개인정보 처리방침

주식회사 수완홀딩스(이하 "회사")는 「개인정보 보호법」 등 관계 법령을 준수하며, 정보주체의 개인정보를 보호하고 관련 고충을 신속히 처리하기 위하여 다음과 같이 개인정보 처리방침을 수립·공개합니다.

본 방침은 회사가 제공하는 사업장 운영관리 서비스 "EO"(https://eo.ai.kr, 이하 "서비스")에 적용됩니다.

제1조 (회사의 지위)

서비스에서 처리되는 개인정보는 성격에 따라 처리자가 다릅니다.

① "나"에 해당하는 정보에 관한 열람·정정·삭제 요구는 소속 사업장(고객사)에 하셔야 합니다. 회사는 고객사의 지시에 따라 처리하며, 정보주체의 권리 행사에 협력합니다.
② 회사는 서비스 제공 목적을 벗어나 "나"의 정보를 이용하지 않으며, 고객사의 지시 없이 제3자에게 제공하지 않습니다.

제2조 (처리하는 개인정보의 항목)

2-1. 이용자 계정 (회사가 처리자)

소셜 로그인 시 회사가 받는 정보는 위 항목이 전부입니다. 각 서비스의 동의 화면에 표시된 항목 외에는 수집하지 않으며, 이용자는 해당 서비스의 설정에서 언제든 연결을 해제할 수 있습니다.
구글 계정으로 로그인하는 경우, 이용자가 별도로 허용한 범위에서 구글 드라이브의 파일 중 서비스가 생성하였거나 이용자가 선택한 파일에만 접근합니다. 이용자의 드라이브 전체를 조회하지 않습니다.

2-2. 고객사가 입력하는 직원 정보 (고객사가 처리자 · 회사는 수탁자)

주민등록번호·계좌번호는 암호화하여 별도 저장소에 보관되며, 화면에는 마스킹되어 표시됩니다. (상세 — 제7조 안전성 확보조치)
환자 관련 정보에 대하여: 회사는 진료기록을 보관·열람하지 아니하며, 고객사가 기공물 의뢰 등 업무를 처리하기 위하여 입력한 범위에서만 저장·처리합니다. 이 정보의 개인정보 처리자는 고객사(의료기관) 이며, 수집·이용에 관한 동의의 확보는 고객사의 책임입니다.

2-3. 만 14세 미만 아동

회사는 만 14세 미만 아동의 가입을 받지 않습니다. 서비스는 사업장의 업무용 도구로서 근로 가능 연령의 이용을 전제합니다.

제3조 (개인정보의 처리 목적)

1. 회원 가입·식별·인증 및 서비스 이용 자격 확인
2. 서비스 제공 — 인사·근태·연차·급여·일정·회계 등 사업장 운영관리 기능
3. 고객 지원 — 문의 응대, 공지 전달, 장애 안내
4. 법령상 의무 이행 — 근로기준법상 기록 보존, 소득세법상 원천징수, 4대보험 신고 등
5. 서비스 운영·보안 — 부정 이용 방지, 접속 관리, 장애 대응, 통계 분석

회사는 위 목적 외의 용도로 개인정보를 이용하지 않으며, 광고·마케팅 목적으로 이용자의 개인정보를 이용하거나 제3자에게 제공하지 않습니다.

제4조 (개인정보의 보유 및 이용 기간)

법령에 따른 보존 — 보존의무자의 구분

위 표의 첫 두 항목에 대한 보존의무는 사용자인 고객사에 있으며, 회사에 있지 않습니다. 회사는 수탁자로서 계약 종료 후 30일 이내에 해당 정보를 파기하므로, 고객사는 그 기간 안에 자신의 법정 보존의무 이행에 필요한 자료를 반출하여야 합니다.
회사가 5년간 보존하는 것은 회사와 고객사 사이의 거래 증빙에 한정되며, 여기에는 고객사 임직원의 개인정보가 포함되지 않습니다.

보유기간이 지난 개인정보는 지체 없이 파기합니다. 전자적 파일은 복구할 수 없는 방법으로, 출력물은 분쇄 또는 소각합니다.
백업본에 포함된 개인정보는 운영 시스템에서 파기한 후 백업 보관주기(7일)가 지나면 소멸하며, 그 기간 동안 해당 백업본은 복구 목적 외에 이용하지 않습니다.

제5조 (개인정보의 제3자 제공)

회사는 이용자의 개인정보를 제3자에게 제공하지 않습니다. 다만 다음의 경우는 예외로 합니다.

1. 정보주체로부터 별도의 동의를 받은 경우
2. 법령에 특별한 규정이 있는 경우
3. 수사기관이 법령이 정한 절차와 방법에 따라 요구하는 경우

처리위탁(제6조)은 제3자 제공이 아닙니다. 회사의 업무 수행을 위한 것으로, 수탁자는 회사의 지시 범위에서만 처리합니다.

제6조 (개인정보 처리의 위탁 및 국외 이전)

6-1. 국내외 수탁자 현황

6-2. 국외 이전에 관한 사항

「개인정보 보호법」 제28조의8에 따라 국외 이전에 관한 사항을 다음과 같이 공개합니다.

Supabase·Vercel의 경우 데이터의 물리적 저장과 처리는 대한민국 내(서울 리전)에서 이루어집니다. 다만 각 사업자가 미국 법인으로서 장애 대응·기술 지원 과정에서 국외에서 접근할 수 있으므로, 이를 국외 이전에 준하여 공개합니다.
이용자는 국외 이전을 거부할 수 있으나, 거부하는 경우 서비스 이용이 제한될 수 있습니다.

제7조 (개인정보의 안전성 확보조치)

7-1. 관리적 조치

• 개인정보 취급자 최소화 및 권한 관리
• 사업장 단위 접근 권한 분리 — 한 사업장의 이용자는 다른 사업장의 데이터에 접근할 수 없습니다
• 역할 기반 권한 통제 — 직원 본인, 관리자, 경영자의 열람 범위를 구분

7-2. 기술적 조치

• 전송구간 암호화 — 모든 통신에 HTTPS(TLS) 적용
• 고유식별정보·금융정보의 별도 암호화 보관 — 주민등록번호·계좌번호는 AES-256 암호화하여 별도 저장소에 보관하며, 암호화 키는 클라우드 키 관리 서비스를 이용하여 분리 관리합니다. 화면에는 마스킹되어 표시되며, 평문 조회는 급여 이체·법정 신고 등 정해진 목적에 한하여 이루어지고 그 조회 사실이 기록됩니다.
• 비밀번호 단방향 암호화 저장 — 회사도 원문을 알 수 없습니다
• 저장 데이터의 디스크 암호화

7-3. 물리적 조치

• 클라우드 사업자(AWS 서울 리전)의 데이터센터 물리적 접근통제

제8조 (정보주체와 법정대리인의 권리·의무 및 행사 방법)

① 정보주체는 회사에 대하여 언제든지 개인정보 열람·정정·삭제·처리정지를 요구할 수 있습니다.
② 권리 행사는 제10조의 연락처로 서면·전화·전자우편을 통하여 하실 수 있으며, 회사는 10일 이내에 조치하고 그 결과를 알려드립니다.
③ 정보주체가 개인정보의 오류에 대한 정정을 요청한 경우, 회사는 정정을 완료하기 전까지 해당 개인정보를 이용하지 않습니다.
④ 회사는 권리 행사를 한 자가 본인이거나 정당한 대리인인지 확인합니다.
⑤ 소속 사업장(고객사)이 처리자인 정보(제1조 "나")에 대한 권리 행사는 소속 사업장에 하셔야 합니다. 회사에 요청하신 경우 회사는 이를 소속 사업장에 전달하고 처리에 협력합니다.

회원 탈퇴: 서비스 내 설정에서 탈퇴할 수 있으며, 탈퇴 시 계정정보는 제4조에 따라 파기됩니다. 다만 소속 사업장의 인사·근로 기록은 사업장이 법령에 따라 보존할 수 있습니다.

제9조 (개인정보의 파기)

① 회사는 보유기간이 경과하거나 처리 목적이 달성된 경우 지체 없이(사유 발생일로부터 5일 이내) 개인정보를 파기합니다.
② 파기 방법 — 전자적 파일: 복구·재생이 불가능한 방법으로 영구 삭제 / 출력물: 분쇄 또는 소각
③ 법령에 따라 보존하는 경우 다른 개인정보와 분리하여 저장·관리합니다.

제10조 (개인정보 보호책임자 및 열람청구 접수 부서)

위 연락처는 개인정보 관련 문의·열람청구 접수 창구입니다. 외부 구제기관은 제11조를 참고하십시오.

제11조 (권익침해 구제 방법)

개인정보 침해로 인한 신고·상담이 필요하신 경우 아래 기관에 문의하실 수 있습니다.

• 개인정보 침해신고센터 — privacy.kisa.or.kr / (국번없이) 118
• 개인정보 분쟁조정위원회 — kopico.go.kr / 1833-6972
• 대검찰청 사이버수사과 — spo.go.kr / (국번없이) 1301
• 경찰청 사이버수사국 — ecrm.police.go.kr / (국번없이) 182

또한 개인정보보호법 제35조·제36조·제37조에 따른 요구에 대하여 공공기관의 처분에 이의가 있는 경우 행정심판법에 따라 행정심판을 청구할 수 있습니다.

제12조 (개인정보 처리방침의 변경)

① 본 방침은 2026년 9월 1일부터 적용됩니다.
② 법령·정책 또는 서비스의 변경에 따라 내용이 추가·삭제·수정되는 경우, 변경사항의 시행 7일 전부터 서비스 내 공지사항을 통하여 알려드립니다.
③ 이용자의 권리에 중대한 영향을 미치는 변경의 경우 시행 30일 전에 공지하며, 필요한 경우 재동의를 받습니다.

버전 이력