Tajo 사전 이용 신청

이름과 이메일 주소 또는 전화번호를 입력해 주세요. Tajo 이용 방법을 안내해 드립니다.

이 페이지에서

데이터 보호 및 개인정보 보호

이 문서는 Tajo가 판매자의 고객, 잠재 고객, 판매자 사이트 방문자의 개인정보를 어떻게 취급하는지 설명합니다. Tajo는 데이터 보호에 대한 약속을 통해 GDPR, CCPA를 비롯한 전 세계 개인정보 보호 규제를 준수합니다.

처리 목적과 데이터 최소화

판매자에게 가치를 제공하는 데 필요한 최소한의 개인정보만 처리하나요?

그렇습니다. Tajo는 다음을 수행하는 데 반드시 필요한 개인정보만 처리합니다:

마케팅 자동화를 위해 고객 정보를 Brevo와 동기화합니다
로열티 프로그램 기능이 동작하도록 지원합니다
고객의 주문과 인게이지먼트를 추적합니다
멀티채널 커뮤니케이션 기능을 제공합니다

개인정보란 특정 개인을 식별할 수 있는 정보(이름, 이메일 주소)나 특정 개인과 다시 연결될 수 있는 정보(주문 총액, 고객 ID)를 말합니다.

처리하는 개인정보와 그 처리 목적을 판매자에게 알리나요?

그렇습니다. Tajo는 다음을 통해 완전한 투명성을 제공합니다:

처리되는 모든 데이터 범주를 명확하게 정의한 데이터 처리 계약(DPA)을 제공합니다
Brevo로 동기화되는 데이터가 무엇인지 정확히 명시한 문서를 제공합니다
전송되는 모든 데이터 필드를 보여 주는 명확한 API 문서를 제공합니다
데이터 동기화 활동을 실시간으로 확인할 수 있게 합니다

개인정보의 사용을 해당 목적으로만 제한하나요?

그렇습니다. Tajo는 개인정보를 오직 다음 용도로만 엄격하게 사용합니다:

이용약관에 명시된 핵심 플랫폼 서비스를 제공하는 데 사용합니다
마케팅 자동화를 위해 고객 데이터를 Brevo와 동기화하는 데 사용합니다
로열티 프로그램과 고객 인게이지먼트 기능을 운영하는 데 사용합니다
판매자를 위한 분석과 인사이트를 생성하는 데 사용합니다

명시적으로 밝히고 합의한 목적을 벗어나서는 고객 데이터를 사용하지 않습니다.

동의와 법적 근거

판매자와 개인정보 보호 및 데이터 보호 계약을 체결하나요?

그렇습니다. 모든 판매자는 다음 문서에 동의해야 합니다:

이용약관 - Tajo 플랫폼의 사용 방식을 규율합니다
데이터 처리 계약(DPA) - 데이터 프로세서로서 Tajo가 맡는 역할을 정의합니다
개인정보 처리방침 - Tajo가 데이터를 취급하는 방식을 설명합니다

이 계약들은 다음 사항을 규정합니다:

Tajo는 판매자의 고객 데이터에 대해 프로세서(처리자) 로 활동합니다
판매자는 컨트롤러(관리자) 로 활동하며 적법한 동의를 확보할 책임을 집니다
데이터 보호에 관한 양측의 의무를 명확하게 규정합니다

고객의 동의 결정을 존중하고 반영하나요?

그렇습니다. Tajo는 다음을 통해 고객의 동의를 존중합니다:

Brevo에서 발생한 수신 거부 요청을 자동으로 처리합니다
동의 설정을 실시간으로 동기화합니다
수신을 거부한 고객에게는 커뮤니케이션 발송을 차단합니다
이메일, SMS, WhatsApp 등 모든 채널에서 고객의 설정을 준수합니다

고객이 수신을 거부하거나 동의를 철회하면 Tajo는 즉시 다음을 수행합니다:

변경된 설정을 Brevo로 동기화합니다
이후의 마케팅 커뮤니케이션 발송을 차단합니다
동의 변경 이력을 감사 로그로 남깁니다

개인정보 판매를 거부하는 고객의 결정을 존중하고 반영하나요?

그렇습니다. Tajo는 어떠한 경우에도 고객 데이터를 판매하지 않습니다. Tajo는 다음 원칙을 지킵니다:

상업적 목적으로 개인정보를 제3자와 공유하지 않습니다
핵심 플랫폼 기능의 일부로서만 데이터를 Brevo로 전송합니다
CCPA의 “Do Not Sell My Personal Information” 요건을 준수합니다
데이터 판매가 이루어지지 않는다는 사실을 명확하게 고지합니다

개인정보를 자동화된 의사결정에 사용하고 그 결정이 법적 효과나 중대한 영향을 미칠 수 있는 경우, 고객이 이를 거부할 수 있나요?

해당 없음. Tajo는 개인에게 법적 효과나 그에 준하는 중대한 영향을 미치는 자동화된 의사결정을 수행하지 않습니다. 플랫폼이 제공하는 기능은 다음과 같습니다:

마케팅 자동화 기능을 제공하며, 고객은 이를 전면적으로 거부할 수 있습니다
로열티 프로그램 관리 기능을 제공하며, 판매자가 이를 직접 제어합니다
고객 세분화 기능을 제공하며, 이는 판매자만 사용합니다

이 활동들은 GDPR 제22조가 정의하는 법적 또는 중대한 영향을 수반하는 자동화된 의사결정에 해당하지 않습니다.

저장과 보안

개인정보가 필요 이상으로 오래 보관되지 않도록 보관 기간을 정해 두고 있나요?

그렇습니다. Tajo는 명확한 데이터 보관 정책을 시행합니다:

활성 고객 데이터:

판매자 계정이 활성 상태인 동안 데이터를 보관합니다
지속적인 동기화와 플랫폼 기능 제공에 데이터를 사용합니다
판매자는 Tajo 인터페이스에서 언제든지 고객 데이터를 삭제할 수 있습니다

계정 해지:

모든 고객 데이터는 계정 해지 후 90일 이내에 삭제됩니다
판매자는 해지 시점에 즉시 데이터 삭제를 요청할 수 있습니다
백업 데이터는 백업 보관 일정(30일)에 따라 파기됩니다

법정 보관:

거래 기록은 법률이 요구하는 경우 더 오래 보관될 수 있습니다 (예: 세무 기록)
법적 준수 목적에 한해 최소한의 데이터만 보관합니다

판매자는 다음 사항에 대한 책임을 집니다:

자체 데이터 처리 활동의 보관 기간을 직접 관리합니다
더 이상 필요하지 않은 고객 데이터를 삭제합니다
해당 관할권에 적용되는 데이터 보호 법령을 준수합니다

저장 중인 데이터와 전송 중인 데이터를 암호화하나요?

그렇습니다. Tajo는 업계 표준 암호화를 적용합니다:

전송 중:

모든 데이터 전송에 TLS 1.3을 적용합니다
모든 웹 트래픽에 HTTPS를 강제로 적용합니다
Brevo와의 API 연결을 암호화합니다
모바일 애플리케이션에 인증서 피닝을 적용합니다

저장 중:

데이터베이스 저장에 AES-256 암호화를 적용합니다
백업 데이터를 암호화합니다
업로드된 문서는 암호화된 파일 저장소에 보관합니다
민감한 필드(예: API 키)에 데이터베이스 수준 암호화를 적용합니다

데이터 백업을 암호화하나요?

그렇습니다. 모든 백업 데이터를 암호화합니다:

매일 자동으로 실행되는 백업을 AES-256으로 암호화합니다
백업 파일은 저장 시점에 암호화된 상태로 보관합니다
백업 암호화 키를 안전하게 관리합니다
무결성을 확인하기 위해 정기적으로 백업 복원 테스트를 수행합니다

테스트 데이터와 운영 데이터를 분리하나요?

그렇습니다. Tajo는 엄격한 분리 원칙을 유지합니다:

운영 환경과 개발 및 테스트 환경을 완전히 분리해 운영합니다
테스트 환경에서는 운영 데이터를 사용하지 않습니다
테스트 데이터는 익명화된 합성 데이터로 생성합니다
데이터베이스, 서버, 접근 통제를 각각 분리합니다
환경마다 서로 다른 API 키와 자격 증명을 사용합니다

데이터 유실 방지 전략이 있나요?

그렇습니다. Tajo는 종합적인 데이터 유실 방지 체계를 운영합니다:

예방 조치:

24시간마다 자동으로 백업을 수행합니다
데이터베이스를 실시간으로 복제합니다
여러 가용 영역에 걸쳐 저장소를 이중화합니다
버전 관리와 변경 이력 추적을 적용합니다

탐지:

데이터 무결성을 자동으로 모니터링합니다
비정상적인 데이터 접근 패턴을 이상 탐지로 확인합니다
정기적으로 보안 감사와 모의 침투 테스트를 실시합니다
데이터 유출이 의심되면 자동으로 알림을 발송합니다

복구:

특정 시점으로 되돌리는 복구 기능을 제공합니다
재해 복구 절차를 문서로 갖추고 있습니다
정기적으로 재해 복구 훈련을 실시합니다
RTO(목표 복구 시간)는 4시간입니다
RPO(목표 복구 시점)는 24시간입니다

접근 통제

직원의 고객 개인정보 접근을 제한하나요?

그렇습니다. 고객 데이터에 대한 접근은 엄격하게 통제합니다:

접근 원칙:

최소 권한 원칙을 적용합니다
역할 기반 접근 통제(RBAC)를 적용합니다
업무상 알 필요가 있는 경우에만 접근을 허용합니다
접근 권한을 분기마다 정기적으로 검토합니다

접근 수준:

접근 없음: 대부분의 직원은 운영 환경의 고객 데이터에 접근할 수 없습니다
읽기 전용: 지원 담당자는 문제 해결을 위해 제한적이고 감사되는 읽기 권한만 가집니다
관리자: 데이터베이스 관리자는 상위 권한을 가지며 모든 활동이 상세히 기록됩니다
긴급: 중대한 사고에 한해 비상 접근(break-glass) 절차를 사용합니다

통제 수단:

모든 직원에게 다중 인증(MFA)을 필수로 적용합니다
원격 접속에는 VPN 사용을 의무화합니다
관리자 접근에는 IP 허용 목록을 적용합니다
세션 만료와 자동 잠금을 적용합니다

직원 비밀번호에 강력한 요건을 적용하나요?

그렇습니다. Tajo는 엔터프라이즈급 비밀번호 정책을 적용합니다:

요건:

비밀번호는 최소 16자 이상이어야 합니다
대문자, 소문자, 숫자, 특수문자를 모두 포함해야 합니다
최근 12개 비밀번호는 다시 사용할 수 없습니다
비밀번호는 90일마다 만료됩니다
인증에 5회 실패하면 계정이 잠깁니다

보안 강화:

모든 직원에게 다중 인증(MFA)을 의무적으로 적용합니다
기업 ID 공급자와 싱글 사인온(SSO)을 연동합니다
생체 인증을 지원합니다
전 직원에게 비밀번호 관리자 사용을 의무화합니다
정기적으로 보안 인식 교육을 실시합니다

개인정보 접근 기록을 남기나요?

그렇습니다. 종합적인 감사 로그를 유지합니다:

기록되는 활동:

고객 데이터에 접근하는 모든 데이터베이스 쿼리를 기록합니다
고객 정보가 포함된 Brevo API 호출을 기록합니다
운영 시스템에 대한 관리자 접근을 기록합니다
데이터 내보내기와 대량 작업을 기록합니다
설정 변경 내역을 기록합니다
인증에 실패한 시도를 기록합니다

로그에 포함되는 정보:

접근이 발생한 시각
접근한 사용자의 신원
접근에 사용된 IP 주소와 위치
수행한 작업의 내용
접근한 데이터의 레코드 ID
작업의 성공 또는 실패 여부

로그 관리:

로그는 최소 1년 이상 보관합니다
로그 저장소를 암호화합니다
위변조를 방지하는 로깅 시스템을 사용합니다
로그를 정기적으로 검토합니다
실시간 모니터링을 위해 SIEM과 연동합니다
의심스러운 활동이 감지되면 자동으로 알림을 발송합니다

보안 사고 대응 정책이 있나요?

그렇습니다. Tajo는 종합적인 보안 사고 대응 계획을 운영합니다:

탐지와 평가:

연중무휴 24시간 보안 모니터링을 수행합니다
위협을 자동으로 탐지합니다
사고의 심각도를 분류합니다
1시간 이내에 초기 평가를 완료합니다

대응 팀:

전담 보안 사고 대응 팀을 운영합니다
명확한 에스컬레이션 절차를 갖추고 있습니다
역할과 책임을 명시해 두고 있습니다
외부 보안 전문가와 상시 자문 계약을 맺고 있습니다

대응 절차:

격리: 영향을 받은 시스템을 즉시 분리합니다
조사: 포렌식 분석으로 사고의 범위와 원인을 규명합니다
제거: 위협을 제거하고 취약점을 차단합니다
복구: 시스템을 복원하고 보안 상태를 확인합니다
통지: 법령이 요구하는 바에 따라 영향을 받은 당사자에게 통지합니다
사후 검토: 배운 점을 문서로 남기고 프로세스를 개선합니다

통지 기한:

데이터 유출이 확인되면 72시간 이내에 판매자에게 통지합니다
관련 법령이 요구하는 바에 따라 규제 당국에 통지합니다 (예: GDPR의 72시간 요건)
개인의 권리에 높은 위험이 발생하는 경우 해당 개인에게 통지합니다

문서화:

모든 사고를 상세하게 문서로 남깁니다
연간 보안 사고 보고서를 발행합니다
정기적으로 교육과 도상 훈련을 실시합니다
대응 절차를 지속적으로 개선합니다

데이터 처리 계약(DPA)

Tajo는 GDPR 제28조의 요건을 충족하는 종합적인 데이터 처리 계약에 따라 운영됩니다. 주요 내용은 다음과 같습니다:

역할과 책임

Tajo는 프로세서로 활동합니다 판매자의 고객 데이터를 처리하는 역할을 맡습니다
판매자는 컨트롤러로 활동합니다 판매자는 다음 사항에 대한 책임을 집니다:
- 고객으로부터 적법한 동의를 확보합니다
- 개인정보 처리 사실을 고객에게 고지합니다
- 정보주체의 권리 행사 요청을 처리합니다
- 처리의 목적과 수단을 결정합니다

처리 세부 사항

목적: Tajo 플랫폼 서비스를 제공하기 위한 것이며, 구체적으로 다음을 포함합니다:

고객 데이터를 Brevo와 동기화합니다
로열티 프로그램을 관리합니다
멀티채널 마케팅을 자동화합니다
분석과 리포팅을 제공합니다

데이터 범주:

연락처 정보 (이름, 이메일, 전화번호)
주문 이력과 거래 데이터
고객의 설정과 동의 상태
행동 데이터 (클릭, 오픈, 인게이지먼트)
로열티 프로그램 데이터 (포인트, 등급, 리워드)

정보주체:

판매자의 고객
웹사이트 방문자
뉴스레터 구독자
로열티 프로그램 회원

하위 처리자

Tajo는 다음 하위 처리자를 이용합니다:

하위 처리자	서비스	위치	보호 조치
Brevo	이메일/SMS/WhatsApp 플랫폼	프랑스 (EU)	GDPR 준수, 표준계약조항
AWS	클라우드 인프라	EU 리전	GDPR 준수, EU-US 데이터 프라이버시 프레임워크
Cloudflare	CDN 및 보안	전 세계	표준계약조항, 데이터 현지화

변경 통지:

새로운 하위 처리자를 이용하기 30일 전에 판매자에게 통지합니다
판매자는 새로운 하위 처리자에 대해 이의를 제기할 수 있습니다
이의가 정당한 경우 대체 방안이나 계약 해지권을 제공합니다

정보주체의 권리

Tajo는 판매자가 정보주체의 권리를 이행할 수 있도록 지원합니다:

지원되는 권리:

개인정보 열람권을 지원합니다
개인정보 정정권을 지원합니다
삭제권(“잊힐 권리”)을 지원합니다
데이터 이동권을 지원합니다
처리에 대한 반대권을 지원합니다
처리 제한권을 지원합니다

요청 처리:

판매자는 언제든지 고객 데이터를 내보낼 수 있습니다
Tajo 인터페이스에서 고객 데이터를 삭제할 수 있습니다
자동화된 데이터 관리를 위한 API 엔드포인트를 제공합니다
정보주체의 요청에는 영업일 기준 5일 이내에 응답합니다

보안 조치

전체 보안 조치는 DPA 부속서 4에서 확인할 수 있으며, 다음 항목을 포함합니다:

물리적 접근 통제와 논리적 접근 통제를 적용합니다
저장 중인 데이터와 전송 중인 데이터를 암호화합니다
보안 모니터링과 사고 대응 체계를 운영합니다
정기적으로 보안 감사와 모의 침투 테스트를 실시합니다
직원 교육과 신원 조회를 실시합니다

국가 간 데이터 이전

EU 데이터 보호:

주요 데이터는 EU(벨기에, 프랑스)에 저장합니다
EU 역외로 이전하는 경우에는 표준계약조항을 적용합니다
암호화와 접근 통제를 포함한 보완 조치를 함께 적용합니다
해당되는 경우 EU-US 데이터 프라이버시 프레임워크 인증을 취득합니다

CCPA 준수:

서비스 제공자로서의 관계를 명확하게 정의합니다
개인정보를 판매하거나 공유하지 않습니다
캘리포니아 주민의 프라이버시 권리를 준수합니다
서명된 데이터 처리 계약을 체결합니다

감사 권한

판매자는 다음과 같은 권리를 가집니다:

Tajo의 컴플라이언스를 입증하는 문서를 요청할 수 있습니다
보안 인증과 감사 보고서를 검토할 수 있습니다
합리적인 사전 통지를 거쳐 연 1회까지 감사를 수행할 수 있습니다
SOC 2 보고서를 포함한 보안 문서를 받아 볼 수 있습니다

규제 준수

준수 상태: 완전 준수

주요 사항:

모든 처리 활동에 대해 유효한 법적 근거를 확보하고 있습니다
모든 판매자와 데이터 처리 계약을 체결합니다
개인정보 영향평가(DPIA)를 완료했습니다
데이터 보호 책임자를 지정했습니다: [email protected]
유출 통지 절차를 갖추고 있습니다 (72시간)
처리 활동에 관한 기록을 유지합니다
설계 단계와 기본 설정에 의한 개인정보 보호 원칙을 적용합니다

CCPA (캘리포니아 소비자 프라이버시법)

준수 상태: 완전 준수

주요 사항:

서비스 제공자 관계를 유지하며 데이터를 판매하지 않습니다
열람, 삭제, 거부 등 소비자의 권리를 지원합니다
개인정보 처리방침을 통해 필요한 사항을 고지합니다
“Do Not Sell My Personal Information” 요청을 이행합니다
직원을 대상으로 연간 데이터 보호 교육을 실시합니다
판매자와의 계약상 의무를 이행합니다

NIS 2 지침

적용 여부: 해당되는 경우 준수

사이버 보안 조치:

위험 관리 체계를 구축해 운영합니다
CSIRT에 보안 사고를 보고합니다
공급망 보안 요건을 적용합니다
정기적으로 보안 평가를 실시합니다
사업 연속성 계획과 재해 복구 계획을 갖추고 있습니다

DORA (디지털 운영 복원력법)

적용 여부: Tajo를 사용하는 금융기관을 위한 준비를 마쳤습니다

준수 기능:

ICT 위험 관리 체계를 갖추고 있습니다
사고 보고 절차를 갖추고 있습니다
디지털 운영 복원력 테스트를 실시합니다
제3자 위험을 관리합니다
규제 기관의 접근 권한과 감사 권한을 보장합니다

참고: DORA 규정은 규제 대상 금융기관에만 적용됩니다. DORA의 적용을 받는 금융기관이라면 구체적인 컴플라이언스 문서를 받기 위해 엔터프라이즈 팀에 문의하세요.

문의와 지원

데이터 보호 책임자

이메일: [email protected] 역할: 데이터 보호 컴플라이언스 전반을 감독합니다

보안 팀

이메일: [email protected] 역할: 보안 사고와 관련 문의를 처리합니다

판매자 지원

이메일: [email protected] 웹사이트: https://tajo.io/support 역할: 플랫폼 전반의 지원과 도움을 제공합니다

보안 취약점 신고

이메일: [email protected] PGP 키: https://tajo.io/security.txt 에서 확인할 수 있습니다

Tajo는 보안 취약점의 책임 있는 공개를 환영하며, 요건을 충족하는 신고에 대해 버그 바운티 프로그램을 운영합니다.

추가 자료

문서 버전

버전: 1.0 최종 업데이트: 2025년 1월 다음 검토: 2025년 7월

이 문서는 변화하는 데이터 보호 규제와 업계 모범 사례를 지속적으로 준수하기 위해 정기적으로 검토하고 업데이트합니다.