데이터 처리 부속서

1. 역할과 범위

본 부속서는 서비스 약관의 일부를 구성합니다. 고객 워크스페이스 내부, 고객의 광고 계정, 태그 관리자 및 분석 도구, 그리고 당사에 제공된 CRM 내보내기 자료에서 처리되는 개인정보(이하 "고객 개인정보")에 대해 고객은 컨트롤러이며 THEFOCUS LTD은 처리자입니다. 부록 1에 처리 내용이 기술되어 있습니다. 고객이 다른 컨트롤러의 처리자인 경우, 당사는 동일한 조건으로 고객의 재처리자 역할을 합니다.

본 부속서는 UK GDPR 제28조와, 적용되는 경우 EU GDPR 제28조 및 당사가 서비스하는 시장의 기타 데이터 보호법상 처리자 조항을 충족합니다.

2. 처리자로서 당사의 의무

• 법률이 달리 요구하지 않는 한, 계약과 고객의 애플리케이션 이용을 포함한 고객의 문서화된 지시에 따라서만 고객 개인정보를 처리합니다. 법률이 달리 요구하는 경우, 법률이 금지하지 않는 한 처리 전에 고객에게 알립니다. 지시가 데이터 보호법에 위배된다고 판단하는 경우 고객에게 알립니다.
• 처리 권한을 부여받은 모든 사람이 비밀유지 의무를 지도록 합니다.
• 부록 2의 기술적·관리적 조치를 적용합니다.
• 제3조에 규정된 바에 따라서만 재처리자를 사용합니다.
• 처리의 성격을 고려하여 정보주체의 요청 및 보안, 침해 통지, 영향 평가, 규제기관과의 사전 협의에 관한 고객의 의무 이행을 지원합니다.
• 고객 개인정보에 영향을 미치는 개인정보 침해를 인지한 후 부당한 지체 없이, 48시간 이내에 고객이 자체 보고 의무를 이행하는 데 필요한 정보와 함께 고객에게 통지합니다.
• 서비스 종료 시, 법률이 보관을 요구하지 않는 한 고객의 선택에 따라 30일 이내에 고객 개인정보를 삭제하거나 반환하고 기존 사본을 삭제합니다.
• 준수 사실을 입증하는 데 필요한 정보를 제공하고, 30일 전 통지, 비밀유지 조건하에, 침해나 규제기관의 요구가 없는 한 연 1회 이내로 고객 또는 고객이 지정한 감사인의 감사를 허용합니다.

3. 재처리자

고객은 당사의 재처리자 페이지에 기술된 재처리자에 대해 일반적 승인을 부여합니다. 현행 재처리자 명단은 고객 대시보드에서 확인하거나 요청 시 받을 수 있습니다. 당사는 새 재처리자에 대해 애플리케이션을 통해 최소 30일 전에 통지합니다. 고객은 합리적인 데이터 보호상의 이유로 이의를 제기할 수 있으며, 당사가 이의를 해소할 수 없는 경우 고객은 위약금 없이 해당 서비스를 종료할 수 있습니다. 당사는 각 재처리자에게 본 부속서보다 보호 수준이 낮지 않은 데이터 보호 조항을 부과하며, 그 이행에 대해 계속 책임을 집니다.

4. 국외 이전

당사는 영국 적정성 규정, EU-US Data Privacy Framework의 UK Extension, ICO International Data Transfer Agreement 또는 EU Standard Contractual Clauses에 대한 UK Addendum에 따라서만 고객 개인정보를 영국 밖으로 이전합니다.

고객이 EEA에 있는 경우, 당사로의 이전은 영국에 대한 European Commission의 적정성 결정에 근거합니다. 해당 결정이 더 이상 적용되지 않는 경우 EU Standard Contractual Clauses(모듈 2, 고객이 처리자인 경우 모듈 3)가 참조로 편입되며, 해당 조항에 한해 아일랜드 법을 준거법으로, 아일랜드를 관할지로 합니다. 고객이 스위스에 있는 경우 스위스 수정 사항을 반영한 동일한 조항이 적용됩니다. 기타 시장의 경우, 당사는 요청 시 튀르키예 KVKK 또는 중국 PIPL에 따른 표준 계약 등 고객 소재국 법률이 요구하는 이전 조항에 서명합니다.

5. 민감정보와 민감한 타기팅

고객은 민감정보(예: 건강 데이터), 범죄 경력 데이터 또는 아동 데이터를 애플리케이션에 업로드해서는 안 되며, 민감한 특성에 기반한 타기팅을 지시해서는 안 됩니다.

6. 책임과 기간

본 부속서에 따른 책임에는 서비스 약관의 제한이 적용됩니다. 본 부속서는 당사가 고객 개인정보를 처리하는 동안 유효합니다.

부록 1: 처리 내용

• 대상 및 기간: 계약 기간과 30일의 종료 기간 동안의 서비스 제공.
• 성격 및 목적: 캠페인 계획 및 운영, 고객 캠페인에 대한 실시간 최적화 신호, 측정 및 추적 설정, 보고 및 지원.
• 정보주체: 고객의 직원 사용자, 그리고 광고, 분석 및 CRM 데이터에 나타나는 고객의 잠재고객과 고객.
• 데이터 범주: 고객 사용자의 이름과 업무용 연락처, 온라인 식별자, 플랫폼 전환 매칭에 사용되는 해시 처리된 연락처 데이터, 집계된 캠페인 지표 및 CRM 리드 단계.
• 보관: 개인정보 처리방침과 제2조에 규정된 바에 따릅니다.

부록 2: 기술적·관리적 조치

• 모든 계정에 다단계 인증 의무화, 1회용 복구 코드는 해시로만 저장.
• 직원에 대한 역할 기반 최소 권한 접근, 역할 변경 시 검토.
• 애플리케이션과 데이터베이스 계층에서 고객 워크스페이스 간 격리.
• 최신 TLS를 이용한 전송 중 암호화와 데이터베이스, 파일, 백업의 저장 시 암호화.
• 125개 이상 국가에 걸친 분산 암호화 서비스 제공.
• 보안 관련 작업에 대한 추가 전용 감사 로그.
• 광고 계정 비밀번호 미저장, 플랫폼 사용자 또는 파트너 권한을 통해서만 접근.
• 서명 및 재전송 방지가 적용된 웹훅과 데이터 수집.
• 모든 릴리스 전 자동화된 비밀 정보 스캔과 테스트.
• 정의된 에스컬레이션과 고객 통지를 포함한 사고 대응 절차.