고객 자료 취급 기준

이 기준은 WoodIT가 고객 프로젝트를 수행하면서 받거나 작성하는 자료의 보관·보호·수수·반환·파기 방법과, 이에 관한 기록의 제공 범위를 정하는 것을 목적으로 합니다.

이 기준은 WoodIT가 수행하는 모든 고객 프로젝트의 프로젝트 자료에 적용됩니다.

고객과 WoodIT 사이의 개별 계약(비밀유지계약을 포함합니다)에 이 기준과 다른 내용이 있으면 그 계약이 우선합니다.

이 기준에서 쓰는 용어의 뜻은 다음과 같습니다.

1. "프로젝트 자료"란 고객이 제공한 자료와, 이를 기초로 WoodIT가 프로젝트 수행 중 작성한 자료를 말합니다.
2. "테넌트"란 WoodIT가 관리하는 Microsoft 365 조직 환경을 말합니다.
3. "보호 등급"이란 문서에 적용되는 Microsoft Purview 민감도 레이블을 말합니다.
4. "기록"이란 테넌트에 남는 프로젝트 자료의 접근·변경·보호 등급 변경 등에 관한 감사 기록을 말합니다.

프로젝트 자료의 원본은 테넌트에 보관합니다. 테넌트의 파일 저장소 데이터 위치는 대한민국입니다.

테넌트를 운영하는 Microsoft는 미국 사업자이므로, 프로젝트 자료는 미국 법률(CLOUD Act, FISA Section 702 등)에 따른 정부의 제출 요구 대상이 될 수 있습니다. WoodIT는 이 사실을 계약 시 고지합니다.

WoodIT는 고객 프로젝트마다 별도의 SharePoint 사이트를 두어 프로젝트 자료를 보관합니다.

사이트 접근 권한은 해당 프로젝트 참여자에게만 부여합니다.

프로젝트 사이트의 문서를 Office 앱에서 새로 만들거나 수정해 저장하면 보호 등급이 자동으로 적용됩니다.

제1항의 보호 등급이 적용된 문서는 암호화되며, WoodIT 계정으로만 열 수 있습니다.

제1항의 보호 등급이 적용된 문서의 열람 권한은 WoodIT가 관리하며, 부여한 권한을 거둘 수 있습니다.

제1항은 Word, Excel, PowerPoint 문서에 적용됩니다. 그 밖의 형식(HWP, 압축 파일, 이미지, CSV 등)은 암호화되지 않으며, 제5조 제2항의 접근 권한으로 보호합니다.

Office 앱에서 수정하지 않고 올리기만 한 문서는 수정되기 전까지 보호 등급이 없을 수 있으며, 그동안은 제5조 제2항의 접근 권한으로 보호합니다.

문서의 보호 등급을 낮추려면 사유를 입력해야 합니다.

보호 등급을 변경하면 변경한 사람, 일시, 대상 문서, 변경 전후 등급과 사유가 기록됩니다.

WoodIT는 업무 자료를 @woodit.io 회사 계정으로 주고받습니다. 고객이 명시적으로 요청한 경우가 아니면 개인 메일 주소나 출처를 확인할 수 없는 경로로는 업무 자료를 받지 않으며, 요청에 따라 다른 경로를 쓴 경우 요청한 사람과 사유를 기록합니다.

지속적인 공유가 필요한 경우 WoodIT는 고객 담당자를 해당 프로젝트 사이트에 게스트로 초대할 수 있습니다. 게스트는 초대받은 사이트에만 접근할 수 있습니다.

WoodIT는 자료를 첨부 대신 링크로 보내는 것을 원칙으로 합니다. 새로 발급하는 익명 공유 링크의 회사 운영 기준은 보기 전용·기본 7일·최대 14일이며, 자료 전달 전 실제 권한과 만료일을 확인합니다. 이 링크는 로그인 없이 열립니다.

제3항의 링크는 수신인에게만 전달한 것이며, 수신인은 이를 제3자에게 전달할 수 없습니다. 수신인 측에서 공유가 필요하면 WoodIT에 요청하고, WoodIT는 해당 인원에게 따로 보냅니다.

링크가 만료되거나 해제되어도 이미 내려받은 사본은 회수되지 않습니다.

고객은 자신의 프로젝트 자료에 관한 기록을 제공해 달라고 WoodIT에 요청할 수 있습니다.

WoodIT는 제1항의 요청을 받으면 해당 고객의 프로젝트 자료에 관한 기록을 추려서 제공합니다. 원본 기록 대신 발췌하거나 요약한 형태로 제공할 수 있습니다.

제공할 기록에 다음 정보가 포함되어 있으면 WoodIT는 그 부분을 가리거나 빼고 제공합니다.

1. 다른 고객의 명칭, 프로젝트명, 파일명, 경로 등 다른 고객을 식별하거나 추정할 수 있는 정보
2. 제3자의 개인정보
3. 테넌트나 정책의 식별자, 시스템 구성 세부 등 WoodIT의 보안 구성을 드러내는 정보

기록은 테넌트가 그 기록을 보존하는 기간 안에서만 제공할 수 있습니다. 보존 기간이 지난 기록은 제공할 수 없습니다.

로그인 없이 열리는 링크(제8조 제3항)의 접근 기록에는 접근 일시와 IP가 남으며, 접근한 사람은 기록되지 않습니다.

법령에 따라 제공이 제한되는 기록은 그 법령을 따릅니다.

계약이 끝난 뒤 프로젝트 자료의 보관 기간과 반환·파기 방법은 계약에서 정합니다.

계약에서 정하지 않은 경우 WoodIT는 용역 종료 후 3개월 동안 프로젝트 자료를 보관한 뒤 삭제합니다. 삭제한 자료는 최대 93일 동안 복구할 수 있는 상태로 남았다가 자동으로 영구 삭제됩니다. 93일은 파일 기준입니다.

계약에서 제2항보다 짧은 보관 기간을 정한 경우, 또는 고객이 파기를 요청한 경우에는 휴지통의 보관 기간을 두지 않고 영구 삭제합니다. 파일은 그 즉시, 메일은 삭제 후 최대 14일이 지나면 복구할 수 없게 됩니다.

고객이 요청하면 WoodIT는 파기 대상과 삭제일, 영구 삭제일(또는 영구 삭제 예정일)을 적은 확인서를 제공합니다.

영구 삭제한 뒤에도 Microsoft의 서비스 백업에는 짧은 기간 남을 수 있으며, 이 백업은 WoodIT가 열람하거나 지울 수 없습니다.

계약이 체결되지 않거나 취소·해지된 경우, WoodIT는 법령상 보존 의무가 있는 자료를 제외하고 그때까지 받은 자료를 제2항의 보관 기간을 두지 않고 지체 없이 영구 삭제합니다. 복구할 수 없게 되는 시점은 제3항과 같습니다.

이 기준의 보호 조치는 테넌트 안의 프로젝트 자료에 적용되며, 다음에는 미치지 않습니다.

1. 제7조에 따라 보호 등급을 낮추어 고객에게 전달한 자료와, 제8조에 따라 고객이 내려받은 사본을 고객이 보관하거나 이용하는 부분
2. 고객이 보낸 자료가 테넌트에 도착하기 전의 전송 구간

보안 관련 질문, 취약점 신고, 제9조의 기록 제공 요청과 제10조의 반환·파기 요청은 compliance@woodit.io로 보내 주십시오.

이 기준을 개정하면 개정일과 시행일을 이 페이지에 적습니다.

이전 판은 고객이 요청하면 제공합니다.

WoodIT는 미국 상무부 산업안보국(BIS)의 거래 제한 목록(Entity List 등)과 미국 재무부 해외자산통제국(OFAC)의 제재 목록(SDN 등)에 오른 개인·기관과 거래하지 않습니다.

WoodIT는 계약 전에 거래 상대방을 제1항의 목록으로 조회하고 그 결과를 기록합니다. 일치 가능성이 있으면 원본 목록과 대조하여 동일인 여부를 확인하며, 확인할 수 있는 범위에서 상대방의 직간접 소유자와 사업의 최종 사용자도 함께 조회합니다.

계약 후 상대방이 제1항의 목록에 오르거나 제재 대상에 해당하는 것으로 확인되면 WoodIT는 관련 업무와 자료 접근을 중단합니다. 보유 자료는 관련 법령, 제재 규정 및 법적 보존 의무를 확인한 뒤 반환·삭제하거나, 필요한 기간 동안 격리하여 보존합니다.