개인정보처리방침

뒷풀이요정(이하 "앱")은 뒷풀이 총무가 참가자별로 먹은 만큼 정산하도록 돕는 앱입니다. 이 방침은 앱이 어떤 정보를 다루고, 무엇을 저장하지 않으며, 언제 지우는지를 설명합니다.

1. 처리하는 정보

2. 계좌번호를 서버에 저장하지 않는 방법

게스트가 QR을 찍으면 열리는 합류 페이지에는 정산 계좌가 표시됩니다. 이 계좌 정보는 서버가 아니라 초대 링크 주소의 프래그먼트(#) 부분에 담겨 총무의 기기에서 게스트의 기기로 직접 전달됩니다. 웹 표준상 브라우저는 # 뒤의 내용을 서버로 전송하지 않으므로, 서버는 계좌번호를 받지도, 기록하지도 못합니다.

총무가 단톡방에 올리는 정산 결과 링크에서도 마찬가지입니다. 이 링크는 주소를 짧게 만들기 위해 참가자 이름·금액·먹은 항목을 서버에 올리지만, 계좌 정보만은 올리지 않고 예전과 같이 주소의 # 뒤에 실어 보냅니다.

3. 정산 결과 링크의 내용을 서버가 읽지 못하는 방법

총무가 [전원 정산 공유]로 만드는 링크에는 참가자 이름과 각자의 금액, 먹은 항목이 담깁니다. 예전에는 이 내용도 전부 주소의 # 뒤에 담았지만, 그러면 주소가 수백 자로 길어져 메신저가 링크로 인식하지 못하는 문제가 있었습니다. 그래서 지금은 내용을 서버에 보관하고 주소에는 짧은 식별자만 남깁니다.

대신 앱이 기기 안에서 내용을 암호화(AES-128-GCM)한 뒤 올리고, 이를 여는 열쇠는 주소의 # 뒤에만 담아 총무의 기기에서 게스트의 기기로 직접 전달합니다. 브라우저는 # 뒤의 내용을 서버로 전송하지 않으므로, 서버는 열쇠를 받지 못하며 보관 중인 내용을 복호화할 수 없습니다. 링크를 받은 사람만 열 수 있습니다.

이 암호문은 총무가 앱에서 정산을 마감하는 즉시 서버에서 삭제되며, 그 뒤로 링크를 열면 "정산이 마감됐어요" 안내가 표시됩니다. 마감하지 않은 경우에도 1년이 지나면 자동으로 삭제됩니다.

네트워크 사정으로 이 과정이 실패하면 앱은 예전 방식(내용 전체를 주소의 # 뒤에 담는 긴 링크)으로 되돌아갑니다. 그때는 서버에 아무것도 올라가지 않습니다.

4. 영수증 사진과 카메라

영수증에서 항목과 금액을 읽어내는 처리는 전부 기기 안에서(온디바이스) 이루어집니다. 영수증 사진은 어떤 경우에도 서버로 전송되지 않으며, 인식이 끝나는 즉시 앱이 만든 촬영 원본은 삭제됩니다. 카메라 권한은 영수증 촬영에만 사용하며, 권한을 허용하지 않아도 갤러리 선택이나 수동 입력으로 앱을 쓸 수 있습니다.

4의2. 영수증 인식 제보(선택 · 이용자가 누를 때만)

인식 결과 화면의 [인식이 이상해요], 또는 한 항목도 읽지 못했을 때 뜨는 [제보하기]를 이용자가 직접 눌렀을 때만 그 영수증 한 장의 인식된 글자가 서버로 전송됩니다. 인식 정확도를 개선하는 것 외의 목적으로는 쓰지 않습니다. 누르지 않으면 아무것도 전송되지 않으며, 앱 사용에도 아무 차이가 없습니다.

• 사진은 전송되지 않습니다. 전송되는 것은 기기가 사진에서 읽어낸 글자와 그 글자의 화면상 위치이며, 사진 자체는 기기를 떠나지 않습니다.
• 전송 전에 기기에서 가려집니다. 카드번호, 승인번호, 사업자등록번호, 전화번호, 그리고 고객명·회원명 등 라벨이 붙은 이름은 앱이 보내기 전에 자릿수만 남기고 #으로 바꿉니다. 가리는 처리는 기기 안에서 이루어지며, 서버에는 이미 가려진 글자만 도착합니다.
• 누가 보냈는지는 전송하지 않습니다. 이용자 식별자, 기기 식별자, 모임 정보, 연락처를 함께 보내지 않으며, 서버에도 저장하지 않습니다. 함께 저장되는 것은 전송 시각과 앱 버전뿐입니다.
• 6개월이 지나면 자동 삭제됩니다(아래 8항).

5. 폰 주소록 접근(선택)

[아는 사람] 화면의 [주소록에서 부르기]를 눌렀을 때만 주소록 읽기 권한을 요청합니다. 이는 매번 같은 사람의 이름을 손으로 다시 치지 않게 하기 위한 것으로, 목록에서 이용자가 고른 사람의 이름과 전화번호만 기기 안 명단에 저장됩니다. 나머지 연락처는 고르는 화면을 보여주는 동안에만 메모리에 있다가 사라지며, 주소록 정보는 서버로 전송되지 않습니다 (이 앱에는 주소록을 올릴 서버 기능 자체가 없습니다). 권한을 허용하지 않아도 한 명씩 고르는 방식이나 직접 입력으로 앱을 그대로 쓸 수 있습니다.

5의2. 합류 브라우저에 저장되는 "내 정보"(자동 채움)

게스트가 합류를 마치면 그때 입력한 이름·연락처·인스타그램 ID·식성 태그를 그 브라우저에 저장합니다. 같은 브라우저로 다음 뒷풀이에 합류할 때 폼을 미리 채워 같은 값을 다시 입력하지 않도록 하기 위해서입니다.

• 저장되는 것은 그 게스트 본인이 직접 입력한 자신의 정보뿐입니다. 다른 참가자의 이름이나 연락처는 저장하지 않습니다.
• 이 값은 브라우저 안에만 있으며 서버로 다시 전송되지 않습니다. 다른 사이트나 다른 기기에서 읽을 수 없습니다.
• 공개 동의 설정은 저장하지 않습니다. "연락처 주고받기"와 "인스타 ID 주고받기"는 자리마다 다시 선택해야 하며, 언제나 꺼진 상태로 시작합니다.
• 자동으로 채워진 경우 폼 맨 위에 채웠다는 안내와 [지우기] 버튼이 함께 표시됩니다. 지우면 저장된 값과 채워진 칸이 모두 즉시 비워집니다. 브라우저의 사이트 데이터 삭제로도 지워집니다.

참고로 웹 브라우저는 기기의 전화번호를 웹페이지에 알려주지 않습니다. 앱은 게스트의 전화번호를 자동으로 알아내지 못하며, 언제나 게스트가 직접 입력한 값만 받습니다.

5의3. 웹버전(브라우저에서 쓰는 총무 화면)

뒷풀이요정은 안드로이드 앱 외에 브라우저에서 쓰는 웹버전(/app)으로도 총무 화면을 제공합니다. 이 방침은 웹버전에도 그대로 적용되며, 서버가 받는 것과 받지 않는 것(계좌번호를 저장하지 않는 것, 정산 결과 링크를 열지 못하는 것, 합류 명단을 총무가 정한 시간 뒤 삭제하는 것)은 앱과 완전히 같습니다.

• "이용자 기기"는 웹버전에서 그 브라우저의 저장소(IndexedDB)를 뜻합니다. 모임·명단·항목·금액·계좌는 그 브라우저 안에만 저장되고 서버로 전송되지 않습니다 (QR 합류에 필요한 모임 제목과 참가자 정보는 앱과 동일하게 서버를 거칩니다).
• 브라우저 데이터를 지우면 함께 지워집니다. 또한 iOS 사파리는 홈 화면에 추가하지 않은 사이트의 저장소를 일정 기간 미사용 시 비울 수 있습니다. 웹버전은 이를 안내하고 백업 파일 내보내기/가져오기를 제공합니다. 내려받은 백업 파일에는 게스트가 공개한 연락처가 포함되므로 보관에 주의해 주세요.
• 웹버전에는 영수증 촬영·인식 기능이 없습니다. 따라서 4·4의2항(영수증 사진, 인식 제보)과 5항(폰 주소록 접근)은 웹버전에 해당하지 않습니다.
• 계정이 없으므로 로그인 정보를 받지 않고, 광고·분석 도구도 쓰지 않습니다.

6. 참가자 연락처의 접근 범위

게스트가 입력한 연락처는 기본적으로 해당 모임의 총무만 조회할 수 있습니다. 모임을 만들 때 발급되는 비밀 토큰을 가진 총무의 앱에만 전달되며, 연락처는 정산 안내를 보내기 위해 필수로 받습니다.

7. 참가자 간 연락처·인스타 공유(선택 · 항목별 별도 동의)

합류 화면에는 "인스타 ID 주고받기"와 "연락처 주고받기" 두 가지 선택 항목이 있습니다. 개인정보를 다른 참가자(제3자)에게 제공하는 것이므로 항목마다 각각의 동의로 분리했습니다 — 인스타는 나누고 싶지만 전화번호까지는 부담스러운 경우를 위해서입니다.

• 기본값은 둘 다 '공개하지 않음'입니다. 아무것도 선택하지 않으면 총무만 연락처를 봅니다.
• 동의한 항목만 같은 모임에 합류한 다른 참가자에게 표시됩니다. 예를 들어 인스타만 동의하면 이름과 인스타 ID만 보이고 전화번호는 보이지 않습니다.
• 이름은 동의 여부와 관계없이 같은 모임의 명단에 표시됩니다. 이름은 QR을 찍고 그 자리에서 서로에게 밝힌 것이고, 총무가 정산 안내에 적어 보내는 항목이기도 합니다. 선택 항목으로 감춰지는 것은 전화번호와 인스타그램 ID입니다. 이름조차 남기고 싶지 않다면 합류하지 않거나 총무에게 알려 주세요.
• 이 명단은 해당 모임에 한정되며, 링크가 만료되거나 총무가 정산을 마감하면 함께 삭제됩니다.
• 동의는 언제든 게스트가 직접 되돌릴 수 있습니다. 합류했던 링크를 다시 열어 내 정보 수정에서 공개 설정을 끄면 그 즉시 명단에서 사라지고, 같은 자리에서 이름·전화번호·인스타 ID를 고칠 수도 있습니다. 링크를 잃어버렸다면 총무에게 알리거나 아래 연락처로 문의해 주세요. 정보를 즉시 삭제합니다.

제공될 수 있는 항목은 이름·전화번호·인스타그램 ID뿐이며, 제공받는 대상은 같은 뒷풀이에 합류한 참가자로 한정됩니다. 어떤 경우에도 외부에 판매하거나 광고 목적으로 이용하지 않습니다. 총무는 정산을 위해 이 설정과 무관하게 연락처를 제공받습니다(인스타 ID는 선택).

8. 보관 기간과 삭제

• 합류 링크는 총무가 모임을 만들 때 고른 시간(12·24·36·48시간 중 하나, 기본 24시간)이 지나면 만료되고, 만료된 모임 정보와 참가자 정보는 서버에서 자동으로 삭제됩니다. 어떤 경우에도 48시간을 넘겨 보관하지 않습니다. 게스트는 합류 화면에서 남은 시간을 직접 확인할 수 있습니다.
• 총무가 앱에서 정산을 마감하면 그 즉시 서버에서 해당 모임과 참가자 정보가 삭제됩니다.
• 정산 결과 링크의 암호문도 마감 시 함께 삭제되며, 마감하지 않은 경우에도 1년이 지나면 자동 삭제됩니다. 이 값은 위 3항과 같이 서버가 복호화할 수 없는 형태로만 보관됩니다.
• 영수증 인식 제보(위 4의2항)는 전송일로부터 6개월이 지나면 자동 삭제됩니다. 이 기록에는 이용자를 가리키는 정보가 들어 있지 않아 개별 지정 삭제는 불가능하며, 대신 보관 기간 자체를 짧게 두었습니다.
• 기기에 저장된 정보는 앱 삭제 또는 설정 → 앱 → 뒷풀이요정 → 저장공간 → 데이터 삭제로 모두 지울 수 있습니다.
• 게스트의 브라우저에 저장된 "내 정보"(위 5의2항)는 게스트가 직접 지울 때까지 남습니다. 합류 화면의 지우기를 누르거나 브라우저의 사이트 데이터를 삭제하면 사라집니다.

9. 제3자 제공 및 처리 위탁

개인정보를 외부에 판매하지 않으며, 광고 식별자를 수집하거나 분석·추적 도구를 사용하지 않습니다. 참가자 간 연락처 공유는 위 7항의 이용자 동의가 있을 때만 같은 모임 참가자에게 한정해 이루어집니다. 그 밖에 서비스 운영을 위해 아래 인프라를 이용합니다.

• Cloudflare, Inc. — 게스트 합류 서버 및 데이터베이스 호스팅(미국 등 글로벌 인프라). 위 표의 "서버" 보관 항목이 여기에 해당하며, 참가자 명단은 최대 48시간, 정산 결과 링크의 암호문은 마감 시 즉시(마감하지 않으면 최대 1년) 보관됩니다.
• Google ML Kit — 영수증 문자 인식. 기기 안에서만 동작하며 사진을 전송하지 않습니다.

10. 이용자의 권리

이용자는 언제든 자신의 정보 열람·수정·삭제를 요청할 수 있습니다. 게스트는 요청 없이도 합류했던 링크에서 자신의 이름·전화번호·인스타그램 ID·식성 태그와 공개 설정을 직접 고칠 수 있습니다(합류 화면 → 내 정보 수정). 앱 내 데이터는 이용자가 직접 삭제할 수 있으며, 서버 데이터는 정산 마감 또는 총무가 정한 만료 시간(최대 48시간) 경과 시 자동 삭제됩니다. 정산 결과 링크의 암호문은 총무가 정산을 마감하면 함께 삭제됩니다. 그 외 요청은 아래 연락처로 문의해 주세요.

11. 아동의 개인정보

이 앱은 만 14세 미만 아동을 대상으로 하지 않으며, 아동의 개인정보를 의도적으로 수집하지 않습니다.

12. 방침 변경

이 방침이 변경되면 이 페이지에 갱신된 내용과 시행일을 게시합니다.

13. 문의처

개인정보 보호책임자: 뒷풀이요정 개발자
이메일: lemondmelo@gmail.com