데이터 처리 계약(DPA) — 이용약관 부속서 1

버전 1.0 — 2026년 11월 3일. 본 계약(umowa powierzenia przetwarzania danych osobowych, GDPR 제28조)은 PolyMatch 계정을 보유한 기업(이하 "고객")과 [성명], [등록 주소], 폴란드, NIP [NIP](이하 "PolyMatch") 간에 체결된다. 본 계약은 고객을 구속할 권한이 있는 자가 이용약관과 함께 동의하며, 고객 명의로 일자가 기재된 사본은 내 회사에서 다운로드할 수 있다.

1. 대상 및 범위

1.1 본 계약은 고객이 플랫폼에 업로드하거나 입력하는 콘텐츠에 포함된 제3자의 개인정보(이하 "고객 데이터"), 즉 고객의 협력업체, 거래처 또는 파트너의 연락처, 그리고 고객의 문서, 메시지, 프로젝트 또는 제안에 이름이 언급된 자에 관하여 PolyMatch가 고객을 위하여 수행하는 처리를 규율한다.

1.2 다음은 고객 데이터가 아니며, PolyMatch가 독립적인 컨트롤러로서 개인정보 처리방침에 따라 처리한다: 고객의 사용자 계정, 기업의 식별 및 등재 데이터, 그레이드의 기술 데이터, 기술적 측면에서의 프로젝트, 리드, 매칭 및 순위, 청구, 보안 및 활동 로그, 동의. 고객과 PolyMatch는 잠금 해제 후 기업 간에 교환되는 데이터에 대하여 각각 독립적인 컨트롤러이다.

1.3 처리의 내용: 성격 — 호스팅, 저장, 고객 및 그 사용자에 대한 표시, 고객이 플랫폼을 통하여 연결되는 기업에 대한 전달, 메시지의 자동 번역, 백업; 목적 — 약관에 기술된 서비스의 제공; 기간 — 계약 기간; 정보주체의 범주 — 고객의 협력업체, 거래처 및 파트너의 업무상 담당자, 고객의 사용자가 언급한 자; 데이터의 범주 — 직업상 신원, 직무, 업무용 연락처, 메시지 및 문서의 내용; 특수한 범주의 데이터(GDPR 제9조)는 예정되어 있지 않으며, 고객은 이를 업로드하지 않을 것을 약속한다.

2. 고객의 지시

2.1 PolyMatch는 고객의 문서화된 지시에 따라서만 고객 데이터를 처리한다. 지시란 이용약관, 본 계약, 그리고 고객 및 그 사용자가 플랫폼에서 수행하는 작업(업로드, 공유, 발송, 삭제)을 말한다.

2.2 PolyMatch는 어떤 지시가 GDPR 또는 그 밖의 데이터 보호 규정을 위반한다고 판단하는 경우 지체 없이 고객에게 알린다. PolyMatch는 유럽연합 법률 또는 회원국 법률이 요구하는 경우 지시 없이 고객 데이터를 처리할 수 있으며, 이 경우 법률이 금지하지 않는 한 고객에게 이를 알린다.

3. 고객의 의무

고객은 고객 데이터에 대한 법적 근거를 보유하고 있다는 점, 정보주체에게 정보를 제공하였다는 점, 그 지시가 적법하다는 점, 그리고 고객 데이터를 필요한 범위로 제한한다는 점을 보증한다. 고객 데이터에 관한 정보주체 및 당국의 요청에는 고객만이 답변하며, PolyMatch는 제6조에 따라 이를 지원한다.

4. PolyMatch의 의무

4.1 비밀유지: 고객 데이터를 처리할 권한이 부여된 자는 계약 또는 법률에 의하여 비밀유지 의무를 진다. 접근은 운영 및 지원에 필요한 범위로 제한된다.

4.2 보안: PolyMatch는 부속서 A의 기술적·관리적 조치를 시행하며, 그 전반적인 수준을 낮추지 않으면서 위험의 변화에 맞추어 이를 조정한다.

4.3 기록 및 협력: PolyMatch는 고객을 위하여 수행하는 처리 활동의 범주에 관한 기록을 유지하며, 요청 시 감독기관에 협력한다.

5. 하위 프로세서

5.1 고객은 부속서 B에 기재된 하위 프로세서의 이용에 대하여 일반적 승인을 부여한다. 부속서 B는 개인정보 처리방침에 게시된 목록을 그대로 옮긴 것이다.

5.2 PolyMatch는 하위 프로세서의 추가 또는 교체에 대하여 그 효력 발생 최소 삼십 일 전에 이메일로 고객에게 알린다. 고객은 그 기간 내에 정당한 데이터 보호상의 사유로 서면 이의를 제기할 수 있으며, 합의에 이르지 못하는 경우 고객은 변경의 효력 발생 전에 위약금 없이 계약을 해지할 수 있다.

5.3 PolyMatch는 각 하위 프로세서에 계약으로 자신의 의무와 동등한 데이터 보호 의무를 부과하며, 그 이행에 대하여 고객에게 계속 책임을 진다.

6. 지원 및 정보주체의 권리

6.1 PolyMatch는 처리의 성격을 고려하여, 정보주체가 그 권리(열람, 정정, 삭제, 제한, 이동, 이의 제기)를 행사하는 요청에 고객이 대응하는 것을 지원한다. 고객은 플랫폼 내에서 고객 데이터를 열람, 수정 및 삭제할 수단을 보유하며, 플랫폼으로 할 수 없는 사항에 대해서는 PolyMatch가 서면 요청에 따라 영업일 기준 십 일 이내에 조치한다.

6.2 정보주체가 고객 데이터에 관하여 PolyMatch에 직접 연락하는 경우, PolyMatch는 법률상 요구되는 경우를 제외하고 실체적인 답변을 하지 않고 그 요청을 고객에게 전달한다.

6.3 PolyMatch는 자신이 이용할 수 있는 정보의 범위 내에서, 보안, 침해 통지 및 영향평가에 관한 고객의 의무(GDPR 제32조부터 제36조까지) 준수를 지원한다.

7. 데이터 침해

PolyMatch는 고객 데이터에 영향을 미치는 개인정보 침해를 인지한 후 부당한 지체 없이, 늦어도 인지 후 사십팔 시간 이내에 고객의 관리자들에게 이메일로 고객에게 통지한다. 통지에는 침해의 성격, 관련된 정보주체 및 기록의 범주와 대략적인 수, 예상되는 결과, 취하였거나 제안하는 조치 및 연락 창구를 기재하며, 아직 확보되지 않은 정보는 확보되는 즉시 제공한다.

8. 유럽연합 역외 이전

고객 데이터는 유럽연합 내에서 호스팅된다. 하위 프로세서에 의한 제3국으로의 모든 이전은 적정성 결정 또는 유럽연합 집행위원회의 표준계약조항에 근거하며, 적절한 보완 조치를 수반한다. 부속서 B는 각 하위 프로세서에 적용되는 보호 조치를 명시한다.

9. 감사

9.1 PolyMatch는 본 계약의 준수를 입증하는 데 필요한 정보를 고객에게 제공한다: 보안 조치의 설명, 하위 프로세서 목록, 연 한 차례의 서면 질의서에 대한 답변.

9.2 현장 감사 또는 독립적인 제3자에 의한 감사는 연 한 차례, 또는 데이터 침해 후나 당국의 요청이 있는 경우, 삼십 일 전의 서면 통지로, 영업시간 중에, 업무를 방해하거나 다른 고객의 데이터에 대한 접근을 허용하지 않는 방식으로, 고객의 비용으로 실시할 수 있다. 감사 결과는 비밀로 한다.

10. 처리의 종료

10.1 계약이 종료되면 PolyMatch는 삼십 일 이내에 고객 데이터를 삭제한다. 다만 법적 보존 의무가 적용되는 경우에는 그러하지 아니하며, 이 경우 데이터는 해당 의무가 만료될 때까지 분리하여 보관된다. 고객은 계약 종료 전에 플랫폼의 기능을 통하여 스스로 데이터를 내보낸다.

10.2 고객의 지시에 따라 잠금 해제, 제안 또는 문서 공유를 통하여 다른 기업에 이미 전달된 고객 데이터는 해당 기업에 남으며, 해당 기업이 그 컨트롤러가 된다. 계약 종료 후 그레이드의 계속적인 등재(약관 제12.5조)는 기술 데이터 및 기업 데이터에 관한 것으로서, 이는 고객 데이터가 아니다.

11. 책임 및 기간

11.1 본 계약에 따른 각 당사자의 책임은, GDPR의 강행 규정이 달리 정하는 경우를 제외하고, 이용약관 제13조의 제한에 따른다.

11.2 본 계약은 계약의 전체 기간 동안 그리고 고객 데이터가 삭제될 때까지 적용된다. 본 계약은 폴란드 법률을 준거법으로 하며, 개인정보에 관한 사항에 대하여 약관과 충돌하는 경우 본 계약이 우선한다.

부속서 A — 기술적·관리적 조치

• ISO 27001 및 SOC 2 인증을 받은 사업자를 통한 유럽연합(아일랜드) 내 데이터 및 파일의 호스팅.
• 통신(TLS 1.2 이상) 및 저장 데이터의 암호화.
• 데이터베이스 수준에서 강제되는 기업별·역할별 데이터 분리(행 수준 접근 통제). 브라우저에서 민감한 테이블에 대한 직접 접근 불가. 민감한 기능은 서버만 실행 가능.
• 해시 처리된 비밀번호에 의한 인증, 유출된 비밀번호에 대한 보호, 7일간 활동이 없으면 세션 만료, 가입·로그인·비밀번호 재설정 시 봇 방지 확인, 요청 빈도 제한.
• 유효기간이 있는 서명된 링크를 통한 파일 접근. 기업 간 공유 문서의 등록부.
• 전용 보관소에 보관되며 코드에는 절대 포함되지 않는 기술적 비밀 정보. 기명으로 기록되는 관리자 접근.
• 암호화된 백업, 다른 사업자에 대한 파일 사본 보관, 복구 절차.
• 작업 및 오류의 기록. 계약상 통지의 발송이 실패하는 경우 경보.
• 각 릴리스 전 자동화된 테스트, 검토 및 보안 장치를 갖춘 개발. 출시 전 및 각 주요 변경 후 보안 감사.
• 데이터 처리 계약에 구속되는 하위 프로세서. 그 인증 및 이전 보호 조치의 확인.
• 침해 관리 절차: 탐지, 억제, 분석, 통지(제7조), 시정 조치.

부속서 B — 하위 프로세서

고객이 내 회사(계약 문서)에서 열람할 수 있는 목록. 모든 변경은 제5조의 절차에 따른다.