데이터 처리 계약

이 문서는 여러 언어로 게시됩니다. 언어별 버전 간에 차이가 있는 경우 폴란드어 버전이 구속력을 가집니다.

버전 2.2 · 최종 업데이트: 2026년 10월 29일

일반 개인정보 보호 규정(GDPR) 제28조에 따른 컨트롤러를 대신한 개인정보 처리에 관한 계약

컨트롤러인 formexposed의 고객(“고객”)과 프로세서인 LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, NIP(폴란드 납세자 식별번호) 7252266190(“당사”) 간의 계약

서문: 본 계약의 내용

formexposed는 웹사이트 문의 양식의 스팸 및 남용 방지 보호 수준을 점검하고, 이를 모니터링하며, 변경 사항을 보고합니다. 이 과정에서 발생하는 데이터의 대부분에 대해서는 당사가 직접 컨트롤러입니다. 고객 계정, 요금 청구, 서비스 보안, 로그 및 계정 없는 점검이 이에 해당합니다. 당사의 개인정보 처리방침이 이러한 처리를 설명하며, 본 계약은 이에 적용되지 않습니다.

그러나 일부 기능은 제3자의 개인정보를 서비스로 가져오며, 그 데이터에 관해 결정하는 것은 고객입니다. 고객 웹사이트 방문자가 보낸 실제 문의의 사본, 고객의 알림을 받는 사람들의 주소, 테스트 계정의 로그인 정보, 고객이 당사에 작업을 맡긴 코드 등이 그 예입니다. 당사는 이러한 데이터를 오로지 고객을 대신하여 처리합니다. 본 계약은 이러한 데이터에 적용됩니다. 해당 기능의 세부 내용은 본 계약 말미의 부속서 1에 명시되어 있습니다.

본 계약은 GDPR 제28조(3)을 따르며, 구조와 내용 면에서 컨트롤러와 프로세서 간 유럽연합 집행위원회 표준 계약 조항(이행 결정 (EU) 2021/915)을 모델로 합니다. 이를 문자 그대로 채택하지는 않으나 실제 서비스를 설명합니다. 당사가 GDPR 제28조에 따른 의무를 더 구체적으로 규정하는 경우에도 동 규정의 보호 수준을 낮추어서는 안 됩니다.

§ 1 대상, 범위 및 역할

(1) 본 계약의 대상은 당사의 서비스 이용약관에 따른 서비스를 제공하면서 당사가 고객을 대신하여 수행하는 개인정보 처리입니다. 처리의 대상, 성격 및 목적, 개인정보의 유형 및 정보주체의 범주는 기능별로 부속서 1에 명시되어 있습니다.

(2) 본 계약은 당사가 직접 컨트롤러인 처리에는 적용되지 않습니다. 특히 고객 계정과 워크스페이스 구성원, 로그인 및 계정 보안, 요금 청구, 지원, 로그, 이러한 당사 자체 데이터의 백업, 계정 없는 무료 점검, 고객이 아직 관리 권한 증명을 제출하지 않은 계정 내 도메인의 점검, 잠재 고객 점검, 연구, 배지, 그리고 WordPress 플러그인과 TYPO3 확장이 전송하는 정보, 즉 일일 수치, 플러그인 목록, 연결된 WordPress 플러그인의 경우 군집 보호를 위해 차단된 메시지에 포함된 링크의 도메인(기본적으로 켜져 있음)이 이에 해당합니다. 그 밖에 이러한 확장의 구조상 이 데이터에는 방문자의 콘텐츠, 이름, 주소 또는 IP 주소가 포함되지 않습니다. 반면 고객 데이터를 포함하는 백업, 그리고 운영, 문제 해결 및 보안을 위한 고객 데이터 접근은 고객을 대신한 처리에 속하며, 이에 대해서는 § 7(3) 및 § 15(5)가 적용됩니다.

(3) 고객은 부속서 1의 데이터에 대하여 GDPR 제4조(7)에서 말하는 컨트롤러입니다. 고객 자신이 제3자를 위한 프로세서로 행동하는 경우(예: 고객사를 위한 에이전시), 당사는 해당 데이터에 대하여 하위 프로세서입니다. 이 경우 고객은 본 계약이 자신의 계약상 의무와 양립하도록 보장하며, 제3자의 지시는 오직 고객 자신을 통해서만 당사에 전달합니다.

(4) 체결: 본 계약은 회원가입 시 서비스 이용약관과 함께 모든 고객과 체결되며, 고객이 부속서 1의 기능을 전혀 사용하지 않는 경우에도 마찬가지입니다. 본 계약은 전자적으로 체결되며, 이로써 GDPR 제28조(9)를 충족합니다. 이를 위해 당사는 표시된 버전, 그 체크섬, 그리고 동의 시각, IP 주소 및 브라우저 식별 정보를 저장합니다.

§ 2 정의

“개인정보”, “처리”, “컨트롤러”, “프로세서”, “개인정보 침해” 등의 용어는 GDPR 제4조에서 정한 의미를 가집니다. 그 밖에 다음과 같습니다.

• 고객 데이터란 당사가 부속서 1에 따라 고객을 대신하여 처리하는 개인정보를 말합니다.
• 하위 프로세서란 당사가 위탁하여 그 과정에서 고객 데이터를 처리하는 추가 프로세서를 말합니다(GDPR 제28조(2) 및 (4)).
• 워크스페이스란 고객이 도메인, 설정 및 구성원을 관리하는 서비스 내 영역을 말합니다. 모든 고객 데이터는 하나의 워크스페이스에 할당됩니다.
• 텍스트 형식이란 지속적으로 보존할 수 있는 매체에 기록된 판독 가능한 모든 의사표시, 특히 이메일을 말합니다.
• 일이란 역일을 말합니다. 기간의 말일이 토요일, 일요일 또는 폴란드 공휴일인 경우, 기간은 다음 영업일에 종료됩니다.

§ 3 기간

(1) 본 계약은 당사가 고객 데이터를 처리하는 동안 적용됩니다. 본 계약은 회원가입 시 시작되며, 유료 요금제가 종료되었다는 사실만으로 종료되지 않습니다. 해지 후에도 계정은 무료 계정으로 계속 유지되며, 해당되는 경우 고객 데이터도 함께 유지됩니다. 본 계약은 계정이 삭제되고 당사가 백업 만료 전까지 백업에 남은 데이터(§ 15)를 제외하고 해당 고객의 고객 데이터를 더 이상 보유하지 않게 될 때 종료됩니다.

(2) 그 성질상 계속 효력을 갖는 의무, 특히 비밀유지, 삭제, 증빙 및 책임에 관한 의무는 계약 종료 후에도 존속합니다.

(3) 본 계약만을 통상 해지하는 것은 배제됩니다. 본 계약이 없으면 계정이 존재하는 동안 고객 데이터를 처리할 수 없기 때문입니다. 고객이 본 계약을 종료하려면 계정을 삭제합니다(§ 15(3)). § 9(3) 및 § 16에 따른 해지권과 서비스 이용약관에 따른 해지권은 영향을 받지 않습니다.

§ 4 지시

(1) 당사는 제3국 또는 국제기구로의 이전을 포함하여, 고객의 문서화된 지시에 따라서만 고객 데이터를 처리합니다. 당사에 적용되는 EU 법률 또는 회원국 법률이 처리를 요구하는 경우에는 그러하지 아니합니다. 이 경우 당사는 처리 전에 고객에게 해당 법적 요건을 통지합니다. 다만 해당 법률이 중대한 공익상의 이유로 그러한 통지를 금지하는 경우는 예외입니다(GDPR 제28조(3) 둘째 문장 (a)호).

(2) 고객의 지시는 본 계약, 서비스 이용약관 및 고객이 서비스에서 설정한 내용에 빠짐없이 문서화되어 있습니다. 예를 들어 전달 확인을 설정하는 것은 양식 이메일의 사본을 수신하여 평가하라는 지시이고, 알림 수신처를 만드는 것은 그곳으로 알림을 보내라는 지시이며, 테스트 계정을 저장하는 것은 로그인 후 스캔을 위해 그 계정으로 로그인하라는 지시입니다. 서비스는 이러한 설정이 정한 것만 수행하도록 구축되어 있습니다.

(3) 고객은 추가 지시를 텍스트 형식으로 contact@lukaswojcik.com 또는 지원 창을 통해 전달합니다. 지시 권한은 워크스페이스의 소유자와 관리자에게 있으며, 서비스 내 설정을 통한 지시는 그 역할상 해당 설정을 할 수 있는 사람이 합니다. 고객은 구두 지시를 지체 없이 텍스트 형식으로 확인합니다. 그때까지 당사는 지시의 이행을 보류할 수 있으나, 데이터의 삭제 또는 처리 제한에 관한 지시는 예외입니다. 합의된 서비스 범위를 넘는 지시는 서비스 변경 요청으로 취급하며, 당사는 이를 거절하거나 사전에 텍스트 형식으로 고지한 보수를 조건으로 할 수 있습니다. 삭제처럼 GDPR상의 의무에 관한 지시는 이를 이유로 거절하지 않습니다.

(4) 당사가 판단하기에 지시가 법률을 위반하는 경우, 당사는 즉시 고객에게 통지합니다(GDPR 제28조(3) 둘째 단락). 당사는 고객이 지시를 확인하거나 수정할 때까지 그 이행을 중단할 수 있습니다. 명백히 위법한 지시는 이행하지 않습니다. 당사는 모든 지시에 대해 포괄적인 법적 검토를 수행할 의무가 없으며, 지시의 적법성에 대한 책임은 고객에게 있습니다.

§ 5 목적 제한 및 고객 데이터로 하지 않는 일

(1) 당사는 부속서 1의 목적을 위해서만, 그리고 해당 기능에 필요한 범위에서만 고객 데이터를 처리합니다.

(2) 당사는 고객 데이터를 당사 자신의 목적으로 사용하지 않습니다. 특히 광고 목적으로 분석하거나, 판매하거나, 다른 고객의 데이터와 결합하여 프로필을 만들거나, 언어 모델 학습에 사용하지 않습니다. 개별 기능을 지원하는 언어 모델은 당사 자체 서버에서 실행되며, 외부 AI 서비스로 아무것도 전송되지 않습니다.

(3) 고객은 당사가 고객 데이터로부터 더 이상 어떤 개인, 고객 또는 도메인에도 귀속시킬 수 없는 집계 수치(예: 전달, 오류 또는 점검 결과에 관한 수치)를 작성하는 것을 허용합니다. 집계는 본 계약에 따른 처리이며, 그 결과로 나온 수치는 더 이상 개인정보도 고객 데이터도 아닙니다. 당사는 이 수치로부터 개인을 재식별하려고 시도하지 않습니다.

§ 6 고객의 의무

(1) 고객은 당사에 지시하는 처리의 적법성에 대한 책임을 집니다. 여기에는 처리를 위한 법적 근거를 갖추는 것과 GDPR 제13조 및 제14조에 따라 정보주체에게 정보를 제공하는 것이 포함됩니다.

(2) 고객이 전달 확인을 사용하는 경우, 고객은 자신의 개인정보 처리방침에서 웹사이트 방문자에게 양식 이메일의 사본이 당사로 전송된다는 사실을 알립니다. 서비스는 도메인 페이지에 이를 위한 제안 문구를 표시하며, 추가 문구는 웹사이트용 개인정보 처리방침 문안에서 확인할 수 있습니다. 이 제안은 고객 자신의 판단을 대신하지 않습니다.

(3) 로그인 후 스캔을 위해 고객은 지정된 페이지를 읽는 데 필요한 권한만 가지며 고객, 환자, 회원 또는 직원의 실제 데이터를 표시하지 않는 전용 테스트 계정을 만듭니다. 고객은 실제 개인의 로그인 정보나 사용 권한이 없는 로그인 정보를 저장하지 않습니다. 이용 규칙은 허용되는 이용 및 악용에도 명시되어 있습니다.

(4) 고객은 피할 수 있는 한 특수 범주의 개인정보(GDPR 제9조)나 범죄 경력 관련 데이터(GDPR 제10조)가 서비스를 통해 처리되지 않도록 합니다. “Fix it for me”를 사용할 때 실제 개인정보가 포함된 코드를 붙여 넣지 않으며, 고객 포털은 보고서를 주문한 사람을 위해서만 만듭니다.

(5) 고객 포털: 구독자에게 보내는 월간 보고서에 대해서는 고객(대개 에이전시)이 컨트롤러입니다. 서비스는 확인 링크(더블 옵트인)를 통해 각 구독자의 확인을 받으며, 모든 이메일에서 구독 해지를 제공합니다. 동의가 보고서 내용까지 포함하는지는 고객이 판단합니다.

(6) 고객은 처리 과정에서 오류나 이상을 발견하면 지체 없이 당사에 알립니다.

(7) 고객이 배지를 삽입하는 경우, 이는 고객을 대신한 처리가 아니며 관련 처리는 당사의 개인정보 처리방침에서 설명합니다. 고객은 이를 자신의 개인정보 처리방침에 언급합니다.

§ 7 비밀유지

(1) 당사는 업무상 필요하고 비밀유지를 서약했거나 적절한 법적 비밀유지 의무를 지는 사람에게만 고객 데이터에 대한 접근을 허용합니다(GDPR 제28조(3) 둘째 문장 (b)호). 이 서약은 해당 업무가 끝난 후에도 계속 유효합니다.

(2) 현재는 소유자가 직접 서비스를 운영합니다. 추가 인원이 합류하는 경우, 처음 접근하기 전에 비밀유지 의무를 부과하고 개인정보 취급에 관한 교육을 실시합니다.

(3) 당사는 운영, 문제 해결, 지원 또는 남용 방지에 필요한 범위에서만 워크스페이스를 들여다봅니다. 지원 기능인 “고객으로 보기”는 1시간으로 제한되며, 비밀번호, 주소, 2차 인증 요소, 구독, 내보내기 및 삭제의 변경을 차단하고, 기록됩니다. 고객은 데이터 내보내기에서 이러한 접근 내역을 확인할 수 있습니다.

§ 8 처리의 보안

(1) 당사는 GDPR 제32조에 따라 위험에 적합한 보안 수준을 보장하는 기술적 및 조직적 조치를 취합니다. 이러한 조치는 기술적 및 조직적 조치 페이지에 설명되어 있습니다. 해당 페이지는 해당 시점에 그곳에 게시된 버전으로 본 계약의 일부를 구성합니다(부속서 2). 고객은 계약 체결 전에 이 설명을 열람할 수 있었습니다. 고객이 당사에 맡기는 처리에 대해 이러한 조치가 적절한 보안 수준을 제공하는지는 고객이 자기 책임하에 판단하며(GDPR 제28조(1)), 특히 부속서 1의 기능을 켜기 전에 판단합니다.

(2) 해당 페이지는 실제로 구현된 조치만 설명합니다. 계획되었으나 아직 구현되지 않은 사항은 그곳에 명시적으로 “계획됨”으로 표시되며, 구현될 때까지는 당사가 약속하는 조치에 포함되지 않습니다.

(3) 당사는 전체 보호 수준이 낮아지지 않는 한 기술 발전과 서비스 개발에 맞추어 조치를 조정할 수 있습니다. 모든 변경은 새 버전 번호와 날짜와 함께 해당 페이지 및 계약 문서 변경 사항 개요에 게시합니다. 변경으로 인해 기존에 설명된 조치가 대체 없이 삭제되거나 약화되는 경우, 당사는 추가로 최소 30일 전에 고객에게 텍스트 형식으로 통지하며, 고객은 새 하위 프로세서의 경우와 마찬가지로 이의를 제기할 수 있습니다(§ 9(3)). 위협에 대응하기 위해 조치를 급히 교체해야 하는 경우, 그로 인해 보호 수준이 낮아지지 않는다면 사전 통지 없이 교체할 수 있으며, 이 경우 지체 없이 사후 통지합니다.

§ 9 하위 프로세서

(1) 고객은 당사가 하위 프로세서를 위탁하는 것에 대해 일반적인 서면 승인을 부여합니다(GDPR 제28조(2)). 당사가 현재 위탁하고 있는 하위 프로세서는 그 소재지, 목적, 데이터, 처리 장소 및 제3국 이전 시의 근거와 함께 하위 프로세서 페이지에 나열되어 있습니다. 이 목록은 그곳에 게시된 버전으로 본 계약의 일부를 구성합니다(부속서 3). 그곳에 명시된 하위 프로세서에 대해서는 승인이 부여된 것으로 간주합니다.

(2) 당사는 하위 프로세서의 추가 또는 교체 예정 사항을 최소 30일 전에 계정 소유자의 주소로 이메일을 보내 고객에게 알립니다. 통지에는 하위 프로세서, 그 소재지, 관련 기능, 데이터, 처리 장소 및 이전 시의 근거가 명시됩니다. 동시에 예고된 변경 사항은 하위 프로세서 페이지와 변경 개요에도 표시됩니다.

(3) 고객은 개인정보 보호와 관련된 객관적인 사유가 있는 경우 이 30일 이내에 텍스트 형식으로 이의를 제기할 수 있으며, 이의 제기 시 그 사유를 밝힙니다. 그러면 당사는 고객과 함께 해결책을 모색합니다. 예를 들어 해당 기능을 새 하위 프로세서 없이 고객을 위해 계속 운영하거나 해당 기능을 끄는 방법이 있습니다. 해결책을 찾을 때까지 당사는 이 고객의 고객 데이터에 새 하위 프로세서를 사용하지 않으며, 기술적으로 불가능한 경우 해당 기능은 이 고객에 대해 중단됩니다. 해결책을 찾지 못하면 고객은 변경 시점을 기준으로 서비스 계약 또는 해당 서비스에 대한 계약을 해지할 수 있으며, 당사가 그 시점 이후에야 해결이 불가능하다고 알린 경우에는 그 통지를 받은 날로부터 14일 이내에 즉시 효력으로 해지할 수 있습니다. 그 결과 더 이상 이용할 수 없게 된 선불 기간에 대해서는 일할 계산한 금액을 환불합니다. 서비스 이용약관에 따른 당사의 통상 해지권은 영향을 받지 않습니다.

(4) 당사는 모든 하위 프로세서에게 본 계약이 당사에 부과하는 것과 동일한 개인정보 보호 의무, 특히 적절한 기술적 및 조직적 조치를 이행하기 위한 충분한 보장을 계약으로 부과합니다(GDPR 제28조(4) 첫째 문장). 당사는 각 하위 프로세서를 신중하게 선정하며, 위탁 전, 하위 프로세서가 조건을 실질적으로 변경하는 경우, 그리고 그 밖에는 당사 조치의 연례 검토 시에 이러한 보장이 존재하는지 확인합니다. 하위 프로세서가 인증서, 감사 보고서 또는 공개된 약관의 형태로만 증빙을 제공하는 경우, 그 증빙이 최신이고 유의미하다면 당사는 이를 근거로 확인합니다. 요청하시면 하위 프로세서와의 계약서 또는 그 개인정보 보호 조건의 사본을 고객에게 보내 드리며, 이때 영업 비밀 및 가격 같은 기타 기밀 정보는 사전에 가릴 수 있습니다.

(5) 하위 프로세서가 개인정보 보호 의무를 이행하지 않는 경우, 당사는 그 의무 이행에 대해 당사 자신의 행위와 마찬가지로 고객에게 책임을 집니다(GDPR 제28조(4) 둘째 문장). 당사가 하위 프로세서를 선정했다고 해서 어떤 책임도 고객에게 전가되지 않습니다. 하위 프로세서가 계약상 의무를 이행하지 않고 그것이 고객의 고객 데이터와 관련되는 경우, 당사는 지체 없이 고객에게 알립니다. 당사가 사실상 소멸하거나, 법적으로 존재하지 않게 되거나, 법적 승계인이 당사의 의무를 인수하지 않은 채 지급불능 상태가 된 경우, 고객은 하위 프로세서에게 고객 데이터의 삭제 또는 반환을 요구할 수 있어야 합니다. 당사는 하위 프로세서가 허용하는 범위에서 모든 하위 프로세서와 이를 합의합니다(표준 계약 조항 2021/915 제7.7조 (e) 참조).

(6) 고객이 서비스에서 직접 수신처로 설정했기 때문에만 데이터가 전송되는 수령인은 하위 프로세서가 아닙니다. 알림을 위한 채팅 서비스(Slack, Discord, Microsoft Teams, Google Chat 등)와 웹훅 주소가 이에 해당합니다. 수신처를 설정하는 것은 그곳으로 알림을 보내라는 지시이며, 이러한 제공자와의 계약 관계 및 제3국 이전에 필요한 근거는 고객의 책임입니다. 알림이 전달되는 시점까지 본 계약에 따른 당사 자신의 의무는 영향을 받지 않습니다. Telegram도 고객이 선택한 수신처이지만 작동 방식이 다릅니다. 당사는 수신자가 직접 봇과 연결한 채팅으로 당사 자체 봇을 통해 메시지를 보내며, Telegram은 이를 유럽경제지역 밖에서 처리합니다. Telegram을 선택함으로써 고객은 알림을 그곳으로 이전하도록 당사에 명시적으로 지시합니다(GDPR 제28조(3) 둘째 문장 (a)호). 이와 관련하여 Telegram이 당사의 하위 프로세서로 분류되어야 하는 경우, 이 수신처의 선택은 동시에 이 목적을 위한 GDPR 제28조(2)에 따른 개별 승인으로 간주됩니다. 이 이전이 GDPR 제5장의 어떤 근거에 따라 이루어지는지는 아직 최종적으로 확정되지 않았습니다. 확정된 근거 없는 이전을 피하고자 하는 경우 다른 수신처를 선택하십시오. 마찬가지로 당사의 인터넷 서비스 제공자처럼 데이터를 단순히 전송하기만 하는 서비스 제공자도 하위 프로세서가 아닙니다.

(7) 당사는 언어 모델용을 포함한 서버, 데이터베이스 및 컴퓨팅 용량을 폴란드에서 직접 운영합니다. 호스팅 또는 클라우드 제공자는 관여하지 않습니다.

§ 10 제3국으로의 이전

(1) 당사가 고객 데이터를 처리하는 당사 자체 서버는 폴란드에 있습니다. 하위 프로세서가 고객 데이터를 처리하는 경우, 그 장소는 부속서 3에 명시되어 있습니다. 유럽경제지역 밖의 국가로의 이전은 GDPR 제44조부터 제49조까지의 요건이 충족되는 경우에만, 그리고 § 4에 따른 고객의 지시가 있거나 § 9에 따라 승인된 하위 프로세서에 대해서만 이루어집니다.

(2) 각 하위 프로세서에 대한 근거(인증된 수령인의 경우 EU-미국 데이터 프라이버시 프레임워크에 관한 적정성 결정 같은 적정성 결정, 또는 GDPR 제46조(2)(c)에 따른 표준 계약 조항)는 하위 프로세서 목록에 명시되어 있습니다. 목록에 어떤 수령인에 대해 “확인 예정”이라고 표시된 경우, 근거가 문서화될 때까지 고객 데이터는 해당 수령인에게 전송되지 않습니다. 적정성 결정이 적용되지 않는 유럽경제지역 밖의 하위 프로세서를 위탁하는 경우, 당사는 그 하위 프로세서와 이행 결정 (EU) 2021/914에 따른 표준 계약 조항(모듈 3: 프로세서 대 프로세서)을 체결하고, 수입국의 법률과 관행이 그 준수를 허용하는지 사전에 평가하며, 필요한 보완 조치를 취하고 그 결과를 기록합니다. 고객은 요청 시 이 평가의 요약본을 받습니다.

(3) 고객이 직접 선택한 수신처로의 이전(§ 9(6))에 대해서는 고객이 근거에 대한 책임을 집니다.

§ 11 정보주체 권리 행사에 대한 지원

(1) 당사는 처리의 성격을 고려하여, 가능한 범위에서 적절한 기술적 및 조직적 조치를 통해 GDPR 제3장에 따른 정보주체의 요청에 대응하는 고객을 지원합니다(GDPR 제28조(3) 둘째 문장 (e)호).

(2) 고객은 이 중 상당 부분을 서비스에서 직접 처리할 수 있습니다. 알림 수신처, 테스트 로그인 및 자체 브랜딩을 변경하거나 삭제하고, 양식 여정을 변경하거나 끄고, 고객 포털을 철회하고(그 구독자는 워크스페이스가 삭제될 때까지 저장된 상태로 유지됨), 도메인을 그 데이터와 함께 삭제하고, 데이터 내보내기를 다운로드할 수 있습니다. 이것으로 충분하지 않은 경우, 텍스트 형식의 요청에 따라 당사가 지원합니다.

(3) 정보주체가 고객 데이터에 관한 요청으로 당사에 연락하는 경우, 당사는 그 요청에 대해 실질적으로 직접 답변하지 않고, 고객을 식별할 수 있는 한 지체 없이, 늦어도 접수 후 7일 이내에 고객에게 전달하며, 그렇게 했다는 사실을 해당 정보주체에게 알립니다. 고객을 식별할 수 없는 경우, 고객을 찾는 데 필요한 정보가 무엇인지 해당 정보주체에게 알립니다.

(4) 당사는 한 가지 한계를 솔직하게 밝힙니다. 당사는 전달 확인에서 받은 양식 이메일 사본을 데이터베이스에 저장하지 않으며, 이메일은 처리가 성공하면 메일함에서 삭제되고, 가져오기 또는 삭제 오류가 발생한 경우에는 지연되어 삭제됩니다. 따라서 특정 방문자에 관해서는 대개 더 이상 어떤 내용도 보유하고 있지 않다는 것만 말씀드릴 수 있습니다.

(5) 고객 데이터가 부정확하거나 최신이 아니라는 사실을 알게 되면 당사는 지체 없이 고객에게 알립니다. 그러면 고객은 서비스에서 직접 또는 당사에 대한 지시를 통해 이를 정정, 삭제하거나 처리를 제한할 수 있습니다.

§ 12 보안, 영향 평가 및 사전 협의에 대한 지원

(1) 당사는 처리의 성격과 당사가 이용할 수 있는 정보를 고려하여, GDPR 제32조부터 제36조까지에 따른 고객의 의무, 즉 처리의 보안, 침해의 통지 및 통보, 데이터 보호 영향 평가, 감독기관과의 사전 협의 의무를 준수하도록 고객을 지원합니다(GDPR 제28조(3) 둘째 문장 (f)호).

(2) 이를 위해 당사는 특히 조치에 대한 설명, 하위 프로세서 목록, 그리고 요청 시 데이터 흐름과 보관 기간에 관한 추가 정보를 제공합니다. 서비스의 위험에 대한 당사 자체의 평가는 데이터 보호 영향 평가에 게시되어 있으며, 고객은 이를 자체 평가에 활용할 수 있습니다.

(3) §§ 11 및 12에 따른 지원 중 고객이 서비스의 기능이나 게시된 문서를 이용해 스스로 할 수 없고, 역년당 4시간을 초과하는 노력이 필요하며, 당사의 본 계약 또는 GDPR 위반으로 인한 것이 아닌 지원에 대해서는, 당사는 그 초과 시간에 대해 사전에 텍스트 형식으로 고지한 시간당 요율로 보수를 청구할 수 있습니다. 요청 전달과 침해 통지는 항상 무료입니다. 당사는 법률상 제공해야 하는 지원을 지급이나 보수 합의를 조건으로 하지 않습니다.

§ 13 개인정보 침해

(1) 고객의 고객 데이터와 관련된 개인정보 침해를 알게 되면, 당사는 지체 없이, 가능하면 48시간 이내에 계정 소유자의 주소로 이메일을 보내 고객에게 통지합니다(GDPR 제33조(2)). 이는 고객이 감독기관에 대해 준수해야 하는 72시간 기한을 단축시키지 않기 위한 것입니다. 보안 사고가 고객의 고객 데이터에 영향을 미친다는 사실을 합리적인 확실성을 가지고 확인한 즉시 당사는 침해를 인지한 것으로 봅니다. 당사는 모든 의심 사항을 지체 없이 조사합니다. 하위 프로세서에서 발생한 침해도 하위 프로세서가 이를 당사에 통지하는 즉시 동일하게 적용됩니다.

(2) 통지에는 알려진 범위에서 GDPR 제33조(3)에 따른 정보, 즉 침해가 발생한 시점 또는 기간을 포함한 침해의 성격, 가능한 경우 관련 정보주체 및 기록의 범주와 대략적인 수, 추가 정보를 얻을 수 있는 연락 창구, 예상되는 결과 및 취했거나 제안하는 조치가 포함됩니다. 최초 통지 시점에 아직 확인되지 않은 사항은 추가로 지체 없이 제공합니다.

(3) 당사는 침해를 해소하고 그 결과를 완화하는 데 필요한 조치를 즉시 취하며, 추가 조치는 고객과 협의합니다. 당사는 모든 침해를 사실관계, 그 영향 및 취한 시정 조치와 함께 문서화하고, 요청 시 그 문서를 고객에게 제공합니다.

(4) 감독기관에 대한 신고나 정보주체에 대한 통지는 고객이 합니다. 당사는 고객의 지시가 있는 경우에만 이를 합니다.

(5) 제3자가 서비스에서 발견한 보안 취약점 신고는 보안에서 접수합니다.

(6) 본 조에 따른 통지와 당사의 협력은 의무 위반이나 책임을 인정하는 것이 아닙니다. 침해가 당사 자신이 컨트롤러인 데이터에도 영향을 미치는 경우, 당사는 해당 데이터에 대해 GDPR 제33조 및 제34조에 따른 당사 자신의 의무를 이행하며, 이때 그 목적에 필요한 범위에서만 고객의 고객 데이터를 공개합니다.

§ 14 증빙 및 감사

(1) 당사는 GDPR 제28조에 따른 의무 준수를 입증하는 데 필요한 모든 정보를 고객에게 제공하며, 고객 또는 고객이 위임한 감사인이 수행하는 검사를 포함한 감사를 허용하고 이에 협조합니다(GDPR 제28조(3) 둘째 문장 (h)호).

(2) 당사는 주로 문서를 통해 준수를 입증합니다. 조치에 대한 설명, 하위 프로세서 목록, 고객을 대신한 처리를 다루는 처리 활동 기록(GDPR 제30조(2)), 질문서에 대한 서면 답변, 그리고 요청 시 로그 또는 복원 테스트 결과의 발췌본이 이에 해당합니다. 당사는 질문서에 접수 후 30일 이내에 답변하며, 제4항에 따른 사유가 있는 경우에는 그 사유가 요구하는 만큼 신속하게 답변합니다. 외부 감사 보고서나 인증은 현재 없습니다. 누구도 그것이 있다고 오해하지 않도록 이를 밝혀 둡니다.

(3) 문서로 충분하지 않은 경우, 고객은 현장 감사를 포함한 감사를 요청할 수 있습니다. 고객은 정기 감사를 최소 30일 전에 텍스트 형식으로 예고하며, 그 대상, 예상 소요 기간 및 감사인을 명시합니다. 감사는 폴란드의 통상 영업시간 중에 이루어지며, 운영에 불필요한 지장이 없도록 일정을 잡습니다. 정기 현장 감사는 역년당 최대 1회 이루어지며, 제4항은 영향을 받지 않습니다.

(4) 긴급한 사유가 있는 경우 고정 대기 기간 없음. 개인정보 침해가 발생한 경우, 본 계약 또는 GDPR 위반에 대한 구체적인 징후가 있는 경우, 그리고 감독기관이 감사를 요구하는 경우에는 30일 예고 기간도, 연 1회 감사 제한도 적용되지 않습니다. 이 경우 감사는 그 사유가 요구하고 조직적으로 가능한 한 신속하게 이루어집니다.

(5) 고객은 비밀유지 의무를 지며 formexposed에 상응하는 서비스를 제공하지도 않고 그러한 제공자를 위해 일하지도 않는 감사인을 위임할 수 있습니다. 당사는 감사인에게 다른 고객의 비밀, 로그인 정보 또는 보안 정보를 반출하거나 기록하지 않도록 요구할 수 있습니다. 고객과 그 감사인은 감사 중에 당사 운영에 관해 알게 된 내용을 기밀로 취급하며, 본 계약 및 GDPR의 준수 여부를 확인하는 데에만 사용합니다. 관할 감독기관, 비밀유지 의무를 지는 자문인, 그리고 법률이 요구하는 범위에서는 이를 공개할 수 있습니다. 이러한 합의가 법정 감사권을 무력화해서는 안 됩니다.

(6) 각 당사자는 감사에 드는 자신의 비용을 부담합니다. 한 고객의 감사 및 질문서에 대한 당사의 총 노력이 역년당 8시간을 초과하는 경우, 당사는 그 초과 시간에 대해 사전에 텍스트 형식으로 고지한 시간당 요율로 보수를 청구할 수 있습니다. 다만 감사 결과 당사의 위반이 드러나거나 당사에 책임이 있는 제4항의 사유로 감사가 이루어진 경우에는 그러하지 아니합니다. 당사는 감사 자체를 지급 조건으로 하지 않습니다.

(7) 감독기관의 권한은 영향을 받지 않습니다. 당사의 관할 감독기관은 폴란드 개인정보보호청장(Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa입니다. 양 당사자는 요청 시 감사 결과를 포함하여 본 조에 따른 정보를 관할 감독기관에 제공합니다.

§ 15 삭제 및 반환

(1) 계약 기간 중에는 부속서 1의 보관 기간이 적용됩니다. 이 기간은 문서에 표시된 것과 동일한 설정에 따라 삭제하는 야간 실행 작업으로 시행됩니다.

(2) 반환과 삭제 중 선택. 처리가 종료된 후, 고객은 당사가 고객 데이터를 반환할지 삭제할지 결정합니다(GDPR 제28조(3) 둘째 문장 (g)호). 반환은 고객이 설정에서 기계 판독 가능한 파일로 직접 다운로드할 수 있는 데이터 내보내기를 통해 이루어지거나, 텍스트 형식의 요청에 따라 당사가 30일 이내에 수행하며, 이 경우 반환 가능한 범위에서 내보내기에 포함되지 않은 고객 데이터도 포함됩니다(제4항). 삭제는 도메인을 제거하여 그 데이터를 삭제하거나, 고객이 직접 실행하는 계정 삭제를 통해 이루어집니다. 고객이 반환과 삭제를 모두 원하는 경우, 먼저 내보내기를 다운로드한 후 삭제합니다.

(3) 고객이 선택하지 않고 계정을 삭제하는 경우, 이는 삭제를 선택한 것으로 간주됩니다. 계정이 삭제되면 고객이 단독 소유자인 워크스페이스는 모든 고객 데이터와 함께 운영 시스템에서 즉시 삭제됩니다. 워크스페이스에 다른 구성원이 있는 경우, 해당 워크스페이스는 가장 오래 소속된 구성원(관리자가 열람자보다 우선)에게 이전되며 삭제되지 않습니다. 이로써 그 구성원이 해당 워크스페이스의 고객이 됩니다. 이를 원하지 않으면 삭제 전에 다른 구성원이나 도메인을 제거하십시오. 계정에 대한 계약이 다른 방식으로, 예를 들어 서비스 이용약관에 따른 당사의 해지로 종료되는 경우, 당사는 해지 통지와 함께 고객에게 내보내기를 안내하며, 고객은 계약 종료 시까지 이를 다운로드할 수 있습니다. 당사는 늦어도 계약 종료 후 30일 이내에 고객 데이터와 함께 계정을 삭제하며, 이는 현재 수동으로 이루어집니다.

(4) 반환할 수 없는 것을 미리 밝혀 둡니다. 로그인 후 스캔을 위한 로그인 정보는 웹 서버가 이를 복호화할 수 없으므로 내보내기에 포함되지 않으며(부속서 1, 항목 5), 전달 확인에서 받은 사본은 처리 후 더 이상 존재하지 않고, “Fix it for me”의 코드는 아예 저장되지 않습니다.

(5) 백업. 데이터베이스는 매일 밤 백업됩니다. 각 백업은 14일 후 삭제됩니다. 운영 시스템에서 삭제된 고객 데이터는 그때까지 이전 백업에 남아 있습니다. 백업은 특정 시점의 변경되지 않은 이미지여야 하므로 백업 내 개별 기록을 선택적으로 삭제하지 않습니다. 만료될 때까지 백업은 데이터베이스 자체와 동일하게 보호되며 복원 및 복원 테스트에만 사용되고, 검색하거나 분석하지 않습니다. 백업을 복원해야 하는 경우, 당사는 서비스를 다시 가동하기 전에 백업 날짜 이후에 이루어진 삭제 요청 중 당사가 알고 있는 것을 다시 실행합니다. 따라서 어떤 기록이든 운영 시스템에서 삭제된 후 늦어도 14일이 지나면 백업에서도 사라집니다.

(6) 현재 당사에는 고객 데이터를 보관할 의무가 없습니다. EU 법률 또는 폴란드 법률에 따라 법정 보관 의무가 발생하는 경우, 당사는 해당 데이터를 삭제하는 대신 처리를 제한하고, 그 목적으로만 사용하며, 의무가 만료되면 삭제합니다.

(7) 요청 시 당사는 30일 이내에 텍스트 형식으로 삭제를 확인하며, 제5항 및 제6항에 따라 아직 남아 있는 것과 그 기한을 명시합니다.

§ 16 위반, 중단 및 해지

(1) 어떤 이유로든 본 계약에 따른 의무를 준수할 수 없는 경우, 당사는 지체 없이 고객에게 알립니다.

(2) 당사가 본 계약 또는 GDPR을 위반하는 경우, 고객은 위반이 시정될 때까지 해당 고객 데이터의 처리를 중단하도록 당사에 요구할 수 있습니다. 위반이 계속되거나 중대한 경우, 특히 당사가 위반을 통지받은 후 1개월 이내에 이를 시정하지 않거나 이에 관한 법원 또는 감독기관의 결정을 따르지 않는 경우, 고객은 중대한 사유로 서비스 계약을 해지할 수 있습니다. 계약 종료 이후 기간에 대해 미리 지급된 요금은 일할 계산하여 환불합니다.

(3) 고객이 § 4(4)에 따라 당사가 위법하다고 판단하는 지시를 고수하는 경우, 당사가 사전에 이를 고객에게 통지했고 고객이 1개월 이내에 지시를 변경하지 않는다면, 당사는 해당 서비스에 대한 계약을 해지할 수 있습니다.

(4) 해지 후에는 § 15가 적용됩니다.

§ 17 책임

(1) 정보주체가 입은 손해에 대해서는 GDPR 제82조가 적용됩니다. 이 책임은 서비스 이용약관의 책임 제한을 포함한 어떠한 계약상 책임 제한에 의해서도 제한되지 않습니다.

(2) 일방 당사자가 GDPR 제82조에 따라 정보주체에게 배상금을 지급한 경우, 그 당사자는 손해에 대한 상대방의 책임 비율에 해당하는 부분을 상대방에게 구상할 수 있습니다(GDPR 제82조(4) 및 (5)). 이 구상권 역시 서비스 이용약관의 책임 제한에 의해 제한되지 않습니다.

(3) 본 계약에 따른 고객과 당사 간의 그 밖의 모든 청구, 예를 들어 당사자 자신의 손해나 비용에 대한 배상 청구에 대해서는 법률이 허용하는 범위에서 서비스 이용약관의 책임 규정이 적용됩니다. 당사는 § 9(5)에 따라 하위 프로세서에 대해 당사 자신의 행위와 마찬가지로 책임을 집니다. 감독기관이 일방 당사자에게 그 자신의 위반을 이유로 부과한 과징금은 해당 당사자가 스스로 부담합니다.

(4) 정보주체나 감독기관이 일방 당사자에게 청구를 제기하는 경우, 그 당사자는 지체 없이 상대방에게 알리며, 양 당사자는 사실관계 규명에 협력합니다. 어느 당사자도 상대방에게 구상하려는 청구를 상대방의 동의 없이 인정하지 않습니다. 동의는 객관적인 사유 없이 거부할 수 없습니다.

§ 18 연락 창구 및 개인정보 보호책임자

(1) 고객은 본 계약, 지시 및 통지에 관한 개인정보 보호 문의를 contact@lukaswojcik.com 또는 지원 창 및 문의 페이지를 통해 보냅니다. 본 계약에 따른 당사의 통지는 계정 소유자의 이메일 주소로 발송되며, 고객은 이를 최신 상태로 유지합니다.

(2) 당사의 판단으로는 GDPR 제37조(1)의 요건이 충족되지 않으므로 당사는 개인정보 보호책임자(DPO)를 지정하지 않았습니다. 이것이 변경되면 본 계약에서 지정 사실을 알립니다.

§ 19 최종 조항

(1) 우선순위. 서비스 이용약관 또는 기타 계약의 조항이 본 계약과 충돌하는 경우, 고객 데이터 처리에 관한 모든 사항에서 본 계약이 우선하며, 고객 자신의 약관은 적용되지 않습니다. 개별 사안에서 본 계약의 변경 및 추가는 텍스트 형식으로 해야 하며 본 계약을 명시적으로 언급해야 합니다. 이는 본 계약의 일부가 되며 그 규정 범위에서 본 계약보다 우선합니다. 본 계약이 GDPR의 강행 규정과 충돌하는 경우, 해당 규정이 우선합니다.

(2) 변경. 당사는 다음 중 하나의 객관적인 사유가 있는 경우에만 본 계약을 변경합니다. 유럽연합 집행위원회의 새로운 표준 계약 조항을 포함한 법률 또는 법원 및 당국의 법률 해석의 변경, 서비스, 그 기능 또는 기술적 기반의 변경, 서비스 제공에 필요한 제3자 측의 변경, 오남용 또는 보안 위험 방지, 오류 및 모호한 점의 정정. 당사는 변경된 문구, 사유 및 예정일을 명시하여 최소 30일 전에 계정 소유자의 주소로 이메일을 보내고 변경 개요에 게시하여 변경을 예고합니다. 이 예고 기간 없이 변경하는 것은 오로지 고객에게 유리한 사항, 순수하게 언어적인 성격이거나 명백한 오류를 정정하는 사항, 법률, 법원 또는 당국이 더 짧은 기한으로 요구하는 사항, 그리고 임박한 보안 위험을 막는 데 필요한 사항뿐이며, 이러한 경우에도 가능한 한 빨리 변경 사항을 알리고 그 사유를 밝힙니다. 침묵은 동의로 간주되지 않습니다. 변경에 고객의 동의가 필요한 경우 당사는 명시적으로 동의를 받으며, 동의가 없으면 이전 버전이 계속 적용되고 법정 및 계약상 해지권은 유지됩니다. 고객은 예고된 변경에 대해 효력 발생 시까지 텍스트 형식으로 이의를 제기할 수 있으며, 그 결과는 변경에 대한 이의에 관한 서비스 이용약관 규정에 따릅니다. 부속서 2 및 3의 변경에는 § 8(3)과 § 9(2) 및 (3)이 적용됩니다. 모든 버전은 계약 문서 변경 사항 개요에 기록됩니다.

(3) 준거법 및 관할 법원. 서비스 이용약관에서 정한 법률이 적용되며, GDPR의 강행 규정은 영향을 받지 않습니다. 관할 법원은 서비스 이용약관에 따릅니다.

(4) 언어. 본 계약은 유럽연합의 모든 공식 언어로 제공됩니다. 불일치가 있는 경우 폴란드어 버전이 우선합니다.

(5) 어느 조항이 무효인 경우에도 본 계약의 나머지 부분은 유효합니다. 무효인 조항은 그 목적에 가장 가까운 법률 규정으로 대체되며, 의심스러운 경우 GDPR 제28조(3)의 요건을 충족하는 조항으로 대체됩니다.

부속서 1 – 고객을 대신한 처리

본 부속서는 기능별로 처리의 대상, 성격 및 목적, 개인정보의 유형, 정보주체의 범주 및 삭제에 관해 설명합니다(GDPR 제28조(3) 첫째 문장). 달리 명시되지 않는 한 처리의 성격은 수집, 저장, 조회, 대조, 고객이 지정한 수신처로의 전송 및 삭제입니다. 처리 장소는 폴란드에 있는 당사 자체 서버이며, 하위 프로세서가 관여하는 경우 이를 명시합니다. 중괄호 안의 기간은 야간 삭제 작업이 실제로 따르는 설정값입니다. 처리 기간은 본 계약의 기간(§ 3)이며, 그 기간 내에서는 각 기능에 명시된 삭제 기한이 적용됩니다. 처리는 고객이 해당 기능을 사용하는 동안 지속적으로 이루어집니다. 특수 범주의 개인정보는 처리 대상이 아니며, 그럼에도 양식 이메일을 통해 서비스에 유입되는 경우 § 6(4)가 적용됩니다.

1. 전달 확인

목적: 고객 양식에서 보낸 이메일이 도착하는지, 그리고 진본인지(SPF, DKIM, DMARC) 확인합니다.

작동 방식: 이 기능은 선택 사항입니다. 고객은 자신의 양식에 확인용 메일함 주소를 숨은 참조(Bcc)로 입력합니다. 그 결과 당사 테스트 제출의 사본뿐만 아니라 방문자의 실제 문의 사본까지 모든 양식 이메일의 사본이 당사로 전송됩니다. 자동 가져오기 작업이 IMAP을 통해 헤더와 본문의 처음 최대 8 KB를 읽고, 이메일을 도메인 및 해당되는 경우 테스트 제출에 할당하며, 진본성 요소를 확인합니다. 처리가 성공하면 이메일은 메일함에서 삭제됩니다. 가져오기 또는 삭제 오류가 발생한 경우, 다음 성공적인 실행 시까지 메일함에 남아 있을 수 있습니다.

데이터: 이름, 이메일 주소, 전화번호, 메시지 등 방문자가 입력한 모든 내용을 담은 양식 이메일의 본문과 헤더, 그리고 발신자 및 수신자 주소와 관련 메일 서버에 관한 기술 정보.

정보주체: 양식을 제출하는 고객 웹사이트 방문자, 고객 측의 양식 이메일 수신자.

저장 및 삭제: 데이터베이스에는 시각, 도메인 할당, 해당되는 경우 테스트 제출 식별자 및 진본성 확인 결과만 저장됩니다. 시각과 할당은 180일간 보관되며, 진본성 확인의 최신 결과는 다음 이메일이 이를 대체하거나 도메인이 삭제될 때까지 도메인과 함께 보관됩니다. 진본성 확인 결과에는 전달한 메일 서버의 IP 주소와 발신자 주소의 도메인이 포함되며, 알림에는 이 도메인이 웹사이트에 속하지 않는 경우에만 표시됩니다. 방문자의 내용과 전체 발신자 주소는 데이터베이스에 저장되지 않습니다. 이메일 자체는 처리가 성공하면 메일함에서 삭제되며, 가져오기 또는 삭제 오류가 발생한 경우에는 지연되어 삭제됩니다.

관여자: 메일함을 위한 메일 서비스 제공자(Namecheap, Inc. (Private Email), Phoenix, Arizona, USA). 사본은 전달이 아니라 당사 도메인의 MX 레코드를 통해 직접 도달합니다. 하위 프로세서를 참조하십시오.

한계: 일치는 해당 사본이 확인용 메일함에 도착했음을 확인할 뿐이며, 실제 수신자의 수신이나 CRM 등록을 확인하지는 않습니다. 확인용 메일함 없이는 이 기능을 사용할 수 없습니다. 사본에는 특수 범주의 개인정보가 포함되지 않아야 합니다(§ 6(4)).

2. 고객 포털 및 구독자 대상 월간 보고서

목적: 고객(일반적으로 자사 고객사를 대상으로 하는 에이전시)을 대신하여 웹사이트 양식에 관한 월간 보고서를 발송하고, 이러한 보고서가 담긴 포털을 제공합니다.

데이터: 이메일 주소, 언어, 구독 시각 및 IP 주소, 확인(더블 옵트인) 시각 및 구독 해지 시각, 보고서 내용(도메인, 점검 결과, 수치).

정보주체: 보고서를 구독하는 고객의 고객사 및 담당자.

삭제: 확인되지 않은 구독은 30일 후 삭제됩니다. 구독 해지 후 구독, 확인 및 해지 기록은 고객이 동의를 입증할 수 있도록 3년간 보관됩니다. 모든 데이터는 늦어도 워크스페이스와 함께 삭제되며, 포털을 철회하는 것만으로는 그 구독자가 삭제되지 않습니다.

관여자: 발송을 위한 메일 서비스 제공자(Namecheap, Inc. (Private Email), Phoenix, Arizona, USA).

3. 알림, 보고서 및 인시던트

목적: 고객이 설정한 수신처로 알림, 요약 및 보고서를 전달하고 인시던트를 관리합니다.

데이터: 이메일 주소, 웹훅 및 채팅 채널 주소, 수신자가 연결한 후의 Telegram 채팅 ID, 알림 내용(도메인, 이벤트, 시각, 서비스로 연결되는 링크, 점검 알림의 경우 로그인 없이 결과와 스크린샷을 볼 수 있는 보고서 링크. Telegram에는 보고서 링크 대신 로그인이 필요한 계정 내 도메인 페이지 링크만 전송됨), 발송 로그, 인시던트 및 수신처별 에스컬레이션 전달 시도(횟수, 시각, 결과, 오류), 인시던트를 확인한 사람의 이름 또는 이메일 주소, 담당자 및 기한.

정보주체: 알림을 받거나 인시던트를 처리하는 고객의 직원 및 서비스 제공자.

삭제: 수신처는 고객이 이를 제거하거나 도메인을 삭제할 때까지, 발송 로그는 90일 후, 모아 보내는 알림은 발송 후 30일, 인시던트는 미해결 상태인 동안 및 해결 후 180일간 에스컬레이션 전달 시도와 함께 보관됩니다.

관여자: 이메일을 위한 메일 서비스 제공자(Namecheap, Inc. (Private Email), Phoenix, Arizona, USA), 채팅 서비스 및 웹훅의 경우 고객이 선택한 제공자(§ 9(6)).

4. 고객 웹사이트 점검: 우연히 보이는 사람들

목적: 고객이 관리 권한 증명을 제출한 도메인에서 양식과 그 보호 수준을 점검하고 모니터링합니다. 도메인에 대한 증명이 없는 동안에는 수동적으로만 점검하며, 이러한 점검에 대해서는 당사가 직접 컨트롤러입니다. 이는 개인정보 처리방침에 설명되어 있습니다.

데이터: 스캔은 도메인의 공개 페이지를 읽습니다. 페이지 주소, 양식의 구조(필드 이름, 유형, 레이블, 필수 및 표시 속성, 값 제외. 스캐너는 미리 채워진 숨김 필드와 data 속성의 앞부분을 점검 중에만 읽고 저장하지 않음), 삽입된 스크립트, 보호 조치가 이에 해당합니다. 홈페이지와 양식의 보이는 영역 스크린샷을 촬영하며, 능동적 테스트 제출의 경우 응답 페이지의 스크린샷도 촬영합니다. 이 스크린샷은 가림 처리되지 않습니다. 스크린샷과 읽어 들인 페이지 내용에는 담당자의 이름과 연락처, 사진 또는 후기처럼 고객이 직접 공개한 개인정보가 포함될 수 있습니다. 양식의 수신자 주소는 도메인 형태로만 저장합니다. 점검마다 서비스는 무작위 링크로 보고서를 생성하며, 이 링크를 통해 점검이 삭제될 때까지 로그인 없이 결과와 스크린샷에 접근할 수 있습니다. 이 링크는 계정과 알림(항목 3)에 표시됩니다. 링크를 전달하는 사람은 보고서를 전달하는 것입니다.

정보주체: 고객 웹사이트에 정보가 표시되는 사람.

삭제: 스크린샷을 포함한 점검 결과는 최대 13개월간 보관되며, 최신 점검은 도메인이 계정에 있는 동안 보관됩니다. 도메인을 제거하면 점검, 진단 결과 및 스크린샷을 포함한 해당 도메인의 데이터가 삭제됩니다.

참고: 규칙만으로 목적을 인식할 수 없는 양식은 당사 자체 서버의 언어 모델이 분류를 돕습니다. 이렇게 분류된 양식은 절대 제출되지 않으며 점수나 판정에 반영되지 않습니다. 능동적 테스트 제출(점검당 최대 5회)에는 개인정보가 없는 표시된 테스트 문구만 포함됩니다.

대상 요건을 충족하는 보고서의 실행 계획. 항목 4에서 설명하는 인증된 도메인의 점검에 대해서는 당사의 로컬 언어 모델이 호스트 이름, 양식 페이지 주소, 양식 유형, CMS 정보, 제공되는 경우 기존 위험 수준과 점수, 식별된 플러그인 및 실패 또는 불명확으로 판정된 발견 사항 중 선별한 항목을 바탕으로 간단한 우선순위별 실행 계획도 생성할 수 있습니다. 이러한 필드에는 부수적으로 개인정보가 포함될 수 있습니다. 프롬프트에는 스크린샷, 입력된 양식 값 또는 전체 페이지 소스가 포함되지 않습니다. 계획은 동일한 양식 보호 점검을 지원하며 웹사이트를 변경하거나 점수 또는 판정을 결정하지 않습니다. 임시 요청과 응답은 결과를 가져오거나 한 시간보다 오래된 항목이 예약 정리될 때까지 내부 작업 대기열에 보관됩니다. 이는 장애 중에도 무조건 삭제된다는 보장은 아닙니다. 가져온 계획은 동일한 보존 및 삭제 규칙에 따라 스캔과 함께 저장됩니다. 항목 4에서 설명한 인증되지 않은 도메인의 수동적 점검에 대한 역할 구분은 계속 적용됩니다.

5. 로그인 후 스캔을 위한 테스트 계정의 로그인 정보

목적: 고객이 지정한 로그인 뒤의 최대 5개 페이지에서 양식을 읽습니다. 인증된 도메인에 한하며, 워크스페이스의 소유자와 관리자만, 유료 요금제에서만 사용할 수 있습니다. 테스트 계정은 전체 점검에서만 사용되며 브라우저 점검(항목 6)에서는 사용되지 않습니다.

데이터: 로그인 주소, 테스트 계정의 사용자 이름과 비밀번호, 로그인 필드에 관한 정보, 그리고 읽은 페이지에서 이 계정에 보이는 내용 중 양식 구조와 관련된 부분.

정보주체: 테스트 계정이 특정인에게 할당된 경우 그 명의인, 테스트 계정에서 정보가 보이는 사람.

보호: 사용자 이름과 비밀번호는 웹 서버에서 스캔 서버의 공개 키로 암호화되며 도메인에 결합됩니다. 스캔 서버만 스캔 중에 이를 복호화할 수 있으며, 웹 서버, 데이터베이스 및 백업에는 암호문만 존재합니다. 로그인 정보는 절대 표시되지 않고, 기록되지 않으며, 인터페이스를 통해 출력되지 않습니다. 사용자 인터페이스에는 사용자 이름의 첫 글자와 길이만 표시됩니다. 로그인 뒤에서는 아무것도 제출하지 않고, 능동적 테스트를 수행하지 않으며, 스크린샷을 촬영하지 않습니다. 로그아웃, 삭제 또는 해지 페이지는 방문하지 않습니다.

삭제: 고객이 로그인 정보를 제거하거나 도메인을 삭제할 때까지 보관됩니다. 제거 시 암호문을 덮어쓰고 대기 중인 작업을 정리합니다. 개별 스캔 작업에 첨부된 사본은 실행 후 정리되며, 남은 잔여물은 늦어도 1시간 후 정리됩니다.

6. 양식 여정 및 브라우저 점검

목적: 설정된 양식이 실제 브라우저에서 제출 직전 단계까지 작동하는지 반복적으로 점검합니다.

데이터: 양식 주소, 선택자, 사전 클릭 및 점검 단계, 브라우저 선택, 담당자 및 기한, 상태, 기술적 오류 범주, 정제된 오류 메시지, 소요 시간 및 입력 필드를 가린 양식 스크린샷을 포함한 결과. 개인 관련성은 주로 담당자와 고객이 단계나 레이블에 직접 작성한 내용을 통해 발생합니다.

정보주체: 양식이 할당된 고객의 직원.

삭제: 설정은 도메인이 삭제될 때까지 보관됩니다. 고객은 설정을 개별적으로 변경하거나 끌 수 있지만, 현재 개별적으로 제거할 수는 없습니다. 결과는 13개월 후 삭제됩니다.

한계: 브라우저 점검은 아무것도 제출하지 않습니다. 독립적인 두 번째 프로브가 서비스에 예정되어 있으나 현재 설정되어 있지 않으며, 이것이 없으면 두 번째 위치에서의 확인은 이루어지지 않습니다. 제3자를 통해 설정되는 경우 § 9가 적용됩니다.

7. “Fix it for me”

목적: 고객이 붙여 넣은 양식 코드에 보호 구성 요소를 삽입합니다.

데이터: 붙여 넣은 코드에 주석, 샘플 값 또는 하드코딩된 주소 등으로 개인정보가 포함된 경우 그 코드.

정보주체: 코드에 정보가 나타나는 사람.

처리 및 삭제: 당사 자체 서버의 언어 모델이 구성 요소를 삽입합니다. 코드는 요청이 처리되는 동안에만 처리되며 저장되지 않습니다. 이 서비스는 고객 시스템의 로그인 정보 없이 작동하며 고객 서버에 아무것도 설치하지 않습니다.

8. 자체 브랜딩(화이트 라벨)

목적: 보고서와 고객 포털에 고객의 브랜드를 표시합니다.

데이터: 회사명, 웹사이트, 연락처 및 로고, 해당되는 경우 담당자의 이름과 연락처.

정보주체: 고객의 담당자.

삭제: 고객이 정보를 변경하거나 삭제할 때까지, 늦어도 워크스페이스와 함께 삭제됩니다.

9. 개인 관련성이 없는 보충 수치

WordPress 확장의 선택적 양식 및 필드 오류 수치에는 입력 내용, 필드 이름 또는 방문자 식별자가 포함되지 않으며, 13개월간 보관됩니다. 양식 여정 기록기는 고객의 브라우저에 단계를 최대 15분간 보관하며, 로컬 일일 카운터는 고객 웹사이트에 최대 14일간 남습니다. 전체 그림을 완전하게 보여 드리기 위해 여기에 열거하지만, 그 구조상 이들은 고객 데이터가 아닙니다.

10. 양식 보호(formconfirmed)

본 호는 고객이 양식 보호를 켜는 경우에만 적용됩니다(이용약관 제5.7조).

목적: 자동화된 제출을 식별하기 위해 고객 웹사이트의 양식을 통한 제출을 평가합니다.

작동 방식: 보호된 양식이 있는 페이지를 열면 방문자 브라우저의 스크립트가 당사 서버에서 서명된 과제를 가져와 풉니다(작업 증명). 제출 시 고객의 서버가 그 결과를 당사 검증 인터페이스에 제시합니다. 당사는 확인 토큰의 서명, 경과 시간, 일회성 사용 및 도메인과 함께, 작성 소요 시간, 보이지 않는 함정 입력란, 동일한 축약 주소에서 반복적으로 몰리는 요청 등 그 밖의 신호를 검증합니다. 고객이 내용 점검을 켜면 고객의 서버가 함께 보내는 메시지 본문을 언어 모델이 평가합니다. 반환되는 것은 권장 조치와 사유가 포함된 점수이며, 제출의 처리는 고객이 결정합니다. 쿠키, 브라우저 저장, 기기 지문은 없습니다.

데이터: 과제를 가져올 때와 검증 시의 방문자 IP 주소, 페이지의 주소와 도메인, 시점과 작성 소요 시간, 함정 입력란이 채워졌는지 여부, 웹 서버 로그의 브라우저 식별자. 내용 점검이 켜진 경우에만 메시지 본문.

정보주체: 보호된 양식이 있는 페이지를 열거나 그러한 양식을 제출하는 고객 웹사이트 방문자.

저장 및 삭제: IP 주소는 축약된 형태(IPv4는 마지막 바이트 제외, IPv6는 처음 48비트)로, 매일 바뀌는 키를 사용한 해시값으로만 1시간 동안 저장됩니다. 사용된 확인 토큰은 최대 11분, IP 주소와 본문이 없는 검증 결과(액션, 점수, 사유, 도메인, 내용 점검 범주)는 30일, 개인 관련성이 없는 일별 수치는 400일, 웹 서버 로그는 14일간 저장됩니다. 메시지 본문은 메모리에서만 처리되며 저장되거나 기록되지 않고 학습에도 사용되지 않습니다.

위치: 폴란드에 있는 당사 자체 서버이며, 언어 모델은 당사 자체 하드웨어에서 운영됩니다. 추가 하위 프로세서는 없습니다.

부속서 2 – 기술적 및 조직적 조치

조치는 기술적 및 조직적 조치 페이지에 명시되어 있습니다. 이 페이지는 해당 시점에 게시된 버전으로 본 계약의 일부를 구성하며, 변경에는 § 8(3)이 적용됩니다.

부속서 3 – 하위 프로세서

승인된 하위 프로세서는 하위 프로세서 페이지에 나열되어 있습니다. 이 페이지는 해당 시점에 게시된 버전으로 본 계약의 일부를 구성하며, 변경에는 § 9(2) 및 (3)이 적용됩니다.

출시 전 미결 사항: 예정된 메일 서비스 제공자는 Namecheap, Inc. (Private Email), Phoenix, Arizona, USA입니다. 이 용도에 적용되는 데이터 처리 계약, 실제 처리 장소 및 이전을 위한 적절한 근거는 아직 문서화되지 않았습니다. 이 버전은 체결된 계약이나 데이터 프라이버시 프레임워크에 따른 인증을 확인하지 않습니다.

버전

2026년 10월 29일 자 버전 2.2이며, 버전 2.1을 대체합니다. 변경 사항: 양식 보호 formconfirmed에 관한 부속서 1 제10호 신설. 이 조항은 고객이 양식 보호를 켜는 경우에만 적용됩니다. 그 밖의 조항은 변경되지 않습니다.

2026년 10월 22일 자 버전 2.1이며, 버전 2.0을 대체합니다. 변경 사항: 불일치가 있는 경우 이제 독일어 버전 대신 폴란드어 버전이 우선합니다. 본 계약은 유럽연합의 모든 공식 언어로 제공됩니다(언어 조항). 그 밖의 조항은 변경되지 않습니다.

2026년 10월 11일 자 버전 2.0이며, 2026년 10월 9일 자 버전을 대체합니다. 변경 사항: 표준 계약 조항 2021/915를 참조하여 GDPR 제28조(3)에 따른 구조로 개편, 부속서 1을 기능별로 완비하여 이제 로그인 후 스캔을 위한 로그인 정보, 양식 여정 및 전달 확인의 한계를 포함, 기술적 및 조직적 조치와 하위 프로세서 목록은 별도 페이지로 분리되어 부속서 2 및 3으로서 본 계약의 일부를 구성, 반환과 삭제 중 선택, 만료 기한이 있는 백업과 삭제 요청의 재실행, 긴급 감사 시 고정 대기 기간 없음, 하위 프로세서에 대해 당사 자신의 행위와 마찬가지로 책임.