CS 통합관리 개인정보 처리 위탁계약

본 계약은 똑핏(이하 "회사")가 제공하는 CS 통합관리 기능을 이용하는 판매자(이하 "판매자")와 회사 사이에 적용되며, 「개인정보 보호법」 제26조 제1항 및 같은 법 시행령 제28조 제1항이 정한 사항을 포함합니다.

당사자의 지위 — CS 통합관리에서 처리되는 개인정보의 정보주체는 판매자의 고객입니다. 따라서 판매자가 개인정보처리자(위탁자)이고, 회사는 수탁자입니다. 회사는 판매자의 지시 범위에서만 해당 개인정보를 처리합니다.

판매자는 「개인정보 보호법 시행령」 제28조 제2항에 따라 위탁하는 업무의 내용과 수탁자(회사)를 판매자의 인터넷 홈페이지 등에 지속적으로 게재할 의무가 있습니다. 게재에 사용할 수 있는 문구는 제9조에 제공합니다.

제1조 (위탁업무의 목적 및 범위)

판매자는 아래 업무의 처리를 회사에 위탁하고, 회사는 그 범위에서만 개인정보를 처리합니다.

1. 판매자가 등록한 외부 판매 플랫폼 계정으로 접속하여 고객 문의 및 취소·반품·교환·환불 요청을 조회하고 통합 목록으로 제공하는 업무
2. 고객 문의에 대한 답변 초안을 인공지능으로 생성하여 판매자에게 제공하는 업무
3. 판매자가 작성한 답변을 판매자의 지시에 따라 해당 플랫폼에 발송하는 업무
4. 판매자가 명시적으로 저장을 지시한 문의·답변 쌍을 답변 품질 향상을 위한 예시로 보관하는 업무

위 각 호에 해당하지 않는 목적으로는 개인정보를 처리하지 않습니다.

제2조 (위탁업무 수행 목적 외 처리 금지)

1. 회사는 제1조의 위탁업무 수행 목적을 초과하여 개인정보를 이용하거나 제3자에게 제공하지 않습니다(「개인정보 보호법」 제26조 제5항).
2. 회사는 위탁받은 개인정보를 회사 자체의 인공지능 모델 학습에 사용하지 않습니다. 제1조 제4호의 예시 보관은 해당 판매자 본인의 답변 생성에만 사용되며, 다른 판매자에게 노출되거나 공용 모델에 반영되지 않습니다.
3. 회사는 위탁받은 개인정보를 통계 작성, 마케팅, 상품 추천 등 제1조 외의 목적으로 이용하지 않습니다.

제3조 (처리하는 개인정보의 항목)

회사가 위탁업무 수행 과정에서 처리하는 항목은 다음과 같습니다.

CS 통합 목록과 문의 상세는 요청 시점에 각 플랫폼에서 실시간으로 조회하여 화면에 표시할 뿐, 회사의 데이터베이스에 적재하지 않습니다.

제4조 (재위탁 제한 및 동의)

1. 회사는 위탁받은 개인정보의 처리 업무를 제3자에게 다시 위탁하려는 경우 판매자의 동의를 받습니다(「개인정보 보호법」 제26조 제6항).
2. 판매자는 본 계약에 동의함으로써 아래 재위탁에 동의합니다.

   재수탁자	재위탁 업무	이전되는 항목	국가
   Google LLC	고객 문의에 대한 답변 초안 생성 (AI 텍스트 생성 API)	문의 본문, 휴대전화번호 뒤 4자리. 고객 성명·이메일·주소는 전송하지 않습니다.	미국
   Supabase Inc.	데이터베이스·인증 호스팅 (제1조 제4호 예시 및 암호화된 계정정보 보관)	제3조 중 보관 대상 항목	미국
   Vercel Inc.	애플리케이션 호스팅	처리 과정의 일시적 경유	미국 (처리 리전: 서울)

3. 이전 시기 및 방법: 판매자가 해당 기능을 실행하는 시점에 정보통신망을 통해 암호화하여 전송합니다.
4. 회사는 재수탁자를 추가하거나 변경하려는 경우 사전에 판매자에게 알리고 동의를 받습니다.
5. 회사는 재수탁자가 본 계약과 동등한 수준의 보호조치를 준수하도록 합니다.

제5조 (기술적·관리적 보호조치 및 접근 제한)

1. 전송 구간 암호화 — 모든 외부 플랫폼 접속 및 재수탁자 전송은 TLS 로 암호화합니다.
2. 계정정보 암호화 — 판매자의 외부 플랫폼 계정정보와 세션 토큰은 AES-256-GCM 으로 암호화하여 저장하며, 위탁업무 수행 시점에만 복호화합니다.
3. 접근 제한 — 데이터베이스에 행 수준 보안(RLS)을 적용하여 판매자 본인의 데이터에만 접근할 수 있도록 통제합니다. 회사 임직원의 접근은 장애 대응 등 필요 최소한으로 제한합니다.
4. 인공지능 전송 항목 최소화 — 답변 초안 생성 시 고객 성명·이메일·주소는 서버 단계에서 제거하고, 휴대전화번호는 뒤 4자리만 전송합니다. 이 통제는 자동화 테스트로 고정되어 있어 코드 변경으로 우회되지 않습니다.
5. 인증 우회 금지 — 회사는 외부 플랫폼의 보안 조치를 우회하지 않습니다. 2단계 인증이 요구되면 판매자가 직접 인증번호를 입력하며, 자동 인증 시도나 문자 인식 우회를 수행하지 않습니다.
6. 접속 기록 — 개인정보 처리 시스템에 대한 접속 기록을 보관하고 정기적으로 점검합니다.

제6조 (보유 기간 및 파기)

1. 제3조에서 "보관하지 않음"으로 표시된 항목은 요청 처리 후 회사의 저장소에 남지 않습니다.
2. 제1조 제4호에 따라 저장된 문의·답변 예시는 판매자 프로필당 최대 5건까지만 유지되며, 한도를 초과하면 가장 오래된 건이 자동 삭제됩니다.
3. 판매자가 계정 연동을 해제하면 저장된 계정정보는 즉시 파기됩니다.
4. 판매자가 회원 탈퇴하면 제1조 제4호의 예시를 포함한 관련 데이터가 연쇄 삭제됩니다.
5. 위탁계약이 종료되면 회사는 보유 중인 개인정보를 지체 없이 파기하거나 판매자에게 반환합니다.

제7조 (정보주체 권리 보장에 대한 협조)

1. 고객이 열람·정정·삭제·처리정지를 요구하는 경우, 그 대응 주체는 개인정보처리자인 판매자입니다.
2. 회사는 판매자가 그 요구에 대응하는 데 필요한 범위에서 지체 없이 협조합니다. 판매자는 고객지원 채널을 통해 특정 고객 관련 데이터의 삭제를 요청할 수 있으며, 회사는 요청을 확인한 후 처리하고 그 결과를 회신합니다.
3. 회사가 고객으로부터 직접 권리 행사 요구를 받은 경우, 회사는 이를 판매자에게 전달하고 판매자의 지시에 따라 처리합니다.

제8조 (감독, 유출 통지 및 손해배상 책임)

1. 판매자는 회사가 개인정보를 안전하게 처리하는지 감독할 수 있으며, 필요한 경우 처리 현황에 대한 자료를 요청할 수 있습니다. 회사는 합리적 범위에서 이에 응합니다.
2. 회사는 개인정보의 분실·도난·유출·위조·변조·훼손을 인지한 경우 지체 없이 판매자에게 통지하고, 피해 확산 방지에 필요한 조치를 취합니다.
3. 회사가 본 계약 또는 「개인정보 보호법」을 위반하여 정보주체에게 손해를 발생시킨 경우, 그 손해배상책임에 관하여는 같은 법 제26조 제7항에 따라 회사를 판매자의 소속 직원으로 봅니다. 회사는 판매자가 정보주체에게 배상한 손해 중 회사의 귀책사유로 인한 부분에 대하여 판매자에게 구상 책임을 부담합니다.
4. 판매자가 위탁 범위를 벗어난 지시를 하거나 적법한 처리 근거 없이 개인정보를 제공하여 발생한 손해에 대해서는 판매자가 책임을 부담합니다.

제9조 (판매자의 공개 의무 및 게재 문구)

판매자는 아래 내용을 판매자의 개인정보처리방침 등에 지속적으로 게재하시기 바랍니다.

수탁자 연락처: support@ddokfit.com / 경기도 남양주시 화도읍 비룡로55번길 17, 2층 201호. 전체 사업자 정보는 사이트 하단 또는 이용약관의 사업자 정보란을 참조하시기 바랍니다.

제10조 (계약의 효력 및 변경)

1. 본 계약은 판매자가 CS 통합관리 기능을 위한 계정 연동 시 동의한 시점부터 효력이 발생하며, 동의 사실과 버전은 회사가 기록·보관합니다.
2. 본 계약에서 정하지 않은 사항은 이용약관 및 개인정보처리방침을 따릅니다. 다만 개인정보 처리 위탁에 관하여 본 계약과 다른 내용이 있는 경우 본 계약이 우선합니다.
3. 회사가 본 계약을 변경하는 경우 시행일 7일 전까지 공지하며, 판매자에게 불리한 변경은 시행일 30일 전까지 공지하고 별도 동의를 받습니다.