개인정보처리방침

(주)브라이트샤인(이하 “회사”)은 HR 근무일정 관리 서비스를 운영하면서 계정 정보와 사업장이 입력한 직원 자료를 처리합니다. 직원 자료는 사업장이 인사·근태 관리를 위해 입력하며, 회사는 서비스 제공에 필요한 범위에서 처리합니다.

1. 처리 목적과 항목

처리 주체의 구분: 회사는 대표자 계정·가입·고객문의·서비스 보안 정보에 관하여 개인정보처리자의 지위에서 처리합니다. 사업장이 직원의 인사·근태 관리를 위해 맡긴 자료는 사업장이 처리 목적과 적법한 근거를 결정하고, 회사는 그 지시에 따라 위탁받은 범위에서 처리하는 수탁자의 지위로 관리합니다. 같은 자료라도 처리 목적과 실제 관계에 따라 적용되는 책임은 다르며, 회사 자체의 법정 의무는 유지됩니다.

대표자 이메일·비밀번호(인증 시스템을 통한 처리)·사업장명·계정 식별자·인증 상태·동의 버전과 일시는 가입·인증·서비스 제공 및 동의 이력 확인을 위한 필수 정보입니다. 가입 화면의 안내와 이 방침을 통해 수집·이용 목적·항목·보유 기간과 거부 권리를 알리고 동의를 받습니다. 필수 정보 수집·이용에 동의하지 않으면 가입할 수 없습니다. 비밀번호 원문을 회사 운영자가 조회하는 방식으로 관리하지 않습니다. 담당자·직원 연락처와 비고는 선택 항목이며 입력하지 않아도 기본 서비스를 이용할 수 있습니다. 불필요한 민감정보·고유식별정보는 입력하지 마세요.

2. 수집 방법과 직원 자료 제공의 전제

대표자 이메일은 회사가 계정 생성·인증·서비스 안내를 위해 필수로 받는 개인정보입니다. 직원 이름도 개인정보이며 직원 등록과 근무표에서 개인을 구분하기 위해 처리합니다. 직원 전화번호는 선택 사항으로, 제공하지 않아도 직원 등록·근무표 등 기본 서비스를 이용할 수 있습니다.

직원 자료는 회사가 직원에게 직접 수집하는 것이 아니라, 사업장 대표자 또는 그 권한을 위임받은 담당자가 입력·업로드하여 회사에 전달합니다. 회사는 사업장이 직원 자료를 서비스에 입력하기 전에 적법한 처리 권한을 확보하고, 필요한 고지 및 법령상 요구되는 경우 직원 본인의 동의를 완료한 자료만 제공한다는 전제로 서비스를 제공합니다.

사업장은 (주)브라이트샤인의 HR 시스템을 이용해 직원 개인정보를 처리한다는 사실, 처리 목적·항목·보유 기준, 권리 행사 방법과 국외 처리 사항을 해당 직원에게 적절히 안내해야 합니다. 동의가 필요한 경우에는 필수·선택 항목과 동의 거부에 따른 영향을 구분해 동의를 받고, 그 근거와 이력을 관리해야 합니다. 선택 사항인 직원 전화번호를 동의나 다른 적법한 근거 없이 입력해서는 안 됩니다.

처리위탁과 제3자 제공의 구분: 사업장의 인사·근태 업무를 사업장의 지시에 따라 수행하기 위한 회사의 처리는 원칙적으로 개인정보 처리위탁의 성격으로 관리합니다. 외부 시스템으로 전달된다는 이유만으로 모든 처리를 법률상 제3자 제공으로 단정하지 않습니다. 실제 처리 관계에 따라 제3자 제공에 해당하는 경우에는 사업장이 제공받는 자(주식회사 브라이트샤인), 목적, 항목, 보유·이용 기간, 거부 권리와 영향을 알리고 필요한 별도 동의 또는 다른 적법한 근거를 확보한 뒤 제공해야 합니다.

사업장은 직원 정보의 처리 목적과 항목에 따라 필요한 안내·동의 또는 다른 적법한 근거를 갖추어야 합니다.

대표자의 약관 동의·권한 확인은 직원 본인의 동의를 대체하지 않습니다. 회사가 직원별 동의를 직접 받거나 모든 동의가 실제 완료되었다고 검증한 것은 아닙니다. 사업장은 직원별 고지·동의 또는 다른 적법한 처리 근거에 관한 증빙을 보관하고, 적법한 요청에 따라 필요한 범위에서 확인에 협력해야 합니다. 직원은 소속 사업장 또는 회사의 개인정보 문의 창구를 통해 열람·정정·삭제·처리 정지 등을 요청할 수 있습니다.

3. 보유 기간과 파기

• 대표자 계정·사업장 설정·직원·근태 자료 및 사업장별 변경·해지 이력은 해당 사업장의 서비스 이용 기간 및 아래 해지 보관 기간 동안 관리합니다. 다른 목적의 적법한 보존 근거가 없는 정보는 목적 달성 시 정당한 보존 사유를 확인한 뒤 지체 없이 파기합니다. 사업장 이용해지는 대표자 신청과 운영자 승인 후 아래 보관 절차를 따릅니다.
• 직원·근태 자료는 사업장의 관리·보존 목적에 따라 보관합니다. 직원의 퇴사만으로 자료가 자동 삭제되지는 않습니다. 권한 있는 사업장 사용자의 삭제 또는 정당한 삭제 요청에 따라 처리하며, 법률상 보존 의무가 있으면 그 범위와 기간을 별도로 안내합니다.
• 문의·접속·보안 기록은 문의 처리와 서비스 운영·보안 대응에 필요한 범위에서 관리합니다. 법령에 따라 보존이 필요한 자료는 해당 범위와 기간에 한해 보관하며, 외부 서비스의 로그·백업 등은 해당 공급자의 계약·설정과 보관 정책에 따릅니다.
• 전자 자료는 복구·재생이 어렵도록 삭제하고, 종이 자료가 있는 경우 파쇄 등으로 파기합니다. 외부 서비스에 남는 보관 기록의 처리 범위와 삭제 시점은 요청 시 확인해 안내합니다. 회사가 통제하지 않는 다운로드 파일은 해당 사업장이 별도로 관리해야 합니다.

사업장 이용해지: 대표자는 사업장 설정 → 사용설명 → 사업장 이용해지에서 신청할 수 있습니다. 운영자(admin) 승인일부터 1개월간 대표자가 신청 시 안내받은 해지 철회와 자료 인계를 위해 기존 사업장·직원·근태 기록을 보관하며 조회·엑셀 다운로드만 허용합니다. 한국 시간 기준 다음 달 같은 날짜·시각(해당 날짜가 없으면 말일)이 삭제 예정일이며 화면에 표시합니다. 예정일 전 철회하거나 운영자가 보류하면 자동 삭제하지 않습니다. 보류 후 재승인은 새 승인일부터 1개월을 보관합니다.

기간 만료 후 철회·보류 등 상태 변경이 없으면 매시간 자동 정리 작업에서 운영 데이터베이스의 사업장·직원·일용직·근무·휴가·대장·변경 기록·사업장별 로그인 자격을 삭제합니다. 장애로 실패한 삭제는 복구 후 재시도하며, 완료 후 복구할 수 없습니다. 다른 사업장 이용 관계가 없는 연결 계정도 정리하되, 다른 사업장과 공유하는 로그인 계정이나 운영자 계정은 해당 이용 관계에 필요한 범위에서 유지합니다.

회사는 해지 신청과 삭제 요청을 확인하여 처리합니다. 법령상 보존이나 분쟁 처리 등 정당한 사유가 있으면 필요한 범위에서 보관·삭제 시점을 조정하고 안내할 수 있습니다. 정보주체의 권리 요청은 관계 법령에 따라 별도로 처리합니다. 공급자 백업·보안 로그는 해당 공급자의 보관·삭제 주기에 따르므로 운영 데이터베이스와 삭제 시점이 다를 수 있습니다.

4. 사업장 내 공개와 외부 제공

대표자가 설정한 권한에 따라 HR 담당자는 담당 사업장·팀 자료를, 전체 직원(읽기 전용)은 허용된 직원 명단·근무일정·잔여 개수 등을 볼 수 있습니다. 공유 비밀번호를 아는 사람이 해당 화면에 접근할 수 있으므로 사업장은 전달 범위와 비밀번호를 관리해야 합니다. 회사는 직원 자료를 광고·판매 목적으로 제공하지 않습니다. 현재 직원 자료를 회사의 독립적인 목적을 위해 제3자에게 제공하는 별도 기능은 운영하지 않습니다. 법률상 적법한 요구에 응하는 경우에도 요구 주체·권한·범위와 제공 근거를 확인합니다. 향후 별도의 제3자 제공을 시행할 때는 제공받는 자·목적·항목·보유 기간 등을 사전에 공개하고 필요한 별도 동의 또는 다른 적법한 근거를 갖춥니다.

5. 처리위탁·재위탁과 외부 통신

회사는 서비스 제공에 필요한 인증·호스팅·이메일 발송 등의 업무에 아래 외부 서비스를 이용합니다.

jsDelivr는 이용자 브라우저가 공개 라이브러리를 내려받는 과정의 외부 통신이며, 직원 자료를 저장·관리하는 위탁 업무와 구분합니다. 브라우저의 IP·요청 정보가 제공자에게 전달될 수 있습니다. 회사는 직원 명단·근무표를 해당 라이브러리 요청에 포함하지 않습니다.

회사는 외부 처리 업무에 필요한 범위로 자료를 제한하고 관련 계약·설정과 접근 권한을 관리합니다. 위탁·재위탁에 필요한 절차는 관계 법령과 계약에 따르며, 주요 공급자나 처리 범위가 변경되면 이 방침에 반영합니다.

6. 개인정보 처리 위치와 국외 이전

서비스에 설정된 주요 처리 지역은 다음과 같습니다. Render의 애플리케이션 서버는 싱가포르, Supabase의 인증·데이터베이스 프로젝트는 대한민국 서울, Resend의 메일 발송 지역은 일본 도쿄입니다. 데이터베이스가 서울에 있더라도 서비스 이용 요청·응답은 싱가포르의 애플리케이션 서버에서 처리되고, 인증 메일 발송 정보는 일본의 발송 서비스를 통해 처리됩니다.

위 지역은 회사가 선택한 주요 서버·프로젝트·발송 리전입니다. 각 공급자의 백업, 운영·보안 기록, 원격 지원과 분산 전송 등은 공급자의 서비스 운영 방식과 계약·정책에 따라 다른 지역에서 처리될 수 있습니다. 관련 처리 범위와 보유 기간은 해당 공급자의 계약·설정 및 개인정보 안내에 따릅니다.

회사는 국외 처리에 필요한 고지·동의 등 절차를 관계 법령에 따라 진행합니다. 회원가입의 일반적인 수집·이용 동의를 국외 이전에 대한 별도 동의로 간주하지 않습니다. 별도 동의가 필요한 경우 해당 사항을 안내하고 동의를 받습니다.

이전 거부·권리 행사: support@brightshine.kr로 국외 처리에 대한 문의, 적용되는 동의의 철회, 처리 정지·삭제 또는 이용 종료를 요청할 수 있습니다. 회사는 본인·사업장 권한과 법적 보존 사유를 확인해 결과를 안내합니다. 해외 애플리케이션 서버를 통한 처리나 인증 메일 발송을 중단하면 로그인·근무표 이용 또는 인증 메일 수신이 제한될 수 있습니다.

7. 이용자와 직원의 권리

정보주체 또는 적법한 대리인은 support@brightshine.kr로 본인 자신의 개인정보에 대한 열람·정정·삭제·처리 정지·동의 철회 등을 요청할 수 있습니다. 회사는 필요한 본인·대리권 확인 후 관계 법령에 따라 처리하고 결과를 안내합니다. 직원 자료에 관한 요청은 소속 사업장 또는 회사에 접수할 수 있으며, 필요한 경우 사업장과 협력해 처리합니다. 다른 직원이나 사업장 전체 자료에 영향을 주는 요청에는 해당 범위의 권한을 추가 확인할 수 있습니다. 법령상 보존 의무 등으로 요청을 제한하는 경우에는 그 사유를 안내합니다.

휴가·근태 계산은 사업장의 업무 확인을 돕는 관리 정보이며 회사가 이를 통해 채용·해고·징계·임금 등 직원의 권리·의무에 관한 최종 결정을 자동으로 내리지 않습니다.

8. 안전성 확보와 접근

서비스는 이메일 인증, 비밀번호 검증, 사업장·역할·팀별 접근 통제, HTTPS 통신 및 변경 이력 등 보호 기능을 사용합니다. 운영자는 지원·점검·보안 대응에 필요한 범위에서 사업장 자료에 접근할 수 있으며 접근 권한과 처리 범위를 관리합니다. 이용자는 공유 비밀번호를 주기적으로 점검하고, 퇴사·인사 변경 시 전달받은 사람의 접근을 해제해야 합니다.

9. 쿠키와 브라우저 저장 정보

인증·세션 쿠키와 브라우저 저장소를 사용해 로그인 상태, 사업장 코드 저장 선택, 이메일 로그인 후 최근 사업장 코드, 화면 선택 및 안내 확인 상태를 유지합니다. 사업장 코드 저장 기능으로 비밀번호를 별도 저장하지 않으며, 인증 제공자의 세션 정보는 로그인 유지를 위해 저장될 수 있습니다. 공용 기기에서는 로그아웃하고 브라우저의 사이트 데이터를 삭제하세요. 쿠키·저장소를 차단하면 로그인과 일부 편의 기능이 제한될 수 있습니다.

10. 개인정보 보호책임자와 문의

운영자: (주)브라이트샤인
개인정보 보호책임자: 서호준 / 대표
문의·열람·정정·삭제·처리 정지·유출 신고: support@brightshine.kr

회사에 문의한 뒤 해결되지 않는 개인정보 분쟁은 개인정보침해 신고센터(국번 없이 118) 또는 개인정보분쟁조정위원회(1833-6972) 등에 상담할 수 있습니다.

11. 방침 변경

방침을 바꾸면 내용·적용일·변경 사유를 서비스 화면 또는 등록 이메일 등으로 알립니다. 처리 목적·항목·제공·국외 이전 등 중요한 사항을 변경할 때는 관계 법령에 따른 고지와 필요한 동의 절차를 진행합니다.

support@brightshine.kr · (주)브라이트샤인