개인정보 처리방침

Beskarh Corporation (이하 "회사" 또는 "bldinit") 는 사용자의 개인정보를 매우 중요하게 여기며, 「개인정보 보호법」 (PIPA) 및 EU GDPR 등 관련 법령을 준수합니다. 본 방침은 bldinit 서비스 (https://app.bldinit.com 이하 "서비스") 사용 시 처리되는 개인정보의 항목, 목적, 보관 기간, 제3자 제공, 사용자 권리를 명시합니다.

1. 처리하는 개인정보 항목

1.1. 회원 가입 시 자동 수집

Google OAuth profile: 이메일, 닉네임, 프로필 이미지 URL
로그 데이터: 접속 IP (해시 처리), User-Agent, 접속 시각

1.2. Provider connection 시

OAuth tokens: access_token / refresh_token (모두 AES-256-GCM 암호화 저장)
External account ID: provider 측 식별자 (Cafe24 mall_id, Coupang vendor_id 등)
Connection metadata: provider-specific (shop list, scope, expires_at)

1.3. Tool 사용 시

Tool invocation log: 호출 op 명, 호출 시각, 응답 status code, 처리 시간
Input hash: 호출 인자의 SHA-256 해시 (원본 본문 저장 X)
Webhook events: provider 측 webhook 의 raw body

1.4. 결제 정보 (Paddle)

Paddle subscription ID: 결제 식별자
결제 금액 / 통화: 청구 내역
카드 정보 저장 X — Paddle (PCI-DSS Level 1) 가 직접 처리

2. Google 사용자 데이터의 처리 (Google API Services User Data Policy 준수)

본 섹션은 bldinit 이 Google API 를 통해 접근하는 Google 사용자 데이터의 접근 범위 · 사용 목적 · 저장 · 공유를 명시합니다. bldinit 은 Google API Services User Data Policy (Limited Use 요구사항 포함) 및 Google API 서비스 약관을 준수합니다.

2.1. 접근하는 Google 사용자 데이터

(a) 로그인 (bldinit 자체 OAuth 앱, scope: openid email profile)

Google 계정 이메일 주소, 이름(닉네임), 프로필 이미지 URL — 이 3가지만 접근합니다.

(b) 사용자가 자신의 자격증명으로 직접 연결하는 외부 서비스

bldinit 은 사용자가 자신의 OAuth 클라이언트 자격증명(사용자 본인의 개발자 계정/프로젝트)으로 외부 서비스 연동을 직접 생성할 수 있는 게이트웨이입니다. 이 경우 데이터 접근은 사용자가 자신의 애플리케이션에 직접 승인한 범위 내에서, 사용자의 자격증명으로 이루어지며, bldinit 자체의 OAuth 앱이 추가 데이터에 접근하지 않습니다. 이렇게 처리되는 데이터에도 §1.2 (토큰 암호화 저장) 및 §2.3 (콘텐츠 미저장 pass-through) 원칙이 동일하게 적용됩니다.

2.2. 사용 목적

로그인 데이터: 계정 생성, 본인 인증, 세션 유지, 서비스 관련 연락에만 사용합니다.
연동 서비스 데이터 (§2.1(b)): 사용자의 명시적 요청을 실행하기 위해서만 접근합니다 — 사용자의 AI 어시스턴트가 보내는 MCP 도구 호출, 또는 사용자의 REST API 호출. 사용자가 명시적으로 설정한 예약 작업·웹훅 외에는 백그라운드에서 데이터를 읽지 않습니다.

2.3. 저장

OAuth 토큰: AES-256-GCM 으로 암호화하여 저장하며, 연결 해제 또는 회원 탈퇴 시 즉시 폐기합니다 (Google 측 token revoke 호출 포함).
연동 서비스의 사용자 콘텐츠: 서버에 저장하지 않습니다. 요청 시 해당 API 에서 조회하여 사용자에게 전달하는 pass-through 방식입니다. 호출 로그에는 호출 인자의 SHA-256 해시만 저장하고 (원문 미저장) 90일 후 삭제합니다.

2.4. 공유

Google 사용자 데이터를 제3자에게 판매·공유·이전하지 않습니다. 데이터는 오직 요청한 사용자 본인 (사용자의 AI 클라이언트 / API 응답) 에게만 반환됩니다.
광고 목적으로 사용하지 않습니다. 법령상 요구되는 경우에만 예외로 합니다.

2.5. AI/ML 모델 학습 금지

Google API 를 통해 얻은 사용자 데이터를 일반화된 AI/ML 모델의 개발·개선·학습에 사용하지 않습니다. 또한 보안 목적, 사용자의 명시적 동의, 법령상 요구를 제외하고 사람이 해당 데이터를 열람하지 않습니다.

2.6. Limited Use 고지

bldinit's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

2.7. 접근 철회

대시보드에서 언제든 개별 연결을 해제할 수 있으며, 해제 즉시 해당 토큰을 폐기합니다.
Google 계정 보안 설정 (myaccount.google.com/permissions) 에서도 bldinit 의 접근 권한을 철회할 수 있습니다.
회원 탈퇴 시 §4.2 처리 흐름에 따라 모든 토큰·데이터가 삭제됩니다.

3. 보관 기간 (Retention)

정보 분류	보관 기간
회원 정보	탈퇴 시까지 (audit_events 5년)
OAuth tokens	Connection 활성 기간
Tool invocation log	90일
Webhook events	30일
Audit events	5년 (PIPA §29)
결제 거래 내역	5년 (전자상거래법 §6)

4. 사용자 권리

사용자는 「개인정보 보호법」 §35-37 에 따라 다음 권리를 행사할 수 있습니다:

개인정보 열람 요구
정정 / 삭제 요구
처리 정지 요구
데이터 portability (GDPR Art.20) — 계정 데이터 사본을 support 이메일 요청 시 JSON 으로 제공
자동 삭제 요청 거부

4.1. 회원 탈퇴 (Self-service)

사용자는 dashboard 에서 직접 회원 탈퇴를 진행할 수 있습니다:

로그인 후 Settings → Privacy & Data → 회원 탈퇴, 또는
직접 https://app.bldinit.com/admin/settings/delete-account 접속

4.2. 처리 흐름

즉시 (Day 0): 모든 device 로그아웃, 모든 OAuth token 폐기 (Google API 측 token revoke 호출 포함), BYOC API key 폐기, MCP 호출 차단.
30일 후 (Day 30): Workspace, 사용자 프로필, 구독 정보 hard delete.
5년 보관 — 익명화 (법적 의무): 결제 기록 (전자상거래법 §6), 보안 audit log (PIPA §29 분쟁 조정용). 모든 PII (이메일 / 이름 / 전화번호) 제거 후 보관. 5년 후 자동 hard delete.

4.3. 탈퇴 취소 (Day 1~30)

30일 grace period 안에 같은 Google 계정으로 다시 로그인 시 "탈퇴 취소" 버튼을 통해 복원 가능. 단 Provider connection 은 다시 연결 필요 (token 이미 폐기됨).

권리 행사 문의: beskarhsoft@gmail.com — 운영진이 5영업일 안에 답변.

5. 개인정보 보호 책임자

책임자: 박세기 (Beskarh Corporation 대표)
이메일: beskarhsoft@gmail.com
고객센터: 0507-1323-7134
회사 주소: 경기도 김포시 김포한강4로420번길 30, 1452호
사업자등록번호: 572-88-03117
통신판매업 신고번호: 제 2024-경기김포-6302호

6. 보안 조치

전송 구간 HTTPS (Caddy + Let's Encrypt)
저장 데이터 AES-256-GCM via HKDF-SHA256 (OAuth tokens 모두 암호화)
Multi-tenant isolation (organization_id 격리)
비밀번호 자체 미수집 (Google OAuth-only)
Audit log 5년 보관

7. 변경 사항

본 방침은 법령 / 서비스 정책 변경 시 갱신됩니다. 중대 변경 시 7일 전 이메일 또는 dashboard 공지 후 적용. 갱신 history: GitHub docs/legal/privacy-policy.md commit log.