개인정보 처리방침

월하랑 개인정보 처리방침

상태: 초안 v0.1 (2026-07-29) — 법률 자문 미완료 상태로 실서비스 적용(대표 확정 2026-07-29)

이 문서는 법률 자문 없이 작성됐다. 대표가 그 상태로 실서비스에 적용하기로 결정했으며, 이 결정은 docs/principles.md 원칙 4의 *"법률 자문 완료 전 실사용자 트래픽 미노출"*을 개정하는 것이다(개정 필요 — export/decision-log.md 참조).

본문의 `[[ ]]` 표시는 대표만 채울 수 있는 사실이다. 비운 채로 게시하면 안 된다 — 사업자 정보·개인정보 보호책임자는 법정 필수 기재사항이라 빈칸이면 그 자체로 위반이다.

[자문 요망] 표시는 변호사 확인이 필요한 지점이다. 자문을 나중에 받더라도 이 표시를 지우지 말고, 확인된 항목만 하나씩 지운다.

플레이크(주식회사 [[상호]], 이하 "회사")는 월하랑 서비스(이하 "서비스")를 운영하며, 「개인정보 보호법」에 따라 이용자의 개인정보를 보호하고 관련 고충을 신속하게 처리하기 위해 다음과 같이 개인정보 처리방침을 수립·공개합니다.

• 시행일: [[YYYY-MM-DD]]
• 이 버전: v0.1

0. 서비스의 성격 (중요)

월하랑은 의료기기가 아니며 의료 서비스가 아닙니다.

• 서비스는 진단·처방·치료를 제공하지 않습니다. 이용자의 상태를 정의하거나 평가하지 않습니다.
• 캐릭터(월하랑·사부랑)의 응답은 AI가 자동 생성한 것으로 부정확할 수 있습니다.
• 건강에 관한 판단은 반드시 의사 등 자격을 갖춘 전문가와 상담하시기 바랍니다.
• 응급 상황에서는 서비스에 의존하지 마시고 즉시 119 또는 112에 연락하십시오.

서비스에서 제공하는 마음 자가 체크(PHQ-8·SWLS)는 선별(screening) 도구이며 진단이 아닙니다. 결과가 어떤 상태를 확정하지 않습니다.

1. 처리하는 개인정보 항목

1-1. 회원가입 시 (필수)

실명·전화번호·주소·생년월일·주민등록번호는 수집하지 않습니다. 닉네임은 가입 시 자동 생성되며(예: 달빛a1b2c3…) 이용자가 변경할 수 있습니다.

1-1-2. 소셜 로그인(Google)을 이용하는 경우

이용자가 Google 계정으로 로그인하면, 회사는 이용자가 Google 화면에서 동의한 범위에 한해 다음을 Google로부터 전달받습니다(개인정보 보호법 제15조 — 정보주체 동의).

• 비밀번호는 받지 않습니다. 회사는 이용자의 Google 비밀번호를 알 수 없습니다.
• Google이 나이를 알려주지 않으므로, 성인 여부(만 19세 이상)는 소셜 로그인이어도 이용자 자기 신고로 별도 확인합니다. 확인하지 않으면 서비스를 이용할 수 없습니다.
• 이용자는 Google 계정 설정에서 언제든 이 연결을 해제할 수 있습니다.
• 소셜 로그인을 쓰지 않고 이메일·비밀번호로 가입하는 방법도 계속 제공합니다.

[자문 요망] Google이 실제로 전달하는 필드는 요청 범위(scope)와 Google 정책에 따라 달라집니다. 위 표는 기본 범위(email, profile) 기준으로 적었으며, 실제 응답을 확인해 항목을 정확히 맞춰야 합니다. 범위를 넓히면 이 표도 함께 넓혀야 합니다.

[자문 요망] Google LLC는 국외 사업자입니다. 다만 이 흐름은 회사가 개인정보를 국외로 이전(제공·처리위탁·보관) 하는 것이 아니라 정보주체 동의로 국외에서 전달받는 것이므로 제28조의8(국외 이전) 대상이 아니라고 보았습니다. 이 판단은 법률 자문으로 확인해야 합니다 — 자문 결과 국외 이전에 해당한다면 별도 동의 절차와 §(국외 이전) 신설이 필요합니다.

1-1-3. 음성 모드를 이용하는 경우

이용자가 말로 입력하는 것을 선택하면, 회사는 그 음성을 텍스트로 바꾸기 위해 국내 수탁자 (네이버클라우드)에 전송합니다(제5-2항).

• 음성 파일을 1년간 보관합니다(대표 확정 2026-07-30 — 분쟁 발생 시 사실관계 확인 목적). 보관 기간이 지나면 지체 없이 파기하며, 보관 중에는 대화 내용과 동일하게 암호화해 저장합니다. 변환된 텍스트도 함께 저장됩니다(제1-2항).
• 목소리는 그 자체로 개인을 알아볼 수 있는 정보(생체인식정보)에 해당할 수 있어, 회사는 이를 민감정보에 준해 다루며 별도의 동의를 받은 경우에만 음성 모드를 제공합니다(제2-2항). 동의하지 않으셔도 글로 입력하는 방식은 그대로 이용할 수 있습니다.
• 음성 모드는 선택입니다. 쓰지 않고 글로만 이용할 수 있습니다.
• 변환된 텍스트도 위기 신호 확인 절차를 동일하게 거칩니다(제4항) — 말로 하셨다고 해서 안전 확인이 느슨해지지 않습니다.

[자문 요망] 목소리는 그 자체로 개인을 알아볼 수 있는 정보가 될 수 있습니다. 회사는 저장하지 않는 설계로 이를 피하려 하지만, 전송 과정 자체가 별도 동의를 요구하는지 법률 자문으로 확인해야 합니다. 또한 수탁자가 변환 품질 개선 목적으로 음성을 보관하지 않도록 위탁계약에 명시했는지 확인해야 합니다.

1-2. 서비스 이용 과정에서 생성되는 정보

회사는 병명·진단명·검사결과·처방·치료이력을 수집하지 않습니다(제2-1항).

암호화 계층 분리: 대화 원문과 위기 신호는 메타 정보와 다른 테이블에 저장되며 식별자(id)로만 연결됩니다. 메타만 조회해서는 내용을 알 수 없습니다.

1-3. 자동으로 수집되는 정보

서비스 접속 시 IP 주소, 브라우저·기기 종류, 접속 일시가 서버 로그로 기록될 수 있습니다. 이는 장애 대응·부정 이용 방지 목적으로만 사용됩니다.

[자문 요망] 자동수집 항목의 정확한 범위는 호스팅 사업자(Supabase·Vercel) 로그 정책에 종속됩니다. 실제 보관 항목·기간을 사업자 문서와 대조해 확정해야 합니다.

2. 민감정보의 처리 (개인정보 보호법 제23조)

2-1. 회사가 수집하지 않는 것 (먼저 밝힙니다)

월하랑은 임상 정보를 수집하지 않습니다. 다음 항목은 입력받지 않으며, 저장할 자리 자체가 없습니다.

• 병명·진단명
• 검사 결과·수치
• 처방 내역·복약 정보
• 치료 이력·수술 이력
• 진료 기록·의료기관 정보

서비스는 이용자에게 병에 관해 묻지 않습니다. 대화는 오늘의 마음과 일상에 관한 것입니다.

⚠️ 유지보수 표시 — 2단계 출시 전 반드시 개정할 것 로드맵 2단계의 신체 증상 자가 체크(REQ-CHK, 현재 미구현)가 들어오면 이용자가 증상을 입력하게 되고, 그 순간 이 §2-1의 "수집하지 않는다"는 서술이 거짓이 된다. 그때 §2-1·§2-2를 함께 고치고 민감정보 별도 동의 항목을 추가해야 한다. (그 기능은 규칙 11에 따라 수진 권유 전용이며 "병원 안 가도 된다" 계열 결론을 내지 않는다 — 그 성격도 처리방침에 함께 적을 것.)

2-2. 별도 동의를 받아 처리하는 것

다음은 「개인정보 보호법」 제23조의 민감정보에 해당할 수 있어, 일반 개인정보 동의와 분리된 별도의 동의를 받은 경우에만 처리합니다.

• 동의 없이 몰래 측정하지 않습니다. 자가 체크는 명시적 동의 후에만 시작됩니다.
• 동의는 언제든지 철회할 수 있습니다(제7항 참조). 철회 시 해당 기능만 중단되며 서비스 전체 이용이 제한되지는 않습니다.
• 각 동의는 동의 시점의 고지 버전과 함께 기록되어, 무엇에 동의했는지 나중에 확인할 수 있습니다.

2-3. 이용자가 스스로 이야기한 내용

대화 내용은 회사가 건강정보를 수집 항목으로 정해 받는 것이 아닙니다. 이용자가 자신의 이야기를 하는 과정에서 건강에 관한 언급이 포함될 수 있으며, 그 범위와 내용은 전적으로 이용자가 정합니다.

회사는 이러한 언급을 별도로 추출하거나 분류하거나 색인하지 않습니다. 대화는 암호화되어 저장되며, 열람은 제4항의 안전 확보 목적에 한합니다.

[자문 요망] 이용자가 자발적으로 말한 건강 관련 언급이 저장될 때, 별도 동의가 필요한지 확인이 필요합니다. 현재 초안은 대화 저장에 대한 동의를 가입 절차에 포함하고, 그 안에 "건강에 관한 언급이 포함될 수 있음"을 고지하는 것을 전제로 합니다.

범위를 좁히는 것이 넓히는 것보다 위험합니다. 넓게 고지하고 별도 동의를 받아둔 뒤 실제로 처리하지 않으면 문제가 없지만, 좁게 고지하고 실제로 처리하면 그 자체가 위반입니다. 이 항목을 축소할 때는 반드시 자문을 거치십시오.

3. 개인정보의 처리 목적

회사는 다음 목적으로만 개인정보를 처리하며, 목적이 변경될 경우 사전에 동의를 받습니다.

1. 회원 식별 및 로그인 — 이메일·비밀번호
2. 정서 케어 대화 제공 — 대화 내용, 대화 메타
3. 마음 자가 체크 제공 및 결과 안내 — 자가 체크 응답·점수 (별도 동의 시)
4. 이야기 카드 생성·보관 — 카드 내용·메타 (별도 동의 시)
5. 안전 확보 — 위기 신호 감지 및 공적 상담 자원 안내(제4항)
6. 성인 전용 서비스 운영 — 만 19세 미만 가입 차단
7. 서비스 장애 대응 및 부정 이용 방지 — 접속 로그

회사는 개인정보를 광고·마케팅에 이용하지 않으며, 이용자 프로파일링에 기반한 광고를 제공하지 않습니다.

4. 안전 확보 목적의 열람 (중요 — 반드시 읽어주십시오)

회사는 대화 내용을 상시로 열람하지 않습니다. 다만 다음의 경우에 한해 기록을 남기고 열람할 수 있습니다.

4-1. 열람하는 경우

• 대화에서 자살·자해와 관련된 표현이 감지되어, 안내가 제대로 이루어졌는지 확인해야 할 때
• 안내 문구·감지 기준의 오작동을 점검할 때(정기 검토)
• 법령에 따른 요청이 있을 때

4-2. 열람 시 지켜지는 것

• 열람은 지정된 안전 담당자만 수행합니다.
• 누가·언제·무엇을 열람했는지가 감사 기록으로 남습니다. 이 기록은 이용자가 요청하면 본인 관련 부분을 확인할 수 있습니다.
• 열람 결과는 안내 품질 확인 외의 목적으로 사용하지 않습니다.

4-3. 회사가 하지 않는 것

• 위기를 진단·평가하지 않습니다. 서비스는 공적 상담 자원의 정보를 안내할 뿐입니다.
• 본인 동의 없이 보호자·의료기관·수사기관 등 제3자에게 통보하지 않습니다. (법령에 따른 의무가 있는 경우는 제외)

[자문 요망] 4-3의 제3자 통보 금지 범위가 응급 상황에서도 유지되는지, 그리고 유지될 때 회사의 법적 책임이 어떻게 되는지 확인이 필요합니다. 현재 정본(원칙·요구사항)은 통보를 로드맵에서 제외한 상태입니다.

5. 개인정보의 제3자 제공 및 처리위탁

5-1. 제3자 제공

회사는 이용자의 개인정보를 제3자에게 제공하지 않습니다. 다만 법령에 특별한 규정이 있거나 수사기관이 법령에 정한 절차와 방법에 따라 요구하는 경우는 예외입니다.

5-2. 처리위탁

서비스 운영을 위해 다음 업무를 위탁하고 있습니다.

회사는 위탁계약 시 개인정보의 안전한 관리에 관한 사항을 명시하고 수탁자가 이를 준수하는지 감독합니다.

5-3. 국외 이전

현재 AI 응답 생성은 국내 사업자(업스테이지)를 통해 이루어지며, 이용자의 대화 내용이 국외로 이전되지 않습니다.

[자문 요망] 호스팅 사업자가 국외 인프라를 사용하는 경우 개인정보 보호법 제28조의8에 따른 국외이전 고지 및 별도 동의가 필요합니다. 배포처 확정 후 이 항목을 다시 작성해야 합니다. 고지에는 이전받는 자·이전 국가·이전 일시 및 방법·이전 항목·이전받는 자의 연락처가 모두 포함되어야 합니다.

AI 사업자와의 계약 조건 — 회사는 AI 사업자와 다음을 계약으로 확보합니다.

• 전송된 데이터를 AI 모델 학습에 사용하지 않음(no-training)
• 처리 후 보관하지 않음(zero-retention)
• 개인정보 처리 위탁 계약(DPA) 체결

[자문 요망] 위 세 조건이 실제 계약서에 반영됐는지 확인 후, 미확보 항목은 이 문단에서 삭제해야 합니다. 확보하지 않은 것을 확보했다고 쓰면 그 자체가 허위 고지입니다.

6. 개인정보의 보유 및 이용 기간

회사는 처리 목적이 달성되면 지체 없이 파기합니다.

탈퇴 시 처리: 회원 탈퇴 시 계정이 삭제되며, 위 표의 데이터는 연쇄 삭제됩니다 (데이터베이스 수준의 on delete cascade). 회사가 별도로 보관하는 사본은 없습니다.

[자문 요망] 이 항목이 가장 중요한 자문 대상입니다. 위기 안내 기록과 감사 기록은

대화·음성 1년의 근거 (대표 확정 2026-07-30) 분쟁이 발생했을 때 사실관계를 확인하기 위함입니다. 무기한 보관을 피하면서 확인에 필요한 기간을 정한 것입니다.

[자문 요망] 이 근거가 법적으로 유효한지 확인이 필요합니다. "혹시 모를 분쟁 대비"는 통상 정당한 보유 근거로 약하며, 실제로 분쟁이 생긴 뒤 그 자료만 보존하는 방식(litigation hold)이 일반적입니다. 특히 음성은 생체인식정보에 해당할 수 있어 보관 자체가 민감정보 처리가 됩니다 — 목적의 정당성·기간의 적정성을 함께 확인해야 합니다.

⚠️ 이야기 카드는 1년 규칙의 예외입니다(회원 탈퇴 시까지). 이용자가 "간직하겠다"고 명시적으로 저장한 것이므로, 흘러간 대화와 같이 지우지 않습니다.

"안전 확보"라는 목적상 즉시 파기가 어려울 수 있으나, 무기한 보관은 제21조 위반입니다. 보존 근거와 기간을 법적으로 확정해야 합니다. 빈칸([[N]])을 임의의 숫자로 채우지 마십시오 — 근거 없는 기간은 그 자체로 위반입니다.

7. 정보주체의 권리 및 행사 방법

이용자는 언제든지 다음 권리를 행사할 수 있습니다.

• 권리 행사는 대리인을 통해서도 가능합니다(위임장 필요).
• 회사는 요청을 받은 날부터 10일 이내에 조치하고 결과를 알려드립니다.
• 열람·처리정지 요구는 법령에 정한 사유에 해당할 경우 제한될 수 있으며, 이 경우 사유를 알려드립니다.

동의 철회 시: 해당 기능만 중단되며 서비스 전체 이용이 막히지 않습니다. 다만 자가 체크 동의를 철회하면 자가 체크를, 카드 저장 동의를 철회하면 카드 저장을 이용할 수 없습니다.

8. 개인정보의 파기 절차 및 방법

8-1. 파기 절차

보유 기간이 지나거나 처리 목적이 달성된 개인정보는 지체 없이 파기합니다. 다른 법령에 따라 보존해야 하는 경우에는 별도의 저장 공간으로 옮겨 보존 목적 외의 용도로 이용하지 않습니다.

8-2. 파기 방법

• 전자적 파일: 복구할 수 없는 방법으로 영구 삭제합니다. 암호화되어 저장된 항목은 암호문과 함께 삭제합니다.
• 출력물: 분쇄하거나 소각합니다.

9. 개인정보의 안전성 확보 조치

회사는 다음의 조치를 시행하고 있습니다.

기술적 조치

• 저장 시 암호화 — 대화 원문, 자가 체크 응답·점수, 이야기 카드 본문, 안전 신호 요약은 AES-256-GCM으로 암호화하여 저장합니다.
• 암호화 키 분리 및 버전 관리 — 키는 데이터베이스와 분리 보관하며, 각 암호문에 사용된 키 버전을 기록해 키 교체가 가능하도록 했습니다.
• 암호문 결합(binding) — 각 암호문은 소속 테이블·컬럼·소유자 정보와 묶여 있어, 다른 이용자의 데이터로 바꿔치기하면 복호화가 실패합니다.
• 행 수준 접근 통제(RLS) — 데이터베이스가 이용자 세션 권한으로 조회를 강제하여, 본인 데이터만 접근할 수 있습니다.
• 민감 계층의 접근 차단 — 대화 원문·자가 체크·위기 기록·감사 기록은 일반 접근 정책이 없으며, 서버의 별도 권한을 통해서만 접근됩니다.
• 전송 구간 암호화 — 모든 통신은 HTTPS로 이루어집니다.

관리적 조치

• 개인정보 접근 권한을 최소한의 인원으로 제한합니다.
• 민감 계층 열람 시 감사 기록을 남깁니다(제4항).
• 개인정보 취급자를 대상으로 정기 교육을 시행합니다. [자문 요망] 시행 주기 확정 필요

10. 만 19세 미만의 이용 제한

월하랑은 만 19세 이상 성인만 이용할 수 있습니다.

• 가입 시 성인 여부를 확인하며, 판별 결과만 저장하고 생년월일 원본은 수집하지 않습니다.
• 만 19세 미만임이 확인된 계정은 이용을 중단하고 관련 개인정보를 파기합니다.

[자문 요망] 현재 성인 확인은 이용자 자기 신고입니다. 민감정보를 처리하는 서비스에서 자기 신고만으로 충분한지, 본인확인 절차가 필요한지 판단이 필요합니다.

11. 개인정보 보호책임자

개인정보 처리에 관한 업무를 총괄하고 이용자의 불만을 처리하기 위해 개인정보 보호책임자를 지정하고 있습니다.

이 항목은 법정 필수 기재사항입니다(개인정보 보호법 제31조). 빈칸으로 게시할 수 없습니다.

이용자는 서비스 이용 중 발생한 모든 개인정보 보호 관련 문의를 위 연락처로 하실 수 있으며, 회사는 지체 없이 답변하겠습니다.

12. 권익침해 구제 방법

개인정보 침해로 인한 피해를 구제받기 위해 아래 기관에 분쟁 해결이나 상담을 신청할 수 있습니다.

13. 처리방침의 변경

• 이 처리방침이 변경되는 경우 시행 7일 전부터 앱 내 공지사항을 통해 알립니다.
• 이용자의 권리에 중대한 변경이 있는 경우 30일 전에 알리고, 필요한 경우 다시 동의를 받습니다.

13-2. 콘텐츠 출처 고지

서비스가 들려주는 옛이야기는 한국학중앙연구원 「한국구비문학대계」(공공누리 제1유형: 출처표시)를 참조하여 창작·각색한 것입니다.

도서관의 낭독형 소설은 여기에 더해 저작권 보호기간이 만료된 한국 고전·근대 문학 (위키문헌 수록 원문)의 일부를 구성·문체의 참조 자료로 사용합니다. 원문을 화면에 전재하지 않으며, 이용자가 보는 문장은 모두 새로 생성된 것입니다.

이 항은 개인정보가 아닌 콘텐츠의 출처를 밝히기 위한 고지입니다.

14. 사업자 정보

「전자상거래 등에서의 소비자보호에 관한 법률」에 따른 표시 사항입니다. 빈칸으로 게시할 수 없습니다.

부록. 게시 전 점검표

게시 전에 아래를 모두 확인하십시오. 하나라도 미충족이면 게시하지 마십시오.

• [ ] [[ ]] 표시가 하나도 남아 있지 않음
• [ ] 제6항 보유기간의 [[N]]이 근거 있는 값으로 채워짐(임의의 숫자 금지)
• [ ] 제5-2항 수탁자 목록이 실제 사용 중인 사업자와 일치
• [ ] 제5-3항 국외이전 서술이 실제 배포처와 일치
• [ ] 제5-3항 AI 계약 조건(no-training·zero-retention·DPA)이 실제로 체결됨
• [ ] 제9항의 기술적 조치가 실제로 동작함(코드·마이그레이션과 대조)
• [ ] 제11항 개인정보 보호책임자가 지정되고 연락 가능
• [ ] 이용약관(terms-of-service.md)과 서로 모순되는 문장이 없음 — 특히 보유기간·삭제 시점