개인정보처리방침
케비엇은 재무제표를 분석하는 서비스입니다. 올리신 재무제표는 원본 그대로 보관합니다 — 자세한 것은 3항에 적었습니다. 이 방침은 그 밖에 어떤 정보를 언제 받아 무엇에 쓰는지를 적은 것입니다. 시행일 2026-10-01.
1. 이 방침이 서는 기준
케비엇은 유럽 일반개인정보보호규정(GDPR)을 기준으로 개인정보를 다룹니다. 지금은 한국에서 운영하고 한국 개인정보 보호법도 함께 적용받습니다.
- 두 법이 다르게 정한 기한은 짧은 쪽을 따릅니다. 예를 들어 이용자의 요청 처리는 GDPR의 한 달이 아니라 한국법의 10일 안에 합니다.
- 기한이 아닌 것은 이용자에게 더 유리한 쪽을 따릅니다.
2. 운영 주체와 연락처
| 서비스명 | Caveat (케비엇) |
|---|---|
| 컨트롤러(상호) | (사업자 등록 후 기재) |
| 대표자 | (사업자 등록 후 기재) |
| 사업자등록번호 | (사업자 등록 후 기재) |
| 주소 | (사업자 등록 후 기재) |
| 개인정보 보호책임자 | (사업자 등록 후 기재) |
| EU 대리인 | (사업자 등록 후 기재) |
| 연락처 | [email protected] |
개인정보에 관한 모든 문의와 요청은 [email protected] 한 곳으로 받습니다.
3. 올리신 재무제표는 어떻게 되나요
가장 먼저 알아야 할 부분이라 앞에 둡니다.
- 올리신 파일은 원본 그대로 보관합니다. 같은 재무제표로 여러 보고서를 만들어 드리고, 나중에 다시 열어 보실 수 있게 하려면 그 파일이 있어야 합니다. 값이 잘못 읽혔다는 말씀을 주셨을 때 무엇이 어긋났는지 확인하는 데도 필요합니다. 서비스를 제공하는 데 필요한 처리라 별도의 동의를 받지 않습니다. 일부 업로드한 파일은 서비스 품질 향상을 위해 활용될 수 있습니다.
- 문서는 손대지 않습니다. 제출·공시에 쓰는 서류라 한 장이라도 덜어내면 그 문서가 아니게 됩니다. 올리고 싶지 않은 부분이 있으면 가리고 올려 주세요.
- 값을 읽는 과정에서 내용이 Google Gemini API로 전달됩니다. 문서에서 숫자를 읽어내고 보고서 문장을 만드는 처리는 이 API가 수행합니다.
- 케비엇은 Gemini API의 유료 등급을 씁니다. Google은 유료 등급에 제출된 내용을 자사 제품 개선에 사용하지 않고, 학습에도 쓰지 않습니다. 위반 여부를 탐지하기 위해 제한된 기간 동안만 기록하며, 그 범위에서 Google은 케비엇의 지시에 따르는 수탁자입니다. 자세한 내용은 Gemini API 약관에 있습니다.
- 보고서는 서버에 저장하지 않습니다. 화면을 닫으면 결과도 남지 않습니다.
재무제표에 임직원 이름이나 주민등록번호 같은 개인정보가 들어 있다면, 가리고 올리시기를 권합니다. 케비엇이 필요한 것은 숫자입니다.
4. 수집하는 정보
서비스를 쓰는 데 회원가입이 필요한 부분은 재무제표 읽기부터입니다. 그 전 단계(보고서 종류 고르기, 샘플 결과 보기)는 로그인 없이 쓸 수 있고, 그때는 아래 정보를 받지 않습니다.
| 언제 | 항목 | 필수 여부 |
|---|---|---|
| 회원가입·로그인 | 이메일 주소, 로그인 식별자(Firebase UID), 가입 일시, 최근 로그인 일시 | 필수 |
| 가입 직후 역할 선택 | 선택한 역할(사장님·가족경영자·창업자·기타) | 선택 — 건너뛸 수 있습니다 |
| 재무제표 업로드 | 업로드한 파일과 그 안의 값 | 필수 (저장은 3항 참고) |
| 값 확인 화면에서 숫자를 고친 경우 | 우리가 읽은 값, 고쳐서 적으신 값, 그 값의 자리(서식ㆍ계정ㆍ기간) | 고치지 않으면 남지 않습니다 |
| 사용 기록 분석에 동의한 경우 | 화면 이동·클릭 기록, 화면 녹화(재무제표 내용은 항상 가려집니다), 브라우저가 부여한 익명 식별자, IP 주소, 브라우저·운영체제·화면 크기 같은 기기 정보 | 선택 — 거부해도 모든 기능을 씁니다 |
| 동의 배너에 답한 경우 | 동의 여부, 그때 보신 문구의 버전, 언어, IP 주소, 익명 식별자 | 필수 — 동의를 받았다는 증빙 |
비밀번호는 케비엇 서버에 저장되지 않습니다. 이메일·비밀번호 로그인은 Google Firebase Authentication이 처리하고, 케비엇은 인증 결과만 받습니다. 구글 계정으로 로그인하시면 이메일 주소만 전달받습니다.
결제 기능이 없으므로 카드번호·계좌번호는 일절 받지 않습니다. 인종·건강·정치적 견해 같은 GDPR 제9조의 특별범주 정보는 수집하지 않습니다.
5. 처리의 법적 근거 (GDPR 제6조)
| 무엇을 | 어떤 근거로 |
|---|---|
| 계정 생성·로그인, 재무제표 분석과 보고서 제공 | 계약의 이행 — 제6조 제1항 (b) |
| 업로드 파일 보관 — 보고서 제공과 다시 보기 | 계약의 이행 — 제6조 제1항 (b) |
| 업로드 파일과 고쳐 주신 값으로 읽기 규칙 고치기 | 정당한 이익 — 제6조 제1항 (f). 실제 서식과 '이 자리는 이렇게 읽었어야 한다'는 교정이 있어야 읽기 규칙을 고칠 수 있습니다. 이 목적에는 반대하실 수 있습니다(9항) — [email protected]로 말씀하시면 고치신 기록을 지우고 더는 남기지 않습니다 |
| 사용 기록 분석(PostHog), 역할 선택 | 동의 — 제6조 제1항 (a) |
| 보안 유지, 오남용·부정 이용 방지 | 정당한 이익 — 제6조 제1항 (f). 서비스를 안전하게 운영할 이익과 이용자의 권리를 견줘 최소한만 처리합니다 |
| 동의를 받았다는 기록의 보관 | 법적 의무와 책임성 — 제6조 제1항 (c), 제5조 제2항 |
동의를 근거로 하는 처리는 언제든 철회하실 수 있습니다. 철회해도 그 전까지의 처리가 위법해지지는 않으며, 철회 후에는 더 이상 처리하지 않습니다. 동의하지 않으셔도 재무제표 분석 기능은 그대로 쓰실 수 있습니다.
6. 이용 목적
- 재무제표 분석과 보고서 제공 — 서비스 그 자체입니다.
- 로그인 상태 유지와 본인 확인.
- 어떤 분들이 어떤 보고서를 쓰시는지 파악해 화면과 문장을 고치는 일(역할, 사용 기록 분석).
- 같은 재무제표로 여러 보고서를 만들고, 나중에 다시 열어 보실 수 있게 하는 일.
- 값 추출 정확도 개선. 실제 서식이 있어야 읽기 규칙을 고칠 수 있습니다.
- 동의를 받았다는 사실의 증빙(동의 기록).
위 목적을 넘어서는 용도로는 쓰지 않습니다. 목적이 바뀌면 알려드리고, 동의가 필요한 처리라면 다시 동의를 받습니다.
7. 보유 기간
| 정보 | 보유 기간 |
|---|---|
| 회원 정보(이메일·역할·로그인 기록) | 탈퇴 신청 30일 뒤. 그 30일 안에 다시 로그인하시면 신청이 취소되고 계속 보관합니다 |
| 업로드 파일 | 탈퇴 신청 30일 뒤, 그리고 탈퇴하지 않으셔도 마지막 업로드로부터 3년. 메일로 삭제를 요구하시면 유예를 기다리지 않고 지체 없이 지웁니다 |
| 값 확인 화면에서 고치신 기록 | 업로드 파일과 같습니다 — 탈퇴 신청 30일 뒤, 그리고 마지막 업로드로부터 3년 |
| 동의 기록 | 3년 |
| 사용 기록 분석 자료 | PostHog에 이벤트 자료 최대 12개월 |
서버 접속 로그는 케비엇이 따로 모으지 않습니다. 호스팅 사업자의 운영 로그에 일시적으로 남을 수 있습니다.
8. 처리를 맡긴 곳과 국외 이전
케비엇은 서비스를 돌리기 위해 아래 사업자에게 처리를 맡기고 있습니다. 각 사업자와는 GDPR 제28조에 따른 처리자 계약을 맺고, 케비엇의 지시 범위를 벗어난 이용을 금지합니다. 유럽경제지역(EEA) 밖으로 나가는 이전에는 적정성 결정이나 표준계약조항 같은 GDPR 제5장의 보호수단을 근거로 합니다.
이전 시점은 각 기능을 쓰시는 때이고, 이전 방법은 암호화된 네트워크 전송입니다.
Google LLC
| 나라 | 미국 |
|---|---|
| 맡긴 일 | Gemini API — 업로드한 재무제표에서 값을 읽고 보고서 문장 생성. Firebase Authentication — 로그인과 비밀번호 보관. |
| 이전되는 항목 | 재무제표 파일의 내용(Gemini), 이메일 주소·로그인 기록(Firebase) |
| 보유 기간 | Gemini API(유료 등급)는 위반 탐지 목적으로 제한된 기간만 기록하며 제품 개선·학습에 쓰지 않습니다. Firebase 계정 정보는 탈퇴가 완료될 때 삭제 |
| 이전 근거 | EU 표준계약조항(SCC) 및 EU-미국 데이터 프라이버시 프레임워크 |
| 연락처 | policies.google.com/privacy |
Fly.io, Inc.
| 나라 | 독일 (프랑크푸르트) |
|---|---|
| 맡긴 일 | 서비스 서버 운영 |
| 이전되는 항목 | 서비스 이용 중 오가는 모든 요청 |
| 보유 기간 | 처리 후 보관하지 않음(운영 로그에 일시적으로 남을 수 있음) |
| 이전 근거 | 처리는 EEA 안(프랑크푸르트)에서 이뤄지며, 미국 본사 접근에 대해서는 EU 표준계약조항(SCC) |
| 연락처 | fly.io/legal/privacy-policy |
Neon (Databricks, Inc.)
| 나라 | 싱가포르 |
|---|---|
| 맡긴 일 | 회원 정보와 동의 기록 데이터베이스 |
| 이전되는 항목 | 이메일 주소, 역할, 로그인 기록, 동의 기록(IP 포함) |
| 보유 기간 | 본 방침 5항과 같음 |
| 이전 근거 | EU 표준계약조항(SCC) |
| 연락처 | databricks.com/legal/privacynotice |
Cloudflare, Inc.
| 나라 | 미국 (글로벌 네트워크) |
|---|---|
| 맡긴 일 | 도메인·네트워크, 업로드 파일 저장(R2) |
| 이전되는 항목 | 접속 요청, 올리신 업로드 파일 |
| 보유 기간 | 탈퇴 신청 30일 뒤, 또는 마지막 업로드로부터 3년. 메일로 삭제를 요구하시면 그 전에도 지체 없이 삭제 |
| 이전 근거 | EU 표준계약조항(SCC) 및 EU-미국 데이터 프라이버시 프레임워크 |
| 연락처 | cloudflare.com/privacypolicy |
Resend, Inc.
| 나라 | 일본 (도쿄) |
|---|---|
| 맡긴 일 | 운영자에게 보내는 알림 메일 발송(값 교정 제보) |
| 이전되는 항목 | 고치신 자리와 그 금액, 업로드 식별자. 회사 이름·사업자등록번호·이메일 주소는 보내지 않습니다 |
| 보유 기간 | 발송 기록은 Resend의 보관 정책에 따르며, 케비엇은 따로 보관하지 않습니다 |
| 이전 근거 | 일본은 유럽연합 집행위원회의 적정성 결정(2019)을 받은 나라라 별도의 보호수단이 필요하지 않습니다. 미국 본사 접근에 대해서는 EU 표준계약조항(SCC) |
| 연락처 | resend.com/legal/privacy-policy |
PostHog, Inc.
| 나라 | 유럽연합 |
|---|---|
| 맡긴 일 | 동의하신 경우에만 화면 사용 기록 분석 |
| 이전되는 항목 | 화면 이동·클릭 기록, 화면 녹화(내용은 가려짐), 익명 식별자, IP 주소, 브라우저·기기 정보 |
| 보유 기간 | 이벤트 자료 최대 12개월 |
| 이전 근거 | 처리는 EU 안에서 이뤄집니다 |
| 연락처 | posthog.com/privacy |
이전되는 항목은 각 사업자가 맡은 일에 필요한 범위로 한정됩니다. 예를 들어 PostHog에는 재무제표 내용이 가지 않고, Gemini API에는 이메일 주소가 가지 않습니다.
케비엇 자체는 현재 한국에서 운영합니다. 한국은 유럽연합 집행위원회의 적정성 결정(2021년)을 받은 나라라, EEA에서 한국으로의 이전에는 별도의 보호수단이 필요하지 않습니다.
사용 기록 분석(PostHog)은 동의 배너에서 거부하실 수 있고, 거부하셔도 모든 기능을 그대로 쓰실 수 있습니다. 나머지는 서비스 제공에 필요한 처리라, 원하지 않으시면 서비스 이용이 어렵습니다.
위 경우를 제외하고 개인정보를 제3자에게 제공하거나 판매하지 않습니다. 법령에 따라 수사기관이 적법한 절차로 요구하는 경우에만 예외가 됩니다.
9. 이용자의 권리
GDPR 제15조부터 제22조까지가 보장하는 권리를 모든 이용자에게 똑같이 드립니다 — EU 거주 여부를 따지지 않습니다.
| 권리 | 내용 |
|---|---|
| 열람 | 내 개인정보를 무엇을 어떻게 처리하고 있는지 보여달라 (제15조) |
| 정정 | 틀린 내용을 고쳐달라 (제16조) |
| 삭제 | 지워달라 (제17조, "잊힐 권리") |
| 처리 제한 | 당분간 보관만 하고 쓰지 말아달라 (제18조) |
| 데이터 이동 | 내가 제공한 정보를 기계가 읽을 수 있는 형식으로 받거나 다른 곳으로 옮겨달라 (제20조) |
| 반대 | 정당한 이익을 근거로 한 처리에 반대한다 (제21조). 올리신 파일을 값 읽기 규칙을 고치는 데 쓰지 말아 달라는 요청이 여기 해당합니다 — 그렇게 해도 보고서는 그대로 받으실 수 있습니다 |
| 동의 철회 | 이미 한 동의를 거두겠다 (제7조 제3항) |
[email protected]로 알려주시면 10일 안에 처리하고 결과를 알려드립니다 — GDPR은 한 달을 기한으로 두지만, 케비엇은 한국법의 더 짧은 기한을 모든 이용자에게 적용합니다. 이 처리에는 비용을 받지 않습니다.
사용 기록 분석 동의와 회원 탈퇴는 화면 오른쪽 위 ⋯ 메뉴에서 직접 하실 수 있습니다 — 동의는 개인정보 설정, 탈퇴는 이메일을 누르면 나오는 계정 삭제입니다.
탈퇴는 신청하신 날로부터 30일 뒤에 완료됩니다. 그 사이 계정은 잠기고 올리신 자료는 어떤 목적으로도 쓰지 않습니다. 홧김에 누르셨다면 30일 안에 다시 로그인하시면 신청이 취소되고 자료가 그대로 돌아옵니다. 30일이 지나면 회원 정보와 올리신 파일이 영구 삭제되어 복구할 수 없습니다. 지우기 전에 자료를 내려받는 버튼을 같은 화면에 두었습니다.
기다리지 않고 지금 지워달라고 하실 수 있습니다. 그건 위 제1항의 삭제 요구권이고, [email protected]로 알려주시면 유예와 무관하게 10일 안에 처리합니다.
구글로 가입하셨다면 탈퇴를 신청하시는 그 자리에서 구글 계정의 「연결된 앱」에 있는 케비엇 허가를 폐기합니다. 신청을 취소하고 돌아오시면 다음 로그인에 구글 동의 화면이 한 번 더 뜨는 것이 전부이고, 올리신 자료는 그대로입니다.
탈퇴를 처리하면 무엇을 언제 지웠는지 기록을 남깁니다 — 지운 파일 수처럼 건수만 남고, 이메일이나 식별자는 들어 있지 않습니다. 이 기록이 없으면 지웠다는 사실 자체를 증명할 수 없습니다.
Gemini API로 전달된 내용은 Google이 위반 탐지 목적으로 제한된 기간만 보관하며, 그 기록은 케비엇이 직접 지울 수 없습니다.
10. 쿠키와 브라우저 저장소
케비엇은 광고나 추적을 위한 쿠키를 쓰지 않습니다. 쓰는 것은 다음 둘입니다.
- 로그인 유지 — Firebase Authentication이 브라우저에 보관하는 인증 토큰. 서비스 제공에 꼭 필요한 항목이라 별도 동의를 받지 않습니다. 로그아웃하면 지워집니다.
- 화면 상태 기억 — 동의 여부, 역할 선택 안내를 이미 봤는지 같은 값. 브라우저에만 남고 서버로 오지 않습니다.
사용 기록 분석(PostHog)은 필수가 아니므로 동의하신 뒤에만 켜집니다. 브라우저 설정에서 사이트 데이터를 지우시면 모두 삭제되고, 로그인도 풀립니다.
11. AI가 만든 문장과 자동화된 결정
보고서의 계산은 정해진 공식으로 서버가 직접 합니다. 그 결과를 읽기 쉬운 문장으로 풀어 쓰는 일은 AI(Google Gemini)가 합니다.
이 과정은 GDPR 제22조가 말하는 "법적 효력이나 그에 준하는 중대한 영향을 미치는 자동화된 결정"이 아닙니다. 케비엇은 신용을 평가하거나 자격을 심사하지 않고, 결과를 제3자에게 통보하지도 않으며, 보고서로 이용자에 대한 어떤 결정도 내리지 않습니다. 보고서는 이용자 자신의 판단을 돕는 참고 자료입니다.
12. 안전성 확보 조치
- 모든 통신은 HTTPS로 암호화하고, 브라우저가 http로 접속하지 않도록 강제합니다(HSTS).
- 외부 스크립트는 허용 목록으로 제한합니다(CSP).
- 재무제표 읽기부터는 로그인한 요청만 서버가 받습니다.
- 화면에 실리는 업종 통계에는 회사 식별자가 들어 있지 않습니다.
- 데이터베이스 접속 정보와 API 키는 코드에 두지 않고 운영 환경의 비밀값으로만 관리합니다.
- 케비엇이 따로 여쭙는 항목은 이메일 주소뿐입니다. 이름·전화번호·주소·주민등록번호를 입력받는 칸은 없습니다. 다만 올리신 문서 안에 그런 내용이 적혀 있으면 문서와 함께 보관됩니다 — 원하지 않으시면 가리고 올려 주세요.
개인정보가 유출된 사실을 알게 되면 72시간 안에 감독기관에 알리고, 이용자에게 위험이 크다고 판단되면 이용자에게도 지체 없이 알립니다. 한국과 EU가 모두 72시간을 기한으로 둡니다.
13. 아동
케비엇은 사업을 하시는 분들을 위한 서비스입니다. 한국에서는 만 14세 미만, 유럽경제지역에서는 만 16세 미만의 가입을 받지 않습니다.
14. 이의가 있으실 때
먼저 [email protected]로 알려 주시면 직접 해결해 드리겠습니다. 그래도 해결되지 않으면 아래에 민원을 제기하실 수 있습니다.
- EU·EEA 거주자 — 거주하시는 나라의 개인정보 감독기관. 목록은 edpb.europa.eu에 있습니다 (GDPR 제77조).
- 한국 거주자 — 개인정보분쟁조정위원회 1833-6972 kopico.go.kr, 개인정보침해신고센터 118 privacy.kisa.or.kr
법원에 소송을 제기하실 권리도 그대로 있습니다.
15. 방침의 변경
내용을 바꿀 때는 이 페이지에 바뀐 내용과 시행일을 올립니다. 이용자에게 불리하게 바뀌는 경우에는 시행일 30일 전부터 알립니다.
시행일: 2026-10-01