데이터 처리 부속서(DPA)

본 DPA에서 정의되지 않은 대문자 용어는 GDPR 또는, GDPR이 적용되지 않는 경우 적용 법률상의 동등한 용어의 의미를 갖습니다.

• “개인정보(Personal Data)” — 컨트롤러를 위해 Anvil이 처리하는, 식별되었거나 식별 가능한 자연인에 관한 모든 정보.
• “컨트롤러 데이터(Controller Data)” — 컨트롤러와 그 이용자가 Anvil 테넌트에 업로드하거나 생성한 개인정보.
• “하위 수탁자(Sub-processor)” — Anvil이 컨트롤러 데이터를 처리하기 위해 관여시키는 제3자.
• “감독기관(Supervisory Authority)” — 적용 데이터 보호법상 관할권을 가진 기관(대한민국의 경우 개인정보보호위원회(PIPC)).
• “표준계약조항(SCCs)” — EU 위원회 결정 2021/914의 조항(Module Two: Controller-to-Processor) 및 영국 IDTA.

• 컨트롤러는 자신의 데이터 처리의 목적과 수단을 결정하며 해당 처리의 적법 근거에 대해 책임집니다.
• Anvil은 서비스를 운영할 때 수탁자로서 행위하며, 컨트롤러의 문서화된 지시에 한하여 컨트롤러 데이터를 처리합니다.
• Anvil은 계정 관리 데이터(결제, 로그인, 컨트롤러 관리자의 지원 티켓)를 처리할 때 개인정보 처리방침에 설명된 바와 같이 독립된 컨트롤러로서 행위합니다.
• 본 DPA는 기본 구독 기간 및 정리 기간 동안 적용됩니다.

Anvil에 대한 컨트롤러의 지시는 (a) 계약서, (b) 본 DPA, (c) 서비스 인터페이스 및 API의 이용, (d) support@anvilhk.com으로 보낸 서면 지시로 구성됩니다.

Anvil은 지시가 적용 데이터 보호법을 위반한다고 판단할 경우 컨트롤러에게 통지하며, 해결될 때까지 처리를 중단할 수 있습니다.

Anvil은 (a) 컨트롤러 데이터를 판매하지 않고, (b) 크로스컨텍스트 행동 광고를 위해 공유하지 않으며, (c) 직접적인 비즈니스 관계 외에서 보유 · 이용하지 않고, (d) 서비스 제공 목적 외에는 다른 소스의 데이터와 결합하지 않습니다.

전체 내역은 부속서 I을 참고하시기 바랍니다. 요약하면 다음과 같습니다.

• 정보주체: 컨트롤러의 이용자, 최종 고객, 컨트롤러가 플랫폼에 가져오는 비즈니스 잠재고객.
• 데이터 카테고리: 업무 연락처(이름, 업무용 이메일, 직책, 소속), CRM 활동 데이터, 커뮤니케이션 콘텐츠(이메일, 채팅, 통화 녹취록), 플랫폼 로그, AI 기능 입출력.
• 특별 카테고리(GDPR 제9조 / PIPA 제23조 민감정보): 컨트롤러가 본 DPA를 위반하여 업로드하지 않는 한 처리하지 않습니다. 업로드 시 컨트롤러는 Anvil을 면책합니다.

컨트롤러는 Anvil이 서비스 제공을 위해 하위 수탁자를 관여시키는 것에 대해 일반적 승인을 부여합니다. 현재 목록은 /ko/legal/subprocessors에 게시되어 있으며 본 DPA의 일부를 구성합니다.

Anvil은:

• 각 하위 수탁자에게 본 DPA보다 덜 보호적이지 않은 데이터 보호 의무를 부과합니다.
• 하위 수탁자의 이행에 대해 컨트롤러에 대하여 전적으로 책임을 집니다.
• 개인정보를 처리하는 하위 수탁자를 추가하거나 교체하기 전에 수탁업체 페이지를 통해(요청 시 이메일 옵션 포함) 최소 30일의 사전 통지를 제공합니다.
• 해당 통지 기간 동안 컨트롤러는 738888@proton.me로 이메일을 보내어 합리적인 데이터 보호 사유로 이의를 제기할 수 있습니다. 합리적으로 수용할 수 없는 경우 컨트롤러는 영향을 받는 서비스 부분을 해지하고 선불 요금의 안분 환불을 받을 수 있습니다.

컨트롤러 데이터는 기본적으로 홍콩특별행정구에서 호스팅되며, Cloudflare 글로벌 네트워크에서 엣지 캐싱이 이루어집니다. 일부 하위 수탁자(예: OpenAI, Stripe)는 미국 또는 EU에서 데이터를 처리합니다.

• EEA / 영국 / 스위스에서 이전되는 경우 Anvil은 표준계약조항(Module Two) 및 필요한 경우 영국 IDTA와 스위스 부속서를 기반으로 합니다. SCCs는 본 DPA에 참조로 편입됩니다.
• 중국 본토에서 이전되는 경우(PIPL) Anvil과 컨트롤러는 CAC 승인 표준계약, 안전 평가 또는 인증 경로를 데이터 볼륨에 따라 협력합니다.
• 대한민국 정보주체의 개인정보를 국외로 이전하는 경우 PIPA 제28조에 따라 이전 국가, 일시, 방법, 수령자, 목적, 보유 기간 등을 컨트롤러에게 고지하며, 컨트롤러가 정보주체에게 별도 동의를 받을 수 있도록 지원합니다.
• Anvil은 각 하위 수탁자에 대해 이전 영향 평가를 수행하고, Schrems II가 요구하는 바에 따라 보충 조치(전송 중 및 저장 시 암호화, 키 분리, 접근 통제)를 적용합니다.
• 컨트롤러는 이메일 요청 시 체결된 SCCs 사본을 요청할 수 있습니다.

Anvil은 부속서 II에 명시된 기술적 · 관리적 조치를 이행하며, 이는 GDPR 제32조 및 PIPA 제29조에 부합합니다. 조치는 매년 검토되며 전반적인 보안 수준을 실질적으로 저하시키지 않는 범위 내에서 업데이트될 수 있습니다.

Anvil은 컨트롤러가 열람, 정정, 삭제, 내보내기, 처리정지 요청을 처리할 수 있도록 관리자 콘솔에 셀프서비스 도구를 제공합니다. 제품에서 완료할 수 없는 요청의 경우 738888@proton.me로 서면 요청 접수 후 5영업일 이내에 Anvil이 지원합니다.

Anvil이 직접 받는 정보주체 요청은 해당 컨트롤러에게 전달되며, 컨트롤러를 대신하여 응답하지 않습니다(접수 확인 및 정보주체에게 컨트롤러에게 연락하도록 안내하는 경우 제외).

• Anvil은 컨트롤러 데이터에 영향을 미치는 개인정보 침해를 확인한 후 부당한 지연 없이, 어떤 경우에도 48시간 이내에 컨트롤러에게 통지합니다.
• 통지에는 알려진 범위 내에서 다음이 포함됩니다: 침해의 성격, 영향받는 정보주체 및 레코드의 범주와 대략적 수, 예상되는 결과, 이미 취해졌거나 제안되는 조치, 연락처.
• 통지는 컨트롤러가 관리자 콘솔에 등록한 보안 담당자(또는 그렇지 않은 경우 결제 이메일)에게 발송됩니다. 해당 주소의 최신성은 컨트롤러의 책임입니다.
• Anvil 자체(컨트롤러 역할) 시스템의 침해는 개인정보 처리방침 및 영향받는 정보주체의 적용 법률(대한민국의 경우 PIPA 제34조 72시간 신고 등)에 따라 공개됩니다.

Anvil은 GDPR 제28조 및 PIPA 제26조의 준수를 증명하는 데 필요한 정보를 컨트롤러에게 제공합니다.

• 요청 시 NDA 하에 SOC 2 Type II 보고서(2026년 4분기 예정).
• 요청 시 연간 모의해킹 요약.
• 요청 시 작성 완료된 CAIQ / SIG-Lite 설문.

위 정보가 불충분한 경우, 컨트롤러는 12개월당 1회를 초과하지 않는 범위 내에서 30일의 서면 통지, 자비, 업무 시간 중, 비밀유지 의무 준수를 조건으로 감사를 수행할 수 있습니다. 감사는 Anvil의 운영 또는 다른 고객 데이터에 부당한 영향을 미쳐서는 안 됩니다. 감독기관의 감사 권한은 본 조항으로 제한되지 않습니다.

• 해지 시 컨트롤러는 제품 또는 API를 통해 30일 동안 컨트롤러 데이터를 내보낼 수 있습니다.
• 30일 경과 후 Anvil은 60일 이내에 컨트롤러 데이터를 삭제하거나 익명화합니다. 단, 법률이 보관을 요구하는 데이터(예: 세금 기록, 진행 중인 법적 절차)는 예외입니다.
• 컨트롤러 데이터를 포함한 백업은 표준 백업 로테이션(≤ 35일)에서 덮어쓰기됩니다.
• 요청 시 삭제 증명서를 발급해 드립니다.

• 계약서의 책임 상한은 본 DPA에 따른 청구에 적용됩니다.
• 계약서와 본 DPA가 데이터 보호와 관련하여 충돌하는 경우 본 DPA가 우선합니다. 본 DPA와 SCCs가 충돌하는 경우 SCCs가 우선합니다.
• 본 DPA는 계약의 발효 시 효력이 발생하며, 계약의 종료 시 종료됩니다. 단, 제11조에 따른 범위는 예외입니다.

A. 당사자 목록

• 컨트롤러: Anvil 구독에서 식별된 고객.
• 수탁자: Hong Kong Anvil Ltd., 홍콩특별행정구. 연락처: 738888@proton.me.

B. 처리에 대한 설명

• 대상: Anvil 리드 제너레이션, CRM, 아웃리치, 분석 SaaS의 제공.
• 기간: 컨트롤러가 활성 구독을 보유하는 기간 + 30일 내보내기 창 + 60일 삭제 창.
• 성격 및 목적: 컨트롤러의 리드 및 CRM 데이터의 호스팅, 저장, 전송, 분석, 보강, AI 추론, 이메일 및 메시징 전달, 분석.
• 정보주체 카테고리: 컨트롤러의 이용자, 최종 고객, B2B 잠재고객.
• 개인정보 카테고리: 이름, 업무용 이메일, 업무용 전화번호, 직책, 고용주, LinkedIn/소셜 프로필 URL, 회사 규모 및 산업; CRM 활동 로그; 이메일 및 메시지 콘텐츠; 통화 녹음 및 녹취록(음성 기능 사용 시); AI 입력 및 출력; 플랫폼 감사 로그.
• 빈도: 지속적.
• 보관: 개인정보 처리방침 및 위 제11조에 명시된 바에 따름.

C. 관할 감독기관

컨트롤러가 EEA에 설립된 경우 주된 감독기관, 영국에 설립된 경우 ICO, 홍콩의 경우 PCPD, 대한민국의 경우 개인정보보호위원회(PIPC)입니다.

• 암호화: 전송 중 TLS 1.3; 데이터베이스 및 오브젝트 스토리지에 대해 저장 시 AES-256-GCM; 하드웨어 기반 KMS를 사용한 시크릿 엔벨로프 암호화.
• 식별 및 접근: 엔터프라이즈용 SSO(SAML/OIDC); 관리자에 대한 MFA 강제; 최소 권한 기본값의 RBAC; 단기 자격증명과 승인으로 게이팅된 프로덕션 접근.
• 네트워크: Cloudflare WAF, DDoS 보호, 속도 제한, 봇 관리; 서비스 간 사설망 경계; 프로덕션에 대한 zero-trust 접근.
• 애플리케이션 보안: CI의 SAST, 의존성 스캐닝, 시크릿 스캐닝, 컨테이너 스캐닝; 연 1회 제3자 모의해킹; 조율된 취약점 공개 프로그램.
• 모니터링: 변조 방지 중앙 집중식 로깅; 이상 및 침입 탐지; Sentry 오류 보고; 보안 중요 신호에 대한 24/7 알림.
• 변경 관리: 프로덕션 변경에 대한 동료 코드 리뷰 필수; 자동화 배포 및 롤백; 프로덕션과 개발 환경 분리.
• 백업 및 복구: 암호화된 일간 전체 백업, 시간별 증분 백업; 지리적으로 분리된 백업 스토리지; 최소 분기별 테스트된 복원 절차; 기본 데이터베이스 RPO ≤ 1시간, RTO ≤ 4시간.
• 인력: 법이 허용하는 범위 내 신원 조회; 비밀유지 서약; 연 1회 보안 인식 교육; 문서화된 입/이/퇴사 프로세스.
• 물리적: 데이터 센터 보안은 호스팅 제공자(부속서 III 참조)에 위임되며 해당 사업자의 SOC 2 / ISO 27001 인증에 의존합니다.
• 사고 대응: 문서화된 런북; 정의된 심각도 등급; 중대한 사고에 대한 게시 가능한 근본 원인 분석이 포함된 사후 검토.
• 가명처리: 가능한 경우 로그 및 분석에서 프로덕션 이메일 대신 고객 식별자 사용.
• 데이터 분리: 행 수준 보안 및 애플리케이션 권한 부여 계층에서 엄격한 테넌트 격리; 배포마다 크로스테넌트 테스트 실행.

보다 자세한 설명은 보안 페이지에 게시되어 있으며, 통제가 발전함에 따라 업데이트됩니다.

현재 하위 수탁자 목록은 /ko/legal/subprocessors에서 유지 관리됩니다. 본 DPA의 일부를 구성하며, 중대한 변경 시 최소 30일의 사전 통지와 함께 업데이트됩니다.

본 DPA에 대한 동의는 컨트롤러의 기본 Anvil 구독 체결에 의해 발효됩니다. 수기 서명이 포함된 버전은 요청 시 제공되며, 법인명, 주소, 서명권자, DUNS/VAT 식별자와 함께 738888@proton.me로 이메일을 보내주시기 바랍니다.

수탁자: Hong Kong Anvil Ltd.
본점 소재지: 홍콩특별행정구
서명권자: Director
연락처: 738888@proton.me · +852 4748 1911