개인정보처리방침

학생용 · 보호자용 공통 | 공고일: 2026년 10월 31일 | 시행일: 2026년 11월 30일

(주)애쉬우드프렌즈(이하 “회사”)는 「개인정보 보호법」에 따라 Focus Bloom 학생용·보호자용 앱과 웹 서비스(이하 “서비스”)에서 개인정보를 어떻게 처리하는지, 이용자가 어떤 권리를 어떻게 행사할 수 있는지 알려 드립니다.

1. 처리하는 개인정보 항목과 목적

회사는 서비스 제공에 필요한 최소한의 정보만 처리하며, 아래 목적 외의 용도로 쓰지 않습니다. 목적이 바뀌면 법령에 따라 미리 알리고 필요한 동의를 받습니다.

학생 앱은 가입 전에 생년월일을 물어 만 14세 미만인지 확인합니다. 만 14세 미만이면 혼자 가입할 수 없고 보호자에게 로그인 코드를 받도록 안내하며, 이때 입력한 생년월일은 저장하지 않습니다. 비밀번호는 원문이 아닌 복원할 수 없는 형태(해시값)로만 저장합니다.

Google·Apple 로그인: Google 또는 Apple 계정으로 로그인하면 회사는 해당 서비스가 발급한 로그인 증명만 받아 확인하며, 그 계정의 비밀번호나 연락처·사진 같은 다른 정보는 받지 않습니다. 같은 이메일로 이미 가입한 계정이 있으면 그 계정에 연결합니다. 탈퇴하면 계정 식별값과 토큰을 파기하고, Apple로 로그인한 계정은 Apple에 로그인 연결 해제를 요청합니다.

카메라 집중 확인: 학생이 집중 타이머나 집중력 체크에서 직접 켤 때만 카메라를 씁니다. 카메라 영상은 학생 기기 안에서만 분석합니다. 집중 타이머에서는 얼굴이 카메라 앞에 있는지만 확인하고, 1분 집중력 체크에서는 얼굴이 화면을 향하고 있는지와 눈을 오래 감고 있지 않은지를 확인합니다. 영상·사진과 얼굴의 특징점 같은 분석 중간값은 저장하거나 회사 서버를 포함한 어디로도 보내지 않습니다. 분석에 쓰는 프로그램과 모델은 앱 안에 들어 있어 외부에서 내려받지 않습니다. 회사 서버에는 위 표의 숫자 결과만 저장합니다. 카메라가 켜져 있는 동안에는 화면에 미리보기와 「카메라 켜짐」 표시가 나타나고, 일시정지·종료하거나 화면을 떠나면 카메라가 꺼집니다. 만 14세 미만 자녀는 보호자가 보호자 앱에서 「카메라 집중 확인 허용」을 켠 경우에만 쓸 수 있으며, 보호자는 언제든 허용을 끌 수 있습니다. 카메라를 쓰지 않아도 다른 기능은 그대로 쓸 수 있습니다.

위치 정보: 위치 권한은 날씨를 보여 줄 때만 쓰며, 거부하면 서울 날씨를 보여 줍니다. 서버는 받은 좌표를 다시 소수점 첫째 자리(약 10km 단위)로 줄여 날씨를 조회하고, 조회 결과를 서버 메모리에 30분 동안만 둡니다. 위치를 데이터베이스에 저장하거나 계정과 연결해 보관하지 않습니다. 다만 서버 접속 기록에 요청 주소가 남을 수 있으며, 접속 기록은 제3항의 기간 동안만 보관합니다.

수면 기록: 현재 버전에서는 수면 기록을 수집하지 않습니다. 수면 기록 연동은 2단계 버전에서 제공할 예정이며, 도입하기 전에 이 방침을 고치고 앱에서 알립니다. 도입 후에도 학생 기기에서 건강 데이터 권한을 허용한 경우에만 동작하고, 수면 외의 건강 데이터는 읽지 않습니다.

푸시 알림: 현재 알림은 앱 안의 알림 목록과 기기 자체 알림(로컬 알림)으로 제공하며, 로컬 알림은 기기 안에서만 처리됩니다. 원격 푸시 알림을 도입하면 기기의 푸시 토큰과 기기 종류(iOS·Android·웹)를 알림 발송 목적으로 처리하며, 도입 전에 이 방침을 고칩니다.

결제: 현재 플러스 결제는 판매하지 않습니다. 앱 마켓(App Store·Google Play) 결제를 도입하면 결제 수단 정보는 각 마켓이 처리하고, 회사는 구독 상태 확인에 필요한 거래 식별값과 구독 기간만 받습니다. 도입 전에 항목을 이 방침에 반영합니다.

고객 문의는 계약 이행을 위해 필요한 범위에서 「개인정보 보호법」 제15조 제1항 제4호에 따라 처리합니다. 문의에는 주민등록번호, 비밀번호, 결제수단 전체 번호, 진단서 등을 보내지 마세요.

플러스 웹 결제: 웹사이트에서 플러스를 구독하면 결제자(보호자가 만든 자녀 계정은 보호자, 직접 가입한 학생은 본인)의 이름·이메일·휴대폰 번호, 카드번호 끝 4자리, KG이니시스가 발급한 자동결제용 빌링키, 결제 주기와 주문번호, 결제·환불 기록을 정기결제, 결제 내역 안내, 환불·분쟁 처리에 씁니다. 카드 전체 번호와 비밀번호는 회사가 받지 않습니다.

2. 민감정보

회사는 「개인정보 보호법」 제23조의 민감정보(사상·신념, 건강, 성생활, 유전정보, 범죄경력 등)를 수집하지 않습니다. 보호자 체크인의 복약 여부·정서 상태와 수면 기록은 생활 습관을 스스로 살펴보기 위한 관찰 기록이며, 진단명이나 치료 내역, 처방 정보는 받지 않습니다. 카메라 집중 확인은 얼굴 영상을 기기 안에서만 잠깐 분석하고 저장하지 않으며, 특정 개인을 알아보는 데 쓰지 않으므로 생체인식정보를 수집하지 않습니다.

체크인 메모에는 진단명, 치료 내역처럼 민감한 내용을 적지 말아 주세요. 관찰 기록은 체크인 저장, 주간 리포트와 브리핑 작성에만 쓰고 광고나 마케팅에는 쓰지 않습니다.

서비스의 점수와 관찰은 기록을 돕는 참고 자료이며, 의료적 진단이나 치료 판단에 쓰이지 않습니다.

3. 보유 기간과 파기

다른 법령에 따라 보관해야 하는 정보는 다른 정보와 분리해 그 목적으로만 보관합니다. 전자상거래법에 따라 소비자 불만·분쟁 처리 기록은 3년, 플러스 결제의 계약·청약철회 기록과 대금 결제·재화 공급 기록은 각 5년 보관합니다. 자동결제용 빌링키는 구독이 끝나거나 탈퇴하면 바로 삭제합니다.

전자 파일은 복구할 수 없는 방법으로 삭제하고, 종이 문서가 있으면 분쇄합니다. 회원 탈퇴는 비밀번호를 다시 확인한 뒤 바로 처리하며, 그 계정의 기록, 알림, 플러스 이용 정보, 공유 링크가 함께 삭제됩니다. 보호자가 탈퇴하면 그 보호자가 만든 자녀 계정과 기록도 모두 삭제되고, 이미 보낸 공유 링크도 더는 열리지 않습니다.

4. 제3자 제공

회사는 이용자의 개인정보를 제1항의 목적 범위에서만 처리하며, 이용자의 동의나 법률의 특별한 규정이 없으면 제3자에게 제공하지 않습니다.

보호자와 자녀 사이의 데이터 동기화: 보호자가 만든 자녀 계정은 처음부터 그 보호자와 연결됩니다. 보호자가 플러스를 이용하는 동안에는 자녀의 집중·호흡·물주기·수면 기록과 마지막 활동 시각이 보호자 앱에 보입니다. 둘 다 플러스가 아니면 이 기록은 자녀 계정에만 남고 보호자에게 보이지 않습니다. 보호자와 자녀는 각자 앱에서 언제든 연동을 해제할 수 있으며, 어느 한쪽이라도 해제하면 플러스 여부와 관계없이 자녀 기기의 기록이 보호자에게 보이지 않습니다. 해제한 쪽만 다시 연동할 수 있고, 해제·재연동 사실은 상대방에게 알림으로 알립니다. 만 14세 이상 학생이 직접 가입한 계정은 보호자와 연결되지 않습니다.

보호자가 직접 하는 공유: 보호자는 브리핑을 상담 전문가 등에게 보안 링크나 PDF 파일로 공유할 수 있습니다. 공유되는 내용은 자녀의 이름과 학년, 보호자가 고른 기간(1·2·4주)의 수면·복약·정서·집중·자리 지킴·마음 세션 요약과 주별 추이, 집중 세션 완료율, 과제 난이도와 체크인 메모, 호전·주의 관찰, 보호자가 고른 질문입니다. 자녀 기기에서 온 기록은 연동 중일 때만 담깁니다. 링크는 보호자가 정한 기간이 지나거나 취소하면 열리지 않습니다. PDF는 보호자 기기의 공유 기능으로 보호자가 직접 보내며, 보낸 뒤에는 회사가 회수할 수 없습니다. 공유는 보호자의 선택으로 이루어지므로 받는 사람과 범위를 신중히 정해 주세요.

5. 처리 위탁과 국외 이전

회사는 서비스 운영을 위해 아래와 같이 개인정보 처리 업무를 맡기고 있습니다. 위탁 계약에서 목적 외 처리 금지, 안전성 확보조치, 재위탁 제한, 관리·감독, 손해배상 책임을 정하고 있습니다.

날씨 정보 조회: 날씨는 회사가 직접 운영하는 날씨 서버(오픈소스 Open-Meteo 기반)에서 조회하므로, 날씨 조회를 위해 외부에 개인정보를 제공하거나 맡기지 않습니다. 날씨 서버에는 약 10km 단위로 줄인 좌표만 전달되며 계정·기기 정보는 전달되지 않습니다.

국외 이전: 서비스 서버와 데이터베이스, 백업은 모두 대한민국(AWS 서울 리전)에 있습니다. 다만 고객 문의 메일은 Gmail로 받기 때문에, 문의를 보내면 아래와 같이 국외에 보관됩니다. 메일로 문의하지 않으면 국외 이전은 일어나지 않습니다.

국외 이전을 원하지 않으면 메일 대신 다른 연락 수단을 알려 주시거나 문의하지 않을 수 있으며, 이 경우에도 서비스 이용에는 제한이 없습니다.

6. 만 14세 미만 아동의 개인정보

만 14세 미만 자녀의 계정은 보호자 앱에서 보호자만 만들 수 있습니다. 보호자는 계정을 만들 때 「개인정보 보호법」 제22조의2에 따라 법정대리인으로서 자녀의 개인정보 수집·이용에 동의해야 하며, 회사는 동의 시각을 기록합니다. 회사는 「개인정보 보호법 시행령」 제17조의2에 따라, 동의 내용을 게재한 화면에서 보호자가 직접 동의 표시를 하는 방법으로 동의를 받습니다. 자녀 계정은 이메일·비밀번호로 로그인한 보호자 본인 계정에서만 만들 수 있고, 회사는 동의한 보호자 계정과 동의 시각을 함께 기록합니다. 동의에는 보호자 계정 정보 외의 추가 정보를 받지 않습니다.

자녀는 보호자가 발급한 8자리 1회용 로그인 코드(24시간 유효)로 학생 앱에 로그인하며, 자녀 이메일·비밀번호·생년월일은 받지 않습니다. 새 코드를 발급해도 기존 로그인은 유지되며, 자녀가 새 코드로 로그인에 성공하면 이전에 로그인한 기기는 로그아웃됩니다. 보호자는 보호자 앱에서 언제든 자녀 계정과 그 기록 전체를 삭제할 수 있습니다.

아동에게 알리는 내용은 학생 앱에서 쉬운 말로 안내하도록 노력합니다.

7. 이용자와 법정대리인의 권리와 행사 방법

이용자는 언제든 자신의 개인정보 열람, 정정·삭제, 처리정지, 동의 철회를 요구할 수 있습니다. 만 14세 미만 자녀의 권리는 법정대리인인 보호자가 행사할 수 있습니다.

• 보호자 앱: 체크인·자녀 정보 확인과 수정, 공유 중인 링크 확인·취소, 내 데이터 내려받기(JSON 파일, 보호자와 자녀의 모든 기록 포함, 비밀번호와 인증 정보는 제외), 자녀 계정 삭제, 회원 탈퇴
• 학생 앱(만 14세 이상 본인 가입): 마이에서 기록 확인, 회원 탈퇴. 기록 파일 내려받기는 아래 연락처로 요청해 주세요.
• 보호자가 만든 자녀 계정: 자녀 계정 삭제는 보호자 앱에서 합니다. 자녀 본인의 요청은 아래 연락처로도 받을 수 있습니다.
• 로그아웃: 로그아웃하면 그 계정으로 발급된 로그인 정보가 모두 무효가 되어 다른 기기에서도 다시 로그인해야 합니다. 로그아웃은 기록을 삭제하지 않습니다.

앱에서 할 수 없는 요청은 제11항의 연락처로 보내 주세요. 본인 또는 정당한 대리인인지 확인한 뒤 10일 이내에 처리 결과를 알립니다. 법령상 제한이 있어 요청을 따를 수 없으면 그 이유와 이의 제기 방법을 알립니다.

8. 개인정보의 안전성 확보조치

• 비밀번호: argon2 방식으로 해시하여 저장하며 원문은 저장하지 않습니다.
• 로그인 코드와 공유 링크: 원문 대신 해시값만 저장합니다. 공유 링크 주소는 만들 때 한 번만 보여 주며, 추측할 수 없는 값으로 만듭니다.
• 로그인 상태: 접근 토큰은 30분, 갱신 토큰은 30일 동안 유효합니다. 로그아웃하거나 자녀가 새 로그인 코드로 로그인에 성공하면 그 계정의 기존 토큰을 모두 무효로 합니다. 코드 발급이나 코드 로그인 실패만으로는 기존 토큰을 무효로 하지 않습니다.
• 무차별 대입 방지: 로그인·가입·코드 입력 시도가 짧은 시간에 많으면 잠시 막습니다. 이를 위해 접속 IP 주소와 시도 횟수를 서버 메모리에 5분 동안만 두며 데이터베이스에 저장하지 않습니다.
• 접근 통제: 보호자는 자신이 만든 자녀의 기록만 볼 수 있고, 다른 계정의 기록에 대한 요청은 거부합니다. 공유 페이지는 검색에 노출되지 않도록 설정하고 브라우저에 캐시하지 않습니다.
• 전송 구간: 운영 환경의 앱과 서버 사이 통신은 HTTPS로 암호화합니다.
• 저장 데이터 암호화: 데이터베이스와 백업은 AWS의 저장 암호화(AES-256)를 적용해 보관합니다.
• 관리적 조치: 내부 관리계획을 세워 시행하고 연 1회 이상 점검합니다. 개인정보에 접근할 수 있는 담당자를 최소한으로 정하고 개인정보 보호 교육을 합니다.
• 접근 기록 보관: 담당자가 개인정보 처리 시스템에 접속한 기록을 1년 이상 보관하고 정기적으로 점검합니다.

9. 자동으로 수집하는 장치와 행태정보

앱과 웹은 로그인 상태와 설정을 유지하기 위해 기기 저장소(iOS UserDefaults, Android SharedPreferences, 웹 로컬 저장소)를 사용합니다. 계정 없이 쓰는 시연 모드에서는 활동·체크인 기록도 기기 저장소에만 저장되며 회사로 보내지 않습니다. 이 저장값은 앱 삭제나 브라우저의 사이트 데이터 삭제로 지울 수 있습니다.

현재 서비스에는 광고 SDK, 행동 분석·추적 도구가 없으며 광고 식별자를 수집하지 않고 맞춤형 광고를 하지 않습니다. 광고를 도입하면 수집 항목과 거부 방법을 이 방침에 먼저 반영합니다.

주간 리포트의 호전·주의 관찰은 정해진 규칙으로 자동 작성되는 참고용 요약입니다. 이용자의 권리나 의무에 중대한 영향을 미치는 자동화된 결정에는 해당하지 않습니다.

10. 가명정보

회사는 현재 가명정보를 처리하지 않습니다.

11. 개인정보 보호책임자와 문의처

회사: (주)애쉬우드프렌즈
개인정보 보호책임자: 김현석 (대표자)
이메일: ashwoodfriends@ashwoodfriends.com
전화: 010-3642-6155
주소: 서울특별시 구로구 디지털로31길 53, 306호

열람·정정·삭제·처리정지 요청과 개인정보 관련 문의는 위 연락처로 보내 주세요.

12. 권익침해 구제

개인정보 침해에 대한 신고나 상담이 필요하면 아래 기관에 문의할 수 있습니다.

• 개인정보침해 신고센터 (국번 없이 118)
• 개인정보분쟁조정위원회 (1833-6972)
• 대검찰청 (국번 없이 1301), 경찰청 (국번 없이 182)

13. 처리방침의 변경

이 방침을 바꾸면 변경 내용, 이유, 시행일을 이 페이지와 앱 안내로 알립니다. 시행 7일 전부터 알리고, 수집 항목이나 목적이 늘어나거나 제3자 제공이 생기는 등 중요한 변경은 30일 전부터 알립니다. 별도 동의가 필요한 변경은 알리는 것만으로 대신하지 않습니다.