데이터 처리 합의서 (Data Processing Agreement)

본 데이터 처리 합의서("DPA")에서 별도로 정의되지 않은 대문자 용어는 아래의 의미를 가지며, "개인 정보", "처리", "컨트롤러", "처리자", "정보 주체" 및 "개인 정보 침해"와 같은 용어는 GDPR을 포함하여 적용 가능한 데이터 보호법에서 부여된 의미를 가집니다.

• "합의서"란 Customer와 Georithm 간의 Georithm 서비스 이용을 규정하는 기본 서비스 약관 또는 구독 계약을 의미합니다.
• "고객 데이터"란 Customer를 대신하여 Georithm에 제출되거나 Georithm에 의해 처리되는 개인 정보를 의미합니다.
• "데이터 보호법"이란 해당되는 경우 GDPR, UK GDPR, PIPEDA 및 CCPA/CPRA를 포함하여 개인 정보 처리와 관련된 관련 법률을 의미합니다.
• "하위 처리자"란 고객 데이터를 처리하기 위해 Georithm이 선임한 제3자를 의미합니다.

당사자들은 고객 데이터와 관련하여 데이터 보호법에 따라 Customer가 컨트롤러(또는 해당되는 경우 사업자)로서 행동하고, Georithm이 처리자(또는 해당되는 경우 서비스 제공자)로서 행동함을 인정합니다.

Georithm은 관련 법률에서 달리 요구하는 경우를 제외하고, Customer의 문서화된 지침, 본 DPA 및 합의서에 따라서만 고객 데이터를 처리합니다.

처리 대상: 호스팅, 인증, 매핑, AI 생성 인사이트 및 관련 지원 서비스를 포함한 Georithm 위치 지능형 플랫폼의 제공.

기간: 처리는 합의서의 기간 동안 지속되며, 그 이후 Georithm이 본 DPA에 따라 고객 데이터를 보유하는 기간 동안 지속됩니다.

성격 및 목적: Customer의 승인된 사용자가 요청한 지도 생성, 검색 결과 및 AI 기반 위치 인사이트를 포함하여 Georithm 서비스를 제공하는 데 필요한 고객 데이터의 수집, 저장, 조직화, 검색, 사용 및 삭제.

정보 주체의 범주:

• Customer의 승인된 사용자(임직원, 계약업체, 대리인).
• Customer의 사용자가 플랫폼에 입력한 위치, 주소 또는 비즈니스 데이터에 정보가 포함된 개인.

개인 정보의 항목:

• 연락처 및 식별 데이터(이름, 이메일 주소, 직책).
• 인증 데이터(로그인 방식, 계정 식별자).
• 플랫폼에 입력된 사용 및 쿼리 데이터.
• 결제 및 계정 관리 데이터.

특별 범주 데이터: 당사자들은 특별 범주 또는 민감한 개인 정보가 Georithm에 제출되는 것을 의도하지 않습니다. Customer는 서면으로 별도 합의되지 않는 한 그러한 데이터를 제출하지 않도록 보장할 책임이 있습니다.

Georithm은 다음을 수행합니다:

1. 법률에 의해 달리 요구되지 않는 한, 국외 이전에 관한 사항을 포함하여 Customer의 문서화된 지침에 따라서만 고객 데이터를 처리합니다.
2. 고객 데이터를 처리하도록 승인된 인력이 비밀 유지 의무를 준수하도록 보장합니다.
3. 부속서 II에 기술된 적절한 기술적 및 조직적 조치를 시행합니다.
4. 지침이 관련 데이터 보호법을 위반한다고 판단되는 경우 Customer에게 통지합니다.
5. 처리의 성격을 고려하여, 처리의 보안, 데이터 보호 영향 평가 및 감독 기관과의 협의와 관련된 의무를 Customer가 준수할 수 있도록 지원합니다.

Georithm은 고객 데이터를 처리하도록 승인된 모든 인원이 계약상 또는 법적 비밀 유지 의무를 확약하도록 보장하며, 합의서와 관련된 업무를 수행하기 위해 데이터가 필요한 인력으로 고객 데이터에 대한 접근을 제한합니다.

Georithm은 다음과 같은 고객 데이터 보호를 위한 기술적 및 조직적 조치를 유지합니다:

• 클라이언트와 Georithm 인프라 간 전송 중인 데이터의 암호화.
• Supabase 지원 데이터베이스 내 저장 데이터(at rest)의 암호화.
• 이메일/비밀번호 및 Google 로그인을 포함한 안전한 인증 메커니즘.
• 남용 및 무단 접근 시도를 완화하기 위한 속도 제한(Rate limiting).
• 보안 관련 및 관리 작업에 대한 감사 로그.
• 고객 데이터에 대한 내부 접근을 제한하는 역할 기반 접근 권한.
• 처리되는 데이터의 민감도에 적합한 환경 분리 및 접근 제어.

이러한 조치는 정기적으로 검토 및 업데이트되나, 중단 없는 또는 절대적인 보안을 보장하는 것은 아닙니다.

Customer는 Georithm 서비스 제공을 지원하기 위해 Georithm이 다음 범주의 하위 처리자를 선임하는 것에 대해 일반적인 승인을 부여합니다:

• 호스팅 및 데이터베이스 — Supabase (데이터베이스 호스팅 및 인증).
• 결제 — Stripe (결제 처리 및 청구).
• 매핑 — Mapbox (지도 렌더링 및 지오코딩).
• AI 모델 제공자 — 위치 기반 인사이트 생성을 위해 사용되는 AI 모델 게이트웨이.
• 이메일 — 계정 및 청구 알림을 위한 트랜잭션 이메일 전송 업체.

Georithm은 본 DPA의 내용과 실질적으로 유사한 데이터 보호 의무를 하위 처리자에게 부과합니다. Georithm이 하위 처리자를 추가하거나 교체하고자 하는 경우 Customer에게 통지하며, Customer는 합리적인 데이터 보호 근거에 따라 이의를 제기할 수 있습니다. 당사자들이 이의를 해결할 수 없는 경우, Customer는 합의서에 따라 영향을 받는 서비스를 종료할 수 있습니다.

처리의 성격을 고려하여, Georithm은 적절한 기술적 및 조직적 조치와 인앱 도구를 통해 Customer가 관련 데이터 보호법에 따른 권리(액세스, 정정, 삭제 또는 이식성 등)를 행사하려는 정보 주체의 요청에 대응할 수 있도록 합리적인 지원을 제공합니다. Customer는 컨트롤러로서 정보 주체의 요청에 대응할 책임을 유지합니다.

Georithm은 고객 데이터에 영향을 미치는 개인 정보 침해를 인지한 후 지체 없이, 어떠한 경우에도 72시간 이내에 Customer에게 통지하며, Customer가 관련 데이터 보호법에 따른 자체 통지 의무를 준수할 수 있도록 Georithm이 합리적으로 가용한 정보를 제공합니다. Georithm은 Customer와 협력하고 그러한 침해의 영향을 완화하기 위해 합리적인 조치를 취할 것입니다.

Georithm은 본 DPA 준수 여부를 입증하는 데 합리적으로 필요한 정보를 Customer가 이용할 수 있도록 하며, 합리적인 사전 통지, 비밀 유지 의무 준수 하에 감독 기관이 요구하거나 보안 사고로 인해 촉발되지 않는 한 연 1회를 초과하지 않는 범위 내에서 Customer 또는 Customer가 위임한 감사인이 수행하는 감사(실사 포함)를 허용하고 이에 기여합니다.

고객 데이터의 처리가 유럽 경제 지역, 영국 또는 스위스에서 적절한 보호 수준을 제공한다고 간주되지 않는 국가로의 이전을 포함하는 경우, 당사자들은 그러한 이전이 유럽 위원회의 표준 계약 조항(SCC) 및 해당되는 경우 영국 국외 데이터 이전 부속서(UK International Data Transfer Addendum)의 적용을 받는 것에 동의하며, 이는 참조를 통해 본 DPA에 통합되고 적법한 이전 메커니즘을 보장하기 위해 필요한 범위 내에서 상충되는 조항에 우선합니다.

합의서의 종료 또는 만료 시, Georithm은 Customer의 선택에 따라 모든 고객 데이터를 삭제 또는 반환하고 합리적인 기간 내에 기존 사본을 삭제합니다. 단, 관련 법률에서 고객 데이터의 일부 또는 전부에 대한 지속적인 보관을 요구하는 경우는 제외하며, 이 경우 Georithm은 해당 데이터를 추가 처리로부터 격리하고 보호합니다.

본 DPA로 인해 또는 이와 관련하여 발생하는 각 당사자의 책임은 관련 데이터 보호법에서 그러한 제한을 금지하지 않는 한 합의서에 명시된 책임의 제한 및 배제 사항의 적용을 받습니다.

개인 정보 처리와 관련하여 본 DPA와 합의서가 충돌하는 경우, 충돌하는 범위 내에서 본 DPA가 우선합니다. 본 DPA와 제12조에 따라 통합된 표준 계약 조항 또는 영국 부속서가 충돌하는 경우, 표준 계약 조항 또는 영국 부속서가 우선합니다.

본 DPA는 양 당사자의 수락 시 Customer와 Georithm 간의 합의서의 일부를 구성하도록 의도되었습니다. 본 DPA를 실행하거나 서명된 사본을 요청하려면 jerogz@georithm.info로 문의하십시오. 필요한 경우, 당사자들은 본 DPA와 그 버전 및 발효일을 참조하는 서명란을 작성하거나 클릭 승인 방식을 완료할 수 있습니다.