데이터 처리 부록

최종 업데이트: 2025년 9월 11일

본 데이터 처리 부록은 그 별첨을 포함하여 (총칭하여 "DPA"), Tanium 서비스 제공을 위한 Tanium과 고객 및 파트너 간의 각 계약("계약")에 통합됩니다. 본 DPA에서 특별히 정의되지 않는 한, 본 DPA에서 사용되는 대문자 용어는 계약에 명시된 의미를 갖습니다.

1. 정의.

a) "CCPA"는 캘리포니아 소비자 개인정보 보호법(California Consumer Privacy Act), Cal.을 의미합니다. Civ. Code § 1798,100 et seq., 캘리포니아 개인정보 보호권법(California Privacy Rights Act) 및 그 시행 규정에 의해 개정된 법률.

b) "고객 개인 데이터"는 Tanium이 Tanium 서비스를 제공하는 과정에서 및 고객의 Tanium 서비스 이용을 통해 데이터 처리자로서 처리하는 모든 개인 데이터를 의미합니다.

c) "고객"은 계약의 당사자인 고객 또는 파트너를 의미합니다.

d) "데이터 보호법"은 유럽 데이터 보호법 및 CCPA를 포함하여 계약에 따른 개인 데이터 처리에 적용되는 모든 데이터 보호 및 개인정보 보호 관련 법률을 의미합니다.

e) "데이터 컨트롤러"는 개인 데이터 처리의 목적과 수단을 결정하는 주체를 의미합니다.

f) "데이터 처리자"는 데이터 컨트롤러를 대신하여 개인 데이터를 처리하는 주체를 의미하며, 해당되는 경우 CCPA에서 정의한 "서비스 제공자"를 포함합니다.

g) "유럽 데이터 보호법"은 다음을 의미합니다: (i) 개인 데이터 처리 및 데이터의 자유로운 이동에 관한 자연인 보호에 관한 유럽 의회 및 이사회의 2016/679 규정(일반 데이터 보호 규정)(이하 "EU GDPR"); (ii) EU 전자 프라이버시 지침(지침 2002/58/EC); (iii) 영국의 유럽연합(탈퇴)법 2018 제3조에 의거하여 영국 법률로 저장된 EU GDPR(이하 "UK GDPR"); (iv) 19 June 1992년의 스위스 연방 데이터 보호법(이하 "스위스 데이터 보호법"); 및 (v) (i)부터 (iv)에 따라 또는 이와 함께 적용되는 모든 해당 국가 데이터 보호법; 각각의 경우 수시로 개정되거나 대체될 수 있습니다.

h) "개인 데이터"는 식별되었거나 식별 가능한 자연인과 관련된 모든 정보를 의미합니다.

i) "처리"는 자동화된 수단 여부에 관계없이 개인 데이터 또는 개인 데이터 집합에 대해 수행되는 모든 작업 또는 일련의 작업을 의미하며, 수집, 기록, 구성, 구조화, 저장, 적응 또는 변경, 검색, 참조, 사용, 전송에 의한 공개, 배포 또는 기타 방식으로의 제공, 정렬 또는 결합, 제한, 삭제 또는 파기 등이 포함되며, "Process", "Processes" 및 "Processed"도 이에 따라 해석됩니다.

j) "제한적 이전"은 다음을 의미합니다: (i) EU GDPR이 적용되는 경우, 유럽경제지역에서 유럽위원회의 적정성 결정을 받지 않은 유럽경제지역 외부 국가로의 개인정보 이전; (ii) 영국 GDPR이 적용되는 경우, 영국에서 영국 데이터 보호법 17A 조항에 따른 적정성 규정에 근거하지 않은 다른 국가로의 개인정보 이전 2018; 및 (iii) 스위스 데이터 보호법이 적용되는 경우, 스위스에서 연방 데이터 보호 및 정보 위원회 또는 기타 권한 있는 스위스 당국이 적절한 데이터 보호를 제공한다고 결정하지 않은 다른 국가로의 개인정보 이전.

k) "보안 사고"는 고객 개인정보의 우발적 또는 불법적인 파괴, 손실, 변경, 무단 공개 또는 접근으로 이어지는 보안 침해를 의미합니다.

l) "표준 계약 조항"은 이 DPA의 6,1 조항에 규정된 형식으로, 유럽 의회 및 이사회의 규정 (EU) 2016/679에 따라 제3국으로의 개인정보 이전을 위한 표준 계약 조항에 관한 유럽위원회의 이행 결정 2021/914 (4 June 2021)에 첨부된 모듈 2(컨트롤러에서 프로세서로)의 계약 조항을 의미합니다.

m) "하위 처리자"는 계약에 따라 Tanium 서비스를 제공하는 것과 관련하여 Tanium이 의무를 이행하는 것을 지원하기 위해 Tanium이 고용한 데이터 처리자를 의미합니다. 하위 처리자에는 제3자 또는 Tanium의 계열사가 포함될 수 있습니다.

n) "Tanium"은 계약의 당사자인 Tanium 법인을 의미합니다.

o) "Tanium 서비스"는 Tanium 호스팅 서비스로 제공되는 소프트웨어 및 Tanium 소프트웨어 제품에 대한 지원 서비스를 의미합니다.

p) "UK Addendum"은 2022년 3월 21일에 UK 정보위원회(Information Commissioner's Office)가 발행한 EU 집행위원회 표준 계약 조항에 대한 국제 데이터 이전 부록(버전 B1,0)을 의미합니다.

2. 본 DPA의 범위. 이 DPA는 Tanium이 고객 개인 데이터를 처리하는 경우에만, 그리고 그 범위 내에서만 적용됩니다.

3. 당사자 간의 관계. Tanium과 고객 사이에서, 고객은 고객 개인 데이터의 데이터 컨트롤러입니다. Tanium은 이 DPA 및 계약에 명시된 목적을 위해서만, 그리고 고객의 문서화된 합법적 지침에 따라서만 고객 개인 데이터를 처리합니다. 당사자들은 이 DPA와 계약이 고객 개인 데이터의 처리와 관련하여 Tanium에 대한 고객의 완전하고 최종적인 지침을 규정하며, 이러한 지침의 범위를 벗어나는 처리는 고객의 사전 서면 동의가 필요하다는 데 동의합니다.

4. 개인 데이터의 고객 처리. 고객은 (i) 개인 데이터 처리 및 Tanium에 발행하는 처리 지침과 관련하여 데이터 보호법에 따른 의무를 준수하고, (ii) Tanium이 계약 및 이 DPA에 따라 고객 개인 데이터를 처리하고 Tanium 서비스를 제공하는 데 필요한 모든 동의와 권리를 데이터 보호법에 따라 통지하고 획득했거나 획득할 것임에 동의합니다.

5. 처리 세부 사항. 고객 개인 데이터 처리의 세부 사항은 이 DPA의 별첨 1에 명시되어 있습니다.

6. 데이터 이전.

6,1. 고객 개인 데이터의 이전이 유럽 경제 지역에서 이루어지는 제한적 이전인 경우, 표준 계약 조항은 본 DPA에 통합되며 다음과 같이 이전에 적용됩니다:

a) 조항 7 (도킹 조항) – 적용되지 않습니다.

b) 조항 9 (하위 처리자 사용) – 옵션 2 (일반 서면 승인)이 적용되며, 기간은 본 DPA의 섹션 9에 명시된 바와 같습니다.

c) 조항 11 (구제) – 선택적 문구는 적용되지 않습니다.

d) 조항 17 (준거법) – 옵션 1이 적용되며 준거법은 다음과 같습니다: (a) 계약이 EU 회원국의 법률에 의해 규율되는 경우 계약에 명시된 국가의 법률; 또는 (b) 계약이 비EU 회원국의 법률에 의해 규율되는 경우 네덜란드의 법률.

e) 조항 18 (법정지 및 관할권 선택) – 적용 가능한 법정지 및 관할권 선택은 다음과 같습니다: (a) 계약이 EU 회원국의 법률에 의해 규율되는 경우 계약에 명시된 국가의 법원; 또는 (b) 계약이 비EU 회원국의 법률에 의해 규율되는 경우 네덜란드의 법원.

f) 표준 계약 조항의 부속서 I 및 II의 세부 사항은 본 DPA의 별첨 1에 명시되어 있습니다.

6,2. 고객 개인 데이터의 이전이 영국에서 이루어지는 제한적 이전인 경우, UK 부록은 본 DPA에 통합되며 이전에 적용됩니다. UK 부록의 표 1, 2 및 3는 위 섹션 6,1의 정보와 본 DPA의 별첨 1로 작성되며, UK 부록 제1부의 표 4는 "수입자"를 선택하여 작성됩니다.

6,3. 고객 개인 데이터의 이전이 스위스에서 이루어지는 제한적 이전인 경우, 표준 계약 조항은 본 DPA에 통합되며 위 섹션 6,1에서 수정된 바와 같이 이전에 적용되되, 다음의 경우는 예외입니다:

a) "Regulation (EU) 2016/679”에 대한 참조는 스위스 개인정보 보호법에 대한 참조로 해석됩니다.

b) "Regulation (EU) 2016/679”의 특정 조항에 대한 참조는 스위스 개인정보 보호법의 동등한 조항 또는 섹션으로 대체됩니다.

c) "연합" 및 "회원국"은 "스위스"로 대체됩니다.

d) "관할 감독 기관" 및 "관할 법원"에 대한 참조는 "스위스 연방 개인정보 보호 정보 위원회" 및 "스위스의 관할 법원"으로 대체됩니다.

e) 조항 13(a) 및 부속서 I의 C부는 사용되지 않으며 "관할 감독 기관"은 스위스 연방 개인정보 보호 정보 위원회입니다.

f) 조항 17에서 표준 계약 조항은 스위스 법률의 적용을 받습니다.

g) 조항 18에서 분쟁은 스위스의 관할 법원에서 해결됩니다.

6,4. 표준 계약 조항이 적용되는 경우:

a) 고객은 본 DPA의 섹션 14에 명시된 바에 따라 표준 계약 조항에 따른 감사 권한을 행사합니다.

b) 하위 처리자에 대한 제한 이전을 시작하기 전에, Tanium은 표준 계약 조항 모듈 3(처리자 간)을 포함하는 하위 처리자와의 계약을 체결하거나, 대안적으로 Tanium은 하위 처리자의 처리와 관련하여 EU GDPR 및/또는 UK GDPR(해당되는 경우)의 제 46 또는 47조에 따라 하위 처리자가 적절한 보호 조치를 갖출 것임을 확인합니다.

c) 본 DPA와 표준 계약 조항 간에 충돌이 발생하는 경우, 표준 계약 조항이 우선합니다.

7. 처리의 기밀성. Tanium은 고객 개인 데이터를 처리하도록 승인된 모든 사람이 계약에 따른 Tanium의 기밀 유지 의무에 따라 고객 개인 데이터를 보호하도록 보장합니다.

8. 보안.

8,1. Tanium의 책임. Tanium은 보안 사고로부터 고객 개인 데이터를 보호하기 위해 https://help.tanium.com/bundle/ug_cloud_cloud/page/cloud/trust_compliance.html에서 확인할 수 있는 보안 조치에 설명된 바와 같이 위험에 적합한 수준의 보안을 보장하기 위한 적절한 기술적 및 조직적 조치를 시행합니다. Tanium은 보안 조치를 수시로 검토하고 업데이트할 수 있으며, 단 그러한 업데이트가 고객 개인 데이터의 전반적인 개인 정보 보호 또는 보안을 실질적으로 저하시키지 않아야 합니다.

8,2. 고객 책임. 위의 내용에도 불구하고, 고객은 본 DPA에서 규정한 경우를 제외하고, 계정 인증 자격 증명 보안, Tanium 서비스로 전송 및 수신 시 고객 개인 데이터의 보안 보호, Tanium 서비스와 관련하여 제공된 고객 개인 데이터를 안전하게 암호화하거나 백업하기 위한 적절한 조치 수행을 포함하여 Tanium 서비스의 안전한 사용에 대한 책임이 있음에 동의합니다.

9. 하위 처리자. 고객은 Tanium이 다음 조건을 충족하는 경우 고객 개인 데이터를 처리하기 위해 제3자 하위 처리자를 참여시키는 것에 대한 일반적인 승인을 제공합니다: (i) Tanium은 https://www.tanium.com/subprocessors에서 하위 처리자의 최신 목록("하위 처리자 목록")을 유지합니다; (ii) Tanium은 임명하는 모든 하위 처리자에게 적용 가능한 데이터 보호법에서 요구하는 기준에 따라 고객 개인 데이터를 보호하도록 요구하는 데이터 보호 조건을 부과합니다; (iii) Tanium은 하위 처리자의 행위, 오류 또는 누락으로 인해 발생하는 본 계약 위반에 대해 책임을 집니다. 하위 처리자 목록에는 새로운 하위 처리자에 대한 알림을 구독하는 메커니즘이 포함되어 있으며, 고객이 구독하는 경우 Tanium은 새로운 하위 처리자가 고객 개인 데이터 처리를 시작하기 전에 해당 목록을 업데이트하여 제안된 새로운 하위 처리자에 대해 고객에게 사전 통지를 제공합니다. 고객은 하위 처리자 목록의 "최종 업데이트" 날짜에 표시된 바와 같이 해당 통지가 제공된 날로부터 10(10)일 이내에 Tanium의 하위 처리자 선임 또는 교체에 이의를 제기할 수 있으며, 단 해당 이의 제기는 고객 개인 데이터 보호와 관련된 합리적인 근거에 기반하고 계약에서 정한 방식으로 서면으로 Tanium에 전달되어야 합니다. 이러한 상황에서 Tanium은 해당 하위 처리자를 선임하지 않거나 고객 개인 데이터를 처리하도록 허용하지 않습니다. 그러한 조치가 불가능한 경우, 고객은 30(30)일 사전 서면 통지로 계약을 일시 중단하거나 해지할 수 있습니다. 이러한 해지는 비기본 해지로 간주되며, 해지 효력 발생일까지 계약에 따라 지불해야 할 수수료를 지불할 고객의 의무를 침해하지 않습니다. 어느 당사자도 이러한 해지 이후 상대방에 대해 추가적인 책임을 지지 않습니다.

10. 협력 및 데이터 주체의 권리. Tanium 서비스는 고객이 고객 개인 데이터를 검색, 수정, 삭제 또는 제한하는 데 사용할 수 있는 제어 기능을 제공합니다. 고객은 이러한 제어 기능을 사용하여 데이터 주체 또는 관련 데이터 보호 당국의 요청에 응답하는 것과 관련된 의무를 포함하여 적용 가능한 데이터 보호법에 따른 의무를 이행하는 데 도움을 받을 수 있습니다. 고객이 Tanium 서비스 내에서 관련 고객 개인 데이터에 독립적으로 액세스할 수 없는 경우, Tanium은 고객이 다음에 응답할 수 있도록 상업적으로 합리적이고 적시에 지원을 제공합니다: (i) 적용 가능한 데이터 보호법에 따른 권리(해당되는 경우 액세스, 수정, 이의 제기, 삭제 및 데이터 이동성 권리 포함)를 행사하려는 데이터 주체의 모든 요청; 및 (ii) 고객 개인 데이터 처리와 관련하여 데이터 주체, 규제 기관 또는 기타 제3자로부터 수신된 기타 서신, 문의 또는 불만. 이러한 요청, 서신, 문의 또는 불만이 Tanium에 직접 제기된 경우, Tanium은 해당 내용의 전체 세부 사항을 제공하여 고객에게 즉시 알릴 것입니다.

11. 데이터 보호 영향 평가. Tanium이 유럽 데이터 보호법에 따라 요구되는 범위 내에서, Tanium은 고객이 유럽 데이터 보호법에서 요구하는 데이터 보호 영향 평가 또는 데이터 보호 당국과의 사전 협의를 수행할 수 있도록 Tanium 서비스에 관한 상업적으로 합리적인 요청 정보(해당 정보는 Tanium의 기밀 정보임)를 제공할 것입니다.

12. 보안 사고. Tanium이 보안 사고를 인지하게 된 경우, Tanium은 부당한 지체 없이 이메일을 통해 고객에게 통지하고, 고객이 적용 가능한 데이터 보호법에 따라 그리고 해당 법에서 요구하는 시간 내에 데이터 침해 보고 의무를 이행할 수 있도록 합리적인 정보와 협조를 제공할 것입니다. Tanium은 보안 사고의 영향을 해결하거나 완화하기 위해 합리적으로 필요한 조치와 행동을 취하고, 가능한 경우 보안 사고와 관련된 모든 중요한 진행 상황을 고객에게 지속적으로 알릴 것입니다.

13. 데이터 삭제 또는 반환. 계약의 종료 또는 만료 시, Tanium은 고객의 선택에 따라 Tanium이 데이터 처리자로서 처리하는 고객 개인 데이터를 모두 삭제하거나 고객에게 반환할 것입니다. 고객이 계약 종료 또는 만료 후 삼십(30)일 이내에 선택 사항을 Tanium에 통지하지 않는 경우, Tanium은 해당 고객 개인 데이터를 자동으로 삭제할 것입니다. Tanium이 백업 시스템에 고객 개인 데이터를 보관하고 있는 경우, Tanium은 백업 시스템이 해당 데이터를 삭제할 때까지 고객 개인 데이터를 추가 처리로부터 안전하게 격리하고 보호할 것입니다. Tanium은 고객 개인 데이터를 보유하도록 법적으로 요구되는 범위 내에서 고객 개인 데이터를 삭제하지 않습니다.

14. 감사. 고객은 Tanium이 독립적인 제3자 감사인에 의해 적용 가능한 표준에 따라 정기적으로 감사를 받는다는 것을 인정합니다. 요청 시, 관할 감독 기관이 요구하는 경우를 제외하고 12개월 기간 내에 최대 한 번, 고객에게 추가 비용 없이, Tanium은 감사 보고서의 요약본을 고객에게 제공하며, 이는 계약의 기밀 유지 조항에 따릅니다. 요청 시 및 계약의 기밀 유지 조항에 따라, 고객은 이 DPA의 조항에 대한 Tanium의 준수를 확인하기 위해 정보 보안 및 감사 설문지에 대한 응답을 요청할 수 있으며, 단 고객은 관할 감독 기관이 요구하는 경우를 제외하고 연간 1회를 초과하여 이 권리를 행사하지 않습니다. Tanium과 고객은 고객 요청의 범위 및 시작일과 종료일에 대해 사전에 상호 합의합니다.

15. 기타.

15,1. 당사자 간에, 이 DPA와 관련하여 발생하거나 이와 관련된 각 당사자의 책임은 계약의 책임 제한 조항에 따릅니다. 어떠한 경우에도 어느 당사자도 표준 계약 조항에 따른 데이터 주체 또는 데이터 보호 기관에 대한 책임을 제한하지 않습니다.

15,2. 이 DPA의 주제와 관련하여 이 DPA와 계약 간에 충돌 또는 불일치가 있는 경우, 이 DPA가 우선합니다.

15,3. 본 DPA는 적용 가능한 데이터 보호법에 의해 달리 요구되는 경우를 제외하고, 계약을 규율하는 준거법 조항에 따라 규율되고 해석됩니다.

15,4. 표준 계약 조항이 적용되는 경우, Tanium Inc.는 표준 계약 조항에 따른 "데이터 수입자"입니다. 본 DPA의 당사자인 Tanium 법인이 Tanium Inc.가 아닌 경우, 해당 Tanium 법인은 Tanium Inc.를 대신하여 "데이터 수입자"의 의무를 이행합니다.

15,5. 계약상 수정 또는 변경에 관한 제한에도 불구하고, 당사자들은 Tanium이 데이터 보호법의 변경 사항을 준수하기 위해 본 DPA를 주기적으로 업데이트할 수 있다는 데 동의합니다. 이러한 변경이 발생하는 경우, Tanium은 업데이트된 버전을 www.tanium.com/dpa에 게시합니다. 이러한 업데이트는 고객 개인 데이터의 개인 정보 보호 또는 보안을 실질적으로 저하시키지 않습니다.

부록 1

부속서 I

A. 당사자 목록

데이터 수출자:

데이터 수입자:

В. 이전에 대한 설명

C. 관할 감독 기관

부속서 II - 데이터 보안을 보장하기 위한 기술적 및 조직적 조치를 포함한 기술적 및 조직적 조치