ChatGPT Sites 데이터 처리 부속 계약

본 DPA는 귀하의 게시된 ChatGPT Site에서 개인정보를 수집하는 경우 ChatGPT Plus, Pro 및 기타 개인용 서비스 사용자에게 적용됩니다.

ChatGPT Enterprise, Business 또는 비즈니스 및 개발자를 위한 기타 서비스를 이용하는 경우, 이 DPA⁠ 또는 귀하 조직과 OpenAI 간의 서명된 DPA에서 OpenAI가 ChatGPT Sites를 포함한 서비스를 제공하기 위해 귀하를 대신하여 개인정보를 처리하는 방식에 대한 자세한 내용을 확인하시기 바랍니다.

본 ChatGPT Sites 데이터 처리 부속계약("DPA")은 귀하의 서비스 이용을 규율하는 ChatGPT Sites 약관 및 기타 약관, 정책 및 서비스 약관("계약")을 보완하며 이에 포함됩니다. 본 ChatGPT Sites 데이터 처리 부속계약은 OpenAI가 게시된 ChatGPT Site에서 수집한 개인정보를 ChatGPT Site의 호스팅, 유지 관리 및 지원을 위해 처리하는 경우에 적용됩니다. 명확히 하자면, 본 DPA는 ChatGPT Site를 만들거나 편집하기 위해 ChatGPT를 사용하는 경우에는 적용되지 않으며, 여기에는 ChatGPT와의 대화에서 제공하는 프롬프트, 파일 또는 기타 콘텐츠가 포함됩니다. 본 DPA는 귀하와 OpenAI OpCo, LLC 간 체결됩니다. 단, 귀하가 유럽경제지역 국가 또는 스위스에 거주하는 경우 본 DPA는 OpenAI Ireland Ltd("OpenAI")와 체결됩니다. 대문자로 시작하는 용어는 제6절 또는 본 DPA의 다른 곳에 정의되어 있습니다. 본 DPA에서 OpenAI와 귀하는 각각 "당사자"로 지칭되며, "당사자들"로 총칭됩니다. 귀하는 본 DPA를 합법적으로 체결할 수 있으며, 법인을 대신하여 DPA를 체결하는 경우 해당 법인을 구속할 법적 권한이 있음을 진술합니다. 귀하의 ChatGPT Site 최종 사용자로부터 개인정보를 수집하는 ChatGPT Site를 게시 및 호스팅하기 위해 서비스를 사용하는 경우, 귀하는 본 DPA에 동의하는 것으로 간주됩니다.

• 1.1 범위 및 역할. 계약에 따라 귀하를 위한 서비스 제공의 일환으로 OpenAI는 귀하를 대신하여 개인 데이터를 처리할 수 있습니다. 이는 게시된 ChatGPT Site가 최종 사용자가 로그인하거나 계정을 생성하거나, 콘텐츠를 게시 또는 업로드하도록 허용함으로써 개인정보를 수집하거나, 귀하의 ChatGPT Site가 쿠키나 유사 기술을 사용하여 개인정보를 수집하는 경우에 해당합니다. 본 DPA에서는 이러한 개인 데이터를 “호스팅 데이터”로 지칭하며, 이는 OpenAI가 귀하를 대신하여 이러한 개인 데이터를 호스팅하기 때문입니다. OpenAI는 귀하를 대신하여 데이터 처리자로서 호스팅 데이터를 처리하며, 본 DPA는 이러한 처리를 규율합니다. 

• 1.2 처리 세부사항. OpenAI는 계약 및 본 DPA에 따라 귀하에게 서비스를 제공하기 위한 목적으로만 호스팅 데이터를 처리합니다. 호스팅 데이터의 특성, 기간, 유형 및 관련 데이터 주체의 카테고리에 대한 세부사항은 본 DPA의 별표 1(처리 세부사항)에 명시되어 있습니다. OpenAI와 귀하는 서비스와 관련하여 데이터 보호법에 따른 각자의 의무를 준수할 것에 동의합니다.

• 2.1 귀하의 지침. 당사자들은 본 DPA, 계약, 그리고 서비스, 서비스의 설정 및 구성, 서비스 내에서 제공되는 기타 도구를 통해 제공된 모든 지침과 프롬프트가 OpenAI의 호스팅 데이터 처리에 관한 고객의 문서화된 지침(“사용자 지침”)으로 간주된다는 사실에 동의합니다. OpenAI는 사용자 지침에 따라서만 호스팅 데이터를 처리하여 귀하의 게시된 ChatGPT 사이트를 호스팅하고, 유지 관리하고 지원하며, OpenAI가 적용되는 관련 법률에 의해 요구되는 경우에는 예외로 합니다. 이 경우, 법적으로 금지되지 않는 한 OpenAI는 데이터를 처리하기 전에 고객에게 이 요구사항을 알릴 것입니다.

• 2.2 귀하에게 통지. OpenAI는 OpenAI의 지식과 견해에 따라 고객 지침이 데이터 보호법을 위반한다고 판단될 경우, 귀하에게 즉시 서면으로 통지합니다. OpenAI는 법적으로 허용되는 범위 내에서 법 집행 기관으로부터 호스팅 데이터 공개에 대한 법적 구속력이 있는 요청을 받을 경우 귀하에게 이를 알릴 것입니다.

• 2.3 기밀 유지. OpenAI는 호스팅 데이터를 처리하도록 OpenAI가 승인한 모든 사람이 기밀 유지에 동의했거나 적절한 법적 기밀 유지 의무를 준수하도록 합니다.

• 2.4 데이터 주체 요청. OpenAI는 법적으로 허용되는 범위 내에서 호스팅 데이터와 관련하여 데이터 보호법에 따른 데이터 주체 권리 행사 요청(“데이터 주체 요청”)을 받는 경우 귀하에게 이를 알릴 것입니다. OpenAI는 귀하의 사전 서면 인증 없이는 이러한 요청에 응답하지 않으며, 귀하가 직접 응답할 수 있도록 데이터 주체 요청을 필요에 따라 리디렉션하는 것을 귀하가 OpenAI에 허용합니다. 처리의 특성을 고려하여 OpenAI는 귀하가 데이터 주체 요청에 응답할 수 있도록 가능한 한 적절한 기술적 및 조직적 조치를 구현하여 귀하를 지원할 것입니다.

• 2.5 보안. OpenAI는 계약에 명시된 대로 호스팅 데이터를 보호하기 위해 합리적이고 적절한 조직적 및 기술적 보안 조치를 구현하고 유지합니다.

• 2.6 귀하 지원. OpenAI는 처리의 특성과 OpenAI가 이용할 수 있는 정보를 고려하여 데이터 보호법에 따른 귀하의 의무를 준수할 수 있도록 귀하에게 합리적인 지원을 제공합니다. 여기에는 적절한 경우 OpenAI의 호스팅 데이터 처리와 관련된 데이터 보호 영향 평가의 준비, 필요한 경우 데이터 보호법에 따라 해당 처리에 대한 관할권을 가진 감독 기관과의 협의가 포함됩니다.

• 2.7 개인 데이터 침해. OpenAI는 개인 데이터 침해를 인지한 후 지체 없이 귀하에게 통지합니다. OpenAI는 귀하가 그러한 개인 데이터 침해와 관련하여 데이터 보호법에 따른 의무를 준수할 수 있도록 합리적인 지원을 제공할 것입니다.

• 2.8 규정 준수 평가. OpenAI가 본 DPA에 따른 의무를 준수하지 않았다고 의심할 합리적인 근거가 있고, 관련 데이터 보호법에 따라 귀하에게 감사권이 부여되는 경우, 귀하에게는 다음과 같은 OpenAI 감사 권리가 있습니다. 

  • 2.8.1 서면 요청 시 연 1회를 초과하지 않는 한 당사는 OpenAI의 본 DPA 준수와 관련된 감사 보고서의 요약본 및 본 DPA에 따른 OpenAI의 의무 준수 사실을 입증하는 데 필요한 기타 정보를 귀하에게 제공합니다. OpenAI는 본 제2.8.1절에 따라 정보 제공에 대해 소액의 수수료를 부과할 권리가 있습니다. 

  • 2.8.2 제2.8.1절에 따라 제공된 정보가 데이터 보호법에 따른 귀하의 의무 준수를 입증하기에 충분하지 않은 경우, 귀하가 비용을 부담하여 추가 정보 및/또는 적절한 기밀 유지 의무가 있는 적합하고 자격을 갖춘 감사인에 의한 조사를 요청할 수 있습니다. OpenAI는 그러한 요청 및 다른 고객과 사용자 정보의 기밀성을 위태롭게 하지 않으면서 귀하의 요청을 수용할 방안을 합리적으로 검토합니다. 

본 제2.8절에 따라 OpenAI로부터 획득한 모든 결과 및 문서(감사 또는 조사 결과 포함)는 OpenAI의 기밀 정보로 간주됩니다. 

• 2.9 재처리자 참여. 귀하는 OpenAI가 서비스와 관련하여 호스팅 데이터를 처리하기 위해 재처리자 목록에 명시된 재처리자를 참여시킬 수 있도록 일반적인 인증을 부여합니다. OpenAI는 블로그 게시물, 서비스 내 알림 또는 기타 합리적인 수단을 통해 또는 귀하가 재처리자 목록 사이트에서 이메일 알림을 구독한 경우 이메일을 통해 재처리자 목록의 변경사항을 귀하에게 통지합니다. 귀하는 변경사항을 통지받은 후 30일 이내에 재처리자 목록에 명시된 지침에 따라 또는 privacy@openai.com⁠으로 연락하여 이러한 추가 재처리자의 사용에 대해 이의를 제기할 수 있습니다. 이러한 경우 OpenAI는 귀하의 우려를 해결하기 위해 귀하와 협력할 것입니다. OpenAI가 귀하의 이의 제기 통지를 수령한 후 30일 이내에 당사자들이 만족할 만큼 이의가 해결되지 않은 경우, 양 당사자는 계약 또는 새로운 재처리자를 사용하지 않고는 제공할 수 없는 해당 서비스를 해지할 수 있습니다. 이 경우, 귀하는 해지일 이후의 기간이나 조건에 해당하는 선불 요금을 환불받게 됩니다.

• 2.10 재처리자 의무. OpenAI는 본 DPA에 따라 OpenAI에 부과된 의무와 유사한 의무를 각 재처리자에게 부과하는 계약을 체결합니다. 계약에 명시된 책임 제한에 따라, OpenAI는 재처리자의 행위 및 부작위에 대해 OpenAI가 직접 그러한 행위 또는 부작위를 수행한 경우와 동일한 범위로 DPA에 따라 책임을 집니다.

• 2.11 데이터 반환 또는 삭제. 계약이 만료되거나 해지된 후, OpenAI는 귀하의 지시에 따라 호스팅 데이터를 반환하거나 삭제하며, 관련 법률에 따라 호스팅 데이터를 보유해야 하는 경우가 아니라면 기존 사본을 반환하거나 삭제합니다. 이 경우, OpenAI는 해당 법률에서 요구하는 범위를 제외하고 호스팅 데이터가 추가로 처리되지 않도록 격리하고 보호합니다.

• 3.1 통지 및 인증. 귀하는 데이터 보호법에 따라 필요한 범위 내에서 호스팅 데이터를 OpenAI에 제공하고, 본 계약 및 본 DPA와 관련하여 OpenAI가 호스팅 데이터를 처리하도록 인증하는 데 필요한 모든 통지를 제공했으며, 서비스 기간 내내 모든 필요한 권리, 동의 및 인증을 보유하고 유지할 것임을 진술, 보증 및 확약합니다.

• 3.2 협력. 귀하는 해당 데이터 보호법에 따라 OpenAI가 의무를 이행할 수 있도록 OpenAI에 합리적으로 협력해야 합니다.

• 3.3 구성. 본 DPA의 2.5절에 명시된 OpenAI의 보안 의무를 침해하지 않는 범위 내에서, 귀하는 서비스의 특정 구성 및 설계 결정에 대한 책임이 있으며, 이러한 구성 및 설계 결정(예: 보존 기간, 삭제 등)을 해당 데이터 보호법을 준수하는 방식으로 구현할 책임이 있음을 인정하고 이에 동의합니다.

• 4.1 EEA 및 스위스 데이터. OpenAI가 본 DPA에 따라 처리하는 호스팅 데이터는 유럽경제지역 또는 스위스의 데이터 보호법의 범위에 포함될 수 있습니다(“EEA 및 스위스 데이터”). 본 DPA에 따라 적용되는 OpenAI 계약 당사자와 관계없이 귀하는 OpenAI Ireland Limited가 본 DPA를 준수하여 EEA 및 스위스 데이터를 처리하도록 지시합니다. OpenAI Ireland Limited가 유럽경제지역(EEA) 또는 스위스 외부의 다른 OpenAI 계열사나 서드파티에게 서비스를 제공하기 위해 EEA 및 스위스 데이터를 이전하는 경우, 호스팅 데이터 보호를 위한 적절한 안전장치가 마련된 SCCs를 포함하는 계약에 따라, 또는 GDPR 제45조에 따른 유럽연합 집행위원회가 발표한 적절성 결정에 근거하여 이를 수행할 것입니다.

• 4.2 영국 데이터. OpenAI가 본 DPA에 따라 처리하는 호스팅 데이터는 영국의 데이터 보호법(“영국 데이터”)의 범위에 포함될 수 있습니다. 본 DPA에 따라 적용되는 OpenAI 계약 당사자와 관계없이, 귀하는 본 DPA 및 영국 부록에 의해 개정된 SCCs를 준수하여 OpenAI OpCo, LLC가 모든 영국 데이터를 처리하도록 지시합니다. 이는 별표 1에 설명된 대로 체결되고, 본 참조에 의해 본 DPA에 통합되며, 완료된 것으로 간주됩니다.

미국 개인정보 보호법이 적용되는 경우:

• 5.1 OpenAI는 (a) 귀하의 호스팅 데이터에 대한 대가로 귀하에게 금전적 또는 기타 가치 있는 대가를 제공하지 않음에 동의합니다. 또한 의심의 여지를 없애기 위해 당사자들은 귀하가 호스팅 데이터를 OpenAI에 “판매”(미국 개인정보 보호법에 정의된 용어)하지 않았음을 인정하고 동의합니다. (b) 개인 데이터를 '판매'(미국 개인정보 보호법에 정의된 용어)하거나 “공유”(CCPA에 정의된 용어)하지 않습니다. (c) 귀하가 미국 개인정보 보호법에 따라 OpenAI가 서비스의 일부로서 비식별화된 형태로 호스팅 데이터를 처리할 수 있도록 허용하거나 지시하는 범위 내에서, OpenAI는 (i) 그러한 비식별화된 데이터가 특정 자연인 또는 가구에 대한 정보가 추론되거나 연결되지 않도록 합리적인 조치를 취해야 하며, (ii) 비식별화된 데이터를 해당 형태로 유지하고 사용하며, 미국 개인정보 보호법에 의해 허용되지 않는 한 재식별을 시도하지 않겠다는 공개적인 약속을 해야 하며, (iii) 비식별화된 데이터를 재처리자를 포함한 다른 당사자와 공유하기 전에, 해당 수신자에게 본 (c)(i)-(iii) 규정의 요구사항을 준수하도록 계약상 의무를 부과해야 합니다. (d) 호스팅 데이터가 CCPA의 적용을 받는 경우 (i) 본 계약에 명시된 비즈니스 목적을 위해 필요한 경우를 제외하고 호스팅 데이터를 보유, 사용, 공개 또는 처리하지 않으며, 본 DPA의 별표 1에 설명된 내용을 포함하되 이에 국한되지 않습니다. (ii) OpenAI와 귀하 간의 직접적인 비즈니스 관계 외의 방식으로 호스팅 데이터를 보유, 사용, 공개 또는 처리하지 않습니다. (iii) OpenAI가 다른 서드파티로부터 또는 그들을 대신해서 받거나 OpenAI가 개인과의 상호작용에서 수집한 개인 데이터를 호스팅 데이터와 결합하지 않습니다. 단, 귀하의 지시에 따라 또는 CCPA에 의해 허용되는 경우 호스팅 데이터를 결합할 수 있습니다. (iv) OpenAI가 CCPA에 따른 의무를 더 이상 이행할 수 없다고 판단한 경우 지체 없이 귀하에게 통지합니다. (v) 귀하가 OpenAI의 호스팅 데이터 처리가 CCPA의 요구사항과 일치하지 않는다고 합리적으로 믿고 이를 OpenAI에 타당하게 통지한 경우, 당사자들은 문제를 해결하기 위해 성실히 협력하며, 협력 후에도 문제가 해결되지 않는다고 귀하가 합리적으로 판단하는 경우, 귀하의 서면 지시에 따라 OpenAI는 영향을 받는 호스팅 데이터의 처리를 중단합니다.

• 5.2 귀하는 (a) OpenAI에 대한 호스팅 데이터 규정이 미국 개인정보 보호법에 따라 “판매”로 간주되거나 CCPA(또는 미국 개인정보 보호법에 따른 동등한 개념)에 따라 “공유”로 간주되도록 하는 어떠한 조치도 취하지 않으며, (b) OpenAI가 CCPA에 따라 “서비스 제공자” 또는 미국 개인정보 보호법에 따라 “처리자”가 아닌 것으로 간주되게 하는 어떠한 조치도 취하지 않음에 동의합니다.

“데이터 컨트롤러”는 데이터 보호법에 따라 “컨트롤러”(또는 유사한 용어)라는 용어에 부여된 의미를 가집니다.

“데이터 처리자”는 데이터 보호법에 따라 “처리자”(또는 유사한 용어)라는 용어에 부여된 의미를 가집니다.

“데이터 보호법”은 OpenAI가 서비스와 관련하여 호스팅 데이터 처리에 적용되는 데이터 개인정보 보호 및 데이터 보호법을 의미합니다.

“데이터 주체”는 데이터 보호법에 따라 “데이터 주체”(또는 유사한 용어)라는 용어에 부여된 의미를 가집니다.

“GDPR”는 2016년 4월 27일 유럽연합의회 및 의원회에서 제정한 규정 (EU) 2016/679를 의미합니다.

“호스팅 데이터”는 게시된 후 귀하의 ChatGPT Site에서 수집하는 모든 개인정보를 의미합니다.

“개인 데이터”는 데이터 보호법에 따라 “개인 데이터” 또는 “개인정보”(또는 유사한 용어)라는 용어에 부여된 의미를 갖습니다.

“개인 데이터 침해”는 OpenAI, 그 재처리자 또는 OpenAI를 대신하여 활동하는 기타 서드파티에 의해 저장, 전송 또는 기타 방식으로 처리되는 호스팅 데이터의 우발적 또는 불법적인 파괴, 손실, 변경, 무단 공개 또는 무단 접근으로 이어지는 보안 위반을 의미합니다.

“처리”는 데이터 보호법에 따라 “처리”(또는 유사한 용어)라는 용어에 부여된 의미를 가집니다.

“SCCs”는 2021년 6월 4일 EU 위원회가 채택한 제3국으로의 개인 데이터 이전을 위한 표준 계약 조항을 의미하며, 이는 수시로 수정, 업데이트 또는 대체될 수 있습니다.

“재처리자”는 OpenAI가 서비스와 관련하여 호스팅 데이터를 처리하기 위해 고용한 재처리자를 의미하며, 재처리자 목록에 나열되어 있습니다.

“재처리자 목록”은 다음 주소에서 확인할 수 있는 목록입니다. https://platform.openai.com/subprocessors⁠(새 창에서 열기).

“영국 부록”은 2018년 데이터 보호법 119A(1)절에 따라 정보 위원회가 발표한 EU SCCs에 대한 영국 부록을 의미합니다.

“미국 개인정보 보호법”은 캘리포니아 소비자 개인정보 보호법(“CCPA”)을 포함하여 미국 거주자에게 적용되는 데이터 보호법의 하위 집합을 의미합니다.

• 1. 특성 및 목적:

  • 게시된 ChatGPT Site의 호스팅, 유지 관리 및 지원.

• 2. 기간:

  • 서비스 기간과 이 기간이 종료된 후에 데이터 삭제를 비롯하여 당사자들이 각자의 의무를 이행하기 위해 필요한 시간입니다.

• 3. 호스팅 데이터의 카테고리:

  • 귀하의 ChatGPT Site 최종 사용자가 제공한 개인정보(예: 귀하의 ChatGPT Site에 게시하거나 업로드한 텍스트, 이미지, 동영상 또는 기타 콘텐츠).

  • 최종 사용자가 귀하의 ChatGPT Site를 사용하여 생성한 개인정보(예: 로그 데이터, 사용 데이터, 기기 정보, 쿠키 및 유사 기술을 통해 수집된 데이터). 

• 4. 데이터 주체의 카테고리:

  • 귀하의 ChatGPT Site 최종 사용자,

  • 최종 사용자가 귀하의 ChatGPT Site를 사용하는 과정에서 개인정보를 제공한 제3자.

• 5. 민감한 데이터의 이전(해당되는 경우):

  • 민감한 데이터를 전송하고(해당되는 경우) 데이터의 특성과 관련 위험을 충분히 고려하여 제한 또는 보호 조치를 적용합니다. 예를 들어 엄격한 목적 제한, 접근 제한(전문 교육을 받은 직원만 접근 가능 포함), 데이터 접근 기록 보관, 추가 전송 제한 또는 추가 보안 조치 등이 있습니다.

  • 최종 사용자가 제공한 민감한 데이터는 귀하의 지시에 따라 처리될 수 있습니다. OpenAI는 귀하의 지시에 따라서만 이러한 민감한 데이터를 처리합니다.

• 6. 빈도:

  • 전송 빈도(예: 데이터가 일회성으로 전송되는지 또는 지속적으로 전송되는지 여부).

  • 귀하의 서비스 사용에 따른 지속적 기준입니다.

• 7. 재처리자에게 이전:

  • DPA 제2.9조에 따라 재처리자는 서비스를 수행하는 데 필요한 경우 호스팅 데이터를 처리합니다. 서면으로 달리 합의하지 않는 한, 그러한 처리는 계약 기간 동안 이루어집니다.

• 8. 제4.2절에 따른 영국 데이터 이전을 위한 SCCs 정보:

  • 8.1 SCCs의 모듈 2(컨트롤러에서 처리자로)에 다음 사항이 적용됩니다. (i) 7조항의 선택적 결합 조항은 적용되지 않습니다. (ii) 9조항에서는 옵션 2(일반 서면 인증)가 적용되며, 재처리자 변경에 대한 사전 통지의 최소 기간은 DPA의 2.9절에 명시된 대로 합니다. (iii) 11조항에서는 선택적 언어가 적용되지 않습니다. (iv) 13조항의 모든 대괄호는 삭제됩니다. (v) 17조항(옵션 1)에서 SCCs는 잉글랜드 및 웨일스 법률의 적용을 받습니다. (vi) 18(b)조항에서 분쟁은 잉글랜드 및 웨일스 법원에서 해결합니다. (vii) 본 별표 1에는 SCCs의 별첨 I 및 별첨 III에 요구되는 정보가 포함되어 있습니다. (viii) DPA의 2.5절(보안)에는 SCCs의 별첨 II에 요구되는 정보가 포함되어 있습니다. (ix) 관할 감독 기관은 정보위원회 사무소(“ICO”)입니다.

  • 8.2 데이터 수출자: 귀하, 데이터 수입자: OpenAI OpCo, LLC, 1455 3rd Street, San Francisco, CA 94158, 데이터 보호 책임자: privacy@openai.com⁠.