본 SpaceX Super Intelligence 파트너 데이터 처리 계약("파트너 DPA")은 텍사스 법인인 Anysphere, Inc.("Anysphere")와 해당 계약을 수락한 법인("파트너") 간에 체결된 SpaceX Super Intelligence Partner Network 계약("파트너 계약")의 일부를 구성합니다. 본 파트너 DPA는 파트너 계약 제12.2조(데이터 처리 계약)에서 언급하는 파트너 데이터 처리 계약으로서, 파트너 프로그램과 관련하여 각 당사자가 상대방으로부터 제공받는 개인정보의 처리를 규율합니다. 본 파트너 DPA는 파트너 계약의 부속서(Addendum)이며, Partner Portal을 통해 관리됩니다. 파트너 계약은 https://cursor.com/terms/spn(또는 Anysphere가 지정하는 후속 URL) 및 Partner Portal에서 확인할 수 있습니다.

파트너는 파트너 계약을 수락하거나, Partner Portal에서 클릭하여 본 파트너 DPA를 수락하거나, 기타 본 파트너 DPA를 제시받거나 이에 대한 접근 권한을 부여받은 후 파트너 프로그램에 참여함으로써 본 파트너 DPA를 수락합니다. 파트너를 대신하여 본 파트너 DPA를 수락하는 개인은 자신에게 파트너 및 파트너 계약 제2.3조에 따라 파트너 프로그램 참여를 승인받은 파트너 계열사를 구속할 권한이 있음을 진술합니다.

1. 정의.

   1. 해석. 본 파트너 DPA에서 사용되었으나 별도로 정의되지 않은 대문자 용어는 파트너 계약에서 정한 의미를 가집니다. "컨트롤러", "처리자", "정보주체", "처리"(및 "처리하다"), "사업자", "서비스 제공업체", "계약자", "타사", "판매", "공유" 및 "감독 기관"이라는 용어는 관련 개인정보 보호 법률에서 정한 의미를 가지며, 해당 법률에서 사용되는 동등한 용어를 모두 포함합니다.

   2. 용어의 정의. 본 파트너 DPA에서 사용하는 용어의 정의는 다음과 같습니다.

      “규정 준수 심사 데이터”란 Anysphere가 파트너의 파트너 프로그램 참여 자격 및 지속적인 참여 여부를 평가하기 위해 수집하는 개인정보로서, 파트너의 소유주, 임원, 이사, 직원 또는 대리인과 관련된 것을 의미합니다. 여기에는 현재 또는 과거의 정부 재직 또는 정부와의 관계, Anysphere 또는 그 직원과의 고용 또는 사업 관계, 제재 대상 및 거래 제한 당사자 해당 여부, 그리고 부패 방지, 자금 세탁 방지, 제재 또는 수출 통제 관련 법률과 관련된 모든 위반, 자진 신고, 조사, 문의, 혐의 또는 집행 조치에 관한 정보가 포함됩니다.

      “개인정보 보호법”이란 일방 당사자의 프로그램 개인정보 처리에 적용되는 프라이버시, 개인정보 보호, 데이터 보안 또는 전자적 마케팅 관련 모든 법률 및 규정을 의미하며, 해당하는 경우 다음을 포함합니다. (a) EU 일반 개인정보 보호 규정 2016/679(“GDPR”) 및 전자 프라이버시 지침 2002/58/EC와 이를 시행하는 각국의 국내법, (b) 영국 법률의 일부로 편입된 GDPR(“UK GDPR”), 2018년 영국 개인정보 보호법 및 2003년 개인정보 및 전자통신 규정, (c) 스위스 연방 개인정보 보호법(“FADP”), (d) 미국 주 개인정보 보호법, (e) 캐나다 개인정보 보호 및 전자문서법과 캐나다 스팸 방지법, (f) 1988년 호주 개인정보 보호법 및 2003년 스팸법, (g) 2012년 싱가포르 개인정보 보호법, (h) 일본 개인정보 보호에 관한 법률, (i) 2023년 인도 디지털 개인정보 보호법, (j) 브라질 개인정보 보호 일반법(Lei Geral de Proteção de Dados). 각 법률은 수시로 개정, 대체 또는 보완된 내용을 포함합니다.

      “공개 당사자”란 상대방 당사자에게 프로그램 개인정보를 제공하거나 사용 가능하도록 하는 당사자(그 계열사 및 그를 대리하여 행위하는 모든 자를 포함)를 의미하며, “수령 당사자”란 이를 수령하는 당사자(그 계열사를 포함)를 의미합니다.

      “파트너 제공 데이터”란 파트너, 그 계열사 또는 이들을 대리하여 행위하는 자가 Anysphere 또는 그 계열사에 제공하거나 이용할 수 있도록 하는 프로그램 개인정보를 의미합니다.

      “개인정보”란 식별되었거나 식별 가능한 자연인과 관련된 모든 정보를 말하며, 개인정보 보호 관련 법률에 따라 “개인 데이터(personal data)”, “개인정보(personal information)” 또는 이와 유사한 용어로 정의된 기타 모든 정보를 포함합니다.

      “개인정보 침해”란 프로그램 개인정보가 수령 당사자 또는 수령 당사자를 대신하여 이를 처리하는 사람의 소유, 보관 또는 제어하에 있는 동안 발생한 보안 침해로서, 해당 프로그램 개인정보의 우발적 또는 불법적인 파기, 분실, 변경, 무단 공개 또는 무단 접근을 초래하는 것을 의미합니다.

      “프로그램 개인정보”란 공개 당사자가 파트너 프로그램과 관련하여 Partner Portal, 파트너 프로그램 폼, 거래 등록 제출, 계정 매핑 도구, 공유 협업 채널, 이메일, 회의 또는 기타 방법을 통해 수령 당사자에게 제공하거나 이용할 수 있도록 하는 개인정보를 의미하며, 제2.2조에 기술된 데이터 및 활동은 제외합니다.

      “제한된 이전(Restricted Transfer)”이란 GDPR, UK GDPR 또는 FADP의 적용을 받는 프로그램 개인정보를 관할 당국이 개인정보에 대해 적정한 수준의 보호를 제공한다고 인정하지 않은 국가 또는 지역으로 이전하는 것으로서, 다른 적법한 이전 메커니즘이 적용되지 않는 경우를 말합니다.

      “SCCs”는 2021년 6월 4일자 유럽연합 집행위원회 시행결정(EU) 2021/914에 첨부된 표준계약조항(수시로 개정 또는 대체되는 경우 그 개정 또는 대체된 조항을 포함함)을 의미하며, “Module One” 및 “Module Two”는 각각 SCCs의 컨트롤러 간(controller-to-controller) 모듈 및 컨트롤러-처리자 간(controller-to-processor) 모듈을 의미합니다.

      “민감한 데이터”란 다음을 의미합니다. (a) 개인정보 보호 법률상 특수 범주의 개인정보, 민감한 개인 데이터 또는 민감한 개인정보(인종 또는 민족적 출신, 정치적 견해, 종교적 또는 철학적 신념, 노동조합 가입 여부를 드러내는 데이터, 유전·생체·건강 데이터, 개인의 성생활 또는 성적 지향에 관한 데이터를 포함), (b) 범죄 경력, 범죄 행위 또는 범죄 혐의와 관련된 개인정보, (c) 사회보장번호, 납세자 식별 번호, 여권 번호, 운전면허 번호를 포함한 정부 발급 식별자, (d) 금융 계정, 은행 계좌 또는 결제 카드 번호, (e) 정밀한 위치 정보, (f) 계정 비밀번호 및 기타 인증 정보, (g) 아동의 개인정보.

      “Anysphere 제공 데이터”란 Anysphere, 그 계열사 또는 이들을 대리하여 행위하는 자가 파트너 또는 그 계열사에 제공하거나 이용할 수 있도록 하는 프로그램 개인정보를 말합니다.

      “SpaceXSI 개인정보 처리방침”이란 https://cursor.com/privacy(또는 Anysphere가 지정하는 후속 URL)에 게시된 Anysphere의 개인정보 처리방침(수시로 업데이트되는 내용 포함)을 의미합니다.

      “영국 부록”이란 영국 정보위원회(UK Information Commissioner)가 발행한 EU 집행위원회 표준계약조항(Standard Contractual Clauses)에 대한 국제 데이터 이전 부록(International Data Transfer Addendum)(버전 B.1.0)을 말하며, 수시로 개정되거나 대체되는 경우 그 개정 또는 대체된 내용을 포함합니다.

      “미국 주 개인정보 보호법”이란 2020년 California Privacy Rights Act로 개정된 2018년 California Consumer Privacy Act 및 그 시행 규정(“CCPA”)과 그 밖의 모든 포괄적인 미국 주 소비자 개인정보 보호법을 말하며, 각 경우 수시로 시행되는 바에 따릅니다.

2. 작업 범위 정의.

   1. 적용. 본 파트너 DPA는 각 당사자가 상대방으로부터 받은 프로그램 개인정보를 처리하는 경우에 적용됩니다. 프로그램 개인정보는 일반적으로 부속서 1(처리에 대한 설명)에 기술된 파트너 프로그램 활동에서 발생하며, 해당 활동은 프로그램 규칙을 통해 수시로 업데이트될 수 있습니다.

   2. 적용 제외. 본 파트너 DPA는 다음 각 호에 적용되지 않으며, 프로그램 개인정보에는 다음 각 호가 포함되지 않습니다.

      1. 파트너의 서비스 사용. 파트너(또는 그 계열사)가 고객으로서 서비스를 구매, 접근 또는 사용하는 것과 관련하여 처리되는 개인정보(기업 플랜, 평가 라이선스, 샌드박스 또는 재판매 불가 접근에 따른 경우를 포함함). 이러한 개인정보에는 기본 서비스 계약 또는 기타 해당 고객 약관, https://cursor.com/terms/dpa에서 확인할 수 있는 개인정보 처리 부속 약정, 그리고 해당 이용 약관이 적용됩니다.

      2. 파트너 서비스 및 고객 데이터. 고객 데이터, 그리고 파트너가 파트너 서비스를 수행하면서 고객을 위해 또는 고객과의 계약에 따라 처리하는 기타 개인정보. 이러한 개인정보에는 파트너와 해당 고객 간의 계약만이 적용됩니다. 파트너가 고객에게 파트너 서비스를 제공하고 Anysphere가 동일한 고객에게 서비스를 제공하는 경우, 각 당사자는 해당 고객과 체결한 각자의 계약에 따라 그 고객의 개인정보를 처리하며, 어느 당사자도 상대방의 처리자 또는 하위 처리자의 지위를 갖지 않습니다.

      3. 마켓플레이스 활동. 플러그인 또는 파트너의 마켓플레이스 참여와 관련하여 처리되는 개인정보(SpaceXSI 마켓플레이스 약관에서 "플러그인 데이터" 또는 "사용자 콘텐츠"로 정의된 데이터를 포함함). 이러한 개인정보에는 SpaceXSI 마켓플레이스 약관이 적용됩니다.

      4. 별도 계약. 파트너에게 서비스의 재판매, 배포 또는 하도급을 허용하는 별도의 서면 계약, 또는 자체 개인정보 보호 조항을 포함하는 당사자 간의 기타 별도 계약에 따라 처리되는 개인정보(해당 계약의 범위 내에 한함).

      5. 독립적으로 수집된 데이터. 일방 당사자가 상대방으로부터 제공받지 않고 독립적으로 수집한 개인정보(동일한 개인 또는 조직과 관련된 경우에도 해당하며, Anysphere가 고객 또는 잠재 고객으로부터 직접 수집한 개인정보를 포함함).

   3. 제12.1조와의 관계. 본 파트너 DPA는 파트너 계약 제12.1조(고지 및 동의)에 따른 파트너의 의무를 보완하며, 이를 제한하지 않습니다.

3. 당사자의 역할.

   1. 독립적 컨트롤러. 제8조(처리자 약정)에 규정된 경우를 제외하고, 각 당사자는 상대방 당사자로부터 받은 프로그램 개인정보와 관련하여 독립적 컨트롤러(미국 주 개인정보 보호법이 적용되는 경우에는 사업자 또는 타사)로서의 지위를 가집니다. 각 당사자는 자체 처리의 목적과 수단을 독립적으로 결정합니다. 양 당사자는 공동 컨트롤러가 아니며, 어느 당사자도 상대방을 대신하여 프로그램 개인정보를 처리하지 않습니다.

   2. 각 당사자의 자체 규정 준수. 각 당사자는 프로그램 개인정보 처리와 관련하여 개인정보 보호법을 스스로 준수할 책임이 있습니다. 여기에는 고지 제공, 적법한 근거 마련, 정보주체 요청에 대한 대응, 처리 기록 유지, 감독 기관에 대한 의무 이행 등이 포함됩니다. 어느 당사자도 상대방 당사자가 개인정보 보호법을 위반하게 되는 방식으로 프로그램 개인정보를 고의로 처리해서는 안 됩니다.

4. 프로그램 개인정보 공개.

   1. 적법한 공개. 각 공개 당사자는 자신의 프로그램 개인정보 수집 및 수령 당사자에 대한 해당 데이터 공개가 개인정보 보호법을 준수하도록 보장해야 합니다. 파트너 계약 제12.1조(고지 및 동의)를 제한하지 않는 범위에서, 파트너는 모든 파트너 제공 데이터에 대해 다음 각 호를 위하여 개인정보 보호법상 요구되는 모든 고지를 제공하고, 모든 동의를 획득하였으며, 모든 적법한 근거를 마련하였음을 진술하고 보증합니다. (a) 파트너가 해당 데이터를 Anysphere에 공개하는 것, (b) Anysphere가 제5.1(a)조에 기술된 목적(관련 고객 또는 잠재 고객에게 서비스에 관해 연락하고 해당 고객과 파트너의 협력 관계를 확인하는 것을 포함)을 위해 해당 데이터를 처리하는 것.

   2. 고객 및 잠재 고객에 대한 고지. 적용 법률에서 요구하는 경우, 파트너는 딜 등록을 제출하거나 그 밖의 방식으로 고객 또는 잠재 고객 소속 인원의 개인정보를 Anysphere에 공개하기 전에, 관련 개인에게 다음 사항을 고지해야 합니다(또는 고지되었음을 보장해야 합니다). 즉, 파트너가 해당 개인의 연락처 및 영업 기회 정보를 Anysphere와 공유할 수 있다는 점, Anysphere가 SpaceXSI 개인정보 처리방침에 기술된 대로 해당 정보를 사용할 수 있다는 점, 고객 또는 잠재 고객이 Anysphere로부터 구매하는 경우 파트너가 파트너 프로그램 혜택을 받을 수 있다는 점입니다. 파트너는 자신의 개인정보가 Anysphere와 공유되는 것에 이의를 제기하거나 이를 거부한 개인의 개인정보를 Anysphere에 공개해서는 안 됩니다.

   3. 파트너 인원에 대한 고지. 파트너는 파트너가 Anysphere에 개인정보를 제공하는 파트너 및 그 계열사의 직원, 계약자, 소유주, 임원 및 이사(Partner Portal 사용자 및 관리자, 인증 취득을 진행 중인 개인, 공유 협업 채널의 멤버, 규정 준수 심사 데이터에서 식별된 개인 포함)에게 Anysphere가 본 파트너 DPA 및 SpaceXSI 개인정보 처리방침에 기술된 대로 그들의 개인정보를 처리한다는 사실을 고지해야 하며, 이를 위해 SpaceXSI 개인정보 처리방침을 그들이 열람할 수 있도록 해야 합니다.

   4. 데이터 최소화 및 민감한 데이터. 각 공개 당사자는 관련 파트너 프로그램 목적에 합리적으로 필요한 프로그램 개인정보만 공개해야 합니다. 파트너는 다음의 경우를 제외하고 민감한 데이터를 Anysphere에 제공해서는 안 됩니다. (a) Anysphere가 Partner Portal 폼, 프로그램 규칙 또는 기타 서면 요청을 통해 요청하는 경우(예: 요금 지급에 필요한 지급 라우팅 및 세금 정보, 또는 규정 준수 심사 데이터), (b) 그 밖에 Anysphere가 서면으로 승인하는 경우. 이러한 요청은 요청된 민감한 데이터에 한하여 파트너 계약 제12.1조(고지 및 동의)의 목적상 Anysphere의 명시적 서면 요청에 해당합니다. 마케팅 활동, 이벤트 성과 또는 이와 유사한 정보의 증빙을 제출하는 경우, 파트너는 가능한 한 개인 단위의 개인정보 대신 집계된 지표, 기업 도메인 또는 직함을 사용해야 합니다.

   5. 정확성 및 업데이트. 각 공개 당사자는 자신이 공개하는 프로그램 개인정보가 정확하고 최신 상태이도록 합리적인 조치를 취해야 하며, 자신이 공개한 프로그램 개인정보가 부정확하거나 최신이 아니라는 사실, 또는 개인이 수령 당사자의 처리에 대한 동의를 철회하거나 이의를 제기했다는 사실을 알게 된 경우 수령 당사자에게 즉시 통지해야 합니다. 파트너는 Partner Portal 사용자 정보를 최신 상태로 유지해야 하며, Partner Portal 계정, 유효한 인증 또는 공유 협업 채널 멤버십을 보유한 개인이 파트너의 조직을 떠나거나 더 이상 파트너의 파트너 프로그램 활동에 참여하지 않게 된 경우, Partner Portal 또는 partnersupport@x.ai를 통해 Anysphere에 즉시 통지해야 합니다.

5. 수령 당사자의 처리.

   1. 목적 제한.

      1. Anysphere. Anysphere는 다음 목적으로 파트너 제공 데이터를 처리할 수 있습니다. (i) 부속서 1에 기술된 목적을 포함하여 파트너 프로그램을 운영, 관리 및 개선하기 위한 목적, (ii) SpaceXSI 개인정보 처리방침 및 개인정보 보호법에 따라 서비스를 마케팅, 판매, 제공 및 지원하고, 파트너 제공 데이터에서 식별된 고객 및 잠재 고객과의 관계를 관리하기 위한 목적, (iii) 파트너가 파트너 계약, 프로그램 규칙 및 적용 법률을 준수하는지 확인하고, 사기, 남용 및 보안 사고를 탐지하고 방지하기 위한 목적, (iv) 법적 의무를 준수하고 법적 청구를 제기, 행사 또는 방어하기 위한 목적, (v) 개인정보 보호법에서 허용하고 SpaceXSI 개인정보 처리방침에 기술된 기타 모든 목적.

      2. 파트너. 파트너는 Anysphere가 Anysphere 제공 데이터를 제공한 특정 파트너 프로그램 목적(예: 식별된 영업 기회에 대한 공동 판매, Anysphere와의 공동 계정 계획 수립, 파트너의 파트너 프로그램 참여 관리)으로만, 그리고 파트너 계약, 프로그램 규칙, 본 파트너 DPA 및 개인정보 보호법에 따라서만 해당 데이터를 처리해야 합니다. 파트너는 다음 행위를 해서는 안 됩니다. (i) Anysphere 제공 데이터를 판매, 임대하거나 라이선스를 부여하는 행위, (ii) Anysphere 제공 데이터를 서비스와 경쟁하는 제품 또는 서비스의 마케팅이나 홍보에 사용하거나, Anysphere가 해당 데이터를 제공한 목적과 무관한 마케팅에 사용하는 행위, (iii) 파트너 프로그램과 무관한 목적으로 연락처 데이터베이스, 프로필 또는 잠재 고객 목록을 만들거나 보강하기 위해 Anysphere 제공 데이터를 다른 데이터와 결합하는 행위, (iv) 제5.4조에서 허용하는 경우를 제외하고 Anysphere 제공 데이터를 제3자에게 공개하는 행위.

      3. 기타 처리. 각 당사자는 적용 법률에 따라 요구되는 경우, 개인의 중대한 이익을 보호하기 위해 필요한 경우 또는 정보주체가 추가 처리에 동의한 경우에는 프로그램 개인정보를 다른 목적으로도 처리할 수 있습니다.

   2. 투명성. 각 당사자는 프로그램 개인정보 처리와 관련하여 개인정보 보호법의 요건을 충족하는 개인정보 처리방침을 유지하고 공개해야 합니다. Anysphere가 파트너로부터 받은 개인정보의 정보주체인 개인에게 연락하는 경우, Anysphere는 개인정보 보호법이 요구하는 정보를 법정 기한 내에 제공해야 하며, 그 기한은 Anysphere가 해당 개인과 처음 연락하는 시점일 수 있습니다.

   3. 기밀성 및 보안. 각 수령 당사자는 다음 사항을 이행해야 합니다. (a) 최신 기술 수준, 구현 요금, 처리의 성격·범위·컨텍스트 및 목적, 개인에게 미치는 위험을 고려하여 개인정보 침해로부터 프로그램 개인정보를 보호하기 위한 적절한 기술적·관리적 조치를 구현하고 유지 관리해야 하며, 이러한 조치에는 최소한 부속서 2(최소 보안 조치)에 기술된 조치가 포함되어야 합니다. (b) 프로그램 개인정보에 대한 접근 권한을 제5.1조에서 허용된 목적상 접근이 필요한 직원, 계약자 및 서비스 제공업체로 제한해야 합니다. (c) 프로그램 개인정보를 처리하도록 승인된 사람이 적절한 기밀 유지 의무를 지도록 보장해야 합니다. 파트너는 파트너 계약 제8조(Partner Portal 접근)에 따라 자사의 Partner Portal 계정과 인증 정보를 안전하게 관리할 책임이 있습니다.

   4. 서비스 제공업체 및 제3자 제공

      1. 처리자. 각 수령 당사자는 자신을 대신하여 프로그램 개인정보를 처리하도록 처리자 및 서비스 제공업체를 이용할 수 있습니다. 여기에는 파트너 포털 및 파트너 관계 관리 플랫폼, 고객 관계 관리 시스템, 계정 매핑 도구, 협업 및 통신 도구, 학습 관리 시스템, 결제 및 세무 서비스, 클라우드 호스팅, AI 기반 생산성 도구의 제공업체가 포함됩니다. 수령 당사자는 본 파트너 DPA 및 개인정보 보호 법률에 부합하는 방식으로 프로그램 개인정보를 보호할 것을 요구하는 서면 계약을 체결한 경우에만 해당 처리자를 이용해야 하며, 해당 처리자의 처리에 대해 계속 책임을 집니다.

      2. Anysphere 계열사. Anysphere는 제5.1(a)조에 기술된 목적을 위해 파트너 제공 데이터를 자신의 계열사에 공개할 수 있습니다. 파트너 제공 데이터를 수령하는 각 Anysphere 계열사는 본 파트너 DPA에 따라 해당 데이터를 처리해야 합니다.

      3. 기타 공개. 본 제5.4조에서 허용하는 경우를 제외하고, 수령 당사자는 다음 각 호를 제외한 어떠한 타사에도 프로그램 개인정보를 공개해서는 안 됩니다. (i) 비밀유지 의무를 부담하는 수령 당사자 및 그 계열사의 전문 자문가, (ii) 파트너 계약에서 허용하는 바에 따라 합병, 인수, 기업 구조조정 또는 자산의 전부 또는 실질적인 전부의 매각과 관련된 승계인, (iii) 제5.7조에 따를 것을 조건으로, 적용 법률, 법원 명령 또는 관할 정부 당국이 요구하는 경우, (iv) 그 밖에 개인정보 보호 법률에 따라 허용되는 경우(파트너의 경우 Anysphere의 사전 서면 동의를 받은 경우에 한함).

   5. 정보주체 요청. 각 당사자는 자신이 통제하는 프로그램 개인정보와 관련하여 개인정보 보호법에 따라 권리를 행사하는 개인의 요청에 응답할 책임이 있습니다. 일방 당사자가 상대방 당사자의 처리와 관련된 요청을 받은 경우, 해당 당사자는 적법한 범위 내에서 지체 없이(어떠한 경우에도 영업일 기준 5일 이내에) 해당 요청을 상대방 당사자에게 전달하거나 해당 개인에게 상대방 당사자에게 연락하는 방법을 안내해야 하며, 양 당사자는 요청에 응답하기 위해 합리적으로 협력해야 합니다. 개인이 마케팅 커뮤니케이션 수신을 거부하거나, 동의를 철회하거나, 삭제를 요청하고 해당 요청이 상대방 당사자의 프로그램 개인정보 처리와 관련된 경우, 요청을 받은 당사자는 상대방 당사자가 개인정보 보호법에서 요구하는 조치를 취할 수 있도록 지체 없이 상대방 당사자에게 통지해야 합니다.

   6. 개인정보 침해. 수령 당사자는 공개 당사자로부터 받은 프로그램 개인정보와 관련된 개인정보 침해를 인지한 후 부당한 지체 없이, 어떠한 경우에도 72시간 이내에 공개 당사자에게 통지해야 합니다. 통지에는 그 시점까지 파악된 범위 내에서 개인정보 침해의 성격, 관련된 개인 및 기록의 범주와 대략적인 수, 예상되는 결과, 개인정보 침해에 대응하고 그 영향을 완화하기 위해 취했거나 취할 예정인 조치를 기술하며, 수령 당사자는 추가 정보가 확인되는 대로 통지를 보완해야 합니다. 수령 당사자는 개인정보 침해를 차단, 조사 및 시정하기 위한 합리적인 조치를 취해야 하며 공개 당사자와 합리적으로 협력해야 합니다. 각 당사자는 개인정보 보호법이 컨트롤러로서 자신에게 요구하는 감독 기관 및 개인에 대한 통지에 책임이 있으며, 양 당사자는 해당 통지의 내용과 시기에 관해 신의성실에 따라 조율해야 합니다. 법률에서 요구하는 경우를 제외하고, 어느 당사자도 상대방 당사자의 사전 서면 동의 없이 개인정보 침해에 관한 통지 또는 공개 성명에서 상대방 당사자를 언급해서는 안 됩니다. 파트너는 본 제5.6조에 따른 통지를 legal@cursor.com으로 보내야 하며, 해당 통지는 해당 개인정보 침해와 관련하여 파트너 계약 제5(g)조(파트너 의무)에 따른 통지 의무도 충족합니다.

   7. 정부 및 규제 기관 요청. 수령 당사자가 상대방 당사자로부터 받은 프로그램 개인정보에 대해 감독 기관, 법 집행 기관 또는 기타 정부 당국으로부터 요청을 받은 경우, 수령 당사자는 법적으로 허용되는 범위 내에서 지체 없이 공개 당사자에게 통지하고, 응답에 필요한 최소한의 프로그램 개인정보만 공개하며, 해당 요청에 응답하거나 이의를 제기하려는 공개 당사자의 노력에 합리적으로 협력해야 합니다.

   8. 보관 및 삭제.

      1. 일반. 각 수령 당사자는 프로그램 개인정보를 제5.1조에서 허용하는 목적에 필요한 기간 동안만 보관해야 하며, 그 이후에는 이를 삭제하거나 익명화해야 합니다. 단, 적용 법률에 따라 요구되거나 허용되는 경우는 예외로 합니다.

      2. Anysphere 제공 데이터. 파트너 계약이 만료되거나 해지되는 경우, 또는 그 이전이라도 Anysphere가 서면으로 요청하는 경우, 파트너는 Anysphere 제공 데이터의 사용을 중단하고 30일 이내에 이를 삭제(또는 Anysphere가 요청하는 경우 반환)해야 하며, Anysphere가 요청하면 이를 이행했음을 서면으로 확인해야 합니다. 단, 적용 법률에 따라 파트너가 해당 데이터를 보관해야 하는 범위에서는 예외로 합니다. 정기 백업에 보관된 프로그램 개인정보는 본 파트너 DPA에 따라 계속 보호되고 실제로 사용되지 않는 한, 파트너의 표준 백업 주기에 따라 삭제할 수 있습니다.

      3. 파트너 제공 데이터. Anysphere는 파트너 계약이 만료되거나 해지된 이후에도 다음 목적에 합리적으로 필요한 범위 내에서 파트너 제공 데이터를 보관할 수 있습니다. (i) 해지 이전에 발생한 등록 요금, 추천 요금 및 기타 금액의 처리, (ii) 파트너 계약 제20.5조(기록)에 명시된 기간을 포함한 파트너 프로그램 관련 기록의 유지, (iii) 고객 및 잠재 고객과의 직접적인 관계 유지, (iv) 법적 의무의 준수, (v) 법적 청구의 제기, 행사 또는 방어. Anysphere는 규정 준수 심사 데이터를 해당 데이터를 수집한 규정 준수 목적에 필요한 기간 및 적용 법률에서 요구하는 기간 동안만 보관해야 합니다.

   9. 자동화된 도구 및 AI. Anysphere는 파트너 신청, 거래 등록, 혜택 요청, 마케팅 활동 제출물, 기타 파트너 프로그램 관련 제출물 및 통신을 검토하고 처리하는 데 Anysphere, 그 계열사 또는 그 서비스 제공업체가 운영하는 AI 모델과 에이전트를 포함한 자동화된 도구를 활용할 수 있습니다. 파트너 신청 또는 거래 등록의 승인, 거부, 조건부 승인 또는 철회는 Anysphere 직원이 결정하며, Anysphere는 개인정보 보호법에서 허용하는 경우를 제외하고는 개인에게 법적 효과를 발생시키거나 이에 준하는 중대한 영향을 미치는 결정을 오로지 자동화된 처리에만 근거하여 내리지 않습니다. Anysphere는 파트너 제공 데이터에 포함된 개인정보를 Anysphere가 타사에 정식 출시하는 AI 모델의 학습에 사용하지 않습니다. 파트너는 Anysphere 제공 데이터를 파트너 이외의 자의 이익을 위해 모델 학습에 사용하거나 그 밖에 자체 목적으로 해당 데이터를 사용하는 AI 도구 또는 기타 제3자 서비스에 입력해서는 안 됩니다.

   10. 협력. 각 당사자는 상대방이 프로그램 개인정보와 관련하여 개인정보 보호법상의 의무를 준수하는 데 필요한 범위에서, 개인정보 보호 영향 평가, 처리 활동 기록 및 감독 기관의 문의 대응 등과 관련하여 합리적인 정보와 협력을 자체 비용으로 상대방에게 제공해야 합니다.

6. 미국 주(州) 개인정보 보호법.

   1. 판매 아님. 양 당사자는 파트너 프로그램에 따라 제공되는 등록 요금, 추천 요금 또는 기타 파트너 혜택이 파트너 계약 제7조(거래 등록, 요금 및 지급)에 기술된 파트너의 추천, 소싱, 공동 판매 및 관련 서비스에 대한 대가일 뿐, 프로그램 개인정보에 대한 대가가 아님을 인정합니다. 어느 당사자도 금전적 대가나 기타 가치 있는 대가를 받는 조건으로 상대방에게 프로그램 개인정보를 공개하지 않으며, 양 당사자는 본 파트너 DPA에 따른 공개가 미국 주 개인정보 보호법상 개인정보의 판매 또는 공유에 해당하도록 의도하지 않습니다.

   2. 타사 약관. 수령 당사자가 미국 주 개인정보 보호법상 타사의 지위에서 프로그램 개인정보를 수령하거나, 그 밖의 사유로 본 파트너 DPA에 따른 공개가 판매 또는 공유로 간주되는 경우, 수령 당사자는 다음 사항을 이행해야 합니다. (a) 제5.1조 및 부속서 1에 명시된 제한적이고 특정된 목적으로만 해당 프로그램 개인정보를 처리할 것, (b) 미국 주 개인정보 보호법에 따라 적용되는 의무를 준수하고, 해당 프로그램 개인정보에 대해 미국 주 개인정보 보호법이 요구하는 것과 동일한 수준의 개인정보 보호를 제공할 것, (c) 공개 당사자가 서면 통지를 통해 수령 당사자가 미국 주 개인정보 보호법에 따른 공개 당사자의 의무에 부합하는 방식으로 해당 프로그램 개인정보를 사용하도록 보장하기 위한 합리적이고 적절한 조치를 취하고, 승인되지 않은 사용을 중단 및 시정할 수 있도록 허용할 것, (d) 미국 주 개인정보 보호법에 따른 의무를 더 이상 이행할 수 없다고 판단하는 경우 이를 공개 당사자에게 통지할 것, (e) 공개 당사자가 미국 주 개인정보 보호법에 따라 전달하는 옵트아웃 요청 또는 기타 소비자 요청을 이행할 것.

7. 국외 데이터 이전.

   1. 일반. 각 당사자는 개인정보 보호법의 이전 요건을 준수하는 것을 조건으로, 미국 및 해당 당사자, 그 계열사 또는 그 처리자가 사업을 운영하는 기타 모든 국가에서 프로그램 개인정보를 처리할 수 있습니다.

   2. EEA 이전. 공개 당사자가 수령 당사자에게 프로그램 개인정보를 공개하는 것이 GDPR의 적용을 받는 제한 이전에 해당하는 경우, 당사자들은 SCC의 모듈 1(또는 제8조가 적용되고 수령 당사자가 공개 당사자의 처리자로서 행위하는 경우에는 SCC의 모듈 2)에 동의합니다. 해당 SCC는 참조로써 본 파트너 DPA에 포함되며, 다음 사항이 적용됩니다.

      1. 공개 당사자는 "데이터 반출자"이고 수령 당사자는 "데이터 수입자"입니다.

      2. 제7항의 선택적 도킹 조항이 적용됩니다.

      3. 모듈 2의 제9항에서는 옵션 2(일반 서면 승인)가 적용되며, 통지 기간은 제8.2(d)조에 규정된 바에 따릅니다.

      4. 제11(a)항의 선택적 문구는 적용되지 않습니다.

      5. 제13항에서 관할 감독 기관은 제13(a)항에 따라 결정되며, 데이터 반출자가 EEA 내에 설립되어 있지 않고 GDPR 제27조에 따른 대리인을 지정하지 않은 경우 관할 감독 기관은 아일랜드 데이터보호위원회(Irish Data Protection Commission)입니다.

      6. 제17항에서는 옵션 1이 적용되며, SCC의 준거법은 아일랜드 법률입니다.

      7. 제18(b)항에 따라 분쟁은 아일랜드 법원에서 해결됩니다.

      8. SCC의 부속서 I은 본 파트너 DPA의 부속서 1에 기재된 정보로 작성됩니다.

      9. SCC의 부속서 II는 본 파트너 DPA의 부속서 2에 기재된 정보로 작성됩니다.

   3. 영국 이전. 제한 이전이 UK GDPR의 적용을 받는 경우, SCC는 UK 부록(참조로써 본 파트너 DPA에 포함됨)에 의해 수정된 대로 제7.2조에 규정된 바에 따라 적용되며, (a) UK 부록의 표 1~3은 제7.2조 및 본 파트너 DPA의 부속서 1과 2에 기재된 정보로 작성되고, (b) 표 4와 관련하여 어느 당사자도 UK 부록 제19조에 따라 UK 부록을 종료할 수 없습니다.

   4. 스위스 이전. 제한 이전이 FADP의 적용을 받는 경우, SCC는 다음 변경 사항을 반영하여 제7.2조에 규정된 바에 따라 적용됩니다. (a) GDPR에 대한 참조는 FADP에 대한 참조로 봅니다. (b) "EU", "연합" 및 "회원국"에 대한 참조에는 스위스가 포함되며, "회원국"이라는 용어로 인해 스위스에 있는 정보주체가 상거소지에서 청구를 제기하는 것이 제한되지 않습니다. (c) 관할 감독 기관은 스위스 연방 데이터 보호 및 정보 위원(Swiss Federal Data Protection and Information Commissioner)입니다.

   5. 대체 이전 메커니즘. 당사자는 SCC 대신 적정성 결정, EU-미국 데이터 프라이버시 프레임워크 및 그 영국·스위스 확장(해당 당사자가 인증된 경우), 또는 개인정보 보호법에 따라 인정되는 기타 이전 메커니즘에 근거할 수 있습니다. 본 제7조에 따라 근거로 삼은 이전 메커니즘이 무효화되거나 더 이상 이용할 수 없게 되는 경우, 당사자들은 적법한 대체 이전 메커니즘을 구현하기 위해 신의성실에 따라 협력해야 하며, Anysphere는 이를 위해 제11.2조에 따라 본 파트너 DPA를 업데이트할 수 있습니다.

   6. 기타 관할권. 기타 관할권의 개인정보 보호법이 해당 관할권 밖으로 프로그램 개인정보를 이전할 때 특정 계약 조건을 요구하는 경우, 당사자들은 본 파트너 DPA(허용되는 경우 해당 관할권에 맞게 조정된 SCC 포함)가 그 조건에 해당한다는 데 동의하며, 각 당사자는 해당 요건을 충족하기 위해 Anysphere가 Partner Portal을 통해 합리적으로 제공하는 추가 이전 조건을 체결해야 합니다.

   7. 상충. 본 파트너 DPA와 SCC(UK 부록 또는 제7.4조에 의해 수정된 경우 포함) 간에 상충이 있는 경우, 상충하는 범위 내에서 SCC가 우선합니다.

8. 처리자 관련 약정.

   1. 적용. 본 제8조는 일방 당사자(“처리 당사자”)가 상대방 당사자(“지시 당사자”)를 대신하여 그 문서화된 지침에 따라 프로그램 개인정보를 처리하기로 양 당사자가 부속서, 프로그램 규칙 또는 기타 서면을 통해 명시적으로 합의한 경우에만 적용됩니다. 예를 들어 Anysphere가 주최하는 이벤트를 위해 Partner가 Anysphere를 대신하여 참가 신청을 받는 경우가 이에 해당합니다. 해당 처리와 관련하여 지시 당사자는 컨트롤러이고 처리 당사자는 그 처리자(해당되는 경우 미국 주 개인정보 보호법상의 서비스 제공업체 또는 계약자)이며, 제3.1조 및 제5.1조는 해당 처리에 적용되지 않습니다.

   2. 처리자의 의무. 처리 당사자는 다음 의무를 이행해야 합니다.

      1. 적용 법률이 달리 요구하지 않는 한(이 경우 법률상 금지되지 않는 한 처리 이전에 지시 당사자에게 이를 알려야 함), 국외 이전을 포함하여 지시 당사자의 문서화된 지침에 따라서만 프로그램 개인정보를 처리하고, 지침이 개인정보 보호법을 위반한다고 판단되는 경우 지시 당사자에게 즉시 알립니다.

      2. 프로그램 개인정보를 처리하도록 승인된 사람이 비밀유지 의무를 부담하도록 합니다.

      3. 부속서 2에 기술된 조치 및 해당되는 경우 GDPR 제32조에서 요구하는 기타 조치를 이행합니다.

      4. 지시 당사자의 일반적인 서면 승인 없이 다른 처리자를 이용하지 않습니다. 지시 당사자는 해당 약정 합의 시 처리 당사자가 지정한 처리자에 대해 이러한 승인을 부여합니다. 처리자를 추가하거나 교체하려는 경우 지시 당사자에게 최소 삼십(30)일 전에 통지하며(Anysphere는 Partner Portal 또는 하위 처리자 페이지를 통해 통지할 수 있음), 지시 당사자는 이 기간 동안 합리적인 개인정보 보호상의 사유로 이의를 제기할 수 있습니다. 각 처리자가 최소한 본 제8조와 동등한 수준의 보호를 제공하는 서면 약관을 준수하도록 하며, 각 처리자의 의무 이행에 대해 책임을 집니다.

      5. 처리의 성격을 고려하여 적절한 조치를 통해 지시 당사자가 정보주체의 요청에 대응하고 보안, 개인정보 침해 통지, 개인정보 영향 평가 및 감독 기관과의 사전 협의에 관한 의무를 이행할 수 있도록 지원합니다.

      6. 지시 당사자를 대신하여 처리하는 프로그램 개인정보에 영향을 미치는 개인정보 침해를 인지한 경우 부당한 지체 없이, 늦어도 인지 후 사십팔(48)시간 이내에 지시 당사자에게 통지합니다.

      7. 적용 법률상 보관 의무가 있는 경우를 제외하고, 처리가 종료되면 지시 당사자의 선택에 따라 프로그램 개인정보를 삭제하거나 반환하고 기존 사본을 삭제합니다.

      8. 본 제8조의 준수를 입증하는 데 합리적으로 필요한 정보를 지시 당사자에게 제공하고, 지시 당사자 또는 지시 당사자가 위임한 독립 감사인이 수행하는 검사를 포함한 감사를 허용하고 이에 협력합니다. 이러한 감사는 12개월마다 1회를 초과할 수 없으며(개인정보 침해 발생 후 또는 감독 기관이 요구하는 경우는 제외), 최소 삼십(30)일 전 통지, 합리적인 비밀유지 의무 및 지시 당사자의 비용 부담을 조건으로 합니다. 다만 처리 당사자는 최신 독립 인증서 또는 감사 보고서가 감사 범위를 합리적으로 충족하는 경우 이를 대신 제공할 수 있습니다.

      9. 미국 주 개인정보 보호법이 적용되는 경우: 프로그램 개인정보를 판매하거나 공유하지 않습니다. 지시 당사자가 지정한 사업 목적 외의 목적으로, 또는 양 당사자 간의 직접적인 사업 관계 범위를 벗어나 이를 보관, 사용 또는 공개하지 않습니다. 미국 주 개인정보 보호법이 허용하는 경우를 제외하고 다른 소스로부터 받은 개인정보와 결합하지 않습니다. 미국 주 개인정보 보호법을 준수하고 해당 법률이 요구하는 것과 동일한 수준의 개인정보 보호를 제공합니다. 더 이상 의무를 이행할 수 없게 된 경우 지시 당사자에게 통지합니다. 또한 지시 당사자가 무단 사용을 중단시키고 시정하기 위해 합리적이고 적절한 조치를 취할 수 있도록 허용합니다.

9. 책임 및 구제수단.

   1. 책임. 본 파트너 DPA로 인하여 또는 이와 관련하여 발생하는 각 당사자의 책임(당사자 간 SCC에 따른 책임 포함)에는 파트너 계약 제17조(책임 제한)가 적용되며, 여기에는 동 조의 제외 청구(Excluded Claims)에 관한 규정이 포함됩니다. 이는 적용 가능한 부속서에 따라 수정될 수 있습니다. 본 파트너 DPA의 어떠한 내용도 SCC에 따른 정보주체에 대한 각 당사자의 책임 또는 적용 법률상 제한될 수 없는 책임을 제한하지 않습니다.

   2. 면책 및 배상. 파트너 계약 제16.1조(파트너의 면책 및 배상)의 적용에 있어, 파트너의 본 파트너 DPA 위반은 파트너 계약 위반으로 간주됩니다.

   3. 중단. 파트너가 본 파트너 DPA를 위반하거나, 프로그램 개인정보를 파트너에게 계속 공개하는 것이 개인정보 보호 법률을 위반하게 된다고 Anysphere가 합리적으로 판단하는 경우, Anysphere는 파트너 계약 제18조(기간 및 해지)에 따른 권리와 별도로, 아무런 책임을 부담하지 않고 파트너에 대한 Anysphere 제공 데이터의 공개 및 파트너의 프로그램 개인정보 제출 기능을 중단할 수 있습니다.

10. 규정 준수 검증.

    1. 파트너. Anysphere의 합리적인 서면 요청이 있는 경우, 파트너는 12개월마다 1회를 넘지 않는 범위에서(단, 개인정보 침해가 발생한 경우, 감독 기관의 요청이 있는 경우 또는 Anysphere가 규정 위반을 의심할 합리적인 근거가 있는 경우는 예외로 함) 개인정보 보호 및 보안에 관한 합리적인 서면 설문지를 작성하고, 본 파트너 DPA의 준수를 입증하는 합리적인 증빙 문서를 제공해야 합니다. 파트너 계약 제20.5조(기록)에 따른 Anysphere의 권리는 파트너의 본 파트너 DPA 준수 여부에도 적용됩니다.

    2. Anysphere. Anysphere는 SOC 2 Type II 보고서를 포함하여 자사 보안 프로그램에 관한 정보를 신뢰 센터 https://trust.cursor.com(또는 Anysphere가 수시로 파트너에게 통지하여 지정하는 기타 URL)를 통해 제공하며, 파트너 제공 데이터의 처리에 관한 파트너의 합리적인 서면 질문에 응답해야 합니다.

11. 계약 기간, 업데이트 및 일반 조항.

    1. 기간. 본 파트너 DPA는 (a) 파트너가 Partner Portal을 통해 본 파트너 DPA를 수락한 날(파트너 계약 수락을 통해 수락한 경우 포함) 또는 (b) 파트너가 본 파트너 DPA를 제시받거나 이에 대한 접근 권한을 받은 후 Anysphere가 허용하는 바에 따라 파트너 프로그램에 처음 참여한 날 중 더 이른 날에 효력이 발생하며, 어느 한 당사자가 상대방으로부터 받은 프로그램 개인정보를 처리하는 동안 계속 유효합니다. 제5.8조, 제9조 및 제11조는 본 파트너 DPA 또는 파트너 계약이 만료되거나 해지된 후에도 존속합니다.

    2. 업데이트. Anysphere는 파트너 계약 제20.4조(수정 및 프로그램 업데이트)에 따라 업데이트된 파트너 DPA를 Partner Portal 또는 해당 URL에 게시하는 방식으로 본 파트너 DPA를 업데이트할 수 있습니다. 개인정보 보호 법률 또는 감독 기관의 지침이나 결정을 준수하기 위해 필요한 업데이트는 게시 즉시 또는 법률에서 달리 요구하는 바에 따라 효력이 발생할 수 있습니다. 관할 기관이 발행한 개정 버전 또는 대체 버전을 채택하는 경우를 제외하고, 어떠한 업데이트도 SCC 또는 UK 부록을 수정하지 않습니다.

    3. 우선 적용 순서. 본 파트너 DPA는 파트너 계약에 따른 부속서 중 하나입니다. 본 파트너 DPA에서 정한 경우를 제외하고, 파트너 계약은 수정되지 않으며 완전한 효력을 유지합니다. 프로그램 개인정보의 처리와 관련하여 상충이 발생하는 경우, 해당 상충 범위 내에서 다음 우선 적용 순서를 따릅니다: (a) SCC(적용되는 범위 내에서), (b) 본 파트너 DPA, (c) 파트너 계약 및 기타 부속서, (d) 프로그램 규칙.

    4. 준거법 및 분쟁. SCC 또는 개인정보 보호 법률에서 달리 요구하는 경우를 제외하고, 본 파트너 DPA는 파트너 계약 제19조(분쟁 해결)에 명시된 법률을 준거법으로 하며, 본 파트너 DPA와 관련된 분쟁은 해당 조에 명시된 방식으로 해결됩니다.

    5. 계열사. 파트너의 계열사가 파트너 계약 제2.3조에 따라 파트너 프로그램에 참여하는 경우, 파트너는 해당 계열사를 대신하여 본 파트너 DPA를 수락하고, 계열사가 이를 준수하도록 보장해야 하며, 계열사의 준수에 대한 책임을 계속 부담합니다. 파트너 제공 데이터를 처리하는 Anysphere의 계열사는 파트너 계약 제20.6조(제3자 수혜자)에 따른 제3자 수혜자 권리와 별도로, 명시적인 제3자 수혜자로서 본 파트너 DPA를 원용하고 이를 강제 적용할 수 있습니다.

    6. 개인정보 담당 연락처. 파트너는 Partner Portal에서 개인정보 담당 연락처를 지정해야 하며, 이를 지정하지 않은 경우 Anysphere는 본 파트너 DPA에 따른 통지를 파트너의 Partner Portal 관리자에게 보낼 수 있습니다. Anysphere의 개인정보 담당 연락처는 legal@cursor.com이며, Anysphere는 Partner Portal을 통해 또는 파트너가 지정한 개인정보 담당 연락처로 이메일을 보내 수시로 다른 연락처를 지정할 수 있습니다.

    7. 기타 제3자 수혜자 없음. 제11.5조에서 정한 경우 및 SCC에서 정보주체를 위해 규정한 경우를 제외하고, 본 파트너 DPA는 어떠한 제3자에게도 권리를 부여하지 않습니다.

부속서 1 – 처리에 관한 설명

본 부속서 1은 제7조에 따라 SCC가 적용되는 경우 SCC의 부속서 I로도 간주됩니다.

Part A – 당사자 목록

Part B – 파트너 프로그램 활동별 처리

Part C – 기타 처리 세부 사항

처리 목적: 제5.1조에 기재된 바와 같습니다.

처리의 성격: 수집, 기록, 조직화, 구조화, 저장, 검색, 조회, 사용, 분석(제5.9조에 따른 자동화된 검토 및 AI 지원 검토 포함), 전송을 통한 공개, 정렬 또는 결합, 제한, 삭제 및 파기.

민감한 데이터: 당사자들은 (a) 공공 부문 관련성 및 범죄 혐의에 관한 정보를 포함할 수 있는 규정 준수 심사 데이터와 (b) 결제 및 세금 식별자 외에는 민감한 데이터를 교환할 의도가 없습니다. 안전장치: 제4.4조 및 제5.8조에 설명된 바에 따른 목적 제한, 업무상 알아야 할 필요가 있는 사람으로의 접근 제한, 전송 중 및 저장 시 암호화, 제한적 보관.

전송 빈도: 파트너 계약 기간 동안 지속적으로 전송.

보관 기간: 제5.8조에 설명된 바와 같음.

수령인 및 재이전: 제5.4조에 설명된 바와 같음.

관할 감독 기관: EEA 이전의 경우 제7.2(e)조에 설명된 기관, 영국 이전의 경우 영국 정보위원회(UK Information Commissioner), 스위스 이전의 경우 스위스 연방 개인정보 보호 및 정보 위원회(Swiss Federal Data Protection and Information Commissioner).

부속서 2 – 최소 보안 조치

제7조에 따라 SCC가 적용되는 경우, 본 부속서 2는 SCC의 부속서 II로도 간주됩니다. 각 당사자는 자신이 보유, 보관 또는 제어하는 프로그램 개인정보에 대해 최소한 다음 조치를 유지 관리해야 합니다.

1. 거버넌스. 책임자가 지정된 서면 정보 보안 프로그램, 그리고 최소 연 1회 검토되는 보안 및 개인정보 보호 정책.

2. 액세스 제어. 최소 권한 원칙에 따른 역할 기반 접근, 고유한 사용자 ID, 프로그램 개인정보를 저장하는 시스템에 대한 다단계 인증(가능한 경우 Partner Portal 계정 포함), 그리고 개인의 역할이 변경되거나 해당 개인이 조직을 떠난 후 즉시, 늦어도 영업일 기준 5일 이내에 접근 권한 제거.

3. 인력. 접근 권한이 있는 모든 인력에 대한 기밀 유지 의무, 적법하고 역할에 적합한 경우 신원 조회, 그리고 최소 연 1회의 보안 및 개인정보 보호 교육.

4. 암호화. 프로그램 개인정보를 전송 중에는 TLS 1.2 이상으로, 저장 시에는 업계 표준 암호화 방식으로 암호화.

5. 엔드포인트 및 네트워크 보안. 엔드포인트 보호가 적용된 관리 기기, 적시 보안 패치, 그리고 방화벽 및 침입 탐지 등의 네트워크 제어.

6. 로깅 및 모니터링. 프로그램 개인정보를 저장하는 시스템에 대한 접근 로깅, 그리고 무단 접근을 탐지하도록 설계된 모니터링.

7. 취약점 관리. 정기적인 취약점 스캔, 그리고 식별된 취약점에 대한 심각도에 따른 적시 시정 조치.

8. 처리자 관리. 처리자와 계약하기 전 보안 및 개인정보 보호 실사, 그리고 본 파트너 DPA에 부합하는 서면 계약상 보호 조치.

9. 장애 대응. 당사자가 본 파트너 DPA의 통지 기한을 준수할 수 있도록 문서화되고 주기적으로 테스트되는 장애 대응 계획.

10. 비즈니스 연속성. 위험 수준에 맞는 백업 및 복구 절차.

11. 최소화 및 폐기. 필요한 범위로 제한된 수집, 그리고 더 이상 필요하지 않은 프로그램 개인정보의 안전한 삭제 또는 익명화.

12. 승인된 도구. 프로그램 개인정보는 승인된 업무 시스템에서만 처리하며, 개인 이메일 계정, 적절한 제어가 적용되지 않은 개인 기기 또는 승인되지 않은 AI 도구에서는 처리하지 않음.

또한 Anysphere는 SOC 2 Type II 보고서 및 https://trust.cursor.com(또는 Anysphere가 파트너에게 수시로 통지하여 지정하는 기타 URL)의 신뢰 센터에 설명된 기술적·조직적 조치를 유지 관리합니다.