개인정보 처리방침

1. 처리 목적

inplay(이하 '서비스')는 아래 목적에만 개인정보를 써요. 목적이 바뀌면 미리 알리고 필요하면 다시 동의를 받아요.

• 회원 확인과 로그인, 계정 보호 (이메일 인증, 비밀번호 찾기, 로그인 시도 제한)
• 만 14세 미만 가입 막기 (생년월일)
• 크레딧 지급·사용·환불 내역 관리, 유료 결제와 정기결제(구독) 처리, 영수증 제공
• 서비스 안내 메일 (이메일 인증, 비밀번호 재설정, 결제·환불 안내 등 꼭 필요한 알림)
• 광고·이벤트 안내 메일 — 수신에 동의한 회원에게만
• 같은 사람이 여러 계정으로 가입 선물 크레딧을 반복해서 받는 것 막기, 부정 이용 방지
• 만들기 기능: 회원이 입력한 주제·설명·브랜드 정보로 AI 콘텐츠 초안을 만들고 내 작업함에 보관
• 고객 문의·불만 처리, 법에서 정한 기록 보관

2. 처리하는 개인정보 항목

• 필수(가입 때 직접 입력): 이름, 이메일 주소, 비밀번호, 생년월일
• 선택: 광고·이벤트 정보 수신 동의 여부
• 자동으로 생기는 것: 가입일, 이메일 인증 시각, 마지막 로그인 시각, 마지막으로 화면을 쓴 시각(1분에 한 번 이하), 약관 동의 기록(버전·시각), 크레딧 지급·사용 기록
• 가입·로그인 보호용: 접속 IP 주소와 가입 때 발급한 기기 식별값(쿠키) — 원래 값으로 되돌릴 수 없게 바꾼(해시) 값만 저장
• 만들기 기능을 쓰면: 회원이 입력한 주제·설명·내 경험, 브랜드 기억(가게 이름·소개·대표 상품 등 회원이 적은 것), 올린 제품 사진, 만들어진 콘텐츠와 이미지
• 유료 결제를 하면(결제 기능이 열린 뒤): 결제 번호, 결제 금액·일시, 상품, 카드사 이름과 카드번호 앞·뒤 일부(결제대행사가 돌려주는 값), 영수증 주소, 정기결제용 빌링키(카드 정보 대신 쓰는 토큰) — 카드번호 전체·CVC·비밀번호는 서비스가 받지도 저장하지도 않아요

비밀번호는 원래 글자로 되돌릴 수 없는 방식(scrypt)으로 바꿔 저장해서 관리자도 볼 수 없어요. 전화번호, 주소, 주민등록번호는 받지 않아요.

3. 처리 및 보유 기간, 파기

회원이 탈퇴하면 이름, 이메일, 생년월일, 비밀번호, 브랜드 기억, 회원이 만든 콘텐츠·이미지를 바로 지워요(전자 파일은 복구할 수 없게 삭제). 아래는 법령이나 분쟁 대비 때문에 남기는 예외예요.

• 결제·환불 기록(계약, 대금 결제, 크레딧 지급·회수): 전자상거래법 시행령 제6조에 따라 계약·청약철회 기록 5년, 대금 결제·재화 공급 기록 5년 보관 (결제 기능이 열린 뒤 적용)
• 소비자 불만·분쟁 처리 기록: 3년 (같은 법령)
• 표시·광고 기록: 6개월 (같은 법령)
• 크레딧 지급·사용 기록, 약관 동의 기록: 이름·이메일 없이 회원 번호로만 분쟁 대비를 위해 보관 — 위 5년 기준과 같이 둬요
• 가입 선물 중복 확인용 값: 이메일을 되돌릴 수 없게 바꾼 값만 남겨 같은 이메일 재가입 때 선물을 또 받지 못하게 해요 (탈퇴 뒤에도 남김, 원문 대조 필요: 보관 기간은 전문가 검토 때 확정)
• 가입·로그인 시도 기록(IP·이메일·기기값의 해시): 하루가 지나면 지워요. 가입 선물 중복 확인용 기기·IP 해시는 24시간
• 이메일 인증을 마치지 않은 가입 정보: 같은 이메일로 다시 가입하면 지워요 (정해진 기간 뒤 자동 삭제는 공개 전에 추가)

파기 방법: 전자 파일은 되살릴 수 없게 삭제하고, 종이 문서는 쓰지 않아요. 보관 기간이 끝난 기록은 지체 없이 파기해요.

4. 제3자 제공

회원의 개인정보를 다른 회사나 사람에게 팔거나 넘기지 않아요(제3자 제공 없음). 법원·수사기관 등이 법에 정한 절차로 요구하는 경우만 예외예요.

5. 처리 위탁과 국외 이전

서비스를 운영하기 위해 아래 회사에 일을 맡겨요(처리 위탁). 이 회사들은 해외에 있어서 개인정보가 인터넷으로 그 회사 서버에 전송·보관돼요(국외 이전, 개인정보 보호법 제28조의8 제1항 제3호 — 계약 이행을 위한 처리위탁·보관으로 이 문서에 공개). 이전 시기는 서비스를 쓸 때마다, 방법은 암호화된 인터넷 연결(HTTPS)이에요.

• Supabase, Inc. (미국) — 데이터베이스 보관: 회원 정보, 동의 기록, 크레딧·결제 기록, 브랜드 기억, 콘텐츠. 보유 기간: 위 3번과 같음. 연락처: privacy@supabase.io (원문 대조 필요). 데이터 보관 지역: 확인 필요
• Vercel Inc. (미국) — 웹사이트 운영: 접속 요청 처리(IP 주소 등 접속 정보). 서버 실행 지역은 서울(icn1). 연락처: privacy@vercel.com (원문 대조 필요)
• Resend (Plus Five Five, Inc., 미국 — 원문 대조 필요) — 이메일 발송: 이메일 주소, 이름(메일 본문). 보유: 발송 처리에 필요한 기간
• Google LLC (미국, Gemini API) — AI 콘텐츠 생성: 회원이 입력한 주제·설명·내 경험·브랜드 기억·올린 제품 사진. 유료 등급 API만 써요(무료 등급은 입력이 Google 제품 개선에 쓰일 수 있어 쓰지 않아요). Google 유료 API 약관상 입력은 모델 학습에 쓰이지 않아요(원문 대조 필요: Gemini API 추가 약관). 서비스는 연락처 같은 개인정보가 입력에 섞이지 않도록 보내기 전에 걸러요
• 결제대행: 포트원(주식회사 코리아포트원, 한국)과 토스페이먼츠(주), 카드사 — 결제 금액·상품·주문번호·이메일(영수증). 국내 회사이며 국외 이전은 아니에요 (결제 기능이 열린 뒤 적용)
• Google AdSense (광고): 지금은 쓰지 않아요. 붙이게 되면 쿠키·행태정보 항목을 이 문서에 먼저 적고 알려요

국외 이전을 원하지 않으면 회원가입을 하지 않거나 탈퇴할 수 있어요. 다만 위 회사 없이는 서비스를 제공할 수 없어서, 거부하면 서비스를 쓸 수 없어요. 문의: 준비 중 (공개 전에 적어요)

6. 쿠키와 자동 수집 장치

• 로그인 유지 쿠키(inplay_member): 로그인 상태 유지. 아무 활동이 없으면 정해진 시간(기본 4시간) 뒤 자동 로그아웃, 로그아웃하면 삭제
• 기기 식별 쿠키(inplay_dev): 가입 때 발급하는 무작위 값(1년). 같은 기기에서 가입 선물 크레딧을 반복해서 받는 것을 막는 데만 써요. 서버에는 되돌릴 수 없게 바꾼 값만 24시간 남아요
• 가입 안내 쿠키(inplay_signup_email): 가입 직후 '메일을 어디로 보냈는지' 보여 주려고 1시간만
• 화면 밝기 설정: 브라우저에만 저장

거부 방법: 브라우저 설정에서 쿠키를 막거나 지울 수 있어요. 로그인 쿠키를 막으면 로그인이 유지되지 않아요.

행태정보(관심사 기반 광고) 수집: 지금은 하지 않아요. Google AdSense 등 광고를 붙이게 되면 수집 주체·항목·거부 방법을 이 문서에 먼저 적어요.

7. 민감정보·가명정보·자동화된 결정

• 민감정보(건강·사상·신념 등): 받지 않아요. 회원이 만들기 입력칸에 스스로 적는 것은 서비스가 요구한 것이 아니며, 적지 않기를 권해요
• 가명정보: 통계·연구 목적의 가명처리를 하지 않아요
• 자동화된 결정(개인정보 보호법 제37조의2): AI는 콘텐츠 초안을 만들 뿐, 회원의 권리·의무에 중대한 영향을 주는 결정(가입 거절, 이용 제한 등)을 사람 개입 없이 자동으로 내리지 않아요. 가입 선물 중복 차단·하루 사용량 제한은 정해진 규칙에 따른 자동 처리이며, 이의가 있으면 준비 중 (공개 전에 적어요)로 알려 주시면 사람이 다시 확인해요

8. 만 14세 미만

만 14세 미만은 회원가입을 받지 않아요. 생년월일로 확인하고, 법정대리인 동의를 받는 절차는 두지 않아요.

9. 정보주체의 권리와 행사 방법

• 열람: 마이페이지 → 내 정보, 크레딧 내역, 내 작업함에서 내 정보와 기록을 볼 수 있어요
• 정정: 이름은 내 정보에서 바로 바꿀 수 있어요. 이메일·생년월일은 문의하면 본인 확인 뒤 바꿔 드려요
• 삭제·처리정지: 내 정보 → 회원 탈퇴. 법령으로 보관해야 하는 기록은 예외예요
• 광고 수신 동의 철회: 내 정보 → '수신 동의 철회하기', 또는 광고 메일 아래의 수신 거부 안내
• 자동화된 결정에 대한 설명·거부 요구, 그 밖의 권리 행사: 준비 중 (공개 전에 적어요)로 메일을 보내 주세요. 법정대리인이나 위임받은 사람도 신분 확인 뒤 행사할 수 있어요

권리 행사 요청은 받은 날부터 10일 안에 처리 결과를 알려 드려요(개인정보 보호법 시행령 기준 — 원문 대조 필요).

10. 광고·이벤트 정보 수신 (선택)

동의한 회원에게만 새 기능·이벤트 소식을 이메일로 보내요. 동의하지 않아도 가입하고 서비스를 쓸 수 있어요.

광고성 메일에는 언제나 '(광고)' 표시와 수신 거부 방법을 넣어요. 동의·철회 시각은 기록해 둬요.

11. 안전성 확보 조치 (실제로 하는 것)

• 비밀번호는 되돌릴 수 없게 바꿔 저장(scrypt), 모든 연결은 HTTPS 암호화
• 데이터베이스는 서버에서만 접근(브라우저에서 직접 접근 불가), 서버 비밀 키는 환경 변수로만 보관하고 코드·문서에 적지 않음
• 관리자만 회원 정보를 볼 수 있고, 관리자가 회원 목록·상세를 보거나 내려받을 때마다 기록을 남김
• 로그인·가입 시도 횟수 제한, 세션 자동 만료, 비밀번호 변경 시 모든 기기 로그아웃
• IP·기기값은 해시로만 저장, 카드 정보는 결제대행사만 보관

아직 하지 않는 것: 별도 침입 탐지 장비, 정기 외부 보안 점검. 사업 규모에 맞춰 추가하면 이 문서에 적어요.

12. AI 이용 안내

• 회원이 입력한 내용(주제·설명·내 경험·브랜드 기억·제품 사진)은 콘텐츠를 만들기 위해 Google Gemini API(미국)로 전송돼요
• 유료 등급 API만 쓰며, Google 약관상 유료 API 입력은 모델 학습에 쓰이지 않아요 (원문 대조 필요). 서비스가 회원 입력으로 자체 AI 모델을 학습시키지 않아요
• 만들어진 결과는 회원의 내 작업함에 보관되고, 탈퇴하면 삭제돼요. AI 호출 기록(모델 이름·토큰 수·비용)은 회원 번호로만 원가 계산을 위해 보관해요
• AI가 만든 결과물에는 'AI 생성' 표시를 해요 (인공지능기본법 제31조)

13. 개인정보 보호책임자와 권익침해 구제

개인정보 보호책임자: 서인희 (대표) · 이메일: 준비 중 (공개 전에 적어요) · 개인정보 관련 문의·불만·피해 구제 요청을 여기로 보내 주세요. 접수 뒤 지체 없이 답하고, 처리에 시간이 걸리면 이유와 일정을 알려 드려요.

• 개인정보분쟁조정위원회: 1833-6972 (www.kopico.go.kr)
• 개인정보침해신고센터: 국번 없이 118 (privacy.kisa.or.kr)
• 대검찰청 사이버수사과: 국번 없이 1301 (www.spo.go.kr)
• 경찰청 사이버수사국: 국번 없이 182 (ecrm.police.go.kr)

14. 시행일과 변경 이력

이 문서의 버전은 2026-10-13-draft-3, 시행일은 공개일에 정함 (초안).

내용을 바꾸면 시행 7일 전(회원에게 불리한 변경은 30일 전)부터 사이트에 알리고, 중요한 변경은 다시 동의를 받아요. 바뀐 내용과 날짜는 아래 이력에 남겨요.

• 2026-10-13 (draft-3): 법 제30조·시행령 제31조 순서로 전면 보완 — 보유기간(전자상거래법), 결제·국외 이전·쿠키·민감·가명·자동화된 결정·AI 이용·권익침해 구제 추가
• 2026-10-12 (draft-2): 접속 기록(마지막 활동 시각), 가입 선물 중복 확인 항목 추가
• 2026-10-11 (draft-1): 처음 작성