데이터 처리 계약

1. 당사자 및 적용 범위

본 데이터 처리 계약("DPA")은 GDPR 제28조에 따라 Chativ 고객("관리자")과 FOP Herasymiuk Nataliia Borysivna, 78/2 Myru Ave., apt. 1a, Khmelnytskyi 29015, Ukraine, RNOKPP 2871021324("처리자") 간에 체결됩니다. 본 DPA는 이용약관의 일부를 구성하며, 계정 생성 시 승낙된 것으로 간주되고 별도의 서명은 필요하지 않습니다.

본 DPA는 처리자가 서비스를 제공하면서 처리하는 관리자 고객의 개인 데이터에 적용됩니다.

2. 처리의 대상, 성격 및 기간

대상: 연결된 채널을 통한 메시지 수신 및 발송, AI 응답 생성, 대화 기록 및 리드 저장. 기간: 이용약관의 유효 기간 동안, 그리고 제9조에 따라 데이터가 삭제될 때까지.

3. 데이터 범주 및 정보주체

정보주체: 연결된 채널을 통해 관리자에게 연락하는 관리자의 고객 및 웹사이트 방문자, 워크스페이스를 사용하는 관리자의 직원.

연락처 데이터: 이름, 사용자 이름, 전화번호, 이메일 주소 — 정보주체 또는 채널이 제공한 경우
메시지 및 첨부 파일의 내용
채널 식별자(예: Instagram 또는 Facebook 사용자 ID) 및 위젯의 기술 데이터
관리자가 AI 에이전트를 통해 수집하는 리드 데이터

4. 처리자의 의무

관리자의 문서화된 지시, 즉 본 약관, 본 DPA 및 워크스페이스에서 설정한 사항에 따라서만 데이터를 처리할 것
데이터에 접근할 수 있는 자가 비밀유지 의무를 지도록 할 것
제6조에 기술된 보안 조치를 적용할 것
정보주체의 요청에 대응하고 GDPR 제32조부터 제36조까지에 따른 의무를 이행하는 데 있어 관리자를 지원할 것
지시가 데이터 보호 법률을 위반한다고 판단하는 경우 관리자에게 알릴 것

5. 하위 처리자

관리자는 하위 처리자 페이지에 게재된 하위 처리자의 이용에 대해 일반적 승인을 부여합니다. 처리자는 새로운 하위 처리자를 최소 30일 전에 해당 페이지 및 이메일로 공지합니다. 관리자는 합리적인 근거에 따라 이의를 제기할 수 있으며, 해결책을 찾지 못하는 경우 서비스를 해지할 수 있습니다. 처리자는 하위 처리자에게 본 DPA와 동등한 데이터 보호 의무를 부과하며, 이에 대한 책임을 계속 부담합니다.

6. 보안 조치

모든 연결의 암호화(TLS)
비밀번호 해싱, 데이터베이스 내 API 키 및 채널 액세스 토큰의 추가 암호화
워크스페이스 간 데이터의 엄격한 분리, 역할이 부여된 승인된 사용자만 접근 가능
EU(네덜란드) 내 호스팅
처리자 직원의 운영 데이터 접근은 지원 또는 유지보수에 필요한 경우로 한정

7. 개인 데이터 침해

처리자는 개인 데이터 침해를 인지한 경우 부당한 지체 없이, 어떠한 경우에도 인지한 때로부터 48시간 이내에 관리자에게 통지하며, 관리자가 감독기관에 신고하는 데 필요한 가용 정보를 제공합니다.

8. 국외 이전

데이터는 EU 내에 저장됩니다. 하위 처리자가 EEA 외부에서 데이터를 처리하는 경우(예: 미국의 AI 제공업체), 해당 이전은 EU-미국 데이터 프라이버시 프레임워크 또는 유럽연합 집행위원회의 표준계약조항에 근거합니다.

9. 데이터의 삭제 및 반환

계약 기간 중 관리자는 워크스페이스에서 리드를 삭제할 수 있으며, [email protected]을 통해 그 밖의 모든 데이터의 내보내기 또는 삭제를 요청할 수 있습니다. 처리자는 이러한 요청을 30일 이내에 처리합니다. 서비스 종료 후 처리자는 법률상 보관이 요구되는 경우를 제외하고 30일 이내에 관리자의 데이터를 삭제하며, 요청 시 삭제 전에 내보내기를 제공합니다.

10. 감사

처리자는 요청 시 본 DPA 준수를 입증하는 데 필요한 정보를 제공합니다. 현장 감사는 30일 전 통지로 연 1회 이내에 관리자의 비용으로 실시할 수 있으며, 침해가 발생한 경우에는 예외로 합니다.

11. 문의

데이터 보호 관련 문의: [email protected].