개인정보 처리방침

이 방침이 설명해야 하는 것

대부분의 개인정보 처리방침은 이메일 주소를 모으는 사이트를 설명합니다. 이 방침이 설명해야 하는 것은 그보다 무겁습니다. 여러분이 업로드하는 것은 혈액검사 결과이고, 검사 결과는 건강에 관한 정보입니다. 운영 회사가 프랑스에 있으므로 EU 일반개인정보보호규정(GDPR)이 적용되며, GDPR은 건강 데이터를 특수한 범주의 데이터(제9조)로 다룹니다. 한국에 사는 분의 개인정보를 처리하는 경우에는 「개인정보 보호법」도 적용될 수 있습니다. 이 법은 건강에 관한 정보를 “민감정보”로 정하고, 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받는 등 정해진 경우에만 처리할 수 있게 하고 있습니다(제23조제1항).

그래서 이 페이지는 저희가 바라는 것보다 길고, 모호하게 쓰는 편이 쉬운 부분도 구체적으로 적었습니다. 이해하기 어려운 부분이 있으면 알려 주십시오. 다시 쓰겠습니다.

개인정보처리자

Smart Medical Care SAS(본사: 프랑스 니스, SIRET 932 924 194 00016). 권리 행사를 포함해 이 페이지에 관한 모든 문의는 contact@blood-interpretation.com 으로 보내 주십시오. 개인정보 처리와 관련한 불만이나 피해 구제 요청도 같은 주소에서 받습니다.

「개인정보 보호법」은 한국에 주소나 영업소가 없는 개인정보처리자 가운데 일정한 기준에 해당하는 자에게 국내대리인을 지정하도록 정하고 있습니다(제31조의2). 그 기준은 전년도 전체 매출액 1조 원 이상, 전년도 말 기준 직전 3개월 동안 국내 정보주체 수 일일평균 100만 명 이상, 또는 개인정보보호위원회의 의결 등입니다(같은 법 시행령 제32조의3). 국내대리인을 지정하는 경우, 법에 따라 그 이름과 주소, 전화번호, 이메일 주소를 이 방침에 적습니다(같은 법 제31조의2제4항).

운영을 마친 대기자 명단

서비스가 열리기 전, 업로드 버튼은 한 가지만 묻는 양식으로 이어졌습니다. 서비스가 열리면 알려 드리기 위한 이메일 주소와, 그때 읽고 계시던 언어와 페이지였습니다. 이 양식은 이미 삭제했고, 이런 방식으로 주소를 모으는 일은 더 이상 없습니다.

명단에 이미 있는 주소의 법적 근거는 양식을 제출하면서 주신 동의입니다. 이 주소는 서비스 개시 안내 한 통에만 쓰고 다른 용도로는 쓰지 않으며, 누구에게도 넘기지 않습니다. 위 주소로 언제든지 삭제를 요청하실 수 있습니다. 명단은 등록된 모든 분께 안내를 보낸 뒤 지웁니다.

검사 결과를 업로드할 때 처리하는 정보

업로드한 검사 결과. 파일 자체와 거기서 읽어 낸 수치입니다. 분석하기 전에 문서에서 이름을 지웁니다. 엔진이 다루는 것은 여러분의 수치와 여러분이 알려 준 배경 정보이지, 여러분이 누구인지가 아닙니다.

여러분이 알려 주는 배경 정보. 나이, 성별, 그리고 판독 전에 드리는 질문에 대한 답입니다. 같은 수치라도 스물다섯 살과 일흔 살에게는 다르게 읽히기 때문입니다.

여러분의 계정. 계정을 만들 때 쓴 이메일 주소와, 이번 검사 결과를 다음 검사 결과와 비교할 수 있도록 보관하는 검사 결과입니다. 변화의 흐름에는 한 번의 결과에 없는 정보가 담겨 있습니다.

결제. 전체 보고서를 구매하시면 결제 사업자가 처리합니다. 저희는 카드 정보를 보거나 저장하지 않습니다.

기술 데이터. 서비스를 운영하고 안전하게 지키는 데 필요한 서버 로그입니다.

처리 목적과 법적 근거

전체 보고서 작성: 검사 결과를 업로드할 때 받는, 건강 데이터 처리에 대한 명시적인 동의에 근거합니다. GDPR은 이를 명시적 동의(제9조제2항(a))로 요구하고, 「개인정보 보호법」은 민감정보를 처리하려면 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받도록 정하고 있습니다(제23조제1항제1호). 검사 결과나 계정을 삭제하면 언제든지 동의를 철회할 수 있으며, 그 뒤로는 처리가 멈춥니다.

시간이 지나도 비교할 수 있도록 검사 결과를 보관하는 일: 같은 명시적 동의에 근거합니다. 보관을 원하지 않으시면 삭제해 주십시오. 아무것도 남지 않습니다.

대금 결제: 여러분과 저희 사이의 계약 이행입니다(「개인정보 보호법」 제15조제1항제4호, GDPR 제6조제1항(b)).

서비스 운영과 보안, 이용 현황 측정: 제대로 작동하고 개선할 수 있는 사이트를 운영한다는 저희의 정당한 이익에 근거하며, 여러분의 권리와 견주어 판단합니다. 이용 현황 측정은 저희의 이익만이 아니라 여러분의 동의가 필요하므로 아래에서 따로 설명합니다.

데이터를 보는 다른 곳

해석 엔진. 검사 결과를 읽고 설명을 쓰기 위해 EU 밖에 있는 인공지능 사업자를 이용합니다. 이 사업자는 계약에 따라 저희의 수탁자로서 처리합니다. 검사 결과는 그 목적 하나만을 위해 전송됩니다. 사업자의 모델을 학습시키는 데 쓰이지 않으며, 다른 목적으로 판매되거나 공유되지 않습니다.

호스팅 사업자 Outscale. 프랑스의 보건 데이터 호스팅 인증(HDS, hébergeur de données de santé)을 받은 프랑스 회사로, 데이터를 저장하고 서비스를 운영합니다.

결제 사업자. 구매할 때에만, 결제에 필요한 정보만 받으며 검사 결과에 관해서는 아무것도 받지 않습니다.

그 밖에는 아무도 없습니다. 검사 결과는 보험사, 고용주, 광고주를 비롯한 어떤 서비스와도 공유되지 않으며, 다른 곳에서 판매되는 무언가의 데이터 원천이 되지도 않습니다.

한국 밖, 그리고 EU 밖으로의 이전

한국에 사는 분의 데이터는 한국 밖에서 처리됩니다. 데이터는 프랑스의 Outscale에 저장되고, 업로드한 건강 데이터는 판독을 위해 미국의 인공지능 사업자에게 전송됩니다.

「개인정보 보호법」은 개인정보를 국외로 제공·처리위탁·보관하는 것을, 정보주체에게서 국외 이전에 관한 별도의 동의를 받은 경우나 계약의 체결과 이행에 필요한 처리위탁·보관으로서 그 내용을 개인정보 처리방침에 공개하거나 알린 경우 등에만 허용합니다(제28조의8제1항). 이때 알려야 하는 사항은 이전되는 개인정보 항목, 이전되는 국가와 시기·방법, 이전받는 자, 그 이용 목적과 보유·이용 기간, 이전을 거부하는 방법과 그 효과입니다(같은 조 제2항).

이전되는 항목은 업로드한 검사 결과(파일과 거기서 읽은 수치)와 여러분이 알려 준 배경 정보(나이, 성별, 판독 전 질문에 대한 답)입니다. 저장은 프랑스, 판독은 미국에서 이루어지며, 판독할 때 온라인으로 전송됩니다. 목적은 전체 보고서 작성 하나뿐입니다. 이전을 원하지 않으시면 검사 결과를 업로드하지 않으시면 됩니다. 이 경우 전체 보고서는 만들 수 없습니다.

EU 쪽에서 미국으로의 전송은 GDPR이 정한 보호 조치인 표준계약조항과, 인증을 받은 미국 기관에 적용되는 적정성 체계에 근거합니다. 저희는 이 내용을 눈에 띄지 않는 곳에 두지 않고 분명히 적습니다. 이 방침에서 읽는 분이 가장 알 권리가 있는 부분이기 때문입니다.

보관 기간

검사 결과와 계정은 계정이 있는 동안 보관합니다. 보관해 두어야 이번 판독을 지난번 판독과 비교할 수 있기 때문입니다. 여러분이 스스로 쌓아 온 기록을 자동으로 지우는 기한은 없습니다.

검사 결과 하나 또는 계정 전체를 계정에서 언제든지 삭제할 수 있습니다. 계정을 삭제하면 검사 결과도 함께 삭제됩니다.

기술 로그는 보안과 장애 대응에 필요한 제한된 기간 동안만 보관합니다. 구매와 관련된 기록은 프랑스 회계법과 세법이 요구하는 기간 동안 보관합니다.

쿠키와 이용 현황 측정

이 사이트는 이용 현황 측정에 Google Analytics 4를 사용합니다. 이 도구는 쿠키를 저장하고 미국으로의 데이터 전송을 수반하므로, 동의하신 경우에만 작동합니다. 거부해도 서비스에는 아무런 영향이 없습니다. 판독, 보고서, 계정은 똑같이 이용하실 수 있습니다.

여러분의 선택은 6개월 동안 보관하며, 그 뒤에 다시 여쭙니다. 모든 페이지 하단의 “쿠키 설정” 링크에서 언제든지 선택을 바꿀 수 있습니다. 동의를 철회하면 측정이 멈추고 관련 쿠키가 삭제됩니다.

로그인 상태 유지처럼 서비스 운영에 꼭 필요한 쿠키는, 그것 없이는 서비스가 작동하지 않으므로 동의 없이 저장합니다. 광고용 쿠키나 소셜 미디어 쿠키는 사용하지 않습니다.

여러분의 권리와 도움을 받을 수 있는 곳

「개인정보 보호법」에 따라 여러분은 자신의 개인정보에 대한 열람(제35조), 정정과 삭제(제36조), 처리정지와 동의 철회(제37조)를 요구할 수 있고, 이런 요구를 대리인을 통해 할 수도 있습니다(제38조제1항). GDPR에 따라 처리 제한, 이동 가능한 형태로 데이터를 받을 권리, 저희의 정당한 이익에 근거한 처리에 대한 반대도 요구할 수 있습니다. 동의는 언제든지 철회할 수 있습니다.

요구는 contact@blood-interpretation.com 으로 보내 주십시오. 1개월 이내에 답변하며, 더 오래 걸리는 경우에는 그 사실을 알려 드립니다. 다만 「개인정보 보호법」이 적용되는 열람 요구에 대해서는 같은 법 시행령이 정한 10일의 기간이 적용됩니다(시행령 제41조제4항).

저희 답변에 만족하지 못하시면 개인정보보호위원회(pipc.go.kr)에 침해 사실을 신고할 수 있고(제62조제1항), 한국인터넷진흥원(KISA)이 운영하는 개인정보침해 신고센터(국번 없이 118, privacy.kisa.or.kr)에서 상담을 받을 수 있습니다. 분쟁의 조정은 개인정보 분쟁조정위원회에 신청할 수 있습니다(제43조제1항). Smart Medical Care SAS는 프랑스에 있으므로 프랑스 감독기관인 CNIL(cnil.fr)에 민원을 제기할 수도 있습니다.

이 방침의 변경

이 방침은 서비스가 바뀌면 함께 바뀌며, 마지막 개정일은 페이지 하단에 표시됩니다. 여러분의 검사 결과를 다루는 방식에 영향을 주는 변경은 몰래 하지 않고 미리 알려 드립니다.