정보 보호 고지

본 개인정보 보호정책에 설명된 개인정보 처리와 관련하여 FDPA 및 GDPR에서 정의하는 컨트롤러는 다음과 같습니다.

Swiss International Air Lines Ltd.
Obstgartenstrasse 25
8302 Kloten
Switzerland

(본 고지에서 “스위스 항공” 또는 “당사”)

당사 웹사이트 또는 해당 웹사이트에서 제공되는 서비스 및 제품과 관련한 정보 보호에 관한 궁금한 사항은 당사의 정보 보호 책임자 및 팀에 dataprotection@swiss.com으로 문의해 주십시오.

개별 예약 또는 서비스에 대한 요청이나 피드백과 같이 정보 보호와 관련이 없는 문의는 당사 정보 보호 팀이 답변하거나 전달하지 않습니다. 당사 고객 지원팀에 문의하거나, 적절한 문의 양식을 사용하거나, 비즈니스 파트너를 대리하는 경우 스위스 항공 담당자에게 문의해 주시기 바랍니다.

Unsere Vertretung in der EU gemäß Art. 27 DSGVO ist die Swiss International Air Lines AG Niederlassung Frankfurt, Cargo City Süd 558 c, 60549 Frankfurt am Main.

개인 데이터는 고객이 제공하거나 당사에서 수집하는 신원이 확인되었거나 확인 가능한 자연인에 관한 모든 정보를 말하며, 구체적인 예는 다음과 같습니다.

예약 정보: 당사를 통해 항공편 또는 항공편 관련 서비스를 예약하는 경우 고객이 입력한 내용 데이터 및 고객에 관하여 수집된 데이터(특히 이름, 연락처 정보, 생년월일 및 결제 데이터)와 당사가 고객에게 제공한 정보가 처리됩니다. 또한, 고객의 예약 시간, 범위 및 해당되는 경우 예약 장소에 대한 정보를 수집합니다. 경우에 따라 고객의 국적 및 상용 고객 프로그램과 관련하여 자발적으로 제공한 정보도 수집됩니다. 운송 서비스를 예약하는 경우, 당사는 필요한 휠체어에 관한 정보 등 민감한 정보를 간접적으로 드러낼 수 있는 운송 지원 사항에 관한 정보를 처리할 수 있습니다. 미성년자를 위해 예약하는 경우 법적 보호자의 연락처 정보도 수집됩니다.

체크인 데이터: 체크인 및 탑승 과정에서 당사는 승객의 예약 정보, 수하물 관련 정보, 보안 정보(예: 탑승 시간, 보안 검색 상태, 체크인 절차와 관련된 시간 기록), 해당하는 경우 입국 서류(여권, 비자 등)에 관한 데이터와 비상 연락처 등의 기타 연락처 정보를 처리합니다.

API 데이터: API(사전 승객 정보) 데이터에는 이름, 생년월일, 국적, 여권 번호, 성별 등 귀하의 여행 서류(예: 여권)에 기재된 정보가 포함됩니다.

PNR 데이터: 당사는 특정 항공편을 운항할 때 PNR(승객 이름 기록) 데이터를 수집하고 처리합니다. 여기에는 이름, 연락처 정보, 수하물 정보, API 데이터, 결제 정보, 여행 일정 정보 및 예약 변경 내역 등이 포함됩니다. 사용 가능한 데이터 항목에 대한 자세한 목록은 스위스 PNR법 부속서 1 및 PNR 지침(EU) 2016/681의 부속서 I에서 확인할 수 있습니다.

SSR 데이터: 동 보조 기기와 관련된 건강 정보나 기내 식사 제공 시 필요한 종교 관련 정보 등 특별 서비스 요청 정보를 말합니다. 

의료 데이터: 의료 허가가 필요한 승객과 관련된 개인 데이터 처리에 대한 정보.

콘텐츠 데이터: 문의 양식, 고객 서비스, 뉴스레터 이용 또는 이벤트나 설문조사 참여 등 당사 웹사이트나 앱에서 서비스를 이용하는 경우, 고객이 입력한 콘텐츠 데이터, 고객과 관련하여 수집된 콘텐츠 데이터 및 당사가 제공한 정보가 처리됩니다.

쿠키 데이터: 고객이 웹사이트 또는 앱을 방문하는 동안 당사가 사용하는 쿠키를 통해 수집한 데이터입니다.

로그인 데이터: 당사 웹사이트 또는 앱의 일부 서비스(예: TravelID, 이메일 뉴스레터)를 이용하려면 회원 가입이 필요합니다. 이를 위해 일부 정보(예: 이메일 주소)는 필수 입력 사항이며, 다른 정보(예: 성별, 이름)는 선택적으로 입력할 수 있습니다. 회원 가입 과정에서 당사는 고객의 IP 주소와 가입 시간도 수집합니다.

서버 로그 데이터: 당사 웹사이트를 이용하는 경우 방문 날짜 및 시간, 접속한 페이지 및 요청한 파일, 사용 중인 웹 브라우저의 유형 및 버전, 사용 기기의 유형 및 운영 체제, IP 주소 등의 데이터가 당사 서버의 로그 파일에 일시적으로 저장됩니다. 당사 앱을 통해 서비스를 이용하는 경우, 앱 이용 관련 정보와 함께 모바일 기기의 유형 및 운영 체제와 IP 주소가 저장됩니다.

당사는 일반적으로 고객이 예약하거나 웹사이트 또는 앱을 이용하거나, 문의하거나, 서비스를 이용하는 경우와 같이 고객으로부터 직접 이러한 개인 데이터를 제공받습니다. 또한 고객이 사용하는 기기 또는 당사 웹사이트, 앱 및 기타 서비스 이용 과정에서 개인 데이터를 자동으로 수집할 수 있습니다. 아울러 필요한 경우 및 관련 법률에서 허용하는 범위 내에서 다음과 같은 출처로부터 개인 데이터를 제공받을 수 있습니다.

• 루프트한자 그룹의 다른 회사 및 고객이 예약한 서비스 제공에 관여하는 회사(예: 여행 서비스 제공업체 또는 결제 서비스 공급자),
• 가족, 법정 대리인 또는 여행사 등 고객를 대리하는 사람,
• 공식 또는 법적 절차와 관련된 공공 기관, 법원 및 기타 당사자.

가족이나 동반 여행객 등 다른 사람의 개인 데이터를 당사에 제공하는 경우, 해당 정보를 제공할 권한이 있는지 확인하고 해당 정보 주체에게 본 정보 보호 고지에 대해 안내해 주시기 바랍니다.

당사를 통해 항공편 및/또는 항공편 관련 부가 서비스(좌석 예약, 수하물 또는 동물 운송 등)를 예약하는 경우, 당사는 항공권 또는 예약한 항공편 관련 서비스의 예약 확인서를 발급하기 위해 고객의 예약 데이터를 처리합니다. 항공편 또는 항공편 관련 부가 서비스를 변경하거나 취소하는 경우, 당사는 이에 따라 고객의 예약 데이터를 처리합니다.

개인정보 처리의 법적 근거는 항공편 운항 또는 항공편 관련 서비스 제공을 위한 고객과 계약 체결 및 이행이며, GDPR 제6조 제1항 (b)호에 따릅니다.

항공편 관련 부가 서비스를 예약할 때 특별 범주의 개인 데이터를 처리해야 하는 경우(예: 이동 보조 서비스 예약 시 건강 정보 또는 기내식 예약 시 종교에 관한 정보), 해당 개인 데이터는 고객의 명시적인 동의에 근거하여 처리됩니다(GDPR 제6조 제1항 (a)호). 관련 특별 범주의 개인 데이터 처리는 GDPR 제9조 제2항 (a)호에 규정된 예외에 따라서도 허용됩니다.

경우에 따라 당사는 장애가 있거나 거동이 불편한 승객의 운송을 보장하기 위해 필요한 데이터를 처리할 법적 및 계약상 의무가 있습니다(규정(EC) 제1107/2006호, GDPR 제6조 제1항 (b)호 및 (c)호, 제9조 제2항 (g)호).

계좌 이체 또는 할부 결제를 선택하는 경우, 당사는 해당 결제 옵션을 처리하는 데 필요한 개인 데이터를 관련 결제 서비스 공급자에게 전송합니다. 결제 서비스 공급자는 독립적인 개인정보 처리자로서, 신원 확인, 신용도 평가, 결제 위험 관리 및 사기 방지를 포함하여 고객의 개인 데이터를 자체적인 책임 하에 처리합니다. 이 결제 옵션을 선택하면 결제 서비스 공급자의 이용 약관 및 정보 보호 고지에 동의하는 것으로 간주됩니다. GDPR이 적용되는 경우, 당사의 데이터 전송은 고객과의 계약 이행에 근거합니다(GDPR 제6조 제1항 (b)호). 결제 서비스 공급자는 데이터 처리의 목적과 방법을 결정하며, 관련 정보 보호 요건을 준수할 책임이 있습니다. 

항공편 예약 시 당사의 상용고객 프로그램인 Miles & More를 통해 마일리지를 적립하려는 경우, 당사는 Miles & More 카드 번호를 포함한 고객의 예약 데이터를 Miles & More GmbH에 제공합니다(제5.2항 참조). 데이터 처리의 법적 근거는 계약의 이행입니다(GDPR 제6조 제1항 b호).

예약한 항공편을 운항하고 기타 항공편 관련 서비스를 제공하기 위해 당사는 이미 수집한 예약 데이터와 체크인 데이터를 처리합니다. 또한 탑승구 변경이나 입국/수하물 관련 안내 등 항공편과 관련된 알림도 제공합니다. 항공편 지연, 취소 또는 기타 운항 차질이 발생한 경우, 당사는 고객의 개인 데이터를 활용하여 해당 상황에 대해 안내하고, 해당하는 경우 ‘항공 승객 권리 규정(EU 261/2004)’을 비롯한 관련 승객 권리 법률에 따라 제공 가능한 지원 및 구제 조치를 제공하거나 평가할 수 있습니다.

필요한 경우, 당사는 항공편 운항과 관련하여 국내외 법률 및 협정에 따라 테러 범죄 및 중대 범죄의 예방, 탐지, 수사 및 기소와 불법 이민 방지를 목적으로 귀하의 API 데이터 또는 PNR 데이터를 스위스 및 해외의 관련 당국에 제공합니다.

개인정보 처리의 법적 근거는 항공편 운항 또는 항공편 관련 서비스 제공을 위한 고객과 계약 체결 및 이행이며, GDPR 제6조 제1항 (b)호에 따릅니다. API 및 PNR 데이터 제공과 관련하여, 경우에 따라 그 법적 근거는 법적 의무입니다(GDPR 제6조 제1항 (c)호 및 당사에 법적 의무를 부과하는 관련 국내외 법률 또는 협정). 예를 들어, 특정 경우에는 외국인 및 통합에 관한 스위스 연방법(FNAI; SR 154.20) 제104조 내지 제104b조에 따라 고객의 API 데이터를 스위스 관할 당국에 전송해야 할 의무가 있으며, 테러 및 기타 중대 범죄 대응을 위한 항공 여객 데이터 처리에 관한 스위스 연방법(스위스 PNR법, 다음 단락 참조)이 발효되면 해당 법률에 따라 고객의 PNR 데이터도 제공해야 할 의무가 있습니다.

스위스에서 출발 또는 도착하는 항공편의 경우, 스위스 PNR법에 따라 스위스 연방경찰청(fedpol) 및 산하 승객정보부서에 고객의 PNR 데이터를 제공합니다. 고객은 스위스 PNR법에 따라 처리되는 관련 개인 데이터에 대한 열람을 요청할 권리가 있습니다. 이 권리를 행사하기 위한 지정 연락처 정보는 스위스 PNR법이 발효되면 fedpol에서 제공할 예정입니다. 이러한 항공편과 관련하여 해외 당국에 고객의 PNR 데이터가 제공되는 경우, 해당 국가 및 그 승객 정보 담당 부서에 대한 정보는, 해당하는 경우, fedpol에서 관리하는 국가 목록을 참조하여 제공됩니다.

스위스 항공은 관련 국제 협정, 각국의 법률 및 스위스 당국이 발표한 지침에 근거하여 EU 회원국, 영국, 노르웨이, 튀르키예, 아랍에미리트(UAE), 대한민국, 미국(USA) 및 캐나다의 승객 정보 기관에 PNR 데이터를 제공해 왔습니다. 해외 법적 근거의 예로는 PNR 지침(EU) 2016/681 및 EU 회원국의 해당 국내 시행법이 있습니다. 특히 프랑스의 경우, 항공사는 승객에게 다음과 같이 안내할 것을 의무화하고 있습니다. “프랑스 국내보안법(French Internal Security Code) 제L 232-7조에 따라, 항공사는 2014년 9월 26일자 시행령 제2014-1095호 및 2018년 8월 3일자 개정 시행령 제2018-714호에 명시된 목적과 조건에 의거하여 승객으로부터 수집한 예약/체크인 및 탑승 정보(PNR/API)를 프랑스 공공기관 및 관할 당국에 전송해야 함을 알려드립니다."

관련 법률에서 요구하거나 허용하는 경우, 당사는 전염병 발생 및 관련 접촉자 추적 조치를 포함한 공중보건 위협의 예방, 탐지 및 관리를 위해 관할 공중보건 당국에 관련 승객 정보를 제공할 수도 있습니다. 여기에는 예를 들어 비행 중 감염된 승객과 가까이 있었던 경우 등, 감염병에 노출되었을 가능성이 있는 승객을 파악하는 것이 포함될 수 있습니다. 이러한 정보 공개는 해당 공중보건 목적에 필요한 데이터로만 제한됩니다. 그러한 정보 공개의 법적 근거는, 해당되는 경우, 관련 공중보건 법령에 따른 법적 의무(GDPR 제6조 제1항 (c)호) 또는 공익을 위한 업무 수행이나 공권력 행사(GDPR 제6조 제1항 (e)호)입니다. 처리되는 데이터가 건강 관련 데이터인 경우, 해당 데이터의 공개는 GDPR 제9조 제2항에 따른 예외 사항, 특히 GDPR 제9조 제2항 (i)호 또는 GDPR 제9조 제2항의 기타 적용 가능한 조항이 적용되는 경우에만 추가로 허용됩니다.

또한 비상 상황 발생 시 연락할 사람의 연락처 정보(비상 연락처)를 저장할 수 있으며, 연락처 정보는 정보 주체의 동의에 근거하여 처리됩니다(GDPR 제6조 제1항 (a)호). 이와 관련하여 연락처 정보를 제공할 때 고객은 해당 정보 주체의 동의를 받았음을 확인해야 합니다.

항공편 관련 서비스를 제공하는 과정에서 특별 범주의 개인 데이터(예: SSR 데이터)를 처리해야 하는 경우, 해당 데이터 처리의 법적 근거는 GDPR 제9조 제2항 (a)호에 따른 고객의 동의입니다.

당사는 관련 법률 및 규정에 따라, 승객이 필수 여행 서류는 물론 출발지, 목적지 및 경유지 국가의 법령에서 요구하는 보건 관련 서류 및 기타 서류를 소지하고 있는지 확인할 의무가 있습니다. 이러한 요건은 ICAO 부속서 9, 제3장, 섹션 H, 단락 3.33과 일치합니다.

이러한 의무에 따라, 당사의 서비스 공급자 소속 직원이 공항에서 승객의 여행 서류가 있는지 및 겉보기상 유효한지 확인할 수 있습니다. 위험도가 높은 것으로 간주되는 목적지나 제시된 서류의 진위가 의심되는 경우, 담당 직원은 추가 확인을 하거나 검사가 수행되었음을 입증하는 증거로 활용하기 위해 해당 서류를 스캔하여 사본을 보관할 수 있습니다.

사본을 보관하는 경우, 보관 기간은 일반적으로 1주일입니다. 승객의 입국이 거부되었다는 통지를 받을 경우, 해당 사본은 조사 및 그와 관련된 법적 절차가 진행되는 동안 보관됩니다.

여행 서류를 확인하는 법적 근거는 고객과의 운송 계약 이행을 위해 해당 처리가 필요하다는 점입니다(GDPR 제6조 제1항 (b)호). 확인 목적, 수행된 검사 기록, 그리고 법적 권리의 설정·행사 또는 방어를 위해 여행 서류 사본을 보관하는 것은 당사의 정당한 이익(GDPR 제6조 제1항 (f)호)에 근거합니다. 해당 법률에 따라 당사가 그러한 확인 절차를 수행하거나 문서화해야 할 구체적인 의무가 있는 경우, 해당 처리는 법적 의무 준수(GDPR 제6조 제1항 (c)호)를 추가적인 근거로 하여 이루어집니다. 해당 문서에 건강 관련 데이터가 포함된 경우, 그 처리는 GDPR 제9조 제2항에 따른 예외 규정, 특히 공중보건 분야의 공익상의 이유로 처리가 필요한 경우에 해당하는 GDPR 제9조 제2항 (i)호의 적용을 받게 됩니다.

취리히 공항에서 연계 항공편을 위해 출입국 심사(​솅겐 지역 정보 시스템 포함)를 통과하는 경우, 당사는 출입국 심사 직후 귀하의 탑승권을 스캔할 수 있습니다. 당사는 스캔 데이터를 통해 항공편 날짜, 항공편의 출발지 및 목적지, 항공편명, 체크인 순번, 그리고 스캔 날짜 및 시간 등의 데이터를 처리합니다 당사는 이 정보를 활용하여 수하물 적재를 포함한 지상 업무를 관리하고, 원활한 이송 절차를 지원하며, 지연 발생을 방지합니다.

이러한 처리의 법적 근거는 환승 여정을 원활하게 진행하고, 지상 운영을 관리하며, 지연을 방지하는 당사의 정당한 이익입니다(GDPR 제6조 1항 (f)호).

스위스 항공은 항공 보안을 강화하고 원활한 탑승 절차를 위해 AI 지원 집계 기술을 사용하고 있습니다. 이 기술은 항공기에 탑승하는 승객 수가 체크인을 마친 승객 수와 일치하는지 확인하는 데 도움을 주며, 안전하고 정확한 수하물 대조 작업을 지원합니다.

이 AI 모델은 승객을 개별적으로 식별하지 않으면서 항공기에 탑승하는 승객과 승무원 및 지상 직원을 구분하도록 훈련되어 있습니다. 이러한 방식으로 승객과 휴대 수하물을 안정적으로 자동 집계할 수 있습니다. 탑승객을 촬영한 영상은 인원 집계 및 확인이 완료된 후 익명으로 처리됩니다. AI 모델은 익명화된 데이터만을 사용하여 학습합니다.

승객 및 휴대 수하물의 자동 집계는 특히 항공기에 탑승하지 않거나 출발 전 다시 항공기에서 내린 승객의 수하물을 식별할 수 있도록 하기 위한 것입니다. 스위스 항공은 스위스 국가 민간항공 보안 프로그램 및 항공 보안 공통 기본 기준 이행을 위한 세부 조치를 규정한 EU 집행위원회 시행 규정(EU) 2015/1998에 따른 항공 보안 요건을 충족하기 위해 승객 집계를 실시하고 있습니다.

관련 법률에 따라 자동화된 인원 집계가 의무화되지 않은 경우, 해당 처리에 대한 법적 근거는 승객 집계 및 관련 운영 절차의 자동화를 포함하여 항공 안전을 강화하고 탑승 절차를 최적화하려는 당사의 정당한 이익입니다(GDPR 제6조 제1항 (f)호).

당사는 안전 및 보안을 위해 개인 데이터를 처리합니다. 

예를 들어, 당사는 범죄 행위를 적발하고 기소하기 위해 특정 장소에서 영상 감시 시스템을 활용합니다. 또한 관련 항공 보안 요건에 따라 조종실 출입문 바로 앞 구역도 모니터링합니다.

“기내 난동 승객”은 부적절하거나 공격적 또는 폭력적인 행동, 지시 불이행, 위협 또는 기타 부적절한 행위로 항공편, 승무원, 다른 승객 또는 제3자의 안전이나 보안을 위협하거나 저해하는 승객을 말합니다.

당사는 관련 사건을 승객 소동 보고서(“PDR”)에 기록합니다. 소란 또는 부적절한 행위의 성격과 심각성에 따라 PDR에는 사건의 세부 내용과 필요한 경우 승객의 신원 확인을 위한 여행 서류 정보가 포함될 수 있습니다. 당사는 사건을 기록, 평가 및 예방하고, 항공편과 승무원 및 승객의 안전과 보안을 보호하며, 당사의 권리를 보호하기 위해 이러한 정보를 사용할 수 있습니다.

당사는 관련 정보를 경찰 및 기타 관계 당국에 제공할 수 있으며, 심각한 경우 운송을 거부하거나 해당 승객의 스위스 항공편 이용을 금지(탑승 금지)하거나 이전에 발생한 사건에 대해 승무원에게 알릴 수 있습니다. 필요한 경우 관련 법률에서 허용하는 범위 내에서, 당사는 사기 및 기내 난동 승객과 관련된 사건을 기록, 분석 및 예방하기 위해 루프트한자 그룹 내 회사 및 다른 항공사와 관련 정보를 공유할 수 있으며, 피해, 부상 또는 범죄 행위와 관련된 정보를 관계 당국 및 보험회사에 제공할 수 있습니다.

본 처리는 안전 및 보안을 보장하기 위한 당사의 정당한 이익에 근거합니다(GDPR 제6조 제1항 (f)호).

문의 양식, 이메일, 채팅 또는 고객 서비스 전화를 통해 문의하는 경우, 당사는 문의에 답변하기 위해 고객의 콘텐츠 데이터를 처리하며, 해당되는 경우 문의 양식의 오용을 방지하기 위해 IP 주소와 문의 날짜 및 시간도 처리합니다. 고객이 명시적으로 동의한 경우, 당사는 품질 보증 및 교육을 목적으로 귀하와의 통화 내용을 녹음할 수 있습니다. 고객이 웹사이트 또는 앱에서 발생할 수 있는 오류를 당사에 알리는 경우, 당사는 고객이 입력한 데이터와 해당되는 경우 고객의 기기 데이터를 이용하여 신고된 오류를 분석하고 해결합니다.

해당 데이터 처리에 대한 법적 근거는 GDPR 제6조 제1항 (f)호입니다. 이러한 데이터 처리에 대한 당사와 고객의 정당한 이익은 고객의 문의에 답변하고 발생할 수 있는 문제를 해결함으로써 당사 웹사이트 또는 앱의 고객이나 사용자로서 고객의 만족도를 유지하고 향상시키는 데 있습니다. 고객의 요청이 계약의 체결 또는 이행을 목적으로 하는 경우, 개인정보 처리의 추가적인 법적 근거는 GDPR 제6조 제1항 (b)호입니다. 개인정보 보호 관련 요청을 처리하는 데 적용되는 법적 근거는 GDPR 제6조 제1항 (c)호이며, 이는 법적 의무를 준수하기 위해 필요한 처리이기 때문입니다. 전화 통화 녹음의 법적 근거는 고객의 동의이며, GDPR 제6조 제1항 (a)호에 따릅니다.

데이터 처리가 우선하는 정당한 이익(GDPR 제6조 제1항 (f)호)을 법적 근거로 하는 경우, 고객은 고객의 특정 상황에 근거하여 데이터 처리에 대해 이의를 제기할 수 있습니다(아래 제7항 참조). 고객의 이익, 권리 및 자유에 우선하는 중대한 정당한 사유가 있음을 당사가 입증할 수 있거나 법적 청구권의 성립, 행사 또는 방어를 위해 처리가 필요한 경우, 당사는 고객의 개인 데이터 처리를 계속할 수 있습니다.

해당 데이터는 귀하와의 소통이 종료된 경우, 즉 관련 사안이 최종적으로 해결되고 해당 데이터를 계속 보관할 정당한 이익이나 추가적인 법적 보관 의무가 없는 경우 삭제됩니다. 챗봇과의 대화 내용은 30일 동안 보관됩니다. 당사 직원과 연락을 취하신 경우, 해당 데이터는 90일 동안 보관됩니다.

당사는 마케팅 알림을 보내기 위해 고객의 데이터를 처리합니다.

예를 들어 당사 웹사이트에서 Travel ID 없이도 당사 상품 및 서비스에 대한 정보를 수신할 수 있습니다. 뉴스레터 외에도 최저가 알림을 구독하여 개별 항공 노선의 최저가 정보를 받아볼 수 있습니다. 또한 원하는 경우 아직 완료하지 않은 항공편 예약에 관한 알림 등 기타 마케팅 알림을 받아볼 수 있습니다.

이메일 광고 구독은 구독을 확인한 후부터 효력이 발생합니다. 이를 위해 뉴스레터 신청 시 당사가 발송하는 확인 이메일에 포함된 링크를 클릭해야 합니다. 

연락처 데이터 처리에 대한 법적 근거는 고객의 동의입니다(GDPR 제6조 제1항 (a)호). 고객은 언제든지 당사의 프로모션 알림 수신에 대한 동의를 철회할 수 있습니다.

마케팅 알림 수신에 대한 별도의 동의 없이 당사는 이미 당사를 통해 예약한 고객에게 당사의 유사한 상품 및 서비스에 관한 정보를 이메일로 개별적으로 안내할 수 있습니다. 다만, (a) 당사가 상품 또는 서비스 판매와 관련하여 고객으로부터 이메일 주소를 제공받았고, (b) 해당 이메일 주소를 당사의 유사한 상품 또는 서비스에 대한 직접 마케팅에 사용하며, (c) 고객이 이러한 정보의 수신을 거부하지 않은 경우에 한하여 해당 정보를 전송합니다.

데이터 처리의 법적 근거는 당사의 정당한 이익입니다(GDPR 제6조 (1)항 (f)호).

고객은 언제든지 마케팅 및 제품 개발을 목적으로 하는 개인 데이터 처리의 전부 또는 일부에 대해 이의를 제기하거나, 기존에 제공한 동의를 철회할 수 있습니다.

이의를 제기하는 방법은 다음과 같습니다.

• 이메일 알림의 경우, 각 이메일에 제공된 수신 거부 링크를 이용할 수 있습니다. 
• 또는 당사 웹사이트 및 앱의 문의 양식을 통해 메시지(키워드: 정보 보호)를 보내거나, 위 제2항에 기재된 이메일 주소로 서면 또는 이메일을 통해 이의를 제기할 수 있습니다.

이의를 제기하거나 기존에 제공한 동의를 철회한 경우 고객의 데이터가 삭제되며, 그 외의 경우에는 당사가 해당 데이터의 이용을 중단한 후 즉시 삭제되거나 집계된 익명 형태로만 저장됩니다. 필요한 경우, 고객에게 더 이상 연락하지 않도록 귀하가 이의를 제기했다는 사실과 관련 연락처 정보를 보관합니다. 마케팅과 관련하여 이의를 제기하거나 동의를 철회하는 경우, 고객의 마케팅 수신 설정을 변경합니다. 마케팅에 대한 이의를 제기하더라도 고객의 예약 데이터 또는 Travel ID가 자동으로 삭제되지는 않습니다(GDPR 제6조 제1항 (b)호).

당사는 서비스 및 상품을 최적화하기 위해 고객의 데이터를 처리합니다. 

예를 들어, 서비스, 혜택 및 사용 중인 AI 도구(예: 채팅 도우미)의 지속적인 개발 및 최적화와 내부 통계 작성을 위해 고객의 예약 데이터(여기에 포함될 수 있는 민감한 데이터는 제외)와 고객과 소통하는 과정에서 수집한 콘텐츠 데이터(제4.5항 참조)를 처리합니다. 이러한 처리는 특히 고객 서비스를 최적화하고, 문의를 효율적으로 처리하며, 당사 및 당사가 제공하는 다양한 서비스에 대한 고객 경험을 개선하기 위해 이루어집니다.

이러한 처리의 법적 근거는 당사의 서비스 및 혜택을 지속적으로 개발하고 최적화하며 내부 통계를 작성하고자 하는 당사의 정당한 이익입니다(GDPR 제6조 제1항 (f)호). 고객은 지속적인 개발 및 최적화를 위한 처리에 언제든지 이의를 제기할 수 있습니다(아래 제7항 참조).

당사는 일반적으로 이러한 목적을 위해 고객의 데이터를 익명화된 형태로 처리하며, 2년 후 이를 삭제합니다. 예를 들어, 서비스 제공 과정의 문제 등으로 인해 법적 보존 의무(예: 관련 회계 및 세무 규정)를 준수하기 위해 고객의 데이터를 보관해야 하는 경우, 당사는 법정 보존 기간 동안 해당 데이터를 보관합니다.

당사의 채팅 도우미 또는 고객 서비스 채널을 이용하는 과정에서 수집된 개인 데이터는 당사가 사용하는 AI 도구를 지속적으로 개발하고 개선하기 위한 목적으로만 익명화 및 집계된 형태로 사용될 수 있습니다. 고객을 직접 식별할 수 있는 개인 데이터 및 GDPR 제9조에 따른 특별 범주의 데이터(특별 서비스 요청의 일환으로 제공된 건강 또는 이동 관련 정보 포함)는 AI 모델의 학습 또는 미세 조정에 사용되지 않습니다.

당사는 서비스, 상품 및 고객 경험에 대한 의견을 수렴하고 이를 개선하기 위해 고객에게 고객 패널, 시장 조사 활동 또는 고객 만족도 설문조사에 참여하도록 요청할 수 있으며, 참여는 자발적입니다. 당사는 이와 관련하여 고객이 제공하는 개인 데이터(귀하의 응답 및 관련 연락처 정보 또는 참여 데이터 포함)를 처리합니다. 처리는 고객의 동의(GDPR 제6조 제1항 (a)호)에 근거하며, 고객은 언제든지 동의를 철회할 수 있으며, 이는 나중에 효력이 발생합니다.

당사는 기술, 분석 및 마케팅 목적을 위해 스위스 매거진 웹사이트를 포함한 당사 웹사이트 및 앱에서 쿠키 및 유사 기술을 사용합니다. 여기에는 제3자가 제공하는 광고를 포함하여 광고를 표시하고 그 성과를 측정하는 것은 물론, 보안을 확보하고, 사기를 방지하며, 오류를 수정하는 것이 포함될 수 있습니다. 맞춤형 광고 및 동의가 필요한 기타 처리는 관련 법률에서 요구하는 경우, 고객의 동의가 있는 경우에만 수행됩니다.

예약 절차의 보안을 강화하고 최적화하는 한편, 사기를 방지하고 결제 불이행 위험을 줄이기 위해 예약 과정에서 특히 귀하의 결제 정보, 성명 및 주소를 처리하며, 해당되는 경우 보상금 또는 환불금 지급 과정에서도 이러한 정보를 처리하여 위험이나 이상 징후가 있는지 확인합니다. 또한 주문이 취소되는 경우, 주문 취소 시점까지 생성된 데이터는 주문 절차의 기술적 최적화, 사기 패턴 탐지 및 주문 절차에 관한 고객 문의에 대응하기 위해 저장됩니다.

본 조항에 명시된 데이터 처리의 법적 근거는 GDPR 제6조 제1항 (b)호 및 (f)호입니다. 정당한 이익은 고객의 신원을 보호하고, 결제 불이행 위험을 최소화하며, 사기 시도를 방지할 필요성에 근거합니다.

이 데이터는 명시된 목적을 달성하는 데 필요한 기간 동안에만 보관됩니다. 의심스러운 예약 거래가 탐지되어 사기 관리 시스템에서 데이터가 처리되는 경우, 해당 데이터의 보관 기간은 관련 데이터가 기록된 날로부터 3년입니다. 법적 보존 의무가 적용되는 경우 또는 법적 청구권의 주장, 행사 또는 방어를 위해 추가 보관이 필요한 경우에 한하여 해당 기간 동안 데이터를 더 오래 보관합니다.

당사는 법적 청구권을 행사하고 법적 지위를 방어하기 위해 개별 사안에서 청구권의 행사 또는 방어에 필요한 개인 데이터를 처리합니다. 여기에는 예약 데이터 등이 포함될 수 있습니다. 

이러한 처리의 법적 근거는 법적 청구권을 행사하고 당사의 법적 지위를 방어하기 위한 당사의 정당한 이익입니다(GDPR 제6조 제1항 (f)호).

이에 필요한 데이터는 법적 분쟁이 종결되거나 법적 보존 기간이 만료된 후 삭제됩니다.

서버 로그 데이터는 웹사이트 또는 앱을 기술적으로 제공하고, 시스템 보안 및 기술 인프라를 보호하며, 당사 웹사이트 또는 앱에 대한 악의적인 접근을 탐지하기 위해 처리됩니다.

이러한 처리의 법적 근거는 당사의 서비스를 포함한 웹사이트/앱을 제공하고 기술 인프라를 보호하기 위한 당사의 정당한 이익입니다(GDPR 제6조 제1항 (f)호). 이러한 처리는 당사 웹사이트 및 앱 이용에 반드시 필요하며,

이 데이터는 귀하의 세션 종료 후 늦어도 180일이 지나면 삭제됩니다.

당사는 본 정보 보호 고지에 명시된 기간 동안 개인 데이터를 보관하며, 구체적인 기간이 명시되지 않은 경우에는 수집된 목적에 필요한 기간 동안 개인 데이터를 보관합니다. 법률에 의해 요구되거나 법적 청구를 제기, 행사, 방어하는 데 필요한 경우, 당사는 개인 데이터를 더 오랜 기간 동안 보관할 수 있습니다. 해당 보존 기간이 만료되면, 법률에 따라 추가 보존이 요구되거나 허용되는 경우를 제외하고는 해당 데이터를 삭제하거나 익명화합니다.

특히, 스위스의 법적 보존 의무에 따라 특정 개인 데이터를 장기간 보관해야 할 수 있습니다. 예를 들어, 스위스 법률에 따르면 특정 회계 기록은 10년 동안 보관해야 합니다. 부가가치세(VAT) 기록을 포함하여 세무 목적상 필요한 기록에는 별도의 보존 기간이 적용될 수도 있습니다. 스위스 항공은 법적 보존 의무를 준수하거나 법적 청구를 제기, 행사, 방어하기 위해 필요한 경우, 계약 관계 종료 후 최대 10년까지 관련 계약 데이터를 보관할 수 있습니다. 데이터의 유형 및 개별 사안의 상황에 따라 보존 기간이 더 짧거나 길어질 수 있습니다.

위에서 설명한 데이터 처리 및 각각의 법적 근거에 따라 귀하의 데이터는 다음 범주의 수신자에게 제공될 수 있습니다.

경우에 따라 당사는 법적 요건을 준수하여 위탁처리 방식으로 서비스 제공업체를 이용합니다. 즉, 서비스 공급자는 계약에 따라 당사를 대신하여 당사의 지시 및 관리·감독하에 데이터를 처리합니다.

처리자에 해당하는 범주는 다음과 같습니다.

• 대행업체(예: 지상조업 서비스 공급자, 청구 처리 업체 및 이와 관련된 기타 부가 서비스 공급자),
• 고객 서비스 센터(콜 센터, 우편 서비스, 채팅 제공업체),
• 기타 서비스 공급자(예: 웹사이트 운영, 뉴스레터 발송, 의견 처리, 국제 항공 통계 작성 등),
• 클라우드 서비스 공급자 및 호스팅 제공업체(데이터 저장 및 인프라용),
• IT 시스템 운영 및 유지보수 서비스 공급자,
• 당사의 웹사이트 및 앱과 관련 기능을 제공하기 위해 당사가 이용하는 기술 서비스 공급자(예: 기술적으로 필수적인 쿠키 등),
• 이메일 발송 및 분석 쿠키 서비스 제공업체 등 실제 광고 및 마케팅을 수행하는 서비스 공급자.

이러한 경우에도 데이터 처리에 대한 책임은 당사에 있으며, 당사의 처리자에 대한 개인 데이터 제공 및 처리자에 의한 개인 데이터 처리는 각 경우에 당사가 해당 데이터를 처리할 수 있도록 허용하는 법적 근거에 따라 이루어지며, 별도의 법적 근거는 필요하지 않습니다.

고객 데이터 중 일부는 루프트한자 그룹의 다른 회사들로도 전송됩니다. 이 경우 당사는 GDPR 제26조에 따라 해당 특정 데이터의 처리와 관련하여 관련 항공사와 공동 데이터 컨트롤러가 될 수 있습니다.

각각의 경우, 수신자는 Air Dolomiti S.p.A Linee Aeree Regionali Europee(Dossobuono di Villafranca(VR), Via Paolo Bembo 70, Italy), Austrian Airlines AG(Office Park 2, Postbox 100, 1300 Vienna Airport, Austria), Brussels Airlines NV/SA(Kompaslaan 26, 1831 Machelen, Belgium), Deutsche Lufthansa AG(Venloer Straße 151-153, 50672 Cologne, Germany,  Germany), Edelweiss Air AG(The Circle 32, 8058 Zurich Airport, Switzerland), Eurowings GmbH(Waldstraße 249, 51147 Cologne, Germany), EW Discover GmbH(Hugo-Eckener-Ring 1, FAC Building, 60549 Frankfurt a.M., Germany), Italia Trasporto Aereo S.p.A.(Via Venti Settembre 97, Rome, 00187, Italy), Lufthansa CityLine GmbH(Munich Airport, FOC, Südallee 15, 85356 Munich, Germany) 및 Lufthansa City Airlines GmbH(Munich Airport, FOC, Südallee 15, 85356 Munich, Germany,  Germany)이며, 이하 통칭하여 “루프트한자 그룹 항공사”라 합니다.

또한 당사는 고객의 데이터를 Miles & More GmbH(위 제4.3항 참조)와 같은 기타 그룹사 및 고객에게 서비스를 제공하는 데 관여하는 기타 그룹사에 제공할 수 있습니다.

예를 들어, 예약한 항공편의 운항에 필요한 경우 고객의 데이터는 루프트한자 그룹 항공사에 제공됩니다. 고객이 당사를 통해 예약한 항공편을 루프트한자 그룹의 다른 항공사가 운항하는 경우, 당사는 고객과 계약을 이행하기 위해 고객의 데이터를 해당 항공사에 제공합니다(GDPR 제6조 제1항 (b)호). 또한 당사는 정당한 이익을 근거로 탑승 금지 대상자에 관한 정보를 공유합니다(GDPR 제6조 제1항 (f)호).

당사는 서비스 및 혜택을 지속적으로 개발하고 최적화하기 위한 목적으로(위 제4.7항 참조) 귀하의 데이터를 루프트한자 그룹 항공사에 제공할 수 있습니다. 이러한 정보 제공의 법적 근거는 향후 고객 및 다른 고객을 위한 서비스를 개선하고 각 항공사의 혜택을 고객의 요구에 맞게 조정하려는 관련 항공사의 정당한 이익입니다(GDPR 제6조 제1항 (f)호).

공동 컨트롤러는 GDPR 제26조에 따라 본 규정에 따른 의무 준수에 대한 각자의 책임을 정하는 약정을 체결했습니다. 해당 약정의 주요 내용은 다음과 같습니다. 루프트한자 독일 항공은 공동으로 처리되는 데이터와 관련하여 발생하는 정보 주체의 권리 행사를 위한 주된 연락 창구 역할을 하며, 다른 루프트한자 그룹 항공사에 제출된 요청은 부당한 지체 없이 해당 담당 법인으로 전달됩니다. 해당 약정의 전문은 위 제2항에 명시된 정보 보호 책임자에게 문의하여 요청할 수 있습니다. 다만, 본 정보 보호 고지 제7항에 따른 고객의 권리는 관련된 모든 그룹사에 행사할 수 있습니다.

또한 당사는 독립적인 컨트롤러로서 서비스를 제공하는 파트너 등 제3자에게도 고객의 데이터를 제공하며,

구체적인 제휴사는 다음과 같습니다.

• 운송의 일부를 담당하는 기타 항공사, 철도 제휴사 및 지상 운송 서비스 공급자(데이터 제공의 법적 근거: GDPR 제6조 제1항 (b)호)
• 당사와 협력하며 고객이 루프트한자를 통해 항공편을 예약할 때 결제를 처리할 수 있도록 지원하는 결제 서비스 공급자(데이터 제공의 법적 근거: GDPR 제6조 제1항 (b)호),
• 기내 엔터테인먼트 포털을 운영하며 인터넷 및 엔터테인먼트 콘텐츠(예: 플라이넷)에 대한 액세스를 제공하는 통신 서비스 제공업체(데이터 전송의 법적 근거: GDPR 제6조 제1항 (b)호), 예약 절차의 확보 및 최적화, 사기 방지, 의심스러운 활동 탐지, 그리고 결제 불이행 위험 제한을 위해 필요한 관련 예약, 결제, 연락처 및 기술 데이터를 처리하는 과정에서 당사와 협력하는 은행 및 결제 서비스 공급자(데이터 전송의 법적 근거: GDPR 제6조 제1항 (f)호),
• 출입국 요건 또는 경찰 활동 및 수사 등에 따라 데이터를 제공받는 국가기관 및 공공 기관(데이터 제공의 법적 근거: GDPR 제6조 제1항 (b)호 또는 (c)호),
• 서비스에 차질이 발생한 경우 이용하는 호텔 등의 서비스 공급자(데이터 제공의 법적 근거: GDPR 제6조 제1항 (f)호).

경우에 따라 당사는 FADP 또는 GDPR이 직접적으로 적용되지 않는 전 세계 제3국에 소재한 수신자에게 개인 데이터를 이전합니다(특히 승객 데이터의 경우, 위의 제4.4항 참조). 스위스 연방평의회와 EU 집행위원회가 해당 국가가 개인 데이터에 대해 적정한 수준의 법적 보호를 제공한다고 결정하지 않은 경우, 당사는 고객의 개인 데이터를 보호하기 위한 충분한 보호 조치를 마련하거나 법률에 규정된 예외 사유 중 하나가 적용되는지 확인해야 합니다.

FADP 제16조 제2항 (d)호 및 GDPR 제46조 제2항 (c)호에 따라, 당사는 적정성 결정이 내려지지 않은 제3국에 소재한 수신자와의 거래 시, EU 집행위원회가 채택하고 스위스 연방 데이터 보호 및 정보 위원회가 인정한 EU 표준 계약 조항을 정기적으로 활용하고 있습니다. 그럼에도 일부 제3국에서는 관련 요건이 명확하게 규정되어 있지 않거나 적절한 법적 구제수단이 마련되어 있지 않은 상황에서 국가 기관이 통제 및 감독 목적으로 수신자에게 고객의 데이터를 요구할 위험이 있습니다. 유럽 법원의 판례에 비추어 이러한 위험이 허용하기 어려운 수준으로 판단되는 경우(예: 미국과 관련된 일부 상황), 당사는 가능한 범위 내에서 추가적인 보호조치 및 약정을 마련합니다. 이러한 제3국으로의 데이터 이전에 관한 자세한 정보, 특히 표준계약조항의 사본을 원하시는 경우 제2항에 명시된 연락처로 문의하시기 바랍니다.

경우에 따라 당사는 FADP 제17조 제1항 및 GDPR 제49조 제1항에 근거하여 고객의 데이터를 전송하기도 합니다. 예를 들어, 당사의 파트너사가 당사 웹사이트에서 쿠키 또는 이와 유사한 기술을 사용하는 경우와 같이, FADP 제17조 제1항 (a)호 및 GDPR 제49조 제1항 제1문 (a)호에 따라 안전하지 않은 제3국의 수신자에게 데이터를 이전하는 것에 대한 귀하의 명시적인 동의가 이에 해당할 수 있습니다. 고객이 동의하기 전에, 해당 제3국에는 적정한 수준의 개인정보 보호 및 적절한 보호조치가 마련되어 있지 않으므로 이러한 데이터 이전으로 인해 고객에게 발생할 수 있는 위험을 명확하게 안내합니다. 고객이 동의하는 경우, 특히 외국 당국이 고객의 데이터에 접근하는 것을 비롯하여 위에서 설명한 위험이 별도의 추가 보장이나 보호조치 없이 발생할 수 있음을 수락하는 것으로 간주됩니다. 그 밖의 경우, 당사는 고객이 루프트한자를 통해 예약한 항공편을 제공하기 위해 FADP 제17조 제1항 (b)호 및 GDPR 제49조 제1항 제1문 (b)호에 근거하여 제3국의 당국에 고객의 개인 데이터를 이전할 수 있습니다.

자동화된 의사결정(프로파일링 포함)이란 사람의 개입이나 내용에 대한 평가 없이 자동으로 의사결정이 이루어지는 데이터 처리 활동을 의미합니다.

당사는 GDPR 제21조에 따라 고객에게 법적 효력을 미치거나 이와 유사하게 고객에게 중대한 영향을 미치는 전적으로 자동화된 의사결정을 사용하지 않습니다. 1 FADP 및 제22조 전송하기도 합니다. 향후 이러한 시스템을 사용하는 경우 당사는 법적 의무에 따라 고객에게 이를 통지합니다.

당사가 고객의 개인 데이터를 처리하는 것과 관련하여, 관련 요건이 충족되고 법령상 예외 사유가 적용되지 않는 한 고객은 다음과 같은 권리를 가집니다.

열람권: 당사가 고객의 개인 데이터를 처리하고 있는지 여부에 대해 당사로부터 확인을 받을 권리가 있습니다. 당사가 개인 데이터를 처리하는 경우, 정보 주체는 해당 데이터뿐만 아니라 처리 목적, 데이터 범주, 데이터 수신자, 보관 기간, 데이터 출처, 귀하의 권리에 관한 정보 및 프로파일링을 포함한 자동화된 의사결정의 존재 여부에 관한 정보를 제공받을 권리가 있습니다.

정정권: 개인 데이터가 부정확하거나 불완전한 경우 당사에 정정을 요청할 권리가 있습니다. 

삭제권: 고객은 개인 데이터 삭제를 요청할 권리가 있습니다. 이는 잊혀질 권리로도 알려져 있습니다. 모든 개인 데이터의 삭제를 일률적으로 요구할 수 있는 권리가 있는 것은 아닙니다. 예를 들어, 당사는 법률에 따라 특정 개인 데이터를 계속 처리해야 할 의무가 있을 수 있으며, 법적 청구가 제기되는 경우 당사의 이익을 방어하기 위해 해당 개인 데이터를 처리해야 할 수도 있습니다.

처리 제한권: 고객의 개인 데이터 처리를 제한하도록 요청할 권리가 있습니다. 처리가 제한되는 경우 해당 데이터는 차단됩니다. 

데이터 이동권: 처리가 고객의 동의를 근거로 하거나 계약 이행을 위해 개인 데이터를 자동화된 방식으로 처리해야 하는 경우, 고객은 당사에 제공한 개인 데이터를 구조화되고 일반적으로 사용되며 기계 판독이 가능한 형식으로 제공받거나 해당 데이터를 다른 컨트롤러에게 이전할 권리가 있습니다.

동의 철회권: 해당 동의 의사표시에 근거하여 개인정보 처리에 동의한 경우, 언제든지 동의를 철회할 수 있으며, 이는 향후 효력이 발생합니다. 동의 철회 이전에 해당 동의를 근거로 이루어진 데이터 처리의 적법성은 철회로 인해 영향을 받지 않습니다.

이의 제기권: 당사가 정당한 이익을 보호하기 위해 고객의 데이터를 처리하는 경우, 고객은 자신의 특수한 상황으로 인해 당사의 데이터 처리에 반대할 사유가 있는 경우 당사의 데이터 보호 문의 양식을 통해 언제든지 해당 처리에 대해 이의를 제기할 수 있습니다. 고객은 별도의 사유를 제시하지 않고도 직접 마케팅을 목적으로 한 귀하의 개인 데이터 처리에 언제든지 이의를 제기할 권리가 있습니다. 이 경우 스위스 항공이 정보 주체의 이익, 권리 및 자유보다 우선하는 중대한 정당한 처리 사유가 있음을 입증할 수 있거나, 해당 처리가 법적 청구권의 성립, 행사 또는 방어를 위한 경우를 제외하고 데이터 처리가 중단됩니다.

개인 데이터 처리와 관련하여 질문, 우려 사항 또는 불만 사항이 있는 경우, 먼저 dataprotection@swiss.com을 통해 당사의 정보 보호 책임자 및 담당 팀에 문의하시기 바랍니다.

이는 관할 정보 보호 감독기관에 불만을 제기할 수 있는 고객의 권리에 영향을 미치지 않습니다. 스위스 내 스위스 항공의 관할 감독 당국은 다음과 같습니다. 

Federal Data Protection and Information Commissioner(FDPIC)
Feldeggweg 1
3003 Berne Switzerland
https://www.edoeb.admin.ch/en