언어
한국어
개인정보 처리방침
최종 업데이트: 2026년 8월 26일. 이 글은 앱 안의 판본과 같은 출처에서 생성되며, 그래서 한 글자도 다르지 않습니다.
이 방침이 다루는 범위
이것은 Qardbox 앱의 개인정보 처리방침이며, 이 웹사이트의 것이 아닙니다. 앱이 여러분의 기기와 iCloud에서 무엇을 하는지 설명합니다. 이 웹사이트가 무엇을 처리하는지는 웹사이트 개인정보 안내에 적혀 있습니다.
한눈에 보기
이 개인정보 처리방침은 GDPR 제13조에 따라 Qardbox 이용 시 개인정보 처리의 종류와 범위, 목적을 안내합니다. 제공자는 자체 서버를 운영하지 않으며 이용 데이터, 추적 데이터, 광고 데이터를 수집하지 않습니다.
이것이 구체적으로 뜻하는 것
이 방침은 Qardbox를 쓸 때 데이터에 무슨 일이 일어나는지 알려 줍니다. 일어나는 일이 적기에 내용도 짧습니다. 개발자의 서버도, 계정도, 로그인도 없습니다. 앱에 입력한 것은 기기에 남고, iCloud 동기화를 켜면 사용자 본인의 iCloud 계정에 저장됩니다.
각 항목은 두 번 나옵니다. 위에는 법적으로 정확한 문장이, 아래 상자 안에는 같은 내용이 일상어로 적혀 있습니다.
목적과 법적 근거
처리 목적은 복습 일정 계산(FSRS)을 포함한 학습 카드 기능의 제공입니다. 법적 근거는 GDPR 제6조 제1항 나호(정보주체가 당사자인 계약의 이행)이며, 기기에 저장하는 일은 이용자가 원하는 기능을 위해 반드시 필요합니다(TDDDG 제25조 제2항).
이것이 구체적으로 뜻하는 것
입력한 내용은 단 하나의 목적으로 처리됩니다. 앱이 사용자가 열어 본 그 목적대로 작동하도록 하는 것입니다. 앱은 카드를 저장하고 어떤 카드를 언제 다시 볼지 계산합니다.
이를 위해 동의를 할 필요도 없고, 거부할 동의도 없습니다. 원하는 서비스를 제공하는 데 처리 자체가 필수인 경우 법은 동의를 요구하지 않습니다. 그래서 Qardbox에는 동의 배너가 나타나지 않습니다.
어떤 데이터가 어디에 남는지
처리되는 것은 이용자가 만든 내용(카드, 과목, 메모), 학습 상태와 평가(FSRS), 그리고 앱 설정뿐입니다. 이 데이터는 기기에 로컬로 저장되며 처리자에게 전송되지 않습니다.
이것이 구체적으로 뜻하는 것
처리되는 것은 사용자가 직접 만든 것입니다. 과목, 질문과 해답, 분류, 메모가 담긴 카드, 여기에 평가와 그로부터 계산된 복습 예정일, 그리고 앱 설정입니다.
이 모두가 사용자의 기기에 있습니다. 개발자는 그중 무엇도 볼 수 없습니다. 삼가서가 아니라, 무언가 보낼 수 있는 서버 자체가 없기 때문입니다.
iCloud 동기화와 제3국
iCloud 동기화가 켜져 있으면(기본값은 꺼짐) 데이터는 Apple에 있는 이용자의 개인 iCloud 데이터베이스에서 처리됩니다. 동기화 기능 제공의 법적 근거는 GDPR 제6조 제1항 나호이며, 이를 위해 단말기에 정보를 저장하고 읽는 일은 TDDDG 제25조 제2항에 따라 반드시 필요합니다. 처리자는 이 데이터베이스에 접근할 수 없고, 이용자의 Apple ID도 모르며 키 자료도 갖고 있지 않습니다. 제3국과의 관련성은 Apple의 인프라에서 생길 수 있습니다. Apple Inc.는 EU-US Data Privacy Framework에 따라 인증되어 있습니다. 카드의 내용 필드(질문, 해답, 분류, 메모)와 과목 이름은 데이터베이스에서 암호화 필드로 선언되어 있습니다. '고급 데이터 보호'(Advanced Data Protection)를 켜면 이 필드들은 Apple조차 접근할 수 없는 종단 간 암호화의 대상이 됩니다. 그 밖의 필드, 특히 평가와 타임스탬프, 복습 예정일은 여기에 해당하지 않습니다.
이것이 구체적으로 뜻하는 것
동기화는 기본적으로 꺼져 있으며 사용자가 직접 켜야 합니다. 켜고 나면 데이터는 우리가 아니라 사용자 본인의 개인 iCloud에 저장됩니다. 개발자는 그곳에 접근할 수 없고 사용자의 Apple ID도 전혀 알지 못합니다.
카드가 내용으로 담고 있는 것은 특별히 보호됩니다. 질문, 해답, 분류, 메모, 과목 이름은 암호화 필드로 선언되어 있습니다. iCloud 설정에서 '고급 데이터 보호'를 켜면 Apple도 그것을 읽을 수 없습니다.
솔직히 덧붙이자면 이는 내용에만 해당하며 전부는 아닙니다. 언제 학습했는지, 카드를 어떻게 평가했는지는 암호화되지 않습니다. 거기에서 학습했다는 사실은 읽어 낼 수 있지만, 무엇을 학습했는지는 알 수 없습니다.
앱 내 구입
이 앱은 앱 내 구입을 제공합니다. 구입 절차는 오직 이용자와 Apple Distribution International Ltd. 사이에서 처리됩니다. 처리자는 결제 처리에 관여하지 않으며 이용자의 이름, 주소, 결제 정보는 물론 Apple ID도 받지 않습니다. App Store로부터는 집계된 비개인정보 형태의 판매·정산 보고서만 받습니다. 구입 영수증은 기기의 시스템 인터페이스 StoreKit과 이용자의 Apple 계정에 보관되며 처리자에게 전송되지 않습니다. 구입을 처리자의 이용자 계정과 연결할 수 있는 `appAccountToken`은 설정되지 않습니다. 구입과 관련해 처리자가 개인정보를 처리하는 일은 없습니다.
이것이 구체적으로 뜻하는 것
덱을 사면 개발자가 아니라 Apple에서 사는 것입니다. 이름과 주소, 결제 정보는 Apple의 구입 창에 머무르며 이곳으로는 아무것도 오지 않습니다.
개발자가 받는 것은 숫자뿐입니다. 어떤 덱이 몇 번 팔렸는지이지, 누가 샀는지는 아닙니다.
영수증은 사용자의 기기와 Apple 계정에 있습니다. 앱은 시스템에 이 덱이 사용자의 것인지만 묻고, 그 대답도 기기를 벗어나지 않습니다.
데이터 수신자
개인정보를 제3자에게 전송하는 일은 없습니다. GDPR 제4조 제9호가 말하는 수신자도, 수신자 범주도 존재하지 않습니다. 특히 분석·광고·추적 서비스, 결제 대행사, 신용정보회사로 전송되는 데이터는 없습니다. 앱은 제3자 서비스를 넣지 않으며 처리자의 서버에 접속하지도 않습니다. 이용자가 iCloud 동기화를 켜면 Apple이 이용자와 Apple 사이의 계약 관계에 따라 데이터를 처리하며, 이때 Apple은 처리자의 위탁을 받아 행위하는 것이 아닙니다.
이것이 구체적으로 뜻하는 것
아무에게도 가지 않습니다. 광고 네트워크도, 분석 서비스도, 결제 대행사도, 무언가 보낼 개발자 서버도 없습니다.
유일한 예외는 사용자가 직접 켜는 것입니다. iCloud를 쓰면 데이터는 Apple에, 그것도 본인 계정에 놓입니다. 그것은 Apple과 당신의 계약이지 우리와의 계약이 아닙니다.
읽어주기도 기기 안에 머무릅니다. 발음은 iOS가 직접 만들며, 카드 텍스트는 그 때문에 어디로도 전송되지 않습니다.
제공 의무 없음
이용자는 법률상으로도 계약상으로도 개인정보를 제공할 의무가 없습니다. 내용 입력은 학습 기능을 사용하는 데 실제로 필요하지만, 전적으로 기기 안에서만 이뤄지며 처리자에게 제공하는 것이 아닙니다. 제공하지 않으면 해당 기능을 이용할 수 없다는 결과만 생기며, 그 밖의 결과는 따르지 않습니다.
이것이 구체적으로 뜻하는 것
개발자에게 아무것도 줄 필요가 없고, 실제로 아무것도 주지 않습니다. 입력한 내용은 본인을 위한 것입니다. 카드가 없으면 질문도 없으니까요.
아무것도 입력하지 않으면 앱이 빈 채로 남을 뿐, 다른 일은 일어나지 않습니다. 앱은 어디에서도 계정이나 이메일 주소, 이름을 요구하지 않습니다.
보관 기간과 삭제
제공자 측의 보관 기간은 없습니다. 데이터는 이용자가 삭제할 때까지 저장됩니다(GDPR 제17조). 삭제는 앱 안에서 하거나 앱을 제거해 이뤄지며, 동기화가 켜져 있으면 삭제 내용이 iCloud에도 전달됩니다.
이것이 구체적으로 뜻하는 것
무언가가 삭제되는 기한도, 무언가를 보관해야 하는 기한도 없습니다. 데이터는 사용자가 두는 만큼 남아 있습니다.
앱에서 하나씩 삭제할 수도 있고, 설정 > 개인정보 보호 > '모든 데이터 삭제'로 전부 지울 수도 있으며, 앱을 제거해도 됩니다. iCloud 동기화가 켜져 있으면 이 삭제는 그곳에도 반영됩니다.
그 뒤에도 사본을 갖고 있을 제공자는 존재하지 않습니다.
정보주체의 권리(GDPR 제15~21조)
정보주체는 열람(제15조), 정정(제16조), 삭제(제17조), 처리 제한(제18조), 데이터 이동(제20조), 반대(제21조)의 권리를 갖습니다. 이용자가 기기에 저장된 자신의 데이터를 온전히 통제하므로 이 권리들은 앱에서 곧바로 행사할 수 있습니다. 또한 정보주체는 이 권리를 행사하기 위해 언제든지 처리자에게 연락할 수 있으며, 연락처는 이 방침 끝부분에 적혀 있습니다.
이것이 구체적으로 뜻하는 것
권리는 이미 앱에 들어 있습니다. 열람은 앱에서 모든 것을 직접 보는 것이고, 정정은 각 카드를 편집하는 것입니다. 삭제는 설정 → 개인정보 보호 → 모든 데이터 삭제, 데이터 사본은 설정 → 개인정보 보호 → 데이터 사본 저장입니다.
자동화된 의사결정 없음
GDPR 제22조가 말하는 프로파일링을 포함한 자동화된 의사결정은 이뤄지지 않습니다. FSRS 알고리즘은 오직 기기 안에서 복습 예정일을 계산하는 데 쓰이며 법적 효력이나 그에 준하는 중대한 영향을 발생시키지 않습니다.
이것이 구체적으로 뜻하는 것
앱은 사용자를 평가하지 않고 사용자에 대해 아무것도 결정하지 않습니다. 등급을 매기지도, 누구와 비교하지도, 사용자에 대한 무엇도 외부에 전달하지 않습니다.
FSRS 알고리즘이 계산하는 것은 오직 하나, 특정 카드를 언제 다시 보는 것이 가장 좋은지입니다. 이 계산은 기기 안에서 이뤄지며 앱 밖의 어떤 것에도 영향을 주지 않습니다.
어린이
이 서비스는 어린이를 특정해 제공되지 않습니다. 개인정보가 처리자에게 전송되지 않으므로 어린이의 데이터도 수집되지 않으며, 따라서 GDPR 제8조에 따른 친권자의 동의는 필요하지 않습니다.
이것이 구체적으로 뜻하는 것
이 앱은 특별히 어린이를 대상으로 하지 않지만 어린이를 배제하지도 않습니다. 개발자에게는 애초에 아무것도 전송되지 않으므로 어린이의 데이터도 수집되지 않습니다.
그래서 여기에는 나이 확인도, 부모의 동의도 없습니다. 동의할 대상 자체가 없기 때문입니다.
데이터 보안
위험에 상응하는 기술적·관리적 조치를 취합니다(GDPR 제32조 제1항). 구체적으로는 iOS Data Protection을 통한 운영체제 수준의 저장 데이터 암호화, 동기화 시 TLS 1.3을 이용한 전송 암호화, 이용자의 Apple ID에 묶인 개인 데이터베이스로의 접근 제한, 콘텐츠에 대한 일체의 로깅 포기, 그리고 내용 필드를 암호화 필드로 선언하는 것이 있습니다. 마지막 항목은 '고급 데이터 보호'가 켜져 있을 때 종단 간 암호화로 이어집니다. 이러한 조치는 기술 수준, 구현 비용, 처리의 성격·범위·상황·목적을 고려해 선택됩니다.
이것이 구체적으로 뜻하는 것
기기에 암호가 설정되어 있는 한, 데이터는 iOS의 암호화로 보호됩니다. iCloud로 가는 동안에는 전송 암호화가 추가로 적용됩니다.
카드 내용은 로그에도 오류 보고서에도 기록되지 않습니다. 그리고 '고급 데이터 보호'를 켜면 iCloud에서 Apple도 읽을 수 없게 암호화됩니다.
감독 기관과 이의 제기 권리
다른 행정적 또는 사법적 구제 수단과 관계없이, 정보주체는 개인정보 감독기관에 이의를 제기할 권리가 있습니다. 특히 상거소지, 근무지 또는 침해가 있었다고 주장되는 장소의 회원국에서 그렇습니다(GDPR 제77조). 처리자를 관할하는 감독기관은 이 방침 끝부분에 적혀 있습니다.
이것이 구체적으로 뜻하는 것
데이터와 관련해 무언가 잘못되었다고 느낀다면 개인정보 감독기관에 이의를 제기할 수 있습니다. 선택은 자유입니다. 거주지 관할 기관, 근무지 관할 기관, 또는 사건이 발생한 곳의 기관 가운데 고르면 됩니다. 처리자의 소재지 관할 기관은 주소와 함께 이 방침 끝부분에 적혀 있습니다.
비용은 들지 않으며 불이익도 없습니다. 다른 법적 구제 수단은 그대로 유지되므로 한 가지 길만 고를 필요도 없습니다.
이 고지의 변경
처리자는 앱 기능의 변경이나 법령의 변경으로 필요해지는 범위에서 이 개인정보 처리방침을 수정할 권리를 갖습니다. 항상 설치된 앱 버전에 포함된 방침이 기준이며, 이는 앱 업데이트와 함께 제공됩니다. 앱 밖에서 제공되는 형태(PDF, 웹사이트)는 같은 원본에서 생성되며 동일한 내용을 담습니다.
이것이 구체적으로 뜻하는 것
이 방침은 앱이 새로운 일을 하게 되거나 법령이 바뀌면 달라질 수 있습니다. 무엇이 적용되는지는 언제나 지금 설치된 앱 버전 안에 적혀 있습니다. 새 방침은 앱 업데이트와 함께 전달되며, 밤사이 몰래 바뀌지 않습니다.
PDF와 웹사이트의 판본은 앱에 있는 것과 같은 원본에서 만들어집니다. 그러므로 다른 내용을 말할 수 없고 다만 더 오래된 것일 수는 있습니다.
여기서 필요하지 않은 것
통상적인 이 개인정보 보호 의무들은 검토했으며, Qardbox가 데이터를 수집하지 않고 서버를 운영하지 않기에 근거를 갖고 해당하지 않습니다.
위탁처리 계약 없음(제28조)
위탁처리 관계는 존재하지 않습니다. 처리자는 개인정보 처리를 어떤 서비스 제공자에게도 위탁하지 않습니다. Apple은 자체 약관에 따라 이용자에게 iCloud를 제공하며, 그런 점에서 제공자의 수탁처리자가 아닙니다.
이것이 구체적으로 뜻하는 것
우리는 우리 위탁을 받아 데이터를 처리할 어떤 서비스 제공자에게도 데이터를 넘기지 않습니다. 따라서 그런 계약도 존재하지 않습니다.
개인정보 보호책임자 없음(GDPR 제37조, BDSG 제38조)
개인정보 보호책임자를 지정할 의무는 없습니다. GDPR 제37조 제1항과 BDSG 제38조 제1항의 요건, 특히 자동화 처리에 상시 20인 이상을 고용한다는 요건에 이르지 않습니다.
이것이 구체적으로 뜻하는 것
공식 개인정보 보호책임자는 법적으로 일정 규모 이상일 때만 필요합니다. 1인 개발자는 그 규모에 이르지 않습니다. 문의처는 처리자 본인입니다.
개인정보 영향평가 없음(제35조)
개인정보 영향평가는 필요하지 않습니다. 이 처리는 자연인의 권리와 자유에 높은 위험을 초래할 것으로 보이지 않으며, 광범위한 프로파일링도, 체계적 감시도, 특별한 유형의 데이터에 대한 대규모 처리도 이뤄지지 않습니다.
이것이 구체적으로 뜻하는 것
이런 위험 평가는 특별히 침해가 큰 처리에서만 의무입니다. 여기서는 사실상 처리되는 것이 없으므로 필요하지 않습니다.
제공자에 의한 제3국 이전 없음(제44조 이하)
처리자는 제3국으로 데이터를 전송하지 않습니다. 따라서 표준계약조항이나 GDPR 제46조에 따른 그 밖의 보호조치는 해당하지 않습니다. 제3국과의 관련성이 생긴다면 그것은 오로지 이용자의 iCloud와 관련한 Apple의 책임 영역에서 발생합니다.
이것이 구체적으로 뜻하는 것
우리는 해외로 아무것도 보내지 않습니다. 사용자의 iCloud를 통해 해외와의 관련성이 생긴다면 그것은 Apple의 영역이며, Apple은 이에 대해 인증을 받았습니다.
동의 관리 없음(제7조)
이 처리는 동의가 아니라 GDPR 제6조 제1항 나호에 근거합니다. 동의 관리는 필요하지 않습니다. 기능에 필요한 데이터를 기기에 저장하는 것은 TDDDG 제25조 제2항에 따라 반드시 필요한 일이므로 동의 대상이 아닙니다.
이것이 구체적으로 뜻하는 것
쿠키 배너나 동의 요청이 없습니다. 앱이 동의를 필요로 하지 않기 때문입니다. 앱은 기능에 필요한 것만 저장합니다.
ISO 27001 인증 없음
ISO/IEC 27001 인증은 법적 의무가 아닙니다. 이 앱의 규모와 위험을 고려하면 인증받은 정보보안 관리체계를 구축하는 것은 과도합니다. 취해진 조치는 위험에 상응합니다(제32조).
이것이 구체적으로 뜻하는 것
이렇게 큰 보안 인증은 무료 학습 앱에 법으로 요구되지 않으며 과한 일이기도 합니다. 그럼에도 실제 보호 조치는 갖춰져 있습니다.
개인정보 처리자
GDPR 제4조 제7호에 따른 개인정보 처리자이자 DDG 제5조에 따른 서비스 제공자입니다.
Simon Harre
Walter-Klausch-Str. 15
14482 Potsdam
Deutschland
privacy@qardbox.com
관할 감독기관
GDPR 제77조에 따라 이 기관에 이의를 제기할 수 있습니다.
Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht
Land Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow