수집하는 개인정보 항목 (전수 명시)
회사는 서비스 제공에 필요한 최소한의 개인정보를 다음과 같이 수집합니다. (1) 회원가입: 이메일 주소(매직링크 인증용). (2) 프로필: 닉네임(display_name, 본인 선택). (3) 보안/어뷰즈 차단: 가입 시점 IP 주소의 SHA-256 해시값(signup_ip_log 테이블) — 원본 IP는 저장하지 않으며 동일 IP 가입·투표 다회 시도 차단 목적에 한해 30일 회수 한도 산정용으로만 사용됩니다. (4) 활동 데이터: 회원이 작성한 댓글·답글·신고 본문, 보트매치 응답, 댓글에 대한 추천/비추천 투표 기록(comment_votes). (5) 광고/측정 도구: Google AdSense 의사난수 쿠키 ID(광고 식별자), Microsoft Clarity 세션 리플레이 식별자, Naver Analytics 페이지뷰 식별자. 주민등록번호·실명·휴대전화번호·생년월일·주소는 일체 수집하지 않습니다.
수집 방법
개인정보는 (i) 회원가입 시 이메일 매직링크 인증, (ii) 댓글·답글·신고 작성, (iii) 보트매치 응답, (iv) 뉴스레터 구독 신청, (v) 페이지 접속 시 표준 HTTP 요청 헤더 자동 수집(IP는 즉시 해시), (vi) AdSense / Clarity / Naver Analytics 의 자바스크립트 SDK 자동 수집을 통해 수집됩니다. 회원이 직접 입력하지 않은 항목은 위 추적 도구의 자동 수집 외에는 외부 경로로 수집하지 않습니다.
이용 목적
수집한 개인정보는 다음 목적으로만 이용됩니다. (1) 본인확인 및 회원 자격 유지(이메일). (2) 댓글·평가·신고 시스템 운영(닉네임, 본문). (3) 가입·투표 어뷰즈 차단(IP 해시, 회수 한도). (4) 뉴스레터 발송(이메일 구독자에 한함). (5) 「정보통신망법」 §44-2 임시조치 처리(신고 본문, moderation_logs). (6) 광고 게재 및 수익화(AdSense). (7) UX 개선을 위한 익명 세션 분석(Clarity, Naver Analytics). 마케팅 목적의 외부 프로파일링·개인 식별 광고 타게팅에는 사용하지 않습니다.
보유 및 이용 기간
(1) 회원 탈퇴: auth.users 행 삭제와 함께 CASCADE 로 모든 식별 데이터(user_profiles, comments, comment_votes, signup_ip_log)가 즉시 파기됩니다. (2) signup_ip_log: pg_cron 으로 매일 자정 90일 초과 행을 자동 삭제합니다(가입 어뷰즈 차단 목적의 최소 보관). (3) 임시조치 자료(moderation_logs): 처리 종료 후 1년 보관 후 자동 삭제(법적 분쟁 대비). (4) 광고/측정 도구 쿠키: 각 사업자의 정책에 따르며, 회원은 브라우저 설정 또는 해당 사업자의 옵트아웃 페이지에서 차단할 수 있습니다. (5) 관련 법령(국세기본법, 전자상거래법 등)이 별도 보존을 요구하는 경우 해당 법령을 따릅니다.
제3자 제공·위탁·국외이전 (PIPA §17, §22, §28-8)
회사는 「개인정보 보호법」 §28-8 에 따라 다음의 처리 위탁 및 국외이전 사실을 명시적으로 통지합니다. (A) Google Gemini API — 수령자: Google LLC(미국 California), 엔드포인트: generativelanguage.googleapis.com, 이전 항목: 회원이 작성한 댓글·신고 본문(자동 모더레이션 목적), 이전 시점: 작성 즉시(동기 호출), 보유 기간: Google 정책상 최대 30일(API 학습 비사용 옵션 적용). (B) Google AdSense — 수령자: Google LLC(미국), 이전 항목: 광고 식별자 쿠키·페이지 URL·대략적 위치 정보, 목적: 광고 게재 및 수익 분배. (C) Microsoft Clarity — 수령자: Microsoft Corporation(미국 Washington), 이전 항목: 익명 세션 리플레이(클릭·스크롤·페이지 전환), 목적: UX 개선. (D) Naver Analytics — 수령자: 네이버클라우드(한국, wcs.pstatic.net), 이전 항목: 페이지뷰·리퍼러, 목적: 트래픽 분석. 국내 처리 위탁: Supabase Inc.(데이터베이스 호스팅, 서울 리전), Cloudflare Inc.(CDN/Edge, 글로벌). 수령자 연락처는 각 사업자의 개인정보처리방침 페이지를 참조하며, 회원은 §28-8 ④항에 따라 국외이전을 거부할 수 있습니다(AI 모더레이션·광고·분석 기능 일부 제한).
정보주체 권리 (PIPA §35-37, GDPR Art. 15-17, 20)
회원은 다음 권리를 행사할 수 있습니다. (1) 열람권(§35, GDPR Art.15): /me 페이지에서 본인 데이터 조회. 전체 데이터 다운로드 기능은 2026-Q3 구현 예정입니다. (2) 정정·삭제권(§36, GDPR Art.16-17): /me 페이지에서 닉네임·비밀번호 직접 수정. 댓글 삭제는 각 댓글의 삭제 버튼으로 즉시 처리됩니다. (3) 처리정지권(§37, GDPR Art.17): 회원탈퇴 시 모든 처리가 즉시 정지되며 CASCADE delete 됩니다. (4) 동의 철회권(§22): 추적 도구(AdSense·Clarity·Naver Analytics)는 브라우저 설정 또는 각 사업자의 옵트아웃 페이지에서 차단할 수 있습니다. 쿠키 동의 배너는 2026-Q3 도입 예정이며, 그 전까지 본 페이지의 안내로 동의 철회 의사를 행사할 수 있습니다. (5) 이동권(GDPR Art.20): [email protected] 으로 요청 시 JSON 형식으로 제공합니다.
14세 미만 차단 및 법정대리인 동의
「개인정보 보호법」 §22-2 에 따라 회사는 만 14세 미만 아동의 개인정보를 수집하지 않으며, 14세 미만은 회원가입을 할 수 없습니다. 회원가입 단계에서 회원은 "만 14세 이상"임을 자기 책임 하에 확인하며, 회사가 사후적으로 14세 미만 가입자임을 인지한 경우(자가 신고·법정대리인 신고·이메일 등 정황) 즉시 해당 계정 및 관련 개인정보 일체를 삭제합니다. 14세 미만 아동의 법정대리인은 [email protected] 으로 자녀 계정의 삭제·열람·정정을 요청할 수 있으며, 회사는 신원 확인 후 7일 이내에 처리합니다.
안전조치 (PIPA §29)
회사는 「개인정보 보호법」 §29 및 동법 시행령 §30 의 안전성 확보 조치 기준에 따라 다음 조치를 시행합니다. (1) 접근통제: Supabase Row Level Security(RLS) 로 모든 테이블에 정책 강제, service_role 키는 서버 환경(Cloudflare Workers Secrets, GitHub Actions Secrets)에만 보관하고 브라우저로 노출 금지. (2) 암호화: TLS 1.3 이상 전송 구간 암호화(HTTPS only, HSTS 적용), 비밀번호는 Supabase Auth 의 bcrypt 해싱. (3) IP 비식별화: 가입·투표 시점 IP 는 SHA-256 해시로만 저장(원본 미보관). (4) 접근 기록: Supabase audit log 및 Cloudflare access log 보관(최장 90일). (5) 백업: Supabase 자동 PITR 7일 보관, 백업 데이터도 동일 RLS 정책 적용. (6) 정기 점검: 분기별 의존성 취약점 스캔, 코드 리뷰 시 보안 체크리스트 적용.
개인정보 유출 통지 (PIPA §34)
회사는 「개인정보 보호법」 §34 에 따라 개인정보 유출 사고가 발생한 경우 다음 절차를 즉시 진행합니다. (1) 유출 인지 후 72시간 이내에 영향받은 정보주체에게 이메일로 개별 통지(누가 어떤 항목을 언제 어떻게 유출했는지, 회원이 취할 수 있는 조치, 회사의 대응 조치, 신고·상담 접수처 포함). (2) 동시에 한국인터넷진흥원(KISA) 및 개인정보보호위원회에 신고. (3) 1만명 이상 영향 시 홈페이지에 7일 이상 게시 공지. (4) 사고 원인 분석 및 재발 방지 조치를 시행하며, 그 결과를 정보주체에게 후속 공지합니다.
쿠키 및 추적 도구
회사는 (1) 로그인 세션 유지를 위한 1st-party 쿠키, (2) Google AdSense 광고 식별 쿠키, (3) Microsoft Clarity 세션 리플레이 쿠키, (4) Naver Analytics 페이지뷰 쿠키를 사용합니다. 회원은 브라우저 설정에서 쿠키를 차단하거나 다음 페이지에서 옵트아웃할 수 있습니다: AdSense(adssettings.google.com), Clarity(자동 익명화), Naver Analytics(브라우저 DNT 설정 존중). 통합 쿠키 동의 배너는 2026-Q3 도입 예정이며, 도입 전까지는 본 조항이 통지에 갈음합니다.
개인정보 보호책임자
회사는 개인정보 처리에 관한 업무를 총괄하기 위해 개인정보 보호책임자를 지정하고 있습니다. 연락처는 [email protected] 이며, 개인정보 관련 문의·열람·정정·삭제·처리정지·동의 철회·유출 신고·법정대리인 요청을 접수합니다. 운영팀이 영업일 기준 24시간 이내에 1차 회신하며, 정식 처리 결과는 「개인정보 보호법」 §35 에 따라 10일 이내에 통보합니다. 추가 권리 구제가 필요한 경우 개인정보보호위원회(privacy.go.kr), 한국인터넷진흥원 개인정보침해신고센터(privacy.kisa.or.kr, 국번없이 118), 대검찰청 사이버수사과(spo.go.kr) 에 신고할 수 있습니다.