데이터 처리 부속서(DPA)

이용자(선생님 또는 음악 학원)가 Note & Key를 이용해 EU / 영국 / EEA에 거주하는 학생의 데이터를 처리하는 경우, GDPR / UK GDPR상 이용자는 컨트롤러(Controller)이며 Note & Key는 프로세서(Processor)입니다.

이 DPA는 저희가 해당 데이터를 처리하는 조건을 규정합니다. 이 DPA는 이에 의존해야 하는 모든 고객에 대해 서비스 이용약관에 포함됩니다. 소속 기관이 자체 레터헤드에 쌍방 서명된 사본을 요구하는 경우 [email protected]로 이메일을 보내 주시면 무료로 연서해 드립니다.

Note & Key에서 학생 개인정보를 처리하는 목적과 수단은 이용자가 결정합니다. 저희는 이용자의 문서화된 지시에 따라서만 해당 데이터를 처리하며, 그 지시는 (a) 이용자가 앱에서 하는 작업(학생 생성, 녹음 업로드, 청구서 발송 등)과 (b) noteandkey.app에 설명된 서비스를 제공하는 데 필요한 것입니다.

저희는 다음 범주의 개인정보를 처리합니다.

• 학생 데이터: 이름, 생년월일, 악기, 실력 수준, 레슨 일정, 선생님 메모, 시험 이력.
• 부모/보호자 데이터: 이름, 이메일, 전화번호.
• 연습 콘텐츠: 오디오 녹음, 동영상 업로드, 악보 PDF, 사진. 미성년자가 관련되는 경우가 많습니다.
• 커뮤니케이션: 앱 내 메시지, 피드백 댓글, 청구서 메모.
• 청구 메타데이터: 청구 금액, 결제 방법, 결제 상태. 카드 번호는 절대 포함되지 않습니다.

정보 주체의 범주: 스튜디오 관리자, 선생님, 학생(미성년자 포함), 학생의 부모/보호자.

스튜디오 계정이 활성 상태인 동안 데이터를 처리합니다. 이용자가 계정을 삭제하면(또는 저희가 정당한 사유로 계정을 해지하면) 30일 이내에 개인정보를 삭제합니다. 백업은 그로부터 추가로 90일 이내에 삭제됩니다.

익명화된 집계 데이터(예: “전체 스튜디오의 월별 총 업로드 수”)는 무기한 보관될 수 있습니다.

데이터에 대한 접근은 서비스 제공에 필요한 인원으로 제한합니다. 모든 인원은 서면 기밀 유지 의무를 지고 있습니다. 접근은 기록됩니다.

저희는 다른 어떤 목적으로도 이용자의 데이터에 접근하지 않습니다. 이용자의 데이터로 머신러닝 모델을 학습시키지 않습니다. 어떤 제3자를 위해서도 이를 판매, 대여 또는 분석하지 않습니다.

서비스 제공을 위해 다음 수탁 처리업체를 이용합니다. 이 DPA를 수락함으로써 이용자는 이 목록을 승인합니다. 변경 사항은 최소 14일 전에 이메일 + 이 페이지를 통해 알려 드리며, 합리적인 이유로 반대하는 경우 계약을 해지할 수 있습니다.

• Supabase Inc.(데이터베이스, 인증, 저장소). 리전에 따라 US-East 또는 EU-West에 데이터가 저장됩니다. EU 외 이전에는 SCC가 적용됩니다.
• Fly.io Inc.(컴퓨팅 / 웹 호스팅). 서버는 캘리포니아주 산호세(San Jose, CA)에 있습니다. SCC가 적용됩니다.
• Stripe Inc.(청구서 결제를 위해 Stripe 계정을 연결하는 경우). Stripe는 카드 결제 처리에 대해 자사 약관에 따른 독립적인 컨트롤러이며, 해당 단계에서 저희의 수탁 처리업체가 아닙니다.
• Resend, Inc.(저희가 이메일로 보내는 청구서의 거래 관련 이메일 전송). 미국 소재, SCC가 적용됩니다.
• Apple Inc. 및 Google LLC (푸시 알림 + 앱 배포).

저희는 위험에 적합한 기술적·조직적 조치를 시행하며, 여기에는 다음이 포함됩니다.

• 전송 중 암호화(TLS 1.2 이상) 및 저장 시 암호화(AES-256).
• Postgres의 행 수준 보안(RLS) 정책 — 모든 쿼리는 호출한 사용자의 스튜디오로 범위가 제한됩니다.
• 서비스 역할 키는 Fly secrets에 저장되며 코드에는 절대 포함되지 않습니다.
• 만료 시간이 짧고 갱신 시 교체되는 사용자별 액세스 토큰.
• 관리 기능에 대한 접근 기록.
• 운영 데이터베이스에 지속적인 관리자 세션을 두지 않습니다.

학생 / 부모가 GDPR에 따른 권리(열람, 정정, 삭제, 처리 제한, 이동, 반대)를 행사하는 요청을 처리할 책임은 이용자에게 있습니다. 저희는 다음과 같은 방법으로 이용자를 지원합니다.

• 스튜디오별로 JSON 형식의 셀프서비스 데이터 내보내기 제공(설정 → 계정 → 내보내기).
• 요청 후 30일 이내에 가정의 계정을 영구적으로 삭제(설정 → 계정 → 삭제).
• 개별 사안에 대한 질문은 [email protected]에서 답변.

이용자의 스튜디오에 영향을 미치는 개인정보 침해를 발견한 경우, 부당한 지체 없이, 어떠한 경우에도 인지한 때로부터 72시간 이내에 서면으로 통지합니다. 통지에는 침해의 성격, 영향을 받은 정보 주체의 범주와 대략적인 수, 예상되는 결과, 취했거나 제안하는 조치가 포함됩니다.

GDPR 제33조–제34조에 따라 감독 기관 및 영향을 받은 개인에게 통지할 책임은 이용자에게 있습니다.

저희 인프라는 주로 미국에 있습니다. EEA, 영국 또는 스위스에서 적정성 결정을 받지 못한 국가로 데이터를 이전하는 경우, 해당하는 바에 따라 표준 계약 조항(Commission Decision 2021/914) 또는 영국 국제 데이터 이전 계약(UK International Data Transfer Agreement, IDTA)에 근거합니다.

서비스 이용약관이 종료되면, 모든 개인정보를 30일(운영 환경) 및 90일(백업) 이내에 삭제합니다. 익명화된 집계 데이터는 무기한 보관될 수 있습니다.

합리적인 서면 요청이 있는 경우 연 1회를 넘지 않는 범위에서, 보안 통제에 대한 서면 요약을 제공하고 구체적인 우려 사항을 논의할 기회를 드립니다. 1인 선생님 고객에게는 기본적으로 현장 감사를 허용하지 않으며, 대규모 기관 고객은 별도의 감사 조항을 요청할 수 있습니다.

이 DPA와 서비스 이용약관이 충돌하는 경우, 데이터 처리 사항에 대해서는 이 DPA가 우선합니다.

Note & Key에서 스튜디오를 만들고 개인정보를 저장하면 이 DPA를 수락한 것으로 간주됩니다. 레터헤드에 연서된 버전이 필요하면 기관 이름과 (있는 경우) 개인정보 보호 책임자(DPO)의 주소를 적어 [email protected]로 이메일을 보내 주세요.