개인정보처리방침 / Privacy Policy — FaceMatch AI 매칭 서비스

문서 버전: 2025-07-15 (코드의 MatchingConsentStore.currentPolicyVersion 와 반드시 일치시킬 것. 방침 변경 시 버전을 올리고 재동의를 받아야 함.)

⚠️ 이 문서는 개발자가 서비스에 맞게 채워 넣기 위한 초안 템플릿입니다. 실제 배포 전 반드시 개인정보 보호 전문 변호사의 검토를 받으세요. 특히 회사명·연락처·서버 위치·보관기간·수탁사는 실제 값으로 교체해야 합니다.

0. 왜 이렇게까지 하는가 (근거 요약)

얼굴 사진에서 생성한 특징정보(embedding)는 각국에서 가장 강하게 규제되는 데이터입니다.

한국 개인정보보호법: 얼굴 특징정보는 '민감정보'. 다른 동의와 분리된 별도 동의 필수. 만 14세 미만은 법정대리인 동의 필요.
EU GDPR: 생체정보는 '특별 범주(special category)'. 명시적 동의(explicit consent) 필요 — 자유롭게·구체적으로·충분한 정보하에·명확한 적극적 행위로. 사전 체크된 박스 금지. 고위험 처리이므로 DPIA(개인정보 영향평가) 수행 권장/필요.
미국 일리노이 BIPA: 얼굴 형상 스캔 포함. 수집 전 서면(전자서명 포함) 동의 + 수집 목적·보관기간·파기 일정 고지 필수. 생체정보 판매 금지. 위반 시 1인당 손해배상.

우리 서비스의 동의 화면(matching_consent_screen.dart)은 위 요건을 만족하도록 ①항목별 분리 동의 ②사전 체크 없음(모두 기본 해제) ③목적·보관·파기·철회 고지 ④만 14세 미만 차단 ⑤본인 얼굴만 등록을 구현합니다.

1. 처리 목적 (Purpose)

회원의 얼굴·MBTI 기반 매칭 점수 계산 및 최적의 상대 추천
매칭된 양쪽이 모두 동의한 경우, 이메일을 통한 상호 연결
서비스 부정이용 방지 및 문의 대응

2. 처리하는 개인정보 항목 (Items)

민감정보 / special category: 얼굴 사진, 그로부터 생성한 특징정보(embedding)
이메일 주소, MBTI 유형, 매칭 기록 및 상호 수락 이력
자동 수집: 기기 식별자, 접속 로그(부정이용 방지 목적)

3. 수집 방법 및 동의 (Collection & Consent)

앱 내 매칭 가입 동의 화면에서 항목별로 별도의 명시적 동의를 받은 후에만 수집합니다.
동의 사실(동의 항목, 일시, 방침 버전)은 입증을 위해 서버에 기록합니다.
사전 체크된 동의 박스를 사용하지 않습니다.

4. 보유·이용 기간 및 파기 (Retention & Destruction) — BIPA/GDPR 필수

얼굴 및 특징정보: 회원 탈퇴 또는 동의 철회 시 지체 없이(늦어도 30일 이내) 파기. 목적 달성 후에도 보관하지 않음.
매칭 기록: 회원 탈퇴 시 파기(법령상 보존 의무가 있는 경우 해당 기간 동안 분리 보관).
파기 방법: 전자적 파일은 복구 불가능한 방식으로 삭제.

5. 제3자 제공 (Third-party sharing)

매칭된 양쪽 회원이 모두 연결에 동의한 경우에 한하여 이메일을 상대에게 제공합니다.
한쪽만 수락한 경우 어떤 연락처도 공개하지 않습니다.
생체정보를 제3자에게 판매하지 않습니다. (BIPA)

6. 처리 위탁 및 국외 이전 (Processors & Cross-border transfer)

서버·클라우드 인프라 운영을 위해 [클라우드 사업자명]에 처리를 위탁할 수 있습니다.
데이터가 저장·처리되는 국가: [예: 대한민국 / EU / 미국]. 국외 이전이 발생하는 경우 이전받는 자·국가·목적·항목·거부 방법을 고지하고 동의를 받습니다.
EU 이용자의 데이터는 GDPR에 따른 적정성 결정 또는 표준계약조항(SCC)에 근거해서만 이전합니다.

7. 정보주체(이용자)의 권리 (Your rights)

열람, 정정, 삭제, 처리정지, 동의 철회를 언제든지 요청할 수 있습니다.
GDPR 대상자는 데이터 이동권(portability) 및 감독기구에 대한 불만 제기 권리를 가집니다.
앱 내 '동의 철회/탈퇴' 기능으로 즉시 요청할 수 있으며, 요청 시 서버의 얼굴·특징정보를 삭제합니다.

8. 만 14세 미만 아동 (Under 14 / Children)

만 14세 미만은 가입할 수 없습니다. (GDPR 적용 지역은 해당국 최소연령 — 다수 국가 16세 — 을 별도 적용)

9. 안전성 확보 조치 (Security)

얼굴·특징정보는 암호화하여 저장하고 접근권한을 최소화합니다.
전송 구간 암호화(HTTPS), 접근기록 보관, 유출 사고 대응 절차를 운영합니다.
고위험 처리에 대해 DPIA를 수행합니다. (GDPR)

10. 개인정보 보호책임자 및 연락처 (Contact)

개인정보 보호책임자: [이름 / 직책]
연락처: [이메일 / 전화]
EU 대리인(해당 시): [이름 / 연락처]

글로벌 체크리스트 (개발/운영자용)

항목	KR(PIPA)	EU(GDPR)	US(BIPA)	앱 반영 여부
분리된 별도/명시적 동의	✅	✅	✅(서면)	✅ 화면 구현
사전 체크 금지	권장	✅ 필수	✅	✅ 기본 해제
목적·보관기간·파기 고지	✅	✅	✅ 필수	✅ 화면+방침
만 14세 미만 차단	✅	연령 상향 필요	—	✅ 확인 항목
동의 철회·삭제권	✅	✅	—	✅ revoke()
생체정보 판매 금지	—	—	✅	✅ 방침 명시
DPIA(영향평가)	권장	✅	—	⛔ 서버측 별도
국외이전 근거(SCC 등)	✅	✅	—	⛔ 서버측 별도
동의 기록 서버 저장(입증)	✅	✅	✅	⛔ 백엔드 필요

⛔ 표시는 백엔드/운영 단계에서 별도로 갖춰야 하는 것으로, 앱 클라이언트만으로는 완결되지 않습니다.

---

Privacy Policy (English) — FaceMatch AI Matching Service

Document version: 2025-07-15 (Must always match MatchingConsentStore.currentPolicyVersion in code. Bump the version and re-collect consent whenever this policy changes.)

⚠️ This is a draft template for the developer to fill in with real values. Have it reviewed by qualified privacy counsel before launch. In particular, replace the company name, contact details, server locations, retention periods, and processors with real values.

0. Why this matters

Features (embeddings) generated from a face photo are among the most heavily regulated data categories worldwide.

Korea PIPA: Facial feature data is "sensitive information," requiring consent separate from other consents. Under-14 users need legal-guardian consent.
EU GDPR: Biometric data is a special category. Requires explicit consent — freely given, specific, informed, and an unambiguous affirmative act. No pre-ticked boxes. As high-risk processing, a DPIA (Data Protection Impact Assessment) is recommended/required.
US Illinois BIPA: Covers face geometry scans. Requires written consent prior to collection, plus disclosure of purpose, retention schedule, and destruction timeline. Selling biometric data is prohibited. Violations carry per-person statutory damages.

Our consent screen (matching_consent_screen.dart) is built to satisfy the above via: ① itemized separate consent ② no pre-checked boxes (all default off) ③ disclosure of purpose/retention/destruction/withdrawal ④ blocking under-14 signup ⑤ requiring the enrolled photo to be the user's own face.

1. Purpose

Computing face/MBTI-based match scores between members and recommending the best match
Connecting matched members by email, only when both sides consent
Preventing abuse and handling support inquiries

2. Data we process

Sensitive / special category: face photo, and the features (embedding) generated from it
Email address, MBTI type, match history and mutual-acceptance history
Automatically collected: device identifier, access logs (for abuse prevention)

3. Collection & consent

Data is collected only after separate, explicit consent is obtained per item on the in-app matching signup consent screen.
The fact of consent (which items, timestamp, policy version) is recorded server-side as proof.
We do not use pre-checked consent boxes.

4. Retention & destruction — required under BIPA/GDPR

Face photo and features: destroyed without delay (within 30 days at the latest) upon account deletion or consent withdrawal. Not retained once the purpose is fulfilled.
Match history: destroyed on account deletion (except where a legal retention obligation requires separate, segregated storage for a defined period).
Destruction method: electronic files are deleted in a non-recoverable manner.

5. Third-party sharing

Email addresses are shared with a match only when both matched members consent to connect.
If only one side accepts, no contact information is disclosed to either party.
We do not sell biometric data to third parties. (BIPA)

6. Processors & cross-border transfer

We may engage [cloud provider name] to operate server/cloud infrastructure.
Countries where data is stored/processed: [e.g., Republic of Korea / EU / United States]. Where a cross-border transfer occurs, we disclose the recipient, country, purpose, items, and opt-out method, and obtain consent.
Data belonging to EU users is transferred only on the basis of an adequacy decision or Standard Contractual Clauses (SCCs) under GDPR.

7. Your rights

You may request access, correction, deletion, restriction of processing, and withdrawal of consent at any time.
GDPR data subjects additionally have the right to data portability and to lodge a complaint with a supervisory authority.
Use the in-app "Withdraw consent / leave" feature for immediate action; this triggers deletion of your enrolled face and features from our servers.

8. Users under 14 / children

Users under 14 may not register. (In jurisdictions where GDPR applies, the applicable local minimum age — 16 in many member states — governs instead.)

9. Security measures

Face and feature data is encrypted at rest, with least-privilege access control.
We use encryption in transit (HTTPS), maintain access logs, and operate a breach-response procedure.
We conduct a DPIA for this high-risk processing activity. (GDPR)

10. Data protection contact

Data Protection Officer: [name / title]
Contact: [email / phone]
EU representative (if applicable): [name / contact]

Global compliance checklist (for developers/operators)

Item	KR (PIPA)	EU (GDPR)	US (BIPA)	Reflected in app
Separate / explicit consent	✅	✅	✅ (written)	✅ Screen implemented
No pre-ticked boxes	Recommended	✅ Required	✅	✅ Off by default
Purpose/retention/destruction disclosure	✅	✅	✅ Required	✅ Screen + policy
Block under-14 signup	✅	Raise min. age	—	✅ Confirmation item
Withdrawal & deletion rights	✅	✅	—	✅ revoke()
No sale of biometric data	—	—	✅	✅ Stated in policy
DPIA	Recommended	✅	—	⛔ Separate, server-side
Cross-border transfer basis (SCCs, etc.)	✅	✅	—	⛔ Separate, server-side
Server-side proof of consent record	✅	✅	✅	⛔ Backend required

⛔ marks items that must be handled separately at the backend/operations level — the app client alone cannot complete them.