인트로잉 개인정보처리방침 (초안)

상태: 초안 v0.3 (2026-09-27, 법무팀 작성 — 변호사 검토 전). 게시 전에 입력 필요: …를 모두 채우고 변호사 검토를 받아야 한다.

v0.3: [도입 시] 표시 행은 게시물·댓글·추천서·헤더 학교/지역·아는 사람 찾기 기능(docs/legal.md §10)이 출시될 때 적용하며, 출시 전 게시본에서는 제외한다.

구성 근거: 개인정보 보호법 제30조 제1항의 필수 기재 항목(처리 목적 / 처리·보유 기간 / 제3자 제공 / 파기 절차·방법 / 위탁 / 정보주체·법정대리인 권리와 행사 방법 / 보호책임자 / 자동 수집 장치 / 그 밖의 대통령령 사항)과 제28조의8 제2항의 국외 이전 고지 항목, 개인정보보호위원회 「개인정보 처리방침 작성지침(2025.4.)」의 구성. 확인 URL은 docs/legal.md §1.

원칙: 실제로 저장·처리하는 항목만 적었다(스키마 supabase/migrations/* 기준). 도입 예정(Resend 메일, Toss 결제)은 도입 시 이 방침을 개정한 뒤 적용한다.

입력 필요: 운영 주체 성명 또는 상호(이하 "운영자")는 인트로잉(Introing, 이하 "서비스")을 운영하면서 개인정보 보호법 등 관련 법령을 지키고, 이용자의 개인정보를 어떻게 처리하는지 다음과 같이 알립니다.

1. 개인정보의 처리 목적

목적	내용
회원 가입·관리	가입 의사 확인, 본인 식별(이메일·비밀번호 또는 Google 계정), 로그인 세션 유지, 계정 관련 안내 메일(가입 확인·비밀번호 재설정 등)
프로필(EPK) 페이지 제공	회원이 입력한 프로필·작업·경력·미디어를 회원이 정한 공개 범위에 따라 표시, 공유 링크·PDF 인쇄·OG 미리보기 이미지 생성
크레딧·밴드 라인업 상호 확인	작업 참여자·밴드 멤버 초대, 수락·거절 처리, 수락된 크레딧을 양쪽 프로필에 표시
둘러보기·검색	"공개"로 설정한 프로필을 `/explore`와 검색엔진에 노출
서비스 안정 운영	오류 처리, 부정 이용(스팸·사칭) 방지, 신고 처리

2. 처리하는 개인정보 항목과 수집 방법

2-1. 회원이 직접 입력하는 항목

구분	항목	필수/선택	수집 시점
계정	이메일 주소, 비밀번호(암호화 저장 — Supabase Auth)	필수	가입
계정(Google 로그인 시)	Google 계정 이메일, Google이 제공하는 기본 프로필 식별 정보	필수(Google 가입 시)	Google 로그인
프로필	유형(개인/밴드), 핸들, 이름(표시명), 한 줄 소개, 소개, 활동 지역(도시·국가), 프로필 사진, 커버 사진, 악기·역할·장르 태그, 공개 범위	핸들·이름 필수, 나머지 선택	온보딩·프로필 편집
계정(통계용)	성별(여성/남성/기타) — 페이지에 표시되지 않고 운영 통계에만 사용	선택	온보딩
연락처·링크	외부 링크(YouTube·Instagram·Spotify 등 URL), 이메일 주소(연락용), 카카오 오픈채팅 링크	선택	프로필 편집
경력 등	학력·소속·수상·활동 내역(기관명·기간·지역·설명), 디스코그래피(곡·앨범·역할), 장비, 파트(역할 구분)	선택	프로필 편집
미디어	사진·영상·PDF(공연 포스터) 파일과 제목·설명·촬영일, 외부 영상·음원 임베드 URL	선택	업로드
작업·크레딧	작업 제목·설명·발매/공연 정보, 참여자(다른 회원의 핸들 또는 다른 사람의 이름·이메일)와 역할	선택	작업·크레딧 편집
밴드 라인업	멤버(다른 회원의 핸들 또는 다른 사람의 이름·이메일), 역할, 가입·탈퇴일	선택	밴드 편집

회원이 다른 사람의 이름·이메일을 크레딧·밴드 초대에 입력하는 경우, 그 사람의 정보는 회원(초대한 사람)으로부터 수집됩니다. 초대받은 분은 4-2항에 따라 수집 출처·처리 목적·처리정지 요구권을 알려 달라고 요청할 수 있습니다. (이메일 초대 발송 기능은 아직 없으며, 도입 시 초대 메일에 이 내용을 함께 안내합니다.)
사진은 서버에서 WebP로 재인코딩하면서 EXIF(촬영 위치·기기 정보 등) 메타데이터를 제거합니다. 영상·PDF는 원본 그대로 저장되므로 파일에 포함된 메타데이터는 회원이 직접 확인해 주십시오.

2-2. 자동으로 생성·수집되는 항목

로그인 세션 쿠키(Supabase Auth), 가입·수정 일시, 초대·수락 일시.
유입 경로: 처음 방문한 주소에 붙은 캠페인 표시(utm_source·utm_medium·utm_campaign·utm_content), 이전 페이지의 도메인(referrer), 처음 연 페이지 경로. 30일간 쿠키(introing_src)에 두었다가 첫 로그인 때 계정에 한 번 기록하고 쿠키는 더 쓰지 않습니다. 광고·게시물별 가입 수를 세는 운영 통계 목적입니다.
이용 기록: 로그인한 회원이 서비스 화면을 보고 있는 동안 1분 단위로 보낸 체류 시간(날짜별 초), 본 화면 수, 마지막 활동 일시. 운영 통계(어떤 기능을 얼마나 쓰는지) 목적이며 개별 페이지 주소나 입력 내용은 기록하지 않습니다.
접속 로그(IP 주소, 브라우저 정보, 요청 경로 등)는 호스팅 서비스(Vercel)와 데이터베이스 서비스(Supabase)가 보안·장애 대응 목적으로 남기며, 운영자가 볼 수 있는 보관 기간은 Vercel 런타임 로그 1시간(Hobby 요금제 기준, Pro는 1일), Supabase API·DB 로그 1일(Free 요금제 기준, Pro는 7일)입니다. 입력 필요: 두 서비스의 실제 요금제 — 위 값은 2026-09-26 각 공식 문서 기준이며, 요금제가 다르면 그에 맞게 수정
운영자는 별도의 방문 분석 도구(Google Analytics 등)나 광고 추적 도구를 사용하지 않습니다. 위 유입 경로·이용 기록은 외부 서비스에 보내지 않고 서비스 데이터베이스(Supabase)에만 저장합니다.

2-3. 수집하지 않는 항목

주민등록번호, 생년월일, 전화번호(회원이 링크·소개에 직접 적는 경우 제외), 위치정보(GPS), 결제·카드 정보(유료 서비스 도입 전).

3. 개인정보의 처리 및 보유 기간

항목	보유 기간
계정·프로필·콘텐츠	회원 탈퇴(계정 삭제) 또는 해당 항목 삭제 시까지. 회원이 삭제한 미디어·작업은 실행취소를 위해 "삭제됨" 상태로 두었다가 24시간이 지난 뒤(해당 프로필에서 다음 삭제가 일어날 때 정리) 파일까지 완전히 삭제
크레딧·밴드 초대에 입력된 다른 사람의 이름·이메일	초대받은 사람이 수락·거절할 때까지. 응답이 없으면 초대 후 입력 필요: 예 30일 이내에 이메일을 삭제(이름·역할 표기는 초대한 회원의 작업 기록으로 남을 수 있음)
수락된 크레딧	양쪽 회원 중 한쪽이 제거를 요청하거나 탈퇴할 때까지. 탈퇴 시 상대 작업에는 이름·역할 표기만 남을 수 있으며 요청 시 함께 삭제
신고 접수 기록	처리 완료 후 입력 필요: 예 1년
법령상 보존	유료 서비스 도입 시 전자상거래법 등에 따른 거래기록 보존 기간을 이 방침에 추가

4. 개인정보의 제3자 제공과 공개

4-1. 회원이 스스로 공개하는 정보

회원이 프로필의 공개 범위를 "공개" 또는 "링크로만 공개"로 정하면, 2-1의 프로필·연락처·링크·경력·미디어·작업·수락된 크레딧·수락된 밴드 라인업이 방문자에게 표시됩니다. "공개"는 검색엔진과 둘러보기(/explore)에도 노출됩니다. 이메일 주소는 자동 수집 프로그램이 읽기 어렵게 변환해 표시하지만, 방문자는 볼 수 있습니다.
공개 페이지는 PDF로 인쇄하거나 링크 미리보기(OG 이미지)로 외부 메신저·SNS에 표시될 수 있습니다.
초안 상태의 프로필과 수락 전 크레딧·초대는 본인과 편집자에게만 보입니다. 다만 업로드한 사진·영상·PDF 파일 자체는 공개 저장소에 보관되므로, 프로필이 초안 상태이거나 파일을 삭제한 뒤 정리되기 전이라도 파일 주소를 정확히 아는 사람은 열 수 있습니다. 파일 주소는 프로필이 공개된 동안 페이지에 드러나므로, 비공개로 바꾼 뒤에도 이미 주소를 저장한 사람에게는 보일 수 있습니다. [개발팀 확인: 비공개 버킷+서명 URL로 전환하면 이 문단을 삭제]

4-2. 정보주체 이외로부터 수집한 정보의 통지

회원이 다른 사람을 크레딧·밴드 멤버로 입력한 경우, 그 사람은 운영자에게 (1) 수집 출처, (2) 처리 목적, (3) 처리정지를 요구하거나 동의를 철회할 권리가 있다는 사실을 알려 달라고 요구할 수 있으며, 운영자는 즉시 알립니다(개인정보 보호법 제20조).

4-3. 그 밖의 제3자 제공

운영자는 위 4-1(회원 본인의 공개) 외에는 개인정보를 제3자에게 제공하지 않습니다. 다만 법령에 따른 수사기관·법원의 적법한 요청이 있는 경우는 예외입니다.

5. 개인정보 처리의 위탁

수탁자	위탁 업무	위탁 항목
Vercel Inc. (미국)	웹 서비스 호스팅·실행(서버 함수·CDN)	서비스 이용 중 서버를 거치는 모든 데이터, 접속 로그
Supabase Inc. (미국)	데이터베이스·인증·파일 저장소 제공	2-1·2-2의 전 항목(비밀번호는 해시), 업로드 파일
Google LLC (미국)	Google 계정 로그인(OAuth)	Google 로그인 선택 시 이메일·기본 프로필 식별 정보
(도입 예정) Resend	초대·알림 이메일 발송	수신자 이메일, 메일 본문의 이름·작업명 — 도입 시 방침 개정 후 적용
(도입 예정) 토스페이먼츠	유료 서비스 결제·정기결제	결제 정보 — 도입 시 방침 개정 후 적용

운영자는 수탁자가 개인정보를 안전하게 처리하도록 각 서비스의 이용약관·데이터 처리 계약(DPA)에 따르며, 수탁자가 바뀌면 이 방침을 갱신합니다.

6. 개인정보의 국외 이전

서비스는 해외 사업자의 클라우드에서 운영되므로 개인정보가 국외에 보관·처리됩니다(개인정보 보호법 제28조의8 제1항 제3호 — 계약 이행을 위한 처리위탁·보관, 이 방침으로 공개).

이전받는 자	이전 국가	이전 시기·방법	이전 항목	이용 목적·보유 기간	연락처
Vercel Inc.	미국(워싱턴 D.C., `iad1` — 프로젝트에 리전 설정이 없어 Vercel 기본값 적용. 정적 파일은 전 세계 CDN 캐시)	서비스 이용 시 네트워크를 통해 실시간 전송	서비스 이용 중 서버를 거치는 데이터, 접속 로그	호스팅·실행 / 위탁 계약 종료 또는 Vercel 로그 정책 기간	https://vercel.com/legal/privacy-notice
Supabase Inc.	입력 필요: 프로젝트 리전 — Supabase 대시보드 Settings > General > Region. ap-northeast-2(서울)이면 "대한민국(AWS 서울 리전)", 그 외면 해당 국가 (Supabase는 지원·운영을 위해 미국·싱가포르 등에서 접근할 수 있음)	가입·입력·업로드 시 실시간 전송·저장	2-1·2-2 전 항목, 업로드 파일	데이터베이스·인증·저장소 제공 / 회원 탈퇴·삭제 시까지	https://supabase.com/privacy
Google LLC	미국	Google 로그인 시 실시간	Google 계정 이메일·기본 프로필 식별 정보	로그인 인증 / 계정 삭제 시까지	https://policies.google.com/privacy

이용자는 국외 이전을 원하지 않으면 가입하지 않거나 탈퇴(8항)할 수 있습니다. 다만 서비스 구조상 국외 이전 없이 서비스를 제공할 수 없어, 거부 시 서비스 이용이 어렵습니다.
이전받는 자가 바뀌거나 새 국가로 이전하게 되면 이 방침을 갱신하고 공지합니다.

7. 개인정보의 파기 절차와 방법

보유 기간이 지나거나 처리 목적이 달성된 개인정보는 지체 없이 파기합니다.
파기 방법: 데이터베이스 기록은 삭제 명령으로 복구할 수 없게 삭제하고, 업로드 파일은 저장소에서 삭제합니다. 데이터베이스 백업본은 Supabase가 요금제에 따라 보관하며(Free 요금제: 자동 백업 없음, Pro: 7일), 보관 기간이 지나면 함께 삭제됩니다. 입력 필요: 실제 요금제. 운영자가 별도로db dump 사본을 보관한다면 그 보관 기간·삭제 규칙도 여기에 적을 것]
법령에 따라 보존해야 하는 정보는 다른 개인정보와 분리해 보관하고, 그 기간이 지나면 파기합니다.

8. 정보주체와 법정대리인의 권리·의무 및 행사 방법

이용자는 언제든 자신의 개인정보에 대해 열람·정정·삭제·처리정지·동의 철회를 요구할 수 있습니다. 프로필·콘텐츠는 서비스 안에서 직접 수정·삭제할 수 있고, 계정 삭제(탈퇴)도 내 페이지 편집 화면의 계정 탈퇴로 즉시 할 수 있습니다. 그 밖의 요구는 아래 연락처로 이메일을 보내 주십시오. 운영자는 본인 확인 후 입력 필요: 처리 기한, 예: 10일 이내에 처리하고 결과를 알립니다.
크레딧·밴드 초대로 이름·이메일이 입력된 분(회원이 아니어도)은 같은 방법으로 삭제·처리정지를 요구할 수 있습니다.

2-1. [도입 시] 게시물·댓글·추천서로 사생활 침해·명예훼손 등 권리를 침해당한 분은 각 글의 "신고" 버튼 또는 위 연락처로 삭제·반박내용 게재를 요청할 수 있으며, 운영자는 이용약관 제18조의 절차(지체 없는 삭제 또는 30일 이내 임시조치, 신청인·작성자 통지)에 따라 처리합니다.

요구는 대리인을 통해서도 할 수 있으며, 이때 위임장을 요청할 수 있습니다.
서비스는 만 14세 이상만 가입할 수 있습니다. 만 14세 미만 아동의 정보가 수집된 사실을 알게 되면 지체 없이 삭제합니다.
운영자는 이용자의 요구가 다른 법령에 따라 제한되는 경우 그 사유를 알립니다.

9. 인터넷 접속정보파일 등 자동 수집 장치의 설치·운영과 거부

서비스는 로그인 상태 유지를 위한 인증 세션 쿠키(Supabase Auth, sb-* 이름), 편집 중인 프로필을 기억하는 쿠키, 그리고 처음 방문한 경로를 30일간 기억하는 유입 경로 쿠키(introing_src, 2-2항)를 사용합니다. 외부 광고·분석 서비스의 쿠키는 사용하지 않습니다.
브라우저 설정에서 쿠키를 거부할 수 있으나, 거부하면 로그인이 유지되지 않아 편집 기능을 쓸 수 없습니다.
회원이 붙인 외부 임베드(YouTube, Instagram 등)는 방문자가 해당 요소를 재생·클릭할 때 그 플랫폼의 쿠키·추적이 작동할 수 있으며, 이는 각 플랫폼의 방침을 따릅니다.

10. 개인정보의 안전성 확보 조치

비밀번호는 해시로 저장(Supabase Auth), 모든 통신은 HTTPS.
데이터베이스 행 단위 접근 제어(RLS)로 본인·편집자 외에는 비공개 데이터를 읽지 못하게 하고, 상태 변경은 서버 함수(RPC)로만 처리.
업로드 이미지의 EXIF·GPS 메타데이터 제거, 공개 페이지의 이메일 주소 난독화.
운영자만 관리 권한(서비스 롤 키)을 보유하며, 키는 환경 변수로 분리 보관.
관리자(서비스 롤) 접근 기록은 현재 Supabase가 제공하는 로그(2-2의 보관 기간)로만 남습니다. 입력 필요: 개인정보 보호법 제29조(내부 관리계획 수립·접속기록 보관 등 대통령령이 정하는 안전조치)를 1인 운영에서 어떻게 갖출지 — 시행령·고시가 요구하는 접속기록 보관 기간은 이번에 확인 못 함

11. 개인정보 보호책임자와 문의처

개인정보 보호책임자: 입력 필요: 성명 (입력 필요: 직책 — 1인 운영이면 "운영자")
이메일: introing.contact@gmail.com
이용자는 서비스 이용 중 생긴 개인정보 관련 문의·불만·피해구제 요청을 위 연락처로 보낼 수 있으며, 운영자는 지체 없이 답변·처리합니다.

12. 권익침해 구제 방법

개인정보 침해에 대한 신고·상담은 다음 기관에 할 수 있습니다.

개인정보침해 신고센터 (국번 없이) 118, https://privacy.kisa.or.kr
개인정보 분쟁조정위원회 1833-6972, https://www.kopico.go.kr
대검찰청 사이버수사과 (국번 없이) 1301 · 경찰청 사이버수사국 (국번 없이) 182 입력 필요: 이 두 번호는 이번에 확인 못 함 — 게시 전 각 기관 사이트에서 재확인

(118·1833-6972와 두 사이트 주소는 2026-09-26 찾기쉬운 생활법령정보 「정보주체의 개인정보 침해 신고 및 분쟁조정 신청」 페이지 검색 결과로 확인.)

13. 개인정보처리방침의 변경

이 방침은 입력 필요: 시행일부터 적용됩니다.
내용이 바뀌면 시행 7일 전(이용자 권리에 중요한 변경은 30일 전)부터 서비스 안에 공지하고, 이전 버전은 이 페이지 아래에 보관해 비교할 수 있게 합니다.
변경 이력: v0.1 (2026-09-26) 초안 작성 · v0.2 (2026-09-26) 로그·백업 보관 기간, Vercel 리전, 공개 저장소 파일 접근, 신고기관 연락처 확인값 반영 · v0.3 (2026-09-27) 게시물·댓글·추천서·헤더 학교/지역·추천 목록 항목을 [도입 시]로 추가.