# durin 데이터 처리 부속계약

버전: [DPA 버전 번호 및 발효일은 게시 전에 법률 담당자의 확인이 필요합니다]

게시 위치: https://getdurin.com/privacy/dpa. 하위 처리자 목록: https://getdurin.com/privacy/subprocessors.

> 이 DPA를 체결하려면 서명란에 고객 정보를 기입하고 서명한 뒤 privacy@getdurin.com으로 서명본을 보내 주세요. Marathon이 서명을 추가해 체결된 DPA를 반환합니다.

본 데이터 처리 부록("DPA")은 durin("Marathon")를 운영하는 싱가포르 회사인 Marathon Digital Pte Ltd.(UEN 202023814G)와 서명란에 식별된 고객("고객") 간에 체결됩니다. 이는 Marathon이 고객에게 durin를 제공하는 계약을 보완합니다.

## 1. 정의 및 해석

**1.1** "계약"은 Marathon이 주문 양식 또는 기업 계약을 포함하여 durin를 고객에게 제공하는 계약을 의미하며, 서명된 계약이 없는 경우 https://getdurin.com/terms.의 공개 약관을 포함합니다.

**1.2** "적용 가능한 데이터 보호법"은 해당되는 경우 싱가포르 개인 데이터 보호법 2012 및 해당 규정("PDPA"), 규정(EU) 2016/679("EU GDPR") 및 미국 법률의 일부를 구성하는 EU GDPR를 포함하여 계약에 따른 고객 개인 데이터 처리에 적용되는 데이터 보호법을 의미합니다. 왕국("UK GDPR"), 데이터 보호법 2018과 함께. [데이터 보호에 관한 스위스 연방법과 같은 기타 데이터 보호법의 적용 범위는 게시 전 변호사의 확인을 받아야 함]

**1.3** "고객 개인 데이터"는 부록 1에 설명된 대로 계약에 따라 durin를 제공하기 위해 Marathon이 고객을 대신하여 처리하는 개인 데이터를 의미합니다. https://getdurin.com/privacy.의 개인 정보 보호 정책에 설명된 대로 Marathon이 관리자 또는 조직으로서 자체 목적을 위해 처리하는 개인 데이터는 제외됩니다.

**1.4** "제한된 전송"은 PDPA의 26항, EU GDPR의 V장 또는 영국 GDPR의 V장에 따라 고객 개인 데이터의 전송을 의미합니다.

**1.5** "보안 사고"는 EU GDPR 또는 영국 GDPR에 따른 개인 데이터 침해 또는 PDPA에 따른 데이터 침해를 의미하며, 이는 Marathon 또는 그 하위 처리자가 소유하거나 통제하는 고객 개인 데이터에 영향을 미칩니다.

**1.6** "하위 프로세서"는 Marathon이 durin를 제공할 때 Marathon을 대신하여 고객 개인 데이터를 처리하도록 고용한 제3자를 의미합니다. 7.6항에 설명된 고객 선택 서비스는 하위 처리자가 아닙니다.

**1.7** "EU SCCs"는 2021년 6월 4일자 위원회 시행 결정(EU) 2021/914에 첨부된 표준 계약 조항을 의미합니다. "UK Addendum"는 데이터 보호법 2018 버전 B1.0의 섹션 119A(1)에 따라 영국 정보 위원회가 발행한 EU 위원회 표준 계약 조항에 대한 국제 데이터 전송 부록을 의미합니다. 수정되거나 교체되었습니다.

**1.8** "컨트롤러", "프로세서", "데이터 주체", "개인 데이터 침해" 및 "처리"는 EU GDPR 또는 영국 GDPR에 정의된 의미를 가지며, "조직", "데이터 중개자", "개인 데이터" 및 "데이터 침해"는 각 경우 관련 처리에 적용되는 PDPA에 정의된 의미를 갖습니다. "포함"은 제한 없이 포함함을 의미합니다.

## 2. 범위와 역할

**2.1** 본 DPA는 계약의 일부를 구성하며 고객 개인 데이터 처리에 적용됩니다. 이는 양 당사자가 서명하면 효력이 발생하며 계약 종료 후 11항이 완료될 때까지를 포함하여 Marathon이 고객 개인 데이터를 처리하는 동안 지속됩니다.

**2.2** 고객은 고객 개인 데이터에 대해 EU GDPR 또는 영국 GDPR의 컨트롤러이자 PDPA의 조직이거나 다른 컨트롤러를 대신하여 처리합니다. Marathon은 고객의 프로세서이자 PDPA에 따라 데이터 중개자입니다. 고객이 처리자 역할을 하는 경우 고객은 자신의 지시와 Marathon 예약이 관련 컨트롤러의 승인을 받았음을 확인합니다.

**2.3** 부록 1에는 처리의 주제, 성격, 목적 및 기간, 고객 개인 데이터의 유형 및 데이터 주체의 범주가 설명되어 있습니다.

**2.4** Marathon은 개인 정보 보호 정책에 따라 관리자 또는 조직으로서 계정 관리, 청구, 지원, 보안, 사기 방지, 제품 분석 및 법적 준수와 같은 자체 목적을 위해 개인 데이터를 처리합니다. 해당 처리는 이 DPA 외부에 있습니다. [Marathon의 서비스 데이터 독립적 처리 범위는 게시 전 변호사의 확인을 거쳐야 함]

## 3. 지시 사항

**3.1** Marathon은 해당 법률에서 달리 요구하지 않는 한 제한된 전송과 관련된 내용을 포함하여 고객의 문서화된 지침에 따라서만 고객 개인 데이터를 처리합니다. 이 경우 Marathon은 해당 법률이 공익을 위한 중요한 근거로 이를 금지하지 않는 한 처리 전에 법적 요구 사항을 고객에게 알립니다.

**3.2** 고객의 문서화된 지침은 본 DPA와 계약입니다. 구성원, 역할, 에이전트 클라이언트, 연결, 정책, 승인 설정, 대화 캡처 모드 및 보존 기간, 알림 채널 및 내보내기 대상을 포함하여 고객의 durin 구성 및 사용 그리고 당사자들이 동의하는 추가 서면 지시.

**3.3** Marathon은 지침이 해당 데이터 보호법을 위반한다고 판단하는 경우 즉시 고객에게 알립니다. 이는 Marathon이 고객에게 법적 조언을 제공할 의무를 부과하지 않습니다.

## 4. 고객의 책임

**4.1** 고객은 필요한 통지 제공, 필요한 동의 획득, 해당 처리에 대한 법적 근거 또는 적용 가능한 예외를 포함하여 durin가 처리하도록 하는 지시 및 고객 개인 데이터의 적법성에 대한 책임이 있습니다.

**4.2** 고객은 사용자가 durin에 연결할 시스템, 에이전트 클라이언트 및 모델 공급자를 결정합니다. durin의 제어는 durin를 통해 라우팅된 요청에 적용됩니다. 에이전트 클라이언트는 반환된 도구 결과를 해당 모델 공급자에게 보낼 수 있으며, 해당 모델 공급자의 조건은 별도로 적용됩니다.

**4.3** durin는 특수 범주의 개인 데이터 또는 기타 민감한 개인 데이터에 추가 보호 장치를 적용하도록 설계되지 않았습니다. 고객은 durin를 통해 이러한 데이터를 라우팅할지 여부를 결정하고 이에 따라 연결, 정책 및 대화 캡처를 구성합니다. [특수 카테고리 또는 기타 민감한 데이터에 대한 제한 사항은 게시 전 변호사의 확인을 받아야 함]

**4.4** 고객은 계정, 자격 증명, 에이전트 클라이언트, 장치 및 연결된 시스템을 보호하고 정책, 승인 요구 사항 및 ID 공급자 설정과 같은 durin의 제어 기능을 위험에 맞게 구성할 책임이 있습니다.

## 5. 기밀성

**5.1** Marathon은 고객 개인 데이터를 처리하도록 승인한 사람이 적절한 기밀 유지 의무를 준수하고 durin를 제공, 지원 또는 보호하거나 법률을 준수하는 데 필요한 경우에만 고객 개인 데이터에 액세스하도록 보장합니다.

## 6. 보안

**6.1** Marathon은 최신 기술, 구현 비용, 처리의 성격, 범위, 상황 및 목적, 개인에 대한 위험을 고려하여 부록 2의 기술 및 조직적 조치를 구현합니다. Marathon은 PDPA가 데이터 중개자에게 요구하는 대로 소유하거나 통제하는 고객 개인 데이터를 보호하기 위해 합리적인 보안 조치를 취합니다.

**6.2** Marathon은 durin 및 이에 대한 위협이 변경됨에 따라 부록 2의 조치를 업데이트할 수 있습니다. 단, 업데이트가 고객 개인 데이터의 전반적인 보호를 실질적으로 감소시키지 않는 경우에 한합니다.

**6.3** 부록 2에는 구현된 통제 및 관리 약속이 설명되어 있습니다. Marathon은 SOC 2 증명, ISO/IEC 27001 인증 또는 독립적인 침투 테스트 결과를 보유하지 않으며 부록 2의 조치를 인증되거나 독립적으로 보장된 것으로 나타내지 않습니다.

## 7. 하위 처리자

**7.1** 고객은 Marathon에게 재처리자를 고용할 수 있는 일반 서면 승인을 제공합니다. 부록 3에는 본 DPA 날짜의 하위 처리자가 나열되어 있습니다. 현재 하위 프로세서 일정은 https://getdurin.com/subprocessors.에 게시되어 있습니다.

**7.2** Marathon은 새로운 하위 프로세서가 고객 개인 데이터를 처리하기 전 최소한 [하위 프로세서 통지 기간은 게시 전 변호사가 확인해야 함]에 하위 프로세서의 의도된 추가 또는 교체를 서명란의 개인 정보 보호 담당자에게 이메일로 알리고 하위 프로세서 일정을 업데이트하여 고객에게 알립니다.

**7.3** 고객은 통지 기간 내에 privacy@getdurin.com로 이메일을 보내 합리적인 데이터 보호 근거에 대한 변경에 이의를 제기할 수 있습니다. 당사자들은 이의제기에 대해 선의로 논의할 것입니다. 문제를 해결할 수 없는 경우 고객은 변경 사항이 적용되기 전에 서면 통지를 통해 계약의 해당 부분을 해지할 수 있습니다. [선불 수수료 환불을 포함하여 해결되지 않은 이의제기에 대한 구제책은 게시 전 변호사의 확인을 거쳐야 함]

**7.4** Marathon은 하위 프로세서가 제공하는 서비스에 적용되는 범위 내에서 본 DPA만큼 보호적인 데이터 보호 의무를 부과하는 서면 계약에 따라 각 하위 프로세서를 고용합니다. Marathon은 관련 데이터 보호법에서 요구하는 대로 재처리자의 의무 이행에 대해 고객에 대한 책임을 집니다.

**7.5** 요청 시 Marathon은 하위 프로세서에 적용되는 데이터 보호 조건에 대한 정보를 제공합니다. Marathon은 기밀 상업 정보를 수정할 수 있습니다.

**7.6** 고객이 선택하거나 연결하는 서비스는 재처리자가 아닙니다. 여기에는 고객이 durin에 연결하는 시스템, 고객의 Slack 작업 공간 및 기타 알림 채널, Langfuse와 같은 내보내기 대상, 거버넌스 증거를 위해 고객이 연결하는 Vanta 계정, 고객의 자체 API 키와 함께 사용되는 TypeSafe AI, 에이전트 클라이언트 및 해당 모델 공급자가 포함됩니다. Marathon은 고객의 지시에 따라 고객 개인 데이터를 고객에게 전송하며, 처리에는 자체 조건이 적용됩니다.

## 8. 개인 데이터의 국외 이전

**8.1** Marathon이 싱가포르에 설립되었습니다. Marathon과 그 하위 처리자는 싱가포르 및 부록 3의 각 하위 처리자에 대해 나열된 국가 및 지역에서 고객 개인 데이터를 처리할 수 있습니다. Marathon은 계약에 거주 약속이 명시적으로 포함되지 않는 한 특정 지역에서 고객 개인 데이터를 처리할 것을 약속하지 않습니다.

**8.2** Marathon 또는 하위 처리자가 PDPA가 적용되는 고객 개인 데이터를 싱가포르 이외의 국가 또는 지역으로 전송하는 경우 Marathon은 개인 데이터 보호 규정 2021에서 요구하는 대로 수신자가 법적으로 집행 가능한 의무를 이행하여 전송된 개인 데이터에 적어도 PDPA에 따른 보호와 유사한 보호 표준을 제공하도록 보장합니다. 해당 의무가 계약에 따른 경우 계약에는 개인 데이터가 전송될 수 있는 국가와 지역이 명시되어 있습니다. Marathon은 PDPA의 섹션 26에 따라 자체 의무를 이행하는 데 합리적으로 필요한 정보를 고객에게 제공합니다. [ASEAN 모델 계약 조항과 같은 PDPA 이전을 위한 계약 문서는 게시 전 변호사의 확인을 받아야 함]

**8.3** 고객의 Marathon에 대한 고객 개인 데이터 전송이 적절성 결정이나 다른 전송 메커니즘의 적용을 받지 않는 EU GDPR의 5장에 따른 제한된 전송인 경우, EU SCCs는 다음과 같이 본 DPA에 통합됩니다. 모듈 2는 고객이 컨트롤러인 경우에 적용되고, 모듈 3은 고객이 데이터 수출자인 경우, Marathon이 데이터 수입자인 경우에 적용됩니다. 9항의 경우 옵션 2가 7.2항의 통지 기간과 함께 적용됩니다. 11항의 선택적 표현은 적용되지 않습니다. EU SCCs의 부록 I 및 II는 이 DPA의 부록 1 및 부록 2로 완성됩니다. 조항 9에 따라 승인된 재처리자는 조항 7에 따라 업데이트된 부록 3에 나열된 것입니다. [EU SCCs의 조항 7, 13, 17 및 18에 대한 선택 및 처리가 3(2)조에 따라 EU GDPR의 적용을 받는 수입업자에게 이전하기 위한 메커니즘은 게시하기 전에 변호사의 확인을 받아야 합니다.]

**8.4** 양도가 영국 GDPR의 45A조 또는 다른 양도 메커니즘에 따라 양도를 승인하는 규정의 적용을 받지 않는 영국 GDPR의 Chapter V에 따른 제한된 양도인 경우, EU SCCs는 UK Addendum에 의해 개정된 대로 적용되며 UK Addendum의 표 1~3은 다음 정보로 완성됩니다. 본 DPA 및 그 부록. EU SCCs는 UK Addendum가 없는 전송에는 의존하지 않습니다. [표 4 선택 및 UK Addendum 대신 영국 국제 데이터 전송 계약의 사용은 게시하기 전에 변호사의 확인을 받아야 함]

**8.5** 재처리자가 제한된 전송 방식으로 고객 개인 데이터를 처리하기 전에 Marathon은 필요한 경우 EU SCCs의 모듈 3과 UK Addendum, 적절성 결정 또는 기타 인정된 프레임워크, 또는 법에서 요구하는 보완 조치와 함께 법적으로 집행 가능한 의무와 같이 해당 법률에 따라 인정되는 전송 메커니즘을 마련합니다. 부록 3에서는 각 하위 프로세서에 사용되는 메커니즘을 식별합니다.

**8.6** 법률에서 금지하지 않는 한, Marathon은 공공 기관으로부터 법적 구속력이 있는 고객 개인 데이터 공개 요청을 받은 경우 고객에게 이를 통지하고 해당 요청의 합법성을 평가하며 요청에 필요한 최소한의 고객 개인 데이터만 공개합니다. Marathon은 제한된 양도에 적용되는 법률 및 관행에 대한 평가를 뒷받침하기 위해 고객에게 합당한 정보를 제공합니다.

**8.7** 본 DPA 또는 계약이 EU SCCs 또는 UK Addendum와 충돌하는 경우 충돌 범위 내에서 EU SCCs 또는 UK Addendum가 우선합니다.

## 9. 보안사고

**9.1** Marathon이 EU GDPR 또는 영국 GDPR에 따라 고객의 처리자 역할을 하는 경우 Marathon은 보안 사고를 인지한 후 과도한 지체 없이 고객에게 알립니다. Marathon이 PDPA에 따라 고객의 데이터 중개자 역할을 하는 경우, Marathon은 고객 개인 데이터에 영향을 미치는 데이터 위반이 발생했다고 믿을만한 이유가 있으면 부당한 지체 없이 고객에게 알립니다.

**9.2** [게시 전 변호사의 확인을 거쳐야 하는 고객 통지 기간]이라는 계약상의 통지 대상은 9.1항의 의무를 연기하지 않습니다. [개인정보 보호정책과의 일치, 인지의 정의, 공지 내용 게시 전 변호사의 확인 필요]

**9.3** 통지에는 관련 데이터 주체 및 기록의 범주 및 대략적인 수를 포함하여 보안 사고의 성격이 알려진 범위 내에서 설명됩니다. 예상되는 결과; 문제를 해결하고 그 영향을 완화하기 위해 취하거나 제안한 조치 자세한 내용은 연락처로 문의하세요. Marathon은 이 정보가 제공되는 대로 단계적으로 제공할 수 있습니다.

**9.4** Marathon은 보안 사고를 봉쇄, 조사 및 해결하기 위해 합당한 조치를 취할 것이며 고객에게 감독 당국, 개인 데이터 보호 위원회 및 영향을 받은 개인에게 알리는 의무를 이행하기 위해 합당한 지원을 제공할 것입니다. 고객은 이러한 알림을 보낼지 여부를 결정합니다. Marathon은 법률에서 요구하지 않는 한 고객의 승인 없이 보안 사고에 대해 고객의 감독 기관이나 영향을 받은 개인에게 알리지 않습니다.

**9.5** 핑, 포트 스캔, 요청 거부, 로그인 시도 실패 등 고객 개인 데이터의 보안을 침해하지 않는 실패한 시도 및 활동은 보안 사고가 아닙니다. 보안 사고를 통보하는 것은 잘못이나 책임을 인정하는 것이 아닙니다.

## 10. 지원

**10.1** Marathon은 데이터 주체로부터 고객 개인 데이터에 대한 요청을 받고 그것이 고객과 관련이 있음을 확인할 수 있는 경우, 부당한 지체 없이 이를 고객에게 전달할 것입니다. Marathon은 법률에서 달리 요구하지 않는 한 고객에게 해당 데이터를 참조하는 것 외에는 요청에 응답하지 않습니다.

**10.2** 처리의 성격을 고려하여 Marathon은 가능한 한 적절한 기술 및 조직적 조치를 통해 고객이 PDPA에 따른 액세스 및 수정 요청을 포함하여 해당 데이터 보호법에 따라 데이터 주체 권리를 행사하라는 요청에 응답할 수 있도록 지원합니다. 구성원 제거, 감사 기록 ​​내보내기 등 durin의 관리 기능은 이러한 대응을 지원합니다.

**10.3** Marathon은 처리의 성격과 이용 가능한 정보를 고려하여 데이터 보호 영향 평가, 감독 기관과의 사전 협의, 고객의 보안 및 위반 통지 의무와 관련하여 고객에게 합리적인 지원을 제공합니다. [durin의 셀프 서비스 기능 이외의 지원 비용 할당은 게시 전 변호사의 확인을 받아야 함]

## 11. 삭제 및 반환

**11.1** 계약 기간 동안 고객은 선택적 대화 캡처의 보존 기간을 7일, 90일, 180일 또는 Enterprise의 경우 360일로 설정합니다. 만료된 캡처는 읽을 수 없게 되며 예약된 정리로 제거됩니다. 기타 고객 개인 데이터는 부록 1에 설명된 대로 그리고 고객의 지침에 따라 durin를 제공하는 데 필요한 대로 보관됩니다.

**11.2** 계약이 종료되면 Marathon은 [삭제 및 반환 기간은 게시 전 변호사의 확인을 거쳐야 함] 이내에 고객 개인 데이터를 삭제하거나, 고객이 그 전에 서면으로 선택한 경우 이를 반환한 후 해당 법률에서 Marathon이 보관하도록 요구하지 않는 한 남은 사본을 삭제합니다. 계약이 종료되기 전에 고객은 durin의 내보내기 기능을 사용하여 감사 기록을 내보낼 수 있습니다.

**11.3** 백업에 포함된 고객 개인 데이터는 해당 백업이 [게시 전 변호사의 확인을 거쳐야 하는 백업 만료 기간] 내에 만료되므로 삭제됩니다. 그때까지 Marathon은 이 DPA에 따라 이를 보호하며 적극적으로 처리하지 않습니다.

**11.4** Marathon이 법에 따라 보관해야 하는 고객 개인 데이터는 본 DPA에 따라 보호되며 법에서 요구하는 목적으로만 처리됩니다. 고객의 서면 요청에 따라 Marathon은 본 조항에 따라 수행한 삭제를 서면으로 확인합니다.

## 12. 정보 제공 및 감사

**12.1** Marathon은 https://getdurin.com/trust/review.md의 durin 보안 검토와 고객의 합리적인 보안 및 개인 정보 보호 설문지에 대한 서면 답변을 포함하여 본 DPA와 EU GDPR 및 영국 GDPR의 28조 준수를 입증하는 데 합리적으로 필요한 정보를 고객에게 제공합니다.

**12.2** Marathon은 감사를 대체할 수 있는 제3자 인증이나 증명을 보유하지 않습니다. 12.1항에 따른 정보가 규정 준수를 합리적으로 입증하지 못하거나 감독 기관에서 이를 요구하는 경우, 고객 또는 Marathon의 경쟁업체가 아닌 기밀 유지의 의무가 있는 독립 감사자는 합당한 사전 서면 통지를 통해 Marathon의 본 DPA 준수 여부를 감사할 수 있습니다. 감사는 업무 시간 중에 이루어지며, 고객 개인 데이터 처리로 제한되며, 다른 고객의 데이터에 대한 액세스를 요구하거나 durin의 보안을 손상시켜서는 안 됩니다. [감사 통지 기간, 빈도, 형식 및 비용 할당은 게시 전 변호사의 확인을 거쳐야 함]

**12.3** EU SCCs의 조항 8.9에 따른 감사는 EU SCCs와 일치하는 범위 내에서 이 조항에 따라 수행됩니다.

## 13. 책임

**13.1** 본 DPA로 인해 또는 이와 관련하여 발생하는 각 당사자의 책임은 해당 데이터 보호법, EU SCCs 또는 UK Addendum가 데이터 주체에 대한 책임을 포함하여 그러한 제한을 허용하지 않는 범위를 제외하고 계약의 책임 제한 및 배제의 적용을 받습니다. [데이터 보호 청구에 대한 책임 한도 및 모든 분할은 게시 전 변호사의 확인을 받아야 함]

## 14. 일반 조항

**14.1** 고객 개인 데이터 처리에는 다음 우선순위가 적용됩니다: EU SCCs 및 UK Addendum(적용되는 경우); 다음은 이 DPA입니다. 그런 다음 계약의 나머지 부분을 확인하세요. [주문 양식, DPA, 약관 및 정책 간의 전체 우선순위는 게시 전 변호사의 확인을 거쳐야 함]

**14.2** 본 DPA는 싱가포르 공화국 법률의 적용을 받으며, EU SCCs 또는 UK Addendum가 분쟁에 대해 다른 준거법이나 포럼을 요구하는 경우를 제외하고 싱가포르 법원은 본 DPA로 인해 또는 이와 관련하여 발생하는 분쟁에 대해 전속적 관할권을 갖습니다.

**14.3** 해당 데이터 보호법이 변경되거나 8항의 전송 메커니즘이 수정, 대체 또는 무효화되는 경우, 당사자들은 처리를 적법하게 유지하는 데 필요한 본 DPA의 변경 사항을 선의로 협상합니다.

**14.4** 본 DPA의 조항 중 유효하지 않거나 시행할 수 없는 조항이 있는 경우에도 본 DPA의 나머지 조항은 그대로 유효합니다.

**14.5** 본 DPA에 따라 Marathon에 대한 통지는 privacy@getdurin.com로 전송됩니다. 일반 및 상업 서신은 contact@getdurin.com로 전송됩니다. 고객에 대한 통지는 서명란에 있는 개인 정보 보호 담당자에게 전송됩니다.

## 부록 1: 처리 설명

이 부록은 고객 개인 데이터 처리에 대해 설명하고 해당 데이터가 적용되는 EU SCCs의 부록 I을 완성합니다.

**데이터 내보내기.** 서명란에 식별된 고객. 역할: 컨트롤러 또는 자체 컨트롤러를 대신하는 프로세서입니다. 연락처: 서명란의 개인정보 보호 연락처입니다. 활동: durin를 사용하여 고객이 연결하는 시스템에 대한 에이전트 액세스를 관리합니다.

**데이터 수입자.** Marathon Digital Pte Ltd., 싱가포르 회사(UEN 202023814G), durin 운영업체. 역할: 프로세서 및 PDPA 하에서 데이터 중개자. 연락처: privacy@getdurin.com. 주소: [게시 전 변호사의 확인을 거쳐 등록된 주소]. 활동: 계약에 따라 고객에게 durin 제공.

**정보주체의 카테고리.** 고객의 회원, 관리자 및 승인자 고객의 직원, 고객 및 연락처 등 고객의 사용자 또는 대리인이 durin를 통해 라우팅하는 콘텐츠에 개인 데이터가 나타나는 사람 연결, 업스트림 계정 또는 장치 메타데이터에서 식별된 사람.

**개인정보의 범주.** 이름, 이메일 주소, 역할, 팀 멤버십 등의 멤버십 및 디렉터리 데이터 요청자, 에이전트 클라이언트, 연결, 도구, 리소스, 정책 결정, 승인, 타임스탬프 및 실행 결과와 같은 거버넌스 및 감사 메타데이터 durin를 통해 라우팅되는 도구 요청 및 결과의 개인 데이터 고객의 업스트림 계정과 관련된 연결 구성 관리자가 캡처를 활성화한 경우 대화 내용이 수정되었습니다. 승인 메모리가 켜져 있는 동안 단방향 요청 스케치로 승인 결정이 기억됩니다. AI 정책 초안 작성을 위해 관리자가 제출하는 정책 설명(활성화된 경우) 고객이 선택한 알림 채널로 승인 세부정보가 전달됩니다. 고객이 활성화한 경우 Shadow MCP 검색을 통해 보고된 장치 및 에이전트 구성 메타데이터.

**민감한 데이터.** 의도된 바는 없습니다. 고객이 durin를 통해 특수 범주의 개인 데이터 또는 기타 민감한 개인 데이터를 라우팅하는 경우 조항 4.3이 적용되고 부록 2의 조치가 이를 보호합니다.

**주파수.** 지속적, 고객의 사용자와 에이전트가 durin를 사용하는 동안.

**가공의 성격.** 사용자 및 에이전트 클라이언트를 인증합니다. 고객의 정책 및 승인을 기준으로 요청을 평가합니다. 고객이 연결하는 시스템에 허용된 요청을 보내고 그 결과를 반환합니다. 거버넌스 메타데이터 기록 일치하는 요청을 알리거나 결정할 수 있도록 승인 결정을 기억합니다. 선택적 AI 지원 정책 규칙 초안 작성 구성 및 암호화된 자격 증명을 저장합니다. 패턴 기반 편집을 통한 선택적 대화 캡처; 승인 알림 전달 요청 시 기록 내보내기 그리고 데이터 삭제.

**목적.** 계약에 따라 고객에게 durin를 제공, 지원 및 보호합니다.

**기간 및 보유.** 계약 기간 동안 그리고 11항에 따라 삭제 또는 반환될 때까지. 선택적 대화 캡처는 고객이 구성한 기간(7일, 90일, 180일 또는 Enterprise의 경우 360일) 동안 보관됩니다. [거버넌스 메타데이터 및 기타 범주의 보유 기간은 게시 전 변호사의 확인을 거쳐야 함]

**서브 프로세서 처리.** 부록 3에 나열된 바와 같이, 위의 처리와 성격, 목적 및 기간이 동일합니다.

**관할 감독 기관.** EU SCCs에 따른 제한된 전송의 경우 감독 기관은 EU SCCs의 13항에 따라 결정됩니다. 영국 GDPR의 경우 정보위원회(ICO); PDPA의 경우 개인정보보호위원회입니다. [게시 전 변호사의 확인을 거쳐 각 고객의 관할 감독 기관]

## 부록 2: 기술적, 조직적 조치

Marathon은 고객의 개인정보에 대해 다음과 같은 조치를 취합니다. 이는 인증되거나 독립적으로 보장된 제어가 아닌 제어 및 관리 약속을 구현하며 적용되는 EU SCCs의 부록 II를 완성합니다.

**신원 및 접근 확인.** 요청에는 사람이나 서비스의 정체성, 조직, 환경 및 연결이 포함됩니다. 실행 전 현재 회원 자격과 권한을 다시 한번 확인합니다. 비활성 멤버십, 검토되지 않은 도구 및 승인되지 않은 리소스는 거부됩니다. 내부 서비스 호출은 조직, 환경, 운영 및 만료에 바인딩된 범위 기능을 사용합니다.

**정책 및 승인 제어.** 검토된 요청은 기본적으로 허용됩니다. 고객 관리자는 기본 거부를 선택하거나 환경에서 쓰기를 거부하거나 쓰기에 대해 독립적인 승인을 요구할 수 있습니다. 승인은 요청자, 연결, 정확한 인수, 리소스, 도구 및 정책 버전에 바인딩됩니다. 만료되고 한 번만 사용할 수 있으며 요청자가 승인할 수 없습니다.

**인증 및 세션.** 인증은 WorkOS를 사용합니다. 브라우저 세션은 안전한 HttpOnly 쿠키를 사용하며 취소될 수 있으며, 브라우저 변형에는 동일 출처 확인이 필요합니다. 고객은 계획에 포함된 Single Sign-On 및 디렉터리 동기화를 위해 ID 공급자를 연결할 수 있습니다. 다단계 인증 시행은 고객의 ID 공급자 및 계정 설정에 따라 다릅니다.

**암호화.** durin 웹사이트, 애플리케이션 및 게이트웨이 엔드포인트는 HTTPS를 통해 제공됩니다. 선택한 연결 및 내보내기 대상 자격 증명은 AES-256-GCM 및 인증된 컨텍스트를 사용하여 애플리케이션 계층에서 암호화되며 회전을 위한 키 링 지원을 사용합니다.

**데이터 최소화.** 대화 캡처는 기본적으로 메타데이터만 사용하며 제출된 메시지 콘텐츠는 지속되기 전에 삭제됩니다. 관리자는 Enterprise에서 7일, 90일, 180일 또는 360일 동안 수정된 캡처를 활성화할 수 있습니다. 만료된 캡처는 읽을 수 없게 되며 예약된 정리로 제거됩니다. 수정은 패턴 기반이며 완전한 데이터 손실 방지가 아닙니다. 오류 진단은 요청 필드, 헤더 및 사용자 정보를 필터링합니다.

**로깅 및 감사.** 필요한 감사 의도는 통제된 요청이 실행되기 전에 기록됩니다. 불확실한 결과를 포함하여 정책 결정, 승인 및 실행 결과는 별도로 기록됩니다. 내보내기에서는 요청자의 액세스 권한을 다시 확인하고 부분별 SHA-256 체크섬을 포함합니다. 체크섬으로 인해 기록이 변조 방지되지는 않습니다.

**분리.** 고객 데이터는 조직 및 환경별로 논리적으로 분리되며, 관리되는 각 요청은 요청하는 조직, 환경 및 현재 멤버십에 대해 승인됩니다. 테넌트 격리는 기업계약에 포함되어 있습니다.

**안전한 개발.** 변경 사항은 버전 제어에서 추적되고 자동화된 형식화, 린트, 유형, 계약 및 테스트 스위트를 통해 확인됩니다. 지속적인 통합은 종속성 감사, 비밀 검색, 라이센스 검토 및 소프트웨어 BOM 생성을 정의합니다.

**인원.** 생산 시스템 및 고객 개인 데이터에 대한 접근은 5항의 기밀 유지 의무에 따라 durin를 운영, 지원 또는 보호하는 데 필요한 Marathon 직원으로 제한됩니다.

**사고 대응.** Marathon은 손상된 신원, 업스트림 동의 취소, 키 순환 및 불확실한 쓰기 조정에 대한 문서화된 절차를 유지하고 9항에 따라 보안 사고를 처리합니다.

**가용성 및 복구.** 가동 시간, 지원 및 복구 약속은 계약에 포함된 경우에만 적용됩니다. [게시 전 변호사의 확인을 거쳐야 하는 백업, 복원 테스트 및 복구 목표]

**보증.** SOC 2 증명, ISO 인증 또는 독립적인 침투 테스트 결과는 주장되지 않습니다. Marathon은 해당 PDPA 및 GDPR 의무를 충족하고 보안 프로그램을 ISO/IEC 27001 원칙에 맞추기 위해 최선을 다하고 있습니다. 이는 인증이 아닌 관리 약속입니다.

## 부록 3: 하위 처리자

고객은 7항에 따라 아래 재처리자에게 권한을 부여합니다. 변경 사항은 7.2항에 따라 통지되며 현재 일정은 https://getdurin.com/subprocessors.에 게시됩니다.

### Cloudflare

- **적용:** 모든 고객.
- **목적:** durin 웹사이트, 애플리케이션, API 및 게이트웨이용 호스팅 및 네트워크: 작업자 컴퓨팅, D1 데이터베이스, R2 객체 스토리지, 내구성 객체, 비밀 스토리지 및 이메일 전달.
- **고객 개인정보:** 도구 요청 및 전송 결과, 멤버십 데이터, 거버넌스 메타데이터, 암호화된 연결 자격 증명, 캡처가 활성화된 경우 수정된 대화 콘텐츠, 알림 및 확인 이메일의 수신자 주소를 포함하여 durin가 처리하는 모든 고객 개인 데이터입니다.
- **위치:** Cloudflare의 글로벌 네트워크. durin는 데이터베이스, 개체 저장소 또는 지속형 개체에 대한 저장소 위치 힌트나 관할권을 설정하지 않습니다. [게시 전 변호사의 확인을 거쳐 계약 주체 및 처리 국가]
- **전송 보호:** [PDPA 및 GDPR 제5장에 따른 이전 근거는 게시 전에 법률 담당자의 확인이 필요합니다]

### WorkOS

- **적용:** 모든 고객.
- **목적:** ID: 로그인 및 세션, 조직 멤버십 및 초대 이메일, SSO(Single Sign-On) 및 디렉터리 동기화, MCP 클라이언트에 대한 OAuth 인증.
- **고객 개인정보:** MCP 인증 중에 확인되는 회원 이름 및 이메일 주소, 역할 및 멤버십, 초대, 디렉토리 사용자 및 그룹, 세션 식별자 및 액세스 토큰.
- **위치:** durin는 지역 설정 없이 WorkOS API를 사용합니다. [게시 전 변호사의 확인을 거쳐 계약 주체 및 처리 국가]
- **전송 보호:** [PDPA 및 GDPR 제5장에 따른 이전 근거는 게시 전에 법률 담당자의 확인이 필요합니다]

### Sentry

- **적용:** 모든 고객.
- **목적:** durin 애플리케이션, API 및 게이트웨이에 대한 오류 진단.
- **고객 개인정보:** 가명 사용자 식별자, 요청 방법 및 경로, 선택된 요청 헤더, 오류 유형 및 스택 추적. 요청 본문은 전송되지 않으며 이벤트가 전송되기 전에 오류 메시지가 대체됩니다.
- **위치:** durin는 Sentry의 미국 수집 엔드포인트로 이벤트를 보냅니다. [게시 전 변호사의 확인을 거쳐 계약 주체 및 처리 국가]
- **전송 보호:** [PDPA 및 GDPR 제5장에 따른 이전 근거는 게시 전에 법률 담당자의 확인이 필요합니다]

### TypeSafe AI

- **적용:** 고객 관리자가 TypeSafe AI 정책 평가를 선택하고 조직이 자체 TypeSafe API 키를 저장하지 않은 경우에만 해당됩니다.
- **목적:** 관리되는 도구 요청 및 결과에 대한 선택적 모델 기반 정책 평가.
- **고객 개인정보:** 정확한 도구 요청과 응답 확인을 위한 완전한 업스트림 결과(요청 주체, 에이전트 클라이언트, 역할, 팀 및 그룹 멤버십, 팀 정책 및 부여된 범위 포함). ID 이메일, 공급자 토큰 및 API 키는 포함되지 않습니다.
- **위치:** durin는 지역 설정 없이 TypeSafe AI API를 사용합니다. [게시 전 변호사의 확인을 거쳐 계약 주체 및 처리 국가]
- **전송 보호:** [PDPA 및 GDPR 제5장에 따른 이전 근거는 게시 전에 법률 담당자의 확인이 필요합니다]

### OpenRouter

- **적용:** 고객 관리자가 조직에 대해 AI 정책 초안 작성을 활성화한 경우에만 해당됩니다.
- **목적:** 사용자 정의 정책 규칙의 선택적 초안 작성: OpenRouter는 관리자의 요청을 모델 제공자에게 전달하고 durin는 관리자가 검토하기 전에 반환된 초안을 확인합니다.
- **고객 개인정보:** 관리자가 작성하는 일반 언어 정책 설명과 작업 공간의 연결, 도구 및 클라이언트 식별자. 이메일 주소가 포함된 설명은 거부됩니다. 요청은 데이터 수집을 거부하고 데이터 보존이 없는 끝점을 요구하며 대체 공급자를 허용하지 않으며 durin는 설명이나 응답을 저장하지 않습니다.
- **위치:** durin는 지역 설정 없이 OpenRouter API를 사용하며, OpenRouter는 각 요청을 모델 제공자에게 전달합니다. [게시 전 변호사의 확인을 거쳐 계약 주체 및 처리 국가]
- **전송 보호:** [PDPA 및 GDPR 제5장에 따른 이전 근거는 게시 전에 법률 담당자의 확인이 필요합니다]

## 서명

각 당사자는 부록을 포함하여 본 DPA에 동의하기 위해 아래에 서명합니다. 양 당사자가 서명하면 효력이 발생합니다.

### 고객

법인명: ________________________________________

등록된 주소: ________________________________________

개인정보 보호 담당자 이름 및 이메일: ________________________________________

서명자 이름: ________________________________________

직책: ________________________________________

서명: ________________________________________

날짜: ________________________________________

### Marathon Digital Pte Ltd., 싱가포르 법인(UEN 202023814G), operator 의 durin

서명자 이름: ________________________________________

직책: ________________________________________

서명: ________________________________________

날짜: ________________________________________