고객사가 보안 검토표를 보내왔는데, 첫 질문이 이렇게 시작되는 경우가 있습니다.

“귀사는 개인정보를 위탁받아 처리하나요, 아니면 제3자 제공을 받나요?”

이 질문에 바로 답하지 못하면 제품 기능 설명은 뒤로 밀립니다. 가격, 도입 일정, API 연동보다 먼저 “개인정보가 어떤 법적 관계로 이동하는지”를 설명해야 하기 때문입니다.

B2B SaaS나 고객관리 솔루션, 예약·신청·설문 도구를 판매하는 회사라면 이 질문을 가볍게 보면 안 됩니다. 고객사 입장에서는 서비스 도입이 곧 개인정보 처리 구조 변경이기 때문입니다.

구매 검토는 기능보다 책임 구조에서 먼저 막힙니다

솔루션 제공사는 보통 “우리는 고객사의 업무를 대신 처리하는 수탁사”라고 설명하고 싶어 합니다. 실제로 고객사가 수집한 개인정보를 고객사의 목적 안에서 보관, 관리, 발송, 파기하도록 도와주는 구조라면 처리위탁에 가까울 수 있습니다.

하지만 모든 외부 이전이 위탁은 아닙니다.

제공받는 회사가 자신의 목적을 위해 개인정보를 쓰거나, 고객사의 지시 범위를 넘어 독자적으로 이용한다면 제3자 제공 이슈가 생길 수 있습니다. 이때는 동의, 고지, 처리방침, 계약서, 보유기간 설명이 달라집니다.

고객사가 알고 싶은 것은 법 조항이 아니라 “설명 가능한 구조”입니다

개인정보 보호법은 제3자 제공과 처리위탁을 서로 다른 체계로 봅니다. 제3자 제공은 개인정보 보호법 제17조의 요건을, 처리위탁은 제26조의 계약·관리감독 구조를 확인하게 됩니다.

고객사 담당자는 법 조항을 외우고 싶은 것이 아닙니다. 내부 결재나 보안 검토 회의에서 이렇게 설명할 수 있어야 합니다.

• 이 서비스는 어떤 개인정보를 처리하는가
• 개인정보는 누구의 목적을 위해 쓰이는가
• 서비스사는 고객사의 지시에 따라 처리하는가
• 수탁사라면 계약서와 관리감독 증빙이 있는가
• 제3자 제공이라면 동의와 고지 문구가 준비되어 있는가
• 보유기간이 끝났을 때 파기와 이력 관리는 어떻게 되는가

이 답변이 정리되어 있지 않으면 고객사는 “좋은 제품인지는 알겠지만, 개인정보 검토가 끝난 뒤 다시 보자”고 말하기 쉽습니다.

B2B SaaS가 자주 놓치는 지점

첫째, 영업자료에는 “보안”을 강조하지만 계약서에는 위탁업무 범위가 흐릿한 경우입니다. 고객사는 기능명이 아니라 실제 처리 업무를 봅니다. 예를 들어 신청서 수집, 알림 발송, 고객 응대 기록 보관, 파기 이력 관리가 각각 어떤 업무인지 설명되어야 합니다.

둘째, 처리방침 문구와 제품 동작이 따로 움직이는 경우입니다. 문서에는 보유기간이 적혀 있지만 제품 안에서는 삭제 기준이나 파기 기록을 찾기 어렵다면 고객사 검토에서 막힐 수 있습니다.

셋째, “저희는 데이터를 활용하지 않습니다”라는 말만으로 끝내는 경우입니다. 고객사는 그 말을 증명할 수 있는 접근 권한, 로그, 재위탁, 보관 위치, 삭제 절차를 확인하려고 합니다.

답변은 이렇게 준비하는 편이 안전합니다

고객사 질문에 답하기 전, 내부에서 먼저 판단 흐름을 잡아야 합니다.

핵심은 “무조건 위탁이라고 말하기”가 아닙니다. 우리 서비스가 실제로 어떤 역할을 하는지, 고객사의 지시 범위 안에서 처리되는지, 독자적인 이용 목적이 있는지, 문서와 시스템 기록이 그 설명을 뒷받침하는지를 확인하는 것입니다.

그 다음에 고객사에게 줄 자료를 정리합니다.

• 개인정보 처리 흐름 요약
• 위탁업무 범위와 수탁사 역할 설명
• 개인정보 처리위탁 계약서 또는 계약 조항
• 처리방침에 들어갈 위탁 또는 제공 관련 문구
• 접근 권한, 보관, 파기, 로그 관리 방식
• 재위탁 또는 외부 인프라 사용 여부

이 자료가 있으면 영업팀도 답변하기 쉬워집니다. 고객사도 내부 검토를 멈추지 않고 다음 단계로 넘어갈 수 있습니다.

제품 도입 검토에서 개인정보 질문은 뒤로 미룰 수 없습니다

B2B 솔루션 구매 과정에서 개인정보 질문은 마지막 법무 검토가 아닙니다. 점점 더 앞단의 구매 조건이 되고 있습니다.

특히 폼, 신청서, 고객관리, 상담, 마케팅 자동화처럼 고객사가 수집한 개인정보를 다루는 서비스라면 “위탁인지 제3자 제공인지”에 대한 설명이 곧 신뢰 자료가 됩니다.

캐치시큐는 개인정보 수집부터 동의, 보관, 접근 권한, 파기 이력까지 운영 흐름을 정리할 수 있도록 돕습니다. 고객사 검토에 필요한 자료를 제품 안에서 남기고, 위탁·보유기간·파기 같은 질문에 답할 수 있는 구조를 만드는 데 활용할 수 있습니다.

구매 검토가 멈추기 전에 정리할 것

고객사가 묻기 전에 먼저 정리해두면 좋습니다. 우리 서비스가 어떤 개인정보를 어떤 목적과 역할로 처리하는지, 그 설명을 뒷받침하는 계약서와 운영 기록이 있는지 확인해야 합니다.

B2B 고객에게 제품을 설명해야 하는데 개인정보 검토 자료가 부족하다면, 캐치시큐 서비스 소개 자료로 수집·동의·보관·파기 운영 흐름을 먼저 확인해 보세요.

참고: 개인정보 보호법 제17조, 제26조. 이 글은 일반적인 실무 검토 관점을 정리한 것이며, 개별 사안의 법률 판단은 조직의 처리 구조와 계약 관계에 따라 달라질 수 있습니다.