개인정보 처리방침

제1조 (처리하는 개인정보의 항목)

1. 계정 운영을 위해 (동의와 무관하게 필수)

1-2. 로그인 없이 이용하시는 경우(게스트)

iOS·Android 앱 1.2.2 앞의 앱 판에서는 소셜 로그인 없이도 서비스를 시작할 수 있습니다(1.2.2 부터는 새로 시작할 때 소셜 로그인을 거치며, 그 전에 로그인 없이 시작한 계정은 앱을 업데이트한 뒤에도 그대로 쓸 수 있습니다). 이때 서버에 만들어지는 계정 정보는 익명 계정과 그 식별자뿐이며(요청마다 서버 플랫폼에 남는 서비스 운영 로그는 1-7), 소셜 제공자 정보나 이메일 주소는 결합되지 않습니다. 그 기능을 실은 앱 판부터는 광고 성과 측정에 동의하거나 철회한 기록도 이 계정에 남습니다(제5조 6).

• 사진·영상, 얼굴 분석 결과, 아이 정보는 기기에만 저장되고 서버로 전송되지 않습니다. 게스트에게는 클라우드 저장·가족 공유·서버 동기화가 제공되지 않으며, 이 차단은 서버가 강제합니다. 다만 이용 통계(제6조 4)에는 등록한 아이 프로필 수를 0·1·2·3 이상의 구간으로만 나타낸 값이 담겨 운영자 서버로 갑니다(아이의 이름·생년월일 같은 아이 정보는 담지 않습니다).
• 사진의 촬영 지역 이름은 게스트에게도 기기에서 만듭니다. 이때 격자 대표점의 좌표가 기기 운영체제 제공자(Apple·Google)의 지오코딩 서비스로 갑니다(제3조 3 · 제6조 2·3). 운영자 서버로는 가지 않습니다.
• 그래서 게스트 상태에서는 원본 백업·아이 정보 동기화 동의를 받지 않으며, 동의 기록도 남기지 않습니다 — 동의가 가리킬 처리 행위가 아직 없기 때문입니다(제5조). 광고 성과 측정 동의(1-8)는 동의한 게스트에게도 측정이 적용되므로, 그 기능을 실은 앱 판부터 게스트도 계정 단위로 기록합니다(제5조 6).
• 소셜 계정을 연동하면 같은 계정이 그대로 이어지고(계정 식별자 유지), 원본 백업과 아이 정보 동기화가 연동과 함께 기본으로 켜집니다(제1조 2·3). 다만 연동하려는 소셜 계정에 이미 만들어 둔 계정이 있으면 그 계정으로 로그인되고 게스트 계정은 폐기되며, 두 계정을 합치지 않습니다. 이때 게스트로 쓰던 때의 광고 성과 측정 동의는 그 계정으로 옮기지 않고, 그 기능을 실은 앱 판에서 다시 여쭙니다(제5조 6). 어느 쪽이든 기기에 저장된 데이터는 그대로 남습니다.
• 기기에만 있는 데이터는 서버에서 복구할 수 없습니다. 앱을 삭제하면 함께 사라집니다.
• 게스트가 앱에서 계정 삭제를 요청하면 30일 유예 없이 바로 삭제 절차가 시작됩니다. 서버에는 사진·영상이 없으므로 지워지는 것은 서버의 익명 계정 정보이며, 기기에 저장된 데이터는 지워지지 않습니다(제7조).
• 마지막 이용(앱 접속·로그인) 뒤 90일 동안 이용이 없는 게스트 계정은 서버에서 정리합니다(제7조).

이용 통계(제6조 4)는 게스트도 같은 기준으로 분석 도구(Google)와 운영자 서버 두 곳으로 전송되며, 앱 설정으로 끌 수 있는 범위도 같습니다("AI 분석 통계 보내기"가 있는 앱 판부터 운영자 서버의 기초 통계는 앱에서 끌 수 없습니다 — 제6조 4). 광고 성과 측정(1-8)은 게스트에게도 같은 기준으로 — 동의한 경우에만 — 적용됩니다. 오류 진단 정보(1-3)도 게스트에게서 같은 기준으로 전송됩니다.

1-3. 오류 진단 정보 (자동 수집)

앱이 예기치 않게 종료되거나 주요 기능이 실패하면 원인을 찾기 위한 진단 정보가 앱에서 Google(Firebase Crashlytics)로 직접 전송됩니다. 운영자의 서버는 이 정보를 수집하거나 중계하지 않습니다.

• 앱이 싣는 값 — 실패한 작업의 종류·원인 코드·보고 등급, HTTP 상태, 서버가 돌려준 오류 코드, 재시도 횟수, 대략적 연결 상태(연결 없음·저데이터·셀룰러·Wi-Fi)
• 앱이 비정상 종료되면 — 크래시 스택 트레이스와 예외 정보, 앱을 이루는 실행 파일의 정보
• 진단 도구(SDK)가 자동으로 싣는 값 — 앱 버전·빌드, 운영체제 버전, 기기 모델, 실행 환경, 기기 상태(메모리·저장 공간·탈옥 여부·화면 방향 등), 설치 식별자(Crashlytics 설치 식별자·Firebase 설치 ID), 세션 식별자
• 이용 통계(제6조 4)를 켜 두었다면 — 앱이 비정상 종료되기 직전의 이용 흐름(이용 통계로 기록된 동작)

앱이 싣는 값은 위 목록으로 정해 두었지만, 진단 도구가 자동으로 싣는 값은 Google 이 정합니다(Firebase 의 개인정보 안내). 담기지 않는 것과 보존 기간은 제6조 5에 적었습니다. 현재 앱에는 오류 진단 전송만 따로 끄는 설정이 없습니다(제6조 3).

1-4. 문의를 보내신 경우

웹의 문의 양식(zzazan.ai/contact)으로 문의를 보내시면 아래 정보를 처리합니다. 앱의 "문의하기" 도 이 지면을 엽니다.

• 답변받을 이메일 주소, 문의 내용
• 기기 정보(기기 모델·OS 버전·앱 버전) — 선택 항목입니다. 직접 입력하시거나, 앱의 "문의하기" 로 열면 앱 판에 따라 미리 채워집니다
• 계정 ID — 웹 서비스의 "문의하기" 로 열면 로그인한 계정의 ID 가 미리 채워지고, 앱의 "문의하기" 로 열면 앱 판에 따라 미리 채워집니다. 문의하신 계정을 찾는 데만 쓰며, 지우고 보내실 수 있습니다
• 선택하신 문의 주제

문의 양식으로 접수된 내용은 Google Forms(Google LLC)를 거쳐 지원 담당자에게 전달되며(제6조 2·3), 답변이 끝나면 지체 없이 파기합니다(제7조). 사진·영상이나 아이의 정보는 문의에 담지 말아 주세요.

앱의 "문의하기" 가 이 지면을 열지 못하면 기기의 메일 앱에서 문의 메일 작성 화면을 엽니다. 받는 사람(support@zzazan.ai)과 제목, 그리고 본문 아래에 문제 해결을 돕는 진단 정보 — 앱 버전, 운영체제 버전, 기기 모델, 실행 환경, 기기 ID(iOS 앱은 IDFV, Android 앱은 ANDROID_ID — 그 기능을 실은 앱 판부터는 그 대신 운영자 서버에 등록된 그 기기의 식별값(제1조 1 «기기 등록 정보»)과 로그인한 계정의 ID) — 가 미리 채워집니다. 앱은 메일을 자동으로 보내지 않으며, 진단 정보는 보내기 전에 지우실 수 있습니다. 보내 주신 메일(이메일 주소·내용·남겨 두신 진단 정보)은 문의 확인과 답변에만 쓰고, 답변이 끝나면 지체 없이 파기합니다(제7조).

1-5. 그 밖에 서버에 저장되는 정보

• 보호자 프로필 — 공유 앨범과 가족 그룹의 구성원에게 보여 줄 표시 이름(입력은 선택, 40자 이내)과 아바타 색(사진이 아닌 색 하나), 앨범마다 따로 정할 수 있는 별명(12자 이내). 로그인한 소셜 계정의 이름을 서버로 가져오지 않습니다. 앨범별 프로필 사진은 기기에만 저장되고 서버로 보내지 않습니다. 서버의 보호자 프로필은 계정 삭제가 완료되면 지웁니다(제6조 1, 제7조).
• 가족 그룹 구성 정보(웹 서비스의 가족 그룹을 이용하는 경우) — 가족 그룹은 저장 용량을 함께 쓰는 묶음으로, 웹 서비스(app.zzazan.ai)에서 만들고 초대합니다. 어느 가족 그룹에 소유자 또는 구성원으로 속해 있는지와 합류 시각, 그 그룹에서 만든 초대의 기록을 저장합니다(제6조 1, 제7조).
• 앱 안 알림 — 공유 앨범 합류, 사진 공유, 백업 완료, 계정 삭제 유예 같은 알림. 알림에는 상대 계정·앨범·가족 그룹·사진의 내부 번호, 건수, 유예 마감 시각·초과 용량 같은 처리 정보가 담기며, 이름과 이메일 주소는 담지 않습니다. 읽은 알림은 30일, 읽지 않은 알림은 90일 뒤 자동으로 삭제합니다.
• Apple 로그인 연동 해제용 정보(Apple 로 로그인한 경우만) — 계정을 삭제할 때 Apple 계정과의 연결을 끊기 위해 Apple 이 발급한 토큰을 암호화해 보관합니다. 계정 삭제가 완료되면 Apple 에 폐기를 요청하고 지웁니다(제7조).

1-6. 웹사이트의 쿠키 (자동 수집 장치 — 로그인 힌트 · 광고 성과 측정)

웹 서비스(app.zzazan.ai)에 로그인하면, 이 사이트(zzazan.ai)의 지면 머리가 "내 앨범" 단추를 보여 줄지 정하는 데 쓰는 쿠키 하나를 브라우저에 둡니다. 이 쿠키에는 개인을 알아볼 수 있는 값이 없습니다.

이 쿠키는 광고·방문 분석·다른 사이트의 추적에 쓰지 않습니다(이 사이트의 방문 통계는 쿠키 없이 따로 잽니다 — 1-9). 브라우저 설정에서 이 쿠키를 지워도 웹 서비스 이용에는 영향이 없고, 사이트 지면 머리에 "내 앨범" 단추가 나오지 않을 뿐입니다(로그인한 채 웹 서비스를 다시 열면 다시 둡니다). 웹 서비스의 로그인 정보는 쿠키가 아니라 그 브라우저의 저장소에 두고, 로그아웃하면 지웁니다. 그래서 브라우저 설정에서 이 사이트의 쿠키 저장을 막으면 브라우저가 그 저장소도 함께 막을 수 있고, 그때는 웹 서비스에 로그인하지 못할 수 있습니다.

광고 성과 측정 쿠키(이 사이트의 받기 단추가 Airbridge 링크를 거치는 때부터) — 이 사이트의 App Store·Google Play 받기 단추를 누르면 브라우저가 Airbridge 의 링크 주소(abr.ge)를 거쳐 스토어로 이동하고, 이때 수탁자 AB180 이 abr.ge 도메인에 쿠키 하나를 둡니다(제1조 1-8). 이 사이트(zzazan.ai)가 두는 쿠키가 아닙니다. Airbridge 추적 링크를 쓰는 광고(Meta·당근 광고)를 누를 때도 같은 쿠키가 그 광고를 연 브라우저에 생깁니다(제1조 1-8 «광고 링크를 누를 때»).

이 쿠키는 브라우저 설정에서 쿠키를 차단하거나 지워 거부할 수 있습니다. 쿠키를 막아도 단추를 누르면 1-8 의 다른 정보(IP 주소 등)는 Airbridge 로 갑니다. 받기 단추 대신 App Store·Google Play 에서 직접 찾아 설치하시면 이 쿠키가 생기지 않고 1-8 의 정보도 Airbridge 로 가지 않습니다. 어느 쪽이든 앱을 받는 데 제한은 없습니다.

1-7. 서비스 이용 과정에서 자동으로 생성·수집되는 정보 (서비스 운영 로그)

앱과 웹 서비스가 운영자 서버에 요청을 보내면, 서버 운영을 맡긴 수탁자 Supabase(제6조 2)의 플랫폼이 요청마다 아래 기록을 자동으로 남깁니다. 운영자 데이터베이스의 서비스 이용 기록(제1조 1)과는 별개의 기록입니다.

• 접속 시각
• IP 주소, 그 주소로 추정한 대략적 위치(국가·지역·도시·우편번호 등)와 통신사
• 기기·브라우저 정보(User-Agent, 암호화 연결의 기술적 특징값인 TLS 지문)
• 요청한 주소(경로와, 주소에 붙은 내부 번호·페이지 값이나 네이버 로그인의 1회용 인가 코드 같은 요청 값)
• 계정 식별자 — 계정 내부 번호, 로그인 세션 식별자, 로그인 핸들(로그인 제공자 이름과 소셜 계정 식별자의 암호화 해시로 만든 내부 로그인 이름으로, 같은 소셜 계정이면 같은 값입니다)
• 로그인·로그인 갱신·로그아웃 같은 인증 기록
• 서버에서 데이터베이스 오류가 난 경우, 그때 데이터베이스에 쓰려던 값의 일부(아래)

위 기록에는 요청과 응답의 본문(내용)이 담기지 않으며, 아이의 이름 같은 입력 내용은 본문으로만 보내므로 위 기록에 남지 않습니다. 다만 서버에서 데이터베이스 오류가 나면 그때 데이터베이스에 쓰려던 값의 일부가 남을 수 있습니다(위 마지막 항목). 검색어 원문은 서버로 보내지 않습니다. 이 기록은 장애 대응과 보안(부정 이용 방지)에만 쓰며(제2조), 수탁자(Supabase)의 보관 정책에 따른 기간 동안 보관한 뒤 삭제됩니다. 수탁자는 이 기록을 별도의 로그 시스템에 보관하며, 그 저장 국가를 공개하지 않습니다(제6조 3). 계정을 삭제해도 이 기록은 함께 지워지지 않습니다(제7조).

1-8. 광고 성과 측정 (Airbridge — 그 기능을 실은 앱 판과 웹사이트·광고 링크부터)

운영자는 광고(Meta·Google·당근 등)와 이 사이트(zzazan.ai)의 앱 받기 단추가 실제 앱 설치·가입으로 이어졌는지 재기 위해 광고 성과 측정 도구 Airbridge(수탁자 (주)에이비일팔공 — AB180, 제6조 2·3)를 씁니다. 이 처리는 제6조 4의 이용 통계와 별개의 처리이며, 이용 통계와 달리 광고 성과 측정이 목적입니다. 다만 iOS 앱에서는 아래 «분석 도구를 거쳐 Google 에» 의 경우에 한해 이용 통계로 보낸 앱 첫 실행 기록을 이 목적에 함께 씁니다.

앱에서 — Airbridge 측정 도구(SDK)를 실은 앱 판부터, 광고 성과 측정에 동의한 경우에만 앱은 아래 정보를 앱에서 Airbridge 로 직접 보냅니다(운영자 서버를 거치지 않습니다).

• 앱 이벤트 — 앱 설치·실행과, 가입(새 계정을 만들었을 때와 게스트 계정에 소셜 계정을 연동했을 때), 그리고 그 시각
• 기기·네트워크 정보 — IP 주소(Airbridge 는 이 주소로 대략적 위치(국가·시·도·시·군·구)를 추정합니다), 기기 모델·종류·제조사, 운영체제 이름·버전, 앱 버전, 언어·국가·지역 설정과 시간대, 화면 크기·밀도·방향, 통신사와 연결 종류(셀룰러·Wi-Fi), 앱이 요청에 담아 보내는 기기·운영체제 정보(User-Agent)
• 기기를 구분하는 값 — Airbridge 가 만드는 무작위 식별값. iOS 앱은 Apple 검색 광고의 귀속 확인 토큰(AdServices)을, Android 앱은 Google Play 가 알려 주는 설치 경로 정보(Install Referrer — 앱을 받기 전에 누른 광고·링크의 정보)를 함께 보낼 수 있습니다
• Meta 설치 경로 정보(Meta Install Referrer — Android 앱, 그 기능을 실은 앱 판부터) — 앱을 받기 전에 기기의 Facebook·Instagram·Facebook Lite 앱에서 Meta 광고를 보거나 누른 적이 있으면 그 앱이 기기에 암호화해 두는 광고 정보(광고 계정·캠페인 그룹·캠페인·광고 세트·광고의 번호와 이름, 광고 목표, 광고가 나온 곳과 Instagram 광고인지 여부, 광고를 누른 것인지 본 것인지와 그 시각)입니다. 앱은 측정 도구가 켜진 뒤 이 정보를 읽어 암호화된 그대로 Airbridge 로 보내고, Airbridge 는 운영자가 맡긴 해독 키로 풀어 설치가 어느 Meta 광고에서 왔는지 판정합니다

광고 식별자(iOS 의 IDFA, Android 의 Google 광고 ID(GAID)·OAID·FAID)와 iOS 의 IDFV, Android 의 App Set ID 는 보내지 않도록 막아 두었고, iOS 앱은 처음 시작할 때 광고 성과 측정에 동의한 경우에 한해 운영체제의 추적 허용 요청(App Tracking Transparency)을 띄웁니다(아래 «분석 도구를 거쳐 Google 에»). 추적을 허용해도 광고 식별자는 보내지 않습니다. 계정 ID·이메일·전화번호 같은 계정 정보와 사진·영상, 아이의 정보는 Airbridge 로 보내지 않습니다.

이 동의는 선택입니다. 앱은 처음 시작할 때의 개인정보 처리 동의 화면에 있는 선택 항목 «광고 성과 측정 동의», 앱이 한 번 띄우는 «광고 성과 측정» 안내(이 기기에서 아직 고르지 않았거나, 동의한 뒤 동의 문안이 바뀐 경우 — 동의 말고 다른 단추를 누르거나 닫으면 동의하지 않은 것으로 봅니다), 앱 설정의 «광고 성과 측정»(기본 꺼짐)에서 위 정보의 수집·이용과 국외 이전(제6조 3), 광고 매체 제공(제6조 1·3 — iOS 앱은 아래 «분석 도구를 거쳐 Google 에» 의 처리를 포함)을 알리고 동의를 받으며, 동의하지 않아도 서비스 이용에 불이익이 없습니다. 그 기능을 실은 앱 판부터는 이 동의가 분석 도구(Google)로 이용 통계를 보내는 조건이기도 합니다 — 동의하지 않으면 이용 통계는 운영자 서버로만 갑니다(제6조 4). 그 항목을 체크했거나, 그 안내에서 동의했거나, 앱 설정에서 «광고 성과 측정» 을 켠 경우(그 기능을 실은 앱 판부터는 같은 계정으로 쓰는 다른 기기에서 그렇게 한 경우 포함)에만 Airbridge 측정 도구가 켜집니다 — 그 전에는 측정 도구를 시작하지 않아 설치 이벤트도 보내지 않고, 이미 앱을 쓰던 이용자도 켜기 전까지는 꺼져 있습니다. 동의는 앱 설정의 개인정보 · 동의 관리 화면에서 «광고 성과 측정» 을 꺼 언제든 철회할 수 있고, 철회하면 측정 도구가 멈춥니다(그 기능을 실은 앱 판부터는 그 계정으로 쓰는 모든 기기에서 — 제5조 6). 동의가 있어도 "이용 통계 보내기"를 끄면 Airbridge 로의 전송이 멈춥니다 — 동의와 "이용 통계 보내기"가 모두 켜져 있을 때만 보냅니다(제6조 4).

웹사이트에서 — 이 사이트의 App Store·Google Play 받기 단추가 Airbridge 링크를 거치는 때부터, 단추를 누르면 브라우저가 Airbridge 의 링크 주소를 거쳐 스토어로 이동합니다. 이때 Airbridge 는 단추를 누른 시각, IP 주소, 브라우저가 요청에 담아 보내는 정보(브라우저와 운영체제의 이름·버전 등이 담긴 User-Agent, 언어 설정 등), 링크에 담긴 경로 값(이 사이트의 받기 단추라는 표시와 캠페인 이름 — 캠페인 이름에는 이 사이트에 들어온 경로가 담길 수 있습니다. 예: 인스타그램 소개 링크로 연 지면의 받기 단추), AB180 이 abr.ge 도메인에 두는 쿠키의 식별값(ab180ClientId — 유효기간 최대 10년, 1-6)을 받습니다. 받기 단추는 참조 주소(어느 지면에서 눌렀는지)를 보내지 않도록 되어 있습니다. 단추를 누르기 전에 동의를 받을 수 없어, 이 처리는 이 방침의 고지로 합니다(제6조 3). 이 사이트의 받기 단추를 거친 설치를 광고에서 온 설치와 나눠 세는 데 씁니다. 받기 단추 대신 App Store·Google Play 에서 직접 찾아 설치하시면 이 정보는 Airbridge 로 가지 않습니다.

광고 링크를 누를 때 — Airbridge 추적 링크를 쓰는 광고(Meta·당근 광고)를 누르면 브라우저가 Airbridge 의 링크 주소(abr.ge)를 거쳐 스토어나 이 사이트로 이동합니다. 이때 Airbridge 는 광고를 누른 시각, IP 주소, 브라우저가 요청에 담아 보내는 정보(User-Agent·언어 설정 등), 링크에 담긴 캠페인 값(매체·캠페인·광고 소재의 이름 등), AB180 이 abr.ge 도메인에 두는 쿠키의 식별값(ab180ClientId — 유효기간 최대 10년, 1-6)을 받습니다. 당근 광고는 당근이 링크에 채워 넣는 값 — 클릭 식별값, 당근의 광고·요청 정보 값(그 내용은 당근이 정합니다), 리타게팅 광고인지 여부 — 도 함께 받습니다. 광고 식별자는 링크에 담지 않습니다. 광고를 누르기 전에 동의를 받을 수 없어, 이 처리는 이 방침의 고지로 합니다(제6조 3). 앱을 받은 뒤 광고 성과 측정에 동의하시면 이 기록으로 설치가 어느 광고에서 왔는지 판정합니다(동의하고 "이용 통계 보내기"가 켜져 있을 때만 앱이 Airbridge 로 보냅니다 — 그렇지 않으면 앱은 보내지 않습니다). 광고를 누르지 않고 App Store·Google Play 에서 직접 찾아 설치하시면 이 정보는 Airbridge 로 가지 않습니다.

광고 매체에 — 광고 매체(Meta·Google·당근)를 Airbridge 와 연동한 때부터, Airbridge 는 광고 성과 측정에 동의한 이용자의 앱 설치와 운영자가 고른 이벤트(가입 등)를 그 매체에 제공하고, 매체는 그것이 자기 광고로 이어진 것인지 판정해 광고 성과 측정과 캠페인 최적화에 씁니다(제6조 1·3). 당근에는 Android 앱의 이벤트 가운데 Airbridge 가 당근 광고에서 온 것으로 판정한 것만 제공하고, iOS 앱의 이벤트는 제공하지 않습니다(제6조 1).

분석 도구를 거쳐 Google 에(iOS 앱 — 그 기능을 실은 앱 판에서 분석 도구를 Google 광고와 연결한 때부터) — 처음 시작할 때 광고 성과 측정에 동의하면 iOS 앱은 이어서 운영체제의 추적 허용 요청(App Tracking Transparency)을 한 번 띄웁니다(그 뒤 앱 설정이나 안내에서 동의한 경우에는 띄우지 않습니다 — 그 기기의 첫 실행 기록은 이미 나갔기 때문입니다). 광고 성과 측정 동의, 추적 허용, "이용 통계 보내기"가 모두 켜져 있을 때만 이용 통계(제6조 4)로 분석 도구(Google Analytics for Firebase)에 보낸 앱 첫 실행 기록을 Google 이 광고 성과 측정에 씁니다 — Google 은 그 설치가 자기 광고(Google 광고)에서 온 것인지 판정해 광고 성과 측정과 캠페인 최적화에 씁니다(제6조 1·3). 분석 도구가 그 기록과 함께 받는 정보(제6조 4 표의 분석 도구 열 — 앱 인스턴스 식별자·기기 식별자(IDFV)·기기 모델·운영체제와 앱의 버전·대략적 지역 등)가 함께 쓰일 수 있습니다. 그 기능을 실은 앱 판부터는 이 판정을 위해 앱에 들어 있는 Google 의 광고 측정 모듈(기기 내 전환 측정)이 분석 도구가 처음 켜질 때(맞춰 보기를 마치지 못하면 그 뒤에 다시 할 수 있습니다) 분석 도구를 거치지 않고 Google 광고 서버에 직접 접속해, 기기 안에서 만든 암호화된 질의값으로 그 설치가 Google 광고에서 왔는지 맞춰 봅니다. 이때 Google 로 가는 것은 IP 주소, 기기와 앱 정보(기기 모델·운영체제와 앱의 버전·언어·시간대·User-Agent 등), 앱이 처음 켜진 시각, 이 모듈이 기기에 만드는 무작위 설치 식별값, 그 암호화된 질의값입니다. 맞춰 본 결과는 그 무작위 설치 식별값과 함께 앱 첫 실행 기록에 붙어 분석 도구로 갑니다. 이 모듈은 광고 식별자(IDFA)·이메일 주소·전화번호를 쓰지 않습니다. 셋 가운데 하나라도 꺼져 있으면 앱은 분석 도구에 광고 이용을 허용하지 않는다고 알리고, 기기 내 전환 측정도 시작하지 않아 Google 광고 서버에 접속하지 않습니다. 광고 성과 측정 동의나 추적 허용이 없는 iOS 기기는 분석 도구로 이용 통계를 아예 보내지 않으므로(그 기기의 이용 통계는 운영자 서버로만 갑니다 — 제6조 4), Google 은 그 기기의 기록을 받지 않고 광고 측정에도 쓰지 않습니다. 맞춤형 광고와 리마케팅에는 어느 경우에도 쓰지 않으며, 광고 식별자(IDFA)는 추적을 허용해도 보내지 않습니다. 추적 허용은 기기 설정(설정 › 개인정보 보호 및 보안 › 추적)에서 언제든 끌 수 있고, 허용하지 않아도 서비스 이용에 불이익이 없습니다. Android 앱의 이용 통계는 이 목적에 쓰지 않습니다.

Apple 의 광고 귀속(SKAdNetwork) — iOS 앱은 그 기능을 실은 앱 판부터, 처음 실행될 때 Apple 이 운영체제에 둔 개인정보 보호형 광고 귀속 장치(SKAdNetwork)에 설치를 등록합니다. 앱을 받기 전에 이 장치를 쓰는 광고를 보셨다면, 기기가 Apple 을 거쳐 그 광고 매체에 그 광고에서 설치가 일어났다는 신호(캠페인 번호와 전환값)를 보냅니다. Apple 이 이 신호를 늦추고 묶어 보내며 기기·계정 식별자를 담지 않으므로, 운영자도 매체도 누가 설치했는지 알 수 없습니다. 이 등록으로 운영자 서버나 Airbridge 로 가는 정보는 없으며, 광고 성과 측정 동의와 상관없이 이루어집니다. 광고 성과 측정에 동의한 경우에는 Airbridge 측정 도구가 앱 이벤트에 따라 이 전환값을 바꿀 수 있습니다.

Airbridge 에 보낸 정보는 수탁자와의 계약 기간 동안(처리한 때부터 최대 5년) 보관되고, 계약이 끝나고 30일이 지나면 모두 지워집니다(제7조). 계정과 연결해 보내지 않으므로 계정을 삭제해도 함께 지워지지 않습니다. 다만 그 기능을 실은 앱 판부터는 광고 성과 측정을 철회하거나 계정을 삭제하면, 그 계정으로 쓰는 각 기기의 정보 삭제를 Airbridge 에 요청하기 위해 각 기기가 자기 Airbridge 무작위 식별값을 계정과 연결하지 않은 삭제 요청으로 운영자 서버에 보내고, 운영자는 그 값으로 Airbridge 에 삭제를 요청한 뒤 지웁니다. 광고 매체에 이미 제공된 정보는 각 매체의 개인정보 처리방침을 따릅니다.

1-9. 웹사이트 접속과 방문 통계 (Cloudflare)

지면 전송 — 이 사이트(zzazan.ai)와 웹 서비스(app.zzazan.ai), 초대 지면(invite.zzazan.ai)은 수탁자 Cloudflare(제6조 2·3)의 네트워크를 거쳐 전송됩니다. 지면을 열 때마다 브라우저가 보내는 IP 주소, 요청한 주소(초대 지면은 초대 링크의 주소), 브라우저가 요청에 담아 보내는 정보(User-Agent·언어 설정 등)와 이 사이트의 쿠키(1-6)가 Cloudflare 를 거치며, Cloudflare 는 이를 지면 전송과 보안(공격 차단)에 씁니다. 운영자는 Cloudflare 의 관리 화면에서 요청 수·국가별 분포 같은 합계와 보안 기능이 막은 요청의 기록(IP 주소 포함)을 볼 수 있을 뿐, 이 기록을 따로 내려받아 보관하지 않습니다. 이 기록은 Cloudflare 의 보관 정책에 따른 기간 동안 보관됩니다(제7조).

방문 통계 — 이 사이트(zzazan.ai)의 지면(첫 화면과 처리방침·이용약관·고객 지원 같은 안내 지면)에는 Cloudflare 의 방문 통계 스크립트(Cloudflare Web Analytics)가 있습니다. 지면을 열면 이 스크립트가 그 지면의 주소와 그 지면으로 오기 전의 페이지 주소(둘 다 주소 뒤의 질의 문자열과 «#» 뒤는 브라우저에서 지운 뒤 보냅니다), 브라우저·운영체제의 이름과 버전과 기기 종류(User-Agent 등), 지면을 불러오는 데 걸린 시간 같은 성능 값, 지면을 열 때마다 새로 만드는 무작위 번호를 Cloudflare 로 보내고, Cloudflare 는 그 요청의 IP 주소로 방문 국가를 추정합니다. 이 스크립트는 쿠키나 브라우저 저장소를 쓰지 않고, 방문자를 알아보는 식별값을 만들지 않습니다. 운영자는 방문 수·많이 본 지면·들어온 경로·국가와 기기별 분포·지면 속도를 합계로만 보고 사이트를 고치는 데 씁니다. 지면을 열기 전에 동의를 받을 수 없어, 이 처리는 이 방침의 고지로 합니다(제6조 3). Cloudflare 는 받은 기록을 7일 동안 그대로 두고 그 뒤에는 약 10% 의 표본으로 줄여 보관합니다(운영자가 볼 수 있는 것은 최근 6개월치입니다 — 제7조). 이 스크립트(static.cloudflareinsights.com)는 브라우저의 추적·콘텐츠 차단 기능으로 막을 수 있고, 막아도 이 사이트 이용에는 영향이 없습니다. 웹 서비스(app.zzazan.ai)와 초대 지면에는 이 스크립트가 없습니다.

2. 원본 백업을 이용하시는 경우 (소셜 계정 연동 후 기본 제공)

원본 백업은 소셜 계정을 연동한 계정에 기본으로 제공되는 서비스의 전제입니다. 별도의 동의 화면을 두지 않으며, 계정을 준비할 때 이 조항에 대한 동의를 기록합니다 — 동의 이력에는 동의를 받은 화면이 "기본 설정"으로 그대로 남습니다(제5조 1). 백업을 원하지 않으시면 백업을 실행하지 않으시면 되고(자동 업로드는 기본적으로 꺼져 있습니다), 백업을 실행하기 전에는 아래 항목이 서버에 저장되지 않습니다.

• 사진·영상 원본 파일 및 서비스 표시용 변환 이미지
• 백업 관리 정보(촬영 시각·파일 크기·무결성 해시·버전 이력)
• 공유 앨범 구성 정보

백업한 사진·영상을 지운 뒤에도 사진마다 관리 기록(삭제 표식)이 남습니다(제7조).

원본 파일에는 촬영 정보(EXIF)가 그대로 보존됩니다. 촬영 일시, 기기 정보, 그리고 촬영 위치 좌표가 포함될 수 있습니다. 운영자는 원본을 이용자가 올린 그대로 보관하며 임의로 변형하지 않습니다.

3. 아이 정보 동기화를 이용하시는 경우 (소셜 계정 연동 후 기본 제공 — 설정에서 끌 수 있음)

아이 정보 동기화는 소셜 계정을 연동한 계정에 기본으로 켜집니다. 별도의 동의 화면을 두지 않으며, 계정을 준비할 때 이 조항에 대한 동의를 "기본 설정" 출처로 기록합니다(제5조 1). 보호자는 앱 설정의 개인정보 · 동의 관리 화면에서 언제든 끌 수 있고(스위치 이름은 앱 판에 따라 "인물 정보 서버 동기화" 또는 "아이 정보 동기화"입니다), 끄면 서버에 보관된 아래 항목은 즉시 이용을 중단하고, 지체 없이 삭제합니다(제4조 4). 아이를 등록하지 않아도 백업한 사진의 태그(지역 이름을 서버에 동기화하는 앱 판부터는 촬영 지역 이름 포함)는 동기화되며, 아이의 정보와 사진·아이 연결은 동기화되지 않습니다.

• 아이의 이름·애칭·생년월일·기준 시간대·보호자와의 관계
• 사진과 아이의 연결 정보, 태그·장소 라벨·성장 기록 연결
• 공유 앨범에 등록한 그룹 아이 프로필(그 앨범에서 쓰는 아이의 표시 이름)과 사진에 붙인 아이 표시(제6조 1)
• 백업한 사진의 촬영 지역 이름 — 지역 이름을 서버에 동기화하는 앱 판부터(제3조 3)

3-2. 유료 구독을 이용하시는 경우에만

이 절은 웹에서 유료 구독을 판매하는 때부터 적용되며, 그 전에는 아래 항목이 처리되지 않습니다. 웹 유료 구독은 이용약관에 공급자로 표시된 사업자가 공급하고, 결제 대행 Paddle 이 각 주문의 판매자(Merchant of Record)로서 판매하고 결제를 처리합니다(제6조 1). 운영자는 Paddle 이 서명해 보내는 알림과 Paddle 의 조회 기능으로 아래 항목을 받아 저장합니다.

결제에 필요한 이메일 주소·청구지·결제수단 정보는 이용자가 Paddle 의 결제 화면에 직접 입력하며, Paddle 이 자신의 개인정보 처리방침에 따라 처리합니다(제6조 1·3). 운영자는 이메일 주소 등 이용자의 연락처를 Paddle 에 보내지 않습니다. Paddle 의 알림에는 위 항목 말고도 결제수단의 요약(4) 등이 함께 실려 올 수 있으며, 운영자는 위 표의 항목만 저장합니다. 해지·환불은 이용약관과 환불 정책이 정한 방법 — Paddle 의 결제 확인 메일과 paddle.net, 운영자의 고객 지원(support@zzazan.ai) 등 — 으로 하실 수 있고, 환불은 Paddle 이 처리합니다. 해지는 그 결제 기간이 끝날 때, 환불은 처리되는 즉시 반영되어 저장 용량이 무료 기준으로 되돌아가고, 구독·결제 기록은 제7조의 기준에 따라 처리됩니다.

4. 운영자가 수집하지 않는 정보

• 얼굴 인식 정보 일체 — 얼굴 특징값·얼굴 부분 이미지·검출 좌표는 이용자 기기에만 존재하며 서버로 전송되지 않습니다.
• 소셜 계정의 이메일 주소를 대조·저장하지 않으며, 서로 다른 소셜 계정을 자동으로 하나의 계정으로 합치지 않습니다.
• 소셜 로그인 프로필(이름·닉네임·이메일·프로필 사진 주소) — 로그인할 때 제공자(Apple·Google·Kakao·Naver)가 앱에 넘겨주는 값으로, 앱은 계정 화면에 보여 주기 위해 기기에만 저장합니다. 로그인 확인 과정에서 제공자의 로그인 토큰(이메일 등이 담길 수 있습니다)이 운영자 서버를 거치지만, 서버는 계정 식별자를 해시로 바꿔 쓸 뿐 나머지 값은 저장하지 않고 버립니다. 로그아웃하거나 앱을 삭제하면 기기에서도 지워집니다.
• 아이 정보를 수정한 경우의 이전 값 — 어떤 형태로도(기록·로그 포함) 보관하지 않습니다.
• 광고 식별자(iOS IDFA · Android 광고 ID) — 이용 통계(제6조 4)·오류 진단(제6조 5)·광고 성과 측정(1-8) 어디에서도 수집하지 않습니다.
• 검색어 원문, 아이의 이름·생년월일, 정밀 위치는 로그에 기록하지 않으며, 검색어 원문은 서버로 보내지도 않습니다. 다만 서버에서 데이터베이스 오류가 나면 서비스 운영 로그(1-7)에 그때 데이터베이스에 쓰려던 값의 일부가 남을 수 있으며, 이 값은 1-7의 보관 정책에 따라 삭제됩니다.
• 카드번호 등 결제수단 정보 — 유료 구독의 결제는 결제 대행 Paddle 이 판매자(Merchant of Record)로서 처리합니다(웹에서 유료 구독을 판매하는 때부터). 이용자가 Paddle 의 결제 화면에 입력하는 카드번호 전체와 보안코드(CVC)는 운영자에게 전달되지 않으며, 운영자는 이를 받거나 보관하지 않습니다. 다만 Paddle 이 보내는 거래 알림에는 결제수단의 종류, 카드 브랜드, 카드번호 끝 네 자리, 유효기간(월·연), 카드에 적힌 이름이 함께 실려 올 수 있으며, 서버는 이 값을 저장하거나 기록하지 않고 버립니다(3-2).

제2조 (개인정보의 처리 목적)

운영자는 위 목적 외의 용도로 개인정보를 이용하지 않으며, 목적을 바꾸거나 더할 때는 사전에 동의를 받습니다. 다만 당초 수집 목적과 합리적으로 관련된 범위에서는 동의 없이 이용할 수 있으며(개인정보 보호법 제15조 제3항), 운영자는 ① 당초 수집 목적과 관련이 있는지 ② 수집한 정황이나 처리 관행에 비추어 이용자가 예측할 수 있는지 ③ 이용자의 이익을 부당하게 침해하지 않는지 ④ 가명처리·암호화 등 안전성 확보에 필요한 조치를 했는지를 기준으로 판단합니다. 이 경우에도 위 표에 그 목적을 적고 제11조에 따라 시행 전에 이 지면에 알립니다.

제3조 (위치정보의 처리)

1. 운영자는 별도의 실시간 위치 추적을 하지 않습니다. 이용자의 이동 경로나 현재 위치를 수집·축적하지 않습니다. 다만 서비스 운영 로그에는 접속한 IP 주소로 추정한 대략적 위치(국가·지역·도시·우편번호 등)가 함께 기록되고(제1조 1-7), 광고 성과 측정에서는 Airbridge 가 IP 주소를 받아 그 주소로 대략적 위치(국가·시·도·시·군·구)를 추정합니다(제1조 1-8).
2. 사진 원본에 포함된 촬영 위치 좌표는 원본을 백업하면 원본과 함께 보관됩니다(제1조 2). 다운로드 권한이 있는 공유 앨범 구성원이 원본을 내려받으면 이 좌표도 함께 전달됩니다(제6조 1).
3. 촬영 지역(예: "○○시 ○○구") 이름은 기기에서 정합니다. 앱은 가까운 곳에서 찍은 사진들을 위도·경도 0.05° 격자(약 5km)로 묶고 격자 대표점의 좌표만 기기 운영체제 제공자의 위치 이름 변환 서비스(지오코딩)로 보내 지역 이름을 받습니다 — iOS 앱은 Apple(Apple Inc., 미국), Android 앱은 Google(기기의 Google Play 서비스 — Google LLC, 미국)입니다(제6조 2·3). 로그인하지 않고(게스트로) 이용하실 때도 같습니다. 로그인한 계정에서는 아이 정보 동기화가 켜져 있을 때만 보냅니다. 개별 사진의 정확한 좌표나 사진은 보내지 않으며, 받은 지역 이름은 기기에 저장합니다. 지역 이름을 서버에 동기화하는 앱 판부터는 백업한 사진에 붙은 지역 이름을 그 사진의 태그로 운영자 서버에 동기화합니다. 서버에 저장되는 것은 국가~동 수준의 지역 이름과 그 이름이 어느 백업한 사진에 붙었는지이며, 좌표와 사진 묶음 정보는 보내지 않습니다. 백업하지 않은 사진의 지역 이름은 기기에만 있습니다. 이 동기화는 아이 정보 동기화에 속해(제1조 3) 로그인하고 아이 정보 동기화를 켠 경우에만 이루어집니다. 서버의 지역 이름은 백업한 사진을 지역으로 찾는 데와 클라우드에서 보는 본인의 사진에 촬영 지역을 표시하는 데 쓰이고, 공유 앨범에 올린 사진이면 그 앨범 구성원에게도 보입니다(제6조 1). 아이 정보 동기화를 끄면 즉시 이용을 중단하고 지체 없이 삭제하며(제4조 4), 계정 삭제가 완료되면 함께 지웁니다(제7조). 그 전 앱 판은 지역 이름을 서버로 보내지 않습니다. 운영자 서버는 촬영 지역을 판정하지 않고, 원본 파일(2)과 별도로 위치 좌표를 보관하지 않습니다 — 예전에 서버가 보관하던 사진 묶음의 대표 좌표와 서버가 판정해 붙이던 장소 태그는 삭제했습니다(서비스 운영 로그에 IP 주소로 추정한 대략적 위치가 남는 것과, 서버에서 데이터베이스 오류가 났을 때 데이터베이스에 쓰려던 값의 일부가 남을 수 있는 것은 제1조 1-7). 일부 앱 판은 같은 격자 대표점을 운영자 서버의 예전 주소로도 보내지만, 서버는 이를 읽거나 저장하지 않고 거절합니다.
4. 사진 지도 화면은 기기의 위치 권한을 허용한 경우 현재 위치를 지도의 처음 중심을 잡는 데만 사용합니다. 이 위치는 기기 안에서만 쓰이며 저장하거나 사진에 첨부하거나 서버로 전송하지 않습니다. 권한을 거부해도 지도는 사진 전체를 담아 열립니다. iOS 앱의 지도 화면은 기기에 내장된 Apple 지도로 표시됩니다.

제4조 (아동의 개인정보)

1. 이 서비스는 보호자가 자녀의 사진과 정보를 보관·공유하는 것을 목적으로 합니다. 서비스에 가입하고 이용하는 주체는 보호자(성인)이며, 아이는 서비스에 직접 가입하지 않습니다.
2. 보호자가 소셜 계정으로 로그인해 앱을 이용하고 자녀의 정보("아이 정보 동기화" 대상 — 이름·애칭·생년월일 등)를 직접 등록하는 행위를 법정대리인의 동의로 봅니다. 운영자는 보호자가 자녀에 대한 법정대리권을 가진 것을 전제로 서비스를 제공합니다.
3. 아이 정보 동기화는 소셜 계정 연동 후 기본으로 켜지며, 별도의 동의 화면을 거치지 않습니다(제1조 3, 제5조 1). 보호자는 앱 설정에서 언제든 끌 수 있고, 꺼 두어도 사진 백업 등 나머지 기능은 이용할 수 있습니다. 다만 서버 검색, 촬영 지역 이름 붙이기, 공유 앨범의 그룹 아이 프로필처럼 아이 정보가 필요한 기능은 동작하지 않습니다.
4. 보호자가 아이 정보 동기화를 끄면(동의 철회) 서버에 보관된 아이 정보 — 아이 프로필, 사진과 아이의 연결, 태그(서버에 동기화한 촬영 지역 이름 포함)·장소 라벨, 공유 앨범의 아이 표시 — 는 즉시 이용을 중단하고, 지체 없이 삭제합니다. 유예 기간은 없으며 대부분은 끄는 그 자리에서 지웁니다. 다만 백업된 사진마다 붙어 있던 자동 태그의 참조 목록은 서버의 정리 작업이 15분마다 정해진 분량씩 차례로 비웁니다. 그래서 사진이 많거나 정리를 기다리는 계정이 많으면 다 비울 때까지 시간이 걸리며, 끝나는 시각을 미리 정해 두지 않습니다. 비우기 전에도 이 참조는 조회·검색·공유 어디에도 쓰이지 않습니다.
5. 운영자는 아이에게 직접 마케팅을 하거나, 아이의 정보를 프로파일링·광고에 이용하지 않습니다. 광고 성과 측정(제1조 1-8)에도 아이의 정보를 보내지 않습니다. 얼굴 인식 정보는 서버에 저장하지 않습니다.

제5조 (동의와 동의 철회)

1. 원본 백업과 아이 정보 동기화는 소셜 계정을 연동한 계정에 기본으로 제공되며(제1조 2·3), 두 항목의 동의는 별도의 동의 화면 없이 계정을 준비할 때 기록됩니다. 그 기록은 화면 출처를 "기본 설정"으로 남깁니다. 이용자가 앱 설정에서 아이 정보 동기화를 직접 끄거나 다시 켠 기록은 그 설정 화면을 출처로 남겨 기본 설정과 구분됩니다. 화면 출처가 없는 동의 기록은 서버가 거부합니다.
2. 동의 기록에는 어느 화면에서 받은 동의인지와 당시의 고지 문안 버전이 함께 남습니다.
3. 게스트(로그인 없이 이용) 상태에서는 서버 저장에 관한 동의를 받지 않으며, 동의 기록도 생성되지 않습니다. 소셜 계정을 연동하면 원본 백업과 아이 정보 동기화가 제1조 2·3에 따라 기본으로 기록됩니다(제1조 1-2). 다만 광고 성과 측정 동의는 그 기능을 실은 앱 판부터 게스트도 기록합니다(제5조 6).
4. 아이 정보 동기화는 언제든지 앱 설정에서 끌 수 있습니다(동의 철회). 원본 백업은 앱에 철회 설정을 두지 않습니다.
   • 아이 정보 동기화를 끄면: 서버에 보관된 아이 정보는 즉시 이용을 중단하고, 지체 없이 삭제합니다(유예 없음 · 자동 태그 참조의 정리는 제4조 4). (이용자 기기의 데이터와 이미 백업된 사진 원본은 유지됩니다.)
   • 원본 백업: 백업을 원하지 않으시면 백업을 실행하지 않으시면 되고, 이미 백업된 원본은 이용자가 개별 삭제하거나 계정을 삭제할 때 제7조에 따라 처리됩니다. 원본 백업 처리의 중단을 원하시면 제10조의 연락처로 요청하실 수 있습니다.
5. 이 방침이 개정되면 제11조에 따라 이 지면에 알립니다. 원본 백업과 아이 정보 동기화는 동의 화면이 없으므로 재동의 절차를 두지 않습니다. 개정 내용에 동의하지 않으시면 아이 정보 동기화는 앱 설정에서 끄고, 원본 백업 처리의 중단은 제10조의 연락처로 요청하실 수 있습니다.
6. 광고 성과 측정(제1조 1-8)은 그 기능을 실은 앱 판에서 따로 동의를 받습니다 — 처음 시작할 때의 개인정보 처리 동의 화면에 있는 선택 항목 «광고 성과 측정 동의», 앱이 한 번 띄우는 «광고 성과 측정» 안내(제1조 1-8), 앱 설정의 «광고 성과 측정»(기본 꺼짐). 이 동의는 선택이며, 동의하지 않거나 철회해도 서비스 이용에 불이익이 없습니다. 동의하기 전에는 Airbridge 측정 도구가 켜지지 않고, 앱 설정의 개인정보 · 동의 관리 화면에서 «광고 성과 측정» 을 꺼 언제든 철회할 수 있으며, 철회하면 그때부터 Airbridge 로 보내지 않습니다(이미 보낸 정보는 제7조의 보유 기간에 따라 처리되며, 그 기능을 실은 앱 판부터는 그 계정으로 쓰는 각 기기의 정보 삭제를 Airbridge 에 요청합니다 — 제1조 1-8). iOS 앱은 이 동의를 철회하거나 기기 설정에서 추적 허용을 끄면 그때부터 분석 도구로 이용 통계를 보내지 않아 Google 광고 측정에 쓰이지 않습니다(제1조 1-8 · 제6조 4). 그 기능을 실은 앱 판부터 이 동의는 계정 단위로 운영자 서버의 동의 이력(제1조 1)에 기록합니다 — 게스트도 기록하며, 동의·철회 시각은 서버가 받은 시각이고 고지 문안 판과 동의를 받은 화면이 함께 남습니다. 한 계정의 선택은 그 계정으로 쓰는 모든 기기에 적용되어, 어느 기기에서 철회해도 모든 기기에서 측정이 멈춥니다. 기기마다의 추적 허용은 iOS 의 추적 허용 요청(App Tracking Transparency)이 정합니다. 그 전 앱 판은 동의 여부를 기기에 저장하며 운영자 서버로 보내지 않습니다.

제6조 (개인정보의 제3자 제공·처리 위탁·국외 이전)

1. 제3자 제공

운영자는 이용자의 개인정보를 제3자에게 제공하지 않습니다. 다만 이용자가 스스로 공유 앨범(앱 화면의 "그룹")에 초대한 가족에게는 이용자의 선택에 따라 아래 정보가 보이고, 웹에서 유료 구독을 구매하면 결제 대행 Paddle 과 이 항의 끝에 적은 정보를 주고받으며, 광고 성과 측정에 동의한 경우 광고 매체(Meta·Google·당근)에 이 항의 끝에 적은 광고 성과 정보가 제공됩니다(그 매체를 광고 성과 측정 도구와 연동한 때부터 — iOS 앱에서 Google 로는 분석 도구를 거쳐서도).

• 사진·영상 — 이용자가 설정한 권한 범위(보기·다운로드·편집·초대)만큼 공개됩니다. 다운로드 권한이 있는 구성원은 원본을 내려받을 수 있고, 원본에는 촬영 일시·기기 정보·촬영 위치 좌표 같은 촬영 정보(EXIF)가 그대로 들어 있습니다(제1조 2). 초대 권한이 있는 구성원은 다른 사람을 그 앨범에 초대할 수 있습니다.
• 보호자 프로필 — 표시 이름과 아바타 색. 그 앨범에서 쓸 별명을 정했다면 별명이 보입니다(제1조 1-5).
• 그룹 아이 프로필 — 이용자가 공유 앨범에 자기 아이를 등록하면(등록 화면에서 "이 이름은 그룹 구성원 모두에게 보인다"는 안내를 거칩니다), 그 앨범의 소유자와 보기 권한이 있는 구성원에게 그 아이의 표시 이름 하나와, 그 앨범의 사진 가운데 그 아이가 표시된 사진(아이별 모아보기·장수)이 보입니다. 아이 표시는 사진을 앨범에 올린 사람이 붙이며, 앨범 자동 업로드 기능이 있는 앱 판에서는 올린 사람의 기기가 그 아이로 알아본 사진에 자동으로 붙기도 합니다. 아이의 애칭·생년월일·관계와 얼굴 정보는 보이지 않으며, 그룹 아이 프로필의 대표 사진은 구성원마다 자기 기기에서 고를 뿐 서버로 보내지 않습니다. 공개를 거두려면 그 프로필을 삭제하거나(만든 사람 — 앨범 소유자도 삭제할 수 있습니다) 내 아이의 연결을 해제하면 됩니다. 다른 구성원이 같은 프로필에 자기 아이를 연결해 두었다면 프로필은 남고 내 연결만 풀립니다. 앨범을 떠나면 내 연결이 지워지고(남은 연결이 없는 프로필은 함께 지워집니다), 아이 정보 동기화를 끄면 내 연결과 내 사진에 붙은 아이 표시가 지워집니다(제1조 3).
• 사진의 파생 태그 — 기기의 분석이 붙인 사물·장면·상황·미디어 종류 태그와, 지역 이름을 서버에 동기화하는 앱 판부터는 촬영 지역 이름 태그(제3조 3). 감정·관계·성장 시점 태그와 직접 입력한 태그는 보이지 않습니다.

초대 링크는 받은 사람만이 아니라 링크를 가진 사람이면 누구나 만료 전(발급 후 7일)까지 쓸 수 있으니, 링크를 보낼 곳을 확인해 주세요. 이용자가 공유를 취소하거나 권한을 철회하면 운영자 서버를 통한 접근은 즉시 차단됩니다. 다만 구성원이 이미 내려받은 원본과, 구성원 기기에 이미 전달된 이름·아이 표시·태그는 회수되지 않습니다.

다른 사람의 공유 앨범에 올린 사진(그 방식을 쓰는 앱 판부터) — 구성원이 다른 사람의 공유 앨범에 사진·영상을 올리면 그 원본은 올린 구성원이 아니라 앨범 소유자의 클라우드에 저장되고 앨범 소유자의 저장 용량으로 계산됩니다. 앱은 올리기 전에 이 사실을 알립니다. 올린 구성원은 그 사진을 앨범에서 뺄 수만 있고 앨범 소유자의 클라우드에 있는 원본을 지우거나 회수할 수 없으며, 원본의 삭제는 앨범 소유자가 합니다. 올린 구성원이 앨범을 떠나거나 계정을 삭제해도 사진은 앨범 소유자의 클라우드에 남고, 앨범 소유자가 계정을 삭제하면 함께 지워집니다(제7조). 그 전 앱 판으로 올린 사진은 지금처럼 올린 사람의 클라우드에 있으며 옮기지 않습니다.

가족 그룹 구성원 명부(그 기능을 제공하는 때부터) — 웹 서비스의 가족 그룹(제1조 1-5)에서는 그 그룹의 소유자와 구성원이 서로의 표시 이름·아바타 색·합류 시각과 누가 소유자인지를 볼 수 있습니다. 구성원을 가리키는 데 쓰는 계정 내부 번호도 함께 전달됩니다. 구성원별 사용량, 이메일 주소, 로그인 제공자 정보는 보이지 않으며, 이름으로 다른 계정을 찾는 기능은 없습니다. 계정 삭제를 기다리는 사람도 삭제가 끝날 때까지 명부에 그대로 보이며, 삭제 예정이라는 표시는 하지 않습니다. 계정 삭제가 끝나거나 가족 그룹을 떠나면 명부에서 바로 빠집니다. 다른 구성원에게 보이지 않게 하려면 그 가족 그룹에서 나가면 됩니다.

결제 대행 Paddle(웹에서 유료 구독을 판매하는 때부터) — 웹 유료 구독은 이용약관에 공급자로 표시된 사업자가 공급하고 Paddle 이 판매합니다. Paddle 은 그 사업자의 온라인 리셀러로서 각 주문의 판매자(Merchant of Record)가 되어 이용자와 구매 계약을 맺고 결제·세금·환불을 처리합니다. Paddle 은 이용자가 결제 화면에 입력한 정보를 스스로 정한 목적과 방법으로 처리하는 독자적인 처리자로, 자신을 처리의 목적·방법을 정하는 자(Controller)로 밝히고 있습니다.

이용자가 결제를 시작하면 운영자는 웹 구매 화면에서 아래 3의 사항을 알리고 이용자의 동의를 받은 뒤, 고른 요금제와 구매를 이 계정에 연결하기 위한 결속값을 Paddle 에 전달합니다. 이미 구독한 적이 있는 계정이면 그 계정의 Paddle 고객 ID·구독 ID 도 함께 전달하고, 이용자가 요청한 구독 관리(해지 등)를 Paddle 에 전할 때도 이 값들을 씁니다(제1조 3-2). 이메일 주소·청구지·결제수단 정보는 이용자가 Paddle 의 결제 화면에 직접 입력하며, 운영자는 이메일 주소 등 연락처를 Paddle 에 보내지 않습니다. Paddle 은 이 정보를 자신의 개인정보 처리방침(paddle.com/legal/privacy)에 따라 처리하고, 구독 상태 등(제1조 3-2)을 운영자에게 알려 줍니다. 또 Paddle 은 이용자가 요청한 상품을 제공하는 데 필요한 범위에서 주문 정보를 이용약관에 공급자로 표시된 사업자에게 제공한다고 밝히고 있습니다. 국외 이전에 관한 사항은 아래 3에 있습니다.

광고 매체(Meta·Google)(그 매체를 광고 성과 측정 도구 Airbridge 와 연동한 때부터) — 광고 성과 측정에 동의한 이용자에 대해, Airbridge 는 앱 설치(재설치 포함)와 운영자가 고른 이벤트(가입 등), 딥링크로 앱을 연 경우 그 기록을 연동한 매체에 제공합니다(제1조 1-8). 이 제공은 광고 성과 측정 동의(선택)로 받는 제3자 제공 동의에 따르며, 동의하지 않으면 제공되지 않습니다. 함께 가는 정보는 그 이벤트의 종류와 시각, 광고 클릭에 붙은 식별값(Google 광고의 GCLID 등) 같은 귀속 정보이며, 매체가 자기 광고에서 온 것인지 판정하는 데 쓰는 기기·네트워크 정보(IP 주소·User-Agent·기기 모델·운영체제와 앱의 버전·언어·국가·시간대·통신사·화면 정보 등)와 Airbridge 가 만드는 무작위 식별값이 함께 갈 수 있습니다(Google 에는 IP 주소·User-Agent·운영체제와 앱의 버전이 늘 함께 갑니다). 매체는 그 이벤트가 자기 광고로 이어진 것인지 판정해 광고 성과 측정과 캠페인 최적화에 쓰고, 자신의 개인정보 처리방침에 따라 처리합니다. 광고 식별자(iOS IDFA · Android 광고 ID)는 앱이 수집하지 않으므로 전달되지 않습니다. 국외 이전에 관한 사항은 아래 3에 있습니다.

Google — 분석 도구를 거쳐(iOS 앱)(그 기능을 실은 앱 판에서 분석 도구를 Google 광고와 연결한 때부터) — 광고 성과 측정에 동의하고 추적을 허용했으며 "이용 통계 보내기"가 켜진 iOS 기기에 대해, 분석 도구(Google Analytics for Firebase)가 받은 앱 첫 실행 기록을 Google 이 자기 광고에서 온 설치인지 판정하는 광고 성과 측정과 캠페인 최적화에 씁니다(제1조 1-8). 분석 도구가 그 기록과 함께 받는 정보(앱 인스턴스 식별자·기기 식별자(IDFV)·기기 모델·운영체제와 앱의 버전·대략적 지역 등 — 제6조 4)가 함께 쓰일 수 있습니다. 그 기능을 실은 앱 판부터는 앱의 기기 내 전환 측정 모듈이 Google 광고 서버에 직접 보내는 IP 주소, 기기와 앱 정보(기기 모델·운영체제와 앱의 버전·언어·시간대·User-Agent 등), 앱이 처음 켜진 시각, 그 모듈의 무작위 설치 식별값, 기기 안에서 만든 암호화된 질의값도 이 판정에 쓰입니다(제1조 1-8). 이 제공은 광고 성과 측정 동의(선택)로 받는 제3자 제공 동의에 따르며, 동의하지 않거나 추적을 허용하지 않으면 제공되지 않습니다. 맞춤형 광고와 리마케팅에는 쓰지 않으며, 광고 식별자(IDFA)는 앱이 수집하지 않으므로 전달되지 않습니다. Google 은 자신의 개인정보 처리방침에 따라 처리합니다. 국외 이전에 관한 사항은 아래 3에 있습니다.

당근 광고 — (주)당근마켓(당근 광고를 광고 성과 측정 도구 Airbridge 와 연동한 때부터) — 광고 성과 측정에 동의한 이용자의 Android 앱 이벤트 가운데 Airbridge 가 당근 광고에서 온 것으로 판정한 것만(앱 설치·재설치와 운영자가 고른 이벤트(가입 등)) (주)당근마켓에 제공합니다(제1조 1-8). iOS 앱의 이벤트와, 당근 광고에서 온 것으로 판정되지 않은 이벤트는 제공하지 않습니다. 이 제공도 광고 성과 측정 동의(선택)로 받는 제3자 제공 동의에 따르며, 동의하지 않으면 제공되지 않습니다. 함께 가는 정보는 그 이벤트의 종류와 시각, 당근 광고의 추적 링크에 담긴 캠페인 값 같은 귀속 정보이며, 기기·네트워크 정보(IP 주소·운영체제 등)와 Airbridge 가 만드는 무작위 식별값이 함께 갈 수 있습니다. 광고 식별자는 앱이 수집하지 않으므로 전달되지 않습니다. 당근은 그 이벤트가 자기 광고로 이어진 것인지 확인해 광고 성과 측정과 캠페인 최적화에 쓰고, 자신의 개인정보 처리방침(privacy-policy.daangn.com)에서 정한 기간 동안 처리·보관합니다.

2. 처리 위탁

앱 안에서는 결제를 받지 않으므로 인앱 결제(App Store)에 관한 Apple Inc. 로의 위탁은 없습니다. 웹에서 판매하는 유료 구독의 결제 대행 Paddle 은 제6조 1·3에 적었습니다. 촬영 지역 이름 변환은 제3조 3에 따라 지금 이루어집니다.

운영자는 위 수탁자가 이 방침에서 약속한 것과 같거나 그 이상의 수준으로 이용자의 정보를 보호하는지 위탁 계약과 서비스 약관으로 확인하고 처리를 맡깁니다.

3. 국외 이전에 관한 안내

이용자의 사진과 정보는 대한민국 내(서울)에 저장됩니다. 다만 서비스 운영 로그(제1조 1-7)는 수탁자(Supabase)의 별도 로그 시스템에 보관되며, 수탁자는 그 저장 국가를 공개하지 않습니다(아래 서비스 운영 로그의 국외 이전 표). 또한 사진을 빠르게 전송하기 위해 글로벌 콘텐츠 전송 네트워크(CDN)를 이용하며, 이 과정에서 전송되는 데이터가 국외의 전송 거점을 경유하거나 일시적으로 임시 저장(캐시)될 수 있습니다.

임시 저장된 파일도 60초 동안만 유효한 임시 주소를 가진 요청으로만 접근할 수 있으며, 운영자는 그 주소를 저장하지 않습니다.

또한 서비스 운영 로그(제1조 1-7)는 저장 국가가 공개되지 않은 수탁자의 로그 시스템에 보관되므로, 국외로 이전될 수 있는 것으로 보고 아래와 같이 알립니다.

또한 이 사이트와 웹 서비스·초대 지면을 전송하고 이 사이트의 방문 통계를 재기 위해(제1조 1-9) 아래와 같이 국외 이전이 발생합니다.

또한 이용 통계 분석과 오류 진단을 위해 Google 의 도구(Google Analytics for Firebase · Firebase Crashlytics)를 이용하며, 이 과정에서 아래와 같이 국외 이전이 발생합니다.

또한 웹 문의 양식으로 접수된 문의는 아래와 같이 국외로 이전됩니다.

또한 촬영 지역 이름을 정하기 위해(제3조 3) 아래와 같이 국외 이전이 발생합니다.

또한 웹에서 유료 구독을 판매하는 때부터, 유료 구독을 구매하면 결제 대행 Paddle 로 아래와 같이 국외 이전이 발생합니다(제6조 1).

또한 그 기능을 실은 앱 판(광고 성과 측정에 동의한 경우)과 웹사이트·광고 링크부터, 광고 성과 측정(제1조 1-8)을 위해 아래와 같이 국외 이전이 발생합니다.

또한 광고 성과 측정에 동의한 경우, 광고 매체를 광고 성과 측정 도구와 연동한 때부터 광고 매체에 성과를 알리기 위해(제6조 1) 아래와 같이 국외 이전이 발생합니다.

또한 iOS 앱에서 광고 성과 측정에 동의하고 추적을 허용한 경우, 분석 도구를 Google 광고와 연결한 때부터 Google 이 광고 성과를 재기 위해(제6조 1) 아래와 같이 국외 이전이 발생합니다.

4. 그 밖에

제품 이용 통계는 두 곳으로 전송됩니다 — 분석 도구(Google Analytics for Firebase)와 운영자의 서버입니다. 앱은 같은 항목을 두 곳에 보내며(아래 표의 «앱 상태 구간» 중 등록한 아이 프로필 수 구간은 운영자 서버로만 보내고, Android 앱의 설치 경로는 분석 도구가 스스로 읽어 분석 도구에만 있습니다. 그 기능을 실은 앱 판부터 앱은 광고 성과 측정에 동의한 기기(iOS 는 추적 허용까지)에서만 분석 도구로 보내고, 그 밖의 기기의 이용 통계는 운영자 서버로만 보냅니다 — 제1조 1-8), 운영자는 서버로 받은 통계를 서비스 개선 판단의 기준으로 사용합니다. 분석 도구(Google)로는 앱에서 Google 로 직접 전송됩니다.

광고 성과 측정은 이 이용 통계와 별개의 처리입니다. 앱 설치·가입이 어느 광고에서 왔는지는 광고 성과 측정에 동의한 경우에만 Airbridge 로 따로 잽니다(제1조 1-8). 예외는 하나입니다 — iOS 앱에서 광고 성과 측정에 동의하고 추적을 허용했으며 "이용 통계 보내기"가 켜진 기기의 앱 첫 실행 기록은 Google 이 자기 광고에서 온 설치인지 판정하는 데 씁니다(제1조 1-8 «분석 도구를 거쳐 Google 에»). 그 밖의 iOS 기기는 분석 도구로 보내지 않으므로 이 측정에 쓰일 기록이 Google 에 없습니다. 다만 Android 앱에서는 분석 도구(Google)가 처음 켜질 때(그 기능을 실은 앱 판부터는 광고 성과 측정에 동의한 뒤) Google Play 가 알려 주는 설치 경로(캠페인 이름·매체 같은 utm 값과, Google 광고를 누르고 설치했다면 그 클릭 식별값)를 스스로 읽어 이용 통계에 붙입니다 — 앱이 따로 읽어 보내는 것이 아니라 분석 도구의 기본 동작이며, "이용 통계 보내기"를 끈 뒤에는 보내지 않습니다. 운영자는 이것을 매체별 설치 수 같은 집계로만 보고, 광고 매체에 보내거나 광고 대상을 고르는 데 쓰지 않으며, 광고 성과 측정(Airbridge)의 기록과 이어 붙이지 않습니다. 그 밖의 이용 통계는 그 측정에 쓰지 않습니다.

계정 기반 비가역 식별값이란. 운영자 서버로 보내는 통계에는 계정 식별자의 원문이 들어가지 않습니다. 대신 계정 식별자를 되돌릴 수 없는 방식으로 변환한 값만 저장하며, 그 변환에 쓰는 비밀값은 통계가 저장되는 데이터베이스 바깥에 둡니다. 그래서 저장된 통계만으로는 특정 이용자를 되찾을 수 없습니다.

앱 상태 구간이란. 통계가 생긴 순간의 앱 상태를 몇 개의 구간으로만 나타낸 값입니다 — 사진 접근 권한 상태(전체 허용 · 일부 허용 · 거부 · 아직 묻지 않음), 등록한 아이 프로필 수 구간(0 · 1 · 2 · 3 이상), 공유 앨범 참여 형태(없음 · 만든 앨범만 · 받은 앨범만 · 둘 다). 아이의 이름·생년월일 같은 아이 정보는 담지 않으며, 등록한 아이 프로필 수 구간은 국외(Google)로 보내지 않습니다. 운영자 서버에서 이 값은 개별 이벤트에만 남고 이용자 단위 집계에는 들어가지 않습니다.

보존 기간

운영자 서버로 보내는 이용 통계는 두 가지로 나뉩니다 — 위 표의 «기기 안 AI 분석의 진단 집계»(분석 진행률 포함)인 AI 분석 통계와, 그 밖의 항목인 기초 통계입니다. 앱 설정의 개인정보 · 동의 관리 ▸ "AI 분석 통계 보내기"(그 전의 앱 판에서는 "이용 통계 보내기" — 이 방침에서 "이용 통계 보내기"는 두 이름을 함께 가리킵니다)는 앱 설정에서 언제든 끌 수 있으며, 끄면 IDFV 를 포함해 분석 도구로의 전송 전체와 운영자 서버로의 AI 분석 통계 전송이 즉시 중단됩니다. 이미 운영자 서버로 보내지 못하고 앱에 남아 있던 AI 분석 통계는 전송되지 않고 폐기됩니다(남아 있던 기초 통계에서는 분석 진행률만 지웁니다). 이 설정을 끄면 광고 성과 측정(제1조 1-8 — 동의한 경우)의 전송도 멈춥니다.

기초 통계는 "AI 분석 통계 보내기"가 있는 앱 판부터 이 설정과 상관없이 운영자 서버로 보냅니다 — 서비스를 운영하고 고치는 데 필요한 이용 흐름을 보기 위해서이며, 위와 같이 계정 기반 비가역 식별값으로만 저장합니다. 이 설정을 끄면 기초 통계도 분석 도구(Google)로는 가지 않습니다. 그 전의 앱 판에서는 이 설정을 끄면 운영자 서버로의 전송도 모두 멈춥니다. 기초 통계는 앱에서 끌 수 없으며, 처리정지를 원하시면 제10조의 연락처로 요구하실 수 있습니다 — 요구를 받으면 운영자 서버가 그 계정의 이용 통계를 더 받지 않게 하고, 이미 받은 그 계정의 이용 통계는 아래 계정 삭제 때와 같이 계정과의 연결을 끊습니다(제8조). 계정과 연결하지 않는 건수(아래 «로그인 전 이용 건수» · «앱 안 설문 응답»)는 누구의 것인지 알 수 없어 이 요구로 멈추거나 지울 수 없습니다.

계정을 삭제하시면(이용이 없어 정리되는 게스트 계정 포함) 운영자 서버에 저장된 해당 이용자의 통계는 계정과의 연결을 끊어, 더 이상 그 이용자의 것임을 알 수 없게 처리합니다(계정에서 만든 변환 값을 누구의 것도 아닌 무작위 값으로 바꿉니다). 이렇게 처리된 통계는 위 보존 기간이 지나면 자동 삭제됩니다. 재전송된 통계를 한 번만 세기 위한 기록은 계정과 연결되지 않으며, 받은 날부터 37일 뒤 자동 삭제됩니다.

로그인 전 이용 건수(그 기능을 실은 iOS·Android 앱 판부터) — 로그인하기 전(처음 설치한 뒤나 로그아웃한 뒤, 로그인 결과가 나올 때까지)에는 앱이 운영자 서버로 아래 두 가지만 보냅니다. 웹 서비스는 이것을 보내지 않습니다.

• 로그인 전 단계 — 앱을 엶 · 소개를 끝냄 · 소개를 건너뜀 · 로그인 화면이 나옴
• 로그인 결과 — 성공 · 실패 · 취소(어느 로그인 서비스를 골랐는지는 보내지 않습니다)

여기에는 계정 식별자도, 계정 기반 비가역 식별값도, 기기 식별자도 담지 않습니다. 운영자 서버는 받은 것을 한국 시간 날짜 · 플랫폼(iOS · Android) · 앱 버전 · 위 항목별로 하루 건수만 더해 두고, 하나하나의 기록은 남기지 않습니다. 그래서 이 건수로는 누가, 어느 기기가 보냈는지 알 수 없으며, 로그인한 뒤의 계정이나 이용 통계와 이어 붙이지 않습니다. 요청이 서버에 닿을 때 다른 요청과 같이 서비스 운영 로그(IP 주소 등 — 제1조 1-7)가 남지만, 운영자는 그 기록으로 이 건수를 기기·사람 단위로 다시 묶지 않습니다. 이 건수는 로그인 전 단계의 흐름을 개선하는 데만 쓰고 광고·마케팅이나 결제·권한 판정에는 쓰지 않으며, 기간 제한 없이 보관합니다(위 표 · 제7조).

로그인 전 이용 건수는 기초 통계라 앱에서 끌 수 없습니다. "AI 분석 통계 보내기"가 있는 앱 판부터는 이 설정을 꺼 두었더라도 보냅니다. 그 전의 앱 판은 처음 설치했거나 다시 설치한 기기(앱 데이터를 지운 경우 포함)에서 기본값(켬)대로 보내고, "이용 통계 보내기"를 이미 꺼 둔 기기(끈 채 로그아웃한 경우 등)에서는 보내지 않습니다. 이미 더한 건수는 누구의 것인지 알 수 없어 골라 지울 수 없습니다.

앱 안 설문 응답(그 기능을 실은 iOS·Android 앱 판부터) — 앱을 업데이트한 이용자에게 앱이 짧은 설문을 한 번 띄울 수 있습니다. 앱은 설문이 뜨거나 닫히거나 끝났다는 것(의견 보내기를 열었는지 포함)과, 답하신 경우 설문의 회차 · 문항 · 고른 선택지만 운영자 서버로 보내며, 직접 쓰시는 글은 받지 않습니다. 설문에 답하지 않아도 서비스 이용에 불이익이 없습니다.

여기에는 계정 식별자도, 계정 기반 비가역 식별값도, 기기 식별자도 담지 않으며, 로그인한 뒤에도 계정과 따로 보냅니다. 운영자 서버는 받은 것을 한국 시간 날짜 · 플랫폼(iOS · Android) · 앱 버전 · 위 항목별로 하루 건수만 더해 두고, 하나하나의 응답은 남기지 않습니다. 그래서 이 건수로는 누가 어떻게 답했는지 알 수 없습니다. 요청이 서버에 닿을 때 다른 요청과 같이 서비스 운영 로그(IP 주소 등 — 제1조 1-7)가 남지만, 운영자는 그 기록으로 응답을 기기·사람 단위로 다시 묶지 않습니다. 이 건수는 서비스를 고치는 데만 쓰고 광고·마케팅에는 쓰지 않으며, 기간 제한 없이 보관합니다(위 표 · 제7조). 이 전송은 설문이 뜬 때와 답하신 때에만 일어나며 "이용 통계 보내기"와 상관없고, 이미 더한 건수는 골라 지울 수 없습니다. 같은 설문을 다시 띄우지 않도록 그 계정에는 «이 회차의 설문을 띄웠음» 만 기록합니다(답과 시각은 담지 않음 — 제1조 1).

5. 오류 진단(Firebase Crashlytics)

오류 진단 정보도 앱에서 Google로 직접 전송되며, 운영자의 서버는 이를 수집하거나 중계하지 않습니다.

제7조 (보유 및 이용기간·파기)

파기 방법: 전자적 파일은 복구할 수 없는 방법으로 삭제하며, 저장소의 실제 파일도 함께 삭제됩니다(삭제 후 부재 확인 절차 포함).

기기에 저장되는 얼굴 인식 정보의 수명

제1조에서 안내한 대로 얼굴 특징값 등 얼굴 인식 정보는 이용자 기기에만 존재하며 서버로 전송되지 않습니다. 얼굴 인식 정보는 사진을 인물별로 묶는 얼굴 분석 기능에 쓰입니다. 기기 저장분의 수명은 다음과 같습니다.

• 얼굴 인식 정보는 앱을 삭제하면 기기에서 함께 삭제됩니다. 다만 이용자가 설정한 기기 백업(iCloud 등)이나 새 기기로 데이터를 옮기는 기능에는 포함될 수 있으며, 그 사본의 보관·삭제는 이용자와 그 기능을 제공하는 쪽의 관리 영역입니다.
• 앱 설정에서 얼굴 분석 동의를 철회하면 기기의 얼굴 인식 정보를 함께 삭제합니다. 일부를 지우지 못하면 앱이 알리고 다시 지울 수 있게 합니다.
• 그 기능을 실은 앱 판부터는 앱을 24개월 동안 열지 않으면, 그다음에 앱을 열 때 기기의 얼굴 인식 정보를 삭제합니다.
• 아이 프로필을 삭제해도 기기에 저장된 얼굴 인식 정보는 유지됩니다. 얼굴 분석 기능은 아이 프로필과 관계없이 동의한 범위에서 사진을 인물별로 묶으므로 프로필을 지워도 그 목적이 끝나지 않고, 같은 아이를 다시 등록할 때 사진이 즉시 다시 연결됩니다.
• 기기의 얼굴 인식 정보 전체를 바로 삭제하려면 얼굴 분석 동의를 철회하거나 앱을 삭제하십시오. 앱을 삭제하면 기기의 운영체제가 앱의 로컬 데이터 전체를 함께 제거합니다.

미국에 계신 이용자께 — 얼굴 인식 정보

미국의 일부 주 법은 사진에서 얻은 얼굴 기하 정보를 생체 식별자로 봅니다. 앱은 얼굴 분석 동의를 받아 이용자 기기 안에서 사진 속 얼굴의 특징값을 만들고, 그것을 사진을 인물별로 묶는 데 씁니다. 운영자는 이 정보를 받지 않으므로 판매·대여·거래하거나 다른 사람에게 제공·공개하지 않습니다. 이 정보는 얼굴 분석 동의를 철회하거나 앱을 삭제하면 바로, 그리고 그 기능을 실은 앱 판부터는 앱을 24개월 동안 열지 않으면 그다음에 앱을 열 때 기기에서 삭제됩니다. 이 절이 그 정보의 보관 일정과 파기 기준입니다.

제8조 (이용자의 권리와 행사 방법)

이용자는 언제든지 다음을 할 수 있습니다.

• 자신의 개인정보 열람·정정(앱 내에서 직접)
• 아이 정보 동기화 끄기(동의의 철회)(앱 설정) — 원본 백업은 앱 설정에 철회 항목이 없으며 제5조 4를 따릅니다
• 광고 성과 측정 동의의 철회(앱 설정의 개인정보 · 동의 관리 화면에서 «광고 성과 측정» 끄기 — 그 기능을 실은 앱 판부터, 제5조 6) · iOS 앱의 추적 허용 끄기(기기 설정 › 개인정보 보호 및 보안 › 추적)
• 사진의 삭제 및 30일 내 복구 — "휴지통 비우기"를 하면 바로 영구 삭제됩니다
• 계정 삭제(30일 유예 중 취소 가능. 게스트 계정은 유예 없이 바로 삭제됩니다. 삭제 뒤에도 남는 기록은 제7조)
• 로그아웃 — 앱에서 로그아웃하면 그 기기에서만 로그아웃됩니다. 모든 기기의 로그인을 한 번에 끊으려면 웹 서비스(app.zzazan.ai)의 계정 설정에서 "모든 기기에서 로그아웃"을 하십시오 — 휴대폰 앱을 포함해 그 계정으로 로그인한 모든 기기의 로그인 세션이 끊깁니다(웹 서비스를 연 뒤부터). 웹 서비스를 쓸 수 없을 때는 아래 연락처로 요청해 주십시오
• 개인정보 처리정지 요구 — 앱 설정에서 끌 수 있는 처리(아이 정보 동기화 · 이용 통계 보내기(분석 도구로의 전송과 운영자 서버의 AI 분석 통계) · 광고 성과 측정 동의)는 앱에서 바로 멈출 수 있고, 그 밖의 처리(운영자 서버의 기초 통계 · 원본 백업 처리 등)는 아래 연락처로 요구하실 수 있습니다. 기초 통계의 처리정지를 요구하시면 그 계정의 이용 통계를 더 받지 않고, 이미 받은 것은 계정과의 연결을 끊습니다(제6조 4). 계정과 연결하지 않는 건수(로그인 전 이용 건수 · 앱 안 설문 응답)는 누구의 것인지 알 수 없어 멈추거나 지울 수 없습니다(제6조 4)

앱에서 직접 처리하기 어려운 요구는 아래 연락처로 접수해 주시면 지체 없이 처리하고 결과를 회신합니다.

• 대리인을 통한 행사 — 위 권리는 법정대리인이나 이용자의 위임을 받은 사람을 통해서도 행사하실 수 있습니다. 이때는 위임 사실을 확인할 수 있는 서류(위임장 등)를 함께 보내 주십시오.
• 만 14세 미만 아동의 정보 — 아동의 법정대리인은 아동의 개인정보에 대해 열람·정정·삭제·처리정지를 요구할 수 있습니다. 이 서비스에서 아이 정보는 그 정보를 등록한 보호자가 앱에서 직접 고치거나 지울 수 있고(제4조), 앱에서 하기 어려운 요구는 아래 연락처로 접수합니다.
• 이의제기 — 요구를 거절하거나 일부만 처리하는 경우에는 그 이유와 이의를 제기하는 방법을 함께 알려 드립니다. 이의는 아래 연락처로 접수합니다.

제9조 (안전성 확보 조치)

• 모든 데이터는 계정별로 분리되며, 본인 데이터 외에는 접근할 수 없도록 데이터베이스 차원에서 차단합니다(기본 거부 정책).
• 소셜 계정 식별자·서비스 이용 기록(제1조 1)의 행위자 정보는 해시로만 저장하여 원문을 복원할 수 없습니다.
• 운영자 서버의 이용 통계에는 계정 식별자의 원문을 넣지 않고 되돌릴 수 없게 변환한 값만 저장하며, 그 변환에 쓰는 비밀값은 통계가 저장되는 데이터베이스 바깥에 둡니다(제6조 4).
• 파일 접근은 짧은 유효기간의 임시 주소로만 가능하며, 권한이 철회되면 진행 중인 접근도 차단됩니다.
• 통신 구간은 암호화되며, 서버는 접근 권한을 최소 범위로 제한합니다.

제10조 (개인정보 보호 담당·연락처)

• 개인정보 보호책임자: 김인성(직위: 운영자 · 개인정보 보호 담당 부서: ZzaZan 운영팀)
• 개인정보 보호책임자 연락처: privacy@zzazan.ai
• 개인정보 관련 문의·권리 행사: privacy@zzazan.ai
• 서비스 이용 문의: support@zzazan.ai

개인정보 침해에 대한 상담이 필요한 경우 아래 기관에 문의하실 수 있습니다.

• 개인정보침해신고센터 (privacy.kisa.or.kr / 국번없이 118)
• 개인정보 분쟁조정위원회 (kopico.go.kr / 1833-6972)
• 대검찰청 사이버수사과 (spo.go.kr / 국번없이 1301)
• 경찰청 사이버수사국 (ecrm.police.go.kr / 국번없이 182)

제11조 (방침의 변경)

이 방침을 바꿀 때, 처리하는 개인정보의 항목·목적이나 제3자 제공·처리 위탁·국외 이전이 늘거나 이용자의 권리가 줄어드는 변경은 시행일 최소 7일 전(중요한 변경은 30일 전)에 이 지면에 알립니다. 처리를 줄이거나, 뜻을 바꾸지 않고 표현을 다듬거나, 연락처처럼 처리와 관계없는 사항을 고치는 변경은 이 지면에 게시한 날부터 시행합니다. 어느 경우든 바뀐 내용은 이 지면의 개정 이력으로 안내하며, 원본 백업과 아이 정보 동기화는 동의 화면이 없으므로 재동의 절차를 두지 않습니다(제5조 5).

공지 기간에는 이 지면 머리에 개정 예고(공지일·시행일·바뀌는 점)를 함께 띄우고, 바뀌는 방침의 전문을 zzazan.ai/privacy/next 에 게시합니다.