개인정보처리방침

본 개인정보처리방침은 Ironact, Inc.("Prompt Architect", "당사", "우리")가 귀하의 Prompt Architect 플랫폼, 웹사이트 및 관련 서비스(이하 "서비스") 이용 시 개인정보를 어떻게 수집·이용·제공·보호하는지를 설명합니다. 본 방침은 전 세계적으로 적용되며, 미국(연방, 캘리포니아 및 각 주별), 영국, 유럽경제지역(EEA), 대한민국, 독일, 프랑스 거주자를 위한 별도의 고지를 포함합니다.

1. 개인정보처리자 및 대리인

개인정보처리자(controller)는 다음과 같습니다.

Ironact, Inc. 1111B S Governors Ave Ste 51691 Dover, DE 19904 United States Phone: +1 (415) 851-9366 contact@ironact.net

EU 대리인 (GDPR 제27조)

EU Representative — appointment in progress. Ironact is in the process of designating an EU representative under GDPR Art. 27 and will publish the appointee here as soon as the appointment is complete. In the interim, EEA residents who wish to exercise rights under the GDPR (access, rectification, erasure, restriction, portability, objection, withdrawal of consent) or who otherwise need to contact us about personal data may do so at contact@ironact.net or contact@ironact.net. We will respond within the timelines required by GDPR Art. 12 (generally one month, extendable by two further months for complex requests).

UK 대리인 (UK GDPR 제27조)

Eui Sung Ko (acting as UK Representative), 267 Hanbury Street, London E1 5JY, United Kingdom. Contact: contact@ironact.net.

개인정보 보호책임자 / CPO (대한민국, PIPA 제31조)

Eui Sung Ko (고의성), Co-founder and Personal Information Protection Officer (개인정보 보호책임자). Phone: +82 10 8757 2946 · Email: contact@ironact.net (한국어 응대 가능).

국내대리인 (PIPA 제39조의14)

Not applicable. Ironact does not currently meet either threshold under PIPA Art. 39-14 (prior-year revenue under KRW 1 trillion; fewer than 1 million daily Korean users averaged over three months) and does not have a Korean subsidiary with ≥30% equity. We will designate a domestic agent before crossing either threshold and update this notice accordingly.

개인정보보호책임자 (Data Protection Officer)

당사의 현재 처리는 GDPR 제37조의 법정 기준을 충족하지 않으므로 공식적으로 Data Protection Officer를 지정하지 않았습니다. 모든 개인정보 보호 관련 문의 창구는 contact@ironact.net 입니다.

2. 수집하는 정보

2.1 귀하가 제공하는 정보

2.2 자동으로 수집되는 정보

2.3 제3자 출처로부터 수집되는 정보

2.4 민감 개인정보 (CCPA / CPRA)

Cal. Civ. Code § 1798.140(ae)상의 "민감 개인정보(sensitive personal information)" 중 당사가 수집하는 유일한 분류는 다음과 같습니다.

• 계정 자격 증명 (해시 처리된 비밀번호) — 인증 목적으로만 사용;
• 정밀 위치정보 — 당사는 이를 의도적으로 수집하지 않습니다. 사기 방지 및 분석 목적으로 IP 기반의 대략적인 위치가 추정될 수 있으나, 정밀 위치정보를 도출하지는 않습니다.

당사는 위 정보를 (i) 귀하 인증, (ii) 서비스 보안, (iii) 귀하가 요청한 서비스 제공의 목적으로만 이용합니다. 위 이용 중 어느 것도 Cal. Civ. Code § 1798.121상의 "민감 개인정보 이용 제한 권리(Right to Limit Use of Sensitive Personal Information)"를 발동시키지 않으므로, 당사는 "Limit Use" 링크를 표시할 의무가 없습니다. 이용 목적이 변경될 경우 해당 링크를 제공합니다.

당사는 GDPR 제9조상의 특별 범주 개인정보(인종 또는 민족적 기원, 정치적 견해, 종교적 신념, 건강, 성생활 또는 성적 지향에 관한 데이터 등) 또는 PIPA 제23조상의 민감정보를 알면서 수집하지 않습니다. 서비스를 통해 이러한 정보를 제출하지 마십시오.

텍사스 고지 (Tex. Bus. & Com. Code § 541.105). 당사는 Texas Data Privacy and Security Act 의미상의 민감 개인정보 또는 생체 개인정보를 판매하지 않습니다.

3. 처리 목적 및 법적 근거 (GDPR / UK GDPR)

EEA, 영국 및 유사 법령이 적용되는 이용자에 대해 당사는 다음 법적 근거로 개인정보를 처리합니다. 보유 기간 열은 제7조의 분류별 보유 기간을 참조합니다.

정당한 이익에 근거한 처리에 대해서는 contact@ironact.net로 이의를 제기할 수 있습니다(제8조 참조).

4. AI 엔진 이용 방식

서비스의 핵심 기능은 제3자 AI 답변 엔진에 브랜드 관련 프롬프트를 질의하고 응답을 분석하는 것입니다. 당사는 귀하의 최종 사용자에 대한 식별 가능한 개인정보를 AI 엔진에 전송하지 않습니다. 질의에는 일반적으로 귀하가 구성한 브랜드명, 제품명, 카테고리 키워드가 포함됩니다.

Brand Intelligence Model (BIM)을 위해 귀하가 직접 브랜드 콘텐츠를 업로드한 경우, 해당 콘텐츠는 제3자 AI 공급자(예: 임베딩의 경우 OpenAI)가 그들의 데이터 처리 약관에 따라 처리할 수 있습니다. 당사는 가능한 경우 enterprise / API-tier 엔드포인트를 이용하며, 이 공급자들은 표준 API 약관에 따라 귀하의 콘텐츠로 모델을 학습시키지 않습니다. 다만 제5조에 링크된 공급자들의 정책을 검토하시기 바랍니다.

5. 공유 및 수탁업체

당사는 개인정보를 판매하지 않습니다. 당사는 다음에 한하여 개인정보를 공유합니다.

5.1 서비스 제공을 보조하는 수탁업체 (Sub-processor)

당사는 현재 최종 사용자의 개인정보를 처리하는 분석, 광고, 세션 리플레이, CRM 또는 고객 지원 도구를 이용하지 않습니다. 추후 이를 추가하는 경우 본 방침 및 쿠키 정책을 업데이트하며, 요구되는 경우 동의를 재요청합니다.

당사는 /docs/legal/sub-processors에 현재의 수탁업체 목록을 유지·관리합니다. 중대한 변경 사항은 최소 30일의 사전 통지로 본 방침을 통해 공지합니다.

5.2 그 밖의 수령인

• 법률 및 규제 당국 — 법령, 법원 명령에 따라, 또는 적법한 요청에 응하기 위한 경우(당사는 과도하게 광범위한 요청에 이의를 제기하고 적법한 범위 내에서 영향받는 이용자에게 통지합니다).
• 전문 자문인 (변호사, 회계감사인, 회계사) — 비밀유지 의무하에 제공.
• 승계 법인 — 합병, 인수, 자금조달 또는 자산 매각의 경우. 이 경우 영향받는 이용자에게 통지합니다.

5.3 CCPA / 주 법령상의 처리

당사는 CCPA/CPRA, VCDPA, CPA, CTDPA, UCPA, TDPSA, OCPA, MCDPA 또는 그 밖의 미국 주 프라이버시 법령의 의미상 개인정보를 금전 또는 그 밖의 가치 있는 대가를 위해 "판매(sell)"하지 않으며, 상이한 맥락의 행동 광고를 위해 개인정보를 "공유(share)"하지 않습니다. 당사는 직전 12개월 동안 판매 또는 공유한 사실이 없으며 향후에도 그러할 계획이 없습니다.

6. 국외 이전

개인정보는 주로 미국에서 처리되며, 귀하의 프로젝트 리전에 따라 EU 리전(Neon)에서 처리됩니다.

EEA / 영국 / 스위스 이전. EEA, 영국 또는 스위스에서 미국 또는 그 밖의 비충분성 결정 국가로 개인정보를 이전하는 경우, 당사는 다음 메커니즘을 다음 순서의 우선순위로 이용합니다.

1. EU-US Data Privacy Framework (DPF) — DPF에 따라 자율 인증한 수탁업체의 경우(Commission Implementing Decision (EU) 2023/1795). Sub-processors with confirmed self-certification under the EU-US Data Privacy Framework (verified at https://www.dataprivacyframework.gov/list) include: Google LLC, OpenAI L.L.C., Anthropic, PBC, Microsoft Corporation, Stripe, Inc., and Vercel, Inc. Remaining US sub-processors rely on Standard Contractual Clauses (Commission Implementing Decision (EU) 2021/914) together with supplementary technical and organizational measures. We re-audit DPF participation annually.
2. Commission Implementing Decision (EU) 2021/914상의 표준계약조항(Standard Contractual Clauses, SCC);
3. UK International Data Transfer Addendum (IDTA) 또는 EU SCC에 대한 UK Addendum;
4. 스위스 이전의 경우 Swiss SCC.

SCC에 의존하는 경우, 당사는 **이전 영향평가(Transfer Impact Assessment, TIA)**를 실시하고 보조적 기술적·관리적 조치(전송 시 암호화, 저장 시 암호화, 키 관리, 접근 통제)를 적용합니다. 관련 보호 조치의 사본은 contact@ironact.net로 요청 시 제공됩니다.

한국 이용자 (PIPA 제28조의8). 한국 이용자의 개인정보는 미국 및 제5조에 기재된 수탁업체로 이전될 수 있습니다. 당사는 서비스 계약 이행에 필요한 이전에 대해 PIPA 제28조의8 제1항 제3호 — 개인정보처리방침을 통한 공개 메커니즘 — 에 따라 이전합니다. 요구되는 공개 사항은 다음과 같습니다.

• 이전받는 자: 제5.1조에 기재된 자.
• 이전되는 국가: 주로 미국; EU 프로젝트 리전을 선택한 경우 EU.
• 이전 일시 및 방법: 인터넷(TLS 1.2+) 및 API 호출을 통한 암호화 전송, 귀하가 서비스를 이용하는 시점.
• 이전 항목: 제2조에 기재된 바와 같이 계정 정보, 브랜드 데이터, 이용 데이터, 결제 정보, 프롬프트 실행 콘텐츠.
• 이전 목적: 제3조에 기재된 서비스 제공.
• 보유 기간: 제7조에 기재된 바와 같음.
• 이의 제기를 위한 이전받는 자의 연락처: contact@ironact.net.

귀하가 국외 이전에 거부하는 경우, 당사는 서비스를 제공하지 못할 수 있습니다. 거부하려면 contact@ironact.net로 연락하십시오.

7. 보유 기간

당사는 수집 목적상 필요한 기간(법적 의무 준수 포함) 동안만 개인정보를 보유합니다.

7.1 데이터 분류별 (CCPA / CPRA / 주 법령)

7.2 데이터 유형별 (운영 참고)

보유 기간이 경과한 후 당사는 데이터를 삭제하거나 비가역적으로 익명화합니다.

8. 정보주체의 권리

8.1 EEA / 영국 (GDPR / UK GDPR)

• 열람 — 개인정보 사본 요청;
• 정정 — 부정확하거나 불완전한 정보의 정정;
• 삭제 — 데이터 삭제 요청 ("잊혀질 권리");
• 처리 제한 — 특정 경우 처리 제한;
• 이동(portability) — 정형화되고 일반적으로 사용되는 기계 판독 가능한 형식으로 데이터를 수령하고 다른 controller에게 전송;
• 이의 제기 — 정당한 이익에 근거한 처리 또는 다이렉트 마케팅에 대한 이의 제기 (귀하의 권리를 우선하는 강력한 정당한 사유가 없는 한 처리 중단);
• 동의 철회 — 언제든지 가능(철회 전 처리의 적법성에는 영향 없음);
• 자동화된 의사결정의 대상이 되지 아니할 권리 — 제11조 참조;
• 불복 — 지역 감독기관에 제기(제13조 참조).

당사는 1개월 이내에 응답합니다(복잡한 요청의 경우 추가 2개월 연장 가능). 첫 번째 요청은 무료이며, 명백히 근거 없거나 반복적인 요청에 대해서는 합리적인 수수료를 부과할 수 있습니다.

8.2 캘리포니아 (CCPA / CPRA)

캘리포니아 거주자는 다음 권리를 가집니다.

• 당사가 수집·이용·제공하며 (해당하는 경우) 판매 또는 공유하는 개인정보의 분류 및 구체적 항목을 알 권리;
• 개인정보 삭제(예외 있음);
• 부정확한 개인정보 정정;
• 개인정보의 "판매" 또는 "공유"에 대한 옵트아웃 — 당사는 상이한 맥락의 행동 광고를 위해 개인정보를 판매 또는 공유하지 않습니다;
• 민감 개인정보 이용 제한 — 링크 미요구 사유는 제2.4조 참조;
• 권리 행사에 따른 차별을 받지 않을 권리;
• 권한 있는 대리인을 지정하여 대행하도록 할 권리.

자동화된 의사결정 기술 ("ADMT", 2026년 1월 1일부터 시행). California Privacy Protection Agency의 2025년 ADMT 규정(Cal. Code Regs. Tit. 11)에 따라, 사업자가 소비자에 관한 "중대 의사결정(significant decision)"에 ADMT를 이용하는 경우 소비자는 사전 이용 통지(pre-use notice), 옵트아웃, ADMT에 관한 정보의 열람(access) 권리를 가집니다. 제11조에서 명시한 바와 같이, 서비스는 현재 ADMT를 이용하여 소비자에 관한 중대 의사결정을 하지 않습니다. 향후 이를 시작하는 경우 그 시점에 요구되는 통지, 옵트아웃 및 열람 채널을 제공합니다.

이러한 권리를 행사하려면 contact@ironact.net로 이메일을 보내거나 위 주소로 서면 발송하십시오. 당사는 응답 전에 귀하의 신원을 확인합니다.

8.3 그 밖의 미국 주

귀하는 거주 주의 프라이버시 법령에 따른 권리를 가질 수 있습니다.

이의제기 절차. 권리 요청이 거부된 경우, 거부일로부터 60일 이내에 제목을 "Appeal"로 하여 contact@ironact.net로 이메일을 보내 이의를 제기할 수 있습니다. 당사는 거주 주의 법령이 요구하는 기한(일반적으로 45~60일) 내에 이의에 응답합니다. 이의가 기각된 경우, 거주 주의 Attorney General에게 연락할 수 있습니다.

권리 행사 또는 이의제기를 위해서는 contact@ironact.net로 연락하십시오. 당사는 귀하의 신원을 확인하며, 권한 있는 대리인을 통한 경우에도 신원을 확인합니다.

8.4 대한민국 (PIPA)

한국 이용자는 (i) 개인정보 처리에 대해 통지받고 동의할 권리; (ii) 본인 개인정보에 대한 열람, 정정, 삭제 및 처리정지를 요구할 권리; (iii) **PIPA 제37조의2 (2024년 3월 15일 시행)**에 따라 권리·의무에 중대한 영향을 미치는 완전 자동화된 시스템에 의한 결정을 거부하거나, 그에 대한 설명을 요구하거나, 사람의 재검토를 요구할 권리(제11조 참조); (iv) 개인정보 분쟁조정위원회(https://www.kopico.go.kr) 또는 개인정보보호위원회(https://www.pipc.go.kr)에 분쟁 조정 또는 진정을 제기할 권리; (v) 법원을 통한 손해배상 청구권을 가집니다.

귀하는 계정 설정을 통해 또는 제1조에 기재된 CPO에게 연락하여 이러한 권리를 행사할 수 있습니다.

8.5 캘리포니아 공개 사항 (CCPA 특정 부속서)

각 CCPA가 정의한 개인정보 분류에 대하여, 다음 표는 당사가 수집하는 출처, 수집의 사업적 또는 상업적 목적, 그리고 공개하는 제3자의 분류를 정리한 것입니다(Cal. Code Regs. Tit. 11 § 7011(e)).

당사는 직전 12개월 동안 개인정보를 판매 또는 공유한 사실이 없습니다.

9. 쿠키 및 유사 기술

당사는 소수의 필수 쿠키(세션, 로케일)를 이용하며, 자사 분석 쿠키를 이용할 수 있습니다. 당사는 제3자 광고 쿠키를 이용하지 않습니다. 쿠키 표 및 환경설정 관리 방법 등 자세한 내용은 쿠키 정책에서 확인할 수 있습니다.

EEA, 영국, 프랑스 및 독일 이용자에 대해서는 비필수 쿠키에 동의가 요구되는 경우(ePrivacy Directive, 독일 TDDDG § 25, 프랑스 Loi Informatique et Libertés 제82조), 당사는 비필수 쿠키를 설정하기 전에 쿠키 배너를 통해 동의를 받습니다. CNIL Délibération 2020-091 및 ICO 가이드에 따라 배너 첫 번째 레이어의 "모두 수락"과 "모두 거부" 버튼은 동등하게 접근 가능합니다.

10. 아동

서비스는 이용약관 제1조에 기재된 연령 한도 미만의 아동을 대상으로 하지 않습니다. 당사는 아동의 개인정보를 알면서 수집하지 않습니다.

미국 (COPPA). 서비스는 만 13세 미만 아동을 대상으로 하지 않습니다. 당사는 만 13세 미만 아동의 개인정보를 알면서 수집하지 않습니다. 그러한 정보를 수집한 사실을 인지하게 되면 삭제합니다. 부모 또는 보호자는 검토 또는 삭제 요청을 위해 contact@ironact.net로 연락할 수 있습니다. 당사는 FTC의 2025년 COPPA Rule 개정안을 그 시행일까지 준수합니다.

아동이 당사에 개인정보를 제공한 것으로 추정되는 경우 contact@ironact.net로 연락하시면 삭제하겠습니다.

11. 자동화된 의사결정

당사는 GDPR 제22조 / UK GDPR 제22조 / PIPA 제37조의2 / CCPA ADMT 규정 의미상 귀하에 대한 법적 효과 또는 그에 준하는 중대한 효과를 야기하는, 프로파일링을 포함한 전적으로 자동화된 처리에 기반하여 의사결정을 하지 않습니다. 서비스가 생성하는 AI 분석 결과는 귀하의 팀이 검토하는 의사결정 지원 산출물이며, 귀하에 관한 결정이 아닙니다.

처리 방식이 변경되어 ADMT 또는 제22조 유형의 의사결정과 관련이 있게 되는 경우, 당사는 요구되는 통지, 옵트아웃 및 사람의 재검토 채널을 제공하고 본 방침을 업데이트합니다.

12. 보안

당사는 다음을 포함한 업계 표준의 기술적·관리적 조치를 통해 개인정보를 보호합니다.

• 전송 시 TLS 1.2+ 암호화 및 데이터베이스·백업에 대한 AES-256 저장 시 암호화;
• 역할 기반 접근 통제 및 최소 권한 원칙;
• 관리자 접근에 대한 로깅 및 모니터링;
• 정기적인 의존성 및 인프라 보안 업데이트;
• 연 1회 보안 검토; Enterprise 요금제의 SOC 2 Type II 통제(진행 중 / 요청 시 제공).

어떤 시스템도 100% 안전하지 않습니다. 귀하의 권리와 자유에 위험을 초래할 가능성이 있는 개인정보 침해 사고가 발생한 경우, 당사는 GDPR 제33~34조, PIPA 제34조(지체 없이) 및 적용되는 미국 주별 침해 통지법이 요구하는 기한 내에 관련 감독기관(및 해당하는 경우 영향받는 이용자)에 통지합니다.

13. 감독기관

귀하는 거주 국가의 감독기관에 진정을 제기할 수 있습니다.

먼저 당사에 연락해 주시면 직접 문제를 해결하도록 노력하겠습니다.

14. 방침의 변경

당사는 본 방침을 수시로 업데이트할 수 있습니다. 중대한 변경 사항은 발효일 최소 30일 전(현지 법령이 더 긴 기간을 요구하는 경우 그 기간)에 이메일 또는 제품 내 통지로 공지됩니다. 이 페이지 하단의 "Last updated" 날짜는 항상 현재 버전을 반영합니다. 효력 발생일 이후 서비스를 계속 이용하는 것은 변경된 방침에 대한 동의로 간주됩니다.

15. 연락처

이메일: contact@ironact.net 일반 문의: contact@ironact.net

Ironact, Inc. 1111B S Governors Ave Ste 51691 Dover, DE 19904 United States Phone: +1 (415) 851-9366