데이터 보호 정책

이 데이터 보호 정책은 Mondeum Capital (UK) Limited(“회사”)가 고객, 공급업체, 직원, 근로자 및 기타 제3자(“데이터 주체”)의 개인 데이터를 처리하는 방법을 설명합니다. 당사는 데이터 주체와 관련된 모든 개인 데이터와 당사 자신의 상업적 목적으로 비즈니스에서 사용하는 개인 데이터의 데이터 컨트롤러입니다.

이 정책은 회사가 처리하는 모든 개인 데이터(데이터 주체를 식별하는 정보 또는 당사가 단독으로 또는 당사가 보유하거나 합리적으로 접근할 수 있는 다른 식별자와 결합하여 해당 데이터로부터 (직접적 또는 간접적으로) 식별할 수 있는 데이터 주체와 관련된 정보)에 적용되며, 해당 데이터가 저장된 미디어나 과거 또는 현재 직원, 근로자, 고객, 의뢰인 또는 공급업체 연락처, 주주, 웹사이트 사용자 또는 기타 데이터 주체와 관련된 것인지 여부와 관계없이 적용됩니다.

이 정책은 모든 직원, 근로자, 계약자, 파견 근로자, 컨설턴트, 이사, 구성원 및 기타 모든 사람에게 적용됩니다.

회사를 대신하여 개인 데이터를 처리할 때 이 정책을 읽고 이해하고 준수해야 하며, 요구 사항에 대한 교육을 받아야 합니다. 이 정책은 회사가 적용 가능한 법률을 준수하기 위해 귀하에게 기대하는 것을 설명합니다. 이 정책 준수는 의무적입니다. 이 정책을 위반하면 징계 조치가 취해질 수 있습니다.

이 정책은 내부 문서이며 준법감시인의 사전 승인 없이 제3자, 고객 또는 규제기관과 공유할 수 없습니다.

이 정책은 고용 계약이나 서비스 계약의 일부를 구성하지 않으며, 당사는 통지 없이 언제든지 이를 수정할 수 있습니다.

이 정책은 회사가 운영하는 국가의 적용 가능한 국가 데이터 개인정보 보호법 및 규정을 무효화하지 않습니다.

범위

당사는 개인 데이터의 올바르고 합법적인 처리가 조직에 대한 신뢰를 유지하고 성공적인 비즈니스 운영을 제공할 것임을 인식합니다. 개인 데이터의 기밀성과 무결성을 보호하는 것은 당사가 항상 진지하게 받아들이는 중요한 책임입니다. 회사는 GDPR 조항을 준수하지 못할 경우 잠재적인 벌금에 노출됩니다.

모든 수준의 관리자는 귀하가 이 정책을 준수하도록 보장할 책임이 있으며, 그러한 준수를 보장하기 위한 적절한 관행, 프로세스, 통제 및 교육을 구현해야 합니다.

이 정책의 운영 또는 일반 데이터 보호 규정 또는 기타 데이터 보호법(“GDPR”)에 대해 질문이 있거나 이 정책이 준수되지 않고 있거나 준수되지 않았다는 우려가 있는 경우 준법감시인에게 연락하십시오. 특히, 다음과 같은 상황에서는 항상 준법감시인에게 연락해야 합니다:

• 개인 데이터 처리에 의존하는 합법적 근거(회사에서 사용하는 정당한 이익 포함)에 대해 확신이 없는 경우(아래 “적법성 및 공정성” 섹션 참조);
• 동의에 의존해야 하거나 명시적 동의를 확보해야 하는 경우;
• 개인정보 보호 고지를 작성해야 하는 경우(아래 “투명성” 섹션 참조);
• 개인 데이터 침해가 발생한 경우(아래 “개인 데이터 침해 신고” 섹션);
• 데이터 주체가 행사한 권리 처리에 도움이 필요한 경우(“데이터 주체의 권리 및 요청” 섹션 참조);
• 데이터 보호 영향 평가(“DPIA”)가 필요할 가능성이 높은 중요한 새로운 또는 변경된 처리 활동에 참여하는 경우(아래 “설계에 의한 개인정보 보호 및 DPIA” 섹션 참조) 또는 수집 목적 이외의 다른 목적으로 개인 데이터를 사용할 계획인 경우;
• 직접 마케팅 활동을 수행할 때 적용 가능한 법률 준수에 도움이 필요한 경우(아래 “직접 마케팅” 섹션 참조).

개인 데이터 보호 원칙

당사는 GDPR에 규정된 개인 데이터 처리 관련 원칙을 준수하며, 이는 이 정책에 명시되어 있습니다. 당사는 이러한 원칙을 준수할 책임이 있으며 준수를 입증할 수 있어야 합니다.

개인 데이터는 데이터 주체와 관련하여 합법적이고 공정하며 투명한 방식으로 처리되어야 합니다.

귀하는 특정 목적을 위해 공정하고 합법적으로 개인 데이터를 수집, 처리 및 공유할 수 있습니다. GDPR은 개인 데이터에 관한 당사의 행동을 특정 합법적 목적으로 제한합니다. 이러한 제한은 처리를 방지하려는 것이 아니라 데이터 주체에게 불리한 영향 없이 개인 데이터를 공정하게 처리하도록 보장하기 위한 것입니다.

• GDPR은 특정 목적을 위한 처리를 허용하며, 그 중 일부는 다음과 같습니다:
• 데이터 주체가 동의를 제공한 경우;
• 처리가 데이터 주체와의 계약 이행에 필요한 경우;
• 당사의 법적 준수 의무를 이행하기 위한 경우;
• 데이터 주체의 중요한 이익을 보호하기 위한 경우;
• 처리가 데이터 주체의 이익이나 기본 권리와 자유를 침해하여 정당한 이익을 넘어서지 않는 정당한 이익을 추구하기 위한 경우. 정당한 이익을 위해 개인 데이터를 처리하는 목적은 적용 가능한 개인정보 보호 고지에 명시되어야 합니다.

각 처리 활동에 의존하는 법적 근거를 식별하고 문서화해야 합니다.

동의

데이터 컨트롤러는 동의를 포함하여 GDPR에 규정된 하나 이상의 합법적 근거에 기반하여만 개인 데이터를 처리할 수 있습니다.

데이터 주체가 성명서 또는 적극적인 행동으로 처리에 명확히 동의를 표시하면 개인 데이터 처리에 동의한 것입니다. 동의는 긍정적인 행동이 필요하므로 침묵, 사전에 체크된 상자 또는 비활동은 충분하지 않을 가능성이 높습니다. 다른 사항을 다루는 문서에서 동의가 제공된 경우, 동의는 다른 사항과 별도로 유지되어야 합니다.

데이터 주체는 언제든지 처리에 대한 동의를 쉽게 철회할 수 있어야 하며 철회는 신속하게 이행되어야 합니다. 데이터 주체가 처음 동의했을 때 공개되지 않은 다른 목적이나 호환되지 않는 목적으로 개인 데이터를 처리하려는 경우 동의를 갱신해야 할 수 있습니다.

다른 법적 근거에 의존할 수 없는 한, 민감한 개인 데이터 처리, 자동화된 의사결정 및 국경 간 데이터 이전에는 일반적으로 명시적 동의가 필요합니다. 일반적으로 당사는 대부분의 민감한 데이터 유형을 처리하기 위해 다른 법적 근거에 의존할 것입니다(명시적 동의가 필요하지 않음). 명시적 동의(서면)가 필요한 경우, 명시적 동의를 확보하기 위해 데이터 주체에게 동의 고지를 발급해야 합니다.

확보된 동의를 증명하고 모든 동의 기록을 유지하여 회사가 동의 요건 준수를 입증할 수 있도록 해야 합니다.

투명성(데이터 주체에게 통지)

GDPR은 데이터 컨트롤러가 정보가 데이터 주체로부터 직접 수집되었는지 아니면 다른 곳에서 수집되었는지에 따라 데이터 주체에게 상세하고 구체적인 정보를 제공하도록 요구합니다. 그러한 정보는 적절한 개인정보 보호 고지를 통해 제공되어야 하며, 이는 간결하고 투명하며 이해하기 쉽고 쉽게 접근할 수 있으며 명확하고 평이한 언어로 작성되어 데이터 주체가 쉽게 이해할 수 있어야 합니다.

인사 또는 고용 목적을 포함하여 데이터 주체로부터 직접 개인 데이터를 수집할 때마다, 데이터 주체가 처음으로 개인 데이터를 제공할 때 제시되는 개인정보 보호 고지를 통해 데이터 컨트롤러의 신원, 해당 개인 데이터를 어떻게 그리고 왜 사용, 처리, 공개, 보호 및 보유할 것인지를 포함한 GDPR이 요구하는 모든 정보를 데이터 주체에게 제공해야 합니다.

간접적으로 개인 데이터가 수집되는 경우(예: 제3자 또는 공개적으로 이용 가능한 출처에서), 데이터를 수집/수령한 후 가능한 한 빨리 데이터 주체에게 GDPR이 요구하는 모든 정보를 제공해야 합니다. 또한 개인 데이터가 GDPR에 따라 그리고 당사의 해당 개인 데이터 처리를 고려하는 방식으로 제3자에 의해 수집되었는지 확인해야 합니다.

목적 제한

개인 데이터는 특정하고 명시적이며 합법적인 목적으로만 수집되어야 합니다. 이러한 목적과 호환되지 않는 방식으로 추가 처리되어서는 안 됩니다.

처음 수집했을 때 공개된 목적과 다른 새로운, 다른 또는 호환되지 않는 목적으로 개인 데이터를 사용할 수 없습니다. 단, 데이터 주체에게 새로운 목적을 알리고 필요한 경우 동의를 받은 경우는 제외합니다.

데이터 최소화

개인 데이터는 처리되는 목적과 관련하여 적절하고 관련성이 있으며 필요한 것으로 제한되어야 합니다.

직무 수행에 필요한 경우에만 개인 데이터를 처리할 수 있습니다. 직무와 관련 없는 어떤 이유로도 개인 데이터를 처리할 수 없습니다.

직무에 필요한 개인 데이터만 수집할 수 있습니다: 과도한 데이터를 수집하지 마십시오. 수집된 개인 데이터가 의도한 목적에 적절하고 관련성이 있는지 확인하십시오.

개인 데이터가 특정 목적에 더 이상 필요하지 않게 되면 회사의 데이터 보존 지침에 따라 삭제하거나 익명화해야 합니다.

정확성

개인 데이터는 정확해야 하며 필요한 경우 최신 상태로 유지되어야 합니다. 부정확한 경우 지체 없이 수정하거나 삭제해야 합니다.

당사가 사용하고 보유하는 개인 데이터가 정확하고 완전하며 최신 상태로 유지되고 수집한 목적과 관련성이 있도록 보장합니다. 수집 시점과 그 이후 정기적으로 개인 데이터의 정확성을 확인해야 합니다. 부정확하거나 오래된 개인 데이터를 파기하거나 수정하기 위한 모든 합리적인 조치를 취해야 합니다.

저장 제한

개인 데이터는 처리 목적에 필요한 기간보다 더 오래 식별 가능한 형태로 보관되어서는 안 됩니다.

법률, 회계 또는 보고 요건을 충족하기 위한 목적을 포함하여 처음 수집한 합법적인 비즈니스 목적에 필요한 것보다 더 오래 데이터 주체를 식별할 수 있는 형태로 개인 데이터를 보유해서는 안 됩니다.

회사는 법률이 최소 기간 동안 그러한 데이터를 보관하도록 요구하지 않는 한, 보유 목적을 위해 합리적인 시간이 지난 후 개인 데이터가 삭제되도록 보존 정책 및 절차를 유지합니다.

회사의 모든 적용 가능한 기록 보존 일정 및 정책에 따라 더 이상 필요하지 않은 모든 개인 데이터를 당사 시스템에서 파기하거나 삭제하기 위한 모든 합리적인 조치를 취합니다. 여기에는 해당되는 경우 제3자에게 그러한 데이터를 삭제하도록 요구하는 것이 포함됩니다.

적용 가능한 개인정보 보호 고지에서 데이터 주체에게 데이터가 저장되는 기간과 그 기간이 결정되는 방법을 알려야 합니다.

보안 무결성 및 기밀성

개인 데이터 보호

개인 데이터는 무단 또는 불법 처리, 우발적 손실, 파기 또는 손상으로부터 적절한 기술적 및 조직적 조치로 보호되어야 합니다.

당사는 당사의 규모, 범위 및 비즈니스, 이용 가능한 자원, 당사가 소유하거나 타인을 대신하여 유지하는 개인 데이터의 양 및 식별된 위험(해당되는 경우 암호화 및 가명화 사용 포함)에 적합한 보호 조치를 개발, 구현 및 유지합니다. 당사는 개인 데이터 처리의 보안을 보장하기 위해 이러한 보호 조치의 효과성을 정기적으로 평가하고 테스트합니다. 귀하는 당사가 보유하는 개인 데이터를 보호할 책임이 있습니다. 개인 데이터의 불법 또는 무단 처리 및 개인 데이터의 우발적 손실이나 손상에 대한 합리적이고 적절한 보안 조치를 구현해야 합니다. 손실 및 무단 접근, 사용 또는 공개로부터 민감한 개인 데이터를 보호하는 데 특별한 주의를 기울여야 합니다.

수집 시점부터 파기 시점까지 모든 개인 데이터의 보안을 유지하기 위해 당사가 마련한 모든 절차 및 기술을 따라야 합니다. 요청된 대로 적절한 조치를 시행하는 데 동의하는 제3자 서비스 제공업체에게만 개인 데이터를 이전할 수 있습니다.

다음과 같이 정의된 개인 데이터의 기밀성, 무결성 및 가용성을 보호하여 데이터 보안을 유지해야 합니다:

1. 기밀성은 개인 데이터를 알아야 하고 사용하도록 승인된 사람만이 접근할 수 있음을 의미합니다.
2. 무결성은 개인 데이터가 처리 목적에 정확하고 적합함을 의미합니다.
3. 가용성은 승인된 사용자가 승인된 목적으로 필요할 때 개인 데이터에 접근할 수 있음을 의미합니다.

당사가 GDPR 및 관련 표준에 따라 구현하고 유지하는 행정적, 물리적 및 기술적 보호 조치를 준수하고 우회하려 시도하지 않아야 합니다.

개인 데이터 침해 신고

GDPR은 데이터 컨트롤러가 개인 데이터 침해를 적용 가능한 규제기관에, 그리고 특정 경우에는 데이터 주체에게 통보하도록 요구합니다.

“개인 데이터 침해”는 개인 데이터의 보안, 기밀성, 무결성 또는 가용성을 손상시키거나 당사 또는 제3자 서비스 제공업체가 이를 보호하기 위해 마련한 물리적, 기술적, 행정적 또는 조직적 보호 조치를 손상시키는 행위 또는 부작위를 의미합니다. 개인 데이터의 손실 또는 무단 접근, 공개 또는 취득은 개인 데이터 침해입니다.

당사는 의심되는 개인 데이터 침해를 처리하기 위한 절차를 마련했으며 법적으로 요구되는 경우 데이터 주체 또는 적용 가능한 규제기관에 통보할 것입니다.

개인 데이터 침해가 발생했거나 의심되는 경우 스스로 사안을 조사하려 하지 마십시오. 개인 데이터 침해에 대해 즉시 준법감시인에게 연락하십시오. 잠재적인 개인 데이터 침해와 관련된 모든 증거를 보존해야 합니다.

이전 제한

GDPR은 GDPR이 개인에게 부여하는 데이터 보호 수준이 훼손되지 않도록 유럽경제지역(EEA) 이외의 국가로의 데이터 이전을 제한합니다. 귀하가 다른 국가에서 데이터를 전송, 발송, 조회 또는 접근하면 한 국가에서 시작된 개인 데이터를 국경을 넘어 이전하는 것입니다.

다음 조건 중 하나가 적용되는 경우에만 EEA 외부로 개인 데이터를 이전할 수 있습니다:

1. 유럽위원회가 당사가 개인 데이터를 이전하는 국가가 데이터 주체의 권리와 자유에 대한 적절한 보호 수준을 보장한다는 결정을 발표한 경우;
2. 구속력 있는 기업 규칙(BCR), 유럽위원회가 승인한 표준 계약 조항, 승인된 행동 강령 또는 인증 메커니즘과 같은 적절한 보호 조치가 마련되어 있는 경우(사본은 준법감시인으로부터 얻을 수 있습니다);
3. 데이터 주체가 잠재적 위험에 대한 안내를 받은 후 제안된 이전에 명시적 동의를 제공한 경우; 또는
4. 이전이 GDPR에 명시된 다른 이유 중 하나에 필요한 경우, 여기에는 당사와 데이터 주체 간의 계약 이행, 공익상의 이유, 법적 청구의 설정, 행사 또는 방어, 또는 데이터 주체가 물리적으로 또는 법적으로 동의할 수 없는 경우 그의 중요한 이익 보호, 그리고 일부 제한된 경우 당사의 정당한 이익이 포함됩니다.

데이터 주체의 권리 및 요청

데이터 주체는 당사가 개인 데이터를 처리하는 방식에 대해 권리를 가집니다. 여기에는 다음과 같은 권리가 포함됩니다:

1. 언제든지 처리에 대한 동의 철회;
2. 데이터 컨트롤러의 처리 활동에 관한 특정 정보 수령;
3. 당사가 보유하는 개인 데이터에 대한 접근 요청;
4. 직접 마케팅 목적으로 개인 데이터 사용 방지;
5. 수집 또는 처리 목적과 더 이상 관련이 없는 경우 개인 데이터 삭제 요청, 또는 부정확한 데이터 수정 또는 불완전한 데이터 완성;
6. 특정 상황에서 처리 제한;
7. 정당한 이익 또는 공익을 근거로 정당화된 처리에 이의 제기;
8. EEA 외부로 개인 데이터가 이전되는 계약 사본 요청;
9. 프로파일링을 포함한 자동화된 처리에만 기반한 결정에 이의 제기;
10. 데이터 주체 또는 다른 사람에게 손해나 고통을 유발할 가능성이 있는 처리 방지;
11. 권리와 자유에 높은 위험을 초래할 가능성이 있는 개인 데이터 침해 통보;
12. 감독 기관에 불만 제기; 및
13. 제한된 상황에서, 구조화되고 일반적으로 사용되며 기계가 읽을 수 있는 형식으로 제3자에게 개인 데이터 이전 수령 또는 요청.

위에 나열된 권리 중 하나에 따라 데이터를 요청하는 개인의 신원을 확인해야 합니다(제3자가 적절한 승인 없이 개인 데이터를 공개하도록 설득하도록 허용하지 마십시오).

받은 데이터 주체 요청을 즉시 준법감시인에게 전달해야 합니다.

책임

데이터 컨트롤러는 데이터 보호 원칙 준수를 보장하기 위해 효과적인 방식으로 적절한 기술적 및 조직적 조치를 구현해야 합니다. 데이터 컨트롤러는 데이터 보호 원칙을 준수할 책임이 있으며 준수를 입증할 수 있어야 합니다. 회사는 GDPR 준수를 보장하고 문서화하기 위한 적절한 자원과 통제 수단을 갖추어야 하며 다음을 포함합니다:

1. 데이터 개인정보 보호에 책임 있는 임원 임명;
2. 개인 데이터를 처리할 때 설계에 의한 개인정보 보호를 구현하고 처리가 데이터 주체의 권리와 자유에 높은 위험을 제시하는 경우 데이터 보호 영향 평가(DPIA) 완료;
3. 이 정책, 관련 문서 또는 개인정보 보호 고지를 포함한 내부 문서에 데이터 보호 통합;
4. 데이터 주체의 권리, 동의, 법적 근거, DPIA 및 개인 데이터 침해 등을 포함하여 GDPR, 내부 정책 및 절차, 데이터 보호 사항에 대해 귀하를 정기적으로 교육. 회사는 고용하고 참여시키는 모든 사람의 교육 참석 기록을 유지해야 합니다; 및
5. 구현된 개인정보 보호 조치를 정기적으로 테스트하고 준수를 평가하기 위한 정기적인 검토 및 감사 실시, 테스트 결과를 사용하여 준수 개선 노력 입증 포함.

기록 보관

GDPR은 당사가 모든 데이터 처리 활동의 완전하고 정확한 기록을 유지하도록 요구합니다. 데이터 주체의 동의 기록 및 동의 획득 절차를 포함하여 당사의 처리를 반영하는 정확한 기업 기록을 유지하고 관리해야 합니다.

이러한 기록에는 최소한 데이터 컨트롤러의 이름과 연락처 세부 정보, 개인 데이터 유형의 명확한 설명, 데이터 주체 유형, 처리 활동, 처리 목적, 개인 데이터의 제3자 수령인, 개인 데이터 저장 위치, 개인 데이터 이전, 개인 데이터의 보존 기간 및 현재 보안 조치에 대한 설명이 포함되어야 합니다. 이러한 기록을 작성하려면 위에 명시된 세부 정보와 적절한 데이터 흐름을 포함하는 데이터 맵을 작성해야 합니다.

교육 및 감사

당사는 귀하가 데이터 개인정보 보호법을 준수할 수 있도록 적절한 교육을 받도록 보장해야 합니다. 또한 준수를 평가하기 위해 당사의 시스템과 프로세스를 정기적으로 테스트해야 합니다. 모든 의무적인 데이터 개인정보 보호 관련 교육을 받고 팀이 유사한 의무적 교육을 받도록 해야 합니다.

귀하가 통제하는 모든 시스템과 프로세스가 이 정책을 준수하는지 정기적으로 검토하고 개인 데이터의 적절한 사용 및 보호를 위한 적절한 거버넌스 통제 및 자원이 마련되어 있는지 확인해야 합니다.

설계에 의한 개인정보 보호 및 DPIA

당사는 데이터 개인정보 보호 원칙 준수를 보장하기 위해 적절한 기술적 및 조직적 조치(예: 가명화)를 효과적인 방식으로 구현하여 개인 데이터를 처리할 때 설계에 의한 개인정보 보호 조치를 구현해야 합니다.

다음 사항을 고려하여 개인 데이터를 처리하는 모든 프로그램/시스템/프로세스에 구현할 수 있는 설계에 의한 개인정보 보호 조치를 평가해야 합니다:

1. 기술 현황;
2. 구현 비용;
3. 처리의 성격, 범위, 맥락 및 목적; 및
4. 처리로 인한 데이터 주체의 권리와 자유에 대한 다양한 가능성 및 심각성의 위험.

데이터 컨트롤러는 또한 고위험 처리에 관한 DPIA를 수행해야 합니다.

다음을 포함하여 개인 데이터 처리를 포함하는 주요 시스템 또는 비즈니스 변경 프로그램을 구현할 때 DPIA를 수행하고(준법감시인과 결과를 논의해야) 합니다:

1. 새로운 기술(프로그램, 시스템 또는 프로세스) 사용 또는 기술(프로그램, 시스템 또는 프로세스) 변경;
2. 프로파일링 및 자동화된 의사결정을 포함한 자동화된 처리;
3. 민감한 데이터의 대규모 처리; 및
4. 공개적으로 접근 가능한 지역의 대규모, 체계적인 모니터링.

DPIA에는 다음이 포함되어야 합니다:

1. 처리, 목적 및 해당되는 경우 데이터 컨트롤러의 정당한 이익에 대한 설명;
2. 처리의 목적 대비 필요성 및 비례성 평가;
3. 개인에 대한 위험 평가; 및
4. 현재의 위험 완화 조치 및 준수 입증.

자동화된 처리(프로파일링 포함) 및 자동화된 의사결정(ADM)

일반적으로 결정이 개인에게 법적 또는 유사한 중요한 영향을 미칠 때 ADM은 다음 경우를 제외하고 금지됩니다:

1. 데이터 주체가 명시적으로 동의한 경우;
2. 처리가 법에 의해 승인된 경우; 또는
3. 처리가 계약의 이행 또는 체결에 필요한 경우.

특정 유형의 민감한 데이터가 처리되고 있는 경우, 근거 (b) 또는 (c)는 허용되지 않지만, 사기 방지와 같은 상당한 공익을 위해 필요한 경우(덜 침해적인 수단을 사용할 수 없는 경우)에는 그러한 민감한 데이터를 처리할 수 있습니다.

결정이 자동화된 처리(프로파일링 포함)에만 기반하는 경우, 데이터 주체와 처음 소통할 때 이의 제기 권리를 알려야 합니다. 이 권리는 명확하게 그들의 주의를 끌어야 하며 다른 정보와 명확하게 분리하여 제시해야 합니다. 또한 데이터 주체의 권리, 자유 및 정당한 이익을 보호하기 위한 적절한 조치를 마련해야 합니다.

또한 의사결정 또는 프로파일링에 관련된 논리, 중요성 및 예상되는 결과를 데이터 주체에게 알리고 데이터 주체에게 인간 개입 요청, 관점 표현 또는 결정에 이의 제기 권리를 부여해야 합니다.

자동화된 처리(프로파일링 포함) 또는 ADM 활동이 수행되기 전에 DPIA를 수행해야 합니다.

직접 마케팅

당사는 고객에게 마케팅할 때 특정 규칙과 개인정보 보호법의 적용을 받습니다.

예를 들어, 전자 직접 마케팅(예: 이메일, 문자 또는 자동 전화)에는 데이터 주체의 사전 동의가 필요합니다. 기존 고객을 위한 제한된 예외인 “소프트 옵트인”은 조직이 그 사람에 대한 판매 과정에서 연락처 세부 정보를 얻었고, 유사한 제품이나 서비스를 마케팅하고 있으며, 세부 정보를 처음 수집할 때와 이후 모든 메시지에서 그 사람에게 마케팅을 거부할 기회를 제공한 경우 마케팅 문자나 이메일을 보낼 수 있도록 허용합니다. 직접 마케팅에 반대할 권리는 다른 정보와 명확하게 구분될 수 있도록 이해 가능한 방식으로 데이터 주체에게 명시적으로 제공되어야 합니다.

직접 마케팅에 대한 데이터 주체의 반대는 신속하게 이행되어야 합니다. 고객이 언제든지 거부하면 그들의 세부 정보는 가능한 한 빨리 차단되어야 합니다. 차단은 향후 마케팅 기본 설정이 존중되도록 충분한 정보를 유지하는 것을 포함합니다.

개인 데이터 공유

일반적으로 특정 보호 조치 및 계약 합의가 마련되지 않은 한 제3자와 개인 데이터를 공유하는 것은 허용되지 않습니다.

수신자가 업무상 정보를 알 필요가 있고 이전이 적용 가능한 국경 간 이전 제한을 준수하는 경우에만 당사가 보유하는 개인 데이터를 그룹(당사의 자회사 및 최종 지주 회사와 그 자회사를 포함)의 다른 직원, 대리인 또는 대표자와 공유할 수 있습니다.

다음과 같은 경우에만 당사가 보유하는 개인 데이터를 서비스 제공업체와 같은 제3자와 공유할 수 있습니다:

1. 계약된 서비스 제공 목적으로 정보를 알 필요가 있는 경우;
2. 개인 데이터 공유가 데이터 주체에게 제공된 개인정보 보호 고지를 준수하고 필요한 경우 데이터 주체의 동의를 얻은 경우;
3. 제3자가 필요한 데이터 보안 표준, 정책 및 절차를 준수하고 적절한 보안 조치를 마련하는 데 동의한 경우;
4. 이전이 적용 가능한 국경 간 이전 제한을 준수하는 경우; 및 GDPR 승인 제3자 조항이 포함된 완전히 서명된 서면 계약이 체결된 경우.