데이터 처리 동의서(템플릿)

이 문서는 GPT Workspace가 기업 고객과 체결하는 데이터 처리 동의서(DPA) 템플릿입니다. 미리 입력된 버전을 받아보려면 contact@gpt.space로 회사의 법인명, 주소, 담당자 및 사용자 수를 기재하여 연락해 주세요. 동의서에 명시된 처리자는 Trust Center에 목록화되어 최신 상태로 유지됩니다.

이 템플릿은 참고용이며 법률 자문이 아닙니다. 서명 전에 법률 자문사의 검토를 받으시기 바랍니다. 대괄호 필드는 서명 전에 입력됩니다.

---

본 데이터 처리 동의서(“DPA”)는 GPT Workspace(“서비스”) 사용에 관한 계약의 일부를 구성하며, 다음 당사자 간에 체결됩니다.

• [CUSTOMER LEGAL NAME], [CUSTOMER ADDRESS], [REGISTRATION NUMBER] (“고객” 또는 “정보처리자”), 그리고
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, USA (“제공자” 또는 “처리자”),

이하 통칭하여 “당사자“라 합니다. 본 동의서는 [EFFECTIVE DATE]에 체결되며, 제공자가 고객을 대신하여 개인정보를 처리하는 동안 유효합니다.

“GDPR“은 Regulation (EU) 2016/679를 의미하며, 해당되는 경우 Data Protection Act 2018에 정의된 영국 GDPR을 포함합니다. “개인정보”, “처리”, “정보처리자”, “처리자”, “정보주체”, “감독기관” 및 “개인정보 침해“는 GDPR 제4조에서 부여된 의미를 갖습니다. “하위 처리자“는 고객을 대신하여 개인정보를 처리하기 위해 제공자가 고용한 제3자를 의미합니다. “고객 데이터“는 부속서 1에 설명된 대로 서비스 계약에 따라 제공자가 고객을 위해 처리하는 개인정보를 의미합니다.

2.1 고객은 정보처리자이고 제공자는 고객 데이터의 처리자입니다. 고객이 자체 고객에 대해 처리자 역할을 하는 경우, 제공자는 하위 처리자 역할을 하며 고객은 자체 지시가 관련 정보처리자에 의해 승인되었음을 보증합니다.

2.2 처리의 대상, 기간, 성격 및 목적, 개인정보의 유형과 정보주체의 범주는 부속서 1에 명시되어 있습니다.

3.1 제공자는 고객의 문서화된 지시에 따라서만 고객 데이터를 처리합니다. 여기에는 제3국으로의 이전에 관한 지시도 포함됩니다. 단, 제공자가 적용받는 연합 또는 회원국 법률에 의해 요구되는 경우는 예외로 하며, 이 경우 제공자는 해당 법률이 금지하지 않는 한 처리 전에 그 법적 요건을 고객에게 알립니다.

3.2 고객의 지시는 다음과 같습니다: 서비스 계약, 본 DPA, 고객 및 그 사용자가 서비스에 설정한 구성, 그리고 고객의 사용자가 서비스에 보내는 요청. 제공자는 지시가 GDPR을 위반한다고 판단하는 경우 즉시 고객에게 알립니다.

제공자는 고객 데이터 처리를 승인받은 자가 기밀유지 의무를 부담하거나 적절한 법적 기밀유지 의무를 지며, 서비스 수행에 필요한 범위로 접근이 제한됨을 보장합니다.

제공자는 부속서 2에 명시된 기술적 및 조직적 조치를 구현하고 지속적으로 검토합니다. 기술 수준, 구현 비용, 처리의 성격, 범위, 맥락 및 목적을 고려하여, 이러한 조치는 위험에 상응하는 적절한 수준의 보안을 보장합니다.

6.1 고객은 제공자가 부속서 3에 명시된 하위 처리자를 고용하는 것에 대해 일반적인 서면 승인을 부여합니다.

6.2 제공자는 하위 처리자의 추가 또는 교체가 예정된 경우, 변경이 효력을 발생하기 최소 [30]일 전에 [CUSTOMER NOTIFICATION E-MAIL]로 이메일을 보내고 https://gpt.space/trust의 목록을 업데이트하여 고객에게 알립니다. 고객은 해당 기간 내에 합리적인 데이터 보호 사유로 이의를 제기할 수 있습니다. 당사자가 이의를 해결할 수 없는 경우, 고객은 페널티 없이 영향을 받는 서비스 부분을 종료할 수 있습니다.

6.3 제공자는 각 하위 처리자에게 계약을 통해 본 DPA에 명시된 것과 동일한 데이터 보호 의무를 부과합니다. 특히 적절한 기술적 및 조직적 조치를 구현할 충분한 보증을 제공해야 합니다. 하위 처리자가 의무를 이행하지 못하는 경우, 제공자는 해당 하위 처리자의 의무 이행에 대해 고객에게 전적으로 책임을 집니다.

처리의 성격을 고려하여, 제공자는 적절한 기술적 및 조직적 조치를 통해 고객이 GDPR 제3장에 따른 정보주체의 권리 행사 요청에 응답할 의무를 이행할 수 있도록, 가능한 범위 내에서 고객을 지원합니다. 제공자는 고객 데이터에 관한 정보주체의 직접 요청을 지체 없이 고객에게 전달하며, 고객의 지시가 있거나 법률에 의해 요구되는 경우를 제외하고는 이에 응답하지 않습니다.

제공자는 처리의 성격과 제공자가 이용 가능한 정보를 고려하여, 고객이 GDPR 제32조부터 제36조까지의 의무(보안, 침해 통지, 데이터 보호 영향 평가 및 사전 협의)를 준수하도록 지원합니다.

제공자는 고객 데이터에 영향을 미치는 개인정보 침해를 인지한 후 지체 없이, 그리고 어떤 경우에도 [48]시간 이내에 [CUSTOMER NOTIFICATION E-MAIL]로 이메일을 통해 고객에게 통지합니다. 통지에는 통지 시점에 알려진 범위 내에서 침해의 성격, 영향을 받는 정보주체 및 기록의 범주와 대략적인 수, 예상되는 결과, 취해졌거나 제안된 조치, 연락처가 포함됩니다. 아직 이용할 수 없는 정보는 추가 지체 없이 단계적으로 제공됩니다.

10.1 고객의 선택에 따라, 제공자는 서비스 제공 종료 후 모든 고객 데이터를 삭제하거나 반환하고 기존 사본을 삭제합니다. 단, 연합 또는 회원국 법률이 개인정보 저장을 요구하는 경우는 예외로 합니다.

10.2 10.1과 별도로, 고객 및 각 사용자는 언제든지 계정과 제공자가 보유한 데이터를 서비스에서 삭제할 수 있습니다. 삭제는 요청 후 24시간 이내에 수행됩니다. 청구서 및 결제 기록은 세법이 요구하는 기간 동안 보관됩니다.

11.1 제공자는 GDPR 제28조에 명시된 의무 준수를 입증하는 데 필요한 모든 정보를 고객에게 제공하고, 고객 또는 고객이 위임한 감사자가 수행하는 감사(조사 포함)를 허용하고 이에 기여합니다.

11.2 제공자는 먼저 ISO 27001 인증서 및 감사 보고서(https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), CASA Tier III 평가서 및 보안 질의서에 대한 서면 답변을 제공하여 감사 요청을 충족합니다. 현장 또는 원격 조사는 감독기관이 달리 요구하거나 개인정보 침해가 발생한 경우를 제외하고, 비즈니스 시간 중, 기밀유지 계약하에, 고객의 비용으로, 최대 [연 1회], [30]일의 서면 통지 후에 수행됩니다.

12.1 제공자는 미국에 설립되어 있으며, 서비스는 미국의 Google Cloud Platform에서 호스팅됩니다. EEA, 영국 또는 스위스의 정보주체에 대한 고객 데이터가 적합성 결정이 없는 국가로 이전되는 경우, 당사자는 유럽위원회가 Decision (EU) 2021/914에서 채택한 표준 계약 조항(해당되는 경우 모듈 2, 정보처리자에서 처리자로, 또는 모듈 3, 처리자에서 처리자로)에 의존합니다. 이 조항은 참조 편입되며, 영국 데이터와 관련된 경우 영국 국제 데이터 이전 부록과 함께 적용됩니다. 고객 데이터를 수신하는 제공자의 하위 처리자는 해당 프레임워크를 이용할 수 있는 경우 EU-US Data Privacy Framework에 참여합니다. 제공자 자신이 수행하는 모든 이전은 표준 계약 조항이 적용됩니다.

12.2 표준 계약 조항의 옵션에 대해: 조항 7(도킹)이 적용됩니다. 조항 9 옵션 2(일반 승인)와 제6.2조의 통지 기간이 적용됩니다. 조항 11 선택 언어는 적용되지 않습니다. 조항 13 및 조항 17: [MEMBER STATE, 예: 아일랜드]의 법률. 조항 18: [MEMBER STATE]의 법원. 표준 계약 조항의 부속서 I 및 부속서 II는 본 DPA의 부속서 1 및 부속서 2에 해당합니다.

13.1 각 당사자의 본 DPA에 따른 책임은 서비스 계약의 책임 제한 및 배제 사항을 따릅니다. 단, 적용되는 데이터 보호법에 따라 제한할 수 없는 경우는 예외로 합니다.

13.2 본 DPA는 효력 발생일에 발효하며, 제공자가 고객 데이터를 처리하는 동안 유효합니다. 본 DPA와 서비스 계약 간에 충돌이 있는 경우, 개인정보 처리에 관해서는 본 DPA가 우선합니다.

13.3 본 DPA는 서비스 계약을 규율하는 법률에 따라 규율됩니다. 단, 표준 계약 조항은 제12.2조에서 선택된 법률에 따라 규율됩니다.

고객 측	제공자 측
성명: [NAME]	성명: [NAME]
직책: [TITLE]	직책: [TITLE]
날짜: [DATE]	날짜: [DATE]
서명:	서명:

---

항목	설명
대상	GPT Workspace 서비스 제공: Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, Chrome 확장 프로그램 및 MCP 서버 내에서의 AI 지원.
기간	서비스 계약의 기간에 부속서 2의 보존 기간을 더한 기간.
성격 및 목적	사용자가 Google 계정에서 지정한 콘텐츠를 읽고, 사용자의 프롬프트와 함께 AI 모델 제공자에게 전송한 뒤, 답변을 사용자의 파일 또는 채팅에 다시 작성. 계정 관리, 결제 및 지원.
정보주체 범주	서비스를 사용하는 고객의 직원 및 계약자. 서비스를 통해 처리되는 고객의 문서, 스프레드시트, 이메일 및 파일에 데이터가 포함된 개인.
개인정보 유형	계정 데이터(이름, 이메일 주소, 프로필 사진, Google 계정 식별자). 결제 데이터(청구명, 주소, VAT 번호). 사용 메타데이터(요청 수, 날짜, 문서 제목). 사용자가 제출하는 프롬프트 및 Google 파일, 이메일, 첨부파일의 콘텐츠로, 고객이 해당 위치에 저장하는 모든 범주의 개인정보를 포함할 수 있음.
특수 범주	설계상 없음. 서비스는 특수 범주 데이터를 요구하지 않으며, 사용자가 제출할 내용은 고객이 결정합니다. [고객이 특수 범주가 예상되는지 표시: NONE / 설명]
빈도	사용자가 요청할 때마다 연속적으로 처리.
보존	부속서 2 “보존” 참조.

영역	조치
인증	ISO 27001 인증 정보 보안 관리 체계(감사 보고서 제공 가능). Google Workspace 통합을 위한 CASA Tier III(App Defense Alliance) 평가. Limited Use 요구사항을 포함한 Google API Services User Data Policy 준수.
호스팅	Google Cloud Platform(Firebase), 미국, 미국 동부 및 미국 서부 리전. 고객 데이터를 처리하는 구성 요소는 로드 밸런서와 웹 애플리케이션 방화벽 뒤의 제공자 사설 네트워크 내에서 실행됨.
암호화	전송 중인 모든 데이터에 TLS 1.2 이상. Firebase의 저장 데이터에 대한 AES-256 서버 측 암호화, GCP IAM을 통한 키 관리. Google 액세스 및 리프레시 토큰은 저장 시 암호화됨.
고객 파일 사본 없음	Google 파일, 이메일 및 스프레드시트는 사용자 고유의 OAuth 토큰으로 실시간 읽기되며 제공자의 스토리지에 복사되지 않음. 유일한 예외는 사용자가 파일 검색을 위해 첨부한 파일로, OpenAI 벡터 스토어에 업로드됨(부속서 3 참조). 검색 인덱스는 마지막 사용 후 1일 후에 삭제되고 사본은 7일 후에 삭제됨.
모델 제공자	요청에 대한 학습을 금지하는 API 약관에 따라 사용됨. 제공자는 고객 데이터로 모델을 학습하거나 미세 조정하지 않음.
접근 제어	개별 계정, 다중 인증 및 GCP IAM을 통한 최소 권한으로 운영 시스템에 대한 접근을 승인된 직원으로 제한. Firebase 보안 규칙에 의해 사용자별 데이터 격리 시행. 운영 접근 권한이 있는 모든 계정에 다중 인증 필수이며, 접근 권한은 매주 검토됨.
모니터링 및 테스트	GCP Security Command Center의 범위 내 모든 자산에 대한 지속적 취약점 스캔. 외부 연구자를 위한 취약점 공개 정책.
보존	계정 데이터, 채팅 스레드, 설정 및 사용 메타데이터: 사용자의 마지막 활동 후 18개월 또는 삭제 요청 후 24시간. 파일 검색을 위해 첨부된 파일: 검색 인덱스는 마지막 사용 후 1일 후 삭제, 업로드된 사본은 7일 후 삭제. 모델 게이트웨이 요청 로그: 30일, 지원 목적만. 프롬프트 및 답변: 실시간 처리, 제공자가 장기 저장하지 않음. 청구서: 세법이 요구하는 기간.
삭제	서비스 내 계정 및 관련 모든 데이터의 셀프 서비스 삭제. 요청 시 24시간 이내 삭제.
비즈니스 연속성	Google Cloud 기본 백업 및 다중 리전 가용성 도구. 7일마다 전체 백업.
직원	고용 및 계약자 동의서의 기밀유지 의무. 운영 접근 권한이 있는 직원에 대한 보안 인식 교육.

현재 목록은 https://gpt.space/trust에서 유지되며, 효력 발생일 기준으로 여기에 재현됩니다.

하위 처리자	목적	위치
Google Cloud Platform / Firebase (Google LLC)	호스팅, 데이터베이스, 스토리지, 인증, 시크릿	미국
OpenRouter, Inc.	모든 모델 요청을 아래 제공자로 라우팅하는 게이트웨이. 요청 로그는 지원 목적으로만 30일 보관, 학습에 사용되지 않음	미국
OpenAI	텍스트 및 이미지 모델. 파일 검색을 위한 벡터 스토어	미국
Anthropic	Claude 모델(Anthropic 자체 엔드포인트로 고정)	미국
Google (AI Studio)	Gemini 텍스트 및 이미지 모델	미국
Perplexity	웹 검색 모델	미국
OpenRouter 추론 호스트	오픈 웨이트 GLM-5.3-flash 및 gpt-oss-120b 모델용 추론 호스트	OpenRouter 경유
Typesafe	GPT_CLASSIFY 수식 뒤의 의사결정 모델	OpenRouter 경유
Google Programmable Search	생성된 슬라이드용 스톡 이미지 조회(쿼리만)	미국
Stripe	결제, 청구서, 결제 포털	미국 및 아일랜드, Stripe DPA에 따라 적용
PostHog (자체 호스팅 인스턴스)	제품 분석	유럽연합
Sentry	오류 모니터링	유럽연합(EU 데이터 리전)