개인정보 처리 위수탁 계약

이 계약은 다이브 센터(이하 "위탁자")가 IDC Tools를 이용하면서 이다이브 주식회사(이하 "수탁자")에게 개인정보 처리를 위탁함에 있어, 「개인정보 보호법」 제26조 및 같은 법 시행령 제28조에 따라 필요한 사항을 정하는 것을 목적으로 합니다.

같은 서비스 안에서도 데이터의 성격에 따라 누가 개인정보처리자인지가 달라집니다. 이 계약은 아래 표에서 "위탁 처리"로 분류된 개인정보에만 적용됩니다.

위탁자는 자신이 서비스에 입력·업로드하는 개인정보를 적법하게 수집했고, 정보주체에게 위탁 사실을 포함해 필요한 사항을 알렸음을 보장합니다.

위탁자가 수탁자에게 위탁하는 업무는 다음과 같습니다.

• IDC 과정 후보생·스태프 정보의 저장·조회·수정·삭제
• 과목별 시험의 배정, 응시 결과 기록 및 집계
• PADI 제출 서식의 작성 지원, 검토 및 출력
• 학습 자료와 공지의 전달, 진행 상황 알림 발송
• 과정 일정 관리 및 센터 운영 기록의 보관

처리하는 개인정보의 항목과 정보주체의 범위는 부속서 1에 정리되어 있습니다.

수탁자는 위탁자의 지시와 이 계약에서 정한 목적 범위를 벗어나 개인정보를 이용하거나 제3자에게 제공하지 않습니다. 특히 수탁자는 위탁받은 개인정보를 자신의 마케팅이나 인공지능 모델 학습에 이용하지 않습니다.

수탁자가 수사기관 등 공권력으로부터 위탁받은 개인정보의 제공을 요구받은 경우, 그 요구가 법령상 근거와 절차를 갖추었는지 확인하고, 법령이 금지하지 않는 범위에서 지체 없이 위탁자에게 알립니다.

수탁자는 「개인정보 보호법」 제29조 및 「개인정보의 안전성 확보조치 기준」에 따라 다음의 조치를 유지합니다.

• 전송 구간 암호화 — 모든 화면과 API는 HTTPS(TLS)로만 제공하며, HSTS 헤더로 평문 접속을 차단합니다.
• 저장 데이터 암호화 — 데이터베이스와 파일 저장소는 AWS 관리형 키로 저장 시 암호화합니다. PADI 서식용 카드번호는 애플리케이션 단에서 AES-256-GCM으로 한 번 더 암호화해 보관하고 출력 시점에만 복호화하며, 비밀번호는 bcrypt 해시로만 저장해 복원할 수 없습니다.
• 접근 권한 최소화 — 후보생·스태프·코스디렉터·운영자 역할별로 접근 범위를 분리하고, 센터 경계를 넘는 조회를 서버에서 차단합니다.
• 접속 기록 보관·점검 — 로그인·주요 변경 행위와 페이지 접근 기록을 남기고, 오류·장애 알람으로 이상 징후를 감시합니다.
• 침입 및 자동화 공격 차단 — 웹 방화벽(WAF), 콘텐츠 보안 정책(CSP)을 포함한 보안 헤더, 가입·문의 양식의 자동 가입 방지(Turnstile)를 적용합니다.
• 백업 및 복구 — 데이터베이스는 자동 백업을 보관해 장애 시 복구할 수 있도록 합니다.

수탁자는 현재 ISO 27001·SOC 2 등 제3자 인증을 보유하고 있지 않으며, 보유하게 되는 경우 이 문서에 반영합니다.

수탁자와 그 임직원은 위탁받은 개인정보를 제3자에게 누설하거나 업무 목적 외로 이용하지 않으며, 이 의무는 계약이 끝난 뒤에도 유지됩니다. 수탁자는 개인정보를 취급하는 사람을 최소한으로 지정하고 그 명단을 관리합니다.

수탁자는 서비스 운영에 필요한 범위에서 아래와 같이 개인정보 처리를 재위탁하고 있으며, 위탁자는 서비스 이용 신청 시 이에 동의한 것으로 봅니다. 현재 4곳의 하위 수탁자 전체 목록과 처리 국가는 수탁자 목록에서 확인할 수 있습니다.

• 수탁자는 하위 수탁자를 추가·교체하기 전 30일 이상 앞서 수탁자 목록 페이지에 게시하고 서비스 내 공지로 알립니다.
• 위탁자는 고지일부터 15일 이내에 합리적인 사유를 들어 이의를 제기할 수 있습니다. 협의가 이루어지지 않으면 위탁자는 해당 기능의 이용을 중단하거나 계약을 해지할 수 있습니다.
• 보안 사고 대응 등 긴급한 사유로 즉시 교체가 필요한 경우에는 교체 후 지체 없이 알립니다.
• 수탁자는 하위 수탁자에게 이 계약과 같은 수준의 개인정보 보호 의무를 부과하고 그 이행을 감독합니다.

후보생·스태프 등 정보주체가 열람·정정·삭제·처리정지를 요구하는 경우, 그 판단과 최종 응답은 위탁자가 합니다. 수탁자는 위탁자가 요구에 응할 수 있도록 서비스 내 조회·수정·삭제 기능을 제공하고, 기능만으로 해결되지 않는 경우 위탁자의 요청을 받아 지체 없이 지원합니다. 수탁자가 정보주체로부터 직접 요구를 받은 경우에는 이를 처리하지 않고 위탁자에게 전달합니다.

수탁자는 위탁받은 개인정보의 분실·도난·유출·위조·변조·훼손을 알게 된 때에는 지체 없이, 늦어도 24시간 이내에 위탁자에게 다음 사항을 알립니다.

• 유출이 발생한 시점과 경위
• 유출된 개인정보의 항목과 영향을 받은 정보주체의 범위
• 수탁자가 취한 조치와 피해 최소화를 위해 위탁자가 할 수 있는 조치

정보주체에 대한 통지와 개인정보보호위원회·한국인터넷진흥원에 대한 신고는 「개인정보 보호법」 제34조에 따라 위탁자가 72시간 이내에 수행하며, 수탁자는 이에 필요한 자료를 제공하고 원인 분석과 재발 방지 대책을 공유합니다.

위탁자는 수탁자가 개인정보를 안전하게 처리하는지 감독할 수 있습니다. 감독은 다음 방법에 따릅니다.

• 연 1회, 수탁자가 제공하는 안전성 확보조치 이행 자료의 제출로 갈음합니다.
• 제출 자료만으로 확인이 어려운 합리적 사유가 있는 경우, 위탁자는 30일 전 서면 통지 후 연 1회에 한해 직접 점검을 요구할 수 있습니다. 점검은 다른 위탁자의 개인정보와 수탁자의 영업비밀을 침해하지 않는 범위에서 이루어집니다.
• 실제 유출 사고가 발생한 경우에는 위 횟수 제한과 통지 기간이 적용되지 않습니다.

서비스 이용 계약이 종료되면 수탁자는 위탁받은 개인정보를 30일 이내에 파기합니다. 위탁자가 그 기간 안에 반환을 요청하면 파기에 앞서 통용되는 형식(CSV 등)으로 내려받을 수 있도록 제공합니다. 법령에 따라 보존이 필요한 기록은 보존 기간이 끝난 뒤 파기하며, 파기 사실은 위탁자의 요청 시 서면으로 확인해 드립니다.

수탁자가 이 계약을 위반해 정보주체에게 손해가 발생한 경우 수탁자가 배상 책임을 집니다. 다만 위탁자가 적법한 수집 근거 없이 개인정보를 입력했거나 위법한 지시를 한 경우 등 위탁자의 귀책으로 발생한 손해에 대해서는 위탁자가 책임을 집니다. 「개인정보 보호법」 제26조 제7항에 따라 수탁자는 위탁자의 소속 직원으로 봅니다.

이 계약은 센터가 서비스 이용을 시작한 날부터 서비스 이용 계약이 종료될 때까지 유효하며, 제6조(비밀유지), 제9조(사고 통지), 제11조(반환·파기), 제12조(손해배상)는 계약 종료 후에도 효력을 유지합니다.

이 계약과 개인정보처리방침·이용약관의 내용이 충돌하는 경우, 위탁 처리되는 개인정보에 관하여는 이 계약이 우선합니다. 계약 내용을 변경할 때에는 시행일 30일 전부터 서비스 내 공지로 알립니다.

이 계약은 대한민국 법률에 따르며, 분쟁이 발생하는 경우 수탁자의 소재지를 관할하는 법원을 전속 관할 법원으로 합니다. 이 계약에 관한 문의는 tristan@edive.co.kr(010-5278-2529)로 하실 수 있습니다.

전체 목록과 처리 국가·이전 항목은 수탁자 목록페이지에서 상시 공개하며, 변경 절차는 제7조에 따릅니다.