개인정보처리방침

클업 (CLASS UP) · https://classup.pages.dev

클업은 학급 활동에 경험치·레벨·뱃지를 부여하는 학급 게이미피케이션 웹앱입니다. 운영자는 「개인정보 보호법」에 따라 정보주체의 개인정보를 보호하고 이와 관련한 고충을 신속하게 처리할 수 있도록 다음과 같이 개인정보처리방침을 수립·공개합니다.

제1조 (개인정보의 처리 목적)

1. 교사 계정 관리 — 회원 가입·로그인·학급 개설 및 본인 학급 데이터 식별
2. 학급 운영 — 학생별 활동 점수(경험치) 부여, 레벨·등급·뱃지·코인 산정 및 표시

수집한 개인정보는 위 목적 외의 용도로 이용하지 않으며, 목적이 변경되는 경우 사전에 동의를 받습니다.

제2조 (처리하는 개인정보의 항목)

구분	수집 항목	수집 방법
교사	이메일 주소, 비밀번호(암호화 저장), 학급명	회원 가입 시 직접 입력
학생	이름	교사가 학급 명단을 입력·붙여넣기
학생 활동 기록	경험치·레벨·등급·HP·뱃지·코인·상점 이용 내역	교사의 활동 점수 부여 시 자동 생성

주민등록번호, 생년월일, 연락처, 주소 등은 수집하지 않습니다.

근거: migrations/ 및 seed.sql의 students 테이블 (name, xp, hp 등) — 이름 외 식별정보 필드를 두지 않았습니다.

제3조 (개인정보의 최소 수집과 보유·이용 기간)

서비스 제공에 필요한 최소한의 항목만 수집합니다. 학생에 대해서는 이름과 활동 기록만 처리하며, 그 밖의 개인 식별정보는 수집하지 않습니다.

보유·이용 기간: 해당 학년도 종료 시까지 보유하며, 학년도가 끝나면 파기합니다. 교사가 학급이나 학생을 삭제하는 경우에는 그 시점에 즉시 파기합니다.

제4조 (만 14세 미만 아동의 개인정보 보호)

이 서비스의 가입·이용 주체는 교사이며, 학생은 직접 가입하거나 로그인하지 않습니다. 학생의 이름은 담임교사가 학급 운영 목적으로 입력합니다.

이 서비스는 학교의 학급 운영을 지원하는 도구입니다. 학생의 개인정보는 학교가 학년 초에 법정대리인(보호자)으로부터 받은 개인정보 수집·이용 동의의 범위에서 처리하며, 그 범위를 넘어서는 처리가 필요한 경우에는 이 서비스에 대한 별도의 동의를 받은 뒤 처리합니다.

학생의 개인정보에 대한 열람·정정·삭제·처리정지 요구는 법정대리인이 제8조의 개인정보 보호책임자(담당 교사)에게 요청할 수 있습니다.

제5조 (개인정보의 파기)

교사가 학생 또는 학급을 삭제하면 해당 학생의 이름과 활동 기록은 데이터베이스에서 즉시 삭제됩니다 (학급 삭제 시 소속 학생 데이터가 함께 삭제되도록 ON DELETE CASCADE로 구성).

보유기간이 지난 개인정보는 해당 학년도 종료 시 파기합니다. 전자적 파일 형태로 저장된 정보는 복구할 수 없는 방법으로 영구 삭제합니다.

제6조 (개인정보의 안전성 확보 조치)

• 서버 경유 접근 — 브라우저가 데이터베이스에 직접 접근하지 않고, 서버(Cloudflare Worker)의 API를 거칩니다.
• 교사별 권한 검증 — 서버가 요청마다 로그인 토큰을 확인하고, 요청한 학급의 소유자가 본인인지 대조한 뒤에만 데이터를 반환합니다.
• 데이터베이스 이중 보호 — 모든 테이블에 Row Level Security(RLS)를 적용해, 서버를 거치지 않은 접근은 데이터베이스 차원에서 차단됩니다. 데이터베이스 접근 권한을 가진 키는 서버에만 보관하며 브라우저로 전달되지 않습니다.
• 전송 구간 암호화 — 모든 통신에 HTTPS 적용
• 비밀번호는 인증 서비스(Supabase Auth)가 암호화하여 저장하며 운영자도 원문을 알 수 없습니다

근거: migrations/supabase_0008_enable_rls.sql, src/supabase.ts.

제7조 (정보주체의 권리·의무 및 행사 방법)

정보주체(교사, 학생 및 그 법정대리인)는 언제든지 다음 권리를 행사할 수 있습니다.

1. 개인정보 열람 요구
2. 오류가 있을 경우 정정 요구
3. 삭제 요구
4. 처리정지 요구

권리 행사는 제8조의 개인정보 보호책임자(담당 교사)에게 요청할 수 있으며, 운영자는 지체 없이 조치합니다. 학생 본인 또는 법정대리인이 요구하는 경우에도 같습니다.

제8조 (개인정보 보호책임자)

운영자는 개인정보 처리에 관한 업무를 총괄해서 책임지고, 정보주체의 문의·불만 처리와 피해 구제를 위하여 아래와 같이 개인정보 보호책임자를 지정하고 있습니다.

• 개인정보 보호책임자: 담당 교사

정보주체는 개인정보 처리에 관한 문의, 열람·정정·삭제·처리정지 요구, 불만 처리, 피해 구제에 관한 사항을 담당 교사에게 요청할 수 있으며, 운영자는 지체 없이 답변하고 처리합니다.

개인정보 침해로 인한 신고나 상담이 필요한 경우 아래 기관에 문의할 수 있습니다.

• 개인정보침해신고센터 — 국번없이 118 (privacy.kisa.or.kr)
• 개인정보 분쟁조정위원회 — 1833-6972 (kopico.go.kr)

제9조 (개인정보의 제3자 제공)

운영자는 정보주체의 개인정보를 제3자에게 제공하지 않습니다. 다만 법령에 특별한 규정이 있는 경우에는 예외로 합니다.

제10조 (개인정보 처리의 위탁)

수탁자	위탁 업무
Supabase, Inc.	데이터베이스 및 회원 인증 서비스 운영
Cloudflare, Inc.	웹사이트 호스팅(Cloudflare Pages)
Google LLC	웹폰트 제공(Google Fonts) — 접속 시 IP 주소 전달
jsDelivr	자바스크립트 라이브러리 전송(CDN) — 접속 시 IP 주소 전달

제11조 (개인정보의 국외 이전)

제2조에서 수집하는 개인정보(교사 계정, 학생 이름, 활동 기록)는 국내 리전(서울, AWS ap-northeast-2)의 데이터베이스에 저장되며 국외로 이전되지 않습니다.

다만 아래와 같이 서비스 화면을 표시하는 과정에서 접속 IP 주소 등이 국외로 전달될 수 있습니다.

이전받는 자	이전 국가	이전 항목	이용 목적 및 보유 기간
Cloudflare, Inc.	미국	접속 시 IP 주소	웹사이트 호스팅 — 위탁 업무 수행 기간
Google LLC	미국	접속 시 IP 주소	웹폰트 제공 — 요청 처리에 필요한 기간
jsDelivr	미국 등	접속 시 IP 주소	라이브러리 전송 — 요청 처리에 필요한 기간

이전 시기와 방법: 서비스 접속 시점에 정보통신망을 통해 전송합니다.

데이터베이스 운영사인 Supabase, Inc.는 미국 법인이며, 데이터는 위와 같이 국내 리전에 저장되지만 서비스 운영·기술지원 과정에서 국외에서 접근이 이루어질 수 있습니다.

제12조 (개인정보처리방침의 변경)

이 개인정보처리방침은 2026년 9월 14일부터 적용됩니다. 법령·서비스 변경에 따라 내용이 추가·삭제·수정될 때에는 변경 사항을 시행 7일 전부터 이 페이지에 공지합니다.