개인정보 처리방침
시행일: 2026-10-17 · 버전: privacy-password-20261017-v4
1. 개인정보처리자와 적용 범위
눈독의 개인정보처리자는 스튜디오 오픈피크(대표 조준혁, 사업자등록번호 524-36-01483)다. 공개 콘텐츠는 회원가입 없이 볼 수 있다. 회원가입은 만 14세 이상에게 제공하며 가입할 때 이메일과 비밀번호를 설정하고 이메일로 받은 8자리 인증코드로 이메일을 확인한다. 이후에는 이메일·비밀번호로 로그인하며, 비밀번호 변경·재설정과 계정 삭제 시 이메일 인증코드로 다시 확인한다. 이메일 인증코드를 보내기 전에 이용자가 입력한 생년월일로 만 14세 이상인지 브라우저에서 계산한다. 이는 공인 본인확인에 의한 나이 인증이 아니며, 생년월일 원문은 서버에 보내거나 브라우저 저장소에 보관하지 않는다.
2. 처리 목적·항목·보유기간
| 처리 | 목적과 항목 | 눈독의 기본 보유기간·파기 기준 |
|---|---|---|
| 가입 시도 | 가입 자격 확인과 자동 가입 방지: 입력 이메일, 정규화 이메일의 SHA-256 해시, 가입 티켓·발급/만료 시각, 약관·처리방침·연령 안내·국외 이전 동의 버전, Turnstile 검증 토큰과 결과 | Turnstile 토큰·결과는 가입 요청 시 검증에 사용하고 눈독의 가입 티켓 DB에는 저장하지 않는다. 가입 티켓은 15분간 유효하다. 가입 완료 시 티켓과 이메일 해시는 프로필·고지 이력 생성과 같은 DB 거래에서 삭제한다. 미사용 티켓은 만료 후 5분 주기 정리 작업에서 삭제한다. 인증 계정만 만들어진 미완료 가입은 티켓 만료 후 1일의 완료 가능 기간이 지나면 다음 정리 작업에서 계정과 티켓을 삭제한다. 작업 지연이나 실패가 있으면 실제 삭제가 늦어질 수 있다. |
| 회원 계정·인증 | 회원 기능 제공과 본인 확인: 이메일, 비밀번호의 단방향 해시, 내부 사용자 ID, 인증·세션 정보, 계정 생성·변경 시각 | 회원 유지 기간. 계정 삭제 시 인증 계정과 연결된 기본 프로필을 삭제한다. 비밀번호 원문은 암호화된 통신으로 인증 서버에 전달하고 bcrypt 단방향 해시로 저장한다. 브라우저 저장소나 눈독 프로필 DB에 비밀번호 원문을 저장하지 않는다. 인증 세션은 기본적으로 탭의 세션 저장소에 보관하고, 자동 로그인을 선택한 경우에만 로컬 저장소에 보관한다. 로그아웃하면 해당 저장소의 세션을 삭제한다. 브라우저의 탭 복원 기능에 따라 세션이 복원될 수 있다. |
| 가입 자격·고지 기록 | 만 14세 이상 연령 조건 충족 여부(이용자가 입력한 생년월일로 브라우저에서 계산)과 필수 약관 동의·처리방침 확인·연령 안내 확인·국외 이전 별도 동의의 종류, 행위, 시각, 문서 버전, 내용 해시, 요청 식별자 | 회원 유지 기간. 계정 삭제 시 연결된 기록을 삭제한다. |
| 회원 프로필·개인화 | 별명(프로필 설정 시 필수), 프로필 사진(선택), 눈독들인 광고·브랜드 ID와 관심·관심 없음 카테고리·브랜드 ID. 프로필 표시, 저장 목록 및 맞춤 추천을 다른 기기에서도 제공 | Supabase 서울 리전 회원 DB에 본인 계정별로 저장. 이용자가 항목을 해제하면 추천·목록에서 제외하며 동기화용 해제 기록은 계정 유지 기간 보관. 사진 변경·기본 이미지 선택 시 기존 사진을 대체·삭제. 계정 삭제 시 별명·사진·취향·저장 목록과 해제 기록 삭제. |
| 접속·보안·발송 기록 | 사이트 접속·오류·인증·부정 이용 대응: IP 주소, 접속 시각, 요청 경로, 브라우저·기기 신호, 메일 전송 상태 등 실제 생성되는 기록 | Resend 보유기간은 5절, Supabase의 위탁 운영기록과 Turnstile의 결정 기준은 4절에 기재한다. 현재 Global Edge Logging 설정은 꺼져 있어 눈독이 별도 요청 로그 버킷을 운영하지 않는다. 이는 네이버클라우드의 자체 운영·보안기록이 없다는 뜻이 아니다. |
실명, 휴대전화번호, 주소, 신분증, 성별, 직업·소득은 요구하지 않는다. 프로필에는 실명 대신 별명을 사용한다. 프로필 사진을 등록하지 않아도 서비스 이용이 가능하다. 사진은 브라우저에서 크기를 줄이고 새 이미지로 변환해 원본 파일명과 위치 등 EXIF 정보를 보내지 않는다. 사진으로 얼굴 인식이나 생체 인증을 하지 않는다. 생년월일은 나이 계산을 위해 브라우저에 입력하며 서버에 전송하지 않는다. 광고성 이메일·문자·푸시 알림은 아직 제공하지 않으며 휴대전화번호를 수집하지 않는다. 회원별 광고 클릭 기록은 서버 개인화 데이터에 포함하지 않는다. 회원 서비스 제공에 필요한 서버 기록은 계약 체결·이행을 위해 처리한다. 보안 기록은 서비스 보호와 부정 이용 방지에 필요한 범위로 제한한다. 법령상 별도 보존 의무가 확인되는 경우 그 항목과 기간을 별도로 고지하고 분리 관리한다.
3. 제3자 제공·외부 콘텐츠·브라우저 저장소
이번 가입 기능에서 회원 이메일, 저장 목록, 관심 설정 또는 회원별 광고 클릭 기록을 광고주에게 제공하지 않는다. 외부 사이트로 이동하면 그 사이트가 자체 기준에 따라 정보를 처리할 수 있다. 광고 상세의 YouTube 영상은 재생 버튼을 누르면 youtube-nocookie.com 삽입 화면이 열리고, 눈독 이야기 화면은 영상이 보일 때 YouTube iframe API와 삽입 화면을 불러올 수 있다. 그때 접속·기기 정보가 Google/YouTube로 전달될 수 있다. 자세한 내용은 Google 개인정보처리방침을 참고할 수 있다.
눈독·관심·제외 설정과 프로필은 회원 계정에 보관하며 비회원의 개인화 설정은 저장하지 않는다. 기존 비회원 브라우저 저장값은 새 계정에 자동 연결하지 않고 이번 버전 실행 시 제거한다. 브라우저 로컬 저장소에는 자동 로그인을 선택한 경우의 인증 세션과 화면 열 수·소식 분류 등 화면 설정을 보관한다. 자동 로그인을 선택하지 않으면 인증 세션은 탭의 세션 저장소에만 보관한다. 사이트 데이터 삭제·차단은 로그인 유지에 영향을 줄 수 있다. 로그아웃하면 해당 브라우저의 로그인 세션과 화면에 불러온 계정 데이터를 지운다. 가입 화면에서 별도 국외 이전 동의를 선택한 뒤 불러오는 Turnstile 위젯은 Cloudflare의 브라우저 신호를 처리한다. 이 서비스의 장치 정보·쿠키 관련 설명은 Turnstile 고지와 Cloudflare 쿠키 정책에 있다. OTP 메일의 열람·클릭 추적 기능은 현재 도메인 설정에서 활성화되지 않았으며, OTP 템플릿은 인증번호 중심이다. 해당 설정이 바뀌면 문안을 다시 검토한다.
4. 개인정보 처리업무의 위탁
| 수탁자 | 눈독이 맡기는 업무 | 처리 관계와 공개 자료 |
|---|---|---|
| 네이버클라우드 주식회사 | 한국 리전 Object Storage의 공개 정적 파일 보관 및 서비스 지역 ‘한국’ Global Edge를 통한 사이트 전달 | Object Storage 안내, Global Edge 설정. 회원 이메일·가입 이력 DB는 정적 파일 버킷에 보관하지 않는다. 눈독이 선택할 수 있는 Global Edge Logging은 현재 꺼져 있다. |
| Cloudflare, Inc. | 가입 화면의 Turnstile 자동 가입 방지 | 고객 DPA, Turnstile 고지. 눈독 사이트 보호 목적의 신호 처리는 수탁 처리이며 탐지 성능 개선은 Cloudflare의 독립 처리다. 눈독 사이트 웹 프록시 업무는 맡기지 않는다. |
| Supabase Pte. Ltd. | 서울 리전 회원 DB·Auth·Edge 기능의 계정·인증·가입 기록 및 별명·선택형 프로필 사진·저장 목록·취향 처리 | DPA, 데이터 위치 설명. Auth 감사기록의 별도 DB 저장은 현재 꺼져 있다. 이것이 외부 운영 로그의 부재를 뜻하지는 않는다. |
| Plus Five Five, Inc.(Resend) | 이메일 인증코드 발송 | DPA, 보안·보존 안내. 수신 이메일, 메일 본문, 발송 메타데이터를 처리한다. |
위탁받은 자가 실제 위탁 업무를 다시 맡기는 경우 재수탁자와 업무는 각 회사의 공개 목록에서 확인할 수 있다: Supabase, Resend, Cloudflare. 목록 전체가 눈독 회원 정보를 항상 받는다는 뜻은 아니다. 업체와 업무가 바뀌면 이 방침에 반영한다. Cloudflare가 Turnstile 신호를 자체 탐지 개선 목적으로 사용하는 부분의 권리 행사와 보유 기준은 Cloudflare 고지와 한국 이용자 부속서를 따른다.
Cloudflare가 눈독의 Turnstile을 위해 처리하는 브라우저·네트워크 신호에는 IP 주소, TLS 지문, User-Agent, 사이트키·접속 출처 등이 포함된다. Turnstile 고지에 따르면 사이트 보호를 위한 신호 처리는 눈독을 위한 것이고 탐지 성능 개선 목적은 Cloudflare가 독립적으로 결정한다. 위탁 처리분은 고객 DPA 부속서 1 및 제3.1(i)항에 따라 서비스 계약 종료 또는 계약상 서비스 수행에 더 이상 필요하지 않은 시점 중 빠른 때까지 처리하며, 종료 후에는 법령상 보존이 필요한 경우를 제외하고 눈독의 선택에 따라 삭제·반환한다. Cloudflare 한국 이용자 부속서 End Users 행은 방문자 정보에도 방침 §11의 결정 기준을 연결한다. 이는 개별 Turnstile 신호의 고정 일수를 뜻하지 않는다.
Supabase의 Auth·API·Edge 운영 과정에서 생성되는 로그 중 방문자나 회원을 식별할 수 있는 정보는 인증·요청 처리, 오류 진단 및 보안 대응에 필요한 범위에서 처리한다. Supabase 로그 항목 문서는 서비스별 인증 이벤트와 HTTP 요청 로그, 일부 요청 헤더를 설명한다. DPA 제1·11조와 처리 상세는 눈독을 위해 위탁 처리하면서 서비스 제공 과정에서 생성된 개인정보도 적용 범위에 포함하고, 서비스 계약 기간 또는 눈독이 제공 기능에 따라 더 일찍 삭제를 요청한 때를 보유 결정 기준으로 정한다. 계약 종료 후에는 30일의 반환 가능 기간이 끝날 때 수탁자와 승인된 재수탁자가 보유한 위탁 개인정보 사본을 삭제한다. 이는 개별 Auth·Edge 로그가 계약 기간 내내 저장된다는 뜻이 아니며, 서비스별 실제 삭제 시점은 Supabase 데이터 위치·이전 설명의 운영·보안 기준과 적용 기능에 따른다.
5. 개인정보의 국외 이전
회원 DB와 Auth 기본 데이터는 Supabase 서울 리전에 두고, 정적 사이트는 네이버클라우드 한국 저장소와 서비스 지역 ‘한국’ Global Edge로 전달한다. 이메일 인증, 자동 가입 방지, 운영 로그와 필요한 지원·보안 대응에는 아래 국외 처리가 있다. 표의 국가는 공급자 공식 자료로 확인되는 이전 가능 국가의 범위다. 이용자 한 명의 정보가 열거된 국가 전부에 이전된다는 의미는 아니다. 별도 동의 대상은 가입 화면에서 이용약관 동의와 분리해 동의받는다.
| 법적 근거·이전 유형 | 이전받는 자(연락처) | 이전 항목·목적 | 이전 가능 국가·시기·방법 | 보유·이용기간 |
|---|---|---|---|---|
| 제28조의8제1항제1호, 별도 동의·처리위탁/보관 | Plus Five Five, Inc.(Resend), privacy@resend.com |
OTP 수신 이메일 주소, 인증 메일 본문, 발송·전달 메타데이터. 이메일 인증코드 발송 | 일본(도쿄 발송 리전), 미국(저장). 인증코드를 요청할 때 Supabase SMTP에서 통신망 전송 | 현 Free 요금제 이메일·로그 30일, 백업 7일. Resend 계정 종료 후 남은 고객 데이터는 90일 이내 삭제 |
| 제28조의8제1항제5호, EU 동등성 인정·운영 로그 처리위탁/보관 | Supabase Pte. Ltd., privacy@supabase.io |
인증·API·Edge 요청의 IP 주소, 시각, 경로, 인증 이벤트 등 로그에 실제 포함되는 식별 가능 정보. 운영·오류 진단·보안 | 회원이 인증하거나 API를 이용할 때 통신망으로 EU 소재 데이터센터에 수집·보관. 가능한 국가 범위는 아래 EU 27개 회원국. 공급자는 개별 회원국을 공표하지 않는다. | Supabase DPA의 서비스 계약 기간 또는 제공 기능에 따른 이른 삭제 요청 기준. 계약 종료 후 30일 반환 가능 기간이 끝나면 위탁 개인정보 사본 삭제. 개별 로그에는 별도 삭제 기준이 적용될 수 있음 |
| 제28조의8제1항제1호, 별도 동의·필요 시 지원/보안 조회 | Supabase, Inc., privacy@supabase.io |
지원 요청이나 보안사고 대응에 필요한 해당 계정·인증 기록과 로그의 일부 | 필요한 경우 미국 법인에 대한 미국 조회. 지원·보안 대응 사유가 있을 때 접근 권한을 제한해 원격 조회. 글로벌 지원 인력이 다른 국가에서 조회할 가능성은 공급자의 공개 자료만으로 배제할 수 없으며, 미국 밖 국가의 조회는 이 동의 범위에 포함하지 않는다. | 위 Supabase DPA의 위탁 처리 결정 기준 |
| 제28조의8제1항제1호, 별도 동의·자동 가입 방지 처리위탁 및 Cloudflare의 독립 처리 | Cloudflare, Inc., dpo@cloudflare.com 및 공식 한국 고지에 포함된 그룹사 |
Turnstile의 IP 주소, TLS 지문, User-Agent, 사이트키·접속 출처와 검증 결과. 자동 가입 방지와 Cloudflare의 탐지 성능 개선 | 가입 화면에서 위젯을 불러오거나 검증할 때 통신망 전송. DPA상 수령 법인 Cloudflare, Inc.의 소재국은 미국이다. 그룹사의 공식 공표 가능 범위는 아래 15개국이다. 이 정보가 실제 모든 처리 장소의 확정이라는 뜻은 아니다. | 눈독을 위한 위탁 처리에는 Cloudflare DPA의 계약 종료 또는 수행에 더 이상 필요하지 않은 때 중 빠른 시점까지의 기준 적용. 독립적인 탐지 개선 처리는 Cloudflare 방침의 결정 기준 적용 |
Supabase EU 로그의 가능한 국가 범위: 그리스, 네덜란드, 덴마크, 독일, 라트비아, 루마니아, 룩셈부르크, 리투아니아, 몰타, 벨기에, 불가리아, 스웨덴, 스페인, 슬로바키아, 슬로베니아, 아일랜드, 에스토니아, 오스트리아, 이탈리아, 체코, 크로아티아, 키프로스, 포르투갈, 폴란드, 프랑스, 핀란드, 헝가리. 이는 Supabase가 공표한 EU 소재 데이터센터의 국가상 한계와 개인정보위의 EU 동등성 인정에 따른 가능 범위다. 실제 로그가 27개국 모두에 저장된다는 의미가 아니다.
Cloudflare 그룹사의 공식 공표 가능 국가 범위: 미국, 영국, 싱가포르, 호주, 독일, 포르투갈, 프랑스, 일본, 캐나다, 네덜란드, 아랍에미리트, 인도, 멕시코, 말레이시아, 스웨덴. Cloudflare 한국 이용자 부속서 3절의 목록이며, 각 Turnstile 요청의 실제 처리국은 이 중 일부일 수 있다. 부속서는 Turnstile 서비스만의 처리국을 따로 특정하지 않는다. Cloudflare의 자체 탐지 개선 처리는 Turnstile 고지를 따른다. 공급자가 이 공표 범위 밖의 실제 처리국을 알리면 해당 처리를 시작하기 전에 고지와 동의 범위를 재검토한다.
가입 화면에서 별도 국외 이전 동의를 거부하면 비회원으로 공개 콘텐츠를 계속 볼 수 있지만 현재 방식의 회원가입·로그인은 제공할 수 없다. 가입 후에는 계정 삭제 화면에서 이메일 인증코드로 삭제하거나 noondoc@noondoc.my에 동의 철회 및 삭제를 요청할 수 있다. 미국 외 국가에서의 Supabase 지원 조회가 필요해지면 해당 국가와 수령자 등을 확인해 그 조회 전에 추가 고지·동의 등 적법한 근거를 마련한다. 철회 전 적법하게 이루어진 처리와 법령상 보존 의무에 대해서는 별도 안내한다.
6. 파기·안전성 확보
눈독 DB의 가입 티켓과 기본 계정·고지 기록은 2절의 기준으로 삭제한다. 회원은 로그인 후 이메일 인증코드로 다시 확인하고 계정을 삭제할 수 있다. 계정 삭제는 서버 인증 계정과 연결된 별명·프로필 사진·취향·저장 목록·기본 기록을 함께 삭제한다. 화면 표시 설정은 브라우저 사이트 데이터에서 별도로 지울 수 있다. 공급자 운영 로그·백업의 삭제는 해당 서비스의 처리 범위와 기준에 따른다. Resend의 확인된 기준은 5절에 적었다. Supabase는 활성 프로젝트의 DB를 유지하고 프로젝트 삭제 시 고객 데이터를 30일 이내 삭제한다고 설명한다. 이 기간은 개별 회원의 계정 삭제 후 보존기간을 뜻하지 않는다.
눈독은 계정별 접근 제한, 관리자 권한·비밀키 관리, 암호화된 통신, 가입·로그인·삭제 경로 검증 등 필요한 보호조치를 적용한다. 사고가 의심되거나 개인정보 관련 요청이 있으면 아래 연락처로 접수한다.
7. 이용자 권리와 연락처
이용자는 개인정보 열람·정정·삭제·처리정지를 요청할 수 있다. 로그인 후 계정 삭제 기능을 이용하거나 noondoc@noondoc.my에 이메일로 요청할 수 있다. 본인 확인이 필요한 경우 필요한 최소한의 정보를 확인하고 법정 처리기한에 맞춰 결과를 알린다. 요청이 법령상 제한되는 경우 그 근거와 사유를 안내한다.
- 개인정보 보호책임자: 조준혁 대표
- 처리방침·권리 요청 및 침해 신고 접수: noondoc@noondoc.my
8. 시행·변경
이 방침은 2026-10-17부터 시행한다. 처리 목적·항목·위탁 또는 국외 이전 내용이 바뀌면 변경된 방침과 시행일을 눈독 사이트에 공개한다.
2026-10-17 변경 안내
회원 개인화를 계정 저장 방식으로 전환하고 별명과 선택형 프로필 사진을 추가했다. 개인화 정보는 Supabase 서울 DB에 저장하며 Resend 인증 메일이나 Cloudflare 보안 위젯에 보내지 않는다. 기존 국외 이전 고지의 지원·보안 조회 대상은 계정·인증 기록과 운영 로그이며, 새로 수집하는 별명·사진·취향 원문을 해당 지원 요청에 포함하지 않는다.
비밀번호 로그인 추가 안내
이메일·비밀번호 로그인을 추가하고 자동 로그인을 선택한 경우에만 인증 세션을 지속 보관한다. 기존 인증코드 가입자는 이메일 인증 후 비밀번호를 처음 설정할 수 있다. 비밀번호 변경·재설정 인증 메일에는 인증코드만 포함하며 비밀번호 원문이나 해시는 Resend에 보내지 않는다. 비밀번호 해시는 Supabase 서울 Auth DB에 저장하고 지원 요청에 포함하지 않는다. 저장 방식은 Supabase 공식 비밀번호 보호 문서에서 확인할 수 있다.