토닥 개인정보처리방침 (초안)

개인정보처리자: 토닥 운영자(개인, 비영리)
시행일: 2026-11-06
근거: 개인정보보호법 제30조(개인정보 처리방침의 수립 및 공개)

제1조 (기본 원칙)

서비스는 가입이 없고 이름·전화번호·이메일·생년월일 등을 묻지 않습니다.
다만 이용자가 직접 쓴 글에 개인정보가 들어갈 수 있고, 기기 식별 쿠키 값과 글을 결합하면 특정 이용자를 알아볼 가능성이 있으므로, 운영자는 아래 정보를 개인정보에 준해 보호합니다. [변호사 확인: 기기 토큰 해시·글 본문이 개인정보보호법 제2조 제1호의 개인정보(결합 용이성 포함)에 해당하는지]
글 본문에 건강(자해·자살 등) 관련 내용이 담길 수 있습니다. [변호사 확인: 위기 감지로 보류된 글이 민감정보(개인정보보호법 제23조)에 해당하는지, 해당하면 별도 동의가 필요한지]

제2조 (처리하는 개인정보 항목과 목적)

2-1. 서버 데이터베이스에 저장하는 정보

항목	내용	목적
기기 식별값	브라우저 쿠키 값의 SHA-256 해시(원래 값은 저장하지 않음), 내부 기기 번호	이용자 구별, 이용 한도·제한 적용
기기 이용 정보	처음 접속 시각, 마지막 접속 시각, 자동 별명 번호·아바타 색·모자 번호, 이용 제한 종료 시각, 보관함 확인 시각	서비스 제공, 이용 제한
종이배	글 본문(10~300자), 종류(고민/오늘/응원), 익명 여부, 상태, 작성·출항·귀환·거둬들인 시각, 열람 횟수·"나도 그래" 수	다른 이용자에게 전달, 보관함 표시
배달 기록	어떤 기기에 어떤 배가 전달됐는지, 반응(나도 그래·답장·넘김·신고), 시각	중복 전달 방지, 대화 연결
대화	답장·대화 글 본문(1~300자), 보낸 기기, 익명 여부, 전송·읽음 시각, 고마워요 시각, 대화 종료 사유	1:1 대화 제공
차단 기록	차단한 기기·차단된 기기, 시각	다시 연결되지 않게 함
신고 기록	신고 대상(배/메시지), 신고한 기기, 사유, 처리 상태·시각	신고 처리
검사 기록	기기, 대상 종류, 판정 결과, 사유 분류, 시각 — 본문은 저장하지 않음	오남용 방지, 서비스 보호 조치(이용약관 제9조)
운영정책에 따라 전달되지 않은 게시물	종이배·답장·대화 글 본문, 상태, 시각	작성자 본인 화면 표시, 운영자 확인·잘못된 조치 복원
위기 감지로 보류된 종이배	글 본문, 시각 (작성자 보관함에도 표시되지 않음)	운영자 확인, 안전
운영 기록	운영자 조치(대상, 조치, 메모), 시각	조치 이력 관리, 이의제기 대응
문의 기록	유형, 본문, 대상 게시물, 접수 번호, 확인 코드의 해시(원래 값은 저장하지 않음), 처리 상태·답변, 시각, 같은 기기에서 낸 경우 기기 번호	문의·권리침해 신고·이의제기·개인정보 요구 처리
금칙어 목록	운영자가 등록한 단어	자동 검사 (개인정보 아님)

2-2. 서버 메모리에서만 잠시 처리하고 저장하지 않는 정보

항목	처리 내용	사라지는 시점
IP 주소	요청 횟수 제한(분당 요청, 시간당 새 기기, 하루 띄우기) 계산	제한 창이 끝나면 삭제(최대 약 26시간), 서버 재시작 시 즉시 삭제
접은 종이배	검사를 통과했지만 아직 띄우지 않은 글	최대 30분
해변 위치·움직임, "쓰는 중" 신호	다른 이용자 화면에 캐릭터·표시를 보여 줌	접속 종료 후 짧은 시간 내

웹 서버(Caddy) 설정에는 접근 로그 설정이 없습니다(deploy/Caddyfile). 기본값에서 접근 로그를 남기지 않는지는 확인 필요입니다. 서버 프로그램은 오류 내용을 시스템 로그에 남길 수 있으며, 이 로그의 보관 기간은 확인 필요입니다.

2-3. 브라우저에 저장하는 정보 (쿠키 등)

이름	종류	내용	기간
`pb_dev`	쿠키 (HttpOnly, SameSite=Lax)	기기 식별용 무작위 값	1년
`pb_used`	localStorage (간단 화면 `lite/`에서만)	첫 안내를 봤는지 여부	이용자가 지울 때까지

광고·분석용 쿠키나 외부 추적 도구는 쓰지 않습니다(현행 프론트엔드 코드 확인).
쿠키 거부 방법: 브라우저 설정에서 쿠키를 차단하거나 지울 수 있습니다. 차단하면 서비스를 이용할 수 없고, 지우면 이전 기록에 다시 접근할 수 없습니다.

제3조 (수집 방법과 법적 근거)

수집 방법: 이용자가 서비스를 이용할 때 자동 생성(기기 식별값·이용 기록), 이용자가 직접 입력(글 본문).
근거: [변호사 확인: 개인정보보호법 제15조 제1항 중 어느 호를 근거로 할지 — 예) 제4호 "정보주체와의 계약 체결·이행" 또는 별도 동의. 별도 동의라면 첫 화면에 동의 절차 필요]

제4조 (보유 기간과 파기)

정보	보유 기간	이유
종이배 본문	바다에서 돌아오거나 거둬들인 뒤 30일	보관함에서 다시 볼 시간. 기존 open-questions 가정(30일)과 같음
대화 본문	대화가 끝난 뒤(끝나지 않으면 마지막 글 뒤) 30일	고마워요 기한(7일) 이후 여유
운영정책에 따라 전달되지 않은 게시물 본문	종이배는 바다에서 돌아온 뒤 30일, 답장·대화 글은 작성 후 30일	다른 종이배·대화와 같게
신고·보류·삭제된 게시물 본문	조치 후 6개월	이의제기·권리침해 분쟁·수사 요청 대응. 법정 기간 아님
위기 감지로 보류된 종이배	30일	민감할 수 있어 짧게. 변호사 확인 필요
신고 기록, 이용 제한 기록, 운영 기록	1년	재위반 판단, 분쟁 대응. 법정 기간 아님
검사 기록(본문 없음)	1년	오남용 방지
문의 기록	처리 완료 후 1년	재문의·분쟁 대응. 법정 기간 아님
기기 식별값과 기기 이용 정보, 차단 기록	마지막 접속 후 1년	쿠키 유효기간(1년)과 같게
IP 주소	저장 안 함(메모리, 최대 약 26시간)	—

법령에 따라 보관해야 하는 경우 그 기간 동안 보관합니다. [변호사 확인: 통신비밀보호법상 통신사실확인자료(로그기록 등) 보관 의무가 개인 비영리 서비스에 적용되는지 — 적용되면 IP 미저장 방침과 충돌]
파기 주기: 매일 1회(새벽) 보유 기간이 지난 정보를 찾아 파기합니다.
파기 방법: 글 본문은 데이터베이스에서 복구할 수 없게 삭제합니다. 개인을 알아볼 수 없는 수치("나도 그래" 수, 답장 수, 일별 통계)는 남깁니다. 기기는 기기 식별값(쿠키 해시)과 기기 이용 정보(별명 번호·아바타, 이용 제한 등)를 지우고 차단 기록을 삭제합니다. 남은 기록이 기기를 참조하고 있어 내부 기기 번호와 처음·마지막 접속 시각은 남지만, 쿠키 해시를 지웠으므로 어떤 브라우저(이용자)의 기록인지 다시 연결할 수 없습니다.
백업: 데이터베이스 자동 백업과 수동 스냅샷에도 데이터가 남습니다. 백업 보존 기간은 [결정 필요 — 제안 7일]로 하고, 수동 스냅샷은 작업 후 [제안 30일] 안에 지웁니다. (현재 RDS 자동 백업 보존 기간은 확인 필요. 2026-11-06에 만든 수동 스냅샷 2개가 있음)
서비스를 종료하면 모든 데이터를 지체 없이 파기합니다. (근거: 개인정보보호법 제21조)

제5조 (제3자 제공)

운영자는 개인정보를 제3자에게 제공하지 않습니다. 다만 법령에 근거가 있거나 수사기관이 영장 등 법령상 절차에 따라 요청하는 경우는 예외입니다. (근거: 개인정보보호법 제17조, 제18조 — 이용약관 제17조 참조)

제6조 (처리위탁)

수탁자	위탁 업무	처리 위치
Amazon Web Services (법인명 확인 필요)	서버·데이터베이스 운영(EC2, RDS PostgreSQL)	대한민국(아시아 태평양 서울 리전)
OpenAI (법인명 확인 필요)	글 본문의 유해성 자동 검사(모더레이션 API)	미국 (확인 필요)

(근거: 개인정보보호법 제26조. AWS의 경우 수탁자가 데이터 내용에 접근하지 않는 단순 인프라 제공이 "위탁"에 해당하는지는 변호사 확인 필요)

제7조 (국외 이전)

글이 자동 검사를 받을 때 본문이 국외로 전송됩니다. (근거: 개인정보보호법 제28조의8 — 동의 없이 이전할 수 있는 사유(계약 이행에 필요한 처리위탁·보관으로서 처리방침에 공개한 경우 등)에 해당하는지 변호사 확인 필요. 해당하지 않으면 별도 동의 절차 필요)

항목	내용
이전받는 자	OpenAI (법인명·연락처 확인 필요)
이전 국가	미국 (확인 필요)
이전 항목	종이배·답장·대화 글 본문 텍스트만. 기기 식별값·IP 주소는 보내지 않음(현행 코드 확인)
이전 시기·방법	글을 보낼 때마다, 암호화된 통신(HTTPS)으로 전송
이용 목적	유해성(성적 표현, 혐오, 자해 등) 점수 산출
보유 기간	OpenAI 정책에 따름 (API 데이터 보존·학습 미사용 조건은 OpenAI 공식 문서로 확인 필요)
거부 방법과 효과	거부하려면 서비스 이용을 중단해야 합니다. 국외 이전 없이 글을 보낼 수 있는 방법은 현재 없습니다. [결정 필요]

글 본문이 자동 검사 규칙(연락처·만남 등)에서 먼저 차단되면 외부로 보내지 않습니다(현행).

제8조 (이용자의 권리)

이용자는 자신의 개인정보 열람, 정정·삭제, 처리정지를 요구할 수 있습니다. (근거: 개인정보보호법 제35조~제38조)
서비스 안에서 할 수 있는 것: 보관함에서 내 종이배 보기, 바다에 떠 있는 종이배 거둬들이기(전달 중지).
그 밖의 요구는 서비스 안 문의·신고 양식(도움말 화면의 "문의·이의제기", 이용약관 제20조)으로 합니다. 서비스는 가입 정보가 없어 요구한 사람이 해당 기기의 이용자인지 확인하기 어렵습니다. 그래서 요구하려는 기록을 만든 기기(같은 브라우저)에서 양식을 제출한 경우에 그 기기의 기록에 대해 처리합니다. 운영자는 확인한 뒤 10일 이내(확인 필요: 개인정보보호법 시행령상 기한)에 처리하고, 결과는 같은 기기 화면 또는 접수 번호·확인 코드 조회로 알립니다.
브라우저 쿠키를 지우면 운영자도 그 기기의 기록을 이용자와 연결할 수 없게 됩니다. 남은 기록은 제4조 기간이 지나면 파기됩니다.

제9조 (만 14세 미만 아동)

[결정 필요 — 이용약관 제6조와 연동] 서비스는 만 14세 미만 아동의 이용을 허용하지 않습니다. 만 14세 미만 아동의 개인정보를 처리하려면 법정대리인의 동의가 필요하기 때문입니다(개인정보보호법 제22조의2). 운영자가 만 14세 미만 이용 사실을 알게 되면 해당 기록을 지체 없이 파기합니다.

제10조 (안전성 확보 조치)

현행:

기기 식별 쿠키는 원래 값 대신 해시만 저장하고, 쿠키는 스크립트에서 읽을 수 없게(HttpOnly) 설정합니다.
서비스는 HTTPS로 제공됩니다(운영 서버에서 COOKIE_SECURE 설정 여부는 확인 필요).
관리자 기능은 별도 토큰으로만 접근할 수 있습니다.
서버 프로그램은 외부에 직접 열리지 않고 프록시 뒤에서만 동작합니다.

[결정 필요 / 변호사 확인: 개인정보의 안전성 확보조치 기준(고시)상 소규모 처리자에게 요구되는 접근기록 보관 등 항목]

제11조 (개인정보 보호책임자)

개인정보 보호책임자: 토닥 운영자 (근거: 개인정보보호법 제31조. 개인 운영자의 지정 방식은 확인 필요)
연락 방법: 서비스 안 문의·신고 양식(도움말 화면의 "문의·이의제기", 이용약관 제20조). 별도의 이메일·전화 창구는 두지 않습니다.
[변호사 확인: 처리방침에 보호책임자의 성명·연락처를 적어야 하는지, 서비스 안 양식만으로 충분한지 — 운영자 결정(이름·이메일 비공개)과 충돌 가능. README 3번 17]
개인정보 침해 신고·상담은 개인정보침해신고센터, 개인정보분쟁조정위원회 등 공공기관에도 할 수 있습니다. [연락처는 공식 출처로 확인 후 기재 — 확인 필요]

제12조 (방침 변경)

이 방침을 바꾸면 시행 7일 전부터 서비스 화면에 알립니다. 수집 항목 추가 등 중요한 변경은 30일 전부터 알립니다. [결정 필요: 제안값]

부칙

이 방침은 2026-11-06부터 시행합니다.