개인정보 처리위탁 계약(안) 요지 — 제작사용
법률 검토 전 초안. 파일럿 제작사와의 대화를 위한 요지이며, 그대로 서명할 계약서가 아닙니다. 실제 체결 전 반드시 법률 검토를 거쳐야 합니다.
작성일: 2026년 9월 8일
왜 이 문서가 필요한가
제작사가 자사 메일함으로 받은 지원 메일을 캐스팅플로우로 전달하거나 콘솔에 붙여넣는 순간, 그 지원자들의 개인정보는 제작사가 수집한 정보입니다. 캐스팅플로우는 제작사의 지시에 따라 그것을 저장·정리·표시하는 수탁자가 됩니다. 「개인정보 보호법」 제26조는 이 관계를 문서로 남기도록 요구합니다.
배우가 캐스팅플로우에 직접 가입해 공고에 지원한 경우는 이 문서의 대상이 아닙니다. 그때 개인정보 처리자는 캐스팅플로우이고, 근거는 개인정보처리방침입니다.
| 구분 | 개인정보 처리자 | 캐스팅플로우의 지위 |
|---|---|---|
| 배우가 서비스에 가입해 직접 지원 | 캐스팅플로우 | 처리자 |
| 제작사가 받은 지원 메일을 전달·붙여넣기 | 제작사 | 수탁자 |
1. 위탁 업무의 내용
캐스팅플로우(수탁자)는 제작사(위탁자)를 위해 다음 업무만 수행합니다.
- 제작사가 전달한 지원 메일 또는 붙여넣은 텍스트에서 지원자의 이름·연락처·나이·키·프로필 URL을 추출하는 일
- 메일에 첨부된 이미지·영상을 저장하는 일(허용된 형식만)
- 위 정보를 해당 공고의 지원자 카드로 만들어 제작사 스태프 계정에 보여주는 일
- 지원자에게 개인 링크(
/r/{token})를 발급해 본인이 자신의 지원 내용을 확인·보완·삭제 요청할 수 있게 하는 일 - 제작사 스태프의 스크리닝·2차 요청·감독 공유 링크 기능을 제공하는 일
2. 목적 외 이용 금지
- 수탁자는 위탁 업무의 목적 범위를 넘어 개인정보를 이용하거나 제3자에게 제공하지 않습니다.
- 수탁자는 전달받은 지원자 정보를 다른 제작사에게 노출하지 않습니다. 지원서 접근은 프로젝트 멤버십으로 통제되며, 다른 프로젝트에서의 접근은 403으로 차단됩니다.
- 수탁자는 계정 없이 수입된 지원자의 자리표시 프로필을 배우 탐색(공개 프로필 풀)에서 제외합니다. 본인이 공개에 동의한 적이 없기 때문입니다.
- 수탁자는 지원자 정보를 마케팅·광고·통계 판매에 사용하지 않습니다.
3. 재위탁
- 수탁자는 위탁자의 사전 동의 없이 제3자에게 재위탁하지 않습니다.
- 위탁자는 다음 재위탁에 동의합니다.
| 재수탁자 | 업무 |
|---|---|
| Cloudflare, Inc. | 영상·이미지 저장과 전송(Stream / R2), 서비스 트래픽 터널, 지원 메일 수신 라우팅 |
- 재수탁자가 추가·변경되면 수탁자는 위탁자에게 사전에 알립니다.
4. 안전조치
수탁자는 다음 조치를 유지합니다.
- 모든 통신 구간 HTTPS
- 영상·이미지에 유효기간 있는 서명 URL(재생 토큰 1시간)만 사용, 직접 URL 노출 없음
- 프로젝트 멤버 권한 3단계(소유자/편집자/뷰어)와 프로젝트 간 접근 차단
- 감독 공유 링크에서 연락처·본명·소속사 제외, 256비트 토큰, 선택적 PIN(5회 오입력 시 15분 잠금)
- 지원 메일 수신 주소에 8자 비밀 토큰 부착, 유출 시 즉시 교체 가능
- 서버 로그의 토큰·비밀번호·이메일 마스킹, 감사 로그의 IP는 날짜별 해시로 저장
- 지원서 스냅샷은 공고 보관 후 180일에 자동 파기, 오류 로그는 30일에 자동 삭제
5. 관리·감독과 통지
- 위탁자는 수탁자에게 개인정보 처리 현황에 관한 자료를 요청할 수 있고, 수탁자는 지체 없이 제출합니다.
- 수탁자는 개인정보 유출·침해 사실을 인지하면 지체 없이 위탁자에게 알리고, 원인과 조치 내용을 함께 보고합니다.
- 지원자가 수탁자에게 직접 열람·정정·삭제를 요청하면 수탁자는 이를 처리하고 그 사실을 위탁자에게 알립니다.
6. 손해배상
수탁자가 이 계약을 위반하여 위탁자 또는 정보주체에게 손해가 발생한 경우, 수탁자는 그 손해를 배상합니다. 위탁자가 정보주체에게 손해를 배상한 경우 수탁자에게 구상할 수 있습니다. 다만 위탁자의 지시 또는 위탁자가 제공한 정보의 하자로 인한 손해는 그러하지 않습니다.
7. 계약 종료 시 반환·파기
- 계약이 종료되면 수탁자는 위탁자의 선택에 따라 개인정보를 반환하거나 파기합니다.
- 반환·파기는 종료일로부터 30일 이내에 완료하고, 그 결과를 위탁자에게 서면(전자문서 포함)으로 알립니다.
- 법령에 따라 보존해야 하는 정보는 그 기간 동안 분리 보관한 뒤 파기합니다.
8. 협의 사항
계약 기간, 위탁 대가, 감사(현장 점검) 방식, 준거법·관할은 파일럿 대화에서 정합니다. 이 문서는 그 대화를 시작하기 위한 요지입니다.