{{회사명}}(이하 “회사”)는 사내 HR·근태관리 시스템 HRfly(이하 “서비스”)를 운영하면서 「개인정보 보호법」 제30조에 따라 정보주체(회사 정직원)의 개인정보를 안전하게 처리하고, 관련 권리를 보장하기 위해 본 개인정보처리방침을 수립·공개합니다. 서비스는 회사 정직원만 이용하는 사내 전용 시스템이며 외부에 판매·라이선싱되지 않습니다.
회사는 서비스 운영을 위해 다음 각 호의 개인정보를 처리합니다. 항목은 코드베이스의 스키마 정의를 근거로 작성했습니다.
| 항목 | 성명, 업무용 이메일, 부서·직급, 입사일, 고용형태(정규직/계약직), 직원 역할(일반/매니저/HR관리자/관리자), 재직상태 |
|---|---|
| 암호화 여부 | 암호화 없음 — Supabase RLS(행 단위 접근제어)로 본인·결재선·HR관리자 범위로만 조회 제한 |
| 항목 | 휴대전화번호, 자택주소, 비상연락처, 주민등록번호, 계좌번호, 급여(급여명세 총지급액·차인지급액·공제내역·수당내역) |
|---|---|
| 암호화 방식 | AES-256-GCM 컬럼 단위 암호화 후 저장(평문 미저장). 열람 시 서버에서만 복호화 |
| 항목 | 출퇴근 시각, 근무형태(사무실/재택/외근), 인증방식(GPS/사무실 IP/수동), GPS 좌표(위도·경도·정확도), 재택근무 등록 위치(라벨·좌표·Wi-Fi SSID), 접속 IP 주소 |
|---|---|
| 비고 | GPS 좌표는 별도 위치정보 수집 동의를 거쳐 수집합니다(제11조 참조). 접속 IP는 사무실 허용 IP 대역 검증에만 실시간 사용되며 근태 기록 자체에는 저장되지 않습니다. |
| 휴가 | 휴가 종류, 기간, 사유(암호화, 공개범위 본인이 설정) |
|---|---|
| 전자결재 | 결재 문서 제목·본문·의견, 첨부파일 |
| 경비 | 항목명, 금액, 사용내역(암호화), 영수증 이미지, OCR 추출값(상호명·금액·날짜·사업자등록번호) |
| 증명서 | 증명서 종류(재직/경력), 발급목적, 발급이력, 발급된 PDF |
| 항목 | 인사발령 이력(승진·부서이동·급여변경 등 사유), 이전 경력사항(회사명·직급·기간·설명), 인사평가(등급·강점·개선점·목표·코멘트) |
|---|---|
| 암호화 여부 | 암호화 없음 — RLS로 본인·평가자(리뷰어)·HR관리자만 조회 가능하도록 제한 |
| 항목 | 이메일·비밀번호(해시, Supabase Auth 관리), 로그인 IP·User-Agent, 접근기록(누가·언제·어떤 레코드를 조회/수정/삭제했는지) |
|---|---|
| 비고 | 민감정보(주민등록번호·계좌번호 등)를 화면에서 실제로 열람(마스킹 해제)한 이력도 접근기록에 남습니다. |
결재 요약 생성 기능을 사용하면 결재 본문 중 주민등록번호·전화번호·이메일·계좌번호·주소 패턴을 자동으로 마스킹한 뒤 텍스트만 AI 모델로 전송합니다. 경비 영수증 OCR 기능을 사용하면 영수증 이미지 자체를 AI 모델(Vision)로 전송해 상호명·금액·날짜·사업자등록번호를 추출합니다. 두 기능 모두 결재·경비 절차를 이용하는 직원이 직접 실행할 때만 동작합니다.
회사는 원칙적으로 개인정보 수집·이용 목적이 달성된 후에는 해당 정보를 지체 없이 파기합니다. 다만 아래의 경우 명시한 기간 동안 예외적으로 보유합니다.
| 재직 중 데이터 | 재직 기간 동안 보유하며, 퇴직 또는 각 기록 삭제 시 즉시 조회 불가 처리(소프트 삭제)됩니다. |
|---|---|
| 소프트 삭제 후 보관 | 소프트 삭제된 급여명세·증명서신청·인사발령·경력사항·인사평가·휴가신청·경비청구·전자결재 기록은 3년간 별도 보관 후 자동으로 완전 삭제(하드 삭제)됩니다. 퇴직자 본인 레코드는 이 3년 경과 시점에 함께 완전 삭제됩니다. 근거: 근로기준법 제42조(근로자 명부·계약서류 3년 보존 의무), 개인정보 보호법 제21조(파기의무). 처리는 매일 자동 실행되는 배치(cron)가 담당합니다. |
| GPS 좌표 | 출퇴근 기록의 위도·경도·정확도 값은 수집 후 12개월 경과 시 값만 익명화(NULL 처리)됩니다. 출퇴근 시각 등 나머지 근태 기록은 위 기본 보유기간을 따릅니다. 근거: 개인정보 보호법 제21조. |
| 위치정보 수집 동의 | 제11조에 따로 안내합니다. |
회사는 정보주체의 개인정보를 제2조에 명시한 목적 범위 내에서만 처리하며, 원칙적으로 외부 제3자에게 제공하지 않습니다. 다만 정보주체가 사전에 동의한 경우, 또는 법령에 특별한 규정이 있거나 수사기관이 법령에서 정한 절차와 방법에 따라 요청하는 경우에는 예외로 합니다.
회사는 서비스 운영을 위해 아래와 같이 개인정보 처리업무를 위탁하고 있으며, 위탁계약 체결 시 개인정보가 안전하게 관리되도록 관련 법령에 따라 필요한 사항을 규정합니다. 아래 목록은 코드에 실제로 연동된 서비스를 기준으로 작성했습니다. 계약상 정확한 위탁 범위·처리 리전·국외이전 근거는 법무 검토 후 확정합니다.
| Supabase, Inc. | 위탁업무: 데이터베이스·인증(Auth) 호스팅. 위탁기간: 서비스 이용기간. 처리 리전: [법무 검토 후 확정]. |
|---|---|
| Vercel Inc. | 위탁업무: 애플리케이션 호스팅·배포. 위탁기간: 서비스 이용기간. 처리 리전: [법무 검토 후 확정]. |
| Anthropic, PBC | 위탁업무: (1) 전자결재 요약 생성 — 개인정보 패턴을 자동 마스킹한 텍스트만 전송, (2) 경비 영수증 OCR — 영수증 이미지 전송. 위탁기간: 해당 기능 사용 시점. 국외이전: 미국. |
정보주체는 회사에 대해 언제든지 아래의 권리를 행사할 수 있습니다.
권리 행사는 제12조의 개인정보 보호책임자에게 서면, 이메일 등을 통해 요청할 수 있으며, 회사는 지체 없이 조치합니다. 본 서비스는 회사 정직원만을 대상으로 하므로 만 14세 미만 아동의 개인정보는 처리하지 않습니다.
전자적 파일 형태의 정보는 기록을 재생할 수 없는 기술적 방법을 사용하여 삭제하며, 데이터베이스 상에서는 소프트 삭제(조회 차단) 후 제4조에 명시한 보유기간 경과 시 자동 배치가 완전 삭제(하드 삭제)합니다. 종이 문서 등 인쇄물 형태의 개인정보는 분쇄기로 분쇄하거나 소각을 통하여 파기합니다.
회사는 개인정보 보호법 제29조에 따라 다음과 같은 안전성 확보조치를 시행하고 있습니다.
서버 인프라는 Supabase·Vercel의 클라우드 데이터센터를 이용하며, 물리적 보안은 각 사업자의 보안 정책에 따릅니다.
서비스는 로그인 상태 유지를 위해 Supabase Auth가 발급하는 세션 쿠키를 사용합니다. 별도의 광고성 쿠키나 제3자 추적 도구는 사용하지 않습니다. 쿠키를 거부할 경우 로그인 상태 유지 기능을 이용할 수 없습니다.
출퇴근 체크인 시 사무실 IP로 근무 위치가 확인되지 않는 경우, 실제 근무 위치 확인을 위해 GPS 위치정보를 수집할 수 있습니다. 이는 「위치정보의 보호 및 이용 등에 관한 법률」 제15조·제16조· 제18조에 따라 별도 동의를 받으며, 동의 화면(온보딩 또는 설정 > 위치정보 동의)에서 아래 내용을 고지합니다.
| 수집 항목 | 위도, 경도, 정확도, 수집 시각, 출퇴근 이벤트 ID |
|---|---|
| 수집 목적 | 사무실 IP로 확인되지 않는 출퇴근 기록의 실제 근무 위치 확인 |
| 보유·이용기간 | 출퇴근 증빙 및 분쟁 대응을 위해 근태 보관 기간 동안 보관하고 목적 달성 후 파기(좌표는 12개월 후 익명화, 제4조 참조) |
| 동의 철회 | 언제든지 철회 가능하며, 철회 후 GPS가 필요한 환경에서는 출퇴근 제출이 제한될 수 있음 |
| 보호조치 | 본인·결재선 관리자·HR 관리자만 접근 가능, 조회·변경 이력 감사로그 기록, 전송구간 암호화 |
회사는 개인정보 처리에 관한 업무를 총괄해서 책임지고, 개인정보 처리와 관련한 정보주체의 불만 처리 및 피해구제 등을 위하여 아래와 같이 개인정보 보호책임자를 지정하고 있습니다.
| 성명 | [대표자명 또는 개인정보 보호책임자 성명 — 법무 검토 후 기입] |
|---|---|
| 직위 | [직위 — 법무 검토 후 기입] |
| 연락처 | [전화번호 — 법무 검토 후 기입] |
| 이메일 | [privacy@{{도메인}} — 법무 검토 후 기입] |
정보주체는 개인정보침해로 인한 구제를 받기 위하여 아래 기관에 분쟁해결이나 상담 등을 신청할 수 있습니다. 아래 기관은 회사와 별개의 독립된 공공기관으로 회사의 처리 결과에 만족하지 못하거나 보다 자세한 도움이 필요할 경우 문의할 수 있습니다.
본 방침은 2026-07-23 작성된 초안이며 아직 시행되지 않았습니다. 법무 검토와 회사 실제 정보 기입을 거쳐 확정되면 시행일과 개정 이력을 이 조항에 기록합니다. 방침 내용이 변경되는 경우 변경사항의 시행 최소 7일 전부터 서비스 내 공지사항 또는 본 페이지를 통해 고지합니다.
관련 문서: 이용약관