개인정보 처리방침

최애랩스(이하 '회사'라 함)는 "buggle" 서비스(https://www.buggle.co.kr, 이하 '서비스')를 제공함에 있어 개인정보 보호법, 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 '정보통신망법') 등 개인정보 보호에 관한 관련 법령에 따라 이용자의 개인정보 및 권익을 보호하고 개인정보와 관련한 이용자의 고충을 원활하게 처리할 수 있도록 다음과 같은 처리방침을 두고 있습니다. 회사는 개인정보 처리방침을 통하여 이용자가 제공하는 개인정보가 어떠한 용도와 방식으로 이용되고 있으며, 개인정보 보호를 위해 어떠한 조치가 취해지고 있는지 알려 드립니다. 회사의 개인정보 처리방침은 정부의 법률 및 지침의 변경과 회사 내부 정책의 변화에 따라 변경될 수 있으며 변경된 개인정보 처리방침은 서비스 내에 게시합니다.

buggle은 소프트웨어 개발·품질관리(QA) 과정에서 발생하는 이슈를 기록하고 협업으로 처리하는 웹 서비스입니다. 서비스는 조직·팀·프로젝트 단위로 이용되며, 회사는 이용 형태에 따라 두 가지 지위를 가집니다. 회사가 회원의 계정정보에 대하여 가지는 개인정보처리자로서의 지위는 아래 제1항에서, 이용자가 서비스에 직접 입력한 정보(이슈·댓글·첨부 등)에 대하여 가지는 수탁자로서의 지위는 아래 제2항에서 각각 구분하여 설명합니다. 이 구분은 본 방침 전체를 이해하는 데 필요하므로 반드시 함께 읽어 주시기 바랍니다.

1. 개인정보의 처리 목적 및 처리 항목, 보유기간

회사는 다음의 목적을 위하여 개인정보를 처리합니다. 처리하고 있는 개인정보는 다음의 목적 이외의 용도로는 이용되지 않으며, 이용 목적이 변경되는 경우에는 개인정보 보호법에 따라 별도의 동의를 받는 등 필요한 조치를 이행할 것입니다.

회사는 이용자로부터 개인정보를 수집 시에 동의 받은 개인정보 보유·이용기간 내에서 개인정보를 처리·보유합니다. 단, 관계법령의 규정에 의하여 보존할 필요가 있는 경우 회사는 관계법령에서 정한 일정한 기간 동안 이용자 정보를 보관합니다.

본 항의 정보에 대하여 회사는 개인정보처리자의 지위에서 개인정보를 처리합니다.

1) 회원 가입 및 서비스 제공을 위해 필수적으로 수집·이용하는 사항

서비스	이용목적	필수항목	선택항목	보유기간
buggle	이메일 회원가입 및 본인확인, 로그인 인증	이메일 주소, 비밀번호(argon2id 해시로만 저장되며 평문은 보관하지 않음), 이용약관·개인정보 처리방침 동의 여부, 동의 시점의 접속 IP 주소(동의 증빙 목적), 표시 이름(미입력 시 이메일 아이디 부분으로 자동 생성)	—	회원 탈퇴 시까지(동의·철회 기록은 탈퇴일부터 3년) (단, 관계법령에 별도의 규정이 있는 경우에는 그에 따름)
buggle	소셜(Google) 계정 로그인	Google 계정 식별자, 이메일 주소, 이름, 프로필 이미지 주소, 연동 제공자 정보(제공자명·제공자 계정 식별자·액세스 토큰·리프레시 토큰·ID 토큰·스코프·세션 상태)	—	서비스 이용계약 종료 또는 회원의 연동 해제 요청 처리 시까지(본 방침 시행일 현재 서비스 화면에는 연동 해제 기능이 제공되지 않으며, 아래 "9. 개인정보 보호책임자 및 열람청구"의 연락처로 요청하실 수 있습니다)
buggle	프로필 관리 및 협업 시 구성원 식별	표시 이름	직무, 소속 팀, 프로필 이미지	서비스 이용계약 종료 시까지
buggle	서비스 이용 이력 관리 및 접속 상태 확인	최종 접속 시각, 마지막으로 사용한 조직 정보	—	서비스 이용계약 종료 시까지
buggle	부정 이용·자동화 공격 방지(로그인·회원가입·비밀번호 재설정·인증메일 재발송 요청의 횟수 제한)	접속 IP 주소	—	해당 요청 횟수 제한 창(window)이 만료될 때까지(만료된 기록은 보관 목적을 상실하며 더 이상 이용되지 않고 파기 대상이 됩니다)
buggle	이메일 주소 확인 및 비밀번호 재설정	이메일 주소, 발송 목적 구분값, 인증 토큰(SHA-256 해시로만 저장)	—	이메일 인증 토큰 24시간, 비밀번호 재설정 토큰 1시간 경과 시 효력 만료. 사용 시 즉시 삭제되며, 사용되지 않은 채 만료된 토큰은 동일 목적의 토큰이 재발급될 때 대체·삭제됩니다
buggle	조직·팀·프로젝트 초대(회원 초대)	초대 대상 이메일 주소, 초대 토큰(해시 저장), 초대자 정보	—	초대의 효력은 유효기간(별도로 지정하지 아니한 경우 기본 7일, 1시간~30일 범위에서 지정 가능) 경과 또는 수락·취소 시 상실됩니다(이용약관 제10조 제1항). 초대 기록 자체는 상태(수락·취소·만료)와 함께 해당 조직의 이용계약 종료 시까지 보관됩니다
buggle	비회원 게스트 참여(초대 링크를 통한 조회·댓글·첨부)	게스트 표시 이름, 게스트 초대 링크 토큰(검증용 해시로 저장하며, 관리자의 초대 링크 재확인을 위하여 암호화된 형태로도 보관), 초대 관리용 라벨(조직의 관리자가 입력하는 경우), 최초 참여 시 이용약관·본 방침 동의 기록(동의 일시 및 접속 IP — 동의 증빙)	—	게스트 세션 14일. 게스트 초대 링크는 발급 시 유효기간을 지정한 경우 그 기간이 경과하면 만료되며, 유효기간을 지정하지 아니한 경우(기본값) 조직이 이를 회수할 때까지 유효합니다(이용약관 제10조 제2항). 게스트 참여 기록은 해당 조직의 이용계약 종료 시까지
buggle	API 토큰(개인 액세스 토큰)을 통한 외부 도구 연동	토큰 해시(SHA-256), 토큰 접두부, 이용자가 지정한 토큰 이름, 최종 사용 시각	—	이용자가 토큰을 삭제하거나 서비스 이용계약이 종료될 때까지
buggle	부정이용 방지, 권한 변경·주요 처리 이력 확인, 분쟁 대응 및 보안 사고 대응(감사기록)	행위자 식별자, 행위 경로 구분(웹·API 토큰·시스템·운영자), 행위 종류, 대상, 변경 전·후 값(해당 행위의 대상이 된 데이터의 스냅샷으로, 이슈 제목·댓글 본문 등 이용자 생성 콘텐츠의 일부가 포함될 수 있습니다), 발생 시각, (운영자 대리접속의 경우) 접속 IP 주소	—	5년. 이는 관계 법령상 보존 의무에 따른 기간이 아니라 회사가 자체적으로 정한 기간이며, 보존기간이 경과한 기록은 파기합니다
buggle	고객지원(서비스 내 1:1 문의)	문의자 식별자, 문의 제목·내용, 첨부파일, 회사가 문의 처리 과정에서 작성한 내부 처리 메모(이용자에게는 표시되지 않으나 열람청구의 대상이 됩니다)	—	서비스 이용계약 종료 시까지 (단, 소비자 불만 또는 분쟁처리에 관한 기록은 관계법령에 따라 3년)
buggle	조직 알림 발송(이용자가 조직 단위로 연동을 설정한 경우에 한함)	알림 수신 채널 식별자(예: 메신저 chat_id)	—	이용자가 연동을 해제하거나 서비스 이용계약이 종료될 때까지
buggle	서비스 운영 모니터링(신규 가입·조직 생성·문의 접수·구성원 이탈 사실을 회사의 운영 담당자에게 즉시 알림)	해당 이용자의 표시 이름, 이메일 주소, 발생 사실 및 발생 시각	—	메시지 전달 목적 달성 시까지(전달 채널의 보존정책에 따름)
buggle	기존 데이터 이관(엑셀·구글시트 업로드)	업로드한 파일의 원본·파싱 결과 객체, 시트 메타정보	—	이관 세션 생성 후 24시간 경과 시 자동 만료·삭제

회사는 위 표의 계정정보에 이용자의 User-Agent(브라우저 종류) 정보를 저장하지 않습니다. 다만 서비스 품질 유지·개선을 위한 이용 통계 분석을 위하여 Google Analytics를 이용하며, 그 처리항목·법적 근거·거부 방법은 아래 "3) 동의 없이 처리하는 사항(서비스 이용 통계 분석)" 및 "7. 개인정보 자동 수집 장치의 설치·운영 및 거부에 관한 사항"에서 위 동의 사항과 구분하여 고지합니다. 회사는 광고·마케팅 목적의 행태정보 수집이나 이용자 프로파일링을 하지 않으며, 타사 사이트에 걸친 추적 기능(Google 신호 등 광고 기능)은 사용하지 않습니다.

"서비스 이용계약 종료"의 의미 : 위 표에서 보유기간을 "서비스 이용계약 종료 시까지"로 정한 항목은, 회원의 탈퇴가 처리되거나 조직의 이용 종료가 확정된 때에 파기 대상이 됩니다. 회원 탈퇴는 서비스 내 '내 설정' 화면에서 직접 하실 수 있으며, 아래 "9. 개인정보 보호책임자 및 열람청구"의 연락처를 통한 문의 채널 요청도 가능합니다. 자세한 내용은 아래 "5. 개인정보의 파기절차 및 방법"을 참고하시기 바랍니다.

위 표의 "조직 알림 발송" 및 "서비스 운영 모니터링"에 관하여 개인정보를 이전받는 자, 이전되는 국가 및 이전 방법은 아래 "4. 개인정보의 국외 이전"에서 고지합니다.

2) 마케팅 목적으로 선택적으로 수집·이용하는 사항

서비스	이용목적	필수항목	선택항목	보유기간
buggle	제품 소식·업데이트 안내 등 광고성 정보 수신	—	이메일 주소, 표시 이름(마케팅 수신에 동의한 경우에 한함)	동의일로부터 동의 철회 시 또는 서비스 이용계약 종료 시까지

마케팅 정보 수신 동의는 선택 사항이며, 동의하지 않아도 서비스 이용에는 아무런 제한이 없습니다. 동의 후에도 언제든지 철회할 수 있습니다.

3) 동의 없이 처리하는 사항 (서비스 이용 통계 분석)

회사는 아래 정보를 개인정보 보호법 제15조제1항제6호(개인정보처리자의 정당한 이익)에 근거하여 이용자의 동의 없이 처리하며, 같은 법 제22조제3항에 따라 동의를 받아 처리하는 위 1)·2)의 사항과 구분하여 고지합니다. 이용자는 아래 "7. 개인정보 자동 수집 장치의 설치·운영 및 거부에 관한 사항"의 방법으로 이 처리를 거부할 수 있습니다.

서비스	이용목적	처리항목	보유기간
buggle	서비스 이용 통계 분석 및 품질 개선(방문 경로·화면별 이용 현황·기능 이용 여부 파악)	전송 과정에서 처리되는 접속 IP 주소, 쿠키에 저장되는 브라우저 단위 방문 식별자(무작위 값), 방문 일시, 접속 페이지 경로(조직·프로젝트·이슈 식별자는 전송 전 자리표시자로 치환), 유입 도메인 및 사전에 허용한 캠페인 정보, 브라우저·운영체제·기기 유형·언어, 대략적 접속 지역, 소속 조직 식별자(UUID)·요금제, 화면 내 동작 발생 사실(가입 시작·이메일 인증 완료·문서 열람·다운로드 클릭 등)	수집일부터 14개월(거부 시 이후 신규 수집 중단)

회사는 위 분석에서 이름·이메일 주소·이슈 제목·댓글 내용·첨부파일 등 직접 식별정보나 이용자 생성 콘텐츠를 전송하지 않습니다. 같은 서비스 안에서 이동한 유입 주소는 식별자를 가리고, 외부 유입 주소는 도메인만 전송합니다. 접속 IP 주소는 Google이 데이터 전송 과정에서 기본 서비스 제공·스팸 탐지·대략적 지역 산출에 처리하며, 원본 IP 주소는 사용 후 폐기되어 Google Analytics 보고서에 기록·저장되지 않습니다. 이용자는 아래 "7. 개인정보 자동 수집 장치의 설치·운영 및 거부에 관한 사항"의 방법으로 언제든지 이 처리를 거부할 수 있으며, 거부하여도 서비스 이용에는 아무런 제한이 없습니다.

4) 관계 법령에 의한 개인정보 보유기간

① 계약 또는 청약철회 등에 관한 기록 : 전자상거래 등에서의 소비자보호에 관한 법률 / 5년
② 대금결제 및 재화 등의 공급에 관한 기록 : 전자상거래 등에서의 소비자보호에 관한 법률 / 5년
③ 소비자의 불만 또는 분쟁처리에 관한 기록 : 전자상거래 등에서의 소비자보호에 관한 법률 / 3년
④ 표시·광고에 관한 기록 : 전자상거래 등에서의 소비자보호에 관한 법률 / 6개월
⑤ 로그인 기록 : 통신비밀보호법 / 3개월
⑥ 관계 법령 위반에 따른 수사·조사 등이 진행 중인 경우 : 해당 수사·조사 종료 시까지

위 ① 및 ②의 결제·계약 관련 기록은 유료 서비스가 개시된 이후 발생하는 거래부터 적용됩니다. 본 방침 시행일 현재 회사는 서비스에서 유료 결제를 처리하고 있지 않으므로 해당 기록을 보유하고 있지 않습니다.

2. 이용자가 서비스에 입력하는 정보 (회사의 이중 지위)

1) 지위의 구분

buggle은 이용자가 소속된 조직이 자신의 업무 데이터를 기록·관리하도록 지원하는 도구입니다. 이용자(또는 조직의 구성원·게스트)가 이슈, 댓글, 첨부파일 등 서비스 내에 직접 입력·업로드한 정보(이하 '이용자 생성 콘텐츠')에 제3자의 개인정보가 포함되어 있는 경우, 해당 개인정보에 대한 **개인정보처리자는 그 정보를 입력한 이용자가 소속된 조직(고객)**이며, 회사는 조직으로부터 그 처리를 위탁받아 처리하는 수탁자의 지위에 있습니다.

이는 회원의 계정정보(이메일·이름·프로필·접속기록·동의기록)에 대하여 회사가 직접 개인정보처리자가 되는 위 제1항과 구별됩니다.

2) 개인정보가 포함될 수 있는 영역

이용자 생성 콘텐츠 중 다음 영역은 자유입력 또는 파일 업로드 방식이므로, 이용자의 입력 내용에 따라 제3자의 개인정보나 인증정보가 포함될 수 있습니다.

영역	해당 항목
이슈	제목, 내용, 재현 절차, 기대 결과, 규격 링크, API 요청 헤더, API 요청 페이로드(실제 요청 값을 붙여넣는 필드이므로 토큰·개인정보가 포함될 수 있음)
댓글	본문, 부가 정보
첨부파일	업로드한 이미지·파일의 원본 파일명 및 내용. 화면 캡처(스크린샷)에 제3자의 개인정보가 촬영될 수 있음
게스트 초대	초대 관리용 라벨(예: 검수자 구분을 위한 관리자의 자유입력 메모)
개선요청·고객지원	제목, 본문, 첨부파일, (고객지원) 회사의 내부 처리 메모
데이터 이관	업로드한 엑셀·구글시트 파일의 내용

3) 조직(고객)의 책임

조직 및 그 구성원은 이용자 생성 콘텐츠에 제3자의 개인정보를 입력·업로드하는 경우, 해당 개인정보의 수집·이용 및 회사에 대한 처리위탁에 관하여 관계 법령이 요구하는 적법한 처리 근거(동의 또는 법령상 근거 등)를 스스로 확보할 책임이 있습니다. 회사는 조직에 대하여 서비스 제공에 필요한 범위를 넘어서는 개인정보를 입력하지 않을 것과, 특히 API 헤더·페이로드 필드 및 첨부 이미지에 불필요한 개인정보나 인증정보(토큰·비밀번호 등)를 포함시키지 않을 것을 권고합니다.

4) 회사의 처리 원칙

회사는 이용자 생성 콘텐츠에 포함된 개인정보를 다음 원칙에 따라 처리합니다.

① 회사는 이용자 생성 콘텐츠를 서비스 제공(저장·조회·검색·알림·권한 통제·장애 대응·보안) 목적 외의 용도로 이용하지 않습니다.
② 회사는 이용자 생성 콘텐츠를 조직의 지시에 따라 처리하며, 조직의 지시가 관계 법령에 위반되는 경우에는 그 사실을 조직에 알리고 해당 지시를 따르지 않을 수 있습니다.
③ 회사는 이용자 생성 콘텐츠를 광고·마케팅·인공지능 모델 학습 등 어떠한 2차적 목적으로도 이용하지 않습니다.
④ 이용자 생성 콘텐츠에 포함된 개인정보에 대한 열람·정정·삭제 요구는 원칙적으로 해당 정보를 관리하는 조직에 하여야 하며, 회사가 정보주체로부터 직접 요구를 받은 경우에는 지체 없이 해당 조직에 통지하고 조직의 지시에 따라 처리합니다.

5) 조직 내 권한 구조에 따른 데이터 귀속

① 서비스는 조직 > 팀 > 프로젝트의 3계층 구조로 운영되며, 조직 역할(소유자·관리자·멤버), 팀 역할(팀 리드·팀 멤버), 프로젝트 권한(관리·편집·조회)이 각각 부여됩니다. 본 방침에서 "구성원"은 이용약관 제2조에서 정한 바에 따라 조직에 소속되어 서비스를 이용하는 회원 전체(소유자·관리자·멤버를 포함합니다)를 의미합니다.
② 조직의 소유자 및 관리자는 해당 조직 내 모든 프로젝트에 대하여 자동으로 프로젝트 관리자 권한을 가집니다. 따라서 조직의 소유자·관리자는 다른 구성원이나 게스트가 작성한 이슈·댓글·첨부파일을 열람할 수 있으며, 서비스가 제공하는 범위에서 이를 관리(이슈의 수정·삭제, 첨부파일의 삭제 등)할 수 있습니다(댓글은 작성자 본인만 수정·삭제할 수 있습니다). 이용자는 서비스에 정보를 입력하기 전에 이 점을 반드시 인지하여야 합니다.
③ 프로젝트 공개 범위는 팀 공개 또는 비공개 두 가지이며, 인터넷 전체에 공개되는(public) 범위는 제공하지 않습니다.
④ 게스트(비회원)가 초대 링크를 통해 작성한 댓글·첨부파일 등 콘텐츠는 해당 조직에 귀속되며, 게스트가 정식 회원으로 전환하는 경우 그 활동 이력이 승계됩니다.

6) 운영사의 대리접속(임시 지원 접속)

회사의 운영 담당자는 이용약관 제21조에서 정한 다음 목적에 한정하여 회원의 계정으로 서비스에 임시 접속(대리접속, 약관상 '운영 접근')할 수 있습니다.

① 회원 또는 조직이 요청한 문의·장애 신고의 처리
② 서비스 장애의 원인 규명 및 복구
③ 법령 위반 또는 서비스의 안정성을 해치는 행위에 대한 조사
④ 법령에 따른 정당한 요청에 대한 대응

이 경우 다음 조치가 적용됩니다.

① 대리접속은 위 목적 달성에 필요한 최소한의 범위와 기간 내에서 수행되며, 세션의 유효시간은 최대 2시간으로 제한되고 해당 세션에는 대리접속임을 나타내는 표식이 부여됩니다. 회사는 대리접속 권한을 부여받은 담당자를 최소한으로 지정하여 관리합니다.
② 대리접속의 시작 사실은 접속 IP 주소와 함께 감사기록에 반드시 남습니다(기록에 실패하면 대리접속 세션이 발급되지 않습니다). 운영 담당자가 명시적으로 종료한 경우 그 사실도 기록하도록 하고 있으며(일시적 기록 실패 가능성 있음), 종료 기록 여부와 관계없이 세션은 유효시간(최대 2시간)이 지나면 자동으로 만료됩니다 — 이 경우 대리접속 가능 기간은 시작 기록 시각으로부터 최대 2시간으로 산정합니다. 해당 기록의 보유기간은 위 제1항 1)의 감사기록 항목에서 정한 바에 따릅니다.
③ 회사는 대리접속을 통하여 알게 된 정보를 위 목적 외로 이용하거나 제3자에게 제공하지 않습니다.
④ 대리접속의 대상이 된 회원 본인 또는 그 회원이 속한 조직의 소유자·관리자는 자신과 관련된 대리접속 감사기록의 열람을 요청할 수 있으며, 회사는 정당한 사유가 없는 한 이에 응합니다. 요청은 아래 "9. 개인정보 보호책임자 및 열람청구"의 연락처로 하실 수 있습니다.

7) 캡처 도우미 및 외부 도구 연동

① 캡처 도우미는 회사가 별도로 배포하는 데스크톱 프로그램으로, 서비스 화면이 이용자 본인 컴퓨터의 로컬 주소(127.0.0.1)로만 통신하며 제3자 서버를 경유하지 않습니다.
② MCP 서버(/api/mcp)는 이용자가 발급한 개인 액세스 토큰으로 이용자 본인의 AI 도구가 서비스에 접속하여 데이터를 조회·기록하는 인바운드(수신) 방식의 기능입니다. 회사가 데이터를 외부로 전송하는 것이 아니므로 개인정보의 제3자 제공에 해당하지 않습니다. 다만 이용자가 어떤 도구에 토큰을 등록하고 그 도구가 데이터를 어떻게 처리하는지는 이용자 본인의 관리 영역이므로, 토큰은 신뢰할 수 있는 도구에만 등록하시고 사용하지 않는 토큰은 삭제하시기 바랍니다.

3. 개인정보의 제3자 제공 및 처리위탁

1) 제3자 제공에 관한 원칙

회사는 이용자의 개인정보를 "1. 개인정보의 처리 목적 및 처리 항목, 보유기간"에서 고지한 범위 내에서 이용하며, 이용자의 사전 동의 없이는 동 범위를 초과하여 이용하거나 제3자에게 제공하지 않습니다. 다만, 아래의 경우에는 예외로 합니다.

① 이용자가 사전에 정보 제공에 동의한 경우
② 법령의 규정에 의거하거나 법령상 준수의무를 위하여 불가피한 경우
③ 명백히 이용자 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우
④ 회사의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 이용자의 권리보다 우선하는 경우. 이 경우 회사의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한하며, 수집한 목적의 범위에서만 제공합니다.
⑤ 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우로서 수집한 목적의 범위에서 제공하는 경우

위 각 호의 구체적인 요건은 개인정보 보호법 제17조 제1항 각 호 및 제15조 제1항 각 호에서 정하는 바에 따릅니다.

2) 개인정보 제3자 제공

회사는 현재 이용자의 개인정보를 제3자에게 제공하고 있지 않습니다. 향후 제3자 제공이 필요한 경우 제공받는 자, 제공 목적, 제공 항목, 보유·이용기간을 사전에 고지하고 별도의 동의를 받겠습니다.

3) 개인정보 처리위탁

회사는 서비스의 원활한 업무처리를 위하여 다음과 같이 개인정보 처리업무를 위탁하고 있습니다. 위탁업무의 내용이나 수탁자가 변경될 경우에는 지체 없이 본 개인정보 처리방침을 통하여 공개하도록 하겠습니다.

아래 수탁자는 회사가 개인정보처리자의 지위에서 처리하는 계정정보(위 제1항)의 수탁자일 뿐 아니라, 회사가 조직으로부터 위탁받아 수탁자의 지위에서 처리하는 이용자 생성 콘텐츠(위 제2항)에 관한 재수탁자를 포함합니다. 조직은 이용약관에 동의함으로써 회사가 본 항 및 아래 제4항에 공개된 수탁자에게 위탁받은 개인정보의 처리를 재위탁하는 것에 동의한 것으로 보며, 회사가 수탁자를 추가·변경하는 경우에는 본 방침을 통하여 사전에 공개합니다. 재위탁에 동의하지 않는 조직은 이용계약을 해지할 수 있습니다.

수탁받는 자	위탁업무 내용	개인정보 보유 및 이용기간
Supabase Inc.	데이터베이스 및 파일 스토리지 운영 — 서비스 전체 데이터 저장	위탁계약 종료 시 또는 서비스 이용계약 종료 시까지
Vercel Inc.	애플리케이션 호스팅 및 서버리스 실행 환경 제공	위탁계약 종료 시 또는 서비스 이용계약 종료 시까지
Resend (Resend, Inc.)	이메일 발송(초대·이메일 인증·비밀번호 재설정 등)	위탁계약 종료 시 또는 서비스 이용계약 종료 시까지
Google LLC	소셜 로그인(OAuth) 인증 처리	위탁계약 종료 시 또는 회원의 연동 해제 요청 처리 시까지
Telegram (Telegram FZ-LLC 등 계열)	① 조직이 설정한 알림 봇을 통한 알림 발송 ② 회사 운영 알림 전달(신규 가입·조직 생성·문의 접수·구성원 이탈 사실의 운영 담당자 통지)	①의 경우 위탁계약 종료 시 또는 연동 해제 시까지, ②의 경우 위탁계약 종료 시 또는 메시지 전달 목적 달성 시까지(각 이전받는 자의 보존정책에 따름)

회사는 국내에 소재한 수탁사에 개인정보 처리를 위탁하고 있지 않으며, 위 수탁사는 모두 국외 사업자입니다. 이에 관한 상세한 사항은 아래 "4. 개인정보의 국외 이전"에서 고지합니다.

4. 개인정보의 국외 이전

회사는 아래 이전에 관하여 개인정보 보호법 제28조의8제1항제3호가목(정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁·보관이 필요한 경우로서 같은 조 제2항 각 호의 사항을 개인정보 처리방침에 공개한 경우)을 근거로 개인정보를 국외로 이전하며, 이에 대하여는 별도의 동의를 받지 아니합니다.

아래 첫 번째 표의 이전은 서비스 제공을 위한 인프라 운영에 필요하므로, 이전을 원하지 않으시는 경우 회원 탈퇴 또는 조직의 이용 종료를 통하여 처리를 중단하실 수 있습니다. 국외 이전에 관한 문의 및 처리 중단 요청은 아래 "9. 개인정보 보호책임자 및 열람청구"의 연락처로 하실 수 있습니다.

반면 아래 "이용 통계 분석에 관한 국외 이전"은 서비스 제공에 필수적인 것이 아니므로, 이용자는 회원 탈퇴 없이도 아래 "7. 개인정보 자동 수집 장치의 설치·운영 및 거부에 관한 사항"의 방법으로 해당 이전을 거부하실 수 있습니다.

향후 광고·마케팅 목적 등 서비스 제공 및 그 품질 유지와 무관한 목적의 국외 이전을 추가하는 경우에는, 해당 부분에 관하여 개인정보 보호법 제28조의8제1항제1호에 따른 별도의 동의를 받겠습니다.

구분	Supabase Inc.	Vercel Inc.	Resend, Inc.	Google LLC	Telegram
이전받는 자	Supabase Inc.	Vercel Inc.	Resend, Inc.	Google LLC	Telegram FZ-LLC 등 계열
국외 이전의 근거	개인정보 보호법 제28조의8 제1항 제3호 가목	같은 조항	같은 조항	같은 조항	같은 조항
이전되는 국가	미국(사업자 소재국). 단, 데이터베이스 및 스토리지의 보관·처리 리전은 대한민국 서울(ap-northeast-2)로 설정되어 있어 실제 데이터는 국내에 저장됩니다. 다만 사업자가 미국 법인으로서 운영·유지보수 과정에서 국외에서 접근할 수 있으므로 국외 이전으로 고지합니다.	미국(사업자 소재국). 단, 서비스의 서버리스 함수 실행 리전은 대한민국 서울(icn1)로 설정되어 있습니다. 다만 사업자가 미국 법인으로서 운영·유지보수 및 로그·캐시 처리 과정에서 국외에서 접근할 수 있으므로 국외 이전으로 고지합니다.	미국	미국	아랍에미리트(UAE) — Telegram FZ-LLC의 소재국. 메시지 전달 인프라는 해당 사업자의 정책에 따라 복수 국가에 소재한 데이터센터에서 처리될 수 있습니다.
이전 일시 및 방법	회원가입·서비스 이용 시점에 정보통신망을 통한 전송(수시)	서비스 이용 요청 시점에 정보통신망을 통한 전송(수시)	초대·인증·비밀번호 재설정 이메일 발송이 필요한 시점에 정보통신망을 통한 전송(수시)	이용자가 Google 로그인을 선택한 시점에 정보통신망을 통한 전송(수시)	조직이 알림 연동을 설정한 경우 알림 발생 시점, 회사 운영 알림 발생 시점에 정보통신망을 통한 전송(수시)
이전되는 항목	이메일 주소, 비밀번호 해시, 표시 이름, 직무, 소속, 프로필 이미지, 접속 IP(동의 증빙·횟수 제한 목적), 접속 기록, 동의 기록, 감사기록, 조직·팀·프로젝트 정보, 이용자 생성 콘텐츠(이슈·댓글·첨부파일 등) 등 서비스 내 저장되는 전체 데이터	서비스 요청 처리 과정에서 전달되는 정보(접속 IP, 요청 정보, 인증 세션 정보 및 해당 요청에 포함된 개인정보)	수신자 이메일 주소, 이메일 제목, 이메일 본문	Google 계정 식별자, 이메일 주소, 이름, 프로필 이미지 주소	(조직 알림) 이슈 제목, 프로젝트명, 행위자 이름, 댓글 일부, 링크 / (회사 운영 알림) 신규 가입·조직 생성·문의 발생 시 해당 이용자의 이름·이메일 주소
이전받는 자의 이용목적	데이터베이스·스토리지 운영 및 데이터 저장	애플리케이션 호스팅 및 서버리스 실행	이메일 발송	소셜 로그인 인증	알림 메시지 전달
이전받는 자의 보유·이용기간	위탁계약 종료 시 또는 서비스 이용계약 종료 시까지	위탁계약 종료 시 또는 서비스 이용계약 종료 시까지	위탁계약 종료 시 또는 이전받는 자의 로그 보존정책에 따른 기간까지	Google의 개인정보 처리방침에 따른 기간	메시지 전달 목적 달성 시 또는 이전받는 자의 정책에 따른 기간까지
연락처(개인정보 보호 관련)	privacy@supabase.io	privacy@vercel.com	support@resend.com	https://support.google.com/policies	https://telegram.org/privacy

위 Telegram에 대한 이전 중 "조직 알림"은 조직이 알림 연동을 설정한 경우에만 발생하며, "회사 운영 알림"은 위 제1항 1)의 "서비스 운영 모니터링" 목적에 따라 연동 설정 여부와 관계없이 발생합니다.

이용 통계 분석에 관한 국외 이전 — 위 표의 이전과 목적·항목이 다르므로 구분하여 고지합니다.

구분	내용
이전받는 자	Google LLC (Google Analytics)
국외 이전의 근거	개인정보 보호법 제28조의8제1항제3호가목
이전되는 국가	미국(사업자 소재국). 데이터는 이전받는 자가 지정한 국가의 데이터센터에서 처리될 수 있습니다.
이전 일시 및 방법	이용자가 서비스 화면(소개 페이지·공개 문서 포함)을 방문·이용하는 시점에 암호화된 정보통신망을 통하여 전송(수시)
이전되는 항목	위 "1. 3) 동의 없이 처리하는 사항(서비스 이용 통계 분석)"의 처리항목. 이름·이메일 주소 등 직접 식별정보와 이용자 생성 콘텐츠(이슈·댓글·첨부파일)는 이전되지 않습니다.
이전받는 자의 이용목적	이용 통계 분석 서비스 제공
이전받는 자의 보유·이용기간	회사가 설정한 데이터 보존기간(수집일부터 14개월) 경과 시까지
연락처(개인정보 보호 관련)	https://support.google.com/policies
거부 방법 및 효과	이전 자체를 중단하려면 Google 애널리틱스 차단 브라우저 부가기능을 설치하시면 됩니다(브라우저의 쿠키 차단은 방문자 식별값 유지를 막을 뿐 전송을 중단하지는 않습니다). 자세한 내용은 아래 "7. 개인정보 자동 수집 장치의 설치·운영 및 거부에 관한 사항" 참조. 거부하여도 서비스 이용에는 제한이 없습니다.

5. 개인정보의 파기절차 및 방법

1) 파기 원칙

회사는 개인정보의 처리 목적이 달성되거나 보유기간이 경과한 경우, 관계 법령에 따라 보존할 필요가 있는 경우를 제외하고 해당 개인정보를 파기합니다.

2) 회원 탈퇴에 따른 파기

이용자는 서비스 내 '내 설정' 화면에서 직접 탈퇴할 수 있으며, 문의 채널을 통한 요청도 가능합니다. 탈퇴 시 이메일·이름·프로필 이미지·소속·직무·최종 접속 기록 및 외부 서비스 연동 정보는 지체 없이 파기되며 계정은 잠금 처리됩니다.

다만 다음의 정보는 파기 대상에서 제외되거나 별도로 처리됩니다.

① 관계 법령에 따라 보존 의무가 있는 정보 : 위 "1. 4) 관계 법령에 의한 개인정보 보유기간"에 따른 기간 동안 별도로 보관합니다.
② 감사기록 : 부정이용 방지·분쟁 대응·보안 사고 대응을 위하여 위 제1항 1)에서 정한 기간(5년) 동안 보관한 후 파기합니다.
③ 약관·개인정보 처리방침 동의 및 철회에 관한 기록(동의 시점의 접속 IP 포함) : 동의 사실의 증명과 분쟁 대응을 위하여 탈퇴일부터 3년간 보관 후 파기합니다. 보관 기간 산정을 위한 탈퇴 시점 정보는 보관 기간 경과 시 함께 파기합니다.
④ 조직이 보유한 초대 이력(초대 수신자 이메일 포함) : 조직의 업무 기록으로서 해당 조직의 이용 종료 시까지 보관합니다.
⑤ 조직에 귀속되는 이용자 생성 콘텐츠 : 이슈·댓글·첨부파일 등의 본문은 회원 개인이 아니라 조직의 업무 기록으로서 조직에 귀속되므로, 회원의 탈퇴만으로는 삭제되지 않습니다. 콘텐츠 본문에 포함된 제3자의 개인정보에 대한 삭제 요구는 위 "2. 4) ④"에 따라 해당 조직에 하여야 합니다. 해당 콘텐츠에 작성자·담당자로 표시되는 회원 본인의 표시 이름은 조직의 업무 기록의 일부로서 탈퇴 이후에도 삭제·익명 처리되지 않습니다(이용약관 제20조 제4항). 다만 그 표시 이름에 대하여는 회사도 개인정보처리자의 지위에 있으므로, 회원은 해당 조직의 소유자·관리자에게 요청하시거나 아래 "9."의 연락처로 회사에 직접 그 삭제 또는 대체를 요청하실 수 있으며, 회사는 조직의 업무 기록 보존의 필요성과 정보주체의 권리를 형량하여 지체 없이 처리합니다.
⑥ 이용자가 서비스 화면에서 삭제한 이슈·댓글·첨부파일 : 오삭제의 복구 및 분쟁 대응을 위하여 목록·검색에서 제외된 상태로 서비스 내부에 보관되며, 해당 조직의 이용 종료 시 아래 3)에 따라 함께 처리됩니다. 즉시 파기를 원하시는 경우 아래 "9."의 연락처로 요청하실 수 있습니다.

3) 조직의 이용 종료에 따른 파기

조직의 이용 종료는 조직의 소유자가 회사가 안내하는 문의 채널 또는 아래 "9."의 연락처로 요청하는 방법으로 접수됩니다(이용약관 제31조 제1항). 회사는 이용 종료를 처리하기 전에 해당 조직의 구성원이 이용자 생성 콘텐츠를 회수할 수 있도록 상당한 기간을 부여하며, 그 기간 동안의 회수 수단(서비스 내 내려받기 기능, 개인 액세스 토큰을 이용한 API·MCP 조회 등)에 관하여는 이용약관 제24조 제3항에서 정하는 바에 따릅니다.

이용약관 제31조 제4항에 따라 조직의 이용 종료가 확정되면, 회사는 해당 조직의 데이터에 대한 구성원 및 게스트의 접근을 차단합니다. 종료 시 해당 조직의 외부 연동은 비활성화되며, 종료 전에 발급된 첨부파일 열람용 임시 링크는 발급 시점부터 최대 1시간 이내에 만료됩니다. 해당 데이터의 파기는 관계 법령에 따라 보존이 필요한 정보를 제외하고 회사의 절차에 따라 진행합니다.

4) 보유기간 경과에 따른 만료 및 삭제

다음 정보는 정해진 기간이 경과하면 만료되며, 그중 아래 표에서 "삭제"로 표시된 항목은 자동으로 삭제됩니다.

대상	파기 시점
로그인 세션	30일 경과 시 만료(회사는 필요한 경우 세션을 즉시 무효화할 수 있음)
게스트 세션	14일 경과 시 만료
이메일 인증 토큰	발급 후 24시간 경과 시 효력 만료(사용 시 즉시 삭제. 사용되지 않은 채 만료된 토큰은 동일 목적의 토큰이 재발급될 때 대체·삭제)
비밀번호 재설정 토큰	발급 후 1시간 경과 시 효력 만료(사용 시 즉시 삭제. 사용되지 않은 채 만료된 토큰은 동일 목적의 토큰이 재발급될 때 대체·삭제)
회원 초대(조직·팀·프로젝트)	지정된 유효기간(별도로 지정하지 아니한 경우 기본 7일) 경과 시 만료
게스트 초대 링크	발급 시 유효기간을 지정한 경우 그 기간 경과 시 만료. 유효기간을 지정하지 아니한 경우(기본값)에는 만료되지 않으며, 조직이 회수할 때까지 유효합니다(이용약관 제10조 제2항)
데이터 이관 세션 및 업로드 원본 파일	생성 후 24시간 경과 시 데이터베이스 기록 및 저장된 파일 삭제
사용되지 않은 임시 첨부파일	업로드 후 24시간 경과 시 데이터베이스 기록 및 저장된 파일 삭제

위 표의 항목 중 데이터 이관 세션 및 업로드 원본 파일과 사용되지 않은 임시 첨부파일은 매일 정기적으로 실행되는 자동 정리 작업을 통해 데이터베이스 기록과 저장된 파일이 함께 삭제됩니다. 그 밖의 항목은 위 표에 기재된 기간이 경과하면 효력을 잃어 더 이상 이용되지 않으며, 위 표에 기재된 시점 또는 방법으로 삭제됩니다. 다만 유효기간을 지정하지 않은 게스트 초대 링크는 만료되지 않으므로, 조직은 불필요한 게스트 초대 링크를 지체 없이 회수하여야 합니다(이용약관 제10조 제2항).

5) 별도 보관

이용자로부터 동의를 받은 개인정보의 보유기간이 경과하거나 처리 목적이 달성되었음에도 불구하고 다른 법령에 따라 개인정보를 계속 보존하여야 하는 경우에는, 해당 개인정보를 별도의 데이터베이스로 옮기거나 보관장소를 달리하여 보존하며 보존 목적 외의 용도로 이용하지 않습니다.

6) 파기 방법

① 파기 대상인 전자적 파일 형태의 정보는 기록을 복구 및 재생할 수 없도록 기술적 방법을 사용하여 안전하게 삭제합니다.
② 종이에 출력된 개인정보는 분쇄기로 분쇄하거나 소각을 통하여 파기합니다.

6. 이용자 및 법정대리인의 권리와 그 행사방법

1) 개인정보의 열람 및 정정

이용자 또는 그 법정대리인은 언제든지 등록되어 있는 본인의 개인정보를 열람 및 정정할 수 있습니다. 표시 이름·직무는 로그인 후 내 설정 화면에서 직접 열람·정정하실 수 있습니다. 소속 조직·팀 정보는 내 설정 화면에서 열람하실 수 있으며, 그 변경은 해당 조직의 관리자를 통하거나 아래 "9. 개인정보 보호책임자 및 열람청구"의 연락처로 요청하실 수 있습니다. 이메일 주소를 포함한 그 밖의 사항은 아래 "9."의 연락처로 요청하시면 지체 없이 조치하겠습니다.

회사는 이용자가 개인정보의 오류에 대한 정정을 요청한 경우, 정정을 완료하기 전까지 당해 개인정보를 이용하지 않습니다.

2) 처리정지·동의 철회 및 삭제 요청

이용자 또는 그 법정대리인은 언제든지 개인정보의 수집·이용, 처리위탁, 국외 이전 등에 대한 동의를 철회하거나 개인정보의 처리정지·삭제를 요청할 수 있으며, 회원은 서비스 내 '내 설정' 화면의 탈퇴 기능 또는 회사가 안내하는 문의 채널·아래 "9."의 연락처를 통하여 탈퇴할 수 있습니다. 문의 채널을 통한 처리정지·삭제 요청은 접수 후 본인 확인을 거쳐 관계 법령에 따라 보존이 필요한 정보를 제외하고 필요한 조치를 취합니다. 탈퇴의 처리 절차는 위 "5. 2)"에서 정한 바에 따릅니다.

마케팅 정보 수신 동의의 철회는 아래 연락처로 요청하시거나 수신한 이메일의 수신거부 안내에 따라 처리하실 수 있습니다.

이용 통계 분석 및 그에 따른 국외 이전은 아래 "7. 개인정보 자동 수집 장치의 설치·운영 및 거부에 관한 사항"의 방법으로 언제든지 거부하실 수 있습니다.

3) 이용자 생성 콘텐츠에 대한 권리 행사

위 "2. 이용자가 서비스에 입력하는 정보"에 따라, 이슈·댓글·첨부파일 등에 포함된 제3자의 개인정보에 대한 권리 행사는 원칙적으로 해당 정보를 관리하는 조직(고객)에 대하여 하여야 합니다. 회사가 직접 요구를 받은 경우에는 지체 없이 해당 조직에 통지하고 조직의 지시에 따라 처리하며, 그 사실을 요구하신 분께 안내합니다. 조직에 소속되지 않은 정보주체는 아래 "9."의 전자우편주소로 요구하실 수 있습니다.

다만 해당 콘텐츠에 표시되는 회원 본인의 식별정보(표시 이름·프로필 이미지 등)에 대하여는 회사가 개인정보처리자의 지위에 있으므로, 위 "5. 2) ⑤"에 따라 회사에 직접 요청하실 수 있습니다.

4) 거절

회사는 다음에 해당하는 경우에는 개인정보의 전부 또는 일부에 대하여 열람·정정 및 삭제를 거절할 수 있습니다.

① 법률에 따라 열람·정정 및 삭제가 금지되거나 제한되는 경우
② 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우

5) 만 14세 미만 아동의 개인정보

서비스는 만 14세 이상을 대상으로 하며, 회사는 만 14세 미만 아동의 개인정보를 수집하지 않는 것을 원칙으로 합니다. 회사는 회원가입 시 이용약관에 대한 동의를 통하여 만 14세 이상임을 확인합니다. 다만 게스트(비회원)의 참여는 회원가입 절차를 거치지 않으므로, 게스트를 초대한 조직이 이용약관 제5조 제7항에 따라 만 14세 미만인 자를 초대하지 않을 책임을 부담합니다.

회사는 만 14세 미만 아동의 개인정보가 법정대리인의 동의 없이 수집된 사실을 알게 된 경우, 지체 없이 해당 정보를 파기합니다. 법정대리인은 아동의 개인정보 조회·수정·삭제·처리정지 및 동의 철회를 요구할 수 있으며, 아래 "9. 개인정보 보호책임자 및 열람청구"의 연락처로 요청하실 수 있습니다.

6) 게스트(비회원)의 권리 행사

게스트는 계정을 보유하지 않으므로 내 설정 화면을 이용할 수 없습니다. 게스트 본인의 표시 이름 등에 관한 열람·정정·삭제·처리정지는 게스트를 초대한 조직 또는 아래 "9. 개인정보 보호책임자 및 열람청구"의 전자우편주소로 요청하실 수 있습니다. 회사가 직접 요구를 받은 경우에는 지체 없이 해당 조직에 통지하고 조직의 지시에 따라 처리하며, 그 결과를 요구하신 분께 안내합니다.

7. 개인정보 자동 수집 장치의 설치·운영 및 거부에 관한 사항

회사는 이용자의 로그인 상태를 유지하는 등 서비스 제공을 위하여 '쿠키(cookie)'를 사용합니다. 쿠키란 웹사이트를 운영하는 데 이용되는 서버가 이용자의 브라우저에 보내는 소량의 정보이며 이용자의 기기에 저장됩니다.

1) 회사가 사용하는 쿠키

쿠키명	목적	속성 및 유효기간
`authjs.session-token` (보안 연결 시 `__Secure-` 접두사 사용)	회원 로그인 세션 유지	JWT 방식, 유효기간 30일
`buggle_guest`	비회원 게스트의 초대 링크 접속 세션 유지	httpOnly, secure, sameSite=lax, 유효기간 14일
`buggle_impersonation_return`	회사 운영자의 대리접속 종료 후 원래 계정으로 복귀	대리접속 세션 유지 목적의 임시 쿠키
`_ga`	서비스 이용 통계 분석을 위한 브라우저 단위 방문 식별(무작위 값)	유효기간 최대 2년(Google Analytics)
`_ga_<측정 ID>`	방문 세션 상태 유지 및 방문 횟수 집계	유효기간 최대 2년(Google Analytics)

위 쿠키 중 authjs.session-token·buggle_guest·buggle_impersonation_return은 서비스의 인증 및 세션 유지를 위한 필수 쿠키이며, _ga·_ga_<측정 ID>는 서비스 이용 통계 분석을 위한 분석 쿠키로서 아래 2)의 방법으로 거부하여도 서비스 이용에 제한이 없습니다. 회사는 광고·마케팅 목적의 행태정보 수집이나 이용자 프로파일링을 위한 쿠키는 사용하지 않으며, 타사 사이트에 걸친 추적 기능(Google 신호 등 광고 기능)은 사용하지 않습니다.

분석 쿠키를 설치·운영하는 자동 수집 장치는 다음과 같습니다.

자동 수집 장치의 명칭 : Google Analytics (Google LLC)
자동 수집 장치의 종류 : 서비스 화면에 삽입되는 자바스크립트 및 위 표의 쿠키
수집·이용 목적 및 법적 근거 : 위 "1. 3) 동의 없이 처리하는 사항(서비스 이용 통계 분석)" 참조

2) 쿠키 설정 거부 방법

이용자는 쿠키 설정에 대한 선택권을 가지고 있습니다. 웹 브라우저에서 옵션을 설정함으로써 모든 쿠키를 허용하거나, 쿠키가 저장될 때마다 확인을 거치거나, 모든 쿠키의 저장을 거부할 수 있습니다.

설정방법(Chrome의 경우) : 브라우저 우측 상단 설정 > 개인정보 보호 및 보안 > 서드 파티 쿠키 / 사이트 데이터
설정방법(Safari의 경우) : Safari > 설정 > 개인정보 보호 > 쿠키 및 웹 사이트 데이터

이용 통계 분석을 거부하는 방법 — 두 방법은 효과가 다르므로 구분하여 안내합니다.

분석 쿠키의 저장을 거부 : 위 브라우저 설정으로 _ga·_ga_<측정 ID> 쿠키의 저장을 거부하면 방문자 식별값이 유지되지 않아 방문을 이어서 집계할 수 없게 됩니다. 다만 쿠키 저장 거부만으로는 Google로의 데이터 전송 자체가 중단되지는 않습니다.
전송 자체를 중단 : Google이 제공하는 Google Analytics 차단 브라우저 부가기능을 설치하면 해당 브라우저에서 Google Analytics 스크립트의 실행과 데이터 전송이 차단됩니다.

다만 authjs.session-token 등 인증 쿠키는 로그인 세션 유지를 위한 필수 쿠키이므로, 모든 쿠키의 저장을 거부하는 경우 로그인이 불가능하여 서비스를 이용하실 수 없습니다. 위 방법으로 이용 통계 분석만 거부하는 경우에는 서비스 이용에 아무런 제한이 없습니다.

8. 개인정보의 안전성 확보조치

회사는 이용자의 개인정보를 취급함에 있어 개인정보가 분실, 도난, 누출, 변조 또는 훼손되지 않도록 안전성 확보를 위하여 다음과 같은 기술적·관리적·물리적 대책을 강구하고 있습니다. 본 방침에서 정하지 않은 사항에 관하여는 개인정보 보호법 제29조, 같은 법 시행령 제30조 및 개인정보의 안전성 확보조치 기준에서 규정하는 바에 따릅니다.

1) 기술적 조치

① 비밀번호의 일방향 암호화 : 이용자의 비밀번호는 argon2id 알고리즘으로 해시 처리하여 저장하며, 평문 비밀번호는 저장하지 않습니다(저장 항목 자체가 존재하지 않습니다).
② 인증 토큰의 암호화 저장 : 개인 액세스 토큰(PAT), 이메일 인증·비밀번호 재설정 토큰, 회원 초대 토큰은 SHA-256 해시로만 저장하며 원문을 보관하지 않습니다. 게스트 초대 링크 토큰은 검증용 SHA-256 해시와 함께, 조직 관리자가 초대 링크를 재확인할 수 있도록 AES-256-GCM으로 암호화된 형태로도 보관합니다.
③ 연동 시크릿의 암호화 저장 : 조직이 설정한 외부 연동 시크릿(알림 봇 토큰 등)은 AES-256-GCM 방식으로 암호화하여 저장합니다.
④ 전송 구간 암호화 : 서비스의 모든 통신은 HTTPS로 암호화됩니다.
⑤ 접근통제 : 조직·팀·프로젝트 단위의 역할 기반 접근통제(RBAC)를 통해 권한 있는 이용자만 데이터에 접근할 수 있도록 통제합니다. 회사의 운영 담당자 계정은 고객 세션과 분리하여 관리합니다.
⑥ 접속기록의 생성 및 보관 : 주요 행위에 대하여 행위자·행위 경로·행위 종류·대상·변경 전후 값을 포함한 감사기록을 생성하여 보관하며, 해당 기록에 대한 접근은 회사의 운영 담당자로 제한합니다.
⑦ 부정 이용 방지 : 로그인·회원가입·비밀번호 재설정 등 인증 관련 요청에 대하여 요청 횟수 제한을 적용합니다.

2) 관리적 조치

① 내부관리계획의 수립 및 시행
② 개인정보취급자의 최소화 및 개인정보 보호 교육 시행
③ 회사 운영자의 대리접속에 대한 목적 제한 및 접속 이력(IP 포함) 기록·보존

3) 물리적 조치

① 서비스의 데이터베이스·스토리지 및 애플리케이션 실행 환경은 대한민국 서울 리전에 위치한 관리형 클라우드 인프라를 이용하며, 해당 인프라의 물리적 접근통제는 각 수탁사의 데이터센터 보안정책에 따릅니다.

이용자께서는 비밀번호를 타인에게 알려주지 마시고, 공용 PC를 이용하신 후에는 반드시 로그아웃하시기 바랍니다. 계정 도용이 의심되는 경우 즉시 회사에 알려주시기 바랍니다.

9. 개인정보 보호책임자 및 열람청구

이용자는 회사의 서비스를 이용하시며 발생하는 모든 개인정보보호 관련 문의·불만처리·피해구제 등에 관한 사항(개인정보 열람청구 포함)을 아래 개인정보 보호책임자에게 신고하실 수 있습니다. 회사는 이용자의 신고사항에 대해 신속하고 충분한 답변을 드리겠습니다.

구분	이름	직책	연락처
개인정보 보호책임자	구자영	대표	buggle.support@gmail.com
개인정보 고충처리 담당	고객지원	—	buggle.support@gmail.com

위 전자우편주소는 로그인 없이 누구나 이용하실 수 있는 창구입니다. 서비스 내 1:1 문의 채널은 조직에 소속된 회원만 이용할 수 있으므로, 게스트·무소속 회원 및 그 밖의 정보주체께서는 위 전자우편주소를 이용하시기 바랍니다.

이용자는 개인정보 보호법 제35조에 따른 개인정보의 열람청구를 위 연락처로 하실 수 있습니다. 회사는 이용자의 개인정보 열람청구가 신속하게 처리되도록 노력하겠습니다.

10. 권익침해 구제방법

이용자는 개인정보 침해로 인한 구제를 받기 위하여 개인정보분쟁조정위원회, 한국인터넷진흥원 개인정보침해신고센터 등에 분쟁해결이나 상담 등을 신청할 수 있습니다. 그 밖에 개인정보 침해의 신고·상담에 대하여는 아래 기관에 문의하시기 바랍니다.

개인정보분쟁조정위원회 (www.kopico.go.kr / 1833-6972)
한국인터넷진흥원 개인정보침해신고센터 (privacy.kisa.or.kr / 118)
대검찰청 사이버수사과 (www.spo.go.kr / 1301)
경찰청 사이버수사국 (ecrm.police.go.kr / 182)

또한 개인정보 보호법 제35조(개인정보의 열람), 제36조(개인정보의 정정·삭제), 제37조(개인정보의 처리정지 등)의 규정에 의한 요구에 대하여 공공기관의 장이 행한 처분 또는 부작위로 인하여 권리 또는 이익의 침해를 받은 자는 행정심판법이 정하는 바에 따라 행정심판을 청구할 수 있습니다.

11. 고지의 의무 및 개인정보 처리방침의 변경

회사는 법률이나 서비스의 변경사항을 반영하기 위한 목적 등으로 개인정보 처리방침을 수정할 수 있습니다.
본 개인정보 처리방침의 내용 추가·삭제 및 수정이 있을 시에는 개정 최소 7일 전에 서비스 내 공지 또는 이메일을 통하여 고지합니다. 다만 개인정보의 수집·이용 목적의 변경, 제3자 제공, 국외 이전 등 이용자 권리의 중요한 변경이 있는 경우에는 최소 30일 전에 고지합니다. 이 경우 회사는 개정 전 내용과 개정 후 내용을 명확하게 비교하여 이용자가 알기 쉽도록 표시합니다.
회사는 개정된 개인정보 처리방침을 서비스 내 개인정보 처리방침 화면에 게시하며, 과거의 개인정보 처리방침도 시행일자별로 확인하실 수 있도록 제공합니다.

부칙

(시행일) 본 개인정보 처리방침은 2026년 08월 01일부터 시행합니다.
(유료 서비스 관련 규정의 적용시기) 본 방침 중 결제·대금·청약철회 등 유료 서비스와 관련된 개인정보의 처리 및 관계 법령상 보존기간에 관한 규정은 회사가 유료 서비스를 개시하는 날부터 적용됩니다. 본 방침 시행일 현재 회사는 서비스에서 결제를 처리하지 않으며, 결제 관련 개인정보를 수집·보유하고 있지 않습니다.

최초 시행일자 : 2026년 08월 01일