이 번역은 편의를 위해 제공됩니다. 내용이 서로 다를 경우 영어 버전이 우선합니다.

데이터 처리 계약

최종 업데이트: 2026년 10월 27일

이 데이터 처리 계약(이하 "DPA")은 DIZZUS GmbH(이하 "수탁자" 또는 "당사")와 ConvertFly.io(이하 "서비스")를 이용하는 고객(이하 "위탁자" 또는 "귀하") 간 이용약관의 일부를 구성합니다. 이 DPA는 스위스 연방 데이터 보호법(nFADP/nLPD)과, 적용되는 경우 EU 일반 데이터 보호 규정(GDPR)에 따라 수탁자가 위탁자를 대신해 수행하는 개인정보 처리를 규율합니다.

1. 정의

• 개인정보: nFADP 제5조와 GDPR 제4조 제1항에 정의된, 식별되었거나 식별 가능한 자연인에 관한 모든 데이터.
• 처리: 개인정보에 대해 수행되는 모든 작업(수집, 저장, 이용, 이전, 삭제).
• 재수탁자: 위탁자를 대신해 개인정보를 처리하도록 수탁자가 위탁한 제3자.

2. 범위 및 목적

수탁자는 이용약관에 설명된 파일 변환 서비스를 제공할 목적으로만 개인정보를 처리합니다. 처리에는 다음이 포함됩니다:

• 위탁자 또는 그 최종 사용자가 업로드한 파일의 수신 및 임시 저장;
• 자동화된 처리 엔진을 사용한 형식 간 파일 변환;
• 다운로드를 위한 변환 결과의 임시 저장;
• 변환 로그 유지(메타데이터만, 파일 내용 제외).

3. 개인정보의 유형

변환을 위해 제출된 파일에는 개인정보가 포함될 수 있습니다. 그 범주는 위탁자의 이용 사례에 따라 다르며 다음을 포함할 수 있습니다:

• 이름, 연락처, 식별 번호;
• 스프레드시트나 문서에 포함된 금융 데이터;
• 얼굴이나 개인 정보가 포함된 이미지;
• 업로드된 파일에 포함된 그 밖의 모든 개인정보.

수탁자는 변환 소프트웨어를 통해 변환 목적으로만 파일 내용을 자동 처리하며, 다른 목적으로 사용하거나 공개하지 않습니다.

4. 수탁자의 의무

수탁자는 다음을 이행합니다:

• 위탁자의 문서화된 지시(즉, 요청된 변환 수행)에 따라서만 개인정보를 처리;
• 개인정보 처리 권한을 받은 사람이 비밀유지 의무를 지도록 보장;
• 적절한 기술적, 관리적 보안 조치 시행(제7조 참조);
• 위탁자의 승인을 받은 경우에만 재수탁자 위탁(제6조 참조);
• 정보주체의 요청에 대응하도록 위탁자를 지원;
• 법률상 보관이 요구되지 않는 한, 서비스 종료 시 모든 개인정보 삭제;
• 준수 사실을 입증하는 데 필요한 모든 정보를 제공하고 감사를 허용.

5. 위탁자의 의무

위탁자는 다음을 이행합니다:

• 서비스를 통해 개인정보를 처리할 적법한 근거를 갖추도록 보장;
• 서비스 이용에 관해 정보주체에게 필요한 고지를 제공;
• 적절한 보호 조치가 마련되지 않은 한, 제출된 파일에 민감정보(GDPR 제9조)가 포함되지 않도록 보장.

6. 재수탁자

위탁자는 수탁자가 다음 재수탁자에게 위탁하는 것을 일반적으로 승인합니다. 수탁자는 재수탁자 변경 사항을 최소 30일 전에 위탁자에게 통지합니다.

스위스/EEA 밖으로 이전하는 경우, 수탁자는 적절한 보호 조치(표준 계약 조항 또는 적정성 결정)를 마련합니다.

7. 보안 조치

수탁자는 다음과 같은 기술적, 관리적 조치를 시행합니다:

• 전송 중 암호화: 모든 통신에 TLS 1.2 이상 사용;
• 저장 시 암호화: Dizzus가 운영하는 저장소의 암호화된 볼륨에 파일 저장;
• 접근 통제: API 키 인증, 세션 관리, 역할 기반 접근;
• 워커 보안: API와 변환 워커 간 요청에 HMAC-SHA256 서명;
• 데이터 최소화: 가져온 파일은 변환 직후 삭제, 결과 파일은 24시간 후 삭제;
• 모니터링: 자동 상태 점검 및 중앙 집중식 로깅;
• 네트워크 보안: 변환 워커를 사설 네트워크(WireGuard 메시)에 격리, 엣지에서 TLS 종료 및 요청 한도 적용.

8. 개인정보 유출 통지

수탁자는 개인정보 유출을 인지한 후 지체 없이(어떠한 경우에도 72시간 이내에) 위탁자에게 통지합니다. 통지에는 유출의 성격, 영향을 받은 정보주체의 범주와 대략적인 수, 예상되는 결과, 유출에 대응하기 위해 취한 조치가 포함됩니다.

9. 정보주체의 요청

수탁자는 위탁자가 정보주체의 요청(열람, 정정, 삭제, 이동, 처리 제한, 반대)을 이행하도록 신속하게 지원합니다. 파일 처리가 자동화되고 일시적이므로, 대부분의 정보주체 요청은 24시간 파일 삭제 정책에 의해 자동으로 충족됩니다.

10. 감사

위탁자는 수탁자가 이 DPA를 준수하는지 감사할 수 있습니다. 감사는 합리적인 사전 통지(최소 30일)를 거쳐 정상 업무 시간 중에 실시합니다. 수탁자는 표준 문서를 넘어서는 감사 지원에 대해 합리적인 수수료를 청구할 수 있습니다.

11. 기간 및 종료

이 DPA는 서비스 계약 기간 동안 효력을 가집니다. 종료 시 수탁자는 스위스 또는 EU 법률상 보관이 요구되지 않는 한 30일 이내에 모든 개인정보를 삭제합니다. 수탁자는 요청 시 삭제를 서면으로 확인해 드립니다.

12. 준거법

이 DPA는 스위스 법률의 적용을 받습니다. 강행법규가 달리 정하지 않는 한 스위스 추크 법원이 전속 관할권을 가집니다.

13. 문의

DPA 관련 문의:
DIZZUS GmbH
Chamerstrasse 172, 6300 Zug, Switzerland
UID CHE-469.903.322
문의: convertfly.io/contact
이메일: 이메일 주소 표시