미창조㈜ · AX 사업추진 TF

16-J. 프라이버시·권한 기능 상세 — 16개

15번 목록의 J 도메인을 와이어프레임 작성자가 화면에 무엇을 놓을지 판단할 수 있는 수준까지 폈다. 기능 하나를 여섯 줄(목적·트리거·입력·규칙·결과·예외)로 정의한다.

16개1차132차3미결 32차 미작성 3

상위: 15. RIAHN CONNECT 기능 목록 · 화면 목록 — J 도메인
필드 정의와 표기(⚑ 분리 검토 · ▷ 2차 상세 미작성)는 16-C 0-1과 같다
작성: 이원섭 PM · 2026-08-11

0. 이 도메인은 다른 기능을 잠그는 일을 한다

J의 기능들은 대부분 스스로 무엇을 만들지 않고 다른 기능의 동작을 제한한다. 동의가 없으면 발송이 막히고(E-07), 권한이 없으면 필드가 가려지고(J-08), 삭제 요청이 들어오면 데이터가 사라진다(J-10). 그래서 화면보다 규칙이 본체다.

제약 넷

법정 의무가 여럿이고 위반 시 발송·수집 자체가 불법이 된다. 동의 없는 마케팅, 수신거부 미처리, 미성년자 동의 누락, 정보주체 권리 미대응이 모두 제재 대상이다.
삭제와 보존이 충돌한다. 결제·세금 기록은 법정 보존 의무가 있어 삭제 요청이 와도 전부 지울 수 없다. 어디까지 지우고 무엇을 남길지를 정하지 않으면 요청이 올 때마다 즉흥 판단하게 된다.
권한은 조직이 아니라 데이터 민감도로 갈린다. 디자이너에게 가려야 할 것은 타인의 정산·성과이고, 본사에 가려야 할 것은 고객 개인정보다. 역할 계층만으로는 안 되고 필드 단위가 필요하다.
동의는 상태가 아니라 이력이다. 언제 어떤 경로로 받았고 언제 철회됐는지가 남아야 분쟁에서 쓸 수 있다.

0-2. 군집

군집	기능	주 화면
J-1 동의	3	SC-C02 동의 서명 · SC-M11 동의 탭
J-2 접근 통제	4	SC-H07 권한 · 전 화면 규칙
J-3 정보주체 권리	3	SC-H08 감사·개인정보 관리
J-4 추적·파기	3	SC-H08 · SC-H09

군집

기능

주 화면

J-1 동의

SC-C02 동의 서명 · SC-M11 동의 탭

J-2 접근 통제

SC-H07 권한 · 전 화면 규칙

J-3 정보주체 권리

SC-H08 감사·개인정보 관리

J-4 추적·파기

SC-H08 · SC-H09

16-J. 프라이버시·권한 — RIAHN CONNECT 기능 상세

J-1. 동의 — 3개

RC-J-01동의 관리1차

R2SC-M11 SC-C02

목적: 무엇을 해도 되는지의 원장. 이 시스템의 여러 기능이 여기에 걸려 있다
트리거: 신규 등록(B-03), 동의 갱신, 철회
입력: 동의 항목 · 동의 경로 · 일시 · 서명(J-02)
규칙: 항목별로 관리한다 — 수집·마케팅·사진·재학습 옵트아웃. 각 항목이 무엇을 잠그는지 명확하다. 수집 미동의면 등록 자체가 불가, 마케팅 미동의면 캠페인 제외(E-07), 사진 미동의면 열람 차단(B-06), 재학습 옵트아웃이면 학습셋 제외(J-12). 상태가 아니라 이력으로 남긴다 — 언제 어떤 경로로 받았는지
결과: 동의 원장, 다른 기능의 게이트
예외: 이관 고객은 동의 이력이 없다. "미동의"로 처리해 보수적으로 막고 재동의 대상으로 분류한다
미결: 외부 CRM 이관 시 동의 이력이 함께 오는지 — 없으면 이관 직후 마케팅 발송이 전면 불가

RC-J-02동의서 서명1차

R6 고객SC-C02 (D4 거울앞 태블릿)

목적: 동의의 증거를 남긴다
트리거: 신규 등록, 동의 항목 추가
입력: 동의 항목 · 서명 · 스캔 문서
규칙: 태블릿 서명을 기본으로 하고 종이 스캔 보관도 허용한다. 거울앞 태블릿이므로 다른 고객 정보가 보이면 안 된다. 항목별로 선택 동의가 가능해야 한다 — 전부 아니면 전무는 위법 소지가 있다. 필수와 선택을 구분해 표시한다
결과: 서명 저장, 동의 원장(J-01) 갱신
예외: 만 14세 미만은 J-09로 분기한다

RC-J-09미성년자 법정대리인 동의1차

R2SC-C02

목적: 만 14세 미만 고객의 동의를 법정대리인에게 받는다. 법정 의무
트리거: 생년월일 입력 시 만 14세 미만 판정
입력: 고객 생년월일 · 법정대리인 정보 · 대리인 동의
규칙: 만 14세 미만이면 일반 동의 절차를 막고 대리인 동의로 분기한다. 대리인 확인 기록을 남긴다. 대리인 정보 자체도 개인정보이므로 최소 수집한다
결과: 대리인 동의 기록, 동의 원장 갱신
예외: 생년월일을 받지 않으면 판정 자체가 불가능하다. 미용실에서 연령대만 받는 관행과 충돌하므로 수집 항목 결정이 선행되어야 한다

J-2. 접근 통제 — 4개

RC-J-04권한(Role) 설정1차

R5/R1SC-H07

목적: 역할별로 무엇을 보고 무엇을 할 수 있는지 정한다
트리거: 역할 체계 설계, 계정 부여(K-07·M-08)
입력: 역할 정의(R1~R5) · 메뉴 접근 · 필드 접근 · 액션 권한
규칙: 메뉴·필드·액션 세 층으로 통제한다. 승인 권한(환불 C-05, 휴무 F-01, 발송 E-05)이 여기서 나온다. 부재 시 위임은 J-13이 처리한다. 역할 체계는 본사가 정의하고 매장은 부여만 한다
결과: 권한 매트릭스, 화면·기능 접근 제어
예외: 권한 변경은 즉시 반영되어야 한다. 세션에 캐시된 권한으로 계속 접근하면 안 된다

RC-J-08필드 단위 마스킹1차

자동전 화면SC-D03

목적: 같은 화면에서도 민감 필드를 역할별로 가린다
트리거: 화면 렌더링 시 자동
입력: 역할(J-04) · 필드 민감도 정의
규칙: 역할 계층만으로는 부족한 지점을 메운다. 디자이너에게는 타인의 정산·성과를 가리고(F-08, D-02), 본사에는 고객 개인정보를 가린다. 마스킹은 표시만이 아니라 조회 자체를 막아야 한다 — 화면에서 가리고 API로는 나가면 의미가 없다
결과: 필드별 표시·조회 제어
예외: 마스킹된 값으로도 검색은 되어야 한다(B-01 전화 뒷자리)

RC-J-03PII 마스킹 표시1차

자동전역 컴포넌트

목적: 개인정보가 가려져 있다는 것과 왜 가려졌는지를 보여준다
트리거: 마스킹된 필드 표시 시
입력: 마스킹 규칙(J-08) · 현재 역할
규칙: 전화번호·주소는 기본 마스킹이고 열람하려면 사유를 남긴다(J-05). 마스킹 상태를 시각으로 구분해 사용자가 "데이터가 없는 것"으로 오해하지 않게 한다. 거울앞 태블릿(D4)은 마스킹 수준이 가장 높다
결과: 마스킹 표시, 열람 시 사유 로그
예외: 열람 사유 입력이 잦으면 형식화된다. 업무상 상시 필요한 필드는 마스킹 대상에서 빼는 편이 낫다

독립 화면이 아니라 모든 화면에 얹히는 공통 요소다 (15번 문서 4장 9번)

RC-J-13권한 위임·대리 승인1차

R1SC-H07 SC-M43

목적: 점주가 없어도 승인이 돌아가게 한다. SC-M43 승인 대기함의 전제
트리거: 휴가·병가 등 부재 예정
입력: 위임 대상자 · 위임 기간 · 위임 범위(승인 항목)
규칙: 기간을 지정한 위임이며 기간이 끝나면 자동 해제된다. 위임 범위를 항목별로 정한다 — 환불 승인은 위임하되 요율 변경은 안 되게. 위임 이력을 감사 로그(J-05)에 남긴다. 위임받은 사람이 한 승인은 원 권한자 이름이 아니라 실제 승인자로 기록한다
결과: 위임 활성화, 승인 권한 이전
예외: 위임 없이 부재하면 환불·휴무·발송 승인이 전부 막힌다. 부재가 감지되면 위임을 유도하는 편이 낫다

J-3. 정보주체 권리 — 3개

RC-J-10열람·정정 요청1차

R2 접수 / R5 처리SC-H08 SC-M11

목적: 고객의 열람·정정·삭제·처리정지 요청에 대응한다. 법정 의무
트리거: 고객 요청 접수
입력: 요청 유형 · 본인 확인 · 대상 데이터 · 법정 보존 의무 목록
규칙: 본인 확인이 선행된다 — 확인 없이 처리하면 그 자체가 유출이다. 처리 기한을 관리하고 회신 기록을 남긴다. 삭제 요청은 법정 보존 의무 데이터(결제·세금)와 충돌하므로 부분 삭제 규칙이 필요하다 — 어디까지 지우고 무엇을 남기는지. 재학습 옵트아웃 반영은 J-12로 이어진다
결과: 요청 처리, 회신 기록, 처리 기한 준수
예외: 삭제 후에도 결제 이력이 남아 있으면 고객이 "안 지웠다"고 볼 수 있다. 무엇을 왜 남기는지 회신에 명시한다
미결: 접수 창구 (고객 앱 Look.K vs 매장 접수) 및 법정 보존 데이터의 부분 삭제 기준

RC-J-14삭제·처리정지 요청1차

R2 접수 / R5 처리SC-H08

목적: 지워달라는 요청에 대응한다. 법정 보존 의무와 정면으로 충돌하는 지점
트리거: 고객의 삭제·처리정지 요청
입력: 본인 확인 · 대상 데이터 · 법정 보존 의무 목록 · 처리 기한
규칙: 결제·세금 기록은 보존 의무가 있어 전부 지울 수 없다. 어디까지 지우고 무엇을 남기는지 부분 삭제 규칙을 미리 정해 두지 않으면 요청마다 즉흥 판단하게 된다. 처리정지는 삭제가 아니라 이용 중단이므로 데이터는 남기고 활용만 막는다. 재학습 옵트아웃 반영은 J-12로 이어진다
결과: 부분 삭제 또는 처리정지, 회신 기록
예외: 삭제 후에도 결제 이력이 남으면 고객이 "안 지웠다"고 본다. 무엇을 왜 남기는지 회신에 명시한다
미결: 법정 보존 데이터의 부분 삭제 기준

RC-J-11데이터 반출 통제1차

자동 → R1 승인SC-H08

목적: 개인정보가 파일로 새어 나가는 것을 통제한다. 유출의 주 경로
트리거: 리포트 내보내기(D-13), 세그먼트 전달(B-18)
입력: 반출 대상 데이터 · 요청자 역할 · 사유
규칙: 반출 시 마스킹을 적용하고 사유를 입력받는다. 고객 단위 데이터의 대량 반출은 승인을 탄다. 모든 반출은 감사 로그(J-05)에 남는다. 파일에 반출 일시·요청자를 박아 추적 가능하게 한다
결과: 반출 실행, 반출 로그
예외: 업무상 반출이 잦으면 승인이 형식화된다. 임계 건수를 정해 그 이하는 로그만 남긴다

RC-J-15위탁·제3자 제공 현황1차

R5SC-H08

목적: 데이터를 누구에게 맡기고 있는지 관리한다. 개인정보 처리방침 명시 항목
트리거: 수탁 계약 체결·변경, 처리방침 갱신
입력: 수탁사 · 위탁 업무 · 제공 항목 · 목적 · 보유 기간
규칙: 파수·랩큐 등 컨소시엄 참여사가 데이터를 다루므로 위탁 현황을 관리하고 처리방침에 반영한다. 제3자 제공(동의 필요)과 위탁(고지 필요)은 법적 요건이 다르므로 구분한다. 계약 종료 시 파기 확인까지 추적한다
결과: 위탁 현황, 처리방침 반영 근거
예외: 수탁사가 재위탁하면 그것도 관리 대상이다

RC-J-16동의 재수집1차

R2SC-M11 SC-M24

목적: 이관 고객의 없는 동의를 다시 받는다. 이게 끝나야 마케팅이 돌아간다
트리거: 이관 완료 후, 동의 이력 부재 확인
입력: 동의 이력 없는 고객 목록(J-01) · 재동의 경로
규칙: 재동의 완료 전까지 광고성 발송을 차단한다(E-07). 재동의는 방문 시 태블릿 서명(J-02)이 가장 확실하고, 정보성 알림에 동의 링크를 얹는 방식도 병행한다 — 다만 동의를 구하는 메시지 자체가 광고성이 되지 않게 문구를 관리한다(K-06)
결과: 동의 원장 갱신, 발송 가능 대상 확대
예외: 재동의율이 낮으면 마케팅 모수가 크게 줄어 사업 논리가 흔들린다. 진척을 지표로 관리한다

RC-J-12학습 데이터 제외 반영2차

R5SC-H09

목적: 옵트아웃과 삭제 요청이 실제 학습셋에 반영됐는지 확인한다
규칙: 재학습 옵트아웃(J-01)·삭제 요청(J-10) 건이 학습 데이터에서 빠졌는지 대조한다. 동의 항목만 있고 반영 확인 수단이 없으면 옵트아웃은 선언에 그친다

J-4. 추적·파기 — 3개

RC-J-05감사 로그1차

R5SC-H08

목적: 누가 무엇을 봤고 무엇을 했는지 남긴다
트리거: 감사 대상 행위 발생 시 자동
입력: 행위자 · 대상 · 시각 · 사유
규칙: 남기는 대상이 넷이다. ①고객카드 열람 기록 ②데이터 반출 기록(J-11) ③승인·위임(J-13) ④확정 이후 수정(C-24·C-26). 로그 자체는 수정·삭제가 불가능해야 한다. 조회는 R5만
결과: 감사 로그
예외: 로그가 폭증하면 조회가 안 된다. 유형별 보관기간을 달리 둔다

RC-J-06보관기간·파기2차

R5SC-H08

목적: 보관 기간이 지난 것을 지운다
규칙: 항목별 보관기간을 정하고 만료분을 자동 파기한다. 대상이 셋이다 — 고객, 임직원(F-15 퇴사자), 백업본(L-08). 백업에만 남아 있으면 파기한 것이 아니다

RC-J-07human review 분리2차

R5SC-H09

목적: AI가 처리한 것과 사람이 검토해야 할 것을 가른다
규칙: 자동 처리 대상과 사람 검토 대상을 분리해 표시한다. 자동화된 의사결정에 대한 설명 요구와 맞물린다