"적정성 결정"이란 데이터보호법에 따라 관할 감독기구 또는 정부기관이 제 3 국 또는 특정 관할권이 적정한 수준의 개인정보 보호를 보장한다고 인정하여 내리는 결정, 판정 또는 인정을 말한다.

"컨트롤러"란 GDPR 에서 정한 의미를 가진다.

"데이터보호법"이란 계약에 따른 개인정보의 처리에 적용되는 모든 프라이버시, 개인정보 보호 및 데이터 보안에 관한 법률, 규칙 및 규정을 말한다.

"정보주체"란 개인정보가 관련된, 식별되었거나 식별될 수 있는 자연인을 말한다.

"문서화된 지시"란 개인정보의 처리에 관하여 고객이 씨알에스큐브에게 제공한 완전하고 문서화된 지시를 말한다.

"개인정보"란 데이터보호법상 개인정보, 개인식별정보 또는 이에 상응하는 용어로 정의되는 정보로서, 계약에 따라 고객이 또는 고객을 대신하여 씨알에스큐브(또는 그 서브프로세서)에게 제공하거나 씨알에스큐브(또는 그 서브프로세서)가 처리하는 정보를 말한다. 오해를 피하기 위하여 부연하면, 개인정보에는 시스템 데이터 또는 익명처리된 데이터는 포함되지 아니한다.

"개인정보 침해사고"란 씨알에스큐브(또는 그 서브프로세서)가 고객을 대신하여 처리하는 개인정보의 우발적 또는 불법적인 파기, 분실, 변경, 무단 공개 또는 그에 대한 무단 접근을 초래하는 일체의 보안 침해를 말한다.

"처리"란 GDPR 에서 정한 의미를 가지며, "처리하다", "처리한다", "처리하는" 및 "처리된"이라는 표현도 이에 따라 해석된다.

"프로세서"란 GDPR 에서 정한 의미를 가진다.

"서브프로세서"란 서비스와 관련하여 개인정보를 처리하도록 씨알에스큐브가 관여시킨 제 3 자( 씨알에스큐브의 계열회사를 포함한다)를 말한다.

1. 적용범위. 본 DPA 는 서비스와 관련한 개인정보의 처리에 적용된다.

2. 역할. 개인정보의 처리에 관한 양 당사자의 역할은 다음 각 호와 같다.

   가. 컨트롤러 및 프로세서. 고객이 처리의 목적과 수단을 결정하는 경우, 고객은 컨트롤러이고 씨알에스큐브는 프로세서이다.

   나. 프로세서 및 서브프로세서. 고객이 제 3 자를 위하여 개인정보를 처리하는 경우, 고객은 프로세서이고 씨알에스큐브는 서브프로세서이다.

3. 지원 서비스. 씨알에스큐브가 고객에게 지원 서비스(리셀러를 통하여 상위 단계로 이관된 경우를 포함하여 기술적, 관리적 또는 운영상의 지원을 포함한다)를 제공하는 범위 내에서, 고객은 그러한 지원 또는 문제 해결의 목적을 위한 씨알에스큐브의 개인정보 접근이 문서화된 지시에 해당함에 동의한다. 씨알에스큐브는 본 DPA 에 따라 프로세서(또는 서브프로세서)로서 개인정보를 처리한다.

4. 개인정보 처리의 세부사항. 개인정보 처리에 관한 구체적인 세부사항은 부속서 1 에 정한 바와 같다.

5. 법령의 준수. 각 당사자는 본 DPA 에 따라 자신에게 적용되고 자신을 구속하는 데이터보호법을 준수할 책임을 진다.

   
   

1. 문서화된 지시. 씨알에스큐브는 문서화된 지시(고객이 프로세서인 경우, 해당 컨트롤러의 지시에 기초할 수 있다)에 따라 개인정보를 처리한다.

2. 추가 지시. 문서화된 지시의 범위를 벗어나는 지시는 고객이 씨알에스큐브에게 지급할 추가 비용에 관한 합의를 포함하여 씨알에스큐브와 고객 간의 사전 서면 합의를 요한다. 고객이 요청한 추가 또는 변경된 지시가 본 DPA 에서 제공되었거나 제공하기로 합의된 지시의 범위를 벗어나거나 이와 달라 씨알에스큐브가 이를 거부하거나 이행할 수 없는 경우, 고객은 서면 통지로써 해당 계약을 해지할 수 있다.

3. 법령의 위반. 고객은 씨알에스큐브가 고객이 제공한 문서화된 지시 또는 개인정보의 적법성이나 정확성을 감시하거나 검증할 일반적인 의무를 부담하지 아니함에 동의한다. 씨알에스큐브가 문서화된 지시가 데이터보호법을 위반한다고 합리적으로 판단하는 경우, 씨알에스큐브는 이를 지체 없이 고객에게 통지하며, 고객이 해당 문서화된 지시를 확인, 수정 또는 철회할 때까지 아무런 책임을 부담하지 아니하고 해당 처리의 이행을 중단할 권리를 가진다.

1. 준수 및 권한. 고객은 계약상 자신의 역할(컨트롤러인지 프로세서인지를 불문한다)에 따라 자신에게 적용되는 데이터보호법을 준수하여야 하며, (가) 씨알에스큐브(또는 그 서브프로세서)에게 개인정보를 제공하는 데 필요한 모든 법적 근거, 고지 및 승인을 갖추고 있다는 점, (나) 문서화된 지시가 데이터보호법을 준수한다는 점, (다) 고객이 프로세서인 경우 씨알에스큐브의 관여에 대하여 자신의 컨트롤러로부터 요구되는 모든 승인을 받았다는 점, (라) 개인정보가 제 2 조에 정한 범위를 초과하지 아니한다는 점을 진술하고 보증한다.

2. 보안에 관한 책임. 고객은 서비스와 관련한 자신의 내부 보안 환경에 대하여 단독으로 책임을 지며, 여기에는 (가) 고객의 통제 하에 있는 사용자 계정 인증정보 및 접근권한의 기밀성과 보안의 유지, (나) 서비스에 접근하거나 이를 이용하는 데 사용되는 시스템, 네트워크 및 기기에 대한 적절한 보안조치의 시행, (다) 전문 서비스와 관련하여 씨알에스큐브에게 제공되는 개인정보의 안전한 전송 및 필요 최소한의 범위 내 제공의 보장이 포함된다.

1. 처리의 제한. 씨알에스큐브는 문서화된 지시에 따라, 오로지 서비스를 제공, 유지 및 지원하기 위한 목적으로만 개인정보를 처리한다. 씨알에스큐브는 데이터보호법에서 요구하는 경우를 제외하고는 그 밖의 목적으로 개인정보를 판매, 공유, 보유 또는 처리하지 아니한다.

2. 법령의 준수. 씨알에스큐브는 계약상 자신의 역할에 따라 자신에게 적용되는 데이터보호법을 준수한다.

3. 인력의 기밀유지 및 보안. 씨알에스큐브는 개인정보에 대한 접근을 업무상 알 필요가 있는 인력으로 제한하고, 해당 인력이 기밀유지의무를 부담하며 개인정보 보호에 관하여 적절한 교육을 받도록 한다.

4. 법적 요청. 씨알에스큐브가 개인정보의 공개를 요구하는 구속력 있는 법적 요청을 받은 경우, 법령상 금지되지 아니하는 한 공개 전에 지체 없이 고객에게 서면으로 통지하고, 공개의 범위를 법령상 요구되는 최소한으로 제한한다.

5. 의무 이행의 불가. 씨알에스큐브는 계약 또는 데이터보호법에 따른 자신의 의무를 더 이상 이행할 수 없다고 판단하는 경우, 지체 없이 고객에게 서면으로 통지한다.

1. 기술적 및 관리적 조치. 씨알에스큐브는 개인정보 침해사고로부터 개인정보를 보호하고 개인정보의 처리에 따른 위험에 상응하는 수준의 보안을 보장하기 위하여 마련된 적절한 조직적, 관리적, 물리적 및 기술적 보안조치를 시행하고 유지한다. 씨알에스큐브의 구체적인 기술적 및 관리적 보안조치는 부속서 2 에 정한 바와 같다.

2. 검토 및 변경. 씨알에스큐브는 기술의 변화, 법령 및 규제상 요구사항, 운영상 위험 및 업계 모범 사례를 반영하기 위하여 자신의 보안조치를 정기적으로 검토하고 변경한다. 씨알에스큐브는 수시로 보안조치를 갱신하거나 변경할 수 있으나, 그러한 갱신 또는 변경이 개인정보에 제공되는 전반적인 보안 수준의 중대한 저하 또는 감소를 초래하여서는 아니 된다.

3. 보안 표준 및 인증. 씨알에스큐브는 자신의 기술적 및 관리적 조치의 지속적인 실효성과 운영상 신뢰성을 입증하기 위하여 관련 제 3 자 보안 인증 또는 감사 확인서를 유지한다.

1. 승인된 서브프로세서. 고객은 씨알에스큐브가 서브프로세서를 관여시키는 것에 대하여 포괄적으로 승인한다. 현재의 서브프로세서 목록은 https://www.crscube.io/ko/legal 에서 확인할 수 있다.

2. 통지 및 이의. 씨알에스큐브는 새로운 서브프로세서에 관하여, https://www.crscube.io/ko/legal 에 게시된 서브프로세서 목록을 갱신하거나 고객이 등록한 관리 담당자에게 이메일을 발송하는 방법으로 최소 30 일 전에 서면으로 통지한다. 고객은 통지일부터 30 일 이내에 합리적이고 문서화된 개인정보 보호상의 사유를 들어 서면으로 이의를 제기할 수 있다(이하 "이의"). 그러하지 아니한 경우, 새로운 서브프로세서의 관여는 고객이 승인한 것으로 본다.

3. 해결 및 해지. 씨알에스큐브가 이의를 수령한 경우, 양 당사자는 상호 수용 가능한 해결에 이르기 위하여 30 일간 성실히 협의한다. 해당 기간 내에 해결되지 아니하는 경우, 고객은 그 후 15 일 이내에 서면 통지로써 제안된 서브프로세서에 의존하는 해당 계약 또는 서비스를 해지할 수 있다.

4. 서브프로세서의 의무 및 책임. 씨알에스큐브는 서브프로세서로 하여금 본 DPA 에 못지아니한 수준의 개인정보 보호 조건을 준수하도록 하며, 개인정보의 처리와 관련한 서브프로세서의 작위 및 부작위에 대하여 전적인 책임을 진다.

1. 고객의 책임. 고객은 데이터보호법에 따른 권리를 행사하는 정보주체의 요청(이하 "")을 접수하고 검토하며 이에 응답할 책임을 단독으로 부담한다.

2. 이송. 씨알에스큐브(또는 서브프로세서)가 정보주체 요청을 직접 수령한 경우, 씨알에스큐브는 이에 응답하지 아니하고 지체 없이 이를 고객에게 전달한다. 다만, 실질적인 조치를 취하거나 입장을 표명함이 없이 접수 사실만을 회신하는 경우 또는 데이터보호법상 요구되는 경우에는 그러하지 아니하다.

3. 지원. 고객은 우선 정보주체 요청을 직접 이행하도록 한다. 고객이 정보주체 요청을 직접 이행할 수 없는 범위 내에서, 씨알에스큐브는 고객의 서면 요청이 있는 경우 처리의 성격을 고려하여, 프로세서 또는 서브프로세서로서의 역할과 관련하여 씨알에스큐브에게 적용되는 데이터보호법상 요구되는 범위 내에서 합리적인 지원을 제공한다.

4. 비용. 데이터보호법이 허용하는 범위 내에서, 씨알에스큐브는 자신의 상당한 자원이 소요되는 지원에 대하여 사전 상호 합의를 조건으로 합리적인 비용을 청구할 수 있다.

1. 침해사고의 통지. 씨알에스큐브는 개인정보 침해사고를 인지한 후 부당한 지체 없이 고객에게 통지한다. 통지에는 통지 시점에 알려진 범위 내에서 (가) 개인정보 침해사고의 성격, 발생 시기 및 범위(영향을 받은 기록 및 정보주체를 포함한다), (나) 예상되는 결과, (다) 개인정보 침해사고를 완화하고 시정하기 위하여 취하였거나 취할 예정인 조치가 포함된다. 관련 정보는 확보되는 대로 단계적으로 제공될 수 있다.

2. 책임 인정의 배제 및 제외되는 사고. 통지는 씨알에스큐브의 과실 또는 책임을 인정하는 것으로 해석되지 아니한다. 개인정보를 침해하지 아니한 미수의 보안 사고 또는 통상적인 보안 이벤트는 개인정보 침해사고에 해당하지 아니하며, 통지의무를 발생시키지 아니한다.

3. 면책.

   가. 범위. 개인정보 침해사고가 씨알에스큐브의 계약 위반으로 직접 발생한 범위 내에서, 씨알에스큐브는 개인정보 침해사고로부터 발생하는 합리적이고 직접적인 제 3 자 손해 및 필요 비용 (통지 비용 등)에 대하여 고객을 면책하고 방어하며 고객이 손해를 입지 아니하도록 한다.

   나. 제외. 개인정보 침해사고가 (가) 고객의 계약 또는 데이터보호법 위반, (나) 씨알에스큐브의 문서화된 지시 준수, (다) 고객(또는 최종사용자)의 과실, 설정 오류, 인증정보의 유출 또는 고객으로 인하여 가능하게 된 무단 접근으로 인하여 발생한 범위 내에서는, 씨알에스큐브는 어떠한 책임이나 면책의무도 부담하지 아니한다.

   다. 유일한 구제수단 및 책임 한도. 본 항은 개인정보 침해사고에 관한 고객의 유일한 구제수단이자 씨알에스큐브의 전적인 책임을 정한다. 본 항에 따른 씨알에스큐브의 총 책임은 계약에 정한 책임 한도 및 제한의 적용을 받는다.

1. 처리 지역. 씨알에스큐브는 부속서 1 에 명시된 지정 지역(이하 "처리 지역")에서만 개인정보를 처리한다. 씨알에스큐브는 서비스를 제공하기 위하여 필요한 경우 또는 데이터보호법이나 구속력 있는 법적 명령을 준수하기 위하여 필요한 경우를 제외하고는, 처리 지역 외부로 개인정보를 이전하거나 처리 지역 외부에서 개인정보를 처리하지 아니한다.

2. 이전 수단. 개인정보가 국경을 넘어 이전되는 범위 내에서, 씨알에스큐브는 표준계약조항(이하 "SCC"), 적정성 결정 또는 그 밖의 법정 이전 체계를 포함하여 인정되는 이전 수단을 통하여 해당 이전이 데이터보호법을 준수하도록 한다. 적정성 결정 또는 법령상 예외가 적용되는 경우에는 SCC 또는 그 밖의 이전 수단은 적용되지 아니한다.

1. 기간 및 존속. 본 DPA 는 계약의 효력발생일에 발효하며, 계약이 해지 또는 만료되고 본 DPA 에 따라 개인정보가 완전히 삭제 또는 반환될 때까지 효력을 유지한다

1. 반환 또는 삭제. 본 조 제 2 항 및 제 3 항에 정한 경우 또는 관련 법령에서 요구하는 경우를 제외하고, 씨알에스큐브는 해당 주문서의 해지 또는 만료 시 고객의 서면에 의한 반환 또는 삭제 요청을 수령한 날부터 90 일 이내에 운영 환경 및 샌드박스 환경에 보유 중인 개인정보를 반환하거나 삭제한다.

2. 법정 보유의무. 본 조 제 1 항에도 불구하고, 씨알에스큐브는 관련 법령상, 규제상 또는 법적 의무에서 요구하는 범위 내에서, 또는 규제 준수를 위하여 요구되는 시스템 감사 추적, 사용자 접근 로그 또는 컴플라이언스 기록의 완전성을 보존하기 위하여 필요한 범위 내에서 개인정보를 보유할 수 있다. 본 조에 따라 보유되는 개인정보는 계약 및 본 DPA 에 따른 기밀유지 및 보안 의무의 적용을 엄격히 받으며, 오로지 그러한 의무를 준수하기 위한 목적으로만 처리된다.

3. 백업 아카이브. 본 조 제 1 항에도 불구하고, 암호화된 백업 아카이브 또는 재해복구 시스템에 저장된 개인정보의 즉시 삭제가 기술적으로 불가능한 경우, 씨알에스큐브가 (가) 해당 백업을 활성 처리로부터 안전하게 분리하고, (나) 씨알에스큐브의 표준 백업 삭제 절차에 따라 해당 백업 데이터를 덮어쓰거나 파기하는 것을 조건으로, 씨알에스큐브는 해당 데이터를 즉시 수동으로 삭제할 의무를 부담하지 아니한다

1. 준수의 입증. 씨알에스큐브는 본 DPA 에 정한 의무의 준수를 입증하기 위하여 합리적으로 필요한 모든 정보를 고객에게 제공한다. 고객은 데이터보호법 또는 본 DPA 에 따른 자신의 감사권 및 정보요구권이, 1 차적으로 씨알에스큐브가 12 개월당 1 회를 초과하지 아니하는 범위에서 (가) 씨알에스큐브의 당시 최신 제 3 자 보안 인증 및 감사 보고서, (나) 최근 실시된 모의침투테스트 또는 취약점 진단의 요약본, (다) 고객이 제공한 합리적이고 표준적인 정보보안 질의서에 대한 답변 중 어느 하나를 제공함으로써 충족됨에 동의한다. 마지막 업데이트: 2026 년 9 월 29 일 비밀 6 / 12

2. 현장 감사. 본 조 제 1 항에 따라 제공된 정보가 씨알에스큐브의 본 DPA 준수를 확인하기에 합리적으로 충분하지 아니하고 고객이 씨알에스큐브가 본 DPA 상 의무를 중대하게 위반하고 있다고 합리적이고 문서화된 근거에 기하여 믿는 경우, 또는 데이터보호법이나 관할 감독기구가 감사를 요구하는 경우, 고객 (또는 고객이 지정한 독립적인 제 3 자 감사인)은 다음 각 호의 조건에 따라 씨알에스큐브의 관련 처리 시설 및 기록에 대한 감사를 수행할 수 있다.

   가. 통지 및 빈도. 고객은 감사를 실시하려는 의사를 최소 30 일 전에 씨알에스큐브에게 서면으로 통지하여야 한다. 감사는 감독기구의 구속력 있는 명령에 따라 요구되는 경우 또는 개인정보 침해사고가 발생한 경우를 제외하고는 12 개월당 1 회를 초과하여 실시할 수 없다.

   나. 범위 및 제한. 감사는 씨알에스큐브의 정상 영업시간 중에 실시되어야 하고, 3 영업일을 초과할 수 없으며, 씨알에스큐브의 영업 운영에 대한 지장을 최소화하도록 설계되어야 한다. 감사는 개인정보를 처리하는 데 직접 사용되는 시스템, 시설 및 문서에 엄격히 한정된다. 어떠한 경우에도 고객 또는 그 감사인은 씨알에스큐브의 소스코드, 영업비밀, 비밀정보 또는 씨알에스큐브의 다른 고객에게 속한 데이터에 접근할 권한을 가지지 아니한다.

   다. 감사인의 요건. 고객이 지정하는 제 3 자 감사인은 독립적이고 자격을 갖춘 전문가여야 하고, 씨알에스큐브의 경쟁사가 아니어야 하며, 감사 개시 전에 씨알에스큐브가 합리적으로 수용할 수 있는 양식의 비밀유지계약을 체결하여야 한다.

   라. 비용. 고객은 본 조 제 2 항에 따라 실시되는 감사와 관련하여 고객 및 그 감사인에게 발생하는 모든 비용을 부담한다.

3. 서브프로세서에 대한 감사. 고객은 씨알에스큐브가 서브프로세서의 시설 및 시스템에 대한 물리적 또는 직접적 접근을 허용할 권한을 가지지 못할 수 있음을 인정하고 이에 동의한다. 고객이 서브프로세서에 대한 감사를 요청하는 범위 내에서, 씨알에스큐브는 이용 가능한 서브프로세서의 감사 보고서 또는 인증을 제공하고 고객이 합리적으로 요청하는 추가 정보를 확보하기 위하여 상업적으로 합리적인 노력을 기울임으로써 해당 요청에 응한다. 서브프로세서의 시설에 대한 직접 감사는 씨알에스큐브와 해당 서브프로세서 간의 계약에서 허용하는 범위 내에서만 허용된다.

1. 책임의 제한. 본 DPA, 본 DPA 의 위반 또는 개인정보의 처리로부터 발생하거나 이와 관련한 각 당사자의 총 책임(계약책임, 불법행위책임, 면책의무 또는 그 밖의 원인에 기한 것인지를 불문한다)은 계약에 정한 배제, 면책 및 총 책임 한도의 적용을 엄격히 받는다. 본 DPA 의 어떠한 규정도 계약에 명시된 한도를 초과하여 씨알에스큐브의 책임을 확대 또는 증가시키거나 별도의 책임 한도를 창설하는 것으로 해석되지 아니한다.

2. 데이터의 적법성 및 컴플라이언스 평가. 고객은 씨알에스큐브에게 제공하는 개인정보의 정확성, 품질, 완전성 및 적법한 취득에 대하여 단독으로 책임을 진다. 씨알에스큐브는 고객에게 적용되는 특정 법률상, 산업상 또는 규제상 요구사항을 확인하기 위하여 개인정보의 내용이나 성격을 평가할 의무를 부담하지 아니한다. 고객은 씨알에스큐브의 보안조치를 평가하고 서비스가 데이터보호법에 따른 고객의 법적 및 컴플라이언스 의무를 충족하는지 여부를 독자적으로 판단할 책임을 단독으로 부담한다.

3. 처리 지시. 고객은 씨알에스큐브가 문서화된 지시에 엄격히 기초하여 개인정보를 처리함을 인정한다. 씨알에스큐브는 (가) 씨알에스큐브의 문서화된 지시 준수 또는 (나) 고객의 데이터보호법상 의무 불이행으로 인하여 발생하는 청구, 손실, 손해 또는 규제상 과징금에 대하여 책임을 지지 아니한다.

4. 법률자문의 부존재. 씨알에스큐브는 법률, 프라이버시 또는 규제에 관한 자문을 제공하지 아니한다. 데이터보호법의 준수와 관련하여 씨알에스큐브가 제공하는 의견, 문서, 양식 견본 또는 권고는 법률자문으로 간주되거나 이에 의존되어서는 아니 된다. 고객은 서비스가 데이터보호법을 준수하는 방식으로도, 준수하지 아니하는 방식으로도 이용될 수 있음을 인정하고 이에 동의하며, 고객의 구체적인 운영 환경 및 관할권에 적용되는 모든 법령을 준수하는 방식으로 서비스를 설정하고 이용할 책임을 단독으로 부담한다.

1. 처리의 대상 및 목적

   1. 씨알에스큐브의 개인정보 처리 목적은 생명과학 연구, 임상 운영 및 이와 관련된 연구 또는 운영 활동을 지원하기 위한 서비스의 제공이다.

2. 성격

   1. 개인정보 처리의 성격에는 (가) 소프트웨어를 제공하기 위하여 필요한 개인정보의 연산, 저장, 전송 및 구조화, (나) 전문 서비스를 수행하고 고객이 요청하는 기술적, 관리적 또는 운영상의 지원을 제공하기 위하여 필요한 개인정보에 대한 접근, 검토, 설정, 데이터 이관 및 문제 해결이 포함되며, 각 경우 문서화된 지시에 기재되고 고객이 개시한 바에 따른다.

3. 기간

   1. 씨알에스큐브와 고객 사이에서 개인정보 처리의 기간은 고객이 결정한다. 개인정보의 처리는 씨알에스큐브가 서비스를 제공하는 기간 및 씨알에스큐브가 개인정보를 안전하게 삭제하거나 반환할 때까지 소요되는 기간 동안 계속된다.

4. 정보주체의 유형

   1. 정보주체에는 다음 각 호가 포함될 수 있다.

      가. 임상시험 대상자의 경우, 고객이 관리하는 임상시험 또는 연구에 참여하는 개인

      나. 의료전문가 및 실시기관 인력의 경우, 시험책임자, 코디네이터, 간호사 또는 그 밖의 실시기관 인력

      다. 고객 인력의 경우, 서비스를 이용하는 고객 또는 그 승인된 파트너의 임직원, 계약자 또는 대리인

5. 개인정보의 유형

   1. 처리되는 개인정보의 일반적인 유형은 고객이 결정하며, 다음 각 호가 포함될 수 있다.

      가. 임상시험 대상자의 경우, 키코드화 또는 가명처리된 대상자 식별자, 인구통계학적 정보(예: 연령, 성별) 및 임상 관찰 기록

      나. 전문 인력 및 직원의 경우, 성명, 업무용 연락처 정보(예: 이메일 주소, 전화번호), 역할 및 직책, 전문 자격, 시스템 인증정보(예: 사용자 ID, 감사 추적 로그) 및 전자서명

6. 개인정보의 특별 유형(민감정보)

   1. 처리되는 개인정보의 특별 유형은 고객이 결정하며, 다음 각 호가 포함될 수 있다.

      가. 건강 또는 의학적 상태에 관한 정보(예: 병력, 임상 평가, 이상반응, 검사 결과)

      나. 인종 또는 민족적 기원을 드러내는 정보(임상시험 인구통계 목적으로 통상 수집된다)

      다. 생체인식정보 또는 유전정보(해당 임상시험에 적용되는 경우에 한한다)

7. 처리 지역

   1. 씨알에스큐브는 대한민국, 일본, 미국, 독일 또는 아일랜드에서만 개인정보를 처리한다(서비스와 관련한 운영, 유지보수 및 기술지원을 목적으로 하는 처리를 포함한다). 이들 지역 외부로의 개인정보 이전 또는 이들 지역 외부에서의 개인정보 처리는 본 DPA 제 7 조 및 제 10 조에 엄격히 따라 이루어진다.

본 부속서 2 는 본 DPA 의 일부를 구성하며, 본 DPA 제 6 조에 따라 씨알에스큐브가 시행하고 유지하는 핵심적인 기술적 및 관리적 보안조치를 기술한다.

1. 접근통제 및 인증

   1. 논리적 접근. 최소권한 및 업무상 알 필요(need-to-know)의 원칙에 기초한 역할기반 접근통제(RBAC)를 시행한다.

   2. 인증. 기술적으로 적용 가능한 경우, 운영 환경에 대한 관리자 및 운영자의 대화형 사용자 접근에 대하여 강력한 인증 요건과 함께 다중인증(MFA)을 요구한다.

   3. 세션 통제. 자동 세션 만료 및 반복된 로그인 실패 시 계정 잠금을 시행한다.after repeated failed login attempts.

2. 데이터 보호 및 암호화

   1. 전송 중 암호화. 공중망을 통하여 전송되는 개인정보를 TLS 1.2 이상을 사용하여 암호화한다.

   2. 저장 시 암호화. 운영 데이터베이스 및 저장소에 저장되는 개인정보와 백업을 업계 표준 알고리즘(AES-256)을 사용하여 암호화한다.

   3. 환경의 분리. 개인정보를 논리적으로 분리하고, 운영, 스테이징 및 개발 환경 간의 엄격한 분리를 유지한다.

3. 시스템 가용성 및 업무연속성

   1. 데이터 백업. 운영 데이터베이스에 대하여 다중 영역 이중화를 갖춘 자동화된 암호화 백업을 매일 수행한다.

   2. 재해복구. 공식적인 재해복구 및 업무 연속성 계획을 유지하고, 최소 연 1회 시스템 복구 능력을 시험한다.

   3. 인프라 복원력. 고가용성, 물리적 시설 보안 및 전원·네트워크 이중화를 제공하는 최상위 클라우드 제공업체에 서비스의 운영 환경을 호스팅한다.

4. 사고 관리 및 보안 모니터링

   1. 로깅 및 감사 추적. 모니터링 및 포렌식 조사를 위하여 보안, 접근 및 감사 추적 로그를 수집하고 보관한다.

   2. 사고 대응. 탐지, 봉쇄, 조사 및 상위 이관 절차를 정한 문서화된 보안사고 대응계획을 유지한다.

   3. 침해사고 통지. 본 DPA 제9조에 따라 개인정보 침해사고를 인지한 후 부당한 지체 없이 고객에게 통지한다.

5. 운영 보증 및 공급업체 관리

   1. 보안 평가. 제3자 보안 인증 또는 확인서(예: ISO/IEC 27001)를 유지하고 연 1회 제3자 모의 침투 테스트를 실시한다.

   2. 서브프로세서 실사. 모든 서브프로세서를 관여시키기 전에 보안 평가를 실시하고, 동등한 수준의 보호를 제공하는 개인정보 보호 계약을 해당 서브프로세서와 체결한다.

   3. 인력의 기밀유지. 모든 임직원 및 계약자에게 서면 기밀유지의무를 부과하고 연 1회 데이터 보안 교육을 요구한다