개인정보처리방침 검토 초안

제1조 총칙과 문서 상태

이 문서는 동탄국제고등학교 자습실 관리 시스템의 검토 초안입니다. 아래에서 사용자 승인 운영 방향, 학교 확인·승인이 필요한 사항, 로컬 구현·합성 데이터 검증만 끝난 사항을 구분합니다. 로컬 구현은 운영 사이트 적용이나 실제 자동 파기를 뜻하지 않습니다.

학교와 운영자의 개인정보 처리 관계 [[학교와운영자_처리관계]], 정식 시행일, 목적별 처리 근거, 감사·접속·보안 로그의 보유기간은 미확정입니다. 학교의 공식 승인과 법적 적합성 확인 후 최종 방침을 별도로 고지해야 합니다.

에듀집 제출에서 공급자 구분은 사용자 확인에 따라 개인 제작자로 기록합니다. 개인 제작자가 학생정보의 이용 목적, 계정 발급, 삭제와 민원 처리에 관한 서비스 운영의 최종 책임을 맡고, 개인정보 보호책임자도 개인 제작자 본인으로 정했습니다. 이 선택은 학교의 최종 승인이나 법적 책임 귀속에 대한 판정이 아니며 학교의 명부 전달·업무별 처리 근거와 구분합니다.

학교 개인정보 담당자의 사전 검토 확인서는 현재 확인된 에듀집 접수 필수서류 목록에서 확인되지 않았습니다. 학교의 실제 운영 검토·승인과 에듀집 접수·확인은 서로 다른 절차이며, 이 앱의 에듀집 접수 대상 여부도 별도로 확인해야 합니다. 어느 절차도 완료된 것으로 표시하지 않습니다.

사용자가 정한 최초 운영 범위는 현재 학교 한 곳입니다. 관리자가 학생 한 명에게 사용할 무작위 임시 코드를 직접 발급·개별 전달하고, 학생은 코드 확인 뒤 확정 동의문에서 항목별 동의를 직접 선택하고 확인한 다음 본인의 학적·계정 정보를 입력합니다. 시스템은 이 초대를 근거로 학생 계정을 생성하며 관리자의 코드 발급 통제는 유지합니다. 별도 명부 업로드, 재학 확인 또는 두 번째 관리자의 가입 승인 단계는 두지 않습니다. 다만 초대 코드 소지만으로 법적 본인 또는 재학 여부가 확인되었다고 보지 않습니다. 학생 동의는 에듀집의 공급자 등록 동의와 별개의 절차입니다.

동의하지 않는 학생에게도 앱 이용과 동등한 종이·오프라인 퍼미션 서비스를 제공합니다. 이 경우 앱 계정을 만들거나 학생정보를 등록하지 않으며, 해당 학생의 기록을 교사가 대리 입력·업로드하는 방식으로 우회하지 않습니다.

초대 코드부터 직접 동의·정보 입력·계정 생성까지의 로컬 구현은 진행 중이며 운영 활성화는 완료되지 않았습니다. 학교가 확정한 동의문과 보존 설정이 서버에 없으면 기본 가입과 학생 기능 접근을 차단하도록 준비하고 있으므로, 가입 절차가 전혀 구현되지 않았다고도 실제 운영에서 동의를 취득했다고도 표시하지 않습니다. 가입 후 동의 철회 처리의 운영 검증도 남아 있습니다. 학교의 운영 승인 문서·계약·처리 근거가 이미 확보되었다고 표시하지 않으며, 학생 동의만으로 학교와 운영자의 처리 관계, 처리위탁·제3자 제공 구분 또는 국외 이전의 요건이 해결된다고 단정하지 않습니다.

제2조 처리하는 개인정보 항목

아래는 현재 코드와 기능에서 확인되는 처리 범위입니다. 계정은 이름·로그인 ID·역할과 최초 비밀번호가 필요하며 비밀번호 원문은 보관하지 않습니다. 로컬 개선본에서는 교사·관리자 계정을 새로 등록하거나 수정할 때 학생 전용 학년·반·번호를 저장하지 않으며, 기존 값도 계정 목록·내보내기·내 프로필 응답에 제공하지 않습니다. 기존 운영 자료의 실제 삭제와 배포는 별도 확인 전입니다.

퍼미션은 유형·시작과 종료 시각·넓은 사유 분류·담당 교사가 필수이며 장소와 추가 설명은 선택입니다. 교사 내부 메모·게시판 첨부·웹 푸시도 선택입니다.

이 앱은 개인정보를 사용자 기기에만 보관하는 구조가 아닙니다. 관리자 계정 등록·수정 시 이름·로그인 아이디·학년·반·번호를, 학생 신청이나 교사 대리신청 시 학생 연결 정보·사유·장소·시간·담당자·상태를 서버 DB에 저장하도록 구현되어 있습니다. 현재 저장 건수가 없더라도 실제 학생을 등록하고 신청을 받는 운영은 개인정보 처리에 해당하는 것으로 준비합니다.

로컬 개선 코드에서는 이름·로그인 ID·신청 사유·장소·교사 내부 메모를 서버에서 AES-256-GCM으로 암호화한 뒤 DB에 저장하고, 권한을 확인한 조회에서 복호화합니다. 기존 운영 데이터의 변환과 외부 배포는 별도 검증·적용 전입니다. 학년·반·번호 등 구조화된 정보와 게시물·첨부파일 내용까지 항목별 암호화한 것은 아니므로, 전체 학생정보가 암호화되거나 익명화되었다고 볼 수 없습니다. 키를 가진 서버는 원문을 처리하며 종단간 암호화가 아닙니다. 전송 보호와 저장매체·백업 암호화는 별도로 확인합니다. 비밀번호는 해시로 저장합니다. 자유 입력란과 첨부파일은 건강정보 등 내용을 자동 탐지하거나 입력을 차단하는 기능이 아니며, 짧은 사유나 사진 메타데이터 제거만으로 본문·사진 속 개인정보가 자동 차단되지는 않습니다.

사용자 승인 방향에 따라 활성 교사는 보관 중인 학생 신청을 담당 여부와 관계없이 조회하되, 내부 메모는 해당 신청의 담당 교사와 관리자에게만 제공합니다. 승인·반려는 지정된 담당 교사만 할 수 있으며 관리자나 다른 교사에게 대리 결재 권한을 부여하지 않습니다. 이 입력 제한과 서버 권한 검사는 로컬 코드·합성 데이터에서 검증했으나 미배포 상태이고, 전체 교사 조회의 학교 업무상 필요성·범위는 학교 확인이 남아 있습니다.

제3조 처리 목적

• 사용자 인증, 역할별 화면 제공과 계정 상태 관리
• 자습실·좌석 배정과 퍼미션 신청, 승인·반려 및 처리 이력 관리
• 방과후 등록, 행사·QR 출석 확인과 학교 생활 관리
• 공지·건의함·분실물 게시판과 첨부, 알림 및 선택적 웹 푸시 제공
• 오류 대응, 권한 확인, 보안 점검과 서비스 복구

목적별 처리 근거와 실제 운영 범위는 [[처리목적별_근거]]로 확정해야 하며, 정규교과 학습 콘텐츠 제공 서비스로 설명하지 않습니다.

사용자가 확정한 운영 원칙에 따라 학생자료는 해당 학교의 업무에만 사용하고, 광고·개인 연구·AI 학습·다른 학교 서비스에는 재사용하지 않습니다. 이 원칙은 외부 호스팅·데이터베이스·푸시 공급자의 계약과 로그 처리까지 검증했다는 뜻은 아니며, 외부 처리 조건은 제6조에 따라 별도로 확인합니다.

제4조 보유기간과 파기

다음 기간은 사용자가 승인한 운영 방향입니다. 학교의 처리 근거·예외 보존 검토와 운영 자동 파기 구현을 마친 최종 방침은 아닙니다.

• 화면에서 비활성화하거나 숨기는 소프트 삭제는 실제 삭제 또는 파기와 같지 않습니다.
• 현재 자동 파기와 운영 백업은 구성되지 않았으며 실제 자료를 삭제하지 않았습니다.
• 파기 방법, 예외 보존 근거, 백업 복원 후 재파기, 로그 기간과 실행 담당자를 실제 운영 전에 정해야 합니다.
• 독립 파기 로직은 명시한 소수 대상만 처리하는 시험 단계입니다. 감사기록·유지 중인 좌석·새로 변경된 자료 등 보류 조건이 있으면 삭제하지 않으며, 별도 삭제 장부와 복원 차단·운영 예약을 갖춘 자동 파기 서비스가 아닙니다.
• 이번 릴리스부터 새 사진은 디코딩·재인코딩 과정에서 EXIF·GPS 등 메타데이터를 제거합니다. 기존 사진은 일괄 정리하지 않았고, PDF 원본의 본문·메타데이터는 이 처리 대상이 아닙니다.

제5조 제3자 제공

제3자 제공 여부와 제공받는 자, 항목, 목적, 보유기간은 [[제3자_제공현황]]으로 운영·계약 확인이 필요합니다. 외부 호스팅, 데이터베이스, 알림 연동이 있다는 이유만으로 모두 제3자 제공이라고 단정하지 않으며, 반대로 확인 없이 “제3자 제공 없음”이라고 표시하지 않습니다.

법령상 근거 또는 정보주체 동의가 필요한 제공이 확인되면 그 근거와 범위를 최종 방침에 구체적으로 반영해야 합니다.

제6조 처리위탁·국외 처리

현재 웹 애플리케이션은 Vercel에서 제공되고 데이터베이스는 Supabase PostgreSQL을 사용합니다. 데이터베이스 리전은 서울로 설정되어 있으나, 이것만으로 네트워크·백업·지원·재위탁을 포함한 모든 처리가 국내에서만 이루어진다고 단정할 수 없습니다.

클라우드 운영은 기존 개인 계정과 분리한 학교 도메인 전용 계정으로 관리·인계하고, 서버·DB·백업 합산 월 50,000원 이내의 학교 예산으로 준비하는 방향입니다. 사용자는 전용 계정 등 준비를 마쳤다고 확인했지만, 이 답변만으로 학교 소유·복구 권한, 실제 계약 명의·결제, 관리자 MFA 강제, 비밀키 보관과 인계 설정까지 검증된 것은 아닙니다.

학생·교사에게 별도 이용료를 받지 않으며, 서버 운영비는 학교 예산으로 부담하는 운영 방향을 확인했습니다. 학교 예산 확보·지출 승인·결제가 완료된 것으로 표시하지 않습니다.

이번 초기 배포의 운영 주소는 studydghs.app입니다. 기존 hyeyum.org 사이트와 관리자·업데이트 페이지는 이 서비스로 교체하지 않고 그대로 유지합니다. Vercel Pro와 Supabase Free의 서울 DB를 사용하며, 학생 가입은 최종 운영 조건을 확인하기 전까지 닫아 둡니다.

위탁과 제3자 제공의 법적 구분, 국외 이전 해당 여부와 고지·동의 방식은 [[외부처리_검토결과]]로 확정해야 합니다.

2026-09-12 확인한 공개 계약에서는 Vercel Inc.의 DPA 처리자 적용 대상을 Pro·Enterprise로 명시합니다. 이전에 확인한 Hobby 구성에 같은 처리자 계약이 적용된 것으로 보지 않습니다. Supabase Pte. Ltd.의 공개 DPA는 서비스 계약의 일부이며 계약 종료 후 30일의 반환 요청 기간과 이후 사본 삭제를 정하지만, 개별 학생 삭제 후 30일 내 모든 사본 소거를 보장하는 규정은 아닙니다.

공식 근거: Vercel DPA, Supabase DPA, Vercel 런타임 로그, Supabase 로그 보유 기준. 공개 설명의 확인은 현재 계정의 계약 체결·학교 승인 확인과 구분합니다.

제7조 정보주체의 권리와 동의 철회

이용자는 앱의 내 계정 화면에서 자신의 기본 프로필 정보를 확인할 수 있습니다. 이용자 또는 정당한 대리인은 로그인 여부와 관계없이 아래 업무 이메일로 열람·정정·삭제·처리정지·동의 철회를 요청할 수 있습니다. 계정이 비활성화되었거나 비밀번호를 잊은 경우에도 같은 절차를 이용합니다.

1. 요청 접수
2. 요청자 본인 확인과 대상 자료 확인
3. 법령·학교 운영상 보존 근거와 제한 사유 검토
4. 처리 결과 또는 제한 사유 통지

동의 철회 요청은 본인 확인 후 관련 처리 중지·파기와 동등한 종이·오프라인 신청 전환을 검토·처리합니다. 법령상 보존이 필요한 예외는 대상·근거·기간을 한정하여 안내합니다. 졸업·전출 계정의 30일 삭제 정책을 동의 철회의 일률적인 대기기간으로 적용하지 않습니다. 메일 작성 버튼이 계정이나 자료를 자동으로 비활성화·삭제하는 것은 아닙니다.

기존 업무 이메일의 공개 사용은 승인되었고, 운영자는 해당 주소의 수신·회신 시험을 완료했다고 확인했습니다. 이는 법정 권리요청의 본인 확인·처리 결과 통지·기한 관리, 처리 완료 30일 뒤 이메일 원문 파기 자동화까지 검증했다는 뜻은 아닙니다. 이 안내는 학생 이름·학번·신청 내용을 자동으로 읽거나 별도 요청 DB에 저장하지 않습니다.

개인정보 권리요청은 다음 근무일까지 접수를 확인하고, 본인 확인 후 요청 유형별 법정 기한에 맞춰 처리·통지하는 내부 운영 목표를 확정했습니다. 접수 확인은 처리 완료가 아니며, 본인 확인·내부 검토를 이유로 적용되는 법정 기한을 임의로 연장하지 않습니다. 실제 문의 창구와 기한 관리·회신 절차는 운영 전에 검증해야 합니다.

제8조 만 14세 미만 아동의 개인정보

사용자가 정한 현재 처리 범위에서는 만 14세 미만의 직접 이용뿐 아니라 게시물·사진·첨부파일·행사 자료에 포함되는 만 14세 미만 정보도 처리하지 않습니다. 이 처리 범위 선언은 실제 데이터 전수 검사나 아동 정보의 자동 입력 차단을 완료했다는 뜻이 아닙니다.

향후 대상·기능·입력 자료가 변경되어 만 14세 미만 정보를 처리하게 될 가능성이 생기면, 처리 전에 법정대리인 동의·권리행사 절차 등 필요한 보호절차와 이 방침을 다시 검토합니다.

제9조 안전성 확보조치

현재 코드와 로컬 검증 기록에서 확인되는 기술적 조치는 다음과 같습니다. 외부 운영 사이트에 배포되었다는 뜻은 아닙니다.

• 학생·교사·관리자 역할과 업무 범위에 따른 접근 통제
• 비밀번호 원문이 아닌 bcrypt 해시 저장과 계정 상태 확인
• 배포 사이트의 HTTPS 접속과 데이터베이스 비밀 자격증명의 서버 측 보관. 컴시간 공개 시간표 조회는 HTTP이며 개별 학생 학번·신청 사유는 전송하지 않습니다.
• 요청 크기·처리 시간 제한, 주요 권한·업무 변경에 필요한 로그의 제한적 기록
• 관리자 사용자 목록·교직원 학생 검색 시 행위자와 고정 조회 종류의 감사 기록. 감사 저장 실패 시 결과 제공 차단. 검색어·이름·학번·사유·본문은 감사 기록에 복사하지 않음
• 로컬 개선본에서 새 PNG·JPEG·WebP 사진의 디코딩·재인코딩, 방향 보정과 EXIF·GPS 등 메타데이터 제거
• 관리자 계정의 인증 앱 일회용 번호 등록·검증, 인증 전 관리자 페이지·API 차단, 인증 비밀 암호화 저장과 시도 제한의 로컬 구현
• 이름·로그인 ID·신청 사유·장소·교사 내부 메모의 항목별 인증 암호화, 별도 비밀키 기반 로그인 조회, 키 누락·암호문 손상 시 평문 우회 차단의 로컬 구현

관리자 2단계 인증은 사용자 승인 운영 방향이며 로컬 코드·합성 HTTP 검사까지만 완료했습니다. 운영 스키마·비공개 키 적용, 원격 관리자 등록과 외부 배포는 하지 않았고, 학생·교사 또는 Vercel·Supabase 콘솔의 MFA 필수화로 확대하지 않습니다.

새 사진 처리만으로 얼굴·문서 내용이나 모든 악성 콘텐츠가 제거되는 것은 아닙니다. 기존 사진과 기존 PDF는 소급 정리되지 않았습니다. Google SSO와 운영 자동 파기는 아직 적용되지 않았습니다. 항목별 암호화의 운영 키 보관·기존 데이터 변환·운영 DB 복구 시험도 완료 전이며, 이를 운영 보안 조치 완료로 표시하지 않습니다.

관리적 조치: 개인 제작자인 운영자가 계정·권한과 개인정보 요청을 관리합니다. 교직원 계정의 발급·수정·비활성화와 학생용 무작위 초대 코드 발급은 관리자가 통제하고, 학생 계정은 해당 초대를 받은 학생이 직접 동의·정보 입력을 마친 경우에만 생성하도록 구분합니다. 학생·교사에게 배포·DB 비밀정보를 제공하지 않습니다. 정기 권한 검토·파기·복구·사고 대응의 운영 절차는 준비 단계이며 정기 실행을 완료한 것으로 표시하지 않습니다.

물리적·단말 보호조치: Vercel·Supabase 관리형 인프라를 사용합니다. 2026-09-12 확인한 현재 개발·관리용 Mac 한 대는 FileVault 디스크 암호화가 켜져 있고 화면 잠금 뒤 즉시 인증을 요구합니다. 다른 학교 기기·후임 관리자 기기·데이터센터 출입통제를 직접 점검한 결과는 아닙니다. 관리 단말이 바뀌면 보호 설정을 다시 확인합니다.

이 조의 조치 기재와 전체 운영보안 적합성은 구분합니다. 일부 목록 조회 감사 보완은 전체 법정 접속기록 구현을 뜻하지 않으며, 업체의 공개 보안 설명을 현재 플랜의 계약 적용·현장 점검 증거로 대신하지 않습니다.

제10조 개인정보 보호책임자와 문의

서비스 운영자

개인 제작자 본인

개인정보 보호책임자

이상민 (개인 제작자 본인)

담당 업무

서비스 운영·개인정보 요청 접수

공개 문의 창구

bluenet12@naver.com

개인 제작자 본인이 개인정보 보호책임자를 맡고 업무 이메일을 공개하는 방향은 확정했습니다. 실제 성명과 이메일은 공개용 서버 설정으로 별도 관리하며 소스 코드에 기록하지 않습니다. 운영자는 실제 주소의 수신·회신 시험을 완료했다고 확인했으며, 학교·운영자 사이의 처리 관계와 법정 권리요청 처리·이메일 원문 파기 절차의 운영 검증은 별도로 필요합니다.

제11조 방침 변경과 고지

이 검토 초안의 정식 시행일은 최종 방침을 처음 정식 공개하는 날인 [[시행일]]입니다. 초안 작성일을 시행일로 대신하지 않습니다. 처리 항목, 목적, 보유기간, 외부 처리 또는 권리행사 절차가 바뀌면 변경 내용을 시행 전에 서비스의 접근 가능한 위치에 고지합니다.

최종 방침 버전, 이전 방침 열람 방법과 변경 고지 기간은 [[변경고지_절차]]로 확정합니다.