개인정보 처리방침
본 개인정보 처리방침은 CEDIA Investigación y Desarrollo, S.L.(이하 "운영자")가 "AI 심리상담사"(ko.psychologistai.ai 및 모든 관련 서비스)에서 이용자의 개인정보를 어떻게 수집·이용·보관·보호하는지를 EU 일반 개인정보 보호법(규정(EU) 2016/679, GDPR)과 스페인 개인정보 보호법(Ley Orgánica 3/2018, LOPDGDD)에 따라 설명합니다. 서비스를 이용하기 전에 주의 깊게 읽어 주세요.
1. 개인정보 관리자
| 관리자 | CEDIA Investigación y Desarrollo, S.L. |
|---|---|
| NIF/VAT 번호 | B93806404 |
| 주소 | Av. Aragón 30, 46021 Valencia, España |
| 서비스 | AI 심리상담사 — 인공지능 기반 정서적 웰빙 가상 어시스턴트 |
| 연락처 | support@psicologoia.ai |
| 적용 법령 | GDPR (EU) 2016/679 · LOPDGDD 3/2018 |
2. 수집하는 정보와 그 이유
2.1 가입 및 계정 정보
- 이름 또는 사용자 이름
- 이메일 주소
- 비밀번호(암호화하여 저장하며 평문으로 저장하지 않음)
- 가입일과 최근 접속일
2.2 이용 및 대화 정보
- AI 어시스턴트와 나눈 대화 내용
- 플랫폼 내 이용 기록
- 세션 기술 정보(IP 주소, 기기 유형, 브라우저, 운영체제)
- 플랫폼 내 행동 정보(방문 페이지, 세션 시간)
민감정보 — 건강 관련 정보(GDPR 제9조): 대화에는 이용자의 정서적·심리적 상태나 정신 건강에 관한 정보가 포함될 수 있습니다. GDPR은 이를 특수 범주의 정보로 분류하여 강화된 보호를 요구합니다. 처리의 법적 근거는 가입 시 별도의 체크박스로 표시한 이용자의 명시적 동의(GDPR 제9조 제2항 a호)입니다. 동의는 언제든 철회할 수 있으며, 철회 전 처리의 적법성에는 영향을 주지 않습니다. 운영자는 이 정보를 임상적 결정이나 진단에 사용하지 않으며, 의료기관, 보험사, 고용주 또는 권한 없는 제3자와 공유하지 않습니다.
2.3 결제 정보
- 구독 관리에 필요한 정보(Stripe가 처리하며, 운영자는 카드 번호를 저장하지 않음)
- 결제 내역과 영수증
2.4 방문 정보 및 쿠키
- 자체 쿠키 및 제3자 쿠키(제7조 및 쿠키 정책 참고)
- 광고 캠페인 측정을 위한 Meta 픽셀(제5조 참고)
- 웹 분석 정보
2.5 수집하지 않는 정보
- 만 18세 미만의 정보를 의도적으로 수집하지 않습니다.
- 신용카드 정보를 저장하지 않습니다(전적으로 Stripe가 관리).
- 생체 정보나 정밀한 위치 정보를 수집하지 않습니다.
3. 처리 목적과 법적 근거
모든 처리에는 GDPR 제6조에 따른 구체적인 목적과 법적 근거가 있습니다.
| 목적 | 처리 정보 | 법적 근거(GDPR 제6조) |
|---|---|---|
| 가입 및 계정 접속 관리 | 이메일, 비밀번호, 사용자 이름 | 계약 이행(6조 1항 b) |
| AI 어시스턴트 서비스 제공 | 대화, 세션 정보 | 계약 이행(6조 1항 b) + 건강 정보에 대한 명시적 동의(9조 2항 a) |
| 구독 및 결제 관리 | 결제 정보, 결제 내역 | 계약 이행(6조 1항 b) + 법적 의무(6조 1항 c) |
| 거래 관련 연락(가입 확인, 결제 알림 등) | 이메일 | 계약 이행(6조 1항 b) |
| 광고성 정보 및 뉴스레터 발송 | 이메일, 이름 | 동의(6조 1항 a) + LSSI 제21조 |
| 서비스 분석 및 개선 | 익명화된 이용 정보 | 정당한 이익(6조 1항 f) |
| Meta(Facebook/Instagram) 맞춤형 광고 | 방문 정보, Meta 픽셀, 오디언스 목록 | 쿠키 관리를 통한 동의(6조 1항 a) |
| 법적 의무(세무·회계) 이행 | 결제 정보 | 법적 의무(6조 1항 c) |
| 보안, 사기 방지, 오남용 탐지 | IP, 세션 정보, 로그 | 정당한 이익(6조 1항 f) |
4. 수탁자 및 국외 이전
서비스 제공을 위해 GDPR 제28조에 따른 처리자(수탁자)로서 다음 업체와 협력합니다.
| 업체 | 역할 | 국가/소재지 | GDPR 보호 조치 |
|---|---|---|---|
| Anthropic, PBC | 대화 처리(AI 모델 Claude) | 미국/다지역 | DPA + 표준계약조항(SCC) 모듈 2·3 |
| Hostinger International Ltd. | 플랫폼 호스팅 및 웹 인프라 | 리투아니아(EU) | EEA 내 — 국외 이전 없음 |
| Stripe, Inc. | 결제 처리 및 구독 관리 | 미국/EU 사무소 아일랜드 | DPA + SCC + PCI-DSS 인증 |
| Brevo (Sendinblue SAS) | 거래 이메일 및 광고성 정보 발송 | 프랑스(EU) | EEA 내 — 국외 이전 없음 |
| Meta Platforms Ireland Ltd. | Facebook·Instagram 광고(Meta 픽셀, 오디언스) | 아일랜드(EU)/미국 | DPA + SCC + EU-미국 데이터 프라이버시 프레임워크 |
4.1 국외 이전
일부 업체를 이용할 때 주로 미국으로, 유럽경제지역(EEA) 밖으로 정보가 이전됩니다. 이러한 이전은 유럽연합 집행위원회가 채택한 표준계약조항(시행결정 2021/914)에 근거하며, Meta의 경우 2023년 7월 집행위원회의 적정성 결정으로 채택된 EU-미국 데이터 프라이버시 프레임워크에도 근거합니다.
4.2 Anthropic(API)의 데이터 보존
운영자는 상업용 조건(소비자 계정이 아님)으로 Anthropic API를 이용합니다. 이 조건에서 Anthropic은 대화의 입력과 출력을 수신 또는 생성 후 최대 7일 이내에 삭제하며, API 데이터를 AI 모델 학습에 사용하지 않습니다. 예외적으로 오남용 탐지 시스템에 의해 대화가 표시된 경우 Anthropic의 허용 사용 정책에 따라 최대 2년까지 보존될 수 있습니다.
5. 소셜 미디어 광고 — Meta 광고
운영자는 서비스 홍보를 위해 Meta 광고(Facebook 광고, Instagram 광고)를 이용하며 다음 기술을 사용합니다.
5.1 Meta 픽셀
Meta 픽셀은 운영자가 웹사이트에 설치하는 JavaScript 코드입니다. 이용자가 마케팅 쿠키를 수락한 경우 방문 페이지, 행동, 전환 등 행동 정보를 수집하여 다음 목적으로 Meta Platforms에 전송합니다.
- 광고 캠페인 효과 측정(전환, 획득 비용)
- 이미 사이트를 방문한 이용자에게 광고를 보여 주기 위한 맞춤 오디언스 생성
- 기존 이용자와 비슷한 특성을 가진 새로운 이용자에게 도달하기 위한 유사 오디언스 생성
- 전환 가능성이 높은 이용자에게 광고 전달 최적화
Meta 픽셀은 이용자가 쿠키 관리 패널에서 사전에 동의한 경우에만 작동합니다. 마케팅 쿠키를 거부하면 픽셀이 실행되지 않으며 Meta로 정보가 전송되지 않습니다. 동의는 웹사이트의 쿠키 설정에서 언제든지 철회할 수 있습니다.
5.2 맞춤 오디언스 및 리마케팅
운영자는 광고성 정보 수신에 명시적으로 동의한 이용자의 이메일 목록을 암호화(SHA-256 해시)하여 Meta와 공유할 수 있습니다(Custom Audiences from Customer List). 이용자는 support@psicologoia.ai로 연락하거나 Facebook 계정의 광고 설정에서 언제든지 이에 반대할 수 있습니다.
5.3 Meta와의 공동 관리
Meta 픽셀 사용과 관련하여 운영자와 Meta Platforms Ireland Ltd.는 Meta와 체결한 공동 관리자 부속서(Controller Addendum)에 따라 GDPR 제26조의 공동 관리자로 행동합니다. Meta의 정보 처리 방식은 Meta의 개인정보 처리방침에서 확인할 수 있습니다.
5.4 명시적 제한: 건강 정보와 광고
운영자는 플랫폼에서 나눈 대화 정보나 이용자의 정신적·정서적 건강 상태를 드러낼 수 있는 어떠한 정보도 Meta에 사용하거나 공유하지 않습니다. Meta 픽셀은 방문 행동(방문, 클릭, 전환) 수준에서만 작동하며 대화 내용에 접근하지 않습니다. 이 제한은 절대적입니다.
6. 광고성 정보 및 이메일 마케팅
운영자는 이메일 발송에 Brevo(Sendinblue SAS, 프랑스·EU)를 이용합니다. Brevo는 처리자로서 GDPR에 부합하는 DPA를 체결하고 있습니다.
6.1 연락의 종류
- 거래 관련 연락: 가입 확인, 계정 인증, 결제 알림, 구독 갱신 알림, 비밀번호 재설정. 계약 이행에 필요하며 별도 동의가 필요하지 않습니다.
- 광고성 정보: 뉴스레터, 프로모션, 서비스 소식, 정서적 웰빙에 관한 콘텐츠. 사전에 명시적 동의가 필요하며(LSSI 제21조), 각 이메일의 수신 거부 링크나 support@psicologoia.ai로 언제든지 수신을 거부할 수 있습니다.
6.2 Brevo가 처리하는 정보
이메일 발송을 위해 Brevo는 이메일 주소, 이용자 이름, 발송 관련 기술 메타데이터(오픈율, 클릭, 반송)를 받아 처리합니다. 대화 정보는 Brevo로 전송되지 않습니다.
6.3 수신 거부
광고성 정보는 이유를 밝히지 않고 언제든지 수신을 거부할 수 있습니다. 방법: 모든 광고성 이메일 하단의 "수신 거부" 링크, support@psicologoia.ai로 직접 요청, 계정 패널의 설정.
7. 쿠키 및 추적 기술
본 웹사이트는 자체 쿠키와 제3자 쿠키를 사용합니다. 주요 범주는 다음과 같습니다.
| 범주 | 목적 | 예시 | 동의 |
|---|---|---|---|
| 기술적/필수 | 사이트 기본 작동, 사용자 세션, 보안 | 세션 쿠키, CSRF 토큰 | 불필요(LSSI 제22조 제2항) |
| 분석 | 트래픽과 이용자 행동의 집계 분석 | Google Analytics 등 | 필요 |
| 마케팅/광고 | 전환 측정, 리마케팅, 맞춤 오디언스 | Meta 픽셀(_fbp, _fbc) | 필요 |
| 환경 설정 | 이용자 설정(언어, 화면 설정) 기억 | 화면 설정 쿠키 | 필요 |
사용하는 쿠키와 보존 기간, 관련 제3자에 대한 자세한 내용은 쿠키 정책을 확인하세요. 쿠키 설정 패널에서 언제든지 동의를 관리하거나 철회할 수 있습니다.
8. 보존 기간
| 정보 범주 | 보존 기간 | 근거 |
|---|---|---|
| 계정 정보(이메일, 이름) | 계약 기간 + 탈퇴 후 5년 | 법적 의무(민사상 청구권 시효) |
| 대화 기록(플랫폼) | 계정이 유지되는 동안 또는 삭제 요청 시까지 | 서비스 제공 |
| Anthropic 서버의 대화 | 최대 7일(상업용 API) | API 고객에 대한 Anthropic의 보존 정책 |
| 결제 정보 | 영수증 발행일로부터 5년 | 세법상 의무(스페인 조세기본법 Ley 58/2003) |
| 보안 및 접속 로그 | 12개월 | 보안에 관한 정당한 이익 + LSSI 제12조 |
| 이메일 마케팅 정보(구독자) | 동의 철회 또는 수신 거부 시까지 | 동의(철회 가능) |
| 마케팅 쿠키 정보(Meta 픽셀) | _fbp / _fbc 쿠키 최대 90일 | Meta Platforms 정책 |
9. 이용자의 권리
이용자는 관리자인 운영자에게 언제든지 다음 권리를 행사할 수 있습니다.
| 권리 | 내용 |
|---|---|
| 열람 | 자신의 정보가 처리되고 있는지 확인하고 열람 |
| 정정 | 부정확하거나 불완전한 정보의 정정 요구 |
| 삭제 | 더 이상 필요하지 않거나 동의를 철회한 정보의 삭제 요구 |
| 처리 제한 | 일정한 경우 처리의 중단 요구 |
| 이동 | 다른 관리자에게 전달할 수 있도록 구조화되고 일반적으로 사용되는 형식으로 정보 수령 |
| 반대 | 정당한 이익에 근거한 처리나 직접 마케팅 목적의 처리에 반대 |
| 동의 철회 | 언제든지 동의 철회(철회 전 처리에는 영향 없음) |
| 자동화된 결정의 대상이 되지 않을 권리 | 자동화된 처리만으로 이루어져 중대한 영향을 미치는 결정에 사람의 개입 요구 |
권리 행사 방법: 행사하려는 권리를 밝히고 신분증 사본을 첨부하여 support@psicologoia.ai로 이메일을 보내 주세요. 요청을 받은 날로부터 최대 30일 이내에 답변합니다.
AEPD 민원: 정보 처리가 법령에 맞지 않는다고 생각되면 스페인 개인정보보호청(www.aepd.es)에 민원을 제기할 수 있습니다.
10. 보안 조치
운영자는 GDPR 제32조에 따라 위험에 맞는 적절한 기술적·관리적 조치를 시행합니다.
- TLS 1.2 이상(HTTPS)을 통한 전송 데이터 암호화
- 저장 데이터(데이터베이스, 백업) 암호화
- 안전한 해시 함수(bcrypt 등)로 비밀번호 저장
- 정당한 필요가 있는 직원으로 데이터 접근 제한
- 관리자 접근에 대한 2단계 인증
- 정기적인 보안 감사와 취약점 관리
- 보안 침해 대응 절차의 문서화
이용자의 권리와 자유에 위험을 초래하는 보안 침해가 발생하면, 운영자는 이를 안 날로부터 72시간 이내에 AEPD에 통지하고 GDPR 제34조에 따라 영향을 받은 이용자에게 지체 없이 알립니다.
11. 미성년자
본 서비스는 만 18세 이상만을 대상으로 합니다. 가입 시 이용자는 성인임을 명시적으로 확인합니다. 운영자는 미성년자의 정보를 의도적으로 수집하지 않으며, 이용자가 만 18세 미만임이 확인되면 즉시 계정을 해지하고 정보를 삭제합니다. LOPDGDD 제7조에 따라 만 14세 미만의 정보 처리에는 부모 또는 법정대리인의 동의가 필요합니다.
12. 개인정보 처리방침의 변경
운영자는 법령·판례의 변경이나 서비스 변경에 맞추어 본 방침을 변경할 수 있습니다. 중요한 변경은 시행 최소 15일 전에 이메일로 알립니다. 최신 버전은 최종 업데이트 날짜와 함께 항상 웹사이트에 게시합니다.
13. 준거법 및 관할
본 방침은 스페인 법과 개인정보 보호에 관한 유럽 법령을 따릅니다. 본 방침과 관련된 분쟁은 AEPD에 민원을 제기할 이용자의 권리를 해치지 않는 범위에서, 스페인 내 이용자 주소지를 관할하는 법원을 관할 법원으로 합니다.
최종 업데이트: 2026년 10월 (버전 1.0 기준)