Chính sách quyền riêng tư

1. 수집하는 정보

• 필수 계정 정보: 이메일·비밀번호(암호화), 로그인 제공자, 서비스 이용 식별자. 가족 공유·동기화 사용 시 서비스 제공과 본인 확인을 위해 처리합니다.
• 아기 정보: 닉네임, 생년월일, 성별. 보호자가 자녀의 육아 기록을 관리하기 위해 직접 입력합니다.
• 육아 기록: 수유·수면·기저귀·이유식·일기·메모 등 사용자가 직접 입력한 기록
• 건강 민감정보: 체온·투약·예방접종·알레르기·키·몸무게·머리둘레 등 건강에 관한 정보. 개인정보보호법 제23조에 따라 일반 개인정보 수집·이용 동의와 구분해 별도로 동의를 받습니다.
• 사진: 사용자가 직접 촬영하거나 선택해 업로드한 사진
• 선택 음성: 사용자가 음성 받아쓰기를 직접 시작한 경우의 음성 파일과 전사에 필요한 최소 메타데이터
• 가족·일정·문의 콘텐츠: 가족 초대·역할·활동, 캘린더 일정, 사진 댓글, 고객지원 문의와 답변 등 사용자가 서비스 안에서 생성한 콘텐츠
• 결제·구독 기록: 구독 등급, 구매 상태, 주문·영수증 식별자, 청구·해지·환불 이력, 결제 직전 가격·자동갱신·청약철회 제한 고지 확인 기록. 결제수단 원문은 하람로그 서버에 저장하지 않습니다.
• 서비스 진단 정보: 앱 버전, OS 버전, 기기 모델, 오류 메시지, 개인정보를 제거한 스택 정보, 네트워크 요청의 IP·User-Agent. 보안, 오류 진단, 부정이용 방지에 사용합니다.
• 제휴 상품 클릭 기록: 사용자가 쿠팡 제휴 상품 버튼을 누른 경우 가족·아기·사용자 식별자, 상품 식별자, 고정 채널/subId, 클릭 시각을 하람로그 서버에 기록해 제휴 성과 측정과 정산 대조에 사용합니다.
• 광고 노출·성과 기록: 무료 이용 중 광고가 요청·노출되면 지면, 광고 형식, 광고 네트워크, 플랫폼, 광고 단위 식별자, 이벤트 종류(요청·응답·노출·보상 등), 노출당 퍼블리셔 수익 추정치, 사용자·가족 식별자, 시각을 하람로그 서버에 기록합니다. 지면별 성과 확인과 광고 수익 대조에만 사용하며, 이 기록을 읽어 광고 요청을 바꾸는 경로는 존재하지 않습니다.
• 선택 제휴 개인화: 가족 대표자가 별도 스위치를 켠 경우에만 아기의 월령·체중·소모품 기록을 하람로그 내부에서 맞춤 제휴 상품 추천에 이용합니다. 아기·계정 식별정보는 쿠팡에 보내지 않으며, 스위치를 끄면 이후 개인화 추천과 제휴 클릭 기록을 중단합니다.
• 휴대폰 번호 (E.164): 본인 확인 및 가족 계정 자동 통합 목적으로 회원 가입·재인증 시 1회 수집합니다. 발송된 OTP 자체는 저장하지 않으며 (Twilio Verify 측 검증 직후 폐기), 번호는 +821012345678 형식으로 보안 서버에 저장됩니다. 정보통신망법 §50 OTP 발송은 광고가 아니므로 야간 발송 제한이 적용되지 않습니다.
• 동의 기록: 약관·개인정보·민감정보·AI 국외이전·마케팅 동의/철회 여부, 동의 버전, 시각, 수집 경로, IP, User-Agent. 동의 입증과 분쟁 대응을 위해 append-only 방식으로 보관합니다.

2. 정보의 저장

• 로컬 저장: 모든 기록은 기본적으로 사용자의 기기 내부에 저장됩니다.
• 하람로그 서버 동기화: 가족 공유 기능을 사용하면 기록과 사진이 암호화 전송 구간을 거쳐 Supabase가 운영하는 하람로그 전용 서버(서울 리전, 대한민국)에 저장됩니다. 이 서버에 저장된 육아 기록·사진·아기 정보는 광고 요청에 포함되지 않고 광고 타겟팅에도 사용되지 않습니다. 방문자·행동 분석 SDK, 앱 간 행동 추적·귀속 도구는 사용하지 않습니다 (광고는 §5·§8 참조).

3. 정보의 공유

• 사용자의 명시적 동의 없이 어떠한 개인정보도 제3자에게 판매·제공하지 않습니다 (서비스 제공을 위한 처리위탁은 §6 제외).
• 가족 공유 기능을 사용할 때만, 같은 가족 그룹의 구성원에게 데이터가 공유됩니다.
• 사용자가 직접 공유 링크를 만든 경우에만 링크를 받은 사람에게 선택한 사진·댓글이 비밀번호·만료·취소 설정에 따라 제공됩니다.

4. 정보의 보존과 삭제

• 활성 사용 중: 사용자가 직접 삭제하기 전까지 무기한 보존됩니다 (육아 기록 특성상 장기 보관 필요).
• 장기 미사용: 1년 이상 로그인이 없으면 이메일 알림 후 휴면 상태로 전환됩니다.
• 사용자 삭제 요청: 앱 [설정 → 계정 → 데이터 삭제]에서 영구 삭제 요청 시 30일 내 처리되고 처리 결과는 이메일로 안내됩니다.
• 앱 삭제: 앱을 삭제하면 기기 내 로컬 데이터는 즉시 삭제되며, 서버 동기화 데이터는 별도 삭제 요청이 필요합니다.
• 동의 기록: 동의·철회 이력은 약관 및 개인정보 처리 적법성 입증, 분쟁 대응 목적상 회원 탈퇴 후에도 관련 법령상 필요한 기간 동안 보관 후 파기합니다.
• 결제·고지 확인 기록: 계약·대금결제와 결제 직전 고지 확인 기록은 전자상거래법상 거래·분쟁 증빙을 위해 생성일부터 5년간 분리 보관한 뒤 정리합니다.
• 관리자 감사 로그: 관리자 작업 기록은 접근통제·침해사고 대응·분쟁 대응 목적상 2~3년 보관 후 자동 파기합니다. 로그에 사용자 식별자가 포함될 수 있으므로 접근 권한을 제한합니다.
• 휴대폰 번호: 회원 탈퇴 시 즉시 삭제됩니다. 본인 인증·계정 통합 기록(user_merge_log)에 포함된 번호는 정보통신망법·개인정보보호법상 분쟁 조정 대응 목적으로 90일간 보관 후 pg_cron 으로 자동 파기됩니다.

5. 개인정보 국외 이전

• 데이터 저장 위치 (국내): 데이터베이스(PostgreSQL)와 사진 저장소(Storage)는 Supabase Inc.(미국 사업자)가 운영하는 서울 리전(ap-northeast-2, 대한민국)에 저장됩니다. 즉, 아기 정보·육아 기록·사진·계정 정보·휴대폰 번호 등 핵심 데이터는 국내(서울)에 보관되며 국외로 이전되지 않습니다.
• Anthropic, PBC (미국, [email protected]): AI 리듬·일기·사진 분석을 요청하거나 자동 분석 주기가 도래한 때, 분석에 필요한 최소한의 육아 기록·일기·사진이 HTTPS로 미국 Anthropic API 서버에 이전됩니다. 상업용 API 입력·출력은 모델 학습에 사용되지 않으며 기본 최대 30일 안에 삭제됩니다. 법령 준수·정책 위반 조사 등 예외가 적용될 수 있습니다.
• OpenAI, L.L.C. (미국, [email protected]): 음성 메모 받아쓰기를 사용할 때 음성 파일과 필요한 메타데이터가 HTTPS로 미국 OpenAI STT API 서버에 이전됩니다. API 입력·출력은 기본적으로 모델 학습에 사용되지 않으며 audio/transcriptions는 남용 모니터링 및 애플리케이션 상태 보관이 없습니다. 법령·보안상 예외가 적용될 수 있습니다.
• Twilio Inc. (미국, [email protected]): 휴대폰 본인 확인을 요청할 때 휴대폰 번호와 OTP 발송·검증에 필요한 통신 메타데이터가 Twilio Verify 서비스로 이전됩니다. 목적은 본인 확인과 가족 계정 자동 통합이며, OTP 발송·검증 직후 위탁 처리는 종료되고 Twilio 자체 보안 로그는 동사 정책에 따라 최대 90일 보관될 수 있습니다.
• Google LLC (미국, 웹폰트): 웹페이지에서 손글씨 글꼴 파일을 불러올 때 브라우저의 일반 요청 메타데이터(IP·User-Agent 등)가 Google Fonts CDN으로 전송될 수 있습니다. 하람로그는 이 요청에 계정·가족·아기 식별자나 육아 기록을 의도적으로 포함하지 않습니다.
• Google LLC (미국, AdMob 광고): 무료 이용 중 앱이 광고를 요청할 때 기기의 IP 주소, 기기·OS·앱 정보, 광고 단위 정보, Android 광고 ID(AAID)가 Google 광고 서버로 전송됩니다. Google은 이를 광고 게재·빈도 제한·부정 노출 방지·집계 리포팅에 사용할 수 있고 IP로 대략적인 위치를 추정할 수 있으며, 자체 개인정보처리방침(policies.google.com/privacy)에 따라서도 처리합니다. 또한 Google Mobile Ads SDK는 광고 게재·분석·사기 방지를 위해 IP 주소, 앱 상호작용(앱 실행·탭 등), 진단 정보(성능 지표), Android 광고 ID 및 App Set ID를 자동으로 수집하여 Google에 전송합니다. 이는 Google의 SDK 고지(https://developers.google.com/admob/android/privacy/play-data-disclosure)에 따른 것이며, 광고 ID는 기기 설정에서 재설정하거나 개인 맞춤 광고를 끌 수 있습니다. 하람로그는 모든 요청을 비개인화(NPA)로 고정하고 최대 광고 콘텐츠 등급을 G로 제한하며, 계정·가족·아기 식별자나 육아·건강 기록을 광고 요청에 넣지 않습니다. 사용자가 직접 보상형 광고를 시청한 경우에 한해 보상 지급 검증(SSV)을 위해 계정 식별자(UID)가 함께 전달됩니다. 광고 SDK는 첫 광고 요청 시점에만 초기화되므로 광고가 표시되지 않는 이용자에게는 이 전송이 발생하지 않습니다.
• Sentry, Inc. (미국 또는 독일 리전, 조건부 오류 진단): 운영 환경에 DSN을 설정한 경우에만 개인정보 제거 후 오류 유형·메시지·스택·앱/OS/기기 정보가 설정된 Sentry 프로젝트 리전으로 전송될 수 있습니다. 화면 재생, 성능 추적, 자동 breadcrumb, 사용자·요청 정보, 스크린샷, 화면 구조 수집은 비활성화합니다. DSN이 없으면 전송하지 않습니다.
• 거부권 및 효과: AI 분석·음성 받아쓰기를 사용하지 않으면 해당 국외 이전은 발생하지 않습니다. 휴대폰 본인 확인을 거부하면 전화번호 기반 가족 자동 통합·재인증 기능을 사용할 수 없습니다. 가족 공유·동기화를 사용하지 않고 로컬 전용으로 이용하면 기록은 기기 내에만 저장됩니다.

6. 개인정보 처리 위탁업체 (개인정보보호법 §26)

회사는 서비스 제공을 위해 다음 업체에 개인정보 처리 업무를 위탁하고 있으며, 위탁 계약 시 안전성 확보조치·재위탁 금지·관리·감독 의무를 명시합니다.

• Supabase Inc. (미국): 위탁 업무 — PostgreSQL DB·Auth·Storage·Edge Functions. 위탁 기간 — 회원 탈퇴 또는 데이터 삭제 요청 시까지.
• Cloudflare, Inc. (미국·전세계 CDN): 위탁 업무 — 마케팅·웹앱 정적 호스팅(Pages)·CDN 캐시·DDoS 방어. 위탁 기간 — 동일.
• Proton Technologies AG (스위스): 위탁 업무 — 고객 문의 이메일 수신·보관([email protected]). 위탁 기간 — 동일.
• Google LLC (미국): 위탁 업무 — 선택형 Google 소셜 로그인(OAuth), 웹페이지용 Google Fonts 파일 전송. 위탁 기간 — 로그인 사용 시 또는 웹폰트 요청 처리 시.
• Google LLC (미국, AdMob 광고): 위탁 업무 — 무료 이용자 대상 광고 게재와 광고 부정 노출 방지·성과 측정. 위탁 기간 — 광고가 요청·노출되는 동안. Google은 광고 요청 데이터를 자체 방침에 따라서도 처리합니다(§5 참조). Pro 구독은 광고를 제거하므로 이 전송이 발생하지 않습니다.
• Kakao Corp. (한국, 선택): 위탁 업무 — Kakao 소셜 로그인(OAuth). 위탁 기간 — 회원이 Kakao 로그인을 사용하는 경우에 한해.
• Anthropic, PBC (미국, AI 분석): 위탁 업무 — Claude API 기반 AI 리듬·일기·사진 분석 처리. 위탁 기간 — 상업용 API 입력·출력은 기본 최대 30일 안에 삭제(법령·보안 정책상 예외 가능).
• OpenAI, L.L.C. (미국, 음성 받아쓰기): 위탁 업무 — 음성 메모를 텍스트로 전사하는 STT 처리. 위탁 기간 — audio/transcriptions는 남용 모니터링 및 애플리케이션 상태 보관 없음(법령·보안상 예외 가능).
• Twilio Inc. (미국, SMS 본인 확인): 위탁 업무 — 휴대폰 OTP 1회용 비밀번호 SMS 발송 (Twilio Verify Service). 한국 통신 3사로 KISA 등록 발신번호 자동 사용 + [TWVerify] prefix 자동 부착. 위탁 기간 — OTP 발송·검증 직후 종료. Twilio 측 자체 로그는 동사 정책에 따라 최대 90일 보관 후 자동 파기.
• Sentry, Inc. (미국 또는 독일 리전, 조건부): 위탁 업무 — DSN이 설정된 환경의 개인정보 제거 오류 진단. 위탁 기간 — 해당 Sentry 프로젝트의 운영 보존 설정 기간. DSN 미설정 환경에서는 전송하지 않습니다.

7. 만 14세 미만 이용자 보호

• 본 앱은 보호자가 자녀(영유아)의 성장 기록을 입력·관리하는 형태로 사용됩니다. 입력되는 아기 정보는 본인이 아닌 보호자가 제공하는 정보입니다.
• 만 14세 미만 아동의 직접 회원가입은 지원하지 않습니다. 아동 개인정보는 법정대리인인 보호자가 서비스 이용자로서 동의하고 입력·관리하는 경우에만 처리합니다.
• 보호자가 아동의 권리(열람·정정·삭제·동의 철회)를 행사할 수 있습니다.
• 광고는 서비스 이용자인 보호자에게 표시되며, 아동을 대상으로 하지 않습니다. 아기 정보와 육아·건강 기록은 광고 타겟팅이나 광고 프로필 구성에 사용되지 않고, 앱은 아동 대상(child-directed) 광고 플래그를 어떤 값으로도 설정하지 않습니다 (§8 참조).

8. 제3자 서비스

이 앱은 무료 이용 시 Google AdMob 광고를 표시합니다. 그 밖의 방문자·행동 분석 SDK, 앱 간 행동 추적·귀속(attribution) 도구는 사용하지 않습니다.

• Google AdMob (광고): 광고 네트워크는 AdMob 한 곳이며 서드파티 미디에이션이나 오퍼월은 붙이지 않습니다. 지면은 두 곳입니다 — 홈 화면을 끝까지 스크롤했을 때 나타나는 하단 배너, 그리고 이용자가 직접 「광고 보고 열기」를 눌렀을 때만 재생되는 보상형 광고입니다. 모든 요청은 비개인화(NPA) 고정이라 관심사·행태 프로필로 광고를 고르지 않으며, 최대 광고 콘텐츠 등급은 G입니다. Google에 전달되는 항목은 §5에 적었습니다. Pro 구독 시 광고가 표시되지 않습니다.
• 광고 노출 기록: 지면·형식·이벤트 종류·광고 단위·수익 추정치와 사용자·가족 식별자는 하람로그 서버(서울 리전)에만 기록되어 지면별 성과 확인과 수익 대조에 쓰입니다. 이 기록은 Google이나 다른 제3자에게 제공되지 않으며, 이를 읽어 광고 요청을 바꾸는 코드 경로도 없습니다.
• 쿠팡 파트너스: 제휴임이 명확히 표시된 상품 링크를 사용자가 직접 누르면 쿠팡 사이트가 열리고, 구매가 발생하면 하람로그가 수수료를 받을 수 있습니다. 링크에는 정적인 지면 식별자만 포함되며 하람로그 계정·가족·아기 식별자는 쿠팡에 전송하지 않습니다. 일반 웹 요청 과정에서 쿠팡이 IP·User-Agent·쿠키 등을 자체 정책에 따라 처리할 수 있습니다.
• 하람로그 내부 클릭 기록: 클릭 순간의 상품·가족·아기·사용자 식별자, 지면, 시각은 하람로그 서버에 별도로 기록되어 제휴 성과 측정과 정산 대조에 사용됩니다. 이 기록은 제3자 광고 프로필이나 앱 간 행동 추적에 사용하지 않습니다.
• 개인화 선택권: 맞춤 제휴 추천은 기본 미동의이며 가족 대표자의 별도 동의 후에만 시작됩니다. 동의를 거부하거나 철회해도 소모품 기록과 소진 예측은 그대로 이용할 수 있습니다.
• 오류 진단: Sentry는 광고나 방문자 행태분석이 아닌 장애 진단에만 사용합니다. DSN이 있는 환경에서도 화면 재생·성능 추적·자동 breadcrumb·사용자·요청·스크린샷·화면 구조 수집을 끄고, 메시지와 스택의 개인정보·자격증명을 제거한 뒤 전송합니다.
• 웹폰트: 웹에서 Google Fonts 파일을 요청할 수 있으며 Google은 일반 네트워크 메타데이터를 자체 정책에 따라 처리할 수 있습니다. 이 요청에는 하람로그 계정·가족·아기 식별자나 육아 기록을 넣지 않습니다.

9. 개인정보 보호책임자 및 문의

• 성명/부서: 하람로그 운영자 / 개인정보 보호업무 담당
• 직책: 개인정보 보호책임자 지정 예정
• 이메일: [email protected]
• 역할: 개인정보 처리에 관한 사용자 문의·민원·열람·정정·삭제 요청 응대 (영업일 기준 7일 내 회신).

10. 권리 행사 및 분쟁 조정

• 사용자의 권리: 언제든 본인·자녀의 정보를 열람·정정·삭제·처리 정지 요청할 수 있습니다 (개인정보보호법 §35~37).
• 분쟁 조정: 개인정보 관련 분쟁은 개인정보분쟁조정위원회(privacy.go.kr) 또는 한국인터넷진흥원 개인정보침해신고센터(privacy.kisa.or.kr / 국번 없이 118) 에서 조정·신고할 수 있습니다.

11. 자체 수집 성과 지표 (익명)

마케팅 페이지 방문과 캠페인 성과를 파악하기 위해 서드파티 분석 SDK 없이 하람로그 서버에만 다음 정보를 수집합니다.

• 수집 항목: 방문한 페이지 유형(홈·요금제·FAQ 등), 언어(로케일), 기기 종류(모바일·데스크톱·태블릿), 유입 경로(referrer), UTM 파라미터(utm_source/medium/campaign/content/term), 캠페인·추적 링크 코드.
• 사용자 식별자 미수집: 이 지표에는 계정·기기 식별자, 쿠키 기반 사용자 프로필, 아동(아기) 정보가 포함되지 않습니다. 회원가입 이후에만 가입 전환 1건에 한해 사용자 식별자가 연결되며, 그 목적은 어떤 캠페인이 가입으로 이어졌는지 집계하는 것뿐입니다.
• 보관 기간: 원본 이벤트는 26개월간 보관 후 삭제되며, 그 이후에는 캠페인·채널 단위 집계 수치만 남습니다.

12. 쿠키 등 자동수집장치

웹사이트는 다음의 자동수집장치를 사용합니다. 모두 하람로그 자체 기능(언어·테마 유지, 캠페인 성과 집계)을 위한 것이며 서드파티 광고·행태분석 목적이 아닙니다.

• NEXT_LOCALE 쿠키: 선택한 언어를 기억하기 위한 필수 쿠키입니다. 목적 — 언어 설정 유지. 보유기간 — 브라우저 설정에 따름.
• hl_acq (localStorage): 첫 방문 시의 유입 경로(UTM·추적 링크 코드·유입 페이지·referrer)를 기록해 가입 전환 시 캠페인 성과를 집계하는 데 사용합니다. 목적 — 캠페인 성과 측정. 보유기간 — 30일(초과 시 자동 만료).
• 테마·선택 아기 ID (기기 내 저장): 다크·라이트 테마 선택값과 마지막으로 보던 아기 프로필 ID를 기기 내부에만 저장합니다. 서버로 전송되지 않습니다.
• 거부 방법과 효과: 브라우저 설정에서 쿠키·사이트 데이터를 차단·삭제할 수 있습니다. NEXT_LOCALE을 거부하면 매 방문 시 기본 언어로 표시되고, hl_acq를 거부해도 서비스 이용에는 영향이 없으며 캠페인 성과 집계에서만 제외됩니다.

13. 연락처

개인정보 관련 문의는 고객센터(/support) 또는 이메일 [email protected] 로 주시면 영업일 기준 7일 내 회신드립니다.

1. Information We Collect

• Required account information: Email, encrypted password, sign-in provider, and service identifiers. Processed to provide the Service, family sharing, sync, and identity verification.
• Baby information: Nickname, date of birth, gender — used to provide app functionality.
• Care records: Feeding, sleep, diapers, solid food, journal entries, notes, and other records that you manually enter.
• Health sensitive information: Temperature, medication, vaccinations, allergies, height, weight, head circumference, and other health-related information. We obtain separate consent for this category under Korean PIPA Article 23.
• Photos: Photos that you capture or select inside the app.
• Optional voice input: Voice files and the minimum metadata needed for transcription, only when you explicitly start voice dictation.
• Family, calendar, and support content: Family invitations, roles and activity, calendar events, photo comments, support inquiries, and replies created inside the Service.
• Purchase and subscription records: Subscription tier, purchase state, order or receipt identifiers, billing, cancellation and refund history, and acknowledgement of the pre-checkout price, auto-renewal, and withdrawal-limitation notice. HaramLog does not store raw payment-card details.
• Service diagnostics: App version, OS version, device model, error message, scrubbed stack information, and request IP/User-Agent, used for security, troubleshooting, and abuse prevention.
• Affiliate product click records: When you tap a Coupang affiliate product button, HaramLog records family, baby, user and product identifiers, a fixed channel/subId, and the click time for affiliate performance measurement and settlement reconciliation.
• Ad delivery and performance records: When an ad is requested or shown on the free tier, HaramLog records the placement, ad format, ad network, platform, ad unit identifier, event kind (request, response, impression, reward, and so on), estimated publisher revenue per impression, user and family identifiers, and the timestamp. It is used only to review per-placement performance and reconcile ad revenue; no code path reads it back to change an ad request.
• Optional affiliate personalization: Only after the family owner enables a separate switch, HaramLog internally uses the baby’s age, weight, and supply records to personalize affiliate product recommendations. Baby and account identifiers are not sent to Coupang; disabling the switch stops future personalized recommendations and affiliate click records.
• Mobile phone number (E.164): Collected once during sign-up or re-verification for identity confirmation and automatic family-account linking. The OTP itself is not stored (discarded immediately after Twilio Verify validation); the number is stored on our secure server in +82... format. Korean Network Act §50 exempts OTP delivery from quiet-hours restrictions (it is not advertising).
• Consent records: Consent/withdrawal status for Terms, privacy, sensitive health data, AI international transfer, and marketing, plus policy version, timestamp, source, IP, and User-Agent. Stored append-only for proof of consent and dispute handling.

2. Data Storage

• Local storage: All records are stored locally on your device by default.
• HaramLog secure sync: When you enable family sharing, your records and photos are transmitted over an encrypted channel and stored in HaramLog's dedicated environment operated by Supabase in the Seoul region (Republic of Korea). Records, photos, and baby profile data stored there are never attached to an ad request or used for ad targeting. We use no visitor or behavioral analytics SDKs and no cross-app behavioral tracking or attribution tools (advertising is described in §5 and §8).

3. Data Sharing

• We never sell or share any personal information with third parties without your explicit consent (processing delegation to provide the service, listed in §6, is excluded).
• With Family Sharing enabled, data is shared only with members of the same family group.
• Only when you create a share link, selected photos and comments are made available to recipients under the password, expiry, and revocation settings you choose.

4. Data Retention & Deletion

• Active accounts: Records are retained indefinitely until you delete them (long-term storage is intrinsic to childcare records).
• Inactive accounts: After 12 months without sign-in, you receive an email notice before the account transitions to dormant state.
• User-initiated deletion: Permanent deletion can be requested from Settings → Account → Delete data. Processing completes within 30 days and the result is confirmed by email.
• App uninstall: Uninstalling removes local data immediately; server-synced data requires a separate deletion request.
• Consent records: Consent and withdrawal history is retained after account closure for the period necessary to prove lawful processing and handle disputes, then deleted.
• Billing and disclosure records: Contract, payment, and pre-checkout disclosure acknowledgement records are segregated for 5 years from creation as transaction and dispute evidence under Korean e-commerce law, then removed.
• Admin audit logs: Administrator action logs are retained 2–3 years for access control, incident response, and dispute handling, then automatically purged. Logs may contain user identifiers and are access-restricted.
• Mobile phone number: Deleted immediately on account closure. Numbers stored in the user_merge_log (account-linking audit trail) are retained for 90 days for dispute-resolution purposes under Korean Network Act / PIPA, then automatically purged via pg_cron.

5. International Data Transfer

• Data storage location (in Korea): The database (PostgreSQL) and photo storage (Storage) are operated by Supabase Inc. (a US company) and stored in the Seoul region (ap-northeast-2, Republic of Korea). Core data — baby profile, care records, photos, account info, and mobile phone number — is therefore stored domestically in Seoul and is not transferred abroad.
• Anthropic, PBC (USA, [email protected]): When AI rhythm/journal/photo analysis is requested or an automatic cycle runs, the minimum necessary records, journal text, and photos are transferred over HTTPS to Anthropic API servers in the United States. Commercial API inputs and outputs are not used for model training and are deleted within 30 days by default, subject to legal and policy-enforcement exceptions.
• OpenAI, L.L.C. (USA, [email protected]): When voice transcription is used, the voice file and required metadata are transferred over HTTPS to OpenAI STT API servers in the United States. API inputs and outputs are not used for training by default, and audio/transcriptions has no abuse-monitoring or application-state retention, subject to legal and security exceptions.
• Twilio Inc. (USA, [email protected]): When phone identity verification is requested, the phone number and OTP delivery/verification metadata are transferred to Twilio Verify. Purpose — identity verification and automatic family-account linking. Processing ends after OTP send/verification; Twilio security logs may be retained for up to 90 days under Twilio policy.
• Google LLC (USA, web fonts): When a handwriting font file is loaded on a web page, ordinary browser request metadata such as IP address and User-Agent may be sent to the Google Fonts CDN. HaramLog does not intentionally include account, family, baby identifiers, or care records in this request.
• Google LLC (USA, AdMob advertising): When the app requests an ad on the free tier, the device IP address, device/OS/app information, ad unit information, and the Android advertising ID (AAID) are sent to Google ad servers. Google may use them to serve ads, cap frequency, prevent invalid traffic, and produce aggregate reporting, may infer approximate location from the IP address, and also processes them under its own privacy policy (policies.google.com/privacy). In addition, the Google Mobile Ads SDK automatically collects and sends to Google the IP address, app interactions (such as app launches and taps), diagnostic information (performance metrics), the Android Advertising ID, and the App Set ID for ad serving, analytics, and fraud prevention, as described in Google's SDK disclosure (https://developers.google.com/admob/android/privacy/play-data-disclosure). You can reset the advertising ID or opt out of personalized ads in your device settings. HaramLog forces every request non-personalized (NPA), caps the maximum ad content rating at G, and never puts account, family, or baby identifiers or care/health records into an ad request. Only when you choose to watch a rewarded ad is your account identifier (UID) also passed, so the reward can be verified server-side (SSV). The ads SDK initializes only at the first ad request, so no such transfer happens for users who are never shown an ad.
• Sentry, Inc. (USA or Germany region, conditional error diagnostics): Only when a DSN is configured may scrubbed error type, message, stack, app/OS/device information be transferred to the configured Sentry project region. Session replay, performance tracing, automatic breadcrumbs, user/request data, screenshots, and view hierarchy collection are disabled. No DSN means no transfer.
• Right to refuse and effect: No AI/STT transfer occurs if you do not use AI analysis or voice transcription. Refusing phone verification disables phone-number based family auto-merge and re-verification. Local-only use keeps records on device only.

6. Data-Processing Vendors (PIPA Article 26)

We delegate processing tasks to the following vendors. Each contract requires safeguards, no re-delegation, and supervision.

• Supabase Inc. (USA): Tasks — PostgreSQL DB, Auth, Storage, Edge Functions. Duration — until account closure or data-deletion request.
• Cloudflare, Inc. (USA / global CDN): Tasks — static hosting of marketing and web app (Pages), CDN, DDoS protection. Duration — same as above.
• Proton Technologies AG (Switzerland): Tasks — inbound support email receipt and storage ([email protected]). Duration — same as above.
• Google LLC (USA): Tasks — optional Google social sign-in (OAuth) and delivery of Google Fonts files on web pages. Duration — while sign-in or a web-font request is processed.
• Google LLC (USA, AdMob advertising): Tasks — serving ads to free-tier users, invalid-traffic prevention, and delivery measurement. Duration — while ads are requested and shown. Google also processes ad-request data under its own policy (see §5). A Pro subscription removes ads, so no such transfer occurs.
• Kakao Corp. (Korea, optional): Tasks — Kakao social sign-in (OAuth). Duration — only while the member uses Kakao sign-in.
• Anthropic, PBC (USA, AI analysis): Tasks — Claude API analysis for rhythm/journal/photo curation. Duration — commercial API inputs and outputs are deleted within 30 days by default, subject to legal and policy-enforcement exceptions.
• OpenAI, L.L.C. (USA, voice transcription): Tasks — Speech-to-Text transcription of voice memos. Duration — audio/transcriptions has no abuse-monitoring or application-state retention, subject to legal and security exceptions.
• Twilio Inc. (USA, SMS identity verification): Tasks — One-time password SMS delivery via Twilio Verify Service. Uses KISA-registered sender numbers for Korean carriers automatically, with the [TWVerify] prefix attached. Duration — ends immediately after each OTP send/verify cycle. Twilio's own server logs are retained for up to 90 days per their policy and then automatically purged.
• Sentry, Inc. (USA or Germany region, conditional): Tasks — scrubbed error diagnostics only in environments with a configured DSN. Duration — the retention period configured for that Sentry project. No data is sent when a DSN is not configured.

7. Children Under 14

• This app is designed for caregivers to record their child's growth. Baby information is provided by the parent / guardian, not by the child.
• Children under 14 may not register their own accounts. Child personal information is processed only when the legal guardian uses the Service and manages the information on the child's behalf.
• Guardians may exercise the child's rights (access, correction, deletion, withdrawal of consent).
• Ads are shown to the guardian who uses the Service and are not directed to children. Baby profile data and care or health records are never used for ad targeting or to build an advertising profile, and the app never sets a child-directed advertising flag to any value (see §8).

8. Third-Party Services

This app shows Google AdMob ads on the free tier. Apart from that, it uses no visitor or behavioral analytics SDKs and no cross-app behavioral tracking or attribution tools.

• Google AdMob (advertising): AdMob is the only ad network; no third-party mediation and no offerwall are integrated. There are two placements — a bottom banner that appears when you scroll the home screen to the end, and a rewarded ad that plays only when you tap to watch it. Every request is forced non-personalized, so ads are never selected from an interest or behavioral profile, and the maximum ad content rating is capped at G. What is sent to Google is listed in §5. A Pro subscription removes ads.
• Ad delivery record: Placement, format, event kind, ad unit, estimated revenue, and user/family identifiers are recorded only on HaramLog's own server (Seoul region) to review per-placement performance and reconcile revenue. This record is not provided to Google or any other third party, and no code path reads it to alter an ad request.
• Coupang Partners: When you deliberately open a clearly labelled affiliate product link, the Coupang site opens and HaramLog may earn a commission from a qualifying purchase. The URL contains only a static placement identifier; HaramLog account, family, and baby identifiers are not sent to Coupang. Coupang may process normal web-request data such as IP, User-Agent, and cookies under its own policy.
• HaramLog first-party click record: At click time, HaramLog separately records product, family, baby and user identifiers, placement, and timestamp for affiliate performance measurement and settlement reconciliation. It is not used for third-party advertising profiles or cross-app tracking.
• Personalization choice: Personalized affiliate recommendations are off by default and start only after separate consent from the family owner. Refusing or withdrawing consent does not affect supply tracking or depletion estimates.
• Error diagnostics: Sentry is used only for fault diagnostics, not advertising or visitor behavioral analytics. Even with a DSN, session replay, performance tracing, automatic breadcrumbs, user/request data, screenshots, and view hierarchy collection are disabled, and personal data and credentials are scrubbed from messages and stacks before sending.
• Web fonts: Web pages may request Google Fonts files, and Google may process ordinary network metadata under its own policy. HaramLog does not include account, family, baby identifiers, or care records in those requests.

9. Privacy Officer and Inquiries

• Name/Department: HaramLog Operator / Privacy inquiries
• Role: Privacy officer designation pending
• Email: [email protected]
• Responsibility: Handles user inquiries, complaints, and requests for access / correction / deletion concerning personal information (response within 7 business days).

10. Your Rights & Dispute Resolution

• Your rights: You may at any time request access, correction, deletion, or suspension of processing for your or your child's information (PIPA §35~37).
• Dispute resolution: Privacy disputes can be filed with the Personal Information Dispute Mediation Committee (privacy.go.kr) or the KISA Privacy Violation Reporting Center (privacy.kisa.or.kr / 118).

11. First-Party Performance Metrics (Anonymous)

To understand marketing page visits and campaign performance, we collect the following on our own server only — no third-party analytics SDK is used.

• What we collect: Visited page type (home, pricing, FAQ, etc.), language (locale), device class (mobile, desktop, tablet), referrer, UTM parameters (utm_source/medium/campaign/content/term), and campaign/tracking link codes.
• No user identifiers: This metric never includes account or device identifiers, cookie-based user profiles, or child (baby) information. A user identifier is attached only once, at the moment of sign-up conversion, solely to attribute which campaign led to that sign-up.
• Retention: Raw events are kept for 26 months and then deleted; only aggregate campaign/channel-level counts remain afterward.

12. Cookies and Other Automatic Collection Tools

The website uses the following automatic collection tools, all for HaramLog's own functionality (remembering language/theme, measuring campaign performance) — not for third-party advertising or behavioral analytics.

• NEXT_LOCALE cookie: An essential cookie that remembers your selected language. Purpose — keep language preference. Retention — per your browser settings.
• hl_acq (localStorage): Records the acquisition context of your first visit (UTM parameters, tracking link code, landing page, referrer) to attribute campaign performance at sign-up. Purpose — campaign performance measurement. Retention — 30 days (auto-expires).
• Theme and selected baby ID (on-device only): Your dark/light theme choice and the last-viewed baby profile ID are stored only on your device and are never sent to our server.
• How to opt out and effect: You can block or delete cookies and site data in your browser settings. Refusing NEXT_LOCALE shows the default language on every visit; refusing hl_acq does not affect service use and only excludes you from campaign performance aggregation.

13. Contact

For privacy inquiries please reach out via Support (/support) or email [email protected]. We respond within 7 business days.