개인정보처리방침 — serversim

serversim (https://serversim.io, 이하 "회사" 또는 "서비스")은 이용자의 개인정보를 소중히 다룹니다. 본 방침은 회사가 수집·이용·보관·파기하는 개인정보의 종류와 처리 방식을 설명하며, 「개인정보보호법」, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」, EU GDPR, Google API Services User Data Policy를 준수합니다.

1. 처리하는 개인정보 항목

1.1 Google 로그인 (OAuth 2.0)

회사는 Google OAuth 2.0을 통해 아래 정보만 받습니다 (최소 권한 원칙).

이메일 주소 (userinfo.email scope) — 계정 식별, 결제 영수증 발송
이름 / 프로필 이미지 URL (userinfo.profile scope) — UI 표시
Google 사용자 ID (sub) (openid scope) — 안정적 계정 연결

회사는 사용자의 Google 데이터 (Gmail, Drive, Calendar, Contacts 등)에 일체 접근하지 않습니다.Google OAuth API Services User Data Policy의 Limited Use 요건을 준수합니다 — 받은 데이터는 본 방침에 명시된 용도 외 일체 사용·이전·광고 X.

1.2 자동 수집

IP 주소, 브라우저 정보 (User Agent), 접속 시각 — 로그
인증 세션 쿠키 (Supabase SSR) — 로그인 유지
localStorage (브라우저 안에만 저장 — 회사 서버 전송 X): 시나리오 자동 저장, 환영 화면 본 여부, UI 환경 설정 (테마/뷰 모드)

1.3 결제 시 (Pro 구독)

회사는 결제 카드 정보를 일체 수집·저장하지 않습니다.
결제는 Lemonsqueezy (미국 Delaware법인) — Merchant of Record가 처리.
회사는 결제 결과 (구독 ID, customer ID, 구독 상태, 만료 시각)만 수신.
Lemonsqueezy 개인정보 처리: https://www.lemonsqueezy.com/privacy

1.4 AI Review 사용 시 (Pro 기능)

사용자가 작성한 시나리오 (노드 / 엣지 / 노브 설정) JSON이 Anthropic Claude API로 전송됩니다.
회사는 AI 요청 / 응답을 30일간 보관 (남용 방지 / 디버깅) 후 자동 삭제.
Anthropic 개인정보 처리: https://www.anthropic.com/legal/privacy
Anthropic은 받은 데이터를 모델 학습에 사용하지 않음 (API 표준).

2. 개인정보 이용 목적

회원 식별 / 로그인 / 세션 유지
유료 구독 결제 처리 및 환불
서비스 개선을 위한 통계 분석 (개별 식별 X)
이용약관 위반자 제재 / 분쟁 조정
법령에 따른 의무 이행

이외 목적으로 사용 X. 새 목적 추가 시 별도 동의.

3. 저장 위치 (Sub-processors)

회사는 다음 업체에 일부 처리를 위탁합니다. 모두 GDPR / SOC2 인증.

Supabase Inc. (PostgreSQL 호스팅, 인증) — 미국 / EU / 아시아. 데이터는 가까운 region (한국 가까운 일본 또는 미국 서부)에 저장.
Vercel Inc. (웹 호스팅, CDN) — 글로벌 edge
Lemonsqueezy (미국, 결제) — Merchant of Record
Anthropic Inc. (미국, AI Review API)
Cloudflare (글로벌, DDoS 방어 / CDN — 일부)

4. 보관 기간

항목	기간	근거
회원 정보	회원 탈퇴 즉시 파기 (분쟁 대비 30일 임시 보관)	개인정보보호법
결제 / 청구 기록	5년	전자상거래법 제6조
계약 / 청약철회 기록	5년	전자상거래법 제6조
접속 로그 (IP)	3개월	통신비밀보호법
AI Review 요청/응답	30일	회사 정책 (남용 방지)

5. 제3자 제공

회사는 다음 경우 외에는 개인정보를 제3자에게 제공하지 않습니다.

이용자가 사전 동의한 경우
법령에 따라 수사기관의 적법한 요청이 있는 경우
서비스 제공에 불가결한 처리 위탁 (위 3항 sub-processor — 별도 동의 간주)

광고 / 마케팅 목적 제3자 제공 X.

6. 이용자의 권리

6.1 한국 개인정보보호법

개인정보 열람 / 정정 / 삭제 / 처리 정지 요청권
요청 방법: pajamasi726@gmail.com
회사는 영업일 30일 이내 처리
법정대리인 동의 — 만 14세 미만 가입 불가

6.2 EU GDPR (EU 거주자)

접근권 (Art. 15) / 정정권 (Art. 16) / 삭제권 — 잊혀질 권리 (Art. 17)
처리 제한권 (Art. 18) / 이동권 (Art. 20) / 거부권 (Art. 21)
자동화 의사결정 거부권 (Art. 22) — 우리는 자동화 의사결정 사용 X
EU 감독기관 (DPA) 제소권

6.3 회원 탈퇴

Nav 우상단 사용자 메뉴 → 계정 설정 → "회원 탈퇴" 또는 이메일 요청. 탈퇴 즉시 public.users row 삭제. Supabase auth.users는 보안상 30일 후 자동 익명화. 결제 기록은 전자상거래법에 따라 5년 별도 보관 (개인 식별 정보 제외).

7. 안전성 확보 조치

비밀번호 미저장 — OAuth 2.0 (OIDC) 표준만 사용
모든 통신 HTTPS (TLS 1.2 이상)
Supabase Row Level Security (RLS) — 사용자는 자기 row만 접근
Webhook (Lemonsqueezy) HMAC SHA-256 서명 검증
API key (service_role) 서버 사이드만 — 클라이언트 노출 X
Personal Access Token, DB password 등 secret git 추적 X (.gitignore)
로그에 개인정보 미저장 (요청 ID만)

8. 쿠키 사용

쿠키 사용 상세: 쿠키 정책. 현재 필수 쿠키만 사용 (인증 세션, UI 환경 설정). 통계 / 마케팅 쿠키 사용 X. 향후 도입 시 동의 banner 표시.

9. Google API 데이터 정책 준수

회사는 Google OAuth 2.0으로 받은 데이터에 대해 Google API Services User Data Policy(Limited Use 정책 포함)을 준수합니다.

받은 데이터 (email / name / profile picture / sub)는 본 방침에 명시된 목적으로만 사용
Google 데이터를 제3자에게 판매·이전 X
Google 데이터를 광고 목적으로 사용 X
Google 데이터를 인간이 직접 읽지 않음 (예외: 보안 조사 / 법적 의무 / 사용자 명시 동의 / 익명화 통계)

10. 개인정보 보호 책임자

책임자: 회사 대표 [사업자 등록 후 실명 갱신]
연락처: pajamasi726@gmail.com
처리 부서: 운영팀 (현재 대표 직접)

11. 변경 사항 공지

본 방침을 변경할 때는 변경 7일 전 (중요한 변경은 30일 전) 서비스 내 공지.
변경 이력은 본 페이지 상단 "시행일" 표시.
이용자가 변경 후에도 서비스를 계속 이용하면 변경에 동의한 것으로 간주.

본 방침은 「개인정보보호법」, 「정보통신망법」, EU GDPR, Google API Services User Data Policy를 따릅니다. 오해 시 한국법 / GDPR이 우선 적용됩니다.