데이터·인사이트·리서치 가이드
마케팅 데이터 처리 위탁, 계약 전 확인 항목
AI 보조 조사·작성 · 공식 자료 기반 · 실사용 시험이나 이용 후기가 아닙니다.
마케팅 데이터 처리 위탁 계약은 SaaS 기능표와 별도로 봐야 합니다. 국내 법률이 위탁자와 수탁자에게 요구하는 사항, 공급사 DPA가 약속하는 처리 목적·재위탁·사고 통지·반환 조건, 실제 계정 설정을 나눠 확인합니다.
CRM이나 분석 SaaS에 고객 이름, 연락처, 행동 이력을 보내려는데 보안 인증만 확인하고 계약을 끝내려 하시나요? 개인정보 처리 위탁에서는 인증 보유 여부와 별도로 누가 어떤 목적으로 무엇을 처리하는지, 재위탁과 국외 이전이 있는지, 종료 뒤 어떻게 반환·삭제하는지를 문서로 확인합니다.
개인정보 보호법 제26조는 개인정보 처리 업무를 위탁할 때 목적 외 처리 금지와 보호조치 등을 문서에 포함하도록 정하고, 수탁자를 공개하며 위탁자가 처리 현황을 감독하도록 규정합니다. 재위탁에는 위탁자의 동의가 필요하다는 조항도 있습니다. 제26조 현행 원문에서 법정 요구와 계약 항목을 먼저 대조하세요.
CRM·분석 도구를 비교하기 전에 예정 데이터 항목과 처리 흐름을 그려 두면 DPA의 빈칸을 찾기 쉽습니다.
이 가이드의 설명을 위해 직접 제작했습니다. 제3자 사진·제품 화면을 사용하지 않았습니다.
처리 데이터와 위탁 관계는 어떻게 그리나요?
시스템 이름만 적지 말고 데이터가 이동하는 순서로 정리합니다. 웹 폼에서 받은 정보가 자동화 도구를 거쳐 CRM에 저장되고, 분석 도구나 메시지 발송사로 이어진다면 각 단계의 사업자, 계정, 처리 목적, 데이터 항목, 보관 위치를 적으세요. 제공사가 다시 쓰는 외부 사업자도 확인 대상입니다.
관계도에 표시할 정보
- 정보주체와 개인정보를 처음 수집한 조직
- 위탁 업무와 처리 목적을 정한 위탁자
- 계약에 따라 실제 처리를 수행하는 수탁자
- 수탁자가 사용하는 하위처리자 또는 재수탁자
- 국내·국외 저장 위치와 원격 접근 가능 지역
국내 법률의 위탁자·수탁자 개념과 해외 공급사 DPA의 Controller·Processor 표현은 출발한 법 체계와 계약 정의가 다릅니다. 이름이 비슷하다는 이유로 같은 책임 구조라고 단정하지 말고, 우리 조직이 적용받는 법률과 해당 계약의 정의 조항을 함께 검토하세요.
목적·위치·재위탁 조항표에는 무엇을 적나요?
| 항목 | 확인할 문구 | 실제 운영 증거 | 미확인 시 조치 |
|---|---|---|---|
| 처리 목적·항목 | 서비스 제공 범위와 지시 | 필드 목록·연동 명세 | 불필요 항목 제외 |
| 처리 위치 | 저장·접근 국가 | 리전 설정·하위처리자 목록 | 국외 이전 검토 |
| 재위탁 | 동의·통지·이의 절차 | 변경 알림 신청 | 대안·종료 조건 확인 |
| 보호조치 | 접근·암호화·감사 범위 | 보안 부속서·감사 보고서 | 책임자 검토 |
| 종료 처리 | 반환·삭제·백업 예외 | 시험 내보내기·삭제 요청 | 마감 일정 등록 |
HubSpot DPA는 처리자로서 적용되는 범위, 처리 지시, 보안조치, 사고 통지, 하위처리자, 데이터 이전, 종료 시 반환·삭제를 각각 규정합니다. HubSpot DPA의 조항 구성은 한 공급사의 계약 사례입니다. 다른 SaaS에 같은 통지 시간이나 이의 절차가 적용된다고 보지는 마세요.
도구 후보를 비교할 때는 DPA 제공 여부만 체크하지 말고 실제 제품과 요금제, 선택 기능에 적용되는 부속서인지 확인하세요.
국외 이전은 서버 국가만 보면 되나요?
개인정보 보호법 제28조의8은 국외 제공뿐 아니라 국외에서 조회되는 경우, 처리위탁과 보관도 국외 이전 범위에 포함합니다. 허용 근거와 고지·동의 조건은 상황에 따라 나뉘며, 법을 위반하는 내용을 국외 이전 계약에 넣을 수 없다고 규정합니다. 제28조의8 현행 원문을 기준으로 이전 국가, 시기·방법, 받는 자, 이용 목적과 기간, 거부 방법을 확인하세요.
공급사 DPA에 국제 이전 조항이나 해외 표준계약 조항이 있다는 사실만으로 국내 법상 절차가 끝났다고 단정할 수 없습니다. 반대로 국내 처리방침에 국가를 적었다고 공급사 계약의 하위처리자 변경·보호조치가 모두 확인되는 것도 아닙니다. 국가법률의 적용 요건과 공급사 계약의 이행 약속을 별도 열로 두세요.
이 가이드의 설명을 위해 직접 제작했습니다. 제3자 사진·제품 화면을 사용하지 않았습니다.
반환·삭제·사고 통지는 어떻게 검수하나요?
계약에는 종료 시 반환 또는 삭제라는 표현이 있어도 백업본, 법정 보존, 삭제 처리 기간, 고객이 직접 해야 하는 작업이 따로 있을 수 있습니다. HubSpot DPA는 종료 또는 만료 때 고객 데이터를 삭제하거나 반환하되 법률상 보존이나 백업 시스템의 예외를 두고, 제품별 절차를 연결합니다. Deletion or Return 절을 읽고 내보내기와 삭제를 같은 작업으로 취급하지 마세요.
종료 전 시험할 항목
- 연락처·활동·동의·첨부파일이 필요한 형식으로 나오는지 확인합니다.
- 고유 ID와 객체 관계가 내보내기 뒤에도 복원되는지 봅니다.
- 삭제 요청 접수·완료 증거와 백업 예외를 기록합니다.
- API 토큰, 웹훅, 관리자와 하위 계정의 폐기 순서를 정합니다.
사고 통지 역시 법정 신고 의무와 공급사의 고객 통지 약속을 구분합니다. HubSpot DPA의 일정은 그 계약에서 정의한 고객 개인정보 침해에 대한 공급사 약속입니다. 우리 조직의 신고·통지 책임과 기산점은 적용 법률과 실제 사고에 따라 담당자가 검토할 대상입니다.
계약 전 법무·보안 검토에는 무엇을 넘기나요?
- 수집 화면과 개인정보 처리방침, 처리 근거
- 데이터 항목·식별자·민감정보 포함 가능성
- 시스템 관계도와 저장·접근 국가
- DPA·하위처리자 목록·보안 부속서의 확인 버전
- 재위탁 변경 알림과 이의·종료 절차
- 사고 통지, 감사, 반환·삭제 조건의 미확인 목록
계약 검토 결과는 승인 또는 거절만 남기지 말고 조건부 항목과 책임자를 기록하세요. 제품 설정이 바뀌거나 새 연동이 추가되면 처음 만든 관계도도 갱신하세요. 마케팅 데이터 처리 위탁 계약은 공급사의 보안 소개 페이지가 아니라 법률상 의무, 계약 문언, 실제 데이터 흐름을 함께 확인하는 문서입니다. 이 표를 완성한 뒤 CRM·분석 후보를 검토해 보세요.
공식 확인 자료
- 개인정보 보호법 제26조
국내 처리 위탁의 법정 요구 확인
- 개인정보 보호법 제28조의8
국외 이전 요건 확인
- HubSpot DPA
공급사 계약상 처리 조건 사례
자주 묻는 질문
- DPA에 서명하면 개인정보 보호법 검토는 끝나나요?
- 아닙니다. DPA는 당사자 사이 계약입니다. 국내 법률의 위탁·국외 이전 요건, 개인정보 처리방침과 실제 데이터 흐름을 별도로 확인하세요.
- 해외 SaaS를 쓰면 모두 별도 국외 이전 동의가 필요한가요?
- 허용 근거와 고지 방식은 상황에 따라 다릅니다. 제28조의8의 요건과 실제 처리 관계를 개인정보 담당자와 검토하세요.
- 하위처리자 목록만 받으면 재위탁 동의가 확인되나요?
- 목록 외에도 적용 계약의 통지, 동의 또는 이의 절차와 변경 시점을 확인해야 합니다. 국내 법상 재위탁 요건은 별도 검토 대상입니다.
- 삭제 완료 이메일이 있으면 모든 복사본이 사라진 건가요?
- 그렇게 단정할 수 없습니다. 운영 데이터, 백업, 법정 보존 예외와 삭제 주기를 계약과 공급사 절차에서 확인하세요.
출처와 확인 범위
- 개인정보 보호법 제26조 업무위탁에 따른 개인정보의 처리 제한 · 국가법령정보센터 · 확인 2026-10-27
뒷받침하는 내용: 처리 위탁 문서의 필수 내용, 수탁자 공개, 위탁자의 감독, 목적 외 처리 제한과 재위탁 동의를 규정합니다.
확인 범위·한계: 대한민국 법률 원문이며 개별 서비스의 처리 관계나 계약 적법성을 대신 판단하지 않습니다. - 개인정보 보호법 제28조의8 개인정보의 국외 이전 · 국가법령정보센터 · 확인 2026-10-27
뒷받침하는 내용: 국외 제공·조회·처리위탁·보관의 허용 요건, 고지 항목, 보호조치와 위법한 국외 이전 계약 금지를 규정합니다.
확인 범위·한계: 실제 이전 근거와 고지·동의 방식은 데이터 흐름과 적용 관계를 개별 검토해야 합니다. - Data Processing Agreement · HubSpot Legal · 확인 2026-10-27
뒷받침하는 내용: 처리자 적용 범위, 보안, 고객 개인정보 침해 통지, 반환·삭제, 하위처리자와 국제 이전 조건을 규정합니다.
확인 범위·한계: HubSpot 계약 당사자와 적용 서비스에 한정된 약관이며 대한민국 법률의 요건이나 다른 공급사의 의무가 아닙니다.