⚠ 변호사 검토 필요 — 이 문서는 초안입니다.
실제 계약에 쓰시기 전에 반드시 개인정보·IT 계약 전문 변호사의 검토를 받으십시오.
특히 제9조(요금)·제18조(책임의 제한)·제20조(준거법·관할) 는 사업 형태가 확정된 뒤
다시 써야 합니다. 대괄호
[ ]는 아직 정해지지 않은 자리표시입니다.작성 2026-09-11 · 대상: B2B(노무법인 대상) SaaS · 서비스명 임시 "Firm OS(가칭)"
함께 보는 문서:
개인정보처리방침-v0.1.md,개인정보-처리위탁계약서-v0.1.md
이 약관은 [운영자 상호](이하 "회사")가 제공하는 노무법인용 자문업무 관리 서비스 "Firm OS(가칭)"(이하 "서비스")의 이용에 관하여 회사와 이용 법인 사이의 권리·의무 및 책임사항, 이용 조건과 절차를 정함을 목적으로 합니다.
이 약관에서 쓰는 말의 뜻은 다음과 같습니다.
① 이 약관은 서비스 화면에 게시하거나 이용 법인에게 통지함으로써 효력이 생깁니다. ② 회사는 관련 법령을 위반하지 않는 범위에서 이 약관을 변경할 수 있습니다. ③ 약관을 변경하는 경우 회사는 적용일자와 변경 사유를 밝혀 적용일 [30]일 전부터 서비스 화면에 게시하고 이용 법인의 관리자 계정 이메일로 통지합니다. 다만 이용 법인에게 불리하지 않은 변경은 [7]일 전 게시로 갈음할 수 있습니다. ④ 이용 법인이 적용일 전날까지 거부의 뜻을 밝히지 않으면 변경에 동의한 것으로 봅니다. 회사는 ③의 통지에 이 사실을 함께 알립니다. ⑤ 변경에 동의하지 않는 이용 법인은 적용일 전에 이용계약을 해지할 수 있고, 이 경우 제9조에 따라 남은 기간의 요금을 정산합니다. 해지 절차는 제13조에 따릅니다.
이 약관에 정하지 않은 사항은 개인정보처리방침, 개인정보 처리위탁계약서, 서비스 화면에 게시한 개별 안내, 그리고 관계 법령과 상관례에 따릅니다. 개인정보의 처리에 관하여는 개인정보 처리위탁계약서가 이 약관에 우선합니다.
① 이용계약은 이용 법인이 이 약관에 동의하고 이용을 신청하면, 회사가 이를 승낙함으로써 성립합니다. ② 회사는 다음 각 호의 경우 승낙을 미루거나 거절할 수 있습니다.
③ 이용계약은 법인 단위로 성립합니다. 이용자 개인은 이용계약의 당사자가 아니며, 이용 법인의 관리자 계정이 부여한 범위에서만 서비스를 씁니다.
① 계정은 관리자 계정의 초대로만 만들어집니다. 스스로 가입하는 방식은 제공하지 않습니다. ② 이용 법인은 이용자별로 등급(Lv1~Lv5)을 정하고, 업무에 필요한 최소 범위로 부여하여야 합니다. 등급에 따른 열람·편집 범위는 서비스 화면과 회사가 제공하는 문서에 따릅니다. ③ 이용 법인은 소속 이용자의 입사·퇴사·직무 변경이 있으면 지체 없이 계정을 만들거나 비활성화하거나 등급을 조정하여야 합니다. 이를 게을리하여 생긴 문제에 대하여 회사는 책임지지 않습니다. ④ 비밀번호는 8자 이상이어야 하며, 이용자는 자기 계정과 비밀번호를 제3자와 공유해서는 안 됩니다. 계정 도용이 의심되면 즉시 회사에 알려야 합니다. ⑤ 회사는 보안을 위하여 무동작 상태가 일정 시간(기본 30분) 지속되면 자동으로 로그아웃 시키고, 브라우저를 닫으면 세션을 끝냅니다. 무동작 기준 시간은 관리자 계정이 5분~480분 범위에서 바꿀 수 있습니다.
① 이용 법인과 이용자는 다음 행위를 해서는 안 됩니다.
② 이용 법인은 고객 데이터를 입력·업로드할 법령상 권한과 근거를 스스로 확보하여야 합니다. 회사는 이용 법인이 적법한 권한 아래 데이터를 넣는다는 전제에서 서비스를 제공합니다. ③ 이용 법인은 자기 고객사에 대하여, 자문업무 수행을 위해 이 서비스에 개인정보 처리를 위탁(재위탁)한다는 사실을 알리는 등 개인정보 보호법상 자기 의무를 이행하여야 합니다. 회사는 이를 위한 문안 예시를 제공하지만, 이행 책임은 이용 법인에게 있습니다. ④ 이용 법인은 소속 이용자에게 개인정보 취급 교육을 실시하고, 퇴사자의 접근 권한을 말소하여야 합니다.
① 회사가 제공하는 서비스는 다음과 같습니다.
② 회사는 서비스의 내용을 개선하거나 운영상·기술상 필요에 따라 변경할 수 있습니다. ③ 이용 법인에게 불리한 중대한 변경(기존 기능의 폐지, 저장 용량의 축소 등)을 하는 경우 회사는 적용일 [30]일 전에 화면 게시와 이메일로 알립니다. 이용 법인은 이 경우 위약금 없이 해지할 수 있습니다. ④ 회사는 베타 또는 준비 중으로 표시한 기능에 대하여는 안정성·정확성을 보장하지 않으며, 사전 통지 없이 변경하거나 없앨 수 있습니다.
① 서비스 이용료는 [요금제 6단계 — 아직 정해지지 않았습니다] 에 따릅니다. 요금제별 이용자 수 상한, 저장 용량, AI 사용 한도, 지원 범위는 회사가 별도로 게시합니다. ② 결제 주기는 [월/연] 단위로 하고, 결제 수단은 [ ] 로 합니다. ③ 부가가치세는 [별도] 입니다. ④ 회사는 요금을 변경할 수 있으며, 변경 시 적용일 [30]일 전에 알립니다. 기존 이용 법인에게는 [다음 결제 주기] 부터 적용합니다. ⑤ 이용 법인이 요금을 [14]일 이상 내지 않으면 회사는 서비스 이용을 정지할 수 있습니다. 정지 중에도 고객 데이터는 삭제하지 않으며, [30]일 이상 미납이 계속되면 제11조에 따라 계약을 해지할 수 있습니다. ⑥ AI 기능은 법인별 월 사용 한도가 있으며(기본 [미화 20달러] 상당), 한도를 넘으면 그 달에는 AI 기능이 동작하지 않습니다. 한도는 관리자 계정이 조정할 수 있고, 한도 초과 사용분의 과금 방식은 [미정] 입니다.
① 서비스는 연중무휴 24시간 제공을 원칙으로 합니다. ② 회사는 다음의 경우 서비스 제공을 일시 중단할 수 있습니다. 이 경우 [3]일 전까지 화면에 게시하고 관리자 계정에 알립니다. 다만 긴급한 경우에는 사후에 알립니다.
③ 회사는 다음의 경우 사전 통지 없이 서비스가 중단될 수 있음을 알리며, 이에 대하여 제18조의 범위에서만 책임을 집니다.
④ 회사는 서비스 가용성 목표를 [월 99.0% — 확정 필요] 로 하며, 이를 밑돌 경우의 보상(요금 감면 등)은 [별도 SLA 문서에서 정합니다 — 미작성]. ⑤ 기술 지원은 [평일 09:00~18:00, 이메일 ( )] 로 제공합니다.
① 고객 데이터에 관한 모든 권리는 이용 법인에게 있습니다. 이 약관의 어떤 조항도 회사에게 고객 데이터의 소유권을 이전하지 않습니다. ② 회사는 고객 데이터를 다음 목적으로만 처리합니다.
③ 회사는 고객 데이터를 다음 목적으로 이용하지 않습니다.
④ 회사는 서비스 개선을 위하여 개인을 알아볼 수 없고 이용 법인·고객사를 특정할 수 없는 집계 정보(예: 기능별 사용 빈도, 오류 발생률)를 생성·이용할 수 있습니다. ⑤ 회사 임직원의 고객 데이터 접근은 제12조 각 호의 경우로 한정하며, 접근 시 기록을 남깁니다.
① 회사는 다음의 경우에만 고객 데이터에 접근합니다.
② ①의 3호에 해당하는 요구를 받은 경우, 회사는 법령이 금지하지 않는 범위에서 지체 없이 이용 법인에게 알립니다. ③ 회사는 접근 일시·접근자·사유·범위를 기록하고, 이용 법인이 요청하면 제공합니다.
① 이용 법인은 언제든지 해지할 수 있습니다. 해지는 관리자 계정(Lv5 대표) 이 서비스 설정 화면의 "서비스 해지 요청"을 통하여 하며, 오조작을 막기 위하여 확인 절차 2단계(사라지는 내용의 확인 + 법인 이름 직접 입력)를 거칩니다. ② 회사는 다음의 경우 이용 법인에게 [14]일 전 최고한 뒤 해지할 수 있습니다.
③ 해지를 요청하면 그 즉시 모든 이용자의 서비스 이용이 중지됩니다. 소속 이용자는 로그인하더라도 고객 데이터를 열람할 수 없습니다. 관리자 계정만 [해지 취소] 와 [데이터 내려받기] 를 할 수 있습니다.
① 해지 요청일부터 30일 동안(이하 "유예기간") 회사는 고객 데이터를 삭제하지 않고 보관하며, 관리자 계정은 이 기간 안에 법인 단위 반출 기능으로 데이터를 내려받을 수 있습니다. ② 반환 형식은 다음과 같습니다.
③ 첨부파일은 하나의 압축파일로 묶어 제공하지 않습니다. 이용 법인은 유예기간 안에 ②의 목록에서 필요한 파일을 직접 내려받아야 합니다. ④ 유예기간 중에는 반출만 가능하며, 데이터의 열람·입력·수정과 메일 수집·발송 기능은 모두 정지됩니다. ⑤ 관리자 계정이 유예기간 안에 해지를 취소하면, 서비스와 데이터는 모두 원래대로 돌아옵니다.
① 유예기간이 지나면 회사는 고객 데이터를 복구할 수 없는 방법으로 파기합니다 (「개인정보 보호법」 제21조제2항). 파기는 매일 1회 자동으로 실행되므로, 유예기간 만료 후 1일 이내에 이루어집니다. ② 즉시 파기 옵션은 제공하지 않습니다. 파기는 언제나 30일 유예를 거칩니다. ③ 파기되는 범위는 다음과 같습니다.
④ 파기 후 회사에 남는 것은 파기 완료 기록 한 줄뿐입니다. 이 기록에는 법인 식별자, 법인 이름, 파기 일시, 삭제한 항목별 건수만 담기며 개인정보는 담기지 않습니다. ⑤ 백업본에 남은 데이터는 백업 보관 주기가 지나면서 자동으로 사라지며, 그때까지 회사는 이에 접근하지 않습니다. ⑥ 파기 예정일과 파기 완료 사실은 서비스 화면에 표시합니다. 해지를 요청하면 로그인 화면에 파기 예정일이 안내되고, 관리자 계정에는 남은 일수가 표시됩니다. 별도의 알림 메일은 발송하지 않습니다. ⑦ ①~⑥에도 불구하고 회사는 법령상 보존 의무가 있는 기록(거래·결제 기록 등)을 해당 기간 동안 보관합니다. 이 경우 다른 개인정보와 분리하여 저장·관리하고 다른 목적으로 이용하지 않습니다(「개인정보 보호법」 제21조제3항).
① 서비스가 자동으로 남기는 접근 기록(감사 로그) 은 생성일부터 3년간 보관한 뒤 자동으로 삭제됩니다. 이 기록에는 개인정보의 값이 담기지 않고, 누가·언제·무엇을 했는지와 바뀐 항목의 이름만 남습니다. ② 이용계약이 해지되어 제13조의3의 파기가 이루어지는 경우에도, 접근 기록은 파기 대상에서 제외하고 관계 법령이 정한 기간까지 보관합니다. 이는 「개인정보 보호법」 제29조 및 「개인정보의 안전성 확보조치 기준」 제8조제1항에 따른 법령상 의무입니다. ③ 제2항에 따라 보관하는 접근 기록은 다른 개인정보와 분리하여 저장·관리하고, 접근 권한을 최소한으로 제한하며, 다른 목적으로 이용하지 않습니다 (「개인정보 보호법」 제21조제3항). ④ 회사는 제2항의 보존 근거·항목·기간·파기 예정일을 이용 법인에게 미리 알리고 개인정보 처리위탁계약서에 명시합니다.
⚠ 변호사 확인 필요 — 다만 근거는 확보했습니다
「개인정보의 안전성 확보조치 기준」 제8조제1항은 접속기록을 1년 이상(5만명 이상의
정보주체를 처리하거나 민감정보·고유식별정보를 처리하는 시스템은 2년 이상) 보관하도록
정하고 있고, 계약 종료 시 면제된다는 예외 규정은 고시 원문에 없습니다.
개인정보보호위원회 「개인정보의 안전성 확보조치 기준 안내서(2025.11.)」 부록 FAQ 문5는
**"개인정보 처리 목적을 달성하여 파기하는 경우라도 … 제8조에서 정한 사항에 따른 기간
동안 접속기록을 보관해야 합니다"** 라고 답하고 있습니다. 그래서 ②를 "함께 삭제"가 아니라
"제외하고 보관" 으로 썼습니다.
정할 것: 보관 기간을 1년으로 할지 2년으로 할지.
노무 자문은 민감정보를 담을 가능성이 높으므로 2년(또는 현행 3년 유지)을 권합니다.
① 서비스는 이용 법인이 켜 놓은 경우에 한하여, 자문 내용을 정리한 초안을 인공지능으로 생성하는 기능을 제공합니다. 또한 새로 들어온 기록(메일 질의, 통화 녹음을 글자로 바꾼 내용, 카카오톡·문자 기록)의 요지와 제목은 이용자가 누르지 않아도 서비스가 인공지능으로 만들어 붙입니다. 답변 초안의 생성과 발송은 언제나 이용자가 눌러야 합니다. ②AI 기능이 만든 것은 언제나 "초안"이며, 완성된 자문 의견이 아닙니다. 초안의 정확성· 완전성·적법성은 보장되지 않습니다. 이용자는 반드시 내용을 검토하고 고쳐서 써야 하며, 고객사에 나가는 최종 결과물에 대한 책임은 이용 법인에게 있습니다. ③ AI 기능은 자문 내용을 국외(미국)의 인공지능 API 사업자에게 전송하여 처리합니다. 전송되는 항목·목적·보유기간은 개인정보처리방침의 국외 이전 고지표에 적었습니다. ④ 회사는 AI 기능으로 데이터를 보내기 전에 담당자의 이름·이메일·전화번호와 주민등록번호 형태의 문자열을 가립니다(마스킹). 다만 고객사(회사)의 이름은 자문 내용의 의미가 유지되도록 가리지 않습니다. 이름 가림은 서비스에 등록된 담당자 명부를 기준으로 하며, 문자를 찍은 캡처 그림은 글자가 아니어서 가리지 못하고 그림 그대로 전송됩니다. ④의2 통화 녹음 파일은 글자로 바꾸기 위하여 국내 음성 인식 사업자에게 전송됩니다. 음성은 가릴 수 없으며, 글자로 바뀐 뒤의 내용에 제4항의 가림이 적용됩니다. 사업자·보유기간은 개인정보처리방침의 위탁 현황에 적었습니다. ⑤Lv4 이상 이용자는 마스킹을 해제하고 호출할 수 있습니다. 이 경우 마스킹 해제 사실이 사용 기록에 남습니다. 마스킹 해제는 필요한 경우로 한정하여야 합니다. ⑥ 이용 법인은 AI 기능을 언제든지 끌 수 있습니다. 끄면 어떤 데이터도 인공지능 API 로 전송되지 않습니다. ⑦ 회사가 이용하는 인공지능 API 사업자는 전송된 내용을 모델 학습에 사용하지 않는 조건의 상용 API 를 사용합니다. 사업자가 바뀌거나 조건이 달라지면 제16조에 따라 알립니다. ⑧ AI 기능의 호출 건수·토큰 수·비용·마스킹 여부는 기록되지만, 질의·답변의 원문은 기록되지 않습니다.
① 서비스는 업무 관리 도구이며, 법령 데이터베이스나 법률 자문 서비스가 아닙니다. ② 서비스는 법령·판례·행정해석의 내용을 제공하지 않으며, 서비스 안에 축적되는 표준 설명 블록·근거 항목은 이용 법인이 스스로 작성·관리하는 자료입니다. 그 정확성과 최신성에 대하여 회사는 아무런 책임을 지지 않습니다. ③ 노무 관련 판단과 고객사에 대한 자문의 책임은 전적으로 이용 법인과 해당 공인노무사에게 있습니다. 회사는 서비스에 기록된 내용에 근거한 자문의 결과에 대하여 책임지지 않습니다. ④ 기한 계산, 상태 자동 이행, 유사 케이스 추천, AI 초안 등 서비스가 제공하는 모든 보조 기능은 참고용이며, 최종 확인 의무는 이용자에게 있습니다.
① 회사가 서비스 운영을 위하여 직접 수집·처리하는 개인정보(이용자의 이름·이메일·등급· 접근 기록 등)에 관하여는 개인정보처리방침이 정하는 바에 따릅니다. ② 이용 법인이 서비스에 입력한 고객 데이터에 포함된 개인정보에 관하여, 이용 법인은 개인정보처리자(위탁자), 회사는 수탁자의 지위를 가집니다. ③ ②의 개인정보 처리에 관한 구체적 사항은 별도의 개인정보 처리위탁계약서 로 정하며, 이용계약 체결 시 함께 체결합니다. 위탁계약서와 이 약관이 충돌하면 위탁계약서가 우선합니다. ④ 회사는 서비스 제공을 위하여 다음 사업자에게 개인정보 처리를 재위탁합니다. 재위탁 사업자를 바꾸거나 추가할 때에는 적용일 [30]일 전에 알리고, 이용 법인은 합리적 사유가 있으면 이의를 제기하거나 계약을 해지할 수 있습니다.
| 사업자 | 역할 | 처리 위치 | |---|---|---| | Supabase, Inc. | 데이터베이스·인증·파일 저장소 | 대한민국(서울 리전) 저장 / 사업자 소재 미국 | | Vercel, Inc. | 화면 파일 호스팅 | 미국 | | Anthropic, PBC | AI 초안·요지·제목 생성 API | 미국 | | 네이버클라우드 주식회사 | 통화 녹음 음성 인식(녹음을 올린 경우에만) | 대한민국 |
⑤ 회사는 서비스의 모든 통신 구간을 암호화(TLS) 하며, 첨부파일은 비공개 저장소에 두고 열람할 때마다 새로 만드는 일회성 주소로만 열람하게 합니다. 유효기간은 수신함 첨부(메일 파일·녹음) 60초, 문서함 10분(600초) 입니다. 메일 비밀번호·API 키 등 비밀값은 서버에만 두고 어떤 경우에도 브라우저로 돌려주지 않습니다.
① 회사는 고객 데이터의 분실·도난·유출·위조·변조·훼손(이하 "침해사고")을 인지한 경우, 인지한 때부터 24시간 이내에 이용 법인의 관리자 계정과 개인정보 보호책임자에게 1차 통지합니다. 1차 통지에는 그 시점까지 확인된 사실만 담습니다. ② 1차 통지 이후 회사는 조사 진행에 따라 추가로 알리고, 조사가 끝나면 원인·피해 범위· 조치 내용·재발 방지 대책을 서면으로 제공합니다. ③ 침해사고에 관한 정보주체 통지와 감독기관 신고는 개인정보처리자인 이용 법인이 법령에 따라 수행합니다. 회사는 이에 필요한 자료와 기술적 지원을 지체 없이 제공합니다. ④ 회사는 이용 법인이 요청하면 침해사고 조사에 필요한 범위에서 접근 기록(감사 로그) 을 제공합니다.
① 회사는 고의 또는 중대한 과실이 없는 한, 다음 사유로 생긴 손해에 대하여 책임지지 않습니다.
② 회사의 손해배상 책임은, 회사의 고의 또는 중대한 과실이 있는 경우를 제외하고, 책임 발생일이 속한 달을 포함한 직전 [12]개월 동안 이용 법인이 회사에 실제로 지급한 이용료 총액을 한도로 합니다. ③ 회사는 어떠한 경우에도 간접손해, 특별손해, 일실이익, 데이터 손실로 인한 영업상 손실에 대하여 책임지지 않습니다. 다만 회사의 고의 또는 중대한 과실로 인한 경우에는 그러하지 아니합니다. ④ ②·③은 개인정보 침해사고에 관한 회사의 책임에는 적용하지 않으며, 그 책임은 개인정보 처리위탁계약서가 정하는 바에 따릅니다.
⚠ 검토 포인트: ②의 한도 조항은 약관의 규제에 관한 법률에 따라 불공정 조항으로
판단될 여지가 있습니다. 특히 무료·저가 플랜에서의 한도 설정은 반드시 변호사와
상의하십시오.
① 서비스와 그 소프트웨어·화면·문서에 대한 지식재산권은 회사에 있습니다. ② 고객 데이터와, 이용 법인이 서비스 안에 작성한 표준 설명 블록·근거 자료에 대한 권리는 이용 법인에게 있습니다. 회사는 제11조 제2항의 범위에서만 이를 처리합니다. ③ 이용 법인은 회사의 사전 서면 동의 없이 서비스를 복제·배포·대여하거나 제3자에게 이용하게 할 수 없습니다.
① 이 약관과 이용계약에는 대한민국 법을 적용합니다. ② 회사와 이용 법인 사이에 분쟁이 생기면 서로 성실히 협의하여 해결합니다. ③ 협의로 해결되지 않으면 [민사소송법에 따른 관할법원 / 서울중앙지방법원] 을 제1심 관할법원으로 합니다.
이용 법인은 회사의 사전 서면 동의 없이 이용계약상 지위나 권리·의무를 제3자에게 양도하거나 담보로 제공할 수 없습니다.
① 회사가 이용 법인에게 하는 통지는 관리자 계정의 이메일 주소로 보냄으로써 효력이 생깁니다. ② 이용 법인 전체에 대한 통지는 서비스 화면에 [7]일 이상 게시함으로써 갈음할 수 있습니다. 다만 이용 법인에게 중대한 영향을 주는 사항은 ①의 방법을 함께 씁니다. ③ 이용 법인은 관리자 계정의 이메일 주소가 바뀌면 지체 없이 회사에 알려야 하며, 알리지 않아 생긴 불이익은 이용 법인이 부담합니다.
사업자 정보 (자리표시)
| # | 조 | 정할 것 | 상태 |
|---|---|---|---|
| 1 | 제9조 | 요금제 6단계의 이름·가격·포함 범위·AI 한도 | 미정 |
| 2 | 제9조 | 결제 대행사, 결제 정보 처리 방식(→ 처리방침에도 반영) | 미정 |
| 3 | 제10조 | 가용성 목표와 미달 시 보상 — 별도 SLA 문서 | 미작성 |
| 4 | 제13조의4 | 접근 기록 보관 기간을 1년 / 2년 / 3년 중 무엇으로 할지 (파기 대상 제외는 확정 — 고시 제8조제1항 + 안내서 FAQ 문5) | 결정 필요 |
| 5 | 제18조 | 책임 한도 — 변호사 필수 검토 | 초안 |
| 6 | 제20조 | 관할법원 | 미정 |
| 7 | 전체 | 서비스 정식 명칭과 사업자 정보 | 미정 |
이 약관의 개인정보 관련 조항(제16조·제17조)은 다음 근거에 따라 작성했습니다. 정확한 조문 번호와 인용은 안전성-확보조치-대응표-v0.1.md 와 개인정보처리방침-v0.1.md 의 참고 목록을 함께 보십시오.
CLAUDE.md(절대 규칙 5·8), docs/40단계-2.0-로그인-권한-v0.1.md, docs/40단계-2.0-첨부-보관-계정-v0.1.md, supabase/functions/_shared/mask.ts