데이터 처리 계약(DPA)

버전 2026-10-24.4 · 본 번역본은 편의를 위한 것입니다. 영문본과 차이가 있는 경우 영문본이 우선합니다.

본 DPA는 고객(이하 "관리자")과 Hibira라는 상호로 일본에서 사업을 영위하는 개인사업자 WANG PENG YUAN(이하 "처리자") 간 서비스 이용약관의 일부를 구성합니다. 본 DPA는 처리자가 관리자를 대신하여 고객 데이터에 포함된 개인정보를 처리하는 경우에 적용됩니다. 본 DPA가 약관과 충돌하는 경우 본 DPA가 우선합니다.

1. 처리의 범위

처리 대상	관리자의 서버와 관리자의 최종 이용자 클라이언트 간 메시지의 실시간 전달
기간	약관의 계약 기간 및 제8조에 따른 삭제 기간
성격	수신, 라우팅, 일시적 버퍼링 및 전달, 접속 수 및 메시지 수 집계
정보주체	관리자의 최종 이용자 및 직원
개인정보의 범주	관리자가 메시지, 채널 이름, 프레젠스 채널의 사용자 ID 및 사용자 정보에 포함시키는 모든 정보, 최종 이용자 기기의 IP 주소 및 접속 메타데이터
민감정보 등 특수한 범주	처리를 예정하지 않음. 관리자는 위험을 평가하고 종단 간 암호화하는 경우가 아니면 이를 전송해서는 안 됨
저장	메시지 내용은 전달 후 저장되지 않음. 프레젠스 멤버 목록은 멤버가 접속해 있는 동안에만 보관됨. 집계 이용량 카운터는 35일간 보관됨

2. 처리자의 의무

처리자는 다음을 이행합니다.

관리자의 문서화된 지시(약관, 본 DPA 및 관리자의 서비스 설정)에 따라서만 개인정보를 처리하고, 지시가 법령에 위반된다고 판단하는 경우 관리자에게 알립니다.
개인정보에 접근하는 직원이 비밀유지 의무를 부담하도록 합니다.
부속서 A의 보안 조치를 적용합니다.
합리적으로 가능한 범위에서 관리자가 정보주체의 요청에 대응하고 영향평가 및 사전 협의를 수행하는 것을 지원합니다.
준수를 입증하는 데 필요한 정보를 제공하고, 제7조에 따른 감사를 허용합니다.

3. 관리자의 의무

관리자는 적법한 처리 근거를 갖추고, 최종 이용자에게 고지하며, 자신이 전송하는 데이터의 정확성과 적법성을 확보할 책임이 있습니다. 관리자는 앱 시크릿을 기밀로 유지해야 하며, 민감한 데이터에는 비공개 또는 암호화 채널을 사용해야 합니다.

4. 재수탁자

관리자는 hibira.io/legal/subprocessors(부속서 B)에 기재된 재수탁자를 승인합니다.
처리자는 새로운 재수탁자에 대하여 최소 30일 전에 이메일 및 해당 페이지를 통하여 통지합니다. 관리자는 합리적인 개인정보 보호상의 사유로 이의를 제기할 수 있으며, 당사자들이 이를 해결하지 못하는 경우 관리자는 영향을 받는 서비스를 해지하고 일할 계산한 환불을 받을 수 있습니다.
처리자는 각 재수탁자에게 본 DPA보다 보호 수준이 낮지 않은 개인정보 보호 조건을 부과하며, 재수탁자의 이행에 대하여 계속 책임을 집니다.

5. 국외 이전

처리자는 일본에 소재하며 홍콩(AWS ap-east-1) 및 싱가포르(Neon, AWS ap-southeast-1)에서 개인정보를 처리하며, Cloudflare의 네트워크는 접속을 가장 가까운 엣지 위치를 경유하여 라우팅할 수 있습니다. 이전에 보호조치가 필요한 경우, 당사자들은 EU 표준계약조항(해당하는 바에 따라 모듈 2 또는 3), 영국 부속서(UK Addendum), 또는 관리자 국가의 법령이 요구하는 동등한 계약(예: 한국 「개인정보 보호법」에 따른 표준계약 또는 중국 「개인정보보호법」(PIPL)에 따른 표준계약)에 합의하며, 이는 참조를 통하여 본 DPA에 편입됩니다.

6. 개인정보 침해

처리자는 관리자의 데이터에 영향을 미치는 개인정보 침해를 인지한 경우 부당한 지체 없이, 어떠한 경우에도 인지한 때로부터 48시간 이내에 관리자에게 통지합니다. 통지에는 침해의 성격, 파악된 범위에서 영향을 받은 데이터와 정보주체, 예상되는 결과 및 취한 조치가 포함됩니다. 이를 통하여 관리자는 GDPR에 따른 72시간, 일본 「개인정보의 보호에 관한 법률」 및 한국 「개인정보 보호법」에 따른 신속한 신고, 대만의 통지 의무 등 자신의 기한을 준수할 수 있습니다.

7. 감사

처리자는 합리적인 보안 설문에 답변하고, 가능한 경우 제3자 감사 보고서 또는 인증을 공유합니다. 이것만으로 준수를 입증하기에 충분하지 않은 경우, 관리자는 연 1회, 자신의 비용으로, 30일 전 통지를 거쳐, 영업시간 중에, 비밀유지 의무를 부담하고, 다른 고객의 데이터에 접근하지 않는 조건으로 감사를 실시할 수 있습니다.

8. 반환 및 삭제

계약이 종료되면 관리자는 30일 동안 자신의 계정 및 앱 설정을 내보낼 수 있습니다. 그 후 처리자는 법령에 따라 일부를 보관해야 하는 경우를 제외하고 남아 있는 관리자의 데이터를 삭제하며, 백업은 35일 이내에 삭제합니다.

9. 책임

본 DPA에 따른 각 당사자의 책임은 약관에서 정한 한도의 적용을 받습니다. 다만, 적용되는 개인정보 보호 법령이 이를 허용하지 않는 경우는 예외로 합니다.

부속서 A: 보안 조치

모든 클라이언트, API 및 웹훅 트래픽에 TLS 1.2 이상 적용, HMAC 서명 API 요청 및 비공개 채널 인가.
앱 시크릿 및 비밀번호 해시(Argon2id)는 로그에 기록하지 않음.
데이터 저장소는 저장 시 암호화하고 사설 네트워크 또는 인증된 TLS 연결로만 접근, 다중 인증을 적용한 최소 권한 기반의 직원 접근.
엣지에서의 요청 횟수 제한, 앱별 할당량 및 DDoS 방어.
암호화된 백업, 모니터링 및 경보, 침해 사고 대응 절차.
정기적인 일정에 따른 의존성 업데이트 및 취약점 조치.

부속서 B: 재수탁자

재수탁자	목적	위치
Amazon Web Services	서비스 호스팅	홍콩(AWS ap-east-1)
Neon	계정, 앱 및 푸시 기기 기록 데이터베이스	싱가포르(AWS ap-southeast-1)
Cloudflare	DNS, 엣지 네트워크, DDoS 방어	글로벌

Stripe, Google Analytics 및 Google Workspace(이메일)는 고객 데이터가 아닌 처리자 자신의 고객 및 웹사이트 데이터만 처리하므로, 이 부속서가 아닌 개인정보 처리방침에 기재되어 있습니다.