데이터 처리 위탁 계약(템플릿)

이 문서는 GPT Workspace가 기업 고객과 체결하는 데이터 처리 위탁 계약(DPA) 템플릿입니다. 작성된 계약서를 받으려면 회사의 법인 명칭, 주소, 담당자, 좌석 수를 기재하여 contact@gpt.space로 이메일을 보내주시기 바랍니다. 계약에 명시된 처리자 목록은 트러스트 센터에 게시되어 있으며 최신 상태로 유지됩니다.

이 템플릿은 참고용으로 제공되며 법률 자문이 아닙니다. 서명 전에 법률 자문사의 검토를 받으시기 바랍니다. 대괄호로 표시된 항목은 서명 전에 기입됩니다.

---

본 데이터 처리 위탁 계약(“DPA”)은 GPT Workspace(“서비스”)의 사용과 관련하여 다음 당사자 간에 체결됩니다.

• [고객 법인 명칭], [고객 주소], [등록번호] (“고객” 또는 “정보주체 처리자”), 그리고
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, USA (“제공자” 또는 “처리자”),

이하 통칭하여 “당사자“라 합니다. 본 계약은 [시행일]에 체결되며, 제공자가 고객을 대신하여 개인정보를 처리하는 동안 적용됩니다.

“GDPR“은 (EU) 2016/679 규정을 의미하며, 해당되는 경우 2018년 데이터 보호법에 정의된 영국 GDPR을 포함합니다. “개인정보”, “처리”, “정보주체 처리자”, “처리자”, “정보주체”, “감독 기관” 및 “개인정보 침해“는 GDPR 제4조에서 부여된 의미를 가집니다. “하위 처리자“는 제공자가 고객을 대신하여 개인정보를 처리하기 위해 고용한 제3자를 의미합니다. “고객 데이터“는 제공자가 서비스 계약에 따라 고객을 위해 처리하는 개인정보로, 부속서 1에 기술되어 있습니다.

2.1 고객은 정보주체 처리자이며 제공자는 고객 데이터의 처리자입니다. 고객이 자체 고객에 대해 처리자 역할을 수행하는 경우, 제공자는 하위 처리자 역할을 수행하며, 고객은 자체 지시가 관련 정보주체 처리자에 의해 승인되었음을 보증합니다.

2.2 처리의 대상, 기간, 성격 및 목적, 개인정보의 유형 및 정보주체의 범주는 부속서 1에 명시되어 있습니다.

3.1 제공자는 고객의 문서화된 지시에 따라서만 고객 데이터를 처리합니다. 여기에는 제3국으로의 전송에 관한 지시도 포함되며, 단, 제공자가 적용받는 연합 또는 회원국 법률에 의해 요구되는 경우는 예외로 합니다. 해당 경우 제공자는 처리 전에 해당 법적 요건을 고객에게 통지하며, 단 해당 법률이 이를 금지하지 않는 경우에 한합니다.

3.2 고객의 지시는 다음과 같습니다: 서비스 계약, 본 DPA, 고객 및 그 사용자가 서비스에서 설정한 구성, 그리고 고객의 사용자가 서비스에 보내는 요청. 제공자는 지시가 GDPR을 침해한다고 판단하는 경우 즉시 고객에게 통지합니다.

제공자는 고객 데이터 처리를 승인받은 자가 기밀 유지를 약정했거나 적절한 법정 기밀 유지 의무를 부담하고 있는지 확인하며, 각자가 서비스를 수행하는 데 필요한 범위로 접근을 제한합니다.

제공자는 부속서 2에 명시된 기술적 및 조직적 조치를 시행하고 지속적으로 검토합니다. 최신 기술 수준, 시행 비용, 처리의 성격·범위·맥락 및 목적을 고려하여, 이러한 조치는 위험에 상응하는 적절한 보안 수준을 보장합니다.

6.1 고객은 제공자가 부속서 3에 명시된 하위 처리자를 고용할 수 있는 일반적인 서면 승인을 부여합니다.

6.2 제공자는 하위 처리자의 추가 또는 교체가 예정된 경우, 변경이 효력을 발생하기 최소 [30]일 전에 [고객 통지 이메일]로 이메일을 발송하고 https://gpt.space/trust의 목록을 업데이트하여 고객에게 통지합니다. 고객은 해당 기간 내에 합리적인 데이터 보호 사유로 이의를 제기할 수 있습니다. 당사자가 이의를 해결하지 못한 경우, 고객은 영향을 받는 서비스 부분을 페널티 없이 종료할 수 있습니다.

6.3 제공자는 각 하위 처리자에게 계약을 통해 본 DPA에 명시된 것과 동일한 데이터 보호 의무를 부과하며, 특히 적절한 기술적 및 조직적 조치를 시행하기에 충분한 보증을 제공합니다. 하위 처리자가 의무를 이행하지 못한 경우, 제공자는 해당 하위 처리자의 의무 이행에 대해 고객에게 전적으로 책임을 집니다.

처리의 성격을 고려하여, 제공자는 가능한 범위 내에서 적절한 기술적 및 조직적 조치를 통해 고객이 GDPR 제3장에 따른 정보주체의 권리 행사 요청에 응답할 의무를 이행할 수 있도록 지원합니다. 제공자는 고객 데이터와 관련하여 정보주체로부터 직접 수신한 요청을 부당한 지체 없이 고객에게 전달하며, 고객의 지시에 따르거나 법률에서 요구하는 경우가 아니면 이에 응답하지 않습니다.

제공자는 처리의 성격과 제공자가 이용 가능한 정보를 고려하여, GDPR 제32조부터 제36조까지의 의무(보안, 침해 통지, 데이터 보호 영향 평가 및 사전 협의)에 대한 준수를 보장하도록 고객을 지원합니다.

제공자는 고객 데이터에 영향을 미치는 개인정보 침해를 인지한 후 부당한 지체 없이, 그리고 어떠한 경우에도 [48]시간 이내에 [고객 통지 이메일]로 이메일을 발송하여 고객에게 통지합니다. 통지에는 인지 시점에서 알려진 범위 내에서 침해의 성격, 영향을 받는 정보주체 및 기록의 범주와 대략적인 수, 예상되는 결과, 취해지거나 제안된 조치, 연락처가 기술됩니다. 아직 이용할 수 없는 정보는 부당한 추가 지체 없이 단계적으로 제공됩니다.

10.1 제공자는 고객의 선택에 따라 서비스 제공 종료 후 모든 고객 데이터를 삭제하거나 반환하고, 기존 사본을 삭제합니다. 단, 연합 또는 회원국 법률이 개인정보의 저장을 요구하는 경우는 예외로 합니다.

10.2 10.1과 별도로, 고객 및 각 사용자는 언제든지 서비스에서 자신의 계정과 제공자가 보유한 데이터를 삭제할 수 있으며, 삭제는 요청 후 24시간 이내에 수행됩니다. 인보이스 및 결제 기록은 세법에서 요구하는 기간 동안 보관됩니다.

11.1 제공자는 GDPR 제28조에 명시된 의무 준수를 입증하는 데 필요한 모든 정보를 고객에게 제공하며, 고객 또는 고객이 위임한 감사자가 수행하는 감사(조사 포함)를 허용하고 이에 기여합니다.

11.2 제공자는 먼저 ISO 27001 인증서 및 감사 보고서(https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), CASA Tier III 평가 및 보안 질의서에 대한 서면 답변을 제공하여 감사 요청을 충족합니다. 현장 또는 원격 조사는 감독 기관이 달리 요구하거나 개인정보 침해가 발생하지 않은 경우, [연 1회]를 초과하지 않는 빈도로, [30]일 전 서면 통지 후, 업무 시간 중, 기밀유지 계약하에, 고객의 비용으로 수행됩니다.

12.1 제공자는 미국에 설립되어 있으며 서비스는 미국의 Google Cloud Platform에서 호스팅됩니다. EEA, 영국 또는 스위스의 정보주체에 대한 고객 데이터가 적합성 결정이 없는 국가로 전송되는 경우, 당사자는 유럽위원회가 결정 (EU) 2021/914에서 채택한 표준 계약 조건(모듈 2, 정보주체 처리자에서 처리자로, 또는 모듈 3, 처리자에서 처리자로, 해당되는 경우)에 의존하며, 이는 참조에 의해 편입됩니다. 영국 데이터가 관련된 경우 영국 국제 데이터 전송 부록과 함께 적용됩니다. 고객 데이터를 수신하는 제공자의 하위 처리자는 해당 프레임워크를 이용할 수 있는 경우 EU-미국 데이터 프라이버시 프레임워크에 참여합니다. 제공자 자신이 수행하는 모든 전송에는 표준 계약 조건이 적용됩니다.

12.2 표준 계약 조건의 옵션은 다음과 같습니다: 제7조(도킹)가 적용됩니다. 제9조 옵션 2(일반 승인)는 제6.2조의 통지 기간과 함께 적용됩니다. 제11조 선택 언어는 적용되지 않습니다. 제13조 및 제17조: [회원국, 예: 아일랜드]의 법률. 제18조: [회원국]의 법원. 표준 계약 조건의 부속서 I 및 부속서 II는 본 DPA의 부속서 1 및 부속서 2입니다.

13.1 본 DPA에 따른 각 당사자의 책임은 서비스 계약의 책임 제한 및 배제 사항을 따르며, 단, 적용 가능한 데이터 보호법에 따라 제한할 수 없는 경우는 예외로 합니다.

13.2 본 DPA는 시행일에 효력이 발생하며, 제공자가 고객 데이터를 처리하는 동안 유효합니다. 본 DPA와 서비스 계약 간에 충돌이 있는 경우, 개인정보의 처리에 대해서는 본 DPA가 우선합니다.

13.3 본 DPA는 서비스 계약을 규율하는 법률의 적용을 받으며, 단, 표준 계약 조건은 제12.2조에서 선택된 법률의 적용을 받습니다.

고객 측	제공자 측
성명: [성명]	성명: [성명]
직함: [직함]	직함: [직함]
날짜: [날짜]	날짜: [날짜]
서명:	서명:

---

항목	설명
대상	GPT Workspace 서비스 제공: Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, Chrome 확장 프로그램 및 MCP 서버 내 AI 지원 기능.
기간	서비스 계약의 기간에 부속서 2의 보관 기간을 더한 기간.
성격 및 목적	사용자가 자신의 Google 계정에서 지정한 콘텐츠를 읽고, 사용자의 프롬프트와 함께 AI 모델 제공자에게 전송하며, 답변을 사용자의 파일 또는 채팅에 다시 작성. 계정 관리, 결제 및 지원.
정보주체 범주	서비스를 사용하는 고객의 직원 및 계약자. 서비스를 통해 처리되는 고객의 문서, 스프레드시트, 이메일 및 파일에 데이터가 표시되는 개인.
개인정보 유형	계정 데이터(이름, 이메일 주소, 프로필 사진, Google 계정 식별자). 결제 데이터(청구명, 주소, VAT 번호). 사용 메타데이터(요청 수, 날짜, 문서 제목). 사용자가 제출하는 프롬프트의 내용과 Google 파일, 이메일 및 첨부파일의 내용(고객이 해당 위치에 입력하는 모든 범주의 개인정보를 포함할 수 있음).
특수 범주	설계상 없음. 서비스는 특수 범주 데이터를 요구하지 않으며, 사용자가 제출할 내용은 고객이 결정합니다. [특수 범주가 예상되는 경우 고객이 기입: 없음 / 설명]
빈도	사용자의 각 요청에 대해 연속적으로 처리.
보관	부속서 2 “보관” 참조.

분야	조치
인증	ISO 27001 인증 정보 보안 관리 시스템(감사 보고서 제공 가능). Google Workspace 통합을 위한 CASA Tier III(App Defense Alliance) 평가. 제한적 사용 요구사항을 포함한 Google API 서비스 사용자 데이터 정책 준수.
호스팅	Google Cloud Platform(Firebase), 미국, 미국 동부 및 미국 서부 리전. 고객 데이터를 처리하는 구성 요소는 로드 밸런서와 웹 애플리케이션 방화벽 뒤의 제공자 사설 네트워크 내에서 실행됩니다.
암호화	전송 중인 모든 데이터에 TLS 1.2 이상. Firebase의 저장 데이터에 대한 AES-256 서버 측 암호화, GCP IAM을 통한 키 관리. Google 액세스 및 갱신 토큰은 저장 시 암호화됩니다.
고객 파일 사본 없음	Google 파일, 이메일 및 스프레드시트는 사용자 자체 OAuth 토큰으로 실시간 읽으며 제공자의 저장소에 복사되지 않습니다. 유일한 예외는 사용자가 파일 검색을 위해 첨부한 파일로, OpenAI 벡터 스토어에 업로드됩니다(부속서 3 참조). 검색 인덱스는 마지막 사용 후 1일 후에 삭제되고 사본은 7일 후에 삭제됩니다.
모델 제공자	요청에 대한 학습을 금지하는 API 약관하에 사용. 제공자는 고객 데이터로 모델을 학습하거나 미세 조정하지 않습니다.
접근 제어	프로덕션 시스템에 대한 접근은 개별 계정, 다중 인증 및 GCP IAM을 통한 최소 권한을 가진 승인된 직원으로 제한. 사용자별 데이터 격리는 Firebase 보안 규칙에 의해 시행. 프로덕션 접근 권한이 있는 모든 계정에 다중 인증이 필수이며, 접근 권한은 매주 검토됩니다.
모니터링 및 테스트	GCP Security Command Center가 범위 내 모든 자산에 대해 지속적인 취약점 스캔 수행. 외부 연구자를 위한 취약점 공개 정책.
보관	계정 데이터, 채팅 스레드, 설정 및 사용 메타데이터: 사용자의 마지막 활동 후 18개월 또는 삭제 요청 후 24시간. 파일 검색에 첨부된 파일: 검색 인덱스는 마지막 사용 후 1일 후 삭제, 업로드된 사본은 7일 후 삭제. 모델 게이트웨이 요청 로그: 30일, 지원 용도로만 사용. 프롬프트 및 답변: 실시간 처리, 제공자가 장기 저장하지 않음. 인보이스: 세법에서 요구하는 기간.
삭제	서비스 내 계정 및 관련 모든 데이터의 셀프 서비스 삭제. 요청 시 24시간 이내 삭제.
비즈니스 연속성	Google Cloud 네이티브 백업 및 다중 리전 가용성 도구. 7일마다 전체 백업.
직원	고용 및 계약자 계약의 기밀 유지 의무. 프로덕션 접근 권한이 있는 직원에 대한 보안 인식 교육.

현재 목록은 https://gpt.space/trust에서 유지 관리되며, 시행일 기준으로 여기에 재현됩니다.

하위 처리자	목적	위치
Google Cloud Platform / Firebase (Google LLC)	호스팅, 데이터베이스, 저장소, 인증, 시크릿	미국
OpenRouter, Inc.	모든 모델 요청을 아래 제공자로 라우팅하는 게이트웨이. 요청 로그는 지원 용도로만 30일 보관, 학습에 사용되지 않음	미국
OpenAI	텍스트 및 이미지 모델. 파일 검색용 벡터 스토어	미국
Anthropic	Claude 모델(Anthropic 자체 엔드포인트로 고정)	미국
Google (AI Studio)	Gemini 텍스트 및 이미지 모델	미국
Perplexity	웹 검색 모델	미국
OpenRouter 추론 호스트	오픈 웨이트 GLM-5.3-flash 및 gpt-oss-120b 모델용 추론 호스트	OpenRouter 경유
Typesafe	GPT_CLASSIFY 수식 뒤의 의사결정 모델	OpenRouter 경유
Google Programmable Search	생성된 슬라이드용 스톡 이미지 조회(쿼리 전용)	미국
Stripe	결제, 인보이스, 결제 포털	미국 및 아일랜드, Stripe DPA 적용
PostHog(자체 호스팅 인스턴스)	제품 분석	유럽 연합
Sentry	오류 모니터링	유럽 연합(EU 데이터 리전)