개인정보 보호정책

1. 소개

Zyvora는 ShadowPing LLC("ShadowPing", "우리", "저희")에 의해 개발되고 운영됩니다. 본 개인정보 보호정책은 Zyvora 플랫폼("플랫폼")을 사용할 때 당사가 정보를 수집, 사용, 저장 및 보호하는 방법을 설명합니다.

본 정책은 두 가지 범주의 사람들을 다룹니다: (1) 구독자 — Zyvora를 사용하여 자신의 사업을 운영하는 사업체 및 직원, (2) 최종 고객 — 해당 사업체의 고객 중 구독자에 의해 플랫폼에 입력된 데이터를 소유한 사람.

2. 당사가 수집하는 정보

구독자 계정 데이터: 가입할 때 당사는 사업명, 연락처 정보, 청구 세부사항 및 계정 자격증명을 수집합니다. 이는 계정을 생성하고 유지하는 데 사용됩니다.

비즈니스 운영 데이터: 비즈니스를 운영하기 위해 입력한 데이터 — 직원 프로필, 서비스 카탈로그, 일정, 약속 기록, 판매 지점 거래, 재고 기록, 급여 데이터 및 비즈니스 설정을 포함합니다. 당신이 이 데이터를 소유합니다.

최종 고객 데이터: 플랫폼에 입력한 고객에 대한 정보 — 이름, 연락처 세부사항, 약속 이력, 결제 기록, 로열티 포인트, 동의 기록 및 (임상 기능이 활성화된 경우) 건강 관련 정보를 포함합니다. 당신은 고객 데이터의 데이터 컨트롤러입니다. ShadowPing은 당신을 대신하여 데이터 처리자로 역할합니다.

시각 및 생체 인식 인접 데이터: Zyvora의 손톱 식별 또는 전후 사진 기능을 사용하면 플랫폼은 고객의 손톱, 피부 또는 기타 신체 특성의 사진을 수집하고 저장합니다. 이러한 이미지는 플랫폼에서 고객의 신원과 연결될 수 있습니다. 당신은 이러한 이미지를 수집하기 전에 고객으로부터 적절한 동의를 얻을 책임이 있습니다.

오디오 및 비디오 감시 데이터: 카메라 또는 보안 시스템 통합(Solink, Verkada, Eagle Eye, Spot AI 등)을 연결하면 비즈니스 시설의 오디오 및 비디오 녹화 — 당신의 살롱을 방문하는 최종 고객의 녹화 포함 — 이 통합을 통해 캡처되고 처리될 수 있습니다. ShadowPing은 카메라 영상을 직접 저장하지 않습니다. 이는 제3자 카메라 제공자가 자신의 조건에 따라 처리하고 저장합니다. 당신은 모든 적용 가능한 녹화 동의 법률을 준수하고 시설에 필수 공지를 게시할 책임이 있습니다.

통신 데이터: 플랫폼을 통해 전송된 SMS, RCS, 이메일 및 음성 통신(Twilio 및 Azure Communication Services를 통해). 메시지 내용, 배달 상태 및 타임스탬프는 받은편지함 관리 및 규정 준수를 위해 저장됩니다.

결제 데이터: 통합된 결제 처리자(Square, Stripe 등)를 통해 처리된 결제 거래. 원시 카드 번호는 ShadowPing에 의해 저장되지 않으며 — 결제 처리자가 제공하는 토큰화된 참조만 저장됩니다.

사용 및 분석 데이터: 로그 데이터, 기능 사용 패턴, 오류 보고서 및 성능 메트릭. 이 데이터는 플랫폼을 개선하는 데 사용되며 광고를 위해 제3자와 공유되지 않습니다.

장치 및 하드웨어 데이터: 플랫폼에 액세스할 때 수집된 IP 주소, 브라우저/앱 유형, 장치 식별자 및 세션 데이터. 통합된 하드웨어(iPad, 카드 리더, 바코드 스캐너, 영수증 프린터)를 사용하면 장치 식별자 및 하드웨어 상호 작용 데이터가 수집될 수 있습니다.

임상 데이터(해당하는 경우): Zyvora의 임상 기능(SOAP 노트, HIPAA 플래그 양식)을 사용하면 보호된 건강 정보(PHI)가 강화된 보안 제어 및 엄격한 액세스 로깅과 함께 저장됩니다. 임상 기능 사용에는 BAA(Business Associate Agreement)가 필요합니다.

3. 당신의 정보를 어떻게 사용하는지

당사는 수집한 정보를 다음을 위해 사용합니다:

• Zyvora 플랫폼 및 해당 기능 제공, 운영 및 개선
• 구독, 청구 및 결제 처리 및 관리
• 거래 통신 전송(송장, 계정 알림, 결제 실패 공지)
• 플랫폼의 AI 기반 기능 활성화(일정 관리, 스마트 어시스턴트, 위험 점수 매기기, 코칭 노트)
• 고객 지원 제공 및 문의 대응
• 플랫폼 보안 모니터링, 사기 탐지 및 시스템 무결성 보장
• 법적 의무 준수

당사는 당신의 데이터나 고객 데이터를 광고, 제3자 마케팅 또는 플랫폼 제공과 무관한 목적으로 사용하지 않습니다.

4. 데이터 공유 및 제3자

당사는 당신의 데이터를 판매하지 않습니다. 당사는 플랫폼을 운영하는 데 필요한 경우에만 데이터를 공유합니다:

• 결제 처리자: Square, Stripe, PayPal, Global Payments, TSYS, Chase — 고객 거래를 처리하기 위해. 당신의 처리자 자격증명은 Azure Key Vault에 저장되며 데이터베이스에는 저장되지 않습니다.
• 결제 하드웨어 SDK: Stripe Terminal 및 Square Terminal SDK는 대면 카드 현금 결제에 사용됩니다. 이러한 SDK는 하드웨어 장치에서 직접 카드 데이터를 처리하고 각각의 결제 처리자로 전송합니다.
• 통신 제공자: Twilio(SMS, MMS, RCS, 음성) 및 Azure Communication Services(이메일) — 플랫폼을 통해 전송된 메시지를 전달하기 위해.
• AI 제공업체: AI 서비스에 대한 요청(Anthropic Claude, Google Gemini, Groq, OpenAI 포함, ShadowPing의 AI 프록시 계층을 통해 라우팅됨)은 요청된 출력을 생성하는 데 필요한 것으로 제한됩니다. 임상 및 HIPAA 범위 기능의 경우 특히 ShadowPing은 Azure OpenAI Service를 사용합니다 — OpenAI의 소비자 API가 아닌 Microsoft가 호스팅하는 별도의 서비스로 Microsoft와의 BAA(Business Associate Agreement)에 의해 관리됩니다. AI 제공업체로 전송되는 데이터는 당사의 엔터프라이즈 계약에 따라 이들 제공업체에 의해 모델 훈련을 위해 저장되지 않습니다.
• 클라우드 인프라: Microsoft Azure — 플랫폼은 Azure(Azure SQL, Azure Functions, Azure Blob Storage, Azure Key Vault, SignalR)에서 호스팅됩니다. 데이터는 안전하고 액세스 제어되는 Azure 환경에 저장됩니다.
• 이미지 전달: Imgix는 고객 사진(전후 이미지 및 프로필 사진 포함)을 제공하는 데 사용됩니다. Azure Blob Storage에 저장된 이미지는 최적화된 디스플레이를 위해 Imgix의 CDN을 통해 전달됩니다.
• 푸시 알림: Apple Push Notification Service(APNs) 및 Google Firebase Cloud Messaging(FCM)은 모바일 장치에 푸시 알림을 전달하는 데 사용됩니다. 장치 토큰 및 알림 내용은 전달을 위해 이러한 제공자에게 전송됩니다.
• 카메라 및 보안 통합: 카메라 또는 보안 시스템 통합(Solink, Verkada, Eagle Eye, Spot AI)을 활성화하면 고객 이름, 직원 이름, 거래 메타데이터, 타임스탬프, 이벤트 데이터, 및 플랫폼에서 카메라 하드웨어가 지원하는 경우 캡처한 오디오가 이벤트 연결 및 AI 기반 비디오 검토 기능을 활성화하기 위해 카메라 제공업체에 전송될 수 있습니다. 이러한 제공업체는 자신의 개인정보보호정책에 따라 비디오 및 오디오 기록을 처리하고 저장합니다. 카메라 통합을 위한 API 자격 증명은 Azure Key Vault에 저장되며 통합을 연결 해제하거나 계정을 종료할 때 영구적으로 삭제됩니다.
• 하드웨어 SDK: Star Micronics(영수증 프린터 SDK) 및 Zebra(바코드 스캐너 SDK)는 하드웨어 통합에 사용됩니다. 인쇄 작업에는 고객 및 거래 데이터가 포함될 수 있습니다. 바코드 스캔 데이터(기프트 카드 번호 및 고객 바코드 포함)는 이러한 SDK에 의해 로컬로 처리됩니다.
• 금융 통합: Plaid는 조정 목적으로 은행 계좌를 연결하는 데 사용될 수 있습니다. QuickBooks, Xero 및 유사한 회계 통합은 당신의 구성에 따라 금융 거래 데이터를 받습니다.
• 급여 통합: 급여 통합(Gusto, ADP 또는 Paychex 등)을 연결하면 이름, 시간, 보상 및 세금 데이터를 포함한 직원 개인 정보가 당신을 대신하여 급여를 처리하기 위해 급여 제공자에게 전송됩니다.
• 평판 및 마케팅 통합: 평판 관리 도구(Birdeye 또는 Podium 등) 또는 마케팅 플랫폼(Google, Meta, Mailchimp 또는 TikTok Business 등)을 연결하면 해당 통합과 관련된 고객 데이터(연락처 세부사항 및 리뷰 요청 등)가 당신의 구성에 따라 각 제공자와 공유됩니다.
• 조달 통합: 조달 또는 공급자 통합(SalonInteractive 또는 Shopify 등)을 연결하면 당신의 구성에 따라 재고 및 주문 데이터가 해당 제공자와 공유됩니다.
• 법적 요구사항: 당사는 법으로 요구되거나 법원 명령에 의해, 또는 ShadowPing, 당사 사용자 또는 기타의 권리, 재산 또는 안전을 보호하기 위해 필요한 경우 데이터를 공개할 수 있습니다.

5. 데이터 저장 및 보안

모든 플랫폼 데이터는 엔터프라이즈급 보안 제어 기능이 있는 Microsoft Azure 인프라에 저장됩니다. 당사는 다음 보안 조치를 구현합니다:

• 모든 데이터베이스 테이블의 다중 테넌트 행 수준 보안 — 당신의 데이터는 다른 테넌트로부터 격리됨
• 모든 민감한 자격증명(결제 처리자 키, API 토큰, OAuth 토큰)에 대한 Azure Key Vault
• 저장 중 데이터의 경우 AES-256 암호화 및 전송 중 데이터의 경우 TLS 1.2 이상
• 모든 데이터 액세스 및 수정에 대한 불변적이고 추가 전용 감사 로그
• 250개 이상의 세분화된 권한이 있는 역할 기반 액세스 제어
• 파일/미디어 액세스를 위한 15분 만료 시간이 있는 SAS 토큰 액세스
• 자동화된 보안 모니터링, 이상 탐지 및 속도 제한

원시 결제 카드 데이터는 당사 서버에 절대 저장되지 않습니다. 처리자 자격증명은 Azure Key Vault에만 저장됩니다.

6. 최종 고객 데이터 및 귀사의 책임

가입자로서 귀사는 플랫폼에 저장된 고객의 개인정보에 대한 데이터 컨트롤러입니다. ShadowPing은 플랫폼 서비스 제공을 위해서만 귀사를 대신하여 데이터 처리자로서 이 데이터를 처리합니다.

귀사는 다음에 대해 책임을 집니다:

• 고객으로부터 데이터를 수집하기 전에 법적으로 요구되는 모든 동의를 얻어야 합니다. 여기에는 사진, 생체 유사 이미지, 연결된 통합을 통해 수집된 데이터에 대한 동의가 포함됩니다.
• 비즈니스 시설이 연결된 카메라 통합을 통해 오디오 또는 비디오 녹음의 대상인지 고객에게 알리고, 법적으로 요구되는 녹음 공지를 게시해야 합니다.
• 고객의 데이터 주체 권리 요청(액세스, 수정, 삭제)에 응응해야 합니다.
• 귀사의 관할권에서 GDPR, CCPA 및 기타 적용 가능한 규정을 포함한 적용 가능한 데이터 보호 법을 준수해야 합니다.

Zyvora는 고객 데이터 내보내기, 감사 추적이 포함된 삭제권 워크플로우, 법적 텍스트 버전 관리를 포함한 salon별 동의 추적 등 GDPR 준수를 지원하는 도구를 제공합니다.

7. GDPR 및 국제 데이터 전송

유럽경제지역(EEA), 영국 또는 데이터 보호 법이 있는 다른 관할권에 위치한 경우, 귀사의 개인정보와 관련하여 특정 권리가 있을 수 있습니다. 이러한 권리에는 접근, 수정, 삭제, 처리 제한, 데이터 이동 권리 및 특정 처리에 대한 이의 제기 권리가 포함될 수 있습니다.

EEA 외부로의 데이터 전송은 적절한 보호 조치 하에, 해당하는 경우 표준 계약 조항을 포함하여 수행됩니다. 국제 데이터 전송에 대한 질문이 있으시면 privacy@zyvora.app으로 문의하시기 바랍니다.

8. CCPA (캘리포니아 거주자)

캘리포니아 거주자인 경우, 우리가 수집한 개인정보가 무엇인지 알 권리, 귀사의 개인정보를 삭제할 권리, 귀사의 개인정보 판매를 거부할 권리 등 캘리포니아 소비자 개인정보 보호법(CCPA)에 따른 권리가 있습니다.

ShadowPing은 개인정보를 판매하지 않습니다. 귀사의 CCPA 권리를 행사하려면 privacy@zyvora.app으로 문의하시기 바랍니다.

9. 데이터 보관

귀사의 구독이 활성 상태인 동안 가입자 데이터를 보관합니다. 취소 후 데이터는 90일 동안 읽기 전용 모드에서 액세스할 수 있으며, 그 후 콜드 스토리지에 보관됩니다. 보관된 데이터는 법적 및 규정 준수 목적으로 최소 7년 동안 보관되며, 더 이른 삭제를 요청하지 않는 한 더 오래 보관될 수 있습니다.

최종 고객 데이터는 플랫폼 내 구성 가능한 보관 정책(고객 문서의 기본값 7년 보관)에 따라 보관됩니다. 임상 데이터는 귀사의 관할권의 의료 기록 보관 요구 사항의 적용을 받습니다.

카메라 통합 메타데이터 — VideoBookmark 레코드, 이벤트 메타데이터, 및 Solink와 같은 카메라 통합과 관련된 만료 예정 액세스 URL 포함 — 는 통합이 활성 상태인 동안 및 연결 해제 또는 계정 취소 후 90일 동안 유지되며, 그 이후에는 영구적으로 삭제됩니다. 실제 비디오 영상은 ShadowPing에 의해 저장되지 않습니다. 제3자 카메라 제공업체의 자신의 보존 정책에 따라 남아 있습니다. Azure Key Vault에 저장된 카메라 통합 자격 증명은 통합 연결 해제 또는 계정 종료 시 파기됩니다.

감사 로그 데이터는 활성 저장소에서 12개월 동안 유지되며 그 이후 장기 저장소에 보관됩니다.

10. 쿠키 및 추적

Zyvora 웹 애플리케이션은 인증 및 애플리케이션 상태를 위해 세션 쿠키 및 로컬 스토리지를 사용합니다. 우리는 제3자 광고 쿠키 또는 추적 픽셀을 사용하지 않습니다.

Zyvora 마케팅 웹사이트(zyvora.app)는 방문자 행동을 이해하기 위해 분석 도구를 사용할 수 있습니다. 이러한 분석을 통해 개인 식별 정보는 수집되지 않습니다.

11. 아동 개인정보 보호

플랫폼은 비즈니스 사용을 위한 것이며 18세 미만의 개인을 대상으로 하지 않습니다. 우리는 미성년자의 개인정보를 의도적으로 수집하지 않습니다. 가입자가 미성년자의 정보(예: 청소년 서비스)를 수집하는 경우, 가입자는 적절한 부모 동의를 얻을 책임이 있습니다.

12. 이 정책 변경

우리는 이 개인정보 정책을 때때로 업데이트할 수 있습니다. 중요한 변경 사항은 이메일 또는 플랫폼 내에서 알려 드립니다. 이 페이지 맨 위의 "효력 발생일"은 현재 버전이 게시된 시점을 나타냅니다.

13. 문의하기

개인정보 관련 질문, 데이터 주체 요청 또는 임상 기능 사용을 위한 비즈니스 동의 계약(BAA) 요청의 경우 다음으로 문의하시기 바랍니다:

ShadowPing LLC (Ohio, USA) — privacy@zyvora.app | support@zyvora.app