보안 정책
최종 수정일: 2026년 7월 20일 | 적용일자: 2026년 7월 20일
1. 보안 정책 개요
주식회사 페이턴티는 사용자의 데이터와 개인정보 보호를 위해 HTTPS 통신과 프로젝트별 접근 통제를 적용합니다.
본 보안 정책은 당사의 보안 원칙과 실행 방안을 명시하며, 모든 사용자와 직원이 준수해야 할 보안 기준을 제시합니다.
2. 보안 목표
우리의 보안 시스템은 다음과 같은 핵심 목표를 달성하고자 합니다:
- 기밀성: 허가되지 않은 접근으로부터 정보를 보호
- 무결성: 데이터의 정확성과 완전성 보장
- 가용성: 서비스의 지속적이고 안정적인 제공
- 책임성: 모든 활동에 대한 추적 및 감사 기능
3. 데이터 보안
데이터 보호
- 전송 암호화: HTTPS 통신과 운영 환경의 HSTS 정책
- 저장 데이터 보호: 프로젝트 소유자와 협업자의 역할·권한에 따른 데이터 접근 통제
- API 키 관리: 환경 변수를 통한 안전한 키 관리
- 저장·처리 위치: 데이터베이스 연결은 서울 리전으로 구성되며, AI 추론은 글로벌 엔드포인트를 사용하므로 처리 위치가 다를 수 있습니다.
데이터 관리
- 개인정보 최소 수집 원칙
- 프로젝트는 사용자 삭제 기능으로 삭제하며, 법정 보관 기록은 별도 보관
- 백업 설정 및 복구 절차의 확인을 운영 목표로 설정
- 접근 권한 검토 및 갱신을 운영 목표로 설정
4. 시스템 보안
클라우드 인프라
- 애플리케이션 호스팅: HTTPS 연결을 사용하는 앱 호스팅
- 데이터베이스: 프로젝트별 접근 권한 확인과 데이터베이스 접근 정책
- 웹 방화벽: 악성 트래픽과 SQL 인젝션 위험을 줄이기 위한 통제 검토
- 보안 패치 검토: 보안 패치 적용 필요성 검토
웹 애플리케이션 보호 목표
- CSRF 토큰을 통한 크로스 사이트 요청 위조 방지
- XSS 방지를 위한 입력 데이터 검증 및 이스케이프
- SQL 인젝션 방지를 위한 매개변수화된 쿼리
- 보안 헤더를 통한 클릭재킹 및 콘텐츠 주입 방지
5. 접근 제어
인증
- 인증 기반: OAuth 2.0 기반 인증 시스템
- 세션 관리: 서명된 세션 토큰 기반 보안 세션
- 비밀번호 정책: 강력한 비밀번호 요구사항 및 해시화
- 계정 보안: 비정상적인 로그인 시도에 대한 보호 조치 검토
권한 관리
- 역할 기반 접근 제어 (RBAC)
- 최소 권한 원칙에 따른 권한 부여
- 사건별 세분화된 접근 권한
- 권한 검토 및 갱신을 운영 목표로 설정
6. AI 서비스 보안
제3자 AI 서비스
- AI 인프라: Pro Secure·Enterprise는 Vertex AI를 사용하며, 일반 요금제의 허용된 작업은 OpenRouter를 경유할 수 있습니다.
- OCR 서비스: 서버 사이드에서만 처리되는 전문 OCR 서비스 (AI 처리에 필요한 최소 데이터만 전송)
- API 키 보안: 서버 사이드에서만 접근 가능한 키 관리
- 데이터 최소화: AI 처리에 필요한 최소한의 데이터만 전송
AI 보안 운영 목표
- AI 모델에 전송되는 데이터의 사전 검증
- AI 응답의 민감 정보 노출 위험 검토
- AI 서비스 이용 기록의 보안 로깅
- AI 모델 업데이트 시 보안 영향 평가
7. 보안 모니터링
모니터링 운영 목표
- 실시간 시스템 상태 모니터링
- 비정상적인 접근 패턴 탐지
- 서비스 가용성 모니터링
- 성능 이상 징후 알림
로깅 및 감사 운영 목표
- 보안 및 운영에 필요한 범위의 로그 기록
- 시스템 이벤트 및 오류 로그
- 데이터 접근 및 수정 이력 추적
- 정기적인 로그 분석 및 보고
8. 보안 사고 대응
대응 체계
- 담당 인력: 사고 발생 시 대응 담당자와 에스컬레이션 경로 확인
- 대응 절차: 사고 유형에 맞는 대응 절차 수립 및 검토
- 클라우드 지원: 호스팅 및 데이터베이스 수탁사 기술 지원팀과 연계
- 외부 협력: 필요시 보안 전문업체 협력
사고 알림
- 즉시 내부 팀 알림 체계
- 고객 데이터 영향 사고 시 인지 후 24시간 내 1차 고객 통지, 확인되는 대로 단계적 상세 공유
- 관련 기관 신고 (필요시)
- 사후 개선 방안 수립 및 적용
9. 보안 인식 및 교육 계획
- 직원 대상 정기적 보안 교육
- 최신 보안 위협 정보 공유
- 보안 정책 숙지 및 준수 점검
- 사회공학적 공격 대응 훈련
- 보안 사고 시뮬레이션 및 대응 훈련
10. 제3자 서비스 보안
Patenty.AI는 서비스 제공을 위해 다음 수탁사에 데이터 처리를 위탁합니다. 최신 전체 목록과 처리 조건은 /privacy/subprocessors 에서 확인하실 수 있습니다:
- 애플리케이션 호스팅: HTTPS 연결을 사용하는 앱 호스팅
- 데이터베이스: 서울 리전 데이터베이스 연결과 프로젝트별 접근 통제
- Google Cloud AI: Vertex AI에는 Google Cloud 표준 약관의 데이터 처리 부속합의서(CDPA)가 적용됩니다. Google은 고객의 사전 허가나 지시 없이 고객 데이터를 AI 모델의 학습·미세조정에 사용하지 않습니다.
- 문서 추출: 문서 OCR 처리. 처리 조건은 수탁사 목록에서 확인하실 수 있습니다.
- 이코노미 AI 경로: 일반 요금제의 허용된 AI 작업을 처리할 수 있으며, OpenRouter 요청은 데이터 수집 거부·무보관 정책을 가진 제공자로만 라우팅합니다.
11. 법적 준수 사항
서비스에 적용되는 법적 요구사항을 검토하고 반영합니다:
- 국내 법령: 개인정보보호법, 정보통신망법, 클라우드컴퓨팅법
- 클라우드 보안: 클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률
- 기본 보안: 서비스에 적용되는 정보보호 요구사항 검토
- 국제 기준: GDPR, CCPA 등 해외 규정은 적용 여부와 필요한 조치를 개별 검토
12. 보안 정책 관리
보안 정책은 법령, 서비스 구성 및 데이터 처리 방식의 변경에 따라 검토하고 업데이트합니다.
정책 변경 시에는 사전 공지를 통해 사용자에게 알려드리며, 중요한 변경사항은 명시적 동의를 받습니다.
보안 정책에 대한 문의사항이나 보안 사고 신고는 다음 연락처로 연락해 주시기 바랍니다:
보안 책임자: 이상민 (CEO)
이메일: contact@patenty.ai
주소: 서울특별시 강남구 테헤란로 503, 하이브로빌딩 12층 1218호 (삼성동)