데이터 처리 계약 (DPA)

1. 범위 및 적용 가능성

본 데이터 처리 계약("DPA")은 Cemile Ceylan("처리자")과 고객("관리자") 간의 서비스 이용약관의 일부를 구성하며, MobVex 서비스 제공에 있어 처리자가 관리자를 대신하여 개인정보를 처리하는 경우에 적용됩니다. 본 DPA는 일반 개인정보 보호법(GDPR) 제28조를 준수합니다.

본 DPA는 엔터프라이즈 및 비즈니스 고객에게 적용됩니다. 본 DPA를 체결하려면 info@mobvex.io로 문의해 주시기 바랍니다.

2. 정의

• 개인정보: 식별되거나 식별 가능한 자연인과 관련된 모든 정보.
• 처리: 개인정보에 대해 수행되는 모든 작업(수집, 저장, 사용 등).
• 관리자: 처리의 목적과 수단을 결정하는 고객.
• 처리자: 관리자를 대신하여 데이터를 처리하는 Cemile Ceylan.
• 정보주체: 개인정보가 처리되는 대상 개인.
• 재처리자: 개인정보 처리를 위해 처리자가 참여시키는 제3자.

3. 처리의 성격 및 목적

처리자는 관리자에게 MobVex 서비스를 제공하기 위한 목적으로 개인정보를 처리합니다. 처리 활동에는 다음이 포함됩니다:

• 계정 데이터: 계정 관리를 위한 이메일 주소, 이름 및 인증 토큰.
• 청구 데이터: Paddle(재처리자)을 통해 처리되는 결제 정보.
• 이용 데이터: 도구 이용 로그, 크레딧 사용량 및 기능 상호작용 지표.
• 앱 인벤토리: 관리자가 제공한 패키지명 및 앱 식별자.
• 분석 결과: 관리자를 위해 생성된 보고서, 키워드 순위 및 리뷰 분석 결과.

4. 처리 기간

처리는 관리자의 계정 유지 기간 동안 및 계정 해지 후 최대 30일 동안 지속되며, 법률에 따라 더 긴 보존이 요구되는 경우는 예외로 합니다.

5. 처리자의 의무

처리자는 다음에 동의합니다:

• 이전에 관한 사항을 포함하여 관리자의 문서화된 지침에 따라서만 개인정보를 처리합니다.
• 개인정보를 처리할 권한이 있는 자가 기밀 유지 의무를 준수하도록 보장합니다.
• 적절한 기술적 및 관리적 보안 조치를 구현합니다(제7조 참조).
• 정보주체의 권리 행사 요청에 대응하는 데 있어 관리자를 지원합니다.
• 보안, 유출 통지 및 개인정보 영향평가(DPIA)와 관련된 GDPR 의무를 이행하는 데 있어 관리자를 지원합니다.
• 개인정보 유출을 인지한 즉시, 어떠한 경우에도 72시간 이내에 관리자에게 통지합니다.
• 서비스 종료 시 모든 개인정보를 삭제하거나 관리자에게 반환합니다.
• 준수 여부를 입증하는 데 필요한 모든 정보를 관리자가 이용할 수 있도록 제공합니다.
• 관리자 또는 권한을 부여받은 감사인이 수행하는 감사를 허용하고 이에 협력합니다.

6. 재처리자

관리자는 처리자가 다음 재처리자를 지정하는 것을 승인합니다:

처리자는 재처리자의 추가 또는 교체와 관련된 모든 예정된 변경 사항을 관리자에게 통지하여 관리자에게 이의를 제기할 수 있는 기회를 제공합니다.

7. 보안 조치

처리자는 다음과 같은 기술적 및 관리적 조치를 이행하고 유지합니다:

• 전송 중 데이터 암호화(TLS 1.2+) 및 유휴 상태 데이터 암호화(AES-256)
• 안전한 세션 관리를 포함한 접근 제어를 위한 Firebase Authentication 활용
• 콘텐츠 보안 정책(CSP) 및 보안 헤더(X-Frame-Options, XSS Protection)
• 정기적인 보안 업데이트 및 종속성 취약점 검사
• Google Cloud 인프라를 통한 방화벽 및 DDoS 방어
• 관리자 작업에 대한 접근 로깅 및 모니터링
• 프로덕션 시스템에 대한 내부 접근 시 최소 권한 원칙 적용
• 별도로 명시되지 않는 한 전적으로 us-central1 리전에 데이터 저장

8. 정보주체의 권리

처리자는 처리의 성격을 고려하여, GDPR(제12조~제23조)에 따른 정보주체의 요청에 대응할 관리자의 의무를 이행할 수 있도록 적절한 기술적 및 관리적 조치를 통해 관리자를 지원합니다.

정보주체의 요청은 info@mobvex.io로 전달되어야 합니다.

9. 국외 데이터 이전

개인정보는 미국에서 처리 및 저장됩니다. EEA(유럽연합 경제지역)에서 미국으로 이전하는 경우, 처리자는 표준계약조항(SCC) 및 적용 가능한 보충 조치에 의존합니다. Firebase 서비스에는 Google Cloud Platform의 GDPR 준수 데이터 처리 약관이 적용됩니다.

10. 책임

본 DPA에 따른 각 당사자의 책임은 서비스 이용약관에 규정된 제한 사항을 따릅니다. 본 DPA의 어떠한 내용도 과실 또는 고의적인 위법 행위로 인해 발생한 데이터 유출에 대한 당사자의 책임이나 법률에 의해 제한될 수 없는 책임을 제한하지 않습니다.

11. 체결

본 DPA는 자격을 갖춘 고객에 대한 서비스 이용약관에 참조로 포함됩니다. 별도의 서명된 계약 체결을 원하시는 엔터프라이즈 고객은 info@mobvex.io로 문의해 주시기 바랍니다.

12. 문의