평이한 언어로
- 당사는 귀하의 조직이 연결한 소스로부터 귀하가 승인한 읽기 전용 범위를 통해 메타데이터와 권한을 처리하며, 귀하의 파일 내용은 결코 처리하지 않습니다. 귀하가 자동 교정(Auto-remediate)을 켜지 않는 한 당사는 해당 소스에서 어떠한 것도 변경하지 않습니다. 당사는 데이터를 판매하지 않으며 이를 이용하여 AI 모델을 학습시키지 않습니다.
- 계정 데이터는 귀하가 계정을 삭제할 때까지 보관됩니다. 발견 결과와 권한 스냅샷은 기본적으로 24개월 동안 보관됩니다(귀하의 조직이 이를 구성할 수 있음). 운영 로그는 90일 동안 보관됩니다. 당사는 법률이 보관을 의무화한 기록(청구서, 신용 메모, 결제 및 환불 기록)을 법률이 정한 기간 동안, 이스라엘 법에 따라 7년간, 계정을 삭제한 후에도 보관합니다. 계정 데이터의 나머지는 삭제합니다.
- 귀하는 설정에서 직접 데이터를 내보내거나 삭제할 수 있으며, 지원 티켓이 필요하지 않습니다.
- 7개의 하위처리자: Anthropic(AI 어시스턴트 및 요약), Resend(이메일, 발송은 Amazon SES), PayPal(청구), RunPod(호스팅), Cloudflare(네트워크 엣지), Telegram(운영 알림), Sentry(오류 진단).
- GDPR 및 CCPA 권리가 적용됩니다. 연락처: [email protected].
- The free AI Exposure Check keeps a domain’s saved result for 24 hours and a share link for 30 days; an e-mail address only with your consent, confirmed by a link, for up to 12 months. Section 2A lists what is processed and by whom.
1. 당사 소개 및 본 방침의 적용 범위
본 방침은 Enterprise.Systems("당사")가 8200.dev에서 개인정보를 어떻게 처리하는지를 설명합니다. 계정 및 웹사이트 데이터에 대하여 당사는 컨트롤러입니다. 귀하의 조직이 연결한 소스 내부의 데이터("고객 소스 데이터")에 대하여는 귀하의 조직이 컨트롤러이며 당사는 Data Processing Agreement에 따른 그 처리자입니다. 해당 데이터는 귀하의 조직 자체의 개인정보 고지가 규율합니다.
2. 당사가 처리하는 데이터
당사는 다음 범주를 처리합니다:
- 계정 데이터 — 이메일 주소, 이름, 비밀번호 해시(scrypt; 당사는 비밀번호 자체를 결코 저장하지 않음), 조직명, 역할 및 로케일. 귀하가 사용하는 경우, 암호화되어 저장되는 귀하의 2단계 인증(TOTP) 비밀 키, 그리고 귀하의 로그인 세션 기록(시간, IP 주소 및 브라우저).
- 고객 소스 데이터 — 귀하가 승인한 OAuth 범위를 통해 읽기 전용으로 취득한 연결된 소스의 메타데이터 및 권한 정보로, 리소스 이름 및 식별자, 공유 설정, 권한 부여, 그리고 접근 권한을 보유한 주체(사람, 서비스 계정 및 AI 에이전트)의 신원을 포함합니다. 당사는 귀하의 파일 내용을 읽거나 저장하지 않습니다.
- 탐지 결과(Findings) — 플랫폼이 귀하의 조직을 위해 생성하는 보안 탐지 결과, 설명 및 증거.
- 이용 및 로그 데이터 — IP 주소, 사용자 에이전트, 타임스탬프, 그리고 플랫폼에서 수행된 작업에 대한 추가 전용(append-only) 감사 추적.
- 쿠키 — 로그인, 보안 및 귀하의 환경설정을 위한 소수의 제1자 쿠키 집합과, 귀하가 동의하는 경우에 한하여 파트너 추천 쿠키가 포함됩니다. 전체 목록은 15조에 있습니다. 당사는 광고, 분석 또는 사이트 간 추적 쿠키를 사용하지 않습니다.
2A. The AI Exposure Check
This section applies to the free AI Exposure Check. You do not need an account to use it. Enterprise.Systems is the controller of the data described here. We rely on our legitimate interest in running a free public tool and preventing its abuse (GDPR Art. 6(1)(f)), and on your consent for the optional e-mails (Art. 6(1)(a)). Your rights, including the right to object, how to complain, and international transfers are in sections 8 and 9; data requests go to [email protected].
What we process:
- The domain you enter, reduced to its main (registrable) domain, and the public DNS records of that domain, of the names its mail records refer to, and of a fixed list of common names under it (for example www, autodiscover and DKIM selectors), read at the moment of the check. The check turns them into a score, counts and status flags. The saved result holds those and no record values or service names.
- To apply limits and prevent abuse: your IP address. We send it, with the token from the human check, to Cloudflare Turnstile to verify the check. Our counters hold only a keyed hash of it (a one-way code made with a secret key; for IPv6, of the /64 network), never the address. To apply the limit on different domains per day, a daily counter is kept under a keyed hash of the network together with the domain. If you are signed in, your account ID is the key of your daily counter. For each domain we also keep a counter, so that it is checked afresh at most once a day, and a daily total of fresh checks with no domain and no IP address.
- To limit confirmation e-mails: a keyed hash of the e-mail address, with a counter, kept for 7 days. It can outlive the address, which is deleted sooner.
- Only if you choose to: a share card, and an e-mail address with the domain and your consent (below).
- The check writes no entry to the audit trail.
How long we keep it:
- The saved result of a check (the domain, the score and counts, and a random link token): 24 hours, then deleted automatically; the clean-up runs every hour. Anyone who checks the same domain in that time gets the saved result, and the result link shows the score and counts, not the domain.
- Limit counters: deleted by the hourly clean-up once the hour or UTC day they cover has ended, so at most 26 hours after they are created; the e-mail counter is kept 7 days.
- A share card (created only when you click "Create a share link"): the score, the counts and the date, and the domain only if you tick "Show the domain on the card". It has a random, unlisted link, works for 30 days and is then deleted. Copies that other sites make when you post the link are outside our control and are not deleted by us.
- An e-mail address: see the next paragraph.
- Backups: deleted rows, including saved results and limit counters, can stay in our encrypted backups for up to about 56 days.
Your e-mail address (optional). On a result you can give an e-mail address. We store it only if you tick the consent box yourself; the box is never ticked in advance. We then send an e-mail with a link to confirm the address (at most 3 such e-mails per address in each fixed 7-day period). Until you confirm, we send no other e-mail. The entry holding an address that is not confirmed is deleted within 48 hours. After you confirm, we send you the result as a short text summary and one reminder about 30 days later, inviting you to check again. The summary is kept with the address until the entry is deleted. Every e-mail has an unsubscribe link; one click on the page it opens stops the e-mails and deletes this address-and-domain entry. We keep a confirmed address with the domain and the version and time of your consent for up to 12 months, then delete it. The e-mails themselves are kept as a delivery record for up to 30 days, after which their address and text are scrubbed. We use the address for nothing else, do not sell it, and give it to no one except our e-mail provider Resend, which delivers through Amazon SES. If someone enters your address without your knowledge, ignore the confirmation e-mail: the entry holding it is deleted within 48 hours.
Who receives what. Cloudflare’s public DNS resolver receives the DNS questions about the domain name; they are asked from our servers, so it does not receive your IP address. Google’s public DNS resolver is an independent recipient: it receives the same questions (domain names only) only if Cloudflare’s resolver fails, and it is not our subprocessor. Cloudflare Turnstile runs in your browser, is loaded from challenges.cloudflare.com, and receives your IP address and browser details to decide whether you are a person. Resend and Amazon SES receive the optional e-mails. Our e-mail provider keeps its own send logs for 30 days.
Information about other organizations. A domain usually belongs to an organization, and DNS records are public. Some records can contain personal data, for example an e-mail address in a DMARC record. We read them only to compute the score and counts, and we do not show record values in a result. The result for a domain is public to anyone who checks it. There is not yet a way for a domain owner to opt out of the public result. The check does not use a large language model.
3. 당사의 데이터 이용 방식
당사는 서비스를 제공하고 보안하기 위하여 데이터를 이용합니다. 즉, 권한을 열거하고, 탐지 결과 및 평이한 언어의 설명을 생성하며, 귀하가 자동 조치(Auto-remediate)를 활성화한 경우 귀하가 준비한 조치를 수행하고, 귀하를 인증하며, 거래 관련 이메일을 발송하고, 지원을 제공하며, 법적 의무를 이행합니다. 당사는 개인정보를 판매하지 않으며, 광고를 표시하지 않고, 고객 소스 데이터를 AI 모델 학습에 이용하지 않습니다.
4. 적법 처리 근거 (GDPR)
GDPR이 적용되는 경우, 당사는 다음에 근거합니다:
- 계약의 이행 (제6조 제1항 (b)) — 귀하의 계정 운영 및 탐지 결과 생성.
- 정당한 이익 (제6조 제1항 (f)) — 플랫폼 보안, 남용 방지 및 탐지 품질 개선.
- 동의 (제6조 제1항 (a)) — 선택적 커뮤니케이션으로, 언제든지 철회 가능.
- 법적 의무 (제6조 제1항 (c)) — 회계, 세무 및 적법한 요청.
5. AI 처리
당사는 Anthropic API를 통해 대규모 언어 모델을 다음 세 가지 목적으로 이용합니다: (a) 제품 내 지원 어시스턴트로, 귀하가 입력한 메시지를 입력한 그대로 수신하며, 귀하가 로그인한 경우에는 집계된 사실로만 구성된 간략한 계정 요약(귀하의 요금제, 연결된 소스의 수 및 그 정상 여부, 귀하의 태세 점수 및 등급, 미해결 탐지 결과의 수 및 그 중 위험도가 심각한 건수, 그리고 귀하의 팀 규모)을 수신합니다; (b) 귀하가 요청하는 경영진 요약(executive-summary) 서술로, 집계 수치만을 수신합니다: 귀하의 태세 점수 및 등급, 해당 기간의 추세, 위험도별 탐지 결과 건수, 귀하의 동종 대비 백분위, 요금제 이름, 그리고 건수와 함께 일반적 범주 명칭으로 표시된 가장 흔한 위험 범주(예: “공개 링크 공유(링크 전용): 3”); (c) 인터페이스를 추가 언어로 번역하는 것으로, 인터페이스 텍스트만을 전송합니다. 이러한 요청 중 어느 것에도 귀하의 연결된 소스로부터의 식별자는 포함되지 않습니다: 파일, 폴더 또는 드라이브 이름, 사용자 또는 계정 이름, 이메일 주소, 경로, 계정 ID, 그리고 귀하 조직의 이름 모두 포함되지 않습니다. 당사는 파일 내용이나 자격 증명을 결코 전송하지 않습니다. Anthropic의 상업적 약관에 따라, API를 통해 제출된 데이터는 Anthropic의 모델 학습에 이용되지 않습니다.
6. 하위 처리자 및 공유
당사는 개인정보를 아래의 하위 처리자, 비밀유지 의무를 부담하는 전문 자문가, 또는 법률이 요구하는 경우에 한하여 공유합니다:
- Anthropic (미국) — AI 지원 어시스턴트, 경영진 요약 서술 및 인터페이스 번역.
- Cloudflare (global) — CDN, TLS termination, and DDoS protection; for the AI Exposure Check also the human check (Turnstile) and a public DNS resolver (DNS-over-HTTPS).
- RunPod (미국/EU) — 플랫폼을 호스팅하는 클라우드 인프라.
- Resend (미국) — 거래 관련 이메일 전송. 실제 발송은 Resend의 하위 수탁자인 Amazon SES가 수행합니다.
- PayPal (미국) — 구독 청구 및 결제 처리.
- Telegram (글로벌) — 온콜 팀에 대한 운영 알림. 알림에는 내부 식별자, 상태 및 금액이 포함됩니다. 알림은 귀하의 개인 데이터를 포함하도록 설계되지 않았으며, 이메일 주소는 전송 전에 자동으로 제거됩니다. Telegram이 공개한 제28조에 따른 데이터 처리 계약을 찾지 못했습니다.
- Sentry (미국, Functional Software, Inc. 운영) — 오류 진단(서버 측에서만). 오류 보고서에는 오류 메시지, 스택 트레이스, 요청 경로와 요청 ID, 최근 로그 줄과 요청 URL(브레드크럼), 허용 목록에 포함된 소수의 요청 헤더(user-agent 포함), 런타임 메타데이터(릴리스, 환경, 서버 호스트 이름)가 담깁니다. 이메일 주소, 전화번호, IP 주소, 토큰, 긴 비밀 문자열은 전송 전에 제거되지만, 요청 경로에 포함된 식별자(조직 ID나 사용자 ID 등)는 전송됩니다. 쿠키, 요청 본문, 쿼리 문자열, 세션 리플레이는 전송되지 않습니다.
당사는 이 목록을 여기에서 갱신하며, DPA를 체결한 조직은 DPA에 따라 추가 사항에 대한 사전 통지를 받습니다.
7. 보존
당사는 필요 이상으로 데이터를 보관하지 않습니다:
- 계정 데이터 — 귀하의 계정이 존속하는 기간 동안 보관합니다. 계정 삭제에는 7일의 유예 기간이 적용되며, 이후 데이터는 영구적으로 파기됩니다. 당사는 법률이 보관을 의무화한 기록(청구서, 신용 메모, 결제 및 환불 기록)을 법률이 정한 기간 동안, 이스라엘 법에 따라 7년간, 계정을 삭제한 후에도 보관합니다. 계정 데이터의 나머지는 삭제합니다. 삭제된 데이터의 암호화된 백업 내 사본은 백업이 순환됨에 따라 약 56일 이내에 제거되며, 이는 위에 언급한 기록에는 영향을 주지 않습니다.
- 발견 사항 및 권한 스냅샷 — 기본적으로 24개월, 또는 귀하의 조직이 구성한 기간 동안 보관합니다.
- 운영 및 감사 로그 — 90일.
- 귀하의 계정을 삭제하면 귀하가 단독으로 소유한 조직도 함께 삭제되며, 여기에는 해당 조직의 커넥터(저장된 자격 증명은 즉시 파기됨), 스냅샷 및 발견 사항이 포함됩니다.
- AI Exposure Check — saved results 24 hours; limit counters at most 26 hours (the e-mail counter 7 days); share cards 30 days; an e-mail entry 48 hours if not confirmed and up to 12 months once confirmed, and the e-mails sent as a delivery record 30 days; deleted rows stay in encrypted backups for up to about 56 days; our e-mail provider keeps its own send logs for 30 days (details in section 2A).
8. 귀하의 권리
GDPR 및 유사 법률에 따라 귀하는 접근권, 정정권, 삭제권, 이동권, 처리 제한권 및 반대권을 가지며, 법적 효력을 갖는 완전 자동화된 결정의 대상이 되지 않을 권리를 가집니다(본 플랫폼은 귀하에 관하여 그러한 결정을 하지 않습니다). 내보내기 및 삭제는 셀프서비스로 처리됩니다: 설정 → 내 데이터 내보내기 / 내 계정 삭제. 그 밖의 사항에 대해서는 [email protected] 로 문의하시기 바라며, 당사는 30일 이내에 회신합니다. 또한 귀하는 감독 기관에 민원을 제기할 수 있습니다.
9. 국제 이전
당사는 EU 적정성 결정을 받은 이스라엘에 소재하며, 인프라는 하위 처리자(Subprocessors) 항목에 나열된 지역에서 운영됩니다. 개인정보가 EEA/영국에서 적정성이 인정되지 않은 국가로 이전되는 경우, 당사는 유럽 위원회의 표준 계약 조항(SCC) 및 이에 상응하는 영국의 보호조치, 그리고 추가적인 기술적 조치(전송 중 및 저장 시 암호화)에 의존합니다.
10. 캘리포니아 (CCPA/CPRA)
당사는 CCPA/CPRA에서 정의하는 바에 따라 개인정보를 판매하거나 공유하지 않으며, 직전 12개월 동안 그러한 행위를 한 적이 없습니다. 캘리포니아 거주자는 알 권리, 정정할 권리, 삭제할 권리, 그리고 이러한 권리를 행사한다는 이유로 차별받지 않을 권리를 가집니다 — 설정의 셀프서비스 도구를 이용하거나 [email protected] 로 문의하시기 바랍니다.
11. 보안
데이터는 전송 중 암호화되며(TLS), 저장된 자격 증명은 저장 시 암호화됩니다(AES-256-GCM). 귀하의 소스에 대한 모니터링 접근은 읽기 전용이며 최소 권한 원칙을 따릅니다. 쓰기 접근은 귀하가 Auto-remediate를 활성화하고 별도로 권한을 부여한 경우에만 존재하며, 언제든지 이를 철회할 수 있습니다. 비밀번호는 솔트가 적용된 scrypt 해시로만 저장됩니다. 모든 플랫폼 작업은 추가 전용(append-only) 감사 로그에 기록됩니다. 당사는 GDPR 제33조 내지 제34조에 따라 개인정보 침해 사실을 영향을 받은 조직에 부당한 지체 없이 통지합니다.
12. 아동
본 플랫폼은 B2B 서비스이며 아동을 대상으로 하지 않습니다. 당사는 16세 미만인 자를 계정 보유자로서 고의로 그 데이터를 처리하지 않습니다.
13. 본 정책의 변경
당사는 변경 사항을 여기에 게시하고 본 페이지 상단의 시행일을 갱신하며, 변경 사항은 해당 일자에 효력을 발생합니다.
14. Google API 서비스
8200.dev가 Google API로부터 수신한 정보를 사용하거나 다른 앱으로 전송하는 것은 Limited Use 요건을 포함하여 Google API Services User Data Policy를 준수합니다.
Workspace API로부터 수신한 원시 또는 파생 사용자 데이터의 사용은 Limited Use 요건을 포함하여 Google User Data Policy를 준수합니다.
당사는 일반화된 인공지능 또는 머신러닝 모델을 개발, 개선 또는 학습시키기 위하여 어떠한 원시(raw) 또는 파생된 Google Workspace 사용자 데이터도 사용하지 않으며, 그러한 데이터를 학습 목적으로 제3자 AI 또는 ML 도구나 서비스에 전송하지 않습니다. 플랫폼상의 대규모 언어 모델 분석(Anthropic API를 통함)은 추론(inference) 전용이며, Anthropic의 상업적 약관에 따라 API를 통하여 제출된 데이터는 Anthropic의 모델을 학습시키는 데 결코 사용되지 않습니다.
16. 연락처 및 데이터 보호 책임자
제품 지원 및 일반 문의는 [email protected]로 연락하십시오. 개인정보 및 데이터 보호 관련 연락처(DPO 기능 포함): [email protected].