데이터 처리 계약

1. 당사자

본 데이터 처리 계약("DPA")은 고객("데이터 컨트롤러")과 아일랜드에 등록된 YARDtwin Ltd("데이터 처리자") 간에 체결되며, 양측을 총칭하여 "당사자"라 합니다. 본 DPA는 YARDtwin의 일부를 구성하며 그에 따릅니다 서비스 이용약관.

2. 범위 및 목적

처리자는 YARDtwin 야드 관리 플랫폼 제공이라는 단일 목적을 위해 컨트롤러를 대신하여 개인 데이터를 처리합니다: 도크 일정 관리, 게이트 운영, 디지털 트윈 야드 시각화, 운송사 및 운전자 관리, GMP 준수 감사 추적, 분석 및 통합. 처리는 컨트롤러의 구독 기간 및 제11조에서 요구하는 보존 기간 동안 수행됩니다.

3. 정보 주체 범주

• 플랫폼의 지정 사용자인 컨트롤러의 임직원 및 관리자
• 컨트롤러의 게이트에서 체크인한 운전자 및 물류 담당자
• 운송사 담당자 및 배차 연락처
• 게이트 보안 및 창고 운영 담당자

4. 개인 데이터 유형

• 신원 데이터: 성명, 이메일 주소, 전화번호, 직책/직위, 회사명 및 주소
• 인증 데이터: bcrypt 해시 비밀번호(12라운드), JWT 액세스 및 갱신 토큰, 세션 타임스탬프, IP 주소, SSO 식별자(Google, Microsoft)
• 운영 데이터: 예약, 도크 배정, 트레일러 이동, 검사 기록, 문서, 작업 할당, 차량 등록 정보
• 운전자 데이터: 면허 번호, 면허 이미지, 생체 인식 게이트 인증을 위한 선택적 안면 이미지(특수 범주 데이터, GDPR 제9조 — 컨트롤러가 게이트에서 생체 인식 인증을 활성화하고 수집 시점에 명시적 동의를 확보한 경우에만 처리)
• 감사 데이터: 사용자 행위, 타임스탬프, IP 주소, 사용자 에이전트 문자열, 이전/이후 값 비교, GMP 플래그 기록

5. 처리자의 의무

• 컨트롤러의 문서화된 지시(플랫폼 UI 및 API가 문서화된 지시에 해당)에 따라서만 개인정보를 처리
• 개인정보 처리 권한이 부여된 자가 비밀유지 계약에 구속되도록 보장
• 적절한 기술적·조직적 보안 조치 이행(32조) — 아래 섹션 7 참조
• 사전 서면 승인 없이 하위 처리자를 사용하지 않음; 새로운 하위 처리자에 대해 30일 전 사전 통지(이의 제기 권리)
• 섹션 9에 기재된 DSAR 엔드포인트를 통해 정보주체 요청(15~22조) 처리를 컨트롤러에게 지원
• 개인정보 침해 발생 시 부당한 지체 없이, 72시간 이내에 컨트롤러에게 통지(섹션 8)
• 서비스 종료 시 모든 개인정보를 삭제 또는 반환(섹션 11)
• 법규 준수 입증 및 감사 지원에 필요한 모든 정보 제공(섹션 12)

6. 하위 처리자

처리자는 현재 다음의 하위 처리자를 활용하고 있으며, 각 하위 처리자는 개인정보 처리 계약 및 (해당하는 경우) 2021년 표준 계약 조항에 따라 운영됩니다:

새로운 하위 처리자가 추가되기 최소 30일 전에 고객에게 통지하며, 고객은 이의를 제기하거나 위약금 없이 계약을 해지할 권리를 갖습니다.

7. 보안 조치(32조)

• 전송 중 암호화: 모든 엔드포인트에 TLS 1.2+ 적용; 인증서는 Microsoft Azure(DigiCert)가 관리
• 저장 중 암호화: Azure Postgres Flexible Server 투명한 데이터 암호화; Azure Blob Storage 암호화
• 필드 수준 암호화: 생체 데이터(운전면허증 이미지, 서명 이미지)에 AES-256-GCM 적용, 키는 Azure Key Vault에 보관
• 비밀번호 해싱: bcrypt, 12라운드
• 인증: JWT 액세스 토큰(1시간 만료) + 리프레시 토큰(7일 만료, 사용 시 갱신); Google 및 Microsoft SSO를 통한 MFA 동등 인증
• 테넌트 격리: 모든 API 경로에 적용, 매 릴리스마다 25개 벡터 크로스 테넌트 감사를 통한 회귀 테스트 수행
• 역할 기반 접근 제어: 6가지 역할(admin, ops_manager, gate_guard, warehouse_operator, carrier, super_admin), 최소 권한 미들웨어
• 웹 애플리케이션 방화벽: Azure Front Door + 관리형 WAF(OWASP Core Rule Set, 봇 차단, L7 DDoS 방어)
• 요청 속도 제한: 경로별 제한 적용, 인증 엔드포인트에는 더 엄격한 제한; 인메모리 + 영구 시도 추적
• 감사 추적: 애플리케이션 계층에서 추가 전용(append-only), 6년 보존, GMP 관련 항목 별도 플래그 처리, Art. 17 삭제 요청 시 Art. 17(3)(b)에 따라 삭제 대신 가명 처리
• 지속적 모니터링: Azure Application Insights, 스키마 변경 감지 알림(15분 단위), 엔드투엔드 /health/db-write 프로브, 침해 모니터 이상 탐지 워커(로그인 실패 급증, 다중 IP 공격, 국가 변경 로그인, 5xx 오류율)
• 소프트웨어 공급망: 모든 PR에 npm audit, Trivy, Semgrep, gitleaks, OWASP ZAP 적용. 시크릿 관리: App Service 관리형 ID를 통해 Azure Key Vault에 접근하며, 코드·환경 파일·컨테이너 이미지에 시크릿 미포함

8. 개인정보 침해 통지

처리자는 컨트롤러의 데이터에 영향을 미치는 개인정보 침해를 인지한 후 지체 없이, 늦어도 72시간 이내에 컨트롤러에게 통지해야 합니다(Art. 33). 통지에는 침해의 성격, 영향을 받은 정보 주체의 범주 및 대략적 수, 예상 결과, 취해졌거나 제안된 조치, 침해 등록부 참조번호가 포함되어야 합니다. 탐지된 이상 징후는 Azure Monitor Action Group으로 전달됩니다 yardtwin-breach-actions. 확인된 사고는 72시간 DPC 카운트다운과 함께 침해 등록부 테이블에서 추적됩니다.

9. 정보 주체 권리

처리자는 Art. 12(3)의 30일 기한 내에 정보 주체 권리를 이행할 수 있도록 컨트롤러에게 다음 엔드포인트를 제공합니다:

• POST /api/v1/dsar/export/by-email — Art. 15(열람) 및 Art. 20(이동성)을 포함한 기계가독형 내보내기
• POST /api/v1/dsar/erase/by-email — 모든 개인식별정보(PII) 테이블에 대한 가명 처리, Art. 17(3)(b)에 따른 감사 로그 보존 유지
• 셀프서비스 요청 포털: /data-request

10. 국제 이전

운영 데이터는 유럽경제지역(EEA) 내에 저장됩니다(Microsoft Azure, 스웨덴 중부 + 노르웨이 동부). Resend, Anthropic 등 EEA 외부 하위 처리자에 대한 후속 이전은 이전 영향 평가 문서를 수반한 2021년 표준계약조항(SCC)에 따라 관리됩니다. Stripe는 Stripe Ireland(EEA 주체)를 통해 계약합니다.

11. 기간, 종료 및 데이터 반환

본 DPA는 서비스 계약 기간 동안 유효합니다. 계약 종료 시:

• 컨트롤러는 종료 후 30일 이내에 제품 내 내보내기 기능 또는 요청을 통해 모든 데이터를 내보낼 수 있습니다
• 30일 경과 후, 처리자는 컨트롤러의 운영 개인정보를 모두 삭제합니다
• 감사 로그는 21 CFR Part 11 / EU GMP Annex 11에 따라 이벤트 발생 후 6년간 가명 처리된 상태로 보존됩니다(Art. 17(3)(b) 법적 의무 우선 적용)
• 백업은 운영 데이터 삭제 후 7일 이내에 포인트인타임 복구 기간에 맞춰 삭제됩니다

12. 감사 권리

처리자는 컨트롤러가 Art. 28 GDPR 준수를 입증하는 데 필요한 모든 정보를 제공해야 합니다. 고객은 다음을 요청할 수 있습니다: 관련 보안 인증서 및 감사 보고서 사본(해당되는 경우), 최신 하위 처리자 목록, 최신 테넌트 격리 회귀 테스트 보고서, 최신 외부 펜 테스트 요약본(발행 시, GDPR Policy 11.1 참조), 벤더 보안 설문지 답변. 컨트롤러 또는 기밀 유지 의무가 있는 독립적인 제3자가 수행하는 합리적인 현장 또는 원격 감사는 최소 30일 전 통보 후 진행할 수 있습니다. 처리자는 해당 인증 취득 후 ISO 27001 / SOC 2 Type II 보고서를 대체 증빙으로 우선 제공합니다.

13. 책임 및 준거법

본 DPA에 따른 책임은 YARDtwin 서비스 이용약관에 명시된 제한 사항에 따릅니다. 본 DPA는 아일랜드 법률 및 EU 일반 데이터 보호 규정(GDPR)의 적용을 받습니다. 분쟁 발생 시 아일랜드 법원의 전속 관할권에 따릅니다.

14. 연락처

본 DPA에 관한 문의, 상호 서명된 사본 요청 또는 위에 명시된 권리 행사를 위해서는 admin@yardtwin.com 또는 개인정보 보호 책임자(DPO)에게 문의하십시오: dpo@yardtwin.com. 외부 파트타임 DPO 계약이 진행 중입니다(GDPR Policy 11.2). 임명 전까지 dpo@yardtwin.com으로 발송된 메일은 admin@yardtwin.com으로 전달됩니다.