정보보안방침
(Information Security Policy)

제 1 장 총 칙
제1조 목적
본 정보보안 규정은 ㈜ 다보금속(이하 “회사”라 함)가 보유·관리하는 정보자산의 기밀성, 무결성 및 가용성을 보호하고, 정보 유출, 변조, 오남용 등을 예방하여 고객과 이해관계자의 신뢰를 확보하는 것을 목적으로 한다.

제2조 적용 범위
본 방침은 회사의 임직원, 위탁업체, 협력사, 외부 파트너 등 정보자산을 취급하거나 접근하는 모든 이해관계자에게 적용된다.


제 2 장 정보보호 관리원칙
제3조 정보 자산 관리
1. 모든 정보자산은 업무 목적에 따라 최소한으로 접근 및 사용되어야 하며, 무단 접근과 무단 변경을 방지한다.
2. 고객 및 제3자 정보는 회사 승인 없이 외부로 유출, 공유, 공개되어서는 안된다.
3. 내부 정보는 문서, 전산시스템, 메신저, USB 등 어떠한 수단을 통해서도 허가 없이 외부 반출이 불가하다.

제4조 정보 보존 기한
1. 정보 유형별로 다음 기준에 따라 보존 기간을 지정하며, 보존 기간이 경과한 정보는 즉시 파기한다.
- 계약서, 재무자료: 5년
- 시스템 로그, 접속기록: 1년 이상
- 개인정보: 동의서에서 명시한 기간 또는 법령상 정해진 기간
2. 데이터 보관 주체는 정보보호 책임자이며, 보존 기간 내 적절한 암호화 및 접근통제를 유지해야 한다.

제5조 고객 및 제3자 정보보호 조치
1. 고객 및 제3자의 데이터는 계약 및 법령에서 정한 보안 기준에 따라 보호되며, 외부 저장, 이메일 전송, 클라우드 업로드 시 반드시 암호화 조치를 취한다.
2. 고객정보 접근 권한은 최소화되어야 한다.
3. 승인되지 않은 공개, 다운로드, 복제, 전송은 금지되며, 위반 시 징계 및 민형사상 책임을 질 수 있다.

제6조 정보보안 시스템 통제
1. 정보시스템 접근권한은 직무별 최소권한 원칙에 따라 부여되며, 퇴직자 또는 인사이동자의 권한은 즉시 회수된다.
2. 모든 정보보안 시스템은 주기적으로 취약점 점검 및 패치 작업을 수행하며, 이상 징후 발생 시 자동 통보되도록 설정한다.
3. USB, 외부 저장장치, 인쇄물 반출 시 보안관리자 승인 및 로그 기록이 필수적이다.

제7조 사고 대응 및 복구 절차 (Incident Response Process, IRP)
1. 기밀정보의 유출, 무단 접근, 해킹 등의 사고 발생 시, 보안사고대응팀(CERT)은 아래 단계에 따라 즉각 대응한다.
가. 감지 및 보고
나. 사고 등급 분류 및 확산 차단
다. 조치 계획 수립 및 실행
라. 후속 보고 및 재발방지 조치
2. 사고 조사 결과는 대표이사 또는 정보보호 최고책임자(CISO)에게 보고된다.


제 3 장 개인정보의 처리
제8조 개인정보의 수집 및 이용목적
㈜ 다보금속 (이하 “회사”라 함)은 회원 가입 및 관리, 재화 및 서비스 제공의 목적으로 필요에 의한 최소한으로 개인정보를 수집하고 있다.

제9조 개인정보 및 기밀정보 처리 절차
1. 기밀정보 또는 개인정보를 수집·처리·공유·보관할 경우 해당 이해관계자로부터 사전 명시적 동의를 반드시 받아야 하며, 동의 내역은 기록으로 보관한다.
2. 개인정보 및 민감정보는 별도의 보안 조치(예: 암호화, 접근권한 제한)를 거쳐 관리한다.

제10조 개인정보의 수집 항목 및 보유 기간
1. 회사는 최적의 서비스를 제공하기 위한 목적으로 이용자의 개인정보를 수집, 이용할 수 있으며, 수집하는 개인정보 항목에 따른 구체적인 수집 항목은 다음과 같다. 처리하고 있는 개인정보는 다음의 목적 이외의 용도로는 이용되지 않으며, 이용 목적이 변경되는 경우에는 「개인정보 보호법」에 따라 별도의 동의를 받는 등 필요한 조치를 이행할 예정이다.
가. 회원 가입 및 관리
- 필수항목 : 성명, 핸드폰번호, 전화번호, 이메일 주소
- 선택항목 : 직업, 결혼여부
나. 재화 및 서비스 제공
- 필수항목 : 은행계좌정보, 신용카드정보
- 선택항목 : 과거 구매내역

2. 회사는 법령에 따른 개인정보 보유·이용기간 또는 이용자로부터 개인정보 수집 시에 동의 받은 개인정보 보유·이용기간 내에서 개인정보를 처리·보유한다. 개인정보 처리 및 보유 기간은 다음과 같다.
가. 회원 가입 및 관리 : 회원 탈퇴 시까지
※ 단, 관계 법령 위반에 따른 수사, 조사 등이 진행 중인 경우에는 해당 수사, 조사 종료시 까지
나. 재화 및 서비스 제공 : 재화·서비스 공급완료 및 요금결제·정산 완료시까지
※ 단, 관계 법령에 따라 파기하지 않고 보존하여야 하는 경우에는 해당 기간까지

제11조 개인정보 제3자 제공에 관한 사항
회사는 원칙적으로 이용자의 개인정보를 수집, 이용 목적으로 명시한 범위 내에서 처리하며, 다음의 경우를 제외하고는 이용자의 사전 동의 없이는 본래의 목적 범위를 초과하여 처리하거나 제3자에게 제공하지 않는다.
1. 이용자로부터 별도의 동의를 받는 경우
2. 법률에 특별한 규정이 있는 경우
3. 이용자 또는 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을수 없는 경우로서 명백히 이용자 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우
4. 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의·의결을 거친 경우
5. 조약, 그 밖의 국제협정의 이행을 위하여 외국정보 또는 국제기구에 제공하기 위하여 필요한 경우
6. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우
7. 법원의 재판업무 수행을 위하여 필요한 경우
8. 형 및 감호, 보호처분의 집행을 위하여 필요한 경우
 
제12조 이용자와 법정대리인의 권리·의무 및 행사방법
1. 회사는 법정대리인(만14세 미만의 아동)의 개인정보를 수집하는 경우 법정대리인의 동의를 받는다.
2. 이용자는 회사에 대해 언제든지 개인정보의 열람, 내역, 오류정정, 동의철회 등의 권리를 행사할 수 있다.
※ 만 14세 미만 아동에 관한 개인정보의 열람등 요구는 법정대리인이 직접 해야 하며, 만 14세 이상의 미성년자인 이용자는 이용자의 개인정보에 관하여 미성년자 본인이 권리를 행사하거나 법정대리인을 통하여 권리를 행사할 수도 있다.
3. 권리 행사는 「개인정보 보호법」에 따라 서면, 전자우편, 모사전송(FAX) 등을 통하여 하실 수 있으며, 이러한 요청이 있을 경우 회사는 지체 없이 필요한 조치를 취한다.

제13조 개인정보 파기 절차 및 방법에 관한 사항
회사는 개인정보의 수집목적 또는 제공받은 목적이 달성된 때에는 이용자의 개인정보를 지체없이 파기한다.
다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 않을 수 있다. 파기의 절차 및 방법은 다음과 같다.
가. 파기절차 : 불필요한 개인정보는 개인정보책임자의 책임 하에 내부방침 절차에 따라 다음과 같이 처리하고 있다.
- 개인정보의 파기 : 보유기간이 경과한 개인정보는 종료일로부터 지체 없이 파기한다.
나. 파기방법
- 전자적 형태의 정보는 기록을 재생할 수 없는 기술적 방법을 사용한다.
- 종이에 출력된 개인정보는 분쇄기로 분쇄하거나 소각을 통하여 파기한다.

제14조 개인정보 안전성 확보 조치
회사는 개인정보의 안전성 확보를 위해 다음과 같은 조치를 취하고 있다.
1. 관리적 조치 : 내부관리계획 수립·시행, 전담조직 운영, 정기적 직원 교육
2. 기술적 조치 : 개인정보처리시스템 등의 접근권한 관리, 접근통제시스템 설치, 개인정보의 암호화, 보안프로그램 설치 및 갱신
3. 물리적 조치 : 전산실, 자료보관실 등의 접근통제


제 3 장 정보보안 위반 조치
제15조 정보보안 위반 신고 및 보안 위협 보고
1. 임직원 및 이해관계자는 정보보안 침해, 의심 정황, 정책 위반 사례를 발견 시 즉시 내부 고충처리 또는 보안담당 부서에 익명 또는 실명으로 제보할 수 있다.
2. 회사는 제보자의 신원을 보호하며, 보복 행위가 발생할 경우 징계 또는 법적 대응을 시행한다.
3. 보안 이슈는 보안전담조직을 통해 평가·조치되며, 관련 내용을 기록으로 관리한다.

제16조 정책 위반에 대한 조치
1. 본 규정을 위반할 경우 회사는 사안의 중대성에 따라 주의, 경고, 직무 정지, 징계위원회 회부, 민형사상 고발 등의 조치를 취할 수 있다.
2. 고의 또는 중과실로 인한 보안사고 발생 시, 전사적 보안감사 및 재교육 조치를 병행한다.

제17조 정보보호 책임자 및 담당자 연락처
회사는 정보보안을 관리하고, 개인정보 처리와 관련한 이용자의 불만처리 및 피해구제 등을 위하여 아래와 같이 개인정보 보호책임자를 지정하고 있다.
구분                           부서명 성명         연락처
정보보안 책임자           관리 윤주백 010-4733-8813/djba3044@naver.com/FAX: 032-556-8328
개인정보 보호담당자   무역 김한균 010-3255-7157/hankyunk@gmail.com/FAX: 032-556-8328

부칙
1. 본 정보보안 방침은 2025. 07. 18. 부터 적용됩니다.
2. 개인정보 처리방침은 관련 법률 및 정부지침의 변경과 회사의 내부방침 변경에 의하여 수시로 변경될 수 있습니다. 이전의 개인정보 처리방침은 아래에서 확인하실 수 있습니다.


2025. 01. 01
㈜ 다보금속 대표이사 김태진