개인정보처리방침
문서 버전: 2026-10-29.8 · 시행일: 2026-10-29
⚠️ 본 문서는 변호사 최종 검토 전 초안입니다. 정식 출시 전 법률 전문가 검토가 필요합니다.
PERSCERA Inc.(이하 "회사")는 AI Study Agent 서비스(brainxen.com, 이하 "서비스")를 운영하면서 이용자의 개인정보를 「개인정보 보호법」, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 "정보통신망법") 등 관련 법령에 따라 처리합니다. 이 방침은 회사가 어떤 개인정보를 어떤 근거로 처리하는지, 이용자가 어떤 권리를 가지는지 알려 드립니다. 만 14세 미만 어린이를 위한 쉬운 안내는 어린이를 위한 개인정보 안내에 따로 있습니다.
1. 수집하는 개인정보와 수집 방법
- 회사는 서비스 제공 계약을 이행하는 데 꼭 필요한 개인정보는 동의 없이 처리하고(개인정보 보호법 제15조 제1항 제4호), 그 밖의 개인정보는 목적별로 따로 동의를 받은 경우에만 처리합니다. 항목별 목적과 보유 기간은 제2조의 두 표로 나누어 적습니다.
- 수집 방법: 소셜 로그인 제공자에게서 받는 정보(제1-1조), 이용자가 직접 입력·업로드하는 정보, 서비스 이용 과정에서 자동으로 생성되는 정보(제9조의 자동 수집 장치 포함).
- 결제 정보는 수집하지 않습니다(결제 기능 미제공). 결제 기능을 열 때에는 결제 대행사와 처리 항목을 이 방침에 먼저 적어 시행 전에 알립니다.
1-1. 로그인 방법과 제공받는 정보
새 가입은 구글 계정으로만 받습니다. 이 방침 시행 전에 이메일·비밀번호로 가입한 계정은 종전대로 이메일·비밀번호로 로그인할 수 있습니다.
| 로그인 방법 | 제공받는 항목 | 이용 방법 |
|---|---|---|
| 구글 | 이메일 주소, 이메일 확인 여부, 이름, 프로필 사진 주소, 구글 계정 식별자 | 확인된 이메일 주소로 계정을 식별합니다. 구글에 요청하는 권한은 로그인 확인용 기본 정보뿐이며, 구글 드라이브·연락처 등 다른 정보는 요청하지 않습니다. |
| 이메일·비밀번호(이 방침 시행 전 가입 계정) | 이메일 주소, 비밀번호 | 비밀번호는 단방향 암호화하여 저장합니다. |
- 이름(닉네임)·프로필 사진 주소·제공자 계정 식별자는 로그인 상태를 유지하는 암호화된 쿠키에만 담기며, 회사 서버에 따로 저장하지 않습니다.
- 카카오 등 다른 소셜 계정. 카카오 계정 로그인은 현재 제공하지 않습니다. 카카오 등 다른 소셜 계정으로 가입할 수 있게 되면, 그 제공자에게서 받는 항목과 이용 방법을 이 방침에 먼저 적어 시행 전에 알립니다.
2. 처리 목적과 법적 근거 (구분 처리)
2-1. 계약 이행을 위해 처리하는 항목 (동의 없이 처리)
서비스 제공에 필수적인 처리로서 동의 없이 처리합니다(계약 이행 — 동의 불요): 계정 관리, 업로드 자료의 저장·검색·AI 입력, 개인화 답변 생성, 학습 기록·진도 관리, 에이전트 메모리 구성, 보안·부정사용 탐지, 오류 대응.
| 구분 | 항목 | 처리 목적 | 보유 기간 |
|---|---|---|---|
| 계정 | 이메일 주소, 로그인 방법(구글·이메일)과 마지막 로그인 일시, 역할(학생·보호자·선생님), 연결한 선생님·보호자, 가입 코드로 소속한 학원, 이메일로 가입한 계정의 비밀번호(단방향 암호화) | 회원 식별, 로그인, 계정·역할 관리, 부정 이용 방지 | 탈퇴 시까지 |
| 이용자 콘텐츠 | 업로드한 문서·자료(원본 파일과 검색용으로 나눈 조각), 입력한 질문, 질문에 붙인 사진, 노트북 기능으로 만든 노트·요약·음성 대본 | 자료 저장·검색, AI 답변 생성 | 삭제 또는 탈퇴 시까지 |
| 학습 데이터 | 대화 기록, 정답·오답 기록, 학습 진행 상태(학습 상태 파일·모의고사 답안·놓친 문항), 단계별 학습 기록과 세션 요약, 취약 개념, 학습 프로필(수준·목표·시험일·가입 전 진단 답), 학습 행동(클릭·응답 시간) | 학습 기록·진도 관리, 개인화 답변 생성, 에이전트 메모리 구성 | 학습 데이터 삭제 요청 또는 탈퇴 시까지 |
| 동의 기록 | 동의·철회한 항목, 동의한 문서 버전, 처리 일시, 광고성 정보 수신 동의·철회 처리 결과를 안내한 기록 | 동의와 안내 사실의 증빙 | 탈퇴 후에도 증빙을 위해 보존(제4조 제4항 · 탈퇴 시 동의는 모두 무효 처리) |
| 서버 요청 기록 | 요청 번호, 경로, 응답 상태, 소요 시간 — IP 주소·계정·브라우저 정보는 남기지 않습니다 | 오류 대응, 성능 관리 | 7일(호스팅 사업자 Render 의 로그 보관 기간) |
| 운영 기록 | 오류 신고(신고한 계정, 신고 내용 1,000자 이내), 보안 규칙에 걸린 입력(계정, 입력 발췌 160자 이내), 운영 알림 사본, 문의 메일, 학습 후속 안내 기록 | 오류 대응, 보안·부정사용 탐지, 문의 처리 | 오류 신고·문의 메일 1년, 운영 알림 사본·학습 후속 안내 기록·보안 규칙 기록 90일(제4조 제7항의 자동 파기) · 탈퇴 시 기록 속 계정 정보는 되돌릴 수 없게 변환 |
| 개인정보 취급자 접속 기록 | 관리자·운영 자동화가 개인정보를 다루는 화면·API에 접근한 일시, 접근한 계정, 접속지 IP 주소, 접근 경로, 처리한 정보주체(되돌릴 수 없게 변환한 값), 처리 결과 | 개인정보 접근 감독(제7조) · 「개인정보의 안전성 확보조치 기준」 제8조 | 2년 |
| 방문 기록 | 방문 경로, 브라우저가 만든 무작위 방문자 값(되돌릴 수 없게 변환), 유입 사이트 주소(호스트만), 사건 이름과 걸린 시간(체험 완료 등) | 방문 통계 | 13개월 |
- 익명 집계. 회사는 서비스를 개선하기 위해 학습 기록을 개인을 알아볼 수 없게 집계한 통계(예: 어떤 도움이
어떤 막힘에 효과가 있었는지의 비율, 서로 다른 3명 이상의 자료에 함께 나온 개념 이름의 빈도, 학원·연구용
묶음 통계)로 만듭니다. 집계에는 이메일·계정·자료 원문·파일명이 들어가지 않으며, 집계 결과는 익명정보로서
개인정보가 아닙니다(제4조 제6항). 개인 단위의 기록을 개인 식별이 가능한 형태로 서비스 개선에 쓰는 것은 제2-3조의
AI 모델·서비스 개선 동의(
ai_improvement)를 받은 경우에만 합니다. - 자동으로 이루어지는 결정. 서비스는 정답·오답 기록을 바탕으로 다음 문항의 난도와 학습 도움의 종류를 자동으로 고릅니다. 이 결정은 학습 화면 안의 안내에만 영향을 주고 성적·자격 같은 이용자의 권리·의무에 영향을 주지 않습니다. 결정의 기준 설명을 원하거나 사람이 다시 살펴보기를 원하면 제10조의 연락처로 요청할 수 있습니다(개인정보 보호법 제37조의2).
2-2. 법령상 의무 이행 (동의 없이 처리)
관련 법령에 따른 기록 보존, 권리 침해 신고 처리, 개인정보 유출 시 통지·신고.
2-3. 동의를 받아 처리하는 항목 (선택)
아래 항목은 각각 따로 동의한 경우에만 처리합니다. 선택 동의는 미리 체크해 두지 않으며, 동의하지 않거나 입력하지 않아도 학습 서비스 이용에 제한이 없습니다(개인정보 보호법 제22조 제5항).
| 동의 항목 | 처리 항목 | 처리 목적 | 보유·이용 기간 |
|---|---|---|---|
학습 정보(profile_learning) | 출생연도, 학교급·학년, 목표 시험, 학교명 | 맞춤 학습 추천, 학습 분석(학교급·연령대별 묶음 통계 포함) — 현재는 묶음 통계에만 쓰이며, 맞춤 추천에 쓰기 시작할 때 이 방침에 먼저 적습니다 | 동의 철회 또는 탈퇴 시까지 |
이용자 통계 정보(profile_demographic) | 성별, 지역(시·도) | 이용자 통계 작성, 서비스 개선 — 개인 단위로 이용하지 않음 | 동의 철회 또는 탈퇴 시까지 |
학습 알림 연락처(contact_phone) | 휴대폰 번호 | 학습 알림 연락 — 현재 문자·전화 알림 기능은 없으며, 시작 전에 이 방침에 먼저 적습니다 | 동의 철회 또는 탈퇴 시까지 |
홍보·마케팅 목적 이용(marketing_use) | 이메일 주소, 휴대폰 번호(학습 알림 연락처에 동의한 경우), 학교급·학년·목표 시험(학습 정보에 동의한 경우) | 새 기능·이벤트·혜택 안내, 이용자에게 맞춘 홍보(개인정보 보호법 제22조 제1항 제7호) | 동의 철회 또는 탈퇴 시까지 |
광고성 정보 수신 — 이메일(ad_email)·문자(ad_sms)·카카오톡(ad_kakao)·야간(ad_night) | 채널별 수신 동의 여부와 동의·확인 일시 | 광고성 정보를 보낼 수 있는 채널과 시간 판단(정보통신망법 제50조) | 수신 철회 또는 탈퇴 시까지 |
AI 모델·서비스 개선(ai_improvement) | 질문과 AI 답변, 피드백, 정답·오답 기록, 학습 행동 기록 등(AI 학습 활용 선택동의에 적힌 항목)을 개인 단위로 | 답변 품질 평가, 신규 기능 개발, 안전성 평가(제2-1조 제1항의 익명 집계는 이 동의와 무관하게 이루어집니다) | 동의 철회 시까지 |
학습 효과 측정 참여(research_participation) | 채점된 학습 기록(정답·오답, 도움을 끄고 다시 푼 결과, 학습 시점) | 학습 효과 측정과 가명처리한 집계 결과의 공개·발표 — 참여자가 5명 미만이면 비율을 만들지 않음 | 동의 철회 또는 탈퇴 시까지 |
담당 선생님 공유(teacher_share)·보호자 공유(guardian_share)·제휴 파트너 제공(third_party_provision) | 제3-1조 표 | 제3-1조 표 | 제3-1조 표 |
마켓 판매(seller_agreement)·학습 특성 반출(market_donor) | 마켓 판매자 약관과 해당 화면에 적힌 항목 | 마켓 에이전트 공개·제공 | 마켓 판매자 약관에 따름 |
학교 단위 비교 포함(school_compare) | 학교명, 학년, 조각(개념)별 확인 상태 | 같은 학교의 동의한 학생끼리 조각별 상태를 비교해 보여 주는 것. 동의한 학생이 한 명이어도 본인 동의로 표시되며, 동의하지 않은 학생의 기록은 비교에 들어가지 않음 | 동의 철회 또는 탈퇴 시까지 |
진학 결과 추후 활용(outcome_followup) | 본인이 나중에 직접 입력하는 진학 결과(대학·전형), 입력 일시 | 본인이 공개한 코어(세컨드 브레인) 설명에 진학 결과를 함께 표시. 입력 전에는 아무것도 수집하지 않음 | 동의 철회 또는 탈퇴 시까지 |
성적 서류 검증(score_doc_verify) | 마켓 판매자가 제출한 수능 성적증명서·대학 증명서의 문서확인번호와 그 대조 결과 | 판매자 인증 표시(뱃지). 평가원·발급기관 진위확인에서 대조한 뒤 판정·해시·일시만 남기고 서류 원본과 수험번호는 삭제 | 판정 기록은 판매 종료 또는 탈퇴 시까지, 원본은 대조 직후 삭제 |
주간 리그 참여(league_participation) | 본인이 정한 닉네임, 이번 주 혼자 맞힌 문제 수(리그 순위), 친구 초대 코드로 맺은 연결 | 같은 리그에 참여한 학생·연결된 친구끼리 주간 순위와 비교를 보여 주는 것. 표에는 닉네임과 수만 보이고 이메일·실명·학교는 보이지 않음. 순위표에 표시된 '연습 상대'는 실제 사람이 아닌 가상 행이며 그렇게 표시됨. 참여자가 3명 미만이면 참여자 간 비율(상위 n%)을 만들지 않고 지난 주의 본인 기록을 앞세움 | 동의 철회(닉네임·순위·연결 즉시 삭제) 또는 탈퇴 시까지 |
- 목적별 저장. 학습 정보·이용자 통계 정보·학습 알림 연락처(이하 "선택 정보")는 항목마다 해당 목적에 동의한 경우에만 저장합니다. 동의를 철회하면 그 목적으로 받은 항목을 곧바로 삭제합니다. 선택 정보는 설정 화면의 '내 정보'에서 언제든지 고치거나 지울 수 있습니다.
- 입력값 확인. 입력한 출생연도가 만 14세 미만을 뜻하면 그 값을 저장하지 않고 다시 확인을 요청합니다.
- 이용 범위. 선택 정보는 담당 선생님·보호자·학원·제휴 파트너에게 제공하지 않고, 학습 효과 측정의 공개 자료와 AI 모델·서비스 개선 데이터에도 합치지 않으며, 국외 AI 사업자에게 보내지 않습니다. 이용자 통계는 가장 잘게 나눈 칸이 5명 미만이면 그 칸을 숨긴 묶음 통계로만 보며, 출생연도는 연령대로만 묶고 학교명은 통계에 쓰지 않습니다. 다만 학교 단위 비교에 동의한 학생끼리의 비교에는 그 동의 범위 안에서 학교명을 씁니다.
- 종전 마케팅 동의. 이 방침 시행 전에 받은 '마케팅(새 기능·이벤트 안내)' 동의(
marketing)는 기록으로만 보존하며, 홍보·마케팅 목적 이용이나 광고성 정보 발송의 근거로 쓰지 않습니다.
3. 국외 처리위탁 (AI 처리)
서비스의 AI 기능은 아래 국외 AI 사업자의 API 로 처리됩니다. 이는 서비스 제공(계약 이행)을 위한 처리위탁으로서 개인정보 보호법 제28조의8 제1항 제3호에 따라 이 방침에 공개합니다.
| 항목 | 내용 |
|---|---|
| 이전받는 자 | Anthropic, PBC(미국 · privacy@anthropic.com · anthropic.com/privacy) / Google LLC(미국 · policies.google.com/privacy) — 두 사업자 모두 상시 수탁자이며, 장애·결제 불능 시 Anthropic 에서 Google 로 자동 전환될 수 있습니다 |
| 이전되는 국가 | 미국 |
| 이전 시기와 방법 | AI 기능을 이용하는 때마다 암호화된 통신(HTTPS)으로 API 에 전송 |
| 이전되는 항목 | 이용자가 입력한 질문·풀이 텍스트, 질문에 붙인 사진, 업로드 자료 중 질문과 관련된 발췌(노트북 기능은 자료 원문 최대 60,000자), 최근 대화 3턴, 학습 상태 요약(수준·목표·시험일·가입 전 진단 답·취약 개념 요약), 글쓰기 첨삭 원문, 문의 메일 본문(이메일 주소·전화번호는 가린 채)과 오류 신고 본문(운영 분류용) · 이메일 주소·이름·계정 식별자·선택 정보는 보내지 않습니다 |
| 이용 목적 | AI 답변 생성, 학습 자료 변환(노트북), 글쓰기 첨삭, 문의·오류 신고 분류 |
| 보유·이용 기간 | Anthropic: 입력·출력을 받은 날부터 30일 안에 삭제(이용 정책 위반으로 판정된 경우 최대 2년) · Google: 남용 탐지 목적으로 제한된 기간만 기록(구체 기간은 사업자가 공개하지 않음). 회사는 두 사업자 모두 입력·출력을 모델 학습·서비스 개선에 쓰지 않는 조건의 유료 API 로 이용합니다(사업자 약관 조항은 회사가 보관) |
| 거부 방법과 효과 | AI 기능(질문·풀이·노트북·첨삭)을 쓰지 않으면 전송되지 않습니다. AI 처리는 서비스의 본질적 기능이어서 이를 거부하면 서비스를 이용할 수 없습니다 |
- 회사가 설정으로 다른 AI 사업자를 추가할 때에는 그 사업자·국가·항목을 이 방침에 먼저 적어 시행 전에 알립니다. 설정만으로 방침에 없는 사업자에게 보내지는 일이 없도록 서버가 막습니다.
- 가입 시 "국외 AI 처리 확인" 체크는 위 처리에 대한 고지 확인입니다.
3-1. 제3자 제공 (선택 동의)
다음 제공은 각각 별도로 동의한 경우에 한하여 이루어지며, 동의하지 않아도 학습 서비스 이용에 제한이 없습니다. 동의는 설정 화면에서 언제든지 철회할 수 있고, 철회는 장래를 향하여 효력이 있습니다.
| 받는 자 | 제공 항목 | 목적 | 보유·이용 기간 | 동의 항목 |
|---|---|---|---|---|
| 학생이 연결 코드를 입력해 연결한 담당 선생님(선생님 회원 · 여러 명을 연결할 수 있으며 연결은 학생이 코드를 입력할 때마다 하나씩 이루어짐 · 연결 화면에는 선생님 계정의 이메일을 가린 값이 표시됨) | 학습 요약: 취약 지점, 도움 없이 푼 결과, 오답 원인, 다음 수업 전 확인할 문항, 학습 활동 요약, 학습 계보·경로와 과목별 준비 정도, 4부 요약(대화 원문·연락처·성적 원본·선택 정보 제외) | 해당 학생의 수업 준비 | 연결 해제 또는 탈퇴 시까지 | 담당 선생님 공유(teacher_share) |
| 학원의 강사(학생이 학원 가입 코드로 소속한 뒤 '강사 공유'를 켠 경우 — 켜는 순간 그 학원의 강사 전원과 연결됩니다) | 위와 같음 | 위와 같음 | 강사 공유 해제·학원 소속 해제 또는 탈퇴 시까지 | 담당 선생님 공유(teacher_share) |
| 학생(만 14세 이상)이 연결 코드로 확인한 보호자(보호자 회원) | 학습 요약 두 문장, 5개 축 상태, 월간 확인 문항, 4부 요약 | 보호자의 학습 상황 확인 | 연결 해제 또는 탈퇴 시까지 | 보호자 공유(guardian_share) |
| 제휴 파트너 | 가명처리된 학습 통계 또는 이용자가 선택한 서비스 연동 정보 | 제휴 서비스 제공 | 파트너별 고지 | 제휴 파트너 제공(third_party_provision) — 현재 제공 중인 파트너 없음 |
담당 선생님·보호자에게 제공되는 학습 요약은 학생 계정 안에서 생성되는 파생 정보이며, 선생님 회원은 이용약관 제12조에 따라 수업 준비 목적 외 이용·재제공·서비스 밖 보관이 금지됩니다. 학생은 설정 화면에서 연결된 선생님·보호자를 보고 연결을 해제할 수 있습니다. 제휴 파트너 제공을 실제로 개시할 때에는 파트너 명칭·항목·목적·보유기간을 본 방침에 갱신하여 고지합니다. 선택 정보(제2-3조)는 위 받는 자 누구에게도 제공하지 않습니다.
학원(기관) 이용 시 묶음 통계. 학생이 학원의 가입 코드로 학원에 소속한 경우, 그 학원의 강사·운영자는
해당 학원 학생들의 이름을 뗀 묶음 통계(가입 인원, 이번 주 학습 인원, 7일 이상 학습이 없는 인원,
막힌 지점 분포, AI 도움 없이 푼 정답률)를 봅니다. 기록이 있는 학생이 5명 미만이면 비율은 산출하지
않습니다. 이 통계는 특정 개인을 알아볼 수 없도록 처리된 정보로서 개인정보 제공에 해당하지 않으며,
학생 개인별 학습 요약은 위 표의 담당 선생님 공유 동의(teacher_share)에 따라서만 제공됩니다.
학원 소속은 설정 화면의 문의 경로로 언제든지 해제를 요청할 수 있습니다.
3-2. 처리위탁 및 국외이전 (호스팅·운영 수탁사)
회사는 서비스 운영에 필요한 아래 업무를 수탁자에게 위탁하며(개인정보 보호법 제26조), 수탁자의 서버가 국외에 있어 그 처리 과정에서 개인정보가 국외로 이전됩니다(개인정보 보호법 제28조의8 제1항 제3호 — 계약 이행을 위한 처리위탁·보관). 이전 시기와 방법은 "서비스를 이용하는 때에 암호화된 통신을 통해 수시로 전송·저장"이며, 각 수탁자의 연락처는 아래 표의 개인정보처리방침 주소에 있습니다. 제3조의 AI 사업자도 국외 처리위탁에 해당합니다.
| 수탁자(연락처) | 위탁 업무 | 이전·처리되는 항목 | 국가(보관 위치) | 보유·이용 기간 |
|---|---|---|---|---|
| Render, Inc.(render.com/privacy) | 백엔드 서버 호스팅, 데이터베이스(PostgreSQL) 저장과 백업, 서버 요청 기록 보관 | 서버가 처리·저장하는 제2조의 모든 항목, 서버 요청 기록 | 미국(오리건) | 위탁 계약 기간(제4조의 파기 기준에 따름) · 서버 요청 기록 7일 · 데이터베이스 백업 7일(복구 시점 지정은 최근 3일) |
| Vercel Inc.(vercel.com/legal/privacy-policy) | 웹 화면 호스팅, 백엔드 서버로 가는 요청 중계(같은 주소를 거쳐 전달), 로그인 처리(엣지 서버) | 웹 화면 요청과 그 응답(이용자 콘텐츠 업로드·질문·학습 조회 포함), 로그인 쿠키 처리에 쓰이는 정보(이메일 주소·이름·프로필 사진 주소·제공자 식별자), 접속 로그 | 미국(사업자 기본 리전 · 엣지 서버는 전 세계) | 위탁 계약 기간 · 접속 로그는 1일(회사가 쓰는 Pro 요금제의 기본 보관 기간) |
| Cloudflare, Inc.(cloudflare.com/privacypolicy) | 문의 메일(support@brainxen.com) 수신·전달 | 문의 메일의 보낸 사람 주소, 제목, 본문 | 미국(전 세계 네트워크) | 전달 즉시 처리. 전달된 메일은 회사 서버에 1년 보관하며(운영 기록), AI 분류(제3조 · 주소·전화번호는 가린 채)와 운영 알림(아래 Discord 행)에 쓰입니다 |
| Discord Inc.(discord.com/privacy) | 운영 알림 채널(승인 대기·장애·보안·문의 알림을 운영자에게 전달) | 원칙적으로 계정 별칭(이메일을 되돌릴 수 없게 변환한 값의 일부)과 집계·신호만. 선생님 가입 신청은 이메일의 도메인 부분만. 문의 메일 알림은 보낸 사람 주소를 가린 값(첫 글자와 도메인)과 제목. 다만 오류 신고 알림과 보안 규칙(공격 시도 판정)에 걸린 입력의 알림에는 로그인 이메일 주소와 입력 내용 발췌(100자 이내)가 함께 전달됩니다. | 미국 | 사업자 정책에 따름(운영자가 채널에서 삭제 가능) · 회사 서버의 알림 사본은 90일 |
| Google LLC(Google Drive · policies.google.com/privacy) | 내부 검토진(회사 직원)의 검수 노트·문항 판정 보관 | 검토진의 계정 라벨·계정 이메일, 노트 본문, 문항 번호 — 일반 이용자의 개인정보는 포함되지 않습니다. | 미국 | 회사가 삭제할 때까지 |
| GitHub, Inc.(docs.github.com/privacy) | 검수 노트를 Google Drive 로 옮기는 자동 작업의 실행(GitHub Actions) | 검토진의 계정 라벨·계정 이메일, 노트 본문 — 실행 중에만 거치며 저장하지 않음 | 미국 | 작업 실행 중(저장 없음) |
국가(보관 위치) 열은 각 수탁자의 기본 리전을 기준으로 적었습니다. 서버 요청 기록·접속 로그·백업의 보관 기간은 2026-09-25 기준 사업자 플랜(Render Hobby · Vercel Pro)의 값이며, 플랜이 바뀌면 이 방침을 갱신합니다. 종전에 적었던 Neon, Inc. 는 2026-09 데이터베이스 이전으로 더 이상 사용하지 않으며, 남아 있던 옛 사본은 2026-09-25 삭제했습니다.
- 거부 방법과 불이익. 위 수탁자를 통한 처리는 서비스 제공(계약 이행)에 필수적이어서 이를 거부하면 서비스를 이용할 수 없습니다. 문의 메일과 운영 알림에 관한 처리는 그 행위(문의·오류 신고)를 하지 않으면 일어나지 않습니다.
- 감독. 회사는 수탁자가 개인정보를 안전하게 처리하도록 위탁 계약(사업자 약관·데이터 처리 조항)으로 정하고, 수탁자 목록·리전을 연 1회 점검하며, 수탁자가 바뀌면 이 방침을 갱신하여 알립니다.
- 현재 쓰지 않는 연동. 결제 대행(Stripe)과 구글 드라이브 가져오기 기능은 코드에 준비돼 있으나 꺼져 있으며, 켤 때에는 이 방침에 먼저 적어 시행 전에 알립니다.
4. 보유 및 파기
- 보유 기간. 제2조의 표에 적힌 기간 동안 보유합니다. 계정·학습 데이터는 서비스 제공 기간 동안 보유합니다.
- 파기 사유와 시한. 보유 기간이 끝나거나, 처리 목적을 이루었거나, 동의를 철회하거나, 탈퇴하거나, 삭제를 요청한 경우 지체 없이(늦어도 5일 이내) 파기합니다. 설정 화면에서 요청한 학습 데이터 삭제와 계정 탈퇴는 요청 즉시 처리됩니다. 선택 정보는 해당 목적의 동의를 철회하는 즉시 삭제합니다. 데이터베이스 복구용 백업에 남은 사본은 호스팅 사업자의 백업 보관 기간(7일)이 지나면 자동으로 사라지며, 복구 목적 외에 열어 보지 않습니다.
- 파기 절차와 방법. 파기 사유가 생긴 개인정보는 데이터베이스와 서버 저장 공간에서 복구할 수 없는 방법으로 삭제합니다. 회사는 개인정보를 종이 문서로 받지 않습니다. 이용자는 학습 데이터 삭제와 계정 탈퇴를 설정 화면에서 직접 요청할 수 있으며(확인 한 번), 삭제 결과(삭제한 항목 수와 삭제 범위 밖 항목)를 화면으로 알려 드립니다.
- 탈퇴 시 삭제되는 것. 계정 정보, 로그인 방법, 역할, 업로드한 자료(원본·조각·검색용 자료), 대화 기록, 학습 상태 파일, 단계별 학습 기록과 세션 요약, 노트북, 학습 프로필, 취약 개념 기록, 파생 요약, 선택 정보, 선생님·보호자 연결과 초대 코드, 학원 소속, 한 줄 소감, 학습 후속 안내 기록. 오류 신고·보안 규칙 기록·운영 알림 사본에 든 계정 정보는 되돌릴 수 없게 변환한 값으로 바꿉니다. 탈퇴한 계정으로 발급된 로그인 상태는 즉시 무효가 되며, 같은 이메일로 다시 가입하면 동의를 처음부터 새로 받습니다. 마켓에 공개(발행)한 에이전트의 자료는 다른 학습자에게 제공 중이므로 탈퇴만으로는 지우지 않고 마켓 판매자 약관의 공개 중단 절차에 따르며(그 자료 안의 본인 학습 기록은 지웁니다), 남긴 자료는 삭제 결과 화면에 표시합니다.
- 예외. 법령상 보존 의무가 있는 항목과 동의·철회 이력은 예외로 보존합니다. 동의·철회 이력은 탈퇴 표식 (이메일을 되돌릴 수 없게 변환한 값과 탈퇴 일시)과 함께 동의 사실의 증빙에만 쓰고 다른 목적에 쓰지 않습니다. 현재 서비스에는 결제·거래가 없어 「전자상거래 등에서의 소비자보호에 관한 법률」에 따른 거래 기록 보존 대상이 없으며, 유료 기능을 열 때 해당 항목을 이 방침에 추가합니다.
- 개인을 재식별할 수 없도록 비가역 처리된 익명 통계(제2-1조 제1항의 익명 집계 — 학습 도움의 효과 비율, 서로 다른 3명 이상의 자료에 함께 나온 개념 이름의 빈도, 학원·연구용 묶음 통계)는 개인정보가 아니므로 파기 대상이 아니며, 탈퇴 전에 이미 반영된 집계는 탈퇴 뒤에도 남아 서비스 개선·연구에 계속 활용될 수 있습니다.
- 자동 파기. 보유 기간이 정해진 기록(운영 기록, 개인정보 취급자 접속 기록, 방문 기록 등)은 서버가 매일 한 번 보유 기간이 지난 것을 찾아 삭제하고, 삭제 결과를 기록합니다.
- 삭제 범위 밖 항목. 국외 AI 사업자에게 이미 전송된 처리분(각 사업자의 정책에 따름), 서버 요청 기록(7일 안에 자동 삭제), 삭제 이전에 다른 이용자(선생님·보호자)에게 이미 전달된 학습 요약, 제6항의 익명 통계는 회사가 되돌릴 수 없으며, 삭제 결과 화면에 함께 안내합니다.
5. 정보주체의 권리
- 이용자는 언제든지 개인정보 열람·정정·삭제·처리정지와 동의 철회를 요구할 수 있습니다. 선택 동의와 광고성 정보 수신은 설정 화면에서 즉시 철회할 수 있고, 철회는 장래를 향하여 효력이 있습니다.
- 열람. 설정 화면의 '내 데이터 내려받기'로 계정 정보·동의 기록·선택 정보·학습 프로필·업로드 자료 목록· 대화 기록·연결 정보를 파일로 받을 수 있고, '동의·철회 이력'에서 동의 기록 전체를 볼 수 있습니다.
- 정정. 선택 정보는 설정 화면의 '내 정보'에서 직접 고칩니다. 그 밖의 정정은 제10조의 연락처로 요청합니다.
- 삭제·처리정지. 학습 데이터 삭제와 계정 탈퇴는 설정 화면에서 직접 할 수 있습니다. 특정 처리만 멈추기를 원하면 제10조의 연락처로 요청하며, 회사는 요청을 받은 날부터 10일 이내에 처리 결과 또는 처리할 수 없는 사유와 이의 제기 방법을 알려 드립니다(개인정보 보호법 제35조~제37조).
- 권리 행사는 가입보다 어렵지 않게 합니다(개인정보 보호법 제38조 제4항). 탈퇴는 설정 화면에서 확인 한 번으로 이루어집니다.
- 만 14세 미만 아동의 법정대리인은 자녀의 개인정보에 대하여 제1항부터 제5항까지의 권리를 행사할 수 있습니다(개인정보 보호법 제38조 제2항). 만 14세 미만의 아이는 부모님만 가입할 수 있으므로(제6조), 자녀와 함께 이용하는 부모님은 계정 명의자로서 본인 계정 안에 남은 자녀의 학습 기록을 포함해 이 권리를 설정 화면에서 직접 행사할 수 있습니다.
- 개인정보 전송 요구. 회사는 개인정보 보호법 제35조의2의 정보전송자 기준(매출액·이용자 수)에 해당하지 않아 전송 요구 대상이 아닙니다. 기준에 해당하게 되면 이 방침에 적어 알립니다.
6. 만 14세 미만 아동
- 만 14세 미만의 아이는 부모님(법정대리인)만 가입할 수 있습니다. 만 14세 미만 아동은 스스로 가입할 수 없고, 부모님이 본인 계정으로 가입하여 자녀와 함께 이용합니다(개인정보 보호법 제22조의2). 이 경우 계정 명의자이자 동의 주체는 부모님이며, 자녀의 학습 기록은 부모님 계정 안에서 부모님의 동의에 따라 처리됩니다. 가입 화면에서 만 14세 미만으로 표시하면 회사는 계정을 만들지 않고 안내만 하며, 로그인 과정에서 남은 흔적(로그인 방법 기록)은 곧바로 지웁니다.
- 부모님 계정으로 이용하는 자녀에 대해서는 선택 정보(제2-3조의 학습 정보·이용자 통계 정보·학습 알림 연락처)를 자녀의 것으로 입력하지 않도록 안내하고, 홍보·마케팅 목적 이용과 광고성 정보는 계정 명의자인 성인에게만 해당합니다. 회사는 만 14세 미만 아동을 대상으로 맞춤형 광고를 하지 않으며 행태정보를 광고에 쓰지 않습니다.
- 부모님과 아이에게는 어린이를 위한 개인정보 안내로 알기 쉽게 알립니다(개인정보 보호법
제22조의2 제3항). 보호자 회원의 법정대리인 확인 동의(
guardian_confirm)는 보호자 역할로 만 14세 이상 자녀의 학습 요약을 볼 때 받는 동의입니다.
7. 안전성 확보 조치
회사는 「개인정보의 안전성 확보조치 기준」에 따라 다음 조치를 합니다.
- 내부 관리계획. 개인정보 보호책임자의 책임 아래 내부 관리계획을 수립·시행하고, 취급자 교육을 정기적으로 실시하며, 이행 실태를 연 1회 이상 점검하여 기록합니다.
- 접근 권한 관리. 개인정보를 처리하는 관리자 화면·API 는 운영 주체가 서버 설정에 등록한 관리자 계정만 쓸 수 있고, 관리자 계정은 업무에 필요한 최소 인원으로 한정하며 계정을 공유하지 않습니다. 관리자 계정은 구글 로그인을 쓰며 2단계 인증을 켠 구글 계정만 등록합니다. 권한을 주거나 거둔 내역은 3년간 기록합니다.
- 접속 기록의 보관과 점검. 관리자·운영 자동화가 개인정보를 다루는 화면·API 에 접근한 기록(계정·일시· 접속지 IP·접근 경로·처리한 정보주체(되돌릴 수 없게 변환한 값)·결과)을 2년간 보관하고, 월 1회 이상 점검하여 점검 기록을 남깁니다. 개인정보를 내려받은 접근은 사유를 확인합니다. 선택 정보의 개별 조회는 조회하기 전에 기록하고 기록을 남기지 못하면 조회하지 않습니다.
- 표시 최소화. 휴대폰 번호는 관리자 화면에서도 가려서 표시하고(예: 010-****-1234), 성별·지역은 개인 단위로 표시하지 않습니다. 운영 알림에는 계정 별칭(되돌릴 수 없게 변환한 값)을 씁니다.
- 암호화와 격리. 비밀번호 단방향 암호화(PBKDF2), 전송 구간 암호화(HTTPS), 계정 간 데이터 격리, 외부 반출 시 가명처리. 데이터베이스와 그 백업은 호스팅 사업자(Render)가 AES-256 으로 저장 시 암호화하며, 데이터베이스 연결은 TLS 로 암호화됩니다.
- AI 입력 최소화. 국외 AI 사업자에게는 이메일·이름·계정 식별자를 보내지 않으며, 문의 메일 본문의 이메일 주소·전화번호는 가린 뒤 보냅니다.
- 유출 대응. 개인정보가 유출(위조·변조·훼손 포함)되었거나 유출 가능성을 알게 되면 72시간 이내에 이용자에게 알리고(유출 항목·시점과 경위·피해 최소화 방법·회사의 대응과 구제 절차·신고 접수 부서), 1천 명 이상이거나 민감한 항목이거나 해킹에 의한 경우 개인정보보호위원회 또는 한국인터넷진흥원에 신고합니다 (개인정보 보호법 제34조). 연락처를 모르는 경우 서비스 첫 화면에 30일 이상 게시합니다.
- 정기 점검. 위 조치의 이행 여부, 관리자 명단, 수탁자 목록, 접속 기록을 연 1회 이상 자체 점검하고 결과를 기록합니다.
8. 광고성 정보 수신
- 채널별 동의. 광고성 정보는 이메일·문자·카카오톡 채널마다 따로 수신 동의를 받으며, 홍보·마케팅
목적 이용(
marketing_use)과 해당 채널의 수신에 모두 동의한 경우에만 그 채널로 보냅니다. - 야간 수신. 오후 9시부터 다음 날 오전 8시까지는 야간 수신(
ad_night)에 따로 동의한 경우에만 광고성 정보를 보냅니다(정보통신망법 제50조). - 2년마다 확인. 수신에 동의한 날(또는 마지막으로 확인한 날)부터 2년마다 수신 동의 사실과 유지·철회 방법을 알려 드립니다(정보통신망법 시행령 제62조의3). 확인 절차를 마치지 못한 동의로는 광고성 정보를 보내지 않습니다.
- 처리 결과 안내. 수신 동의·거부·철회를 처리하면 그 결과를 곧바로 화면으로 알려 드립니다(정보통신망법 제50조 제7항의 14일 이내 통지). 안내에는 보낸 곳(PERSCERA Inc.), 처리 일자, 동의·거부·철회 내용이 들어가며, 안내한 사실을 기록합니다.
- 표시 의무. 광고성 정보를 보낼 때에는 제목 첫머리에 "(광고)"를 적고 보낸 곳의 명칭·연락처와 무료 수신 거부 방법을 함께 적습니다.
- 철회. 수신 동의는 설정 화면에서 채널별로 언제든지 철회할 수 있습니다. 철회해도 학습 서비스 이용에 제한이 없습니다. 탈퇴하면 모든 채널의 수신 동의가 철회됩니다.
- 만 14세 미만 제외. 만 14세 미만 아동에게는 광고성 정보를 보내지 않습니다.
- 현재 상태. 광고성 정보를 보내는 기능은 아직 없습니다. 발송을 시작하기 전에 이미 받은 수신 동의를 이메일· 문자로 다시 확인합니다.
- 학습 알림. 이용자가 켠 복습·과제 알림, 보호자·선생님 연결 안내, 보안·약관 변경 안내 같은 서비스 이용에 필요한 알림은 광고성 정보가 아니며, 그 안에 홍보 문구를 섞지 않습니다.
9. 개인정보 자동 수집 장치의 설치·운영과 거부
| 이름 | 저장 위치 | 담는 내용 | 목적 |
|---|---|---|---|
로그인 쿠키(session-token·csrf-token·callback-url) | 쿠키 | 암호화된 로그인 상태(이메일·이름·프로필 사진 주소·제공자 식별자·서버 접근 토큰 12시간) | 로그인 유지, 보안 |
bx_vid | 브라우저 저장소 | 이 브라우저가 스스로 만든 무작위 문자열(계정과 연결하지 않음) | 방문 통계 |
bx_last_login_method | 브라우저 저장소 | 마지막으로 성공한 로그인 방법 이름 하나 | 로그인 화면에서 지난번 로그인 방법 안내 |
aistudy:turns:<계정> | 브라우저 저장소 | 이 브라우저에서 나눈 최근 대화의 사본(서버 기록과 별도) | 화면을 다시 열 때 대화를 이어 보기 — 학습 데이터 삭제·탈퇴 때 함께 지움 |
learner-profile:<계정> · focus-agent:<계정> · bx-intake:v1 | 브라우저 저장소 | 학습 프로필 사본, 마지막으로 연 에이전트, 가입 전 진단 답 | 화면 이어 쓰기 — 학습 데이터 삭제·탈퇴 때 함께 지움 |
| 화면 편의 값 | 브라우저 저장소 | 화면 모양 설정, 안내를 본 적 있는지, 작성 중인 입력, 가입 화면에서 고른 역할, 모의고사 답안 임시 저장 | 이 브라우저에서 화면을 이어 쓰기 |
- 방문 기록. 페이지를 열 때 방문한 경로,
bx_vid값, 유입 사이트 주소(호스트만), 캠페인 표시, 사건 이름 (체험 완료 등)과 걸린 시간을 서버로 보냅니다. 서버는bx_vid값을 되돌릴 수 없게 변환해 날짜별 방문 수를 세는 데에만 쓰며, IP 주소와 브라우저 정보는 저장하지 않습니다. 관리자 화면·자동화 브라우저·회사 내부 계정에서는 보내지 않습니다. 방문 기록은 13개월 뒤 삭제합니다. - 맞춤형 광고. 회사는 행태정보를 수집해 맞춤형 광고에 쓰지 않으며, 외부 광고·분석 도구(구글 애널리틱스 등)를 심지 않습니다.
- 거부 방법. 브라우저 설정에서 쿠키와 사이트 데이터를 막거나 지울 수 있습니다. 로그인 쿠키를 막으면 로그인이 필요한 기능을 쓸 수 없고, 브라우저 저장소를 지우면 방문 통계용 문자열과 지난번 로그인 방법 안내, 대화 사본이 사라집니다(서버의 학습 기록은 그대로입니다).
10. 운영 주체와 개인정보 보호책임자
| 구분 | 내용 |
|---|---|
| 운영 주체 | PERSCERA Inc. |
| 개인정보 보호책임자 | 유동현 |
| 열람·정정·삭제·처리정지 요구 접수 부서 | 개인정보 보호 담당(support@brainxen.com) |
| 연락처 | support@brainxen.com |
개인정보 열람·정정·삭제·처리정지 요구, 동의 철회, 개인정보 관련 문의와 불만은 위 연락처로 보내 주시면 지체 없이(늦어도 10일 이내) 답변하고 처리합니다. 유출 사고의 신고·상담도 같은 연락처로 받습니다.
11. 권익침해 구제 방법
개인정보 침해에 대한 상담·신고가 필요하면 아래 기관에 문의할 수 있습니다.
- 개인정보분쟁조정위원회: 1833-6972 (www.kopico.go.kr)
- 개인정보침해신고센터: 118 (privacy.kisa.or.kr)
- 대검찰청 사이버수사과: 1301 (www.spo.go.kr)
- 경찰청 사이버수사국: 182 (ecrm.police.go.kr)
12. 방침의 변경과 시행일
이 방침을 바꿀 때에는 시행 7일 전부터 서비스 화면에 알리고(이용자에게 불리한 변경은 30일 전 · 이메일로도 알림), 바뀐 내용을 아래 표에 남겨 이전 판과 비교할 수 있게 합니다. 문서 버전은 동의 기록에 함께 저장됩니다.
| 문서 버전 | 시행일 | 주요 변경 |
|---|---|---|
| 2026-10-29.8 | 2026-10-29 | 선택 동의 한 가지 신설 — 주간 리그 참여(league_participation)(제2-3조). 선택 동의 추가만이며 동의하지 않은 이용자의 처리는 바뀌지 않음 · 공지한 날부터 시행 |
| 2026-10-03.7 | 2026-10-03 | 선택 동의 세 가지 신설 — 학교 단위 비교 포함(school_compare)·진학 결과 추후 활용(outcome_followup)·성적 서류 검증(score_doc_verify)(제2-3조). 선택 동의 추가만이며 동의하지 않은 이용자의 처리는 바뀌지 않음 · 공지한 날부터 시행 |
| 2026-09-25.6 | 2026-09-25 | Vercel 접속 로그 보관 기간 정정 1시간 → 1일(회사가 쓰는 Vercel 요금제는 Pro · 제3-2조), 만 14세 미만 문구를 "만 14세 미만의 아이는 부모님(법정대리인)만 가입할 수 있습니다"로 통일(제6조 제1항)하고 법정대리인의 권리에 부모님 계정 안에서의 직접 행사를 더함(제5조 제6항), 보호자 공유 대상은 만 14세 이상 학생(제3-1조) · 알릴 기존 외부 이용자가 남아 있지 않아 공지한 날부터 바로 시행 |
| 2026-09-25.5 | 2026-09-25 | 확인 항목을 실측값으로 — 서버 요청 기록 7일·데이터베이스 백업 7일(복구 시점 지정 3일)·Vercel 접속 로그 1시간(제2-1조·제3-2조·제4조), AI 사업자 보유 기간(Anthropic 30일 · Google 제한 기간)과 유료 API 이용 명시(제3조), 데이터베이스 저장 암호화 AES-256·TLS 명시(제7조) · 알릴 기존 외부 이용자가 남아 있지 않아 공지한 날부터 바로 시행 |
| 2026-09-25.4 | 2026-09-25 | 만 14세 미만 아동은 스스로 가입할 수 없고 부모님(법정대리인) 계정으로만 이용(제6조 · 보호자 확인 대기 흐름 폐지) · 관리자 2단계 인증 확인 완료(제7조) · 옛 Neon 사본 삭제 완료(제3-2조) · 알릴 기존 외부 이용자가 남아 있지 않아 공지한 날부터 바로 시행 |
| 2026-09-25.3 | 2026-09-25 | 법률 검토 사례 반영 개정 — 수탁사 표 정정(데이터베이스는 Render 에 있음 · Neon 삭제 · GitHub 추가 · 수탁자 연락처 · 결제·드라이브 연동은 꺼짐), 국외 AI 처리를 이전받는 자·국가·시기·방법·항목·목적·기간·거부 방법으로 기재(제3조), 개인정보 취급자 접속 기록 2년 보관·월 1회 점검(제2-1조·제7조), 서버 요청 기록·운영 기록·방문 기록의 보유 기간과 자동 파기(제4조 제7항), 탈퇴 시 삭제 범위를 실제 처리와 같게(제4조 제4항), 익명 집계의 잔존(제2-1조 제1항·제4조 제6항), 담당 선생님·학원 강사 제공 사실을 실제와 같게(제3-1조), 열람(내 데이터 내려받기·동의 이력)·처리정지 10일·전송 요구 대상 아님(제5조), 아동 안내 문서·아동 선택동의 서버 차단(제6조), 유출 대응 72시간(제7조), 광고 14일 통지·표시 의무·현재 미발송(제8조), 브라우저 저장소 항목 전수와 맞춤형 광고 없음(제9조), 접수 부서(제10조) · 알릴 기존 외부 이용자가 남아 있지 않아 공지한 날부터 바로 시행 |
| 2026-09-25.2 | 2026-09-25 | 처리위탁·국외이전 수탁사 명시(제3-2조: Render·Neon·Vercel·Cloudflare·Discord·Google Drive — 위탁 업무·항목·국가·보유 기간), 가입 방법을 구글 계정으로 한정(카카오는 준비되면 공지 · 제1-1조), 카카오 추가 항목과 미리 채우기 쿠키 안내 삭제 · 알릴 기존 외부 이용자가 남아 있지 않아 공지한 날부터 바로 시행 |
| 2026-09-25.1 | 2026-09-25 | 운영 주체·개인정보 보호책임자 명시, 계약 이행 항목과 동의 항목을 나눈 표, 선택 정보(학습 정보·이용자 통계 정보·학습 알림 연락처)와 홍보·마케팅 목적 이용·광고성 정보 수신(채널별·야간) 동의 신설, 로그인 방법(구글·카카오)별 제공 항목, 접속 기록 보유 기간(3개월)·관리자 조회 기록, 안전성 확보 조치 항목별 정리, 파기 절차·방법, 자동 수집 장치, 권익침해 구제 방법 추가 · 알릴 기존 외부 이용자가 남아 있지 않아 공지한 날(2026-09-25)부터 바로 시행 |
| 2026-09-07.1 | 2026-09-07 | 직전 버전 |