목차
버전: 1.2 · 게시일: 2026년 10월 16일 · 시행: 신규 워크스페이스는 승낙 시, 이전 버전을 승낙한 워크스페이스는 STAK이 고객 서비스 이용약관 제20조에 따른 통지에서 정하는 날 · 정본: 영어 (고객 서비스 이용약관 제23.9조)
발행인: 미국 델라웨어주에서 설립된 유한책임회사(파일 번호 10798493)이며 STAK(ستاك)과 서비스를 소유하는 STAK Global, LLC. 연락처: [email protected].
본 보안 개요는 본 버전의 시행일 현재 상태를 기준으로, 당사가 고객 사업의 데이터를 어떻게 보호하고 그 사본을 어떻게 보관하는지 쉬운 말로 설명합니다. 변경되면 업데이트합니다. 정보 제공만을 위한 것입니다. 당사의 계약상 약속은 데이터 처리 계약에 있습니다. STAK 고객 서비스 이용약관에서 정의된 용어는 본 보안 개요에서도 동일한 의미를 가집니다.
1. 요약
- 고객의 데이터는 전송되는 동안과 당사 시스템에 저장되는 동안 암호화됩니다.
- 각 사업자의 데이터는 데이터베이스 자체에서 다른 모든 데이터와 분리되어 보관됩니다.
- 당사는 지속적으로 백업을 만들고, 일일 및 월간 사본을 다른 국가에 조기 삭제로부터 보호하여 보관합니다.
- 당사는 카드 번호를 저장하지 않으며, 고객의 자금을 수령하거나 보유하지 않습니다.
- 모든 중요한 변경은 어떤 사용자도 변경할 수 없는 감사 기록에 기록됩니다.
- 당사는 현재 ISO 27001 인증이나 SOC 2 보고서를 보유하고 있지 않습니다. 이를 취득하면 여기에 밝히겠습니다.
2. 고객 데이터의 보관 위치
2.1 서비스는 독일 연방공화국 프랑크푸르트 리전의 Amazon Web Services 클라우드 인프라에서 실행됩니다. 백업은 아일랜드 공화국에 있는 별도의 Amazon Web Services 리전으로 복사됩니다. 이러한 분리 덕분에 주 호스팅 리전 전체가 장애를 일으켜도 고객 데이터의 사본을 유지할 수 있습니다.
2.2 당사는 향후 호스팅을 다른 리전으로 옮길 수 있습니다. 그 경우 최소 30일 전에 고객에게 통지합니다. 주 호스팅 리전의 상실 이후 아일랜드 공화국의 백업에서 서비스를 일시적으로 운영하는 것은 이전이 아니며, 당사는 이를 지체 없이 고객에게 알립니다.
2.3 STAK은 미국에서 설립된 회사인 STAK Global, LLC가 제공합니다. 당사의 호스팅 제공자와 일부 서비스 제공자도 미국 법률의 적용을 받습니다. 당사는 데이터 처리 계약 제13조에 정한 대로 어떤 정부의 불법적인 접근으로부터도 고객의 데이터를 보호합니다. 즉, 구속력 있는 요청이 있는 경우에만 데이터를 공개하고, 법률이 금지하지 않는 한 고객에게 알리며, 공개를 최소한으로 제한하고, 불법이라고 합리적으로 판단하는 요청에 이의를 제기합니다. 고객의 데이터는 저장되는 동안과 전송되는 동안 암호화됩니다.
3. 암호화
3.1 서비스에 대한 모든 연결은 TLS 버전 1.2 이상으로 암호화되며, 애플리케이션은 연결할 때마다 데이터베이스 서버의 신원을 검증합니다.
3.2 데이터베이스, 디스크, 파일, 백업 및 시크릿 저장소는 Amazon의 키 관리 서비스를 통해 또는 호스팅 제공자가 관리하는 키를 사용하여 저장 시 AES-256으로 암호화됩니다.
3.3 고객 직원의 파일과 임상 기록은 애플리케이션 내에서 별도의 키로 추가 암호화되며, 결제 서비스 제공자 및 기타 제공자에 연결하기 위한 키는 별도의 키로 암호화된 별도의 시크릿 저장소에 보관됩니다.
4. 각 사업자 데이터의 분리
4.1 데이터베이스에 있는 사업자 데이터의 모든 레코드에는 그것이 속한 사업의 식별자가 포함됩니다. 데이터베이스 자체가 행 수준 보안 규칙을 적용하여 애플리케이션이 다른 사업의 레코드를 읽거나 쓰는 것을 막습니다. 이는 애플리케이션 자체 점검 아래에 있는 독립적인 보호 계층입니다.
4.2 애플리케이션이 사용하는 데이터베이스 계정에는 이러한 규칙을 우회할 권한이 없습니다.
5. 로그인 보호
5.1 다음으로 로그인할 수 있습니다:
- 확인된 번호로 WhatsApp을 통해 전송되는 인증 코드;
- 얼굴 또는 지문 인식을 사용하는 패스키;
- Google, Apple 또는 Microsoft 계정.
로그인 후 두 번째 단계로 인증 앱을 사용할 수 있습니다. 당사는 비밀번호를 사용하지 않습니다.
5.2 특정 역할에 대해 2단계 로그인을 필수로 설정할 수 있으며, 누군가가 인증 방법을 변경하면 소유자와 관리자에게 경보가 전달됩니다. 각 사람은 자신의 계정이 새 기기에서 사용되면 경보를 받습니다. 이를 포함하는 요금제에서는 세션 유휴 시간 제한도 설정할 수 있으며, 누군가가 새 기기에서 로그인하면 소유자에게 경보가 전달됩니다.
5.3 각 직원은 정해진 역할과 권한을 부여받으며, 접근은 특정 지점으로 제한할 수 있습니다. 공유 기기의 직원은 6자리 개인 식별 번호(PIN)를 사용하며, 이를 이용한 로그인은 5회 잘못 입력하면 잠깁니다.
6. 감사 기록 및 변조 탐지
6.1 모든 중요한 변경은 누가, 언제, 어디에서, 어떤 IP 주소로 했는지와 함께 감사 기록에 기록됩니다. 어떤 사용자도 이 기록을 변경하거나 삭제할 수 없습니다. 다만 최종 고객의 데이터 삭제 요청을 이행하면 그 항목에서 해당 사람의 신원이 제거되며, 무엇이 누구에 의해 언제 이루어졌는지는 유지됩니다. 이 기록은 약관에 따른 해지 시 고객 데이터와 함께 삭제됩니다.
6.2 회계 항목은 이후의 어떤 변경도 드러나도록 체인으로 연결되어 있으며, 고객은 보안 페이지에서 그 무결성을 확인할 수 있습니다.
7. 백업 및 복구
7.1 당사는 데이터베이스를 지속적으로 백업하여 최근 35일 이내의 어느 시점으로든 복원할 수 있게 합니다. 당사는 또한 다음을 만듭니다:
- 일일 백업, 35일간 보관;
- 월간 백업, 12개월간 보관;
- 매일 밤 데이터베이스의 논리 백업(데이터베이스 덤프), 잠금 저장소에 35일간 보관.
7.2 일일 및 월간 백업은 아일랜드로 복사됩니다. 프랑크푸르트와 아일랜드의 백업 볼트 정책에 따라 당사 팀을 포함한 누구도 보관 기간이 끝나기 전에 백업을 삭제하거나 그 기간을 변경할 수 없습니다. 볼트는 또한 호스팅 제공자의 컴플라이언스 모드로 잠겨 있으며, 이는 호스팅 제공자에 있는 당사 계정 중 하나를 탈취할 수 있는 사람을 포함하여 누구도 처음 35일 동안 백업을 삭제할 수 없도록 설계된 것입니다.
7.3 당사는 매달 백업으로부터 데이터베이스를 복원하는 테스트를 합니다. 서비스 수준 계약의 복구 목표에 맞추어, 데이터베이스에 장애가 발생하는 경우 15분 이내의 데이터 손실로, 호스팅 리전 전체가 상실되는 경우 24시간 이내의 데이터 손실로 억제하는 것을 목표로 합니다.
7.4 당사는 고객의 아카이브가 아니라 서비스를 복구하기 위해 백업을 보관합니다. 따라서 “요금제 및 결제” 페이지 또는 각 앱에서 데이터를 정기적으로 내보내 주시기 바랍니다.
8. 결제 및 자금
8.1 서비스는 카드 번호가 당사 시스템을 통과하거나 저장되지 않도록 설계되어 있습니다. 결제는 결제 서비스 제공자 자체의 페이지 또는 그들의 인증받은 카드 수락 단말기와 앱에서 이루어집니다. 서비스 화면에는 카드 번호나 보안 코드를 입력하는 필드가 없으며, 고객은 보안 페이지에서 실수로 입력된 카드 번호가 있는지 텍스트 필드를 검사해 달라고 요청할 수 있습니다.
8.2 고객의 자금은 결제 서비스 제공자로부터 고객의 은행 계좌로 직접 정산됩니다. 당사는 이를 수령하거나 보유하지 않습니다.
8.3 정산금을 받기 위해 STAK에 등록된 은행 계좌를 변경하려면 추가 확인 단계가 필요하며, 변경은 48시간이 지난 후에만 효력이 발생합니다. 소유자에게 즉시 경보가 전달되어 이를 취소할 수 있습니다.
9. 인공지능
9.1 데이터는 사용자가 AI 기능을 요청하거나, 영수증과 같이 AI 기능이 판독할 문서를 업로드하거나, 사용자가 설정한 자동화가 AI 단계를 실행할 때에만 AI 제공자에게 전송되며, 해당 요청 또는 단계에 필요한 데이터만 전송됩니다.
9.2 고객의 데이터는 인공지능 모델 학습에 사용되지 않습니다. AI 기능은 고객의 명시적 확인이 있은 후, 또는 권한 있는 사용자가 설정하고 켠 자동화에 따라서만 레코드를 변경합니다.
10. 당사 팀의 접근
운영 환경에 대한 접근은 실명이 확인된 제한된 수의 직원으로 한정되고 다중 인증이 필요하며, 모든 접근 세션의 시작이 기록됩니다. 서버에 대한 관리 접근은 Amazon의 시스템 관리 서비스를 통해서만 이루어지며, 서버에 직접 로그인하는 일은 없습니다.
당사는 다음의 경우에만 고객의 데이터를 확인합니다:
- 고객이 요청하는 지원을 제공하기 위해;
- 서비스를 운영, 유지 및 복원하기 위해;
- 보안 사고 또는 허용 가능한 사용 정책 위반 의심을 조사하기 위해;
- 법률이 요구하는 경우.
11. 모니터링 및 사고 대응
11.1 당사는 클라우드 인프라를 상시 자동으로 모니터링하며 당사 팀에 즉시 경보를 보냅니다. 클라우드 인프라에 대한 모든 관리 작업이 기록되며, 위협과 과도한 권한은 자동으로 탐지됩니다.
11.2 개인정보 침해가 고객의 데이터에 영향을 미치는 경우, 당사는 부당한 지체 없이 고객에게 통지합니다. 가능한 경우 인지한 때부터 24시간 이내에, 어떤 경우에도 48시간 이내에 통지합니다. 무슨 일이 있었는지와 당사가 이에 대해 무엇을 했는지 알려 드립니다.
12. 인증
당사는 현재 ISO 27001 인증이나 SOC 2 보고서를 보유하고 있지 않습니다. PCI DSS 인증도 보유하고 있지 않은데, 이는 서비스가 카드 데이터가 당사 시스템을 통과하지 않도록 설계되었기 때문입니다. 카드 데이터는 결제 서비스 제공자 자체의 페이지 또는 그들의 인증받은 단말기와 앱에서 처리됩니다. 고객이 서비스에 연결하는 결제 서비스 제공자는 자체 인증을 보유하고 있습니다. 향후 취득하는 인증은 여기에 나열하겠습니다.
고객이 STAK 페이지를 통해 카드 결제를 받는 경우, 구매자는 고객의 결제 서비스 제공자 자체 페이지로 이동하거나 고객이 그 인증받은 단말기와 앱을 사용하므로 STAK의 페이지는 카드 데이터를 수집하지 않습니다. 고객 자신의 PCI DSS 의무는 결제 서비스 제공자와 확인하십시오. 이러한 리디렉션을 사용하는 사업자는 보통 가장 짧은 자체 평가 설문(SAQ A)을 작성합니다. STAK은 PCI DSS 인증을 보유하고 있다고 주장하지 않습니다.
13. 고객이 할 수 있는 일
- 소유자와 관리자에 대해 2단계 로그인을 켜십시오.
- 각 직원에게 업무에 필요한 권한만 부여하고, 퇴사하는 사람의 접근은 즉시 삭제하십시오.
- 데이터를 정기적으로, 최소한 한 달에 한 번 내보내십시오.
- 기기를 초기화하거나 로그아웃하기 전에, 오프라인으로 기록된 판매의 동기화가 끝날 때까지 POS 기기를 연결된 상태로 유지하십시오.
- 기기의 시스템과 브라우저를 최신 상태로 유지하십시오.
- 의심스러운 활동이 있으면 즉시 알려 주십시오.
14. 취약점 신고
보안 취약점을 발견한 경우 [email protected]으로 이메일을 보내 주십시오. 당사는 신고를 비밀로 처리합니다. 당사는 허용 가능한 사용 정책 제10조에 정한 한도 내의 선의의 보안 테스트를 승인하며, 그 한도 내에 머무르고 지체 없이 취약점을 당사에 신고하는 사람에 대해 고소나 청구를 하지 않습니다.