개인정보 처리방침

개인정보 처리방침

임팩트스테이션 주식회사(이하 "회사")는 이용자의 개인정보를 소중하게 생각하며, 「개인정보 보호법」을 비롯한 관계 법령을 지키고 있어요. 회사가 어떤 개인정보를 어떤 목적으로 처리하고, 얼마나 보관하다가 어떻게 파기하는지를 이 방침에 적었어요.

이 방침은 https://contentrip.com/ko/privacy 에 상시 게시해요.

⚠ 법인등록번호는 일부러 적지 않았어요. 방침이 요구하는 값이 아니고, 필요 없는 식별자를 공개면에 올리지 않는다는 것이 이 방침의 원칙이에요(§1-4). 법인 등기 확인이 필요하면 법인등기부로 확인할 수 있어요.

제1조 처리하는 개인정보 항목

회사는 서비스 제공에 필요한 최소한의 개인정보만 처리해요〔지침 §18②〕.

1-1. 회원가입·로그인 과정에서 자동으로 수집되는 것

Google 계정으로 로그인할 때 Google 이 회사에 전달하는 값이에요.

⚠⚠ 2026-08-30 — 이 메모가 예고한 일이 실제로 일어났다. 전에는 "Google 하나뿐, 프로바이더를 켜는 순간 이 표와 §6-3 을 함께 고쳐야 한다"고 적혀 있었다. 지금은 셋이다 — 서비스 설정에 Google·Apple·Kakao 세 로그인 수단이 모두 켜져 있다.

⚠ 이메일·비밀번호 로그인이 추가됐다(2026-08-29). 비밀번호는 원문을 저장하지 않고 scrypt 해시로만 보관해요 — user_passwords 표에 해시·실패 횟수·잠금 시각이 남고, 운영자가 발급한 임시 비밀번호인지 여부가 함께 남아요. 카카오처럼 이메일을 주지 않는 수단으로 가입한 계정도 이제 이메일을 가질 수 있다.

1-2. 이용자가 직접 입력하는 것

입력하지 않아도 서비스를 이용할 수 있어요. 공개 프로필에 표시되는 값이에요.

1-3. 서비스를 이용하는 과정에서 만들어지는 것

⚠ 비로그인 상태의 행동 기록은 개인정보가 아니에요. 로그인하지 않고 본 기록에는 이용자를 가리키는 값이 하나도 들어가지 않아요 — 누구인지 알아낼 방법이 없는 집계 자료로만 남아요.

1-4. 현재 수집하지 않는 것 (2026-08-20 기준)

아래는 화면이 없어 지금은 수집되지 않는 항목이에요. 해당 기능을 열 때 이 방침을 먼저 고칠게요.

• ·주민등록번호 · 여권번호 등 고유식별정보 — 저장할 자리 자체가 없어요
• ·계좌번호 · 수취인 정보 등 지급 정보 — 저장할 자리 자체가 없어요
• ·사상·신념·건강·성생활 등 민감정보 — 저장할 자리 자체가 없어요
• ·생년월일 · 나이 — 저장할 자리 자체가 없어요
• ·IP 주소 · 접속 브라우저 정보 — 회사 데이터베이스에 저장하지 않아요
• ·기업 정보(회사명 · 사업자등록번호 · 담당자 연락처) — 자리는 있지만 입력 화면이 없어요
• ·앱 푸시 토큰 · 검색어 · 전자서명 기록 — 자리는 있지만 기록되지 않아요
• ·결제 정보 — 결제가 연결되어 있지 않아요

제2조 개인정보의 처리 목적

제3조 개인정보의 처리 및 보유 기간

3-1. 원칙

회원 정보는 회원 자격이 유지되는 동안 보관하고, 탈퇴 신청 후 §7 의 절차에 따라 파기해요.

3-2. 법령에 따라 더 보관하는 것

거래·세무 기록은 관계 법령에 따라 파기하지 않고 보관해요. 이 기록은 다른 개인정보와 분리해서 저장·관리해요.

⚠⚠ 기산점을 "거래일"로 읽지 마라 (2026-08-30 조회). 국세기본법 §85의3②은 "거래사실이 속하는 과세기간에 대한 국세의 법정신고기한이 지난 날부터 5년" 이다 — 거래일부터가 아니다. 12월 거래는 실질적으로 6년 넘게 남는다. 파기 배치를 만들 때 이 기산점을 틀리면 법정 보존기간 내에 지워버리는 반대 방향의 위반이 난다.

⚠ 영 §6②3호가 파기 흐름에 직접 걸린다 — 개인정보 이용 동의를 철회한 소비자의 거래기록은 철회하지 않은 소비자의 것과 분리해서 보존해야 한다. 지금 파기 배치 (purgeDueAccounts)에 그 분리 개념이 없다 → docs/PLANNING_GAPS.md 에 등록할 것.

⚠ 회사는 통신판매중개자로 보아 보존해요 (2026-08-31 확정). 영 §6① 단서는 중개자의 보존 범위를 "자신의 정보처리시스템을 통하여 처리한 기록"으로 한정하는데, 회사는 그 좁은 범위가 아니라 위 표 전체를 보존해요 — 더 넓게 남기는 쪽이라 어느 해석에서도 법정 보존 의무를 충족해요. 보존 기간은 어느 쪽이든 위 표와 같아요.

★ 사업자등록증이 한쪽 갈래에 사실 근거를 준다(2026-08-30). 업태·종목에 「전자상거래 소매업」과 「전자상거래 소매 중개업」이 모두 등록돼 있다 — 중개 사업자로 등록돼 있다는 것 자체가 판단을 끝내지는 않지만(실제 거래 구조가 정한다), 중개 해석이 등록 범위 밖이라는 반론은 성립하지 않는다.

3-3. 서비스 이용 기록의 보관 기간

서비스를 이용하면서 남는 기록은 아래 기간이 지나면 누가 남긴 것인지 알 수 없게 만들어요. 기록 자체는 통계로 남지만 이용자와 이어지는 값은 지워져요.

⚠ 계정을 지우면 위 기간과 관계없이 함께 처리해요. 탈퇴하면 30일 유예 후 파기하고, 그때 이용 기록의 이용자 식별값도 함께 지워요(제7조).

★ 이 기간은 문서상의 약속이 아니라 매시간 도는 코드가 지켜요. 방침에 기간을 적어두고 지우는 절차가 없으면 그 방침 자체가 지켜지지 않는 약속이 돼요 — 그래서 이 조는 삭제·익명화 절차를 먼저 만든 뒤에 기간을 적었어요(2026-08-31).

제4조 개인정보의 제3자 제공

회사는 이용자의 개인정보를 제3자에게 제공하지 않아요(2026-08-20 기준). 다만 서비스 운영에 필요한 범위에서 처리를 위탁하고 있고, 그 내용은 §5 와 §6 에 적었어요.

제5조 개인정보 처리의 위탁

수탁자는 전부 국외에 있어요 — 자세한 내용은 §6 에 있어요.

제6조 개인정보의 국외 이전 ★

6-0. 이전의 근거와 별도 동의를 받지 않는 이유

회사는 서비스를 제공하기 위해 국외 사업자에게 개인정보의 처리위탁·보관을 맡기고 있어요. 이는 이용자와 맺은 계약을 이행하는 데 필요한 처리위탁·보관이고, 아래 사항을 이 방침에 공개하고 있으므로 별도의 동의를 받지 않아요〔법 §28의8①3호가목〕.

★★ 6-0-1. 2026-08-30 — 국외 이전의 절반이 없어졌다

인프라가 서울로 옮겨졌다. 아래 셋은 더 이상 국외 이전이 아니다 — 국내 처리이므로 §5(위탁)의 문제이지 §6 의 문제가 아니다.

실측 출처는 서비스 설정의 스토리지 리전 값과 서울 리전 데이터베이스다. 확인 대상이던 C2(R2 버킷 위치)·C3(DB 리전)·C4(Vercel 로그)는 이 이전으로 소멸했다 — 물어볼 대상이 없어졌다.

⚠ 위 세 항목을 《…》 표식으로 적지 않은 것은 의도다. 그 표식은 게시본 생성기가 게시 가능 여부를 세는 신호라, "해소됐다"고 쓰면서 표식을 쓰면 그 문장이 도리어 빈칸으로 집계된다(2026-08-30 에 실제로 그렇게 만들어 3건이 늘었다). 해소를 서술할 때는 표식을 벗긴다.

⚠ 아래 6-1·6-2·6-5 는 옛 사실이다. 지우지 않고 남겨 둔 이유 — 그 기간에 실제로 국외로 나간 개인정보가 있고, 방침의 개정 이력은 "그때 무엇이 어디에 있었는가"를 설명할 수 있어야 한다(§15). 각 절 머리에 대체 사실을 적었다.

⚠⚠ 새로 생긴 확인 대상 — CloudFront. 공개 객체(프로필 사진 · 게시글 이미지 · 썸네일)를 S3_PUBLIC_BASE_URL=https://dkassw8ac9ltw.cloudfront.net 으로 서빙한다. CloudFront 는 전 세계 엣지에 사본을 캐시한다 — 프로필 사진은 개인정보이므로 엣지 캐시가 §28의8 의 "보관"에 해당하는지 판단이 필요하다. 배포의 PriceClass 를 아시아로 제한하면 논점이 줄어든다. → 아래 §6-5 와 체크리스트의 C14

각 수탁자마다 법 §28의8② 5개 항목을 아래에 적었어요.

6-1. Neon, Inc. — 데이터베이스 호스팅

대체됨 (2026-08-30) — 데이터베이스는 AWS RDS 서울 ap-northeast-2 다. 국외 이전에 해당하지 않는다. 아래는 2026-08-30 이전의 사실이다.

6-2. Vercel Inc. — 웹 서비스 호스팅 · 서버 실행

대체됨 (2026-08-30) — 웹 서버는 AWS ECS 서울 ap-northeast-2, 접속 로그는 같은 리전 CloudWatch 다. 국외 이전에 해당하지 않는다. 아래는 2026-08-30 이전의 사실이다.

6-3. Google LLC — 소셜 로그인 인증 · 프로필 이미지 호스팅

이전 경로가 두 갈래예요.

6-3-1. Apple Inc. — 소셜 로그인 인증

★ 2026-08-30 신설. §1-1 이 예고한 대로 로그인 수단이 Google 하나에서 셋으로 늘었는데 이 조가 따라오지 않아 Apple 이 §6 에서 통째로 빠져 있었다. 카카오는 국내 사업자라 국외 이전이 아니고(§5 위탁), Apple 만 여기 온다.

⚠ C6 해소 — Apple 만 state 를 보내는데, 그것도 우리 키로 암호화돼 있다 (2026-08-30 실측).

Apple 이 state 를 요구하는 것은 response_mode=form_post 를 쓰기 때문이고, 그 안에 이용자를 가리키는 값은 없다(Auth.js checks.js 실측 — payload 가 origin 과 난수 둘뿐). 세 프로바이더 모두 우리 쪽 식별자를 보내지 않는다.

⚠ Apple 이 제공하는 이메일 가리기(private relay)는 이 표의 방향과 반대다 — Apple 이 우리에게 익명 주소를 주는 것이라 우리가 보내는 개인정보가 아니다. 다만 그 주소가 users.email 에 저장되므로 §1-1 의 수집 항목에는 해당한다.

6-4. Mux, Inc. — 영상 인코딩 · 스트리밍

6-5. Cloudflare, Inc. — 이미지·파일 저장 (R2)

대체됨 (2026-08-30) — 파일 저장은 AWS S3 서울 리전이에요. 아래는 그 이전의 사실이에요.

⚠ 다만 배포는 CDN(Amazon CloudFront)을 거쳐요. 저장은 국내지만 전달을 빠르게 하려고 국외 서버에도 사본이 잠시 남아요 — 아래 6-6 에 따로 적었어요 (2026-08-31 확정).

6-6. GitHub, Inc. — 정기 배치 작업 실행

6-7. 국외 이전을 거부하는 방법 · 절차 · 효과 (공통)〔법 §28의8②5호〕

이전을 원하지 않으시면 회원 탈퇴로 중단하실 수 있어요. 탈퇴 절차는 §7 에 있어요.

• ·수탁자를 개별로 골라 거부할 수는 없어요. 위 사업자들은 서비스가 동작하는 데 필요한 기반 설비라서, 하나라도 빼면 서비스가 동작하지 않아요.
• ·거부하시면 서비스를 이용하실 수 없어요. 회원가입·로그인·영상 재생·프로필 표시가 모두 위 설비 위에서 이뤄지기 때문이에요.
• ·일부는 §6-3·§6-4 에 적은 것처럼 해당 기능을 쓰지 않는 방법으로 부분적으로 피하실 수 있어요(프로필 사진 직접 업로드 · 영상 미재생).

6-6. Amazon Web Services, Inc. — 이미지 전달(CDN)

★ 저장은 국내예요. 원본은 서울 리전에 있고, 국외로 나가는 것은 전달을 위한 사본이에요.

⚠ 로그인해야 볼 수 있는 파일은 이 경로로 나가지 않아요 — 영상 원본과 정산서는 서명된 주소로만 열리고 CDN 을 거치지 않아요.

⚠ 얼굴 사진처럼 민감할 수 있는 이미지를 프로필에 올리실지는 이용자가 정해요. 프로필 사진은 공개 화면에 보이는 값이라 이 경로를 탄다는 점을 알려 드려요.

제7조 개인정보의 파기절차 및 파기방법

7-1. 절차

1. 1.이용자가 탈퇴(계정 삭제)를 신청해요.
2. 2.30일의 유예 기간을 둬요. 이 기간에는 신청을 취소하실 수 있어요.
3. 3.유예가 끝나면 매일 새벽 3시(한국 시간)에 실행되는 파기 작업이 처리해요.

파기가 미뤄지는 경우 — 아래에 해당하면 사유가 풀릴 때까지 파기하지 않고 기다려요. 사유가 풀리면 다시 신청하지 않아도 자동으로 이어져요. 어떤 사유로 미뤄졌는지는 신청 화면에서 알려드려요.

7-2. 방법 — "삭제"가 아니라 "식별정보 파기 후 익명 처리"예요

탈퇴하면 사람을 가리키는 값은 지우고, 글·댓글처럼 남는 기록에서는 작성자를 알 수 없게 바꿔요. 무엇이 지워지고 무엇이 남는지는 아래와 같아요.

작성하신 글·댓글·리뷰는 지워지지 않고 남아요. 다만 작성자를 따라가도 위와 같이 비워진 프로필만 나와요.

7-3. 파기의 기록

파기는 복원할 수 없는 방법으로 처리하고, 파기에 관한 사항을 기록·관리해요. 파기 후에는 개인정보 보호책임자가 결과를 확인해요.

7-4. 법령에 따라 보관하는 것

§3-2 에 적은 거래·세무 기록은 파기하지 않고 분리해서 보관해요.

제8조 정보주체와 법정대리인의 권리·의무 및 행사 방법

이용자는 언제든지 아래 권리를 행사하실 수 있어요.

• ·프로필 정보는 프로필 수정 화면에서 직접 고치실 수 있어요.
• ·그 밖의 요구는 dev@impactstation.kr 로 보내 주세요.
• ·요구를 받으면 10일 이내에 처리하고 결과를 알려 드려요.
• ·요구를 거절하거나 조치하지 못하는 경우에는 지체 없이 그 사유를 알려 드려요〔법 §37④〕.
• ·법정대리인이나 위임받은 분을 통해서도 요구하실 수 있어요.

제9조 개인정보를 자동으로 수집하는 장치 (쿠키)

회사는 아래 쿠키를 사용해요.

거부 방법 — 브라우저 설정에서 쿠키 저장을 거부하거나 저장된 쿠키를 삭제하실 수 있어요. 다만 로그인 쿠키를 거부하시면 로그인이 필요한 기능을 이용하실 수 없어요.

회사는 광고·분석 목적의 제3자 쿠키를 사용하지 않아요(2026-08-20 기준).

제10조 개인정보의 안전성 확보 조치

회사는 아래 조치를 하고 있어요.

⚠ 고유식별정보(주민등록번호 등)와 민감정보는 처리하지 않아요. 저장할 자리 자체가 없어서, 그에 대한 별도 암호화 의무가 생기지 않아요.

★ 위 조치의 구체적인 내용은 내부 관리계획에 적어 두고 있어요. 감독기관이 요구하면 그 문서로 확인받을 수 있어요.

제11조 해당 사항이 없는 항목

법이 "해당되는 경우에만" 적도록 한 항목이에요. 2026-08-20 기준으로 해당 사항이 없어요.

11-1. 민감정보의 공개 가능성 및 비공개 선택 방법〔법 §30①3의3호〕

회사는 민감정보를 처리하지 않아요. 저장할 자리 자체가 없어요.

11-2. 가명정보의 처리〔법 §30①4의2호〕

회사는 가명정보를 처리하지 않아요.

11-3. 추가적인 이용·제공의 판단 기준〔지침 §19 5호〕

회사는 수집한 목적을 넘어서는 추가적인 이용·제공을 하지 않아요.

11-4. 국외에서 국내 정보주체의 개인정보를 직접 수집하는 경우의 국가명〔영 §31①4호〕

회사는 국외에서 직접 수집하는 흐름이 없어요.

제12조 만 14세 미만 아동의 개인정보

회사는 만 14세 미만 아동의 개인정보를 처리하지 않아요.

• ·가입할 때 만 14세 이상인지 확인하고, 확인하지 않으면 가입 절차가 진행되지 않아요.
• ·그래서 만 14세 미만은 회원으로 가입할 수 없어요.
• ·확인은 확인했다는 사실과 시각만 기록해요. 생년월일이나 나이는 받지도, 저장하지도 않아요 — 필요 없는 정보를 갖지 않는다는 원칙(제1조)을 여기에도 적용했어요.

⚠ 만 14세 미만인 것을 알게 되면 해당 계정의 개인정보를 지체 없이 파기해요. 아동 본인이나 법정대리인은 제13조의 창구로 알려 주실 수 있어요.

⚠ 이 확인은 본인확인 기관을 거치지 않는 자기 신고예요. 법이 확인 방법을 특정하고 있지 않아 지금은 이 방식으로 하고 있고, 더 강한 확인이 필요해지면 그때 바꾸고 이 조를 함께 고칠게요.

제13조 개인정보 보호책임자와 문의처

13-1. 개인정보 보호책임자

★ 2026-08-30 법령 조회로 M1 의 성격이 바뀌었다 — 이건 "정하는" 문제가 아니라 "누구인지 확인하는" 문제다. 법이 후보를 이미 좁혀 놓았다.

★ 따라서 어느 쪽이든 대표자를 적으면 법적으로 성립한다. 상시 근로자 10명 미만이면 §31② 로 자동이고, 아니어도 §32③2호가목으로 지정하면 된다. 대표자 성명은 2026-08-30 에, 연락처는 2026-08-31 에 dev@impactstation.kr 로 확정됐다 — 이 조는 이제 완결이다.

⚠ 2026-09-11 개정을 확인했다 — 이 결론은 유지된다. §31 이 전면 개편되지만 ①단서(소상공인 면제)와 ②(대표자 자동 지정)는 문구 그대로 살아남는다. 신설 §30의3(사업주·대표자의 최종 책임)은 방침 기재사항이 아니라 대표자에게 붙는 일반 의무다. §31③(이사회 의결 + 보호위 신고)은 "매출액·보유 규모 등 대통령령 기준"에만 적용되고 그 시행령은 아직 없다 — 초기 스타트업이 걸릴 가능성은 낮으나, 시행일 이후 시행령이 나오면 다시 본다.

13-2. 개인정보 열람청구를 접수·처리하는 부서〔지침 §19 16호〕

별도 부서를 두지 않고 개인정보 보호책임자(대표자 송상훈)가 직접 접수·처리해요. 접수 창구는 dev@impactstation.kr 이에요.

13-3. 국내대리인〔지침 §19 14호〕

해당하지 않아요. 회사는 국내 법인(임팩트스테이션 주식회사)이에요 — 국내대리인 지정 의무는 국내에 주소·영업소가 없는 사업자에게 붙어요〔법 §31의2〕.

제14조 권익침해 구제 방법

개인정보 침해로 도움이 필요하시면 아래 기관에 문의하실 수 있어요.

또한 개인정보처리자의 처분에 이의가 있으시면 행정심판법에 따라 행정심판을 청구하실 수 있어요.

⚠ 연락처는 2026-08-30 에 각 기관에서 확인했어요. 개인정보분쟁조정위원회 1833-6972 (kopico.go.kr — 종합포털 privacy.go.kr 로도 연결돼요) · 개인정보침해신고센터 118 (privacy.kisa.or.kr) · 대검찰청 1301 · 경찰청 182(ecrm.police.go.kr).

⚠ 이 번호들은 조문 인용이 아니라 각 기관이 공개한 대표번호예요 — 바뀔 수 있으므로 방침을 개정할 때 함께 확인해요.

제15조 개인정보 처리방침의 변경

이 방침이 바뀌면 시행 7일 전부터 서비스 안내를 통해 알려 드려요. 중요한 내용이 바뀌면 30일 전부터 알려 드려요.

바뀐 내용은 개정 이력에서 변경 전·후를 나란히 확인하실 수 있어요.

개정 이력

제16조 시행일

이 개인정보 처리방침은 2026년 9월 1일부터 시행해요.

⚠ 버전 문자열(privacy-2026-09-01)과 같은 날짜예요. 동의를 받을 때 어느 문구에 동의했는지를 이 버전으로 기록하기 때문에, 둘이 어긋나면 "무엇에 동의했는가"의 근거가 갈려요. 문구를 고치면 버전·시행일·이 표를 함께 고쳐요.