개인정보처리방침

제1조 (적용 범위)

1. ① 본 방침은 회사가 서비스를 제공하는 과정에서 회사가 직접 처리하는 개인정보에 적용됩니다.
2. ② 서비스를 도입한 조직(이하 “이용 조직”)이 서비스에 입력·보관하는 자사 고객 등의 개인정보에 대해서는 회사가 개인정보처리자가 아니라 수탁자의 지위에 있으며, 이에 관하여는 제8조에서 따로 정합니다.

제2조 (처리하는 개인정보의 항목)

1. ① 회사는 다음의 개인정보를 처리합니다.

   구분	항목	수집 방법
   서비스 계정	전자우편주소, 성명, 소속 부서, 직책, 비밀번호(단방향 암호화 저장)	이용 조직 관리자의 계정 생성 또는 이용자의 입력
   Microsoft 365 메일 연동	연결한 Microsoft 계정의 전자우편주소, 갱신 토큰(암호화 저장)	이용자가 “메일 연결”을 실행한 경우에 한하여 수집
   접속기록	접속 일시, 접속한 이용자 계정, 로그인·로그아웃 기록	서비스 이용 과정에서 자동 생성
   그 밖의 서비스 이용 기록	메일 발송 기록(수신자 주소 및 제목), 데이터 내려받기·올리기 기록, 주요 기능 사용 기록	서비스 이용 과정에서 자동 생성

2. ② 회사는 이용자의 메일함을 읽지 않으며, 발송한 메일의 본문을 서버에 별도로 저장하지 않습니다. 다만 이용자가 발송 시 “기술지원 기록” 또는 “영업활동 기록”을 선택한 경우, 그 본문은 해당 이용 조직 자신의 데이터로 서비스 내에 저장됩니다(제8조 적용).

제3조 (개인정보의 처리 목적)

1. ① 회사는 다음 각 호의 목적으로 개인정보를 처리합니다.
   1. 이용자 식별 및 인증, 서비스 접근 권한 관리
   2. 이용 조직의 라이선스 관리 및 이용 현황 확인
   3. 이용자 본인 명의의 전자우편 발송 기능 제공
   4. 서비스 부정 이용 방지, 장애 대응 및 보안 사고 원인 규명
   5. 이용자 문의 대응 및 기술 지원
   6. 서비스 품질 개선 및 통계 분석 — 이 경우 개인을 식별할 수 없도록 처리한 정보만 이용합니다
2. ② 회사는 제1항의 목적 외의 용도로 개인정보를 이용하지 않으며, 목적이 변경되는 경우 사전에 동의를 받습니다.

제4조 (Microsoft 365 메일 연동에 관한 특칙)

1. ① 이용자가 서비스에서 자신의 Microsoft 365 계정을 연결하는 경우, 회사는 다음 권한만을 요청합니다. 모두 이용자를 대신하여 동작하는 위임(delegated) 권한입니다.

   권한	용도
   User.Read	연결한 계정의 기본 프로필(전자우편주소·표시 이름) 확인
   Mail.Send	이용자 본인 명의로 전자우편 발송
   offline_access	재로그인 없이 발송을 이어가기 위한 갱신 토큰 유지

2. ② 따라서 회사가 현재 요청하는 권한 범위에서는 다음 각 호가 구조적으로 불가능합니다.
   1. 메일함 열람 불가 — 메일 읽기 권한(Mail.Read)을 요청하지 않습니다.
   2. 타인 명의 발송 불가 — 발송은 언제나 연결한 본인 계정 명의로만 이루어집니다.
3. ③ 회사는 임의로 전자우편을 발송하지 않습니다. 발송은 이용자의 명시적인 발송 요청 또는 이용자가 서비스에서 설정한 기능의 실행이 있는 경우에만 이루어집니다.
   회사는 재로그인 없이 발송을 이어가기 위하여 offline_access 권한으로 받은 갱신 토큰을 보관합니다. 그 결과 이용자가 로그인해 있지 않은 상태에서도 기술적으로는 발송이 가능하나, 회사는 위와 같이 이용자의 요청이나 설정 없이는 발송을 수행하지 않습니다.
4. ④ 갱신 토큰은 AES-256-GCM 방식으로 암호화하여 저장하며, 이용자가 서비스에서 “연결 해제”를 실행하거나 Microsoft 계정 측에서 권한을 철회하면 즉시 효력을 잃습니다. 연결 해제 시 저장된 토큰은 지체 없이 삭제됩니다.
5. ⑤ 전자우편은 이용자가 연결한 본인의 Microsoft 365 계정을 통하여 본인 명의로 발송됩니다. 이는 회사가 Microsoft에 개인정보 처리를 위탁하는 것에 해당하지 않으며, 해당 계정의 이용에는 Microsoft의 약관과 정책이 적용됩니다.
6. ⑥ 회사가 요청하는 권한의 범위가 변경되는 경우에는 본 방침을 개정하여 사전에 공지하며, Microsoft 측 동의 절차를 통하여 이용자 또는 조직 관리자의 동의를 다시 받습니다.

제5조 (개인정보의 처리 및 보유 기간)

1. ① 회사는 다음의 기간 동안 개인정보를 보유하며, 그 기간이 지나면 지체 없이 파기합니다.

   구분	보유 기간
   서비스 계정	계정 삭제 시 또는 이용계약 종료 시까지
   메일 연동 갱신 토큰	연결 해제 시까지(해제 즉시 삭제)
   접속기록	관계 법령이 정한 기간(제2항) 동안 보관하며, 그 기간이 지나면 파기합니다.
   그 밖의 서비스 이용 기록	생성일로부터 1년. 그 기간이 지나면 파기합니다.

2. ② 접속기록은 「개인정보의 안전성 확보조치 기준」에 따라 1년 이상 보관하며, 같은 기준에 따라 보관 기간이 2년 이상으로 적용되는 때에는 그 기간 동안 보관합니다.
3. ③ 다른 법령에서 보존 기간을 정한 경우에는 그 기간에 따릅니다.

제6조 (개인정보의 제3자 제공)

1. ① 회사는 정보주체의 개인정보를 제3자에게 제공하지 않습니다. 다만 다음 각 호의 경우에는 그러하지 아니합니다.
   1. 법령에 특별한 규정이 있거나, 수사기관이 적법한 절차에 따라 요구하는 경우
   2. 정보주체로부터 별도의 동의를 받은 경우
   3. 영업의 전부 또는 일부를 양도하거나 합병 등이 있는 경우
2. ② 제1항 제3호의 경우 회사는 사전에 그 사실을 통지하고, 정보주체가 원하지 않는 때에는 처리정지를 요구할 수 있도록 합니다.

제7조 (개인정보 처리업무의 위탁)

1. ① 회사는 안정적인 서비스 제공을 위하여 다음과 같이 개인정보 처리업무를 위탁하고 있습니다.

   수탁자	위탁 업무	처리 위치
   Amazon Web Services	서비스 서버 운영 및 데이터 보관	대한민국(서울)
   Cloudflare, Inc.	서비스 접속 경로 제공(Cloudflare Tunnel) 및 트래픽 보호 — 서비스의 모든 요청·응답이 이 경로를 거칩니다	국외
   OpenAI, L.L.C. Anthropic PBC	AI 보조 기능(어시스턴트) 처리 — AI 기능을 사용하는 이용 조직에 한함	국외
   Google Cloud Platform (Vertex AI)	명함 이미지 인식	대한민국(서울)
   Google LLC	회사 웹사이트(verus-lab.kr) 방문 통계 분석(Google Analytics) — 서비스 이용 과정에는 적용되지 않습니다	국외

   Google Analytics는 회사 웹사이트에만 적용됩니다. 서비스(Linkspace 애플리케이션) 화면에는 방문 분석 도구를 설치하지 않으며, 고객 데이터가 Google로 전송되지 않습니다.
   전자우편 발송은 위탁이 아닙니다. 이용자가 연결한 본인의 Microsoft 365 계정을 통하여 본인 명의로 발송되므로 회사의 처리위탁에 해당하지 않습니다(제4조 제4항 및 서비스 이용약관 제11조 참조).
2. ② 회사는 위탁계약 체결 시 개인정보의 안전한 관리, 재위탁 제한, 목적 외 처리 금지 등을 문서로 정하고 수탁자가 이를 준수하는지 감독합니다. 위탁 내용이 변경되는 경우 본 방침을 통하여 공개합니다.
3. ③ 제1항의 수탁자 중 다음 사업자는 개인정보를 국외에서 처리합니다.

   이전받는 자	국가	이전 항목	이전 시기 및 방법	목적 및 보유 기간
   Cloudflare, Inc.	미국 등	접속 IP, 브라우저 정보 및 서비스 이용 과정에서 송수신되는 요청·응답 데이터	서비스 접속 시 Cloudflare 글로벌 네트워크를 경유하여 전송	서비스 접속 경로 제공 및 트래픽 보호 / 전송을 위한 경유에 필요한 기간
   OpenAI, L.L.C.	미국	AI 보조 기능 이용 시 전송되는 질의 및 관련 데이터 (실명 등 식별정보는 가명 식별자로 치환됩니다 — 제8조 제7항)	이용자가 AI 보조 기능을 실행할 때 네트워크를 통하여 전송	AI 보조 기능 제공 / 전송 목적 달성 시까지
   Anthropic PBC	미국	〃 (이용 조직이 해당 사업자의 API 키를 등록한 경우)	〃	〃
   Google LLC	미국	회사 웹사이트 방문 기록, 브라우저 정보 (서비스 이용 기록·고객 데이터는 이전되지 않습니다)	회사 웹사이트 방문 시 네트워크를 통하여 전송	방문 통계 분석 / 처리 목적 달성 시까지

   이전받는 자의 연락처 — 개인정보 관련 문의는 각 사업자의 개인정보처리방침에 안내된 창구를 통하여 하실 수 있습니다.

   1. Cloudflare, Inc. — cloudflare.com/privacypolicy
   2. OpenAI, L.L.C. — openai.com/policies/privacy-policy
   3. Anthropic PBC — anthropic.com/legal/privacy
   4. Google LLC — policies.google.com/privacy
   이전 근거 — 위 국외 이전은 모두 「개인정보 보호법」 제28조의8 제1항 제3호 가목 (정보주체와의 계약의 체결 및 이행을 위하여 필요한 개인정보의 처리위탁·보관으로서 같은 조 제2항 각 호의 사항을 본 방침에 공개한 경우)에 따른 것입니다.
   명함 인식 기능은 국외로 이전되지 않습니다. 명함 이미지는 대한민국(서울) 리전에서만 처리되며, 서울 리전을 이용할 수 없는 경우 해당 기능은 제공되지 않습니다(제8조 제7항).
4. ④ 정보주체는 개인정보의 국외 이전을 거부할 수 있습니다. 방문 통계 분석은 브라우저 설정 또는 Google이 제공하는 차단 도구를 통하여 거부할 수 있으며, 그 밖의 사항은 제13조의 연락처로 문의하시면 안내해 드립니다. 다만 거부 시 서비스의 일부 이용이 제한될 수 있습니다.

제8조 (이용 조직이 입력한 데이터의 처리)

1. ① 이용 조직이 서비스에 입력·보관하는 자사의 고객, 거래처, 임직원 등의 개인정보에 대하여 개인정보처리자는 해당 이용 조직이며, 회사는 그 처리를 위탁받은 수탁자의 지위에 있습니다. 위탁의 구체적인 내용은 서비스 이용약관 제10조가 정하는 바에 따릅니다.
2. ② 해당 데이터의 소유권은 이용 조직에 있습니다. 회사는 서비스 제공에 필요한 범위를 넘어 해당 데이터를 이용하지 않으며, 제3자에게 제공하거나 다른 목적으로 활용하지 않습니다.
3. ③ 이용 조직별 데이터는 조직 단위로 분리되어 저장되며, 다른 조직이 접근할 수 없습니다.
4. ④ 이용 조직은 서비스가 제공하는 내보내기 기능을 통하여 데이터를 직접 반출할 수 있습니다.
5. ⑤ 이용계약이 종료된 경우 회사는 종료일로부터 30일간 데이터를 보관하며, 그 기간이 경과하면 복구할 수 없는 방법으로 파기합니다. 파기는 데이터베이스에 저장된 정보와 첨부파일 등 별도로 저장된 파일을 모두 포함합니다. 다만 백업본에 포함된 데이터는 백업 보존주기(14일)에 따라 순차적으로 파기됩니다(서비스 이용약관 제15조).
6. ⑥ 회사는 개인 및 이용 조직을 식별할 수 없도록 처리한 통계 정보를 서비스의 개선, 성능 분석 및 통계 목적으로 이용할 수 있습니다.
7. ⑦ 인공지능 기능 이용 시 — 이용 조직이 AI 보조 기능을 사용하는 경우, 외부 인공지능 서비스로 전송되는 내용에서 고객·임직원·거래처의 실명 등 식별정보는 가명 식별자로 치환된 뒤 전송되며, 치환된 값은 이용자 화면에 표시할 때 복원됩니다. 전송 대상 사업자와 국외 이전에 관한 사항은 제7조가 정하는 바에 따릅니다.
   명함 인식 기능은 대한민국(서울) 리전에서 처리되며, 국외로 이전되지 않습니다. 서울 리전을 이용할 수 없는 경우 해당 기능은 제공되지 않습니다.

제9조 (개인정보의 파기 절차 및 방법)

1. ① 회사는 보유 기간이 경과하거나 처리 목적이 달성되는 등 개인정보가 불필요하게 되었을 때에는 지체 없이 해당 개인정보를 파기합니다.
2. ② 전자적 파일 형태의 정보는 복구할 수 없는 기술적 방법으로 삭제하며, 출력물 형태의 정보는 분쇄하거나 소각합니다.

제10조 (정보주체의 권리·의무 및 행사 방법)

1. ① 정보주체는 회사에 대하여 언제든지 개인정보 열람·정정·삭제·처리정지를 요구할 수 있습니다. 요구는 서면, 전자우편 등을 통하여 하실 수 있으며, 회사는 관계 법령이 정한 기간 내에 조치합니다. 법정대리인이나 위임을 받은 자를 통하여 하실 수도 있습니다.
2. ② 법령에서 열람 등을 제한하거나 거절할 수 있도록 정한 경우에는 그 사유를 알려드립니다.
3. ③ 이용 조직이 입력한 데이터(제8조)에 관한 열람·정정·삭제 요구는 개인정보처리자인 해당 이용 조직에 하셔야 합니다. 회사가 요구를 접수한 경우에는 해당 이용 조직에 전달하여 처리하도록 합니다.

제11조 (개인정보의 안전성 확보 조치)

1. ① 회사는 다음 각 호의 조치를 시행하고 있습니다.
   1. 비밀번호 — 단방향 암호화(bcrypt)하여 저장하며, 회사도 원문을 알 수 없습니다.
   2. 토큰 및 자격증명 — 메일 연동 갱신 토큰과 이용 조직의 API 키는 AES-256-GCM으로 암호화하여 저장합니다.
   3. 전송 구간 암호화 — 모든 통신은 HTTPS(TLS)로 보호됩니다.
   4. 접근 통제 — 역할 기반 권한 관리와 조직 단위 데이터 분리를 적용하고, 세션은 일정 시간 후 자동으로 만료됩니다.
   5. 접속 기록 관리 — 로그인 및 주요 기능 사용 기록을 보관하여 사후 확인이 가능하도록 합니다.
   6. 백업 암호화 — 정기 백업은 공개키 방식으로 암호화하여 보관합니다.
2. ② 제1항의 조치는 현재 적용 중인 기술적·관리적 보호조치이며, 보안 기술의 발전이나 서비스 환경의 변화에 따라 이에 준하는 수준의 다른 방식으로 대체될 수 있습니다.
3. ③ 회사는 상당한 주의를 기울여 개인정보를 보호하고 있으나, 어떠한 보호조치도 모든 침해를 완전히 차단할 수는 없습니다.

제12조 (자동 수집 장치의 설치·운영 및 거부)

1. ① 서비스는 로그인 상태 유지를 위하여 이용자의 브라우저 저장소(local storage)에 인증 토큰을 저장합니다. 이 토큰은 이용자의 브라우저에만 저장되며, 로그아웃하거나 브라우저 설정에서 사이트 데이터를 삭제하면 제거됩니다(그 경우 다시 로그인하여야 합니다).
2. ② 회사는 현재 광고 목적의 추적 쿠키를 사용하지 않으며, 향후 도입하는 경우 본 방침을 개정하여 사전에 공지합니다.
3. ③ 회사 웹사이트(verus-lab.kr)는 방문 통계 분석을 위하여 Google Analytics를 사용합니다. 이용자는 브라우저 설정 또는 Google이 제공하는 차단 도구를 통하여 이를 거부할 수 있습니다. 서비스(Linkspace 애플리케이션) 화면에는 적용되지 않습니다.

제13조 (개인정보 보호책임자)

1. ① 회사는 개인정보 처리에 관한 업무를 총괄하여 책임지고, 개인정보 처리와 관련한 정보주체의 불만 처리 및 피해 구제 등을 위하여 아래와 같이 개인정보 보호책임자를 지정하고 있습니다.

   구분	내용
   개인정보 보호책임자	전호진 (대표이사)
   연락처	02-2138-7177 / info@websco.co.kr
   열람청구 접수·처리	위와 같음

제14조 (권익침해 구제 방법)

1. ① 정보주체는 개인정보 침해로 인한 구제를 받기 위하여 아래 각 호의 기관에 분쟁 해결이나 상담 등을 신청할 수 있습니다.
   1. 개인정보분쟁조정위원회 — 1833-6972 / www.kopico.go.kr
   2. 개인정보침해신고센터 — (국번없이) 118 / privacy.kisa.or.kr
   3. 대검찰청 사이버수사과 — (국번없이) 1301
   4. 경찰청 사이버수사국 — (국번없이) 182

제15조 (개인정보처리방침의 변경)

1. ① 본 방침의 내용 추가, 삭제 및 수정이 있을 경우에는 시행 7일 전부터 본 페이지를 통하여 공지합니다.
2. ② 다만 정보주체의 권리에 중대한 변경이 발생하는 경우에는 30일 전에 공지합니다.