개인정보 처리방침

1.적용 범위와 우리가 맡는 두 가지 역할

이 방침은 에스에이치랩솔루션즈(이하 “우리”)이 SC4SAP 콘솔, 그 백엔드 및 스킬(이하 서비스)에서 개인정보를 어떻게 취급하는지 설명합니다. 이 방침은 대한민국 개인정보 보호법(이하 법) 및 같은 법 시행령의 요건에 따라 작성되었으며, 이용약관의 일부를 이룹니다.

우리가 개인정보처리자인 경우

계정을 만들기 위해 여러분이 우리에게 제공하는 정보 — 이름, 이메일 주소, 비밀번호, 결제 정보, 그리고 여러분의 계정이 수행한 활동 기록 — 에 대해서는 우리가 처리의 목적과 수단을 결정하며, 우리가 개인정보처리자입니다. 제3조부터 제6조까지가 이 부분을 설명합니다.

우리가 수탁자인 경우

세션이 여러분의 SAP 시스템에서 읽어 오는 것 — ABAP 소스, 딕셔너리 메타데이터, 설정값, 여러분이 추출을 승인한 테이블 내용, 그리고 프롬프트에 입력한 모든 것 — 에 대해서는 우리는 오직 여러분의 지시에 따라서만 행위합니다. 그 자료의 개인정보처리자는 그 안에 포함된 개인정보를 포함하여 여러분의 조직입니다. 우리는 여러분이 요청한 세션을 실행하기 위해서만 그 자료를 처리하며, 그 밖의 목적으로는 처리하지 않습니다. 제8조가 이 부분을 설명합니다.

2.우리의 기본 원칙

• 우리는 서비스에 필요한 최소한의 정보만 수집하며, 선택 정보의 제공을 서비스 이용의 조건으로 삼지 않습니다.
• 우리는 여러분의 콘텐츠, 프롬프트, SAP 자료를 모델 학습에 사용하지 않습니다 — 우리의 모델이든 다른 누구의 모델이든 마찬가지입니다.
• 우리는 개인정보를 판매하지 않으며, 지금까지 한 번도 판매한 적이 없습니다.
• 우리는 새로운 법적 근거 없이 개인정보를 수집 목적 외의 용도로 이용하지 않습니다.
• 비밀정보 — 비밀번호, SAP 접속 정보 — 는 암호화하여 저장하며, 한번 저장된 뒤에는 브라우저에 다시 표시하지 않습니다.

3.수집하는 개인정보의 항목

여러분이 제공하는 정보

• 계정 — 성, 이름, 이메일 주소, 그리고 솔트를 적용한 일방향 해시 형태로만 저장되는 비밀번호.
• Google로 가입한 경우 — Google 계정 고유 식별자, 그리고 Google이 제공하는 이름과 이메일 주소.
• 초대 코드 — 가입할 때 사용한 초대 코드. 계정에 함께 저장됩니다.
• SAP 접속 정보 — SAP 로그온 URL(호스트), 클라이언트 번호, 시스템 등급, SAP 사용자 ID, SAP 비밀번호. SAP 비밀번호는 저장 시 암호화됩니다.
• 결제 정보 — 유료 요금제를 이용하는 경우의 결제 기록(요금제, 금액, 일시, 거래 번호). 카드 번호 등 결제수단 정보는 결제대행사(토스페이먼츠 주식회사)가 보관하며 우리는 이를 보유하지 않습니다.
• 동의 기록 — 여러분이 동의한 약관과 처리방침의 버전과 그 시각, 국외 이전 동의 여부, 마케팅 정보 수신 동의 여부.
• 참고 노트 — 여러분이 설정 화면에서 업로드한 Obsidian 볼트의 Markdown(.md) 노트. 계정당 최대 1,000개, 50MB까지 받으며, 우리 서버의 해당 계정 전용 폴더에 저장하고 다른 계정과 공유하지 않습니다.
• 지원 요청 및 피드백 — 메시지에 붙여 넣은 내용을 포함하여 여러분이 우리에게 보내는 모든 글.

“Obsidian으로 보내기”는 내용을 여러분 기기의 클립보드나 Obsidian으로 복사할 뿐이며, 우리 서버로는 아무것도 보내지 않습니다.

서비스 이용 중 생성·수집되는 정보

• 세션 기록 — 프롬프트, 대화 기록, 세션이 호출한 도구, 여러분이 승인하거나 거부한 내역과 그 시각. 승인은 승인한 계정에 귀속되며, 그 귀속이 곧 감사 기록입니다. 이는 의도된 설계입니다.
• 사용량 및 비용 — 턴 수, 토큰 수, 각 세션이 보고한 비용.
• 접속 기록 — IP 주소, 브라우저 정보(사용자 에이전트), 요청 경로, 접속 일시, 오류 기록. 보안과 오류 해결을 위해 보관합니다.

보내지 않기를 부탁드리는 것

질문에 필요하지 않은 개인정보를 프롬프트에 넣지 마시고, 네트워크 밖으로 보내는 것이 허용되지 않은 운영 데이터를 스킬이 다루도록 하지 마십시오. 서비스의 가드레일은 상시 차단 목록에 있는 테이블에서의 대량 추출을 막지만, 여러분이 직접 만든 커스텀 테이블까지 분류할 수는 없으며 여러분의 검토를 대신하지 못합니다.

4.처리 목적과 그 법적 근거

법에 따라 우리는 다음 근거 중 하나에 따라 개인정보를 처리합니다. 여러분과의 계약 이행, 여러분의 동의, 여러분의 권리보다 우선하지 않는 범위에서의 우리의 정당한 이익, 또는 법령상 의무. 구체적으로는 다음과 같습니다.

• 서비스 운영 — 본인 인증, SAP 시스템 접속, 세션 실행, 세션이 답할 때 여러분의 참고 노트 검색, 다시 열어 볼 수 있도록 대화 기록 저장. 근거: 계약 이행.
• 요금 청구 및 세무 — 청구서 발행, 대금 수납, 상법 및 세법이 보관을 요구하는 기록. 근거: 계약 및 법령상 의무.
• 보안 및 부정 이용 방지 — 무단 접근 탐지, 사고 조사, 이용약관 집행, 승인 감사 기록 유지. 근거: 정당한 이익 및 법령상 의무.
• 고객 지원 — 여러분이 보낸 문의에 대한 답변. 근거: 계약.
• 서비스 개선 — 기능 사용 방식에 관한 집계 및 비식별 통계. 근거: 정당한 이익. 여기에는 여러분의 SAP 콘텐츠나 대화 기록을 열람하는 일이 결코 포함되지 않습니다.
• 마케팅 — 새 기능, 이벤트, 요금제 소식 안내 메일 발송. 처리하는 항목은 【마케팅 항목】이며, 동의를 철회하거나 계정을 해지할 때까지 보유합니다. 여러분이 수신에 동의한 경우에만 발송하며, 모든 메시지에 수신 거부 방법을 적습니다. 동의하지 않아도 서비스 이용에는 아무런 제한이 없습니다. 우리는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제50조 제8항과 같은 법 시행령 제62조의3【조문 번호 확인 필요】에 따라 수신 동의일부터 2년마다 수신 동의 여부를 이메일로 알립니다. 근거: 동의(법 제15조 제1항 제1호).

동의가 근거인 경우 그 동의는 선택 사항입니다. 동의를 거부하더라도 그 동의를 요청한 기능을 이용할 수 없게 될 뿐, 그 밖의 불이익은 없습니다. 동의는 언제든지 철회할 수 있으며, 철회는 이미 이루어진 처리에 영향을 미치지 않습니다.

5.보유 및 이용 기간

우리는 개인정보를 처리 목적에 필요한 기간 동안만 보유하고, 그 후 파기합니다. 실제로는 다음과 같습니다.

• 계정 기록 — 계정이 존속하는 동안 보유하며, 계정 해지 시 아래에 열거한 것을 제외하고 지체 없이 파기합니다. 마지막으로 서비스를 이용한 날(로그인 포함)부터 1년이 지난 계정은 제10조에 따라 삭제합니다.
• 연결 프로필 — 여러분이 프로필을 삭제하거나 계정을 해지할 때까지 보유하며, 둘 중 먼저 오는 시점을 따릅니다.
• 세션 및 대화 기록 — 여러분이 삭제하거나 계정을 해지할 때까지 보유합니다. 개별 세션은 언제든지 삭제할 수 있습니다.
• 참고 노트 — 다시 업로드하면 이전 노트를 새 노트로 바꿉니다. 설정 화면의 “모두 지우기”, 계정 해지, 또는 제10조의 1년 미이용 삭제 때 지체 없이 파기합니다.
• 승인 감사 기록 — 해당 세션과 함께 보관하며, 세션과 함께 파기합니다.
• 접속 기록 — 최대 3개월. 진행 중인 보안 조사에 필요한 경우에만 더 길게 보관합니다.
• 지원 문의 기록 — 마지막 메시지로부터 최대 3년.

법령이 기간을 정한 경우에는 그 기간이 우선합니다. 전자상거래 등에서의 소비자보호에 관한 법률 및 세법에 따라 계약 및 대금 결제 기록은 5년, 소비자 불만 또는 분쟁 처리 기록은 3년, 표시·광고 기록은 6개월 동안 보관하며, 통신비밀보호법에 따라 접속 기록은 3개월 동안 보관합니다.

백업은 자체 주기에 따라 소멸하므로, 삭제는 즉시가 아니라 그 주기 안에 백업에 반영됩니다.

6.개인정보의 제3자 제공

우리는 여러분의 개인정보를 제3자가 자신의 목적을 위해 이용하도록 제공하지 않습니다. 여러분이 별도로 동의한 경우, 또는 법령이 요구하는 경우 — 영장, 법원의 명령, 또는 법이 정한 절차에 따른 수사기관의 적법한 요구 — 에만 제공합니다.

그러한 요구를 받으면 우리는 그 요구가 유효하고 범위가 한정되어 있는지 확인하고, 그 범위에 해당하는 것만 공개하며, 법이 금지하지 않는 한 여러분에게 알립니다.

우리가 합병, 인수 또는 영업 양도의 당사자가 되는 경우, 법이 요구하는 바에 따라 이전이 효력을 갖기 전에 양수인과 여러분의 철회 권리를 여러분에게 통지합니다.

7.개인정보 처리의 위탁과 수탁자

우리는 서비스 제공을 위하여 다음과 같이 개인정보 처리 업무를 위탁합니다.

우리는 위탁 계약에서 위탁 업무 목적 외 처리 금지, 기술적·관리적 보호조치, 재위탁 제한, 수탁자에 대한 관리·감독, 손해배상 등 책임에 관한 사항을 정하고, 수탁자가 개인정보를 안전하게 처리하는지 감독합니다.

국외에서 개인정보를 처리하는 수탁자에 관한 사항은 제9조를 따릅니다. 수탁자나 위탁 업무가 바뀌면 바뀌기 전에 이 처리방침으로 알립니다.

8.여러분의 SAP 콘텐츠에 포함된 개인정보

세션이 여러분의 SAP 시스템에서 읽은 내용은 모델이 답할 수 있도록 모델 제공자에게 전송됩니다. 그 자료에 개인정보가 포함되어 있다면 — 여러분이 추출을 승인한 테이블, 테스트 데이터, 프로그램에 하드코딩된 값 등 — 나머지와 함께 전송됩니다.

그 자료에 대해서는 여러분의 조직이 개인정보처리자이고 우리는 그 수탁자입니다. 우리는 그 자료를 세션 실행에만 사용하고, 우리 자신의 어떤 목적에도 사용하지 않으며, 모델 학습에 사용하지 않고, 해당 세션과 함께 삭제합니다. 세션이 애초에 그 데이터를 적법하게 다룰 수 있는지 판단하는 것은 개인정보처리자의 몫입니다.

참고 노트도 같습니다. 공유할 권리가 없는 다른 사람의 개인정보는 참고 노트로 업로드하지 마십시오. 참고 노트에 다른 사람의 개인정보가 들어 있다면, 그 개인정보에 대해서는 SAP 자료와 마찬가지로 여러분이 개인정보처리자이고 우리는 그 수탁자입니다.

여러분의 조직에 필요한 경우, 우리는 지시 사항, 수탁자, 보안 조치, 정보주체 요청에 대한 협조, 침해 사고 통지, 계약 종료 시 삭제를 정한 개인정보 처리 위탁 계약을 체결합니다. sc4sap.dev@gmail.com로 문의해 주십시오.

9.개인정보의 국외 이전

우리는 여러분과 맺은 서비스 이용계약을 이행하기 위하여 다음과 같이 개인정보를 국외로 이전합니다. 우리는 법 제28조의8 제1항 제1호에 따라 가입 화면에서 국외 이전에 대한 별도의 동의를 받습니다.

제7조의 수탁자 중 국외에서 개인정보를 처리하는 자는 제7조의 표에 처리 국가와 함께 적습니다. 【호스팅·DB·이메일 수탁자가 국외에서 처리하는 경우 이 조의 표에 각각의 이전 항목, 일시와 방법, 보유 기간을 추가해야 합니다.】 우리는 국외 수탁자와 맺은 계약에서 법이 요구하는 수준의 보호조치를 정하고, 개인정보를 암호화된 통신으로 이전합니다.

여러분은 국외 이전을 거부할 수 있습니다. 가입 화면에서 국외 이전에 동의하지 않으면 됩니다. 이미 동의했다면 세션을 실행하지 마시고, 설정 화면에서 계정을 해지하거나 sc4sap.dev@gmail.com로 거부 의사를 알려 주십시오. 우리는 거부 의사를 받은 뒤에는 여러분의 정보를 국외로 이전하지 않습니다.

AI 답변은 Anthropic의 처리로만 만들어지므로, 국외 이전을 거부하면 서비스를 이용할 수 없습니다. 이미 결제한 요금은 별도로 정하는 바에 따라 환불합니다.

10.개인정보의 파기

보유 기간이 끝나거나 처리 목적이 달성되면 우리는 지체 없이 개인정보를 파기합니다. 실제로는 그 사유가 발생한 날로부터 30일 이내에 파기합니다.

• 전자적 기록은 복구할 수 없는 방법으로 삭제하며, 암호화된 기록은 암호문과 함께 키도 폐기하여 파기합니다.
• 종이에 기록된 것은 파쇄하거나 소각합니다.
• 법령상 보관 기간에 따라 보유하는 기록은 운영 중인 데이터와 분리하여 그 기간이 끝날 때까지 별도로 보관합니다.
• 마지막으로 서비스를 이용한 날(로그인 포함)부터 1년 동안 이용하지 않은 계정은 1년이 되는 날의 30일 전에 이메일로 알리고, 1년이 되면 계정, 대화 기록, SAP 접속 정보, 참고 노트를 삭제합니다. 법령상 보관해야 하는 기록(계약·대금결제 기록 5년 등)은 그 기간 동안만 따로 보관합니다.

11.정보주체의 권리와 행사 방법

법에 따른 정보주체로서 여러분은 언제든지 다음을 할 수 있습니다.

• 우리가 여러분에 관해 보유한 정보를 열람하고 그 사본을 받는 것;
• 잘못된 정보를 정정하거나 불완전한 정보를 보완하게 하는 것;
• 법령이 보관을 요구하지 않는 한 정보를 삭제하게 하는 것;
• 처리 정지를 요구하는 것;
• 불이익 없이 이전에 한 동의를 철회하는 것;
• 여러분이 제공한 정보와 세션이 생성한 결과를 기계가 읽을 수 있는 형식으로 내려받는 것.

행사 방법

이 중 대부분은 콘솔에서 할 수 있습니다. 설정에서 계정 정보와 연결 프로필을 관리할 수 있고, 어떤 세션이든 목록에서 내보내거나 삭제할 수 있습니다. 탈퇴는 설정의 “계정 삭제”에서 언제든 할 수 있으며, 비밀번호(Google로 가입한 계정은 이메일 주소)로 본인 확인을 합니다. 탈퇴하면 개인정보는 바로 파기하고, 법령이 보관을 요구하는 기록만 그 기간 동안 따로 보관합니다. 그 밖의 사항은 sc4sap.dev@gmail.com로 보내 주십시오. 법이 요구하는 바에 따라 요청을 받은 날로부터 10일 이내에 답변하며, 요청에 따를 수 없는 경우에는 그 사유와 이의 제기 방법을 서면으로 알려 드립니다.

다른 사람이 여러분의 권리를 대신 행사하는 것을 막기 위해, 우리는 조치에 앞서 본인 확인을 합니다. 법정대리인이나 위임을 받은 자는 법 시행규칙이 정한 위임장 등을 제출하고 여러분을 대신하여 권리를 행사할 수 있습니다. 만 14세 미만 아동은 법정대리인의 동의가 필요하며, 우리는 아동임을 알면서 계정을 개설하지 않습니다.

여러분의 SAP 콘텐츠에 포함된 자료에 관한 요청은 그 시스템의 개인정보처리자인 여러분의 조직에 하셔야 합니다. 그러한 요청이 우리에게 직접 도달하면, 우리는 단독으로 조치하지 않고 이를 전달합니다.

12.자동화된 결정

서비스는 여러분에게 법적 효력을 미치거나 여러분에게 중대한 영향을 주는 자동화된 결정을 하지 않습니다. 모델은 답변과 초안을 생성할 뿐, 사람에 관하여 무언가를 결정하지 않습니다.

이 점이 바뀌는 일이 있다면 먼저 여기에 알리고, 그 논리와 기준을 알기 쉽게 설명하며, 그 결정을 거부하고 설명과 사람의 검토를 요구할 수 있는 법상의 권리를 여러분에게 보장하겠습니다.

13.개인정보의 안전성 확보 조치

우리는 법이 요구하는 관리적·기술적·물리적 조치를 취하며, 여기에는 다음이 포함됩니다.

• 내부 관리계획, 접근 권한 규정, 그리고 임직원에 대한 정기 교육;
• 최소한의 인원에게만 역할에 따라 부여하고, 정기적으로 검토하며, 퇴직 시 즉시 회수하는 접근 권한;
• 모든 전송 구간의 암호화, 그리고 비밀번호·SAP 접속 정보의 저장 시 암호화 — 비밀번호는 우리도 되돌릴 수 없는 단방향 솔트 해시로 저장;
• 무단 이용을 추적할 수 있도록 접속 기록을 보관하고 점검;
• 서비스를 운영하는 시스템에 대한 침입 방지, 취약점 관리 및 패치;
• 호스팅 제공자가 운영하는 데이터센터의 물리적 통제.

어떤 보호 조치도 완벽하지는 않습니다. 침해 사고가 여러분의 개인정보에 영향을 미치는 경우, 우리는 법이 정한 형식과 기한에 따라 지체 없이 여러분과 개인정보보호위원회에 통지하고, 무슨 일이 있었는지, 무엇이 영향을 받았는지, 어떻게 대처해야 하는지를 알려 드립니다.

14.쿠키 및 유사 기술

우리는 서비스 작동에 필요한 용도로만 쿠키와 브라우저 저장소를 사용합니다. 로그인 상태 유지, 열어 두었던 세션이나 스킬 기억, 언어 및 사이드바 설정 보관이 그것입니다. 콘솔에는 광고용 쿠키나 제3자 추적기가 없습니다.

브라우저 설정에서 쿠키를 거부하거나 삭제할 수 있습니다. 세션 쿠키를 거부하면 로그인 상태를 유지할 수 없습니다.

15.개인정보 보호책임자 및 연락처

우리는 개인정보 처리에 관한 업무를 총괄하고, 여러분의 요청을 처리하며, 우리의 처리로 인한 불만 처리 및 피해 구제를 담당하는 개인정보 보호책임자를 지정하였습니다.

• 개인정보 보호책임자 — 【보호책임자 성명】(【직책】)
• 전화 — 【보호책임자 전화번호】
• 이메일 — sc4sap.dev@gmail.com
• 보안 취약점 신고 — sc4sap.dev@gmail.com

이 방침에 관한 사항은 먼저 우리에게 문의해 주십시오. 지체 없이, 그리고 법이 정한 기한 안에 답변드립니다.

16.권익 침해에 대한 구제 방법

우리와 별개로, 다음 기관 중 어느 곳에든 불만을 제기할 수 있습니다.

• 개인정보 분쟁조정위원회 — 1833-6972, kopico.go.kr
• 개인정보 침해신고센터 (한국인터넷진흥원) — 118, privacy.kisa.or.kr
• 대검찰청 — 1301, spo.go.kr
• 경찰청 사이버수사국 — 182, ecrm.police.go.kr

또한 법에 따라 여러분은 자신의 권리에 관한 공공기관의 처분 또는 부작위에 대하여 행정심판을 청구할 수 있습니다.

17.개인정보 처리방침의 변경

서비스나 법령이 바뀌면 이 방침을 갱신합니다. 새 버전은 시행일과 함께 이곳에 게시하며, 이전 버전도 계속 열람할 수 있도록 합니다.

여러분에게 중요한 변경 — 새로운 처리 목적, 새로운 수탁자, 새로운 국외 수령자, 또는 보유 기간의 연장 — 의 경우, 시행 최소 7일 전에 콘솔이나 이메일로 알리며, 법이 요구하는 경우에는 30일 전에 알립니다. 변경에 여러분의 동의가 필요한 경우에는 동의를 전제하지 않고 별도로 요청합니다.

이 방침은 한국어로 작성되었으며, 영어·일본어 번역본과 내용이 다르면 한국어판이 우선합니다.