개인정보처리방침
시행일: 2026년 2월 17일 최종 수정일: 2026년 2월 17일 본 개인정보처리방침은 Headless Commerce(“회사”, “당사”)가 API, 대시보드, SDK, CLI 및 관련 서비스(이하 “서비스”)를 이용하는 과정에서 개인정보를 수집, 이용, 저장 및 보호하는 방법을 설명합니다. 본 방침은 플랫폼을 이용하는 가맹점 및 팀원에게 적용됩니다. 가맹점을 대신하여 처리하는 데이터(즉, 최종 고객의 데이터)에 대한 내용은 데이터처리계약(DPA)을 참조하십시오.1. 개인정보처리자
본 방침에 기술된 개인정보의 처리자는 다음과 같습니다: Headless Commerce 이메일: privacy@headlesscommerce.io 주소: [회사 주소] 개인정보 보호책임자: 이메일: dpo@headlesscommerce.io2. 수집하는 개인정보
2.1 계정 정보
서비스 가입 및 이용 시 다음 정보를 수집합니다:| 항목 | 수집 목적 |
|---|---|
| 이름 | 계정 식별, 커뮤니케이션 |
| 이메일 주소 | 인증, 알림, 결제 |
| 비밀번호 (해시값) | 인증 (bcrypt 해시 처리, 평문 저장 안 함) |
| 프로필 이미지 | 대시보드 표시 |
| OAuth 토큰 | Google/GitHub 인증 (암호화 저장) |
2.2 조직 및 결제 정보
| 항목 | 수집 목적 |
|---|---|
| 조직명 | 계정 관리 |
| 결제 이메일 | 인보이스 발송 |
| Stripe 고객 ID | 결제 처리 (카드 정보는 Stripe에서 관리, 당사 미저장) |
| Stripe 구독 ID | 구독 관리 |
| 요금제 유형 | 서비스 권한 관리 |
2.3 기술 및 이용 정보
| 항목 | 수집 목적 |
|---|---|
| IP 주소 | 보안, 속도 제한, 남용 방지 |
| 사용자 에이전트 | 호환성, 디버깅 |
| API 요청 경로 | 이용 분석, 디버깅 |
| 요청/응답 메타데이터 | 문제 해결, 감사 로깅 |
| 대시보드 활동 | 기능 이용 분석 |
2.4 수집하지 않는 정보
- 신용카드 번호 — 모든 결제 카드 정보는 Stripe에서 직접 처리합니다. 당사는 카드 번호를 보거나, 전송하거나, 저장하지 않습니다.
- 최종 고객 비밀번호 — 고객 인증 정보는 해시 처리되며 평문으로 접근 불가합니다.
3. 위탁 처리 데이터
수탁자로서 당사는 가맹점의 최종 고객이 API를 통해 제출하는 다음 데이터를 처리합니다:- 고객 이름, 이메일, 전화번호
- 배송 및 청구 주소
- 주문 상세 및 이력
- 장바구니 내용 및 세션 데이터
4. 처리의 법적 근거
4.1 개인정보 보호법에 따른 근거
| 법적 근거 | 처리 활동 |
|---|---|
| 동의 (제15조 제1항 제1호) | 계정 생성, 마케팅 |
| 계약의 이행 (제15조 제1항 제4호) | 서비스 제공, 결제 |
| 정당한 이익 (제15조 제1항 제6호) | 보안, 부정행위 방지 |
| 법률상 의무 (제15조 제1항 제2호) | 세무/재무 기록 보관 |
4.2 GDPR에 따른 근거 (EU/EEA 이용자)
| 법적 근거 | 처리 활동 |
|---|---|
| 계약 이행 (제6조 제1항 (b)) | 서비스 제공, 계정 관리, 결제 |
| 정당한 이익 (제6조 제1항 (f)) | 보안, 부정행위 방지, 서비스 개선 |
| 동의 (제6조 제1항 (a)) | 마케팅 커뮤니케이션 (옵트인) |
| 법적 의무 (제6조 제1항 (c)) | 세무 기록, 규제 준수 |
5. 개인정보의 제3자 제공 및 위탁
5.1 수탁업체
| 수탁업체 | 위탁 목적 | 소재지 |
|---|---|---|
| Neon | PostgreSQL 데이터베이스 호스팅 | 미국/EU |
| Upstash | Redis 캐싱 및 속도 제한 | 리전별 |
| Stripe | 결제 처리 및 청구 | 미국 (글로벌) |
| Resend | 트랜잭션 이메일 발송 | 미국 |
| Sentry | 오류 모니터링 및 디버깅 | 미국 |
| AWS S3 | 미디어/파일 저장 | 리전별 |
| Cloudflare | CDN 및 DDoS 방어 | 글로벌 |
| Inngest | 백그라운드 작업 처리 | 미국 |
5.2 당사가 하지 않는 것
- 개인정보를 제3자에게 판매하지 않습니다
- 광고 목적으로 데이터를 공유하지 않습니다
- 프로파일링이나 자동화된 의사결정에 데이터를 사용하지 않습니다
5.3 법 집행 기관
법적으로 강제되는 경우(법원 명령, 소환장) 또는 긴박한 위해를 방지하기 위해 필요한 경우에만 데이터를 공개합니다. 법률로 금지되지 않는 한 귀하에게 통지합니다.6. 국외 이전
귀하의 데이터는 귀하의 관할권 외의 국가에서 전송 및 처리될 수 있습니다:6.1 한국법에 따른 국외 이전
개인정보 보호법 제17조 및 제28조의2에 따라:- 국외 이전에 대한 귀하의 동의를 획득합니다
- 수취 당사자가 동등한 수준의 데이터 보호 기준을 유지하도록 보장합니다
- 국외 이전 세부 사항은 위 수탁업체 표에 기재되어 있습니다
6.2 EU/EEA 이전
EEA 외부로의 이전 시:- 유럽위원회가 승인한 **표준계약조항(SCCs)**을 적용합니다
- 해당되는 경우 적정성 결정을 활용합니다
7. 보유 기간
| 데이터 유형 | 보유 기간 | 근거 |
|---|---|---|
| 계정 정보 | 계정 삭제 시까지 + 30일 유예기간 | 계약 |
| API 로그 (IP, UA, 요청) | 90일 순환 | 정당한 이익 |
| 결제/청구 기록 | 7년 | 세법 준수 |
| 거래 기록 (한국법) | 3년 | 전자상거래법 |
| 마케팅 동의 기록 | 동의 기간 + 3년 | 법적 의무 |
8. 정보주체의 권리
8.1 개인정보 보호법에 따른 권리
- 열람권 — 수집된 개인정보의 열람을 요청할 수 있습니다
- 정정·삭제권 — 부정확한 정보의 정정 또는 삭제를 요청할 수 있습니다
- 처리정지 요구권 — 개인정보 처리의 정지를 요청할 수 있습니다
- 동의 철회권 — 이전에 제공한 동의를 언제든지 철회할 수 있습니다
- 개인정보보호위원회 신고 — 개인정보보호위원회(PIPC)에 민원을 제기할 수 있습니다
8.2 GDPR에 따른 권리 (EU/EEA 이용자)
EU/EEA에 소재한 경우 다음 권리가 있습니다:- 열람 — 개인 데이터에 접근
- 정정 — 부정확한 데이터 수정
- 삭제 — 데이터 삭제 (“잊힐 권리”)
- 이동 — 다른 서비스로 데이터 이전
- 제한 또는 반대 — 처리 제한 또는 반대
- 동의 철회 — 언제든지
- 감독 기관 불만 제기
8.3 권리 행사 방법
위 권리를 행사하려면 privacy@headlesscommerce.io로 연락하십시오. 회신 기한:- 한국법: 10일
- GDPR: 30일
9. 안전 조치
개인정보를 보호하기 위해 적절한 기술적·관리적 조치를 시행합니다:| 조치 | 상세 |
|---|---|
| 전송 중 암호화 | 모든 API 및 대시보드 통신에 TLS 1.3 |
| 저장 시 암호화 | 데이터베이스(Neon) 제공자를 통한 AES-256 |
| 비밀번호 해싱 | 적절한 작업 계수의 bcrypt |
| API 키 보안 | 비밀 키 해시 저장; 순환 지원 |
| 속도 제한 | Redis 기반 속도 제한으로 남용 방지 |
| 접근 통제 | 역할 기반 접근 (Owner/Admin/Staff/Viewer) |
| 감사 로깅 | 모든 관리자 활동을 IP 및 UA와 함께 기록 |
| PCI 준수 | SAQ-A 자격 — 카드 정보가 당사 서버를 거치지 않음 |
10. 쿠키 및 추적
10.1 사용하는 쿠키
| 쿠키 | 유형 | 목적 | 기간 |
|---|---|---|---|
| 세션 토큰 | 필수 | 대시보드 인증 (JWT) | 세션 |
| CSRF 토큰 | 필수 | 크로스사이트 요청 위조 방지 | 세션 |
10.2 사용하지 않는 것
- 제3자 광고 쿠키 없음
- 크로스사이트 추적 픽셀 없음
- 핑거프린팅 기술 없음
11. 아동의 개인정보
서비스는 만 14세 미만(GDPR 적용 시 16세 미만)의 개인을 대상으로 하지 않습니다. 당사는 아동의 개인정보를 고의로 수집하지 않습니다. 그러한 수집을 인지하게 되면 즉시 해당 데이터를 삭제합니다.12. 방침 변경
본 개인정보처리방침은 수시로 업데이트될 수 있습니다. 중대한 변경은 다음을 통해 공지됩니다:- 계정 이메일로의 알림
- 대시보드 알림
- 시행일 최소 30일 전
13. 연락처
개인정보 관련 문의:- 일반 문의: privacy@headlesscommerce.io
- 개인정보 보호책임자: dpo@headlesscommerce.io
- 주소: [회사 주소]
- 한국 규제 기관: 개인정보보호위원회 (PIPC), https://www.pipc.go.kr