개인정보 처리방침

• 계정 데이터: 이메일, 이름, 비밀번호 해시(Supabase Auth가 처리하며 평문으로는 절대 저장되지 않음), 업로드한 경우 프로필 사진.
• 스튜디오 데이터: 스튜디오 이름, 선택 사항인 로고, 선택 사항인 Interac e-Transfer 이메일, 결제를 받는 데 사용하는 선택 사항인 보안 질문/답변.
• 학생 데이터: 선생님이 입력하는 성명, 선호하는 이름, 선택 사항인 생년월일, 악기, 실력 수준, 레슨비, 학부모 연락처. 성년 미만의 학생은 직접 계정을 만들지 않습니다 — 아래 아동의 데이터를 참고하세요.
• 레슨 + 과제 데이터: 예정된 시간, 출석, 레슨 노트, 과제, 연주회 곡 배정, 시험 준비도 관리.
• 업로드한 파일: 연습 오디오 녹음, 동영상 녹화, 악보 PDF, 사진. Supabase Storage에 저장 시 암호화되며, 행 수준 보안(row-level security) 정책으로 학생별로 접근이 제한됩니다.
• 결제 메타데이터: 청구 금액, 결제 방법(Interac, 현금 등), 확인 메모. 신용카드 번호는 저장하지 않습니다. Stripe가 연동된 경우 카드 데이터는 Stripe로 직접 전달되며 저희 서버를 전혀 거치지 않습니다.
• 커뮤니케이션 데이터: 앱 안에서 선생님과 가족이 주고받은 메시지.
• 캘린더 데이터(Google Calendar를 연결한 경우): 승인한 특정 캘린더의 일정을 읽고 씁니다. 레슨 일정 범위 밖의 일정은 읽지 않으며, 캘린더를 다른 누구와도 절대 공유하지 않습니다.
• 기술 데이터: 보안 및 디버깅을 위해 보관하는 서버 측 요청 로그(IP 주소, 사용자 에이전트, 타임스탬프).

• 광고 식별자, IDFA, 추적 픽셀을 사용하지 않습니다.광고를 타기팅하지 않습니다. 제3자 광고 SDK를 포함하지 않습니다.
• 위치 데이터를 수집하지 않습니다.
• 연락처, 방문 기록, 다른 앱의 데이터를 수집하지 않습니다.
• 생체 데이터를 수집하지 않습니다. Face ID / Touch ID를 켜는 경우 iOS 키체인이 처리하며 기기 밖으로 절대 나가지 않습니다.

서비스를 제공하기 위해 다음과 같이 이용합니다.

• 본인 인증 및 로그인 세션 유지.
• 행 수준 보안으로 스튜디오별 범위를 제한하여, 선생님에게 학생의 데이터를, 학생 측에 선생님의 데이터를 표시.
• 해당 학생을 담당하는 선생님에게 연습 녹음 전달.
• 청구서 생성 및 결제 기록.
• 거래 관련 메시지(레슨 알림, 청구 안내, 연주회 공지) 발송 — 반드시 선생님의 스튜디오에 등록된 사람에게만.
• 서버 로그를 이용한 서비스 문제 진단.

음악을 배우는 학생은 13세 미만인 경우가 많습니다. 저희는 아동의 데이터를 신중하게 다룹니다.

• 아동이 직접 계정을 만들 수 없습니다. 성인(선생님 또는 부모/보호자)만 가입할 수 있습니다.
• 학생 기록은 선생님 또는 부모가 아동을 대신하여 만듭니다. 앱의 학생 측 화면에 접근하는 로그인은 부모 또는 보호자의 계정입니다.
• 부모/보호자는 언제든지 설정 → 계정에서 자녀의 데이터를 확인, 내보내기 또는 삭제할 수 있습니다.
• 요청받은 교육 서비스를 제공하는 것 이외의 목적으로 아동의 데이터를 고의로 사용하지 않습니다.

• Supabase(Postgres 데이터베이스, 인증, 파일 저장소). 미국과 EU에 데이터 센터가 있습니다. 사용자 기반에 가장 가까운 리전을 선택하며, 스튜디오 데이터가 어느 리전에 저장되어 있는지는 [email protected]로 이메일을 보내 문의할 수 있습니다.
• Google Calendar API(선택 사항, 연결한 경우에만). 필요한 최소 범위( calendar.events )만 사용합니다. 설정 → Google Calendar에서 언제든지 연결을 해제할 수 있으며, 그러면 저희는 접근 권한을 철회하고 저장된 갱신 토큰(refresh token)을 삭제합니다.
• Fly.io(또는 저희가 선택한 호스팅 제공업체) — 웹 애플리케이션용. 앱의 HTML을 제공하고 서버 측 코드를 실행합니다. 서버 로그에만 접근할 수 있습니다.
• Apple App Store — iOS 앱 배포 및 (인앱 구매를 출시하는 경우) 결제 처리를 담당합니다.
• Stripe — 선생님이 (Stripe Connect Express를 통해) Stripe 계정을 연결하면 카드 결제를 처리합니다. 돈은 가족과 선생님 사이에서 직접 오가며, 저희는 돈을 다루거나 카드 번호를 보는 일이 전혀 없습니다. Stripe의 결제 절차를 거치는 데이터에는 Stripe 자체의 개인정보 처리방침이 적용됩니다.
• Resend — 앱에서 가족에게 보내는 거래 관련 청구서 이메일을 전송합니다. 이메일 주소, 제목, 본문만 전송합니다. 관련 없는 데이터는 절대 공유하지 않습니다.

모든 수탁 처리업체의 통합 목록은 데이터 처리 부속서에 있습니다. 쿠키 관련 고지는 쿠키 + 추적 고지에 있습니다.

저희는 개인정보를 어떤 제3자에게도 판매, 대여 또는 교환하지 않습니다. 학생 데이터를 해당 학생이 속한 스튜디오 외부의 누구와도 공유하지 않습니다.

계정이 활성 상태인 동안 데이터를 보관합니다. 계정을 삭제하면(설정 → 계정 → 계정 삭제) 저희는 다음을 수행합니다.

• 다른 스튜디오 구성원이 즉시 데이터에 접근할 수 없도록 합니다.
• 인증 사용자, 프로필, 레슨 노트, 연습 녹음 업로드, 악보 첨부 파일, 연주회 곡, 시험, 청구서, 메시지를 30일 이내에 삭제합니다.
• 캐나다 법률에 따라 세금 및 감사 목적으로 익명화된 집계 청구 기록을 최대 7년간 보관합니다.

이용자는 다음과 같은 권리가 있습니다.

• 데이터 열람 — 설정 → 계정에서 내보내기.
• 부정확한 데이터 정정 — 프로필, 학생, 청구서 편집.
• 데이터 삭제 — 설정 → 계정 → 계정 삭제.
• 선택적 데이터 이용에 대한 동의 철회.
• 처리에 대한 반대 또는 처리 제한.
• 데이터 이동성 — 기계 판독 가능한 형식의 내보내기 요청.
• 개인정보 감독 기관에 민원 제기. 브리티시컬럼비아주에서는 Office of the Information and Privacy Commissioner for BC(BC주 정보·개인정보 감독관실)입니다. EU 거주자는 자국의 감독 기관에 민원을 제기할 수 있습니다. 캘리포니아 거주자는 CCPA / CPRA에 따라 개인정보 ‘판매’를 거부할 권리를 포함한 추가 권리를 가집니다(저희는 판매하지 않습니다).

저희는 최신 보안 관행을 따릅니다. 모든 트래픽에 TLS 1.2 이상, bcrypt를 이용한 비밀번호 해싱(Supabase Auth가 처리), 모든 데이터베이스 읽기를 요청한 사용자로 범위를 제한하는 행 수준 보안 정책, 저장소 객체 접근을 위한 서명된 URL, 모든 제3자 연동에 필요한 최소한의 OAuth 범위를 사용합니다. 100% 안전한 시스템은 없습니다. 데이터에 영향을 미치는 침해가 발생하면 관련 법률이 요구하는 대로 72시간 이내에 알려 드립니다.

데이터는 미국을 포함하여 거주 국가 이외의 국가에서 처리될 수 있습니다. 캐나다 또는 EU 밖으로 데이터를 이전할 때는 표준 계약 조항(SCC) 또는 법적으로 인정되는 기타 이전 메커니즘에 근거합니다.

이 방침은 수시로 업데이트될 수 있습니다. 업데이트할 때는 상단의 ‘최종 업데이트’ 날짜를 변경하고, 중요한 변경의 경우 앱 안에서 알려 드립니다. 업데이트 후에도 서비스를 계속 이용하면 이에 동의한 것으로 간주됩니다.

질문, 요청 또는 불만 사항이 있으신가요? [email protected]로 이메일을 보내 주세요. 영업일 기준 7일 이내에 답변하는 것을 목표로 합니다.

Note & Key · Langley, British Columbia, Canada