DPA

LW DPA 20261108 DRAFT 04

작성일 2026년 11월 8일 · 버전 LW DPA 20261108 DRAFT 04 · 효력 발생일 미정

이 개인정보 처리위탁 계약 DPA는 Luxwarp를 제공하는 주식회사 스카이폴이 고객의 지시에 따라 개인정보를 처리하는 경우의 조건을 정합니다. iOS, Android, macOS, Windows, Linux 및 관련 서버 기능 중 실제 위탁 범위에 적용합니다.

계약 검토용 초안입니다. 계약 당사자, 처리 범위, 재수탁자, 이전 조건, 보유·삭제 기한과 보호조치를 부속서에 확정하고 이행할 수 있도록 한 뒤 권한 있는 당사자가 체결해야 합니다. 앱 설치나 모든 이용자에게 보이는 체크박스만으로 이 미완성 초안이 체결되는 것은 아닙니다.

제1조 당사자와 적용 범위

회사는 주식회사 스카이폴이며, 대표자는 이상화, 사업자등록번호는 480-86-02585입니다. 주소는 대한민국 경기도 고양시 덕양구 꽃마을로 34, 14층 1422호 (향동동, DMC 스타팰리스), 연락처는 inquiry@luxwarp.com 및 070-8095-1561입니다. 고객의 법인명 또는 성명, 주소와 권한 있는 담당자는 부속서 1에 기재합니다. 회사의 개인정보 보호책임자는 대표 이상화이며 개인정보·계약 문의는 inquiry@luxwarp.com, 070-8095-1561로 접수합니다.

고객이 처리 목적을 결정하고 회사가 고객을 대신해 처리하는 범위에서는 고객이 위탁자 또는 개인정보처리자, 회사가 수탁자입니다. 고객이 다른 개인정보처리자를 위한 수탁자인 경우에는 그 위탁자의 적법한 권한과 재위탁 승인을 전제로 회사가 재수탁자가 될 수 있습니다. 이 문서의 역할 명칭은 적용 법률에 맞춰 해석합니다.

개인·가정 이용인지, 조직 이용인지, 또는 특정 법률의 적용 대상인지는 실제 처리 관계로 판단합니다. Personal 또는 Team 선택만으로 모든 데이터에 DPA가 적용되거나 제외되지는 않습니다. 회사 자체의 계정 운영·보안·직접 문의 처리 등 독립 목적의 처리는 개인정보처리방침에 따르며 이 계약상의 위탁 데이터와 구분합니다.

제2조 주계약과 처리 내용

이 계약은 고객과 회사의 Luxwarp 이용약관 EULA 및 해당 주문·서비스 계약을 보충합니다. 위탁 처리의 개인정보 보호 사항이 충돌하면 이 계약이 우선하고, 적용 법률이나 별도로 유효하게 체결한 의무적 이전 조항이 더 엄격한 보호를 정하면 그 범위에서 해당 규정이 우선합니다.

처리의 대상, 목적, 성격, 기간, 정보주체와 항목, 선택 기능은 부속서 1에 한정합니다. 회사는 그 목적을 넘어 위탁 데이터를 이용·제공하거나 광고, 판매, 고객과 무관한 AI 학습에 사용하지 않습니다. 고객의 작업물이나 개인정보에 대한 소유권·포괄적 이용권을 취득하지 않습니다.

직접 연결의 화면·오디오 등을 회사 서버가 수집·녹화하는 것으로 가정하지 않습니다. 단말 간 처리, 연결 신호, 고객 관리 정보 및 별도 활성화한 암호화 중계 등 실제 경로를 구분하여 위탁 범위를 정합니다.

제3조 문서화된 지시

회사는 체결한 계약·부속서, 권한 있는 고객 담당자의 확인 가능한 요청과 고객이 선택한 서비스 설정에 따른 문서화된 지시로만 처리합니다. 국외 이전에 관한 지시도 포함하되, 지시가 있다는 이유만으로 필요한 법적 이전 요건이 충족되는 것은 아닙니다.

법령상 지시와 다른 처리가 강제되는 경우에는 법적으로 금지되지 않는 한 처리 전에 고객에게 법적 요구를 알립니다. 지시가 개인정보 보호 법령에 위반된다고 판단되면 지체 없이 고객에게 알리고 해당 지시의 확인·수정을 요청합니다. 해결에 필요한 범위에서 해당 처리만 보류하며, 무관한 서비스를 자의적으로 중단하지 않습니다. 지시·권한·변경 내역은 필요한 증명 범위에서 기록합니다.

제4조 고객의 책임

고객은 처리 목적과 적법한 근거를 정하고 정보주체에게 필요한 안내·동의를 제공하며, 원격 접근과 자료 제공을 허용할 권한을 확보합니다. 고객이 다른 위탁자를 대신하는 경우에는 회사에 지시하고 재위탁할 권한을 확보합니다.

고객은 위탁 데이터와 권한을 필요한 범위로 제한하고 정확성을 관리하며, 민감정보나 특별한 보호가 필요한 자료를 처리할 계획이면 처리 전에 부속서와 보호조치를 별도로 합의합니다. 이 조항은 회사의 독립적인 법적 의무나 회사의 잘못에 대한 책임을 고객에게 전가하지 않습니다.

제5조 비밀유지와 접근 권한

회사는 위탁 데이터에 접근할 인원을 업무상 필요한 사람으로 제한하고 적정한 권한을 부여·회수합니다. 접근자는 계약상 또는 법률상 비밀유지 의무를 부담하며 필요한 개인정보 보호 교육과 지시를 받습니다.

회사는 승인되지 않은 열람·복제·목적 외 제공을 금지하고, 지원을 위한 원격 접근도 고객의 허용 범위에서 수행합니다. 고객과 제3자의 자료가 혼재한 환경에서는 다른 고객의 데이터가 노출되지 않도록 관리합니다. 비밀유지 의무는 업무나 계약이 끝난 뒤에도 해당 정보의 보호 필요 범위에서 계속됩니다.

제6조 안전성 확보조치

회사는 처리의 위험, 데이터의 성격, 기술 수준과 구현 여건에 맞는 기술적·관리적 조치를 이행하고 유지합니다. 여기에는 적절한 접근 통제, 전송·저장 보호, 인증·권한 관리, 기록과 사고 대응, 가용성·복구, 보유기간·삭제 통제가 포함되며, 구체적인 적용 범위와 책임은 부속서 2에 정합니다.

부속서 2의 이행 요구는 현재 모든 조치가 구현·검증됐다는 진술이 아닙니다. 계약 체결 전 필요한 조치를 구현·검증하고 미완료 항목에 대한 처리 범위 제한 또는 대체 조치를 합의해야 합니다. 회사는 보호 수준을 실질적으로 낮추는 변경을 임의로 하지 않으며, 중요한 변경을 고객에게 알리고 필요한 합의를 받습니다.

제7조 재위탁

회사는 고객이 사전에 서면으로 승인한 재수탁자와 처리 범위만 사용합니다. 부속서 3에 실제 법인, 역할, 항목, 국가, 보호조치와 승인 방식을 기재합니다. 일반적 서면 승인을 사용하는 경우에도 추가·교체 사항을 사전에 통지하고 고객이 합리적으로 검토·이의 제기할 기회를 제공하며, 적용 법률이 요구하는 동의를 충족해야 합니다. 기존 표의 미확정 행이나 장래의 모든 공급자에 대한 포괄 승인을 의미하지 않습니다.

이의가 있으면 대체 수단이나 영향받는 기능의 조정·종료 및 관련 계약상 정산을 협의합니다. 승인 없이 해당 재위탁을 개시하지 않습니다. 회사는 재수탁자에게 동일한 수준의 관련 보호 의무를 문서로 부과하고 감독하며, 자신의 의무 이행에 대한 책임을 회피하지 않습니다.

제8조 처리 장소와 국외 이전

회사는 부속서 3에서 확정한 장소와 적법한 이전 경로를 사용합니다. 국가, 수신 법인, 접근 경로, 데이터·목적, 기간과 보호 수단을 확정하고 변경 시 필요한 통지·승인을 받습니다. 공급자 본사 위치나 APAC 같은 표시를 실제 모든 저장·지원 접근 국가의 대용으로 사용하지 않습니다.

한국 개인정보 보호법, 적용되는 일본 개인정보보호법 또는 GDPR 등 해당 법률의 이전 요건을 각 당사자의 역할에 맞게 충족합니다. 필요한 경우 별도 동의·고지, 적정성 결정, 적합한 표준계약조항이나 추가 보호조치를 마련합니다. 이 DPA 자체가 EU 표준계약조항 또는 영국의 이전 부속서를 대신하지는 않습니다. 적용 여부와 유효한 이전 수단을 확정하기 전에는 그 수단에 따른 이전을 개시하지 않습니다.

제9조 정보주체의 요청과 규제 대응

회사는 위탁 데이터에 대한 정보주체 요청을 받으면 지체 없이 고객에게 알리고 전달합니다. 고객의 지시나 법령상 의무가 있는 경우를 제외하고 고객을 대신해 요청의 실체적 수락·거절을 결정하지 않습니다. 처리 성격과 보유 정보를 고려하여 검색, 열람, 정정, 삭제, 제한 및 해당 법률상 다른 권리의 이행을 지원합니다.

회사는 필요한 경우 위험 평가, 개인정보 영향평가, 감독기관의 사전 협의·조사, 위탁자 감독 및 관련 증명에 합리적으로 협조합니다. 별도 작업의 합리적 비용은 사전에 협의할 수 있으나 법정 의무의 이행이나 긴급한 권리 보호를 비용 협의 때문에 지연시키지 않습니다. 회사가 자체 목적의 개인정보처리자로 보유하는 정보에 대한 요청은 회사가 직접 처리합니다.

제10조 개인정보 사고

회사는 위탁 데이터의 유출·분실·무단 접근 등 개인정보 사고를 인지하면 부당한 지체 없이 고객의 지정 연락처에 알리고, 적용 법률이 요구하는 통지·대응 기한을 준수합니다. 정보가 모두 확정될 때까지 최초 통지를 미루지 않습니다.

확인 가능한 범위에서 사고의 성격과 시각, 영향받은 정보와 정보주체의 종류·대략적 규모, 예상 영향, 수행·예정 조치와 연락처를 안내하고 추가 정보를 순차적으로 제공합니다. 원인 분석, 피해 확산 방지, 증거 보존과 시정에 협력합니다. 통지가 책임 인정이나 완전한 조사 종료를 뜻하지는 않습니다.

고객은 자신의 역할에 따른 감독기관·정보주체 통지를 판단하며, 회사의 독립적인 법적 통지 의무는 유지됩니다. 계약별 사고 연락처와 연락 체계는 부속서 1·2에 지정하며, 이 초안은 임의의 24시간 또는 72시간 처리자 통지 보증을 설정하지 않습니다.

제11조 확인과 감사

회사는 이 계약과 관련 법령 준수를 확인하는 데 필요한 처리·보호조치 정보를 고객에게 제공하고, 고객 또는 비밀유지 의무가 있는 독립 감사인의 합리적인 점검·감사에 협력합니다. 서류 검토를 우선할 수 있으나 필요한 현장 점검이나 법정 조사 권한을 일률적으로 배제하지 않습니다.

일반 감사는 범위·시기·방법을 사전 협의하여 보안과 다른 고객의 비밀을 보호하고 업무 방해를 줄입니다. 사고, 중대한 위반 우려 또는 감독기관 요구가 있는 경우에는 필요한 긴급 점검에 협력합니다. 미보유 인증이나 검증되지 않은 보고서가 존재한다고 표시하지 않으며, 합리적 보안 제한을 준수 증명 자체의 거절 사유로 사용하지 않습니다.

제12조 종료 시 반환과 삭제

위탁 처리 종료 시 회사는 고객의 선택에 따라 합리적으로 이용 가능한 형식으로 위탁 데이터를 반환하거나 삭제하고, 법령상 보관 의무가 있는 경우를 제외하고 보유 사본도 삭제합니다. 반환 방법·기간, 운영 저장소 삭제 기한, 잔여 백업의 최장 기간과 확인 방법은 부속서 1에서 계약 전에 확정합니다.

법정 보관분은 근거와 기간을 고객에게 설명하고 접근·이용을 제한합니다. 백업 잔여분은 정한 기한에 삭제하고, 복원할 때 이미 승인된 삭제를 다시 적용한 후 서비스에 사용합니다. 토큰 만료·기기 해제·로그아웃만으로 전체 삭제를 완료한 것으로 확인하지 않습니다.

회사는 실제 범위, 완료 시점, 예외와 잔여분을 구분해 반환·삭제 이행을 확인합니다. 삭제 도구나 전체 저장소 정리가 미완성인 상태에서 완전 삭제를 보증하거나 이를 무기한 보관의 근거로 삼지 않습니다. 별도 적법한 근거로 회사가 보유하는 자체 개인정보처리자 기록은 위탁 데이터와 구분하여 개인정보처리방침과 법령에 따릅니다. 회사 자체 계정 정보의 초안 보유 원칙은 계정 유지 중 필요한 정보 보유, 탈퇴·처리 목적 달성 시 법정 보관분을 제외한 지체 없는 파기입니다. 이 원칙은 고객의 위탁 데이터에 대한 반환·삭제 지시나 부속서 1에서 정할 기한을 대체하지 않습니다.

제13조 기간과 책임

이 계약은 완성된 부속서와 함께 권한 있는 당사자가 체결한 날 또는 합의한 효력 발생일부터 위탁 처리 종료 및 필요한 반환·삭제 완료까지 적용하며, 비밀유지 등 존속이 필요한 의무는 계속됩니다.

책임과 구제는 주계약 및 적용 법률에 따릅니다. 이 계약은 위법한 면책, 고의·중과실에 대한 책임 배제, 법정 손해배상·정보주체 권리 제한 또는 감독기관 권한 배제를 신설하지 않습니다. 별도 합의 없는 임의의 손해배상 한도나 고객의 무제한 배상 의무를 설정하지 않습니다.

제14조 변경과 계약 기록

위탁 목적·항목·재수탁자·국외 이전·보호조치의 중요한 변경은 실제 변경 전에 필요한 통지와 서면 합의를 거칩니다. 웹페이지를 바꾼 사실만으로 이미 체결한 DPA의 보호 수준을 낮추거나 새 위탁 목적을 추가하지 않습니다.

한국어·영어·일본어판의 조항과 부속서는 같은 범위로 관리하고, 당사자는 체결한 언어, 버전, 날짜와 권한 있는 수락자를 기록합니다. 번역 차이가 있으면 계약 목적과 적용 법률에 맞게 정리하며 법정 권리를 축소하지 않습니다. 준거법과 관할은 주계약을 따르되 적용되는 강행 규정과 정보주체의 구제 권한을 보장합니다.

부속서 1 위탁 처리 명세와 체결

다음 공란은 계약 전에 실제 정보로 완성해야 합니다.

고객과 회사의 권한 있는 담당자가 완성된 명세 및 부속서 2·3을 포함한 동일한 계약을 서면 또는 확인 가능한 전자적 방식으로 수락합니다. 단순한 설치자에게 조직 전체를 대신할 권한이 있다고 추정하지 않습니다.

부속서 2 보호조치 명세

이 표는 계약상 요구와 현재 확인 범위를 구분합니다. 계약 전 필요한 이행 상태와 담당자·증명 자료를 추가하여야 하며, 현재 코드에 조치가 있다는 사실만으로 모든 운영 환경에 적용되었다고 보지 않습니다.

2026년 11월 8일 운영 읽기 전용 확인에서 지원 저장소의 최근 정리 성공, 기록된 실패 0, 만료 잔여 후보 0을 확인했습니다. 지원 자료에는 5분 정리 주기, 온라인 상태 90초, 기본 협상 메시지 10분, 연결 요약 7일, 유료 중계 감사 30일의 만료 기준이 적용됩니다. 유효한 활성 권한이 참조하는 자료의 예외와 백업은 별도입니다. 회사 자체 계정 정보의 보유 원칙은 제12조와 개인정보처리방침의 기준으로 초안 확정했으나, 전체 계정·메일·백업의 통합 완전 삭제 절차와 완료 기한의 구현·검증은 남아 있습니다. 일반 메일 등 별도 기록의 최대 보유기간도 이 확인으로 확정된 것은 아닙니다. 사고와 권리 요청의 회사 담당자는 대표 이상화이며 기존 문의처를 사용하되, 별도 비상 연락 체계는 계약 시 정합니다.

이 명세는 ISO·SOC 인증, 모든 데이터의 암호화 또는 특정 복구 시간 목표가 이미 달성되었다는 보증이 아닙니다. 고객과 회사는 필요한 보호 수준을 충족할 수 없는 범위의 위탁을 개시해서는 안 됩니다.

부속서 3 재수탁자와 이전 내역

아래는 범위를 확정하기 위한 목록이며, 빈칸이 있는 모든 공급자에 대한 승인이 아닙니다.

Google 자체 로그인 처리는 그 사유만으로 재위탁 목록에 포함하지 않습니다. 선택적 지원 제품이나 아직 활성화하지 않은 공급자는 실제 도입 전에 별도 평가·승인을 받습니다. 회사가 자체 목적으로 처리하는 문의·계정 정보의 수탁자 목록과 이 부속서의 위탁 데이터 재수탁자 목록은 서로 같다고 가정하지 않습니다.

부록 공통 첫 실행 화면 설계와 참고

다섯 플랫폼의 첫 실행에서 개인정보 항목은 “개인정보처리방침을 확인했습니다” 하나로 표시하고 보기에서 수집·이용과 국외 이전을 함께 안내합니다. 이 확인은 포괄적인 수집·이전 동의가 아니며, 실제 별도 동의가 필요한 경우 해당 기능·가입 단계에서 각각 받습니다. EULA 동의와 선택적 마케팅은 구분합니다. DPA는 실제 위탁 관계의 권한 있는 담당자가 완성된 부속서와 체결하며 설치자가 일괄 수락하는 계약으로 만들지 않습니다. 앱 코드와 설치 프로그램은 수정하지 않았습니다.

참고 기준은 TeamViewer DPA의 역할과 위탁 구조, 한국 개인정보 보호법 제26조, GDPR 제28조·제32조·제33조, 일본 개인정보보호위원회의 국외 제공 안내입니다. TeamViewer의 공급자·보안 인증·준거법·보관 예외를 Luxwarp의 운영 사실이나 계약 조건으로 복사하지 않습니다.