개인정보 처리 위탁 계약서(DPA) 양식

개인정보 처리 위탁 계약서(DPA)

계약 당사자: 위탁자 · 수탁자

제1조 (목적과 서비스 계약과의 관계)

① 이 계약은 수탁자가 위탁자를 위하여 개인정보를 처리하는 방법을 정한다. 이 계약은 당사자 사이의 다음 계약(이하 "서비스 계약"이라 한다)에 더하여 적용되며, 서비스 계약에 따른 용역을 제공하면서 수탁자가 위탁자를 위하여 하는 개인정보의 처리에 적용된다. 서비스 계약: [[서비스 계약의 이름과 체결일]]

② 개인정보에 관하여 이 계약과 서비스 계약이 충돌하면 이 계약이 우선한다. 그 밖의 사항에는 서비스 계약이 그대로 적용된다.

제2조 (용어)

① "개인정보"는 식별되었거나 식별할 수 있는 사람에 관한 정보를 말한다. "처리"는 수집, 저장, 이용, 전송, 삭제처럼 개인정보에 대하여 하는 모든 행위를 말한다. "위탁자"는 개인정보를 왜, 어떻게 처리할지 정하는 당사자이고, "수탁자"는 위탁자를 위하여 처리하는 당사자이다. "정보주체"는 개인정보가 관한 사람을 말한다.

② "재수탁자"는 수탁자가 처리의 일부를 맡기는 제3자를 말한다. "개인정보 침해 사고"는 개인정보가 우연히 또는 위법하게 파괴, 분실, 변경, 공개되거나 접근당하는 보안 사고를 말한다. 이 계약이 쓰는 그 밖의 용어로서 위탁자에게 적용되는 법령이 정의한 것은 그 법령이 정한 의미를 가진다.

제3조 (처리의 내용)

수탁자는 다음의 목적과 방식으로만 개인정보를 처리한다.

① 처리의 대상과 목적: [[처리의 목적. 예: 위탁자의 고객 데이터베이스 호스팅]]

② 처리의 성격: [[예: 저장, 백업, 지원을 위한 접근]]

③ 개인정보의 종류: [[예: 이름, 이메일 주소, 주문 내역]]

④ 정보주체의 범주: [[예: 고객, 직원]]

⑤ 기간: 서비스 계약이 유지되는 동안과, 그 뒤에는 반환과 삭제 조항에서 정한 기간으로 한다.

⑥ 개인정보에 법령이 특별히 민감하게 다루는 정보가 포함되는 경우 위탁자는 이를 수탁자에게 알렸다: [[없음 / 민감한 정보의 종류]]

제4조 (지시)

① 수탁자는 위탁자의 문서화된 지시에 따라서만 개인정보를 처리한다. 문서화된 지시란 이 계약, 서비스 계약, 그리고 용역의 범위 안에서 위탁자가 이후 서면 또는 전자적 방식으로 한 지시를 말한다. 수탁자는 자신의 목적을 위하여 개인정보를 처리하지 않는다.

② 수탁자는 지시가 적용되는 법령을 위반한다고 생각하면 지체 없이 위탁자에게 알리고, 위탁자가 확인하거나 바꿀 때까지 그 지시의 이행을 멈출 수 있다. 법령에 따라 수탁자가 다른 방식으로 처리해야 하는 경우, 법령이 금지하지 않는 한 수탁자는 미리 위탁자에게 알린다.

제5조 (담당자의 비밀유지)

수탁자는 용역을 위하여 개인정보가 필요한 사람에게만 접근을 허용하고, 그들이 계약이나 법령에 따른 비밀유지 의무를 지도록 한다. 이 의무는 그들이 수탁자를 위한 일을 마친 뒤에도 유지된다.

제6조 (보호조치)

① 수탁자는 위험, 기술 수준과 비용을 고려하여, 개인정보가 우연히 또는 위법하게 파괴, 분실, 변경, 공개되거나 접근당하지 않도록 적절한 기술적·관리적 보호조치를 취한다. 보호조치에는 적어도 다음이 포함된다. [[보호조치의 내용. 예: 접근 통제, 암호화, 백업, 로그 기록, 직원 교육 또는 첨부한 보안 설명의 참조]]

② 수탁자는 보호조치를 정기적으로 점검하며, 보호 수준이 낮아지지 않는 범위에서 바꿀 수 있다. 수탁자는 용역이 허용하는 범위에서 위탁자의 개인정보를 다른 고객의 데이터와 분리하여 관리한다.

제7조 (재수탁자)

① 위탁자는 수탁자가 재수탁자를 쓰는 것을 일반적으로 허락한다. 효력 발생일에 쓰고 있는 재수탁자는 다음과 같다. [[재수탁자의 이름, 위치와 업무. 없으면 없음]]

② 수탁자는 재수탁자를 추가하거나 바꾸려면 적어도 [[30]]일 전에 서면 또는 전자적 방식으로 위탁자에게 알린다. 위탁자는 그 기간 안에 개인정보 보호에 관한 합리적인 이유로 이의를 제기할 수 있으며, 이 경우 당사자는 성실히 해결책을 찾고, 찾지 못하면 위탁자는 영향을 받는 용역을 끝낼 수 있다.

③ 수탁자는 모든 재수탁자에게 이 계약보다 낮지 않은 수준의 개인정보 보호 의무를 지우며, 재수탁자의 행위에 대하여 위탁자에게 책임을 진다.

제8조 (정보주체의 권리와 그 밖의 지원)

① 수탁자는 처리의 성격을 고려하여, 정보주체가 법령이 준 열람, 정정, 삭제 등의 권리를 행사하는 요청에 위탁자가 답할 수 있도록 적절한 기술적·관리적 조치로 돕는다. 수탁자가 그러한 요청을 직접 받으면 지체 없이 위탁자에게 전달하며, 위탁자가 지시하지 않는 한 스스로 답하지 않는다.

② 수탁자는 보안, 침해 사고의 통지, 정보주체에 대한 위험 평가와 감독 기관과의 협의처럼 적용되는 법령에 따른 위탁자 자신의 의무를 위하여 위탁자가 합리적으로 필요로 하는 정보와 도움도 제공한다. 용역에 비추어 합리적인 범위를 넘는 도움에 대해서는 서비스 계약의 단가 또는 미리 합의한 금액으로 비용을 청구할 수 있다. [[포함된다 / 서비스 계약의 단가로 청구한다]]

제9조 (개인정보 침해 사고)

① 수탁자는 위탁자의 개인정보에 관한 개인정보 침해 사고를 알게 된 뒤 지체 없이, 어떤 경우에도 [[48]]시간 이내에 위탁자에게 알린다. 통지에는 알려진 범위에서 일어난 일, 관련된 사람과 기록의 종류와 대략적인 수, 예상되는 결과, 수탁자가 한 일과 할 일을 적는다. 아직 모두 알려지지 않았으면 나머지는 나누어 알린다.

② 수탁자는 침해를 막고 피해를 줄이는 합리적인 조치를 취하고, 법령이 요구하는 통지를 위탁자가 하는 데 협조한다. 법령이 달리 정하지 않는 한, 감독 기관과 정보주체에게 통지할지와 그 방법은 위탁자가 정한다.

제10조 (국외 이전)

① 수탁자는 다음 장소에서만 개인정보를 처리한다. [[개인정보를 저장하고 접근하는 국가 또는 지역]]

② 수탁자는 위탁자의 지시나 승인이 있는 경우에만, 그리고 위탁자에게 적용되는 법령이 허용하는 경우에만 다른 나라로 개인정보를 옮기거나 그곳에서 접근하도록 한다. 그 법령이 이러한 이전에 보호장치를 요구하면, 당사자는 이전 전에 이를 갖추고 서면 또는 전자적 방식으로 기록한다.

제11조 (점검과 정보 제공)

① 수탁자는 이 계약이 지켜지는지 확인하는 데 위탁자가 합리적으로 필요로 하는 정보, 예를 들어 서면 질문에 대한 답변과 수탁자가 가진 관련 보안 보고서나 인증서를 제공한다.

② 그것으로 부족하면 위탁자 또는 위탁자가 지정하고 비밀유지 의무를 지는 감사인이 점검을 할 수 있다. 점검은 침해 사고가 있었거나 법령이 더 요구하는 경우를 제외하고 [[12]]개월에 한 번을 넘지 않으며, 적어도 [[30]]일 전에 알리고 업무 시간 중에, 수탁자를 부당하게 방해하거나 다른 고객의 데이터를 위험에 빠뜨리지 않는 방식으로 한다. 점검 비용은 각자 부담하되, 점검에서 수탁자의 중대한 위반이 드러나면 합리적인 점검 비용은 수탁자도 부담한다.

제12조 (반환과 삭제)

서비스가 끝나거나 위탁자가 서면 또는 전자적 방식으로 더 일찍 요청하면, 수탁자는 위탁자의 선택에 따라 [[30]]일 이내에 모든 개인정보를 통상적인 형식으로 반환하거나 삭제하고, 재수탁자가 가진 사본을 포함하여 남아 있는 사본을 삭제한다. 다만 적용되는 법령에 따라 일부를 보관해야 하는 경우에는 그러하지 아니하다. 보관해야 하는 정보는 이 계약에 따라 계속 보호되며 법령이 요구하는 목적으로만 쓴다. 수탁자는 요청이 있으면 삭제 사실을 서면 또는 전자적 방식으로 확인해 준다.

제13조 (적용되는 개인정보 보호 법령)

① 개인정보 보호 법령은 나라마다 다르다. 각 당사자는 서비스와 관련하여 자신에게 적용되는 개인정보 보호 법령을 지킨다. 위탁자의 처리에 적용되는 법령은 다음과 같다. [[적용되는 개인정보 보호 법령. 예: 위탁자의 나라의 법]]

② 각 당사자는 자신에게 적용되는 개인정보 보호 법령이 이와 같은 계약에 무엇을 요구하는지 스스로 확인할 책임이 있다. 그 법령이 이 계약에 없는 조건이나 이 계약과 다른 조건을 요구하면 당사자는 서면 또는 전자적 방식으로 이를 더하거나 바꾸며, 그 뒤에는 이 계약이 그 조건과 함께 적용된다. 이 계약의 어떤 내용도 그 법령이 요구하는 것보다 낮은 보호를 주려는 것이 아니다.

제14조 (책임, 기간과 변경)

① 이 계약에 따른 각 당사자의 책임은 서비스 계약의 책임 조항에 따른다. 이는 법령상 제한할 수 없는 책임이나 적용되는 법령에 따라 정보주체가 가지는 권리에 영향을 주지 않는다.

② 이 계약은 수탁자가 서비스 계약에 따라 위탁자를 위하여 개인정보를 처리하는 동안 유지되며, 수탁자가 개인정보를 가지고 있는 동안 그 의무도 계속된다. 이 계약의 변경은 당사자가 서면 또는 전자적 방식으로 합의한 경우에만 효력이 있다.

제15조 (준거법 및 분쟁 해결)

이 계약은 준거법 항목에 적은 법에 따라 해석한다. 이 계약과 관련한 분쟁은 당사자가 먼저 성실히 협의하여 해결하고, 협의가 이루어지지 않으면 강행법규에 달리 정함이 없는 한 관할 항목에 적은 법원을 관할 법원으로 한다.

준거법

[[적용할 법률, 예: 대한민국 법]]

관할 법원

[[분쟁을 맡을 법원, 예: 서울중앙지방법원]]