웰로디 개인정보 처리방침

초안 — 법률 검토 전. 법률 자문이 아님.
이 문서는 실제 서비스 코드에서 확인한 자료 흐름을 바탕으로 쓴 초안입니다. 사업자 정보·보유 기간 등 〔 〕로 표시한 곳은 아직 정해지지 않았습니다.

〔사업자 결정: 운영자 이름(회사명 또는 개인사업자명) — BD-30〕(이하 ‘회사’)는 건강 기록·진료 준비 앱 웰로디(Wellody)(이하 ‘서비스’)를 이용하는 분의 개인정보를 「개인정보 보호법」에 따라 처리하고 보호합니다. 이 처리방침은 무엇을, 왜, 얼마나 오래, 누구와 함께 처리하는지와 이용자가 어떻게 권리를 행사할 수 있는지를 알려 드립니다.

한눈에 보기

제1조 처리하는 개인정보 항목

1. 회원가입·로그인 (필수)

로그인 시 인증 서버(Supabase Auth)는 마지막 로그인 시각과 접속 IP 주소 등 인증 기록을 남깁니다. 〔확인 필요: Supabase Auth 감사 로그 항목·보관 기간〕

2. 서비스 이용 중 이용자가 직접 남기는 정보

‘없음’ ‘모름’ ‘기록 안 함’은 서로 다르게 저장합니다. 비워 둔 칸을 0이나 ‘정상’으로 바꾸지 않습니다.

성생활 관련 정보(성 건강 기록)는 더 좁게 다룹니다. 이용자 본인만 볼 수 있고, 가족과 함께 보기 범위에 넣을 수 없습니다(서버 권한 규칙이 막습니다). 오늘 화면·위젯·알림·잠금 화면, 하루 요약·셈, 예시 자료에는 나오지 않습니다. 진료 자료에는 그 자료를 만들 때 이용자가 ‘성 건강’ 칸을 켠 경우에만, 마디 도우미(로디)에는 이용자가 ‘도우미가 읽어도 돼요’를 켠 경우에만, 내보내기 파일에는 내보낼 때 고른 경우에만 들어갑니다. 이 영역은 켤 때 그 자리에서 따로 동의를 받습니다(민감정보(성생활) 별도 동의, 개인정보 보호법 제23조). 동의 화면에는 저장하는 항목, 볼 수 있는 사람(본인만), 기본으로 빠지는 곳, 끄고 지우는 방법을 적고, 이용자가 ‘동의하고 켜기’를 눌러야만 켜집니다. 동의한 문구의 판과 시각을 기록으로 남기며, 이 동의가 없으면 서버가 성 건강 기록을 새로 저장하지 않습니다. 영역을 끄면 동의 철회로 기록하고, 이때 남긴 기록을 함께 지우거나(지운 뒤 잠깐 동안 되돌릴 수 있고, 그 뒤 파기) 남겨 두고 숨길 수 있습니다. 남겨 둔 기록은 다시 켜거나 지울 때까지 어디에도 보이지 않으며, 기록마다 지우거나 계정을 삭제해 지울 수도 있습니다. 내 기록 잠금을 켜면 다른 기록처럼 기록 종류(성 건강 기록이라는 것)까지 기기에서 암호화되어 저장됩니다.

3. 기기·건강 앱에서 가져오는 정보 (선택, 읽기만)

이용자가 ‘기기·건강 앱 연결’에 동의하고, 휴대폰의 권한 창에서 항목별로 허용한 경우에만 읽습니다. 웰로디는 건강 앱에 쓰지 않습니다.

4. 자동으로 생성·수집되는 정보

회사는 광고 식별자, 정밀 위치, 연락처, 통화·문자 기록을 수집하지 않습니다. 오류(크래시) 분석 도구와 외부 이용 분석 도구는 현재 쓰지 않습니다. 〔사업자 결정: 분석·크래시 도구 도입 여부 — BD-12. 도입하면 이 조항을 먼저 고칩니다.〕

5. 기기 안에서만 처리하고 회사가 받지 않는 정보

• 음성: 말로 기록할 때 음성은 기본적으로 휴대폰 안에서 글로 바꿉니다. 녹음 파일은 저장하지 않습니다. 이용자가 설정에서 ‘휴대폰 음성 서비스’를 고르거나 웹 브라우저에서 음성 입력을 쓰면, 음성 인식은 휴대폰·브라우저 제공자(애플·구글)가 처리할 수 있으며 그 처리는 해당 제공자의 방침을 따릅니다. 회사는 음성을 받지 않습니다.
• 현재 위치: ‘현재 위치 쓰기’를 누르면 가장 낮은 정확도로 한 번만 읽어 가까운 시·군·구를 고르고, 위치 값은 저장·전송하지 않습니다. 저장하는 것은 동네(시·군·구) 이름뿐입니다.
• 말·글 해석: 기록 문장을 항목으로 나누는 기본 해석은 기기 안 규칙으로 합니다.
• 로그인 없이 쓰는 ‘예시 체험’·‘이 기기에만 저장’ 모드: 기록이 기기 밖으로 나가지 않습니다(약 정보·병원 찾기·날씨 조회는 아래 제4조처럼 검색어·동네만 보냅니다).

6. 기능별 처리 경로 한눈에

앱 › 설정 › AI·개인정보 › ‘보내는 것·지금 처리 경로’에서도 같은 표를 볼 수 있습니다.

제2조 처리 목적

건강 자료는 광고·마케팅, 개인 맞춤 광고, 개인정보 판매, 보험·고용·신용 판단에 쓰지 않습니다. 이용자 기록을 AI 학습에 제공하지 않습니다.

제3조 처리 및 보유 기간

• 원칙: 회원 탈퇴(계정 삭제) 때까지 보유하고, 삭제를 요청하면 지체 없이 파기합니다.
• 계정 삭제를 누르면 그 즉시 접근이 막히고, 서비스 서버의 기록·원본 파일·진료 자료·공유 링크·가족 권한·동의 기록·대화, 외부 AI 사용량 기록, 호출 횟수 제한용 해시, 초대 코드·공유 링크 시도 기록, 그리고 로그인 계정(이메일·로그인 수단 식별값)이 지워집니다. 기기 안 보관본과 잠금 열쇠도 함께 지웁니다.
• 삭제 대장에는 지운 계정의 식별값과 시각만 남깁니다(백업에서 복원할 때 다시 지우기 위해, 내용 없음). 다른 이용자가 이용자에게 열어 준 기록을 이용자가 본 접근 내역은, 그 기록 당사자의 접근 내역이라 당사자 쪽에 남습니다.

앱이 없거나 앱에 들어갈 수 없으면 웹 안내 페이지(/delete-account)의 방법으로 삭제를 요청할 수 있습니다.

제4조 개인정보 처리의 위탁과 국외 이전

1. 처리 위탁

〔사업자 결정: 각 수탁자와의 위탁 계약(데이터 처리 부속서·DPA) 체결 — BD-03·BD-06·BD-30〕

2. 국외 이전 (법 제28조의8)

외부 AI는 기본적으로 꺼져 있고, 이용자가 설정에서 ‘동의하고 외부 AI 켜기’를 누른 경우에만 동작합니다. 끄면 그 즉시 외부 전송이 멈추고 기기 안 규칙으로만 처리합니다. 외부 AI 동의를 거부해도 다른 기능은 그대로 쓸 수 있습니다.

음식 사진으로 분석의 결과(음식 이름·추정 양·추정 영양값)는 초안이며, 이용자가 검토 화면에서 고치고 ‘이대로 남기기’를 눌러야 기록이 됩니다. 영양값은 모두 사진으로 본 양을 바탕으로 한 추정치로 표시합니다. 로그인 없는 예시 체험의 식사 사진 결과는 기기 안 시연 결과이며 외부로 보내지 않습니다.

음식 열량 AI 추정의 결과(음식 이름·추정 1회 양·추정 열량 범위·탄단지)는 초안이며 ‘AI 추정 · 확인 후 저장’으로 표시됩니다. 이용자가 열량·양을 확인하거나 고친 뒤 담아야 기록이 되고, 식약처 식품영양성분DB 값이 있는 음식은 그 값을 덮지 않습니다. 같은 음식 이름·양 글에 대한 추정 결과는 비용을 줄이려고 계정과 연결하지 않은 채(음식 글의 해시를 열쇠로) 서비스 서버에 최대 90일 보관해 다시 씁니다. 사용량 기록에는 음식 글을 남기지 않습니다.

외부 AI 동의 문구(판 draft-2026-10-20)는 위 표의 여섯 기능을 모두 적고 있습니다(draft-2026-10-19에 동의한 이용자는 ‘음식 열량 AI 추정’이 더해져, draft-2026-10-18에 동의한 이용자는 ‘음식 사진으로 분석’도 더해져 다시 확인합니다). 문구 판이 바뀌면, 예전 판에 동의한 이용자에게는 다음에 외부 AI 기능을 쓰기 전에 바뀐 내용을 보여 주고 다시 동의를 받습니다(다른 기능은 그대로 쓸 수 있음). 서비스 서버도 요청마다 지금 판 동의가 있는지 확인합니다.

〔확인 필요: Supabase는 미국 법인이나 저장 지역은 서울입니다. 국외 이전 해당 여부(원격 접근·지원 등)는 법률 검토 필요.〕

3. 개인정보를 보내지 않는 외부 조회

다음 조회는 개인정보를 보내지 않도록 설계했습니다. 모두 웰로디 서버 함수를 거치며, 외부 기관에는 이용자 계정·IP가 전달되지 않습니다.

약 정보·질병 이름 조회 결과는 같은 검색어를 다시 부르지 않도록 서버에 임시 저장(캐시)하며, 이 캐시에는 누가 찾았는지를 남기지 않습니다.

제5조 개인정보의 제3자 제공

회사는 이용자의 개인정보를 제3자에게 제공하지 않습니다. 다만 다음은 이용자가 직접 요청한 경우에만 일어납니다.

• 진료 자료 공유 링크: 이용자가 내용을 확인한 진료 자료을 링크로 만들면, 링크와 (고른 경우) 6자리 확인 코드를 가진 사람은 로그인 없이 그 자료 한 장을 볼 수 있습니다. 링크는 정한 기간(최대 30일)이 지나거나 이용자가 철회하면 열리지 않습니다. 열람 횟수와 열람 사실은 이용자에게 보입니다. 이름·생일을 넣을지는 이용자가 고릅니다. 약 메모는 ‘진료 자료에 넣지 않기’를 켜지 않으면 함께 들어갑니다.
• PDF·이미지로 저장·공유, 진료실에서 화면 보여 주기: 휴대폰의 공유 기능으로 이용자가 고른 곳에 보냅니다. 이미 보낸 파일은 회사가 지울 수 없습니다.
• 가족과 함께 보기(실험 기능, 기본 숨김): 이용자가 승인한 사람에게 이용자가 고른 범위만 보여 줍니다. 언제든 줄이거나 철회할 수 있습니다. 성생활 관련 정보(성 건강 기록)는 이 범위에 넣을 수 없습니다. 내 기록 잠금을 켜면 현재는 가족 공유를 새로 할 수 없습니다.
• 법령에 특별한 규정이 있거나 법령상 의무를 지키기 위해 불가피한 경우.

제6조 개인정보의 파기 절차 및 방법

• 절차: 삭제 요청 접수 → 즉시 접근 차단 → 서비스 서버의 원본 파일·기록·사용량 기록 삭제 → 로그인 계정 삭제 → 백업 사본은 보관 주기에 따라 소멸 〔사업자 결정: 기한 — BD-05·BD-31〕. 백업에서 복원하는 경우에도 삭제 대장에 따라 지운 기록을 다시 지웁니다.
• 방법: 전자 파일은 복구할 수 없는 방법으로 삭제합니다. 종이 문서는 만들지 않습니다.
• 건강 앱 연결을 해제할 때 ‘가져온 기록 함께 지우기’를 고르면 건강 앱에서 가져온 기록을 지웁니다.

제7조 정보주체와 법정대리인의 권리·의무 및 행사 방법

이용자는 언제든 다음 권리를 행사할 수 있습니다.

• 앱으로 하기 어려우면 아래 개인정보 보호책임자에게 요청할 수 있으며, 회사는 〔사업자 결정: 처리 기한, 법정 10일 이내 권장〕 안에 답합니다.
• 대리인을 통해서도 행사할 수 있습니다(위임장 필요).
• 내 기록 잠금 관련: 비밀 문구와 복구 코드를 둘 다 잃으면 회사도 잠긴 기록을 되살릴 수 없습니다. 이때 할 수 있는 것은 잠긴 기록을 지우고 새로 시작하는 것입니다. 문의할 때 비밀 문구·복구 코드를 적지 마세요. 회사는 이를 묻지 않습니다.

만 14세 미만 아동

〔사업자 결정: 만 14세 미만 이용 정책 — BD-07(성인 본인 확인 방식)와 함께. 초안 제안: “웰로디는 만 14세 미만 아동의 회원가입을 받지 않습니다. 만 14세 미만 아동의 정보가 수집된 것을 알게 되면 지체 없이 삭제합니다.” 가족이 아이 기록을 관리하는 기능을 열 경우 법정대리인 동의 절차(법 제22조의2) 필요.〕

제8조 안전성 확보 조치

• 통신 암호화: 앱·웹과 서버, 서버와 외부 기관 사이는 암호화된 통신(HTTPS)을 씁니다. 〔확인 필요: 식품안전나라 조회는 기관 주소가 http — 검색어만 오가며 개인정보 없음〕
• 접근 통제: 모든 기록 조회·변경은 권한 확인을 거칩니다. 권한이 없으면 기록의 존재 여부도 알려 주지 않습니다. 데이터베이스는 행 단위 접근 규칙(RLS)으로 본인과 본인이 허락한 사람만 읽게 합니다. 파일 저장소는 공개되지 않습니다.
• 비밀값 관리: 외부 AI·공공데이터 키는 서버에만 두고 앱에 넣지 않습니다.
• 로그 최소화: 서버 로그와 사용량 기록에 건강 기록 내용·질문 원문·사진·정밀 위치를 남기지 않습니다. 호출 제한에는 계정·IP의 해시만 씁니다.
• 호출 제한·비용 상한: 외부 AI는 하루 횟수와 월 비용 상한을 둡니다. 공유 링크·확인 코드는 틀린 시도를 1시간에 10번으로 막습니다.
• 내 기록 잠금(선택 — 켜면 일부 항목을 기기에서 암호화한 뒤 저장): 켜면 기록 내용과 사진·서류 파일을 기기에서 암호화(XChaCha20-Poly1305)한 뒤 올립니다. 암호를 푸는 열쇠는 이용자의 비밀 문구·복구 코드로만 열리고, 회사는 예비 열쇠를 갖지 않습니다. 그래서 서버에 저장된 기록 내용은 회사도 열어 볼 수 없습니다. 다만 다음은 암호화 밖입니다.
  외부 AI를 켜고 요청할 때 보내는 사진·문장(요청을 처리하는 동안)
  공유 링크로 보낸 진료 자료 사본(링크가 유효한 동안)
  계정·동의·이용권·문의·접근 내역
  저장 시각·용량·기록 수·프로필 식별값 같은 기술 정보
  웹판은 열 때마다 서버에서 앱 코드를 받아 오므로 앱판보다 보호 수준이 낮을 수 있습니다.
• 기기 보관: 앱판은 열쇠를 휴대폰 보안 저장소(Keychain/Keystore)에 둡니다. 로그아웃하면 기기의 열쇠를 지웁니다.
• 〔사업자 결정: 내부 관리계획 수립, 개인정보취급자 지정·교육, 접근 권한 관리 절차, 접속기록 보관(「개인정보의 안전성 확보조치 기준」) — BD-30〕

제9조 자동으로 수집하는 장치의 설치·운영 및 거부

• 모바일 앱은 쿠키를 쓰지 않습니다. 로그인 상태와 설정은 기기 저장소에 둡니다.
• 웹판은 로그인 상태 유지를 위해 브라우저 저장소(localStorage·IndexedDB)를 씁니다. 광고·추적 쿠키, 외부 분석 도구는 쓰지 않습니다. 브라우저 설정에서 사이트 데이터를 지우면 로그아웃됩니다. 〔확인 필요: 배포된 웹판의 실제 쿠키 유무 점검〕
• 행태정보(광고 목적의 이용 기록)를 수집하지 않습니다.

제10조 건강 앱(Apple 건강·헬스 커넥트) 자료에 대한 추가 약속

• 이용자가 허용한 항목만, 읽기만 합니다. 생리 항목은 따로 켤 때만 읽습니다.
• 성생활 항목(Apple 건강 ‘성생활’·헬스 커넥트 ‘성생활’)은 현재 읽지 않습니다. 앞으로 읽게 되면 ‘성 건강’ 영역을 켠 이용자가 따로 허용할 때만 읽습니다.
• 가져온 자료는 이 앱의 하루 기록·돌아보기·진료 자료에만 씁니다.
• 광고·마케팅에 쓰지 않고, 팔지 않으며, 광고 플랫폼·데이터 중개인에게 넘기지 않습니다. 보험·고용·신용 판단에 쓰지 않습니다.
• 이용자의 명시적 요청(공유 링크·PDF 등) 없이 제3자와 나누지 않습니다.
• 사람이 직접 읽는 것은 이용자의 요청(문의 첨부 등)·보안 목적·법령상 의무가 있을 때로 한정합니다.
• 건강 앱 자료를 iCloud에 두지 않습니다.
• 클라우드 계정이면 가져온 자료도 다른 기록처럼 서비스 서버에 저장되고, 내 기록 잠금을 켜면 함께 암호화됩니다. 연결을 해제할 때 가져온 기록을 함께 지울 수 있습니다.

제11조 개인정보 보호책임자

앱 안 ‘문의·오류 신고’로도 연락할 수 있습니다. 문의 내용은 운영자가 읽습니다.

제12조 권익침해 구제 방법

개인정보 침해로 상담이나 구제가 필요하면 아래 기관에 문의할 수 있습니다.

• 개인정보분쟁조정위원회: (국번없이) 1833-6972, www.kopico.go.kr
• 개인정보침해신고센터(한국인터넷진흥원): (국번없이) 118, privacy.kisa.or.kr
• 대검찰청 사이버수사과: (국번없이) 1301, www.spo.go.kr
• 경찰청 사이버수사국: (국번없이) 182, ecrm.police.go.kr

〔확인 필요: 공개 직전 각 기관 연락처 재확인〕

제13조 처리방침의 변경

이 처리방침을 바꿀 때는 시행 7일 전(이용자에게 불리하거나 중요한 변경은 30일 전)부터 앱 안 공지와 이 페이지로 알립니다. 수집 항목이나 목적이 늘어나는 변경은 다시 동의를 받습니다.

• 공고일: 〔사업자 결정〕
• 시행일: 〔사업자 결정〕
• 이전 판: 〔없음 — 첫 판〕
• 초안 고친 내역: 2026-10-21 — 앱 화면 이름에 맞춰 ‘진료 요약’ 표기를 ‘진료 자료’로 바꿈(같은 기능의 이름만 — 처리 항목·목적·보유 기간·제공 범위는 그대로)