전문
BidSealed 운영자(이하 "운영자")는 대한민국 개인정보 보호법(이하 "PIPA"), 전자상거래 등에서의 소비자보호에 관한 법률, 그리고 해당하는 경우 유럽경제지역(EEA) 거주 회원에 대한 일반 개인정보 보호 규정(GDPR)을 준수하여 회원의 개인정보를 신중하게 처리한다.
본 개인정보처리방침은 BidSealed 가 어떤 정보를 수집하고, 어떻게 이용하며, 얼마나 보관하고, 회원이 자신의 정보에 대하여 어떤 권리를 가지는지를 설명한다.
본 방침은 이용약관과 함께 읽어야 한다. 약관의 정본은 05_terms_of_service.ko.md 이며, 05_terms_of_service.en.md 는 참고역이다(INP-864).
1 — BidSealed 가 수집하는 정보
1.1 가입 시 수집하는 정보
| 항목 | 목적 | 필수 여부 |
|---|---|---|
| 법인 이메일 주소 | 인증, 연락, 도메인 검증 | 예 |
| 회사명 | 1:1 공개 이후 표시 | 예 |
| 표시명 (대표자 성명 또는 사용자명) | 서비스 내 이용자 식별 | 예 |
| 역할 (발주자 / 공급자 / 양쪽) | UI 조정, 알림 라우팅 | 예 |
| 국가 코드 | 이메일 도메인에서 자동 감지, 이용자가 확인·조정 | 예 |
| 선호 언어 | UI 로케일, 알림 언어 | 자동 설정, 이용자 조정 가능 |
1.1a 선택적 사업자 인증을 위해 수집하는 정보
사업자 인증은 선택 사항이다. 인증을 선택한 회원은 사업자등록증(또는 해당 국가의 이에 상응하는 서류)을 업로드한다.
| 항목 | 목적 | 필수 여부 |
|---|---|---|
| 사업자등록증 파일 (PDF, PNG, JPEG, 최대 10MB) | 회원이 등록된 사업자를 대표하는지 관리자가 수동 확인 | 아니오 — 선택 |
| 원본 파일명, 파일 유형, 파일 크기 | 업로드된 파일의 저장과 무결성 | 업로드 시 함께 수집 |
| 제출·검토 시각, 검토 결과, 검토자 메모 | 인증 결정의 감사 기록 | 검토 과정에서 생성 |
사업자등록증은 정부가 발급한 서류로서 통상 사업자등록번호, 법인명, 대표자 성명, 사업장 주소가 기재되어 있다. BidSealed 는 해당 서류를 업로드된 상태 그대로 저장하며, 그 항목들을 별도의 기록으로 추출하거나 색인하지 아니한다.
파일은 업로드한 회원과 검토를 수행하는 관리자만 읽을 수 있는 비공개 저장소에 보관된다. 관리자 접근에는 유효기간이 짧은(60초) 서명 URL 을 사용하며 이는 보관되지 아니한다.
1.2 자동으로 수집되는 정보
- 접속 시점의 IP 주소 (보안, 요청 속도 제한, 남용 방지)
- 브라우저 사용자 에이전트 문자열 (호환성 및 분석, 집계 형태로만)
- 세션 쿠키 (인증 상태)
- Google Analytics 4 를 통한 이용 분석. 쿠키를 설정하고 가명 클라이언트 식별자를 부여한다. IP 주소는 처리 전에 익명화되며, 페이지 주소는 전송 전에 출처와 경로까지로 잘려 질의 문자열은 서비스를 벗어나지 아니한다
1.3 서비스 이용을 통해 생성되는 정보
- 게시한 견적 요청 (제목, 사양, 본문, 카테고리, 마감, 첨부 파일이 있는 경우 그 파일)
- 제출한 봉인 견적 (가격, 조건, 제안 본문, 첨부 파일이 있는 경우 그 파일)
- 채택 결정과 감사 로그 (누가, 언제, 누구를 채택했는지)
- 서비스가 발송한 이메일 알림으로 전달된 메시지
1.4 BidSealed 가 수집하지 않는 정보
- 물리적 주소 (자택 또는 사업장)
- 전화번호 (1:1 공개 이후 회원이 자발적으로 제공한 경우 제외)
- 정부 발급 개인 식별번호 (주민등록번호, 여권번호, 운전면허번호) — 다만 선택적 사업자등록증은 제1.1a 항에 따라 수집된다
- 금융 계좌 정보, 신용카드 번호
- 건강, 생체, 정치·종교 관련 정보
- 소셜 미디어 프로필 또는 외부 계정 연결 정보
2 — BidSealed 가 정보를 이용하는 방법
정보는 다음 목적으로만 이용된다.
2.1 서비스 운영
- 회원 인증
- 견적 요청 게시, 봉인 견적 제출, 채택 결정의 지원
- 플랫폼 규칙 집행 (무료 도메인 가입 차단, 남용 탐지)
- 알림을 올바른 회원에게 올바른 언어로 전달
2.2 서비스 개선
- 이용 패턴의 집계 분석 (개별 식별 없음)
- Sentry 를 통한 오류 진단 (오류 보고에 IP 와 사용자 에이전트가 포함될 수 있으며, Sentry 는 90일간 보관)
- 집계된 수요 신호에 근거한 기능 우선순위 결정
2.3 법령 준수
- 정부 기관의 적법한 요청에 대한 대응
- 필요한 경우 분쟁 해결의 조력
- 관계 법령에 따라 요구되는 기록 보존
2.4 BidSealed 가 정보로 하지 않는 것
- 회원 데이터를 제3자에게 판매하거나 대여하는 일. 결코 하지 않는다.
- 1:1 공개 전의 봉인 견적 내용을 발주자에게 전달하는 것 외의 목적으로 이용하는 일
- 채택 결정 전에 발주자의 신원을 공급자에게 공개하는 일
- 광고를 위하여 회원을 프로파일링하는 일
- 비공개 봉인 견적 내용으로 AI 모델을 학습시키는 일
3 — 정보의 보관 기간
| 구분 | 보관 기간 | 근거 |
|---|---|---|
| 회원 프로필 | 탈퇴 시 삭제 | 탈퇴는 즉시 처리되며 되돌릴 수 없다 |
| 견적 요청과 그에 딸린 봉인 견적 | 견적 요청 종료 후 3년 | 감사, 분쟁 해결, 분석의 연속성 |
| 채택 기록 | 채택 후 5년 | 상업 기록에 대한 법정 보존 요구 |
| 알림 발송 로그 (Resend) | 90일 | 디버깅 및 발송 확인 |
| 세션·접속 로그 | 6개월 | 보안 사고 조사 |
| 오류 보고 (Sentry) | 90일 | Sentry 보관 정책에 따른 자동 만료 |
| 분석 (Google Analytics 4) | Google 이 설정한 보관 기간에 따름 (이용자 단위 데이터 14개월) | 기간별 추세 분석 |
| 사업자등록증 — 반려 또는 철회된 경우 | 반려 또는 철회 시 삭제 | 더 이상 인증 목적에 사용되지 않음 |
| 사업자등록증 — 승인된 경우 | 승인 후 5년 | 인증의 무결성, 분쟁 해결, 상업 기록 보존 |
탈퇴 시:
- 프로필 정보는 즉시 삭제되며 탈퇴는 되돌릴 수 없다
- 회원이 업로드한 사업자등록증과 AI 초안 작성용 첨부 파일은 탈퇴 시점에 저장소에서 삭제된다
- 탈퇴 전에 게시한 견적 요청과 봉인 견적은 기록의 무결성을 위하여 위 보관 기간 동안 시스템에 남는다("탈퇴한 회원" 으로 표시). 그 봉인 견적에 첨부된 파일은 상대방이 신뢰한 기록의 일부이므로 함께 보관된다
- 감사 로그 항목은 회원 참조를 제거한 상태로 보관되어, 누가 그 행위를 했는지 더 이상 식별하지 아니한다
4 — 정보의 공유 방법
4.1 회원 사이 (서비스 내)
- 채택 전: 발주자는 자신의 견적 요청에 제출된 모든 봉인 견적을 본다(RLS 로 강제). 공급자는 다른 응답의 건수만 본다.
- 채택 후 (1:1 공개): 채택된 공급자와 발주자는 서로의 사업자 연락처 전부를 본다. 채택되지 않은 공급자는 선정되지 않았다는 사실만 알며, 채택된 공급자의 신원·가격·조건은 알지 못한다.
- 분할 채택: 분할 채택에서 채택된 공급자들은 서로의 존재, 신원, 가격, 조건을 보지 못한다.
4.2 서비스 제공자(수탁자)와의 공유
BidSealed 는 다음 수탁자를 이용하며, 각각 엄격한 개인정보 처리 위탁 계약을 체결하고 있다.
| 수탁자 | 목적 | 공유되는 정보 |
|---|---|---|
| Supabase Inc. (미국) | 데이터베이스, 인증 | 구조화된 데이터 전체 |
| Vercel Inc. (미국) | 호스팅, 엣지 CDN | 요청 단위 로그 (IP, 사용자 에이전트) |
| Resend (미국) | 이메일 발송 | 수신자 이메일, 메시지 내용 |
| Sentry (미국) | 오류 추적 | 오류 스택 트레이스, IP, 사용자 에이전트 |
| Google LLC (미국) | 분석 (Google Analytics 4) | 가명 이용 이벤트, 익명화된 IP, 기기·브라우저 메타데이터 |
각 수탁자는 SOC 2 Type II 인증을 받았거나 이에 준한다. 데이터는 전송 중(TLS 1.2 이상)과 저장 시(AES-256) 암호화된다.
4.3 수사기관과의 공유
BidSealed 는 적법한 절차(법원의 명령, 영장 또는 이에 준하는 것)에 따른 경우에만 수사기관에 정보를 제공한다. 법률이 허용하는 범위에서 제공 전에 해당 회원에게 통지한다.
4.4 국외 이전
수탁자가 주로 미국에 소재하므로 회원의 데이터는 회원 거주 국가 밖으로 이전된다.
- 한국 회원은 서비스 제공에 필요한 범위에서 자신의 데이터가 미국 및 수탁자가 운영되는 다른 국가로 이전되는 데 동의한다. GDPR 에 준하는 보호가 달리 확보되지 아니한 경우에는 표준계약조항이 적용된다.
- EU 회원: BidSealed 는 EEA 밖으로 이전되는 데이터에 대하여 표준계약조항(SCC)을 이전 근거로 삼는다.
5 — 회원의 권리
모든 회원은 자신의 개인정보에 관하여 다음 권리를 가진다.
5.1 열람권
회원은 BidSealed 가 보유한 자신의 개인정보 전부의 사본을 요청할 수 있다. 응답 기한: 30일 이내.
5.2 정정권
회원은 서비스 내에서 자신의 프로필을 직접 정정할 수 있다. UI 로 수정할 수 없는 항목은 운영자에게 이메일로 요청할 수 있다.
5.3 삭제권 (탈퇴)
회원은 언제든지 탈퇴할 수 있으며, 이때 위 제3조에 따른 삭제가 이루어진다.
5.4 이동권
회원은 자신의 견적 요청, 봉인 견적, 프로필을 기계 판독 가능한 형식(JSON)으로 내려받기를 요청할 수 있다. 응답 기한: 30일 이내.
5.5 처리정지 요구권
회원은 특정 처리 활동에 대하여 이의를 제기할 수 있다. 해당 처리가 서비스 제공에 필수적인 경우에는 탈퇴가 처리를 중단하는 유일한 방법일 수 있다.
5.6 권리침해 신고권
회원은 감독기관에 신고할 수 있다(한국: 개인정보보호위원회, EU: 각국 개인정보 감독기구).
5.7 권리 행사 방법
본 문서 하단에 기재된 개인정보 연락처로 이메일을 보내되 다음을 포함한다.
- 가입한 이메일 주소
- 요청의 내용
- 참고가 되는 세부 사항
BidSealed 는 요청을 처리하기 전에 통상 이메일 확인을 통해 신원을 검증한다.
6 — 보안 조치
BidSealed 는 다음의 기술적·관리적 조치를 시행한다.
기술적 조치
- 전송 암호화: 모든 연결에 TLS 1.2 이상
- 저장 암호화: 데이터베이스 내용에 AES-256 (Supabase 관리)
- 인증: 비밀번호 없는 방식(이메일 OTP + 매직 링크)으로 인증정보 노출 위험 감소
- 행 수준 보안: 데이터베이스가 강제하는 접근 제어. 봉인 견적의 무결성은 정책이 아니라 기술로 보장된다
- 최소 권한: 서비스 역할 키는 서버 측 코드에서만 사용되며 클라이언트에 노출되지 아니한다
- 요청 속도 제한: 무차별 대입과 자동화된 남용의 방지
- 취약점 점검: 의존성 정기 갱신, 보안 권고 모니터링
관리적 조치
- 접근 통제: 운영 데이터에 대한 운영자 접근은 기록되며 디버깅에 필요한 범위로 제한된다
- 사고 대응: 침해 탐지·차단·통지에 대한 정의된 절차 (
05_ops/incident_playbook.md참조) - 침해 통지: 침해가 확인된 후 법령이 요구하는 바에 따라 72시간 이내에 해당 회원에게 통지한다
- 보관 원칙: 제3조에 열거된 보관 기간에 따른 자동 삭제
7 — 쿠키와 추적
BidSealed 는 서비스 기능에 필요한 최소한의 쿠키만 사용한다.
필수 쿠키 (비활성화 불가)
- 세션 쿠키: 인증 상태
- CSRF 토큰: 사이트 간 요청 위조 방지
- 로케일 쿠키: 이용자가 선택한 언어 기억
분석 (거부 가능)
- Google Analytics 4: 가명 클라이언트 식별자를 담은
_ga및_ga_*쿠키를 설정한다(SameSite=Strict, Secure, bidsealed.com 범위). 쿠키 유효기간은 2년이다. IP 주소는 처리 전에 익명화된다.
BidSealed 는 Google Signals 와 광고 개인화 신호를 비활성화한 상태로 분석을 전송하며, 광고 네트워크 추적 픽셀이나 소셜 미디어 위젯을 삽입하지 아니한다.
8 — 아동의 정보
BidSealed 는 B2B 서비스이며 만 19세 미만인 자의 정보를 의도적으로 수집하지 아니한다. 회원은 등록된 사업자의 권한 있는 임직원 또는 대표자여야 한다. 미성년자가 가입한 사실을 알게 된 경우 해당 계정은 즉시 삭제되고 관련 정보도 삭제된다.
9 — 본 방침의 변경
BidSealed 는 중대한 변경을 다음 방법으로 회원에게 통지한다.
- 서비스 내 공지
- 회원의 인증된 이메일 주소로 발송
중대한 변경은 통지 후 최소 30일이 경과한 때부터 효력이 발생한다. 효력 발생일 이후의 계속 이용은 승낙으로 본다.
경미한 명확화(오타 정정, 서식 변경)는 통지 없이 이루어질 수 있다.
10 — 연락처
개인정보 관련 문의, 요청, 신고:
- 개인정보 연락처:
privacy@inpica.com - 개인정보 보호책임자 (PIPA 제31조): 본 페이지에 표시되는 사업자정보 블록에 성명과 연락처가 기재되어 있다
- 데이터 보호 책임자(DPO) (EEA 회원): EEA 진출 전에 지정 예정
- 응답 기한: 접수 후 30일 이내
PIPA 상 운영자는 개인정보 처리자로서 개인정보 처리에 관한 전반적 책임을 진다.
운영자의 상호, 대표자, 사업장 주소, 전화번호, 사업자등록번호, 통신판매업 신고번호는 본 페이지와 사이트 푸터의 사업자정보 블록에 표시된다. 그 값들은 본 문서에 적어 두지 않고 애플리케이션의 한 곳에 보관하므로, 공시 내용이 서로 어긋날 수 없다.
11 — 언어
운영자는 본 방침을 한국어로 유지한다. 00_docs/06_privacy_policy.ko.md 의 한국어본이 먼저 작성·갱신되는 판이며, 영어를 포함한 다른 언어본은 이를 옮긴 것이다.
⚠️ 이는 정본 우선 조항이 아니다. 본 방침은 PIPA 제30조에 따른, 그리고 해당하는 경우 GDPR 제13조·제14조에 따른 고지이지, 두 당사자의 해석을 조정해야 하는 합의가 아니다. 운영자가 회원에게 고지한 내용은 그 회원에게 실제로 제시된 내용이다. 번역본이 한국어본보다 의무를 좁게 적고 있다면, 운영자는 한국어본을 들어 그 좁은 의무를 주장할 수 없다.
운영자와 회원 사이 계약의 정본 언어는 이용약관 제18조 제3항이 따로 정한다.
개정 이력
-
ko v1.0 (2026-08-29) — 한국어 정본 신설. 영문판 v1.2(2026-08-29)를 기준으로 작성했다.
이 문서 이전에 방침은 영문으로만 존재했고 9개 로케일 전부가 그것을 받았다. 헤더가 적용 법령으로 PIPA 를 명시하고 있는데도 그러했다. PIPA 제30조는 처리방침을 정보주체가 쉽게 확인할 수 있도록 공개할 것을 요구하며, 읽을 수 없는 언어로 제시된 공개는 그 요구를 온전히 충족한다고 보기 어렵다.
제11조(언어)를 신설했다. 약관 제18조 제3항과 달리 우선 조항으로 쓰지 않았다 — 방침은 계약이 아니라 고지이므로, 회원은 자신에게 실제로 제시된 판을 신뢰할 수 있어야 한다. 우선 조항을 두면 운영자가 좁은 번역을 근거로 의무를 축소할 여지가 생기고, 그것은 고지 의무를 강화하는 것이 아니라 약화하는 방향이다.
이후의 개정 이력은 각 언어판이 각자 기록한다. 영문판의 v1.1 이전 이력은 영문판 Revision log 를 참조한다. 한쪽 언어판만 개정되는 경우 그 사실이 해당 판의 이력에 남는다.