개인정보 처리위탁 계약서

제1조 목적 및 체결 당사자

이 문서의 주최자 또는 참여기관에는 개인 주최자, 기업, 공공기관, 교육기관, 체육시설, 협회, 동호회 등 행사 운영 주체가 포함됩니다. 참가자 개인정보의 처리 목적과 방법을 정하는 주체 및 각자의 처리 범위는 실제 운영 관계와 계약으로 정하며, 세션의 역할 이름이나 초대 수락만으로 정해지지 않습니다.

위탁자의 명칭, 대표 또는 권한 있는 담당자, 대상 행사, 위탁 기간, 처리 항목, 보유기간 및 재위탁 현황을 계약서 또는 부속 문서에 특정합니다. 개인 주최자는 직접, 단체는 계약 체결 권한이 있는 담당자를 통해 체결합니다. 일반 멤버의 초대 수락이나 서비스 이용약관 동의를 본 계약 체결로 간주하지 않습니다.

1. 본 계약은 위탁자(서비스 신청 주최자 또는 기관)가 SIST Check Up 서비스 운영을 위해 수탁자(주식회사 SIST)에게 개인정보 처리업무를 위탁함에 있어 위탁업무의 목적, 범위, 보호조치, 관리 감독, 책임을 정합니다.
2. 수탁자는 본 계약, 위탁자의 지시, 관계 법령의 범위를 벗어나 개인정보를 처리해서는 안 됩니다.

제2조 위탁업무의 내용

• 측정 세션 생성, 참가자 등록, 등록 링크 운영, 체크인, QR 코드 매핑 기능 제공
• 측정 스테이션 구성, 기록 입력, 기록 수정, 기록 조회, 자료 내보내기 기능 제공
• 운영 도우미 및 기록 도우미 임시 계정 발급, 인증, 권한 관리
• 방문자 등록, 전화번호 인증, 셀프체크인, QR 코드 변경, 본인 기록조회 기능 운영
• 서버, 데이터베이스, Redis, 스토리지, 백업, 보안 로그 및 감사로그 운영
• 장애 대응, 고객지원, 보안 점검, 데이터 반환 및 삭제 지원

제3조 위탁 처리 개인정보 항목

제4조 민감정보 및 미성년자 정보

1. 체력측정 결과, 키, 몸무게, BMI, 체지방률 등은 건강에 관한 정보 또는 이에 준하여 보호가 필요한 정보에 해당할 수 있습니다.
2. 위탁자는 건강정보 등 민감정보를 처리하려면 다른 개인정보 처리 동의와 구분한 별도 동의 또는 해당 처리를 요구·허용하는 법령상 근거를 확보해야 합니다.
3. 만 14세 미만 참가자의 개인정보 처리에 동의가 필요한 경우, 개인정보처리자인 주최자 또는 참여기관은 법정대리인의 동의를 받고 동의 여부를 확인한 후 처리해야 합니다. 행사 안내, 내부 승인, 담당자의 초대 수락은 이를 대신하지 않습니다.
4. 위탁자는 서비스 목적에 불필요한 주민등록번호, 상세 병력, 진단명, 치료내역, 가족관계 등 과도한 정보를 입력해서는 안 됩니다.

제5조 수탁자의 의무

1. 수탁자는 위탁업무 수행 목적과 본 계약 범위 내에서만 개인정보를 처리합니다.
2. 수탁자는 개인정보를 목적 외로 이용하거나 제3자에게 제공하지 않습니다. 위탁자의 지시만으로 위탁 범위를 넘는 이용·제공 또는 법령상 필요한 동의를 대신할 수 없습니다.
3. 수탁자는 개인정보 취급 임직원에게 비밀유지 의무를 부과하고 필요한 교육을 시행합니다.
4. 수탁자는 개인정보 침해 사고 또는 침해 우려를 인지한 경우 위탁자에게 지체 없이 통지하고 피해 확산 방지, 원인 조사, 복구에 협력합니다.
5. 수탁자는 위탁자의 요청이 있는 경우 처리 현황, 재위탁 현황, 보호조치 현황을 설명하거나 필요한 자료를 제공합니다.

제6조 위탁자의 의무

1. 위탁자는 참가자 개인정보 처리에 필요한 적법한 근거를 확인하고, 동의가 필요한 경우 실제 동의 및 그 확인 근거를 관리합니다. 수집·이용, 민감정보 처리, 제3자 제공은 각각 해당 요건을 충족해야 합니다. 처리위탁은 계약 체결과 위탁업무·수탁자 공개 등 법령상 절차를 이행합니다.
2. 위탁자는 관리자, 운영 도우미, 기록 도우미 권한을 필요한 사람에게만 부여하고 계정 및 PIN 공유를 관리해야 합니다.
3. 위탁자는 입력 정보가 서비스 목적에 필요한 범위를 넘지 않도록 관리하고, 오류 또는 과다 수집을 발견하면 정정 또는 삭제해야 합니다.
4. 정보주체 또는 법정대리인이 권리 행사를 요청하는 경우 위탁자는 개인정보처리자로서 이를 처리하며 필요한 경우 수탁자에게 지원을 요청할 수 있습니다.

제7조 재위탁 및 외부 서비스 이용

1. 수탁자는 위탁업무의 전부 또는 일부를 제3자에게 재위탁하려는 경우 위탁자의 동의를 받습니다. 재수탁자, 위탁업무 및 처리 범위를 계약 또는 부속 문서로 안내합니다.
2. SMS 인증번호 발송을 위해 문자 발송 모듈 또는 문자 발송 사업자에게 전화번호와 인증번호가 전송될 수 있습니다.
3. 서비스 운영을 위해 클라우드 서버, 데이터베이스, Redis, 스토리지, 백업 인프라를 사용할 수 있습니다.
4. 수탁자는 재수탁자가 본 계약과 관계 법령에 준하는 보호조치를 이행하도록 관리 감독합니다.

제8조 안전성 확보조치

• 개인정보 취급자 최소화 및 역할별 접근권한 관리
• 비밀번호 및 PIN 해시 처리, 인증 토큰 관리
• 중요 행위에 대한 감사로그 기록 및 보관
• 전송 구간 암호화 및 서버 접근권한 관리
• 대량 다운로드 또는 비정상 접근 점검
• 백업 및 장애 복구 체계 운영
• 개인정보 취급자 교육과 비밀유지 의무 부과

제9조 보유, 반환 및 삭제

1. 위탁자가 삭제 또는 반환을 지시하거나 계약이 종료된 경우 수탁자는 데이터 반환 또는 내보내기를 지원하고, 정해진 기준에 따라 개인정보를 파기합니다.
2. 법령상 보존 등 별도의 적법한 근거로 보관하는 정보는 해당 항목·근거·기간을 특정하여 분리 보관하고, 그 근거가 종료되면 파기합니다.

제10조 관리 감독 및 점검

1. 위탁자는 수탁자의 개인정보 처리 현황과 보호조치 이행 여부를 점검할 수 있습니다.
2. 수탁자는 합리적인 범위에서 위탁자의 점검 요청에 협조합니다. 다만 다른 고객의 정보, 영업비밀, 보안상 민감한 정보는 보호하기 위해 필요한 범위에서 열람 또는 제공 방법을 조정할 수 있습니다.

제11조 손해배상 및 책임

1. 수탁자 또는 위탁자가 본 계약 또는 관계 법령을 위반하여 상대방 또는 정보주체에게 손해를 발생시킨 경우 귀책 있는 당사자가 그 손해를 배상합니다.
2. 위탁자가 필요한 동의나 법적 근거 없이 개인정보를 제공하거나, 과도한 정보를 입력하거나, 권한 관리 의무를 위반하여 발생한 손해는 위탁자의 책임 범위에 포함될 수 있습니다.
3. 본 조는 강행 법령상 당사자가 부담해야 하는 책임을 배제하지 않습니다.

제12조 계약 기간 및 종료

1. 본 계약은 서비스 이용계약 또는 세션 운영 계약이 유효한 기간 동안 적용됩니다.
2. 서비스 이용계약이 종료되면 본 계약도 종료됩니다. 다만 반환, 삭제, 백업, 감사, 분쟁 대응에 필요한 조항은 해당 목적 달성 시까지 효력을 가집니다.

제13조 연락처

부칙

본 개정안은 권한 있는 당사자 간 체결 시 적용됩니다. 개정안 작성일은 2026년 10월 20일입니다.