데이터 처리 계약

본 데이터 처리 계약("본 DPA")은 Lixor라는 상호로 영업하는 워싱턴주 유한책임회사 Intelliwav LLC(주소: 37 103rd Ave NE, Unit 502, Bellevue, WA 98004, USA, 이하 "Lixor", "회사")와 Lixor 계정을 보유한 사업자(이하 "고객") 간의 Lixor 이용약관(이하 "약관")의 일부입니다. 본 DPA는 회사가 고객을 위하여 개인정보를 처리하고 제1조에 열거된 개인정보 보호법이 그 데이터에 적용되는 모든 경우에 적용됩니다. 개인정보에 관하여 본 DPA와 약관이 일치하지 않는 경우 본 DPA가 우선합니다.

위에 표시된 날짜부터 효력이 발생합니다. 기록 보관용으로 서명본이 필요하십니까? support@lixor.ai로 연락하시기 바랍니다. 본 DPA가 구속력을 가지는 데 서명은 필요하지 않습니다.

"개인정보 보호법"이란 각각 적용되는 범위에서 다음을 의미합니다. EU 일반 개인정보 보호법 2016/679("GDPR"), UK GDPR 및 2018년 영국 데이터 보호법(Data Protection Act 2018), 스위스 연방 데이터 보호법, 브라질의 Lei Geral de Proteção de Dados(법률 13.709/2018), 일본의 개인정보의 보호에 관한 법률, 멕시코의 Ley Federal de Protección de Datos Personales en Posesión de los Particulares, 그리고 미국 주 개인정보 보호법.

"고객 개인정보"란 고객 또는 고객의 직원이 Lixor에 입력하거나 POS 또는 유통업체 피드와 같은 연결된 시스템으로부터 Lixor가 고객을 위하여 수신하는 개인정보로서 회사가 고객을 대신하여 처리하는 것을 의미합니다. 여기에는 제3조에 설명된 데이터는 포함되지 않습니다.

"컨트롤러", "프로세서", "개인정보", "처리" 및 "정보주체"는 GDPR에서의 의미를 가집니다. 다른 개인정보 보호법이 동일한 역할에 대하여 다른 용어(예: 브라질의 "operador", 멕시코의 "encargado", 일본의 위탁받은 사업자)를 사용하는 경우, 그에 상응하는 의미가 적용됩니다.

"하위 처리자"란 회사가 고객 개인정보를 처리하기 위하여 이용하는 다른 회사를 의미합니다.

"표준계약조항" 또는 "SCC"란 2021년 6월 4일자 유럽연합 집행위원회 시행 결정(EU) 2021/914에 부속된 조항을 의미합니다.

고객은 고객 개인정보의 컨트롤러입니다. 회사는 고객의 프로세서입니다. 고객은 어떤 직원을 추가할지, 그들이 무엇을 기록할지, 그리고 Lixor를 얼마나 오래 계속 이용할지를 결정합니다. 회사는 서비스를 운영합니다.

고객은 직원의 데이터를 Lixor에 입력할 적법한 사유를 갖추고 직원에게 Lixor를 이용한다는 사실을 알릴 책임이 있습니다. 회사의 개인정보 처리방침은 고객이 직원에게 안내할 수 있도록 작성되어 있습니다.

회사는 제한된 범위의 데이터를 어떻게 처리할지 스스로 결정하며, 그 데이터에 대하여 회사는 고객의 프로세서가 아니라 컨트롤러입니다. 이에는 Lixor 계정을 보유한 사람들의 계정 및 로그인 정보, 결제 및 세무 기록, 고객과 회사 간의 지원 서신, 보안 및 감사 로그, 제품 이용 분석이 포함됩니다. 회사의 개인정보 처리방침이 이 데이터를 다룹니다. 회사는 이 데이터를 이용하여 고객의 직원에게 다른 회사의 제품을 광고하지 않으며, 이를 판매하지 않습니다.

회사는 고객의 문서화된 지시에 따라서만 고객 개인정보를 처리합니다. 약관, 본 DPA, 고객의 계정 설정, 그리고 고객과 고객의 직원이 제품에서 하는 행위가 고객의 완전한 지시입니다. 고객에게 추가로 필요한 것이 있으면 support@lixor.ai로 연락하시기 바랍니다. 회사는 기술적으로 합리적이고 적법한 경우 이를 따르거나, 따를 수 없음을 고객에게 알립니다.

회사는 지시가 개인정보 보호법을 위반한다고 판단하는 경우 고객에게 알립니다. 회사에 적용되는 법률이 회사에게 다른 방식으로 고객 개인정보를 처리하도록 요구하는 경우, 해당 법률이 금지하지 않는 한 회사는 먼저 고객에게 알립니다.

부속서 1은 처리의 대상, 기간, 성격 및 목적, 개인정보의 종류, 그리고 그 정보의 대상이 되는 사람의 종류를 정합니다.

회사가 고객 개인정보의 처리를 허가한 모든 사람은 계약 또는 법률에 따라 기밀유지 의무를 집니다.

회사는 부속서 2의 기술적·관리적 조치를 유지합니다. 회사는 전반적인 보호 수준이 낮아지지 않는 한 이를 변경할 수 있습니다. 고객은 강력한 비밀번호, 퇴사한 직원의 삭제, 각 사용자에 대한 적절한 역할 선택과 같이 회사가 제공하는 보안 기능을 이용할 책임이 있습니다.

8.1 고객은 회사가 하위 처리자를 이용하는 것에 대하여 일반적 승인을 부여합니다. 현재 목록은 lixor.ai/legal/subprocessors에 있으며 부속서 3을 이룹니다.

8.2 회사는 하위 처리자를 추가하거나 교체하기 최소 30일 전에 해당 페이지를 업데이트하고 해당 페이지의 업데이트를 구독한 계정 소유자에게 이메일을 보내 통지합니다. 보안 또는 서비스 연속성을 이유로 하위 처리자를 긴급히 교체하여야 하는 경우, 회사는 합리적으로 가능한 한 많은 사전 통지를 합니다.

8.3 고객은 그 30일 이내에 support@lixor.ai로 연락하여 합리적인 개인정보 보호상의 이유로 이의를 제기할 수 있습니다. 회사는 대안을 제시하도록 노력합니다. 제시할 수 없는 경우 고객은 영향을 받는 서비스를 해지할 수 있으며, 회사는 해지 이후의 기간에 대하여 선불된 요금을 환불합니다. 이것이 이의 제기에 대한 고객의 유일한 구제수단입니다.

8.4 데이터 처리 계약을 체결하지 않은 Telegram(하위 처리자 페이지 참조)을 제외하고, 각 하위 처리자 자체의 표준 데이터 처리 계약은 회사가 그 서비스를 이용하는 즉시 자동으로 적용되며 실질적으로 본 DPA와 일치합니다. 어느 업체도 회사에게 별도의 사본에 서명하도록 요구하지 않았습니다. 회사는 하위 처리자가 고객 개인정보로 하는 행위에 대하여 고객에게 계속 책임을 집니다.

고객의 직원 또는 그 밖의 누군가가 회사에 고객 개인정보의 열람, 정정, 삭제, 제한, 이전 또는 이용에 대한 이의를 요청하는 경우, 회사는 지체 없이 그 요청을 고객에게 전달하며, 요청을 전달했다고 알리는 것 외에는 회사가 직접 답변하지 않습니다. Lixor는 고객이 제품에서 데이터를 정정하고, 모바일 앱에서 계정을 삭제하며, 수량 집계 결과를 Excel 스프레드시트로 다운로드할 수 있도록 합니다. 제품, 공급업체 및 인보이스의 전체 내보내기와 같은 그 밖의 사항에 대해서는 회사가 요청 시 합리적인 지원을 제공합니다.

회사의 업무 성격과 회사가 보유한 정보를 고려하여, 회사는 보안, 침해 통지, 개인정보 영향평가 및 규제기관과의 협의에 관하여 고객에게 합리적인 지원을 제공합니다. 고객에게 필요한 지원이 일반 고객에게 필요한 수준을 크게 넘는 경우, 회사는 먼저 고객과 합의한 후에 합리적인 비용을 청구할 수 있습니다.

회사가 고객 개인정보의 우발적이거나 불법적인 파괴, 손실, 변경, 무단 공개 또는 무단 접근으로 이어지는 보안 침해를 알게 된 경우, 회사는 지체 없이, 그리고 어떠한 경우에도 확인한 때로부터 72시간 이내에 계정 소유자에게 이메일로 알립니다. 회사는 알게 되는 대로 알고 있는 내용을 공유합니다. 즉 무슨 일이 일어났는지, 어떤 데이터가 얼마나 많은 사람에게 영향을 미치는지, 예상되는 결과, 그리고 회사가 이에 대하여 무엇을 하고 있는지입니다. 침해를 고객에게 알리는 것은 과실을 인정하는 것이 아닙니다.

12.1 Lixor는 고객 개인정보를 미국에서 저장하고 처리합니다. 고객은 Lixor를 이용함으로써 회사에 그렇게 하도록 지시합니다.

12.2 EU 및 EEA. GDPR이 고객에게 적용되고 고객 개인정보를 회사에 전송하는 것이 제한되는 이전에 해당하는 경우, SCC는 본 DPA에 편입되며 다음과 같이 적용됩니다. 모듈 2(컨트롤러에서 프로세서로)가 적용됩니다. 고객은 데이터 수출자이고 회사는 데이터 수입자입니다. 제7조(도킹)는 적용되지 않습니다. 제9조(a)의 옵션 2(일반적 승인)가 30일의 통지 기간과 함께 적용됩니다. 제11조(a)의 선택적 문구는 적용되지 않습니다. 제13조에 따라 관할 감독기관은 고객을 관할하는 기관입니다. 제17조에 따라 옵션 1이 적용되며 SCC는 아일랜드 법의 적용을 받습니다. 제18조(b)에 따라 SCC에 따른 분쟁은 아일랜드 법원에서 다룹니다. SCC의 부속서 I은 본 DPA의 부속서 1과 위에 기재된 당사자들의 정보로, 부속서 II는 부속서 2로, 부속서 III은 부속서 3으로 완성됩니다.

12.3 영국. UK GDPR이 적용되는 경우, SCC는 영국 정보위원회(Information Commissioner)가 발행한 국제 데이터 이전 부속서(International Data Transfer Addendum, 버전 B1.0, 2022년 3월 21일 발효)에 의하여 수정된 대로 적용되며, 이 부속서는 본 DPA에 편입됩니다. 부속서의 표 1부터 표 3까지는 제12.2조의 정보와 부속서들로 완성됩니다. 표 4에 관하여, 각 당사자는 부속서가 정한 바에 따라 부속서를 종료할 수 있습니다.

12.4 스위스. 스위스 연방 데이터 보호법이 적용되는 경우, SCC는 다음의 변경과 함께 적용됩니다. GDPR에 대한 언급은 스위스 법을 포함합니다. 관할 감독기관은 스위스 연방 데이터 보호 및 정보 위원(Swiss Federal Data Protection and Information Commissioner)입니다. "회원국(Member State)"은 스위스에 있는 사람들이 스위스에서 자신의 권리에 대하여 소송을 제기할 수 있도록 해석됩니다. 그리고 이전이 스위스 법에만 적용되는 범위에서 SCC는 스위스 법의 적용을 받습니다.

12.5 브라질. Lei Geral de Proteção de Dados가 적용되고 고객이 고객 개인정보를 회사에 전송하는 것이 보호 조치를 필요로 하는 국제 이전에 해당하는 경우, 국가개인정보보호청(Autoridade Nacional de Proteção de Dados)이 결의 CD/ANPD No. 19/2024로 승인한 표준계약조항이 회사와 고객 간에 적용되며, 고객이 수출자, 회사가 수입자이고, 본 DPA의 부속서들로 완성됩니다. 회사는 고객이 요청하는 때 이를 별도 문서로 서명합니다.

12.6 재이전. 회사는 적법한 이전 수단에 따라서만 고객 개인정보를 하위 처리자에게 이전합니다. 즉 EU-미국 데이터 프라이버시 프레임워크(와 그 영국 확장 및 스위스 대응 제도)에 따른 인증, 또는 필요한 경우 영국 부속서가 포함된 SCC입니다.

12.7 회사가 의존하는 이전 수단이 무효화되거나 철회되는 경우, 회사는 다른 수단을 마련하기 위하여 고객과 성실하게 협력합니다. SCC와 본 DPA가 일치하지 않는 경우 SCC가 우선합니다.

정부 기관이 회사에 고객 개인정보를 요청하는 경우, 회사는 법률이 금지하지 않는 한 고객에게 알리고, 불법이라고 판단하는 요청에 대하여는 이의를 제기하며, 엄격히 요구되는 것만 제공합니다. 2026년 9월 24일 현재, 회사는 그러한 요청을 받은 적이 없습니다.

회사는 회사가 본 DPA를 준수함을 보여주는 데 합리적으로 필요한 정보를 고객에게 제공하며, 여기에는 연 1회 합리적인 보안 질의서에 대한 서면 답변이 포함됩니다. 그것이 고객의 법적 의무를 이행하기에 충분하지 않거나 규제기관이 요구하는 경우, 고객은 30일 전에 서면으로 통지하고, 업무 시간 중에, 기밀유지 계약 하에, 고객의 비용으로, 다른 고객의 데이터에는 접근하지 않는 조건으로 연 1회 회사를 감사할 수 있습니다. 고객은 회사의 경쟁자가 아닌 독립적인 감사인을 이용할 수 있습니다.

일부 기능은 고객 개인정보를 부속서 3에 기재된 AI 제공업체에 전송합니다. 예를 들어 앱 내 어시스턴트에 하는 질문의 텍스트, 텍스트 변환을 위한 음성 녹음, 또는 읽기 위하여 Google의 Gemini API에 전송되는 납품 인보이스 사진이 있습니다. OpenAI의 약관은 OpenAI가 프로그래밍 인터페이스를 통해 전송된 데이터를 자사 모델 학습에 사용하는 것을 허용하지 않습니다. 회사는 Google의 Gemini API를 무료 등급이 아닌 유료 서비스로 사용하며, 유료 서비스에 대한 Google의 약관에 따라 Google은 그 데이터를 제품 개선에 사용하지 않습니다. 회사는 고객 개인정보를 AI 모델 학습에 사용하지 않습니다.

고객의 계정이 유지되는 동안 고객은 수량 집계 결과를 Excel 스프레드시트로 다운로드할 수 있으며, 회사는 고객이 요청하는 그 밖의 내보내기도 지원합니다. 회사는 고객의 계정이 삭제될 때까지 고객 개인정보를 보관합니다. 고객의 계정이 종료된 후, 또는 고객이 요청하면 더 일찍, 회사는 30일 이내에 데이터베이스에서 이를 삭제합니다. 회사의 데이터베이스 백업은 7일 단위로 순환하며 보관되므로 삭제된 데이터는 그 기간 내에 백업에서 사라집니다. 삭제는 데이터베이스 기록을 삭제하며, 현재로서는 회사의 파일 저장소에서 사진이나 음성 녹음을 삭제하지 않고, 이는 삭제 후에도 남아 있을 수 있습니다. 회사는 법률이 요구하는 경우에만 더 오래 데이터를 보관할 수 있으며, 그 경우에도 그 목적으로만 보관합니다.

약관의 책임 제한은 본 DPA에 적용됩니다. 본 DPA의 어떠한 내용도 개인정보 보호법 또는 SCC에 따른 개인의 권리, 또는 각 당사자의 그들에 대한 책임을 제한하지 않습니다.

본 DPA는 회사가 고객 개인정보를 보유하는 동안 유효합니다. 본 DPA는 제12조가 달리 정하는 경우를 제외하고 약관을 규율하는 법률의 적용을 받습니다. 회사는 법률, 하위 처리자 또는 서비스의 변경을 반영하기 위하여 본 DPA를 업데이트할 수 있습니다. 고객의 보호를 축소하는 변경이 있는 경우 회사는 30일 전에 통지합니다.

• 데이터는 전송 중에 TLS로 암호화되며, 저장 시에는 회사의 데이터베이스 및 호스팅 제공업체에 의하여 암호화됩니다(AES-256).
• 각 고객의 데이터는 모든 요청을 로그인한 사용자의 조직과 연결하는 회사 서버의 검사에 의하여 다른 모든 고객의 데이터와 분리됩니다. 데이터베이스 행 수준 보안은 고객 또는 개인 데이터를 보관하는 모든 테이블에 켜져 있으며, 개인정보가 없는 내부 테이블 하나(과거 원가 정정 로그)에는 적용되지 않습니다.
• 예외: 고객이 업로드한 사진(병, 선반, 인보이스)은 그 주소를 아는 사람은 누구나 로그인하지 않고 열 수 있는 긴 웹 주소에 저장됩니다. 이 사진들에는 접근 통제가 적용되지 않습니다.
• 비밀번호는 회사의 인증 제공업체에 의하여 솔트가 적용된 해시로만 저장됩니다. 회사는 비밀번호를 보지 못합니다.
• 운영 시스템(Supabase, Vercel, Stripe, GitHub, PostHog, Sentry, OpenAI, ElevenLabs 및 도메인 등록기관)에 대한 접근은 창업자로 제한되며, 다른 직원이나 계약자는 운영 접근 권한이 없습니다.
• 제품 내 역할 기반 권한을 통해 고객이 어떤 직원이 무엇을 보거나 변경할 수 있는지를 결정합니다.
• 결제 카드 정보는 전적으로 Stripe가 처리하며 회사 서버에는 도달하지 않습니다.
• 데이터베이스 백업은 매일 실행되며 7일 단위로 순환하여 보관됩니다. 특정 시점 복구(Point-in-time recovery)는 현재 켜져 있지 않습니다.
• 소스 코드 변경은 버전 관리를 통해 검토되고 배포되며, 비밀 정보는 코드에 포함되지 않습니다.
• 오류 및 충돌 모니터링을 하며, 오류 보고서에는 가능한 한 개인정보를 포함하지 않습니다.
• 요청 시 조직의 데이터를 삭제하는 서면 절차가 있으며, 실제 사용을 통해 시험되었습니다.
• 서면 사고 대응 절차: 봉쇄, 평가, 제11조에 따른 영향을 받는 고객에 대한 통지, 수정 및 기록.
• 하위 처리자는 공개된 보안 평판을 기준으로 선정됩니다. Supabase, Vercel 및 OpenAI는 현재 SOC 2 Type II 보고서를 공개하고 있으며, 현재의 인증은 각 업체의 신뢰 페이지를 참조하시기 바랍니다. 각 업체는 자체 표준 개인정보 보호 계약의 적용을 받으며, 이는 회사가 그 서비스를 이용하는 즉시 자동으로 적용됩니다.

발효일 현재 lixor.ai/legal/subprocessors의 목록.