법률 검토 전 초안입니다.
이 계약은 서비스 이용약관의 부속 문서로서, 학원(이하 "위탁자")이 eduedit 운영자 김찬호(이하 "수탁자")에게 개인정보 처리 업무를 위탁하면서 「개인정보 보호법」 제26조와 같은 법 시행령 제28조에 따라 필요한 사항을 정합니다. 원장이 서비스 화면에서 동의한 때 위탁자와 수탁자 사이에 체결된 것으로 봅니다.
제1조목적
이 계약은 위탁자가 수탁자에게 개인정보 처리 업무를 위탁하고, 수탁자가 그 업무를 수행하면서 개인정보를 안전하게 처리하기 위한 위탁자와 수탁자의 권리·의무를 정합니다.
제2조위탁 업무의 목적과 범위
- 위탁 업무: 학원 관리 시스템(eduedit)의 운영
- 학생·보호자 정보의 저장과 관리
- 반 편성, 시간표, 출결과 수업 기록의 저장과 관리
- 수강료 청구와 수납 기록의 저장과 관리
- 학습 리포트 링크의 생성과 보호자 열람 제공
- 학원 직원의 소속·권한 관리, 접속·처리 기록의 보관 (직원 로그인 계정 자체는 수탁자가 처리자로서 개인정보처리방침에 따라 처리합니다)
- 처리하는 개인정보
- 학생: 이름, 학교, 학년, (선택) 생년월일, 연락처, 메모
- 보호자: 이름, 휴대전화번호, 학생과의 관계, (선택) 메모
- 수업·수납: 출결, 수업 기록, 청구·수납 내역
- 리포트 열람: 열람 일시, 확인 결과, 접속 IP
- 수탁자는 위탁자가 입력한 범위를 넘어 개인정보를 수집하지 않습니다.
제3조위탁 목적 외 처리 금지
- 수탁자는 제2조의 업무 목적 외로 개인정보를 이용하거나 제3자에게 제공하지 않습니다.
- 수탁자는 개인정보를 광고, 마케팅, 다른 학원과의 비교·분석 등 위탁자가 지시하지 않은 목적으로 쓰지 않습니다.
- 수탁자는 서비스 운영 상태를 확인하기 위해 개인을 알아볼 수 없는 집계(사용량, 오류 건수 등)만 만들며, 개인정보를 서비스 개선이나 학습용 데이터로 쓰지 않습니다.
제4조재위탁 제한
- 수탁자는 위탁자의 동의 없이 위탁 업무를 제3자에게 다시 위탁하지 않습니다.
- 위탁자는 이 계약 체결 시 다음 재위탁에 동의합니다.
| 재수탁자 | 재위탁 업무 | 처리 장소 |
|---|---|---|
| Amazon Web Services, Inc. | 서버(EC2)·데이터베이스(RDS)·파일 저장(S3) 운영, 메일 발송(SES) | 대한민국 서울 리전 |
- 수탁자는 재수탁자를 추가하거나 바꾸려면 30일 전에 위탁자에게 알리며, 위탁자는 이의를 제기하거나 계약을 해지할 수 있습니다.
- 수탁자는 재수탁자가 이 계약과 같은 수준의 보호조치를 하도록 관리·감독합니다.
제5조안전성 확보조치
수탁자는 「개인정보의 안전성 확보조치 기준」에 따라 다음 조치를 합니다.
- 관리적 조치: 내부 관리계획 수립·시행, 개인정보 취급자 최소화와 교육
- 접근 제한: 학원별 데이터 분리(데이터베이스 행 단위 접근 통제), 권한별 메뉴·데이터 범위 제한, 접근할 수 없는 데이터는 존재 여부도 알리지 않음
- 접근 기록: 개인정보 열람·수정·내보내기·발송 기록을 1년 이상 보관하며, 기록은 수정·삭제할 수 없도록 관리
- 암호화: 전송 구간 암호화(TLS), 비밀번호 일방향 암호화, 리포트 링크 토큰 해시 저장, 저장 매체 암호화
- 리포트 열람 보호: 보호자 휴대전화번호 뒷자리 확인, 확인 실패 횟수 제한, 링크 만료(기본 30일), 열람 기록
- 물리적 조치: 재수탁자의 인증된 데이터센터 이용
제6조관리·감독
- 위탁자는 수탁자에게 다음 사항을 점검하고 자료 제출을 요구할 수 있으며, 수탁자는 정당한 사유가 없으면 따릅니다.
- 개인정보 처리 현황
- 개인정보 접근·접속 기록
- 안전성 확보조치 이행 현황
- 수탁자는 위탁자가 요청하면 개인정보 처리 업무를 하는 사람에 대한 교육 실시 여부를 알립니다.
- 위탁자는 점검 결과 시정이 필요하면 수탁자에게 요구할 수 있으며, 수탁자는 지체 없이 시정합니다.
제7조정보주체의 권리 행사 지원
- 정보주체의 열람·정정·삭제·처리정지 요구는 위탁자가 처리합니다.
- 수탁자에게 직접 요구가 들어오면 수탁자는 지체 없이 위탁자에게 전달하고, 위탁자의 처리를 기술적으로 지원합니다.
제8조유출 등의 통지
- 수탁자는 개인정보의 분실·도난·유출(이하 "유출 등")을 알게 되면 지체 없이(늦어도 24시간 안을 목표로) 위탁자에게 알리고, 피해를 줄이기 위한 조치를 합니다.
- 통지에는 유출 등이 된 항목, 시점과 경위, 피해 최소화 조치, 문의처를 포함합니다.
- 수탁자는 위탁자가 정보주체 통지와 관계 기관 신고를 할 수 있도록 필요한 자료를 제공합니다.
제9조개인정보의 보유와 파기
- 수탁자는 위탁자가 정한 보유 기간에 따라 개인정보를 처리합니다. 기본 보유 기간은 다음과 같습니다.
- 퇴원생 정보: 퇴원일부터 1년
- 수강료 청구·수납 기록: 위탁자의 「국세기본법」상 보관 의무를 위해 계약 기간 중 5년 동안 분리 보관
- 접속·처리 기록과 동의 기록: 관련 법령에서 정한 기간
- 계약이 끝나면 수탁자는 위탁자의 요청에 따라 개인정보를 내보낼 수 있는 파일로 제공하고, 제공을 마친 날(요청이 없으면 계약이 끝난 날)부터 30일 안에 복구할 수 없는 방법으로 파기한 뒤 그 결과를 위탁자에게 알립니다.
- 계약이 끝난 뒤 위탁자의 법령상 보관 의무가 남은 정보(수강료 청구·수납 기록 등)는 제2항의 파일로 위탁자에게 넘기며, 위탁자가 직접 보관합니다. 수탁자는 자신에게 법령상 보관 의무가 있는 정보(동의 기록 등)만 다른 정보와 분리하여 그 기간 동안 보관합니다.
제10조손해배상
- 수탁자가 이 계약이나 「개인정보 보호법」을 위반하여 정보주체 또는 위탁자에게 손해가 생기면 수탁자가 배상합니다.
- 위탁자가 정보주체에게 손해를 배상한 경우, 그 손해가 수탁자의 책임 있는 사유로 생긴 범위에서 위탁자는 수탁자에게 구상할 수 있습니다.
- 서비스 이용약관의 책임 제한 조항은 이 조의 책임을 줄이지 않습니다.
제11조비밀 유지
수탁자와 그 직원은 업무상 알게 된 개인정보를 계약 기간 중은 물론 계약이 끝난 뒤에도 누설하거나 권한 없이 처리하지 않습니다.
제12조계약 기간
이 계약은 서비스 이용계약이 유지되는 동안 효력이 있으며, 제9조 제2항의 파기와 제11조의 비밀 유지 의무는 계약이 끝난 뒤에도 유지됩니다.
부칙
이 계약은 2026년 10월 1일부터 시행합니다.
수탁자: eduedit 운영자 김찬호 · 개인정보 보호책임자 김찬호 (eduedit.admin@gmail.com)