데이터 처리 부속서

This Data Processing Addendum ("DPA") applies between TEKRAVEL TRAVEL AND TECHNOLOGIES - FZCO ("Tekravel", "we", "us" or "our") and every business that uses Tekravel ("you"), and forms part of the agreement under which you use the platform: the Platform Terms and Conditions you accept in your Admin Panel. It sets out how we process personal data for you when we host your booking website and provide the platform to you, as the UAE Personal Data Protection Law (Federal Decree-Law No. 45 of 2021) requires and, where they apply, Article 28 of the EU and UK GDPR. Words such as "personal data", "processing", "controller", "processor", "data subject" and "personal data breach" have the meaning the applicable data protection law gives them, and a "sub-processor" is a service provider we engage to process personal data for you.

1. 1적용 범위 및 역할

   This DPA applies whenever we process personal data for you in providing Tekravel: on your booking website, in the Admin Panel, through our APIs and in the bookings made through them. For that data, you are the controller and we are your processor. If you act for another business, for example as its sub-agent, you confirm that your instructions to us are authorised by that business. This DPA does not cover the personal data we handle as a controller for our own purposes, such as your account and sign-in records, the verification and sanctions screening of your business, our billing and support, and the security of the platform. Our Privacy Policy describes that. When a booking is made, the travel suppliers concerned (airlines, reservation systems, hotel, package and attraction suppliers) receive the traveller details they need to issue and service it. They handle those details under their own terms and privacy policies and are not our sub-processors.

2. 2처리의 대상, 기간, 성격 및 목적

   • Subject matter: hosting and running your booking website and providing the Tekravel platform to you. • Duration: as long as we provide the platform to you, and after that for as long as we keep the data (see "Deletion or return at the end" below). • Nature: collecting, recording, storing, organising, retrieving, using, transmitting and erasing personal data by automated means, and passing it to the suppliers and service providers that a booking or a service needs. • Purpose: to run your website and Admin Panel, search for and book travel services, process the payments made on your website, issue tickets and vouchers, send the messages you set up, support you and keep the platform secure, and for no other purpose.

3. 3개인정보 및 정보주체

   정보주체는 다음과 같습니다. • 귀하의 고객과 그 고객이 예약하는 여행자(성인이 대신 예약하면서 정보를 제공하는 아동 및 유아 포함) • 문의나 채팅 등을 통해 귀하의 웹사이트로 귀하에게 연락하는 사람 • 귀하의 직원, 하위 대리점 및 기타 사용자(귀하가 관리자 패널에서 관리하는 이들에 관한 정보) 개인정보에는 다음이 포함될 수 있습니다. • 이름, 이메일 주소, 전화번호 및 우편 주소 • 생년월일, 성별, 국적, 여권 또는 신분증 번호와 그 만료일. 귀하가 여권 스캔을 켜는 경우에는 스캔한 이미지 • 예약: 여정, 호텔 숙박, 예약 번호, 회원 번호 및 특별 요청. 여기에는 식사 선택이나 도움 요청 등 건강 또는 종교에 관한 정보가 드러날 수 있습니다. • 결제: 금액, 상태 및 참조 번호, 그리고 저장된 카드의 브랜드, 마지막 네 자리 및 유효기간. 전체 카드 번호는 당사가 아닌 결제 서비스 제공업체가 처리합니다. • 고객 계정: 사용자 이름, 비밀번호 해시, 로그인 기록, IP 주소 및 기기 정보 • 메시지: 채팅, 이메일, SMS, WhatsApp 및 Telegram 메시지와 사람들이 보내는 파일

4. 4귀하의 지시에 따른 처리

   We process the personal data only on your documented instructions. Your instructions are this DPA, the agreement under which you use the platform and the platform contract; the settings you choose and what you and your users do in the Admin Panel and through our APIs; and any other written instruction you give us that is consistent with them. We do not use the data for any other purpose of our own, we do not sell it, and we do not use it to train artificial intelligence models. If a law we are subject to requires us to process the data in another way, we tell you before we do, unless that law forbids it. If we believe an instruction breaks the applicable data protection law, we tell you straight away, and we may hold off carrying it out until you confirm or change it.

5. 5개인정보 처리자로서 귀하의 책임

   귀하는 다음에 대한 책임이 있습니다. • 귀하가 웹사이트에서 수집하고 당사에 처리를 요청하는 개인정보에 대해 적법한 근거를 갖추고, 통상 귀하의 웹사이트 자체 개인정보 처리방침을 통해 이를 어떻게 이용하는지 고객에게 알리는 것 • 귀하의 예약과 서비스에 필요한 정보만 수집하고, 민감정보는 예약에 필요한 경우에 한하여 플랫폼이 이를 위해 제공하는 입력란에서만 수집하는 것 • 아동이나 다른 여행자를 위해 예약하는 사람이 그들의 정보를 제공할 권한이 있는지 확인하는 것 • 귀하의 지시의 적법성과 귀하가 입력하는 정보의 정확성 • 귀하의 사업에 맞는 설정과 사용자 역할을 선택하고, 귀하의 사용자들의 로그인 정보를 안전하게 관리하는 것

6. 6기밀 유지

   플랫폼을 제공, 지원 또는 보호하기 위해 개인정보가 필요한 직원과 계약자만 해당 정보에 접근할 수 있으며, 그 접근도 업무상 필요한 범위로 한정됩니다. 이들은 각각 당사를 위한 업무가 종료된 후에도 지속되는 서면상 또는 법률상 비밀유지 의무를 부담하며, 개인정보 보호 및 보안에 관한 교육을 받습니다.

7. 7보안 조치

   당사는 최신 기술 수준, 비용 및 처리의 성격을 고려하여 위험에 상응하는 기술적·관리적 조치로 개인정보를 우발적이거나 불법적인 파기, 분실, 변경, 공개 또는 접근으로부터 보호합니다. 이러한 조치에는 다음이 포함됩니다. • 전송 중(HTTPS) 및 저장 시 암호화 • 당사 직원과 귀하의 사용자를 위한 개별 사용자 계정, 역할 기반 접근 통제 및 최소 권한 원칙 • 각 파트너의 정보를 다른 파트너의 정보와 논리적으로 분리 • 비밀번호는 되돌릴 수 없는 해시로만 저장하며, 결제 게이트웨이 인증 정보는 저장한 후 다시 표시하지 않음 • 로그인, 관리자 패널에서 이루어진 변경 및 API 요청에 대한 로그 • 공개 양식의 봇 방지 • 사고 발생 후 정보를 복구할 수 있도록 데이터베이스를 정기적으로 백업 • 소프트웨어를 최신 상태로 유지하고, 당사의 코드와 그 코드가 의존하는 소프트웨어의 보안 문제를 점검 • 당사 직원에 대한 개인정보 보호 및 보안 교육 • 보안 사고를 탐지, 조사 및 대응하기 위한 문서화된 절차 당사는 기술과 위험의 변화에 따라 이러한 조치를 변경할 수 있으나, 전반적인 보호 수준을 낮추는 방식으로 변경하지는 않습니다.

8. 8재수탁자

   You give us a general authorisation to engage sub-processors. Our current sub-processors are named in our sub-processor list, published on our website at /subprocessors, with what each one does, the personal data it receives, where it is based and how transfers are protected. Your Master, and any top-level master above it, may access your Admin Panel to support you, handle cases and supervise its part of the network. When it accesses personal data that we process for you, it acts as our sub-processor: we bind it by written contract as we bind our other sub-processors. Your Admin Panel shows your Master's name and contact details, and we tell you on request where it is based and which top-level master is above it. Moving you to a different Master, or placing a new top-level master above it, is a change of sub-processor for your data: we tell you, and you can object, as the next paragraph describes. A Master that stops acting for us is a case in which we must act sooner to keep the service running. Before a new sub-processor starts processing your data, we update that list and tell you by email or in the Admin Panel at least 30 days in advance, unless we must act sooner for security reasons or to keep the service running, in which case we tell you as soon as we can. You can object on reasonable data protection grounds by writing to [email protected] within that period. We will discuss your concerns in good faith and look for a solution; if we cannot find one, you may stop using the service concerned or close your account without any penalty, and we refund, pro rata, any fee you paid in advance for that service or for a period after your account closes. We bind every sub-processor, by written contract, to data protection obligations that protect the personal data at least as well as this DPA, in particular on security, confidentiality and using the data only to provide its services to us. We remain liable to you for our sub-processors' work as for our own.

9. 9국제 전송

   We and our sub-processors may process the personal data outside the country where it was collected, including outside the United Arab Emirates, as our sub-processor list shows for each sub-processor. We transfer it only as the UAE Personal Data Protection Law allows: to countries with an adequate level of protection, or with appropriate safeguards such as contractual commitments. Where the EU or UK GDPR applies, we transfer the data only to a country covered by an adequacy decision or under the standard contractual clauses approved by the European Commission (with the UK addendum for UK data), which we sign with the sub-processor concerned. Where the transfer from you to us itself needs such safeguards, those clauses (module two, or module three if you are a processor yourself) and the UK addendum apply between you and us and form part of this DPA, with this DPA providing the details they require.

10. 10귀하의 의무 이행 지원

    당사는 처리의 성격과 당사가 이용할 수 있는 정보를 고려하여 귀하가 다음을 이행하도록 지원합니다. • 권리를 행사하는 귀하의 고객 및 기타 정보주체의 요청에 대한 답변. 귀하는 관리자 패널에서 그들의 계정과 예약을 찾을 수 있으며, 계정 삭제나 계정 정보 내보내기 등 관리자 패널에서 제공하지 않는 조치가 요청에 필요한 경우 당사에 지원을 요청할 수 있습니다. 요청이 당사에 직접 접수되면 당사는 지체 없이 이를 귀하에게 전달하며, 귀하가 요청하지 않는 한 직접 답변하지 않습니다. • 개인정보 영향평가의 수행 및 법률이 요구하는 경우 개인정보 보호 감독기관과의 협의. 이를 위해 당사의 처리 및 보안 조치에 관하여 귀하가 합리적으로 필요로 하는 정보를 제공합니다. • 본 부속서에 설명된 바에 따른 보안 및 개인정보 침해에 관한 귀하의 의무 이행 플랫폼과 본 부속서가 제공하는 범위를 넘는 지원이 필요한 경우, 당사는 귀하와 사전에 합의한 합리적인 수수료를 청구할 수 있습니다.

11. 11개인정보 침해

    If we become aware of a personal data breach affecting the personal data we process for you, we tell you as soon as we become aware of it, and in any case within forty-eight (48) hours, by email to the address on your account. We tell you, as far as we know it at the time and in stages if we cannot tell you everything at once: • what happened and when; • the categories and approximate number of data subjects and records concerned; • the likely consequences; • what we have done or propose to do to deal with the breach and reduce its possible harm; • who you can contact for more information. We take reasonable steps to contain and investigate the breach, keep you informed, and help you notify the authorities and the people affected where the law requires. Telling you about a breach is not an admission of fault or liability.

12. 12종료 시 삭제 또는 반환

    When we stop providing the platform to you, you can ask us for a copy of your customers' personal data that we still hold, in a common machine-readable format. We decide, at our discretion, whether we keep, delete or anonymise the personal data we process for you, and for how long. We make no commitment to keep it for any period or to delete it by any date, so export what you need while you use the platform. We keep bookings, invoices, payments and accounting records, including the traveller and customer details on them (such as names, itineraries, ticket numbers and amounts), for at least seven (7) years after the end of the tax period they belong to. We keep them protected and use them only for the reason we keep them.

13. 13정보 제공 및 감사

    당사는 당사가 본 부속서에 따른 의무를 이행하고 있음을 보여 주는 데 합리적으로 필요한 정보, 예를 들어 당사의 보안 조치에 대한 설명, 재수탁자 목록 및 합리적인 보안 질의서에 대한 답변을 귀하에게 제공합니다. 그러한 정보로 충분하지 않거나 개인정보 보호 감독기관이 요구하는 경우, 귀하는 직접 또는 비밀유지 의무를 지고 당사의 경쟁업체가 아닌 독립 감사인을 통해 당사의 준수 여부를 감사할 수 있습니다. 귀하는 최소 30일 전에 당사에 서면으로 통지하고, 감사의 범위, 시기 및 기간을 사전에 당사와 합의해야 합니다. 감사는 통상적인 영업시간 중에 이루어져야 하고, 당사의 서비스를 방해하거나 다른 파트너의 정보에 대한 접근을 초래해서는 안 되며, 그 비용은 귀하가 부담합니다. 귀하는 12개월마다 1회 당사를 감사할 수 있습니다. 다만, 개인정보 침해가 귀하의 정보에 영향을 미쳤거나 개인정보 보호 감독기관이 감사를 요구하는 경우에는 그러하지 아니합니다.

14. 14책임 및 우선 적용 순위

    Our liability under this DPA is limited in the same way as our liability for the platform as a whole. We are not liable for indirect, incidental, special or consequential loss, or for loss of profit, revenue, business, goodwill or data. Our total liability to you for all claims together, under this DPA and otherwise in connection with the platform, is limited to the greater of (a) the fees you paid us in the twelve months before the event that gave rise to the claim and (b) USD 500. These limits do not apply to fraud, wilful misconduct or gross fault, or where the law does not allow liability to be limited. Nothing in this DPA limits the rights that data subjects have under the law. On the processing of personal data, this DPA prevails over any other terms between you and us where they differ, including the Platform Terms and Conditions. The platform contract may add further data protection commitments, and where it protects the personal data more, it prevails. This DPA applies for as long as we process personal data for you; the obligations that by their nature continue, such as confidentiality, survive its end. This DPA is governed by the laws of the Emirate of Dubai and the federal laws of the United Arab Emirates applicable in Dubai, except where the standard contractual clauses or the UK addendum require another law. A dispute under it is resolved in the same way as other disputes about the platform: it is subject to the exclusive jurisdiction of the onshore courts of the Emirate of Dubai (the Dubai Courts), and not of the courts of the Dubai International Financial Centre. This does not apply to a dispute arising from the standard contractual clauses or the UK addendum, which is resolved by the courts those clauses require (for the standard contractual clauses, the courts of an EU Member State; for the UK addendum, the courts of England and Wales), and it does not limit a data subject's right to bring proceedings before the courts those clauses allow.