구조

본 DPA는 다음과 같이 구성됩니다:

섹션 A – 주요 조건

섹션 A에 정의된 변수들은 섹션 B 및 섹션 C에서 정의 역할을 합니다.

섹션 B – 일반 조건

1. 목적 및 범위

본 데이터 처리 계약("DPA")의 목적은 EU 일반 개인정보보호법("GDPR") 제28조 제3항 및 제4항, 그리고 스위스 연반 데이터보호법("FADP") 제9조(독자적인 처리 활동에 해당하고 적용 가능한 한도 내에서만 각각의 법률에 대해 적용됨)의 준수를 보장하는 것입니다.

본 DPA는 섹션 A에 명시된 개인정보 처리와 관련하여 적용됩니다.

2. 해석

본 DPA에서 GDPR 또는 FADP에 정의된 용어를 사용하는 경우, 해당 용어는 명시된 법률과 동일한 의미를 가집니다.

본 DPA는 해당되는 경우 GDPR 및 FADP의 조항에 비추어 독해되고 해석되어야 합니다.

본 조항들은 해당되는 경우 GDPR 또는 FADP에 규정된 권리 및 의무와 상충되거나 정보주체의 기본권 또는 자유를 침해하는 방식으로 해석되어서는 안 됩니다.

3. 처리 활동에 관한 설명

처리 활동의 세부사항, 특히 개인정보의 범주 및 개인정보처리자를 대신하여 개인정보를 처리하는 목적은 섹션 A에 명시되어 있습니다.

4. 당사자들의 의무

   
   

   1. 일반 사항

수탁자는 수탁자에게 적용되는 유럽연합(EU), 회원국 또는 스위스 법률에 따른 요구가 없는 한, 개인정보처리자의 문서화된 지시에 의해서만 개인정보를 처리해야 합니다. 해당 지시는 섹션 A에 규정되어 있습니다. 이러한 법적 요구가 있는 경우, 수탁자는 공익상의 중요한 이유로 법에서 이를 금지하지 않는 한 처리 수행 전에 개인정보처리자에게 해당 법적 요구사항을 알려야 합니다. 개인정보 처리 기간 동안 개인정보처리자에 의해 추가적인 지시가 내려질 수도 있습니다. 이러한 추가 지시는 항상 문서화되어야 합니다.

수탁자는 개인정보처리자의 지시가 수탁자의 판단에 따라 적용 가능한 유럽연합(EU), 회원국 또는 스위스의 데이터 보호 규정을 위반하는 경우 즉시 개인정보처리자에게 통지해야 합니다.

2. 목적 제한

수탁자는 섹션 A에 규정된 처리의 구체적인 목적을 위해서만 개인정보를 처리해야 합니다.

3. 데이터의 삭제 또는 반환

수탁자에 의한 처리는 섹션 A에 명시된 기간 동안만 이루어져야 합니다.

개인정보 처리 서비스 제공이 종료되거나 제7조에 따라 종료되는 경우, 수탁자는 개인정보처리자를 대신하여 처리된 모든 개인정보를 삭제하고 개인정보처리자에게 이를 이행했음을 증명하는 서류를 제공하고 기존 사본을 삭제해야 합니다. 다만, 유럽연합(EU), 회원국 또는 스위스 법률에 따라 개인정보 저장이 요구되는 경우는 제외합니다.

4. 처리의 보안

수탁자는 GDPR 제5조, 제28조 제3항 (c)호, 제32조 및 FADP 제8조에 따라 개인정보의 우발적이거나 불법적인 파기, 분실, 변경, 무단 공개 또는 액세스(개인정보 유출 사고)에 대한 보호를 포함하여 개인정보의 보안을 보장하기 위해 섹션 C에 명시된 기술적 및 조직적 조치를 구현해야 합니다. 적절한 보안 수준을 평가함에 있어, 처리 활동에 수반되는 위험, 개인정보의 성격, 처리의 성격, 범위, 맥락 및 목적을 특별히 고려해야 합니다.

수탁자가 처리하는 데이터와 관련된 개인정보 유출 사고가 발생한 경우, 수탁자는 침해 사실을 인지한 후 부당한 지체 없이, 늦어도 48시간 이내에 개인정보처리자에게 통지해야 합니다. 이러한 통지에는 개인정보 유출 사고에 대한 세부 정보를 얻을 수 있는 창구 연락처 정보, 유출 사고의 성격에 대한 설명(가능한 경우 영향받은 정보주체 및 데이터 기록의 범주와 대략적인 수 포함), 발생 가능한 결과, 그리고 악영향의 최소화를 위해 취해졌거나 제안된 조치들이 포함되어야 합니다. 모든 정보를 동시에 제공하는 것이 불가능한 경우, 최초 통지 시에는 당시 가용한 정보를 포함하고 추가 정보가 가용해지는 즉시 부당한 지체 없이 제공되어야 합니다.

수탁자는 처리의 성격 및 수탁자가 이용 가능한 정보를 고려하여, 개인정보처리자가 주무 데이터 보호 관청 및 영향받은 정보주체에게 필요한 통지를 수행할 수 있도록 성실히 협조하고 지원해야 합니다.

수탁자는 계약의 이행, 관리 및 모니터링을 위해 엄격히 필요한 범위 내에서만 자사 임직원에게 데이터에 대한 접근 권한을 부여해야 합니다. 수탁자는 접수한 개인정보를 처리하도록 권한을 부여받은 자가 비밀유지를 준수할 것을 약속했거나 적절한 법적 비밀유지 의무를 지고 있는지 확인해야 합니다.

처리에 인종 또는 사회적 출신, 정치적 의견, 종교적 또는 철학적 신념, 노동조합 가입 여부를 나타내는 개인정보, 자연인을 고유하게 식별할 목적으로 처리되는 유전 데이터나 바이오메트릭 데이터, 건강에 관한 데이터, 성생활 또는 성적 지향에 관한 데이터, 범죄 경력 및 범죄 행위에 관한 데이터(민감정보 범주)가 포함되는 경우, 수탁자는 개인정보처리자가 합리적으로 요구하는 구체적인 제한 및/또는 추가적인 안전조치를 적용해야 합니다.

5. 문서화 및 준수

당사자들은 본 DPA의 준수 사실을 입증할 수 있어야 합니다.

수탁자는 본 DPA에 따른 처리와 관련된 개인정보처리자의 모든 합리적인 문의에 신속하고 적절하게 대응해야 합니다.

수탁자는 본 DPA에 명시되고 GDPR 또는 FADP로부터 직접 발생하는 의무를 준수하고 있음을 입증하는 데 필요한 모든 정보를 개인정보처리자에게 제공해야 하며, 개인정보처리자의 요청이 있는 경우, 특히 비준수 징후가 있는 경우 본 조항이 적용되는 처리 활동의 실사 및 데이터 파일과 문서의 검토에 동의하고 이에 협조해야 합니다. 

개인정보처리자는 직접 감사를 실시하거나, 자사 부담으로 독립적인 감사인을 지정하거나, 수탁자가 의뢰한 독립적인 감사인의 감사 결과에 의존하는 것을 선택할 수 있습니다. 수탁자가 감사를 의뢰하는 경우에는 독립 감사인의 비용을 수탁자가 부담해야 합니다. 본 조항에 따른 개인정보처리자의 감사, 접근 및 조사 권한은 수탁자의 서류 및 기록(개인정보 처리 활동의 대장, 개인정보 수신자 대장 등을 포함하되 이에 국한되지 않음)으로만 제한되며, 수탁자의 물리적 사업장에는 적용되지 않습니다. 모든 감사 및 정보 요청은 본 DPA의 목적을 위해 필요한 정보로 제한되어야 하며, 수탁자의 비밀유지 의무 및 영업 비밀 보호에 대한 정당한 이익을 적절히 존중해야 합니다.

수탁자와 개인정보처리자는 감사 결과를 포함하여 본 조항에 언급된 정보를 해당되는 경우 GDPR 또는 FADP가 요구하는 한도 내에서 요청 시 관할 감독 관청에 제공해야 합니다.

6. 하위 수탁자의 이용

수탁자는 하위 수탁자를 지정할 수 있는 개인정보처리자의 일반적인 위임을 보유합니다. 수탁자의 하위 수탁자 목록은 섹션 A에서 확인할 수 있습니다. 수탁자는 하위 수탁자의 추가 또는 교체를 통해 해당 목록에 대한 변경 예정 사항이 있는 경우 최소 30일 전에 서면 형식으로 개인정보처리자에게 통지해야 하며, 이를 통해 개인정보처리자에게 관련 하위 수탁자를 지정하기 전에 해당 변경에 대해 이의를 제기할 기회를 제공해야 합니다. 이의제기는 불합리하게 제기되어서는 안 됩니다. 당사자들은 이 목록을 최신 상태로 유지해야 합니다.

수탁자가 (개인정보처리자를 대신하여) 특정 처리 활동을 수행하기 위하여 하위 수탁자를 지정하는 경우, 본 DPA에 따라 수탁자에게 부여된 의무와 동일한 의무를 하위 수탁자에게 부과하는 계약을 통해 진행해야 합니다. 수탁자는 하위 수탁자가 본 DPA, GDPR 제28조 제2항부터 제4항 및 FADP 제9조 제3항에 따라 수탁자가 준수해야 하는 의무를 지키도록 보장해야 합니다.

수탁자는 개인정보처리자의 요청이 있는 경우, 이러한 하위 수탁자 계약서 사본 및 추후 개정본을 개인정보처리자에게 제공해야 합니다.

수탁자는 하위 수탁자와의 계약에 따른 하위 수탁자의 의무 이행에 대해 개인정보처리자에게 전적인 책임을 집니다. 수탁자는 하위 수탁자가 해당 계약에 따른 의무를 이행하지 못하는 경우 개인정보처리자에게 통지해야 합니다.

7. 국외 이전

수탁자에 의한 EU/EEA 및 스위스 외 지역("제3국") 또는 국제기구로의 모든 데이터 이전은 섹션 A에 따라 승인된 경우에만 착수되어야 하며, 적용 가능한 경우 GDPR 제V장 및 FADP 제16조부터 제18조에 준수하여 수행되어야 합니다.

개인정보처리자는 수탁자가 제3국에서 개인정보처리자를 대신하여 특정 처리 활동을 수행하기 위해 제4.6조에 따라 하위 수탁자를 채용하고 해당 처리 활동이 해당되는 경우 GDPR 또는 FADP의 의미 내에서 개인정보 이전을 포함하는 경우, 수탁자와 하위 수탁자가 GDPR 제V장의 요구사항을 준수하기 위해 GDPR 제46조 제2항에 따라 위원회가 채택한 표준 계약 조항을 사용할 수 있음에 동의합니다. 단, 해당 조항의 사용 조건이 충족되고 내부 평가 결과 해당 이전이 GDPR 및 FADP의 데이터 보호 수준을 충족한다고 결론을 내린 경우에 한합니다.

5. 정보주체의 권리

수탁자는 정보주체로부터 직접 접수한 통지에 대해 즉시 개인정보처리자에게 알려야 합니다. 개인정보처리자의 일환으로 권한을 부여받지 않는 한, 수탁자는 직접 해당 요청에 응답해서는 안 됩니다.

수탁자는 GDPR 제III장 및 FADP 제4장에 따라 정보주체의 권리 행사에 따른 요청에 대응할 개인정보처리자의 의무를 이행하는 데 있어 개인정보처리자를 지원해야 합니다. 이에는 다음 사항들이 포함됩니다.

• 정보주체로부터 개인정보를 수집할 때 통지받을 권리

• 정보주체로부터 직접 획득하지 않은 개인정보에 대해 통지받을 권리

• 정보주체의 접근 권리

• 정정 정구권

• 삭제 청구권 ('잊혀질 권리')

• 처리 제한 청구권

• 개인정보의 정정, 삭제 또는 처리 제한에 대한 통지의무

• 데이터 이동성 권리

• 반대할 권리

• 프로파일링을 포함한 자동화된 의사결정만을 기반으로 한 결정의 적용을 받지 않을 권리 및

• 동의를 철회할 권리

수탁자는 본 DPA를 기반으로 처리된 데이터와 관련하여 정보주체가 관할 감독 관청에 불만을 제기한 경우 개인정보처리자를 지원해야 합니다.

제5조에 따른 개인정보처리자 지원 의무 외에도 수탁자는 처리의 성격 및 수탁자가 사용 가능한 정보를 고려하여 다음 의무를 준수할 수 있도록 개인정보처리자를 지원해야 합니다.

• GDPR 제33조 및 FADP 제24조 제1항부터 제3항에 따라 개인정보 유출 사실을 인지한 후 부당한 지체 없이 관할 감독 관청에 이를 신고할 의무 (단, 개인정보 유출 사고가 자연인의 권리와 자유에 대한 위험을 초래할 가능성이 낮은 경우는 제외)

• GDPR 제34조 및 FADP 제24조 제4항에 따라 개인정보 유출 사고가 자연인의 권리와 자유에 높은 위험을 초래할 가능성이 있는 경우, 정보주체에게 부당한 지체 없이 개인정보 유출 사고를 통지할 의무

• GDPR 제35조 및 FADP 제22조에 따라 특정 유형의 처리가 자연인의 권리와 자유에 높은 위험을 초래할 가능성이 있는 경우, 예상되는 처리 활동이 개인정보 보호에 미치는 영향에 대한 평가(개인정보 영향평가)를 실시할 의무

• GDPR 제36조 및 FADP 제23조에 따라 개인정보 영향평가 결과 위험을 완화하기 위해 개인정보처리자가 취한 조치가 없을 경우 처리가 높은 위험을 초래할 것임을 나타내는 경우, 처리 수행 전에 관할 감독 관청과 상담해야 할 의무

당사자들은 본 조항의 적용에 있어 수탁자가 개인정보처리자를 지원해야 하는 적절한 기술적 및 조직적 조치와 필요한 지원의 범위 및 한도를 섹션 C에 규정해야 합니다.

6. 개인정보 유출 사실의 통지

개인정보 유출 사고가 발생하는 경우, 수탁자는 처리의 성격 및 수탁자가 이용 가능한 정보를 고려하여 개인정보처리자가 GDPR 제33조 및 제34조, 그리고 FADP 제24조에 따른 의무를 준수할 수 있도록 성실히 협조하고 필요한 모든 방법으로 지원해야 합니다.

수탁자는 해당하는 경우 관할 감독 관청에 개인정보 유출 사고를 신고하는 것을 지원해야 합니다. 수탁자는 적용 가능한 GDPR 제33조 제3항 또는 FADP 제24조 제2항에 따라 개인정보처리자의 신고서에 기재되어야 하는 다음 정보의 획득을 지원해야 합니다.

• 가능한 경우 관련 정보주체의 범주 및 대략적인 수, 그리고 관련 개인정보 기록의 범주 및 대략적인 수를 포함한 유출 사고가 발생한 개인정보의 성격

• 개인정보 유출 사고의 예상되는 결과

• 개인정보 유출 사고를 해결하기 위해 개인정보처리자가 취했거나 제안한 조치(해당되는 경우 발생 가능한 부정적 영향을 조절하기 위한 조치 포함)

7. 해지

해당되는 경우 GDPR 또는 FADP의 규정을 저해하지 않고, 수탁자가 본 DPA에 따른 의무를 위반하는 경우 개인정보처리자는 수탁자가 본 DPA를 준수할 때까지 또는 계약이 해지될 때까지 개인정보 처리를 일시적으로 보류하도록 수탁자에게 지시할 수 있습니다. 수탁자는 이유를 불문하고 본 DPA를 준수할 수 없는 경우 즉시 개인정보처리자에게 알려야 합니다.

개인정보처리자는 다음과 같은 경우 본 DPA를 해지할 수 있습니다.

• 수탁자에 의한 개인정보 처리가 (a)호에 의거 개인정보처리자에 의해 일시적으로 보류되었고, 수탁자의 위반이 중대하며, 본 DPA의 준수가 합리적인 시간 내(어떠한 경우에도 1개월 이내)에 회복되지 않은 경우

• 수탁자가 본 DPA 또는 적용되는 경우 GDPR이나 FADP에 따른 의무를 중대하게 또는 지속적으로 위반하고 그러한 위반이 합리적으로 시정될 것으로 기대할 수 없는 경우

• 수탁자가 본 DPA 또는 적용되는 경우 GDPR이나 FADP에 따른 자사의 의무와 관련된 관할 법원 또는 관할 감독 관청의 구속력 있는 결정을 준수하지 않는 경우

본 DPA는 기본 계약이 유효한 기간 동안 계속해서 완전한 효력을 유지합니다. 개인정보 보전을 위해 기본 계약이 해지된 날 또는 해지된 후에 명시적 또는 묵시적으로 효력이 발생하거나 계속 유지되어야 하는 본 DPA의 모든 조항은 계속해서 전면적인 효력을 유지합니다.

8. 기타 사항

비밀유지: 당사자들은 당사자 간에 달리 합의하지 않는 한 본 계약의 조건 및 존재 여부뿐만 아니라 본 계약에 따라 교환된 모든 정보를 비밀로 유지하기로 합의합니다.

완전한 합의: 본 DPA는 완전한 합의이며, 본 DPA의 범위와 관련하여 당사자 간의 이전 모든 합의를 대체합니다. 

수정: 본 DPA에 대한 모든 개정 및 보완은 문서(비정격 전자서명 솔루션 포함) 형태로 작성되어야 합니다. 

통지: '서면' 통지는 물리적 우편으로 전달되어야 하며, '텍스트 형태' 통지는 전자 메시지를 포함하고, 각각 마지막으로 전송되거나 사용 가능한 주소로 전달되어야 합니다. 양식이 명시되지 않은 경우에는 텍스트 형태 정보로도 충분합니다. 

양도 금지: 어느 당사자도 달리 합의하지 않는 한 본 계약에 따른 권리, 의무 또는 청구권을 양도할 수 없습니다.

분리가능성: 본 DPA의 기재(전체 또는 일부)가 불법이거나 무효이거나 달리 집행 불가능한 것으로 판명되는 경우, 다른 규정들은 필요한 최소한의 수정을 가하여 전면적인 효력을 유지합니다.

준거법 및 관할: 기본 계약에 따릅니다. 

섹션 C – 기술적 및 조직적 조치(TOMs)

수탁자가 구현한 기술적 및 조직적 안전 조치에 관한 설명:

1. 조직적 보안 조치

   1. 보안 관리

보안 정책 및 절차: 수탁자는 개인정보 처리와 관련하여 문서화된 보안 정책을 보유하고 있습니다.

역할 및 책임:

• 개인정보 처리와 관련된 역할 및 책임은 보안 정책에 따라 명확하게 정의되고 할당되어 있습니다.

• 내부 구조 조정 또는 해고 및 고용 상태 변경 중, 각각의 인수인계 절차와 함께 권리 및 책임의 취소 조치가 명확하게 정의되어 있습니다.

접근 제어 정책: 최소한의 권한 부여 원칙(need-to-know principle)에 따라 개인정보 처리에 관여하는 각 역할에 구체적인 권한 제어 권리가 할당되어 있습니다.

자원/자산 관리: 수탁자는 개인정보 처리에 사용되는 IT 자원(하드웨어, 소프트웨어, 네트워크) 명부를 보유하고 있습니다. 특정 담당자(예: IT 책임자)에게 자원 명부 유지 개발 및 업데이트 업무가 배정됩니다.

변경 관리: 수탁자는 IT 시스템에 대한 모든 변경 사항이 문서 형태 정보로 기록되고 특정 담당자(예: IT 또는 보안 대행책임자)에 의해 모니터링되도록 보장합니다. 이 프로세스에 대한 주기적인 보안 점검이 진행됩니다.

2. 사고 대응 및 비즈니스 연속성

보안 사고 처리 / 개인정보 유출 사고:

• 개인정보와 관련된 사고에 효과적이고 정연하게 대응할 수 있도록 세부 절차가 포함된 사고 대응 계획이 수립되어 있습니다.

• 수탁자는 개인정보의 분실, 오용 또는 무단 유출을 초래한 보안 사고에 대해 지체 없이 개인정보처리자에게 보고할 것입니다.

비즈니스 연속성: 수탁자는 (사고/개인정보 유출 발생 시) 개인정보를 처리하는 IT 시스템의 연속성 및 가용성이 요구되는 수준을 보장하기 위해 지켜야 할 주요 절차 및 통제 항목을 마련했습니다.

3. 인적 자원

임직원의 비밀유지 의무: 수탁자는 모든 직원이 개인정보 처리와 관련된 의무와 책임을 이해하도록 보장합니다. 채용 전 단계 및/또는 오리엔테이션 진행 중에 역할과 책임을 명확히 전달합니다.

교육: 수탁자는 전 직원이 일상 업무와 관련된 IT 시스템의 보안 제어에 대해 충분한 정보를 제공받도록 보장합니다. 개인정보 처리에 승인된 직원도 정기적인 개인정보 보호 인식 캠페인을 통해 관련된 규정 요건 및 법적 의무 사항에 대해 숙지하고 있습니다.

2. 기술적 보안 조치

   1. 접근 제어 및 자격 증명

IT 시스템에 액세스하는 모든 사용자에게 적용되는 접근 제어 시스템이 운영되고 있습니다. 이 시스템을 통해 사용자 계정의 생성, 승인, 검토 및 제거 작업을 수행할 수 있습니다.

공용 사용자 계정의 사용은 지양됩니다. 공용 계정 사용이 필요한 경우에는 공용 계정을 사용하는 모든 사용자가 동일한 역할 및 책임을 갖도록 조치합니다.

접근 권한을 부여하거나 사용자 역할을 할당할 때 수탁자의 처리 목적을 달성하기 위해 접근이 반드시 필요한 사용자에게만 개인정보 조회가 가능하도록 권한을 부여하는 '최소 권한의 원칙'이 준수되어야 합니다.

인증 방식이 비밀번호를 기반으로 하는 경우, 수탁자는 비밀번호 길이를 최소 8자 이상으로 설정하고 길이, 문자 복잡성 및 반복 제한 등을 포함하여 한층 강화된 보안 규칙 매개변수를 충족할 것을 요구하고 있습니다.

사용자 ID 및 비밀번호와 같은 인증 자격 증명은 보호되지 않은 채 네트워크를 통해 전송되어서는 안 됩니다.

2. 로그 기록 및 모니터링

개인정보 처리에 사용되는 각 시스템/애플리케이션에 대한 로그 파일이 활성화되어 있습니다. 여기에는 데이터에 대한 모든 유형의 접근(조회, 수정, 삭제) 내역이 기록됩니다.

3. 미사용 데이터의 보안

서버/데이터베이스 보안:

• 데이터베이스와 애플리케이션 서버는 정확한 가동을 보장하기 위해 최소한의 OS 권한만 가진 별도의 개별 계정을 사용하여 실행되도록 구성됩니다.

• 데이터베이스 및 애플리케이션 서버는 처리 목적 달성을 위해 로딩 시 실제로 처리가 필요한 개인정보만 선별적으로 분석하고 처리합니다.

워크스테이션 보안:

• 사용자는 보안 설정을 비활성화하거나 무력화할 수 없습니다.

• 백신 보안 프로그램 및 감지 시그니처 파일이 일 단위 수준으로 정기적으로 배치 및 구성됩니다.

• 사용자는 인가되지 않은 소프트웨어 프로그램을 설치하거나 설치 작동을 중단시킬 권한이 없습니다.

• 사용자가 특정 시간 동안 활성화되지 않은 상태에 있을 때 시스템의 세션 임계 시간이 만료되도록 설계되어 있습니다.

• 운영체제 개발사에서 배포하는 중요 보안 업데이트가 정기적으로 설치됩니다.

4. 네트워크/통신 보안

인터넷망을 통해 연결을 시도하는 경우, 통신 방식은 암호화 프로토콜을 사용해 인코딩 처리됩니다.

IT 시스템을 드나드는 트래픽 데이터의 모니터링 및 제어는 방화벽 및 침입 탐지 시스템을 거쳐 통제됩니다.

5. 백업

백업 및 데이터 복구 절차가 정의 및 문서화되고, 역할 및 책임 한도와 명확히 연계되어 운영됩니다.

백업 장치는 원본 데이터에 적용되는 표준과 동일한 수준의 물리적 및 환경적 보호 시스템이 제공됩니다.

완전성을 확보하기 위해 백업 프로세스의 가동 과정이 계속 모니터링됩니다.

6. 모바일/방식의 포터블 기기

모바일 및 휴대용 단말기 관리 지침이 명문화되어 배포되며 스마트한 기기 사용을 지원하기 위한 지침 기준이 설정되어 관리됩니다.

정보 시스템에 액세스가 인가된 모바일 디바이스들은 선제적인 등록 및 사전 인가 절차를 통과한 상태여야 합니다.

7. 애플리케이션 수명 주기 보안

개발 사이클 기간에는 업계 모범 사례, 최첨단 기술 기술 및 대외적으로 인정받는 안전한 보안 개발 수칙 또는 표준을 따릅니다.

8. 데이터 삭제/폐기

소프트웨어 기반 겹쳐쓰기 방식의 완전 삭제 포맷 작업이 매체 폐기 전에 우선적으로 진행됩니다. 이 방식의 적용이 불가능한 매체(CD, DVD 등)의 경우에는 완전한 물리적 파쇄 작업을 가집니다.

개인정보가 수록된 기밀 문서지 및 휴대용 저장공간 장치물들의 문서 파쇄 작업을 즉시 처리합니다.

9. 물리적 보안

승인받지 못한 외부인은 IT 물리 시스템 설비 구역 근처에 접근할 수 없습니다. 보안 통제 지역과 접근 게이트에 권한 없는 자의 출입을 통제하기 위해 신뢰성 높은 기술적 조치(예: 침입 감지 보안 센서 시스템, 칩 카드 구동식 회전문 게이트, ID 카드 전용 개별 잠금 스크린 도어) 유닛 또는 조직적 수단(예: 보안 가드 배치)이 도입되어 적용되어야 합니다.

*   *   *

(서명 페이지는 하단에 인쇄됩니다)

서명 페이지들

(전자서명 방식으로도 서명 가치 유효)

별첨 – 하위 수탁자 명단