개인정보처리방침
PIVIT(이하 "회사")은 「개인정보 보호법」 제30조에 따라 정보주체의 개인정보를 보호하고 관련 고충을 신속하게 처리하기 위하여 다음과 같이 개인정보처리방침을 수립·공개합니다.
개인정보 처리 구조
PIVIT.WORK(이하 "서비스")는 기업·조직이 도입하여 임직원의 성과·인사 관리를 수행하는 B2B SaaS 서비스입니다. 개인정보 처리 관계는 다음과 같이 나뉩니다.
- 회사가 직접 처리하는 정보: 계정 가입·인증·결제 등 서비스 제공을 위해 회사가 직접 수집·이용하는 정보.
- 회사가 위탁받아 처리하는 정보: 고객사가 자사 임직원에 대해 입력·연동하는 업무·인사 데이터. 이 경우 고객사가 개인정보처리자이며, 회사는 수탁자로서 고객사의 지시에 따라 처리합니다.
따라서 고객사 구성원의 개인정보에 대한 수집 동의·고지 의무는 일차적으로 고객사에 있으며, 회사는 위탁 범위 안에서만 데이터를 처리합니다.
제1조 개인정보의 처리 목적
회사는 다음 목적을 위하여 개인정보를 처리하며, 목적이 바뀌면 사전 동의를 받는 등 필요한 조치를 합니다.
- 회원 가입 및 관리: 가입 의사 확인, 본인 식별·인증, 회원 자격 유지·관리, 부정 이용 방지
- 서비스 제공: 타임라인, 1on1, 피드백, OKR, 성과평가, 회의록, 조직도, 스니핏, 리포트 등 기능 제공
- AI 기능 제공: 녹음의 음성 인식(받아쓰기), 1on1·회의 요약, 스니핏 요약·태그, 피드백·OKR 초안 등 생성·분석
- 협업 도구 연동: 이용자가 연결한 Slack·Notion·Jira·GitHub·Google Calendar 활동을 1on1 준비와 스니핏 초안에 활용
- 결제 및 정산: 유료 구독 결제, 정기결제, 영수증 발행
- 고객 지원 및 공지: 문의 응대, 분쟁 처리, 서비스 운영 관련 통지(초대·알림 메일 포함)
- 보안: 부정 접근 탐지, 개인정보처리시스템 접속기록 보관
제2조 처리하는 개인정보 항목
| 구분 | 항목 | 수집 시점 |
|---|---|---|
| 계정(필수) | 이메일, 비밀번호(이메일 가입 시) 또는 Google 계정 식별자(Google 로그인 시), 이름 | 가입·온보딩 |
| 프로필 | 소속 회사·팀, 직책, 직급, 프로필 사진(선택), 근무시간·시간대(선택) | 온보딩·내 설정 |
| 선호·성향(선택) | 피드백 톤·상세도, 집중 영역, 커리어 목표, 커뮤니케이션 선호 | 내 설정 |
| 업무·인사 데이터 | 스니핏, 1on1 기록(아젠다·메모·녹음·받아쓴 글·AI 요약), 피드백, OKR, 성과평가(자기·동료·매니저 평가, 등급), 회의록 | 서비스 이용 중(고객사가 입력) |
| 협업 도구 연동(연결 시) | Slack·Notion·Jira·GitHub·Google Calendar 의 활동 기록과 각 서비스 연결 토큰(암호화 저장) | 이용자·관리자가 연결할 때 |
| 결제(유료 구독 시) | 결제대행사가 발급한 결제 토큰(빌링키), 청구 담당자 이름·이메일, 구독·결제 내역. 카드번호 등 원본 결제정보는 회사가 저장하지 않습니다 | 결제수단 등록·결제 |
| 자동 생성 | 서비스 이용 기록, 기기·브라우저 정보, 접속 도시(로그인 기기 목록용), 접속 주소(IP — 보안 기록과 개인정보처리시스템 접속기록에 한함) | 서비스 이용 중 |
로그인 기기 목록에는 접속 주소(IP)로부터 추정한 도시 이름만 남기고 IP 자체는 저장하지 않습니다. 도시 추정은 회사 서버 안에서 하며 외부로 보내지 않습니다.
제3조 개인정보의 보유·이용 기간
회사는 법령에 따른 기간 또는 정보주체에게 동의받은 기간 안에서만 개인정보를 보유합니다.
| 구분 | 보유 기간 |
|---|---|
| 회원 계정 정보 | 탈퇴하면 즉시 이름·이메일을 알아볼 수 없게 바꾸고 계정에 딸린 개인 정보를 삭제합니다. 고객사의 업무 기록 중 남겨야 하는 것은 누구인지 알 수 없게 한 채 보존합니다 |
| 업무·인사 데이터(성과평가·1on1 녹음 포함) | 고객사 계약 기간 동안. 계약 종료 후 30일이 지나면 삭제 절차에 들어가고, 90일의 복구 기간이 지나면 파기합니다(계약 종료 후 약 4개월) |
| 회의 녹음 파일 | 회의록이 만들어진 뒤 90일이 지나면 자동 삭제. 고객사가 7·30·90일 중에서 고를 수 있음 |
| 결제·계약·청약철회 기록 | 5년 (「전자상거래 등에서의 소비자보호에 관한 법률」) |
| 소비자 불만·분쟁처리 기록 | 3년 (「전자상거래 등에서의 소비자보호에 관한 법률」) |
| 로그인 기기 목록 | 계정이 있는 동안 |
| 개인정보처리시스템 접속기록 | 2년 뒤 자동 삭제 (「개인정보의 안전성 확보조치 기준」 제8조) |
로그인 기기 목록은 이용자 본인이 「내 설정 › 보안」에서 자기 기기를 확인하는 기록입니다. 개인정보처리시스템 접속기록은 고객사 관리자·조직장과 회사 운영 담당자처럼 다른 사람의 개인정보를 다루는 사람이 조회·수정·삭제·내보내기 한 기록으로, 법령에 따라 접속 주소(IP)를 포함해 보관합니다.
제4조 개인정보의 제3자 제공
회사는 개인정보를 제1조의 목적 범위 안에서만 처리하며, 정보주체의 동의나 법률의 특별한 규정 등 「개인정보 보호법」 제17조·제18조에 해당하는 경우에만 제3자에게 제공합니다. 현재 회사는 제5조의 처리 위탁 외에 개인정보를 제3자에게 제공하지 않습니다.
이용자가 직접 연결한 협업 도구(Slack·Notion·Jira·GitHub·Google Calendar)는 회사가 그 도구에서 정보를 읽어 오는 것입니다. 다만 Google Calendar 를 연결한 이용자가 서비스에서 회의·일정을 만들면, 그 이용자의 요청에 따라 해당 회의·일정(제목·설명·시간·참석자 이메일)을 그 이용자의 Google Calendar 에 등록합니다. 이때 Google 이 참석자에게 초대 알림을 보낼 수 있습니다.
고객사가 Slack 을 연결하면, 서비스 알림(평가 마감·1on1 안내·관리자 공지 등)과 이용자가 서비스에서 보내는 메시지(제목·내용·링크)를 받는 사람의 Slack 개인 메시지나 고객사가 지정한 채널로 보냅니다. 받는 사람을 찾기 위해 구성원 이메일로 Slack 계정을 조회하며, 활동을 읽기 위해 Pivit 봇이 공개 채널에 참여합니다.
고객사가 Jira 를 연결한 경우, Atlassian 의 개인정보 보호 요건에 따라 저장한 Jira 계정 식별값과 갱신 시각을 Atlassian 에 주기적으로 보고하고, 탈퇴한 계정의 정보는 지웁니다.
제5조 개인정보 처리업무의 위탁
회사는 서비스 제공을 위해 다음과 같이 개인정보 처리업무를 맡기고 있으며, 위탁계약에 개인정보의 안전한 관리에 필요한 사항을 정합니다.
| 수탁자 | 맡기는 일 | 맡기는 개인정보 |
|---|---|---|
| Amazon Web Services | 서비스 서버·데이터베이스 운영, 파일 보관(서울 리전) | 서비스에 저장되는 개인정보 전부, 녹음 파일, 프로필 사진 |
| Anthropic, PBC | AI 요약·초안 생성 | 받아쓴 회의·1on1 내용과 참석자 이름, 스니핏, 피드백·평가·OKR 내용, 이름·이메일, 협업 도구 활동 내용(Slack 메시지 일부, Jira·GitHub 활동), 직원 명부를 가져올 때 열마다 몇 개의 예시 값(전화번호·사번·입사일 등), 고객 문의 내용 |
| Google LLC | AI 요약·초안 생성(Anthropic 을 쓸 수 없을 때의 대체), 서비스 메일 발송 | AI: Anthropic 과 같음 / 메일: 받는 사람 이메일, 메일 내용 |
| AssemblyAI, Inc. | 녹음의 음성 인식(받아쓰기) | 1on1·회의 녹음 파일 |
| 토스페이먼츠 | 유료 구독 결제·정기결제 | 결제 식별값, 결제 금액, 카드 정보(토스 결제창에 직접 입력) |
| Discord Inc. | 고객 문의·의견과 장애 알림을 회사 운영자에게 전달 | 문의한 사람의 이메일·회사명·문의 내용·화면 스크린샷·오류 확인용 네트워크 기록(요청 주소·실패한 응답 내용), 장애 시 사용자 식별값 |
위탁 대상과 업무가 바뀌면 본 방침을 통해 공개합니다.
제6조 개인정보의 국외 이전
회사는 AI·음성 인식·메일·운영 알림 기능을 위해 일부 개인정보를 국외로 이전(처리 위탁)합니다. 「개인정보 보호법」 제28조의8에 따라 다음을 알립니다. 서버와 데이터베이스는 국내(AWS 서울 리전)에 있습니다.
| 이전받는 자 | 국가 | 이전 항목 | 일시·방법 | 목적·보유 기간 |
|---|---|---|---|---|
| Anthropic, PBC | 미국 | 받아쓴 내용, 업무 기록, 이름·이메일, 협업 도구 활동 내용, 직원 명부 예시 값, 고객 문의 내용 | AI 기능을 쓸 때마다 암호화 통신 | AI 요약·초안 생성 / 수탁자 정책에 따름 |
| Google LLC | 미국 | AI: 위와 같음 / 메일: 이메일 주소·메일 내용 | AI 대체 사용 때, 메일 발송 때 암호화 통신 | AI 생성·메일 발송 / 수탁자 정책에 따름 |
| AssemblyAI, Inc. | 미국 | 1on1·회의 녹음 파일 | 녹음을 받아쓸 때마다 암호화 통신 | 음성 인식 / 수탁자 정책에 따름 |
| Discord Inc. | 미국 | 문의한 사람의 이메일·회사명·내용·스크린샷·네트워크 기록, 장애 시 사용자 식별값 | 문의·장애가 생길 때 암호화 통신 | 운영자 전달 / 전달된 글을 지울 때까지 |
국외 이전을 원하지 않는 정보주체는 제11조의 연락처로 처리정지를 요구할 수 있습니다. 이 경우 요약·받아쓰기 기능을 쓸 수 없습니다.
제7조 개인정보의 파기 절차 및 방법
- 회사는 보유 기간이 지나거나 처리 목적을 달성하는 등 개인정보가 필요 없게 되면 지체 없이 파기합니다.
- 파기 절차: 파기 사유가 생긴 개인정보를 골라 개인정보 보호책임자의 승인을 거쳐 파기합니다. 회의 녹음과 개인정보처리시스템 접속기록은 기간이 지나면 자동으로 삭제됩니다.
- 파기 방법: 전자 파일은 복구할 수 없도록 삭제합니다. 회사는 개인정보를 종이 문서로 다루지 않습니다.
- 백업: 장애 복구를 위한 데이터베이스 자동 백업은 14일간 보관된 뒤 자동으로 지워집니다. 따라서 삭제된 정보는 최대 14일 동안 백업에 남을 수 있습니다.
제8조 정보주체의 권리와 행사 방법
- 정보주체는 언제든지 개인정보의 열람·정정·삭제·처리정지와 동의 철회를 요구할 수 있습니다.
- 권리는 서비스의 「내 설정」 화면 또는 제11조의 개인정보 보호책임자에게 이메일로 행사할 수 있으며, 회사는 지체 없이 조치합니다.
- 고객사가 입력·관리하는 업무·인사 데이터(평가·피드백 등)에 대한 요구는 그 고객사가 처리자로서 판단하며, 회사는 고객사와 협조하여 대응합니다.
- 회사는 만 14세 미만 아동의 개인정보를 처리하지 않습니다.
제9조 개인정보의 안전성 확보 조치
- 관리적 조치: 내부관리계획 수립·시행, 취급자 교육, 접근 권한 최소화
- 기술적 조치
- 전송 구간 암호화(HTTPS), 데이터베이스·파일 저장 암호화
- 비밀번호 일방향 암호화(bcrypt), 협업 도구 연결 토큰 AES-256 암호화 저장
- 고객사별 데이터 분리(다른 고객사 데이터에 접근할 수 없도록 데이터베이스 단계에서 막음)
- 역할에 따른 접근 권한 관리, 개인정보처리시스템 접속기록 2년 보관·위변조 방지
- 결제정보 토큰화(카드번호 미저장)
- 서버 접근은 허가된 운영자 계정으로만 가능하며 외부에서 직접 접속하는 경로를 두지 않음
- 물리적 조치: 서버·데이터는 AWS 데이터센터에 있으며, 물리적 접근 통제는 AWS 가 수행합니다.
제10조 쿠키 등 자동 수집 장치
회사는 광고·행태 분석용 쿠키나 외부 분석 도구를 쓰지 않습니다. 다음과 같이 로그인과 화면 상태 유지에 필요한 것만 씁니다.
- 쿠키: Google 로그인·이메일 로그인 링크가 요청한 브라우저에서 끝났는지 확인하는 용도
- 브라우저 저장소: 로그인 상태, 언어 설정, 작성 중인 글 임시 저장 — 이용자의 브라우저에만 남고 외부로 보내지 않음
화면을 그리는 데 필요한 글꼴·그림은 외부 전송망(jsDelivr, Spline)에서 받으며, 이때 이용자의 접속 주소(IP)가 해당 업체에 전달됩니다. 프로필 사진을 올리지 않은 이용자의 기본 아바타 그림은 외부 서비스(DiceBear)에서 받으며, 이때 이용자 식별값(없으면 이름)이 함께 전달됩니다.
이용자는 브라우저 설정에서 쿠키 저장을 거부할 수 있으나, 이 경우 로그인이 되지 않을 수 있습니다.
제11조 개인정보 보호책임자
회사는 개인정보 처리에 관한 업무를 총괄하고 정보주체의 불만 처리와 피해 구제를 위하여 개인정보 보호책임자를 두고 있습니다.
| 개인정보 보호책임자 | 민현식 (대표) |
|---|---|
| 이메일 | privacy@pivit.work |
정보주체는 개인정보 보호에 관한 문의·불만·피해 구제를 위 연락처로 요청할 수 있으며, 회사는 지체 없이 답변·처리합니다.
제12조 권익침해 구제 방법
정보주체는 개인정보 침해에 대한 구제를 위해 다음 기관에 분쟁 해결·상담을 신청할 수 있습니다.
- 개인정보분쟁조정위원회: (국번없이) 1833-6972 / www.kopico.go.kr
- 개인정보침해신고센터(KISA): (국번없이) 118 / privacy.kisa.or.kr
- 대검찰청 사이버수사과: (국번없이) 1301 / www.spo.go.kr
- 경찰청 사이버수사국: (국번없이) 182 / ecrm.police.go.kr
제13조 개인정보처리방침의 변경
본 방침은 시행일부터 적용됩니다. 내용이 바뀌면 시행 7일 전(이용자 권리에 중요한 변경은 30일 전)부터 서비스 공지로 알립니다.
- 공고일자: 2026년 10월 2일
- 시행일자: 2026년 10월 2일