뭇별 개인정보 처리방침

이 문서는 두 부분입니다. 제1부는 개인정보 처리방침이고, 제2부는 서비스를 쓰는 기관과 운영자가 맺는 「개인정보 처리위탁 약정」입니다.

제1부 개인정보 처리방침

1. 이 방침이 다루는 두 가지

뭇별 웹 서비스(이하 "서비스")를 운영하는 사업자(이하 "운영자", 이용약관의 "사업자 정보")는 두 가지 개인정보를 처리합니다. 둘은 책임지는 사람이 다릅니다.

나.의 처리 조건은 제2부 「개인정보 처리위탁 약정」(이하 "위탁 약정")에 적었습니다. 운영자는 수탁자로서도 이 방침을 따릅니다(「개인정보 보호법」 제26조 제8항).

2. 처리 목적

가. 운영자가 처리자인 개인정보

1. 회원 로그인과 본인 확인
2. 가입 신청 승인, 기관 소속과 권한(회원·기관장) 관리
3. 기관장·운영자의 회원 관리 화면에 이름, 메일, 마지막 사용 날짜를 보여 주는 일
4. 이용 계약, 이용료 입금 확인, 지부별 이용 기간 관리와 안내
5. 문의 응답과 사용 지원
6. 서비스 공지 전달
7. 누가 무엇을 바꿨는지 기록해 사고를 살피고 분쟁에 답하는 일(변경 기록)

나. 위탁받아 처리하는 개인정보

1. 기관의 학생 명단, 반·수업 일정, 출석부, 월별 서류 작성과 내려받기
2. 전자바우처 결제승인내역으로 학생별 결제 현황 확인
3. 기관 안의 공지와 서식 나누기
4. 운영자의 사용 지원, 장애 확인과 복구, 이용 기간 관리(위탁 약정 제5조)

3. 처리하는 개인정보 항목

가. 운영자가 처리자인 개인정보

나. 위탁받아 처리하는 개인정보(기관이 넣는 만큼만)

운영자가 모으지 않는 것도 정해 두었습니다.

• 전자바우처 계약목록 파일에서 주소, 연락처, 휴대전화, 우편번호, 서비스 제공지, 시군구 칸은 읽지 않습니다. 파일은 브라우저에서 읽고 원본은 서버로 보내지 않습니다. 생년월일 뒤 한 자리(세기를 나타내는 숫자)는 세기를 정하는 데만 쓰고 버립니다.
• 전자바우처 결제승인내역 파일은 서버에 저장하지 않습니다(그 브라우저 탭에만 잠시 둡니다). 서버는 이름, 생년월일, 승인번호 원문을 받는 즉시 한 방향 값으로 바꾸고 원문은 버립니다.
• 주민등록번호를 저장하지 않습니다.

4. 처리·보유 기간

가. 운영자가 처리자인 개인정보

나. 위탁받아 처리하는 개인정보

5. 제3자 제공

운영자는 개인정보를 제3자에게 제공하지 않습니다. 법령에 특별한 규정이 있거나 수사기관이 법령에 따른 절차로 요구하는 경우만 예외입니다. 위탁받은 개인정보(나.)는 기관의 지시 없이 제공하지 않으며, 법령에 따라 제공해야 할 때는 법이 막지 않는 한 기관에 먼저 알립니다.

6. 처리 위탁

운영자는 서비스를 운영하려고 다음 업체에 처리를 맡깁니다. 나.(기관이 위탁한 개인정보)에 대해서는 이것이 재위탁이며, 기관장은 이용약관과 위탁 약정에 동의할 때 이 목록에 동의합니다.

• 운영자와 이 업체들의 관계는 각 업체의 이용약관과 개인정보 처리 조건을 따릅니다.
• 업체를 더하거나 바꾸면 이 방침과 위탁 약정의 판을 올리고 기관장에게 다시 동의를 받습니다.
• 로그인에 쓰는 구글(Google LLC)은 회원 본인의 구글 계정으로 본인을 확인해 주는 곳이며, 운영자가 개인정보를 맡기는 곳이 아닙니다.
• 서비스에는 오류 보고 기능(Sentry)이 들어 있지만 꺼져 있습니다. 켜기 전에 이 방침을 고쳐 알립니다.

7. 국외 이전

운영자는 서비스 이용 계약을 이행하려고 아래와 같이 개인정보를 국외에 보관하거나, 국외에서 조회될 수 있게 처리를 맡깁니다(「개인정보 보호법」 제28조의8 제1항 제3호 가목 — 이 방침에 공개).

거부 방법과 그 효과: 서비스는 위 업체 없이 돌아가지 않아 국외 이전만 따로 끌 수 없습니다. 원하지 않으면 기관장은 이용 계약을 해지할 수 있고, 회원은 계정 삭제를 요청할 수 있습니다(아래 9).

8. 파기 절차와 방법

1. 보유 기간이 지나거나 처리 목적을 이루면 지체 없이 지웁니다. 위탁받은 개인정보는 기관과의 계약이 끝나고 위탁 약정 제12조의 기간이 지나면 지웁니다.
2. 데이터베이스와 파일 저장소의 개인정보는 복구할 수 없게 지웁니다. 백업 안의 정보는 그 백업의 보관 기간(매일 백업 90일, 분기 사본 1년)이 지나면 백업과 함께 지워집니다.
3. 백업으로 복구 시험을 할 때 만든 사본은 시험이 끝나면 바로 지웁니다.
4. 운영자는 서류를 종이로 출력하지 않습니다. 기관이 출력한 서류는 기관이 관리합니다.
5. 이용 계약·입금 기록은 세법에 따른 보존을 위해 다른 정보와 따로 5년 동안 보관한 뒤 지웁니다.

9. 정보주체와 법정대리인의 권리, 행사 방법

가. 운영자가 처리자인 개인정보

1. 회원은 자기 개인정보의 열람, 정정, 삭제, 처리 정지를 요구할 수 있습니다.
2. 이름은 서비스의 계정 메뉴에서 직접 고칠 수 있습니다. 메일과 구글 계정 이름은 구글 계정을 따르며, 다음 로그인 때 바뀝니다.
3. 계정 삭제(탈퇴)와 그 밖의 요구는 카카오톡 채널 1:1 문의나 아래 12의 연락처로 해 주세요. 운영자는 본인임을 확인한 뒤 10일 안에 처리하고 결과를 알립니다. 계정을 지우면 그 사람이 남긴 기록(서류, 변경 기록 등)에서 이름과 메일은 사라지고, 변경 기록의 계정 번호는 5년 동안 남습니다.
4. 법정대리인이나 위임받은 사람도 요구할 수 있으며, 이때는 위임장 등으로 권한을 확인합니다.

나. 위탁받아 처리하는 개인정보(학생과 보호자)

1. 학생과 보호자의 열람, 정정, 삭제, 처리 정지 요구는 그 학생이 다니는 기관에 해 주세요. 기관은 서비스에서 직접 고치거나 지울 수 있습니다.
2. 운영자에게 요구가 오면 그 기관에 곧바로 전달하고, 기관이 처리하도록 돕습니다.

10. 안전성 확보 조치

운영자는 다음 조치를 하고 있습니다.

관리적 조치

1. 운영자 쪽에서 모든 기관의 자료에 접근할 수 있는 계정을 최소한으로 둡니다.
2. 회원의 권한은 기관장이 승인하고 거둡니다. 기관에서 내보내면 다음 요청부터 그 기관 자료에 접근하지 못합니다.

기술적 조치

1. 접근 통제: 데이터베이스가 행 단위로 접근을 막아(RLS) 회원은 자기 기관의 자료만 보고 고칠 수 있습니다. 중요한 쓰기는 데이터베이스 안의 함수가 권한을 다시 확인합니다.
2. 비밀번호를 보관하지 않음: 구글 로그인만 씁니다.
3. 로그인 정보 보호: 로그인 쿠키는 브라우저 스크립트가 읽을 수 없게(httpOnly), 암호화된 연결에서만, 다른 사이트의 요청에 실리지 않게(SameSite) 설정합니다. 브라우저는 데이터베이스와 직접 통신하지 않고 서비스 서버를 거칩니다.
4. 전송 암호화: 이용자와 서비스 사이의 통신을 HTTPS 로 암호화합니다.
5. 화면 보호: 허락한 스크립트만 실행되게 하는 보안 정책(CSP)과 다른 사이트에 끼워 넣기 금지 등 보안 머리글을 씁니다.
6. 최소 수집과 한 방향 변환: 3의 "모으지 않는 것" 대로 원본 파일을 저장하지 않습니다. 승인번호와 명단 밖 사람의 이름·생년월일은 지부마다 다른 비밀 열쇠로 한 방향 값(HMAC)으로 바꿔 저장하고, 비밀 열쇠는 서버에만 둡니다.
7. 변경 기록: 기관·지부, 회원의 소속과 역할, 결제 파일 올림과 결제 확인 메모, 이용 계약을 바꾸면 누가, 언제, 무엇을 바꿨는지 데이터베이스가 바꾸는 순간 함께 기록합니다. 회원과 기관장은 변경 기록을 지우거나 고칠 수 없습니다.
8. 파일 보호: 공지 사진과 서식 파일은 공개되지 않는 저장소에 두고, 볼 권한이 있는 사람에게만 잠시 유효한 주소(사진 1시간, 서식 5분)로 보여 줍니다.
9. 백업: 매일 데이터베이스 전체를 백업하고, 운영자만 가진 열쇠로 잠근 뒤 90일 보관합니다.
10. 추적 도구 없음: 광고·분석 도구를 쓰지 않고, 글꼴도 외부에서 받지 않습니다. 오류 보고 기능은 꺼 두었습니다.

물리적 조치: 서버와 저장소는 수탁 업체(Supabase, Vercel)의 데이터센터에 있습니다.

하지 않는 것

• 운영자와 회원의 열람(조회)은 따로 기록하지 않습니다.
• 학생 명단, 사업과 단가, 휴강·보강, 서류, 공지를 고친 내용은 아직 변경 기록에 남지 않습니다. 서류에는 마지막으로 저장한 사람과 때가 남습니다.
• 서비스 안의 2단계 인증은 없습니다. 구글 계정의 2단계 인증을 켜 두시길 권합니다.
• 공지 사진과 서식 파일의 내용은 매일 백업에 들어가지 않습니다.

11. 자동 수집 장치(쿠키 등)의 설치·운영과 거부

서비스는 로그인과 화면 설정에 꼭 필요한 쿠키와 브라우저 저장소만 씁니다. 광고·분석 쿠키는 없습니다.

거부 방법: 브라우저 설정에서 쿠키와 사이트 데이터를 막거나 지울 수 있습니다. 로그인 쿠키를 막으면 서비스에 로그인할 수 없습니다.

12. 개인정보 보호책임자와 고충 처리

개인정보 보호책임자는 운영자의 대표자입니다(「개인정보 보호법」 제31조 제2항).

• 문의: 카카오톡 채널 1:1 문의(검색 ID mutbyeol)

13. 아동의 개인정보

• 서비스에 들어가는 학생 정보에는 만 14세 미만 아동의 정보가 있을 수 있습니다. 운영자는 아동에게서 개인정보를 직접 받지 않으며, 아동 정보는 기관이 넣습니다.
• 기관은 법령에 따라 동의가 필요하면 법정대리인의 동의를 받고 확인한 뒤 넣어야 합니다(위탁 약정 제14조).

14. 해당하지 않는 항목

• 민감정보: 운영자는 민감정보를 따로 모으지 않습니다. 기관이 넣는 자료에 민감정보가 들어간다면 그 처리 근거(별도 동의 등)는 기관이 갖춥니다.
• 가명정보 처리: 하지 않습니다.
• 국외에서 직접 수집: 하지 않습니다.
• 자동화된 결정: 개인에게 중대한 영향을 주는 결정을 사람 없이 자동으로 내리지 않습니다. 결제 확인의 "명단과 잇기" 는 담당자가 확인하는 보조 기능입니다.

15. 권익 침해 구제

개인정보 침해로 상담이나 구제가 필요하면 아래 기관에 문의할 수 있습니다.

• 개인정보분쟁조정위원회: (국번 없이) 1833-6972, www.kopico.go.kr
• 개인정보침해신고센터: (국번 없이) 118, privacy.kisa.or.kr
• 대검찰청: (국번 없이) 1301, www.spo.go.kr
• 경찰청: (국번 없이) 182, ecrm.police.go.kr

16. 처리방침의 변경

이 방침을 바꾸면 시행 7일 전(정보주체에게 불리하면 30일 전)부터 서비스 공지와 이 화면에 알리고, 지난 판을 이 화면에서 볼 수 있게 둡니다.

• 판 1: 2026년 10월 8일 처음 시행

제2부 개인정보 처리위탁 약정

기관(이하 "위탁자")과 운영자(이하 "수탁자")는 「개인정보 보호법」 제26조와 같은 법 시행령 제28조에 따라 다음과 같이 약정합니다. 위탁자의 기관장이 이용약관에 동의하면 이 약정을 맺은 것으로 봅니다(이용약관 제17조 제3항).

제1조 (목적)

이 약정은 위탁자가 뭇별 서비스를 이용하면서 수탁자에게 맡기는 개인정보 처리 업무의 범위와 두 당사자의 의무를 정합니다.

제2조 (위탁 업무의 목적과 범위)

수탁자는 다음 업무를 위해서만 개인정보를 처리합니다.

1. 서비스 제공: 학생 명단, 반·수업 일정, 출석부, 월별 서류 작성과 내려받기, 결제 확인, 공지와 서식 나누기
2. 위 자료의 저장, 백업, 복구
3. 위탁자와 그 회원의 사용 지원, 장애 확인과 복구
4. 지부별 이용 기간 관리

제3조 (위탁하는 개인정보)

제1부 3의 "나." 표의 항목입니다. 무엇을 넣을지는 위탁자가 정합니다.

제4조 (목적 외 처리 금지)

1. 수탁자는 제2조의 범위를 넘어 개인정보를 이용하거나 제3자에게 제공하지 않습니다.
2. 수탁자는 위탁받은 개인정보를 광고, 다른 사업, 인공지능 학습에 쓰지 않습니다.
3. 수탁자는 사람을 알아볼 수 없는 숫자(지부별 학생 수 등)만 서비스 운영에 씁니다.

제5조 (수탁자의 지원 열람·수정)

1. 수탁자는 제2조 제3호·제4호의 업무와 법령에 따른 요청에 응하기 위해 위탁자의 모든 자료(학생 개인정보 포함)를 열람하고 고칠 수 있습니다.
2. 수탁자의 열람은 따로 기록하지 않습니다. 수탁자가 고친 내용은 제1부 10 의 변경 기록 대상이면 변경 기록에 남고(학생 명단을 고친 내용은 아직 남지 않습니다), 위탁자의 기관장이 요청하면 수탁자가 그 기관의 변경 기록을 뽑아 드립니다.
3. 수탁자는 지원을 맡는 사람을 최소한으로 두고, 그 사람이 이 약정을 지키게 합니다.

제6조 (재위탁)

1. 위탁자는 제1부 6의 재위탁 목록에 동의합니다.
2. 수탁자가 재수탁자를 더하거나 바꾸면 제1부와 이 약정의 판을 올리고, 위탁자의 기관장에게 다시 동의를 받습니다. 위탁자가 동의하지 않으면 이용 계약을 해지할 수 있고, 이용약관 제10조(환불)를 따릅니다.
3. 재수탁자와 수탁자의 관계는 각 업체의 이용약관과 개인정보 처리 조건을 따릅니다.

제7조 (국외 이전)

위탁 업무를 위해 제1부 7과 같이 국외에서 보관되거나 조회될 수 있습니다. 위탁자는 자기 개인정보 처리방침에도 이 사실을 알려야 합니다(제14조).

제8조 (안전성 확보 조치)

수탁자는 제1부 10의 조치를 합니다. 그 가운데 접근 제한에 관한 것은 다음과 같습니다.

1. 위탁자의 회원은 위탁자의 자료만 보고 고칠 수 있습니다(데이터베이스 행 단위 접근 통제).
2. 위탁자의 회원은 위탁자의 기관장이 승인하고 내보냅니다. 기관장이 아직 없는 기관의 가입 신청은 수탁자가 받습니다.
3. 원본 파일을 저장하지 않고, 승인번호와 명단 밖 사람의 이름·생년월일은 한 방향 값으로만 저장합니다.

제9조 (위탁자의 감독)

1. 위탁자는 수탁자에게 개인정보 처리 현황(재위탁 현황, 안전 조치, 사고 기록)을 물을 수 있고, 수탁자는 14일 안에 서면(전자 문서 포함)으로 답합니다.
2. 위탁자는 1년에 한 번 이상 위 점검을 할 수 있습니다. 현장 점검이 필요하면 두 당사자가 때와 방법을 정합니다.
3. 수탁자는 운영자 쪽에서 위탁자 자료에 접근하는 사람에게 개인정보 보호 교육을 합니다.

제10조 (유출 등의 통지)

1. 수탁자는 위탁자의 개인정보가 유출·분실·훼손되었거나 그럴 가능성을 알게 되면 24시간 안에 위탁자의 기관장에게 알리고(알게 된 내용, 대상 범위, 한 조치), 위탁자가 정보주체 통지(법정 72시간)와 신고를 할 수 있게 돕습니다.
2. 수탁자는 피해를 줄이고 다시 일어나지 않게 조치하고 그 결과를 알립니다.

제11조 (정보주체 권리 행사의 협조)

수탁자는 정보주체가 수탁자에게 직접 요구하면 위탁자에게 곧바로 전달하고, 위탁자가 법정 기한 안에 처리할 수 있게 돕습니다.

제12조 (위탁 기간과 끝난 뒤의 처리)

1. 위탁 기간은 이용 계약 기간과 같습니다. 지부의 이용 기간이 끝나도 계약이 이어지는 동안에는 자료를 지우지 않습니다.
2. 계약이 끝나면 위탁자는 끝난 날부터 30일 동안 학생 명단과 연간 출석부를 엑셀 파일로 내려받거나, 수탁자에게 같은 파일을 넘겨 달라고 요청할 수 있습니다.
3. 수탁자는 그 30일이 지난 뒤 30일 안에 위탁자의 자료를 복구할 수 없게 지우고, 지운 사실을 위탁자에게 알립니다. 백업 안의 자료는 백업의 보관 기간(매일 백업 90일, 분기 사본 1년)이 지나면 함께 지워집니다.
4. 위탁자는 법령에 따라 보존해야 하는 자료(사회서비스 제공자료 5년 등)를 제2항의 기간 안에 직접 보관해야 합니다.

제13조 (손해배상)

1. 수탁자가 이 약정이나 법령을 어겨 위탁자나 정보주체에게 손해를 끼치면 배상합니다.
2. 수탁자의 재수탁자가 일으킨 손해도 수탁자가 위탁자에게 책임집니다.
3. 정보주체에 대한 손해배상 책임에서 수탁자는 위탁자의 직원으로 봅니다(「개인정보 보호법」 제26조 제7항).

제14조 (위탁자의 의무)

1. 위탁자는 학생과 보호자의 개인정보를 법령에 맞는 근거로 모으고, 필요하면 동의(만 14세 미만은 법정대리인 동의)를 받은 뒤 서비스에 넣습니다.

2. 위탁자는 「개인정보 보호법」 제26조 제2항에 따라 수탁자와 위탁 업무를 자기 인터넷 홈페이지(없으면 사업장의 보기 쉬운 곳 등)에 공개합니다. 아래 문구를 그대로 써도 됩니다.

   개인정보 처리 위탁 — 받는 곳: 서비스 "뭇별" 운영자 / 맡기는 일: 학생 명단·출석·서류 관리와 결제 확인 시스템 운영, 자료 저장과 백업 / 재위탁: Supabase Pte. Ltd.(데이터베이스), Vercel Inc.(서버), GitHub, Inc.(암호화 백업) — 일부는 국외에서 보관되거나 조회될 수 있으며, 자세한 내용은 뭇별 개인정보 처리방침에 있습니다.

3. 위탁자는 회원에게 업무에 필요한 범위에서만 자료를 보게 하고, 그만둔 사람은 곧바로 기관에서 내보냅니다.

제15조 (그 밖의 사항)

1. 이 약정이 이용약관과 다르면 개인정보에 관해서는 이 약정을 먼저 적용합니다.
2. 이 약정에 없는 것은 「개인정보 보호법」과 이용약관을 따릅니다.