개인정보 처리방침

1. 개인정보의 처리 목적

회사는 다음 목적으로 개인정보를 처리하며, 목적이 변경되는 경우 법 제18조에 따라 필요한 조치를 이행합니다.

• 계정 생성·인증, 서비스 기능 제공, 이미지 생성·편집·저장, 사용 내역과 결과물 표시
• 구독·결제·크레딧 관리, 청약철회·환불 처리, 거래 기록 유지와 분쟁 대응
• 오류 분석, 성능·품질 평가, 보안 위협·부정 이용 탐지, 이용 제한 정책 집행
• 고객 문의와 권리침해 신고 처리, 법적 의무 이행, 중요한 서비스·정책 변경 안내
• 선택 동의를 받은 경우에 한해 AI 모델 또는 서비스 개선을 위한 별도 평가·학습 데이터 구성

2. 처리하는 개인정보의 항목

• 계정 정보: 사용자 식별자, 이메일 주소, 로그인 제공자와 인증 상태
• 중복 혜택 방지 정보: 가입 무료 크레딧의 재지급을 막기 위해 정규화한 이메일을 비공개 랜덤 키로 처리한 HMAC-SHA-256 지문을 사용합니다. 이메일 원문이나 사용자 계정과 직접 연결되는 키는 이 기록에 저장하지 않습니다.
• 결제·구독 정보: 주문번호, 상품·플랜, 결제금액·통화, 결제상태, 구독기간, 환불·취소 기록. 전체 카드번호나 계좌정보는 결제대행사가 처리하며 회사가 직접 저장하지 않습니다.
• 서비스 이용 정보: 접속 시각, IP 주소, 기기·브라우저 정보, 오류·보안 로그, 기능 이용 내역, 크레딧 원장과 작업 상태
• 사용자 콘텐츠: 프롬프트, 카피, 업로드 이미지, 레퍼런스·캐릭터·BI/CI 자료, 생성·편집 결과와 관련 메타데이터
• 고객지원 정보: 문의 내용, 첨부자료, 권리침해·환불·계정 삭제 요청과 처리 기록
• 회사는 사상·신념, 건강, 유전정보 등 민감정보와 주민등록번호를 비롯한 고유식별정보를 수집하지 않습니다. 서비스는 만 18세 이상만 이용할 수 있으며 만 14세 미만 아동의 개인정보는 수집하지 않습니다.

3. 개인정보의 보유·이용기간

• 임시 업로드와 중간 산출물(내보내기 작업 파일, ZIP)은 작업 완료·실패 후 24시간 이내에 삭제합니다.
• 무료 계정의 업로드 원본과 생성 결과는 생성일로부터 7일 보관 후 삭제합니다.
• 유료 구독 계정의 콘텐츠는 구독이 유지되는 동안 보관하며, 구독 종료 후 90일이 지나면 삭제합니다. 회사가 별도로 부여한 등급(제휴·계약 등)도 그 등급이 유지되는 동안 같은 기준으로 보관하며, 등급이 해제되면 위 기준에 따라 삭제 대상이 됩니다.
• Enterprise 콘텐츠 보관기간은 7·30·90일 중 계약으로 정하며, 별도 설정이 없으면 30일입니다. 처리 직후 무보관이 필요한 경우 공용 환경에 업로드하기 전에 별도 격리 환경 도입을 문의해야 합니다.
• 계정 정보는 계정이 유지되는 동안 보관하고 계정 삭제 시 파기합니다. 구독 취소만으로는 계정이나 콘텐츠가 삭제되지 않으며, 계정 삭제는 마이페이지에서 신청하거나 고객센터에 요청할 수 있습니다.
• 가입 무료 크레딧 중복 지급 방지용 이메일 지문은 같은 이메일의 재가입 여부 확인 목적으로 서비스 운영 기간 동안 보관하고 서비스 종료 시 파기합니다. 이 지문은 로그인, 광고 또는 사용자 프로파일링에 사용하지 않습니다.
• 법정 보관: 계약·청약철회·결제 기록 5년, 소비자 불만·분쟁 처리 기록 3년, 표시·광고 기록 6개월(전자상거래법 시행령 제6조). 통신비밀보호법에 따른 접속 기록은 3개월간 보관합니다.
• 안전성 확보조치 기준 고시에 따른 개인정보 취급자의 접속기록은 1년 이상 보관합니다.

4. 개인정보의 파기 절차·방법·시점

• 회사는 보유기간이 지나거나 처리 목적이 달성되어 개인정보가 불필요하게 되었을 때 지체 없이 해당 개인정보를 파기합니다.
• 파기 시점 도래 여부는 매시 자동 점검되며, 저장 파일(스토리지 객체)을 먼저 지운 뒤 데이터베이스 기록을 지웁니다. 순서를 지키지 않으면 경로를 잃은 파일이 남기 때문입니다.
• 전자적 파일 형태의 개인정보는 복구·재생할 수 없는 방법으로 영구 삭제하고, 출력물 등 기록물은 분쇄하거나 소각합니다.
• 계정 삭제 신청 즉시 활성 구독의 다음 자동결제를 중단하고 계정 이용을 제한합니다. 5일 동안 고객센터를 통해 신청을 취소할 수 있으며, 유예기간이 지나면 저장 파일과 계정을 삭제합니다. 법정 보관 대상과 가입 무료 크레딧 중복 방지용 이메일 지문은 각각 명시된 목적에 필요한 범위에서 분리 보관합니다.
• 계정 삭제 시 결제·구독·크레딧 거래 기록에서는 원본 결제 payload, 이메일, 콘텐츠 및 작업 ID를 제외하고 거래 입증에 필요한 최소 항목만 분리 보관하며, 각 기록의 보관기한이 끝나면 자동 삭제합니다.
• 운영 데이터베이스와 Storage 백업은 제공업체 플랜 및 별도 백업 구성에 따라 운영됩니다. 복구 가능 범위와 보관기간은 실제 활성화된 백업 설정을 기준으로 하며, 회사는 삭제되거나 유실된 콘텐츠의 복원을 보장하지 않습니다. 백업에 남은 파기 대상 정보는 백업 보관기간이 끝나면 만료되며, 그 사이에도 일반 서비스나 새 학습 데이터에 사용하지 않습니다.

5. 개인정보의 제3자 제공

• 회사는 정보주체의 개인정보를 제3자에게 제공하지 않습니다. 다만 아래의 경우에는 법령이 허용하는 범위에서 제공할 수 있습니다.
• 정보주체로부터 별도의 동의를 받은 경우
• 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우
• 수사기관·법원 등 적법한 권한을 가진 기관이 법령이 정한 절차와 방법에 따라 요구하는 경우
• 정보주체 또는 제3자의 급박한 생명·신체·재산의 이익을 위하여 필요하다고 인정되는 경우
• 서비스 제공에 필요한 범위에서 처리를 맡기는 것은 제3자 제공이 아니라 처리위탁이며, 그 내역은 아래 6·7항에 별도로 공개합니다.

6. 개인정보 처리의 위탁

회사는 원활한 서비스 제공을 위해 다음과 같이 개인정보 처리업무를 위탁하고 있으며, 위탁계약 시 개인정보의 안전한 관리에 관한 사항을 계약서 등 문서에 규정하고 수탁자를 감독합니다.

• Supabase Inc. — 위탁업무: 계정 인증, 데이터베이스 운영, 업로드·생성 파일 저장
• Cloudflare, Inc. — 위탁업무: 서비스 호스팅, 네트워크 전송과 보안 처리
• OpenAI, L.L.C. — 위탁업무: 이미지·문구 생성 및 소재 내 문구·요소 영역 인식을 위한 AI 추론 처리
• Polar Software, Inc. — 위탁업무: 결제·구독·세금 처리
• 위탁업무의 내용이나 수탁자가 변경될 경우 본 방침을 통해 공개합니다. 수탁자에게는 기능 수행에 필요한 최소 정보만 전달합니다.

7. 개인정보의 국외 이전

계정 정보와 서비스 저장 데이터의 주 저장소는 대한민국 서울 리전(AWS ap-northeast-2)에 있습니다. 다만 전송·보안 처리와 AI 추론 과정에서 해외 인프라를 경유합니다 — 국내 저장과 국내에서만 처리하는 것은 다른 개념이므로 아래와 같이 국외 이전 내역을 공개합니다. 이전 방법은 모두 서비스 이용 시점에 정보통신망을 통한 전송입니다.

• Supabase Inc. (privacy@supabase.io) — 이전 국가: 미국(법인 소재) / 데이터 저장은 대한민국 서울 리전. 이전 시기: 회원 가입 및 서비스 이용 시. 이전 항목: 계정 식별자, 이메일 주소, 업로드·생성 이미지, 작업 기록. 이전 목적: 인증·데이터베이스·파일 저장. 보유기간: 계정 삭제 시까지.
• Cloudflare, Inc. (privacyquestions@cloudflare.com) — 이전 국가: 미국 및 전 세계 엣지 노드. 이전 시기: 서비스 접속 시. 이전 항목: 접속 IP, 요청 헤더. 이전 목적: 호스팅·전송·보안 처리. 보유기간: 제공업체 로그 보존 기간.
• OpenAI, L.L.C. (privacy@openai.com) — 이전 국가: 미국. 이전 시기: 생성·편집·요소 인식 요청 시. 이전 항목: 프롬프트, 입력 이미지, 분석 대상 이미지, 생성 결과. 이전 목적: AI 추론 및 문구·요소 영역 인식. 보유기간: 최대 30일(아래 항목 참조).
• Polar Software, Inc. (미국) — 이전 시기: 결제·구독 처리 시. 이전 항목: 이메일 주소, 결제수단 정보, 청구 내역. 이전 목적: 결제·구독·세금 처리. 보유기간: 관계 법령이 정한 보관 기간.
• OpenAI API 로 보낸 데이터는 기본적으로 모델 학습에 사용되지 않지만, 기본 설정에서는 악용 모니터링 목적으로 최대 30일 보관될 수 있습니다. 학습 미사용과 무보관(ZDR)이 계약상 보장되어야 하는 자료는 Enterprise 도입을 문의해주세요.
• 정보주체는 개인정보의 국외 이전을 거부할 수 있습니다. 다만 위 이전은 서비스 제공에 필수적이므로 거부 시 서비스 이용이 제한되며, 거부 의사를 고객센터로 알려주시면 계정 삭제 절차를 안내합니다.

8. 업로드 자료와 생성 결과의 처리

• 업로드 자료는 생성·편집·저장 등 사용자가 요청한 기능을 제공하기 위해 자동 처리되고 필요한 범위에서 AI 및 인프라 제공업체에 전송될 수 있습니다.
• 회사는 일반적인 품질 개선만을 목적으로 고객의 업로드 원본을 직접 열람하지 않습니다. 다만 사용자가 고객지원을 요청한 경우, 불법·권리침해 신고 조사, 보안사고 대응 또는 법적 의무 이행에 필요한 경우에는 권한이 제한된 담당자가 필요한 범위에서 열람할 수 있습니다.
• 일반 소비자 계정의 생성 결과와 최소한의 생성 메타데이터는 서비스 품질 평가, 오류 분석 및 안전성 점검을 위해 표본 추출되어 권한 있는 담당자가 검토할 수 있습니다.
• 관리자 접근은 업무상 필요한 인원으로 제한하고 접근 권한과 인증수단을 관리합니다. 콘텐츠를 광고나 공개 사례로 사용하려면 별도의 허락을 받습니다.

9. AI 학습과 동의 철회

• 입력물·업로드 자료·생성 결과를 AI 모델의 학습 또는 개선 데이터로 사용하려는 경우, 회사는 대상 자료, 목적, 보유기간, 거부 방법과 거부에 따른 영향을 별도로 알리고 관련 법령상 필요한 동의를 받습니다.
• 본 방침에 동의하거나 서비스를 이용했다는 사실만으로 모든 콘텐츠의 AI 학습 이용에 포괄 동의한 것으로 보지 않습니다. 선택적 학습 동의를 거부해도 기본 서비스 이용을 제한하지 않는 것을 원칙으로 합니다.
• 학습 동의는 support@assetive.app로 철회할 수 있습니다. 철회 후에는 해당 콘텐츠를 새로운 학습 데이터에 포함하는 것을 중단합니다.
• 철회 전에 적법하게 완료된 학습 결과, 이미 모델 가중치에 반영되어 개별 분리가 기술적으로 불가능한 정보, 비식별 통계와 법정 보관자료까지 소급하여 되돌린다는 의미는 아닙니다.
• AI 학습 제외, 별도 데이터 처리계약, 기밀정보 보호와 맞춤형 보관기간이 필요한 고객은 Enterprise 도입을 문의할 수 있습니다.

10. 정보주체와 법정대리인의 권리·의무 및 행사방법

• 정보주체는 회사에 대하여 언제든지 개인정보 열람, 정정·삭제, 처리정지, 동의 철회와 계정 삭제를 요구할 수 있으며, support@assetive.app로 신청할 수 있습니다.
• 권리 행사는 법 시행령 제41조 제1항에 따라 서면, 전자우편 등을 통하여 할 수 있으며 회사는 지체 없이 조치합니다.
• 회사는 요청자의 신원을 확인한 뒤 법정 기한 내 처리하며, 법령상 제한 사유가 있으면 그 사유와 이의 제기 방법을 알립니다.
• 정보주체는 법정대리인이나 위임을 받은 자를 통하여 권리를 행사할 수 있으며, 이 경우 위임장과 신원 확인 자료를 요구할 수 있습니다.
• 개인정보 열람 및 처리정지 요구는 법 제35조 제4항, 제37조 제2항에 의하여 정보주체의 권리가 제한될 수 있습니다.
• 정보주체는 자신의 개인정보를 정확하게 유지할 의무가 있으며, 부정확한 정보 입력으로 발생한 사고의 책임은 정보주체에게 있을 수 있습니다.

11. 개인정보 자동 수집 장치의 설치·운영 및 거부

• 회사는 로그인 상태 유지와 이용 환경 저장을 위해 쿠키와 브라우저 로컬 저장소를 사용합니다.
• 쿠키는 사용자의 브라우저에 저장되는 소량의 정보로, 회사는 이를 세션 유지와 서비스 설정 저장 목적으로만 사용하며 광고 목적의 제3자 추적에는 사용하지 않습니다.
• 정보주체는 브라우저 설정에서 쿠키 저장을 거부하거나 저장된 쿠키를 삭제할 수 있습니다(예: 설정 → 개인정보 및 보안 → 쿠키 및 기타 사이트 데이터).
• 쿠키 저장을 거부하면 로그인 유지나 일부 기능이 정상 작동하지 않을 수 있습니다.

12. 자동화된 결정에 관한 사항

• 회사는 개인정보 보호법 제37조의2에서 정한, 정보주체의 권리 또는 의무에 영향을 미치는 완전히 자동화된 결정을 하지 않습니다.
• 서비스의 AI 기능은 사용자가 요청한 이미지·문구를 생성하는 창작 도구이며, 정보주체에 대한 평가나 처우를 자동으로 결정하는 데 사용되지 않습니다.

13. 가명정보 처리에 관한 사항

• 회사는 통계작성, 과학적 연구, 공익적 기록보존 목적으로 가명정보를 처리하고 있지 않습니다.
• 향후 가명정보를 처리하게 되는 경우 처리 목적, 처리 항목, 보유기간과 안전성 확보조치를 본 방침에 공개합니다.

14. 개인정보의 안전성 확보조치

회사는 개인정보의 안전성 확보조치 기준 고시에 따라 다음의 조치를 하고 있습니다.

• 내부 관리계획의 수립·시행: 개인정보 보호 내부 관리계획과 보안 운영 절차를 문서로 두고 정기적으로 점검합니다.
• 개인정보 취급자의 최소화 및 접근 권한 관리: 업무상 필요한 인원에게만 권한을 부여하고, 권한 부여·변경·말소 내역을 관리하며 퇴직·직무 변경 시 지체 없이 회수합니다.
• 접근 통제: 관리자 화면은 별도 인증 게이트웨이와 다중 인증(MFA)을 거쳐야 접근할 수 있고, 세션은 무활동 시 자동 종료됩니다. 데이터베이스 직접 접속은 SSL 을 강제하고 외부 네트워크에서 차단합니다.
• 개인정보의 암호화: 전송 구간은 TLS 1.2 이상으로 암호화하고, 저장 구간은 클라우드 제공업체의 AES-256 또는 동등 수준 암호화를 적용합니다. 비밀번호는 인증 제공업체를 통해 단방향 해시로만 저장하며 원문을 보관하지 않습니다.
• 접속기록의 보관 및 점검: 개인정보 취급자의 접속기록을 1년 이상 보관하고 월 1회 이상 점검하며, 위조·변조·도난·분실되지 않도록 관리합니다.
• 악성프로그램 등 방지 및 취약점 점검: 보안 업데이트 적용 여부와 알려진 취약점을 정기적으로 점검하고 조치합니다.
• 물리적 안전조치: 개인정보가 저장되는 설비는 클라우드 제공업체의 데이터센터 물리적 접근통제 하에 운영됩니다.
• 업로드·생성 파일은 비공개 저장소에 두고, 만료 시간이 있는 서명 URL 로만 접근할 수 있습니다. 공개 링크는 발급하지 않습니다. API 키와 서명 비밀은 암호화된 비밀 저장소에만 두고 코드나 설정 파일에 넣지 않습니다.
• 개인정보 침해가 발생하면 관련 법령에 따라 조사, 피해 완화, 관계기관 신고와 정보주체 통지를 수행합니다.

15. 개인정보 보호업무 담당 부서 및 열람청구 접수·처리 부서

회사는 개인정보 처리에 관한 업무를 총괄해서 책임지고, 개인정보 처리와 관련한 정보주체의 문의·불만처리·피해구제 등을 처리하기 위하여 아래와 같이 담당 부서를 두고 있습니다.

• 개인정보 보호업무 및 고충사항 처리 부서 — 부서명: 정책팀 / 연락처: support@assetive.app
• 개인정보 열람청구 접수·처리 부서 — 부서명: 정책팀 / 연락처: support@assetive.app
• 사업자 정보 — MNB Inc. / 대표 배민호 / 사업자등록번호 466-81-00650 / 서울특별시 구로구 디지털로26길 38, 31층 (08393)
• 정보주체는 서비스를 이용하면서 발생한 모든 개인정보 보호 관련 문의, 불만처리, 피해구제 등에 관한 사항을 위 부서로 문의할 수 있으며, 회사는 지체 없이 답변하고 처리합니다.

16. 정보주체의 권익침해 구제방법

정보주체는 개인정보 침해로 인한 구제를 받기 위하여 아래 기관에 분쟁해결이나 상담 등을 신청할 수 있습니다. 회사의 처리 결과에 만족하지 못하거나 회사가 법령을 위반하였다고 판단되는 경우에도 같습니다.

• 개인정보분쟁조정위원회 — 1833-6972 / www.kopico.go.kr
• 개인정보침해신고센터 — (국번없이) 118 / privacy.kisa.or.kr
• 대검찰청 사이버수사과 — (국번없이) 1301 / www.spo.go.kr
• 경찰청 사이버수사국 — (국번없이) 182 / ecrm.police.go.kr
• 개인정보 보호법 제35조(개인정보의 열람), 제36조(개인정보의 정정·삭제), 제37조(개인정보의 처리정지 등)의 규정에 의한 요구에 대하여 공공기관의 장이 행한 처분 또는 부작위로 인하여 권리 또는 이익의 침해를 받은 자는 행정심판법이 정하는 바에 따라 행정심판을 청구할 수 있습니다.

17. 개인정보 처리방침의 변경

• 본 방침은 위에 기재된 시행일부터 적용됩니다.
• 법령·정책 또는 보안기술의 변경에 따라 내용의 추가·삭제 및 수정이 있을 경우에는 변경되는 방침의 시행일 최소 7일 전부터 서비스 화면이나 계정 이메일을 통하여 변경 이유와 내용을 공지합니다.
• 정보주체에게 불리한 변경이나 새로운 선택적 목적의 처리는 법령이 요구하는 유예기간을 두고 필요한 동의를 별도로 받습니다.
• 이전 버전의 개인정보 처리방침은 support@assetive.app로 요청하시면 제공합니다.