BOM · Policy
개인정보처리방침Privacy Policy
- 시행일:
- 2026.10.14
- 버전:
- 2026.10.14
처리 근거·항목·위탁·국외이전·AI·법정 보존·정보주체 권리를 실제 데이터 흐름에 맞게 전면 확장.
1. 총칙
BOM(이하 "회사")는 이용자의 개인정보를 소중히 다루며, 「개인정보 보호법」 및 관련 법령에 따라 개인정보 처리방침을 수립·공개합니다. 본 방침은 웹사이트, 계정, Checkout, SaaS, 문의·PoC, AI 보조 기능 등 회사가 실제로 운영하는 처리에 적용됩니다.
본 문서는 개인정보처리방침이며, 개별 화면의 「개인정보 수집·이용 동의서」와는 구분됩니다. 계약 체결·이행에 필요한 정보는 동의 없이도 처리할 수 있는 법적 근거가 적용될 수 있으며, 이 경우 본 방침에 공개합니다.
2. 처리 목적·항목·법적 근거·보유기간
회사는 목적에 필요한 최소한의 개인정보만 처리합니다. 흐름별 요약은 다음과 같습니다.
| 처리 업무 | 항목 | 필수/선택 | 목적 | 법적 근거 | 보유기간 |
|---|---|---|---|---|---|
| 회원가입 | 이름, 이메일, 비밀번호 | 필수 | 계정 생성·인증 | 계약 체결·이행(법 제15조제1항제4호) | 회원 기간+탈퇴 후 삭제 절차 |
| 계정·조직 관리 | 표시명, 조직명, 역할, 초대 이메일 | 필수/해당 시 | 권한·협업 | 제15조제1항제4호 | 조직·회원 유지 기간 |
| 문의·진단·PoC | 이름, 이메일, 연락처, 회사명, 문의내용 | 필수·선택 혼합 | 상담·일정 조율 | 제15조제1항제4호 또는 동의(해당 시) | 목적 달성 후 또는 최대 1년(안내된 경우) |
| 비회원·회원 구매 | 이름/담당자, 이메일, 휴대폰, 회사·사업자번호(해당 시) | 결제 필수 항목 | 주문·계약·영수증 | 제15조제1항제4호 | 거래기록 법정 보존 후 파기 |
| 결제·환불 | 주문·결제 식별자, 금액, PG 거래키 | 필수 | 결제·환급 | 제15조제1항제4호·제2호 | 결제·공급 기록 5년 |
| 세금계산서 | 사업자등록번호, 담당자 연락처 | 요청 시 | 세금계산서 발행 | 법령상 의무·계약 | 세법상 보존기간 |
| ESG 업로드·Evidence | 업로드 파일·업무 데이터(개인정보 포함 가능) | 서비스 이용 시 | 산정·증빙 | 제15조제1항제4호 | 구독 종료 후 최대 90일 읽기 전용 후 삭제 절차 |
| AI Copilot·매핑 | 질문/프롬프트, 마스킹된 샘플, 지표 요약 | 기능 이용 시 | AI 보조 | 제15조제1항제4호(필요 시 별도 고지) | 운영 기본 90일 |
| 보안·관리 로그 | 접속·관리자 활동 기록 | 자동 | 보안·감사 | 제15조제1항제6호(최소화) | 운영 정책상 기간 |
3. 수집 방법
- 회원가입·로그인·Checkout·온보딩·문의 양식 등 이용자 직접 입력
- 서비스 이용 과정에서 생성되는 로그·기기·세션 정보
- 결제대행사로부터 전달받는 결제 결과·식별자
- 조직 관리자의 구성원 초대
4. 제3자 제공
회사는 이용자의 개인정보를 제3자에게 "제공"(제공받는 자의 이익을 위한 이전)하지 않는 것을 원칙으로 합니다. 법령에 따른 요청이 있거나, 이용자가 별도 동의한 경우에만 제공합니다. 결제대행사에 대한 결제 처리는 아래 위탁·결제 이행으로 구분하여 안내합니다.
5. 처리위탁
회사는 「개인정보 보호법」 제26조에 따라 업무를 위탁할 수 있습니다. 실제로 개인정보가 전달될 수 있는 수탁·연동만 기재하며, 미사용 패키지만으로 수탁자를 확정 기재하지 않습니다.
| 수탁·연동 | 업무 | 처리 정보 | 국가 | 상태 |
|---|---|---|---|---|
| Supabase | 인증·데이터베이스·(선택) 파일 스토리지 | 계정(이메일·이름), 세션, 조직·ESG 업무 데이터, 증빙 파일(설정 시) | 확인 중(리전·계약 검증 필요) | 설정 시 활성 |
| 토스페이먼츠(Toss Payments) | 결제·정기결제 카드 등록·결제 승인 | 구매자 이름·이메일·휴대폰, 주문·결제 식별자 | 대한민국 | 조건부/미확정 |
| OpenAI-compatible AI API (설정 시) | AI 매핑 보조·Copilot 응답 생성 | 이용자 질문/프롬프트, 마스킹된 ESG 컬럼 샘플, 조직 지표 요약(설정·기능에 따름) | 확인 중(리전·계약 검증 필요) | 조건부/미확정 |
Stripe는 코드상 스캐폴드만 존재하여 현재 수탁자로 확정하지 않습니다. 호스팅 사업자 상호·리전은 계약 확인 후 업데이트합니다.
6. 국외이전
외국 사업자 또는 해외 서버로 개인정보가 이전(제공·조회·처리위탁·보관) 되는 경우 「개인정보 보호법」 제28조의8에 따라 근거를 갖추고 고지합니다. Supabase·외부 AI API 등의 보관 국가는 프로젝트 리전·계약에 따라 달라질 수 있어, 확인 전에는 특정 국가를 단정하지 않습니다.
계약 이행을 위한 처리위탁·보관으로서 방침 공개로 가능한지, 별도 동의가 필요한지는 이전 형태별로 검토 후 본 방침을 갱신합니다 (VERIFY_LEGAL_SOURCE: 실제 리전·SCC/계약).
7. 파기 절차 및 방법
보유기간이 종료되거나 처리 목적이 달성된 개인정보는 지체 없이 파기합니다. 전자적 파일은 복구 불가능한 방법으로 삭제하고, 출력물은 분쇄·소각합니다. 백업본은 백업 주기에 따라 순차 파기합니다.
8. 법령상 별도 보존되는 거래기록
전자상거래법 및 시행령에 따라 다음 기록은 회원탈퇴·삭제 요청에도 불구하고 법정 기간 동안 분리 보관할 수 있습니다.
- 표시·광고에 관한 기록: 6개월
- 계약 또는 청약철회 등에 관한 기록: 5년
- 대금결제 및 재화등의 공급에 관한 기록: 5년
- 소비자의 불만 또는 분쟁처리에 관한 기록: 3년
법정 보존 정보는 운영 DB와 구분하고, 목적 외 이용을 금지하며, 기간 종료 후 파기합니다. 구독 해지만으로 무기한 보존하지 않습니다.
9. 정보주체의 권리
이용자는 개인정보의 열람·정정·삭제·처리정지·동의 철회 등을 요청할 수 있습니다. 회원은 개인정보·계정 설정또는 아래 이메일로 요청할 수 있습니다. 회사는 관련 법령에 따라 지체 없이 조치합니다. 전송요구권·자동화된 결정에 관한 권리가 적용되는 경우에는 해당 절차를 추가 안내합니다(현재 BOM의 자동 산정·AI 결과는 법적 효과 발생형 단독 자동결정으로 운영하지 않는 것을 원칙으로 합니다).
10. 만 14세 미만
회사는 만 14세 미만 아동의 개인정보를 수집하지 않으며, 해당 연령의 회원가입을 허용하지 않습니다.
11. 개인정보 보호 책임·고충처리
개인정보 보호책임자 성명·직책은 지정·확인 후 게시합니다. 현재 정보주체는 다음 채널로 고충을 접수할 수 있습니다.
- 담당: 고객지원(개인정보 문의)
- 이메일: support@bomesg.com · shlee@bomesg.com
전용 전화번호는 확인되지 않아 허위로 기재하지 않습니다.
12. 침해 구제기관
- 개인정보침해 신고센터 (한국인터넷진흥원): privacy.kisa.or.kr / 국번없이 118
- 개인정보 분쟁조정위원회: www.kopico.go.kr / 1833-6972
- 대검찰청 사이버수사과: www.spo.go.kr
- 경찰청 사이버수사국: ecrm.police.go.kr
13. 안전성 확보조치
회사는 개인정보의 안전한 처리를 위해 접근통제, 전송구간 보호(HTTPS), 권한 최소화, 관리자 세션 보호, 결제정보 PG 처리 분리 등 합리적 조치를 시행합니다. "100% 안전" 등 절대적 표현은 사용하지 않습니다.
15. 생성형 AI 처리
AI 매핑·Copilot 기능이 활성화되고 외부 API 키가 설정된 경우에 한해, 이용자 질문·마스킹된 데이터 샘플 등이 외부 AI 제공자에게 전송될 수 있습니다. 키가 없으면 로컬(결정론적) 경로를 사용합니다. 이는 서비스 제공을 위한 AI 추론(inference) 목적의 처리이며, 선택 동의 항목 ai_external_processing과 연계될 수 있습니다.
BOM AI 모델 개선(학습) 목적의 데이터 이용은 이와 별개의 선택 동의(ai_model_improvement)가 있는 경우에만 검토됩니다. 기본값은 미동의이며, 동의하지 않아도 핵심 서비스 이용에 불이익을 두지 않습니다. 학습 후보 데이터는 허용 목록·비식별·최소화· 비밀정보 제거 절차를 거친 뒤 내부 학습 데이터셋에 포함될 수 있습니다. 동의를 철회하면 이후 생성분과 아직 학습에 투입되지 않은 후보는 제외 대상이 됩니다. 이미 학습이 완료된 모델 가중치에서 특정 이용자 영향을 즉시·완전 제거한다고 보장하지 않으며, 이후 재학습 시 제외하는 방식으로 관리합니다.
외부 AI 제공자가 고객 데이터를 제공자 자체 모델 학습에 사용하는 것은 별도 계약·DPA·기능 플래그 없이 활성화하지 않습니다. 외부 모델 학습 이용 여부·보관 기간은 제공자 계약에 따르며, 확인되지 않은 사실을 단정하지 않습니다. 조직 설정상 외부 모델 처리 허용이 기본 비활성일 수 있습니다.
운영 메모: 본 절의 학습 관련 문구는 제품 설계를 반영합니다. 실제 개인정보 처리방침 배포 전 법률 검토가 필요합니다.
16. 데이터별 보유 요약
| 데이터 | Active | 종료 후 | 법정보존 |
|---|---|---|---|
| 계정(이메일·이름·인증 식별자) | 회원 유지 기간 | 탈퇴 요청 후 30일 내 삭제 절차(법정 보존 제외) | — |
| 프로필·표시명 | 회원 유지 기간 | 계정 삭제와 동일 | — |
| 조직·워크스페이스 메타데이터 | 조직 활성 기간 | 구독 종료 후 읽기 전용 최대 90일, 이후 삭제·익명화 절차 | — |
| ESG 입력·배출·매핑 데이터 | 조직 활성 기간 | 구독 종료 후 90일(읽기 전용 가능) | — |
| 보고서·초안·버전 | 조직 활성 기간 | 구독 종료 후 90일 | — |
| Evidence Room 증빙 파일 | 조직 활성 기간 | 구독 종료 후 90일 | — |
| AI 프롬프트·대화·매핑 보조 로그 | 생성 후 90일(운영 기본값) | 기간 종료 후 삭제 또는 익명화 | — |
| 청구 프로필(담당자·사업자번호 등) | 유료 이용·청구 관계 유지 기간 | 거래 종료 후 법정 보존 분리 보관 | 대금결제·공급 기록 5년 |
| 주문·계약 내용 | 거래 진행 기간 | 법정 보존 기간 후 파기 | 계약·청약철회 기록 5년 |
| 결제·승인·영수증 메타 | 결제 처리 기간 | 법정 보존 기간 후 파기 | 대금결제·공급 기록 5년 |
| 환불·청약철회 처리 기록 | 처리 완료까지 | 법정 보존 기간 후 파기 | 계약·청약철회 5년 |
| 고객지원·문의 티켓 | 문의 처리 기간 | 종료 후 3년 | 소비자 불만·분쟁 3년(해당 시) |
| 보안·감사 로그 | 최대 12개월(운영 기본) | 기간 종료 후 파기 또는 익명 통계화 | — |
| 관리자 활동 로그 | 최대 24개월(운영 기본) | 기간 종료 후 파기 | — |
| 마케팅 수신 동의 기록 | 동의 유효 기간 | 철회 후 증적 5년 보관 가능 | — |
| 약관·고지 확인 증적(버전·시각·주체) | 관련 거래·회원 관계 기간 | 5년 | 관련 계약 기록과 함께 최대 5년 |
17. 방침 변경
본 방침을 변경하는 경우 버전·시행일·변경 요지를 게시하며, 이전 버전 확인 방법을 안내합니다. 중요 변경은 합리적인 방법으로 고지합니다.
18. 시행일
본 방침은 게시한 시행일부터 적용됩니다.