개인정보 처리방침

에이치디랩(HD.LAB, 이하 "회사")은 「개인정보 보호법」에 따라 이용자의 개인정보를 보호하고 관련 고충을 신속하게 처리하기 위해 다음과 같이 개인정보 처리방침을 수립·공개합니다.

1. 수집하는 개인정보 항목

구분	항목	목적
회원가입	이메일, 비밀번호(암호화 저장), 닉네임 (소셜 로그인 시 소셜 계정 식별자·이메일)	계정 생성·로그인·본인 확인
프로필(선택)	프로필 사진 또는 이모티콘, 학교급·학년	교육과정 맞춤 분류·개인화
서비스 이용	업로드한 문제 이미지, 필기, 음성 메모, 학습 기록(복습·시험·공부시간)	오답노트 핵심 기능 제공
결제	결제 식별자(주문번호·결제키), 구독 상태, 결제 이력 카드번호 등 결제수단 정보는 회사가 수집·보관하지 않습니다	구독 관리·환불 처리
자동 수집	기기 정보(모델·OS), 푸시 토큰, 접속 기록, 오류 로그	알림 발송·장애 대응·서비스 안정화

2. 만 14세 미만 아동의 개인정보

회사는 만 14세 미만 아동의 회원가입 시 법정대리인의 동의를 받습니다. 법정대리인은 아동의 개인정보에 대한 열람·정정·삭제·처리정지를 요구할 수 있습니다. 학부모 모드 연결 시 법정대리인은 아동의 학습 통계 요약을 열람하며, 회사는 아동에게 맞춤형 광고를 제공하지 않습니다.

3. 개인정보의 처리 위탁 및 국외 이전

수탁자	위탁 업무	이전 국가·보유기간
Supabase Inc.	데이터베이스·인증·파일 저장	미국 · 회원 탈퇴 시까지
Google LLC (Firebase, Gemini)	푸시 알림, 오류 수집, AI 처리(문제 분석·음성 전사)	미국 · 처리 목적 달성 시까지
Anthropic PBC	AI 풀이·유사문제 생성 처리	미국 · 처리 목적 달성 시까지
토스페이먼츠(주)	웹 결제·정기결제 처리	대한민국 · 관련 법령에 따른 기간
Google LLC (Google Drive)	서비스 데이터 백업 보관 — 매일 1회(한국 시간 01:00) 데이터베이스 전체를 암호화(AES-256)한 파일로 만들어 회사 대표 명의 구글 드라이브 계정의 백업 폴더에 보관	미국 등 Google 데이터센터 · 최근 14일분만 보관 후 영구 삭제
Google LLC (Google Workspace)	인증번호·비밀번호 재설정 등 서비스 안내 메일 발송(발신 주소 noreply@hdlab.ai.kr) — 받는 사람 이메일 주소와 메일 내용	미국 등 Google 데이터센터 · 발송 기록은 Google 보관 정책에 따름

AI 처리 시 문제 이미지·텍스트가 처리 목적 범위 내에서 전송됩니다. 회사는 이용자의 학습 데이터를 외부 AI 모델의 학습(training) 목적으로 제공하지 않습니다.

백업 파일에는 서비스 운영에 쓰이는 데이터베이스의 내용이 담깁니다. 다만 카드 재청구용 결제 토큰(빌링키), 결제·학부모 연결용 단기 인증 코드, AI 응답 캐시와 검색용 벡터는 백업에서 제외합니다. 백업 폴더는 회사 대표 계정만 접근할 수 있도록 설정되어 있으며 외부에 공유하지 않습니다. 백업 파일은 암호화되어 있어 복호화 키 없이는 열 수 없고, 키는 백업과 분리하여 관리합니다.

4. 보유 및 이용 기간

회원 탈퇴 시 개인정보를 지체 없이 파기합니다.
다만 관계 법령에 따라 다음 정보는 법정 기간 동안 보관합니다.
- 계약·청약철회 기록: 5년 (전자상거래법)
- 대금 결제·재화 공급 기록: 5년 (전자상거래법)
- 소비자 불만·분쟁처리 기록: 3년 (전자상거래법)
- 접속 기록: 3개월 (통신비밀보호법)
개인을 식별할 수 없도록 익명화된 통계 정보는 기간 제한 없이 보관될 수 있습니다.
백업 파일: 매일 1회 만들어지는 백업 파일은 암호화하여 최근 14일분만 보관하고, 그보다 오래된 파일은 자동으로 영구 삭제합니다. 회원 탈퇴로 운영 데이터베이스에서 개인정보를 파기한 뒤에도 탈퇴 전에 만들어진 백업에는 그 정보가 최대 14일 남을 수 있으며, 그 뒤 함께 삭제됩니다.

5. 개인정보의 파기

보유 기간이 경과하거나 처리 목적이 달성된 개인정보는 지체 없이 파기합니다. 전자적 파일은 복구할 수 없는 방법으로 영구 삭제하며, 출력물은 분쇄하거나 소각합니다.

6. 개인정보의 제3자 제공

회사는 이용자의 개인정보를 제3자에게 제공하지 않습니다. 다만 법령에 근거하거나 수사기관의 적법한 절차에 따른 요구가 있는 경우에는 예외로 합니다.

7. 정보주체의 권리와 행사 방법

이용자(및 법정대리인)는 언제든지 개인정보의 열람·정정·삭제·처리정지를 요구할 수 있습니다. 앱 내 [더보기 > 프로필]에서 직접 처리하거나, 아래 연락처로 요청하시면 지체 없이 조치합니다. 회원 탈퇴는 앱 내에서 직접 할 수 있습니다.

8. 개인정보의 안전성 확보 조치

비밀번호 암호화 저장, 전송 구간 암호화(HTTPS/TLS)
접근 권한 최소화 및 접근 기록 보관
학습 데이터는 이용자 계정별로 분리 저장되어 다른 이용자가 접근할 수 없습니다.
데이터베이스 백업은 암호화(AES-256)하여 보관하며, 복호화 키는 백업과 분리하여 관리합니다.

9. 개인정보 보호책임자

성명: 임홍덕 (대표)
연락처: manager@hdlab.ai.kr · 010-7987-7278
사업장: 경기도 용인시 기흥구 기흥역로58번길 78 105동 3904호

개인정보 침해에 대한 신고·상담이 필요하신 경우 개인정보침해신고센터(privacy.kisa.or.kr, 국번없이 118), 개인정보 분쟁조정위원회(kopico.go.kr, 1833-6972)에 문의하실 수 있습니다.

10. 방침의 변경

본 방침의 내용이 변경되는 경우 시행 7일 전(중요한 변경은 30일 전)부터 서비스 내 공지 또는 이메일로 안내합니다.

부칙

본 방침은 2026년 8월 3일부터 시행했고, 2026년 10월 28일, 2026-11-05, 2026-11-18에 개정했습니다. 현재 판은 2026-11-18부터 시행합니다.

2026-10-28 개정: 서비스 데이터 백업을 구글 드라이브에 보관하는 사실(국외 이전)과 그 보관 기간을 3항·4항에 추가했습니다. 이미 수행하고 있던 처리를 방침에 바로잡아 적은 것이므로, 새로운 처리를 시작하기 전 사전 공지(10항)가 아니라 공개와 동시에 시행합니다.

2026-11-05 개정: 백업 파일을 암호화하고 보관 기간을 최근 14일분(이후 자동 영구 삭제)으로 줄인 내용을 3항·4항·8항에 반영했습니다. 처리 범위를 줄이는 변경이므로 공개와 동시에 시행합니다.

2026-11-18 개정: 인증번호 등 서비스 안내 메일을 회사 도메인 주소(noreply@hdlab.ai.kr)에서 보내기 위해 Google LLC(Google Workspace)에 메일 발송을 맡기는 내용을 3항에 추가했습니다. 새로운 위탁이므로 10항에 따라 시행 7일 전에 공개하고, 시행일부터 이 방식으로 발송합니다.

HD.LAB ("the Company") establishes and discloses this privacy policy in accordance with the Personal Information Protection Act of Korea.

1. Personal information collected

Category	Items	Purpose
Sign-up	Email, password (stored encrypted), nickname (or social account identifier)	Account creation and login
Profile (optional)	Profile photo or emoji, school level, grade	Curriculum-based personalization
Service use	Uploaded question images, handwriting, voice memos, study records	Core note-taking features
Payment	Payment identifiers (order ID, payment key), subscription status The Company does not collect or store card numbers	Subscription management and refunds
Automatic	Device info (model, OS), push token, access logs, error logs	Notifications and service stability

2. Children under 14

Children under 14 must obtain legal guardian consent to register. Guardians may request access, correction, deletion, or suspension of processing. The Company does not serve targeted advertising to children.

3. Processing entrustment and overseas transfer

Processor	Task	Country / Retention
Supabase Inc.	Database, authentication, file storage	USA · Until account deletion
Google LLC (Firebase, Gemini)	Push notifications, error reporting, AI processing	USA · Until purpose fulfilled
Anthropic PBC	AI solution and similar-question generation	USA · Until purpose fulfilled
TossPayments Inc.	Web and recurring payment processing	Korea · Per applicable law
Google LLC (Google Drive)	Service data backup — a full database export is created once a day (01:00 KST) and stored, encrypted (AES-256), in a backup folder on the Company representative's Google Drive account	Google data centers incl. USA · Latest 14 days only, then permanently deleted
Google LLC (Google Workspace)	Sending service emails such as verification codes and password resets (sender address noreply@hdlab.ai.kr) — recipient email address and message content	Google data centers incl. USA · Per Google's retention policy for sent mail

Question images and text are transmitted only within the scope of processing. The Company does not provide user learning data for training external AI models.

Backup files contain the contents of the service database, except that card re-billing tokens (billing keys), short-lived payment and guardian-link codes, AI response caches and search vectors are excluded. The backup folder is restricted to the Company representative's account and is not shared externally. Backup files are encrypted and cannot be opened without the decryption key, which is managed separately from the backups.

4. Retention period

Personal information is destroyed without delay upon account deletion.
Statutory retention: contract/withdrawal records 5 years; payment records 5 years; consumer complaint records 3 years; access logs 3 months.
Anonymized statistics may be retained indefinitely.
Backup files: daily backups are encrypted and only the most recent 14 days are kept; older files are permanently deleted automatically. After an account is deleted, backups created before the deletion may contain that information for up to 14 days, after which it is deleted as well.

5. Destruction

Information whose retention period has expired is permanently deleted in an unrecoverable manner.

6. Third-party disclosure

The Company does not provide personal information to third parties, except where required by law or lawful request from investigative authorities.

7. Your rights

Users (and legal guardians) may request access, correction, deletion, or suspension of processing at any time via the app (More > Profile) or the contact below.

8. Security measures

Encrypted password storage and TLS/HTTPS in transit
Minimal access privileges with access logging
Learning data is isolated per user account
Database backups are encrypted (AES-256) and the decryption key is managed separately from the backups

9. Privacy officer

Name: Lim Hongdeok (Representative)
Contact: manager@hdlab.ai.kr
Address: 78, Giheungyeok-ro 58beon-gil, Giheung-gu, Yongin-si, Gyeonggi-do, Korea

10. Changes to this policy

Changes are announced 7 days in advance (30 days for material changes) via in-service notice or email.

Addendum

This policy took effect on 3 August 2026 and was revised on 28 October 2026, 5 November 2026 and 18 November 2026. The current version applies from 18 November 2026.

Revision of 28 October 2026: sections 3 and 4 now disclose that service data backups are stored on Google Drive (overseas transfer) and how long they are kept. This corrects the policy to describe processing already in place, so it applies upon publication rather than after the advance notice period in section 10.

Revision of 5 November 2026: sections 3, 4 and 8 now reflect that backup files are encrypted and kept for the latest 14 days only (then permanently deleted). This narrows processing, so it applies upon publication.

Revision of 18 November 2026: section 3 now discloses that Google LLC (Google Workspace) sends service emails such as verification codes from the Company's own address (noreply@hdlab.ai.kr). This is a new processing arrangement, so under section 10 it is published 7 days in advance and applies from the effective date.