DuoVault 개인정보처리방침

제1조 (수집하는 개인정보 항목)

회사는 서비스 제공을 위해 다음과 같은 정보를 수집합니다.

이메일 주소: Google 계정으로 로그인하는 경우, Google이 제공하는 이메일 주소가 인증 기록(Firebase Authentication)에 저장됩니다. Apple 계정으로 로그인하는 경우에도 이메일 주소를 요청합니다. 이때 Apple이 제공하는 '나의 이메일 가리기'를 선택하면 실제 주소 대신 Apple이 만든 전달용 주소가 저장됩니다. 이메일 주소는 같은 사람이 Apple과 Google로 각각 로그인해 계정이 둘로 나뉘는 것을 막고, 기존 금고를 찾아 하나의 계정으로 연결하는 데에만 사용합니다. 광고나 마케팅 메일에는 쓰지 않습니다. 이 값은 앱 화면에 표시되지 않으며, 파트너에게 공개되는 프로필에도 포함되지 않습니다.

Android 앱의 로그인: Google 로그인은 기기의 Google 계정 선택 화면(Android Credential Manager)으로, Apple 로그인은 브라우저 탭(Custom Tab)에서 열리는 Apple 웹 로그인으로 진행됩니다. 회사가 받는 정보는 위 로그인 정보와 같습니다.

진단 정보·크래시 기록: 사진이 열리지 않는 문제와 앱의 비정상 종료 원인을 찾기 위해 위 표의 값만 전송합니다. 크래시 기록은 Google(Firebase Crashlytics)이 처리합니다. 파일 이름, 파일 내용, 앨범명, 촬영 정보 등 사진과 연결될 수 있는 값은 포함되지 않습니다. 앱 내 설정 › 금고 상태 점검에서 전송되는 내용을 그대로 확인하고 전송을 끌 수 있습니다.

이용 단계: 앱을 쓰기 시작해 어느 단계까지 진행했는지를 단계별로 처음 도달한 시각 하나씩만 기록합니다. 어떤 버튼을 눌렀는지, 무엇을 담았는지, 얼마나 자주 쓰는지는 수집하지 않습니다. 사진·동영상의 내용이나 파일 정보와는 무관합니다. 이 기록은 위 진단 정보와 같은 스위치를 따르며, 앱 내 설정 › 금고 상태 점검에서 전송을 끄면 함께 중단됩니다.

광고 유입 정보 (2026년 11월 22일부터): 앱은 Apple이 제공하는 AdServices 기능으로 일회용 토큰을 받아 회사 서버로 보내고, 회사 서버는 이 토큰으로 Apple에 조회해 Apple Search Ads 광고를 통해 설치됐는지와 그 광고의 정보만 받아 저장합니다. 광고 식별자(IDFA)는 쓰지 않고, 다른 회사의 앱·웹사이트에서의 활동을 추적하지 않으며, 맞춤형 광고에 쓰지 않습니다. 설치 식별값은 계정과 별개로 앱을 설치할 때마다 무작위로 만들어지는 값이며, 구매할 때 App Store 거래에 함께 실려 어떤 광고가 구독으로 이어졌는지 세는 데에만 쓰입니다. 이 기록은 진단 정보와 같은 스위치를 따르며, 앱 내 설정 › 금고 상태 점검에서 전송을 끄면 보내지 않습니다. 광고 유입 정보는 iPhone 앱에서만 수집하며, Android 앱은 수집하지 않습니다.

구독 상태 변경 이력 (2026년 11월 22일부터): App Store가 회사 서버로 보내는 구독 알림(App Store Server Notifications)을 Apple 서버에서 다시 확인한 뒤 위 표의 값만 기록합니다. 카드 번호 등 결제 수단 정보는 Apple이 관리하며 회사는 받지 않습니다.

Google Play 결제 (Android 앱, 2026년 11월 22일부터): Android 앱에서 구독할 때와 구독 상태를 다시 확인할 때(구독 화면 열기, 구매 복원 등) 앱이 Google Play가 발급한 구매 토큰과 상품 ID를 회사 서버로 보냅니다. 회사 서버는 이 토큰으로 Google(Google Play Developer API)에 조회해 구독 상태와 만료 시각을 확인한 뒤 Premium을 적용합니다. 구독이 갱신·해지·환불되면 Google Play가 보내는 알림(실시간 개발자 알림)을 받아 같은 방법으로 다시 확인합니다. 같은 구매를 다른 계정이 쓰지 못하도록 구매 토큰을 계정(UID)과 묶어 보관합니다. 카드 번호 등 결제 수단 정보는 Google이 관리하며 회사는 받지 않습니다. Google Play의 알림은 구독 상태를 맞추는 데에만 쓰고, 위 구독 상태 변경 이력으로 기록하지 않습니다.

정품 앱 확인 (Android 앱, 2026년 11월 22일부터): Android 앱은 회사 서버(Firebase)에 접근할 때 Firebase App Check로 정품 앱인지 확인받습니다. 이때 기기의 Google Play 서비스가 앱 정보(패키지 이름·버전·서명 인증서), 기기의 Google 계정에 앱 사용권이 있는지, 기기 무결성 정보로 판정 토큰(Play Integrity)을 만들고 Google이 이를 확인합니다. 이 판정은 Google Play 서비스 약관에 따라 Google이 처리하며, 회사는 토큰과 판정 결과를 저장하지 않습니다. 사진·동영상과 계정 정보는 이 확인에 보내지 않습니다.

기기 안에만 있는 정보: 침입 기록(틀린 금고 암호가 입력된 시각과, 이용자가 켠 경우 그때 전면 카메라로 찍은 사진)과 암호화 백업 파일은 이용자의 기기 또는 이용자가 고른 저장 위치에만 있으며 회사로 전송되지 않습니다. 카메라는 이용자가 침입 기록의 사진 촬영을 켠 경우에만 사용합니다.

앱 암호(비밀번호)와 암호화 마스터 키는 수집되지 않으며, 이용자의 기기에만 저장됩니다(iPhone은 Keychain, Android는 Keystore로 보호). 사진·동영상은 암호화된 암호문 형태로만 저장·전송되어 회사가 내용을 열람할 수 없습니다.

제2조 (개인정보의 처리 목적)

수집한 개인정보는 다음 목적 이외의 용도로 사용되지 않습니다.

1. 커플 금고 계정 동기화 및 파트너 연결
2. 열람 이력 등 서비스 기능 제공
3. Premium 구독 제공 및 혜택 산정
4. 서비스 운영·보안(정품 앱 확인, 결제의 부정 사용 방지)·고객지원·오류 해결 및 안정성 개선
5. 광고 효과 측정, 구독 해지·만료 원인 파악 (2026년 11월 22일부터)

제3조 (개인정보의 처리 위탁 및 제3자 제공)

회사는 서비스 제공을 위해 다음과 같이 개인정보 처리를 위탁합니다.

Apple 로그인(Sign in with Apple)과 App Store 결제·구독 관리, Google 로그인과 Google Play 결제·정기 결제 관리는 이용자가 Apple 또는 Google과 직접 이용하는 기능으로, 각 사의 개인정보 처리방침에 따라 처리됩니다. 회사는 그 결과로 받은 사용자 식별자·표시 이름·이메일(제1조)과 거래 식별 정보(App Store 거래 식별 정보, Google Play 구매 토큰)만 처리합니다. 2026년 11월 22일부터는 광고 유입 정보를 Apple(AdServices)로부터, 구독 상태 변경 이력을 Apple(App Store Server Notifications)로부터 받습니다. 광고 유입 조회에는 앱이 Apple로부터 받은 토큰만 Apple에 보내며, 그 밖의 정보는 Apple에 제공하지 않습니다. 같은 날부터 Android 앱의 결제 확인에는 Google Play가 발급한 구매 토큰만 Google에 보냅니다.

회사는 관련 법령에 따라 동의를 받은 경우나 법령상 의무가 있는 경우를 제외하고, 개인정보를 제3자에게 제공하지 않습니다. 커플 금고의 연결 상대방에게는 서비스의 본질적 기능으로서 표시 이름, 공개키, 구독 상태와 커플 금고에 올린 항목(암호화되어 상대방 기기에서만 열림)이 공유됩니다.

제3조의2 (개인정보의 국외 이전)

커플 금고의 사진·동영상(암호문)과 썸네일, 계정·구독(Google Play 구매 토큰 포함)·이용 기록, 광고 유입 정보는 대한민국 서울(Google Cloud asia-northeast3)에 보관되며 국외로 이전되지 않습니다. 다만 아래 정보는 수탁자의 국외 시스템에서 처리됩니다.

근거: 「개인정보 보호법」 제28조의8 제1항 제3호 가목 — 이용자와의 계약 이행에 필요한 처리위탁·보관으로서 본 방침에 공개합니다.

제4조 (개인정보의 보관 및 파기)

1. 개인 금고 데이터는 이용자의 기기에만 보관되며, 서버에 저장되지 않습니다.
2. 커플 금고 데이터(서버의 암호문·썸네일)는 이별 모드를 시작한 때부터 7일이 지나면(소유자가 삭제를 미뤄 둔 경우 그 기한이 지나면) 이용약관 제6조의2에 따라 삭제되며(2026년 11월 11일부터 소유자가 아닌 이용자가 시작한 경우에는 삭제되지 않고 소유자에게 남습니다), 계정 또는 커플 금고를 삭제하는 경우에도 지체 없이 삭제됩니다. 삭제는 매일 한 번 진행되는 정리 작업에서 실행됩니다.
3. 계정 정보(결제·구독 정보와 Android 앱의 Google Play 구매 토큰 포함)는 계정을 삭제할 때까지, 크래시 기록은 수집 후 90일 동안 보관합니다.
4. 광고 유입 정보는 수집 후 1년, 구독 상태 변경 이력은 수집 후 2년 동안 보관한 뒤 매일 한 번 진행되는 정리 작업에서 삭제합니다(2026년 11월 22일부터).
5. 회사는 보존 의무가 있는 경우를 제외하고, 처리 목적 달성 후 지체 없이 개인정보를 파기합니다. 서버의 전자적 파일은 복구할 수 없는 방법으로 삭제합니다.

제5조 (이용자의 권리와 행사 방법)

1. 이용자는 언제든지 개인정보의 열람·정정·삭제·처리정지를 요구할 수 있습니다. 앱 내 "앱 초기화(전체 삭제)" 또는 계정 삭제(설정 → 계정 → 계정 삭제)로 직접 삭제할 수 있고, 로그아웃으로 이용을 중단할 수 있으며, 그 밖의 요청은 지원 페이지의 연락처로 해 주시기 바랍니다. 앱이 없어도 이메일로 계정 삭제를 요청할 수 있으며, 방법과 지워지는 범위는 계정 삭제 안내에 있습니다. 회사는 지체 없이 조치합니다.
2. 암호화로 인한 한계: 사진·동영상은 이용자 기기에서 암호화되며 회사는 이를 복호화할 수 없습니다. 회사가 처리하는 것은 계정 정보와 내용을 알 수 없는 암호문입니다. 따라서 회사는 사진·동영상의 내용을 기준으로 한 열람·정정·선별 삭제에는 응할 수 없으며, 이러한 권리는 이용자가 앱에서 항목을 직접 삭제하는 방식으로 행사할 수 있습니다.
3. 공유된 사진: 커플 금고의 사진에는 연결된 두 사람이 함께 담길 수 있습니다. 상대방이 올린 항목의 삭제와 이별 모드의 동작은 이용약관 제6조의2를 따르며, 상대방이 자신의 기기에 따로 저장한 사본은 회사가 삭제할 수 없습니다.
4. 광고 유입 정보: 계정이 아닌 무작위 설치 식별값으로 저장되어 회사가 특정 이용자의 기록을 골라내기 어렵습니다. 원하지 않으시면 앱의 설정 › 금고 상태 점검에서 진단 정보 전송을 끄면 보내지 않으며, 앱을 지우고 다시 설치하면 새 식별값이 만들어져 이전 기록과 이어지지 않습니다.

제5조의2 (민감정보)

회사는 민감정보를 수집하지 않습니다. 이용자가 올린 사진·동영상에 민감한 내용이 담길 수 있으나, 회사는 이를 열람할 수 없는 암호문으로만 보관하며 내용을 이용·분석하지 않습니다.

제6조 (보안 조치)

회사는 종단간 암호화(E2E), 기기 보안 저장소(iPhone Keychain·Android Keystore) 기반 키 관리, 정품 앱 확인(Firebase App Check), 최소 권한 원칙에 따른 서버 접근 통제 등 기술적·관리적 보안 조치를 적용합니다. 다만, 암호화 특성상 암호 분실 시 데이터 복구가 불가능함을 유의해 주시기 바랍니다.

제7조 (아동의 개인정보)

본 서비스는 만 14세 미만의 아동을 대상으로 하지 않으며, 만 14세 미만 이용자의 개인정보는 수집하지 않습니다.

제8조 (개인정보 보호책임자)

개인정보 처리에 관한 문의, 불만 처리, 피해 구제는 아래로 연락해 주십시오.

• 개인정보 보호책임자: 조승규
• 이메일: [email protected]
• 회사: 주식회사 엑스티아이 (XTI Co., Ltd.) · 사업자등록번호 362-87-03342
• 주소: 서울특별시 강서구 양천로 94, 2층(방화동) 07604

제8조의2 (권익침해 구제 방법)

개인정보 침해에 대한 신고나 상담이 필요한 경우 아래 기관에 문의할 수 있습니다.

• 개인정보분쟁조정위원회: www.kopico.go.kr · 1833-6972
• 개인정보침해신고센터(한국인터넷진흥원): privacy.kisa.or.kr · 118
• 대검찰청: www.spo.go.kr · 1301
• 경찰청: ecrm.police.go.kr · 182

제9조 (고지의 의무)

본 방침의 내용이 변경될 경우, 개정일과 변경 사유를 명시하여 적용일 7일 전부터 서비스 내 공지 또는 본 문서를 통해 고지합니다. 수집 항목이 늘어나는 등 이용자의 권리에 중대한 영향을 미치는 변경은 적용일 30일 전부터 고지하고 앱 내 공지 등으로 따로 알립니다.

개정 이력

• 2026년 10월 23일 고지 · 2026년 11월 22일 적용 — 광고 효과 측정을 위한 광고 유입 정보(Apple Search Ads), 구독 상태 변경 이력, 이용 단계의 무료 체험 시작 시각을 수집 항목에 추가하고(제1조), 처리 목적(제2조), 정보를 받는 곳(제3조), 보관 장소(제3조의2), 보관 기간(제4조: 광고 유입 정보 1년, 구독 상태 변경 이력 2년), 거부 방법(제5조)을 적었습니다. 수집 항목이 늘어나는 변경이므로 제9조에 따라 적용일 30일 전에 고지하고 앱 안에서도 따로 알리며, 해당 수집은 적용일부터 시작됩니다. 함께, 앱 1.3.0의 침입 기록과 암호화 백업 파일이 기기 안에만 저장되고 회사로 전송되지 않는다는 점을 적었습니다(제1조, 즉시 적용). 또한 Android 앱 출시에 맞춰 Google Play 결제 정보(구매 토큰·상품 ID·구독 상태)와 Android 앱이 남기는 사용 플랫폼·앱 버전을 수집 항목에(제1조), 정품 앱 확인과 결제의 부정 사용 방지를 처리 목적에(제2조), Google LLC(Google Play)의 결제 확인·알림 전달·무결성 판정(Play Integrity)을 위탁 업무에(제3조), 그 국외 처리를 제3조의2에, 구매 토큰의 보관 기간을 제4조에, Android의 키 보관(Keystore)과 정품 앱 확인을 제6조에 적었습니다. 이 Android 항목도 같은 날(2026년 11월 22일)부터 적용합니다. iPhone 앱이 이미 쓰고 있던 정품 앱 확인(Firebase App Check)도 함께 적었습니다(수집 항목 변화 없음).
• 2026년 10월 7일 개정 · 즉시 적용 — 법률 자문에 따라 이미 하고 있는 처리를 더 정확히 적었습니다. 처리 위탁을 표로 정리하고, 국외 이전 조항(제3조의2)·민감정보(제5조의2)·권익침해 구제 방법(제8조의2)을 추가했으며, 보관·파기 시점, 암호화로 인한 권리 행사의 한계, 보호책임자 성명을 명시했습니다. 중대한 변경의 고지 기간을 30일로 늘렸습니다. 수집 항목이나 이용 범위가 늘어나는 변경은 없습니다.
• 2026년 9월 25일 개정 · 2026년 10월 2일 적용 — Apple 계정 로그인 시에도 이메일 주소를 요청하도록 바꿨습니다. 같은 사람이 로그인 방법을 바꿔 계정이 둘로 나뉘는 것을 막고 기존 금고에 다시 연결하기 위해서입니다. 수집 항목이 늘어나는 변경이므로 제9조에 따라 고지 7일 후부터 적용하며, 해당 수집은 적용일 이후 배포되는 앱 버전에서 시작됩니다.
• 2026년 9월 10일 개정 · 2026년 9월 17일 적용 — 앱 이용 단계 도달 기록을 수집 항목에 추가하고, 크래시 기록 항목에 처리된 오류의 사유 코드를 명시했습니다. 수집 항목이 늘어나는 변경이므로 제9조에 따라 고지 7일 후부터 적용하며, 해당 수집은 적용일 이후 배포되는 앱 버전에서 시작됩니다.
• 2026년 9월 8일 개정 · 2026년 9월 15일 적용 — 앱 안정성 개선을 위한 진단 정보·크래시 기록 수집 항목을 추가했습니다. 수집 항목이 늘어나는 변경이므로 제9조에 따라 고지 7일 후부터 적용하며, 해당 수집은 적용일 이후 배포되는 앱 버전에서 시작됩니다.
• 2026년 9월 8일 개정 · 즉시 적용 — Google 계정 로그인 시 저장되는 이메일 주소가 수집 항목에서 누락돼 있어 추가했습니다. 실제 수집 범위가 넓어지는 변경이 아니라, 이전부터 이루어지던 수집을 정확히 적은 정정입니다.
• 2026년 9월 8일 개정 · 즉시 적용 — 제공이 종료된 반응(사랑해요/행복해요) 기능 관련 수집 항목을 삭제했습니다. 수집 항목이 줄어드는 변경입니다.
• 2026년 8월 16일 — 최초 제정