SurveyMonkey는 글로벌 하위 처리자들과 함께 전 세계에 서비스를 제공합니다. 당사는 귀하와 체결한 계약을 통해 SurveyMonkey로의 모든 개인 데이터 전송이 관련 데이터 보호법을 준수할 것을 약속합니다. SurveyMonkey는 당사의 통제하에 있는 개인 데이터에 당사가 적용하는 보호 조치 수준만큼 엄격하게 귀하의 개인 데이터를 보호하는 하위 처리자에게만 개인 데이터를 전송합니다.

또한, 당사가 채택한 보완 조치는 2020년 7월 16일 EU 사법 재판소(‘CJEU’)에서 열린 데이터 보호 최고 관리자와 Facebook Ireland Limited 및 Maximilian Schrems(‘Schrems II’) 간의 케이스 C-311/18의 판결과 유럽 정보 보호 이사회(‘EDPB’)의 보완 조치에 대한 지침에 부합됩니다. 아래에 자세한 정보가 나와 있습니다.

당사가 일반적으로 개인 데이터를 처리하는 방법에 대한 자세한 정보는 개인정보 보호 공지를 참조하십시오.

1부: SurveyMonkey에 전송

2부: 이후 하위 처리자에 전송

미국 고객인 경우에는 계약에 SurveyMonkey 미국 법인인 SurveyMonkey Inc.와의 데이터 보호 부칙(Data Protection Addendum, ‘DPA’)이 포함됩니다. Enterprise 고객이 유럽 경제 지역(‘EEA’), 영국(‘UK’) 또는 스위스에 사용자가 있어서 사용자 데이터를 SurveyMonkey로 전송하기 위한 전송 메커니즘이 필요한 경우에는 관련 전송 메커니즘을 추가할 것을 요청할 수 있습니다. 셀프 서비스 고객의 경우에는 SurveyMonkey 온라인 DPA에 이러한 전송 메커니즘이 자동으로 포함됩니다.

SurveyMonkey Inc.는 표준 계약 조항(Standard Contractual Clauses, ‘SCC’) 외에 유럽연합과 미국 간 데이터 프라이버시 프레임워크, 유럽연합과 미국 간 데이터 프라이버시 프레임워크의 영국 확장 및 스위스와 미국 간 데이터 데이터 프라이버시 프레임워크에 따라 자체 인증합니다. 이는 유럽, 영국, 스위스 데이터 보호 기관이 GDPR 제45(3)조 및 이에 해당하는 국가 법률에 따라 SurveyMonkey의 처리가 ‘적절한’ 것으로 간주했다는 뜻입니다.

EEA, 영국 또는 스위스 기반의 고객인 경우에는 계약에 SurveyMonkey 아일랜드 법인인 SurveyMonkey Europe UC와의 데이터 보호 부칙(Data Protection Addendum, ‘DPA’)이 포함됩니다. 귀하로부터 SurveyMonkey로의 전송은 유럽 주체들(또는 서로의 적합성 상태를 인지한 주체들) 간에 이루어지는 것이므로 다른 전송 메커니즘이 필요하지 않습니다.

미국, EEA, 영국 또는 스위스 밖에 소재한 고객이 EEA, 영국 또는 스위스에 사용자가 있고 이후 전송을 위한 전송 메커니즘을 확보해야 하는 경우, 계약에 SurveyMonkey 아일랜드 법인인 SurveyMonkey Europe UC와의 DPA가 포함됩니다. Enterprise 고객의 경우 관련 전송 메커니즘을 추가할 것을 요청할 수 있습니다. 셀프 서비스 고객의 경우에는 SurveyMonkey 온라인 DPA에 이러한 전송 메커니즘이 자동으로 포함됩니다.

귀하가 SurveyMonkey에 전송하는 개인 데이터는 다음과 같은 용도로 처리될 수 있습니다.

귀하는 이와 다른 용도로 데이터를 전송하는지 파악해야 합니다.

SurveyMonkey에 전송된 고객 개인 데이터는 귀하가 설문조사, 양식 및 설문지의 질문을 통해 수집하기로 결정하는 양만큼 많거나 적은 개인 데이터를 포함할 수 있습니다. 플랫폼의 특성으로 인해 당사는 잠재적 특수 범주 데이터를 포함하여 귀하가 다양한 개인 데이터를 수집한다고 가정합니다. 

당사가 수집하는 정보는 개인정보 보호 공지 섹션 2에 명시되어 있습니다.

위에 설명된 바와 같이, 귀하의 위치에 따라 미국 또는 아일랜드에 있는 SurveyMonkey 법인과 계약을 맺는 것입니다. SurveyMonkey가 준수해야 하는 법률에 따른 데이터 보호 및 분석 분야에 특화된 외부 자문 기관의 의견에 근거하여, SurveyMonkey는 미국 법 제도와 관련된 위험 수준은 낮으며 아일랜드 법 제도와 관련된 위험은 데이터 주체에 중대한 위험을 초래하지 않는다고 믿고 있습니다. 특히, 미국 법률에 대한 자세한 정보는 아래의 ‘보완 조치: 조직적’ 섹션을 참조하십시오.

목적지 국가의 법 제도로 인해 발생하는 위험 수준이 낮거나 중대한 위험을 초래하지 않더라도, SurveyMonkey는 개인 데이터를 보다 확실하게 보호하기 위해 보완 조치를 마련했습니다. 보완 조치는 (i) 계약적, (ii) 조직적, (iii) 기술적 보호의 3가지 범주로 나뉩니다. 

위에 설명된 바와 같이, SurveyMonkey는 고객과 SCC를 체결하는 데 동의합니다. Schrems II 판결에 따라 관계 당사자들은 SCC 및 추가적인 보호 조치(적절한 경우)를 통해 영국, 스위스 및 유럽 경제 지역의 개인 데이터(‘유럽 데이터’)를 미국으로 전송할 수 있습니다. 유럽 데이터 주체의 개인 데이터를 SurveyMonkey가 처리해야 하는 서비스를 사용하고 있거나 해당 개인 데이터 처리를 SurveyMonkey와 협의한 경우에는 귀하와 계약을 체결한 SurveyMonkey 법인에 해당되는 방식으로 SurveyMonkey는 다음과 같은 조치를 취합니다. 

표준 계약 조항이 적용되는 계약에 대한 자세한 정보는 이용 약관(셀프 서비스 고객), 준거 서비스 계약(SurveyMonkey Enterprise 또는 GetFeedback Digital 고객), 또는 SurveyMonkey와 협의한 기타 계약을 참조하십시오.

미국으로 전송되는 데이터를 CJEU에서 우려하는 이유는 미국 행정 명령 12333(‘EO 12333’) 및 해외 정보 감시법의 702절(‘FISA § 702’)에 따라 미국 정부가 데이터를 수집할 수 있기 때문입니다. 특히, FISA § 702에 따르면 ‘업스트림’ 감시가 가능합니다.  이러한 미국 법률 조항에 내포된 위험은 SurveyMonkey의 개인 데이터 처리에 적용되지 않거나 SurveyMonkey가 제공하는 조직적 보호 조치로 현저히 완화시킬 수 있습니다.

또한, 2023년 7월 10일 유럽 위원회는 유럽연합과 미국 간 데이터 프라이버시 프레임워크에 대한 적정성 결정을 채택했습니다. 적정성 결정은 미국이 유럽으로부터 유럽연합과 미국 간 데이터 프라이버시 프레임워크에 참여하는 미국 회사에 전송되는 개인 데이터에 대해 유럽연합에 필적하는 적정한 수준의 보호를 보장한다는 결론을 내립니다.

적정성 결정은 2020년 7월 유럽연합 사법 재판소가 Schrems II 결정에서 제기한 사항을 다루기 위해 새로운 구속력 있는 보호 조치를 도입한 ‘Enhancing Safeguards for United States Signals Intelligence Activities(미국 신호 정보 활동에 대한 보호 장치 강화)’에 관한 행정 명령에 미국이 서명한 데 따른 것입니다. 특히, 새로운 의무 사항은 미국 정보 기관이 필요하고 적절한 수준에서만 데이터에 접근할 수 있도록 보장하고, 국가 안보의 목적으로 유럽인의 데이터를 수집하는 것과 관련하여 유럽인의 불만사항을 처리하고 해결하기 위한 독립적이고 공정한 시정 방법을 구축하기 위해 마련되었습니다(https://ec.europa.eu/commission/presscorner/detail/en/qanda_23_3752 참조).

FISA § 702에 따른 ‘업스트림’ 또는 일괄 감시 명령은 SurveyMonkey에 해당되지 않습니다. SurveyMonkey Inc.는 고객에게 제공하는 특정 서비스 또는 제품 기능과 관련하여 일정 부분 전자 통신 서비스(‘ECS’) 역할과 잠재적인 원격 컴퓨팅 서비스(‘RCS’) 역할(각각 미국 법전(USC) 18편 2510절 및 2711절의 규정에 따라)을 합니다.  따라서, SurveyMonkey Inc.는 미국 정부가 FISA § 702에 따라 대상을 지정하여 지침을 제공할 수 있는 대형 업체 그룹에 포함됩니다.  하지만 미국 정부가 FISA § 702를 해석하고 적용한 바에 따라 Schrems II 판결에서 CJEU가 가장 우려하고 있는 명령(즉, ’업스트림’ 감시가 가능한 FISA § 702 명령)이 SurveyMonkey에는 해당되지 않습니다.  미국 정부는 FISA § 702를 적용한 바에 따라 제3자를 위한 인터넷 트래픽을 전달하는 인터넷 백본 제공자(즉, 이동통신 사업자)를 통해 이동되는 대상 트래픽에만 ‘업스트림’ 명령을 사용합니다.  예를 들어, Privacy and Civil Liberties Oversight Board의 보고서인 Report on the Surveillance Program Operated Pursuant to Section 702 of the Foreign Intelligence Surveillance Act(2014년 7월 2일), 35~40페이지(https://fas.org/irp/offdocs/pclob-702.pdf)를 참조하십시오.  SurveyMonkey는 당사 고객을 위한 트래픽만 전달하므로 그러한 인터넷 백본 서비스를 제공하지 않습니다.  따라서 SurveyMonkey는 Schrems II 판결에서 주로 다루어지고 문제의 소지가 있다고 여겨지는 그러한 종류의 명령을 받을 대상에 해당되지 않습니다.

SurveyMonkey는 지금까지 FISA § 702에 따른 지침을 받은 적이 없으며, 앞으로도 지침을 받을 가능성이 희박합니다. 본 문장의 작성 날짜를 기준으로, SurveyMonkey는 FISA § 702에 따른 지침을 받은 적이 없으며 앞으로도 지침을 받을 가능성이 희박할 것으로 예상됩니다.  SurveyMonkey가 당사 고객을 위해 처리하는 개인 데이터(피드백 데이터)는 FISA § 702가 적용되는 해외 정보 활동과는 관련성이 매우 낮습니다.  게다가, 개인 데이터가 그러한 조사에 연루되는 경우라도 미국 정부는 Schrems II 판결에 설명된 데이터에 정부가 액세스하기 위한 높은 수준의 기준을 충족해야 하는 다른 형태의 법적 절차를 통해(예: 판사가 승인한 수색 영장 발부) 해당 데이터를 조사할 가능성이 큽니다.  그 이유는 미국 정부 입장에서는 FISA § 702에 따라 SurveyMonkey에 지침을 제공하는 데 필요한 메커니즘을 마련하는 것보다 FISA § 702 이외의 다른 방법으로 명령을 발효하거나 영장을 발부 받는 것이 훨씬 더 쉽고 빠르기 때문입니다.

SurveyMonkey는 행정 명령 12333에 따라 정보를 수집하는 미국 정부 당국에 협조하지 않으며, 그들의 협조 명령에 응할 수 없습니다. SurveyMonkey는 행정 명령 12333에 따라 감시 활동을 수행하는 미국 정부 당국에 어떤 협조도 하지 않으며, 앞으로도 하지 않을 것입니다.  미국 정부는 행정 명령 12333에 따른 감시 활동을 위해 업체들에게 협조를 강요할 수 없으며, SurveyMonkey는 자발적으로 협조하지 않을 것입니다.  결론적으로, SurveyMonkey는 문제의 소지가 있는 행정 명령 12333 Schrems II 판결에 따른 일괄 감시 체제에 협조하는 어떠한 조치도 취하지 않으며 그와 관련된 명령을 따를 수 없습니다.

SurveyMonkey는 위에 설명된 Schrems II 판결에 인용된 핵심적인 결함 사항(FISA § 702에 따른 일괄 감시 및 행정 명령 12333에 따른 일괄 차단)을 해결하는 다양한 기술적 조치를 제공합니다.  

SurveyMonkey는 AES 256 기반 암호화를 사용하여 데이터 센터에 보관 중인 모든 데이터를 암호화합니다. 또한, SurveyMonkey는 이동 중인 모든 데이터를 암호화하는데 (i) SurveyMonkey 데이터 센터 외부에 있는 주체와의 커뮤니케이션을 위해서는 공공 인증 기관을 통해 생성된 2048비트 RSA 키 길이 기반 인증서를 사용하며, (ii) 데이터 센터 내에 있는 모든 데이터에 대해서는 내부 인증 기관을 통해 생성된 RSA 256 인증서를 사용합니다.  이러한 암호화 작업은 이해할 수 있는 형태로 데이터를 무단으로 입수하는 것을 방지하고 2개의 엔드포인트 간에 데이터가 전송 중일 때 무단 도청/변경 행위를 방지하기 위한 노력입니다. 

일부 SurveyMonkey 고객(예: GetFeedback Digital 고객)은 유럽연합 지역에만 데이터를 저장해 놓았습니다. 이 경우, 해당 데이터는 미국 지역에 저장되지 않고 미국 내에서 제한된 용도로 최소한으로만 액세스할 수 있습니다(예: 기술적 문제/버그를 해결하거나 시스템 구축을 위한 제한된 엔지니어 리소싱 및/또는 보안 지원을 제공하기 위해 고객이 요청할 때 고객 지원 제공).

또한 SurveyMonkey는 엄격한 관리 절차, 기술 절차, 물리적 절차를 통해 서버에 보관된 정보를 보호합니다. 개인 정보에는 직무를 수행해야 하는 직원들이 로그인 자격 증명을 통해서만 액세스할 수 있습니다. SurveyMonkey는 데이터를 가명화 또는 익명화(적절한 경우)하여 유럽연합에서 제3자 관할 구역으로 전송되는 개인 데이터의 양을 제한하기 위해 데이터 최소화 기술을 구현합니다. 또한 SurveyMonkey는 다단계 인증, 통합 인증(Single Sign On), 필요에 따른 액세스, 강력한 비밀번호 컨트롤, 관리 계정에 대한 액세스 제한 등의 액세스 제어 기능을 사용합니다.  

SurveyMonkey는 전자 통신 서비스(ECS)/원격 컴퓨팅 서비스(RCS)를 제공하는 업체로서도 SurveyMonkey 고객을 보호하는 미국 법전(USC) 18편 2701절, 전자 통신 개인정보 보호법(‘ECPA’)을 준수합니다.  예를 들어, 정부 기관이 기본적인 구독자 정보가 아닌 다른 정보에 대한 수색 영장 또는 법원 명령 등 적절한 법적 절차를 우선적으로 확보하지 않는 한, ECPA는 정부 기관이 SurveyMonkey 등과 같은 업체가 제공하는 서비스를 이용하는 고객에 대한 정보를 조사하는 것을 금지하고 있습니다.  마찬가지로, 미국 정부가 SurveyMonkey 고객 정보를 부당하게 확보한 경우 FISA 및 ECPA는 SurveyMonkey 고객들에게 금전적 손실 또는 징벌적 조치를 비롯한 손해 배상을 관련 미국 정부 기관에 대해 청구할 수 있도록 허용합니다(미국 법전(USC) 18편 2712절 참조).

뿐만 아니라, SurveyMonkey와 오랫동안 협력해 온 외부 법률 자문 기관은 FISA § 702에 따른 전미 보안 요청을 비롯하여 사용자 데이터에 대한 미국 정부의 요청에 대응하는 노하우를 갖추고 있습니다.  SurveyMonkey의 정책에 따라, 그러한 미국 정부의 요청을 SurveyMonkey의 내부 규정 준수팀에 에스컬레이션하고 필요한 경우 외부 자문 기관에 보내서 검토를 의뢰합니다.  가능성은 희박하지만 SurveyMonkey가 미국 정부로부터 데이터 액세스 요청을 받으면, 적절한 경우 SurveyMonkey는 유효한 법적 수단을 활용하여 FISA § 702(모든 기밀 유지 조항 또는 그에 따른 일체의 명령 포함)를 통해 미국 정부의 데이터 액세스 요청에 대응하여 이의를 제기할 수도 있습니다.  그러면 미국 조사위원회(FISA 법원)가 미국 정부의 해당 요청을 검토하게 됩니다. 

또한, FISA § 702에 따라 데이터 액세스 권한을 미국 정부 기관에 제공하라는 명령을 SurveyMonkey가 받으면 SurveyMonkey가 표준 계약 조항을 더 이상 준수할 수 없으므로 고객들이 SurveyMonkey와의 계약 사항을 해지하고 SurveyMonkey에 데이터 전송을 일시 중지할 수 있다는 사실을 고객들에게 공지해야 합니다.  하지만 SurveyMonkey는 지금까지 이러한 공지를 고객들에게 배포한 적이 없습니다.

Momentive는 위의 분석 내용을 고려하여, 데이터 주체에 피해를 줄 중대한 위험이 없다고 믿고 있습니다.

아래 표는 전송 영향 평가 결론의 요약입니다.

‘중대하지 않은 위험’이란 개인 데이터가 유럽 경제 지역(EEA) 내에 위치한 두 개의 법인 간에 전송되는 것을 의미합니다.

‘저위험’이란 수입자/전송 대상 국가가 EEA(유럽 경제 지역) 외부에 있지만, GDPR에서 승인한 메커니즘으로 전송이 이루어지며 추가적인 보완 조치가 운영되고 전송 영향 평가(TIA)에서 확인된 모든 위험이 완화되었음을 의미합니다.

‘중간 위험’이란 수입자/전송 대상 국가가 EEA(유럽 경제 지역) 외부에 있지만, GDPR에서 승인한 메커니즘으로 전송이 이루어지며 추가적인 보완 조치가 운영되고 전송 영향 평가(TIA)에서 확인된 위험이 일부 남아 있음을 의미합니다.

‘고위험’이란 수입자/전송 대상 국가가 EEA(유럽 경제 지역) 외부에 있지만, GDPR에서 승인한 메커니즘으로 전송이 이루어지며 추가적인 보완 조치가 운영되고 전송 영향 평가(TIA)에서 확인된 현저한 위험이 남아 있음을 의미합니다.

하위 처리자는 SurveyMonkey가 사용자에게 서비스를 제공할 수 있도록 사용자의 개인 데이터를 처리하는 SurveyMonkey 벤더입니다. 모든 SurveyMonkey 하위 처리자는 계약에 따라 SurveyMonkey의 통제하에 개인 데이터에 적용하는 기준에 준하는 보호 조치를 통해 개인 데이터를 보호해야 합니다.

SurveyMonkey는 개인 데이터를 하위 처리자에게 전송할 때, 위의 단계에서 설명한 내용과 비슷한 전송 영향 평가(‘TIA’)를 수행합니다. 이는 SurveyMonkey가 준수해야 하는 데이터 보호법 및 사용자와의 계약에 따라 사용자의 개인 데이터가 각 단계마다 안전하게 보호되도록 하기 위한 조치입니다. 아래 나열된 각 하위 처리자에 대해 TIA의 핵심 사항을 요약하여 명시했습니다.

모든 하위 처리자가 당사의 모든 서비스를 제공하는 데 이용되는 것은 아님을 유념해 주십시오. 당사 하위 처리자 목록은 특정 SurveyMonkey 서비스로 세분화됩니다. 

당사 하위 처리자 목록 업데이트에 대한 이메일 알림을 받으려면 여기에서 구독하시기 바랍니다.

SurveyMonkey의 현재 하위 처리자 목록 PDF는 여기에서 다운로드할 수 있습니다.