PhotoRobot 데이터 처리 협약(DPA)
이 문서는 PhotoRobot 데이터 처리 협약: 버전 1.0 — PhotoRobot 에디션, uni-Robot Ltd., 체코 공화국을 대표합니다.
1. 당사자
이 데이터 처리 계약("DPA")은 다음 기간 사이에 체결됩니다:
컨트롤러 (고객)
PhotoRobot 이용 약관에 가입하고 서비스를 사용하는 개인 또는 법인.
그리고
프로세서:
유니-로봇 주식회사
Vodičkova 710/31
110 00 프라하 1
체코
회사 ID: 01478061
부가가치 식별자: CZ01478061
이메일: legal@photorobot.com
이후 통칭하여 "당사자들"이라고 부릅니다.
이 DPA는 PhotoRobot 서비스 약관을 보완하며, PhotoRobot이 고객을 대신해 개인정보를 처리할 때 적용됩니다.
2. 처리 주제 및 성격
PhotoRobot("프로세서")는 고객("컨트롤러")이 업로드한 이미지, 메타데이터 및 관련 디지털 콘텐츠를 처리하는 데 필요한 클라우드 기반 서비스, 로컬 소프트웨어 확장, 펌웨어 관리 및 호스팅 인프라를 제공합니다.
처리 과정에는 다음이 포함됩니다:
- 소장품
- 저장
- 전파
- 메타데이터 추출
- CL ↔ 클라우드 간 동기화
- 고객이 업로드한 콘텐츠 호스팅
- 로그 생성 및 진단
- 백업 작전
처리는 컨트롤러의 문서화된 지침에 따라 엄격히 수행됩니다.
3. 시간
이 DPA는 당사자 간 계약 관계 기간 동안, 그리고 그 이후로는 처리자가 컨트롤러를 대신해 개인 데이터를 저장하거나 처리하는 한 유효합니다.
4. 개인정보 및 데이터 주체의 범주
4.1. 개인 데이터의 유형
서비스 사용 방식에 따라 처리되는 데이터는 다음과 같을 수 있습니다:
- 신원 확인 정보(이름, 성, 회사)
- 연락처 정보(이메일, 전화)
- 시각 콘텐츠 (이미지, 동영상)
- 업로드된 콘텐츠와 관련된 메타데이터
- 로그 데이터, IP 주소, 기술 식별자
- 프로젝트 수준 데이터
- 자격 증명(해시), 접근 토큰
처리자는 특별 범주의 데이터를 요구하거나 의도적으로 처리 하지 않습니다 (GDPR 제9조).
4.2. 데이터 주체의 범주
- 고객 직원들
- 고객의 고객 또는 파트너
- 승인된 사용자
- 고객이 업로드한 시각적 콘텐츠로 소개된 모든 사람들
고객은 데이터 주체로부터 합법적인 데이터 수집을 보장하는 데 전적으로 책임이 있습니다.
5. 컨트롤러의 지시
처리자는 오직 개인 정보만을 처리합니다:
- 컨트롤러의 문서화된 지침에 따르면,
- 서비스를 제공하기 위해 요구되는 경우,
- 시스템의 보안, 무결성 및 가용성을 보장하기 위해,
- EU 또는 체코 법률에 따라 요구되는 것입니다.
프로세서가 명령어를 불법으로 간주하면, 컨트롤러에게 통지해야 합니다.
6. 비밀유지
처리자는 개인정보 처리가 허가된 모든 사람이 다음을 보장합니다:
- 비밀 유지 의무의 대상이 됩니다.
- 적절한 교육을 받았으며,
- 컨트롤러의 지시에만 따라 데이터를 처리합니다.
7. 서브프로세서
프로세서는 서비스를 지원하기 위해 특정 제3자('서브 프로세서')를 사용합니다.
7.1. 승인된 서브프로세서
컨트롤러는 프로세서가 다음 범주의 서브프로세서를 사용할 수 있도록 일반 권한을 부여합니다:
- 클라우드 인프라 제공업체(예: 구글 클라우드 플랫폼)
- 이메일 전달 제공업체
- 분석 제공자
- 티켓팅 시스템
- 보안 모니터링 서비스
- 백업 및 재해 복구 시스템
완전한 목록은 PhotoRobot 서브프로세서 목록에 보관되어 있으며 업데이트될 수 있습니다.
7.2. 변경 사항 통지
처리자는 하위 처리자에 대한 변경 예정을 최소 15일 전에 컨트롤러에게 통지해야 하며, 컨트롤러는 합리적인 사유로 이의를 제기할 수 있습니다.
8. 국제 데이터 전송
서브프로세서나 인프라가 EEA 외부에 위치한 경우, 프로세서는 다음을 보장합니다:
- 표준 계약 조항의 적용 (SCC 2021),
- 보조 기술 및 조직 안전장치,
- 접근 최소화 및 암호화,
- 기초 제공자의 준수 감사.
구글 클라우드 플랫폼은 다음과 같은 기능을 제공합니다:
- ISO 27001, ISO 27017, ISO 27018
- SOC 1/2/3 보고서
- GDPR 준수 문서
자세한 내용은 https://cloud.google.com/security 에서 확인할 수 있습니다.
9. 보안 조치
프로세서는 다음을 포함한 산업 표준 기술 및 조직 조치(TOM)를 구현해야 합니다:
9.1. 기술 조치
- 전송 중인 데이터의 TLS 암호화
- 암호화된 접근 토큰을 통한 안전한 저장
- 고립된 처리 환경
- 비밀번호 해싱
- 속도 제한 및 침입 탐지 시스템
- 다층 방화벽
- 물리적 데이터 센터 보안 (구글 클라우드를 통해)
9.2. 조직적 조치
- 역할 기반 접근 제어
- 접근 기록 및 모니터링
- 데이터 처리 내부 정책
- 직원 기밀 유지 의무
- 정기적인 보안 훈련
- 벤더 리스크 관리
전체 TOM 목록은 요청 시 제공될 수 있습니다.
10. 데이터 주체권
프로세서는 다음 사항에 대한 대응을 위해 컨트롤러를 지원합니다:
- 접근 요청
- 정정
- 삭제
- 제한
- 데이터 이동성
- 이의 제기
프로세서는 데이터 주체로부터 직접 요청하는 경우를 지체 없이 컨트롤러로 전달해야 합니다.
11. 데이터 유출 통지
개인 데이터 유출 시 처리자는 컨트롤러에게 통지해야 합니다:
- 지체 없이,
- GDPR 제33조에서 요구하는 모든 정보를 포함하고,
- 그리고 정화 작업이 완료될 때까지 지속적인 업데이트를 제공합니다.
컨트롤러는 여전히 당국과 피해 개인에게 통보할 책임이 있습니다.
12. 데이터 삭제 또는 반환
계약 종료 시:
- 처리 업체가 30일 후에 고객 데이터를 삭제합니다,
- 컨트롤러의 별도 지시가 없는 한,
- 법적으로 유지가 요구되는 경우를 제외하고.
백업은 정상적인 수명 주기 동안 덮어쓰입니다.
13. 감사
컨트롤러는 다음과 같은 권리를 가집니다:
- GDPR 준수를 증명하는 문서 받기
- TOM 보고서 요청
- 합리적인 감사를 연 1회로 수행하세요
- 제3자 인증(구글 클라우드의 ISO/SOC 보고서)에 의존하세요
감사는 보안을 위태롭게 하거나 운영을 방해해서는 안 됩니다.
14. 책임
당사자의 책임은 서비스 약관에 따라 집니다.
처리자는 GDPR 의무 위반으로 인한 위반에 대해서만 책임을 집니다.
15. 법 및 관할권
이 DPA는 체코 공화국 법률에 의해 규율됩니다.
분쟁은 체코 프라하 법원에서 해결된다.
16. 표준 계약 조항(SCC)
필요한 경우, SCC 2021(모듈 2: 컨트롤러 → 프로세서) 이 이 DPA의 부록으로 적용됩니다.
PhotoRobot:
- SCC를 참조에 의해 포함하며,
- 모든 필수 조항을 포함하고,
- 보조 기술 조치를 시행합니다
- EEA 외부 하위 프로세서로의 이전 시 준수를 보장합니다.
요청 시 SCC를 전부 제공할 수 있습니다.
17. 접촉
유니-로봇 주식회사
Vodičkova 710/31
110 00 프라하 1
체코
이메일: legal@photorobot.com