개인정보 처리 위탁 계약서(DPA)
법률 검토를 위한 초안 — 아직 효력이 없습니다
이 개인정보 처리 위탁 계약서(이하 “DPA”)는 피어보로 주식회사(이하 “회사”)와 해당 계정 또는 주문 기록으로 특정되는 고객(이하 “고객”) 사이의 이용약관(이하 “약관”)의 일부를 이룹니다. 이 DPA는 효력이 생긴 때부터, Genharden DMARC(이하 “서비스”)와 관련하여 회사가 고객을 대신하여 하는 개인정보 처리에 적용됩니다. “관련 개인정보 보호 법령”이란 그 처리에 적용되는 개인정보 보호 법령을 말하며, 적용되는 경우 유럽연합과 영국의 일반 개인정보 보호법(GDPR), 스위스 연방 개인정보 보호법, 적용되는 미국 각 주의 개인정보 보호법과 대한민국 개인정보 보호법을 포함합니다. 회사가 자신의 목적으로 하는 처리에는 회사의 개인정보 처리방침이 적용됩니다. 이 문서는 초안이며, 채택되기 전에는 법적 효력이 없습니다.
제1조 (적용 범위와 해석)
“고객 데이터”란 회사가 서비스를 제공하면서 고객을 대신하여 받거나 생성하는 개인정보를 말합니다. “고객 계정”이란 고객과 고객이 권한을 준 이용자가 서비스에 접속하는 계정을 말합니다. 고객은 고객 데이터의 관리자(controller)이거나, 다른 관리자를 대신하여 고객 데이터를 처리하는 경우에는 처리자(processor)입니다. 뒤의 경우 회사는 하위 처리자(sub-processor)가 되며, 고객은 회사에 지시하고 회사를 선임하는 데 필요한 권한을 확보하여야 합니다. 고객은 고객 데이터를 적법하게 수집하고 제공할 책임과, 관련 개인정보 보호 법령이 요구하는 고지를 하고 그 법령이 요구하는 승인을 받을 책임을 집니다. 회사는 자신의 계정 관리, 청구, 웹사이트 운영과 고객 관계 관리를 위하여 처리하는 개인정보에 대해서는 독립된 관리자입니다. 판매자(Merchant of Record)인 결제 서비스 제공자는 결제 처리에 관하여 자신의 지위에서 행위합니다. 이 DPA가 채택되어 약관에 편입되면, 적용 법령이 허용하는 범위에서 별도의 자필 서명 없이 약관과 함께 전자적으로 수락할 수 있습니다. 적용되는 판은 제15조에 따라 변경될 때까지 효력을 유지합니다.
제2조 (처리의 대상과 범위)
대상과 목적: 서비스의 제공과 운영. 이메일 보안 정보의 수신과 평가, 도메인과 통신 설정의 확인, 확인 결과와 권고의 작성, 관련 연락과 지원, 제3조에 정한 고객 데이터의 익명 처리를 포함합니다. 처리의 성격: 수집, 기록, 정리, 저장, 분석, 조회, 서비스를 제공하는 과정에서의 제공, 삭제. 처리에는 자동화된 분석 도구가 쓰일 수 있습니다. 기간: 고객 데이터는 제11조의 조기 삭제 요건과 제한된 예외에 따르는 것을 전제로, 원칙적으로 고객의 탈퇴와 해당 고객 계정의 종료가 완료될 때까지 보관합니다. 정보주체의 범주: 고객이 권한을 준 이용자, 서비스에 제출되거나 서비스로 보내진 정보에서 식별되는 사람, 그러한 정보를 제공하는 조직의 연락 담당자. 개인정보의 범주: 연락처와 계정 정보, 온라인·네트워크 식별자, 서비스에 제출된 정보에 담긴 통신 메타데이터와 내용, 서비스 설정과 이용 기록. 민감한 정보: 서비스는 특수한 범주의 개인정보나 그 밖의 민감한 정보를 처리하기 위한 것이 아닙니다. 고객은 사전 서면 합의와 적법한 근거 없이 그러한 정보를 고의로 제출하여서는 안 됩니다. 우연히 받게 된 그러한 정보에도 이 DPA의 보호와 관련 개인정보 보호 법령이 요구하는 추가 조치가 적용됩니다.
제3조 (지시와 비밀 유지)
회사는 합의된 서비스의 목적과 범위 안에서, 국외 이전에 관한 것을 포함하여, 고객의 문서화된 지시에 따라서만 고객 데이터를 처리합니다. 이 지시는 약관, 이 DPA, 고객의 서비스 설정과 그 처리에 관한 적법한 서면 요청으로 이루어집니다. 회사는 고객 데이터를 판매하지 않으며, 다음 문단에 정한 경우를 제외하고는 광고나 그 밖의 자신의 목적으로 처리하지 않습니다. 고객은 그 결과로 나온 정보가 고객, 고객이 권한을 준 이용자나 그 밖의 개인을 더 이상 식별하지 않고 그들과 합리적으로 연결될 수도 없도록, 회사가 고객 데이터를 익명으로 처리하거나 집계할 것을 지시하고 이를 허락합니다. 이렇게 익명으로 처리한 정보는 고객 데이터가 아닙니다. 회사는 이를 보관할 수 있고, 서비스를 개선하고 통계를 작성하여 공개하는 데 이용할 수 있으며, 다시 식별하려고 시도하지 않습니다. 관련 개인정보 보호 법령의 강행 의무를 제한하지 않는 범위에서, 추가 서비스, 서비스의 중대한 변경이나 별도의 처리 환경이 필요한 지시는 그 범위와, 비용이 발생하는 경우 그 비용에 관한 별도의 서면 합의에 따릅니다. 회사가 합의된 서비스 안에서 지시를 합리적으로 이행할 수 없으면 고객에게 알리고, 양 당사자는 적법한 해결 방법을 찾습니다. 적법한 지시를 따르면서 관련 서비스를 합리적으로 계속할 수 없는 경우에는 제5조의 관련 서비스 종료 절차를 적용합니다. 회사는 지시가 관련 개인정보 보호 법령에 위반된다고 판단하면 즉시 고객에게 알리며, 지시가 명확해지거나 적법한 지시로 바뀔 때까지 해당 처리를 중단할 수 있습니다. 법령이 요구하는 처리는 관련 개인정보 보호 법령이 허용하는 범위로 한정합니다. 회사는 법령이 통지를 금지하지 않는 한, 처리하기 전에 그 법적 요구를 고객에게 알립니다. 고객 데이터에 대한 접근은 해당 업무를 수행할 권한이 있는 사람으로 제한합니다. 그 사람은 계약 또는 법령에 따른 비밀 유지 의무를 집니다.
제4조 (보호 조치)
회사는 처리의 성격, 범위와 목적 및 개인에게 미치는 위험에 맞는 기술적·관리적 조치를, 기술 수준과 이행 비용을 고려하여 마련하고 유지합니다. 이 조치는 고객 데이터와 이를 처리하는 시스템의 기밀성, 무결성, 가용성과 복원력을 다룹니다. 이 조는 제8조에 따라 합의하는 이전별 보호 조치의 세부 사항과 함께 표준계약조항의 부속서 II를 이룹니다. 조치에는 부여된 권한에 맞는 접근 통제와 인증(관리 권한으로 하는 접근에 대한 추가 확인 포함), 고객 정보의 논리적 분리, 저장된 데이터와 회사가 통제하는 경로로 전송되는 데이터의 보호, 운영 환경과 시험 환경의 분리, 서비스 운영에 쓰는 기기와 계정의 보호가 포함됩니다. 암호화는 위험과 해당 통신 경로에 비추어 적절한 곳에 적용합니다. 제3자가 시작한 전송은 회사의 통제 밖에 있는 경로를 이용할 수 있습니다. 회사는 관련 보안·관리 이벤트의 적절한 기록, 사고 대응과 복구 절차, 백업 사본의 보호, 서비스 제공업체에 대한 비례적인 평가를 유지합니다. 서비스 제공업체의 평가는 적용되는 계약과 합리적으로 구할 수 있는 보안 정보를 바탕으로 할 수 있습니다. 조치의 효과는 합리적인 주기로, 그리고 중대한 변경이 있은 뒤에 검토하며, 확인된 취약점은 그 위험에 따라 처리합니다. 회사는 전체 보호 수준이 낮아지지 않고 관련 개인정보 보호 법령의 요건이 계속 충족되는 한 조치를 변경할 수 있습니다.
제5조 (하위 처리자)
고객은 이 조와 제14조의 추가 동의 요건에 따르는 것을 전제로, 아래 하위 처리자를 이용하는 데 대한 일반 서면 승인(general written authorisation)을 부여합니다. 이 목록은 표준계약조항의 부속서 III을 이룹니다. 아래에 적은 곳은 주된 처리 장소이며, 그 밖의 장소에는 제7조가 적용됩니다. - Supabase Pte. Ltd.(미국): 데이터 저장과 계정 접근 서비스. - Vercel Inc.(미국, 글로벌 네트워크): 애플리케이션 호스팅과 제공. - Amazon Web Services Korea LLC 및 Amazon Web Services, Inc.(미국, 글로벌 네트워크): 통신과 저장 서비스. - Cloudflare, Inc.(글로벌 네트워크): 보안과 부정 이용 방지 서비스. - Fly.io, Inc.(미국): 네트워크 확인 서비스를 위한 인프라. 회사는 각 하위 처리자에게 해당 업무에 합리적으로 필요한 고객 데이터만 제공하며, 하위 처리자가 이를 자신의 목적이나 그 밖의 독립된 목적으로 이용하도록 허락하지 않습니다. 각 하위 처리자는 이 DPA에 따라 그 처리에 적용되는 것과 동등한 개인정보 보호 의무를 지우는 서면 계약의 적용을 받으며, 이 계약은 하위 처리자의 서비스 약관과 개인정보 처리 부속 계약으로 이루어질 수 있습니다. 회사는 하위 처리자의 의무 이행에 대하여 고객에게 계속 책임을 집니다. 회사는 관련 개인정보 보호 법령에 따르는 것을 전제로, 승인된 처리 범위 안에서 이 조에 이미 적힌 하위 처리자 가운데 하나 이상을 이용할 수 있습니다. 이 목록에 하위 처리자를 추가하거나 교체하기 전에, 회사는 서비스나 그 밖의 합리적인 서면 수단으로 최소 30일 전에 통지하며, 통지에는 예정된 하위 처리자와 그 처리 업무, 주된 처리 장소를 밝힙니다. 회사는 변경이 효력을 가지는 때에 목록을 갱신합니다. 고객은 그 통지 기간 안에 합리적인 개인정보 보호상의 근거를 들어 서면으로 이의를 제기할 수 있습니다. 법령이 요구하는 별도 동의는 제14조에 따라 받습니다. 양 당사자는 기간 안에 제기된 이의나 거부된 동의에 대하여 합리적인 해결을 모색합니다. 그러한 이의가 해결되지 않았거나 법령상 필요한 동의를 받지 못한 동안에는, 회사는 해당 고객의 관련 처리에 예정된 하위 처리자를 이용하지 않습니다. 회사는 합리적인 대안을 제시할 수 있으나, 관련 개인정보 보호 법령이 요구하는 범위를 제외하고는 별도 인프라를 유지하거나 특정 제공업체를 계속 이용하거나 서비스를 중대하게 변경할 의무는 없습니다. 합의된 조건과 관련 개인정보 보호 법령에 따라 관련 서비스를 합리적으로 계속할 수 없는 경우, 회사는 최소 30일 전에(강행 법령이 다른 통지를 요구하면 그에 따라) 서면으로 통지하고 그 서비스를 종료할 수 있습니다. 적법하게 계속할 수 없는 처리는 필요한 범위에서 먼저 중단할 수 있습니다. 이러한 제한과 종료는 해당 고객과 관련 서비스에만 적용되며, 다른 고객을 위하여 그 하위 처리자를 적법하게 이용하는 것을 제한하지 않습니다. 반환과 삭제는 제11조에 따르며, 결제나 환불에 관한 사항은 약관과 적용 법령에 따릅니다.
제6조 (공개 정보 서비스)
회사는 서비스와 관련된 정보를 확인하는 데 합리적으로 필요한 경우, 누구나 이용할 수 있는 공개 정보 서비스를 조회할 수 있습니다. 조회는 그 목적에 필요한 식별자로 한정하며, 별도의 허락이 없는 한 고객의 계정이나 그 이용자를 식별하는 정보를 포함하지 않습니다. 정보가 공개되어 있다는 사실만으로 개인정보 보호 법령의 적용이 배제되지는 않습니다. 각 수령자의 지위와 제공, 계약, 국외 이전에 관한 요건은 해당 처리 활동에 따라 정해집니다. 수령자가 하위 처리자에 해당하면 제5조의 요건이 적용됩니다.
제7조 (국외 이전)
회사는 대한민국에 설립되어 있습니다. 고객 데이터는 제5조에 적은 서비스 제공업체와 장소를 통하여 저장되거나 처리될 수 있고, 대한민국에서 접근될 수 있습니다. 국제적으로 운영되는 서비스 제공업체가 이용하는 그 밖의 처리 장소에는 관련 개인정보 보호 법령의 요건이 적용됩니다. 회사는 각 국외 이전이 적용되는 적정성 결정이나 그 밖의 적법한 이전 수단에 근거하도록 합니다. 필요한 경우 여기에는 표준계약조항, 영국 추가 약정이나 그 밖에 법적으로 인정되는 보호 장치와, 필요한 이전 평가 및 보완 조치가 포함됩니다. 데이터 프라이버시 프레임워크에 의존하는 것은 유효한 인증이 적용되는 수령자와 처리로 한정합니다. 대한민국에 대한 적정성 결정이 있더라도 다른 국가로의 직접 이전이나 재이전에 필요한 보호 장치가 면제되지는 않습니다. 회사는 법령상 요구되는 범위에서만 공공당국(public authority)에 고객 데이터를 제공하며, 법령이 금지하지 않는 한 고객에게 알립니다. 관련 개인정보 보호 법령이나 적용되는 이전 보호 장치가 요구하는 경우, 회사는 그 요청의 적법성을 검토하고 합리적인 근거가 있으면 이의를 제기합니다.
제8조 (이전 보호 장치)
유럽연합 집행위원회 이행결정 (EU) 2021/914로 채택된 표준계약조항(이하 “SCC”)은, 이 DPA가 적용되는 이전을 위하여 필요한 경우 SCC가 허용하는 적용 범위 안에서, 그 조항이 허용하는 경우 외에는 수정 없이 이 DPA에 편입합니다. 고객이 데이터 수출자, 회사가 데이터 수입자입니다. 고객이 관리자(controller)인 경우에는 모듈 2를, 고객이 처리자(processor)인 경우에는 모듈 3을 적용합니다. 다음 선택 사항을 적용합니다. SCC 제7조를 적용하고, SCC 제9조는 선택지 2로 하되 통지 기간은 이 DPA 제5조에 따르며, SCC 제11조의 선택 조항은 적용하지 않고, 관할 감독기관은 SCC 제13조에 따라 정하며, SCC 제17조와 제18조에 따라 아일랜드 법과 아일랜드 법원을 선택합니다. 부속서 I과 관련하여, 고객의 법적 명칭, 주소, 연락처와 지위는 해당 계정 또는 주문 기록에 있거나 별도의 서면 통지로 제공된 것으로 합니다. 회사는 피어보로 주식회사이고, 주소는 서울특별시 강남구 테헤란로79길 6, 5층 브이1116(삼성동, 제이에스타워), 연락 이메일은 support@genharden.com이며, 처리자 또는 하위 처리자로서 행위합니다. 처리와 양 당사자의 관련 활동은 제1조, 제2조와 제11조에 적었습니다. 이전은 서비스를 제공하는 데 필요한 범위에서 계속적으로 이루어질 수 있습니다. 제4조는 합의한 이전별 보호 조치의 세부 사항과 함께 부속서 II를, 제5조는 부속서 III을 이룹니다. 특정 이전에 관하여 SCC를 원용하기 전에, 양 당사자는 관할 감독기관과 해당 처리에 실제로 적용한 보호 조치의 충분히 구체적인 설명을 포함하여 빠진 세부 사항을 채우고, 법적 구속력이 있는 수락을 기록합니다. 이러한 세부 사항은 이 DPA의 일반 조건을 바꾸지 않고 별도의 서면 부속서로 문서화할 수 있습니다. 전자적 수락은 적용 법령이 허용하는 범위에서 서명에 해당할 수 있습니다. 영국 개인정보 보호 법령이 적용되는 제한 이전(restricted transfer)에는 영국 정보위원회(ICO)의 SCC에 대한 국제 데이터 이전 추가 약정(International Data Transfer Addendum) B.1.0판(적법하게 개정된 것을 포함하며, 이하 “영국 추가 약정”)을 적용합니다. 표 1부터 표 3까지는 위에 적은 당사자, 이전과 보호 조치의 세부 사항으로 채우며, 그 밖의 세부 사항은 영국 추가 약정을 원용하기 전에 제공합니다. 표 4와 관련하여, 어느 당사자도 승인된 개정만을 이유로 영국 추가 약정을 종료할 선택권을 가지지 않습니다. 다음을 참조로 편입합니다: “Part 2: Mandatory Clauses of the Approved Addendum, being the template Addendum B.1.0 issued by the ICO and laid before Parliament in accordance with s119A of the Data Protection Act 2018 on 2 February 2022, as it is revised under Section 18 of those Mandatory Clauses.” 스위스 개인정보 보호 법령이 적용되는 이전에는, SCC를 스위스 연방 개인정보 보호법이 요구하는 보호 장치를 제공하도록 해석합니다. 그러한 이전에 관하여는 스위스 연방 데이터 보호·정보 위원이 관할 기관이며, 스위스에 있는 개인의 권리(적용되는 경우 스위스에서 법적 절차를 개시할 권리를 포함)는 유지됩니다. 이러한 조정은 유럽연합 개인정보 보호 법령도 함께 적용되는 경우에 요구되는 보호를 낮추지 않습니다.
제9조 (지원과 협력)
회사는 처리의 성격과 자신이 가진 정보를 고려하여, 고객이 정보주체의 권리, 보안, 침해 통지, 개인정보 영향평가와 감독기관 협의에 관한 의무(적용되는 경우 GDPR 제32조부터 제36조까지를 포함)를 이행할 수 있도록 합리적으로 지원합니다. 요청은 제16조에 정한 연락처로 합니다. 지원은 요청의 성격에 따라 기존 서비스 기능, 관련 기록이나 합리적인 수작업 절차로 제공할 수 있습니다. 양 당사자는 적용되는 법정 기한을 고려하여 협력합니다. 회사는 정보주체에게서 직접 받은 요청을 고객에게 전달하며, 법령이 요구하지 않는 한 고객의 지시 없이 실질적인 답변을 하지 않습니다. 관련 개인정보 보호 법령이 허용하는 경우, 양 당사자는 필요한 지원에 비례하는 합리적인 비용을 미리 합의할 수 있습니다. 그러한 합의가 강행 의무의 이행을 막거나 법정 권리의 행사를 어렵게 해서는 안 됩니다.
제10조 (개인정보 침해)
회사는 고객 데이터에 영향을 미치는 개인정보 침해를 알게 되면 지체 없이 고객에게 통지합니다. 최초 통지는 조사가 끝나기를 기다려 늦추지 않으며, 침해의 성격, 영향을 받은 데이터와 개인, 예상되는 결과, 시정 조치와 담당 연락처에 관하여 그때 알 수 있는 정보를 담습니다. 추가 정보는 확인되는 대로 지체 없이 제공합니다. 회사는 침해를 억제하고 시정하며 관련 증거를 보전하기 위한 합리적인 조치를 하고, 법령이 요구하는 통지를 고객이 할 수 있도록 지원합니다. 이 조에 따른 통지는 통상의 서비스 알림 설정과 관계없이 고객이 지정한 연락처로 보냅니다.
제11조 (보관, 반환과 삭제)
특별한 법적 사유로 다른 보관 기간이 필요한 경우를 제외하고, 고객 데이터는 고객의 서비스 탈퇴와 해당 고객 계정의 종료가 완료될 때까지 보관합니다. 합의된 처리 목적에 더 이상 필요하지 않거나 적법한 삭제 지시의 대상인 데이터는 관련 개인정보 보호 법령이 요구하는 경우 더 일찍 삭제합니다. 고객은 탈퇴를 요청하면서 고객 데이터를 삭제하기 전에 반환받을지, 반환 없이 삭제할지 정할 수 있습니다. 반환을 요청하면 그때 회사가 보유한 고객 데이터를 대상으로 하며, 데이터에 맞는 널리 쓰이는 형식으로 안전하게 제공합니다. 법령이 달리 요구하거나 별도로 합의하지 않는 한, 반환은 고객에게 안전하게 전송하거나, 이용할 수 있는 사본에 고객에게 알린 합리적인 기간 동안 안전하게 접근할 수 있게 함으로써 완료하며, 고객이 실제로 내려받거나 수령을 확인할 것을 요건으로 하지 않습니다. 그 반환을 위하여 보유하는 사본은 그 목적으로만 쓰고, 알린 접근 기간이 끝나면 지체 없이 삭제합니다. 반환과 회사의 활성 시스템에서의 삭제는 탈퇴 절차의 일부로서 지체 없이 완료하며, 이 단계가 남아 있는 동안에는 탈퇴가 완료된 것으로 보지 않습니다. 계정 종료 전에 관련 처리 서비스가 끝나는 경우에는 해당 고객 데이터에 같은 반환 또는 삭제 의무가 적용됩니다. 회사는 요청이 있으면 서면으로 확인합니다. 고객 계정을 계속 쓰는 중에 권한을 받은 이용자가 탈퇴하면, 회사는 관련 개인정보 보호 법령과 고객의 지시에 따라 그 이용자의 개인정보를 삭제하거나 그 밖에 적법하게 처리합니다. 그러한 탈퇴만으로는, 고객에게 서비스를 제공하는 데 적법하게 계속 필요한 다른 고객 데이터를 삭제할 의무가 생기지 않습니다. 탈퇴가 완료된 뒤의 보관은 적용 법령이 요구하는 데이터, 보호된 백업에서 합리적으로 즉시 지울 수 없는 사본, 고객이 명시적으로 요청한 반환이나 전환을 마치는 데 반드시 필요한 데이터로 제한합니다. 법령에 따라 보관하는 데이터는 요구되는 목적과 기간으로 한정합니다. 백업에 남은 사본은 통상의 이용에서 분리하고, 적용되는 삭제 주기에서 가능한 가장 이른 때에 삭제하며, 복원한 경우에는 다시 삭제합니다. 요청에 따른 반환이나 전환은 범위와 기간을 제한합니다. 이러한 예외는 관련 없는 목적의 계속 이용이나 의무적인 삭제의 지연을 허용하지 않습니다.
제12조 (정보 제공과 감사)
회사는 이 DPA의 준수를 입증하는 데 필요한 정보를 제공하며, 관련 개인정보 보호 법령이 요구하는 감사와 점검을 허용하고 이에 협조합니다. 양 당사자는 원칙적으로 기존 정책, 관련 기록과 그 밖에 합리적으로 구할 수 있는 서면 정보(구할 수 있고 적법하게 공개할 수 있는 서비스 제공업체의 보증 자료 포함)의 검토에서 시작합니다. 회사는 고객의 확인에 합리적으로 필요한 정보가 담겨 있는 한, 겹치는 요청에 공통의 준수 자료로 답할 수 있습니다. 추가 확인이 합리적으로 필요한 경우, 양 당사자는 현장 점검을 정하기 전에 원칙적으로 원격 검토를 먼저 합니다. 고객이나 비밀 유지 의무를 지는 독립된 감사인은 합리적인 사전 통지(원칙적으로 30일 이상)를 하고 대한민국의 통상 업무 시간에 필요한 감사를 할 수 있습니다. 감사의 범위, 기간과 방식은 처리와 확인 사유에 비례하여야 하고, 다른 고객의 정보와 서비스의 보안을 보호하며, 불필요한 중복이나 지장을 피하여야 합니다. 각 고객의 통상적인 감사는 원칙적으로 어느 12개월 기간에도 한 번으로 제한합니다. 이러한 절차상의 제한은 강행 법령이나 SCC와 맞지 않는 범위에서는 적용하지 않으며, 감독기관의 요구, 개인정보 침해 또는 중대한 위반의 합리적인 증거 때문에 감사가 필요한 경우에도 적용하지 않습니다. 고객은 자신의 합리적인 감사 비용을 부담합니다. 추가 비용이 있다면 미리 합의하며, 그 비용은 과도하거나 법정 권리의 행사를 어렵게 하는 것이어서는 안 됩니다.
제13조 (미국 각 주의 개인정보 보호법)
적용되는 미국 주 개인정보 보호법이 요구하는 경우, 회사는 고객 데이터에 관하여 고객의 서비스 제공자(service provider), 계약자(contractor) 또는 처리자(processor)로서 행위합니다. 처리가 허용되는 사업 목적과 서비스는 제2조에 정합니다. 회사는 적용되는 미국 주 개인정보 보호법이 허용하는 경우를 제외하고, 고객 데이터를 판매하거나 공유하지 않고, 맞춤형 광고에 이용하지 않으며, 고객과의 직접적인 거래 관계 밖에서나 이 DPA에 정한 목적 외의 목적으로 보유, 이용 또는 제공하지 않습니다. 고객 데이터는 그 법이 허용하는 경우를 제외하고 다른 출처에서 얻은 개인정보와 결합하지 않습니다. 회사는 이러한 제한을 이해하고 있으며 이를 준수하고, 그 법이 요구하는 수준의 보호를 제공하며, 의무를 더 이상 이행할 수 없게 되면 고객에게 알릴 것임을 확인합니다. 고객은 제12조가 허용하는 확인을 포함하여, 준수 여부를 확인하고 허락되지 않은 이용을 중단시키고 바로잡기 위한 합리적인 조치를 할 수 있습니다.
제14조 (대한민국 개인정보 보호법)
대한민국 개인정보 보호법이 적용되는 경우, 이 DPA는 같은 법 제26조에 따른 개인정보 처리 업무 위탁에 관한 계약이 됩니다. 고객이 위탁자, 회사가 수탁자입니다. 위탁 업무의 목적과 범위, 안전성 확보 조치, 처리 기간은 각각 제2조, 제4조, 제11조에 정합니다. 회사는 위탁받은 개인정보를 승인된 목적과 범위를 넘어 처리하지 않으며, 위탁 업무에 관한 합리적인 감독과 필요한 안내 또는 교육에 협조하고, 위반에 대하여 적용 법령에 따라 책임을 집니다. 양 당사자는 이와 별도로 적용되는 공개·제공 및 국외 이전에 관한 요건도 준수합니다. 고객은 제5조에 적힌 하위 처리자에 대한 재위탁에 동의하며, 대한민국 개인정보 보호법이 허용하는 범위에서, 제2조에 정한 목적과 범위 안에서 제5조의 변경 절차에 따라 추가되거나 교체되는 하위 처리자에 대한 재위탁에도 동의합니다. 이 DPA를 수락하면 그 계약상 동의 절차에 합의한 것이 됩니다. 특정한 재위탁에 법령상 별도 동의가 필요하면, 회사는 그 처리를 하기 전에 동의를 받습니다. 해결되지 않은 이의나 거부된 동의는 제5조에 따라 처리하며, 해당 고객의 처리에만 영향을 미칩니다.
제15조 (우선순위, 책임과 변경)
강행 법령이 우선합니다. 고객 데이터에 관한 계약 조항 사이에 불일치가 있으면, 적용되는 범위에서 SCC와 영국 추가 약정이 우선하고, 그다음으로 이 DPA, 그다음으로 약관이 적용됩니다. 이 DPA에 따른 계약상 책임에는, 적법하고 SCC 및 영국 추가 약정과 양립하는 범위에서만 약관의 책임 제한이 적용됩니다. 그 제한은 SCC나 영국 추가 약정 위반에 대한 책임, 정보주체가 행사할 수 있는 권리, 법령상 제한할 수 없는 책임을 제한하지 않습니다. 약관의 준거법과 관할 조항은 적용되는 이전 보호 장치가 요구하는 준거법과 관할을 대체하지 않습니다. 변경은 약관에 따라 하며, 고객에게 중대하게 불리한 변경은 최소 30일 전에 통지합니다. 하위 처리자의 변경은 제5조와 제14조에 따릅니다. 어떠한 변경도 관련 개인정보 보호 법령이 요구하는 보호를 낮추거나, 의무적인 이전 조항을 그 조항이 허용하는 범위를 넘어 바꿀 수 없습니다.
제16조 (통지와 연락)
이 DPA에 따른 지시, 요청과 통지는 support@genharden.com로 보냅니다. 회사는 고객이 지정한 연락처로, 따로 지정하지 않은 경우에는 고객 계정의 소유자에게 통지합니다. 고객은 그 정보를 최신으로 유지하여야 합니다. 통상의 요청은 대한민국의 통상 업무 시간 안에서 합리적인 기간 안에 처리합니다. 별도로 합의하지 않는 한 상시 지원이나 정해진 응답 시간은 포함되지 않습니다. 이 조항은 법정 기한, 개인정보 침해를 지체 없이 통지할 의무나 그 밖의 강행 의무를 제한하지 않습니다. 별도의 서면 체결을 위한 이 DPA의 사본은 같은 연락처로 요청할 수 있습니다.