이용약관 및 개인정보처리방침 (v2.2, 2026-08-15)

변호사 검토 전 초안입니다. 이 문서는 실제 구현된 동작과 관계 법령의 조문을 근거로

작성한 초안이며, 법률 자문이 아닙니다. 실제 상업 서비스로 운영하기 전에 반드시 등록

변호사의 검토를 받으십시오. 문서 끝의 "확인이 필요한 사항"에 아직 확정하지 못한 쟁점을

남겨 두었습니다.

v2.1(2026-08-15) 대비 변경(v2.2): 서비스의 명칭이 "NeoCannBio ControlCenter"에서

"NeoTrace"로 바뀌었습니다. 명칭만 바뀐 것이며 운영사(네오켄바이오), 제공 기능, 수집하는

개인정보 항목, 보유기간, 위탁·국외이전 내역은 하나도 달라지지 않았습니다. 이용자에게

불리한 변경이 아니므로 재동의 대상이 아니라고 판단했습니다(변호사 확인 필요 항목).

v2.0(2026-08-14) 대비 변경(v2.1): 백업 파일의 국외 보관(Cloudflare R2)을 시행함에 따라

제7조를 "국외로 이전하지 않는다"에서 국외 이전 고지 표로 교체하고, 제6조 위탁 표에 백업

보관을 추가했습니다.

v1.1(2026-08-02) 대비 주요 변경: 사업자 정보와 개인정보 보호책임자를 기재했습니다.

회사가 고객사 데이터에 대해 수탁자라는 지위 구분을 신설했습니다. 손해배상 한도,

데이터 소유권·반환, 커뮤니티, 준거법·관할 조항을 새로 넣었습니다. 면책조항을 급부범위

조항으로 다시 썼습니다. 백업 보관기간 기재가 실제와 달랐던 것을 바로잡았습니다

(30일 → 최근 60회분과 월 1회분 12개월).

이 개정은 손해배상 한도 신설 등 이용자에게 불리한 변경을 포함하므로 기존 이용자의

재동의가 필요할 수 있습니다. 재동의를 받는 흐름은 아직 구현되어 있지 않습니다

(알려진 제한 — 재동의 필요 여부는 변호사 확인이 필요합니다).

제1장 이용약관

제1조 (목적)

이 약관은 네오켄바이오(이하 "운영사")가 제공하는 NeoTrace(이하 "서비스")의 이용조건 및 절차, 운영사와 이용자의 권리·의무 및 책임사항을 정함을 목적으로 합니다. 서비스는 2026년 8월 15일 이전에 "NeoCannBio ControlCenter"라는 명칭으로 제공되었으며, 명칭이 바뀌었을 뿐 동일한 서비스입니다.

제2조 (정의)

• "서비스"란 규제물질 취급시설의 구역통제, 출입·작업 기록, 재고관리, 폐기기록, 감사기록 기능을 제공하는 소프트웨어를 말합니다.
• "규제물질"이란 이용자가 관계 법령에 따라 기록·보존 의무를 부담하는 물질로서, 「마약류 관리에 관한 법률」에 따른 마약류 및 원료물질, 「화학물질관리법」에 따른 유해화학물질(유독물질· 허가물질·제한물질·금지물질·사고대비물질), 「위험물안전관리법」에 따른 위험물, 「원자력안전법」에 따른 방사성동위원소 및 방사선발생장치 등을 말합니다.
• "고객"이란 서비스에 가입한 회사·기관을 말하며 "조직"과 같은 뜻입니다.
• "이용자"란 고객에 소속되어 서비스를 이용하는 개인(관리자·일반회원)을 말합니다.
• "고객 데이터"란 고객이 서비스에 입력·업로드하였거나 서비스 이용 과정에서 생성된 일체의 데이터를 말합니다.
• "개별 계약"이란 이용료·계정 수·계약기간 등을 정하여 운영사와 고객이 따로 체결한 계약서 또는 운영사가 제시하고 고객이 승낙한 견적서를 말합니다.

제3조 (약관의 명시·설명 및 변경)

1. 운영사는 이 약관의 내용을 고객이 쉽게 알 수 있도록 서비스 화면과 가입 절차에 게시하고, 고객이 요청하면 전자문서로 교부합니다. 2. 운영사는 이용료, 서비스의 범위, 책임의 제한, 계약의 해지에 관한 사항 등 고객에게 중요한 내용을 고객이 이해할 수 있도록 설명합니다. 3. 운영사는 관계 법령을 위반하지 아니하는 범위에서 이 약관을 변경할 수 있습니다. 4. 약관을 변경하는 경우 운영사는 변경 내용과 사유, 적용일자를 명시하여 적용일 30일 전부터 서비스 내 공지 및 고객의 관리자에게 등록된 연락처로 통지합니다. 다만 고객에게 불리하지 아니한 변경이거나 법령 개정을 반영하는 변경은 7일 전 공지로 갈음할 수 있습니다. 5. 고객이 제4항의 통지를 받고 적용일 전일까지 거부의 의사를 표시하지 아니한 경우 변경에 동의한 것으로 봅니다. 운영사는 제4항의 통지에 그 사실을 명확히 기재합니다. 6. 변경에 동의하지 아니하는 고객은 적용일 전일까지 이용계약을 해지할 수 있으며, 이 경우 운영사는 잔여 이용기간에 해당하는 이용료를 일할 계산하여 반환합니다. 7. 이 약관과 개별 계약의 내용이 다른 경우에는 개별 계약이 우선합니다.

제4조 (서비스의 내용)

운영사는 다음 기능을 제공합니다: 구역·시설 관제, 출입기록, 작업일지, 폐기기록(작성자와 승인자를 분리하는 이중서명), 재고 원장 및 재고 대사, 일일 점검, 시설 서류 보관, 설계도 구역 표시, 감사기록, 조제기록, 취급 내역 집계 및 CSV 내보내기, 커뮤니티, 문의하기.

서비스가 제공하지 않는 것(오해를 막기 위해 명시합니다): CCTV 실시간 연동, 마약류통합관리시스템(NIMS)에 대한 자동 제출 및 연계 인증, 「마약류 관리에 관한 법률」 제36조에 따른 대마재배자의 관할 시장·군수·구청장에 대한 보고 기능, 전자저울 등 계측 하드웨어 연동, 문자·카카오 알림 발송, 「전자서명법」에 따른 전자서명, 시점확인(타임스탬프), 법정 서식의 자동 생성, 신용카드 자동결제.

제5조 (오해를 막기 위한 고지)

이용자는 서비스를 이용하기 전에 다음 사항을 확인하고 이에 동의합니다.

1. 규제기관 제출: 서비스는 취급 내역을 집계하여 CSV 파일로 내보내는 기능까지 제공합니다. 규제기관에 대한 자동 제출 기능은 없습니다. 특히 대마 재배시설의 보고 상대방은 식품의약품 안전처가 아니라 관할 시장·군수·구청장이며 서식도 다릅니다. 서비스가 만드는 CSV는 법정 서식과 다를 수 있으므로, 이용자는 제출 전에 관할 기관이 요구하는 서식과 항목을 직접 확인하여야 합니다. 2. 전자적 보관: 법령에 따라 전자적 보관의 근거가 다릅니다. 「화학물질관리법」 제50조 제2항은 *"전산 입력 자료가 있으면 해당 서류를 갈음하여 전산 입력 자료를 보존할 수 있다"*고 정하고 있고, 「산업안전보건법」 제164조 제7항도 같은 취지의 규정을 두고 있습니다. 그 밖의 법령에 대해서는 「전자문서 및 전자거래 기본법」 제4조의2·제5조의 일반 요건에 따릅니다. 다만 「마약류 관리에 관한 법률」 제32조 제3항은 처방전·진료기록부를 전자적으로 보존하려면 「전자서명법」에 따른 전자서명이 기재된 전자문서일 것을 요구하는데, 서비스는 전자서명과 시점확인(타임스탬프) 기능을 제공하지 않습니다. 또한 서비스는 「전자문서 및 전자거래 기본법」에 따른 공인전자문서센터가 아니므로, 종이 원본을 스캔해 올렸다는 이유로 원본을 폐기해도 된다고 안내하지 않습니다. 종이 원본을 폐기하기 전에 반드시 별도의 법률 검토를 받으시기 바랍니다. 3. 점검 주기: 법령이 정하는 점검 주기는 서로 다릅니다. 「화학물질관리법」 제26조 제1항은 유해화학물질 취급시설에 대하여 주 1회 이상 자체점검을 실시하고 그 결과를 5년간 기록·비치 하도록 하며(가동중단·휴업 중인 경우를 포함하고, 연구실은 적용 제외), 「위험물안전관리법」 제18조는 연 1회 이상 정기점검과 3년 보존, 점검일부터 30일 이내 관할 소방서장 제출을 정합니다. 서비스의 일일 점검 기능은 이용자가 정한 항목에 대한 기록이며, 법정 점검의 주기· 서식을 대체하지 않습니다. 4. 폐기 절차: 서비스의 폐기기록 이중서명은 이용자 내부의 통제 수단이며, 관계 법령이 정하는 관할 관청에 대한 보고·승인·입회 등 법정 폐기 절차를 대체하지 않습니다.

5. 기록의 무결성: 출입기록·작업일지·폐기기록·재고 원장은 해시로 서로 연결되어 저장 이후의 변조 여부를 사후에 검증할 수 있습니다. 이는 위·변조가 불가능하다는 뜻이 아니며, 데이터베이스 전체를 다시 만들어 사슬을 재계산한 경우는 탐지하지 못합니다. 6. 보존기간: 서비스는 이용자의 법정 보존기간을 자동으로 판정하거나 강제하지 않으며, 보존기간이 지난 기록을 자동으로 파기하지도 않습니다. 보존기간의 결정과 관리는 이용자의 책임입니다.

제6조 (가입 및 계정)

1. 회사 가입은 신청 후 운영사의 승인을 거쳐 완료됩니다. 승인 시 초기 관리자 계정과 임시 비밀번호가 발급되며 최초 로그인 시 비밀번호 변경이 강제됩니다. 2. 고객의 관리자는 소속 이용자의 계정을 승인·차단할 권한을 가지며, 그 권한 행사의 결과는 고객에게 귀속됩니다. 3. 이용자는 자신의 계정과 비밀번호를 제3자와 공유하여서는 아니 됩니다. 기록의 작성자를 특정할 수 없게 되면 규제 대응의 근거가 훼손되기 때문입니다.

제7조 (이용자의 의무)

이용자는 다음 행위를 하여서는 아니 됩니다.

• 타인의 계정을 도용하거나 계정을 공유하는 행위
• 서비스를 이용하여 규제물질 관련 법령을 위반하는 행위
• 사실과 다른 기록을 입력하는 행위
• 서비스의 정상적인 운영을 방해하거나 다른 고객의 데이터에 접근을 시도하는 행위

제8조 (서비스의 변경 및 중단)

1. 운영사는 서비스의 개선, 기술적 필요, 법령 준수, 보안 확보 등 상당한 이유가 있는 경우 서비스의 내용을 변경할 수 있습니다. 2. 서비스의 주요 기능을 폐지하거나 고객에게 불리하게 변경하는 경우 운영사는 적용일 30일 전까지 통지하며, 고객은 그 변경으로 계약의 목적을 달성하기 어려운 때에는 이용계약을 해지하고 잔여기간 이용료를 일할 반환받을 수 있습니다. 3. 정기 점검은 예정일 24시간 전까지 공지합니다. 장애 복구·보안 조치 등 긴급한 사유가 있는 경우에는 먼저 조치한 후 지체 없이 그 사유와 조치 내용을 통지합니다. 4. 운영사가 서비스 전부를 종료하려는 경우 종료일 90일 전까지 통지하고, 제13조에 따라 고객이 데이터를 반출할 수 있도록 지원한 후 파기합니다.

제9조 (서비스 수준 및 가용성)

1. 운영사는 서비스를 안정적으로 제공하기 위하여 상업적으로 합리적인 노력을 다합니다. 다만 운영사는 개별 계약으로 서비스수준약정을 따로 체결하지 아니하는 한 특정 가동률을 보증하지 아니합니다. 2. 운영사는 계약 체결 전 고객에게 서비스가 운영되는 설비의 구성과 그에 따른 가용성의 한계를 고지하며, 고객은 이를 이해하고 계약을 체결합니다. 3. 운영사의 귀책사유로 서비스가 연속하여 4시간 이상 또는 1개월 중 합계 24시간 이상 중단된 경우, 고객의 청구에 따라 운영사는 중단 시간에 상응하는 기간만큼 이용기간을 연장합니다. 이 연장은 고객이 다른 법적 구제를 구하는 것을 배제하지 아니합니다. 4. 운영사는 다음의 경우 지체 없이 고객에게 통지합니다.

• 침해사고가 발생한 때
• 고객 데이터 또는 개인정보가 유출된 때
• 사전 예고 없이 서비스가 연속 10분 이상 중단되거나, 24시간 이내에 2회 이상 중단되어 그 합계가 15분 이상인 때

5. 고객은 서비스와 별개로 자신의 책임으로 데이터를 정기적으로 내보내어 보관할 수 있으며, 운영사는 그 기능을 상시 제공합니다.

제10조 (이용료의 청구 및 납부)

1. 이용료, 결제주기, 계정 수, 계약기간은 개별 계약에서 정합니다. 서비스는 공개 정가를 두지 않으며, 도입 상담을 거쳐 규모와 이용 범위에 따라 조건을 정합니다. 2. 이용료에는 부가가치세가 포함되어 있지 아니하며 별도로 청구됩니다. 3. 운영사는 각 이용기간이 시작되기 전에 세금계산서를 발행하고, 고객은 발행일부터 14일 이내에 운영사가 지정한 계좌로 납부합니다. 4. 결제는 계좌이체 방식으로만 이루어지며, 운영사는 입금을 확인한 후 영업일 기준 1일 이내에 서비스를 활성화합니다. 신용카드 자동결제를 지원하지 아니하므로 고객의 동의 없이 요금이 자동으로 청구되는 일은 없습니다. 5. 고객이 납부기한을 지나 납부하는 경우 「상법」이 정한 상사법정이율에 따른 지연이자를 가산합니다. 6. 신규 고객은 14일간 무료로 서비스를 이용할 수 있습니다. 무료 이용기간이 끝나도 요금이 자동으로 청구되지 아니하며, 고객이 따로 유료 이용을 신청하고 이용료를 납부한 때에 유료 계약이 성립합니다. 7. 이용료는 계약기간 중에는 변경되지 아니합니다. 운영사가 갱신되는 계약기간의 이용료를 변경하려는 경우 갱신일 60일 전까지 통지하여야 하며, 통지가 없으면 종전 이용료로 갱신됩니다. 고객은 갱신일 전일까지 갱신을 거절할 수 있습니다.

제11조 (환불)

1. 이용계약이 이용기간 중에 종료된 경우 운영사는 잔여기간에 해당하는 이용료를 일할 계산하여 고객이 지정하는 계좌로 반환합니다. 2. 제12조 제2항에 따라 운영사가 계약을 해지한 경우에는 제1항을 적용하지 아니합니다. 3. 고객이 선납에 따른 할인을 적용받은 후 이용기간 중에 해지하는 경우, 실제 이용기간에 대하여 할인 전 요율을 적용하여 정산한 후 잔액을 반환합니다. 4. 운영사의 귀책사유로 계약이 종료된 경우에는 제2항을 적용하지 아니하며, 운영사는 잔여기간 이용료 전액을 반환합니다.

제12조 (계약의 해지)

1. 고객은 언제든지 이용계약을 해지할 수 있습니다. 해지는 해지 의사가 운영사에 도달한 날이 속하는 이용기간의 말일에 효력이 발생하며, 고객이 즉시 해지를 원하는 경우 잔여기간 이용료를 일할 계산하여 반환합니다. 2. 운영사는 고객이 다음에 해당하는 경우 30일 이상의 기간을 정하여 시정을 최고하고, 그 기간 내에 시정되지 아니하면 이용계약을 해지할 수 있습니다.

• 이용료를 납부기한으로부터 30일 이상 납부하지 아니한 경우
• 이 약관 또는 개별 계약을 중대하게 위반한 경우

3. 다음의 경우 운영사는 최고 없이 서비스 이용을 정지하거나 계약을 해지할 수 있으며, 이 경우 지체 없이 그 사유를 통지합니다.

• 고객이 서비스를 이용하여 법령을 위반하거나 타인의 권리를 침해한 것이 명백한 경우
• 고객에 대하여 파산 또는 회생 절차의 개시가 신청되거나 그 절차가 개시된 경우
• 서비스의 안정적 운영에 중대한 장애를 초래하는 행위를 한 경우

4. 구독이 만료·정지된 경우에도 조회는 계속 가능하고 신규 등록·수정만 제한됩니다(읽기 전용 모드). 운영사는 이용료 미납을 이유로 고객 데이터를 삭제하지 아니하며, 데이터 반출을 거부하지 아니합니다. 규제기록은 고객이 법령상 보존·제시하여야 하는 기록이기 때문입니다.

제13조 (고객 데이터의 소유권·반환 및 파기)

1. 고객 데이터에 관한 권리는 고객에게 귀속합니다. 이 약관의 어떠한 규정도 고객 데이터에 관한 권리를 운영사에게 이전하는 것으로 해석되지 아니합니다. 2. 운영사는 서비스의 제공, 장애 대응, 백업, 법령상 의무 이행에 필요한 범위에서만 고객 데이터를 처리하며, 고객의 사전 동의 없이 제3자에게 제공하거나 서비스 제공 목적 외의 용도(통계·연구·인공지능 학습을 포함합니다)로 이용하지 아니합니다. 3. 운영사는 법원의 제출명령이나 법관이 발부한 영장에 의하지 아니하고는 고객의 동의 없이 고객 데이터를 제3자에게 제공하지 아니하며, 그러한 요구를 받은 경우 법령이 금지하지 아니하는 범위에서 지체 없이 고객에게 통지합니다. 4. 고객은 이용기간 중 언제든지 서비스가 제공하는 내보내기 기능을 이용하여 고객 데이터를 반출할 수 있습니다. 5. 이용계약이 종료된 경우 운영사는 종료일부터 90일간(이하 "반출기간") 고객이 데이터를 조회하고 내려받을 수 있도록 합니다. 이 기간의 조회·내보내기에는 별도의 비용을 청구하지 아니합니다. 반출 대상은 다음과 같습니다.

• 출입기록, 작업일지, 폐기기록, 재고 원장 및 재고 대사, 일일 점검, 조제기록, 감사기록: UTF-8 CSV 등 널리 쓰이는 기계판독 가능 형식
• 업로드된 시설 서류·폐기 증빙·설계도: 복호화된 원본 파일
• 해시체인 검증 결과와 그 한계에 관한 설명서

6. 고객 데이터에는 고객이 법령에 따라 일정 기간 보존하여야 하는 기록이 포함될 수 있습니다. 그 기록의 보존의무자는 고객이며, 고객은 반출기간 내에 반드시 데이터를 반출하여 스스로 보존하여야 합니다. 7. 운영사는 반출기간이 끝난 후 고객 데이터를 복원할 수 없는 방법으로 파기합니다. 운영사는 파기 예정일 30일 전과 7일 전에 고객의 관리자에게 통지하며, 고객이 반출기간 종료 전에 서면으로 요청하는 경우 보관기간을 연장할 수 있습니다. 이 경우 보관 비용을 청구할 수 있습니다. 8. 백업본에 포함된 데이터는 제2장 제8조의 백업 보관 정책에 따라 일정 기간 남아 있을 수 있으며, 보관기간이 지나면 백업본과 함께 파기됩니다.

제14조 (서비스의 성격과 역할 분담)

1. 서비스는 고객이 관계 법령에 따라 스스로 수행하여야 하는 기록의 작성·보존·보고 업무를 전산으로 보조하는 도구이며, 다음은 운영사가 제공하기로 한 급부의 범위에 포함되지 아니합니다.

• 고객이 입력한 데이터(재고 수량, 폐기 사유, 계측값 등)가 사실과 부합하는지에 대한 검증. 데이터의 입력과 확인은 고객의 업무입니다.
• 규제기관에 대한 신고·보고의 제출. 서비스는 보고 자료의 작성·집계·내보내기까지 지원하며, 실제 제출과 그 내용에 대한 책임은 고객에게 있습니다.
• 제4조에서 제공하지 아니한다고 명시한 기능

2. 관계 법령이 정하는 보고·신고·기록 작성 및 보존 의무의 주체는 해당 법령이 정한 자, 즉 고객입니다. 이 의무는 운영사와의 계약이나 서비스 이용에 의하여 운영사에게 이전되지 아니합니다. 3. 운영사는 서비스가 특정 규제기관의 점검·감사를 통과시킨다거나 특정 인증을 충족시킨다고 보증하지 아니합니다.

제15조 (불가항력)

1. 천재지변, 전쟁, 감염병, 국가기관의 명령, 기간통신사업자 또는 전력공급자의 역무 중단 등 운영사가 통제할 수 없는 사유로 서비스를 제공하지 못한 경우, 운영사는 그 기간의 채무불이행 책임을 지지 아니합니다. 2. 제1항은 그 사유의 발생 또는 확대에 운영사의 고의 또는 중대한 과실이 있는 경우에는 적용하지 아니합니다. 3. 불가항력이 30일 이상 계속되는 경우 각 당사자는 이용계약을 해지할 수 있으며, 이 경우 운영사는 잔여기간 이용료를 일할 반환합니다.

제16조 (손해배상 및 책임의 제한)

1. 각 당사자는 자신의 귀책사유로 상대방에게 손해를 입힌 경우 그 손해를 배상합니다. 2. 운영사가 고객에게 부담하는 손해배상책임의 총액은, 손해가 발생한 사건이 최초로 발생한 날부터 소급하여 12개월 동안 고객이 운영사에게 실제로 지급한 이용료의 합계액을 한도로 합니다. 이용기간이 12개월에 미달하는 경우에는 그 기간에 실제로 지급한 이용료의 합계액을 한도로 합니다. 3. 운영사는 특별한 사정으로 인한 손해에 대하여는 그 사정을 알았거나 알 수 있었던 경우에 한하여 배상책임을 부담합니다. 4. 제2항과 제3항은 다음의 경우에는 적용하지 아니합니다.

• 운영사, 그 이행보조자 또는 피용자의 고의 또는 중대한 과실로 인한 손해
• 생명·신체에 대한 손해
• 운영사가 「개인정보 보호법」 제26조에 따른 수탁자로서 부담하는 책임
• 그 밖에 법령상 제한할 수 없는 책임

5. 제2항의 한도는 이 서비스의 이용료 수준, 운영사가 고객에게 데이터 내보내기 기능을 상시 제공하는 점, 고객이 법령상 기록의 보존의무자로서 스스로 백업할 수 있는 점을 고려하여 정한 것입니다. 고객은 별도의 약정과 추가 대가로 이 한도를 상향할 수 있으며, 운영사는 고객이 요청하면 그 조건을 제시합니다. 6. 고객이 서비스에 입력한 데이터로 인하여 또는 고객의 법령 위반으로 인하여 제3자가 운영사에게 청구를 제기한 경우, 고객은 자신의 비용과 책임으로 이를 방어하고 운영사가 입은 손해를 배상합니다. 7. 이 조의 책임 제한은 계약이 해지되거나 종료된 후에도 효력을 유지합니다.

제17조 (커뮤니티 및 이용자 게시물)

1. 서비스의 커뮤니티는 다음 두 가지 공개범위로 구분되며, 서비스는 글을 쓰는 화면에 그 범위를 표시합니다.

• 사내 게시판: 작성자가 소속된 조직의 이용자에게만 공개됩니다.
• 전시장(공개 게시판): 서비스를 이용하는 다른 조직의 이용자에게도 공개됩니다.

2. 전시장에 올린 글에는 작성 시점의 조직명과 작성자 아이디가 함께 표시되어 다른 조직의 이용자에게 공개됩니다. 고객과 이용자는 이를 이해하고 글을 작성합니다. 3. 이용자는 다음을 전시장에 게시하여서는 아니 됩니다.

• 소속 조직의 영업비밀 또는 대외비 정보
• 규제물질의 종류·수량·보관 위치 등 보안상 공개되어서는 아니 되는 정보
• 타인의 개인정보, 환자 정보 또는 처방 관련 식별정보
• 타인의 명예를 훼손하거나 권리를 침해하는 내용, 법령을 위반하는 내용

4. 게시물에 관한 권리는 작성자 또는 그가 소속된 조직에 귀속합니다. 운영사는 서비스 안에서 게시물을 저장·표시·검색·백업하는 데 필요한 범위에서만 이를 이용합니다. 5. 게시물의 내용에 대한 책임은 작성자와 그가 소속된 조직에 있으며, 운영사는 게시물을 사전에 검열할 의무를 부담하지 아니합니다. 6. 운영사는 게시물이 제3항에 해당함이 명백하거나 그러한 신고가 접수된 경우 해당 게시물을 삭제하거나 30일 이내의 기간을 정하여 접근을 임시로 차단할 수 있습니다. 이 경우 운영사는 지체 없이 작성자에게 그 사유를 통지하며, 작성자는 통지를 받은 날부터 15일 이내에 이의를 제기할 수 있습니다. 7. 운영사는 제6항의 조치를 하지 아니하였다는 이유로 그 게시물로 인한 손해에 대하여 책임을 부담하지 아니합니다. 다만 운영사가 그 게시물의 위법성을 명백히 알았거나 알 수 있었음에도 필요한 조치를 취하지 아니한 경우에는 그러하지 아니합니다.

제18조 (비밀유지)

각 당사자는 이 계약의 이행 과정에서 알게 된 상대방의 영업비밀과 기술정보를 상대방의 사전 서면 동의 없이 제3자에게 공개하여서는 아니 되며, 이 의무는 계약 종료 후 3년간 존속합니다. 법령이나 법원의 명령에 따라 공개하여야 하는 경우에는 그러하지 아니하며, 이 경우 지체 없이 상대방에게 통지합니다.

제19조 (지식재산권)

서비스와 그에 포함된 소프트웨어·문서·상표에 관한 권리는 운영사에게 귀속합니다. 고객은 이용기간 중 서비스를 이용할 수 있는 비독점적 권리를 가지며, 이를 제3자에게 양도하거나 재판매할 수 없습니다. 고객 데이터에 관한 권리는 제13조 제1항에 따라 고객에게 귀속합니다.

제20조 (통지)

1. 운영사가 고객에게 하는 통지는 서비스 내 공지 또는 고객이 등록한 관리자 연락처로 합니다. 2. 현재 메일 발송 설정이 되어 있지 아니하여 안내 메일이 발송되지 않을 수 있습니다. 이 경우 운영사는 서비스 내 공지로 통지하며, 고객은 서비스에 접속하여 공지를 확인할 책임이 있습니다.

제21조 (양도의 제한)

각 당사자는 상대방의 사전 서면 동의 없이 이 계약상 지위나 권리·의무를 제3자에게 양도할 수 없습니다. 다만 합병·영업양도 등 사업의 포괄승계가 있는 경우에는 그러하지 아니하며, 이 경우 지체 없이 상대방에게 통지합니다.

제22조 (준거법·관할 및 일부무효)

1. 이 약관과 이용계약에는 대한민국 법령이 적용됩니다. 2. 이 약관과 이용계약에 관한 분쟁은 「민사소송법」이 정하는 관할법원에 제기할 수 있습니다. 3. 당사자는 분쟁이 발생한 경우 소송에 앞서 성실히 협의하며, 협의가 이루어지지 아니하는 경우 대한상사중재원의 조정 등 대체적 분쟁해결 절차를 이용할 수 있습니다. 4. 이 약관의 어느 조항이 무효이거나 집행할 수 없는 것으로 판단되는 경우에도 나머지 조항의 효력에는 영향을 미치지 아니하며, 무효인 조항은 그 목적에 가장 가까운 유효한 내용으로 대체된 것으로 봅니다.

제2장 개인정보처리방침

네오켄바이오(이하 "회사")는 「개인정보 보호법」 제30조에 따라 정보주체의 개인정보를 보호하고 이와 관련한 고충을 신속하게 처리할 수 있도록 다음과 같이 개인정보처리방침을 수립·공개합니다.

제1조 (이 방침의 적용 범위 — 회사의 두 가지 지위)

이 서비스는 여러 기관이 함께 사용하는 방식이며, 회사의 법적 지위는 개인정보의 종류에 따라 다릅니다. 이 구분은 정보주체가 권리를 어디에 행사하여야 하는지를 정하므로 먼저 밝힙니다.

회사가 수탁자인 개인정보에 대해서는 수집·이용 목적과 보유기간을 고객사가 정하며, 정보주체는 소속 고객사에 권리를 행사하는 것이 원칙입니다. 다만 회사는 정보주체가 회사로 요청한 경우 이를 지체 없이 해당 고객사로 전달하고 그 사실을 알려 드립니다.

회사는 위탁받은 개인정보를 위탁업무 수행 목적 외의 용도로 처리하지 아니하며, 고객사의 사전 동의 없이 제3자에게 재위탁하지 아니합니다.

제2조 (개인정보의 처리 목적)

1. 서비스 제공 및 계정 관리: 가입 의사 확인, 본인 식별·인증, 회원자격 유지·관리, 부정 이용 방지, 고지·통지 2. 규제물질 취급 기록의 생성·보존: 구역 출입통제, 작업일지·점검기록 작성자 식별, 폐기 이중서명 당사자 식별, 조제기록 취급자 식별 3. 보안 및 감사 대응: 접속기록 생성·보관, 부정 접근 탐지, 규제기관 점검 시 행위 추적 4. 이상 상황의 자동 탐지 및 통지: 센서 이상, 심야시간대 출입, 재고 불일치, 설비 고장의 자동 판정과 관리자 통지(기준은 제11조 참조) 5. 고객 문의 및 도입 상담: 도입 문의 회신, 회사 가입 신청 심사 및 결과 안내 6. 요금 청구 및 정산: 세금계산서 발행, 이용료 청구

제3조 (처리하는 개인정보의 항목)

가. 회사가 개인정보처리자로서 처리하는 항목

나. 회사가 수탁자로서 고객사를 대신하여 처리하는 항목

환자의 개인정보(성명, 주민등록번호 등)는 수집하지 않습니다. 조제기록에는 병원 내부 관리번호 등 익명화된 참조번호만 저장하도록 설계되어 있습니다.

민감정보와 고유식별정보는 수집 항목으로 설정하지 않습니다. 다만 방문목적 등 자유 입력란에 건강 관련 정보가 기재될 수 있으므로, 그 란에 민감정보를 입력하지 않도록 안내합니다.

회사는 지문·얼굴 등 생체인식정보를 수집하지 않습니다. 현장 출입 확인은 QR 코드 또는 담당자 입력 방식으로만 이루어집니다.

제3조의2 (민감정보의 처리)

1. 방사선 관계 기관이 서비스를 이용하는 경우, 법령에 따라 다음의 민감정보(건강에 관한 정보)가 처리될 수 있습니다.

2. 위 정보는 「개인정보 보호법」 제23조 제1항 제2호(법령에서 민감정보의 처리를 요구하거나 허용하는 경우)에 따라 처리되며, 정보주체의 별도 동의를 처리의 근거로 하지 않습니다. 그 결과 정보주체가 삭제를 요청하더라도 법정 보존기간 중에는 파기할 수 없습니다. 3. 회사는 건강진단 결과(판정 내용, 소견, 검사 수치, 진단서 파일)를 입력하기 위한 전용 항목을 제공하지 않으며, 이를 입력·업로드하지 아니할 것을 권고합니다. 고객사가 자유 입력란이나 서류 보관 기능을 통하여 이를 입력하는 경우, 그에 필요한 법령상 처리근거 또는 정보주체의 별도 동의를 확보할 책임은 개인정보처리자인 고객사에 있습니다. 4. 회사는 위 정보를 통계·분석·마케팅 등 어떠한 부가 목적으로도 이용하지 않습니다. 5. 회사는 방사선량의 측정·평가, 개인선량계의 관리·판독, 건강진단의 실시 또는 그 결과의 의학적 판단을 수행하지 않습니다. 서비스에 입력·표시되는 측정값과 판정 결과는 고객사 또는 고객사가 선정한 외부 전문기관이 산출한 값입니다.

제4조 (개인정보의 처리 및 보유 기간)

가. 회사가 개인정보처리자인 개인정보

나. 회사가 수탁자인 개인정보 — 업종별 보존기간

고객사에 적용되는 규제 법령의 기록보존 의무를 따릅니다. 보존기간은 업종마다 다르며, 가장 긴 기간으로 일률적으로 맞추지 않습니다. 법령상 근거 없이 오래 보관하는 것 자체가 「개인정보 보호법」 제21조 제1항의 파기의무 위반이 될 수 있기 때문입니다.

"사용을 폐지할 때까지"의 기산: 위 표에서 그렇게 표시된 기록은 고객사가 해당 방사성동위원소 등의 사용을 폐지한 사실을 회사에 알린 시점을 보존기간의 종료 사유로 봅니다. 알리지 않는 한 회사는 해당 기록을 계속 보존합니다.

대마 재배시설에 관하여: 「마약류 관리에 관한 법률」 제36조(대마재배자의 보고)는 재배 면적· 생산 현황·수량의 보고를 정할 뿐 보존기간 규정을 두고 있지 않습니다. 이 경우 보존기간은 고객사의 인허가 조건이나 규제자유특구 실증특례의 부가조건에 따릅니다.

위 표는 대표적인 법정 기간을 안내한 것이며, 고객사의 인허가 유형과 취급물질에 따라 실제 적용 기간이 달라질 수 있습니다. 회사는 특정 보존기간이 법적으로 충분함을 보증하지 않으며, 고객사가 직접 확인하여 설정할 책임이 있습니다.

알려진 제한: 현재 서비스는 업종별 보존기간을 설정하고 그에 따라 자동으로 파기하는 기능을 제공하지 않습니다. 보존기간의 관리는 고객사가 수행하여야 합니다.

제5조 (개인정보의 제3자 제공)

회사는 정보주체의 개인정보를 제3자에게 제공하지 않습니다. 다만 「개인정보 보호법」 제18조 제2항에 따라 다음의 경우에는 예외로 하며, 이 경우 요청의 근거와 범위를 확인한 후 필요한 최소한의 범위에서만 대응합니다.

• 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우
• 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우로서 적법한 영장 또는 법령상 요건을 갖춘 요청이 있는 경우

제6조 (개인정보 처리업무의 위탁)

회사는 원활한 서비스 제공을 위하여 다음과 같이 개인정보 처리업무를 위탁하고 있습니다.

회사는 위탁계약을 체결할 때 「개인정보 보호법」 제26조에 따라 위탁업무 수행목적 외 개인정보 처리 금지, 기술적·관리적 보호조치, 재위탁 제한, 수탁자에 대한 관리·감독, 손해배상 등 책임에 관한 사항을 문서에 명시하고, 수탁자가 개인정보를 안전하게 처리하는지 감독합니다.

위탁업무의 내용이나 수탁자가 변경될 경우 이 방침을 통하여 공개합니다.

현재 메일 발송(SMTP) 설정이 되어 있지 않아 안내 메일을 발송하지 않으며, 발송이 필요한 내용은 서버 기록으로만 남습니다. 메일 발송 사업자를 정하는 경우 위 표에 추가합니다.

제7조 (개인정보의 국외 이전)

회사는 「개인정보 보호법」 제28조의8에 따라, 재해·설비 장애로부터 기록을 보전하기 위하여 다음과 같이 암호화된 백업 파일을 국외로 이전(보관)합니다.

국외로 이전되는 백업본은 AES-256-GCM으로 암호화된 상태로만 전송·보관되며, 복호화 키는 국외로 이전하지 않습니다. 이전받는 자는 암호화된 파일의 내용에 접근할 수 없습니다.

고객사 직원·방문자의 개인정보에 대하여: 이 국외 이전은 고객사가 개인정보처리자인 개인정보의 재위탁에 해당하므로, 고객사는 이 약관(부속서 1 제4항)에 동의함으로써 이에 동의합니다. 고객사는 소속 정보주체(임직원·방문자)에게 국외 이전 사실을 고지하거나 자신의 개인정보처리방침에 공개할 책임이 있으며, 회사는 요청 시 그 고지 문안을 제공합니다.

또한 제6조에 기재한 바와 같이 서비스 접속 트래픽은 Cloudflare, Inc.의 네트워크를 경유하며, 이 과정에서 접속자의 IP 주소 등이 국외 서버를 거칠 수 있습니다.

제8조 (개인정보의 파기 절차 및 방법)

가. 파기 절차 및 방법

• 보유기간이 지나거나 처리목적이 달성된 개인정보는 지체 없이 파기합니다.
• 전자적 파일은 복구·재생이 불가능한 방법으로 영구 삭제하며, 종이 문서는 분쇄하거나 소각합니다.
• 업로드된 파일(시설서류, 폐기 증빙, 설계도, 커뮤니티 사진)은 저장 시점부터 AES-256-GCM으로 암호화되어 있으며, 파기 시 암호문과 함께 삭제합니다.

나. 법령에 따라 파기하지 않고 보존하는 개인정보

「개인정보 보호법」 제21조 제1항 단서에 따라 다음은 보유기간이 지나도 파기하지 않고 보존합니다.

다. 백업으로 인한 파기 지연 — 반드시 확인하시기 바랍니다

회사는 기록의 멸실을 방지하기 위하여 매일 자동 백업을 수행하고, 최근 백업본 60회분(일 단위)과 그보다 오래된 구간의 월 1회분 백업본 12개월분을 보관합니다.

따라서 삭제 요청이 처리된 뒤에도 해당 정보가 백업본에는 최대 약 13개월간 남아 있을 수 있습니다. 백업본에 남은 정보는 복구 목적 외에는 조회·이용하지 않으며, 보관기간이 지난 백업본이 삭제될 때 함께 삭제됩니다.

제9조 (정보주체와 법정대리인의 권리·의무 및 행사방법)

가. 행사할 수 있는 권리

정보주체는 언제든지 다음 권리를 행사할 수 있습니다.

• 개인정보 열람 요구(법 제35조)
• 개인정보 정정·삭제 요구(법 제36조)
• 개인정보 처리정지 및 동의 철회 요구(법 제37조)
• 자동화된 결정에 대한 거부·설명 요구(법 제37조의2, 제11조 참조)

나. 행사 방법

• 로그인 계정이 있는 이용자: 서비스 내 문의하기 또는 제13조의 연락처
• 계정이 없는 작업자·방문자·문의자: 제13조의 전화 또는 이메일로 직접 요청하실 수 있습니다. 계정이 없어도 권리를 행사할 수 있습니다.
• 대리인을 통하여 행사하는 경우 「개인정보 보호법 시행령」이 정한 위임장을 제출하여야 합니다.

다. 처리 기한

회사는 요구를 받은 날부터 10일 이내에 조치하거나, 연기·거절하는 경우 그 사유와 이의제기 방법을 통지합니다.

라. 권리 행사가 제한되는 경우

다음의 경우 삭제 또는 처리정지 요구가 제한되거나 거절될 수 있습니다.

• 「개인정보 보호법」 제36조 제1항 단서 — 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우. 규제물질 취급기록의 당사자 정보가 이에 해당할 수 있으며, 법정 보존기간 중에는 삭제 요구에 응할 수 없습니다. 취급자를 특정하여 기록·보존하도록 법령이 정하고 있어 삭제하면 그 기록이 규제 목적을 잃기 때문입니다.
• 같은 법 제21조 제1항 단서 — 다른 법령에 따라 보존하여야 하는 경우
• 같은 법 제37조 제2항 — 법률에 특별한 규정이 있거나 법령상 의무 준수를 위하여 불가피한 경우
• 접속기록(감사로그)은 위 보존기간 동안 수정·삭제하지 않습니다. 기록의 신뢰성이 보안사고 조사와 규제 대응의 근거가 되기 때문입니다.

요구가 위 사유로 거절되는 경우 회사(또는 고객사)는 요구를 받은 날부터 10일 이내에 그 사유와 이의제기 방법을 통지합니다.

마. 법령상 보존 근거가 없는 항목

방문자의 성별·연락처 등 법령상 보존 근거가 없는 항목에 대한 삭제 요구는 위 제한의 대상이 아니며, 요구를 받으면 지체 없이 삭제 또는 익명화합니다.

바. 현재 제공되는 기능과 그 한계

• 방문자 정보 익명화: 제공합니다(이름·연락처·소속·목적·성별 마스킹). 출입기록의 무결성을 유지하기 위하여 레코드 자체는 삭제하지 않습니다. 다만 유해화학물질 취급사업장의 경우 외부인 출입기록이 「화학물질관리법」 시행규칙에 따른 법정 관리대장에 해당하여 5년의 보존의무가 적용될 수 있습니다. 그 기간에는 익명화가 법정 대장을 훼손할 수 있으므로, 고객사는 자신에게 적용되는 법령을 확인한 후 이 기능을 사용하여야 합니다. 현재 서비스는 업종에 따라 이 기능을 자동으로 제한하지 않습니다(알려진 제한).
• 작업자 정보 익명화: 제공하지 않습니다. 요구가 접수되면 개별 법적 검토 후 처리합니다.
• 감사로그 수정·삭제: 제공하지 않습니다.

제10조 (개인정보를 자동으로 수집하는 장치의 설치·운영 및 거부)

회사는 광고·행태정보 수집을 위한 쿠키나 제3자 분석 도구를 사용하지 않습니다.

제11조 (자동화된 결정에 관한 사항)

회사는 「개인정보 보호법」 제37조의2에 따라 자동화된 방식으로 이루어지는 판정의 기준과 절차를 다음과 같이 공개합니다.

정보주체는 위 자동 판정에 대하여 거부하거나 설명을 요구할 수 있으며, 요구가 있으면 회사는 정당한 사유가 없는 한 자동 판정을 적용하지 않거나 사람이 개입하여 다시 처리하고 그 결과를 설명합니다.

제12조 (개인정보의 안전성 확보 조치)

관리적 조치

• 개인정보 취급자를 최소한으로 지정하고, 조직 단위로 데이터를 격리하여 다른 조직의 데이터는 조회 자체가 불가능하도록 하고 있습니다.
• 관리자 전용 기능은 서버에서 권한을 검증하며, 화면에서 감추는 것에 의존하지 않습니다.

기술적 조치

• 비밀번호는 PBKDF2 해시로만 저장하며 평문으로 저장하지 않습니다. 현장 인증용 PIN도 해시로만 저장합니다.
• 시스템이 발급한 임시 비밀번호는 최초 로그인 시 변경이 강제되며, 변경 전에는 다른 기능을 사용할 수 없습니다.
• 로그인은 5회 연속 실패 시 15분간 잠기며, 비로그인 접근 경로에는 접속자 IP 단위 요청 제한이 적용됩니다.
• 업로드 파일은 저장 시 AES-256-GCM으로 암호화되며, 확장자뿐 아니라 파일 내용까지 검사하여 위장 파일 업로드를 차단합니다.
• 백업본은 청크 단위로 암호화되며, 청크 순서 변경이나 잘림이 탐지되도록 설계되어 있습니다.
• 암호화 키는 교체할 수 있으며, 교체 후에도 과거 파일을 복호화할 수 있도록 이전 키를 별도로 관리합니다.
• 서비스는 HTTPS로만 제공됩니다.

접속기록의 보관 및 무결성

• 주요 행위(로그인 성공·실패, 서류 업로드·다운로드·삭제, 폐기 등록, 점검 완료, 재고대사 등록, 설계도 변경, 회원 승인·거부)는 접속기록으로 자동 기록되며 2년간 보관합니다.
• 작업일지·출입기록·폐기기록은 해시로 연결되어 사후 변조 여부를 검증할 수 있습니다. 다만 이는 변조를 탐지할 수 있다는 의미이며, 변조가 물리적으로 불가능하다는 의미는 아닙니다.

알려진 제한

「개인정보 보호법」 제21조 제3항은 법령에 따라 보존하는 개인정보를 다른 개인정보와 분리하여 저장·관리하도록 정하고 있으나, 현재 서비스는 이 분리 저장을 기술적으로 구현하고 있지 않습니다. 개선 과제로 기록해 둡니다.

제13조 (개인정보 보호책임자 및 사업자 정보)

개인정보 보호책임자

• 성명: 김동은
• 연락처: 02-964-9011
• 이메일: (기재 예정)

개인정보 열람청구 접수·처리

위 개인정보 보호책임자에게 접수합니다.

사업자 정보

• 상호: 네오켄바이오
• 대표자: 함정엽
• 사업자등록번호: 199-81-02331
• 주소: (기재 예정)

정보주체는 서비스 이용 중 발생한 개인정보 보호 관련 문의, 불만처리, 피해구제에 관한 사항을 위 연락처로 문의할 수 있으며, 회사는 지체 없이 답변하고 처리합니다.

제14조 (권익침해에 대한 구제방법)

정보주체는 개인정보 침해로 인한 구제를 받기 위하여 아래 기관에 분쟁해결이나 상담을 신청할 수 있습니다.

• 개인정보분쟁조정위원회: 1833-6972
• 개인정보침해신고센터(한국인터넷진흥원): 118
• 대검찰청 사이버수사과: 1301
• 경찰청 사이버수사국: 182

또한 「개인정보 보호법」 제35조·제36조·제37조에 따른 요구에 대하여 개인정보처리자의 처분 또는 부작위로 권리 또는 이익을 침해받은 사람은 「행정심판법」에 따라 행정심판을 청구할 수 있습니다.

제15조 (개인정보처리방침의 변경)

• 이 개인정보처리방침은 2026년 8월 14일부터 적용됩니다.
• 법령·정책 또는 서비스의 변경에 따라 내용이 추가·삭제·수정되는 경우 시행 7일 전부터 서비스 내 공지를 통하여 알립니다. 다만 정보주체의 권리에 중대한 변경이 있는 경우에는 30일 전부터 알리고, 필요한 경우 별도의 동의를 다시 받습니다.

부속서 1. 개인정보 처리위탁에 관한 합의

이 부속서는 고객사가 개인정보처리자이고 회사가 수탁자인 개인정보에 대하여 「개인정보 보호법」 제26조 제1항이 정하는 사항을 정한 것입니다.

1. 지위: 고객사가 서비스에 등록한 작업자·방문자·출입기록·작업일지·폐기·조제기록 등의 개인정보에 관하여 고객사는 개인정보처리자, 회사는 수탁자의 지위를 가집니다. 서비스 이용 계정 정보에 관하여는 회사가 개인정보처리자입니다. 2. 위탁 업무의 목적과 범위: 서비스 제공을 위한 저장·조회·백업·복구 3. 목적 외 이용·제공 금지: 회사는 위탁받은 개인정보를 위탁업무 수행 목적 외의 용도로 처리하지 아니하며, 고객사의 사전 동의 없이 제3자에게 제공하지 아니합니다. 4. 재위탁 제한: 회사는 고객사의 사전 동의 없이 제3자에게 재위탁하지 아니합니다. 현재 재수탁자는 제2장 제6조의 표와 같으며, 변경하려는 경우 30일 전까지 통지합니다. 고객사는 그 기간에 서면으로 거부하거나 이용계약을 해지할 수 있습니다. 5. 안전성 확보조치: 제2장 제12조와 같습니다. 6. 관리·감독: 고객사는 연 1회 서면으로 개인정보 관리 현황의 점검을 요구할 수 있으며, 회사는 합리적인 범위에서 이에 협조합니다. 7. 손해배상 책임: 회사가 위탁업무와 관련하여 개인정보를 분실·도난·유출·위조·변조 또는 훼손한 경우의 손해배상책임에 관하여는 「개인정보 보호법」 제26조에 따릅니다. 이 책임은 제1장 제16조의 책임 제한을 적용받지 아니합니다. 8. 위탁 종료 시 처리: 제1장 제13조에 따릅니다.

확인이 필요한 사항

아래는 이 문서를 확정하기 전에 채우거나 확인하여야 하는 사항입니다. 추측으로 채우지 않고 그대로 남겨 둡니다.

1. 사업장 주소와 개인정보 보호책임자 이메일 — 법정 기재사항입니다. 2. 정확한 법인 상호(등기상 상호) 및 통신판매업 신고 필요 여부 3. 업종별 기록 보존기간의 확정 — 마약류(취급자 유형별), 방사성동위원소(피폭선량 기록 포함), 유해화학물질 각각의 근거 조문과 기간 4. 대마 재배시설 고객의 규범 — 규제자유특구 실증특례를 적용받는 경우 그 승인조건이 1차 규범이 되므로 별도 확인이 필요합니다. 5. 손해배상 한도(12개월 이용료)의 유효성 — 국내 판례로 확정되지 않은 쟁점입니다. 6. 이 개정이 기존 이용자의 재동의가 필요한 중대한 변경인지 여부 7. 커뮤니티 전시장의 작성자 표시가 개인정보의 제3자 제공에 해당하여 별도 동의가 필요한지 8. 「개인정보 보호법」 제21조 제3항의 분리 저장을 논리적 분리로 충족할 수 있는지 9. 클라우드컴퓨팅법·정보통신망법의 적용 여부와 그에 따른 추가 의무