개인정보 처리위탁 계약서

[기관명](이하 “위탁자”)와(과) facultyOS 운영자(이하 “수탁자”)는 위탁자가 수탁자의 서비스를 이용하여 개인정보를 처리함에 있어, 개인정보 보호법 제26조 및 관련 법령에 따라 다음과 같이 개인정보 처리위탁에 관한 사항을 정한다.

제1조 (목적)

본 계약은 위탁자가 수탁자에게 개인정보의 처리 업무를 위탁하고, 수탁자가 이를 안전하게 처리하도록 필요한 사항을 규정함을 목적으로 한다.

제2조 (위탁 업무의 내용 및 목적)

위탁자가 수탁자에게 위탁하는 업무는 다음과 같다.

1. 강사·지원자 명단 및 인사 정보의 저장·조회·관리
2. 비자(체류자격) 만료 관리 및 알림
3. 재직·경력 증명서 등 문서 발급
4. 채용 설문·면접 일정 안내 이메일 발송 및 응답 수집
5. [기타 위탁자가 서비스 내에서 이용하는 기능]

수탁자는 위 업무 수행 목적 범위 내에서만 개인정보를 처리하며, 목적을 벗어난 이용·제공을 하지 아니한다.

제3조 (처리하는 개인정보의 항목 및 정보주체)

정보주체: 위탁자 소속 강사 및 지원자.

개인정보 항목: 성명, 연락처, 이메일, 주소, 외국인등록번호, 여권 정보, 계약·급여·주거 정보, 그 밖에 위탁자가 서비스에 입력하는 항목. 이 중 고유식별정보 및 민감정보는 저장 시 암호화하여 보관한다.

제4조 (위탁 기간)

본 계약의 위탁 기간은 서비스 이용계약이 유효한 기간으로 한다. 이용계약이 종료되거나 위탁자가 계정 삭제를 요청하는 경우 제9조에 따라 개인정보를 반환 또는 파기한다.

제5조 (수탁자의 의무)

1. 수탁자는 개인정보 보호법 등 관계 법령을 준수하고, 위탁자의 지시에 따라 개인정보를 처리한다.
2. 수탁자는 위탁받은 개인정보를 제2조의 목적 외로 이용하거나 제3자에게 제공·판매하지 아니한다.
3. 수탁자는 개인정보의 안전한 관리를 위하여 제6조의 기술적·관리적 보호조치를 취한다.
4. 수탁자는 개인정보를 처리하는 자를 필요 최소한으로 제한하고, 해당 인원에게 비밀유지 의무를 부과한다.

제6조 (기술적·관리적 보호조치)

수탁자는 다음의 안전성 확보 조치를 이행한다.

• 고유식별정보(외국인등록번호·여권번호 등) 및 연락처·급여·주거 정보의 저장 시 암호화(AES-256)
• 비밀번호의 일방향 해시 저장(복호화 불가)
• 전송 구간 암호화(HTTPS/TLS)
• 접근 권한 최소화 및 민감정보의 화면 표시 최소화(보유 여부만 표시)
• 개인정보 접근·변경 이력의 감사 로그 기록(추가 전용)
• 정기 백업 및 접근통제

최신 보호조치 현황은 facultyOS 보안 센터에서 확인할 수 있다.

제7조 (재위탁 제한)

수탁자는 위탁자의 사전 동의 없이 위탁받은 업무를 제3자에게 다시 위탁하지 아니한다. 다만, 서비스 운영에 필요한 다음의 재수탁은 위탁자가 본 계약 체결로써 동의한 것으로 본다.

• 서버 호스팅·백업: Amazon Web Services (AWS 서울 리전, 대한민국)
• CDN·보안·DNS: Cloudflare, Inc. (미국)
• 이메일 발송 (Google Workspace)
• AI 처리 (Anthropic, 미국), 위탁자가 AI 기능을 사용하는 경우에 한함. 입력 데이터는 모델 학습에 사용되지 아니한다.

재수탁자 변경 시 수탁자는 사전에 위탁자에게 고지하며, 위탁자는 합리적 사유로 이의를 제기할 수 있다. 위 재수탁 중 국외 이전이 포함된 경우, 그 사실을 위탁자 및 개인정보처리방침을 통해 고지한다.

제8조 (관리·감독 및 정보주체 권리 보장)

1. 위탁자는 수탁자가 개인정보를 안전하게 처리하는지 필요한 경우 자료 요청 또는 점검을 할 수 있으며, 수탁자는 이에 성실히 응한다.
2. 정보주체가 열람·정정·삭제·처리정지를 요구하는 경우, 수탁자는 위탁자의 요청에 따라 지체 없이 필요한 조치를 지원한다. 정보주체에 대한 고지·동의 확보 의무는 위탁자에게 있다.

제9조 (개인정보의 반환 및 파기)

위탁 기간이 종료되거나 위탁자가 요청하는 경우, 수탁자는 보유 중인 개인정보를 지체 없이(30일 이내) 위탁자에게 반환하거나 복구 불가능한 방법으로 파기한다. 다만 관계 법령에 따라 보존 의무가 있는 정보(전자상거래법상 결제·계약 기록 등)는 해당 기간 동안 분리 보관 후 파기한다.

제10조 (개인정보 유출 통지)

수탁자는 위탁받은 개인정보의 분실·도난·유출을 인지한 경우 지체 없이 위탁자에게 통지하고, 피해 최소화를 위한 조치를 취하며, 관계 법령상 신고 의무 이행에 협조한다.

제11조 (손해배상)

수탁자가 본 계약 및 개인정보 보호법을 위반하여 위탁자 또는 정보주체에게 손해를 발생시킨 경우, 수탁자는 그 손해를 배상할 책임을 진다. 위탁자의 지시 또는 위탁자가 입력한 정보의 하자로 인한 손해에 대하여는 위탁자가 책임을 진다.

제12조 (계약의 효력 및 기타)

본 계약에 정하지 아니한 사항은 서비스 이용약관, 개인정보 보호법 및 관계 법령, 상관례에 따른다. 본 계약과 이용약관이 충돌하는 경우 개인정보 처리에 관하여는 본 계약이 우선한다.