개인정보 처리방침(DPA 포함)

본 개인정보 처리방침(이하 ‘본 방침’)은 Solver(이하 ‘회사’)가 ‘Auto Scheduler’ 서비스(이하 ‘서비스’)에서 개인정보 및 개인데이터를 어떻게 처리하는지 설명합니다. 서비스는 제약과 선호에 따라 직원 근무 교대표를 자동으로 최적화하는 클라우드 서비스입니다. 본 방침은 일본 개인정보 보호법(APPI)을 포함한 일본법을 준수합니다. 데이터 처리계약(DPA) 관련 조항은 아래 부록에 규정합니다.

정의

개인정보/개인데이터: APPI에서 정의한 바에 따릅니다.
사용자 데이터: 사용자가 회사에 제공하는 데이터(직원 정보, 스케줄 조건, 근무 희망, 필요 인원, 계정 정보, 로그 등)로, 개인정보를 포함할 수 있습니다.
출력 데이터: 서비스에 의해 생성된 교대표(최적화 결과).
처리: 수집, 기록, 편집, 보관, 이용, 제공, 삭제 등 일체의 행위.
수탁업체/재수탁업체: 회사가 위탁하는 사업자(예: AWS, Stripe).

사업자 정보

상호: Solver
주소: 일본 사이타마현 사이타마시 오미야구 미야마치 5정목 126번지 2 Aco맨션 101
대표자: 마츠이 카즈아키(Kazuaki Matsui)
문의: connectechceomatsui@gmail.com

수집하는 정보의 종류

계정 정보(이름, 이메일, 조직, 직책 등)
인증 및 로그 정보(인증 ID, 접근 로그, IP 주소, 기기 정보, 쿠키/유사 기술)
결제 정보(Stripe를 통해 처리, 카드 정보는 Stripe가 관리)
사용자 데이터(직원 이름, 근무 가능 슬롯, 스케줄 조건, 필요 인원 등 입력 데이터)
지원 커뮤니케이션(채팅 내용)

이용 목적

서비스 제공·운영·기능 개선·품질 향상(교대 최적화 계산 실행)
인증, 보안, 장애 대응, 로그 분석
과금, 청구, 부정 이용 방지
지원(채팅), 공지 및 정책·약관 변경 안내
통계 정보 생성·공표(개인 및 특정 이용자를 식별할 수 없는 형태로 한정)
법령 준수 및 권리 보호

보관 위치, 기간 및 삭제

보관 리전: 원칙적으로 일본(도쿄 리전). 변경 시 사전에 통지합니다.

리전 변경 시 원칙적으로 최소 30일 전에 이메일 및/또는 서비스 내 공지로 안내합니다(긴급·법령 대응 시 예외).

보관 기간: 플레이그라운드 데이터는 24시간(TTL) 후 자동 삭제됩니다. 무료·유료 요금제 데이터는 보관 기간(예: 3년) 경과 후 삭제됩니다.

계정 삭제: 신청 시 논리 삭제, 90일 후 완전 삭제(백업은 추가 기간이 소요될 수 있음).

기술적 문제 발생 시: 조사·해결을 위해 필요 최소한의 범위에서 사용자 데이터에 접근·이용할 수 있으며, 해결 후 지체 없이 삭제 또는 익명화합니다.

제3자 제공, 공동 이용 및 위탁

제3자 제공: 법령에 따른 경우를 제외하고 동의 없이 제공하지 않습니다.
위탁: 주요 수탁처는 AWS(인프라), Stripe(결제)이며 회사는 적절히 감독합니다.
재수탁: 상기 외 재수탁은 사용자의 사전 허가 없이 하지 않습니다(불가피한 유지보수·대체 시 동등 이상의 보호조치와 신속한 통지).
국제 이전: Stripe 등 사정으로 일본 외(예: 미국)에서 보관·처리될 수 있으며 법적 보호조치를 적용합니다.

국제 이전이 발생하는 경우 회사는 EU 표준계약조항(SCC), 영국 IDTA/UK SCC 부속, 스위스 FDPIC 부속 등 적절한 보호조치를 채택합니다(부록 B 참조).

데이터 이용

본 서비스는 사용자 데이터를 AI 모델 학습·개선에 사용하지 않습니다.
입력 데이터는 최적화 계산에만 사용되며, 결과(교대표)는 사용자에게 반환됩니다.

보안

접근 통제, 전송·저장 시 암호화, 권한 분리, 감사 로그, 취약점 관리 등 안전관리 조치를 시행합니다.
종업원 및 수탁업체에 비밀유지의무 및 교육을 실시합니다.
중대한 유출이 발생한 경우 법령에 따라 조치하고 관할 기관·정보주체에 통지합니다.

이용자 권리

열람, 정정, 추가, 삭제, 이용정지, 제3자 제공 정지 등을 청구할 수 있습니다(본인 확인 필요). 연락처: connectechceomatsui@gmail.com

법적 근거와 역할(컨트롤러/프로세서)

계정 관리, 과금, 서비스 운영 관련 개인정보에 대해 회사는 ‘사업자’(컨트롤러에 상당)로서 처리합니다.
고객이 회사에 위탁한 사용자 데이터(고객의 이용 목적 범위에서 처리되는 개인데이터)에 대해 회사는 ‘처리자’로서 처리합니다.
미국 주법(CCPA/CPRA 등)이 적용되는 범위에서는 회사는 ‘서비스 제공자/처리자’의 의무를 준수합니다(부록 C 참조).
본 방침은 일본법을 기본으로 하나, EU/EEA 등 다른 관할이 적용되는 경우 필요한 추가 조치(SCC 등)를 이행합니다.

쿠키, 분석 및 성능 모니터링

편의성, 보안 및 분석을 위해 쿠키 및 유사 기술을 사용할 수 있습니다. 브라우저 설정에서 비활성화할 수 있으나 일부 기능에 지장이 있을 수 있습니다.

【Google Analytics】서비스 개선을 위해 Google Analytics를 사용합니다. Google Analytics는 쿠키를 사용하여 사용자 행동 데이터를 수집합니다. 수집 데이터는 Google 개인정보처리방침에 따라 관리되며 IP 주소는 익명화됩니다. 수집 정보에는 페이지뷰, 세션 시간, 기기 유형, 브라우저, OS, 지리적 위치(국가/도시 수준), 리퍼 등이 포함됩니다. Google Analytics 데이터 수집을 거부하려면 Google이 제공하는 브라우저 부가기능(https://tools.google.com/dlpage/gaoptout)을 설치하세요. 자세한 내용은 Google 개인정보처리방침(https://policies.google.com/privacy)을 참조하세요.

【Vercel Analytics / Speed Insights】개인정보를 존중하는 접속 분석 및 성능 측정을 위해 Vercel Analytics 및 Vercel Speed Insights를 사용합니다. 이 도구들은 쿠키를 사용하지 않으며 IP 주소 등 개인을 식별할 수 있는 정보를 수집하지 않습니다. 수집 정보에는 페이지뷰, 기기 유형, 대략적인 지역(국가 수준), 리퍼 정보, 페이지 로드 시간, 상호작용 응답 시간 등이 포함됩니다. 이 정보는 통계 분석에만 사용되며 개인을 식별할 수 없습니다. GDPR 및 CCPA를 준수합니다.

미성년자의 개인정보

원칙적으로 보호자 동의 없이 미성년자가 서비스를 이용하는 것은 상정하지 않습니다.

본 방침의 변경

중요한 변경은 사전에 고지합니다. 고지 후 계속 이용 시 변경에 동의한 것으로 봅니다.

문의

개인정보 처리에 관한 문의는 connectechceomatsui@gmail.com 으로 연락 주세요. 지원은 채팅만 제공하며, 영업일 기준 3일 이내 회신을 목표로 합니다.

부록 A｜데이터 처리계약(DPA) 조항

A-1. 역할

고객은 컨트롤러, 회사는 처리자로서 고객의 지시에 따라 사용자 데이터를 처리합니다.

A-2. 목적 및 범위

목적: Auto Scheduler 제공, 교대 최적화 계산 실행, 결과 반환·출력, 유지보수·지원, 보안, 과금.
대상 데이터: 고객이 제출한 개인데이터(직원 이름, 식별자, 연락처, 근무 희망, 로그 등을 포함할 수 있음).
정보주체: 고객의 고객, 이용자, 직원 등.

A-3. 처리자 의무

고객의 서면(전자 포함) 지시에 따라만 처리할 것.
비밀을 유지할 것.
적절한 기술적·조직적 안전조치를 유지할 것.
정보주체 요청이 회사에 직접 도달한 경우 지체 없이 고객에게 전달하고 협력할 것.
유출 등 발생 시 지체 없이 고객에게 통지하고 시정에 협력할 것.
적절한 비밀·보안 제한 하에서 고객의 합리적 감사·설명책임 요청에 협력할 것.
처리 종료 시 고객의 선택에 따라 개인데이터를 삭제하거나 반환할 것(법령상 보관이 필요한 경우 제외).

A-4. 재수탁자

기존 재수탁자: AWS(인프라), Stripe(결제).
상기 외 재수탁은 고객의 사전 허가 없이 하지 않습니다. 불가피한 대체 시 동등 이상의 보호조치를 확보하고 사전 통지합니다.
모든 재수탁자에게 본 DPA와 동등한 데이터 보호 의무를 부과합니다.

A-5. 국제 이전

일본 외에서 처리하는 경우 적용 법률이 요구하는 보호조치(계약 조항, 법정 통지 등)를 이행합니다.

A-6. 보관 및 삭제

고객 지시 또는 계약 종료 후 합리적 기간 내에 개인데이터를 삭제하거나 반환합니다. 백업은 안전하게 덮어쓰기·삭제합니다.

A-7. 감사 및 보고

고객은 합리적 통지와 범위에서 감사(문서 검토 등)를 실시할 수 있으며 회사는 필요한 정보 제공에 협력합니다.

A-8. 책임

책임 분담은 이용약관 및 본 DPA에 따릅니다. 고의·중과실(보안 의무 위반 등)로 인한 손해에 대해 회사의 책임은 이용약관의 책임 한도 내에서 부담합니다.

A-9. 데이터 이용 제한

본 서비스는 사용자 데이터를 AI 모델 학습·개선에 사용하지 않습니다. 입력 데이터는 최적화 계산에만 사용되며 결과는 사용자에게 반환됩니다.

부록 B｜국제 이전 조항(SCC/영국/스위스)

B-1. 적용

EU/EEA로부터의 이전에는 SCC(2021/914)를 채택합니다.

모듈: 필요에 따라 컨트롤러→처리자(모듈 2), 처리자→처리자(모듈 3)를 적용합니다.

영국에는 UK IDTA 또는 UK SCC 부속, 스위스에는 FDPIC 부속을 적용합니다.

B-2. 주요 선택(SCC 본문에 대한 지정)

조항 7(도킹 조항): 적용.
조항 9(재수탁자): 일반 허가; 현재 재수탁자(AWS, Stripe). 신규·변경은 원칙적으로 15일 전 통지.
조항 11(구제): 적용 없음(법령에 따름).
조항 17(준거법): 아일랜드 법.
조항 18(관할): 아일랜드 법원.

B-3. 감독 기관

주 감독 기관은 아일랜드 DPC(데이터 보호 위원회)로 예정되며, 별도 합의가 있으면 그에 따릅니다.

B-4. 부속서 I(이전 세부사항)

당사자: 데이터 수출자(고객), 데이터 수입자(회사).
정보주체: 고객의 고객, 최종 이용자, 직원 등.
데이터 범주: 식별자, 연락처, 직원 정보, 근무 희망, 스케줄 조건, 로그 등(고객 지시에 따름).
특수 범주: 원칙적으로 예상하지 않음; 포함 시 사전 합의 필요.
목적: Auto Scheduler 제공, 교대 최적화 계산, 유지보수·보안, 과금, 지원.
보관 기간: 목적 달성까지. 계약 종료 후 삭제/반환(법정 보관 제외).
이전 빈도: 지속적 및/또는 수시.

B-5. 부속서 II(기술적·조직적 조치 개요)

접근 통제(최소 권한, MFA, 직무 분리)
데이터 암호화(전송 TLS, 저장 AES-256)
키 관리(로테이션, KMS)
로그/감사(변조 방지, 알림)
보안 개발·운영(보안 SDLC, 취약점 관리, 의존성 모니터링)
가용성(백업, 리전 내 이중화, 재해 복구)
벤더 관리(재수탁자 평가/계약)
정보주체 권리 대응 프로세스
인시던트 대응(탐지, 봉쇄, 근본 원인 분석, 통지)

B-6. 부속서 III(재수탁자)

AWS(인프라/호스팅, 주 도쿄 리전)
Stripe(결제)
추가 시 사전 통지하고 동등 이상의 보호조치를 부과합니다.

B-7. 정부 요청

법으로 금지되지 않는 한 지체 없이 수출자에게 통지하고, 요청의 적법성을 검토하며 범위를 최소화합니다. 투명성 보고를 제공할 수 있습니다.

B-8. 이전 영향 평가(TIA)

필요 시 회사는 수출자의 TIA에 합리적으로 협력하고 관련 정보를 제공합니다.

부록 C｜미국 주법 부속 조항(CCPA/CPRA 등)

C-1. 역할 및 목적 제한

회사는 ‘서비스 제공자/처리자’로서 고객의 사업 목적을 위해서만 개인정보를 처리합니다.

C-2. 판매/공유 금지

회사는 개인정보를 ‘판매’하거나 ‘공유’하지 않습니다(맥락 간 행동 광고 포함).

C-3. 2차 이용 금지

회사는 적용 법률이 허용하는 통계/익명화 범위를 제외하고 개인정보를 자체 독립 목적으로 사용하지 않습니다.

C-4. 보안

합리적 보안을 유지하며, 침해 시 고객에게 통지하고 시정에 협력합니다.

C-5. 소비자 권리 협력

열람, 삭제, 정정, 옵트아웃 등 요청에 합리적으로 협력합니다. 해당 시 GPC(Global Privacy Control) 신호를 존중합니다.

C-6. 재수탁자

재수탁자에게 동등한 의무를 전가하고 변경 시 합리적으로 통지합니다.

C-7. 기록 및 감사

CCPA/CPRA 준수에 필요한 기록을 유지하고 고객 감사에 합리적으로 협력합니다.