---
title: "데이터 처리 계약"
description: "GDPR 및 스위스 FADP 준수를 위한 표준 계약 조항이에요."
lang: ko
url: https://clavitor.ai/ko/dpa
markdown: https://clavitor.ai/ko/dpa.md
translation_of: https://clavitor.ai/en/dpa.md
authoritative: false
publisher: Clavitor LLC
---

> This is the Korean translation of [Data Processing Agreement](https://clavitor.ai/en/dpa.md). The original English text is authoritative; where the two differ, the English version prevails.

# 법적 고지: 데이터 처리 계약

GDPR 및 스위스 FADP 준수를 위한 표준 계약 조항이에요. 모든 유료 구독에 자동으로 적용돼요.
최종 업데이트: 2026년 9월 29일

## Definitions

**"관리자"** 는 Clavitor 볼트 내에서 데이터를 생성하고 소유하는 자연인을 의미해요. 회원님은 항상 본인의 자격 증명 및 개인정보에 대한 관리자예요.

**"처리자"** 는 관리자를 대신하여 호스팅 인프라, 암호화 오케스트레이션 및 데이터 저장 서비스를 제공하는 주체인 Clavitor.ai를 의미해요.

**"정보주체"** 는 개인정보가 처리되는 자연인을 의미해요. 이는 회원님(관리자) 본인이거나 볼트에 데이터를 저장하는 다른 사람(가족, 직원, 고객)일 수 있어요.

**"개인정보"** 는 볼트에 저장된 식별되거나 식별 가능한 자연인과 관련된 모든 정보를 의미하며, 여기에는 자격 증명, 비밀번호, API 키, 결제 카드 데이터, 신원 문서 및 연락처 정보가 포함되지만 이에 국한되지 않아요.

**"처리"** 는 개인정보에 대해 수행되는 모든 작업을 의미하며, 여기에는 수집, 저장, 암호화, 전송, 백업 및 삭제가 포함돼요.

## Processing details

| 항목 | 세부 정보 |
|------|--------|
| **대상** | 암호화된 자격 증명 볼트 호스팅 및 관련 서비스 |
| **기간** | 구독 기간 동안 적용되며, 취소 후 30일의 읽기 전용 유예 기간이 추가돼요. 유예 기간이 지나면 볼트 데이터가 삭제돼요. 규정 준수 백업은 삭제 후 30일이 지나면 파기돼요. 요청 시 즉시 삭제할 수 있어요. |
| **성격 및 목적** | 암호화된 데이터 저장, 인증 오케스트레이션, 백업 및 재해 복구, 기술 지원(영지식 제한 사항 포함) |
| **개인정보 유형** | 사용자 자격 증명, 인증 토큰, 결제 카드 데이터, 신원 문서, 보안 메모, TOTP 시드, 메타데이터 |
| **정보주체 범주** | 관리자(계정 소유자) 및 관리자가 데이터를 저장하기로 선택한 제3자 |

## Obligations of the Processor

**3.1 문서화된 지시에 따라서만 처리해요.** Clavitor는 서비스 약관에 설명된 볼트 서비스를 제공하기 위해서만 개인정보를 처리해요. 자체적인 목적으로 데이터를 사용하거나, AI 모델을 학습시키거나, 인사이트를 도출하거나, 구독료 외에 수익을 창출하지 않아요.

**3.2 기밀성을 보장해요.** 인프라에 접근할 가능성이 있는 모든 Clavitor 직원은 기밀 유지 계약의 구속을 받아요. 접근 권한은 최소 권한 원칙에 따라 부여되며 기록돼요.

**3.3 보안 조치를 구현해요.** 당사는 다음을 구현해요:

- 종단간 암호화: 저장 중 및 전송 중인 데이터 암호화
- 암호화 수준(L2/L3): 기기에서 파생된 키(WebAuthn PRF)로 암호화된 신원 필드 — 당사가 복호화할 수 없음
- 영지식 아키텍처: 볼트 내용을 복호화할 수 없으며, 메타데이터(항목 ID, 유형, 타임스탬프)만 읽을 수 있음
- 기기 기반 인증(WebAuthn): 서버 측에 비밀번호가 저장되지 않음
- 지리적 분산: 암호화된 복제 기능을 갖춘 24개의 글로벌 접속 지점(POP)
- 인시던트 대응: 연중무휴 모니터링, 자동 알림, 문서화된 침해 대응 절차

**3.4 하위 처리자 투명성.** 당사는 [하위 처리자 목록](https://clavitor.ai/ko/subprocessors)에 나열된 하위 처리자만 사용해요. 새로운 하위 처리자를 추가하기 30일 전에 구독자에게 알려요.

**3.5 정보주체 권리 지원.** 요청 시 GDPR/FADP에 따른 권리(접근, 정정, 삭제, 이전, 제한, 반대)를 행사하는 정보주체의 요청에 응답할 수 있도록 도와드려요. 참고: 암호화 아키텍처로 인해 암호화된 볼트 내용에 접근하거나 수정할 수 없으므로, 지원은 계정 수준 작업으로 제한돼요.

**3.6 보안 의무 지원.** 요청 시 보안 문서, 모의 해킹 요약(세부 정보에는 NDA 필요) 및 감사 로그를 제공해요.

**3.7 데이터 삭제 또는 반환.** 구독이 해지되면 볼트는 30일 동안 읽기 전용 상태가 돼요. 30일이 지나면 볼트 데이터가 영구적으로 삭제돼요. 규정 준수 백업은 삭제 후 30일이 지나면 파기돼요. 미납으로 계정이 정지된 경우, 정지 후 30일이 지나면 데이터가 삭제되고 그 후 60일이 지나면 백업이 교체돼요. 언제든지 요청 시 즉시 삭제할 수 있어요. 데이터는 복호화된 형태로 반환될 수 없어요(당사는 키를 보유하고 있지 않아요). 전체 세부 정보는 [서비스 약관](https://clavitor.ai/ko/terms)에서 확인해요.

**3.8 감사 및 검사.** 30일 전 서면 통지 시 본 DPA 준수 여부에 대한 감사를 진행할 수 있어요. 감사는 취리히 본사 또는 가상으로 진행돼요. 당사는 관련 문서를 제공하며, 인프라에 직접 접근하려면 보안 승인이 필요해요.

**3.9 침해 사고 통지.** 개인정보에 영향을 미치는 침해 사고를 발견한 후 24시간 이내에 알려드려요. 조사나 법적 검토를 위해 통지를 지연시키는 일은 절대 없어요.

**3.10 처리 활동 문서화.** 당사는 처리 활동 기록을 유지하며 요청 시 요약을 제공해요.

## Obligations of the Controller

회원님은 다음을 보증해요:

- 볼트의 개인정보를 처리할 수 있는 적법한 근거를 보유하고 있어요
- 데이터를 저장하는 정보주체에게 적절한 개인정보 처리 방침을 제공했어요
- 관련 법률을 위반하여 데이터를 저장하지 않아요
- 정보주체의 요청이나 규제 기관의 문의가 있으면 지체 없이 당사에 알려요

## Data location and transfer

볼트 데이터는 접근 패턴에 따라 지리적으로 가장 가까운 글로벌 접속 지점(POP)에 암호화되어 저장돼요. 복원력을 위해 기본 POP와 백업 POP는 서로 다른 지역에 위치해요. 도시, 제공업체 및 규정 준수 인증이 포함된 24개 POP의 전체 목록은 [POP 데이터베이스](https://clavitor.ai/ko/pops)에서 관리돼요.

볼트 글로벌 접속 지점(POP)에 사용되는 인프라 제공업체는 The Constant Company, LLC (Vultr) (뉴욕, 멕시코시티, 암스테르담, 마드리드, 서울, 요하네스버그); Akamai Technologies, Inc. (Linode) (댈러스, 토론토, 상파울루, 뭄바이, 도쿄, 시드니); UpCloud Ltd (실리콘밸리, 런던, 스톡홀름, 바르샤바, 싱가포르); Webrain OÜ (is*hosting) (보고타, Zürich, 이스탄불, 홍콩, 두바이, 알마티); 그리고 SiteHUB Agency Ltd (라고스)예요. 관리 및 결제 인프라는 Leaseweb (Central-I, 암스테르담)이고, ABLENET (Central-II, 오사카)가 장애 조치예요. 볼트 데이터를 보관하지 않는 플랫폼 운영은 Hivelocity (탬파)를 사용해요.

모든 POP는 다음 중 하나에 해당해요:

- 적정성 결정이 내려진 관할권(EU, EEA, 스위스, 영국, 캐나다 등)에 위치하거나
- 적정성 결정이 없는 경우 표준 계약 조항(SCC)의 구속을 받아요

당사의 암호화 아키텍처(영지식)로 인해 적정성이 인정되지 않은 관할권에 저장된 데이터도 기술적으로 보호돼요. 당사가 복호화할 수 없으며, 현지 당국도 마찬가지예요. DNS 확인은 Cloudflare에서 처리하며, 볼트 데이터가 해당 네트워크를 통과하는 일은 절대 없어요.

## Encryption and technical measures

저장된 데이터 중 당사가 복호화할 수 있는 데이터는 없어요. 볼트 파일은 암호화되며 암호화 키는 서버에 저장되지 않아요. 에이전트나 사용자가 연결할 때 L1 키를 함께 가져오는데, 기술적으로는 전송 중에 이를 가로챌 수 있지만(당사는 그렇게 하지 않으며, TLS가 제3자의 가로채기를 방지해요), L1이 있더라도 메타데이터만 볼 수 있어요. 자격 증명 및 신원 필드는 계속 봉인된 상태로 유지돼요.

- **L1 (볼트 암호화):** 볼트는 AES-256-GCM으로 저장 시 암호화돼요. 8바이트 L1 키는 각 요청 시 에이전트나 사용자가 가져오며 서버에 저장되지 않아요. L1을 사용하면 항목 제목, 유형 및 타임스탬프를 볼 수 있어요. 이는 요청을 처리하는 데 필요한 최소한의 운영 요구 사항이에요.
- **L2 (자격 증명 필드):** 비밀번호, API 키, TOTP 시드, OAuth 토큰 — **서버에 존재하지 않는** 16바이트 키로 필드별로 암호화돼요. L2는 사용자의 브라우저와 등록된 에이전트만 보유해요. 당사는 자격 증명 필드를 복호화할 수 없으며, 어떤 서버 측 프로세스도 L2에 접근할 수 없어요.
- **L3 (신원 필드):** 신용카드, CVV, 여권 번호, SSN, 복구 코드 — 볼트 생성 시 생성된 순수 무작위 엔트로피의 32바이트 키로 암호화돼요. 사용자는 이 키를 알지 못해요. 당사도 보유하고 있지 않아요. L3은 **어떤 서버에도 존재하지 않아요**. 하드웨어 키의 PRF(지문, 얼굴 또는 WebAuthn PRF를 통한 보안 키)의 32바이트 출력으로 래핑하여 보호돼요. 물리적 기기 없이는 L3을 래핑 해제할 수 없어요. 당사는 수학적으로 신원 필드를 복호화할 수 없으며, 보유하고 있지 않은 키를 생성하도록 강요받을 수도 없어요.

## Contact

DPA 관련 문의 사항:

**개인정보 보호 책임자(DPO)**
Clavitor LLC
c/o Johan Jongsma
[privacy@clavitor.ai](mailto:privacy@clavitor.ai)

## Effective date and changes

본 DPA는 구독 시작일부터 효력이 발생하며 해지 시까지 유효해요. 변경 사항은 30일 전에 미리 알려드려요. 계속 사용하시면 동의한 것으로 간주해요.

최종 업데이트: 2026년 9월 29일 · 버전 1.1