데이터 처리 계약

1. 당사자 및 적용 범위

본 데이터 처리 계약("DPA")은 서비스 이용약관을 수락한 고객("고객", 컨트롤러)과 미국 와이오밍주에 등록된 유한책임회사인 IMFA Labs LLC("IMFA", 처리자) 간의 계약입니다. 본 DPA는 약관의 일부이며, IMFA가 IMFA Agents를 제공하면서 고객을 위해 처리하는 개인정보("고객 개인정보")에 적용됩니다. 본 DPA는 EU 일반 개인정보 보호법(GDPR) 제28조, 영국 GDPR 및 이와 유사한 법령이 적용되는 경우 그 내용을 반영합니다.

본 DPA가 약관과 상충하는 경우, 고객 개인정보에 대하여는 본 DPA가 우선합니다. 표준계약조항이 적용되고 본 DPA와 상충하는 경우, 표준계약조항이 우선합니다.

2. 처리 대상 및 기간

IMFA는 고객이 설정한 서비스를 제공하기 위해 고객 개인정보를 처리합니다. 여기에는 에이전트의 호스팅, 웹사이트 위젯, 음성 및 연결된 채널에서의 대화 응답, 지식 및 파일의 저장, 리드 및 주문의 수집, 고객이 선택한 서비스의 연결, 그리고 서비스 보안 유지가 포함됩니다. 처리는 고객이 서비스를 이용하는 동안, 그리고 제11조에 따른 삭제 시까지 지속됩니다. 세부 사항은 부속서 1에 있습니다.

3. 고객의 의무

고객은 다음과 같이 합니다.

• 어떤 개인정보가 어떤 목적으로 서비스에 들어오는지 결정하며, 이에 대한 적법한 근거를 갖춥니다;
• 법령이 요구하는 고지(요구되는 경우 AI와 대화하고 있다는 사실 포함)를 방문자 및 고객에게 제공하고, 필요한 동의를 받습니다;
• 법령이 허용하고 고객이 요구되는 모든 보호 조치를 갖춘 경우가 아니라면 특수 범주의 데이터나 아동의 데이터를 추가하지 않습니다;
• 에이전트, 채널, 팀 접근 권한 및 연동을 적절하게 설정합니다;
• 제8조에 따른 IMFA의 지원을 받아 정보주체의 요청에 응답합니다.

4. IMFA의 의무

IMFA는 다음과 같이 합니다.

• 법령이 달리 요구하지 않는 한, 고객의 문서화된 지시(약관, 본 DPA 및 서비스 내 고객의 설정)에 따라서만 고객 개인정보를 처리합니다(법령이 달리 요구하는 경우, 법령이 금지하지 않는 한 IMFA는 먼저 고객에게 알립니다);
• 지시가 개인정보 보호 법령을 위반한다고 판단하는 경우 고객에게 알립니다;
• 개인정보 처리방침에 기재된 바와 같이 서비스 보안, 악용 방지 및 법령 준수에 필요한 경우를 제외하고, 고객 개인정보를 판매하거나 자체 목적으로 이용하지 않습니다;
• 고객 개인정보를 AI 모델 학습에 이용하지 않습니다.

5. 기밀 유지

IMFA는 고객 개인정보를 처리할 권한이 있는 인원이 기밀 유지 의무를 지고, 서비스의 제공, 지원 및 보안에 필요한 경우에만 이에 접근하도록 보장합니다.

6. 보안

IMFA는 최신 기술 수준, 비용 및 위험을 고려하여 부속서 2의 기술적, 관리적 조치를 적용합니다. IMFA는 전반적인 보호 수준이 낮아지지 않는 한 이를 업데이트할 수 있습니다.

7. 하위 처리자

고객은 IMFA가 하위 처리자를 이용하는 것에 대하여 일반적 승인을 부여합니다. 현재 목록은 하위 처리자에 있습니다. IMFA는 다음과 같이 합니다.

• 각 하위 처리자가 제공하는 서비스에 맞게, 적어도 본 DPA와 동등한 수준으로 보호하는 개인정보 보호 의무를 서면 계약으로 각 하위 처리자에게 부과합니다;
• 하위 처리자를 추가하거나 교체하기 전에 목록을 업데이트합니다. 고객은 privacy@imfa.io로 변경 사항의 이메일 통지를 요청할 수 있습니다;
• 고객이 업데이트 후 30일 이내에 합리적인 개인정보 보호상의 이유로 이의를 제기할 수 있도록 합니다. 양 당사자가 이의를 해결할 수 없는 경우, 고객은 영향을 받는 기능의 이용을 중단하거나 서비스를 종료할 수 있으며, 해당 구독의 미사용 기간에 대한 선납 요금을 일할 계산하여 환불받습니다;
• 법령이 요구하는 바에 따라 하위 처리자의 이행에 대하여 계속 책임을 집니다.

고객이 연결하는 플랫폼(Meta, Telegram, Discord, Google 및 Stripe를 통한 결제 수단)은 자체 처리에 대하여 독립적인 컨트롤러로서 행동하며, IMFA의 하위 처리자가 아닙니다.

8. 정보주체 요청에 대한 지원

처리의 성격을 고려하여, IMFA는 주로 서비스 내 도구(대화, 리드, 파일 및 에이전트의 조회 및 삭제)를 통해 고객이 개인정보의 열람, 정정, 삭제, 처리 제한 또는 이동 요청에 응답할 수 있도록 지원합니다. 도구로 충분하지 않은 경우, 고객은 privacy@imfa.io로 요청할 수 있습니다. IMFA가 고객의 정보주체로부터 직접 요청을 받는 경우, 고객을 식별할 수 있는 범위에서 그 사람을 고객에게 안내하며, 고객이 요청하지 않는 한 직접 응답하지 않습니다.

9. 개인정보 침해

IMFA는 고객 개인정보에 영향을 미치는 개인정보 침해를 인지한 후 부당한 지체 없이 고객에게 통지하며, 고객이 자체 의무를 이행하는 데 필요한 정보를 확보되는 대로 제공합니다. IMFA는 침해를 억제하기 위해 합리적인 조치를 취합니다. 통지는 과실의 인정이 아닙니다.

10. 영향평가 및 감독기관

IMFA는 이용 가능한 정보, 주로 본 DPA, AI 고지 및 하위 처리자 목록을 이용하여, 서비스에 관한 개인정보 영향평가 및 감독기관과의 사전 협의에 대하여 고객에게 합리적인 지원을 제공합니다.

11. 반환 및 삭제

고객은 언제든지 서비스 내에서 대화, 파일, 지식, 에이전트 및 계정 전체를 삭제할 수 있습니다. 계정이 삭제되면, IMFA는 법령상 보관이 요구되는 경우를 제외하고 개인정보 처리방침에 기재된 바에 따라(고객이 삭제를 취소할 수 있는 3일의 기간이 지난 후) 고객 개인정보를 삭제합니다. 제공업체 백업에 있는 사본은 정기 일정에 따라 삭제됩니다. 삭제 전에 고객은 privacy@imfa.io로 데이터 사본을 요청할 수 있습니다.

12. 감사

IMFA는 본 문서, 그 부속서 및 제공업체 인증의 요약을 포함하여 본 DPA의 준수를 입증하는 데 합리적으로 필요한 정보를 제공합니다. 그것으로 충분하지 않은 경우, 고객은 연 1회를 초과하지 않는 범위에서 30일 전에 통지하고, 고객 자신의 비용으로, 기밀 유지 의무를 지는 독립적인 감사인에 의해, 서비스를 방해하거나 다른 고객의 데이터를 노출하지 않는 방식으로 감사를 요청할 수 있습니다. 하위 처리자에 대한 감사는 해당 하위 처리자 자체의 보고서 및 인증으로 갈음합니다.

13. 국외 이전

IMFA는 미국에 소재하며, 그 하위 처리자는 부속서 3에 기재된 국가에서 데이터를 처리합니다. 고객 개인정보가 유럽경제지역, 영국 또는 스위스에서 적정성 결정이 없는 국가로 이전되는 경우, EU 표준계약조항(경우에 따라 모듈 2, 컨트롤러에서 처리자로, 또는 모듈 3, 처리자에서 처리자로)이 적용되는 경우 영국 부속서 및 스위스 조정 사항과 함께 참조로써 본 DPA에 편입되며, IMFA는 데이터 수입자가 됩니다. IMFA는 하위 처리자에게 동등한 보호 조치를 요구합니다.

14. 책임 및 기간

본 DPA에 따른 각 당사자의 책임은 법령이 허용하지 않는 경우를 제외하고 약관의 책임 제한에 따릅니다. 본 DPA는 IMFA가 고객 개인정보를 처리하는 동안 유효합니다.

부속서 1: 처리 세부 사항

부속서 2: 기술적, 관리적 조치

• 접근 통제: 모든 대시보드 및 API 요청에 대한 인증; 모든 함수에 대한 서버 측 권한 검사; 공유 에이전트에 대한 역할(소유자, 에디터, 뷰어); IMFA 관리자로 제한된 관리 도구.
• 자격 증명: API 키 및 액세스 토큰은 해시로 저장; 채널 자격 증명 및 Google 토큰은 암호화하여 저장; 비밀 정보는 빌더 채팅에 다시 표시되지 않음.
• 전송: 브라우저, 당사 서비스 및 당사 제공업체 간의 암호화된 연결(HTTPS).
• 격리: 모든 질의에서 각 고객의 데이터는 해당 고객 자신의 계정 및 에이전트로 범위가 한정됨.
• 악용 방지: 방문자, 대화, 에이전트 및 계정별 요청 빈도 제한; 위젯에 대한 봇 검사; 자동화된 콘텐츠 및 안전 검사; 방문자 경고 및 차단.
• AI 데이터 보호: Convex AI Gateway에서 데이터 무보관 요청; 리드 자격 판정 및 요약 전 연락처 정보 제거; 답변에서 지침 배제.
• 데이터 최소화 및 보관: 개인정보 처리방침의 일정에 따른 비활성 대화, 로그 및 기록의 자동 삭제; 판단 결과는 대화 텍스트 없이 저장.
• 활동 기록: 민감한 변경 및 에이전트 활동에 대한 감사 및 활동 로그.
• 제공업체: 자체 보안 인증을 보유한 제공업체의 인프라 이용(하위 처리자 목록 참조).

부속서 3: 국외 이전 메커니즘