개인정보처리방침
㈜나야넷(이하 “회사”)는 SimpleHR 서비스(웹 및 모바일 앱, 이하 “서비스”)를 제공하면서 이용자의 개인정보를 소중히 다루며, 「개인정보 보호법」 등 관계 법령을 준수합니다.
개정 안내 — 이 방침은 2026년 9월 28일부터 시행됩니다
2026년 8월 28일 게시하였으며, 시행일 전까지는 종전 방침(시행일 2026년 8월 6일)이 적용됩니다. 종전 방침은 여기에서 확인하실 수 있습니다.
주요 개정 내용은 다음과 같습니다.
- 제3조 — 법정의무교육(이러닝) 이용 시 교육기관에 제공되는 항목을 구체적으로 공개
- 제4조 — 지도·주소 검색 국내 위탁과 AI 답변·관측·음성 전사·웹 검색·모바일 푸시에 따른 국외 이전 내역 및 거부 방법을 구체적으로 공개
- 제6조 — 자동화된 결정에 대한 설명 요구·거부 창구를 추가
- 제7조 — AI 전송 전 주민등록번호·계좌번호 자동 마스킹을 명시
- 제10조 — 방침 개정 시 시행 7일 전 공지 절차를 명시
- 제3조 ① — 이러닝 제공 항목에서 이메일 주소를 삭제 (실제로 교육기관에 전송되지 않는 항목을 과다 기재했던 것을 정정)
이 서비스의 성격
SimpleHR는 회사가 도입한 기업의 임직원이 이용하는 업무용 서비스입니다. 개인이 직접 가입할 수 없으며, 소속 회사가 발급한 계정으로만 이용할 수 있습니다.
이용자의 개인정보에 대한 개인정보처리자는 원칙적으로 이용자가 소속된 회사이며, 당사는 그 회사의 위탁을 받아 서비스를 운영·관리하는 수탁자의 지위에서 개인정보를 처리합니다. 따라서 열람·정정·삭제 등의 요청은 소속 회사의 인사담당 부서를 통해 처리하는 것이 원칙이며, 당사는 이를 지원합니다.
제1조 (수집하는 개인정보 항목과 이용 목적)
회사는 서비스 제공에 필요한 최소한의 정보만 수집합니다.
| 항목 | 이용 목적 | 필수/선택 | 보유 기간 |
|---|---|---|---|
| 이름 · 이메일 주소 · 소속(부서/직위) | 계정 식별, 로그인, 근태·결재 주체 확인 | 필수 | 회사와의 서비스 이용계약 종료 시까지 |
| 위치정보(위도·경도·측정 정확도) | GPS 출퇴근 체크 — 등록된 근무지 반경 안인지 확인 | 필수(GPS 출퇴근 정책 적용 대상) | 출퇴근 기록의 일부로 보관 |
| 프로필 사진 | 임직원 식별 표시 | 선택 | 이용자가 삭제하거나 계약 종료 시까지 |
| 주소 | 임직원 인사정보 관리 및 프로필 제공 | 선택 | 회사와의 서비스 이용계약 종료 시까지 |
| 첨부 문서 · 이미지 | 결재 문서 및 증빙 서류 제출 | 선택 | 관계 법령이 정한 문서 보존기간 |
| AI 지식 기능에 업로드한 음성 파일 · 전사 텍스트 | 음성을 텍스트로 변환하고 지식 문서로 편찬 | 선택 | 이용자 또는 관리자가 삭제하거나 서비스 이용계약 종료 시까지(국외 처리자의 보존 기준은 제4조 참조) |
| 근태 기록 · 휴가 · 연장근로 · 결재 이력 | 인사·근태 관리 및 급여 산정 | 필수 | 근로기준법 등 관계 법령이 정한 기간 |
| 병가 및 건강상 사유 | 병가·근태 정정 신청과 증빙 처리 | 선택 | 관계 법령 및 고객사의 인사기록 보존정책이 정한 기간 |
| 급여 명세 정보 | 급여명세서 조회 제공 | 필수 | 관계 법령이 정한 기간 |
| 급여 지급 계좌(은행명 · 계좌번호) | 급여 지급 정보 확인 및 인사정보 관리 | 선택 | 관계 법령 또는 회사와의 서비스 이용계약이 정한 기간 |
| 사내 메시지 내용 | 임직원 간 1:1 메시지 기능 제공 및 신고된 메시지 검토 | 선택 | 이용자가 삭제하거나 계약 종료 시까지 |
| 메시지 신고 사유 · 신고자/피신고자 식별자 · 신고 및 차단 처리기록 | 부적절한 메시지 신고 접수·검토, 사용자 차단, 서비스 안전과 조치 이력 관리 | 선택(신고 또는 차단 기능 이용 시) | 회사와의 서비스 이용계약 종료 시까지 |
| 개인 일정의 제목 · 장소 · 설명 · 일시 | 앱 내 개인 일정 등록 및 조회 | 선택 | 이용자가 삭제하거나 계약 종료 시까지 |
| 생년월일 · 성별 · 휴대전화번호 | 법정의무교육(이러닝) 수강 등록 — 교육기관이 필수로 요구하는 항목 | 선택(이러닝 이용 시) | 회사와의 서비스 이용계약 종료 시까지 |
| 모바일 푸시 토큰(Expo · FCM/APNs) 및 앱 설치 식별자 | 결재·근태·공지 알림을 앱으로 발송 | 선택 | SimpleHR 서버는 등록 해제 완료 시 삭제. 공급자 측 식별자는 각 공급자 정책·계약에 따른 기간 |
| 앱 내 임직원 검색어 | 임직원 검색 결과 제공 및 서비스 보안 | 선택 | 요청 처리 및 서비스 접속기록 보존 기간 |
| 서비스 이용기록 · 접속 IP · 접속 일시 | 부정 이용 방지, 보안 사고 대응 | 필수 | 통신비밀보호법에 따른 기간 |
위치정보는 출퇴근 체크 버튼을 누른 그 순간에만 수집하며, 백그라운드에서 이용자의 위치를 추적하지 않습니다. 앱은 “사용 중에만 허용” 권한만 요청하고, 권한을 거부하면 GPS 출퇴근 정책이 적용된 이용자는 해당 체크 기능을 사용할 수 없습니다. 소속 회사가 비위치 방식의 출퇴근 정책을 별도로 제공하는 경우에는 그 방식을 이용할 수 있습니다.
생년월일·성별·휴대전화번호는 법정의무교육(이러닝) 기능을 이용하는 고객사에서만 수집합니다. 이 기능을 사용하지 않으면 수집하지 않습니다.
제2조 (수집하지 않는 정보)
서비스는 다음 정보를 수집하지 않습니다.
- 광고 식별자(ADID) 및 기기 고유 식별자
- 연락처 · 통화기록 · 문자메시지
- 기기 마이크 직접 접근 · 앱 내 음성 녹음(이용자가 파일로 선택해 올린 음성은 조건부 수집)
- 기기 캘린더
- 결제카드 등 서비스 결제수단 정보
- 피트니스 · 운동 정보
- 설치된 앱 목록, 웹 검색 기록
제3조 (개인정보의 제3자 제공)
회사는 원칙적으로 이용자의 개인정보를 제3자에게 제공하지 않습니다. 법령에 특별한 규정이 있거나 수사기관이 적법한 절차에 따라 요구하는 경우에만 예외로 합니다.
법정의무교육 기능은 회사가 운영하는 나야넷 안전보건교육센터에서 처리합니다. 별도 법인에 제공하는 것이 아니며, 이 기능을 사용하지 않는 고객사의 교육 정보는 처리하지 않습니다.
그 밖에 서비스 제공을 위해 개인정보 처리의 일부를 외부에 위탁하는 경우가 있으며, 그 내역은 제4조(개인정보 처리의 위탁 및 국외 이전)에서 안내합니다.
제4조 (개인정보 처리의 위탁 및 국외 이전)
회사는 안정적인 서비스 제공을 위해 개인정보 처리의 일부를 외부에 위탁하고 있으며, 위탁 계약 시 개인정보가 안전하게 관리되도록 관련 사항을 규정하고 이를 감독합니다.
① 국내 위탁
| 수탁자 | 위탁 업무 및 처리 항목 |
|---|---|
| 네이버클라우드 주식회사 | 근무지 지도 표시와 주소·좌표 검색(기능 이용 시 접속 IP, 검색 위치·주소·좌표 처리) |
| 주식회사 카카오 | 우편번호·주소 검색(기능 이용 시 접속 IP와 이용자가 입력한 주소 검색어 처리) |
위 지도·주소 검색은 해당 화면을 실제로 이용할 때에만 브라우저 또는 앱에서 공급자 API로 직접 요청됩니다. 운영 호스팅·메일 발송 등 위탁 계약이 추가되면 시행 전에 이 표에 수탁자와 위탁 업무를 반영합니다.
② 국외 이전 — AI·지식 기능
회사는 AI 모듈이 포함된 고객사의 권한 있는 관리자가 AI 어시스턴트에서 질문·파일 첨부·음성 전사·웹 검색 등 기능을 실제로 사용하는 때에 아래와 같이 개인정보를 국외로 이전합니다. 해당 기능을 사용하지 않으면 이 목적으로 전송하지 않습니다.
가. AI 답변 생성
| 구분 | 내용 |
|---|---|
| 이전받는 자 | Anthropic PBC 및 Anthropic의 공개 하위처리자 |
| 이전 국가 | 미국, 유럽·아시아·호주 내 처리 거점(저장 위치: 미국) |
| 이전 일시 및 방법 | 이용자가 AI 어시스턴트에 질문하거나 파일을 올리는 시점에 정보통신망을 통해 전송 |
| 이전 항목 | 대화 내용, 질문에 답하기 위해 조회된 인사·근태·급여·사내 지식자료 중 관련 내용, 이용자가 첨부한 파일의 내용 |
| 이전 목적 | AI 어시스턴트의 답변 생성 |
| 보유·이용 기간 | Anthropic API의 표준 보존은 수신·생성 후 30일 이내. 다만 Usage Policy 집행, 법적 의무, 별도 계약·기능에 따른 예외가 있을 수 있음 |
나. 관측·음성 전사·웹 검색 보조 처리
| 이전받는 자 | 이전 국가 | 이전 일시·방법 | 이전 항목 | 이전 목적 | 보유·이용 기간 |
|---|---|---|---|---|---|
| Langfuse Cloud 제공 법인(Langfuse GmbH·Finto Technologies Inc. 또는 계약·주문서상 ClickHouse 법인) 및 공개 하위처리자 | 아일랜드(EU 기본 리전). 일부 계정·프로젝트 설정 데이터의 재해복구 백업은 독일이며, 추적 입력·출력과 업로드 미디어는 선택 리전 밖으로 복제하지 않음 | 관측 기능이 설정된 상태에서 AI·지식 기능을 실행할 때 정보통신망으로 전송 | 질문·입력·출력·조회 문맥, 이용자/세션 식별자, 모델·사용량·지연 메타데이터 | AI 요청의 품질·오류·사용량 관측 | 프로젝트에서 설정한 보존 기간 및 공급자 계약의 삭제·회수 기간. 계약 종료·삭제 뒤 백업 보존과 법적 의무에 따른 예외가 있을 수 있음 |
| ElevenLabs (Eleven Labs Inc. 및 계열사) | 미국(저장), 미국·네덜란드·싱가포르(처리·호스팅 가능) | 권한 있는 이용자가 음성 파일의 전사를 요청할 때 정보통신망으로 전송 | 업로드한 음성 파일 원본, 음성에 포함된 개인정보, 전사 결과 | 음성을 텍스트로 변환하고 지식 문서로 편찬, 서비스 운영·보안 및 안전성 확인 | 현재 연동은 기본 기록 모드를 사용하므로 공급자 계정·계약과 개인정보처리방침의 보존 기준에 따름. 공급자 계정/API에서 생성 이력을 삭제하면 데이터베이스에서 제거되나 디버깅·안전성 기록이 남을 수 있고, 백업은 최대 30일 보존될 수 있음 |
| Tavily (AlphaAI Technologies Inc. d/b/a Tavily) | 미국 | 권한 있는 이용자가 AI 지식 기능의 웹 검색을 실행할 때 정보통신망으로 전송 | 이용자가 입력한 검색 질의(질의에 포함된 이름·회사명 등) | 웹 검색 결과 조회, 계약에서 달리 정하지 않은 경우 검색 응답 개선. 자체 색인으로 결과를 찾지 못하면 제3자 검색 색인 제공자에게 질의 일부가 전달될 수 있음 | 공급자 계약·개인정보처리방침에 따라 목적 달성 또는 유효한 삭제 요청 시 삭제·익명화. 법적 의무·보안·분쟁 대응 예외가 있을 수 있음 |
③ 국외 이전 — 모바일 푸시 알림
모바일 앱에서 “알림 받기”를 선택한 이용자에 한하여 아래와 같이 개인정보를 국외로 이전합니다. 이용자는 기기 설정에서 알림 권한을 끄거나 로그아웃하여 수신 해제를 요청할 수 있습니다. 앱은 네이티브 등록과 Expo 자동 갱신을 먼저 끄고, 인증된 로그아웃 때 현재 계정 소유 서버 토큰을 세션과 함께 삭제합니다. 수신 해제는 향후 전송을 중단하는 절차이며, Expo·Google·Apple이 기존 식별자를 즉시 파기하는 것까지 보장하지는 않습니다.
| 구분 | 내용 |
|---|---|
| 이전받는 자 | Expo(650 Industries, Inc.) 및 푸시 전달 사업자(Google LLC, Apple Inc.) |
| 이전 국가 | 미국 |
| 이전 일시 및 방법 | 알림 받기 선택 후 토큰 발급·갱신 시 및 알림 발생 시 정보통신망을 통해 전송 |
| 이전 항목 | Expo·FCM/APNs 푸시 토큰, 앱 설치 식별자, 고정 안내 문구(이름·급여·결재 사유 등 업무 내용은 포함하지 않음) |
| 이전 목적 | 모바일 앱 푸시 알림 발송 |
| 보유·이용 기간 | 고정 안내 문구의 공급자 전달 대기는 최대 24시간. SimpleHR 서버 토큰은 인증된 로그아웃 또는 공급자의 무효 토큰 응답 시 삭제하며, 공급자 측 식별자는 각 공급자 정책·계약에 따름 |
④ 이전 거부
이용자는 개인정보의 국외 이전을 거부할 수 있습니다. AI·지식 기능 이전을 거부하면 AI 답변·음성 전사·웹 검색 등 해당 외부 처리 기능을, 푸시 이전을 거부하면 앱 밖의 푸시 알림을 이용할 수 없습니다. 푸시를 거부해도 인증된 앱 안의 알림함은 계속 이용할 수 있으며, 그 밖의 서비스 이용에는 제한이 없습니다. 거부 방법은 제6조(이용자의 권리와 행사 방법)를 참고하시기 바랍니다.
제5조 (개인정보의 파기)
보유 기간이 지나거나 처리 목적이 달성된 개인정보는 지체 없이 파기합니다. 전자적 파일은 복구할 수 없는 방법으로 삭제하고, 출력물은 분쇄하거나 소각합니다. 다만 관계 법령에 따라 보존해야 하는 정보는 해당 기간 동안 분리하여 보관합니다.
AI 어시스턴트에 업로드한 파일과 대화에 포함된 이미지는 보관 기간이 지나면 자동으로 파기되며, 승인 대기 상태로 남은 작업의 입력 내용은 30일이 지나면 자동으로 삭제됩니다.
제6조 (이용자의 권리와 행사 방법)
이용자는 언제든지 자신의 개인정보에 대한 열람·정정·삭제·처리정지를 요구할 수 있습니다. 업무용 서비스의 특성상 요청은 소속 회사의 인사담당 부서를 통해 접수하는 것을 원칙으로 하며, 아래 문의처로 직접 연락하실 수도 있습니다.
앱에 저장된 로그인 정보는 로그아웃 또는 앱 삭제로 기기에서 제거됩니다.
AI 어시스턴트와 자동화된 처리에 관한 권리
「개인정보 보호법」 제37조의2에 따라 이용자는 아래 권리를 행사할 수 있습니다.
- 국외 이전 거부 — 본인의 개인정보가 AI 어시스턴트 처리를 위해 국외로 이전되는 것을 거부할 수 있습니다.
- 설명 요구 — 자동화된 처리가 관여한 결정에 대해 그 기준과 절차의 설명을 요구할 수 있습니다.
- 사람에 의한 재처리 요구 — 완전히 자동화된 결정이 본인의 권리 또는 의무에 중대한 영향을 미치는 경우, 그 결정을 거부하고 사람이 다시 판단해 줄 것을 요구할 수 있습니다.
위 요청은 서비스 내 [설정 > 자동화된 판단 안내] 화면에서 접수하거나 제9조의 문의처로 연락하실 수 있습니다. 접수일로부터 10일 이내에 처리 결과를 알려드립니다.
재처리 요구가 수용된 경우, 해당 이용자에 대한 자동 판정 결과는 AI 어시스턴트의 답변에 인용되지 않으며 AI 를 통한 자동 처리(정보 변경·급여 기초 일괄 반영 등)의 대상에서도 제외됩니다. 이후 처리는 담당자가 화면에서 직접 확인해 진행합니다. 다만 법령상 보존 의무가 있는 기록과 회사 단위 통계 집계는 그대로 유지됩니다.
제7조 (개인정보의 안전성 확보 조치)
- 서비스와 서버 간 모든 통신은 HTTPS/WSS 로 암호화하여 전송합니다.
- 비밀번호는 복호화할 수 없는 방식으로 저장합니다.
- 로그인 인증 정보는 기기의 보안 저장소(iOS 키체인 / Android Keystore)에 보관합니다.
- 앱 잠금(생체인증) 기능을 제공하여 기기 분실 시의 노출 위험을 줄입니다.
- 개인정보 접근 권한을 업무상 필요한 최소 인원으로 제한하고 접근 기록을 관리합니다.
- AI 어시스턴트에 업로드된 파일의 본문에서 주민등록번호·계좌번호 형태의 정보를 서버가 대부분 자동으로 걸러낸 뒤 전송합니다. 다만 이미지(사진·스캔본) 안의 글자와 변형된 표기는 기술적으로 걸러내지 못할 수 있으므로, 민감정보가 포함된 파일은 업로드를 피해 주시기 바랍니다.
- 모바일 푸시는 고정된 “새 알림” 문구만 전송하고, 이름·급여·결재 사유·자유입력 내용은 인증된 앱 인박스에서만 보이도록 합니다.
- AI 어시스턴트는 회사 관리자 권한과 고객사 모듈 설정으로 접근을 제한하며, 관리자가 질문하거나 파일을 첨부해 실제로 사용할 때만 AI 처리용 정보를 전송합니다.
제8조 (만 14세 미만 아동의 개인정보)
서비스는 기업의 임직원을 대상으로 하며, 만 14세 미만 아동의 개인정보를 수집하지 않습니다.
제9조 (개인정보 보호책임자 및 문의처)
개인정보 처리에 관한 문의, 불만 처리, 피해 구제는 아래로 연락해 주시기 바랍니다.
- 사업자: ㈜나야넷
- 이메일: deviantce@deviantce.com
그 밖에 개인정보 침해에 대한 신고·상담이 필요하시면 개인정보침해신고센터(privacy.kisa.or.kr, 국번없이 118), 대검찰청 사이버수사과(spo.go.kr, 1301), 경찰청 사이버수사국(ecrm.police.go.kr, 182)으로 문의하실 수 있습니다.
제10조 (방침의 변경)
법령이나 서비스 내용의 변경에 따라 이 방침이 수정될 수 있습니다. 회사는 방침을 변경하는 경우 변경 사유와 시행일을 밝혀 시행일 7일 전부터 이 페이지와 서비스 내 공지사항에 게시합니다.
이용자의 권리에 중대한 영향을 주는 변경(수집 항목의 추가, 이용 목적의 변경, 제3자 제공 또는 국외 이전 내역의 추가 등)은 시행일 30일 전부터 게시하고, 고객사에는 전자우편 등 개별 수단을 함께 사용합니다.
종전 방침은 시행일 이후에도 이용자가 확인할 수 있도록 별도 주소에 보존합니다.
제11조 (개정 이력)
| 시행일 | 주요 내용 | 원문 |
|---|---|---|
| 2026년 9월 28일 | 제3조 동일 법인 이러닝 처리 정정 · 제4조 국내 위탁 및 국외 이전(AI 답변·관측·음성 전사·웹 검색·푸시) 공개 · 제6조 설명요구·거부 창구 추가 · 제7조 AI 전송 전 마스킹 명시 · 제10조 공지 절차 명시 | 현재 페이지 |
| 2026년 8월 6일 | 최초 제정 (2026년 8월 17일 제3조·제4조·회사 표기 일부 정정) | 보기 |
공고일: 2026년 8월 28일 · 시행일: 2026년 9월 28일
종전 방침(시행일 2026년 8월 6일): /privacy/2026-08-06
서비스 이용 조건은 서비스 이용약관을 확인해 주시기 바랍니다.