piuda 개인정보처리방침

최종 업데이트: 2026년 5월 25일 시행일: 2026년 5월 25일 버전: v1.1.2

⚠️ 중요 안내

piuda(이하 "서비스")는 미국, EU 회원국, EEA 회원국, UK 및 주식회사 열정팩토리(이하 "회사")가 명시적으로 서비스 미제공 지역으로 공표한 국가 또는 지역을 공식 서비스 제공 대상으로 하지 않습니다. 따라서 본 개인정보처리방침은 GDPR, UK GDPR, CCPA/CPRA 등 제외 지역의 개인정보 보호 법령상 모든 요건을 충족하였음을 표시하기 위한 문서가 아니며, 회사가 해당 제외 지역 이용자에게 서비스를 제공하는 것으로 해석되지 않습니다. 제외 지역에 관한 자세한 사항은 piuda 이용약관 제4조 및 제25C조를 참조하시기 바랍니다.

본 개인정보처리방침(이하 "방침")은 주식회사 열정팩토리(Passion Factory Corporation, 이하 "회사")가 제공하는 piuda 서비스(이하 "서비스")의 이용과 관련하여 회사가 이용자의 개인정보를 어떻게 수집, 이용, 보관, 처리위탁, 이전, 파기하는지와 이용자의 권리를 어떻게 행사할 수 있는지를 설명합니다.

본 방침은 개인정보 보호법(PIPA), 정보통신망 이용촉진 및 정보보호 등에 관한 법률, 위치정보의 보호 및 이용 등에 관한 법률 및 관련 법령을 준수하여 작성되었으며, 일본 거주 이용자에게는 일본 개인정보보호법(APPI) 관련 사항이 추가로 적용됩니다.

본 방침에 사용된 용어 중 정의되지 않은 용어는 piuda 이용약관에서 정한 정의에 따릅니다.

핵심 안내

본 요약은 이용자의 이해를 돕기 위한 것이며, 구체적인 권리와 의무는 본문 조항에 따릅니다.

1. 회사 정보

1.1 개인정보처리자

1.2 개인정보 보호책임자

1.3 개인정보 보호담당자

개인정보 처리에 관한 일상적인 문의와 권리 행사 요청은 개인정보 보호책임자 또는 동일한 연락처를 통해 접수됩니다.

1.4 제외 지역 관련 안내

회사는 현재 미국, EU/EEA, UK 및 회사가 명시적으로 서비스 미제공 지역으로 공표한 국가 또는 지역을 공식 서비스 제공 대상 지역으로 하지 않으므로, 해당 지역의 GDPR 제27조 대표자 또는 UK GDPR 제27조 대표자를 별도로 지정하지 않습니다. 본 방침은 회사가 해당 제외 지역의 법령상 모든 요건을 이미 충족하였음을 보장하거나, 해당 지역의 이용자에게 서비스를 제공하기로 한 것으로 해석되지 않습니다.

2. 본 방침의 적용 범위

2.1

본 방침은 다음 이용자에게 적용됩니다.

• piuda 서비스에 회원으로 가입한 이용자
• Free type, Pro type, Academy·Business type 이용자
• 조직 워크스페이스(Academy·Business type)의 관리자 및 구성원
• 회사의 웹사이트 또는 서비스에 접속한 방문자
• 데스크톱 앱, 웹 애플리케이션을 이용하는 모든 이용자

2.2

본 방침은 piuda 이용약관 제4조 및 제25C조에 따른 공식 서비스 제공 가능 지역의 이용자에게 적용됩니다. 제외 지역(미국, EU/EEA, UK 및 회사가 명시적으로 서비스 미제공 지역으로 공표한 국가 또는 지역)의 이용자는 본 방침의 적용 대상이 아니며, 회사는 해당 제외 지역의 법령상 모든 요건을 이미 충족하였음을 보장하지 않습니다.

2.3

본 방침과 piuda 이용약관 사이에 개인정보 처리에 관한 사항이 충돌하는 경우 본 방침이 우선합니다.

3. 처리하는 개인정보 항목

3.1 이용자가 직접 제공하는 정보

3.2 이용자가 업로드 또는 입력하는 콘텐츠

이용자는 서비스 이용 과정에서 다음과 같은 이용자 콘텐츠를 업로드 또는 입력할 수 있습니다.

이용자 콘텐츠에는 이용자의 판단에 따라 민감하거나 미공개인 연구자료가 포함될 수 있습니다. 회사는 서비스 이용을 위해 민감정보를 요구하지 않으며, 민감정보 또는 미공개 연구자료의 업로드 여부는 이용자의 자발적 선택입니다. 관련 의무 및 안전조치는 본 방침 제7조 및 제8조를 참조하시기 바랍니다.

3.3 자동으로 수집되는 정보

회사는 IP 주소, 접속 위치, 결제 국가, 청구지 주소, 전화번호 국가코드, 기관 이메일 도메인 등 합리적인 기준을 바탕으로 제외 지역 이용자의 가입, 결제, 서비스 이용을 제한할 수 있습니다(piuda 이용약관 제4조 참조).

3.4 제3자로부터 수집되는 정보

향후 추가될 수 있는 인증·결제 제공자가 있는 경우 본 방침 또는 서비스 내 고지를 통해 안내합니다.

3.5 회사가 수집하지 않는 정보

• 주민등록번호, 외국인등록번호 등 고유식별정보 (소셜 로그인 또는 결제대행사가 별도로 처리하는 경우 제외)
• 사상·신념, 노동조합·정당의 가입 및 탈퇴, 정치적 견해
• 건강 정보, 의료 정보, 유전 정보, 생체인식 정보
• 카드번호, 계좌번호 등 결제수단 원본 정보 (결제대행사 KCP·PayPal가 직접 처리하며, 회사는 결제 식별번호와 결제 결과만 수신)
• 범죄경력 정보, 신용 정보
• 이메일, 이름 등 식별 정보의 AI 처리 제공자(OpenAI, Anthropic, Google, Voyage AI)에 대한 전송 (시스템상 차단)
• 논문 PDF 원본 자체 (이용자 기기에만 저장)

회사는 위 정보가 이용자 콘텐츠에 포함되어 업로드되지 않도록 권고하며, 이러한 정보의 업로드는 이용자의 자발적 선택이고 책임은 이용자에게 있습니다.

3.6 미성년자의 정보

서비스의 최소 이용 연령 및 법정대리인 동의 요건은 piuda 이용약관 제5.6조부터 제5.9조에 따릅니다. 회사는 법정대리인 동의 처리 인프라가 완비될 때까지 미성년자의 회원가입 및 서비스 이용을 제한하고 있으며, 따라서 본 방침의 시행 시점에는 미성년자 또는 그 법정대리인의 개인정보를 수집하지 않습니다. 회사가 향후 미성년자 이용을 허용하는 경우, 본 방침을 사전에 개정하여 법정대리인 동의 절차, 수집 항목 및 보호조치를 별도로 안내합니다.

4. 개인정보의 수집 방법

회사는 다음의 방법으로 개인정보를 수집합니다.

• 회원가입 화면, 로그인 화면, 결제 화면, 설정 화면 등 이용자의 직접 입력
• 서비스 이용 과정에서 자동으로 생성·수집되는 정보 (Better Auth 세션, PostHog SDK(클라이언트 행동 이벤트 캡처), Sentry 오류 로그, Cloudflare HTTP 메타데이터 등)
• Google OAuth, KCP·PayPal 등 제3자 인증·결제 서비스로부터의 수신
• 고객 지원 문의, 이메일, 피드백 양식, 이벤트 응모 등 이용자의 자발적 제공

5. 개인정보의 처리 목적

5.1 처리 목적별 구분

5.2 회사가 개인정보를 사용하지 않는 목적

6. 개인정보 처리의 법적 근거

6.1 대한민국 이용자 (PIPA 기준)

6.2 일본 이용자 (APPI 기준)

회사는 일본 개인정보보호법상 정당한 사업 목적 범위 내에서 적법하게 개인정보를 처리합니다. 이용자의 개인정보는 본 방침에 명시된 이용 목적 범위 내에서 이용되며, 목적 외 이용이 필요한 경우 사전에 동의를 받습니다. 일본 거주 이용자의 권리 행사 절차는 본 방침 제14조에 따릅니다.

6.3 기타 서비스 제공 가능 지역

기타 서비스 제공 가능 지역 이용자의 개인정보 처리는 해당 지역의 강행 법규가 본 방침보다 이용자에게 더 유리한 권리를 보장하는 경우 해당 강행 법규가 우선합니다.

7. 민감정보 및 연구 데이터에 관한 특별 안내

7.1 회사는 민감정보를 요구하지 않습니다

회사는 서비스 이용을 위해 민감정보(개인정보 보호법 제23조 및 관련 시행령에 따른 사상·신념, 정치적 견해, 건강, 성생활, 유전·생체정보 등)를 요구하지 않습니다. 서비스의 모든 기능은 민감정보 없이 정상적으로 작동합니다.

7.2 이용자 자발적 업로드에 대한 책임

이용자는 자신의 판단에 따라 다음과 같은 자료를 piuda에 업로드할 수 있습니다.

• 미공개 연구 데이터
• 인터뷰 녹취록, 설문 응답, 임상시험 데이터
• 식별 가능한 연구대상자 정보
• 의료·건강 관련 자료
• 기관 내부자료, 영업비밀, 특허 출원 전 자료
• 공동연구자의 자료, NDA 보호 대상 자료

이러한 자료의 업로드는 이용자의 자발적 결정이며, 이용자는 piuda 이용약관 제9조에 따라 다음 책임을 부담합니다.

7.3 회사의 구조적 안전조치

회사는 학술·연구 데이터의 특수성을 고려하여 다음과 같은 구조적 안전조치를 적용합니다.

📌 PDF 원본 처리의 절대 원칙

piuda의 현재 기술 구조에서 논문 PDF 원본 파일은 이용자 기기에서 절대 외부로 전송되지 않습니다. 회사는 PDF 원본 파일을 회사 서버, PostgreSQL, Cloudflare R2, Vercel AI Gateway, OpenAI, Anthropic, Google Gemini, Voyage AI 또는 외부 학술 검색 API로 업로드·저장·전송하지 않습니다.

AI 분석이 필요한 경우에도 회사 서버 및 AI 처리 경로로 전송되는 것은 이용자 기기에서 파싱된 텍스트, 섹션 정보, 분석 파라미터, 프롬프트 등 분석에 필요한 최소 데이터입니다. 따라서 본 방침에서 "PDF 분석", "PDF 전처리", "논문 분석"이라고 표현하는 경우에도 이는 PDF 원본 파일의 서버 전송을 의미하지 않으며, 이용자 기기에서 생성된 파싱 텍스트의 처리만을 의미합니다.

이 원칙은 회원 type(Free type, Pro type, Academy·Business type)에 관계없이 적용되며, 향후 이용자가 명시적으로 활성화한 동기화·공유·백업·연동 기능 또는 별도 계약이 있는 경우에 한하여 해당 기능 또는 계약 조건에 따라 달리 정해질 수 있습니다.

회사의 안전조치는 이용자의 사전 의무 이행을 대체하지 않습니다.

7.4 회사의 사전 서면 동의가 필요한 데이터

이용자는 다음 데이터를 회사의 사전 서면 동의 없이 서비스에 업로드해서는 안 됩니다 (piuda 이용약관 제9.6조 및 제17.2.5조).

• EU/EEA 또는 UK 거주자의 개인정보
• GDPR 또는 UK GDPR의 적용을 받는 개인정보
• 미국 주 개인정보보호법(CCPA/CPRA 등)의 적용을 받는 민감정보
• HIPAA 보호대상건강정보(PHI)
• 기타 특별한 규제 준수가 요구되는 데이터

회사가 위 조항 위반 사실을 인지한 경우 piuda 이용약관 제9.6.1조부터 제9.6.3조에 따라 처리 중단, 접근 제한, 삭제, 계정 정지 등의 조치를 취할 수 있습니다.

7.5 Local Vault 기능

회사는 Pro type 또는 Academy·Business type 등에서 Local Vault 기능을 제공할 수 있습니다. Local Vault 대상으로 지정된 데이터는 원칙적으로 로컬 기기(로컬 SQLite)에만 저장되고 회사 서버 동기화에서 제외됩니다. 다만 AI 분석을 실행하는 경우 분석에 필요한 최소한의 텍스트 데이터가 Vercel AI Gateway 경유로 가능한 범위에서 ZDR 또는 이에 준하는 보관 제한 방식의 AI 처리 엔드포인트에 일시 전송될 수 있습니다 (piuda 이용약관 제12조 참조).

8. AI 기능과 개인정보 처리

8.1 piuda의 AI 기능 개요

piuda는 다음과 같은 AI 기능을 제공합니다.

• 등록 논문의 메타데이터, 초록, 연구 질문, 이론적 배경, 변수, 방법론, 주요 발견 추출 (PDF 전처리, 섹션 탐지)
• 논문 간 교차 분석 (공통점, 차이점, 모순, 연결 가능성)
• 연구 공백, 신규 연구 방향, 분석 조합 탐색 (Discovery 모드)
• 연구 아이디어의 차별성, 근거 강도, 실현 가능성 검토 (Validate & Enrich 모드)
• 연구계획서 보완 코멘트 (Research Proposal 모드)
• 학술 번역, 텍스트 임베딩(개념 벡터화)

8.2 단일 채널 게이트웨이 아키텍처

회사는 모든 LLM 및 임베딩 호출을 Vercel AI Gateway 단일 채널로 경유하도록 설계하였습니다. 이용자가 개별 AI 제공자를 선택하지 않으며, 게이트웨이가 작업 유형별로 적합한 모델을 자동 라우팅합니다.

8.3 하위 AI 제공자 (Gateway 경유)

구체적 모델 버전은 서비스 운영 환경에 따라 변경될 수 있으며, 최신 정보는 부록 A 또는 서비스 내 고지에서 확인할 수 있습니다.

8.4 AI 학습 사용 금지의 약속

8.5 AI 처리의 데이터 흐름

8.6 AI 결과물의 한계

AI 결과물에는 오류, 누락, 환각(hallucination), 출처 오귀속, 존재하지 않는 문헌·수치·통계값이 포함될 수 있습니다. 회사는 AI 결과물의 정확성, 완전성, 학술적 타당성을 보장하지 않으며, 이용자는 AI 결과물을 사용하기 전에 원문, 인용 정보, 연구윤리 기준을 직접 확인해야 합니다. 자세한 내용은 piuda 이용약관 제8조를 참조하시기 바랍니다.

8.7 자동화된 의사결정

회사는 이용자에게 법적 효력 또는 이에 준하는 중대한 영향을 미치는 자동화된 단독 의사결정을 수행하지 않습니다. AI 분석 점수, 인사이트, 코멘트는 참고자료이며, 최종 연구 판단은 이용자에게 있습니다.

8.8 학술 검색 API

회사는 학술 메타데이터 검색을 위해 다음의 외부 학술 데이터베이스 API를 이용할 수 있습니다. 모든 호출은 서버사이드에서만 수행되며, 이용자의 이메일·이름·계정 식별자 등 개인정보는 전송되지 않고 검색어 또는 논문 식별자(DOI, 논문 ID)만 전달됩니다.

9. 회원 type별 데이터 처리 방식

9.1 Free type

Free type의 "로컬 우선 저장"은 이용자 데이터의 서버 저장을 최소화하기 위한 기본 저장 방식이며, 모든 데이터가 어떠한 경우에도 외부로 전송되지 않는다는 의미는 아닙니다 (piuda 이용약관 제11.4.5조).

9.2 Pro type

9.3 Academy·Business type

조직 워크스페이스 내 콘텐츠의 처리에 관한 자세한 사항은 piuda 이용약관 제13조를 참조하시기 바랍니다.

10. 개인정보의 보유 및 이용 기간

10.1 일반적인 보유 기간

10.2 계정 해지 후 처리

기술적 특성상 백업, 로그, 캐시, 보안 기록에서 즉시 삭제가 어려울 수 있으며, 회사는 해당 데이터가 일반적인 서비스 제공 과정에서 다시 사용되지 않도록 합리적인 조치를 취합니다 (piuda 이용약관 제19.4조).

10.3 로컬 저장 데이터

Free type의 로컬 SQLite 데이터, 데스크톱 앱의 로컬 스토리지(UI 상태), Local Vault 데이터는 이용자 기기에 저장되므로 회사가 직접 삭제할 수 없습니다. 해당 데이터의 삭제는 이용자가 앱 삭제, 브라우저 데이터 삭제, 기기 초기화 등의 방법으로 직접 수행해야 합니다.

10.4 휴면 계정

회사는 piuda 이용약관 제18.6조부터 제18.8조에 따라 12개월 이상 서비스에 접속하지 않은 계정을 휴면 계정으로 분류할 수 있습니다.

• 휴면 처리 30일 전 이메일, 서비스 내 알림, 로그인 시 팝업, 푸시 알림 등으로 사전 통지
• 통지 후에도 접속이 없는 경우 휴면 상태로 전환
• 휴면 계정의 데이터는 분리 보관되며, 일정 기간 후 파기될 수 있음 (구체적 절차는 회사의 휴면 정책 및 관련 법령에 따름)

10.5 조직 워크스페이스 구성원 탈퇴

이용자가 Academy·Business 조직에서 탈퇴하는 경우의 데이터 처리는 piuda 이용약관 제13.6조 및 제13.7조에 따릅니다.

• 개인 계정 데이터는 이용자에게 귀속
• 조직 워크스페이스 내에서 생성된 조직 콘텐츠는 조직에 보존될 수 있음
• 조직 데이터에 대한 이용자 접근 권한은 즉시 종료
• 권한 종료 전 합리적인 기간 내에 개인 콘텐츠 내보내기 가능 (법령·보안·계약상 제한 사유가 없는 경우)

11. 개인정보의 안전성 확보 조치

11.1 관리적 보호조치

• 개인정보 보호책임자 및 담당자 지정·운영
• 개인정보 처리 직원에 대한 정기적 교육
• 내부 관리계획 수립 및 시행
• 개인정보 처리방침 및 접근 권한 정책 운영
• 수탁업체에 대한 정기적 점검
• Infisical을 통한 시크릿 중앙 관리 (API 키, DB 비밀번호 등)

11.2 기술적 보호조치

11.3 물리적 보호조치

• 회사가 이용하는 클라우드 인프라(Google Cloud Platform, Cloudflare, AWS 등)의 데이터센터는 산업 표준 물리 보안 조치(출입 통제, CCTV, 24시간 모니터링 등)를 적용합니다.
• 내부 업무 시스템 접근 단말에 대한 보안 정책 운영.

11.4 수탁업체에 대한 요구사항

회사는 본 방침 제12조의 수탁업체에 대해 다음 사항을 계약상 요구합니다.

• 산업 표준 보안 인증 보유 (SOC 2, ISO 27001 또는 이에 준하는 인증)
• 전송 구간 및 저장 데이터의 암호화
• 접근 권한 통제 및 감사 로그
• 보안 사고 대응 절차
• 회사의 지시에 따른 데이터 처리
• 이용자 콘텐츠의 AI 모델 학습 사용 금지 및 가능한 범위의 ZDR 또는 이에 준하는 보관 제한 방식 우선 적용

11.5 개인정보 침해 사고 통지

12. 개인정보의 처리위탁

12.1 수탁업체 및 위탁업무

회사는 서비스 제공을 위해 다음 수탁업체에게 개인정보 처리를 위탁합니다. 구체적인 수탁업체, 위탁 업무, 처리 위치는 본 방침의 부록 A에 상세히 기재되어 있으며, 변경 시 본 방침 또는 서비스 내 고지를 통해 안내합니다.

12.2 수탁업체에 대한 통제

회사는 piuda 이용약관 제10.3조에 따라 수탁업체에 대해 다음 사항을 요구하거나 이를 위한 계약적·기술적 조치를 취합니다.

• 회사의 지시에 따른 데이터 처리
• 서비스 제공 목적을 벗어난 데이터 사용 금지
• 적절한 기술적·관리적 보호조치 유지
• 이용자 콘텐츠의 AI 모델 학습 사용 금지 및 가능한 범위의 ZDR 또는 이에 준하는 보관 제한 방식 우선 적용
• 회사의 승인 없는 재위탁 또는 제3자 제공 제한
• 보안 사고 발생 시 통지 및 협조
• 계약 종료 또는 처리 목적 달성 시 데이터 삭제 또는 반환
• 관련 법령 및 본 방침에 따른 보호조치 이행

12.3 처리위탁과 제3자 제공의 구분

수탁업체에 대한 개인정보 처리위탁은 회사가 서비스 제공을 위해 외부 사업자에게 처리를 맡기는 것이며, 마케팅 목적의 제3자 제공이 아닙니다. 수탁업체는 위탁 업무 수행 목적으로만 데이터를 처리하며, 자신의 목적으로 사용할 수 없습니다.

12.4 수탁업체의 변경

회사는 서비스 개선, 비용 효율, 보안 강화 등을 위해 수탁업체를 변경할 수 있으며, 변경 시 본 방침을 갱신하거나 서비스 내 고지를 통해 안내합니다.

13. 개인정보의 국외이전

13.1 국외이전 개요

회사의 메인 데이터베이스(PostgreSQL), 캐시(Redis Cloud)는 모두 대한민국 서울 리전에 위치하므로 국외이전에 해당하지 않습니다. 다만 다음의 수탁업체에 대해서는 미국 등 국외로 개인정보가 이전됩니다.

13.2 국외이전 현황

13.3 국외이전 동의

이용자는 piuda 이용약관 동의 및 본 방침 확인을 통해, 그리고 별도의 국외이전 동의 화면(특히 PostHog 행동 분석의 경우 PIPA 제28조에 따른 별도 동의)을 통해 위 국외이전에 동의합니다.

이용자에게는 국외이전에 동의를 거부할 권리가 있습니다.

13.4 PostHog 행동 분석에 관한 PIPA 제28조 별도 동의

PostHog가 수집하는 데이터에는 사용자 식별자(Better Auth user ID)와 IP 주소가 포함되어 있어 가명·익명 처리에 해당하지 않습니다. 따라서 회사는 PIPA 제28조에 따라 별도의 국외이전 동의 절차를 운영합니다.

• 동의 이력은 ConsentEvent 테이블에 append-only audit log 형태로 5년간 보존
• 운영 환경에서 동의 절차 미완료 시 자동 차단 (운영 게이트: POSTHOG_PIPA_FOLLOWUP_COMPLETE 환경변수)
• 동의를 철회한 이용자의 데이터는 PostHog로 전송되지 않음

13.5 안전조치

회사는 국외이전에 대해 다음의 안전조치를 적용합니다.

• 수탁업체와의 데이터 처리계약 체결 (보안 요구사항 포함)
• 전송 구간 암호화 (TLS / HTTPS)
• 접근 권한 통제 및 감사 로그
• AI 처리 제공자에 대해 가능한 범위에서 ZDR 또는 이에 준하는 보관 제한 방식 우선 적용
• Sentry, PostHog에 대한 PII 자동 스크러빙·차단 룰 적용
• 산업 표준 보안 인증 요구
• 이용자 콘텐츠의 AI 모델 학습 사용 금지
• 수탁업체의 보안 사고 발생 시 신속 통지 의무

13.6 국외이전에 관한 권리

대한민국 이용자는 개인정보보호법에 따라 국외이전과 관련하여 다음 권리를 행사할 수 있습니다.

• 국외이전 사실에 관한 통지 또는 열람 요청
• 국외이전 동의 거부 또는 철회 (해당 기능 이용 제한 가능)
• 위반 시 개인정보보호위원회에 신고

14. 정보주체의 권리 및 행사 방법

14.1 이용자의 권리

이용자는 본인의 개인정보에 관하여 다음 권리를 행사할 수 있습니다.

14.2 권리 행사 방법

14.3 본인 확인

회사는 권리 행사 요청자가 본인 또는 정당한 대리인인지 확인하기 위해 필요한 절차를 거칠 수 있습니다. 위임에 의한 권리 행사의 경우 위임장과 신분증 사본을 요청할 수 있습니다.

14.4 처리 기간

14.5 권리 행사의 제한

다음의 경우 권리 행사가 제한되거나 거부될 수 있습니다.

• 법령상 보관 의무가 있는 정보 (결제 기록 5년, 동의 기록 5년 등)
• 다른 사람의 생명·신체·재산·권익에 부당한 침해 우려가 있는 경우
• 법령에서 정한 절차에 따른 거부 사유에 해당하는 경우
• 분쟁 대응, 보안 사고 조사, 부정 이용 방지에 필요한 정보

권리 행사가 제한되는 경우 회사는 그 사유를 이용자에게 통지합니다.

14.6 권익침해 구제 방법 (대한민국 이용자)

대한민국 이용자는 개인정보 침해에 대한 신고, 상담을 위해 다음 기관에 문의할 수 있습니다.

15. 쿠키 및 유사 기술

15.1 개요

회사는 서비스의 안정적 운영과 이용자의 편의를 위해 쿠키 및 유사 기술(로컬 스토리지, 로컬 SQLite, OS Keychain 등)을 사용할 수 있습니다.

15.2 사용하는 쿠키 분류

회사는 클라이언트 측 분석·추적 쿠키, 광고·타겟팅 쿠키, 제3자 추적 쿠키를 일체 사용하지 않습니다. PostHog 행동 분석은 클라이언트 posthog-js SDK로 수집되나, 쿠키가 아닌 localStorage를 사용합니다.

15.3 쿠키의 관리

이용자는 다음 방법으로 쿠키를 관리할 수 있습니다.

• 웹 브라우저의 설정 메뉴 (쿠키 차단, 삭제, 알림 설정 등)

쿠키 사용에 관한 자세한 내용은 별도의 piuda 쿠키정책을 참조하시기 바랍니다.

15.4 쿠키 거부 시 영향

필수 쿠키를 차단하는 경우 로그인 등 핵심 기능이 작동하지 않을 수 있습니다.

15.5 로컬 저장소

데스크톱 앱은 다음과 같은 로컬 저장소를 사용합니다. 로컬 SQLite·OS Keychain·UI 상태 localStorage는 서버로 전송되지 않으나, PostHog SDK는 동의 후에만 localStorage에 분석 식별자(distinct_id 등)를 저장하고 행동 이벤트와 함께 PostHog Cloud(미국)로 전송하며, 동의 전에는 opt-out persistence 로 localStorage 에 기록하지 않습니다(본 방침 제13.4조 참조).

16. 조직 워크스페이스 내 정보 처리

16.1 조직 내 가시성

이용자가 Academy·Business type의 조직 워크스페이스에 가입하거나 조직 워크스페이스를 생성한 경우 다음 정보는 조직 구성원에게 표시될 수 있습니다.

16.2 관리자 권한

조직 관리자는 다음 권한을 가집니다.

• 구성원 명단, 역할, 권한 열람 및 관리
• 조직 콘텐츠의 접근, 관리, 내보내기, 삭제
• 구성원 초대, 제거, 권한 변경
• 보안 설정, 결제 관리
• 조직 정책에 따른 데이터 관리

16.3 조직 가입 전 안내

회사는 이용자가 조직 워크스페이스에 가입하기 전에 조직 내 데이터 가시성과 관리자 권한에 관한 일반적인 사항을 안내합니다. 다만 각 조직의 구체적인 내부 정책, 보안 설정, 데이터 관리 방식은 해당 조직 및 관리자가 결정합니다.

17. 그 외 개인정보 제공 사유

17.1 법령 및 안전 관련 제공

회사는 다음의 경우 관련 법령이 허용하는 범위 내에서 이용자의 개인정보를 제공할 수 있습니다.

• 법령상 의무 이행 또는 적법한 수사기관·감독기관의 요청에 응하는 경우
• 서비스, 이용자, 제3자, 공공의 안전·재산·권리 보호를 위해 필요한 경우
• 이용약관, 본 방침 또는 회사의 정책을 집행하기 위해 필요한 경우
• 통계·연구·공익 목적으로 가명·익명 처리하여 제공하는 경우

회사는 위 사유에 따라 제공이 이루어진 경우 가능한 범위에서 이용자에게 통지하기 위해 노력하며, 법령상 통지가 금지되는 경우는 예외로 합니다.

17.2 사업양도, 합병 등

회사가 합병, 인수, 영업양도, 분할, 사업 이전 등에 관여하는 경우 이용자의 개인정보가 거래의 일부로 이전될 수 있습니다. 이 경우 회사는 다음 사항을 보장합니다.

• 이전 후에도 동일 수준의 보호조치 적용
• 개인정보 처리자(데이터 컨트롤러) 변경에 관한 사전 통지 또는 즉시 통지
• 관련 법령에서 요구하는 경우 이용자의 동의 또는 권리 행사 기회 제공

17.3 가명·익명 정보의 처리

회사는 통계 작성, 과학적 연구, 공익 목적의 기록 보존 등을 위해 추가 정보 없이는 특정 개인을 알아볼 수 없도록 가명 또는 익명 처리된 정보를 처리할 수 있습니다. 익명 처리된 정보는 본 방침의 적용 대상이 아닙니다.

18. 제3자 연동 (이용자 활성화 시)

18.1 연동 가능 서비스

회사는 향후 참고문헌 관리 도구, 클라우드 저장소, 학술 데이터베이스 API, 문서 작성 도구, 협업 도구 등 외부 서비스와의 연동 기능을 제공할 수 있습니다. 연동 가능 서비스의 구체 목록은 변경될 수 있으며, 최신 목록은 서비스 내 고지에 따릅니다 (piuda 이용약관 제10.6조).

18.2 연동의 활성화

제3자 연동은 이용자가 명시적으로 권한을 부여한 경우에만 활성화됩니다.

18.3 회사의 책임 범위

회사는 제3자 서비스로 이전된 이후의 데이터 처리에 대해 책임을 지지 않습니다. 이용자는 제3자 서비스와 연동하기 전에 해당 서비스의 약관과 개인정보처리방침을 확인해야 합니다. 다만 회사의 고의 또는 과실이 있는 경우에는 관련 법령에 따릅니다 (piuda 이용약관 제10.7조).

19. 지역별 추가 안내

19.1 대한민국 이용자

본 방침은 대한민국 개인정보 보호법(PIPA), 정보통신망 이용촉진 및 정보보호 등에 관한 법률 및 관련 법령을 준수합니다. 대한민국 이용자는 본 방침의 모든 조항이 적용되며, 본 방침 제14.6조의 권익침해 구제 기관에 신고할 수 있습니다.

대한민국 이용자의 메인 데이터(계정, 세션, 동의 기록 등)는 서울 리전(GCP asia-northeast3)에 저장되어 국외이전에 해당하지 않습니다. 다만 본 방침 제13.2조의 일부 수탁업체에 대해서는 국외이전이 발생하므로 별도의 동의 또는 통지가 이루어집니다.

19.2 일본 이용자 (APPI 추가 안내)

19.2.1 적용 범위

본 조항은 일본 거주 이용자 또는 일본에서 서비스를 이용하는 이용자에게 추가로 적용됩니다.

19.2.2 제3자 제공

회사는 일본 거주 이용자의 개인정보를 제3자의 자체 목적으로 제공하지 않습니다. 수탁업체에 대한 처리위탁은 운영 목적에 한정됩니다.

19.2.3 국외이전

일본 거주 이용자의 데이터는 본 방침 제13조에 따라 미국 등 해외 수탁업체로 이전됩니다. 회사는 일본 개인정보보호법상 요구되는 동등한 수준의 보호 기준을 수탁업체가 유지하도록 합리적 조치를 취합니다.

19.2.4 이용자의 권리

일본 거주 이용자는 일본 개인정보보호법에 따라 다음 권리를 행사할 수 있습니다.

• 보유 개인 데이터의 이용 목적 통지 요청
• 개시(disclosure) 요청
• 정정, 추가, 삭제 요청
• 이용 정지, 소거, 제3자 제공 정지 요청

권리 행사 방법은 본 방침 제14조에 따릅니다.

19.2.5 일본어 안내

일본어 개인정보처리방침이 별도로 제공되는 경우, 일본 거주 이용자에게는 일본어 버전이 우선 적용될 수 있습니다. 다만 별도 고지 또는 별도 계약에서 달리 정한 경우 그에 따릅니다.

19.3 기타 서비스 제공 가능 지역 이용자

19.3.1

미국, EU/EEA, UK 및 회사가 명시적으로 서비스 미제공 지역으로 공표한 국가 또는 지역을 제외한 기타 서비스 제공 가능 지역 이용자에게도 본 방침이 적용됩니다.

19.3.2

해당 지역의 강행 법규가 본 방침보다 이용자에게 더 유리한 권리를 보장하는 경우, 해당 강행 법규가 우선합니다.

19.3.3

회사는 서비스 제공 가능 국가를 개별적으로 모두 열거하지 않으며, 관련 법령, 국제 제재, 수출통제, 결제망 정책, 클라우드·AI 처리 제공자의 정책에 따라 특정 국가의 이용을 제한할 수 있습니다 (piuda 이용약관 제25B조 참조).

19.4 미국·EU/EEA·UK 등 제외 지역

미국, EU 회원국, EEA 회원국, UK 및 회사가 명시적으로 서비스 미제공 지역으로 공표한 국가 또는 지역은 현재 회사의 공식 서비스 제공 대상 지역이 아닙니다. 본 방침은 회사가 해당 제외 지역의 법령 (GDPR, UK GDPR, CCPA/CPRA, HIPAA 등) 요건을 이미 충족하였음을 보장하거나 표시하는 것으로 해석되지 않습니다 (piuda 이용약관 제4조 및 제25C조 참조).

회사가 향후 위 제외 지역을 공식 서비스 제공 대상 지역으로 추가하는 경우, 정식 개방 전에 필요한 법무·운영 조치를 검토하고 별도 고지합니다.

20. 미성년자의 개인정보 보호

서비스의 최소 이용 연령 및 법정대리인 동의 요건은 piuda 이용약관 제5.6조부터 제5.9조에 따릅니다. 회사는 법정대리인 동의 처리 인프라(이메일 인증, 본인확인 연동, 법정대리인 동의 확인 및 동의 철회 처리 절차 등)가 완비될 때까지 미성년자의 회원가입 및 서비스 이용을 제한하고 있으며, 따라서 본 방침의 시행 시점에는 미성년자 또는 그 법정대리인의 개인정보를 별도로 수집하지 않습니다.

회사가 향후 미성년자 이용을 허용하는 경우, 회사는 본 방침을 사전에 개정하여 법정대리인 동의 절차, 수집 항목, 보호조치, 적용 연령 범위 및 적용 지역을 별도로 안내합니다. 미성년자 이용 허용에 따라 법정대리인의 개인정보(성명, 관계, 연락 가능한 이메일 주소 등)를 수집하게 되는 경우에도, 회사는 동의 절차의 신설 또는 변경에 대해 관련 법령에 따른 별도 동의 또는 고지를 진행합니다.

회사가 미성년자 이용 제한이 적용되는 기간 동안 의도하지 않게 법령상 최소 연령 미만 이용자의 개인정보를 수집한 사실을 인지한 경우, 회사는 관련 법령에 따라 해당 정보를 신속히 삭제하고 필요한 후속 조치를 취합니다. 자녀의 개인정보가 수집되었다고 판단되는 경우 법정대리인은 [email protected]로 연락하시기 바랍니다.

21. 본 방침의 변경

21.1 방침 변경

회사는 법령, 정책, 보안 기술, 수탁업체 변경 등에 따라 본 방침을 변경할 수 있습니다.

21.2 변경 통지

회사는 본 방침을 변경하는 경우 다음 방법으로 통지합니다.

21.3 변경 이력

이전 버전의 방침은 [email protected]로 요청 시 제공할 수 있습니다.

21.4 계속 이용 시

변경된 방침의 시행일 이후 이용자가 서비스를 계속 이용하는 경우, 변경된 방침에 동의한 것으로 간주될 수 있습니다. 단, 관련 법령상 명시적 동의가 필요한 경우에는 별도의 동의를 받습니다.

22. 문의 및 연락처

22.1 일반 개인정보 문의

22.2 개인정보 보호책임자

22.3 개인정보 침해 신고

대한민국 이용자의 개인정보 침해 신고 기관은 본 방침 제14.6조를 참조하시기 바랍니다.

부록 A: 수탁업체 및 국외이전 현황 상세

최종 업데이트: 2026년 5월 25일 기술 현황 기준일: 2026년 5월 24일

본 부록은 위 기술 현황 기준일 시점에 확인된 수탁업체, 처리 위치 및 처리 항목을 기술한 것입니다. 구체적인 AI 모델의 세부 버전, 내부 운영 식별자, 환경변수명, 내부 도메인 등 보안상 공개가 적절하지 않거나 수시로 변경되는 운영 정보는 본 공개 문서에 기재하지 않고 회사 내부 관리 문서 또는 서비스 내 별도 고지로 관리합니다. 수탁업체의 캐싱 정책, 데이터 보관 기간, 처리 위치 등 외부 제공자의 운영 환경에 의존하는 항목은 본 방침의 정식 개정 주기보다 더 빠르게 변경될 수 있습니다. 이용자에게 불리하거나 중대한 변경 사항은 본 방침 본문의 변경 절차(제21조)에 따라 별도로 안내합니다.

본 부록의 구체적인 수탁업체 및 처리 현황은 변경될 수 있으며, 변경 시 본 방침 또는 서비스 내 고지를 통해 안내합니다.

A.1 클라우드 인프라 / DB

A.2 AI 게이트웨이 및 AI 제공자

A.2.1 AI Gateway

A.2.2 하위 AI 제공자 (Gateway 경유)

구체적인 모델 세부 버전은 기술 현황 기준일을 기준으로 회사 내부에서 관리하며, 이용자에게 불리하거나 중대한 변경이 있는 경우 본 방침 또는 서비스 내 고지를 통해 안내합니다.

A.2.3 AI 데이터 처리 원칙

A.3 결제 처리

A.4 이메일 발송

A.5 분석 도구 — PostHog (사용자 행동 분석)

A.6 분석 도구 — Sentry (오류 추적)

A.7 인증 서비스

인증 데이터 처리

A.8 보안 — 시크릿 관리

보안 정책 요약

• Desktop 앱에 API 키 절대 포함 금지 (asar extract 대비)
• 모든 LLM 호출은 서버에서만 수행
• PDF 원본은 사용자 기기에서 떠나지 않음 (파싱된 텍스트만 서버 전송)
• CSP 헤더, nodeIntegration: false, contextIsolation: true

A.9 학술 검색 API (서버사이드 호출 전용)

모두 서버사이드에서만 호출하며, 사용자의 이메일·이름·계정 식별자 등 개인정보는 전송되지 않고 검색 키워드 또는 논문 식별자만 전달됩니다.

A.10 제3자 연동 (이용자 활성화 시)

이용자가 명시적으로 활성화한 경우에 한하여, 향후 다음과 같은 제3자 서비스와의 연동이 가능할 수 있습니다. 구체적인 연동 가능 서비스 목록은 변경될 수 있으며, 최신 목록은 서비스 내 고지에 따릅니다.

연동 서비스에는 해당 제3자의 약관과 개인정보처리방침이 별도로 적용됩니다.

부록 B: 수집하는 개인정보 항목 총정리

B.1 직접 수집

B.2 자동 수집

B.3 사용자 생성 데이터

부록 C: 국외이전 대상 요약

부록 D: 회사가 이용자 콘텐츠를 사용하지 않는 목적 (요약)

회사는 piuda 이용약관 제7.5조에 따라 이용자 콘텐츠를 다음 목적으로 사용하지 않습니다.

본 방침의 끝

본 방침은 한국어로 작성되었으며, 영어 또는 기타 언어로 번역본이 제공되는 경우 대한민국 이용자에게는 한국어 버전이 우선합니다. 일본어 버전이 제공되는 경우 일본 거주 이용자에게는 일본어 버전이 우선 적용될 수 있습니다. 기타 서비스 제공 가능 지역의 경우 영어 버전 또는 회사가 별도로 고지한 언어 버전이 우선 적용될 수 있습니다.

본 piuda 개인정보처리방침은 piuda를 이용함으로써 이용자가 본 방침을 읽고 이해하였으며 이에 동의함을 전제로 합니다.