데이터 처리 계약
본 데이터 처리 계약("계약")은 Proton AG(Route de la Galaise 32, 1228 Plan-les-Ouates, Switzerland, 회사 식별 번호 CHE-354.686.492, 이하 "프로세서")와 Proton의 서비스를 이용하는 회사(이하 "회사", 법적 형태와 관계없이 서비스를 이용하는 모든 기업 또는 조직을 의미함) 간의 Proton AG 이용 약관(이하 “기본 계약”)에 따른 서비스 계약의 일부를 구성합니다.
본 계약은 회사의 Proton 서비스 이용이 데이터 보호법의 적용을 받는 개인정보의 처리를 수반하는 범위 내에서 데이터 보호법의 특정 요건을 규율합니다.
본 계약은 당사의 데이터 보호 관행 및 조치에 대한 주요 기준이 되는 개인정보취급방침을 보완합니다.
본 계약의 유효 기간은 기본 계약의 유효 기간을 따릅니다. 본 계약에서 정의되지 않은 용어는 기본 계약에 명시된 의미를 갖습니다.
전문
A) 회사는 데이터 컨트롤러(이하 "컨트롤러") 역할을 수행합니다.
B) 회사는 개인정보 처리를 수반하는 특정 서비스(아래 정의됨)를 데이터 프로세서(이하 "프로세서") 역할을 하는 Proton AG에 위탁하고자 합니다.
C) 당사자들은 데이터 처리와 관련된 현행 법률 체계의 요건 및 개인정보 처리와 관련한 자연인의 보호 및 이러한 데이터의 자유로운 이동에 관한 2016년 4월 27일 유럽 의회 및 이사회 규정 (EU) 2016/679, 지침 95/46/EC의 폐지(일반 데이터 보호 규정) 및 기타 적용 가능한 데이터 보호법을 준수하는 데이터 처리 계약을 체결하고자 합니다.
D) 당사자들은 상호 권리와 의무를 규정하고자 합니다.
이에 다음과 같이 합의합니다:
1. 정의 및 해석
본 DPA에서 별도로 정의되지 않는 한, 대문자로 시작하는 용어 및 표현은 다음과 같은 의미를 갖습니다:
1.1) "계약"이란 본 데이터 처리 계약 및 모든 부속서를 의미합니다;
1.2) "회사 개인정보"란 기본 계약과 관련하여 처리되는 회사 또는 회사의 고객이나 임직원에 관련된 모든 개인정보를 의미합니다;
1.3) "계약된 프로세서"란 서브프로세서를 의미합니다;
1.4) "데이터 보호법"이란 EU 데이터 보호법 및 적용 가능한 범위 내에서 기타 모든 국가의 데이터 보호 또는 개인정보 보호법을 의미합니다;
1.5) "EEA"란 유럽 경제 지역을 의미합니다;
1.6) "EU 데이터 보호법"이란 각 회원국의 국내법으로 전환되고 GDPR 및 GDPR을 시행하거나 보완하는 법률에 의해 수시로 개정, 대체 또는 효력이 승계된 EU 지침 95/46/EC를 의미합니다;
1.7) "GDPR"이란 EU 일반 데이터 보호 규정 2016/679를 의미합니다;
1.8) "데이터 이전" 이란 다음을 의미합니다:
- 1.8.1) 컨트롤러에서 프로세서 또는 계약된 프로세서로의 회사 개인정보 이전, 또는
- 1.8.2) 프로세서에서 서브프로세서로의 회사 개인정보 재이전, 또는 서브프로세서의 두 사업장 간 회사 개인정보 이전;
1.9) "서비스"란 이메일, 캘린더, 드라이브 및 프로세서가 개발한 기타 서비스와 같이 프로세서가 제공하는 온라인 보안 서비스를 의미합니다. 서비스의 세부사항 및 가격은 프로세서의 웹사이트에서 확인할 수 있습니다.
1.10) "서브프로세서"란 본 계약과 관련하여 컨트롤러를 대신해 개인정보를 처리하도록 프로세서에 의해 또는 프로세서를 대리하여 지정된 모든 자를 의미합니다.
"집행위원회", "컨트롤러", "정보주체", "회원국", "개인정보", "개인정보 침해", "처리" 및 "감독 기관"이라는 용어는 GDPR 또는 기타 적용 가능한 데이터 보호법에서 규정한 것과 동일한 의미를 가지며, 관련 파생어 또한 그에 따라 해석됩니다.
2. 회사 개인정보의 처리
프로세서는 다음을 준수해야 합니다:
2.1) 회사 개인정보 처리 시 적용 가능한 모든 데이터 보호법을 준수해야 합니다;
2.2) 제2조에 명시된 컨트롤러의 문서화된 지침에 따른 경우를 제외하고는 회사 개인정보를 처리하지 않아야 합니다.
컨트롤러는 프로세서에 다음과 같은 목적으로 회사 개인정보를 처리하도록 지시합니다:
2.3) 서비스 및 관련 기술 지원 제공;
2.4) 법적 의무 이행 또는 분쟁 해결;
2.5) 서비스의 보안, 개인정보 보호, 기밀성 및 기능을 최적화하기 위한 모든 내부 작업 수행;
2.6) 내부 보고, 재무 보고 및 기타 유사한 내부 작업 수행.
3. 프로세서 인력
프로세서는 회사 개인정보에 접근할 수 있는 모든 계약된 프로세서의 직원, 대리인 또는 도급업자의 신뢰성을 보장하기 위해 합리적인 조치를 취해야 하며, 각 경우 기본 계약의 목적 및/또는 계약된 프로세서에 대한 해당 개인의 직무와 관련된 데이터 보호법 및 기타 관련 법률을 준수하기 위해 엄격히 필요한 경우에 한하여 관련 회사 개인정보를 알거나 접근해야 하는 개인으로 접근을 엄격히 제한하고, 그러한 모든 개인이 기밀 유지 서약 또는 직업상/법적 기밀 유지 의무를 준수하도록 보장해야 합니다.
4. 보안
GDPR 제32조 (1)항에 따라, 프로세서는 최신 기술 수준, 구현 비용, 처리의 성격, 범위, 맥락 및 목적을 고려하여 위험에 적합한 보안 수준을 보장하기 위한 적절한 기술적 및 조직적 조치를 구현해야 합니다. 이러한 조치는 개인정보 침해 위험을 포함하여 발생 가능성과 심각성이 다양한 위험을 고려하여 자연인의 권리와 자유를 보호하도록 설계되어야 합니다.
또한 프로세서는 처리 활동과 관련된 위험을 평가하고 GDPR 제32조 (1)항에 명시된 요건에 부합하는 조치를 적용하여 항상 회사 개인정보의 보안을 보장해야 합니다.
5. 재위탁
본 계약에 따라 회사는 프로세서가 서브프로세서를 참여시키고 회사 개인정보를 이들에게 공개하거나 이전할 수 있는 일반적인 권한을 부여합니다. 회사는 프로세서의 개인정보취급방침에 명시된 서브프로세서 목록을 확인하고 승인하며, 프로세서가 이 목록을 정기적으로 업데이트할 수 있음을 이해합니다. 이 경우 회사는 개인정보취급방침의 알림 절차에 따라 프로세서로부터 안내를 받게 됩니다. 또한 회사는 프로세서가 기업 그룹 내의 모든 회사에 개인정보를 공개하고 이전할 수 있도록 승인합니다.
프로세서는 서브프로세서가 제공하는 서비스의 성격에 적용 가능한 범위 내에서, 회사 개인정보 보호와 관련하여 본 계약보다 제한적이거나 보호 수준이 낮지 않은 계약을 프로세서와 체결하도록 보장합니다.
6. 정보주체의 권리
처리의 성격을 고려하여, 프로세서는 데이터 보호법에 따른 정보주체의 권리 행사 요청에 응답해야 하는 회사의 의무를 이행할 수 있도록 합리적으로 회사를 지원해야 합니다.
프로세서는 다음을 준수해야 합니다:
6.1) 회사 개인정보와 관련하여 데이터 보호법에 따른 정보주체의 요청을 수신하는 경우 이를 회사에 지체 없이 통지해야 합니다. 그리고
6.2) 컨트롤러의 문서화된 지침이 있거나 프로세서에 적용되는 관련 법률에 의해 요구되는 경우를 제외하고는 해당 요청에 응답하지 않도록 보장해야 하며, 관련 법률에 의해 요구되는 경우 프로세서는 계약된 프로세서가 해당 요청에 응답하기 전에 관련 법률이 허용하는 범위 내에서 컨트롤러에 해당 법적 요건을 알려야 합니다.
7. 개인정보 침해
프로세서는 적용 가능한 데이터 보호법 및 자체 내부 개인정보 침해 절차를 준수하여 모든 개인정보 침해 사고를 관리해야 합니다. 회사 개인정보에 영향을 미치는 개인정보 침해가 발생하는 경우, 프로세서는 지체 없이 회사에 통지하고 회사가 필요에 따라 정보주체에게 통지하는 것을 포함하여 데이터 보호법에 따른 의무를 이행할 수 있도록 충분한 정보를 제공해야 합니다. 이러한 경우, 프로세서는 회사가 데이터 보호법에 따라 개인정보 침해 사실을 보고하거나 정보주체에게 알릴 의무를 다할 수 있도록 충분한 정보를 회사에 제공해야 합니다.
프로세서는 회사와 협력하고, 회사의 지시에 따라 이러한 각 개인정보 침해의 조사, 피해 경감 및 구제를 지원하기 위한 합리적인 상업적 조치를 취해야 합니다.
각 당사자는 데이터 침해가 해당 당사자로 인해 발생한 범위 내에서 조사, 구제, 피해 경감 및 기타 관련 비용을 부담해야 합니다.
각 당사자는 본 계약에 따른 의무 위반으로 인해 발생한 범위 내에서 권한 있는 규제 기관, 정부 기관 또는 관할 법원이 부과한 벌금, 과태료, 손해배상금 또는 기타 관련 금액을 부담해야 합니다.
8. 개인정보 영향평가 및 사전 협의
프로세서는 계약된 프로세서에 의한 회사 개인정보 처리와 관련하여, 처리의 성격 및 계약된 프로세서가 이용할 수 있는 정보를 고려하여, 컨트롤러가 GDPR 제35조 또는 제36조 또는 기타 데이터 보호법의 동등한 조항에 따라 필요하다고 합리적으로 판단하는 개인정보 영향평가 및 감독 기관 또는 기타 관할 데이터 보호 기관과의 사전 협의에 대해 회사에 합리적인 지원을 제공해야 합니다.
9. 회사 개인정보의 삭제 또는 반환
회사 개인정보 처리를 수반하는 서비스가 중단되는 경우, 프로세서는 관련 법률이 허용하는 범위 내에서 프로세서의 이용 약관 및 개인정보취급방침에 따라 모든 회사 개인정보를 삭제해야 합니다. 회사가 데이터 사본을 필요로 하는 경우, 계정 삭제 전에 요청해야 합니다. 계정이 삭제된 후 접수된 요청은 더 이상 처리될 수 없습니다.
10. 감사 권한
본 제10조에 따라 프로세서는 요청 시 본 계약의 준수를 입증하는 데 필요한 모든 정보를 회사에 제공해야 하며, 계약된 프로세서의 회사 개인정보 처리와 관련하여 회사 또는 회사가 위임한 감사인에 의한 검사를 포함한 감사를 허용하고 이에 기여해야 합니다. 회사는 개인정보 침해 사고가 발생하거나 규제 기관의 지시가 있는 경우를 제외하고는 연간 한 번을 초과하여 감사 권한을 행사할 수 없습니다. 회사는 본 계약에 따라 프로세서를 감사하려는 의도를 최소 60(60)일 전에 프로세서에 서면으로 통지해야 합니다. 감사는 프로세서의 영업 시간 중에 수행되어야 하며, 프로세서의 운영을 방해해서는 안 되고, 회사, 프로세서 및 기타 정보주체의 개인정보 보호를 보장해야 합니다. 프로세서와 회사는 감사에 적용되는 일자, 범위, 기간, 보안 및 기밀 유지 통제 방안에 대해 사전에 상호 합의해야 합니다. 회사는 감사를 수행하기 전에 컨트롤러가 비밀유지계약 체결을 요구할 수 있음을 인정합니다.
회사의 정보 및 감사 권한은 본 계약에서 데이터 보호법의 관련 요건을 충족하는 정보 및 감사 권한을 달리 부여하지 않는 범위 내에서만 제10조에 따라 발생합니다.
11. 데이터 이전
가능한 한 프로세서는 스위스, EU 내부 국가 및/또는 다음에 규정된 적정성 결정 대상 국가로만 데이터를 이전하거나 이전을 승인해야 합니다. 관련 조항. GDPR 제45조 및. 스위스 FADP 제16조. 본 계약에 따라 처리된 개인정보가 스위스, EU 회원국 또는 적정성 결정 대상 국가에서 이 범위를 벗어난 국가로 이전되는 경우, 당사자들은 개인정보가 적절하게 보호되도록 보장해야 합니다. 이를 달성하기 위해 당사자들은 달리 합의하지 않는 한, 개인정보 이전을 위해 스위스, EU 및/또는 영국이 승인한 당시 유효한 표준 계약 조항 또는 데이터 보호법에서 규정한 기타 이전 메커니즘을 따라야 합니다. 프로세서는 이전의 성격과 관련하여 적절한 안전 조치가 구현된 경우 서브프로세서로의 이러한 이전을 수행할 권한을 갖습니다.
12. 일반 조항
관련 법률 준수. 프로세서는 본 계약 및 본 계약에 따른 자신의 역할에 적용되는 데이터 보호법에 따라 회사 개인정보를 처리합니다. 프로세서는 회사의 비즈니스 또는 산업 분야로 인해 회사에만 전적으로 적용되는 데이터 보호법을 준수할 책임이나 의무가 없습니다.
기밀 유지. 각 당사자는 본 계약과 관련하여 상대방 및 상대방의 비즈니스에 대해 수신한 모든 정보(“기밀 정보”)를 기밀로 유지해야 하며, 다음의 경우를 제외하고는 상대방의 사전 서면 동의 없이 해당 기밀 정보를 사용하거나 공개해서는 안 됩니다:
(a) 법률에 의해 공개가 요구되는 경우;
(b) 당사자들의 귀책사유 없이 해당 정보가 이미 공개 도메인에 있는 경우.
통지. 본 계약에 따라 전달되는 모든 통지 및 통신은 서면으로 이루어져야 하며 이메일로 발송됩니다. 컨트롤러에 대한 통지는 기본 계약에 따른 서비스 이용과 관련된 주소로 이메일을 발송하여 이루어집니다. 프로세서에 대한 통지는 다음 주소로 발송되는 이메일로 이루어집니다: legal@proton.me.
준거법 및 관할권. 본 계약은 이에 반하는 어떠한 관할권의 법률 선택 또는 법률 저촉 규정과 관계없이 스위스 법률의 적용을 받으며, 본 계약, 주문 양식, 참조로 통합된 모든 문서, Proton 기술 또는 서비스로부터 또는 이와 관련하여 발생하는 모든 분쟁, 소송, 청구 또는 소권은 스위스 제네바의 전속 관할권에 속합니다.
본 약관의 영어 버전과 번역본 간에 불일치가 있는 경우 영어 버전이 우선합니다.