데이터 처리 계약(DPA)

게시된 때부터 적용합니다. 이 계약은 Metaventus의 서비스 이용약관을 보완합니다.

1. 목적과 역할

이 데이터 처리 계약(이하 「DPA」)은 GDPR 제28조에 따라, VENTUS(자본금 60,000유로의 간이주식회사, 루앙 상업등기소 917 982 969, 14 chemin des Tilleuls, 76130 Mont-Saint-Aignan. 이하 「Metaventus」, 수탁자로서 행위합니다)가 계정 보유자(이하 「고객」, 관리자로서 행위합니다)를 위하여 서비스 제공과 관련하여 수행하는 개인정보 처리를 규율합니다.

고객 자신이 제3자의 수탁자로서 행위하는 경우 Metaventus는 재수탁자로 관여하며, 고객은 자신의 약정이 이 DPA와 양립함을 보장합니다.

Metaventus가 자신을 위하여 수행하는 처리(고객 계정 관리, 청구, 플랫폼 보안, 통계)에 대해서는 개인정보처리방침에 따라 관리자로서 행위합니다.

2. 지시

Metaventus는 고객의 문서화된 지시에 따라서만 고객 데이터를 처리합니다. 서비스 이용약관, 이 DPA, 그리고 고객과 그 이용자의 플랫폼 기능 이용이 고객의 지시를 구성합니다. 지시가 GDPR에 위반된다고 판단되는 경우 Metaventus는 고객에게 알립니다.

3. 처리의 내용

상세한 내용(성격, 목적, 데이터 및 정보주체의 범주, 기간)은 부속서 1에 기재합니다.

4. 비밀유지

Metaventus는 고객 데이터를 처리할 권한이 있는 사람이 비밀유지 의무를 지며, 그 직무에 필요한 범위에서만 접근함을 보장합니다.

5. 보안

Metaventus는 GDPR 제32조에 따라 부속서 2에 기재된 적절한 기술적·관리적 조치를 시행합니다.

6. 재수탁자

고객은 부속서 3에 열거된 재수탁자의 이용을 포괄적으로 승인합니다. Metaventus는 각 재수탁자와 이 DPA와 동등한 개인정보 보호 의무를 부과하는 계약을 체결하며, 그 이행에 대해 계속 책임을 집니다.

Metaventus는 재수탁자의 추가나 교체를 효력 발생 최소 30일 전에 고객에게 알립니다(이메일 또는 플랫폼 알림). 고객은 정당한 사유로 이의를 제기할 수 있으며, 합의에 이르지 못하는 경우 변경의 효력 발생 전에 해당 구독을 해지할 수 있습니다.

7. 관리자에 대한 지원

처리의 성격을 고려하여 Metaventus는 적절한 수단(우선적으로 플랫폼의 기능)으로 고객을 지원합니다. 즉 정보주체의 권리 행사 요청(열람, 정정, 삭제, 이동, 반대)에 대한 대응과, GDPR 제32조부터 제36조까지의 의무(보안, 침해 통지, 영향평가) 이행입니다. 표준 기능을 넘는 지원 요청에 대해서는 사전에 합의한 합리적인 비용을 청구할 수 있습니다.

8. 개인정보 침해

Metaventus는 고객 데이터에 영향을 미치는 침해를 알게 된 후 가능한 한 신속히, 계정 관리자의 이메일 주소로 GDPR 제33조 제3항에 규정된 정보(성격, 관련 범주와 규모, 예상되는 결과, 취하였거나 제안하는 조치)와 함께 고객에게 통지합니다.

9. 유럽연합 역외 이전

고객 데이터는 유럽연합 역내에 보관됩니다. 일부 재수탁자(부속서 3)는 제3국에서 데이터를 처리할 수 있습니다. 그 경우 이전은 적정성 결정(EU-U.S. Data Privacy Framework 포함) 또는 유럽위원회의 표준계약조항으로 규율되며, 필요한 경우 추가 조치로 보완됩니다.

10. 삭제와 반환

계약 기간 내내 고객은 플랫폼의 기능으로 데이터를 내보낼 수 있습니다. 계약 종료 시 Metaventus는 30일 이내에 고객 데이터를 삭제합니다(법령상 보관 의무가 있는 경우는 제외). 이 기간이 끝나기 전에 서면으로 요청하면 Metaventus는 삭제를 확인해 드립니다.

11. 기록과 감사

Metaventus는 고객을 위하여 수행한 처리활동의 기록을 유지합니다(GDPR 제30조 제2항). Metaventus는 이 DPA의 준수를 증명하는 데 필요한 정보(문서, 조치의 설명, 이용 가능한 증명)를 고객에게 제공합니다.

고객은 12개월마다 최대 1회, 자신을 위하여 수행된 처리로 한정한 감사를 실시할 수 있습니다. 30일 전 서면 예고 후, 자신의 비용으로, 업무 시간에, 다른 고객의 데이터나 영업비밀에는 접근하지 않고 수행합니다. 현장 감사는 문서로 충분한 답변을 얻지 못한 경우에만 가능합니다.

12. 기간과 책임

이 DPA는 서비스 이용약관의 전 기간과 Metaventus가 고객 데이터를 처리하는 동안 적용됩니다. 서비스 이용약관의 책임 한도와 면책은 이 DPA에도 적용됩니다.

개인정보 보호 문의: contact@metaventus.com.

13. 언어

이 DPA는 프랑스어로 작성되었습니다. 편의를 위해 번역이 제공되더라도 효력을 갖는 것은 프랑스어본뿐입니다.

부속서 1 — 처리의 내용

성격과 목적: 고객의 CRM 데이터의 보관, 저장, 구조화 및 열람, 고객의 발의에 따른 전자적 통지(이메일, 문자, 통화)의 발송, 예약 접수, 고객의 최종 고객에 대한 청구, 업무 자동화, AI 지원 기능(이용자의 요청에 따라), 기술적 기록 및 이용 통계.

정보주체의 범주: 고객의 이용자, 고객의 연락처·잠재 고객·고객, 예약 참석자, 통지의 수신자.

데이터의 범주: 신원 및 연락처(성, 이름, 이메일, 전화, 주소), 직무 정보(회사, 직책), 영업 정보(영업 기회, 견적, 청구서, 예약, 메모), 플랫폼을 통해 발송된 통지의 내용, 기술 정보(로그, IP 주소, 식별자). 특별한 범주의 데이터(GDPR 제9조)의 처리는 제외됩니다(이용약관 참조).

기간: 계약 기간, 그 후 30일 이내 삭제(제10조). 고객이 플랫폼에서 설정한 보관 기간과 법령상 의무를 따릅니다.

부속서 2 — 보안 조치

• 공개된 모든 서비스에서의 통신 암호화(TLS).
• 고객 계정별 데이터의 엄격한 분리(멀티테넌트).
• 역할과 권한에 따른 세분화된 접근 통제(RBAC).
• 강력한 인증: 이중 인증 제공(SMS, TOTP, 패스키/WebAuthn) 및 관리자 역할에는 의무.
• 인증 비밀정보의 강력한 암호화 보관(AES-256-GCM)과 비밀번호의 해시 처리.
• 시각이 기록된 감사 로그(로그인, 역할 변경, 민감한 작업)와 단축할 수 없는 최소 보관 기간.
• 보관 기간을 넘긴 데이터의 자동 삭제.
• 직원에 대한 최소 권한 정책, 운영 환경 접근은 제한적이고 기명.
• 호스팅 사업자가 관리하는 정기 백업(보관과 복구).
• 개발 환경과 운영 환경의 분리.
• 계약 동의의 추적 가능성(시각, 버전, SHA-256 해시값).

부속서 3 — 재수탁자

Metaventus의 재수탁자가 아닌 것: 고객이 스스로 자신의 계정에 연결하는 제3자 서비스(Google, Microsoft, Zoom, 소셜 네트워크 등). 이러한 연동은 고객과 해당 제3자 제공자 사이의 직접적인 관계에 속합니다.