TS솔루션 위험성평가 개인정보 처리방침

주식회사 가설안전구조연구(이하 "회사")는 「개인정보 보호법」(이하 "법") 제30조와 같은 법 시행령(이하 "시행령") 제31조에 따라, TS솔루션 위험성평가 웹·앱과 문자 링크(이하 "서비스")에서 개인정보를 어떻게 처리하는지 다음과 같이 알립니다.

제1조 이 방침의 구성과 회사의 지위

서비스에서 처리하는 개인정보는 누가 처리 목적과 방법을 정하는지에 따라 두 부분으로 나뉩니다.

• "고객사"는 현장 관리자가 서비스에 등록한 회사로, 근로자를 사용하고 산업안전보건법상 위험성평가 의무를 지는 사업주를 말합니다.
• 서비스 계정은 고객사 현장의 위험성평가를 맡은 현장 관리자만 가집니다. 근로자와 대표는 계정 없이 개인 문자 링크나 현장 관리자 휴대전화 화면의 QR 코드로 서비스를 이용합니다.
• 공통 사항(위탁, 국외 이전, 안전성 확보조치, 권리 행사, 보호책임자, 구제 방법, 변경 고지)은 제3부에 적습니다.

제1부 회사가 개인정보처리자로서 처리하는 개인정보

제2조 처리 항목, 목적, 근거, 수집 방법

• 필수 항목을 제공하지 않으면 현장 관리자 계정을 만들 수 없습니다. 문의 항목을 제공하지 않으면 회신이 어렵습니다.
• 서비스에는 결제 기능과 광고 문자 발송 기능이 없습니다. 회사는 현장 관리자의 정보를 광고·마케팅에 이용하지 않습니다.
• 서비스는 만 14세 이상만 가입할 수 있습니다. 회사는 만 14세 미만 아동의 개인정보를 수집하지 않으며, 가입 후 만 14세 미만임이 확인되면 그 계정 정보를 지체 없이 파기합니다(법 제22조의2).

제3조 보유기간

• 접속기록과 권한 변경 기록은 현장이 종료되거나 계정이 탈퇴되어도 위 기간 동안 보관하며, 그 기간에는 보안 점검과 법령상 요구 대응 외의 목적으로 이용하지 않습니다.

제2부 고객사를 위해 수탁자로서 처리하는 개인정보

제4조 처리 지위와 근거

1. 이 부분의 개인정보는 고객사가 산업안전보건법 제36조에 따른 위험성평가와 그 결과의 공유·기록을 위하여 처리하는 정보입니다. 개인정보처리자는 고객사이며, 고객사는 법 제15조제1항 각 호의 근거로 이 정보를 처리합니다. 주된 근거는 다음과 같습니다.
   • 제2호(법령상 의무 준수): 산업안전보건법 제36조와 같은 법 시행규칙 제37조, 제37조의2, 제37조의3, 제37조의4에 따른 위험성평가 실시, 근로자 참여, 결과 공유, 기록 보존
   • 제4호(계약 이행): 근로계약에 따른 안전한 작업 지시와 작업 전 안전 공유
   • 제6호(정당한 이익): 작업중지 알림 수신과 대표 보고 등 현장 안전관리에 필요한 범위의 처리
2. 회사는 고객사와 체결한 이용약관과 그 위탁 조항에 따라 고객사를 위해 이 정보를 처리하는 수탁자입니다(법 제26조). 회사는 위탁받은 업무 범위 밖에서 이 정보를 이용하거나 제3자에게 제공하지 않으며(법 제26조제5항), 모델 학습, 고객사 사이의 비교·분석, 마케팅에 이용하지 않습니다.
3. 고객사는 근로자와 대표에게 처리 목적, 항목, 보유기간과 권리 행사 창구를 알려야 합니다. 서비스는 이를 돕기 위해 문자 링크와 QR 페이지 하단에 이 방침의 링크를 표시하고, QR 입력 화면에 수집 고지를 표시합니다.

제5조 정보주체별 처리 항목과 수집 경로

• 현장 관리자가 등록하는 현장 정보(현장 이름, 주소, 공사 기간, 주요 공정·공종, 특이사항)와 작업 사실(작업 내용, 장소, 인원·장비)은 사람을 알아볼 수 있는 정보를 담지 않도록 입력해야 합니다. 서비스는 이 칸에 개인정보를 요구하지 않습니다.
• 서비스는 주민등록번호 등 고유식별정보, 건강정보 등 민감정보, 위치정보, 얼굴 인식 정보를 수집하지 않으며, 그러한 정보를 입력하는 칸을 두지 않습니다.
• 근로자와 대표는 계정이나 비밀번호, 인증번호 없이 개인 링크로 서비스를 이용합니다. 개인 링크는 추측할 수 없는 값으로 만들고, 그 사람에게 해당하는 항목만 보여 줍니다.

제6조 처리 목적

제6조의2 서비스가 보내는 문자

서비스가 보내는 문자는 모두 업무 수행에 필요한 안내이며, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제50조의 영리목적 광고성 정보가 아닙니다. 문자는 고정된 문구로 회사 발신번호에서만 보내며, 고객사나 현장 관리자가 문구를 직접 작성해 보내는 기능은 없습니다.

제6조의3 화면별 공개 범위

• 작업중지 알림과 조치 제안을 보낸 근로자의 이름과 번호는 받는 현장 관리자에게만 표시하며, 다른 근로자에게 보내는 문자, 결과 링크, 대표 보고, AI 입력에 넣지 않습니다(「공익신고자 보호법」 제12조제1항 취지).

제7조 보유기간과 파기 시점

• 현장이 종료된 기록은 '보관' 상태로 다른 진행 중인 기록과 분리하고, 읽기만 가능하도록 접근을 제한합니다(법 제21조제3항).
• 보유기간 동안 확정한 판은 수정·삭제할 수 없으며, 이후 바뀐 내용은 새 판으로 쌓입니다. 정정 요청이 받아들여진 경우에도 정정 사실을 새 판으로 남깁니다.

제3부 공통 사항

제8조 파기 절차와 방법

1. 절차: 보유기간이 끝나거나 처리 목적이 달성된 정보는 서비스의 자동 정리 작업으로 파기 대상이 되며, 회사는 파기 일시와 대상 건수를 파기 기록으로 남깁니다. 다른 법령에 따라 보존해야 하는 정보는 제3조와 제7조의 근거와 항목에 한해 분리하여 보관합니다(법 제21조제1항 단서, 제3항).
2. 방법: 전자 파일은 복구·재생할 수 없는 방법으로 삭제합니다. 종이 문서는 분쇄하거나 소각합니다. 백업에 남은 사본은 백업 보관 주기가 지나면 순차적으로 덮어써 삭제되며, 그동안 복구 외의 목적으로 이용하지 않습니다.
3. 수탁 정보의 파기: 제2부의 정보는 고객사의 지시와 제7조의 기간에 따라 파기하며, 고객사가 요청하면 파기 결과를 알립니다.

제9조 제3자 제공

회사는 개인정보를 제3자에게 제공하지 않습니다. 다만 법 제17조제1항, 제18조제2항에 해당하는 경우(법률에 특별한 규정이 있거나 법령상 의무를 지키기 위해 불가피한 경우, 수사기관의 적법한 요청 등)에는 해당 범위에서 제공할 수 있으며, 이때 제공 근거와 항목을 기록합니다. 제2부 정보는 고객사의 지시 없이 제공하지 않으며, 법령에 따른 요구가 있으면 법령이 금지하지 않는 한 미리 고객사에 알립니다(법 제26조제5항).

회사는 법 제15조제3항, 제17조제4항과 시행령 제14조의2에 따른 추가적인 이용·제공을 할 때에는 당초 수집 목적과의 관련성, 수집 정황과 처리 관행에 비춘 예측 가능성, 정보주체 이익의 부당한 침해 여부, 가명처리나 암호화 등 안전성 확보조치 여부를 고려하여 판단합니다. 현재 그러한 추가 이용·제공은 없습니다.

제10조 처리위탁과 재위탁

회사는 서비스 제공을 위해 다음 업체에 처리를 위탁합니다. 제2부 정보에 대해서는 Expo를 제외한 이 표의 업체가 재수탁자가 되며, 고객사는 이용약관에 따라 이 재위탁에 동의합니다(법 제26조제6항). 회사는 위탁계약에 위탁업무 목적 외 처리 금지, 안전성 확보조치, 재위탁 제한, 관리·감독, 손해배상, 처리 종료 시 반환·파기를 정하고 이를 감독합니다(법 제26조제1항, 시행령 제28조).

• Expo는 현장 관리자가 쓰는 Android 앱의 업데이트에만 관여하며, 근로자·대표의 링크 이용과는 관계가 없습니다.
• 수탁자나 위탁 업무가 바뀌면 이 방침을 변경하여 공개하고, 고객사에는 이용약관에서 정한 방법으로 미리 알립니다.

제11조 개인정보의 국외 이전

1. 서비스의 개인정보는 대한민국 서울 리전에 저장합니다. 문자 발송은 국내 업체가 처리합니다. 국외 이전은 아래 업체의 운영·지원 접근과 처리에 한하여 발생합니다.
2. 이전 근거: 현장 관리자의 정보는 법 제28조의8제1항제3호(정보주체와의 계약 이행에 필요한 처리위탁·보관으로서 이 방침에 공개한 경우)에 따라 이전합니다. 제2부 정보는 고객사의 위탁 지시와 이용약관의 재위탁 동의에 따라 같은 조항의 요건으로 이전하며(법 제26조제8항), 고객사는 근로자와 대표에게 이 이전 사항을 알립니다.
3. 이전 최소화: AI 처리를 위해 국외로 보내는 정보에서는 이름과 휴대전화번호를 서버에서 지우고, 사진은 서울 리전 서버에서 자동으로 찾은 얼굴을 가리고 촬영 정보(EXIF, GPS)를 지운 뒤 보냅니다(제14조, 제15조).
4. 보호조치: 회사는 시행령 제29조의10제1항의 보호조치(안전성 확보조치, 고충처리와 분쟁해결, 그 밖에 정보주체 보호에 필요한 조치)를 이전받는 자와 미리 협의하여 계약에 반영합니다.

법 제28조의8제2항에 따른 이전 사항은 다음과 같습니다.

11-1. Supabase

11-2. Vercel

11-3. OpenAI

11-4. Upstash

11-5. Expo

제12조 인공지능 이용 고지

1. 서비스는 생성형 인공지능을 이용하여 위험성평가의 위험요인, 위험성 수준, 감소대책을 작성합니다(「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」 제31조제1항).
2. 인공지능이 작성한 항목에는 현장 관리자가 확정할 때까지 'AI 작성' 표시가 붙고, 확정한 기록·결과 링크·PDF에는 생성형 인공지능이 작성한 내용을 바탕으로 현장 관리자가 확정했다는 문구가 붙습니다(같은 조 제2항). 인공지능을 쓸 수 없을 때에는 공종별 표준 목록으로 작성하고 '표준 목록'으로 표시합니다.
3. 인공지능의 결과는 현장 관리자가 판단할 때 참고하는 자료입니다. 위험성 수준, 평가 확정, 조치 완료는 현장 관리자가 결정하며, 인공지능이 스스로 확정하지 않습니다.

제13조 자동화된 결정

서비스에는 법 제37조의2에 따른 완전히 자동화된 시스템으로 개인정보를 처리하여 정보주체의 권리·의무에 영향을 주는 결정이 없습니다. 평가 확정, 조치 완료, 작업 재개 등 모든 결정은 사람이 내리며, 서비스는 근로자 개인을 평가하거나 징계·출입 제한·작업 배제를 정하지 않습니다.

제14조 인공지능에 보내는 정보

제15조 사진의 처리

1. 서비스에 올리는 모든 사진은 저장하기 전에 서버에서 촬영 정보(EXIF)와 GPS 좌표를 지웁니다.
2. 위험성평가에 첨부한 사진을 인공지능에 보낼 때에는 서울 리전 서버에서 자동으로 찾은 얼굴을 가린 사본만 보냅니다. 자동 처리로 모든 얼굴이 가려지지 않을 수 있으므로, 서비스는 사람이 찍히지 않게 촬영하도록 화면에 안내합니다. 원본은 회사 저장소에 보관하고 고객사 기록에만 사용합니다.
3. TBM 사진은 기록으로만 보관하며 인공지능에 보내지 않습니다.
4. 서비스는 얼굴 인식, 신원 확인, 근로자 행동 감시를 하지 않습니다.
5. 사진에 다른 사람이 찍혔거나 불필요한 개인정보가 담긴 경우, 그 사람은 제22조에 따라 가림이나 삭제를 요청할 수 있습니다.

제16조 이동형 영상정보처리기기(스마트폰 촬영) 운영

1. 현장 관리자와 근로자는 위험성평가, 의견, 조치 완료 보고, 작업중지 알림, TBM 기록을 위해 스마트폰 카메라로 작업장의 위험 상태를 촬영할 수 있습니다. 이 촬영은 법 제25조의2의 이동형 영상정보처리기기 운영에 해당할 수 있습니다.
2. 촬영 목적과 범위: 촬영은 작업장의 시설·설비·작업 상태를 기록하기 위한 것이며, 사람을 촬영 대상으로 삼지 않습니다. 사진은 촬영자가 촬영 버튼을 눌러 한 장씩 찍으며, 영상·음성 녹음, 연속 촬영, 원격 촬영 기능은 없습니다.
3. 촬영 사실 표시: 촬영할 때에는 스마트폰 카메라의 촬영음 등으로 촬영 사실이 드러나며, 촬영자는 주변 사람이 촬영 사실을 알 수 있게 해야 합니다(법 제25조의2제3항). 촬영되는 사람이 거부 의사를 밝히면 그 사람이 찍히지 않게 촬영해야 합니다(같은 조 제1항제2호).
4. 촬영 금지 장소: 화장실, 탈의실, 샤워실 등 개인의 사생활을 현저히 침해할 우려가 있는 장소의 내부를 볼 수 있는 곳에서는 촬영하지 않습니다(법 제25조의2제2항).
5. 공개된 장소: 도로 공사 등 공개된 장소에서 작업장을 촬영할 때 지나가는 사람이 찍힐 수 있습니다. 이러한 사진은 제15조에 따라 처리하고, 요청이 있으면 가리거나 삭제합니다.
6. 보관과 열람: 사진의 보관기간은 제7조의 기록 보유기간을 따르며, 그 현장을 맡은 현장 관리자만 서비스에서 열람할 수 있습니다.
7. Android 앱은 사진 촬영을 위해 카메라 권한만 요청하며, 권한 요청 화면에 그 이유를 표시합니다. 권한은 기기 설정에서 언제든 끌 수 있으며, 끄면 촬영 기능만 이용할 수 없습니다.

제17조 위치정보

서비스는 위치정보를 수집하지 않습니다. 웹과 앱은 위치 권한을 요청하지 않으며, 사진의 GPS 좌표는 제15조에 따라 저장 전에 지웁니다. 현장 주소는 현장 관리자가 입력하는 사업장 정보이며, 개인의 위치를 추적하는 데 쓰지 않습니다.

제18조 전자서명 이미지

근로자의 결과 확인 서명과 TBM 참석 서명은 화면에 손으로 그린 이미지로만 저장하며, 서명한 문서의 판 번호와 서명 시각을 함께 기록합니다. 서명의 필압·속도 등 생체 특징은 저장하지 않으며, 서명 이미지를 본인 인증이나 생체인식에 이용하지 않습니다. 저장된 서명 이미지를 다른 문서에 다시 쓰지 않습니다.

제19조 해당하지 않는 사항

제20조 자동 수집 장치의 설치·운영과 거부

1. 서비스는 현장 관리자의 로그인 상태 유지, 확인을 마친 기기 표시와 보안을 위해 필수 쿠키와 기기의 보안 저장소를 사용합니다. 근로자·대표 링크 화면은 링크 처리와 보안에 필요한 범위에서만 쿠키를 사용합니다.
2. 서비스는 분석·광고용 쿠키나 외부 추적 도구를 사용하지 않습니다.
3. 브라우저 설정에서 쿠키 저장을 거부하거나 삭제할 수 있습니다. 거부하면 로그인 유지와 링크 처리가 되지 않을 수 있습니다.

제21조 안전성 확보조치

회사는 법 제29조와 「개인정보의 안전성 확보조치 기준」에 따라 다음 조치를 합니다.

제22조 정보주체의 권리와 행사 방법

1. 정보주체는 회사에 대하여 언제든지 개인정보의 열람(법 제35조), 정정·삭제(법 제36조), 처리정지(법 제37조)를 요구할 수 있습니다. 만 14세 미만 아동의 법정대리인도 같은 권리를 가집니다.
2. 행사 방법: 제23조의 이메일, 전화, 서면으로 요청할 수 있습니다. 대리인을 통해 요청할 때에는 「개인정보 처리 방법에 관한 고시」의 위임장을 제출해야 합니다(법 제38조). 회사는 요청한 사람이 본인이나 정당한 대리인인지 필요한 최소 범위에서 확인하며, 인증번호나 비밀번호를 묻지 않습니다. 회사는 수수료를 받지 않으며, 사본의 우송을 원하는 경우에만 우송료를 청구할 수 있습니다(법 제38조제3항).
3. 처리 기한: 회사는 요청을 받은 날부터 10일 이내에 조치 결과를 알립니다(시행령 제41조제4항, 제43조제3항, 제44조제2항). 기한 안에 처리할 수 없는 정당한 사유가 있으면 그 사유와 처리 예정일을 알립니다.
4. 현장 관리자: 제1부 정보는 회사가 직접 처리합니다. 현장 관리자는 서비스 화면에서 자기 이름을 정정할 수 있고, 휴대전화번호 변경과 탈퇴는 제23조의 창구로 요청할 수 있습니다.
5. 근로자·첫 출근 근로자·대표: 제2부 정보의 처리자는 고객사이므로 고객사(그 현장을 맡은 현장 관리자)에게 요청할 수 있습니다. 회사 창구로 요청해도 됩니다. 회사가 요청을 받으면 지체 없이 고객사에 전달하고 고객사의 지시에 따라 처리하며, 처리 결과를 요청한 사람에게 알립니다. 휴대전화번호 삭제와 문자 수신 중단처럼 회사가 바로 할 수 있는 조치는 먼저 합니다.
6. 제한: 다음의 경우 요청이 제한될 수 있으며, 그 사유와 이의 제기 방법을 알립니다.
   • 산업안전보건법 시행규칙 제37조의4 등 다른 법령에 따라 보존해야 하는 기록의 삭제 요청(법 제36조제1항 단서). 이 경우 기록 속 이름은 남지만 휴대전화번호 삭제와 연락 중단은 할 수 있습니다.
   • 다른 사람의 생명·신체를 해칠 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우(법 제35조제4항, 제37조제2항)
   • 확정한 판의 내용 정정은 새 판으로 기록하며, 원래 판을 지우지 않습니다.
7. 정보주체는 처리정지 요청과 별도로 회사나 고객사가 개인정보를 처리하는 것에 대해 의견을 낼 수 있으며, 요청이나 의견 제출을 이유로 불이익을 받지 않습니다.

제23조 개인정보 보호책임자와 담당 창구

개인정보 처리에 관한 문의, 불만, 피해 구제, 권리 행사 요청은 위 창구로 할 수 있으며, 회사는 지체 없이 답변하고 처리합니다.

제24조 권익침해 구제 방법

정보주체는 개인정보 침해로 인한 구제를 받기 위해 다음 기관에 분쟁 조정이나 상담을 신청할 수 있습니다. 이 기관은 회사와 별개인 기관입니다.

법 제35조부터 제37조까지의 규정에 따른 요구에 대하여 공공기관이 아닌 회사가 한 처분이나 부작위로 권리나 이익을 침해받은 경우에는 민사소송 등 다른 법률이 정한 절차로 구제를 청구할 수 있습니다.

제25조 처리방침의 변경

1. 회사는 이 방침을 변경하는 경우 시행일 7일 전부터 서비스 화면과 이 방침 게시 위치에 변경 내용, 변경 이유, 시행일을 공지합니다. 수집 항목, 이용 목적, 국외 이전, 재위탁 등 정보주체의 권리에 중요한 변경은 시행일 30일 전부터 공지하고, 현장 관리자에게 문자로 알립니다.
2. 제2부 정보에 관한 재수탁자 변경은 이용약관에서 정한 방법으로 고객사에 미리 알립니다.
3. 법령상 별도의 동의가 필요한 변경은 공지로 동의를 대신하지 않습니다.
4. 회사는 이전 버전의 처리방침과 그 시행 기간을 서비스에 계속 게시합니다.

부칙

이 방침은 2026년 10월 20일부터 시행합니다. (개인정보 처리방침 v2, site-lead)

개정 이력: v2(2026년 10월 20일)는 서비스 계정을 가진 사람을 부르는 말을 "현장 관리자"로 바꾸고, 현장 관리자 로그인에 비밀번호(일방향 암호화 저장)와 처음 쓰는 기기의 문자 확인을 더한 것입니다. 근로자와 대표의 개인정보 처리와 정보주체의 권리는 v1과 같습니다.