개인정보 처리위탁 동의서

제정 2026년 6월 8일 · 시행 2026년 7월 13일

이용기관(이하 "위탁자"라 한다)과 메디솔브에이아이 주식회사(이하 "수탁자"라 한다)는 "위탁자"의 개인정보 처리업무를 "수탁자"에게 위탁함에 있어 다음과 같은 내용에 합의한다.

위탁자가 서비스 가입 절차에서 이 문서에 동의한 때에 그 내용대로 위탁계약이 성립한다.

제1조 (목적)

이 계약은 "위탁자"가 개인정보 처리업무를 "수탁자"에게 위탁하고, "수탁자"는 이를 승낙하여 "수탁자"의 책임 아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의)

본 계약에서 별도로 정의되지 아니한 용어는 개인정보 보호법, 같은 법 시행령, 개인정보의 안전성 확보조치 기준(개인정보보호위원회 고시), 표준 개인정보 보호지침(개인정보보호위원회 고시) 등에서 정의된 바에 따른다.

제3조 (위탁업무의 목적 및 범위)

"수탁자"는 계약이 정하는 바에 따라 "위탁자"가 이용계약을 체결한 서비스의 제공 목적으로 다음과 같은 개인정보 처리 업무를 수행한다.

1. "위탁자"가 서비스에 입력·연동하거나 "위탁자"의 지시에 따라 수집되는 개인정보의 수집·저장·조회·수정·삭제 및 파기
2. 서비스 기능 제공에 필요한 범위에서의 개인정보의 가공·분석 및 결과물의 생성·제공
3. 위 각 호의 수행에 필요한 범위에서의 클라우드 인프라를 통한 처리

위탁하는 개인정보의 항목, 정보주체의 범위 및 서비스별 세부 처리 업무는 [별지] 서비스별 위탁업무 명세에 따른다.

제4조 (위탁업무 기간)

이 계약서에 의한 개인정보 처리업무의 기간은 다음과 같다.

계약 기간 : "위탁자"의 서비스 이용계약 개시일부터 그 종료일까지. 서비스 이용계약이 갱신되는 경우 이 계약도 같은 기간으로 갱신된 것으로 본다.

제5조 (재위탁 제한)

① "수탁자"는 "위탁자"의 동의를 얻은 경우를 제외하고 위탁받은 개인정보 처리 업무를 제3자에게 재위탁할 수 없다.

② "수탁자"가 "위탁자"의 동의를 받아 개인정보 처리 업무의 전부 또는 일부를 제3자에게 다시 위탁하는 경우에는 "위탁자"에게 재위탁받는 자 및 재위탁 업무의 범위를 알려야 한다. 다만, "수탁자"가 사전에 재위탁의 범위와 재위탁자를 정하여 "위탁자"에게 알리고 동의를 받았을 때에는 그러하지 아니하다.

③ "수탁자"는 본조에 따른 재위탁을 문서로 하여야 한다.

④ "수탁자"는 재위탁받는 자의 명칭과 그 업무 범위를 개인정보처리방침으로 공개하여야 한다.

제6조 (개인정보의 안전성 확보조치 등)

"수탁자"는 「개인정보 보호법」 제29조, 같은 법 시행령 제30조 및 개인정보의 안전성 확보조치 기준(개인정보보호위원회 고시)에 따라 개인정보의 안전성 확보에 필요한 관리적·기술적 및 물리적 안전조치를 하여야 한다.

제7조 (개인정보의 처리제한)

"수탁자"는 계약 기간 동안은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.

제8조 (수탁자에 대한 관리·감독 등)

① "위탁자"는 "수탁자"에 대하여 개인정보의 처리 위탁과 관련하여 다음 각 호의 사항을 관리하도록 요구할 수 있으며, "수탁자"는 특별한 사유가 없는 한 이에 응해야 한다.

1. 개인정보의 처리 현황
2. 개인정보의 접근 또는 접속기록
3. 개인정보 접근 또는 접속 대상자
4. 목적 외 이용·제공 및 재위탁 제한 사항 준수 여부
5. 암호화 등 안전성 확보조치 이행 여부
6. 개인정보 유출 등 사고 발생 시의 통지 및 대응 조치 이행 여부

② "위탁자"는 "수탁자"에 대하여 제1항 각 호의 사항에 대한 현황을 점검하거나 "수탁자" 또는 제3자에 의한 현황 점검을 요구할 수 있고, 점검 사항에 대하여 시정을 요구할 수 있다. "수탁자"는 특별한 사유가 없는 한 "위탁자"의 요구를 이행해야 한다.

③ 제2항에 따른 현황 점검은 "위탁자"가 요구하는 경우 "수탁자"가 정한 절차에 따라 점검에 필요한 자료를 "위탁자"에게 제공하는 것으로 갈음한다. 다만 "수탁자"가 다음 각 호 중 어느 하나에 해당하게 된 경우에는 그러한 사정을 "위탁자"에게 알리고 위탁받은 개인정보의 처리 업무에 대한 점검 결과를 "위탁자"에게 12개월의 단위로 정기적으로 보고하는 것으로 위 각 항에 따른 "위탁자"와 "수탁자"의 의무 이행에 갈음할 수 있다. "위탁자"에 대한 "수탁자"의 보고의 시기 등에 대하여는 "위탁자"와 "수탁자"가 협의하여 정할 수 있다.

1. 개인정보 보호법 제32조의2에 따른 개인정보 보호 인증(ISMS-P)을 취득하여 주기적으로 점검을 받고 있는 경우
2. 개인정보보호위원회의 개인정보보호 '민관협력 자율규제'에 참여하여 주기적으로 점검을 받고 있는 경우
3. 그 외 위 1호, 2호에 준하는 경우로서, "위탁자"와 "수탁자"가 합의하여 법 제31조 제7항의 개인정보 보호책임자 협의회 등에 의한 점검 등을 주기적으로 받고 있는 경우

④ 제3항의 경우에도 "수탁자"는 "수탁자"의 처리위탁 업무와 관련하여 개인정보 보호법 위반 또는 본 계약 위반의 사항이 발생한 경우에는 즉시 이를 "위탁자"에게 통지하여야 하고, "위탁자"의 지시에 따라야 한다.

제9조 (수탁자에 대한 교육)

① "위탁자"는 개인정보 보호법 제26조 제3항에 따라 개인정보처리 업무의 위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 "수탁자"를 교육할 수 있으며, "수탁자"는 이에 응하여야 한다. "수탁자"는 "위탁자"와 협의하여 "수탁자"의 책임 하에 그의 개인정보 취급자 등에게 교육을 실시할 수 있다.

② 제1항에 따른 교육은 집합교육, 온라인 교육 등의 방식 등 교육 목적을 달성할 수 있는 범위 내에서 다양한 방식으로 진행될 수 있으며, 구체적인 방식에 대하여는 "위탁자"와 "수탁자"가 별도로 협의하여 정할 수 있다. 다만, "수탁자"가 자체적으로 또는 제3자인 전문업체를 통해 교육을 실시하는 경우에는 "수탁자"가 교육의 시행 여부 및 결과 등을 "위탁자"에게 증빙자료와 함께 보고하여야 하고, "위탁자"는 보고 내용을 주기적으로 점검할 수 있다.

③ 그 밖에 구체적으로 교육의 시기와 방법 등에 대해서는 "위탁자"는 "수탁자"와 협의하여 시행한다.

제10조 (정보주체 권리보장)

"수탁자"는 정보주체의 개인정보 열람, 정정·삭제, 처리 정지 요청 등에 대응하기 위한 연락처 등 민원 창구를 마련해야 한다.

제11조 (개인정보의 파기)

① "수탁자"는 계약이 해지되거나 계약 기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 개인정보 보호법 시행령 제16조에 따라 즉시 파기하거나 "위탁자"에게 반환하여야 한다.

② 제1항에 따라 "수탁자"가 개인정보를 파기한 경우에는 지체 없이 "위탁자"에게 그 결과를 통보해야 한다.

제12조 (손해배상)

① "수탁자"가 이 계약에 따른 의무를 위반하여 정보주체 또는 제3자에게 손해가 발생할 경우 "위탁자"와 "수탁자"는 공동으로 정보주체 또는 제3자의 손해를 배상하기로 한다.

② 제1항과 관련하여 정보주체 또는 제3자의 손해를 배상한 당사자는 상대방에게 자신의 부담 비율을 초과하는 부분에 대하여 구상할 수 있다.

제13조 (동의 및 성립)

① 이 문서는 위탁자가 서비스 가입 절차에서 전자적 방법으로 동의함으로써 성립하며, 서면 날인을 요하지 아니한다.

② 수탁자는 위탁자의 동의 일시, 동의한 계정 및 동의한 문서를 식별할 수 있는 정보를 기록·보관한다. 위탁자는 수탁자에게 요청하여 동의한 내용을 제공받을 수 있다.

③ 수탁자가 이 문서의 내용을 변경하는 경우 변경 내용과 시행일을 시행일 30일 전까지 위탁자에게 통지하며, 위탁자가 변경에 동의하지 아니하는 경우 서비스 이용계약을 해지할 수 있다.

수탁자

위탁자

서비스에 가입한 이용기관. 위탁자의 기관명·사업자등록번호·대표자는 가입 시 등록한 정보에 따르며, 동의 시점의 등록 정보가 이 문서의 당사자 표시를 갈음한다.

[별지] 서비스별 위탁업무 명세

제3조의 개인정보 처리 업무 중 서비스별로 달라지는 사항이다.

각 서비스의 상세 항목은 해당 서비스의 「개인정보 처리방침」 말미의 「개인정보 수집 항목」에 따른다. 회사가 서비스를 추가하는 경우 해당 서비스의 행이 더해지며, "위탁자"는 자신이 이용하는 서비스에 해당하는 행에 한하여 동의한다.

[별지] 재위탁자 명세

제5조 제2항 단서에 따라 "수탁자"가 사전에 알리는 재위탁의 범위와 재위탁자다. "위탁자"는 이 문서에 동의함으로써 아래 재위탁에 동의한다.

인프라·결제 — 모든 서비스에 공통으로 적용한다

[별지] 개인정보 파기의 30일 유예

제11조 제1항은 계약이 종료된 경우 개인정보를 즉시 파기하거나 반환하도록 정한다. "수탁자"는 아래와 같이 그 파기를 30일간 유예한다.