VLEN은 정보보호를 단순한 기능이 아니라 서비스 운영의 기본 원칙으로 봅니다. 이 헌장은 현재의 운영 원칙과 책임 방향을 공개하며 특정 보안인증 취득이나 완전한 무사고를 보증하는 문서는 아닙니다.
제1조 (최소수집)
서비스 제공에 필요한 정보만 수집하고, 목적이 달성되거나 보유기간이 끝난 정보는 법령과 내부 절차에 따라 삭제합니다.
제2조 (접근통제)
관리자 기능, 고객 데이터와 운영 시스템은 역할과 업무 필요성에 따라 접근을 제한하고 인증정보와 권한을 정기적으로 점검합니다.
제3조 (암호화)
전송 구간에는 HTTPS를 적용하고 OAuth 토큰, 결제용 빌링키와 주요 비밀정보는 저장 시 암호화 또는 이에 준하는 보호조치를 적용합니다. 카드번호·CVC 원문은 VLEN이 직접 저장하지 않습니다.
제4조 (비밀정보 관리)
API 키와 운영 비밀정보를 소스코드·공개 파일과 분리하고 배포환경의 민감 환경변수로 관리합니다. 노출이 의심되는 자격증명은 폐기·교체합니다.
제5조 (개발과 변경관리)
보안 회귀, API, 주요 사용자 흐름과 배포 전 검사를 운영하며 변경 범위에 비례해 검증합니다. 알려진 취약점과 공급망 위험을 합리적인 우선순위에 따라 개선합니다.
제6조 (로그와 탐지)
장애, 비정상 접근, 결제·Cron·AI 작업 실패 등 운영상 필요한 이벤트를 기록하고 최소 권한으로 확인합니다. 로그에는 불필요한 인증정보와 민감정보를 남기지 않도록 노력합니다.
제7조 (백업과 복구)
중요 운영 데이터에 대해 백업·복구 절차를 마련하고 정기적으로 점검합니다. 다만 고객은 사업상 중요한 원본 콘텐츠를 별도로 보관해야 하며 백업은 모든 상황에서의 즉시 복구를 보증하지 않습니다.
제8조 (외부 공급자 관리)
Google, Notion, Vercel, Toss Payments와 AI 공급자의 보안·개인정보 조건을 확인하고 필요한 범위에서만 데이터를 전송합니다. 공급자의 정책과 장애가 변경되면 위험을 검토하고 대체·완화조치를 모색합니다.
제9조 (사고 대응)
보안사고가 의심되면 접근 차단, 자격증명 교체, 영향 범위 조사, 복구와 재발 방지를 순서대로 수행합니다. 개인정보 유출 등 법률상 통지·신고 의무가 발생하면 정해진 절차와 기한을 따릅니다.
제10조 (이용자의 공동책임)
이용자는 Google 계정에 다단계 인증을 적용하고 팀 권한을 최소화하며, 의심스러운 링크·공유·토큰 노출을 즉시 신고해야 합니다. 공개해서는 안 되는 개인정보·민감정보를 콘텐츠나 AI 입력에 포함하지 않아야 합니다.
제11조 (취약점 신고)
취약점을 발견한 경우 개인정보를 추가로 열람·변경하거나 서비스를 방해하지 말고 재현정보와 영향 범위를 VLEN 문의하기로 알려주세요. 사전 승인 없는 침투, 데이터 반출, 사회공학, 서비스 거부 공격은 허용되지 않습니다.
제12조 (지속적 개선)
회사는 법령, 서비스 구조와 위협 환경의 변화에 따라 정보보호 조치와 본 헌장을 지속적으로 검토·개선합니다.