CoSprint 개인정보 처리위탁 부속서 (DPA)

제1조 (위탁 업무와 개인정보)

위탁 기간은 약관에 따른 이용 계약 기간과 같습니다.

제2조 (목적 외 처리 금지)

회사는 고객사의 지시와 이 부속서에 따라 위탁 업무를 하는 데에만 개인정보를 처리하며, 그 밖의 목적으로 쓰거나 제3자에게 제공하지 않습니다. 회사는 고객 데이터를 AI 모델 학습에 쓰지 않습니다. 고객사의 지시가 법령에 어긋난다고 판단하면 즉시 알립니다.

제3조 (고객사의 책임)

고객사는 개인정보처리자로서 처리의 법적 근거를 갖추고, 정보주체에게 필요한 고지를 하고 동의를 받아야 합니다.

AI 인사평가에서는 업무 도구를 연결해 직원의 기록을 읽기 전에, 고객사의 사내 규정과 관련 법령이 요구하는 직원 안내, 동의, 노사 협의 등의 절차를 고객사가 마쳐야 합니다. 회사는 안내문 초안을 제공할 수 있으나 직원에게 직접 안내하지 않으며, 고객사가 이 절차를 마쳤다는 전제로 서비스를 제공합니다.

제4조 (안전성 확보 조치)

회사는 「개인정보의 안전성 확보조치 기준」에 따라 다음 조치를 합니다.

• 전송 구간과 저장 데이터의 암호화, 업무 도구 연결 정보의 암호화 보관
• 고객사별 데이터 분리
• 개인정보에 접근할 수 있는 회사 직원의 최소화, 접근 권한 관리와 접근 기록 보관
• AI 인사평가의 업무 도구 원문은 보관하지 않고, 분석 중에만 암호화된 처리 대기열에 둔 뒤 삭제
• 직원의 비밀 유지 서약과 정기 교육

제5조 (재위탁)

회사는 하위 처리자 목록(www.cosprint.ai/subprocessors)에 게시한 업체에 처리를 다시 맡길 수 있으며, 이 부속서와 같은 수준의 의무를 계약으로 지웁니다. 하위 처리자를 추가하거나 바꾸면 30일 전에 알리고, 고객사는 그 기간 안에 이의를 제기할 수 있습니다.

제6조 (국외 이전)

하위 처리자 처리 과정에서 개인정보가 국외로 이전될 수 있습니다. 회사는 「개인정보 보호법」 제28조의8 등 관련 법령이 정한 요건을 갖추고, 이전받는 자에게 이 부속서와 같은 수준의 보호 조치를 계약으로 지웁니다.

제7조 (정보주체의 권리 지원)

정보주체가 회사에 열람, 정정, 삭제, 처리 정지를 요구하면 회사는 지체 없이 고객사에 전달하고, 고객사가 요구를 처리할 수 있도록 필요한 기능과 정보를 제공합니다.

제8조 (개인정보 침해 사고)

회사는 위탁받은 개인정보의 유출 등을 알게 되면 지체 없이, 늦어도 24시간 안에 고객사에 알리고, 유출 항목, 경위, 피해 최소화 조치, 고객사가 할 일을 함께 전달합니다. 회사는 고객사가 법령에 따른 신고와 통지를 할 수 있도록 협조합니다.

제9조 (점검)

고객사는 회사가 이 부속서를 지키는지 확인하기 위해 자료를 요청할 수 있고, 회사는 보안 개요와 점검 결과 등 합리적인 자료를 제공합니다. 현장 점검이 필요하면 30일 전에 협의해 업무 시간 안에 실시합니다.

제10조 (위탁 종료 시 반환과 파기)

계약이 끝나면 회사는 고객사가 고객 데이터를 내려받을 수 있게 하고, 계약 종료일로부터 30일 안에 회사와 하위 처리자가 가진 위탁 개인정보를 파기한 뒤 파기 확인서를 드립니다. 법령에 따라 보관해야 하는 정보는 그 기간 동안 분리 보관한 뒤 파기합니다.

제11조 (손해배상)

회사가 이 부속서를 어겨 고객사나 정보주체에게 손해를 입히면 배상합니다. 배상 범위는 약관의 책임 제한 조항을 따르되, 법령상 제한할 수 없는 책임은 예외입니다.

제12조 (다른 나라의 법령)

고객사나 정보주체가 대한민국 밖에 있어 그 나라의 개인정보 보호 법령(일본 개인정보보호법, EU 일반개인정보보호법 등)이 적용되면, 회사는 그 법령이 수탁자에게 요구하는 의무를 함께 지키고, 필요하면 표준 계약 조항 등 별도 문서를 맺습니다.