개인정보 처리위탁 부속약정

이 부속약정(이하 "약정")은 Tokbee 서비스를 이용하는 고객사(이하 "위탁자")와 주식회사 톡비(이하 "수탁자")가 Tokbee 서비스 이용약관(이하 "이용약관")에 따라 위탁자의 임직원 등 크루의 개인정보 처리를 맡기고 맡는 데 필요한 사항을 「개인정보 보호법」 제26조에 따라 정한 것입니다. 이 약정은 이용약관의 일부이며, 둘이 다르면 개인정보 처리에 관하여는 이 약정이 먼저 적용됩니다.

제1조 (용어)

① "위탁자"란 Tokbee 비즈스페이스를 만들어 서비스를 이용하는 사업자를 말합니다.

② "크루 개인정보"란 위탁자가 서비스에 입력하거나, 위탁자의 크루가 서비스에 입력한 크루의 인사정보와 업무자료(지출, 영수증, 법인카드 사용내역, 출퇴근 · 근무시간, 휴가 기록 등)에 포함된 개인정보를 말합니다.

③ 이 약정에서 따로 정하지 않은 용어는 이용약관과 「개인정보 보호법」에서 정한 바에 따릅니다.

제2조 (위탁 업무의 목적과 범위)

① 위탁자는 자신의 경비정산, 법인카드 사용관리, 근무시간 관리, 휴가 관리 업무를 위하여 크루 개인정보의 처리를 수탁자에게 맡깁니다.

② 수탁자가 맡는 업무는 다음 각 호와 같습니다.

1. 1크루 개인정보의 저장, 보관, 조회, 정리, 집계 및 출력
2. 2크루 계정 발급, 로그인 및 계정 안내 메일 발송
3. 3크루와 위탁자의 회원에게 보내는 업무 알림 발송
4. 4영수증 사진의 글자 인식과 항목 정리(영수증 자동 판독)
5. 5서비스 운영에 필요한 백업, 장애 대응, 보안 관리

③ 처리하는 크루 개인정보의 항목은 개인정보 처리방침 「3. 처리하는 개인정보 항목」의 "크루 정보(수탁)"에 적은 것과 같습니다.

④ 이 약정은 수탁자가 회원가입, 결제, 고객 지원을 위하여 직접 수집하는 회원 정보에는 적용하지 않습니다. 이 정보는 수탁자가 개인정보처리자로서 개인정보 처리방침에 따라 처리합니다.

제3조 (목적 외 처리 금지)

① 수탁자는 크루 개인정보를 제2조의 목적과 범위 안에서만 처리하며, 위탁자의 지시 없이 그 밖의 목적으로 이용하거나 제3자에게 제공하지 않습니다.

② 수탁자는 크루 개인정보와 업무자료를 인공지능 모델의 학습이나 위탁자 업무와 관계없는 분석에 이용하지 않습니다. 다만 서비스 운영과 개선을 위하여 특정 개인이나 고객사를 알아볼 수 없도록 만든 통계(제출 건수, 기능 이용 횟수 등)는 작성하여 이용할 수 있습니다.

③ 법령에 따라 수사기관 등이 크루 개인정보를 요구하는 경우, 수탁자는 법령이 허용하는 범위에서 그 사실을 위탁자에게 미리 알립니다.

제4조 (안전성 확보조치)

수탁자는 「개인정보 보호법」 제29조와 같은 법 시행령 제30조에 따라 다음 조치를 합니다.

1. 1크루 개인정보에 접근할 수 있는 수탁자의 직원을 최소한으로 정하고 접근 기록을 남깁니다.
2. 2비밀번호는 복원할 수 없는 방식으로 암호화하고, 전송 구간을 암호화합니다.
3. 3위탁자별로 크루 개인정보를 분리하여 다른 위탁자가 볼 수 없게 합니다.
4. 4수탁자의 사내 관리 계정에 2단계 인증을 적용합니다.
5. 5크루 개인정보는 대한민국(서울 리전)의 클라우드 시설에 보관합니다.
6. 6크루 개인정보를 처리하는 수탁자 직원에게 보안 교육을 합니다.

제5조 (재위탁)

① 위탁자는 수탁자가 개인정보 처리방침 「7. 처리 위탁」과 「8. 개인정보의 국외 이전」에 적은 업체에 제2조의 업무 일부를 다시 맡기는 것에 동의합니다.

② 수탁자는 재수탁자를 더하거나 바꾸는 경우 적용일 30일 전까지 서비스 화면 또는 이메일로 위탁자에게 알립니다. 위탁자는 그 기간 안에 이의를 제기할 수 있으며, 수탁자가 그 이의를 해소하지 못하면 위탁자는 이용계약을 해지할 수 있습니다.

③ 수탁자는 재수탁자에게 이 약정과 같은 수준의 개인정보 보호 의무를 지우고, 재수탁자의 처리에 대하여 위탁자에게 책임을 집니다.

제6조 (정보주체의 권리 행사 지원)

① 크루가 수탁자에게 직접 열람, 정정, 삭제, 처리정지를 요구하면 수탁자는 이를 지체 없이 위탁자에게 전달합니다.

② 위탁자가 크루의 권리 행사에 응하기 위하여 요청하는 경우, 수탁자는 서비스 기능 또는 별도 지원을 통하여 협조합니다.

제7조 (개인정보 침해사고의 통지)

① 수탁자는 크루 개인정보의 분실, 도난, 유출, 위조, 변조 또는 훼손(이하 "침해사고")을 알게 된 때부터 24시간 이내에 위탁자의 그랜드마스터에게 이메일과 문자로 알립니다.

② 통지에는 다음 사항을 알 수 있는 범위에서 담고, 확인되지 않은 사항은 확인되는 대로 추가로 알립니다.

1. 1침해사고가 난 크루 개인정보의 항목과 규모
2. 2침해사고가 난 시점과 경위
3. 3피해를 줄이기 위하여 수탁자가 한 조치
4. 4위탁자와 크루가 할 수 있는 피해 최소화 방법
5. 5문의할 수 있는 수탁자의 담당 부서와 연락처

③ 수탁자는 위탁자가 법령에 따라 크루에게 통지하고 관계 기관에 신고하는 데 필요한 자료를 제공하고 협조합니다.

제8조 (관리 · 감독)

① 위탁자는 수탁자의 크루 개인정보 처리 현황과 안전성 확보조치에 관하여 자료를 요청할 수 있으며, 수탁자는 요청을 받은 날부터 15일 이내에 서면 또는 전자문서로 답합니다.

② 위탁자는 1년에 한 번 이상 수탁자의 처리 현황을 점검할 수 있습니다. 현장 점검이 필요한 경우 일시와 범위는 서로 협의하여 정하며, 다른 위탁자의 정보와 수탁자의 영업비밀은 점검 대상에서 제외합니다.

③ 수탁자는 위탁자가 이 약정의 위반을 시정하도록 요구하면 지체 없이 시정하고 그 결과를 알립니다.

제9조 (위탁 종료 후 반환과 삭제)

① 위탁자는 종료 전에 서비스의 내려받기 기능(회계자료 보관 · 엑셀 등)으로 언제든지 업무자료를 받을 수 있습니다. 위탁자의 비즈스페이스가 닫히거나 이용계약이 끝나면(이하 "종료"), 수탁자는 종료일부터 30일 동안 업무자료를 지우지 않고 보관하며, 그 기간 안에 위탁자가 고객센터에 요청하면 업무자료를 전자파일로 제공합니다.

② 위탁자는 종료할 때 다음 중 하나를 고릅니다. 고르지 않으면 제1호를 고른 것으로 봅니다.

1. 15년 보관: 위탁자의 회계 · 세무 · 노무 증빙 보관을 위하여 수탁자가 종료일부터 5년 동안 보관한 뒤 파기합니다. 보관 중에는 위탁자의 요청이 있을 때 제공하며, 다른 목적으로 이용하지 않습니다.
2. 2삭제: 제1항의 30일이 지나면 수탁자가 지체 없이 파기합니다.

③ 제2항에도 불구하고 법령이 수탁자에게 보존을 의무로 정한 정보는 그 기간 동안 분리하여 보관합니다.

④ 수탁자는 파기를 마치면 위탁자의 요청에 따라 파기 사실을 확인해 드립니다.

제10조 (손해배상)

① 수탁자가 이 약정을 위반하거나 고의 또는 과실로 크루 개인정보를 잘못 처리하여 위탁자 또는 크루에게 손해가 생긴 경우, 수탁자는 그 손해를 배상합니다.

② 위탁자가 적법한 처리 근거 없이 크루 개인정보를 입력하는 등 위탁자의 귀책으로 생긴 손해는 위탁자가 부담합니다.

③ 이 조는 이용약관 중 책임을 제한하는 조항보다 우선하여 적용합니다.

제11조 (위탁자의 의무)

① 위탁자는 크루 개인정보를 서비스에 입력하기 전에 크루에게 처리 목적, 항목, 보유 기간과 수탁자에게 처리를 맡긴다는 사실을 알리는 등 「개인정보 보호법」에 따른 적법한 처리 근거를 갖추어야 합니다.

② 위탁자는 개인정보 처리방침 「8. 개인정보의 국외 이전」에 적은 사항(이전받는 자, 이전 국가, 이전 항목, 목적, 시기 · 방법, 보유 기간)을 크루에게 알려야 합니다. 수탁자는 이를 위하여 크루 개인정보 처리 안내문 견본을 제공하며, 국외 이전 사항이 바뀌면 제5조 ②에 따라 미리 알립니다.

③ 위탁자는 영수증 자동 판독을 서비스의 계정 관리에서 끌 수 있습니다. 끄면 크루가 올린 영수증 사진과 그 글자가 업스테이지 · Anthropic으로 보내지지 않습니다.

제12조 (체결과 변경)

① 이 약정은 위탁자의 그랜드마스터가 비즈스페이스를 만들 때 동의함으로써 체결됩니다. 이미 비즈스페이스를 이용 중인 위탁자는 그랜드마스터가 서비스 화면에서 동의함으로써 체결됩니다.

② 수탁자는 체결한 약정의 판(버전), 동의한 그랜드마스터, 동의 일시를 기록하여 보관하고, 위탁자가 요청하면 제공합니다.

③ 수탁자가 이 약정을 바꾸는 경우 적용일 30일 전까지 알리며, 그랜드마스터가 바뀐 약정에 동의한 때부터 적용합니다. 동의하지 않는 위탁자는 이용계약을 해지할 수 있습니다.

제13조 (기간)

이 약정은 체결한 때부터 위탁자의 이용계약이 끝나고 제9조에 따른 보관 · 파기가 끝날 때까지 효력이 있습니다.

부칙

이 약정은 2026년 12월 1일부터 시행합니다.