개인정보처리방침

1. 적용 범위

이 방침은 kraivos.com 공개 웹사이트, 인증된 KRAIVOS 웹 제어면과 KRAIVOS 설치형 Lite/Full 소프트웨어에 적용됩니다. 공개 안내 웹사이트는 결제, 광고 추적 또는 자체 분석 쿠키를 사용하지 않습니다.

2. 웹사이트 문의 정보

이메일로 문의하면 발신자가 제공한 이름, 이메일 주소와 문의 내용을 답변·파트너십 검토·보안 기록 목적으로 처리할 수 있습니다. 필요한 기간 동안만 보관한 뒤 삭제합니다.

3. 하이브리드 서비스 데이터

Supabase Auth는 앱 로그인에 필요한 이메일 주소를 처리하고 KRAIVOS 제어면은 인증된 계정 UUID만 사용합니다. 프로젝트, 입력·생성 미디어, 렌더 결과, 설정, 진단 로그와 브라우저 세션은 사용자의 컴퓨터에 저장됩니다. 사용자가 명시적으로 업로드·공유·외부 서비스 전송을 선택하지 않는 한 프로젝트 내용은 KRAIVOS 서버로 전송되지 않습니다. 로컬 미디어 실행기는 Google OAuth client secret이나 Google refresh token을 받거나 저장하지 않습니다.

• KRAIVOS는 Google 계정 비밀번호, 복구 이메일 또는 인증 전화번호를 요청하거나 저장하지 않습니다.
• OAuth code, token, cookie, raw state와 PKCE verifier는 애플리케이션·진단·감사 로그에 기록하지 않습니다.
• 앱 로그인 이메일은 인증 제공자가 인증 목적으로 처리하며 KRAIVOS control-plane application record와 감사 로그에는 저장하지 않습니다.

4. Google·YouTube 데이터와 최소 권한

KRAIVOS는 사용자가 선택한 채널 정보와 소유 콘텐츠를 표시하기 위해 youtube.readonly, 사용자가 검토·승인한 영상을 업로드하기 위해 youtube.upload, 사용자가 검토·승인한 메타데이터·댓글·라이브 방송·라이브 채팅 작업을 위해 youtube.force-ssl, 채널 분석을 읽기 전용으로 표시하기 위해 yt-analytics.readonly를 사용합니다. 구현되지 않은 미래 기능이나 더 넓은 youtube 범위는 요청하지 않습니다.

Google API에서 받은 데이터는 사용자가 요청한 채널 연결, 업로드, 관리, 라이브 및 분석 기능을 제공하는 데만 사용합니다. 광고, 판매, 신용평가, 감시 또는 범용 AI 모델 학습에 사용하지 않으며, 사용자 요청 기능에 필요한 처리자 또는 법률상 요구되는 경우를 제외하고 제3자에게 판매·공유하지 않습니다. KRAIVOS의 Google API 데이터 사용과 이전은 Google API Services 사용자 데이터 정책의 Limited Use 요건을 준수합니다.

• 연결 해제 시 Google revoke를 시도하고 성공 여부와 관계없이 서버의 암호화 token envelope와 연결 record를 즉시 삭제합니다.
• KRAIVOS 계정 삭제 시 control-plane 계정과 종속 데이터를 삭제합니다.
• 이 작업은 Google 계정, YouTube 채널, 게시된 영상 또는 사용자 기기의 프로젝트·미디어를 삭제하지 않습니다.

• Google API Services 사용자 데이터 정책
• Google 개인정보처리방침
• Google 계정에서 KRAIVOS 접근 권한 철회
• KRAIVOS 데이터 삭제 안내

5. 사용자가 선택한 외부 서비스

사용자가 Suno, Google, YouTube 또는 다른 AI·게시 서비스의 기능을 실행하면 해당 작업에 필요한 프롬프트, 파일 또는 메타데이터가 사용자의 컴퓨터에서 그 서비스로 직접 전송될 수 있습니다. 처리에는 각 외부 서비스의 약관과 개인정보처리방침이 적용됩니다. KRAIVOS는 로그인 비밀번호를 중계하지 않습니다.

6. 제공 인프라와 국외 처리

Google Cloud는 제어면·암호키·secret 처리에, Supabase는 앱 인증과 PostgreSQL에, Cloudflare는 DNS·edge 보안과 웹 제공에 사용됩니다. 각 처리자는 서비스 제공에 필요한 범위에서 기술적 접속 정보와 서비스 데이터를 처리할 수 있습니다. Google·YouTube 및 사용자가 선택한 외부 서비스는 국외에서 데이터를 처리할 수 있습니다.

7. 이용자 권리와 삭제

KRAIVOS에서 YouTube 연결 해제 또는 계정 삭제를 실행할 수 있고 Google 계정 권한 페이지에서도 직접 철회할 수 있습니다. 웹 문의 기록의 열람·정정·삭제 또는 개인정보 관련 요청은 contact@kraivos.com으로 보내주세요. 자세한 절차는 데이터 삭제 안내 페이지에서 확인할 수 있습니다.

8. Google 사용자 데이터 보호조치

Google OAuth 승인 데이터와 YouTube API 데이터에는 다음과 같은 기술적·관리적 보호조치를 적용합니다.

• 전송 중 보호: 브라우저, KRAIVOS 제어면, Google OAuth와 YouTube API 사이의 통신은 HTTPS/TLS를 사용합니다. OAuth 요청은 PKCE S256과 예측 불가능한 일회용 state로 보호합니다.
• 임시 승인 상태: 서버에는 raw state가 아닌 SHA-256 digest만 색인으로 저장합니다. PKCE verifier는 최대 10분 동안 KMS로 보호한 envelope에 보관하고 한 번 사용하거나 만료되면 삭제합니다.
• 저장 중 보호: 각 Google refresh token은 새로운 256-bit data key와 nonce를 사용한 AES-256-GCM으로 암호화하며 data key는 Google Cloud KMS 대칭키로 감쌉니다. 계정 UUID, Google subject와 YouTube channel ID를 인증 부가 데이터로 결속합니다.
• 최소 저장: access token과 authorization code는 영구 저장하지 않습니다. OAuth client secret은 Google Secret Manager에만 보관합니다. 애플리케이션 record와 감사 로그에는 이메일, Google token, client secret, 요청 본문과 RTMP stream key를 기록하지 않습니다.
• 접근통제: Cloud Run runtime service account에는 필요한 Secret Manager secret과 특정 KMS key의 최소 권한만 부여합니다. 공개 origin API는 신뢰된 edge 경계와 사용자 bearer 인증을 함께 검사합니다.
• 로그·보존·삭제: 연결 해제 시 Google revoke를 시도하고 서버 token envelope와 연결 record를 즉시 삭제합니다. 철회 네트워크 요청이 실패해도 서버 복사본 삭제는 중단하지 않습니다.
• 사고 대응: 무단 접근 또는 유출이 의심되면 연동을 중지하고 token·client secret·암호키를 철회 또는 교체하며 영향을 조사합니다. 법률이나 Google 정책이 요구하면 영향받은 사용자와 Google에 알리고 재발 방지 조치를 적용합니다.

• 보안·개인정보 문의

9. 방침 변경

처리 기능, 보호조치 또는 법적 요구사항이 바뀌면 이 방침과 시행일을 갱신합니다. Google 사용자 데이터의 사용 목적이나 처리 방식이 달라지는 경우 적용 전에 이용자에게 알리고 필요한 동의를 받습니다.