개인정보 처리방침

편의를 위한 번역입니다. 법적 효력은 독일어판에 있습니다.

ERPM 개인정보 처리방침

기준: 2026년 7월

1. 처리자

GMI GmbH

Theodor-Rehbock-Straße 3

76131 Karlsruhe, 독일

대표이사 Sayed Hadi Mortazavi

이메일: info@gmitso.de · 웹: www.gmitso.de

전화: +49 (0)721 15659119

본 방침은 ERPM 애플리케이션(Windows, macOS, iOS, Android), 웹 포털을 포함한 ERPM 클라우드 서비스, 그리고 해당 제품 웹사이트에 적용됩니다.

2. 기본 원칙: 고객의 데이터는 고객의 것입니다

ERPM은 수주 및 재고 관리 소프트웨어입니다. 온라인 계정이 없으면 ERPM은 완전히 로컬에서 동작합니다. 모든 업무 데이터(고객, 수주, 품목, 공급업체, 재고, 회계, 증빙)는 오직 고객의 기기에만 남으며 암호화되어 저장됩니다(SQLCipher, AES-256). 이 경우 제7항에 기재된 선택적 서비스를 제외하면 당사로 전송되는 데이터는 없습니다.

온라인 계정을 만들고 클라우드 동기화를 이용할 때에만 데이터가 당사 서버로 전송됩니다.

3. 온라인 계정과 클라우드 동기화

온라인 계정을 이용하는 경우 당사는 다음을 처리합니다.

• 계정 정보: 이메일 주소, 이름, 비밀번호(해시 형태로만), 선택적으로 이중 인증 설정.
• 테넌트 및 라이선스 정보: 테넌트의 상호, 가입한 요금제, 좌석/기기 수, 사용 용량, 기간.
• 테넌트의 업무 데이터: 고객이 ERPM에 입력한 데이터(예: 고객, 수주, 청구서, 품목, 증빙) 중 동기화를 활성화한 범위.
• 기록 데이터: 로그인 시각, 세션, 보안 관련 사건 및 업무상 변경 내역(감사 로그) — 추적 가능성과 부정 사용 방지를 위한 것입니다.

목적: 서비스 제공, 기기 간 동기화, 증빙 보관, 사용자 및 권한 관리, 라이선스 관리와 정산.

법적 근거: GDPR 제6조 제1항 (b)호(계약의 이행), 보안 기록에 대해서는 GDPR 제6조 제1항 (f)호(안전한 운영에 대한 정당한 이익).

4. 역할 분담과 수탁 처리

당사 이용자의 계정 정보에 대해서는 당사가 GDPR상의 처리자입니다. ERPM에 입력된 업무 데이터(예: 고객의 거래처 및 공급업체 정보)에 대해서는 당사의 고객인 귀하가 처리자이며, 당사는 해당 데이터를 오직 귀하의 지시에 따라 수탁처리자로서 처리합니다(GDPR 제28조). 데이터 처리 위탁 계약서는 info@gmitso.de 로 요청하시면 제공합니다.

5. 호스팅

ERPM 서버는 Contabo GmbH(Aschauer Straße 32a, 81549 뮌헨, 독일)의 데이터센터에서 운영됩니다. 서버 소재지는 독일이며, 호스팅으로 인한 제3국 이전은 없습니다. 해당 제공업체와는 데이터 처리 위탁 계약이 체결되어 있습니다.

6. 보안

• 전송은 오직 TLS 암호화(HTTPS)로 이루어집니다.
• 로컬 데이터베이스는 SQLCipher(AES-256)로 암호화됩니다.
• 서버에서는 민감한 항목 내용과 증빙 파일이 추가로 암호화되어 저장됩니다(AES-256-GCM).
• 엄격한 테넌트 분리. 접근은 역할 기반이며(고객 및 공급업체의 제한된 접근 포함) 기록됩니다.
• 비밀번호는 솔트가 적용된 해시로만 저장됩니다. 반복 실패 시 계정 잠금, 이중 인증(TOTP) 사용 가능.
• 서버는 매일 백업됩니다. 로컬 백업은 언제든 직접 만들 수 있습니다.

7. 수령인과 제3자 서비스

당사는 계약 이행에 필요한 범위에서만 데이터를 전달합니다. 데이터 판매는 하지 않습니다.

• 결제 처리(Stripe): 구독 가입이나 라이선스 구매 시 결제는 Stripe Payments Europe, Ltd.(아일랜드) 및 Stripe, Inc.(미국, EU-US Data Privacy Framework 인증)를 통해 이루어집니다. 결제 정보(예: 카드 정보)는 Stripe에서 직접 수집되며 당사 서버에 도달하지 않습니다. 당사는 Stripe로부터 결제 상태와 구독 기간을 받습니다. 법적 근거: GDPR 제6조 제1항 (b)호.
• 이메일 발송: 시스템 메일(예: 비밀번호 재설정, 초대)과 애플리케이션에서의 증빙 발송은 설정된 SMTP 제공업체를 통해 이루어집니다. 테넌트 자체 SMTP를 사용하는 경우 해당 제공업체는 귀하의 수탁업체입니다.
• 푸시 알림(선택): 활성화한 경우 푸시 알림은 Firebase Cloud Messaging(Google Ireland Ltd. / Google LLC, 미국, DPF 인증)을 통해 전달됩니다. 이를 위해 가명화된 기기 토큰이 저장됩니다.
• 환율: 외화 기능을 사용하면 애플리케이션이 api.frankfurter.app 을 통해 ECB 기준환율을 조회합니다. 통화 코드만 전송되며 개인정보는 전송되지 않습니다.
• 앱 스토어: Apple App Store, Google Play 또는 Microsoft Store에서 애플리케이션을 받는 경우 각 스토어 운영자가 자신의 책임과 자신의 개인정보 처리방침에 따라 데이터를 처리합니다.

8. 기기 식별과 라이선스

기기 수 제한을 적용하기 위해 애플리케이션은 가명화된 기기 ID를 생성하고 그로부터 기기 코드를 도출합니다. 온라인 계정을 이용하는 경우 기기 ID, 기기 이름, 마지막 사용 시각이 테넌트에 연결되어 저장됩니다. 등록된 기기는 애플리케이션과 포털에서 확인하고 삭제할 수 있습니다. 기기에 결속된 오프라인 라이선스에서는 기기 코드가 서명된 라이선스 파일의 일부가 됩니다. 법적 근거: GDPR 제6조 제1항 (b)호 및 (f)호.

9. 진단 및 오류 보고

오류 및 장애 보고(기술적 오류 메시지, 애플리케이션 버전, 운영체제, 오류 기록 발췌)와 "문제 신고"를 통한 의견은 진단 기능이 활성화된 경우에만 전송됩니다. 설정(진단 및 의견)에서 언제든 끌 수 있습니다. 법적 근거: GDPR 제6조 제1항 (a)호(동의). 목적은 오직 오류 수정과 제품 개선입니다.

10. 웹 포털과 웹사이트

포털과 웹사이트는 분석, 추적, 광고 서비스를 사용하지 않으며 추적 쿠키도 사용하지 않습니다. 브라우저에는 기술적으로 필요한 것(세션 토큰, 언어 선택, 표시 설정)만 로컬에 저장됩니다. 접속 시 서버는 통상적인 연결 데이터(IP 주소, 시각, 요청된 자원)를 운영 안전을 위해 단기 서버 기록에 처리합니다(GDPR 제6조 제1항 (f)호).

11. 보관 기간

데이터는 고객의 계정 또는 테넌트가 존재하는 동안 보관됩니다. 테넌트를 삭제하면 관련된 모든 서버 데이터가 제거됩니다. 백업은 자동으로 순환되며 짧은 기간 안에 덮어쓰입니다. 청구 및 회계 데이터에는 법정 보존 의무(§ 147 AO, § 257 HGB — 최대 10년)가 적용될 수 있으며, 그 준수는 자신의 업무 데이터에 대한 처리자인 귀하의 책임입니다. 기기의 로컬 데이터는 직접 삭제하십시오.

12. 귀하의 권리

귀하는 열람권(GDPR 제15조), 정정권(제16조), 삭제권(제17조), 처리 제한권(제18조), 데이터 이동권(제20조), 반대권(제21조)을 가집니다. 제공한 동의는 장래에 대하여 언제든 철회할 수 있습니다. 테넌트 데이터의 완전한 내보내기는 유효한 라이선스가 없어도 애플리케이션이나 포털에서 언제든 가능합니다.

또한 귀하는 개인정보 감독기관에 민원을 제기할 권리가 있습니다. 당사의 관할 기관은 Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, 독일입니다.

13. 자동화된 의사결정 없음

GDPR 제22조상의 프로파일링을 포함한 자동화된 의사결정은 이루어지지 않습니다.

14. 변경

기능 범위나 법적 상황이 바뀌면 본 방침을 조정합니다. 현행 판은 애플리케이션(법적 고지), 포털, 제품 웹사이트에서 확인할 수 있습니다.

15. 연락처

개인정보 보호 문의: GMI GmbH, Theodor-Rehbock-Straße 3, 76131 Karlsruhe · info@gmitso.de