개인정보 처리위탁 부속 약정(DPA)

버전: 2026-10-07.1

작성·최종 수정일: 2026년 10월 7일

시행 예정일: 2026년 11월 7일

적용일: 2026년 11월 7일과 제2조의 유효한 고객별 명시적 수락 시점 중 늦은 때

사전 공지 / 시행 예정

이 문서의 개정 시행 예정일은 2026년 11월 7일이며, 문서 작성일은 2026년 10월 7일입니다. 중요한 변경은 시행일 최소 30일 전부터 안내합니다. 고객별 명시적 동의가 필요한 사항은 고지된 시행일과 유효한 동의 시점 중 늦은 때부터 적용합니다.

새 이용약관 수락 기록, DPA·재위탁 동의 및 그 증빙 관리, 고객 직접 영구 삭제와 최초 제출 후 3년 자동 삭제는 2026년 11월 7일 도입 예정입니다. 개발·검증과 필요한 동의가 완료되기 전에는 도입 또는 적용 완료로 보지 않으며, 일정이 바뀌면 변경 일정을 사전에 안내하고 필요한 통지·동의 절차를 따릅니다. 공지를 확인하거나 닫는 행위는 약관·DPA·재위탁 또는 개인정보 처리에 대한 동의가 아닙니다.

보호조치·접근기록 등의 미구현 또는 검증 중인 항목은 이행 기준과 도입 예정 사항을 설명한 것이며, 현재 전부 구현되었음을 보증하지 않습니다. 업체 설정의 확인일은 각 별지·부속서에 기재된 2026년 10월 1~2일이며, 이번 문서 개정으로 재검증한 것은 아닙니다. 기존 법령상 의무와 유효한 삭제 요청의 처리 의무는 유지됩니다.

제1조 당사자와 목적

본 약정은 고객 사이트에서 개인정보가 포함된 폼 제출정보를 수집·관리하는 고객(이하 ‘위탁자’)과 네오프레스 서비스를 운영하는 inblog Inc.(이하 ‘수탁자’) 사이의 개인정보 처리위탁에 관한 권리·의무를 정한다. 본 약정은 네오프레스 서비스 이용약관의 부속 약정이다.

위탁자와 동의권자는 온라인 체크박스 동의 기록으로 식별하며 해당 기록을 본 약정과 함께 보관한다. 본 약정은 해당 계정을 통해 위탁자가 현재 운영하거나 향후 개설하는 모든 사이트의 폼 제출정보 처리에 적용한다. 회사 또는 다른 고객을 대신하여 동의하는 사람은 해당 고객을 대표하거나 위임받아 약정을 체결할 권한이 있음을 확인한다.

본 약정에서 정의하지 않은 용어는 「개인정보 보호법」, 같은 법 시행령, 「개인정보의 안전성 확보조치 기준」 등 적용 법령의 정의에 따른다.

제2조 적용과 위탁 기간

1. 신규 고객은 회원가입 화면에서, 기존 고객은 대시보드 진입 시 팝업에서 본 약정과 부속 재수탁자 목록을 확인하고 체크박스를 직접 선택한 뒤 동의 버튼을 눌러 수락한다. 온라인 수락·증빙 절차는 2026년 11월 7일 도입 예정이며, 개발·검증 완료 후 제공한다. 본 약정은 2026년 11월 7일과 위탁자 본인 또는 적법한 권한을 가진 사람의 유효한 명시적 수락이 확인된 시점 중 늦은 때부터 적용한다.
2. 적용 범위는 제1조에 따라 계정 단위로 관리하며, 사이트마다 별도의 동의나 동의 기록을 요구하지 않는다. 다른 고객의 사이트에 직원 또는 협업자로 초대된 이용자는 해당 사이트 소유 고객이 적법하게 체결한 DPA의 적용을 받는다. 초대된 이용자의 개인적인 동의만으로 사이트 소유 고객이 동의한 것으로 처리하지 않는다. 대행사의 대리 동의는 해당 고객에게 위임받은 범위에서 효력이 발생하며, 권한이 없으면 해당 고객 또는 적법한 권한을 가진 사람이 동의해야 한다.
3. 최초 적용 당시 서비스에 남아 있는 적용 대상 사이트의 제출정보에도 적용하되, 과거 처리에 대한 동의나 적법성을 소급하여 인정하는 의미는 아니다.
4. 위탁 기간은 폼 서비스 제공 기간과 종료 후 적법한 반환·파기 및 잔존 사본 처리를 완료하는 데 필요한 기간으로 한다. 데이터의 일반 이용은 서비스 종료 후 계속하지 않는다.
5. 공지·팝업 열람, 팝업 닫기, 미응답 또는 서비스 계속 이용만으로 본 약정이나 필요한 재위탁 동의를 받은 것으로 간주하지 않는다. 미접속·미동의 고객은 동의 대기 상태로 관리한다. 미동의 고객의 이용 범위와 필요한 종료·반환 절차는 이용약관 제14조의 처리 기준에 따라 사전에 안내한다.
6. 수탁자는 동의한 계정, 대리 동의의 경우 해당 고객 및 대표·위임 권한 확인, 약정·부속서 버전과 당시 사본, 항목별 동의 결과, 동의 시각·방법을 보관한다. 위탁자는 적용 문서를 열람·저장할 수 있다. 동의 기록의 보유 근거와 기간은 제6조 제5항에 따른다.

제3조 위탁업무의 목적과 범위

1. 위탁업무는 부속서 1에 기재한 폼 제출정보의 접수·전송·저장·조회·알림 발송·반환·삭제와 이에 필요한 고객지원·장애·보안사고 대응이다.
2. 수탁자는 위탁자의 적법하고 기록된 지시에 따라 처리하며, 위탁자의 폼 설정·알림 수신자 설정·삭제 요청 및 본 약정에 따른 동의 기록은 그 지시의 일부가 된다.
3. 수탁자는 계약 기간 중은 물론 계약 종료 후에도 위탁 목적을 벗어나 정보를 이용·누설하거나 제3자에게 제공하지 않는다. 업무상 필요한 범위를 넘어 제출정보를 임의로 복제·반출하지 않는다. 본 약정에서 정한 백업과 적법한 반환은 정해진 목적과 보호조치 아래 수행한다. 본 약정만을 근거로 폼 제출정보를 별도 광고, 범용 AI 모델 학습 또는 다른 고객을 위한 목적으로 이용하지 않는다.
4. 위법한 처리 지시를 확인한 경우 수탁자는 위탁자에게 알리고 해당 처리의 수정 또는 중단 등 필요한 조치를 협의한다. 긴급한 보호조치가 필요한 경우 우선 조치하고 그 사유를 알린다.

제4조 위탁자의 역할

1. 위탁자는 정보주체로부터 수집하는 항목·목적·보유 기간을 정하고, 개인정보 수집·이용 및 필요한 민감정보 처리·국외 이전에 관한 근거와 안내·동의 요건을 충족한다.
2. 위탁자는 업무에 필요한 항목만 수집하고, 제출정보를 조회하는 직원 계정·권한과 알림 수신 주소를 관리한다.
3. 위탁자는 더 짧은 보유 기간이 적용되거나 목적이 달성되는 등 삭제가 필요한 경우 지체 없이 이용 가능한 삭제 기능 또는 수탁자에 대한 삭제 요청으로 조치한다. 수탁자의 일반 보유 정책이 위탁자에게 법정 보유 근거를 부여하는 것은 아니다.
4. 위탁자의 메일함에 수신된 알림 메일, 위탁자가 내려받거나 별도로 복제한 파일은 위탁자가 관리한다. 수탁자가 관리하는 백업과 재수탁자 사본의 관리 책임을 위탁자에게 이전하지 않는다.
5. 본 조는 수탁자에게 직접 적용되는 법령상 의무를 배제하지 않는다.

제5조 수탁자의 보호조치와 직원 접근

1. 수탁자는 법령상 필요한 기술적·관리적·물리적 보호조치를 이행하고, 처리 업무상 필요한 최소 인원에게 필요한 범위의 권한을 부여한다.
2. 고객지원·장애·보안사고 대응 등 허용된 사유로만 제출정보에 접근하며, 필요한 고객 사이트·제출 건·항목으로 범위를 제한한다. 관련 문의·장애·사고 기록에 접근 목적과 대상을 남기고 긴급 대응은 필요한 최소 조치를 먼저 수행하고 다음 영업일까지 사유·처리 내역을 기록하여 사후 검토한다.
3. 개인별 계정을 원칙으로 접근자를 식별하고, 특별 운영 계정·DB 직접 접근·서비스 계정도 관리 대상에 포함한다. 업무 변경·퇴사 등으로 필요가 없어지면 권한을 변경·회수한다. 서비스 계정을 통한 수동 운영 작업은 실행 담당자를 추적할 수 있게 관리한다.
4. 전송 및 저장 암호화, 인증·접근통제 등 제공 인프라의 보호조치를 적용하고, 보호조치의 적용 범위는 부속서 2에 따른다. 저장 암호화가 권한 있는 운영자의 접근 자체를 불가능하게 한다는 의미는 아니다.
5. 개인정보 보호책임자가 접근 권한을 승인하고 담당자·범위·기간을 권한대장에 기록한다. 권한 부여·변경·회수 기록은 발생일부터 3년 보관한다. 관리자·DB 접근에는 다중요소 인증 등 안전한 인증수단을 적용한다.
6. 수탁자는 업무 담당자에 대한 개인정보 보호 교육과 비밀유지 관리를 실시한다. 비밀유지 의무는 담당자의 업무 변경·퇴사 및 본 약정의 종료 후에도 유지한다.

제6조 접근기록과 처리 증빙

1. 수탁자는 개인정보처리시스템의 접속기록을 생성일부터 2년 동안 보관·관리하고, 무단 열람·위변조·분실 등을 방지한다.
2. 기록에는 담당자 식별자, 시각, 접속지 정보, 처리 대상 식별자, 작업과 결과 등 추적에 필요한 정보를 포함하고 제출 내용 원문은 별도 감사기록에 복제하지 않는다.
3. 기록 수집 경로와 작업 범위는 관리자·고객 대시보드, API 및 DB 직접 접근을 통한 폼 제출정보의 조회·다운로드·수정·삭제로 정한다. 자동 작업은 작업 식별자로, 직원의 수동 운영 작업은 담당자 식별자로 연결한다. 목록·일괄 작업은 실제 처리 대상 식별자를 추적할 수 있도록 하며 관계 법령상 요구되는 기록을 충족하도록 관리한다.
4. 수탁자는 접속기록·다운로드 내역을 월 1회 이상 점검하고 다운로드 사유 및 기록 누락을 확인한다. 이상 징후는 지체 없이 조사·권한 제한 등 필요한 조치를 하고 개인정보 보호책임자에게 보고한다. 점검 결과는 작성일부터 2년 보관한다.
5. 동의·삭제 결과 등 다른 처리 증빙은 필요한 최소 항목을 목적별로 관리한다. 접속기록의 기간을 모든 종류의 증빙에 자동으로 적용하지 않는다. 삭제 결과 기록은 삭제 이행 확인·오류 대응 및 백업 복원 시 재삭제를 목적으로 작업 종결일부터 2년 동안 보관한 뒤 파기한다. 약정 수락 증빙은 계약의 체결·이행 및 계약 체결 사실의 증명과 분쟁 대응을 위한 수탁자의 정당한 이익을 근거로 계약 유지 기간 및 계약 종료 후 5년 동안 보관한다. 보관 목적에 필요한 최소한의 동의 기록만 별도로 보관하고, 기간 만료 시 지체 없이 파기한다. 해당 기록은 폼 제출정보의 3년 자동 삭제 대상과 구분한다. 보유 기간이 끝나면 지체 없이 파기하며, 별도 법령에 따른 보존 의무가 있는 경우 필요한 기록만 해당 기간까지 분리 보관한다.
6. 위 기준은 수탁자의 이행 의무를 정한다. 전체 경로의 제출 건별 기록 수집·보관에 대한 현재 적용 검증은 진행 중이며, 수탁자는 미비점과 개선 계획을 관리하고 실제 적용 범위를 위탁자에게 사실대로 안내한다. 이 조항은 법정 의무의 유예나 면책을 정한 것이 아니다.

제7조 재위탁과 국외 이전

1. 위탁자는 본 약정 수락 시 함께 제공된 부속서 3의 업체·업무·정보·처리 국가를 확인하고 해당 범위의 재위탁에 동의한다. 동의 당시 부속서의 버전과 내용을 수락 기록과 함께 보관한다.

2. 수탁자가 새로운 재수탁자를 추가하거나 동의 범위를 벗어나는 업무·정보·국가로 변경하는 경우 변경 내용을 사전에 제공하고, 관계 법령상 필요한 위탁자의 동의를 받은 후 적용한다. 이 절차는 대시보드 진입 시 팝업 안내와 체크박스 동의로 진행하고, 동의 당시 내용과 기록을 보존한다. 필요한 동의가 확인되기 전에는 변경된 재위탁 범위를 해당 위탁자에게 적용하지 않는다.

3. 수탁자는 재수탁자에게 해당 업무에 필요한 보호의무를 계약 등으로 부과하고, 법령상 요구되는 관리·감독을 이행한다. 재위탁 사실만으로 수탁자의 책임이 면제되지 않는다.

4. 국외 이전은 개인정보처리방침 제5조에 따른 업무별 법적 근거와 공개·고지·동의 요건을 충족하여 수행한다. 위탁자와 제출자 사이의 계약 체결·이행에 필요한 폼 접수·저장 위탁은 위탁자가 자신의 개인정보처리방침에 법정 이전 사항을 공개하고 개인정보 보호법 제28조의8 제1항 제3호 가목을 적용한다. 해당 요건을 충족하지 못하는 목적의 이전은 제28조의8 제1항 제1호에 따른 제출자의 별도 동의 등 적법한 근거를 확보한 범위에서 수행한다. 폼 제출 알림 메일도 계약 체결·이행에 필요한 처리에 한하여 위 공개 방식을 적용하며, 내부 편의만으로 필요성을 인정하지 않는다. 요건을 충족하지 못하면 별도 국외 이전 동의를 받거나 알림 메일을 사용하지 않는다. 위탁자의 DPA 또는 재위탁 동의는 정보주체의 국외 이전 동의를 대신하지 않는다.

5. 수탁자는 위탁자가 자신의 개인정보처리방침과 폼에 반영할 수 있도록 정확한 처리 내역과 변경 정보를 제공한다. 재수탁자의 명칭, 처리 정보·목적, 운영 DB 저장 위치, 폼 요청 처리 위치, 메일 저장·발송 국가와 보관·삭제 기준은 부속서 3에 기재한다.

6. 국외 이전 거부·처리정지 또는 동의에 근거한 이전의 동의 철회는 contact@email.neopress.ai로 요청할 수 있으며, 제출자는 해당 사이트 운영자의 개인정보 문의 창구로도 요청할 수 있다. 폼 접수·저장에 필요한 이전을 거부하면 해당 폼을 통한 온라인 접수가 제한되며, 전화·방문 등 대체 접수 방법의 제공 여부는 위탁자가 안내한다. 알림 메일의 이전을 거부하는 경우 위탁자는 해당 폼의 알림을 비활성화하고 대시보드에서 제출정보를 확인할 수 있으나, 이 방법도 Supabase·Vercel의 처리에는 의존한다. 거부한 업무와 무관한 기능까지 일괄 제한하지 않는다. 이미 이전된 정보는 적용되는 보관·삭제 기준에 따라 처리한다.

제8조 보유와 삭제 및 반환

1. 수탁자는 위탁 목적과 적법한 위탁자의 지시를 이행하는 데 필요한 범위에서 정보를 보유한다. 위탁자가 삭제를 요청하거나 목적 달성·위탁 종료 등으로 불필요해지면 법령에 따라 지체 없이 파기한다. 지체 없이 처리가 어려운 경우 그 이유, 조치 및 예상 완료 시점을 위탁자에게 알린다.
2. 고객 직접 영구 삭제 기능이 제공되기 전에는 contact@email.neopress.ai를 통해 삭제 요청을 접수하고, 요청 권한과 대상을 확인한 후 처리한다. 화면에서 숨기거나 삭제 표시만 한 것을 영구 파기로 안내하지 않는다.
3. 고객 직접 영구 삭제와 최초 제출 후 3년 자동 삭제는 2026년 11월 7일 도입 예정이며, 개발·검증을 완료한 후 각 기능의 시행 전에 서비스 내 공지 및 대시보드 진입 시 팝업으로 시행일·적용 대상·삭제 방법·복구 불가 여부·백업 처리 기준을 안내한다. 필요한 동의 절차를 거친 후 공지한 시행일부터 부속서 2에 따라 적용한다. 시행 전에는 제2항의 요청 방식으로 삭제를 처리하며, 기능 도입을 이유로 유효한 파기 요청의 처리를 미루지 않는다.
4. 서비스 종료 또는 위탁자의 적법한 요청 시, 위탁자의 선택에 따라 통상 이용 가능한 전자적 형태로 반환하거나 삭제한다. 반환이 필요한 경우 삭제 전에 일정과 안전한 전달 방법을 정하며, 법정 파기를 지연시키는 보유 유예를 자동으로 부여하지 않는다. 반환 후 수탁자에게 남은 사본도 해당 삭제 기준에 따라 처리한다.
5. 법령에 따라 별도 보존해야 하는 경우에는 근거·대상·기간을 위탁자에게 알리고, 필요한 정보만 분리 보존하며 해당 목적 외에 이용하지 않는다.
6. 운영 DB의 폼 제출정보, 수탁자 관리 복제본과 재수탁자 사본을 구분하여 삭제를 관리한다. 운영 데이터 삭제 시 기존 백업 사본이 즉시 개별 삭제되는 것은 아니며, 잔존 사본은 접근·이용을 제한하고 공급업체의 보관·삭제 절차에 따라 처리한다. 업체별 보관 기간과 삭제·백업 처리 방식은 부속서 3에 따른다. 복원 시에는 이미 삭제한 건을 서비스 재노출 전에 다시 삭제한다. 재삭제에 필요한 식별 기록은 복원 대상 백업과 분리하여 보관한다.
7. 수탁자는 요청자 또는 자동 작업, 대상 식별자·건수, 요청·처리 시각, 성공·실패·재처리 결과를 기록하며, 위탁자가 직접 실행한 삭제는 처리 화면에서 결과를 확인할 수 있도록 하고, 별도 요청이나 위탁 종료에 따른 반환·파기를 완료하면 위탁자에게 그 결과를 지체 없이 알린다. 자동 삭제 결과는 위탁자의 요청에 따라 필요한 범위에서 제공한다. 백업 처리가 남은 경우 운영 데이터 삭제 완료와 전체 사본 폐기 완료를 구분한다.

제9조 정보주체 권리행사 협조

위탁자가 열람·정정·삭제·처리정지·동의 철회 등 요청을 처리할 수 있도록 수탁자는 필요한 조회·제공·삭제와 관련 자료 제공에 협조한다. 수탁자가 직접 요청을 받으면 본인·권한 확인 및 위탁자에게의 안전한 연계 등 필요한 조치를 취하며, 위탁자의 법정 처리 기한을 고려하여 지체 없이 협조한다. 법령에서 달리 요구하는 경우를 제외하고 수탁자가 위탁자의 업무상 판단을 임의로 대체하지 않는다.

제10조 개인정보 사고 대응

1. 수탁자는 위탁 개인정보의 유출 등 사고를 인지하면 지체 없이 위탁자가 지정한 연락처로 알리고 확산 방지·원인 조사·복구 조치를 진행한다. 전체 조사가 끝날 때까지 최초 통보를 미루지 않는다.
2. 통보에는 확인된 범위에서 사고 발생·인지 시점, 정보 항목·규모·영향, 현재 조치, 권고 조치 및 연락 담당자를 포함한다. 미확인 사항은 이후 보완한다.
3. 수탁자는 위탁자의 정보주체 통지와 관계 기관 신고에 협조하고, 자신에게 직접 적용되는 법정 의무도 이행한다. 사고와 관련된 증거는 훼손을 방지하고 적법하게 보존한다.

제11조 감독과 점검

1. 수탁자는 위탁자가 보호조치·접근권한·기록·재위탁·삭제 이행을 점검할 수 있도록 필요한 자료를 제공하고 교육·감독에 협조한다.
2. 점검은 다른 고객의 정보와 보안을 보호하는 범위에서 자료 확인을 우선하고, 필요하면 방법·일정을 협의한다. 이러한 협의가 법정 감독이나 사고 대응을 부당하게 제한하는 사유가 되어서는 안 된다.
3. 미비점이 확인되면 개선 항목·담당자·기한을 정하여 이행 결과를 관리한다.

제12조 책임

각 당사자는 자신의 법령 또는 본 약정 위반으로 발생한 손해에 대하여 관계 법령에 따라 책임을 부담한다. 수탁자의 임직원 또는 재수탁자의 귀책사유로 발생한 손해에 대해서도 관계 법령상 수탁자에게 귀속되는 책임을 부담한다. 위탁자가 수탁자 측의 귀책사유로 발생한 손해를 정보주체나 제3자에게 배상한 경우 법령상 인정되는 범위에서 수탁자에게 구상할 수 있다. 수탁자는 재수탁자를 이용했다는 이유만으로 법령상 책임을 면하지 않는다. 본 약정은 정보주체의 손해배상청구권 또는 합의로 배제할 수 없는 의무를 제한하지 않는다. 이용약관의 면책·책임제한·배상 조항은 강행법규와 본 약정에 충돌하는 범위에서 적용하지 않는다.

제13조 문서 관계와 변경

폼 제출정보의 위탁 처리에 관하여 본 약정과 이용약관이 충돌하면 본 약정을 우선 적용한다. 개인정보처리방침의 법정 효력과 정보주체에게 유리한 계약 적용 등 법령상 기준은 유지한다. 본 약정의 중요 변경은 내용·이유·적용일을 서비스 내 공지 및 대시보드 진입 시 팝업으로 적용일 최소 30일 전부터 적용일까지 안내한다. 법령 또는 계약상 동의가 필요한 변경은 권한 있는 고객 담당자의 체크박스 동의를 받은 후 적용하며, 미응답·계속 이용을 동의로 간주하지 않는다. 사전 안내 기간과 미동의 시 처리에는 이용약관 제14조를 함께 적용한다. 관계 법령에서 별도의 통지 방법이나 절차를 요구하는 경우에는 해당 요건을 따른다.

제14조 연락처

수탁자의 개인정보 및 DPA 문의: contact@email.neopress.ai / +82-503-7150-2997 위탁자의 담당자와 사고 연락처: 고객 계정에 등록된 연락처 또는 위탁자가 지정한 연락처

부속서 1. 처리 명세

부속서 2. 보호 및 삭제 기준

보호조치 및 처리 증빙

아래 표는 제5조·제6조의 이행 기준을 구체화한다. 현재 적용 상태와 미비점은 실제 검증 결과에 따라 안내하며, 미구현·검증 중인 항목을 이행 완료로 표시하지 않는다.

직접 삭제 및 자동 삭제

고객이 별도 법령에 따라 더 오래 보존해야 하는 기록은 삭제 전에 적법한 별도 보관 체계로 이전한다. 폼 서비스는 법정 진료기록 보관 시스템을 대신하지 않는다.

부속서 3. 재수탁자 및 국외 이전

부속서 버전: 2026-10-07.1

아래 내역은 고객의 재위탁 동의 범위를 정한다. 국외 이전은 제7조의 법적 근거 및 공개·고지·동의 요건에 따라 수행하며, 고객의 수락 당시 본문과 부속서를 함께 보존한다.

아래 내역은 2026년 10월 1~2일 확인한 운영 설정 및 공급업체 공식 자료를 기준으로 합니다. 운영 DB에서 제출정보를 삭제하는 것과 이미 생성된 백업·메일 사본을 최종 폐기하는 것은 별개입니다. 아래의 보관 일수는 별도 설명이 없는 한 고객의 삭제 요청일부터 계산하는 기한이 아닙니다.

Supabase

Resend

Vercel