소손사 연결 방법 보기

개인정보 처리방침

시행일: 2026년 9월 14일 · 소손사(이하 “소손사”)는 아래와 같이 개인정보를 처리합니다.

이 방침은 소손사 앱(https://sosonsa-api-674925461897.asia-northeast3.run.app)과 소개 홈페이지(https://sosonsa.bomtobe.com)에 적용됩니다. 소손사는 보험사가 공식 약관 공시 페이지에 공개한 약관 원문을 모아 두고, 이용자가 연결한 ChatGPT·Claude가 그 원문과 실제 PDF 페이지를 근거로 답하도록 돕는 서비스입니다.

한눈에 보기
  • 약관을 찾고 읽는 데에는 개인정보가 필요하지 않습니다. 약관 카탈로그는 보험사가 공개한 자료이며 개인정보가 아닙니다.
  • Google 로그인을 하면 계정 식별정보(발급자·이용자 식별자·이메일)를 보관합니다. 로그인 화면의 안내에 직접 동의해야 기록합니다.
  • ChatGPT·Claude 연결은 이용자가 승인한 권한 범위와 토큰을 보관하며 앱의 연결 관리 화면에서 언제든 철회할 수 있습니다.
  • 내 가입정보(보험계약) 연동은 소손사가 미리 허용한 이용자만 참여하는 시범 운영입니다. 대상 AI마다 따로 동의해야 계약 정보가 전달되고, 철회하면 다음 호출부터 막힙니다.
  • 광고·분석 쿠키를 사용하지 않고 개인정보를 팔지 않습니다.

1. 개인정보의 처리 목적

소손사는 다음 목적으로만 개인정보를 처리하며, 목적이 바뀌면 미리 알리고 동의를 받습니다.

  • 계정 식별과 로그인 상태 유지
  • ChatGPT·Claude 등 외부 AI 연결의 권한(OAuth) 부여·확인·철회
  • (시범) 이용자가 직접 실행한 보험계약·담보 정보의 조회, 보관, 자체 웹에서의 열람
  • (시범) 이용자가 대상별로 동의한 범위에서 저장된 계약·담보 정보를 해당 AI 서비스에 제공
  • 동의·철회 이력의 기록과 확인
  • 위조 방지, 권한 없는 접근 차단 등 서비스 보안
  • 이용자 문의 응대

공개 약관 카탈로그의 목록·목차·검색·원문 읽기에는 개인정보를 사용하지 않습니다.

2. 처리하는 개인정보 항목과 수집 방법

소손사는 서비스에 필요한 최소한의 항목만 처리하며, 주민등록번호는 수집하지 않습니다.

구분항목수집 방법과 시점
계정 식별정보 Google 발급자(https://accounts.google.com), 이용자 식별자(sub), 이메일 주소, 소손사 내부 이용자 ID, 계정 사용 가능 여부 Google 로그인 시 Google OpenID Connect에서 openid email 범위로 전달받습니다. Google 토큰은 저장하지 않고, 계정 식별정보 보관 안내(안내문 버전 account-use-2026-09-07)에 명시적으로 동의해야 기록합니다.
동의 기록 동의 목적(계정 이용·보험정보 조회·외부 AI 제공), 제공 대상 클라이언트 ID, 동의 항목, 안내문 버전, 동의·만료·철회 시각 각 동의 화면에서 이용자가 직접 제출할 때 기록합니다. 조회·확인만으로는 동의가 만들어지지 않습니다.
접속 유지 정보 로그인 세션 쿠키 sosonsa.session, 위조 방지(antiforgery) 쿠키 로그인과 화면 이용 중 브라우저에 저장합니다. 자세한 내용은 10번을 따릅니다.
AI 연결 정보 연결한 OAuth 클라이언트(sosonsa-chatgpt, sosonsa-claude), 승인한 권한 범위, 인가 기록과 토큰 기록 이용자가 ChatGPT 또는 Claude에서 소손사 연결을 승인할 때 생성합니다.
(시범) 보험 조회 작업 기록 작업 상태, 시도 횟수, 정규화 건수와 해시, 완전성·누락 항목, 실패 코드 이용자가 소손사 웹에서 조회를 직접 실행할 때 기록합니다.
(시범) 보험계약·담보 정보 보험사 식별정보와 이름, 상품 코드·이름, 약관 버전, 보장 시작·종료, 계약 상태, 담보명, 담보 기간·상태, 가입금액(공급사가 준 원문 문자열 포함) 이용자가 실행한 조회 결과를 필요한 항목만 정규화해 저장합니다. 공급사의 원시 응답 전체는 저장하지 않습니다.
(시범) 기관 인증 진행 정보 이용자가 입력한 기관 로그인 아이디, 공급사 공개키로 암호화한 비밀번호, 추가 인증 진행 상태 조회 화면에서 이용자가 입력할 때만 생성하며, 재개에 필요한 최대 10분 동안 암호화해 보관합니다.
문의 내용 보내는 사람의 이메일 주소와 문의에 담아 보낸 내용 이용자가 bomtobe.sw@gmail.com으로 보낼 때 수집합니다.

소손사의 MCP 도구에는 이용자를 지정하는 입력값이 없으며, 의료서류·병력·주민등록번호 같은 정부 식별자·인증서·비밀번호·일회용 비밀번호·토큰을 도구로 받지 않습니다. 보험사 공개 약관 PDF와 페이지 텍스트로 이루어진 카탈로그는 개인정보가 아닙니다. 소개 홈페이지는 정적 페이지이며 분석·광고 도구를 넣지 않고 글꼴도 자체 호스팅해 외부로 요청을 보내지 않습니다. 홈페이지 호스팅 사업자(Google Firebase Hosting)가 서비스 운영을 위해 접속 기록을 처리할 수 있으나, 소손사는 이 기록을 수집하거나 열람하지 않습니다.

3. 보유·이용 기간

대상기간
계정 식별정보와 내부 이용자 ID계정을 이용하는 동안 보관하며, 삭제 요청을 처리할 때 함께 파기합니다. 삭제 요청은 7번과 8번을 따릅니다.
동의 기록동의·철회 이력을 확인할 수 있도록 덧붙여 기록하며 철회 시각을 함께 남깁니다. 계정 정보를 파기할 때 함께 파기합니다.
로그인 세션 쿠키발급 후 8시간이며 자동으로 연장하지 않습니다. 로그아웃하면 즉시 끝납니다.
AI 연결의 인가 코드·토큰인가 코드 2분·1회 사용, 액세스 토큰 10분, 리프레시 토큰은 사용할 때마다 교체되며 최초 발급 후 최대 7일입니다. 연결을 철회하면 해당 연결의 토큰을 폐기합니다.
(시범) 보험정보 조회 동의동의한 때부터 30일
(시범) 외부 AI 제공 동의대상별로 최대 30일이며, 조회 동의의 만료 시점을 넘지 않습니다.
(시범) 보험계약·담보 정보조회 완료 후 30일(기본 설정)이 지나면 읽을 수 없으며, 서버의 정리 작업이 해당 작업과 계약·담보 기록을 삭제합니다. 완료 후 24시간이 지난 결과는 오래된 결과로 보고 다시 조회하도록 안내합니다.
(시범) 기관 인증 진행 정보최대 10분입니다. 조회가 끝나거나 실패·취소되면 바로 비우고, 조회 동의를 철회하거나 연동을 해제하면 삭제합니다.
문의 메일문의 처리를 마친 뒤 1년 동안 보관하고 파기합니다.

법령이 별도의 보존 기간을 정한 경우에는 그 기간을 따릅니다.

4. 개인정보의 제3자 제공

소손사는 개인정보를 판매하지 않으며, 법령에 따른 경우를 빼면 아래와 같이 이용자가 대상별로 직접 동의한 범위에서만 제공합니다. 로그인 동의, 보험정보 조회 동의, AI 연결 승인만으로는 제공되지 않습니다.

제공받는 자제공 목적제공 항목이용 기간
OpenAI(ChatGPT) — 등록 클라이언트 sosonsa-chatgpt 이용자가 연결한 대화에서 본인의 보험계약과 약관을 이해하도록 돕기 위해 저장된 계약 메타데이터와 담보 상세(동의 항목 contracts, coverageDetails) 동의가 유효한 기간(최대 30일)의 요청에 한합니다. 전달된 내용을 해당 서비스가 얼마나 보관하는지는 그 서비스의 정책을 따릅니다.
Anthropic(Claude) — 등록 클라이언트 sosonsa-claude 위와 같습니다. 위와 같습니다. 위와 같습니다.

제공 동의는 소손사 웹의 외부 AI 제공 화면에서 수신 대상, 제공 항목, 목적, 기간을 확인하고 직접 선택해야 기록됩니다(안내문 버전 external-insurance-v1). 계약번호와 마스킹한 계약번호, 소손사 내부 이용자 ID, 기관의 원천 계약 키, 조회 작업 내부 식별정보, 공급사 원시 응답, 비밀번호·인증값·공급사 토큰은 제공 대상에 들어 있지 않습니다.

소손사는 계약 정보를 제공할 때마다 최신 동의를 다시 확인합니다. 내 보험 화면에서 대상별로 철회하면 다음 호출부터 차단하며, 철회한 대상의 기존 탐색 위치(cursor)도 사용할 수 없습니다. 다른 대상의 동의는 그대로 유지됩니다. 이미 대화에 전달된 자료의 삭제는 해당 AI 서비스에서 관리합니다.

5. 개인정보 처리의 위탁

수탁자위탁 업무
Google(Google Cloud, Firebase Hosting)앱 실행(서울 리전 Cloud Run), 운영 비밀 보관(Secret Manager), 소개 홈페이지 호스팅
MongoDB Atlas데이터베이스 운영과 보관
CODEF(헥토데이터)(시범) 이용자가 직접 요청한 보험계약 정보의 기관 조회 중계

소손사는 위탁 업무에 필요한 범위를 넘어 개인정보를 넘기지 않으며, 운영 비밀은 저장소에 넣지 않고 지정한 버전으로만 주입합니다.

6. 개인정보의 국외 이전

소손사는 국외 사업자의 클라우드 서비스를 사용합니다. 확인한 사실과 아직 확정하지 못한 부분을 구분해 적습니다.

  • Google Cloud: 앱은 대한민국 서울 리전(asia-northeast3)의 Cloud Run에서 실행합니다. 앱 비밀은 Google Cloud Secret Manager(자동 복제 정책)에 보관합니다. 소개 홈페이지는 개인정보를 처리하지 않는 정적 파일이며 Google의 전 세계 CDN(Firebase Hosting)에서 제공합니다.
  • MongoDB Atlas: 클라우드 데이터베이스는 AWS 서울 리전(ap-northeast-2)의 M0 클러스터입니다. M0 무료 클러스터는 자동 백업본을 만들지 않습니다.
  • CODEF(헥토데이터): (시범) 조회 중계에 사용합니다. 대한민국 사업자이며 국외 이전에 해당하지 않습니다.
  • OpenAI(ChatGPT)·Anthropic(Claude): 이용자가 동의한 제공은 각 사업자의 서비스에서 처리됩니다. Claude의 커넥터 연결은 Anthropic의 클라우드에서 이루어진다는 안내를 확인했습니다. 두 사업자는 미국에 있으며, 이전되는 항목은 이용자가 동의한 계약·담보 정보이고 이전 시점은 이용자가 AI 대화에서 요청할 때입니다. 보관 기간은 각 사업자의 정책을 따르며, 대화에 전달된 내용의 삭제는 해당 서비스에서 이용자가 관리합니다.

이용자는 국외 이전을 거부할 수 있습니다. 거부하려면 외부 AI 제공에 동의하지 않거나 이미 한 동의를 철회하면 되며, 이 경우에도 공개 약관 카탈로그는 그대로 이용할 수 있습니다.

7. 정보주체의 권리와 행사 방법

이용자는 언제든 자신의 개인정보에 대해 열람, 정정, 삭제, 처리정지와 동의 철회를 요구할 수 있습니다.

  • 열람: 로그인 후 소손사 앱의 /Insurance 화면에서 저장된 조회 결과와 동의 상태를, /auth/connections 화면에서 연결한 AI와 승인한 권한 범위를 확인할 수 있습니다.
  • 동의 철회: 보험정보 조회 동의와 대상별 외부 AI 제공 동의는 /Insurance에서, AI 연결 권한은 /auth/connections에서 철회합니다. 연동을 해제하면 활성 동의를 모두 철회하고 연결 상태와 진행 중이던 인증 정보를 지웁니다.
  • 정정·삭제·처리정지: 현재 웹 화면에는 계정 삭제(회원 탈퇴) 기능이 없습니다. bomtobe.sw@gmail.com으로 요청하면 본인 여부를 확인한 뒤 요청을 받은 날부터 10일 이내에 처리하고 결과를 알려 드립니다.
  • 대리인: 법정대리인이나 위임을 받은 대리인을 통해서도 권리를 행사할 수 있습니다.

다른 사람의 자료를 열람하거나 다른 사람이 한 동의를 철회할 수는 없습니다. 모든 요청은 확인된 로그인 계정을 기준으로 처리합니다. 권리를 행사했다는 이유로 불이익을 주지 않습니다.

개인정보 침해로 인한 상담과 분쟁 조정은 개인정보침해 신고센터(privacy.kisa.or.kr, 국번 없이 118)와 개인정보 분쟁조정위원회(kopico.go.kr, 1833-6972)에 요청할 수 있습니다.

8. 개인정보의 파기 절차와 방법

  • 보유 기간이 지나거나 처리 목적이 끝난 개인정보는 지웁니다.
  • (시범) 보험 조회 결과는 서버의 정리 작업이 지웁니다. 보관 기간(기본 30일)이 지난 조회 작업과 그 계약·담보 기록을 함께 삭제합니다. 앱은 요청이 없으면 인스턴스가 내려가는 구성이라 정리 실행 시점이 늦어질 수 있습니다.
  • (시범) 기관 인증 진행 정보는 완료·실패·취소 시 즉시 비우고, 남은 기록은 데이터베이스의 만료 삭제로 지웁니다. 만료 삭제는 지연될 수 있으므로 요청을 처리할 때에도 만료 여부를 다시 검사해 사용을 막습니다.
  • 조회 동의를 철회하거나 연동을 해제하면 연결 상태와 진행 중이던 인증 정보를 지웁니다. 동의 기록 자체는 철회 사실을 확인할 수 있도록 철회 시각과 함께 이력으로 남습니다.
  • 계정 삭제 요청은 7번에 따라 이메일로 접수해 처리하며, 보유 기간이 끝나거나 삭제 요청을 처리한 날부터 5일 이내에 파기합니다.
  • 데이터베이스는 자동 백업본을 만들지 않습니다. 별도 백업본을 만들게 되면 이 방침을 고쳐 보관·파기 방법을 알립니다.

9. 안전성 확보 조치

현재 적용하고 있는 조치는 다음과 같습니다. 여기에 적지 않은 인증, 감사, 암호화 수준은 주장하지 않습니다.

  • 접근 통제: 모든 이용자 자료는 확인된 로그인 계정으로만 조회합니다. 웹 폼이나 AI 도구의 입력값으로 다른 사람을 지정할 수 없습니다.
  • 전송 구간 보호: 공개 주소는 모두 HTTPS로 연결하며, 암호화된 연결은 Cloud Run에서 풀어 앱으로 전달합니다. 데이터베이스 연결도 TLS 검증을 유지합니다.
  • 권한 분리: 브라우저 로그인 쿠키를 API 인증에 대신 쓰지 않고, AI 연결 토큰에는 관리자 권한이 없습니다. 권한 범위가 모자라면 도구를 실행하기 전에 거부합니다.
  • 토큰 관리: 인가 코드는 2분·1회, 액세스 토큰은 10분이며 리프레시 토큰은 쓸 때마다 교체하고 재사용을 거부하면서 연결된 토큰을 폐기합니다.
  • 위조 방지: 로그인, 동의, 철회처럼 상태를 바꾸는 요청은 위조 방지 토큰을 검증하며 실패하면 아무것도 저장하지 않습니다.
  • 암호화 보관: (시범) 진행 중 인증 정보는 이용자·작업별로 암호화해 보관하고, 기관 비밀번호는 공급사 공개키로 암호화한 형태로만 담습니다.
  • 비밀 관리: 운영 비밀은 Secret Manager의 지정한 버전으로 주입하며 저장소에 커밋하지 않습니다. 서비스 계정 키를 만들지 않습니다.
  • 기록 최소화: 앱의 요청 로그를 기본 로그 저장소에서 제외했고, OAuth 쿼리·토큰·비밀 값과 공급사 응답 메시지를 로그에 남기지 않습니다.
  • 접속 제한: 데이터베이스는 허용 목록에 등록한 주소(앱의 고정 출발 IP와 운영자 관리용 주소)에서만 접속할 수 있습니다.

소손사는 1인 개발자가 운영하는 시범 서비스이며, 현재 데이터베이스 계정과 역할을 관리용·실행용으로 분리하지 않았습니다.

10. 쿠키 등 자동 수집 장치

  • 로그인 세션 쿠키 sosonsa.session: 로그인 상태를 유지합니다. 스크립트에서 읽을 수 없고(HttpOnly), 운영 환경에서는 HTTPS 연결에서만 전송하며, 발급 후 8시간이 지나면 자동 연장 없이 끝납니다.
  • 위조 방지 쿠키: 로그인·동의·철회 폼이 정상 화면에서 제출되었는지 확인하는 데만 사용합니다.
  • 소손사는 광고·분석·행태정보 수집용 쿠키를 사용하지 않고 제3자 추적 도구를 넣지 않습니다. 소개 홈페이지는 쿠키를 만들지 않습니다.
  • 브라우저 설정에서 쿠키를 차단할 수 있습니다. 다만 차단하면 로그인과 동의 화면을 이용할 수 없습니다.

11. 개인정보 보호책임자

개인정보 처리와 관련한 문의, 불만, 피해 구제는 위 이메일로 접수합니다. 접수한 문의에는 성실하게 답변합니다.

12. 고지의 의무

이 개인정보 처리방침은 2026년 9월 14일부터 적용합니다. 내용이 바뀌면 변경된 내용과 시행일을 이 페이지에 게시합니다. 제공 대상, 처리 항목, 보유 기간이 늘어나는 등 이용자에게 중요한 변경은 시행 7일 전(이용자의 권리에 크게 영향을 주는 변경은 30일 전)에 알리고 필요한 동의를 다시 받습니다.

연결·사용 방법은 연결·사용 방법 문서를 따릅니다.