개인정보 처리방침 초안 v0.1

원본: KKIRI_PRIVACY_POLICY_DRAFT.md

작성: 페이블 · 2026-09-06 · 운영·법무 산출물 ①
상태: 법무 검토 전 초안. 서비스 출시 전 변호사 검토가 필요하다. 아래 [ ] 는 사업자 정보가 정해지면 채운다.
기준: 개인정보 보호법(2023-09-15 시행 개정 포함) 제30조(처리방침 수립·공개) · 제28조의8(국외 이전) · 제37조의2(자동화된 결정) · 개인정보의 안전성 확보조치 기준. 정책값은 요구사항·정책 정의서 §3(P-07 · P-12 · P-17 · P-18 · P-19 · P-22)과 쏠 결정서 v1(2026-09-06)에서 그대로 가져왔다. 이 문서가 새로 정한 보관 기간은 없다.

이 방침은 방 단위로 이름만 받는 무회원 서비스를 전제로 쓴다. 회원가입·결제·광고를 붙이면 항목·목적·보유 기간을 다시 써야 한다.

0. 먼저 보는 표 — 우리가 다루는 데이터

법 조문보다 이 표가 팀에 더 필요하다. 화면 문구·DB 스키마·삭제 배치는 이 표와 같아야 한다.

기간의 기준 시각: 종료 시각 closed_at(확정 또는 미확정 종료), 생성 시각 created_at. 7일은 168시간이며 자정 반올림하지 않는다(결정서 §2). 「삭제」는 캐시 · 검색 인덱스 · 백업 복구본에서도 원문이 다시 나오지 않는 것까지 뜻하며, 출시 전 검증 전에는 화면에 「삭제 완료」라고 쓰지 않는다.

1. 총칙

억지타협업소[ 사업자명 · 대표자 · 주소 확정 후 기재 ](이하 「운영자」)는 끼리(KKIRI) 서비스(이하 「서비스」)를 제공하면서 개인정보 보호법 등 관계 법령을 지키고, 이용자의 개인정보를 이 방침에 따라 처리한다. 서비스는 회원가입 없이 방 단위로 이름만 받아 여러 사람의 조건을 모아 합의안을 계산해 주는 도구이며, 개인의 선호 조건을 다른 참가자와 방장에게 공개하지 않는 것을 핵심 약속으로 삼는다.

2. 처리 목적

1. 방 운영: 방 생성 · 초대 · 입장 · 참여 현황 표시 · 마감 처리
2. 합의안 계산과 설명: 조건 태그 구조화, 거부권 필터 · 만족도 계산 · 순위 정렬, 공개 이유 문장 생성
3. 개인 리포트 제공: 본인 조건이 어떻게 반영됐는지 본인에게만 표시
4. 최종 재확인과 확정: 동의 · 조건부 동의 · 재조율 요청 집계
5. 본인 확인과 보안: 개인 토큰 검증, 타인의 리포트 접근 차단, 부정 이용 방지
6. 서비스 개선: 상태 전이 이벤트 통계(개인 식별 정보 제외)

목적 밖의 이용(광고 · 프로파일링 · 제3자 판매)은 하지 않는다. 필요해지면 별도 동의를 받고 이 방침을 고친다.

3. 처리 항목과 수집 방법

• 필수: §0의 D1 · D2 · D3 · D5 · D6 · D9 · D10 · D11
• 선택: D4 자유서술 원문(Q6는 건너뛸 수 있음, 조건부 동의 · 재조율 사유는 해당 선택을 고를 때만), D12 캘린더 파일
• 수집 방법: 이용자가 화면에 직접 입력(S1 · S3 · S4 · S7B), 서비스 이용 과정에서 자동 생성(D5 · D6 · D7 · D8 · D10 · D11)
• 받지 않는 것: 계정 ID · 비밀번호 · 전화번호 · 이메일 · 위치 정보 · 연락처 · 결제 정보. 지역 문항은 「도심/근교/어디든」 선택지이며 주소를 묻지 않는다(쏠 화면설계 S4-4).

3-1. 민감정보가 섞일 수 있는 자리

「피하고 싶은 것」 자유서술에는 건강(예: 술을 못 마심) · 종교 · 신념으로 읽힐 수 있는 문장이 들어올 수 있다. 운영자는 이를 수집 목적으로 하지 않으며 별도 동의도 받지 않는다. 대신 다음으로 노출을 줄인다.

1. 입력 안내: 「이유는 적지 않아도 돼요. 피하고 싶은 것만 적어 주세요」(S4-6 도움말, 제안).
2. 원문은 구조화 호출 1회 뒤 태그만 남기고 확정 · 종료 시 즉시 삭제(P-17). 공개 화면과 LLM 설명 입력에는 태그와 집계만 쓴다(P-12).
3. 어휘 밖 문장은 태그로 만들지 않고 목록 선택으로 돌린다(P-15). 원문을 「AI가 이해한 문장」으로 다시 보여 주는 것도 본인 화면(S4R)에서만 한다.

4. 보유 · 이용 기간

법령이 더 긴 보존을 요구하는 항목은 그 기간만큼 분리 보관하고, 그 사실을 이 표에 적는다.

5. 제3자 제공

운영자는 개인정보를 제3자에게 제공하지 않는다. 같은 방의 다른 참가자에게 보이는 것은 제3자 제공이 아니라 서비스의 기능이며, 그 범위는 다음으로 제한된다.

• 누가 답했는지(이름 · 답변 여부)만 전원 공개. 무엇을 답했는지는 비공개(FR-07).
• 결과 화면은 2명 이상 공통 조건 · 집계 수치만(P-12). 계산 참여자가 3명이면 집계 수치와 사유 주제도 숨긴다(P-19).
• 조건부 동의의 「공개 실행 조건」 한 줄은 본인이 공개를 전제로 쓴 것만 전원에게 보인다(S7B 미리보기).
• 개인 리포트 · 개인 만족도 · 정확한 상한 · 재조율 요청자는 방장에게도 비공개.

수사기관 요청 등 법령에 따른 경우는 법이 정한 절차와 범위에서만 응한다.

6. 처리 위탁과 국외 이전

• 국외 이전은 이용자에게 이전 항목 · 국가 · 시기와 방법 · 받는 자 · 목적과 보유 기간 · 거부 방법을 알리고 동의를 받거나, 법이 허용하는 다른 근거를 갖춘다. 거부하면 자유서술 없이(목록 선택만) 참여할 수 있게 한다(UC-16a 경로가 이미 있다).
• LLM 호출 시 이름 · 방 ID · 개인 토큰을 프롬프트에 넣지 않는다(AI 설계서 §4 입력 경계). 원문에 이용자가 스스로 적은 개인정보(예: 동료 이름)까지 막을 수는 없으므로 입력 안내(§3-1)로 줄인다.
• 자체 규칙 엔진(거부권 · 만족도 · 정렬)은 운영자 서버에서 돌며 외부로 나가지 않는다.

7. 파기

• 절차: §4의 기간이 지나면 스케줄러가 종료 처리의 일부로 삭제한다(UC-44). 사람이 승인하는 단계는 두지 않는다.
• 방법: 전자 파일은 복구할 수 없게 삭제하고, 백업 복구본은 다음 백업 주기에서 제외된다. 출시 전 「캐시 · 검색 인덱스 · 복구본에 원문 없음」을 검증한 뒤에만 화면에 삭제 문구를 쓴다(결정서 §2).
• 이용자가 방 종료 전에 삭제를 요청하면 본인 토큰 확인 후 본인 답변 · 리포트를 삭제하고 계산 대상에서 제외한다(미응답과 같은 처리, P-05).

8. 정보주체의 권리와 행사 방법

이용자는 열람 · 정정 · 삭제 · 처리정지 · 동의 철회를 요구할 수 있다. 회원 계정이 없으므로 본인 확인은 개인 링크 또는 참여 세션(D5) 으로 한다. 같은 이름만으로는 본인으로 보지 않으며(쏠 E1 · E4), 방장이 다른 참가자를 대신해 요구할 수 없다.

만 14세 미만 아동의 개인정보는 수집하지 않는다. 아동임을 알게 되면 해당 답변을 삭제하고 계산에서 제외한다.

9. 자동화된 결정에 관한 안내 (제37조의2)

끼리는 규칙 엔진과 LLM으로 합의안을 추천한다. 그러나 최종 결정은 참가자 전원의 재확인(동의 · 조건부 · 재조율)과 방장의 명시적 확정을 거치며, 방장이 확정하지 않으면 자동으로 확정되지 않는다(P-22). 따라서 사람이 개입하지 않는 「완전히 자동화된 결정」에 해당하지 않는다고 본다. [법무 검토 항목: 이 판단의 타당성]

그럼에도 이용자가 결과를 이해할 수 있게 다음을 제공한다.

• 규칙 공개: 거부권 → 최저 만족도 → 평균 → 비용 → 일정 순(P-11), 가중치(P-13), 페널티(P-20). 결과 화면 「규칙 설명」 배지(UC-31a).
• 개인 리포트: 내 조건 중 지켜진 것 · 선호와 다른 지점 · 1순위 반영 여부 · 내 만족도(FR-15).
• LLM이 만든 문장은 집계 사실만 입력받고 숫자 · 명사 대조 검증을 거치며, 실패하면 템플릿으로 바꾸고 배지로 표시한다(P-16). 점수는 내부 규칙의 값이며 실제 만족 확률이 아님을 화면에 적는다.

10. 안전성 확보 조치

11. 자동 수집 장치

• 세션 저장: 참여 세션 유지에 필요한 쿠키 또는 브라우저 저장소를 쓴다. 거부하면 방에 재입장할 때마다 개인 링크가 필요하다.
• 이벤트 수집(D10): 상태 전이만 기록하고 개인 식별 정보는 넣지 않는다. 광고 · 행동 추적용 제3자 스크립트는 쓰지 않는다. [계측 도구 확정 후 도구명 · 옵트아웃 방법 기재]
• 현재 목업(kkiri-plan.pages.dev/mockup)은 브라우저 localStorage에만 저장하며 서버로 보내지 않는다.

12. 개인정보 보호책임자와 문의 창구

13. 권익침해 구제

개인정보침해신고센터(privacy.kisa.or.kr · 국번 없이 118) · 개인정보분쟁조정위원회(kopico.go.kr · 1833-6972) · 대검찰청 사이버수사과(1301) · 경찰청 사이버수사국(ecrm.police.go.kr · 182). [출시 전 기관명 · 번호 재확인]

14. 방침 변경

방침을 바꾸면 시행 7일 전(이용자에게 불리한 변경은 30일 전)에 서비스 화면에 알린다. 이전 버전은 이 문서 하단에 링크로 남긴다.

• v0.1 (2026-09-06): 초안. 정책값은 요구사항 §3 · 쏠 결정서 v1 기준.

부록 A. 화면 문구 ↔ 방침 조항

부록 B. 개발 체크리스트 (이 방침이 지켜지려면)

• ☐ closed_at + 168h 삭제 배치와 created_at + 168h 미확정 종료 배치, 둘 다 UTC 기준 시각 비교(자정 반올림 금지)
• ☐ 원문 필드는 구조화 응답 저장 직후 null 처리 가능한 구조(원문 컬럼을 결과 테이블과 분리)
• ☐ LLM 요청 페이로드에 이름 · 방 ID · 토큰이 없음을 테스트로 고정
• ☐ LLM 제공사 데이터 보존 옵션 계약 확인(학습 미사용 · 보존 0일 또는 최소)
• ☐ 로그 스키마에 금지 필드 린트(원문 · 이름 · 토큰 · 개인 조건 · 개인 점수)
• ☐ 삭제 후 캐시 · 검색 인덱스 · 백업 복구본 검증 스크립트
• ☐ 본인 삭제 요청 처리 경로(토큰 확인 → 삭제 → 계산 제외)와 로그
• ☐ 3명 방 집계 숨김이 결과 · 공유 · LLM 입력 · 후보 없음 화면 네 곳에서 같은 경계로 동작

부록 C. 법무 검토 질문

1. 방 단위 무회원 서비스에서 「이용자가 스스로 적은 자유서술」의 국외 LLM 전송을 동의 기반으로 할지, 계약 이행(제15조 제1항 제4호)으로 볼지.
2. 자유서술에 섞이는 건강 · 종교 추정 문장이 민감정보 「처리」에 해당하는지, 즉시 삭제 설계로 충분한지.
3. 접속 기록(D11) 보존 의무 기간.
4. §9 자동화된 결정 해당 여부 판단.
5. 방장이 초대 대상의 이름을 개인 링크 발급을 위해 미리 입력하는 경우(이름별 개인 링크), 초대 대상 동의 확보 방식.
6. 무료 베타 단계의 사업자 표기 · 처리방침 공개 의무 시점.

근거

• OUTBOX/KKIRI/KKIRI_REQUIREMENTS_AND_POLICY.md §2 FR-05 · FR-07 · FR-15 · FR-19, §3 P-05 · P-12 · P-15 · P-17 · P-18 · P-19 · P-22, §4 NF-03 · NF-04
• OUTBOX/KKIRI/KKIRI_POLICY_DECISIONS_2026_09_06.md §1 · §2 (쏠, 2026-09-06)
• OUTBOX/KKIRI/KKIRI_AI_DESIGN.md §4 입력 경계 · §5 검증 · 모델 예시
• OUTBOX/KKIRI/KKIRI_METRICS_PLAN.md 이벤트 항목
• 쏠 A안 화면설계서 S3 · S4-4 · S4-5 · S4R · S8 · S9 · E1 · E4 (OUTBOX/KKIRI_A_SCREEN_DESIGN_2026_09_06/SCREEN_SPEC.md)
• 개인정보 보호법 제15조 · 제23조 · 제26조 · 제28조의8 · 제30조 · 제34조 · 제37조의2 (조문 번호는 출시 전 최신 법령으로 재확인)