개인정보처리방침
빅로드(이하 "회사")는 「개인정보 보호법」 제30조에 따라 정보주체의 개인정보를 보호하고 이와 관련한 고충을 신속하고 원활하게 처리하기 위하여 다음과 같이 개인정보처리방침을 수립·공개합니다.
이 방침은 회사가 제공하는 근태·급여·계약 관리 서비스 "알바하루"(이하 "서비스")에 적용됩니다. 서비스에는 두 종류의 정보주체가 있습니다. 서비스에 가입하여 사업체를 운영하는 **이용자(사업주)**와, 이용자가 근태·급여 관리를 위해 등록하는 근로자입니다. 근로자 정보는 이용자가 수집·입력하고 회사는 이용자의 위탁을 받아 처리합니다(제6조).
제1조 (개인정보의 처리 목적)
회사는 다음 목적을 위하여 개인정보를 처리합니다. 처리하는 개인정보는 다음 목적 이외의 용도로는 이용되지 않으며, 이용 목적이 변경되는 경우에는 「개인정보 보호법」 제18조에 따라 별도의 동의를 받는 등 필요한 조치를 이행합니다.
- 회원 가입과 관리: 가입 의사 확인, 이용자 식별·인증, 계정 유지·관리, 부정 이용 방지, 각종 고지·통지
- 서비스 제공: 사업장·직원 관리, 출퇴근 기록, 근로시간·주휴수당·급여 계산, 임금명세서 발행·발송, 근로계약서 전자서명
- 요금 결제: 이용요금 자동결제, 결제 내역 관리, 영수증 발송, 결제 실패 안내, 환불 처리
- 고충 처리: 문의·불만 접수와 처리 결과 통지
- 서비스 개선과 보안: 접속 기록 분석을 통한 장애 대응, 보안 사고 예방과 대응
제2조 (처리하는 개인정보의 항목)
| 구분 | 항목 | 수집 방법 |
|---|---|---|
| 이용자 계정 | 이메일(로그인 아이디), 비밀번호(해시로만 저장), 대표자 이름, 연락처 | 가입·사업체 등록 화면 |
| 사업체·사업장 | 사업체명, 업종, 사업자등록번호(선택), 주소, 사업장명·주소, 지급 사업자 정보 | 사업체 설정·사업장 관리 화면 |
| 결제 | 카드사명, 마스킹된 카드번호, 카드 종류(신용/체크)·소유자 구분(개인/법인), 결제대행업체가 발급한 결제용 식별자(빌링키, 암호화 저장), 결제 내역(주문번호·금액·일시·영수증 URL) | 결제대행업체(토스페이먼츠) 카드 등록창 · 결제 승인 응답 |
| 근로자(위탁 처리) | 이름, 생년월일·주민등록번호(암호화 저장), 연락처, 이메일, 은행·계좌번호·예금주(암호화 저장), 근무 계약(요일·시간·시급·수당), 출퇴근 기록(일시·사업장·기록 방법·접속망 구분), 출퇴근 기기 식별 쿠키, 근로계약서·임금명세서와 전자서명 이미지, 이용자가 업로드한 문서(보건증 등), PIN(해시로만 저장) | 이용자의 입력 · 근로자의 폰 등록·전자서명 화면 |
| 자동 수집 | 접속 IP, 브라우저·기기 정보, 접속 일시, 요청 기록, 쿠키(제10조) | 서비스 이용 과정에서 자동 생성 |
회사는 이용자의 카드번호 원문·유효기간·CVC 를 수집하지 않습니다. 이 정보는 결제대행업체의 카드 등록창에서 결제대행업체에 직접 전달됩니다.
제3조 (개인정보의 처리 및 보유 기간)
회사는 법령에 따른 보유·이용 기간 또는 정보주체로부터 동의받은 기간 내에서 개인정보를 처리·보유합니다.
| 구분 | 보유 기간 | 근거 |
|---|---|---|
| 이용자 계정·사업체 정보 | 사업체 폐쇄(탈퇴) 후 30일까지(복구 유예), 이후 삭제 | 이용자 동의 |
| 결제 기록(주문·승인·취소 내역) | 5년 | 전자상거래 등에서의 소비자보호에 관한 법률 |
| 소비자 불만·분쟁 처리 기록 | 3년 | 전자상거래 등에서의 소비자보호에 관한 법률 |
| 근로계약서·임금대장(임금명세서)·근태 기록 | 근로자 퇴직 후 3년(퇴직일과 마지막 임금 기록일 중 늦은 날부터 — 이용자가 늘리면 그 기간, 최대 10년) | 근로기준법 제42조, 같은 법 시행령 제22조 |
| 근로자 인적정보 중 위 기록 보존에 필요하지 않은 항목 | 이용자의 삭제 요청 또는 사업체 폐쇄 유예기간 종료 시 삭제 | 이용자(위탁자)의 지시 |
| 접속 기록(IP·일시·요청) | 1년 | 개인정보 보호법 시행령 제30조 (개인정보의 안전성 확보조치 기준) |
| 로그인 세션·기기 등록 정보 | 세션 만료(최대 90일) 또는 기기 해제 시 삭제 | 이용자 동의 |
제4조 (개인정보의 제3자 제공)
회사는 정보주체의 개인정보를 제1조의 목적 범위에서만 처리하며, 정보주체의 동의나 법령의 특별한 규정 등 「개인정보 보호법」 제17조·제18조에 해당하는 경우에만 제3자에게 제공합니다. 현재 회사가 개인정보를 정기적으로 제공하는 제3자는 없습니다.
제5조 (개인정보 처리의 위탁)
회사는 원활한 서비스 제공을 위해 다음과 같이 개인정보 처리 업무를 위탁하고 있습니다.
| 수탁자 | 위탁 업무 | 보유·이용 기간 |
|---|---|---|
| 토스페이먼츠 주식회사 | 이용요금 결제대행, 카드 등록·자동결제 처리, 매출전표(영수증) 발행 | 위탁 계약 종료 또는 결제수단 삭제 시까지 |
| Cloudflare, Inc. | 네트워크 보안·전송(터널·DNS) | 전송 중 처리(저장하지 않음) |
| Cloudflare, Inc. | 임금명세서·영수증·계약서 서명 링크·비밀번호 재설정 등 이메일 발송, 문의 메일 수신 전달 | 발송 완료 후 발송 기록 보존 기간까지 |
| Backblaze, Inc. | 암호화한 데이터베이스 백업 파일 보관(B2 Cloud Storage) | 백업일부터 90일 |
| 브라우저 푸시 서비스(Google, Apple, Mozilla 등 이용자 브라우저 제공사) | 웹푸시 알림 전달 | 푸시 구독 해제 시까지 |
회사는 위탁계약 체결 시 「개인정보 보호법」 제26조에 따라 위탁 업무 수행 목적 외 개인정보 처리 금지, 기술적·관리적 보호조치, 재위탁 제한, 수탁자에 대한 관리·감독, 손해배상 등 책임에 관한 사항을 계약서 등 문서에 명시하고, 수탁자가 개인정보를 안전하게 처리하는지를 감독합니다. 수탁자가 변경되는 경우 이 방침을 통해 공개합니다.
제6조 (근로자 정보의 처리 — 위탁자와 수탁자)
- 근로자의 개인정보는 이용자(사업주)가 근로기준법 등에 따른 근태·임금 관리를 위해 수집하며, 그 처리에 관한 책임(개인정보처리자)은 이용자에게 있습니다. 회사는 이용자의 위탁을 받아 근로자 정보를 저장·계산·표시·발송하는 수탁자입니다.
- 회사는 근로자 정보를 이용자의 근태·급여·계약 관리 목적 이외로 이용하거나 제3자에게 제공하지 않으며, 이용자의 지시에 따라서만 처리합니다.
- 근로자는 자신의 정보에 대한 열람·정정·삭제를 소속 사업체의 이용자에게 요구할 수 있으며, 이용자가 응대하기 어려운 경우 제9조의 연락처로 회사에 요청하면 회사는 이용자와 협의하여 지체 없이 조치합니다.
- 근로자의 출퇴근 폰 등록, 근로계약서 전자서명, 임금명세서 수신은 근로자 본인이 이메일 링크와 PIN 으로 확인한 뒤 진행됩니다. 회사는 근로자에게 서비스 이용을 위한 계정을 만들지 않으며, 근로자 개인 화면을 별도로 제공하지 않습니다.
- 회사는 만 14세 미만 아동의 개인정보를 처리하지 않습니다. 이용자는 만 18세 미만 근로자를 등록하는 경우 관련 법령에 따른 절차(법정대리인 동의 등)를 갖추어야 합니다.
제7조 (개인정보의 파기 절차와 방법)
- 회사는 보유 기간이 지나거나 처리 목적이 달성된 개인정보를 지체 없이 파기합니다.
- 법령에 따라 보존해야 하는 정보는 별도의 데이터베이스(테이블)로 옮기거나 접근을 제한하여 보관하고, 보존 기간이 지나면 파기합니다.
- 근로자 기록의 보존 기간이 끝나면 이름·연락처·주민등록번호·계좌·주소·이메일·계약서와 증명서 본문·서명·업로드 파일·메모를 지우고, 이름은 "퇴사자 1"처럼 바꿉니다. 이용자의 급여 합계가 달라지지 않도록 근무 시각과 금액만 누구인지 알아볼 수 없는 상태로 남깁니다. 회사는 보존 기간이 끝나기 30일 전에 이용자에게 알립니다.
- 전자적 파일은 복구·재생할 수 없는 방법으로 삭제하며, 백업본은 백업 보존 주기(최대 90일)가 지나면 함께 삭제됩니다. 출력물은 분쇄하거나 소각합니다.
제8조 (정보주체와 법정대리인의 권리·의무와 행사 방법)
- 정보주체는 회사에 대해 언제든지 개인정보 열람·정정·삭제·처리정지를 요구할 수 있습니다.
- 권리 행사는 서비스 화면(계정 및 보안·사업체 설정의 데이터 내보내기·사업체 폐쇄) 또는 제9조의 연락처로 서면·이메일을 통해 할 수 있으며, 회사는 지체 없이 조치합니다.
- 권리 행사는 정보주체의 법정대리인이나 위임을 받은 사람을 통해서도 할 수 있습니다. 이 경우 「개인정보 처리 방법에 관한 고시」 별지 제11호 서식에 따른 위임장을 제출해야 합니다.
- 열람·처리정지 요구는 「개인정보 보호법」 제35조 제4항, 제37조 제2항에 의하여 제한될 수 있으며, 다른 법령에서 수집 대상으로 명시된 개인정보의 삭제는 요구할 수 없습니다.
- 회사는 정보주체의 요구가 정당한 대리인의 요구인지를 확인합니다.
제9조 (개인정보 보호책임자)
회사는 개인정보 처리에 관한 업무를 총괄하고 정보주체의 불만 처리와 피해 구제를 위해 다음과 같이 개인정보 보호책임자를 지정합니다.
- 개인정보 보호책임자: 정대로 (대표)
- 연락처: [email protected] · 070-8080-4280
정보주체는 서비스 이용 중 발생한 개인정보 관련 문의·불만·피해 구제를 위 연락처로 문의할 수 있으며, 회사는 지체 없이 답변하고 처리합니다.
제10조 (쿠키 등 자동 수집 장치)
서비스는 로그인 유지와 출퇴근 기기 식별을 위해 다음 쿠키를 사용합니다. 광고·행태 추적 목적의 쿠키나 외부 분석 도구는 사용하지 않습니다.
| 이름 | 목적 | 보유 기간 |
|---|---|---|
| albaharu_admin | 이용자 로그인 세션 유지 | 마지막 사용 후 30일(최대 90일) |
| albaharu_device | 근로자 출퇴근 폰 등록 식별 | 기기 해제 시까지 |
| albaharu_signup | 가입 중 결제 진행 상태 유지 | 25분 |
| albaharu_verify | 이메일 인증 코드를 요청한 브라우저 확인(가입·로그인 이메일 변경) | 45분 |
| albaharu-theme (브라우저 저장소) | 화면 테마(밝게/어둡게) 기억 | 이용자가 지울 때까지 |
브라우저 설정에서 쿠키 저장을 거부할 수 있으나, 이 경우 로그인·출퇴근 기록 기능이 동작하지 않을 수 있습니다.
제11조 (개인정보의 안전성 확보 조치)
회사는 「개인정보 보호법」 제29조에 따라 다음과 같은 조치를 취하고 있습니다.
- 암호화: 주민등록번호·계좌번호는 AES-256-GCM 으로 암호화하여 저장하고 화면에는 마스킹하여 표시합니다. 원문 열람은 사업주 계정에서만 가능하며 열람 기록을 남깁니다. 비밀번호·PIN 은 복호화할 수 없는 해시(argon2)로 저장하며, 결제용 식별자(빌링키)는 암호화하여 저장합니다.
- 접근 통제: 사업체 간 데이터는 데이터베이스 행 단위 격리(Row Level Security)로 분리되어 다른 사업체의 데이터에 접근할 수 없습니다. 운영자 접근은 별도 계정과 2단계 인증으로 제한하고 작업 기록을 남깁니다.
- 전송 구간 암호화: 모든 통신은 HTTPS 로 암호화합니다.
- 접속 기록 보관과 위·변조 방지: 접속 기록과 근태 기록의 수정·무효화·마감 확정 이력은 사유와 함께 보관합니다.
- 백업과 복구: 데이터베이스를 매일 백업하고, 백업 파일은 회사만 가진 키로 암호화하여 보관하며, 정기적으로 복원을 점검합니다.
- 세션 관리: 이용자는 로그인된 기기 목록을 확인하고 원격으로 로그아웃할 수 있으며, 세션은 일정 기간 미사용 시 만료됩니다.
제12조 (개인정보의 국외 이전)
회사는 서비스 서버와 데이터베이스를 국내에서 직접 운영합니다. 다만 서비스 제공(계약 이행)에 필요한 다음 업무는 국외 사업자에게 맡기며, 「개인정보 보호법」 제28조의8 제1항 제3호에 따라 다음 사항을 공개합니다.
- Cloudflare, Inc. (연락처 [email protected])
- 이전 국가: 미국 및 이용자와 가까운 Cloudflare 데이터센터 소재 국가
- 이전 항목: 접속 정보(IP 주소·요청 기록)와 서비스 이용 중 주고받는 정보, 이메일 받는 사람의 주소·이름과 메일 본문·첨부(임금명세서·계약서 사본 등), 문의 메일
- 이전 시기와 방법: 서비스에 접속하거나 메일을 보내고 받을 때마다 네트워크로 전송
- 이용 목적: 네트워크 보안·전송, 이메일 발송, 문의 메일 수신 전달
- 보유·이용 기간: 접속 정보는 전송 중에만 처리(저장하지 않음), 이메일은 발송 완료 후 발송 기록 보존 기간까지
- Backblaze, Inc. (연락처 [email protected])
- 이전 국가: 미국 등 Backblaze 데이터센터 소재 국가
- 이전 항목: 데이터베이스 백업 파일(회사만 가진 키로 암호화하여 Backblaze 는 내용을 볼 수 없음)
- 이전 시기와 방법: 매일 백업 후 네트워크로 전송(B2 Cloud Storage)
- 이용 목적: 백업 보관(장애·재해 복구)
- 보유·이용 기간: 백업일부터 90일
위 이전은 서비스 제공에 꼭 필요하여 이전만 따로 거부할 수는 없습니다. 이전을 원하지 않으면 사업체 폐쇄(탈퇴)로 서비스 이용을 중단할 수 있으며, 이 경우 서비스를 더 이용할 수 없습니다.
제13조 (권익침해 구제 방법)
정보주체는 개인정보 침해에 대한 신고나 상담이 필요한 경우 다음 기관에 문의할 수 있습니다.
- 개인정보 침해신고센터(한국인터넷진흥원): (국번 없이) 118 · privacy.kisa.or.kr
- 개인정보 분쟁조정위원회: (국번 없이) 1833-6972 · www.kopico.go.kr
- 대검찰청 사이버수사과: (국번 없이) 1301 · www.spo.go.kr
- 경찰청 사이버수사국: (국번 없이) 182 · ecrm.police.go.kr
제14조 (개인정보처리방침의 변경)
- 이 방침은 2026년 10월 9일부터 적용됩니다.
- 방침을 변경하는 경우 시행 7일 전(정보주체의 권리에 중요한 변경은 30일 전)에 홈페이지와 서비스 안내 화면에 공지하며, 이전 방침은 아래에서 확인할 수 있습니다.
- 이전 방침: 없음(최초 제정)