개인정보 처리위탁 계약서

제1조 (목적과 계약의 체결)

1. 이 계약은 MilleSecurity 서비스(이하 "서비스")를 신청한 회사(이하 "위탁자")가 서비스를 이용하면서 주식회사 밀월스(이하 "수탁자")에게 맡기는 개인정보의 처리에 관해, 「개인정보 보호법」 제26조와 같은 법 시행령 제28조에 따라 위탁자와 수탁자의 권리와 의무를 정합니다.
2. 이 계약은 수탁자가 모든 고객에게 같은 내용으로 제시하는 약관 형식의 계약입니다.
3. 이 계약은 위탁자의 담당자가 홈페이지의 서비스 신청 화면에서 "개인정보 처리위탁 계약에 동의합니다"에 체크하고 신청을 제출한 때에 전자문서로 체결됩니다. 다만 효력은 서비스 이용계약이 성립한 때부터 생깁니다.
4. 신청한 담당자는 위탁자를 대리해 이 계약에 동의할 권한이 있음을 확인합니다.
5. 수탁자는 다음 사항을 동의 기록으로 서비스 이용계약 종료 후 5년 동안 보관합니다.
   • 위탁자가 동의한 이 계약서의 버전
   • 동의 일시
   • 신청 건 번호와 위탁자의 사업자등록번호
6. 위탁자는 이 계약서 전문을 홈페이지에서 언제든지 볼 수 있습니다. 위탁자가 요청하면 수탁자는 동의 당시 버전의 계약서 사본(PDF)을 위탁자의 등록 이메일로 보냅니다.

제2조 (정의)

1. "고객 데이터"란 위탁자가 서비스를 이용하면서 서비스에 저장하거나, 서비스가 위탁자의 시스템에서 수집하는 다음 데이터를 말합니다.
   • 로그, 이벤트, 접속 기록, 설정
   • 백업 데이터
   • MilleScan 진단 결과
   • 하드웨어 장비에 저장된 데이터
2. "위탁 개인정보"란 고객 데이터에 들어 있는 개인정보를 말합니다.
3. "이용약관"이란 수탁자의 MilleSecurity 서비스 이용약관을 말합니다.
4. 이 계약에서 정하지 않은 용어는 「개인정보 보호법」과 이용약관에서 정한 바에 따릅니다.

제3조 (위탁 업무의 목적과 범위)

1. 위탁 업무의 목적은 위탁자에게 서비스를 제공하는 것입니다.
2. 수탁자가 처리하는 위탁 개인정보의 종류, 정보주체, 처리 방법은 [별표 1]과 같습니다.
3. 수탁자는 위탁자가 서비스 설정과 이용으로 정한 범위에서만 위탁 개인정보를 처리합니다. 위탁자의 서비스 설정과 이용은 위탁자의 처리 지시로 봅니다.

제4조 (위탁 기간)

위탁 기간은 서비스 이용계약 기간과 같습니다. 이용계약이 끝난 뒤에도 수탁자는 제13조의 반환과 삭제를 마칠 때까지 이 계약에 따른 의무를 집니다.

제5조 (목적 외 처리 금지와 AI 학습)

1. 수탁자는 위탁 개인정보를 제3조의 범위를 넘어 이용하거나 제3자에게 제공하지 않습니다.
2. 수탁자는 위탁 개인정보를 AI 모델 학습에 이용하지 않습니다.
3. 위탁자는 수탁자가 개인을 알아볼 수 없도록 처리한 공격 지표(공격 유형, 공격 패턴, 악성 코드의 특징 등)를 서비스의 탐지 성능을 개선하는 데 이용하는 것을 허락합니다. 이 공격 지표에는 IP 주소, 계정명 등 개인을 알아볼 수 있는 정보를 넣지 않습니다. 다만 복원할 수 없는 방법으로 변환한 값은 예외로 합니다.
4. 법령에 따라 수사기관 등이 위탁 개인정보의 제출을 요구하면, 수탁자는 법령이 허용하는 범위에서 미리 위탁자에게 알리고 필요한 최소 범위에서만 제출합니다.

제6조 (처리 장소와 국외 이전)

1. 수탁자는 위탁 개인정보를 대한민국(Amazon Web Services 서울 리전)에서 처리하고 보관합니다.
2. 수탁자는 위탁자의 사전 서면(전자문서를 포함합니다) 동의 없이 위탁 개인정보를 국외로 이전하지 않습니다.

제7조 (재위탁 제한)

1. 수탁자는 위탁자의 동의 없이 위탁 업무를 제3자에게 다시 맡기지 않습니다.
2. 위탁자는 이 계약을 체결하면서 [별표 3]의 재수탁자에게 재위탁하는 것에 동의합니다.
3. 수탁자가 재수탁자를 추가하거나 바꾸려면 적용 30일 전까지 위탁자에게 이메일로 알립니다. 위탁자가 그 기간 안에 이의를 제기하지 않으면 동의한 것으로 봅니다. 수탁자는 이 효과를 통지에 분명히 적습니다.
4. 위탁자가 이의를 제기했는데 수탁자가 재위탁을 철회하지 않으면, 위탁자는 위약금 없이 서비스 이용계약을 해지할 수 있습니다.
5. 수탁자는 재수탁자와 이 계약과 같은 수준의 의무를 정한 문서로 계약하고, 재수탁자를 관리·감독합니다. 재수탁자의 위반은 수탁자의 위반으로 봅니다.
6. 하드웨어 장비의 방문 설치를 맡은 업체는 장비의 장착과 배선만 하고, 장비와 위탁자 시스템에 로그인하지 않으며, 위탁 개인정보를 처리하지 않습니다. 따라서 그 업체는 이 조의 재수탁자가 아닙니다. 장비 설정은 수탁자가 원격으로 합니다.

제8조 (안전성 확보조치)

수탁자는 「개인정보 보호법」 제29조와 「개인정보의 안전성 확보조치 기준」에 따라 다음 조치를 합니다.

1. 접근 권한 관리: 위탁 개인정보에 접근할 수 있는 사람을 업무상 꼭 필요한 사람으로 최소화합니다. 권한을 부여·변경·말소한 기록은 3년 동안 보관합니다.
2. 접근 통제: 다중 인증, 접속 IP 제한 등으로 접근을 통제하고, 불법 접근과 침해 시도를 탐지하고 차단합니다.
3. 암호화: 전송 구간을 암호화하고, 저장하는 데이터와 백업 데이터를 암호화합니다. 암호키는 암호화된 데이터와 분리된 키 관리 서비스(AWS KMS)에 보관합니다.
4. 접속 기록: 위탁 개인정보를 처리하는 시스템의 접속 기록을 2년 동안 위·변조할 수 없게 보관하고, 월 1회 점검합니다.
5. 악성 프로그램 방지: 보안 프로그램을 설치하고 갱신합니다.
6. 물리적 조치: 서버와 보관 장소의 출입을 통제합니다.
7. 재해 대비: 재해와 장애에 대비한 백업과 복구 절차를 둡니다.

제9조 (취급자 관리와 교육)

1. 수탁자는 위탁 개인정보를 처리하는 임직원에게서 비밀유지 서약을 받습니다.
2. 수탁자는 그 임직원에게 연 1회 이상 개인정보 보호 교육을 합니다.
3. 위탁자가 「개인정보 보호법」 제26조 제4항에 따른 교육과 관련된 자료를 요청하면 수탁자는 이에 협조합니다.

제10조 (관리·감독)

1. 수탁자는 매년 한 번 제8조와 제9조의 이행 현황을 점검표로 정리해 둡니다. 위탁자가 요청하면 그 점검표와 관련 자료를 제공합니다.
2. 위탁자는 위탁 개인정보의 처리 현황을 점검하기 위해 수탁자에게 자료 제출이나 현장 점검을 요청할 수 있습니다. 현장 점검은 다음 조건에서 합니다.
   • 14일 전에 알리고 일정을 협의합니다.
   • 수탁자의 다른 고객 정보와 보안 정보를 보호하는 범위에서 합니다.
   • 비용은 위탁자가 부담합니다. 다만 점검 결과 수탁자의 중대한 위반이 확인되면 수탁자가 부담합니다.
3. 수탁자는 점검 결과 시정 요구를 받으면 지체 없이 시정하고 그 결과를 알립니다.

제11조 (유출 등 사고의 통지와 협조)

1. 수탁자는 위탁 개인정보가 분실·도난·유출·위조·변조·훼손된 사실이나 그럴 가능성(이하 "유출등")을 알게 되면, 지체 없이(늦어도 알게 된 때부터 36시간 안에) 위탁자의 등록 이메일로 다음 사항을 알립니다. 아직 확인되지 않은 사항은 확인되는 대로 추가로 알립니다.
   1. 유출등이 된 개인정보의 항목
   2. 유출등이 된 시점과 경위
   3. 피해를 최소화하기 위해 정보주체가 할 수 있는 방법
   4. 수탁자의 대응 조치
   5. 수탁자의 담당자 연락처
2. 수탁자는 위탁자가 「개인정보 보호법」 제34조에 따라 정보주체에게 통지하고 개인정보보호위원회 등에 신고하는 데 필요한 자료를 제공하고, 피해 확산 방지와 원인 분석에 협조합니다.
3. 수탁자는 위탁자와 협의하지 않고 유출등의 사실을 정보주체에게 직접 알리거나 외부에 공개하지 않습니다. 다만 법령이 요구하는 경우는 예외로 합니다.

제12조 (정보주체의 권리 행사 지원)

1. 수탁자가 정보주체로부터 위탁 개인정보의 열람·정정·삭제·처리정지 요구를 받으면, 지체 없이 위탁자에게 전달합니다.
2. 수탁자는 위탁자가 그 요구를 처리하는 데 필요한 기술적 조치에 협조합니다.

제13조 (계약 종료 시 반환과 삭제)

1. 서비스 이용계약이 끝나면 수탁자는 30일 동안 고객 데이터를 보관합니다.
2. 위탁자는 그 기간에 데이터 반환을 요청할 수 있으며, 수탁자는 서비스가 제공하는 내보내기 형식으로 반환합니다.
3. 30일이 지나면 수탁자는 다음을 복구할 수 없는 방법으로 모두 삭제합니다.
   1. 클라우드에 보관된 고객 데이터
   2. 반납된 하드웨어 장비에 남은 설정과 데이터
   3. 재수탁자가 보관하는 고객 데이터
4. 반납 장비가 제1항의 기간이 지난 뒤 도착하면 도착 후 지체 없이 삭제합니다.
5. 장애 복구를 위한 백업에 남은 사본은 제3항의 삭제 후 최대 35일 안에 자동으로 삭제됩니다. 수탁자는 그 기간 동안 백업을 장애 복구 외의 목적으로 열람하거나 이용하지 않습니다.
6. 수탁자는 삭제를 마친 날부터 7일 안에 [별표 2]의 항목을 적은 데이터 삭제 확인서를 위탁자의 등록 이메일로 발급합니다.
7. 법령에 따라 수탁자가 보존해야 하는 정보는 예외로 하며, 그 정보는 분리해 보관하고 보존 목적으로만 이용합니다.

제14조 (손해배상)

1. 수탁자가 이 계약이나 「개인정보 보호법」을 위반해 위탁자에게 손해가 생기면 수탁자는 그 손해를 배상합니다.
2. 위탁자가 수탁자의 위반 때문에 정보주체에게 손해를 배상한 경우, 위탁자는 그 위반이 원인이 된 범위에서 수탁자에게 구상할 수 있습니다.
3. 제1항과 제2항의 배상에 관한 한도, 배상하지 않는 손해, 과실상계, 통지와 청구 기간은 이용약관 제29조를 따릅니다. 다만 수탁자(이행 보조자와 피고용자를 포함합니다)의 고의 또는 중대한 과실로 인한 손해에는 이용약관 제29조의 한도와 청구 기간을 적용하지 않습니다.
4. 이 조는 정보주체가 법령에 따라 위탁자나 수탁자에게 손해배상을 청구할 권리를 제한하지 않습니다.

제15조 (MilleScan 진단 중 접근한 정보)

1. MilleScan의 AI 모의해킹은 이용약관 제27조의2에서 정한 범위(서버에 침투하는 데 성공했는지 확인하는 단계까지)에서만 수행하며, 수탁자는 침투 후 서버 내부를 탐색하지 않습니다.
2. 진단 중 위탁자 시스템의 개인정보에 접근할 수 있는 상태가 확인되면, 수탁자는 취약점이 있는지 확인하는 데 필요한 최소 범위를 넘어 그 내용을 열람, 저장, 반출하지 않습니다.
3. 진단 보고서에서는 그 정보를 가려서 표시합니다.

제16조 (비밀유지)

수탁자는 위탁 업무를 하면서 알게 된 위탁 개인정보와 위탁자의 정보를 이 계약이 끝난 뒤에도 누설하지 않습니다.

제17조 (우선 적용과 변경)

1. 위탁 개인정보의 처리에 관해 이 계약이 이용약관과 다르면 이 계약이 우선합니다.
2. 수탁자가 이 계약을 바꾸는 경우의 절차는 이용약관 제3조를 따릅니다. 다만 위탁자의 권리를 줄이는 변경은 위탁자의 동의를 받습니다.
3. 바뀐 계약서에는 새 버전 번호와 시행일을 적고, 이전 버전은 홈페이지에서 계속 볼 수 있게 합니다.

제18조 (당사자 정보와 연락 창구)

1. 수탁자: 주식회사 밀월스(대표 김밀월), 서울시 강남구 광평로 280, 로즈데일빌딩 2007호
2. 수탁자의 개인정보 보호책임자: 하근호, contact@millewalls.com
3. 수탁자의 일반 문의와 정보주체 권리 행사 창구: contact@millewalls.com
4. 위탁자: 서비스를 신청한 회사. 위탁자의 연락 창구는 위탁자가 서비스에 등록한 담당자 이메일입니다.
5. 이 계약에 따른 통지는 위 이메일로 합니다. 위탁자는 등록 이메일이 바뀌면 지체 없이 수탁자에게 알려야 합니다.

부칙

1. (시행일) 이 계약서는 2026년 12월 25일부터 시행합니다.
2. (버전) 이 계약서의 버전은 v1.0입니다.

[별표 1] 위탁 업무와 위탁 개인정보

처리 방법: 수집, 저장, 분석, 조회, 백업, 반환, 파기

제품별 처리 업무, 위탁 개인정보, 정보주체

제품	처리 업무	위탁 개인정보(예)	정보주체
MilleCloud (모든 제품에 포함)	보안 이벤트 수집·분석, 대시보드·리포트, 알림	접속 IP, 계정명, 접속 일시, 이벤트 로그에 들어 있는 정보	위탁자 시스템의 이용자, 위탁자 임직원
MilleWall	네트워크 트래픽 검사·차단, 로그 기록	출발지·목적지 IP, 접속 기록, 요청 정보(URL 등)	위탁자 시스템의 이용자
MilleFort	서버 침입 탐지, 알림	서버 접속 기록, 계정명, 명령 기록	위탁자 임직원, 이용자
MilleAccess	VPN·서버 접근 통제	사용자 계정, 이름, 이메일, 다중 인증 정보, 접속 기록	위탁자 임직원
MilleDeploy	배포 자동화	배포 기록, 계정명	위탁자 임직원
MilleVault	백업과 복구	위탁자가 백업한 데이터에 들어 있는 개인정보. 백업 데이터는 위탁자 사업장에 설치된 MilleVault 장비에만 저장하며 수탁자 서버(AWS)로 전송하지 않습니다. 수탁자는 장비 설치·유지보수·반납 처리 과정에서만 이를 다룹니다.	위탁자 시스템의 이용자, 임직원
MilleScan	취약점 진단, AI 모의해킹	진단 결과에 들어 있는 정보(제15조 범위)	위탁자 시스템의 이용자

[별표 2] 데이터 삭제 확인서 기재 항목

1. 발급 번호와 발급일
2. 위탁자의 회사명과 사업자등록번호
3. 서비스 이용계약 종료일
4. 삭제 대상
   • 클라우드 데이터(제품별)
   • 반납 장비(장비명, 일련번호)
   • 재수탁자가 보관하던 데이터
5. 대상별 삭제 일시와 삭제 방법
6. 백업 사본의 자동 삭제 예정일
7. 법령에 따라 보존하는 정보가 있으면 그 항목, 근거, 보존 기한(없으면 "없음")
8. 처리자와 확인자
9. 수탁자: 주식회사 밀월스, 개인정보 보호책임자 하근호

[별표 3] 재수탁자

재수탁자, 맡기는 업무, 처리 장소

재수탁자	맡기는 업무	처리 장소
아마존웹서비시즈코리아 유한책임회사 (Amazon Web Services Korea LLC)	클라우드 서비스 운영과 고객 데이터 보관, 백업, 암호키 보관(AWS KMS), 알림 메일 발송(Amazon SES)	대한민국(서울 리전)

하드웨어 장비의 방문 설치 업체는 제7조 제6항에 따라 재수탁자가 아닙니다.

맨 위로