개인정보 처리 계약

어린이집과 4V3D OÜ 사이에 체결되는, Minute Mission 그룹 서비스에 관한 계약입니다. 버전 1.0, 2026년 9월 23일.

이 문서는 본 계약의 한국어 번역본입니다. 본 계약은 영어와 에스토니아어로도 공개되며, 에스토니아 고객은 에스토니아어 본문에 서명합니다. 효력을 가지는 것은 영어 본문과 에스토니아어 본문이며, 이 번역본이 그와 다르게 읽히는 부분이 있으면 영어 본문이 우선합니다.

계약 체결 방법

두 가지 방법이 있으며, 효력은 같습니다.

• 결제 단계에서. 본 계약 버전 1.0에 동의한다는 확인란에 표시하십시오. 버전과 날짜가 고객님의 계정에 기록되고, 동의하신 본문 그대로의 사본이 이메일로 발송되며, 계정에서 계속 확인하실 수 있습니다.
• 서명이 필요한 기관이라면 서면으로. info@4v3d.ee로 요청하시면 같은 본문을 기관 정보를 기입하는 표와 함께 문서로 보내 드립니다. 전자적으로 서명하신 뒤(eIDAS 적격 전자서명, DocuSign, Adobe Sign 또는 해당 국가의 자체 제도 중 무엇이든 괜찮습니다) 회신해 주십시오. 4V3D OÜ가 같은 파일에 서명하여 돌려 드립니다. 본 계약은 두 서명 중 나중에 이루어진 서명의 날짜에 효력이 발생합니다.

프로세서: 4V3D OÜ, 등록번호 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, 에스토니아. 대표자: Oskar Viil, 이사회 구성원. 연락처: info@4v3d.ee.

1. 본 계약이 다루는 범위

어린이집(컨트롤러)은 4V3D OÜ(프로세서)가 운영하는 웹 애플리케이션 Minute Mission을 이용합니다. 이 서비스에서 교사는 반의 미션과 보상 보드를 관리합니다. 이를 위하여 4V3D OÜ는 어린이집을 대신하여, 어린이집의 지시에 따라 부속서 II에 기재된 개인정보를 처리합니다.

본 계약은 GDPR 및 UK GDPR의 Article 28(3)이 컨트롤러와 프로세서 사이에 서면으로 합의하도록 요구하는 사항 전부를 담고 있습니다. 어린이집이 EEA 또는 영국에 설립되어 있는지 여부와 관계없이 적용됩니다.

2. 어느 법이 적용되는지

• EEA에 있는 어린이집. GDPR이 적용됩니다. 제3조도 함께 적용됩니다.
• 영국에 있는 어린이집. UK GDPR과 Data Protection Act 2018이 적용됩니다. 아래에서 GDPR을 가리키는 표현은 UK GDPR을 가리키는 것으로, 감독기구를 가리키는 표현은 Information Commissioner를 가리키는 것으로 읽으며, 제3조는 적용되지 않습니다.
• 그 밖의 지역에 있는 어린이집. 고객님께는 해당 국가의 개인정보 보호법이 적용되고, 본 조건은 계약으로서 4V3D OÜ에 적용됩니다. 4V3D OÜ는 유럽연합에 설립되어 있으므로 이 처리에 대하여 어느 경우에나 GDPR의 구속을 받습니다. 본 계약의 어떠한 내용도 해당 국가의 법이 고객님께 부여한 권리를 축소하지 않습니다.

3. 유럽연합 집행위원회의 표준계약조항

어린이집이 EEA에 설립되어 있는 경우, 양 당사자는 집행위원회 이행결정 Decision (EU) 2021/915의 부속서에 있는 컨트롤러와 프로세서 사이의 표준계약조항을 그 공식 영문 문언대로 적용합니다. 해당 조항은 본 계약의 일부를 이루며, 아래의 부속서가 그 조항의 부속서가 됩니다. Clause 5(도킹 조항)는 적용하지 않습니다. Clause 7.7에서는 선택지 2를 적용합니다: 하위 프로세서에 대한 일반적 서면 승인을 부여하고, 변경 시 30일 전에 통지합니다. 해당 조항과 본 계약이 서로 어긋나는 경우에는 해당 조항이 우선합니다.

4. 양측이 약속하는 사항

4V3D OÜ는 다음과 같이 합니다.

• 개인정보를 오직 서비스 제공을 위하여, 그리고 오직 어린이집의 문서화된 지시에 따라서만 처리합니다. 제3국으로의 이전에 관한 지시도 이에 포함됩니다. 본 계약과 어린이집의 서비스 이용이 바로 그 지시에 해당합니다. EU 또는 회원국 법에 따라 그 밖의 처리를 하여야 하는 경우, 4V3D OÜ는 그 법이 금지하지 않는 한 먼저 어린이집에 알립니다.
• 정보를 자사의 목적으로 사용하지 않고, 판매하지 않으며, 어떤 것을 학습시키는 데에도 사용하지 않고, 부속서 IV에 기재된 하위 프로세서 외의 누구에게도 보여 주지 않습니다.
• 접근 권한이 있는 모든 사람이 비밀유지 의무를 지도록 합니다.
• 부속서 III의 보안 조치를 유지하고, 그 수준을 낮추지 않습니다.
• 부속서 IV에 있는 하위 프로세서만 이용합니다. 4V3D OÜ는 하위 프로세서를 추가하거나 교체할 수 있으며, 그에 앞서 어린이집의 담당자에게 30일 전에 서면으로 통지합니다. 어린이집은 그 30일 안에 이의를 제기할 수 있고, 이의가 해소되지 않으면 서비스를 종료할 수 있으며 해당 월의 사용하지 않은 기간에 대해 환불받습니다.
• 학부모나 직원의 요구에 대한 어린이집의 답변을 돕습니다. 교사와 원장은 서비스 안에서 이 정보를 직접 열람, 정정, 내보내기, 삭제할 수 있습니다. 요구가 4V3D OÜ에 접수된 경우에는 5영업일 이내에 어린이집의 담당자에게 전달하며, 직접 답변하지 않습니다.
• Articles 32 to 36(보안, 침해 통지, 영향평가, 사전협의)에 따른 어린이집의 의무 이행을, 4V3D OÜ가 실제로 알고 있는 범위를 고려하여 돕습니다.
• 개인정보 침해를 인지한 때로부터 24시간 이내에 어린이집의 담당자에게 알리고, 그 시점에 확인된 내용을 전달하며 나머지는 확인되는 대로 알립니다.
• 서비스가 끝나면 30일 이내에 정보를 삭제하고, 어린이집이 원하는 경우에는 그에 앞서 정보를 반환합니다. 암호화된 백업에서는 90일 이내에 사라집니다. 4V3D OÜ는 삭제가 완료되면 서면으로 확인해 드립니다.
• 이러한 의무가 지켜지고 있음을 보이는 데 필요한 정보를 제공하고, 감사를 허용합니다. 실제로는 요청에 따라 서면 답변과 문서를 제공하는 것을 의미합니다. 현장 감사나 제3자 감사는 30일 전 통지로, 어린이집의 비용으로, 침해가 있었던 경우를 제외하고는 1년에 한 번을 넘지 않는 범위에서 진행할 수 있습니다.
• 어떤 지시가 개인정보 보호법을 위반하는 것으로 보이면 즉시 어린이집에 알립니다.

어린이집은 다음과 같이 합니다.

• 이 처리에 대한 적법한 근거가 있는지, 그리고 학부모에게 안내가 이루어졌는지 확인합니다. 4V3D OÜ는 학부모를 접하지 않으므로 이를 대신해 드릴 수 없습니다.
• 서비스에 담기는 정보를 부속서 II가 기술한 범위 안에 둡니다. 특히 아이의 성, 건강 정보, 아이에 대한 평가, 가정 형편에 관한 내용을 자유 입력란에 적지 마십시오.
• 자신의 계정 정보를 정확하게 유지하고, 담당자가 바뀌면 4V3D OÜ에 알립니다.
• 자신의 직원 계정을 관리합니다. 교사가 퇴직하면 그 교사의 로그인을 삭제하십시오.

5. 어린이집을 대신한 처리가 아닌 두 가지

나중에 누구도 짐작하지 않아도 되도록 여기에 분명히 적어 둡니다.

• 직원 계정. 교사나 원장의 이름, 이메일 주소, 비밀번호는 서비스를 운영하는 데 반드시 필요하고, 그 운영 방식은 4V3D OÜ가 정합니다. 이 좁은 목적에 한하여 4V3D OÜ는 프로세서가 아니라 컨트롤러이며, 4V3D OÜ 자신의 개인정보 처리방침이 적용됩니다. 아이들에 관한 모든 것은 어린이집을 대신한 처리이며 본 계약의 적용을 받습니다.
• 이용료 결제. 어린이집이 카드로 결제하는 경우, 결제는 Stripe Payments Europe Ltd가 처리합니다. Stripe는 어린이집의 청구 이름, 주소, VAT 번호, 이메일과 카드 정보를 받으며, 아이에 관한 정보는 전혀 받지 않습니다. 이 청구 정보의 컨트롤러는 4V3D OÜ입니다. 따라서 Stripe는 본 계약상 하위 프로세서가 아니며, 부속서 IV에도 없습니다.

6. 기간, 준거법 및 책임

본 계약은 4V3D OÜ가 어린이집의 정보를 처리하는 동안 유효하며, 서비스가 끝난 뒤에도 정보가 삭제될 때까지 존속합니다.

준거법은 에스토니아 법이고 하르유 주 법원이 관할합니다. 다만 어린이집이 자체 규정상 자국의 법과 법원을 따라야 하는 공공기관인 경우에는, 양 당사자가 서명 전에 그와 달리 합의합니다.

책임은 Minute Mission 이용약관에 정한 바에 따릅니다. 본 계약은 그 약관을 보충하는 것이며 대체하지 않습니다.

부속서 I. 당사자

컨트롤러: 어린이집. 결제 단계에서 입력한 정보 또는 서명본에 기입한 정보로 특정됩니다. 역할: 반 보드에 보관되는 아이들 정보의 컨트롤러.

프로세서: 4V3D OÜ, 등록번호 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, 에스토니아. 연락처: Oskar Viil, 이사회 구성원, info@4v3d.ee. 개인정보 보호책임자는 선임하지 않았습니다. 이 사안에서 GDPR이 선임을 요구하지 않기 때문입니다.

어느 쪽이든 상대방에게 서면으로 알려 담당자를 변경할 수 있습니다.

부속서 II. 처리에 대한 설명

부속서 III. 보안 조치

• 정보는 유럽연합 안에 있습니다. 애플리케이션과 백업은 Hetzner Online GmbH의 핀란드 헬싱키 데이터센터(ISO/IEC 27001 인증)에서 운영됩니다. 서비스 이메일은 프랑스의 Scaleway SAS에서 발송됩니다. 제3국으로의 이전은 없습니다.
• 전송 중인 모든 정보는 암호화됩니다(HTTPS, Content Security Policy 적용). 비밀번호는 저장하지 않고 해시만 저장하며, 세션 토큰도 해시로 저장하므로 데이터베이스 사본이 곧바로 쓸 수 있는 열쇠 꾸러미가 되지 않습니다.
• 반마다 별도의 계정입니다. 교사는 자기 반 아이들만 볼 수 있습니다. 원장은 자기 어린이집의 여러 반에 대해 하나의 로그인을 가지며, 다른 곳의 정보에는 접근할 수 없습니다.
• 반 계정에는 사진을 올릴 수 없고, 푸시 알림은 꺼져 있으며, 아이들의 그림은 정해진 그림 묶음에서만 고릅니다.
• 매일 암호화 백업을 하며 서버에 14일, 외부에 90일 보관합니다. 백업은 서버 자신이 가지고 있지 않은 공개키로 암호화하므로, 서버는 자기 백업을 읽지 못합니다. 백업에서의 복구는 시험해 두었습니다.
• 서버 접근은 4V3D OÜ의 이사회 구성원으로 제한됩니다. 접근 권한을 가진 직원, 외주 인력, 고객지원 담당자는 없습니다.
• 분석 도구도, 광고 도구도, 어떤 종류의 추적도 없습니다. 정기적으로 보는 수치는 가입 수, 활성 계정 수, 오류 수의 일일 집계뿐이며 이름은 들어 있지 않습니다.
• 로그인과 가입에 속도 제한을 두었고, 미션을 소급해서 체크할 수 있는 기간은 30일로 제한됩니다. 그래서 실수나 악용이 몇 달치 기록을 다시 쓰지 못합니다.
• 전체 소스에 대한 서면 보안 검토를 외부 모델로 두 차례 진행했으며, 가장 최근은 2026년 9월 20일이고 지적 사항은 모두 조치했습니다.

부속서 IV. 하위 프로세서

둘 다 유럽연합 안에 있습니다. EU 밖에 있는 하위 프로세서는 없고, 평가해야 할 국제 이전도 없습니다.