데이터 처리 계약

목차

1. 1. 범위, 역할 및 정의
2. 2. 처리의 세부 사항
3. 3. 고객의 지시
4. 4. 권한 있는 사람의 비밀 유지
5. 5. 보안 조치
6. 6. 하위 처리자
7. 7. 데이터 위치 및 국제 이전
8. 8. 정보주체 요청에 대한 지원
9. 9. 개인정보 침해 통지
10. 10. 영향 평가 및 규제 당국과의 협의
11. 11. 정보 제공 및 감사
12. 12. 데이터의 반환 및 삭제
13. 13. 정부의 요청
14. 14. 책임
15. 15. 기간 및 우선순위
16. 16. 개인정보 보호 연락 담당자 및 처리 활동 기록
17. 부속서 1: 처리의 세부 사항
18. 부속서 2: 기술적 및 조직적 조치
19. 부속서 3: 하위 처리자

버전: 1.2 · 게시일: 2026년 10월 16일 · 시행: 신규 워크스페이스는 승낙 시, 이전 버전을 승낙한 워크스페이스는 STAK이 고객 서비스 이용약관 제20조에 따른 통지에서 정하는 날 · 정본: 영어 (고객 서비스 이용약관 제23.9조)

발행인: 미국 델라웨어주에서 설립된 유한책임회사(파일 번호 10798493)이며 STAK(ستاك)과 서비스를 소유하는 STAK Global, LLC. 연락처: [email protected].

1. 범위, 역할 및 정의

1.1 본 데이터 처리 계약은 STAK 고객 서비스 이용약관(이하 “약관”) 제3.1조에 따라 계약의 불가분의 일부를 이룹니다. 이는 STAK의 고객 개인정보 처리를 규율합니다. 약관에서 정의된 용어는 본 데이터 처리 계약에서도 동일한 의미를 가집니다.

1.2 고객은 고객 개인정보의 컨트롤러이며, STAK은 고객을 대신하여 고객의 지시에 따라 이를 처리하는 처리자입니다.

• 컨트롤러와 처리자는 적용되는 개인정보 보호 법령에 따른 이에 상응하는 개념(예: 사우디아라비아 왕국의 관리 주체 및 처리 주체)을 의미합니다.
• 고객이 다른 컨트롤러를 대신하여 처리자로서 데이터를 처리하는 경우, STAK은 고객을 위해 행동하는 처리자로서 이를 처리하며 제1.3조에서 말하는 하위 처리자가 아닙니다. 고객은 자신의 지시가 해당 컨트롤러의 지시와 일치하도록 보장합니다.
• STAK은 개인정보 처리방침에 설명된 대로 계정 데이터를 컨트롤러로서 처리하며, 본 데이터 처리 계약은 이에 적용되지 않습니다. 이 언급도, 부속서 3의 언급도 약관 제3.2조에 따른 계약상 의무를 발생시키지 않습니다.

1.3 다음 용어는 각각 옆에 제시된 의미를 가집니다:

• 고객 개인정보: 고객 데이터에 포함된 개인정보(고객의 최종 고객, 직원, 공급업체 및 사용자에 관한 데이터 포함, 계정 데이터는 제외).
• 민감 개인정보: 건강 및 임상 데이터, 그리고 적용되는 개인정보 보호 법령이 민감한 것으로 분류하는 모든 데이터.
• 처리: 수집, 기록, 저장, 조회, 사용, 공개, 이전 및 삭제와 같이 개인정보에 대해 수행되는 모든 작업.
• 하위 처리자: 서비스를 제공할 목적으로 고객 개인정보를 처리하도록 STAK이 선임하는 모든 당사자.
• 정보주체: 개인정보가 관련된 자연인.
• 보안 사고: 서비스의 기밀성, 무결성 또는 가용성을 위협하거나 위협하는 것으로 의심되는 모든 사건.
• 개인정보 침해: 고객 개인정보의 우발적이거나 불법적인 파기, 손실, 변경 또는 무단 공개나 접근으로 이어지는 모든 보안 위반.
• 백업: 제12.3조 및 부속서 2에 따라 복구 목적으로 만든 고객 데이터의 모든 사본.
• 운영 환경: 서비스가 실행되며 고객이 사용하는 시스템과 데이터베이스(백업 제외).
• 적용되는 개인정보 보호 법령: 처리에 적용되는 개인정보 보호 법령으로서, 각각 적용되는 범위에서 다음을 포함합니다:
  • 쿠웨이트국: 전자거래에 관한 2014년 법률 제20호, 그리고 Communication and Information Technology Regulatory Authority가 발행한 Data Privacy Protection Regulation, Cloud Computing Regulatory Framework 및 Data Classification Policy(각각 해당 범위 내에서);
  • 사우디아라비아 왕국의 개인정보 보호법(이슬람력 1443년 2월 9일자 왕령 제(M/19)호로 공포, 개정 포함), 그 시행규칙 및 왕국 외부로의 개인정보 이전에 관한 규정;
  • 아랍에미리트: 개인정보 보호에 관한 2021년 연방 법률명령 제(45)호, 보건 분야 정보통신기술 사용에 관한 2019년 연방법 제(2)호, 그리고 이들의 적용을 받는 자에 대한 Dubai International Financial Centre 및 Abu Dhabi Global Market의 데이터 보호법;
  • 바레인 왕국의 개인정보 보호법을 공포하는 2018년 법률 제(30)호;
  • 카타르국의 개인정보 프라이버시 보호에 관한 2016년 법률 제(13)호;
  • 오만 술탄국의 왕령 제(6/2022)호로 공포된 개인정보 보호법;
  • 고객에게 적용되는 경우 유럽연합 일반 개인정보 보호법(규정(EU) 2016/679);
  • 영국 일반 개인정보 보호법 및 Data Protection Act 2018; 스위스 연방 개인정보 보호법; 개정된 California Consumer Privacy Act 및 미국의 그 밖의 포괄적인 주 프라이버시법; 캐나다의 Personal Information Protection and Electronic Documents Act 및 주 법률; 브라질의 Lei Geral de Proteção de Dados(법률 제13.709/2018호); 인도의 Digital Personal Data Protection Act, 2023; 튀르키예의 개인정보 보호에 관한 법률 제6698호; 이집트의 2020년 법률 제151호; 남아프리카공화국의 Protection of Personal Information Act, 2013; 싱가포르의 Personal Data Protection Act 2012; 호주의 Privacy Act 1988; 그리고 처리에 적용되는 그 밖의 모든 개인정보 보호법.

2. 처리의 세부 사항

부속서 1은 처리의 대상, 기간, 성격 및 목적, 정보주체의 범주와 개인정보의 범주를 정합니다.

3. 고객의 지시

3.1 STAK은 문서화된 고객의 지시에 따라서만 고객 개인정보를 처리합니다. 그 지시는 다음과 같습니다:

• 계약;
• 워크스페이스 설정;
• 사용자가 서비스 내에서 하는 작업;
• 양 당사자가 합의한 그 밖의 서면 지시.

3.2 적용 법령이 요구하는 경우 STAK은 이러한 지시 외의 방식으로 데이터를 처리할 수 있습니다. 법률이 통지를 금지하는 경우를 제외하고 STAK은 사전에 고객에게 통지합니다.

3.3 STAK은 지시가 적용되는 개인정보 보호 법령을 위반한다고 판단하는 경우 고객에게 통지합니다. STAK은 고객이 위반을 해소하도록 지시를 변경하거나, STAK이 합리적으로 수용하는 법적 근거를 기재하여 서면으로 확인할 때까지 그 지시의 이행을 거부할 수 있습니다.

3.4 고객은 자신의 지시의 적법성과, 고객 개인정보를 수집하고 처리할 적법한 근거를 가지고 있는지에 대해 책임을 집니다. 여기에는 정보주체에게 알리고 필요한 경우 그 동의(제7조에 따른 데이터 이전에 대한 동의 포함)를 받는 것이 포함됩니다.

4. 권한 있는 사람의 비밀 유지

STAK은 고객 개인정보에 대한 접근을 업무상 이를 필요로 하는 직원과 계약자로 제한하고 이들에게 비밀 유지 의무를 지웁니다. STAK의 직원과 계약자는 다음의 경우에만 고객 데이터에 접근하며, 운영 환경에 대한 그러한 접근의 시작은 모두 기록됩니다:

• (a) 고객이 요청하는 지원을 제공하기 위해;
• (b) 서비스를 운영 및 유지하고 백업에서 복원하기 위해;
• (c) 보안 사고 또는 허용 가능한 사용 정책 위반 의심을 조사하기 위해;
• (d) 법률이 요구하는 경우.

5. 보안 조치

5.1 STAK은 처리의 성격과 위험을 고려하여 고객 개인정보를 보호하기 위한 적절한 기술적 및 조직적 조치를 적용합니다. 여기에는 최소한 부속서 2의 조치가 포함됩니다.

5.2 STAK은 전반적인 보호 수준이 낮아지지 않는 한 이러한 조치를 업데이트할 수 있습니다.

5.3 고객은 사용자와 권한 관리, 2단계 로그인 설정, 자신의 기기와 장비 보호, 내보낸 데이터의 안전한 보관 등 고객 자신의 통제 하에 있는 보안 조치에 대해 책임을 집니다.

6. 하위 처리자

6.1 고객은 STAK이 부속서 3에 나열된 하위 처리자를 선임하는 것을 승인합니다.

6.2 STAK은 각 하위 처리자와 서면 계약을 체결해야 합니다. 해당 계약은 처리에 적합하고 본 데이터 처리 계약과 실질적으로 동등한 수준의 보호를 제공하는 개인정보 보호 의무를 부과해야 합니다. STAK은 하위 처리자의 의무 이행에 대해 고객에게 계속 책임을 집니다.

6.3 STAK은 새로운 하위 처리자가 고객 개인정보의 처리를 시작하기 최소 30일 전에 서비스 내 또는 이메일로 고객에게 통지합니다.

6.4 통지 기간 동안 고객은 합리적인 개인정보 보호상의 이유로 새로운 하위 처리자에 대해 서면으로 이의를 제기할 수 있습니다. 양 당사자가 해결책에 합의하지 못하는 경우, 고객은 처리가 시작되기 전에 해당 구독 또는 본 계약을 해지하고 잔여 기간에 대해 선불한 요금을 환불받을 수 있습니다.

6.5 고객이 자신의 계정을 통해 연결하는 연동 제공자는 STAK의 하위 처리자가 아닙니다. 여기에는 결제 서비스 제공자, 고객 자신의 WhatsApp Business 계정과 관련한 Meta, 그리고 배달 플랫폼이 포함됩니다. 고객의 지시에 따라 이들에게 데이터를 보내는 것은 고객의 지시와 고객을 대신하여 이루어지는 이전입니다.

6.6 AI 기능의 제공자에게는 사용자가 해당 기능 중 하나를 요청하는 경우, 사용자가 영수증과 같이 판독할 문서를 업로드하는 경우, 또는 사용자가 설정한 자동화가 AI를 사용하는 단계를 실행하는 경우에만 데이터가 전송되며, 해당 요청 또는 단계를 수행하는 데 필요한 데이터만 전송됩니다. 제공자는 이를 모델 학습에 사용할 수 없습니다. 민감 개인정보는 요청이나 단계 자체에 포함된 경우에만 전송됩니다.

7. 데이터 위치 및 국제 이전

7.1 서비스는 독일 연방공화국 프랑크푸르트 리전의 Amazon Web Services 운영 환경에서 호스팅되며, 고객 개인정보는 주로 그곳에 저장됩니다. 백업은 같은 리전에 보관되고, 그 사본은 아일랜드 공화국에 있는 별도의 Amazon Web Services 리전에 만들어집니다.

7.2 고객은 다음 사항을 인정하며, 그로 인한 이전을 명시적으로 승인합니다:

• (a) 호스팅은 유럽연합 내에서 이루어지며, 이는 고객이 설립되었거나 사업을 하는 국가 밖일 수 있습니다;
• (b) Cloudflare는 항상 글로벌 네트워크를 통해 네트워크 트래픽을 처리합니다;
• (c) 부속서 3에 나열된 그 밖의 하위 처리자는 해당 서비스가 사용될 때에만 미국을 포함한 다른 국가에서 데이터를 처리합니다;
• (d) STAK의 직원은 제4조에 정한 경우에만 쿠웨이트국에서 데이터에 접근할 수 있습니다.

7.3 고객 개인정보를 수집된 국가 밖으로 이전하는 경우 STAK은 다음 안전장치를 적용합니다:

• (a) 제6.2조에 언급된 계약(STAK이 유럽연합 밖의 하위 처리자와 체결한 표준계약조항 포함);
• (b) 전송 중 및 저장 중 암호화;
• (c) 적용되는 개인정보 보호 법령이 요구하는 경우 그 법령이 인정하는 이전 수단(제7.6조에 정한 것 포함).

7.4 고객은 자국의 법률이 고객 개인정보를 해당 국가 밖으로 이전하기 위해 요구하는 동의나 승인을 규제 당국 또는 정보주체로부터 받아야 합니다. STAK은 요청 시 이를 위해 필요한 정보를 제공합니다.

7.5 STAK은 최소 30일 전에 고객에게 통지한 후 주 호스팅 또는 백업을 다른 리전으로 옮길 수 있으며, 고객은 제6.4조에 따라 이의를 제기할 수 있고 해당 조항에 따른 해지는 이전일 이전에 효력이 발생합니다. 주 호스팅 리전의 상실 이후 아일랜드 공화국의 백업에서 서비스를 일시적으로 운영하는 것은 본 조에서 말하는 이전이 아니며, STAK은 이를 지체 없이 고객에게 통지합니다.

7.6 법률이 요구하는 이전 수단: 제7.4조에 영향을 미치지 않고:

• (a) 유럽연합 일반 개인정보 보호법이 고객에게 적용되는 경우, 유럽연합 집행위원회 이행결정 (EU) 2021/914에 의해 채택된 표준계약조항(이하 “EU 표준계약조항”)이 참조에 의해 본 데이터 처리 계약에 편입됩니다. 고객이 컨트롤러인 경우 모듈 2(컨트롤러에서 처리자로), 고객이 다른 컨트롤러를 위해 데이터를 처리하는 경우 모듈 3(처리자에서 처리자로). 고객은 데이터 수출자이고 STAK은 데이터 수입자입니다. 제7조(도킹 조항)가 적용됩니다. 제9조(a)에 따라 옵션 2(일반적인 서면 승인)가 적용되며 통지 기간은 제6.3조에 따릅니다. 제11조(a)의 선택적 문언은 적용되지 않습니다. 제17조 및 제18조에 따라 아일랜드 공화국의 법률과 법원이 적용됩니다. 관할 감독 당국은 제13조에 따라 결정됩니다. 그 부속서는 부속서 1, 2 및 3으로 완성됩니다. 둘 사이에 충돌이 있는 경우 EU 표준계약조항이 본 계약에 우선합니다.
• (b) 사우디아라비아 왕국의 개인정보 보호법이 고객에게 적용되는 경우, Saudi Data and Artificial Intelligence Authority가 발행한 개인정보 이전을 위한 표준계약조항, 제2 템플릿(컨트롤러에서 처리자로)이 참조에 의해 본 데이터 처리 계약에 편입됩니다. 고객은 데이터 수출자이고 STAK은 데이터 수입자이며, 그 부록은 부속서 1, 2 및 3으로 완성됩니다. STAK은 고객이 왕국 외부로의 개인정보 이전에 관한 규정에 따라 수행해야 하는 이전 위험 평가에 필요한 정보를 고객에게 제공합니다. 둘 사이에 충돌이 있는 경우 해당 표준계약조항이 본 계약에 우선합니다.
• (c) 아랍에미리트의 2021년 연방 법률명령 제(45)호가 고객에게 적용되는 경우, STAK은 이전된 데이터에 대해 처리자에게 적용되는 범위에서 해당 법률의 규정, 조치 및 통제를 적용합니다.
• (d) 영국 일반 개인정보 보호법이 고객에게 적용되는 경우, UK Information Commissioner가 발행한 EU 표준계약조항에 대한 국제 데이터 이전 부속계약(버전 B1.0, 2022년 3월 21일부터 시행, 이후 개정 포함)이 참조에 의해 편입됩니다. 표 1부터 표 3까지는 본 계약 및 부속서 1부터 3까지에 있는 양 당사자의 정보로 완성됩니다. 표 4와 관련하여 어느 당사자든 그 섹션 19가 허용하는 대로 부속계약을 종료할 수 있습니다.
• (e) 스위스 연방 개인정보 보호법이 고객에게 적용되는 경우, EU 표준계약조항은 다음과 같이 변경하여 적용됩니다: Swiss Federal Data Protection and Information Commissioner가 해당 법이 규율하는 이전에 대한 관할 감독 당국이 되며; GDPR에 대한 언급에는 해당 법이 포함되고; “회원국”은 스위스의 정보주체가 스위스에서 청구를 제기할 수 있도록 해석합니다.
• (f) 브라질 국가 개인정보 보호 당국의 표준계약조항이나 튀르키예 법률 제6698호에 따른 표준계약과 같이 다른 적용되는 개인정보 보호 법령이 특정한 이전 수단을 요구하는 경우, STAK은 고객의 요청에 따라 부속서 1부터 3까지에서 그 세부 사항을 채워 해당 수단에 서명하거나 이를 편입합니다.
• (g) California Consumer Privacy Act 또는 이와 유사한 미국 주 프라이버시법이 적용되는 경우, STAK은 고객의 서비스 제공자, 계약자 또는 처리자로서 행동합니다. STAK은 고객 개인정보를 판매하거나 공유하지 않습니다. STAK은 본 계약에 따라 서비스를 제공하는 것 이외의 목적으로, 또는 고객과의 직접적인 사업 관계 외에서 이를 보유, 사용 또는 공개하지 않습니다. STAK은 해당 법률이 허용하는 경우를 제외하고 다른 출처의 개인정보와 결합하지 않습니다. STAK은 해당 법률을 준수하며 그 법률이 요구하는 것과 동일한 수준의 프라이버시 보호를 제공합니다. STAK은 이러한 의무를 더 이상 이행할 수 없게 되면 고객에게 알립니다. 고객은 무단 사용을 중단시키고 시정하기 위한 합리적인 조치를 취할 수 있습니다. STAK은 이러한 제한을 이해하고 있음을 증명합니다.

7.7 특정 국가 내에 머물러야 하는 데이터: 고객은 적용 법령이 특정 국가 내에서 보관 또는 처리하도록 요구하는 데이터를, 약관 제9.5조에 따라 서비스가 해당 앱에 대해 그 국가에서의 호스팅을 이용할 수 있음을 표시하는 경우를 제외하고, 서비스에 보관해서는 안 됩니다. 이는 약관 제13.4조 및 허용 가능한 사용 정책 제5.4조를 따릅니다.

8. 정보주체 요청에 대한 지원

8.1 서비스는 고객에게 최종 고객의 개인정보를 조회, 내보내기 및 정정하는 도구, 법률이 보관하도록 요구하는 기록을 유지하면서 그 신원을 가명으로 대체하여 삭제하는 도구, 그리고 직원의 데이터를 조회하고 정정하는 도구를 제공합니다. 고객은 이러한 도구를 사용하여 정보주체의 요청에 응답하며, STAK은 직원 데이터의 내보내기 및 삭제를 포함하여 이 도구들이 다루지 않는 사항에 대해 제8.3조에 따라 지원합니다.

8.2 STAK이 고객 개인정보에 관한 요청을 정보주체로부터 직접 받은 경우, 이를 지체 없이 고객에게 전달하고 고객의 지시에 따라서만 응답합니다.

8.3 STAK은 이용 가능한 도구가 다루지 않는 사항에 대해 고객에게 합리적인 지원을 제공합니다.

9. 개인정보 침해 통지

9.1 STAK은 고객 개인정보에 영향을 미치는 개인정보 침해를 인지한 후 부당한 지체 없이 고객에게 통지합니다. 가능한 경우 인지한 때부터 24시간 이내에, 어떤 경우에도 48시간 이내에 통지합니다.

9.2 통지에는 정보가 이용 가능한 범위에서 다음을 포함합니다:

• (a) 침해의 성격;
• (b) 데이터와 정보주체의 범주 및 그 대략적인 수;
• (c) 예상되는 결과;
• (d) 침해에 대처하기 위해 취한 조치와 제안하는 조치;
• (e) STAK의 연락 창구.

STAK은 추가 정보를 이용할 수 있게 되는 대로 제공합니다.

9.3 STAK은 침해를 차단하고 그 영향을 제한하기 위해 즉시 합리적인 조치를 취합니다. STAK은 고객이 규제 당국과 정보주체에게 통지해야 하는 경우 법률이 고객에게 정한 기한을 고려하여 그 통지에 고객과 협력합니다. 적용 법령이 STAK 자신에게 침해를 규제 당국에 통지하도록 요구하는 경우, STAK은 요구되는 기간 내에 이를 이행하고 고객에게 알립니다.

9.4 STAK의 침해 통지 또는 그 처리에 대한 협력은 과실이나 책임의 인정이 아닙니다.

10. 영향 평가 및 규제 당국과의 협의

STAK은 고객의 요청 시 서비스와 관련되는 범위에서 개인정보 보호 영향평가를 수행하거나 규제 당국과 협의하는 데 필요한 합리적인 정보를 제공합니다.

11. 정보 제공 및 감사

11.1 STAK은 고객의 요청 시 본 데이터 처리 계약의 준수를 입증하는 데 합리적으로 필요한 정보를 제공합니다. 여기에는 보안 문서와 연 1회의 보안 설문에 대한 답변이 포함됩니다.

11.2 고객은 다음의 경우 자신의 비용으로 감사를 실시하거나, 비밀 유지 의무를 지는 독립 감사인으로 하여금 실시하게 할 수 있습니다:

• (a) 규제 당국이 요구하는 경우;
• (b) 고객의 데이터에 영향을 미치는 개인정보 침해 이후;
• (c) 제11.1조에 따라 제공된 정보가 충분하지 않은 경우.

감사에는 다음 조건이 적용됩니다:

• 고객은 최소 30일 전에 STAK에 감사를 통지합니다.
• 감사는 영업일의 업무 시간 중에 이루어집니다.
• (c)에 따른 감사는 연 1회를 넘지 않습니다.
• 어떠한 감사도 하위 처리자의 시설에는 미치지 않습니다. 그 대신 그들의 인증과 독립적인 보고서로 충분합니다.
• 어떠한 감사도 다른 고객의 데이터 또는 그들의 보안에 영향을 미치는 것에 대한 접근을 포함하지 않습니다.

12. 데이터의 반환 및 삭제

12.1 고객은 약관 제19.5조에 따라 언제든지, 그리고 본 계약이 종료된 후 30일 동안 고객 개인정보를 내보낼 수 있습니다.

12.2 내보내기 기간이 지난 후, STAK은 적용 법령이 보관을 요구하는 경우를 제외하고, 그리고 STAK이 법원 분쟁, 수사 또는 관할 당국의 요청에 대해 통지를 받은 동안 약관 제19.5조의 보류를 조건으로, 30일 이내에 운영 환경에서 고객 개인정보를 삭제합니다.

12.3 백업은 다음 보관 기간 동안 보관됩니다:

• (a) 시점 복구 및 일일 백업: 각 백업이 만들어진 날부터 35일;
• (b) 데이터베이스의 야간 논리 백업(데이터베이스 덤프): 35일;
• (c) 월간 백업: 각 백업이 만들어진 날부터 12개월;
• (d) 업로드된 파일의 이전 버전: 교체되거나 삭제된 날부터 90일.

이러한 백업에 적용되는 규칙:

• 일일 및 월간 백업과 그 사본은 정책상 STAK 자신의 직원을 포함하여 누구도 보관 기간이 끝나기 전에 백업을 삭제하거나 그 기간을 변경할 수 없는 백업 볼트에 보관되며, 호스팅 제공자의 컴플라이언스 모드 잠금으로 인해 최소한 처음 35일 동안은 어떠한 백업도 삭제할 수 없습니다.
• 야간 논리 백업은 보관 기간이 끝날 때까지 변경과 삭제로부터 보호됩니다.
• STAK은 고객이 요청하더라도 보관 기간이 끝나기 전에는 어떠한 백업도 삭제하지 않습니다.
• 모든 백업은 사용할 수 없는 상태에 놓이며, 제12.4조를 조건으로 기술적 복구를 위해서 또는 법률이 요구하는 경우에만 사용됩니다.
• 삭제된 데이터를 포함하는 모든 백업은 이러한 기간이 끝날 때, 즉 늦어도 12개월 이내에 만료되며, 삭제된 데이터는 그때 영구적으로 파기됩니다.
• STAK은 요청 시 고객이 정보주체에게 알릴 수 있도록 삭제된 데이터를 포함하는 마지막 백업이 만료되는 날짜를 고객에게 알려 줍니다.

12.4 STAK은 이러한 기간 중에 백업을 복원하는 경우, 데이터를 이용할 수 있게 하기 전에 해당 백업 날짜 이후에 제8.1조에 따라 수행된 삭제와 제12.2조에 따라 이루어진 삭제를 해당 작업에 대해 보유하고 있는 기록을 사용하여 다시 적용합니다.

13. 정부의 요청

STAK은 정부 또는 사법 당국으로부터 고객 개인정보를 공개하라는 구속력 있는 요청을 받은 경우, 법률이 통지를 금지하지 않는 한 고객에게 통지합니다. STAK은 공개를 요청이 요구하는 최소한으로 제한합니다. STAK은 불법이라고 합리적으로 판단하는 요청에 대해서는 이용 가능한 법적 수단을 통해 이의를 제기합니다.

14. 책임

본 데이터 처리 계약에 따른 각 당사자의 책임(제7.6조의 표준계약조항에 따른 상대방에 대한 책임 포함)에는, 해당 조항이 허용하는 범위에서 그리고 그에 따른 정보주체의 권리에 영향을 미치지 않고, 약관 제16조의 책임 제한 규정이 적용됩니다.

15. 기간 및 우선순위

15.1 본 데이터 처리 계약은 STAK이 고객 개인정보를 처리하는 동안 적용됩니다.

15.2 본 데이터 처리 계약이 약관과 충돌하는 경우, 고객 개인정보에 관한 사항에 대해서는 본 데이터 처리 계약이 우선합니다.

15.3 적용되는 개인정보 보호 법령이 본 데이터 처리 계약보다 엄격한 강행 의무를 부과하는 경우, 그 의무가 그 범위 내에서 적용됩니다.

16. 개인정보 보호 연락 담당자 및 처리 활동 기록

STAK은 개인정보 보호 연락 담당자를 지정하였으며, 이 담당자에게는 [email protected]으로 이메일을 보내 연락할 수 있습니다. STAK은 고객을 대신하여 수행하는 처리 활동의 기록을 보관하며, 법률이 요구하는 경우 관할 규제 당국에 제공합니다.

부속서 1: 처리의 세부 사항

• 대상: 약관에 따라 고객에게 서비스를 제공하는 것.
• 기간: 계약 기간, 제12조에 따른 그 이후의 내보내기 및 삭제 기간, 제12.3조의 백업 보관 기간, 그리고 부속서 3에 정한 하위 처리자의 보관 기간.
• 성격 및 목적:
  • 고객 데이터의 저장 및 호스팅;
  • 판매, 주문, 예약 및 청구서의 처리;
  • 재고, 회계, 인사 및 급여의 관리;
  • 고객이 연동 제공자에 보유한 자신의 계정을 통해, 또는 부속서 3에 나열된 후 STAK이 사용하는 메시징 제공자를 통해 요청하는 메시지의 전송;
  • AI 기능이 사용될 때의 AI 기능 제공;
  • 백업, 보안 및 지원.
• 정보주체의 범주:
  • 고객의 최종 고객, 손님 및 환자;
  • 고객의 직원 및 입사 지원자;
  • 사용자;
  • 고객의 공급업체와 그 담당자;
  • 운전기사 및 배달원.
• 개인정보의 범주:
  • 이름, 전화번호, 이메일, 주소, 배달 위치 등 신원 및 연락처 데이터;
  • 거래, 주문, 예약 및 청구서 기록;
  • 카드 번호 전체를 제외한, 결제와 관련된 참조 정보;
  • 로열티 데이터, 선호 및 동의;
  • Civil ID 번호, 체류 자격 정보, 급여, 국제 은행 계좌 번호(IBAN), 출근 및 휴가 등 고객의 직원에 관한 데이터;
  • 고객이 업로드하는 사진과 문서;
  • 메시지 로그 및 감사 기록.
• 민감 개인정보: 클리닉 앱이 사용되는 경우의 건강 및 임상 데이터(제7.7조 및 약관 제13.4조를 조건으로 하며, 해당 조항에 따라 쿠웨이트국 또는 아랍에미리트에서 의료 서비스를 받는 환자에 대해서는 환자 기록 기능을 사용해서는 안 됩니다); 그리고 병가 증명서 등 인사 파일의 건강 데이터. 임상 기록과 인사 파일은 별도의 키로 암호화되며, 이 데이터는 이를 볼 수 있는 권한이 부여된 역할을 가진 사용자에게만 표시됩니다. 보험 청구와 사전 승인의 진단 및 시술 코드, 그리고 보험 카드 이미지는 부속서 2의 데이터베이스 및 스토리지 암호화로 보호됩니다.

부속서 2: 기술적 및 조직적 조치

1. 암호화:
   • 전송 중인 데이터는 TLS 버전 1.2 이상으로 암호화되며, 데이터베이스 서버의 신원은 모든 연결에서 검증됩니다.
   • 데이터베이스, 디스크, 파일, 백업 및 시크릿 저장소에 저장된 데이터는 AWS Key Management Service(AWS KMS)를 통해 또는 호스팅 제공자가 관리하는 키를 사용하여 AES-256으로 암호화됩니다.
   • 인사 파일과 임상 기록은 애플리케이션 내에서 별도의 키로 추가 암호화되며, 연동 제공자에 대한 연결 정보는 별도의 키로 암호화된 별도의 시크릿 저장소에 보관됩니다.
2. 각 고객 데이터의 격리: 고객 데이터의 모든 레코드에는 그것이 속한 사업의 식별자가 포함됩니다. 데이터베이스의 행 수준 보안 정책이 애플리케이션의 역할에 적용되며, 애플리케이션의 역할에는 이를 우회할 권한이 없습니다. 복합 키 제약은 한 사업의 레코드가 다른 사업의 레코드와 연결되는 것을 방지합니다.
3. 접근 통제:
   • 접근 권한은 최소 권한 원칙에 따라 부여됩니다.
   • 운영 환경에 대한 접근은 실명이 확인된 STAK 직원으로 제한되며, 다중 인증이 필요하고, 모든 접근의 시작이 기록됩니다.
   • 서버에 대한 관리 접근은 AWS Systems Manager를 통해서만 이루어지며, 직접(SSH) 로그인은 없습니다.
4. 사용자 로그인 보안:
   • 사용자를 위해 서비스는 패스키, 인증 앱 및 확인된 전화로 전송되는 인증 코드를 제공합니다.
   • 고객을 위해 서비스는 맞춤 설정 가능한 역할과 권한, 지점별로 제한된 접근을 제공하며, 이를 포함하는 요금제에서는 세션 유휴 시간 규칙과, 새 기기에서 로그인할 때 소유자에게 보내는 알림도 제공합니다.
5. 감사 기록: 어떤 사용자도 변경하거나 삭제할 수 없는 변경 감사 기록이 보관됩니다. 여기에는 행위자, 시간, 출처 및 IP 주소가 기록됩니다. 고객이 제8.1조에 따라 최종 고객의 개인정보를 삭제하는 경우, 해당 항목에서는 그 사람의 식별 정보가 사라지지만 무엇이 누구에 의해 언제 이루어졌는지는 유지됩니다. 감사 기록은 제12조에 따라 고객 데이터와 함께 삭제됩니다. 회계 항목은 어떠한 변조도 드러나도록 체인으로 연결되어 있습니다.
6. 백업 및 복구:
   • 자동화된 지속적인 백업으로 35일 이내의 임의 시점으로 복구할 수 있습니다;
   • 일일 백업은 35일 동안, 월간 백업은 12개월 동안 보관되며, 아일랜드 공화국의 별도 지리적 리전으로 복사됩니다. 백업 볼트의 정책은 보관 기간이 끝나기 전의 삭제 또는 그 기간의 변경을 방지하며, 컴플라이언스 모드 잠금은 최소 처음 35일 동안 어떠한 백업도 삭제되지 않도록 합니다;
   • 데이터베이스의 논리 백업이 매일 밤 만들어지며, 변경과 삭제로부터 보호되는 저장소에 35일 동안 보관됩니다;
   • 백업으로부터의 데이터베이스 복원은 매월 테스트됩니다.
7. 결제 데이터: 서비스는 STAK이 카드 번호 전체를 저장하지 않도록 설계되어 있습니다. 결제는 결제 서비스 제공자가 호스팅하는 페이지 또는 그들의 인증받은 카드 수락 단말기와 앱에서 이루어집니다. 서비스 화면에는 카드 데이터를 입력하는 필드가 없으며, 서비스는 고객이 실수로 입력된 카드 번호를 제거할 수 있도록 자유 텍스트 필드를 검사하는 기능을 제공합니다.
8. 네트워크 및 인프라: 데이터베이스는 공개적으로 접근할 수 없는 사설 네트워크에서 방화벽 뒤에서 실행됩니다. 웹 애플리케이션 방화벽과 서비스 거부 공격에 대한 보호는 Cloudflare를 통해 제공됩니다.
9. 취약점 관리 및 안전한 개발: 코드는 검토되며 매 릴리스 전에 자동화된 테스트가 실행됩니다. 소프트웨어 라이브러리는 점검되며, 보안 업데이트는 지체 없이 적용됩니다.
10. 모니터링 및 사고 대응:
    • 클라우드 인프라는 상시 자동으로 모니터링되며, 즉시 경보가 발생합니다;
    • 클라우드 인프라에 대한 모든 관리 작업이 기록되며, 위협과 과도한 권한은 전용 Amazon 서비스(AWS CloudTrail, GuardDuty 및 IAM Access Analyzer)를 통해 자동으로 탐지됩니다;
    • 보안 사고 대응과 제9조에 따른 통지를 위해 문서화된 절차가 적용됩니다.
11. 업무 연속성: 서비스 수준 계약의 복구 목표에 부합하는 연속성 및 복구 계획이 적용됩니다.
12. 인력: STAK의 직원과 계약자는 비밀 유지 의무를 지며 보안 인식 교육을 받습니다.
13. 안전한 삭제: 데이터는 제12조에 따라 삭제되며, 호스팅 제공자는 자사 표준에 따라 매체를 파기합니다.

부속서 3: 하위 처리자

활성화된 경우에만 사용되는 제공자. STAK은 다음 제공자를 설정해 두었으나 현재 고객 개인정보를 처리하는 데 사용하고 있지 않습니다. STAK은 제6.3조에 따라 최소 30일 전에 통지한 후에만 이 중 어느 것이든 사용하기 시작하며, 통지에는 제공자가 데이터를 처리하는 위치와 보관 기간이 명시됩니다.

STAK이 자체 WhatsApp 번호를 켜면 Meta는 그 번호로 사용자에게 로그인 코드를, 공개 페이지에서 전화번호를 확인하는 최종 고객에게 인증 코드를 보냅니다. 이때 Meta가 처리하는 것은 고객 개인정보가 아니라 STAK이 개인정보 처리방침에 따라 컨트롤러로서 처리하는 데이터입니다.

위의 제공자 외에 STAK은 문자 메시지, 푸시 알림, 디지털 지갑, 또는 주소 조회·검증·지도 제공자를 고객 개인정보를 처리하는 데 사용하지 않습니다.