이전 방침입니다. 이 문서는 2026년 10월 12일부터 2026년 11월 8일까지 적용되는 개인정보처리방침입니다(2026년 10월 11일까지는 2026년 9월 29일 시행본). 2026년 11월 9일부터는 개정 방침이 적용됩니다.
Previous version. This policy applies from October 12, 2026 to November 8, 2026 (until October 11, 2026 the version effective September 29, 2026 applies). From November 9, 2026 the revised policy applies.
개인정보처리방침
Vertavia(이하 "서비스")를 운영하는 Emily Jo(개인 운영자, 이하 "운영자")는 「개인정보 보호법」에 따라 이용자의 개인정보를 보호하고 관련 고충을 신속하게 처리하기 위해 다음과 같이 개인정보처리방침을 정합니다. 운영자는 법인 설립 후 운영 주체가 바뀌면 이 방침을 갱신해 알립니다.
1. 처리하는 개인정보의 항목
| 구분 | 항목 | 수집 방법 |
|---|---|---|
| 계정 정보 | 로그인 ID, 표시 이름, 소속 회사(고객사), 사용자 상태(활성 여부) | 고객사 관리자의 등록 요청 또는 이용자 입력 |
| Google 로그인 | Google이 제공하는 계정 고유 식별자. 원문은 저장하지 않고 복원할 수 없는 값(해시)으로 바꿔 계정과 연결하는 데만 씁니다. 이메일 주소와 프로필 사진은 저장하지 않습니다. 다만 관리자가 미리 등록한 이메일 초대를 확인하기 위해 로그인하는 순간에만 Google이 검증한 이메일 주소를 확인하고, 확인 직후 폐기합니다. 관리자가 등록한 초대는 이메일 원문 없이 복원할 수 없는 값(해시)으로만 보관하며 14일 후 만료됩니다. | 이용자가 Google 로그인을 선택할 때 자동 전달 |
| 비상 로그인(선택) | 비밀번호. 일방향 암호화 값(해시)으로만 저장하며 원문은 저장하지 않습니다. | 고객사 관리자가 비상 계정을 만든 경우에 한함 |
| 자동 수집 정보 | 접속 IP 주소, 접속 일시, 요청 경로와 처리 결과, 브라우저 정보, 로그인 성공·실패 기록, 기기 식별자와 이용자가 입력한 기기 이름, 세션 쿠키 | 서비스 이용 과정에서 자동 생성 |
| 고객 콘텐츠 | 이용자가 업로드하거나 작성한 문서와 자료(재무 자료, 과거 IM 등), 생성된 산출물, 승인·수정 기록. 제3자의 개인정보(임직원 정보 등)가 포함될 수 있습니다. | 이용자가 업로드하거나 입력 |
| 서비스가 수집하는 공개 정보 | 고객사의 딜 조사에서 근거로 쓰인 공개 자료의 원문: 회사 홈페이지 페이지, 산업 보고서, 언론 기사, 공시 원문 파일(DART). 회사 임원·대표자의 이름·직위처럼 이미 공개된 개인정보가 포함될 수 있습니다. 근거가 되지 않은 페이지는 보관하지 않습니다. | 서비스가 공개 출처에서 수집(이용자가 딜 조사·문서 작성 기능을 실행할 때) |
| 문의 정보 | 문의 메일에 적은 이름, 이메일 주소, 문의 내용 | 이용자가 문의 메일 발송 |
2. 개인정보의 처리 목적
- 회원 식별과 인증, 고객사별 접근 통제 등 서비스 제공
- 고객 콘텐츠를 이용한 문서 작성·분석 기능의 제공
- 고객사의 딜 조사와 문서에 쓰인 공개 자료의 근거 확인과 재현(어떤 원문에서 어떤 내용이 나왔는지 나중에 확인)
- 부정 이용 방지, 보안 점검, 장애 대응과 서비스 개선
- 문의와 권리 행사 요청에 대한 응대, 공지 전달
3. 처리 및 보유 기간
| 항목 | 보유 기간 |
|---|---|
| 계정 정보, 고객 콘텐츠, 서비스가 수집한 공개 정보 | 이용 계약 기간 동안 보유하고, 종료 후 고객사의 요청 또는 운영자의 정해진 절차에 따라 지체 없이 삭제합니다. 백업에 남은 사본은 최대 90일 안에 자동으로 소멸합니다(디스크 스냅샷은 14일). |
| 접속·운영 기록(접속 IP, 로그인 기록 등) | 1년 보관 후 삭제합니다. |
| 문의 정보 | 문의 처리 완료 후 3년(소비자 분쟁 처리 기록 기준). 이용자가 삭제를 요청하면 관련 법령이 허용하는 범위에서 즉시 삭제합니다. |
관련 법령에 따라 보존해야 하는 정보는 해당 기간 동안 별도로 보관합니다.
4. 개인정보의 제3자 제공
운영자는 이용자의 개인정보를 제3자에게 제공하지 않습니다. 다만 법령에 근거가 있거나 수사기관이 적법한 절차에 따라 요구하는 경우는 예외로 합니다.
5. 개인정보 처리의 위탁 및 국외 이전
운영자는 서비스 제공을 위해 다음과 같이 개인정보 처리를 위탁하며, 일부는 국외에서 처리될 수 있습니다. 이용자는 국외 이전을 거부할 수 있으나, 서비스 제공에 필요한 인프라의 이전을 거부하면 서비스 이용이 제한될 수 있습니다. 거부와 문의는 [email protected]으로 하실 수 있습니다.
| 수탁자(이전받는 자) | 국가 | 위탁 업무 · 이전 목적 | 이전되는 항목 | 이전 시기 · 방법 | 보유 기간 |
|---|---|---|---|---|---|
| Google LLC (Google Cloud) policies.google.com/privacy | 서버는 대한민국(서울 리전)에 위치. 운영 주체는 미국 | 서버, 저장소, 백업, 로그 인프라 제공 | 계정 정보, 고객 콘텐츠, 서비스가 수집한 공개 정보, 자동 수집 정보 전체 | 서비스 이용 시 상시, 암호화된 통신 | 이용 계약 종료 시 또는 위탁 계약 종료 시까지 |
| Cloudflare, Inc. cloudflare.com/privacypolicy | 미국 및 Cloudflare 네트워크가 있는 국가 | DNS, 트래픽 중계와 보안(웹 방화벽), 문의 이메일 전달 | 접속 IP 주소, 요청 정보(서비스 이용 중 오가는 통신), 문의 이메일 | 서비스 이용 시 상시, 암호화된 통신 | Cloudflare 정책에 따라 보안 로그를 단기 보관 후 삭제 |
| Anthropic PBC anthropic.com/legal/privacy | 미국 | AI 문서 분석과 문장 작성. 고객사가 외부 AI 모델 사용을 허용한 경우에 한해 사용합니다. | 해당 기능에 사용하도록 허용된 자료의 내용(문서 텍스트, 이미지, 서비스가 수집한 공개 자료의 텍스트 등). 개인정보가 포함될 수 있습니다. | 해당 기능을 실행할 때마다, 암호화된 통신으로 전송 | 제공사의 API 약관에 따릅니다. 현재 안내된 상업용 API 조건은 전송된 자료를 모델 학습에 사용하지 않는 것이며, 제공사 약관이 바뀌면 이 방침에 반영합니다. |
운영자는 수탁자가 개인정보를 안전하게 처리하도록 계약으로 정하고 감독합니다. 위탁 내용이 바뀌면 이 방침을 통해 알립니다.
이와 별개로, 이용자가 선택하는 Google 로그인은 Google이 자체 약관과 방침에 따라 제공하는 인증 수단입니다.
6. 고객 콘텐츠에 대한 운영자의 지위
고객 콘텐츠에 포함된 개인정보에 대해서는 고객사가 처리 목적과 방법을 정하는 위탁자이고, 운영자는 고객사의 위탁을 받아 서비스 제공 범위에서만 처리하는 수탁자입니다. 운영자는 고객 콘텐츠를 서비스 제공 외의 목적으로 쓰지 않고, 다른 고객사와 공유하거나 섞지 않으며, 모델 학습에 사용하지 않습니다. 고객 콘텐츠에 관한 열람·삭제 요청은 먼저 해당 고객사에 하시고, 운영자에게 요청이 들어오면 고객사와 협의해 처리합니다.
서비스가 고객사의 딜 조사를 위해 수집한 공개 정보도 고객 콘텐츠와 같은 원칙으로 처리합니다. 그 고객사 전용 저장소에만 보관하고, 다른 고객사와 공유하지 않으며, 화면이나 산출물에 원문 전체를 다시 내보내지 않습니다.
7. 정보주체의 권리와 행사 방법
이용자는 언제든지 자신의 개인정보에 대해 열람, 정정, 삭제, 처리정지, 동의 철회를 요구할 수 있습니다. [email protected]으로 요청하시면 본인 확인 후 10일 이내에 조치하고 결과를 알립니다. 법령에 따라 거절해야 하는 경우에는 그 사유를 알립니다. 대리인이 요청하실 때는 위임장이 필요합니다.
서비스가 수집한 공개 자료에 이름 등이 실린 분(예: 회사 임원·대표자)도 같은 방법으로 열람, 정정, 삭제, 처리정지를 요구하실 수 있습니다. 또한 그 개인정보의 수집 출처, 처리 목적, 처리정지를 요구할 권리가 있다는 사실을 알려 달라고 요청하시면 즉시 알려 드립니다. 해당 고객사와 협의가 필요한 경우 함께 처리합니다.
8. 개인정보의 파기
보유 기간이 끝나거나 처리 목적이 달성된 개인정보는 지체 없이 파기합니다. 전자적 파일은 복구할 수 없는 방법으로 삭제하고, 백업 사본은 위 3항의 기간 안에 자동 소멸합니다. 법령에 따라 보존해야 하면 다른 정보와 분리해 보관합니다.
9. 안전성 확보 조치
- 접근 통제: 고객사별로 저장 경로를 분리하고, 요청마다 로그인 세션에서 고객사를 확인합니다. 다른 고객사의 자료는 조회할 수 없습니다.
- 인증: Google 로그인 등 고객사가 연결한 계정만 로그인됩니다. 비밀번호는 일방향 암호화하고 로그인 실패 횟수를 제한합니다.
- 암호화: 전송 구간은 HTTPS(HSTS)로 보호하고, 저장 데이터는 Google Cloud의 기본 저장 암호화가 적용됩니다.
- 운영자 접근 통제: 운영 접속은 인증된 경로로만 하고 접속 기록을 남깁니다.
- 기록과 백업: 접속 기록을 1년 보관하며, 매일 백업하고 복구를 점검합니다.
- 로그: 애플리케이션 로그에는 문서 내용, 비밀번호, 인증 토큰을 남기지 않습니다.
10. 쿠키
서비스는 로그인 상태를 유지하기 위한 필수 세션 쿠키(12시간 후 만료)만 사용합니다. 광고나 이용 분석을 위한 쿠키는 사용하지 않습니다. 트래픽 보호를 위해 Cloudflare가 보안 목적의 쿠키를 설정할 수 있습니다. 브라우저 설정으로 쿠키를 막을 수 있으나 로그인이 되지 않을 수 있습니다.
11. Google 사용자 데이터 관련 고지
서비스는 Google 로그인으로 본인을 확인하기 위해 openid, email, profile 범위만 요청합니다. Gmail, 드라이브, 캘린더 등 Google 계정의 다른 데이터에는 접근하지 않습니다. Google 로그인으로 받은 정보는 로그인 확인 외의 목적으로 쓰지 않고, 광고에 쓰지 않으며, 제3자에게 판매하거나 제공하지 않습니다. 서비스가 Google API로부터 받은 정보를 사용하고 다른 앱에 전달하는 것은 제한적 사용(Limited Use) 요건을 포함한 Google API 서비스 사용자 데이터 정책을 따릅니다.
12. 아동의 개인정보
서비스는 전문 업무용이며 만 14세 미만 아동을 대상으로 하지 않습니다. 운영자는 만 14세 미만 아동의 개인정보를 알면서 수집하지 않습니다.
13. 개인정보 보호책임자
개인정보 보호책임자: Emily Jo (운영자)
연락처: [email protected]
14. 권익침해 구제 방법
개인정보 침해에 대한 신고나 상담이 필요하면 아래 기관에 문의하실 수 있습니다.
- 개인정보침해 신고센터: 국번 없이 118 (privacy.kisa.or.kr)
- 개인정보 분쟁조정위원회: 1833-6972 (kopico.go.kr)
- 대검찰청 사이버범죄수사단: 국번 없이 1301 (spo.go.kr)
- 경찰청 사이버수사국: 국번 없이 182 (ecrm.police.go.kr)
15. 방침의 변경
이 방침의 내용을 추가·삭제·수정할 때는 시행 7일 전에 이 페이지에 공지합니다. 이용자의 권리에 중요한 변경은 30일 전에 알립니다.
Privacy Policy
Vertavia (the "Service") is operated by Emily Jo, an individual operator (the "Operator"). This policy explains what personal information we process and why, in line with the Personal Information Protection Act of the Republic of Korea. The Korean text above is the governing version; this English text is provided for convenience. When an operating entity is established, we will update this policy and notify users.
1. Information we process
- Account information: login ID, display name, the firm (customer) the user belongs to, and account status.
- Google sign-in: a unique account identifier supplied by Google. We do not store the original value; we convert it to an irreversible hash used only to link the sign-in to an account. We do not store your email address or profile picture. We look at the email address verified by Google only at the moment of sign-in, to match an invitation registered beforehand by an administrator, and discard it immediately. Invitations are kept only as an irreversible hash, without the original address, and expire after 14 days.
- Break-glass password login (optional): a password, stored only as a one-way hash, where a firm administrator created such an account.
- Automatically collected: IP address, access time, request path and result, browser information, sign-in success and failure records, a device identifier and any device name you enter, and a session cookie.
- Customer content: documents and materials that users upload or write (financial materials, past IMs, etc.), generated deliverables, and approval and edit records. These may contain third parties' personal information.
- Public information the Service collects: the original public materials used as evidence in a customer firm's deal research: company web pages, industry reports, press articles and public filings (DART). These may contain personal information that is already public, such as the names and titles of company executives or representatives. Pages that did not serve as evidence are not kept. The Service collects these from public sources when a user runs deal research or drafting features.
- Inquiries: name, email address and message when you write to us.
2. Purposes
To identify and authenticate users and separate each firm's data; to provide drafting and analysis features using customer content; to let the evidence behind a firm's deal research and documents be checked and reproduced later; to prevent misuse, keep the Service secure, respond to incidents and improve the Service; and to answer inquiries and rights requests.
3. Retention
- Account information, customer content and public information the Service collected: kept during the agreement. After it ends, deleted without delay on the firm's request or under our set procedure. Copies in backups expire automatically within 90 days at most (disk snapshots within 14 days).
- Access and operation records (IP address, sign-in records, etc.): kept for one year, then deleted.
- Inquiries: kept for three years after handling, or deleted sooner on request where the law allows.
Information we must keep under law is kept separately for the required period.
4. Disclosure to third parties
We do not provide personal information to third parties, except where the law requires it or authorities request it through lawful procedure.
5. Processors and cross-border transfers
| Processor | Country | Purpose | Data |
|---|---|---|---|
| Google LLC (Google Cloud) | Servers in South Korea (Seoul region); operator in the United States | Servers, storage, backups and logging | Account information, customer content, public information the Service collected, automatically collected information |
| Cloudflare, Inc. | United States and countries where its network operates | DNS, traffic proxying and web security, forwarding of inquiry email | IP address, request traffic while using the Service, inquiry email |
| Anthropic PBC | United States | AI document analysis and drafting, only when the customer firm has allowed external AI models | The content of materials the firm allowed for this use, including text of public materials the Service collected, which may include personal information |
Data is transferred over encrypted connections whenever the Service is used or, for AI features, each time a feature runs. Retention follows each provider's terms. Anthropic's commercial API terms, as currently described, do not use submitted material to train models; we will reflect changes to those terms here. You may refuse cross-border transfer by writing to [email protected]; refusing transfers that the infrastructure needs may limit use of the Service. Google sign-in is an authentication method you choose, provided by Google under its own terms.
6. Our role for customer content
For personal information inside customer content, the customer firm decides the purposes and means and we act as its processor, handling it only to provide the Service. We do not use customer content for other purposes, share it with or mix it with other firms' data, or use it to train models. Please send access or deletion requests about customer content to your firm first; if you write to us we will coordinate with the firm.
Public information the Service collects for a firm's deal research is handled on the same principles: it is kept only in that firm's own storage, not shared with other firms, and not reproduced in full on screen or in deliverables.
7. Your rights
You may ask to access, correct, delete or restrict processing of your personal information, or withdraw consent, at any time by writing to [email protected]. After verifying your identity we respond within 10 days.
People named in public materials the Service collected (for example, company executives or representatives) may make the same requests in the same way. They may also ask us for the source of collection of their personal information, the purpose of processing, and the fact that they have the right to request suspension of processing, and we will tell them without delay. Where the customer firm needs to be involved, we handle the request together with it.
8. Destruction
We destroy personal information without delay once the retention period ends or the purpose is achieved. Electronic files are deleted so they cannot be recovered; backup copies expire within the period in section 3.
9. Security measures
Storage paths are separated per firm and every request checks the firm from the signed-in session. Only accounts the firm has connected can sign in; passwords are hashed and failed attempts are limited. Traffic is protected with HTTPS (HSTS) and stored data uses Google Cloud's default encryption at rest. Operator access uses authenticated paths and is logged. Access records are kept for one year and data is backed up daily. Application logs do not contain document content, passwords or authentication tokens.
10. Cookies
We use only an essential session cookie (expires after 12 hours) to keep you signed in. We do not use advertising or analytics cookies. Cloudflare may set security cookies to protect traffic.
11. Google user data
We request only the openid, email and profile scopes to verify who you are. We do not access Gmail, Drive, Calendar or other data in your Google account. Information received through Google sign-in is used only to confirm sign-in; it is not used for advertising and is not sold or given to third parties. The Service's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.
12. Children
The Service is for professional use and is not directed to children under 14. We do not knowingly collect their personal information.
13. Privacy officer and contact
Privacy officer: Emily Jo (Operator)
Contact: [email protected]
14. Complaints
You may also contact the Personal Information Infringement Report Center (118), the Personal Information Dispute Mediation Committee (1833-6972), the Supreme Prosecutors' Office cybercrime unit (1301) or the National Police Agency cyber bureau (182).
15. Changes
We will post changes on this page at least 7 days before they take effect, and at least 30 days before for changes that materially affect your rights.