Rechtliches

Art. 28 DSGVO에 따른 위탁처리계약(AVV)

Stand: 2026년 8월 19일 · Alle Rechtsdokumente

본 번역은 정보 제공을 위한 것입니다. 법적 구속력은 독일어판에만 있습니다.

이 계약이 적용되는 경우

이 계약은 오로지 상업적 이벤트에만 적용됩니다 — 기업, 관공서, 협회 또는 그 밖의 조직이 그 활동의 범위 내에서 예약한 이벤트를 말합니다. 이 계약은 계약 체결과 함께 자동으로 계약의 일부가 되며 별도로 서명할 필요는 없습니다. 서명된 사본은 요청 시 privacy@snapories.com 을 통해 제공해 드립니다.

이 계약은 사적 이벤트(결혼식, 생일, 가족 행사)에는 적용되지 않습니다. 그 경우 예약하는 사람은 통상 DSGVO의 적용 대상에서 제외되며(가사 예외, Art. 2 Abs. 2 lit. c DSGVO) 저희가 독자적 책임자(Verantwortliche)가 됩니다 — 이러한 구성에서는 위탁처리가 존재하지 않습니다.

당사자

---

§ 1 대상, 기간 및 지시 구속

1.1 대상은 저희가 AGB에 기술된 급부를 주최자의 위탁을 받아 제공하는 과정에서 수행하는 개인정보의 처리입니다. 성격, 목적, 범위, 정보 카테고리 및 정보주체는 부속서 1에 나타나 있습니다.

1.2 이 계약은 주계약의 존속 기간 동안, 늦어도 § 9에 따라 위탁받아 처리된 모든 정보가 삭제될 때까지 유효합니다.

1.3 저희는 오로지 주최자의 문서화된 지시에 따라 정보를 처리합니다. 지시는 privacy@snapories.com 으로 텍스트 형식(Textform)으로 이루어집니다. 제품에 마련된 설정 옵션(이벤트 기간, 데이터 지역, 노출 여부, 게스트용 공유 링크, 이미지 및 게스트 차단, 언어, 삭제 요청)은 지시로 간주됩니다.

1.4 저희가 어떤 지시를 위법하다고 판단하는 경우, 이를 지체 없이 알립니다. 저희는 확인 또는 변경이 있을 때까지 그 실행을 중단할 수 있습니다(Art. 28 Abs. 3 UAbs. 2 DSGVO).

1.5 자체 목적을 위한 처리 — 계약 이행 및 정산, 운영 및 IT 보안, 오남용 방지, 개인정보와 관련 없는 집계 지표, 법적 의무 이행 — 은 이 계약의 대상이 아닙니다. 이 범위에서 저희는 독자적 책임자이며, 개인정보처리방침이 적용됩니다.

---

§ 2 처리 장소

2.1 이벤트의 데이터는 예약 시 해당 이벤트에 대해 선택된 데이터 지역에서 처리됩니다: 유럽연합(Frankfurt am Main) 또는 미국(Nord-Virginia). 지역 간 미러링은 이루어지지 않습니다. 저장, 처리 및 삭제는 오로지 이 지역에서만 이루어집니다. 이미지의 전달을 위해, 이벤트가 진행되는 동안 이미지는 선택된 지역 밖의 엣지 위치에도 일시적으로 캐시됩니다(부속서 3, 제1.1절).

2.2 이와 달리 AI 포토박스에서의 생성은 사용되는 AI 제공자에서, EWR 외부에서도 이루어집니다(부속서 3). 주최자는 이를 인지합니다. 주최자가 자신의 이벤트에서 포토박스를 비활성화하면 이 이전은 발생하지 않습니다.

2.3 제3국으로의 이전은 오로지 적정성 결정 또는 표준계약조항(Durchführungsbeschluss (EU) 2021/914) 및 이전영향평가를 근거로만 이루어집니다.

2.4 § 2.1과 달리, 부속서 1에 따른 커뮤니케이션 데이터 — 대시보드 이용자의 이메일 주소 및 그들의 로그인 코드 — 는 이벤트의 데이터 지역과 무관하게 모든 이벤트에서 유럽연합(Frankfurt am Main)에서 처리됩니다. 하나의 계정은 두 지역 모두의 이벤트를 관리하므로, 이 데이터 집합은 어느 개별 이벤트에도 속하지 않고 어느 이벤트도 따라갈 수 없으며, 한 번 보관되어 두 지역에서 읽어들입니다(부속서 3, 제1.2절). 이미지는 이에 관여하지 않습니다. § 1.5에 따라 저희가 독자적 책임자로서 처리하는 데이터에도 동일하게 적용됩니다.

---

§ 3 비밀유지

3.1 저희는 처리를 위해 비밀유지 의무를 지거나 적절한 법적 비밀유지 의무를 따르는 사람만을 투입합니다(Art. 28 Abs. 3 lit. b DSGVO).

3.2 투입되는 사람들은 관련 개인정보보호 규정을 숙지하고 있으며 정기적으로 교육을 받습니다.

---

§ 4 기술적·조직적 조치

4.1 저희는 Art. 32 DSGVO에 따라 부속서 2에 기술된 조치를 취하고 계약 기간 동안 이를 유지합니다.

4.2 보호 수준이 미달되지 않는 한 조치는 발전될 수 있습니다. 중대한 변경은 문서화하며 요청 시 알립니다.

---

§ 5 하위위탁처리자

5.1 주최자는 하위위탁처리자의 투입에 대해 일반적 서면 승인을 부여합니다(Art. 28 Abs. 2 Satz 2 DSGVO). 이 계약 시점에 투입된 하위위탁처리자는 부속서 3에 명칭으로 열거되어 있습니다.

5.2 저희가 추가 하위위탁처리자를 도입하거나 기존 하위위탁처리자를 교체하려는 경우, 최소 30일 전에 텍스트 형식으로 주최자에게 알립니다. 주최자는 이 기간 내에 개인정보보호와 관련된 중대한 사유로 이의를 제기할 수 있습니다. 이의를 제기하는 경우, 저희는 해당 급부를 조정하거나 예정된 교체 시점을 효력으로 하여 계약을 정상 해지하고 비례하는 대금을 환급할 수 있습니다.

5.3 저희는 하위위탁처리자에게 여기서 합의된 것과 본질적으로 상응하는 개인정보보호 의무를 부과하며, 그들의 행위에 대해 저희 자신의 행위와 마찬가지로 책임을 집니다.

---

§ 6 주최자에 대한 지원

6.1 정보주체의 권리. 정보주체가 직접 저희에게 연락하는 경우, 저희는 그 요청을 지체 없이 주최자에게 전달하며, 위탁 대상에 관한 것인 한 저희가 직접 답변하지 않습니다. 저희는 Art. 12–22 DSGVO에 따른 권리의 이행, 특히 열람, 정정, 삭제, 제한 및 이벤트 이미지의 인도에 있어 적절한 기술적·조직적 조치로 주최자를 지원합니다.

6.2 Art. 32–36 DSGVO에 따른 의무. 저희는 처리의 안전성 보장, 개인정보 침해의 통지 및 개인정보 영향평가에 있어, 각각 처리의 성격과 저희가 이용 가능한 정보를 고려하여 주최자를 지원합니다.

6.3 비용. 지원은 통상적이고 기대 가능한 범위에서 무상으로 이루어집니다. 법적으로 요구되는 범위를 넘어서고 상당한 비용을 야기하는 지원에 대해서는 저희가 적절한 대가를 요구할 수 있으며, 이에 대해 사전에 안내합니다.

---

§ 7 개인정보 침해의 통지

7.1 저희는 위탁 영역에서 개인정보 침해를 인지한 후 지체 없이 — 통상 24시간 이내에 — 주최자에게 알립니다.

7.2 통지에는 가능한 한 다음이 포함됩니다: 침해의 성격에 대한 기술, 영향을 받은 정보주체 및 정보 집합의 카테고리와 대략적 수, 예상되는 결과, 취해진 조치와 제안된 조치, 그리고 연락처.

7.3 감독기관에 대한 통지(Art. 33 DSGVO) 및 정보주체에 대한 통지(Art. 34 DSGVO)는 주최자의 책임이며, 저희는 이를 지원합니다.

---

§ 8 증빙 및 점검

8.1 저희는 요청 시 Art. 28 DSGVO에 따른 의무의 준수를 증명하는 데 필요한 모든 정보를 주최자에게 제공합니다 — 우선적으로 문서, 부속서 2, 그리고 존재하는 경우 저희 하위위탁처리자의 인증서 및 점검 보고서를 통해 제공합니다.

8.2 개별 사안에서 이러한 증빙이 충분하지 않은 경우, 저희는 검사(Inspektion)를 포함한 점검을 허용합니다. 이는 적절한 사전 통지 기간(최소 14일)을 두고 예고되어야 하며, 운영을 부적절하게 방해해서는 안 되고, 구체적 사유가 없는 한 연 1회를 넘지 않게 이루어집니다. 점검하는 제3자는 경쟁사여서는 안 되며 비밀유지 의무를 져야 합니다.

---

§ 9 삭제 및 반환

9.1 처리 종료 후 저희는 위탁받아 처리한 데이터를 삭제하거나 주최자의 선택에 따라 반환합니다. 주최자는 이벤트의 이미지를 대시보드를 통해 언제든지 다운로드할 수 있습니다.

9.2 다른 지시가 없는 경우, 삭제는 AGB에서 합의된 저장 기간의 만료와 함께 이루어집니다. 요청 시 저희는 조기에 삭제합니다.

9.3 법적 보관 의무가 있는 데이터는 삭제에서 제외되며, 추가 이용을 위해 차단됩니다.

9.4 삭제는 요청 시 텍스트 형식으로 확인됩니다.

---

§ 10 책임

책임은 Art. 82 DSGVO 및 주계약의 규정에 따릅니다. 주계약의 책임 제한은 Art. 82 DSGVO에 따른 정보주체의 청구에는 적용되지 않습니다.

---

§ 11 주계약과의 관계

이 계약과 주계약 사이에 모순이 있는 경우, 개인정보 처리에 관해서는 이 계약이 우선합니다.

---

§ 12 종결 규정

12.1 변경은 텍스트 형식을 요합니다. 12.2 독일법이 적용됩니다. 12.3 어느 규정이 무효인 경우에도 나머지 규정의 효력은 영향을 받지 않습니다. 12.4 유효한 언어본.

오로지 이 계약의 독일어본만이 유효합니다. 다른 언어로 된 본은 오로지 정보 제공 목적으로만 제공합니다. 상이한 경우 독일어본이 우선합니다.

---

부속서 1 — 처리의 대상

성격 및 목적. 주최자의 위탁을 받아 그 지시에 따라, AI 포토박스를 포함한 폐쇄형 이벤트 갤러리의 운영을 목적으로 하는 이미지 및 관련 데이터의 수집, 저장, 구조화, 표시, 제공 및 삭제.

정보주체

• 이벤트에 참여하는 게스트
• 기여된 또는 생성된 이미지에 등장하는 사람
• 대시보드를 이용하는 주최자의 직원

정보 카테고리

특별 카테고리 없음. 명확한 식별을 위한 생체 데이터는 생성되지 않으며 Art. 9 DSGVO에 따른 데이터도 의도적으로 처리되지 않습니다. 이미지는 그 본질상 민감한 정보를 드러낼 수 있으며, 주최자는 자신의 이벤트가 이와 관련하여 특별한 대비를 요하는지 자기 책임으로 검토합니다.

---

부속서 2 — 기술적·조직적 조치(Art. 32 DSGVO)

비밀유지

• 출입: 오로지 인증받은 제공자(ISO 27001, SOC 2)의 데이터센터만 이용; 저희는 자체 하드웨어를 운영하지 않습니다.
• 접속: 생산 시스템에 대한 접근은 지정된 사람에 한하며, 이중 인증이 적용된 개인화된 계정을 통해서만; 내부 콘솔에 대한 접근은 명시적으로 등록된 주소 목록을 통해서만 이루어집니다.
• 접근: 역할 및 적용 범위에 결부된 토큰(이벤트, 호스트, 파트너, 추천, 스태프); 이미지 파일은 서명된 단기 유효 조회 링크를 통해서만 접근.
• 분리: 이벤트 데이터에 대한 데이터 지역의 분리(별도의 데이터베이스, 별도의 저장 영역, 지역 간 미러링 없음); 계정 및 사업 데이터 집합은 EU에 한 번 보관되어 두 지역에서 읽어들이며, 어느 한 지역으로 복사되지 않음(§ 2.4); 여섯 개의 인터페이스를 공유 브라우저 저장소 없이 각자의 도메인으로 분리; 테스트 데이터와 생산 데이터의 분리.
• 가명화: 서버 측에서 발급된 식별자를 통한 계정 없는 신원; 오남용 카운터의 IP 주소는 축약·해시되어 결코 평문으로 저장되지 않음.

무결성

• 전달: 모든 연결에 TLS 적용; 외부 스크립트, 글꼴 또는 분석 도구의 삽입 없음; 결제 데이터는 결제 서비스 제공자로 직접 전달.
• 입력: 모든 입력을 중앙의 타입 지정 계약 스키마에 대해 서버 측에서 검증; 관리 작업의 기록; 이중 계상 방지를 위한 원자적(atomar) 연산을 사용하는 할당량 및 비용 카운터.

가용성 및 복원력

• 저장 시 암호화가 적용된 관리형·다중 이중화 저장 및 데이터베이스 서비스; 애플리케이션 계층의 자동 확장; AI 호출에 대한 엄격한 비용 상한; 자동화된 대량 호출에 대한 오남용 방지.

점검 절차

• 각 배포 전 자동화된 점검 실행(기능적 종단 간(End-to-End) 테스트, 인프라 명세 검사, 브라우저 내 각 저장 항목을 중앙 목록과 자동 대조);
• 지정된 주소를 통한 문서화된 지시 접수;
• 이 계약 § 5를 통한 위탁 통제.

---

부속서 3 — 하위위탁처리자

이 계약의 일부를 이루는, 그때그때 최신의 하위위탁처리자 목록이 적용됩니다. 변경은 § 5.2에 따라 통지됩니다.