개인정보 처리위탁 계약

• 처리자(관리자): Stampaz 계정을 보유한 사업자로, 설정에 입력한 법적 정보에 따릅니다.
• 수탁자: Miranda Network, S.L., 사업자번호 B-75866194, 주소 Carretera TF-643, 21, piso 01, puerta 1 B, 38600 Granadilla de Abona, Santa Cruz de Tenerife (España), 연락처 support@mirandanetwork.es.

수탁자는 멤버십 카드 서비스 제공을 위해서만 데이터를 처리합니다: 고객 등록, 스탬프·포인트·리워드 관리, Apple Wallet과 Google Wallet에서의 카드 발급 및 업데이트, 처리자가 결정한 알림 발송, 통계, 고객 권리 행사 대응.

처리 작업: 수집, 기록, 보관, 조회, 수정, 카드 발급을 위한 Apple과 Google에의 제공, 내보내기, 삭제.

위탁 기간은 사업자가 Stampaz 계정을 보유하는 동안입니다.

• 정보주체: 처리자의 멤버십 프로그램에 가입한 고객 및 스캐너를 사용하는 처리자의 직원.
• 데이터: 이름, 처리자가 요청한 경우 이메일·전화번호·생일, 방문·스탬프·포인트·리워드 내역, 혜택 수신 설정, 동의 증빙(날짜, 시간, 문서 버전), 카드의 기술적 식별자.
• 민감정보와 위치 정보는 처리하지 않습니다. 근처 알림은 고객의 휴대폰이 결정합니다.

처리자는 대시보드 설정을 통해 지시합니다: 요청할 데이터, 보낼 알림, 휴면 고객 보관 기간(6~60개월), 고객에게 표시할 법적 정보. 가입 시 고객에게는 처리자의 정보가 담긴 1차 안내가 표시되며, Stampaz는 동의 증빙을 보관합니다.

수탁자는 어떤 지시가 법령을 위반한다고 판단하면 처리자에게 알립니다.

• 처리자의 문서화된 지시에 따라서만 데이터를 처리하고, 자신의 목적으로 사용하지 않습니다.
• 데이터 처리 권한을 받은 사람의 비밀유지를 보장합니다.
• GDPR 제32조의 보안 조치를 적용합니다: 전송 구간 암호화, 사업자별 데이터 격리, 접근 통제, 백업, 접근 기록.
• 정보주체의 권리 행사 대응을 위해 처리자를 지원합니다. 고객은 카드에서 데이터 정정 및 다운로드, 혜택 수신 중단, 전체 삭제를 할 수 있으며, 수탁자에게 들어온 요청은 지체 없이 처리자에게 전달합니다.
• 보안 침해를 부당한 지체 없이, 어떠한 경우에도 인지한 때로부터 최대 48시간 이내에 확보한 정보와 함께 처리자에게 통지합니다.
• 필요한 경우 영향평가 및 감독기관과의 사전 협의에 대해 처리자를 지원합니다.
• 준수를 입증하는 데 필요한 정보를 처리자에게 제공하고, 30일 전 사전 통지와 처리자 부담 조건으로 합리적인 감사를 허용합니다.
• 수탁자로서 처리 활동 기록을 유지합니다.

처리자는 다음 재수탁자를 일반적으로 승인합니다:

• Supabase: 데이터베이스, 인증, 저장소 (EU 내 호스팅).
• Vercel: 애플리케이션 호스팅, 프랑크푸르트 리전(유럽연합)에서 운영.
• Apple과 Google: 각 Wallet에서의 카드 발급 및 업데이트 (카드 내용만: 이름, 스탬프 또는 포인트, 코드).

재수탁자 변경 시 처리자가 반대할 수 있도록 최소 15일 전에 알립니다. 반대하고 대안이 없으면 처리자는 해지할 수 있습니다. 각 재수탁자는 동등한 의무를 집니다. EEA 밖으로의 이전은 GDPR 제5장의 보호 조치(EU-미국 데이터 프라이버시 프레임워크와 같은 적정성 결정 또는 표준계약조항)에 따라 이루어집니다.

• 설정에 법적 정보를 입력하고, 고객에게 안내하며, 유효한 법적 근거를 갖춥니다.
• 혜택은 동의한 사람에게만 보내고 알림을 남용하지 않습니다.
• 직원이 GDPR을 준수하고 스캐너 접근을 안전하게 관리하도록 감독합니다.

구독이 끝나면 수탁자는 30일 후 모든 데이터를 자동으로 삭제합니다. 그 기간 동안 처리자는 데이터를 내보낼(JSON) 수 있습니다. 처리자가 계정을 삭제하면 즉시 삭제됩니다. 법에 따라 보관 의무가 있는 데이터만 차단된 상태로 보관합니다.