영수증 원본은 빼고,
상품 줄만 안전하게 배웁니다.
영수증 OCR과 개인화 추천은 피어자람의 핵심 기능입니다. 사용자는 처음 영수증을 분석하기 전에 ‘개인화 학습’ 또는 ‘익명 공통 개선 처리’를 직접 선택하며, 두 선택 모두 영수증 분석 기능을 사용할 수 있습니다. 연결되는 정보와 삭제 가능 범위는 선택에 따라 달라집니다.
1. 적용 범위, 운영자 및 현재 상태
본 방침은 피어자람 Android 앱과 웹 서비스에 적용됩니다. 운영자는 이용효이며, 개인정보 문의는 a7896464@gmail.com으로 접수합니다.
현재 상태(2026년 7월 19일): 학습 서버 전송 엔드포인트는 아직 활성화되지 않았습니다. 현재 배포 빌드는 학습용 상품 줄을 운영 서버로 보내지 않습니다. 서버 전송을 활성화하기 전 실제 처리자·저장 위치를 확정해 이 방침을 갱신하고, 앱에서 학습 모드와 해당 버전의 동의를 다시 확인받습니다.
2. 영수증 분석에 필요한 처리 방식 선택
영수증 OCR 정확도 개선과 개인화 추천은 핵심 기능이므로, 영수증 분석을 시작하려면 아래 두 방식 중 하나를 선택해야 합니다. 두 방식 모두 OCR·상품 분류와 기기 내 개인화 추천 기능을 사용할 수 있습니다. 어느 방식도 선택하지 않으면 영수증 분석과 이를 이용한 추천을 사용할 수 없습니다. 선택은 이후 변경할 수 있지만, 이미 익명화가 끝난 자료는 다시 개인 계정에 연결하거나 찾아서 삭제할 수 없습니다.
| 구분 | 연결되는 정보 | 사용 목적 | 철회·삭제 |
|---|---|---|---|
| 개인화 학습 | 앱이 무작위 발급해 서버에 등록한 가명 주체 ID, SBTI, 가구·생활 설정, 콘텐츠 반응, 상품 선택, 사용자 수정값, 묶음 ID와 처리 시각 | 개인의 OCR 오류를 보정하고, 같은 성향·상황에 맞는 상품 분류·소비기한·추천 순서를 개선 | 앱에서 발급한 주체 ID와 삭제 토큰으로 철회·삭제 요청 가능. 처리 전 기기 대기열도 삭제 |
| 익명 공통 개선 | 개인 맞춤 학습에는 사용하지 않음. 계정·SBTI·가구 설정·묶음 ID를 넣지 않고 정확한 처리 시각도 제거한 상품 줄과 공통 OCR·분류 결과만 사용 | 사용자가 명시적으로 동의한 범위에서 모든 사용자를 위한 한국어 영수증 OCR, 상품명 정규화, 상품 종류와 보관 방식 분류만 개선 | 수신 후 72시간은 ‘익명화 대기’ 상태로 보관하고 행별 일회성 삭제 토큰으로 삭제 가능. 그 뒤 되돌릴 수 없게 익명화하면 특정 사용자의 자료를 식별·철회·삭제할 수 없음 |
익명 공통 개선을 선택해도 SBTI와 개인 추천 설정은 기기에 남겨 로컬 추천에 사용할 수 있습니다. 다만 개인 맞춤 학습은 수행하지 않고, 해당 값도 공통 개선 자료와 함께 서버에 보내지 않습니다.
3. 영수증 OCR·분류 학습에서 처리하는 정보
| 항목 | 포함하는 내용 | 포함하지 않는 내용 |
|---|---|---|
| 상품 줄 이미지 | 상품명·단가·수량·줄 금액이 있는 행의 작은 JPEG 조각, 이미지 해시와 가로·세로 크기 | 영수증 전체 원본, 매장 머리말·합계·결제 영역, 원본 파일 경로, EXIF 위치·기기 메타데이터 |
| OCR 교사 결과 | Google ML Kit와 PaddleOCR이 상품 줄에서 읽은 글자, 안전한 오류 상태, 글자 상자와 신뢰도, 엔진·모델 버전 | 영수증 전체 OCR 덤프, 주소·전화번호·이메일·URL, 카드·계좌·승인·주문·회원번호 |
| 상품 구조화 결과 | 정규화 전·후 상품명, 수량, 줄 금액, 상품 종류, 식품 여부, 보관 위치, 예상 소비기한, 분류 신뢰도 | 결제수단, 카드번호, 연락처, 주소, 구매자를 알아볼 수 있는 값 |
| 사용자 수정값 | 사용자가 저장 전에 고친 상품명·수량·금액·분류·보관 위치·소비기한과 수정 여부 | 키보드 입력 기록이나 상품 수정과 관계없는 앱 사용 내용 |
| 전송·품질 진단 | 임의 이벤트·행 ID, 동의 버전, 앱 버전, 처리 성공 상태, 재시도 횟수 | 광고 ID, 전화번호, 이메일, Google 계정, 하드웨어 일련번호 |
앱은 상품 줄을 자르기 전에 머리말·매장·연락처·주소·회원·주문·결제·세금·합계·꼬리말을 제외하고, 긴 숫자·전화·이메일·계좌·카드처럼 보이는 문자를 차단합니다. 상품 줄 안에 개인정보 후보가 남으면 해당 영역을 가리거나 그 줄 전체를 학습 대상에서 제외합니다.
4. Gmail과 일반 앱 데이터
| 기능 | 처리 항목과 목적 | 저장·학습 기준 |
|---|---|---|
| Gmail 구매 내역 가져오기 | 사용자가 실행할 때 최근 구매·결제 메일의 발신자, 제목, 본문을 읽어 구매 기록을 만듦 | 메일 원문과 OAuth 토큰은 운영 서버에 저장하지 않으며, Gmail 원문과 Gmail에서 추출한 구매 기록은 두 처리 방식 모두에서 제외 |
| 가계부·냉장고·일정 | 구매처·일자·품목·금액·분류·예상 소비기한, 고정비, 식재료, 루틴과 일정 | 사용자의 생활 관리 기능과 선택한 동기화 범위에 사용하며, 개인화 학습을 선택한 경우에만 명시된 일부 행동·수정값을 가명 주체에 연결 |
| SBTI·추천 행동 | 12문항 결과, 사용자가 바꾼 4개 축 설정, 저장·관심 없음·선택 반응 | 기기 내 추천에 사용. 개인화 학습에서만 가명 연결하며 익명 공통 개선 처리에는 포함하지 않음 |
| 커뮤니티 | 닉네임, 게시글·댓글, 반응, 작성·신고·삭제 기록 | 공개·운영·분쟁 방지 목적으로 서비스 DB에 저장하며 OCR 학습에는 사용하지 않음 |
5. 보유 기간
- 기기 내 미전송 학습 대기열: 저장 검토 전 자료는 최대 7일, 전송 대기·재시도 자료는 최대 30일 또는 12회 재시도 후 삭제합니다.
- 익명 공통 개선의 익명화 대기 자료: 수신 후 72시간 동안 계정과 연결되지 않은 격리 영역에 두며, 앱이 상품 행마다 발급한 일회성 삭제 토큰으로 해당 행을 삭제할 수 있습니다. 이 기간에는 완전한 익명 자료로 부르지 않습니다.
- 학습 서버 활성화 후 상품 줄 이미지: 서버의 2차 개인정보 검사를 통과한 작은 상품 행 조각만 품질 검증과 재학습을 위해 수신일로부터 최대 90일 보관합니다. 익명 공통 개선 자료는 72시간 뒤 삭제 토큰·표본 ID·정확한 수신 시각을 제거하고, 검사에서 개인정보 가능성이 남은 이미지는 즉시 폐기합니다.
- 개인화 학습 구조화 자료: 마지막 활동일로부터 최대 24개월 또는 사용자의 철회·삭제 요청 처리 시점 중 먼저 오는 때까지 보관합니다.
- 익명 공통 개선 자료: 72시간 뒤 되돌릴 수 없게 익명화한 구조화 자료는 최대 24개월 보관합니다. 이 자료로 계산된 집계 통계·평가 지표·모델 파라미터는 개인을 식별할 수 없는 형태로 모델 운영 기간 동안 남을 수 있습니다.
- 가계부·일정·커뮤니티 자료: 사용자가 개별 삭제하거나 전체 삭제할 때까지 보관하되, 신고·분쟁 기록은 법령 또는 분쟁 대응에 필요한 최소 기간만 보관합니다.
위 학습 서버 보유 기간은 서버 기능이 활성화될 때 적용할 상한입니다. 실제 활성화 시 더 짧은 기간을 적용할 수 있으며, 더 길게 바꾸려면 사전에 방침과 동의 버전을 갱신합니다.
6. 처리 도구와 외부 처리자
- Google ML Kit: Android 기기에서 한국어 영수증 문자를 1차 인식하고 SDK 진단 정보를 처리합니다.
- PaddleOCR: 자체 운영 환경에서 ML Kit 결과와 비교하는 보조 OCR 교사로 사용할 예정입니다. PaddleOCR 제공자에게 영수증을 판매하거나 광고 목적으로 제공하지 않습니다.
- Cloudflare 호스팅·D1: 현재 웹, 커뮤니티, 가계부·일정 API를 운영하는 인프라입니다.
- 학습 서버 인프라: 아직 활성화되지 않았고 최종 처리자가 지정되지 않았습니다. 지정 후 사업자명, 처리 위치와 국외 이전 여부를 공개하고 전송 전에 동의를 다시 받습니다.
피어자람은 영수증 학습 자료를 판매하거나 광고 타기팅·신용평가·감시에 사용하지 않습니다.
7. Google 사용자 데이터 제한 사용
피어자람은 Google API Services User Data Policy와 Limited Use 요건을 따릅니다. Gmail 데이터는 사용자가 요청한 구매 내역 가져오기와 가계부 생성에만 사용합니다.
- Gmail 원문, OAuth 접근 토큰, 메일에서 추출한 구매 기록을 판매하지 않습니다.
- 광고 타기팅, 신용평가, 감시, OCR·상품 분류·개인화 또는 범용 AI 모델 학습에 사용하지 않습니다.
- 사람이 Gmail 원문을 읽지 않습니다. 단, 사용자가 특정 자료의 지원을 명시적으로 요청하고 필요한 범위에 동의한 경우는 제외합니다.
- Gmail 연결을 해제하면 이후 메일 접근이 중단되며, 이미 사용자가 확정해 저장한 가계부 기록은 별도로 삭제해야 합니다.
8. 보호 조치
- 서버 전송을 활성화하면 모든 통신에 HTTPS를 사용하고, 업로드 API를 앱 인증과 별도 권한으로 보호합니다.
- 영수증 전체가 아닌 상품 줄만 허용하고 EXIF를 제거하며, 개인정보 필터를 통과하지 못한 행은 거부합니다.
- 계정 대신 임의의 가명 주체 ID를 사용하고, 개인화 삭제 토큰(
pdt_)과 익명 격리 삭제 토큰(adt_)은 원문이 아닌 해시만 저장하며 평문 로그에 남기지 않습니다. - 익명 공통 개선 요청의 IP 주소·User-Agent·원본 수신 시각을 학습 레코드나 애플리케이션 로그에 보관하지 않도록 구성합니다.
- 접근 권한을 업무상 필요한 인원으로 제한하고 전송 실패 사유는 개인정보가 없는 안전한 코드로만 기록합니다.
- 원본 이미지 경로, Gmail 토큰, 카드·승인·주문번호를 학습 요청 허용 목록에 넣지 않습니다.
9. 선택 변경, 철회 및 삭제
- 앱에서 처리 방식을 바꾸면 이후 생성되는 자료부터 새 설정이 적용됩니다.
- 개인화 학습은 앱이 발급한 가명 주체 ID와 삭제 토큰을 이용해 데이터 삭제 페이지에서 삭제를 요청할 수 있습니다.
- 삭제 요청이 확인되면 미전송 대기열과 해당 가명 주체에 연결된 상품 줄, OCR 결과, 수정값, 성향·행동 연결을 삭제하고 이후 학습을 중단합니다.
- 익명 공통 개선 자료는 수신 후 72시간 동안 행별 일회성 삭제 토큰으로 해당 행을 삭제할 수 있습니다. 72시간 뒤 토큰 연결과 표본 ID·정확한 수신 시각을 폐기하면 특정 사용자를 찾을 수 없어 개별 삭제가 불가능합니다. 이 차이를 선택 전에 알립니다.
- 가계부·일정·커뮤니티 자료는 각 기능 또는 데이터 삭제 페이지에서 별도로 삭제할 수 있습니다.
10. 아동과 방침 변경
피어자람은 만 14세 미만 아동을 주 이용 대상으로 하지 않습니다. 처리 목적, 학습 필드, 보유 기간 또는 처리자가 달라지는 중요한 변경은 시행 전에 앱 또는 웹에서 알리고, 새 선택 동의가 필요한 경우 다시 동의를 받습니다.