Proton
최종 수정일: 2026년 9월 1일

MSP 데이터 처리 계약

본 데이터 처리 계약("계약")은 Proton AG(Route de la Galaise 32, 1228 Plan-les-Ouates, Switzerland, 회사 식별 번호 CHE-354.686.492, 이하 "처리자")와 기본 계약에 명시된 MSP(이하 "회사", 법적 형태와 관계없이 자체 관리 고객에게 서비스를 프로비저닝, 청구 및 지원하기 위해 서비스를 사용하는 관리형 서비스 제공업체를 의미함) 간의 관리형 서비스 제공업체 계약(이하 "기본 계약")의 일부를 구성합니다.

본 계약은 관리 고객에 대한 회사의 서비스 프로비저닝을 포함하여 회사의 서비스 이용에 데이터 보호법의 적용을 받는 개인 데이터의 처리가 수반되는 한도 내에서 데이터 보호법의 특정 요건을 규율합니다.

본 계약의 유효 기간은 기본 계약의 유효 기간을 따릅니다. 본 계약에서 정의되지 않은 용어는 기본 계약에 명시된 의미를 갖습니다.


전문

A) 회사는 데이터 컨트롤러 역할을 하거나, 관리 고객이 자체 개인 데이터 처리를 직접 지시하는 경우 해당 관리 고객을 대신하여 데이터 처리자 역할을 합니다(어느 경우든 이하 "컨트롤러").

B) 회사는 개인 데이터 처리가 수반되는 특정 서비스를 데이터 처리자 역할을 하는 Proton AG(이하 "처리자")에 하청하고자 합니다.

C) 양 당사자는 규정 (EU) 2016/679("GDPR"), 스위스 연방 데이터 보호법("FADP") 및 기타 적용 가능한 데이터 보호법을 포함하여 데이터 처리와 관련된 현행 법적 프레임워크의 요구 사항을 준수하는 데이터 처리 계약을 이행하고자 합니다.

D) 양 당사자는 각자의 권리와 의무를 규정하고자 합니다.


이에 다음과 같이 합의합니다:

1. 정의, 역할 및 범위

1.1 정의. 본 계약에서 달리 정의되지 않는 한, 대문자로 표기된 용어는 기본 계약에서 부여된 의미를 가지며, 기본 계약에서 정의되지 않은 경우에는 다음과 같은 의미를 갖습니다:

  • "회사 개인 데이터"는 기본 계약과 관련하여 처리되는 회사, 회사의 관리 고객 또는 이들의 고객이나 직원에 관련된 모든 개인 데이터를 의미합니다.
  • "계약된 처리자"는 하위 처리자를 의미합니다.
  • "데이터 보호법"은 GDPR, FADP 및 적용 가능한 한도 내에서 다른 국가의 데이터 보호 또는 개인정보 보호법을 의미합니다.
  • "데이터 전송"은 (i) 회사에서 처리자 또는 계약된 처리자로의 회사 개인 데이터 전송, 또는 (ii) 처리자에서 하위 처리자로의 또는 하위 처리자의 두 사업장 간의 회사 개인 데이터 재전송을 의미합니다.
  • "관리 고객"은 기본 계약에 명시된 의미를 갖습니다: 회사의 자체 관리형 서비스 제공의 일부로서 회사가 서비스를 프로비저닝하고 제공하는 최종 사용자 법인을 의미합니다.
  • “하위 처리자”는 본 계약과 관련하여 개인 데이터를 처리하기 위해 처리자에 의해 또는 처리자를 대신하여 지정된 모든 자를 의미합니다.
  • "집행위원회", "컨트롤러", "정보주체", "회원국", "개인 데이터", "개인 데이터 침해", "처리", 및 "감독 기관"이라는 용어는 GDPR 또는 기타 적용 가능한 데이터 보호법에서와 동일한 의미를 갖습니다.

1.2 당사자의 역할. Proton과 회사 간의 관계에 있어, 관리 고객 및 해당 최종 사용자의 개인 데이터 또는 이와 관련된 개인 데이터를 포함하여 기본 계약에 따라 처리되는 모든 회사 개인 데이터와 관련하여 회사는 컨트롤러(또는 해당하는 경우 관리 고객의 지시에 따라 행동하는 처리자)이고 Proton은 처리자입니다. 본 계약은 Proton과 관리 고객 체인에 있는 모든 당사자 간의 완전하고 독점적인 데이터 처리 합의입니다. Proton은 어떠한 관리 고객과도 직접적인 계약, 컨트롤러-처리자 또는 처리자-하위 처리자 관계를 맺지 않으며, 어떠한 관리 고객도 본 계약의 당사자 또는 제3자 수익자가 아닙니다. 회사는 해당 법률 또는 계약에 따라 관리 고객에게 부담하는 모든 데이터 보호 조항을 포함하여 관리 고객과의 계약 및 의무에 대해 전적으로 책임을 집니다.

1.3 회사의 다운스트림 책임. 회사는 각 관리 고객과 서면 계약을 체결해야 하며, 해당 계약은 회사가 해당 관리 고객에게 제공하는 서비스의 성격에 적용되는 한도 내에서, Proton이 본 계약에 따라 회사에 부담하는 의무에 못지않게 해당 관리 고객의 개인 데이터를 보호하는 데이터 보호 의무를 회사에 부과해야 합니다. 본 계약에 따른 Proton의 의무는 오직 회사에 대해서만 적용되며, 회사와 관리 고객 간의 관계에서 회사는 Proton의 작위 또는 부작위를 포함하여 관리 고객의 개인 데이터 처리에 대해 해당 관리 고객에게 전적인 책임을 집니다.

2. 회사 개인정보의 처리

프로세서는 다음을 준수해야 합니다:

  • 회사 개인 데이터 처리 시 적용 가능한 모든 데이터 보호법을 준수합니다. 그리고
  • 아래에 명시된 바와 같이 회사의 문서화된 지침에 따르는 경우를 제외하고는 회사 개인 데이터를 처리하지 않습니다.

회사는 다음과 같은 목적으로 회사 개인 데이터를 처리하도록 처리자에게 지시합니다:

  • 회사 및 회사를 통해 관리 고객에게 서비스와 관련 기술 지원을 제공하기 위해;
  • 법적 의무를 이행하거나 분쟁을 해결하기 위해;
  • 서비스의 보안, 개인정보 보호, 기밀성 및 기능성을 최적화하기 위한 내부 업무를 수행하기 위해; 그리고
  • 내부 보고, 재무 보고 및 기타 유사한 내부 업무를 수행하기 위해.

3. 프로세서 인력

처리자는 회사 개인 데이터에 접근할 수 있는 모든 계약된 처리자의 직원, 대리인 또는 계약업체의 신뢰성을 보장하기 위해 합당한 조치를 취해야 하며, 각 경우에 기본 계약의 목적 및/또는 데이터 보호법 준수를 위해 엄격히 필요한 경우로서 관련 회사 개인 데이터를 알아야 하거나 이에 접근해야 하는 개인으로 접근을 엄격히 제한하고, 그러한 모든 개인이 비밀유지 서약 또는 직업적 또는 법적 비밀유지 의무를 준수하도록 보장해야 합니다.

4. 보안

GDPR 제32조(1)에 따라 처리자는 최신 기술 수준, 이행 비용, 처리의 성격, 범위, 맥락 및 목적을 고려하여 위험에 적합한 보안 수준을 보장하기 위한 적절한 기술적 및 조직적 조치를 이행해야 합니다. 이러한 조치는 개인 데이터 침해의 위험을 포함하여 발생 가능성과 심각도가 다양한 위험을 고려하여 자연인의 권리와 자유를 보호하도록 설계되었습니다. 회사는 MSP 관리자 라이선스를 통한 관리 고객 계정 관리를 포함하여 회사 개인 데이터의 자체 처리를 위해 적절한 기술적 및 관리적 조치를 이행해야 하며, 해당 계정에 대한 접근이 이를 필요로 하는 회사 인력으로 제한되고, 적절한 인증 통제를 통해 보호되며, 더 이상 필요하지 않은 경우 즉시 취소되도록 해야 합니다.

5. 재위탁

본 계약에 따라 회사는 처리자가 하위 처리자를 선임하고 이들에게 회사 개인 데이터를 공개하거나 전송할 수 있는 일반적인 권한을 부여합니다. 회사는 처리자의 개인정보취급방침에 명시된 하위 처리자 목록을 인정하고 승인하며, 이 목록이 처리자에 의해 수시로 업데이트될 수 있음을 이해하고, 이 경우 회사는 개인정보취급방침 알림 절차에 따라 통지를 받습니다. 회사는 처리자가 기업 그룹 내의 모든 회사에 개인 데이터를 공개하고 전송하는 것을 추가로 승인합니다. 처리자는 해당 하위 처리자가 제공하는 서비스의 성격에 적용되는 한도 내에서, 회사 개인 데이터 보호와 관련하여 본 계약 못지않게 제한적이고 보호적인 내용의 처리자와의 계약을 하위 처리자가 준수하도록 보장해야 합니다. 의문의 여지를 없애기 위해 명시하자면, 회사는 Proton의 하위 처리자가 아니며 본 조항은 회사가 관리 고객 또는 제3자를 자체적으로 선임하는 것에는 적용되지 않습니다.

6. 정보주체의 권리

처리의 성격을 고려하여, 처리자는 회사가 관리 고객 또는 해당 관리 고객의 자체 최종 사용자로부터 받거나 이들을 대신하여 수신한 요청을 포함해, 데이터 보호법에 따른 정보주체의 권리 행사 요청에 응답해야 하는 회사의 의무를 이행할 수 있도록 합당하게 지원해야 합니다.

프로세서는 다음을 준수해야 합니다:

  • 회사 개인 데이터와 관련하여 데이터 보호법에 따른 정보주체의 요청을 수신하는 경우 회사에 지체 없이 통지합니다. 그리고
  • 회사의 문서화된 지침에 따르거나 해당 법률에서 요구하는 경우를 제외하고는 해당 요청에 응답하지 않도록 보장합니다. 법률에서 요구하는 경우 처리자는 법적으로 허용되는 한도 내에서 응답하기 전에 해당 법적 요구 사항을 회사에 알려야 합니다.

회사는 관리 고객의 개인 데이터와 관련된 정보주체의 요청에 응답하고 해당 관리 고객과 조율할 전적인 책임이 있으며, 처리자는 관리 고객을 직접 식별하거나 소통할 의무가 없습니다.

7. 개인정보 침해

처리자는 해당 데이터 보호법 및 자체 내부 개인 데이터 침해 절차에 따라 모든 개인 데이터 침해 사고를 관리해야 합니다. 회사 개인 데이터에 영향을 미치는 개인 데이터 침해가 발생하는 경우, 처리자는 지체 없이 회사에 통지하여 해당하는 경우 영향을 받는 관리 고객 및 정보주체에게 알리는 것을 포함해 회사가 데이터 보호법에 따른 의무를 이행할 수 있도록 충분한 정보를 제공해야 합니다. 처리자는 회사와 협력하고 회사의 지시에 따라 합당한 상업적 조치를 취하여 그러한 각 개인 데이터 침해의 조사, 완화 및 해결을 지원해야 합니다. 각 당사자는 개인 데이터 침해가 해당 당사자로 인해 발생한 한도 내에서 조사, 해결, 완화 및 기타 관련 비용을 부담해야 합니다. 각 당사자는 본 계약에 따른 의무를 스스로 위반하여 발생하는 한도 내에서 관할 규제 당국에 의해 부과된 벌금, 과태료, 손해배상금 또는 기타 관련 금액의 비용을 부담해야 합니다. 회사는 관리 고객 및 그 정보주체에 대한 침해 통지와 해당 통지의 시기 및 내용에 대해 전적으로 책임을 집니다.

8. 개인정보 영향평가 및 사전 협의

처리자는 회사가 GDPR 제35조 또는 제36조 또는 기타 데이터 보호법의 동등한 조항에 따라 필요하다고 합당하게 판단하는 데이터 보호 영향 평가 및 감독 기관과의 사전 협의에 관해 회사에 합당한 지원을 제공해야 하며, 각 경우 계약된 처리자에 의한 회사 개인 데이터 처리와 관련해서만, 그리고 처리의 성격 및 계약된 처리자가 이용할 수 있는 정보를 고려하여 지원을 제공합니다.

9. 회사 개인 데이터의 삭제 또는 반환

회사 개인 데이터 처리가 수반되는 서비스가 중단되는 경우, 처리자는 해당 법률이 허용하는 한도 내에서 처리자의 이용 약관 및 개인정보취급방침에 따라 모든 회사 개인 데이터를 삭제해야 합니다. 회사가 회사 개인 데이터의 사본을 필요로 하는 경우 삭제 전에 이를 요청해야 하며, 삭제 후 이루어진 요청은 더 이상 고려될 수 없습니다. 기본 계약이 종료되는 경우, 회사는 기본 계약 제5.4조(이전 지원)에 따라 회사와 해당 관리 고객 간의 관계에서 모든 관리 고객의 개인 데이터 삭제, 반환 또는 이전을 관리할 전적인 책임을 집니다.

10. 감사 권한

본 제10조에 따라, 처리자는 요청 시 본 계약의 준수를 입증하는 데 필요한 모든 정보를 회사에 제공해야 하며, 계약된 처리자의 회사 개인 데이터 처리와 관련하여 회사 또는 회사가 위임한 감사인의 실사를 포함한 감사를 허용하고 이에 기여해야 합니다. 회사는 개인 데이터 침해 사고 발생 후 또는 규제 당국의 지시가 있는 경우를 제외하고, 본 조항에 따른 감사 권한을 1역년당 1회를 초과하여 행사할 수 없습니다. 회사는 감사 의사를 최소 60(육십)일 전에 처리자에게 사전 서면 통지해야 합니다. 감사는 처리자의 영업 시간 중에 수행되어야 하며, 처리자의 운영을 방해해서는 안 되고, 회사, 처리자 및 기타 정보주체의 개인 데이터 보호를 보장해야 합니다. 양 당사자는 감사에 적용될 일자, 범위, 기간 및 보안과 기밀유지 통제에 대해 사전에 상호 합의해야 하며, 처리자는 감사 전에 비밀유지계약 체결을 요구할 수 있습니다. 본 조항에 따른 정보 및 감사 권한은 본 계약이 데이터 보호법의 관련 요구 사항을 충족하는 정보 및 감사 권한을 회사에 달리 부여하지 않는 한도 내에서만 발생합니다. 관리 고객이 해당 관리 고객에 대한 회사의 실사 의무의 일환으로 Proton의 처리에 관한 정보를 요청하는 경우, 회사는 본 조항에 의거하여 처리자로부터 필요한 정보를 얻어 전달할 수 있으나, 관리 고객 자체는 처리자에 대해 독립적인 감사 권한을 갖지 않습니다.

11. 데이터 이전

가능한 한도 내에서, 처리자는 GDPR 제45조 및 스위스 FADP 제16조에 규정된 바와 같이 스위스, EU 내 국가 및/또는 적정성 결정의 대상이 되는 국가로만 회사 개인 데이터를 전송하거나 전송을 승인해야 합니다. 본 계약에 따라 처리되는 회사 개인 데이터가 스위스, EU 또는 적정성 결정 대상 국가에서 해당 범위 밖의 국가로 전송되는 경우, 양 당사자는 달리 합의되지 않는 한 스위스, EU 및/또는 영국이 승인한 당시 유효한 표준 계약 조항 또는 데이터 보호법이 규정하는 기타 전송 메커니즘에 의존하여 개인 데이터가 적절하게 보호되도록 해야 합니다. 전송의 성격을 고려하여 적절한 안전장치가 이행되는 경우 처리자는 하위 처리자에게 이러한 전송을 수행할 권한을 갖습니다.

12. 일반 조항

12.1 관련 법률 준수. 처리자는 본 계약 및 본 계약에 따른 역할에 적용되는 데이터 보호법에 따라 회사 개인 데이터를 처리합니다. 처리자는 해당 비즈니스 또는 산업에 따라 오직 회사 또는 관리 고객에게만 적용되는 데이터 보호법을 준수할 책임이 없습니다.

12.2 비밀유지. 각 당사자는 본 계약과 관련하여 상대방에 대해 수신한 모든 정보를 기밀로 유지해야 하며, (a) 법률에 의해 공개가 요구되거나 (b) 당사자들의 과실 없이 해당 정보가 이미 공개 도메인에 있는 경우를 제외하고는 상대방의 사전 서면 동의 없이 이를 사용하거나 공개해서는 안 됩니다.

12.3 통지. 본 계약에 따른 통지는 기본 계약의 통지 조항에 따라 이루어져야 합니다. 데이터 보호 문제와 관련하여 처리자에게 보내는 통지는 legal@proton.ch 로도 추가로 참조되어야 합니다

12.4 책임. 본 계약으로 인해 또는 본 계약과 관련하여 발생하는 각 당사자의 책임은 비밀유지 및 데이터 보호 의무 위반에 대해 기본 계약에 명시된 특정 상한을 포함하여 기본 계약의 책임 제한 조항의 적용을 받으며 이에 따라 제한됩니다. 본 계약의 어떠한 내용도 당사자가 적용 가능한 데이터 보호법을 스스로 위반하여 관할 감독 기관으로부터 직접 부과받은 과태료 또는 벌금에 대한 당사자의 책임을 제한하지 않습니다. 회사는 관리 고객을 대면하는 유일한 컨트롤러로서 기본 계약의 책임 한도에 따라 처리자로부터 회수할 수 있는 금액을 초과하여 회사가 관리 고객에게 부담하게 되는 모든 책임에 대해 전적인 책임을 진다는 점을 인정합니다.

12.5 준거법 및 관할권. 본 계약은 다른 관할권의 법률 선택 또는 법률 저촉 조항과 관계없이 스위스 법률의 적용을 받으며, 본 계약으로 인해 또는 본 계약과 관련하여 발생하는 분쟁은 스위스 제네바 법원의 전속 관할에 속합니다.

12.6 우선순위. 개인 데이터 처리와 관련하여 본 계약과 기본 계약 간에 불일치가 있는 경우, 기본 계약 제10.1조에 따라 본 계약이 우선합니다. 본 계약의 영어 버전과 번역본 간에 불일치가 있는 경우, 영어 버전이 우선합니다.