개인정보 처리방침

1. 당사가 수집하는 정보

당사는 다음 범주의 데이터를 수집합니다:

• 계정 정보: 이름, 이메일 주소, 비밀번호 해시, 역할(학생, 모집 담당자, 관리자), 업로드하는 경우 프로필 사진.
• 문의 및 학업 정보: 이름, 이메일 주소, 전화번호, 출신 국가, 목표 국가, 희망 학위 수준, 관심 프로그램, 시험 점수(TOEFL/IELTS/GRE/GMAT 등), GPA, 이전 재학 기관, 예산, 입학 학기 등 문의 및 접수 양식을 통해 제출하는 정보. 계정을 만들지 않고도 문의를 제출할 수 있습니다.
• 업로드하는 문서: 성적증명서, 학업계획서, 추천서, 여권 사본, 비자 서류 및 기타 지원 자료.
• 커뮤니케이션: 어드바이저에게 보내는 메시지, 지원 티켓, 리뷰 제출 내용.
• 추천 정보: 귀하가 당사의 추천 또는 모집 프로그램에 참여하거나 타인의 추천 코드 또는 링크를 사용하여 가입하는 경우, 프로그램 운영을 위해 추천 코드 및 그에 따른 계정 간 연결 관계를 기록합니다.
• 결제 정보: 당사는 카드 번호를 저장하지 않습니다. 결제는 Stripe가 처리하며, Stripe는 귀하의 브라우저로부터 직접 카드 정보를 받습니다. 당사는 Stripe의 결제 식별자, 청구 금액, 구매 상태를 보관합니다.
• 이용 및 기기 정보: 서버 측 로그 및 당사의 엣지 제공업체(Cloudflare)에 기록되는 IP 주소, 사용자 에이전트 문자열, 요청 경로, 타임스탬프. 보안, 남용 방지, 디버깅 목적으로만 사용됩니다. 당사는 클라이언트 측 분석 도구나 광고 추적기를 사용하지 않습니다.
• 동의 기록: 귀하가 문의를 제출하거나, 등록하거나, 마케팅 이메일에 동의할 때, 추후 이의가 제기될 경우 동의를 증명할 수 있도록 귀하가 부여한 권한 기록(어떤 체크박스를, 어느 페이지에서, 방침 버전, 당시의 IP 및 사용자 에이전트)을 저장합니다.
• 인증 제공업체: Google로 로그인하는 경우, 당사는 귀하의 동의에 따라 Google로부터 이름, 이메일, 프로필 사진을 받습니다.

2. 데이터를 처리하는 이유(법적 근거)

EU, 영국, EEA의 사용자에 대해 당사는 GDPR에 따른 다음 법적 근거에 의존합니다:

• 계약(제6조 제1항 (b)): 계정 생성 및 관리, 문의 응대, 관련 대학 및 장학금 목록 제공, 결제 처리, 구매한 서비스 제공, 어드바이저 지원, 추천 프로그램 운영을 위해.
• 정당한 이익(제6조 제1항 (f)): 서비스 운영 및 보안, 사기 및 남용 방지, 제품 품질 개선을 위한 집계 이용 분석, 문의 응대를 위해.
• 법적 의무(제6조 제1항 (c)): 세무, 회계, 규제 요건 준수를 위해.
• 동의(제6조 제1항 (a)): 선택적 마케팅 커뮤니케이션을 위해.

3. 데이터 공유 방법

당사는 귀하의 개인정보를 판매하지 않습니다. 당사는 귀하의 개인정보를 대학이나 장학금 제공기관과 공유하지 않습니다. 서비스의 목록은 공개 출처에서 선별한 것이며, 당사는 어떤 기관의 모집 대리인도 아닙니다. 당사는 다음과 데이터를 공유합니다:

• 서비스 제공업체 당사의 서비스 운영을 지원하는 업체:
  • Stripe, Inc.(결제 처리, 미국), 개인정보 처리방침.
  • Hetzner Online GmbH(서버 호스팅, 독일), 개인정보 처리방침.
  • Cloudflare, Inc.(DNS, CDN, TLS, 엣지 보안 및 여권, 비자 사본 등 업로드된 문서를 위한 R2 객체 스토리지, 미국), 개인정보 처리방침.
  • Neon, Inc.(관리형 Postgres 데이터베이스, 지역: AWS 프랑크푸르트, 독일), 개인정보 처리방침.
  • Resend, Inc.(거래 이메일, 미국), 개인정보 처리방침.
  • Google LLC(OAuth 로그인, 미국), 개인정보 처리방침.
  이들 제공업체는 당사에 서비스를 제공하는 데 필요한 범위 내에서만 귀하의 데이터를 사용하도록 계약상 제한됩니다.
• 법적 기관: 법률, 소환장에 의해 요구되거나 당사의 권리와 안전을 보호하기 위해 필요한 경우.
• 사업 양도: 합병, 인수 또는 자산 매각과 관련하여(귀하에게 통지함).

4. 국제 데이터 이전

당사의 서버와 주 데이터베이스는 독일(EU)에 위치해 있습니다. 일부 서비스 제공업체(Stripe, Resend, Cloudflare, Google)는 미국에 기반을 두고 있습니다. 데이터가 EU/EEA 외부로 이전될 때 당사는 유럽 집행위원회가 승인한 표준계약조항(SCC)과 적용 가능한 프레임워크(예: EU-US 데이터 프라이버시 프레임워크)에 따른 각 제공업체의 인증에 의존합니다.

5. 데이터 보관 기간

• 계정 데이터: 계정이 활성 상태인 동안, 그리고 사기 방지를 위해 삭제 후 최대 24개월까지.
• 지원 문서(성적증명서, 학업계획서, 추천서, 시험 점수): 당사와 활성 서비스가 있는 동안 보관되며, 그 외의 경우 업로드 후 보관 기간에 도달하면 제거됩니다. 민감한 신원 및 금융 문서(여권 사본, 금융 기록)는 다른 문서보다 짧은 기간 동안 보관됩니다. 또한 언제든지 대시보드에서 직접 문서를 삭제할 수 있습니다. 아래 “문서 삭제 방법”을 참조하세요.
• 결제 기록: 세무 및 회계 준수를 위해 7년.
• 지원 커뮤니케이션: 해결 후 최대 3년.
• 서버 로그: 최대 90일.

문서 삭제 방법

당사는 필요 이상으로 문서를 보관하지 않도록 업로드된 문서에 데이터 보관 절차를 적용합니다. 문서는 귀하가 더 이상 당사와 활성 서비스를 보유하지 않고 해당 유형의 보관 기간보다 오래되었거나, 활동 여부와 관계없이 절대 최대 기간에 도달하면 삭제 대상이 됩니다. 활성 서비스에 연결된 문서는 이 절차로 삭제되지 않습니다. 문서가 삭제되기 전에 당사는 이메일을 보내고 대시보드에 알림을 표시하며, 여전히 필요한 경우 문서를 보관하도록 표시할 수 있습니다. 삭제 대상 문서는 먼저 숨겨지고 복원이 가능한 유예 기간 동안 보관된 후, 당사 스토리지에서 영구적으로 삭제됩니다. 정확한 보관 기간은 당사 팀이 구성하며 변경될 수 있습니다. 아래 “귀하의 권리”에 설명된 권리 포털을 통해 언제든지 데이터의 조기 삭제를 요청할 수 있습니다.

6. 귀하의 권리

거주 지역에 따라 귀하는 개인정보에 대해 다음과 같은 권리를 가질 수 있습니다:

• 열람: 당사가 보유한 귀하에 관한 데이터 사본 요청.
• 정정: 부정확한 데이터의 수정 요청.
• 삭제: 계정 및 관련 데이터의 삭제 요청(법적 보관 의무에 따름).
• 이동성: 기계 판독이 가능한 형식의 데이터 사본 수령.
• 이의 및 제한: 처리에 이의를 제기하거나 처리 제한 요청.
• 동의 철회: 동의에 기반한 모든 처리에 대해.
• 불만 제기: 현지 개인정보 보호 당국에 불만 제기.

이러한 권리 중 다수는 계정 내 개인정보 및 데이터 페이지에서 직접 행사할 수 있습니다: 기계 판독이 가능한 데이터 사본 다운로드(이동성), 프로필 편집(정정), 마케팅 동의 관리, 계정 삭제 요청이 가능합니다. 그곳에서 완료할 수 없는 사항은 [email protected]로 이메일을 보내주세요. 당사는 30일 이내에 응답합니다.

EU/영국 거주자(GDPR/UK GDPR): 당사가 귀하의 데이터를 적절하게 처리하지 않았다고 판단되는 경우, 귀하는 자국의 개인정보 보호 당국에 불만을 제기할 권리가 있습니다. 유럽 데이터 보호 이사회를 통해 해당 당국을 찾을 수 있습니다.

캘리포니아 거주자(CCPA/CPRA): 위의 권리 외에도 귀하는 당사가 수집하는 개인정보를 알 권리, 그 삭제 또는 정정을 요청할 권리, 개인정보의 판매 또는 공유를 거부할 권리, 민감한 개인정보의 사용을 제한할 권리가 있습니다. 당사는 CCPA/CPRA에서 사용되는 의미로 개인정보를 판매하거나 공유하지 않습니다(당사는 금전적 또는 기타 가치 있는 대가로 교환하지 않으며, 교차 맥락 행동 광고를 위해 공유하지 않습니다). 귀하는 또한 귀하를 대신하여 요청할 수 있는 권한 있는 대리인을 지정할 수 있으며, 당사는 조치하기 전에 대리인의 권한을 확인합니다. 당사는 개인정보 권리를 행사하는 사용자를 차별하지 않습니다.

브라질(LGPD): 브라질의 정보 주체는 열람, 정정, 익명화, 이동성, 삭제, 공유에 관한 정보, 동의 철회에 대한 동등한 권리를 가집니다. 위의 연락처는 LGPD 요청 창구로도 활용됩니다.

캐나다(PIPEDA): 캐나다 사용자는 위의 이메일로 연락하여 개인정보의 열람 및 정정을 요청할 수 있으며, (법적 또는 계약상 제한에 따라) 동의를 철회할 수 있습니다.

대한민국(PIPA): 대한민국 사용자는 개인정보의 처리에 관한 사항을 통지받을 권리와 개인정보를 열람, 정정, 삭제, 처리정지할 권리, 그리고 이전에 제공한 동의를 철회할 권리를 가집니다. 당사는 귀하의 동의 또는 기타 적법한 근거가 있는 경우에만 개인정보를 수집하고, 본 방침에 설명된 목적으로만 사용하며, 여기에 명시된 경우를 제외하고는 제3자에게 이전하지 않습니다. 이러한 권리를 행사하거나 개인정보 처리 방식에 대해 우려 사항을 제기하려면 [email protected]로 연락해 주세요. 또한 개인정보보호위원회(PIPC) 또는 한국인터넷진흥원(KISA)에 우려 사항을 신고할 수 있습니다.

7. 보안

당사는 전송 중(TLS 1.3) 및 저장 시(데이터베이스 및 파일 스토리지에 AES-256) 귀하의 데이터를 보호하기 위해 업계 표준 조치를 사용합니다. 비밀번호는 bcrypt로 해시됩니다. 접근은 알 필요가 있는 권한 있는 직원으로 제한됩니다. 이러한 조치에도 불구하고 완전히 안전한 시스템은 없습니다. 귀하의 데이터에 중대한 영향을 미치는 침해를 발견하는 경우, 당사는 부당한 지체 없이 귀하에게 통지하고 필요한 경우 관련 당국에 통지합니다.

8. 쿠키 및 분석

당사는 제3자 분석, 광고, 교차 사이트 추적을 사용하지 않습니다. 당사는 보안, 남용 방지, 디버깅을 위해 기본적인 서버 측 요청 메타데이터(IP 주소, 사용자 에이전트, 요청 경로, 타임스탬프)를 기록합니다. 이러한 로그는 최대 90일 동안 보관됩니다.

당사는 소수의 자사 쿠키와 하나의 localStorage 항목을 사용하며, 모두 엄격히 필요하거나 환경설정 기반입니다(EU ePrivacy 규칙에 따라 동의 불필요):

• 인증 세션(NextAuth가 설정한 쿠키, HTTP 전용, 로그아웃 시 또는 세션 수명 만료 시 만료): 페이지 간 로그인 상태를 유지합니다.
• gp_ref(90일 TTL): ?ref=CODE URL의 추천 코드를 기록하여 가입을 올바른 모집 담당자 또는 추천 사용자에게 귀속시킵니다.
• gp-theme(HTTP 쿠키가 아닌 브라우저 localStorage에 저장): 라이트/다크/고대비 환경설정을 기억합니다.

브라우저의 사이트 데이터 설정에서 언제든지 이를 지울 수 있습니다. 인증 쿠키를 지우면 로그아웃되고, 나머지를 지우면 기본값으로 되돌아가고 추천 귀속이 제거됩니다.

9. 아동

GlobalPath는 16세 미만 아동을 대상으로 하지 않습니다. 당사는 16세 미만의 개인정보를 고의로 수집하지 않습니다. 그러한 정보를 수집한 것을 알게 되면 삭제합니다. 16세 미만 아동이 당사에 개인정보를 제공했다고 판단되는 경우 [email protected]로 연락해 주세요.

10. 본 방침의 변경

당사는 때때로 본 방침을 업데이트할 수 있습니다. 중요한 변경 사항은 이메일과 본 페이지를 통해 위의 개정 시행일과 함께 공지됩니다. 변경 사항이 발효된 후 서비스를 계속 사용하면 업데이트된 방침에 동의하는 것으로 간주됩니다.

11. 문의하기

개인정보 관련 질문이 있거나 데이터 권리를 행사하려면 [email protected]로 당사 개인정보 보호팀에 연락해 주세요. 서비스에 관한 기타 모든 질문은 [email protected]로 연락해 주세요.