개인정보 처리방침

개인정보의 처리자(운영자)는 우크라이나 법률에 따라 등록된 개인사업자 또는 법인인 Picosu 플랫폼 운영자입니다. 처리자는 플랫폼을 통해 이루어지는 개인정보 처리의 목적과 수단을 결정합니다.

개인정보 처리자에게 연락하거나 개인정보 관련 권리를 행사하려면 [email protected]으로 문의하세요. 개인정보 요청은 접수 후 30일 이내에 답변합니다.

Picosu가 사진작가를 대신하여 개인정보를 처리하는 경우(예: 갤러리를 보는 사진작가 고객의 데이터), Picosu는 데이터 처리자이고 사진작가는 개인정보 처리자입니다. 이 경우 처리의 적법성과 정보주체의 동의 취득 책임은 사진작가에게 있습니다.

본 방침은 picosu.com 웹사이트와 모든 하위 도메인, Picosu 모바일 애플리케이션(제공되는 경우), Picosu API, 이메일 및 기타 연락 채널, 그리고 본 방침을 참조하는 기타 플랫폼 또는 서비스를 통해 수집하는 모든 개인정보에 적용됩니다.

본 방침은 플랫폼에서 연결될 수 있는 제3자 웹사이트나 서비스에는 적용되지 않습니다. 제3자에게 정보를 제공하기 전에 해당 개인정보 보호정책을 검토할 것을 권장합니다. Picosu는 제3자의 데이터 처리 관행에 책임지지 않습니다.

서비스 제공 과정에서 다음 범주의 개인정보를 수집하고 처리할 수 있습니다.

• 식별 정보: 이름, 성, 스튜디오 이름, 사용자 이름, 아바타.
• 연락처 정보: 이메일 주소, 전화번호(제공한 경우), 소셜 미디어 링크.
• 인증 정보: 해시된 비밀번호, OAuth 토큰(Google), 세션 토큰, 로그인 시 IP 주소.
• 결제 정보: 카드 명의자 이름, 카드 유형, 카드 끝 4자리(전체 카드 번호는 저장하지 않으며 Hutko가 처리합니다). 거래 내역, 선택한 플랜.
• 사용자 콘텐츠: 사진, 갤러리 이름, 설명, 워터마크 설정, 포트폴리오 텍스트, 가격표, 로고.
• 기술 정보: IP 주소, 브라우저 종류 및 버전, 운영체제, 브라우저 언어, 화면 해상도, 유입 경로, 기기 정보(user agent), 쿠키 및 유사 추적 기술.
• 이용 정보: 접근 날짜 및 시간, 조회한 페이지, 갤러리 조회 횟수와 빈도, 다운로드한 사진, 조회 지역(IP 주소 기반 국가/도시 수준), 인터페이스 작업(갤러리 만들기, 설정 변경).

인종 또는 민족, 정치적 견해, 종교적 신념, 건강 정보, 생체 정보 등의 “민감한” 개인정보는 수집하지 않습니다. 사용자가 실수로 이러한 데이터를 제공하면 발견 즉시 삭제합니다.

다음 출처에서 개인정보를 받습니다.

• 사용자로부터 직접 — 가입, 프로필 작성, 콘텐츠 업로드, 구독 결제 및 지원팀 문의 과정.
• 자동 수집 — 서비스 이용 중 쿠키, 웹 비콘 및 유사 기술을 통해 수집.
• 제3자 서비스 — Google OAuth 인증 시 Google 계정에서 이름, 이메일 주소와 아바타 URL을 받습니다.
• 결제 처리업체 — Hutko는 결제 확인, 거래 상태와 제한된 결제 데이터(전체 카드 번호 제외)를 제공합니다.

• 계정 생성 및 관리, 인증과 서비스 기능 접근 권한 부여.
• 클라우드 사진 저장, 갤러리 생성 및 표시, 포트폴리오 페이지 생성 등 핵심 서비스 기능 제공.
• 결제 처리, 구독 관리, 청구서 발행 및 금융 거래 회계.
• 갤러리 조회, 방문자 지역, 유입 경로, 다운로드 횟수 등의 통계 및 분석 제공.
• 사기, 남용, 무단 접근 및 기타 위협의 탐지와 방지를 통한 서비스 보안 확보.
• 기술 지원: 문의 처리, 문제 진단 및 서비스 품질 개선.
• 서비스 개선: 이용 패턴 분석, 새 기능 테스트, 성능 및 인터페이스 최적화.
• 연락: 서비스 메시지(가입 확인, 비밀번호 재설정, 플랜 변경 알림) 및 동의한 경우 마케팅 메시지 발송.

우크라이나 개인정보 보호법 및 EU 사용자에게 적용되는 GDPR에 따라 다음 법적 근거 중 하나 이상을 바탕으로 개인정보를 처리합니다.

각 처리 범주의 구체적인 법적 근거는 다음과 같습니다.

• 계약 이행(GDPR 제6조 제1항 (b)): 서비스 제공, 계정 관리, 결제 처리 및 사용자에 대한 의무 이행에 처리가 필요합니다.
• 동의(GDPR 제6조 제1항 (a)): 마케팅 연락, 선택적 쿠키 및 분석 도구 사용에 적용됩니다. 언제든 동의를 철회할 수 있습니다.
• 정당한 이익(GDPR 제6조 제1항 (f)): 서비스 보안, 사기 방지, 서비스 개선 및 이용 분석에 적용됩니다.
• 법적 의무(GDPR 제6조 제1항 (c)): 회계, 세금 신고 및 수사기관의 적법한 요청 대응 등 법적 요건 준수에 적용됩니다.

처리가 동의에 기반하는 경우 [email protected]으로 연락하거나 계정 설정을 변경하여 언제든 동의를 철회할 수 있습니다. 동의 철회는 철회 전에 이루어진 처리의 적법성에 영향을 주지 않습니다.

Picosu는 서비스 운영, 사용자 경험 개선 및 분석 데이터 수집을 위해 쿠키와 유사 기술을 사용합니다. 쿠키는 기기에 저장되는 작은 텍스트 파일입니다. 다음 종류를 사용합니다. (1) 필수 쿠키 — 인증, 세션 설정, 언어 환경설정, 다크/라이트 모드 등 서비스 운영에 필요하며 비활성화할 수 없습니다. (2) 분석 쿠키 — 방문 수, 인기 페이지, 유입 경로 등 사용자의 서비스 이용 방식을 이해하는 데 도움이 됩니다. Google Analytics 또는 유사 도구를 사용할 수 있습니다.

브라우저 설정에서 쿠키를 관리할 수 있습니다. 다만 필수 쿠키를 비활성화하면 일부 서비스 기능을 이용하지 못할 수 있습니다. 인증 토큰과 인터페이스 설정을 저장하기 위해 브라우저 localStorage도 사용합니다.

사용자가 만들고 공유한 갤러리는 방문자에 관한 제한적인 분석 정보(국가/도시 수준 지역을 위한 IP 주소, 기기 유형을 위한 user agent)를 수집할 수 있습니다. 이 데이터는 갤러리 통계에 사용되며 제3자와 공유되지 않습니다.

개인정보를 판매, 임대 또는 거래하지 않습니다. 다음 경우에만 제3자와 데이터를 공유할 수 있습니다.

• 결제 처리업체(Hutko): 구독 결제를 처리하며 거래 완료에 필요한 최소한의 데이터만 전송합니다.
• 클라우드 제공업체(AWS S3, Google Cloud Storage, Hetzner): 사진과 서비스 데이터를 저장하며 데이터는 암호화된 형태로 보관됩니다.
• 인증 서비스(Google OAuth): Google 계정 로그인을 지원합니다.
• 분석 서비스(Google Analytics): 사용자의 동의하에 집계된 서비스 이용 통계를 수집합니다.
• 수사기관 및 정부 기관: 관련 법률, 법원 명령 또는 수사기관의 적법한 요청에 따라 필요한 경우.
• 승계인: Picosu의 합병, 인수, 조직 개편 또는 자산 매각 시 데이터가 승계인에게 이전될 수 있으며 사전에 알립니다.
• 전문 자문가: Picosu의 정당한 이익을 보호하는 데 필요한 범위에서 변호사, 감사인 및 기타 자문가에게 제공.

데이터에 접근하는 모든 제3자는 관련 기밀 유지 및 보안 요건을 준수해야 합니다. GDPR 요건에 따라 적절한 데이터 처리 계약(DPA)을 체결합니다.

데이터는 사용자의 거주 국가 밖, 특히 유럽연합, 미국 또는 클라우드 제공업체가 있는 기타 국가의 서버에서 처리 및 저장될 수 있습니다. EU/EEA 밖으로 데이터를 이전할 때는 유럽연합 집행위원회가 승인한 표준계약조항(SCC), 적정성 결정 또는 기타 적절한 법적 장치를 통해 충분한 보호 수준을 보장합니다.

[email protected]으로 문의하면 표준계약조항 사본 또는 데이터 이전의 구체적인 법적 장치에 관한 정보를 받을 수 있습니다.

본 방침에 설명된 목적을 달성하는 데 필요한 기간 또는 관련 법률에서 요구하는 더 긴 기간 동안 개인정보를 보관합니다. 구체적인 기간은 다음과 같습니다.

• 계정 데이터(이름, 이메일, 프로필): 계정 유지 기간 + 삭제 후 30일.
• 콘텐츠(사진, 갤러리): 계정 유지 기간 + 삭제 후 백업에 최대 90일.
• 결제 정보 및 재무 기록: 세법 요건에 따라 일반적으로 7년.
• 기술 로그 및 이용 데이터: 수집일로부터 최대 12개월.

보관 기간이 끝나면 특정 개인과 연결할 수 없도록 데이터를 삭제하거나 익명화합니다. 일부 집계 및 익명 데이터는 분석과 서비스 개선을 위해 무기한 보관될 수 있습니다.

우크라이나 개인정보 보호법(2010년 6월 1일 법률 제2297-VI호)에 따라 정보주체는 다음 권리를 가집니다.

• 개인정보의 수집 출처와 위치, 처리 목적, 개인정보 처리자 또는 처리업체의 소재지나 거주지를 알 권리.
• 개인정보가 이전되는 제3자에 관한 정보를 포함하여 개인정보 접근 조건에 관한 정보를 받을 권리.
• 개인정보에 접근하여 처리 여부 확인과 데이터 사본을 받을 권리.
• 개인정보 처리자 또는 처리업체에 개인정보의 변경 또는 파기를 합리적인 근거와 함께 요청할 권리.
• 불법 처리와 우발적 손실, 파기 또는 손상으로부터 개인정보를 보호받을 권리.
• 개인정보 처리에 관해 우크라이나 의회 인권 옴부즈맨 또는 법원에 민원을 제기할 권리.
• 개인정보 보호법 위반 시 법적 구제 수단을 이용할 권리.
• 동의할 때 개인정보 처리 권리 제한에 관한 유보 사항을 제시할 권리.

이러한 권리를 행사하려면 [email protected]으로 문의하세요. 요청은 30일 이내에 검토합니다.

유럽연합 또는 유럽경제지역 거주자는 일반 개인정보 보호법(GDPR)에 따라 다음과 같은 추가 권리를 가집니다.

• 접근권(GDPR 제15조): 처리 확인과 개인정보 사본, 처리 목적, 데이터 범주 및 수신자에 관한 정보를 받을 권리.
• 정정권(GDPR 제16조): 부정확한 개인정보를 정정하거나 불완전한 개인정보를 보완하도록 요청할 권리.
• 삭제권 / “잊힐 권리”(GDPR 제17조): 특정 조건에서 개인정보 삭제를 요청할 권리.
• 처리 제한권(GDPR 제18조): 특정 상황에서 데이터 처리 제한을 요청할 권리.
• 데이터 이동권(GDPR 제20조): 구조화되고 일반적으로 사용되며 기계 판독 가능한 형식으로 데이터를 받고 다른 처리자에게 이전할 권리.
• 반대권(GDPR 제21조): 정당한 이익 또는 직접 마케팅 목적에 따른 데이터 처리에 반대할 권리.
• 자동화된 의사결정의 대상이 되지 않을 권리(GDPR 제22조): 프로파일링을 포함하여 자동 처리만을 바탕으로 한 결정의 대상이 되지 않을 권리.
• 감독기관에 민원을 제기할 권리: 거주 국가의 관련 개인정보 보호 감독기관에 민원을 제기할 권리.

이러한 권리를 행사하려면 [email protected]으로 문의하세요. 30일 이내(법률상 더 짧은 기간이 필요한 경우 해당 기간)에 답변합니다. 예외적인 경우 60일까지 연장될 수 있으며 이를 알립니다. 명백히 근거 없거나 과도한 요청을 제외하고 권리 행사는 무료입니다.

무단 접근, 변경, 공개 또는 파기로부터 개인정보를 보호하기 위해 적절한 기술적·관리적 조치를 시행합니다. 전송 중(TLS/SSL) 및 저장 시(AES-256) 데이터 암호화, 고유 salt를 사용한 PBKDF2 비밀번호 해싱, 정기적인 데이터 백업, 최소 권한 원칙에 따른 직원의 개인정보 접근 제한, 보안 모니터링 및 접근 기록 등을 포함하되 이에 한정되지 않습니다.

이러한 조치에도 인터넷을 통한 데이터 전송 또는 전자 저장 방식은 100% 안전하지 않습니다. 데이터의 절대적인 보안을 보장할 수 없습니다. 데이터 유출 또는 보안 사고가 발생하면 관련 법률에 따라 사용자와 감독기관에 알립니다(GDPR의 경우 72시간 이내).

Picosu는 만 18세 미만의 이용을 목적으로 하지 않습니다. 아동의 개인정보를 고의로 수집하지 않습니다. 부모 또는 보호자로서 자녀가 동의 없이 개인정보를 제공했다는 사실을 알게 된 경우 [email protected]으로 문의하면 해당 데이터를 즉시 삭제하기 위한 조치를 취합니다.

언제든 본 개인정보 처리방침을 업데이트할 권리를 보유합니다. 중요한 변경 사항은 이메일 또는 플랫폼 인터페이스를 통해 알립니다. 달리 명시되지 않는 한 업데이트된 버전은 게시 즉시 효력이 발생합니다.

현재 버전을 확인할 수 있도록 본 방침을 정기적으로 검토할 것을 권장합니다. 업데이트된 방침이 시행된 후 서비스를 계속 이용하면 변경 사항에 동의한 것으로 간주됩니다.

본 개인정보 처리방침 또는 개인정보 처리에 관한 질문, 제안 또는 민원이 있으면 이메일 [email protected]으로 문의하세요. 모든 문의에는 30일 이내에 답변합니다.

개인정보 보호 권리가 침해되었다고 생각하는 경우 우크라이나 시민은 우크라이나 의회 인권 옴부즈맨, EU/EEA 시민은 거주 국가의 관련 개인정보 보호 감독기관 또는 관련 법률에 따른 법원에 민원을 제기할 권리가 있습니다.