FairFit 개인정보 처리방침

이 문서는 법률 전문가 검토 전 초안입니다. 확정 전 법률검토_의뢰서.md 의 쟁점을 함께 확인합니다.

FairFit(운영: 뉴라이트, 대표 신광수, 사업자등록번호 777-36-01506, 이하 "플랫폼")은 수습 평가 기록 서비스를 제공하면서 개인정보보호법을 준수합니다. 이 방침은 플랫폼이 어떤 개인정보를 왜, 얼마나 오래, 어떻게 처리하는지와 정보주체의 권리를 설명합니다.

1. 플랫폼의 두 가지 역할

플랫폼은 개인정보에 대해 두 가지 지위를 동시에 가집니다. 이 구분이 이 방침 전체의 기준입니다.

수습 케이스 안의 기록은 회사가 근로계약을 이행하고 수습 평가를 하기 위해 처리하는 개인정보이며, 플랫폼은 회사로부터 그 처리를 위탁받아 저장·보관·열람 제공만 합니다. 근로자가 서비스 안에서 남기는 응답·의견·이의·서명도 회사의 수습 기록에 속하므로 회사가 개인정보처리자입니다. 회사는 첫 수습 케이스를 등록할 때 개인정보 처리 위탁 계약서(/data-processing-agreement)에 전자적으로 동의하여 플랫폼과 위탁 계약을 체결합니다.

근로자는 수습 기록에 관한 문의를 회사에 할 수 있고, 플랫폼에도 직접 할 수 있습니다. 플랫폼은 근로자가 자기 기록을 열람하고 응답하고 보관 기한을 확인할 수 있는 화면을 직접 제공합니다.

2. 처리 목적

1. 회원 가입과 계정 관리, 본인 확인, 로그인
2. 수습 케이스의 생성, 기준 고지, 피드백·면담·평가·결정 기록의 저장과 열람 제공
3. 기준 확인 서명, 피드백 확인, 통지서 열람 등 법적 효과가 있는 행위의 시각·세션·접속 정보 기록
4. 문서 생성, 해시 기록, 제3자 시점확인, 검증 제공
5. 알림(카카오 알림톡, 이메일, 서비스 내 알림) 발송
6. 요금 결제와 영수증 발급, 노무사 검토료의 결제대행사 지급대행 처리 (검토료는 플랫폼 계좌를 거치지 않고 노무사에게 직접 입금)
7. 노무사 검토 요청의 전달과 의견 보관
8. 보관 기간 관리, 파기와 증적 기록
9. 서비스 안정 운영, 부정 이용 방지, 분쟁 대응

3. 처리하는 개인정보 항목

회사 회원

• 필수: 이름, 이메일, 비밀번호(암호화 저장) 또는 소셜 계정 식별자, 회사명
• 선택: 전화번호, 대표자명, 사업자등록번호, 개업일, 회사 규모, 업종, 직인 이미지
• 본인인증 시(사업자등록번호를 등록하는 대표자): 본인확인기관이 돌려주는 성명과 인증 시각만 저장합니다. 생년월일·휴대폰 번호·CI·DI·주민등록번호는 받지 않습니다
• 사업자 인증 시: 국세청 사업자등록 진위확인 결과와 시각
• 결제 시: 결제대행사가 발급한 결제 식별자, 결제 금액과 일시 (카드번호는 플랫폼이 보관하지 않음)

근로자 회원 (회사 위탁 데이터)

아래 항목은 모두 회사가 개인정보처리자이고 플랫폼이 수탁자로 처리합니다. 회사가 등록하는 항목은 정보주체가 아닌 회사로부터 수집하는 것이며, 근로자는 개인정보보호법 제20조에 따라 수집 출처·처리 목적·처리정지 요구권을 고지받을 수 있습니다.

• 회사가 등록하는 항목(수집 출처: 회사): 이름, 이메일 또는 전화번호, 직무, 수습 기간
• 근로자가 가입 시 등록하는 항목: 로그인 이메일, 비밀번호(암호화 저장) 또는 소셜 계정 식별자
• 서비스 이용 중 생성되는 항목: 기준 확인 서명(성명, 시각, 문서 해시), 질문과 이의, 피드백 응답과 의견, 면담 확인, 평가에 대한 의견, 통지서 열람 시각

노무사 회원

• 이름, 이메일, 전화번호, 공인노무사 자격번호, 소속 사무소
• 지급대행(셀러 정산) 등록을 위해 결제대행사에 전달하는 항목: 사업자등록번호, 정산 계좌, 대표자 본인 확인 정보. 검토료가 노무사에게 직접 입금되게 하기 위한 것이며 플랫폼은 전달만 합니다

모든 회원 (자동 수집)

• 접속 IP, 브라우저 정보(User-Agent), 접속 일시, 인증 쿠키
• 약관 동의·처리방침 확인·위탁계약 동의의 버전과 시각

수집하지 않는 항목

• 주민등록번호, 외국인등록번호, 여권번호 등 고유식별정보
• 건강, 사상, 노조 가입 등 민감정보 (회원이 기록에 임의로 적지 않도록 약관으로 금지). 다만 근로자가 의견·이의 등 자유 기술란에 민감정보를 적으면 그 내용이 회사에 공개되므로, 적지 않기를 권장합니다(제30조 제1항 제3호의3)
• 위치 정보, 근태, 화면 활동, 음성·영상

4. 처리의 법적 근거

5. 보유 기간

수습 케이스 기록의 보유 기간이 만료되기 30일 전에 플랫폼은 회사와 근로자 양측에 안내하고, 만료 후 파기합니다. 탈퇴한 회원의 동의 이력은 다른 개인정보와 분리해 보관하며, 위 기간이 지나면 자동으로 삭제합니다.

6. 파기

파기 절차

1. 보유 기간이 만료된 수습 케이스를 매일 자동으로 식별합니다.
2. 해당 케이스의 기록, 문서, 첨부 파일, 알림, 감사 로그를 한 번에 삭제합니다. 플랫폼의 기록 불변 장치는 파기 절차에서만 해제됩니다.
3. 파기 일시, 사유, 삭제된 기록의 종류별 건수를 증적으로 남깁니다. 기록의 내용은 남기지 않습니다.
4. 양측에 파기 사실을 알립니다.

파기 방법

전자적 기록은 데이터베이스에서 삭제하고 저장소의 파일을 삭제합니다. 백업 복제본은 백업 보존 주기(최대 30일)가 지나면 자동으로 사라집니다.

7. 처리 위탁

플랫폼은 서비스 운영을 위해 다음 업체에 개인정보 처리를 위탁합니다. 회사로부터 위탁받은 수습 기록에 대해서는 이들이 재수탁자가 되며, 회사는 위탁 계약으로 재위탁에 동의합니다.

플랫폼은 수탁자와 개인정보보호법 제26조에 따른 위탁 계약을 체결하고, 수탁자가 변경되면 이 방침을 개정하여 알립니다.

국외 이전

데이터베이스와 파일 저장소 호스팅을 맡은 Supabase, Inc. 는 미국 법인입니다. 데이터는 서울 리전에 저장되지만, 운영·장애 대응을 위한 접근과 백업 관리는 국외에서 이루어질 수 있어 개인정보보호법 제28조의8 제1항 제3호(계약 이행을 위한 처리위탁·보관)에 따라 다음을 공개합니다.

시점확인 기관(RFC 3161 TSA)이 국외 기관인 경우에도 전달되는 것은 문서의 해시 값뿐이며 개인정보는 전달되지 않습니다.

오류 추적(Sentry)을 켠 경우 다음과 같이 국외로 이전됩니다.

8. 제3자 제공과 노무사 검토

플랫폼은 다음 경우 외에는 개인정보를 제3자에게 제공하지 않습니다.

1. 법령에 따른 요구: 법원의 재판·문서제출명령, 노동위원회의 조사, 수사기관의 영장 등 법령에 근거한 요구가 있는 경우.
2. 정보주체의 별도 동의가 있는 경우.

노무사 검토는 제3자 제공이 아닙니다. 회사가 수습 케이스에 대해 노무사의 검토를 요청하면, 회사가 그 노무사에게 자문을 위탁하는 것(개인정보보호법 제26조)이고 플랫폼은 회사의 지시에 따라 해당 케이스에 한정하여 열람 권한만 부여합니다. 노무사는 검토 외의 목적으로 기록을 이용할 수 없고 공인노무사법에 따른 비밀유지 의무를 집니다. 회사는 노무 자문 위탁 사실을 근로자에게 공개할 의무가 있으며, 플랫폼은 이를 위한 고지 문안을 제공합니다.

9. 정보주체의 권리

회원은 다음 권리를 행사할 수 있습니다. 근로자 회원은 로그인 후 "내 기록 › 개인정보·보관" 화면에서 열람·보관 기한 확인·연장을 직접 할 수 있으며, 그 밖의 요구는 12항의 연락처로 할 수 있습니다. 수습 케이스 기록에 관한 요구는 개인정보처리자인 회사에도 할 수 있고, 플랫폼이 받은 요구는 회사에 전달하여 함께 처리합니다.

열람권 (제35조)

회원은 자신에 관한 기록을 언제든 열람하고 PDF 와 ZIP(각 문서의 PDF·원본과 전체 기록 묶음, 문서별 해시 목록)으로 내려받을 수 있습니다. 근로자 회원은 수습 종료나 퇴사 후에도 보유 기간 동안 열람할 수 있습니다. 다만 다른 사람의 생명·신체를 해하거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 부분(예: 회사가 노무사에게 받은 자문 의견 중 회사의 법적 대응에 관한 내용)은 열람이 제한될 수 있으며, 그 경우 사유를 알립니다(제35조 제4항).

정정권 (제36조)

• 계정 정보는 설정 화면에서 직접 수정할 수 있습니다.
• 수습 케이스 안의 평가·의견 같은 판단 내용은 작성 후 수정할 수 없으며(기록 불변), 바로잡을 내용은 새 기록(의견, 이의, 응답)으로 남길 수 있습니다.
• 이름·날짜·직무 같은 객관적 사실의 오류는 정정을 요구할 수 있습니다. 플랫폼은 요구를 받은 날부터 10일 이내에 조사하여 원본 기록을 보존한 채 정정 사실과 정정된 내용을 덧붙이고 결과를 알립니다. 정정하지 않기로 한 경우 그 이유를 알립니다.

삭제권 (제36조)과 그 제한

• 회원 탈퇴는 언제든 할 수 있습니다. 탈퇴하면 계정 정보(로그인 수단, 연락처)는 삭제되지만, 수습 케이스 기록은 회사가 위탁한 기록이므로 아래 보유 기간까지 보관됩니다. 탈퇴한 근로자는 본인 확인을 거쳐 보유 기간 동안 기록을 열람할 수 있습니다. 약관·처리방침 동의 이력은 분쟁 대비를 위해 탈퇴 후에도 5항의 기간(회사 회원 5년, 근로자·노무사 회원 3년) 동안 분리 보관한 뒤 삭제합니다.
• 수습 케이스 기록은 보유 기간(종료 후 3년) 중에는 삭제할 수 없습니다. 고용·해고에 관한 서류는 근로기준법 제42조에 따라 보존 의무가 있으며, 개인정보보호법 제36조 제1항 단서가 이 경우 삭제 요구를 제한합니다. 회사와 근로자 어느 쪽의 요구로도 삭제되지 않습니다.
• 플랫폼이 보관하는 것은 회사가 위탁한 사본입니다. 회사는 같은 기간 자체 보존 의무를 지며, 플랫폼의 보관과 별개로 자기 책임으로 보존·파기합니다.
• 보유 기간 중 삭제를 요구하면 플랫폼은 보유 기간, 만료일, 회사의 자체 보존 의무를 안내하고 그 요구와 답변을 기록합니다. 보유 기간이 지나면 자동으로 파기합니다.
• 근로자는 보관 중인 기록을 언제든 열람·다운로드할 수 있습니다. 이 기록은 노동위원회 구제신청 등에서 근로자 본인의 증거로도 쓰입니다.

처리정지권과 동의 철회 (제37조)

• 근로자 회원은 "개인정보·기록 보관" 화면에서 알림톡·이메일 수신을 중단할 수 있습니다. 중단하면 피드백 확인 요청·독촉 같은 안내는 서비스 안 알림으로만 받습니다. 다만 법적 효과가 있는 통지(기준 고지, 결정 통지서, 기록 보관 만료·파기 안내)는 회사와 근로자 사이의 계약 이행과 법정 통지에 필요하므로 수신 중단과 관계없이 이메일로도 보냅니다(제37조 제2항 제3호).
• 동의에 근거해 처리하는 선택 항목은 설정 화면이나 12항의 연락처를 통해 언제든 동의를 철회할 수 있습니다.

권리 행사 방법

• 서비스 화면에서 직접 행사
• 이메일: 개인정보 보호책임자 (12항)
• 플랫폼은 요청을 받은 날부터 10일 이내에 조치 결과를 알립니다. 대리인이 요구하는 경우 위임장을 확인합니다.

10. 안전성 확보 조치

1. 내부 관리계획: 개인정보 보호책임자 지정, 접근 권한 관리, 교육을 포함한 내부 관리계획을 수립·시행합니다.
2. 암호화: 비밀번호는 단방향 해시(bcrypt)로 저장하고, 전송 구간은 TLS 로 보호합니다. 인증 토큰은 httpOnly 쿠키로 전달합니다.
3. 접근 통제: 회원은 자신이 당사자인 수습 케이스만 접근할 수 있으며, 같은 케이스에서 회사 측과 근로자 측에 동시에 설 수 없도록 시스템이 막습니다. 회사 구성원은 관리자·평가자·열람자 권한으로 구분됩니다.
4. 기록 불변: 작성된 기록은 데이터베이스 트리거로 수정·삭제를 막습니다. 파기 절차에서만 해제됩니다.
5. 감사 로그: 누가 언제 무엇을 했는지 추가 전용(append-only) 로그로 남깁니다.
6. 무결성 검증: 모든 문서의 SHA-256 해시를 기록하고 제3자 시점확인을 받을 수 있습니다.
7. 법적 행위 증적: 확인 서명·이의·문서 열람 등 법적 효과가 있는 행위의 IP·시각·브라우저 정보를 기록하며, 해당 수습 기록과 같은 기간 보관합니다. 단순 로그인·화면 활동은 기록하지 않습니다.
8. 최소 수집: 고유식별정보, 민감정보, 위치·활동 정보를 수집하지 않습니다.

11. 쿠키

플랫폼은 로그인 상태 유지를 위한 인증 쿠키만 사용합니다. 광고·분석 목적의 제3자 쿠키는 사용하지 않습니다. 브라우저에서 쿠키를 거부하면 로그인이 유지되지 않습니다. 소셜 로그인과 초대 수락 과정에서는 브라우저의 세션 저장소(sessionStorage)에 로그인 교환용 임시 값과 동의 사실을 잠시 저장하며, 탭을 닫으면 사라집니다.

12. 개인정보 보호책임자와 열람 청구 접수 부서

• 개인정보 보호책임자: 신광수 (대표), 전화 010-6413-5502, 이메일 (시행 전 확정)
• 열람·정정·삭제·처리정지 청구 접수·처리 부서: 별도 부서 없이 위 보호책임자가 직접 접수·처리합니다
• 회원은 개인정보 관련 문의, 불만, 권리 행사를 위 연락처로 요청할 수 있습니다.

13. 권익침해 구제

• 개인정보분쟁조정위원회: 1833-6972, www.kopico.go.kr
• 개인정보침해신고센터: 118, privacy.kisa.or.kr
• 대검찰청 사이버수사과: 1301
• 경찰청 사이버수사국: 182

14. 방침의 개정

1. 이 방침을 개정하면 시행일 7일 전(회원에게 불리한 변경은 30일 전)부터 서비스 화면과 이메일로 알립니다.
2. 개정된 방침은 시행일 이후 회원이 로그인할 때 확인을 받으며, 확인한 버전과 시각은 기록됩니다. 이 방침은 고지 문서이며 처리의 근거는 4항에 따릅니다. 동의가 근거인 선택 항목은 별도로 동의를 받습니다.
3. 버전 이력: 1.0 (2026-10-16) 최초 제정