개인정보 처리방침

1. 개인정보 처리자

이 웹사이트의 개인정보 처리에 대한 책임자는 다음과 같습니다:
Tim Schneider
TradeDay&Night (Einzelunternehmen)
Cranachstr. 2
64546 Mörfelden-Walldorf
독일
kontakt@tradedaynight.de

개인정보 보호 책임자는 두지 않았습니다. § 38 BDSG(독일 연방 개인정보보호법)의 법정 기준에 이르지 않습니다.

2. 저희가 처리하는 데이터

플랫폼을 운영하면서 다음 데이터를 처리합니다:

• 계정 데이터: 이메일 주소, 사용자 이름, 비밀번호(해시값으로만 저장), 가입 시각과 로그인 시각. 사용자 이름은 가입할 때 회원님이 직접 정합니다(3~20자, 변경은 최대 30일에 한 번). 사용자 이름은 공개되어 – 예를 들어 테이블, 평가, 채팅에서 – 보이므로, 실명 전체나 연락처를 넣지 않는 것이 좋습니다. 생년월일은 성년인지 확인하기 위해서만 가입 시에 묻습니다. 저장하는 것은 이 확인 시점뿐이며 날짜는 저장하지 않습니다.
• Google 또는 Apple로 로그인: Google 계정으로 로그인하면 Google이 저희에게 회원님의 이메일 주소, 이름, Google 계정 식별자를 전달합니다. 저희는 이를 이용해 계정을 만들거나 로그인시킵니다. 회원님의 Google 비밀번호는 저희가 알 수 없습니다. 제공자는 Google Ireland Limited(아일랜드)이며, Google LLC(미국)로 이전될 수 있습니다. Apple 로그인(Apple Distribution International Ltd., 아일랜드)은 사용할 수 있게 되는 대로 제공하며, 그곳에서는 이메일 주소를 숨길 수 있습니다. 법적 근거는 이용 계약의 이행입니다(GDPR 제6조 제1항 (b)호).
• 프로필 데이터: 판매자 여부, 멤버십 상태, 평가.
• 콘텐츠: 올린 상품, 상품 이미지, 채팅 메시지, 사용자들 사이의 가격 제안과 교환 제안. 누군가 카드 가격을 바꾸거나, 새 카드를 올리거나, 카드를 삭제하면 카드 이름, 가격(변경 시에는 이전 가격과 새 가격, 삭제된 카드는 마지막 가격), 한 사람과 시각을 저장합니다. 이 내용은 테이블 주인만 볼 수 있습니다. 이 기록은 12개월이 지나면 자동으로 삭제합니다.
• 채팅과 그 보관: 요청 채팅의 메시지, 제안, 이미지는 당사자만 볼 수 있습니다 – 판매자 쪽에서는 판매자가 권한을 준 직원도 볼 수 있습니다. 「나에게서 숨기기」로 끝난 채팅을 목록에서 뺄 수 있습니다. 결제된 구매가 없는 채팅은 모든 당사자가 숨기는 즉시 삭제하고, 그렇지 않으면 끝난 지 일주일 뒤에 삭제합니다. 결제된 구매가 있으면 주문이 마지막으로 변경된 지 열두 달 뒤에 채팅 내용(메시지와 이미지)을 삭제하며, 요청, 주문, 평가, 수락된 제안이 담긴 줄은 증빙으로 남습니다. 문제나 분쟁이 해결되지 않았거나 채팅에 대한 신고가 아직 결정되지 않은 동안에는 삭제하지 않습니다. 법적 근거는 GDPR 제6조 제1항 (b)호(거래의 처리)와 (f)호(지급 취소나 구매에 따른 청구가 있을 때의 입증)입니다. 구매가 없는 채팅에서 30일 동안 아무 일도 없으면 그것도 끝난 것으로 봅니다. 삭제는 미리 채팅에서 알려 드립니다. 채팅의 새 메시지, 제안, 요청은 메일로도 알려 드립니다. 이 메일은 「내 계정」 → 「알림」에서 또는 각 메일에 있는 링크를 통해 언제든지 수신 거부할 수 있습니다. 이를 위해 계정마다 무작위 식별자를 저장하며, 계정과 함께 삭제합니다. 앱 알림에는 영향이 없고, 주문, 결제, 기한, 계정 보안에 관한 메일은 계속 받습니다.
• 사진과 동영상: 업로드할 때 사진은 크기를 줄이고 카메라, 촬영 시각, 촬영 위치 같은 내장 정보를 삭제하며, 동영상에서는 촬영 위치를 삭제합니다. 회원님 카드의 사진과 동영상은 그 카드가 판매되는 동안 공개됩니다.
• 배송 주소: 이름, 성, 도로명, 번지, 우편번호, 도시, 국가. 이 데이터는 거래가 구속력 있게 확정되고 결제된 뒤에야 상대 계약 당사자에게 표시되며, 그전에는 상대에게 보이지 않습니다. 배송 라벨을 제공하기 전까지는 전화번호를 묻지도 저장하지도 않습니다. 예전에 선택적으로 입력한 전화번호는 삭제했습니다.
• 주문 및 결제 데이터: 주문 번호, 금액, 배송비, 수수료율, 주문 상태, 결제와 발송과 수령 확인의 시각, 그리고 결제 대행사에서 부여한 결제 식별자. 신용카드, 계좌, 신분증 데이터는 저희가 아니라 오직 결제 대행사 Stripe가 처리하며, 저희는 어느 시점에도 그것을 보지 않습니다.
• 구매 시 결제 수단: 결제는 Stripe의 결제 페이지에서 이루어집니다. 그곳에 표시되는 결제 수단은 국가, 금액, 기기에 따라 다릅니다: 카드, Apple Pay, Google Pay, Link(Stripe에 저장된 결제 정보), 계좌 이체, iDEAL, Bancontact, EPS, Przelewy24, Revolut Pay, Amazon Pay, MobilePay, MB WAY, Multibanco, Satispay. 결제 정보는 Stripe 또는 해당 서비스에 직접 입력하며, 저희는 금액, 시각, 결제 수단, 결제 식별 번호만 볼 수 있습니다. 결제 수단에 따라 다음 사업자도 자체 책임으로 정보를 처리합니다: 카드사와 회원님의 은행, 기기에서의 승인을 위한 Apple 또는 Google(Apple Pay, Google Pay), Revolut Pay, Amazon Pay, MobilePay, MB WAY, Satispay의 경우 각 제공자, iDEAL, Bancontact, EPS, Przelewy24, Multibanco와 계좌 이체의 경우 회원님의 은행과 해당 시스템 운영자. 각 사의 개인정보 처리방침이 적용됩니다. 법적 근거는 GDPR 제6조 제1항 (b)입니다. Stripe가 PayPal을 제시하면 PayPal (Europe) S.à r.l. et Cie, S.C.A.(룩셈부르크)도 자체 책임으로 회원님의 정보를 처리합니다.
• 지급 취소: 구매자가 은행을 통해 결제를 지급 취소하면, 저희는 결제 대행사 Stripe에 주문의 증빙 자료를 제출하고 Stripe는 이를 구매자의 은행에 전달합니다. 제출하는 자료는 주문 번호, 주문 유형과 카드 이름, 개인으로 판매하는지 사업자로 판매하는지를 포함한 테이블 이름, TradeDay&Night에서의 판매자와 구매자의 사용자 이름, 결제 금액과 시각, 택배사, 운송장 번호와 발송일, 배송지 주소의 우편번호와 국가, 수령 확인 여부와 그 시각, 그리고 주문 경과(결제, 발송, 수령, 신고된 문제, 환불)입니다. 이것으로 충분하지 않으면 개별적으로 주문의 다른 증빙 자료, 예를 들어 해당 주문 채팅의 발췌를 추가합니다. 법적 근거는 부당한 지급 취소를 막으려는 저희와 판매자의 정당한 이익입니다(GDPR 제6조 제1항 (f)호).
• 판매자 정산 계좌의 잔액: 저희는 하루에 한 번 Stripe에서 각 판매자 정산 계좌의 잔액(금액, 통화, 마이너스 잔액에 대한 자동 이체가 설정되어 있는지 여부)을 읽어, 판매자 계정에 항상 최신 상태만 저장합니다. 이 내용은 저희만 볼 수 있습니다. 이를 통해 예를 들어 지급 취소 후 생긴 마이너스 잔액을 파악하고 미결제 금액을 청구할 수 있습니다. 또한 정산 계좌를 대조할 때 연결된 은행 계좌의 국가와 통화, 그리고 Stripe가 마이너스 잔액을 자동 이체로 정산할 수 있는지 여부를 저장합니다. 이에 따라 지급 전 대기 기간(7일 또는 30일)이 정해집니다. 법적 근거는 GDPR 제6조 제1항 (b)호와 (f)호입니다.
• 판매자 최소 연령: 판매자의 정산 계좌를 Stripe와 대조할 때마다 Stripe가 계좌 소유자를 미성년자로 등록했는지 확인합니다. 판단 근거는 Stripe가 전달하는 경우의 생년월일과, Stripe가 법정대리인을 요구하거나 등록했는지 여부입니다. 생년월일은 저장하지 않고 결과만 저장합니다. TradeDay&Night는 만 18세부터 이용할 수 있으므로 소유자가 만 18세 미만이면 테이블 개설과 판매가 계속 차단됩니다. 법적 근거는 GDPR 제6조 제1항 (b)호와 (f)호입니다.
• 미결제 채권과 채권 추심: 지급 취소 후 이용자가 저희에게 금액을 빚지게 되면, 저희는 그 채권을 계정, 주문, 금액, 수수료, 사유, 상태와 함께 저장합니다. 미결제 상태로 남으면 필요한 정보(이름, 주소, 이메일 주소, 주문, 금액)와 함께 채권 추심 회사에 넘길 수 있으며, 이는 미결제 채권이 있는 경우에만 이루어집니다. 법적 근거는 저희 채권을 행사하려는 저희의 정당한 이익입니다(GDPR 제6조 제1항 (f)호). 채권에 관한 정보는 다른 주문 및 결제 데이터와 마찬가지로 보관합니다(제6항).
• 부분 교환에서의 경찰 신고용 자료: 부분 교환에서 판매자가 구매자의 카드를 기한 안에 반송하지 않으면, 저희는 구매자에게 경찰 신고용 자료를 제공합니다. 이 자료에는 주문 정보 외에 판매자의 이름과 주소(부분 교환을 위해 이미 구매자에게 공개된 배송지 주소)와, 사업자 판매자의 경우 판매자 사업자 정보가 담깁니다. 법적 근거는 카드를 돌려받고 사건을 신고하려는 구매자의 정당한 이익입니다(GDPR 제6조 제1항 (f)호). 수사 기관에는 요청이 있을 때 이 정보를 제공합니다(GDPR 제6조 제1항 (c)호 또는 (f)호).
• 대략적인 위치: 페이지를 여시면 저희 호스팅 업체 Vercel이 회원님의 IP 주소에서 국가와 대략적인 위치(도시 수준 정도)를 알아내어 둘 다 저희 서버에 전달합니다. 저희는 이 정보를 박람회와 판매자 테이블을 가까운 순서로 보여 주고 어떤 테이블이 회원님의 국가로 배송하는지 알려 드리는 데에만 사용합니다. 로그인하신 상태에서 배송 주소를 등록해 두셨다면 대신 그 주소의 국가를 사용합니다. 이 정보는 저장하지 않고, 회원님의 계정과 연결하지 않으며, 제3자에게 넘기지 않습니다. 이 때문에 무엇이 나타나거나 가려지지도 않고 순서만 달라집니다. 법적 근거는 알아보기 쉽고 회원님에게 맞는 표시에 대한 저희의 정당한 이익입니다(GDPR 제6조 제1항 (f)호). 또한 언어 표시가 없는 주소를 여셨을 때 이전에 고르신 언어도, 브라우저의 언어 설정도 저희가 제공하는 언어에 해당하지 않으면 이 국가를 기준으로 언어를 고릅니다.
• 판매자의 세무 정보: 판매자는 이름, 주소, 생년월일 또는 상업등기 번호, 납세자 식별번호, 해당하는 경우 부가가치세 식별번호, 그리고 선택적으로 은행 계좌 정보를 등록합니다. 플랫폼 운영자는 독일 플랫폼 조세투명성법(PStTG, EU 지침 DAC7)에 따라 해마다 한 번 판매자, 그 판매 건수, 매출액, 차감한 수수료를 독일 연방중앙세무청(BZSt)에 보고해야 합니다. BZSt는 이 데이터를 다른 EU 회원국의 세무 당국에 제공할 수 있습니다. 보고 대상은 법정 기준(연간 30건 판매 또는 2,000유로 초과)에 도달한 사람뿐입니다. 판매자가 보고 대상이 되었을 때 정보가 없으면 제출을 요청하고 두 번 알림을 보냅니다(20일 후와 40일 후). 60일이 지나도 제출되지 않으면 제출될 때까지 새 판매가 중지됩니다(§ 22 PStTG). 입력된 부가가치세 등록번호는 판매자의 번호와, 회사를 위해 구매하는 경우 구매자의 번호도 유럽연합 집행위원회의 부가가치세 정보교환시스템(VIES)에서 확인합니다. 그곳에는 번호만 전송되며, 유효한지 여부와 경우에 따라 등록된 이름이 회신됩니다. 법적 근거는 GDPR 제6조 제1항 (c)호입니다. 이 정보는 법률이 정한 대로 십 년간 보관됩니다. 세무 정보가 없는 판매자는 수수료 명세서에 명세서 번호가 붙도록 정산 계좌에서 선택적으로 청구지 주소(이름 또는 회사명과 주소)를 등록할 수 있습니다(GDPR 제6조 제1항 (b)호). 이 주소는 언제든지 삭제할 수 있고 계정과 함께 삭제되며, 이미 발행된 명세서는 청구서와 마찬가지로 보관합니다.
• 개인 판매자 – 집계, 검토를 위한 일시 중지, 자기 신고: 개인으로 운영되는 테이블은 매년 역년 기준으로 결제된 판매 건수와 그 합계를 셉니다. 20건 또는 1,500유로에 이르면 안내하고, 30건 또는 2,000유로에 이르면 판매자가 세무 정보를 모두 등록하고 자기 신고(예: 되팔기 위해 일부러 사들이나요? 새 상품을 판매하나요?)에 답할 때까지 새 판매를 중지합니다. 이를 위해 그 테이블의 카드도 분석합니다 – 같은 카드가 몇 번 나오는지, 미개봉 상품이 얼마나 있는지. 답변에 문제가 없으면 일시 중지는 자동으로 끝나고, 그렇지 않으면 사람이 사안을 검토합니다. 일시 중지는 자동으로 이루어지는 잠정 조치이며, 정지 조치는 언제나 사람이 결정합니다. 문의 양식을 통해 언제든지 사람이 사안을 검토하도록 요청할 수 있습니다. 집계, 답변, 결정은 해당 역년 다음 해부터 세어 세 번째 해가 끝날 때까지 보관합니다. 이와 관련해 세무서에 통지하지는 않습니다. 법적 근거는 사업으로 판매하는 사람이 개인인 척하지 않도록 하는 저희와 구매자의 정당한 이익입니다(GDPR 제6조 제1항 (f)호).
• 독일 부가가치세법 제22f조에 따른 기록: TradeDay&Night에서 이루어진 모든 판매에 대해 독일 부가가치세법(UStG) 제22f조가 요구하는 사항을 기록합니다. 판매자의 이름과 주소(개인 판매자는 생년월일, 사업자는 이메일 주소와 부가가치세 번호 포함), 알고 있는 경우 세금 번호와 은행 정보, 발송 국가, 배송 국가·우편번호·도시, 시점과 금액, 판매된 카드, 주문 번호입니다. 판매자가 판매자 정보나 세무 정보를 변경하거나 계정을 삭제하면, 이전 판매에 필요한 범위에서 이전 내용을 보관합니다. 이 기록은 십 년간 보관하며 세무 당국의 요청이 있으면 전자적으로 제공합니다(UStG 제22f조 제4항, GDPR 제6조 제1항 (c)). 독일 플랫폼 조세 투명성법에 따라 보고되는 분은 다음 해 1월 31일까지 이메일과 판매자 영역에서 보고 내용을 안내받습니다. 판매자는 자신의 판매 내역을 표로 내려받을 수 있으며, 여기에는 구매자의 사용자 이름과 어차피 발송을 위해 받는 배송 국가·우편번호·도시가 포함됩니다.
• 사업자 판매자의 판매자 사업자 정보: 사업자 판매자는 구매자에게 이름 또는 상호, 주소, 연락처를 알려야 합니다(§ 312l BGB, EGBGB 제246d조). 이 정보는 테이블의 별도 페이지에 나옵니다. 이메일 주소는 클릭해야만 나타나며, 이를 위해 방문자별 조회 횟수를 셉니다 – 로그인한 경우 사용자 식별자로, 그렇지 않으면 IP 주소로 만든 되돌릴 수 없는 키로 – 그리고 아무도 주소를 자동으로 수집하지 못하도록 이 집계는 이틀 뒤에 삭제합니다. 전화번호는 판매자가 명시적으로 공개를 허락한 경우에만 보여 줍니다. 주문마다 구매 당시 유효했던 정보를 그대로 기록합니다. 법적 근거는 GDPR 제6조 제1항 (c)호이며, 조회 횟수 제한에 대해서는 (f)호입니다.
• 추가 국가 대기자 명단: 아직 판매자 계정을 만들 수 없는 국가의 대기자 명단에 등록하시면, 저희는 회원님의 계정에 국가, 페이지 언어, 등록 시각을 저장합니다. 그 국가에서 판매자 계정을 만들 수 있게 되는 즉시 계정의 이메일 주소로 메일을 보내 드리며, 그 메일 발송 30일 후에 등록 정보를 삭제합니다. 대기자 명단에서는 같은 곳에서 언제든지 빠질 수 있으며, 계정을 삭제하면 등록 정보도 함께 삭제됩니다. 법적 근거는 회원님의 동의이며(GDPR 제6조 제1항 (a)호), 대기자 명단에서 빠지시면 동의가 철회됩니다.
• 오픈 알림 목록: 오픈 전에 오픈 알림 목록에 등록하면 이메일 주소, 페이지 언어, 동의 문구의 버전, 등록 및 인증 시각을 귀하의 동의에 근거하여 저장합니다(GDPR 제6조 제1항 (a)). 먼저 인증용 이메일을 받게 되며, 인증하지 않으면 7일 후 등록을 삭제합니다. 오픈 시 이메일을 딱 한 통 보내 드리고 그 후 주소를 삭제합니다. 인증 이메일의 링크로 언제든지 수신을 취소할 수 있으며, 이로써 동의를 철회하게 됩니다. 남용을 막기 위해 남용 방지 한도에 설명된 대로 주소별·IP 주소별 등록 횟수를 셉니다. 이메일은 Resend를 통해 발송됩니다.
• 주소 추천 및 주소 확인: 배송 주소를 입력할 때 저희는 일치하는 주소를 추천하고, 저장할 때 그 주소가 실제로 있는지 확인합니다. 이를 위해 저희 서버는 입력된 주소 텍스트를 회원님의 이름과 IP 주소 없이 OpenStreetMap의 공개 지도 데이터를 기반으로 하는 komoot GmbH(독일)의 주소 서비스인 Photon으로 보냅니다. 저희는 이 요청을 저장하지 않습니다. 법적 근거는 배송 가능한 주소가 필요한 계약의 이행(GDPR 제6조 제1항 (b)호)과 오류 없는 배송에 대한 저희의 정당한 이익(GDPR 제6조 제1항 (f)호)입니다.
• 자동화된 요청으로부터의 보호: 로그인, 가입, 비밀번호 재설정, 문의, 쿠폰 사용, 제안 제출, 계약 해지 양식에서는 저희 호스팅 업체 Vercel(BotID)이 사람이 양식을 보내는지 확인합니다. 이를 위해 회원님 브라우저의 기술적 특성과 IP 주소가 분석되며, 광고나 분석용 쿠키는 생성되지 않습니다. 법적 근거는 대량 로그인 시도나 스팸과 같은 악용으로부터 플랫폼과 이용자를 보호하려는 저희의 정당한 이익입니다(GDPR 제6조 제1항 (f)호). 로그인, 가입, 비밀번호 재설정, 문의, 콘텐츠 신고 양식에서는 추가로 Cloudflare Turnstile을 사용합니다(제4항 참조). 클릭할 상자는 자동화된 요청이 의심될 때에만 나타납니다 – 예를 들어 여러 번 실패한 뒤에.
• 악용 방지를 위한 횟수 제한: 계정과 메일함을 대량 시도로부터 보호하기 위해, 로그인 실패와 가입, 비밀번호 재설정 요청, 문의 메시지, 계정 없는 신고, 쿠폰 사용을 각각 이메일 주소 또는 계정별, IP 주소별로 셉니다. 이때 주소나 IP 주소 자체는 저장하지 않고, 저희 키로 만든 확인값(HMAC)만 저장합니다. 이 값은 키 없이는 되돌릴 수 없으며, 늦어도 하루 뒤에 삭제되고, 어떤 주소의 로그인 실패 기록은 다음에 로그인에 성공하면 바로 삭제됩니다. 한도에 이르면 간단한 확인이나 잠시 기다려 주실 것을 부탁드립니다. 법적 근거는 악용으로부터 플랫폼과 이용자를 보호하려는 저희의 정당한 이익입니다(GDPR 제6조 제1항 (f)호).
• 자동 채팅 필터와 경고: 채팅은 메시지를 보내기 전에 전화번호, 이메일 주소, 우편 주소, 다른 서비스의 연락처, 외부 링크가 들어 있는지 자동으로 확인합니다 – 이렇게 플랫폼 밖에서 일어나는 사기로부터 구매자와 판매자를 보호합니다. 명백한 경우에는 메시지가 전달되지 않고 경고가 주어지며, 애매한 경우에는 전달만 되지 않습니다. 30일 안에 세 번 경고를 받으면 채팅이 30일 동안 정지됩니다. 둘러보기, 구매, 진행 중인 주문은 그대로 가능합니다. 저장하는 것은 경고와 그 시각, 사유입니다. 이 정지는 자동으로 이루어집니다. 문의 양식을 통해 언제든지 사람이 검토하도록 요청하고, 회원님의 입장을 밝히고, 이의를 제기할 수 있습니다. 정당하지 않았다면 정지를 해제합니다. 법적 근거는 플랫폼을 안전하게, 악용 없이 운영하는 데 대한 저희의 정당한 이익입니다(GDPR 제6조 제1항 (f)호).
• 콘텐츠 신고: 「신고」로 콘텐츠를 신고하는 사람은 사유, 설명, 선택 사항인 이메일 주소, 그리고 로그인한 경우 증거로 최대 5장의 이미지를 저희에게 보냅니다. 로그인한 상태에서 한 신고는 그 계정과 연결됩니다. 채팅에서 온 신고의 경우 해당 채팅 기록을 확인합니다. 저희는 신고에 대해 결정하고, 그 결정을 이유와 함께 신고자와 당사자에게 알립니다(Digital Services Act 제16조 및 제17조). 신고는 결정의 근거로 보관하며, 이미지는 이의 제기 기한이 지난 뒤인 결정 6개월 후에 삭제합니다. 법적 근거는 Digital Services Act와 관련된 GDPR 제6조 제1항 (c) 및 안전한 플랫폼에 대한 저희의 정당한 이익(같은 항 (f))입니다.
• 차단: 회원님이 어떤 계정을 차단하면, 두 사람 사이에 새 요청이나 메시지가 생기지 않도록 누가 누구를 차단했는지 저장합니다. 진행 중인 주문은 그래도 끝까지 처리됩니다. 차단은 회원님이 해제하거나 두 계정 중 하나가 삭제될 때까지 유지됩니다. 법적 근거는 GDPR 제6조 제1항 (b)호 및 (f)호입니다.
• 문의 양식과 이메일: 문의 양식으로 연락하시면 답변을 위해 이름, 이메일 주소, 메시지를 처리합니다. 메시지는 저희 메일 발송 서비스(Resend)를 거쳐 Google(Gmail)에 있는 저희 메일함에 이메일로 도착합니다. 주고받은 내용은 문의 처리에 필요한 동안 보관하고, 그 이후에는 법적 보관 의무가 있는 경우(예: § 257 HGB[독일 상법]에 따른 상업 서신)에만 보관합니다. 법적 근거는 GDPR 제6조 제1항 (b)호 또는 (f)호입니다.
• 「여기에서 계약 해지」를 통한 해지: 해지 버튼(§ 312k BGB)을 통한 해지의 경우 이름, 이메일 주소, 해지한 계약, 해지 종류, 경우에 따라 그 사유와 시각을 처리하고, 해지를 이메일로 확인해 드립니다. 해지는 계약에 따른 청구권의 소멸시효가 끝날 때까지(해지한 해의 말부터 삼 년) 증빙으로 보관합니다. 법적 근거는 § 312k BGB와 결합된 GDPR 제6조 제1항 (c)호입니다.
• 앱과 알림: Android와 iOS용 저희 앱에는 웹사이트와 같은 규칙이 적용됩니다. 알림을 허용하면, 예를 들어 새 메시지나 입금을 알려 드리기 위해 기기마다 알림용 식별자(푸시 토큰), 운영체제, 앱 언어를 저장합니다. 알림은 Google의 Firebase Cloud Messaging(Google Ireland Limited, 미국에서 처리될 수 있음)을 통해 전송됩니다. 식별자는 회원님이 로그아웃하거나, Google이 유효하지 않다고 알리거나, 회원님이 계정을 삭제하면 삭제합니다. 법적 근거는 회원님의 동의(GDPR 제6조 제1항 (a)호, TDDDG § 25 제1항)이며, 동의는 기기 설정에서 언제든지 철회할 수 있습니다. 앱에서는 멤버십을 판매하지 않습니다. 앱에서 오류가 발생하거나 앱이 비정상 종료되면 앱은 이를 당사의 오류 기록에 알립니다. 앱 버전, 운영 체제, 해당 화면, 오류 메시지만 보내며 계정과 내용은 포함하지 않습니다. 이를 위해 앱은 마지막에 정상적으로 종료되었는지를 기기에 기록합니다. 법적 근거는 오류 없는 앱에 대한 당사의 정당한 이익입니다(GDPR 제6조 제1항 (f)호, TDDDG § 25 제2항 제2호).
• Amazon 추천 링크: 박람회 용품 추천 중 일부는 저희 파트너 ID를 붙여 Amazon으로 연결됩니다. 이런 링크를 클릭하기 전에는 Amazon이 저희로부터 어떤 데이터도 받지 않습니다. 클릭한 뒤에는 Amazon의 개인정보 처리방침과 쿠키가 적용되며, 그곳에서 구매하시면 누가 샀는지 알지 못한 채 저희가 수수료를 받습니다. 법적 근거는 플랫폼 운영 자금 마련에 대한 저희의 정당한 이익입니다(GDPR 제6조 제1항 (f)호).
• 백업과 로그: 저희 데이터베이스는 매일 데이터베이스 제공업체 Supabase의 EU 내 비공개 저장소에 백업하며, 각 백업은 14일 뒤에 삭제합니다. 저희 호스팅 업체 Vercel은 페이지를 열 때 안전한 운영과 오류 조사를 위해 기술 데이터(IP 주소, 시각, 요청한 주소, 브라우저 식별 정보)를 기록하고 짧은 기간 후 삭제합니다. 저희 서버에서 발생한 오류는 고치기 위해 자체 오류 로그에 기록합니다 – IP 주소와 양식 내용 없이, 주소, 오류 종류, 오류 메시지만. 해결된 오류는 해결 후 90일이 지나면 로그에서 삭제합니다. 법적 근거는 안전하고 이용 가능한 운영에 대한 저희의 정당한 이익입니다(GDPR 제6조 제1항 (f)호). [Vercel 서버 로그의 삭제 기간(요금제에 따라 다름)을 기입할 것]

분쟁 시의 열람: 결제가 풀리기 전에 어느 한쪽이 분쟁을 신고하면, 저희는 환급이나 해제를 결정하기 위해 해당 채팅 기록과 주문 데이터를 열람합니다. 신고된 분쟁이 없으면 채팅을 함께 읽지 않습니다. 법적 근거는 GDPR 제6조 제1항 (b)호와 (f)호입니다.

체크리스트: 체크리스트를 만들면 그 이름과 리스트에 있는 카드를 세트, 번호, 언어, 상태, 수량, 회원님의 최고 가격, 메모, 체크 여부와 함께 회원님의 계정에 저장합니다. 웹사이트와 앱에 같은 리스트가 보이도록 하기 위해서입니다(GDPR 제6조 제1항 (b)호). 앱은 네트워크 없이도 리스트를 쓸 수 있도록 기기에 사본을 보관하며, 로그아웃하면 그 사본은 삭제됩니다. 읽기 전용 링크를 만들면 링크가 있는 사람은 누구나 리스트의 이름과 카드를 볼 수 있습니다. 최고 가격, 메모, 계정은 보이지 않습니다. 링크는 언제든지 취소할 수 있습니다. 리스트는 직접 삭제하며, 계정을 삭제하면 모든 체크리스트도 삭제됩니다.

3. 법적 근거

처리는 이용 계약의 이행을 위해(GDPR 제6조 제1항 (b)호), 법적 의무의 이행을 위해(GDPR 제6조 제1항 (c)호), 그리고 안전한 플랫폼 운영에 대한 저희의 정당한 이익을 근거로(GDPR 제6조 제1항 (f)호) 이루어집니다.

4. 이용하는 서비스 제공업체

저희는 다음 서비스 제공업체를 이용합니다. 수탁 처리자와는 각각 GDPR 제28조에 따른 계약을 맺고 있습니다.

• Vercel (Vercel Inc., 미국) – 웹사이트 호스팅. 이 프로젝트의 서버 기능은 아일랜드 더블린 리전(dub1)에서 돌아갑니다. 수탁 처리자. [개인정보 처리 위탁 계약 확인 – Vercel 대시보드의 Settings, Legal에서]
• Supabase (Supabase Inc., 미국) – 데이터베이스, 사용자 계정, 파일 저장, 채팅의 실시간 갱신. 데이터는 eu-west-1 리전(아일랜드)에 있습니다. 수탁 처리자. [개인정보 처리 위탁 계약 확인 – Supabase의 조직 설정에서]
• Resend (Resend, Inc., 미국) – 알림 이메일 발송. 이메일 주소와 해당 메시지의 내용이 전달됩니다. 수탁 처리자이며, 처리는 미국에서 이루어집니다. [개인정보 처리 위탁 계약을 확인하고 미국으로 이전하는 근거를 적을 것 – 적정성 결정(Data Privacy Framework) 또는 표준계약조항]
• Cloudflare (Cloudflare, Inc., 미국) – Turnstile, 로그인 및 문의 양식에서 자동화된 요청을 막기 위한 확인. IP 주소와 브라우저의 기술적 특성이 처리됩니다. 수탁 처리자이며, 미국에서 처리될 수 있습니다. [개인정보 처리 위탁 계약(Cloudflare Data Processing Addendum)을 확인하고 미국으로 이전하는 근거를 적을 것 – 적정성 결정(Data Privacy Framework) 또는 표준계약조항]
• Stripe (Stripe Payments Europe, Limited, 아일랜드 및 Stripe, Inc., 미국) – 유료 멤버십, 사용자 사이의 결제, 판매자에 대한 정산의 처리. Stripe는 결제 데이터를 대체로 독자적인 개인정보 처리자로서 처리하며 저희의 위탁을 받아 처리하지 않습니다. 특히 자금세탁 방지와 판매자 신원 확인 같은 자체 감독 규정상의 의무를 이행하기 위해서입니다. 이 처리에는 Stripe의 개인정보 처리방침이 적용됩니다. Stripe가 어떤 결제 수단을 제공하고 그 뒤에 어떤 서비스가 있는지는 제2항의 「구매 시 결제 수단」에 나와 있습니다.
• Google (Google Ireland Limited, 아일랜드, 및 Google LLC, 미국) – 회원님이 원할 때의 Google 로그인, 앱 알림(Firebase Cloud Messaging), 문의 양식의 메시지가 도착하는 저희 이메일 메일함(Gmail). Firebase Cloud Messaging과 메일함에 대해 Google은 수탁 처리자이며, 미국에서 처리될 수 있습니다. [데이터 처리 계약을 확인하고(Firebase: Data Processing and Security Terms) 미국 이전의 근거를 기재할 것. 메일함은 데이터 처리 계약이 있는 계정(Google Workspace)이나 자체 도메인의 메일함을 선택할 것]
• YouTube (Google Ireland Limited, 아일랜드 및 Google LLC, 미국) – 판매자가 테이블 페이지에서 진행하는 라이브 방송. 플레이어는 ‘방송 불러오기’를 누를 때에만 로드되며, 그 전에는 YouTube와 연결되지 않습니다. 그 후 Google은 IP 주소, 브라우저 및 기기 정보, 보고 있는 페이지 등을 받으며 쿠키를 설정할 수 있습니다. 미국에서 처리될 수 있습니다(Data Privacy Framework). 저희는 개인정보 보호 강화 모드(youtube-nocookie.com)를 사용합니다. 법적 근거는 클릭으로 주신 동의입니다(GDPR 제6조 제1항 (a)호, TDDDG 제25조 제1항). YouTube에서의 처리에는 Google의 개인정보처리방침이 적용됩니다.

5. 쿠키와 로컬 저장

저희는 기술적으로 꼭 필요한 쿠키와 로컬 저장만 사용합니다. 계정을 이용하는 데 꼭 필요한 로그인 쿠키, 마지막으로 고른 언어를 담은 쿠키(1년), 앱에서 앱 화면임을 표시하는 쿠키(30분), 언어 제안에 대한 답변을 담은 쿠키(1년), 코드로 로그인하거나 비밀번호를 재설정할 때 입력한 이메일 주소에 코드를 연결하기 위한 쿠키(1시간), 18세 미만의 생년월일을 입력한 뒤 가입을 막는 쿠키(24시간), 출시 전까지 미리보기 접근을 허용하는 쿠키(최대 180일), 판매자 팀에 합류할 때 초대 정보를 담은 쿠키(1시간)입니다. 브라우저 안(localStorage 또는 sessionStorage)에는 최근에 사용한 검색어, 밝은 화면과 어두운 화면 중 선택, 요청 바구니의 내용, 닫은 평가 안내, 등록 중인 상품의 임시 저장본이 저장되며, 이 항목들은 기기 안에 남습니다.

분석 도구나 마케팅 도구는 사용하지 않습니다. 그래서 동의 배너도 필요하지 않습니다.

운영자를 위한 안내이며 사용자를 위한 것이 아닙니다: [분석 도구나 마케팅 도구가 추가되는 순간 이 자리에는 동의 배너가 의무가 되고 위 문단은 바꿔야 함]

6. 보관 기간

계정 데이터는 계정이 있는 동안 보관합니다. 위에 적힌 주소로 요청하시면 계정을 삭제해 드립니다. 저희가 보관해야 하거나 보관해도 되는 데이터는 여기에서 제외됩니다.

계정은 언제든지 직접 삭제할 수 있습니다: 「내 계정」 → 「계정 삭제」에서 하시면 됩니다. 진행 중인 주문이 없어야 합니다. 로그인 정보, 프로필, 배송 주소, 구해요 광고, 즐겨찾기, 체크리스트, 알림, 투표와 경고는 즉시 삭제되고, 이용 중인 멤버십은 종료됩니다. 회원님의 테이블과 카드는 카탈로그에서 내려갑니다. 저희가 보관해야 하는 것 – 주문·결제·청구 데이터와 판매자의 세무 정보 – 은 법정 기간 동안 차단된 상태로 저장되며, 이때 프로필 자체는 익명화됩니다. 채팅 기록과 평가는 상대방이 계속 읽을 수 있고, 그곳에는 회원님의 이름 대신 「삭제된 계정」이라고 표시됩니다. 보관의 법적 근거는 GDPR 제6조 제1항 (c)호와 § 147 AO 및 § 257 HGB이며, 채팅을 계속 보여 주는 것의 근거는 거래 경위를 확인할 수 있도록 하는 데 대한 저희와 상대방의 정당한 이익입니다(GDPR 제6조 제1항 (f)호).

채팅을 얼마나 오래 보관하는지는 제2항의 「채팅과 그 보관」에 나와 있습니다. 모든 기간을 한눈에 보려면 이 항 끝의 표를 참고하세요.

주문, 결제, 청구 데이터는 상법과 세법의 요건에 따라 보관합니다: § 147 Abgabenordnung(독일 조세기본법)과 § 257 Handelsgesetzbuch(독일 상법)에 따라 10년이며, 주문이 끝난 해의 연말부터 셉니다. 그 기간 동안 이 데이터는 더 이상의 처리가 차단됩니다.

경고와 차단 기간은 악용을 막는 데 더 이상 필요하지 않게 되면 삭제합니다.

삭제 기간 한눈에 보기

이 표는 어떤 데이터를 얼마나 오래 보관하는지 정리한 것입니다. 「이용 제한」이란 데이터를 명시된 목적으로만 보관하고 그 밖에는 더 이상 처리하지 않는다는 뜻입니다.

7. 회원님의 권리

회원님에게는 열람, 정정, 삭제, 처리 제한, 데이터 이동, 반대의 권리가 있습니다. 또한 개인정보 감독 기관에 민원을 제기할 권리도 있습니다. 관할 기관은 Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden입니다.

자동화된 결정: 일부 단계는 자동으로 이루어집니다: 세 번의 경고 후 채팅 정지, 기준에 이른 개인 판매자에 대한 검토를 위한 일시 중지, 그리고 계정 잠금입니다. 계정 잠금은 구매자가 직접 수령을 확인한 뒤에 결제를 지급 취소한 경우, 부분 교환에서 판매자가 구매자의 카드를 기한 안에 반송하지 않은 경우, 또는 판매자가 90일 이내에 자신의 잘못으로 지급 취소에서 두 번 진 경우에 이루어집니다. 이 단계들은 모두 잠정적입니다. 회원님은 언제든지 사람이 사안을 검토하도록 요청하고, 입장을 밝히고, 결정에 이의를 제기할 수 있습니다(GDPR 제22조 제3항) – 가장 쉬운 방법은 문의 양식입니다. 계정이나 판매의 최종 정지는 언제나 사람이 결정합니다.