개인정보처리방침

시행일: 2026년 3월 8일 · 최종 개정: 2026년 11월 3일

1. 서문

kissinskin("당사")은 https://kissinskin.net 웹사이트를 운영합니다. 본 개인정보처리방침은 AI 메이크업 분석 서비스("서비스") 이용 시 이용자의 정보를 어떻게 수집, 이용, 보호, 공개하는지 설명합니다.

당사는 EU 일반개인정보보호법(GDPR), UK GDPR, 미국 캘리포니아 소비자 프라이버시법(CCPA/CPRA), 브라질 LGPD, 대한민국 개인정보 보호법(PIPA), 캐나다 PIPEDA, 일본 개인정보보호법(APPI), 호주 프라이버시법 1988 등 전 세계 데이터 보호법 준수를 약속합니다.

2. 개인정보 관리자

서비스를 통해 처리되는 개인정보에 대한 관리자는 kissinskin입니다. 결제 관련 데이터는 Polar가 독립적인 관리자로서 책임집니다.

• 개인정보 관리자: kissinskin
• 문의: [email protected]
• 웹사이트: https://kissinskin.net

3. 수집하는 정보

3.1 업로드한 사진 (생체/얼굴 데이터)

• 서비스 이용 시 AI 분석을 위해 얼굴 사진을 업로드합니다.
• 사진은 처리를 위해 OpenAI API(메이크업 이미지 생성)와 Google Gemini API(톤·제품 분석 리포트)로 전송되며, 당사 서버에 저장되지 않습니다.
• 사진은 실시간 메모리에서 처리되며 결과 생성 후 즉시 폐기됩니다.
• 당사는 사진을 어떠한 형태로도 보관, 보존, 백업하지 않습니다.
• 생체 데이터 고지: 얼굴 사진은 일부 법률(예: 미국 일리노이 BIPA, 텍사스 CUBI, 워싱턴주 법)상 생체 데이터에 해당할 수 있습니다. 당사는 사진에서 생체 식별자 또는 템플릿을 추출, 저장, 생성하지 않습니다. 사진은 오직 AI 메이크업 시뮬레이션 생성 목적으로만 사용되며 보관되지 않습니다.

3.1.1 얼굴형 셀카 측정 (기기 안에서만 처리)

• 얼굴형 진단의 "셀카로 재기"는 사진을 서버로 보내지 않습니다. 이용자의 브라우저 안에서 얼굴 윤곽 위치를 찾아 이마 · 광대 · 턱 너비와 얼굴 길이의 비율만 계산합니다.
• 측정선을 그린 축소 사진과 결과 비율은 결과 화면에 다시 보여 주기 위해 해당 브라우저 탭의 세션 저장소에만 최대 6시간 남고, 탭을 닫으면 사라집니다. 당사는 이를 수집하거나 볼 수 없습니다.
• 생체 식별자나 얼굴 템플릿을 만들거나 저장하지 않습니다.

3.1.1-2 관상·사주 메이크업 (기기 안에서만 처리)

• 관상 측정은 얼굴형 측정과 같은 방식으로 브라우저 안에서만 이뤄지며 사진을 서버로 보내지 않습니다. 눈매 · 이목구비 비율 같은 수치만 계산합니다.
• 입력한 생년월일(과 선택한 태어난 시)은 사주 계산에만 쓰이며 서버로 보내지 않습니다. 결과 · 생년월일 · 관상 도감은 다시 보여 주기 위해 이 기기의 브라우저 저장소(localStorage)에만 남고, 브라우저 데이터를 지우면 사라집니다. 당사는 이를 수집하거나 볼 수 없습니다.
• "친구에게 보내기" 링크에는 동물상 · 운 점수 · 오행 요약만 담기며 사진과 생년월일은 들어가지 않습니다.
• 처방 메이크업을 내 얼굴에 입혀 보는 경우에만 셀카가 AI 메이크업 생성에 쓰이며, 처리 방식은 3.1항(AI 메이크업)과 같습니다.
• 정밀 풀이를 요청하면 생년월일 원본이나 사진이 아니라, 이미 계산된 결과(사주 기둥 한자 · 오행 개수 · 동물상 비율 · 관상 수치 · 운 점수)만 AI 풀이 생성을 위해 서버를 거쳐 OpenAI로 전송됩니다. 당사 서버는 이를 저장하지 않으며, 받은 풀이는 이 기기에만 저장됩니다.

3.2 생성된 메이크업 결과 이미지 (저장·공유 시)

• 위 3.1항은 업로드한 원본 사진에 관한 내용입니다. 이와 별도로 AI가 생성한 메이크업 결과 이미지는 다르게 처리됩니다.
• 결과 화면에서 저장 또는 공유 버튼을 누르면(모바일에서는 결과 화면을 여는 시점에 미리 준비되기도 합니다), 생성된 결과 이미지가 클라우드 저장소(Supabase Storage)에 업로드되어 고유 링크(/result/{id})로 보관됩니다. 소셜 공유 시 미리보기(Open Graph 카드)를 표시하고, 링크를 통해 결과를 다시 볼 수 있게 하기 위해서입니다.
• 이 이미지는 추측 불가능한 무작위 ID를 알아야만 접근할 수 있는 공개 링크로 보관되며, 별도 요청이 없는 한 자동으로 만료되지 않습니다.
• 삭제를 원하시면 [email protected]으로 결과 링크(URL)를 보내 주십시오. 영업일 기준 3일 이내에 삭제해 드립니다.

3.2.0 고객 갤러리에 직접 올린 이미지 (선택)

• 결과 화면에서 갤러리에 올리기를 고르거나, 갤러리 페이지의 내 사진첩에서 올리기로 저장해 둔 결과 사진을 직접 골라 공개에 동의한 경우에만, 선택한 이미지 1장(긴 변 1024px로 축소)과 룩·기능 이름, 계정 ID, 동의 기록을 저장합니다(Supabase). 결과 화면에서 올릴 때 원본 셀카는 올라가지 않으며, 사진첩에서 올린 사진은 키스인스킨 결과 이미지가 아니면 승인하지 않고 삭제합니다.
• 운영자가 검토·승인하기 전에는 비공개로 보관하며, 승인되면 갤러리와 메인 페이지에 이름·이메일 없이 공개됩니다. 공개된 이미지는 누구나 볼 수 있고 다른 사람이 저장할 수 있습니다.
• 갤러리는 만 18세 이상 본인 사진만 올릴 수 있습니다.
• 보관 기간: 이용자가 삭제하거나 계정을 탈퇴할 때까지. 갤러리의 "내 사진"에서 언제든 직접 삭제해 동의를 철회할 수 있으며, 거절된 이미지는 바로 삭제합니다.
• 하트와 신고 기록은 계정 ID와 함께 저장되며, 공개 화면에는 하트 수만 표시됩니다.

3.2.1 계정에 저장하는 기록 (로그인 회원)

• 로그인한 회원이 직접 저장한 무료 진단 결과(내 뷰티 기록), 저장한 AI 메이크업 룩, 저장한 메이크업 방법(/looks/) 목록은 마이페이지에서 다시 볼 수 있도록 계정에 연결해 보관합니다(Supabase).
• 업로드한 원본 사진은 저장되지 않습니다. 진단 유형·룩 이름 같은 결과 값을 저장하며, AI 메이크업 룩은 3.2항의 생성 결과 이미지 링크를 함께 기록합니다. 이 기록은 회원 탈퇴 시 계정과 함께 삭제되며, 결과 이미지 자체의 삭제는 3.2항에 따라 요청하실 수 있습니다.

3.2.2 이메일 구독 · 결과 메일

• 뉴스레터 구독이나 진단 결과 메일을 신청하면 이메일 주소, 신청 위치, 언어를 보관합니다. 구독은 확인 메일의 버튼을 눌러야 시작되며(더블 옵트인), 모든 메일 하단의 링크로 언제든 해지할 수 있습니다.
• 회원 가입만으로는 주간 메일(광고성 정보)을 보내지 않습니다. 회원에게는 사이트 안에서 수신 동의(선택)를 따로 받으며, 동의 여부와 일시를 계정에 기록하고 마이페이지에서 언제든 바꿀 수 있습니다. 동의하지 않아도 서비스 이용에는 제한이 없습니다. 비밀번호 재설정·구매한 결과물 전달 같은 서비스 안내 메일은 동의와 관계없이 발송됩니다.
• 메일은 발송 서비스 Resend를 통해 보내며, 메일이 열렸는지(메일 속 1×1 투명 이미지)와 어떤 링크를 눌렀는지(links.kissinskin.net 경유)를 측정합니다. 이 정보는 발송 품질과 콘텐츠 개선에만 쓰며, 구독을 해지하면 이후 측정도 중단됩니다.

3.3 결제 정보

• 모든 결제 처리는 Polar(polar.sh)가 Merchant of Record 자격으로 수행합니다.
• 당사는 신용카드 번호, CVV, 전체 청구 세부사항을 수신·열람·저장하지 않습니다.
• Polar가 거래 처리에 필요한 결제 정보(카드 정보, 청구 주소, 이메일)를 수집합니다. 해당 데이터는 Polar의 개인정보처리방침의 적용을 받습니다.
• 당사는 Polar로부터 거래 확인, 주문 금액, 고객 지원용 참조 ID를 전달받을 수 있습니다.

3.4 자동 수집 데이터 · 쿠키

본 사이트는 현재 제3자 디스플레이 광고(배너 광고)를 게재하지 않습니다. 당사는 사이트 운영과 익명 이용 분석을 위해 다음 제3자 서비스의 쿠키와 유사 기술(localStorage, 픽셀)을 사용합니다. EU/EEA·영국 이용자에게는 Google Consent Mode v2가 적용되어, 쿠키 배너에서 "모두 동의"를 선택하기 전까지 분석 쿠키는 비활성 상태로 유지됩니다.

디스플레이 광고: 본 사이트는 현재 Google AdSense를 포함한 어떠한 제3자 디스플레이 광고도 게재하지 않으며, 광고 목적의 쿠키를 사용하지 않습니다. 향후 광고를 도입할 경우 본 방침을 갱신하고 쿠키 배너에서 별도 동의를 받습니다.

동의 변경: 쿠키 동의는 브라우저 저장소를 비우거나 사이트 데이터를 삭제하면 다시 표시됩니다.

쿠팡 파트너스 어필리에이트 링크: 추천 제품 카드 일부와 메이크업 방법(/looks/) 페이지의 "제품 찾기" 버튼에 쿠팡 어필리에이트 링크가 포함되어 있으며 rel="sponsored"로 표기됩니다. 해당 링크를 클릭한 시점에만 쿠팡 도메인(link.coupang.com, coupang.com)이 자체 트래킹 쿠키(예: OVERSEAS_GUEST_COUNTRY, X-CP-PG-NID)를 발행합니다. 이러한 쿠키는 kissinskin.net이 발행하지 않으며 당사는 해당 데이터에 접근할 수 없습니다. 어필리에이트 수익은 추천 선정에 영향을 주지 않습니다. 자세한 내용은 쿠팡 파트너스 정책을 참고하세요.

링크프라이스(클리오) 어필리에이트 링크: 일부 추천 카드 및 향수 진단 결과 페이지에는 링크프라이스 제휴마케팅을 통한 클리오(clubclio.co.kr) 공식몰 어필리에이트 링크가 포함되어 있으며 rel="sponsored"로 표기됩니다. 해당 링크를 클릭한 시점에만 링크프라이스 도메인(newtip.net) 및 클리오 도메인이 자체 트래킹 쿠키를 발행합니다. 이러한 쿠키는 kissinskin.net이 발행하지 않으며 당사는 해당 데이터에 접근할 수 없습니다. 어필리에이트 수익은 추천 선정에 영향을 주지 않습니다. 자세한 내용은 링크프라이스 정책을 참고하세요.

4. 처리의 법적 근거 (GDPR 제6조)

EU/EEA 및 영국 이용자에 대해 당사는 다음 법적 근거에 따라 데이터를 처리합니다.

5. 정보 이용 방식

6. 자동화된 의사결정 및 프로파일링

GDPR 제22조에 따라:

• 서비스는 메이크업 시뮬레이션 및 분석 리포트 생성을 위해 자동화된 처리(OpenAI 및 Google Gemini 모델)를 사용합니다.
• 이 자동 처리는 예술적/화장적 성격의 결과를 생성하며, 법적 효과나 이에 준하는 중대한 영향을 발생시키지 않습니다.
• 당사는 이용자의 데이터를 프로파일링, 타겟 광고, 신용 평가 또는 법적·중대한 영향을 미치는 의사결정에 이용하지 않습니다.
• 본 자동 처리의 법적 근거는 사진 업로드 및 분석 개시 시 제공된 이용자의 명시적 동의입니다.

7. 제3자 서비스 및 처리자

당사는 다음 제3자 서비스를 이용하며, 각 서비스는 자체 개인정보처리방침을 가집니다.

중요: 톤·제품 분석 리포트는 Google Gemini 또는 OpenAI 로 처리됩니다. 어느 쪽을 쓸지는 서비스 가용성에 따라 요청 시점에 자동으로 정해지며, 두 경우 모두 아래 보호 수준은 동일합니다. OpenAI의 API 데이터 이용 정책에 따르면 API를 통해 전송된 데이터는 모델 학습에 사용되지 않습니다. 당사는 Google Gemini API 를 유료 등급으로만 이용하며, Gemini API 약관상 유료 등급에서는 구글이 프롬프트·업로드 파일·응답을 자사 제품 개선에 사용하지 않습니다. 당사는 어떠한 경우에도 이용자 사진을 자체 AI 학습에 사용하지 않습니다.

8. 국경 간 데이터 이전

데이터는 거주 국가 외 국가(미국·싱가포르 포함)로 이전·처리될 수 있습니다. 당사는 적절한 보호 장치를 마련합니다.

• EU/EEA → 미국·싱가포르: OpenAI, Google, Polar, Resend 및 Supabase로의 이전은 EU 집행위원회가 채택한 표준계약조항(SCC) 및/또는 해당하는 경우 EU-미국 데이터 프라이버시 프레임워크로 보호됩니다.
• 영국: 이전은 UK 국제데이터이전협약(IDTA) 또는 EU SCC에 대한 UK 부록으로 보호됩니다.
• 대한민국: 국경 간 이전은 개인정보 보호법 제17조 요구사항을 준수합니다. 서비스 이용에 대한 동의는 명시된 목적의 국경 간 데이터 이전에 대한 동의에 해당합니다.
• 브라질: LGPD 제33조에 따라 동의 및 적절한 보호 장치 기반으로 이전됩니다.
• 일본: APPI 요구사항을 준수하여 적절한 보호 장치와 함께 이전됩니다.
• 업로드한 사진은 저장하지 않으므로 사진의 이전은 일시적이며 AI 처리 시간에 한정됩니다. 회원 계정·저장한 기록·구독 이메일은 Supabase(싱가포르)에 보관되며, 15항의 기준에 따라 파기됩니다.

9. 수집하지 않는 데이터

• 이름, 전화번호, 주소를 직접 수집하지 않습니다(결제 시 Polar에 제공되는 경우, 분석 리포트 발송용 이메일 입력 시 제외).
• 사용자 계정이나 프로필을 강제 생성하지 않습니다.
• 업로드한 사진을 당사의 AI 모델 학습에 이용하지 않습니다 — OpenAI 는 API 데이터 미학습 정책이, Google 은 유료 등급의 데이터 미사용 정책이 적용됩니다.
• 생체 식별자(얼굴 임베딩 벡터·해시·템플릿)를 생성하거나 저장하지 않습니다.
• 당사는 개인정보를 판매·대여하지 않습니다. 본 사이트는 디스플레이 광고를 게재하지 않으므로 광고 목적의 제3자 데이터 공유도 없습니다.

10. 데이터 보안

• 모든 데이터 전송은 HTTPS/TLS(TLS 1.2 이상)로 암호화됩니다.
• 사진은 브라우저에서 당사의 안전한 서버리스 함수를 거쳐 OpenAI · Google Gemini API로 직접 전송됩니다 — 중간 저장이 없습니다.
• 인프라는 Cloudflare Workers(서버리스)에서 실행되므로 데이터가 저장되거나 접근될 수 있는 영구 서버가 존재하지 않습니다.
• 무단 접근, 변경, 공개 또는 파기로부터 데이터를 보호하기 위한 적절한 기술적·조직적 조치를 구현합니다.

11. 데이터 유출 통지

개인정보가 관련된 유출 사고 발생 시(가능성은 낮으나):

• EU/EEA (GDPR): 사실 인지 후 72시간 이내에 감독기관에 통지합니다(제33조). 이용자의 권리와 자유에 높은 위험이 있는 경우 지체 없이 개인에게도 통지합니다(제34조).
• 영국: 72시간 이내에 정보위원회(ICO)에 통지합니다.
• 대한민국 (PIPA): 영향받는 개인 및 개인정보보호위원회(PIPC)에 지체 없이 통지합니다.
• 브라질 (LGPD): 국가데이터보호청(ANPD) 및 영향받는 개인에게 통지합니다.
• 캘리포니아 (CCPA): Cal. Civ. Code § 1798.82 요구에 따라 영향받는 주민에게 통지합니다.
• 캐나다 (PIPEDA): 실질적 피해 위험이 있는 유출의 경우 캐나다 프라이버시 커미셔너 및 영향받는 개인에게 통지합니다.
• 호주: Notifiable Data Breaches scheme에 따라 OAIC 및 영향받는 개인에게 통지합니다.

12. 이용자의 권리

12.1 모든 이용자의 권리

거주 지역과 무관하게 이용자는 다음 권리를 가집니다.

• 열람: 당사가 보유한 이용자 데이터를 확인할 수 있습니다(상기한 바와 같이 사실상 없음).
• 삭제: 모든 데이터의 삭제를 요청할 수 있습니다. 사진 및 개인정보를 저장하지 않으므로 주로 Polar가 보관하는 결제 기록에 해당합니다.
• 이동: 데이터를 이동 가능한 형식으로 요청할 수 있습니다.
• 처리 반대: 데이터 처리에 반대할 수 있습니다.
• 동의 철회: 언제든 동의를 철회할 수 있습니다. 철회 이전 처리의 적법성에는 영향을 주지 않습니다.

12.2 EU/EEA 이용자 (GDPR)

위 권리에 더해 다음 권리를 가집니다.

• 정정: 부정확한 개인정보의 수정 (제16조)
• 제한: 특정 상황에서 처리 제한 요청 (제18조)
• 정당한 이익 처리 반대: 정당한 이익 기반 처리에 반대 (제21조)
• 자동화된 의사결정 배제: 자동 처리에 관한 권리 (제22조) — 상기 제6조 참조
• 민원 제기: 거주지 데이터보호당국(DPA)에 민원을 제기할 권리. EU DPA 목록: edpb.europa.eu

12.3 대한민국 이용자 (PIPA)

• 개인정보 보호법에 따라 개인정보 열람, 정정, 삭제 및 처리 정지 요구권을 가집니다.
• 당사는 목적 달성 시 개인정보를 파기할 의무를 준수합니다 — 사진은 처리 즉시 파기됩니다.
• 개인정보보호위원회(PIPC)(pipc.go.kr)에 민원을 제기할 수 있습니다.
• 한국인터넷진흥원(KISA) 개인정보침해신고센터(privacy.kisa.or.kr)를 통해서도 분쟁 해결이 가능합니다.

12.4 영국 이용자 (UK GDPR)

• UK GDPR 및 데이터보호법 2018에 따라 EU 이용자와 동등한 권리를 가집니다.
• 정보위원회(ICO)(ico.org.uk)에 민원을 제기할 수 있습니다.

12.5 캘리포니아 이용자 (CCPA/CPRA)

• 알 권리: 지난 12개월 수집된 개인정보 카테고리 및 구체적 항목 공개 요청.
• 삭제권: 개인정보 삭제 요청.
• 정정권: 부정확한 개인정보 정정 요청.
• 판매/공유 거부권: 당사는 CCPA/CPRA 정의상 개인정보를 판매하거나 공유하지 않습니다. 별도 거부 요청이 필요하지 않습니다.
• 비차별: CCPA/CPRA 권리 행사로 인한 차별을 받지 않습니다.
• 권한 있는 대리인: 대리인을 지정하여 요청할 수 있습니다.
• 당사는 확인 가능한 소비자 요청에 45일 이내 대응합니다.

12.6 브라질 이용자 (LGPD) / 캐나다 이용자 (PIPEDA) / 일본 이용자 (APPI) / 호주 이용자 (Privacy Act 1988)

• 브라질: LGPD상 확인, 열람, 정정, 익명화, 이동, 삭제, 공유 정보, 동의 철회 권리. ANPD에 민원 가능.
• 캐나다: PIPEDA상 접근, 정확성 이의제기, 동의 철회 권리. OPC(priv.gc.ca)에 민원 가능.
• 일본: APPI상 공개, 정정, 이용 정지, 삭제 요청 권리. PPC에 민원 가능.
• 호주: 호주 프라이버시 원칙(APP)상 접근 및 정정 권리. OAIC(oaic.gov.au)에 민원 가능.

권리 행사: [email protected]으로 문의해 주십시오. 관련 법률이 요구하는 기간(일반적으로 30일, CCPA의 경우 45일) 내에 답변드립니다.

13. 아동 개인정보

• 본 서비스는 만 16세 미만(또는 관할지역의 최소 연령) 아동을 대상으로 하지 않습니다.
• 당사는 만 16세 미만(미국 COPPA상 만 13세 미만)의 데이터를 고의로 수집하지 않습니다.
• 아동이 서비스를 이용했다고 판단되면 문의해 주시고, 잘못 수집된 데이터를 삭제하는 등 적절한 조치를 취하겠습니다.
• EU/EEA의 최소 연령은 GDPR 제8조에 따라 회원국별로 13~16세 범위입니다.
• 대한민국의 최소 연령은 개인정보 보호법상 만 14세입니다.

14. Do Not Track (DNT) 신호

당사 서비스는 제3자 웹사이트에서 이용자를 추적하지 않으므로 Do Not Track(DNT) 신호에 응답하지 않습니다. 당사는 어떠한 교차 사이트 추적에도 관여하지 않습니다.

15. 데이터 보관 및 파기

• 사진: 미보관. AI 처리 완료 즉시 파기.
• 분석 결과: 기본적으로 브라우저에만 존재. 로그인 회원이 직접 저장한 경우에만 계정에 보관(3.2.1항)하며 회원 탈퇴 시 함께 삭제.
• 회원 계정: 탈퇴할 때까지 보관, 탈퇴 즉시 삭제. 남은 크레딧과 크레딧 사용 내역도 함께 삭제되며 복구되지 않습니다.
• 가입 무료권 사용 기록: 탈퇴 후 다시 가입해 무료권을 반복해서 받는 것을 막기 위해, 무료권을 사용한 경우 이메일 주소·로그인 계정 고유번호를 되돌릴 수 없게 변환한 값(해시)과 사용 횟수만 남깁니다. 원래 이메일 주소는 이 기록에서 알아낼 수 없습니다. 삭제를 원하시면 [email protected]으로 요청해 주세요.
• 친구 초대 기록: 초대 링크로 가입한 경우 누가 누구를 초대했는지와 보상 지급 여부를 남깁니다. 탈퇴하면 계정과의 연결은 끊기고, 다시 가입해 초대 보상을 반복해서 받는 것을 막기 위해 위와 같은 해시만 남습니다. 초대 코드는 탈퇴 시 함께 삭제됩니다.
• 구독 이메일: 구독 중에는 보관. 해지하면 다시 발송되지 않도록 수신거부 목록에 이메일 주소만 남깁니다. 이 주소까지 완전히 지우려면 [email protected]으로 요청해 주세요. 확인 버튼을 누르지 않은 신청은 발송 대상이 아닙니다.
• 거래 참조: 고객 지원 및 법률/세무 준수를 위해 최대 12개월 보관 후 삭제.
• 결제 데이터: Polar의 데이터 보관 정책 및 관련 금융 규정에 따라 Polar가 보관.
• PIPA(대한민국), LGPD(브라질) 및 기타 관련법의 데이터 파기 요구사항을 준수합니다.

16. 방침 변경

본 개인정보처리방침은 수시로 갱신될 수 있습니다. 중요한 변경 사항은 상단에 갱신된 시행일과 함께 반영됩니다. 법률(GDPR, PIPA 등)이 요구하는 경우 시행 전 중요 변경을 통지합니다. 변경 후에도 서비스를 계속 이용하는 것은 변경에 대한 동의로 간주됩니다.

17. 문의

개인정보 관련 질문, 데이터 요청 또는 권리 행사:

• 이메일: [email protected]
• 웹사이트: https://kissinskin.net

모든 개인정보 관련 문의에 30일 이내(또는 관련 지역법이 요구하는 기간 내) 답변드립니다.