LemonInspect 개인정보 처리방침

주식회사 티에스비티컴퍼니(영문명: TSBT Company Co.,Ltd., 이하 "회사")는 이용자의 개인정보를 중요시하며, 관련 법령을 준수합니다. 본 개인정보 처리방침(이하 "본 방침")은 회사가 웹사이트 www.lemoninspect.com (이하 "사이트") 및 LemonInspect AI 기반 차량 진단·이력 보고서 서비스(이하 "서비스")와 관련하여 수집하는 개인정보의 항목, 수집 목적, 이용, 보유·파기, 제3자 제공 및 국외 이전에 관한 사항을 안내합니다.

본 방침은 전 세계 모든 이용자에게 적용되며, 다음 법역의 강행 규정을 준수합니다:

• 대한민국 — 「개인정보 보호법」(PIPA) 및 관련 법령
• 아랍에미리트(UAE) — 연방 법률 제45호/2021 (UAE PDPL)
• 사우디아라비아 — 개인정보보호법(PDPL, Royal Decree M/19) 및 SDAIA 규정
• 유럽경제지역(EEA) — 일반 데이터 보호 규정(GDPR) *(EEA 거주자가 서비스를 이용하는 경우)*

거주 관할의 법률이 본 방침에 명시된 권리 이상의 권리를 부여하는 경우, 해당 현지 법률이 우선 적용됩니다.

본 방침은 다음 부속 정책과 함께 적용됩니다: 이용약관, 면책 조항, 환불 및 취소 정책, 쿠키 정책.

회사는 다음의 법적 근거에 따라 개인정보를 처리합니다:

• 계약의 이행: 서비스 제공을 위한 보고서 생성 및 배송
• 동의: 이용자의 명시적 동의에 기반한 처리 (이미지, 녹음 데이터 제출 등)
• 법률상 의무: 세법, 상법, 전자상거래법 등에 따른 의무 이행
• 정당한 이익: 서비스 보안, 부정행위 방지, 서비스 개선

EEA 이용자의 경우, '정당한 이익'에 근거한 처리에 대해 회사는 이익형량 평가(LIA)를 문서로 보유하며, 이용자는 GDPR 제21조에 따라 언제든 해당 처리에 이의를 제기할 수 있습니다.

3.1. 계정 정보 (이용자 직접 제공)

3.2. 차량 데이터 (이용자 제공 또는 파생)

⚠️ VIN 관련 안내: 차대번호(VIN)는 차량 식별 정보이지 직접적인 개인 식별 정보는 아닙니다. 그러나 등록 기록과 결합 시 특정 개인을 식별할 수 있으므로, 회사는 VIN을 개인정보에 준하여 관리합니다.

3.3. 거래 정보

참고: 전체 결제 카드 정보(카드 번호, CVV, 유효기간)는 회사에 저장되지 않습니다. 모든 결제 처리는 PCI-DSS 인증을 받은 제3자 결제 대행사(PG사)가 수행합니다.

3.4. 자동 수집 정보

쿠키 등 자동수집장치. 회사는 쿠키, 로컬 스토리지, 픽셀 등 자동수집장치를 사용합니다. 자세한 사항은 쿠키 정책을 참조하세요.

3.5. 수집하지 않는 정보

회사는 다음 정보를 수집하지 않습니다:

• 주민등록번호, 여권번호, 운전면허번호 등 법정 고유식별정보
• 생체 인식 정보 (지문, 안면 인식)
• 건강 또는 의료 정보
• 금융 계좌 번호 (은행 계좌, 전체 신용카드 번호)
• IP 기반 대략적 위치 외의 정밀 위치 정보
• 만 18세 미만의 정보 (단, 한국 거주 회원의 경우 「민법」상 미성년자(만 19세 미만)는 법정대리인의 동의를 얻은 경우에 한하여 가입 가능하며, 만 14세 미만의 경우 「개인정보 보호법」 제22조에 따라 법정대리인의 명시적 동의가 필수입니다 — 제11조 참조)

회사는 다음 목적으로 개인정보를 이용하지 않습니다:

• 제3자에게 개인정보를 판매하는 행위
• 광고 프로파일링 또는 행동 기반 타겟팅
• 법적 효력이 있는 자동화된 의사결정 (AI 기반 검수 보조 분석은 참고 정보에 불과합니다)

4.1. AI 모델 학습 데이터 정책

회사는 AI 모델 정확도 개선 및 신규 진단 기능 개발을 위해 비식별화·집계 처리된 진단 데이터(개인 식별 정보, VIN, 위치 정보 제거 후)를 활용할 수 있습니다. 단:

• 이용자가 제출한 원본 이미지, 음성 녹음 및 원시 진단 데이터는 별도의 명시적 옵트인(opt-in) 동의 없이 AI 모델 학습에 직접 사용되지 않습니다
• 향후 학습 데이터 기여 옵트인 프로그램 도입 시, 참여는 완전히 자발적이며 서비스 제공 또는 요금에 영향을 미치지 않습니다
• 비식별 통계 패턴(예: "2019년 제네시스 G80 차량의 X%에서 타이밍 체인 마모 신호 감지")은 개인 귀속 없이 집계 데이터로부터 도출될 수 있습니다

이용자의 권리와 자유에 위험을 초래할 수 있는 개인정보 유출이 발생한 경우, 회사는:

• 「개인정보 보호법」 제34조, GDPR 제33-34조 및 UAE PDPL에 따라 유출을 인지한 시점으로부터 72시간 이내에 관련 감독기관(한국 개인정보보호위원회, EEA 주관 감독기관, UAE 데이터 사무소 등)에 통지합니다
• 영향을 받는 이용자에게 계정 등록 이메일을 통해 지체 없이 통지합니다
• 유출의 성격, 영향받는 데이터 유형, 예상되는 결과 및 피해 완화를 위해 취한 조치의 세부 사항을 제공합니다

5.1. 외부 AI · 인프라 서비스 (해외 이전 포함)

보고서 생성 및 서비스 운영을 위해 회사는 다음 해외 사업자에게 데이터를 전송합니다:

⚠️ 국외 이전 안내 (「개인정보 보호법」 제28조의8 / GDPR 제46조):

위 표에 기재된 해외 사업자로의 이전은 서비스 제공(계약의 이행)에 필수적이며, 회사는 각 이전받는 자와 표준 계약 조항(SCC) 또는 데이터 처리 계약(DPA)을 체결하여 적정한 보호 조치를 확보합니다. 본 이전은 대한민국 「개인정보 보호법」 제28조의8 제1항에 따른 적정 보호조치(SCC 등)에 근거하며, EEA 이용자의 경우 GDPR 제46조의 적절한 안전조치에 근거합니다. 회사는 회원가입 화면에서 본 국외 이전 사실을 명확히 고지합니다.

이전 불가 시 결과. 본 국외 이전은 서비스의 기술적 기반(클라우드 DB·CDN·AI 추론)을 구성하므로, 이전 없이는 회원가입 및 보고서 생성이 기술적으로 불가능합니다. 해당 국가는 대한민국과 동일한 수준의 개인정보 보호를 제공하지 않을 수 있습니다.

5.1A. 이용자 데이터 격리

이용자가 제출한 이미지, 음성 녹음 및 기타 진단 데이터는 해당 이용자의 보고서 생성에만 사용됩니다. 동일 VIN에 대해 복수의 이용자가 보고서를 요청하는 경우:

• 각 이용자가 제출한 미디어(사진, 음성)는 격리되어 처리되며, 다른 이용자의 보고서에 포함되거나, 표시되거나, 접근 가능하지 않습니다
• 공개 데이터(VIN 이력, 리콜 기록, 안전 등급)는 이용자 제출물이 아닌 공개 제3자 출처에서 비롯되므로 동일 VIN의 복수 보고서에 포함될 수 있습니다

5.2. 공공 데이터 소스 조회

보고서 편집을 위해 다음 공공·정부 데이터 소스를 조회합니다. 이 조회에서는 이용자의 개인정보가 전송되지 않으며, VIN 및 차량 식별 정보만 사용됩니다:

• NHTSA (미국 고속도로교통안전국) — 리콜, 소비자 불만, 안전 등급
• 국토교통부 / 한국교통안전공단(KATRI) — 한국 리콜 기록
• Euro NCAP — 유럽 안전 등급
• IIHS (미국 고속도로안전보험협회) — 충돌 시험 등급
• KNCAP (한국 신차 안전도 평가) — 한국 충돌 시험 등급
• KIDI (보험개발원) — 보험 손해 등급

5.3. 인프라 서비스 제공자

5.4. 법적 공개

회사는 다음의 경우 개인정보를 공개할 수 있습니다:

• 법원 명령, 소환장 또는 법적 절차에 의한 경우
• 중재 절차 (대한상사중재원 국제중재규칙)
• 적법한 권한을 가진 정부 기관의 요청
• 회사의 법적 권리 보호 또는 이용자의 안전 보호를 위한 경우

열람 기한과 내부 보유의 구분. 회원이 보고서를 열람할 수 있는 기간(구매일로부터 30일)과 회사가 보고서를 내부 보유하는 기간(생성일로부터 3년, 분쟁 대응 목적)은 별개입니다. 즉 회원의 열람 기한이 종료된 후에도 회사는 분쟁·차지백 대응을 위해 보고서(원본 미디어 제외 분석 결과)를 내부적으로 보관합니다.

원본 미디어와의 관계. 이용자 제출 원본 미디어(이미지·음성)는 보고서 생성 후 1년 경과 시 파기되며, 이후 보고서는 원본 미디어 없이 분석 결과만 담은 정적 산출물로 보관됩니다. 보고서 접근·버전 기록(5년)은 분쟁 증빙용 메타데이터로 원본 미디어를 포함하지 않습니다.

파기 방법:

• 전자적 파일: 복원 불가능한 기술적 방법으로 삭제
• 출력물: 파쇄 또는 소각

7.1. 기본 권리 (모든 이용자)

7.2. 권리 행사 방법 및 응답 기간

접수처: [email protected]

회사는 요청 접수일로부터 다음 기간 내에 답변 또는 처리합니다 (적용 법률에 따라):

회사는 본인 확인 절차를 거칠 수 있습니다.

7.3. 해외 이용자 추가 권리

7.3.1. EEA 이용자 (GDPR)

• 데이터 이동권 (Data Portability): 구조화된 기계 판독 가능 형식으로 데이터를 받을 권리
• 처리 제한권 (Right to Restriction): 특정 상황에서 처리를 제한할 권리
• 자동화 의사결정 거부권: 법적 효력을 가진 순수 자동화 의사결정의 대상이 되지 않을 권리 (회사의 AI 기반 검수 보조 분석은 참고 정보이며 법적 효력이 없음)
• 감독기관 민원 제기권: 거주국 데이터 보호 감독기관(DPA)에 민원 제기 가능

7.3.2. UAE 이용자 (UAE PDPL)

• 연방 법률 제45호/2021에 명시된 모든 권리
• 국외 이전 동의권 (제8조 참조)
• UAE 데이터 사무소(UAE Data Office)에 민원 제기 가능

8.1. 이전 현황

8.2. 동의

위 8.1 표에 기재된 국가로의 국외 이전은 서비스 제공에 필수적이며, 회사는 표준 계약 조항(SCC) 및 데이터 처리 계약(DPA)을 통해 적정한 보호 조치를 확보합니다(「개인정보 보호법」 제28조의8 / GDPR 제46조). 회사는 회원가입 시 본 이전 사실을 고지하며, 이용자는 해당 국가가 거주국과 동일한 수준의 개인정보 보호를 제공하지 않을 수 있음을 안내받습니다.

동의 철회는 [email protected]로 연락하여 가능합니다. 다만 본 이전은 서비스의 기술적 기반(DB·CDN·AI)을 구성하므로, 동의 철회 시 추가적인 서비스 이용은 제한되며 이미 생성된 보고서에는 영향을 미치지 않습니다.

회사와 이용자 보호를 위해 동의 상호작용 기록을 유지합니다:

동의 기록은 5년간 또는 관련 분쟁 종료 시까지 보유합니다.

회사는 개인정보 보호를 위해 다음의 기술적·관리적 조치를 시행합니다:

• 전송 시 암호화: TLS 1.2 이상
• 저장 시 암호화: AES-256
• 접근 통제: 역할 기반 접근 제어, 최소 권한 원칙
• 인증: 안전한 비밀번호 해시 처리 (bcrypt/Argon2)
• 모니터링: 침입 탐지, 접근 기록, 이상 탐지
• 위탁업체 보안: 제3자 처리자에게 동등한 보안 기준 요구

어떠한 시스템도 100% 안전을 보장할 수 없으며, 회사는 상업적으로 합리적인 조치를 취하지만 데이터의 절대적 보안을 보장하지는 않습니다.

11.1. 글로벌 원칙. 서비스는 만 18세 미만의 개인을 대상으로 하지 않습니다. 회사는 본인 또는 법정대리인의 동의 없이는 미성년자의 개인정보를 고의로 수집하지 않습니다.

11.2. 한국 14세 미만 — 법정대리인 동의 필수. 「개인정보 보호법」 제22조에 따라, 한국 거주 만 14세 미만 아동의 개인정보를 처리하려면 법정대리인의 명시적 동의가 필수이며, 동의 없이 수집된 정보는 즉시 파기됩니다.

11.3. 한국 14세 이상 19세 미만. 한국 「민법」상 미성년자(19세 미만)의 경우, 본 회원가입 또는 결제는 법정대리인의 동의를 얻은 경우에 한하여 가능하며, 동의 없이 체결된 계약은 본인 또는 법정대리인이 취소할 수 있습니다(이용약관 제4.1조 참조).

11.4. 신고 및 삭제 요청. 미성년자가 본 정책에 위반하여 회사에 개인정보를 제공한 사실을 인지한 경우 [email protected]로 연락하시면 회사는 지체 없이 해당 정보를 파기합니다.

「개인정보 보호법」 제31조에 따라 회사의 개인정보 보호책임자(CPO)를 다음과 같이 지정·공개합니다:

• 성명: 추교한
• 직위: 대표이사
• 소속: 주식회사 티에스비티컴퍼니
• 이메일: [email protected]
• 우편: 서울특별시 마포구 월드컵로 196, B105-E280호 (성산동, 대명비첸시티 오피스텔)

이용자는 회사의 서비스를 이용하면서 발생한 모든 개인정보 보호 관련 문의, 불만 처리, 피해 구제 등에 관한 사항을 개인정보 보호책임자에게 문의할 수 있습니다. 회사는 이용자의 문의에 대해 지체 없이 답변 및 처리할 것입니다.

회사는 본 방침을 수시로 변경할 수 있습니다. 중요한 변경이 있는 경우:

• 사이트에 변경된 방침을 게시하고 "최종 수정" 일자를 갱신합니다
• 등록된 이메일로 최소 7일 전 사전 안내합니다
• 시행일 이후 서비스를 계속 이용하는 경우 변경된 방침에 동의한 것으로 봅니다

개인정보 침해에 대한 신고나 상담이 필요한 경우 다음 기관에 문의할 수 있습니다:

• 개인정보 침해 신고센터 (한국인터넷진흥원): 118 / privacy.kisa.or.kr
• 개인정보 분쟁조정위원회: 1833-6972 / kopico.go.kr
• 대검찰청 사이버수사과: 1301 / spo.go.kr
• 경찰청 사이버수사국: 182 / ecrm.cyber.go.kr
• 개인정보보호위원회 (PIPC): pipc.go.kr

해외 이용자는 거주국의 데이터 보호 감독기관(EEA: 자국 DPA, UAE: UAE Data Office, 사우디아라비아: SDAIA)에 민원을 제기할 수 있습니다.

본 방침은 한국어를 정본으로 하며, 영어 등 다른 언어로 번역된 본은 회원의 편의를 위해 제공됩니다. 정본과 번역본 사이에 해석상의 차이가 있는 경우 한국어 정본이 우선합니다. 단, 회원의 거주 관할 법률에서 자국어 표기를 강행 규정으로 요구하는 범위 내에서는 그러하지 아니합니다.

이메일: [email protected]

*본 개인정보 처리방침은 2026-05-29부터 시행됩니다.*