Privacy Policy

Last updated: October 19, 2026 · Effective for existing Members: October 10, 2026

X30 (hereinafter "Service") is operated by The Nines (hereinafter "Company"). In accordance with the Personal Information Protection Act and other applicable laws of the Republic of Korea, the Company has established and published this Privacy Policy to protect users' personal information and to handle related grievances promptly and efficiently.

1. Information We Collect

A. Categories of Information

Category	Items
Required	Email address, name, phone number, Instagram handle
Optional	TikTok handle, YouTube channel, nationality, profile photo, bio
Automatically collected	IP address, access logs (date/time, usage records), cookies, device information (browser type, OS)
Google OAuth	Google account email, name, profile photo URL, Google unique identifier (UID)
Public social media metrics	Instagram follower count, engagement rate, public post metrics (likes, comments, views, shares), post captions, and publicly available comments on submitted content
Internal economy data	x30_reward_balances (CP balance and transaction history) x30_trust_scores / x30_trust_logs (JEONG score and change records) x30_referrals (invite_code, invited_at, profile_completed_at, reward_granted_at)
Email open records	Whether an email sent by the Company was opened and the time it was opened, together with the IP address and mail client (email app, browser, operating system) recorded by the email service provider at the moment of opening. Collected only for bulk announcement and newsletter emails the Company sends to Members; the recipients of any given send may be all Members or a specific group of them. Not collected for one-to-one emails sent in the course of using the Service, such as login codes, application results, or campaign notifications.
Delivery-type Campaign application (separate consent)	Recipient name, delivery phone number, postcode, address (including address details). Collected only when applying to a Campaign that ships a product, on the application form.
Affiliate Creators	Application and consent records, referral code, status and commission for each deal, and contract signing records (the name entered, the time of signing and the signed agreement text — kept on X30 servers, with the signed copy sent through the email delivery service); information needed for payout, such as bank details (collected by email)
Affiliate requesters (Members and non-members)	Name, mobile number, email, message (required if "Send a message" is chosen), request type, chosen services, confirmation of being 18 or older, and consent records (time and wording version)

B. Methods of Collection

Information entered directly by users during registration and profile setup
Information entered directly by users during the Campaign application process
Information entered directly by users on the Affiliate application page and the in-app contract signing page; payout information submitted by email
Information entered directly by requesters on the request page reached through a referral link
Information automatically collected through Google OAuth authentication
Information automatically generated and collected during use of the Service
Collection of publicly available Instagram and TikTok profile and post metrics via authorized third-party analytics services for campaign performance measurement
Automatic collection through a 1x1 transparent image embedded in bulk announcement and newsletter emails, which records that the email was opened (see Section 8-D)

2. Purpose of Collection and Use

The Company uses the collected personal information for the following purposes:

Member management: Verification of registration intent, identity verification and authentication, maintenance and management of membership, prevention of fraudulent use
Campaign matching: Connecting influencers and business owners for Campaign applications, selection, and collaboration; notification of application results
Service improvement: Statistical analysis of service usage, development of new services, enhancement of service quality
Campaign performance analysis: Collection and analysis of publicly available social media metrics (follower count, engagement rate, post performance) to evaluate campaign outcomes and provide performance reports
Marketing (with consent): Notification of new Campaigns and event information (only where separate consent has been obtained)
Email open measurement: Measuring whether bulk announcement and newsletter emails are opened, in order to evaluate how well the Company's communications reach Members, decide how often and what to send, and improve the Service
Reward Points management: Accumulation, use, and expiration management of CP (Reward Points)
JEONG Trust Index: Calculation of JEONG Trust Index scores and improvement of Member matching quality
Referral tracking: Tracking of referral relationships and processing of referral rewards
Affiliate program: Issuing referral links, passing requests to the business, confirming bookings and payments, calculating and paying commission, and tax reporting

3. Retention Period

In principle, the Company destroys personal information without delay once the purpose of collection and use has been fulfilled. However, the following information is retained for the periods specified:

Legal Basis	Items Retained	Retention Period
Act on Consumer Protection in Electronic Commerce	Records of contracts or withdrawal of offers	5 years
Act on Consumer Protection in Electronic Commerce	Records of payment and supply of goods/services	5 years
Act on Consumer Protection in Electronic Commerce	Records of consumer complaints or dispute resolution	3 years
Protection of Communications Secrets Act	Website access log records	3 months
Company internal policy	Campaign-related content and identifiable metrics (content usage rights)	Until the recorded content-license expiry, no more than 12 months under the standard agreement
Company internal policy	Standard barter Campaign application and operational personal information	While the account is active, then until 187 days after an account-deletion request
Company internal policy	CP Store purchase record and linked CP use/refund ledger	5 years from transaction closure; this does not apply to the general CP ledger or JEONG records
Delivery purpose / separate consent	CP Store delivery information	Voucher phone number: deleted immediately when sent or declined. Physical-delivery recipient, phone number and address: deleted 7 days after transaction closure
Delivery purpose / separate consent	Delivery-type Campaign delivery information	Recipient name, phone number, postcode and address (encrypted): deleted 7 days after the application ends (receipt confirmed, mission completed, rejected, canceled, or the Campaign ends), or 90 days after applying if it has not ended
Company internal policy	Email open records (open status, open time, and the IP address and mail client recorded on opening)	Not stored on the Company's own servers; retained by the email service provider for approximately 30 days from the send date and then deleted
Legitimate interests (fraud prevention)	One-way hashes of a suspended account's identifiers (email address, phone number, Instagram handle; originals not stored)	5 years after permanent deletion
Company internal policy	An affiliate requester's name, mobile number, email and message	The request closes 90 days after the last update (status change, payment, refund or correction), and these items are destroyed 6 months after it closes. A request on hold for a dispute is not destroyed while on hold, and is destroyed in the next run after the hold is released if the scheduled date has passed
Framework Act on National Taxes (keeping books and records)	Records of affiliate deals with a payment (deal ID, received date, request type, chosen services, status, payment amount, commission, refunds and corrections, consent records, and the business's booking reference)	5 years from the statutory tax filing deadline for that tax period
Company internal policy (commission questions and disputes)	Deal records of affiliate requests without a payment (the same items as above)	5 years from the day the request closed. In both cases the requester's name, contact details and message are destroyed earlier under the row above and are not part of the deal records kept afterwards
Framework Act on National Taxes (where a payout was made) / Company internal policy (proof of the agreement, where no payout was made)	Creator commission payout records, contract signing records (the name entered, the time of signing and the signed agreement text) and the information needed for payout	5 years from the later of the day participation ends and the statutory tax filing deadline for the tax period of the last payout

Account deletion: A 7-day cooling-off period is provided after the deletion request, followed by approximately 6 months of retention in an inactive state for dispute resolution and fraud prevention. The information is not actively used during this period. At 187 days after the deletion request, account identity information and personal information or free text in standard barter Campaign applications are deleted, replaced with fixed withdrawal labels, or unlinked from the Member. Standard Campaign visit records are not retained for 5 years merely because a visit occurred. CP Store purchase records and only the CP use/refund ledger linked to those purchases are isolated and kept for 5 years from transaction closure; the Member-linked general CP ledger is deleted at the 187-day account-destruction point after its totals are added to anonymous monthly statistics, and JEONG scores and change records are deleted at the same point. Verified anonymized statistics may remain. If the account was suspended for a Community rule violation at the time of destruction, the Company additionally keeps one-way hashes (HMAC-SHA256) of its email address, phone number and Instagram handle for 5 years from permanent deletion, to support review of repeated registration using identifiers associated with an account removed for abuse (legitimate interests, Art. 15(1)6 of the Personal Information Protection Act / Art. 6(1)(f) GDPR). The original values are not stored, the hashes are held in a separate table that carries no reference to any account, and they are not used to restore the originals. Identifiers entered during sign-up or a profile update may be compared with these hashes; a match creates a signal for human review in the Hub, but does not automatically block sign-up, restrict access, suspend an account, or otherwise change account status. This does not apply to accounts that were never suspended. To object to this retention or matching review, or to ask for these hashes to be deleted, email [email protected]; each request is reviewed individually and there is no automatic refusal.
Marketing consent withdrawal: Information retained for marketing purposes is deleted immediately.
Backups of affiliate information: after the information above is destroyed, copies may remain in database backups for up to 30 days and are then removed automatically.

4. Third-Party Sharing

The Company does not, in principle, provide users' personal information to external parties. However, the following exceptions apply:

Recipient	Items Shared	Purpose	Retention Period
Campaign Business Owner	Username/ID, display name, SNS handle, and a safe (virtual) contact number or in-app channel. For visit-type campaigns: the reserved visit date/time. For delivery-type campaigns: shipping address, recipient name, and a contact number for delivery.	Applicant review, campaign communication, hosting of visits, and delivery of products (delivery campaigns)	Up to 6 months after Campaign conclusion
The affiliate program's business (currently STROK87)	The participating Creator's name, Instagram handle and referral link	Matching bookings with the Creator and calculating commission	Viewable by the business in its deal records on the X30 business page for as long as deal records are kept (Section 3)
Same as above	The requester's name, mobile number, email, request type, chosen services and message	Contacting the requester about booking	If no booking is made, until the consultation ends (the X30 business page stops showing the name, phone number, email and message when the request closes; the request type and chosen services stay in the deal record for the Section 3 period). If a booking and payment are made, kept by the business for 5 years as proof of the sale under the Framework Act on National Taxes

Consent for such sharing is obtained at the time the user applies for a Campaign. Users have the right to refuse consent; however, refusal may restrict the ability to apply for Campaigns. Consent for sharing in the Affiliate program is collected separately on the application page and the request page; without that consent, only joining that program or sending that request is unavailable.

A Member's real email address and direct phone number are not provided to Business Owners, and free-text application notes are not shared; contact is mediated through a safe (virtual) relay number or an in-app channel. As an exception, for delivery-type campaigns where physical shipment requires it, the shipping address, recipient name, and a contact number are provided to the Business Owner (or its delivery agent) solely for the purpose of delivery. However, when a Member contacts a business directly through an affiliate referral link, the contact details and message the Member enters and agrees to share on the request page are provided to that business. People who open a referral link see the recommending Creator's Instagram handle (or X30 username if there is none).

CP Store redemptions: when a Member applies to redeem Reward Points (CP) for a product or service (e.g., a mobile gift voucher, restaurant voucher, beauty/aesthetic service, or a physical product), the minimum information required for delivery or use (e.g., recipient name, contact number, and — for physical products, a shipping address including postcode — or reservation details where applicable) is provided to the relevant product or service provider and delivery channel operator — such as gift-voucher delivery channels (e.g., Kakao Corp. for KakaoTalk Gift), restaurants, beauty/aesthetic service providers, or shipping carriers — solely for the purpose of delivering or providing the redeemed item. Physical-product redemptions are limited to shipping addresses within Korea. For physical delivery, the Company obtains separate consent on the redemption form for collection, use, third-party provision, and the retention period. The voucher phone number is deleted immediately once the item has been sent or the request has been declined. A physical-delivery recipient name, phone number, postcode and address are encrypted and deleted 7 days after the transaction is closed, allowing the Company to confirm dispatch or resolve an immediate delivery failure during that short period.

A Business Owner that receives the information above acts as an independent data controller and is solely responsible for its retention, use, and destruction from the point of provision onward. The Company and the Business Owner are not joint controllers, as the Business Owner determines campaign operation and applicant selection independently.

Business owners: business owners who join the Service via invitation are managed under the Company's business-records retention policy; general inquiries submitted through the public contact form are processed by email only and are not stored in the Company's database.

In addition, personal information may be provided where required by law, or upon request from investigative authorities in accordance with the procedures and methods prescribed by applicable statutes.

The username (public handle) of a Referred Member who registered via a Referrer's invite code is made visible to that Referrer within the Service. By registering through an invite code, the Referred Member is deemed to have consented to this disclosure. Members who wish to opt out may submit a request to [email protected].

5. Outsourcing of Data Processing

The Company outsources the processing of personal information as follows to ensure smooth service delivery:

Service Provider	Outsourced Tasks	Server Location
DigitalOcean, LLC	Server hosting and data storage	Singapore
Resend, Inc.	Email delivery (one-to-one service emails as well as bulk announcement and newsletter emails) and measurement of email opens for bulk announcement and newsletter emails (open status and time, together with the IP address and mail client recorded on opening)	USA
Google LLC	OAuth social login authentication; handling of inquiry and business email; storage of Affiliate Creator payout information (Google Workspace — email and Google Drive)	USA
Apify Technologies s.r.o.	Collection of publicly available Instagram and TikTok profile and post metrics	EU (Czech Republic)
Cloudflare, Inc.	DNS, CDN, and web-traffic proxy for the Service (processing of access data such as IP addresses); storage and delivery of community images and other service media; database backup storage	USA

Outsourcing contracts clearly stipulate compliance with personal information protection laws, confidentiality obligations, prohibition of third-party provision, and liability for damages in the event of a security incident.

Cross-border transfer: some of the service providers above are located outside the Republic of Korea (Singapore, the United States, the EU). For such international transfers, the Company relies on data processing agreements incorporating Standard Contractual Clauses (SCCs) or equivalent safeguards, and limits each transfer to what is necessary for the outsourced task.

Transfer abroad of Affiliate Creator payout information: this transfer is made as storage outsourcing needed to perform the agreement and disclosed in this Policy (Article 28-8(1)(3) of the Personal Information Protection Act). Recipient contact: https://support.google.com/a/contact/googlecloud_dpr. Items: information needed for payout. When and how: sent over an encrypted connection when payout information is received by email and stored in Drive. Retention: as in Section 3. Creators who do not want this can tell [email protected], but payout information cannot be received other than by email, so paying commission may be difficult.

Transfers abroad of affiliate requesters' information are made only with separate consent on the request page. Recipients and contacts: DigitalOcean, LLC (Singapore, [email protected]) for server storage; Cloudflare, Inc. (United States, [email protected]) for traffic delivery and database backups; Plus Five Five, Inc. (Resend, United States, [email protected]) for sending the confirmation email. Items: everything entered on the request page (DigitalOcean, Cloudflare), and the email address plus the confirmation email (business name and deal ID) (Resend). When and how: sent over an encrypted connection on submission; database backups are replicated every minute. Retention: as in Section 3 (backup copies up to 30 days after deletion); Resend keeps sending records for 30 days. Without this consent, the request cannot be sent.

Use of AI

Purpose: the Company uses AI tools (Anthropic, OpenAI) to develop, operate, support, and improve the Service. They are internal work tools acting only on the Company's instructions.
Minimization: data shared with them is limited to what is necessary and pseudonymized (identifiers, not raw email/phone/name) where feasible.
No training: your data is not used to train the providers' AI models or any model of the Company (per the providers' commercial/API terms).
Quality, safety & human review: providers may retain inputs for a limited period (typically up to ~30 days) for abuse monitoring, and authorized personnel (provider or Company) may review flagged content for safety and quality.
Recipients: data is shared only with these providers as processors for the purposes above — never sold or provided for their own independent use. They operate in the United States (covered by the SCCs above).
Personalized content (future): the Company may introduce AI-assisted personalized content or recommendations. There is no customer-facing AI feature today; if one is offered, the safeguards above apply and the Company will give notice and obtain consent or offer an opt-out as required.

6. Data Destruction

The Company destroys personal information without delay when it is no longer needed, such as upon expiration of the retention period or fulfillment of the purpose of processing.

A. Destruction Procedure

Information entered by users is transferred to a separate database (or separate documents in the case of paper records) after its purpose has been fulfilled, and is destroyed after a certain period in accordance with internal policies and applicable laws, or immediately.

B. Destruction Methods

Electronic files: Permanently deleted using technical methods that prevent the records from being reproduced.
Paper documents: Destroyed by shredding or incineration.

7. User Rights

Users (or their legal representatives) may exercise the following rights regarding their personal information at any time:

Request to access personal information
Request correction of inaccurate information
Request deletion of personal information
Request suspension of processing
Request to view CP (Reward Points) balance and transaction history, and submit disputes regarding CP
Request to view JEONG score change history, and submit disputes regarding score deductions
Request a portable copy of the personal information you provided, in a structured, commonly used format (data portability)

These rights may be exercised by emailing [email protected]. The Company will respond and take action without delay. Users in the European Union have additional rights, as described in the "Additional Rights for Users in the European Union" section below.

Rights may also be exercised through a legal representative or authorized agent. In such cases, a power of attorney in the form prescribed by the Enforcement Decree of the Personal Information Protection Act must be submitted.

The Company will verify whether the person making the request is the data subject or an authorized representative before processing any request for access, correction, deletion, or suspension of processing.

8. Cookies and Automatic Data Collection

A. Purpose of Cookies

The Company uses cookies to store and retrieve usage information in order to provide personalized services. Cookies are used to maintain login sessions and configure service settings. Cookies and access records are also used to compile visit statistics and analyze service usage for the purpose of improving the Service.

B. Cookie Management

Users have the option to accept or refuse cookies. By adjusting browser settings, users may accept all cookies, require confirmation before each cookie is stored, or refuse all cookies.

Chrome: Settings → Privacy and security → Cookies and other site data
Safari: Preferences → Privacy → Manage website data
Firefox: Settings → Privacy & Security → Cookies and Site Data

Please note that refusing cookies may cause difficulty in using certain features of the Service that require login.

C. Third-Party Tags and Behavioral Advertising

The Service uses Google Tag Manager and Google Ads conversion tracking (Google LLC, USA). These tools may collect behavioral information — such as cookies, advertising identifiers, and page-visit records — to measure advertising conversions (e.g., business inquiry submissions) and improve advertising campaigns. This information does not directly identify you by name, and the Company does not provide your account or profile data to Google through these tags. Retention follows Google's policies. You may opt out at any time via Google Ads Settings or by blocking cookies as described above. For visitors in the EU/EEA, the United Kingdom, and Switzerland, advertising signals are set to denied by default until you consent through the cookie banner (Google Consent Mode v2).

Fonts and scripts: web fonts and JavaScript libraries are served directly from the Company's own servers (self-hosted). Loading them does not send any personal information — including your IP address — to an external font or script CDN.

D. Email Open Measurement

Bulk announcement and newsletter emails the Company sends to Members contain a 1x1 transparent image (a "tracking pixel"). The recipients of a given send may be all Members or a specific group of them — for example, only Members who have given marketing consent. When your mail client downloads that image, the email service provider records that the message was opened, the time it was opened, and the IP address and mail client used. The record is held by that provider; the Company does not store it on its own servers and reads it as a per-send total (how many recipients opened a given email). One-to-one emails sent in the course of using the Service — login codes, application results, campaign notifications, and similar notices — do not contain the pixel.

Open figures are approximate and tend to overstate actual reading. Apple Mail Privacy Protection and the Gmail image proxy download images on your behalf without you opening the message, which is counted as an open; conversely, an email you did read is not counted if images never load.

You can prevent this collection by turning off automatic image loading in your mail client (for example, Gmail: Settings → General → Images → "Ask before displaying external images"; Apple Mail: Settings → Privacy → turn off "Protect Mail Activity" and "Load remote content"). If images are not loaded, no open record is created. You may also stop receiving marketing emails entirely by withdrawing marketing consent in Profile settings or using the unsubscribe link in the email.

9. Protection of Minors

Registration is available only to individuals aged 17 or older. The Company does not accept registration from anyone under the age of 17. If the Company discovers that personal information of a user under 17 has been collected at registration, it will be deleted immediately and will not be used for any purpose. (Members aged 14 to 16 who registered under the previous policy retain their accounts; the change does not apply retroactively.)
Because Korean civil law treats individuals under the age of 19 as minors, Members aged 17 or 18 must obtain verified consent from a parent or legal guardian (via email) before applying for any Campaign.

9-2. Data Encryption

The Company encrypts sensitive personal data, including email addresses, phone numbers, and dates of birth, at rest using ActiveRecord::Encryption. All data in transit is protected via SSL/TLS encryption.

10. Chief Privacy Officer (CPO) and Grievance Handling

The Company has designated the following Chief Privacy Officer to oversee the processing of personal information and to handle user complaints and remedies related to personal information:

Chief Privacy Officer (CPO)

Title: X30 Operations Team Manager

Email: [email protected]

Users may contact the CPO regarding any inquiries, complaints, or remedies related to personal information protection arising from the use of the Service. The Company will respond and take action without delay.

For additional reporting or consultation regarding personal information infringement, please contact the following organizations:

Personal Information Infringement Report Center (Korea Internet & Security Agency): privacy.kisa.or.kr / 118
Personal Information Dispute Mediation Committee: www.kopico.go.kr / 1833-6972
Supreme Prosecutors' Office Cyber Investigation Division: www.spo.go.kr / 1301
National Police Agency Cyber Bureau: ecrm.cyber.go.kr / 182

Users in the European Union may also lodge a complaint with their local data protection supervisory authority — see the "Additional Rights for Users in the European Union" section below.

11. Additional Rights for Users in the European Union

Where the EU General Data Protection Regulation (GDPR) applies to a user (e.g., users in the European Union/EEA), the following additional terms apply, in addition to the rights described above.

A. Legal Bases for Processing (Art. 6)

Performance of a contract: member management, campaign matching, and provision of the Service.
Legal obligation: retention of transaction and other records required by applicable statutes.
Legitimate interests: prevention of fraudulent use — including the pseudonymised one-way identifier hashes kept for 5 years after a suspended account is permanently deleted to support human review of repeated registration; matching does not automatically block, restrict, or suspend an account — service improvement and statistics (using pseudonymized/aggregated data), and providing the minimum pseudonymous information necessary for Business Owners to host campaign visits. The Company maintains a documented Legitimate Interest Assessment for these activities.
Consent: marketing communications and the sharing of information with Business Owners at the time of Campaign application. Consent may be withdrawn at any time.

B. International Transfers (Art. 44–50)

Personal information may be transferred to and processed in countries outside the EEA (the Republic of Korea, Singapore, and the United States). Such transfers are protected by Standard Contractual Clauses (SCCs) or equivalent safeguards, and are limited to what is necessary for the stated purpose.

C. Automated Decision-Making and Profiling (Art. 22)

The Service uses automated processing, including the JEONG Trust Index, campaign ranking, and eligibility filtering, which may involve profiling. You have the right not to be subject to a decision based solely on automated processing that produces legal or similarly significant effects concerning you. You may request human review of such a decision, express your point of view, and contest the decision by emailing [email protected].

D. Your GDPR Rights and Erasure

You have the rights of access, rectification, erasure, restriction of processing, data portability, and objection (Arts. 15–22). Regarding erasure: where records are subject to statutory retention under Korean law, and that retention does not by itself fall within Art. 17(3)(b), the Company retains such records on the basis of the establishment, exercise, or defence of legal claims (Art. 17(3)(e)) together with its documented Legitimate Interest Assessment. Erasure requests are reviewed on a case-by-case basis, and where retention is upheld, the Company restricts processing of the retained record to the defence of legal claims only (Art. 18) — ceasing any marketing, analytics, or profiling use and deleting data not necessary for that purpose — and informs you of the reason, the retention period, and the destruction date.

E. Right to Lodge a Complaint (Art. 77)

You have the right to lodge a complaint with the data protection supervisory authority of your EU/EEA member state. A list of national authorities is published by the European Data Protection Board (edpb.europa.eu).

F. EU Representative (Art. 27)

Given the Company's limited and occasional processing of EU residents' data at present, an EU representative has not been appointed. The Company will appoint a representative if and when required by the scale of its processing, and will update this Policy accordingly.

Appendix. Marketing Consent Wording (by Version)

The exact opt-in wording presented when the Company collects marketing consent is preserved below so that you can verify what you agreed to under each policy version. Each consent and withdrawal event is recorded together with a policy version string. That version string is raised only for revisions that ask Members to consent again; wording revisions keep the previous version string and the record instead carries a separate wording tag. A record with no wording tag reflects wording in force before August 11, 2026; "2026-08-11-open-tracking" reflects the wording from that date; "2026-09-09-blacklist-hash" reflects the September 9 wording; "2026-09-10-retention-sync" reflects the September 10 retention notice; "2026-10-16-delivery-campaign" reflects the October 16 delivery-type Campaign notice; and "2026-10-19-affiliate" reflects the October 19 Affiliate program notice. Consent may be withdrawn at any time in Profile settings.

Sign-up (onboarding): "Send me updates about new campaigns and opportunities." (Optional) / 국문: "마케팅 이메일 및 알림 수신에 동의합니다. (선택)"
Campaign application form: "I agree to receive campaign-related marketing information." / 국문: "캠페인 관련 마케팅 정보 수신에 동의합니다 (선택)"
Profile settings: "Marketing Consent — Receive event, promotion, and new campaign notifications" / 국문: "마케팅 정보 수신 동의 — 이벤트, 프로모션, 새 캠페인 알림을 받습니다"

This wording has remained unchanged across policy versions 2026-03-17, 2026-05-24, and 2026-07-10. (One correction: prior to March 17, 2026 the Korean application-form label was mislabelled "[필수]" (required); it was corrected to "(선택)" (optional) on March 17, 2026.)

Revision Notice

October 19, 2026 revision: with the launch of the Affiliate program, Sections 1 (information collected), 2 (purposes), 3 (retention), 4 (sharing with the business), and 5 (processors and transfers abroad) now cover participating Creators and people who send a request through a referral link. Sharing with a business and transfers abroad for requesters happen only with separate consent given when applying to the program or sending a request. Nothing changes for Members who do not join the program or send a request through a referral link. Effective date: October 19, 2026.

October 16, 2026 revision: delivery information for delivery-type Campaigns is now collected on the application form with a separate consent covering its collection, use and retention. The recipient name, phone number, postcode and address are encrypted and deleted 7 days after the application ends, or 90 days after applying if it has not ended. Provision to the Business Owner is unchanged and covered by the existing third-party consent. This applies to new applications from publication.

September 10, 2026 revision: the retention wording has been aligned with the implemented lifecycle. Standard barter Campaign records are no longer described as five-year commerce-law records; their personal information is removed at the 187-day account-destruction point. Content is retained only until its recorded licence expiry, no more than 12 months under the standard agreement. CP Store purchase records and only their linked CP use/refund ledger are retained for 5 years from transaction closure. Voucher phone numbers are deleted when sent or declined, while encrypted physical-delivery details are deleted 7 days after transaction closure and require separate consent on the redemption form. This retention clarification is separate from the September 9 suspended-account hash notice. It takes effect for existing Members on October 10, 2026 after 30 days' notice; new registrations and new physical-delivery redemptions are covered from publication.

September 9, 2026 revision: when an account that was suspended for a Community rule violation is permanently deleted, the Company keeps one-way hashes of its email address, phone number and Instagram handle for 5 years to support review of repeated registration using a sanctioned identifier. The original values are not stored, the hashes are not used to restore them, and the hash table carries no reference to any account. Identifiers entered during sign-up or a profile update may be compared with these hashes; a match creates a human-review signal only and does not automatically block, restrict, suspend, or change the status of an account. Section 3 (retention periods and the account-deletion notes) and Section 11-A (legal bases) have been updated accordingly, as has the deletion notice shown in Profile settings. Accounts that were never suspended leave nothing behind, and nothing changes in how the Service, campaign participation, or rewards work. This is a material change. It was published on September 9, 2026, existing Members are notified by email on September 10, 2026, and it takes effect for them on October 10, 2026, exactly 30 days after the email notice. Registrations made from the publication date are covered immediately because this wording is presented at sign-up. The legal basis is legitimate interests rather than consent, so no separate consent is requested — to object to this retention or matching review, or to ask for the hashes concerning you to be deleted, email [email protected] and the request will be reviewed individually.

August 11, 2026 revision: bulk announcement and newsletter emails the Company sends to Members now carry a 1x1 transparent image that records whether the email was opened and when. Sections 1, 2, 3, 5, and 8 have been updated accordingly, and the required privacy consent presented at sign-up now states this. Announcement emails go to Members regardless of marketing consent, so this is not limited to Members who opted in to marketing. Nothing changes in how the Service itself, campaign participation, or rewards work, and one-to-one transactional emails are not measured. This revision takes effect on its publication date, August 11, 2026. If you would rather not have opens recorded, turn off automatic image loading in your mail client (Section 8-D); to stop receiving marketing emails altogether, withdraw marketing consent in Profile settings.

The July 10, 2026 revision (data-retention policy update, EU/GDPR additions, raising of the minimum registration age to 17, advertiser-controller clarification, and AI/cross-border-transfer disclosures, addition of Community board and CP Store provisions) is a material change. In accordance with the Company's notice procedure, it takes effect after at least 30 days' advance notice to Members. Effective date: July 10, 2026 for existing members (following the June 10, 2026 advance notice); new registrations are covered from the date of publication.

Supplemented on July 10, 2026 (publication date): disclosures were expanded for processing already in operation — TikTok public-metrics collection, Google tags (Tag Manager / Ads conversion tracking), inquiry email handling via Google Workspace, Cloudflare traffic proxy and database backup storage, font CDNs, and the marketing consent wording appendix. No new categories of personal information are collected by this supplement.

Revision History

October 19, 2026 (current) — Affiliate program: information collected, purposes, retention, sharing with the business, and processors and transfers abroad for participating Creators and referral-link requesters.
October 16, 2026 — Delivery information collection with separate consent on delivery-type Campaign applications; deleted 7 days after the application ends or 90 days after applying.
September 10, 2026 — Standard Campaign, content, CP/JEONG, CP Store ledger, and delivery-information retention aligned with the implemented lifecycle. Effective for existing Members on October 10, 2026; separate consent added for new physical-delivery redemptions.
September 9, 2026 — Retention of one-way identifier hashes (email address, phone number, Instagram handle) for 5 years after a suspended account is permanently deleted, to support prevention of repeated registration. Existing Members notified by email on September 10, 2026; effective for them on October 10, 2026.
August 11, 2026 — Email open measurement for bulk announcement and newsletter emails (collection items, purpose, retention period, Resend outsourcing scope, and the automatic-collection section), and updated sign-up privacy consent wording.
July 10, 2026 — Data-retention update, EU/GDPR additions, minimum age 17, advertiser independent-controller clarification, AI and cross-border-transfer disclosures, Community board and CP Store provisions; processor and behavioral-advertising disclosures supplemented on publication. View archived version
May 24, 2026 — Reward Points (CP) / JEONG / Invite processing reflected (revised April 24, 2026). View archived version
March 17, 2026 — Initial Privacy Policy. View archived version

최종 수정일: 2026년 10월 19일 · 기존 회원 시행일: 2026년 10월 10일

X30(이하 "서비스")은 The Nines(이하 "회사")가 운영하며, 「개인정보 보호법」 및 관련 법령에 따라 이용자의 개인정보를 보호하고 이와 관련한 고충을 신속하고 원활하게 처리할 수 있도록 다음과 같이 개인정보처리방침을 수립·공개합니다.

1. 개인정보 수집항목 및 수집방법

가. 수집항목

구분	항목
필수항목	이메일 주소, 이름, 전화번호, Instagram 핸들
선택항목	TikTok 핸들, YouTube 채널, 국적, 프로필 사진, 자기소개
자동수집 항목	IP 주소, 접속 로그(접속일시, 이용 기록), 쿠키(Cookie), 기기 정보(브라우저 유형, OS)
Google OAuth 수집 정보	Google 계정 이메일, 이름, 프로필 사진 URL, Google 고유 식별자(UID)
공개 소셜미디어 지표	Instagram 팔로워 수, 참여율, 공개 게시물 지표(좋아요, 댓글, 조회수, 공유수), 게시물 캡션, 제출 콘텐츠의 공개 댓글
서비스 내부 경제 데이터	x30_reward_balances (CP 잔액 및 거래 내역) x30_trust_scores / x30_trust_logs (JEONG 점수 및 변동 사유) x30_referrals (invite_code, 초대일시, 프로필 완성일시, 보상 지급일시)
이메일 열람 기록	회사가 발송한 메일의 열람 여부 및 열람 시각, 열람 시점에 이메일 발송 서비스에 기록되는 IP 주소와 메일 클라이언트 정보(메일 앱·브라우저·운영체제). 회원에게 보내는 공지·뉴스레터 단체 메일에 한해 수집하며, 각 발송의 대상은 전 회원일 수도 있고 특정 회원 그룹일 수도 있습니다. 로그인 인증번호·지원 결과·캠페인 알림 등 서비스 이용 과정에서 나가는 1:1 메일에서는 수집하지 않습니다.
배송형 캠페인 지원 시 (별도 동의)	수취인명, 배송용 연락처, 우편번호, 주소(상세주소 포함). 제품을 배송하는 캠페인에 지원할 때 신청 화면에서만 수집합니다.
어필리에이트 참여 회원	참여 신청 및 동의 기록, 추천 코드, 거래별 진행 상태와 수수료, 계약서 서명 기록(입력한 이름, 서명 시각, 서명한 계약서 문면 — X30 서버에 보관하고 서명본은 이메일 발송 서비스로 보냄). 수수료 지급에 필요한 정보(수취 계좌 등, 이메일로 수집)
어필리에이트 문의자(회원·비회원)	이름, 휴대폰 번호, 이메일, 메시지("메시지 보내기"를 고른 경우 필수), 문의 종류, 선택한 서비스, 만 18세 이상 확인, 동의 기록(동의 시각·문구 버전)

나. 수집방법

회원가입 및 프로필 설정 시 이용자가 직접 입력
캠페인 지원 과정에서 이용자가 직접 입력
어필리에이트 참여 신청 화면과 앱 안 계약서 서명 화면에서 이용자가 직접 입력, 수수료 지급 정보는 이메일로 제출
추천 링크로 연결되는 문의 화면에서 문의자가 직접 입력
Google OAuth 인증을 통한 자동 수집
서비스 이용 과정에서 자동으로 생성·수집되는 정보
캠페인 성과 측정을 위해 공인 제3자 분석 서비스를 통한 공개 Instagram·TikTok 프로필 및 게시물 지표 수집
공지·뉴스레터 단체 메일에 삽입된 1x1 투명 이미지를 통해 열람 사실이 자동 수집 (제8조 라. 참조)

2. 개인정보 수집·이용 목적

회사는 수집한 개인정보를 다음의 목적으로 이용합니다.

회원 관리: 회원 가입 의사 확인, 본인 식별·인증, 회원 자격 유지·관리, 서비스 부정이용 방지
캠페인 매칭: 인플루언서와 사업주 간 캠페인 지원·선정·협업 연결, 지원 결과 통지
서비스 개선: 서비스 이용 통계 분석, 신규 서비스 개발, 서비스 품질 향상
캠페인 성과 분석: 공개된 소셜미디어 지표(팔로워 수, 참여율, 게시물 성과)를 수집·분석하여 캠페인 성과를 평가하고 성과 보고서 제공
마케팅(동의 시): 신규 캠페인 안내, 이벤트 정보 제공 (별도 동의를 받은 경우에 한함)
이메일 열람 측정: 공지·뉴스레터 단체 메일의 열람 여부를 측정하여 발송 효과를 확인하고, 발송 빈도·내용을 정하며 서비스를 개선
리워드 포인트 관리: CP(리워드 포인트) 적립·사용·만료 관리
JEONG 신뢰 지수: JEONG 신뢰 지수 산출 및 회원 매칭 품질 향상
추천 관계 처리: 추천 관계 추적 및 보상 처리
어필리에이트 운영: 추천 링크 발급, 문의를 업체에 전달, 예약·결제 확인, 수수료 계산·지급, 세금 신고

3. 개인정보 보유·이용 기간

회사는 원칙적으로 개인정보 수집·이용 목적이 달성된 후에는 해당 정보를 지체 없이 파기합니다. 다만, 다음의 경우 명시한 기간 동안 보존합니다.

보존 근거	보존 항목	보존 기간
전자상거래 등에서의 소비자보호에 관한 법률	계약 또는 청약철회 등에 관한 기록	5년
전자상거래 등에서의 소비자보호에 관한 법률	대금결제 및 재화 등의 공급에 관한 기록	5년
전자상거래 등에서의 소비자보호에 관한 법률	소비자의 불만 또는 분쟁처리에 관한 기록	3년
통신비밀보호법	웹사이트 접속 로그 기록	3개월
회사 내부 정책	캠페인 수행 콘텐츠·식별 가능한 지표 (콘텐츠 사용권)	기록된 콘텐츠 이용권 만료일까지. 표준 계약 기준 최대 12개월
회사 내부 정책	표준 바터 캠페인 지원·운영 개인정보	계정 활성 중 및 탈퇴 요청 후 187일까지
회사 내부 정책	CP Store 구매 기록과 연결된 CP 사용·환불 원장	거래종료 후 5년. 일반 CP 원장과 JEONG 기록에는 적용하지 않음
배송 목적·별도 동의	CP Store 전달·배송정보	기프티콘 전화번호: 발송·반려 즉시 파기. 실물 배송 수취인·전화번호·주소: 거래종료 후 7일에 파기
배송 목적·별도 동의	배송형 캠페인 배송정보	수취인명·전화번호·우편번호·주소(암호화): 신청 종료(수령 확인·미션 완료·반려·취소·캠페인 종료 등) 후 7일, 신청이 끝나지 않으면 신청 후 90일에 파기
회사 내부 정책	이메일 열람 기록 (열람 여부·열람 시각, 열람 시점의 IP 주소·메일 클라이언트 정보)	회사 서버에 별도 저장하지 않으며, 이메일 발송 수탁사에 발송일로부터 약 30일간 보관된 후 삭제
정당한 이익 (부정이용 방지)	정지 계정 식별자 단방향 해시 (이메일·전화번호·Instagram 핸들, 원문 미보관)	영구 삭제 후 5년
회사 내부 정책	어필리에이트 문의자의 이름·휴대폰 번호·이메일·메시지	마지막 진행(상태 변경·결제·환불·정정) 후 90일이 지나면 문의를 종료하고, 종료일로부터 6개월 후 파기. 분쟁 처리를 위해 보류한 건은 보류 중 파기를 미루고, 보류를 해제한 뒤 파기 예정일이 지났으면 다음 파기 때 파기
국세기본법(장부·증빙서류 보관)	결제가 이루어진 어필리에이트 거래 기록(거래 번호, 접수일, 문의 종류, 선택한 서비스, 진행 상태, 결제 금액, 수수료, 환불·정정 내역, 동의 기록, 업체 예약번호)	해당 과세기간의 법정 신고기한부터 5년
회사 내부 정책(정산 이의·분쟁 대응)	결제가 없었던 어필리에이트 문의의 거래 기록(위와 같은 항목)	문의가 종료된 날부터 5년. 두 경우 모두 문의자의 이름·연락처·메시지는 앞 행의 기간에 먼저 파기되며 이후 남는 거래 기록에는 포함되지 않음
국세기본법(지급이 있는 경우)·회사 내부 정책(계약 증빙, 지급이 없는 경우)	크리에이터 수수료 지급 기록, 계약서 서명 기록(입력한 이름·서명 시각·서명한 계약서 문면)과 지급에 필요한 정보	참여가 끝난 날과 마지막 수수료 지급이 속한 과세기간의 법정 신고기한 중 늦은 날부터 5년

회원 탈퇴 시: 탈퇴 요청 후 7일간 철회 가능 기간을 두며, 이후 약 6개월간 분쟁 대응 및 부정이용 방지 목적으로 비활성 상태로 보관합니다. 보관 기간 중 적극적 이용은 하지 않습니다. 탈퇴 요청 후 187일에 계정 본인 식별 정보와 표준 바터 캠페인 신청서의 개인정보·자유입력문을 삭제하거나 고정 탈퇴 문구로 치환하고 회원 연결을 제거합니다. 일반 캠페인은 방문이 발생했다는 이유만으로 5년 보존하지 않습니다. CP Store 구매 기록과 그 구매에 연결된 CP 사용·환불 원장만 거래종료 후 5년간 격리 보존하며, 회원과 연결된 일반 CP 원장은 익명 월간 합계에 반영한 뒤 계정 파기 시점에 삭제하고 JEONG 점수·변동 기록도 같은 시점에 삭제합니다. 검증된 익명 통계는 남을 수 있습니다. 파기 시점에 커뮤니티 규정 위반으로 정지 상태였던 계정은, 제재된 식별자의 반복 가입을 검토해 부정이용을 방지하기 위해 이메일·전화번호·Instagram 핸들의 단방향 해시(HMAC-SHA256)를 영구 삭제일로부터 5년간 추가 보관합니다(정당한 이익, 「개인정보 보호법」 제15조 제1항 제6호 / GDPR 제6조 제1항 (f)). 원문 값은 저장하지 않고, 해시는 계정과 연결되는 정보가 없는 별도 테이블에 보관하며 원문 복원에 사용하지 않습니다. 가입 또는 프로필 저장 때 입력된 식별자를 이 해시와 대조할 수 있고, 일치하면 Hub에서 사람이 검토할 신호만 생성합니다. 일치만으로 가입 차단·이용 제한·계정 정지 또는 상태 변경이 자동으로 이뤄지지 않습니다. 정지된 적이 없는 계정에는 해당하지 않습니다. 이 보관이나 일치 검토에 이의가 있거나 해당 해시의 삭제를 원하시면 [email protected] 로 요청하실 수 있으며, 모든 요청은 개별 검토하고 자동으로 거절하지 않습니다.
마케팅 동의 철회 시: 마케팅 목적으로 보유한 정보를 즉시 삭제합니다.
어필리에이트 정보의 백업: 위 정보가 파기된 뒤에도 데이터베이스 백업 사본에는 최대 30일 동안 남을 수 있으며, 그 뒤 자동으로 지워집니다.

4. 개인정보 제3자 제공

회사는 이용자의 개인정보를 원칙적으로 외부에 제공하지 않습니다. 다만, 다음의 경우에는 예외로 합니다.

제공받는 자	제공 항목	제공 목적	보유 기간
캠페인 등록 사업주	아이디, 사용자 이름(표시명), SNS 핸들, 안심(가상)번호 또는 인앱 채널. 방문형 캠페인: 예약 방문일시. 배송형 캠페인: 배송지 주소, 수취인명, 배송용 연락처.	지원자 검토, 캠페인 연락, 방문 진행 및 상품 배송(배송형 캠페인)	캠페인 종료 후 6개월까지
어필리에이트 프로그램 업체(현재 STROK87)	참여 크리에이터의 이름, 인스타그램 핸들, 추천 링크	예약과 크리에이터의 연결, 수수료 계산	X30 업체 화면의 거래 기록으로 열람하며, 거래 기록 보존 기간(제3조) 동안
위와 같음	문의자의 이름, 휴대폰 번호, 이메일, 문의 종류, 선택한 서비스, 메시지	예약 상담 연락	예약하지 않은 경우 상담이 끝날 때까지(X30 업체 화면에서는 문의 종료 시 이름·휴대폰 번호·이메일·메시지 열람 불가, 문의 종류·선택한 서비스는 거래 기록으로 제3조 기간 동안 열람). 예약·결제가 이루어진 경우 업체가 그 거래의 증빙으로 국세기본법에 따라 5년

이용자가 캠페인에 지원하는 시점에 해당 정보 제공에 대한 동의를 받으며, 동의를 거부할 권리가 있습니다. 다만, 동의를 거부할 경우 캠페인 지원이 제한될 수 있습니다. 어필리에이트 프로그램의 정보 제공은 참여 신청 화면과 문의 화면에서 각각 별도로 동의를 받으며, 동의하지 않으면 해당 프로그램 참여 또는 문의 전송만 할 수 없습니다.

회원의 실제 이메일과 직접 전화번호는 사업주에게 제공하지 않으며, 자유 입력 지원 메모도 제공하지 않습니다. 양자 간 연락은 안심(가상) 중계번호 또는 인앱 채널을 통해 매개합니다. 다만 예외적으로, 물리적 배송이 필요한 배송형 캠페인의 경우 배송지 주소·수취인명·배송용 연락처를 배송 목적에 한하여 사업주(또는 그 배송 대행사)에게 제공합니다. 다만 회원이 어필리에이트 추천 링크로 업체에 직접 문의하는 경우, 문의 화면에서 입력하고 제공에 동의한 연락처와 메시지는 해당 업체에 제공됩니다. 추천 링크로 들어온 문의자의 화면에는 추천한 크리에이터의 인스타그램 핸들(없으면 X30 아이디)이 표시됩니다.

CP 스토어 상품·서비스 교환: 회원이 CP로 상품 또는 서비스(모바일 기프티콘, 식당 이용권, 미용 시술, 실물 배송 상품 등)의 교환을 신청하는 경우, 발송 또는 이용에 필요한 최소 정보(수령자명, 연락처, 실물 배송 상품의 경우 배송지 주소(우편번호 포함), 예약에 필요한 정보 등)가 해당 상품·서비스 제공 사업자 및 발송 채널 운영자(예: 기프티콘 발송 채널인 카카오, 식당·미용 시술 업소, 배송업체 등)에 발송·제공 목적으로만 이용·제공됩니다. 실물 배송 상품 교환은 국내 배송지에 한합니다. 실물 배송은 교환 화면에서 수집·이용·제3자 제공·보유기간에 대한 별도 동의를 받습니다. 기프티콘 전달 전화번호는 발송 또는 반려 즉시 파기합니다. 실물 배송의 수취인명·전화번호·우편번호·주소는 암호화해 보관하고, 발송 확인이나 단기 배송 장애 대응을 위해 거래종료 후 7일에 파기합니다.

위 정보를 제공받은 사업주는 독립된 개인정보 처리자(controller)로서 제공 시점 이후의 보유·이용·파기에 대한 책임을 단독으로 부담합니다. 사업주가 캠페인 운영과 지원자 선정을 독립적으로 결정하므로, 회사와 사업주는 공동 처리자가 아닙니다.

사업주 안내: 초대를 통해 가입한 사업주의 정보는 회사의 상거래 기록 보존 정책에 따라 관리되며, 공개 문의 폼을 통한 일반 문의는 이메일로만 처리되고 회사 데이터베이스에 저장되지 않습니다.

그 외 법령에 의해 요구되는 경우, 수사 목적으로 법령에 정해진 절차와 방법에 따라 수사기관의 요구가 있는 경우에 한하여 제공합니다.

추천인은 자신의 초대 코드를 통해 가입한 피추천인의 username(공개 핸들)을 서비스 내에서 확인할 수 있습니다. 피추천인은 초대 코드로 가입하는 시점에 이 공개에 동의한 것으로 간주되며, 옵트아웃은 [email protected]로 요청할 수 있습니다.

5. 개인정보 처리 위탁

회사는 원활한 서비스 제공을 위해 다음과 같이 개인정보 처리 업무를 위탁하고 있습니다.

수탁업체	위탁 업무 내용	서버 위치
DigitalOcean, LLC	서버 호스팅 및 데이터 저장	싱가포르(Singapore)
Resend, Inc.	이메일 발송(1:1 서비스 메일 및 공지·뉴스레터 단체 메일) 및 공지·뉴스레터 단체 메일의 열람 측정(열람 여부·시각, 열람 시점의 IP 주소·메일 클라이언트 정보)	미국(USA)
Google LLC	OAuth 소셜 로그인 인증, 문의·업무 이메일 처리, 어필리에이트 크리에이터 수수료 지급 정보 보관(Google Workspace — 이메일·Google Drive)	미국(USA)
Apify Technologies s.r.o.	공개 Instagram·TikTok 프로필 및 게시물 지표 수집	EU (체코)
Cloudflare, Inc.	서비스 DNS·CDN·웹 트래픽 프록시(IP 주소 등 접속 데이터 처리), 커뮤니티 이미지 등 서비스 미디어 저장·전송, 데이터베이스 백업 저장	미국(USA)

위탁 계약 시 개인정보보호 관련 법령의 준수, 개인정보에 관한 비밀 유지, 제3자 제공 금지, 사고 시 손해배상 책임 부담 등을 명확히 규정하고 있습니다.

국외 이전: 위 수탁업체 중 일부는 대한민국 외(싱가포르, 미국, EU)에 위치합니다. 이러한 국외 이전에 대해 회사는 표준계약조항(SCC) 또는 동등한 보호조치를 포함한 처리계약에 근거하며, 각 이전은 위탁 업무 수행에 필요한 범위로 한정합니다.

어필리에이트 크리에이터 지급 정보의 국외 이전: 계약 이행에 필요한 보관 위탁으로 처리방침에 공개해 이전합니다(개인정보 보호법 제28조의8 제1항 제3호). 연락처 https://support.google.com/a/contact/googlecloud_dpr / 이전 항목: 지급에 필요한 정보 / 시기·방법: 지급 정보를 이메일로 받고 Drive에 보관할 때 암호화된 연결로 전송 / 보유 기간: 제3조와 같음 / 원하지 않으면 [email protected]로 알려 주세요. 다만 이메일 외의 방법으로는 지급 정보를 받을 수 없어 수수료 지급이 어려울 수 있습니다.

어필리에이트 문의자의 국외 이전은 문의 화면에서 별도로 동의를 받습니다. 이전받는 자와 연락처: DigitalOcean, LLC(싱가포르, [email protected]) — 서버 저장 / Cloudflare, Inc.(미국, [email protected]) — 접속 전달·데이터베이스 백업 저장 / Plus Five Five, Inc.(Resend, 미국, [email protected]) — 접수 확인 메일 발송. 이전 항목: DigitalOcean·Cloudflare는 문의 화면에 입력한 정보 전부, Resend는 이메일 주소와 접수 확인 메일 내용(업체 이름, 거래 번호). 이전 시기·방법: 문의를 보낼 때 암호화된 연결로 전송, 데이터베이스 백업은 1분 간격으로 복제. 보유 기간: 제3조와 같음(백업 사본은 파기 뒤 최대 30일), Resend는 발송 기록 30일. 동의하지 않으면 문의를 보낼 수 없습니다.

AI 이용

목적: 회사는 서비스의 개발·운영·지원·개선을 위해 AI 도구(Anthropic, OpenAI)를 사용합니다. 이는 회사의 지시에 따라서만 작동하는 내부 업무 도구입니다.
최소화: 전달 데이터는 필요 최소한으로, 가능한 한 가명(식별자 — 원시 이메일·전화·실명이 아님)으로 처리됩니다.
미학습: 이용자의 데이터는 제공자의 AI 모델이나 회사의 어떤 모델 학습에도 사용되지 않습니다(제공자 상용/API 약관 기준).
품질·안전·인간 검토: 제공자는 오·남용 모니터링을 위해 입력값을 제한된 기간(통상 ~30일) 보관할 수 있고, 권한 있는 담당자(제공자 또는 회사)가 안전·품질 목적으로 일부를 검토할 수 있습니다.
제공 대상: 데이터는 위 목적을 위해 이 제공자들에게 처리자(processor)로서만 공유되며, 그들의 독자 목적으로 판매·제공되지 않습니다. 제공자는 미국에서 운영되며 위 SCC로 보호됩니다.
개인화 콘텐츠(향후): 회사는 향후 AI 기반 개인화 콘텐츠·추천을 도입할 수 있습니다. 현재 고객 대면 AI 기능은 없으며, 도입 시 위 보호조치가 적용되고 회사는 고지 후 동의를 받거나 해당 시 옵트아웃을 제공합니다.

6. 개인정보 파기 절차 및 방법

회사는 개인정보 보유 기간의 경과, 처리 목적 달성 등 개인정보가 불필요하게 되었을 때에는 지체 없이 해당 개인정보를 파기합니다.

가. 파기 절차

이용자가 입력한 정보는 목적 달성 후 별도의 DB에 옮겨져(종이의 경우 별도 서류) 내부 방침 및 기타 관련 법령에 따라 일정 기간 저장된 후 혹은 즉시 파기됩니다.

나. 파기 방법

전자적 파일 형태: 기록을 재생할 수 없는 기술적 방법을 사용하여 완전히 삭제합니다.
종이에 출력된 개인정보: 분쇄기로 분쇄하거나 소각하여 파기합니다.

7. 이용자의 권리와 행사 방법

이용자(또는 법정대리인)는 회사에 대해 언제든지 다음 각 호의 개인정보 보호 관련 권리를 행사할 수 있습니다.

개인정보 열람 요구
오류 등이 있을 경우 정정 요구
삭제 요구
처리정지 요구
CP(리워드 포인트) 잔액 및 거래 내역 조회, 이의신청
JEONG 점수 변동 이력 조회, 감점 이의신청
본인이 제공한 개인정보를 구조화된 일반 형식으로 전송받을 권리(데이터 이동권)

위 권리 행사는 이메일([email protected])을 통해 하실 수 있으며, 회사는 이에 대해 지체 없이 조치하겠습니다. EU 이용자는 아래 "EU 이용자의 추가 권리" 섹션에 따른 추가 권리를 가집니다.

권리 행사는 이용자의 법정대리인이나 위임을 받은 자 등 대리인을 통하여서도 할 수 있습니다. 이 경우 「개인정보 처리 방법에 관한 고시(제2020-7호)」 별지 제11호 서식에 따른 위임장을 제출하셔야 합니다.

회사는 이용자 권리에 따른 열람의 요구, 정정·삭제의 요구, 처리정지의 요구 시 열람 등 요구를 한 자가 본인이거나 정당한 대리인인지를 확인합니다.

8. 자동 수집 장치의 설치·운영 및 거부

가. 쿠키의 사용 목적

회사는 이용자에게 개별적인 맞춤 서비스를 제공하기 위해 이용 정보를 저장하고 수시로 불러오는 '쿠키(Cookie)'를 사용합니다. 쿠키는 이용자의 로그인 상태 유지, 서비스 이용 환경 설정 등에 활용됩니다. 또한 쿠키 및 접속 기록은 방문 통계 산출과 서비스 이용 분석 등 서비스 개선 목적으로 활용됩니다.

나. 쿠키의 설치·운영 및 거부

이용자는 쿠키 설치에 대한 선택권을 가지고 있습니다. 웹 브라우저에서 옵션을 설정함으로써 모든 쿠키를 허용하거나, 쿠키가 저장될 때마다 확인을 거치거나, 모든 쿠키의 저장을 거부할 수 있습니다.

Chrome: 설정 → 개인정보 및 보안 → 쿠키 및 기타 사이트 데이터
Safari: 환경설정 → 개인정보 보호 → 쿠키 및 웹사이트 데이터 관리
Firefox: 설정 → 개인 정보 및 보안 → 쿠키 및 사이트 데이터

다만, 쿠키 저장을 거부할 경우 로그인이 필요한 일부 서비스 이용에 어려움이 있을 수 있습니다.

다. 제3자 태그·행태정보 (온라인 맞춤형 광고)

서비스는 Google Tag Manager 및 Google Ads 전환 추적(Google LLC, 미국)을 사용합니다. 이 도구들은 광고 전환 측정(예: 사업주 문의 제출)과 광고 캠페인 개선을 위해 쿠키·광고 식별자·페이지 방문 기록 등 행태정보를 수집할 수 있습니다. 이 정보는 성명 등으로 이용자를 직접 식별하지 않으며, 회사는 이 태그를 통해 이용자의 계정·프로필 데이터를 Google에 제공하지 않습니다. 보유 기간은 Google 정책을 따릅니다. 수집을 원하지 않는 경우 Google 광고 설정 또는 위의 쿠키 차단 설정으로 언제든지 거부할 수 있습니다. EU/EEA·영국·스위스 지역 방문자의 경우, 쿠키 배너를 통해 동의하기 전까지 광고 신호가 기본 거부(denied) 상태로 처리됩니다(Google Consent Mode v2).

폰트·스크립트: 웹 폰트와 자바스크립트 라이브러리는 회사 자체 서버에서 직접 제공됩니다(self-hosted). 이를 로드할 때 IP 주소를 포함한 어떠한 개인정보도 외부 폰트·스크립트 CDN으로 전송되지 않습니다.

라. 이메일 열람 측정

회사가 회원에게 보내는 공지·뉴스레터 단체 메일에는 1x1 크기의 투명 이미지(추적 픽셀)가 포함됩니다. 각 발송의 대상은 전 회원일 수도 있고 특정 회원 그룹(예: 마케팅 수신동의 회원)일 수도 있습니다. 메일 클라이언트가 이 이미지를 내려받는 시점에 이메일 발송 서비스가 열람 사실과 열람 시각, 그때의 IP 주소·메일 클라이언트 정보를 기록합니다. 이 기록은 발송 서비스에 남으며 회사 서버에는 저장하지 않고, 회사는 "해당 메일을 몇 명이 열어봤는지" 발송 건별 집계로 확인합니다. 로그인 인증번호·지원 결과·캠페인 알림 등 서비스 이용 과정에서 나가는 1:1 메일에는 픽셀이 들어가지 않습니다.

열람 수치는 근사치이며 실제 읽은 것보다 부풀려지는 경향이 있습니다. 애플 메일 프라이버시 보호나 Gmail 이미지 프록시는 이용자가 메일을 열지 않아도 이미지를 대신 내려받는데 이것이 열람으로 집계되고, 반대로 실제로 읽었더라도 이미지가 로드되지 않으면 집계되지 않습니다.

메일 클라이언트에서 이미지 자동 로딩을 끄면 이 정보는 수집되지 않습니다 (예: Gmail — 설정 → 전체 설정 → 이미지 → "외부 이미지를 표시하기 전에 확인", 애플 메일 — 설정 → 개인 정보 보호 → "메일 활동 보호"·"원격 콘텐츠 로드" 끄기). 마케팅 메일 자체를 받지 않으려면 프로필 설정에서 마케팅 수신동의를 철회하거나 메일 본문의 수신거부 링크를 이용하시면 됩니다.

9. 미성년자의 개인정보 보호

회원가입은 만 17세 이상만 가능합니다. 회사는 만 17세 미만의 회원가입을 받지 않으며, 가입 시 만 17세 미만 이용자의 개인정보가 수집된 사실을 확인한 경우 즉시 삭제하고 어떠한 목적으로도 이용하지 않습니다. (이전 정책 하에 가입한 만 14~16세 회원은 계정이 유지되며, 본 변경은 소급 적용되지 않습니다.)
대한민국 민법상 만 19세 미만은 미성년자이므로, 만 17~18세 회원은 캠페인 지원 시 법정대리인(부모)의 동의가 필요합니다. 법정대리인의 동의는 이메일 인증 절차를 통해 확인합니다.

9-2. 개인정보 암호화

회사는 이용자의 이메일, 전화번호, 생년월일 등 민감 개인정보를 암호화하여 저장합니다 (ActiveRecord::Encryption). 전송 구간에서는 SSL/TLS 암호화를 적용하여 개인정보를 보호합니다.

10. 개인정보 보호책임자 및 고충처리

회사는 개인정보 처리에 관한 업무를 총괄해서 책임지고, 개인정보 처리와 관련한 이용자의 불만 처리 및 피해 구제 등을 위하여 아래와 같이 개인정보 보호책임자를 지정하고 있습니다.

개인정보 보호책임자 (CPO)

직책: X30 운영팀 담당자

이메일: [email protected]

이용자는 서비스를 이용하면서 발생한 모든 개인정보 보호 관련 문의, 불만 처리, 피해 구제 등에 관한 사항을 개인정보 보호책임자에게 문의하실 수 있습니다. 회사는 이용자의 문의에 대해 지체 없이 답변 및 처리해 드리겠습니다.

기타 개인정보 침해에 대한 신고나 상담이 필요하신 경우, 아래 기관에 문의하시기 바랍니다.

개인정보침해 신고센터 (한국인터넷진흥원): privacy.kisa.or.kr / (국번없이) 118
개인정보분쟁조정위원회: www.kopico.go.kr / 1833-6972
대검찰청 사이버수사과: www.spo.go.kr / (국번없이) 1301
경찰청 사이버수사국: ecrm.cyber.go.kr / (국번없이) 182

EU 이용자는 자신이 거주하는 회원국의 개인정보 감독기관에 진정을 제기할 수도 있습니다 — 아래 "EU 이용자의 추가 권리" 섹션을 참조하시기 바랍니다.

11. EU 이용자의 추가 권리

EU 일반개인정보보호규정(GDPR)이 적용되는 이용자(예: EU/EEA 거주 이용자)에게는 위에 기재된 권리에 더하여 다음 사항이 추가로 적용됩니다.

가. 처리의 법적 근거 (제6조)

계약의 이행: 회원 관리, 캠페인 매칭, 서비스 제공.
법적 의무: 관련 법령이 요구하는 거래 기록 등의 보존.
정당한 이익: 부정이용 방지(정지 계정을 영구 삭제한 뒤 5년간 보관하는 가명 처리된 식별자 단방향 해시를 포함하며 반복 가입의 인간 검토를 지원함; 일치만으로 계정을 자동 차단·제한·정지하지 않음), 서비스 개선·통계(가명·집계 데이터 이용), 사업주의 캠페인 방문 진행에 필요한 최소 가명 정보 제공. 회사는 이러한 활동에 대해 문서화된 정당한 이익 평가(LIA)를 유지합니다.
동의: 마케팅 안내, 캠페인 지원 시점의 사업주 제공. 동의는 언제든지 철회할 수 있습니다.

나. 국외 이전 (제44~50조)

개인정보는 EEA 외의 국가(대한민국, 싱가포르, 미국)로 이전되어 처리될 수 있습니다. 이러한 이전은 표준계약조항(SCC) 또는 동등한 보호조치로 보호되며, 명시된 목적에 필요한 범위로 한정됩니다.

다. 자동화된 의사결정 및 프로파일링 (제22조)

서비스는 JEONG 신뢰 지수, 캠페인 랭킹, 자격 필터링 등 프로파일링을 포함할 수 있는 자동화된 처리를 사용합니다. 이용자는 본인에게 법적 효과 또는 그에 준하는 중대한 영향을 미치는, 전적으로 자동화된 처리에만 근거한 결정의 대상이 되지 않을 권리가 있습니다. [email protected]로 해당 결정에 대한 사람의 재검토 요청, 본인 의견 표명, 결정에 대한 이의를 제기할 수 있습니다.

라. GDPR 권리 및 삭제(잊혀질 권리)

이용자는 열람, 정정, 삭제, 처리 제한, 데이터 이동, 반대의 권리(제15~22조)를 가집니다. 삭제와 관련하여, 한국 법령에 따른 의무 보존 대상 기록으로서 그 보존이 제17조 제3항 (b)에 그 자체로 해당하지 않는 경우, 회사는 법적 청구권의 설정·행사·방어(제17조 제3항 (e))와 문서화된 정당한 이익 평가에 근거하여 해당 기록을 보존합니다. 삭제 요청은 사안별로 검토하며, 보존이 유지되는 경우 회사는 해당 기록의 처리를 법적 청구권 방어 목적으로 제한(제18조)하여 마케팅·분석·프로파일링 이용을 중단하고 그 목적에 불필요한 데이터는 삭제하며, 그 사유·보존 기간·파기 예정일을 이용자에게 안내합니다.

마. 진정 제기권 (제77조)

이용자는 자신이 속한 EU/EEA 회원국의 개인정보 감독기관에 진정을 제기할 권리가 있습니다. 각국 감독기관 목록은 유럽개인정보보호이사회(edpb.europa.eu)에서 확인할 수 있습니다.

바. EU 대리인 (제27조)

현재 회사의 EU 거주자 개인정보 처리는 제한적·비정기적이므로 EU 대리인을 지정하지 않았습니다. 회사는 처리 규모에 따라 필요해지는 경우 대리인을 지정하고 본 방침을 갱신합니다.

부록. 마케팅 수신동의 문구 (버전별)

회사가 마케팅 수신동의를 받을 때 제시하는 문구 원문을 아래에 보존하여, 이용자가 각 방침 버전에서 어떤 문구에 동의했는지 확인할 수 있도록 합니다. 동의·철회 이력은 방침 버전 문자열과 함께 기록됩니다. 이 버전 문자열은 회원에게 재동의를 요청하는 개정에만 올라가며, 문구 개정은 직전 버전 문자열을 유지하고 기록에 별도 문구 표식을 저장합니다. 표식이 없는 기록은 2026년 8월 11일 이전 문구, "2026-08-11-open-tracking"은 그날부터의 문구, "2026-09-09-blacklist-hash"는 9월 9일 문구, "2026-09-10-retention-sync"는 9월 10일 보유기간 안내, "2026-10-16-delivery-campaign"은 10월 16일 배송형 캠페인 안내, "2026-10-19-affiliate"는 10월 19일 어필리에이트 프로그램 안내가 반영된 문구입니다. 동의는 프로필 설정에서 언제든지 철회할 수 있습니다.

회원가입(온보딩): "마케팅 이메일 및 알림 수신에 동의합니다. (선택)"
캠페인 지원 폼: "캠페인 관련 마케팅 정보 수신에 동의합니다 (선택)"
프로필 설정: "마케팅 정보 수신 동의 — 이벤트, 프로모션, 새 캠페인 알림을 받습니다"

위 문구는 방침 버전 2026-03-17, 2026-05-24, 2026-07-10 전 기간에 걸쳐 동일하게 유지되었습니다. (정정 1건: 2026년 3월 17일 이전 캠페인 지원 폼 국문 라벨에 "[필수]"로 잘못 표기된 것을 2026년 3월 17일 "(선택)"으로 바로잡았습니다.)

개정 안내

2026년 10월 19일 개정: 어필리에이트 프로그램 운영에 따라 참여 크리에이터와 추천 링크 문의자의 수집 항목(제1조), 이용 목적(제2조), 보유 기간(제3조), 업체에 대한 제3자 제공(제4조), 위탁 및 국외 이전(제5조)을 추가했습니다. 어필리에이트 정보 제공과 문의자의 국외 이전은 참여 신청과 문의 시점에 별도 동의를 받으며, 프로그램에 참여하지 않거나 추천 링크로 문의하지 않는 회원의 정보 처리는 달라지지 않습니다. 시행일: 2026년 10월 19일.

2026년 10월 16일 개정: 배송형 캠페인의 배송정보를 신청 화면에서 수집·이용·보관에 대한 별도 동의를 받아 수집합니다. 수취인명·전화번호·우편번호·주소는 암호화해 보관하고 신청 종료 후 7일, 신청이 끝나지 않으면 신청 후 90일에 파기합니다. 사업주 제공은 기존과 같이 지원 시 제3자 제공 동의를 따릅니다. 게시일 이후 새 신청부터 적용합니다.

2026년 9월 10일 개정: 보유기간 설명을 실제 파기 생명주기와 맞췄습니다. 표준 바터 캠페인은 전자상거래법상 5년 기록으로 설명하지 않고 계정 파기 시점인 탈퇴 요청 후 187일에 개인정보를 제거합니다. 콘텐츠는 기록된 이용권 만료일까지, 표준 계약 기준 최대 12개월만 보유합니다. CP Store 구매 기록과 그 구매에 연결된 CP 사용·환불 원장만 거래종료 후 5년간 보유합니다. 기프티콘 전화번호는 발송·반려 시 삭제하고, 암호화된 실물 배송정보는 거래종료 후 7일에 삭제하며 교환 화면에서 별도 동의를 받습니다. 이 보유기간 정정은 9월 9일 정지 계정 해시 고지와 별개입니다. 보유기간 정정은 30일 사전 고지 후 기존 회원에게 2026년 10월 10일부터 시행하며, 신규 가입과 새 실물 배송 교환은 게시일부터 적용합니다.

2026년 9월 9일 개정: 커뮤니티 규정 위반으로 정지된 계정을 영구 삭제할 때, 제재된 식별자의 반복 가입을 검토해 부정이용을 방지하기 위해 이메일·전화번호·Instagram 핸들의 단방향 해시를 5년간 보관합니다. 원문 값은 저장하거나 복원에 사용하지 않으며, 해시는 계정과 연결되는 정보 없이 보관합니다. 가입 또는 프로필 저장 때 입력된 식별자를 이 해시와 대조할 수 있지만, 일치하면 인간 검토 신호만 만들고 가입 차단·이용 제한·계정 정지·상태 변경을 자동으로 하지 않습니다. 이에 따라 제3조(보유 기간 표와 탈퇴 시 처리)와 제11조 가.(처리의 법적 근거)를 갱신했고, 프로필 설정의 탈퇴 안내 문구에도 이 내용을 담았습니다. 정지된 적이 없는 계정에는 아무것도 남지 않으며, 서비스 이용·캠페인 참여·리워드 운영에는 변동이 없습니다. 본 개정은 중대한 변경입니다. 2026년 9월 9일 게시했고, 기존 회원에게는 2026년 9월 10일 이메일로 고지하며, 이메일 고지일부터 정확히 30일 뒤인 2026년 10월 10일 시행합니다. 게시일 이후의 신규 가입은 가입 화면에서 이 문구를 확인하므로 게시 시점부터 적용됩니다. 법적 근거는 동의가 아니라 정당한 이익이므로 별도의 동의를 받지 않습니다 — 이 보관이나 일치 검토에 이의가 있거나 본인에 관한 해시의 삭제를 원하시면 [email protected] 로 요청하시면 되며, 요청은 개별 검토합니다.

2026년 8월 11일 개정: 회사가 회원에게 보내는 공지·뉴스레터 단체 메일에 열람 여부와 열람 시각을 기록하는 1x1 투명 이미지가 포함됩니다. 이에 따라 제1·2·3·5·8조를 갱신했고 회원가입 시 받는 개인정보 수집·이용 필수 동의 문구에도 이 내용을 담았습니다. 공지 메일은 마케팅 수신동의 여부와 무관하게 발송되므로, 이 개정은 마케팅에 동의한 회원에게만 해당하는 것이 아닙니다. 서비스 이용, 캠페인 참여, 리워드 운영에는 변동이 없으며 1:1 트랜잭션 메일은 측정 대상이 아닙니다. 본 개정은 게시일인 2026년 8월 11일부터 시행됩니다. 열람 기록을 원하지 않으시면 메일 클라이언트에서 이미지 자동 로딩을 끄시면 되고(제8조 라.), 마케팅 메일 자체를 원하지 않으시면 프로필 설정에서 수신동의를 철회하실 수 있습니다.

2026년 7월 10일 개정(데이터 보유 정책 갱신, EU/GDPR 관련 사항 추가, 가입 최소 연령 만 17세 상향, 광고주의 독립 처리자 지위 명시, AI·국외 이전 안내, 커뮤니티 게시판·CP 스토어 관련 사항 추가)은 중대한 변경에 해당합니다. 회사의 고지 절차에 따라 최소 30일의 사전 고지 후 시행됩니다. 시행일: 2026년 7월 10일(기존 회원 — 2026년 6월 10일 사전 고지 기준). 신규 가입은 게시 시점부터 적용됩니다.

2026년 7월 10일(게시일) 보완: 이미 운영 중이던 처리에 대한 고지를 확충했습니다 — TikTok 공개 지표 수집, Google 태그(Tag Manager·Ads 전환 추적), Google Workspace 문의 이메일 처리, Cloudflare 트래픽 프록시·데이터베이스 백업 저장, 폰트 CDN, 마케팅 수신동의 문구 부록. 본 보완으로 새로 수집되는 개인정보 항목은 없습니다.

개정 이력

2026년 10월 19일 (현행) — 어필리에이트 프로그램 참여 크리에이터·추천 링크 문의자의 수집 항목·이용 목적·보유 기간·업체 제공·위탁 및 국외 이전 추가.
2026년 10월 16일 — 배송형 캠페인 신청 시 배송정보 수집과 별도 동의 추가, 신청 종료 후 7일 또는 신청 후 90일에 파기.
2026년 9월 10일 — 표준 캠페인·콘텐츠·CP/JEONG·CP Store 원장·배송정보의 보유기간을 실제 파기 생명주기와 일치시킴. 기존 회원 시행일 2026년 10월 10일, 새 실물 배송 교환에 별도 동의 추가.
2026년 9월 9일 — 정지 계정을 영구 삭제한 뒤 반복 가입 방지 검토를 위해 식별자(이메일·전화번호·Instagram 핸들) 단방향 해시를 5년간 보관하는 내용 반영. 기존 회원은 2026년 9월 10일 이메일 고지, 2026년 10월 10일 시행.
2026년 8월 11일 — 공지·뉴스레터 단체 메일 열람 측정 반영(수집항목·이용목적·보유기간·Resend 위탁 범위·자동수집 장치) 및 가입 시 개인정보 수집·이용 동의 문구 개정.
2026년 7월 10일 — 데이터 보유 정책 갱신, EU/GDPR 추가, 가입 최소 연령 만 17세, 광고주 독립 처리자 명시, AI·국외 이전 안내, 커뮤니티 게시판·CP 스토어. 게시일에 위탁·행태정보 고지 보완. 보존본 보기
2026년 5월 24일 — 리워드 포인트(CP)·JEONG·Invite 관련 처리 반영 (2026년 4월 24일 개정). 보존본 보기
2026년 3월 17일 — 최초 개인정보처리방침. 보존본 보기