초안 — 법률 검토 전
LUMA AI STUDIO 개인정보처리방침
2026년 9월 18일 작성
LUMA AI STUDIO(이하 “회사”)는 매장용 소프트웨어와 기기를 만듭니다. 이 방침은 회사가 개인정보를 어떤 자리에서, 무엇을, 왜, 얼마나 오래 다루는지 적은 것입니다.
★ 회사는 두 가지 지위를 함께 가집니다. 이 구분이 이 문서 전체의 뼈대입니다.
1. 회사의 두 가지 지위
| 지위 | 누구의 정보 | 예 |
|---|---|---|
| 개인정보처리자(회사가 스스로 정함) | 회사 서비스를 쓰는 고객사 임직원 | 콘솔 로그인 계정·접속 기록·문의 |
| 수탁자(처리자)(고객사가 정하고 회사는 대신 처리) | 고객사 매장의 손님 | 키오스크 회원 포인트, 주문, 매장 카메라 통계 |
★ 매장 손님의 개인정보에 대해 무엇을 모을지 정하는 사람은 매장(고객사) 이고, 회사는 그 지시에 따라 처리하는 수탁자입니다. 손님의 권리 행사는 원칙적으로 매장을 통해 이루어지며, 회사는 매장이 그 요청을 처리할 수 있는 기능을 제공합니다(§6).
2. 수집하는 항목과 이용 목적
회사가 실제로 저장하는 항목만 적습니다. 아래에 없는 항목은 저장하지 않습니다.
2-1. 고객사 임직원(콘솔 이용자)
| 항목 | 목적 | 근거 |
|---|---|---|
| 이메일, 이름, 비밀번호(해시), 2단계 인증 설정 | 계정 생성·로그인·본인 확인 | 계약 이행 |
| 접속 기록(IP, 브라우저 정보, 접속 시각) | 보안·부정 이용 방지·법정 접속기록 보존 | 법적 의무 / 정당한 이익 |
| 조직 내 역할·매장 범위 | 권한 관리 | 계약 이행 |
| 행위 기록(감사 로그: 누가 언제 무엇을 했는가) | 보안 사고 대응·분쟁 해결 | 법적 의무 / 정당한 이익 |
| POS 승격 PIN(해시) | 민감 동작(가격 변경·정산 등) 확인 | 계약 이행 |
2-2. 매장 손님 — 키오스크 회원·포인트
★ 휴대전화번호 원문을 저장하지 않습니다. 데이터베이스에 그 칸 자체가 없습니다. 회원을 찾는 데에는 매장마다 다른 비밀값을 섞어 되돌릴 수 없게 만든 값(SHA-256 해시)과, 손님이 자기 것을 알아보기 위한 뒷 4자리만 씁니다.
| 항목 | 목적 |
|---|---|
| 휴대전화번호의 되돌릴 수 없는 변환값, 뒷 4자리 | 회원 식별·포인트 적립과 사용 |
| 회원 코드, 포인트 잔액과 적립·사용 내역 | 포인트 운영 |
| 동의 버전과 동의 시각, 마케팅 동의 시각 | 동의 관리 |
| 마지막 이용일 | 보관 기간 계산 |
2-3. 매장 손님 — 주문
- 주문 번호·테이블 번호·메뉴·금액·결제 수단·시각을 저장합니다.
- 이름·전화번호·주소·이메일을 주문에 저장하지 않습니다.
- ★ 카드번호·유효기간·CVC 를 저장하지 않습니다 — 데이터베이스에 그 칸이 없습니다. 결제사가 돌려준 참조 값만 보관하며, 회사는 그 값을 해석하지 않습니다.
- 현금영수증을 발행한 경우 그 발행 번호가 기록될 수 있습니다. [결정 필요 — 보관 기간·마스킹]
2-4. 매장 카메라(AI 카메라를 설치한 매장만)
★ 영상을 저장하지 않습니다. 얼굴 이미지·얼굴 특징값·사람을 이어 붙이는 식별자·이동 궤적도 저장하지 않습니다. 데이터베이스에 그 칸이 없고, 서버와 기기 양쪽에 그런 이름의 값이 들어오면 통째로 거절하는 검사가 들어 있습니다. 카메라 영상은 기기 안에서 숫자로 바뀐 뒤 그 자리에서 버려집니다.
- 저장하는 것: 시간대별 인원수, 구역 체류 시간 합계, 연령대·성별의 추정 집계 수치, 격자 단위 머무름 합계, 기기 상태값.
- 사람 수가 적은 칸은 저장 전에 합쳐지고, 더 적은 칸은 화면에 표시되지 않습니다.
- 입구에는 촬영 사실과 목적을 적은 안내판을 둡니다.
2-5. 기기·진단
- 기기 일련번호·모델·펌웨어·상태 신호를 저장합니다.
- 고장 진단을 위해 기기 로그를 받을 수 있습니다. 진단에 쓰기 전 이메일·전화번호·토큰 등을 가립니다.
- ★ 가리기 전 원본 로그가 일정 기간 저장소에 남습니다. [결정 필요 — 보관 기간]
- 화면 캡처 기능을 쓰면 그 순간의 화면 이미지가 저장됩니다. 키오스크·호출 화면이라면 대기번호 등이 이미지로 남을 수 있습니다. [결정 필요 — 보관 기간]
2-6. 모바일 관리자 앱
- 앱은 회사 웹 화면을 여는 껍데기이며, 앱이 따로 수집하는 정보는 없습니다.
- 로그인 상태는 기기 안에만 저장됩니다.
- QR 스캔 기능을 켜면 카메라를 씁니다. 촬영한 이미지는 기기 밖으로 나가지 않으며 저장되지 않습니다.
- 알림을 켜면 알림 수신용 기기 토큰을 저장합니다.
3. 보유 기간과 파기
| 데이터 | 보유 기간 | 파기 방법 |
|---|---|---|
| 키오스크 회원 | 마지막 이용일부터 최소 12개월(매장이 정함) | 자동 익명화 — 전화번호 변환값·뒷 4자리·마케팅 동의를 지우고 잔여 포인트를 소멸시킵니다. 포인트 원장은 회계 근거로 번호만 남습니다. |
| 카메라 — 광고 노출 집계 | 한국·미국 395일 / 유럽·그 밖 90일 | 자동 삭제 후 월 단위 합계만 남김 |
| 카메라 — 구역·연령성별·머무름 | 한국·미국 90일 / 유럽·그 밖 31일 | 자동 삭제 |
| 카메라 — 기기 상태 | 30일 | 자동 삭제 |
| 카메라 — 월 합계 | 25개월 | 자동 삭제 |
| 카메라 — 삭제 실행 기록 | 60개월 | 증빙 목적 보존 |
| 가격표 표시 기록 | 기본 90일 | 자동 삭제 |
| 주문·회계 기록 | 관련 법령이 정한 기간 | [결정 필요 — 국가별 확정] |
| 콘솔 계정·접속 기록·감사 로그 | [결정 필요] | [결정 필요] |
★ 이 표에서 자동 삭제가 실제로 매일 실행되고 있는 것은 키오스크 회원 익명화, 카메라 보관 기간, 가격표 표시 기록 셋입니다. 나머지는 파기 절차를 정하는 중입니다(§9).
4. 처리 위탁과 제3자 제공
회사는 개인정보를 판매하지 않습니다. 서비스 운영에 필요한 범위에서 아래에 위탁합니다.
| 수탁자 | 위탁 업무 | 처리 장소 |
|---|---|---|
| Render Services, Inc. | 서버·데이터베이스 운영 | 싱가포르 |
| Cloudflare, Inc. (R2) | 파일 저장(이미지·영상·로그) | [결정 필요 — 리전 확인] |
| Resend | 이메일 발송(초대·비밀번호 재설정·문의) | [결정 필요 — 확인] |
| Anthropic (Claude) | AI 기능(진단 요약·도움말·문구 생성) | [결정 필요 — 확인] |
| Google (Gemini) | AI 기능(이미지 생성·음성 합성) | [결정 필요 — 확인] |
| fal.ai | AI 기능(이미지·영상 생성) | [결정 필요 — 확인] |
| Stripe, Inc. | 회사 서비스 구독 결제 | [결정 필요 — 확인] |
★ AI 기능에 보내기 전에 이메일·전화번호·토큰·카드·계좌로 보이는 값을 가립니다. 그럼에도 AI 에 보낸 입력과 받은 결과는 회사 데이터베이스에 기록으로 남습니다. [결정 필요 — 이 기록의 보관 기간]
매장 손님의 개인정보는 그 매장(고객사) 외에 제공하지 않습니다. 법령에 따른 요구가 있는 경우에만 예외입니다.
5. 국외 이전
★ 회사의 서버와 데이터베이스는 싱가포르에 있습니다. 한국·유럽·미국 어디에서 쓰더라도 데이터는 싱가포르에서 처리됩니다.
| 이전받는 자 | 국가 | 이전 항목 | 이전 시기·방법 | 보유 기간 |
|---|---|---|---|---|
| Render Services, Inc. | 싱가포르 | 이 방침 §2 의 전부 | 서비스 이용 시 네트워크를 통해 수시 | §3 과 같음 |
| 그 밖 수탁자 | [결정 필요] | [결정 필요] | [결정 필요] | [결정 필요] |
국외 이전을 원하지 않는 경우 서비스 이용이 제한될 수 있습니다. 거부 방법은 §6 의 연락처로 요청하실 수 있습니다.
6. 정보주체의 권리와 행사 방법
열람·정정·삭제·처리정지·동의 철회를 요청하실 수 있습니다.
| 누구 | 무엇을 | 지금 가능한 방법 |
|---|---|---|
| 매장 손님(키오스크 회원) | 열람·삭제 | ★ 이용하신 매장에 요청하시면 매장이 즉시 처리할 수 있습니다(회사 콘솔에 삭제 기능이 있습니다). 삭제하면 전화번호 변환값과 뒷 4자리가 지워지고 잔여 포인트가 소멸합니다. |
| 매장 손님(카메라) | 처리 거부 | 매장이 카메라를 일시 정지하면 기기의 카메라가 실제로 닫힙니다. 기능별로 끌 수도 있습니다. |
| 고객사 임직원 | 열람·정정 | 콘솔 설정에서 일부 가능 |
| 고객사 임직원 | 계정 삭제·데이터 내보내기 | ★ 아직 화면이 없습니다. 아래 연락처로 요청해 주십시오. [결정 필요 — 처리 절차·기한] |
★ 정직하게 적습니다 — 지금 회사에는 정보주체가 직접 쓰는 권리 행사 창구가 없습니다. 손님은 매장을 통해, 임직원은 아래 연락처를 통해 요청하셔야 합니다. 직접 창구는 준비 중입니다.
문의: support@lumaaistudio.it
개인정보 보호책임자: [결정 필요 — 성명·직책·연락처]
7. 안전성 확보 조치
- 비밀번호·PIN·API 키·초대 토큰·기기 토큰은 되돌릴 수 없는 값으로만 저장합니다. 2단계 인증 비밀값은 암호화해 저장합니다.
- 조직마다 데이터가 데이터베이스 수준에서 분리되며, 다른 조직의 행은 조회 자체가 되지 않습니다.
- 매장 범위가 지정된 계정은 그 매장의 데이터만 볼 수 있습니다.
- 민감한 동작에는 PIN 확인을 요구하며, 실패가 이어지면 잠깁니다.
- 누가 언제 무엇을 했는지 기록이 남고 지워지지 않습니다.
- 고객사 데이터에 대한 회사 운영자의 접근은 사유·기한이 있는 승인 절차를 거치며 기록됩니다.
8. 자동화된 처리
- 카메라를 설치한 매장에서는 추정된 연령대·성별 집계에 따라 화면에 나오는 광고가 바뀔 수 있습니다. 개인을 식별하거나 개인별로 다른 대우를 하지 않으며, 법적 효력이 있는 결정을 내리지 않습니다.
- 해당 매장에는 이 사실을 안내판에 적습니다.
9. ★ 이 초안에서 아직 비어 있는 것
이 문서는 법률 검토 전 초안입니다. 아래는 코드만으로는 정할 수 없어 사람이 결정해야 하는 항목이며, 검토 과정에서 채웁니다. 숨기지 않고 적어 둡니다.
- 개인정보 보호책임자 성명·직책·연락처
- 고객사 임직원 계정 삭제·데이터 내보내기 절차와 처리 기한(기능도 함께 만들어야 함)
- 감사 로그·접속 기록의 보유 기간(국가별 법정 최소 기간 확인 필요)
- 주문·회계 기록의 국가별 법정 보존 기간
- Cloudflare R2 의 처리 리전, 그 밖 수탁자의 처리 국가
- AI 기능에 보낸 입력·결과 기록의 보관 기간
- 기기 원본 로그·화면 캡처의 보관 기간과 대상 제한
- 현금영수증 발행 번호의 보관 기간과 마스킹
- 만 14세 미만 — 가입 화면에 「만 14세 이상」 확인을 넣었습니다(2026-09-18). ★ 남은 것: 나라마다 기준 연령이 다릅니다(13~16세). 나라별 설정으로 뺄지 결정 필요
- 호출 화면에 전화 뒷 4자리를 표시하는 선택 기능을 유지할지 여부
- 전시·행사에서 카메라를 운용할 때 처리자가 누구인지
- 유출 통지 절차와 기한(국내법·GDPR 정합)
★ 나중 항목(지금 하지 않음) — 데이터를 유럽·미국 등 다른 리전에 실제로 나누어 저장하는 것. 지금은 조직마다 고르는 「적용 법역」이 보관 기간 규칙만 정하고, 저장 장소는 전부 싱가포르 한 곳입니다. 유럽 고객이 현지 저장을 요구하면 그때 리전 분리를 만듭니다.
10. 방침의 변경
이 방침을 바꿀 때에는 적용일 최소 7일 전에 이 페이지에 알립니다. 중요한 변경은 30일 전에 알립니다.
문서 버전: 2026-09-18-draft