개인정보 처리방침

1. 당사 소개 및 본 방침의 적용 범위

본 방침은 Enterprise.Systems("당사")가 8200.dev에서 개인정보를 어떻게 처리하는지를 설명합니다. 계정 및 웹사이트 데이터에 대하여 당사는 컨트롤러입니다. 귀하의 조직이 연결한 소스 내부의 데이터("고객 소스 데이터")에 대하여는 귀하의 조직이 컨트롤러이며 당사는 Data Processing Agreement에 따른 그 처리자입니다. 해당 데이터는 귀하의 조직 자체의 개인정보 고지가 규율합니다.

2. 당사가 처리하는 데이터

당사는 다음 범주를 처리합니다:

• 계정 데이터 — 이메일 주소, 이름, 비밀번호 해시(scrypt; 당사는 비밀번호 자체를 결코 저장하지 않음), 조직명, 역할 및 로케일. 귀하가 사용하는 경우, 암호화되어 저장되는 귀하의 2단계 인증(TOTP) 비밀 키, 그리고 귀하의 로그인 세션 기록(시간, IP 주소 및 브라우저).
• 고객 소스 데이터 — 귀하가 승인한 OAuth 범위를 통해 읽기 전용으로 취득한 연결된 소스의 메타데이터 및 권한 정보로, 리소스 이름 및 식별자, 공유 설정, 권한 부여, 그리고 접근 권한을 보유한 주체(사람, 서비스 계정 및 AI 에이전트)의 신원을 포함합니다. 당사는 귀하의 파일 내용을 읽거나 저장하지 않습니다.
• 탐지 결과(Findings) — 플랫폼이 귀하의 조직을 위해 생성하는 보안 탐지 결과, 설명 및 증거.
• 이용 및 로그 데이터 — IP 주소, 사용자 에이전트, 타임스탬프, 그리고 플랫폼에서 수행된 작업에 대한 추가 전용(append-only) 감사 추적.
• 쿠키 — 로그인, 보안 및 귀하의 환경설정을 위한 소수의 제1자 쿠키 집합과, 귀하가 동의하는 경우에 한하여 파트너 추천 쿠키가 포함됩니다. 전체 목록은 15조에 있습니다. 당사는 광고, 분석 또는 사이트 간 추적 쿠키를 사용하지 않습니다.

3. 당사의 데이터 이용 방식

당사는 서비스를 제공하고 보안하기 위하여 데이터를 이용합니다. 즉, 권한을 열거하고, 탐지 결과 및 평이한 언어의 설명을 생성하며, 귀하가 자동 조치(Auto-remediate)를 활성화한 경우 귀하가 준비한 조치를 수행하고, 귀하를 인증하며, 거래 관련 이메일을 발송하고, 지원을 제공하며, 법적 의무를 이행합니다. 당사는 개인정보를 판매하지 않으며, 광고를 표시하지 않고, 고객 소스 데이터를 AI 모델 학습에 이용하지 않습니다.

4. 적법 처리 근거 (GDPR)

GDPR이 적용되는 경우, 당사는 다음에 근거합니다:

• 계약의 이행 (제6조 제1항 (b)) — 귀하의 계정 운영 및 탐지 결과 생성.
• 정당한 이익 (제6조 제1항 (f)) — 플랫폼 보안, 남용 방지 및 탐지 품질 개선.
• 동의 (제6조 제1항 (a)) — 선택적 커뮤니케이션으로, 언제든지 철회 가능.
• 법적 의무 (제6조 제1항 (c)) — 회계, 세무 및 적법한 요청.

5. AI 처리

당사는 Anthropic API를 통해 대규모 언어 모델을 다음 세 가지 목적으로 이용합니다: (a) 제품 내 지원 어시스턴트로, 귀하가 입력한 메시지를 입력한 그대로 수신하며, 귀하가 로그인한 경우에는 집계된 사실로만 구성된 간략한 계정 요약(귀하의 요금제, 연결된 소스의 수 및 그 정상 여부, 귀하의 태세 점수 및 등급, 미해결 탐지 결과의 수 및 그 중 위험도가 심각한 건수, 그리고 귀하의 팀 규모)을 수신합니다; (b) 귀하가 요청하는 경영진 요약(executive-summary) 서술로, 집계 수치만을 수신합니다: 귀하의 태세 점수 및 등급, 해당 기간의 추세, 위험도별 탐지 결과 건수, 귀하의 동종 대비 백분위, 요금제 이름, 그리고 건수와 함께 일반적 범주 명칭으로 표시된 가장 흔한 위험 범주(예: “공개 링크 공유(링크 전용): 3”); (c) 인터페이스를 추가 언어로 번역하는 것으로, 인터페이스 텍스트만을 전송합니다. 이러한 요청 중 어느 것에도 귀하의 연결된 소스로부터의 식별자는 포함되지 않습니다: 파일, 폴더 또는 드라이브 이름, 사용자 또는 계정 이름, 이메일 주소, 경로, 계정 ID, 그리고 귀하 조직의 이름 모두 포함되지 않습니다. 당사는 파일 내용이나 자격 증명을 결코 전송하지 않습니다. Anthropic의 상업적 약관에 따라, API를 통해 제출된 데이터는 Anthropic의 모델 학습에 이용되지 않습니다.

6. 하위 처리자 및 공유

당사는 개인정보를 아래의 하위 처리자, 비밀유지 의무를 부담하는 전문 자문가, 또는 법률이 요구하는 경우에 한하여 공유합니다:

• Anthropic (미국) — AI 지원 어시스턴트, 경영진 요약 서술 및 인터페이스 번역.
• Cloudflare (글로벌) — CDN, TLS 종료 및 DDoS 보호.
• RunPod (미국/EU) — 플랫폼을 호스팅하는 클라우드 인프라.
• Resend (미국) — 거래 관련 이메일 전송.
• PayPal (미국) — 구독 청구 및 결제 처리.

당사는 이 목록을 여기에서 갱신하며, DPA를 체결한 조직은 DPA에 따라 추가 사항에 대한 사전 통지를 받습니다.

7. 보존

당사는 필요 이상으로 데이터를 보관하지 않습니다:

• 계정 데이터 — 귀하의 계정이 존속하는 기간 동안 보관합니다. 계정 삭제에는 7일의 유예 기간이 적용되며, 이후 데이터는 영구적으로 파기됩니다.
• 발견 사항 및 권한 스냅샷 — 기본적으로 24개월, 또는 귀하의 조직이 구성한 기간 동안 보관합니다.
• 운영 및 감사 로그 — 90일.
• 귀하의 계정을 삭제하면 귀하가 단독으로 소유한 조직도 함께 삭제되며, 여기에는 해당 조직의 커넥터(저장된 자격 증명은 즉시 파기됨), 스냅샷 및 발견 사항이 포함됩니다.

8. 귀하의 권리

GDPR 및 유사 법률에 따라 귀하는 접근권, 정정권, 삭제권, 이동권, 처리 제한권 및 반대권을 가지며, 법적 효력을 갖는 완전 자동화된 결정의 대상이 되지 않을 권리를 가집니다(본 플랫폼은 귀하에 관하여 그러한 결정을 하지 않습니다). 내보내기 및 삭제는 셀프서비스로 처리됩니다: 설정 → 내 데이터 내보내기 / 내 계정 삭제. 그 밖의 사항에 대해서는 [email protected] 로 문의하시기 바라며, 당사는 30일 이내에 회신합니다. 또한 귀하는 감독 기관에 민원을 제기할 수 있습니다.

9. 국제 이전

당사는 EU 적정성 결정을 받은 이스라엘에 소재하며, 인프라는 하위 처리자(Subprocessors) 항목에 나열된 지역에서 운영됩니다. 개인정보가 EEA/영국에서 적정성이 인정되지 않은 국가로 이전되는 경우, 당사는 유럽 위원회의 표준 계약 조항(SCC) 및 이에 상응하는 영국의 보호조치, 그리고 추가적인 기술적 조치(전송 중 및 저장 시 암호화)에 의존합니다.

10. 캘리포니아 (CCPA/CPRA)

당사는 CCPA/CPRA에서 정의하는 바에 따라 개인정보를 판매하거나 공유하지 않으며, 직전 12개월 동안 그러한 행위를 한 적이 없습니다. 캘리포니아 거주자는 알 권리, 정정할 권리, 삭제할 권리, 그리고 이러한 권리를 행사한다는 이유로 차별받지 않을 권리를 가집니다 — 설정의 셀프서비스 도구를 이용하거나 [email protected] 로 문의하시기 바랍니다.

11. 보안

데이터는 전송 중 암호화되며(TLS), 저장된 자격 증명은 저장 시 암호화됩니다(AES-256-GCM). 귀하의 소스에 대한 모니터링 접근은 읽기 전용이며 최소 권한 원칙을 따릅니다. 쓰기 접근은 귀하가 Auto-remediate를 활성화하고 별도로 권한을 부여한 경우에만 존재하며, 언제든지 이를 철회할 수 있습니다. 비밀번호는 솔트가 적용된 scrypt 해시로만 저장됩니다. 모든 플랫폼 작업은 추가 전용(append-only) 감사 로그에 기록됩니다. 당사는 GDPR 제33조 내지 제34조에 따라 개인정보 침해 사실을 영향을 받은 조직에 부당한 지체 없이 통지합니다.

12. 아동

본 플랫폼은 B2B 서비스이며 아동을 대상으로 하지 않습니다. 당사는 16세 미만인 자를 계정 보유자로서 고의로 그 데이터를 처리하지 않습니다.

13. 본 정책의 변경

당사는 변경 사항을 여기에 게시하고 본 페이지 상단의 시행일을 갱신하며, 변경 사항은 해당 일자에 효력을 발생합니다.

14. Google API 서비스

8200.dev가 Google API로부터 수신한 정보를 사용하거나 다른 앱으로 전송하는 것은 Limited Use 요건을 포함하여 Google API Services User Data Policy를 준수합니다.

Workspace API로부터 수신한 원시 또는 파생 사용자 데이터의 사용은 Limited Use 요건을 포함하여 Google User Data Policy를 준수합니다.

당사는 일반화된 인공지능 또는 머신러닝 모델을 개발, 개선 또는 학습시키기 위하여 어떠한 원시(raw) 또는 파생된 Google Workspace 사용자 데이터도 사용하지 않으며, 그러한 데이터를 학습 목적으로 제3자 AI 또는 ML 도구나 서비스에 전송하지 않습니다. 플랫폼상의 대규모 언어 모델 분석(Anthropic API를 통함)은 추론(inference) 전용이며, Anthropic의 상업적 약관에 따라 API를 통하여 제출된 데이터는 Anthropic의 모델을 학습시키는 데 결코 사용되지 않습니다.

15. 쿠키

당사는 아래의 자사(first-party) 쿠키만을 설정합니다. 그 어느 것도 광고, 분석 또는 다른 사이트에서 귀하를 추적하기 위하여 사용되지 않습니다. es8200_ref를 제외한 모든 쿠키는 엄격히 필요하거나 귀하가 행한 선택을 기억하는 것이며, es8200_ref는 오직 귀하의 동의가 있는 경우에만 설정됩니다.

• authjs.session-token — 귀하의 로그인 상태를 유지합니다. 귀하가 로그아웃하거나 30일간 사용이 없으면 종료됩니다.
• authjs.csrf-token 및 authjs.callback-url — 로그인 양식을 보호하고 귀하가 왔던 페이지로 되돌려 보냅니다. 브라우저 세션 동안 지속됩니다.
• authjs.pkce.code_verifier, authjs.state 및 authjs.nonce — Google 로그인이 완료될 때까지 이를 보호합니다. 15분.
• mfa_trust — 2차 인증 확인 후 귀하가 신뢰하기로 선택한 기기를 기억합니다. 30일. 귀하가 선택한 경우에만 설정됩니다.
• active_org — 귀하가 어느 조직을 열람하고 있는지 기억합니다. 1년.
• NEXT_LOCALE — 귀하의 언어를 기억합니다. 1년.
• es8200_plan — 가입 시 결제로 이동할 수 있도록 귀하가 요금제 페이지에서 선택한 플랜을 기억합니다. 24시간.
• es8200_ref — 카테고리 “파트너 추천”, 선택 사항: 파트너의 링크를 통하여 도착했을 때 표시되는 배너에서 귀하가 이를 수락한 경우에만 설정됩니다. 귀하가 구독하는 경우 파트너가 수수료를 받을 수 있도록 추천 코드를 기록합니다. 90일.

프로덕션 환경에서 로그인 쿠키는 __Secure- 접두사를 지니며 HttpOnly 및 Secure로 설정됩니다. 귀하의 밝은 테마 또는 어두운 테마 선택은 쿠키가 아닌 귀하 브라우저의 로컬 저장소에 보관되며 당사에 결코 전송되지 않습니다. 귀하는 언제든지 브라우저에서 쿠키를 삭제할 수 있습니다. 로그인 쿠키가 없으면 로그인 상태를 유지할 수 없습니다.

16. 연락처 및 데이터 보호 책임자

제품 지원 및 일반 문의는 [email protected]로 연락하십시오. 개인정보 및 데이터 보호 관련 연락처(DPO 기능 포함): [email protected].