개인정보처리방침 · 머니스쿨

학생이 쉽게 읽는 요약

이름 대신 번호·별명을 써 주세요. 별명과 일지에 이름·연락처·학교명을 쓰지 마세요. 학교가 보호자 동의를 확인한 뒤 수업에 참여합니다. 선생님이 학습기록과 일지를 볼 수 있습니다. 기록을 보고 고치거나 지우고 싶으면 선생님 또는 운영자 이메일 mj.vibelab@gmail.com으로 요청할 수 있습니다.

1. 운영자·학교와 서비스의 역할

운영자 및 개인정보 보호책임자: 쌤랩 운영자. 개인정보 관련 문의·고충·권리행사 접수: mj.vibelab@gmail.com.

학교는 수업 목적·필요한 처리 범위와 기간을 정하고 담임은 법정대리인 동의 확인·학급 운영·권리행사 접수를 수행합니다. 머니스쿨은 학교가 맡긴 범위에서 번호·별명과 학습기록을 처리합니다. 학교(담임)가 수업에 서비스를 쓰기로 정하면 이 방침과 이용약관의 위탁 조항에 따라 처리하며 학교가 요청하면 별도 개인정보 처리위탁 약정서를 체결합니다.

위탁 목적 외 처리금지, 안전조치, 재위탁 관리, 감독, 반환·파기와 손해배상 책임을 적용합니다. 제5항의 재위탁 업체·업무를 학교가 검토·승인한 범위에서 이용하며 추가 재위탁은 학교의 사전 승인을 받습니다. 운영자의 책임을 교사 개인에게 일괄 전가하지 않습니다.

운영자가 독자적으로 처리하는 보안·문의 정보는 학생 수업정보와 구분합니다. 별명·번호·학급 코드도 다른 정보와 결합해 식별 가능하면 개인정보로 관리합니다. 안전한 서비스 제공에 필요한 보안 처리는 개인정보 보호법 제15조 제1항 제6호의 정당한 이익을 근거로 하며 항목·목적·기간을 제한해 정보주체의 권리보다 우선하지 않도록 관리합니다. 문의는 요청에 대한 회신 목적으로만 처리합니다.

2. 처리 목적·항목과 최소입력

수업 제공·이어하기·교사의 학습현황 확인을 위해 학급 내부 ID·6자리 코드·자동 생성 교사 가명·교사 PIN 해시·라운드·잠금·일지 설정·생성시각을 처리합니다. 학생은 내부 ID·학급 ID·학생번호·별명·PIN 해시·생성시각을 처리합니다.

학습기록은 종목·현금·매매·예금·배당·라운드별 자산·학습 진행 상태와 투자일지의 매매이유·배운점입니다. 일지의 각 자유서술은 최대 2,000자이며 해당 학급 교사가 열람할 수 있습니다.

가입·학급 생성에는 학교명·실명·전화번호·주소·이메일을 받는 필드가 없습니다. 학생은 번호·별명, 교사는 자동 생성 가명을 사용합니다. 자유입력을 자동 익명화하지 않으므로 별명·일지에 실명·연락처(전화번호·주소)·학교명을 쓰지 않아야 합니다. 잘못 입력하면 교사 또는 운영자에게 수정·삭제를 요청할 수 있습니다.

계정 보호를 위해 로그인 실패 대상키(유형·학급·번호/별명)·실패시각과 IP 기반 요청제한 정보를 처리합니다. 요청제한용 원본 IP는 서버 메모리에서 일시 처리하며 DB에 장기 저장하지 않습니다. 호스팅 사업자의 접속·보안 로그 및 외부 글꼴 요청정보는 제5항과 같습니다.

3. 만 14세 미만 법정대리인 동의

학교(담임)는 학기 초 가정통신문 등 학교 절차로 법정대리인에게 항목·목적·기간·수탁자·국외 이전·권리행사와 거부 영향을 안내하고 실제 동의 여부·대리권을 확인합니다. 동의서·확인증빙은 학교가 보관하고 실명·보호자 연락처·서명 사본을 서비스에 올리지 않습니다.

동의를 확인한 학생에게만 학급 코드를 제공하고 미동의·철회 학생의 서버저장 활동을 중단합니다. 학교는 시연·종이활동 등 대체방법을 마련하고 담임이 철회·삭제 요청을 운영자 이메일로 전달합니다. 기존 학급도 같은 절차를 적용합니다. 담임의 개설 체크는 학교 절차 확인이며 법정대리인의 대리서명이 아닙니다.

학생의 가입 버튼과 체크는 이용수칙 확인일 뿐 개인정보 수집·이용 동의나 법정대리인 동의를 대신하지 않습니다. 가입이나 열람으로 동의를 간주하지 않습니다.

4. 보유기간·초기화·파기

학급·학생·학습기록은 교사가 삭제할 때까지 보관하되 마지막 활동일로부터 1년을 넘기지 않습니다. 운영자는 매 학년도 종료 후 수동 점검하여 1년이 지난 기록과 목적이 끝난 기록을 파기하고, 상한 준수에 필요한 추가 점검도 수행합니다. 학년말 자동삭제는 운영하지 않습니다. 학교의 삭제 지시·동의 철회가 있으면 그보다 먼저 처리합니다.

데이터 초기화(reset-data)는 거래·포트폴리오(예금 포함)·투자일지를 삭제하고 학생 계정과 학급·교사 가명을 남깁니다. 학생 계정까지 초기화(reset)는 위 기록·학생 계정을 삭제하지만 학급·교사 가명은 남깁니다. 학급 삭제(delete)는 기록·학생·학급 행을 삭제합니다. 초기화는 R1로 돌아가며 로그인 실패행·호스팅 로그·백업은 이 기능의 삭제 범위가 아닙니다.

로그인 실패기록의 보유 기준은 최대 24시간이며 이후 첫 로그인 시도 때 24시간 이상 지난 모든 대상의 행을 정리합니다. 접속이 없거나 정리에 실패하면 실제 삭제가 늦어질 수 있습니다. 성공 로그인 시 해당 대상의 실패기록도 삭제합니다. 15분은 실패 횟수 집계 창이며 삭제 기한이 아닙니다.

메모리의 IP 요청제한 항목은 제한 창이 지난 후 해당 키의 요청 때 갱신되고, 항목 수가 5,000개를 넘으면 진행 중인 요청에서 만료 항목을 정리합니다. 서버 인스턴스 종료 때도 소멸하며 제한 창 종료만으로 모든 메모리 키가 즉시 삭제되는 것은 아닙니다. 이메일 문의는 처리 완료 후 1년 이내 파기합니다.

운영자는 목적 종료·기간 경과 정보를 확인한 후 전자정보를 삭제하여 복구·재생할 수 없도록 처리합니다. 법령상 보존이 필요한 정보는 근거·기간을 안내하고 별도 보관합니다. localStorage 삭제·로그아웃은 서버 학습기록을 지우지 않습니다.

Supabase 일일 백업의 보유기간은 요금제별 Pro 7일, Team 14일, Enterprise 최대 30일이며 복구 창이 지나면 소멸합니다. Free는 일일 백업 제공 대상이 아니며 PITR 선택 시 복구 창은 7·14·28일입니다. 프로젝트 삭제 시 백업도 삭제되고 DPA상 계약 종료 후 자료 반환기간 30일이 지나면 사본을 삭제합니다. 운영자는 별도 백업을 만들 경우 보유기한을 관리하고 복구 시 이미 삭제한 기록을 다시 파기합니다.

Vercel은 학생 DB를 보관하지 않고 요청을 받아 처리한 뒤 결과를 Supabase에 저장합니다. 머니스쿨이 사용하는 Vercel 무료(Hobby) 요금제의 런타임 로그는 Vercel 공식 정책상 1시간 보관 후 삭제됩니다. Vercel이 자체 보안·법령 준수를 위해 보관하는 접속 정보는 Vercel 개인정보처리방침에 따른 기간을 적용합니다.

5. 처리위탁·국외 이전

Supabase Pte. Ltd.(싱가포르)는 학급·학생·학습 DB를 보관하고 Supabase, Inc.(미국)는 필요한 운영·지원을 수행합니다. 주 DB 저장 위치는 서울입니다. Vercel Inc.(미국)는 웹·서버 실행·전송을 제공하며 무료(Hobby) 요금제로 이용하므로 별도 데이터처리부속서(DPA) 없이 Vercel 이용약관과 개인정보처리방침에 따라 처리합니다. Google LLC(미국)는 Google Fonts의 외부 글꼴 전송을 제공합니다.

서비스 제공 계약의 이행에 필요한 처리위탁·보관은 개인정보 보호법 제28조의8 제1항 제3호 가목에 따라 아래 사항을 공개합니다. 주 DB가 국내에 있어도 미국 서버 실행·해외 지원 접근·외부 글꼴 요청과 국제 CDN/백업 처리가 있으므로 국외 이전이 발생할 수 있습니다. 국제 CDN의 처리국은 요청·장애·운영에 따라 달라지며 단일 국가의 고정 처리를 보장하지 않습니다.

6. 제3자 제공과 학급 내 접근

개인정보를 제3자에게 제공하거나 판매하지 않습니다. 개인정보 보호법 제17조·제18조 등 법령에서 허용하는 경우에만 해당 요건·범위를 확인해 처리합니다. 해당 교사의 자기 학급 기록 열람은 학교의 수업 업무 범위 내 접근입니다. 공식 요청이라는 이유만으로 학교·교육청 등 외부 기관에 임의 제공하지 않습니다. 외부 설문 링크는 선택적으로 이동하며 해당 외부 서비스의 안내가 적용됩니다.

7. 쿠키·기기 저장소·광고

로그인 유지용 ms_session 쿠키에는 서명된 역할·학급 ID·학생 ID·발급/만료시각이 들어가고 12시간 뒤 만료됩니다. HttpOnly·Secure·SameSite=Strict로 보호하며 로그아웃은 쿠키와 앱 세션 정보를 제거합니다.

localStorage에는 역할·학급 코드·ID·별명 등 세션·기능별 상태가 남습니다. 브라우저의 사이트 데이터 삭제·쿠키 차단으로 제거하거나 거부할 수 있으나 로그인·이어하기가 제한될 수 있습니다. 기기 데이터 삭제와 서버 파기는 다릅니다.

광고와 이용자 행동 추적용 분석 스크립트(Google Analytics, Vercel Analytics, Cloudflare Web Analytics 비콘)를 사용하지 않습니다. 호스팅·글꼴 사업자의 전송·보안 로그는 이와 별개로 처리됩니다.

8. 안전성 확보 조치

HTTPS 전송, 서버 세션의 역할·학급별 접근 확인, PIN 일방향 SHA-256 해시와 식별자 기반 salt, 요청 크기·횟수 제한, 로그인 실패 제한을 적용합니다. 해시는 복호화하는 암호화가 아닙니다. 레거시 평문 PIN은 로그인에 성공하면 해시로 자동 전환합니다.

개인정보취급자는 쌤랩 운영자 1인이고 관리 콘솔·DB 접근은 운영자 1인 계정으로 한정합니다. 접근정보를 비공개 관리하고 필요한 업무 범위에서만 처리합니다. 유출 인지 시 지체 없이 대응하고 72시간 이내 정보주체·학교에 통지하며 법정 신고 대상이면 관계 기관에 신고합니다.

9. 정보주체·법정대리인의 권리행사

학생 본인 또는 법정대리인은 언제든 열람·정정·삭제·처리정지·동의 철회를 요청할 수 있습니다. 담임 또는 mj.vibelab@gmail.com으로 직접 접수하며 담임 부재·전학 때도 직접 접수할 수 있습니다. 학교 경유 요청은 담임이 같은 이메일로 전달합니다.

접수 후 10일 이내 처리·회신합니다. 학급 코드·번호·별명 등 서비스 내 정보와 담임 확인으로 본인·대리권을 확인하며 주민등록번호 등 추가 식별정보를 수집하지 않습니다. 이메일에 PIN·전체 학생명단·동의서 사본을 보내지 않습니다. 법령상 제한·정당한 연기 사유가 있으면 사유와 처리 예정일을 안내합니다.

10. 개인정보 보호책임자·권익침해 구제

개인정보 보호책임자: 쌤랩 운영자. 문의·고충·권리행사: mj.vibelab@gmail.com.

개인정보 분쟁·피해 상담은 개인정보분쟁조정위원회(1833-6972, kopico.go.kr), 개인정보침해신고센터(118, privacy.kisa.or.kr), 대검찰청(1301, spo.go.kr), 경찰청(182, ecrm.police.go.kr)에 신청할 수 있습니다.

11. 방침 변경

시행일 2026년 10월 12일. 변경은 최소 7일 전 이 페이지에 변경내용과 시행일을 공지하고 정보주체의 권리에 중요한 변경은 최소 30일 전 공지합니다. 새로운 처리에 동의가 필요한 경우 별도로 받습니다.

외부 처리 사업자의 공식 안내

사업자별 공식 처리·보관 정책은 다음에서 확인할 수 있습니다.

• Supabase 계약 법인
• Supabase DPA
• Supabase 저장지역·지원·이전
• Supabase 백업 기간
• Vercel 계약 법인
• Vercel 개인정보처리방침
• Vercel 런타임 로그
• Google Fonts 개인정보 안내
• Google API 약관