데이터 처리 계약

이 데이터 처리 계약(DPA)은 우리 이용약관의 일부이며, B2B 고객이 우리 측에서 최종 사용자의 개인정보를 처리하는 서비스(GDPR 28조)를 이용하는 순간 자동으로 적용돼요. 별도 서명할 필요 없어요 — 약관 수락 = 이 DPA 수락.

1. 당사자와 역할

컨트롤러(Controller): 여러분, 고객("고객").

프로세서(Processor): InternalHost(개인사업자 Xaviero Kajafas, 네덜란드 KvK 90174720).

InternalHost는 고객의 지시에 따라, 그리고 합의된 서비스(호스팅, 스토리지, 메일, 네트워크) 제공에 필요한 범위 내에서만 개인정보를 처리해요.

2. 대상과 기간

• 대상: 우리가 제공하는 IT 인프라 서비스 맥락에서의 개인정보 처리.
• 처리 성격: 저장, 전송(우리 인프라 내), 백업 — 최종 사용자 콘텐츠에 대한 능동적 처리는 없음.
• 목적: 합의된 IT 서비스 제공.
• 정보 주체 카테고리: 고객이 정함. 우리는 알 수 없음(데이터베이스를 들여다보지 않음).
• 개인정보 유형: 고객이 정함. 특수 카테고리(건강, 종교 등)는 고객이 적절한 기술·조직적 조치를 한다는 조건으로 허용.
• 기간: 메인 계약이 유지되는 동안 + 종료 후 14일 복구 기간.

3. 보안 조치

InternalHost는 최소한 다음과 같은 기술·조직적 조치를 취해요:

• 전송 중 암호화: 모든 공개 엔드포인트에 TLS 1.2+, 내부 메시에 WireGuard.
• 저장 시 암호화: 모든 스토리지 볼륨에 LUKS. 고객 수준 암호화는 고객 책임.
• 접근 제어: SSH는 ed25519 키만, 관리자 접근에 MFA 필수, 최소 권한 원칙.
• 로깅: 인프라 접근 기록(90일).
• 백업: 고객 볼륨의 일일 암호화 스냅샷, 7d/4w/12m 보관(우리 측 — 애플리케이션 백업은 고객 책임).
• 물리 보안: Qupra DC는 24/7 상주 인력, ISO 27001 + 9001 인증, 생체 인식 접근 + 맨트랩.
• 소프트웨어 업데이트: 보안 패치는 출시 후 7일 이내, 치명적 패치는 24시간 이내.
• 모니터링: 모든 노출 서비스에 CrowdSec + fail2ban.

최신 기술 조치 개요는 [email protected]로 요청 시 제공해 드려요.

4. 하위 처리자

다음 하위 처리자를 사용해요. 모두 EU 내. 변경 시 최소 30일 전에 알려서 고객이 이의를 제기할 수 있게 해요.

5. EU 밖으로의 이전

EU/EEA 밖 국가로 개인정보를 이전하지 않아요. 단, DDoS 발생 시 Cloudflare가 CDN으로 EU 밖 PoP를 거치는 경우는 예외예요. 그럴 때는 우리와 Cloudflare 사이에 표준 계약 조항(SCC)이 적용돼요.

6. 개인정보 유출 절차

고객에게 영향을 주는 개인정보 유출이 있으면 발견 후 24시간 안에 등록된 이메일로 다음을 통지해요:

• 유출 성격
• 영향받은 사람의 카테고리와 대략적 수
• 예상 결과
• 취한 또는 제안된 조치

개인정보 보호 당국 통지 여부는 고객이 결정해요. 필요 시 지원해 드려요.

7. 종료와 데이터 반환

메인 계약 종료 후:

• 고객은 14일 동안 모든 데이터를 다운로드할 수 있어요(SSH/SFTP 또는 export 요청).
• 그 후 모든 개인정보는 영구 삭제, 단 법정 보관 의무가 있는 경우 제외(네덜란드 세법: 청구서 데이터 7년).
• 요청 시 서면 폐기 증명서를 발급해 드려요.

특수 계약(대형 B2B, 의료, 금융)에는 맞춤 DPA에 서명할 수 있어요. [email protected]로 이메일 주세요.