데이터 처리 계약

본 데이터 처리 계약("DPA")에서 사용하는 용어의 뜻은 다음과 같습니다.

• "컨트롤러"란 개인정보 처리의 목적과 수단을 결정하는 자연인 또는 법인을 의미합니다.
• "프로세서"란 컨트롤러를 대신하여 개인정보를 처리하는 자연인 또는 법인을 의미합니다.
• "개인정보"란 식별되었거나 식별 가능한 자연인과 관련된 모든 정보를 의미합니다.
• "처리"란 수집, 저장, 이용, 공개 또는 삭제를 포함하여 개인정보에 수행하는 모든 작업을 의미합니다.
• "정보주체"란 개인정보가 관련되는 개인을 의미합니다.
• "하위 처리자"란 개인정보 처리를 위해 Chargezen이 고용한 제3자를 의미합니다.

본 DPA는 서비스 약관에 따라 제공되는 서비스와 관련하여 Chargezen(프로세서)이 고객(컨트롤러)을 대신해 수행하는 개인정보 처리에 적용됩니다.

Chargezen은 다음의 경우에만 개인정보를 처리합니다.

• 서비스를 제공하기 위한 목적
• 적용 법률을 준수하는 데 필요한 경우
• 그 밖에 고객이 서면으로 지시한 경우

고객은 다음을 진술하고 보증합니다.

• Chargezen에 개인정보를 제공하는 데 필요한 모든 권리와 동의를 보유합니다
• 적용되는 모든 데이터 보호법을 준수합니다
• 처리 지시가 적용 법률을 위반하지 않습니다
• 개인정보의 정확성, 품질 및 적법성에 대한 책임을 집니다

Chargezen은 다음에 동의합니다.

• 문서화된 고객의 지시에 따라서만 개인정보를 처리합니다
• 개인정보 처리 권한이 있는 직원에게 비밀유지 의무가 적용되도록 합니다
• 적절한 기술적·조직적 보안 조치를 시행합니다
• 정보주체의 요청에 대응할 수 있도록 고객을 지원합니다
• 데이터 보호 영향평가 및 규제기관과의 협의에서 고객을 지원합니다
• 계약 종료 시 고객의 선택에 따라 개인정보를 삭제하거나 반환합니다
• 준수를 입증하는 데 필요한 정보를 제공합니다

Chargezen은 다음을 포함한 포괄적인 보안 조치를 유지합니다.

• 암호화: 저장 시 AES-256 암호화, 전송 시 TLS 1.3
• 접근 제어: 역할 기반 접근, MFA, SSO 지원
• 모니터링: 연중무휴 24시간 보안 모니터링 및 위협 탐지
• 인프라: SOC 2 Type II 인증을 받은 호스팅 제공업체
• 취약점 관리: 정기적인 침투 테스트 및 보안 감사
• 사고 대응: 문서화된 사고 대응 절차

고객은 Chargezen이 처리 활동을 위해 하위 처리자를 고용하도록 승인합니다. Chargezen은 다음을 수행합니다.

• 최신 하위 처리자 목록을 유지합니다(요청 시 제공)
• 예정된 하위 처리자 변경 사항을 고객에게 통지합니다
• 동등한 데이터 보호 의무를 부과하는 서면 계약을 하위 처리자와 체결합니다
• 하위 처리자의 작위 및 부작위에 대해 계속 책임을 집니다

고객은 통지 후 30일 이내에 새로운 하위 처리자에 이의를 제기할 수 있습니다. 고객의 이의가 해결되지 않으면 고객은 영향을 받는 서비스를 해지할 수 있습니다.

Chargezen은 GDPR 요건을 준수하며 다음을 활용하여 유럽경제지역(EEA) 밖으로 개인정보를 이전할 수 있습니다.

• 표준계약조항(SCC): 데이터 이전을 위해 EU가 승인한 표준 조항
• 적정성 결정: 적절한 보호를 제공하는 국가로의 이전
• 추가 보호조치: 보완 조치로서의 암호화 및 접근 제어

미국으로 이전하는 경우 Chargezen은 정부의 접근으로부터 보호하기 위해 추가적인 기술적 조치를 시행합니다.

Chargezen은 다음을 포함하여 정보주체의 요청에 대응해야 하는 의무를 고객이 이행하도록 지원합니다.

• 개인정보에 대한 접근
• 부정확한 데이터의 정정
• 삭제("잊힐 권리")
• 처리 제한
• 데이터 이동성
• 처리에 대한 이의 제기

Chargezen은 정보주체의 요청을 받으면 고객에게 신속히 통지합니다.

개인정보 침해가 발생하면 Chargezen은 다음을 수행합니다.

• 부당한 지체 없이 고객에게 통지합니다(인지한 때부터 72시간 이내)
• 침해의 성격, 영향을 받는 데이터 범주 및 예상되는 결과에 대한 정보를 제공합니다
• 침해를 해결하기 위해 취했거나 제안한 조치를 설명합니다
• 고객의 조사 및 통지 의무 이행에 협조합니다

고객은 Chargezen의 본 DPA 준수 여부를 감사할 권리가 있습니다. 감사는 다음 조건으로 수행할 수 있습니다.

• 고객 또는 독립적인 제3자 감사인이 수행합니다(비밀유지 조건 적용)
• 합리적인 사전 통지를 합니다(최소 30일)
• 연 1회를 초과하지 않습니다(규제기관이 요구하는 경우 제외)
• 비용은 고객이 부담합니다(감사에서 중대한 미준수가 발견되는 경우 제외)

Chargezen은 요청 시 비밀유지 계약에 따라 감사 보고서(예: SOC 2 Type II)도 제공합니다.

본 DPA는 서비스 계약 기간 동안 유효합니다. 계약 종료 시:

• Chargezen은 개인정보 처리를 중단합니다(법률에서 요구하는 경우 제외)
• 고객의 선택에 따라 Chargezen은 30일 이내에 모든 개인정보를 삭제하거나 반환합니다
• Chargezen은 요청 시 삭제 사실을 서면으로 증명합니다

본 DPA에 따른 책임에는 서비스 계약의 제한이 적용됩니다. 각 당사자는 다음을 위반하는 처리로 발생한 손해에 대해서만 책임을 집니다.

• 본 DPA
• 적용되는 데이터 보호법
• 고객의 적법한 지시