[taew0o]

국외 이전 별도 동의를 받을 때 제시할 법정고지사항 양식을 /privacy/overseas/ 에 만든다.

왜 방침 5항을 링크하지 않나

개인정보처리방침 5항 나목에 같은 내용이 이미 있다. 그런데 거기를 링크하면 이용자는 방침 전문을 받게 된다.

법정고지사항 고지를 통한 동의 제도는 약관·처리방침 전문을 제시하고 동의받는 관행의 부작용을 없애려고 도입된 것이다. 그래서 고지사항만 따로 정리한 양식이 필요하다.

구성

개인정보 보호법 제28조의8 제2항 각 호를 그대로 따랐다.

호	페이지 항
1	이전되는 개인정보 항목
2	이전되는 국가, 시기 및 방법
3	이전받는 자의 명칭과 연락처
4	이용 목적 및 보유·이용 기간
5	이전을 거부하는 방법, 절차 및 거부의 효과

동의 양식으로 단독으로 읽혀야 하므로 방침의 다른 항을 참조하지 않고 내용을 직접 적었다. 「제2항 라목 참조」 같은 식으로 쓰면 다시 방침을 열어야 한다.

판단이 들어간 곳

이전받는 자의 연락처(제3호) — 각 사가 공개한 개인정보 보호 채널을 적었다. AWS·Snowflake는 개인정보 보호 안내 페이지, New Relic은 privacy@newrelic.com 이고 세 곳 모두 응답을 확인했다. 재수탁사 관계와 실제 접수 경로(널스메이트·AB180 개인정보 담당 부서)도 함께 밝혀 어디로 연락해야 하는지 모호하지 않게 했다.

거부의 효과(제5호) — 기본 기능을 그대로 쓸 수 있다는 점을 가장 먼저 적었다. 거부가 서비스 이용 제한으로 이어진다고 오해하면 거부권이 형식만 남는다. 기기 설정만으로는 전체 이전이 중단되지 않는다는 점, 이미 수집된 정보가 자동 삭제되지 않는다는 점도 숨기지 않았다.

함께 바뀐 것

• 방침 5항 나목 → 이 페이지 링크 추가. 방침 본문의 사실 관계는 그대로다.
• README에 동반 수정 규칙 — 두 문서가 같은 사실을 담으므로 한쪽만 고치지 않도록 적었다. 이전받는 자·국가·목적·보유기간·거부 방법이 바뀌면 둘을 함께 수정한다.

다음 작업으로 넘길 것

NM-548(계약·동의 화면 시안)의 입력이다. 확정 URL은 https://www.nursemate.app/privacy/overseas/ 이고, 본문 분량은 화면에서 전문을 펼칠지 요약 + 링크로 갈지 정하는 근거가 된다. 서버 동의 정의의 policy-url도 이 주소를 쓴다(NM-545).

확인

• /privacy/overseas/ · /privacy/ 렌더링 확인, 상대경로(../../styles.css, ../) 동작 확인
• 320px 폭에서 컨테이너를 넘는 요소 없음 — 표의 URL은 overflow-wrap으로 접힌다
• 외부 링크 3건 응답 확인(AWS·Snowflake·New Relic)
• HTML 태그 균형 검증

머지 순서

방침 개정(#9)이 운영에 반영된 뒤 또는 함께 공개되어야 한다. 이 페이지만 먼저 뜨면 방침은 아직 「광고 식별자를 수집하지 않는다」고 적힌 상태가 된다.

관련

NM-549 · NM-548(계약·시안) · NM-545(서버 동의 항목) · NM-544(방침 개정, #8 · #9)

---

추가 — Meta로의 전송을 방침에 넣는다 (007db94)

작업 중 방침에 빠진 것을 찾아 함께 고쳤다. 같은 사실을 담는 두 문서라 분리하지 않았다.

Airbridge 문서 채널 연동하기 — 메타 애즈에 따르면 페이스북 앱 ID 등록만으로 Install(앱 설치)·Deeplink Open(앱 활성화)·Deeplink Pageview 세 이벤트가 Meta로 자동 전송되며, 이 전송은 끌 수 없다. 전환 API(인앱 이벤트 포스트백)는 그 위에 얹는 2단계다. 앱 ID는 이미 등록돼 있다.

처음에는 전환 API가 설정되지 않았으니 Meta로 가는 정보가 없다고 보았는데, 1단계를 빠뜨린 판단이었다. 광고 채널 연동은 캠페인·비용 데이터를 가져오기만 하는 것이 아니라 양방향이다.

지금 전송되는 이벤트가 없는 것은 맞지만 이유가 다르다 — 전환 API가 꺼져서가 아니라 SDK가 든 빌드가 아직 출시되지 않아서다. 출시되는 순간 설치 이벤트가 Meta로 가기 시작한다.

바뀐 것

• 방침 5항에 「다. 광고 매체로의 전송」 신설 — Meta Platforms(미국), 전송 항목·목적, 거부 방법. 가목(처리 위탁)·나목(재수탁사 국외 이전)과 성격이 달라 항을 나눴다. 매체는 우리 지시로 처리하는 수탁사가 아니라 전송받은 정보를 자사 광고 성과 측정과 캠페인 최적화에 이용한다.
• 고지 페이지에 Meta 반영 — 1항(전송 항목), 2항(전송 방법), 3항(명칭·연락처), 4항(목적·보유기간).

전송 항목에 광고 식별자·기기 정보를 포함해 적었다. 문서가 이벤트 이름만 밝히고 동반 식별자를 명시하지 않으나, 광고 클릭과 설치를 연결하려면 식별자가 필요하고 방침에서는 과소 고지가 과다 고지보다 위험하다.

머지 순서

이 PR이 develop에 들어가야 #9(→ main)가 Meta를 포함한 방침을 가져간다. #9를 먼저 머지하면 Meta가 빠진 방침이 공개되고, SDK 출시 전에 재개정과 재동의를 다시 받아야 한다. #9에도 보류 코멘트를 남겼다.

🤖 Generated with Claude Code

https://claude.ai/code/session_017kFJcFaaAoa4RsPgFsbE53

[ParkMazorika]

확인 요청 2건

1. Meta는 처리 위탁이 아니라 제3자 제공으로 분류

Meta는 전송받은 정보를 자사 광고 성과 측정·캠페인 최적화에 이용하므로 위탁(재위탁)이 아니라 제3자 제공에 해당한다. 전송을 AB180(Airbridge)이 하더라도, 연동은 널스메이트가 켠 것이고 Meta는 AB180의 업무를 대신 처리하지 않는다. 방침 97행의 「위탁과 제3자 제공은 구분됩니다」와도 맞춰야 한다.

현재는 privacy/index.html 「5. 처리 위탁 및 국외 이전」 아래 다목으로 들어가 있다. 다음 중 하나로 정리:

• 5항 제목을 「처리 위탁, 제3자 제공 및 국외 이전」으로, 다목 제목을 「광고 매체에 대한 제3자 제공」으로 변경
• 또는 제3자 제공 항을 따로 두고 제17조 제2항 항목(제공받는 자 · 이용 목적 · 제공 항목 · 보유·이용 기간 · 거부권과 거부 시 불이익)으로 작성

고지 페이지(privacy/overseas/index.html) 3항의 「Meta Platforms는 광고를 집행한 매체로…」 문단도 수탁·재수탁사와 구분해 「제3자 제공」임을 밝힌다. 국외 제3자 제공이면 별도 동의 대상이므로 NM-548 동의 화면에 Meta 항목이 들어가는지도 함께 확인 필요.

2. 가입 이벤트도 Meta로 전송 중 — 전송 항목에 추가

PR 본문의 「전환 API(인앱 이벤트 포스트백)가 설정되지 않았다」는 현재와 다르다. 2026-10-08 Airbridge 메타 애즈 연동에서 인앱 이벤트 포스트백 Sign-up (App) → 등록 완료를 추가해 전송 중이다. 지금 문구로 공개하면 과소 고지가 된다.

「앱 설치, 앱 활성화(딥링크 열기)」에 최초 가입 완료 이벤트를 추가해야 하는 곳:

파일	위치
privacy/index.html	133행 다목 소개 문장 「설치·실행 이벤트를 전송합니다」
privacy/index.html	137행 Meta 표의 전송 항목
privacy/overseas/index.html	36행 1항 마지막 문단
privacy/overseas/index.html	60행 3항 「설치·활성화 이벤트를 전송받습니다」

예) 「앱 설치, 앱 활성화(딥링크 열기), 최초 가입 완료 이벤트와 발생 시각, 이를 광고 클릭과 연결하는 데 필요한 광고 식별자·기기 정보」

[ParkMazorika]

1. Meta는 '위탁'이 아니라 '제3자 제공'으로

• 이유: Meta는 받은 정보를 자기 광고 측정과 최적화에 써요. 전송은 AB180이 하지만, 연동을 켠 건 널스메이트예요. 그리고 Meta가 AB180의 업무를 대신 처리하는 것도 아니에요.
• privacy/index.html
  • 5항 제목: 「처리 위탁 및 국외 이전」 → 「처리 위탁, 제3자 제공 및 국외 이전」
  • 다목 제목: 「광고 매체로의 전송」 → 「광고 매체에 대한 제3자 제공」
  • 제3자 제공 항을 따로 만들 경우에는 제17조 제2항 항목을 모두 적어요(제공받는 자, 목적, 항목, 보유기간, 거부권과 불이익).
• privacy/overseas/index.html 60행: Meta가 수탁사·재수탁사와 달리 제3자 제공이라는 점을 밝혀요.
• NM-548 동의 화면: 국외 제3자 제공은 별도 동의 대상이에요. Meta 항목이 들어가는지 확인이 필요해요.

2. 가입 이벤트 추가

아래 네 곳의 「앱 설치, 앱 활성화(딥링크 열기)」에 최초 가입 완료를 넣어요.

• privacy/index.html:133 다목 소개 문장
• privacy/index.html:137 Meta 표의 전송 항목
• privacy/overseas/index.html:36 1항 마지막 문단
• privacy/overseas/index.html:60 3항 문단

▎ 예: 앱 설치, 앱 활성화(딥링크 열기), 최초 가입 완료 이벤트와 발생 시각, 이를 광고 클릭과 연결하는 데 필요한 광고 식별자·기기 정보
PR 본문의 "전환 API(인앱 이벤트 포스트백) 고쳐야 해요.
3. AEM 유지에 따른 거부 안내 수정
- privacy/index.html 다목 마지막 문단: 「 에서 "제9항의 방법 또는"을 빼요. 추적을꺼도 Meta 전송은 멈추지 않기 때문이에요. - **다목과 고지 페이지 5항 「거부의 효과」
▎ iOS에서 앱 추적을 허용하지 않아도, 광고 식별자를 제외한 설치·가입 이벤트는 집계 측정 목적으로 Meta에 전송됩니다. 전송 중단은 문의처로 요청해 주

• 고지 페이지 1항의 광고 식별자 줄 「IDFA(앱 추적을 허용한 경우에만)」은 그대로 둬도 돼요. IDFA 자체는 여전히 허용한 경우에만 수집하니까요. 위에서 추 설명해 줘요.

[taew0o]

리뷰 감사합니다. 3건 모두 반영했습니다. 지적하신 대로 1번은 제 분류 오류였고, 2번은 제 사실 확인이 틀렸습니다.

1. 제3자 제공으로 재분류 — 반영 (65dfbcb)

Meta를 위탁의 연장선에 둔 게 맞지 않았습니다. 전송은 AB180이 수행하지만 Meta는 제공받은 정보를 회사의 지시가 아니라 자사 목적으로 이용하므로 위탁이 아닙니다.

• 5항 제목 → 「처리 위탁, 제3자 제공 및 국외 이전」
• 다목 → 「광고 매체에 대한 제3자 제공」, 성격을 본문에 명시
• 제17조 제2항 고지항목 — 표를 제공받는 자·국가·제공 항목·이용 목적·보유 기간으로 나누고, 본문에 거부권과 거부 시 불이익이 없다는 점을 적었습니다
• 고지 페이지 3항에도 재수탁사와의 구분을 밝혔습니다

2. 가입 이벤트 — 반영 (41e78bd). 제가 틀렸습니다

처음에는 전환 API 탭이 보이지 않는 것을 근거로 가입은 전송되지 않는다고 봤습니다. 대시보드를 확인한 결과 **인앱 이벤트 포스트백이 「전송 중」**이고 에어브릿지 Sign-up (App) → 메타 애즈 등록 완료가 프리셋으로 매핑돼 있었습니다. 인앱 이벤트 포스트백 설정이 그 탭과 별개 위치에 있었습니다.

지적하신 네 곳에 「최초 가입 완료」를 넣었습니다. PR 본문의 전환 API 서술도 고쳤습니다.

관찰한 화면 구성만으로 전송 여부를 판단한 것이 이번 건에서 두 번째 오류입니다. 처음엔 채널 연동의 기본 포스트백을 놓쳤고, 이번엔 인앱 포스트백을 놓쳤습니다.

3. 거부 안내 — 반영

• 다목 마지막 문단에서 「제9항의 방법 또는」을 뺐습니다. 광고 식별자를 제한해도 제공이 멈추지 않으므로 제9항을 거부 수단으로 가리키면 사실과 다릅니다.
• 다목과 고지 페이지 5항 「거부의 효과」에 추가했습니다 — 「iOS에서 앱 추적을 허용하지 않으셔도 광고 식별자를 제외한 설치·가입 이벤트는 집계 측정 목적으로 제공됩니다.」
• 고지 페이지 1항의 「IDFA(앱 추적을 허용한 경우에만)」은 말씀대로 그대로 뒀습니다.

AEM 설정 상태 자체는 확인하지 못했습니다. 다만 추적을 끄면 제공이 멈춘다고 읽히는 쪽이 위험하므로, 과소 고지를 피하는 방향으로 적었습니다.

NM-548로 넘긴 것

「국외 제3자 제공은 별도 동의 대상」 지적은 NM-548에 남기겠습니다. 국외 이전 동의 항목 하나로 묶을지, 제공을 따로 받을지가 거기서 정해져야 합니다.

[taew0o]

spec PR #147(NM-548) 반영 — 선택 동의 구조 (5f17b2d)

국외 이전·제3자 제공을 **선택 동의 항목 OVERSEAS**로 받기로 정해졌습니다. 근거가 제28조의8 제1항 **제3호(계약 이행에 필요한 처리위탁) → 제1호(정보주체의 별도 동의)**로 옮겨간 것이라, 수집 조건과 거부 방법이 둘 다 달라집니다. NM-544·NM-549 티켓에 적힌 남은 작업을 반영했습니다.

방침

위치	변경
2항 라목	「선택 동의 항목에 동의한 경우에만 수집한다」 명시. 동의하지 않아도 모든 기능을 쓸 수 있다는 점 포함
5항 나목	국외 이전의 근거(제28조의8 제1항 제1호)와 제2항 고지사항 다섯 가지를 밝힘
5항 나목·다목	거부 방법을 문의처 요청 → 설정 → 약관 및 동의에서 체크 해제·저장으로. 이미 전송된 정보의 삭제만 문의처로 남김
9항	선택 동의 철회 권리를 계정 삭제와 나란히 추가

거부 방법을 바꾼 게 핵심입니다. 제38조 제4항은 철회가 수집보다 어렵지 않아야 한다고 정하는데, 동의는 화면에서 받고 철회는 메일로 요청하라는 건 그에 어긋납니다.

고지 페이지

• 제목을 **「국외 이전·제3자 제공에 관한 고지」**로 넓혔습니다 — Meta 제공이 들어와 국외 이전만 담지 않습니다
• 머리말에 선택 동의임을 먼저 밝혔습니다. 동의 양식이니 읽는 사람이 거부할 수 있다는 사실을 가장 먼저 알아야 합니다
• 2항 시기 → 「동의하신 뒤부터, 동의가 유지되는 동안」. 동의 전에는 이전되지 않습니다 — 앱이 동의 전에 측정 SDK를 켜지 않는다는 spec 계약과 맞췄습니다
• 5항을 선택 동의·철회 구조로 다시 썼습니다. 거부 방법을 ① 동의하지 않음 → ② 약관 및 동의에서 해제 → ③ 이미 이전된 정보는 문의처 순으로 두고, 기기 설정은 광고 식별자만 제한한다는 점을 효과 쪽으로 옮겼습니다

확인

로컬에서 두 페이지 렌더링·상호 링크 확인, 태그 균형 검증. 옛 「문의처로 요청」 중심 문구 잔재 없음.

머지 전 확인 — 시행일

시행일을 2026-10-08 그대로 두었습니다. 머지 시점에 실제 게시일로 맞춰야 합니다 — 시행일·최종 수정일·종전 방침 종료일 세 곳입니다. 이 값이 서버의 방침·OVERSEAS 동의 버전이 됩니다(NM-545).

남은 것

• AEM 확인(NM-542) — iOS 추적 거부 시 Meta 집계 전송 여부. 지금 문구는 과소 고지를 피하는 쪽으로 적혀 있어, 결과에 따라 완화할 수 있습니다
• 순서는 그대로입니다 — [NM-549][NM-544] 국외 이전·제3자 제공 고지 페이지 · Meta 제공 · 선택 동의 반영 #10 → develop → [NM-544][NM-549][NM-344] 운영 반영 — 방침 개정·국외 이전 고지 페이지·랜딩 페이지 (시행 2026-10-08) #9 → main → 앱 배포 → NM-545 서버 항목 추가