속 대응을 위한 담당자가 기재되어야 합니다.

7. 정보주체의 권리

양 당사자는 정보주체의 열람, 삭제, 정정, 이동, 이의, 제한 및 이와 유사한 요청에 관하여 신의성실하게 협력합니다. 각 당사자는 자신이 직접 받은 요청에 대하여 책임을 부담하나, 요청이 공유 데이터와 관련되는 경우 합리적인 지원을 제공하여야 합니다.

8. 보유

공급자 관계 종료 시, 공급자는 법률, 분쟁 처리, 회계, 세무, 보안 또는 정당한 컴플라이언스 의무에 따라 보유가 요구되지 않는 한 30일 이내에 공유된 고객 데이터를 삭제하여야 합니다. 보유되는 데이터는 계속 보호되어야 하며, 새로운 마케팅 또는 무관한 목적으로 사용되어서는 안 됩니다.

9. 우선 언어

본 부속서는 영어로 작성됩니다. 한국어 번역본은 참고 편의를 위하여만 제공될 수 있습니다. 영문본과 번역본 사이에 충돌 또는 불일치가 있는 경우 모든 면에서 영문본이 우선합니다.