앱 개인정보처리방침·이용약관 직접 쓰기: 국외이전(Firebase·Supabase)과 스토어 데이터 라벨

처리방침은 무엇부터 적나요?

데이터 흐름표 한 장이 초안의 절반이에요. Expo 앱 + Supabase + Vercel + 푸시(FCM)를 쓰는 학습 앱이라면 이렇게 적어요.

이 표에서 "저장·처리하는 곳" 열이 처리위탁 목록, 그중 해외 회사·해외 서버가 국외이전 목록이 돼요. 결제가 있으면 PG사, 알림톡이 있으면 발송 대행사도 줄을 추가해요. 앱에 넣은 분석·광고 SDK도 빠뜨리면 안 돼요. 스토어 라벨에서도 SDK 수집분까지 신고해야 하기 때문이에요 공고 확인.

Firebase·Supabase를 쓰면 왜 '국외이전'을 적나요?

해외 클라우드에 개인정보를 보관·처리하는 것은 국외이전에 해당하고, 대개 처리위탁으로 본다는 해설이 있어요 보도. 개인정보 보호법 제28조의8은 국외이전을 원칙적으로 별도 동의로 받되, 예외를 둬요. 스타트업에 가장 흔한 길은 **"정보주체와의 계약 이행에 필요한 처리위탁·보관이고, 아래 항목을 처리방침에 공개한 경우"**예요 보도.

처리방침에 적을 5개 항목 보도

1. 이전되는 개인정보 항목
2. 이전 국가, 시기, 방법
3. 이전받는 자의 이름(법인명과 연락처)
4. 이전받는 자의 이용 목적과 보유·이용 기간
5. 이전을 거부하는 방법, 절차, 거부의 효과

예시 한 줄은 이렇게 써요.

이전 항목: 이메일, 닉네임, 학습 기록 / 국가: (Supabase 프로젝트 리전 국가) / 시기·방법: 서비스 이용 시 네트워크를 통해 수시 전송 / 받는 자: Supabase, Inc.(연락처: 해당사 개인정보 문의처) / 목적·기간: DB·인증 운영, 회원 탈퇴 시까지 / 거부: 이전을 거부하면 회원가입이 제한돼요

리전 선택도 같이 보세요. Supabase는 서울(ap-northeast-2) 리전을 고를 수 있어요 공고 확인. 다만 서울 리전을 쓰면 국외이전 기재를 빼도 되는지는 회사 소재지·원격 접근 여부에 따라 해석이 달라질 수 있어요. 확인 필요(개인정보보호위원회·변호사). 리전은 프로젝트 이전으로 바꿀 수 없으니 처음에 정하세요 공고 확인.

2026년 작성지침은 무엇이 바뀌었나요?

개인정보보호위원회가 2026년 4월 처리방침 작성지침을 고쳤어요 보도.

• 배달·택시처럼 수탁자가 많고 자주 바뀌면 이름 대신 유형(예: 배달원)으로 적을 수 있어요. 다만 실제 수탁자를 확인하는 방법은 안내해야 해요.
• 간이형 처리방침의 필수 항목이 정비됐어요.
• 행태정보 처리 유형별 작성례가 추가됐어요.

지침 원문과 적용 시점은 확인 필요(개인정보보호위원회)예요. 소규모 MVP는 수탁자가 5–6곳이라 이름으로 적는 게 오히려 간단해요.

애플 개인정보 라벨은 어떻게 채우나요?

새 앱과 업데이트를 낼 때 App Store Connect에서 개인정보 처리 관행을 신고해요. Account Holder, Admin, App Manager가 입력할 수 있어요 공고 확인.

• SDK 포함: 대표님이 직접 모으는 데이터뿐 아니라 분석 도구·광고 네트워크·SDK가 모으는 것까지 신고해요 공고 확인.
• 추적(Tracking): 앱 데이터를 다른 회사 데이터와 연결해 맞춤 광고·광고 측정에 쓰거나 데이터 브로커와 공유하는 것이에요 공고 확인.
• 사용자와 연결된 데이터: 계정·기기로 신원과 묶이는 데이터예요. 법상 개인정보는 항상 연결된 것으로 봐요 공고 확인.
• 신고를 생략할 수 있는 경우는 네 조건(추적·광고 미사용, 드물고 선택적, 사용자가 매번 직접 입력 등)을 모두 만족할 때뿐이에요 공고 확인.

답변은 앱 업데이트 없이 언제든 고칠 수 있고, 정확하게 유지할 책임은 개발자에게 있어요 공고 확인. 처리방침 링크 위치 같은 심사 기준은 앱스토어 심사 거절 TOP 7에 있어요.

구글 데이터 보안 섹션과 계정 삭제 링크는요?

• 모든 앱이 작성해요. 데이터를 수집하지 않아도 작성하고, 처리방침 링크도 넣어야 해요 공고 확인.
• 앱 안의 서드파티 라이브러리·SDK가 모으는 데이터도 포함해요 공고 확인.
• "수집"은 기기에서 데이터를 내보내는 것, "공유"는 제3자에게 넘기는 것이에요. 대표님을 대신해 처리하는 서비스 제공업체 전송은 공유에서 빠질 수 있어요 공고 확인.
• 부정확하면 시정 요구, 업데이트 차단, 삭제까지 갈 수 있어요 공고 확인.

계정 삭제는 웹 링크도 필요해요. 앱에서 계정을 만들 수 있으면 앱 안 삭제 경로와 함께, 앱을 지웠거나 쓸 수 없는 사람이 재설치 없이 요청할 수 있는 웹 링크를 데이터 보안 양식에 넣어야 해요 공고 확인. 페이지에는 앱이나 개발자 이름이 보여야 하고 삭제 경로가 눈에 띄어야 해요 공고 확인. 법적 이유로 일부 데이터를 남기면 처리방침에 알리고, 서비스 제공업체에도 삭제를 요청해요 공고 확인.

이용약관은 무엇을 넣나요?

이용약관은 처리방침과 다른 문서예요. 처리방침이 "개인정보를 어떻게 다루나"라면, 약관은 "서비스를 어떤 규칙으로 쓰나"예요. MVP라면 서비스 내용, 회원가입·탈퇴, 결제·환불, 게시물 책임, 서비스 변경·중단, 분쟁 해결 정도로 시작해요. 업종별 공정위 표준약관을 참고할 수 있는지는 확인 필요(공정거래위원회)예요. 결제가 있다면 환불 정책은 카드사 심사에서도 보는 항목이에요(토스페이먼츠 연동·심사).

모두의 MVP 앱 MVP 범위서에서는 스토어 제출 줄에 이 작업이 들어가요.

포함 ⑤: 스토어 출시 — 데모 계정, 처리방침·계정 삭제 웹 링크 연결, 애플 개인정보 라벨·구글 데이터 보안 입력값(실제 붙인 SDK·서버 목록 기준) 정리

처리방침 문장 자체는 대표님 사업 내용이라 대표님이 확정해요. 개발자는 흐름표의 사실관계(어떤 SDK가 무엇을 보내는지)를 책임져요. 튜브링고를 두 스토어에 직접 출시·운영하면서 라벨과 데이터 보안 섹션을 SDK 기준으로 맞추는 일을 해 왔어요.

---

처리방침은 결국 "앱이 실제로 무엇을 어디로 보내는가"의 기록이에요. 모두의 MVP는 직접 만든 앱이라 붙인 SDK와 서버를 정확히 알고, 그 목록을 스토어 라벨·데이터 보안 입력값으로 정리해 대표님 명의 계정에 제출해요. 앱 MVP는 690만원 · 6주, 스토어 출시까지예요. 아이디어 한 줄만 보내 주세요.

이 글은 일반 정보이며 법률 자문이 아니에요. 처리방침 최종본은 전문가 검토를 권해요.

출처 (2026-10-13 확인)

• 공고 확인 Apple, App privacy details on the App Store — developer.apple.com
• 공고 확인 Google Play 콘솔 고객센터, 데이터 보안 섹션 — 10787469
• 공고 확인 Google Play 콘솔 고객센터, 계정 삭제 요구사항 — 13327111
• 공고 확인 Supabase, Regions · Project transfer — regions · transfer
• 보도 네플라, 해외 클라우드 보관 시 동의 필요 여부(제28조의8 해설, 2024.08.14) — nepla.ai
• 보도 뉴시스, 개인정보 처리방침 작성지침 개정(2026.04.24) — newsis.com