개인정보처리방침

고운정보(이하 "회사")는 academy-cms 서비스(이하 "서비스")를 운영하며, 「개인정보보호법」 등 관련 법령에 따라 이용자의 개인정보를 보호하고 관련 고충을 신속하게 처리할 수 있도록 다음과 같이 개인정보처리방침을 수립·공개합니다. 서비스는 학원을 대상으로 제공되는 B2B 구조로, 학원이 입력하는 학생·학부모 개인정보와 학원 관리자 본인의 계정·결제 정보는 처리 근거와 책임 소재가 다릅니다 — 이 방침은 그 구분에 따라 작성되었습니다.

1. 개인정보의 처리 목적 및 역할

1.1 회사가 직접 처리하는 개인정보 — 학원 관리자와의 계약 이행을 위해 회사가 스스로의 목적으로 처리합니다.

1.2 학원이 입력하는 학생·학부모 개인정보

학원 관리자가 서비스에 입력하는 학생·학부모의 개인정보(이름, 학생 연락처, 학부모 연락처, 메모·상담 기록, 수강(반) 이력, 모의고사 성적, 문자 발송 관련 정보(수신자 연락처, 발송 내용, 발송 결과) 등)는 학원의 개인정보 처리업무를 수행하기 위해 회사가 위탁받아 처리합니다. 이 정보에 대해서는 학원이 개인정보처리자로서 수집·이용에 관한 책임을 지며, 회사는 학원과의 계약 및 서비스 제공에 필요한 범위에서만 처리합니다 (자세한 역할 구분은 8항 참고). 회사는 이 정보를 서비스 제공 목적 외로 이용하지 않습니다.

2. 개인정보의 처리 목적

• 학원 관리자 계정의 생성·인증 및 관리
• 반·학생 관리, 수강 이력 관리
• 모의고사 성적 입력 및 통계 제공
• 학부모 대상 문자(SMS/LMS/MMS) 및 주간 리포트 발송
• 학원 운영 통계(학생수, 문자 발송 현황 등) 제공
• 정액 이용료 및 문자 발송 수수료의 결제·청구·환불 처리, 결제수단(빌링키) 등록·관리
• 서비스 장애·오류·보안사고 대응, 부정 이용 방지
• 서비스 문의 응대 및 기술지원

3. 개인정보의 처리 및 보유기간

학원 관리자 개인정보 — 서비스 이용계약이 종료되거나 관리자가 삭제를 요청하는 경우, 법령상 보존 사유가 없는 한 지체 없이 삭제합니다.

학생·학부모 개인정보 — 해당 학원의 서비스 이용계약이 종료되거나 학원이 삭제를 요청하는 경우, 법령·계약상 보존 사유가 없는 한 지체 없이 삭제합니다.

법령에 따른 보존 — 결제 관련 정보는 「전자상거래 등에서의 소비자보호에 관한 법률」에 따라 다음 기간 동안 보관한 뒤 파기합니다.

4. 개인정보의 파기절차 및 방법

• 파기절차 — 보유기간이 경과하거나 처리목적이 달성된 개인정보는 지체 없이 파기합니다.
• 파기방법 — 전자적 파일 형태로 저장된 개인정보는 기록을 복구할 수 없는 방법으로 영구 삭제합니다.

5. 개인정보의 제3자 제공

회사는 원칙적으로 정보주체의 개인정보를 제3자에게 제공하지 않습니다. 다만 정보주체가 사전에 동의한 경우, 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위해 필요한 경우, 수사기관 등 관계 기관의 적법한 요청이 있는 경우는 예외로 할 수 있습니다. 서비스 제공을 위해 이용하는 외부 업체는 아래 "개인정보 처리위탁"에 따라 관리합니다.

6. 개인정보 처리위탁

서비스 서버(데이터베이스 포함)는 외부 호스팅 업체를 이용하지 않고 회사가 직접 관리하는 장비에서 운영합니다.

회사는 관계 법령에 따라 수탁자를 관리·감독하며, 위탁업무의 목적과 범위를 벗어나 개인정보가 처리되지 않도록 필요한 조치를 취합니다. 수탁자 또는 위탁업무가 변경되는 경우 이 방침을 통해 안내합니다.

7. 개인정보의 국외 이전

회사는 서비스 이용계약의 이행에 필요한 백업 보관을 위해 아래와 같이 개인정보를 국외로 이전하며, 「개인정보보호법」 제28조의8 제1항 제3호에 따라 그 사항을 이 방침에 공개합니다.

8. 학원과 회사의 개인정보 처리 관계

academy-cms는 학원을 대상으로 제공되는 B2B SaaS 서비스입니다. 학생·학부모 개인정보를 학원이 서비스에 입력하는 경우 학원이 개인정보처리자, 회사(고운정보)는 학원의 개인정보 처리업무를 수행하기 위한 수탁자이며, academy-cms는 그 업무 수행을 위한 서비스입니다. 회사는 학원과 체결한 계약에서 정한 업무 범위 내에서만 개인정보를 처리하며, 학원의 요청 및 관련 법령에 따라 개인정보의 열람·정정·삭제 등에 협조합니다. 회사는 학원과 별도로 개인정보 처리위탁 계약(또는 이에 준하는 서비스 이용계약상 조항)을 체결하여 위탁업무의 목적·범위·안전성 확보조치 등을 정할 수 있습니다.

9. 정보주체의 권리 및 행사방법

학원 관리자 — 서비스 내에서 본인의 계정 정보를 조회·수정·삭제할 수 있고, 본인의 결제수단(빌링키) 및 결제 이력은 결제 화면에서 직접 조회·삭제(결제수단 해지)할 수 있습니다. 3항의 법정 보관기간이 지난 결제 기록은 파기를 요청할 수 있습니다.

학생·학부모 — 학생·학부모의 개인정보는 해당 학원이 개인정보처리자로서 관리하므로, 자신의 개인정보에 대한 열람·정정·삭제·처리정지 등은 원칙적으로 해당 정보를 등록한 학원에 요청합니다. 회사는 학원의 수탁자로서 학원의 적법한 요청에 따라 필요한 조치를 지원합니다.

10. 개인정보의 안전성 확보조치

관리적 조치

• 개인정보 취급자에 대한 접근권한 관리 및 최소권한 원칙 적용
• 학원 내 관리자 권한 세분화(학원장/강사) — 강사 계정은 담당 반으로 접근 범위가 제한됩니다.

기술적 조치

• 비밀번호 암호화 저장(bcrypt 해시)
• 결제수단 정보 비저장 — 카드 전체번호를 회사 서버에 저장하지 않고, 결제대행사가 발급한 토큰(빌링키)만 보관합니다.
• 학원(테넌트) 단위 데이터 접근 분리 — 다른 학원의 관리자는 서로의 데이터를 조회할 수 없습니다.
• 통신 구간 암호화(HTTPS/TLS 적용)
• 주요 데이터 변경 이력(활동 로그) 기록
• 백업 파일 보호 — 서버의 백업 파일은 관리자만 읽을 수 있도록 접근을 제한하고, 외부(Google 드라이브)에 보관하는 백업은 전송 전에 암호화합니다.

물리적 조치

• 개인정보가 저장되는 서버는 회사가 직접 관리하는 장비로, 장비에 대한 물리적 접근을 통제하고 외부에는 웹 서비스에 필요한 포트만 공개합니다.

11. 개인정보 자동 수집 정보

서비스는 로그인 세션을 쿠키가 아닌 브라우저 세션 저장소(sessionStorage) 기반 토큰으로 관리하므로 별도의 쿠키를 발급하지 않습니다. 다만 서버·리버스프록시 운영 과정에서 접속 IP, 요청 시각, 요청 경로 등이 보안·장애 대응 목적의 접속기록으로 기록될 수 있습니다.

12. 만 14세 미만 아동의 개인정보

academy-cms는 학원을 대상으로 제공되는 B2B 서비스이며, 학생 개인정보(만 14세 미만 학생 포함)는 원칙적으로 해당 학원이 개인정보처리자로서 관리합니다. 학생 개인정보의 수집·이용 및 법정대리인 동의 등 관련 절차는 학원이 관계 법령에 따라 적법하게 수행하여야 하며, 회사는 학원의 개인정보 처리업무를 위탁받은 범위에서만 해당 정보를 처리합니다. 회사는 학생의 개인정보를 서비스 제공 목적을 벗어나 별도로 이용하거나 자체 마케팅 목적으로 활용하지 않습니다.

13. 개인정보 보호책임자

정보주체는 서비스 이용 중 발생한 개인정보 관련 문의, 열람·정정·삭제 요청, 불만 처리 등을 위 연락처로 요청할 수 있으며, 회사는 신속하고 성실하게 답변·처리하겠습니다.

14. 개인정보 침해에 대한 신고 및 상담

개인정보 침해에 대한 신고 또는 상담이 필요한 경우 다음 기관에 문의할 수 있습니다.

• 개인정보침해신고센터 — 국번없이 118
• 개인정보분쟁조정위원회 — 1833-6972

15. 개인정보처리방침의 변경

회사는 법령, 서비스 변경 또는 개인정보 처리 방식의 변경에 따라 이 방침을 수정할 수 있으며, 변경되는 경우 변경 내용과 시행일자를 서비스 화면 또는 홈페이지를 통해 안내합니다.