사업자 정보

전문(前文)

주식회사 두들(이하 “회사”)은 이용자의 개인정보를 중요시하며, 「개인정보 보호법」, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」, 「인공지능 발전과 신뢰 기반 조성 등에 관한 법률」(이하 “AI 기본법”), 「전자상거래 등에서의 소비자보호에 관한 법률」, 「부정경쟁방지 및 영업비밀 보호법」, 「전자금융거래법」, 「국세기본법」 등 관련 법령을 준수하고 있습니다. 회사는 본 처리방침을 통하여 이용자의 개인정보가 어떠한 목적과 방식으로 이용되고 있으며, 개인정보 보호를 위해 어떠한 조치가 취해지고 있는지 알려드립니다.

본 처리방침은 2025년 4월 개정된 개인정보보호위원회 「개인정보 처리방침 작성지침」 및 2026년 9월 11일 시행 예정인 개정 「개인정보 보호법」(2026.3 공포)에 따라 작성되었습니다.

본 v3.0 개정의 주된 사유는 2026년 6월 1일 출시되는 유료 결제 기능에 따라 새로 처리하게 되는 개인정보 항목(자동결제 식별키, 결제 식별자, 가입 시점 플랜 정보, 크레딧 정보 등)을 정확히 반영하기 위함입니다.

제1조 (개인정보의 처리 목적)

회사는 다음의 목적을 위하여 개인정보를 처리합니다. 처리하는 개인정보는 다음의 목적 이외의 용도로는 이용되지 아니하며, 이용 목적이 변경되는 경우에는 「개인정보 보호법」 제18조에 따라 별도의 동의를 받는 등 필요한 조치를 이행합니다.

1. 필수 처리 목적

1. 회원 가입 및 관리: 회원제 서비스 이용에 따른 본인 확인, 회원 가입·유지·탈퇴 의사 확인, 회원정보 관리, 고지사항 전달, 불량 회원의 부정이용 방지, 비인가 사용 방지, 만 14세 미만 아동 가입 제한

2. 서비스 제공: 리드 수집 자동화, AI 리드 스코어링 및 등급 분류, AI 응대·견적·이메일 생성, 자동 팔로업, 대시보드 및 분석 리포트 제공

3. 결제 및 정산: 유료 플랜 결제, 자동결제 처리, 이용요금 정산, 환불 처리, 세금계산서 발행, 초과 사용료 분리 결제, 크레딧의 발행과 차감 및 만료 관리, 가입 시점 플랜 정보의 관리

4. 고객 문의 응대 및 분쟁 해결: 고객 문의 응답, 불만 처리, 분쟁 조정을 위한 기록 보존

5. 법령상 의무 이행: 전자상거래법, 국세기본법, 전자금융거래법 등 관계 법령에 따른 거래 기록 보존, 세금계산서 발행, 수사·행정 협조

2. 별도 동의 기반 처리 목적

다음 각 호는 이용자의 별도 동의를 받은 경우에 한하여 처리합니다. 동의를 거부할 수 있으며, 거부 시 해당 서비스 이용만 제한되고 기본 서비스 이용은 가능합니다.

1. 마케팅 및 광고 활용: 신규 서비스·이벤트 정보 안내, 광고성 정보 전달, 서비스 이용 통계 분석

2. AI 모델 성능 개선: 이용자의 AI 기능 사용 데이터를 가명처리하여 AI 모델 성능 개선에 활용 (제11조 참조)

3. 개인정보의 국외 이전: 외부 생성형 인공지능 서비스 이용을 위한 국외 이전(제7조 참조)

제2조 (처리하는 개인정보 항목)

회사는 서비스 제공을 위해 필요한 최소한의 개인정보만을 수집합니다.

1. 회원가입 시 수집 항목

2. 소셜 로그인(Google OAuth) 시 수집 항목

3. 유료 서비스 결제 시 수집 항목

카드 정보 처리 원칙: 결제 정보는 토스페이먼츠 주식회사를 통해 처리되며, 회사는 전체 카드번호를 수집하거나 보관하지 아니합니다. 회사 서버에는 결제대행사가 발급한 자동결제 식별키와 결제 식별자만 안전한 암호 알고리즘으로 암호화하여 저장하며, 이는 실제 카드 정보와 직접 연결되지 아니하는 식별자입니다. 본 서비스의 결제 수단은 한국에서 발행된 신용카드와 체크카드로 한정되며, 간편결제와 계좌이체는 지원하지 아니합니다.

4. 서비스 이용 과정에서 수집되는 항목

5. 수집 방법

1. 회사 웹사이트 또는 모바일 애플리케이션을 통한 회원가입 및 서비스 이용 과정

2. 토스페이먼츠가 제공하는 결제 인증 절차에 따라 결제 수단을 등록하는 과정(회사는 인증 결과로 발급된 자동결제 식별키만 수신)

3. 서비스 내 리드 수집 폼을 통한 입력. 이 경우 수집 주체는 이용자이며 회사는 수탁자에 해당합니다(제8조 참조).

4. 고객센터(이메일, 채널톡)를 통한 문의 과정

5. 쿠키 및 로그 분석을 통한 자동 수집

제3조 (민감정보 및 고유식별정보 비처리 원칙)

1. 회사는 원칙적으로 「개인정보 보호법」 제23조에 따른 민감정보(사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보) 및 인종·민족·유전정보·범죄경력자료를 처리하지 아니합니다.

2. 회사는 원칙적으로 「개인정보 보호법」 제24조에 따른 고유식별정보(주민등록번호, 여권번호, 운전면허번호, 외국인등록번호)를 처리하지 아니합니다.

3. 이용자의 리드 정보 입력 제한: 이용자가 서비스에 리드 정보를 입력할 때에도 원칙적으로 민감정보·고유식별정보를 입력하여서는 아니 됩니다. 이용자가 이를 위반하여 입력한 경우 이용약관 제23조 제3항에 따라 이용자가 위반 책임을 부담하며, 회사는 해당 정보를 탐지한 경우 이용자에게 통지 후 삭제를 요청하거나 시스템적으로 제거할 수 있습니다.

4. 회사는 주민등록번호를 법령에서 구체적으로 허용하는 경우를 제외하고는 일체 처리하지 아니합니다(「개인정보 보호법」 제24조의2).

제4조 (개인정보의 처리 및 보유 기간)

회사는 법령에 따른 개인정보 보유·이용 기간 또는 정보주체로부터 개인정보를 수집할 때에 동의받은 개인정보 보유·이용 기간 내에서 개인정보를 처리·보유합니다.

1. 회사 내부 방침에 따른 보유 기간

2. 관련 법령에 따른 보유 기간

법령 보존의 분리 관리: 법령에 근거하여 탈퇴 후에도 보존하는 개인정보는 「표준 개인정보 보호지침」 제11조에 따라 별도의 데이터베이스로 분리하여 저장하고 관리합니다.

제5조 (개인정보의 제3자 제공)

1. 회사는 원칙적으로 이용자의 개인정보를 제3자에게 제공하지 아니합니다.

2. 다만, 다음의 경우에는 예외로 합니다.

   1. 이용자가 사전에 제3자 제공에 명시적으로 동의한 경우

   2. 법령에 의거하여 적법한 절차에 따른 수사기관 또는 기타 정부기관으로부터 정보제공을 요청받은 경우 (세부 원칙은 제18조 참조)

   3. 기타 법률에 의해 제공이 요구되는 경우

3. 추가적 이용·제공: 회사는 「개인정보 보호법」 제15조 제3항 및 제17조 제4항에 따라, 당초 수집 목적과 합리적으로 관련된 범위 내에서 정보주체의 동의 없이 개인정보를 추가적으로 이용·제공할 수 있습니다. 이 경우 시행령 제14조의2의 다음 기준을 준수합니다.

   1. 당초 수집 목적과의 관련성

   2. 수집 정황·처리 관행에 비추어 예측 가능성

   3. 정보주체 이익의 부당한 침해 여부

   4. 가명처리 또는 암호화 등 안전성 확보 조치

제6조 (개인정보 처리의 위탁)

회사는 원활한 서비스 제공을 위해 다음과 같이 개인정보 처리업무를 위탁하고 있습니다.

토스페이먼츠 결제 위탁 안내: 회사는 카드 정보 보호 국제 표준(PCI DSS)을 준수하는 결제대행사인 토스페이먼츠 주식회사에 결제 처리를 위탁하며, 전체 카드번호 등 민감 결제 정보는 토스페이먼츠가 직접 보관하고 회사는 보유하지 아니합니다. 회사는 토스페이먼츠가 발급한 자동결제 식별키와 결제 식별자만을 안전한 암호 알고리즘으로 암호화하여 보관하며, 이를 이용하여 정기결제 승인을 요청합니다. 토스페이먼츠와의 위·수탁 계약에는 「개인정보 보호법」 제26조에 따른 안전조치, 재위탁 제한, 손해배상 등이 명시되어 있습니다.

외부 생성형 인공지능 서비스의 로그 보존 안내: Google의 생성형 인공지능 서비스는 요청 처리 과정에서 입력 데이터를 일정 기간(일반적으로 최대 30일) 로그로 보존할 수 있으며, 이는 서비스 품질 관리 및 남용 방지 목적으로만 사용됩니다. 회사는 Google과 개인정보 처리 부속서를 체결하여 해당 데이터가 Google의 인공지능 모델 학습에 사용되지 아니하도록 조치하고 있습니다.

회사는 위탁계약 체결 시 「개인정보 보호법」 제26조에 따라 다음 사항을 계약서 등 문서에 명시하고, 수탁자가 개인정보를 안전하게 처리하는지 감독하고 있습니다.

• 위탁업무 수행 목적 외 개인정보 처리 금지

• 기술적·관리적 보호조치

• 재위탁 제한

• 수탁자에 대한 관리·감독

• 손해배상 등 책임에 관한 사항

위탁업무의 내용이나 수탁자가 변경될 경우에는 지체 없이 본 개인정보 처리방침을 통하여 공개합니다.

제7조 (개인정보의 국외 이전)

회사는 「개인정보 보호법」 제28조의8에 따라 다음과 같이 개인정보를 국외로 이전합니다. 국외 이전은 원칙적으로 정보주체의 별도 동의 또는 본 처리방침을 통한 공개를 근거로 이루어집니다.

1. 국외 이전 현황 (법 제28조의8 제2항 법정 고지사항)

가. Amazon Web Services, Inc. (AWS)

나. Google LLC (생성형 인공지능 서비스)

다. Google LLC (소셜 로그인)

라. Amazon Web Services, Inc. (이메일 발송 서비스)

2. 국외 이전 동의 철회

1. 정보주체는 언제든지 회사에 연락하여 국외 이전에 대한 동의를 철회할 수 있습니다.

2. 다만, 국외 이전이 서비스의 본질적 기능 제공에 불가결한 경우(예: AWS 인프라 상의 데이터 저장)에는 동의 철회 시 서비스 이용이 전면 또는 부분 제한될 수 있습니다.

3. 회사는 본 조의 국외 이전 사항이 변경되는 경우 정보주체에게 알리고 재동의를 받습니다(개인정보 보호법 제28조의8 제3항).

3. 국외 이전 시 안전조치

회사는 「개인정보 보호법」 제28조의8 제4항 및 시행령 제29조의11에 따라 다음 보호조치를 이행합니다.

• 국외 이전 계약서 체결(개인정보 처리 부속서 포함)

• 이전받는 자의 개인정보 보호 수준 확인

• 전송 구간에 대한 안전한 암호화 프로토콜(TLS 1.2 이상) 적용

• 국외 이전 거부권 보장

• 침해 사고 발생 시 고충처리 절차 마련

제8조 (이용자가 관리하는 제3자(리드) 개인정보 처리)

1. 위·수탁 관계의 명시

이용자가 서비스에 리드(잠재고객 등 제3자)의 개인정보를 입력·저장·처리하는 경우, 이용자는 개인정보처리자의 지위를 가지며, 회사는 이용자의 지시에 따라 개인정보를 처리하는 수탁자의 지위에 있습니다. 이 관계에 관하여 이용자가 회원가입 시 동의하는 이용약관이 「개인정보 보호법」 제26조에 따른 위·수탁 계약의 효력을 가지며, 회사는 수탁자로서 위탁업무 수행 목적 외 처리 금지, 안전조치, 수탁자의 재위탁 제한 등의 의무를 이행합니다.

2. 이용자의 책임

이용자는 리드의 개인정보를 수집·이용·제공하는 경우 다음 의무를 부담합니다. 회사는 해당 의무 이행에 대한 일반적 안내를 제공할 수 있으나, 리드로부터 적법한 동의를 얻을 책임은 전적으로 이용자에게 있습니다.

1. 리드로부터 개인정보 수집·이용에 대한 적법한 동의 확보(개인정보 보호법 제15조)

2. 리드에 대한 개인정보 처리방침 고지(제30조)

3. 리드의 권리 행사(열람, 정정·삭제, 처리정지, 자동화된 결정 거부·설명·재처리)에 대한 1차 응대

4. 리드의 개인정보를 수집 목적 외 용도로 이용하지 아니할 것

5. 리드에게 AI 기반 처리 사실 고지(AI 기본법 제31조 제1항)

6. 리드의 민감정보·고유식별정보·14세 미만 아동의 정보를 서비스에 입력하지 아니할 것 (이용약관 제23조 제3항)

3. 회사의 조력(표준 동의 화면의 강제 적용)

1. 회사는 이용자가 리드의 권리 행사 요청을 처리할 수 있도록 서비스 내 리드 개인정보 열람·정정·삭제·내보내기 기능을 제공합니다.

2. 리드가 회사에 직접 권리 행사를 요청하는 경우, 회사는 해당 리드의 정보를 관리하는 이용자에게 요청을 전달하고, 필요한 기술적 조력을 제공합니다.

3. 표준 동의 화면의 강제 적용(회사가 제공하는 폼 작성 도구): 회사는 「개인정보 보호법」 제15조 및 제22조의2(다크패턴 금지)에 따라, 이용자가 회사의 폼 작성 도구로 만드는 모든 리드 수집 폼에 다음 표준 동의 항목을 시스템적으로 강제 삽입합니다. 이용자는 본 항목을 임의로 제거할 수 없습니다.

   1. 수집 항목·수집 목적·보유 기간의 자동 명시

   2. 필수 동의 항목과 선택 동의 항목의 시각적 분리

   3. 선택 동의 항목의 기본 미체크(이용자 능동 선택 원칙)

   4. AI 처리 및 국외 이전 사전 고지 동의 항목으로서, 두들 서비스를 통한 AI 분석 및 외부 생성형 인공지능 서비스(미국 소재 Google LLC)로의 국외 이전 사실에 대한 별도 체크박스

   5. 동의 철회 및 권리 행사 방법(이용자의 개인정보 처리방침 또는 contact@duudle.io) 안내 링크

4. 회사는 이용자에게 리드로부터의 동의 확보에 관한 표준 문구·가이드를 참고 자료로 추가 제공할 수 있으나, 이는 법적 자문이 아니며 이용자의 독자적 법령 준수 책임을 대체하지 아니합니다. 이용자는 본 조 제2항의 자신의 개인정보처리자 의무를 본 항의 표준 UI 제공만으로 면제받지 아니합니다.

제9조 (자동화된 결정에 대한 정보주체의 권리 및 영업비밀 보호)

회사는 「개인정보 보호법」 제37조의2 및 같은 법 시행령 제44조의3에 따라 정보주체에게 자동화된 결정에 대한 권리를 보장하되, 「부정경쟁방지 및 영업비밀 보호법」 제2조 제2호에 따른 영업비밀 보호를 동시에 확보합니다.

1. 자동화된 결정의 대상

2. 자동화된 결정의 기준 및 방식 (법 제37조의2 제4항 공개 사항)

3. 정보주체의 권리

정보주체는 자동화된 결정에 대하여 다음과 같은 권리를 행사할 수 있습니다.

가. 거부권 (법 제37조의2 제1항)

자동화된 결정이 정보주체 자신의 권리 또는 의무에 중대한 영향을 미치는 경우, 해당 결정을 거부할 수 있습니다. 거부 시 회사는 자동화 기능을 중단하고 인적 개입에 의한 처리로 전환합니다.

중대한 영향 판단: 두들의 AI 리드 스코어링은 이용자에게 참고 정보를 제공하는 것으로, 원칙적으로 정보주체에게 법적 효력이나 신체·재산에 중대한 영향을 미치지 아니합니다. 다만, 정보주체는 언제든지 회사에 거부권 행사를 요청할 수 있으며, 회사는 정당한 사유가 없는 한 이를 수용합니다.

나. 설명요구권 (법 제37조의2 제2항)

자동화된 결정의 기준, 절차, 결과에 대한 설명을 요구할 수 있습니다. 회사는 요청일로부터 법령상 기한인 30일 이내(시행령 제44조의3 제5항)에 의미 있는 설명(사용된 개인정보 항목, 주요 고려 요소의 범주, 결정의 논리, 결과의 의미 등)을 제공합니다.

회사의 자율 약정: 회사는 원활한 대응을 위해 통상 10일 이내 설명을 제공하도록 노력합니다. 복잡한 사안의 경우 법정 기한(30일)까지 연장될 수 있으며, 이 경우 지연 사유를 정보주체에게 통지합니다.

다. 인적 재처리 요구권 (법 제37조의2 제3항, 시행령 제44조의3 제4항)

자동화된 결정에 대하여 인적 개입에 의한 재처리를 요청할 수 있습니다. 회사는 법령상 기한인 30일 이내에 담당자의 검토를 거쳐 재처리 결과를 제공합니다.

회사의 자율 약정: 회사는 통상 15일 이내 재처리 결과를 제공하도록 노력합니다.

4. 권리 행사 방법 및 본인 확인

본인 확인 절차: 회사는 권리 행사 요청 접수 시 요청자가 본인 또는 정당한 대리인임을 확인합니다(「개인정보 보호법」 제38조 제4항 준용). 본인 확인을 위한 합리적 범위의 추가 정보(계정 정보 확인, 이메일 인증 등)를 요청할 수 있습니다.

5. 거부·설명 제한 사유 (영업비밀 보호 포함)

다음의 경우 회사는 정당한 사유에 따라 거부권 행사에 대한 수용, 설명 제공, 인적 재처리 적용을 제한하거나 거절할 수 있으며, 그 사유를 지체 없이 정보주체에게 통지합니다.

1. 자동화된 결정이 「개인정보 보호법」 제15조 제1항 제1호·제2호·제4호에 근거하여 이루어지는 경우(법률 특별 규정, 법령상 의무 이행, 공공기관 소관업무 수행)

2. 영업비밀·지식재산권 보호 사유: 「부정경쟁방지 및 영업비밀 보호법」 제2조 제2호의 영업비밀 보호, 「저작권법」·「특허법」 등 지식재산권 보호, 시스템 보안 유지, 악용 방지 등을 위하여 필요한 경우 회사는 알고리즘의 내부 구성, 구체적 가중치 수치, 점수 산출 공식, 학습 데이터, 인공지능 입력 설계 구조, 모델 미세조정 방식 등 기술적 세부사항을 제공하지 아니할 수 있습니다. 이 경우 정보주체의 권리 보호에 필요한 의미 있는 설명은 제공합니다.

3. 권리 행사가 타인의 권리를 침해하거나 제3자의 영업비밀을 침해할 우려가 있는 경우

4. 반복적·부당한 목적의 요구: 동일 또는 유사한 내용의 요구가 합리적 범위를 초과하여 반복되거나, 경쟁사의 영업비밀 탐지, 알고리즘 역추적, 시스템 남용 등 부당한 목적이 합리적으로 의심되는 경우

5. 권리 행사에 따른 회사의 부담이 정보주체의 권익 보호 필요성에 비추어 현저히 불균형한 경우

6. 리드(제3자 정보주체)의 권리 행사 경로

1. 리드는 자신의 개인정보처리자인 이용자에게 1차적으로 권리를 행사할 수 있습니다. 이용자는 제8조 제2항 제3호에 따라 이를 처리할 의무를 부담합니다.

2. 리드가 회사에 직접 권리 행사를 요청하는 경우, 회사는 해당 이용자에게 요청을 전달하고, 시스템을 통한 기술적 조력(데이터 조회, 삭제, 재처리 기능)을 제공합니다.

제10조 (AI 기반 서비스 고지 및 AI 생성물 표시)

1. AI 기반 서비스 사전 고지(AI 기본법 제31조 제1항)

회사는 「AI 기본법」 제31조 제1항 및 같은 법 시행령 제22조 제1항에 따라 이용자에게 서비스가 생성형 인공지능에 기반하여 운용된다는 사실을 다음 위치에서 사전 고지합니다.

• 서비스 온보딩 화면

• AI 기능 사용 화면 상단

• 이용약관 및 본 처리방침

2. AI 생성물 표시(AI 기본법 제31조 제2항)

회사는 「AI 기본법」 제31조 제2항 및 같은 법 시행령 제22조 제2항에 따라 AI 생성물에 대한 표시 의무를 다음과 같이 두 가지 방법을 병행하여 이행합니다. 표시 방법에 관한 세부 사항은 이용약관 제13조에 따릅니다.

1. 기계가 판독할 수 있는 비가시적 표시(모든 AI 생성물에 항상 적용): 다운로드 파일(견적서 PDF, CSV 등) 및 이메일 발송 시 머리 부분의 메타데이터에 AI 생성 정보를 자동으로 포함합니다. 본 처리방침 동의 시 시행령 제22조 제2항의 “최소 1회 안내 문구”를 충족한 것으로 봅니다.

2. 사람이 판독할 수 있는 가시적 표시(적용 범위 구분)

   • 자동 발송 콘텐츠(자동 팔로업 등 회사가 인적 검토 없이 자동 발송하는 경우): 회사가 가시적 안내 문구를 자동 삽입하며, 이용자는 이를 제거할 수 없습니다.

   • 수동 발송 콘텐츠(이용자가 검토·승인하여 발송하는 경우): 이용자가 가시적 표시의 사용 여부를 선택할 수 있으며, 기본값은 사용으로 설정됩니다.

3. 인간 검토·수정 시 면제(이용자 책임): 이용자가 AI 생성물에 본질적인 검토·수정·재구성을 가한 경우, 예컨대 본문의 30퍼센트 이상 수정, 핵심 내용·결론·금액의 변경 등 인간의 창작적 기여가 명백한 경우 가시적 표시를 면제할 수 있습니다. 면제 선택의 책임은 이용자에게 있으며, 비가시적 표시는 회사가 그대로 유지합니다.

3. 이용자의 의무

1. 이용자는 본 조 제2항 제1호의 비가시적 표시 및 자동 발송 콘텐츠의 가시적 표시를 제거·변조·은폐하여서는 아니 됩니다(이용약관 제22조 제1항 제3호 및 「AI 기본법」 제31조 제2항·제43조).

2. 이용자가 수동 발송 콘텐츠에서 가시적 표시를 사용하지 않는 것으로 선택하거나 본 조 제2항 제3호의 면제를 선택한 결과 제3자(리드 등)와의 분쟁이 발생하는 경우, 그에 따른 책임은 이용자가 부담합니다(이용약관 제13조 제6항).

제11조 (가명정보 처리)

1. 가명처리 여부

1. 회사는 서비스 품질 향상 및 AI 모델 성능 개선을 위해 이용자가 별도 동의한 경우에 한하여 개인정보를 가명처리하여 처리할 수 있습니다.

2. 가명처리는 「개인정보 보호법」 제28조의2부터 제28조의7까지의 규정에 따라 이루어집니다.

2. 가명정보의 처리 목적

• 통계 작성

• 과학적 연구(산업적 연구 포함)

• 공익적 기록 보존

3. 가명정보의 처리 항목 및 보관

4. 가명정보 재식별 위험 평가 및 결합 제한

1. 회사는 가명정보 처리 전 「가명정보 처리 가이드라인」(개인정보보호위원회)에 따른 재식별 위험 평가를 실시합니다.

2. 회사는 가명정보를 다른 정보와 결합하여 개인을 알아볼 수 있게 되는 경우 해당 정보를 지체 없이 파기하거나 다시 가명처리합니다(「개인정보 보호법」 제28조의5 제2항).

3. 가명정보와 다른 정보의 결합은 「개인정보 보호법」 제28조의3에 따라 보호위원회 또는 관계 중앙행정기관이 지정한 전문기관을 통해서만 수행됩니다.

5. 이용자의 거부권

1. 가명처리 및 AI 모델 학습 활용은 별도 동의 기반으로 이루어지며, 이용자는 언제든지 동의를 철회할 수 있습니다.

2. 동의 철회 시 해당 시점 이후의 가명처리는 중단되며, 기존 가명정보는 안전하게 분리 보관된 후 목적 달성 시 파기됩니다.

제12조 (개인정보의 파기 절차 및 방법)

회사는 개인정보 보유기간의 경과, 처리목적 달성 등 개인정보가 불필요하게 되었을 때에는 지체 없이 해당 개인정보를 파기합니다.

1. 파기 절차

1. 회사는 파기 사유가 발생한 개인정보를 선정하고, 회사의 개인정보 보호책임자의 승인을 받아 개인정보를 파기합니다.

2. 법령에 따라 파기하지 아니하고 보존해야 하는 경우, 별도의 데이터베이스 또는 보관 장소에 분리하여 저장·관리합니다(「표준 개인정보 보호지침」 제11조).

2. 파기 방법

3. 탈퇴 시 파기 일정

4. 환불 처리 시 수집된 계좌정보의 파기

원결제 수단으로의 환불이 불가능하여 이용자의 본인 명의 계좌로 환불하는 경우(환불 및 해지 정책 제11조), 회사는 환불 처리 완료 후 지체 없이 계좌 정보(은행명, 계좌번호, 예금주)를 파기합니다.

제13조 (정보주체의 권리·의무 및 행사 방법)

1. 정보주체의 권리

정보주체(이용자)는 회사에 대해 언제든지 다음 각 호의 개인정보 보호 관련 권리를 행사할 수 있습니다.

1. 개인정보 열람 요구 (법 제35조)

2. 개인정보 오류 등에 대한 정정·삭제 요구 (법 제36조)

3. 개인정보 처리정지 요구 (법 제37조)

4. 동의 철회 (법 제39조의7)

5. 자동화된 결정에 대한 거부권·설명요구권·재처리요구권 (법 제37조의2, 본 방침 제9조 참조)

6. 개인정보 전송요구권 (법 제35조의2, 본 방침 제14조 참조)

2. 권리 행사 방법

권리 행사는 서면, 전자우편, 서비스 내 설정 등을 통하여 하실 수 있으며, 회사는 관계 법령에 따라 10일 이내에 조치합니다(개인정보 보호법 시행령 제42조, 제43조, 제44조). 다만, 자동화된 결정 관련 권리는 본 방침 제9조의 기한에 따릅니다.

3. 대리인을 통한 권리 행사

권리 행사는 정보주체의 법정대리인이나 위임을 받은 자 등 대리인을 통하여 하실 수도 있습니다. 이 경우 「개인정보 처리 방법에 관한 고시」 별지 제11호 서식에 따른 위임장을 제출하셔야 합니다.

4. 권리 행사의 제한

1. 개인정보 열람 및 처리정지 요구는 「개인정보 보호법」 제35조 제4항, 제37조 제2항에 의하여 정보주체의 권리가 제한될 수 있습니다.

2. 개인정보의 정정 및 삭제 요구는 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 그 삭제를 요구할 수 없습니다(예: 전자상거래법상 5년 보존 의무 결제 이력, 전자금융거래법상 5년 보존 의무 결제 승인 로그).

3. 회사는 권리 행사 요청 시 요청자가 본인이거나 정당한 대리인인지를 확인합니다.

4. 반복적·부당한 요구의 처리: 동일한 내용의 요구가 합리적 범위를 초과하여 반복되거나 부당한 목적이 명백한 경우, 회사는 정당한 사유로 이를 거절할 수 있으며 그 사유를 지체 없이 통지합니다.

5. 권리 행사 거절 시 통지

회사가 권리 행사를 거절하는 경우, 거절 사유 및 이의제기 방법을 지체 없이 정보주체에게 통지합니다.

제14조 (개인정보 전송요구권)

1. 전송요구권 안내

「개인정보 보호법」 제35조의2 및 같은 법 시행령 제42조의2에 따라 정보주체는 본인의 개인정보를 정보주체 자신, 다른 개인정보처리자 또는 개인정보 관리 전문기관 등에 전송할 것을 요구할 수 있습니다.

2. 현재 전송 가능 현황

1. 회사는 현재 서비스 내 데이터 내보내기 기능을 통해 이용자 본인에게 자신의 데이터를 CSV·JSON 등 구조화된 형태로 전송할 수 있도록 지원합니다.

2. 다른 개인정보처리자에 대한 직접 전송은 제도적 기반(전송요구권 시행 범위)이 완비되는 시점에 순차적으로 지원할 예정입니다.

3. 전송요구 방법

• 서비스 내 설정의 데이터 내보내기 메뉴

• 이메일: contact@duudle.io

제15조 (만 14세 미만 아동의 개인정보 처리)

1. 회사는 B2B·사업자용 서비스 특성상 만 14세 미만 아동의 회원가입을 허용하지 아니합니다.

2. 회사는 회원가입 과정에서 만 14세 미만 아동의 가입을 제한하며, 만 14세 미만 아동임이 확인된 경우 해당 계정을 즉시 탈퇴 처리합니다.

3. 만 14세 미만 아동의 개인정보가 수집된 것으로 확인되는 경우, 「개인정보 보호법」 제22조의2에 따라 지체 없이 파기합니다.

4. 이용자가 수집한 리드에 만 14세 미만 아동의 정보가 포함된 경우: 이용자는 법정대리인의 동의 없이는 해당 정보를 수집할 수 없으며(개인정보 보호법 제22조의2 제1항), 이를 위반하여 입력된 정보를 회사가 탐지한 경우 지체 없이 삭제합니다.

제16조 (개인정보의 안전성 확보 조치)

회사는 개인정보의 안전성 확보를 위해 「개인정보 보호법」 제29조 및 「개인정보의 안전성 확보조치 기준」에 따라 다음과 같은 조치를 취하고 있습니다.

1. 관리적 조치

• 개인정보 내부관리계획 수립 및 시행

• 개인정보 취급자 지정 최소화 (현재 대표이사, CTO 2인)

• 개인정보 취급자에 대한 정기적 교육(연 1회 이상)

• 개인정보 보호책임자 및 담당자 지정

2. 기술적 조치

3. 물리적 조치

• 클라우드 인프라(Amazon Web Services)의 물리적 보안 수준 활용

• 업무 공간에 대한 출입 통제

제17조 (개인정보 침해 사고 대응)

1. 개인정보 침해 사고 대응 체계

회사는 「개인정보 보호법」 제34조 및 같은 법 시행령 제39조, 제40조에 따라 다음과 같이 개인정보 침해 사고에 대응합니다.

2. 정보주체 통지 의무

회사는 개인정보가 분실·도난·유출(이하 “유출등”)된 사실을 알게 된 때에는 지체 없이 해당 정보주체에게 다음 사항을 통지합니다.

1. 유출등이 된 개인정보의 항목

2. 유출등이 된 시점과 그 경위

3. 유출등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보

4. 개인정보처리자의 대응조치 및 피해구제 절차

5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

3. 72시간 내 신고

회사는 유출등의 통지 요건에 해당하는 사고가 발생한 경우, 알게 된 때로부터 72시간 이내에 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 신고합니다(「개인정보 보호법」 제34조 제3항).

신고 대상 요건(시행령 제39조 제1항):

1. 1천 명 이상의 정보주체에 관한 개인정보가 유출된 경우

2. 민감정보 또는 고유식별정보가 유출된 경우

3. 개인정보처리시스템 또는 개인정보취급자가 개인정보를 처리하는 데 사용되는 정보기기에 대한 외부로부터의 불법적인 접근에 의해 개인정보가 유출된 경우

4. 결제 정보 침해 사고 시 추가 조치

자동결제 식별키, 결제 식별자, 결제 이력 등 결제 관련 정보의 침해 사고가 발생한 경우, 회사는 위 의무에 더하여 다음 추가 조치를 이행합니다.

1. 즉시 결제대행사(토스페이먼츠)와 협력하여 영향 범위를 확정하고 자동결제 식별키를 무효화합니다.

2. 정보주체에게 카드 재발급을 권고하고 부정 사용 여부를 살펴볼 수 있도록 안내합니다.

3. 「전자금융거래법」 제22조 및 제23조에 따라 금융위원회에 보고합니다.

5. 피해구제 절차

1. 회사는 침해 사고 발생 시 정보주체의 피해 구제를 위해 필요한 조치를 지체 없이 이행합니다.

2. 정보주체는 침해 사고로 인한 피해 구제를 위해 다음 기관에 도움을 요청할 수 있습니다.

   • 개인정보분쟁조정위원회 (국번없이 1833-6972)

   • 개인정보침해신고센터 (국번없이 118)

6. 예방 조치

• 회사는 침해 사고 예방을 위해 정기적 보안 점검 및 취약점 분석을 실시합니다.

• 회사는 개인정보 취급자에 대해 주기적 보안 교육을 실시합니다.

• 회사는 침해 사고 발생 시 신속한 대응을 위해 침해 사고 대응 매뉴얼을 수립하고 관련 훈련을 실시합니다.

제18조 (수사기관 등에의 개인정보 제공 원칙)

1. 제공 원칙

회사는 수사기관, 법원, 정부기관 등으로부터 이용자의 개인정보 제공 요청을 받은 경우 다음 원칙에 따라 처리합니다.

1. 적법성 원칙: 법령에 근거한 요청(법원의 영장·명령, 법률상 의무 등)에 한하여 개인정보를 제공합니다.

2. 최소 제공 원칙: 요청 범위에 필요한 최소한의 정보만 제공하며, 요청 목적을 초과하는 정보는 제공하지 아니합니다.

3. 서면 확인 원칙: 구두 요청이나 비공식 요청에는 응하지 아니하며, 영장·공문 등 서면에 의한 요청만을 대상으로 합니다.

4. 정보주체 통지 원칙: 법령상 허용되는 범위 내에서 개인정보 제공 사실을 정보주체에게 사후 통지합니다. 다만, 수사의 목적을 해할 우려가 있거나 법령상 비공개 의무가 있는 경우는 예외로 합니다.

2. 제공 현황 공개

회사는 「통신비밀보호법」 제13조의7 및 관계 법령에 따라, 수사기관 등에 대한 개인정보 제공 현황을 분기별 또는 연 1회 투명성 보고서 형태로 공개할 수 있습니다. 현재 회사는 제공 건수가 없거나 극히 소수인 단계로서, 유의미한 통계가 축적되는 시점부터 공개를 시작할 예정입니다.

제19조 (개인정보 자동 수집 장치(쿠키)의 설치·운영 및 거부)

1. 쿠키(Cookie)란?

회사는 이용자에게 개별적인 맞춤서비스를 제공하기 위해 이용 정보를 저장하고 수시로 불러오는 ’쿠키(cookie)’를 사용합니다. 쿠키는 웹사이트를 운영하는 데 이용되는 서버가 이용자의 브라우저에 보내는 소량의 정보이며, 이용자 컴퓨터의 하드디스크에 저장됩니다.

2. 쿠키의 종류 및 사용 목적

3. 쿠키 동의 화면 원칙(다크패턴 방지)

전자상거래법 제21조의2 제1항 제2호(특정옵션 사전선택 금지)에 따라 회사는 쿠키 동의 화면을 다음 원칙으로 운영합니다.

1. 선택 쿠키는 기본으로 체크하지 아니합니다. 이용자가 능동적으로 체크해야 동의된 것으로 처리합니다.

2. “모두 동의” 버튼과 “필수만 동의” 버튼의 시각적 비중을 동등하게 표시합니다.

3. 쿠키 설정은 언제든지 서비스 내 설정의 쿠키 설정 화면에서 변경할 수 있습니다.

4. 쿠키 거부 방법

이용자는 쿠키 설치에 대한 선택권을 가지고 있습니다.

• 서비스 내 설정의 쿠키 설정 화면에서 쿠키 유형별 동의 변경

• 웹브라우저 설정을 통한 쿠키 저장 거부

다만, 필수 쿠키를 거부할 경우 서비스 이용에 제한이 있을 수 있습니다.

제20조 (광고성 정보 수신 동의 및 야간 전송 금지)

1. 광고성 정보 전송의 원칙

1. 회사는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제50조에 따라 이용자의 사전 수신 동의를 받은 경우에 한하여 광고성 정보를 전송합니다.

2. 이용자는 언제든지 수신 동의를 철회할 수 있으며, 광고 이메일 하단의 수신거부 링크 또는 서비스 내 설정의 알림 설정 화면에서 변경할 수 있습니다.

2. 결제 관련 알림은 광고성 정보가 아님

결제 영수증, 자동갱신 사전 고지(월간 7일 전, 연간 30일·7일 전), 결제 실패 알림, 크레딧 만료 알림, 키위 사용량 한도 알림(50%/80%/100%), 플랜 버전 변경 안내, 환불 처리 안내 등은 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제50조의 광고성 정보가 아닌 거래 정보로, 수신 동의 여부와 무관하게 발송됩니다.

3. 수신 동의 확인 (2년 주기)

회사는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제50조 제8항 및 시행령 제62조의3에 따라 2년마다 이용자의 광고성 정보 수신 동의 여부를 확인합니다.

4. 야간 광고성 정보 전송 금지

「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제50조 제3항에 따라, 회사는 오후 9시부터 다음 날 오전 8시까지의 시간대에는 광고성 정보를 전송하지 아니합니다. 단, 이용자가 별도로 해당 시간대의 수신에 동의한 경우는 제외합니다.

5. 광고 표시 의무

회사는 광고성 이메일·메시지의 제목 첫머리에 “(광고)” 표시를 포함하며, 본문에 수신 거부 방법을 명시합니다(같은 법 제50조 제4항).

제21조 (서비스 종료 시 개인정보 처리)

1. 회사의 서비스 전면 종료 시 절차

1. 회사가 서비스를 전면 종료하는 경우, 종료 예정일로부터 최소 90일 전에 이용자에게 이메일 및 서비스 공지로 1차 통지한 뒤 60일·30일·7일·당일 단계로 안내합니다(환불 및 해지 정책 제7조).

2. 통지에는 서비스 종료 일시, 데이터 내보내기 가능 기한, 환불 절차, 개인정보 파기 계획이 포함됩니다.

2. 데이터 내보내기 제공

1. 회사는 종료일까지 이용자가 자신의 데이터를 CSV·JSON 등 구조화된 형태로 내보낼 수 있도록 지원합니다.

2. 종료일로부터 30일 후 회사는 모든 개인정보를 파기합니다. 다만, 법령상 보존 의무가 있는 정보(결제 이력 5년, 전자금융거래 기록 5년 등)는 해당 법정 기간 종료 후 파기합니다.

3. 잔여 구독료 환불

서비스 종료 시 잔여 유료 구독 기간에 대하여는 일할 계산하여 환불합니다(이용약관 제10조 제7항 및 환불 및 해지 정책 제7조 제3항).

제21조의2 (워크스페이스 소유권 이전 시 개인정보 처리)

1. 소유권 이전의 개인정보 처리 의의

워크스페이스 소유권의 이전은 해당 워크스페이스에 저장된 리드 개인정보의 사실상 처리자가 변경되는 효과를 가집니다. 회사는 이러한 변경을 정보주체(리드)가 인지할 수 있도록 다음 통지 절차를 운영합니다.

2. 일반 소유권 이전 시 통지 절차

1. 이용자 간 합의에 의한 소유권 이전(법인 분할·합병의 경우는 제외)이 신청된 경우, 회사는 이전 처리 전 다음 사항을 확인합니다.

   1. 기존 소유자의 명시적 이전 동의

   2. 신규 소유자의 인수 동의

   3. 신규 소유자의 본 처리방침 준수 동의

2. 리드 통지(회사 자동 발송): 소유권 이전 처리가 완료되면, 회사는 해당 워크스페이스의 최근 12개월 내 활성 리드(이메일 주소가 보존된 리드)에 대하여 다음 사항을 자동으로 통지합니다.

   1. 워크스페이스 소유자(개인정보처리자) 변경 사실

   2. 신규 소유자의 식별 정보(상호 또는 이름)

   3. 변경에 이의가 있는 경우의 권리 행사 방법(처리정지 요구, 삭제 요구 등)

   4. 통지 수신일로부터 30일간 권리 행사 가능

3. 본 항 제2호의 통지가 어려운 경우(리드 이메일 주소 누락, 발송 실패 등)에는 회사가 이용자(신규 소유자)에게 통지 의무를 부과하며, 이용자는 합리적 방법으로 리드에게 통지하여야 합니다.

3. 법인 포괄승계의 경우

법인의 분할·합병·영업양도 등 「민법」 또는 「상법」상 포괄승계가 발생하는 경우, 「개인정보 보호법」 제27조에 따라 회사는 다음을 이행합니다.

1. 포괄승계 30일 전 회사에 서면 통지 및 회사의 승인

2. 「개인정보 보호법」 제27조 제1항·제2항에 따른 정보주체 통지(영업양도 등의 사실, 영업양수자의 성명·연락처, 정보주체의 권리행사 방법)

3. 통지 방법: 이메일·서비스 내 공지·홈페이지 게시 중 적합한 방법(개인정보 보호법 시행령 제29조)

4. 결제 정보의 이전

소유권 이전 시점 이후에 발생하는 결제 책임은 신규 소유자에게 승계되며, 신규 소유자는 자신의 결제 수단을 새로 등록하여야 합니다. 이전 시점 이전에 발생한 결제 이력, 미정산 키위 초과 사용분, 기존 크레딧은 기존 소유자의 결제 수단으로 정산되며, 본 처리방침 제4조의 보유 기간 동안 보존됩니다.

제22조 (개인정보 보호책임자 및 담당 부서)

회사는 개인정보 처리에 관한 업무를 총괄해서 책임지고, 개인정보 처리와 관련한 정보주체의 불만처리 및 피해구제 등을 위하여 아래와 같이 개인정보 보호책임자를 지정하고 있습니다.

1. 개인정보 보호책임자

2. 개인정보 보호 담당 부서

3. 처리 원칙

정보주체는 회사의 서비스를 이용하시면서 발생한 모든 개인정보 보호 관련 문의, 열람 청구, 불만처리, 피해구제 등에 관한 사항을 개인정보 보호책임자 또는 담당 부서에 문의하실 수 있습니다. 회사는 정보주체의 문의에 대해 지체 없이 답변 및 처리해 드립니다.

4. 사업주·대표자의 책임 명시(2026.9.11 시행 개정 개인정보 보호법 제30조의3 반영)

회사의 사업주이자 대표자인 이준영은 개인정보 보호 관련 업무 전반에 대한 최종 책임을 부담하며, 개인정보 보호책임자가 그 직무를 독립적으로 수행할 수 있도록 보장합니다.

제23조 (개인정보 침해에 대한 구제 방법)

정보주체는 개인정보 침해로 인한 구제를 받기 위하여 개인정보분쟁조정위원회, 한국인터넷진흥원 개인정보침해신고센터 등에 분쟁해결이나 상담 등을 신청할 수 있습니다.

「개인정보 보호법」 제35조(개인정보의 열람), 제36조(개인정보의 정정·삭제), 제37조(개인정보의 처리정지 등)의 규정에 의한 요구에 대하여 공공기관의 장이 행한 처분 또는 부작위로 인하여 권리 또는 이익의 침해를 받은 자는 행정심판법이 정하는 바에 따라 행정심판을 청구할 수 있습니다.

• 중앙행정심판위원회: (국번없이) 110 (www.simpan.go.kr)

제24조 (개인정보 처리방침의 변경)

1. 변경 고지

1. 본 개인정보 처리방침은 시행일로부터 적용되며, 법령 및 방침에 따른 변경 내용의 추가, 삭제 및 수정이 있는 경우에는 변경사항의 시행 7일 전부터 서비스 화면 또는 이메일을 통하여 공지합니다.

2. 정보주체의 권리에 중대한 영향을 미치는 변경이 있을 경우에는 최소 30일 전에 공지하고, 이용자가 등록한 이메일로 개별 통지합니다.

2. 변경 내역의 공개

회사는 변경된 내용을 정보주체가 쉽게 확인할 수 있도록 변경 전·후를 비교하여 공개합니다(「표준 개인정보 보호지침」 제21조).

3. 국외 이전 사항 변경 시 재동의

국외 이전에 관한 사항이 변경되는 경우에는 「개인정보 보호법」 제28조의8 제3항에 따라 정보주체에게 알리고 재동의를 받습니다.

부칙

제1조 (시행일)

1. 본 개인정보 처리방침 v3.0은 2026년 6월 1일부터 시행합니다(유료 결제 기능 출시일과 동일).

2. 종전 개인정보 처리방침 v2.1(2026년 5월 1일 시행) 및 그 이전 버전은 본 방침 시행일에 본 방침으로 대체됩니다.

3. 본 방침 시행일 30일 전(2026년 5월 1일)부터 서비스 화면 공지 및 이용자 등록 이메일 개별 통지를 통해 사전 고지합니다.

제2조 (경과 조치)

1. 본 방침 시행 이전에 수집된 개인정보에 대하여도 본 방침이 적용됩니다.

2. 본 방침 시행 전후의 개인정보 처리에 관하여 이용자에게 유리한 규정이 우선 적용됩니다.

3. 결제 시스템 도입에 따른 새로운 처리 항목(자동결제 식별키, 결제 식별자, 가입 시점 플랜 정보, 크레딧 정보 등)에 관한 사항은 본 방침 시행일 이후 결제 등록을 진행하는 이용자에 대해서만 적용됩니다.