주식회사 와트웍스 개인정보 처리방침

와트웍스가 개인정보를 어떻게 처리하고 보호하는지 알립니다.

판본 2026-11-05 · 시행일: 2026년 11월 5일

1. 처리하는 개인정보의 목적·항목·보유 기간

① 회사는 서비스 이용계약을 맺고 이행하는 데 필요한 개인정보는 「개인정보 보호법」 제15조 제1항 제4호(계약의 체결·이행)에 따라 동의 없이 처리하고, 가입·본인확인·등록 화면에서 그 내용을 알립니다. 법령에 따라 처리해야 하는 정보는 같은 항 제2호, 부정 이용 방지와 보안을 위해 필요한 최소한의 정보는 같은 항 제6호(회사의 정당한 이익)에 따라 처리합니다. 이와 관계없는 정보는 동의를 받은 경우에만 처리하며, 아래 표에서 처리 근거를 구분해 적습니다.

② 동의 없이 처리하는 개인정보

③ 동의를 받아 처리하는 개인정보

회사는 지금 동의를 받아 처리하는 개인정보가 없습니다. 홍보·광고성 정보도 보내지 않습니다. 도입하면 이 방침을 고치고 따로 동의를 받습니다.

④ 회사는 위 목적 외의 용도로 개인정보를 이용하지 않으며, 목적이 바뀌면 법령에 따라 미리 알리고 필요한 경우 동의를 받습니다.

2. 만 14세 미만 아동의 개인정보

해당 없음. 서비스는 만 19세 이상만 가입할 수 있으므로(수요자 이용약관 제6조 ②) 만 14세 미만 아동의 개인정보를 처리하지 않습니다. 회사는 가입할 때 만 19세 이상임을 확인받으며, 만 19세 미만으로 확인되면 이용을 제한합니다(수요자 이용약관 제7조 ②).

3. 개인정보의 파기 절차와 방법

① 파기 시점: 보유 기간이 끝나거나 처리 목적을 이루면 그날부터 5일 안에 파기합니다. 이용자가 탈퇴를 신청하면 30일 뒤 탈퇴가 처리되며, 그 전에 로그인하면 철회할 수 있습니다. 탈퇴가 처리되면 아래 ③의 법정 보존 정보를 빼고 5일 안에 파기합니다. 이메일 주소와 이름은 알아볼 수 없는 값으로 바꾸고(익명화), 비밀번호·로그인 수단·휴대폰 번호·SSH 공개키는 지웁니다. 세션 기록(접속 IP 포함)은 1절의 보관 기간(180일)이 지나면 지웁니다. 볼륨이 남아 있으면 탈퇴를 신청할 수 없으므로, 필요한 데이터를 내려받고 볼륨을 모두 삭제한 뒤 탈퇴해 주세요. 같은 명의의 재가입 제한에 쓰는 연계정보(바꾼 값)는 탈퇴 완료 뒤 30일이 지나면 지웁니다.

② 파기 방법: 전자 파일은 복구할 수 없는 방법으로 지우고, 종이 문서는 파쇄합니다. 데이터베이스 백업은 암호화해 서울 리전에 보관하며, 매일 백업과 배포 직전 백업은 14일, 월간 백업은 93일이 지나면 자동으로 지워집니다. 그래서 파기한 정보도 이 기간 동안 백업에 남을 수 있으며, 백업은 복구 외의 목적으로 쓰지 않습니다. 법령에 따라 보존해야 하는 거래 기록과 연결된 계정 정보는, 이메일·이름·휴대폰 번호 등 개인을 알아볼 수 있는 정보를 복원할 수 없게 지워 더 이상 개인을 알아볼 수 없는 정보로 처리하는 방법으로 파기합니다(개인정보 보호법 시행령 제16조 ① 1호 단서). 백업으로 복구하게 되면 탈퇴한 계정의 정보는 다시 익명화합니다. 수요자의 로컬 볼륨은 회사 에이전트가 공급자 장비에서 무작위 값으로 한 번 덮어쓴 뒤 지우고, 무엇을 했는지 파기 기록을 남깁니다. 장비가 연결되어 있지 않으면 다시 연결될 때 파기합니다.

③ 법령에 따라 보존하는 정보: 아래 정보는 탈퇴하거나 동의를 철회해도 정해진 기간 동안 다른 정보와 따로 보관하고, 그 목적으로만 씁니다.

※ 회사는 통신판매중개자로서 회사 시스템으로 처리한 기록의 범위에서 위 거래 기록을 보존합니다(전자상거래법 시행령 제6조 ① 단서). 조사나 분쟁이 진행 중인 기록은 그 일이 끝날 때까지 보관합니다(이용 정책 제18조 ③).

4. 개인정보의 제3자 제공

① 회사는 1절의 목적 범위 안에서만 개인정보를 처리하며, 이용자의 동의가 있거나 법령에 근거가 있는 경우에만 제3자에게 제공합니다.

② 법령에 따라 제공하는 경우

※ 법인 공급자·법인 수요자의 상호·사업자등록번호 등은 개인정보가 아니지만, 대표자 이름처럼 개인을 알아볼 수 있는 정보는 위 기준에 따라 다룹니다.

③ 회사는 지금 동의를 받아 제3자에게 제공하는 개인정보가 없습니다.

④ 공급자는 수요자가 누구인지 알 수 없습니다. 다만 수요자의 SSH 공개키(이용자가 붙인 설명은 떼고 키 본문만)와 접속 IP는 서비스 구조상 공급자 장비에 전달됩니다(13절). 접속 IP는 그 인스턴스가 삭제될 때 공급자 장비에서도 함께 지워집니다.

⑤ 공급자 장비의 공인 IP 공개: 수요자가 보안 연결(HTTPS)로 접속할 수 있도록, 회사는 공급자 장비마다 회사 도메인 아래 주소를 만들고 그 장비의 공인 IP를 공개 DNS에 올립니다. 이 주소와 IP는 인터넷에서 누구나 조회할 수 있습니다. 회사는 장비 등록 화면과 공급자 이용약관에서 이를 알리며(공급자 이용약관 제9조의2), 장비가 회사에 의해 운영 정지되거나 7일 넘게 연결되지 않으면 그 기록을 지우고, 다시 정상으로 돌아오면 새로 올립니다. 공급자가 판매만 일시중지한 동안에는 기록이 그대로 있습니다.

5. 개인정보 처리업무의 위탁

① 회사는 서비스 제공을 위해 다음 업무를 위탁합니다. 수탁자는 회사를 대신해 업무만 처리하며 자기 목적으로 쓰지 않습니다.

결제대행사(PG)와 본인확인기관은 계약하면 이 표에 더하고 미리 알립니다.

② 회사는 위탁계약서에 위탁 목적 외 처리 금지, 기술적·관리적 보호조치, 재위탁 제한, 관리·감독, 손해배상 책임을 적고, 수탁자가 개인정보를 안전하게 처리하는지 감독합니다(「개인정보 보호법」 제26조). 수탁자와 따로 계약서를 맺을 수 없는 서비스는 그 서비스의 이용 약관과 데이터 처리 조건을 확인해 위탁 조건으로 삼습니다.

③ 수탁자나 위탁 업무가 바뀌면 이 방침을 고쳐 알립니다.

6. 개인정보의 국외 이전

① 서비스의 서버, 데이터베이스, 백업(S3), 메일 발송(SES)은 모두 Amazon Web Services의 서울 리전에 있어 국외로 이전하지 않습니다. 외부 감시 서비스(UptimeRobot, healthchecks.io)는 서버의 생존 확인 주소와 작업 생존 신호만 주고받으며 이용자의 개인정보를 받지 않습니다. AWS의 전역 서비스(도메인·계정 관리) 기록은 미국 동부 리전을 거치지만 운영자의 관리 기록만 담기고 이용자 개인정보는 담기지 않습니다. 웹 글꼴은 회사 서버에서 직접 제공하므로 방문자의 접속 정보가 다른 회사로 가지 않습니다. 공급자 장비의 보안 연결 인증서는 Let's Encrypt(미국)가 발급하며, 장비 주소 이름이 인증서 공개 기록에 실립니다. 공급자 장비는 실행 이미지를 GitHub 컨테이너 저장소(미국)에서 받아 가며, 이때 그 회사가 장비의 공인 IP를 봅니다. 두 경우 모두 수요자의 개인정보는 전달되지 않습니다.

② 회사는 대표 메일함을 Google의 Gmail로 운영하고, 회사 주소로 온 메일은 ImprovMX를 거쳐 Gmail로 전달되므로, 회사 주소로 온 메일은 아래와 같이 국외로 처리위탁·보관됩니다.

③ 회사는 Google·네이버 계정으로 로그인할 때 그 회사로부터 정보를 받을 뿐, 회사가 보유한 개인정보를 보내지 않습니다.

7. 개인정보의 안전성 확보조치

회사는 「개인정보 보호법」 제29조에 따라 다음 조치를 하고 있습니다. 실제로 하고 있는 조치만 적습니다.

• 1. 관리적 조치: 운영 비밀(데이터베이스 비밀번호, 백업 복호 키 등)을 서버 밖의 비밀 보관소에 따로 보관합니다.
• 2. 기술적 조치:
  • 비밀번호, 로그인 세션 토큰, 장비 인증 키는 복원할 수 없는 방식으로 바꿔서만 저장합니다. 연계정보(CI)도 바꾼 값만 저장합니다.
  • 공급자의 정산 계좌번호는 암호화해 저장하고 화면에는 끝 4자리만 보여 줍니다.
  • 모든 접속은 암호화 통신(HTTPS)으로 합니다. 데이터베이스 백업은 암호화해 보관하고, 복호 키는 서버에 두지 않습니다.
  • 로그인 시도 횟수를 제한하고, 다른 회원의 자원에 접근하지 못하게 요청마다 권한을 확인합니다.
  • 운영 서버 관리 접속은 허용된 곳에서만 할 수 있고, 보안 이벤트가 생기면 경보가 갑니다.
  • 오류 기록에는 개인정보 대신 내부 식별번호를 남깁니다.
  • 회원의 접속 기록은 180일 보관하고, 관리자의 조작 기록(누가 언제 무엇을 했는지)은 계약 기록과 함께 보관하며 분쟁이 생기면 끝날 때까지 지우지 않습니다.
• 3. 물리적 조치: 서버와 백업은 Amazon Web Services의 데이터센터(서울 리전)에 있으며 물리 보안은 수탁자가 맡습니다. 회사 사무실에는 개인정보를 담은 종이 문서를 두지 않습니다.

8. 자동 수집 장치(쿠키)의 설치·운영과 거부

① 회사는 로그인 상태를 유지하는 세션 쿠키 하나만 씁니다(최대 14일 유지, 자바스크립트로 읽을 수 없게 설정). 방문 분석이나 광고를 위한 쿠키와 추적 도구는 쓰지 않습니다. 공급자 화면의 안내 배너를 접은 상태는 브라우저 탭을 닫으면 사라지는 저장 공간에만 둡니다. 분석 도구를 도입하면 이 방침을 먼저 고칩니다.

② 이용자는 브라우저 설정에서 쿠키를 막을 수 있습니다. 다만 세션 쿠키를 막으면 로그인이 필요한 서비스를 이용할 수 없습니다.

• 크롬: 설정 > 개인 정보 보호 및 보안 > 서드 파티 쿠키 / 사이트 데이터
• 엣지: 설정 > 쿠키 및 사이트 권한
• 사파리: 설정 > 개인정보 보호 > 쿠키 차단

③ 회사는 다른 회사가 서비스 화면에서 행태정보를 수집하도록 허용하지 않습니다.

9. 이용자의 권리와 행사 방법

① 이용자는 언제든지 자신의 개인정보를 열람, 정정·삭제, 처리정지하라고 요구하거나 동의를 철회할 수 있습니다. 법령이 정한 기준에 해당하는 회사가 되면 개인정보 전송도 요구할 수 있습니다(「개인정보 보호법」 제35조의2).

② 권리는 다음 방법으로 행사할 수 있으며, 회사는 요구를 받은 날부터 10일 안에 조치하고 결과를 알립니다.

• 서비스 화면: 콘솔의 계정 화면에서 내 정보를 확인하고 탈퇴를 신청할 수 있습니다(수요자 이용약관 제10조). 정보 정정·삭제·처리정지는 아래 이메일이나 우편으로 요청하면 회사가 처리합니다.
• 이메일: privacy@wattworks.co.kr (6절의 국외 이전이 있습니다)
• 우편: 경기도 김포시 통진읍 동을산로143번길 89, 2동 1층, 주식회사 와트웍스 개인정보 보호책임자 앞

③ 탈퇴는 가입할 때보다 어렵지 않게 할 수 있도록 합니다.

④ 법정대리인이나 위임을 받은 사람을 통해서도 권리를 행사할 수 있습니다. 이 경우 「개인정보 처리 방법에 관한 고시」 별지 제11호 서식의 위임장을 내야 합니다.

⑤ 열람과 처리정지 요구는 「개인정보 보호법」 제35조 ④과 제37조 ②에 따라 제한될 수 있고, 다른 법령이 보존을 정한 정보(3절 ③)는 삭제를 요구할 수 없습니다.

⑥ 회사는 요구한 사람이 본인이나 정당한 대리인인지 확인합니다.

⑦ 이용자는 자신의 정보를 정확하게 입력해야 하며, 다른 사람의 정보를 도용하면 관련 법령에 따라 책임을 질 수 있습니다.

10. 자동화된 결정

① 회사는 서비스의 안전을 위해 다음 판단을 사람의 개입 없이 시스템이 자동으로 합니다. 이 판단은 서비스 이용계약에 따른 것이므로 「개인정보 보호법」 제37조의2 제1항 단서에 따라 거부권이 적용되지 않을 수 있지만, 이용자는 설명과 검토를 요구할 수 있습니다.

이용 정책 위반이 의심되는 작업은 회사 담당자가 확인한 뒤 중지하며, 자동으로 중지하지 않습니다. 성능 미달 신고는 회사 담당자가 대여·연결 기록과 수요자가 낸 자료로 확인해 처리합니다(수요자 이용약관 제33조). 공급자 등급은 운영하지 않으며, 도입하면 이 방침을 먼저 고칩니다.

② 설명이나 검토를 원하면 privacy@wattworks.co.kr로 요청하거나 이용 정책 제12조의 이의 제기 절차를 이용할 수 있습니다. 회사는 요청을 받은 날부터 30일 안에 사람이 다시 검토한 결과나 판단 기준의 설명을 서면(이메일 포함)으로 알립니다.

※ 잔액이 다 떨어져 종료되거나 최대 렌트 시간으로 종료되는 것은 이용자가 정한 설정과 계약 조건을 그대로 실행하는 것이라 위 표에 넣지 않았습니다.

11. 개인정보 보호책임자와 문의처

회사는 개인정보 처리에 관한 업무를 총괄하고 이용자의 문의와 고충을 처리하기 위해 아래와 같이 개인정보 보호책임자를 지정합니다.

12. 권익침해 구제 방법

개인정보 침해로 피해 구제나 상담이 필요하면 아래 기관에 문의할 수 있습니다.

13. 수요자의 작업 데이터와 공급자 장비

① 회사는 수요자의 작업 데이터를 열람하지 않습니다. 수요자가 인스턴스와 로컬 볼륨에 올리거나 만든 파일·모델·데이터와 인스턴스에서 주고받는 통신 내용은 회사 서버를 거치지 않으며, 회사는 볼륨의 용량과 사용량만 봅니다. 수요자가 이 데이터 안에 다른 사람의 개인정보를 넣어 처리하면, 그 개인정보를 처리하는 사람은 수요자입니다.

② 예외 — 사건이 있을 때의 최소 접근: 회사는 신고되거나 탐지된 구체적인 위반·보안 사건을 조사하는 데 필요한 경우에만, 필요한 최소 범위에서 관련 데이터에 접근하고, 접근한 내역을 기록합니다(이용 정책 제9조 ③).

③ 데이터는 공급자 장비에 있습니다. 인스턴스와 로컬 볼륨은 회사가 아닌 공급자의 장비에서 돌아가고 저장됩니다. 공급자는 수요자의 데이터에 접근·열람·복제할 수 없으며(공급자 이용약관 제24조 ①), 회사는 격리·삭제·점검과 약관상 금지로 데이터를 보호합니다. 그러나 장비에 물리적으로 접근할 수 있는 사람에 의한 위험을 기술로 완전히 없앨 수는 없습니다. 로컬 볼륨은 암호화되지 않은 채 공급자 장비에 저장되므로, 민감한 데이터는 수요자가 직접 암호화해 두기를 권합니다.

④ 서비스 구조상 수요자의 SSH 공개키(설명을 뗀 키 본문)는 접속 설정을 위해 공급자 장비의 인스턴스에 전달되고, 수요자의 접속 IP는 접속할 때 공급자 장비에 전달됩니다. 접속 IP는 그 인스턴스가 지워질 때 함께 지워집니다. 공급자는 이 정보를 서비스 제공 외의 목적으로 쓸 수 없으며, 공급자 이용약관 제24조의2에 따라 목적 외 처리 금지·보호 조치·재위탁 금지·파기·회사의 점검·손해배상 의무를 집니다.

⑤ 공급자 장비에서 개인정보 유출이 생기면 회사는 법령이 정한 기한 안에 이용자와 관계 기관에 알리고 신고합니다(「개인정보 보호법」 제34조).

14. 처리하지 않는 개인정보

회사는 다음을 처리하지 않습니다. 처리하게 되면 이 방침을 고쳐 미리 알립니다.

• 1. 추가적인 이용·제공: 수집 목적과 합리적으로 관련된 범위에서 동의 없이 추가로 이용·제공하는 일(「개인정보 보호법」 제15조 ③·제17조 ④)을 하지 않습니다.
• 2. 민감정보·고유식별정보: 건강·신념 등 민감정보와 주민등록번호 등 고유식별정보를 처리하지 않습니다. 개인 공급자를 받게 되어 대금의 원천징수에 주민등록번호가 필요해지면 이 방침을 먼저 고칩니다.
• 3. 가명정보: 처리하지 않습니다.
• 4. 행태정보: 맞춤형 광고를 위한 행태정보를 처리하지 않으며, 다른 회사의 수집도 허용하지 않습니다(8절).
• 5. 국내대리인: 회사는 국내 법인이므로 지정 대상이 아닙니다.
• 6. 영상정보처리기기: 고정형·이동형 영상정보처리기기를 운영하지 않습니다.

15. 이 방침의 변경

① 이 방침은 부칙에 적은 날부터 시행합니다.

② 이 방침을 바꿀 때는 적용하기 7일 전에 서비스 첫 화면이나 연결 화면에 게시합니다. 이용자에게 불리하거나 중요한 변경(처리 항목·목적 추가, 제3자 제공 추가 등)은 30일 전에 게시하고 전자우편으로 개별로 알리며, 바뀌는 내용을 변경 전후 대조표로 안내합니다.

③ 수집 항목이 늘어나는 등 동의를 다시 받아야 하는 변경은 게시와 별도로 동의를 받습니다. 동의를 받기 전에는 바뀐 내용대로 처리하지 않습니다.

④ 회사는 이전 판의 처리방침과 각 판의 적용 기간을 서비스 화면의 "약관 이전 판" 페이지에 함께 공개합니다.

부칙

이 방침은 2026년 11월 5일부터 시행합니다.