개인정보 처리위탁 계약서

【위탁자 상호】(이하 「위탁자」)와 에일리언피플즈(AlienPeoples)(이하 「수탁자」)는 위탁자의 개인정보 처리 업무를 수탁자에게 위탁하면서 「개인정보 보호법」 제26조에 따라 다음과 같이 계약을 맺습니다.

제1조목적

이 계약은 위탁자가 수탁자에게 SiCusto AI 고객센터 서비스 운영에 필요한 개인정보 처리 업무를 맡기고, 수탁자는 이 계약과 관계 법령에 따라 그 업무를 성실히 처리하기 위하여, 양 당사자의 권리·의무를 정하는 것을 목적으로 합니다.

제2조용어

• 최종 고객 — 위탁자의 상담 페이지(https://sicusto.com/chat/{위탁자 식별자})를 이용하는 정보주체.
• 재수탁자 — 수탁자가 위탁 업무의 일부를 다시 맡기는 자. 별첨 1에 적습니다.
• 관리 페이지 — 위탁자 담당자가 대화 기록·사용량·설정을 확인하는 수탁자 제공 화면(/portal/).
• 그 밖의 용어는 「개인정보 보호법」과 서비스 이용약관을 따릅니다.

제3조위탁 업무의 범위와 처리 항목

① 수탁자는 다음 업무만 처리합니다.

② 수탁자는 위탁자의 지시 없이 처리 항목을 늘리지 않습니다. 위탁자는 최종 고객이 주민등록번호·카드번호·계좌번호·비밀번호를 입력하지 않도록 상담 페이지 안내를 유지하는 데 협조합니다(수탁자는 서버에서 가리지만 정규식 기반이라 누락이 있을 수 있습니다).

제4조위탁 기간

위탁 기간은 서비스 이용 계약의 효력 기간과 같습니다(【시작일】 ~ 서비스 이용 계약 종료일). 이 계약의 비밀유지·파기·손해배상 조항은 계약 종료 뒤에도 그 목적이 끝날 때까지 효력이 있습니다.

제5조재위탁 제한 【법률 검토】 재위탁 동의 방식

1. 수탁자는 위탁자의 사전 동의 없이 위탁 업무를 제3자에게 다시 맡기지 않습니다. 위탁자는 이 계약 체결로 별첨 1에 적힌 재수탁자에 대한 재위탁에 동의합니다.
2. 1단계 서비스에서 AI 공급사는 모든 고객사에 같은 3곳(별첨 1)이며, 위탁자별로 공급사를 따로 고정하지 않습니다.
3. 수탁자가 재수탁자를 추가·변경하려면 적용 【N】일 전에 위탁자에게 서면(이메일 포함)으로 알립니다. 위탁자가 그 기간 안에 반대하면 수탁자는 그 위탁자에 대하여 변경을 적용하지 않거나, 위탁자는 위약금 없이 서비스 이용 계약을 해지할 수 있습니다.
4. 수탁자는 재수탁자에게 이 계약과 같은 수준의 보호 의무를 지우고, 재수탁자의 처리에 대해 위탁자에게 책임을 집니다.

제6조안전성 확보조치

수탁자는 「개인정보 보호법」 제29조와 관련 고시에 따라 다음 조치를 합니다.

• 저장 위치·분리 — 대한민국 서울 리전(Google Cloud asia-northeast3)에 저장하고, 위탁자별 경로로 데이터를 분리합니다. 저장소는 서버 전용이며 브라우저가 직접 읽거나 쓸 수 없습니다.
• 접근 통제 — 수탁자 측 접근은 운영 책임자로 한정합니다. 위탁자 측은 관리 페이지 멤버(소유자·멤버 역할)만 접근하며, 지식 반영·멤버 변경·내보내기 같은 소유자 작업은 최근 로그인(12시간 이내)을 다시 확인합니다.
• 최소 저장 — 상담 메시지는 민감정보(주민·외국인등록번호, 카드번호, 계좌번호, 비밀번호)와 전화번호·이메일을 가린 사본만 저장하고 AI 공급사로 보냅니다. 이관 접수의 연락처는 회신에 필요하므로 원문으로 보관합니다(별첨 2 기간).
• 접속 기록 — 관리 페이지의 대화 전문 열람·내보내기·설정 변경·삭제·멤버 변경을 감사 기록으로 남깁니다(별첨 2 기간).
• 전송 구간 — 상담 페이지·관리 페이지·AI 공급사 API 호출은 HTTPS(TLS)로 전송합니다.
• 백업·복구 — 시점 복구와 일일 백업(보존 7일)을 운영하고, 복구는 별도 절차(운영 문서 D-5)를 따릅니다.

제7조목적 외 이용 금지

1. 수탁자는 위탁 업무 수행 목적 밖으로 개인정보를 이용하거나 제3자에게 제공하지 않습니다.
2. 수탁자는 개인정보를 AI 모델 학습이나 수탁자 서비스 개선에 사용하지 않으며, 재수탁자인 AI 공급사도 학습에 쓰지 않는 조건으로만 이용합니다(별첨 3).
3. 수탁자는 위탁 업무와 관련하여 알게 된 개인정보를 이 계약 기간은 물론 계약 종료 뒤에도 누설하지 않습니다.

제8조관리·감독

1. 위탁자는 수탁자에게 처리 현황·안전조치 이행·재위탁 현황 자료를 요청할 수 있으며, 수탁자는 지체 없이 제출합니다. 기본 자료는 별첨 1(수탁자 목록)·별첨 2(보관·삭제 표)·운영 문서(D-5)·관리 페이지 활동 기록입니다.
2. 위탁자는 연 【1】회 서면 점검을 할 수 있고, 그 결과 시정 요구가 있으면 수탁자는 합리적인 기간 안에 시정하고 결과를 알립니다.

제9조교육

수탁자는 개인정보 처리 업무 종사자(운영 책임자 포함)에게 연 1회 이상 개인정보 보호 교육을 하고, 위탁자가 요청하면 교육 실시 내역을 제출합니다. 위탁자는 필요하면 교육 내용을 제시할 수 있습니다.

제10조정보주체의 권리 보장

1. 최종 고객의 열람·정정·삭제·처리정지 요구는 위탁자가 받아 처리하며, 수탁자는 위탁자의 요청을 받아 그 처리를 돕습니다. 수탁자에게 직접 요구가 들어오면 지체 없이 위탁자에게 넘깁니다.
2. 위탁자는 관리 페이지의 세션 삭제 도구로 대화 1건을 직접 지울 수 있고, 특정 최종 고객의 기록을 찾기 어려우면 수탁자에게 요청할 수 있습니다. 삭제 범위와 기한은 별첨 2를 따릅니다.

제11조개인정보 사고 통지 【법률 검토】 통지 기한·신고 분담

1. 수탁자는 위탁 업무와 관련한 개인정보의 분실·도난·유출(이하 「사고」)을 알게 되면 지체 없이 위탁자에게 알립니다. 최초 통지 목표는 인지 뒤 24시간 이내이며, 확인되지 않은 내용은 「확인 중」으로 표시해 먼저 알립니다.
2. 통지에는 사고 경위, 영향받은 항목·건수(추정 포함), 수탁자가 한 조치, 위탁자가 해야 할 조치, 연락 창구를 담고, 확인되는 대로 후속 보고합니다.
3. 정보주체 통지와 개인정보보호위원회·전문기관 신고(「개인정보 보호법」 제34조)는 개인정보처리자인 위탁자의 의무이며, 수탁자는 이에 필요한 자료와 협조를 제공합니다. 이 조의 계약상 통지 약속은 법정 신고 의무와 별개입니다.
4. 절차의 세부(접수 채널 · 증거 보존 · 대표 부재 시 대체 절차)는 운영 문서 D-5 의 «사고 대응·통지» 절을 따릅니다.

제12조계약 종료 시 반환·파기

1. 계약이 끝나면 수탁자는 위탁자가 요청한 기한 안에 대화 기록·이관 접수·사용량 원장을 내보내기 파일(JSON·CSV)로 위탁자에게 넘깁니다. 위탁자는 계약 기간 중에도 관리 페이지에서 대화 전문을 내려받을 수 있습니다.
2. 반환 뒤(또는 위탁자가 반환을 원하지 않으면 종료일부터 【30】일 안에) 수탁자는 운영 원본을 지우고 그 결과를 위탁자에게 알립니다. 백업 사본은 보존 기간(7일) 만료로 소멸하며, 재수탁자 보관분과 이미 발송된 메일은 별첨 2의 방식으로 처리합니다.
3. 법령상 보존해야 하는 거래 기록(세금계산서 등)은 그 기간 동안 분리 보관한 뒤 파기하며, 개인정보 없는 사용량 집계는 회계 목적으로 별첨 2 기간 동안 남길 수 있습니다.

제13조국외 처리 【법률 검토】 국외 이전 근거(보호법 제28조의8)

1. 답변 생성을 위해 상담 메시지(가린 사본)와 지식 자료가 별첨 1의 AI 공급사(미국 등 국외)로 전송되고, 메일 발송은 국외 메일 인프라를 거칠 수 있습니다. 저장소는 대한민국 서울 리전입니다.
2. 이 계약은 위탁자와 수탁자 사이의 처리 조건을 정할 뿐, 최종 고객 개인정보를 국외로 이전하는 적법 근거 자체가 되지는 않습니다. 위탁자는 자신의 개인정보처리방침에 이전 항목·국가·시기·방법·받는 자와 연락처·목적·보유 기간·거부 방법과 효과를 공개하거나 필요한 동의를 받으며, 수탁자는 그 문안(AI 고지 문안 세트 D-3)을 제공합니다.
3. 어느 근거(동의 · 계약 이행에 필요한 처리위탁·보관의 공개 등)를 쓸지는 위탁자가 법률 검토로 정합니다.

제14조손해배상 【법률 검토】 한도·면책

1. 수탁자 또는 재수탁자가 이 계약을 위반하여 위탁자나 정보주체에게 손해가 생기면 수탁자는 그 손해를 배상합니다.
2. 배상 한도는 【손해가 생긴 달 기준 직전 12개월 이용료 / 정액 ○○원 중 택】로 하되, 수탁자의 고의·중대한 과실로 인한 손해와 법령상 제한할 수 없는 책임에는 한도를 적용하지 않습니다.
3. 위탁자가 정보주체에게 배상한 경우, 그 원인이 수탁자에게 있으면 위탁자는 수탁자에게 구상할 수 있습니다.

제15조우선순위·기타

• 개인정보 처리에 관하여는 이 계약이 서비스 이용약관·견적서보다 우선합니다.
• 이 계약에 없는 사항은 「개인정보 보호법」 등 관계 법령을 따르며, 분쟁 관할은 이용약관과 같습니다.

체결일 【YYYY-MM-DD】

별첨 1재수탁자(수탁자) 목록

수탁자·재수탁자 등록부(D-2)의 체결 시점 판을 이 별첨에 붙입니다.

별첨 2보관·삭제 표

보관·삭제 기간은 아래 표와 개인정보처리방침을 계약 시점에 확인합니다.

최종 고객 1명 단위 삭제(위탁자 요청)

별첨 3학습 미사용 · 무보존 확약