# 끼리(KKIRI) 개인정보 처리방침 — 초안 v0.1

작성: 페이블 · 2026-09-06 · 운영·법무 산출물 ①
상태: **법무 검토 전 초안.** 서비스 출시 전 변호사 검토가 필요하다. 아래 [ ] 는 사업자 정보가 정해지면 채운다.
기준: 개인정보 보호법(2023-09-15 시행 개정 포함) 제30조(처리방침 수립·공개) · 제28조의8(국외 이전) · 제37조의2(자동화된 결정) · 개인정보의 안전성 확보조치 기준. 정책값은 요구사항·정책 정의서 §3(P-07 · P-12 · P-17 · P-18 · P-19 · P-22)과 쏠 결정서 v1(2026-09-06)에서 그대로 가져왔다. **이 문서가 새로 정한 보관 기간은 없다.**

> 이 방침은 방 단위로 이름만 받는 무회원 서비스를 전제로 쓴다. 회원가입·결제·광고를 붙이면 항목·목적·보유 기간을 다시 써야 한다.

---

## 0. 먼저 보는 표 — 우리가 다루는 데이터

법 조문보다 이 표가 팀에 더 필요하다. 화면 문구·DB 스키마·삭제 배치는 이 표와 같아야 한다.

| # | 데이터 | 받는 때 | 왜 | 누가 보나 | 언제 지우나 | LLM에 보내나 |
|---|---|---|---|---|---|---|
| D1 | 방 설정(모임 이름 · 인원 · 마감 · 초대 방식) | S1 방 만들기 | 방 운영 | 방 참가자 전원 | 종료 후 7일 (P-18) | 아니오 |
| D2 | 방장 이름 · 참가자 이름(1~12자, 실명 강제 안 함) | S1 · S3 | 참여 현황 표시, 개인 링크 발급 | 방 참가자 전원(누가 답했는지만) | 종료 후 7일 | 아니오 |
| D3 | 6문항 구조화 답변(방식 · 시간 선호/상한 · 목적 1·2순위 · 지역 · 예산 선호/상한 · 금지 태그) | S4-1~S4R | 합의안 계산(FR-11), 개인 리포트(FR-15) | **본인만.** 방장 포함 타인은 못 봄. 공개 화면에는 2명 이상 공통 집계만(P-12), 계산 참여자 3명이면 집계도 숨김(P-19) | 종료 후 7일 | 아니오(규칙 엔진만) |
| D4 | 자유서술 **원문**(피할 것 Q6 · 조건부 동의 한 줄 · 재조율 사유) | S4-6 · S7B | 조건 태그로 구조화(FR-05), 실행 조건 공개(조건부 동의만) | 본인. 조건부 동의의 실행 조건 한 줄만 전원 공개 | **확정 또는 방 종료 시 즉시 삭제.** 미완료 방은 생성 후 7일에 종료·삭제 (P-17) | **예** — 구조화 ①에 원문만, 이름·방 ID 제외 |
| D5 | 개인 접근 토큰 · 참여 세션 | S3 입장 시 발급 | 본인 확인(FR-19), 타인의 리포트 접근 차단 | 시스템 | 종료 후 7일에 폐기 | 아니오 |
| D6 | 입장 코드(6자리) · 초대 링크 | S1 생성 | 방 입장 | 방장이 초대 대상에게 전달 | 초대 마감 시 비활성, 종료 후 7일 삭제 | 아니오 |
| D7 | 집계 결과(후보 순위 · 최저/평균 만족도 · 공개 이유 · 탈락 사유 주제) | S6 조율 | 결과 화면(FR-13) | 방 참가자 전원(P-12 · P-19 경계 안에서) | 종료 후 7일 | **예** — 설명 ②에 집계 사실만(개인 답변·단독 조건 제외) |
| D8 | 개인 리포트(지켜진 조건 · 선호 차이 · 개인 만족도) | S6 조율 | 본인 확인(FR-15) | 본인만 | 종료 후 7일 | 아니오 |
| D9 | 재확인 응답(동의 · 조건부 · 재조율) | S7B | 확정 조건 판정(FR-16·17) | 유형별 인원수만 전원 공개, 누가 무엇을 골랐는지는 비공개(방장 포함). 3명 방은 인원수도 숨김 | 종료 후 7일 | 아니오 |
| D10 | 상태 전이 이벤트(생성 → 입장 → 답변 → 조율 → 재확인 → 종료) | 각 전이 | 지표(K-01~K-12), 장애 대응 | 운영자 | 방·참가자에 연결되는 것은 종료 후 7일 삭제. 원문 · 이름 · 토큰 · 개인 조건 · 개인 점수는 처음부터 넣지 않음 | 아니오 |
| D11 | 접속 기록(IP · 브라우저 정보 · 시각) | 접속 시 | 보안 · 장애 대응 | 운영자 | [법무 검토: 보존 의무 기간 확인 후 확정. 초안 30일] | 아니오 |
| D12 | 캘린더 파일(.ics) | S9 · M2 | 일정 등록 | 내려받은 본인 | 서버에 저장하지 않음(즉시 생성 · 전송) | 아니오 |

기간의 기준 시각: 종료 시각 `closed_at`(확정 또는 미확정 종료), 생성 시각 `created_at`. 7일은 168시간이며 자정 반올림하지 않는다(결정서 §2). 「삭제」는 캐시 · 검색 인덱스 · 백업 복구본에서도 원문이 다시 나오지 않는 것까지 뜻하며, 출시 전 검증 전에는 화면에 「삭제 완료」라고 쓰지 않는다.

---

## 1. 총칙

억지타협업소[ 사업자명 · 대표자 · 주소 확정 후 기재 ](이하 「운영자」)는 끼리(KKIRI) 서비스(이하 「서비스」)를 제공하면서 개인정보 보호법 등 관계 법령을 지키고, 이용자의 개인정보를 이 방침에 따라 처리한다. 서비스는 **회원가입 없이 방 단위로 이름만 받아** 여러 사람의 조건을 모아 합의안을 계산해 주는 도구이며, 개인의 선호 조건을 다른 참가자와 방장에게 공개하지 않는 것을 핵심 약속으로 삼는다.

## 2. 처리 목적

1. 방 운영: 방 생성 · 초대 · 입장 · 참여 현황 표시 · 마감 처리
2. 합의안 계산과 설명: 조건 태그 구조화, 거부권 필터 · 만족도 계산 · 순위 정렬, 공개 이유 문장 생성
3. 개인 리포트 제공: 본인 조건이 어떻게 반영됐는지 본인에게만 표시
4. 최종 재확인과 확정: 동의 · 조건부 동의 · 재조율 요청 집계
5. 본인 확인과 보안: 개인 토큰 검증, 타인의 리포트 접근 차단, 부정 이용 방지
6. 서비스 개선: 상태 전이 이벤트 통계(개인 식별 정보 제외)

목적 밖의 이용(광고 · 프로파일링 · 제3자 판매)은 하지 않는다. 필요해지면 별도 동의를 받고 이 방침을 고친다.

## 3. 처리 항목과 수집 방법

- **필수**: §0의 D1 · D2 · D3 · D5 · D6 · D9 · D10 · D11
- **선택**: D4 자유서술 원문(Q6는 건너뛸 수 있음, 조건부 동의 · 재조율 사유는 해당 선택을 고를 때만), D12 캘린더 파일
- **수집 방법**: 이용자가 화면에 직접 입력(S1 · S3 · S4 · S7B), 서비스 이용 과정에서 자동 생성(D5 · D6 · D7 · D8 · D10 · D11)
- **받지 않는 것**: 계정 ID · 비밀번호 · 전화번호 · 이메일 · 위치 정보 · 연락처 · 결제 정보. 지역 문항은 「도심/근교/어디든」 선택지이며 주소를 묻지 않는다(쏠 화면설계 S4-4).

### 3-1. 민감정보가 섞일 수 있는 자리

「피하고 싶은 것」 자유서술에는 건강(예: 술을 못 마심) · 종교 · 신념으로 읽힐 수 있는 문장이 들어올 수 있다. 운영자는 이를 **수집 목적으로 하지 않으며 별도 동의도 받지 않는다.** 대신 다음으로 노출을 줄인다.
1. 입력 안내: 「이유는 적지 않아도 돼요. 피하고 싶은 것만 적어 주세요」(S4-6 도움말, 제안).
2. 원문은 구조화 호출 1회 뒤 태그만 남기고 확정 · 종료 시 즉시 삭제(P-17). 공개 화면과 LLM 설명 입력에는 태그와 집계만 쓴다(P-12).
3. 어휘 밖 문장은 태그로 만들지 않고 목록 선택으로 돌린다(P-15). 원문을 「AI가 이해한 문장」으로 다시 보여 주는 것도 본인 화면(S4R)에서만 한다.

## 4. 보유 · 이용 기간

| 구분 | 기간 | 근거 |
|---|---|---|
| 자유서술 원문(D4) | 확정 또는 방 종료 시 즉시 삭제. 미완료 방은 생성 후 7일에 종료와 함께 삭제 | P-17 (2026-09-06 확정) |
| 방 · 답변 · 결과 · 리포트 · 재확인 · 토큰(D1~D3, D5~D9) | 종료 후 7일 읽기 전용, 이후 삭제 및 토큰 폐기 | P-18 |
| 방 · 참가자에 연결되는 이벤트(D10) | 종료 후 7일 삭제. 이후엔 방 · 개인과 연결할 수 없는 집계값만 보유 | 결정서 §2 |
| 접속 기록(D11) | [법무 검토 항목] 통신비밀보호법 시행령의 로그 보존 의무 대상인지 확인 후 확정 | — |
| 방 수명 | 생성 후 최대 7일. 그 전에 확정되지 않으면 미확정 종료 | P-22 |

법령이 더 긴 보존을 요구하는 항목은 그 기간만큼 분리 보관하고, 그 사실을 이 표에 적는다.

## 5. 제3자 제공

운영자는 개인정보를 제3자에게 제공하지 않는다. **같은 방의 다른 참가자에게 보이는 것**은 제3자 제공이 아니라 서비스의 기능이며, 그 범위는 다음으로 제한된다.
- 누가 답했는지(이름 · 답변 여부)만 전원 공개. 무엇을 답했는지는 비공개(FR-07).
- 결과 화면은 2명 이상 공통 조건 · 집계 수치만(P-12). 계산 참여자가 3명이면 집계 수치와 사유 주제도 숨긴다(P-19).
- 조건부 동의의 「공개 실행 조건」 한 줄은 본인이 공개를 전제로 쓴 것만 전원에게 보인다(S7B 미리보기).
- 개인 리포트 · 개인 만족도 · 정확한 상한 · 재조율 요청자는 방장에게도 비공개.

수사기관 요청 등 법령에 따른 경우는 법이 정한 절차와 범위에서만 응한다.

## 6. 처리 위탁과 국외 이전

| 받는 자 | 이전 항목 | 목적 | 국가 · 시기 · 방법 | 보유 기간 | 근거 |
|---|---|---|---|---|---|
| LLM 제공사 [ 확정 후 기재. AI 설계서 예시: Anthropic ] | D4 자유서술 원문(이름 · 방 ID · 토큰 제외) | 조건 태그 구조화(①) | [국가] · 입력 즉시 · 암호화 통신 API 호출 | 요청 처리 후 즉시. **학습에 쓰지 않는 계약 조건(zero data retention 또는 이에 준하는 옵션) 확인 필수** | 제28조의8 제1항 |
| 같은 LLM 제공사 | D7 집계 사실(개인 답변 · 단독 조건 제외) | 공개 이유 문장 생성(②) | 같음 | 같음 | 같음 |
| 클라우드 호스팅 [ 확정 후 기재 ] | D1~D11 저장 · 처리 | 서비스 운영 | [국가 · 리전] | §4와 같음 | 위탁(제26조) |

- 국외 이전은 이용자에게 **이전 항목 · 국가 · 시기와 방법 · 받는 자 · 목적과 보유 기간 · 거부 방법**을 알리고 동의를 받거나, 법이 허용하는 다른 근거를 갖춘다. 거부하면 자유서술 없이(목록 선택만) 참여할 수 있게 한다(UC-16a 경로가 이미 있다).
- LLM 호출 시 이름 · 방 ID · 개인 토큰을 프롬프트에 넣지 않는다(AI 설계서 §4 입력 경계). 원문에 이용자가 스스로 적은 개인정보(예: 동료 이름)까지 막을 수는 없으므로 입력 안내(§3-1)로 줄인다.
- 자체 규칙 엔진(거부권 · 만족도 · 정렬)은 운영자 서버에서 돌며 외부로 나가지 않는다.

## 7. 파기

- 절차: §4의 기간이 지나면 스케줄러가 종료 처리의 일부로 삭제한다(UC-44). 사람이 승인하는 단계는 두지 않는다.
- 방법: 전자 파일은 복구할 수 없게 삭제하고, 백업 복구본은 다음 백업 주기에서 제외된다. 출시 전 「캐시 · 검색 인덱스 · 복구본에 원문 없음」을 검증한 뒤에만 화면에 삭제 문구를 쓴다(결정서 §2).
- 이용자가 방 종료 전에 삭제를 요청하면 본인 토큰 확인 후 본인 답변 · 리포트를 삭제하고 계산 대상에서 제외한다(미응답과 같은 처리, P-05).

## 8. 정보주체의 권리와 행사 방법

이용자는 열람 · 정정 · 삭제 · 처리정지 · 동의 철회를 요구할 수 있다. 회원 계정이 없으므로 **본인 확인은 개인 링크 또는 참여 세션(D5)** 으로 한다. 같은 이름만으로는 본인으로 보지 않으며(쏠 E1 · E4), 방장이 다른 참가자를 대신해 요구할 수 없다.

| 권리 | 서비스 안에서 | 방법 |
|---|---|---|
| 열람 | 내 리포트(S8), 내 답변(S4R 읽기 전용) | 화면에서 즉시 |
| 정정 | 협상 시작 전 답변 고치기(FR-06) | 화면에서 즉시 |
| 삭제 · 처리정지 | 방 종료 전 본인 답변 삭제(§7) | [ 문의 창구 ] 또는 화면 버튼(제안) |
| 자동화된 결정에 대한 설명 요구 | 개인 리포트가 설명 역할(§9) | 화면에서 즉시, 추가 설명은 문의 창구 |

만 14세 미만 아동의 개인정보는 수집하지 않는다. 아동임을 알게 되면 해당 답변을 삭제하고 계산에서 제외한다.

## 9. 자동화된 결정에 관한 안내 (제37조의2)

끼리는 규칙 엔진과 LLM으로 **합의안을 추천**한다. 그러나 최종 결정은 참가자 전원의 재확인(동의 · 조건부 · 재조율)과 방장의 명시적 확정을 거치며, 방장이 확정하지 않으면 자동으로 확정되지 않는다(P-22). 따라서 사람이 개입하지 않는 「완전히 자동화된 결정」에 해당하지 않는다고 본다. [법무 검토 항목: 이 판단의 타당성]

그럼에도 이용자가 결과를 이해할 수 있게 다음을 제공한다.
- 규칙 공개: 거부권 → 최저 만족도 → 평균 → 비용 → 일정 순(P-11), 가중치(P-13), 페널티(P-20). 결과 화면 「규칙 설명」 배지(UC-31a).
- 개인 리포트: 내 조건 중 지켜진 것 · 선호와 다른 지점 · 1순위 반영 여부 · 내 만족도(FR-15).
- LLM이 만든 문장은 집계 사실만 입력받고 숫자 · 명사 대조 검증을 거치며, 실패하면 템플릿으로 바꾸고 배지로 표시한다(P-16). 점수는 내부 규칙의 값이며 실제 만족 확률이 아님을 화면에 적는다.

## 10. 안전성 확보 조치

| 조치 | 내용 | 근거 |
|---|---|---|
| 접근 통제 | 개인 토큰은 추측 불가 길이. 방 URL · 입장 코드만으로 답변 · 리포트 접근 불가. 서버가 참가자별 권한 검사. 방장도 타인 답변 접근 불가 | NF-03, 결정서 §2 |
| 전송 · 저장 암호화 | 전 구간 TLS. 저장 시 원문 · 토큰 암호화 | 안전성 확보조치 기준 |
| 로그 최소화 | 로그 · 이벤트에 원문 · 이름 · 토큰 · 개인 조건 · 개인 점수 기록 금지 | NF-04, 결정서 §2 |
| URL 최소화 | 선택 값 · 개인 값을 URL · 공유 미리보기에 넣지 않음 | 쏠 S4-5 · S8 |
| 개인정보취급자 | 운영자 측 접근 권한 최소화, 접근 기록 보관, 연 1회 교육 | 안전성 확보조치 기준 |
| 삭제 검증 | 출시 전 캐시 · 인덱스 · 복구본 대상 삭제 검증 | 결정서 §2 |
| 취약점 대응 | 배포 전 의존성 점검, 침해 사고 시 72시간 내 통지 절차 | 제34조 |

## 11. 자동 수집 장치

- **세션 저장**: 참여 세션 유지에 필요한 쿠키 또는 브라우저 저장소를 쓴다. 거부하면 방에 재입장할 때마다 개인 링크가 필요하다.
- **이벤트 수집(D10)**: 상태 전이만 기록하고 개인 식별 정보는 넣지 않는다. 광고 · 행동 추적용 제3자 스크립트는 쓰지 않는다. [계측 도구 확정 후 도구명 · 옵트아웃 방법 기재]
- 현재 목업(kkiri-plan.pages.dev/mockup)은 브라우저 localStorage에만 저장하며 서버로 보내지 않는다.

## 12. 개인정보 보호책임자와 문의 창구

| 구분 | 내용 |
|---|---|
| 개인정보 보호책임자 | [ 성명 · 직책 ] |
| 문의 | [ 이메일 ] · 처리 기한 10일 이내 회신 |

## 13. 권익침해 구제

개인정보침해신고센터(privacy.kisa.or.kr · 국번 없이 118) · 개인정보분쟁조정위원회(kopico.go.kr · 1833-6972) · 대검찰청 사이버수사과(1301) · 경찰청 사이버수사국(ecrm.police.go.kr · 182). [출시 전 기관명 · 번호 재확인]

## 14. 방침 변경

방침을 바꾸면 시행 7일 전(이용자에게 불리한 변경은 30일 전)에 서비스 화면에 알린다. 이전 버전은 이 문서 하단에 링크로 남긴다.

- v0.1 (2026-09-06): 초안. 정책값은 요구사항 §3 · 쏠 결정서 v1 기준.

---

## 부록 A. 화면 문구 ↔ 방침 조항

| 화면(쏠 A안) | 현재 문구 | 대응 조항 | 고칠 점 |
|---|---|---|---|
| S3 비공개 안내 | 「내 답변은 다른 참가자와 방장에게 공개하지 않아요」 | §5 | 「보관 기간은 아직 미결」 → P-17 · P-18 확정값으로 교체 |
| S4-6 피할 것 | 「술을 마시지 않는 일정이면 좋겠어요」 예시 | §3-1 | 「이유는 적지 않아도 돼요」 도움말 추가(제안) |
| S4R 구조화 확인 | 「각 항목은 나만 확인할 수 있어요」 | §5 · §9 | 원문이 외부 AI에 보내진다는 한 줄과 목록 선택 대안 안내(§6 거부 방법) |
| S7 결과 | 공통 이유 · 선호 차이 | §5 · §9 | 3명 방이면 집계 숨김 상태(P-19) 문구 |
| S8 내 리포트 | 「방장에게도 본인 외 리포트 접근 금지」 | §5 · §10 | 그대로 |
| S9 결정 완료 | 「열람/삭제 기간 숫자는 정책 확정 전 약속하지 않는다」 | §4 | 「7일 뒤 읽기 전용이 끝나고 삭제돼요」로 교체 가능(삭제 검증 후) |
| 목업 S9 | 「이 방은 7일 뒤 읽기 전용이 되고 … ※ 기간은 가정」 | §4 | 「가정」 표기 제거(코드 수정 별도) |

## 부록 B. 개발 체크리스트 (이 방침이 지켜지려면)

- [ ] `closed_at + 168h` 삭제 배치와 `created_at + 168h` 미확정 종료 배치, 둘 다 UTC 기준 시각 비교(자정 반올림 금지)
- [ ] 원문 필드는 구조화 응답 저장 직후 null 처리 가능한 구조(원문 컬럼을 결과 테이블과 분리)
- [ ] LLM 요청 페이로드에 이름 · 방 ID · 토큰이 없음을 테스트로 고정
- [ ] LLM 제공사 데이터 보존 옵션 계약 확인(학습 미사용 · 보존 0일 또는 최소)
- [ ] 로그 스키마에 금지 필드 린트(원문 · 이름 · 토큰 · 개인 조건 · 개인 점수)
- [ ] 삭제 후 캐시 · 검색 인덱스 · 백업 복구본 검증 스크립트
- [ ] 본인 삭제 요청 처리 경로(토큰 확인 → 삭제 → 계산 제외)와 로그
- [ ] 3명 방 집계 숨김이 결과 · 공유 · LLM 입력 · 후보 없음 화면 네 곳에서 같은 경계로 동작

## 부록 C. 법무 검토 질문

1. 방 단위 무회원 서비스에서 「이용자가 스스로 적은 자유서술」의 국외 LLM 전송을 동의 기반으로 할지, 계약 이행(제15조 제1항 제4호)으로 볼지.
2. 자유서술에 섞이는 건강 · 종교 추정 문장이 민감정보 「처리」에 해당하는지, 즉시 삭제 설계로 충분한지.
3. 접속 기록(D11) 보존 의무 기간.
4. §9 자동화된 결정 해당 여부 판단.
5. 방장이 초대 대상의 이름을 개인 링크 발급을 위해 미리 입력하는 경우(이름별 개인 링크), 초대 대상 동의 확보 방식.
6. 무료 베타 단계의 사업자 표기 · 처리방침 공개 의무 시점.

## 근거

- `OUTBOX/KKIRI/KKIRI_REQUIREMENTS_AND_POLICY.md` §2 FR-05 · FR-07 · FR-15 · FR-19, §3 P-05 · P-12 · P-15 · P-17 · P-18 · P-19 · P-22, §4 NF-03 · NF-04
- `OUTBOX/KKIRI/KKIRI_POLICY_DECISIONS_2026_09_06.md` §1 · §2 (쏠, 2026-09-06)
- `OUTBOX/KKIRI/KKIRI_AI_DESIGN.md` §4 입력 경계 · §5 검증 · 모델 예시
- `OUTBOX/KKIRI/KKIRI_METRICS_PLAN.md` 이벤트 항목
- 쏠 A안 화면설계서 S3 · S4-4 · S4-5 · S4R · S8 · S9 · E1 · E4 (`OUTBOX/KKIRI_A_SCREEN_DESIGN_2026_09_06/SCREEN_SPEC.md`)
- 개인정보 보호법 제15조 · 제23조 · 제26조 · 제28조의8 · 제30조 · 제34조 · 제37조의2 (조문 번호는 출시 전 최신 법령으로 재확인)