BackendX 개인정보 처리 계약(DPA)

시행일: 2026년 10월 15일 최종 수정일: 2026년 10월 15일 문의: privacy@backendx.ai

본 개인정보 처리 계약("본 계약" 또는 "DPA")은 BackendX Inc. (주식회사 백엔드엑스)("회사")와 서비스 계정에 표시된 이용자("이용자") 간 BackendX 이용약관("약관")의 일부를 구성합니다. 본 계약은 GDPR 제28조 제3항이 요구하는 수탁자(processor) 조항과 대한민국 「개인정보 보호법」("PIPA") 제26조가 요구하는 처리 위탁 사항을 포함합니다.

회사는 생성된 서비스가 매니지드 호스팅 또는 고객 클라우드(회사 운영) 방식으로 배포되는 시점에 프로젝트 단위로 본 계약을 명시적 수락 방식으로 제시합니다. 각 수락은 문서 버전, 시각, 수락한 이용자 및 수락이 이루어진 IP 주소와 함께 기록되며(약관 제12.1조), 해당 프로젝트의 배포 설문 답변(아래 제4조)과 함께 그 프로젝트에 대한 개인정보 처리 계약을 구성합니다. 회사의 파일 저장 공간(약관 제8.8조)의 경우, 회사는 이용자가 프로젝트에서 이를 처음 사용하도록 설정하는 때에(그 프로젝트에 대하여 이미 본 계약이 수락된 경우는 제외합니다) 같은 방식으로 본 계약을 제시합니다.

---

1. 당사자 및 지위

• 개인정보처리자(위탁자): 이용자. 생성된 서비스를 통하여 처리되는 최종 이용자 개인정보의 개인정보처리자입니다.
• 수탁자: 주식회사 백엔드엑스(대표이사 문대경), 주소: 경기도 성남시 수정구 창업로 43, 업무동 4층 9호, 우 13449. 이용자를 위하여 이용자의 문서화된 지시에 따라 개인정보를 처리하는 수탁자의 지위에 있습니다.

최종 이용자 개인정보의 처리에 관하여 본 계약과 약관 또는 개인정보처리방침이 상충하는 경우, 본 계약이 우선합니다.

2. 적용 범위

1. 본 계약은 최종 이용자 개인정보, 즉 회사를 통한 배포의 과정에서 회사가 이용자를 위하여 처리하는, 이용자의 생성된 서비스의 최종 이용자에 관한 개인정보에 적용됩니다. 구체적으로 다음과 같습니다.
   • 매니지드 호스팅 — 약관 제2.2조에 기재된 생성된 서비스의 호스팅 및 운영 전반.
   • 회사의 파일 저장 공간 — 배포 옵션(자체 운영 포함)과 무관하게, 생성된 서비스가 약관 제8.8조의 파일 저장 공간에 저장한 최종 이용자의 파일과 그 메타데이터의 보관·제공.
   • 고객 클라우드(회사 운영) — 오류 이벤트 수집(약관 제10.3조) 및 이용자가 등록한 액세스 토큰의 권한 범위 내에서 수행되는 운영 행위(약관 제11조, 고객 클라우드의 배포·모니터링·스케일링 운영 지원 포함)의 과정에서 회사가 최종 이용자 개인정보를 처리하는 제한된 범위에 한합니다. 다만 당사자 간 별도의 운영 위임 계약이 달리 정하는 경우에는 그에 따릅니다.
2. 본 계약은 다음 각 호에는 적용되지 않습니다.
   • 플랫폼 데이터 — 이용자 본인의 개인정보(계정 정보, 요구사항, 인터뷰 대화, 결제 기록, 설문 및 수락 기록 등). 플랫폼 데이터에 대하여는 회사가 개인정보처리자이며, 개인정보처리방침이 적용됩니다.
   • 자체 운영(내보내기) 배포 — 회사가 생성된 서비스 또는 최종 이용자 데이터를 호스팅·운영·접근·처리하지 않는 경우(약관 제2.2조). 다만 그 생성된 서비스가 회사의 파일 저장 공간을 이용하는 경우 그 파일에는 본 계약이 적용됩니다.
   • 로그인 계정 데이터 — 생성된 서비스에 'Sign in with BackendX' 로그인이 연동된 경우, 최종 이용자가 만든 로그인 계정의 정보. 이에 대하여는 회사가 개인정보처리자이며 「BackendX 개인정보처리방침 — 로그인 이용자용」이 적용됩니다. 다만 생성된 서비스가 회사로부터 제공받은 서비스 전용 식별자를 자신의 데이터베이스에 저장한 경우, 그 저장된 식별자는 최종 이용자 개인정보로서 본 계약의 적용을 받습니다.

3. 정의

본 계약에서 별도로 정의하지 않은 용어는 약관에서 정한 의미를 가지며, 개인정보 보호 관련 용어("개인정보처리자", "수탁자", "개인정보", "처리", "개인정보 유출")는 GDPR 및 PIPA에서 정한 의미를 가집니다.

• 최종 이용자 — 이용자가 배포한 생성된 서비스와 상호작용하는 자연인(예: 이용자의 고객 또는 임직원).
• 최종 이용자 개인정보 — 제2.1조의 범위 내에서 회사가 이용자를 위하여 처리하는 최종 이용자의 개인정보.
• 재수탁자 — 최종 이용자 개인정보를 처리하기 위하여 회사가 이용하는 제3자.

4. 처리 내용(프로젝트 단위)

다음 기재 사항은 각 프로젝트에 대한 이용자의 배포 설문 답변으로 구체화되며, GDPR 제28조 제3항 및 PIPA 제26조 제1항이 요구하는 처리 내용의 기록을 구성합니다.

각 프로젝트에 대하여 기록된 배포 설문 답변은 본 조에 대한 프로젝트별 부속서로서 본 계약에 편입됩니다.

5. 문서화된 지시

1. 회사는 이용자의 문서화된 지시에 따라서만 최종 이용자 개인정보를 처리합니다. 문서화된 지시는 이용자가 승인한 요구사항 및 사양, 해당 프로젝트의 배포 구성 및 설문 답변, 서비스 상에서 이루어진 지시, 그리고 회사가 수락한 그 밖의 서면 지시로 구성됩니다. 약관 및 본 계약 자체도 문서화된 지시에 해당합니다.
2. 회사는 이용자의 지시가 GDPR, PIPA 또는 그 밖의 관련 개인정보 보호 법령에 위반된다고 판단하는 경우, 지체 없이 이용자에게 이를 알리고, 해당 지시가 확인 또는 수정될 때까지 그 이행을 보류할 수 있습니다.

6. 이용자(개인정보처리자)의 의무

이용자는 약관 제12.2조의 보증에 더하여 다음을 진술·보증합니다.

1. 이용자는 회사로 하여금 처리하게 하는 각 최종 이용자 개인정보 항목에 관하여, 생성된 서비스가 최종 이용자에게 제공되기 전까지 GDPR(제6조 및 해당되는 경우 제9조), PIPA 및 그 밖의 관련 법령상 유효한 처리 근거를 보유합니다.

2. 이용자는 회사를 통한 배포 방식으로 생성된 서비스를 최종 이용자에게 제공하기 전에, 해당 생성된 서비스에 적용되는 개인정보 처리방침을 게시하여야 합니다(약관 제12.3조). 이용자의 개인정보 처리방침에는 실제 처리 내용에 따라 최소한 다음 사항이 포함되어야 합니다.

   • 생성된 서비스의 운영자인 이용자가 최종 이용자 개인정보의 개인정보처리자라는 점;
   • 회사가 호스팅, 배포, 운영 지원, 오류 진단(제3자 AI 제공자를 이용한 오류 분석 및 고객 지원 답변 초안 작성 포함), 보안 및 이용자의 문서화된 지시에 따른 업무를 수행하는 수탁자라는 점;
   • 생성된 서비스에 'Sign in with BackendX' 로그인을 연동한 경우, 로그인 계정은 회사가 개인정보처리자로서 운영하며 생성된 서비스는 회사로부터 서비스 전용 식별자를 제공받는다는 점;
   • 최종 이용자로부터 수집·이용·저장·전송될 수 있는 개인정보 항목 또는 항목의 범주;
   • 각 개인정보 처리의 목적;
   • 개인정보의 보유·이용기간 또는 그 산정 기준;
   • 재수탁자, 국외 이전 또는 이용자가 이용하는 외부 서비스가 있는 경우 관련 법령이 요구하는 사항;
   • 최종 이용자의 권리 행사 방법 및 개인정보 관련 문의처.

   회사는 배포 설문, 생성된 데이터베이스 스키마 및 서비스 구성에 기초하여 위 사항 중 개인정보 항목, 처리 목적, 보유기간, 회사의 수탁 처리 범위 등에 관한 고지 문구 또는 초안을 제공할 수 있습니다. 이용자는 이를 검토하여 자신의 실제 서비스 운영 내용에 맞게 게시하여야 하며, 외부 결제, 마케팅, 분석, 파일 저장, 외부 로그인 또는 기타 이용자 고유의 처리 활동에 관한 필요한 고지를 추가할 책임을 부담합니다. 이용자는 회사가 제공한 고지 문구를 임의로 삭제하거나 회사의 실제 처리 범위를 축소·왜곡하여서는 안 됩니다.

3. 이용자는 최종 이용자로부터 필요한 동의를 받았거나 생성된 서비스가 최종 이용자에게 제공되기 전까지 받을 것입니다.

4. 생성된 서비스는 약관 제8.2조 또는 제8.3조의 범주에 해당하지 않으며, 배포 설문에서 신고한 개인정보 항목은 정확하고 완전합니다.

7. 회사(수탁자)의 의무

회사는 다음 각 호를 이행합니다.

1. 제4조에 기재된 위탁 업무의 범위 내에서만 최종 이용자 개인정보를 처리하고, 그 외의 목적으로 처리하지 않으며, 이를 회사 또는 제3자의 AI 모델 학습, 광고, 프로파일링, 다른 이용자 프로젝트의 개선 또는 독립적인 상업 목적에 이용하지 않습니다(PIPA 제26조). 제4조에 기재된 오류 원인 분석과 고객 지원 답변 초안 작성을 위한 제3자 AI 제공자의 이용은 위탁 업무의 범위에 포함되며, 회사는 해당 AI 제공자가 전송된 내용을 모델 학습에 이용하지 않도록 하는 계약 및 설정을 적용합니다.
2. 최종 이용자 개인정보를 처리할 권한이 있는 인원이 계약상 또는 법령상 비밀유지 의무를 부담하도록 합니다.
3. 부속서 II에 기재된 기술적·관리적 보호조치를 시행하고 유지합니다.
4. 제9조에 따라서만 재수탁자를 이용하며, 그에 기재된 승인 없이 재위탁하지 않습니다(PIPA 제26조 제6항).
5. 처리의 성격을 고려하여, 최종 이용자의 권리 행사 요청(GDPR 제3장, PIPA 제35조부터 제37조까지)에 대한 이용자의 대응 의무 이행을 적절한 기술적·관리적 조치로써 지원하며, 회사가 수령한 최종 이용자 권리 요청을 이용자가 지정한 개인정보 담당 연락처로 전달합니다(약관 제12.4조).
6. 처리의 성격 및 회사가 보유한 정보를 고려하여, GDPR 제32조부터 제36조까지 및 PIPA의 상응 규정(안전조치, 유출 통지, 개인정보 영향평가, 사전 협의)에 관한 이용자의 의무 준수를 지원합니다.
7. 서비스 제공 종료 시 이용자의 선택에 따라 최종 이용자 개인정보를 삭제하거나 반환하며, 구체적인 사항은 제13조에 따릅니다.
8. 본 계약 준수를 입증하는 데 필요한 정보를 이용자에게 제공하고, 제14조에 따른 점검에 협조하며, PIPA 제26조 제4항에 따른 이용자의 감독에 협력합니다.

8. 독립적 개인정보처리자 지위의 예외

약관 제10조 및 제8.8조에 기재된 보안·남용 방지·법령 준수 목적의 처리(사후 조사, 파일 저장 공간에 저장된 파일의 자동 검사와 위반 파일의 격리·신고, 증거 보전, 적법한 요구에 대한 대응을 포함)에 한하여, 회사는 필요한 최소 범위에서 독립적인 개인정보처리자의 지위에서 처리합니다. 제2.2조에 따라 본 계약이 적용되지 않는 경우를 제외하고, 그 밖의 모든 최종 이용자 개인정보 처리는 본 계약에 따른 수탁자의 지위에서 수행됩니다. 최종 이용자 개인정보에 미치는 사후 조사의 범위, 시기 및 수행 주체는 내부 감사 로그에 기록됩니다(약관 제10.5조).

9. 재수탁자

1. 이용자는 회사가 부속서 I에 기재된 재수탁자를 이용하는 것에 대하여 일반적 서면 승인을 부여합니다.
2. 회사는 재수탁자를 추가하거나 교체하려는 경우, 서비스 상에서 관리되는 재수탁자 목록의 갱신 및 이용자가 지정한 개인정보 담당 연락처에 대한 통지로써 최소 30일 전에 사전 통지합니다. 다만 재수탁자의 서비스 중단, 보안 사고 또는 법령상 요구 등으로 신속한 교체가 필요한 경우 회사는 30일보다 짧은 기간을 두고 교체 전에 통지할 수 있으며, 교체 전 통지가 불가능한 경우에 한하여 교체 후 지체 없이 같은 방법으로 통지합니다. 어느 경우에나 이용자는 제3항에 따라 이의를 제기할 수 있습니다.
3. 이용자는 합리적인 개인정보 보호상의 사유로 변경에 이의를 제기할 수 있습니다. 변경의 효력 발생 전까지 당사자 간 이의가 해소되지 않는 경우, 이용자는 해당 프로젝트를 다른 배포 옵션으로 전환하거나 프로젝트를 삭제할 수 있으며, 이 경우 요금은 결제 정책 및 관련 법령에 따라 처리됩니다.
4. 회사는 각 재수탁자에게 본 계약보다 보호 수준이 낮지 않은 개인정보 보호 의무를 서면 계약(재수탁자의 온라인 이용약관에 포함되거나 회사가 재수탁자의 서비스 계정을 통하여 수락한 개인정보 처리 약정 등 전자문서로 체결된 계약을 포함합니다)으로 부과하며, 재수탁자의 의무 이행에 관하여 이용자에게 전적인 책임을 부담합니다.

10. 국외 이전

1. 매니지드 호스팅으로 처리되는 최종 이용자 개인정보는 대한민국 내에 저장되며, 현재의 저장 위치는 AWS 아시아 태평양(서울) 리전(ap-northeast-2)입니다. 다만 오류 원인 분석 또는 고객 지원 답변 초안 작성을 위하여 오류 이벤트의 내용(자격증명을 삭제한 요청·응답 본문 및 스택 트레이스)이 부속서 I에 기재된 제3자 AI 제공자에게 전송되는 경우, 해당 정보는 미국 또는 실제로 AI API가 처리되는 국가로 이전되며, 이 이전에는 제2항 및 제3항이 적용됩니다. 로그인하지 않고 신고한 사람에게 접수 확인 및 처리 결과 이메일을 발송하는 경우에도, 그 사람의 이메일 주소와 이메일 본문은 부속서 I에 기재된 이메일 발송 사업자를 통하여 미국으로 이전되며, 이 이전에도 제2항 및 제3항이 적용됩니다.
2. 유럽경제지역(EEA)의 최종 이용자에 관하여, 대한민국 소재 회사로의 개인정보 이전은 2021년 12월 17일자 유럽연합 집행위원회의 대한민국 적정성 결정에 의하여 보호되며, 영국의 최종 이용자에 관하여는 이에 상응하는 영국의 적정성 규정이 적용됩니다. 회사가 적정성 결정이 없는 국가로 후속 이전을 하는 경우, 해당 이전에는 표준계약조항(2021/914) 또는 영국 국제 데이터 이전 부속서가 적용되며, 그 부속 기재 사항은 본 계약 및 그 부속서를 원용하여 완성됩니다.
3. PIPA가 적용되는 국외 이전에 관하여, 회사는 PIPA 제28조의8 및 제28조의9를 준수하며, 요구되는 고지를 제공하고 법령상 필요한 경우 동의를 받습니다.
4. 최종 이용자 개인정보에 CCPA/CPRA가 적용되는 범위에서, 회사는 "서비스 제공자(service provider)"로서 해당 데이터를 판매하거나 공유하지 않고, 제4조에 기재된 사업 목적 또는 직접적 거래 관계를 벗어나 보유·이용·공개하지 않으며, CPRA 규정이 허용하는 경우를 제외하고 다른 출처의 개인정보와 결합하지 않고, 이러한 제한을 이해함을 확인합니다. 또한 회사는 적용되는 CCPA/CPRA상의 의무를 준수하고 그에 따른 수준의 개인정보 보호를 제공하며, 그 의무를 이행할 수 없다고 판단하는 경우 이용자에게 통지하고, 소비자의 권리 요청 처리에 협조합니다. 이용자는 그 통지를 받은 후 회사의 무단 이용을 중지하고 시정하기 위한 합리적이고 적절한 조치를 취할 수 있습니다.

11. 안전조치

회사는 위험에 상응하는 보안 수준을 확보하도록 설계된 부속서 II의 기술적·관리적 보호조치를 시행하고 유지합니다. 회사는 보호조치를 지속적으로 검토하며, 보호 수준을 실질적으로 저하시키지 않는 범위에서 이를 갱신할 수 있습니다.

12. 개인정보 유출 통지

1. 회사는 최종 이용자 개인정보에 영향을 미치는 개인정보 유출을 인지한 경우, 배포 설문에서 지정된 유출 대응 연락처를 통하여 부당한 지연 없이(인지 시점으로부터 최대 72시간 이내에) 이용자에게 통지합니다(약관 제12.5조).
2. 통지에는 그 시점에 파악된 범위에서 유출의 성격, 영향을 받은 정보주체 및 기록의 범주와 대략적인 수, 예상되는 결과, 취하였거나 취할 예정인 조치, 연락 창구가 포함됩니다.
3. 회사는 이용자가 자신의 통지 의무(GDPR 제33조에 따른 감독 기관에 대한 72시간 이내 통지, GDPR 제34조에 따른 정보주체 통지, PIPA 제34조에 따른 통지 의무를 포함)를 이행할 수 있도록 합리적인 지원을 제공합니다. 감독 기관 및 최종 이용자에 대한 통지는 이용자의 책임이며, 회사는 직접적인 법적 의무의 이행을 위하여 필요한 경우 또는 이용자가 응답하지 않는 경우에 한하여 최종 이용자에게 직접 통지할 수 있습니다(약관 제12.5조).

13. 반환 및 삭제

1. 이용자는 프로젝트 삭제를 요청하기 전에 생성된 서비스 자체의 인터페이스를 통하여 최종 이용자 개인정보를 반출할 수 있으며, 회사에 프로젝트 데이터베이스의 사본(회사의 파일 저장 공간을 이용하는 경우 저장된 파일과 그 메타데이터를 포함합니다)을 요청할 수 있습니다. 회사는 합리적인 기간 내에 구조화되고 일반적으로 사용되며 기계 판독 가능한 형식으로 사본을 제공합니다. 회사가 약관 제2.5조에 따라 프로젝트를 삭제하는 경우 회사는 같은 조항에 따라 삭제 예정 사실을 사전에 통지하며, 이용자는 삭제 예정일 전에 본 항에 따라 반출하거나 사본을 요청할 수 있습니다.
2. 프로젝트 삭제(또는 배포 제거) 시, 회사는 개인정보처리방침 제3조에 기재된 바에 따라 최종 이용자 개인정보를 삭제합니다. 접근은 즉시 차단되고, 배포된 인스턴스는 비동기 정리 절차를 통하여 지체 없이 파기됩니다. 프로젝트 전용 데이터베이스는 운영 환경에서 지체 없이 제거되며, 이용자가 실수로 삭제한 프로젝트를 복구할 수 있도록 그 보관본이 암호화된 저장소에 삭제 후 30일 동안 보관된 뒤 파기됩니다. 회사는 이용자의 복구 요청을 처리하는 경우 외에는 보관본에 접근하지 않습니다. 암호화된 오류 이벤트 수집 기록은 위 30일의 보관 기간이 지난 후 프로젝트 암호화 키의 파기를 통하여 영구적으로 판독 불가능하게 됩니다. 백업 매체에 남아 있는 사본은 회사의 백업 순환 주기 내(최대 90일)에 삭제됩니다.
3. 약관 제8.8조에 따라 격리된 파일은 이용자의 삭제 지시나 프로젝트 삭제에도 불구하고 같은 조에 따른 기간 동안 암호화하여 분리 보관한 뒤 파기됩니다. 관련 법령이 보존을 요구하는 범위에서는 삭제 의무가 적용되지 않으며, 이 경우 회사는 보존 대상 데이터를 분리·보호하고 법적 근거가 소멸하는 즉시 삭제합니다. 이용자가 요청하는 경우, 회사는 삭제 사실을 서면으로 확인합니다.

14. 점검 및 정보 제공

1. 회사는 본 계약 준수를 입증하는 데 합리적으로 필요한 정보를 이용자에게 제공하며, 이용 가능한 경우 제3자 보안 평가 또는 인증의 요약을 제공합니다.
2. 이용자는 최소 30일 전의 서면 통지로, 역년 기준 연 1회를 초과하지 않는 범위에서, 업무 시간 중에, 비밀유지 의무를 전제로, 회사의 운영을 방해하거나 다른 이용자의 데이터 또는 멀티테넌트 환경을 훼손하지 않는 방식으로 점검(원격 또는 현장)을 실시할 수 있습니다. 이용자의 프로젝트에 영향을 미친 것으로 확인된 개인정보 유출 또는 감독 기관의 문서화된 요구에 따른 점검에는 위 횟수 제한이 적용되지 않습니다.
3. 당사자는 점검에 앞서 그 범위, 비밀유지 및 합리적인 비용 분담에 관하여 신의성실에 따라 합의합니다. 본 조는 감독 기관의 법령상 권한 또는 PIPA 제26조 제4항에 따른 이용자의 감독 권한을 제한하지 않습니다.

15. 책임 및 면책

1. 본 계약에 따른 당사자의 책임은 약관 제17조에 따릅니다. 다만 GDPR 제82조, PIPA 또는 그 밖의 적용되는 강행규정이 책임 제한을 금지하는 범위에서는 본 계약의 어떠한 조항도 당사자의 책임을 제한하지 않습니다.
2. 약관 제12.6조의 고객 면책은 처리 근거 또는 필요한 동의의 부존재, 적합한 최종 이용자 개인정보 처리방침을 제공하지 못한 경우를 포함하여, 이용자의 본 계약상 의무 위반으로부터 발생하는 청구에 적용됩니다.
3. 이용자의 위법한 지시 또는 이용자의 본 계약 위반에 기인한 처리로 인하여 회사가 최종 이용자에게 책임을 지거나 관계 기관으로부터 제재를 받는 경우, 이용자는 이용자에게 귀책되는 범위에서 회사에 그 손해를 보전합니다. 회사의 본 계약 위반으로 이용자에게 손해가 발생한 경우, 위탁 업무에 관한 회사의 책임은 PIPA 제26조 및 관련 법령에 따릅니다.

16. 계약 기간

본 계약은 이용자가 해당 프로젝트의 배포 시 또는 그 프로젝트에서 회사의 파일 저장 공간을 처음 사용하도록 설정하는 때에 이를 수락한 때에 그 프로젝트에 대하여 효력이 발생하며, 회사가 해당 프로젝트의 최종 이용자 개인정보를 처리하는 동안 존속합니다. 제13조부터 제15조까지는 계약 종료 후에도 존속합니다. 회사가 본 계약을 중대하게 개정하는 경우, 개정본은 해당 프로젝트의 다음 배포 또는 재생성 시 이용자의 재수락으로써 그 프로젝트에 적용됩니다. 다만 본 계약의 중대한 개정이 약관의 개정과 함께 공지되고 이용자가 약관 제18조에 따라 개정된 약관에 동의한 경우, 본 계약의 개정은 그 개정의 시행일부터 이용자의 모든 프로젝트에 적용됩니다. 경미한 갱신(제9조에 따른 부속서 I의 변경 등)은 그에 기재된 통지로써 효력이 발생합니다.

17. 준거법 및 관할

본 계약의 준거법 및 분쟁 해결은 약관 제19조에 따릅니다. 다만 제10조에서 원용된 이전 메커니즘에 적용되는 강행적 개인정보 보호 법령이 달리 요구하는 범위에서는 그에 따릅니다.

---

부속서 I — 재수탁자

개인정보처리방침 제5조에 기재된 결제 대행사 및 소스 코드 호스트는 회사의 수탁자로서 플랫폼 데이터(이용자 본인의 데이터)를 처리하며, 최종 이용자 개인정보의 재수탁자가 아닙니다. 결제 처리는 이용자의 구독에 관한 것으로 최종 이용자의 결제에 관한 것이 아닙니다. 회사는 답변 초안에 포함된 오류 이벤트의 내용을 답변 메일에 옮겨 적지 않으므로(부속서 II), 답변의 발송과 회사 메일의 보관에 이용하는 사업자(개인정보처리방침 제5조)는 답변과 관련하여 최종 이용자 개인정보를 처리하지 않으며, 그 가운데 ActiveCampaign, LLC (Postmark)는 위 표에 기재된 신고자 이메일의 발송에 한하여 재수탁자가 됩니다. 제3자 AI 제공자는 이용자의 요구사항으로부터 서비스를 생성하는 과정과 요구사항의 자동 분석에서는 플랫폼 데이터를 처리하고, 위 표에 기재된 오류 원인 분석과 답변 초안 작성에 한하여 최종 이용자 개인정보의 재수탁자가 됩니다. 회사는 배포된 서비스가 최종 이용자의 요청을 처리하는 과정 자체에는 AI 제공자를 이용하지 않습니다. 현재의 재수탁자 목록은 서비스 상에서 관리됩니다.

부속서 II — 기술적·관리적 보호조치

1. 테넌트 격리 — 프로젝트는 공유형 멀티테넌트 인프라 상에서 애플리케이션·네트워크·데이터베이스 수준에서 격리되며, 프로젝트별 전용 데이터베이스 및 최소 권한의 전용 데이터베이스 역할이 부여됩니다. 프로젝트별 데이터베이스 자격증명은 키 관리 서비스를 통하여 파생·관리됩니다.
2. 암호화 — 모든 외부 인터페이스에 TLS 1.2 이상의 전송 구간 암호화를 적용하고, 데이터베이스 및 스토리지에는 KMS 관리 키에 의한 클라우드 제공자 관리형 저장 암호화를 적용합니다. 오류 이벤트 수집 기록은 수집 시점에 자격증명이 삭제(redaction)된 후 프로젝트별 키로 봉투 암호화되어 생성된 서비스 외부로 전송되며, (i) 이용자 자신의 프로젝트의 권한 있는 구성원에게 장애의 상세 내용을 표시하는 경우, (ii) 오류 원인 분석 및 수정안 생성을 위한 경우, (iii) 이용자의 장애 해결을 위하여 회사가 고객 지원을 수행하는 경우, (iv) 약관 제10조에 기재된 사후 조사의 경우에만 복호화됩니다.
3. 접근 통제 — 최소 권한 원칙에 따른 역할 기반 접근 통제, 특권 관리자 접근에 대한 다단계 인증, 인원 변동 시 신속한 접근 권한 회수를 시행합니다.
4. 감사 로그 — 고객 지원 또는 사후 조사 과정에서 이루어지는 최종 이용자 개인정보에 대한 관리자 접근과, 고객 지원 답변 초안 작성을 위한 AI 제공자로의 전송(지원을 요청한 사람이 그 프로젝트의 오류 이벤트를 열람할 권한이 있는 경우에 한합니다)은 그 범위, 시기 및 수행 주체가 내부 감사 로그에 기록됩니다.
5. 백업 및 복구 — 프로젝트 데이터베이스의 암호화된 자동 백업과 백업으로부터의 복원 절차를 운영합니다.
6. 취약점 관리 — 의존성 및 호스트의 취약점 점검과 관리형 런타임 환경의 패치를 시행합니다.
7. 인적 관리 — 고용 또는 위임 계약상 비밀유지 의무 부과 및 보안·개인정보 보호 교육을 시행합니다.
8. AI 경계에서의 최소화 — 텍스트가 회사의 경계를 벗어나 AI 제공자에게 전달되기 전에 자격증명에 대한 결정적(deterministic) 삭제를 수행합니다. AI 제공자에게 전달되는 최종 이용자 개인정보는 부속서 I에 기재된 오류 원인 분석 및 답변 초안 작성에 필요한 오류 이벤트와, 약관 제8.8조의 자동 검사 대상인 파일로 한정됩니다.
9. 침해 대응 — 제12조의 72시간 이내 고객 통지 및 증거 보전을 포함한 침해 대응 절차를 운영합니다.
10. 재수탁자 관리 — 서면 개인정보 보호 계약 체결 및 도입 시 검토를 시행합니다.
11. 답변 메일의 최소화 — 회사는 답변 초안에 포함된 오류 이벤트의 내용을 이용자에게 발송하는 답변 메일에 옮겨 적지 않습니다.