카우치베이스 카펠라 클라우드 고객 데이터 처리 부록

본 데이터 처리 부록(이 "DPA")는 고객의 클라우드 서비스 사용에 적용되는 고객과 카우치베이스 간의 카펠라 마스터 서비스 계약 또는 기타 계약의 일부를 구성합니다("동의"), 카우치베이스("Couchbase")로 식별되는 당사자와 "고객"(계약에서 "고객")(각각 "파티"와 함께 "당사자"). 본 DPA의 발효일은 계약의 발효일 또는 별도로 체결된 경우 본 DPA의 최종 서명일("유효 날짜").

본 DPA는 고객의 클라우드 서비스 사용과 관련된 개인정보 처리와 관련한 양 당사자의 약속을 설명합니다. 본 DPA에 정의되지 않은 대문자로 표기된 용어는 본 계약에서 부여된 의미를 갖습니다.

본 계약은 다음에 마지막으로 업데이트되었습니다. 2024년 5월 07일.

양 당사자는 다음과 같이 동의합니다:

1. 정의. 다음 대문자로 표기된 용어는 본 DPA에서 사용될 때 아래에 제공된 해당 의미를 갖습니다:

1. "적용 가능한 데이터 보호법'는 개인정보에 적용되는 모든 전 세계 개인정보 보호 및 데이터 보호 법률, 규정, 규칙, 조례 및 기타 법령을 의미하며, 여기에는 다음을 포함하되 이에 국한되지 않습니다: (i) 유럽 데이터 보호법; (ii) 2018년 캘리포니아 소비자 개인정보 보호법(캘리포니아 민법 §§ 1798.100 et seq("CCPA"); 수정, 대체 또는 교체될 수 있습니다.

2. “고객 데이터"개인정보"는 본 DPA의 부록 A에 보다 구체적으로 설명된 대로 클라우드 서비스와 관련하여 서비스 제공자 또는 프로세서(해당되는 경우)로서 고객을 대신하여 Couchbase가 처리하는 모든 개인 데이터를 의미합니다.

3. "EEA'는 유럽연합 회원국과 아이슬란드, 리히텐슈타인, 노르웨이를 의미합니다.

4. “유럽 데이터 보호법"(i) 개인 데이터 처리 및 그러한 데이터의 자유로운 이동에 관한 자연인 보호에 관한 유럽의회 및 이사회의 규정 2016/679(일반 데이터 보호 규정)("일반 데이터 보호 규정")을 의미합니다.GDPR"); (ii) 전자 통신 부문에서의 개인 데이터 처리 및 개인 정보 보호에 관한 지침 2002/58/EC("전자 개인정보 보호 지침"), (i) 및 (ii)의 모든 해당 국가 시행, (iv) 1992년 6월 19일의 스위스 연방 데이터 보호법 및 그 시행령("스위스 FDPA"); (v) 영국의 경우, 2018년 데이터 보호법 및 영국이 유럽연합을 탈퇴함에 따라 GDPR, 전자 개인정보 보호 지침 또는 데이터 및 개인정보 보호와 관련된 기타 법률을 대체하거나 국내법으로 전환하는 모든 해당 국내 법률(이하 총칭하여 "영국 데이터 보호법"); 각 경우에 따라 수정, 대체 또는 교체될 수 있습니다.

5. “모델 조항'는 고객의 고유한 상황에 따라 다음 중 하나를 의미합니다: (i) 유럽연합 집행위원회가 결정 2021/914에 따라 승인한 프로세서를 위한 표준 계약 조항("2021 표준 계약 조항"), (ii) 2022년 3월 21일부터 시행되는 EU 위원회 표준 계약 조항 버전 B1.0에 대한 영국 국제 데이터 전송 부록("영국 국제 데이터 전송 부록")을 준수합니다.영국 IDTA"), 각각을 표준 계약 조항이라고도 하며, 참조로 통합되어 본 DPA의 일부를 구성합니다.

6. "개인 데이터"개인정보"란 식별되거나 식별 가능한 자연인과 관련된 정보로서 해당 데이터 보호법에 따라 "개인 데이터", "개인정보" 또는 "개인 식별 정보"로 보호되는 모든 정보를 의미합니다.

7. "보안 인시던트"보안 사고"는 클라우드 서비스 제공과 관련하여 카우치베이스 및/또는 하위 프로세서가 전송, 저장 또는 처리하는 고객 데이터의 우발적 또는 불법적인 파괴, 손실, 변경, 무단 공개 또는 접근으로 이어지는 모든 보안 위반을 의미합니다. 양 당사자는 "보안 사고"에는 실패한 로그인 시도, 핑, 포트 스캔, 서비스 거부 공격, 방화벽 또는 네트워크 시스템에 대한 기타 네트워크 공격 등 고객 데이터의 보안을 손상시키지 않는 실패한 시도 또는 활동이 포함되지 않음을 인정하고 이에 동의합니다.

8. “하위 프로세서"하위 프로세서"는 계약 또는 본 DPA에 따라 클라우드 서비스 제공과 관련된 의무 이행을 지원하기 위해 Couchbase 또는 그 계열사가 고용한 모든 프로세서를 의미합니다. 하위 프로세서에는 제3자 또는 Couchbase 계열사가 포함될 수 있지만 Couchbase 직원, 계약자 또는 컨설턴트는 제외됩니다.

9. "컨트롤러", "프로세서" 및 "처리"는 GDPR에서 부여된 의미를 가지며 "프로세스", "프로세스" 및 "처리됨"는 그에 따라 해석되어야 하며, "비즈니스", "서비스 제공업체" 및 "판매'는 CCPA에서 부여된 의미를 갖습니다.

2. 처리 역할 및 범위

1. 범위. 섹션 2(b)에 따라, 본 DPA는 카우치베이스가 해당 데이터 보호법에 의해 보호되는 고객 데이터를 처리자 또는 서비스 제공자로서 처리하는 범위(해당되는 경우)에 적용됩니다.

2. 당사자의 역할. 양 당사자는 고객이 고객 데이터의 관련 비즈니스, 컨트롤러 또는 처리자(해당되는 경우)이며, 본 DPA의 부록 A에 자세히 설명된 대로 Couchbase가 고객을 대신하는 서비스 제공자, 프로세서 또는 하위 프로세서(해당되는 경우)임을 인정하고 이에 동의합니다. 의심의 여지를 없애기 위해, 양 당사자는 Couchbase가 클라우드 서비스와 관련하여 수집하는 기술적 사용 데이터에 포함된 개인 데이터와 같은 기타 개인 데이터와 관련하여 관련 비즈니스 또는 컨트롤러가 될 수 있음을 인정합니다. 각 당사자는 적용 가능한 데이터 보호법을 포함하여 본 DPA를 이행하는 데 있어 자신에게 적용되고 구속력이 있는 모든 법률, 규칙 및 규정을 준수합니다.

3. 개인 데이터의 카우치베이스 처리. 카우치베이스는 본 DPA에 설명된 목적과 고객의 문서화된 합법적인 지침에 따라서만 고객 데이터를 처리한다는 데 동의합니다. 양 당사자는 본 계약(본 DPA 포함)이 고객 데이터 처리와 관련하여 Couchbase에 대한 고객의 완전하고 최종적인 지침을 명시하며, 이러한 지침의 범위를 벗어난 처리(있는 경우)는 고객과 Couchbase 간의 사전 서면 합의가 필요하다는 데 동의합니다. 섹션 2(d)(고객의 책임)을 침해하지 않고, Couchbase는 적용 가능한 데이터 보호법에 따라 금지되지 않는 한 고객에게 서면으로 통지하며, 고객의 데이터 처리 지침이 적용 가능한 데이터 보호법을 위반한다고 인지하거나 판단하는 경우 고객 데이터의 처리를 중단할 수 있습니다.

4. 고객의 책임. 고객은 본 계약에 따라 또는 본 계약과 관련된 고객 데이터 처리의 적법성에 대한 책임이 있습니다. 고객은 (i) 본 계약(본 DPA 포함)에서 고려한 목적을 위해 Couchbase가 고객 데이터를 합법적으로 처리하는 데 필요한 모든 통지를 제공하고 관련 데이터 보호법에 따라 필요한 모든 동의, 허가 및 권리를 획득했으며 앞으로도 계속 획득할 것임을 진술하고 보증합니다; (ii) 고객 데이터의 수집 및 해당 고객 데이터의 하위 처리자에 대한 제공을 위해 고객 데이터에 대한 컨트롤러 및/또는 사업체로서 모든 관련 데이터 보호법을 준수했으며 (iii) 처리 지침이 관련 법률(관련 데이터 보호법 포함)을 준수하고 고객의 지침에 따른 Couchbase의 고객 데이터 처리로 인해 Couchbase가 관련 데이터 보호법을 위반하지 않도록 보장해야 합니다.

5. 데이터 집계. 의심의 여지를 없애기 위해 고객은 카우치베이스와 그 계열사가 자체의 합법적인 사업 목적을 위해 익명화, 집계 및/또는 비식별화된 정보(해당 데이터 보호법에 정의된 대로)를 수집하고 생성할 권리가 있음을 인정합니다.

3. 하위 처리

1. 승인된 하위 프로세서. 고객은 카우치베이스가 고객을 대신하여 고객 데이터를 처리하기 위해 하위 처리자를 고용할 수 있음을 인정하고 이에 동의합니다. 현재 카우치베이스가 관여하고 고객이 승인한 하위 프로세서는 카우치베이스 웹사이트(현재 다음 주소에 게시됨)에 나열되어 있습니다. https://info.couchbase.com/cloud-subprocessors.html). 새로운 하위 프로세서가 추가되기 최소 십오(15)일 전에 CouchBase는 해당 웹사이트를 업데이트하고 해당 CouchBase 웹사이트에 제공되는 메커니즘을 통해 고객에게 해당 업데이트에 대한 통지를 제공하지만, 고객 데이터의 기밀성, 무결성 또는 가용성을 보호하거나 클라우드 서비스의 중대한 중단을 방지하기 위해 새로운 하위 프로세서를 신속하게 고용하는 것이 필요하다고 합리적으로 판단되는 경우에는 합리적으로 실행 가능한 즉시 그러한 통지를 대신 제공할 수 있습니다.

2. 하위 프로세서 의무. 적용 가능한 데이터 보호법에 따라 요구되는 범위 내에서 Couchbase는 다음과 같이 합니다: (i) 각 하위 프로세서가 제공하는 서비스에 적용되는 범위 내에서 본 DPA에 따른 Couchbase의 의무만큼 고객 데이터를 보호하는 데이터 보호 조건을 부과하는 서면 계약을 각 하위 프로세서와 체결합니다. (ii) 본 DPA의 의무를 준수하고 본 DPA에 따른 의무를 위반하게 하는 하위 프로세서의 행위 또는 누락에 대한 책임을 유지합니다.

3. 하위 프로세서에 대한 이의 제기. 고객은 위 3(a)항에 따라 카우치베이스로부터 통지를 받은 날로부터 10일 이내에 카우치베이스에 즉시 서면으로 통지함으로써 데이터 보호와 관련된 합리적인 근거를 들어 카우치베이스의 새로운 하위 처리자 지정에 서면으로 이의를 제기할 수 있습니다. 이러한 통지에는 이의 제기에 대한 합리적인 근거가 설명되어야 하며, 양 당사자는 상업적으로 합리적인 해결을 위해 성실하게 해당 문제를 논의해야 합니다. 그러한 해결에 도달할 수 없는 경우, 카우치베이스는 단독 재량에 따라 그러한 하위 프로세서를 지정하지 않거나 고객이 계약의 해지 조항에 따라 클라우드 서비스의 해당 부분을 일시 중단 또는 해지할 수 있도록 허용합니다. 카우치베이스는 해지 효력 발생일 이후 클라우드 서비스의 해당 부분에 대한 선불 미사용 요금을 고객에게 환불합니다. 본 섹션 3(c)에 명시된 대로 이의를 제기하지 않는 한 고객은 본 DPA에 설명된 대로 Couchbase가 하위 프로세서를 사용하는 데 동의합니다.

4. 보안 및 감사

1. 보안 조치. 카우치베이스는 최신 기술 및 업계 모범 사례, 구현 비용, 처리의 성격, 범위, 맥락 및 목적을 고려하여 보안 사고로부터 통제 중인 고객 데이터를 보호하고 고객 데이터의 보안 및 기밀성을 유지하기 위해 설계된 적절한 기술적 및 조직적 보안 조치를 구현하고 유지합니다("카우치베이스는 보안 사고로부터 고객 데이터를 보호하기 위해 적절한 기술적 및 조직적 보안 조치를 구현하고 유지합니다.").보안 조치"). 이러한 보안 조치에는 최소한 본 DPA의 부록 B에 설명된 조치가 포함됩니다. 카우치베이스는 본 DPA에 따라 고객 데이터를 처리하도록 카우치베이스의 권한을 부여받은 모든 사람이 적절한 기밀 유지 의무(계약상 의무 또는 법적 의무)를 준수하도록 보장해야 합니다.

2. 보안 조치 업데이트. 고객은 보안 조치가 기술 발전 및 개발의 영향을 받으며, 그러한 업데이트 및 수정으로 인해 고객이 구매한 클라우드 서비스의 전반적인 보안이 저하되지 않는 한, 카우치베이스는 수시로 보안 조치를 업데이트하거나 수정할 수 있음을 인정합니다.

3. 고객 보안 책임. 고객은 보안 사고로부터 보호하고 자신이 통제하는 고객 데이터의 보안 및 기밀을 유지하기 위해 설계된 적절한 기술적 및 조직적 보안 조치를 구현하고 유지해야 합니다. 고객은 (i) 클라우드 서비스에 액세스하는 데 사용되는 모든 고객 자격 증명의 보안을 보호하고, (ii) 고객 클라우드 환경 및 모든 고객 시스템을 보호할 책임이 있습니다(이러한 단계에는 무단 액세스를 방지하기 위한 액세스 키의 정기적 교체 및 기타 업계 표준 단계를 포함하되 이에 국한되지 않음); (iii) 고객 클라우드 환경 또는 기타 고객 통제 시스템 내에서 고객이 통제하는 고객 데이터를 백업하고 보호하는 것; (iv) 데이터 보안 및 개인정보 보호와 관련하여 카우치베이스가 제공하는 정보를 검토하고 클라우드 서비스가 해당 데이터 보호법에 따른 고객의 요구 사항 및 법적 의무를 충족하는지 여부에 대해 독립적으로 판단하는 것.

4. 보안 인시던트 대응. 해당 데이터 보호법에서 요구하는 범위 내에서, 보안 사고를 인지하는 즉시 Couchbase는 클라우드 서비스를 통해 고객에게 과도한 지체 없이 통지하며, 고객에게 통지해야 합니다: (i) 해당 데이터 보호법에 따라 요구되는 개인 데이터 침해 통지와 관련하여 고객의 지원을 위해 고객이 합리적으로 요청하는 경우 클라우드 서비스의 특성, Couchbase가 이용할 수 있는 정보 및 기밀 유지 의무와 같은 정보 공개 제한을 고려하여 보안 사고와 관련된 정보를 알게 되는 대로 적시에 고객에게 통지해야 하며, 그러한 통지에는 보안 사고와 관련된 정보를 포함해야 합니다; (ii) 보안 사고를 억제, 조사 및 수정하기 위해 Couchbase가 필요하고 합리적이라고 판단하는 조치를 즉시 취하며, 수정이 Couchbase의 합리적인 통제 범위 내에 있는 경우 수정합니다. 본 섹션 4(d)에 따른 보안 사고에 대한 Couchbase의 통지 또는 대응은 보안 사고와 관련하여 Couchbase가 어떠한 잘못이나 책임을 인정하는 것으로 해석되어서는 안 됩니다. 여기에 명시된 의무는 고객 또는 해당 권한 있는 사용자에 의해 발생한 보안 사고에는 적용되지 않습니다.

5. 보안 감사. 카우치베이스는 카우치베이스의 본 DPA 준수 여부를 확인하는 데 필요한 정보 보안 및 감사 설문지에 대한 답변을 포함하여 카우치베이스의 고객 데이터 처리와 관련된 고객의 모든 합리적인 서면 정보 요청에 대해 (기밀을 유지하면서) 서면 답변을 제공해야 하며, 단 고객은 12개월 동안 이 권리를 한 번 이상 행사할 수 없습니다(12개월 연속 기간 동안 한 번 이상 행사할 수 없음). 전술한 내용에도 불구하고 고객은 고객이 데이터 보호 기관에 이 정보를 제공하도록 명시적으로 요청받거나 요구받는 경우 또는 Couchbase에 보안 사고가 발생한 경우 또는 기타 합리적으로 유사한 근거로 이러한 감사 권리를 행사할 수 있습니다.

5. 국제 송금

1. 처리 위치. 클라우드 서비스는 설명서에 추가로 설명된 대로 고객이 고객의 데이터베이스 인스턴스가 배포될 클라우드 환경 및 지리적 지역을 결정할 수 있도록 설계되었습니다. 고객은 관리형 클라우드 서비스 제공의 일환으로 Couchbase가 고객 데이터를 Couchbase, 그 계열사 또는 하위 프로세서가 데이터 처리 작업을 유지하는 위치로 전송할 수 있음을 인정하고 이에 동의합니다. 카우치베이스는 항상 해당 데이터 보호법 및 본 DPA의 요구 사항을 준수하여 그러한 전송이 이루어지도록 보장합니다.

6. 전송 메커니즘.

1. 데이터 프라이버시 프레임워크. 카우치베이스는 유럽연합-미국 데이터 개인정보 보호 프레임워크, 유럽연합-미국 데이터 개인정보 보호 프레임워크에 대한 영국 확장, 스위스-미국 데이터 개인정보 보호 프레임워크(총칭하여 "데이터 개인정보 보호 프레임워크")에 참여하며 이를 준수함을 인증합니다. 데이터 개인정보 보호 프레임워크에서 요구하는 대로, Couchbase는 (i) 관련 데이터 개인정보 보호 프레임워크의 원칙 및 보충 원칙("원칙")에서 요구하는 것과 최소한 동일한 수준의 개인정보 보호를 고객 데이터에 제공하고, (ii) 원칙을 포함하여 데이터 개인정보 보호 프레임워크에서 요구하는 것과 동일한 수준의 보호를 제공할 의무를 더 이상 이행할 수 없다고 판단하는 경우 고객에게 통지하며, (iii) 통지 즉시 고객 데이터의 무단 처리를 해결하기 위한 합리적이고 적절한 조치를 취합니다.

2. 유럽 데이터 보호법의 적용을 받는 전송. 카우치베이스가 유럽 데이터 보호법에 의해 보호되는 개인 데이터를 (유럽 데이터 보호법에 설명된 대로) 개인 데이터를 적절하게 보호하는 것으로 인정되지 않는 제3국에서 처리하거나 처리하게 하는 경우, 카우치베이스는 유럽 데이터 보호법에 의해 보호되는 모든 개인 데이터를 처리하는 것으로 간주합니다, 부록 C(데이터 전송)의 약관이 적용되며 고객(데이터 수출자)은 Couchbase(데이터 수입자)와 모델 조항을 체결한 것으로 간주되며 Couchbase는 참조로 완전히 통합되어 본 DPA의 필수적인 부분을 구성하는 모델 조항을 준수하고 그러한 고객 데이터를 처리하는 데 동의합니다. 모델 조항에서 설명하는 목적에 따라, (A) 카우치베이스는 '데이터 수입자'이고 고객은 '데이터 수출자'임에 동의합니다(고객이 EEA 또는 영국 외부에 위치한 법인일 수 있음에도 불구하고). (B) 본 DPA의 부록 A 및 부록 B는 모델 조항의 부록 1 및 부록 2를 대체합니다. 모델 조항에 명시된 조항을 모순하거나 제한하는 것은 양 당사자의 의도도, 본 DPA의 효과도 아닙니다. 따라서 모델 조항이 본 DPA의 조항과 충돌하는 경우 그러한 충돌의 범위 내에서 모델 조항이 우선합니다. 모델 조항은 직접 또는 추후 전송을 통해 EEA 또는 영국 외부로 전송되지 않는 고객 데이터에는 적용되지 않습니다. 적용 가능한 유럽 데이터 보호법("대체 전송 메커니즘")에 규정된 고객 데이터 전송을 위해 Couchbase가 대체 데이터 내보내기 솔루션을 채택하는 경우, 대체 전송 메커니즘이 대신 적용됩니다(단, 해당 대체 전송 메커니즘이 전송에 적용되는 범위까지만).

3. 추가 이전 요구 사항. 적용 가능한 데이터 보호법에 따라 언제든지 본 DPA에 명시된 고객 데이터 전송을 허용하기 위해 추가 조치를 취해야 하는 경우(2021 표준 계약 조항 또는 영국 IDTA를 별도의 문서로 실행 또는 재실행하거나 추가적인 국경 간 전송 조항을 체결하는 것을 포함하되 이에 국한되지 않음), 및/또는 본 DPA의 전송 메커니즘이 해당 데이터 보호법에 따라 수정, 대체, 폐지 또는 종료되는 경우, 고객과 Couchbase는 해당 데이터 보호법을 준수하여 전송을 가능하게 하는 데 합리적으로 필요한 모든 조치를 취하기 위해 성실하게 협력하는 데 동의합니다. 또한 해당 데이터 보호법에 따라 요구되는 범위 내에서 Couchbase는 고객이 데이터 보호 영향 평가 또는 감독 당국과의 사전 협의를 수행할 수 있도록 계약에 따른 개인 데이터 처리와 관련하여 합리적으로 요청된 정보를 제공합니다.

7. 고객 데이터 삭제

1. 클라우드 서비스는 클라우드 서비스의 기능에 부합하는 방식으로 고객이 기간 동안 고객 데이터를 삭제하거나 검색하는 데 사용할 수 있는 제어 기능을 고객에게 제공합니다.

2. 고객은 계약이 해지 또는 만료되거나 계약에 따라 클라우드 서비스가 해지 또는 중단되는 경우, 카우치베이스가 계약에 따라 소유 또는 관리하는 모든 고객 데이터(사본 포함)를 삭제할 권한을 부여합니다(단, 관련 법률에 따라 고객 데이터의 일부 또는 전체를 보유해야 하는 경우에는 이 요건이 적용되지 않습니다).

8. 개인의 권리 및 협력

1. 데이터 주체 요청. 클라우드 서비스는 클라우드 서비스에 적용되는 모든 문서에 설명된 대로 고객이 고객 데이터를 검색, 수정, 삭제 또는 제한하는 데 사용할 수 있는 보안 특징 및 기능을 포함한 여러 가지 제어 기능을 고객에게 제공합니다. 제4조(a)항을 침해하지 않는 범위 내에서 고객은 데이터 주체의 요청에 대한 응답과 관련된 의무를 포함하여 해당 데이터 보호법에 따른 의무를 지원하기 위한 기술적 및 조직적 조치로서 이러한 제어를 사용할 수 있습니다. 고객이 클라우드 서비스 내에서 관련 고객 데이터에 독립적으로 액세스할 수 없는 경우, 카우치베이스는 처리의 특성을 고려하여 고객이 본 계약에 따른 고객 데이터 처리와 관련된 개인 또는 해당 데이터 보호 당국의 요청에 대응할 수 있도록 합리적인 협조를 제공해야 합니다. 고객을 식별할 수 있는 요청이 카우치베이스에 직접 이루어지는 경우, 카우치베이스는 법적으로 강제되지 않는 한 고객의 사전 승인 없이 그러한 통신에 직접 응답하지 않습니다. 카우치베이스가 그러한 요청에 응답해야 하는 경우, 카우치베이스는 법적으로 금지되지 않는 한 즉시 고객에게 통지하고 요청 사본을 제공합니다.

2. 소환장 및 법원 명령. 법 집행 기관이 소환장 또는 법원 명령을 통해 고객 데이터에 대한 요청을 보내는 경우(예: 소환장 또는 법원 명령을 통해), 카우치베이스는 법적으로 금지되지 않는 한 고객이 보호 명령 또는 기타 적절한 구제책을 찾을 수 있도록 고객에게 요청에 대한 합리적인 통지를 제공해야 합니다.

9. 관할권 관련 약관

1. 캘리포니아. 고객 데이터가 CCPA의 적용을 받는 범위 내에서, 양 당사자는 고객이 사업체이며 계약(본 DPA 포함) 및 CCPA에서 허용하는 대로 또는 달리 서면으로 합의한 목적을 위해 고객 데이터를 처리하기 위해 Couchbase를 서비스 제공업체(CCPA에 정의됨)로 지정하는 데 동의합니다(총칭하여 "허용된 목적"). 고객과 카우치베이스는 이에 동의합니다: (i) Couchbase는 허용된 목적 이외의 목적으로 개인 정보를 보유, 사용 또는 공개하지 않으며, (ii) 고객 데이터는 Couchbase에 판매되지 않았으며 Couchbase는 개인 정보를 '판매'하지 않습니다(CCPA에 정의된 바와 같이); (iii) 고객과 Couchbase 간의 직접적인 비즈니스 관계 외의 개인 정보를 보유, 사용 또는 공개하지 않음; (iv) CCPA에서 허용하는 경우를 제외하고 고객 데이터를 다른 출처에서 받은 개인 정보(CCPA에 정의된 대로)와 결합하지 않음. 양 당사자는 Couchbase가 클라우드 서비스를 제공하는 과정에서 개인 정보를 비식별화하거나 집계할 수 있음에 동의합니다. 카우치베이스는 본 섹션 9(a)에 명시된 제한 사항을 이해하고 이를 준수할 것임을 인증합니다. 카우치베이스는 CCPA에 따른 서비스 제공업체로서 더 이상 본 섹션 9(a)에 따른 의무를 준수할 수 없다고 판단하는 경우 고객에게 통지합니다.

10. 책임의 제한

1. 계약, 불법행위(과실 포함) 또는 기타 책임 이론에 따라 본 DPA(모범 조항 포함)로 인해 또는 이와 관련하여 발생하는 각 당사자 및 모든 계열사의 책임은 계약의 책임 제한 및 제외 조항의 적용을 받으며, 당사자의 책임에 대한 조항에서 언급되는 모든 책임은 계약 및 본 DPA와 관련하여 해당 당사자 및 모든 계열사의 총 책임을 함께 의미합니다.

2. 적용 가능한 데이터 보호법이 고객 계열사가 직접 Couchbase를 상대로 본 DPA에 따른 권리를 행사하거나 구제책을 찾도록 요구하는 경우를 제외하고, 양 당사자는 (i) 계약의 계약 당사자인 고객 법인만이 계열사를 대신하여 고객 계열사가 본 DPA에 따라 가질 수 있는 권리를 행사하거나 구제책을 찾아야 하며 (ii) 계약의 계약 당사자인 고객은 각 계열사별로 개별적으로가 아니라 모든 계열사를 위해 함께 결합된 방식으로 본 DPA에 따라 그러한 권리를 행사해야 한다는 데 동의합니다.

11. 기타

1. 본 DPA와 계약 간에 충돌이 발생하는 경우, 양 당사자는 표준 계약 조항과 본 DPA의 다른 조항 간에 충돌이 있는 경우 및 그 범위 내에서 표준 계약 조항이 적용되는 처리와 관련하여 표준 계약 조항의 조항이 우선한다는 데 동의합니다. 또한, 본 DPA와 당사자 간에 체결된 비즈니스 협력 계약("BAA")에 정의된 대로 모든 PHI와 관련하여 BAA의 조항이 우선 적용됩니다.

2. 양 당사자는 모든 종류의 법적 절차를 개시하기 전 및 그 전제 조건으로 본 DPA로 인해 또는 본 DPA와 관련하여 발생하는 모든 분쟁을 해결하기 위해 성실하게 노력할 것에 동의합니다. 본 11조(b)항에 따른 모든 협상은 기밀로 유지되며 관련 증거 규칙의 목적상 타협 및 합의 협상으로 취급됩니다.

3. 본 DPA에 의해 변경된 사항을 제외하고 본 계약은 변경되지 않고 완전한 효력을 유지합니다.

4. 이 DPA는 대응 문서로 실행될 수 있으며, 각 문서는 원본으로 간주되지만 모두 함께 하나의 동일한 문서를 구성합니다.

5. 본 DPA의 조항 또는 일부 조항이 무효, 불법 또는 집행 불가능한 경우 해당 조항은 삭제된 것으로 간주되지만, 나머지 DPA의 유효성 및 집행 가능성에는 영향을 미치지 않습니다.

6. 본 DPA는 유럽 데이터 보호법에서 달리 요구하지 않는 한, 본 계약의 준거법 및 관할권 조항에 따라 규율되고 이에 따라 해석됩니다.

본 부록 A는 DPA의 일부를 구성하며, 해당되는 경우 고객을 대신하여 카우치베이스가 컨트롤러 또는 프로세서로서 또는 하위 프로세서로서 고객 데이터에 대해 수행하는 처리를 설명합니다.
고객 데이터
기간
본 DPA에 따른 데이터 처리 기간은 계약 조건에 따라 계약이 종료될 때까지이며, 계약 만료일부터 계약 조건(본 DPA 포함)에 따라 Couchbase가 개인 데이터를 삭제할 때까지의 기간을 더한 기간입니다.

데이터 범주
처리되는 개인 데이터는 다음 범주의 데이터에 관한 것입니다(명시해 주세요):

• 고객 콘텐츠 또는 지원 콘텐츠의 개인 데이터: 고객 또는 허가된 사용자가 클라우드 서비스를 통해 제공하거나 고객 또는 허가된 사용자를 대신하여 제공하는 콘텐츠 또는 데이터에 포함된 개인 데이터.

특수 데이터 범주(해당되는 경우)
양 당사자는 본 계약에 따라 특수 범주 데이터가 처리되는 것을 의도하지 않습니다.

데이터 주체
처리되는 개인 데이터는 다음 범주의 데이터 주체에 관한 것입니다(명시해 주세요):

• 데이터 주체에는 권한 있는 사용자를 포함하여 고객에 의해 또는 고객의 지시에 따라 클라우드 서비스를 통해 카우치베이스에 데이터가 제공되는 개인이 포함됩니다. 데이터 주체에는 고객의 고객, 직원, 공급업체 및 최종 사용자가 포함될 수 있습니다.

처리 작업
개인 데이터는 다음과 같은 기본 처리 활동의 대상이 됩니다(명시해 주세요):

• 계약에 따라 클라우드 서비스를 제공하기 위한 처리;

• 계약 이행에 필요한 모든 단계를 수행하기 위한 처리;

• 고객이 클라우드 서비스를 사용하면서 시작한 처리; 그리고

• 계약 조건에 부합하는 고객이 제공한 기타 합리적인 지침(예: 이메일 또는 지원 티켓)을 준수하기 위한 처리.

빈도
개인 데이터는 지속적으로 전송될 수 있습니다.

본 부록은 카우치베이스의 보안 조치에 대해 설명합니다. 고객은 클라우드 서비스가 공유 책임 모델에 따라 운영되며, 무엇보다도 고객이 고객 콘텐츠의 보안을 보호하는 등의 특정 조치를 취해야 함을 인정합니다(이는 고객의 통제 하에 고객의 환경 내에 저장됨). 카우치베이스가 클라우드 서비스와 관련하여 고객을 대신하여 고객 데이터를 처리하는 경우, 카우치베이스는 다음과 같은 보안 조치를 구현하고 유지해야 합니다:

데이터 암호화 조치

• 모든 고객 데이터는 TLS 1.2(또는 그 이상)를 사용하여 전송 중 암호화되며, AES-256 암호화를 사용하여 미사용 시에도 암호화됩니다.

• 직원 노트북은 전체 디스크 AES-256 암호화를 사용하여 암호화됩니다.

• 모든 자격 증명은 TLS 1.2(또는 그 이상)를 사용하여 전송 중 암호화되고 미사용 시에도 암호화됩니다.

• 암호화 키는 매년 교체되며 고객이 선택한 클라우드 서비스 제공업체에서 저장 및 관리합니다.

가용성 및 복구 가능성 조치

• 카우치베이스는 클라우드 서비스의 가용성을 합리적으로 보장하기 위해 설계된 재해 복구 및 비즈니스 연속성 계획과 절차를 유지합니다.

• 매년 Capella 컨트롤 플레인 재해 복구 계획은 필요에 따라 테스트, 검토 및 업데이트되어 Couchbase에서 설정한 서비스 복구 시간 목표와 데이터 복구 지점 목표를 달성합니다.

• 카우치베이스 카펠라 서비스는 Amazon(AWS), Microsoft(Azure), Google(GCP(해당되는 경우) 등 업계에서 인정받는 퍼블릭 클라우드 서비스 제공업체가 운영하는 지리적으로 분산된 데이터 센터에 배포됩니다.)

• 중복성은 Couchbase Capella 제품을 지원하는 시스템 인프라에 내장되어 있습니다. 기본 시스템에 장애가 발생하는 경우 다른 가용 영역의 이중화 인프라가 그 자리를 대신하도록 구성됩니다.

• 백업은 클라우드 인프라 내의 통제된 환경에 저장됩니다. 백업 데이터에 대한 논리적 액세스는 적절한 인력으로 제한되며 고가용성 스토리지에 저장됩니다.

• 매년 운영 담당자가 스냅샷에서 백업을 복원하는 백업 복원 테스트를 수행하여 사고 발생 시 데이터를 복구할 수 있는지 확인합니다.

조직 보안 조치

• 카우치베이스는 카우치베이스 카펠라 제품 및 정보 시스템의 기밀성, 무결성, 가용성을 보호하고 데이터 및 정보 시스템에 대한 보안 제어의 효율성을 보장하기 위해 공식적인 정보 보안 관리 시스템(ISMS)을 구축했습니다.

• 카우치베이스에는 데이터를 민감도 수준으로 분류하는 정의된 방법론이 있으며, 이를 기반으로 적절한 기술 및 절차적 보호 제어를 선택하고 구현합니다.

• 직원들은 뇌물 수수 및 부패 방지, 윤리 및 행동 강령, 내부자 거래, 글로벌 데이터 프라이버시 및 연례 보안 인식 교육을 받아야 합니다.

• 직원은 채용 시 기밀 유지 및 기밀 유지 계약서에 서명해야 합니다.

• 직원 온보딩 및 오프보딩 활동을 위한 공식적인 정책과 절차가 마련되어 있습니다. 계정 프로비저닝 및 프로비저닝 해제 프로세스가 정의되고 구현됩니다.

• 직원의 액세스 권한은 해고 시 제거되거나 역할 변경에 따라 필요에 따라 조정됩니다.

• 중요 리소스 및 프로덕션 리소스에 대한 액세스에는 MFA(다단계 인증)가 적용됩니다.

• 비밀번호 복잡성 요구 사항이 적용됩니다.

• 무단 또는 의도하지 않은 수정이나 오용의 기회를 줄이기 위해 책임과 의무를 분리하여 시행합니다.

• 카우치베이스는 제3자와 기밀 유지 계약을 체결하고 있습니다.

• 카우치베이스 네트워크는 신뢰 수준에 따라 분리되며 방화벽으로 보호됩니다.

• 카우치베이스는 내부적으로 테스트 및 지속적인 스캔을 통해 취약점을 식별, 우선순위 지정 및 수정하는 정의된 프로세스를 갖추고 있습니다.

로깅 및 모니터링 조치

• 사용자 활동, 예외, 오류 및 정보 보안 이벤트에 대한 로깅이 활성화됩니다. 필요에 따라 로그가 보관됩니다.

• 모든 로그는 권한이 있는 Couchbase 직원만 액세스할 수 있으며 무단 액세스를 방지하기 위해 액세스 제어 기능이 마련되어 있습니다.

• 로깅 데이터에 대한 쓰기 접근은 엄격히 금지됩니다. 로깅 시설과 로그 정보는 접근 제어 및 보안 조치를 통해 변조 및 무단 액세스로부터 보호됩니다.

• 카우치베이스는 보안 경고를 생성하고 불규칙한 활동을 식별하기 위해 다양한 모니터링 조치를 마련하고 있습니다.

• 카우치베이스 카펠라 운영팀은 보안 알림과 기본 구성을 정기적으로 검토하여 의도한 대로 작동하고 있는지, 조건이 변경되면 제어가 수정되는지 확인합니다.

• Couchbase에는 침해 탐지, 조사, 알림 및 해결 절차를 포함하는 문서화된 사고 관리 및 데이터 침해 대응 계획이 있습니다.

• Couchbase는 연간 침투 테스트를 위해 독립적인 타사 서비스 제공업체를 고용하고, 내부적으로 정의된 SLA에 따라 테스트 결과를 적절히 수정합니다.

액세스 제어 조치

• Couchbase는 보안 모범 사례를 구현하고 데이터베이스, 네트워크 및 애플리케이션 계층 전반에 걸쳐 역할 기반 보안 아키텍처를 사용하며 주요 시스템에 대한 액세스 권한을 부여할 때 최소 권한 원칙을 엄격하게 준수합니다.

• 중요 리소스 및 프로덕션 리소스에 대한 액세스에는 MFA(다단계 인증)가 적용됩니다.

• 비밀번호 복잡성 요구 사항이 적용됩니다.

• 카우치베이스는 적절한 업무 분리를 지원하기 위해 직무 기능과 역할을 정의했습니다.

• 운영, 프로덕션 및 재해 복구 환경에 대한 액세스는 고유 사용자 계정, 강력한 비밀번호, 다단계 인증(MFA) 사용, 역할 기반 액세스 및 최소 권한 원칙을 통해 보호됩니다.

• 프로덕션 카우치베이스 애플리케이션에서 사용하는 액세스 키(예: AWS 액세스 키)는 권한이 있는 직원만 액세스할 수 있습니다. 액세스 키는 필요에 따라(예: 보안 권고 또는 인력 이동에 따라) 최소 1년에 한 번씩 교체(변경)됩니다.

• 데이터 액세스, 수정 또는 삭제를 포함한 운영 환경에서의 사용자 활동이 기록됩니다.

• 권한 요청 및 프로비저닝은 기록, 추적 및 감사됩니다.

• 네트워크 기반 방화벽 외에 웹 애플리케이션 방화벽(WAF)도 배포됩니다.

• 모바일 장치 관리 컨트롤이 마련되어 있습니다.

물리적 보안 조치

• 카우치베이스 카펠라 서비스는 Amazon(AWS), Microsoft(Azure), Google(GCP(해당되는 경우) 등 업계에서 인정받는 퍼블릭 클라우드 서비스 제공업체가 운영하는 지리적으로 분산된 데이터 센터에 배포됩니다.)

• 민감한 데이터가 포함된 모든 시설에 대한 물리적 접근이 제한되고 관리됩니다.

• 모든 정보 자원 시설(예: 네트워크 폐쇄실 및 창고)은 그 기능의 중요성 또는 중요도에 비례하여 물리적으로 보호됩니다.

• 정보 자원 시설에 대한 접근 권한은 업무상 해당 시설에 대한 접근이 필요한 회사 직원 및 계약자에게만 부여됩니다.

• 방문자의 액세스를 허용하는 모든 정보 리소스 시설은 로그인 로그를 통해 방문자의 액세스를 추적하도록 구성됩니다.

• 정보 자원 시설에 대한 카드 액세스 기록과 방문자 로그는 보호 대상 정보 자원의 중요도에 따라 정기적으로 검토하기 위해 보관됩니다.

• 환경 위협, 위험 및 무단 액세스 기회로부터의 위험을 줄이기 위해 장비를 보호합니다.

변경 관리 조치

• 카우치베이스에는 무단 변경을 방지하기 위한 액세스 제어 및 변경 관리 정책과 절차가 마련되어 있습니다.

• 카우치베이스는 범위 내 시스템의 변경 사항을 모니터링하여 해당 표준 프로세스를 따르고 있는지 확인하고 프로덕션에서 감지되지 않은 변경 사항의 위험을 완화합니다. 변경 사항은 변경 관리 시스템에서 추적됩니다.

거버넌스

• 카우치베이스는 카우치베이스 카펠라 제품 및 정보 시스템의 기밀성, 무결성, 가용성을 보호하고 데이터 및 정보 시스템에 대한 보안 제어의 효율성을 보장하기 위해 공식적인 정보 보안 관리 시스템(ISMS)을 구축했습니다.

• 카우치베이스는 증빙 문서를 포함하여 문서화되고 승인된 정보 보안 정책을 시행하고 있습니다.

• 카우치베이스의 정보 보안 프로그램 관리에 대한 권한과 책임은 정보 보안 및 규정 준수 그룹에 위임되었으며, 이 그룹은 고위 경영진으로부터 카우치베이스의 정보 보안 프로그램을 수립, 구현 및 관리하는 데 필요한 조치를 취할 권한을 부여받았습니다.

• 카우치베이스에 서비스를 제공하거나 시스템 및 데이터에 액세스할 수 있는 타사는 온보딩 전에 위험 기반 평가를 거치며, 보안 프로그램을 주기적으로 검토합니다.

규정 준수

• 카우치베이스는 독립적인 제3자 감사인이 SOC 2 유형 2, HIPAA, CSA STAR 및 PCI-DSS 제어 요건에 대해 매년 감사를 완료하여 카우치베이스 카펠라 서비스에 저장 및 처리되는 정보의 기밀성과 가용성을 보호하는 제어에 대한 당사의 노력을 입증하고 있습니다.

데이터에 대한 최소한의 액세스

• 데이터 전송 및 공유 정책과 절차는 관련 규정을 고려하여 수립됩니다.

• 개인정보 보호 평가는 새로운 제품/서비스의 구현 및 제3자에 의한 개인 데이터 처리와 관련하여 수행됩니다.

• 데이터 수집은 처리 목적(또는 고객이 제공하기로 선택한 데이터)으로 제한됩니다.

• 필요한 기능을 수행하는 데 필요한 최소한의 액세스 권한만 제공하도록 보안 조치가 마련되어 있습니다.

• 데이터 보존 요구 사항 식별

• 개인 데이터에 대한 접근은 '알아야 할 필요성' 원칙을 준수하고 개인의 정의된 역할과 책임에 따라 처리와 관련된 직원으로 제한됩니다.

데이터 주체 액세스 요청

• 개인이 자신의 개인정보 보호 권리(예: 삭제권 또는 데이터 이동권)를 행사할 수 있는 절차가 마련되어 있으며, 이는 Couchbase의 공개 개인정보 처리방침에 설명된 대로 적용됩니다.

카우치베이스는 GDPR의 적정성 요건을 충족하기 위한 보완 조치에 대한 유럽 데이터 보호 위원회의 최근 지침과 유럽 데이터 보호 당국이 발표하는 기타 지침을 지속적으로 분석할 예정입니다.

본 부속서는 고객이 클라우드 서비스를 사용할 때 관할권에서 해당 관할권 외부에 위치한 Couchbase로 합법적으로 개인 데이터를 전송하기 위한 전송 메커니즘이 필요한 경우에 적용되는 약관을 명시합니다.

1. 2021 표준 계약 조항. GDPR이 적용되는 데이터 전송의 경우 2021 표준 계약 조항이 다음과 같은 방식으로 적용됩니다:

1. 모듈 2(컨트롤러에서 프로세서로)는 고객이 고객 데이터의 컨트롤러이고 카우치베이스가 고객 데이터의 프로세서인 경우에 적용됩니다;
2. 모듈 3(프로세서 대 프로세서)은 고객이 고객 데이터의 프로세서이고 카우치베이스가 고객 데이터의 하위 프로세서인 경우에 적용됩니다;
3. 해당되는 경우 각 모듈에 대해:
1. 7항의 선택적 도킹 조항이 적용되며, 당사자들은 2021 표준 계약 조항을 다른 당사자에게 적용하는 데 필요한 조치를 취하기 위해 성실히 협력해야 합니다;
2. 9(a)항의 옵션 2가 적용되며, 하위 처리자 변경에 대한 사전 통지 기간은 본 DPA의 섹션 3(하위 처리)에 명시된 바와 같습니다;
3. 11항에서는 선택적 언어가 적용되지 않습니다;
4. 17항(옵션 2)에서 2021 표준 계약 조항은 데이터 수출업체가 설립된 EU 회원국의 법률, 해당 법률이 없는 경우 아일랜드 공화국의 법률이 적용되며, 관할 기관이 2021 표준 계약 조항의 사용을 승인한 EEA 외부 국가(스위스 포함하되 이에 국한되지 않음)의 데이터 보호법이 적용되는 데이터 전송과 관련하여서는 해당 국가의 법률이 적용됨("채택 국가"), 2021 표준 계약 조항은 채택 국가의 데이터 보호법의 적용을 받습니다.
5. 18(b)항에서 분쟁은 데이터 수출업체가 설립된 EU 회원국의 법원, 해당 법이 없는 경우 아일랜드 공화국 법원에서 해결되며, 단, 채택 국가의 데이터 보호법이 적용되는 데이터 전송과 관련하여 2021 표준 계약 조항으로 인해 발생하는 모든 분쟁은 채택 국가의 법원에서 해결됩니다.
6. 부록 I, 파트 A:

   데이터 내보내기 고객 및 고객의 공인 계열사.

   연락처 세부 정보 클라우드 서비스에서 커뮤니케이션을 수신할 관련 계정으로 지정된 고객의 이메일 주소(들)

   데이터 내보내기 역할 고객은 해당되는 경우 고객 데이터의 관리자 또는 처리자입니다.

   전송된 데이터와 관련된 활동: 카우치베이스 및 계열사로부터 소프트웨어 및 서비스 수신

   서명 및 날짜 데이터 수출자는 계약 및 DPA를 체결함으로써 DPA 발효일에 부속서를 포함하여 본 계약에 포함된 본 표준 계약 조항을 서명한 것으로 간주합니다.

   데이터 가져오기 Couchbase, Inc.

   연락처 세부 정보: 카우치베이스 법무팀 - legal@couchbase.com

   데이터 가져오기 역할: 카우치베이스는 해당되는 경우 고객 데이터의 프로세서 또는 하위 프로세서입니다.

   전송된 데이터와 관련된 활동: 소프트웨어 및 서비스 제공

   서명 및 날짜: 데이터 수입자는 계약 및 DPA를 체결함으로써 DPA 발효일에 부속서를 포함하여 여기에 통합된 본 표준 계약 조항을 체결한 것으로 간주됩니다.

7. 부록 I, 파트 B:

   데이터 주체의 범주는 본 DPA의 부록 A에 설명되어 있습니다.

   전송되는 민감한 데이터는 본 DPA의 부록 A에 설명되어 있습니다.

   전송 빈도는 계약 기간 동안 지속적으로 이루어집니다.

   처리의 특성은 본 DPA의 부록 A에 설명되어 있습니다.

   처리 목적은 본 DPA의 부록 A에 설명되어 있습니다.

   처리 기간은 본 DPA의 부록 A에 설명되어 있습니다.

   하위 처리자로의 전송의 경우 처리의 주제, 성격 및 기간은 다음에서 설명합니다. https://info.couchbase.com/cloud-subprocessors.html

8. 부록 I, 파트 C: 위 부록 C의 1(d)(iv)항에 명시된 EU 회원국의 감독 당국이 관할 감독 당국의 역할을 하며, 단, 채택국의 데이터 보호법이 적용되는 데이터 전송과 관련하여 감독 당국은 채택국의 데이터 보호 당국입니다.
9. 본 DPA의 부록 B는 표준 계약 조항의 부록 II 역할을 합니다.
10. 양 당사자는 다음 내용이 표준 계약 조항에 따른 특정 의무에 대한 당사자의 이해를 설명한다는 데 동의합니다:
    1. 감사: 데이터 수출자는 데이터 수입자에게 DPA의 섹션 4(e)의 감사 조항을 준수하여 모든 감사를 준수하도록 지시합니다.
    2. 책임: 유럽 데이터 보호법에서 허용하는 한도 내에서 2021 표준 계약 조항에 따른 데이터 수입업체의 책임은 계약에 명시된 책임에 대한 총합적인 제한의 적용을 받습니다.

2. 스위스로부터의 데이터 전송. 개인 데이터 전송이 스위스 FDPA의 적용을 받는 경우, 위 섹션 1의 약관이 다음과 같이 수정되어 적용됩니다:

1. 표준 계약 조항에서 "지침 95/46/EC" 또는 "규정 (EU) 2016/679"에 대한 모든 언급은 스위스 FADP에 대한 언급으로 해석됩니다;
2. "EU", "연합", "회원국" 및 "회원국 법률"에 대한 모든 언급은 경우에 따라 스위스 및 스위스 법률에 대한 언급으로 해석됩니다.
3. "관할 감독 기관" 및 "관할 법원"에 대한 언급은 스위스 연방 데이터 보호 및 정보 위원회 및 스위스 내 관할 법원을 지칭하는 것으로 해석됩니다.

3. 영국으로부터의 데이터 전송. 개인 데이터 전송이 영국 데이터 보호법의 적용을 받는 경우, 양 당사자는 이에 동의합니다:

1. 제2부 '필수 조항'을 포함하여 IDTA의 조항이 전부 적용됩니다;
2. 영국 IDTA의 표 1의 목적상, 당사자의 이름, 역할 및 세부 사항은 첨부된 부록 C에 명시되어 있습니다;
3. 영국 IDTA의 표 2 및 3의 목적에 따라 첨부된 부속서에 명시된 정보를 포함하여 참조로 본 DPA에 통합된 2021 표준 계약 조항이 적용됩니다.
4. 영국 IDTA의 표 4의 목적에 따라, 양 당사자가 본 DPA를 개정하기 위해 선의로 노력한 후에도 상호 합의에 도달하지 못하는 경우, 양 당사자는 영국 IDTA를 종료할 수 있습니다.
5. 영국 데이터 보호법에서 허용하는 한도 내에서 데이터 수입업체의 책임은 계약에 명시된 책임에 대한 총합적인 제한의 적용을 받습니다.