sendwich 개인정보 처리위탁 부속약정

검토용 초안 · 작성 기준일: 2026년 9월 14일 · 버전: 0.2.0-draft

고객사 인증업무에 적용하는 계약안입니다. 실제 재수탁자, 국외 이전 및 보유기간을 확정하고 고객사의 유효한 계약 동의를 받아야 합니다. 문서를 게시하는 것만으로 위탁계약이나 재위탁 동의가 체결되지는 않습니다.

시행일: 2026년 9월 15일

이 약정은 sendwich 서비스 이용계약을 체결한 고객(이하 “위탁자”)과 위어드호스트(이하 “수탁자”) 사이에 적용하며, 위탁자의 최종 이용자에 대한 전화번호 점유확인 업무를 정합니다. 서비스 이용약관의 일부를 구성하되, 개인정보 처리에 관하여 이 약정이 구체적으로 정한 사항은 그에 따릅니다. 강행법규와 정보주체의 법정 권리는 제한하지 않습니다.

제1조 당사자와 처리 대상

1. 위탁자는 자신의 서비스에서 개인정보를 처리할 목적과 근거를 결정합니다. 수탁자는 위탁자의 적법하고 문서화된 지시에 따라 점유확인 업무를 수행합니다.
2. 정보주체는 위탁자의 서비스를 이용하면서 전화번호 확인 절차를 진행하는 사람입니다. 이 약정은 수탁자 자체 개발자 회원의 계정·요금·환불 관리 업무에 대한 위탁계약은 아닙니다.
3. 계약 체결 시 위탁자의 법적 명칭, 서비스명, 담당 연락처, 적용 프로젝트 및 약정 버전을 특정합니다. 수탁자가 별도 목적의 독립적인 처리를 하려면 그 처리에 맞는 법적 근거와 안내 등을 별도로 갖추어야 합니다.

제2조 위탁업무의 목적과 범위

위탁업무는 인증 요청 접수, 일회용 인증값 생성·관리, 문자 수신정보의 대조, 상태 및 결과 생성, 위탁자에게 결과 전달, 이에 필요한 오류·중복·부정 요청 대응과 기록 관리 및 삭제입니다.

사전에 전화번호를 지정하는 방식에서는 발신번호가 그 번호와 일치하는지 확인합니다. 번호를 지정하지 않는 방식에서는 실제 인증 문자의 발신번호를 확인 결과로 반환합니다. 결과에는 전체 확인번호, 확인 가능한 통신망 정보, 상태·시각 및 위탁자의 연동 식별값이 포함됩니다.

점유확인은 실명, 회선 명의, 연령, CI·DI 또는 법정대리인 자격의 확인 업무를 포함하지 않습니다.

제3조 처리 항목과 기간

위탁자는 연동 식별값·상태값·주소·문자에 주민등록번호, 비밀번호, 금융 인증정보 등 불필요한 정보를 포함하지 않습니다. 수탁자는 위탁업무의 목적을 벗어나 개인정보를 처리하지 않으며, 다른 고객사의 정보와 결합하여 광고·판매·별도 이용자 프로파일링을 하지 않습니다.

제4조 위탁자의 의무

1. 위탁자는 개인정보 보호법 제15조 등 해당 처리에 적용되는 적법한 근거를 확보하고, 필요한 경우 수집 전에 정보주체의 유효한 동의를 받습니다.
2. 위탁업무와 수탁자·재수탁자를 법령이 정한 방법으로 공개하고, 실제 정보 흐름 및 보유기간에 맞는 인증 안내를 제공합니다.
3. 만 14세 미만 아동의 처리에 동의가 필요하면 법정대리인 동의와 확인 절차를 갖춥니다. 이 서비스의 결과만으로 연령·실명 또는 법정대리인 관계가 확인되었다고 표시하지 않습니다.
4. 수탁자에게 필요한 최소 정보만 전달하고, 접근키와 인증 URL을 보호하며, 반환받은 결과는 자신의 적법한 목적과 보유기간에 따라 관리합니다.
5. 위탁자의 결과 수신 서버가 국외에 있는 경우 이를 사전에 알리고, 국외 이전에 필요한 법적 근거와 고지·동의 등 절차를 수탁자와 확인합니다.

제5조 수탁자의 의무와 안전조치

1. 수탁자는 법령, 이 약정 및 위탁자의 적법한 지시에 따라 처리합니다. 지시가 법령을 위반한다고 판단하면 지체 없이 알리고 문제가 해결될 때까지 해당 처리를 중단하거나 적법한 대안을 협의합니다.
2. 개인정보에 접근할 인원을 업무상 필요한 범위로 제한하고, 권한 부여·변경·회수, 비밀유지 의무 및 교육을 관리합니다.
3. 전송구간 보호, 인증정보 보호, 접근 통제, 접속기록의 생성·보존·점검, 안전한 백업·복구, 파기 및 사고 대응 등 법정 안전조치를 실시합니다. 필요한 경우 적용 범위와 이행자료를 위탁자에게 제공합니다.
4. 개인정보를 별도의 광고·분석 사업에 이용하거나 위탁자의 지시 또는 법률상 근거 없이 독립된 제3자에게 제공하지 않습니다.
5. 적법한 정보주체 요청 및 감독기관의 조사에 협조하며, 수탁자에게 직접 적용되는 법정 의무도 이행합니다.

제6조 재위탁

1. 수탁자는 위탁업무를 제3자에게 다시 위탁하기 전에 위탁자의 동의를 받습니다. 동의 대상은 실제 사업자의 명칭, 업무, 개인정보 항목, 처리 국가와 기간을 확인할 수 있도록 특정합니다.
2. 최초 계약에서 동의할 재수탁자는 아래 표를 완성하여 첨부합니다. 개인정보 처리방침의 전체 공급업체 목록이 자동으로 모든 고객사 인증업무의 재위탁 대상이 되는 것은 아닙니다.

이메일 발송·수신 업무는 고객사 인증업무의 재위탁 대상이 아닙니다. 회사 자체 계정·결제 업무의 수탁자는 개인정보 처리방침 제6절에 따릅니다.

3. 재수탁자 추가·교체 또는 처리 범위의 중요한 변경에는 사전 안내와 필요한 동의 절차를 적용합니다. 목록을 고쳐 게시하거나 위탁자가 답하지 않았다는 사실만으로 동의를 받았다고 보지 않습니다.
4. 수탁자는 재수탁자에게 이 약정과 법령에 상응하는 의무를 부과하고 이행을 감독합니다. 재수탁자가 존재한다는 이유로 수탁자의 책임을 면제하지 않습니다.
5. 통신 연동사업자가 독립적인 법정 목적에 따라 처리하는 부분은 재위탁과 구분하여 실제 계약과 법령에 따라 정리합니다. 수탁자 자신의 회계·결제 업무만 수행하는 사업자는 고객사 인증업무의 재수탁자로 일괄 포함하지 않습니다.

제7조 국외 이전

국외 보관, 국외 접근 또는 국외 결과 반환을 포함한 이전은 실제 흐름에 따라 개인정보 보호법 제28조의8 등의 요건을 갖춘 후 실시합니다. 위탁자와 수탁자는 이전받는 자와 연락처, 국가, 항목, 목적, 시기·방법, 기간, 근거 및 거부 방법·영향을 문서화하고 정보주체에게 필요한 안내를 합니다. 위탁자의 계약 동의가 정보주체의 별도 국외 이전 동의를 자동으로 대신하지 않습니다.

제8조 관리·감독 및 교육

1. 위탁자는 처리 현황, 접근권한, 접속기록, 재위탁, 보유기간, 파기 및 사고 대응에 관한 자료를 요청하고 필요한 교육·점검을 할 수 있습니다.
2. 수탁자는 점검에 필요한 자료와 설명을 제공하고 확인된 미비점을 시정합니다. 다른 고객의 개인정보와 보안상 비밀은 가리거나 안전한 열람 방식으로 제공하되, 이를 이유로 실질적인 감독을 전부 거절하지 않습니다.
3. 통상적인 현장 점검은 사전에 일정을 협의하며, 개인정보 침해나 감독기관의 요구 등 긴급한 경우에는 필요한 조치를 우선합니다.

제9조 사고 통지와 협조

수탁자는 위탁정보의 유출·분실·도난 등 사고를 알게 되면 지체 없이 위탁자에게 알립니다. 최초 통지에는 당시 확인 가능한 사고 내용, 영향받은 정보, 조치 상황 및 연락처를 포함하고 미확정 내용은 추가 확인 후 보완합니다. 사고 확정이나 전체 조사 완료를 기다리느라 필요한 통지를 지연하지 않습니다.

각 당사자는 자신에게 적용되는 정보주체 통지·기관 신고 등 법정 의무와 기한을 이행합니다. 수탁자는 피해 방지, 조사, 복구 및 재발 방지에 협조하고 위탁자의 의무 이행에 필요한 정보를 제공합니다.

제10조 정보주체의 권리행사

위탁자는 자신의 서비스 이용자의 권리행사 창구를 제공합니다. 수탁자는 열람·정정·삭제·처리정지·동의 철회 등에 필요한 조회와 조치를 지원합니다. 직접 요청을 받은 경우에도 자신의 의무 범위에서 대응하고 필요한 경우 위탁자에게 연결합니다. 요청자의 신원 확인에 필요한 최소한의 정보만 처리합니다.

제11조 반환과 파기

1. 위탁기간이 끝나거나 처리 목적이 달성되면 수탁자는 불필요해진 개인정보를 지체 없이 파기합니다. 적법한 반환 요청이 있으면 접근권한을 확인하여 안전하게 반환하고, 반환만을 이유로 불필요한 사본을 계속 보유하지 않습니다.
2. 파기 범위에는 인증 DB, 문자 수신 원본 DB, 이벤트·웹훅 사본, 지원자료 및 재수탁자 사본 등 실제 저장 위치가 포함됩니다. 백업은 확정된 최대 기간과 파기 절차에 따라 관리하고 복원 시 삭제 대상이 재사용되지 않도록 합니다.
3. 다른 법령상 보존의무가 있으면 해당 항목과 근거·기간을 특정하여 분리 관리합니다. 단순한 편의나 통신업체와의 계약 조항만으로 개인정보 보호법상 근거 없는 장기 보유를 정당화하지 않습니다.
4. 수탁자는 위탁자의 요청에 따라 반환·파기의 범위, 완료 여부 및 적법하게 남긴 항목을 확인할 수 있는 자료를 제공합니다.

제12조 책임과 계약의 종료

당사자는 자신의 의무 위반 및 귀책사유에 따른 책임을 부담합니다. 개인정보 보호법 제26조제7항 등 정보주체에 대한 법정 책임 관계는 그대로 적용하며, 당사자 사이의 구상은 관계 법령에 따릅니다.

중대한 위반이 시정되지 않거나 적법한 처리를 계속할 수 없으면 당사자는 해당 위탁업무를 중단·종료할 수 있습니다. 개인정보 보호, 비밀유지, 반환·파기 및 이미 발생한 책임에 관한 의무는 그 성질상 필요한 기간 동안 유효합니다.

계약에 연결할 정보