데이터 처리 계약(DPA)
Data Processing Agreement · DPA · 데이터 처리 계약
데이터 처리 계약(DPA)은 개인정보를 처리하는 당사자의 역할, 처리 지시, 보안조치, 사고 대응, 하위처리자, 국제 이전과 종료 후 반환·삭제 조건을 정하는 계약 문서입니다. 국가와 서비스에 따라 controller·processor와 위탁자·수탁자의 적용 관계가 다를 수 있습니다.
AI 보조 조사·작성 후 원문과 대조한 설명입니다. 사례·계산은 별도 출처 표기가 없는 한 이해를 위한 가상 예시이며 실제 고객 성과가 아닙니다.
누가 어떤 역할인지 어떻게 확인하나요?
서비스 이름보다 누가 처리 목적과 수단을 정하고 누구의 지시에 따라 처리하는지 봅니다. 같은 공급사도 기능에 따라 처리자이거나 독립된 관리자가 될 수 있습니다. HubSpot DPA도 구독 서비스의 고객 개인정보를 처리하는 경우와 일부 enrichment·tracking 기능에서 양쪽이 관리자로 처리하는 범위를 나눕니다. HubSpot DPA 적용 범위
계정에 실제 들어가는 데이터 항목, 정보주체, 목적, 빈도와 보관 기간을 부속서와 대조합니다. 사용하지 않는 선택 기능의 조항을 전체 처리 흐름처럼 쓰지 않습니다.
DPA에는 어떤 조항이 필요한가요?
처리 목적과 지시, 비밀유지, 기술·관리적 보호조치, 권리 요청 지원, 침해 통지, 감사, 반환·삭제를 확인합니다. 국내 개인정보 보호법 제26조는 처리 위탁을 문서로 하고 목적 외 처리 금지와 보호조치, 수탁자 공개, 감독과 재위탁 동의를 규정합니다. 개인정보 보호법 제26조
공급사 표준 DPA가 있다는 사실만 체크하지 말고 주문한 제품·요금제와 계약 당사자에 편입되는지 확인합니다.
하위처리자와 국외 이전은 무엇을 보나요?
하위처리자 목록에는 사업자, 처리 목적, 위치와 변경 통지 방법이 있어야 합니다. 새 사업자가 추가될 때 통지를 받는 주소와 이의 제기·종료 절차도 봅니다. 목록을 한 번 내려받는 것으로 변경 관리가 끝나지는 않습니다.
저장 리전만으로 국외 처리를 판단하기 어렵습니다. 지원 인력의 원격 접근과 백업, 분석·보안 하위처리자의 위치를 데이터 흐름에 표시합니다. 공급사 국제 이전 조항과 국내법상 고지·동의 등 요건은 별도 검토 대상입니다.
DPA가 있으면 법적 검토가 끝나나요?
DPA는 당사자 사이 계약이며 실제 서비스 설정과 적용 법률을 대신하지 않습니다. 계약에 삭제 조항이 있어도 백업 예외와 법정 보존 기간이 있을 수 있고, 침해 통지 약속과 고객의 법정 신고 의무도 다릅니다. 처리방침, 위탁 공개와 실제 연동을 함께 확인합니다.
DPA 검토 자료 묶음
- 주문서와 적용 제품·기능 목록
- 개인정보 항목과 정보주체 범주
- 저장·접근 국가와 하위처리자 목록
- 사고 통지·감사·삭제 절차
- 계정에서 선택한 리전과 데이터 공유 설정
계약 검토 뒤 제품 설정이 바뀌면 처리 관계도 달라질 수 있습니다. 새 연동, enrichment 기능, AI 기능이나 지원 접근을 켤 때 DPA 부속서와 처리방침을 다시 대조합니다.
자주 묻는 질문
- 모든 SaaS 계약에 DPA가 필요한가요?
- 개인정보 처리 관계와 적용 법률에 따라 다릅니다. 개인정보를 공급사가 처리하는지 먼저 확인합니다.
- 하위처리자 목록은 왜 보나요?
- 공급사가 다시 맡기는 사업자와 처리 목적·위치를 확인하고 변경에 대응하기 위해서입니다.
- DPA와 개인정보 처리방침은 같은가요?
- 아닙니다. DPA는 당사자 계약이고 처리방침은 정보주체에게 처리 내용을 공개하는 문서입니다.
출처와 확인 범위
- 개인정보 보호법 제26조 · 국가법령정보센터 · 확인 2026-10-27
국내 위탁 문서, 공개, 감독과 재위탁 동의를 규정합니다.
확인 범위: 개별 서비스의 적법성을 자동 판단하지 않습니다.
- Data Processing Agreement · HubSpot Legal · 확인 2026-10-27
처리자·관리자 범위, 보안, 하위처리자와 이전 조건을 규정합니다.
확인 범위: HubSpot 적용 서비스의 계약입니다.