Apigee 제품에 대한 데이터 처리 및 보안 약관(고객)

최종 수정일: 2019년 1월 28일

이 문서는 최신 버전이 아니며 보관처리 목적으로 제공됩니다. 최신 버전 보기

본 약관에 동의하는 고객(이하 “고객”), Google LLC(이전 Google Inc), Google Ireland Limited, Google Asia Pacific Pte. Ltd, Google Australia Pty Ltd, 혹은 Google LLC(해당되는 경우 “Google”)를 직간접적으로 지배하거나, Google의 지배를 받거나, Google과 함께 공통으로 지배를 받고 있는 기타 법인은 Google이 클라우드 서비스를 고객에게 제공하기로 동의한 계약(수시로 개정되므로 '계약')을 체결하였습니다.

부록을 포함해 Apigee 제품에 대한 본 데이터 처리 및 보안 약관(이하 '약관')은 약관 시행일(아래 정의됨)을 기준으로 발효되며, 이전에 적용되었던 데이터 처리 및 보안 약관을 대체합니다.

본 약관은 계약을 보완합니다. 계약이 중단된 경우에는 본 약관이 계약에서 고객 데이터의 처리, 보안 또는 개인정보 보호에 관한 조항을 대체합니다.

1. 소개

본 약관은 계약에 의거한 고객 데이터의 처리 및 보안에 관한 조건에 대한 양측 당사자 계약을 반영합니다.

2. 정의

2.1 본 약관에서 정의 없이 사용되는 대문자 용어는 계약에 명시된 의미를 갖습니다. 본 약관에서는 달리 명시하지 않는 한 다음과 같은 의미를 갖습니다.

• 추가 보안 통제는 보안 리소스, 요소, 기능 및/또는 고객이 재량으로 사용할 수 있거나 결정하는 통제를 의미합니다. 여기에는 관리 콘솔 및 기타 요소 또는 암호화된 키-값 맵, 로깅 및 모니터링, ID 및 액세스 관리, 데이터 마스킹, 비율 제한 같은 클라우드 서비스 기능이 포함됩니다.
• 관리 콘솔은 클라우드 서비스 관리를 위해 Google이 고객에게 제공하는 온라인 콘솔 및/또는 도구를 의미합니다.
• 합의된 책임 제한은 계약에 의거하여 1년 단위 또는 귀책 사고에 따라 해당되는 경우 당사자의 책임이 제한되는 최대 금전적 또는 지급 기준 금액을 의미합니다.
• 제휴사는 계약에서 정의하는 의미를 갖지만, 계약에 정의되어 있지 않은 경우 일방 당사자를 지배하거나, 일방 당사자의 지배를 받거나, 일방 당사자와 함께 공통으로 지배를 받고 있는 법인을 의미합니다. 여기에서 '지배'란 당사자의 의결권 또는 지분권 중 50%를 초과하는 지배를 의미합니다.
• 대체 전송 솔루션은 표준 계약 조항이 아닌 GDPR 조항 45 또는 46(예: 유럽연합-미국 프라이버시 실드)에 따라 개인 정보를 제3의 국가에게 합법적으로 전송할 수 있는 솔루션을 의미합니다.
• 감사 서비스는 Apigee 제품 지원 중단 정책에 따라 중단되는 클라우스 서비스를 제외한 클라우드 서비스를 의미합니다.
• 클라우드 서비스는 Edge Cloud 서비스 제품을 의미합니다. 자세한 내용은 http://apigee.com/about/specification-sheets를 참조하세요.
• 고객 데이터는 고객 또는 고객의 최종 사용자가, 혹은 이들을 대신해 고객의 Google 계정에 속한 클라우드 서비스를 통해 제공되는 데이터를 의미합니다.
• 고객 개인 정보는 고객 데이터에 저장된 개인 정보를 의미합니다.
• 데이터 이슈는 Google이 관리하거나 다른 방식으로 통제하는 시스템에 저장된 고객 개인 정보의 우발적 또는 불법적 파기, 손실, 변경, 무단 공개 또는 이러한 데이터에 대한 액세스로 이어지는 Google의 보안 정책 위반을 의미합니다. 실패한 로그인 시도, 핑, 포트 검색, 서비스 거부 공격, 기타 방화벽이나 네트워크로 연결된 시스템에 대한 네트워크 공격을 포함해 고객 개인 정보의 보안을 훼손하지 않는 실패한 시도나 활동은 “데이터 이슈”에 포함되지 않습니다.
• Apigee 제품에 대한 지원 중단 정책은 Apigee 제품에 대한 지원 중단 정책을 의미합니다. 자세한 내용은 https://docs.apigee.com/deprecation을 참조하세요.
• EEA는 유럽 경제 지역을 의미합니다.
• 유럽 데이터 보호법은 해당되는 경우에 따라 (a) GDPR 및/또는 (b) 1992년 6월 19일자 연방 데이터 보호법(스위스)을 의미합니다.
• GDPR은 2016년 4월 27일 유럽 의회 및 위원회의 개인 정보 처리 및 데이터의 자유로운 이동과 관련 자연인 보호 규정(EU)인 2016/679를 의미하며 지침 95/46/EC의 폐지를 대체합니다.
• Google의 제3자 감사관은 Google이 임명하여 자격을 부여 받은 외부의 제3자 감사관이며, Google은 당시 신분을 고객에게 공개합니다.
• 인프라 공급자는 5.3항(인프라 공급자)에 명시된 의미와 동일합니다.
• ISO 27001 인증은 ISO/IEC 27001:2013 인증 또는 이와 비슷한 감사 서비스 인증을 의미합니다.
• ISO 27017 인증은 ISO/IEC 27017:2015 인증 또는 이와 비슷한 감사 서비스 인증을 의미합니다.
• ISO 27018 인증은 ISO/IEC 27018:2014 인증 또는 이와 비슷한 감사 서비스 인증을 의미합니다.
• 표준 계약 조항 또는 MCC는 GDPR 조항 46에 명시된 수준의 데이터 보호가 보장되지 않는 제3 국가에 설립된 처리업체에게 개인 정보를 전송할 때 적용되는 표준 데이터 보호 조항을 의미합니다.
• 비유럽 데이터 보호법은 유럽 경제 지역 및 스위스 외부에서 발효 중인 데이터 보호 또는 개인정보 보호법을 의미합니다.
• 알림 이메일 주소는 고객이 Google의 알림 이메일을 수신할 목적으로 기술 지원 포털인 관리 콘솔에서, 혹은 주문 양식 또는 주문서(해당되는 경우)에서 지정하는 이메일 주소입니다.
• 보안 문서는 Google이 7.5.1항(보안 문서 검토)에 의거하여 사용할 수 있는 모든 문서 및 정보를 의미합니다.
• 보안 조치는 7.1.1항(Google의 보안 조치)에 명시된 의미와 동일합니다.
• SOC 2 보고서는 논리적 보안 통제와 물리적 보안 통제, 그리고 시스템 가용성을 검사하는 Google 시스템에 대한 SOC(Service Organization Control) 2 기밀 보고서(또는 이와 비슷한 보고서)를 의미합니다. 이 보고서는 감사 서비스와 관련된 Google의 제3자 감사관이 작성합니다.
• SOC 3 보고서는 SOC(Service Organization Control) 3 보고서(또는 이와 비슷한 보고서)를 의미하며, 감사 서비스와 관련된 Google의 제3자 감사관이 작성합니다.
• 재처리자는 클라우스 서비스와 지원을 제공할 목적으로 본 약관에 따라 고객 데이터에 대한 논리적 액세스와 처리가 허용되는 제3자를 의미합니다.
• 기간은 약관 시행일부터 Google의 클라우드 서비스 제공이 종료되는 날까지 기간을 의미합니다. 해당되는 경우 클라우드 서비스 제공이 보류될 수 있는 기간과 Google이 전환을 목적으로 클라우드 서비스를 계속해서 제공할 수 있는 종료 후 기간도 여기에 포함됩니다.
• 약관 시행일은 고객이 본 약관에 동의하였거나, 혹은 양측 당사자가 그 밖에 다른 방식으로 본 약관에 동의한 날짜를 의미합니다.

2.2 본 약관에서 사용되는 용어인 “개인 정보”, “정보주체”, “처리”, “통제자”, “처리자”, “감독 기관”은 GDPR에 명시된 의미와 동일하며, “데이터 수입자”와 “데이터 수출자”는 표준 계약 조항에 명시된 의미와 동일합니다. 두 경우 모두 유럽 데이터 보호법 또는 비유럽 데이터 보호법의 적용 여부와 상관 없습니다.

3. 본 약관의 지속 기간과 수정

본 약관은 약관 시행일부터 발효되며, 약관이 만료되더라도 본 약관에서 명시한 것과 같이 Google이 고객 데이터를 모두 삭제할 때까지 효력이 유지되며, 이후 자동으로 만료됩니다. Google은 관련 법률, 관련 규정, 법원 명령 또는 정부 규제 기관에서 발행한 지침을 준수하기 위해 반드시 필요한 변경일 경우, 본 약관에서 명시적으로 허용되는 변경일 경우 또는 다음과 같은 변경일 경우에 한해서 본 약관을 변경할 수 있습니다.

• 상업적으로 합당한 변경
• 서비스의 전체적인 보안이 약화되지 않는 변경
• 본 약관 5.2항(처리 범위)에 명시된 바와 같이, Google의 고객 개인정보 처리 범위를 확장하거나, 처리에 대한 제한사항을 삭제하지 않는 변경
• 그 밖에 본 약관에 따른 고객의 권리에 상당히 부정적인 영향을 미치지 않는 변경

Google이 본 항에 따라 약관을 크게 변경하는 경우 본 약관이 포함된 URL에 수정 사항을 게시합니다. 상충되는 내용의 존재 여부와 관계없이 본 항에 따른 약관 변경은 고객과 Google이 서명하는 문서가 필요하지 않습니다. Google은 본 약관에서 참조하는 URL과 이러한 URL의 내용을 수시로 변경할 수 있습니다.

4. 데이터 보호법의 범위

4.1 유럽 법규의 적용. 양측 당사자는 예를 들어 다음과 같은 경우 유럽 데이터 보호법이 고객 개인정보 처리에 적용된다는 것을 인정하고 동의합니다.

• 개인 정보 처리는 유럽 경제 지역(EEA) 고객의 설립 활동의 맥락에서 수행됩니다.
• 고객 개인 정보는 EEA의 정보주체에 관한 개인 정보이며, 개인 정보 처리는 EEA에서 상품 또는 서비스를 정보주체에게 제공하는 행위와 EEA에서 이러한 행위를 모니터링하는 것과 관련이 있습니다.

4.2 비유럽 법규의 적용. 양측 당사자는 비유럽 데이터 보호법 역시 고객 개인 정보의 처리에 적용될 수 있다는 것을 인정하고 동의합니다.

4.3 약관의 적용. 본 약관에서 달리 명시하지 않는 한 본 약관은 유럽 데이터 보호법 또는 비유럽 데이터 보호법이 고객 개인 정보의 처리에 적용되는 것과 상관없이 적용됩니다.

5. 데이터 처리

5.1 역할과 규정 준수, 승인.

5.1.1 처리자와 통제자의 책임. 유럽 데이터 보호법이 고객 개인 정보 처리에 적용되는 경우 양측 당사자는 다음과 같은 사실을 인정하고 동의합니다.

• 처리 주제 및 세부정보는 부록 1에 설명되어 있습니다.
• Google은 유럽 데이터 보호법에 의거하여 고객 개인 정보의 처리자입니다.
• 고객은 유럽 데이터 보호법에 의거하여 고객 개인 정보의 통제자 또는 처리자(해당되는 경우)입니다.
• 양측 당사자는 고객 개인 정보 처리에 관한 유럽 데이터 보호법에 의거하여 적용되는 의무를 준수합니다.

5.1.2 제3의 통제자에 의한 승인. 유럽 데이터 보호법이 고객 개인 정보 처리에 적용되고, 고객이 처리자인 경우 고객은 Google에게 또 다른 처리자로서 Google의 임명을 포함해 고객 개인 정보에 관한 고객의 지침 및 행동이 관련 통제자의 승인을 받았다는 사실을 보증합니다.

5.1.3 비유럽 법규에 의거한 책임. 비유럽 데이터 보호법이 일방 당사자의 고객 개인 정보 처리에 적용되는 경우 양측 당사자는 관련 당사자가 고객 개인 정보의 처리에 관한 법규에 의거하여 적용되는 의무를 준수한다는 사실을 인정하고 동의합니다.

5.2 처리 범위.

5.2.1 고객의 지침. 고객은 본 약관을 체결함으로써 Google에게 다음과 같은 관련 법규에 따라서만 고객 개인 정보를 처리하도록 지시합니다. (a) 클라우드 서비스와 지원을 제공하고, (b) 고객의 클라우드 서비스(관리 콘솔 및 기타 클라우드 서비스 기능 포함) 및 지원 사용을 통해 추가로 지정되고, (c) 본 약관을 포함해 계약 형태로 문서화되고, (d) 본 약관의 목적에 따른 구성 지침으로서 고객이 제공하고 Google이 인정하는 기타 서면 지침서로 문서화되는 관련 법규.

5.2.2 Google의 지침 준수. Google은 Google이 준수하는 EU 또는 EU 회원국 법규에 따라 Google의 다른 고객 개인 정보 처리가 요구되지 않는 한 5.2.1항(고객의 지침) (데이터 전송 관련 포함)에 명시된 지침을 준수합니다. 다른 고객 개인 정보 처리가 요구되는 경우에는 Google이 알림 이메일 주소를 통해 고객에게 알립니다(법규에 따라 Google이 공공의 이익을 이유로 알릴 수 없는 경우 제외).

5.3 인프라 공급자. 고객은 클라우드 서비스를 제공하면서 기본 인프라 서비스를 제공할 목적으로 Google 계열사 보조 프로세서인 Apigee Corporation을 통해 Amazon Web Services, Inc., Acquia Inc., Pantheon Systems, Inc.(각각 '인프라 공급자')를 승인합니다.

6. 데이터 삭제

6.1 고객에 의한 삭제. Google은 고객이 계약 기간 중 클라우드 서비스의 기능과 일관된 방식으로 고객 데이터를 삭제할 수 있도록 허용합니다. 고객이 계약 기간 중 클라우드 서비스를 사용해 고객 데이터를 삭제하여 고객이 해당하는 고객 데이터를 복구할 수 없는 경우 이러한 사용은 관련 법규에 따라 Google에게 관련 고객 데이터를 Google이 시스템에서 삭제하라는 지시로 간주됩니다. Google은 EU 또는 EU 회원국 법규에 따라 보관해야 하는 경우가 아니라면 합리적으로 실행 가능한 범위에서 최대 180일 안에 이러한 지시를 준수합니다. 고객 계정을 삭제하는 경우에만 연결된 데이터까지 모두 삭제됩니다.

6.2 종료 시 삭제. 약관 만료 시 고객은 관련 법규에 따라 Google에게 모든 고객 데이터(기존 복사본 포함)를 Google의 시스템에서 삭제하도록 지시합니다. Google은 EU 또는 EU 회원국 법규에 따라 보관해야 하는 경우가 아니라면 합리적으로 실행 가능한 범위에서 최대 180일 안에 이러한 지시를 준수합니다. 9.1항(접근, 정정, 제한적 처리, 이동성)을 침해하지 않는 범위에서 고객은 만료 이후에도 보관하고 싶은 고객 데이터를 약관 만료 이전에 내보내야 하는 책임이 고객에게 있다는 점을 인정하고 동의합니다.

7. 데이터 보안

7.1 Google의 보안 조치, 통제 및 지원.

7.1.1 Google의 보안 조치. Google은 부록 2('보안 조치')에 명시된 바와 같이 고객 데이터가 실수로 또는 무단으로 파기되거나 부주의로 인해 손실, 변경, 무단 공개 또는 액세스되는 것을 방지하기 위해 기술적 및 조직적 조치를 이행하고 유지합니다. 부록 2에 명시되어 있듯이 보안 조치로는 개인 정보를 암호화하거나, Google의 시스템 및 서비스의 기밀성, 무결성, 가용성 및 탄력성을 지속적으로 유지하거나, 이슈 이후 개인 정보에 대한 접근을 빠르게 복구하거나, 정기적인 효율성을 테스트하는 조치 등이 있습니다. Google은 보안 조치를 수시로 업데이트하거나 수정할 수 있습니다. 단, 이러한 업데이트와 수정이 클라우드 서비스의 전체적인 보안을 약화시키지 않는 경우에 한합니다.

7.1.2 Google 직원에 의한 보안 준수. Google은 고객 개인 정보를 처리할 수 있도록 승인된 모든 개인이 스스로 헌신적으로 비밀을 유지하거나, 비밀유지의 법적 의무를 따를 수 있도록 하는 것을 포함해 성과 범위에 적용되는 범위 내에서 직원, 계약자 및 재처리자의 보안 조치 준수를 위해 적절한 조치를 취합니다.

7.1.3 추가적인 보안 통제. Google은 보안 조치 외에도 (a) 고객이 고객 데이터를 보호하기 위한 조치를 취하거나, (b) 고객에게 고객 데이터 보호, 접근 및 사용에 대한 정보를 제공하는 등 추가적인 보안 조치를 취할 수 있습니다.

7.1.4 Google의 보안 지원. 고객은 Google이 고객 개인 정보와 Google에게 제공되는 정보의 처리 성격을 고려하여 GDPR 조항 32부터 34(포함)에 명시된 고객 의무를 포함해(해당되는 경우) 개인 정보 보안 및 개인 정보 유출에 관한 고객의 의무를 준수할 수 있도록 다음과 같은 방법으로 고객을 지원한다는 데 동의합니다.

• 7.1.1항(Google의 보안 조치)에 따라 보안 조치를 이행하고 유지합니다.
• 7.1.3항(추가적인 보안 통제)에 따라 고객에게 추가적인 보안 통제를 제공합니다.
• 7.2항(데이터 이슈) 조건을 준수합니다.
• 7.5.1항(보안 문서 검토)에 따라 보안 문서를, 그리고 본 약관을 포함해 계약에 포함된 정보를 고객에게 제공합니다.

7.2 데이터 이슈

7.2.1 이슈 알림. Google이 데이터 이슈를 인지한 경우에는 (a) 데이터 이슈를 인지한 후 신속하게 지체 없이 고객에게 데이터 이슈를 알리고, (b) 타당한 조치를 빠르게 취해서 피해를 최소화하고 고객 개인 정보를 보호합니다.

7.2.2 데이터 이슈 세부정보. 본 항에 따른 알림은 잠재적 위험을 완화하기 위한 조치와 Google이 데이터 이슈를 해결하기 위해 고객에게 권장하는 조치를 포함해 가능한 범위까지 데이터 이슈에 대한 세부 정보를 설명합니다.

7.2.3 알림 전송. 데이터 이슈 알림은 알림 이메일 주소로, 혹은 Google의 재량에 따라 직접 통신(예:전화 통화, 대면 회의)으로 전달됩니다. 고객은 알림 이메일 주소의 통용성과 유효성에 대해 단독으로 책임을 집니다.

7.2.4 Google의 고객 개인 정보 평가 금지. Google은 특정 현지 법규가 적용되는 정보를 식별할 목적으로 고객 개인 정보의 내용을 평가하지 않습니다. 본 7.2항(데이터 이슈)에 따른 Google 의무를 침해하지 않는 범위 내에서 고객은 고객에게 적용되는 이슈 알림 법규를 준수하고 데이터 이슈에 관한 제3자 알림 의무를 이행해야 할 단독 책임이 있습니다.

7.2.5 Google의 책임 인정 금지. Google이 본 7.2항(데이터 이슈)에 따라 데이터 이슈를 알리거나 대응한다고 해서 Google이 데이터 이슈에 대한 잘못이나 책임을 인정하는 것은 아닙니다.

7.3 고객의 보안 책임 및 평가.

7.3.1 고객의 보안 책임. 고객은 본 7.1항(Google의 보안 조치, 통제 및 지원)과 7.2항(데이터 이슈)에 따른 Google의 의무를 침해하지 않는 범위에서 다음과 같이 동의합니다.

• 다음을 포함해 클라우드 서비스 사용에 대한 책임은 전적으로 고객에게 있습니다.
• 클라우드 서비스와 추가적인 보안 통제를 적절하게 사용하여 고객 데이터에 대한 위험에 따라 보안 수준을 적절히 유지해야 합니다.
• 고객이 클라우드 서비스에 액세스할 때 사용하는 계정 인증 정보, 시스템 및 기기를 보호해야 합니다.
• 고객 데이터를 적합한 수단으로 백업해야 합니다.
• Google은 고객이 (예: 오프라인 또는 온프레미스 스토리지의) Google 및 재처리자 시스템 외부에 저장하거나 전송할 목적으로 선택하는 고객 데이터의 복사본을 보호하거나, 고객이 사용하려고 선택한 범위를 벗어나서까지 추가적인 보안 통제를 이행하고 유지함으로써 고객 데이터를 보호해야 할 의무는 없습니다.

7.3.2 고객의 보안 평가.

• 고객은 보안 문서를 검토하는 동시에 본 7항(데이터 보안)에 따른 클라우드 서비스, 보안 조치, 추가적인 보안 통제 및 Google의 약정이 유럽 데이터 보호법 및/또는 비유럽 데이터 보호법에 의거하여 고객의 보안 의무와 관련된 것을 포함해 고객 요건을 충족하는지 평가해야 할 전적인 책임이 있습니다.
• 고객은 (최신 상태, 이행 비용, 고객 개인 정보 처리의 성격, 범위, 맥락 및 목적, 개인에 대한 위험을 고려하여) 7.1.1항(Google의 보안 조치)에 명시된 바와 같이 Google이 이행하고 유지하는 보안 조치가 고객 데이터에 대한 위험에 따라 적절한 보안 수준을 제공하고 있다는 것을 인정하고 동의합니다.

7.4 보안 인증 및 보고서. Google은 보안 조치의 지속적인 효과를 평가하고 보장하기 위해 다음과 같이 수행합니다.

• ISO 27001 인증, ISO 27017 인증 및 ISO 27018 인증을 유지합니다.
• SOC 2 보고서와 SOC 3 보고서를 최소 18개월마다 한 번씩 업데이트합니다.

7.5 규정 준수의 검토 및 감사

7.5.1 보안 문서의 검토. 본 계약(본 약관 포함)에 포함된 정보 외에도 Google은 고객 검토 목적으로 다음 문서와 정보를 제공하여 Google이 본 약관에 따른 의무를 준수한다는 사실을 입증할 수 있습니다.

• ISO 27001 인증, ISO 27017 인증 및 ISO 27018 인증과 관련하여 발급된 인증서
• 당시 SOC 3 보고서
• 7.5.3(a)항에 따라 고객이 요청하는 당시 SOC 2 보고서

7.5.2 고객의 감사 권리.

• 유럽 데이터 보호법이 고객 개인 정보 처리에 적용되는 경우 Google은 고객 또는 고객이 임명하는 외부 감사관에게 Google이 7.5.3항(검토 및 감사를 위한 추가적인 비즈니스 조건)에 따라 본 약관이 적용되는 의무를 준수하고 있는지 확인할 수 있는 감사(검사 포함) 실시를 허용합니다. Google은 7.4항(보안 인증 및 보고서)과 본 7.5항(규정 준수의 검토 및 감사)에 명시된 감사에 기여합니다.
• 고객이 10.2항(EEA 외부로 데이터 전송)에 명시된 표준 계약 조항을 체결한 경우 Google은 해당하는 표준 계약 조항에 따라 감사 당국의 감사 권한을 침해하지 않는 범위 내에서 고객 또는 고객이 임명하는 외부 감사관에게 7.5.3항(검토 및 감사를 위한 추가적인 비즈니스 조건)에 따라 표준 모델 계약에 명시된 감사 실시를 허용합니다.
• 고객은 감사를 통해 보안 문서(Google의 제3자 감사관이 실시한 감사 결과를 반영)를 검토하여 본 약관에 따른 의무를 Google이 준수하고 있는지 확인할 수도 있습니다.

7.5.3 검토 및 감사를 위한 추가적인 비즈니스 조건.

• 고객은 7.5.1(b)항에 따른 SOC 2 보고서 검토 요청 또는 7.5.2(a) 또는 7.5.2(b)항에 따른 감사 요청을 12항(클라우드 데이터 보호팀, 기록 처리)에 명시된 Google의 클라우드 데이터 보호팀에게 전송해야 합니다.
• 7.5.3(a)항에 따른 요청이 Google에게 수신되면 Google과 고객은 (i) 7.5.1(b)항에 따라 SOC 2 보고서의 합당한 검토 날짜와 여기에 적용되는 보안 및 기밀성 통제에 대해, 그리고 (ii) 7.5.2(a)항 또는 7.5.2(b)항에 따라 감사의 합당한 시작일, 범위 및 기간과 여기에 적용되는 보안 및 기밀성 통제에 대해 미리 토론하고 동의합니다.
• Google은 7.5.1(b)항에 따른 SOC 2 보고서 검토 및/또는 7.5.2(a)항이나 7.5.2(b)항에 따른 감사에 대해 비용(Google의 합당한 비용 기준)을 청구할 수 있습니다. Google은 이러한 검토 또는 감사 이전에 관련 비용과 계산 원칙에 대한 세부 정보를 고객에게 제공합니다. 고객은 고객이 임명한 감사관이 감사 실시를 위해 청구하는 비용을 모두 부담해야 합니다.
• 감사관이 Google의 합리적 의견에 따라 자격 또는 독립성이 적합하지 않거나, Google의 경쟁사이거나, 그 밖에 명백히 부적합한 경우 Google은 7.5.2(a)항 또는 7.5.2(b)항에 따라 감사를 실시할 목적으로 고객이 임명하는 감사관에 대해 서면으로 반대 의사를 표시할 수 있습니다. Google이 이렇게 반대 의사를 표시할 경우 고객은 다른 감사관을 임명하거나 직접 감사를 실시해야 합니다.

7.5.4 MCC 수정 금지. 본 7.5항(규정 준수의 검토 및 감사)의 어떠한 내용도 10.2항(EEA 외부로 데이터 전송)에 명시된 바와 같이 체결된 표준 계약 조항에 따른 고객 또는 Google LLC의 권리 또는 의무를 변경하거나 수정하지 못합니다.

8. 영향 평가 및 상담.

고객은 Google이 처리 성격과 Google에게 제공되는 정보를 고려하여 GDPR 조항 35부터 36(포함)에 명시된 고객 의무를 포함해(해당되는 경우) 데이터 보호 영향 평가와 이전 상담에 관한 고객의 의무를 준수할 수 있도록 다음과 같은 방법으로 고객을 지원한다는 데 동의합니다.

• 7.1.3항(추가적인 보안 통제)에 따라 추가적인 보안 통제를, 그리고 7.5.1항(보안 문서 검토)에 따라 보안 문서를 제공합니다.
• 본 약관을 포함해 계약에 포함된 정보를 제공합니다.

9. 정보주체 권리, 데이터 내보내기

9.1 접근, 정정, 제한적 처리, 이동성. 계약 기간 중 Google은 6.1항(고객에 의한 삭제)에 명시된 삭제 기능을 통하는 것을 포함해 클라우드 서비스의 기능과 일치하는 방식으로 고객 데이터에 대한 접근, 정정, 처리 및 내보내기를 고객에게 허용합니다.

9.2 정보주체 요청

9.2.1 고객의 요청 책임. 계약 기간 중 Google이 고객 개인 정보와 관련하여 정보주체에게 요청을 받을 경우 Google은 고객에게 요청서를 제출하라고 정보주체에게 알리고, 고객은 필요하다면 클라우스 서비스 기능을 사용하여 요청서에 응답해야 합니다.

9.2.2 Google의 정보주체 요청 지원. 고객은 Google이 고객 개인 정보의 처리 성격을 고려하여 GDPR 3장에 명시된 정보주체의 권리 행사를 위한 요청에 응답해야 할 고객의 의무를 포함해(해당되는 경우) 고객이 정보주체의 요청에 응답해야 할 의무를 이행할 수 있도록 다음과 같은 방법으로 지원하는 데 동의합니다.

• 7.1.3항(추가적인 보안 통제)에 따라 추가적인 보안 통제를 제공합니다.
• 9.1항(접근, 정정, 제한적 처리, 이동성)과 9.2.1항(고객의 요청 책임)에 명시된 약정을 준수합니다.

10. 데이터 전송

10.1 데이터 저장 및 처리 시설. Google은 10.2항(EEA 외부로 데이터 전송)에 따라 고객 데이터를 Google 또는 재처리자가 시설을 보유하고 있는 곳 어디에든 저장하고 처리할 수 있습니다.

10.2 EEA 외부로 데이터 전송.

10.2.1 Google의 전송 의무. 고객 개인 정보의 저장 및/또는 처리를 위해 EEA 외부로 고객 개인 정보를 전송해야 하고, 유럽 데이터 보호법이 이러한 데이터(이하 '전송되는 개인 정보') 전송에 적용되는 경우 Google은 다음과 같이 수행합니다.

• 고객의 전송 요청이 있을 경우 Google LLC는 전송되는 개인 정보의 데이터 수입자로서 이러한 데이터의 수출자인 고객과 표준 계약 조항을 체결하고, 체결된 표준 계약 조항에 따라 전송해야 합니다.
• 대체 전송 솔루션을 제공하고, 이러한 대체 전송 솔루션에 따라 전송하고, 이러한 대체 전송 솔루션에 대한 정보를 고객에게 제공해야 합니다.

10.2.2 고객의 전송 의무. 전송되는 개인 정보와 관련하여 고객은 다음과 같이 동의합니다.

• Google이 유럽 데이터 보호법에 따라 고객에게 이러한 전송과 관련하여 표준 계약 조항을 체결하도록 타당하게 요구하는 경우 고객은 그대로 따릅니다.
• Google이 유럽 데이터 보호법에 따라 고객에게 Google에서 제공하는 대체 전송 솔루션을 사용하도록 타당하게 요구하고, 고객에게 이러한 솔루션에 완전한 효력을 부여하는 데 필요한 조치(문서의 이행이 포함될 수 있음)를 엄격하게 취할 것을 타당하게 요구할 경우 고객은 그대로 따릅니다.

10.3 Google 데이터 센터 정보. Google 데이터 센터의 위치에 대한 정보는 https://www.google.com/about/datacenters/inside/locations/index.html(Google이 수시로 업데이트할 수 있음)에서 확인할 수 있습니다.

10.4 개인 정보가 포함된 기밀 정보의 공개. 고객이 10.2항(EEA 외부로 데이터 전송)에 명시된 표준 계약 조항을 체결한 경우 Google은 계약에 상충되는 조건의 존재 여부와 관계없이 개인 정보가 포함된 고객의 기밀 정보 공개와 이러한 공개에 대한 알림이 표준 계약 조항에 따라 이루어지도록 해야 합니다.

11. 보조 프로세서

11.1 재처리자 참여에 대한 동의. 고객은 특히 (a) 11.2항(재처리자에 대한 정보)에 명시된 URL에서 약관 시행일을 기준으로 등록된 법인과 (b) 기타 모든 Google 자회사가 재처리자로 수시로 참여할 수 있도록 승인합니다. 또한 고객은 일반적으로 기타 제3자('새로운 제3자 보조 프로세서')의 서브 프로세서로 참여할 수 있도록 승인합니다. 고객이 10.2항(EEA 외부로 데이터 전송)에 명시된 표준 계약 조항을 체결하였고, 이러한 표준 계약 조항에 따라 동의가 필요한 경우 위의 승인은 Google LLC가 고객 데이터 처리를 하도급하는 데 대한 고객의 사전 서면 동의로 간주됩니다.

11.2 재처리자에 대한 정보. 역할과 위치를 포함해 Google의 보조 프로세서에 대한 정보는 https://cloud.google.com/terms/third-party-suppliers(본 약관에 따라 Google에서 수시로 업데이트될 수 있음)에서 확인할 수 있습니다.

11.3 재처리자 참여 요건. 재처리자가 참여할 때는 Google이 다음과 같이 수행합니다.

• 서면 계약을 통해 다음과 같은 사항을 보장합니다.
• 재처리자에게는 하도급된 의무를 이행하는 데 필요한 범위까지만 고객 데이터에 대한 접근 및 사용이 허용되며, 재처리자는 계약(본 약관 포함)과 체결된 표준 계약 조항, 또는 10.2항(EEA 외부로 데이터 전송)에 명시되어 Google이 도입하는 대체 전송 솔루션에 따라 고객 데이터에 접근하고 이를 사용합니다.
• GDPR이 고객 개인 정보의 처리에 적용되는 경우 본 약관에 명시된 것처럼 GDPR 조항 28(3)에 명시된 데이터 보호 의무가 재처리자에게 부과됩니다.
• 재처리자에게 하도급된 모든 의무에 대해서, 그리고 재처리자의 모든 작위와 부작위에 대해서 전적으로 책임을 집니다.

11.4 재처리자 변경에 대해 반대를 표현할 기회.

• 계약 기간 중 새로운 제3자 재처리자가 참여하는 경우 Google은 새로운 제3자 재처리자가 고객 데이터를 처리하기 최소 30일 전에 고객에게 알림 이메일 주소로 이메일을 발송하여 참여 사실을 알립니다(관련 재처리자의 이름, 위치 및 수행 활동 포함).
• 고객은 Google에게 서면 통지로 계약을 즉시 종료하여 새로운 제3자 재처리자에 대해 반대를 표현할 수 있습니다. 단, 고객이 11.4(a)항에 명시된 재처리자의 참여 사실을 알고 나서 90일 이내에 계약 종료 통지를 제공하는 경우에 한합니다. 이러한 종료 권리는 고객이 새로운 제3자 재처리자에 대한 반대를 표시하는 경우 유일하고 배타적인 구제 조치입니다.

12. 클라우드 데이터 보호팀, 기록 처리.

12.1 Google의 클라우드 데이터 보호팀. Edge Cloud 지원 패키지를 보유한 경우 Google의 클라우드 데이터 보호팀에게 연락하려면 에지 지원 포털을 통해 지원 티켓을 만드십시오. 또는 https://support.google.com/cloud/contact/dpo(및/또는 Google이 경우에 따라 제공할 수 있는 다른 수단을 통해)에 있는 양식을 작성하여 Google의 클라우드 데이터 보호팀에게 연락하는 방법도 있습니다.

12.2 Google의 기록 처리. 고객은 Google이 GDPR에 따라 (a) Google이 대신하는 각 처리자 또는 통제자의 이름과 연락처와, 해당되는 경우 이러한 처리자 및/또는 통제자의 지역 담당자와 데이터 보호 담당자의 이름과 연락처를 포함해 일부 정보에 대한 기록을 수집 및 유지하고, (b) 이러한 정보를 감독 당국에게 제공해야 하는 것을 인정합니다. 따라서 GDPR이 고객 개인 정보의 처리에 적용되는 경우 고객은 요청이 있으면 이러한 정보를 관리 콘솔이나 기타 Google이 제공하는 기타 수단을 통해 Google에게 제공하고, 관리 콘솔 또는 해당하는 기타 수단을 사용해 제공되는 모든 정보가 정확하고 최신 상태인 것을 보장합니다.

13. 책임

13.1 책임 제한. 10.2항(EEA 외부로 데이터 전송)에 명시된 바와 같이 표준 계약 조항을 체결한 경우 일방 당사자, 나머지 당사자에 대한 일방 당사자의 자회사, 그리고 본 계약과 해당하는 표준 계약 조항이 적용되거나 연결된 일방 당사자의 자회사의 전체 책임은 13.2항(책임 제한 예외)에 따라 관련 당사자에 대해 합의된 책임 제한으로 제한됩니다.

13.2 책임 제한 예외. 13.1항(책임 제한)의 어떠한 내용도 책임에 관한 나머지 계약 조건(책임의 제한에 대한 특정 예외 포함)에 영향을 미치지 않습니다.

14. 제3의 수혜자

계약에 상충되는 내용의 존재 여부와 관계없이 Google LLC가 계약 당사자가 아닌 경우 Google LLC는 본 약관의 7.5항(규정 준수의 검토 및 감사), 11.1항(재처리자 참여에 대한 동의) 및 13항(책임)의 제3자 수혜자가 됩니다.

15. 본 약관의 효력

계약에 상충되는 내용의 존재 여부와 관계없이 본 약관과 나머지 계약 조건 사이에 충돌하거나 불일치하는 경우 본 약관이 우선합니다.

부록 1: 주제 및 데이터 처리 세부정보

주제
Google이 고객에게 제공하는 클라우드 서비스 및 지원 제공입니다.

처리 기간
본 약관에 따라 Google이 고객 데이터를 모두 삭제할 때까지의 계약 기간과 기간 만료 시점입니다.

처리 성격 및 목적
Google은 본 약관에 따라 클라우드 서비스와 지원을 고객에게 제공할 목적으로 고객 개인 정보를 처리합니다.

데이터 카테고리
고객 또는 고객의 최종 사용자가(혹은 고객 또는 고객의 최종 사용자의 지시로) 클라우드 서비스를 통해 Google에게 제공하는 개인 관련 데이터입니다.

정보주체
고객 또는 고객의 최종 사용자가(혹은 고객 또는 고객의 최종 사용자의 지시로) 클라우드 서비스를 통해 Google에게 제공하는 데이터의 개인 주체가 정보주체에 포함됩니다.

부록 2: 보안 조치

Google은 약관 시행일을 기준으로 부록 2에 명시된 보안 조치를 이행하고 유지합니다. Google은 이러한 보안 조치를 수시로 업데이트하거나 수정할 수 있습니다. 단, 이러한 업데이트 및 수정이 클라우드 서비스의 전체적인 보안을 약화시키지 않는 경우에 한합니다.

1. 데이터 센터와 네트워크 보안

본 1항은 Google이 소유 및 운영하는 데이터 센터와 네트워크 보안에 대해서만 설명하며, 제3자 재처리자 또는 인프라 공급자의 데이터 센터와 네트워크 보안에 대해서는 다루지 않습니다.

(a) Google 데이터 센터.

인프라. Google은 데이터 센터를 지리적으로 분산하여 유지합니다. Google은 모든 제품 데이터를 물리적으로 안전한 데이터 센터에 저장합니다.

중복성. 인프라 시스템은 단일 장애점을 제거하고, 예상되는 환경 위험의 영향을 최소화하도록 설계되었습니다. 이중 회로, 스위치, 네트워크 또는 기타 필요한 기기는 이러한 중복화를 제공하는 데 효과적입니다. 클라우드 서비스는 Google이 여러 유형의 예방적/교정적 유지관리를 중단 없이 수행할 수 있도록 설계되었습니다. 모든 환경 장비와 시설은 문서화된 예방적 유지관리 절차가 있으며, 이 문서에는 제조사 또는 내부 사양에 따른 유지관리 이행 프로세스와 주기가 자세하게 설명되어 있습니다. 데이터 센터 장비의 예방적/교정적 유지관리는 문서화된 절차에 따라 표준 변경 프로세스를 통해 예정됩니다.

전력. 데이터 센터 전력 시스템은 중복화되어 1일 24시간 및 주 7일 지속적인 운영에 영향을 미치지 않고 유지할 수 있도록 설계되었습니다. 대부분 경우 기본 전력원과 대체 전력원은 데이터 센터에서 중요한 인프라 구성요소에 각각 동일한 용량으로 제공됩니다. 백업 전력은 무정전 전원공급(UPS) 배터리 같이 다양한 메커니즘으로 제공됩니다. 특히 UPS 배터리는 전력회사 브라운아웃, 블랙아웃, 과도 전압, 부족 전압, 허용오차를 벗어나는 주파수 조건 시에도 안정적인 전력을 일관적으로 공급하여 보호합니다. 백업 전력은 전력회사 전원이 중단될 경우를 대비해 디젤 발전기 시스템이 가동될 때까지 최대 10분동안 일시적으로 데이터 센터에 최대 용량의 전력을 공급하도록 설계되었습니다. 디젤 발전기는 몇 초 안에 자동으로 가동되며, 일반적으로 몇 일 동안 최대 용량의 비상 전력을 데이터 센터에 충분히 공급할 수 있습니다.

서버 운영 체제. Google 서버는 적용 환경에 맞춰 Linux 기반 운영 체제를 사용합니다. 데이터는 데이터 보안 및 중복화를 강화할 목적으로 독점 알고리즘을 사용해 저장됩니다. Google은 코드 리뷰 프로세스를 도입하여 클라우드 서비스를 제공하는 데 사용되는 코드의 보안을 강화하고 프로덕션 환경의 보안 제품을 개선합니다.

비즈니스 연속성. Google은 데이터를 여러 시스템으로 복제하여 우발적인 파기 또는 손실에서 보호합니다. Google은 비즈니스 연속성 계획/재해 복구 프로그램을 설계하여 정기적으로 계획하고 테스트합니다.

(b) Google 네트워크 및 전송

데이터 전송. 데이터 센터는 일반적으로 고속 비공개 링크를 통해 연결되어 데이터 센터 사이에 안전하고 빠른 데이터 전송을 제공합니다. 또한 전자적 전송 과정에서, 혹은 데이터 저장 미디어에 기록되는 과정에서 승인 없이 데이터를 읽거나, 복사하거나, 변경하거나, 제거하지 못하도록 설계되었습니다. Google은 인터넷 표준 프로토콜을 통해 데이터를 전송합니다.

외부 공격 표면. Google은 다수의 계층으로 이루어진 네트워크 기기 및 침입 탐지를 도입하여 외부 공격 표면을 차단합니다. Google은 잠재적 공격 벡터를 고려하여 목적에 따라 적절한 기술을 외부 대응 시스템에 적용합니다.

침입 탐지. 침입 탐지는 지속적인 공격 활동에 대한 정보와 이슈에 대응하는 데 필요한 정보를 제공하는 데 목적이 있습니다. Google의 침입 탐지는 다음과 같습니다.

• 예방 조치를 통해 Google에서 공격에 노출되는 표면의 크기와 구성요소를 엄격하게 제어합니다.
• 데이터 진입점에 지능형 탐지 제어 솔루션을 도입합니다.
• 다양한 기술을 도입하여 여러 위험한 상황을 자동으로 복구합니다.

이슈 대응. Google은 다양한 통신 채널을 모니터링하여 보안 이슈를 탐지하고, Google의 보안 요원이 알려진 이슈에 신속히 대응합니다.

암호화 기술. Google은 HTTPS 암호화(SSL 또는 TLS 연결로도 불림)를 사용합니다. Google 서버는 RSA와 ECDSA로 서명된 타원 곡선 디피-헬만(Diffie-Hellman) 암호화 키 교환을 지원합니다. 이 완전 forward secrecy(PFS) 기법은 트래픽을 보호할 뿐만 아니라 키 유출 또는 암호 해독으로 인한 침투의 영향을 최소화하는 데도 효과적입니다.

2. 접근 및 현장 통제

(a) 현장 통제. 본 2(a)항은 Google이 소유 및 운영하는 데이터 센터 현장 통제에 대해서만 설명하며, 제3자 재처리자 또는 인프라 공급자의 데이터 센터 현장 통제에 대해서는 다루지 않습니다.

데이터 센터 현장 보안 운영팀. Google의 데이터 센터는 현장 보안 운영팀을 유지하면서 1일 24시간, 주 7일 동안 데이터 센터의 물리적 보안 역할을 맡기고 있습니다. 현장 보안 운영 요원은 폐쇄 회로 TV(CCTV)를 비롯한 모든 경보 시스템을 모니터링합니다. 또한 데이터 센터 내부와 외부를 정기적으로 순찰합니다.

데이터 센터 접근 절차. Google은 데이터 센터에 대한 물리적 접근을 허용하는 공식 접근 절차를 유지합니다. 데이터 센터는 현장 보안 운영팀에게 연결된 경보 시스템과 함께 전자식 카드 키를 사용해야 접근이 가능한 시설 내에 있습니다. 데이터 센터에 입장하는 개인은 모두 자신의 신분을 밝혀야 할 뿐만 아니라 현장 보안 운영팀에게 신분증을 제시해야 합니다. 데이터 센터에 대한 입장은 승인된 직원, 하청업자 및 방문자로 제한됩니다. 또한 승인된 직원과 하청업자만 이러한 시설에 대한 전자식 카드 키 접근이 허용됩니다. 데이터 센터에 대한 전자식 카드 키 접근은 이메일을 통해서 요청해야 하며, 요청자의 관리자와 데이터 센터 디렉터의 승인이 필요합니다. 그 밖에 일시적인 데이터 센터 접근이 필요한 개인은 (i) 방문하려는 특정 데이터 센터 및 내부 구역을 관리하는 데이터 센터 관리자에게 사전 승인을 얻어야 하고, (ii) 입장할 때 현장 보안 운영팀에게 서명해야 하고, (iii) 본인의 승인 여부를 알 수 있도록 승인된 데이터 센터 접근 기록을 참조해야 합니다.

데이터 센터 현장 보안 기기. Google의 데이터 센터는 시스템 경보기로 연결된 전자식 카드 키와 생체 인식 접근 통제 시스템을 도입하고 있습니다. 접근 통제 시스템은 개인이 경계 출입구, 하역 지역 및 기타 주요 지역에 접근할 때 전자식 카드 키를 모니터링하여 기록합니다. 무단 활동과 잘못된 접근 시도는 접근 통제 시스템에 기록되고, 필요하다면 조사가 진행됩니다. 비즈니스 운영과 데이터 센터를 통틀어 접근 승인은 개인의 직무에 따라 제한됩니다. 데이터 센터의 방화문에는 경보기가 장착되어 있습니다. 데이터 센터 내부와 외부에서는 CCTV 카메라가 작동합니다. 카메라는 무엇보다 경계, 데이터 센터 건물 출입구, 하역장 등 전략적으로 중요한 구역을 촬영할 수 있는 위치에 설치되었습니다. 현장 보안 운영 요원은 CCTV 모니터링, 녹화 및 제어 장비를 관리합니다. 이러한 CCTV 장비는 데이터 센터 곳곳의 케이블을 통해 연결됩니다. 카메라는 현장에서 디지털 비디오 레코더를 통해 1일 24시간, 주 7일 녹화됩니다. 감시 기록물은 활동에 따라 최대 30일까지 보관됩니다.

(b) 접근 통제.

인프라 보안 요원. Google은 요원에 대한 보안 정책을 마련하여 유지하는 동시에 교육 패키지의 일환으로 요원에게 보안 교육을 요구하고 있습니다. Google의 인프라 보안 요원은 Google의 보안 인프라에 대한 지속적인 모니터링과 클라우스 서비스에 대한 검토, 그리고 보안 이슈에 대한 대응을 책임 집니다.

접근 통제 및 권한 관리. 고객의 관리자가 클라우드 서비스를 관리하려면 중앙 인증 시스템 또는 싱글 사인온(SSO)을 통해 자신을 인증해야 합니다.

내부 데이터 액세스 프로세스 및 정책 - 액세스 정책. Google의 내부 데이터 액세스 프로세스와 정책은 비인가자 및/또는 무단 시스템이 개인 정보를 처리하는 데 사용되는 시스템에 액세스하지 못하도록 개발되었습니다. Google은 (i) 인가자에게 액세스가 허용된 데이터에만 액세스할 수 있도록 허용하고, (ii) 처리 및 사용 도중에, 그리고 녹화 후에도 승인 없이는 개인 정보를 읽거나, 복사하거나, 변경하거나, 삭제할 수 없도록 시스템을 설계합니다. 또한 이러한 시스템은 부적절한 액세스를 탐지하도록 설계됩니다. Google은 중앙 집중식 액세스 관리 시스템을 도입하여 프로덕션 서버에 대한 개인 액세스를 제어하는 동시에 제한된 소수의 인가자에게만 액세스 권한을 부여합니다. LDAP와 Kerberos, 그리고 SSH 인증서를 이용하는 독점 시스템은 Google에게 안전하고 유연한 액세스 메커니즘을 제공하도록 설계되었습니다. 이러한 메커니즘은 사이트 호스트, 로그, 데이터 및 구성 정보에 대해서만 승인된 액세스 권한을 부여하도록 설계됩니다. Google은 순 사용자 ID, 안전한 비밀번호, 2단계 인증 및 엄격한 모니터링이 필요한 액세스 목록의 사용을 요구하여 무단 계정 사용의 가능성을 최소화합니다. 액세스 권한 부여 또는 수정은 인가자의 작업 책임, 승인 작업을 수행하는 데 필요한 직무 요건, 그리고 알 권리를 기준으로 결정됩니다. 또한 액세스 권한의 부여 또는 수정은 Google의 내부 데이터 액세스 정책 및 교육을 따라야 합니다. 승인은 모든 변경사항에 대한 감사 레코드를 유지관리하는 워크플로 도구에서 관리됩니다. 시스템에 대한 액세스는 책임에 대한 감사 추적 파일을 만들 목적으로 로깅됩니다. 인증(워크스테이션 로그인 등)을 위해 비밀번호를 도입한 경우에는 업계 표준 사례에 따라 비밀번호 정책을 마련합니다. 이러한 표준으로는 비밀번호 재사용에 대한 제한과 충분한 비밀번호 안전성이 있습니다. 매우 민감한 정보(신용카드 데이터 등)에 대한 액세스의 경우 Google은 하드웨어 토큰을 사용합니다.

3. 데이터

(a) 데이터 저장, 격리 및 로깅. Google은 데이터를 다중 테넌트 환경에 저장합니다. 데이터 및 파일 시스템 아키텍처는 지리적으로 분산되어 Google이 소유 또는 운영하고 있는 데이터 센터 사이에 복제됩니다. 또한 Google은 고객 데이터를 논리적으로 격리합니다. 고객에게는 특정 데이터 공유 정책을 통해 제어 권한이 부여됩니다. 고객은 클라우드 서비스의 기능에 따라 이러한 정책을 사용해 고객 사용자에게 특정 용도로 적용되는 제품 공유 설정을 결정할 수 있습니다. 고객은 Google이 서비스를 통해 제공할 수 있는 로깅 기능을 사용하도록 선택할 수 있습니다.

(b) Google 데이터 센터의 사용 중단 디스크와 디스크 삭제 정책. 데이터가 저장된 디스크가 성능 문제, 오류 또는 하드웨어 장애를 일으킬 경우 사용 중단될 수도 있습니다(이하 '사용 중단 디스크'). 사용 중단 디스크는 모두 재사용 또는 파기를 목적으로 Google의 시설을 떠나기 전에 연속된 데이터 파기 프로세스(이하 '디스크 삭제 정책')를 거치게 됩니다. 사용 중단 디스크는 다단계 프로세스를 통해 삭제되며, 최소 2곳 이상의 외부 검증 기관에게 완전한 검증을 받습니다. 삭제 결과는 추적을 위해 사용 중단 디스크의 일련번호로 로깅됩니다. 마지막으로 삭제된 사용 중단 디스크는 재사용 및 재배포를 위해 재고로 등록됩니다. 하드웨어 장애로 인해 사용 중단 디스크를 삭제하지 못할 경우에는 파기가 가능할 때까지 안전하게 보관합니다. 각 시설에서는 디스크 삭제 정책에 대한 준수 여부를 모니터링하기 위해 정기적으로 감사를 실시합니다.

4. 직원 보안

Google 직원은 기밀성, 비즈니스 윤리, 적합한 사용, 직업 기준에 대한 회사의 정책에 따라 행동해야 합니다. Google은 관련 지역 노동법과 법규에 따라 법적으로 허용되는 범위까지 타당한 신원 조회를 실시합니다.

직원은 비밀유지 협약을 이행하고, Google의 비밀유지 및 개인정보처리방침의 수신과 준수를 인정해야 합니다. 직원에게는 보안 교육이 제공됩니다. 고객 데이터를 취급하는 직원은 자신의 역할에 따라 추가 요건(인증 등)을 완료해야 합니다. Google의 직원은 승인 없이 고객 데이터를 처리하지 않습니다.

5. 보조 프로세서 보안

Google은 재처리자 참여에 앞서 재처리자의 보안 및 개인정보 보호관행에 대해 감사를 실시하여 재처리자가 부여되는 데이터 액세스 권한과 제공하기로 한 서비스 범위에 비추어 볼 때 타당한 수준의 보안 및 개인정보 보호를 제공하도록 보장합니다. Google이 재처리자에 의해 발생하는 위험을 평가하고 나면 재처리자는 본 약관 11.3항(재처리자 참여 요건)에 명시된 요건에 따라 적절한 보안, 기밀성 및 개인정보 보호 약관을 체결해야 합니다.