개인정보 처리방침

회사는 다음 목적으로만 개인정보를 처리하며, 목적이 바뀌면 미리 알리고 필요한 경우 별도의 동의를 받습니다.

• 서비스 제공 — 계정 인증과 로그인 유지, 이용자가 고른 모델을 호출해 답변을 만들어 전달, 대화와 파일의 보관·조회·검색, 올린 문서에서 질문과 관련된 부분 찾기, 이미지·영상·발표 자료·회의록 등 이용자가 요청한 결과물 만들기, 이용자가 켠 경우 기억(메모)을 답변에 반영하기
• 크레딧 관리 — 월 지급, 사용량에 따른 차감, 쿠폰 등록, 구매 주문 접수와 잔액 정산
• 기관 관리 — 기관 관리자에게 구성원 명단(이름·이메일·역할·그룹)과 구성원별·모델별 사용량과 원가 집계를 제공. 이 집계에 대화 본문은 포함되지 않습니다.
• 서비스 운영과 안전 — 요청 한도 관리, 로그인 시도 제한, 오류 대응, 접속기록의 보관과 점검
• 법령상 의무 이행 — 정산 기록과 접속기록을 법령이 정한 기간 동안 보존
• 도입 문의 응대 — 소개 페이지로 받은 도입 문의의 접수와 회신

입력받지 않는 정보와 자동으로 막는 정보

주민등록번호·외국인등록번호·여권번호 등 고유식별정보와 신용카드 번호, 계좌번호를 입력받는 항목은 서비스에 없습니다. 다만 이용자가 대화나 파일에 직접 넣은 내용은 그대로 처리되며, 회사가 자동으로 막거나 가리는 것은 다음 두 가지뿐입니다.

• 질문에 주민등록번호·외국인등록번호로 보이는 번호가 있으면 저장하거나 모델 사업자에게 보내기 전에 돌려보냅니다.
• 올린 문서에 있는 그런 번호는 검색과 답변에 쓰는 본문에서 뒷자리를 가립니다. 원본 파일은 그대로 보관되며 올린 사람만 내려받을 수 있습니다.

그 밖의 개인정보(이름·연락처·건강 정보 등)는 자동으로 걸러 내지 않습니다. 대화와 파일에 다른 사람의 개인정보나 민감한 정보를 넣지 마시기 바랍니다.

녹음과 음성

회의록 기능에 올린 녹음은 회의록을 만드는 데에만 쓰고 저장하지 않습니다. 모델 사업자에게 보낸 뒤 버리며, 남는 것은 만들어진 회의록뿐입니다. 음성 대화에서 말한 소리는 이용자의 브라우저가 글로 바꾸며 회사 서버에는 글만 전달됩니다. 브라우저가 소리를 처리하는 방식은 그 브라우저 제공자의 방침을 따릅니다.

쿠키와 브라우저 저장소

서비스는 쿠키를 쓰지 않습니다. 로그인 상태를 유지하는 인증 값, 화면 언어와 테마, 마지막으로 고른 모델을 이용자 브라우저의 저장소(localStorage)에 둡니다. 인증 값은 요청할 때 함께 보내 본인 확인에 쓰고, 나머지 값은 다음 방문 때 같은 화면을 보여 주는 데에만 씁니다. 광고나 방문 분석을 위한 도구를 쓰지 않으며 행태정보를 수집하지 않습니다. 브라우저 설정에서 이 사이트의 데이터를 지우면 저장된 값이 사라지고 로그인 상태가 풀립니다.

만 14세 미만 아동

서비스는 기관이 발급한 계정으로만 이용할 수 있으며, 회사는 만 14세 미만 아동의 개인정보를 처리하지 않는 것을 원칙으로 합니다. 만 14세 미만 아동이 구성원에 포함된 기관에는 법 제22조의2에 따른 법정대리인 동의 절차를 그 기관과의 계약에서 정해 갖춘 경우에만 서비스를 제공합니다.

법 제21조에 따라 보유기간이 지나거나 처리 목적을 달성한 개인정보는 파기하며, 법령이 보존을 요구하는 기록은 그 기간 동안 보존합니다. 법령이 보존 기간을 정하지 않은 항목은 기관과의 계약에서 아래보다 짧은 기간을 정할 수 있고, 그 경우 계약을 따릅니다.

회사는 이용자의 개인정보를 제3자에게 제공하지 않습니다. 법령에 따라 수사기관 등이 적법한 절차로 요구하는 경우에만 그 범위에서 제공합니다.

기관의 관리자에게는 §1의 구성원 명단과 사용량·원가 집계가 제공됩니다. 이는 기관이 자기 구성원의 이용 현황과 지출을 관리하기 위한 것이며, 대화 본문은 포함되지 않습니다. 답변을 만들기 위해 이용자가 입력한 내용이 국외 사업자에게 전송되는 것은 §5와 §6에 따로 적었습니다.

회사는 서비스를 제공하기 위해 다음 업무를 외부 사업자에게 맡깁니다.

수탁자별로 전송하는 항목과 국가는 §6에 적었습니다(표 A의 주식회사 업스테이지는 국내 사업자입니다). 현재 서버 호스팅과 결제 대행은 외부 사업자에게 맡기지 않습니다. 수탁자나 위탁 업무가 바뀌면 이 표를 고치고 시행 전에 이 페이지에 알립니다.

법 제28조의8에 따른 고지입니다. 답변과 결과물을 만들려면 이용자가 입력한 내용이 모델을 운영하는 사업자에게 전송되고, 그 사업자 대부분이 국외에 있습니다. 도입 문의는 회사의 업무 메일로 전달되며 그 메일 서비스(Google Workspace)도 국외 사업자의 것입니다.

이전 항목·시기·방법

• 모델 호출로 이전하는 항목 — 이용자가 요청한 작업에 필요한 내용만 보냅니다. 질문과 그 대화의 최근 20개 메시지(역할과 본문), 그 대화에 붙인 이미지(최근 4장까지), 올린 문서의 내용(질문과 관련된 부분, 또는 요약·학습 자료 만들기처럼 문서 자체를 다루는 기능에서는 문서 본문), 챗봇·프로젝트의 지시문, 이용자가 켠 기억 메모, 이미지·영상 생성의 설명과 참고 이미지, 회의록 기능에 올린 녹음, 검색용 색인을 만들 문서 조각, 대화 제목과 기억 후보를 만들기 위한 질문과 답변입니다. 웹 검색을 켜면 OpenRouter를 거쳐 그 질문으로 웹을 검색합니다. 이용자의 이메일·이름·계정 식별자·소속 기관은 보내지 않습니다.
• 도입 문의로 이전하는 항목 — 기관명, 담당자 이름, 회신 이메일, 예상 사용 규모, 문의 내용, 접수 시각
• 이전 시기와 방법 — 모델 호출은 이용자가 질문하거나 생성·색인을 요청할 때마다 암호화된 연결(HTTPS)의 API 호출로 전송합니다. 도입 문의는 접수될 때마다 암호화된 연결(TLS)로 메일을 보냅니다. 요청과 상관없이 자료를 모아 넘기거나 정기적으로 일괄 전송하지 않습니다.
• 이전 국가 — 중국, 프랑스, 싱가포르, 미국. 아래 세 표에 적은 수령자의 소재지를 합한 것입니다.

표 A — 회사가 직접 호출하는 수령자

표 B — OpenRouter가 재위탁하는 수령자 15곳

OpenRouter는 요청을 중개하는 사업자이며, 실제로 답변을 만드는 곳은 아래 15곳 중 하나입니다. 회사는 요청이 이 목록 밖으로 나가지 않도록 허용 목록을 걸고, 데이터를 저장하거나 학습에 쓰는 사업자에게는 보내지 않도록 하는 설정(data_collection: deny)을 함께 보냅니다. 올린 문서의 색인 요청도 같습니다. 다만 아래 ‘영상 생성’의 요청은 예외입니다.

‘미보고’는 제공자가 본사나 데이터센터 소재지를 공개하지 않아 확인되지 않은 칸입니다. 회사는 확인되지 않은 국가를 추정해 적지 않습니다.

표 C — 도입 문의 메일의 수령자

영상 생성

영상 생성 요청(설명과 첫 장면으로 붙인 이미지)도 OpenRouter를 거치지만, OpenRouter의 영상 생성 요청에는 처리 사업자를 고르거나 데이터 수집을 거부하는 설정이 없어 표 B의 허용 목록이 적용되지 않습니다. 영상에는 이용자가 고른 영상 모델(Google·Alibaba·xAI·OpenAI의 모델)을 쓰며, 그 모델을 처리하는 사업자는 OpenRouter가 정합니다. 영상 생성의 설명과 첫 장면 이미지에는 개인정보를 넣지 마시기 바랍니다.

그 밖에 외부로 보내는 요청

논문 찾기에서 입력한 검색어는 논문 데이터베이스 OpenAlex에 보내 결과를 받아 옵니다. 이때 이용자의 계정 정보는 함께 보내지 않습니다.

수령자의 이용 목적과 보유·이용 기간

• 이용 목적 — 모델 사업자는 전송받은 내용으로 답변·결과물·색인을 만들어 돌려주고, OpenRouter는 요청을 모델 사업자에게 전달하며, Google LLC는 도입 문의 메일을 전달·보관합니다.
• 보유·이용 기간 — 모델 사업자와 OpenRouter는 각자의 약관과 개인정보처리방침에서 정한 기간 동안 보유합니다(표 B의 링크). 도입 문의 메일은 표 C의 기간을 따릅니다.
• 연락처 — 각 수령자의 개인정보처리방침에 적힌 문의처로 연락할 수 있습니다.

이전을 거부하는 방법과 효과

국외 이전을 원하지 않으시면 §11의 연락처로 알려 주십시오. 답변과 결과물은 국외 사업자를 거쳐야만 만들 수 있어, 거부하시면 이 기능들을 이용할 수 없습니다. 원하시면 계정 파기를 함께 요청하실 수 있습니다. 도입 문의는 회사의 업무 메일로만 접수하고 회신하므로, 문의 정보의 이전을 거부하시면 문의를 접수할 수 없습니다.

이용자는 언제든지 자신의 개인정보에 대해 열람, 정정, 삭제, 처리정지를 요구할 수 있습니다. 만 14세 미만 아동의 경우 법정대리인이 대신 행사할 수 있습니다.

• 화면에서 직접 할 수 있는 것 — 대화 열람과 삭제(한 건씩 또는 전부), 모든 대화 내려받기, 대화 보관 기간 정하기, 올린 파일과 기억 메모 삭제, 비밀번호 변경. 삭제한 대화의 본문은 실제로 지워집니다(§8).
• 요청으로 처리하는 것 — 계정 정보의 정정, 계정 파기, 처리정지와 그 밖의 열람 요구는 §11의 연락처로 요청해 주십시오. 요청을 받은 날부터 10일 이내에 조치하고 결과를 알려 드립니다.
• 소속 기관이 개인정보처리자인 경우에는 기관의 담당 부서로도 요청할 수 있습니다.
• 법령이 보존을 요구하는 기록(§3의 이용 기록·크레딧 원장·구매 주문과 접속기록)은 삭제를 요구하셔도 그 보존 기간 동안에는 지우지 않고 보존합니다(법 제21조 제1항 단서).

• 대화 삭제 — 이용자가 대화를 삭제하거나 보유기간이 지나 파기하면 그 대화의 질문과 답변이 데이터베이스에서 실제로 삭제됩니다. 같은 대화에 딸린 이용 기록은 대화와의 연결만 끊고 토큰 수와 금액만 남습니다. 정산 근거는 남기고 개인정보는 지우기 위한 구조입니다.
• 파기 방법 — 전자적 파일 형태의 개인정보는 데이터베이스와 파일 저장소에서 삭제합니다. 종이로 출력해 보관하는 개인정보는 없습니다.
• 정기 파기 — 보유기간이 지난 개인정보는 매월 정기 파기 절차로 파기합니다. 파기하기 전에 무엇이 몇 건 지워지는지 먼저 세어 확인합니다. 이용자가 정한 대화 보관 기간과 시크릿 대화는 매일 정리합니다.
• 계정 파기 — 졸업·퇴직 등 자격 상실이나 본인 요청으로 계정을 파기할 때에는 대화·파일·프로젝트·개인 설정·로그인 세션 등을 지우고, 계정에는 이름·이메일·비밀번호가 없는 식별 번호만 남깁니다. 무엇을 언제 파기했는지는 기록으로 보관합니다. 자격 상실은 기관이 알려 주시면(갱신한 구성원 명단으로 알려 주셔도 됩니다) 처리합니다.
• 백업본 — 데이터베이스 백업본은 최근 14회분만 보관하고, 새 백업을 만들 때 그보다 오래된 백업본을 지웁니다. 그래서 파기한 정보도 이후 14회의 백업이 쌓일 때까지 백업본 안에 남을 수 있으며, 백업본은 복구 외의 목적으로 쓰지 않습니다.

회사는 「개인정보의 안전성 확보조치 기준」에 따라 다음 조치를 하고 있습니다. 갖추지 않은 조치를 갖춘 것처럼 적지 않기 위해 아직 갖추지 못한 것도 함께 적습니다.

적용하고 있는 조치

• 비밀번호와 인증 값 — 비밀번호는 bcrypt 해시로만 저장하며 평문이나 복호화할 수 있는 형태로 보관하지 않습니다. API 키와 계정 활성화 토큰도 해시로만 저장합니다.
• 전송 구간 암호화 — 이용자와 서비스 사이, 서비스와 모델 사업자 사이는 HTTPS(TLS)로, 도입 문의 메일은 TLS로 암호화해 전송합니다.
• 접근 통제 — 로그인 실패가 이어지면 시도를 제한하며, 이 기록에 이메일 원문을 남기지 않습니다. 30분 동안 이용이 없으면 로그인을 자동으로 끊고, 로그인은 최대 12시간까지만 유지합니다. 로그아웃하면 서버에서 그 로그인을 즉시 끊고, 비밀번호를 바꾸거나 기관 관리자가 로그인 끊기를 하면 모든 기기의 로그인과 API 키가 함께 끊깁니다.
• 기관 간 분리 — 조회에 소속 기관 조건을 걸어 다른 기관의 자료에 접근할 수 없게 하고, 관리자 기능은 관리자 권한과 소속 기관을 확인한 뒤에만 쓸 수 있습니다.
• 접속기록 — 접속기록을 2년간 보관하며, 기록을 고치거나 2년이 지나기 전에 지우는 요청은 데이터베이스가 거부합니다. 매월 접속기록을 점검해 로그인 실패가 몰린 곳, 관리자의 작업, 내보내기와 대량 요청 등을 확인하고 그 결과를 보관합니다.
• 고유식별정보 — 질문의 주민등록번호·외국인등록번호는 저장·전송 전에 막고, 올린 문서의 그런 번호는 가립니다(§2).
• 대화 본문의 노출 최소화 — 서버 로그와 접속기록에 대화 본문을 남기지 않고, 외부 사업자가 보낸 오류 문구는 길이를 잘라 기록합니다. 모델을 호출할 때 이용자 식별자를 함께 보내지 않습니다.
• 보안 헤더 — 보안 관련 응답 헤더를 적용해 다른 사이트가 서비스 화면을 틀(iframe) 안에 넣지 못하게 합니다. 웹페이지에 넣도록 공개한 챗봇 링크만 예외입니다. 운영 환경에서는 API 문서를 공개하지 않습니다.
• 비밀 설정값과 백업본 — 서비스의 비밀 설정값은 서버에만 두고, 설정 파일과 백업본은 소유자만 읽을 수 있는 권한으로 보관합니다.

아직 갖추지 못한 조치

• 접속기록 관리 권한의 분리 — 지금은 데이터베이스 관리 권한으로 접속기록 전체를 지울 수 있습니다. 서비스가 쓰는 권한과 관리 권한을 나누는 조치는 운영 환경을 구축할 때 적용할 예정입니다.
• 백업본의 암호화와 다른 장소 보관 — 백업본은 서비스 서버 안에만 있고 암호화하지 않았으며, 백업 일정도 자동화하지 않았습니다. 다른 장소 보관은 운영 환경을 구축할 때 도입할 예정입니다.
• 그 밖의 개인정보 자동 차단 — 주민등록번호·외국인등록번호 외의 개인정보는 자동으로 걸러 내지 않습니다.
• 영상 생성의 허용 목록 — 영상 생성 요청에는 허용 목록과 데이터 수집 거부 설정을 적용하지 못합니다. 중개 사업자의 영상 요청에 그 설정이 없습니다(§6).

회사는 위 항목을 개선 과제로 관리하며, 조치를 갖추면 이 방침을 고쳐 알립니다.

회사는 이용자에게 법적 효력이나 그에 준하는 영향을 미치는 완전히 자동화된 결정을 하지 않습니다. 서비스가 만들어 내는 것은 이용자의 질문에 대한 생성형 인공지능의 답변이며, 그 답변은 이용자를 평가하거나 이용자에 관한 처분을 정하지 않습니다.

답변을 사람에 대한 평가·선발에 쓰는 것은 이용약관 제7조에서 금지하고 있습니다.

개인정보 처리에 관한 문의, 열람·정정·삭제·처리정지 요구, 불만과 피해 구제 요청은 아래 개인정보 보호책임자에게 보내 주십시오.

권익침해 구제 방법

회사의 처리에 대해 다투고 싶다면 아래 기관에 분쟁 조정이나 상담을 신청할 수 있습니다. 회사와 별개인 기관들입니다.

• 개인정보분쟁조정위원회 — kopico.go.kr
• 개인정보침해 신고센터 — privacy.kisa.or.kr
• 개인정보보호위원회 — pipc.go.kr

이 방침을 바꿀 때에는 변경 내용과 시행일을 시행 전에 이 페이지에 게시합니다. 이용자에게 불리하게 바뀌는 경우에는 시행 전에 서비스 화면으로도 알립니다. 지난 판의 변경 내용은 아래 변경 이력에 남깁니다.

이 방침은 2026년 9월 27일부터 시행합니다.

변경 이력