개인정보 처리방침

DechoNet은 이용자의 개인정보를 최소한으로 수집하며 투명하게 처리합니다.

시행일: 2026년 10월 15일 (이전 버전: 2026년 10월 6일)

1. 개요

DechoNet(이하 "서비스")은 서비스 제공에 필요한 최소한의 개인정보만 처리합니다. 이 방침은 2026년 10월 6일 보안 관제(베타) 출시에 맞춰, 실제 처리 현황을 기준으로 전면 개정했습니다.

대부분의 진단 도구는 가입 없이 쓸 수 있으며, 이메일 주소는 보안 관제에 가입하거나, 수사기관 이용 프로그램에 기관 메일로 로그인하거나, 유료 출시 알림을 신청할 때만 받습니다.

2. 처리하는 개인정보와 목적, 보유 기간

구분	항목	목적	보유 기간
소유 인증 ASM Nuclei 점검 (명시적 시작)	계정/작업 식별자, 선택 호스트·스킴·포트, 고정 template/version, 점검 시각·상태·유한한 요청 통계·정제 근거/조치. 응답 원문·민감값·쿠키·토큰 없음	제한된 능동 점검 및 고객 전용 결과/중지 제공. 공개 관측·검색 또는 Nuclei 클라우드로 전달하지 않음	90일 또는 도메인 해제·계정 삭제 시 즉시 파기. 삭제 뒤 계정·도메인·작업을 참조하지 않는 종료 확인용 난수 fence·해시만 실제 정리 확인까지 공유 실행 슬롯 1행에 유지하며, 확인 실패 시 슬롯을 재사용하지 않음
보안 관제 계정 (가입 시)	이메일 주소, 등록 도메인, 알림 설정, 가입·로그인 시각, 동의한 방침 버전	로그인 링크·변화 알림·월간 요약 발송, 도메인 소유 확인	계정 삭제 시 즉시 파기. 로그인 링크를 한 번도 쓰지 않은 가입 요청은 24시간 후 삭제
보안 관제 추가 기능 (쓰는 경우)	계정 주인이 입력한 받는 사람·직원 초대 메일 주소와 역할, 웹훅 주소, 회사 이름·로고(화이트라벨), 고객 묶음 이름, 브랜드 감시 단어, DMARC 집계 보고서(메일을 보낸 서버 IP·건수·통과 여부 — 메일 내용 없음), 일괄 점검에 넣은 도메인 목록과 결과, 공격 표면 관리 점검 결과(소유 확인한 도메인의 서버·노출 화면·인증서·포트 관측), API 키(해시만 저장)와 키별 하루 사용 횟수	알림 사본 발송(본인 확인 후에만)·직원 접근, 웹훅 알림, 고객 보고서, 사칭·발신 위조 알림, 일괄 점검 결과 표시, API 요청 한도 적용	계정 주인이 지우거나 계정 삭제 시 즉시 파기. 확인·수락하지 않은 주소는 30일 뒤, 일괄 점검·공격 표면 관리 점검 결과·API 키 사용 횟수는 90일 뒤 파기
수사기관 이용 계정 (기관 메일로 로그인 시)	기관 메일 주소, 가입·로그인 시각, 동의한 방침 버전, 사건 이름과 사건에 넣은 조회 대상(도메인·IP 주소·AS 번호)	인증 코드 발송과 로그인, 본인 사건 공간 제공, 이용 기록(감사)	계정 삭제 시 즉시 파기(사건 이름과 대상 목록도 삭제). 대상을 사건에서 빼거나 사건을 닫으면, 그 사건 때문에만 관측하던 대상의 관측 기록도 함께 삭제. 코드를 한 번도 입력하지 않은 요청은 24시간 후 삭제. 무료 이용 기간(2026년 12월 31일) 이후 처리는 30일 전에 메일로 안내
로그인 링크	1회용 토큰의 해시값(토큰 자체는 저장하지 않음)	로그인 확인	30분 후 만료, 매일 삭제
인증 코드	6자리 코드를 비밀값과 함께 해시한 값(코드 자체는 저장하지 않음)	로그인 확인	15분 후 만료, 매일 삭제
메일 발송 기록	계정 식별자, 메일 종류, 발송 시각, 성공 여부(주소·내용 없음)	발송 오류 확인	90일
유료 출시 알림 신청 (/pro)	이메일 주소, 관심 상품, 언어	유료 상품 출시 안내	출시 안내 발송 후 또는 삭제 요청 시 지체 없이 파기
도구 이용 기록	조회 대상(도메인·IP 주소·URL)과 결과, 조회 시각, 국가, 클라이언트 식별값(IP 주소와 브라우저 정보를 비밀값과 함께 단방향 해시한 값 — 원래 IP 주소로 되돌릴 수 없음)	조회 결과 제공, 변화 감지, 이용 통계, 남용 방지	조회 기록 13개월(이후 날짜별 합계만 남김). 조회 결과 원본 13개월 — 도구·대상별 최신 2개와, 보안 관제에 등록된 도메인·진행 중인 사건 대상의 결과는 등록·사건 기간 동안 보관. MCP로 조회한 공개 도구 결과의 관측 기록(조회 대상·결과·관측 시각과 DechoNet 서명, 클라이언트 식별값 없음)은 링크를 아는 사람이 볼 수 있으며 13개월 보관
요청 제한	IP 주소	과도한 요청 차단	최대 2일 후 자동 삭제
결과 공유 링크	민감 정보를 가린 조회 결과	결과 공유	7일 후 자동 삭제
피싱 링크 판정 기록	판정한 링크의 호스트와 경로의 해시값(경로·쿼리 원문과 문자 내용은 저장하지 않음), 판정과 근거, 판정 시각	같은 피싱에 다시 경고, 재검사 속도	'위험' 판정은 기한 없이 보관(한 번 피싱이었던 링크는 계속 피싱 — 오판은 이의 제기로 해제), '의심' 30일, 그 밖의 판정 1시간
기관 파일럿·수사기관 사건 공간	접속 기록(동작·경로·시각·클라이언트 식별값 해시, 기관 메일로 로그인한 경우 계정 식별자)	기관 내부 감사	2년(계정을 지운 뒤에도 접속 기록은 2년 보관 후 삭제)

피싱·스미싱 링크 검사에 붙여넣은 문자 내용은 저장하지 않습니다. 이용 통계에는 첫 번째 링크의 등록 도메인만 남습니다.

렌더 지문 검색은 화면의 밝기 표본·DOM 구조·리소스와 favicon 해시, 호스트·관측 시각·프로필을 13개월 보관합니다. 원시 화면·HTML·입력값·토큰·URL 경로 원문은 이 저장소에 보관하지 않습니다. 사건 지문과 연결 알림은 해당 사건에서만 제공하며 대상 제거·사건 종료·계정 삭제 시 즉시 파기합니다. 별도 공개 발견 출처에서 얻은 지문은 사건 삭제 후에도 위 기간 동안 유지됩니다.

만 14세 미만은 보안 관제에 가입할 수 없습니다.

3. 처리 위탁과 국외 이전

받는 자 (연락처)	국가	항목	목적	보유 기간
Cloudflare, Inc. (cloudflare.com/privacypolicy)	미국 등 Cloudflare 데이터센터 소재국	위 2의 모든 항목	웹사이트 호스팅, 데이터베이스	위탁 계약 종료 또는 위 2의 보유 기간 경과 시까지
Resend, Inc. (resend.com/legal/privacy-policy)	미국	이메일 주소, 메일 내용(도메인·변화 내용·인증 코드)	로그인 링크·인증 코드·알림 메일 발송	Resend의 발송 기록 보관 정책에 따름
Amazon Web Services, Inc. (aws.amazon.com/privacy)	대한민국 (서울 리전), 일본 (도쿄 리전)	조회 대상(도메인·URL), 렌더 요청의 대상 URL	인증서·응답 헤더 실제 확인, 페이지 렌더링(국내·일본 관측점)	저장하지 않음
Google LLC — Web Risk (policies.google.com/privacy)	미국	피싱 링크 검사에 넣은 링크의 주소(URL)	Google의 공개 위협 목록과 대조(참고 신호)	Google Cloud 약관에 따름
Anthropic, PBC (anthropic.com/legal/privacy)	미국	브랜드 감시에서 찾은 의심 도메인의 첫 화면(캡처·문구)과 감시 중인 브랜드 이름	그 화면이 브랜드로 행세하는지에 대한 참고 의견(AI)	Anthropic 상용 약관에 따름(모델 학습에 쓰지 않음)
Google LLC — Google Analytics (policies.google.com/privacy)	미국	쿠키 식별자, 기기·브라우저 정보, 방문 페이지	이용 통계	Google Analytics 보관 설정에 따름
Functional Software, Inc. — Sentry (sentry.io/privacy)	미국	오류가 났을 때의 요청 경로, 브라우저 정보, IP 주소	오류 추적	Sentry 보관 정책에 따름

서비스 운영을 위해 아래 업체에 개인정보 처리를 맡기며, 일부는 국외에서 처리됩니다. 정보는 이용 시점에 암호화된 네트워크로 전송됩니다.

국외 이전을 원하지 않으면 보안 관제에 가입하지 않거나 계정을 삭제하면 됩니다. 이 경우 메일 알림을 받을 수 없습니다.
이용 통계(Google Analytics)는 브라우저에서 쿠키를 차단해 거부할 수 있으며, 도구 이용에는 영향이 없습니다.
웹사이트 호스팅(Cloudflare)은 서비스 제공에 꼭 필요해 거부할 수 없습니다.

렌더 관측 처리

렌더 요청의 대상 URL과 공개 페이지는 AWS의 한국 서울·일본 도쿄 관측점에서 일시 처리됩니다. 계정 이메일과 사건 식별자는 렌더 요청에 보내지 않습니다. 지문 저장은 위 보유 정책과 사건 접근 범위를 따릅니다.

4. 제3자 제공

법령에 근거가 있는 경우를 빼고 개인정보를 제3자에게 제공하지 않습니다.

5. 파기 절차와 방법

보유 기간이 지나거나 목적을 달성한 개인정보는 지체 없이 파기합니다. 전자적 파일은 데이터베이스에서 복구할 수 없는 방법으로 삭제합니다.

6. 이용자의 권리와 행사 방법

이용자는 언제든 자신의 개인정보 열람·정정·삭제·처리 정지를 요구할 수 있습니다.
보안 관제 이용자는 계정 페이지에서 직접 알림을 끄거나, 도메인을 지우거나, 계정을 삭제할 수 있습니다. 계정을 삭제하면 이메일 주소·등록 도메인·발송 기록이 바로 삭제됩니다.
모든 알림 메일에는 수신 거부 링크가 들어 있습니다.
그 밖의 요청은 support@dechonet.com으로 보내 주시면 10일 이내에 처리합니다.

7. 쿠키와 브라우저 저장소

브라우저 설정에서 쿠키를 삭제하거나 차단할 수 있습니다. 로그인 쿠키를 차단하면 보안 관제에 로그인할 수 없습니다.

lang — 언어 설정
dn_acct — 보안 관제 로그인 유지(30일, 서명됨)
dn_exp_<도메인> — 관리자 페이지 노출 점검의 소유 확인 유지(30일)
dn_pilot_* — 기관 파일럿 접근 코드 확인(30일)
dn_admin — 운영자 전용
Google Analytics 쿠키(_ga 등) — 이용 통계
브라우저 저장소 dechoTour — 첫 방문 안내를 이미 봤는지 여부

8. 안전성 확보 조치

모든 통신은 HTTPS로 암호화합니다.
비밀번호를 받지 않습니다. 로그인 링크는 해시만 저장하며 30분 동안 한 번만 쓸 수 있습니다.
로그인 쿠키는 서명하고 자바스크립트에서 읽을 수 없게(HttpOnly) 합니다.
로그인 링크·수신 거부 링크가 열리는 계정 페이지에서는 이용 통계(Google Analytics)와 오류 추적(Sentry)이 주소를 수집하지 않도록 뺐고, 오류 기록에는 쿠키를 보내지 않습니다.
등록 도메인의 소유를 매월 다시 확인해, 소유 확인 레코드가 사라진 도메인은 알림을 멈춥니다(도메인이 다른 사람에게 넘어간 경우 대비).
개인정보에 접근할 수 있는 사람을 운영자로 한정하고, 과도한 요청을 제한합니다.

9. 광고

현재 광고를 게재하지 않습니다. 광고를 게재하게 되면 그 전에 이 방침을 고쳐 알립니다.

10. 개인정보 보호책임자와 권익 침해 구제

개인정보 보호책임자: DechoNet 운영자 (support@dechonet.com)
개인정보침해신고센터: privacy.kisa.or.kr / 국번 없이 118
개인정보분쟁조정위원회: kopico.go.kr / 1833-6972
경찰청 사이버범죄 신고시스템: ecrm.police.go.kr / 국번 없이 182

11. 방침 변경

방침을 바꾸면 시행 7일 전(이용자에게 불리한 변경은 30일 전)에 이 페이지에 알리고, 보안 관제 이용자에게는 메일로도 알립니다.

2026년 10월 16일 보충(명확화): MCP로 조회한 공개 도구 결과에 DechoNet이 서명한 관측 기록을 만들고, 링크를 아는 사람이 볼 수 있도록 13개월 보관한다는 내용을 도구 이용 기록 항목에 추가함. 외부 검증으로 등록한 도메인·검증 항목·확인 결과는 익명이면 마지막 확인 후 30일, API 키로 등록하면 해당 계정이 삭제될 때까지 보관하고, 확인 기록은 90일 보관함. 계정에 등록된 검증 목록이 미충족으로 바뀌면 해당 계정의 알림 메일로 알림. 행동 전 확인(MCP check_before_action)에서 받는 페이지 구조는 호스트 이름(폼 전송 대상·프레임 출처·카드 입력칸 위치)뿐이며 판정에만 쓰고 저장하지 않음 — 입력값·페이지 본문·주소의 경로와 쿼리는 받지 않음. 판정 결과는 호스트와 판정만 관측 기록으로 13개월 보관하고, 판정이 의심이면 호스트와 신호 이름만 DechoNet의 직접 확인을 위한 대기열에 90일 보관. 페이지 제보(MCP report_page)는 호스트·제보 종류와 서로 다른 제보 수를 세기 위한 익명 식별값(해시)을 90일 보관하며(악성 MCP 서버 제보는 그 서버 주소의 경로, 네트워크 이상 제보는 제보자가 본 인증서 일련번호·발급자·IP와 접속 국가도 함께 — IP 주소 자체는 보관하지 않음), 제보만으로는 판정이 바뀌지 않음. 모두 이미 알린 조회 대상·결과 보관 범위 안의 기록이며 새로 수집하는 개인정보는 없고, 클라이언트 식별값은 담지 않습니다.

2026년 10월 15일 개정 요지: 처리 위탁 표에 Google Web Risk(피싱 링크 검사)와 Anthropic(브랜드 감시의 AI 확인)을 추가하고 AWS 일본(도쿄) 관측점을 반영. 글꼴을 우리 도메인에서 직접 제공해 페이지를 열 때 Google Fonts로 접속 정보가 가지 않음. 검찰청 폐지(2026년 10월 2일)에 따라 권익 침해 구제 안내에서 대검찰청을 뺌. 수사기관 이용 프로그램의 기관 메일 로그인(인증 코드)과 사건 공간 정보 추가, 보안 관제 추가 기능(받는 사람·직원 좌석·웹훅·화이트라벨·고객 묶음·브랜드 감시·DMARC 보고서·일괄 점검·공격 표면 관리·API 키)이 처리하는 정보와 파기 시점 추가. 도구 이용 기록·조회 결과(13개월)와 사건 접속 기록(2년)의 보관 기간을 정하고, 사건을 닫을 때 그 사건 때문에만 관측한 기록을 함께 삭제. 피싱 링크 판정 기록(호스트와 경로 해시)과 보관 기간 추가.

2026년 10월 6일 개정 요지: 보안 관제(베타) 계정 정보 추가, 실제로 저장하는 이용 기록과 보유 기간 명시, 처리 위탁·국외 이전 업체 명시, 광고 미게재 사실 반영.