둘이모아Coupledger

둘이모아 개인정보 처리방침

주식회사 노드엑스(이하 "회사")는 부부·커플 공동 가계부 앱 「둘이모아」(영어 이름 Coupledger · 안드로이드 kr.nodex.dulimoa, 이하 "앱")와 웹사이트 coupledger.com 을 운영하면서 개인정보 보호법 등 관련 법령을 지키고, 이용자의 개인정보를 어떻게 다루는지 아래와 같이 알립니다.

앱에는 로그인·회원가입이 없습니다. 실명·전화번호·이메일·생년월일·주소를 묻지 않습니다. 앱에는 광고가 없습니다.

제1조 (처리하는 개인정보 항목)

1. 이용자가 앱에 직접 입력해 회사 서버에 저장되는 것

  1. 가계부 이름, 초대 코드(가계부를 만들 때)
  2. 닉네임, 대표 색(구성원으로 참여할 때)
  3. 원형 프로필 사진 — 선택 사항(JPEG · 32KB 이하로 줄여 저장)
  4. 가계부 기록 — 금액, 날짜, 카테고리, 메모, 결제수단, 누가 쓴 것인지(구성원 또는 "공동"), 할부 개월, 반복(고정비) 규칙, 계좌·적금·통장·대출 정보, 지출목표·저축목표 정보(목표 이름, 각오 한마디, 고른 그림, 순서 포함), 직접 만든 카테고리(이름·그림), 기록에 남긴 댓글과 확인 표시, 앱 설정값, "본 보고서" 표시, 매일 리포트·밤 기록 알림에서 고른 "그날 쓴 돈 없어요" 표시(그 날짜만 · 금액·내용 없음)

2. 앱·웹사이트를 쓰는 동안 자동으로 만들어져 회사 서버에 남는 것

  1. 기기 연결 정보 — 기기마다 따로 만든 무작위 접속 토큰(서버에는 원문이 아니라 해시만 저장), 무작위 기기 번호, 연결한 시각, 마지막 접속 시각(10분 간격으로 기록). 폰 기종·운영체제 판·전화번호·이메일·광고 ID 는 수집하지 않습니다.
  2. 서버 프로그램 기록 — 요청한 주소의 종류(가계부·구성원·기기를 가리키는 무작위 번호가 들어갈 수 있음), 처리 결과, 걸린 시간. 초대 코드·다시 연결 코드·닉네임이 틀렸을 때에는 보낸 곳(IP)을 바로 읽을 수 없게 바꾼 지문 8자리를 남깁니다(IP 원문은 남기지 않습니다). 이 지문은 같은 시각의 접속 기록(3호)과 맞춰 보면 IP 를 알아낼 수 있는 값이라, 장애와 남용(코드 맞히기 시도) 확인에만 씁니다.
  3. 접속 기록(앱과 웹사이트를 서버 앞에서 받아 넘기는 프로그램의 기록) — 접속 시각, IP 주소의 앞부분만(IPv4 는 앞 세 자리 묶음 · IPv6 는 앞 48비트 — 나머지는 0 으로 지워 저장), 연결 포트, 요청 방법·주소·호스트, 암호화 방식, 응답 결과·크기·걸린 시간. 요청 머리글(접속 토큰·브라우저 종류 등)은 남기지 않습니다.
  4. 웹 «계정·자료 지우기 요청»(제7조 3항)을 받은 시각 — 입력한 초대 코드·닉네임은 확인에만 쓰고 저장하지 않습니다.
  5. 지우기 원장 — 가계부·구성원·기기·기록을 지울 때마다, 그리고 웹 지우기 요청을 받거나 그 요청이 취소될 때 · 초대 코드를 손으로 바꿀 때도(코드 글자는 남기지 않음) 그 대상의 무작위 번호, 종류, 시각만 한 줄씩 남깁니다(이름·가계부 이름·코드·금액·메모 없음). 백업에서 서비스를 되살릴 때 그 사이에 지운 것을 다시 지우고, 받은 지우기 요청과 바꾼 초대 코드를 되살린 뒤에도 그대로 두려고 둡니다.

3. 영수증 인식 기능(Google ML Kit · 앱에 내장 · 폰 안에서 글자를 읽음)을 쓸 때 Google 이 자동으로 수집하는 것

  1. 기기 정보(제조사·모델·운영체제 판), 앱 정보(패키지 이름·앱 판), 설치별 식별자(사용자나 기기를 특정하려는 것이 아님)
  2. 성능·진단 지표 — 인식에 걸린 시간, 사진의 형식·해상도, 입력·출력 크기, 사건 종류(초기화·인식·해제), 오류 코드

영수증 사진과 거기서 읽은 글자·금액은 폰 밖으로 나가지 않습니다(Google 서버로도, 회사 서버로도). 기록은 이용자가 "확인하고 기록"을 누른 뒤 1항 4호와 같은 가계부 기록으로만 저장됩니다.

4. 폰 안에만 두고 서버로 보내지 않는 것

알림 설정, 앱 잠금 번호(PIN), 화면 설정, 폰 안 가계부 사본, 보고서 그림(사진 한 장으로 폰 사진첩에 저장 · 서버로 보내지 않음), 엑셀(CSV)로 내보낸 파일. 영수증 사진은 폰 안에서 읽는 즉시 지우며 폰에도 서버에도 저장하지 않습니다(카메라로 찍은 사진은 앱 임시 폴더에만 잠깐 있다가 인식이 끝나거나 취소·실패하면 바로 지워지고, 사진첩에서 고른 사진은 복사하지 않고 읽기만 합니다).

제2조 (처리 목적)

  1. 가계부 구성원의 폰 사이에 기록을 맞추고, 통계·보고서를 만들어 보여 주기 위해(매일 리포트 알림과 밤 기록 알림은 폰 안에서 만들어 띄우며, 알림 내용을 서버나 다른 회사로 보내지 않습니다)
  2. 기기를 확인하고 다른 사람이 가계부에 들어오지 못하게 하기 위해(접속 토큰, 초대 코드 틀림 횟수 제한)
  3. 장애 확인과 복구를 위해(서버 프로그램 기록, 접속 기록, 백업 · 지우기 원장은 되살린 뒤 지운 것을 다시 지우고, 받은 지우기 요청이 사라지거나 취소된 요청이 되살아나지 않게, 바꾼 초대 코드가 옛 코드로 돌아가지 않게 하는 데에만)
  4. 이용자가 요청한 계정·자료 지우기를 처리하기 위해(지우기 요청 받은 시각)
  5. 영수증 인식 기능의 진단과 사용 분석 — Google 이 ML Kit 로 수집한 지표(제1조 3항)를 자체 목적으로 처리합니다. 회사는 이 지표를 받지 않습니다.

제3조 (보유 기간과 지우는 때)

항목보유 기간
가계부·구성원·기록·프로필 사진(제1조 1항)가계부가 있는 동안. 다만
① 구성원이 «가계부 나가기»를 하거나 상대가 «내보내기»를 하면 그 사람의 닉네임·프로필 사진·기기 연결 정보·다시 연결 코드가 서버에서 즉시 지워집니다. 그 사람이 쓴 기록은 함께 쓰던 공동 장부라 가계부에 남고 «떠난 구성원»으로 표시됩니다.
② 스스로 나갈 때 «내 기록도 지우기»를 고르면, 내 앞으로 된 기록·결제수단·적금·통장·대출·고정비·지출목표와 내가 단 댓글·확인 표시도 서버와 상대 폰에서 즉시 지워집니다. «내 앞으로 된» = 기록의 «누구 것» 칸이 나인 것입니다(누가 적었는지와는 상관없습니다). "공동"으로 적은 기록과 상대 앞으로 된 기록은 남습니다.
③ 마지막 구성원이 «가계부 지우고 나가기»를 하면 가계부·구성원·모든 기록·기기 연결 정보가 서버에서 즉시 통째로 지워집니다.
④ 웹 지우기 요청은 받은 지 7일이 지난 뒤 다음 새벽 서버 정리(매일 03:30 · 서버를 다시 켠 날은 켤 때도 한 번)에서 지워집니다(제7조 3항).
지운 기록 하나앱에서 기록을 지우면 두 폰에서 사라지고, 서버에는 «지워짐» 표시(기록 번호·시각·쓴 구성원 번호)만 남습니다. 금액·메모 같은 내용은 지운 지 하루가 지나면 다음 서버 정리(매일 03:30 · 서버를 다시 켠 날은 켤 때도 한 번)에서 지워집니다. «지워짐» 표시는 두 폰이 같은 기록을 다시 만들지 않도록 가계부가 있는 동안 남습니다.
기기 연결 정보«이 폰 연결 끊기»·연결된 폰 목록의 «연결 끊기»를 하거나, 그 구성원이 나가거나 내보내질 때까지
다시 연결 코드만든 뒤 10분 또는 쓰는 즉시 지움
지우기 요청 받은 시각요청이 적용되거나 취소될 때 지움(받은·취소된 시각은 지우기 원장 줄의 보관 기간 동안 남음)
서버 프로그램 기록20MB 마다 새 파일 · 지난 파일 5개까지(최대 120MB) — 오래된 것부터 자동으로 지움
접속 기록10MiB 마다 새 파일 · 지난 파일 5개까지 — 오래된 것부터 자동으로 지움
복구 보조 정보(서버를 백업에서 되살렸을 때 기록의 지문·수정 시각)30일
지우기 원장(지운 것과 받은·취소된 지우기 요청 · 손으로 바꾼 초대 코드의 무작위 번호·종류·시각만 · 코드 글자·이름·금액·메모 없음 · 백업에서 되살릴 때 다시 지우려고)800일 — 그보다 오래된 줄은 매일 새벽 서버 정리에서 지웁니다(가장 오래된 줄이 830일을 넘을 때 한 번에 정리해 늦어도 약 830일). 바깥 백업에도 함께 올라가 그 사본의 보관 기간(최대 24개월) 동안 남습니다.
서버 디스크 백업매일 1회 만들고 최근 2개(약 2일분)만 남김
바깥 백업(암호화 사본)매일 1회 올림 · 최근 14일은 날마다, 그 전 8주는 주마다, 그 전 24개월은 달마다 한 벌만 남기고 자동으로 지움(가장 오래 남는 벌이 약 2년)
서버 판 올리기·서버 옮기기·백업 되살리기 전에 뜬 사본자동으로 지우지 않으며 회사가 필요 없어지면 직접 지웁니다. 요청하면 10일 안에 지웁니다(제10조).

제4조 (제3자 제공과 국외 이전)

  1. 회사는 이용자의 가계부 정보를 제3자에게 제공하지 않습니다.
  2. 회사 서버와 백업은 대한민국(서울)에 있으며, 가계부 정보는 국외로 옮기지 않습니다.
  3. 앱 안의 영수증 인식 기능(Google ML Kit)을 쓸 때 아래 정보가 Google 에 국외 이전됩니다(개인정보 보호법 제28조의8).
이전되는 항목기기 정보(제조사·모델·운영체제 판), 앱 정보(패키지 이름·앱 판), 설치별 식별자, 성능·진단 지표(인식 소요 시간, 사진 형식·해상도, 입력·출력 크기, 사건 종류, 오류 코드). 영수증 사진과 인식된 글자는 포함되지 않습니다.
이전받는 자Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA · https://policies.google.com/privacy)
이전되는 국가미국 등 Google 이 서버를 운영하는 국가
이전 시기·방법영수증 인식 기능을 쓰는 시점에, 앱에 포함된 ML Kit 이 인터넷(암호화 통신)으로 자동 전송
이용 목적서비스 진단, 사용 분석(ML Kit 약관 https://developers.google.com/ml-kit/terms)
보유·이용 기간Google 개인정보처리방침에 따름
거부 방법·절차·효과영수증 인식(카메라 단추)을 쓰지 않으면 전송되지 않습니다. 거부해도 숫자 자판으로 기록하는 데에는 아무 영향이 없습니다.
  1. 회사에 메일(ceo@nodex.co.kr)을 보내면, 보낸 메일 주소와 메일 내용이 회사 도메인의 메일 전달 서비스(Cloudflare, Inc. · 미국)를 거쳐 회사가 정한 메일함으로 전달됩니다. 그 메일함을 맡은 메일 서비스의 서버도 국외에 있을 수 있습니다. 메일을 보내지 않으면 전송되지 않으며, 계정·자료 지우기는 메일 없이 앱(제7조 2항)이나 웹(제7조 3항)에서 할 수 있습니다.

제5조 (처리 위탁)

맡는 곳맡기는 일
Amazon Web Services, Inc.(아마존 라이트세일 · 아시아 태평양(서울) 지역)회사 서버와 백업 저장 공간 제공(장비 임차). 자료는 서울 지역 안에 있고 국외로 옮기지 않습니다. 바깥 백업은 회사가 암호화한 뒤 올려 맡는 곳도 내용을 읽을 수 없습니다.

도메인 이름 안내(DNS)는 Cloudflare 가 맡지만, 앱·웹사이트 접속은 Cloudflare 를 거치지 않고 회사 서버로 바로 갑니다.

제6조 (파기 절차와 방법)

  1. 보유 기간이 끝난 정보는 제3조의 때에 서버가 자동으로 지웁니다. 서버 판 올리기·서버 옮기기·백업 되살리기 전에 뜬 사본만 회사가 직접 지웁니다.
  2. 서버 데이터베이스는 지운 자리를 0 으로 덮어 씁니다. 백업 파일은 보관 기간이 끝나면 자동으로 지웁니다. 종이 출력물은 없습니다.
  3. 나가기·내보내기·가계부 지우기·웹 지우기 요청으로 서버에서 지운 정보는 그 전에 만들어진 백업 사본에 일정 기간(서버 2일 · 바깥 백업 최대 24개월) 남을 수 있지만, 백업에서 서비스를 되살릴 때에는 그 사이에 지운 가계부·구성원·기록을 다시 지운 뒤에 서비스를 엽니다. 다만 서버를 통째로 잃어 바깥 백업만으로 되살릴 때에는, 마지막 바깥 백업(매일 1회) 뒤에 지운 것은 다시 지우지 못할 수 있습니다. 백업은 장애 복구에만 쓰며, 보관 기간이 끝나면 자동으로 지워집니다.

제7조 (이용자의 권리와 행사 방법)

  1. 열람·정정·삭제 — 가계부 기록·프로필 사진은 앱 안에서 직접 보고 고치고 지울 수 있습니다. 닉네임·색은 고칠 수 있고, 닉네임을 지우려면 아래 2항의 «가계부 나가기»를 씁니다.
  2. 앱에서 계정 삭제 — 앱 «더보기 › 계정 삭제»(또는 «더보기 › 구성원·초대 코드 › 가계부 나가기»). 회사를 거치지 않습니다.
    • «가계부 나가기» — 내 닉네임·사진·기기 연결이 서버에서 지워지고 이 폰의 가계부 사본도 지워집니다. «내 기록도 지우기»를 켜면 제3조 ②의 기록도 함께 지워집니다(기본은 꺼짐 · 되돌릴 수 없음).
    • «내보내기» — 상대 구성원을 가계부에서 내보냅니다. 서버 쪽 결과는 나가기와 같고(기록은 남음), 내보내진 폰은 바로 서버에 들어올 수 없습니다. 내보내진 폰 안의 사본은 그 폰에서 «이 폰에서 새로 시작하기»를 누르면 지워집니다.
    • 마지막 구성원은 «가계부 지우고 나가기»로 나가며, 가계부가 서버에서 통째로 지워집니다. 되돌릴 수 없습니다.
    • 기기 연결 끊기 — 이 기기는 «더보기 › 서버 연결 › 이 폰 연결 끊기», 잃어버린 기기는 «더보기 › 구성원·초대 코드»의 연결된 폰 목록에서 끊습니다(가계부 자료는 남습니다).
  3. 폰이 없을 때 웹에서 지우기 요청 — coupledger.com/delete/ 에서 초대 코드(구성원 하나만 지울 때는 닉네임도)를 넣습니다.
    • 그 범위(가계부 통째 = 지금 구성원 전부 · 구성원 하나 = 그 사람)의 폰이 7일 넘게 접속하지 않았을 때만 받습니다. 쓰는 폰이 있으면 그 폰의 앱에서 지웁니다.
    • 받은 뒤 7일을 기다렸다가, 그다음 새벽 서버 정리(매일 03:30 · 서버를 다시 켠 날은 켤 때도 한 번)에서 서버가 자동으로 지웁니다. 그 사이 그 범위의 폰이 한 번이라도 접속하면 요청은 자동으로 취소됩니다. 백업에서 서비스를 되살리면 남은 요청은 되살린 날부터 7일 뒤로 다시 잡힙니다.
    • 지우는 범위 — 구성원 하나: 2항의 «가계부 나가기» + «내 기록도 지우기»와 같습니다(남은 구성원이 없으면 가계부 통째). 가계부 통째: 마지막 구성원의 «가계부 지우고 나가기»와 같습니다.
    • 회사 사람이 요청을 보고 처리하는 단계는 없습니다. 메일을 보내지 않아도 됩니다.
  4. 그 밖의 요청(백업 사본에 남은 정보, 처리 정지 등)은 제10조 메일로 보내 주시면 받은 날부터 10일 안에 처리하고 결과를 알립니다.
  5. 만 14세 미만 아동의 개인정보는 처리하지 않습니다. 앱은 만 18세 이상 부부·커플을 위한 것입니다.

제8조 (광고·행태정보·쿠키)

앱에는 광고가 없습니다. 회사는 광고 ID 와 행태정보(이용자의 관심·성향을 추정하기 위한 앱·웹 이용 기록)를 수집하지 않고, 다른 회사의 추적·분석 도구를 넣지 않았습니다. 웹사이트는 쿠키를 쓰지 않고, 바깥 글꼴·스크립트를 불러오지 않습니다. 광고를 넣게 되면 시행 7일 전에 이 방침을 고쳐 알립니다.

제9조 (안전성 확보 조치)

제10조 (개인정보 보호책임자와 문의처)

개인정보 열람·정정·삭제·처리 정지 요청과 문의는 위 메일로 보내 주십시오. 받은 날부터 10일 안에 처리하고 결과를 알립니다.

제11조 (권익침해 구제 방법)

개인정보침해신고센터(국번 없이 118 · privacy.kisa.or.kr) · 개인정보분쟁조정위원회(1833-6972 · kopico.go.kr) · 대검찰청 사이버수사과(1301) · 경찰청 사이버수사국(182)

제12조 (처리방침의 변경)

이 방침을 바꾸면 시행 7일 전부터 이 페이지에 알립니다. 영어판은 English 에 있으며, 두 판의 뜻이 다르면 한국어판을 따릅니다.