개인정보처리방침
시행일: 2026년 6월 21일
1. 수집하는 개인정보 및 데이터 항목
서비스 제공을 위해 다음을 수집·처리합니다.
- 계정 정보: 이메일 주소, GitHub 계정 식별자(로그인명)
- 연동 정보: GitHub 설치 ID, 접근 가능 저장소 목록, GitHub 설치 토큰(암호화 저장, 평문 보관 안 함)
- 스캔 데이터: 저장소 소스코드(스캔 중 일시 처리), 스캔 결과·점수·취약점 내역, 생성된 수정 PR 정보
- 이용 기록: 접속·처리 로그, IP 주소, 작업 감사 로그(스캔/PR 생성 등)
- 결제 정보: 구독 등급·상태(결제 자체는 토스페이먼츠 등 결제대행사가 처리, 카드정보는 당사가 보관하지 않음)
- 익명 통계(텔레메트리): 서비스 품질 개선을 위해 취약점 종류·심각도·CWE·언어/스택 등 익명 집계 통계를 수집합니다. 소스코드 원문·유출된 키 값·저장소/이용자 식별정보는 저장하지 않으며, 특정 고객·저장소로 역추적되지 않습니다.
- 익명 대화 로그(AI 도우미): 챗봇(AI 도우미) 답변 품질 개선을 위해 대화 내용(질문·답변)을 익명으로 수집합니다. 이용자·이메일·IP 등 신원 정보는 저장하지 않으며, 대화에 포함된 이메일·API 키·토큰 등은 저장 전 자동으로 가려져(마스킹) 특정 개인으로 역추적되지 않습니다.
- 내 대화 기록(AI 도우미): 로그인한 이용자가 도우미와 나눈 대화를 본인 계정에 저장해, 새로고침하거나 화면을 옮겨도 이어서 볼 수 있게 합니다. 본인만 열람할 수 있고, 도우미 화면의 지난 대화 목록에서 언제든 삭제할 수 있으며, 마지막 대화일로부터 90일이 지나면 자동으로 삭제됩니다. 위 익명 통계와는 별도의 저장소에 보관하며 두 기록을 서로 연결하지 않습니다.
- 방문 행동 데이터(서비스 이용 분석): 서비스·화면 개선을 위해 방문 경로(유입 링크·UTM 캠페인), 페이지 조회, 클릭(터치), 화면 간 이동, 화면별 체류시간을 완전 익명으로 수집합니다. 신원은 브라우저가 생성한 무작위 익명 식별자(브라우저 로컬 저장소)만 사용하며, 이용자·계정·이메일과 연결하지 않습니다(로그인 여부와 무관하게 익명). 원본 IP는 저장하지 않고 국가 정보만 파생하며, 초대·리포트 등 토큰이 포함된 주소와 화면에 표시된 이메일·키 등은 저장 전 자동으로 가려집니다(마스킹). 이 데이터는 당사 서버에만 저장되며 광고·마케팅 목적으로 제3자에게 제공하지 않습니다.
2. 수집·이용 목적
- 보안 스캔 수행 및 한국어 리포트·수정 제안(PR) 제공
- 서비스 제공에 필요한 본인 식별·인증, 구독 관리
- 장애 대응, 부정 이용 방지, 서비스 품질 개선
- 법령상 의무 이행
3. 보유 및 이용 기간 (파기)
- 소스코드: 레포 사본은 스캔 처리 직후 지체 없이 삭제. 리포트 표시를 위해 발견된 문제의 위치(파일 경로·줄 번호)와 주변의 짧은 코드 조각은 점검 기록으로 보관하며, 시크릿의 평문 값은 저장하지 않습니다.
- 설치 토큰: 연동 해제(앱 삭제) 시 즉시 파기.
- 스캔 결과·리포트: 구독 기간 동안 보관, 해지 후 30일 내 파기(고객 요청 시 즉시 파기).
- 이용·감사 로그: 부정 이용 방지·분쟁 대응 목적상 1년 보관 후 파기.
- 방문 행동 데이터: 계정과 연결되지 않는 익명 데이터로, 서비스 개선·통계 목적으로 보관합니다.
- 내 대화 기록(AI 도우미): 마지막 대화일로부터 90일 보관 후 자동 삭제. 이용자가 직접 삭제하면 즉시 파기.
- 법령에서 별도 보존을 요구하는 경우 해당 기간 동안 보관.
4. 처리위탁 및 개인정보의 국외 이전
서비스 제공을 위해 아래 수탁자에게 처리를 위탁하며, 일부 개인정보·데이터가 국외에서 처리됩니다. 「개인정보 보호법」 제28조의8에 따라 국외 이전 사항을 아래와 같이 고지하고, 가입·연동 시 별도 동의를 받습니다.
Anthropic, PBC — 국외(미국) · 문의 privacy@anthropic.com
- 이전 항목: 스캔 대상 소스코드의 일부(취약점 주변 코드), 스캔 결과 요약
- 이전 국가·시기·방법: 미국 · 스캔/리포트 생성 시점 · HTTPS API 호출로 전송
- 이용 목적: AI 기반 보안 리포트·수정 제안 생성(복수 AI 모델 제공자 중 하나로 이용 예정)
- 보유·이용 기간: Anthropic API 정책상 일정 기간 보관 후 삭제(모델 학습에 미사용). 당사는 데이터처리계약(DPA) 체결을 원칙으로 함
OpenAI, L.L.C. — 국외(미국) · 문의 privacy@openai.com
- 이전 항목: 스캔 대상 소스코드의 일부(취약점 주변 코드), 스캔 결과 요약
- 이전 국가·시기·방법: 미국 · 스캔/리포트 생성 시점 · HTTPS API 호출로 전송
- 이용 목적: AI 기반 보안 리포트·수정 제안 생성
- 보유·이용 기간: OpenAI API 정책상 최대 30일 보관 후 삭제(모델 학습에 미사용). 당사는 데이터처리계약(DPA) 체결을 원칙으로 함
Oracle Corporation (Oracle Cloud Infrastructure) — 국외(일본)
- 이전 항목: 스캔 대상 소스코드, 스캔 결과·리포트 데이터(스캔 인프라 이전 시)
- 이전 국가·시기·방법: 일본 · 스캔 실행 시 · HTTPS API 호출/클라우드 컴퓨팅
- 이용 목적: 보안 스캔 실행을 위한 클라우드 컴퓨팅 인프라
- 보유·이용 기간: 스캔 처리 직후 지체 없이 삭제(다른 스캔 인프라와 동일 원칙 적용)
GitHub, Inc. — 국외(미국)
- 이전 항목: 저장소 식별자, 설치 정보, 스캔·수정 PR 관련 메타데이터
- 이전 국가·시기·방법: 미국 · 연동 및 스캔 시 · HTTPS API 호출
- 이용 목적: 저장소 연동·스캔 실행·수정 PR 생성
- 보유·이용 기간: 연동 유지 기간(앱 삭제 시 즉시 파기)
Vercel, Inc. — 국외(미국 등 글로벌 CDN)
- 이전 항목: 접속 로그, IP 주소
- 이전 국가·시기·방법: 미국 등 · 웹/대시보드 접속 시 · HTTPS
- 이용 목적: 웹·대시보드 호스팅 및 콘텐츠 전송
- 보유·이용 기간: 서비스 제공 기간
※ Supabase(데이터 저장, DB)는 국내 서울 리전에서 처리되어 국외 이전에 해당하지 않습니다.
재이전(하위 수탁자): 위 수탁자가 업무의 일부를 자신의 하위 수탁자에게 재위탁하거나 개인정보를 제3국으로 재이전할 수 있습니다(2026-09-11 시행 개정법 대응). 이 경우 당사는 관련 법령에 따라 그 사실을 본 방침·동의 절차로 고지하며, 법령이 요구하는 경우 별도의 동의를 받습니다.
이전 거부 방법·절차 및 효과: 이용자는 위 국외 이전·재이전에 동의하지 않을 수 있으며, 가입/연동 화면에서 동의를 거부하거나 개인정보 보호책임자(§8)에게 요청할 수 있습니다. 다만 코드를 외부 AI로 전송하지 않으면 AI 기반 리포트·수정 제안 기능 이용이 제한되며, 규칙 기반 점검만 제공됩니다.
5. 정보주체의 권리
이용자는 언제든 본인 정보에 대한 열람·정정·삭제·처리정지를 요구할 수 있으며, 연동 해제 시 관련 토큰·데이터는 즉시 파기됩니다.
권리 행사는 보호책임자(§8) 연락처로 서면·이메일 등을 통해 접수하며, 당사는 요청일부터 10일 이내에 조치하고 그 결과를 통지합니다. 법정대리인 또는 위임받은 자를 통한 행사도 가능합니다.
6. 안전성 확보 조치 및 유출 시 통지
- 설치 토큰 등 민감정보 암호화 저장(AES-256-GCM).
- 데이터베이스 행 수준 보안(RLS)으로 고객 간 데이터 격리.
- 전송 구간 암호화(HTTPS), 접근 권한 최소화(저장소 권한은 필요한 범위만 요청).
- 소스코드 사본은 처리 후 즉시 삭제해 보관 위험 최소화(리포트용 발견 위치·짧은 코드 조각은 보관, 시크릿 평문 값 제외).
개인정보 유출 사실을 알게 된 때에는 관련 법령에 따라 지체 없이 정보주체에게 유출된 항목·시점·경위와 당사의 대응조치·문의처를 통지하고, 필요한 경우 개인정보보호위원회 등 관계기관에 신고합니다.
7. 쿠키
로그인 세션 유지 및 연동 식별을 위해 필수 쿠키를 사용합니다. 서비스 개선을 위한 자체(1차) 이용 분석에는 쿠키 대신 브라우저 로컬 저장소에 저장되는 무작위 식별자를 사용하며, 광고·추적 목적의 제3자 쿠키는 사용하지 않습니다.
8. 개인정보 보호책임자
성명: 이주호
연락처: contact@tumensecurity.com · 050-6663-2921
사업자: ThinkThinkPlease (사업자등록번호 748-19-02437)
통신판매업 신고번호: 제2025-충남홍성-0106호
사업장 소재지: 충청남도 홍성군 홍성읍 충절로 953번길 20
본 방침의 시행일: 2026년 6월 21일 · 이전 버전 대비 변경 시 공지합니다.