1. 목적·역할과 적용범위
이 DPA는 고객 데이터에 포함된 개인정보를 HÉDÉONIX가 고객의 지시에 따라 처리하는 범위에 적용됩니다. 해당 범위에서 고객은 개인정보 처리 목적과 수단을 결정하는 개인정보처리자이고, HÉDÉONIX는 고객으로부터 개인정보 처리업무를 위탁받은 수탁자입니다. HÉDÉONIX가 계정 보안, 직접 문의, 계약·결제와 법적 의무를 위해 처리 목적과 수단을 직접 결정하는 개인정보에는 이 DPA가 아니라 개인정보처리방침이 적용됩니다.
2. 고객 제공 개인정보
고객 제공 개인정보는 제품운영 자료 안에서 고객 임직원, 연구자와 외부 업무관계자를 식별하거나 그 사람의 역할·할당·작성·검토·승인행위와 연결되는 정보를 말합니다. 고객 데이터 가운데 개인과 관련되지 않는 제품·규제·품질 정보에는 고객 데이터 처리조건이 적용되며, 개인정보가 포함되는 부분에는 본 DPA가 함께 적용됩니다.
3. 처리내역과 제한
- 처리목적: 고객 조직의 제품운영·협업·규제·품질 문서화
- 정보주체: 고객 임직원·연구자·외부 업무관계자
- 항목: 업무용 식별·연락·조직·역할·할당·작성·검토·승인·댓글 기록
- 기간: 계약기간과 합의된 반출·삭제기간
- 제외범위: 별도 서면승인 없는 환자·임상대상자의 식별정보·건강정보·임상 원자료
4. 지시와 고객의 책임
HÉDÉONIX는 고객의 문서화된 지시와 계약된 기능 제공에 필요한 범위에서만 고객 제공 개인정보를 처리하며 독자적인 목적이나 다른 고객을 위한 목적으로 사용하지 않습니다. 고객은 개인정보를 제공하고 처리하도록 지시할 적법한 권한, 처리근거와 정보주체 고지를 확보하고 필요한 최소한의 정보만 제공해야 합니다.
5. 보호조치
- 접근권한 최소화와 MFA
- 테넌트·저장소·작업자·내보내기 격리
- 전송·보관 보호와 비밀관리
- 접근·변경·반출 기록
- 취급자 교육과 사고대응·복구
6. 재위탁과 국외이전
재수탁자는 공개된 목록과 계약된 보호수준에 따라 사용합니다. 새로운 재수탁자 또는 국외 처리지역의 중요한 변경은 사전 통지와 이의제기 절차를 둡니다. 최종 별지에는 공급자별 업무·지역·항목·보유기간을 기재합니다.
7. 권리요청·감사·사고
HÉDÉONIX는 고객의 정보주체 권리요청, 감독기관 대응, 침해사고 조사와 합리적인 보안확인에 협력합니다. HÉDÉONIX가 고객 제공 개인정보에 관한 요청을 직접 받은 경우 고객에게 전달하고 고객의 문서화된 지시에 따라 처리합니다. 감사는 다른 고객의 비밀과 시스템 보안을 침해하지 않는 방법으로 수행합니다.
8. 반환과 삭제
계약 종료 시 고객 선택과 법령에 따라 고객 제공 개인정보를 반환 또는 삭제하고, 법적 보존예외, 감사정보와 백업 만료를 구분하여 처리결과를 기록합니다.