개인정보 처리 위탁 부속서

이 부속서는 회사(이하 "수탁자" 또는 "회사")의 이용약관 제8조의2에 따라, 서비스를 이용하는 고객(이하 "위탁자" 또는 "고객")이 서비스에 저장·전송하는 개인정보의 처리 위탁에 관한 사항을 정합니다(개인정보 보호법 제26조 제1항, 같은 법 시행령 제28조 제1항). 고객이 이용약관에 동의하면 이 부속서에도 동의한 것으로 봅니다.

이 부속서에서 정하지 않은 사항은 이용약관, 개인정보처리방침, 개인정보 보호법 등 관계 법령에 따릅니다. 이 부속서와 이용약관이 개인정보 처리에 관하여 서로 다르면 이 부속서가 우선합니다.

① 수탁자는 위탁자의 임직원 메일·메신저·전자결재·근태·휴가·근로계약·드라이브·업무 관리 등 서비스 제공과 그 유지보수·백업·장애 대응·보안 점검을 위해서만 개인정보를 처리합니다.

② 처리하는 개인정보 항목은 별표 1과 같으며, 위탁자가 실제로 쓰는 기능과 입력한 정보에 한합니다.

① 수탁자는 위탁받은 업무 범위를 넘어 개인정보를 이용하거나 제3자에게 제공하지 않습니다. 서비스 개선을 위한 통계도 위탁자의 서면 동의 없이 개인을 알아볼 수 있는 형태로 쓰지 않습니다.

② 수탁자 운영자의 고객 데이터 접근은 장애·보안 대응과 위탁자의 요청 처리에 필요한 최소 범위로 하며, 그 접근 기록을 1년 이상(민감정보를 처리하는 경우 2년 이상) 보관합니다.

① 수탁자는 위탁자의 동의 없이 위탁받은 업무를 제3자에게 다시 위탁하지 않습니다(개인정보 보호법 제26조 제6항). 이 부속서에 동의한 때의 재수탁자는 별표 2와 같으며, 위탁자는 이 부속서에 동의함으로써 별표 2의 재위탁에 동의합니다.

② 수탁자가 재수탁자를 바꾸거나 더할 때는 [통지 기간 확정 필요, 예: 30일] 전에 위탁자에게 알리며, 위탁자는 그 기간 안에 반대할 수 있습니다. 위탁자가 반대하면 수탁자는 그 재위탁을 하지 않거나, 위탁자가 계약을 해지할 수 있도록 합니다.

수탁자는 개인정보 보호법 제29조와 「개인정보의 안전성 확보조치 기준」에 따라 다음 조치를 합니다.

• 접근 권한의 최소화와 운영자 접근 기록의 보관, 운영 콘솔의 2단계 인증
• 비밀번호의 단방향 암호화(해시) 저장, 전송 구간 암호화(TLS)
• 접속 기록의 보관(1년 이상, 민감정보를 처리하는 경우 2년 이상)과 정기 점검
• 백업 매체의 보호 [백업 사본 암호화 여부 확인 후 기재]
• 휴가 사유·증빙 등 건강에 관한 정보는 민감정보(개인정보 보호법 제23조)로 보아 열람 범위를 제한하고 열람 기록을 남기는 등 같은 조 제2항의 안전조치를 합니다.

① 수정 전 메시지 보관, 중요정보(주민등록번호·카드번호 등) 검사 기록, 메신저 삭제 잠금, 대화 내보내기, 보관 기간, 위치 확인 출퇴근, 근무 상태 표시, 근무 외 연락 현황 등 위탁자가 켜는 기능의 처리 목적과 근거, 임직원에 대한 고지·동의, 노사 협의는 위탁자가 정하고 책임집니다.

② 수탁자는 각 기능의 설정·사용 기록을 남기고, 켤 때 영향을 화면에서 안내하며, 위탁자가 개인정보 처리방침에 적을 수 있는 견본 문구를 관리자 안내서에서 제공합니다.

① 위탁자는 연 1회 이상 수탁자의 개인정보 처리 현황을 점검할 수 있으며, 수탁자는 점검표와 접근 기록 요약 등 필요한 자료를 성실히 제공합니다(개인정보 보호법 제26조 제4항).

② 수탁자는 개인정보를 처리하는 담당자에게 연 1회 이상 개인정보 보호 교육을 합니다.

수탁자는 개인정보의 분실·도난·유출(이하 "유출 등")을 알게 된 때 지체 없이, 늦어도 24시간 안에 위탁자에게 그 사실과 경위, 유출 등이 된 항목, 대응 조치를 알리고, 위탁자가 정보주체에게 통지하고 관계 기관에 신고(유출 등을 알게 된 때부터 72시간 안)하는 일을 돕습니다(개인정보 보호법 제34조).

수탁자로 접수된 정보주체의 열람·정정·삭제·처리정지 요청은 지체 없이 위탁자에게 전달하고, 위탁자의 지시에 따라 처리할 수 있도록 내보내기, 퇴사자 정보 파기 등 필요한 기능을 제공합니다(개인정보 보호법 제35조~제37조).

① 계약 기간 중에는 위탁자가 정한 보관 기간을 따르며, 위탁자가 정하지 않은 항목은 별표 3의 기본 기간을 따릅니다. 수탁자는 보관 기간이 지난 정보를 자동으로 파기하는 기능을 제공합니다.

② 삭제 잠금 등 위탁자의 보존 지시는 그 지시가 끝날 때까지 따르며, 메신저 삭제 잠금은 한 번에 최대 1년이고 사유를 적어 연장합니다.

③ 계약이 끝나면 위탁자는 그 전에 필요한 자료를 받아 둘 수 있으며(보존 자료 내보내기 등), 수탁자는 계약 종료일부터 30일이 지나면 고객 데이터를 복구할 수 없는 방법으로 파기하고 파기 일시·대상·방법과 백업에서 사라지는 날을 적은 파기 확인서를 위탁자에게 보냅니다. 백업 사본은 별표 3의 백업 보관 기간이 지나면 함께 사라집니다.

④ 근로기준법 제42조(근로계약 서류 3년), 국세기본법 제85조의3(5년), 상법 제33조(10년) 등 법령에 따른 보존 의무는 위탁자에게 있습니다.

① 수탁자가 이 부속서나 관계 법령을 위반하여 위탁자 또는 정보주체에게 손해가 생기면 수탁자가 배상합니다. 이용약관의 책임 한도는 수탁자의 고의 또는 중대한 과실로 인한 손해에는 적용하지 않습니다.

② 수탁자는 개인정보 보호법 제26조 제8항에 따라 수탁자에게 준용되는 조항의 의무를 직접 집니다.

위탁자가 위치 확인 출퇴근을 켠 경우, 수탁자는 위치정보의 보호 및 이용 등에 관한 법률에 따른 위치기반서비스사업자로서 같은 법의 의무(신고, 이용약관 명시, 확인자료의 기록·보존, 개인위치정보주체의 권리 보장)를 직접 집니다. 처리하는 정보는 근무지 안/밖 판정 결과·정확도 구간·근무지 이름이며, 좌표는 받지 않습니다. 자세한 내용은 위치기반서비스 이용약관을 따릅니다.

고객 데이터는 대한민국 안에 있는 수탁자 관리 서버와 수탁자 관리 백업 매체에 보관합니다. 휴대폰 앱 알림(푸시) 전달을 위한 국외 이전(별표 2, Google LLC - 미국) 외에는 국외에 저장하지 않으며, 국외 이전의 자세한 사항은 개인정보처리방침 7절과 같습니다.

위탁자가 관리자 화면에서 기간을 정한 항목은 위탁자가 정한 값을 따릅니다.

이 부속서는 [시행일 확정 필요]부터 시행합니다.