Data Processing Agreement

데이터 처리 계약, 버전 1

Effective 2026-09-20. AstroWay API, api.astroway.info.

1. 우리가 누구이며 이것이 다루는 내용

이 계약은 데이터 컨트롤러 역할을 하는 당신, 고객과 우크라이나의 개인 사업자 (ФОП) Maksym Burkhan 사이이며, api.astroway.info를 제28조 GDPR에 따라 당신의 데이터 프로세서로 운영합니다.

당신의 계정이 존재하고 API에 요청을 보내는 한 적용되며, API를 통해 전송하는 데이터만을 규율합니다. 당신의 계정 상세 정보는 별도이며, 우리가 컨트롤러이고 우리의 privacy policy 가 적용됩니다.

2. 우리가 처리하는 내용과 이유

주제 및 목적. 당신은 API에 출생 데이터를 보냅니다: 날짜, 시각, 시간대 또는 오프셋, 그리고 좌표. 우리는 점성 결과를 계산해 반환합니다. 이것이 전부이며, API 호출은 당신의 지시입니다.

데이터 주체의 범주. 당신의 최종 사용자들, 혹은 당신이 제출하는 출생 순간의 모든 사람.

데이터 유형. 출생 날짜와 시간, 좌표, 그리고 선택적인 name 및 city 필드. name과 city는 절대 저장되지 않습니다: 요청이 진행되는 동안 메모리에만 보관되고 어디에도 기록되지 않습니다.

기간. 섹션 9에 따라 당신의 계정이 존재하는 동안.

우리가 사람 대신 호출에 대해 기록하는 내용. 엔드포인트, 메서드, 상태, 지연 시간, 바이트 수, 호출자의 IP 주소와 그 주소의 첫 16비트를 소금으로 처리한 비가역 해시, User-Agent, 출처, 그리고 대략적인 국가, 도시, 네트워크 운영자. 이를 30일간 보관합니다.

3. 우리가 약속하는 내용

• 우리는 당신의 문서화된 지시 에만 당신의 데이터를 처리합니다. 이는 당신이 수행하는 API 호출과 우리에게 보내는 모든 서면 지시이며, EU 또는 회원국 법이 달리 요구하지 않는 한, 그런 경우에는 법이 금지하지 않는 한 처리 전에 알려드립니다.
• 지시가 불법으로 보이면, 우리는 즉시 알려드립니다 조용히 수행하지 않습니다.
• 서비스는 한 사람이 운영하며, 그 사람은 비밀 유지 의무가 있으며 관리 접근 권한을 가진 유일한 인간입니다.
• 우리는 섹션 5에 명시된 보안 조치를 유지합니다.
• 우리는 데이터 주체의 요청에 답변하도록 돕고, 제32조부터 36조까지의 의무를 이행하도록 돕습니다, 가능한 범위 내에서 우리가 보유한 것을 고려하여. 이 한정은 법 자체의 것이며, 구체적으로는 우리는 최종 사용자의 이름, 이메일, 식별자를 저장하지 않으므로 보통 한 사람의 행을 찾을 수 없습니다. 당신은 자신의 기록을 통해 DELETE /v1/me/account 로 계정에 대한 모든 보유 데이터를 삭제할 수 있습니다.
• 우리는 당신의 데이터를 우리 목적에 사용하지 않으며, 판매하지 않고, 모델 학습에도 사용하지 않습니다.

4. 하위 프로세서

하위 프로세서	역할	위치
Hetzner Online GmbH	컴퓨팅, 데이터베이스 및 파일 저장	독일, 뉘른베르크
Cloudflare, Inc.	CDN, DNS 및 DDoS 보호, EU 지역 캐시 규칙 포함	미국 기업, EU 엣지는 EU 트래픽을 제공

우리는 여기서 적용하는 데이터 보호 의무를 그들에게도 동일하게 부과하며, 그들의 행위에 대해 당신에게 완전하게 책임을 집니다.

당신은 이 두 업체에 일반적인 권한을 부여합니다. 우리는 하나를 추가하거나 교체하기 전에 이메일로 알려드리며, 합리적인 데이터 보호 사유로 이의를 제기할 수 있습니다; 이의를 해결하지 못하면 서비스를 중단하고 결제한 기간 중 사용하지 않은 부분을 환불합니다.

우리의 결제 및 이메일 공급업체는 의도적으로 표에 포함되지 않았습니다, 이들은 이 계약에 포함된 데이터를 절대 보지 않기 때문입니다. Brevo는 거래 메일을 당신에게 보내고, Monobank는 카드 결제를 처리하며, LiqPay는 2026년 10월에 추가되었습니다. 두 서비스 모두 최종 사용자가 아닌 당신의 계정과 관련이므로 개인정보 처리방침에 명시됩니다.

5. 보안

• 전송은 TLS만 사용되며, 일반 HTTP는 리다이렉트됩니다.
• 비밀번호는 bcrypt로 해시되고 API 키는 해시된 형태로 저장됩니다.
• IP 주소는 소금이 추가된 SHA-256 해시로만 저장되며, 행이 기록될 때 계산됩니다. 소금은 서버 환경에 존재하고 코드에는 절대 없습니다.
• 데이터베이스 계정은 소비자별로 분리되며, 최소 권한만 부여되고 데이터베이스는 루프백에서만 청취합니다.
• 백업은 머신을 떠나기 전에 AES-256으로 암호화됩니다.
• 관리 접근은 SSH 키를 통해 한 사람만 가능하며, 공유 자격 증명이 없습니다.

우리가 가지고 있지 않은 것은, 말하는 것이 말하는 것보다 더 나쁠 것이기 때문에: 우리는 SOC 2 보고서와 자체 ISO 27001 인증을 보유하고 있지 않습니다. Hetzner는 우리 서버가 위치한 데이터 센터에 대해 ISO/IEC 27001을 보유하고 있습니다.

6. 이전, 간단히 설명

당신의 데이터는 독일, 뉘른베르크에 있는 서버에서 처리되며, EEA 외부로 복제하지 않습니다.

우리는 여전히 우크라이나에 설립되어 있으며, 제45조에 따른 적정성 결정이 없습니다. EDPB 가이드라인 05/2021에 따르면 이는 제3국으로의 이전이며, 우크라이나에서 독일 서버에 대한 관리 접근도 마찬가지입니다. 원격 접근은 복사가 없더라도 카운트되기 때문입니다. 따라서 우리는 국경 간 이전이 없다고 말하지 않습니다; 이전이 존재하며, 이것이 해당됩니다.

우리는 **표준 계약 조항(Implementing Decision (EU) 2021/914, Module Two (controller to processor))**에 가입하며, 이는 본 계약에 참조로 포함되어 충돌 시 우선합니다. 본 계약의 섹션 2, 5, 4는 각각 부록 I, II, III에 해당합니다. 양당사자 서명본은 legal@astroway.info 로 요청 시 제공됩니다.

실제로 이전되는 것은 독일 시스템에 대한 인증된 관리 접근이며, 데이터베이스의 내보내기는 아닙니다.

7. 우리가 준수함을 보여주기

우리는 이 계약과 위의 보안 설명을 통해 제28조 준수를 입증하는 데 필요한 정보를 제공하며, 12개월 기간 내에 합리적인 서면 보안 설문지를 한 번 무료로 완료합니다.

그것만으로 충분하지 않다면, 12개월마다 한 번, 30일 서면 통보 후, 원격으로, 영업시간 내에, 당신을 위해 수행하는 처리만을 대상으로, 다른 고객의 데이터는 절대 포함하지 않는 감사가 가능합니다. 감사 비용과 감사인 비용은 당신이 부담합니다. 감독 기관이 검사를 요구하는 경우에는 이 제한이 적용되지 않습니다.

8. 위반이 발생했을 경우

우리는 당신이 처리하는 개인 데이터 위반을 인지한 즉시 지체 없이 계정 이메일 주소로 통보합니다. 첫 번째 통보는 불완전할 수 있으며, 더 알게 되는 대로 추가 통보합니다.

우리는 최종 사용자의 연락처 정보를 보유하고 있지 않으므로, 제34조에 따른 통보는 당신이 직접 해야 합니다.

9. 종료

계정이 종료될 때, 보유 중인 데이터를 반환하거나 삭제하고 싶은지 알려주시면 그렇게 합니다. 아무 말도 하지 않으면 삭제합니다.

예외는 세법이 요구하는 보관 항목으로, 우크라이나 세법 §44.3에 따라 1095일 동안 결제 기록을 보관합니다. 이는 3년이며, 이전 초안이 추정한 7년이 아닙니다. GDPR 제17조(3)(b)는 법적 의무로 보관되는 기록은 삭제 권리에서 제외된다고 명시하므로, 삭제 요청이 해당 기록에 적용되지 않습니다.

10. 이 계약 수락

당신은 대시보드에서 이를 수락하며, 수락 기록에는 계정, 버전, 시점이 명시됩니다. 제28조(9)는 계약이 서면, “전자 형태 포함”이어야 한다고 요구하므로, 그 기록이 계약이며 기다릴 것이 없습니다. 다운로드 가능한 PDF도 동일한 기록을 포함합니다. 서명된 종이 사본은 요청 시 제공됩니다.

우리가 이 텍스트를 실질적으로 변경하면 새로운 버전이 되며, 당신에게 그 버전을 수락하도록 요청합니다; 당신이 수락한 버전은 여전히 당신이 동의한 버전으로 남습니다.