본 '미국 주법 개인정보 보호 부록'(이하 '부록')은 '마스터 구독 계약', '서비스 약관' 또는 '리셀러 고객 서비스 약관'(이하 해당하는 바에 따라 '계약')의 조항을 보완하고, 특정 미국 주법과 관련된 특정 개인정보 보호 권리 및 의무를 명시합니다. 본 문서에 사용되었지만 달리 정의되지 않은 따옴표 용어는 '계약'에 명시된 의미를 갖습니다.
섹션 A – 일반 조항. '부록'의 '섹션 A'는 '고객'이 '비즈니스' 또는 '통제자'이며 Zoom이 CCPA 또는 기타 '해당 주 데이터 보호법'에 의거하여 '고객'의 '개인 정보' 또는 '개인 데이터'를 '처리'할 경우 Zoom의 '서비스' 제공 및 '고객'의 '서비스' 이용에 적용됩니다.
- 정의. 본 '부록' 전반에서 사용되는 '고객'이란 Zoom 서비스를 구독하는 '비즈니스' 또는 '통제자'를 의미합니다. 본 '섹션 A'에서 사용되나 달리 정의되지 않은 따옴표 용어는 아래 '섹션 B(1)' 및 '섹션 C(1)'에 명시된 의미를 갖습니다.
- 감사 및 평가.
- Zoom은 ISO 27001 및 SOC 2 Type II 프레임워크를 증명하기 위해 다음과 같이 제3자 감사를 수행합니다.
- Zoom은 매년 SOC-2 감사를 통해 '보안, 가용성 및 개인정보 보호 기준'에 대한 감사를 진행합니다.
- 감사는 적용 가능한 관리 표준 또는 프레임워크에 대해 규제 또는 인가 기관의 표준 및 규칙에 따라 진행됩니다.
- 감사는 Zoom의 선택에 따라 자격을 갖춘 독립적인 제3자 보안 감사자가 수행하며, Zoom에서 그 비용을 부담합니다.
- 각 감사의 결과로서, 고객에게 제공되는 감사 보고서(이하 'Zoom 감사 보고서')가 생성되며, Zoom은 해마다 요청에 따라 이를 '고객'에게 제공합니다. 'Zoom 감사 보고서'는 Zoom의 '기밀 정보'입니다.
- Zoom은 매년 SOC-2 감사를 통해 '보안, 가용성 및 개인정보 보호 기준'에 대한 감사를 진행합니다.
- Zoom은 ISO 27001 및 SOC 2 Type II 프레임워크를 증명하기 위해 다음과 같이 제3자 감사를 수행합니다.
- 정보 수신 제한. 본 '부록'의 어떤 내용도 Zoom이 (a) Zoom의 다른 고객 또는 제3자의 데이터나 정보, (b) 내부 회계 또는 재무 정보, (c) Zoom의 영업 비밀 또는 (d) Zoom의 합리적 의견에 따라 (i) Zoom의 네트워크, 시스템 또는 사업장의 보안을 손상할 수 있는 정보, (ii) Zoom이 제3자에 대한 보안 또는 개인정보 보호 의무를 위반하게 하는 정보 또는 (iii) 본 '부록'에 명시된 이유가 아닌 다른 이유로 요구되는 정보를 공개하도록 요구하지 않습니다. Zoom은 '고객'에게 'Zoom 감사 보고서'를 제공하기 전에 합리적인 Zoom(또는 제3자 감사자 또는 평가자) 약관에 대한 '고객'의 동의를 요구할 수 있습니다.
- 데이터 삭제. Zoom은 (a) '고객'에게 적용되는 '해당 주 데이터 보호법'과 '고객'의 지시에 따라 '서비스' 제공 종료 시 모든 '개인 데이터'를 삭제하거나 '고객'에게 반환하며, (b) CCPA에 따라 '고객'과 Zoom 간의 관계 종료 또는 만료 시 '개인 정보'를 보유, 사용 또는 공개하지 않습니다. 본 '섹션 A(4)(데이터 삭제)'의 어떠한 내용도 Zoom이 (i) 관련 법률에 따라 보유해야 하는 데이터를 삭제하거나 반환하도록 요구하지 않으며, (ii) 반환이 기술적으로 불가능하거나 Zoom에 상당한 부담, 비용 또는 두 가지 모두를 초래하는 경우 '개인 데이터'를 파기하는 대신 반환하도록 요구하지 않습니다.
섹션 B – 캘리포니아. 본 '부록'의 '섹션 B'는 '고객'이 '비즈니스'이며 Zoom이 CCPA에 의거하여 '고객'을 대신해 '개인 정보'를 '처리'하는 경우 Zoom의 '서비스' 제공 및 '고객'의 '서비스' 이용에 적용됩니다.
- 정의. 본 '부록'의 '섹션 B'에서 (a) 'CCPA'는 '2020년 캘리포니아 개인정보 보호 권리법'에 의해 개정된 '2018년 캘리포니아 소비자 개인정보 보호법' 및 그에 따라 공포된 모든 규정을 의미하고, (b) '비즈니스', '비즈니스 목적', '상업적 목적', '소비자', '처리', '판매', '서비스 공급자' '공유'는 CCPA에 명시된 각각의 의미를 갖고, (c) '개인 정보'는 CCPA에 정의된 "개인 정보"를 의미하며, 이는 Zoom이 '계약'에 따라 '비즈니스'로서 '고객'에게 '서비스'를 제공한 결과로 Zoom이 개인 정보를 수집, 조회, 획득, 수신, 사용, 공개 또는 달리 처리하는 경우에 한합니다.
- 승인 및 의무. Zoom은 (a) '주문 양식'에 설명되어 있는 제한적인 특정 '서비스' 제공 목적과 '계약'에 설명되어 있는 목적에 한해 '고객'에 의해 '개인 정보'가 공개되는 것을 승인하며, (b) CCPA에 의거하여 '서비스 공급자'에게 적용되는 의무를 준수하고, '비즈니스'에서 제공해야 하는 것과 동일한 개인정보 보호를 포함하여 CCPA의 요구 사항과 동일한 수준의 '개인 정보' 보호를 제공하며, (c) Zoom의 '개인 정보' 사용이 CCPA에 의거한 '고객'의 의무와 일관성을 갖도록 하기 위해 '고객'이 본 문서 '섹션 A(2)'와 일관된 합리적이고 적절한 절차를 수행할 수 있다는 데 동의하고, (d) Zoom에서 더 이상 CCPA에 의거한 의무를 충족할 수 없다는 결정을 내리게 되는 경우 이를 즉시 '고객'에게 알리며, (e) '고객'이 Zoom이 유효한 삭제 요청의 대상인 '개인 정보'를 더 이상 보유하거나 사용하지 않는다는 것을 입증하는 합리적인 문서를 Zoom에 요청하는 방법으로, 적용 가능한 규정에 따라 승인되지 않은 '개인 정보' 사용을 중단하고 교정하는 합리적이고 적절한 절차를, 고지 시에, 수행할 수 있다는 데 동의합니다.
- 제한. Zoom은 (a) '개인 정보'를 '판매'하거나 '공유'하지 않으며, (b) 위의 '섹션 B(2)(a)'에 명시된 목적 또는 CCPA에서 허용하는 다른 목적 이외의 목적으로 '개인 정보'를 보유, 사용 또는 공개하지 않고(해당 목적 또는 다른 '비즈니스'의 서비스 제공 이외의 '상업적 목적'으로 '개인 정보'를 보유, 사용 또는 공개하는 것 포함), (c) CCPA가 허용하는 범위를 제외하고, Zoom과 '고객' 간의 직접적인 비즈니스 관계 외부에서 '개인 정보'를 보유, 사용 또는 공개하지 않으며, (d) CCPA에 따라 '서비스 공급자'가 허용되는 경우를 제외하고, '계약'에 따라 받은 '개인 정보'를 다른 당사자로부터 받은 '개인 정보' 또는 해당 '개인 정보'와 관련된 '소비자'와 Zoom 자체의 상호 작용과 결합하지 않습니다. Zoom은 이로써 본 '부록'에 따른 의무를 이해하고 이를 준수할 것임을 보증합니다.
- 감사, 검토, 평가. '고객'은 Zoom에서 요구하는 합리적인 요구 사항 및 서면 계약을 바탕으로, CCPA에 부합하는 방식으로, '고객'의 단독적인 비용 지출을 통해 위의 '섹션 A(2)(감사 및 평가)'에 따라 12개월에 한 번 이하로 Zoom에 대한 감사, 검토 또는 평가를 진행할 수 있습니다.
- 소비자 요청. '고객'은 '소비자' 요청을 받고 확인한 후 즉시 Zoom에 알리고 필요한 모든 정보를 Zoom에 제공해야 하며, Zoom은 '고객'이 CCPA에 따른 권리를 행사하기 위한 개인의 요청('개인 정보'에 대한 접근, 정정, 삭제, '판매'나 '공유' 거부 또는 정보 수신 요청이 포함되며 이에 국한되지 않음)을 이행할 수 있도록 '소비자'의 '개인 정보'와 관련하여 '고객'이 합리적으로 요청할 수 있는 조치 수행과 정보 제공을 신속하게 진행해야 합니다. Zoom이 '고객'의 '소비자'로부터 직접 요청을 받는 경우, Zoom은 (i) '소비자'에게 해당 요청에 대해 '고객'에게 직접 연락하도록 조언하거나 (ii) '소비자'에게 직접 응답할 수 있도록 '고객'에게 연락할 수 있습니다.
섹션 C – 버지니아, 콜로라도, 유타 및 기타 주. 본 '부록'의 '섹션 C'는 '고객'이 '개인 데이터'의 '통제자'이며 Zoom이 '해당 주 데이터 보호법'에 의거하여 '고객'의 '개인 데이터'를 '처리'하는 경우 Zoom의 '서비스' 제공 및 '고객'의 '서비스' 이용에 적용됩니다.
- 정의. 본 '부록'의 '섹션 C'에서 (a) '해당 주 데이터 보호법'은 (i) '2021년 콜로라도 개인정보 보호법', '2021년 버지니아 소비자 데이터 보호법' 또는 '2022년 유타 소비자 개인정보 보호법(개정)' 또는 (ii) '개인 데이터'를 보호할 목적으로 제정된 기타 적용 가능한 미국 주 법률('고객'이 '통제자'이고 Zoom이 '처리자'이며 본 '부록'의 약관이 이러한 주 법률의 요구 사항을 충족하는 경우)을 의미하며, (b) '통제자', '개인 데이터', '처리' 및 '처리자'는 '해당 주 데이터 보호법'에 명시된 각각의 의미를 가지고, (c) '지시'는 아래에 명시된 의미를 가집니다.
- 개인 데이터 처리: 역할, 범위 및 책임.
- 각 당사자는 '고객'이 '고객 개인 데이터'의 '통제자'이고, Zoom이 '고객 개인 데이터'의 '처리자'라는 것을 인정하며 이에 동의합니다.
- 필요하고 적절한 경우에 한해 '통제자'로서 '고객'은 Zoom에 '고객'을 대신하는 '처리자'로서 다음과 같은 활동을 수행하라는 지시를 내립니다(이하 총칭하여 '지시').
- '고객'의 Zoom 설정, 관리자 제어 또는 기타 '서비스' 기능 이용 등을 통해 '고객' 및 그 사용자가 라이선스를 받고 구성하고 이용한 대로 '서비스'를 제공하고 업데이트합니다.
- '서비스'를 보호하고 실시간으로 모니터링합니다.
- 문제, 버그 및 오류를 해결합니다.
- 해당 사실이 익명화된 경우에 한해, 개별 고객 지원 요청에서 알게 된 사실을 모든 Zoom 고객에게 이익을 주는 데 적용하는 것을 포함하여, '고객'이 요청한 지원을 제공합니다.
- 고객이 제공하고 Zoom이 지침으로 여길 수 있다고 인정하는 기타 문서화된 지침 및 계약(여기 본 부록 및 첨부 A)에 명시된 대로 고객 개인 데이터를 처리합니다.
- '고객'의 Zoom 설정, 관리자 제어 또는 기타 '서비스' 기능 이용 등을 통해 '고객' 및 그 사용자가 라이선스를 받고 구성하고 이용한 대로 '서비스'를 제공하고 업데이트합니다.
- Zoom이 '고객 개인 데이터'의 '처리자'로서 역할을 수행하는 범위 내에서, Zoom은 '고객'의 '지시'에 따라 '고객 개인 데이터'를 '처리'해야 합니다. '고객'은 Zoom에 대한 '지시'가 '고객 개인 데이터'에 적용되는 모든 법령, 규칙 및 규정에 부합하도록 해야 하며, '고객'의 '지시'에 따른 '고객 개인 데이터'의 '처리'가 Zoom이 '해당 주 데이터 보호법'을 위반하지 않도록 해야 합니다. '고객'은 (i) '고객' 또는 '고객'을 대신하여 Zoom에 제공된 '고객 개인 데이터', (ii) '고객'이 해당 '고객 개인 데이터'를 취득한 방법, (iii) 해당 '고객 개인 데이터'의 '처리'와 관련하여 Zoom에 제공한 '지시'의 정확성, 품질, 적법성에 대해 전적으로 책임을 집니다. '고객'은 '계약' 또는 본 '부록'을 위반하여 Zoom에 '고객 개인 데이터'를 제공해선 안 됩니다.
- '고객'은 한정적인 환경(예: '아동 성 학대 자료'를 감지 및 신고하려는 경우, 기타 적용 가능한 법률을 준수하려는 경우, Zoom의 '허용 가능한 사용 지침'을 준수하려는 경우)에 한하여 Zoom이 '개인 데이터'를 검사하고 보고하는 것을 허가합니다.
- 각 당사자는 '고객'이 '고객 개인 데이터'의 '통제자'이고, Zoom이 '고객 개인 데이터'의 '처리자'라는 것을 인정하며 이에 동의합니다.
- 승인된 사람. Zoom은 '고객 개인 데이터'를 '처리'하도록 승인된 모든 사람이 '고객 개인 데이터'의 기밀성을 인지하고 해당 데이터와 관련하여 기밀 유지 의무를 부담하도록 해야 합니다.
- 하청 업체 및 부처리자. Zoom이 '처리자'인 경우, '고객'은 이에 Zoom이 본 '섹션 C(4)'에 따라 하청 업체 및 부처리자를 참여시키는 것을 일반적으로 승인합니다.
- '고객'은 Zoom이 '고객'의 '개인 데이터'를 '처리'하는 데 https://www.zoom.com/en/trust/subprocessors/에 있는 업체를 이용하는 것을 승인합니다.
- Zoom은 업체를 제거, 교체 또는 추가로 임명할 수 있습니다. '고객'이 https://www.zoom.com/en/trust/subprocessors/의 업데이트를 구독하는 경우, Zoom은 이러한 업체 참여의 변경 사항을 '고객'에게 통지해야 합니다. '해당 주 데이터 보호법'에서 요구하는 경우, Zoom은 본 문서의 '섹션 C(4)(d)' 및 'C(4)(e)'에 따라 '고객'이 해당 참여에 이의를 제기할 수 있는 기회도 제공해야 합니다.
- '서비스'의 가용성 또는 보안 관련 긴급 상황이 발생한 경우 Zoom은 하청 업체의 제거, 교체 또는 지정에 대해 '고객'에게 사전 알림을 제공하지 않아도 되지만, 하청 업체 변경 이후 칠(7)일 이내(영업일 기준)에는 알림을 제공해야 합니다.
- 둘 중 어떠한 경우에도 '고객'은 Zoom으로부터 앞서 언급한 알림을 받은 이후 십오(15)일 이내(영업일 기준)에 서면으로 이러한 하청 업체 참여에 대한 이의 제기를 할 수 있습니다.
- '고객'이 새로운 하청 업체의 참여에 이의를 제기한 경우 Zoom은 다음 방법 중 하나를 통해 이의 제기를 해결할 수 있는 권리가 있습니다(Zoom의 단독 재량에 따라 선택).
- Zoom은 '고객 개인 데이터'와 관련하여 해당 하청 업체를 이용하려는 계획을 취소할 수 있습니다.
- Zoom은 '고객'이 이의 제기 시 요청한 시정 조치를 취하여 '고객'의 이의 제기를 해소한 후 '고객 개인 데이터'와 관련하여 해당 하청 업체 이용을 진행할 수 있습니다.
- '고객 개인 데이터'와 관련하여 해당 하청 업체의 이용을 필요로 하는 '서비스'의 특정 기능을 Zoom이 제공하지 않을 수 있고 또는 '고객'이 이를 이용하지 않기로 동의할 수 있습니다(일시적 또는 영구적). Zoom은 해당 참여의 상업적으로 합리적인 대안('서비스'의 변경을 포함하나 이에 국한되지 않음)이 있는 경우 '고객'에게 이에 대한 서면 설명을 제공해야 합니다. Zoom이 단독 재량으로 대안을 제공할 수 없거나, '고객'이 제공된 대안에 동의하지 않는 경우, Zoom과 '고객'은 본 '부록'을 포함한 '계약'을 육십(60)일 전 서면 통지 후 해지할 수 있습니다. 해지는 '계약'에 따라 해지 효력 발생일까지 제공된 '서비스'에 대해 '고객'이 Zoom에 수수료 또는 요금을 지급할 의무를 면제하지 않습니다.
- Zoom에서 통지를 낸 후 15일 이내(영업일 기준)에 '고객'이 새 하청 업체의 참여에 이의를 제기하지 않으면 해당 새 하청 업체는 수락된 것으로 간주됩니다.
- Zoom은 '고객 개인 데이터'와 관련하여 해당 하청 업체를 이용하려는 계획을 취소할 수 있습니다.
- Zoom은 '고객'의 '개인 데이터'를 '처리'하는 하청 업체를 서면 계약에 의해서만 참여시키며, 하청 업체가 해당 '개인 데이터'와 관련하여 하청 계약된 Zoom의 의무를 이행하도록 요구해야 합니다. 해당 하청 업체가 데이터 보호 의무를 이행하지 못할 경우, Zoom은 Zoom이 직접 그러한 행위나 누락을 했을 때 이 '부록'에 따라 책임을 지게 되는 동일한 범위로 '고객'에게 책임을 집니다.
- '고객'은 Zoom이 '고객'의 '개인 데이터'를 '처리'하는 데 https://www.zoom.com/en/trust/subprocessors/에 있는 업체를 이용하는 것을 승인합니다.
- 정보 보안. '처리' 상황을 고려하여 Zoom은 본 '부록'의 내용 및 '계약'에 달리 명시된 내용에 따라 위험에 적절한 보안 수준을 보장할 수 있도록 '고객 개인 데이터'와 관련하여 적절한 기술적 및 조직적 조치를 유지해야 합니다.
- 규정 준수 정보. '고객'의 합리적인 요청이 있을 경우 Zoom은 Zoom이 본 '부록'에 명시된 Zoom의 의무를 준수하고 있음을 증명하는 데 필요한 Zoom 소유의, 적용 가능한 법률에 맞는, 합리적인 정보를 '고객'에게 제공해야 합니다.
별지 A
처리 설명
통제자가 처리자에게
처리 성격 및 목적: Zoom은 '계약(본 '부록' 포함)'에 따라 다음 목적으로 '고객 개인 데이터'를 처리합니다.
- '고객'의 Zoom 설정, 관리자 제어 또는 기타 '서비스' 기능 이용 등을 통해 '고객' 및 그 사용자가 라이선스를 받고 구성하고 이용한 대로 '서비스'를 제공하고 업데이트합니다.
- '서비스'를 보호하고 실시간으로 모니터링합니다.
- 문제, 버그 및 오류를 해결합니다.
- 해당 사실이 익명화된 경우에 한해, 개별 고객 지원 요청에서 알게 된 사실을 모든 Zoom 고객에게 이익을 주는 데 적용하는 것을 포함하여, '고객'이 요청한 지원을 제공합니다.
- '계약' 및/또는 본 '부록', 또는 '고객'이 제공하고 Zoom이 지시로 여길 수 있다고 인정한 기타 문서화된 지시를 수행합니다.
- 법적 의무를 준수합니다.
처리할 개인 데이터의 유형:
Zoom 계정 프로필 정보: 최종 사용자의 Zoom 계정, 프로필 사진, 암호, 회사명 및 '고객'의 기본 설정과 관련된 데이터입니다. 여기에는 다음이 포함됩니다.
- Zoom 고유 사용자 ID,
- 프로필 사진(선택 사항)
진단 데이터:
회의 메타데이터: '서비스' 이용에 대한 메트릭(회의 진행 시점 및 방법 포함).
이 카테고리에는 다음이 포함됩니다.
- 이벤트 로그(취한 조치, 이벤트 유형 및 하위 유형, 앱 내 이벤트 위치, 타임스탬프, 클라이언트 UUID, 사용자 ID, 회의 ID 포함)
- 빈도, 평균 및 실제 지속 시간, 수량, 품질, 네트워크 활동, 네트워크 연결을 포함한 회의 세션 정보
- 회의의 횟수
- 화면 공유 세션 및 화면 공유 없는 세션의 횟수
- 참가자 수
- 회의 호스트 정보
- 호스트 이름
- 회의 사이트 URL
- 회의 시작/종료 시간
- 참가 방식
- 성과, 문제 해결 및 진단 정보
텔레메트리 데이터: 로컬 설치 소프트웨어에서 수집된 데이터(Zoom 서비스 배포에 대한 애플리케이션 및 브라우저 정보와 관련 시스템 환경/기술 정보). 여기에는 다음이 포함됩니다.
- PC 이름
- 마이크
- 스피커
- 카메라
- 도메인
- 하드 디스크 ID
- 네트워크 유형
- 운영 체제 유형 및 버전
- 클라이언트 버전
- MAC 주소
- 이벤트 로그(취한 조치, 이벤트 유형 및 하위 유형, 앱 내 이벤트 위치, 타임스탬프, 클라이언트 UUID, 사용자 ID, 회의 ID 포함)
- 서비스 로그(시스템 이벤트 및 상태 정보)
기타 서비스 생성 데이터:
- 스팸 식별
- 푸시 알림
- UUID 또는 사용자 ID와 같이 다른 데이터 요소와 결합된 Zoom의 영구적인 고유 식별자:
- IP 주소
- 데이터 센터
- PC 이름
- 마이크
- 스피커
- 카메라
- 도메인
- 하드 디스크 ID
- 네트워크 유형
- 운영 체제 유형 및 버전
- 클라이언트 버전
- 네트워크 경로에 따른 IP 주소
지원 데이터:
- 지원 요청자의 연락처 이름, 시간, 제목, 문제 설명, 회의 후 피드백(엄지 올리기/내리기)
- 녹화물, 대화 내용 또는 스크린샷, 회의 후 피드백(엄지 내리기를 받은 오픈 텍스트)을 포함한 사용자 제공 첨부 파일
처리 기간: '계약' 기간과 Zoom이 '고객'을 대신하여 처리한 모든 '고객 개인 데이터'를 삭제하거나 반환할 때까지의 기간을 더한 기간입니다.
업데이트
Zoom은 본 개인정보 보호 부록을 수시로 변경하거나 보완할 수 있습니다. 본 개인정보 보호 부록의 이러한 변경 사항은 이곳에 게시됩니다. 본 개인정보 보호 부록의 변경 또는 보완에 대한 알림을 받으시려면, 아래 칸에 이메일 주소를 입력해 주세요.