개인정보 처리방침

운영자는 아래 목적으로만 개인정보를 처리하며, 목적이 바뀌면 미리 알리고 동의를 받습니다.

• 회원 가입과 로그인 — 가입 자격 확인, 본인 식별, 로그인 상태 유지
• 조직 단위 권한 관리 — 어느 조직의 자료를 볼 수 있는지 정하고, 초대를 주고받는 일
• 서비스 제공 — 서베이 작성·실행과 리포트 생성
• 이용 한도 관리와 부정 이용 방지 — 조직별 리포트 개수 계산, 반복 요청 제한
• 문의 응대와 운영 안내 — 권리 행사 요청 처리, 서비스 변경·중단 공지
• 오류 대응 — 실행 실패의 원인 확인과 복구

광고 발송, 행태 분석, 이용자 프로파일링에는 개인정보를 쓰지 않습니다.

가. 회원 가입 때 이용자가 직접 입력하는 것

• 이메일로 가입 — 이메일 주소, 비밀번호, 이름, 회사 이름. 비밀번호는 되돌릴 수 없는 형태(해시)로만 보관하며 운영자도 원문을 알 수 없습니다.
• Google 계정으로 로그인 — 이메일 주소와 Google 계정 식별자. 이름과 회사 이름은 첫 로그인 뒤 이용자가 직접 입력합니다.

나. 다른 이용자가 입력해 수집되는 것

• 초대 대상의 이메일 주소 — 조직 소유자가 동료를 초대할 때 입력합니다. 초대장은 발송일로부터 14일이 지나면 만료됩니다. 본인이 초대 대상인 경우 아래 13항의 창구로 수집 출처와 처리 정지를 요구하실 수 있습니다(법 제20조).

다. 서비스를 쓰는 과정에서 생기는 것

• 소속 조직, 조직 내 권한, 가입·초대 이력
• 서베이에 넣은 자료 — 올린 화면 이미지, 붙여 넣은 문구, 목적·메시지·가설·미션·질문처럼 직접 적은 글
• 실행 기록 — AI 가상 고객이 남긴 응답과 근거, 리포트, 실행이 언제 시작·정지·실패했는지
• 사용량 기록 — 만든 리포트 개수, 모델 호출 내역과 비용 산정 근거

라. 자동으로 생성되는 것

• 감사 기록 — 누가 언제 무엇을 했는지. 이메일은 가려진 형태로만 남고, 자료 본문과 접근 키는 남기지 않습니다.
• 접속 로그 — 서비스가 올라가 있는 기반 시설이 남기는 요청 시각·접속 주소(IP)·오류 내용
• 요청 빈도 기록 — 짧은 시간에 몰린 요청을 막기 위한 집계

받지 않는 정보: 주민등록번호를 포함한 고유식별정보, 결제 수단 정보(카드번호·계좌번호), 위치 정보, 연락처 목록, 그리고 건강·사상·신념·정치적 견해·성생활 등 민감정보(법 제23조)를 수집하지 않습니다. 서베이 자료에도 실제 사람의 개인정보나 민감정보를 넣지 말아 주세요 — 넣으면 아래 6항에 따라 국외의 모델 공급자에게 전송됩니다.

운영자는 아래 기간 동안 개인정보를 보유하고 이용하며, 기간이 끝나거나 처리 목적이 달성되면 7항의 절차에 따라 파기합니다.

• 계정 정보(이메일·비밀번호 해시·이름·회사 이름·조직·권한) — 탈퇴 요청을 처리할 때까지
• 조직의 자료(서베이 초안·확정본·실행 기록·리포트·업로드 이미지) — 조직이 유지되는 동안. 조직을 지우면 함께 지웁니다.
• 초대 기록 — 초대장 발송 후 14일(만료) 또는 수락·철회 시까지. 초대가 이루어진 사실은 조직 기록으로 남습니다.
• 사용량 기록 — 한도 계산과 정산 확인에 필요한 기간
• 감사 기록 — 부정 이용 조사와 분쟁 대응을 위해 고쳐 쓰거나 지울 수 없게 저장합니다. 계정을 지워도 이메일이 가려진 형태의 행위 기록은 남습니다.
• 접속 로그 — 운영자가 따로 모아 두지 않습니다. 기반 시설 사업자(Vercel·Supabase)가 각자의 보존 정책에 따라 일정 기간 보관한 뒤 삭제합니다.

법령에 따라 보존해야 하는 기록은 현재 없습니다. 서비스가 아직 유료 결제를 받지 않으므로 전자상거래 등에서의 소비자보호에 관한 법률이 정한 계약·결제·불만 처리 기록이 생기지 않습니다. 유료 플랜을 도입하면 해당 법령이 정한 기간(계약·청약철회 5년, 대금 결제 5년, 소비자 불만 3년)을 이 항에 더하고 시행일을 올립니다.

운영자는 개인정보를 제3자에게 제공하거나 판매하지 않습니다. 법 제17조와 제18조에 해당하는 경우, 곧 정보주체의 동의가 있거나 법령에 특별한 규정이 있어 수사기관 등이 적법한 절차로 요구하는 경우에만 그 범위에서 제공합니다.

서비스 운영에 꼭 필요한 처리를 외부 사업자에게 맡기는 것은 ‘제공’이 아니라 ‘위탁’이며, 5항과 6항에 모두 적었습니다.

운영자는 서비스를 제공하기 위해 아래와 같이 처리 업무를 위탁하고 있습니다. 위탁받은 사업자가 법령을 위반하지 않도록 각 사업자의 데이터 처리 조건을 확인하고 이용하며, 수탁자가 바뀌면 이 방침을 고쳐 공개합니다.

• Vercel Inc. — 웹 서비스 호스팅과 실행
• Supabase Inc. — 계정 인증, 인증·초대 메일 발송, 데이터베이스 보관, 업로드 자료의 비공개 저장
• OpenAI, L.L.C. · Anthropic, PBC — AI 가상 고객의 응답과 리포트 해석 생성
• Google LLC — Google 계정으로 로그인할 때의 로그인 확인

위 수탁자는 모두 미국에 서버를 두고 있어, 서비스를 이용하시면 개인정보가 국외로 이전됩니다. 이 이전은 이용자와의 계약을 이행하고 서비스를 제공하기 위해 필요한 처리위탁·보관에 해당하므로, 개인정보 보호법 제28조의8 제1항 제3호에 따라 별도의 동의를 받는 대신 아래와 같이 공개합니다.

서베이를 실행하면 올린 화면 이미지와 적은 글이 AI 모델 공급자에게 전송됩니다. 공개하기 어려운 화면은 올리기 전에 한 번 더 확인해 주세요.

이전을 거부하는 방법과 그 효과: 아래 13항의 창구로 국외 이전을 원하지 않는다고 알려 주시면 이전을 멈춥니다. 다만 서비스의 모든 기능이 위 사업자의 기반 시설 위에서 동작하므로, 이전을 거부하시면 서비스를 이용하실 수 없고 계정 해지로 처리됩니다. 이미 이전된 개인정보의 파기도 함께 요청하실 수 있습니다.

운영자는 보유 기간이 지나거나 처리 목적이 달성되면 지체 없이 개인정보를 파기합니다.

• 절차 — 파기 사유가 생기거나 삭제 요청을 받으면 본인 확인을 거쳐 대상을 확인하고 파기합니다. 요청일로부터 10일 이내에 처리하고 결과를 알려 드립니다.
• 방법 — 전자적 파일은 데이터베이스 기록과 저장소 파일을 복구할 수 없는 방법으로 삭제합니다. 종이 문서는 보관하지 않습니다.

지금 정직하게 밝혀 둘 두 가지가 있습니다. 첫째, 서비스 화면에는 계정과 자료를 스스로 지우는 기능이 아직 없어 요청을 받아 운영자가 직접 처리합니다. 둘째, 감사 기록은 고쳐 쓰거나 지울 수 없게 저장되어 있어 계정을 지워도 남습니다 — 다만 그 기록의 이메일은 가려져 있고 자료 본문은 담기지 않습니다. 기반 시설 사업자의 백업본은 각 사업자의 백업 주기에 따라 일정 기간 뒤 사라집니다. 화면에서 직접 지우는 기능이 생기면 이 항을 고치고 서비스 안에서 알립니다.

정보주체는 언제든지 운영자에게 아래 권리를 행사하실 수 있습니다.

• 개인정보 열람 요구(법 제35조)
• 오류 등이 있을 경우 정정 요구(법 제36조)
• 삭제 요구(법 제36조)
• 처리정지 요구(법 제37조)
• 자동화된 결정에 대한 설명 요구와 거부(법 제37조의2, 아래 11항 참고)

권리 행사는 아래 13항의 전자우편 주소로 하실 수 있고, 운영자는 요청을 받은 날부터 10일 이내에 조치하고 결과를 알려 드립니다. 법정대리인이나 위임받은 사람을 통해서도 하실 수 있으며, 이때는 개인정보 처리 방법에 관한 고시 별지 제11호 서식의 위임장을 함께 보내 주셔야 합니다.

다만 법령에서 그 개인정보를 처리하도록 정하고 있거나, 다른 사람의 생명·신체·재산과 이익을 부당하게 침해할 우려가 있는 경우에는 요구가 제한될 수 있습니다(법 제35조 제4항, 제36조 제1항, 제37조 제2항). 이 경우 그 사유를 알려 드립니다.

정보주체는 본인 또는 정당한 대리인이 아닌 사람의 개인정보를 침해해서는 안 됩니다. 서베이 자료에 다른 사람의 개인정보를 넣지 말아 주세요.

서비스는 로그인 상태를 유지하기 위한 쿠키만 사용합니다. 이 쿠키는 브라우저의 스크립트가 읽을 수 없도록 설정되어 있으며(HttpOnly), 다른 사이트에서 함께 전송되지 않습니다 (SameSite). 그 밖에 밝은 화면·어두운 화면 설정을 기억하기 위해 브라우저 저장소를 한 칸 사용합니다.

광고 식별자, 행태정보 수집 도구, 제3자 추적 쿠키, 접속 분석 도구는 사용하지 않습니다.

쿠키는 브라우저 설정(도구 → 인터넷 옵션 → 개인정보 또는 설정 → 개인정보 및 보안)에서 거부하거나 삭제하실 수 있습니다. 다만 로그인 쿠키를 거부하면 로그인할 수 없어 서비스를 이용하실 수 없습니다.

운영자는 법 제29조에 따라 아래 조치를 하고 있습니다.

• 접근 권한의 격리 — 모든 조회와 저장은 조직 단위로 격리되어, 다른 조직의 자료에는 데이터베이스 수준에서 닿지 않습니다.
• 업로드 자료의 비공개 보관 — 올린 이미지는 공개되지 않는 저장소에 두고, 볼 때마다 짧은 기간만 유효한 주소를 새로 발급합니다.
• 비밀번호의 암호화 — 되돌릴 수 없는 형태로만 저장하며, 열 자 이상을 요구합니다.
• 전송 구간 암호화 — 모든 통신은 HTTPS로만 이루어집니다.
• 접근 키의 분리 보관 — 모델 공급자의 키는 서버 환경에만 두고 화면이나 응답에 실어 보내지 않습니다.
• 기록의 보존 — 누가 무엇을 했는지 남는 감사 기록은 고쳐 쓰거나 지울 수 없게 저장합니다.
• 취급자의 최소화 — 현재 운영자 1인만 개인정보를 취급합니다.

받은 자료를 AI 모델의 학습에 쓰지 않습니다. 운영자는 모델을 직접 학습시키지 않으며, 6항의 모델 공급자에게도 학습 목적 사용을 요청하지 않습니다. 두 공급자는 API로 받은 자료를 기본적으로 모델 학습에 사용하지 않는다고 각자의 정책에서 밝히고 있습니다.

자동화된 결정(법 제37조의2): 서비스는 이메일로 가입할 때 입력한 주소가 개인용 메일 도메인인지를 자동으로 판별해 가입을 거절합니다. 이 판정으로 가입이 막히셨다면 13항의 창구로 알려 주세요 — 사람이 다시 확인해 처리하며, 판정 기준도 설명해 드립니다. 그 밖에 이용자의 권리나 의무에 영향을 주는 자동화된 결정은 하지 않습니다.

리포트에 담긴 AI의 응답과 해석은 가상 인물에 대한 것이며, 이용자 개인에 대한 평가나 판단이 아닙니다.

서베이에 참여하는 가상 고객은 NVIDIA Nemotron-Personas(CC BY 4.0)에서 왔습니다. 합성 인물이고 실제 사람이 아닙니다. 운영자는 실제 사람의 개인정보로 가상 고객을 만들지 않습니다. 이 출처는 가상 고객을 고르는 화면과 결과 리포트에도 표시됩니다.

운영자는 개인정보 처리에 관한 업무를 총괄하고 정보주체의 문의·불만·피해 구제를 처리하기 위해 아래와 같이 개인정보 보호책임자를 지정하고 있습니다.

• 개인정보처리자: 최지원 (개인, 사업자 등록 없음)
• 개인정보 보호책임자: 최지원
• 전자우편: privacy@supersona.space (대표), bit1615@gmail.com (보조)

열람·정정·삭제·처리정지 청구도 위 주소로 접수합니다. 현재 1인이 운영하고 있어 별도의 담당 부서나 전화 창구가 없으며, 문의는 전자우편으로 받습니다. 조직이 갖추어지면 이 항을 고치고 시행일을 올립니다.

정보주체는 개인정보 침해로 인한 구제를 받기 위해 아래 기관에 분쟁 해결이나 상담을 신청하실 수 있습니다. 운영자의 처리에 만족하지 못하셨다면 언제든 이용하실 수 있는 독립된 창구입니다.

• 개인정보 분쟁조정위원회 — 1833-6972 (kopico.go.kr)
• 개인정보 침해신고센터 — 국번 없이 118 (privacy.kisa.or.kr)
• 대검찰청 사이버수사과 — 국번 없이 1301 (spo.go.kr)
• 경찰청 사이버수사국 — 국번 없이 182 (ecrm.police.go.kr)

개인정보보호위원회의 처분이나 부작위로 권리가 침해되었다고 판단하시면 행정심판법이 정한 바에 따라 행정심판을 청구하실 수 있습니다.

서비스는 만 14세 미만 아동의 가입을 받지 않으며, 아동의 개인정보를 수집하지 않습니다. 서비스는 업무상 리서치 도구로 만들어졌습니다. 만 14세 미만 아동의 개인정보가 수집된 사실을 알게 되면 지체 없이 파기합니다.

이 방침을 고칠 때에는 변경 내용과 시행일을 시행 7일 전부터 서비스 안에 알립니다. 정보주체에게 불리하게 바뀌거나 권리에 중요한 영향을 주는 변경은 시행 30일 전부터 알리고, 필요한 경우 동의를 다시 받습니다. 이전 방침은 요청하시면 보내 드립니다.

• 2026년 9월 20일 — 첫 시행
• 2026년 9월 21일 — 전부 개정(국외 이전·파기 절차·보호책임자·권익침해 구제 방법 신설, 수집 항목을 실제 동작에 맞게 정정)