From 13d44ddabc79213d4b3266ce7c512b575cc8d10c Mon Sep 17 00:00:00 2001 From: Haewon Kam Date: Wed, 7 Oct 2026 15:18:51 +0900 Subject: [PATCH] =?UTF-8?q?fix:=20=EA=B0=9C=EC=9D=B8=EC=A0=95=EB=B3=B4?= =?UTF-8?q?=EC=B2=98=EB=A6=AC=EB=B0=A9=EC=B9=A8=C2=B7=EC=9D=B4=EC=9A=A9?= =?UTF-8?q?=EC=95=BD=EA=B4=80=20=EB=B2=95=EB=AC=B4=20=EA=B2=80=ED=86=A0=20?= =?UTF-8?q?=EB=B0=98=EC=98=81?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit - 처리방침: 처리 목적별 법적 근거, 국외 이전 근거 조항·이전받는 자 연락처·거부 방법과 효과, 거래기록 보관 근거를 국세기본법으로 - 이용약관: AI 기본법 제31조 생성형 AI 사전 고지 조항 추가, 외부 서비스 면책을 회사 고의·과실 없는 경우로 한정 - 검토 문서 docs/legal/webforai_privacy_terms_review_2026-10-07.html Co-Authored-By: Claude Opus 5.5 --- ...forai_privacy_terms_review_2026-10-07.html | 154 ++++++++++++++++++ src/pages/PrivacyPage.tsx | 17 +- src/pages/TermsPage.tsx | 10 +- 3 files changed, 172 insertions(+), 9 deletions(-) create mode 100644 docs/legal/webforai_privacy_terms_review_2026-10-07.html diff --git a/docs/legal/webforai_privacy_terms_review_2026-10-07.html b/docs/legal/webforai_privacy_terms_review_2026-10-07.html new file mode 100644 index 0000000..884cbc0 --- /dev/null +++ b/docs/legal/webforai_privacy_terms_review_2026-10-07.html @@ -0,0 +1,154 @@ + + + + + +webforai.kr 약관 법무 검토 + + + +
+

webforai.kr 개인정보처리방침·이용약관 법무 검토

+

검토일 2026-10-07 · 대상: webforai.kr/privacy, webforai.kr/terms (2026-10-07 게시본) · 작성: Claude (웹 검색 근거 기반 1차 검토)

+ +
+ 이 문서는 공개 법령 해설과 감독기관 자료를 근거로 한 1차 검토입니다. 법률 자문을 대신하지 않습니다. + "반드시 고칠 것"은 법령 문언상 필수 기재사항이 빠진 경우만 넣었고, 해석이 갈리는 부분은 "확인 필요"로 분리했습니다. + 최종 게시 전에는 개인정보·의료 분야 변호사 검토를 권합니다. +
+ +

요약

+ + + + + + +
등급건수내용
반드시 고칠 것3국외 이전 필수 기재사항 누락 · 개인정보 보호책임자 표기 요건 미충족 · 개인 Gmail 계정에서 고객 정보 처리
권장4처리 목적별 법적 근거 기재 · AI 기본법 사전 고지 · 이행보조자 면책 문구 · 거래기록 보관 근거 법령
확인 필요2분석 쿠키(GA4)의 처리 근거 · 수집 시점 안내 문구
적합-필수 기재 13개 항목 중 대부분, 의료 관련 고지, 재판관할, 약관 변경 고지 기간, 처리방침 명칭 구분 표시
+ +

1. 반드시 고칠 것

+ +
+

필수 ① 국외 이전 고지에 이전받는 자의 연락처와 거부 효과가 빠져 있음 (개인정보처리방침 제5조)

+

근거: 개인정보 보호법 제28조의8 제2항. 처리방침 공개를 근거로 국외 이전을 하려면 이전 항목, 국가·시기·방법, 이전받는 자의 성명(법인은 명칭과 연락처), 이용 목적과 보유·이용 기간, 거부 방법·절차와 거부의 효과를 모두 적어야 합니다.

+

현재: 항목·국가·시기·방법·목적·기간은 있으나 Google·Vercel의 연락처가 없고, 거부 방법은 "이메일 또는 전화로 문의"뿐이며 거부 효과(서비스 이용 제한 여부)가 없습니다. 이전 근거 조항(제28조의8 제1항 제3호 가목)도 적혀 있지 않습니다.

+
수정안: +
    +
  • Google LLC: 문의 구글코리아 유한회사, 02-722-7778, data-access-requests@google.com (Google 한국 거주자용 개인정보 추가 정보 페이지 기준)
    • +
  • Vercel Inc.: privacy@vercel.com, 440 N Barranca Avenue #4133, Covina, CA 91723, United States (Vercel 개인정보 고지 기준)
    • +
  • 거부 방법·효과: "서식 대신 이메일(o2oteam@o2o.kr)이나 전화로 문의하면 서식 저장(Google)으로의 이전을 거부할 수 있습니다. 웹사이트 접속 자체는 호스팅(Vercel)을 거치므로, 접속 기록 이전을 거부하려면 웹사이트 이용을 중단해야 합니다. 분석 쿠키는 제8조 방법으로 거부할 수 있고, 거부해도 이용 제한은 없습니다."
    • +
  • 근거 명시: "정보주체와의 계약 체결·이행을 위하여 필요한 처리위탁·보관으로서 이 방침에 공개한 경우(법 제28조의8 제1항 제3호 가목)"
    • +
+
+
+ +
+

필수 ② 개인정보 보호책임자 표기가 요건에 맞지 않음 (제10조)

+

근거: 개인정보 보호법 시행령 제31조. 처리방침에는 보호책임자의 성명 또는 개인정보 보호업무·고충 처리를 맡는 부서의 명칭과 전화번호 등 연락처를 적어야 합니다. 또한 법 제31조에 따라 보호책임자를 실제로 지정해야 합니다.

+

현재: "(주)AI오투오 개인정보 보호 담당"으로 적혀 있어 성명도 실제 부서명도 아닙니다. 열람 청구를 받는 부서도 따로 적혀 있지 않습니다.

+
수정안: 회사가 지정한 보호책임자의 성명·직책, 또는 실제 담당 부서명(예: "경영지원팀")과 전화·이메일을 적고, "열람청구 접수·처리 부서: 위와 같음"을 덧붙입니다. 어느 사람·부서로 할지는 회사가 정해야 합니다.
+
+ +
+

필수 ③ 고객 정보가 개인 Gmail 계정(aio2odev@gmail.com)의 시트에 쌓임

+

근거: 개인정보 보호법 제26조(업무위탁)는 위탁자와 수탁자 사이에 처리 목적·안전조치·재위탁 제한 등을 문서로 정하도록 합니다. 처리방침 제5조는 Google을 "수탁자"로 적었지만, 개인용 Gmail 계정은 기업용 데이터 처리 계약이 붙는 구조가 아니어서 이 표기를 뒷받침하기 어렵습니다. 문의 서식은 이름·연락처를 받으므로 회사 계정에서 관리되어야 합니다.

+
수정안: 문의 수신 시트와 Apps Script를 회사 계정으로 옮깁니다(예: 회사 Google Workspace, 또는 회사가 쓰는 Microsoft 365의 Excel·Power Automate). 옮긴 뒤 처리방침의 수탁자 표기를 실제 계약 주체에 맞춥니다. 어느 계정으로 옮길지는 결정이 필요합니다.
+
+ +

2. 권장

+ +
+

권장 ④ 처리 목적별 법적 근거를 함께 적기 (제1·2조)

+

근거: 개인정보보호위원회 「개인정보 처리방침 작성지침」(2025.4 개정)은 처리 목적별로 동의, 계약 이행, 법령 등 근거를 구분해 적도록 안내합니다. 개인정보 보호법 제15조 제1항 제4호(2023 개정)는 "계약을 체결하는 과정에서 정보주체의 요청에 따른 조치"에 필요한 경우 동의 없이 수집할 수 있게 합니다.

+
수정안: "문의·진단 요청 회신: 정보주체의 요청에 따른 조치 이행(법 제15조 제1항 제4호)" · "서비스 계약 이행: 계약 이행(같은 호)" · "거래기록 보관: 관계 법령(같은 항 제2호)".
+
+ +
+

권장 ⑤ AI 기본법에 따른 생성형 AI 사전 고지 (이용약관)

+

근거: 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(2026.1.22 시행) 제31조. 생성형 AI를 이용한 제품·서비스를 제공할 때 그 사실을 이용자에게 미리 알리고(이용약관 등), 결과물이 생성형 AI로 만들어졌음을 표시해야 합니다. 정부는 시행 초기 1년 이상 과태료를 부과하지 않는 계도기간을 운영 중이며, 위반 시 과태료는 1회 500만 원부터입니다.

+

현재: 이용약관에 AI 사용 고지가 없습니다. 진단 리포트 작성, 공식 답변 허브 콘텐츠 작성, 이미지·영상 생성(데모 스튜디오)에 생성형 AI를 씁니다.

+
수정안: 이용약관에 조항 추가. "서비스의 일부(진단 리포트 문안, 공식 답변 허브 콘텐츠 초안, 이미지·영상)는 생성형 인공지능을 이용해 만들어지며, 회사는 해당 결과물에 그 사실을 표시합니다. 의료 관련 내용은 의료기관 확인을 거쳐 게시합니다." 산출물(공식 답변 허브 글 등)에도 표시 방식을 정해야 합니다.
+
+ +
+

권장 ⑥ 외부 서비스 장애 면책 문구를 좁히기 (이용약관 제11조)

+

근거: 약관의 규제에 관한 법률 제7조. 사업자·이행보조자의 고의·중과실 책임을 배제하거나, 상당한 이유 없이 사업자의 손해배상 범위를 제한하는 조항은 무효입니다.

+

현재: "외부 서비스(호스팅·AI 답변엔진·검색엔진 등)의 장애나 정책 변경 등 회사가 통제할 수 없는 사유"로 면책합니다. 호스팅처럼 회사가 고른 업체는 이행보조자로 볼 여지가 있습니다.

+
수정안: "…회사의 고의 또는 과실 없이 발생한 외부 서비스의 장애나 정책 변경으로 생긴 손해"로 한정합니다. AI 답변엔진·검색엔진의 노출 변화처럼 성질상 통제할 수 없는 부분은 제5조(진단 결과의 성격)에 이미 있어 유지합니다.
+
+ +
+

권장 ⑦ 거래기록 보관 근거 법령 바로잡기 (개인정보처리방침 제3조)

+

근거: 「전자상거래 등에서의 소비자보호에 관한 법률」의 보관 의무는 전자상거래·통신판매 거래를 대상으로 합니다. 이 서비스는 병원(사업자)과의 개별 계약이 중심이라 근거로 맞지 않을 수 있습니다.

+
수정안: 계약·대금 기록은 「국세기본법」(장부·증빙서류 5년) 등 실제로 적용되는 법령으로 적고, 전자상거래법 문구는 온라인 결제 등 해당 거래가 생길 때 추가합니다. 웹사이트 방문기록 3개월(통신비밀보호법)은 유지해도 무방합니다.
+
+ +

3. 확인 필요 (해석이 갈림)

+ +
+

확인 ⑧ 분석 쿠키(GA4)의 처리 근거

+

국내에는 분석 쿠키에 사전 동의 배너를 요구하는 명문 규정이 없고, 처리방침에 수집 항목·목적·거부 방법을 공개하는 방식이 관행입니다(현재 제8조가 이 방식). 다만 쿠키 식별자와 결합된 방문 기록을 개인정보로 볼지, 근거를 "정당한 이익(법 제15조 제1항 제6호)"으로 둘지는 해석이 갈립니다. 해외 이용자(특히 EU) 비중이 커지면 동의 배너가 필요할 수 있습니다.

+
+ +
+

확인 ⑨ 문의 서식의 수집 시점 안내

+

제15조 제1항 제4호로 동의 없이 받을 수 있지만, 서식 하단의 "입력 정보는 문의 회신 용도로만 사용합니다" 옆에 처리방침 링크와 "해외 서버(Google·Vercel)에 저장" 한 줄을 붙이면 투명성이 높아집니다(작성지침의 알기 쉬운 고지 원칙).

+
+ +

4. 적합으로 본 항목

+ + + + + + + + + + +
항목근거판단
처리 목적·항목·보유기간·파기·제3자 제공·정보주체 권리(10일 내 조치)·안전성 확보조치·자동수집장치·권익침해 구제·변경 고지개인정보 보호법 제30조, 시행령 제31조기재됨
처리방침 명칭을 다른 링크와 구분해 표시(푸터 굵게)시행령 제31조 공개 방법적합
만 14세 미만·민감정보 미수집, 문의에 환자 정보 금지 안내법 제22조의2, 제23조적합
의료광고 사전심의 책임은 의료기관에 있음을 고지의료법 제56조 제1항(광고 주체), 제57조(사전심의)적합. 회사는 의료광고의 주체가 될 수 없으므로 산출물 게시 책임 구분이 맞음
AI 답변 노출을 보장하지 않는다는 고지의료법 제56조 제2항(효과 보장 금지 취지), 표시광고법적합
재판관할: 민사소송법에 따른 관할 법원약관규제법 제14조(고객에게 부당하게 불리한 관할 합의 금지)적합
약관 변경 7일 전, 불리한 변경 30일 전 고지약관규제법 제3조 취지, 업계 표준약관적합
권익침해 구제 기관 연락처 (1833-6972, 118, 1301, 182)작성지침적합
+ +

5. 다음 단계 제안

+
    +
  • ①⑥⑦④⑤ 문구 수정은 바로 반영 가능 (페이지 2개, 배포 1회)
    • +
  • ②는 보호책임자(사람 또는 부서) 지정, ③은 문의 수신 계정 이전 결정이 먼저 필요
    • +
  • ⑧⑨는 변호사 검토 시 함께 질의
    • +
+ +

근거 자료

+ +
+ + diff --git a/src/pages/PrivacyPage.tsx b/src/pages/PrivacyPage.tsx index 7f59648..fe9d085 100644 --- a/src/pages/PrivacyPage.tsx +++ b/src/pages/PrivacyPage.tsx @@ -28,6 +28,9 @@ const SECTIONS: LegalSection[] = [ '- 문의 및 진단 요청에 대한 회신과 상담', '- 요청하신 AEO, GEO 진단의 수행과 결과 전달', '- 서비스 도입 관련 안내(요청하신 범위에 한함)', + '위 목적의 처리 근거는 정보주체의 요청에 따른 조치 이행입니다(개인정보 보호법 제15조 제1항 제4호).', + '- 서비스 계약의 이행과 거래 기록 보관: 계약 이행과 관계 법령에 따른 의무 준수(같은 법 제15조 제1항 제2호·제4호)', + '- 웹사이트 이용 현황 분석: 제8조의 분석 쿠키로 수집하며, 이 정보로 개인을 직접 식별하지 않습니다.', '회사는 위 목적 외의 용도로 개인정보를 이용하지 않으며, 목적이 바뀌는 경우 미리 동의를 받습니다.', ], }, @@ -36,9 +39,7 @@ const SECTIONS: LegalSection[] = [ body: [ '회사는 문의 처리가 끝난 날부터 1년간 개인정보를 보관한 뒤 지체 없이 파기합니다. 정보주체가 삭제를 요청하면 그 전이라도 파기합니다.', '서비스 계약을 체결한 경우에는 관계 법령에 따라 아래 기간 동안 보관합니다.', - '- 계약 또는 청약철회 등에 관한 기록: 5년 (전자상거래 등에서의 소비자보호에 관한 법률)', - '- 대금결제 및 재화 등의 공급에 관한 기록: 5년 (같은 법)', - '- 소비자의 불만 또는 분쟁처리에 관한 기록: 3년 (같은 법)', + '- 계약 및 대금 거래에 관한 기록(장부·증빙서류): 5년 (국세기본법)', '- 웹사이트 방문 기록: 3개월 (통신비밀보호법)', ], }, @@ -49,11 +50,11 @@ const SECTIONS: LegalSection[] = [ { title: '개인정보 처리업무의 위탁 및 국외 이전', body: [ - '회사는 서비스 운영을 위해 아래와 같이 개인정보 처리업무를 위탁하며, 수탁자의 서버가 국외에 있어 개인정보가 국외로 이전됩니다.', - '- Google LLC (미국): 문의 내용 저장(Google 스프레드시트) 및 접수 알림 메일 발송. 이전 항목은 제1조의 서식 입력 항목이며, 서식을 제출하는 시점에 네트워크로 전송됩니다. 보유 기간은 제3조와 같습니다.', - '- Google LLC (미국): 웹사이트 방문 분석(Google 애널리틱스, Google 태그 관리자). 이전 항목은 제1조의 방문 분석 정보이며, 웹사이트를 이용하는 시점에 네트워크로 전송됩니다. 보유 기간은 수집일부터 최대 14개월입니다.', - '- Vercel Inc. (미국): 웹사이트 호스팅 및 서식 전송 처리. 이전 항목은 서식 입력 항목과 접속 기록이며, 웹사이트 이용 및 서식 제출 시 네트워크로 전송됩니다. 보유 기간은 위탁 계약 종료 시까지입니다.', - '국외 이전을 원하지 않으시면 서식 대신 이메일 또는 전화로 문의하실 수 있습니다. 다만 이 경우에도 회신 메일은 회사의 메일 서비스를 통해 처리됩니다.', + '회사는 서비스 운영을 위해 아래와 같이 개인정보 처리업무를 위탁하며, 수탁자의 서버가 국외에 있어 개인정보가 국외로 이전됩니다. 이 이전은 정보주체와의 계약 체결·이행을 위하여 필요한 처리위탁·보관으로서 이 방침에 공개한 경우에 해당합니다(개인정보 보호법 제28조의8 제1항 제3호 가목).', + '- Google LLC (미국): 문의 내용 저장(Google 스프레드시트) 및 접수 알림 메일 발송. 이전 항목은 제1조의 서식 입력 항목이며, 서식을 제출하는 시점에 네트워크로 전송됩니다. 보유 기간은 제3조와 같습니다. 연락처: data-access-requests@google.com, 02-722-7778 (Google 한국 이용자 개인정보 문의 창구)', + '- Google LLC (미국): 웹사이트 방문 분석(Google 애널리틱스, Google 태그 관리자). 이전 항목은 제1조의 방문 분석 정보이며, 웹사이트를 이용하는 시점에 네트워크로 전송됩니다. 보유 기간은 수집일부터 최대 14개월입니다. 연락처는 위와 같습니다.', + '- Vercel Inc. (미국): 웹사이트 호스팅 및 서식 전송 처리. 이전 항목은 서식 입력 항목과 접속 기록이며, 웹사이트 이용 및 서식 제출 시 네트워크로 전송됩니다. 보유 기간은 위탁 계약 종료 시까지입니다. 연락처: privacy@vercel.com, 440 N Barranca Avenue #4133, Covina, CA 91723, United States', + `국외 이전을 거부하는 방법과 효과: 서식 대신 이메일(${PRIVACY_EMAIL})이나 전화(${CONTACT_PHONE})로 문의하시면 서식 내용의 저장(Google)을 위한 이전을 거부할 수 있으며, 문의와 회신은 그대로 이용하실 수 있습니다. 웹사이트 접속은 호스팅(Vercel)을 거치므로 접속 기록의 이전을 거부하려면 웹사이트 이용을 중단하셔야 합니다. 방문 분석 쿠키는 제8조의 방법으로 거부할 수 있고, 거부해도 웹사이트 이용에 제한은 없습니다.`, ], }, { diff --git a/src/pages/TermsPage.tsx b/src/pages/TermsPage.tsx index 4844d41..8c68a0c 100644 --- a/src/pages/TermsPage.tsx +++ b/src/pages/TermsPage.tsx @@ -50,6 +50,14 @@ const SECTIONS: LegalSection[] = [ '의료기관이 서비스 산출물을 광고 목적으로 게시하는 경우, 의료법에 따른 의료광고 사전심의 등 필요한 절차는 해당 의료기관이 책임지고 이행해야 합니다. 회사의 검토는 이 절차를 대신하지 않습니다.', ], }, + { + title: '생성형 인공지능 이용 고지', + body: [ + '서비스의 일부는 생성형 인공지능을 이용해 운용됩니다(인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 제31조).', + '- 생성형 인공지능을 이용하는 부분: 공식 답변 허브에 실을 콘텐츠 초안, 이미지·영상 결과물', + '회사는 관련 법령에 따라 생성형 인공지능으로 만든 결과물에 그 사실을 표시합니다. 의료 관련 내용은 의료기관의 확인을 거친 뒤 게시합니다.', + ], + }, { title: '이용자의 의무', body: [ @@ -83,7 +91,7 @@ const SECTIONS: LegalSection[] = [ { title: '책임의 제한', body: [ - '- 회사는 천재지변, 외부 서비스(호스팅·AI 답변엔진·검색엔진 등)의 장애나 정책 변경 등 회사가 통제할 수 없는 사유로 생긴 손해에 대해 책임을 지지 않습니다.', + '- 회사는 천재지변, 그리고 회사의 고의 또는 과실 없이 발생한 외부 서비스(호스팅·AI 답변엔진·검색엔진 등)의 장애나 정책 변경으로 생긴 손해에 대해 책임을 지지 않습니다.', '- 회사는 이용자가 입력한 정보의 오류나 이용자의 귀책사유로 생긴 손해에 대해 책임을 지지 않습니다.', '- 회사는 무료로 제공하는 사이트 정보와 예시 리포트의 이용으로 생긴 손해에 대해 고의 또는 중대한 과실이 없는 한 책임을 지지 않습니다.', ],