데이터 처리 부속서

본 데이터 처리 부속서(이하 “DPA”)는 BlackLens Studio, 33/19B/8G, Lohiya Nagar, Balkeshwar, Agra, Uttar Pradesh 282005, India(이하 “LumaKol”, “당사”)와 LumaKol 서비스 이용약관을 수락한 고객(이하 “고객”, “귀사”) 간에 체결됩니다.

본 DPA는 모든 고객에 대해 서비스 이용약관의 일부를 이루며, 인도의 2023년 디지털 개인정보 보호법, GDPR, 영국 GDPR 또는 기타 개인정보 보호 법률에 따라 LumaKol이 고객을 대신하여 개인정보를 처리할 때마다 적용됩니다. 자동으로 적용되며 서명할 필요가 없습니다.

고객이 기록을 위해 서명본을 원하는 경우 [email protected]로 요청할 수 있습니다. 개인정보 보호에 관하여 본 DPA와 서비스 이용약관이 상충하는 경우 본 DPA가 우선합니다.

• “개인정보 보호법”이란 처리에 적용되는 모든 개인정보 보호 법률을 말하며, 인도의 2023년 디지털 개인정보 보호법 및 그에 따른 규칙(이하 “DPDP 법”), EU 일반 데이터 보호 규정 2016/679(GDPR), 영국 GDPR 및 영국 2018년 데이터 보호법, 개정된 캘리포니아 소비자 개인정보 보호법(이하 “CCPA”)을 포함합니다.
• “고객 개인정보”란 LumaKol이 서비스를 제공하기 위해 고객을 대신하여 처리하는 개인정보를 말합니다.
• “컨트롤러”, “프로세서”, “정보 주체”, “개인정보 침해” 및 “처리”는 개인정보 보호법에서 정한 의미를 가집니다. DPDP 법이 적용되는 경우 “컨트롤러”는 데이터 수탁자(Data Fiduciary), “프로세서”는 데이터 처리자(Data Processor), “정보 주체”는 데이터 주체(Data Principal)를 의미합니다.
• “하위 처리자”란 LumaKol이 고객 개인정보를 처리하도록 위탁하는 제3자를 말합니다.
• “SCC”란 유럽연합 집행위원회 시행 결정 (EU) 2021/914로 승인된 표준 계약 조항을 말하며, “영국 부속서”란 영국 정보 위원회가 발행한 국제 데이터 이전 부속서를 말합니다.

그 밖의 정의된 용어는 서비스 이용약관에서 정한 의미를 가집니다.

고객은 고객 개인정보의 컨트롤러이고 LumaKol은 그 프로세서입니다. 고객 자신이 다른 컨트롤러를 위해 행동하는 프로세서인 경우, LumaKol은 그 하위 처리자이며 고객은 관련 지시를 전달할 책임이 있습니다.

LumaKol은 사용자 이름, 로그인 정보, 결제 기록 등 고객의 계정을 운영하는 데 필요한 개인정보에 대해서는 별도의 컨트롤러입니다. 해당 데이터는 본 DPA가 아닌 개인정보 처리방침의 적용을 받습니다.

CCPA가 적용되는 경우 고객은 “사업자(business)”이고 LumaKol은 그 “서비스 제공자(service provider)”입니다. LumaKol은 고객 개인정보를 판매하거나 공유하지 않고, 서비스 제공 이외의 목적으로 또는 고객과의 직접적인 사업 관계 밖에서 이를 보유, 사용 또는 공개하지 않으며, CCPA가 허용하는 경우를 제외하고 다른 출처의 개인정보와 결합하지 않습니다. LumaKol은 이러한 의무를 더 이상 이행할 수 없게 되면 고객에게 알립니다.

고객은 처리에 대한 적법한 근거(DPDP 법상 동의 또는 정당한 이용)를 갖추고, 고객 개인정보의 정확성을 유지하며, 연락하는 사람들에게 법이 요구하는 고지를 제공하고, 마케팅 전화와 통화 녹음에 관한 법률을 스스로 준수할 책임이 있습니다.

• 대상: 고객의 팀이 리드를 관리하고, 자신의 휴대폰으로 전화를 걸고, 각 통화의 결과를 기록하는 콜 CRM인 LumaKol의 제공.
• 기간: 고객이 서비스를 이용하는 동안, 그리고 그 이후 “삭제 및 반환”에 따라 데이터가 삭제될 때까지.
• 성격: 수집, 저장, 정리, 검색, 표시, 고객의 사용자와 기기로의 전송, 삭제.
• 목적: 고객을 위해 서비스를 제공, 보호 및 지원하는 것이며, 그 밖의 목적은 없습니다.

LumaKol은 고객의 문서화된 지시에 따라서만 고객 개인정보를 처리합니다. 서비스 이용약관, 본 DPA, 그리고 고객의 서비스 이용 및 설정이 그 지시입니다. LumaKol은 어떤 지시가 개인정보 보호법을 위반한다고 판단하는 경우, 법률이 이를 금지하지 않는 한 고객에게 알립니다.

법률이 LumaKol에게 다른 방식으로 고객 개인정보를 처리하도록 요구하는 경우, 법률이 이를 금지하지 않는 한 그렇게 하기 전에 고객에게 알립니다.

LumaKol은 고객 개인정보를 처리하도록 권한을 부여한 모든 사람이 비밀 유지 의무를 지도록 보장합니다. 직원의 고객 개인정보 접근은 서비스를 운영하고 지원하는 데 필요한 범위로 제한되며 기록됩니다.

LumaKol은 위험에 적합한 기술적·관리적 조치를 유지하며, 여기에는 다음이 포함됩니다.

• 전송 중 데이터 암호화(TLS), 데이터베이스 저장 시 암호화, 토큰과 연결된 사서함 비밀번호 같은 비밀 정보에 대한 AES-256 이중 암호화
• 워크스페이스별 고객 데이터 분리 및 모든 쿼리를 고객의 워크스페이스로 필터링
• Argon2id로 해시된 비밀번호와 해시로만 저장되는 세션 토큰
• 로그인 시 사용량 제한 및 잠금
• 전화번호 마스킹, 내보내기 제한, 녹음 청취 권한 제한 옵션을 갖춘 제품 내 역할 기반 접근
• 민감한 작업에 대한 추가 전용 감사 로그
• LumaKol 직원에 대한 다중 인증과 운영 데이터 접근 기록
• 약 4주 안에 순환 삭제되는 장애 복구용 백업

LumaKol은 전체적인 보호 수준이 낮아지지 않는 한 이러한 조치를 업데이트할 수 있습니다.

고객은 LumaKol이 아래 표에 설명된 하위 처리자를 이용하는 것을 승인합니다. LumaKol은 서면 계약으로 각 하위 처리자에게 본 DPA보다 보호 수준이 낮지 않은 개인정보 보호 의무를 부과하며, 각 하위 처리자의 이행에 대해 고객에게 계속 책임을 집니다. 현재 하위 처리자의 이름은 [email protected]로 요청하는 모든 고객에게 제공되며 본 DPA의 일부를 이룹니다.

새로운 하위 처리자가 고객 개인정보를 처리하기 시작하기 전에, LumaKol은 최소 30일 전에 해당 업체를 명시하여 워크스페이스 소유자에게 이메일로 통지합니다. 고객은 그 기간 내에 합리적인 개인정보 보호상의 이유로 반대할 수 있습니다. 당사자들이 반대를 해결하지 못하는 경우, 고객은 영향을 받는 서비스 부분의 이용을 중단하거나 구독을 종료할 수 있습니다.

iPhone 앱이 출시되면 iPhone 플랫폼 자체 서비스가 푸시 알림을 전달하게 되며, 그 전에 위에 설명된 통지와 함께 이 목록에 추가합니다. Google Drive, Sheets, Calendar, Microsoft Outlook 캘린더, Facebook 및 Instagram 리드 광고는 아직 연결할 수 없습니다.

통화 녹음은 LumaKol 서버에 저장됩니다. 음성 메모와 현장 방문 사진은 LumaKol 서버가 아니라 이를 연결한 팀원의 Google Drive에 저장됩니다.

고객이 자신의 리드에게 보내는 이메일은 LumaKol의 이메일 제공업체가 아니라 고객 자신의 사서함(설정 → 이메일)을 통해 발송됩니다. 고객의 웹사이트, 리드 소스, API 클라이언트, 웹훅 엔드포인트 등 고객이 직접 연결하는 시스템은 고객의 지시에 따라 데이터를 받으며 LumaKol의 하위 처리자가 아닙니다.

서비스를 통해 고객은 리드 데이터를 조회, 정정, 내보내기 및 삭제하고 리드에 대한 추가 통화를 차단할 수 있으므로, 대부분의 정보 주체 요청에 직접 응답할 수 있습니다. 그렇게 할 수 없는 경우, LumaKol은 처리의 성격을 고려하여 요청에 따라 지원합니다.

LumaKol이 고객 개인정보에 관해 정보 주체로부터 직접 요청을 받으면, 부당한 지체 없이 고객에게 전달하며 고객의 지시가 없는 한 응답하지 않습니다.

LumaKol은 또한 LumaKol의 처리와 관련된 범위에서 고객의 개인정보 영향 평가 및 감독 기관과의 협의에 합리적인 지원을 제공합니다.

LumaKol은 고객 개인정보에 영향을 미치는 개인정보 침해를 알게 된 후 부당한 지체 없이, 어떤 경우에도 48시간 이내에 고객에게 통지하여, 고객이 규제 기관과 영향을 받은 사람들에게 보고할 자체 의무(예: GDPR 및 DPDP 법 규칙에 따른 72시간 이내)를 이행할 수 있도록 합니다. 통지에는 당시 알려진 범위에서 침해의 성격, 영향을 받은 사람과 기록의 범주 및 대략적인 수, 예상되는 결과, 취했거나 제안하는 조치를 기재하고, 추가 정보를 위한 연락 담당자를 명시합니다.

LumaKol은 새로 알게 되는 내용을 고객에게 계속 알리며, 침해를 억제하고 그 영향을 제한하기 위한 합리적인 조치를 취합니다. 침해를 통지하는 것은 과실을 인정하는 것이 아닙니다.

구독 기간 동안 고객은 리드를 CSV로 내보내고 공개 API를 통해 데이터를 읽을 수 있습니다. 고객이 워크스페이스를 종료하거나, 취소 또는 미납으로 인한 일시 정지 후 데이터가 결제 약관의 보존 기간 끝에 도달하면, LumaKol은 서비스에서 고객 개인정보를 삭제합니다.

백업에 있는 사본은 순환 일정에 따라 만료되며 만료 시 삭제됩니다. LumaKol은 법률이 요구하는 경우에만, 그리고 해당 데이터만을 본 DPA에 따라 보호하면서 법률이 요구하는 기간 동안 보관할 수 있습니다.

합리적인 요청이 있는 경우, LumaKol은 보안 설문에 대한 서면 답변 등 본 DPA 및 GDPR 제28조에 따른 의무를 이행하고 있음을 보여 주는 데 필요한 정보를 제공합니다.

그 정보로 충분하지 않은 경우, 고객은 직접 또는 비밀 유지 의무를 지는 독립 감사인을 통해 LumaKol의 준수 여부를 감사할 수 있습니다. 감사는 최소 30일 전 서면 통지 후 업무 시간 중에, 감독 기관이 요구하거나 개인정보 침해가 발생한 경우를 제외하고 연 1회 이하로, 고객의 비용으로 실시합니다. 당사자들은 감사가 서비스를 방해하거나 다른 고객의 데이터를 노출하지 않도록 범위를 사전에 합의합니다.

LumaKol은 인도, 서비스가 호스팅되는 싱가포르와 일본, 그리고 하위 처리자가 운영되는 국가에서 고객 개인정보를 처리합니다. 여기에 적정성 결정이나 규정이 없는 국가로 EEA 또는 영국 밖으로 개인정보를 이전하는 것이 포함되는 경우, 당사자들은 다음에 동의합니다.

• EEA 데이터의 경우, SCC가 적용되며 참조로써 본 DPA에 편입됩니다. 고객이 컨트롤러인 경우 모듈 2(컨트롤러에서 프로세서로), 고객이 프로세서인 경우 모듈 3(프로세서에서 프로세서로)이 적용되며, 선택적 도킹 조항, 제9조의 옵션 2(일반 승인), 제17조 및 제18조의 아일랜드 준거법과 법원이 적용됩니다.
• 영국 데이터의 경우, 영국 부속서가 적용되며 참조로써 편입되고, 그 표는 본 DPA의 정보로 작성됩니다.
• SCC가 부록에서 요구하는 정보는 위의 “당사자”, “처리의 대상, 기간, 성격 및 목적”, “정보 주체 및 개인정보”, “보안 조치” 및 “하위 처리자 목록”에 있는 정보입니다.

DPDP 법이 적용되는 경우, LumaKol은 인도 정부가 제한한 국가 또는 지역으로 고객 개인정보를 이전하지 않습니다.

SCC 또는 영국 부속서가 본 DPA와 상충하는 경우 SCC 또는 영국 부속서가 우선합니다. LumaKol은 하위 처리자에게 적절한 보호 조치로 재이전을 보호하도록 요구합니다.

본 DPA에 따른 각 당사자의 책임은, 개인정보 보호법 또는 SCC가 책임 제한을 허용하지 않는 경우를 제외하고, 서비스 이용약관의 제한을 따릅니다.

본 DPA는 LumaKol이 고객 개인정보를 처리하는 동안 유지됩니다. 비밀 유지 및 삭제와 같이 그 성격상 존속해야 하는 의무는 종료 후에도 존속합니다. LumaKol은 법률 또는 서비스의 변경을 반영하기 위해 본 DPA를 업데이트할 수 있으나, 고객 개인정보에 대한 보호를 축소하지 않으며, 위의 “최종 업데이트” 날짜가 현재 버전을 나타냅니다.

본 DPA에 관한 문의, 본 DPA에 따른 통지, 서명본 요청은 [email protected]로 보내 주십시오.

서명본 요청: 귀사의 법인명과 주소를 기재하여 [email protected]로 연락하시면, 당사가 서명한 본 DPA를 보내 드립니다.