개인정보처리방침

시행일: 2026-06-09

주식회사 에이블(이하 "회사")은 다음의 목적을 위하여 개인정보를 처리하며, 이외의 용도로는 이용하지 않습니다. 처리 목적이 변경될 경우 사전에 동의를 받습니다.

가. 회원 식별 및 인증
  - 휴대전화 번호를 통한 본인 확인
  - 부정 이용 방지 및 비인가 사용 차단

나. 서비스 제공
  - 메시지 송수신, 친구 매칭, 푸시 알림 발송
  - 프로필 정보 표시

다. 결제 및 정산
  - 유료 구독 결제, 환불, 영수증 발행
  - 부정 거래 탐지

라. 고객 응대 및 분쟁 해결
  - 문의 처리, 약관 위반 조사

가. 회원가입 시 수집 (필수)
  - 휴대전화 번호 (E.164 형식)
  - 휴대전화 번호 해시값 (SHA-256, 친구 매칭용)
  - 사용자 ID (Supabase가 자동 부여)
  - PIN 해시값 (PBKDF2-SHA256, 기기 내 저장 — 서버 미전송)

나. 서비스 이용 중 수집
  - 프로필: 표시 이름, 프로필 사진 (선택)
  - 채팅 메시지 본문, 첨부 이미지
  - 친구 관계 및 대화방 참여 정보
  - 푸시 알림 토큰 (Web Push, APNs, FCM)
  - 접속 기기 정보 (OS, 앱 버전), IP 주소 (보안 로그)

다. 결제 시 수집
  - 결제 식별자 (Apple/Google 트랜잭션 ID, RevenueCat app_user_id, 상품 ID)
  - 구독 상태 이력 (구독 시작/만료 일시, 갱신/취소/환불 이벤트)
  - ※ 카드번호, Apple ID 자격증명, Google 결제 정보 등 민감 결제정보는 회사가 직접 수집하지 않습니다. Apple App Store / Google Play 가 각자의 결제 시스템 내에서 처리합니다.

라. 수집 방법
  - 회원이 직접 입력 (회원가입, 프로필 설정)
  - 서비스 이용 과정에서 자동 수집 (접속 로그, 메시지)
  - RevenueCat webhook 을 통해 Apple/Google 의 구독 상태 변경 이벤트 수신

가. 회원 정보: 회원 탈퇴 시까지
나. 메시지 데이터: 다른 대화 참여자의 권리 보호를 위해 발신자가 탈퇴해도 대화방이 존재하는 동안 익명화된 형태로 유지
다. 결제 기록: 「전자상거래법」에 따라 5년
라. 표시·광고 기록: 「전자상거래법」에 따라 6개월
마. 접속 로그: 「통신비밀보호법」에 따라 3개월
바. 휴면 회원: 1년 이상 미접속 시 분리 보관 후 4년 후 파기

회사는 원칙적으로 이용자의 개인정보를 제3자에게 제공하지 않습니다. 단, 다음의 경우 예외로 합니다.
  - 이용자가 사전에 동의한 경우
  - 법령에 의하거나 수사기관의 적법한 절차에 따른 요청이 있는 경우 (영장 등)

회사는 원활한 서비스 제공을 위해 다음과 같이 개인정보 처리 업무를 위탁하고 있습니다.

┌────────────────────────────────────────────────────────┐
│ 수탁업체 (목적)                       │ 위탁 항목         │
├────────────────────────────────────────────────────────┤
│ Supabase Inc. (DB/Auth/Storage 운영)  │ 전 항목          │
│ RevenueCat, Inc. (구독 상태 검증)      │ 결제 식별자       │
│ Apple Inc. / Google LLC (인앱 결제)    │ 결제 처리         │
│ Solapi (SMS 발송)                      │ 휴대전화 번호     │
│ Apple Inc. (APNs 푸시)                 │ 푸시 토큰         │
│ Google LLC (FCM 푸시)                  │ 푸시 토큰         │
│ Vercel Inc. (웹 호스팅)                │ 접속 로그         │
└────────────────────────────────────────────────────────┘

위탁계약 시 「개인정보 보호법」 제26조에 따라 개인정보 처리 금지, 안전성 확보 조치, 재위탁 제한, 손해배상 등 책임 사항을 명시합니다.

회사는 서비스 운영을 위해 다음과 같이 개인정보를 국외로 이전합니다.

가. Supabase (이전 국가: 인도 - Mumbai 리전)
  - 이전 항목: 회원 식별 정보, 프로필, 메시지, 결제 메타데이터
  - 이전 일시 및 방법: 서비스 이용 시 실시간 네트워크 전송
  - 보유 기간: 본 방침 제3조와 동일

나. Apple Inc. (이전 국가: 미국) — APNs 푸시 알림
  - 이전 항목: 푸시 토큰, 알림 메타데이터
  - 보유 기간: 회원이 푸시 구독 해제 또는 탈퇴 시까지

다. Google LLC (이전 국가: 미국) — FCM 푸시 알림
  - 이전 항목: 푸시 토큰, 알림 메타데이터
  - 보유 기간: 회원이 푸시 구독 해제 또는 탈퇴 시까지

이용자는 회원 탈퇴를 통해 국외 이전을 거부할 수 있으나, 이 경우 서비스 이용이 제한됩니다.

가. 파기 절차: 보유 기간이 경과한 정보는 별도 DB로 옮겨져 일정 기간 보관된 후 파기됩니다.
나. 파기 방법:
  - 전자적 파일: 복구 불가능한 방법으로 영구 삭제
  - 종이 문서: 분쇄 또는 소각

이용자는 언제든지 다음 권리를 행사할 수 있습니다.
  - 개인정보 열람 요구
  - 오류 정정 요구
  - 삭제 요구
  - 처리 정지 요구

행사 방법: 서비스 내 설정 메뉴 또는 companyable@naver.com 로 요청. 회사는 요청을 받은 날로부터 10일 이내에 조치합니다.

회사는 다음과 같은 기술적·관리적·물리적 조치를 취하고 있습니다.

가. 기술적 조치
  - 전송 구간 TLS 1.2 이상 암호화 (HTTPS, HSTS preload)
  - PIN은 PBKDF2-SHA256 (10만 회 반복) 해시 저장
  - 휴대전화 번호는 SHA-256 해시값으로 친구 매칭 (원본 미노출)
  - 메시지는 Postgres Row-Level Security로 대화 참여자만 접근
  - 결제 정보는 Apple App Store / Google Play 인앱결제로만 처리 (회사가 카드정보 직접 수집 없음)
  - 백그라운드 전환 시 즉시 콘텐츠 마스킹

나. 관리적 조치
  - 개인정보 처리 직원 최소화 및 접근 통제
  - 정기적인 보안 점검 및 취약점 진단

다. 물리적 조치
  - 클라우드 데이터센터의 출입 통제 및 24시간 모니터링 (수탁사 정책에 따름)

회사는 개인정보 처리에 관한 업무를 총괄하여 책임지는 개인정보 보호책임자를 다음과 같이 지정하고 있습니다.

  - 성명: 김지현
  - 이메일: companyable@naver.com

기타 개인정보 침해에 대한 신고나 상담은 다음 기관에 문의할 수 있습니다.
  - 개인정보침해신고센터 (privacy.kisa.or.kr / 국번 없이 118)
  - 대검찰청 사이버수사과 (spo.go.kr / 02-3480-3573)
  - 경찰청 사이버수사국 (ecrm.police.go.kr / 국번 없이 182)

EU 거주 사용자(GDPR 적용 대상)는 회사가 처리하는 본인의 개인정보에 대하여 다음 권리를 행사할 수 있습니다.

  - 열람권 (Right of access)
  - 정정권 (Right to rectification)
  - 삭제권 / 잊혀질 권리 (Right to erasure)
  - 처리 제한권 (Right to restriction of processing)
  - 데이터 이동권 (Right to data portability)
  - 처리 반대권 (Right to object)
  - 동의 철회권 (Right to withdraw consent)

행사 방법: companyable@naver.com 로 본인 확인 가능한 정보와 함께 요청하시면 GDPR 제12조에 따라 원칙적으로 1개월 이내에 회신합니다. 회사의 응답이 불충분하다고 판단되는 경우, 거주국의 데이터 보호 감독기관에 진정을 제기할 권리가 있습니다.

법적 근거 (GDPR 제6조): 본 서비스의 개인정보 처리는 (a) 정보주체의 동의, (b) 계약 이행, (c) 회사의 정당한 이익을 근거로 합니다.

데이터 보호 책임자(DPO): Jeehyun Kim / companyable@naver.com

본 방침의 내용 추가, 삭제 및 수정이 있을 시에는 시행일 7일 전(중대한 변경의 경우 30일 전)부터 공지합니다.

  - 시행일: 2026-06-09