ViaLink 데이터처리계약(DPA)

전문

이 데이터처리계약(이하 “DPA”)은 델라웨어주 법인 Linpert, Inc.(이하 “회사”)와 ViaLink 서비스 이용약관에 동의하였거나 그 이용약관을 인용하는 주문서를 체결한 고객(이하 “고객”) 간에 체결되며, 고객의 ViaLink 서비스 이용을 규율하는 회사와 고객 간의 계약(이하 “계약”)의 일부를 구성하고 그에 편입됩니다.

이 DPA는 회사가 고객을 대신하여 서비스와 관련한 개인정보를 처리하고, 그 처리가 관련 개인정보 보호 법령의 적용을 받는 경우에 적용됩니다. 이 DPA에서 정의되지 아니한 대문자로 표기된 용어는 계약에서 정한 의미를 가집니다.

제1조 (정의)

이 DPA에서 사용하는 용어의 정의는 다음과 같습니다.

• “개인정보 보호 법령(Data Protection Laws)”이란 개인정보 처리를 규율하는 관련 법령을 의미하며, 해당되는 경우 EU 일반개인정보보호규정 2016/679(이하 “GDPR”), 영국 GDPR 및 2018년 데이터보호법, 캘리포니아 개인정보 권리법에 의해 개정된 2018년 캘리포니아 소비자 개인정보 보호법(이하 “CCPA”)을 포함합니다.
• “개인정보(Personal Data)”, “처리(Processing)”, “컨트롤러(Controller)”, “프로세서(Processor)”, “정보주체(Data Subject)”는 GDPR에서 정한 의미를, “사업자(Business)”, “서비스 제공자(Service Provider)”, “판매(Sell)”, “공유(Share)”는 CCPA에서 정한 의미를, 각 해당 처리에 적용 가능한 범위에서 가집니다.
• “표준계약조항(Standard Contractual Clauses, SCCs)”이란 유럽집행위원회가 승인한, GDPR에 따른 제3국으로의 개인정보 이전을 위한 표준계약조항을 의미하며, 영국 GDPR이 적용되는 이전의 경우 영국 국제데이터이전부속서(UK International Data Transfer Addendum)를 포함합니다.
• “보안사고(Security Incident)”란 회사가 이 DPA에 따라 처리하는 개인정보의 우발적 또는 위법한 파기, 분실, 변경, 무단 공개 또는 접근을 초래하는 것으로 확인된 보안 침해를 의미합니다.
• “서브프로세서(Subprocessor)”란 서비스와 관련하여 고객을 대신하여 개인정보를 처리하기 위해 회사가 위탁하는 제3자를 의미합니다.

제2조 (당사자의 지위)

• 회사와 고객 사이에서, 고객은 이 DPA에 따라 처리되는 개인정보의 컨트롤러(또는 해당되는 경우 사업자)이며, 회사는 프로세서(또는 해당되는 경우 서비스 제공자)입니다.
• 회사는 고객의 문서화된 지시에 따라서만 개인정보를 처리하며, 그러한 지시는 계약, 관련 주문서, 고객의 서비스 설정 및 이용, 그리고 이 DPA에 의해 구성됩니다. 다만 관련 법령이 달리 요구하는 경우는 예외로 하며, 이 경우 회사는 법령이 그러한 통지를 금지하지 않는 한 처리 전에 고객에게 그 법적 요구사항을 고지합니다.

제3조 (처리의 범위 및 세부사항)

처리의 대상, 기간, 성격 및 목적, 정보주체의 범주, 개인정보의 범주는 이 DPA의 부속서 1에 기재된 바와 같습니다.

제4조 (회사 인력)

• 회사는 개인정보 처리 권한을 부여받은 인력이 구속력 있는 서면 비밀유지 의무를 부담하도록 하며, 개인정보 취급에 관한 적절한 교육을 받도록 합니다.
• 회사는 서비스 수행을 위하여 개인정보에 대한 접근이 필요한 인력으로 접근 권한을 제한합니다.

제5조 (서브프로세서)

• 고객은 이 DPA의 시행일 기준으로 vialink.app/subprocessors(이하 “서브프로세서 목록”)에 게시된 서브프로세서를 회사가 위탁하는 것에 동의하며, 회사가 이 조에 따라 추가 또는 대체 서브프로세서를 위탁하는 것에 동의합니다.
• 회사는 신규 서브프로세서를 위탁하기 전에 서브프로세서 목록을 갱신하고, 해당 페이지 게시 또는 이메일을 통해 최소 10일 전에 고객에게 통지합니다.
• 고객이 신규 서브프로세서에 대하여 개인정보 보호와 관련한 합리적인 이의가 있는 경우, 위 10일의 기간 내에 회사에 이의를 통지할 수 있으며, 양 당사자는 이를 해결하기 위하여 성실히 협의합니다. 협의가 이루어지지 않는 경우, 고객의 유일한 구제수단은 해당 서브프로세서 없이는 제공될 수 없는 서비스 부분을 위약금 없이 해지하는 것입니다.
• 회사는 서브프로세서의 행위 및 부작위에 대하여 회사가 직접 그 서비스를 수행한 경우와 동일한 범위에서 책임을 지며, 각 서브프로세서에게 이 DPA에서 정한 것보다 완화되지 않은 수준의 개인정보 보호 의무를 부과합니다.

제6조 (보안조치)

• 회사는 개인정보를 우발적 또는 위법한 파기, 분실, 변경, 무단 공개 또는 접근으로부터 보호하기 위하여 이 DPA의 부속서 3에 기재된 조치를 포함한 적절한 기술적·관리적 조치를 이행하고 유지합니다.
• 회사는 계약 기간 중 서비스의 전반적인 보안 수준을 중대하게 저하시키지 않습니다.

제7조 (보안사고 통지)

• 회사는 고객의 개인정보에 영향을 미치는 보안사고를 인지한 후 지체 없이, 어떠한 경우에도 72시간 이내에 고객에게 통지합니다.
• 그러한 통지에는 당시 파악된 범위 내에서 보안사고의 성격, 영향을 받은 정보주체 및 기록의 범주와 대략적인 수, 취해졌거나 제안된 대응 조치가 포함됩니다. 회사는 보안사고의 조사 및 시정에 관하여 고객에게 합리적으로 협조합니다.

제8조 (정보주체 요청에 대한 협조)

• 회사는 처리의 성격을 고려하여, 서비스의 셀프서비스 기능 또는 기타 방법을 통해 고객이 관련 개인정보 보호 법령상 정보주체의 권리 행사 요청에 대응할 수 있도록 합리적으로 협조합니다.
• 회사가 고객을 대신하여 처리하는 개인정보에 관하여 정보주체로부터 직접 요청을 받은 경우, 회사는 (수령 확인 외에는) 그 요청에 응답하지 아니하고 법령상 금지되지 않는 한 지체 없이 이를 고객에게 전달합니다.

제9조 (개인정보 영향평가 지원)

회사는 고객이 합리적으로 필요하다고 판단하는 개인정보 영향평가 또는 감독기관과의 사전 협의와 관련하여, 합리적으로 요청된 정보를 제공하여 고객을 지원합니다. 회사는 통상적인 범위를 초과하는 노력이 필요한 요청에 대하여는 고객에게 그 소요 시간에 대한 비용을 청구할 수 있습니다.

제10조 (국외 이전)

• 회사가 유럽경제지역(EEA), 영국 또는 스위스로부터 유래한 개인정보를 적정성이 인정되지 않은 국가에서 처리하는 경우, 그 이전에는 표준계약조항(모듈 2: 컨트롤러-프로세서)이 적용되며, 이는 이 DPA에 참조로 편입됩니다. 이 경우 고객은 “데이터 수출자(data exporter)”, 회사는 “데이터 수입자(data importer)”가 됩니다.
• 영국 GDPR이 적용되는 이전의 경우, 당사자들은 EU 표준계약조항에 갈음하거나 이를 보충하여 영국 국제데이터이전부속서를 적용하기로 편입합니다.

제11조 (CCPA/CPRA 관련 조항)

• 회사가 고객을 대신하여 처리하는 CCPA상의 개인정보(Personal Information)와 관련하여, 고객은 “사업자(Business)”, 회사는 “서비스 제공자(Service Provider)”이며, 회사는 오로지 계약에서 정한 목적으로 고객을 대신하여 서비스를 수행하기 위한 목적(이하 “사업 목적”)으로만 개인정보를 제공받습니다.
• 회사는 이 조의 제한사항을 이해하였음을 확인하며, 다음 각 호의 행위를 하지 않을 것에 동의합니다.
  • 개인정보를 판매하거나 공유하는 행위
  • 계약에서 정한 사업 목적 외의 목적으로, 또는 CCPA에서 달리 허용하는 경우를 제외하고 개인정보를 보유, 이용 또는 공개하는 행위
  • 회사와 고객 간의 직접적인 사업 관계를 벗어나 개인정보를 보유, 이용 또는 공개하는 행위
  • CCPA에서 허용하는 경우를 제외하고, 고객으로부터 수령한 개인정보를 다른 자로부터 또는 다른 자를 대신하여 수령한 개인정보와 결합하는 행위

제12조 (감사권)

• 고객은 12개월 기간 중 1회를 초과하지 않는 범위에서, 또는 보안사고 발생 후, 또는 감독기관이 요구하는 경우, 회사의 이 DPA 준수를 입증하는 데 합리적으로 필요한 정보를 요청할 수 있습니다.
• 회사는 최근 제3자 감사보고서(예: SOC 2 보고서) 요약본 또는 작성된 보안 질의서를 제공함으로써 이러한 요청에 응할 수 있습니다. 그러한 자료가 준수를 입증하기에 합리적으로 충분하지 않은 경우, 회사는 최소 30일의 사전 서면 통지를 받은 후 정상 영업시간 중, 고객의 비용으로, 합리적인 비밀유지 보호 조치를 조건으로, 회사의 업무 운영에 지장을 주지 않는 범위에서 현장 감사를 허용합니다.

제13조 (개인정보의 반환 또는 삭제)

계약의 종료 또는 만료 시, 회사는 고객의 선택에 따라 고객을 대신하여 처리한 모든 개인정보를 삭제하거나 반환합니다. 다만 관련 법령이 회사로 하여금 개인정보의 전부 또는 일부를 보유하도록 요구하는 경우는 예외로 하며, 이 경우 회사는 이 DPA 및 회사의 개인정보 보유 정책에 따라 해당 개인정보를 계속 보호합니다.

제14조 (책임, 우선순위 및 준거법)

• 이 DPA와 관련하여 발생하는 각 당사자의 책임은 계약에서 정한 책임의 제한 및 배제 규정의 적용을 받습니다.
• 이 DPA는 계약의 일부를 구성합니다. 개인정보 처리에 관하여 이 DPA와 계약이 상충하는 경우 이 DPA가 우선하며, 그 밖의 사항에 대하여는 계약이 우선합니다.
• 이 DPA는 계약의 준거법 조항과 동일하게 델라웨어주법의 적용을 받습니다.
• 이 DPA는 회사가 계약에 따라 고객을 대신하여 개인정보를 처리하는 기간 동안 효력을 유지합니다.

부속서 1 — 처리의 세부사항

• 처리의 대상: 계약에서 설명된 ViaLink의 딥링크 생성·관리, 클릭 리다이렉트, 디퍼드 딥링킹, 이벤트 추적 및 어트리뷰션 분석 서비스의 제공.
• 처리 기간: 계약 기간 동안, 그 이후에는 이 DPA 제13조 및 회사 개인정보처리방침에서 정한 보유기간에 따릅니다.
• 처리의 성격 및 목적: 서비스의 제공, 유지 및 개선에 필요한 처리로서, 딥링크 생성 및 관리, 클릭 리다이렉트 및 플랫폼별 라우팅, 디퍼드 딥링킹(핑거프린트 기반 매칭), 클릭 및 이벤트 분석을 포함합니다.
• 정보주체의 범주: 고객의 딥링크와 상호작용하는 고객의 모바일 애플리케이션 및 웹사이트의 최종 이용자, 그리고 해당되는 경우 서비스 대시보드에 접근하는 고객 소속 인력.
• 개인정보의 범주: 기기 및 클릭 정보(IP 주소, User-Agent, 리퍼러, 해시 처리된 기기 핑거프린트), 애플리케이션 이용 및 이벤트 정보, 고객의 권한 있는 사용자에 관한 계정 정보(이름, 이메일 주소).
• 특수 범주의 정보: 회사는 서비스를 통하여 건강, 생체, 유전 정보 또는 인종·민족적 출신, 종교적 신념, 노동조합 가입 여부를 나타내는 정보 등 특수 범주의 개인정보를 의도적으로 수집하거나 처리하지 않습니다.

부속서 2 — 서브프로세서

이 DPA의 시행일 기준으로 회사는 다음의 서브프로세서를 위탁하고 있습니다. 제5조에 따라 갱신된 최신 목록은 vialink.app/subprocessors에서 관리됩니다.

부속서 3 — 보안조치

회사는 다음과 같은 기술적·관리적 보안조치를 유지합니다.

• bcrypt 해시 함수를 이용한 비밀번호 암호화
• TLS 1.3을 이용한 전송 구간 데이터 암호화
• 업무 수행에 필요한 인력으로 개인정보 접근을 제한하는 접근 통제
• 침입 탐지 시스템
• 접속 기록의 최소 1년간 보관