여기야 · 개인정보

개인정보처리방침

개발·운영자: ILSoft
개인정보 문의: here@ilsoft.net
개정 초안 작성일: 2026년 11월 13일(이전 초안 10월 29일) · 적용 모델: 0.4(0.4.48까지)
법률 확인 전 · 미시행 초안 — 법률 확인과 변경 고지 후 시행일을 확정합니다. 현재 공개 방침을 자동으로 대체하지 않습니다.

1. 서비스와 적용 범위

여기야는 가족 구성원의 동의를 바탕으로 위치를 확인하는 라이프스타일 앱입니다. 대상 연령은 6~8세, 9~12세, 13~15세, 16~17세, 18세 이상을 포함하는 혼합 연령이며 아동 전용 앱으로 정한 것은 아닙니다. 아동이 대상에 포함되므로 Google Play 가족 정책의 적용 대상입니다.

광고를 표시하지 않으며 개인정보를 판매하지 않습니다. 광고를 도입하게 되면 이 방침을 먼저 고치고 안내합니다.

2. 수집하는 정보와 이용 목적

Google 로그인·계정 관리: 선택한 Google 계정의 이름·이메일·프로필 사진 URL, Firebase 사용자 UID와 인증 토큰을 로그인·본인 확인·계정 구분·탈퇴 재인증에 사용합니다. Google 비밀번호를 앱이 입력받지는 않습니다. 앱 심사용으로 미리 만든 계정에 한해 이메일·비밀번호 로그인을 제공하며(0.4.39부터, 새 가입·비밀번호 찾기 없음), 이 비밀번호는 Firebase Authentication이 처리하고 앱은 저장하지 않습니다. 앱은 Google ID 토큰을 자체 Room·SavedState·로그에 저장하지 않으며 Firebase SDK가 인증 세션을 관리합니다.
가족 연결·승인: 사용자가 입력한 표시 이름, 연령 구간·성인 여부의 자기 확인, 가족 ID·구성원 membership ID, 초대·신청·승인 상태와 시각, 초대 코드의 해시, 가입 승인용으로 공개에 동의한 검증된 이메일·Google 프로필 이름·사진 URL을 가족 연결·성인 구성원의 승인·권한 확인에 사용합니다. 성인 여부의 자기 확인과 실제 법정대리인 확인은 다릅니다. 이전 버전의 부모/자녀 역할 정보가 남을 수 있습니다.
위치 공유: 위도·경도, 정확도, 측정 시각, 샘플/시간 배치/공유 세션 ID, 설치별 무작위 기기 ID, 현재 가족·구성원 UID·membership, 공유 방식(history/last/off)·동의·중지·측정 실패·연결 확인 시각을 현재/마지막 위치·이동 기록·단일 활성 기기 및 접근 권한 관리에 사용합니다. 정확한 위치 또는 Android가 제공하는 대략적 위치를 처리합니다. 위치마다 그 위치를 계산할 때 쓴 위성 수(숫자 하나)를 함께 보내 위치의 믿을 만한 정도를 표시하는 데 씁니다(0.4.35부터).
배터리 잔량 (0.4.10부터): 위치 공유가 켜진 동안 기기 배터리 잔량(%)·충전 여부를 현재 위치 전송과 함께 보내 현재 가족 구성원의 가족 탭에 표시합니다. 이는 좌표·이동 기록과 별개이며, 공유를 중지하면 서버에서 삭제합니다. 마지막 전송 35분 뒤에는 현재 잔량으로 표시하지 않고, 마지막 위치를 보여 주는 동안(최대 24시간)만 "마지막 배터리"로 그 시각과 함께 보여 줍니다(0.4.42부터). 배터리 절약 모드를 켠 경우 그 사실(켬/끔)도 함께 보내 가족에게 "절전 중"으로 표시합니다(0.4.37부터).
앱 오류 보고 (0.4.14부터): 앱이 비정상 종료되거나 응답하지 않으면 Firebase Crashlytics가 오류 발생 위치(코드 호출 기록), 발생 시각, 앱 버전, 기기 모델·OS 버전, 메모리·저장 공간·화면 방향 같은 기기 상태와 Crashlytics 설치 식별자를 보내 오류를 찾고 고치는 데 사용합니다. 위치 좌표·주소·이름·이메일·가족 정보·계정 UID는 오류 보고에 넣지 않습니다.
연령 확인·법정대리인 동의: 만 14세 이상은 본인이 연령 구간·성인 여부와 동의를 확인합니다. 만 14세 미만은 성인 구성원이 입력한 출생 연·월(출생일 제외), 만 14세 전환 기준 시각, 동의한 성인과 아동의 UID·membership·가족 연결 ID, 동의 항목(법정대리인임을 밝힘·가족 참여·가족 전체 위치 처리), 서버 기록 시각, 동의 문구 버전·해시와 철회 상태를 기록합니다. 연령별 위치 처리 허용 여부와 재동의 시점을 판단하고 동의 증적을 남깁니다. 전화번호·신분증이나 법정대리인 확인용 이메일 인증은 받지 않습니다.
걸음 수 (0.4.16부터, 선택): 내 공유 화면에서 "걸음 수도 가족과 공유"를 켠 경우에만, 신체 활동 권한으로 기기의 걸음 센서를 읽어 오늘 걸음 수를 셉니다. 위치 공유가 켜진 동안 오늘 날짜와 걸음 수(숫자 하나)를 위치 전송과 함께 보내 현재 가족 구성원의 가족 탭에 걸음 수와 이를 바탕으로 계산한 대략적인 거리로 표시합니다. 칼로리 추정치는 본인 기기에서만 계산해 본인에게만 보이며 서버로 보내지 않습니다. 키·몸무게 같은 신체 정보는 받지 않습니다. 끄면 다음 전송 때 서버에서 지우고, 공유를 중지해도 지우며, 마지막 전송 36시간 뒤에는 표시하지 않습니다.
여러 가족과 가족마다 위치 보내기 (0.4.45부터): 한 사람이 최대 5개 가족에 속할 수 있습니다. 가족마다 사용자가 정한 가족 이름, 구성원 목록과 각 구성원이 그 가족에게 위치를 보내는지 여부(가족별 스위치)를 저장하고, 위치 묶음에는 그 위치를 볼 수 있는 가족을 가리키는 내부 열쇠를 붙여 권한 검사에 사용합니다. 새로 함께하게 된 가족은 그 가족에 들어온 뒤(또는 그 가족에게 보내기를 다시 켠 뒤)의 이동 기록만 볼 수 있습니다.
장소와 도착·나감 알림: 가족이 등록한 장소의 이름·종류·모양(원의 중심 좌표와 반지름 또는 다각형 꼭짓점 좌표)·해당 구성원·알림을 받을 구성원을 가족 정보에 저장합니다. "나만" 장소는 등록한 본인에게만 보입니다. 위치를 보내는 폰이 기기 안에서 장소 안팎을 판단해 서버에는 좌표 없이 "어느 장소에 들어옴/나감과 그 시각"만 보내고, 서버는 구성원마다 장소별 마지막 상태(안/밖과 시각)를 저장해 알림을 켠 가족에게 푸시 알림을 보냅니다. 알림에는 좌표가 들어가지 않습니다.
잠깐 숨기기·대략 위치로 보이기 (0.4.44부터, 선택): 만 14세 이상은 정해 둔 시각까지 위치 보내기를 멈추거나(잠깐 숨기기) 위치를 동네(약 500 m)·넓게(약 2 km) 단위로만 보이게 할 수 있습니다. 숨기는 동안에는 현재 위치·이동 기록·실시간 위치·장소 사건을 보내지 않고 그동안 잰 위치는 기기에서 버리며, 서버에는 숨김이 끝나는 시각만 저장합니다. 대략으로 보이는 동안에는 폰이 위치를 고정 격자의 칸 중심으로 바꿔 보내므로 서버와 가족은 정확한 위치를 받지 않고, 이동 기록·실시간 위치·장소 알림도 보내지 않습니다. 본인이 직접 누르는 "한 번 보내기"와 위치 요청 수락은 정확한 위치를 보냅니다.
폰이 오래 조용함 (0.4.42부터): 위치 공유 중인 폰이 2시간 넘게 이동도 잠금 해제도 없으면, 그 상태가 시작된 시각을 30분 단위로 올림한 값만 보내 가족에게 "n시간째 조용"으로 표시합니다. 폰을 언제 썼는지 자체는 기기 밖으로 나가지 않습니다. 공유를 중지하면 서버에서 지웁니다.
알아서 알려 주는 알림 (0.4.42·0.4.44부터): 소식이 끊긴 가족의 카드에서 "다시 연결되면 알려 주기"를 켜면, 그 사람의 공유 정보에 신청한 사람의 계정 ID를 최대 7일 저장했다가 그 폰이 다시 소식을 보낼 때 신청자에게 한 번 알리고 지웁니다. 위치를 공유 중인 폰의 배터리가 충전기 없이 15% 이하로 떨어지면, 그 사람의 위치를 볼 수 있는 가족에게 잔량과 시각이 담긴 알림을 한 번 보냅니다(새로 모으는 정보는 없음). 두 알림 모두 좌표를 담지 않습니다.
개발 진단 (0.4.37부터, 내부 테스트 허용 계정만): 정식 출시 전 위치 정확도·장소 알림 지연·배터리 문제를 고치기 위해, 운영자가 서버의 허용 목록에 올린 내부 테스트 계정에서만 진단 자료를 모읍니다. 기본 수준은 측정 시각·오차·위성 수·위치 출처·앱 상태 변화·단계별 지연·결과 코드·배터리/기기 상태, 앱 버전·기기 모델·OS 버전, 설치별 무작위 진단 ID이며 좌표·이름·주소는 넣지 않고 사람·장소는 해시로 적습니다. 연결된 Wi-Fi가 바뀐 시각과 공유기를 가리키는 값은 그 폰에만 있는 무작위 값으로 해시해 다른 폰과 비교하거나 되돌릴 수 없게 하며 망 이름은 읽지 않습니다. 정밀 수준으로 지정된 계정은 측정한 위치 원본의 좌표(화면에 쓰지 않고 버린 점 포함)도 보냅니다. 허용된 기기에는 설정 화면에 "개발 진단 수집 중" 표시가 나옵니다. 가족에게 보여 주지 않고 운영자만 분석에 사용합니다.
기기 안에만 두는 정보: 테마·글자 크기·색, 털실 마을 테마에서 가족에게 고른 동물, 홈 화면 위젯에 보일 가족, 지도에서 걷는 가족이 최근 2분 동안 지나온 자리 표시(화면 메모리, 저장하지 않음)는 서버로 보내지 않습니다.
운영 설정 받기 (0.4.15부터): 배터리·위치 정확도를 조정하는 숫자 설정(측정 간격 등)을 Firebase Remote Config에서 받습니다. 이때 Firebase 설치 식별자, 앱 버전, 기기 언어·국가 같은 앱/기기 정보가 Google에 전달됩니다. 위치 좌표·이름·이메일·가족 정보·계정 UID는 보내지 않으며, 받은 설정은 기기에만 보관합니다.
실시간 위치·푸시 신호: Firebase Realtime Database(RTDB)에 최신 위치 한 점을 덮어쓰고 시청 세션·일시 접근 권한·접속 상태를 처리합니다. 유효한 공유 세션에서 FCM 등록 토큰을 받아 서버에 연결하며, 좌표가 없는 신호로 이미 실행 중인 공유 서비스의 연결 재확인을 돕습니다. 위치 요청 알림을 위해 로그인한 앱이 계정 단위 FCM 등록 토큰을 서버에 보관하며, 알림에는 좌표나 이름이 들어가지 않습니다. 실시간 전송은 1초 간격을 목표로 하며 전달이나 절전 해제를 보장하지 않습니다.
일회성 위치 보내기·위치 요청: 위치 공유를 꺼 두어도, 본인이 받을 가족을 직접 골라 보내거나 가족의 위치 요청을 수락하면 그 순간의 좌표 한 점을 서버에 저장해 선택·수락된 현재 가족 구성원에게만 보여 줍니다. 새로 보내면 이전 점을 교체하며 이동 기록에는 남지 않습니다. 위치 요청 자체는 요청자·대상과 시각(30분 유효)만 저장하고 좌표를 포함하지 않으며, 수락 없이는 위치가 전달되지 않습니다.
위치 제공 확인자료: 누가 누구의 위치를 언제 조회했는지, 가족·membership·세션 식별자, 조회 범위·결과·개수와 라이브 세션 시작/종료 시각·사유를 남깁니다. 확인자료 자체에는 좌표를 넣지 않으며, 세션 허가·종료 기록이 실제 좌표 수신이나 화면 열람을 증명하지는 않습니다.
기기 사용량(제거된 기능): 이전 버전의 배터리·데이터 사용량 측정과 가족 공개 기능은 앱과 서버에서 모두 제거했고(현재의 배터리 잔량 표시와는 다른 기능), 서버에 있던 사용량 기록은 2026년 10월 25일 전부 삭제했습니다. 이전 버전 앱이 기기에 남긴 로컬 진단 기록은 0.2.26 이상으로 업데이트한 뒤 앱을 실행하면 위치 갱신 간격 설정만 옮기고 삭제합니다.
삭제 요청·보안: 삭제 모드, UID, 요청 ID, 생성/완료 시각, 단계·진행 상태, 영수증 해시·잠금과 요청 제한 횟수를 삭제 접수·재개·중복 방지·남용 차단에 사용합니다. 비밀 영수증 원문은 앱/브라우저의 전용 저장소에서 복구에 사용하며 URL이나 화면·로그에 노출하지 않습니다.
SDK·통신 과정의 정보: Google/Firebase SDK가 인증·기기 검증·지도를 위해 IP 주소와 대략적 지역, 앱/OS·기기 정보, 앱 인스턴스/SDK 식별자, 지도 상호작용, SDK 오류 정보를 처리할 수 있습니다. 위치 공유 중 한곳에 머무르면, 그곳을 벗어났는지 빨리 알기 위해 기기의 Google Play 서비스에 머무는 곳 주변 범위(지오펜스)를 등록합니다(0.4.18부터). 이 범위는 기기 안에서만 쓰이고 여기야 서버로 보내지 않으며, 공유를 끄거나 자리를 떠나면 지웁니다. Firebase Analytics는 포함하지 않으며 광고 ID를 수집하지 않습니다. 위의 앱 오류 보고·운영 설정 받기 외에 분석 목적의 자동 수집이나 광고 연동은 없습니다.

현재 앱의 일반 기능에는 Google 로그인이 필요합니다. 위치 공유는 기기 권한과 공유 방식 선택·가족 전체 제공에 대한 명시적 동의·시작을 거쳐 사용자가 결정합니다. 이동 기록 공유(history)는 마지막 위치와 이동 기록을, 마지막 위치만 공유(last)는 최신 한 점만 현재 가족 전체에 제공합니다. 공유 안 함(off)은 위치 제공을 중지합니다. 만 14세 미만은 법정대리인 동의 후 history만 사용할 수 있습니다. 사진이 있는 Google 계정은 해당 사진 URL을 자동으로 받으며, 앱 안에서 사진만 따로 거부하는 설정은 없습니다.

본인이 시작한 위치 공유는 알림을 표시하는 전경 서비스로 실행되어 화면이 꺼지거나 다른 앱을 사용하는 동안에도 측정·전송할 수 있습니다. 화면/알림에서 중지할 수 있으며, 재부팅·원격 요청으로 새 위치 수집을 자동 시작하는 기능은 없습니다. 사용자가 시작한 공유의 가족 범위·공유 방식·동의 사실은 기기의 앱 전용 저장소에 기억합니다. 0.4.1은 앱 전경이나 이미 실행 중인 위치 전경 서비스에서 통신 중단을 감지하면 가족·membership·동의·활성 기기를 다시 확인한 뒤 history/last 공유를 복구합니다. OS가 서비스를 다시 시작하는 경우에도 같은 검증을 거칩니다. 앱 업데이트·프로세스 종료 뒤에는 다음에 앱을 화면에 열 때도 재검증하지만 강제 종료·재부팅 후 앱 미실행 상태의 자동 재개를 보장하지 않습니다. 명시적 중지·로그아웃·가족 연결 변경·법정대리인 동의 철회 등으로 무효화된 공유는 자동 복원하지 않습니다. 실제 지속 동작은 기기 권한·위치/알림 설정과 OS 제한의 영향을 받습니다.

연락처 목록, 전화번호, 문자·이메일함 내용, 마이크 녹음, 카메라 촬영, 결제 정보는 수집하지 않습니다. 다만 아래 3장의 공급자(SDK)가 통신 과정에서 처리하는 정보가 있습니다. 문의 이메일로 받은 주소와 내용은 답변과 처리에 필요한 기간 동안만 보관합니다.

3. 누구에게 제공하거나 처리하게 하나요?

현재 가족 전체

가족 구성원은 같은 가족의 이름·연령 구간·성인 여부·허용된 프로필 사진과 위치 허용 상태를 확인합니다. 가입 요청자는 별도 동의한 검증된 이메일·Google 프로필 이름·사진을 승인 권한이 있는 성인 구성원에게 제공합니다.
공유를 시작한 사람의 선택과 동의 범위에 따라, 그 사람이 위치 보내기를 켜 둔 가족의 현재 구성원 전체가 위치를 봅니다. 같은 역할 사이도 포함하며 가족 안에서 구성원을 개별 선택하거나 일부만 제외하는 방식이 아닙니다. 여러 가족에 속한 경우 가족마다 보내기를 끌 수 있고, 끈 가족에게는 위치가 보이지 않습니다. 서로 다른 가족의 구성원끼리는 서로의 위치를 볼 수 없습니다(같은 사람이 두 가족에 함께 있으면 한 가족에서라도 보내는 동안 그 사람에게 보입니다). 신규 가족 구성원도 현재 가족 범위와 권한 검사를 통과하면 조회할 수 있습니다. 가족 가입만으로 본인의 위치 공유가 자동 시작되지는 않습니다.
공개로 등록한 장소와 그 장소의 도착·나감 알림은 그 가족의 구성원에게, "나만" 장소는 등록한 본인에게만 보입니다. 개발 진단 자료는 가족에게 제공하지 않습니다.
법정대리인 동의 기록은 그 동의를 한 현재 성인 구성원 본인만 조회·철회합니다. 다른 가족 구성원은 연령 확인 여부와 위치 허용 상태만 확인합니다.
초대 링크/코드의 외부 전송은 사용자가 Android 공유창·복사를 통해 선택합니다. 선택한 외부 앱은 그 서비스의 정책에 따라 처리하며 여기야가 연락처 목록을 대신 읽지는 않습니다.

외부 처리자·서비스 공급자

현재 코드에 연결된 공급자와 역할
공급자/기술	처리 목적·관련 정보	참고
Google 로그인·Firebase Authentication·Android Credential Manager	계정 선택, Google 자격증명/토큰 교환, UID·기본 프로필과 인증·보안용 IP/앱 정보 처리. Credential Manager는 Android의 자격증명 선택 경계입니다.	Google 계정 정책을 따릅니다.
Google/Firebase Cloud Functions·Firestore·Hosting	인증된 가족·연령 확인/동의·위치·삭제 요청 처리/보관, 웹 제공, 요청·보안 정보 처리	Functions·Firestore의 코드상 리전은 서울(asia-northeast3)입니다. 모든 공급자 처리가 국내에 한정된다는 뜻은 아닙니다.
Firebase Realtime Database·Cloud Messaging(FCM)	실시간 최신 좌표·한시 접근 권한·시청/접속 상태, 공유 세션과 연결한 FCM 등록 토큰·좌표 없는 연결 신호 처리	코드상 RTDB URL과 단절 처리 함수의 리전은 싱가포르(asia-southeast1)입니다. 실제 운영 설정·전역 메시징/설치 정보 처리와 보관 조건은 시행 전 확인 대상입니다. RTDB에 이동 경로를 누적하지 않습니다.
Firebase App Check·Google Play Integrity / 웹 reCAPTCHA Enterprise	앱·웹 요청의 무결성/남용 검증, 검증 토큰과 공급자 기기·통신 정보 처리	앱·요청 검증에만 사용합니다.
Google Maps SDK·Google Play services 위치 API	지도·카메라/위치 표시와 기기 위치 측정. Maps는 요청 메타데이터·IP·가명 SDK ID·SDK 오류 및 구성에 따른 지도 상호작용을 처리합니다.	Google 개인정보처리방침을 따릅니다.
Firebase Crashlytics	앱 비정상 종료·응답 없음의 오류 기록, 앱/OS·기기 정보, Crashlytics 설치 식별자 처리(위치·연락처·계정 UID는 보내지 않음)	오류 분석과 수정에만 사용합니다.
Android Geocoder·Google 프로필 사진 서버	표시 주소 변환을 위해 좌표를 기기의 지오코더 공급자에 전달할 수 있으며, Google 사진 서버에서 이미지 파일을 HTTPS로 읽습니다. 주소와 이미지 비트맵은 해당 앱 화면의 메모리에서 사용합니다.	지오코더 공급자는 기기마다 다를 수 있습니다.
Firebase Remote Config	앱 동작 설정값 전달, Firebase 설치 식별자·앱/기기 정보 처리(위치·연락처·계정 UID는 보내지 않음)	설정 전달에만 사용합니다.
Google Analytics for Firebase	포함하지 않음 (의존성 제거). 광고 ID 및 분석 목적의 자동 수집을 하지 않습니다.	해당 없음

처리 위탁과 국외 처리

Google LLC(Firebase·Google Maps)가 여기야를 대신해 위 정보를 처리합니다. 서비스를 이용할 때 네트워크로 전송되며, 코드상 실시간 위치는 싱가포르 RTDB로 전송되며 로그인·지도·기기 검증 등 일부 처리는 미국 등 Google 데이터센터가 있는 국가에서 이루어질 수 있습니다. 처리 목적은 위 표와 같고, 보관 기간은 4장의 기간 또는 해당 공급자의 정책을 따릅니다. 자세한 내용은 Firebase 개인정보 안내와 Google 개인정보처리방침에서 볼 수 있습니다.

4. 보관 기간과 파기

화면에서 숨기는 시점과 서버의 물리 삭제 시점은 다릅니다. 만료 데이터는 조회에서 제외하고 제한된 예약 작업으로 정리하므로 실제 삭제가 늦어질 수 있습니다.

자체 코드에서 확인한 기간
정보	유효·열람 기간	서버/기기 정리
현재/마지막 위치	최신 한 개, 측정 후 24시간. 측정 후 15분 경과 여부 등 실제 측정 나이와 연결 확인 시각을 구분해 표시	history/last 모두 최신 위치는 측정+24시간 만료. 빈 연결 확인(약 15분 간격)은 좌표·측정 시각·24시간 기한을 연장하지 않음. 중지·권한 상실 시 접근 차단
이동 기록(history)	측정 후 30일 이내, 현재/수집 당시 가족 membership과 동의 등 권한을 검사	기기 Room에 먼저 보관하고 직전 저장점과 50m 이상 떨어진 점을 최대 720개씩 1시간 묶음으로 전송. 배치 만료는 가장 이른 측정 기준이며 조회에서도 점별 기한 검사. last는 이동 경로를 제공하지 않음
기기 Room·전송 대기	history 최대 30일, last 최신 한 점·최대 24시간	화면 캐시·전송 대기를 보관 기한에 맞춰 정리하고 중지·계정/가족 변경·기록 삭제·로그아웃 때 지움. 오프라인/실행 중단 기기의 정리는 다음 실행·상태 확인까지 늦어질 수 있음
RTDB 최신점·접속 권한	이동 기록 없이 최신 한 점 덮어쓰기, 접근 권한 최대 90초·시청 중 재검증	화면 이탈·단절 감지·중지·가족/동의 변경·만료 때 차단/정리. 단절 감지는 지연될 수 있으며 RTDB 디스크 저장은 사용하지 않음
일회성 위치	좌표 한 점, 측정 후 30일. 새 전송·수락이 이전 점을 교체	선택·수락된 현재 가족 구성원만 열람. 가족 연결 해제·계정 탈퇴·내 기록 삭제 때 정리하고 만료분은 예약 작업으로 순차 삭제
위치 요청	요청자·대상·시각, 30분 유효(좌표 없음)	수락·거절·만료 후 정리. 수락 없이 좌표가 이동하지 않음
FCM 등록 토큰	공유 세션 토큰은 등록 당시 공유 lease 이내. 위치 요청 알림용 계정 토큰은 갱신 후 60일	세션 교체·중지·삭제·만료 때 서버 연결 정리, 계정 토큰은 갱신 때 교체·만료분 예약 삭제·계정 탈퇴 때 삭제. 서버 토큰 연결 정리가 Firebase 설치 ID 삭제를 뜻하지 않음. 공급자 설치 식별자/토큰 보관은 Firebase 정책도 적용
위치 제공 확인자료	각 제공/세션 이벤트 시각부터 UTC 달력 기준 6개월(180일 고정 아님)	원본 좌표와 별도로 보관하며 일반 기록 삭제·가족 해제·계정 탈퇴로 지우지 않음. 만료 즉시 조회 제외, TTL/예약 작업으로 순차 삭제. 탈퇴 후에는 기존 계정으로 조회 불가
연령 확인·법정대리인 동의	계정과 가족 연결이 유지되는 동안 보관. 철회·새 동의로 교체된 이전 기록도 증적으로 보관	해당 성인 또는 아동의 가족 연결 해제·계정 탈퇴 시 예약 작업으로 삭제. 내 기록 삭제(위치만 삭제)로는 지우지 않음
공유 재개 기억	사용자가 시작한 공유의 가족 범위·공유 방식·membership과 동의 사실. 기기의 앱 전용 저장소에만 둠	사용자 중지·로그아웃·계정/가족 변경·법정대리인 철회·기록 삭제/탈퇴 시 삭제
계정·가족·초대/신청	계정은 탈퇴까지, 가족 연결은 해제까지 사용. 초대 유효 15분, 대기 요청 유효 24시간	초대/요청의 유효기간 만료가 즉시 문서 삭제를 뜻하지 않음. 갱신·승인/거절·취소·탈퇴 때 정리
삭제 작업·영수증	접수 후 7일 이내 처리 목표, 최소 작업 메타데이터는 완료 후 7일까지 조회	기한 초과 시 재시도 계속. 완료 후 메타데이터 순차 정리. 앱/브라우저 영수증은 완료 확인·만료 시 삭제하며 불명확한 미접수 영수증은 별도 복구 계약에 따름
장소·장소 상태	장소 모양·이름·종류·대상·알림 설정은 등록부터 삭제까지. 구성원마다 장소별 마지막 안/밖 상태와 시각 한 개(덮어씀)	장소 삭제·가족 해산 때 함께 삭제. 구성원이 가족을 나가거나 내보내지면 그 사람의 "나만" 장소와 장소 상태를 삭제. 기기에서는 가족 해제·로그아웃·계정 삭제 때 지움
숨김·대략·조용함·절전 표시	숨김이 끝나는 시각, 대략 단계, 조용함 시작 시각, 절전 여부를 현재 공유 정보에 함께 보관	숨김은 그 시각이 지나면 효력이 없고, 숨김 시각·조용함·절전 여부(배터리와 함께)는 본인이 공유를 중지할 때 지움. 대략 단계는 본인이 고른 설정이라 "정확하게"로 바꿀 때까지 남음. 더 대략으로 바꾸면 서버가 갖고 있던 더 정확한 마지막 위치를 지움
다시 연결 알림 신청	신청한 사람의 계정 ID, 최대 7일	그 폰이 다음에 소식을 보낼 때(알림을 보내면서) 모두 지움. 신청을 끄거나 본인이 공유를 중지할 때도 지움. 7일이 지났거나 신청자가 그 사람의 위치를 더는 볼 수 없으면 알리지 않음
개발 진단 자료	서버에 받은 시각부터 30일(내부 테스트 허용 계정만)	30일 만료분은 매일 예약 작업으로 삭제. 좌표가 든 정밀 수준 자료는 위치 기록과 같은 때(기록 공유 해제·가족 나가기/내보내기·보호자 철회·기록 삭제·계정 삭제) 지우고, 좌표 없는 자료는 계정 삭제 때 지움. 허용 목록에서 빠지면 기기 안 진단 버퍼를 즉시 비움
앱 오류 보고	오류 기록과 관련 식별자는 Firebase 정책에 따라 90일	Firebase Crashlytics가 기간 경과 후 삭제. 계정 탈퇴·기록 삭제가 이 공급자 보관본을 즉시 지우지는 않음
보안·운영 기록	호출 제한·공유 중지 기록 등 서비스 운영과 남용 방지에 필요한 정보	목적을 다하면 정리. Cloud Logging·Hosting·공급자 로그/백업의 실제 보관 설정은 시행 전 확인 대상

명시적 삭제에서는 원본 위치·프로필을 별도 보존하도록 구현하지 않았습니다. 다만 좌표 없는 위치 제공 확인자료는 위의 6개월 보관 범위를 따릅니다. 서버 문서·해당 UID의 앱 데이터 행을 삭제하는 방식이며 모든 백업/SDK 보관본의 즉시 삭제나 저장매체의 물리 덮어쓰기를 보장하는 표현은 사용하지 않습니다. 이전 버전에서 남은 일부 공유 중지 기록은 삭제 범위에서 제외됩니다.

5. 아동 개인정보와 보호자의 역할

만 14세 이상은 본인이 연령 구간과 동의를 확인하고, 성인 구성원은 가족 가입을 승인합니다. 만 14세 미만은 성인 구성원이 출생 연·월을 입력하고 법정대리인임을 밝힘, 가족 참여, 위치 처리에 모두 동의해야 위치 처리를 허용합니다. 출생일은 받지 않습니다. 출생 월이 모두 지난 한국 시각을 만 14세 전환 기준으로 삼아 이후 본인의 연령 확인과 새 공유 선택을 요구합니다.

만 14세 미만은 동의 후 이동 기록 공유(history)만 허용하며, 아동 본인도 가족 전체 제공 안내를 확인하고 공유를 시작합니다. 동의 미완료·철회·연령 전환 시 서버가 위치 처리를 차단합니다. 오프라인 기기에는 차단 전달이 늦어질 수 있습니다. 법정대리인 동의만으로 원격 위치 수집을 시작하지 않습니다.

앱 안의 표시와 체크는 성인 구성원의 실제 나이·신원이나 친권·후견 관계를 확인하는 절차가 아닙니다. Google 로그인/Family Link도 그 확인을 대신한다고 보장하지 않습니다. 법정대리인 동의에 관한 안내는 개인정보 포털에서 볼 수 있습니다.

6. 동의 철회·기록 삭제·계정 탈퇴와 권리 행사

법정대리인 동의는 동의한 성인 구성원이 앱의 가족 화면에서 자녀별로 확인·철회할 수 있습니다. 철회하면 해당 자녀의 위치 처리가 차단됩니다.
위치 공유는 본인 화면이나 공유 알림에서 중지합니다. 가족 연결 해제·로그아웃만으로 모든 과거 기록이 삭제되지는 않습니다.
앱: 설정 → 개인정보·계정 → 내 기록 삭제 또는 계정 탈퇴. 미연결·승인 대기 계정도 진입 가능합니다. 범위 확인·명시적 동의 후 같은 UID의 Google 재인증으로 접수합니다.
앱 밖: 계정 탈퇴·기록 삭제 요청. 앱 재설치 없이 범위/동의를 확인하고 Google 로그인하면 선택한 요청을 자동 접수합니다. 같은 브라우저의 영수증으로 진행 상태를 확인합니다.
내 기록 삭제는 본인 위치·이동 기록을 정리하고 계정/가족 연결과 법정대리인 동의 기록을 유지합니다. 계정 탈퇴는 본인 계정·가족 연결·대기 요청·초대·위치·연령 확인/동의 기록·인증 계정을 삭제합니다. 좌표 없는 제공 확인자료는 6개월 만료까지 별도로 남습니다. Google 계정 자체는 삭제하지 않습니다.
마지막 성인 구성원이 탈퇴하면 가족을 해산하고 남은 구성원의 연결을 해제합니다. 다른 구성원의 계정/소유 기록은 보존하며 자동으로 성인 권한을 부여하지 않습니다.
접수 후 7일 이내 처리를 안내하며 접수·처리·완료·기한 초과를 구분합니다. 웹 요청으로 다른 기기의 오프라인 앱 저장소를 직접 지울 수는 없습니다. 제공 확인자료·공급자 운영 기록의 보관 경계는 4장을 따릅니다.

열람·정정·삭제·처리정지·동의 철회 및 아동 개인정보 관련 문의는 ILSoft 개인정보 문의로 보낼 수 있습니다. 자동 탈퇴는 재인증한 본인 UID에만 적용되므로 성인 역할만으로 다른 사람 계정을 자동 탈퇴시키지는 못합니다. 이메일 문의는 본인 또는 법정대리인임을 확인한 뒤 처리하며, 인증 토큰·영수증 원문·신분증·정확한 위치를 사전 요청 없이 이메일에 첨부하지 마세요.

7. 보호 조치

자체 API·프로필 사진·웹 요청에는 HTTPS를 사용하고, 서버의 Auth/App Check·현재 가족 membership·가족 범위 동의로 권한을 검사합니다. RTDB는 서버 발급 한시 권한과 보안 규칙으로 제한하며 App Check 강제 적용은 별도 콘솔 확인 대상입니다. Firestore 직접 접근은 본인 변경 신호 단일 읽기 외에는 차단합니다. 토큰·좌표·주소·동의·영수증 원문을 앱 로그나 SavedState에 보관하지 않습니다. Android 앱 백업을 끄고 삭제 영수증은 백업 제외 전용 파일에 둡니다.

전송 구간 보호는 종단간 암호화와 다릅니다. 관리자/서버가 전혀 읽을 수 없는 구조라고 주장하지 않습니다.

8. 웹 페이지의 테스터 등록 신청

앱과 별도로, 테스트 버전을 받으려는 분이 여기야 받기 페이지에서 등록을 신청하면 Google 계정 이메일, 이름(선택), 신청 시각을 받습니다. 이 정보는 Google Play 테스트 참여자 목록에 등록하는 데만 씁니다. Google LLC의 Firebase(Cloud Firestore, 서울 리전)에 저장하고 운영자만 콘솔에서 확인할 수 있으며(웹에서는 누구도 읽거나 고칠 수 없음), 등록을 마치거나 삭제를 요청하면 지웁니다. 등록된 이메일은 Google Play Console의 테스터 목록에 들어가며, 테스트 참여와 앱 설치는 Google Play를 통해 이루어집니다.

9. 방침 변경

10월 29일 초안은 가족 전체 공유, 출생 연·월, Room 30일/24시간 보관, 1시간 기록 묶음, RTDB/FCM, 제공 확인자료 6개월을 반영했습니다. 11월 13일 초안은 그 뒤 추가된 여러 가족과 가족마다 위치 보내기, 장소와 도착·나감 알림, 잠깐 숨기기·대략 위치, 폰이 오래 조용함 표시, 다시 연결 알림·배터리 부족 알림, 마지막 배터리·절전 표시·위성 수, 심사용 이메일 로그인, 내부 테스트 계정의 개발 진단을 더했습니다. 법률 확인 후 변경 내용과 새 시행일을 이 페이지에 알리고 중요한 변경은 앱에서도 안내합니다.