데이터 처리 계약(DPA)

1. 목적, 범위 및 계약 구조

계약의 목적. 본 계약은 nullbot 서비스 제공의 맥락에서, 수탁처리자가 개인정보처리자를 대신하여 부속서 1에 기술된 개인정보 처리 작업을 수행하기로 하는 조건을 정하는 것을 목적으로 합니다. 본 계약은 RGPD 제28조 및 개인정보 보호에 관한 적용 가능한 규정 전반에 비추어 양 당사자의 각 의무와 권리를 명시합니다.

법적 근거. 본 계약은 RGPD, 특히 제28조(위탁처리), 제32조(처리의 보안), 제33조 및 제34조(데이터 유출), 제35조(영향평가), 제36조(사전 협의) 및 제44조 이하(제3국으로의 데이터 이전)와, 개정된 1978년 1월 6일자 법률 제78-17호(정보처리, 파일 및 자유에 관한 법률)를 근거로 합니다.

계약 체계 및 문서 간 우선순위. 본 계약은 당사자 간에 체결된 서비스 계약의 부속서로서 그 불가분의 일부를 구성한다. 본 계약은 개인정보 처리에 관한 사항에 한하여 다른 계약 문서의 상반되는 규정에 우선한다. 본 계약과 판매약관(CGV), 이용약관(CGU) 또는 개인정보처리방침 간에 모순이 있는 경우, 개인정보 보호에 관한 사항에 한하여 본 계약의 규정이 우선한다.

동의. 서비스에 가입하고 이를 이용함으로써 고객은 책임자(Responsable) 자격으로 본 계약을 전적으로 승낙하는 것으로 간주됩니다.

2. 정의

본 계약서에서 대문자로 사용된 이하 용어는 다음과 같은 의미를 가집니다. 「개인정보」, 「처리」, 「개인정보처리자」, 「수탁처리자」, 「정보주체」 및 「개인정보 침해」의 개념은 RGPD 제4조의 의미로 이해됩니다.

• « 서비스 »란 수탁자가 SaaS 방식으로 제공하는 nullbot 소프트웨어를 의미하며, 이는 그 인공지능 에이전트, 인터페이스, 기능 및 관련 구성 요소를 포함합니다.
• '에이전트(Agent)'란 고객이 정의한 설정 및 지시에 따라 고객을 대신하여 작업 및 행위를 수행하기 위해 서비스 내에서 구현되는 모든 인공지능 에이전트를 의미합니다.
• « 고객 콘텐츠 »란 고객이 에이전트에게 제출하거나 서비스에 통합하는 모든 데이터, 파일, 지시사항, 요청, 문서 및 정보(개인정보를 포함한다)를 말한다.
• « 개인 데이터 »란 식별되었거나 식별 가능한 자연인에 관한 모든 정보로서, 본 계약의 범위 내에서 수탁자가 책임자를 위하여 처리하는 정보를 의미합니다.
• 「처리」란 수집, 기록, 조직화, 구조화, 보관, 조정, 변경, 추출, 열람, 이용, 공개, 대조, 제한, 삭제 또는 파기 등 개인정보에 대해 수행되는 모든 작업 또는 작업의 집합을 의미합니다.
• 「책임자」 또는 「처리 책임자」란 처리의 목적과 수단을 결정하는 고객을 의미합니다.
• 「수탁자」란 책임자를 대신하여 개인정보를 처리하는 MARA LABS를 의미합니다.
• 『재수탁자(Sous-traitant ultérieur)』란 수탁자가 책임자를 대신하여 특정 처리 활동의 전부 또는 일부를 수행하도록 위탁하는 모든 제3자를 의미합니다.
• '정보주체'란 처리되는 개인정보와 관련된, 식별되었거나 식별 가능한 자연인을 말합니다.
• 「개인정보 침해」 또는 「침해」란, 전송·저장되거나 그 밖의 방식으로 처리되는 개인정보의 파기, 손실, 변조, 무단 공개, 또는 그러한 데이터에 대한 무단 접근을 우발적으로 또는 불법적으로 초래하는 보안 침해를 의미합니다.
• 「CCT」란 제3국으로의 개인정보 이전을 규율하기 위해 유럽연합 집행위원회가 2021년 6월 4일자 이행결정 (EU) 2021/914를 통해 채택한 표준계약조항을 의미합니다.
• 「RGPD」는 2016년 4월 27일 규정(EU) 2016/679를 의미합니다.

3. 당사자의 지위 및 역할

고객의 지위. 고객은 GDPR 제4조 제7항에 따른 개인정보처리자(controller)의 지위로 행위합니다. 고객은 서비스 이용과 관련하여 이루어지는 처리의 목적과 수단을 단독으로 결정합니다. 이에 따라 고객은 수탁처리자(Sous-traitant)에게 위탁하는 처리의 적법성을 확보할 책임이 있으며, 특히 GDPR 제6조에 따른 적절한 법적 근거를 갖추고, 해당하는 경우 제9조에서 정한 보호조치를 갖추어야 하며, 정보주체에 대한 고지 의무를 이행했어야 합니다.

수탁처리자의 지위. MARA LABS는 GDPR 제4조 제8호의 의미상 수탁처리자로서 행위합니다. 수탁처리자는 본 계약에 따라 개인정보처리자를 대신하여 그의 문서화된 지시에 근거해서만 개인정보를 처리합니다.

수탁자의 보증. 수탁자는 처리가 GDPR의 요건을 충족하고 정보주체의 권리 보호를 보장하도록 적절한 기술적·조직적 조치를 이행함에 있어 충분한 보증을 제공함을 진술하며, 이는 GDPR 제28조 제1항에 따릅니다.

고객 고유의 책임. 고객은 다음에 대해 단독으로 책임을 집니다:

• 서비스를 통해 수행하는 처리의 적법성, 공정성 및 투명성에 대하여 ;
• 에이전트에 제공되는 고객 콘텐츠의 정확성, 품질 및 적합성에 대하여 ;
• 자신의 정보제공 의무 준수 및, 해당하는 경우, 정보주체의 동의 수집에 대하여 ;
• 데이터의 적절한 보관 기간을 정하고 서비스에 제공되는 데이터를 최소화하는 것 ;
• 에이전트의 설정 및 감독, 그리고 에이전트가 자신을 대신하여 실행하는 행위에 대하여.

4. 처리의 설명 및 범위

범위. 프로세서는 컨트롤러를 대신하여 서비스 제공에 필요한 개인정보를 처리할 권한을 가지며, 이는 RGPD 제28조 제3항에 따라 처리의 성격과 목적, 기간, 관련 개인정보의 유형 및 정보주체의 범주를 명시하는 본 계약의 부속서 1에서 정한 범위와 방식에 한정됩니다.

책임자에 의한 결정. 처리의 정확한 범위는 고객이 서비스 내에서 구현하는 설정, 파라미터 및 사용 방식, 그리고 고객이 에이전트에게 제공하는 고객 콘텐츠로부터 결정됩니다. 책임자는 이 범위를 정의하고 제한하는 것이 자신의 책임임을 인정하며, 수탁자는 고객이 제공하기로 선택한 데이터의 내용을 통제할 수 없습니다.

변경. 별첨 1은 서비스의 발전 또는 고객의 이용 방식 변화를 반영하기 위해 보완되거나 갱신될 수 있으며, 이러한 갱신은 당사자 간에 합의된 서비스 제공에 필요한 범위를 넘어 처리 범위를 확장할 수 없습니다.

5. 책임자의 문서화된 지시사항

문서화된 지시에 따른 처리. RGPD 제28조 제3항 a호에 따라, 수탁처리자는 책임자의 문서화된 지시에 따라서만 개인정보를 처리하며, 이는 제3국 또는 국제기구로의 개인정보 이전에 관한 사항을 포함합니다. 다만 수탁처리자가 적용받는 유럽연합법 또는 회원국 법률에 따라 그러한 처리가 요구되는 경우는 예외로 합니다. 이 경우 수탁처리자는 처리 이전에 해당 법적 의무를 책임자에게 알려야 하며, 다만 관련 법률이 중대한 공익상의 사유로 그러한 통지를 금지하는 경우는 제외합니다.

지시사항의 형식. 컨트롤러의 문서화된 지시사항은 다음으로 구성됩니다: 본 계약 및 그 부속서, 서비스 계약, 고객이 서비스 내에서 수행한 설정, 에이전트에 제출된 고객 콘텐츠, 그리고 서면(전자우편 또는 서비스 인터페이스를 통한 경우를 포함)으로 작성되어 프로세서에게 전달되는 그 밖의 모든 추가 지시사항.

명백히 위법한 지시. 수탁자는 어떤 지시가 GDPR 또는 개인정보 보호에 관한 기타 유럽연합법이나 회원국 법률을 위반한다고 판단하는 경우 이를 즉시 개인정보처리자에게 알립니다. 이 경우 수탁자는 개인정보처리자가 해당 지시를 확인하거나 수정할 때까지 그 이행을 정지할 권리가 있습니다.

자체 목적 이용 금지. 수탁자는 본 계약의 이행 및 서비스 제공에 필요한 목적 이외의 목적으로 개인정보를 처리해서는 안 되며, 특히 이를 자신 또는 제3자를 위하여 이용해서는 안 됩니다.

6. 처리 권한을 부여받은 자의 기밀유지

기밀 유지 서약. RGPD 제28조 제3항 b호에 따라, 수탁자는 개인정보를 처리할 권한을 부여받은 자가 기밀을 준수할 것을 서약하거나 적절한 법적 기밀 유지 의무를 부담하도록 보장합니다.

접근 권한 부여 및 제한. 수탁자는 개인정보에 대한 접근이 알 필요의 원칙 및 최소 권한의 원칙에 따라, 업무 수행을 위해 접근이 필요한 자사 직원 및 권한이 부여된 자로 엄격히 제한되도록 보장합니다.

인식 제고 및 교육. 수탁자는 개인정보 처리 권한을 부여받은 인원이 개인정보 보호 및 정보 보안에 관하여 필요한 교육과 인식 제고 활동을 받도록 조치합니다.

의무의 존속. 비밀유지 의무는 해당자의 직무 종료 후 및 본 계약 종료 후에도 존속합니다.

7. 보안 조치(제32조)

보안 의무. GDPR 제28조 제3항 (c)호 및 제32조에 따라, 처리자는 기술 수준, 구현 비용, 처리의 성격, 범위, 상황 및 목적, 그리고 자연인의 권리와 자유에 대한 위험을 고려하여 위험에 상응하는 적절한 수준의 보안을 보장하기 위한 적절한 기술적 및 조직적 조치를 시행합니다.

평가 기준. 시행되는 조치는 필요한 경우 다음 사항을 고려한다:

• 개인정보의 가명처리 및 암호화;
• 처리 시스템 및 서비스의 기밀성, 무결성, 가용성 및 지속적인 복원력을 보장할 수 있는 수단;
• 물리적 또는 기술적 사고 발생 시 적절한 기한 내에 개인정보의 가용성과 접근성을 복구할 수 있는 수단;
• 처리의 보안을 보장하기 위한 기술적·조직적 조치의 효과성을 정기적으로 테스트, 분석 및 평가하는 절차에 대하여.

조치의 세부 사항. 수탁자가 시행하는 기술적·조직적 조치는 본 계약의 부속서 2에 기술되어 있습니다. 이러한 조치는 보안 수준이 저하되지 않는 한 시간의 경과에 따라 변경될 수 있습니다.

책임의 분담. 책임자는 자신의 관리 범위에 속하는 보안 조치의 시행에 대해 계속 책임을 집니다. 이는 특히 자신의 이용자에 대한 인증정보 및 권한 관리, 자체 정보시스템의 보안, 그리고 서비스에 제공하는 데이터의 최소화를 포함합니다.

8. 재위탁처리자의 이용

일반 승인. RGPD 제28조 제2항 및 제4항에 따라, 책임자는 서비스 제공에 필요한 특정 처리 활동의 수행을 위하여 수탁처리자가 재위탁 수탁처리자를 이용하는 것을 포괄적으로 승인합니다. 본 계약 체결일 기준으로 승인된 재위탁 수탁처리자 목록은 부속서 3에 기재되어 있습니다.

사전 통지 및 이의제기권. 수탁자(Sous-traitant)는 후속 수탁자(sous-traitant ultérieur)의 추가 또는 교체와 관련하여 예정된 모든 변경사항을 적절한 방식(특히 부속서 3의 업데이트 게시 및 사이트 또는 서비스 내 안내를 통해)으로 책임자(Responsable)에게 통지하며, 이를 통해 책임자는 합리적인 기간 내에 해당 변경사항에 대해 이의를 제기할 수 있습니다. 책임자의 이의제기가 정당하고 근거가 있는 경우, 양 당사자는 해결책을 모색하기 위해 노력합니다. 해결책을 찾지 못한 경우, 책임자는 계약에 규정된 조건에 따라 문제가 된 후속 수탁자의 이용과 관련된 서비스 부분을 해지할 수 있습니다.

재수탁자에게 부과되는 의무. GDPR 제28조 제4항에 따라, 수탁자(Sous-traitant)가 재수탁자를 이용하는 경우, 계약 또는 기타 법적 행위를 통해 본 계약(Accord)에 정해진 것과 동일한 데이터 보호 의무, 특히 적절한 기술적·조직적 조치의 이행에 관한 충분한 보증을 제공할 의무를 재수탁자에게 부과하여야 합니다.

책임. 수탁자는 후속 수탁자가 데이터 보호에 관한 의무를 이행하는 것과 관련하여 책임자에 대해 전적인 책임을 집니다. 후속 수탁자가 자신의 의무를 이행하지 아니하는 경우, 수탁자는 후속 수탁자의 의무 이행에 대하여 책임자에 대해 전적인 책임을 집니다.

9. 정보주체의 권리 행사에 대한 지원

지원 의무. GDPR 제28조 제3항 제e호에 따라, 수탁처리자는 적절한 기술적·조직적 조치를 통해 가능한 모든 범위 내에서 정보주체가 권리 행사를 위해 제기하는 요청에 개인정보처리자가 대응할 의무를 이행할 수 있도록 지원합니다.

관련 권리. 지원은 RGPD 제3장에서 정한 모든 권리, 특히 열람권, 정정권, 삭제권, 처리 제한권, 데이터 이동권 및 반대권을 대상으로 합니다.

요청의 전달. 정보주체가 책임자를 대신하여 수행되는 처리와 관련하여 자신의 권리 행사 요청을 수탁자에게 직접 제출하는 경우, 수탁자는 지체 없이 이 요청을 책임자에게 전달하며, 책임자의 별도 지시가 없는 한 스스로 응답하지 아니한다.

제공되는 수단. 서비스가 허용하는 범위 내에서, 수탁자는 책임자가 정보주체의 요청에 대응할 수 있도록 관련 기능 및 도구를 제공합니다.

10. 보안, 침해사고, 개인정보 영향평가(AIPD) 및 사전 협의에 관한 지원

일반적 지원 의무. GDPR 제28조 제3항 f호에 따라, 수탁자는 처리의 성격 및 수탁자가 보유한 정보를 고려하여, 책임자가 GDPR 제32조부터 제36조까지 규정된 의무를 준수할 수 있도록 지원합니다.

처리의 보안(제32조). 수탁자는 시행 중인 기술적·조직적 조치에 관한 정보를 제공하는 등의 방법으로, 책임자가 GDPR 제32조에 명시된 보안 요건을 준수할 수 있도록 지원합니다.

침해 통지(제33조 및 제34조). 수탁자는 본 계약의 「개인정보 침해 통지」 항목에 규정된 조건에 따라, 감독기관에 대한 개인정보 침해 통지 의무 및 필요한 경우 정보주체에 대한 해당 침해 고지 의무를 이행함에 있어 책임자를 지원합니다.

영향평가 (제35조). 수탁처리자는 필요한 경우 자신이 보유한 정보의 범위 내에서, 서비스를 통해 이루어지는 처리에 관한 개인정보 영향평가(AIPD) 수행에 있어 처리책임자를 지원합니다.

사전 협의(제36조). 수탁자는 필요한 경우 GDPR 제36조에 규정된 감독기관과의 사전 협의와 관련하여 책임자를 지원합니다.

지원 비용. 본 조항에서 규정하는 지원은 처리의 성격 및 수탁자가 보유한 정보를 고려하여 제공됩니다. 지원 요청이 서비스에 합리적으로 포함된 범위를 초과하는 경우, 수탁자는 사전 통지 후 이에 소요된 합리적인 비용을 책임자에게 청구할 수 있습니다.

11. 개인정보 침해 통지

책임자에 대한 통지. 수탁자는 개인정보 침해 사실을 인지한 후 가능한 한 신속하게 이를 책임자에게 통지하여, 책임자가 필요한 경우 GDPR 제33조에 규정된 72시간 이내에 감독기관에 통지할 의무를 이행할 수 있도록 합니다.

통지 내용. 수탁자는 보유하고 있는 정보의 범위 내에서, 필요한 경우 단계적으로 위탁자에게 다음 사항을 통지합니다:

• 위반의 성격에 대한 설명(가능한 경우, 정보주체의 범주 및 대략적인 인원수, 그리고 관련 기록의 범주 및 대략적인 건수를 포함한다);
• 위반으로 인해 발생할 가능성이 있는 결과;
• 위반을 해결하기 위해 취해지거나 제안된 조치 및 필요한 경우 그 부정적 결과를 완화하기 위한 조치;
• 추가 정보를 얻을 수 있는 연락처 정보.

협력. 수탁자(Sous-traitant)는 책임자(Responsable)와 협력하며, 위반 사항의 조사, 제한 및 해결을 지원하기 위해 합리적인 조치를 취합니다. 법적으로 달리 정하지 않는 한, 수탁자는 책임자를 대신하여 감독기관이나 정보주체에게 통지하지 않으며, 이는 책임자의 명시적인 지시가 있는 경우에만 예외로 합니다.

12. 유럽연합 역외 이전

원칙. 수탁자는 책임자에게 사전 통지하지 않고, RGPD 제5장에 규정된 적절한 보호조치를 마련하지 않은 채로는 유럽연합 역외 제3국 또는 국제기구로 개인정보를 이전하지 않습니다.

적절한 보호조치. 수탁자가 이용하는 일부 재수탁자는 유럽경제지역(EEA) 외부, 특히 미국에 소재하고 있습니다. 이러한 재수탁자로의 이전은 2021년 6월 4일자 유럽위원회 이행결정 (EU) 2021/914에서 채택된 표준계약조항(CCT)에 의해 규율되며, 해당되는 경우 그 밖에 유효성이 인정되는 다른 이전 메커니즘(적정성 결정 또는 공인된 데이터 보호 프레임워크에 따른 인증 등)에 의해서도 규율될 수 있습니다.

추가 보호조치. 필요한 경우, 수탁처리자는 유럽연합 내에서 보장되는 수준과 실질적으로 동등한 개인정보 보호 수준을 확보하기 위해 적절한 추가 조치(기술적, 조직적 및 계약적)를 직접 시행하거나, 관련 재위탁처리자가 이를 시행하도록 조치합니다.

책임자에 대한 정보 제공. 요청이 있는 경우, 수탁자는 이전을 규율하기 위해 마련된 보증 조치에 관한 정보를 책임자에게 제공합니다. 후속 수탁자 목록 및 그 소재지는 부속서 3에 명시되어 있습니다.

13. 감사 및 점검

정보 제공. GDPR 제28조 제3항 제h호에 따라, 수탁처리자는 GDPR 제28조에서 정한 의무의 준수를 입증하는 데 필요한 모든 정보를 개인정보처리자에게 제공하며, 개인정보처리자 또는 그가 위임한 다른 감사인이 실사(inspection 포함)를 수행할 수 있도록 하고 이러한 감사에 협조합니다.

감사의 방식. 책임자는 자신의 비용으로 다음 조건에 따라 본 계약상 수탁자의 의무 준수 여부에 대한 감사를 실시하게 할 수 있습니다 :

• 감사는 합리적인 서면 사전 통지를 기반으로 실시되며, 이 통지 기간은 데이터 위반이 확인되었거나 감독기관의 요청이 있는 경우를 제외하고 역일 기준 30일 미만이 될 수 없다;
• 감사는 영업일 및 영업시간 중에, 수탁자의 업무를 과도하게 방해하지 않는 방식으로 이루어진다;
• 감사는 예외적인 경우(입증된 위반, 감독기관의 요청)를 제외하고 12개월 기간당 1(1)회로 제한된다;
• 책임자가 위임한 감사인은 수탁자의 경쟁업체이어서는 안 되며 비밀유지 의무를 부담하여야 한다;
• 감사 과정에서 확인된 사실 및 취득한 정보는 엄격히 기밀로 유지된다.

문서 및 인증. 프로세서는 관련 문서, 감사 보고서, 증명서 또는 인증서를 컨트롤러에게 제공함으로써 준수 입증 의무를 이행할 수 있으며, 이러한 자료가 자신의 의무 이행을 합리적으로 입증할 수 있는 경우에 한합니다.

비용. 감사 실시와 관련된 비용은 책임자가 부담합니다. 수탁자가 감사 지원 및 동행에 합리적으로 소요한 시간이 서비스에 합리적으로 포함되는 범위를 초과하는 경우, 사전 통지 후 책임자에게 청구될 수 있습니다.

14. 처리 종료 시 데이터의 처리 방식

처리책임자의 선택. GDPR 제28조 제3항 (g)호에 따라, 처리와 관련된 서비스 제공이 종료되면 수탁처리자는 처리책임자의 선택에 따라 모든 개인정보를 삭제하거나 처리책임자에게 반환하고 기존 사본을 파기한다. 다만 유럽연합법 또는 회원국 법이 개인정보의 보존을 요구하는 경우는 예외로 한다.

기한. 책임자는 서비스 종료일로부터 기산하여 30일(달력일) 이상의 합리적인 기한 내에 데이터의 반환 또는 삭제에 대한 선택권을 행사할 수 있습니다. 해당 기한이 만료될 때까지 책임자로부터 지시가 없는 경우, 수탁자는 개인정보를 삭제합니다.

반환 방식. 데이터 반환 시, 데이터는 서비스의 내보내기(export) 기능이 허용하는 범위 내에서 구조화되고 일반적으로 사용되는 형식으로 책임자에게 반환됩니다.

삭제. 삭제는 관련된 재위탁 수탁처리자에 대해서도 합리적인 기간 내에 이루어지며, 기존의 모든 사본을 대상으로 하되, 법정 보관 의무 및 정해진 순환 주기에 따라 자동 삭제되는 백업은 그러하지 아니합니다.

확인서. 처리책임자의 요청이 있는 경우, 수탁자는 개인정보의 실제 삭제를 서면으로 확인한다.

15. 책임, 보증 및 당사자 간 분담

책임의 원칙. 각 당사자는 GDPR 제82조에 따라, 자신에게 특별히 부과된 GDPR상의 의무를 준수하지 않았거나 책임자의 적법한 지시를 벗어나거나 이에 반하여 행동한 경우 처리로 인해 발생한 손해에 대해 책임을 집니다.

수탁자의 책임. 수탁자는 본 계약에 따른 자신의 의무 위반 또는 RGPD상 수탁자로서 특별히 부담하는 의무 위반으로 인한 처리로 발생한 손해에 대해서만 책임을 집니다.

책임자의 책임. 책임자는 자신의 고유 의무, 특히 처리의 적법성, 정보주체에 대한 정보제공, 법적 근거, 데이터 최소화 및 에이전트에게 제출된 고객 콘텐츠의 적법성과 관련한 의무 위반으로 인해 발생하는 정보주체 및 감독기관을 포함한 제3자의 모든 청구, 소송 또는 요구로부터 수탁자를 면책합니다.

책임 제한. 일반판매약관에 규정된 책임 제한 및 면책 조항은 준거법이 허용하는 범위 내에서, 그리고 정보주체가 입은 손해의 배상에 관한 GDPR의 강행 규정을 조건으로 본 계약에도 적용됩니다.

16. 계약 기간 및 해지

기간. 본 계약은 고객의 동의일에 효력이 발생하며, 수탁처리자가 개인정보처리자를 대신하여 개인정보를 처리하는 서비스 계약의 전체 기간 동안 유효합니다.

부속적 성격. 본 계약(Accord)은 서비스 계약의 부속 계약입니다. 본 계약은 서비스 계약의 종료와 동시에 자동으로 종료되며, 이는 처리 종료 시 데이터의 처리에 관한 조항 및 그 성질상 본 계약의 종료 이후에도 존속하는 의무(특히 기밀유지 의무)에는 영향을 미치지 않습니다.

일부 의무의 존속. 기밀유지 의무, 데이터의 삭제 또는 반환 의무, 그리고 감독 당국의 요청 시 협조 의무는 그 이행에 필요한 기간 동안 본 계약 종료 후에도 존속합니다.

17. 기타 조항

문서의 우선순위. 본 부속서의 규정과 개인정보 처리에 관한 다른 계약 문서의 규정이 상충하는 경우, 본 부속서의 규정이 우선합니다. 데이터 보호와 관련되지 않은 모든 사항에 대해서는 일반판매약관 및 일반이용약관이 계속 적용됩니다.

일부 무효. 본 계약의 하나 또는 여러 조항이 무효, 위법 또는 적용 불가능한 것으로 선언되는 경우, 나머지 조항은 그 효력과 범위를 그대로 유지합니다. 당사자들은 무효로 된 조항을 이와 동등한 목적을 추구하는 유효한 조항으로 대체하기 위해 노력합니다.

수정. 수탁처리자는 적용 법령의 변화, 감독기관의 지침 또는 서비스의 변화를 반영하기 위하여 본 계약을 갱신할 수 있습니다. 책임자는 적절한 방법으로 이에 대해 통지받습니다.

준거법 및 관할. 본 계약은 프랑스법 및 유럽연합법의 적용을 받습니다. 본 계약의 해석 또는 이행과 관련한 모든 분쟁은 일반판매약관에 따라 정해진 관할 법원의 관할에 속하며, 다만 정보주체를 보호하는 규정을 포함한 강행적 관할 규정은 그러하지 아니합니다.

18. 부속서 1 — 처리 내용 설명

본 부속서는 GDPR 제28조 제3항에서 요구하는 처리 관련 세부 사항을 명시합니다. 처리의 실제 범위는 고객의 사용 방식 및 설정, 그리고 에이전트에 제출되는 고객 콘텐츠에 따라 달라집니다.

19. 부속서 2 — 기술적 및 조직적 보안 조치

수탁자는 RGPD 제32조에 따라 다음의 기술적·조직적 조치를 시행합니다. 이러한 조치는 보안 수준의 저하 없이 변경될 수 있습니다.

책임자(Responsable)는 자신의 영역에 속하는 보안 조치, 특히 자신의 인증 정보 관리 및 자체 시스템의 보안에 대해 계속하여 책임을 집니다.

20. 부속서 3 — 승인된 재위탁 처리자 목록

컨트롤러는 본 계약 체결일 현재 다음의 하위 프로세서 이용을 승인합니다. 이 목록의 변경 사항은 컨트롤러에게 사전 통지되며, 컨트롤러는 본 계약에서 정한 조건에 따라 이의를 제기할 권리를 가집니다.

재수탁자 및 이전을 규율하는 보장에 관한 추가 정보가 필요한 경우, 책임자는 수탁자의 본사 주소로 서면 우편을 통해 요청할 수 있습니다. 전용 연락 이메일 주소는 도메인 개설 즉시 개통되어 이곳에 게시될 예정입니다.