Momentive는 전 세계로 그 제품을 제공하며 그러한 제품과 서비스를 제공하는 데 도움을 받기 위해 글로벌 하위 처리자를 이용합니다. 귀하와 맺은 계약상, 저희에게 이전되는 모든 개인 정보는 정보 보호법을 준수하도록 합니다. 또한, 이후에 저희가 개인 정보를 이전할 때도 저희 통제하에 있는 개인 정보에 적용되는 기준 이상의 보호 조치를 취하여 수령자가 개인 정보를 보호하도록 합니다.

Momentive는 2020년 7월 16일 EU 사법 재판소(‘CJEU’)에서 열린 데이터 보호 최고 관리자와 Facebook Ireland Limited 및 Maximilian Schrems(‘슈렘스 II’) 간의 케이스 C-311/18의 판결과 유럽 정보 보호 이사회(‘EDPB’)의 보완 조치에 대한 지침을 고려하여 Momentive 및 이후 전송되는 개인 데이터를 충분한 수준으로 보호하고 있음을 사용자가 판단할 수 있도록 사용자의 정보가 전송되는 동안 어떻게 보호되는지에 대해 아래와 같은 몇 가지 정보를 제공합니다.

당사가 일반적으로 개인 데이터를 처리하는 방법에 대한 자세한 정보는 개인정보 보호 공지를 참조하십시오.

1부: Momentive에 전송

2부: 이후 하위 처리자에 전송

미국 고객의 경우, 계약에 Momentive의 미국 주체인 Momentive Inc와의 데이터 보호 부칙(Data Protection Addendum, “DPA”)이 포함됩니다. 유럽경제지역(“EEA”) 또는 영국(“UK”)에 사용자가 있어서 사용자 데이터를 Momentive로 이전하기 위한 이전 방법이 필요한 경우, 저희가 EU 및/또는 UK 표준 계약 조항(Standard Contractual Clauses, “SCCs”)을 추가하도록 요청할 수 있습니다.

EEA 또는 UK에 소재한 고객인 경우, 계약에 Momentive의 아일랜드 주체인 Mometive Europe UC와의 데이터 보호 부칙(Data Protection Addendum, “DPA”)이 포함됩니다. 귀하와 Momentive 간의 이전은 이전 방법이 필요하지 않은(또는 서로의 적합성 상태를 인지한 주체들) 유럽 주체들 간에 이루어지는 것이므로 별도의 이전 방법이 필요하지 않습니다.

미국, EEA, 또는 UK 밖에 소재한 고객이 EEA나 UK에 사용자가 있고 이후 이전에 대한 이전 방법을 확보해야 하는 경우, 계약에 Momentive의 아일랜드 주체인 Mometive Europe UC와 DPA가 포함되어 있으며 저희에게 EU 및/또는 UK SCCs를 추가할 것을 요청할 수 있습니다.

귀하가 Momentive에 전송하는 개인 데이터는 다음과 같은 용도로 처리될 수 있습니다.

귀하는 이와 다른 용도로 데이터를 전송하는지 파악해야 합니다.

Momentive에 전송된 고객 개인 데이터는 귀하가 설문, 양식 및 질문서의 질문에 제공하기로 결정하는 양만큼 많거나 적은 개인 데이터를 포함할 수 있습니다. 귀하는 Momentive 플랫폼을 통해 매우 다양한 개인 데이터(잠재적 특수 범주 데이터 포함)를 수집할 수 있습니다. 

당사가 수집하는 정보에 대해서는 개인정보 보호 공지 섹션 2에 설명되어 있습니다.

위에 설명된 바와 같이, 귀하의 위치에 따라 미국 또는 아일랜드에 있는 Momentive 법인과 계약을 맺는 것입니다. Momentive가 준수해야 하는 법률에 따른 데이터 보호 및 분석 분야에 특화된 외부 자문기관의 의견에 근거하여, Momentive는 미국 법 제도와 관련된 위험 수준은 낮으며 아일랜드 법 제도와 관련된 위험은 데이터 주체에 중대한 위험을 초래하지 않는다고 믿고 있습니다. 특히, 미국 법률에 대한 자세한 정보는 아래의 ‘보완 조치: 조직적’ 섹션을 참조하십시오.

목적지 국가의 법 제도로 인해 발생하는 위험 수준이 낮거나 중대한 위험을 초래하지 않더라도, Momentive는 개인 데이터를 보다 확실하게 보호하기 위해 보완 조치를 마련했습니다. 보완 조치는 (i) 계약적, (ii) 조직적, (iii) 기술적 보호의 3가지 범주로 나뉩니다. 

위에 설명된 바와 같이, Momentive는 고객과 SCC(표준 계약 조항)를 체결하는 데 동의합니다. Schrems II(슈렘스 II) 판결에 따라, 관계 당사자들은 SCC 및 추가적인 보호 조치(적절한 경우)를 통해 영국 및 유럽 경제 지역에서 개인 데이터(‘유럽 데이터’)를 미국에 전송할 수 있습니다. 유럽 데이터 주체의 개인 데이터를 Momentive가 처리해야 하는 서비스를 사용하고 있거나 해당 개인 데이터 처리를 Momentive와 협의한 경우에는 귀하와 계약을 체결한 Momentive 법인에 해당되는 방식으로 Momentive는 다음과 같은 조치를 취합니다. 

표준 계약 조항이 적용되는 계약에 대한 자세한 정보는 이용 약관(셀프 서비스 고객), 준거 서비스 계약(SurveyMonkey Enterprise 또는 GetFeedback Digital 고객) 또는 Momentive와 협의한 기타 계약을 참조하십시오.

미국으로 전송되는 데이터를 CJEU에서 우려하는 이유는 미국 행정 명령 12333(‘EO 12333’) 및 해외 정보 감시법의 702절(‘FISA § 702’)에 따라 미국 정부가 데이터를 수집할 수 있기 때문입니다. 특히, FISA § 702에 따르면 ‘업스트림’ 감시가 가능합니다.  이러한 미국 법률 조항에 내포된 위험은 Momentive의 개인 데이터 처리에 적용되지 않거나 Momentive가 제공하는 조직적 보호 조치로 현저히 완화시킬 수 있습니다.

FISA § 702에 따른 업스트림 또는 일괄적인 감시 명령은 Momentive에 해당되지 않습니다. Momentive Inc.는 고객에게 제공하는 특정 서비스 또는 제품 기능과 관련하여 일정 부분 전자 통신 서비스(‘ECS’) 역할과 잠재적인 원격 컴퓨팅 서비스(‘RCS’) 역할(각각 미국 법전(USC) 18편 2510절 및 2711절의 규정에 따라)을 합니다.  따라서, Momentive Inc.는 미국 정부가 FISA § 702에 따른 대상 지정된 지침을 제공할 수 있는 대형 업체 그룹에 포함됩니다.  미국 정부가 FISA § 702를 제정하고 발효했지만, 슈렘스 II 판결에서 CJEU가 가장 우려하고 있는 명령(즉, ’업스트림’ 감시가 가능한 FISA § 702 명령)이 Momentive에는 해당되지 않습니다.  미국 정부는 FISA § 702를 발효할 때, 제3자를 위한 인터넷 트래픽을 전달하는 인터넷 백본 제공업체(즉, 이동통신 사업자)를 통해 이동되는 대상 트래픽에만 업스트림 명령을 사용합니다.  예를 들어, 해외 정보 감시법(2014년 7월 2일), 35~40페이지의 702절에 의거하여 이행되는 프라이버시 및 시민 자유 감독 위원회(Privacy and Civil Liberties Oversight Board) 보고서 및 감시 프로그램 보고서(https://fas.org/irp/offdocs/pclob-702.pdf)를 참조하십시오.  Momentive는 당사 고객만을 위한 트래픽을 전달하므로 그러한 인터넷 백본 서비스를 제공하지 않습니다.  따라서 Momentive는 슈렘스 II 판결에서 주로 다루어지고 문제가 발생할 수 있다고 여겨지는 그러한 종류의 명령을 받을 대상에 해당되지 않습니다.

Momentive는 지금까지 FISA § 702에 따른 지침을 받은 적이 없으며, 앞으로도 지침을 받을 가능성이 희박합니다. 이 설명서의 작성 날짜를 기준으로, Momentive는 FISA § 702에 따른 지침을 받은 적이 없으며 앞으로도 지침을 받을 가능성이 희박할 것으로 예상됩니다.  Momentive가 당사 고객을 위해 처리하는 개인 데이터(피드백 데이터)는 FISA § 702가 적용되는 해외 정보 활동과는 관련성이 매우 낮습니다.  게다가, 개인 데이터가 그러한 조사에 연루되는 경우라도 미국 정부는 슈렘스 II 판결에 설명된 데이터에 정부가 액세스하기 위한 높은 수준의 기준을 충족해야 하는 다른 형태의 법적 절차를 통해(예: 판사가 승인한 수색 영장 발부) 해당 데이터를 조사할 가능성이 큽니다.  그 이유는 미국 정부 입장에서는 FISA § 702에 따라 Momentive에 지침을 제공하는 데 필요한 메커니즘을 마련하는 것보다 FISA § 702 이외의 다른 방법으로 명령을 발효하거나 영장을 발부 받는 것이 훨씬 더 쉽고 빠르기 때문입니다.

Momentive는 행정 명령 12333에 따라 정보를 수집하는 미국 정부 당국에 협조하지 않으며, 그들의 협조 명령에 응할 수 없습니다. Momentive는 행정 명령 12333에 따라 감시 활동을 수행하는 미국 정부 당국에 협조하지 않으며, 앞으로도 어떠한 협조도 하지 않을 것입니다.  미국 정부는 행정 명령 12333에 따른 감시 활동을 위해 업체들에게 협조를 강요할 수 없으며, Momentive는 자발적으로 협조하지 않을 것입니다.  결론적으로, Momentive는 문제의 소지가 있는 행정 명령 12333 슈렘스 II 판결에 따른 일괄적인 감시 체제에 협조하는 어떠한 조치도 취하지 않으며 그와 관련된 명령을 따를 수 없습니다.

Momentive는 위에 설명된 슈렘스 II 판결에 인용된 핵심적인 결함 사항(FISA § 702에 따른 일관적인 감시 및 행정 명령 12333에 따른 일관적인 차단)을 해결하는 다양한 기술적 조치를 제공합니다.  

Momentive는 AES 256 기반 암호화를 사용하여 데이터 센터에 보관 중인 모든 데이터를 암호화합니다. 또한, Momentive는 이동 중인 모든 데이터를 암호화하는 데 (i) Momentive 데이터 센터 외부에 있는 주체와의 커뮤니케이션을 위해 공공 인증 기관을 통해 생성된 2048비트 RSA 키 길이 기반 인증서를 사용하며, (ii) 데이터 센터 내에 있는 모든 데이터에 대해서는 내부 인증 기관을 통해 생성된 RSA 256 인증서를 사용합니다.  이러한 암호화 작업은 이해할 수 있는 형태로 데이터를 무단으로 입수하는 것을 방지하고 2개의 엔드포인트 간에 데이터가 이동 중일 때 무단 도청/변경 행위를 방지하기 위한 노력입니다. 

일부 Momentive 고객(예: GetFeedback Digital 고객)은 유럽연합 지역에만 데이터를 저장해 놓았습니다. 이 경우, 해당 데이터는 미국 지역에 저장되지 않고 미국 내에서 제한된 용도로 최소한으로만 액세스할 수 있습니다(예: 기술적 문제/버그를 해결하거나 시스템 구축을 위한 제한된 엔지니어 리소싱 및/또는 보안 지원을 제공하기 위해 고객이 요청할 때 고객 지원 제공).

또한 Momentive는 엄격한 관리 절차, 기술 절차, 물리적 절차를 통해 서버에 보관된 정보를 보호합니다. 개인 정보에는 직무를 수행해야 하는 직원들이 로그인 자격 증명을 통해서만 액세스할 수 있습니다. Momentive는 데이터를 가명화 또는 익명화(적절한 경우)하여 유럽연합에서 제3자 관할 구역으로 전송되는 개인 데이터의 양을 제한하기 위해 데이터 최소화 기술을 구현합니다. 또한 Momentive는 다단계 인증, 통합 인증(Single Sign On), 필요에 따른 액세스, 강력한 비밀번호 컨트롤, 관리 계정에 대한 액세스 제한 등의 액세스 제어 기능을 사용합니다.  

Momentive는 전자 통신 서비스(ECS)/원격 컴퓨팅 서비스(RCS)를 제공하는 업체로서도 Momentive 고객의 데이터를 보호하는 미국 법전(USC) 18편 2701절, 전자 통신 개인정보 보호법(‘ECPA’)을 준수합니다.  예를 들어, 정부 기관이 기본적인 구독자 정보가 아닌 다른 정보에 대한 수색 영장 또는 법원 명령 등 적절한 법적 절차를 우선적으로 확보하지 않는 한, ECPA는 정부 기관이 Momentive 등과 같은 업체가 제공하는 서비스를 이용하는 고객에 대한 정보를 조사하는 것을 금지하고 있습니다.  이와 마찬가지로, 미국 정부가 Momentive 고객 정보를 부당하게 확보한 경우 FISA 및 ECPA는 Momentive 고객들에게 금전적 손실 또는 징벌적 조치를 비롯한 손해 배상을 관련 미국 정부 기관에 대해 청구할 수 있도록 허용합니다(미국 법전(USC) 18편 2712절 참조).

뿐만 아니라, Momentive와 오랫동안 협력해 온 외부 법률 자문기관은 FISA § 702에 따른 전미 보안 요청을 비롯하여 사용자 데이터에 대한 미국 정부의 요청에 대응하는 노하우를 갖추고 있습니다.  Momentive의 정책에 따라, 그러한 미국 정부의 요청을 Momentive의 내부 규정 준수팀에 에스컬레이션하고 필요한 경우 외부 자문기관에 보내서 검토를 의뢰합니다.  가능성은 희박하지만 Momentive가 미국 정부로부터 데이터 액세스 요청을 받으면, 적절한 경우 Momentive는 유효한 법적 수단을 활용하여 FISA § 702(모든 기밀유지 조항 또는 그에 따른 일체의 명령 포함)를 통해 미국 정부의 데이터 액세스 요청에 대응하여 이의를 제기할 수도 있습니다.  그러면 미국 조사위원회(FISA 법원)가 미국 정부의 해당 요청을 검토하게 됩니다. 

또한, FISA § 702에 따라 데이터 액세스 권한을 미국 정부 기관에 제공하라는 명령을 Momentive가 받으면 Momentive가 표준 계약 조항을 더 이상 준수할 수 없으므로 고객들이 Momentive와의 계약 사항을 해지하고 Momentive에 데이터 전송을 일시 중지할 수 있다는 사실을 고객들에게 공지해야 합니다.  하지만 Momentive는 지금까지 이러한 공지를 고객들에게 배포한 적이 없습니다.

Momentive는 위의 분석 내용을 고려하여, 데이터 주체에 피해를 줄 중대한 위험이 없다고 믿고 있습니다.

아래 표는 전송 영향 평가 결론의 요약입니다.

‘중대 위험 없음’은 유럽 위원회가 적합하다고 판단한 관할 지역에 개인 데이터가 전송되며(해당 법적 보호는 유럽에서의 법적 보호에 상응함), 데이터를 추가적으로 보호하기 위한 계약적, 기술적, 조직적 조치가 마련되어 있음을 의미합니다.

‘위험 낮음’은 적합성이 아닌 GDPR 5장의 메커니즘이 적용되는 관할 지역에 개인 데이터가 전송됨을 의미합니다. 해당 법적 보호가 유럽에서의 법적 보호에 상응할 필요는 없지만, 개인 데이터는 법 규정에 맞게 전송되며 계약적, 기술적, 조직적 조치를 통해 보호 수준을 강화합니다.

하위 처리자는 Momentive가 사용자에게 서비스를 제공할 수 있도록 사용자의 개인 데이터를 처리하는 Momentive 벤더입니다. 모든 Momentive 하위 처리자는 계약에 따라 Momentive의 통제하에 개인 데이터에 적용하는 기준에 준하는 보호 조치를 통해 개인 데이터를 보호해야 합니다.

Momentive는 개인 데이터를 하위 처리자에게 전송할 때, 위의 단계에서 설명한 내용과 비슷한 전송 영향 평가(‘TIA’)를 수행합니다. 이는 Momentive가 준수해야 하는 데이터 보호법 및 사용자와의 계약에 따라 사용자의 개인 데이터가 각 단계마다 안전하게 보호되도록 하기 위한 조치입니다. 아래 나열된 각 하위 처리자에 대해 TIA의 핵심 사항을 요약하여 명시했습니다.

모든 하위 처리자가 당사의 모든 서비스를 제공하는 데 이용되는 것은 아님을 유념해 주십시오. 당사 하위 처리자 목록은 특정 Momentive 서비스로 세분화됩니다. 

하위 처리자 목록 업데이트에 대한 이메일 알림을 받으려면 여기에서 수신설정하시기 바랍니다.

이전에 GetFeedback Direct의 하위 처리자였던 Campaign Monitor, Turbine Room Ltd(FirstOfficer.io), Salesloft, Inc.는 이 목록에서 제거되었습니다.