데이터 처리 계약 (DPA)

버전 1.1 · 최종 수정일: 2026년 11월 10일 · 시행일: 2026년 11월 10일

본 데이터 처리 계약(이하 「본 DPA」라 합니다)은 Jacopo Di Loreto (AFTERTOUCH LABS DI DI LORETO JACOPO), Via Europa 18, 66020 San Giovanni Teatino (CH), 이탈리아, 부가가치세 번호 IT02882890698(이하 「수탁자」, 「당사」라 합니다)와 자신의 이용자를 위해 LIA를 이용하는 사업자 고객(예: 학교, 스튜디오, 레이블. 이하 「위탁자」, 「귀하」라 합니다) 간의 서비스 약관의 일부를 구성합니다. 본 DPA는 위탁자가 유럽 경제 지역(EEA), 영국 또는 스위스에 설립된 경우, 또는 GDPR이 위탁자의 처리에 적용되는 경우에 적용됩니다. 자신을 위해 LIA를 이용하는 개인에 대해서는 당사가 개인정보처리자이며, 당사의 개인정보처리방침이 적용됩니다. 한국에 소재한 위탁자에 대해서는 「개인정보 보호법」(PIPA) 제26조(업무위탁에 따른 개인정보의 처리 제한)에 따른 추가 규정이 적용됩니다.

1. 정의

본 DPA에서 사용되는 용어는 유럽연합 일반 데이터 보호 규정(EU) 2016/679(이하 「GDPR」이라 합니다)에 정의된 의미를 가집니다. 「개인정보」(또는 GDPR상 「개인 데이터」)란 식별되거나 식별 가능한 자연인에 관한 모든 정보를 의미합니다.

2. 대상 및 기간

수탁자는 서비스 약관에 기재된 LIA 서비스를 제공하기 위해서만 위탁자를 대신하여 개인정보를 처리합니다. 본 DPA는 서비스 계약 기간 동안, 그리고 계약 종료 후 이어지는 보관 기간(§11) 동안 효력을 유지합니다.

3. 처리의 성격 및 목적

처리는 LIA 서비스 제공에 필요한 작업으로 한정됩니다:

• 계정 관리: 로그인, 요금제 및 결제;
• 글로 쓰거나, 받아쓰기로 입력하거나, Talk Mode에서 말한 채팅 및 AI 제공자에 의한 그 처리;
• LIA 앱과 LIA Bridge를 통한, 열려 있는 Ableton Live 세트와 설치된 플러그인 목록의 읽기, 그리고 요청된 작업을 Live에 쓰기;
• 채팅 메모리, 작업 기록, 요금제 사용량, 보이스 사용 시간(분) 및 받아쓰기 사용 시간(초);
• 커뮤니티 및 지원;
• 보안, 오류 모니터링 및 백업.

4. 개인정보 및 정보주체의 범주

정보주체의 범주: 위탁자가 LIA 이용을 허가한 이용자(예: 학생, 직원, 음악가, 계약자).

개인정보의 범주: 이메일 주소, 그리고 이용자가 다른 계정으로 로그인하는 경우 해당 서비스가 당사에 전달하는 식별자, 이름, 사용자 이름 및 프로필 사진; 인증 제공자가 일방향 해시로만 저장하는 비밀번호; 프로필 이름과 설정에서 선택한 이름; 요금제, 구독, 등록한 코드 및 결제 메타데이터(카드 정보 미포함), 계약 철회 요청 및 사용한 파트너의 코드(있는 경우), 그리고 결제 제공자의 알림에 포함된 이름, 이메일 및 청구지 주소; 이용자가 앱에서 서비스 약관 및 개인정보처리방침에 동의하거나 요금제의 즉시 시작을 요청한 경우 그 동의 또는 요청의 기록; 채팅 메시지(Talk Mode 통화의 텍스트와 이용자가 보낸 받아쓰기 메시지 포함); Live 세트에서 읽은 데이터(템포, 키, 트랙과 그 이름, 디바이스와 그 파라미터, 믹서와 레벨, 클립과 그 MIDI 노트, 로케이터, 프리셋 이름)와 플러그인 목록; 채팅 메모리, 작업 기록 및 사용량 카운터(보이스 사용 시간 및 받아쓰기 사용 시간 포함); 커뮤니티 글, 댓글, 투표, 신고 및 제재; 지원 메시지와 스크린샷; 알림 설정과 「내 채팅을 LIA 개선에 사용」 허용; 앱 버전, 시스템 및 언어 등의 기술 데이터, 오류 및 모델 호출의 기술 추적 정보; 계정과 연결된 웹사이트 및 이메일 통계(조회한 페이지; 이메일의 전달, 열람 및 클릭); IP 주소(국가, 브라우저 또는 앱 버전과 함께, 서버 접속 로그에는 약 30일 동안, 로그인 및 보안 기록에는 12개월 동안 전체가 보관됨). 수탁자는 오디오를 전혀 저장하지 않습니다. Talk Mode의 오디오는 앱에서 음성 제공자에게 직접 전송되고, 받아쓰기 오디오는 텍스트로 변환되기 위해서만 LIA 서버를 거칩니다.

본 서비스는 특수한 범주의 개인정보(GDPR 제9조)를 위한 것이 아닙니다. 위탁자는 자신의 이용자에게 그러한 데이터를 LIA에 입력하도록 요청해서는 안 됩니다.

5. 수탁자의 의무

1. 위탁자의 문서화된 지시에 따라서만 개인정보를 처리할 것(제3국으로의 이전 포함)(GDPR 제28조 제3항 a호 / PIPA 제26조). 서비스 약관, 본 DPA 및 위탁자가 앱에서 사용하는 설정이 위탁자의 지시입니다.
2. 개인정보를 처리할 권한이 있는 자가 비밀유지 의무를 지도록 할 것.
3. 적절한 기술적 및 관리적 안전 조치를 시행할 것(GDPR 제32조 / PIPA 제29조): §9 참조.
4. 위탁자의 서면에 의한 일반적 승인이 있는 경우에만 재수탁자를 활용할 것(§8 참조).
5. 처리의 성격을 고려하여, 정보주체의 요청에 대한 응답(GDPR 제15-22조 / PIPA 제35-37조) 및 GDPR 제32-36조의 의무 이행에 있어 위탁자를 지원할 것.
6. 개인정보 침해가 발생할 경우 부당한 지연 없이 위탁자에게 통지할 것(GDPR 제33조 / PIPA 제34조): §10 참조.
7. 위탁자의 선택에 따라 서비스 종료 시 모든 개인정보를 삭제하거나 반환할 것(GDPR 제28조 제3항 g호), §11 참조.
8. GDPR 제28조의 준수를 입증하는 데 필요한 정보를 제공하고, 합리적인 사전 통지 후 업무 시간 중에 다른 고객의 데이터에 접근하지 않는 방식으로 수행되는 감사를 허용할 것(GDPR 제28조 제3항 h호).

6. 위탁자의 의무

위탁자는 본 DPA에 따라 처리되는 개인정보에 대해 법적 근거(GDPR 제6조)를 갖추었고, GDPR 제13/14조에 따라 정보주체에게 고지하였으며, 이용자가 만 16세 미만인 경우 LIA에 접근하게 하기 전에 부모의 동의를 받았음을 확인합니다. 한국 위탁자에 대해서는 PIPA 제15조(수집·이용 동의)와 제17조(국외 이전 동의) 준수에 대한 책임을 부담합니다.

7. 처리 장소 및 국제 데이터 이전

LIA 서버는 독일에 있는 임차 가상 서버(Hostinger)에서 운영되며, 데이터베이스와 인증은 Supabase의 유럽연합 리전에 있습니다. 일부 재수탁자는 EEA 외부에서 데이터를 처리하며, 특히 AI 제공자(OpenAI, 미국)가 그러합니다. 한국 위탁자에 대해서는 PIPA 제17조에 따라 국외 이전 시 사전 동의를 취득합니다. 이러한 이전은 다음에 의해 규율됩니다:

• EU-US Data Privacy Framework(DPF): 수령자가 인증된 경우;
• 그 밖의 경우, 유럽연합 집행위원회 결정 (EU) 2021/914로 채택된 표준 계약 조항(SCC), 모듈 3(수탁자에서 재수탁자로).

8. 재수탁자

위탁자는 수탁자가 재수탁자를 활용하는 것에 대해 일반적 승인을 부여합니다. 현재의 재수탁자는 그 소재 국가와 함께 당사 개인정보처리방침의 §4와 §5에 기재되어 있습니다. 이전 근거와 각 재수탁자의 데이터 처리 계약을 포함한 전체 목록은 privacy@liaplugin.com으로 요청하시면 제공하며, 7일 이내에 보내 드립니다. 수탁자는 변경 예정 사항을 최소 30일 전에 위탁자에게 알립니다. 위탁자는 개인정보 보호와 관련된 합리적인 사유가 있는 경우 이의를 제기할 수 있으며, 해결책을 찾지 못하면 위약금 없이 서비스를 해지할 수 있습니다. 수탁자는 각 재수탁자에게 본 DPA와 동등한 개인정보 보호 의무를 부과하며, 재수탁자에 대해 계속 책임을 집니다.

9. 안전 조치 (GDPR 제32조 / PIPA 제29조)

• 웹사이트, 앱 및 서버의 전송 중 암호화(TLS).
• 저장 시 암호화되는, Supabase가 관리하는 데이터베이스; 서버와 데이터베이스의 야간 백업은 백업 저장소(Backblaze, 미국)로 전송되기 전에 서버에서 암호화됩니다.
• LIA 서버에 대한 요청마다 로그인 확인 및 계정별 사용 한도; 각 이용자가 자신의 데이터만 볼 수 있도록 하는 데이터베이스 규칙.
• 서버 내부 서비스는 서버 자체 또는 당사의 사설 네트워크에서만 접근 가능; 관리자 접근은 SSH 키 또는 전용 로그인으로 보호되는 관리 패널을 통해서만.
• 쿼리 문자열과 키나 토큰이 담긴 헤더를 남기지 않는 접속 로그; 보관 기간이 끝나면 로그와 추적 정보를 자동으로 삭제.

10. 개인정보 침해 통지

수탁자는 본 DPA에 따라 처리되는 개인정보에 영향을 미치는 모든 침해에 대해, 위탁자가 72시간 기한을 지킬 수 있도록 부당한 지연 없이, 어떤 경우에도 인지 후 48시간 이내에 위탁자에게 통지합니다. 통지에는 그 시점에 알려진 범위에서 다음이 포함됩니다:

• 침해의 성격 및 대략적 범위;
• 영향을 받은 정보주체 및 기록의 범주 및 대략적 수;
• 예상되는 결과 및 취한 또는 제안된 조치;
• 추가 정보를 위한 연락처: privacy@liaplugin.com.

11. 서비스 종료

서비스 계약이 종료되면 위탁자의 서면 요청에 따라, 수탁자는 법에 따라 보관해야 하는 데이터(예: 결제 및 세무 기록)를 제외한 모든 개인정보를 삭제하거나 반환합니다. 삭제된 데이터는 63일 이내에 암호화된 백업에서 사라집니다.

12. 책임

본 DPA에 따른 책임은 서비스 약관을 따릅니다. 단, 그로 인해 GDPR 제82조에 따른 정보주체의 권리가 제한되는 경우는 제외됩니다.

13. 준거법 및 관할

본 DPA는 이탈리아 공화국의 법에 의해 규율됩니다. 관할 법원은 위탁자의 등록 사무소 법원이며, 이것이 EEA 외부에 있는 경우 Abruzzo, 이탈리아 법원입니다. 개인정보 처리에 관한 불만은 관할 감독기관에 신고할 수 있습니다. 한국에서: 개인정보보호위원회 (PIPC), 서울특별시 종로구 세종대로 209 (정부서울청사).

14. 문의처

본 DPA에 관한 모든 사항: privacy@liaplugin.com