데이터 처리 계약

이 데이터 처리 계약(“DPA“)은 고객과 Adapty 간 체결된 Adapty 서비스 약관(아래 정의됨)의 일부로 통합되며 형성됩니다. 이는 고객의 사용과 Adapty의 서비스 제공을 규정합니다.

고객과 Adapty는 이하 “당사자“로 공동 지칭되며 개별적으로는 “당사“로 지칭됩니다. 당사자의 세부사항은 일정 1에 명시되어 있습니다.

Adapty 서비스 약관의 조건과 충돌하거나 일관성이 없는 경우, 이 DPA는 그러한 충돌 또는 일관성의 범위 내에서 다른 조건보다 우선합니다.

배경
DPA 및 모든 일정은 고객을 대신하여 Adapty가 처리하는 개인 데이터에 대한 양 당사자의 데이터 보호 의무를 명시하며, 이는 Adapty가 고객을 대신하여 처리하는 개인 데이터를 포함합니다. 이는 일정 1에 설명된 대로 적용 가능한 개인정보 보호법에 따라 진행됩니다.

1.1. Adapty 서비스 약관은 https://adapty.io/terms/에서 제공되는 서비스 약관 또는 고객과 Adapty 간의 기타 서면 또는 전자 계약을 의미합니다.

1.2. 적용 가능한 개인정보 보호법은 개인정보의 수집, 사용, 전송 및 공개를 규제하는 모든 법률, 규정, 규칙, 지침, 명령 또는 기타 법적 권리를 의미합니다.

1.3. 데이터 관리자란 개인정보 처리의 목적과 수단을 결정하거나 개인정보 처리에 관한 결정을 내리는 자연인 또는 법인을 의미합니다.

1.4. 데이터 처리자란 관리자를 대신하여 개인정보를 처리하는 자연인 또는 법인 또는 기타 기관을 의미합니다.

1.5. 데이터 주체 요청은 이 DPA의 3.2조에서 주어진 의미를 가져야 합니다.

1.6. 데이터 주체란 개인정보와 관련된 직접 또는 간접적으로 식별되거나 식별 가능한 사람을 의미합니다.

1.7. GDPR은 개인정보 처리에 관한 자연인 보호 및 해당 데이터의 자유로운 이동에 관한 유럽 의회와 EU 이사회의 규정 제2016/679호를 의미하며, 지침 제95/46/EC를 폐지합니다.

1.8. 영국 GDPR은 영국의 법률에 적용되는 EU 법률의 일반 데이터 보호 규정((EU) 2016/679)(EU GDPR) 버전을 의미하며, 이는 2018년 유럽연합(탈퇴) 법 제3조에 의해 잉글랜드, 웨일스, 스코틀랜드 및 북아일랜드의 법의 일부가 됩니다. 2019년 데이터 보호, 개인정보 보호 및 전자 통신(수정 등)(EU 탈퇴) 규정(SI 2019/419)에 따라 수정됩니다.

1.9. 개인정보는 식별되거나 식별 가능한 자연인과 관련된 모든 정보를 의미하며, 고객이 처리하기 위해 제공한 적용 가능한 개인정보 보호법에 의해 규제됩니다. 여기에는 식별되거나 식별 가능한 개인에 관한 정보가 포함됩니다.

1.10. 개인정보 침해란 이 DPA의 6.1조에서 주어진 의미를 가져야 합니다.

1.11. 처리, 프로세스, 및 프로세스는 개인정보의 사용과 관련된 모든 활동이나 적용 가능한 개인정보 보호법이 정의하는 처리, 프로세스 또는 프로세스를 의미합니다. 여기에는 자동화된 수단이 사용되든 사용되지 않든 상관없이 개인정보 또는 개인정보 세트에 대해 수행되는 모든 작업 또는 작업 집합이 포함됩니다. 여기에는 수집, 기록, 조직, 구조화, 저장, 수정 또는 변경, 검색, 상담, 사용, 전송에 의한 공개, 전파 또는 기타 방식으로 제공, 조정 또는 결합, 제한, 삭제 또는 파기가 포함됩니다. 처리는 개인정보를 제3자에게 전송하는 것도 포함됩니다.

1.12. 표준 계약 조항(SCC)란 유럽 연합 집행위원회에서 승인한 표준 계약 조항을 의미합니다(업데이트, 수정, 대체 또는 시기적절하게 유럽 연합 집행위원회에 의해 교체되고 변경된 경우). 유럽 연합 집행위원회가 표준 계약 조항을 수정된 또는 새로운 표준 계약 조항으로 교체하는 경우, 관련 감독 당국이 그러한 수정된 또는 새로운 표준 계약 조항의 사용을 승인하는 범위 내에서 여기에서 “표준 계약 조항”에 대한 참조는 그러한 수정된 또는 새로운 표준 계약 조항을 참조하는 것으로 해석됩니다.

1.13. 하위 처리자란 Adapty에 의해 참여된 제3자 데이터 처리자를 의미하며, 개인정보에 접근할 수 있거나 접근할 가능성이 있는 경우도 포함됩니다.

1.14. 하위 처리자 변경 통지는 이 DPA의 4.1조에서 주어진 의미를 가져야 합니다.

2.1. 당사자의 역할. 당사자는 개인 데이터 처리와 관련하여 고객이 데이터 컨트롤러이며 Adapty가 데이터 프로세서임을 인정하고 동의합니다.

2.2. 데이터 처리 세부사항. 개인 데이터 처리의 대상, 기간, 성격 및 목적, 개인 데이터의 유형 및 데이터 주체의 범주에 대한 사항은 일정 1에 명시되어 있습니다.

2.3. 처리의 범위. Adapty는 고객의 문서화된 합리적이고 관례적인 지침에 명시된 범위를 초과하여 개인 데이터를 처리하는 것을 자제해야 하며, 이는 Adapty 서비스 약관 또는 이 DPA에 명시된 사항입니다. 단, 그러한 처리가 Adapty에 적용되는 관련 법률에 의해 요구되는 경우는 제외됩니다.

2.4. 고객의 지침. 개인 데이터 처리에 대한 고객의 지침은 관련 개인정보 보호법을 준수해야 합니다. 고객은 개인 데이터의 정확성, 품질 및 법적 적정성에 대한 전적인 책임을 지며, 고객이 개인 데이터를 취득한 방법에 대해서도 마찬가지입니다. 제한 없이, 고객은 Adapty 서비스 약관 및 이 DPA의 조건에 따라 개인 데이터 처리에 대한 적절한 법적 근거와 권리가 있음을 보장할 책임이 단독으로 있습니다. 고객은 서비스 사용이 어떤 데이터 주체의 권리를 침해하지 않음을 구체적으로 인정하고 동의합니다.

2.5. 처리의 법적 근거. 고객은 Adapty 서비스가 고객이 취득해야 하는 입증된 법적 근거에 의존하고 있음을 인정하고 동의합니다. 고객은 그러한 법적 근거가 존재한다고 진술합니다.

2.6. 아동 개인 정보 보호. 고객은 아동의 개인 데이터(관련 개인정보 보호법에 설명된 대로)를 처리할 때 아동을 보호하기 위해 마련된 플랫폼 정책, 규정 및 관련 개인정보 보호법에서 규정한 추가 요구 사항을 준수해야 합니다. 이러한 법률 중 일부는 아동을 특히 보호하는 데 집중하고 있으며(COPPA 같은 사례) 다른 법률은 더 광범위하지만 아동에 대한 특정 보호 조항을 포함하고 있습니다(GDPR 및 유사한 지역 법률과 같은 경우).

3.1. 데이터 주체 요청에 대한 응답. 고객은 적용 가능한 개인정보 보호법에 따라 데이터 주체 권리를 행사하기 위한 요청에 대한 모든 법적 의무를 준수할 책임이 있습니다. 양측은 Adapty가 데이터 주체 요청에 응답할 수 있는 능력이 없음을 동의하고 인정합니다.

3.2. 데이터 주체의 요청. Adapty는 법적으로 허용되는 범위 내에서 데이터 주체가 적용 가능한 개인정보 보호법 아래 데이터 주체 권리를 행사하기 위해 요청을 받을 경우 즉시 고객에게 통지합니다(각각을 “데이터 주체 요청”이라 합니다).
데이터 주체의 권리를 이행하는 데 협력합니다. Adapty는 고객이 데이터에 응답할 수 있도록 적절한 기술적 및 조직적 조치를 포함하여 합리적이고 시기적절한 지원을 제공할 것입니다.

3.3. 요청. 고객이 Adapty에게 요청에 대한 응답을 지원해 달라고 요청할 경우, Adapty는 법적으로 허용되는 범위 내에서 그러한 요청에 응답하는 데 고객을 지원하기 위해 상업적으로 합리적인 노력을 기울일 것입니다.

3.4. 비용. 법적으로 허용되는 범위 내에서 고객은 Adapty의 그런 지원 제공으로 발생하는 모든 비용, 추가 기능 제공과 관련된 모든 수수료를 포함하여 부담할 책임이 있습니다. 이러한 경우 Adapty는 사전에 이러한 비용을 귀하에게 통지할 것입니다.

4.1. 서브 프로세서의 임명. 고객은 Adapty가 이 섹션 및 DPA의 제한 사항에 따라 서브 프로세서를 임명하는 것을 승인합니다. 고객은 Adapty가 고객의 사전 동의 없이 서브 프로세서를 참여시킬 수 있음을 인정하고 동의합니다. 제3자 서브 프로세서가 개인 데이터를 처리하는 것을 허용하는 조건으로, Adapty는 각 서브 프로세서와 개인 데이터에 대한 보호 의무를 포함하는 서면 계약을 체결하며, 이는 이 DPA의 보호 수준과 최소한 동일한 수준의 보호를 제공합니다. Adapty는 서브 프로세서의 추가 또는 교체와 관련하여 예정된 변경 사항에 대해 고객에게 서면으로 통지합니다 (이러한 변경 사항은 “서브 프로세서 변경 통지”로 명명됩니다). 고객은 이 DPA의 4.2 조항에 따라 서브 프로세서의 변경 사항에 이의를 제기할 수 있습니다.

4.2. 현재 서브 프로세서 목록. Adapty가 처리에 참여하는 현재 서브 프로세서 목록은 이 DPA의 부록 3에 제공됩니다. 서브 프로세서의 추가 또는 교체와 관련하여 변경 사항 발생 후 10일 이내에 Adapty는 이 DPA의 서브 프로세서 목록을 업데이트할 것입니다.

4.3. 책임. 각 서브 프로세서에 대해 Adapty는 다음과 같은 조치를 취해야 합니다: (i) 서브 프로세서가 DPA에 의해 요구되는 개인 데이터 보호 수준을 제공하도록 약속하는지를 보장하기 위한 합리적인 조치를 취해야 하며, (ii) 서브 프로세서가 이러한 의무를 이행하지 못하는 경우 고객에게 서브 프로세서의 데이터 보호 의무 이행에 대해 완전히 책임을 져야 합니다.

4.4. 서브 프로세서에 대한 이의 제기 권리. 고객은 서브 프로세서의 추가 또는 교체에 대한 Adapty의 예정된 변경 사항에 대해 합리적인 이의를 제기할 수 있습니다 (예: 개인 데이터를 서브 프로세서에게 제공하는 것이 적용 가능한 데이터 보호 법률을 위반하거나 해당 개인 데이터에 대한 보호를 약화시킬 수 있는 경우) Adapty에 서브 프로세서 변경 통지를 받은 후 10일 이내에 신속하게 서면으로 통지하여야 합니다. 고객의 통지는 이의 제기의 합리적인 근거를 설명해야 합니다.
고객이 이러한 이의 제기를 Adapty에 통지하는 경우, 당사자들은 상업적으로 합리적인 해결책을 달성하기 위해 선의로 문제를 논의할 것입니다. 이러한 이의 제기가 15일 이내에 해결되지 않을 경우, 서브 프로세서가 참여하지 않으면 처리가 적절하게 진행될 수 없기 때문에, Adapty는 이 DPA에 따라 추가 처리를 거부하고 Adapty 서비스 약관을 책임 없이 종료할 권리가 있습니다.

5.1. EU에서의 전송. 개인 데이터의 처리가 GDPR에 의해 보호되는 한, 당사자는 이러한 전송이 SCC의 적용을 받으며, 이는 본 DPA에 참조로 포함되어 이의 필수적인 부분을 나타냅니다. SCC의 옵션 및 부속서는 본 DPA의 부록 4에 따라 작성된 것으로 간주됩니다.

5.2. 스위스에서의 전송. 개인 데이터의 처리가 1992년 6월 19일 스위스 연방 데이터 보호법(“FADP”)에 의해 보호되는 한, 당사자는 이러한 전송이 스위스 법률을 준수하도록 SCC가 필요로 하는 수정 사항의 적용을 받는다고 동의합니다. 이로 인해 스위스에서 제3국으로의 데이터 전송을 위한 적절한 보호 수준을 보장하는 데 적합하게 됩니다. 수정 목록은 개인 데이터를 데이터 보호 수준이 부족한 국가로 전송하는 4.3 조항에 제공됩니다. 이는 2021년 8월 27일에 작성된 표준 계약 조항 및 모델 계약을 기준으로 하며, 연방 데이터 보호 및 정보 위원회에 의해 승인되었습니다(자세한 내용은 https://www.edoeb.admin.ch/edoeb/en/home/data-protection/handel-und-wirtschaft/transborder-data-flows.html에서 확인할 수 있음).

5.3. 영국에서의 전송. 개인 데이터의 처리가 UK GDPR에 의해 보호되는 한, 당사자는 이러한 전송이 유럽연합의 국제 데이터 전송을 위한 표준 계약 조항의 국제 데이터 전송 추가 조항의 적용을 받는다고 동의합니다. 이 추가 조항은 https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf에서 확인할 수 있으며, 영국 정보 커미셔너 사무실, 의회 또는 국무장관에 의해 채택되고 수정되거나 업데이트됩니다.

6.1. 기술 및 조직적 조치. Adapty는 개인 데이터의 적절한 수준의 보안, 비밀성 및 무결성을 보장하기 위해 적절한 기술적 및 조직적 조치를 구현하고 유지해야 하며, 필요하고 해당되는 경우 GDPR의 제32조에 언급된 조치를 포함하여, 본 DPA의 부록 2에 명시된 조치를 통해 개인 데이터를 다음으로부터 보호해야 합니다:

1. 우발적이거나 불법적인 파괴, 및
2. 손실, 변경, 무단 공개 또는 개인 데이터에 대한 접근(각각을 “개인 데이터 위반”이라고 함).

6.2. 준수 관리. Adapty는 본 DPA의 부록 2에 제공된 조치의 준수를 정기적으로 모니터링합니다.6.3. 준수 보장 지원. 처리의 성격과 Adapty에게 제공되는 개인 데이터를 고려하여, Adapty는 고객이 GDPR 제32조에서 제36조에 따른 의무를 준수하도록 지원합니다.

7.1. 개인 데이터 유출 통지. Adapty가 개인 데이터 유출을 인지하는 경우, Adapty는 법에서 허용하는 범위 내에서 고객의 개인 데이터에 영향을 미치는 개인 데이터 유출을 Adapty 또는 어떠한 하위 프로세서가 인지하는 즉시 고객에게 이메일로 지체 없이 통지하며, Adapty가 합리적으로 소유하고 있거나 통제할 수 있는 범위 내에서 합리적인 정보를 제공해야 합니다.

7.2. 협력. Adapty는 처리의 성격과 고객이 데이터 주체 또는 데이터 보호 당국에게 개인 데이터 유출을 통지해야 하는 의무를 충족할 수 있도록 지원하기 위해 Adapty가 제공할 수 있는 정보를 고려하여 협력을 제공해야 합니다. Adapty는 또한 개인 데이터 유출의 영향을 완화하거나 치료하기 위해 합리적으로 필요한 조치를 취해야 하며, 개인 데이터 유출과 관련된 모든 주요 개발 사항에 대해 고객에게 정보를 제공해야 합니다.

8.1. 고객의 감사 권리. Adapty는 이 DPA에 명시된 의무 준수 여부를 입증하는 데 합리적으로 필요한 모든 정보를 고객에게 제공하며, 고객 또는 고객이 위임한 다른 감사자가 이 DPA에 따른 의무 수행과 관련하여 수행하는 감사, 점검에 대해 기여하고 이를 허용합니다.

8.2. 감사 수행에 대한 Adapty의 협력. Adapty는 고객이나 그 제3자 감사자가 이러한 감사를 수행하는 데 합리적으로 필요한 모든 정보, 시스템 및 직원을 고객에게 제공해야 하며, 고객이 다음을 준수하는 경우에 한합니다:

8.2.1. 감사에 대해 사전에 45일(45) 통지를 제공하고; 및

8.2.2. 정상 근무 시간 동안 감사를 수행하고; 및

8.2.3. Adapty의 운영에 불필요한 방해를 주지 않기 위해 모든 합리적인 조치를 취합니다. 그러한 감사는 개인 데이터 처리와 관련된 정보의 범위 내에서만 엄격히 수행됩니다.

8.3. 감사의 매개변수. 당사자들은 감사 또는 점검의 범위, 타이밍 및 기간에 대해 상호 합의해야 합니다.

8.4. 기밀성. 이 DPA에 따른 모든 감사는 기밀 의무의 적용을 받습니다. 고객은 전체 감사 보고서를 Adapty와 공유해야 하며, 기밀 유지 의무가 있는 회계사 및 법률 고문 외의 제3자와는 공유해서는 안 됩니다. 고객은 Adapty의 이 DPA 준수 여부를 평가하는 목적 외의 다른 목적으로 이러한 감사 보고서를 사용해서는 안 됩니다.

8.5. 비용. 고객은 당사자 간에 달리 합의되지 않는 한, 이러한 감사의 비용을 부담합니다.

8.6. 감사 빈도. 고객은 12개월(12) 기간 내에 감사 권리를 한 번 이상 행사할 수 없으며, 단, 다음의 경우에는 예외로 합니다:

8.6.1. 유능한 데이터 보호 기관의 지침에 따라 필요할 경우; 또는

8.6.2. Adapty 및(또는) 하위 프로세서가 겪은 개인 데이터 유출로 인해 필요할 경우.

9.1. Adapty는 개인 데이터 처리 권한이 있는 직원의 신뢰성을 보장하기 위해 모든 합리적인 조치를 취하고, 해당 직원이 적절한 기밀 유지 의무를 지니며 항상 적용 가능한 개인정보 보호법을 준수하도록 행동하도록 해야 합니다.

10.1. (i) 본 DPA의 종료, (ii) 고객의 서면 요청, (iii) Adapty가 Adapty 이용약관 및 본 DPA에 따라 의무를 이행하기 위해 개인 데이터를 처리할 필요가 없게 되는 경우, 또는 (iv) 본 DPA 제4.4조에 따른 Adapty의 처리 거부 시, Adapty는 고객의 재량에 따라 모든 개인 데이터를 고객에게 삭제, 파기 또는 반환하며, Adapty가 특정 기간 동안 개인 데이터의 사본을 보관해야 하는 법적 의무가 있는 경우를 제외하고는 모든 기존 사본을 파기하거나 반환해야 합니다. 이러한 보존 기간이 만료되면, Adapty는 잔여 개인 데이터를 즉시 삭제하거나 파기해야 합니다.

10.2. 개인 데이터가 어떤 서브 프로세서에 의해 처리된 경우, Adapty는 지정된 경우 이러한 서브 프로세서가 이 섹션에 명시된 조건에 따라 보유하고 있는 모든 개인 데이터를 반환, 삭제 또는 파기하도록 보장해야 합니다.

11.1. “개인 정보”, “소비자” 및 이 섹션 11에서 사용되는 기타 대문자 용어는 2018년 캘리포니아 소비자 개인정보 보호법(California Consumer Privacy Act of 2018), Cal. Civ. Code §§ 1798.100 et. Seq에 명시된 의미를 가집니다(수시로 수정됨) (“CCPA”).

11.2. 당사자 간의 개인 데이터 공유는 오직 비즈니스 목적을 달성하기 위해서만 이루어지며, Adapty는 서비스에 대한 대가로 개인 데이터를 수령하거나 처리하지 않습니다.

11.3. 따라서 고객은 서비스 사용과 관련한 CCPA 준수에 전적으로 책임이 있습니다. 고객은 서비스 제공 과정에서 데이터 주체의 개인 데이터 공유 또는 이전이 개인 데이터 판매에 해당되는지를 판단하는 전적인 책임과 의무가 있습니다.

11.4. Adapty는 Adapty 서비스 약관에 명시된 서비스를 제공하는 이외의 상업적 목적으로 개인 데이터를 보유, 사용 또는 공개하지 않습니다.

12.1. 이 DPA는 Adapty 서비스 약관의 발효일에 따라 효력이 발생합니다. 이 DPA는 Adapty 서비스 약관이 유효한 한 계속해서 효력을 유지합니다.

13.1. 이 DPA의 어떤 조항이 전부 또는 일부가 무효, 비효력, 또는 집행불능이 되는 경우, 이 DPA의 다른 조항의 유효성, 효력 및 집행 가능성은 이에 의해 영향을 받지 않습니다.

13.2. 그러한 무효, 비효력, 또는 집행불능의 조항은 법률에 의해 허용되는 범위 내에서 유효하고 효과적이며 집행 가능한 조항으로 대체된 것으로 간주됩니다. 이 조항은 무효, 비효력, 또는 집행불능의 조항의 경제적 의도와 목적을 가장 가깝게 반영하며, 주제, 규모, 시간, 장소 및 적용 범위를 고려합니다.

13.3. 위의 규칙은 이 DPA에서 존재할 수 있는 어떤 간극을 메우기 위해 유사하게 적용됩니다.

14.1. 당사자들은 본 DPA(본 문서에서 언급된 일정 포함)와 본 문서에서 언급된 문서가 당사자 간의 전체 계약을 구성하고, 본 DPA의 주제와 관련하여 당사자 간의 서면 여부에 관계없이 모든 이전 초안, 계약, 약속, 이해, 조건 및 합의사항을 대체함을 명시적으로 선언합니다. 어떤 충돌하는 우선 사항의 명령을 무시합니다.

15.1. DPA는 Adapty 서비스 약관에 명시된 법에 의해 규율됩니다.

15.2. 당사자는 본 DPA 하에 발생하는 모든 분쟁 또는 청구에 대해 계약서에 명시된 관할권 선택에 따릅니다. 여기에는 그 존재, 유효성 또는 종료에 관한 분쟁이나 그 무효의 결과가 포함됩니다.

16.1. 충돌 또는 애매함이 있는 경우:

16.1.1. DPA의 어떤 조항과 Adapty 서비스 약관의 어떤 조항 간에, DPA의 조항이 우선합니다;

16.1.2. 본 계약의 어떤 조항과 실행된 SCC의 어떤 조항 간에, 실행된 SCC의 조항이 우선합니다.

3. SCC에 대한 부록 IA는 다음과 같이 채워진 것으로 간주됩니다:

• 데이터 수출자는 고객이며, 수출자의 세부정보는 DPA의 부록 1 (Part A)에 기술된 것과 동일합니다.
  SCC에 따라 전송된 데이터와 관련된 활동: Adapty 서비스 약관에 따라 서비스 제공을 위해 데이터 수입자에게 개인 데이터를 전송하는 것입니다.
• 데이터 수입자는 Adapty이며, Adapty의 세부정보는 DPA의 부록 1 (Part A)에 기술된 것과 동일합니다.
  SCC에 따라 전송된 데이터와 관련된 활동: Adapty 서비스 약관에 따라 서비스를 제공하기 위해 데이터 수출자로부터 개인 데이터를 수신하는 것입니다.

4. SCC에 대한 부록 IB는 DPA에 대한 부록 1과 동일하며, 부록 IB를 완료하기 위해 다음 세부정보가 포함됩니다: 전송의 빈도는 지속적입니다.

5. 부록 IC는 다음과 같이 완료됩니다: 아일랜드 공화국의 감독 당국입니다.

6. SCC에 대한 부록 II는 DPA에 대한 부록 2와 동일합니다.

7. SCC에 대한 부록 III는 DPA에 대한 부록 3와 동일합니다.