법적 고지 · 개인정보
개인정보 처리방침
Last updated · 2026-10-05
1. 운영 주체 및 연락처
본 방침은 NEXTFRAME AI STUDIO LLC(미국 와이오밍주 법에 따라 설립된 유한책임회사, 이하 “당사”)가 filmai.ai에서 운영하는 서비스(“NEXTFRAME Cinema Master Pro” / “電影大師 Pro”, 이하 “서비스”)에 대해 발행합니다.
미국에 기반을 둔 개인정보 처리자로서 당사는 캘리포니아주 소비자 개인정보 보호법 / 개인정보 권리법(CCPA / CPRA)을 주된 개인정보 보호 체계로 삼습니다. 또한 EU / 영국 일반 개인정보 보호법(GDPR), 대만 개인정보 보호법(PDPA / 個人資料保護法) 및 기타 적용 법령에 따라 동등하거나 그보다 강한 보호를 제공합니다.
개인정보 관련 문의, 권리 행사 또는 동의 철회는 제목을 “Privacy Request”로 하여 다음 주소로 이메일을 보내 주세요: ai@next-frame.ai.
2. 당사가 수집하는 개인정보
2.1 이용자가 직접 제공하는 정보
- 계정 정보:이메일, 이름, 프로필 이미지(Clerk 로그인 경유).
- 결제 정보:카드 정보는 Stripe Inc.가 직접 수집·처리합니다. 당사는 Stripe가 발급한 토큰과 결제 메타데이터(금액, 구독 상태, 청구서 ID)만 받으며, 카드 번호는 당사 서버에 전달되지 않습니다.
- 이용자 콘텐츠:프로젝트, 개요, 업로드한 참조 자료, AI로 생성한 이미지와 영상.
- 커뮤니케이션:제품 내 피드백 버튼, 이메일 또는 고객지원 채널로 보내 주신 메시지.
2.2 자동으로 수집되는 정보
- 이용 로그:IP 주소, 브라우저 종류, 페이지 경로, 상호작용 시각. 이상 징후 탐지, 디버깅, 부정 행위 방지에 사용합니다.
- 쿠키:제7조를 참고하세요.
- 생성 메타데이터:모델 선택, 해상도, 길이, 크레딧 차감 기록. 결제와 용량 계획에 사용합니다.
- 에이전트 연결(MCP):filmai를 AI 클라이언트(예: Claude, ChatGPT, Codex, Cursor)에 연결하면, 해당 클라이언트가 이용자를 대신해 도구 요청(프롬프트, 참조 미디어 URL, 생성 설정)을 보내며, 당사는 이를 웹사이트에서 이용자가 직접 한 동작과 동일하게 처리합니다. 연결 키와 OAuth 액세스 토큰은 해시로만 저장됩니다. 쓰기 또는 크레딧이 차감되는 호출마다 도구 이름, 인수의 해시, 차감된 크레딧, 성공 여부를 기록하며(프롬프트 본문은 기록하지 않음), 이는 결제, 사용 한도, 남용 탐지를 위해 사용됩니다. AI 클라이언트와의 대화는 해당 클라이언트가 자체 개인정보 처리방침에 따라 처리하며 당사는 볼 수 없습니다. 계정 페이지에서 언제든지 키나 연결을 폐기할 수 있습니다.
2.3 제3자로부터 받는 정보
OAuth(Google)로 로그인하면, 이용자가 해당 제공자에게 공개를 허용한 프로필 항목(일반적으로 이메일, 표시 이름, 프로필 사진 URL)을 받습니다.
3. 처리의 법적 근거
미국 기업인 당사의 처리 활동은 주로 다음 근거에 따릅니다. (1) 이용자와의 서비스 계약 이행에 필요한 경우, (2) 미국 연방 및 주 법령상 의무(세무, 자금세탁방지, 소비자 보호) 준수, (3) 당사의 정당한 이익(부정 행위 방지, 플랫폼 보안, 제품 개선), (4) 이용자의 명시적 동의(마케팅 커뮤니케이션).
EU / 영국 방문자의 경우 해당하는 GDPR 제6조의 적법 근거는 다음과 같이 대응됩니다.
| 처리 목적 | GDPR 제6조 근거 |
|---|---|
| 서비스 제공(이용자와의 계약 이행) | 제6조 제1항 (b) 계약 이행 필요 |
| 결제, 세무, 청구서 발행 | 제6조 제1항 (c) 법적 의무 |
| 부정 행위 탐지, 남용 모니터링, 플랫폼 보안 | 제6조 제1항 (f) 정당한 이익 |
| 제품 분석(비식별화) | 제6조 제1항 (f) 정당한 이익 |
| 마케팅 이메일(구독한 경우에 한함) | 제6조 제1항 (a) 동의 |
대만 방문자의 경우 PDPA 제19조 제1항에 따라 처리하며, 주로 “계약 또는 준계약 관계”(서비스 제공)와 “정보주체의 동의”(마케팅)에 근거합니다.
4. 당사가 하지 않는 일
당사는 이용자의 콘텐츠를 AI 모델 학습에 사용하지 않으며, 학습 목적으로 제3자에게 이용자의 콘텐츠를 라이선스하지도 않습니다. 이용자의 프로젝트, 프롬프트, 생성 결과물은 이용자가 직접 실행한 생성 요청을 처리하는 동안에만 AI 모델 제공자에게 전송되며, 당사는 해당 제공자로부터 이용자의 콘텐츠를 회수하거나 재사용하지 않습니다. 각 제공자는 자체 정책에 따라 단기 데이터를 보관하며(예: 출력 파일 약 7일, 로그는 별도 보관), 비식별화된 집계 사용 데이터를 서비스 개선에 사용할 수 있습니다. 제공자별 내용은 제5조를 참고하세요.
당사는 이용자의 개인정보를 판매하지 않으며, CCPA / CPRA에서 정의하는 교차 맥락 행동 광고를 위해 개인정보를 “공유”하지도 않습니다.
5. 수탁 처리자(서브프로세서)
| 업체 | 역할 | 데이터 위치 |
|---|---|---|
| Clerk Inc. | 인증, 세션 관리 | 미국 |
| Stripe Inc. | 결제 처리, 청구서 발행 | 미국, 아일랜드 |
| Vercel Inc. | 앱 호스팅, AI Gateway, Web Analytics | 글로벌 CDN(주로 미국) |
| Neon Database, Inc. | 메인 Postgres 데이터베이스 | 싱가포르 |
| Cloudflare R2 | 이미지·영상 오브젝트 스토리지 | 글로벌(리전 설정 가능) |
| WaveSpeed AI (wavespeed.ai) | 영상 및 이미지 생성 모델(Seedance 포함)에 대한 통합 접근 | 싱가포르 / 홍콩 |
| BytePlus Pte. Ltd. | Seedance 영상 및 이미지 생성(공식 API) | 싱가포르 |
| Topaz Labs, LLC | 영상 화질 업스케일 — 이용자가 선택한 영상이 처리를 위해 업로드됩니다 | 미국 |
| 기타 제3자 AI 생성 제공자 | 기능별 생성 모델(예: 퀵샷 영상, 스타일화된 노래) | 싱가포르 / 글로벌 |
| Google LLC / Anthropic / OpenAI | Vercel AI Gateway를 통한 텍스트·이미지 생성 | 미국 |
| Resend Inc. | 트랜잭션 이메일(알림, 영수증) | 미국 |
| Google LLC(Analytics, Search Console) | 사이트 분석 및 SEO 모니터링 | 미국 |
6. 국제 데이터 전송
서비스는 여러 관할권에 걸쳐 데이터를 저장하고 처리합니다. EU, 영국, 스위스 방문자의 경우 전송 수단으로 EU 표준계약조항(SCC)에 의존합니다. 대만 거주자의 경우 대만 PDPA 제21조에 따라 국경 간 전송을 처리합니다. 미국 거주자의 경우 미국 내 전송은 일반적으로 적용되는 연방 및 주 개인정보 보호법에 따라 이루어집니다.
특정 수탁 처리자의 전송 수단에 대해 우려가 있으시면 다음 주소로 이메일을 보내 주세요: ai@next-frame.ai. 해당 업체의 SCC 또는 DPA를 제공해 드리며, 업체가 그러한 문서를 제공하지 않는 경우에는 해당 업체가 공개한 개인정보 처리방침과 준거 관할권을 알려 드려 전송 여부를 직접 평가하실 수 있도록 하겠습니다.
7. 쿠키 및 유사 기술
| 분류 | 목적 | 수신 거부 |
|---|---|---|
| 필수 | Clerk 세션, CSRF 토큰, 언어 설정 | 선택 불가(없으면 서비스가 작동하지 않습니다) |
| 분석 | Vercel Analytics, Google Analytics 4(비식별화) | 브라우저의 추적 금지(Do-Not-Track) 설정 또는 광고 차단기로 차단 가능 |
| 마케팅 | 현재는 없음 | — |
현재 광고 또는 리타기팅 쿠키는 사용하지 않습니다. 향후 활성화하는 경우 본 방침을 업데이트하고 쿠키 동의 배너를 표시하겠습니다.
8. 데이터 보관
| 데이터 분류 | 보관 기간 | 비고 |
|---|---|---|
| 계정 정보(이메일, 이름) | 계정 활성 기간 + 해지 후 30일 | 복구를 위한 30일 유예 |
| 이용자 생성 콘텐츠(이미지, 영상) | 계정 활성 기간 + 해지 후 90일 | 이 90일 동안 내보내기 가능 |
| 결제 / 지불 기록 | 7년(미국 세무 규정 준수) | 감사 목적에 한하며 운영에는 사용하지 않음 |
| 시스템 로그 | 90일 | 순차 삭제 |
| 고객지원 커뮤니케이션 | 3년 | 반복되는 문제의 맥락 파악용 |
| 에이전트 연결(MCP) 호출 로그 | 90일 | 도구 이름, 인수 해시, 크레딧, 결과만 기록하며 프롬프트 본문은 포함하지 않음 |
전체 삭제를 요청하려면 다음 주소로 이메일을 보내 주세요: ai@next-frame.ai. 법적 보관 의무를 조건으로 영업일 기준 14일 이내에 처리합니다.
9. 자동화된 의사결정 및 AI 처리
서비스의 핵심 기능은 AI 자동 생성입니다. 이용자가 시작한 요청에 대해 결과물은 전적으로 AI 모델이 결정하며, 당사는 콘텐츠를 선별하지 않습니다. 허용 가능한 사용 정책을 위반할 우려가 있는 콘텐츠에 대해서는 자동 분류기(예: NSFW, 딥페이크 위험 점수 산정)를 포함한 탐지 장치를 사용합니다. 고위험으로 표시된 요청은 차단되거나 사람의 검토 대기열에 올라갈 수 있습니다.
자동화된 결정으로 중대한 영향을 받았다고 판단되시면(예: 계정이 잘못 정지된 경우) 사람의 검토를 요청할 권리가 있습니다. 자세한 내용을 적어 다음 주소로 이메일을 보내 주세요: ai@next-frame.ai. 영업일 기준 14일 이내에 답변드립니다.
10. 아동의 개인정보
서비스는 만 13세 미만 아동을 대상으로 하지 않으며, 만 13세 미만인 사람의 개인정보를 의도적으로 수집하지 않습니다. 아동이 가입했다고 생각되시면 다음 주소로 연락해 주세요: ai@next-frame.ai. 확인 후 해당 계정과 관련 데이터를 즉시 삭제하겠습니다.
11. 이용자의 권리
미국 기업인 당사가 이용자의 권리에 대해 주로 따르는 체계는 캘리포니아주 CCPA / CPRA입니다. 기타 적용 법령에 따라 동등하거나 그보다 강한 보호를 제공합니다. 거주 지역과 관계없이 이용자에게는 다음 권리가 있습니다.
11.1 캘리포니아주 거주자(CCPA / CPRA)
- 당사가 수집하는 개인정보의 범주, 출처, 목적, 공유 대상을 알 권리
- 당사가 보유한 이용자의 구체적인 개인정보(최근 12개월)에 접근할 권리
- 부정확한 정보를 정정할 권리
- 개인정보를 삭제할 권리(법적 보관 의무를 조건으로 함)
- “판매” 또는 “공유”를 거부할 권리(당사는 어느 쪽도 하지 않지만 이 권리는 유지됩니다)
- “민감한 개인정보”의 처리를 제한할 권리
- 권리를 행사했다는 이유로 차별받지 않을 권리
- 대리인에게 권리 행사를 위임할 권리
CCPA / CPRA 요청에는 45일 이내에 답변하며, 사전 고지 후 45일 더 연장할 수 있습니다.
11.2 EU / 영국 거주자(GDPR / UK GDPR)
- 열람권
- 정정권
- 삭제권 / “잊힐 권리”
- 처리 제한 또는 처리에 대한 이의 제기권
- 이동권(기계 판독 가능한 형식으로 내보내기)
- 동의 철회권
- 자동화된 의사결정에 대한 이의 제기권(제22조)
GDPR 요청에는 30일 이내에 답변합니다.
11.3 대만 거주자(PDPA / 個人資料保護法)
- 문의 및 열람 요청
- 기록 사본 요청
- 보충 또는 정정 요청
- 수집, 처리 또는 이용 중단 요청
- 삭제 요청
PDPA 요청에는 30일 이내에 답변합니다.
11.4 기타 관할권
거주지의 개인정보 보호법(예: 캐나다 PIPEDA, 브라질 LGPD, 호주 Privacy Act, VCDPA / CPA / CTDPA를 포함한 미국의 기타 주법)이 추가적인 권리를 부여하는 경우, 당사는 그에 따라 해당 권리를 존중하겠습니다.
11.5 권리 행사 방법
모든 개인정보 관련 요청은 제목을 “Privacy Request”로 하여 다음 주소로 보내 주세요: ai@next-frame.ai. 다음 내용을 포함해 주세요. (i) 요청 유형, (ii) 계정에 등록된 이메일 주소, (iii) 캘리포니아주 거주자의 경우 법령상 필요한 신원 증빙(예: 이름과 문서 번호 일부가 보이는 운전면허증 사본. 나머지는 가려 주세요).
11.6 민원 제기 기관
당사의 답변이 만족스럽지 않으시면 다음 기관에 민원을 제기할 수 있습니다.
- 캘리포니아주: California Privacy Protection Agency(cppa.ca.gov)
- EU / 영국: 거주하시는 회원국의 개인정보 보호 당국
- 대만: 국가발전위원회 개인정보보호사무소(NDC)
- 미국 기타 주: 해당 주의 법무장관 또는 개인정보 보호 기관
12. 침해 통지
보안 사고가 이용자의 개인정보에 중대한 영향을 미치는 경우, 당사는 (법령에서 요구하는 경우) 인지한 때로부터 72시간 이내에 관할 감독 기관에 통지하고, 영향을 받는 이용자에게는 합리적인 기간 내에 이메일로 사고의 성격, 잠재적 위험, 당사가 취한 시정 조치를 알려 드립니다.
13. 본 방침의 변경
당사는 본 방침을 수시로 개정할 수 있습니다. 중요한 변경(데이터 범주, 처리 목적, 보관 기간의 확대 또는 수탁 처리자 추가)은 최소 30일 전에 이메일로 알려 드립니다. 중요하지 않은 변경은 즉시 효력이 발생하며, 위의 “최종 업데이트” 날짜가 현재 버전을 나타냅니다.