본 데이터 처리 계약(“DPA” 또는 “계약”)은 다음 당사자 간에 체결됩니다.
| 분야 | 세부 정보 |
|---|---|
| 회사 이름 | [고객 성명 (법적 성명)] |
| 등록 된 주소 | [주소] |
| 부가가치세/사업자등록번호 | [부가가치세 번호] |
| 데이터 보호 담당자 연락처 | [데이터 보호 책임자 이메일/연락처] |
| 서명 대리인 | [이름, 직함] |
| 분야 | 세부 정보 |
|---|---|
| 회사 이름 | 자이제니 보안, SL |
| 등록 된 주소 | C/Pasión 4, 2 Planta, 47001 바야돌리드, 스페인 |
| VAT | B09620287 |
| 데이터 보호 담당자 연락처 | info@xygeni.io |
| 서명 대리인 | [이름, 직함] |
이하에서 컨트롤러와 프로세서는 각각 “당사자”라 하고, 집합적으로는 “당사자들”이라 합니다.
본 데이터 처리 계약(DPA)은 Xygeni가 자사 애플리케이션 보안 및 데이터 보호 서비스를 제공하는 것과 관련된 당사자 간의 마스터 서비스 계약 또는 서비스 약관(“주 계약”)의 일부를 구성합니다. software supply chain security 본 개인정보처리방침과 주계약 사이에 충돌이 발생하는 경우, 개인정보 보호 관련 사항에 대해서는 본 개인정보처리방침이 우선합니다.
이 DPA의 목적:
당사자들은 다음 사항을 인정하고 동의합니다.
Xygeni가 자체 목적(예: 계정 관리, 청구, 서비스 개선 분석)을 위해 개인 데이터를 처리하는 경우, Xygeni는 독립적인 데이터 관리자 역할을 합니다. 이러한 처리는 Xygeni의 개인정보 처리방침의 적용을 받으며, 본 데이터 처리 계약(DPA)의 적용 범위에서 제외됩니다.
처리의 주제, 성격, 기간 및 목적, 그리고 처리되는 개인 데이터의 유형 및 데이터 주체의 범주는 본 데이터 처리 계약(DPA)의 부록 1(처리 세부 정보)에 명시되어 있습니다.
처리자는 주 계약에 명시된 서비스를 제공하는 데 필요한 범위 내에서만, 그리고 관리자의 문서화된 지침에 따라 고객 데이터를 처리해야 합니다. 단, 관련 법률에 따라 처리가 요구되는 경우는 예외입니다. 이러한 경우, 처리자는 처리 전에 해당 법적 요구 사항을 관리자에게 알려야 합니다. 단, 중요한 공익상의 이유로 법률에 의해 금지된 경우는 예외입니다.
컨트롤러는 프로세서에게 다음과 같은 목적으로 고객 데이터를 처리하도록 지시합니다. (a) 주 계약에 따라 서비스를 제공하기 위해; (b) 컨트롤러가 서면으로 수시로 전달하는 지시를 준수하기 위해; 및 (c) 본 데이터 처리 계약에 따른 프로세서의 의무를 이행하기 위해.
처리자는 컨트롤러의 지시가 적용 가능한 데이터 보호법을 위반한다고 합리적으로 판단하는 경우, 컨트롤러에게 즉시 알려야 합니다. 이러한 경우, 처리자는 컨트롤러가 해당 지시를 명확히 하거나 수정할 때까지 해당 지시에 따른 처리를 중단할 권리가 있습니다.
데이터 관리자는 다음과 같이 보증하고 진술합니다. (a) 관련 개인 데이터를 처리하기 위한 GDPR 제6조(및 해당되는 경우 제9조)에 따른 유효한 법적 근거를 보유하고 있습니다. (b) 필요한 모든 고지를 제공하고 필요한 모든 동의를 얻었습니다. (c) 고객 데이터를 처리자에게 전송하는 것은 관련 법률을 위반하지 않습니다.
처리자는 관련 EU 또는 회원국 법률에 따라 요구되는 경우를 제외하고, 관리자의 문서화된 지시에 따라서만 고객 데이터를 처리해야 합니다. 처리자는 자체 목적으로 고객 데이터를 처리하거나 서비스 제공에 필요한 경우 또는 법률에 의해 요구되는 경우를 제외하고 제3자에게 공개해서는 안 됩니다.
처리자는 고객 데이터를 처리할 권한을 부여받은 사람이 다음 사항을 준수하도록 보장해야 합니다. commit기밀 유지 의무를 준수하거나 적절한 법적 기밀 유지 의무를 부담하는 직원만 고객 데이터에 접근할 수 있습니다. 고객 데이터 접근은 서비스 제공을 위해 접근이 필요한 직원, 계약업체 및 하위 처리업체로 제한됩니다.
처리자는 무단 또는 불법적인 처리 및 우발적인 손실, 파괴, 손상, 변경 또는 공개로부터 고객 데이터를 보호하기 위해 적절한 기술적 및 조직적 조치를 구현하고 유지해야 하며, 이때 다음 사항을 고려해야 합니다.
그러한 조치에는 최소한 본 데이터 처리 계약(DPA)의 부록 2(기술 및 조직적 보안 조치)에 명시된 조치가 포함되어야 합니다. 처리자의 ISO 27001 인증은 기본 정보 보안 관리 시스템에 대한 증거를 제공합니다. 처리자는 본 DPA의 기간 동안 ISO 27001 인증 또는 그에 상응하는 인증을 유지해야 합니다.
처리자는 처리의 성격을 고려하여, 가능한 한 적절한 기술적 및 조직적 조치를 통해 데이터 관리자가 정보 공개 요청에 응답해야 하는 의무를 이행할 수 있도록 지원해야 합니다.cis적용 가능한 데이터 보호법에 따른 정보 주체의 권리(GDPR 제15조~제22조에 따른 접근, 정정, 삭제, 제한, 이동 및 이의 제기 권리 포함)를 보장합니다.
처리자는 다음 사항을 준수해야 합니다. (a) 데이터 주체로부터 고객 데이터와 관련된 요청을 받은 경우 즉시 컨트롤러에게 통지해야 합니다. (b) 컨트롤러의 문서화된 지시가 있거나 관련 법률에 따라 요구되는 경우를 제외하고는 그러한 요청에 응답해서는 안 됩니다. (c) 관련 법정 기한(GDPR 제12조에 따른 30일) 내에 그러한 요청에 응답할 수 있도록 컨트롤러에게 합리적인 지원을 제공해야 합니다.
처리자는 처리의 성격과 처리자가 보유한 정보를 고려하여 GDPR 제32조~제36조에 따른 의무를 준수하도록 관리자를 지원해야 하며, 여기에는 다음 사항이 포함됩니다.
주계약이 종료되거나 만료되는 경우, 또는 개인정보처리자의 요청이 있는 경우, 개인정보처리자는 개인정보처리자의 선택에 따라 보유하고 있는 모든 고객 데이터를 삭제하거나 개인정보처리자에게 반환해야 하며, 관련 EU 또는 회원국 법률에 따라 개인정보를 보관해야 하는 경우를 제외하고 기존 사본도 삭제해야 합니다. 개인정보처리자는 관련 사유 발생일로부터 30일 이내에 서면으로 삭제 완료를 확인해야 합니다.
프로세서의 standard 데이터 보존 일정(별첨 1 참조)은 관리자가 조기 삭제를 요청하지 않는 한 적용됩니다.
처리자는 본 데이터 처리 계약에 명시된 의무 준수를 입증하는 데 필요한 모든 정보를 관리자에게 제공해야 하며, 관리자 또는 관리자가 지정한 감사인이 실시하는 감사(검사 포함)에 협조하고 이를 허용해야 합니다.
처리자는 다음을 제공함으로써 이 의무를 이행할 수 있습니다.
개인정보처리자는 고객 데이터에 영향을 미치는 개인정보 유출 사실을 인지한 후 지체 없이, 그리고 어떠한 경우에도 48시간 이내에 개인정보처리자에게 통지해야 합니다. 이러한 통지에는 당시 이용 가능한 범위 내에서 다음 사항이 포함되어야 합니다.
위의 모든 정보를 동시에 제공하는 것이 불가능한 경우, 불필요한 추가 지연 없이 단계적으로 정보를 제공할 수 있습니다. 처리자는 관리자와 협력하고, 위반 조사, 완화 및 복구를 지원하기 위해 관리자가 요구하는 합리적인 조치를 취해야 합니다.
당사자들은 개인정보보호법(GDPR) 제33조에 따라 개인정보 유출 사실을 인지한 후 72시간 이내에 관할 감독기관(스페인 데이터 보호청 - AEPD 또는 기타 관련 기관)에 통보해야 하는 의무가 데이터 관리자에게 있음을 인정합니다. 본 조항에 따른 처리자의 데이터 관리자에 대한 통보는 데이터 관리자가 이러한 법적 의무를 이행할 수 있도록 하기 위한 것이며, 처리자의 통보는 과실 또는 책임의 인정으로 간주되지 않습니다.
데이터 관리자는 본 데이터 처리 계약(DPA)의 부록 3(승인된 하위 처리자)에 명시된 하위 처리자를 고용할 수 있는 일반적인 권한을 데이터 처리자에게 부여합니다. 데이터 처리자는 각 하위 처리자에게 본 DPA에 명시된 것과 동등한 데이터 보호 의무를 부과해야 하며, 특히 적절한 기술적 및 조직적 조치를 이행하기 위한 충분한 보장을 제공해야 합니다.
처리자는 하위 처리자의 추가 또는 교체와 관련된 변경 사항을 (a) https://xygeni.io/legal/subprocessors에 게시된 하위 처리자 목록의 "최종 업데이트" 날짜를 수정하여 업데이트하고, (b) 변경 사항이 효력을 발생하기 최소 10일 전에 서면으로 컨트롤러에게 통지함으로써 컨트롤러에게 알려야 합니다. 컨트롤러는 해당 통지를 받은 후 7일 이내에 합리적인 데이터 보호 사유를 근거로 변경에 이의를 제기할 수 있습니다. 컨트롤러가 이의를 제기하고 당사자들이 이의를 해결할 수 없는 경우, 컨트롤러는 합리적인 통지 후 위약금 없이 주 계약을 해지할 수 있습니다.
처리자가 하위 처리자를 고용하는 경우, 하위 처리자가 데이터 보호 의무를 이행하지 못하는 경우에도 처리자는 하위 처리자의 의무 이행에 대해 관리자에게 전적인 책임을 져야 합니다.
각 하위 프로세서에 대해 프로세서는 다음을 수행해야 합니다.
처리자는 다음의 경우를 제외하고 고객 데이터를 유럽 경제 지역(EEA) 외 국가로 전송해서는 안 됩니다.
SCC(보안 계약)가 필요한 경우, 처리자는 컨트롤러의 요청에 따라 컨트롤러 및/또는 관련 하위 처리자와 해당 SCC를 체결해야 합니다. 컨트롤러에서 처리자로의 데이터 전송에는 모듈 2(컨트롤러-처리자)를, 처리자가 하위 처리자로 데이터를 전송하는 경우에는 모듈 3(처리자-하위 처리자)을 적용해야 합니다.
별도의 서면 합의가 없는 한, 표준 계약 조항(SCC)과 관련하여 관할 감독 기관은 스페인 데이터 보호청(Agencia Española de Protección de Datos — AEPD)입니다.
처리자는 고객 데이터의 모든 국제 전송 및 각 전송에 적용된 전송 메커니즘에 대한 최신 기록을 유지하고 요청 시 관리자에게 제공해야 합니다.
9. 데이터 보호 영향 평가
처리 활동이 개인의 권리와 자유에 중대한 위험을 초래할 가능성이 있고, GDPR 제35조에 따라 데이터 관리자(Controller)가 데이터 보호 영향 평가(DPIA)를 수행해야 하는 경우, 처리자(Processor)는 데이터 관리자가 DPIA를 수행할 수 있도록 필요한 합리적인 지원과 정보를 제공해야 합니다. 처리자는 데이터 관리자의 합리적인 DPIA 관련 요청에 대해 15영업일 이내에 응답해야 합니다.
처리자는 컨트롤러의 요청에 따라 GDPR 제30조(2)에 따라 컨트롤러를 대신하여 수행한 처리 활동 기록을 유지해야 합니다. 여기에는 처리자 및 하위 처리자의 이름과 연락처 정보, 컨트롤러를 대신하여 수행한 처리 범주, 제3국으로의 개인 데이터 전송, 기술적 및 조직적 보안 조치에 대한 일반적인 설명이 포함됩니다.
본 데이터 처리 계약(DPA)에 따라 또는 이와 관련하여 각 당사자의 상대방에 대한 책임은 주 계약에 명시된 제한 및 면책 조항의 적용을 받습니다. 데이터 주체가 적용 가능한 데이터 보호법을 위반하는 처리로 인해 손해를 입은 경우, 각 당사자는 GDPR 제82조 및 제83조에 따라 GDPR을 위반하는 처리로 인해 발생한 손해에 대해 책임을 집니다. 본 조항의 어떠한 내용도 적용 가능한 법률에 따른 데이터 주체에 대한 각 당사자의 책임을 제한하지 않습니다.
본 데이터 처리 계약(DPA)은 주 계약 체결일(또는 그 이후 날짜의 본 DPA 체결일)부터 효력을 발생하며, 주 계약 기간 동안 유효합니다. 어떠한 사유로든 주 계약이 해지되는 경우, 본 DPA 또한 자동으로 해지됩니다.
계약 해지 후에도 제5.6조(데이터 삭제 또는 반환)에 따른 처리자의 의무는 존속하며, 처리자는 계약 해지 후 30일 이내에 고객 데이터의 삭제 또는 반환을 완료해야 합니다. 기밀 유지, 책임, 준거법 및 감사 관련 조항 또한 계약 해지 후에도 존속합니다.
본 데이터 처리 계약(DPA)은 스페인 법률에 따라 규율되고 해석됩니다. 당사자들은 본 DPA와 관련하여 발생하는 모든 분쟁의 해결을 위해 마드리드 법원의 비독점적 관할권에 따릅니다. 본 DPA의 조항이 표준 계약 조항(SCC)과 상충하는 경우, SCC가 우선합니다.
전체 계약: 본 데이터 처리 계약(DPA)은 부속서 및 본 계약과 함께 본 계약의 주제와 관련하여 당사자 간의 완전한 합의를 구성하며, 데이터 처리에 관한 모든 이전 계약, 이해 또는 진술을 대체합니다.
개정 : 본 개인정보처리방침은 양 당사자의 권한 있는 대표자가 서명한 서면 합의에 의해서만 수정될 수 있습니다.
분리 가능성: 본 개인정보처리방침의 조항 중 어느 하나라도 무효 또는 집행 불가능한 것으로 판명되더라도 나머지 조항은 완전한 효력을 유지합니다.
상위: 본 개인정보처리방침과 부록 사이에 충돌이 발생하는 경우, 부록에 명시적으로 달리 규정되어 있지 않는 한 본 개인정보처리방침의 내용이 우선합니다. 본 개인정보처리방침과 표준 계약 조항(해당되는 경우) 사이에 충돌이 발생하는 경우, 표준 계약 조항이 우선합니다.
본 처리의 대상은 Xygeni가 제공하는 서비스입니다. application security posture management, software supply chain security 분석, 취약점 탐지, CI/CD 주계약서에 명시된 보안 모니터링 및 관련 서비스.
고객 데이터의 수집, 구성, 구조화, 저장, 분석, 검색, 사용, 전송을 통한 공개, 정렬 또는 결합, 제한, 삭제 또는 파기.
고객 데이터 처리는 보안 취약점 탐지 및 보고, 소프트웨어 공급망 위험 분석 등을 포함하여 관리자에게 서비스를 제공하는 유일한 목적을 위해 수행됩니다. CI/CD pipeline security 모니터링, 이상 징후 탐지 및 고객 지원.
데이터 처리자는 주 계약 기간 동안 고객 데이터를 처리합니다. 계약 종료 시, 데이터 처리자는 구독 종료일로부터 3개월 동안 고객 데이터를 보관한 후 삭제합니다. 단, 관리자의 조기 삭제 요청이 있는 경우는 예외입니다. 체험 계정 데이터는 체험 기간 만료 후 1개월 동안 보관됩니다.
| 카테고리 | 예 |
|---|---|
| 사용자 계정 데이터 | 이름, 이메일 주소, 사용자 이름, 비밀번호 해시, 역할, 소속 조직 |
| 활동 및 사용 데이터 | Login 이벤트, API 호출, 스캔 활동 로그, 타임스탬프, IP 주소 |
| 보안 검색 메타데이터 | 저장소 이름, 파일 경로(검색 결과가 나타나는 위치), 종속성 메타데이터, pipeline 구성 참조 |
| 통신 데이터 | 서비스 관련 지원 티켓 및 이메일Correspondence |
데이터 주체에는 서비스에 접근하는 컨트롤러의 직원, 계약자 및 기타 승인된 사용자, 저장소 기여자(개발자, 봇 계정, 빌드 에이전트)가 포함됩니다. pipeline서비스에서 모니터링하는 정보; 및 컨트롤러의 대표자 및 연락 담당자.
본 서비스는 GDPR 제9조에 정의된 특별 범주 개인정보를 처리하도록 설계되지 않았습니다. 데이터 관리자는 Xygeni와의 사전 서면 합의 및 적절한 추가 보호 조치 없이는 특별 범주 개인정보를 본 서비스에 제출하지 않을 것을 보증합니다.
Xygeni는 ISO 27001 인증을 받은 정보 보안 관리 시스템에 따라 고객 데이터를 보호하기 위해 다음과 같은 기술적 및 조직적 조치를 시행합니다.
