BOM · Policy
개인정보처리방침Privacy Policy
- 시행일:
- 2026.10.14
- 최종 수정일:
- 2026.10.31
- 버전:
- 2026.10.31
운영 데이터베이스의 개인정보 보관 국가를 일본(도쿄, AWS ap-northeast-1)으로 밝혔습니다. 국외이전 고지를 개인정보 보호법 제28조의8의 항목에 맞추었습니다. 서버리스 함수 실행 지역은 대한민국 서울이고, Vercel Inc.의 사업장 국가는 미국이며, CDN 엣지는 전 세계입니다.
1. 총칙
봄(BOM)(이하 "회사")는 이용자의 개인정보를 소중히 다루며, 「개인정보 보호법」 및 관련 법령에 따라 개인정보 처리방침을 수립·공개합니다. 본 방침은 웹사이트, 계정, Checkout, SaaS, 문의·PoC, AI 보조 기능 등 회사가 실제로 운영하는 처리에 적용됩니다.
본 문서는 개인정보처리방침이며, 개별 화면의 「개인정보 수집·이용 동의서」와는 구분됩니다. 계약 체결·이행에 필요한 정보는 동의 없이도 처리할 수 있는 법적 근거가 적용될 수 있으며, 이 경우 본 방침에 공개합니다.
2. 처리 목적·항목·법적 근거·보유기간
회사는 목적에 필요한 최소한의 개인정보만 처리합니다. 흐름별 요약은 다음과 같습니다.
| 처리 업무 | 항목 | 필수/선택 | 목적 | 법적 근거 | 보유기간 |
|---|---|---|---|---|---|
| 회원가입 | 이름, 이메일, 비밀번호 | 필수 | 계정 생성·인증 | 계약 체결·이행(법 제15조제1항제4호) | 회원 기간+탈퇴 후 삭제 절차 |
| 계정·조직 관리 | 표시명, 조직명, 역할, 초대 이메일 | 필수/해당 시 | 권한·협업 | 제15조제1항제4호 | 조직·회원 유지 기간 |
| 문의·진단·PoC | 이름, 이메일, 연락처, 회사명, 문의내용 | 필수·선택 혼합 | 상담·일정 조율 | 제15조제1항제4호 또는 동의(해당 시) | 목적 달성 후 또는 최대 1년(안내된 경우) |
| 비회원·회원 구매 | 이름/담당자, 이메일, 휴대폰, 회사·사업자번호(해당 시) | 결제 필수 항목 | 주문·계약·영수증 | 제15조제1항제4호 | 거래기록 법정 보존 후 파기 |
| 결제·환불 | 주문·결제 식별자, 금액, PG 거래키 | 필수 | 결제·환급 | 제15조제1항제4호·제2호 | 결제·공급 기록 5년 |
| 세금계산서 | 사업자등록번호, 담당자 연락처 | 요청 시 | 세금계산서 발행 | 법령상 의무·계약 | 세법상 보존기간 |
| ESG 업로드·Evidence | 업로드 파일·업무 데이터(개인정보 포함 가능) | 서비스 이용 시 | 산정·증빙 | 제15조제1항제4호 | 구독 종료 후 최대 90일 읽기 전용 후 삭제 절차 |
| AI Copilot·매핑 | 질문/프롬프트, 마스킹된 샘플, 지표 요약 | 기능 이용 시 | AI 보조 | 제15조제1항제4호(필요 시 별도 고지) | 운영 기본 90일 |
| 보안·관리 로그 | 접속·관리자 활동 기록 | 자동 | 보안·감사 | 제15조제1항제6호(최소화) | 운영 정책상 기간 |
3. 수집 방법
- 회원가입·로그인·Checkout·온보딩·문의 양식 등 이용자 직접 입력
- 서비스 이용 과정에서 생성되는 로그·기기·세션 정보
- 결제대행사로부터 전달받는 결제 결과·식별자
- 조직 관리자의 구성원 초대
4. 제3자 제공
회사는 이용자의 개인정보를 제3자에게 "제공"(제공받는 자의 이익을 위한 이전)하지 않는 것을 원칙으로 합니다. 법령에 따른 요청이 있거나, 이용자가 별도 동의한 경우에만 제공합니다. 결제대행사에 대한 결제 처리는 아래 위탁·결제 이행으로 구분하여 안내합니다.
5. 처리위탁
회사는 「개인정보 보호법」 제26조에 따라 업무를 위탁할 수 있습니다. 실제로 개인정보가 전달될 수 있는 수탁·연동만 기재하며, 미사용 패키지만으로 수탁자를 확정 기재하지 않습니다.
| 수탁·연동 | 업무 | 처리 정보 | 국가 | 상태 |
|---|---|---|---|---|
| Supabase | 인증·데이터베이스·(선택) 파일 스토리지 | 계정(이메일·이름), 세션, 조직·ESG 업무 데이터, 증빙 파일(설정 시) | 일본 (도쿄, AWS ap-northeast-1) | 사용 |
| 토스페이먼츠(Toss Payments) | 결제·정기결제 카드 등록·결제 승인 | 구매자 이름·이메일·휴대폰, 주문·결제 식별자 | 대한민국 | 사용 |
| OpenAI 호환 API | AI 매핑 보조·Copilot 응답 생성 | 이용자 질문/프롬프트, 마스킹된 ESG 컬럼 샘플, 조직 지표 요약(설정·기능에 따름) | 미국 (기본 주소 api.openai.com) | 사용 |
| Vercel Inc. | 웹 애플리케이션 호스팅 | 접속 로그·요청 메타데이터(환경에 따름), 공개 마케팅 페이지 경로(Vercel Web Analytics, 쿼리스트링·식별자 제외) | 대한민국 서울 (함수 실행). 사업장 미국. CDN 전 세계 | 사용 |
| Resend (Plus Five Five, Inc.) | 환영·보안 알림 이메일 발송 | 수신 이메일, 표시 이름, 메일 제목·본문, 가입 확인·비밀번호 재설정 메일, 보안 알림의 시각·기기·대략 지역(해당 시), 내부 신청 알림 본문의 신청자 이름·연락처 | 미국 | 사용 |
Stripe는 현재 결제 수단으로 사용하지 않으며 수탁자로 기재하지 않습니다. 웹 애플리케이션의 서버리스 함수는 대한민국 서울에서 실행됩니다. 호스팅 사업자는 Vercel Inc.(사업장 국가 미국)이고, CDN 엣지는 전 세계입니다.
6. 국외이전
회사는 개인정보를 국외로 이전(제공·조회·처리위탁·보관)하는 경우 「개인정보 보호법」 제28조의8에 따라 아래 사항을 고지합니다. 이 저장소에서 확인되는 이전과, 운영자가 대시보드에서 확인한 보관·발송 사실만 적습니다.
토스페이먼츠는 대한민국에서 결제를 처리합니다. 결제는 제5조의 처리위탁으로 안내하며, 이 조의 국외 이전 목록에는 없습니다.
인증·데이터베이스 (Supabase)
| 이전받는 자 | Supabase Pte. Ltd.(인증·데이터베이스·스토리지). 개인정보 문의: privacy@supabase.com |
|---|---|
| 이전 국가 | 일본. 운영(Production) 프로젝트의 리전은 AWS ap-northeast-1(도쿄)이며, 계정·업무 데이터·스토리지 파일은 이 리전에 보관됩니다. 수탁자 본점의 소재 국가는 싱가포르입니다. |
| 이전 일시 및 방법 | 회원가입, 로그인, 서비스 이용 중 저장·조회가 일어나는 시점에 네트워크(HTTPS)를 통해 전송하고 일본 리전에 보관합니다. 가입 확인·비밀번호 재설정 메일은 맞춤 SMTP 호스트 smtp.resend.com, 즉 Plus Five Five, Inc.(Resend)를 통해 미국으로 보내며, Resend는 그 메일을 30일 보관합니다. |
| 이전 항목 | 계정(이메일·이름), 인증 세션, 조직·ESG 업무 데이터, 스토리지를 쓰는 경우 증빙 파일 |
| 이전 목적 | 회원 인증, 서비스 데이터 보관, 서비스 제공 |
| 보유·이용 기간 | 제2조와 제16조를 따릅니다. 계정은 회원 유지 기간과 탈퇴 요청 후 30일의 삭제 절차 동안, ESG 등 업무 데이터는 구독 종료 후 최대 90일의 읽기 전용 기간 동안 일본 리전에 남을 수 있습니다. 전자상거래 법정 거래기록은 제8조의 기간 동안 분리 보관될 수 있습니다. 현재 운영 프로젝트의 백업은 시점 복구(PITR)이며, 일본 리전에 최대 7일 보관됩니다. 이 백업이 일일 백업을 대신합니다. |
| 거부 방법 및 거부 시 효과 | 일본으로의 보관·처리를 거부하면 계정 생성, 로그인, 업무 데이터 저장을 제공할 수 없습니다. 이미 가입한 이용자는 /app/settings/privacy 또는 support@bomesg.com로 삭제·탈퇴를 요청할 수 있으며, 삭제가 끝나면 그 계정으로 서비스를 이용할 수 없습니다. |
운영 프로젝트 주소는 https://vtlbafynmwylelsmkebv.supabase.co 입니다. 이 주소에는 리전 이름이 없습니다. 보관 국가(일본, AWS ap-northeast-1, 도쿄)는 운영자가 Supabase 대시보드에서 확인한 사실입니다.
웹 호스팅 (Vercel Inc.)
| 이전받는 자 | Vercel Inc. 개인정보 문의: privacy@vercel.com |
|---|---|
| 이전 국가 | 서버리스 함수는 대한민국 서울(icn1)에서 실행됩니다. 사업장 국가는 미국입니다. 접속 로그·관제 데이터의 주 처리 시설은 미국이며, 함수가 실행되는 서울과는 별개입니다. CDN 엣지는 전 세계이므로, 웹사이트 접속 시 요청이 대한민국 밖의 엣지를 거칠 수 있습니다. |
| 이전 일시 및 방법 | 웹사이트에 접속하거나 서비스를 이용하는 시점에 네트워크(HTTPS)를 통해 전송합니다. |
| 이전 항목 | 접속 요청 메타데이터(환경에 따름). 운영 환경에서 Vercel Web Analytics가 켜져 있어, 공개 마케팅 페이지의 페이지 경로가 전송됩니다. 쿼리스트링과 식별자는 보내지 않습니다. |
| 이전 목적 | 웹 애플리케이션 호스팅, 공개 페이지 이용 현황 파악 |
| 보유·이용 기간 | 접속 로그·관제 데이터는 미국의 주 처리 시설에서 최대 30일 보관합니다. 이 보관은 함수가 실행되는 서울과 별개입니다. |
| 거부 방법 및 거부 시 효과 | 이 이전을 거부하면 웹 서비스를 제공할 수 없습니다. 거부 의사는 support@bomesg.com로 알릴 수 있습니다. 다른 호스팅으로 옮기기 전에는 서비스 이용이 제한됩니다. |
외부 AI (OpenAI 호환 API)
| 이전받는 자 | OpenAI OpCo, LLC. 기본 주소는 https://api.openai.com/v1 입니다. 개인정보 문의: privacy@openai.com. 기본 주소가 아닌 주소를 설정하면 그 제공자의 명칭·연락처·국가를 따릅니다. |
|---|---|
| 이전 국가 | 기본 주소(https://api.openai.com/v1)는 미국입니다. 다른 주소를 설정하면 그 제공자의 국가를 따릅니다. |
| 이전 일시 및 방법 | 현재 운영 환경에는 외부 AI API 키가 없어 외부로 전송하지 않습니다. 외부 AI 기능을 켜고 API 키가 설정된 뒤, 그 기능(매핑 보조, Copilot, 보고서 번역 등)을 이용하는 시점에 네트워크를 통해 전송합니다. |
| 이전 항목 | 이용자 질문·프롬프트, 마스킹된 ESG 컬럼 샘플, 조직 지표 요약, 번역 기능을 쓸 때의 보고서 원문 |
| 이전 목적 | 서비스 제공을 위한 AI 추론(응답 생성, 매핑 보조, 번역). 회사 자체 모델 학습 목적의 이용은 제15조의 별도 선택 동의에 따릅니다. |
| 보유·이용 기간 | 회사가 보관하는 AI 이력의 운영 기본 기간은 90일입니다. 외부 제공자는 오남용 모니터링을 위해 최대 30일 보관할 수 있으며, 그 보관분을 제공자 모델 학습에 사용하지 않습니다. |
| 거부 방법 및 거부 시 효과 | API 키가 없으면 외부로 전송하지 않고 로컬 경로를 사용합니다. 매핑 보조와 보고서 서술 생성은 이용자가 외부 AI 처리에 동의한 경우에만 전송합니다. 조직 설정의 외부 모델 처리 허용은 그 설정을 읽는 지식 검색 임베딩 경로에 적용되며, 기본값은 비활성입니다. 보고서 번역은 그 조직 설정과 외부 AI 처리 동의를 확인하지 않습니다. API 키가 있는 상태에서 번역을 실행하면 보고서 원문이 외부로 전송될 수 있으므로, 그 이전을 거부하려면 번역 기능을 사용하지 않으면 됩니다. 외부 AI를 쓰지 않아도 로컬 경로의 핵심 서비스 이용에 불이익을 두지 않습니다. |
이메일 발송 (Resend)
| 이전받는 자 | Plus Five Five, Inc.(서비스명 Resend). 개인정보 문의: privacy@resend.com |
|---|---|
| 이전 국가 | 미국. 코드는 https://api.resend.com/emails 로 전송합니다. Resend가 공개한 안내는 메시지 내용·발송 로그 등 고객 데이터를 미국에 보관한다고 밝힙니다. |
| 이전 일시 및 방법 | 운영 환경에서 환영 메일, 가입 확인·비밀번호 재설정 메일, 보안 알림, 내부 신청 알림, 관리자 비밀번호 안내를 보내는 시점에 네트워크를 통해 전송합니다. 가입 확인·비밀번호 재설정 메일은 Supabase Auth가 smtp.resend.com으로 보냅니다. |
| 이전 항목 | 수신 이메일 주소, 환영 메일의 표시 이름, 메일 제목과 본문, 보안 알림에 포함되는 시각·기기·대략 지역(해당할 때). 가입 확인·비밀번호 재설정 메일의 수신 주소와 본문. 문의·진단·PoC 신청 알림은 회사 내부 수신자에게 보내며, 본문에 신청자의 이름·이메일·연락처·회사·사업장·상담 내용(해당 시)이 포함될 수 있습니다. 관리자 비밀번호 재설정·변경 안내도 관리자 이메일로 보냅니다. |
| 이전 목적 | 가입 환영 메일, 가입 확인·비밀번호 재설정 메일, 계정 보안 알림, 내부 신청 알림, 관리자 계정 안내 발송 |
| 보유·이용 기간 | 제공자는 메일과 발송 기록을 미국에 30일 보관합니다. |
| 거부 방법 및 거부 시 효과 | 이 발송을 거부하면 환영 메일, 가입 확인·비밀번호 재설정 메일, 보안 알림을 받을 수 없습니다. 가입 확인 메일을 받지 못하면 계정 인증이 제한되고, 비밀번호 재설정 메일을 받지 못하면 그 절차를 진행할 수 없습니다. 요청은 /app/settings/privacy 또는 support@bomesg.com로 합니다. |
7. 파기 절차 및 방법
보유기간이 종료되거나 처리 목적이 달성된 개인정보는 지체 없이 파기합니다. 전자적 파일은 복구 불가능한 방법으로 삭제하고, 출력물은 분쇄·소각합니다. 백업본은 백업 주기에 따라 순차 파기합니다.
8. 법령상 별도 보존되는 거래기록
전자상거래법 및 시행령에 따라 다음 기록은 회원탈퇴·삭제 요청에도 불구하고 법정 기간 동안 분리 보관할 수 있습니다.
- 표시·광고에 관한 기록: 6개월
- 계약 또는 청약철회 등에 관한 기록: 5년
- 대금결제 및 재화등의 공급에 관한 기록: 5년
- 소비자의 불만 또는 분쟁처리에 관한 기록: 3년
법정 보존 정보는 운영 DB와 구분하고, 목적 외 이용을 금지하며, 기간 종료 후 파기합니다. 구독 해지만으로 무기한 보존하지 않습니다.
9. 정보주체의 권리
이용자는 개인정보의 열람·정정·삭제·처리정지·동의 철회 등을 요청할 수 있습니다. 회원은 개인정보·계정 설정또는 아래 이메일로 요청할 수 있습니다. 회사는 관련 법령에 따라 지체 없이 조치합니다. 전송요구권·자동화된 결정에 관한 권리가 적용되는 경우에는 해당 절차를 추가 안내합니다(현재 BOM의 자동 산정·AI 결과는 법적 효과 발생형 단독 자동결정으로 운영하지 않는 것을 원칙으로 합니다).
10. 만 14세 미만
회사는 만 14세 미만 아동의 개인정보를 수집하지 않으며, 해당 연령의 회원가입을 허용하지 않습니다.
11. 개인정보 보호 책임·고충처리
개인정보 보호책임자 및 고충처리 연락처는 다음과 같습니다.
- 개인정보 보호책임자: 이승헌 (대표)
- 연락처: 010-4616-3714
- 이메일: support@bomesg.com
12. 침해 구제기관
- 개인정보침해 신고센터 (한국인터넷진흥원): privacy.kisa.or.kr / 국번없이 118
- 개인정보 분쟁조정위원회: www.kopico.go.kr / 1833-6972
- 대검찰청 사이버수사과: www.spo.go.kr
- 경찰청 사이버수사국: ecrm.police.go.kr
13. 안전성 확보조치
회사는 개인정보의 안전한 처리를 위해 접근통제, 전송구간 보호(HTTPS), 권한 최소화, 관리자 세션 보호, 결제정보 PG 처리 분리 등 합리적 조치를 시행합니다. "100% 안전" 등 절대적 표현은 사용하지 않습니다.
15. 생성형 AI 처리
AI 매핑·Copilot 기능이 활성화되고 외부 API 키가 설정된 경우에 한해, 이용자 질문·마스킹된 데이터 샘플 등이 외부 AI 제공자에게 전송될 수 있습니다. 키가 없으면 로컬(결정론적) 경로를 사용합니다. 이는 서비스 제공을 위한 AI 추론(inference) 목적의 처리이며, 외부 AI 처리에 대한 선택 동의와 연계될 수 있습니다.
BOM AI 모델 개선(학습) 목적의 데이터 이용은 이와 별개의 선택 동의(AI 모델 개선)가 있는 경우에만 검토됩니다. 기본값은 미동의이며, 동의하지 않아도 핵심 서비스 이용에 불이익을 두지 않습니다. 학습 후보 데이터는 허용 목록·비식별·최소화· 비밀정보 제거 절차를 거친 뒤 내부 학습 데이터셋에 포함될 수 있습니다. 동의를 철회하면 이후 생성분과 아직 학습에 투입되지 않은 후보는 제외 대상이 됩니다. 이미 학습이 완료된 모델 가중치에서 특정 이용자 영향을 즉시·완전 제거한다고 보장하지 않으며, 이후 재학습 시 제외하는 방식으로 관리합니다.
외부 AI 제공자가 고객 데이터를 제공자 자체 모델 학습에 사용하는 것은 별도 계약·DPA·기능 플래그 없이 활성화하지 않습니다. 외부 모델 학습 이용 여부·보관 기간은 제공자 계약에 따르며, 확인되지 않은 사실을 단정하지 않습니다. 조직 설정상 외부 모델 처리 허용이 기본 비활성일 수 있습니다.
16. 데이터별 보유 요약
| 데이터 | Active | 종료 후 | 법정보존 |
|---|---|---|---|
| 계정(이메일·이름·인증 식별자) | 회원 유지 기간 | 탈퇴 요청 후 30일 내 삭제 절차(법정 보존 제외) | — |
| 프로필·표시명 | 회원 유지 기간 | 계정 삭제와 동일 | — |
| 조직·워크스페이스 메타데이터 | 조직 활성 기간 | 구독 종료 후 읽기 전용 최대 90일, 이후 삭제·익명화 절차 | — |
| ESG 입력·배출·매핑 데이터 | 조직 활성 기간 | 구독 종료 후 90일(읽기 전용 가능) | — |
| 보고서·초안·버전 | 조직 활성 기간 | 구독 종료 후 90일 | — |
| Evidence Room 증빙 파일 | 조직 활성 기간 | 구독 종료 후 90일 | — |
| AI 프롬프트·대화·매핑 보조 로그 | 생성 후 90일(운영 기본값) | 기간 종료 후 삭제 또는 익명화 | — |
| 청구 프로필(담당자·사업자번호 등) | 유료 이용·청구 관계 유지 기간 | 거래 종료 후 법정 보존 분리 보관 | 대금결제·공급 기록 5년 |
| 주문·계약 내용 | 거래 진행 기간 | 법정 보존 기간 후 파기 | 계약·청약철회 기록 5년 |
| 결제·승인·영수증 메타 | 결제 처리 기간 | 법정 보존 기간 후 파기 | 대금결제·공급 기록 5년 |
| 환불·청약철회 처리 기록 | 처리 완료까지 | 법정 보존 기간 후 파기 | 계약·청약철회 5년 |
| 고객지원·문의 티켓 | 문의 처리 기간 | 종료 후 3년 | 소비자 불만·분쟁 3년(해당 시) |
| 보안·감사 로그 | 최대 12개월(운영 기본) | 기간 종료 후 파기 또는 익명 통계화 | — |
| 관리자 활동 로그 | 최대 24개월(운영 기본) | 기간 종료 후 파기 | — |
| 마케팅 수신 동의 기록 | 동의 유효 기간 | 철회 후 증적 5년 보관 가능 | — |
| 약관·고지 확인 증적(버전·시각·주체) | 관련 거래·회원 관계 기간 | 5년 | 관련 계약 기록과 함께 최대 5년 |
17. 방침 변경
본 방침을 변경하는 경우 버전·시행일·변경 요지를 게시하며, 이전 버전 확인 방법을 안내합니다. 중요 변경은 합리적인 방법으로 고지합니다.
18. 시행일
본 방침은 게시한 시행일부터 적용됩니다.