주 라이선스 계약서 – 컨트롤러-프로세서 간 데이터 처리 부속서

STATS PERFORM – 팀 성과 마스터 라이선스 계약의 부속서: 컨트롤러-프로세서 간 데이터 처리

본 ‘관리자-처리자 간 데이터 처리 부속서’(이하‘DPA’)는, 해당되는 경우 본문에 첨부된 모든 부록, 별지 및 일정을 포함하여, 귀하에게 제공되는 플랫폼 접속 서비스(작업 지시서 및 MLA에서 언급된 바와 같이)의 특정 서비스와 관련된 ‘팀 퍼포먼스 마스터 라이선스 계약’(이하‘MLA’)의 일부를 구성하며, 이에 통합됩니다. 귀하(이하“라이선스수여자”,“귀하”또는“귀하의”)에게 제공되는 플랫폼 접속 서비스(작업 지시서 및 MLA에서 언급된 바와 같이)의 특정 서비스와 관련하여, 귀하가 데이터 관리자이고 본 계약의 당사자인 Perform Content Limited 또는 관련 계열사(이하“Stats Perform”또는“당사”,“우리”또는“저희”라함)가데이터 처리자 역할을 수행하는 경우, 본 데이터 처리 부속서(이하 “DPA”)는 본 계약에 따라 귀하에게 제공되는 플랫폼 접속 서비스(작업 지시서 및 MLA에서 언급된 바와 같이)의 특정 서비스와 관련하여 귀하에게 제공되는 플랫폼 접속 서비스(작업 지시서 및 MLA에서 언급된 바와 같이)의 특정 서비스와 관련하여 귀하에게 제공되는 플랫폼 접속 서비스(작업 지시서 및 MLA에서 언급된 바와 같이)의 특정 서비스와 관련하여 귀하에게 제공되는 플랫폼 접속 서비스(작업 지시서 및 MLA에서 언급된 바와 같이)의 특정 서비스와 관련하여귀하에게제공되는 플랫폼 접속 서비스(작업 지시서 및 MLA에서 언급된 바와 같이)의 특정 서비스와 관련하여 귀하에게 제공되는 플랫폼 접속 서비스(작업 지시서 및 MLA에서 언급된 바와 같이)의 특정 서비스와 관련하여 귀하에게 제공되는 플랫폼 접속 서비스(작업 지시서 및 MLA에서 언급된 바와 같이)의 특정 서비스와 관련하여 귀하에게 제공되는 플랫폼 접속 서비스(작업 지시서 및 MLA에서 언급된 바와 같이)의 특정 서비스와 관련하여 귀하에게 제공되는 플랫폼 접속

MLA의 조항과 본 DPA의 조항 간에 상충이 있을 경우, 본 DPA의 조항이 우선합니다. 이를 전제로, MLA는 그 외의 사항에 대해서는 계속해서 완전한 효력을 유지합니다.

이에 다음과 같이 합의한다:

1. 정의

1.1. 본 DPA에서 대문자로 표기된 용어는 아래에 명시된 바와 같이, 또는 경우에 따라 본 계약의 다른 조항에 명시된 바와 같은 의미를 가집니다:

1.2.“정보주체”,“개인정보”,“처리”및 그 파생어,“관리자”및“수탁자”라는용어는 개인정보보호법에서 정의된 바와 같은 의미를 가진다.

2. 예약

2. 1. Stats Perform이 라이선스 사용자에게 서비스를 제공하는 과정에서, 라이선스 사용자는 처리를 위해 라이선스 사용자 개인 데이터를 서비스에 제공하거나 입력할 수 있습니다. 이러한 목적을 위해, 라이선스 취득자는 데이터 관리자이며 Stats Perform은 데이터 처리자이며, 이러한 상황에서는 본 DPA가 적용됩니다. Stats Perform이 라이선스 취득자를 대신하여 수행하는 라이선스 취득자 개인 데이터 처리의 대상(성질, 목적, 기간 및 기타 측면을 포함)은 본 DPA의 부속서에 명시되어 있습니다.

2.2. 라이선스 취득자의 개인정보에는 라이선스 취득자의 계열사가 개인정보 처리자로서 관할권을 갖는 개인정보가 포함될 수 있습니다. 라이선스 취득자는 Stats Perform이 본 서비스와 관련하여 라이선스 취득자의 개인정보를 처리함에 있어, 라이선스 취득자의 계열사를 대신하여 Stats Perform에 어떠한 지시나 기타 요구 사항도 전달할 권한이 있음을 확인합니다.

2.3. Stats Perform은 라이선스 취득자로부터 위임받아, 서비스 제공에 필요한 범위 내에서 또는 당사자들이 서면으로 별도로 합의한 바에 따라, 라이선스 취득자 및/또는 라이선스 취득자의 계열사를 대신하여 라이선스 취득자의 개인 데이터를 처리합니다.

2.4. 라이선스 취득자는 자사 및 그 계열사가 데이터 보호법에 따라 다음 사항을 보장할 전적인 책임이 있음을 인정하며, 이를 보증하고 진술합니다. 라이선스 수취인의 개인 데이터 처리는 적절한 법적 근거에 따라 수행되며, 해당 데이터 처리에 따른 적절한 고지 사항이 관련 데이터 주체에게 제공되고, 라이선스 수취인의 개인 데이터가 정확하고 최신 상태이며, 해당 데이터에 대해 적절한 데이터 보존 기간이 정의되고 이행된다는 점을 보증하고 진술합니다.

3. 기간

본 DPA는 발효일부터 적용되며, 본 계약 또는 서비스의 해지 또는 만료 시까지(“계약 기간”) 그 효력을 유지합니다.

4. 데이터 보호 규정 준수

4.1. 계약 기간 동안 처리자로서 라이선스 사용자의 개인정보를 처리함에 있어, 법률에 달리 규정된 경우를 제외하고, Stats Perform은 다음 사항에 동의합니다:

4.1.1. 라이선스 보유자의 개인정보 처리에 있어 관련 개인정보 보호법을 준수해야 한다;

4.1.2. 라이선스 수취인의 개인 데이터는 서비스 제공과 관련하여 필요한 경우에만, 서비스와 관련하여 수시로 합리적으로 제공되는 라이선스 수취인의 문서화된 합법적 지시에 따라, 그리고 익명화된 데이터에 대한 내부 비즈니스 분석을 목적으로만 처리해야 합니다. Stats Perform은 적용되는 법률에 따라 라이선스 사용자의 개인 데이터를 처리해야 할 수도 있으며, 이 경우 해당 법률이 중대한 공익상의 이유로 그러한 정보 제공을 금지하지 않는 한, 처리 전에 라이선스 사용자에게 해당 법적 요건을 통지해야 합니다. 라이선스 사용자는 자신의 지시가 Stats Perform이 법률을 위반하는 결과를 초래하지 않을 것임을 지속적으로 보증하고 진술합니다.

4.1.3. Stats Perform이 특정 지시가 개인정보보호법을 위반한다고 판단하는 경우, 라이선스 사용자에게 이를 통지하며, Stats Perform은 해당 지시를 따르지 않을 권리가 있습니다;

4.1.4. Stats Perform로부터 라이선스 보유자의 개인 데이터를 처리할 권한을 부여받은 모든 직원이 기밀 유지에 동의했거나 적절한 법적 기밀 유지 의무를 지고 있음을 보장해야 한다;

4.1.5. 보호 대상인 라이선스 수취인 개인정보의 성격 및 보안 침해(이하 ‘보안 침해’라 함)로 인해 발생할 수 있는 피해 위험을 고려하여, 본 DPA의 부속서에 명시된 조치에 따라 라이선스 수취인 개인정보를 적절히 보호하기 위한 적절한 기술적 및 조직적 조치를 이행해야 합니다;

4.1.6. Stats Perform은 개인정보보호법(Data Protection Law)에 따라 접수한 모든 정보주체의 요청 또는 라이선스 사용자의 개인정보와 관련된 규제 기관이나 법 집행 기관의 요청에 대해 지체 없이 라이선스 사용자에게 통지해야 합니다. Stats Perform은 각 정보주체의 요청에 대해 접수 사실을 확인할 수 있습니다. 라이선스 보유자와 합의된 경우, Stats Perform은 라이선스 보유자의 비용으로, 데이터 보호법에 따라 제기된 데이터 주체의 요청에 응답해야 하는 라이선스 보유자의 의무를 이행할 수 있도록 가능한 범위 내에서 적절한 기술적 및 조직적 조치를 통해 라이선스 보유자를 지원할 수 있습니다.

4.1.7. 라이선스 사용자의 비용으로, 데이터 보안, 데이터 침해 통지, 데이터 보호 영향 평가 및 개인정보 보호 및 데이터 보호 문제를 관장하는 관할 감독 당국과의 사전 협의와 관련하여 라이선스 사용자가 데이터 보호법을 준수할 수 있도록 라이선스 사용자가 합리적으로 요구하는 지원을 제공해야 합니다;

4.1.8. 라이선스 사용자의 선택과 비용 부담 하에, 서비스 제공 종료 후 라이선스 사용자의 개인 데이터를 삭제하거나 모든 라이선스 사용자의 개인 데이터를 라이선스 사용자에게 반환하고, 정당한 사업적 목적으로 보관되는 익명화된 라이선스 사용자 데이터 또는 관련 법률에 따라 계속 보관해야 하는 라이선스 사용자의 개인 데이터를 제외하고, 모든 라이선스 사용자의 개인 데이터에 대한 기존 사본을 삭제하며;

4.1.9. 라이선스 수취인의 비용으로, Stats Perform이 본 DPA를 준수하고 있음을 입증하는 데 합리적으로 필요한 정보를 라이선스 수취인에게 제공하며, 당사자들이 합의한 합리적인 사전 통지 하에 독립적인 제3자가 수행하는 감사 및 검사를 허용해야 합니다. 본 조항에 따라 감사권을 행사하는 경우, 라이선스 취득자는 제5조 규정에 따라 다음을 이행하고, 감사를 수행하는 당사자가 이를 이행하도록 보장해야 합니다: (a) 감사는 감사가 수행되는 Stats Perform 또는 그 계열사의 사업장 일반 업무 시간 중에만 수행해야 합니다; (b) 감사를 수행할 때 업무 운영에 지장이 없도록 모든 합리적인 주의를 기울여야 하며, 특히 다른 고객의 환경에 대한 위험(예: 서비스 수준에 미치는 영향, 데이터 가용성, 기밀성 문제 등)을 방지하거나 완화해야 합니다; (c) 데이터 보호법의 적용 가능한 조항 및 Stats Perform의 합리적인 요구 사항을 준수해야 합니다; (d) 서비스의 복잡성, 서비스에서 발생하는 위험, 서비스의 중요성 또는 중대성, 그리고 서비스가 라이선스 보유자의 활동 지속성에 미칠 수 있는 잠재적 영향을 고려하여, 감사 권한을 비례적인 방식으로 행사해야 합니다; (e) 관련되고 일반적으로 인정되는 국내 및 국제 감사 기준을 준수해야 합니다; (f) 자사 직원 또는 제3자 감사인이 감사를 수행하는 데 필요한 적절하고 관련성 있는 기술과 지식을 보유하고 있는지 확인해야 합니다; 및 (g) 본 하위 조항에 따라 공유된 모든 정보를 기밀 정보로 취급해야 합니다.

5. 감사

상기 제4.1.9조에 따라, Stats Perform는 하도급 처리자와의 합의에 따라 (EU GDPR 또는 UK GDPR(해당되는 경우) 제28조(3)(h)항의 요건을 충족함에 따라) 하도급 처리자에 대한 감사 권한을 행사할 것입니다. Stats Perform은 자체 재량에 따라, 그러나 라이선스 사용자의 법적 의무를 적절히 고려하여, 해당 정보가 Stats Perform의 비즈니스에 민감한 정보이거나 해당 정보를 공개함으로써 Stats Perform이 법적 또는 계약상 의무를 위반하게 되는 경우, 정보 공개를 거부할 권리를 가집니다. 특히, Stats Perform은 Stats Perform의 라이선스 사용자에 관한 데이터나 정보, Stats Perform의 비용, 품질 및 계약 관리 보고서, 또는 합의된 검사 목적에 엄격히 필요하지 않은 기타 정보에 대한 접근 권한을 라이선스 사용자에게 부여하지 않습니다.

6. 하도급 처리업체

6.1. Stats Perform는 본 DPA에 따라 라이선스 보유자의 개인 데이터 처리에 관여하는 모든 하도급업체(각각“하도급 처리자”)를 본 제6조에 따라 선정합니다.

6.2. 본 DPA에 따라 특정 데이터 처리 활동을 수행하기 위해 라이선스 보유자의 개인 데이터를 처리하는 현재 하도급 처리업체 목록은 부속서(수시로 갱신됨)에 명시되어 있습니다. 발효일 현재, 라이선스 보유자는 본인의 개인 데이터와 관련하여 이러한 하도급 처리업체의 이용에 동의합니다.

6.3. Stats Perform는 부속서(Schedule)에 명시된 하도급 처리자 목록과 다르며 라이선스 사용자의 개인 데이터 처리에 영향을 미치는 신규 또는 교체된 하도급 처리자가 있을 경우, 이를 라이선스 사용자에게 정식으로 통지해야 합니다. 라이선스 사용자가 합리적인 근거를 바탕으로 이러한 변경에 이의를 제기하는 경우, 본 조항에 따라 Stats Perform로부터 통지를 받은 날로부터 14일 이내에 Stats Perform에 이를 통지해야 하며, 그렇지 않을 경우 해당 변경은 수락된 것으로 간주됩니다. 본 조항에 따라 합리적으로 이의가 제기된 경우, 당사자들은 해결 방안을 합의하기 위해 성실히 협의해야 합니다. 그러나 Stats Perform이 합리적으로 판단하여 그러한 해결 방안에 합의되지 않을 경우, Stats Perform은 하도급 처리자의 변경과 관련된 서비스를 해지할 수 있는 권리를 가집니다.

6.4. 하도급 처리업체를 선정할 때, Stats Perform은 다음을 이행합니다:

6.4.1. 합리적인 실사를 수행한다;

6.4.2. 라이선스 수취인의 개인 데이터 처리에 관해 적절한 보호 조치를 제공하기 위해, 가능한 한 본 DPA의 조건과 실질적으로 동등한 조건으로 계약을 체결하며, 필요한 경우 국제 데이터 이전 조항(또는 이와 유사한 조항)을 포함할 수 있다; 그리고

6.4.3. 본 DPA에 따른 하위 처리자의 데이터 처리 의무 이행과 관련하여 라이선스 수취인에 대해 전적인 책임을 진다.

7. 보안 사고

7.1.“보안 침해”란Stats Perform이 전송, 저장 또는 기타 방식으로 처리하는 라이선스 보유자의 개인 데이터가 우발적 또는 불법적으로 파기, 분실, 변조되거나 무단으로 공개되거나 접근되는 결과를 초래하는 보안 위반을 의미합니다.

7.2. Stats Perform은 보안 침해 사실을 인지하는 즉시 라이선스 사용자에게 통지합니다. 가능한 경우, Stats Perform은 단계적으로 통지합니다.

7.3. Stats Perform은 보안 침해 사고를 조사하고, 해당 사고를 파악하며, 이를 방지하고 그 영향을 최소화하기 위해 합리적인 조치를 취합니다. 또한, 라이선스 사용자의 비용 부담 하에, Stats Perform은 데이터 보호법을 준수하기 위해 라이선스 사용자가 합리적으로 요청하는 추가 조치를 취합니다.

7.4. 개인정보보호법의 요건을 준수하는 것을 전제로, 라이선스 취득자는 Stats Perform의 사전 서면 승인을 받지 않고는 보안 침해와 관련된 어떠한 서류, 통신, 통지, 보도 자료 또는 보고서도 공개하거나 발표할 수 없습니다. 다만, 해당 승인은 부당하게 보류되어서는 안 됩니다.

8. 국제 데이터 전송

8.1. 라이선스 수취인은 Stats Perform이 라이선스 수취인의 개인 데이터를 해외로 이전할 수 있음을 인정합니다. Stats Perform은 해외 이전이 이루어지는 경우, 해당 데이터가 적용 가능한 데이터 보호법에 따른 적절한 보호 조치를 바탕으로 이루어지도록 보장하며, 필요한 경우 관련 수입자와 적절한 해외 이전 조항(또는 대체 표준 계약 조항)을 체결할 것입니다.

8.2. 라이선스 취득자가 EU 일반 데이터 보호 규정(GDPR)의 적용을 받으며, 유럽 경제 지역(EEA) 외부에서 처리하기 위해 Stats Perform에 라이선스 취득자 개인 데이터를 이전하는 경우, 해당 이전이 국제적 이전(International Transfer)에 해당하고 EU GDPR 제45조에 명시된 적정성 결정에 근거하지 않는다면, 양 당사자는 모듈 2(또는 해당되는 경우 모듈 3) 버전의 EU 표준 계약 조항(EU SCCs)을 준수하여야 하며, 해당 조항은 본 DPA에 통합되어 그 일부를 구성하는 것으로 간주되며 다음과 같이 작성됩니다:

8.2.1. EU 표준 계약 조항(SCC) 제7조(도킹 조항)는 적용되지 않습니다;

8.2.2. 부속서에 ‘합의된 목록’이 명시되어 있고 기간이 14일인 경우, EU 표준 계약 조항(SCC) 제9조(a)항에 대해서는 옵션 2가 적용됩니다;

8.2.3. EU 표준 계약 조항(SCC) 제11조(a)항에 따른 선택적 구제 조항은 적용되지 않습니다;

8.2.4. 해당되는 경우, EU 표준 계약 조항(SCC) 제13조에 따른 관할 감독 기관은 아일랜드 데이터 보호 위원회입니다;

8.2.5. EU 표준 계약 조항(SCC) 제17조에 대해서는 옵션 2가 적용되며, 준거법은 아일랜드 공화국 법입니다;

8.2.6. EU 표준 계약 조항(SCC) 제18조(b)항에 따른 관할 법원 및 관할권은 아일랜드 공화국 법원으로 한다; 그리고

8.2.7. EU 표준 계약 조항(SCC)의 부속서 I 및 II에는 아래 표에 명시된 정보가 기재된 것으로 간주됩니다.

8.3. 라이선스 수취인이 영국 GDPR의 적용을 받으며, 영국 외부에서 처리하기 위해 라이선스 수취인 개인 데이터를 Stats Perform으로 이전하는 경우, 해당 이전이 국제적 이전(International Transfer)에 해당하고 영국 GDPR 제45조에 명시된 적정성 결정에 근거하지 않는다면, 상기 제8.2조에 따라 EU 표준계약조항(EU SCCs)이 적용되며, 이는 당사자들이 체결한 것으로 간주되고 본 DPA에 편입되어 그 일부를 구성하는 ICO 영국 부속서에 명시된 바에 따라 수정된 것으로 간주됩니다. 본 제8.3조에 따라 ICO 영국 부속서가 적용되는 경우:

8.3.1. ICO 영국 부록 제1부의 표 1 및 표 3은 EU 표준 계약 조항(SCC) 부록 및 (따라서) 아래의 별지에 명시된 관련 정보로 작성된 것으로 간주한다;

8.3.2. 제1부 표 2에 있는 “EU 표준 계약 조항(SCC) 부록”은 (상기 제8.2조에 따라) 본 DPA에 편입된 EU 표준 계약 조항(SCC)으로 간주되며, 여기에는 (영국 정보위원회(ICO) 부록에 정의된 바와 같은) 부록 정보가 포함됩니다;

8.3.3. 제1부의 표 4는 “양측 모두 해당 없음”을 선택함으로써 작성된 것으로 간주하며; 그리고

8.3.4. EU 표준 계약 조항(SCC)의 조건과 ICO 영국 부속서 간에 상충되는 사항이 있을 경우, ICO 영국 부속서의 제9조, 제10조 및 제11조에 따라 해결됩니다.

8.4. 국제 데이터 이전 조항이 적용되는 경우, 해당 조항의 규정은 본 DPA에 명시된 Stats Perform의 데이터 처리 의무(제4조부터 제7조에 규정된 내용을 포함)를 대체합니다. 국제 데이터 이전 조항의 규정과 본 DPA 또는 본 계약 간에 상충이 발생하는 경우, 국제 데이터 이전 조항이 우선합니다. 본 계약의 조건 및 본 DPA의 조건은 어떠한 방식으로도 국제 데이터 이전 조항을 변경하지 않으며, 이를 변경하려는 의도도 없습니다.

9. 배상 책임

9.1. 본 계약에 명시된 책임의 배제 또는 제한 조항이나 이와 상반되는 어떠한 규정에도 불구하고, 라이선스 취득자는 Stats Perform 및 그 계열사, 그리고 이들의 임원, 직원, 대리인 및 하도급업체(각각“면책 대상자”)가본 계약 및 본 DPA에 따라 라이선스 사용자의 개인 데이터를 처리하는 과정에서 발생하거나 이와 관련하여 제3자의 청구, 집행 조치 또는 기타 절차로 인해 입은 모든 청구, 손실, 요구, 소송, 책임, 벌금, 과태료, 합리적인 비용, 손해배상금 및 합의금(합리적인 변호사 수임료 및 소송 비용을 포함)에 대하여 배상할 것을 약속하며 이에 동의합니다.

9.2. 제9.1조 및 제10.2조의 규정에 따라, 본 DPA에 따른 당사자 중 어느 한 쪽의 책임은 본 계약에 명시된 책임 제한 조항의 적용을 받는다.

10. 기타

10.1. 본 DPA에 포함된 조항 제목 및 기타 표제는 참고의 편의를 위한 것일 뿐이며, 본 DPA의 일부를 구성하거나 본 DPA의 의미 또는 해석에 어떠한 영향도 미치지 않습니다.

10.2. 본 DPA의 어떠한 조항도 관련 법률에 따라 제한되거나 배제될 수 없는 당사자 중 어느 한 쪽의 책임을 배제하거나 제한하지 않습니다. 전항의 규정에 따라, (i) 본 DPA(모든 부속서, 첨부서 및 부록을 포함)는 본 계약의 대상과 관련하여 당사자 간의 완전한 합의를 구성하며, 해당 대상과 관련된 당사자 간의 모든 이전 합의, 이해, 협상 및 논의를 대체합니다; 그리고 (ii) 본 DPA를 체결함에 있어 어느 당사자도 본 DPA에 명시적으로 규정된 경우를 제외하고는, 과실 여부와 관계없이 이루어진 어떠한 진술, 표명 또는 보증에도 의존하지 않았으며, 이에 근거하여 어떠한 권리나 구제 수단도 갖지 않습니다.

10.3. 라이선스 수취인은 본 DPA에 따라 라이선스 수취인의 비용으로 이행되는 의무와 관련하여 Stats Perform 및/또는 그 계열사가 부담한 합리적인 변호사 수임료, 서신 작성 및 발송 비용을 포함하되 이에 국한되지 않는 모든 비용 및 경비를 청구서 발행일로부터 30일 이내에 Stats Perform에 지급하여야 한다.

10.4. 해지 또는 계약 위반에 관한 모든 통지는 영어로 작성된 서면 형태로, 상대방의 주 담당자 및 법무 부서에 발송되어야 합니다. 통지는 유효한 수령 확인서 또는 전자 기록에 의해 확인된 수령 시점에 전달된 것으로 간주됩니다. 우편으로 발송된 통지는 등기 우편 발송일로부터 48시간이 경과한 시점에 수령된 것으로 간주됩니다.

10.5. 본 DPA의 조항은 분리 가능합니다. 만약 어떤 문구, 조항 또는 규정이 전체 또는 일부가 무효이거나 집행 불가능한 경우, 그러한 무효성 또는 집행 불가능성은 해당 문구, 조항 또는 규정에만 영향을 미치며, 본 DPA의 나머지 부분은 완전한 효력을 유지합니다.

10.6. 본 DPA는 영국 법의 적용을 받으며, 당사자들은 본 DPA와 관련된 모든 분쟁(계약상 또는 비계약상)에 대해 영국 법원의 전속 관할권에 따르기로 합니다. 단, 제8조에 따라 대체 구제 수단을 제공하는 경우로 인해 발생하는 분쟁은 예외로 하며, 다만 당사자 중 어느 한 쪽이라도 자신의 재산, 지적 재산권 또는 기밀 정보를 보호하기 위해 가처분 명령이나 기타 구제 조치를 요청하기 위해 어느 법원에든 신청할 수 있습니다.

일정

데이터 처리 세부 사항