개인정보 처리위탁 계약서

위탁 데이터의 보유·반환·파기 절차

위탁자는 처리 목적에 필요한 적법한 보유기간과 파기 기준을 정하여 정보주체에게 안내하고, 기간 종료 또는 목적 달성 시 서비스의 삭제 기능을 이용하거나 수탁자에게 파기를 요청합니다. 수탁자는 위탁계약과 적법한 지시에 따라 파기를 이행하고, 단순한 화면 숨김이나 접근 차단을 파기 완료로 취급하지 않습니다.

계약 종료 시 수탁자는 위탁자와 반환·내보내기 방법을 협의하여 이행한 뒤, 별도의 적법한 보존 근거가 없는 위탁 데이터를 지체 없이 파기합니다. 반환·이관이 필요한 경우 그 범위와 처리 기한을 사전에 정합니다. 법령상 보존이 필요한 정보는 항목·근거·기간을 특정하여 분리 보관하고, 백업의 삭제 범위·주기와 파기 결과 확인 방법은 위탁계약 및 실제 운영 절차에 따릅니다. 수탁자는 요청 시 파기 처리 결과를 위탁자에게 제공합니다.

행사·세션의 보유기간은 주최기관이 해당 행사 운영을 위해 처리하는 정보(SIST에 위탁한 정보 포함)에 적용됩니다. 참여기관이 독립적인 법적 근거로 별도 보관하는 원본·학교 공식 기록은 해당 기관의 보존 기준을 따릅니다. 행사 운영용 사본은 처리 목적 달성 등으로 불필요해지면 지체 없이 파기합니다.

행사 문서와 동의 운영

기관은 Check Up 사용설정 시 서비스 이용약관 및 개인정보 처리위탁 계약을 체결합니다. 개인정보처리방침은 공개 안내 문서이며 동의 항목으로 취급하지 않습니다.

세션 주최자는 기본 설정과 수집항목을 저장한 뒤 참가 안내 및 개인정보 동의서와 필요한 행사 참여기관 약관·계약서를 작성·발행합니다. SIST가 제공하는 템플릿은 작성 보조 수단이며 주최자는 실제 처리 주체, 목적, 항목, 보유기간과 연락처를 확인하여 확정합니다.

일반 개인정보, 민감정보 처리 및 필요한 제3자 제공 동의를 구분합니다. 참가자는 행사 참가를 위해 SIST와 별도의 이용계약을 체결하지 않습니다. My Checkup 개인 기록 보관 서비스의 가입·동의는 별도로 진행합니다.

학교 등 참여기관은 학생정보가 없는 기관별 PDF 또는 버전이 고정된 공유링크를 배포합니다. 알림장·가정통신문 등 기존 채널에서 동의를 받고 문서 버전·동의자·일자와 증빙을 보관한 후 참가자를 등록합니다. 만 14세 미만은 필요한 법정대리인 동의 및 확인을 완료해야 합니다. 공개 문서 열람을 동의로 간주하지 않습니다. 행사 문서 기능에서는 보호자 연락처 업로드, 문자 전송 또는 보호자 웹 동의를 제공하지 않습니다.

오픈참여형은 발행된 주최자 필수 동의문서에 웹 동의를 받아 사전예약합니다. 현장에서는 예약자를 체크인하고, 미예약자는 사전예약 웹 페이지로 안내하거나 서면 동의 후 운영자가 등록합니다.

변경 문서는 새 버전으로 발행합니다. 과거 문서·동의 이력·배포본을 덮어쓰지 않으며, 수집항목·목적 등 동의 범위가 바뀌면 필요한 재동의를 확보합니다.

제1조 목적 및 체결 당사자

이 문서의 주최자 또는 참여기관에는 개인 주최자, 기업, 공공기관, 교육기관, 체육시설, 협회, 동호회 등 행사 운영 주체가 포함됩니다. 참가자 개인정보의 처리 목적과 방법을 정하는 주체 및 각자의 처리 범위는 실제 운영 관계와 계약으로 정하며, 세션의 역할 이름이나 초대 수락만으로 정해지지 않습니다.

위탁자의 명칭, 대표 또는 권한 있는 담당자, 대상 행사, 위탁 기간, 처리 항목, 보유기간 및 재위탁 현황을 계약서 또는 부속 문서에 특정합니다. 개인 주최자는 직접, 단체는 계약 체결 권한이 있는 담당자를 통해 체결합니다. 일반 멤버의 초대 수락이나 서비스 이용약관 동의를 본 계약 체결로 간주하지 않습니다.

1. 본 계약은 위탁자(서비스 신청 주최자 또는 기관)가 SIST Check Up 서비스 운영을 위해 수탁자(주식회사 SIST)에게 개인정보 처리업무를 위탁함에 있어 위탁업무의 목적, 범위, 보호조치, 관리 감독, 책임을 정합니다.
2. 수탁자는 본 계약, 위탁자의 지시, 관계 법령의 범위를 벗어나 개인정보를 처리해서는 안 됩니다.

제2조 위탁업무의 내용

• 측정 세션 생성, 참가자 등록, 등록 링크 운영, 체크인, QR 코드 매핑 기능 제공
• 측정 스테이션 구성, 기록 입력, 기록 수정, 기록 조회, 자료 내보내기 기능 제공
• 운영 도우미 및 기록 도우미 임시 계정 발급, 인증, 권한 관리
• 방문자 등록, 전화번호 인증, 셀프체크인, QR 코드 변경, 본인 기록조회 기능 운영
• 서버, 데이터베이스, Redis, 스토리지, 백업, 보안 로그 및 감사로그 운영
• 장애 대응, 고객지원, 보안 점검, 데이터 반환 및 삭제 지원

제3조 위탁 처리 개인정보 항목

제4조 민감정보 및 미성년자 정보

1. 체력측정 결과, 키, 몸무게, BMI, 체지방률 등은 건강에 관한 정보 또는 이에 준하여 보호가 필요한 정보에 해당할 수 있습니다.
2. 위탁자는 건강정보 등 민감정보를 처리하려면 다른 개인정보 처리 동의와 구분한 별도 동의 또는 해당 처리를 요구·허용하는 법령상 근거를 확보해야 합니다.
3. 만 14세 미만 참가자의 개인정보 처리에 동의가 필요한 경우, 개인정보처리자인 주최자 또는 참여기관은 법정대리인의 동의를 받고 동의 여부를 확인한 후 처리해야 합니다. 행사 안내, 내부 승인, 담당자의 초대 수락은 이를 대신하지 않습니다.
4. 위탁자는 서비스 목적에 불필요한 주민등록번호, 상세 병력, 진단명, 치료내역, 가족관계 등 과도한 정보를 입력해서는 안 됩니다.

제5조 수탁자의 의무

1. 수탁자는 위탁업무 수행 목적과 본 계약 범위 내에서만 개인정보를 처리합니다.
2. 수탁자는 개인정보를 목적 외로 이용하거나 제3자에게 제공하지 않습니다. 위탁자의 지시만으로 위탁 범위를 넘는 이용·제공 또는 법령상 필요한 동의를 대신할 수 없습니다.
3. 수탁자는 개인정보 취급 임직원에게 비밀유지 의무를 부과하고 필요한 교육을 시행합니다.
4. 수탁자는 개인정보 침해 사고 또는 침해 우려를 인지한 경우 위탁자에게 지체 없이 통지하고 피해 확산 방지, 원인 조사, 복구에 협력합니다.
5. 수탁자는 위탁자의 요청이 있는 경우 처리 현황, 재위탁 현황, 보호조치 현황을 설명하거나 필요한 자료를 제공합니다.

제6조 위탁자의 의무

1. 위탁자는 참가자 개인정보 처리에 필요한 적법한 근거를 확인하고, 동의가 필요한 경우 실제 동의 및 그 확인 근거를 관리합니다. 수집·이용, 민감정보 처리, 제3자 제공은 각각 해당 요건을 충족해야 합니다. 처리위탁은 계약 체결과 위탁업무·수탁자 공개 등 법령상 절차를 이행합니다.
2. 위탁자는 관리자, 운영 도우미, 기록 도우미 권한을 필요한 사람에게만 부여하고 계정 및 PIN 공유를 관리해야 합니다.
3. 위탁자는 입력 정보가 서비스 목적에 필요한 범위를 넘지 않도록 관리하고, 오류 또는 과다 수집을 발견하면 정정 또는 삭제해야 합니다.
4. 정보주체 또는 법정대리인이 권리 행사를 요청하는 경우 위탁자는 개인정보처리자로서 이를 처리하며 필요한 경우 수탁자에게 지원을 요청할 수 있습니다.

제7조 재위탁 및 외부 서비스 이용

1. 수탁자는 위탁업무의 전부 또는 일부를 제3자에게 재위탁하려는 경우 위탁자의 동의를 받습니다. 재수탁자, 위탁업무 및 처리 범위를 계약 또는 부속 문서로 안내합니다.
2. SMS 인증번호 발송을 위해 문자 발송 모듈 또는 문자 발송 사업자에게 전화번호와 인증번호가 전송될 수 있습니다.
3. 서비스 운영을 위해 클라우드 서버, 데이터베이스, Redis, 스토리지, 백업 인프라를 사용할 수 있습니다.
4. 수탁자는 재수탁자가 본 계약과 관계 법령에 준하는 보호조치를 이행하도록 관리 감독합니다.

제8조 안전성 확보조치

• 개인정보 취급자 최소화 및 역할별 접근권한 관리
• 비밀번호 및 PIN 해시 처리, 인증 토큰 관리
• 중요 행위에 대한 감사로그 기록 및 보관
• 전송 구간 암호화 및 서버 접근권한 관리
• 대량 다운로드 또는 비정상 접근 점검
• 백업 및 장애 복구 체계 운영
• 개인정보 취급자 교육과 비밀유지 의무 부과

제9조 보유, 반환 및 삭제

1. 위탁자가 삭제 또는 반환을 지시하거나 계약이 종료된 경우 수탁자는 데이터 반환 또는 내보내기를 지원하고, 정해진 기준에 따라 개인정보를 파기합니다.
2. 법령상 보존 등 별도의 적법한 근거로 보관하는 정보는 해당 항목·근거·기간을 특정하여 분리 보관하고, 그 근거가 종료되면 파기합니다.

제10조 관리 감독 및 점검

1. 위탁자는 수탁자의 개인정보 처리 현황과 보호조치 이행 여부를 점검할 수 있습니다.
2. 수탁자는 합리적인 범위에서 위탁자의 점검 요청에 협조합니다. 다만 다른 고객의 정보, 영업비밀, 보안상 민감한 정보는 보호하기 위해 필요한 범위에서 열람 또는 제공 방법을 조정할 수 있습니다.

제11조 손해배상 및 책임

1. 수탁자 또는 위탁자가 본 계약 또는 관계 법령을 위반하여 상대방 또는 정보주체에게 손해를 발생시킨 경우 귀책 있는 당사자가 그 손해를 배상합니다.
2. 위탁자가 필요한 동의나 법적 근거 없이 개인정보를 제공하거나, 과도한 정보를 입력하거나, 권한 관리 의무를 위반하여 발생한 손해는 위탁자의 책임 범위에 포함될 수 있습니다.
3. 본 조는 강행 법령상 당사자가 부담해야 하는 책임을 배제하지 않습니다.

제12조 계약 기간 및 종료

1. 본 계약은 서비스 이용계약 또는 세션 운영 계약이 유효한 기간 동안 적용됩니다.
2. 서비스 이용계약이 종료되면 본 계약도 종료됩니다. 다만 반환, 삭제, 백업, 감사, 분쟁 대응에 필요한 조항은 해당 목적 달성 시까지 효력을 가집니다.

제13조 연락처

부칙

본 개정안은 권한 있는 당사자 간 체결 시 적용됩니다. 개정안 작성일은 2026년 10월 27일입니다.