개인정보처리방침

1. 회사 소개

[Company legal name], Külbstr. 20, 55131 Mainz, Germany(이하 "Last Seen", "회사")는 당신의 개인정보 처리에 책임이 있는 개인정보처리자입니다.

• 개인정보 문의 및 요청: privacy@lastseen.help
• 개인정보 보호책임자 연락처: privacy@lastseen.help
• EU 대리인:
• 영국 대리인: [UK representative - required under UK GDPR Art. 27 if you offer the app to people in the UK]

2. 수집하는 정보

계정 및 설정

• 무작위 계정 식별자와 기기 로그인 토큰(해시값만 저장)
• 내가 정한 표시 이름. 긴급 연락처를 추가하거나 초대를 공유하거나 서클에 참여하기 전에 필요하며, 상대가 메시지가 나에 관한 것임을 알 수 있게 합니다
• 확인 주기, 유예 시간, 일시정지 기간, 언어, 알림 설정, 긴급 전화번호를 위해 선택한 국가
• 전화번호와 이메일 주소(인증을 선택한 경우에만)
• 기기의 푸시 알림 토큰

안부 확인과 건강 상태

• 확인한 시각과 버튼 또는 답장 여부
• 누군가 안부를 물을 때 보낸 답장(예: "괜찮아요", "몸이 안 좋아요")
• 기한 내인지 초과인지 여부, 당신에 관해 발송된 알림과 경보

당신의 서클

• 당신이 추가한 긴급 연락처의 이름, 전화번호, (선택) 이메일 주소
• 당신을 지켜보는 앱 사용자와 당신이 지켜보는 사람, 서로 주고받은 콕 찌르기와 메시지

마지막 메모

• 암호화된 메모, PIN의 scrypt 해시, 열람·수정·요청·전달 기록

보관해야 하는 기록

• 동의한 내용, 버전, 시각과 당시의 IP 주소 및 기기 유형
• 요청 제한 카운터 등 단기 보안 기록

위치, 주소록(연락처 하나를 가져와도 나머지는 기기를 벗어나지 않음), 광고 식별자, 분석 프로필은 수집하지 않습니다.

3. 건강 관련 정보

이 정보 중 일부는 확인을 놓쳤다거나 몸이 안 좋다고 답한 사실처럼 당신의 건강이나 상태를 드러낼 수 있으며, 마지막 메모에는 당신이 쓰는 어떤 내용이든 담길 수 있습니다.

회사는 이를 모두 GDPR 제9조의 특수 범주 데이터, 한국 개인정보 보호법상 민감정보, 그리고 워싱턴주 My Health My Data Act와 네바다주 SB 370 등 미국 주법상 소비자 건강 데이터로 취급합니다. 앱 설정 시 당신이 명시적으로 동의한 경우에만, 서비스 제공 목적으로만 수집·공유합니다. 계정을 삭제하여 언제든 동의를 철회할 수 있으며, 동의 없이는 서비스를 제공할 수 없습니다.

4. 이용 목적과 법적 근거

• 서비스 제공: 확인 기록, 알림, 서클에 경보, 마지막 메모 보관 및 전달. 근거: 당신과의 계약(GDPR 제6조 1항 b) 및 건강 관련 정보에 대한 명시적 동의(제9조 2항 a).
• 계정과 서비스 보안: 전화번호·이메일 인증, 요청 제한, PIN 잠금, 악용 방지. 근거: 당신과 다른 사용자를 보호하려는 회사의 정당한 이익(제6조 1항 f).
• 동의 기록 및 요청 처리. 근거: 법적 의무(제6조 1항 c).
• 웹사이트 대기자 명단 등록자에게 이메일 발송. 근거: 이메일로 확인된 동의(제6조 1항 a).

광고나 프로파일링에 데이터를 사용하지 않습니다. 유일한 자동화된 결정은 당신이 정한 일정에 따라 알림이나 경보를 언제 보낼지입니다.

5. 정보를 볼 수 있는 사람

당신이 선택한 사람

• 앱 내 서클 구성원은 당신의 표시 이름, 마지막 확인 시각, 기한 내·초과·일시정지 여부를 볼 수 있습니다. 설정에서 허용하면 당신의 답장도 볼 수 있습니다.
• "도움이 필요해요"라고 답하면 답장 공유 설정과 관계없이 서클의 모든 사람에게 즉시 알려지며, 정상적으로 체크인하거나 24시간이 지날 때까지 표시됩니다.
• 기한을 넘기면 긴급 연락처가 당신의 표시 이름과 마지막 확인 이후 경과 시간이 담긴 문자나 이메일을 받습니다.
• 마지막 메모는 7항에 설명된 방식으로만 전달됩니다.

회사의 지시에 따라서만 정보를 처리하고 비밀유지와 보안 의무 계약을 맺은 수탁자(GDPR 제28조):

• Hosting and database provider [e.g. Google Cloud / Neon] — running the service and storing account data ([EU / US])
• Expo (650 Industries, Inc.) — delivering push notifications (United States)
• Twilio Inc. — sending SMS alerts and verification codes (United States)
• Twilio SendGrid — sending email alerts and verification codes (United States)

기타

• 법률상 요구되는 경우에만 관계 기관. 법으로 금지되지 않는 한 당신에게 알립니다.
• 서비스가 양도되는 경우 본 방침에 구속되는 승계인.

회사는 캘리포니아 법상 의미로 당신의 개인정보를 판매하거나 교차 맥락 행동 광고를 위해 공유하지 않습니다. 당신을 대신해 긴급 서비스에 연락하지 않습니다.

6. 앱을 쓰지 않는 긴급 연락처

누군가를 추가하면 그 사람에게 누가 추가했는지, 무엇을 받을 수 있는지, 어떻게 수신 거부하는지를 본 방침 링크와 함께 한 번 보냅니다. 그 사람이 수신을 거부하면(STOP 회신 또는 링크 이용) 메시지를 중단하고, 다시 추가되더라도 그 선택을 기억합니다.

누군가를 추가하면 그 사람이 당신의 긴급 연락처가 되는 데 동의했음을 확인하는 것입니다.

7. 마지막 메모

• 회사 서버에서 계정별 고유 키로 AES-256-GCM 암호화됩니다. 이 키는 다시 데이터베이스 밖에 보관된 마스터 키로 암호화됩니다.
• 열람하거나 수정하려면 PIN이 필요합니다. PIN은 scrypt 해시로만 저장합니다. 5회 틀리면 보관함이 잠기며, 잠금 시간은 매번 길어집니다.
• 잠금 해제는 5분간, 해당 기기에서만 유효합니다.
• (1) 회원님이 정한 단 한 사람의 보관자가 요청하고, (2) 확인 기한을 6시간 이상 넘겼으며, (3) 이후 24시간 안에 확인하지 않은 경우에만 전달됩니다. 아무도 정하지 않았다면 누구도 요청할 수 없습니다. 요청이 있을 때와 전달될 때 알려드리며, 그 사람이 요청하거나 메모를 열면 서클의 다른 모든 사람에게도 알려집니다. 확인하면 요청은 취소됩니다.
• 모든 열람·수정·요청·전달은 기록되어 당신에게 표시됩니다.
• PIN을 잊으면 재설정할 수 있지만 메모는 영구 삭제됩니다.

참고: 전달이 회사 서버를 통해 이루어지므로 메모는 종단간 암호화가 아닌 회사에 의해 암호화됩니다. 운영 시스템 접근은 제한·기록되며, 법적으로 강제되지 않는 한 메모를 읽지 않습니다.

8. 국외 이전

일부 수탁자는 미국에 있습니다. 정보가 EEA·영국·스위스 밖으로 이전될 때, 수탁자가 인증을 받았다면 EU-미국 데이터 프라이버시 프레임워크(영국·스위스 확장 포함)를, 그렇지 않다면 유럽연합 집행위원회 표준계약조항과 영국 부록에 추가 보호조치를 더해 따릅니다. 사본을 요청할 수 있습니다.

9. 보관 기간

• 계정, 설정, 서클, 긴급 연락처, 마지막 메모: 계정 삭제 시까지.
• 확인 기록, 답장, 경보 기록: 24개월 후 삭제.
• 앱 내 알림과 발송 기록: 90일.
• 인증 코드와 보안 카운터: 최대 30일.
• 마지막 메모 접근 기록: 24개월 또는 계정 삭제 시까지.
• 동의 기록: 계정이 존재하는 동안.
• 확인되지 않은 대기자 명단 등록: 30일.

계정을 삭제하면 정보는 운영 시스템에서 즉시, 백업에서는 35일 이내에 삭제됩니다.

10. 당신의 권리

어디에 살든 정보를 열람·정정·내보내기·삭제하고 동의를 철회할 수 있습니다. 설정 > 내 데이터를 이용하거나 privacy@lastseen.help로 연락하세요. 1개월(EU·영국), 10일(한국) 또는 45일(미국) 이내에 답변하며, 법이 허용하는 경우 기간 연장이 필요하면 알려 드립니다. 요청이 로그인된 앱이나 인증된 전화번호·이메일에서 왔는지 확인하여 본인을 확인합니다.

EU·EEA·영국·스위스: 처리 제한, 반대, 데이터 이동권도 있으며 데이터 보호 감독기관에 민원을 제기할 수 있습니다(EU는 edpb.europa.eu, 영국은 ICO, ico.org.uk). 한국: 개인정보분쟁조정위원회나 개인정보침해신고센터(privacy.kisa.or.kr)에 도움을 요청할 수 있습니다. 먼저 회사에 해결 기회를 주시면 감사하겠습니다.

캘리포니아: CCPA/CPRA에 따라 지난 12개월간 회사가 수집·이용·공개한 개인정보를 알 권리와 삭제·정정을 요구할 권리가 있습니다. 이 기간 동안 회사는 4항의 목적으로 당신과 서클 구성원으로부터 식별자, 연락처, 민감한 개인정보(건강 관련 상태 정보와 마지막 메모 내용), 기기 정보를 수집하여 5항의 수탁자와 사람들에게 공개했습니다. 개인정보를 판매·공유하지 않고 민감정보는 서비스 제공에만 사용하므로 거부하거나 제한할 대상이 없습니다. 권리를 행사해도 차별하지 않습니다. 서명된 허락이 있으면 대리인이 요청할 수 있습니다.

기타 미국 주(버지니아, 콜로라도, 코네티컷, 유타, 텍사스, 오리건 등 개인정보 보호법이 있는 주): 비슷한 권리가 있습니다. 요청을 거절하면 "Appeal"이라고 회신해 이의를 제기할 수 있고, 결과에 동의하지 않으면 주 법무장관에게 연락할 수 있습니다.

워싱턴주, 네바다주 등 소비자 건강 데이터 법: 이 정보는 본 방침에 따라 당신의 동의가 있을 때만 수집·공유하며, 당신은 열람·삭제·동의 철회를 할 수 있고, 회사는 이를 절대 판매하지 않습니다.

11. 보안

통신은 전송 중 암호화됩니다. 로그인 토큰과 PIN은 해시로만 저장하고, 마지막 메모는 저장 시 암호화하며, 요청을 제한하고, 운영 시스템 접근을 제한합니다. 완벽하게 안전한 시스템은 없으며, 침해로 당신에게 위험이 생기면 지체 없이 알리고 법에 따라 당국에 신고합니다.

12. 아동

Last Seen은 만 16세 미만을 대상으로 하지 않습니다. 아동의 정보를 고의로 수집하지 않습니다. 아동이 계정을 만들었다고 생각되면 privacy@lastseen.help로 알려 주세요. 삭제하겠습니다.

13. 방침 변경

중요한 변경이 있으면 시행 전에 앱에서 알리고 검토를 요청합니다. 동의가 필요한 변경이면 다시 동의를 받습니다. 이전 버전은 요청 시 제공합니다.

14. 문의

[Company legal name]

Külbstr. 20, 55131 Mainz, Germany

전화: +49 6131 9011160

이메일: privacy@lastseen.help