Perplexity 데이터 처리 부속합의서

최종 업데이트: 2025년 7월 8일

본 데이터 처리 부속합의서("DPA")는 Perplexity AI, Inc.("Perplexity")와 비즈니스 고객("고객") 간에 체결된, 본 합의서를 명시적으로 참조하는 특정 서비스 약관 및 기타 계약의 일부를 구성하며 이에 통합됩니다. 여기에는 Perplexity Pro for Enterprise 서비스 약관 및 Perplexity API 서비스 약관이 포함되나 이에 국한되지 않으며, 이는 고객의 Perplexity 서비스 사용에 적용됩니다("서비스", 그리고 그러한 관련 서비스 약관 또는 기타 계약을 "계약"이라 함). Perplexity가 고객의 서비스 사용과 관련하여 개인정보를 처리하는 범위 내에서, 본 DPA는 그러한 개인정보 처리에 대한 고객의 지침과 양 당사자의 권리 및 의무를 규정합니다. 본 DPA에 명시적으로 규정된 경우를 제외하고, 계약은 수정되지 않으며 완전한 효력을 유지합니다. 본 DPA와 계약 간에 상충이 있는 경우, 본 DPA가 우선합니다.

정의. 본 DPA의 목적상, 다음 용어는 아래에 명시된 의미를 갖습니다. 본 DPA에서 사용되었으나 정의되지 않은 대문자로 표기된 용어는 Perplexity Pro for Enterprise 이용 약관에 명시된 의미를 갖습니다. 계약에서 달리 정의되지 않은 본 DPA의 기타 모든 대문자로 표기된 용어는 개인정보보호법에서 부여된 해당 의미를 갖습니다.

“컨트롤러-프로세서 간 조항”이란 (i) GDPR의 적용을 받는 개인정보 이전과 관련하여, 2021년 6월 4일자 위원회 결정 2021/914에 명시된 제3국으로의 개인정보 이전을 위한 표준 계약 조항(모듈 2(컨트롤러-프로세서) 포함)("EU SCC")을 의미하며, (ii) UK GDPR의 적용을 받는 개인정보 이전과 관련하여, 영국 정보위원회가 발행한 EU 위원회 표준 계약 조항(버전 B.1.0)에 대한 국제 데이터 이전 부속합의서("UK 부속합의서")를 의미하며, 각 경우 수시로 개정, 업데이트 또는 대체되는 바에 따릅니다.

“EU/UK 개인정보보호법”이란 적용 가능한 범위에 따라 다음을 의미합니다: (i) 일반 개인정보 보호 규정 2016/679("GDPR"); (ii) 개인정보 보호 및 전자 통신 지침 2002/58/EC; (iii) 영국 데이터 보호법 2018, 영국 데이터 보호법 2018에 의해 정의된 영국 일반 개인정보 보호 규정(데이터 보호, 개인정보 보호 및 전자 통신(개정 등)(EU 탈퇴) 규정 2019에 의해 개정됨)(영국 데이터 보호법 2018과 함께 "UK GDPR"), 및 개인정보 보호 및 전자 통신 규정 2003; 그리고 (iv) 위 사항을 이행하는 관련 법률, 지침, 명령, 규칙, 규정 또는 기타 구속력 있는 수단(각 경우 수시로 적용 가능하며 유효하고, 수시로 개정, 통합, 재제정 또는 대체됨).

“개인정보”란 Perplexity가 서비스를 제공하기 위해 고객을 대신하여 처리하는 정보로서, 개인정보보호법에 따라 “개인정보(personal data)”, “개인 정보(personal information)” 또는 “개인 식별 정보(personally identifiable information)”로 정의되는 모든 정보를 의미합니다.

“개인정보보호법”이란 적용 가능한 범위에 따라 EU/UK 개인정보보호법, 미국 개인정보보호법 및 데이터 보호, 개인정보 보호 또는 개인정보 사용과 관련하여 컨트롤러와 프로세서가 개인정보 처리에 관한 특정 계약상의 약정을 체결하도록 요구하는 기타 관할권의 유사 법률을 의미하며, 각 경우 수시로 적용 가능하며 유효하고, 수시로 개정, 통합, 재제정 또는 대체됨.

“프로세서-프로세서 간 조항”이란 (i) GDPR의 적용을 받는 개인정보 이전과 관련하여, 2021년 6월 4일자 위원회 결정 2021/914에 명시된 제3국으로의 개인정보 이전을 위한 표준 계약 조항(모듈 3(프로세서-프로세서) 포함)을 의미하며, (ii) UK GDPR의 적용을 받는 개인정보 이전과 관련하여, 영국 정보위원회가 발행한 EU 위원회 표준 계약 조항(버전 B.1.0)에 대한 국제 데이터 이전 부속합의서를 의미하며, 각 경우 수시로 개정, 업데이트 또는 대체되는 바에 따릅니다.

“제3국”이란 유럽 경제 지역 또는 영국의 데이터 보호법 범위 밖의 모든 국가 또는 영토를 의미하며, 관련 관할 당국이 수시로 개인정보에 대한 적절한 보호를 제공한다고 승인한 국가 또는 영토는 제외합니다.

“미국 개인정보보호법”이란 적용 가능한 범위에 따라 캘리포니아 소비자 개인정보 보호법, 콜로라도 개인정보 보호법, 코네티컷 데이터 개인정보 보호법, 유타 소비자 개인정보 보호법, 버지니아 소비자 데이터 보호법, 개인정보 처리와 관련된 기타 주의 유사 법률, 및 전술한 법률에 따라 공포된 규정을 의미하며, 각 경우 수시로 적용 가능하며 유효하고, 수시로 개정, 통합, 재제정 또는 대체됨.

“사업자(Business)”, “컨트롤러(Controller)”, “프로세서(Processor)”, “판매(Sell)”, “서비스 제공자(Service Provider)” 및 “공유(Share)”라는 용어는 적용 가능한 개인정보보호법에 따라 부여된 의미를 갖습니다.

당사자의 역할. 당사자는 서비스를 제공함에 있어 고객으로부터 수령한 개인정보와 관련하여, 개인정보보호법의 목적상 고객이 컨트롤러, 프로세서 또는 사업자이며 Perplexity가 서비스 제공자 또는 프로세서임을 인정합니다.

고객의 의무: 고객은 서비스와의 통합 사용을 포함하여, 서비스 사용과 관련하여 Perplexity에 개인정보를 제공함에 있어 모든 개인정보보호법을 준수해야 합니다. 고객은 (a) 모든 개인정보가 개인정보보호법을 준수하여 고객에 의해 또는 고객을 대신하여 수집되었으며 항상 처리 및 유지되었음(개인에게 통지하고/하거나 동의를 얻어야 할 의무와 관련하여)을 진술 및 보증하며, (b) 고객은 Perplexity에 개인정보를 공개하고 Perplexity가 계약 및 본 DPA에 명시된 바와 같이 개인정보를 처리할 수 있도록 함에 있어 개인정보보호법을 준수했으며(합법적 근거 확보 포함), 달리 모든 필요한 권리, 허가, 동의 및 승인을 보유하고 있음을 진술 및 보증합니다. 고객은 본 조항에 따라 Perplexity에 대한 개인정보 제공이 미국 개인정보보호법상 판매 또는 공유에 해당하게 하거나, 달리 Perplexity가 미국 개인정보보호법상 서비스 제공자 또는 프로세서가 아니게 되는 어떠한 조치도 취해서는 안 됩니다. 고객은 계약에 따른 개인정보 처리가 개인정보보호법을 준수하지 않거나 준수하지 않을 것이라고 판단하는 경우 지체 없이 Perplexity에 통지해야 하며, 이 경우 Perplexity는 그러한 개인정보 처리를 계속할 의무가 없습니다.

개인정보 처리. 당사자는 처리 세부 사항이 부속서 1에 기술된 바와 같다는 데 동의합니다. 계약에 따라 개인정보를 처리함에 있어, Perplexity는 다음을 수행합니다:

적용 가능한 개인정보보호법에 의해 그러한 개인정보의 처리가 달리 허용되지 않는 한, 부속서 1에 기술된 제한적이고 구체적인 목적으로 고객의 문서화된 지침에 따라서만 개인정보를 처리하며, 항상 개인정보보호법 및 본 DPA의 조건을 준수하여 개인정보보호법이 요구하는 수준의 개인정보 보호를 제공합니다;

다음의 경우 고객에게 즉시 통지합니다: (i) 개인정보 처리에 대한 고객의 지침, 개인정보보호법상의 의무 또는 본 DPA의 조건을 더 이상 준수할 수 없다고 판단하는 경우, 또는 (ii) 고객의 지침이 적용 가능한 개인정보보호법을 위반한다고 판단하는 경우;

개인정보보호법에 따라 요구되는 범위 내에서, Perplexity가 본 DPA 및 개인정보보호법상의 고객 의무와 일치하는 방식으로 개인정보를 사용하도록 보장하고, 개인정보의 무단 사용을 중단 및 시정하는 데 도움이 되는 합리적이고 적절한 조치를 취할 권리를 고객에게 부여합니다; 그리고

개인정보를 처리하는 각 직원 또는 기타 사람이 해당 개인정보와 관련하여 적절한 비밀유지 의무를 지도록 요구합니다.

금지 사항. 개인정보보호법에 따라 요구되는 범위 내에서, Perplexity는 (a) 개인정보를 판매 또는 공유하거나, (b) Perplexity와 고객 간의 직접적인 비즈니스 관계 외의 목적으로, 또는 고객에게 서비스를 제공하는 구체적인 목적 외의 목적으로 개인정보를 보유, 사용 또는 공개하거나, (c) 고객으로부터 또는 고객을 대신하여 수령한 개인정보를 개인정보가 관련되는 개인과 Perplexity 간의 별도 상호작용 또는 기타 출처로부터 수집되었을 수 있는 개인정보와 결합해서는 안 됩니다. 명확히 하자면, 개인정보는 Perplexity의 대규모 언어 모델 학습에 사용되지 않습니다. Perplexity가 (i) 법 집행 기관으로부터 개인정보 공개에 대한 법적 구속력이 있는 요청을 받거나; (ii) 감독 당국/규제 기관(또는 유사 기관)으로부터 개인정보와 관련된 통지, 문의 또는 조사를 받거나; (iii) 정보 주체로부터 불만 제기 또는 요청을 받는 경우, 각 경우 본 DPA에 따라 고객을 위해 또는 고객을 대신하여 수행하는 Perplexity의 개인정보 처리와 관련하여, Perplexity는 (법률이 허용하는 범위 내에서) 고객에게 통지해야 합니다.

하청업체 사용.

고객은 이로써 Perplexity가 본 제6조의 요건을 충족하는 조건으로 부속서 2에 명시된 하청업체를 활용할 수 있는 일반적인 서면 승인을 부여합니다.

Perplexity가 새로운 하청업체를 지정하거나 모델 제공자(아래 정의됨)가 아닌 하청업체를 추가 또는 교체하는 것과 관련하여 변경을 하려는 경우, 10 영업일 전에 서면 통지(이메일 가능)를 고객에게 제공해야 하며, 그 기간 동안 고객은 개인정보의 비밀유지 또는 보안, 또는 하청업체의 개인정보보호법 준수와 관련된 합리적이고 문서화된 근거를 바탕으로 지정 또는 교체에 대해 이의를 제기할 수 있습니다(고객이 이의를 제기하지 않는 경우, Perplexity는 지정 또는 교체를 진행할 수 있습니다). 고객이 5일 이내에 이의를 제기하는 경우, 고객과 Perplexity는 이의에 대한 해결책에 합의하기 위해 성실히 협력해야 합니다(예: 개인정보 사용 제한, 또는 고객이 서비스의 특정 측면이나 기능을 일시적 또는 영구적으로 사용하지 않음). 그러한 성실한 논의에도 불구하고 해결책을 찾을 수 없는 경우, 고객은 (유일한 구제책으로) 계약을 해지할 수 있으며, 사용하지 않은 선불 수수료(계약에 정의됨)를 환불받을 수 있습니다.

Perplexity가 새로운 하청업체를 지정하거나 대규모 언어 모델 또는 기타 생성형 인공지능 모델을 제공하는 하청업체(이하 “모델 제공자”)를 추가 또는 교체하는 것과 관련하여 변경을 하려는 경우, Perplexity는 고객에게 통지(이메일 가능)하고 www.perplexity.ai/hub/legal/third-party-models에 명시된 “제3자 제공자” 목록을 업데이트할 것입니다(명확히 하자면, 각 제공자는 본 DPA에 따른 모델 제공자입니다). 고객이 지정 또는 교체에 이의를 제기하는 경우, 고객의 유일한 구제책은 해당 제3자 모델을 서비스 전체에서 사용하지 않는 것입니다(명확히 하자면, 고객은 지정 또는 교체 후 언제든지 그렇게 할 수 있습니다).

Perplexity는 본 DPA에 따른 Perplexity의 의무보다 해당 하청업체에 덜 부담이 되지 않는 의무를 포함하는 서면 계약에 따라서만 하청업체를 활용해야 합니다.

Perplexity가 EU/UK 개인정보보호법에 따라 고객을 대신하여 특정 처리 활동을 수행하도록 하청업체를 활용하는 경우, 해당 하청업체가 의무를 이행하지 못하면 Perplexity는 해당 하청업체의 의무 이행에 대해 적용 가능한 EU/UK 개인정보보호법에 따라 고객에게 완전한 책임을 집니다.

지원. Perplexity는 개인정보 처리와 관련하여, 그 결과로 발생하는 고객의 의무를 고객이 이행할 수 있도록 하기 위해 다음을 통해 고객에게 지원을 제공합니다:

개인정보보호법에 따른 권리를 행사하는 개인으로부터의 요청을 고객에게 통지하며, 여기에는 관련 개인정보를 제공, 삭제 또는 수정하거나 고객이 이를 수행할 수 있도록 지원하는 것이 포함되며, 가능한 범위 내에서 수행합니다;

개인정보보호법에 의해 요구되는 범위 내에서 데이터 보호 영향 평가를 수행하고, 필요한 경우 관련 관할 당국과 사전 협의합니다; 그리고

Perplexity가 개인정보 유출을 인지한 후 지체 없이 무단 또는 불법적인 접근, 파괴, 사용, 손실, 수정 또는 개인정보 공개(“개인정보 유출”)를 고객에게 통지합니다.

보안 조치. Perplexity는 최신 기술, 구현 비용 및 처리의 성격, 범위, 맥락 및 목적을 고려하여, 부속서 3에 명시되거나 고객과 Perplexity 간에 수시로 합의 및 문서화된 바와 같이 위험에 적절한 보안 수준을 제공하도록 설계된 적절한 기술적, 물리적 및 조직적 조치를 구현하며, 계약 기간 동안 이를 계속 준수합니다. Perplexity는 개인정보에 접근할 권한이 있는 직원 및 기타 사람들에게 데이터 보호 및 보안 교육을 제공합니다.

접근 및 감사. 고객의 합리적인 서면 요청이 있고 개인정보보호법에 의해 Perplexity에 요구되는 범위 내에서, Perplexity는 본 DPA 및 개인정보보호법상의 의무 준수에 관한 검사 및 감사를 허용하고 이에 협조해야 하며, 고객의 요청에 따라 준수를 입증하는 데 합리적으로 필요한 Perplexity가 보유한 정보를 고객에게 제공하고/하거나 적절하고 수용 가능한 통제 기준 또는 프레임워크와 평가 절차를 사용하여 그러한 준수에 대한 평가를 수행할 자격 있는 독립적인 감사인을 주선해야 합니다. Perplexity는 합리적인 요청이 있을 시 고객에게 그러한 평가 보고서를 제공합니다. 고객은 12개월마다 1회 이하로, Perplexity에 30일 전에 서면 통지하고, 당사자가 감사의 범위에 합의한 후에만, 그리고 감사인이 비밀유지 의무를 지는 경우에 한해(개인정보보호법에 의해 요구되는 범위 내에서) 그러한 정보 및/또는 감사를 요청할 수 있습니다. 전술한 내용에도 불구하고, 공급업체는 다른 고객에 대해 지는 비밀유지 의무나 법적 의무를 위반하게 되는 범위 내에서는 어떠한 경우에도 고객이 정보, 시설 또는 시스템에 접근하도록 허용할 의무가 없습니다.

개인정보 삭제. Perplexity는 고객에 대한 서비스 제공이 종료된 후 30일 이내에 모든 개인정보를 삭제(또는 고객의 선택에 따라 반환)해야 합니다. 단, 법률에 의해 개인정보의 보유가 요구되는 경우는 예외이며, 이 경우 Perplexity는 그러한 법적 요구 사항을 지체 없이 고객에게 통지하고 그러한 보유 의무가 만료되는 즉시 개인정보를 삭제(또는 고객의 선택에 따라 반환)해야 합니다.

데이터 이전. Perplexity가 제3국에서 EU/UK 개인정보보호법의 적용을 받는 개인정보를 처리하고 데이터 수입자 역할을 하는 범위 내에서, Perplexity는 이로써 본 DPA의 일부로 통합된 컨트롤러-프로세서 간 조항 또는 프로세서-프로세서 간 조항(적용 가능한 경우)에 명시된 데이터 수입자의 의무를 준수해야 하며, 다음을 수행합니다:

부속서 I 또는 제1부(관련된 경우)의 목적을 위해, (i) 고객은 컨트롤러 또는 프로세서(적용 가능한 경우)이고 Perplexity는 프로세서이며, (ii) 계약, 본 DPA 및 부속서 1에 명시된 당사자, 연락 담당자 세부 정보 및 처리 세부 사항이 적용되며 시작일은 계약의 발효일입니다;

적용 가능한 경우, UK 부속합의서 제1부의 목적을 위해, 관련 부속합의서 EU SCC(UK 부속합의서에 정의된 용어)는 본 제11조에 의해 본 DPA에 통합된 EU SCC입니다;

부속서 II 또는 제1부(관련된 경우)의 목적을 위해, 기술적 및 조직적 보안 조치, 그리고 고객을 지원하기 위해 Perplexity가 취하는 기술적 및 조직적 조치로서 부속서 3에 명시된 내용이 각각 적용됩니다;

적용 가능한 경우, 부속서 III 또는 제1부(관련된 경우)의 목적을 위해, 부속서 2에 명시된 승인된 하청업체 목록이 적용됩니다; 그리고

적용 가능한 경우, 다음 목적을 위해: (i) 제9조, 옵션 2(“일반적인 서면 승인”)가 선택된 것으로 간주되며 통지 기간과 관련하여 제6.b조 및 제6.c조를 참조합니다; (ii) 제11(a)조, 독립적인 분쟁 해결과 관련된 선택적 문구는 포함된 것으로 간주됩니다; (iii) 제13조 및 부속서 I.C, 관할 감독 당국은 아일랜드 규제 기관입니다; (iv) 제17조 및 제18조, 옵션 1이 선택된 것으로 간주되며 준거법 및 관할 법원은 각각 아일랜드 법 및 아일랜드 법원입니다; 그리고 (v) 제1부, 수출자로서의 고객은 해당 UK 부속합의서 제19조에 따라 UK 부속합의서를 해지할 수 있습니다.

Perplexity가 계열사나 제3자 하청업체를 지정하여 제3국에서 개인정보를 처리하는 범위 내에서, Perplexity는 고객을 대신하여 지정하는 관련 하청업체(계열사 포함)와 프로세서-프로세서 간 조항을 체결해야 합니다. 고객의 요청 시, Perplexity는 고객과 별도로 컨트롤러-프로세서 간 조항을 체결해야 하며, 개인정보의 처리가 개인정보보호법의 요건에 따라 이루어지도록 보장하기 위해 고객이 합리적으로 요청하는 기타 대체 또는 추가 조치를 취해야 합니다.

책임. EU SCC 제12조 및 계약으로 제한할 수 없는 준거법에 따를 것을 전제로, 계약, 불법행위 또는 기타 원인 여부를 불문하고 본 DPA, EU SCC 및 UK 부록과 관련하여 또는 이로 인해 발생하는 각 당사자의 총 누적 책임은 계약에 명시된 책임의 배제 및 제한 조항을 따르며, 본 DPA, EU SCC 또는 UK 부록에 따른 어떠한 책임도 해당 한도에 산입되며 그 한도를 증가시키지 않습니다. 본 조의 어떠한 내용도 EU SCC 제12조(b) 또는 제12조(c)에 따른 정보주체에 대한 각 당사자의 책임이나, 적용 가능한 데이터 보호법에 따라 제한될 수 없는 책임을 제한하지 않습니다.

부속서 1

처리 세부 정보:

처리의 성격

계약에 명시된 고객에 대한 서비스 제공.

처리 목적

계약에 명시된 고객에 대한 서비스 제공.

개인정보가 처리되는 개인의 범주

서비스의 승인된 사용자, 또는 고객이 결정하는 기타 개인.

처리된 개인정보의 범주

승인된 사용자의 계정 정보 및 고객이 결정하는 바에 따라 서비스를 통해 제출된 입력 데이터에 포함된 개인 정보. 입력 데이터에 포함된 모든 개인 정보는 (a) 서비스 인터페이스를 통해 고객이 이를 삭제한 날짜와 (b) Perplexity가 고객에게 더 이상 서비스를 제공하지 않는 날로부터 30일이 지난 날 중 늦은 날까지 저장됩니다.

개인정보보호법에 따라 “민감”하거나 “특수 범주”로 간주되는 처리 대상 개인정보 유형

승인된 사용자가 입력 데이터에 예기치 않게 포함하는 경우를 제외하고는 민감한 데이터는 처리되지 않습니다.

빈도(예: 일회성 또는 지속성) 및 처리 기간

계약 기간 및 계약에 명시된 종료 후 보유 기간 동안 지속적으로 처리됩니다.

제6조에 따라 승인된 하위 처리자가 수행하는 처리의 대상, 성격 및 기간은 본 부속서 1 및 부속서 2에 명시된 바와 같습니다.

부속서 2

승인된 하청업체:

https://perplexity.coolkeypoint.com/__p/trust.perplexity.ai/subprocessors에 명시된 바와 같습니다("신뢰 센터 서브프로세서 목록").

부속서 3

보안 조치:

Perplexity는 개인정보 처리로 인해 발생하는 위험에 비례하여 합리적인 보안 조치를 유지하며, Amazon 및 Microsoft를 포함하여 부속서 2에 명시된 하청업체가 구현 및 유지하는 보안 조치에 의존합니다. Perplexity의 보안 약정에 대한 자세한 내용은 계약을 참조하십시오.