개인정보처리방침

수프림은 고등학교 수학 학습 지원 웹 서비스입니다. 학교마다 독립된 Supabase 프로젝트(데이터베이스)를 사용하며, 학생·교사의 개인정보는 그 학교가 소유한 프로젝트에만 저장됩니다.

제공자는 각 학교 데이터베이스에 대한 관리자 권한(service_role key)을 보유하지 않으며, 익명 키와 행 수준 보안(RLS)을 통해서만 접근할 수 있습니다. 계정 생성·비밀번호 초기화 등 민감한 기능도 학교가 자체 보관한 키로 그 학교의 데이터베이스 안에서만 수행되며, 제공자의 중앙 서버를 거치지 않습니다.

중앙 서버(제공자 운영)는 학교 접속 경로 연결에 필요한 최소한의 운영 정보(학교 코드, 학교명, 최종 접속 일시)만 별도로 관리하며, 학생 개인의 학습 데이터에는 접근하지 않습니다. 본 방침은 학교별 데이터베이스에 저장되는 이용자 개인정보와, 중앙 서버가 처리하는 최소한의 운영 정보를 모두 대상으로 합니다.

본 서비스는 고등학생(만 15세 이상)만을 이용 대상으로 하며, 만 14세 미만 아동은 서비스를 이용할 수 없습니다. 이를 위한 구체적인 절차와 구조적 조치는 제8조에서 안내합니다.

수프림은 「개인정보 보호법」 제15조 제1항 제4호(계약 체결·이행)에 따라 서비스 제공에 필요한 최소한의 개인정보만 수집합니다.

주민등록번호 등 민감정보 및 위 항목 외의 개인정보는 수집하지 않습니다. 제1조에서 설명한 학교 코드·학교명· 최종 접속 일시는 특정 개인을 식별하지 않는 학교 단위 운영 정보로 개인정보에 해당하지 않아 위 표에는 포함하지 않았습니다.

닉네임은 이용자가 자유롭게 정하는 항목으로, 실명 등 필요 이상의 정보를 입력하지 않도록 권장합니다. 이용자가 닉네임 등 자유 입력란에 스스로 입력한 정보에 대해서는 제공자가 사전에 통제할 수 없습니다.

자동 수집 항목(쿠키): 로그인 상태 유지를 위해 학교 접속 정보·역할 정보가 담긴 쿠키를 사용합니다. 이는 로그인 기능 자체에 필수적인 쿠키로 이름 등 이용자를 특정하는 개인정보를 담지 않으며, 브라우저 설정에서 쿠키 저장을 거부할 경우 로그인이 유지되지 않아 서비스 이용이 제한될 수 있습니다.

제공자는 위 항목을 다음 목적으로만 처리하며, 목적이 변경되는 경우 사전에 동의를 받습니다.

• 학습 현황 분석, 레벨 산정, 코인 보상, 학습 교류 관리, 출결 확인 (학생)
• 계정 인증, 학급 관리, 학생 지도 (교사·관리자)
• 서비스 운영 안정성 확보와 오류 대응

제공자는 위 목적에 필요한 최소한의 정보만 수집합니다.

• 보유 기간이 지나거나 처리 목적이 달성되면 지체 없이 파기합니다. (「개인정보 보호법」 제21조)
• 파기 방법: 전자적 파일은 복구할 수 없는 방법으로 영구 삭제하며, 출력물이 있는 경우 분쇄 또는 소각합니다.
• 관련 법령에 의해 보존 의무가 있는 경우 해당 기간 동안 보관 후 파기합니다.

서비스는 이용자의 개인정보를 제3자에게 제공하지 않습니다. 다만, 이용자의 별도 동의가 있거나 법령에 의한 경우는 예외입니다. (「개인정보 보호법」 제17조)

서비스는 원활한 운영을 위해 아래 업체에 개인정보 처리를 위탁하고 있습니다. (「개인정보 보호법」 제26조)

이용자는 언제든지 아래 권리를 행사할 수 있습니다. (「개인정보 보호법」 제35조~제38조)

• 개인정보 열람 요청
• 개인정보 정정·삭제 요청
• 개인정보 처리 정지 요청
• 동의 철회

행사 방법: 아래 개인정보 보호책임자에게 이메일로 요청하시면 10일 이내에 처리합니다. 정보주체 본인 또는 정당한 대리인의 신원을 확인한 뒤 처리하며, 학생의 경우 담당 교사를 통해 요청할 수 있습니다.

온라인 직접 수정: 서비스 내 [내 정보] 메뉴에서 닉네임 등 일부 정보를 직접 수정할 수 있습니다.

본 서비스는 고등학생(만 15세 이상)만을 이용 대상으로 하며, 만 14세 미만 아동은 서비스를 이용할 수 없습니다. 학생은 스스로 회원가입을 할 수 없고, 학교 관리자(교사)가 계정을 개별 생성하는 방식으로만 이용자가 됩니다. 이를 뒷받침하는 구조적 조치는 다음과 같습니다.

1. 학교 단위 개별 심사: 신규 학교는 공개 가입이 아니라 제공자가 해당 학교를 확인한 뒤 개별적으로 접속 코드를 발급하는 방식으로만 서비스를 시작할 수 있습니다. 불특정 다수가 임의로 학교를 등록하거나 계정을 만들 수 있는 경로는 없습니다.
2. 법정대리인 동의 확인 절차:학생 계정은 9자리 학번 형식으로 생성되며, 학번에 포함된 학년 값이 고등학교 범위(1~3학년)를 벗어나는 경우(예: 내부 테스트 계정), 시스템은 계정 생성 전에 "만 14세 미만 학생이 아니거나, 법정대리인 동의를 받았음"을 관리자가 명시적으로 확인하도록 요구합니다. 이 확인 없이는 계정이 생성되지 않습니다. 개별 등록과 엑셀 일괄 등록 모두 이 절차를 거칩니다.
3. 공개 회원가입 경로 없음: 학생이 직접 가입할 수 있는 화면은 존재하지 않으며, 계정은 오직 학교 관리자가 학번을 입력하거나 명단 파일을 업로드하는 방식으로만 생성됩니다.

한계 고지: 학번의 학년 값은 학교가 자체적으로 부여한 값으로, 제공자가 학생의 실제 생년월일을 직접 확인하는 수단은 아닙니다. 학교(교육기관)는 서비스 도입 전 재학 증빙이 되는 고등학생만을 등록해야 하며, 학생·학부모에게 서비스 이용 사실을 고지할 의무가 있습니다. 제공자는 학교로부터 위와 같은 사실을 전제로 서비스를 제공하며, 만 14세 미만 아동의 개인정보 처리가 확인되는 경우 해당 계정의 이용을 즉시 제한하고 관련 정보를 파기합니다. (「개인정보 보호법」 제22조의2)

수프림은 「개인정보 보호법」 제29조 및 시행령 제30조에 따라 다음의 안전조치를 취하고 있습니다.

• 기술적 조치: 비밀번호 암호화 저장(bcrypt), HTTPS 암호화 통신, 역할 기반 접근 제어(RLS)로 타인 데이터 접근 차단
• 서버 접근 권한 최소화: 학교별 학생 데이터는 각 학교가 소유한 별도의 Supabase 프로젝트에 저장되며, 서비스 제공자는 관리자 권한(service_role)을 보유하지 않고 익명 키와 행 수준 보안(RLS)을 통해서만 데이터에 접근합니다. 계정 생성·비밀번호 초기화 등 민감 기능도 학교가 자체 보관한 키를 사용하는 서버 함수로만 수행됩니다.
• 관리적 조치: 서비스 계정과 관리자 계정 분리 운영, 최소 권한 원칙 적용
• 물리적 조치: 클라우드 인프라(Supabase, Vercel)의 물리적 보안에 의존하며, 별도의 자체 서버는 운영하지 않습니다.

개인정보 관련 문의, 불만 처리, 권리 행사 요청은 아래로 연락해 주세요.

기타 개인정보 침해에 대한 신고·상담은 아래 기관에 문의할 수 있습니다.

• 개인정보분쟁조정위원회: 1833-6972 (privacy.go.kr)
• 개인정보침해신고센터: 118 (privacy.kisa.or.kr)
• 대검찰청 사이버수사과: 1301 (spo.go.kr)
• 경찰청 사이버수사국: 182 (ecrm.cyber.go.kr)

본 방침이 변경되는 경우 서비스 공지 또는 이메일을 통해 변경 7일 전 고지합니다. 이용자 권리에 중요한 변경이 있을 경우 30일 전에 고지합니다.