보안과 데이터 보호

모든 데이터는 조직(organization) 단위로 분리됩니다. 사건 · 메모 · 분석 · 첨부 등 이용자가 등록한 콘텐츠는 소속 조직 식별자(organization_id)로 row-level 분리되어 저장되며, 조회·수정 경로는 항상 현재 활성 조직의 멤버인지 먼저 확인합니다.

• 다른 회사의 사건 데이터가 서로 섞이지 않습니다.
• 조직 멤버가 아니면 해당 조직의 데이터에 접근할 수 없습니다.

사건을 비공개(private)로 설정하면, 해당 사건의 담당자 또는 등록자 본인만 열람할 수 있습니다. 이것은 단순한 수평 권한 제한이 아니라 절대 격리입니다.

접근 권한이 없는 사용자가 비공개 사건 주소로 직접 접근하더라도, 사건의 존재 여부 자체를 드러내지 않도록 일반적인 "찾을 수 없음(404)"으로 응답합니다.

조직 구성원은 세 가지 역할(Owner · Admin · Member)을 가집니다. 관리자(Admin)와 대표(Owner)는 관리 권한을 가지며, 일반 멤버(Member)의 권한은 조직 설정의 토글로 위임합니다.

• Owner / Admin: 조직 관리 권한 (단, 위의 비공개 사건 격리는 예외 없이 적용)
• Member: 기본 권한 + 조직이 위임한 추가 권한

멤버에게 위임할 수 있는 권한은 다음과 같습니다.

• 사건 삭제
• 담당자 변경
• 내보내기

사건 값 변경, 권한 변경, 운영자 지원 접근 등 모든 중요 변경 사항은 감사 로그(audit_log)에 기록됩니다. 누가 · 언제 · 무엇을 바꿨는지 추적할 수 있어, 팀 단위로 운영할 때 책임 소재를 명확히 할 수 있습니다.

회사는 고객 지원 · 장애 대응 · 법령 준수 등 정당한 목적에 한해, 권한 있는 최소한의 운영자가 이용자 계정으로 일시 로그인할 수 있는 기능을 운영합니다. 이때 다음의 통제가 적용됩니다.

• 접근 권한은 사전 인가된 최소 인원의 운영자에게만 부여됩니다.
• 각 접근의 시작 · 종료 시점과 대상은 감사 로그에 기록됩니다.
• 접근 세션은 일정 시간(약 30분) 후 자동 만료됩니다.
• 운영자가 자기 자신 또는 다른 관리자(admin) 계정에 접근하는 것은 차단됩니다.
• 접근이 진행되는 동안 화면에 안내 배너가 표시됩니다.

• 전송 구간 암호화: 모든 통신은 HTTPS(TLS)로 암호화됩니다.
• 비밀번호 단방향 해시: 비밀번호는 검증된 단방향 해시 알고리즘으로 처리되어 원문은 보관하지 않으며 복원할 수 없습니다.
• 접근 통제: 데이터베이스 접근 권한을 최소화하고 통제합니다.
• 오류 모니터링 시 PII 마스킹: 오류 모니터링 과정에서 개인정보는 마스킹하여 전송합니다.

회사는 원활한 서비스 제공을 위해 아래 사업자에게 일부 처리 업무를 위탁하며, 일부는 국외로 이전됩니다. 항목별 상세 내역은 개인정보처리방침의 위탁·국외 이전 조항을 따릅니다.

* OpenRouter는 웹검색 처리를 위해 외부 검색 공급자(현재 Exa Labs 등)에 재위탁할 수 있으며, 해당 공급자는 OpenRouter가 변경할 수 있습니다.

개인정보의 국외 이전은 주로 AI 어시스턴트를 이용하는 경우에 발생합니다. 이용자는 국외 이전에 동의하지 않을 권리가 있으며, AI 어시스턴트 관련 이전을 거부하면 AI 기능 이용만 제한되고 그 외 서비스는 정상 이용할 수 있습니다.

데이터 처리 · 보유 기간 · 정보주체의 권리 등 자세한 내용은 개인정보처리방침과 이용약관을 참고하세요. 본 서비스는 정보 제공 목적이며, 투자 결과에 대한 책임은 회원 본인에게 있습니다.

보안 검토 요청이나 취약점 제보 등 보안 관련 문의는 아래로 연락 주세요.