← worship

개인정보 처리방침

1. 가입할 때 받는 것

교단을 필수로 받는 것이 법에 맞는지는 법률 검토 중입니다.

2. 서버에 올라가는 것

• 웹에서 쓰면 교회 자료가 모두 우리 서버에 저장됩니다. 서버는 지금 운영자의 NAS(집에 둔 저장 장치)에서 돕니다.
• Windows 앱은 로그인하지 않으면 자료를 그 PC에만 둡니다. 로그인하면 자료를 먼저 그 PC에 저장하고, 같은 자료(예배 순서, 설교 원고, 성도 명부, 목회 노트, 헌금 기록, 홈페이지 설정 등)를 계정 서버에 올려 다른 기기와 맞춥니다. 기기마다 다른 화면 설정은 올리지 않습니다.
• 교회 자료는 교회 계정마다 따로 보관하고, 다른 교회 계정은 볼 수 없습니다.
• 비밀번호는 원문으로 저장하지 않고 한 방향으로 바꾼 값(PBKDF2-SHA256)만 둡니다.
• 교회 자료(예배 순서, 설교, 성도 명부, 목회 노트, 헌금 기록, 주보, 홈페이지 설정 등)와 가입 때 받은 생년월일 · 교단은 서버에 암호화(AES-256-GCM)해 둡니다. 교회마다 다른 키를 쓰고, 그 키를 감싸는 주 키는 저장 파일과 다른 곳에 둡니다. 그래서 저장 파일이나 백업 파일만 새어 나가서는 내용을 읽을 수 없습니다. 서버 프로그램 자체가 침해되는 경우까지 막지는 못합니다.
• 이메일 · 이름 · 교회 이름 · 문의 글 · 운영 기록 · 동의 기록은 칸별 암호화 범위 밖입니다. 대신 백업 파일은 통째로 암호화합니다.
• Windows 앱이 그 PC에 두는 자료는 Windows 사용자 계정으로 보호해(DPAPI) 저장합니다.
• 접속 수와 응답 속도를 재려고 요청마다 시각·결과만 시간대별 숫자로 남깁니다. 같은 사람을 세려고 쓰는 접속 주소·브라우저 정보는 한 방향으로 바꾼 값을 메모리에서만 씁니다.
• 로그인 · 가입 · 비밀번호 재설정을 너무 많이 시도하지 못하게 막으려고 접속 주소와 이메일을 서버 메모리에서만 잠깐 셉니다(파일 · 로그에 남기지 않음). 계정마다 마지막 로그인 시각은 운영 확인용으로 남기고 계정을 지우면 함께 지웁니다.
• 가입 확인 · 비밀번호 재설정 · 이메일 바꾸기 · 운영 공지 메일은 메일 발송 업체를 거쳐 보냅니다. 보낼 함의 제목 · 본문(링크 포함)은 보낸 뒤 바로 지우고, 받는 주소 · 보낸 결과는 30일 뒤 지웁니다. 링크에 쓰는 토큰은 한 방향으로 바꾼 값만 저장합니다. 광고성 소식 메일은 "새 기능 · 소식 받기"에 동의한 분께만 보내고, 메일마다 수신 거부 링크가 있습니다.
• 예전 판 앱이 판 번호 없이 저장해 덮어쓴 이전 값은 되살릴 수 있게 서버에 14일 동안 (암호화한 채) 남깁니다.
• 웹에서 로그인이 끝났을 때 아직 저장하지 못한 편집은 그 브라우저 탭에만(탭을 닫을 때까지) 남겨 다시 로그인하면 저장합니다. 여럿이 쓰는 PC에서는 다 쓴 뒤 로그아웃해 주세요.
• 정기 결제를 시작하면 카드 번호는 받지 않고, 결제 대행사가 주는 대체 키(빌링키)만 암호화해 둡니다. 베타 기간에는 실제 카드 등록과 결제를 받지 않습니다.

3. 밖으로 내보내지 않는 곳

설교 원고·메모·성도 명부·목회 노트·헌금 기록은 교회 홈페이지·예배 화면·모바일 주보에 나가지 않습니다.

4. AI로 보내는 것

• AI 기능(말씀 자료 만들기, 설교 점검, 자료 찾기, 가사 정리, 요점 슬라이드, 녹음 정리, 명부 가져오기 등)은 지금 시험 계정에서만 열려 있습니다.
• 쓸 때마다 보낼 내용(실제로 보내는 글)과 받는 곳을 먼저 보여 드리고, 동의한 것만 보냅니다. 보내는 길은 앱 → 우리 서버 → NAS의 AI 작업기(Codex CLI) → OpenAI입니다. 사진 찾기는 Wikimedia Commons에서 검색하고, 실화·통계 찾기는 보여 드린 검색어로 웹을 검색합니다.
• 녹음 정리: Windows 앱에서는 그 PC 안에서 받아쓰는 것이 기본이고, 이때 소리는 밖으로 나가지 않습니다. 그 PC에 받아쓰기 엔진이 없거나 웹이면, 녹음을 올리기 전에 따로 동의를 받아 NAS의 받아쓰기 엔진으로 보냅니다. 받아쓴 글은 이름·전화번호 등을 고친 뒤 다시 동의해야 AI 정리로 보냅니다.
• 목회 노트·기도 제목·성도 명부·헌금 기록은 AI에 저절로 보내지 않습니다. 녹음 정리와 명부 가져오기에서 직접 고르고 동의한 범위만 보냅니다.
• 우리 서버는 AI 작업 자료를 암호화(AES-256-GCM)해 두고, 보낸 글은 작업이 끝나면 바로 지웁니다. 결과와 만든 파일은 7일 뒤, 올렸지만 쓰지 않은 파일은 2시간 뒤 지웁니다.
• OpenAI 같은 공급사가 받은 내용을 얼마나 보관하고 어디에 쓰는지는 그 공급사의 정책을 따릅니다. 이 서비스가 따로 보장하지 않습니다.
• Windows 앱 설정에서 진단용으로 "이 PC의 Codex CLI"를 켠 경우, 말씀 자료 만들기 요청은 그 PC에서 OpenAI로 바로 갑니다(기본은 꺼짐).

5. 자동으로 보내는 오류 정보

앱에 문제가 생기면 오류의 종류, 코드 위치, 화면, 앱 버전, 운영체제, 예배 진행 중인지만 보냅니다. 로그인해 있으면 어느 교회 계정에서 났는지 함께 남습니다. 오류 문구·원고·가사·성경 본문·성도 이름·헌금 내용은 보내지 않습니다. 목적은 오류를 찾아 고치는 것뿐입니다.

• 끄기: 설정 › 개인정보와 동의 › "오류 보고 보내기"를 끄면 그 기기에서는 보내지 않습니다(기기마다 따로 정하고, 계정에 맞추지 않습니다). 기본은 켜짐입니다.
• 보관: 날짜별 횟수는 90일 뒤 지웁니다. 오류 묶음(종류 · 위치)과 어느 교회에서 났는지는 지금은 기간을 정하지 않고 남습니다(정리 기간은 정식 출시 전에 정합니다).

6. 함께 쓰는 외부 서비스

• Cloudflare: 모든 접속이 Cloudflare의 연결 경로(터널)를 거쳐 서버에 옵니다.
• 텔레그램: 운영자에게 장애 알림을 보냅니다. 개인정보는 넣지 않고, 예배 중 문의 알림에는 교회 이름과 문의 분류만 넣습니다.
• OpenAI · Wikimedia Commons: 4절의 AI 기능에서 동의한 내용만 보냅니다.
• YouTube: 교회가 채널을 연결하면 그 채널의 공개 영상 목록을 가져옵니다.
• 메일 발송 업체: 2절의 계정 · 공지 메일을 보낼 때 받는 이메일 주소와 메일 내용을 넘깁니다(업체는 정한 뒤 이 자리에 적습니다 · 지금은 메일 발송이 꺼져 있습니다).
• 결제 대행사: 정식 결제를 시작하면 결제 금액 · 주문 번호를 넘깁니다(대행사는 정한 뒤 적습니다 · 베타 기간에는 시험 결제뿐입니다).
• 첫 화면은 글꼴을 jsDelivr와 Google Fonts에서 받습니다.

이 가운데 개인정보 처리 위탁이나 국외 이전에 해당하는 것이 있는지는 법률 검토 중입니다.

7. 보관과 지우기

• 설정 › 계정에서 비밀번호를 다시 확인하면 계정 삭제를 요청할 수 있습니다. 바로 모든 기기에서 로그아웃되고, 7일 뒤 지워집니다. 그 전에 다시 로그인해 [삭제 취소]를 누르면 그대로 쓸 수 있습니다. 혼자 쓰던 교회는 교회와 교회 자료도 함께 지워집니다. 다른 사람과 함께 쓰는 교회는 교회 자료가 남고, 남는 문의 글에서 지운 사람의 이름을 뺍니다.
• 지우기 전에 설정 › 계정 › [내 자료 내려받기]로 계정 정보 · 동의 기록 · 내가 맡은 교회 자료를 한 파일로 받을 수 있습니다(한 시간에 한 번).
• 목사님은 성도 한 사람의 정보를 지우거나 연락처 · 주소만 지울 수 있습니다. 헌금 기록은 세무 보존 의무가 있을 수 있어 지우지 않고 남깁니다(세무 · 법률 검토 중).
• 서버는 하루 한 번 NAS 안에 암호화한 백업 사본을 만들고 최근 14개(약 14일)까지 남깁니다. 그래서 지운 자료도 그 기간 동안 백업 사본에 남아 있을 수 있습니다. NAS 밖 사본의 보관 기간은 정식 출시 전에 정합니다.
• 동의한 문서의 판 · 시각 · 받은 방법 · 그때 보여 드린 글의 지문(해시)을 기록합니다. 계정을 지운 뒤에는 이메일 대신 되돌릴 수 없는 지문으로만 동의 기록을 남겨 "이 이메일이 동의했는가"에만 답할 수 있게 합니다(보관 기간 기본 5년 · 법률 검토 중).
• 결제 기록(베타 기간에는 시험 결제)은 계정을 지워도 교회 이름과 함께 남을 수 있습니다. 운영 감사 기록은 고치거나 지울 수 없게 되어 있고, 계정 삭제에 대해서는 계정 번호와 지운 자료 수만 남깁니다. 운영자가 사람을 찾은 검색어는 앞 두 글자와 글자 수만 남깁니다.
• Windows 앱의 심방 녹음은 그 PC에 보호해(DPAPI) 저장하고, 설정에서 고른 기간(기본 30일)이 지나면 지웁니다. 녹음할 때마다 함께 있는 분께 알렸는지 확인을 받습니다.
• 항목별 보관 기간표는 docs/policies/DATA_RETENTION.md에 두고, 정식 출시 전에 법률 검토를 거쳐 확정합니다.

8. 교회가 맡긴 성도 정보

성도 명부 · 목회 노트 · 헌금 기록처럼 교회가 입력한 성도 정보는 그 교회가 관리하고, 이 서비스는 교회를 대신해 보관합니다. 교회가 성도에게 알릴 안내문 초안은 앱의 왼쪽 메뉴 [성도] › [성도 안내문 만들기]에서 만들 수 있습니다. 성도가 자기 정보를 보거나 고치거나 지워 달라고 하면 그 교회에 요청해 주세요.

교회와 이 서비스 사이의 위탁 관계와 안내문 문구는 법률 검토 중입니다.

9. 만 14세 미만

만 14세 미만은 가입할 수 없습니다.

10. 책임자와 연락처

개인정보 보호 책임자와 사업자 정보는 정식 출시 전에 공개합니다. 베타 기간 문의는 안내받은 연락처로 해 주세요.

책임자 표기 방식은 법률 검토 중입니다.