2026년 5월 DPA

2.1. 본 DPA의 목적 및 GDPR의 정의에 따라, MyScript는 처리자로서, 귀하는 책임자로서 역할을 수행합니다.

2.2. 처리자는 다음을 수행해야 합니다:

• 사용자 개인 데이터 처리와 관련하여 적용되는 모든 데이터 보호 법률을 준수하고,
• 사용자의 문서화된 지침을 따르지 않고는 사용자 개인 데이터를 처리하지 않습니다.

2.2. 귀하는 서비스 제공을 위해 사용자 개인 데이터를 처리하도록 처리자에게 지시합니다.

처리자는 사용자 개인 데이터에 액세스할 수 있는 처리자의 직원, 에이전트, 계약업자의 책임을 보장하기 위해 합리적인 조치를 취해야 합니다. 이를 통해 어느 경우에나 서비스 제공을 위해 또는 처리자 조직 내에서 자신의 역할 수행을 위해 관련 사용자 개인 데이터에 액세스할 필요가 있는 개인에게만 액세스가 엄격히 제한되도록 보장합니다. 또한 처리자에 대한 개별 책임을 수행할 때 관련 법률을 준수함으로써 그러한 모든 개인이 기밀 유지에 관한 직업적 또는 법률적 책임을 다할 수 있도록 보장합니다.

4.1. 처리자의 보안 책임

4.1.1. 최신 기술 수준, 구현 비용, 처리의 성격, 범위, 맥락 및 목적과 더불어 자연인의 권리와 자유에 대한 다양한 가능성과 심각도의 위험을 고려하여, 처리자는 사용자 개인 데이터와 관련하여 해당 위험에 적합한 수준의 보안을 보장하기 위한 적절한 기술적 및 조직적 조치를 구현해야 하며, 여기에는 필요에 따라 GDPR 제32조(1)에 언급된 조치가 포함됩니다.

4.1.2. 적절한 보안 수준을 평가할 때, 처리자는 특히 개인 데이터 침해로부터 발생할 수 있는 처리 관련 위험을 고려해야 합니다.

4.1.3. 처리자의 보안 조치는 본 DPA의 별표 2에 상세히 규정되어 있습니다.

4.2. 귀하의 보안 책임

귀하는 제4.1절(보안 조치) 및 제7절(개인 데이터 침해)에 따른 처리자의 의무를 침해하지 않는 범위 내에서 다음에 동의합니다:

4.2.1. 귀하는 (i) 서비스를 통해 처리되는 개인 데이터와 관련하여 해당 자연인으로부터 필요한 모든 권한을 확보했는지 확인하고, (ii) 모든 로그인 자격 증명과 비밀번호를 안전하게 보관하고 정기적으로 변경하는 것을 포함하여 서비스 이용에 대해 전적으로 책임을 집니다.

4.2.2. 처리자는 귀하가 처리자(또는 하위 처리자)의 시스템 외부에 저장하거나 전송하기로 선택한 사용자 개인 데이터를 보호할 의무가 없습니다.

4.2.3. 귀하는 보안 조치를 검토하고, 서비스, 보안 조치, 추가 보안 정보 및 본 제4절 (데이터 보안)에 따른 처리자의 약정이 귀하의 필요를 충족하는지 여부를 스스로 평가할 전적인 책임이 있으며, 여기에는 귀하의 관할권에서 적용되는 데이터 보호 법률에 따른 보안 의무도 포함됩니다.

5.1. 처리자는 귀하의 요구 또는 승인 없이 사용자 개인 데이터를 어떠한 제삼자에게도 이전하지 않으며, 어떠한 하위 처리자도 지정하거나(또는 사용자 개인 데이터를 공개하지) 않습니다.

5.2. 귀하는 본 DPA의 별표 1에 나열된 하위 처리자가 서비스 제공에 필요한 범위에서 사용자 개인 데이터를 수신하고 처리하는 것을 승인합니다. 처리자는 새로운 하위 처리자가 사용자 개인 데이터를 처리하기 전에 별표 1의 변경 사항을 귀하에게 통지해야 하며, 귀하는 서비스 이용을 중단할 수 있습니다.

5.3. 처리자는 본 DPA 및 법적 고지 및 이용 약관에 따라 각 하위 처리자의 서비스를 직접 수행하는 경우와 동일한 범위로 하위 처리자의 행위 및 부작위에 대해 책임을 집니다.

6.1. 처리자는 처리의 성격을 고려하여, 가능한 범위 내에서 적절한 기술적 및 조직적 조치를 구현함으로써 데이터 보호 법률에 따른 데이터 주체 권리 행사 요청, 즉 접근권, 정정권, 처리 제한, 삭제, 데이터 이동성, 처리에 대한 이의 제기 또는 자동화된 개별 의사결정의 대상이 되지 않을 권리에 대한 요청(이하 “데이터 주체 요청”)에 대응하기 위한 귀하의 의무 이행을 지원해야 합니다.

6.2. 처리자는 다음을 수행해야 합니다:

• 사용자 개인 데이터와 관련하여 데이터 보호 법률에 따라 데이터 주체로부터 요청을 받은 경우 이를 지체 없이 귀하에게 통지하고,
• 귀하의 문서화된 지침 또는 처리자에 적용되는 해당 법률에 의해 요구되는 경우를 제외하고는 그러한 요청에 응답하지 않는지 확인합니다. 이 경우 처리자는 해당 법률이 허용하는 범위 내에서 그러한 요청에 응답하기 전에 해당 법률 요구 사항을 귀하에게 알려야 합니다.

6.3. 처리자는 처리의 성격을 고려하여, 유럽 데이터 보호 법률에 따른 데이터 주체 요청에 대응하기 위한 귀하의 의무 이행을 위해 가능한 범위 내에서 적절한 기술적 및 조직적 조치를 통해 귀하를 지원합니다. 또한 귀하가 서비스 이용 과정에서 데이터 주체 요청에 대응할 수 없는 경우, 처리자는 법적으로 허용되고 해당 요청에 대한 대응이 유럽 데이터 보호 법률에 의해 요구되는 범위 내에서, 귀하의 서면 요청에 따라 합리적인 협력과 지원을 제공합니다. 법적으로 허용되는 범위 내에서, 이러한 지원 제공으로 인해 발생하는 비용은 귀하가 부담합니다.

7.1. 처리자는 사용자 개인 데이터에 영향을 미치는 개인 데이터 침해를 인지한 경우, 지체 없이 귀하 및 관할 감독 기관에 통지하고, 데이터 보호 법률에 따라 귀하가 해당 침해를 보고하거나 데이터 주체에게 통지할 의무를 이행할 수 있도록 충분한 정보를 제공합니다.

7.2. 처리자는 귀하와 협력하고, 각 개인 데이터 침해의 조사, 완화 및 시정을 지원하기 위해 귀하의 지시에 따라 합리적인 상업적 조치를 취합니다.

7.3. 개인 데이터 침해에 대한 통지(들)는 직접적인 의사소통을 통해 귀하에게 전달됩니다. 귀하는 처리자에게 제공된 모든 연락처 정보(통지 이메일 주소 포함)가 최신이며 유효함을 보장할 전적인 책임이 있습니다.

7.4. 처리자는 특정 법적 요구사항의 적용 대상 정보를 식별하기 위해 사용자 개인 데이터의 내용을 평가하지 않습니다. 귀하는 적용되는 사고 통지 법률을 준수하고, 개인 데이터 침해와 관련된 제삼자 통지 의무를 이행할 전적인 책임이 있습니다.

7.5. 본 제7.1절(개인 데이터 침해)에 따른 처리자의 통지 또는 대응은 해당 개인 데이터 침해와 관련된 과실 또는 책임을 인정하는 것으로 해석되지 않습니다.

처리자는 GDPR 제35조 또는 제36조 또는 기타 데이터 보호 법률의 동등한 규정에 따라 필요하다고 귀하가 합리적으로 판단하는 데이터 보호 영향 평가 및 감독 기관 또는 기타 권한 있는 데이터 보호 기관과의 사전 협의와 관련하여, 처리자의 사용자 개인 데이터 처리에 한정하여, 처리의 성격 및 처리자가 이용 가능한 정보를 고려하여 귀하에게 합리적인 지원을 제공합니다.

9.1. 귀하의 명시적 요청이 있거나 귀하가 계정을 삭제한 경우, 처리자는 처리되었거나 처리 중인 사용자 개인 데이터를 삭제해야 합니다. 삭제는 최종적이며, 처리자는 해당 사용자 개인 데이터의 사본을 보관하지 않습니다.

9.2. 서비스 종료 시, 처리자는 지체 없이 그리고 어떠한 경우에도 사용자 개인 데이터 처리와 관련된 서비스 종료일로부터 12개월 이내에, 서비스 제공 중 처리자(또는 하위 처리자)에게 전송된 해당 사용자 개인 데이터의 모든 사본(있는 경우)을 삭제하고 삭제되도록 해야 합니다.

10.1. 처리자는 본 DPA 및 적용되는 데이터 보호 법률상 의무 준수를 보장하기 위해 정기적으로 감사를 수행하고, 모든 하위 처리자도 동일하게 수행하도록 보장해야 합니다.

10.2. 본 제10절에 따라, 처리자는 요청 시 적절한 기밀유지 계약이 체결된 경우, 처리자 및/또는 하위 처리자의 사용자 개인 데이터 처리와 관련하여 본 DPA 준수를 입증하는 데 필요한 모든 정보를 귀하에게 제공합니다.

10.3. 귀하는 적용되는 데이터 보호 법률에 따라, 처리자에게 제10.1절에 설명된 감사를 수행하도록 지시함으로써, 귀하 자신을 대신하여 또는 귀하가 처리자로서 활동하는 경우 귀하의 책임자를 대신하여, 검사 등을 포함한 감사를 요청하거나 위임할 권리를 가집니다.

10.4. 감사에 관한 본 지시를 변경하고자 하는 경우, 귀하는 legal@myscript.com으로 서면 통지를 보내 변경을 요청할 수 있습니다. 처리자가 검사 등을 포함한 감사와 관련하여 귀하의 요청 및/또는 지시를 따르지 않는 경우, 귀하는 서비스를 즉시 종료할 권리가 있습니다.

11.1. 처리자는 귀하의 사전 서면 동의 없이 사용자 개인 데이터를 EU 및/또는 EEA 외 국가로 전송하거나 전송을 승인할 수 없습니다. 본 DPA에 따라 처리되는 개인 데이터가 유럽경제지역 내 국가에서 유럽경제지역 외 국가로 전송되는 경우, 당사자는 사용자 개인 데이터가 적절히 보호되도록 보장해야 합니다. 이를 위해, 당사자는 달리 합의하지 않는 한, 비EU 국가에 대한 EU 적정성 결정 및/또는 개인 데이터 전송을 위한 EU 승인 표준 계약 조항에 의존합니다.

11.2. 사용자 개인 데이터를 수신하는 하위 처리자 목록 및 해당 소재 국가는 본 DPA의 별표 1에 제공됩니다. 상기 제11.1절의 목적상, 귀하는 별표 1에 나열된 하위 처리자에게 사용자 개인 데이터를 전송하는 것에 동의합니다.

12.1. 기간

본 DPA는 귀하가 법적 고지 및 이용 약관에 동의하는 시점에 효력이 발생하며, 처리자가 귀하에게 서비스를 제공하는 동안 계속 유효합니다.

12.2. 고지

본 DPA에 따른 모든 고지 및 의사소통은 서면으로 이루어져야 하며, MyScript가 귀하에게 연락하는 경우 MyScript 계정 생성 시 사용된 이메일 주소로 발송되어야 하고, 귀하가 MyScript에 통지하는 경우에는 legal@myscript.com으로 발송되어야 합니다.

12.3. 준거법 및 관할

본 DPA는 국제사법 충돌 규정을 제외한 프랑스 법률의 적용을 받습니다. 본 DPA로부터 발생하거나 이와 관련된 분쟁으로서 당사자가 원만히 해결하지 못하는 경우, 해당 분쟁은 프랑스의 관할 법원 또는 당국의 전속 관할에 따릅니다.

12.4. 분리가능성

본 DPA의 어떤 조항이 무효이거나 집행 불가능한 경우에도, 나머지 조항은 계속 유효하며 효력을 유지합니다. 무효이거나 집행 불가능한 조항은 (i) 당사자의 의도를 가능한 한 최대한 유지하면서 유효성과 집행 가능성을 확보하기 위해 필요한 범위에서 수정되거나, 이것이 불가능한 경우 (ii) 해당 무효 또는 집행 불가능한 부분이 처음부터 포함되지 않았던 것처럼 해석됩니다.

12.5. 관할 감독 기관

청구, 불만 또는 요청 시 연락할 관할 감독 기관은 Commission Nationale des Informations et des Libertés(CNIL)이며, 이 페이지(프랑스어)를 통해 연락할 수 있습니다.

13.1. 별표 1 – 하위 처리자 목록

MyScript 앱의 클라우드 기능

하위 처리자: AWS, 유럽연합에 기반을 둔 클라우드 인프라 제공업체.

하위 처리자: Freshdesk(Freshworks), 파일(콘텐츠) 전송을 포함할 수 있는 지원 요청을 수신 및 관리하며 유럽연합에 기반.

하위 처리자: Brevo, 유럽연합에 기반을 둔 메일 서비스 제공업체.

개발자 포털을 통한 MyScript Cloud 인식 기능

하위 처리자: AWS, 미국 오리건주에 기반한 클라우드 인프라 제공업체(SCC 적용).

하위 처리자: Brevo, 유럽연합에 기반을 둔 메일 서비스 제공업체.

13.2. 별표 2 – 보안 조치

처리자는 귀하를 대신하여 사용자 개인 데이터를 처리할 때 다음과 같은 기술적 및 조직적 보안 조치를 구현하고 유지합니다.

물리적 액세스 통제

처리자는 승인되지 않은 사람이 사용자 개인 데이터에 액세스하는 것을 방지하기 위해 또는 처리자 대신 데이터 센터를 운영하는 하위 처리자가 이러한 통제를 준수하는지 확인하기 위해 보안 건물 및 보안 서버 룸과 같이 물리적 액세스를 방지하기 위해 합리적인 조치를 취해야 합니다.

시스템 액세스 통제

처리자는 사용자 개인 데이터가 승인 없이 사용되지 않도록 합리적인 조치를 취해야 합니다. 이러한 통제는 수행되는 처리의 성격에 따라 달라지며, 다른 통제와 함께 비밀번호 기반 인증, 해당되는 경우 다중요소 인증, 문서화된 승인 절차, 방화벽, 문서화된 변경 관리 절차 및/또는 여러 수준에서의 접근 로그 기록과 자동 보안 업데이트를 포함할 수 있습니다.

데이터 액세스 통제

처리자는 적절하게 승인된 직원만 사용자 개인 데이터를 액세스 및 관리할 수 있고, 데이터 처리 시스템 사용 권한이 있는 사람만 자신에게 액세스 권한이 있는 사용자 개인 데이터에 액세스하고 처리 과정 중 승인 없이 사용자 개인 데이터에 대해 읽기, 복사, 수정, 삭제를 수행할 수 없도록 보장하기 위해 직접 데이터베이스 쿼리 액세스가 제한되고 애플리케이션 액세스 권한이 설정 및 적용되도록 합리적인 조치를 취해야 합니다.

전송 통제

처리자는 전자 전송 또는 운송 중 사용자 개인 데이터가 승인 없이 읽히거나 복사되거나 수정되거나 제거되지 않도록, 데이터 전송 수단을 통해 사용자 개인 데이터가 어떤 주체로 전송되는지 확인 및 입증할 수 있도록 합리적인 조치를 취해야 합니다. 이러한 조치에는 인증된 보안 서버 연결 사용 및 모든 API에서 교차 출처 리소스 공유 제한이 포함됩니다.

입력 통제

처리자는 데이터 처리 시스템에 메타데이터가 입력되었는지, 수정되었는지 또는 삭제되었는지 확인하고 입증할 수 있도록 합리적인 조치를 취해야 합니다. 처리자는 인증 및 안전한 감사 로그를 위해 암호화 프로토콜을 포함한 업계 모범 사례를 활용해야 합니다.

데이터 백업

서비스 내 데이터베이스는 정기적으로 백업되며, 사용자 개인 데이터가 우발적 파괴 또는 손실로부터 보호되도록 안전하게 유지되고 저장 시 암호화됩니다. 스냅샷은 12시간마다 생성됩니다(AWS). 암호화된 백업은 당사 서버에서 매 삼일마다 수행됩니다.

13.3. 별표 3 – 처리 활동 설명

이름: MyScript SAS

주소: 프랑스 3 rue de la Rainière, 44339 Nantes Cedex 3

담당자 이름, 직위 및 연락처: Emilie Fowell, DPO, legal@myscript.com

전송과 관련된 활동: 서비스 수행

역할(책임자/처리자): 처리자

13.3.1. MyScript 앱의 클라우드 기능

a. 전송되는 개인 데이터와 관련된 데이터 주체의 범주

귀하는 본 서비스에 사용자 개인 데이터를 제출할 수 있으며, 그 범위는 귀하가 단독으로 결정하고 관리합니다.

b. 전송되는 개인 데이터의 범주

MyScript와 공유하거나 MyScript 앱의 클라우드 기능을 통해 저장하기 위해 귀하가 서비스를 통해 처리자에게 전송하는 MyScript Notes 또는 MyScript Math 콘텐츠에 포함된 비정형 사용자 개인 데이터.

c. 특수 범주의 데이터

MyScript는 특수 범주의 데이터(인종 또는 민족적 출신, 정치적 견해, 종교 또는 철학적 신념, 노동조합 가입, 유전 또는 생체 데이터, 건강 및 성생활 등)를 수집하지 않습니다. 그러나 위에서 설명한 비정형 사용자 개인 데이터의 내용은 MyScript에 알려져 있지 않습니다.

d. 전송 빈도

비정형 사용자 개인 데이터는 사용자의 서비스 사용 빈도에 따라 별표 1에 나열된 당사 하위 처리자에게 지속적으로 전송됩니다.

e. 처리의 성격

처리의 특성은 본 서비스 수행과 관련이 있습니다.

f. 데이터 전송 및 추가 처리의 목적(들)

MyScript는 사용자가 요청한 서비스를 수행하기 위해 필요에 따라 사용자 개인 데이터를 처리합니다.

g. 개인 데이터 보관 기간 또는 이를 결정하기 위한 기준

비정형 사용자 개인 데이터는 귀하가 MyScript 앱의 클라우드 기능을 통해 사용자 개인 데이터를 저장하거나 공유하기로 결정한 기간 동안 처리자의 서버로 전송됩니다. 귀하가 MyScript 계정을 삭제하면 모든 사용자 개인 데이터는 모든 저장 위치에서 자동으로 삭제됩니다.

h. (하위) 처리자로의 전송의 경우, 처리의 대상, 성격 및 기간도 명시하십시오

하위 처리자는 서비스 수행에 필요한 범위에서 사용자 개인 데이터를 처리합니다. 하위 처리자는 귀하가 MyScript 계정을 보유하는 기간 동안 사용자 개인 데이터를 처리하며, 서면으로 달리 합의하거나 귀하가 사전 삭제를 요청한 경우는 제외됩니다. 서비스 제공을 위해 사용되는 하위 처리자의 신원 및 소재 국가는 본 DPA의 별표 1에 명시되어 있습니다.

13.3.2. 개발자 포털을 통한 MyScript Cloud 인식 기능

a. 전송되는 개인 데이터와 관련된 데이터 주체의 범주

귀하는 본 서비스에 사용자 개인 데이터를 제출할 수 있으며, 그 범위는 귀하가 단독으로 결정하고 관리합니다.

b. 전송되는 개인 데이터의 범주

• 필기로 작성된 메모에서 타이핑된 텍스트로 변환하기 위해 귀하가 본 서비스를 통해 처리자에게 전송한 문서에 포함된 비정형 사용자 개인 데이터입니다.
• 최종 사용자 IP 주소.

c. 특수 범주의 데이터

MyScript는 특수 범주의 데이터(인종 또는 민족적 출신, 정치적 견해, 종교 또는 철학적 신념, 노동조합 가입, 유전 또는 생체 데이터, 건강 및 성생활 등)를 수집하지 않습니다. 그러나 위에서 설명한 비정형 사용자 개인 데이터의 내용은 MyScript에 알려져 있지 않습니다.

d. 전송 빈도(예: 데이터가 일회성인지 지속적인지 여부)

위에 나열된 모든 데이터 범주는 별표 1에 나열된 하위 처리자에게 전송되며 서비스 사용 빈도에 따라 지속적으로 전송됩니다.

e. 처리의 성격

처리의 특성은 본 서비스 수행과 관련이 있습니다.

f. 데이터 전송 및 추가 처리의 목적(들)

MyScript는 서비스 수행을 위해 필요에 따라 개인 데이터를 처리합니다.

g. 개인 데이터 보관 기간 또는 이를 결정하기 위한 기준

비정형 사용자 개인 데이터는 처리를 위해 처리자의 서버로 전송된 후 최종 사용자에게 반환되며, 처리자에 의해 저장되지 않습니다. IP 주소는 로그 기록에 12개월 동안 보관됩니다. 비정형 사용자 개인 데이터는 귀하가 서면으로 명시적으로 요청한 경우를 제외하고 처리자에 의해 저장되지 않습니다.

h. (하위) 처리자로의 전송의 경우, 처리의 대상, 성격 및 기간도 명시하십시오

하위 처리자는 서비스 수행에 필요한 범위에서 사용자 개인 데이터를 처리합니다. 하위 처리자는 귀하가 서비스를 이용하는 동안 개인 데이터를 처리하며, 서면으로 달리 합의된 경우는 제외됩니다. 서비스 제공을 위해 사용되는 하위 처리자의 신원 및 소재 국가는 본 DPA의 별표 1에 명시되어 있습니다.