개인정보 처리방침

Beskarh Corporation (이하 "회사" 또는 "bldinit") 는 사용자의 개인정보를 매우 중요하게 여기며, 「개인정보 보호법」 (PIPA) 및 EU GDPR 등 관련 법령을 준수합니다. 본 방침은 bldinit 서비스 (https://app.bldinit.com 이하 "서비스") 사용 시 처리되는 개인정보의 항목, 목적, 보관 기간, 제3자 제공, 사용자 권리를 명시합니다.

1. 처리하는 개인정보 항목

1.1. 회원 가입 시 자동 수집

Google OAuth profile: 이메일, 닉네임, 프로필 이미지 URL
로그 데이터: 접속 IP (해시 처리), User-Agent, 접속 시각

1.2. Provider connection 시

OAuth tokens: access_token / refresh_token (모두 AES-256-GCM 암호화 저장)
External account ID: provider 측 식별자 (Cafe24 mall_id, Coupang vendor_id 등)
Connection metadata: provider-specific (shop list, scope, expires_at)

1.3. Tool 사용 시

Tool invocation log: 호출 op 명, 호출 시각, 응답 status code, 처리 시간
Input hash: 호출 인자의 SHA-256 해시 (원본 본문 저장 X)
Webhook events: provider 측 webhook 의 raw body

1.4. 결제 정보 (Paddle)

Paddle subscription ID: 결제 식별자
결제 금액 / 통화: 청구 내역
카드 정보 저장 X — Paddle (PCI-DSS Level 1) 가 직접 처리

2. 보관 기간 (Retention)

정보 분류	보관 기간
회원 정보	탈퇴 시까지 (audit_events 5년)
OAuth tokens	Connection 활성 기간
Tool invocation log	90일
Webhook events	30일
Audit events	5년 (PIPA §29)
결제 거래 내역	5년 (전자상거래법 §6)

3. 사용자 권리

사용자는 「개인정보 보호법」 §35-37 에 따라 다음 권리를 행사할 수 있습니다:

개인정보 열람 요구
정정 / 삭제 요구
처리 정지 요구
데이터 portability (GDPR Art.20) — 계정 데이터 사본을 support 이메일 요청 시 JSON 으로 제공
자동 삭제 요청 거부

3.1. 회원 탈퇴 (Self-service)

사용자는 dashboard 에서 직접 회원 탈퇴를 진행할 수 있습니다:

로그인 후 Settings → Privacy & Data → 회원 탈퇴, 또는
직접 https://app.bldinit.com/admin/settings/delete-account 접속

3.2. 처리 흐름

즉시 (Day 0): 모든 device 로그아웃, 모든 OAuth token 폐기 (Google API 측 token revoke 호출 포함), BYOC API key 폐기, MCP 호출 차단.
30일 후 (Day 30): Workspace, 사용자 프로필, 구독 정보 hard delete.
5년 보관 — 익명화 (법적 의무): 결제 기록 (전자상거래법 §6), 보안 audit log (PIPA §29 분쟁 조정용). 모든 PII (이메일 / 이름 / 전화번호) 제거 후 보관. 5년 후 자동 hard delete.

3.3. 탈퇴 취소 (Day 1~30)

30일 grace period 안에 같은 Google 계정으로 다시 로그인 시 "탈퇴 취소" 버튼을 통해 복원 가능. 단 Provider connection 은 다시 연결 필요 (token 이미 폐기됨).

권리 행사 문의: beskarhsoft@gmail.com — 운영진이 5영업일 안에 답변.

4. 개인정보 보호 책임자

책임자: 박세기 (Beskarh Corporation 대표)
이메일: beskarhsoft@gmail.com
고객센터: 0507-1323-7134
회사 주소: 경기도 김포시 김포한강4로420번길 30, 1452호
사업자등록번호: 572-88-03117
통신판매업 신고번호: 제 2024-경기김포-6302호

5. 보안 조치

전송 구간 HTTPS (Caddy + Let's Encrypt)
저장 데이터 AES-256-GCM via HKDF-SHA256 (OAuth tokens 모두 암호화)
Multi-tenant isolation (organization_id 격리)
비밀번호 자체 미수집 (Google OAuth-only)
Audit log 5년 보관

6. 변경 사항

본 방침은 법령 / 서비스 정책 변경 시 갱신됩니다. 중대 변경 시 7일 전 이메일 또는 dashboard 공지 후 적용. 갱신 history: GitHub docs/legal/privacy-policy.md commit log.