step-UP 개인정보처리방침
검토 초안 · 현재 강제 동의/확인 문서로 활성화되지 않았습니다.
1. 문서 상태와 적용 범위
이 방침은 step-UP의 현재 코드와 운영 구조에서 확인한 개인정보 처리 흐름을 알리기 위한 검토 초안이며 현재 강제 확인 문서로 활성화되지 않았습니다. 교육시설은 자신이 수집·관리하는 학생·보호자·출결 정보를 서비스에 입력·관리하고, step-UP 운영자는 서비스 제공·유지·보안 지원을 위해 해당 정보를 처리합니다. step-UP 이용 신청·계정·계약·문의·보안 운영 정보는 운영자가 서비스 운영 목적으로 처리합니다.
2. 처리하는 개인정보 항목
- 원장·교사·관리자: 이름 또는 닉네임, 휴대전화번호, 로그인 아이디, 비밀번호 해시, 복구용 이메일, 역할·권한·시설 연결 정보
- 교육시설: 시설명, 연락처, 주소, 공개 시설 코드, 운영 유형과 설정
- 학생: 닉네임 또는 이름, 로그인 아이디, 학년·반·담당교사·수업시간, 성장·과제·출결·Step/UP·포인트·몰·뱅크·UP톡·월간 성장 관련 기록
- 보호자: 학생이 입력한 보호자 연결 신청정보, 이름, 연락처, 로그인 아이디, 학생과의 관계, 신청·승인·해제 상태, 출결 문자 수신 관련 선택값과 수신자 상태
- 임시 보호자1: 이름, 출결 문자 수신 전화번호, 확인 문구 버전, 등록·종료 처리자와 시각, 종료 사유
- 출결·문자: 등원·하원 기록, 미등원 기간과 선택 입력 사유, 수신번호, 문자 내용, 발송 요청·접수·실패 상태와 운영 처리 이력
- 서비스 이용·보안: 접속 일시, IP 주소, 브라우저·기기 정보, 세션·오류·보안·관리 작업 로그
학생 계정에는 불필요한 실명·연락처·주소를 입력하지 않는 것이 원칙입니다. 다만 실제 운영에서 입력되면 개인정보가 되므로 교육시설은 최소수집과 적법한 처리 근거를 확인해야 합니다.
3. 처리 목적
- 사용 신청 검토, 계정 발급·로그인·복구, 역할별 접근 통제
- 교육시설 설정, 학생·교사·수업·출결·성장·보상·상점·메시지 운영
- 보호자 연결 신청·승인·관리, 정식 보호자 승인 시 기존 임시 보호자1 문자 수신 중단
- 교육시설의 SMS 사용 선택에 따른 대표 수신자 또는 임시 보호자1 대상 등원·하원 문자 처리
- 미등원 기간과 선택 사유 관리. 미등원 사유는 문자·Step·UP 처리에 사용하지 않습니다.
- 월간 성장 AI 초안 생성 요청, 결과 표시 및 사용 이력 관리
- 보안, 장애 대응, 부정 이용 방지, 정산·분쟁·감사 대응
4. 처리 근거와 동의의 구분
계약 체결·이행, 법적 의무 등 관계 법령이 허용하는 근거가 있는 처리와 별도 동의가 필요한 처리를 구분합니다. 현재 보호자 연결 신청에 입력되는 선택값과 원장 승인으로 생성되는 상태는 해당 신청·처리 이력이며, 보호자가 최초 로그인에서 정보를 직접 확인하거나 SMS 수신 여부를 직접 선택·철회한 이력으로 기재하지 않습니다.
5. 신청 단계
공개 사용 신청에서 시설장 성명, 시설명·유형, 희망 시설 코드, 희망 로그인 아이디, 휴대전화번호를 신청 검토·연락·계정 안내 목적으로 처리합니다. 해당 처리에 동의하지 않으면 신청 접수를 진행할 수 없습니다.
6. 보유기간과 파기
교육시설 이용 중단 처리 시 계정 접근을 제한하고, 6개월이 지난 뒤 일부 운영자료를 정리하는 코드가 있습니다. 다만 보호자 신청·수신자·문자 내용·미등원 사유 등을 포함한 전체 개인정보가 6개월 뒤 모두 파기되는 것으로는 구현·검증되지 않았으므로, 이 초안은 완전한 6개월 파기를 시행 중인 정책으로 기재하지 않습니다.
7. 제3자 제공
현재 코드에서 확인되는 외부 처리 흐름은 아래 출결 SMS와 월간 성장 AI 처리입니다. 그 밖의 제3자 제공을 현재 운영 중인 것으로 기재하지 않습니다.
8. 처리 위탁과 외부 서비스
출결 SMS는 교육시설의 SMS 사용 선택과 현재 수신자 상태를 확인한 뒤 step-UP이 중앙 Aligo 계정을 통해 발송합니다. 정식 보호자 관계가 승인되면 해당 학생의 기존 임시 보호자1 수신은 중단됩니다. 이 과정에서 수신번호, 문자 내용과 발송 요청·접수·실패 상태를 처리합니다. 발송 접수 상태는 통신사의 최종 전달 또는 보호자의 확인을 뜻하지 않습니다.
온라인 PG·카드 정기결제는 현재 운영되지 않으며, 카드번호·유효기간·CVC를 step-UP이 직접 수집하는 구조로 확인되지 않았습니다.
9. Monthly Growth AI 처리
권한 있는 원장이 월간 성장 초안 생성을 직접 요청하면 선택한 학생의 월간 성장 작성에 필요한 입력과 운영 맥락이 설정된 AI 제공자에게 전송될 수 있습니다. 결과는 별도 초안으로 표시되며 자동 저장·자동 확정·자동 발송·학생 또는 보호자 자동 공개를 하지 않고 원장이 가져오기 또는 아래 추가 후 직접 편집·저장합니다.
10. 정보주체의 권리
정보주체 또는 적법한 대리인은 관계 법령에 따라 열람·정정·삭제·처리정지·동의 철회 등을 요청할 수 있습니다. 교육시설이 관리하는 학생·보호자·출결 정보에 관한 요청은 해당 교육시설이 우선 접수하고, step-UP 운영자는 서비스에서 필요한 기술 조치를 지원합니다. 다른 사람의 권리나 법적 보존 의무 때문에 일부 요청이 제한될 때에는 그 근거를 안내해야 합니다.
11. 안전성 확보조치
- 역할·시설별 접근 통제와 로그인 세션 보호
- 비밀번호 단방향 해시, CSRF 방어와 중요 변경 권한 확인
- 민감 설정의 비공개 보관과 화면·JSON 오류의 내부 정보 최소화
- 관리·발송·오류 이력 점검과 DB 변경의 수동 승인·검증
12. 쿠키·세션과 자동 수집
로그인 유지와 보안을 위해 세션 쿠키를 사용하고 접속 IP·브라우저·오류 기록이 서버 로그에 남을 수 있습니다. 필수 세션을 차단하면 로그인 기능을 이용하기 어렵습니다.
13. 아동·학생 정보
학생 정보에는 아동·청소년의 정보가 포함될 수 있습니다. 교육시설은 법정대리인 동의가 필요한 경우 등 관계 법령과 교육 현장 의무를 확인하고 목적에 필요한 최소 정보만 입력해야 합니다. 현재 코드는 법정대리인이 직접 확인한 이력을 저장하는 절차를 운영하지 않으므로, 이 초안은 해당 절차가 시행 중인 것으로 기재하지 않습니다.
14. 방침 변경과 확인 이력
방침이 변경되면 변경 내용, 문서 버전과 시행일을 공개 페이지에 게시합니다. 현재 구현되지 않은 대상자별 재동의 절차를 시행 중인 것으로 기재하지 않습니다.
15. 버전과 시행일
문서 버전: draft-2026-07-30-r1
공고일·시행일: 운영자 승인 후 확정