서증
아래에 명시된 모든 부속서를 포함하는 본 데이터 프라이버시 협약(이하 "DPA")은 본 협약에 명시된 Seagate 회사("Seagate")와 본 협약에 명시된 공급업체 회사("회사")(각각 “당사자”라 하며, 총칭하여 "당사자들"이라 함) 간에 체결됩니다.
회사는 Seagate와 작업 명세서(이하 "계약(들)")를 포함한 하나 이상의 구매 주문서, 계약 및/또는 합의서를 체결했으며, 이에 따라 회사는 계약(들)에 더욱 자세히 설명된 특정 서비스를 Seagate에 제공하기로 합의했습니다(이하 "서비스").
당사자들은 Seagate를 위해 및/또는 Seagate를 대신하여 회사에 제공되거나 회사가 수집한 개인 데이터를 회사가 처리하는 것이 데이터 보호법 및 데이터 주체의 개인 데이터 수집, 사용, 보관과 관련된 요구사항을 준수하는 방식으로 수행되도록 보장하기 위해 이 DPA를 체결합니다.
본 DPA는 협약에 통합되고 협약의 일부를 구성합니다. 본 DPA에 정의되지 않은 모든 대문자 단어는 협약에 명시된 의미를 갖습니다.
당사자들은 다음과 같이 인정하고 동의합니다.
- 정의
- "계열사"는 대상 당사자를 지배하거나, 대상 당사자에 의해 지배되거나, 대상 당사자와 공동 지배 관계에 있는 모든 법인을 의미합니다.
- ‘지배’는 해당 법인의 당시 유통 중인 총 지분(완전 희석 기준으로 측정)의 50% 이상을 나타내는 소유권, 의결권, 그와 유사한 이해관계를 의미합니다. ‘지배되는’이라는 용어는 그에 따라 해석됩니다.
- '데이터 프라이버시 위반'은 Seagate 개인정보의 우발적 또는 불법적인 파기, 손실, 변경, 무단 공개, 무단 접근, 무단 취득 또는 Seagate 개인정보의 기타 무단 처리를 의미합니다.
- '데이터 보호법'은 해당하는 경우 다음을 포함하여 해당 개인정보에 적용되는 전 세계의 모든 데이터 보호, 데이터 보안, 개인정보 보호법, 규칙, 규정을 의미합니다. (i) 유럽 데이터 보호법, (ii) 수시로 개정, 대체 또는 업데이트되는 미국 주 개인정보 보호법을 포함한 미국의 모든 법률, 규칙 및 규정, (iii) 데이터 보안 프로그램, 그리고 (iv) 해당 개인정보의 성격에 적합한 관련 업계 표준.
- "데이터 보안 프로그램" 또는 "DSP"는 2025년 1월 8일에 발표된 미국 법무부의 "우려 국가 또는 적용 대상자의 미국 민감 개인 데이터 및 정부 관련 데이터 접근 방지"(28 CFR Part 202)라는 제목의 규칙을 의미하며, 이는 2024년 2월 28일자 행정 명령 14117(우려 국가의 미국인 대량 민감 개인 데이터 및 미국 정부 관련 데이터 접근 방지)을 시행하는 것으로, 개정 및 업데이트된 내용을 포함합니다.
- ‘유럽 데이터 보호법’은 다음을 포함한 유럽연합(‘ EU’) 또는 유럽경제지역(‘ EEA’)에 적용되는 모든 데이터 보호 법률 및 규정을 의미합니다.
- 일반 데이터 보호 규정 2016/679(‘EU GDPR’)
- 2018년 영국 유럽연합(탈퇴)법 섹션 3 및 2018년 영국 데이터 보호법에 따라 영국 법률로 편입된 EU GDPR("영국 GDPR")
- 1992년 6월 19일 스위스 연방 데이터 보호법 및 관련 조례('스위스 DPA')
- 전자 통신 부문의 개인정보 처리 및 개인정보 보호에 관한 지침 2002/58/EC
- (A) 및 (D)의 적용 가능한 국가별 시행.
- ' EU SCC'는 유럽의회 및 유럽이사회의 규정(EU) 2016/679에 따라 제3국으로 개인 데이터를 전송하기 위한 표준 계약 조항에 관한 2021년 6월 4일의 유럽연합 집행위원회 시행 결정 2021/914에 첨부된 계약 조항을 의미합니다.
- "개인정보" 는 식별되거나 식별 가능한 자연인을 식별하거나 그와 관련된 모든 정보, 기기 또는 온라인 식별자와 관련된 정보, 그리고 적용 가능한 데이터 보호법에 따라 "개인 데이터", "개인 식별 정보" 또는 이와 유사한 용어로 정의되는 모든 정보를 의미합니다.
- '처리' 또는 '처리하다'는 Seagate 개인정보에 대해 수행되는 작업을 의미하며, 자동화된 수단을 사용하든 사용하지 않든 수집, 기록, 구성, 구조화, 변경, 사용, 접근, 공개, 배포, 복사, 전송, 저장, 기타 방식으로 보관, 삭제, 정렬, 결합, 제한, 조정, 검색, 조회, 파기 또는 개인정보 폐기 등의 작업을 포함합니다.
- ‘제한된 전송’은 다음을 의미합니다.
- EU GDPR이 적용되는 경우, EEA에서 유럽연합 집행위원회의 적정성 결정 대상이 아닌 EEA 외부 국가로의 개인정보 전송
- UK GDPR이 적용되는 경우, 2018년 영국 데이터 보호법 제17A조에 따른 적정성 규정의 대상이 아니거나 이에 근거하지 않는 영국에서 기타 국가로의 개인 정보 전송,
- 그리고 스위스 DPA가 적용되는 경우, 스위스 데이터 보호법에 따라 인정되는 적정성 결정에 근거하지 않는 스위스에서 기타 국가로의 개인 정보 전송
- "Seagate 개인정보"는 Seagate 또는 Seagate를 위해 생성, 소유 또는 제공되는 모든 개인정보로서, 당사자 및/또는 그 계열사 간의 계약과 관련하여 Seagate를 대신하여 회사가 접근, 획득, 사용, 유지 또는 처리하는 개인정보를 의미합니다.
- "민감한 정보"란 적용 가능한 데이터 보호법에 따라 민감한 정보로 분류되는 모든 Seagate 개인정보를 의미하며, 다음을 포함합니다. (i) 정부 발행 신분증 번호(예: 사회 보장 번호, 여권, 납세자 식별 번호 및 운전면허증 번호); (ii) 금융 계좌 또는 결제 카드 정보(계좌 또는 신용 기록에 접근할 수 있는 코드 또는 비밀번호 포함 여부와 관계없음); (iii) 건강, 유전 또는 생체 정보; (iv) 인종, 민족, 종교, 성적 지향 또는 성생활, 정치적 또는 철학적 신념, 또는 노동조합 가입 여부를 드러내는 정보; (v) 범죄 기록 또는 기타 사법 또는 행정 절차에 관한 정보를 포함한 신원 조회 또는 사법 기록; 및 (vi) EU GDPR, UK GDPR 및 스위스 DPA를 포함한 관련 데이터 보호법에 따라 "민감한 개인 정보", "민감한 개인 데이터", "민감한 데이터" 또는 "특수 범주 데이터"로 지정된 기타 모든 정보.
- "표준 조항"은 (해당되는 경우) 이 DPA의 섹션 4.1(유럽 경제 지역, 영국 및 스위스 표준 조항)에 명시된 EU SCC, 영국 부록 및 스위스 수정 사항을 의미합니다.
- '하도급 수탁처리자'는 회사 또는 Seagate 개인정보에 접근하거나 데이터를 수신하거나 처리하는 다른 하도급 수탁처리자가 고용한 제3자를 의미합니다.
- '감독 기관'은 데이터 보호법 준수를 관할하거나 감독하는 규제 기관, 감독 기관, 정부 기관, 주 기관, 법무 장관, 기타 권한 있는 기관을 의미합니다.
- "회사 직원"은 Seagate 개인정보를 처리하도록 회사가 승인한 모든 회사 직원, 계약자, 서비스 제공업체, 공급업체, 하위 처리자 또는 대리인을 의미합니다.
- "영국 부록"은 2018년 영국 데이터 보호법 제119(A)조에 따라 정보위원회가 발행한 국제 데이터 전송 부록(version B1.0)을 의미하며, 수시로 업데이트 또는 개정된 내용을 포함합니다.
- "미국 주 개인정보보호법"은 Seagate 개인정보에 적용되는 모든 관련 데이터 개인정보보호, 데이터 보호 및 사이버보안 법률, 규칙 및 규정을 의미합니다.
- "컨트롤러", "데이터 주체", "처리자", "사업", "수집", "소비자", "공유", "판매", "판매하다", "감독기관" 및 "서비스 제공자"라는 용어는 데이터 보호법에 따라 부여된 의미를 갖습니다.
- "미국 대량 민감 개인 데이터", "관심 대상 국가", "대상 데이터 거래", "적용 대상자", "데이터 중개", "고용 계약", "외국인", "정부 관련 데이터", "투자 계약", "보안 요구 사항", "거래" 및 "공급업체 계약"이라는 용어는 DSP에 따라 부여된 의미를 갖습니다.
- ‘포함’이라는 단어는 제한 없는 포함을 의미하는 것으로 해석되며 동의어는 그에 따라 해석되어야 합니다.
- 데이터 보안 및 보호
- 당사자 지위. Seagate 개인정보와 관련하여 당사자는 회사가 Seagate를 대신하여 처리자로서 해당 개인정보를 처리한다는 것을 인정하고 동의합니다. 회사는 본 계약 및 본 DPA에 명시된 서비스를 제공하는 데 필요한 범위 내에서 개인정보를 처리하도록 지시받습니다.
- CCPA 역할. 2018년 캘리포니아 소비자 개인정보 보호법(캘리포니아 민법 §§ 1798.100 이하 참조, "CCPA", 해당하는 경우 캘리포니아 개인정보 보호권리법("CPRA")에 의해 개정됨)의 목적상, 회사는 사업체인 Seagate의 지시에 따라 행동하는 서비스 제공자로서 개인정보를 처리해야 합니다.
- Seagate 개인정보 공개 금지. 회사는 Seagate의 사전 서면 승인을 받지 않고 Seagate 개인정보를 어떠한 방식으로든 어떠한 목적으로든 제3자에게 공개할 수 없습니다.단, 아래 제2.5절(처리 요구사항)에 따라 하위 처리자에게 공개하는 경우는 예외입니다.전술한 내용을 제한하지 않고, 회사는 어떠한 경우에도 회사 또는 제3자의 상업적 이익을 위해 Seagate 개인정보를 제3자에게 판매하거나 달리 공개할 수 없습니다. Seagate 개인정보를 처리할 권한을 부여받은 모든 사람은 해당 정보의 기밀 유지를 계약상으로 동의하거나 적절한 법적 기밀 유지 의무를 부담해야 합니다.
- 처리 제한. 회사는 본 계약(들)에 따라 Seagate에 서비스를 제공하기 위한 목적 및 Seagate의 문서화된 적법한 지침에 따른 경우에만 Seagate 개인정보를 처리해야 합니다("허용된 목적"). 이러한 목적을 위해 Seagate는 회사에 부록 I(데이터 처리 설명)파트 V B(이전 설명)에 설명된 목적을 위해Seagate 개인정보를처리하도록 지시합니다.회사는 당사자 및/또는 그 계열사 간의 계약 또는 Seagate의 기타 서면 지침에 따라 Seagate에 서비스를 제공하는 데 필요한 경우를 제외하고, Seagate 개인정보를 처리하거나 그 처리를 허용해서는 안 됩니다.
- 처리 요건. 회사는 항상 다음과 같이 해야 합니다. (a) 허용된 목적에 한하여 Seagate의 개인 정보를 처리하고, (b) 자사 또는 제3자의 목적을 위해 Seagate의 개인 정보를 처리하지 않습니다. 회사는 다음을 행하지 않습니다. (i) Seagate의 개인 정보를 판매 또는 공유하는 행위; (ii) 허용된 목적 이외의 다른 목적으로 Seagate의 개인 정보를 보유, 사용 또는 공개하는 행위(계약에 따른 서비스 수행 이외의 상업적 목적으로 Seagate의 개인 정보를 보유, 사용 또는 공개하는 행위 포함), 또는 (iii) Seagate와 회사 간의 직접적인 사업 관계 범위를 벗어난 범위에서 Seagate의 개인 정보를 보유, 사용 또는 공개하는 행위. 회사는 CCPA/CPRA에 따른 의무를 더 이상 이행할 수 없는 경우 Seagate에 통지해야 합니다. 회사는 본 개인정보처리방침에 명시된 요건 및 제한 사항을 이해하고 준수할 것을 보증합니다.섹션 2또한, 당사는 CCPA/CPRA에 따라 서비스 제공업체에 적용되는 요건을 준수할 것입니다. 더불어, 양 당사자는 개인정보 교환이 판매에 해당하지 않으며, 본 계약 또는 본 데이터 처리 계약(DPA)과 관련하여 양 당사자 간에 교환되는 금전적 또는 기타 유가적 대가의 일부를 구성하지 않는다는 점을 인정하고 동의합니다. 어떠한 경우에도 당사는 Seagate로부터 제공받은 Seagate의 개인정보를 다른 개인으로부터 또는 다른 개인을 대신하여 당사가 제공받은 개인정보 또는 당사와 소비자 간의 상호 작용을 통해 수집한 개인정보와 결합하지 않습니다. Seagate와 당사는 CCPA/CPRA에 명시된 요건을 숙지하고 이해했음을 진술합니다.
- 정보 보안 프로그램. 공급업체는 보안, 기밀성 또는 무결성에 대해 예상되는 위협 또는 위험(무단 접근, 수집, 사용, 복사, 수정, 처분 또는 공개, 무단, 불법 또는 우발적인 손실, 파괴, 획득 또는 손상 또는 기타 승인되지 않은 형태의 처리)으로부터 Seagate 개인정보를 보호할 수 있는 적절한 행정적, 기술적, 물리적 안전장치가 포함된 포괄적인 서면 정보 보안 프로그램을 구현, 유지, 모니터링하고 필요한 경우 업데이트합니다('정보 보안 프로그램'). 정보 보안 프로그램에는 부록 II(보안 표준)로 첨부된 보안 표준에 열거된요건 및 조치가 포함됩니다.
- 하위 처리자에 대한 제한. 회사는 Seagate를 위해 서비스를 수행하는 데 필요한 경우 Seagate 개인 정보를 하위 처리자에게 공개할 수 있으며, 이는 본 약관에 명시된 조건에 따릅니다.섹션 2.7회사는 Seagate 개인 정보를 공개하는 하위 처리자 목록을 유지하고 Seagate의 요청 시 이 목록을 Seagate에 제공해야 합니다. 해당되는 경우, 계약 발효일 현재 회사의 현재 하위 처리자 목록은 계약 또는 하위 처리자 목록을 명시한, 회사가 Seagate에 제공하고 양 당사자가 서명한 기타 문서에 포함됩니다. 회사는 하위 처리자를 목록에 추가하기 최소 30영업일 전에 [email protected]으로 Seagate에 통지해야 합니다. Seagate가 통지 수령 후 30영업일 이내에 제안된 하위 처리자에 대해 이의를 제기하지 않으면 해당 하위 처리자는 승인된 것으로 간주됩니다. Seagate가 하위 처리자의 Seagate 개인 정보 접근에 이의를 제기하는 경우, 회사는 해당 하위 처리자에게 Seagate 개인 정보를 공개해서는 안 됩니다. 어느 일방 당사자가 하위 처리자가 Seagate 개인정보 처리와 관련된 위험에 적합한 충분한 보안 보장을 제공하지 않는다고 판단하는 경우, Seagate는 단독 재량으로 해당 하위 처리자를 목록에서 제외할 수 있습니다. Seagate가 하위 처리자에 대해 이의를 제기하거나 하위 처리자를 목록에서 제외하는 경우, 회사는 해당 하위 처리자를 대체할 수 있는 합리적인 기간을 부여받습니다. 회사가 하위 처리자에게 Seagate 개인정보를 공개하지 않고는 서비스를 제공할 수 없는 경우, Seagate는 회사에 어떠한 비용이나 책임도 부담하지 않고 당사자 및/또는 그 계열사 간의 관련 계약을 해지할 수 있습니다.
- 하위 처리자 준수 및 위반. 회사가 하위 처리자를 사용하는 것은 회사의 본 데이터 처리 계약(DPA) 또는 적용 가능한 데이터 보호법을 준수해야 하는 의무를 경감시키지 않습니다. 회사는 하위 처리자의 서비스 수행, 데이터 개인정보 침해 및 본 데이터 처리 계약(DPA)과 적용 가능한 데이터 보호법 위반에 대해 회사가 직접 위반한 경우와 동일한 범위로 Seagate에 책임을 집니다.
- 회사 직원 및 하도급 수탁처리자의 의무 회사는 Seagate 개인정보에 접근할 수 있는 모든 개인 또는 하도급 수탁처리가 본 DPA에 명시된 조건과 최소한 동일하게 제한적인 조건을 포함하는 서면 협약을 체결하도록 보장해야 합니다. 회사는 모든 개인정보 및 데이터 보호 의무가 Seagate의 데이터 처리 종료 후에도 지속된다는 사실을 확실히 해야 합니다. 해당 의무는 영구적으로 또는 최소한 회사가 모든 Seagate 개인정보를 삭제, 파기하고 복구 불가 상태임을 인증할 때까지 지속됩니다.
- 제한적 접근. 제한적 접근. 회사는 당사자 및/또는 그 계열사 간 계약 또는 Seagate의 서면 지침에 따른 회사의 의무를 이행하기 위해 접근이 필요한 회사 직원 또는 하위 처리자로 Seagate 개인정보에 대한 접근을 제한해야 하며, 해당 직원 또는 하위 처리자는 (a) 데이터 보호 및 보안 요구 사항에 대한 교육을 이수했고 (b) Seagate를 위해 처리하는 동안 및 처리 후에 Seagate가 요구하는 요건과 최소한 동일하게 엄격한 데이터 기밀 요구 사항을 준수하는 데 동의해야 합니다.
- 요청 또는 불만 통지. 법률에 의해 금지되지 않는 한, 회사는 Seagate의 개인 정보 처리와 관련된 요청 또는 불만을 접수한 후 영업일 기준 이틀 이내에 [email protected]으로 Seagate에 통지해야 합니다. 여기에는 다음 사항이 포함됩니다.
- 데이터 주체의 데이터 이동권 행사 요청, 접근, 변경, 삭제 또는 제한 요청 및 이와 유사한 요청 또는
- 데이터 처리가 데이터 주체의 권리를 위반한다는 불만 또는 주장
- 회사 답변. 회사는 Seagate의 명시적인 허가를 받지 않는 한,섹션 2.11(요청 또는 불만 사항 통지)에 따른 요청 또는 불만 사항에 응답해서는 안 됩니다. 회사는 삭제 요청을 포함하되 이에 국한되지 않고, 요청 또는 불만 사항과 관련하여 취해지는 모든 조치에 대해 Seagate와 협력해야 합니다. 회사는 법률에 의해 금지되지 않는 한, Seagate가 요청 또는 불만 사항에 대응하는 것을 지원하기 위해 적절한 절차(기술적 및 조직적 조치 포함)를 시행하도록 노력해야 합니다.
- 정보 공개 요청 법으로 금지되어 있지 않는 한, 회사는 Seagate 개인정보 공개를 요청하거나 강제 요청을 주장하는 문서(구두 문의, 질문서, 법적 소송을 위한 정보 또는 문서 요청, 소환장, 민간 조사 요구사, 기타 유사한 요청 또는 처리. 총칭하여 ‘공개 요청’)를 수령하는 경우 즉시 이를 Seagate에 알려야 합니다. 공개 요청이 법적 구속력이 없는 경우 회사는 대응하지 않습니다. 공개 요청이 법적 구속력이 있는 경우, 회사는 준거법에 의해 금지되어 있지 않는 한 적어도 대응하기 48시간 전에 이를 Seagate에 통지하여 Seagate가 공개를 방지 또는 제한할 권한을 행사할 수 있도록 해야 합니다. 회사는 정보 공개를 방지 및 제한하고 Seagate 개인정보의 기밀성을 유지하기 위해 합당한 노력을 다해야 합니다. 회사는 적절한 보호 명령이나 Seagate 개인정보의 기밀성 유지를 위한 보장을 받는 데 협력하는 등, 공개 요청에 대한 조치와 관련하여 Seagate와 협력해야 합니다.
- 협조. 회사는 다음과 관련하여 Seagate가 데이터 보호법에 따른 의무를 이행하도록 지원해야 합니다. (a) 등록 및 통지, (b) 책임성, (c) Seagate 개인정보의 보안 보장, (d) 개인정보 보호 및 데이터 보호 영향 평가(데이터 보호법에 따른 감사 및 위험 평가 포함)와 관련 감독 기관 협의 이행.
- 규제 조사 참여. 회사는 감독 기관의 조사에 대해 회사 또는 회사의 하도급 수탁처리자가 처리하는 Seagate 개인정보와 관련된 범위까지 Seagate를 지원하고 보조해야 합니다.
- 위반 또는 이행 불능의 가능성에 대한 통지. 회사는 다음과 같은 경우 즉시 Seagate에 통지해야 합니다.
- Seagate 개인정보 처리와 관련하여 공급업체가 Seagate로 받은 지시가 준거법을 위반한다고 회사에서 믿을 만한 이유가 있는 경우
- 본 DPA 또는 데이터 보호법에 따른 의무를 준수하기 어려우며 합당한 시간 내에 이러한 이행 불능 상태를 해결할 수 없다고 회사에서 믿을 만한 이유가 있는 경우
- 본 DPA에 따른 의무를 이행하기 어렵도록 만들 수 있는 상황 또는 준거법의 변경이 있음을 회사에서 알게 된 경우
- 준수를 위한 중단 또는 조정. Seagate는 관련 법률, 본 데이터 처리 계약(DPA) 또는 당사자 및/또는 그 계열사 간의 개인정보 보호 또는 데이터 보호 관련 계약의 잠재적 위반 또는 불이행을 방지하기 위해 회사 또는 하위 처리자의 Seagate 개인정보 처리를 중단할 수 있습니다. 회사는 잠재적 위반 또는 불이행을 시정하기 위해 처리를 조정하는 데 있어 Seagate와 협력해야 합니다. 조정할 수 없는 경우, Seagate는 회사에 비용 또는 책임을 부담하지 않고 당사자 및/또는 그 계열회사 간의 관련 계약을 해지할 수 있습니다.
- 데이터 보안 프로그램
- DSP 규정 준수. 당사는 특정 Seagate 개인 정보가 DSP(디지털 보안 정책)의 적용을 받는 대량의 미국 민감 개인 정보 또는 정부 관련 데이터에 해당할 수 있음을 인정합니다. 회사는 Seagate 개인 정보 처리에 적용되는 범위 내에서 DSP를 준수할 것이며, 여기에는 해당 데이터에 대한 접근, 전송 및 사용에 대한 모든 적용 가능한 제한 사항이 포함되며, Seagate 개인 정보는 본 데이터 처리 계약(DPA)에 따라서만 처리할 것임을 진술하고 보증합니다. 본 데이터 처리 계약(DPA)의 어떠한 조항도 회사가 데이터 보호 정책(DSP)에서 금지된 처리 또는 전송에 관여하는 것을 허용하지 않습니다.
- 금지된 거래. 회사는 DSP에 따라 금지되는 대량의 미국 민감 개인 데이터 또는 정부 관련 데이터를 포함하는 데이터 중개에 참여해서는 안 되며, 여기에는 우려 국가 또는 대상자가 접근할 수 있게 되는 거래가 포함됩니다. 이 제한은 익명화, 가명화, 암호화 또는 기타 기술적 보호 조치와 관계없이 적용됩니다.
- 제한된 거래. 회사가 서비스를 수행하는 과정에서 대상자 또는 우려 국가가 대량의 미국 민감 개인 데이터 또는 정부 관련 데이터에 접근할 수 있게 되는 벤더 계약, 고용 계약 또는 투자 계약이 포함될 수 있는 경우, 회사는 다음을 수행해야 합니다. (a) Seagate에 사전에 통지하고, (b) Seagate의 사전 서면 승인을 획득하고, (c) 본 DPA의 보안 표준 또는 당사자 간에 달리 합의된 기타 보안 요구 사항 외에도 DSP에 따른 모든 적용 가능한 보안 요구 사항을 이행해야 합니다.
- 지배구조 및 지속적인 의무. 회사는 소유권, 통제권, 하도급 또는 지리적 접근 권한의 변경을 포함하여 DSP 준수에 영향을 미칠 수 있는 상황 변화를 인지하는 즉시 Seagate에 통지해야 합니다. Seagate는 DSP 준수 문제를 해결하기 위해 필요한 경우 해당 데이터에 대한 접근을 일시 중단하거나 제한할 수 있습니다.본 섹션 3을준수하지 않을 경우 본 DPA의 중대한 위반에 해당하며, 데이터 보안 프로그램 위반에 해당할 수도 있습니다.
- 데이터 전송
- 유럽경제지역, 영국, 스위스 표준 조항.
- 당사자들은 Seagate에서 회사로의 Seagate 개인정보 전송이 제한된 전송인 경우 해당 표준 조항이 적용되며, 이는 참조에 의해 자동으로 통합되며 아래에 명시된 바와 같이 본 DPA의 필수적인 부분을 형성한다는 데 동의합니다.
- EU GDPR에 의해 보호되는 Seagate 개인정보와 관련하여 EU SCC는 다음과 같이 적용됩니다.
- Seagate는 데이터 수출업체가 되고 회사는 데이터 수입업체가 됩니다.
- "모듈 2(C2P)"가 적용됩니다.
- 7항의 경우 선택적 도킹 조항이 적용됩니다.
- "모듈 2(C2P)"의 9항에서 "옵션 2"가 적용되며, 하위 처리자 변경에 대한 사전 통지 기간은 본 데이터 처리 계약(DPA)의 2.7항(하위 처리자에 대한 제한)에 명시된 바와 같습니다.
- 제11조에서 선택적 문구는 적용되지 않습니다.
- 17항에는 적용되지 않습니다.
- "모듈 2(C2P)"의 경우 "옵션 1"이 적용됩니다.
- EU SCC는 아일랜드 법률의 적용을 받습니다.
- 18(b)항의 경우, 분쟁은 아일랜드 법원에서 해결되어야 합니다.
- EU 표준 계약 조항의 부록 I은 다음에 명시된 정보로 작성된 것으로 간주됩니다.부록 I(이 데이터 처리 계약에 대한 데이터 처리 설명)
- EU 표준 계약 조항의 부록 II는 다음에 명시된 정보로 작성된 것으로 간주됩니다.부록 II(보안 표준)은 본 데이터 처리 협정(DPA)에 적용됩니다.
- 영국 GDPR에 의해 보호되는 데이터와 관련하여 EU 표준 계약 조항은 다음과 같이 적용됩니다. (i) 영국 GDPR에 따라 작성된 대로 적용됩니다.섹션 4.1Ba상기 내용 및 (ii) 영국 부록에 명시된 대로 수정된 것으로 간주되며, 영국 부록은 당사자들이 서명하고 본 데이터 처리 협정에 통합되어 그 불가분의 일부를 구성합니다. EU 표준 계약 조항과 영국 부록의 조항 간에 충돌이 있는 경우, 영국 부록 제10조 및 제11조에 따라 해결합니다. 또한, 영국 부록 제1부의 표 1~3은 각각 상기 내용에 명시된 정보로 작성되어야 합니다.부록 I(데이터 처리 설명) 및II (보안 표준)본 개인정보처리방침협약(DPA) 및 제1부의 표 4는 어느 당사자도 선택하지 않음으로써 완료된 것으로 간주됩니다.
- 스위스 개인정보보호법(DPA)에 의해 보호되는 Seagate의 개인 정보와 관련하여, EU 표준 계약 조항(SCC)은 다음과 같이 시행됩니다.섹션 4.1Ba위 사항은 다음 조건이 충족될 경우에 적용됩니다.
- EU 표준 계약 조항에서 Regulation (EU) 2016/679 또는 [EU GDPR]에 대한 언급은 스위스 연방 데이터 보호법("FADP")에 대한 언급으로 해석됩니다.
- "EU법", "연합법" 및 "회원국법"에 대한 언급은 경우에 따라 스위스 및 스위스법에 대한 언급으로 해석되어야 합니다.
- ‘회원국’이라는 용어는 스위스의 데이터 주체가 일상적 거주지(스위스)에서 자신의 권리를 위해 소송을 제기할 가능성을 배제하는 방식으로 해석되어서는 안 됩니다.
- EU SCC 조항은 개정된 FADP가 발효될 때까지 법인의 데이터를 보호하는 것으로 해석되어야 합니다.
- 관할 감독 기관 및 관할 법원에 대한 언급은 스위스 연방 데이터 보호 및 정보 커미셔너와 스위스의 관할 법원에 대한 언급으로 해석됩니다.
- 본 DPA 또는 협약의 조항이 직접적 또는 간접적으로 표준 조항과 충돌하는 경우 표준 조항이 우선합니다.
- 해당되는 경우 회사는 하도급 수탁처리자도 표준 조항을 이행하는지 확인해야 합니다.
- 대체 전송 메커니즘: 회사가 본 개인정보 처리방침(DPA)에 명시되지 않은 대체 데이터 수출 메커니즘(적용 가능한 유럽 개인정보 보호법에 따라 채택된 표준 조항의 새로운 버전 또는 후속 버전 포함)을 개인정보 전송에 적용하는 경우("대체 전송 메커니즘"), 해당 대체 전송 메커니즘은 본 DPA에 명시된 적용 가능한 전송 메커니즘 대신 적용됩니다(단, 해당 대체 전송 메커니즘이 (i) 유럽 개인정보 보호법을 준수하고, (ii) 개인정보가 전송되는 지역에 적용되며, (iii) 아래의 통지 고려 사항을 충족하고, (iv) 회사가 해당 대체 전송 메커니즘에 법적 효력을 부여하기 위해 합리적으로 필요한 기타 추가 문서 및 조치를 작성하는 경우에만 해당). 또한, 관할 법원 또는 구속력 있는 권한을 가진 감독 기관이 (어떤 이유로든) 본 DPA에 명시된 조치를 명령하거나 결정하는 경우, Seagate는 자사 개인정보의 적법한 이전을 보장할 수 없다고 판단하여, 아래에 설명된 통지 고려 사항을 준수하는 조건으로, 자사가 Seagate 개인정보의 적법한 이전을 위해 합리적으로 필요한 추가 조치 또는 보호 조치를 시행할 수 있음을 인정하고 동의합니다. 통지 고려 사항에 따라 자사는 대체 이전 메커니즘 또는 추가 조치를 시행하기 최소 30영업일 전에 [email protected]으로 Seagate에 통지해야 합니다. Seagate가 통지 수령 후 30영업일 이내에 제안된 대체 이전 메커니즘 또는 추가 조치에 이의를 제기하지 않는 경우, 해당 대체 이전 메커니즘 또는 추가 조치는 승인된 것으로 간주됩니다. Seagate가 해당 대체 이전 메커니즘 또는 추가 조치에 이의를 제기하는 경우, 자사는 해당 대체 이전 메커니즘 또는 추가 조치를 사용해서는 안 됩니다. Seagate가 대체 이전 메커니즘 또는 추가 조치에 이의를 제기하는 경우, Seagate는 단독 재량으로 자사와 Seagate 간의 관련 계약을 해지할 수 있습니다. 당사자 및/또는 그 계열사는 회사에 어떠한 비용이나 책임도 부담하지 않습니다.
- 데이터 내보내기 요건이 있는 국가 외부로의 전송. 데이터 보호법에서 Seagate 개인정보를 회사(하위 처리자 포함)로 전송하는 것을 허용하기 위해 해당 데이터 내보내기 제한과 관련하여 추가 조치를 취해야 하는 경우, 회사는 필요한 동의 획득, 해당 데이터 전송 계약(예: 표준 계약 조항) 체결 또는 해당 전송에 대한 적절한 보호 장치가 마련되도록 하는 대체 솔루션을 포함하여, 그러한 데이터 보호 요건을 준수합니다.
- 기타 관할권 조항. 해당되는 경우, 회사는 첨부된 특정 관할권에 대한 요구 사항을 준수해야 합니다.부록 III(특정 관할 구역에 대한 데이터 개인정보 보호 요건)
- 규정 준수 및 책임
- 준수. 회사는 자사 및 하위 처리자의 Seagate 개인정보 처리가 모든 관련 데이터 보호법을 포함하여 회사 및 하위 처리자에게 적용되는 모든 관련 법률, 자율 규제 체계 및 계약 요건을 준수하도록 보장해야 합니다. 회사는 자사 및 하위 처리자의 관행이 본 데이터 처리 계약 및 모든 관련 데이터 보호법을 준수하는지 확인하기 위해 매년 검토해야 합니다. 회사는 본 데이터 처리 계약에 언급된 데이터 보호 및 보안 조항 준수를 입증하라는 Seagate의 요청에 자사 비용으로 협조해야 합니다.
- 처리 활동 기록. 회사는 회사 대표 및 데이터 보호 책임자의 세부 정보, 수행된 처리 활동 범주, 국경 간 데이터 전송 관련 정보, 처리된 데이터와 관련하여 구현된 보안 조치에 대한 일반적인 설명, Seagate 개인정보의 각 하위 처리자의 이름, 연락처 및 처리 세부 정보, 그리고 해당되는 경우 하위 처리자의 대표 및 데이터 보호 책임자에 대한 최신 기록을 유지합니다. 요청 시, 회사는 Seagate 또는 감독 기관에 이 기록의 과거 기록 및 현재 기록의 사본을 제공합니다.
- 감사. 회사는 서면 요청이 있을 경우 Seagate에 이 DPA 및 데이터 보호법 준수를 입증하는 데 필요한 모든 정보를 제공해야 하며, Seagate 개인정보 처리와 관련하여 Seagate 또는 독립적인 제3자 감사 또는 Seagate가 위임한 감사(현장 검사 포함)를 허용하고 이에 기여해야 합니다. 독립적인 제삼자 감사 업체는 당사자와 비공개 협약을 체결해야 합니다. 회사는 합당한 시간 내에 규정 비준수를 해결해야 합니다. 이를 해결할 수 없는 경우, Seagate는 회사에 대한 부채 또는 법적 책임 없이 당사자 및/또는 그 계열회사 간 해당 협약을 해지할 수 있습니다.
- 데이터 프라이버시 위반 후 회사의 책임
- 데이터 프라이버시 위반 통지 회사는 데이터 프라이버시 위반 가능성을 처음 알게 된 후 24시간 내에 알려지거나 의심스러운 보안 위반에 대해 서면으로 Seagate에 통지하고 즉시 다음과 같은 조치를 취해야 합니다.
- [email protected]을 통해 데이터 프라이버시 위반에 대해 Seagate에 통지
- 데이터 프라이버시 위반 사건을 조사하거나 조사에 필요한 도움을 제공
- Seagate에 관련 데이터 주체의 범주, 위치 및 대략적인 수, 및 Seagate 개인정보 기록의 범주, 위치 및 대략적인 수를 포함하나 이에 국한되지 않는 데이터 프라이버시 위반에 관한 세부 정보를 제공하고 데이터 프라이버시 위반에 관한 추가 정보가 있을 경우 즉시 Seagate에 관련 정보 제공
- 데이터 프라이버시 위반 사건의 영향을 완화하기 위해 상업적으로 합리적인 모든 단계를 취하거나 이를 위해 Seagate를 도움
- Seagate의 승인 여부에 따라 구제 계획을 시행하고 시기적절하게 적합한 시정 조치를 취할 수 있도록 데이터 프라이버시 위반 및 Seagate 개인정보 관련 취약성의 해결을 모니터링
- 제지 및 해결. 회사는 데이터 프라이버시 위반을 즉시 제지 및 해결하고 추가적인 데이터 프라이버시 위반을 방지해야 합니다. 회사는 데이터 프라이버시 위반을 제지 및 해결하기 위해 해당 데이터 보호법 및 산업 표준을 준수하기 위한 모든 조치를 취해야 합니다.
- 커뮤니케이션. 회사는 Seagate의 사전 승인 없이는 Seagate임을 식별하거나 식별할 가능성이 있거나 Seagate의 신분을 노출시키는 방식으로 데이터 프라이버시 위반과 관련된 커뮤니케이션을 해서는 안 됩니다.
- 증거 보존. 회사는 사고 대응책을 유지 관리해야 합니다. 데이터 프라이버시 위반을 발견한 경우, 회사는 위반과 관련된 증거를 보존하고 회사의 사고 대응책에 따라 명확한 명령 체계를 유지해야 합니다.
- 협조. 회사는 Seagate 개인정보의 이용, 공개, 보호, 유지 관리와 관련된 Seagate의 권리를 보호하기 위해 Seagate가 요구하는 소송, 조사, 기타 조치에 있어 Seagate에게 협조해야 합니다. 회사는 데이터 프라이버시 위반에 대한 수정, 구제, 조사 및/또는 잠재적 손해의 완화를 위해 Seagate 및/또는 Seagate의 지정 대리인이 요청한 합당한 지원 및 협력을 제공하기로 동의합니다. 여기에는 Seagate가 영향을 받는 데이터 주체, 규제 기관 또는 제3자에게 보내는 것이 적절하다고 판단한 모든 통지 및/또는 Seagate가 영향을 받는 데이터 주체에 제공하는 것이 적절하다고 판단하는 신용보고 서비스 제공이 포함됩니다. 회사는 조사, 수정, 통지를 포함하되 이에 국한되지 않는, 회사 데이터 프라이버시 위반과 관련된 Seagate의 합당한 비용에 대한 책임을 부담합니다.
- SEAGATE 개인정보의 반환 및 안전한 삭제
- 데이터 무결성. 회사는 다음을 비롯하여 데이터 무결성을 유지하기 위한 Seagate의 모든 지침을 준수해야 합니다. (a) 데이터 보호법에 따라 Seagate 개인정보 보관이 요구되는 경우를 제외하고, 회사가 유지하지만 더 이상 서비스 제공에 필요하지 않은 Seagate 개인정보를 폐기, (b) 회사가 Seagate를 대신하여 생성한 Seagate 개인정보가 정확하고 최신 상태로 유지되도록 보장, (c) Seagate의 요청에 따라 관련 법률에 의거하여 Seagate가 Seagate 개인정보에 접근할 수 있도록 허용.
- Seagate 개인정보의 반환 및 삭제. (a) Seagate의 요청 또는 (b) 당사자 및/또는 그 계열사 간의 Seagate 개인정보 처리 관련 계약의 만료 또는 조기 해지 중 더 빠른 시점에, Seagate의 지시에 따라 회사는 Seagate 개인정보를 내보내거나, Seagate 또는 Seagate가 지정한 제3자가 Seagate가 정한 기계 판독 가능하고 상호 운용 가능한 형식으로 모든 Seagate 개인정보를 내보낼 수 있도록 제공하고, 또한 하위 처리자에게 그렇게 하도록 지시해야 합니다. 단, 데이터 보호법에 따라 Seagate 개인정보의 보존이 요구되는 경우는 제외합니다. 회사는 Seagate가 Seagate 개인정보에 완전히 접근하고 내보낼 수 있도록 Seagate가 합리적으로 필요하다고 판단하는 기간 동안 Seagate에 비용 부담 없이 Seagate 개인정보를 보관해야 합니다. 각 당사자는 Seagate 개인정보 이전을 위한 담당자를 지정하고, 적시에 이전이 이루어질 수 있도록 신속하게, 성실하게, 그리고 선의에 따라 협력해야 합니다. Seagate가 (a) Seagate 개인정보가 올바르게 수신 및 이전되었음을 확인하거나 (b) Seagate 개인정보를 이전하지 않기로 선택했음을 회사에 통보한 후 90일 이내에, 회사 및 하위 처리자는 모든 Seagate 개인정보를 안전하게 파기하고 Seagate의 작업 공간 식별자를 연결 해제하며, 새 데이터로 덮어쓰거나 승인된 삭제 방법을 통해 Seagate 개인정보를 달리 파기해야 합니다.
- Seagate 개인정보의 파기. 회사가 Seagate 개인정보가 포함된 종이, 전자 또는 기타 기록을 폐기하는 경우, 데이터 보호법에 따라 Seagate 개인정보 보관이 요구되는 경우를 제외하고, 회사는 Seagate 개인정보의 민감성을 기준으로 Seagate 개인정보를 파기하기 위한 모든 합리적인 조치를 취해야 하며, 그 방법은 다음과 같습니다. (a) 파쇄; (b) 영구 삭제; (c) 자기 소거; 또는 (d) 해당 기록에 포함된 Seagate 개인 정보를 읽을 수 없고, 복구할 수 없으며, 해독할 수 없도록 수정하는 기타 방법. 회사가 Seagate 개인 정보 사본이 포함된 하드 드라이브를 폐기하거나 다른 방법으로 폐기하는 경우, 회사는 미국 국립표준기술연구소(NIST)의 NIST 800-88 개정 1(미디어 소거 지침)에 따라 Seagate 개인 정보를 읽을 수 없도록 안전하게 파쇄 또는 파괴해야 합니다. 회사는 드라이브가 파쇄 또는 파괴되었으며 Seagate 개인 정보를 읽거나, 검색하거나, 복구할 수 없음을 서면으로 증명해야 합니다.
- 보존에 대한 통지. 회사에서 본 DPA에 따라 허용된 기간이 지나도 Seagate 개인정보를 보유할 법적 의무가 있는 경우에는 그러한 의무에 대해 서면으로 Seagate에 알려야 하고, 회사의 법적 의무를 이행하기 위해 해당 정보를 보유하는 것 외에는 Seagate 개인정보를 더 이상 처리할 수 없으며, 법정 보존 기간이 끝난 후에는 최대한 빨리 Seagate 개인정보를 반환 또는 파기해야 합니다. 본 DPA는 회사가 Seagate 개인정보에 대한 보관, 통제, 접근을 중단할 때까지 유효합니다.
- 문서. 회사는 본 DPA와 관련된 Seagate 개인정보의 보존 또는 처분에 대한 내용을 문서화해야 합니다. Seagate의 요청이 있을 경우, 회사는 보존 문서 및 본 DPA에 따라 Seagate 개인정보가 안전하게 파기되었다는 서면 증서를 제공해야 합니다.
- 기타
- 기간. 본 데이터 처리 계약(DPA)은 다음 조건이 충족될 때까지 효력을 유지합니다. (a) 당사자 간에 유효한 다른 계약이 없는 경우, 그리고 (b) 회사가 Seagate의 개인 정보에 대한 보관, 관리 또는 접근 권한을 상실한 경우. 회사는 본 계약에 명시된 대로 관계가 종료될 때까지 Seagate의 개인 정보를 처리합니다. 회사가 Seagate의 개인 정보를 처리하는 동안 본 데이터 처리 계약에 따른 회사의 의무와 Seagate의 권리는 계속 유효합니다.
- 우선 순위 본 데이터 처리 계약과 당사자 및/또는 그 계열사 간의 계약 사이에 불일치가 있는 경우, 본 데이터 처리 계약의 조항이 우선합니다. 단, 다음과 같은 불일치 사항은 예외로 합니다. 부록 II (보안 기준)이 적용되는 경우, 다른 계약의 보안 기준이 본 계약에 명시된 최소 요구 사항에 추가되는 범위 내에서 다른 계약의 보안 기준이 우선합니다. 부록 II. 본 DPA는 표준 조항을 제한하거나 제약하지 않으며, 단지 이를 보완하는 것으로 간주하여야 합니다.
- 업데이트. 회사는 관련 법률 및 규정을 준수하기 위해 필요에 따라 본 DPA를 업데이트하기 위해 합리적으로 협력합니다.
- 제3자 수익자. Seagate의 계열사는 본 DPA의 의도된 제3자 수익자이며, 각 계열사가 본 DPA의 서명자인 것처럼 본 DPA의 조건을 집행할 수 있습니다. 또한 Seagate는 계열사가 회사에 대해 개별적으로 소송을 제기하는 대신 계열사를 대신하여 본 DPA의 조항을 집행할 수 있습니다.
- 감독 기관에 대한 DPA 공개 Seagate는 본 DPA의 요약본 또는 사본을 감독 기관에 제공할 수 있습니다.
- 분리 본 DPA의 조항이 효과가 없거나 또는 유효하지 않은 경우, 이는 나머지 조항에 영향을 미치지 않습니다. 당사자는 효과가 없거나 유효하지 않은 조항을 효과가 없거나 유효하지 않은 조항의 목적을 반영하는 합법적인 조항으로 대체해야 합니다. 필요한 조항이 누락된 경우, 당사자는 신의성실의 원칙으로 적절한 조항을 추가해야 합니다.
- 해석. 본 DPA의 제목은 참조용이며 본 협약의 해석에 영향을 미치지 않습니다.
부록 I
데이터 처리 설명
본 부록 I은 표준 조항의 일부를 구성합니다.
모듈 2: 전송 – 컨트롤러에서 처리자에게로(Seagate 개인정보 관련)(C2P)
A. 당사자 목록
데이터 내보내기 업체
|
이름 및 주소
|
계열회사 및 자회사를 대신하여 서명하는 Seagate Technology LLC 47488 Kato Road, Fremont, CA, 94538
|
담당자 이름 및 연락처 세부 정보
|
Seagate Technology LLC, 계열회사 및 자회사를 대신하여 서명하는 47488 Kato Road, Fremont, CA, 94538 [email protected]
|
이 표준 조항에 따라 전송된 데이터와 관련된 활동
|
계열회사 및 자회사를 대신하여 협약을 체결하는 Seagate Technology LLC는 다양한 산업 분야의 비즈니스 프로세스를 지원하는 하드웨어 제품 및 소프트웨어 솔루션과 서비스의 제공업체입니다.
|
서명 및 날짜:
|
본 DPA를 통합하는 협약을 체결함으로써 데이터 내보내기 업체는 협약 발효일을 기준으로 부록을 포함하여 여기에 통합된 표준 조항에 서명한 것으로 간주됩니다.
|
데이터 내보내기 업체의 역할(컨트롤러/처리자):
|
본 DPA 섹션 2.1 (당사자의 지위)에 명시되어 있습니다.
|
데이터 가져오기 업체
|
이름 및 주소
|
회사 이름 및 주소(협약에 명시된 대로)
|
담당자 이름, 직책, 연락처 세부 정보:
|
회사 이름 및 주소(협약에 명시된 대로)
|
이 표준 조항에 따라 전송되는 데이터와 관련된 활동:
|
회사는 협약에 설명된 대로 데이터 내보내기 업체에 서비스 및 지원을 제공하는 서비스 공급업체입니다.
|
서명 및 날짜:
|
본 DPA를 통합하는 협약을 체결함으로써 데이터 가져오기 업체는 협약 발효일을 기준으로 부록을 포함하여 여기에 통합된 표준 조항에 서명한 것으로 간주됩니다.
|
데이터 가져오기 업체 역할
|
본 DPA섹션 2.1 (당사자의 지위)에 명시되어 있습니다.
|
B. 전송에 대한 설명
데이터 주체의 범주:
|
전송되는 개인 데이터는 다음과 같은 데이터 주체 범주(과거 및 현재)에 관한 것일 수 있습니다.
- Seagate의 직원, 고문, 컨설턴트, 공급업체, 협약자, 하도급업체, 대리인
- Seagate의 비즈니스 파트너 및 잠재적 비즈니스 파트너와 그 직원, 파트너, 고문, 컨설턴트, 공급업체, 협약자, 하도급업체, 대리인
- 잠재적인 마케팅 리드 및 과거 및 현재의 소비자
- Seagate의 과거 및 현재의 고객과 그 직원, 파트너, 고문, 컨설턴트, 공급업체, 협약자, 하도급업체, 대리인
|
전송된 개인 데이터의 범주
|
Seagate가 회사에 제공하거나 Seagate를 대신하여 제공한 개인 데이터 또는 회사가 수집한 개인 데이터로, 회사가 계약에 따라 Seagate에 서비스를 제공하는 데 필요한 데이터 주체 범주와 관련이 있고, Seagate의 문서화된 합법적 지침에 따라 제공되며, 이름, 성, 이메일 주소, 회사 주소, 전화번호, Seagate에서 제공한 기타 개인 데이터 등의 연락처 정보가 포함될 수 있습니다.
|
전송되는 민감한 데이터(해당하는 경우) 및 데이터의 특성 및 관련 위험을 충분히 고려하여 적용되는 제한 사항 또는 보호 장치:**
|
협약에 명시된 대로
|
전송 빈도
|
협약 또는 당사자 간의 문서에 달리 명시되지 않는 한 지속됨.
|
처리/처리 활동의 특성
|
협약에 설명된 대로.
|
데이터 전송 및 처리 목적
|
관련 협약에 따른 서비스 제공.
|
개인 데이터가 보존되는 기간 또는 보존할 수 없는 경우 해당 기간을 결정하는 데 사용되는 기준:
|
개인 데이터는 다음과 같이 보존됩니다.
(a) 본 DPA섹션 7.2 (Seagate 개인정보의 반환 및 삭제)에 따라 또는
(b) 법률에 따라 달리 요구되는 바에 따름 또는
(c) 협약 또는 관련 서비스에 적용 가능한 관련 정보가 포함된 당사자 간의 다른 문서에 명시된 기간 동안
중 더 긴 기간이 선택됩니다.
|
하도급 수탁처리자에게 전종하는 경우 처리 주제, 성격, 기간도 명시됩니다.
|
회사는 당사자 간에 합의된 계약 또는 추가 문서에 해당 정보가 별도로 명시되어 있지 않은 경우 하ㄷ급 수탁처리자에게 전송하는 처리의 주제, 성격, 기간을 [email protected]으로 제공해야 합니다.
|
C. 관할 감독 기관
EU 표준 계약 조항 13항에 따라 관할 감독 기관은 다음과 같습니다. (i) 데이터 수출자의 EEA 소재 국가에 적용되는 감독 기관, (ii) 데이터 수출자가 EEA에 소재하지 않은 경우, EU GDPR 제27조(1)에 따라 데이터 수출자의 EU 대표가 임명된 EEA 소재 국가에 적용되는 감독 기관, 또는 (iii) 데이터 수출자가 대표를 임명할 의무가 없는 경우, 데이터 전송과 관련된 정보 주체가 소재하는 EEA 소재 국가에 적용되는 감독 기관. 영국 GDPR이 적용되는 개인 데이터 처리에 대해서는 정보 감독 사무소(Information Commissioner's Office)가 관할 감독 기관입니다. 스위스 데이터 보호법(DPA)이 적용되는 개인 데이터 처리에 대해서는 스위스 연방 데이터 보호 및 정보 위원회(Swiss Federal Data Protection and Information Commissioner)가 관할 감독 기관입니다.
부록 II
보안 표준
본 부록 II는 표준 조항의 일부를 구성합니다.
본부록 II는회사가 취해야 하는최소한의 보안 조치를 규정합니다.당사자 간의 계약에서 회사에 더 높은 수준 또는 보다 광범위한 보안 조치를 요구하는 경우, 회사는 해당 조건을 준수해야 합니다. 회사는 Seagate 개인정보 및 기타 데이터를 업계 표준에 따라 보호하기 위해 다양한 정책, 표준 및 절차를 유지하고 시행해야 하며, 여기에는 예를 들어 미국 국립표준기술연구소(NIST)의 NIST 사이버보안 프레임워크 2.0 및 ISO 27001 또는 ISO 27002가 포함됩니다. 또한 회사 직원은 이러한 정책, 표준 및 절차에 접근할 수 있어야 합니다.
- 정보 보안 정책 및 표준 회사는 Seagate 개인정보에 접근할 수 있는 직원 및 모든 하도급자, 회사, 대리인에 대해 다음과 같은 목적으로 고안된 보안 요건을 구현해야 합니다.
- 인가되지 않은 자의 Seagate 개인정보 처리 시스템 접근 권한 획득 방지(물리적 접근 제어)
- Seagate 개인정보 처리 시스템 무단 사용 방지(논리적 접근 제어)
- Seagate 개인정보 처리 시스템 사용이 승인된 자는 승인된 접근 권한에 따라서만 Seagate 개인정보에 대해 접근할 수 있고, 처리 또는 사용 중 및 저장 후 Seagate 개인정보가 승인 없이 읽기, 복사, 수정, 삭제가 불가능하도록 함(데이터 접근 제어)
- Seagate 개인정보가 승인 없이 전자적 전송, 이동, 저장 중 읽기, 복사, 수정, 삭제가 불가능하며, 데이터 전송 시설을 통해 Seagate 개인정보를 전송하려는 대상 엔티티의 설정 및 확인이 가능하도록 함(데이터 전송 제어)
- Seagate 개인정보 처리에 Seagate 개인정보가 입력, 수정, 전송, 삭제되었는지, 또한 누구에 의해 그렇게 되었는지를 문서화하기 위한 감사 추적 설정(엔트리 제어)
- 지침에 따라 Seagate 개인정보 처리(지침 제어)
- Seagate 개인정보의 우발적 파기 또는 손실 방지(가용성 제어)
- 다양한 목적으로 수집된 Seagate 개인정보 별도 처리(분리 제어)
회사는 정기적으로 위험 평가 및 검토를 실시하고, Seagate 개인정보의 보안성, 기밀성 또는 무결성에 합당하게 영향을 미칠 수 있는 회사의 비즈니스 관행에 중대한 변경 사항이 있을 때마다 또는 최소 1년에 한 번 정보 보안 관행을 수정합니다. 단, 회사는 Seagate 개인정보의 기밀성, 유효성, 무결성을 약화시키거나 손상시키는 방식으로 정보 보안 관행을 수정하지는 않습니다.
- 물리적 보안. 회사는 Seagate 개인정보를 사용 또는 저장하는 정보 시스템이 있는 모든 회사 사이트에서 상업적으로 합당한 보안 시스템을 유지 관리해야 합니다. 회사는 해당 Seagate 개인정보에 대한 접근을 합리적으로 적절하게 제한합니다.
- 조직 보안
- 미디어를 폐기하거나 재사용할 경우 인벤토리에서 회수하기 전에 저장된 Seagate 개인정보를 차후에 불러올 수 없도록 하는 절차를 구현해야 합니다. 미디어가 유지 관리 작업을 위해 파일이 위치한 구내를 벗어날 경우, Seagate 개인정보를 부적절하게 불러올 수 없도록 하는 절차를 구현해야 합니다.
- 회사는 민감 정보 자산을 분류하고 보안 책임을 명확히 하며 직원의 보안 의식을 고취할 수 있도록 하는 보안 정책 및 절차를 구현해야 합니다.
- 모든 Seagate 개인정보 보안 사고는 적절한 사고 대응 절차에 따라 관리되어야 합니다.
- 회사는 산업 표준 암호화 도구를 사용하여 전송 중 및 유휴 중인 모든 민감 정보를 암호화해야 합니다.
- 네트워크 보안성. 회사는 상용 장비 및 방화벽, 침입 탐지 및 방지 시스템, 접근 제어 목록 및 라우팅 프로토콜을 포함한 산업 표준 기술을 사용하여 네트워크 보안을 유지해야 합니다.
- 접근 제어 회사는 Seagate 개인정보에 대한 접근 권한을 요구하는 회사 직원 수를 최소한으로 제한하는 것을 포함하나 이에 국한되지 않는 적절한 접근 제어를 유지해야 합니다.
- 인가된 직원만 Seagate 개인정보를 사용 또는 저장하는 정보 시스템에 대한 접근 권한을 부여, 수정, 취소할 수 있습니다. 회사는 Seagate에서 요청할 경우 제출해야 하는 접근 기록을 적절하게 유지 관리해야 합니다.
- 사용자 관리 절차는 사용자의 역할 및 권한과 접근 부여, 변경 및 종료 방법을 정의하고, 임무를 적절히 분리하고 로깅/모니터링 요구 사항 및 메커니즘을 정의해야 합니다.
- 회사의 모든 직원에게는 고유한 사용자 ID가 할당되어야 합니다.
- 접근 권한은 ‘최소 권한’ 방식을 준수하여 구현되어야 합니다.
- 회사는 비밀번호를 생성하고 보호하기 위해 상업적으로 합당한 전자식/물리적 보안을 구현해야 합니다.
- 바이러스 및 맬웨어 통제 회사는 시스템에 최신 안티 바이러스 및 맬웨어 방지 소프트웨어를 설치하고 유지 관리해야 하며, 예상되는 위협 또는 위험으로부터 Seagate 개인정보를 보호하고 Seagate 개인정보 사용에 대한 무단 접근 또는 사용을 방지하기 위해 맬웨어 모니터링 및 시스템 스캔을 예약 설정해 두어야 합니다.
- 직원. 회사는 직원에게 Seagate 개인정보에 대한 접근 권한을 제공하기 전에 회사의 정보 보안 프로그램을 준수할 것을 요구해야 합니다. 회사는 직원에게 보안 의무에 관한 보안 의식 고취 프로그램을 시행해야 합니다. 본 프로그램에는 데이터 분류 의무, 물리적 보안 통제, 보안 관행, 보안 사고 보고에 관한 교육이 포함됩니다. 회사는 직원의 역할과 책임을 명확히 정의합니다. 적합한 고용 조건으로 직원 고용 전 심사를 실시합니다. 회사 직원은 수립된 보안 정책 및 절차를 엄격히 따라야 합니다. 직원이 데이터 프라이버시 위반을 저지른 경우 징계 절차를 적용해야 합니다.
- 비즈니스 연속성. 회사는 적절한 백업 및 재해 복구 및 비즈니스 재개 계획을 수행합니다. 회사는 비즈니스 연속성 계획 및 위험 평가를 정기적으로 검토합니다. 비즈니스 연속성 계획은 최신 상태를 유지하고 효과적으로 수행될 수 있도록 정기적으로 검사 및 업데이트됩니다.
- 주 보안 관리자. 회사는 지정된 주 보안 관리자를 Seagate에 통지해야 합니다. 보안 관리자는 회사의 정보 보안 프로그램 및 본 DPA에 명시된 회사의 의무 이행을 관리하고 조정할 책임이 있습니다.
- 감사. Seagate는 본 DPA 제5.3항(감사)에 따라 본 부록 II에 명시된회사의약속 사항을감사할 권리를 보유합니다.
- 위반. 회사가 본 DPA를 위반한 것으로 판단되는 경우, 회사는 부당한 지체 없이, 어떠한 경우에도 30일 이내에 해당 위반을 시정해야 합니다. 알려졌거나 의심되는 데이터 프라이버시 침해에는 본 DPA섹션 6(데이터 프라이버시 위반 후 회사의 책임)이 적용됩니다.
부록 III
특정 관할 지역에 대한 데이터 프라이버시 요구사항
다음과 같은 요구사항은 지정된 관할 지역에 적용됩니다.
- 오스트레일리아
- 적용 범위. 본섹션 1의 조항은 다음의 경우에 적용됩니다. (a) 회사가 호주에 위치한 Seagate 계열사로부터 Seagate 개인 정보를 수신하거나 접근하는 경우, 또는 (b) Seagate가 회사에 Seagate 개인 정보가 이러한 요건의 적용을 받는다고 통지하는 경우.
- 전문직 또는 무역 협회 회원 자격. "민감한 정보"라는 용어에는 개인의 전문직 또는 무역 협회 회원 자격에 관한 개인 정보도 포함됩니다.
- 호주 개인정보보호 원칙. 회사는 Seagate 개인정보를 처리하거나 이 DPA에 따라 서비스를 제공할 때 "호주 개인정보보호 원칙"을 포함하여 1988년 호주 개인정보보호법에 따른 모든 적용 가능한 의무를 준수해야 합니다.
- 법 집행 목적을 위한 사용 또는 공개 통지. 회사가 집행 기관이 수행하거나 집행 기관을 대신하여 수행하는 하나 이상의 집행 활동을 위해 개인 정보를 사용하거나 공개하는 경우, 회사는 해당 사용 및 공개에 대한 서면 기록을 보관하고 법률에 의해 금지되지 않는 한 해당 기록의 사본을 Seagate에 즉시 제공해야 합니다.
- 호주 정부 관련 식별자. 개인정보에 호주 정부 관련 식별자가 포함된 경우, 회사는 (a) Seagate가 명시적으로 지시하지 않는 한 해당 개인에 대한 호주 정부 관련 식별자를 회사의 자체 식별자로 채택해서는 안 되며, (b) 해당 개인의 신원을 확인하는 데 합리적으로 필요하거나 Seagate가 달리 지시한 경우를 제외하고 호주 정부 관련 식별자를 사용하거나 공개해서는 안 됩니다.
- 개인정보 수집. Seagate가 회사에 제공한 지침에 따라 회사가 Seagate를 대신하여 개인정보를 수집해야 하는 경우, 회사는 (a) (i) 데이터 주체의 개인정보 수집과 관련하여 데이터 주체에게 제공해야 하는 정보, (ii) 직접 마케팅 목적으로 요구되는 옵트인 동의와 관련하여 Seagate의 지침을 구해야 하며, (b) 민감 정보 또는 데이터 주체의 동의 없는 개인정보를 수집해서는 안 됩니다.
- 호주 정부와의 공급 계약 Seagate가 호주의 연방, 주, 자치령 단위 정부 기관과 협약한 서비스 제공업체이고 해당 정부 기관과의 계약으로 인해 Seagate가 추가적인 데이터 보호 의무를 준수해야 하는 경우, Seagate는 해당 호주 법률에 따라 필요한 경우 회사에 동등한 의무를 부과합니다. Seagate 및 회사는 이러한 의무를 반영하기 위해 필요한 경우, 추가 계약을 체결하는 것에 동의합니다.
- 중국
- 적용 범위. 본섹션 2의 조항은 회사가 중국에 소재한 Seagate 계열사로부터 Seagate 개인정보를 수령하거나 이에 접근하는 경우, 또는 Seagate가 Seagate 개인정보에 본 요건이 적용된다고 회사에 통지하는 경우에 적용됩니다.
- 개인정보보호법(PIPL)의 역할. 중국 개인정보보호법에 따라 Seagate는 개인정보처리자의 역할을 수행하며, 개인정보처리자는 개인정보처리의 목적과 방식을 결정합니다. 당사는 본 개인정보처리방침의 요구사항 및 Seagate의 지시에 따라 Seagate를 대신하여 개인정보를 처리하는 "위탁기관"이 됩니다.
- 하위 프로세서. DPA섹션 2.4 (데이터 처리 제한에도 불구하고, 회사는 Seagate의 명시적 동의 없이 Seagate 개인정보를 처리하도록 하위 처리자를 관여시켜서는 안 됩니다. 이러한 동의의 조건은 DPA 섹션 2.5 (처리 요구 사항)의 적용을 받습니다.
- 처리 시간 제한. 회사는, 당사자들이 별도 기간에 대해 합의하지 않는 한, 처리 목적을 달성하는 데 필요한 기간 동안에만 개인정보를 처리해야 합니다.
- 제한된 이전. 회사는 Seagate의 개인 정보가 중국에 저장 또는 보관되어 있는 경우 Seagate의 명시적인 동의 없이는 해당 개인 정보를 중국 외 지역으로 이전할 수 없습니다. Seagate는 회사가 필요한 경우 해당 개인 정보를 이전하는 것에 동의하며, 단 회사는 해당 개인 정보 보호를 위해 데이터 보호법을 준수하는 모든 조치를 취해야 합니다.
- 인도
- 적용 가능성. 본섹션 3의 조항은 2000년 정보기술법 및 수시로 개정·대체되는 2011년 정보기술(합리적인 보안 관행 및 절차와 민감 개인정보 또는 정보) 규칙("개인정보 보호 규칙")이 인도의 Seagate 계열사가 제공한 Seagate 개인정보에 대한 회사의 처리에 적용되는 경우 적용되며, 해당 처리가 인도에서 이루어지는지 여부와 관계없습니다.
- 섹션 1.12개인정보보호법(DPA)은 개인정보보호규칙 섹션 3에 명시된 개인정보의 범주를 포함하도록 수정되어야 합니다.
- 일본
- 적용 범위. 본섹션 4의 조항은 회사가 일본에 소재한 Seagate 계열사로부터 수령하거나 접근하는 Seagate 개인정보에 적용됩니다.
- 회사 직원 . 회사는 DPA를 준수하여 회사 직원을 감독할 책임이 있습니다.
- 고용관리조치. 회사는 후생노동성의 “고용관리지침”에 따라 고용관리와 관련된 Seagate의 개인정보를 보호합니다.
- 채용을 통해 알게 된 개인정보 회사는 피고용자가 자신의 채용을 통해 알게 된 Seagate 개인정보를 누설하거나 유용하지 못하도록 해야 합니다.
- 전송 또는 공개 전 동의. 회사는 하도급 수탁처리자를 포함한 DPA의 당사자가 아닌 제3자(모든 계열회사 포함)에게 주민등록번호 및 납세자 식별 번호를 공개 또는 전송하기 전에 Seagate로부터 사전 서면 동의를 받아야 합니다.
- 목적 달성 후 반환 또는 파기. 회사는 개인정보를 수집한 목적을 달성한 후에는 소유하고 있는 Seagate 개인정보의 처리를 중단하고 반환하거나 파기해야 합니다.
- 백업 목적. 회사는 백업 목적인 경우를 제외하고 Seagate 개인정보를 복사하거나 복제할 수 없습니다.
- 대한민국
- 적용 가능성. 본섹션 5의 조항은 회사가 대한민국에 소재한 Seagate 계열사로부터 수령하거나 접근하는 Seagate 개인정보에 적용됩니다.
- 제한된 접근. 회사는 개인정보에 대한 접근을 처리 목적을 위해 합리적으로 접근이 필요한 회사 직원으로 제한합니다.
- 필수 보안 조치. 회사는 다음을 포함한 보안 조치를 수립하고 유지 관리해야 합니다.
- 개인정보의 안전한 취급을 위한 내부 절차
- 방화벽, 바이러스 방지, 맬웨어 방지 소프트웨어 등의 기술적 보안 조치
- 잠금과 같은 물리적 액세스 제한 조치
- 접근 로그 또는 처리 기록의 변경이나 위조를 방지하기 위한 조치;
- 개인정보 보호법("PIPA"), PIPA 시행규칙, 정보통신망 이용촉진 및 정보보호 등에 관한 법률("PICNU"), PICNU 시행규칙, 신용정보의 이용 및 보호에 관한 법률 또는 기타 적용 가능한 한국 법률에 따라 요구되는 경우 개인정보의 암호화 등 개인정보를 안전하게 저장하고 전송하기 위한 조치;
- 특수 식별 데이터의 암호화. 회사는 다음과 같은 경우 거주자 등록 번호, 운전면허번호, 여권 번호를 암호화해야 합니다.
- 정보통신망을 통해 전송할 때
- 휴대용 저장 매체 또는 주변 기기에 저장할 때
- 외부 컴퓨터 네트워크 또는 비무장 지대 또는 개인 컴퓨터 또는 모바일 기기에 저장할 때
- 회사의 시스템이 Seagate가 지정한 위험 기준을 충족하지 못하여 회사의 내부 네트워크에 저장할 때
- 비밀번호 및 생체 인식 데이터의 암호화 회사는 어떤 형식으로든 저장된 모든 비밀번호와 생체 인식 데이터를 암호화해야 합니다.
- 공개 전의 정보. Seagate 개인정보를 제3의 데이터 처리자에게 공개하거나 전송하기 전에, 회사는 Seagate에 합리적인 시일 내 사전에 이를 알려야 합니다. Seagate의 요청이 있는 경우, 회사는 다음 정보를 제공합니다. (a) 하도급할 처리 작업, (b) 제3의 데이터 처리자에 대한 신원 정보, (c) (a) 또는 (b)에 대한 모든 변동 사항.
- 교육. 회사는 Seagate 개인정보 처리 중 Seagate 개인정보의 도난, 유출, 변조 또는 손상을 방지할 수 있도록 Seagate가 회사에 제공하기로 선별한 교육에 참여합니다.
- 싱가포르
- 적용 범위. 본섹션 6의 조항은 싱가포르 개인정보보호법 2012(2012년 제26호)가 회사의 Seagate 개인정보 처리에 적용되는 경우에 적용됩니다.
- DPA 섹션 1.3 은 다음으로 대체됩니다.
1.3 ‘데이터 프라이버시 위반’은 Seagate 개인정보의 우발적 또는 불법적 파기, 손실, 변경, 무단 공개, 액세스, 획득으로 이어지는 보안 위반을 의미하며, 여기에는 다음이 포함됩니다. (a) Seagate 개인정보의 무단 액세스, 수집, 사용, 공개, 복사, 수정, 폐기 또는 (b) Seagate 개인정보의 무단 액세스, 수집, 사용, 공개, 복사, 수정, 폐기가 발생할 가능성이 있는 상황에서 Seagate 개인정보가 저장된 저장 매체 또는 장치의 손실.
- 섹션 6.1DPA의 (개인정보 침해 통지)는 다음으로 대체됩니다.
6.1 데이터 프라이버시 위반 통지. 회사가 데이터 프라이버시 위반이 발생했다고 믿을 만한 이유가 있는 경우, 회사는 부당한 지연 없이 데이터 프라이버시 위반에 대해 Seagate에 서면으로 통지하고 다음을 수행해야 합니다.
- 데이터 프라이버시 위반 사건을 조사하거나 조사에 합리적인 도움을 제공
- Seagate에 데이터 프라이버시 위반에 대한 정보를 제공하고 가능한 추가 관련 정보를 즉시 제공, 및
- 데이터 프라이버시 위반을 제지하거나 데이터 프라이버시 위반의 영향을 완화하기 위해 상업적으로 합당한 조치를 취하거나 회사의 비용으로 Seagate가 그렇게 하도록 지원.
- 대만
- 적용 범위. 본섹션 7의 조항은 당사가 대만에 위치한 Seagate 계열사로부터 수신하거나 접근하는 Seagate 개인정보에 적용됩니다.
- 하위 프로세서. DPA섹션 2.4(처리 제한)에도 불구하고, 회사는 Seagate의 명시적인 서면 동의 없이 Seagate 개인정보를 하위 처리자에게 공개하거나 이전해서는 안 되며, 하위 처리자가 Seagate 개인정보에 접근하도록 허용해서도 안 됩니다.
- 처리 시간 제한. 회사는, 상호가 별도로 기간에 대해 합의하지 않는 한, 처리 목적을 달성하는 데 필요한 기간 동안에만 개인정보를 처리해야 합니다.
- 접근 기록 보존. 회사는 무단 접근 사례를 정기적으로 검토하는 데 필요한 기간 동안만 접근 기록을 보존해야 합니다.
- 태국
- 적용 가능성. 본섹션 8의 조항은 태국 개인정보보호법(BE 2562(2019))("PDPA")이 수시로 개정 및 대체되는 경우, 회사가 태국에 위치한 Seagate 계열사로부터 수신하거나 접근하는 Seagate 개인정보에 적용됩니다.
- DPA 섹션 1.3은 다음으로 대체됩니다.
1.3 ‘데이터 프라이버시 위반’은 개인정보의 손실, 접근, 사용, 수정, 공개를 불법적으로 또는 승인 없이 야기하는 보안 조치 위반을 의미하며, 이는 의도적이거나 고의적이거나 과실이거나 우발적이거나 승인되지 않은 또는 불법적인 행위 또는 컴퓨터 범죄, 사이버 위협, 실수, 사고와 관련된 행위 또는 PDPA에 따라 발행된 통지에 규정된 기타 행위로 인해 발생합니다.
- DPA 섹션 1.12는 PDPA 섹션 26에 명시된 개인정보 범주를 포함하도록 수정됩니다.
- 보안 표준. 회사는 보안 표준을 구현하고 유지하기 위해 최선의 노력을 다하고 모든 합리적인 조치를 취해야 하며, 최소한 다음 요구사항을 준수해야 합니다.부록 II(보안 기준) 및 개인정보보호법(PDPA)과 그에 따라 발행된 기타 규칙, 규정, 통지 및/또는 명령에 명시된 조항 및 요건을 준수해야 하며, 여기에는 "개인정보보호위원회 통지" 등이 포함되지만 이에 국한되지는 않습니다. 데이터 관리자의 보안 조치에 관한 BE 2565(2022)는 수시로 개정, 보완 또는 대체될 수 있습니다.
본 개인정보 보호 협약은 2026년 6월 1일부터 효력을 발생합니다. 이전 버전은 다음과 같습니다.
2025년 7월 31일 발행
2024년 6월 20일 발행
2022년 12월 8일 발행
