QR Code AI 개인정보 처리 위탁 계약

개인정보 처리 위탁 계약(DPA)

최종 업데이트: 2026년 3월 2일

이 개인정보 처리 위탁 계약("DPA")은 프랑스의 27 Rue Wurtz, Juvisy-sur-Orge 91260에 등록되어 있고 VAT 번호가 FR67948452891인 회사 Supernovae("처리 수탁자", "당사")와 이 DPA에 동의하는 단체("처리 결정 주체", "귀하") 간 이용 약관("계약")의 일부를 구성합니다. 양자를 통칭하여 "당사자들"이라고 합니다.

이 DPA는 API를 통한 제공을 포함하여 QR Code AI 서비스와 관련해 당사가 귀하를 대신하여 개인정보를 처리하는 경우에 적용됩니다.

1. 정의

• **"개인정보"**란 GDPR 제4조 제1호에 정의된 바와 같이, 식별되었거나 식별 가능한 자연인에 관한 모든 정보를 말합니다.
• **"처리"**란 GDPR 제4조 제2호에 정의된 바와 같이, 개인정보에 대해 수행하는 모든 작업 또는 일련의 작업을 말합니다.
• **"정보주체"**란 개인정보와 관련된, 식별되었거나 식별 가능한 자연인을 말합니다.
• **"하위 처리자"**란 처리 수탁자가 처리 결정 주체를 대신하여 개인정보 처리 업무를 위탁하는 제3자를 말합니다.
• **"GDPR"**이란 유럽의회 및 이사회의 규정(EU) 2016/679를 말합니다.
• **"영국 GDPR"**이란 영국법에 따라 적용되며 2018년 데이터 보호법(Data Protection Act)과 함께 해석되는 영국 일반 개인정보 보호 규정을 말합니다.
• **"SCC"**란 개인정보를 제3국으로 이전하기 위해 유럽연합 집행위원회가 승인한 표준계약조항을 말합니다.
• **"개인정보 침해"**란 개인정보의 우발적 또는 불법적인 파기, 분실, 변경, 무단 공개 또는 접근으로 이어지는 보안 침해를 말합니다.

2. 범위 및 역할

2.1 처리 결정 주체와 처리 수탁자

이 DPA에서 각 당사자의 역할은 다음과 같습니다.

• 귀하(처리 결정 주체): 귀하는 당사 서비스를 이용할 때, 특히 당사 API로 귀하의 고객을 위한 QR코드를 생성하거나 당사 서비스를 귀하의 제품에 통합할 때 개인정보 처리의 목적과 수단을 결정합니다.
• 당사(처리 수탁자): 당사는 이 DPA 및 계약에 설명된 바와 같이 귀하의 지시에 따라 귀하를 대신하여 개인정보를 처리합니다.

2.2 이 DPA가 적용되는 경우

이 DPA는 다음 경우에 적용됩니다.

• 귀하가 QR Code AI API로 최종 이용자의 데이터를 처리하는 QR코드를 생성하는 경우. 예를 들어 개인정보가 포함된 URL, vCard 데이터, QR코드에 인코딩된 연락처 정보가 이에 해당합니다.
• 귀하가 최종 이용자의 스캔 데이터를 수집하는 QR Code AI 추적 및 분석 기능을 사용하는 경우.
• 그 밖에 당사가 처리 수탁자로서 귀하를 대신하여 개인정보를 처리하는 모든 경우.

귀하가 개인 이용자로서 자신의 목적을 위해 QR Code AI를 사용하는 경우, 당사는 개인정보 처리 목적과 수단을 독립적으로 결정하는 주체로 활동하며 데이터 처리에는 당사의 개인정보 처리방침이 적용됩니다.

3. 개인정보 처리 세부 사항

3.1 처리 대상 및 기간

당사는 QR코드 생성, 추적, 분석 및 관련 기능을 포함한 QR Code AI 서비스를 제공하기 위해 계약 기간 동안 개인정보를 처리합니다.

3.2 처리의 성격 및 목적

• 처리 결정 주체가 제공한 입력 데이터를 바탕으로 QR코드 생성
• QR코드 스캔 추적 및 분석 데이터 수집
• QR코드 설정 및 관련 메타데이터 저장
• AI로 생성하는 예술적 QR코드에 대한 요청 처리
• 보고서 및 분석 대시보드 제공

3.3 개인정보 유형

처리되는 개인정보 유형에는 다음이 포함될 수 있습니다.

• QR코드에 인코딩된 연락처 정보(이름, 이메일 주소, 전화번호)
• URL 및 웹 주소
• QR코드 스캔에서 얻은 위치 데이터
• QR코드 스캔에서 얻은 기기 정보 및 IP 주소
• AI QR코드 생성을 위해 제공한 텍스트 프롬프트 및 이미지
• 처리 결정 주체가 QR코드에 인코딩하기로 선택한 기타 데이터

3.4 정보주체의 범주

• 처리 결정 주체가 생성한 QR코드를 스캔하는 최종 이용자
• 연락처 정보가 QR코드에 인코딩된 개인
• QR코드와 상호작용하는, 처리 결정 주체의 제품 또는 서비스 이용자

4. 처리 수탁자의 의무

4.1 처리 지시

당사는 당사에 적용되는 EU 또는 회원국 법률에 따라 처리가 요구되는 경우를 제외하고, 귀하의 문서화된 지시에 따라서만 개인정보를 처리합니다. 법률에 따라 처리가 요구되는 경우에는 중요한 공익상의 이유로 법률이 해당 정보의 제공을 금지하지 않는 한, 처리 전에 해당 법적 요구 사항을 귀하에게 알립니다.

당사가 판단하기에 어떤 지시가 GDPR 또는 기타 적용되는 EU나 회원국의 개인정보 보호 규정을 위반하는 경우, 당사는 귀하에게 즉시 알립니다.

4.2 비밀유지

당사는 개인정보 처리 권한이 있는 사람이 비밀유지 의무를 부담하기로 약정했거나 적절한 법정 비밀유지 의무를 부담하도록 합니다.

4.3 보안 조치

당사는 위험에 적합한 보안 수준을 보장하기 위해 다음을 포함한 적절한 기술적·조직적 조치를 시행합니다.

• 전송 중인 개인정보 암호화(TLS/HTTPS) 및 저장된 민감한 정보의 저장 시 암호화
• 내부 시스템의 접근 통제 및 역할 기반 인증
• 정기적인 보안 평가 및 취약점 검사
• Scaleway와 DigitalOcean이 호스팅하는 인프라. 보안 및 규정 준수 조치는 공급업체와 호스팅 서비스에 따라 달라집니다
• DDoS 방어 및 웹 애플리케이션 방화벽(Cloudflare)
• 암호화된 저장 공간을 사용하는 정기 백업
• 개인정보 접근 기록 및 모니터링

4.4 하위 처리자

당사는 하위 처리자 페이지에 기재된 하위 처리자를 이용합니다. 하위 처리자를 추가하거나 교체할 계획이 있는 경우 당사가 적극적으로 귀하에게 서면 통지하며, 변경이 발효되기 전에 이의를 제기할 수 있도록 해당 통지일부터 30일의 기간을 제공합니다. 이 기간 내에 [email protected]으로 연락하여 이의를 제기할 수 있습니다. 귀하가 이의를 제기하고 당사가 그 이의를 합리적으로 수용할 수 없는 경우, 어느 당사자든 영향을 받는 서비스 부분을 종료할 수 있습니다.

당사는 적용되는 전자 약관을 포함하여 GDPR 제28조 제4항에서 요구하는 개인정보 보호 의무를 부과하는 서면 계약에 의해서만, 귀하를 대신한 개인정보 처리를 하위 처리자에게 위탁합니다. 당사는 해당 조항에서 요구하는 바에 따라 하위 처리자에 대한 책임을 계속 부담합니다.

4.5 정보주체의 권리

당사는 적용되는 개인정보 보호법에 따른 권리(접근, 정정, 삭제, 처리 제한, 이동성, 이의 제기)를 행사하는 정보주체의 요청에 귀하가 대응하도록 지원합니다. 당사가 정보주체로부터 직접 요청을 받는 경우, 달리 지시받지 않는 한 지체 없이 귀하에게 문의하도록 안내합니다.

4.6 규정 준수 지원

당사는 처리의 성격과 당사가 이용할 수 있는 정보를 고려하여, 귀하가 GDPR 제32조부터 제36조까지의 의무를 준수하도록 지원합니다.

5. 개인정보 침해 통지

5.1 통지 기한

당사는 개인정보 침해를 인지한 후 부당한 지체 없이, 어떠한 경우에도 인지한 때부터 72시간 이내에 귀하에게 알립니다. 통지는 귀하의 계정에 연결된 이메일 주소로 발송됩니다.

5.2 통지 내용

통지에는 확보할 수 있는 범위에서 다음 정보가 포함됩니다.

• 영향을 받은 정보주체 및 기록의 범주와 대략적인 수를 포함한 개인정보 침해의 성격에 대한 설명.
• 당사 개인정보 보호 연락 담당자의 이름 및 연락처.
• 개인정보 침해로 인해 발생할 수 있는 결과에 대한 설명.
• 가능한 부정적 영향을 완화하기 위한 조치를 포함하여, 개인정보 침해에 대응하기 위해 취했거나 제안하는 조치에 대한 설명.

5.3 지속적인 협력

당사는 개인정보 침해의 조사, 영향 완화 및 시정과 귀하가 감독기관 또는 정보주체에게 해야 하는 통지에 관해 귀하와 협력하고 합리적인 지원을 제공합니다.

6. 개인정보의 국제 이전

6.1 데이터 위치

개인정보는 주로 유럽연합 내에서 저장되고 처리됩니다.

• Scaleway를 통한 프랑스(EU) 내 저장 및 처리
• DigitalOcean을 통한 네덜란드(EU) 내 저장 및 처리

6.2 EU/EEA 외부로의 이전

일부 하위 처리자는 EU/유럽경제지역(EEA) 외부, 주로 미국에 소재합니다. 이러한 이전에는 다음을 근거로 사용합니다.

• EU–미국 데이터 프라이버시 프레임워크: 적용 가능한 경우, 해당 프레임워크에 따라 인증받은 미국 소재 공급업체로의 이전에 사용합니다.
• 표준계약조항(SCC): 데이터 프라이버시 프레임워크가 적용되지 않는 경우, EU/EEA 외부에 소재한 하위 처리자와의 계약에 유럽연합 집행위원회가 승인한 SCC(집행위원회 시행결정(EU) 2021/914)를 포함합니다.

6.3 이전 영향 평가

당사는 제3국으로의 이전에 대해 이전 영향 평가를 수행하고, 적절한 개인정보 보호 수준을 보장하기 위해 필요한 경우 추가 조치를 시행합니다.

7. 감사 및 점검

7.1 감사 권리

귀하는 당사의 이 DPA 준수 여부를 감사할 권리가 있습니다. 당사는 준수를 입증하는 데 필요한 모든 정보를 제공하고, 귀하 또는 귀하가 지정한 감사인이 수행하는 점검을 포함한 감사를 허용하고 이에 협력합니다.

7.2 감사 절차

다음 사항은 적용되는 개인정보 보호법에 따른 권리나 의무를 제한하지 않는 범위에서만 감사에 적용됩니다.

• 귀하는 감사 최소 30일 전에 서면으로 통지해야 합니다.
• 감사는 연간 한 차례를 초과하여 수행할 수 없습니다. 다만 감독기관이 요구하거나 개인정보 침해 후에 수행하는 경우는 예외입니다.
• 감사는 통상적인 업무시간에 수행해야 하며 당사 운영을 불합리하게 방해해서는 안 됩니다.
• 감사 결과 이 DPA의 중대한 위반이 밝혀진 경우를 제외하고, 감사 비용은 귀하가 부담합니다.
• 감사 중 당사의 다른 고객의 기밀정보가 노출되어서는 안 됩니다.

8. 개인정보 보관 및 삭제

8.1 계약 기간 중

당사는 서비스를 제공하는 데 필요한 범위에서 계약 기간 동안 개인정보를 보관합니다.

8.2 계약 종료 시

계약이 종료되거나 귀하가 서면으로 요청하는 경우:

• 귀하의 선택에 따라 30일 이내에 개인정보를 삭제하거나 귀하에게 반환하고 당사의 운영 중인 시스템에 남아 있는 사본을 삭제합니다.
• 백업 보관소의 개인정보는 6개월 이내에 완전히 삭제합니다. 그때까지 해당 정보는 보호되며, 관련 법률이 달리 요구하는 경우를 제외하고 다른 목적으로 사용하지 않습니다.
• 당사는 관련 법률이 요구하는 범위에서 개인정보를 보관할 수 있습니다(예: 세무 또는 회계 의무). 이 경우 해당 정보를 분리하여 보호하고 후속 처리를 법률이 요구하는 범위로 제한합니다.

8.3 확인

귀하의 요청에 따라, 당사는 이 조항에 맞게 개인정보를 삭제했다는 서면 확인을 제공합니다.

9. 책임

이 DPA에 따른 각 당사자의 책임에는 계약에 명시된 책임 제한이 적용됩니다. 이 DPA의 어떠한 내용도 적용되는 개인정보 보호법에 따라 각 당사자가 정보주체 또는 감독기관에 부담하는 책임을 제한하지 않습니다.

10. 준거법

이 DPA에는 프랑스 법률이 적용됩니다. GDPR 및 영국 GDPR은 해당 처리가 각각의 법적 적용 범위에 속하는 한도에서 적용됩니다. 이 DPA에서 발생하는 모든 분쟁은 계약의 분쟁 해결 조항에 따라 해결합니다.

11. 이 DPA에 동의하는 방법

이 DPA는 이용 약관에 포함되어 그 일부를 구성합니다. QR Code AI 서비스를 이용하면 이 DPA에 동의하는 것으로 봅니다.

보관을 위해 별도로 서명된 이 DPA의 사본이 필요하면 [email protected]으로 연락해 주세요. 당사는 10영업일 이내에 사본을 제공합니다.

12. 연락처

이 DPA 또는 당사의 개인정보 처리 방식에 대한 질문은 다음 연락처로 문의해 주세요.

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 프랑스 [email protected]