2026년 11월 6일 시행. Hibira는 대만에 기반을 둔 개인사업자가 사용하는 상호입니다(이하 "Hibira" 또는 "당사". 사업자의 성명은 요청 시 지체 없이 알려 드립니다). 당사는 Gaya(gaya.hibira.io, 그 앱과 MCP 서버)를 운영하며, 이 방침에 적힌 개인정보에 대해 책임을 집니다.
1. 수집하는 정보와 목적
| 정보 | 수집 경로 | 목적 | 법적 근거(GDPR) | 보유 기간 |
|---|---|---|---|---|
| 이메일, 이름, 프로필 사진, 언어, 로그인에 쓰는 Google·GitHub·Apple 계정 ID | 이용자, 또는 이용자의 허락을 받은 로그인 서비스 | 계정 생성, 로그인, 이메일 발송 | 계약 | 계정이 유지되는 동안 |
| 로그인 쿠키(해시값만 저장)와 1회용 로그인 링크 | 로그인할 때 설정 | 로그인 상태 유지 | 계약, 정당한 이익(보안) | 세션 30일, 링크 15분 |
| 만 18세 이상임을 확인한 날짜 | 이용자 | Gaya를 성인 전용으로 유지 | 법적 의무, 정당한 이익 | 계정이 유지되는 동안 |
| 방: 질문, 메시지, 수정, 반응, 투표, 결론, 참여 페르소나 구성, 방 설정, 참여자와 표시 이름 | 이용자와 방의 참여자 | 토론을 진행하고 방을 읽을 수 있는 사람에게 보여 주기 | 계약 | 방장이 방을 삭제하거나, 메시지가 삭제되거나, 방장 계정이 삭제될 때까지 |
| 올린 사진·동영상과, 브라우저에서 동영상으로부터 뽑은 정지 화면 | 이용자 | 방에 표시하고 페르소나가 볼 수 있게 하기 | 계약 | 방의 메시지와 같음 |
| 페르소나 메모: 방장 자신의 메시지로 페르소나가 쓰는 짧은 메모 | 이용자의 메시지 | 다음 방에서 페르소나가 이용자를 기억하게 하기 | 계약 | 기억 페이지에서 삭제하거나 기억 기능을 끌 때까지 |
| 내 기억: 다른 AI 어시스턴트에서 가져온 내용과 저장한 줄 | 이용자 | 페르소나에게 이용자의 배경을 알려 주기 | 동의, 계약 | 가져온 내용은 모델로 요약한 뒤 보관하지 않음. 저장한 줄은 삭제할 때까지 |
| 직접 만든 페르소나와 그 사진, 공유한 페르소나의 경우 누가 복사했는지 | 이용자 | 방에서 사용, 공유한 페르소나를 다른 사람에게 표시 | 계약 | 삭제할 때까지. 방과 다른 사람이 만든 사본에는 각각 남음 |
| 음성 입력: Gaya에 말한 녹음 | 마이크(마이크 버튼을 누를 때만) | 말한 내용을 글로 바꾸기 위해 | 계약 | 바로 글로 바꾸고 녹음은 보관하지 않음 |
| That's What They Said: 올린 대화나 스크린샷(이름, 전화번호, 이메일은 가림 처리)과 리포트 | 이용자 | 요청한 리포트 작성 | 계약 | 업로드 30일 후 삭제. 리포트나 계정을 삭제하면 즉시 삭제 |
| 연결한 도구: 서버 주소, 도구 이름, 암호화된 액세스 토큰 | 이용자와 도구의 로그인 | 선택한 도구를 페르소나가 호출 | 계약 | 연결을 해제할 때까지 |
| Gaya MCP 서버에 연결한 AI 어시스턴트: 앱 이름과 해시된 토큰 | 이용자와 어시스턴트 | 어시스턴트가 이용자를 대신해 Gaya 사용 | 계약 | 취소할 때까지. 갱신 토큰은 60일 |
| 플랜, Creem 고객·구독 ID, 결제, 영수증, AI 답장 내역 | Creem과 이용자 | 청구, AI 답장 잔액, 고객 지원 | 계약, 법적 의무 | 계정이 유지되는 동안, 이후 세무·회계 법령이 요구하는 기간 |
| 카드 정보와 청구지 주소 | 이용자가 Creem에 직접 | 결제 | 계약 | Creem이 보관하며 당사는 전체 카드 번호를 보거나 저장하지 않음 |
| 알림 설정, 계정에 연결된 푸시 구독, 마지막으로 방에 있었던 시각 | 브라우저나 앱(알림을 켠 경우에만) | 자리를 비운 사이 답장 알리기 | 동의 | 알림을 끄거나 계정을 삭제할 때까지 |
| 신고와 검토: 신고 내용, 신고된 메시지 사본, 처리 결과 | 신고자, 당사 검토자 | 방의 안전 유지, 악용 대응 | 정당한 이익, 법적 의무 | 신고 처리와 반복 악용 대응에 필요한 기간 |
| 사진 자동 검사 결과 | Amazon Nova | 불법·유해 이미지를 저장 전에 거부 | 정당한 이익, 법적 의무 | 거부된 이미지는 보관하지 않고 검사 결과만 기록 |
| IP 주소, 국가, 브라우저와 기기, 요청 기록, 봇 확인 | 이용자의 요청, Cloudflare, Turnstile | 보안, 요청 제한, 지역에서 합법적으로 쓸 수 있는 AI 모델 선택 | 정당한 이익 | 단기 기록과 카운터 |
| 가입 확인: 가입한 네트워크 주소와 브라우저 쿠키(gaya_device)의 키 해시, 삭제된 계정 이메일의 키 해시 | 로그인할 때의 브라우저 | 같은 사람이 여러 계정으로 무료 AI 답장을 다시 받는 것을 막기 위해 | 정당한 이익 | 최대 3년, 계정 삭제 후에도 동일; 주소나 쿠키 자체는 저장하지 않습니다 |
| 방문한 페이지, 유입 경로, 기기와 대략적인 위치, 무작위 브라우저 ID(Google Analytics가 켜져 있을 때만, 제8조) | 이용자의 브라우저(Google Analytics를 통해) | 어떤 페이지가 도움이 되는지 알고 Gaya를 개선 | 지역 법령이 요구하면 동의, 그 외에는 정당한 이익 | Google Analytics에서 최대 14개월 |
| 당사가 보낸 이메일(수신자, 템플릿, 시각, 상태)과 고객 지원 이메일 | 당사 메일 시스템과 이용자 | 이메일 발송, 문의 답변 | 계약, 정당한 이익 | 최대 2년 |
| 고객 지원 채팅: 지원팀과 주고받은 메시지 | 이용자, 당사 지원팀 | 문의 답변 | 계약, 정당한 이익 | 로그인한 이용자는 최대 2년, 로그인 전에 시작한 채팅은 180일 |
당사는 개인정보를 판매하지 않고, 광고나 프로파일링에 쓰지 않으며, 이용자의 콘텐츠를 AI 모델 학습에 쓰지 않고, 법적 효과나 그에 준하는 중대한 영향을 미치는 결정을 자동화된 방법만으로 내리지 않습니다. Gaya에는 광고 쿠키가 없으며, 분석 쿠키는 제8조에 따라서만 사용합니다.
Google, Apple, GitHub로 로그인할 때 당사는 계정 ID, 인증된 이메일, 이름(제공되는 경우 프로필 사진)만 요청합니다. 액세스 토큰은 보관하지 않으며 다른 데이터도 읽지 않습니다. Google API에서 받은 정보에 대한 Gaya의 사용과 전송은 제한적 사용 요건을 포함한 Google API 서비스 사용자 데이터 정책을 준수합니다.
2. 방과 가져온 내용 속 다른 사람의 정보
메시지, 사진, 가져온 대화에는 다른 사람의 정보가 들어 있을 수 있습니다. 무엇을 올리거나 가져올지는 이용자가 정하며, 공유할 권리가 있는지도 이용자의 책임입니다(약관 제5조). 당사는 이용자를 위해 Gaya를 운영하는 목적으로만 이를 처리하고, 제1항에 적힌 대로 필요한 것만 보관합니다. 가져온 내용은 몇 줄로 요약되어 이용자가 확인한 뒤에야 저장됩니다. 'That's What They Said'에 올린 단체 대화도 마찬가지로, 저장하거나 모델이 읽기 전에 가림 처리하고, 그 리포트에만 쓰며, 30일 후 삭제합니다. 다른 사람의 방, 가져온 내용 또는 올린 대화에 내 정보가 있어 삭제를 원하면 privacy@hibira.io로 연락해 주세요.
3. 내 콘텐츠를 볼 수 있는 사람
- 방의 참여자는 방의 메시지와 참여자의 표시 이름을 볼 수 있습니다. 페르소나는 답장을 위해 방의 메시지와 방장의 메모와 기억를 봅니다. 그래서 다른 사람이 있는 방에서는 페르소나의 말에 방장의 메모와 기억이 반영될 수 있고, 방의 모든 사람이 이를 읽을 수 있습니다. 원하지 않으면 그 방의 기억을 꺼 주세요.
- 방장이 링크로 공유하면 링크가 있는 누구나 로그인 없이 읽을 수 있고, 둘러보기에 게시하면 누구나 찾을 수 있으며 검색 엔진에 색인될 수 있습니다. 사람 이름은 이름만 표시되며 이메일이나 계정 ID는 표시되지 않습니다.
- 당사 검토자는 신고된 메시지와 방을 봅니다. 그 밖에는 이용자가 알린 문제 해결, 악용 조사, 법적 요구가 있는 경우를 제외하고 비공개 방을 읽지 않습니다.
4. 정보를 제공하는 곳
당사는 당사의 지시에 따르는 아래 사업자, 이용자가 방을 공유한 사람, 법이 요구하는 경우의 당국에만 개인정보를 제공합니다.
| 제공받는 곳 | 하는 일 | 정보 | 위치 |
|---|---|---|---|
| Cloudflare | 호스팅(Workers, D1 데이터베이스, R2 파일 저장), DNS, 네트워크 보호, 봇 확인(Turnstile), 음성의 텍스트 변환(Workers AI) | Gaya의 모든 데이터, 음성 녹음 | Cloudflare 글로벌 네트워크 |
| Amazon Web Services: Amazon Bedrock | 답장 작성과 사진 검사를 하는 AI 모델(Anthropic의 Claude, Amazon Nova) 실행. 모델 개발사는 데이터를 받지 않으며 학습에도 쓰이지 않음 | 방의 메시지, 사진과 정지 화면, 메모, 기억, 도구 결과 | 일본(도쿄) |
| Amazon Web Services: Amazon SES | 이메일 발송 | 이메일 주소, 메일 내용 | 싱가포르 |
| Hibira 실시간 전송과 Hibira Push(당사 자체 서비스) | 방 메시지와 푸시 알림을 실시간 전달 | 방 이벤트, 알림용 계정 ID | 홍콩(AWS) |
| Creem(Armitage Labs OÜ) | 판매 대행사(Merchant of Record)로서 플랜·팩·리포트를 판매하고 결제, 영수증, 구독, 환불, 판매세를 처리함. Creem은 자체 개인정보 처리방침에 따른 독립적인 처리자이기도 함 | 이메일, 이름, 국가, 결제 정보, 금액 | 에스토니아 및 Creem의 결제 파트너 |
| Google, GitHub, Apple | 로그인(선택한 경우) | 계정 ID, 이메일, 이름 | 미국 |
| Google(Google Analytics) | 방문 수를 세고 도움이 되는 페이지를 보여 줌, 제8조에 따라서만 | 방문한 페이지, 기기, 대략적인 위치, 무작위 브라우저 ID | 미국 및 기타 Google 소재지 |
| 브라우저·휴대폰의 푸시 서비스(Google, Mozilla, Apple 등) | 알림 전달(켠 경우에만) | 푸시 주소, 알림 내용 | 보통 미국 |
| 웹 검색 사업자(Brave Search, Tavily, Parallel 또는 Perplexity) | 페르소나의 웹 검색과 심층 검색(켜져 있는 경우) | 페르소나가 고른 검색어와 읽어 달라고 한 페이지 | 미국 등 |
| 이용자가 연결한 도구(GitHub, Notion 등) | 페르소나의 도구 호출에 응답 | 페르소나가 도구에 묻는 내용 | 해당 서비스가 운영되는 곳 |
| 당사가 바꿀 수 있는 이메일 사업자(Resend 또는 Google Workspace) | Amazon SES 대신 이메일 발송 | 이메일 주소, 메일 내용 | 미국 |
당사 MCP 서버를 통해 AI 어시스턴트에서 Gaya를 쓰면, 그곳에서 주고받는 내용은 해당 어시스턴트 제공사도 자체 약관에 따라 처리합니다. Gaya가 승계인에게 넘어가면 데이터도 함께 넘어갈 수 있으며, 승계인은 이 방침을 지켜야 합니다.
5. 국외 이전
당사는 대만에 기반을 둡니다. Gaya는 Cloudflare 글로벌 네트워크에서 운영되고, AI 모델은 일본, 이메일은 싱가포르, 실시간 전송은 홍콩에서 운영되므로 이용자의 정보는 거주 국가 밖에서 처리됩니다. 당사는 계약으로 동등한 보호(예: EU 표준계약조항)를 약속하고 공인된 보안 인증을 갖춘 사업자를 선택합니다.
6. 보안
통신은 TLS로 암호화합니다. 세션과 액세스 토큰은 해시값만 저장하고, 도구 토큰 같은 비밀 정보는 암호화합니다. 데이터 접근은 사업자와 비밀유지 의무가 있는 사람으로 제한합니다. 완벽하게 안전한 시스템은 없습니다. 유출로 이용자에게 피해가 생길 우려가 있으면 법에 따라 이용자와 당국에 알립니다.
7. 이용자의 선택과 권리
- 기억 페이지에서 페르소나 메모와 내 기억을 보고 지울 수 있으며, 계정 페이지에서 알림을 끄고 도구 연결을 해제할 수 있습니다. 방장은 방을 비공개로 바꾸거나 삭제할 수 있습니다.
- 정보의 열람이나 사본 제공, 정정, 삭제, 처리 정지나 제한, 이전을 요구할 수 있고, 동의는 언제든 철회할 수 있습니다. 계정은 계정 페이지(계정 삭제)에서 직접 삭제할 수 있습니다. 다른 사람의 방에 쓴 메시지는 그 방에 남으며, privacy@hibira.io로 요청하면 삭제해 드립니다. 그 밖의 요청은 privacy@hibira.io로 보내 주세요. 30일 이내(법이 더 짧은 기간을 정한 경우 그 기간)에 답하며, 본인 확인을 요청할 수 있습니다. 결제 기록처럼 법에 따라 보관해야 하는 정보는 남을 수 있습니다. 삭제한 데이터는 30일 이내에 백업에서도 사라집니다.
- 거주지의 개인정보 보호 기관에 민원을 제기할 수 있습니다.
8. 쿠키와 저장소
| 이름 | 종류 | 목적 | 기간 |
|---|---|---|---|
gaya_session | 쿠키, 필수 | 로그인 상태 유지 | 30일 |
gaya_oauth | 쿠키, 필수 | Google·GitHub·Apple 로그인 보호 | 몇 분 |
gaya_visitor | 쿠키, 필수 | 로그인 전에 시작한 고객 지원 채팅 유지 | 180일 |
| 언어, 테마, 임시 저장 글, 저장한 멤버 조합, 읽어 주기 | 브라우저 저장소, 필수 | 이 기기에서 선택 기억 | 사이트 데이터를 지울 때까지 |
| Turnstile | 필수 | 이메일 로그인 봇 확인 | 확인을 위해 Cloudflare가 설정 |
_ga, _ga_<id> | 쿠키, 분석(선택) | Google Analytics: 방문 수를 세고 도움이 되는 페이지 파악 | 최대 2년 |
분석 쿠키는 이용자가 허용하거나 이용자 지역에서 기본으로 허용될 때만 저장됩니다. 유럽경제지역, 영국, 스위스, 중국 본토, 한국, 태국, 베트남(또는 국가를 알 수 없는 경우)에서는 '분석 허용'을 선택한 후에만, 미국에서는 끌 때까지(글로벌 프라이버시 컨트롤 신호도 끔으로 처리), 그 밖의 지역에서는 한 번 안내한 뒤 사용합니다. 선택은 페이지 하단의 '쿠키 설정'에서 언제든 바꿀 수 있습니다. 광고 쿠키나 광고 맞춤화는 절대 허용하지 않습니다.
분석을 허용한 경우, 해당 쿠키의 Google 애널리틱스 브라우저 ID를 계정에도 저장하고, 페이지가 아닌 서버에서 일어나는 몇 가지 이벤트(가입, 결제, 플랜 해지)를 Google 애널리틱스에 보내 방문 기록과 함께 집계되게 합니다. 분석을 끄면 즉시 전송을 멈추고 ID를 삭제합니다. 이 이벤트에는 이름, 이메일, 결제 정보가 포함되지 않으며 광고 신호는 항상 꺼져 있습니다.
9. 국가·지역별 안내
대만(개인정보보호법). 대만 개인정보보호법은 당사의 본국법이며, 수집자는 Hibira라는 상호를 쓰는 개인사업자입니다. 식별 정보(C001), 금융 식별 정보(C002), 개인 묘사(C011), 그리고 이용자가 올리기로 한 내용을 계약 및 유사 법률관계 업무(069), 소비자·고객 관리와 서비스(090), 정보통신 서비스(135), 정보통신과 데이터베이스 관리(136), 온라인 쇼핑 등 전자상거래 서비스(148), 조사·통계·연구 분석(157)의 목적으로 수집합니다. 이용 기간은 제1항, 이용 지역은 제4·5항, 이용 대상은 해당 항의 제공받는 곳입니다. 제3조에 따라 조회·열람, 사본 발급, 보완·정정, 수집·처리·이용 정지, 삭제를 요청할 수 있습니다. 계정에 필요한 정보를 주지 않으면 Gaya를 제공할 수 없습니다.
일본(개인정보보호법). 개인정보 취급 사업자는 대만에 기반을 두고 Hibira라는 상호를 쓰는 개인사업자이며, 사업자의 성명과 주소는 요청 시 지체 없이 알려 드립니다. 개인정보는 제1항의 목적 범위에서만 이용하고, 제3자에게는 제4항에 따라 또는 법령이 허용하는 경우에만 제공합니다. 제공받는 곳은 제4·5항의 국가에 있으며, 각국의 개인정보 보호 제도를 고려해 안전관리 조치를 취합니다. 개시, 정정, 이용 정지, 삭제, 제3자 제공 정지 요청과 민원은 privacy@hibira.io로 무료로 보낼 수 있으며, 개인정보보호위원회(ppc.go.jp)에 문의할 수도 있습니다.
한국(개인정보 보호법). 수집 항목: 이메일, 이름, 프로필 사진, 서비스 이용 기록, 접속 기록, IP 주소, 결제 기록, 이용자가 올린 내용. 보유 기간은 제1항에 따르며, 기간이 끝나면 복구할 수 없는 방법으로 파일을 파기합니다. 국외 이전: 이전받는 자, 국가, 항목, 목적은 제4항에 있으며, Gaya를 이용할 때 네트워크를 통해 이전되고 제1항의 기간 동안 보관됩니다. 거부할 수 있지만, 그 경우 Gaya를 제공할 수 없습니다. 개인정보 보호책임자: Hibira 사업자, privacy@hibira.io. 개인정보침해 신고센터(privacy.kisa.or.kr, 118)에도 문의할 수 있습니다.
홍콩(개인정보(사생활) 조례). 홍콩 거주자에게 이 방침은 당사의 개인정보 수집 고지입니다. privacy@hibira.io로 정보 열람과 정정을 요청할 수 있으며, 조례가 허용하는 범위에서 열람에 합리적인 수수료를 받을 수 있습니다. 직접 마케팅에는 쓰지 않습니다. 감독 기관은 개인정보사생활보호관공서(pcpd.org.hk)입니다.
싱가포르(개인정보보호법). 개인정보 보호 책임자에게는 privacy@hibira.io로 연락할 수 있습니다. 통지로 동의를 철회할 수 있으며, 처리 전에 예상되는 결과를 알려 드립니다.
태국(개인정보보호법 B.E. 2562). 제1항의 근거에 따라 처리하며, 적절한 보호 수준을 요구하는 계약에 따라 제4·5항의 국가로 이전합니다. privacy@hibira.io로 열람, 사본, 이동, 정정, 삭제, 제한, 이의를 요청하고 동의를 철회할 수 있습니다. 필요한 경우 72시간 이내에 개인정보보호위원회 사무국에 유출을 신고하며, 그곳에 민원을 제기할 수 있습니다(pdpc.or.th).
베트남(개인정보보호법 제91/2025/QH15호). 제1항의 목적으로 처리하며, 알림과 기억 가져오기에 대한 동의는 따로 묻고 언제든 철회할 수 있습니다. 이 목적을 위해 제4·5항의 국가로 이전합니다. privacy@hibira.io로 열람, 사본, 정정, 삭제, 제한, 이의를 요청할 수 있습니다. 유출이 생기면 72시간 이내에 관할 당국에 신고하며, 공안부 개인정보 보호 당국(A05)에 민원을 제기할 수 있습니다.
유럽경제지역, 영국, 스위스(GDPR). 법적 근거는 제1항에 있습니다. 정당한 이익에 근거한 처리에는 이의를 제기할 수 있으며, 거주지 감독 기관에 민원을 제기할 수 있습니다.
미국(캘리포니아주 등 각 주의 개인정보 보호법). 개인정보를 판매하거나 교차 맥락 행동 광고를 위해 공유하지 않으며, 광고 쿠키도 쓰지 않습니다. 분석 쿠키는 페이지 하단의 '쿠키 설정'에서 끌 수 있으며, 글로벌 프라이버시 컨트롤 신호를 따릅니다. privacy@hibira.io로 개인정보의 열람, 정정, 삭제를 요청할 수 있으며, 이를 이유로 차별하지 않습니다.
중국 본토, 홍콩, 마카오. Anthropic의 AI 모델이 제공되지 않는 지역의 사람이 있는 방은 일본에서 운영되는 Amazon Nova를 씁니다. Gaya를 쓰면 제5항처럼 이용자의 지역 밖에서 정보가 처리됩니다.
10. 아동
Gaya는 만 18세 이상만 쓸 수 있습니다. 만 18세 미만의 계정임을 알게 되면 계정을 해지하고 데이터를 삭제합니다.
11. 변경
변경 사항은 새 시행일과 함께 이 페이지에 게시하며, 중요한 변경은 시행 최소 30일 전에 이메일이나 Gaya 안에서 알려 드립니다.
12. 문의
privacy@hibira.io · Hibira, 대만. 사업자의 성명과 주소는 요청 시 지체 없이 알려 드립니다.