개인정보 처리방침

들어가며

주식회사 어프리시에이션(이하 "회사")은 이용자의 개인정보를 소중하게 생각하며, 「개인정보 보호법」을 지킵니다. 이 방침은 회사가 운영하는 경영지원 서비스(ecdrb.com, 이하 "서비스")에 적용됩니다.

개인정보를 처리하는 회사

• 상호: 주식회사 어프리시에이션
• 대표자: 양은숙
• 사업자등록번호: 377-88-03088
• 주소: 서울특별시 도봉구 마들로11길 65, 503-비19호(창동, 유진빌딩)

1. 개인정보를 무엇에 쓰나요 (처리 목적)

회사는 아래 목적으로만 개인정보를 씁니다. 목적이 바뀌면 미리 알리고 동의를 받습니다.

2. 어떤 정보를 모으나요 (처리하는 개인정보의 항목)

회사가 처리하는 개인정보는 위 1번의 처리 목적에 필요한 최소한입니다. 목적에 필요하지 않은 정보는 모으지 않고, 목적이 없어지면 3·4번에 따라 파기합니다.

가입하고 로그인할 때

• 이름, 휴대폰번호, 이메일
• 간편로그인(네이버·카카오·구글·애플)을 쓰면 그 서비스가 주는 식별값과 표시 이름·이메일
• 본인확인을 하면 본인확인기관이 주는 연계정보(CI·DI)
• 접속 기록 — 접속 일시, 접속한 곳의 IP 주소, 사용한 기기·브라우저 정보

서비스를 쓰는 동안

• 주민등록번호 — 급여 계산과 세금·4대보험 신고에 법이 요구합니다
• 계좌번호 — 급여 이체와 거래처 대금 지급에 씁니다
• 공동인증서 등 기관 접속 정보 — 기관 신고·조회에 씁니다
• 직원 정보 — 이름, 생년월일, 연락처, 입사일·퇴사일, 4대보험 가입 정보
• 거래처 담당자 정보 — 대표자명, 담당자 이름·연락처·이메일, 예금주
• 출퇴근 기록, 근로계약·급여·휴가·재직증명 등 인사 서류
• 회사가 문서함에 올리는 서류의 내용

출퇴근 위치에 대해 — 회사는 위치를 저장하지 않습니다

휴대폰 앱이 회사 반경 안인지 밖인지를 기기 안에서 판정하고, 회사 서버에는 '반경 안 / 반경 밖 / 확인 불가'와 정확도 등급만 남습니다. 위도·경도·주소·미터 단위 정확도는 받지도 저장하지도 않습니다.

3. 얼마나 보관하나요 (처리 및 보유 기간)

원칙: 목적을 이루면 지체 없이 파기합니다(개인정보 보호법 제21조제1항).

다만 다른 법이 보관하라고 정한 것은 그 기간 동안 보관합니다(같은 항 단서). 아래가 그 목록이고, 근거 조문과 보관하는 서류를 함께 적습니다 (법 제30조제1항제3의2호가 "보존근거와 보존하는 개인정보 항목을 포함" 하도록 요구합니다).

보관 기간은 위 표의 「언제부터 세나」가 정해진 뒤부터 셉니다. 그 날이 아직 오지 않은 서류(예: 재직 중인 직원의 근로계약서)는 그 날이 정해진 뒤부터 셉니다.

법이 아니라 회사가 정한 보관 기간

아래는 법이 기간을 정해 준 것이 아니라 회사가 정한 기간입니다. 위 표와 갈라서 적습니다.

4. 어떻게 파기하나요 (파기절차 및 파기방법)

방법: 전자 파일은 복구·재생할 수 없는 방법으로 지웁니다. 종이 문서는 분쇄하거나 소각합니다 (개인정보 보호법 제21조제2항 — "복구 또는 재생되지 아니하도록 조치"). 보관 기간이 남은 정보는 다른 정보와 분리해서 저장·관리합니다(같은 조 제3항).

절차는 자료의 종류에 따라 나뉩니다.

• 가져오기 임시 자료(은행 명세 등을 올릴 때 잠깐 생기는 중간 자료) — 보관 기간(기본 7일)이 지나면 지웁니다.

올린 파일 자체는 애초에 저장하지 않습니다.

• 문서함의 원본(근로계약서·급여명세서 등) — 자동으로 지우지 않습니다.

보관 기간이 지난 것을 세어서 담당자에게 알리고, 담당자가 확인해 파기를 요청하고 승인을 받은 뒤 지웁니다. 되돌릴 수 없는 자료이므로 사람의 확인을 반드시 거칩니다.

• 계정과 직원 정보 — 지워 달라는 요구를 받으면 담당자가 확인해 처리합니다(아래 11번).

다른 법이 보관하라고 정한 것은 그 기간이 지난 뒤에 지웁니다.

무엇을 언제 왜 지웠는지는 기록으로 남깁니다. 그 기록은 나중에 고치거나 지울 수 없으며, 지운 내용 자체는 남기지 않습니다(건수와 적용한 규칙만 남깁니다).

5. 제3자에게 주나요 (제3자 제공)

회사는 이용자의 개인정보를 제3자에게 제공하지 않습니다. 법에 특별한 규정이 있거나 이용자가 동의한 경우에만 제공하며, 그때는 미리 알리고 동의를 받습니다.

6. 남에게 맡기나요 (처리위탁)

서비스 제공에 필요한 범위에서 아래 업무를 외부에 맡기고 있습니다. 맡긴 곳이 개인정보를 안전하게 다루도록 계약으로 정하고 관리·감독합니다.

서류에서 글자를 읽어 입력을 대신하는 기능은 회사 서버 안에서 처리하며, 서류 이미지를 밖으로 보내지 않습니다. 바깥 판독 서비스를 쓰게 되면 그 회사 이름과 나가는 정보를 이 표에 먼저 적고 미리 알려 드린 뒤에 씁니다.

7. 해외로 보내나요 (국외 이전)

서버와 자료 보관은 국내(서울)에 둡니다.

다만 서비스에 접속하는 길 하나가 아래와 같이 국외를 지납니다.

이전의 근거: 아래는 이용자와 맺은 계약을 이행하는 데 필요한 처리위탁·보관에 따른 이전입니다 (개인정보 보호법 제28조의8제1항제3호). 그래서 별도 동의를 받지 않는 대신, 같은 법 시행령 제31조제1항제2호에 따라 이전의 근거와 아래 사항을 모두 적습니다.

보유·이용 기간에 대해: 이 회사는 고정된 날짜 수를 공개하지 않고, 이용 목적을 이룰 때까지와 법이 보관을 요구하는 기간을 기준으로 삼는다고 자사의 개인정보 처리방침에서 밝히고 있습니다. 그래서 회사도 지어낸 숫자를 적지 않고 그 기준을 그대로 적습니다.

거부하실 수 있습니다 — 다만 접속 경로(클라우드플레어)는 서비스 접속에 반드시 쓰이므로, 거부하시면 서비스를 이용하실 수 없습니다. 거부 의사는 아래 12번의 연락처로 알려 주시면 됩니다.

간편로그인(네이버·카카오·구글·애플)은 국외 이전이 아닙니다. 회사가 그 회사들에 이용자의 개인정보를 보내는 것이 아니라, 이용자가 그 서비스로 본인임을 확인하면 그 결과로 받은 계정 식별값을 회사가 받는 것입니다. 받는 항목은 위 2번에 적었습니다.

인공지능 서비스로 개인정보를 보내는 경로는 없습니다.

8. 쿠키를 쓰나요 (자동으로 수집하는 장치)

로그인 상태를 유지하기 위한 쿠키 하나만 씁니다.

• 이름: tax_session — 로그인한 사람이 누구인지 확인하는 용도입니다.
• 이 쿠키는 브라우저의 스크립트가 읽을 수 없도록 설정되어 있습니다(httpOnly).
• 광고·분석 목적의 추적 도구는 쓰지 않습니다.

거부하는 방법: 브라우저 설정에서 쿠키를 거부할 수 있습니다. 다만 로그인 유지에 쓰이는 쿠키이므로 거부하면 로그인할 수 없습니다.

9. 가명정보를 쓰나요

해당 없음. 회사는 가명처리(개인정보의 일부를 지우거나 바꿔 누구인지 알 수 없게 만드는 것)를 하지 않습니다.

10. 어떻게 지키나요 (안전성 확보조치)

• 중요한 정보는 암호화해서 저장합니다 — 주민등록번호·계좌번호·공동인증서 등을 AES-256-GCM 방식으로 암호화합니다.
• 비밀번호는 되돌릴 수 없는 방식(argon2id)으로 저장합니다.
• 두 번째 인증(2단계 인증) — 다른 사람의 정보나 돈에 닿을 수 있는 권한(총관리자·관리자·담당자·자문·열람 권한)에는

비밀번호 외에 6자리 확인을 한 번 더 요구합니다. 본인 정보만 보는 직원 계정에는 강제하지 않고, 본인이 원하면 스스로 켤 수 있습니다 — 켠 뒤에는 그 계정에도 6자리 확인을 요구합니다.

• 권한을 나눠 자기 회사·자기 업무 범위 밖의 정보에는 접근할 수 없게 합니다.
• 누가 무엇을 보고 바꿨는지 기록하고, 그 기록은 고치거나 지울 수 없습니다.
• 주민등록번호·계좌번호를 열어 볼 때는 사유를 남겨야 하고, 그 열람은 따로 감시합니다.
• 기록에 개인정보가 남지 않도록 가리는 장치를 둡니다.
• 서버와 자료는 아마존웹서비스의 데이터센터에 두어 그 회사의 물리적 보호를 받습니다(위 6번 위탁).

회사 사무실에 개인정보가 담긴 서버나 저장장치를 따로 두지 않습니다.

• 프로그램의 알려진 보안 취약점을 정기적으로 점검하고, 발견되면 고치기 전에는 배포하지 않습니다.

11. 이용자의 권리와 행사 방법

이용자(만 14세 미만 아동은 법정대리인)는 언제든지 아래를 요구할 수 있습니다.

어떻게 요구하나요

• 아래 12번의 연락처 로 알려 주시면 됩니다 — 전화 또는 이메일입니다.
• 대리인이 요구할 때는 위임장을 내야 합니다(시행령 제45조제2항).
• 요구하신 분이 본인인지 확인합니다(시행령 제46조제1항).

언제까지 처리하나요

• 열람 요구: 10일 이내(시행령 제41조제4항)
• 정정·삭제 요구: 10일 이내에 결과를 알려 드립니다(시행령 제43조제3항)
• 처리정지 요구: 10일 이내에 결과를 알려 드립니다(시행령 제44조제2항)
• 요구를 거절하는 경우에도 그 사유를 지체 없이 알려 드립니다(법 제36조제4항·제37조제4항)

지울 수 없는 것도 있습니다 — 위 3번 표의 서류처럼 다른 법이 보관하라고 정한 것은 그 기간 동안 지울 수 없습니다 (법 제36조제1항 단서·제21조제1항 단서). 이때도 왜 못 지우는지를 알려 드립니다.

요구를 거절당해 이의가 있으면 아래 13번의 구제 절차를 이용하실 수 있습니다(법 제38조제5항).

12. 개인정보 보호책임자와 문의처

개인정보 처리에 관한 문의·불만·피해구제는 아래로 연락하시면 지체 없이 답변드립니다.

개인정보 보호책임자

• 성명: 양은숙
• 전화: 010-9721-4301
• 이메일: ecdrb9@gmail.com

개인정보 열람청구를 접수·처리하는 부서

• 개인정보 보호책임자가 함께 접수·처리합니다(위 연락처와 같습니다).

13. 권익을 침해당했다면 (구제 방법)

회사와 해결되지 않으면 아래 기관에 상담·신고하실 수 있습니다.

또한 개인정보처리자의 처분에 대해 행정심판을 청구할 수 있습니다.

14. 이 방침이 바뀌면

이 방침을 바꿀 때는 바뀌는 내용과 시행일을 홈페이지에 미리 올려 알려 드립니다.