환자 개인정보 처리위탁 약정

시행일: 2026년 ○월 ○일 [결정 필요]

• 이용약관
• 개인정보 처리방침
• 환자 개인정보 처리위탁 약정

서비스에 가입하는 의료기관(이하 "위탁자")과 주식회사 아이클로(이하 "수탁자")는 위탁자가 보유한 환자 개인정보의 처리 업무를 수탁자에게 위탁하면서 다음과 같이 약정합니다.

제1조 (목적)

이 약정은 위탁자가 보험금 청구 서류 작성에 필요한 환자 개인정보의 처리 업무를 수탁자에게 위탁하고, 수탁자가 이를 승낙하여 책임 있게 처리하는 데 필요한 사항을 정함을 목적으로 합니다.

제2조 (용어의 정의)

이 약정에서 따로 정하지 않은 용어는 「개인정보 보호법」, 같은 법 시행령과 고시, 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시) 및 서비스 이용약관에서 정한 바에 따릅니다.

제3조 (위탁 업무의 목적과 범위)

① 수탁자는 위탁자의 보험금 청구 서류 작성을 지원할 목적으로 다음 업무를 수행합니다.

1. 위탁자가 업로드한 차트 자료의 판독과 청구 항목 추출(인공지능 분석 포함)

2. 보험사 서식에 맞춘 서류 초안 작성, 위탁자의 검토·수정 반영, 서식 변경, 출력용 파일 생성

3. 서류 초안과 차트 자료의 보관(제5조의 기간), 검색·다시 열기·삭제

4. (위탁자가 서비스 개선 자료 제공에 선택하여 동의한 경우에만) 식별 정보를 가린 자료를 이용한 서류 초안 작성 기능의 정확도 개선(제8조제3항의 범위)

② 처리하는 개인정보 항목은 차트 자료와 서류 초안에 포함된 환자 성명, 차트번호, 생년월일·성별, 진료일·진료 내용·치아 번호·상병코드 등 건강에 관한 정보, 그 밖에 차트 자료에 인쇄된 정보, 위탁자가 출력을 위해 입력한 주민등록번호로 합니다.

제4조 (위탁 기간)

위탁 기간은 이 약정이 체결된 날부터 위탁자가 서비스를 탈퇴하거나 이용계약이 끝나는 날까지로 합니다.

제5조 (처리 방법과 보관 기간)

① 수탁자는 차트 자료와 서류 초안을 수탁자가 관리하는 국내 서버에 위탁자마다 분리하여 암호화 저장합니다.

② 보관 기간은 다음 각 호와 같고, 기간이 지나면 수탁자는 복구할 수 없는 방법으로 자동 파기합니다.

1. 차트 자료(원본 PDF): 업로드일부터 7일

2. 서류 초안과 검토·수정 내용: 작성일부터 30일

3. 처리 대기 중인 차트 자료: 처리 완료 또는 취소 즉시(완료된 경우 제1호에 따라 보관)

4. 제8조제3항의 서비스 개선 자료(위탁자가 동의한 경우): 30일

③ 수탁자는 주민등록번호와 완성된 서류 PDF를 저장하지 않습니다.

④ 수탁자는 보관 자료의 백업본을 만들지 않으며, 위탁자는 필요한 서류를 스스로 보관합니다.

제6조 (재위탁)

① 수탁자는 위탁자의 동의 없이 위탁받은 업무를 제3자에게 다시 위탁하지 않습니다.

② 위탁자는 이 약정을 체결함으로써 다음 재위탁에 동의합니다.

③ 수탁자가 재수탁자를 추가하거나 바꾸려는 경우 적용 14일 전까지 위탁자에게 서비스 화면과 담당자 이메일·휴대전화로 알리고 동의를 받습니다. 위탁자가 동의하지 않으면 적용일 전까지 이 약정을 해지(탈퇴)할 수 있으며, 수탁자는 동의하지 않은 위탁자의 자료를 새 재수탁자에게 보내지 않습니다.

④ 수탁자는 재수탁자에게 이 약정과 같은 수준의 의무를 지우고 이를 감독합니다.

제7조 (안전성 확보조치)

수탁자는 「개인정보 보호법」 제23조제2항, 제24조제3항, 제29조, 같은 법 시행령 제30조와 「개인정보의 안전성 확보조치 기준」에 따라 다음 조치를 포함한 관리적·기술적·물리적 조치를 합니다.

1. 저장소 전체 암호화와 위탁자별 분리된 암호화 키, 암호화를 쓸 수 없으면 처리하지 않는 안전장치

2. 모든 전송 구간의 암호화

3. 위탁자 계정별 접근 통제: 다른 위탁자의 자료에 접근할 수 없는 구조

4. 개인정보 취급자의 최소화와 접근 권한 관리, 정기 교육

5. 개인정보처리시스템 접속기록(계정 식별자·행동·서류 식별자의 암호화된 값·접속 IP의 암호화된 값·일시, 환자 정보 없음)의 2년 보관과 정기 점검

6. 서비스 기록(로그)과 알림에 환자 식별 정보를 남기지 않음

7. 재수탁자에게 보내기 전에 환자 성명·연락처 등 식별 정보를 가리고, 가리기에 실패하면 서비스 개선 자료로 보관하지 않음

8. 서버 설치 장소의 출입 통제와 디스크 암호화

제8조 (처리 제한)

① 수탁자는 위탁 기간은 물론 위탁 종료 후에도 제3조의 목적과 범위를 넘어 환자 개인정보를 이용하거나 제3자에게 제공·누설하지 않습니다.

② 수탁자는 위탁받은 환자 개인정보를 수탁자 자신의 영업, 광고, 다른 서비스 제공, 인공지능 모델 학습용 데이터 판매 등에 이용하지 않습니다.

③ 위탁자가 서비스 개선 자료 제공에 동의한 경우, 위탁자는 수탁자가 제3조제1항제4호의 업무를 위하여 다음 조건으로 자료를 처리하도록 지시합니다. 위탁자가 동의를 철회하면 수탁자는 그때부터 이 처리를 멈춥니다.

1. 식별 정보 가리기와 남은 식별 정보 검사를 통과한 자료만 처리합니다.

2. 자료에 위탁자를 직접 알아볼 수 있는 정보를 붙이지 않습니다.

3. 개선 결과는 서비스의 서류 작성 규칙과 기능을 고치는 데에만 씁니다.

4. 보관 기간은 30일로 합니다.

제9조 (관리·감독과 교육)

① 위탁자는 수탁자에게 다음 사항의 현황을 요구할 수 있으며, 수탁자는 특별한 사유가 없으면 응합니다.

1. 개인정보의 처리 현황

2. 개인정보의 접근 또는 접속 현황과 접근 대상자

3. 목적 외 이용·제공과 재위탁 금지 준수 여부

4. 암호화 등 안전성 확보조치 이행 여부

5. 그 밖에 개인정보 보호에 필요한 사항

② 위탁자는 제1항의 사항을 점검하여 시정을 요구할 수 있으며, 수탁자는 특별한 사유가 없으면 이행합니다.

③ 수탁자는 개인정보 취급자에게 연 1회 이상 개인정보 보호 교육을 하고, 위탁자가 요청하면 그 결과를 알립니다. 위탁자가 수탁자를 직접 교육하려는 경우 시기와 방법은 서로 협의합니다.

④ 다수의 의료기관이 같은 조건으로 이용하는 서비스의 특성상, 수탁자는 제1항의 현황을 서비스 화면 또는 공통 보고서로 제공할 수 있습니다.

제10조 (정보주체의 권리 보장)

① 수탁자는 환자의 열람·정정·삭제·처리정지 요구에 대응할 수 있도록 서비스 기능(서류함 삭제 등)과 문의 창구(개인정보 처리방침 제20조)를 마련합니다.

② 수탁자는 환자로부터 직접 요구를 받은 경우 지체 없이 위탁자에게 알리고, 위탁자의 지시에 따라 처리합니다.

제11조 (유출 등의 통지와 대응)

① 수탁자는 환자 개인정보의 분실·도난·유출(이하 "유출 등")을 알게 된 때 지체 없이, 늦어도 24시간 안에 위탁자에게 유출 등이 된 항목, 시점과 경위, 피해 최소화 조치, 문의 창구를 알립니다.

② 수탁자는 피해를 최소화하기 위한 조치를 즉시 하고, 위탁자가 「개인정보 보호법」 제34조에 따른 통지·신고를 할 수 있도록 필요한 자료를 제공합니다.

제12조 (파기와 결과 통보)

① 수탁자는 제5조의 보관 기간이 지나거나 위탁자가 탈퇴하는 경우 지체 없이 해당 자료를 파기합니다.

② 위탁자가 요청하면 수탁자는 파기 결과를 알립니다.

③ 탈퇴 전에 위탁자가 필요한 서류를 출력하여 보관할 수 있도록, 수탁자는 탈퇴 화면에서 파기 사실을 미리 알립니다.

제13조 (위탁자의 의무)

① 위탁자는 환자 개인정보를 수탁자에게 처리 위탁하는 데 필요한 법적 근거를 갖추어야 합니다.

② 위탁자는 「개인정보 보호법」 제26조제2항에 따라 위탁 업무의 내용과 수탁자를 위탁자의 개인정보 처리방침 등에 공개하여야 합니다(아래 «병원 처리방침 문구 예시» 참고).

③ 위탁자는 보험금 청구 서류 작성에 필요한 차트 자료만 업로드하고, 계정에 접근할 수 있는 소속 직원을 관리합니다.

제14조 (손해배상)

① 수탁자, 수탁자의 임직원 또는 재수탁자가 이 약정을 위반하여 위탁자, 환자 또는 제3자에게 손해가 생긴 경우 수탁자는 그 손해를 배상합니다.

② 제1항의 손해에 대하여 위탁자가 환자나 제3자에게 전부 또는 일부를 배상한 경우 위탁자는 수탁자에게 구상할 수 있습니다.

제15조 (체결과 보관)

① 이 약정은 위탁자가 서비스 가입 화면에서 동의함으로써 전자적으로 체결되며, 서명 또는 날인을 한 것과 같은 효력을 가집니다.

② 수탁자는 동의한 약정 버전, 일시, 계정 정보를 보관하고, 위탁자가 요청하면 이 약정의 사본을 제공합니다.

③ 수탁자가 이 약정을 변경하는 경우 서비스 이용약관 제3조의 절차를 따릅니다.

제16조 (효력과 해지)

① 이 약정은 체결일부터 제4조의 위탁 기간 동안 효력이 있습니다.

② 이 약정이 끝나더라도 제8조제1항, 제12조, 제14조는 그 목적이 달성될 때까지 효력이 있습니다.

부칙

이 약정은 2026년 ○월 ○일부터 시행합니다.

(참고) 병원 개인정보 처리방침에 넣을 위탁 문구 예시