더짐 개인정보 처리방침
시행 2026-11-04(초안, 법무 검토 전)
이 문서는 법무 검토 전 초안입니다. 「개인정보 보호법」 제30조와 같은 법 시행령 제31조가 정한 항목을 모두 담았습니다. 검토가 끝나면 이 안내를 지우고 시행일을 다시 적습니다.
주식회사 굿플로우(이하 "회사")는 헬스장 운영 서비스 "더짐"(이하 "서비스")을 제공하면서 처리하는 개인정보를 「개인정보 보호법」에 따라 보호하고, 정보주체의 고충을 빨리 처리하기 위해 이 처리방침을 둡니다.
제1조 (회사가 맡는 두 가지 역할)
- 회사가 처리자인 정보: 헬스장 사업자(대표·직원)의 가입·계정 정보, 회원이 이용자 앱·헬스장 홈페이지에 만든 계정 정보, 도입 상담 신청 정보. 회사가 목적과 방법을 정해 처리합니다.
- 헬스장이 맡긴 정보(처리 위탁): 헬스장이 서비스에 넣은 지점 회원 정보(이름, 휴대폰, 생년월일, 사진, 회원권, 결제·출입·예약 기록, 운동일지). 이 정보의 개인정보처리자는 각 헬스장이고, 회사는 헬스장의 지시에 따라 서비스를 제공하는 범위에서만 처리하는 수탁자입니다. 이 정보의 열람·정정·삭제는 먼저 다니는 헬스장에 요청하면 되며, 회사에 요청하면 해당 헬스장에 바로 전달하고 처리를 돕습니다.
제2조 (처리 목적)
- 헬스장 사업자: 구독 가입과 본인(대표 휴대폰) 확인, 계정 관리, 이용료 청구와 결제, 세금계산서·영수증 발행, 무료 기간 종료·결제 실패 안내, 고객 문의 응대, 부정 가입 방지
- 회원 계정: 가입과 휴대폰 확인, 로그인, 지점 회원 정보와 잇기, 입장 QR·문 열기, 회원권 구매와 결제 연결, 예약, 알림함과 앱 알림, 문의 응대, 부정 이용 방지
- 헬스장이 맡긴 회원 정보: 회원 관리, 회원권 판매·환불·정정, 출입 판정과 기록, 예약, 운동일지와 트레이너 피드백, 문자·앱 알림 발송, 매출·마감 집계
- 도입 상담 신청: 상담 연락과 상담 기록 관리
- 서비스 안정과 보안: 접속 기록 보관, 장애 원인 확인, 부정 접속 차단
제3조 (처리하는 개인정보 항목)
| 구분 | 필수 항목 | 선택 항목·조건 |
|---|---|---|
| 헬스장 대표(가입) | 이름, 휴대폰 번호, 아이디, 비밀번호(해시로만 저장), 사업자 이름, 지점 이름·주소 | 사업자등록번호, 지점 전화번호, 이용료 결제 카드(결제대행사가 발급한 결제 토큰과 카드사 이름·끝 4자리만 저장) |
| 헬스장 카드 결제 가입(판매점 신청) | 사업자 형태·이름·등록번호, 업태·업종, 대표 이름·생년월일, 매장 전화, 대표 휴대폰, 이메일, 정산 은행·계좌번호·예금주, 사업장 주소 | 없음. 대표 생년월일·정산 계좌번호·판매자 사이트 비밀번호는 결제대행사에 넘기기만 하고 회사는 저장하지 않음 |
| 헬스장 직원 | 이름, 아이디, 비밀번호(해시), 역할, 근무 지점 | 휴대폰 번호, 관리자 앱 기기 알림 토큰·기기 종류·앱 판 |
| 회원 계정 | 휴대폰 번호(간편·이메일 가입은 지점 회원과 이을 때 확인), 이름, 비밀번호(휴대폰·이메일 가입, 해시) | 이메일(이메일 가입, 또는 간편 로그인 회사가 준 경우), 간편 로그인 식별자(카카오·네이버·Apple·Google 중 고른 것), 기기 알림 토큰·기기 종류·앱 판, 알림 설정, 광고성 정보 수신 동의 여부와 시각 |
| 헬스장이 맡긴 회원 정보 | 이름, 휴대폰 번호, 회원번호, 회원권(정지·양도·환불 기록 포함), 결제 기록, 출입 기록(시각·출입문·허용·거절 사유) | 생년월일, 성별, 사진(동의한 경우, 동의 시각), 출입 비밀번호(PIN, 해시), 담당 트레이너, 데스크 메모, 포인트, 문자 수신 동의 여부, 사물함, 예약·출석·노쇼 기록, 운동일지(동의한 경우, 동의 시각), 등록 카드(결제 토큰과 카드사 이름·끝 4자리), 정기결제 기록, 계좌이체 신청(입금자명), 현금영수증 식별번호 끝 4자리, 지문 등록 여부(지문 템플릿은 서버에 없음, 제4조) |
| 헬스장 홈페이지 상담·체험 신청(헬스장이 맡긴 정보) | 이름, 휴대폰 번호, 관심 종목, 연락 받기 좋은 때 | 남긴 말, 상담 원하는 코치, 들어온 경로(검색 사이트 이름 등) |
| 도입 상담 신청 | 헬스장 이름, 담당자 이름, 휴대폰 번호 | 유효회원 수 구간, 지금 쓰는 프로그램, 연락 받기 좋은 때, 문의 내용, 새 기능·혜택 소식 문자 수신 동의 |
| 자동으로 생기는 정보 | 접속 기록(접속 시각, 접속 주소(IP), 요청 경로), 기기 종류·앱 판 | 없음 |
- 운동일지는 회원이 남긴 운동·식단 기록, 컨디션(점수·수면 시간·아픈 곳), 사진, 몸 수치(체중·체지방률), 메모와 PT 기록, 트레이너 피드백입니다. 회사는 이를 「개인정보 보호법」 제23조의 민감정보(건강에 관한 정보)로 처리하지 않고 운동 기록으로 보지만, 건강과 가까운 정보일 수 있어 일지를 쓰기 전에 따로 동의를 받고, 담당 트레이너 등 허락된 직원에게만 보이게 합니다. "나만 보기" 기록은 어떤 직원도 볼 수 없습니다.
- 사진은 동의를 받은 경우에만 저장하며, 올릴 때 위치 등 사진 속 메타데이터를 지우고 비공개 저장소에 둡니다. 화면에는 몇 분 동안만 열리는 주소로 보여 줍니다.
- 회사는 카드번호·유효기간·카드 비밀번호를 저장하지 않습니다. 결제 화면에서 받은 카드 정보는 암호화해 결제대행사에 넘기는 데에만 쓰고 바로 버립니다.
- 앱이 쓰는 휴대폰 권한(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제22조의2). 모두 선택 권한이며, 허용하지 않아도 그 기능 말고는 앱을 쓸 수 있습니다. 위치·연락처·마이크 권한은 쓰지 않습니다.
| 권한 | 앱 | 쓰는 곳 |
|---|---|---|
| 카메라 | 이용자 앱 | 출입구 화면의 QR을 찍어 문 열기. 찍은 화면은 저장하지 않음 |
| 사진 | 이용자 앱 | 운동일지에 붙일 사진 고르기(고른 사진만 올림) |
| 알림 | 이용자 앱·관리자 앱 | 예약·출입·결제·만기 알림 받기 |
제4조 (생체정보(지문)는 서버에 두지 않습니다)
- 헬스장이 지문 출입을 쓰는 경우, 지문은 매장 PC에 연결된 지문기에서 읽어 특징점 템플릿으로 바꾸고, 지문 원본 이미지는 저장하지 않습니다.
- 템플릿은 그 매장 PC에만 암호화(AES-256-GCM, 키는 Windows 사용자 보호 기능으로 감쌈)해 둡니다. 회사 서버로 보내지 않으며, 서버에는 "지문 등록됨"과 무작위 참조 번호만 있습니다.
- 지문 등록 전에 헬스장은 회원에게 생체정보 수집·이용 동의를 따로 받아야 하며(「개인정보 보호법」 제23조), 회사는 동의서 서식을 제공합니다. 지문 등록을 원하지 않는 회원은 앱 QR·회원번호로 출입할 수 있습니다.
- 회원이 탈퇴하거나 동의를 철회하면 매장 PC의 템플릿은 바로(다음 동기화 때 자동으로) 지워집니다.
제5조 (보유 기간과 파기)
- 회사는 처리 목적을 이루면 개인정보를 바로 파기합니다. 항목별 기간은 다음과 같습니다.
| 정보 | 보유 기간 |
|---|---|
| 헬스장 사업자·직원 정보 | 구독 해지 효력일부터 30일(데이터 내려받기·다시 가입 기간) 뒤 파기. 직원 정보는 계정을 지우면 파기 |
| 회원 계정 정보 | 탈퇴할 때 바로 파기 |
| 헬스장이 맡긴 회원 정보 | 헬스장이 정한 기간. 회원 탈퇴 처리·헬스장 구독 해지 효력일부터 30일 뒤 파기(헬스장의 요청이 있으면 그에 따름) |
| 운동일지(기록·사진·몸 수치·피드백) | 동의 철회·지점 회원 탈퇴·앱 계정 삭제 때 바로 파기. 그 밖에는 마지막 회원권이 끝난 날부터 1년 뒤 파기 |
| 회원 사진 | 사진을 바꾸거나 지울 때, 회원 탈퇴 때 바로 파기(옛 사진을 보관하지 않음) |
| 지문 템플릿(매장 PC) | 동의 철회·회원 탈퇴 때 바로 파기 |
| 도입 상담 신청 | 상담이 끝난 날부터 1년(스팸으로 분류한 신청은 30일) |
| 문자 인증번호 | 해시로만 두고, 인증 시간(5분)이 지나면 쓸 수 없음. 남용 방지 기록은 하루 |
- 법령이 보존을 정한 정보는 위 기간과 상관없이 그 기간 동안 따로 분리해 보관하고, 그 목적으로만 씁니다.
| 근거 법령 | 정보 | 기간 |
|---|---|---|
| 전자상거래 등에서의 소비자보호에 관한 법률 | 계약 또는 청약철회 등에 관한 기록 | 5년 |
| 같은 법 | 대금결제 및 재화 등의 공급에 관한 기록 | 5년 |
| 같은 법 | 소비자의 불만 또는 분쟁처리에 관한 기록 | 3년 |
| 국세기본법·부가가치세법 | 세금계산서·영수증 등 거래 증빙 | 5년 |
| 통신비밀보호법 | 서비스 접속 기록(로그인 기록, 접속 주소) | 3개월 |
- 파기 방법: 전자 파일은 복구할 수 없는 방법으로 지우고, 종이(동의서 등)는 헬스장이 분쇄하거나 태웁니다. 백업 파일에 남은 정보는 백업 보관 기간(최대 14일)이 지나면 함께 지워집니다.
제6조 (제3자 제공)
회사는 개인정보를 제3자에게 제공하지 않습니다. 다만 정보주체가 따로 동의했거나, 법률에 특별한 규정이 있거나 법령상 의무를 지키기 위해 불가피한 경우(수사기관의 적법한 요청 등)에는 예외로 합니다.
제7조 (처리 위탁)
회사는 서비스를 제공하기 위해 다음과 같이 개인정보 처리 업무를 맡깁니다. 위탁 계약에 개인정보를 목적 밖으로 쓰지 않을 것, 안전조치, 다시 맡기기 제한, 관리·감독, 손해배상 책임을 적습니다. 수탁자의 정확한 법인명은 계약서 기준으로 공개 전에 고쳐 적습니다.
| 수탁자 | 맡기는 업무 | 맡기는 항목 |
|---|---|---|
| 사이다페이(결제대행사) | 이용료·회원권 카드 결제, 정기결제용 결제 토큰 발급, 결제 취소, 헬스장 판매점 가입·정산 | 카드 정보(결제 때만, 회사는 저장하지 않음), 결제 금액, 주문 번호, 결제 요청 문자를 받을 휴대폰 번호, 판매점 가입 정보(제3조 표) |
| 팝빌(문자 대행사) | 인증번호·안내 문자 발송 | 받는 사람 휴대폰 번호, 문자 내용 |
| Amazon Web Services(Lightsail, 서울 리전) | 서버·데이터베이스·백업 보관 | 이 처리방침이 다루는 서버 쪽 정보 전부 |
| Google(Firebase 클라우드 메시징) | 앱 알림 전달 | 기기 알림 토큰, 알림 문구 |
제8조 (국외 이전)
회사는 앱 알림을 보내기 위해 다음과 같이 개인정보를 국외로 옮깁니다(「개인정보 보호법」 제28조의8). 이전을 원하지 않으면 앱 알림을 끄거나 기기 설정에서 알림 권한을 거두면 되며, 이 경우 알림은 앱의 알림함에서만 볼 수 있습니다.
| 항목 | 내용 |
|---|---|
| 이전받는 자 | Google LLC(Firebase 클라우드 메시징). 아이폰은 Google을 거쳐 Apple Inc.(Apple 푸시 알림 서비스)로 전달 |
| 이전되는 나라 | 미국 등 Google·Apple이 서버를 둔 나라 |
| 이전 항목 | 기기 알림 토큰, 알림 문구(회원 이름·운동일지 내용·몸 수치는 넣지 않음) |
| 이전 시기와 방법 | 알림을 보낼 때마다 암호화된 통신으로 전송 |
| 이전 목적 | 휴대폰에 앱 알림 전달 |
| 보유 기간 | 전달이 끝날 때까지(전달되지 못한 알림은 Google 기준 최대 28일) |
서버는 Amazon Web Services 서울 리전(대한민국)에 있어, 서버 보관은 국외 이전이 아닙니다.
제9조 (정보주체의 권리와 행사 방법)
- 정보주체는 언제든 자기 개인정보의 열람, 정정, 삭제, 처리 정지, 동의 철회를 요구할 수 있습니다. 만 14세 미만 아동은 법정대리인이 요구할 수 있습니다.
- 이용자 앱의 "내 정보"에서 알림 설정·운동일지 동의 철회(전부 지우기)를 바로 할 수 있고, 그 밖의 요구는 고객센터(제12조)나 다니는 헬스장 데스크에 하면 됩니다. 회사는 요구를 받은 날부터 10일 안에 처리하고 결과를 알립니다.
- 헬스장이 맡긴 회원 정보에 대한 요구는 그 헬스장이 처리자이므로 헬스장에 전달해 처리합니다(제1조 2항).
- 법령이 보존을 정한 정보는 삭제를 요구해도 그 기간 동안 지우지 못할 수 있으며, 그 이유를 알립니다.
제10조 (안전조치)
회사는 「개인정보의 안전성 확보조치 기준」에 따라 다음 조치를 합니다.
- 관리적 조치: 내부 관리계획 수립, 개인정보를 다루는 직원 최소화와 교육
- 기술적 조치: 휴대폰 번호·생년월일·이메일·결제 토큰은 암호화해 저장하고, 비밀번호는 되돌릴 수 없는 해시로만 저장합니다. 모든 통신은 암호화(HTTPS)합니다. 로그에는 이름·휴대폰·사진 주소를 남기지 않고 내부 번호만 남깁니다.
- 접근 통제: 직원은 역할과 근무 지점 범위에서만 정보를 보며, 그 범위는 서버에서 요청마다 확인합니다. 회사 운영자는 별도 계정과 2단계 인증으로만 들어갑니다. 로그인은 5번 틀리면 잠시 막습니다.
- 감사 기록: 돈과 출입 권한을 바꾸는 일, 개인정보를 바꾸는 일, 운영자의 모든 행위를 기록하고 1년 이상 보관합니다.
- 매장 PC: 관리자 프로그램의 캐시(회원 정보·사진)와 지문 템플릿은 암호화해 두고, 기기 등록을 끊으면 지웁니다.
제11조 (쿠키 등 자동 수집 장치)
- 관리자 웹과 운영자 화면은 로그인 유지를 위해 꼭 필요한 쿠키(HttpOnly, 갱신 경로 전용) 하나만 씁니다. 광고·분석용 쿠키와 외부 분석 도구는 쓰지 않습니다.
- 소개 사이트와 헬스장 홈페이지는 광고·분석 쿠키를 쓰지 않습니다.
- 브라우저 설정에서 쿠키를 막을 수 있지만, 그러면 관리자 웹 로그인이 유지되지 않습니다.
제12조 (개인정보 보호책임자와 고충 처리)
| 항목 | 내용 |
|---|---|
| 개인정보 보호책임자 | 이상일(대표이사) |
| 연락처 | 전화 [대표 확인] · 이메일 [대표 확인] |
| 주소 | 부산광역시 부산진구 가야대로552번길 79, 101동 비101호 OXPC |
개인정보 침해에 대한 신고나 상담은 다음 기관에도 할 수 있습니다.
- 개인정보침해신고센터: 국번 없이 118, privacy.kisa.or.kr
- 개인정보분쟁조정위원회: 1833-6972, www.kopico.go.kr
- 대검찰청: 국번 없이 1301, www.spo.go.kr
- 경찰청: 국번 없이 182, ecrm.police.go.kr
제13조 (처리방침의 변경)
이 처리방침을 바꿀 때는 시행 7일 전부터 소개 사이트와 서비스 화면에 바뀌는 내용과 이유를 알립니다. 수집 항목이나 이용 목적, 제3자 제공·국외 이전처럼 정보주체의 권리에 중요한 변경은 시행 30일 전부터 알리고, 필요하면 다시 동의를 받습니다.
부칙
이 처리방침은 2026년 11월 4일부터 시행합니다(초안, 법무 검토 전).
| 사업자 정보 | 내용 |
|---|---|
| 상호 | 주식회사 굿플로우 |
| 대표자 | 이상일 |
| 사업자등록번호 | 194-81-03015 |