Hibira Live Chat 데이터 처리 계약

변호사 검토 전 초안입니다. 번역본과 영어판이 다를 경우 영어판이 우선합니다. 시행일: 정식 출시 시 정합니다.

본 DPA는 고객(이하 "위탁자")과 Hibira(대만에 소재한 개인사업자가 사용하는 상호, 이하 "수탁자". 사업자의 성명은 요청 시 지체 없이 제공합니다) 사이의 Hibira Live Chat 이용약관의 일부를 구성합니다. 본 DPA는 수탁자가 위탁자를 대신하여 고객 데이터에 포함된 개인정보를 처리할 때 적용됩니다. 이용약관과 충돌하는 경우 본 DPA가 우선합니다.

1. 처리 범위


처리 대상 업무	위탁자의 웹사이트 및 앱 방문자와 그 상담원 사이의 라이브 채팅 호스팅, 그리고 위탁자가 켠 기능
기간	이용약관의 존속 기간과 제8조의 삭제 기간
성격	대화의 수신, 저장, 전달, 검색 및 보관. 켠 경우 위탁자의 지식 베이스로부터 AI 답변과 추천 답변 생성. 스팸 및 악용 자동 필터링. 사용량 집계
정보주체	위탁자의 방문자와 고객, 위탁자의 상담원과 관리자
데이터 유형	메시지와 첨부 파일. 방문자가 제공하는 이름, 이메일 주소 및 기타 정보. 위탁자가 로그인한 방문자에 대해 전달하는 고객 ID와 속성. IP 주소, 대략적 위치, 브라우저, 언어 및 페이지 URL. 상담원 이름과 이메일. 지식 베이스 콘텐츠
민감정보	처리를 의도하지 않음. 위탁자가 위험을 평가하고 양 당사자가 서면으로 합의하지 않는 한, 위탁자는 방문자에게 이를 요청해서는 안 됨
저장	대화와 첨부 파일은 위탁자 요금제의 기록 보관 기간 동안, 또는 위탁자가 삭제할 때까지 보관. 30일 후 홍콩의 보관 스토리지로 이동. 지식 베이스 콘텐츠와 검색 인덱스는 위탁자가 제거할 때까지 보관

2. 수탁자의 의무

수탁자는 다음을 이행합니다.

위탁자의 문서화된 지시, 즉 이용약관, 본 DPA 및 위탁자의 서비스 설정에 따라서만 데이터를 처리하며, 지시가 법률에 위반된다고 판단하는 경우 위탁자에게 알립니다.
이용약관 제3조에 따라 대화의 비밀을 지키며, 운영자와 접근 권한이 있는 모든 외부 계약자가 비밀유지 의무를 지도록 합니다.
고객 데이터를 위탁자 이외의 누구를 위해서도 AI 모델 학습에 사용하지 않으며, 판매하지 않습니다.
부속서 A의 보안 조치를 적용합니다.
합리적으로 가능한 범위에서 위탁자가 정보주체의 요청에 대응하고(포털에서 관리자는 방문자의 대화를 찾고, 내보내고, 삭제할 수 있습니다) 영향평가와 사전 협의를 수행하도록 지원합니다.
준수를 입증하는 데 필요한 정보를 제공하고, 제7조에 따른 감사를 허용합니다.

3. 위탁자의 의무

위탁자는 적법한 근거를 갖추는 것, 방문자에게 채팅이 위탁자를 대신하여 수탁자가 제공한다는 점과 AI 답변 사용 여부를 알리는 것, 수집하는 데이터의 정확성과 적법성, 그리고 방문자 신원 시크릿과 싱글 사인온 키의 기밀 유지에 책임을 집니다.

4. 재수탁자

위탁자는 부속서 B의 재수탁자를 승인합니다.
수탁자는 새로운 재수탁자에 대해 최소 30일 전에 이메일과 chat.hibira.io를 통해 통지합니다. 위탁자는 합리적인 개인정보 보호상의 이유로 이의를 제기할 수 있으며, 양 당사자가 해결하지 못하는 경우 위탁자는 영향을 받는 서비스를 해지하고 일할 계산된 환불을 받을 수 있습니다.
수탁자는 각 재수탁자에게 본 DPA보다 보호 수준이 낮지 않은 데이터 보호 조건을 부과하며, 그 이행에 대해 계속 책임을 집니다.

5. 국외 이전

수탁자는 대만에 소재하며 홍콩(AWS ap-east-1)과 싱가포르(Neon, AWS ap-southeast-1 기반)에서 데이터를 처리하고, AI 답변 또는 지식 베이스 검색을 켠 위탁자에 한해 일본(Amazon Bedrock, AWS 도쿄 ap-northeast-1, 도쿄가 혼잡할 때는 오사카 ap-northeast-3)에서도 처리합니다. Cloudflare의 네트워크는 가장 가까운 엣지 위치를 통해 연결을 라우팅할 수 있습니다. 이전에 보호 조치가 필요한 경우, 양 당사자는 EU 표준계약조항(해당되는 바에 따라 모듈 2 또는 3), 영국 부록, 또는 위탁자 국가의 법률이 요구하는 동등한 계약(예: 한국 개인정보 보호법에 따른 표준계약 또는 중국 PIPL 표준계약)에 동의하며, 이는 참조로 본 DPA에 포함됩니다.

6. 개인정보 침해

수탁자는 위탁자의 데이터에 영향을 미치는 개인정보 침해를 인지한 후 부당한 지체 없이, 어떠한 경우에도 48시간 이내에 위탁자에게 통지합니다. 통지에는 침해의 성격, 알려진 경우 영향을 받은 데이터와 정보주체, 예상되는 결과 및 취한 조치가 포함됩니다.

7. 감사

수탁자는 합리적인 보안 질의서에 답변하고, 가능한 경우 제3자 감사 보고서나 인증을 공유합니다. 이것만으로 준수를 입증하기에 충분하지 않은 경우, 위탁자는 연 1회, 자신의 비용으로, 30일 전에 통지하여, 업무 시간 중에, 비밀유지 조건하에, 다른 고객의 데이터에 접근하지 않는 방식으로 감사를 수행할 수 있습니다.

8. 반환과 삭제

워크스페이스가 열려 있는 동안 위탁자는 포털에서 대화를 내보낼 수 있습니다. 수탁자가 워크스페이스를 종료하는 경우 위탁자는 30일 동안 내보낼 수 있으며, 위탁자가 직접 삭제한 워크스페이스는 즉시 삭제됩니다. 이후 수탁자는 법률이 일부 보관을 요구하지 않는 한, 보관 데이터를 포함한 남은 위탁자 데이터를 삭제하고 35일 이내에 백업을 삭제합니다.

9. 책임

본 DPA에 따른 각 당사자의 책임은 이용약관의 책임 제한을 따릅니다. 다만 적용되는 개인정보 보호 법률이 이를 허용하지 않는 경우는 예외입니다.

부속서 A: 보안 조치

모든 위젯, 받은편지함, API 및 웹훅 트래픽에 TLS 1.2 이상 적용. 서명된 방문자 신원(HMAC 또는 JWT)과 싱글 사인온 토큰은 유효 기간이 짧고 재전송 공격 방지 기능을 갖춤.
로그인 토큰과 세션은 SHA-256 해시로만 저장. 시크릿은 절대 로그에 기록하지 않음.
모든 쿼리에서 각 워크스페이스의 데이터를 다른 워크스페이스와 분리. 상담원은 자신의 워크스페이스만 볼 수 있음.
데이터 저장소와 보관 데이터는 저장 시 암호화되며 사설 네트워크나 인증된 TLS를 통해서만 접근. 운영자와 외부 계약자는 다중 인증을 사용한 최소 권한으로 접근.
엣지에서 요청 빈도 제한, 봇 확인(Turnstile) 및 DDoS 방어.
암호화된 백업, 모니터링과 알림, 사고 대응 절차.
정기적인 의존성 업데이트와 취약점 수정.

부속서 B: 재수탁자

재수탁자	목적	위치
Amazon Web Services	서비스, 첨부 파일 및 보관된 대화의 호스팅. 이메일(Amazon SES)	홍콩(AWS ap-east-1)
Amazon Web Services (Amazon Bedrock)	AI 답변, 추천 답변 및 지식 베이스 검색. 이를 켠 위탁자에 한함	일본(AWS 도쿄 ap-northeast-1, 오사카 ap-northeast-3)
Neon	워크스페이스, 대화 및 지식 베이스 인덱스용 데이터베이스	싱가포르(AWS ap-southeast-1)
Cloudflare	DNS, 엣지 네트워크, DDoS 방어, 봇 확인	전 세계

Creem(당사의 재판매업체이자 판매 대행 사업자)과 Google Workspace(이메일)는 수탁자 자신의 고객 관련 데이터(예: 계정 및 결제 정보)만 처리하고 고객 데이터는 처리하지 않으므로, 여기가 아닌 Live Chat 개인정보 처리방침에 기재되어 있습니다.