시행일: 2026년 10월 20일
dido(이하 "서비스")는 이용자의 개인정보를 소중히 다루며, 아래와 같이 수집·이용합니다. 사진 촬영·배경 제거·카드 제작은 이용자의 기기에서 처리됩니다. 위치를 허용하면 새 카드를 만들 때 현재 위치로 동네와 주변 디저트 가게 후보를 찾고, 좌표와 선택한 가게 정보를 개인 디저트 지도에 사용합니다. 로그인하면 이 위치 정보도 카드·사진·펫 기록과 함께 본인 계정만 접근하는 비공개 백업으로 자동 동기화됩니다. 위치 정보는 가명 통계나 사업 분석으로 보내지 않습니다. 사진의 EXIF 등 내장 메타데이터는 제거하지만 픽셀에 보이는 간판·주소·랜드마크와 자유입력 장소 단서는 비공개 백업에 포함될 수 있습니다.
로그인 전에는 촬영/선택한 원본 사진, 오려낸 이미지(누끼), 좌표·동네명· 가게 후보·선택한 가게명과 장소 ID를 포함한 카드·메모와 펫 상태가 이용자의 기기에 저장됩니다. 로그인하면 이 카드 위치 정보와 카드 본문, 재인코딩된 장면·누끼·뒷면·친구 누끼, 펫 이름·성장·급식·보상 원장이 본인 계정의 비공개 저장소에 자동으로 백업·동기화되며, 설정의 "백업"으로 직접 실행할 수도 있습니다. 지원 이미지는 방향을 픽셀에 반영하고 EXIF·GPS 등 내장 메타데이터를 제거한 PNG로 다시 인코딩합니다. 그러나 픽셀에 보이는 간판· 주소·랜드마크는 지우지 않으며, 메뉴명·메모에 직접 적은 상호·주소 같은 장소 단서와 함께 비공개 백업에 포함될 수 있습니다. 안전하게 디코딩할 수 없는 원본 컨테이너는 업로드하지 않습니다. 앱은 카메라 촬영 뒤 앱이 소유한 임시 캐시만 정리하며, 갤러리에서 선택한 원본은 삭제하지 않습니다. 로그인하지 않으면 사진·카드·펫 상태는 비공개 백업에 업로드되지 않습니다.
중복 경고용 sourceHash는 사용자가 고른 원본 바이트의
SHA-256으로 카드와 함께 기기에만 저장하고 계정 백업에는 넣지 않습니다.
원격 이미지 객체 이름에는 메타데이터 없는 PNG 바이트의 SHA-256 콘텐츠
해시를 사용합니다. 이 값은 sourceHash와 다른 결정적
콘텐츠 주소이며, 무작위·익명 식별자라고 보장하지 않습니다.
현재 배포판은 기존 카드의 일반 위치 필드를 새로 격리하거나 지우지 않습니다. 다만 이전 비활성 빌드가 이미 카드 내부의 로컬 전용 격리 영역으로 옮긴 값은 자동 복원·재사용하지 않고 해당 카드 삭제 또는 계정 전체 삭제 때 함께 삭제합니다. 과거의 장소별 방문 키는 이와 별도의 로컬 방문 원장 격리 영역에 두며, 개별 카드 삭제로는 삭제되지 않고 회원 탈퇴나 전체 로컬 초기화 때 삭제됩니다. 둘 다 별도 법률 검토와 이용자의 명시적 선택 없이는 다시 사용하지 않습니다.
not_applicable,
revoked, manual_required 중 결과만 남기며
Apple code·token·nonce·subject는 저장하지 않습니다. 비공개 백업에는
카드 본문과 좌표·동네명·가게 후보·선택한 가게명·장소 ID, 재인코딩된
장면·누끼·뒷면·친구 누끼와 펫 이름·성장·급식·보상 원장이 포함됩니다.
현재 위치나 새 이벤트를 UID 기반 분석에는 사용하지 않습니다. 구매·복원 시 스토어 영수증은
계정 정보 없이 Supabase 구매 검증 함수에 전송되어 익명으로 검증되며,
iOS 영수증은 검증을 위해 Apple에 전달됩니다.서비스 제공을 위해 다음에 처리를 위탁합니다: 카카오(로그인 및 한국· 국가 미상 지역의 주변 가게 후보 검색), Supabase, Inc.(미국 사업자; 계정·본인 전용 비공개 백업·Kakao 검색 프록시·AI 이름 추천 중계·구매 영수증 검증과 실제 남은 과거 원시 이벤트의 삭제), Google(Gemini 3.5 Flash-Lite 유료 등급과 3.5 Flash 폴백을 통한 선택적 AI 이름 추천), Apple(로그인·자체 장소 사전 지원 지역 외 해외 iOS의 MapKit 장소 검색·iOS 영수증 검증·Apple 연결 계정 탈퇴 시 일회용 code 교환과 토큰 폐기), OpenStreetMap Foundation(영국; 한국 외 시장에서 디저트 지도의 배경 타일). 지도 타일은 기기가 타일 서버에 직접 요청하므로 IP 주소와 화면에 보이는 영역의 좌표가 전달되며, 이는 이용자가 연 지도를 그리기 위한 처리입니다. 한국 시장은 카카오맵을 사용해 이 경로가 없습니다. 운영체제 위치·역지오코딩 기능으로 동네명과 국가 코드를 구합니다. Kakao 후보 검색에는 반경 250m 검색용 현재 좌표가 직접 또는 서비스 프록시를 거쳐 전달되며, 프록시는 로그인 계정 세션을 붙이지 않습니다. 위치 결과는 본인 카드와 비공개 백업에만 저장하고 가명 이벤트·사업 분석에는 보내지 않으며(좌표·가게명·가게 ID는 전송 경계에서 제거됩니다), 이벤트용 Google Play Integrity· Apple App Attest도 호출하지 않습니다. AI 이름 추천은 만 14세 이상임을 확인하고 켠 경우에만 누끼 사진의 축소본을 API 키가 서버에만 있는 Supabase 중계 함수를 거쳐 Google에 전달합니다. 유료 계약에 따라 Google은 이 데이터를 모델 학습에 사용하지 않으며, 기능을 끄면 사진을 전달하지 않습니다. AI 변형 이미지는 생성하지 않습니다. 가명 이벤트의 주 저장·처리 리전은 대한민국(서울, ap-northeast-2)입니다. 이전받는 자는 Supabase, Inc.(미국)이며, 이전 항목은 위 2항의 가명 이벤트 항목, 이전 목적은 데이터베이스 호스팅과 기술 지원 과정의 접근, 이전 방법은 관리 콘솔·지원 채널을 통한 접근, 이전 시기는 지원이 필요한 때, 보유기간은 아래 4항과 같습니다. 이 범위의 지원 접근 외에 다른 국외 이전은 하지 않습니다. Supabase, Inc.는 미국 사업자이므로 운영·지원 과정에서 국외 처리가 이루어질 수 있습니다. 각 사업자는 위탁 범위에서만 정보를 처리합니다. 일본·대만·홍콩·싱가포르의 주변 장소 검색은 현재 좌표를 Supabase 서버로 보내 미리 적재한 Overture Maps 장소 사전을 조회합니다. 이 조회를 위해 Overture Maps에 좌표를 보내지는 않습니다. Google 로그인 시 이메일·이름·프로필 이미지가 제공될 수 있습니다. Android 구매 토큰은 구매 상태 확인을 위해 Supabase 검증 서버를 거쳐 Google Play로 전달될 수 있으며, 별도의 계정 식별자를 붙이거나 토큰을 DB에 보관하지 않습니다.
주변 가게 추천에 필요한 현재 좌표는 위 지역 구분에 따라 Kakao Local API, Supabase의 자체 장소 검색 서버 또는 Apple MapKit으로 전달됩니다. 이는 이용자가 요청한 장소 검색을 위한 처리이며 본인의 비공개 백업과도 별개입니다. 그 밖의 외부 데이터셋·수신자 계약·제휴사 전달 경로는 열려 있지 않아 위치·지역 트렌드·인구통계 구간을 제휴 카페나 브랜드에 제공하지 않고 새 내부 검토 신호도 만들지 않습니다. 향후 내부 분석 또는 제3자 제공을 시작하려면 별도 새 동의 revision, 수신자· 목적·보유기간 계약, 법률·개인정보·보안·품질·스토어·실기기 검토와 데이터베이스 승인 절차가 필요합니다. 기존 선택·카드·격리값·legacy backup에 소급하지 않습니다.
아래 기간은 현재 서버 구현의 최대 상한입니다. 처리 목적 달성, 적법한 철회·삭제·처리정지 요구, 회원 탈퇴 또는 법령상 더 짧은 기간이 적용되면 먼저 삭제하거나 처리를 중단합니다.
| 구분 | 보유기간·삭제 기준 |
|---|---|
| 기기 데이터·계정 비공개 백업 | 기기 데이터는 이용자가 직접 삭제할 때까지, 계정 백업은 회원 탈퇴할 때까지 보관합니다. 카드의 좌표·동네명·가게 후보·선택한 가게명·장소 ID도 카드와 함께 보관하며 로그인하면 비공개 백업에 동기화됩니다. 카드를 삭제하면 그 위치 정보와 지도 핀도 기기에서 지워지고 다음 백업 갱신에 반영됩니다. 이전 비활성 빌드가 이미 카드 내부에 격리한 위치값은 자동 복원하지 않고 해당 카드 또는 계정 삭제 때 지웁니다. 별도 방문 원장 격리값은 개별 카드 삭제로 지워지지 않고 회원 탈퇴나 전체 로컬 초기화 때 삭제합니다. 원격 legacy backup은 일반 동기화가 읽기·삭제·이전하지 않지만 회원 탈퇴는 UID 아래의 현재·과거 형식 백업 전체를 삭제합니다. 다중 기기에 안전한 서버 세대 CAS와 유예 GC를 도입하기 전에는 카드 삭제·교체 뒤 manifest가 더 이상 참조하지 않는 콘텐츠 주소형 원격 이미지 객체도 비공개 저장소에 회원 탈퇴 때까지 남을 수 있습니다. |
| 기존 선택 제공 원시 이벤트·이벤트 수신 영수증·완료된 무결성 요청 | 동의한 이용자의 가명 원시 이벤트와, 이전 버전에서 적법하게 수집된 기존 수집분에 대해 최대 12개월이며, 서버 수신 시각, 이벤트 시각 및 카드의 경험일/생성일 경계를 확인하여 매일 삭제합니다. 12개월 삭제 작업이 36시간 안에 성공하지 않으면 새 원시 이벤트 수집을 중단합니다. |
| 무결성 검증 임시 상태 | 만료된 미처리 challenge·요청은 만료 후 1일 경계, 처리된 challenge는 처리 후 7일 경계, 폐기된 App Attest 키는 폐기 후 30일 경계에서 매일 삭제합니다. 장기간 사용되지 않은 활성 키와 완료 요청은 최대 12개월 경계에서 삭제합니다. |
| 비밀키 HMAC 쿼터 버킷 | 시간 구간 시작 후 최대 2일. 매일 삭제하며 원본 IP 주소는 쿼터 데이터베이스에 저장하지 않습니다. |
| 철회·삭제 처리 intent | 각 intent에 설정된 만료 시각까지이며 만료 시 매일 삭제합니다. 처리 중 설치 UUID와 소유 확인값 해시는 완료 시 제거합니다. |
| 삭제·재생성/재전송 억제 기록 | 원시 이벤트와 분리하여 해당 수집·삭제 체계를 운영하는 동안 보관하고, 체계 종료 또는 법적·운영상 근거 소멸 시 삭제합니다. 아래 설명과 같이 원문·위치·메뉴·평점은 포함하지 않습니다. |
| 향후 별도 승인 뒤 외부에 실제 전달된 검토형 보고서 | 현재 전달 0건. 향후 전달을 시작한 경우에만 전달 전 승인한 수신자별 계약 기간(1~365일) 이내로 보관합니다. 기한이 끝나면 수신자의 삭제 확인을 기록하며, 확인되지 않은 동안 새 외부 전달을 중단합니다. |
이전 버전에서 적법하게 수집된 원시 이벤트가 실제 남아 있는 경우의 철회·탈퇴 삭제 요청은 소유 확인 뒤 네트워크가 가능할 때 재시도하며, 서버 처리가 완료된 뒤 삭제가 완료됩니다. 원시 이벤트 만료 뒤에도 철회를 인증하고 지연·재전송을 막기 위해 무작위 설치 UUID와 삭제 토큰의 단방향 해시는 원시 이벤트와 분리합니다. 로그아웃·동의 철회·회원 탈퇴가 완료되면 계정 연결을 제거하고 재전송 억제 기록으로 전환합니다. 탈퇴 후 캐시 인증으로 비공개 백업이 다시 생성되는 것을 막고 부분 처리와 완료를 구분하기 위해 무작위 계정 UUID의 단방향 해시와 삭제 시작·인증 계정 삭제 완료 시각도 분리 보관합니다. 탈퇴 응답 유실 뒤 완료 여부를 확인하기 위해 이용자 기기가 만든 무작위 삭제 요청 UUID, 비밀값의 단방향 해시, 삭제 전 정리 검증 시각과 완료 시각을 별도 보관합니다. 처리 중 사용한 계정 UUID 해시는 계정 삭제와 같은 트랜잭션에서 제거하므로 완료 기록에는 계정 식별자가 남지 않습니다. 이 기록들에는 원본 이벤트·원본 계정 UUID·위치·메뉴· 평점이 없고 분석에 사용하지 않습니다. 해당 과거 집계가 실제 남아 있는 경우 철회·삭제가 완료되면 해당 이벤트를 더 이상 반영하지 않습니다. 검토형 가명 집계는 익명 데이터라고 보장하지 않습니다. 전자적 파일은 복구할 수 없는 방식으로 삭제하고, 출력물이 있는 경우 분쇄 또는 소각합니다.
이용자는 본인의 개인정보에 대한 열람, 정정·삭제, 처리정지 및 동의 철회를 요구할 수 있습니다. 위치 권한은 운영체제 설정에서 언제든 거부· 철회할 수 있고, 거부해도 위치 없이 카드 생성과 핵심 기능을 사용할 수 있습니다. 과거 가명화 기록·인구통계 선택이 남아 있으면 앱 설정에서 각각 철회하거나 회원 탈퇴를 실행할 수 있고, 철회하면 이후 새 이벤트를 만들지도 보내지도 않습니다. 앱을 사용할 수 없는 경우에는 아래 이메일로 요구 종류, 대상 계정 또는 설치본을 확인할 수 있는 최소 정보와 원하는 조치를 보내 요청할 수 있습니다. 서비스는 로그인 세션, 계정 이메일 보유 확인 또는 설치 소유 확인 토큰 등 요청에 맞는 가장 적은 정보로 본인 여부를 확인하며, 처음부터 주민등록번호나 신분증 전체 사본을 요구하지 않습니다. 추가 확인이 꼭 필요한 경우에는 이유와 필요한 항목을 먼저 안내하고, 확인 자료는 권리 요청 처리에만 사용합니다.
대리인은 정보주체가 서명한 위임 의사와 대리인·정보주체의 신원을 필요한 범위에서 확인할 수 있는 자료를 이메일로 제출해 요청할 수 있습니다. 서비스는 관계 법령이 정한 기간과 절차에 따라 처리 결과를 통지하고, 다른 법령상 보존 의무 또는 타인의 권리 침해 우려 등으로 요구의 전부나 일부를 제한하는 경우 그 사유와 이의 제기 방법을 안내합니다. 정정·삭제 확인 중인 정보는 필요한 범위에서 이용·제공을 제한합니다.
가명화 기록 동의를 철회하면 이후 새 이벤트를 만들지 않습니다. 해당 설치의 서버 원시 이벤트가 남아 있는 경우, 철회 시 설치 소유 확인 토큰으로 그 원시 이벤트 삭제를 요청합니다. 네트워크가 가능할 때 요청을 재시도하며 서버 처리가 완료된 뒤 삭제가 완료됩니다. 인구통계 값도 적법한 과거 원시 이벤트에 실제 남아 있는 경우에만 같은 절차로 제거합니다. 회원 탈퇴는 계정 귀속 과거 이벤트가 실제 남아 있으면 그 원시 이벤트를 삭제하고, 서버 계정과 해당 UID 아래의 현재·과거 형식 비공개 백업 전체를 삭제합니다. 기기에 남은 기록도 구매 자산을 제외하고 삭제하며, 이때 개별 카드 삭제로는 남아 있던 별도 방문 원장 격리값도 삭제합니다. Apple 연결 계정은 새 일회용 인증으로 토큰 폐기를 먼저 시도합니다. 성공하지 못하거나 code/token이 없더라도 dido 탈퇴와 서버·기기 데이터 삭제는 계속하고, 완료 뒤 Apple 설정 또는 account.apple.com에서 연결을 직접 해제하도록 안내합니다. AI 이름 추천은 설정에서 언제든 끌 수 있으며, 끈 뒤에는 새 사진을 이름 추천용으로 전송하지 않습니다.
서비스는 만 14세 미만 아동을 대상으로 하지 않습니다. AI 이름 추천은 이용자가 만 14세 이상임을 확인하고 직접 켠 경우에만 사용할 수 있으며, 만 14세 미만이거나 거부·해제하면 사진을 전송하지 않습니다. 가명화 기록의 서버 수집도 만 14세 이상 확인과 별도 동의를 모두 받은 경우에만 이루어집니다. AI 변형 이미지 생성은 계속 꺼져 있습니다. 연령 확인 없이도 누끼·카드 등 기기 내 핵심 기능을 사용할 수 있습니다. 현재 법정대리인 동의 확인 절차는 제공하지 않습니다.
개인정보 보호책임자 — 성명: 정연우 / 직위: 대표 / 소속: 마캣(macat) / 연락처: macat.universe@gmail.com. 1인 사업자로 대표가 개인정보 보호업무를 직접 총괄합니다. 개인정보 처리에 관한 문의·불만·피해구제는 위 연락처로 접수하며, 접수 후 지체 없이 답변합니다. 본 방침은 서비스 개선에 따라 변경될 수 있으며, 변경 시 앱 내에서 고지합니다.
※ 본 문서는 공개 URL에서 제공하는 전체 개인정보처리방침입니다. 앱 안의 방침 사본에도 수집·보유·철회·삭제에 관한 실질적으로 같은 내용을 제공합니다.