개인정보 처리방침
발효일: 2025년 11월 11일
문의처: [email protected] | (310) 390-6612
웹사이트: https://didihirsch.org
1. 목적 및 범위
디디 허쉬 정신건강 서비스(이하 "디디 허쉬", "당사", "저희")는 캘리포니아에 기반을 둔 501(c)(3) 비영리 단체로, 정신건강, 약물사용 및 자살 예방 서비스를 제공합니다.
우리는 임상 운영에 있어 HIPAA 적용 기관이며, 지역사회 교육, 훈련 및 모금 활동을 위한 비영리 단체입니다.
우리는 공평하고 트라우마에 대한 이해를 바탕으로 한, 문화적 요구에 부응하는 치료를 제공한다는 사명을 지원하기 위해 정보를 수집하고 활용합니다.
본 정책은 당사가 웹사이트, 온라인 양식, 이메일 통신, 가상 행사 및 기부 플랫폼(이하 총칭하여 "사이트")을 통해 수집한 정보를 수집, 사용, 공유 및 보호하는 방법을 설명합니다.
임상 또는 행동 건강 서비스를 받거나 문의할 때 귀하의 데이터는 보호 대상 건강 정보(PHI)에 해당할 수 있으며, 이 경우 당사의 개인정보 처리방침(HIPAA)이 적용됩니다.
2. 수집하는 정보
| 카테고리 | 예시 | 목적 |
|---|---|---|
| 개인 식별자 | 이름, 이메일, 전화번호 | 서비스 조정 및 소통 |
| 거래 데이터 | 기부 또는 행사 등록 정보 | 결제 처리 및 영수증 |
| 기술 데이터 | IP 주소, 기기 유형, 쿠키 | 웹사이트 기능 및 분석 |
| 민감한 데이터 | 건강 또는 인구 통계 정보 | 케어 조정 또는 형평성 보고(동의 시) |
A. 귀하가 직접 제공하는 정보
서비스, 추천, 기부, 고용, 자원봉사, 미디어 또는 교육 양식을 통해 제출된 정보를 포함합니다. 예를 들어 연락처 정보, 프로그램 선호도, 결제 데이터 및 선택적 인구통계 정보 등이 있습니다.
B. 자동으로 수집되는 정보
IP 주소, 대략적인 위치, 브라우저 및 기기 유형, 방문한 페이지, 분석 식별자(§ 11 참조).
C. 민감 정보 또는 건강 관련 정보
양식에 증상, 위기 상황 또는 서비스 요구 사항을 기재할 경우, 해당 정보는 당사 임상 시스템에 입력되는 즉시 PHI(개인건강정보)로 분류되며 HIPAA 및 42 CFR Part 2 규정에 따라 보호됩니다.
인종, 민족, 성별 또는 장애와 같은 민감한 데이터는 자발적으로 제공되거나 법률에 의해 요구되는 경우에만 수집됩니다.
3. 사용을 위한 법적 및 운영적 근거
우리는 정보를 처리하여:
- 요청된 서비스를 제공하고 문의에 답변합니다.
- 기부금을 관리하고 필요한 재무 기록을 유지합니다.
- 교육 및 품질 개선과 같은 합법적인 비영리 이익을 운영합니다.
- 법률 및 규정을 준수하십시오.
- 생명 안전 및 위기 대응을 포함한 핵심 이익을 보호한다.
- 필요한 경우 귀하의 동의를 얻어 행동하십시오(예: 추천사나 사진 사용 시).
4 정보 활용 방법
우리는 정보를 다음과 같은 목적으로 사용합니다: 서비스 제공, 기부금 처리, 업데이트 전달, 사이트 성능 분석, 인력 채용, 접근성 및 형평성 보장.
우리는 개인 정보나 기부자 정보를 절대 판매하지 않으며, 허가 없이 마케팅 목적으로 PHI를 절대 사용하지 않습니다.
5. 정보 공개 시기와 방법
우리는 필요한 경우에만 정보를 공유하며 엄격한 통제 하에 진행합니다:
- 기부 처리, 이메일 배포, 클라우드 호스팅, 분석 또는 보안과 같은 기능을 수행하는 서비스 제공업체.
- 법적 및 안전 의무: 법률을 준수하거나 개인을 피해로부터 보호하기 위한 의무.
- 운영이 통합되거나 재편될 경우 프로그램 전환을 기밀 보호 조치와 함께 시행한다.
- 기증자 인정 또는 이야기 게재에 대한 동의가 있을 경우.
모든 공급업체는 HIPAA 및 CPRA 요건과 동등한 수준의 개인정보 보호 및 보안 기준을 충족해야 합니다.
6. 제3자 공급업체 및 사례
- Blackbaud / JustGiving / Stripe / PayPal – 기부금 처리 (PCI-DSS 레벨 1)
- 콘스탄트 컨택트 / 메일침프 – 이메일 배포 및 이벤트 초대장 발송
- Google 애널리틱스 / 태그 매니저 – 웹사이트 분석 및 성능
- Microsoft 365 / Salesforce 비영리 클라우드 – 안전한 문서 및 구성원 관리
공급업체는 정기적으로 검토되며 서면 데이터 보호 의무 하에 계약을 체결합니다.
7 데이터 보안 및 사고 대응
우리는 행정적, 기술적, 물리적 보호 장치를 유지합니다:
- 전송 중 256비트 SSL/TLS 암호화
- 다중 요소 인증 및 역할 기반 접근
- 연간 HIPAA 및 사이버 보안 교육
- 암호화된 백업 및 재해 복구
- 지속적인 침입 및 악성코드 모니터링
데이터 사고 발생 시 당사는 사고 대응 계획을 가동합니다: 사고 차단, 포렌식 검토, 피해자 통지, HIPAA 및 주 법률에 따른 규제 기관 보고를 수행합니다.
8 기부금 및 재정 정보
- 모든 기부금은 PCI 준수 업체를 통해 처리되며, 당사는 전체 결제 정보를 저장하지 않습니다.
- 정기 기부에는 토큰화된 자격 증명이 사용됩니다.
- 기부자 기록은 국세청(IRS) 및 감사 목적으로 7년간 보관됩니다.
- 익명의 기부는 존중됩니다.
- [email protected]을 통해 언제든지 향후 광고 수신을 거부할 수 있습니다.
9 HIPAA 및 보호 대상 건강 정보(PHI)
PHI는 치료, 지불 및 의료 서비스 운영 목적으로만 사용 및 공개됩니다. 당사는 PHI를 취급하는 공급업체와 업무 협력 계약을 체결하며, 허가 없이 PHI를 마케팅에 절대 사용하지 않습니다.
자세한 내용은 당사의 개인정보 처리방침(HIPAA)을 참조하시거나 [email protected]으로 사본을 요청하십시오.
10. 쿠키, 분석 및 추적 기술
당사는 쿠키 및 유사 도구를 사용하여 선호도를 기억하고, 트래픽을 분석하며, 보안을 강화합니다.
| 유형 | 목적 | 유지율 |
|---|---|---|
| 필수적인 | 핵심 기능 활성화 | 세션 |
| 분석 | 집계된 성과 데이터 (Google 애널리틱스) | 26개월 |
| 성능 | 부하 분산 및 속도 | 12개월 |
브라우저에서 쿠키를 비활성화할 수 있습니다. 당사는 "추적 금지(Do Not Track)" 신호에 응답하지 않습니다. Google 애널리틱스 사용을 거부하려면 tools.google.com/dlpage/gaoptout에서 설정하십시오.
자세한 내용은 당사의 쿠키 및 추적 정책을 참조하십시오.
11 자동화 도구 및 인공지능
저희는 사이트 보호 및 개선을 위해 제한된 자동화 기술, 스팸 필터, 양식 검증 및 분석 도구를 사용합니다. 이러한 도구들은 서비스 이용 자격이나 치료에 관한 결정을 내리지 않습니다.
12. 제3자 링크 및 소셜 미디어
당사 사이트는 외부 사이트로 연결되거나 소셜 콘텐츠를 포함할 수 있습니다. 당사는 해당 플랫폼을 통제하지 않습니다. Google reCAPTCHA로 보호되는 페이지는 Google 개인정보처리방침 및 서비스 약관의 적용을 받습니다.
13 이메일 및 문자 통신
- 마케팅 이메일에는 수신 거부 링크가 포함됩니다.
- 거래 관련 이메일(예: 영수증 또는 정책 업데이트)은 여전히 발송될 수 있습니다.
- SMS 프로그램은 선택 사항입니다. 수신을 원치 않으시면 STOP으로 답장해 주시고, 도움이 필요하시면 HELP로 답장해 주세요. 당사는 제3자 광고를 위해 연락처 정보를 공유하지 않습니다.
| 기록 유형 | 일반적인 유지율 | 법적 근거 |
|---|---|---|
| 진료 기록(개인건강정보) | 10년 이상 또는 법률에 따라 | 건강 기록 규칙 |
| 기부자 기록 | 7년 | 국세청(IRS)과 세무조사 |
| 웹사이트 로그 / 분석 | ≤ 26개월 | 보안 분석 |
| 인사 애플리케이션 | 3년 | 고용법 |
| 일반 문의 | 2년 | 운영상 필요 |
우리는 변화하는 법률 및 보조금 요건 준수를 보장하기 위해 정기적으로 보존 일정을 검토합니다. 삭제 예정인 데이터는 NIST SP 800-88에 따라 안전하게 삭제되거나 비식별화됩니다.
15. 아동 및 청소년 개인정보 보호
본 공개 사이트는 만 13세 미만 아동을 대상으로 하지 않습니다. 당사는 온라인에서 아동의 정보를 고의로 수집하지 않습니다. 위기 또는 임상 서비스를 이용하는 청소년은 연방 및 주 기밀 유지 법률과 당사의 개인정보 보호정책(NPP)에 따라 보호됩니다.
16. 캘리포니아 개인정보 권리법(CPRA)
비록 대부분의 비영리 단체는 면제 대상이지만, 우리는 자발적으로 CPRA 원칙을 준수할 수 있습니다.
| 맞아 | 설명 |
|---|---|
| 접근성 / 이동성 | 저희가 보유한 개인 데이터(PHI 제외)에 대한 요약본을 요청합니다. |
| 수정 | 부정확한 데이터의 정정을 요청합니다. |
| 삭제 | 법률상 허용되는 경우 삭제 요청. |
| 수신 거부 | 우리는 개인 데이터를 판매하거나 공유하지 않습니다. |
| 공인 대리인 | 귀하를 대신하여 요청을 제출할 대리인을 지정하십시오. |
| 항소 | 요청이 거부된 경우, 제목란에 "개인정보 권리 이의신청"이라고 기재하여 [email protected]으로 이메일을 보내주십시오. |
| 차별 금지 | 개인정보 권리 행사로 인해 서비스를 거부하지 않습니다. |
요청을 처리하기 전에 신원을 확인하며, 45일 이내에 답변드립니다.
17. 국경 간 데이터 전송
당사 시스템은 미국에 호스팅됩니다. 해외 사용자는 이에 따른 데이터 전송 및 처리에 동의합니다. 당사는 필요한 경우 표준 계약 조항을 포함하여 합리적인 계약상 및 기술적 보호 조치를 적용합니다.
18. 본 정책의 개정
본 정책은 수시로 개정될 수 있습니다. 중대한 변경 사항은 홈페이지에 게시하거나 이메일로 공지합니다. 이전 버전은 보관하며 요청 시 제공해 드립니다.
19 문의하기
디디 허쉬 정신건강 서비스
준수 및 개인정보 보호 사무소
4760 Sepulveda Blvd., Culver City, CA 90230
[email protected]
(310) 390-6612
접근성 문제 또는 개인정보 침해 의심 사항도 이 주소로 신고하실 수 있습니다.
