저희를 대신해 데이터를 처리하는 곳
Class2Class는 데이터베이스, 이메일 서비스, 고객지원 챗봇, AI 기능 등 플랫폼의 일부를 맡기기 위해 소수의 신뢰할 수 있는 공급사와 협력합니다. 그 전부를 이 목록에 위치, 이전 근거, 계약상 보호 장치와 함께 공개합니다.
체결된 위탁 계약
모든 수탁사는 GDPR 제28조 제2~4항에 따라, 저희가 이용자에게 지는 것과 동일한 개인정보 보호 의무를 지는 서면 계약을 Class2Class와 체결했습니다.
EU 우선
백엔드, 데이터 웨어하우스, AI 프런트엔드 호스팅, ETL, 이메일은 모두 EU에서 운영됩니다. 미국으로의 이전에는 표준계약조항과, 해당되는 경우 EU–미국 데이터 프라이버시 프레임워크, 그리고 이전 영향 평가를 적용합니다.
AI 학습 금지
모든 AI 수탁사(Chatbase, OpenAI, Google Gemini, Anthropic)는 Class2Class 데이터를 자사든 타사든 어떤 AI 모델의 학습에도 쓰지 못하도록 계약으로 금지되어 있습니다.
30일 사전 통지
수탁사의 추가, 교체, 중요한 변경은 최소 30일 전에 파트너 학교에 통지하며, 합리적인 근거가 있으면 15일 안에 이의를 제기하실 수 있습니다.
열일곱 개 수탁사를 역할별로 정리했습니다.
공급사를 누르면 해당 업체의 개인정보 문서나 위탁 계약 문서로 바로 이동합니다.
Xano
레거시 인증 용도로만 씁니다. Xano는 더 이상 플랫폼 데이터를 제공하지 않습니다. Supabase 이전 기간 중 두 가지 좁은 경우에만 호출됩니다. 아직 전환되지 않은 이관 계정의 비밀번호를 확인할 때와 예전 세션을 처리할 때입니다. 두 경로 모두 단계적으로 폐지 중입니다.
Vercel
Class2Class 플랫폼의 호스팅과 엣지 런타임 인프라, 그리고 AI 기능을 각 모델 제공사로 연결하는 AI 게이트웨이입니다.
Supabase
플랫폼 데이터베이스, 인증, 파일 저장, 실시간 기능입니다. 플랫폼이 Xano에서 이전함에 따라 계정, 프로젝트, 메시지 데이터가 이곳에 있습니다.
CookieYes
동의 관리 플랫폼입니다. 사이트 전반에서 쿠키 동의 선택을 저장하고 반영합니다. 동의 쿠키 자체는 반드시 필요한 쿠키입니다.
Sentry
오류와 성능 모니터링입니다. 플랫폼을 안정적으로 유지할 수 있도록 예외와 충돌 보고를 수집합니다. Sentry의 EU 리전(프랑크푸르트)에서 운영됩니다. 개인정보는 기본적으로 전송하지 않고, 남은 이벤트 데이터는 전송 전에 삭제 처리하며, 이벤트는 저희 도메인의 자체 프록시를 통해 전달됩니다. 보관 기간은 Sentry 개발자 요금제 기본값인 약 30일입니다.
Chatbase
AI 기반 고객지원 챗봇입니다. 저희 AI 목록의 AI-01 시스템입니다.
OpenAI
Vercel AI 게이트웨이를 통해 호출하는 LLM API로, 기본 모델을 쓸 수 없을 때 프로젝트 생성 도우미의 텍스트 생성을 대신하는 예비 제공사입니다. 교사만 사용합니다. AI-02 시스템입니다.
Google(Gemini API)
프로젝트 표지 이미지 생성(Gemini 2.5 Flash, "Nano Banana")과, Vercel AI 게이트웨이를 통해 호출하는 예비 텍스트 제공사입니다. 교사가 요청할 때만 작동합니다. AI-04 및 AI-02 시스템입니다.
Anthropic(Claude)
Vercel AI 게이트웨이를 통해 호출하는 프로젝트 생성 도우미 텍스트 기능의 기본 모델(Claude Haiku)로, 교사만 사용합니다. Class2Class 직원이 데이터 웨어하우스를 조회할 때 쓰는 도우미이기도 합니다. AI-02 및 AI-05 시스템입니다.
PostHog
플랫폼 내 제품 이용 분석으로 Mixpanel의 후속입니다. 동의를 받은 경우에만 작동하며, 세션 재생과 예외 수집은 꺼져 있습니다.
Stape
Class2Class 하위 도메인에서 분석 이벤트를 전달하는 자체 서버 사이드 태깅 프록시로, 태깅을 자체 도메인에서 처리하고 동의를 받은 경우에만 작동하게 합니다.
Mixpanel
제품 분석입니다. 단계적 폐지 중입니다. 플랫폼에 더 이상 쿠키를 설정하지 않으며, 과거 데이터는 데이터 웨어하우스에만 남아 있고 개인정보 처리방침의 보관 기간이 적용됩니다.
Google Analytics
마케팅 사이트의 웹 분석입니다. IP 익명 처리를 적용했습니다.
Google Cloud — BigQuery
제품, 마케팅, 플랫폼 이용 데이터를 모으는 중앙 데이터 웨어하우스입니다. 내부 분석에만 씁니다.
Airbyte
ETL 플랫폼입니다. Mixpanel, Google Analytics, Search Console, Meta Ads, Xano의 데이터를 BigQuery로 옮깁니다.
Meta
마케팅 픽셀과 광고입니다. 동의를 받은 경우에만 작동하며, 명시적인 쿠키 동의 없이는 절대 작동하지 않습니다.
열일곱 개 수탁사를 한곳에 모았습니다.
전체를 한 표로 보고자 하는 파트너 학교, 규제 기관, 감사인을 위한 것입니다.
| # | 수탁사 | 서비스 | 위치 | 이전 근거 | 참고 문서 |
|---|---|---|---|---|---|
| 1 | Xano (Xano, Inc.) | 레거시 인증의 잔여 기능만 담당합니다. 전환되지 않은 이관 계정의 비밀번호 확인과 예전 세션 처리입니다 | 유럽연합 | 해당 없음 — EU 내 보관 | 개인정보 안내 |
| 2 | Brevo (Sendinblue SAS) | 안내 메일과 마케팅 메일 | 유럽연합 | 해당 없음 — EU 내 보관 | 개인정보 처리방침 |
| 3 | Mixpanel (Mixpanel, Inc.) | 제품 분석 — 단계적 폐지 중이며 PostHog로 대체되었습니다(과거 데이터만 보유) | 미국 | 표준계약조항 + 이전 영향 평가 | 위탁 계약 |
| 4 | Google Analytics (Google LLC) | 웹 분석 | 미국 | EU–미국 DPF(Google LLC) + 예비 근거로 표준계약조항 + 이전 영향 평가 + IP 익명 처리 | 개인정보 |
| 5 | Meta (Meta Platforms, Inc.) | 마케팅 픽셀, 광고(동의 기반) | 미국 | 표준계약조항 + 이전 영향 평가 | 위탁 계약 |
| 6 | Chatbase (Chatbase, Inc.) | AI 고객지원 챗봇(AI-01 시스템) | 미국 | 표준계약조항 + 이전 영향 평가 + 계약상 AI 학습 금지 | 개인정보 |
| 7 | OpenAI (OpenAI, L.L.C.) | AI 게이트웨이를 통한 프로젝트 생성 도우미 텍스트 생성의 예비 LLM 제공사. 교사만 사용(AI-02 시스템) | 미국 | 표준계약조항 + 이전 영향 평가 · 표준 API는 기본적으로 학습에 쓰지 않음 · 오용 감시를 위해 30일 보관 | 개인정보 및 위탁 계약 |
| 8 | Google — Gemini API (Google LLC) | 프로젝트 표지 이미지 생성(AI-04 시스템), AI 게이트웨이를 통한 예비 텍스트 제공사(AI-02 시스템). 교사만 사용 | 미국 | EU–미국 DPF(Google LLC) + 예비 근거로 표준계약조항 + 이전 영향 평가 + 계약상 AI 학습 금지 | 위탁 계약 |
| 9 | Vercel (Vercel, Inc.) | 플랫폼 호스팅과 엣지 런타임, AI 기능을 모델 제공사로 연결하는 AI 게이트웨이 | 유럽연합 | 해당 없음 — EU 리전으로 설정됨 | 위탁 계약 |
| 10 | Google Cloud — BigQuery (Google LLC) | 제품, 마케팅, 플랫폼 이용 분석을 위한 데이터 웨어하우스. 직원만 사용 | 유럽연합 | EU 리전으로 설정됨 · 관리 영역 처리에는 DPF(Google LLC) 적용 | GDPR 개요 |
| 11 | Airbyte (Airbyte, Inc.) | ETL 플랫폼 — 정해진 일정에 따라 데이터를 BigQuery로 옮깁니다 | EU 리전 | 미국으로 이전이 발생하면 표준계약조항 + 이전 영향 평가. 그 외에는 EU 내 보관 | 개인정보 보호 |
| 12 | Anthropic (Anthropic PBC — Claude) | AI 게이트웨이를 통한 프로젝트 생성 도우미 텍스트 생성의 기본 LLM. 교사만 사용(AI-02 시스템). 직원용 데이터 웨어하우스 도우미(AI-05 시스템) | 미국 | 표준계약조항 + 이전 영향 평가 + AI 학습 금지를 포함한 Anthropic 상업 약관 | 법적 문서 |
| 13 | PostHog (PostHog, Inc.) | 플랫폼 내 제품 이용 분석(Mixpanel의 후속). 동의를 받은 경우에만 작동하며 세션 재생은 꺼져 있음 | 유럽연합(EU 클라우드, 프랑크푸르트) | 해당 없음 — EU 클라우드로 설정됨. 미국 관리 영역 접근에 대비해 표준계약조항을 예비 근거로 둡니다. 계약상 AI 학습 금지 | 위탁 계약 |
| 14 | CookieYes (Synconize Solutions Pvt. Ltd.) | 동의 관리 플랫폼 — 쿠키 동의 선택을 저장하고 반영합니다 | 인도 | 표준계약조항 + 이전 영향 평가 | 위탁 계약 |
| 15 | Stape (Stape OÜ) | 자체 서버 사이드 태깅 프록시 — 분석 이벤트를 전달합니다 | 유럽연합(에스토니아) | 해당 없음 — EU 내 보관 | 약관 |
| 16 | Sentry (Functional Software, Inc.) | 오류와 성능 모니터링 — 기본적으로 개인식별정보를 보내지 않고 이벤트 데이터를 삭제 처리합니다. 보관 기간 약 30일(개발자 요금제 기본값) | 유럽연합(EU 리전, 프랑크푸르트) | 해당 없음 — EU 리전으로 설정됨. 미국 관리 영역 접근에 대비해 표준계약조항을 예비 근거로 둡니다 | 위탁 계약 |
| 17 | Supabase (Supabase, Inc.) | 플랫폼 데이터베이스, 인증, 파일 저장, 실시간 기능 | 유럽연합 | 해당 없음 — EU 리전(eu-west-1) | 위탁 계약 |
"수탁사"란 쉽게 말해 무엇인가요
수탁사는 Class2Class 플랫폼의 일부를 맡기기 위해 저희가 이용하는 외부 서비스입니다. 예를 들어 계정을 저장하는 데이터베이스, 비밀번호 재설정 링크를 보내는 이메일 서비스, 교사들이 실제로 어떤 기능을 쓰는지 파악하게 해 주는 분석 도구 같은 것입니다. 이 목록의 모든 수탁사는:
- 저희와 같은 수준으로 여러분의 정보를 보호하도록 요구하는 서면 계약을 Class2Class와 체결했습니다
- 저희 규모에서 직접 수행할 수 없는 특정 역할을 맡고 있기에 이 목록에 있습니다
- 계약 전에 검토를 거치고, 이후에도 최소 연 1회 검토합니다
저희는 개인정보를 누구에게도 팔지 않으며, 이 목록의 어떤 수탁사도 Class2Class 데이터를 자사든 제3자든 AI 모델 학습에 쓰지 않습니다.
국외 이전과 이전 영향 평가
수탁사가 유럽경제지역(EEA) 밖에 있는 경우 GDPR 제5장에 따른 유효한 이전 근거를 적용합니다. 저희가 쓰는 근거를 우선순위 순으로 적으면 다음과 같습니다:
- EU–미국 데이터 프라이버시 프레임워크(DPF) — DPF 인증을 받은 수탁사에 대해서는 2023년 7월 10일 유럽연합 집행위원회 적정성 결정 (EU) 2023/1795이 미국으로의 이전에 대한 적정성 근거가 됩니다. Google LLC (Google Analytics, Google Cloud / BigQuery, Google Gemini API 포함)는 DPF 인증을 받았습니다.
- 표준계약조항(SCCs) — DPF 인증을 받지 않은 미국 수탁사(Mixpanel, Meta, Chatbase, OpenAI, Anthropic)와 CookieYes(인도)에 대한 주된 근거로 쓰며, DPF 인증 업체와 EU에서 운영되는 공급사의 부수적인 관리 영역 접근(예: PostHog, Sentry)에 대해서는 예비 근거로 씁니다.
- 이전 영향 평가(TIA) — 모든 경우에 보완적으로 실시하며, Schrems II 판결과 유럽 데이터보호이사회 권고 01/2020을 따릅니다. 이전 영향 평가는 내부에서 관리하며 파트너 학교가 합리적으로 요청하시면 제공합니다.
AI 수탁사 — 추가 보호 장치
Class2Class는 다음 원칙에 따라 AI 기능을 씁니다: "결정은 사람이, AI는 돕습니다." — 결정은 교사와 직원이 하고 AI는 돕기만 합니다. AI 수탁사가 저희를 대신해 개인정보를 처리하는 경우:
- 계약으로 해당 수탁사가 Class2Class 데이터를 자사든 제3자든 어떤 AI 모델의 학습에도 쓰지 못하도록 금지합니다
- 해당 AI 시스템은 EU 인공지능법상 고위험이 아닌 것으로(이용자와 직접 상호작용하는 시스템은 제한적 위험으로) 분류되며, 저희 AI 시스템 목록과 제6조 제3항 평가서에 기록됩니다
- 시스템이 자연인과 직접 상호작용하는 경우, EU 인공지능법 제50조에 따라 대화 시작 전에 스스로를 AI라고 밝힙니다
현재 이 목록의 AI 수탁사는 Chatbase (제한적 위험, 고객지원 — AI-01 시스템), OpenAI (LLM API, 교사 전용, 제6조 제3항 (b)에 따라 고위험 아님 — AI-02 시스템), Google(Gemini) (이미지 생성, 교사 전용, 제6조 제3항 (b)에 따라 고위험 아님 — AI-04 시스템), 그리고 Anthropic(Claude) (내부 분석, 직원 전용, 부속서 III 미해당, 제50조 의무 없음 — AI-05 시스템)입니다.
Vercel, Google Cloud(BigQuery), Airbyte는 AI 수탁사가 쓰지 않습니다 아닙니다. Vercel은 호스팅 인프라, BigQuery는 데이터 웨어하우스, Airbyte는 ETL 플랫폼입니다. 이들 중 어느 곳도 Class2Class 데이터로 AI 모델을 학습시키지 않습니다.
파트너 학교와 규제 기관이 묻는 질문입니다.
일부 수탁사는 왜 미국에 있나요?
저희가 의존하는 일부 전문 서비스(LLM API, 특정 분석 도구, 고객지원 챗봇)는 저희 규모에서 EU 내 운영만으로는 이용할 수 없습니다. 미국으로 이전하는 경우에는 EU–미국 데이터 프라이버시 프레임워크(공급사가 DPF 인증을 받은 경우), 표준계약조항, 그리고 Schrems II 판결과 유럽 데이터보호이사회 권고 01/2020에 따라 보완한 이전 영향 평가를 적용합니다.
이전 영향 평가는 내부에서 관리하며 파트너 학교가 합리적으로 요청하시면 공유합니다.
이 목록이 바뀌면 어떻게 알 수 있나요?
파트너 학교에는 체결된 개인정보 처리 위탁 계약에 등록된 연락처로 최소 30일 전에 알려 드립니다. 학교는 개인정보 보호상 합리적인 근거가 있으면 15일 이내에 변경에 이의를 제기하실 수 있습니다.
중요한 변경을 알림받고 싶은 개인 이용자(교사, 학부모)는 다음 주소로 연락해 주세요: dpo@class2class.org . 알림 명단에 추가해 드리겠습니다.
이 수탁사 중 저희 데이터로 AI 모델을 학습시키는 곳이 있나요?
없습니다. 저희가 쓰는 네 곳의 AI 수탁사(Chatbase, OpenAI, Google Gemini, Anthropic)는 모두 Class2Class 데이터를 자사든 제3자든 어떤 AI 모델의 학습에도 쓰지 못하도록 계약으로 금지되어 있습니다.
특히 OpenAI의 경우 기본적으로 학습에 쓰지 않는 표준 API를 이용합니다. OpenAI는 오용 감시를 위해(처리자로서 보안 목적) API 요청과 응답 데이터를 30일간 보관한 뒤 삭제합니다. 계약상 세부 내용은 위탁 계약 부속서 D.6에 있습니다.
저희 학교 학생 데이터는 실제로 어디에 저장되나요?
계정 정보, 프로젝트 내용, 플랫폼 메시지의 주된 보관 위치는 EU의 Supabase (eu-west-1 리전)입니다. Xano는 남은 인증 경로가 폐지될 때까지 EU에 레거시 인증 데이터를 보관합니다. 일부 운영·분석 데이터는 위에 설명한 보호 장치 아래 미국 소재 수탁사를 거칩니다.
어떤 데이터든 미국으로의 이전을 받아들일 수 없는 학교는 다음 주소로 연락해 주세요: dpo@class2class.org . 핵심 기능을 유지하면서 어떤 데이터 흐름(분석, 마케팅 픽셀)을 끌 수 있는지 함께 논의할 수 있습니다.
이전 영향 평가 사본을 받을 수 있나요?
네. 파트너 학교는 다음 주소로 최신 이전 영향 평가 사본을 요청하실 수 있습니다: dpo@class2class.org. 매년, 그리고 수탁사의 데이터 위치나 계약 조건이 바뀔 때마다 검토합니다.
수탁사 변경에 어떻게 이의를 제기하나요?
파트너 학교는 통지를 받은 날부터 15일 이내에 개인정보 보호상 합리적인 근거로 이의를 제기하실 수 있습니다. 이의의 근거와 함께 다음 주소로 연락해 주세요: dpo@class2class.org . 함께 해법을 찾겠습니다. 추가 계약상 보호 장치일 수도, 다른 수탁사일 수도, 드물게는 계약 종료일 수도 있습니다.
수탁사에 대해 궁금한 점이 있으신가요?
검토 중인 파트너 학교이든, 감사를 진행하는 규제 기관이든, 누가 내 정보를 다루는지 알고 싶은 교사이든 기꺼이 답해 드립니다. 개인정보보호책임자에게 바로 연락해 주세요.
- 개인정보보호책임자Giancarlo Mena — dpo@class2class.org
- 파트너 학교담당 매니저 또는 dpo@class2class.org
- 일반 문의support@class2class.org
- 대표 관련 사안독립 검토자 — class2class.org@gmail.com
- 이의 제기Datatilsynet — dt@datatilsynet.dk
개인정보 처리 위탁 계약 전문을 찾고 계신가요?
학교에서 Class2Class 도입을 준비 중이시라면 개인정보보호책임자에게 dpo@class2class.org 로 연락하시면 최신 위탁 계약서 양식을 받으실 수 있습니다. 부속서 C에 이 목록의 모든 수탁사를 담고 있으며, 표준계약조항, 이전 근거, 유출 통지 기한, AI 관련 기술적·관리적 조치를 함께 다룹니다.
개인정보보호책임자에게 메일 보내기