GDPR 준수 원칙

Eesti Firma(법인명 Eesti Firma OÜ, 등록번호 14164797, 등록 주소: Vesivärava 50-301, 10152 Tallinn, Estonia)는 고객의 개인정보 보호를 최우선으로 생각합니다. 에스토니아에서 허가받은 신탁 및 기업 서비스 제공업체로서 당사는 일반개인정보보호법 (EU) 2016/679 (GDPR) 및 에스토니아 개인정보보호법(Isikuandmete kaitse seadus)을 철저히 준수하여 개인정보를 처리합니다. 개인정보 보호에 대한 당사의 약속은 GDPR 제5조에 명시된 데이터 처리 원칙을 기반으로 합니다.

이러한 원칙은 고객 데이터를 처리하는 방식에 관한 당사의 모든 결정을 이끌며 내부 절차의 토대가 됩니다. 아래에서는 각 원칙과 실제 적용 방식, 정보주체로서 고객이 보유한 권리 및 관할 감독기관에 연락하는 방법을 설명합니다. 구체적인 데이터 처리 활동 및 보호 조치에 관한 자세한 내용은 당사의 개인정보 처리방침에서 확인할 수 있습니다.

적법성, 공정성 및 투명성

당사는 GDPR 제5조 제1항 (a)호에 따라 고객과 관련된 개인정보를 적법하고 공정하며 투명하게 처리합니다. 이는 모든 데이터 처리가 적법한 근거에 따라 정직하고 공개적으로 이루어진다는 의미입니다. 당사는 이 원칙에 따라 다음과 같은 방침을 준수합니다.

• 적법성: 당사는 GDPR 제6조에 따른 명확하고 적법한 근거가 있는 경우에만 고객의 개인정보를 수집하고 이용합니다. 당사의 법적 근거에는 고객의 충분한 설명에 기반한 동의(필요한 경우), 계약상 의무의 이행, 법적 요건의 준수(예: 자금세탁 방지 및 KYC 의무) 또는 고객의 권리에 우선하지 않는 당사의 정당한 사업상 이익이 포함됩니다. 고객에게는 데이터 처리의 법적 근거가 항상 안내됩니다.
• 공정성: 당사는 데이터 처리의 공정성을 보장합니다. 즉, 기만적인 방법으로 데이터를 수집하거나 고객에게 불리하게 사용하지 않습니다. 당사는 정보 수집 목적이나 이용 방식에 관해 고객을 오도하지 않습니다. 또한 고객의 이익과 권리를 고려합니다. 예를 들어 서비스 이용 조건과 관계없이 고객의 권리(데이터 열람권 등)를 차별 없이 행사할 수 있도록 보장합니다. 데이터 처리는 고객의 개인정보에 부당한 피해가 발생하지 않도록 수행됩니다.
• 투명성: 당사는 고객의 데이터가 사용되는 이유와 방식을 공개적이고 명확하게 안내합니다. 모든 처리 정보는 과도한 법률 용어를 피하고 이해하기 쉬운 언어로 제공됩니다. 고객이 당사가 어떤 데이터를 어떤 근거와 목적으로 수집하는지 언제든 확인할 수 있도록 개인정보 처리방침과 기타 안내문을 항상 쉽게 접근할 수 있는 형태로 제공합니다. 필요한 경우 다층적 안내 방식을 사용하여 핵심 사항을 강조하고 추가 링크나 툴팁을 통해 상세 정보를 제공합니다. 당사는 정보를 정기적으로 갱신하여 최신 상태로 유지하고 중대한 변경 사항을 고객에게 안내합니다. 이러한 투명성을 통해 고객은 자신의 개인정보가 어떻게 처리되는지 정확히 알 수 있습니다.

목적 제한

당사는 GDPR 제5조 제1항 (b)호에 따라 고객에게 사전에 고지한 구체적이고 미리 정의된 적법한 목적을 위해서만 개인정보를 수집하고 이용합니다. 이는 고객의 데이터가 수집 당시의 목적에만 사용된다는 의미입니다. 당사는 개인정보를 원래 목적과 양립할 수 없는 새로운 방식으로 사용하지 않습니다. 예를 들어 고객이 당사 서비스에 관한 업데이트를 받기 위해 이메일 주소를 제공한 경우, 고객의 인지와 동의 없이 이를 광고 목적으로 파트너에게 제공하지 않습니다.

모든 처리 목적은 명확하게 문서화됩니다. 당사는 내부 기록과 공개 문서(개인정보 처리방침 등)에 특정 데이터를 수집하는 이유를 명시합니다. 원래 목적과 양립할 수 없는 새로운 목적으로 데이터를 사용해야 하는 경우, 사전에 고객의 별도 동의를 받거나 처리를 위한 다른 적법한 근거를 확보합니다. 따라서 고객의 개인정보가 예기치 않게 사용되거나 처음 명시된 목적을 벗어나 사용되지 않음을 확신할 수 있습니다.

데이터 최소화

당사는 데이터 최소화 원칙(GDPR 제5조 제1항 (c)호)을 준수하며, 이는 명시된 처리 목적에 실제로 필요한 개인정보만 수집한다는 의미입니다. 실제로는 다음과 같이 적용됩니다.

• 당사는 요청된 서비스를 제공하거나 계약을 이행하는 데 필요한 최소한의 데이터만 요청합니다. 당사 웹사이트의 양식과 설문은 불필요한 정보를 수집하지 않도록 설계되어 있습니다. 예를 들어 웨비나 등록에 이름과 이메일만 필요하다면 관련 없는 추가 데이터를 요청하지 않습니다.
• “불필요한 것은 수집하지 않는다”는 원칙은 고객의 개인정보에 대한 위험을 줄이는 데 도움이 됩니다. 저장하고 처리하는 데이터가 적을수록 유출이나 무단 접근 가능성도 낮아집니다. 당사는 언젠가 유용할 수 있는 데이터를 축적하기 위해 “혹시 모를 경우에 대비하여” 정보를 수집하지 않습니다. 모든 정보 요청은 구체적인 필요성에 따라 신중하게 정당화됩니다.
• 또한 당사는 수집하는 데이터를 정기적으로 검토하여 필수적이지 않은 항목이나 요청을 제거합니다. 이를 통해 모든 상호작용에서 명시된 목적을 달성하는 데 실제로 필요한 정보만 요청합니다.

정확성

개인정보를 정확하고 최신 상태로 유지하는 것(GDPR 제5조 제1항 (d)호)도 당사가 준수하는 핵심 원칙입니다. 고객에 관한 정보가 정확하고 완전하며 최신 상태인지 확인하기 위해 합리적인 모든 노력을 기울입니다. 이는 당사 서비스의 품질과 고객의 신뢰에 영향을 미치기 때문입니다. 정확성을 보장하기 위해 다음 조치를 시행합니다.

• 정기적인 업데이트: 고객의 개인정보가 변경된 경우(예: 연락처 번호나 주소를 변경한 경우), 당사는 해당 변경 사항을 시스템에 신속하게 반영합니다. 오래되거나 잘못된 정보를 바탕으로 의사결정이 이루어지지 않도록 노력합니다.
• 오류 정정: 고객 정보가 잘못되었거나 오래된 사실을 발견하면 언제든 당사에 알릴 수 있으며, 당사는 오류를 신속하게 정정합니다. 또한 고객은 GDPR 제16조에 따라 부정확한 데이터를 정정할 권리가 있으며, 당사는 이를 전적으로 존중하고 고객이 부정확한 사항을 편리하게 알릴 수 있는 방법을 제공합니다.
• 중요 데이터 검증: 데이터의 정확성이 특히 중요한 경우(예: 금융 거래 또는 법적으로 중요한 서비스 제공), 당사는 정보를 검증하고 확인하기 위한 추가 조치를 취할 수 있습니다. 여기에는 증빙 서류 요청이나 고객과의 데이터 교차 확인이 포함될 수 있습니다. 이러한 조치를 통해 당사 데이터베이스에는 정확한 정보만 보관됩니다.
• 부정확한 데이터의 삭제: GDPR 요건에 따라 정정할 수 없는 부정확하거나 불완전한 데이터는 부당한 지체 없이 삭제해야 합니다. 당사는 이 규칙을 준수합니다. 처리 목적과 관련하여 정보가 부정확하며 정정할 수 없는 것으로 확인되면 발생 가능한 부정적 결과를 방지하기 위해 신속하게 삭제합니다.

정확성을 유지하려면 고객의 협조도 매우 중요합니다. 개인정보가 변경되었거나 정정이 필요한 경우 당사에 알려주시기 바랍니다. 정확한 데이터는 효과적인 서비스 제공과 고객의 권리 보호에 필수적이므로 고객의 적극적인 협조에 감사드립니다.

보관 제한

당사는 개인정보를 수집 목적을 달성하는 데 필요한 기간보다 오래 보관하지 않습니다. 이러한 보관 제한 원칙(GDPR 제5조 제1항 (e)호)은 각 데이터 범주에 정해진 보관 기간이 있으며, 해당 기간이 지나면 정보를 안전하게 삭제하거나 익명화한다는 의미입니다. 당사는 다음과 같은 방식으로 이를 보장합니다.

• 명확하게 정의된 보관 기간: 당사는 처리 목적, 법적·계약상 의무 및 관련 법적 요건을 고려하여 다양한 유형의 개인정보에 합리적인 보관 기간을 설정합니다. 예를 들어 거래 및 회계 데이터는 에스토니아 세법과 회계법에서 요구하는 기간(일반적으로 7년) 동안 보관하지만, 일회성 문의를 위해 수집한 데이터는 더 짧은 기간 동안 보관합니다. 모든 보관 기간은 당사의 내부 정책에 반영되며, 당사는 이를 엄격히 준수합니다.
• 정기적인 검토: 당사는 데이터 보관 정책이 최신 상태를 유지하도록 정기적으로 검토합니다. 사업 절차가 변경되거나 법률이 개정되면 그에 따라 데이터 보관 기간을 조정합니다. 이러한 감사를 통해 더 이상 필요하지 않은 개인정보를 식별합니다. 사용되지 않거나 오래된 데이터를 찾아내기 위해 검토를 수행하고, 적법한 목적에 필요하지 않은 경우 이를 삭제합니다.
• 안전한 삭제: 보관 기간이 만료되면(또는 데이터가 불필요해진 경우에는 그보다 일찍) 개인정보를 복원하거나 식별할 수 없는 방식으로 삭제합니다. 기술적 제약으로 즉시 삭제할 수 없는 경우, 먼저 데이터를 익명화하여 고객의 신원과 분리한 후 가능한 시점에 삭제할 수 있습니다. 또한 법률이 허용하는 경우에만 정해진 보관 기간을 초과하여 데이터를 보관할 수 있습니다. 예를 들어 GDPR 제89조 제1항에 따른 공익 목적의 기록 보존이나 과학 또는 통계 목적을 위해 데이터를 보관하는 경우가 이에 해당합니다. 이러한 경우에도 적절한 기밀성 보호 조치를 보장합니다.

개인정보 보관 기간을 최소화함으로써 시간이 지남에 따라 발생할 수 있는 데이터 오용이나 침해 취약성의 위험을 줄입니다. 당사는 고객의 데이터를 필요한 기간보다 오래 보관하지 않으며 정해진 기한을 엄격히 준수합니다.

무결성 및 기밀성

당사는 고객 개인정보의 무결성과 기밀성을 보장하기 위해 모든 조치를 취하며(GDPR 제5조 제1항 (f)호), 무단 접근, 변경, 공개 또는 파기로부터 이를 보호합니다. 이러한 데이터 보안 원칙은 기술적·조직적 수단을 통해 종합적으로 시행됩니다. 당사는 다음과 같은 방식으로 고객의 데이터를 보호합니다.

• 최신 보안 기술: 당사는 데이터 암호화, 방화벽, 바이러스 백신 솔루션, 침입 탐지 시스템 및 기타 사이버 보안 도구를 포함하여 개인정보를 보호하기 위한 적절한 기술적 보안 조치를 적용합니다. 이러한 조치는 처리되는 데이터의 성격과 규모 및 잠재적 위험에 상응합니다. 예를 들어 민감한 데이터는 암호화하여 저장할 수 있으며, 개인정보가 포함된 시스템에 대한 접근은 권한을 부여받은 사람으로 엄격히 제한됩니다. 당사는 새로운 위협에 대응하기 위해 정기적으로 위험을 평가하고 보안 조치를 업데이트합니다. IT 인프라의 취약점을 모니터링하며 사고를 방지하기 위해 업데이트와 패치를 신속히 설치합니다.
• 조직적 조치 및 접근 통제: 기술적 조치 외에도 데이터 취급에 관한 엄격한 조직 규칙을 시행합니다. 고객의 개인정보에 대한 접근은 직무 수행에 해당 정보가 필요한 직원 또는 권한을 부여받은 사람으로만 제한됩니다(“최소 권한” 원칙). 각 직원은 부여된 권한의 범위 내에서 행동하며 데이터 보안 요건에 관한 교육을 받습니다. 당사는 정보에 접근할 수 있는 모든 직원 및 제3자 계약업체와 비밀유지계약(NDA)을 체결하여 기밀 유지 의무를 법적으로 부과합니다. 직원들이 최신 위협과 예방 전략을 숙지하도록 데이터 보호 모범 사례에 관한 정기적인 교육과 브리핑을 실시합니다.
• 사고 대응 및 모니터링: 당사는 보안 사고에 대응하기 위한 내부 절차를 마련하고 있습니다. 개인정보 침해가 발생할 가능성은 낮지만, 사고 발생 시 즉각적인 취약점 보완부터 72시간 이내 감독기관 통지 및 GDPR 제33조와 제34조에 따라 필요한 경우 영향을 받은 정보주체에게 알리는 절차까지 대응 계획을 따릅니다. 모든 개인정보 사고 기록을 유지하고 재발 방지를 위해 원인을 분석합니다. 또한 보안 시스템을 정기적으로 감사합니다. 내부 및 외부 감사, 침투 테스트와 기타 평가를 수행하여 보안 기준이 지속적으로 강력하고 최신 상태를 유지하도록 합니다.

당사는 이 원칙을 준수하여 고객의 개인정보가 높은 보안 기준에 따라 저장되고 처리되도록 합니다. 데이터 무결성은 시스템 내 정보가 변경되지 않고 정확하게 유지되도록 하며, 기밀성은 권한이 없는 사람이 해당 정보에 접근하지 못하도록 보장합니다. 이러한 조치는 함께 높은 수준의 신뢰와 보안을 유지하는 데 도움이 됩니다.

책임성

Eesti Firma OÜ는 GDPR 원칙을 준수할 책임을 전적으로 인식하며 이러한 준수 사실을 입증할 수 있습니다. 책임성 원칙(GDPR 제5조 제2항)은 당사가 규정을 준수할 뿐만 아니라 실제적이고 문서화된 준수 증거도 제공할 수 있어야 한다는 의미입니다. 당사는 다음과 같은 방식으로 책임성을 실현합니다.

• 내재화된 준수 체계: 당사는 모든 업무 절차에 GDPR 요건을 통합했습니다. 개인정보를 취급하는 모든 직원은 데이터 보호 원칙을 이해하고 준수합니다. 데이터의 수집, 이용, 이전 및 보관을 규율하는 명확한 정책과 지침을 마련하고 직원들에게 이를 안내합니다. GDPR 원칙은 당사의 기업 문화에 내재되어 모든 수준에서 일관되게 높은 데이터 관리 기준을 보장합니다.
• 지정된 Data Protection Officer: 책임성에 대한 약속의 일환으로 당사는 Data Protection Officer (DPO)인 Ilja Nikiforov를 선임했으며, 연락처는 아래에 기재되어 있습니다. DPO는 회사 내부의 GDPR 준수 여부를 감독하고 직원들에게 개인정보 보호 문제에 관해 조언하며 고객 및 감독기관의 연락 창구 역할을 합니다. 전담 DPO의 지정은 데이터 보호에 대한 당사의 진지한 의지를 보여줍니다.
• 내부 감사 및 위험 평가: 당사는 업무 관행이 GDPR 요건을 준수하는지 확인하기 위해 정기적으로 내부 감사를 실시하며, 필요한 경우 외부 감사인을 참여시킵니다. 보안 및 개인정보 보호에 대한 잠재적 위험을 분석하고 감사 결과에 따라 시정 조치를 취합니다. 특정 유형의 처리가 개인에게 높은 위험을 초래할 가능성이 있는 경우 GDPR 제35조에 따라 Data Protection Impact Assessment (DPIA)를 수행합니다. 이러한 지속적인 모니터링과 개선 방식을 통해 데이터 보호 조치를 최신 상태로 유지하고 변화에 신속하게 대응합니다.
• 교육 및 인식 제고: 당사는 데이터 보호 주제에 관한 직원 교육에 투자합니다. 모든 직원이 업계의 최신 동향과 요건을 숙지하도록 교육 세션, 뉴스레터 및 지식 평가를 정기적으로 실시합니다. 데이터 보안은 개인의 행동에 크게 좌우되므로 모든 사람이 자신의 역할과 책임을 이해하는 문화를 조성합니다.
• 보고 준비: 당사는 언제든 고객과 감독기관에 GDPR 준수 사실을 입증할 준비가 되어 있습니다. 당사의 투명성은 이 영역에도 적용됩니다. 고객은 자신의 데이터에 관한 정보를 요청할 수 있으며, 당사는 필요한 모든 세부 정보를 제공합니다. 마찬가지로 감독기관의 감사가 있을 경우 당사의 책임성을 입증하는 문서와 절차를 갖추고 있습니다. 당사는 고객의 신뢰가 당사의 책임성과 직결된다는 점을 인식하며, 이에 따라 이 원칙을 운영의 초석으로 삼고 있습니다.

정보주체로서 고객의 권리

GDPR은 고객에게 자신의 개인정보에 관한 다양한 권리를 부여합니다. 당사는 이러한 권리를 존중하며 고객이 이를 간편하게 행사할 수 있는 방법을 제공합니다. GDPR에 규정된 조건과 예외에 따라 고객은 다음과 같은 권리를 보유합니다.

• 정보를 제공받을 권리(제13조~제14조): 고객의 개인정보가 처리되는 방식과 이유에 관해 명확한 정보를 받을 권리.
• 열람권(제15조): 당사가 고객의 데이터를 처리하는지 확인받고 그 사본을 제공받을 권리.
• 정정권(제16조): 부정확하거나 불완전한 개인정보를 정정하도록 요구할 권리.
• 삭제권 / “잊힐 권리”(제17조): 데이터를 계속 보관해야 할 우선하는 적법한 근거가 없는 경우 데이터 삭제를 요청할 권리.
• 처리 제한권(제18조): 특정 상황에서 당사가 고객의 데이터를 이용하는 방식을 제한할 권리.
• 데이터 이동권(제20조): 고객이 제공한 데이터를 구조화되고 일반적으로 사용되며 기계 판독이 가능한 형식으로 제공받고, 기술적으로 가능한 경우 이를 이전하도록 요구할 권리.
• 이의 제기권(제21조): 당사의 정당한 이익에 근거한 처리에 이의를 제기하고, 언제든 직접 마케팅에 이의를 제기할 권리.
• 자동화된 의사결정 관련 권리(제22조): 법적 효과 또는 이와 유사하게 중대한 효과를 초래하는 자동화된 처리에만 근거한 결정의 대상이 되지 않을 권리.
• 동의 철회권(제7조 제3항): 처리가 동의에 근거한 경우 철회 이전에 이루어진 처리의 적법성에 영향을 주지 않고 언제든 동의를 철회할 권리.
• 민원 제기권(제77조): 관할 감독기관에 연락할 권리(아래 섹션 참조).

이러한 권리를 행사하려면 연락처 정보 섹션에 기재된 정보를 이용하여 당사에 연락해 주십시오. 당사는 GDPR에 따라 1개월 이내에 답변합니다. 복잡하거나 다수의 요청이 있는 경우 이 기간을 최대 2개월 더 연장할 수 있으며, 이 경우 그 사유를 고객에게 안내합니다. 명백히 근거가 없거나 과도한 요청이 아닌 한 요청 처리는 무료입니다. 요청에 따른 조치를 취하기 전에 고객의 신원을 확인해야 할 수 있습니다.

감독기관 및 민원 제기권

당사가 데이터 보호법을 위반하여 고객의 개인정보를 처리했다고 판단하는 경우, 우려 사항을 직접 해결할 수 있도록 먼저 당사에 연락해 주시기 바랍니다. 고객은 GDPR 제77조에 따라 관할 감독기관에 민원을 제기할 권리도 있습니다. 에스토니아의 관할 기관은 데이터 보호 감독청(Andmekaitse Inspektsioon)입니다.

• 기관: 에스토니아 데이터 보호 감독청(Andmekaitse Inspektsioon)
• 주소: Tatari 39, 10134 Tallinn, Estonia
• 이메일: info@aki.ee
• 전화: +372 627 4135 (상담 전화 +372 5620 2341, 월~목 13:00~16:00)
• 웹사이트: www.aki.ee

다른 EU/EEA 국가에 거주하거나 근무하는 경우 해당 국가의 감독기관에 민원을 제기할 수도 있습니다.

결론

고객의 개인정보를 보호하고 신뢰를 유지하겠다는 당사의 근본적인 약속에 따라 GDPR 준수는 단순한 형식적 절차가 아니라 일상적인 업무 운영의 필수 요소입니다. 앞서 언급한 모든 원칙, 즉 적법성, 공정성, 투명성, 목적 제한, 데이터 최소화, 정확성, 보관 제한, 무결성·기밀성 및 책임성을 준수함으로써 고객의 개인정보가 최대한 올바르고 안전한 방식으로 처리되도록 보장합니다. 당사는 고객의 신뢰를 소중히 여기기에 법적 요건 이상의 노력을 기울입니다.

당사는 GDPR의 취지에 따라 데이터 보호 관행을 지속적으로 개선하고 규제 요건의 변화에 신속하게 대응합니다. 고객은 자신의 개인정보가 안전하게 관리되고 있음을 확신할 수 있으며, 당사는 이러한 상태가 계속 유지되도록 끊임없이 노력합니다.

업데이트 및 법적 정보

당사는 데이터 처리 관행, 법률 또는 규제 요건의 변경 사항을 반영하기 위해 본 문서를 정기적으로 업데이트하거나 수정할 권리를 보유합니다. 모든 업데이트는 이 페이지에 게시되며, 최종 개정일도 그에 따라 갱신됩니다. 최신 GDPR 준수 원칙을 확인할 수 있도록 이 페이지를 정기적으로 검토하시기를 권장합니다.

연락처 정보

개인정보 보호 또는 당사가 고객의 정보를 처리하는 방식에 관한 질문, 의견 또는 요청이 있다면 당사에 연락해 주십시오. 당사는 언제든 고객을 도울 준비가 되어 있으며 고객의 의견을 소중히 여깁니다.

• 회사: Eesti Firma OÜ
• 등록 코드: 14164797
• VAT 번호(KMKR): EE102081480
• 사업 허가(TCSP): FIU000144
• Data Protection Officer (DPO): Ilja Nikiforov
• 이메일: info@eestifirma.ee
• 전화: +372 641 7777
• 주소: Vesivärava 50-301, 10152 Tallinn, Estonia

당사는 모든 문의에 신속하고 포괄적으로 답변하기 위해 노력합니다. 고객의 데이터에 관한 정보 또는 권리 행사를 요청하는 경우 GDPR에서 정한 기간(일반적으로 1개월 이내)에 답변합니다. 데이터 보호를 Eesti Firma OÜ에 맡겨주셔서 감사합니다. 당사도 그 신뢰에 보답하기 위해 가능한 모든 노력을 다하겠습니다.