个人信息处理办法

┃第1条（总则）

 

 （株）SPOTECH MALL（SPOTECH网上商城，以下简称为“公司”）重视会员信息，始终致力于保护会员信息的安全性，同时严格遵守《个人信息保护法》，并贯彻政府的指导方针。

 

 公司只在需要时收集最招的会员信息，并且只在事先告知的范围内使用收集的会员信息。未经会员事先同意，公司不得超范围使用会员的个人信息，或将会员的个人信息向外部公布。

 

 但是，根据法令规定，或侦察机关和行政机关进行侦查或调查时，其按照法令规定的流程和方法申请提供相关信息时，经内部流程审核，公司可以在不征得会员同意的情况下提供最少的必要信息。

 

 公司制定并遵守《个人信息处理方针》，同时告知会员个人信息信息的使用及保护措施，并遵守相关法律。

 

 因相关法律、指南、公司内部运营方针的变更等，公司可以修订《个人信息处理方针》。

 

 《个人信息处理方针》发生变更时，应当就变更事项发布公告，或通过电子邮件等联系方式进行通知。

 

 对变更事项有疑问时，可以随时咨询相关负责部门或通过主页进行确认。

 

 《个人信息处理方针》和《服务使用条款》中的个人信息内容相关时，以《服务使用条款》为准。

┃第2条（个人信息的收集、使用和保管）

 

 公司为了提供最优质的的服务，基于下述目的收集并使用个人信息。公司不得用于获得授权之外的其他用途，未经用户本人同意不得将信息提供给第3方。

 

 根据《电子商务消费者保护法》《（韩）国税基本法》《电子金融交易法》等相关法令，必须收集、保管身份证号及银行账号时，公司可以事先告知用户后收集相关信息。

 

 但是，根据法令规定，或侦察机关和行政机关进行侦查或调查时，其按照法令规定的流程和方法申请提供相关信息时，经内部流程审核，公司可以在不征得会员同意的情况下提供最少的必要信息。

 

 对于种族、出生地、籍贯、信仰、政治倾向、犯罪记录、健康状态等可能侵犯到用户人权的信息，除非用户同意或有法令依据，否则不得收集相关信息。

 

 收集未满14周岁的儿童的个人信息时，必须征得其法定代理人的同意。该情况下，须额外收集法定代理人的姓名、出生日期、手机号码、电子邮箱地址、本人确认值（CI、DI）。

 

1. 个人信息的收集方法

 

 公司通过下述方法收集个人信息。

 

 - 主页、移动端应用程序、移动端网页、纸质文件、传真、电话、客户服务中心、活动申请

 

 - 使用生成信息收集工具自动收集

 

2. 个人信息的收集及使用目的

 

 公司基于下述目的，收集并使用个人信息。收集所得的个人信息不得用于下述目的之外的其他用途，使用目的发生变更时，事先必须征求用户的同意。

 

 须在法令规定的个人信息保管及使用期限内，或收集个人信息时信息主体同意的个人信息保管及使用期限内处理及保管收集所得的个人信息。

 

  1) 加入平台会员和管理服务使用

 

  公司基于下列目的，对个人信息进行处理：确认会员的加入意向，为了提供会员制服务对会员进行识别及认证，维护并管理会员资格，限制性本人确认制度施行时需要确认会员本人，收集未满14周岁儿童的个人信息时确认其法定代理人同意与否，使用服务相关的各种告示及通知，高层处理，为了调节纠纷保存相关记录等。

 

  2) 处理投诉事务

 

  公司基于下列目的，对个人信息进行处理：确认投诉人的身份、确认投诉事项，为了调查投诉而进行的联系、通知，通报处理结果等

 

  3) 提供商品或服务

 

  公司基于下列目的，对个人信息进行处理：派送物品、提供服务、发送申请书、提供内容、提供定制服务、认证本人、认证年龄、结算或清算费用、收债

 

  4) 运用市场营销及广告

 

  公司基于下列目的，对个人信息进行处理：开发新服务（产品）及提供定制服务，提供活动和广告性信息及提供参与机会，提供基于人口统计学特性的服务及刊载广告，确认服务的有效性，掌握访问频率或统计会员使用服务等。

 

3. 个人信息的收集项目及保管

 

 使用公司提供的服务的过程中，会员自发性地公开个人信息和帖子时，相关的权利和责任归属会员本人。

 会员自发公开的信息难以受到保护，可能会被他人随意收集或处理。由此而产生的损失及问题，全部由会员本人负责，该情况需要特别留意。在使用服务的过程中，请留意不要公开个人信息。

 公司只能基于下述目的使用个人信息。公司提供的服务目的发生变更时，必须采取必要的措施，比如获得会员本人的同意等。

 

  1) 使用服务时收集的信息及保管期限如下所示。

 

   公司可以通过多种服务渠道收集并使用文字、图片、语音等个人信息。该情况下，应当告知收集和使用目的、项目、保存期限等信息，获得同意后可以收集并处理信息。

   为了向用户提供更好的服务，公司可以收集网站上公开的或不限制特定对象合法公开的信息、使用者的服务使用记录（登录）和元数据等信息，并进行分析使用。比如，向用户优先推送其感兴趣的服务，以营销为目的向客户提供其关注领域的广告，或者提供给用户参与活动的机会。这种情况下收集到的信息不得向公司外的第三方提供，也不得与之共享。

   同意接收广告信息的会员，可以收到公司相关服务（Soon）所提供的重要事件、折扣活动、新商品介绍等多种服务和最新信息的介绍。

   通过合作商城同意向第3方提供个人信息，并购买公司的商品时，仅收集并处理提供所订购的商品或服务所需的最少的信息，比如姓名、地址、电话等。

   根据《所得税法》，提供赠品时，为了处理相关的各项税费，可以收集身份证号、银行账号等信息。

   长期未登录的会员 （休眠会员）指距上一次使用服务超过1年没有登录记录的会员。这些会员的个人信息将分开予以安全妥善的保管。此时，须至少提前30天（以通知的分开管理信息的日期为基准）以电子邮件的方式告知相关会员。休眠会员希望继续使用服务时，应当在网站或移动端应用软件上亲自激活并登录相关的账号。

┃第3条（安装并运营个人信息自动收集装置）

 

 为了提供个性化的定制服务，公司可以存储使用信息，并使用可以随时查询使用记录的“缓存文件（cookie）”。

 缓存是运营网站的服务器向用户的计算机浏览器发送的少量的信息，其也会存储在用户计算机的硬盘内。

 - 使用缓存的目的：了解用户对各种服务和网站的访问记录、使用形态、常用检索词汇、是否有保安措施等信息，用于向客户提供最合适的信息。

 - 设置、运行、拒绝缓存文件：在网页浏览器上方“工具>网络选项>个人信息菜单”中进行设置，可以拒绝存储缓存文件。

 - 拒绝存储缓存文件后，将难以提供定制服务。

 

 此外，在使用服务或处理业务过程中，可以自动生成并收集下述信息。

 

 - IP地址、访问时间、服务使用记录：防止不当使用、防止未经许可使用、开发新服务及提供定制服务等

┃第4条（拒绝同意收集个人信息）

 

 会员有权拒绝同意收集及使用个人信息，拒绝同意时，不会受到其他损失。但是，如果拒绝必须同意的事项，会员将无法使用服务，或者提供基于服务使用目的的服务将会受到限制。

 另外，拒绝同意选择性的同意事项时，对于必须使用选择同意的信息项目才能提供的服务而言，其服务的全部或部分将受到使用限制。

┃第5条（向第三方提供个人信息）

​ 

 只有在取得信息主体的同意，或法律上有特别规定等，符合《个人信息保护法》第17条及第18条规定的情形时，可以将个人信息提供给第三方。

 除此之外，需向第三方提供个人信息时，必须经过合适的流程，取得同意后，才可提供。

 基于下述目的，公司正在向第三方提供个人信息。

1. 向第三方提供个人信息现况 

┃第6条（委托处理个人信息）

 

 为了顺利地处理个人信息业务，公司委托处理如下个人信息处理业务 。

 公司签订委托合同时，根据《个人信息保护法》第25条，须在合同中明确如下事项：禁止基于委托业务执行目的以外的其他目的处理个人信息，应当采取技术层面及管理层面的保护措施，限制再委托，管理并监督受托者、损失赔偿等责任划分。同时，公司持续对受托人进行监管，确保处理个人信息时的安全性。委托处理的信息仅限于提供服务所需的必要的最少的信息。

 委托的业务内容或受托者变更时，应当立即通过本《个人信息处理方针》公开相关内容。

 当前，处理客户个人信息的受托者及相关业务内容如下所示。

1. 个人信息处理委托现况

 

┃第7条（个人信息销毁流程和方法）

 

 原则上，个人信息的收集和使用目的一经达成，应当立即销毁相关会员的个人信息。

 公司销毁个人信息的流程和方法如下所示。

 

1. 个人信息销毁流程和方法 

  1) 销毁流程

  会员为了使用服务而输入的信息，其目的一经达成，之后会移至单独的数据库（DB）（纸质资料用单独的文件箱保存），依照公司内部方针及其他相关法令，为了保护信息，在一定期限内存储（参照保存和使用期限），之后销毁。除非有法律依据，否则移动到单独保管数据库的个人信息不得用于其他的目的。

 

  2) 销毁期限

  用户的个人信息超过个人信息保存期限时，保存期限结束之日起5天内。因个人信息的处理目的已经达成、相关服务取消、业务终止等不再需要相关的个人信息时，认定没有必要处理个人信息之日起5天以内销毁相关的个人信息。

 

  3) 销毁方法

  - 打印在纸上的个人信息：用碎纸机粉碎，或焚烧

  - 以电子文件形式存储的个人信息：使用无法恢复记录的技术手段进行删除

 

  但是，下列信息处于下述理由，应当按照明示的保存期限进行保管。

 

2. 例外保管 

  1) 相关法令及公司方针规定的信息保存事由

  根据相关法令规定，需要保存时，可以在法令规定的期限内保管用户的个人信息。

  该情况下，保管的信息只能用于相关的保管目的，保存期限如下所示。

 

 

 ※ 不当使用：不当使用具体指下述情况。

 - 交易方法或内容违反法令或公司和用户之间使用条款

 - 交易方法或内容侵害了其他公司、其他会员或他人的权利或利益

 - 交易方法或内容违反公序良俗

 

 ※ 对于不当使用所保存的信息种类：账号（ID）、手机号码、电子邮箱地址、出生日期、不当交易原因、退出会员时的会员状态等

 

  2) 收集的个人信息的保存和使用期限为钦定服务使用合同（加入会员）开始至解除服务使用合同（含申请退出会员、撤销会员）。此外，撤回同意时，除了按照上述明确说明的信息保存事由对用户的部分个人信息进行定期保存外，其他的资料应当立刻销毁。个人信息委托第三方处理时，应当要求受托者销毁相关信息。

 

  3) 对于未曾使用服务的会员的个人信息，根据《信息通信网使用促进及信息保护法》第29条的规定，可以事前通知用户后销毁其个人信息，或者分离出来并单独保存和管理。但是，依据《通信秘密保护法》《电子商务消费者保护法》等相关法令的规定，需要保存相关信息时，可以在相关法令规定的期限内保管用户的个人信息。此外，会员注册时，选择“即使长期未使用，仍须保留账号”一项时，即使属于事实上的长期未使用会员，但不予进行休眠处理。除非相关会员提出退出会员的申请，否则将一直保管其个人信息。

┃第8条（用户和法定代理人的权利和义务的行使方法）

 

 1. 用户（或法定代理人）的权利

 用户（或法定代理人）作为个人信息主体，可以行使下述权利。

 

  1) 信息主体可以行使如下权利：随时向公司提出查看、更正、删除、停止处理个人信息等。完成退出会员的流程后，可以撤回针对个人信息的使用同意。此时，公司应当确认提出上述要求的人是否是本人或正当的法定代理人。

 

  2) 第1项提及的权利的行使，可以按照《个人信息保护法施行令》第41条第1项，以书面、电子邮件、传真等方式向公司提出相关要求，公司收到用户的要求后应当立即采取措施。但是，会员账号（ID）、姓名、身份证号、外国人身份证号不可以修改。因改名引起的姓名变更，或行政上的原因导致身份证（营业执照）号码变更属于例外情况，允许对信息进行修改。

 

  3) 用户（或法定代理人）要求停止处理个人信息时，如果符合下述任一情形，公司可以拒绝停止处理个人信息的要求。

  - 法律上有特别的规定，或为了遵守法令规定的义务需要处理个人信息时

  - 有可能危及他人生命、身体，或者可能侵害他人财产和其他利益时

  - 如果不处理个人信息，就无法提供和信息主体约定的服务等难以履行合同的情形下，信息主体又没有明确表示解除合同时

 

  4) 信息主体的法定代理人或受托人等可以代理行使第1项规定的权利。该情况下，根据《个人信息保护法施行规则》附页第11号格式提交委任状。

 

  5) 根据《个人信息保护法》第35条第5项、第37条第2项，信息主体要求查看、停止处理个人信息的权利可能会受到限制。

 

  6) 对于更正、删除个人信息的要求，其他法令中如果明确规定相关个人信息为收集对象时，则不得进行删除。另外，对于更正个人信息错误的申请，根据其他法律，如果并未受到提供个人信息的请求，在完成相关信息的更正之前，不得使用或提供相关个人信息。如果已经提供了错误的个人信息时，须将更正处理的结果通知给第三者，并要求其完成信息更正。

 

  7) 公司为了保护儿童的个人信息，限制未满14周岁的儿童新加入会员。

2. 行使个人信息的撤回及拒绝权，退出方法

 

 查看或更正个人信息的范围、撤回同意、拒绝同意接收广告信息等权利的行使、退出方法如下所示。

 

  1) 个人信息的查看及更正范围

  - 公司正在保存的用户的个人信息

  - 公司使用或向第三者提供的个人信息

  - 个人信息的收集、使用、提供等的同意现况

 

  2) 查看、更正个人信息，撤回同意，拒绝同意接收广告信息等权利行使方法

  - 主页（网页/应用程序）

  - 客户服务中心：1577-5767

 

  3) 退出会员

  - 主页（网页）：我的页面 > 我的信息 > 个人信息修正 > 退出会员

 

 除上述方法外，个人信息主体还可以通过行政安全部的“个人信息保护综合支援门户网站”网页（www.privacy.go.kr）申请查看个人信息。

3. 用户（或法定代理人）的义务

 

 用户（或法定代理人）作为个人信息主体，有权利获得个人信息的保护，同时也有义务自己保护个人信息。

 

  1) 会员应当经常更新个人信息，确保个人信息是最新的，因客户输入的不正确的信息导致发生问题时，责任归客户本人承担。

 

  2) 非公司责任，用户转让账号、密码、访问媒介，或因在登录状态下离开等用户本人的疏忽，或使用相关法令规定的无法通过保安措施阻止的方法或技术而进行的黑客行为等，虽然公司已经尽力但仍无法控制的网络问题致使个人信息发生泄漏时，公司不承担责任。

  - 个人信息收集、使用、提供等的同意现况

 

  3) 查看、更正个人信息，撤回同意，拒绝同意接收广告信息等权利的行使方法

 

  4) 会员应当注意防止泄漏账号、密码、访问媒介等个人信息，不得将其转让或借给第三者。因会员本人的疏忽发生的损失，公司不承担责任。

 

  5) 盗用他人个人信息注册会员，或盗用身份证号等交易物品时，可能会丧失用户资格，并受到《居民登录法》的处罚。

 

  6) 根据公司的《个人信息保护政策》，为了信息安全，会员有义务协助周期性变更密码。

 

  7) 会员必须遵守《信息通信网使用促进及信息保护法》《个人信息保护法》《居民登录法》等与个人信息相关的法律。

┃第9条（个人信息技术性、管理性的保护措施）

 

 根据《个人信息保护法》第29条规定，公司负责处理个人信息的人员应当限制在最小的范围内，采取技术性措施的同时，也同样采取向个人信息处理人员进行培训等管理性措施，使相关人员认识到保护个人信息的重要性。

 

 1. 技术性措施

  1) 会员的个人信息通过密码进行保护，对于重要数据通过单独的保安功能予以保护，比如对文件和传输数据进行加密，或者使用文件锁定功能。

 

  2) 会员的密码通过单向加密进行储存和管理，只有知道密码的会员本人才可以确认并修改个人信息。

 

  3) 公司正在采取措施，使用杀毒软件防止计算机病毒造成损失。杀毒程序定期更新，出现突发病毒时，相关杀毒程序一经发布就立即投入使用，以防止其侵犯个人信息。

 

  4) 公司正在使用保安装置（SSL等），通过使用密码机制，安全地在网络上传输个人信息。

 

  5) 为了应对黑客等外部攻击、确保信息安全，公司在每台服务器上都安装有防止入侵的系统及弱点分析系统。

 

 2. 管理性措施

 

  1) 公司始终将能够接触会员信息的人员控制在最少范围。下述人员属于最少范围内的人员。

  - 以用户为直接对象，执行营销业务的人员

  - 个人信息保护负责领导及负责员工等执行个人信息保护工作的人员

  - 其他工作上必须接触个人信息的人员

 

  2) 针对接触个人信息的员工，公司常规化实施关于新保安技术、个人信息保护义务的公司内部培训及委外培训。

 

  3) 员工入职时，通过签订保安誓约书，防止人为引起的信息泄露。公司正在筹划相应的内部流程，用于监管职员是否履行并遵守《个人信息保护法》的相关规定。

 

  4) 接触个人信息的员工交接业务时，应当在安保的状态下彻底交接，入职或离职后个人信息事故的责任划分明确清楚。

 

  5) 对于因用户个人的失误，或非公司责任发生的关于个人信息的问题，公司不承担责任。为了保护本人的个人信息，每位会员都应当切实管理自己的账号和密码，并对此承担责任。

 

  6) 其他因内部管理者的失误或技术上的事故导致个人信息丢失、泄露、变更、损毁时，公司应当立刻进行告知，采取合适的对策，并制定赔偿方案进行赔偿。

┃第10条（个人信息保护责任人）

 

 公司统管、负责个人信息的处理业务。为了处理与个人信息处理相关的信息主体的投诉，救济损失等，指定了如下个人信息保护责任人。在保护个人信息的过程中，处理客户告知的事项，发生事故时，个人信息保护责任人承担所有的责任。

 但是，虽然采取了技术性的补充措施，仍然发生黑客攻击等网络上常见的风险事件而导致难以预见的事故时，对于信息损坏、访客发布的帖子等各种纠纷，公司及个人信息保护责任人没有责任。

 

 个人信息保护责任人如下，其负责快速诚实地回答个人信息相关的咨询事项。

 

┃第11条（权益受到侵害时的救济方法）

 

 下述机构为独立于公司的机构，对公司处理个人信息投诉不满意，或不满意公司的损失救济结果，或者需要得到更详细的帮助时，请咨询下列机构。

 

 

 1. 机构信息

 

 

 

 2. 针对盗用的个人信息的措施

 

 公司掌握用户盗用他人的个人信息注册会员的事实后，应当立即采取必要的措施，比如停止相关账号使用服务的权限、撤销相关会员等。该情况下，可以使用电子政府施行的身份证真伪确认服务，用于确认主张个人信息被盗用的用户是否是本人。

┃第12条（告知的义务）

 

 根据政府或公司政策的变化，可以新增、删除、修改本方针的内容。该情况下，须在施行日7天前通过主页或邮件发布事前公告。事前难以发送公告时，应当立刻进行公告。

 

 根据《信心通信网使用促进及信息保护法》等相关法令，需要客户单独同意的事项及相关内容发生新增、变更时，公司须根据相关法令取得客户单独的同意后，才可以收集、使用或向第三方提供个人信息。

 

 

 

 

 本方针自公告之日起施行。

 

 - 个人信息处理方针版本编号: v.20200313

 - 个人信息处理方针公布日期: 2020.11.

 - 个人信息处理方针适用日期: 2020.11.