개인정보 처리방침

주식회사 마루워크(이하 "회사")는 마루비즈 서비스(이하 "서비스")를 운영하면서 이용자의 개인정보를 「개인정보 보호법」 등 관계 법령에 따라 처리합니다. 이 방침은 회사가 어떤 개인정보를 왜, 얼마 동안 처리하며, 이용자가 어떤 권리를 가지는지 알려 드립니다.

제1조 회사가 정하는 처리와 회원 회사의 처리

서비스에는 두 종류의 개인정보가 있습니다.

1. 회사가 직접 처리하는 개인정보 — 가입·로그인·결제·고객 문의처럼 회사가 서비스를 제공하려고 받는 정보입니다. 이 방침은 이 정보를 다룹니다.
2. 회원 회사(서비스를 쓰는 기업·단체)가 서비스에 넣는 개인정보 — 직원 인사·급여, 거래처 연락처, 결재·문서·메일·대화 내용 등입니다. 이 정보는 회원 회사가 처리 목적과 방법을 정하는 개인정보처리자이고, 회사는 회원 회사의 위탁을 받아 서비스를 제공하는 수탁자입니다(법 제26조). 이 정보에 관한 열람·정정·삭제 요구는 소속 회사(관리자)에 하시면 됩니다. 회사에 요구하시면 해당 회원 회사에 전달합니다. 회사는 회원 회사의 자료를 서비스 제공 외의 목적으로 쓰지 않고, 회원 회사의 지시 없이 열람하지 않습니다. 장애 조사나 법령상 의무로 꼭 필요한 경우에만 최소한으로 접근하고 그 기록을 남깁니다.

제2조 처리 목적

1. 회원 가입, 본인 확인, 계정 관리(로그인, 비밀번호 찾기, 2단계 인증, 부정 이용 방지)
2. 서비스 제공과 계약 이행(업무 공간·문서·저장 공간·공동 작업·알림 등)
3. 요금 결제와 정산, 크레딧 관리, 세금계산서·영수증 발행
4. 고객 문의·불만 처리, 공지 전달
5. 서비스 안전성 확보(접속 기록 보관, 보안 사고 대응)
6. (선택 동의한 경우) 새 기능·행사 안내 등 광고성 정보 전송

회사는 위 목적 외의 용도로 개인정보를 처리하지 않으며, 목적이 바뀌면 미리 알리고 필요한 동의를 받습니다.

제3조 처리하는 개인정보 항목

회사는 주민등록번호를 회원 가입이나 본인 확인에 받지 않습니다. 회원 회사가 급여·원천징수 등 법령상 업무로 직원의 주민등록번호를 서비스에 넣는 경우 그 정보는 제1조 2호의 위탁 정보이며 암호화해 저장합니다.

제4조 처리·보유 기간

1. 개인정보는 회원 탈퇴 시까지 보유합니다. 탈퇴를 요청하면 30일 유예 기간 뒤 처리하며, 유예 기간 중에는 로그인해 요청을 취소할 수 있습니다.
2. 탈퇴를 처리하면 계정은 다른 사람이 알아볼 수 없게 바꾸고(이름은 '탈퇴한 사용자'로 표시), 개인 업무 공간의 자료는 지웁니다. 회원 회사 업무 공간에 남긴 기록은 그 회원 회사의 자료로 남습니다.
3. 탈퇴한 아이디와 개인 업무 공간 주소(영문명)는 다른 사람이 같은 이름으로 옛 기록의 주인처럼 보이지 않도록 다시 쓸 수 없게 막습니다. 이를 위해 원래 값이 아닌 되돌릴 수 없는 변환 값(해시)만 보관합니다.
4. 관계 법령이 보존을 정한 정보는 이용자를 바로 알아볼 수 있는 정보를 지운 채 따로 보관하고 기간이 지나면 파기합니다.

1. AI 비서 대화 백업: AI 비서에서 묻고 답한 글과 첨부한 그림·파일 원본은 장애·분쟁 대응과 기록 보존을 위해 회사의 사내 파일서버(인터넷에 공개하지 않는 사설 저장소)에 몇 분 안에 백업합니다. 대화를 지우거나 보존 기간이 지나 화면에서 지워져도 이 백업본은 지우지 않고 1년 동안 보관합니다. 백업 안의 자료는 장애·분쟁 대응과 법령에 따른 요청 외에는 꺼내 쓰지 않습니다.

제5조 파기 절차와 방법

1. 보유 기간이 끝나거나 처리 목적을 이룬 개인정보는 지체 없이(늦어도 5일 안에) 파기합니다.
2. 전자 파일은 복구할 수 없는 방법으로 지우고, 백업본은 보관 주기(매일 백업 90일, 매월 백업 5년)가 지나면 함께 사라집니다(제4조 5항의 AI 비서 대화 백업은 그 항에서 정한 기간 동안 보관합니다). 백업은 장애·재해 복구에만 쓰며 백업 안의 자료를 따로 꺼내 쓰지 않습니다. 종이 문서는 분쇄하거나 소각합니다.
3. 법령에 따라 보존하는 정보는 다른 정보와 분리해 보관하며 보존 목적 외로 쓰지 않습니다.

제6조 제3자 제공

회사는 이용자의 개인정보를 제2조의 목적 범위에서만 처리하며, 이용자의 동의나 법률의 특별한 규정이 있는 경우를 빼고는 제3자에게 제공하지 않습니다.

이용자가 직접 연결한 외부 서비스(구글·마이크로소프트·노션 캘린더, 모하노, SNS 계정 등)와 주고받는 정보는 이용자의 요청에 따른 것으로, 이용자가 연결을 끊으면 더 이상 주고받지 않습니다. SNS에 올리는 글·그림은 이용자가 고른 SNS 계정으로 이용자의 지시에 따라 보내집니다.

제7조 처리 위탁

• AI 기능에 보내는 글은 주민등록번호·카드 번호·계좌 번호·비밀번호 등을 먼저 가린 뒤 보냅니다. 회사는 AI 공급사가 이 글을 모델 학습에 쓰지 않는 조건(API 이용 조건)으로 이용합니다.
• 회원 회사나 이용자가 자기 AI 키를 등록해 쓰는 경우, 그 AI 공급사와의 관계는 회원 회사·이용자의 계약입니다.
• 마루비즈 제공 AI 사용이 승인된 회사는 AI 비서의 글 요청을 외부 공급사(Claude Sonnet 5.5 · Anthropic)가 먼저 처리합니다. 이때도 위와 같이 가린 뒤 보내며, 외부 공급사를 쓸 수 없으면 기본 AI(모아녹스)가 처리합니다. 어느 공급사가 처리하는지는 AI 비서 화면에 표시합니다. 승인하지 않은 회사는 그대로 모아녹스만 씁니다.
• 회원 회사가 '국외 이전 금지' 를 켜면(관리 › AI 설정) 그 회사의 AI 요청은 국외 공급사로 보내지 않고 기본 AI(모아녹스)가 처리합니다. 회사·이용자가 직접 고른 AI가 있으면 그 선택이 먼저입니다.
• 회사는 위탁 계약에 개인정보 보호 의무(목적 외 처리 금지, 안전성 확보, 재위탁 제한, 관리·감독, 손해배상)를 정하고 수탁자를 감독합니다. 수탁자나 업무가 바뀌면 이 방침으로 알립니다.

제8조 국외 이전

서비스의 서버와 저장소는 국내(AWS 서울 리전)에 있습니다. 아래 두 가지만 서비스 제공(계약 이행)에 필요한 범위에서 국외에서 처리합니다(법 제28조의8 ① 3호 — 처리방침 공개로 알림). AI 기능과 웹 푸시를 쓰지 않으면 국외로 이전되는 개인정보가 없습니다.

이전을 원하지 않으시면 회사 관리자가 '국외 이전 금지' 를 켜거나(그 회사의 AI 요청은 국내의 모아녹스만 처리합니다) AI 기능·웹 푸시를 끄시면 되고, 그래도 서비스의 나머지 기능은 그대로 쓰실 수 있습니다. 마루비즈 제공 AI 사용을 승인하지 않은 회사는 AI 비서 글이 국외로 나가지 않습니다.

수탁자 개인정보 문의 창구: Anthropic(https://www.anthropic.com/legal/privacy), OpenAI(https://openai.com/policies/privacy-policy)

제9조 이용자의 권리와 행사 방법

1. 이용자는 언제든지 개인정보 열람·정정·삭제·처리정지, 동의 철회를 요구할 수 있습니다.
2. 대부분은 서비스 안에서 직접 할 수 있습니다.
   • 내 정보: 이름·사진·휴대전화·비밀번호 확인과 수정
   • 내 정보 › 약관 동의: 동의 이력 확인, 광고성 정보 수신 동의 철회
   • 내 정보 › 계정 탈퇴: 탈퇴 요청과 취소
3. 그 밖의 요구는 제13조의 담당자에게 서면·이메일로 하시면 10일 안에 답합니다. 대리인(법정대리인·위임받은 사람)을 통해서도 할 수 있으며, 이때는 위임장을 내야 합니다.
4. 법령에 따라 보관해야 하는 정보(제4조 표)는 삭제를 요구하셔도 그 기간 동안 보관하며, 그 이유를 알려 드립니다.
5. 회원 회사가 발급한 계정과 회원 회사 자료(제1조 2호)는 소속 회사의 관리자에게 요구하시면 됩니다.

제10조 안전성 확보 조치

1. 관리적 조치: 내부 관리계획 수립, 운영자 권한 등급 구분(최고 관리자 지정은 두 사람 승인), 개인정보 취급자 교육
2. 기술적 조치: 비밀번호 단방향 암호화(bcrypt), 2단계 인증 비밀값·외부 연결 토큰·고유식별정보 암호화 저장, 전 구간 암호화 통신(HTTPS), 회사 간 자료 격리, 접근 권한 관리, 접속 기록 1년 보관과 위·변조 방지, 인증 시도 횟수 제한, 회사별 접속 IP 제한(선택)
3. 회원 회사를 위한 조치: 회사 보안 정책(외부 공유·내려받기 통제, 문서 보안 등급, 퇴사자 접근 차단), 화면의 개인정보 가림 설정
4. 물리적 조치: 서버는 클라우드 사업자(AWS)의 출입 통제된 국내(서울 리전) 데이터센터에서 운영

제11조 자동으로 수집하는 장치

1. 서비스는 로그인 상태 유지와 화면 설정(테마·마지막으로 연 화면 등)을 위해 브라우저 저장소(로컬 저장소·쿠키)를 씁니다.
2. 회사는 광고 목적의 행태정보를 수집하지 않으며, 외부 광고·분석 도구를 쓰지 않습니다.
3. 브라우저 설정에서 저장소를 지울 수 있으며, 지우면 다시 로그인해야 합니다.

제12조 AI와 자동화된 결정

1. 회사는 이용자의 개인정보를 AI 모델 개발·학습에 쓰지 않습니다. 회원이 만든 자료와 서비스 이용 기록은 개인을 알아볼 수 있는 정보를 지우거나 가린 뒤 회사 자체 AI(모아녹스)의 학습에 이용하며(가입 때 'AI 학습 이용 동의'), 학습에 쓰지 않는 정보의 목록은 서비스 이용약관 제9조의2에 따릅니다. AI 학습 이용에 동의한 이용자의 경우, AI 기능에 넣은 글과 그 글에 자체 AI(모아녹스)가 따로 만들어 본 답도 같은 가림 처리를 거쳐 자체 AI의 학습 자료가 됩니다(동의하지 않은 이용자의 글은 모으지 않습니다). 외부 AI 공급사가 만든 답은 남기지도, 학습에 쓰지도 않습니다. 동의를 철회하면 그때까지 모은 원문을 지우고 학습 자료에서 뺍니다.

1-의2. 업무 노트(근무·출장일지) 에 적은 글도 제1항의 '회원이 만든 자료' 에 들어갑니다 — 개인정보를 가린 뒤 그 회사 전용 AI 학습 자료로 쓰며, 다른 회사의 모델에는 섞지 않습니다. 가리는 항목은 제7조와 같고(주민등록번호·외국인등록번호·여권번호·카드번호·계좌번호·휴대폰 번호·비밀번호·인증번호·이메일), 글쓴이는 이름·아이디·사번 대신 회사 안에서만 뜻이 있는 번호로 바꿉니다(소속 부서는 남습니다). 학습 자료를 내보내는 일은 그 회사의 관리자만 할 수 있고, 언제·누가·몇 건을 냈는지 기록으로 남습니다. 업무 노트 화면에도 이 사실을 적어 둡니다.

1. 기본 AI(모아녹스)는 회사가 운영하는 서버 안에서 처리하며 외부로 보내지 않습니다. 다만 마루비즈 제공 AI 사용을 승인한 회사에서는 AI 비서의 글 요청을 외부 공급사(Claude Sonnet 5.5 · Anthropic)가 먼저 처리합니다 — 보내기 전에 제7조의 가림 처리를 거치고, 어느 공급사가 처리하는지 AI 비서 화면에 표시합니다. 외부 공급사를 쓸 수 없으면(승인 없음·출처 순서·크레딧 상한·국외 이전 금지 등) 모아녹스가 그대로 처리합니다. 국외로 내보내지 않으려면 회사 관리자가 '국외 이전 금지' 를 켜십시오 — 그 회사의 AI 요청은 모아녹스만 처리합니다. 그림·음성처럼 모아녹스가 못 하는 기능은 그 회사에서 꺼집니다.
2. 서비스의 AI 기능은 이용자가 요청할 때만 동작하며, 결과는 이용자가 확인한 뒤 반영됩니다. 회사는 이용자에게 법적 효력이나 중대한 영향을 미치는 결정을 AI만으로 내리지 않습니다(법 제37조의2).

제13조 개인정보 보호책임자

• 개인정보 보호책임자: 박하나 (대표이사)
• 연락처: support@maruwork.com (이메일), 02-2093-3135 (전화)

제14조 권익 침해 구제

개인정보 침해에 관한 상담이나 분쟁 해결이 필요하면 아래 기관에 문의하실 수 있습니다.

• 개인정보분쟁조정위원회: 1833-6972, www.kopico.go.kr
• 개인정보침해신고센터(한국인터넷진흥원): 국번 없이 118, privacy.kisa.or.kr
• 대검찰청: 국번 없이 1301, www.spo.go.kr
• 경찰청: 국번 없이 182, ecrm.police.go.kr

제15조 아동의 개인정보

서비스는 만 14세 미만 아동의 가입을 받지 않습니다.

제16조 처리방침의 변경

이 방침은 2026년 11월 3일부터 시행합니다. 내용을 바꾸면 시행 7일 전(이용자 권리에 중요한 변경은 30일 전)부터 서비스 공지로 알리며, 지난 방침은 서비스에서 계속 볼 수 있게 둡니다.