데이터 처리 부속 문서 (DPA 요약)

① 이 문서에서 "위탁자"는 서비스를 이용하는 고객사(이용자)를, "수탁자"는 주식회사 바닐라엑스를 말합니다.

② 회사는 자신의 계정·조직 정보에 대해서는 개인정보처리자로서 개인정보처리방침을 적용하고, 고객사가 입력한 제3자 개인정보에 대해서는 수탁자로서 이 문서를 적용합니다.

③ 이 문서는 요약본입니다. 별도의 서면 위·수탁 계약이 필요한 고객사는 admin@vanillax.co 로 요청하면 표준 계약서를 제공합니다. 서면 계약이 체결되면 그 계약이 이 문서보다 우선합니다.

① 수탁자는 위탁자의 문서화된 지시(이 문서, 이용약관, 서비스 화면과 API 를 통한 요청)에 따라서만 개인정보를 처리합니다.

② 수탁자는 위탁 목적을 넘어 개인정보를 이용하거나 제3자에게 제공하지 않습니다. 특히 인공지능 모델의 학습·미세조정·평가에 사용하지 않습니다.

③ 수탁자는 개인정보를 처리하는 임직원을 최소한으로 지정하고 비밀유지 의무를 부과합니다.

④ 수탁자는 위탁자의 지시가 법령에 위반된다고 판단하면 지체 없이 그 사실을 알리고 해당 지시의 이행을 중단할 수 있습니다.

⑤ 위탁자는 개인정보 수집의 적법한 근거를 확보할 책임을 지며, 정보주체의 권리 행사 요구를 1차적으로 처리합니다. 수탁자는 위탁자가 요구하면 합리적인 범위에서 협력합니다.

수탁자는 다음 조치를 유지합니다.

① 수탁자는 서비스 제공에 필요한 범위에서 다음 재수탁자를 이용하며, 위탁자는 이 문서에 동의함으로써 이를 승인합니다.

② 수탁자는 재수탁자에게 이 문서와 같은 수준의 의무를 부과하고, 재수탁자의 처리 행위에 대해 위탁자에게 직접 책임을 집니다.

③ 재수탁자를 추가하거나 변경할 때에는 시행 30일 전에 이 문서를 갱신하고 조직 소유자·관리자에게 이메일로 알립니다. 위탁자는 고지일로부터 14일 이내에 합리적인 사유를 들어 이의를 제기할 수 있고, 협의가 이루어지지 않으면 위약금 없이 계약을 해지할 수 있습니다.

① 재수탁자 중 Vercel, Google, OpenAI, Brave 는 미국에서 처리하며, Supabase 는 대한민국 서울 리전에 저장하되 미국에서 운영 지원 접근이 가능합니다. 상세 내역은 개인정보처리방침 제7조의 국외 이전 표와 같습니다.

② 위탁자는 자신의 개인정보처리방침에 이 국외 이전 사실을 반영하고, 필요한 경우 정보주체에게 알리거나 동의를 받을 책임을 집니다.

① 수탁자는 개인정보 유출이나 그 우려가 있는 사고를 인지하면 지체 없이, 늦어도 인지 후 24시간 이내에 위탁자에게 알립니다.

② 통지에는 확인된 범위에서 다음을 포함합니다: 유출된 항목과 규모, 발생 시점과 경위, 확인된 피해, 수탁자가 취한 조치, 위탁자가 취할 수 있는 조치, 담당 연락처.

③ 수탁자는 위탁자가 「개인정보 보호법」 제34조에 따른 통지·신고 의무를 이행할 수 있도록 필요한 자료를 제공하고 협력합니다.

① 위탁자는 연 1회에 한해 수탁자에게 개인정보 보호조치의 이행 여부에 관한 자료를 요청할 수 있고, 수탁자는 30일 이내에 서면으로 제공합니다.

② 법령에 따른 감독기관의 조사나 중대한 사고가 발생한 경우에는 횟수 제한 없이 협력합니다.

③ 현장 실사는 사전에 범위·일정·비용 분담을 협의하고, 다른 고객사의 정보가 노출되지 않는 범위에서 수행합니다.

① 위탁자는 서비스 화면이나 API 에서 개별 검수를 삭제해 관련 업로드물과 결과를 즉시 파기할 수 있습니다.

② 계약이 종료되면 수탁자는 위탁자의 선택에 따라 개인정보를 반환하거나 파기합니다. 반환을 요청하지 않으면 종료일로부터 30일 이내에 파기합니다.

③ 반환은 산출물 다운로드(리포트·이미지·JSON) 형태로 제공하며, 요청은 계약 종료일로부터 30일 이내에 해야 합니다.

④ 파기 후 백업 매체에 남은 사본은 백업 보존 주기(최대 30일)가 지나면 소멸합니다. 법령에 따라 보존해야 하는 항목은 그 기간 동안 접근을 제한해 보관합니다.

⑤ 위탁자가 요청하면 파기 완료 사실을 서면으로 확인해 줍니다.

① 수탁자가 이 문서를 위반해 정보주체에게 손해가 발생한 경우, 수탁자는 위탁자의 소속 직원으로 보아 「개인정보 보호법」 제26조 제6항에 따른 책임을 집니다.

② 위탁자와 수탁자 사이의 배상 한도는 이용약관 제17조를 따릅니다. 다만 수탁자의 고의 또는 중대한 과실로 인한 개인정보 유출에는 그 한도를 적용하지 않습니다.

③ 위탁자가 적법한 수집 근거 없이 개인정보를 입력해 발생한 손해에 대해서는 위탁자가 책임을 집니다.

이 문서는 2026.09.03 부터 시행합니다. 표준 위·수탁 계약서가 필요하면 admin@vanillax.co 로 요청해 주십시오.