개인정보처리방침

1. 개요

2px는 비주얼 UI 피드백을 위한 Chrome 확장 프로그램 및 웹 대시보드입니다. 사용자는 웹페이지에 마커를 배치하고 메모를 추가하며, 선택적으로 협업을 위해 클라우드 워크스페이스에 동기화할 수 있습니다.

운영자: 2px ([email protected])

2. 플랜 및 데이터 흐름

2px는 4개 플랜(tier)을 제공합니다. 데이터 흐름은 플랜에 따라 다릅니다:

2.1 Free

• 마커와 설정은 사용자의 기기에 남습니다 (확장 프로그램 origin 내 IndexedDB).
• AI 분류 요청은 api.2px.dev/api/ai/classify로 전송됩니다 (§4 참조). 서버에 연결할 수 없는 경우 분류는 건너뛰며(“AI 제안 일시 불가”) 마커는 그대로 저장할 수 있습니다.

2.2 Solo ($9 / mo)

• Free의 모든 항목에 더하여: 라이센스 검증, 마커의 Supabase 클라우드 동기화.

2.3 Team ($29 / mo, 10 seats)

• Solo의 모든 항목에 더하여: 팀 워크스페이스, Supabase Realtime을 통한 협업 동기화, LiveKit을 통한 선택적 음성/영상 협업.

2.4 Growth ($79 / mo, unlimited seats)

• Team의 모든 항목에 더하여: 확장 분석, 감사 로그, 고객이 직접 구성하는 웹훅.

3. 수집하는 데이터

3.1 기기 내 저장 (모든 플랜)

• 마커 (제목, 설명, CSS 셀렉터, 위치, 선택적 스크린샷)
• 사용자 설정 (언어, 단축키, 내보내기 형식)

3.2 클라우드 동기화 (Solo / Team / Growth)

• 마커 데이터 (제목, 설명, 유형, 우선순위, 상태, 태그) + 페이지 URL + 페이지 제목
• 마킹된 요소의 element fingerprint: CSS 셀렉터 + XPath + 최대 9개의 computed CSS 속성
• 마킹된 요소만의 부분 DOM 스냅샷 (≤1KB — 전체 페이지는 절대 포함하지 않음)
• 보이는 뷰포트(마커를 생성하는 순간 화면에 보이는 페이지 부분)의 선택적 스크린샷 — 사용자가 첨부를 선택한 경우에만 캡처되며, 마킹된 요소 주변의 페이지 콘텐츠가 포함될 수 있습니다
• 기술 컨텍스트("Evidence Pack"): 마킹된 요소의 computed CSS 와 최근 콘솔/네트워크/오류 이벤트. 클라우드 동기화 대상 마커를 생성하면 확장 프로그램이 마커 생성 시점 기준 최근 60초의 콘솔·네트워크·오류 이벤트(최대 50개)를 자동으로 캡처하여 마커와 함께 업로드합니다. 콘솔 메시지는 500자로 잘리고, 기록되는 URL 은 origin + 경로만 남습니다(query string 과 fragment 는 제거, 최대 200자). 폼 입력값과 쿠키는 캡처하지 않습니다. 이 로그는 워크스페이스의 권한 있는 구성원이 열람할 수 있으며 §7의 마커 보관 규칙을 따릅니다.
• 선택적 음성 메모 또는 통화 녹음 — 사용자가 명시적으로 녹음한 경우에만
• 계정 이메일, 표시 이름 및 팀 식별자
• 라이센스 키 (api.2px.dev를 통해 검증)

3.3 수집하지 않는 데이터

• 비밀번호 또는 폼 입력값
• 제3자 웹사이트의 쿠키 또는 인증 토큰
• 마커를 생성한 페이지 이외의 방문 기록
• 사용자 기기의 파일 (사용자가 직접 실행한 내보내기 제외)
• 전체 페이지 HTML 또는 완전한 DOM 트리 (마킹한 요소의 ≤1KB 스냅샷만 수집 — §3.2 참조)
• 자동, 지속적, 백그라운드 또는 전체 페이지(보이는 뷰포트를 벗어난) 스크린샷 — 보이는 뷰포트의 단일 스크린샷은 마커를 저장하면서 첨부를 선택한 경우에만 캡처됩니다 (§3.2 참조)
• 방문한 페이지의 local storage, session storage 또는 IndexedDB 내용

3.4 Cloud Checks Beta (선택 사항, opt-in — Chrome 확장 프로그램 & snippet/embed 설치)

SEO 또는 디자인 Cloud Check를 실행하고 도메인별 동의 대화상자를 수락하면, 2px는 엄격하게 정제(sanitize)된 페이로드를 당사 분석 서버로 전송합니다:

• 전송함: DOM 구조 (태그 + 첫 번째 클래스만), 6개 CSS 속성 (color, font-size, margin, padding 등), URL hostname + 경로 해시 (query/fragment 없음)
• 전송하지 않음: 쿠키, localStorage, sessionStorage, 폼 값, 파일 업로드, 전체 HTML, 스크린샷, 이미지, 인증 토큰, API 키
• 동의 저장: 도메인별, 30일 TTL, 사용자의 브라우저 localStorage에 저장됩니다. 언제든지 철회할 수 있습니다.
• 고위험 경로 차단: 은행, 의료, 정부, 인증 페이지는 자동으로 제외됩니다.
• 서버 응답: JSON 이슈 데이터만 (rule id, severity, message). 실행 가능한 코드는 어떤 경우에도 반환되거나 실행되지 않습니다.
• 보존: 정제된 페이로드는 메모리 내에서만 처리되며 분석 완료 후 보존되지 않습니다. 원본(raw) 페이로드는 로깅되지 않습니다.

Cloud Checks Beta는 Chrome 확장 프로그램(SEO 및 디자인 체크)과 snippet/embed 설치에서 이용할 수 있습니다. 자동으로 실행되는 일은 절대 없습니다: 각 도메인마다 명시적인 opt-in 동의가 필요하며 언제든지 철회할 수 있습니다. 동의가 없으면 어떤 Cloud Checks 페이로드도 브라우저 밖으로 나가지 않습니다.

4. AI 분류 — 무엇이, 왜 전송되는가

마커에 자동 분류가 필요한 경우, 확장 프로그램은 다음 페이로드를 HTTPS를 통해 api.2px.dev/api/ai/classify로 전송합니다:

명시적으로 OpenAI에 전송하지 않으며 보존하지도 않는 항목:

• 스크린샷, 전체 페이지 DOM 또는 innerHTML
• 폼 입력값, 쿠키, localStorage 또는 세션 데이터
• 모든 종류의 URL (origin, path, query, hash 전부 서버 경계에서 제거됨)
• 계정 이메일(Solo / Team / Growth에 한함)을 제외한 개인 식별자

서버 측 보존 및 사람의 접근:

• 원본 분류 페이로드는 절대 보존되지 않습니다. 서버는 요청을 OpenAI(GPT-4o-mini)로 전달한 뒤 페이로드를 폐기합니다.
• 집계 카운터(총계, 일치, 불일치, 오류 수, rule × GPT 유형 매트릭스)만 보존됩니다. 모든 항목은 정수이며 — 사용자가 작성한 텍스트는 포함되지 않습니다.
• 관리자 엔드포인트 GET /api/ai/classify/logs는 집계값만 반환합니다. 원본 요청에 사람이 읽을 수 있는 접근 경로는 존재하지 않습니다.
• 집계값은 서버 재시작 시 초기화됩니다 (분류 데이터를 위한 영구 디스크 저장 없음).

5. 제3자 수탁처리자 (Subprocessors)

당사는 사용자 데이터를 판매하지 않습니다. 위에 나열된 수탁처리자와 조건부 수신자(사용자 본인의 워크스페이스 구성원 및 사용자가 구성한 웹훅 엔드포인트) 외에는 어떤 제3자와도 사용자 데이터를 공유하지 않습니다.

6. 데이터 이용 방식 (처리 목적)

• 서비스 제공: 마커·스크린샷·첨부파일을 저장·동기화하고 본인과 팀에게 표시합니다.
• 팀 협업: 팀 워크스페이스 내 실시간 동기화, 댓글, 알림, (선택) 음성 통화.
• AI 기능: §4에 기술된 최소 페이로드로 마커를 분류하고 수정 제안을 생성합니다.
• 결제: 라이센스를 검증하고 Lemon Squeezy 를 통해 구독 결제를 처리합니다.
• 보안과 무결성: 입력 살균 검사, 위협 감지 플래그, (Growth) 팀 액션 감사 로그.
• 서비스 개선: 동의 기반 익명 웹사이트 분석(§5 PostHog 참조). 마커 콘텐츠를 광고나 모델 학습에 사용하지 않습니다.

7. 데이터 보관 및 삭제

데이터 유형별 보관 기간:

삭제 요청: 대시보드에서 언제든 개별 항목을 삭제할 수 있고, 전체 계정 삭제를 요청할 수 있습니다(§9 참조). 클라우드 데이터는 요청 후 30일 이내에 삭제됩니다.

8. 데이터 보안

• 전송: 사용자 데이터는 당사 서비스(Supabase, api.2px.dev)로 HTTPS 를 통해 전송되며, LiveKit 오디오/비디오 스트림은 전송 중 TLS 를 사용합니다. 사용자 데이터 전송에 평문 HTTP 를 사용하지 않습니다.
• 접근 통제: 클라우드 데이터는 인증 및 워크스페이스 단위 인가(Supabase Row Level Security)로 보호됩니다 — 구성원은 자신이 속한 워크스페이스의 데이터만 역할 권한에 따라 접근할 수 있습니다.
• 자격증명: REST API 키는 해시로만 저장되며(평문 키는 생성 시 1회만 표시), 웹훅 전송은 HMAC 서명되어 사용자의 엔드포인트가 진위를 검증할 수 있습니다.
• 로그 최소화: 자동 캡처되는 기술 로그는 시간 창(60초)·개수(50개)·길이가 제한되며, 기록되는 URL 은 origin + 경로만 남습니다 (§3.2 참조).
• 사고 신고: 데이터 노출이 의심되면 [email protected] 로 연락해 주십시오. 당사는 조사를 수행하며, 법적으로 요구되는 경우 영향을 받는 사용자에게 통지합니다.

9. 이용자의 권리

• 설정(Settings)에서 언제든지 모든 로컬 및 클라우드 데이터를 JSON 형식으로 내보낼 수 있습니다.
• 계정을 삭제하여 클라우드 데이터를 삭제할 수 있습니다 ([email protected]로 문의). 클라우드 데이터는 요청 후 30일 이내에 삭제됩니다.
• GDPR (EU / EEA) 및 CCPA (California)상의 권리(열람, 정정, 삭제, 이동성, 판매 거부 — 당사는 데이터를 판매하지 않습니다)가 적용됩니다.

10. 변경

본 방침이 변경되면 위의 “최종 업데이트(Last updated)” 날짜를 갱신합니다. 중대한 변경의 경우 대시보드를 통해 사용자에게 알립니다.

11. 문의

이메일: [email protected]
웹: https://2px.dev