개인정보처리방침

1. 개인정보처리자와 연락처

• 개인정보처리자(Data Controller): Sawadee TAX 운영자
• 주소: 요청하시면 지체 없이 알려 드립니다
• 대표자: 요청하시면 지체 없이 알려 드립니다
• 개인정보 보호책임자(DPO): Sawadee TAX 개인정보 보호책임자
• 연락처: 문의 메일 주소는 출시 전에 이곳에 공개합니다

2. 처리하는 개인정보와 목적

• 계정: 이메일, 이름, 비밀번호(암호화되어 제공자도 볼 수 없음), 화면 언어, 간편 로그인 기기 정보 → 가입, 로그인, 본인 확인, 알림
• 회사: 상호, 세금번호, 주소, 지점, 업종, 부가가치세 등록 여부, 회사 로고, 쓰는 기능 → 장부와 서류 작성, 요금제 관리
• 장부와 서류: 영수증·세금계산서·통장 내역·공문·계약서의 사진과 파일, AI가 읽은 내용, 거래처, 금액, 메모 → 장부 정리, 세금 계산, 일정 알림
• 이용자가 입력한 직원 정보: 이름, 급여, 근무표, 서류 만료일, 연락처, 신분증·사회보험 번호 등 → 급여와 신고 숫자 계산 (제4조)
• LINE을 연결한 경우: LINE 사용자 ID, 표시 이름, LINE 앱 언어 → LINE 알림과 메시지
• 결제: 요금제, 결제 상태와 날짜, Paddle 고객·구독 번호 (카드 번호는 Paddle만 처리하며 제공자는 받지 않음) → 요금 청구, 환불, 한도 관리
• 문의: 문의 내용과 답변 → 문의 응대
• 동의 기록: 동의한 항목, 약관 버전, 시각, 접속 주소(IP), 브라우저 정보 → 동의의 증명
• 자동으로 생기는 정보: 접속·오류 기록, 기기·브라우저 종류, IP 주소, 로그인 유지 쿠키 → 보안, 부정 이용 방지, 오류 해결

3. 처리의 법적 근거

• 계약의 이행: 서비스를 제공하는 데 필요한 처리 (PDPA 제24조 제3호, PIPA 제15조 제1항 제4호)
• 법적 의무: 결제·세무 기록 보관, 당국의 적법한 요청
• 정당한 이익: 보안, 부정 이용 방지, 오류 해결, 개인을 알아볼 수 없는 통계 (이용자의 권리보다 앞서지 않는 범위에서)
• 동의: 소식·혜택(마케팅) 수신, 그리고 법이 동의를 요구하는 경우의 국외 이전 (일본 APPI 제28조 등)

제공자는 위 목적 밖으로 개인정보를 쓰지 않으며, 목적을 바꿀 때는 법에 따라 미리 알리거나 동의를 받습니다. 민감한 정보(건강, 종교 등)는 요구하지 않으니 올리지 말아 주세요.

4. 이용자가 입력한 직원·거래처 정보

회사가 서비스에 입력한 직원·거래처의 개인정보는 그 회사가 개인정보처리자(Data Controller)이고, 제공자는 회사의 지시에 따라 처리하는 수탁자(Data Processor)입니다.

회사는 그 사람들에게 처리 사실을 알리고 필요한 법적 근거를 갖출 책임이 있습니다. 제공자는 회사의 지시와 이 방침 안에서만 처리하고, 비밀을 지키며, 제6조의 수탁자에게만 맡기고, 권리 행사 요청과 유출 대응을 돕고, 회사를 닫으면 제5조에 따라 지웁니다.

직원·거래처의 열람·삭제 요청은 먼저 해당 회사에 해 주세요. 제공자에게 직접 오면 회사에 전달합니다.

5. 보관 기간과 파기

• 계정과 고객 데이터: 서비스를 이용하는 동안
• 회사를 닫은 뒤: 30일 보관 후 완전히 삭제 (그동안 되살리거나 내려받기 가능)
• 백업 사본: 정해진 백업 주기(최대 30일)에 따라 덮어써짐
• 결제 기록: 관련 법이 정한 기간 (예: 한국 전자상거래법 5년, 태국 세법 5년)
• 동의 기록: 계정이 있는 동안과 그 뒤 동의를 증명하는 데 필요한 기간(최대 5년)
• 접속·오류 기록: 최대 1년

보관 기간이 끝나거나 목적을 이루면 지체 없이 파기합니다. 전자 파일은 다시 살릴 수 없는 방법으로 지우며, 종이 문서는 받지 않습니다. 법 때문에 더 보관해야 하는 정보는 다른 정보와 나누어 그 목적으로만 보관합니다.

6. 처리 위탁(수탁자)

서비스를 운영하려고 아래 회사에 처리를 맡깁니다. 이 회사들과는 개인정보 보호, 목적 외 사용 금지, 보안, 재위탁 제한을 정한 계약(데이터 처리 계약)을 맺고 관리합니다.

• Supabase, Inc.: 데이터베이스, 로그인, 사진·파일 저장
• Vercel Inc.: 웹사이트와 앱 운영(호스팅)
• Anthropic, PBC: 영수증·서류·통장 내역·공문의 AI 판독, AI 비서·AI CFO 답변, 문장 번역
• Paddle.com Market Ltd.: 결제, 청구서, 환불 (판매자로서 자기 개인정보처리방침도 함께 적용)
• Resend, Inc.: 안내·알림 이메일 발송
• LY Corporation: LINE 메시지 발송 (LINE을 연결한 경우)
• 브라우저의 푸시 서비스(Google, Apple, Mozilla 등): 휴대폰·PC 알림 전달 (알림을 켠 경우, 내용은 암호화)

수탁자가 바뀌면 이 방침을 고쳐 알립니다.

7. 개인정보의 국외 이전

서비스는 해외 서버를 쓰므로 개인정보가 아래 나라로 옮겨집니다. 이전 시기와 방법은 모두 "서비스를 쓸 때마다, 암호화된 네트워크로 전송"이며, 보관 기간은 제5조와 같습니다(Anthropic은 판독과 답변이 끝나면 자기 정책에 따른 짧은 기간 뒤 지우며 AI 학습에 쓰지 않습니다).

• Supabase, Inc. (싱가포르; supabase.com/privacy): 제2조의 모든 항목 / 저장과 로그인
• Vercel Inc. (미국 등 가까운 지역; vercel.com/legal/privacy-policy): 제2조의 모든 항목이 거쳐 감 / 웹사이트 운영
• Anthropic, PBC (미국; anthropic.com/legal/privacy): 판독·질문할 서류와 장부 내용 / AI 판독과 답변
• Resend, Inc. (미국; resend.com/legal/privacy-policy): 이메일, 이름, 메일 내용 / 메일 발송
• Paddle.com Market Ltd. (영국; paddle.com/legal/privacy): 이메일, 회사 이름, 결제 정보 / 결제
• LY Corporation (일본; lycorp.co.jp): LINE 사용자 ID, 메시지 내용 / LINE 발송 (연결한 경우)

그 나라의 개인정보 제도: 싱가포르는 개인정보보호법(PDPA 2012), 영국은 영국 GDPR(일본 개인정보보호위원회가 같은 수준으로 인정), 일본은 개인정보보호법이 있습니다. 미국에는 연방 차원의 일반 개인정보보호법이 없고 주별 법(예: 캘리포니아 CCPA)과 분야별 법이 있으며, 정부 기관의 정보 접근 제도가 있습니다. 받는 회사들은 접근 통제, 암호화, 표준계약조항(SCC) 등 데이터 처리 계약으로 보호 조치를 지킵니다.

국외 이전을 거부할 수 있으며, 가입 화면이나 문의 메일 주소는 출시 전에 이곳에 공개합니다로 거부할 수 있습니다. 다만 서비스는 이 회사들의 서버로만 운영되므로, 거부하면 서비스를 제공할 수 없어 가입이나 이용을 할 수 없습니다(LINE은 연결하지 않으면 이전되지 않습니다).

8. 제3자 제공

제공자는 개인정보를 다른 회사에 팔거나 제공하지 않습니다. 다만 다음의 경우는 예외입니다.

• 이용자가 직접 보내거나 연결한 경우: 회계사 공유 링크, LINE으로 팀원·회계사에게 보내는 메시지, 이용자가 연결한 Loyverse 계정과의 통신
• 태국 국세청 부가가치세 사업자 조회: 거래처의 세금번호만 보내 등록 여부를 확인합니다.
• 법령에 따른 의무가 있거나 수사기관·법원 등이 적법한 절차로 요구하는 경우
• 사업의 양도·합병: 미리 이용자에게 알리고, 원하지 않으면 탈퇴할 수 있게 합니다.

9. 쿠키와 브라우저 저장소

로그인 유지, 화면 언어, 화면 설정, 작성 중인 내용 보관에 꼭 필요한 쿠키와 브라우저 저장소만 씁니다. 광고·추적 쿠키와 외부 분석 도구는 쓰지 않습니다. 브라우저에서 쿠키를 막으면 로그인이 유지되지 않을 수 있습니다.

10. 소식·혜택(마케팅) 정보

새 기능, 할인, 이벤트 소식은 "소식·혜택 받기"에 따로 동의한 사람에게만 이메일이나 LINE으로 보냅니다. 동의하지 않아도 서비스는 그대로 쓸 수 있습니다.

광고성 메시지에는 "(광고)"를 표시하고 수신 거부 방법을 함께 적으며, 받는 사람 시간으로 밤 9시부터 아침 8시 사이에는 보내지 않습니다. 동의는 설정 → 내 계정에서 언제든 끌 수 있고, 2년마다 동의 여부를 다시 알려 드립니다.

서비스 이용에 꼭 필요한 안내(결제, 보안, 약관 변경 등)는 마케팅 동의와 관계없이 보냅니다.

11. 이용자의 권리와 행사 방법

이용자는 자기 개인정보의 열람, 사본 받기, 정정, 삭제, 처리 정지, 다른 곳으로 옮기기(내려받기), 처리 반대, 동의 철회를 요청할 수 있습니다.

• 앱에서 바로: 설정 → 내 계정(이름, 비밀번호, 소식·혜택 수신), 설정 → 내 데이터(전체 내려받기, 회사 닫기)
• 그 밖의 요청: 앱의 "문의하기" 또는 문의 메일 주소는 출시 전에 이곳에 공개합니다

본인 확인 뒤 지체 없이 처리하며, 법이 정한 기한(예: 한국 10일, 태국 30일) 안에 답합니다. 법정대리인이나 위임받은 사람도 요청할 수 있습니다. 법이 보관을 요구하는 정보 등은 이유를 알리고 거절할 수 있으며, 동의를 철회해도 그 전의 처리는 유효합니다.

불만이 있으면 먼저 제공자에게 알려 주세요. 태국 개인정보보호위원회(PDPC), 일본 개인정보보호위원회(PPC), 한국 개인정보침해신고센터(118)·개인정보 분쟁조정위원회에 신고하거나 상담할 수도 있습니다.

12. 안전성 확보 조치

• 모든 통신을 암호화(HTTPS)하고, 비밀번호는 암호화해 저장합니다.
• 회사마다 데이터를 나누어, 다른 회사가 볼 수 없도록 데이터베이스가 막습니다.
• 팀원의 역할과 권한에 따라 볼 수 있는 화면과 데이터를 나누고, 중요한 변경은 기록합니다.
• 제공자 쪽에서 고객 데이터에 접근하는 사람과 경우를 최소로 하고, 운영 화면은 2단계 인증으로 보호하며 기록합니다.
• 개인정보 유출이 생기면 지체 없이, 법이 정한 기한(태국 PDPC 72시간, 한국 72시간, 일본 개인정보보호위원회에 신속히) 안에 당국과 영향을 받은 사람에게 알리고 피해를 줄이는 조치를 합니다.

13. AI와 자동화된 처리

AI는 서류를 읽고 분류와 계정을 제안하며 질문에 답합니다. 이는 이용자가 확인하고 고치는 제안일 뿐이며, 이용자에게 법적 효과나 중대한 영향을 주는 결정을 사람의 확인 없이 자동으로 내리지 않습니다. 이용자는 AI 결과에 대해 설명을 요청하거나 따르지 않을 수 있습니다.

14. 미성년자

서비스는 사업자를 위한 서비스로, 만 20세 미만은 가입할 수 없습니다. 미성년자의 정보가 들어온 것을 알게 되면 지웁니다.

15. 방침의 변경

이 방침을 바꾸면 시행 최소 7일 전에 서비스 안에 알리고, 이용자에게 불리하거나 중요한 변경은 30일 전에 알리며 이메일 등으로 따로 알립니다. 동의가 필요한 변경은 서비스 안에서 다시 동의를 받습니다.