개인정보 처리방침 — 집선반 (Homeshelf)
시행일: [게시일] · 최종 업데이트: [게시일]
집선반(이하 "앱")은 기기에 먼저 저장하는 앱입니다. 회원님이 입력한 물건·공간·기한 기록은 기본적으로 이 휴대폰 안에만 저장됩니다. 다음은 예외이며 아래에서 각각 밝힙니다.
- 클라우드 동기화·가족 공유를 켠 경우 — 기록이 서버에 보관되고, 같은 가족 목록의 구성원이 볼 수 있습니다(2·3항, 기본값 꺼짐, 이용에는 체험 또는 정기결제가 필요합니다).
- 사진은 언제나 이 휴대폰에 저장되고, 클라우드 동기화를 켠 경우에만 가족에게 전달되기 위해 국외 저장소에 함께 보관됩니다(4항). 동기화를 쓰지 않으시면 물건·장소 사진은 휴대폰을 떠나지 않습니다(영수증 읽기는 3번 — 동기화와 별개입니다).
- 영수증 사진으로 물건 담기를 쓰실 때 — 그 영수증 사진이 국외의 AI 분석 서비스로 전송됩니다(4.1항). 이 기능을 쓰지 않으면 전송은 일어나지 않습니다.
- 익명 사용 통계 — 식별자 없이 숫자만 하루 한 번 보냅니다. 기본으로 켜져 있고, 앱이 한 번 안내한 뒤부터 보내며, 설정에서 끌 수 있습니다(6항).
- 광고(Google AdMob)(7항) 와 인앱결제(Google Play)(8항).
1. 이 휴대폰 안에만 저장되는 것 (기본)
클라우드 동기화를 켜지 않으면 회원가입·로그인이 없고, 아래 기록을 서버로 보내지 않습니다.
| 데이터 | 저장 위치 | 목적 |
|---|---|---|
| 물건(이름·카테고리·수량·단위·메모·구매처·가격·보증 정보) | 기기 로컬 DB | 물건 관리 |
| 공간(방·가구·칸 구조와 이름) | 기기 로컬 DB | 위치 기록 |
| 기한(소비기한·유통기한·개봉 후 기한, 「대략」 여부) | 기기 로컬 DB | 기한 알림 |
| 입출 기록(등록·다 씀·옮김·삭제) | 기기 로컬 DB | 이력 표시 |
| 사진(찍거나 고른 경우) | 기기 저장 공간(앱 전용) | 물건·위치 확인 |
| 앱 설정(알림 시각·임박 기준·조용한 시간·큰 글씨·테마·익명 집계 여부) | 기기 로컬 저장소 | 앱 동작 |
- 이름·이메일·전화번호 같은 식별 정보를 받지 않습니다.
- 앱을 삭제하면 이 기록도 함께 삭제됩니다. 백업 파일로 직접 내보내 두실 수 있습니다(설정 › 백업·복원).
2. 클라우드 동기화 (선택 · 기본값 꺼짐)
회원님이 직접 켠 경우에만 동작합니다. 목적은 ① 휴대폰을 바꾸거나 다시 설치해도 기록을 이어 쓰는 것, ② 가족이 같은 목록을 함께 쓰는 것(3항)입니다.
2.1 계정
- Google 계정 로그인이 필요합니다. 로그인하면 이메일 주소와 계정 표시 이름을 받아 계정 확인과 복구에만 씁니다.
- 로그인 화면은 Google이 제공하며, 앱은 비밀번호를 받지도 보관하지도 않습니다.
- 로그인 전에 만 14세 이상인지 확인합니다. 만 14세 미만은 클라우드 동기화와 가족 공유를 쓸 수 없습니다(그 밖의 기능은 로그인 없이 쓸 수 있습니다). 로그인 직전 확인에서 막으며, 기기 안에서만 쓰는 기능은 계정도 수집도 없어 나이와 관계없이 쓸 수 있습니다.
2.2 서버에 보관되는 것
| 데이터 | 비고 |
|---|---|
| 1항의 물건·공간·기한·입출 기록(사진 파일 제외 — 4항) | 동기화 대상. 회원님이 적은 메모·구매처가 포함됩니다 |
| 사진의 기록(어느 보관함·물건의 사진인가 · 저장소 키 · 가로·세로 · 용량) | 사진 파일 자체는 R2에 있고(4항), 서버에는 이 기록만 보관합니다 |
| 사진 위 핀 좌표(사진 안에서 그 물건이 있는 지점) | 가족·다른 기기가 같은 자리를 보도록. 휴대폰의 위치 정보가 아니라 사진 안의 한 점입니다 |
| 가족 목록 식별자 · 구성원 역할(관리자/가족) · 가족 안 표시 이름 | 3항 |
| 계정 식별자 · 기기 식별자 · 변경 시각 · 변경한 구성원 | 어느 기기·누가 바꾼 기록인지 가리기 위함 |
| 이메일 주소 · 계정 표시 이름 | 2.1 |
- 앱 설정(알림·테마 등)은 기기별 값이라 서버에 보관하지 않습니다.
2.3 보관 장소 (처리 위탁)
- 저장소·인증: Supabase(AWS 서울 리전, ap-northeast-2). 판매·제공이 아니라 앱 운영을 위한 처리 위탁입니다.
- 통신은 HTTPS로 암호화됩니다.
3. 가족 공유
- 관리자나 가족이 만든 초대 링크·코드(8자리 · 7일 동안 한 번 · 보낸 사람이 취소 가능)로 같은 가족 목록에 들어올 수 있습니다. 한 계정은 가족 목록 하나에만 속합니다. 가족은 최대 6명입니다.
- 같은 가족 목록의 구성원은 서로의 기록을 모두 봅니다: 물건·공간·기한·메모·사진과 사진 위의 핀, 그리고 누가 넣고 바꿨는지(가족 안 표시 이름). 구성원끼리 서로의 이메일 주소는 보이지 않습니다.
- 가족 안 표시 이름: 처음에는 Google 계정 표시 이름의 이름 부분으로 정해지고, 가족 화면에서 언제든 바꿀 수 있습니다.
- 합류할 때: 회원님 휴대폰의 기존 기록을 ① 가족 목록에 합치거나(그러면 가족 모두가 봅니다) ② 백업 파일로 이 휴대폰에 저장해 두고 가족 목록을 받는 것 중에서 고릅니다.
- 나갈 때: 지금까지의 목록은 회원님 휴대폰에 사본으로 남습니다(사진은 이 휴대폰에 있는 것만 — 회원님이 찍은 사진과, 가족 사진 중 이 휴대폰에 내려와 있는 것). 회원님이 가족 목록에 올린 기록은 가족 공동의 기록으로 가족 목록에 남고, 변경한 사람 표시는 「{표시 이름}(나감)」으로 바뀝니다(계정을 삭제하면 「삭제된 가족」). [사용자 확인: 나간 구성원·탈퇴자가 자기 기록을 가족 목록에서 지우도록 요청할 수 있게 할지]
- 관리자는 다른 가족이 있으면 관리자 역할을 넘겨야 나갈 수 있고, 계정을 지우면 가장 먼저 합류한 가족에게 넘어갑니다. 구독은 가족 목록에 남으며, 결제는 구독한 사람의 Google Play 계정에서 계속됩니다(해지는 Play에서 — 8.4).
4. 사진
- 사진은 언제나 이 휴대폰에 저장됩니다. 서버에 올리지 못해도 사진 보기·위치 표시는 그대로 동작합니다. 사진을 고를 때는 시스템 사진 선택기를 써서 사진 접근 권한을 요청하지 않습니다.
- 올리기 전에 크기를 줄이고 촬영 위치 등 EXIF 정보를 지웁니다. 선반·보관 장소 사진은 긴 변 1024px, 물건 사진은 긴 변 640px로 줄입니다. 미리보기 이미지는 따로 보관하지 않고 받는 기기에서 만듭니다.
- 클라우드 동기화를 켠 경우 줄인 사진 파일이 가족 구성원의 기기로 전달되도록 Cloudflare R2에 보관됩니다.
- 가족이 올린 사진은 그 사진을 보는 때 한 장씩 이 휴대폰으로 받습니다(모아서 한꺼번에 받지 않습니다).
- 주고받기는 기본적으로 모든 네트워크에서 합니다. 데이터 요금을 아끼고 싶으시면 설정 › 데이터 › 「Wi-Fi에서만 사진 동기화」를 켜 주세요 — 올리기와 받기를 함께 Wi-Fi(이더넷 포함)로 제한하고, 종류를 알 수 없는 연결(VPN 등)은 요금이 붙는 것으로 보아 기다립니다. 이 설정은 요금제가 휴대폰마다 다르므로 기기별 값으로 두고 서버에 보관하지 않습니다(2.2).
- 가족 목록마다 사진 공간은 10MB이고, 추가 용량은 정기결제로 늘릴 수 있습니다(8항). 가득 차면 새 사진은 이 휴대폰에만 저장되고 올라가지 않습니다 — 앱 사용에는 지장이 없습니다.
- 보관 장소 사진에는 「여기 있어요」 점(핀)을 찍을 수 있습니다. 동기화를 켜면 그 점의 좌표가 사진과 함께 가족에게 전달됩니다. 이 좌표는 휴대폰의 위치가 아니라 사진 안의 한 지점입니다.
- 백업 파일에는 사진이 기본적으로 들어가지 않습니다. 백업을 만들 때 「사진 포함」을 고르면 사진 파일이 함께 담기고(고르기 전에 늘어나는 크기를 보여 드립니다), 고르지 않으면 사진이 어느 보관함·자리에 붙어 있었는지의 기록만 들어갑니다.
- 기록을 모두 지우기 직전에 앱이 자동으로 만들어 두는 대피본에는 사진을 담지 않습니다. 그 동작은 기록만 비우고 사진 파일은 이 휴대폰에 그대로 남기기 때문입니다.
- 국외 이전: Cloudflare, Inc.(미국)의 저장소(Cloudflare R2)로 이전됩니다.
- 이전받는 자: Cloudflare, Inc. (미국)
- 이전 항목: 줄인 사진 파일과 그 식별자
- 이전 시점·방법: 클라우드 동기화를 켠 상태에서 사진을 저장할 때, 암호화된 연결(HTTPS)로
- 이전 목적: 가족 구성원·회원님의 다른 기기로 사진을 전달하기 위함
- 보관 지역: 아시아·태평양 지역에 두도록 요청해 두었으나, 저장소가 지역을 보장하지는 않습니다. 따라서 사진은 대한민국 밖에 보관될 수 있습니다.
- 보유·이용 기간: 8항과 같습니다(동기화 기록 파기 시 함께 파기).
- 거부 방법: 사진을 쓰지 않거나 클라우드 동기화를 끄시면 국외 이전이 일어나지 않습니다. 그 경우에도 사진은 이 휴대폰에 그대로 저장되어 앱을 쓰실 수 있습니다.
4.1 영수증 사진으로 물건 담기 (AI 읽기)
영수증이나 메모를 찍으면 품목과 수량을 읽어 담을 목록을 만들어 드리는 기능입니다. 쓰실 때만 동작합니다.
<!-- 근거(2026-10-16 확인 · 원문 인용):
- 보내는 것: 회원님이 찍거나 고른 그 사진 자체입니다. 보내기 전에 크기를 줄이고(긴 변 1,600px) 촬영 위치 등 EXIF 정보를 지웁니다. 영수증이 길어 여러 장으로 찍으면 그 여러 장이 함께 갑니다.
- 보내는 곳: AI 분석 서비스 Anthropic, PBC(미국)의 API입니다. 저희가 운영하는 중계 서버(Cloudflare Worker)를 지나 전달됩니다.
- 쓰려면 로그인이 필요합니다(클라우드 계정). 로그인하지 않으면 이 기능이 동작하지 않고, 물건 이름은 직접 입력하실 수 있습니다.
- 하루 횟수: 로그인한 분은 하루 3장, 클라우드 구독 중인 가족 목록은 하루 20장입니다. 이를 세기 위해 가족 목록 식별자와 그날 센 횟수(숫자)만 중계 서버 쪽 저장소(Cloudflare D1)에 적습니다 — 영수증의 글자나 사진은 적지 않습니다.
- 저희가 보관하지 않습니다: 영수증 사진과 읽어 온 글자는 저희 서버에 저장하지 않습니다. 중계 서버 기록에는 가족 목록 식별자·처리 방식·걸린 시간만 남고 영수증 내용은 남기지 않습니다. 사진은 앱이 보관하지 않습니다(읽고 버립니다) — 회원님이 「담기」로 저장한 물건 이름·수량만 이 휴대폰에 남습니다. 다만 사진을 찍는 순간 휴대폰의 촬영 기능이 임시 파일을 만들며, 이 파일은 앱이 쓰지 않게 된 뒤 휴대폰(운영체제)이 정리합니다. 앨범에서 고르신 사진은 원래대로 앨범에 남습니다.
- 읽은 결과는 회원님이 확인하고 고른 뒤에만 저장됩니다. AI가 잘못 읽을 수 있으므로 담기 전에 화면에서 확인해 주세요.
- 국외 이전
- 이전받는 자: Anthropic, PBC (미국)
- 이전 항목: 영수증·메모 사진(줄이고 EXIF를 지운 것)과 읽어 온 품목·수량
- 이전 시점·방법: 회원님이 이 기능으로 사진을 읽을 때, 암호화된 연결(HTTPS)로
- 이전 목적: 사진에서 품목·수량을 읽기 위함
- 보관 지역: 국외(미국)
- 보유·이용 기간: 보낸 사진과 읽어 온 글자는 받은 날로부터 30일 안에 Anthropic 쪽에서 삭제됩니다. 다만 Anthropic의 자동 점검이 이용정책 위반으로 표시한 경우에는 최대 2년까지, 그 판정 점수는 최대 7년까지 보관될 수 있습니다. 법령이 보관을 요구하는 경우도 예외입니다.
- 인공지능 학습 이용 여부: 학습에 쓰이지 않습니다. 저희가 적용받는 Anthropic 상용 이용약관이 「고객 콘텐츠로 모델을 학습시키지 않는다」고 정하고 있습니다. (claude.ai 등 개인용 서비스는 학습 이용 규칙이 다르지만, 집선반은 그 경로를 쓰지 않습니다.) ① 어느 약관이 적용되나 — 코드로 확정했다(「사용자만 안다」가 아니었다):
workers/ocr/src/claude.ts:155가https://api.anthropic.com/v1/messages를x-api-key로 부른다 → Anthropic API(상용) 경로다. claude.ai 소비자 약관은 이 경로를 다루지 않는다(소비자 약관은 2025년 개정으로 학습 기본 허용·보존 최대 5년이 되었으나 우리와 무관하다 — 섞어 적지 않도록 주의). ② 학습: Commercial Terms of Service(2025-06-17 시행) 「Anthropic may not train models on Customer Content from Services」. ③ 보존: 개인정보센터 「How long do you store my organization's data?」(2026-07-01 갱신) 「we automatically delete inputs and outputs on our backend within 30 days of receipt or generation」 / 「We retain inputs and outputs for up to 2 years and trust and safety classification scores for up to 7 years if your chat is flagged」. ④ 계정 설정으로 뒤집힐 수 있나 — 아니다: 학습 opt-in 경로는 Development Partner Program 하나인데 「only your Claude Code input and output tokens」만 대상이고 「Data sharing does not apply to Claude apps or API calls unrelated to Claude Code」라고 명시적으로 제외한다. 영수증 호출은 범위 밖이다. (별도 맞춤 계약을 맺으면 달라질 수 있다 — 맺은 적 없다.) ⑤ 더 줄이려면: Anthropic과 무보존(Zero Data Retention) 약정을 따로 맺어야 30일조차 없어진다 — 맺지 않았다. 맺으면 이 줄이 「저장하지 않습니다」로 바뀐다. ⚠️ 약관이 바뀌면 이 두 줄과 앱ocrConsentKeep·ocrConsentTrainARB 키를 함께 고친다. 한쪽만 고치면 두 문서가 다른 말을 한다. --> - 거부 방법: 이 기능을 쓰지 않으시면 전송이 일어나지 않습니다. 물건은 직접 입력·바코드로도 담을 수 있습니다.
5. 기한 알림
- 기한 알림은 이 휴대폰이 직접 띄웁니다. 푸시 서버를 거치지 않습니다.
- 잠금화면 알림에는 물건 이름을 보이지 않고 개수만 보입니다.
- 체험 종료 안내도 이 휴대폰이 직접 띄우는 알림입니다.
6. 서비스 이용 통계 (익명 · 기본 켬 · 끌 수 있음)
앱을 더 낫게 만들기 위해, 아래 숫자만 하루 한 번 저희 서버로 보냅니다. 처음 쓰기 시작한 뒤 앱 안에서 한 번 안내하며, 안내하기 전에는 보내지 않습니다.
- 보내는 것: 앱 버전, 운영체제 종류, 날짜(일 단위), 보관 중인 물건 수의 구간(예: 20~49개), 그날 기한 전에 다 쓴 물건 수와 기한이 지난 물건 수(「대략」 기한 물건은 따로 셈), 비우기 제안을 본 수와 실행한 수, 설치한 주(예: 2026년 42번째 주)와 설치 후 1·7·28일째 앱 사용 여부, 첫날 물건 등록 기준 달성 여부
- 보내지 않는 것: 이름, 이메일, 계정·기기·광고 식별자, 물건 이름·사진·메모·보관 위치, 정확한 시각
- 목적: 기능이 실제로 도움이 되는지 확인하고 개선하는 데만 씁니다. 광고·맞춤형 광고·광고 식별자와 결합하지 않습니다.
- 식별 불가: 받은 기록에는 사람이나 기기를 구분할 정보가 없어 특정 이용자의 기록을 찾거나 이어 붙일 수 없습니다. 통계를 볼 때 5건 미만인 항목은 표시하지 않습니다.
- 접속 정보(IP): 통계는 저희가 운영하는 Cloudflare Worker를 거쳐 받으며, IP 주소를 저장하지 않습니다. 저장소(Supabase 서울 리전)에는 IP가 전달되지 않습니다. [확인 필요: Cloudflare 접속 기록 보존 여부·기간 — 구현 때 확인]
- 보관 기간: 받은 기록 원본은 받은 날로부터 90일 뒤 삭제하고, 이후에는 월별 합계만 보관합니다.
- 끄는 법: 설정 › 데이터 › 익명 사용 통계 보내기를 끄면 즉시 전송을 멈추고, 아직 보내지 않은 기록도 기기에서 지웁니다. 꺼도 앱의 모든 기능을 그대로 쓸 수 있습니다.
- 통계 기록은 이용자와 연결되지 않아 개별 열람·삭제 대상이 되지 않습니다.
7. 광고 (Google AdMob)
- 무료 이용을 위해 Google AdMob 광고를 표시합니다. 표시 위치·빈도: [확인 필요: M5에서 결정].
- AdMob은 광고 게재·측정·부정 클릭 방지를 위해 광고 식별자와 기기·앱 상호작용 정보를 처리할 수 있으며, 이는 Google이 처리합니다(Google 광고 정책).
- 대상 지역(유럽경제지역 등)에서는 앱 실행 시 개인 맞춤 광고 동의를 묻습니다.
- 광고가 보이지 않는 경우: 광고 제거를 구매했거나, 클라우드 구독 중인 가족 목록의 구성원인 경우(가족 모두).
8. 인앱결제 (광고 제거 · 클라우드 구독) · 체험
결제·환불·카드 정보는 Google Play가 처리하며, 앱은 결제수단 정보를 받지도 보관하지도 않습니다.
8.1 광고 제거 (1회 구매)
- 구매 사실은 이 기기와 Google Play 계정에만 기록되며, 서버로 보내지 않습니다. 기기를 바꾸면 같은 Google 계정의 구매 복원으로 되살릴 수 있습니다.
8.2 클라우드 구독 (정기결제)
- 가족 목록 단위의 월 또는 연 정기결제입니다. 구독이 유효한지 확인하기 위해 서버가 아래를 보관합니다.
| 항목 | 목적 |
|---|---|
| 구매 토큰(Google Play 영수증 식별자) | 구독 진위 확인 · 한 영수증이 여러 계정에 쓰이는 것 방지 |
| 상품·요금제(월/연) | 어떤 구독인지 표시 |
| 이용 만료일·상태 | 동기화 허용 판정 |
| 결제 분쟁 대응에 필요한 항목(구독 상태·시작·만료·주문 번호·해지/유예 사유·요금제) | 결제 분쟁 대응. 만료 60일이 지나면 Google에 그 거래를 다시 물을 수 없어 저희 쪽에 남겨 둡니다. 이메일·이름·결제 당시 국가는 담지 않습니다 |
- 확인 방법: 저희 서버가 Google Play에 직접 조회합니다(하루 한 번 갱신·해지 재확인). 이때 Google에 전달되는 것은 구매 토큰과 앱 식별자뿐입니다.
- 보관 기간: 결제 확인 기록은 결제 분쟁 대응을 위해 이 앱에서 탈퇴한 뒤에도 5년 동안 보관합니다(전자상거래 등에서의 소비자보호에 관한 법률 시행령 — 대금결제 기록). 탈퇴하면 이 기록에서 계정 식별자를 지웁니다 — 남는 것은 영수증 번호와 거래의 모양(상태·기간·주문 번호)뿐이고 누구의 것인지 알 수 없습니다. 이메일·이름·결제 당시 국가는 애초에 담지 않습니다.
- 영수증 번호 자체를 지우지 않는 이유: 그것이 같은 영수증이 다른 계정에 다시 쓰이는 것을 막는 열쇠이고, 만료 60일이 지나면 Google에 그 거래를 다시 물을 수 없어 분쟁 자료가 저희 쪽에만 남기 때문입니다.
8.3 클라우드 체험 (14일)
- 처음 클라우드 동기화를 켤 때 계정당 한 번 14일 체험을 드립니다. 결제 정보를 받지 않으며, 끝나도 자동으로 결제되지 않습니다.
- 체험을 한 번 쓴 계정인지 가리기 위해 체험 사용 기록(시작·만료 시각)을 보관합니다. 이 기록은 가족 목록을 지워도 남습니다. 계정은 되돌릴 수 없는 값(해시)으로 바꿔 적으므로, 그 값만으로는 누구인지 알 수 없고 같은 계정인지만 가립니다. 이메일·이름은 들어 있지 않으며, 체험을 한 번만 드리기 위해 이 앱에서 탈퇴한 뒤에도 1년 동안 보관합니다. 보관 기간이 지나 기록이 정리된 뒤 다시 가입하면 체험을 다시 받을 수 있습니다.
- 그 가족 목록이 체험을 이미 받았는지의 기록(가족 목록 단위 1회)은 그 가족 목록이 남아 있는 동안 유지되고, 가족 목록이 지워지면 함께 사라집니다.
8.4 구독·체험이 끝난 뒤
- 서버로 올리는 것만 멈춥니다. 받기는 만료일로부터 6개월 동안 계속 가능합니다.
- 만료 후 6개월이 지나면 서버의 동기화 기록(사진 포함)을 파기합니다.
- 회원님 기기 안의 기록은 어느 경우에도 저희가 지우지 않습니다.
9. 권한
| 권한 | 필수/선택 | 목적 |
|---|---|---|
| 인터넷 · 네트워크 상태 확인 | 기능상 필요(설치 시) | 클라우드 동기화·가족 공유·결제·광고·익명 집계. 오프라인이면 시도하지 않음 |
| 알림 | 선택 | 기한 알림·체험 종료 안내. 거부해도 앱을 쓸 수 있음. 정확한 알람 권한은 요청하지 않습니다 — 하루 요약은 「저녁 6시 무렵」으로 충분합니다 |
| 카메라(사진 촬영) | 요청하지 않음 | 물건·선반 사진과 영수증 사진은 시스템 카메라 앱이 찍어 돌려줍니다. 앱이 카메라 권한을 선언하지 않아 권한 창이 뜨지 않습니다 |
| 카메라(바코드 읽기) | 선택 | 바코드는 앱 화면에 카메라 미리보기를 띄워 읽으므로 카메라 권한이 필요합니다 — 그 버튼을 누를 때만 요청 |
| 광고 ID | 설치 시 | 광고 게재·측정(7항) |
| 기기 시작 시 실행 | 설치 시 | 다시 켠 뒤 예약된 알림을 되살리는 데만 씁니다. 휴대폰을 끄면 예약이 사라지므로, 다시 켤 때 앱이 그 예약을 다시 걸어 둡니다. 이 권한으로는 아무것도 읽거나 보내지 않습니다 |
| 진동 | 설치 시 | 알림이 울릴 때 진동. 휴대폰 설정에서 끄실 수 있습니다 |
| 생체 인증(지문·얼굴) | 설치 시 | 집선반은 생체 인증을 쓰지 않습니다. Google 로그인에 쓰는 구글 라이브러리(Credential Manager)가 이 권한을 함께 선언합니다. 앱이 생체 정보를 읽거나 저장하거나 보내는 일은 없습니다 |
- 필수 권한은 없습니다. 선택 권한은 허용하지 않아도 그 기능 외의 앱 이용에 지장이 없습니다(정보통신망법 제22조의2).
- 사진 고르기는 시스템 사진 선택기를 써서 사진·미디어 권한을 요청하지 않습니다.
10. 제3자 제공·처리 위탁·국외 이전
표는 옆으로 밀어서 볼 수 있어요
| 받는 곳 | 구분 | 항목 | 목적 | 위치 |
|---|---|---|---|---|
| Supabase | 처리 위탁 | 2·3·6·8항의 서버 보관 항목 | 저장·인증·집계 | 서울(ap-northeast-2) |
| Cloudflare(Workers · D1) | 처리 위탁 | 익명 통계 전송 경유(IP 미저장) · 사진 올리기·내려받기 경유와 검사 · 영수증 사진 전달(4.1) · 가족 목록 식별자와 사용량 숫자(사진 쓴 용량 · 하루 영수증 읽기 횟수)를 D1에 보관 | 전달 · 한도 관리 | 국외(Cloudflare 네트워크 · 지역 보장 없음) |
| Anthropic, PBC | 처리 위탁 · 국외 이전 | 영수증·메모 사진과 읽어 온 품목·수량(4.1) | 사진에서 품목·수량 읽기 | 국외(미국) |
| Cloudflare(R2) | 처리 위탁 · 국외 이전 | 줄인 사진 파일과 식별자 | 가족·기기 간 사진 전달 | 국외(아시아·태평양 요청 · 지역 보장 없음 · 4항) |
| Google(로그인) | 로그인 제공자 | Google이 처리 | 계정 인증 | 국외(미국) |
| Google Play | 결제 처리 당사자 | 구매 토큰·앱 식별자(조회 시) | 결제 확인 | 국외(미국) |
| Google AdMob | 광고 | 광고 식별자 등 | 광고 | 국외(미국) |
| Open Food Facts | 제3자 통신(회원님에 관한 데이터 아님) | 바코드 번호 · 접속 IP(통신상) | 상품 이름 찾기 | 국외(프랑스) |
- 회원님의 기록을 판매하거나 위 목적 밖으로 제공하지 않습니다.
- 같은 가족 목록의 구성원이 기록을 보는 것은 회원님이 가족 공유를 선택한 결과입니다(3항).
11. 보관과 삭제
| 상황 | 결과 |
|---|---|
| 앱 삭제 | 기기 기록 삭제. 서버 기록은 남음(동기화를 켰던 경우) |
| 설정 › 클라우드 계정 › 계정 관리 › 계정 삭제(이 앱 탈퇴) | 이 앱과 계정의 연결(가족 목록 소속·동기화 기록·가족 안 표시 이름)을 지웁니다. 회원님 혼자 쓰던 목록은 서버에서 지웁니다. 가족 목록에 올린 기록은 3항대로 가족 목록에 남습니다. 이 휴대폰의 기록은 남습니다 |
| 〃 이후에도 남는 것 | ① 로그인 계정(이메일·Google 표시 이름) — 여러 앱이 함께 쓰는 로그인이라 남습니다. 요청하시면 지웁니다(아래). ② 결제 확인 기록·체험 사용 기록 — 이메일·이름 없이 보관(결제 5년·체험 1년, 8.2·8.3) |
| 가족 목록에서 나가기 | 서버의 가족 목록에서 빠지고, 기록은 이 휴대폰에 사본으로 남습니다(사진은 3항·4항) |
| 구독·체험 만료 후 6개월 | 서버 동기화 기록 자동 파기(8.4) |
- 로그인 계정은 여러 앱이 함께 쓰는 로그인 체계라, 앱의 「계정 삭제」는 이 앱에서의 탈퇴입니다. 로그인 계정과 이메일까지 지우기를 원하시면 이메일로 요청해 주세요 — 절차: 본인 확인 → 이 앱 탈퇴(아직 안 했다면) → 로그인 계정 삭제.
- 앱이 없을 때의 요청 방법: 계정 및 데이터 삭제 안내(
https://homeshelf.allegru.dev/delete/). - 계정을 삭제해도 Google Play 구독은 해지되지 않습니다 — Play 스토어에서 직접 해지해 주세요.
12. 아동
만 14세 미만 아동의 개인정보를 수집하지 않습니다(2.1). 로그인 없이 쓰는 기능은 서버로 아무것도 보내지 않습니다(익명 집계는 6항 — 식별 정보 없음).
13. 정보주체의 권리
회원님은 열람·정정·삭제·처리정지를 요청하실 수 있습니다. 대부분은 앱 안에서 직접 할 수 있고(물건·공간 수정·삭제, 표시 이름 변경, 계정 삭제, 익명 집계 끄기), 그 밖에는 아래로 연락해 주세요. [사용자 확인: 개인정보 보호책임자 성명·연락처 표기]
14. 문의
- 이메일: allegru.dev@gmail.com
15. 개정
이 방침이 바뀌면 이 페이지에 개정 내용과 시행일을 게시하고, 중요한 변경은 앱 안에서도 알립니다.
` 표시 항은 출시 번들 기준으로 남기거나 잘라 낸다(없는 기능을 적지 않는다).
-->
- PM 답(2026-10-08): 광고 제거 영수증 서버 미전송(A-17) · 만 14세 미만 로그인 차단 · Supabase 백업 보존은 원격 적용 때 확인.
- 설계서 P1(legal-consistency L-1·L-2): 탈퇴 뒤에도 결제 확인·체험 사용 기록은 이메일·이름 없이 보관(결제 5년·체험 1년 — 법률 검토). 앞서 적었던 「체험 기록은 계정 삭제 시 함께 삭제」는 철회. L-3 바코드 = 카메라 목적·Open Food Facts 행을 같은 기능 표시로 묶음.
- Data safety 선언은 이 방침 확정 후 별도 문서(
play-data-safety.md)로.