개인정보처리방침

1. 처리 주체와 책임

교회가 입력한 교인·학생 및 업무 자료의 수집 목적, 대상과 업무 권한은 해당 교회가 정합니다. 교회봄 운영자는 서비스 제공을 위해 자료를 보관·처리합니다. 각 교회의 처리방침과 적법한 수집 근거, 필요한 위탁 절차는 이 방침으로 대체되지 않습니다.

교회 입력 자료의 개인정보 담당자는 각 교회 대표 또는 지정 담당자입니다. 교회봄 자체 계정, 로그인과 인증메일의 개인정보 보호책임자는 김동경이며, 문의 창구는 churchbom@gmail.com입니다. 교회 담당자에게 연락하기 어려운 경우 같은 이메일로 요청하면 필요한 범위에서 해당 교회와 협조합니다. 이 역할 구분은 서비스 운영자의 보호 의무를 교회에 전가하는 것이 아닙니다.

2. 처리 항목과 목적

모든 항목을 가입 시 한꺼번에 수집하지 않습니다. 가입 유형, 이용하는 기능과 교회의 입력 내용에 따라 항목이 달라집니다. 개인정보는 본인이나 권한 있는 교회 담당자의 입력, 선택한 엑셀 파일 가져오기, 로그인·인증과 서비스 이용 과정에서 처리됩니다.

서비스 기능에 필요하지 않은 주민등록번호, 신분증 사본이나 결제정보는 자유 입력란·첨부 자료에 넣지 마세요. 담당자는 업무에 필요한 최소 항목만 입력하고 각 자료의 처리 근거와 필수·선택 여부를 정보주체에게 안내해야 합니다.

교회봄 운영자는 교인·학생·교회 업무 자료를 판매하거나 광고 타기팅, 광고 분석 또는 AI 학습 목적으로 이용하지 않습니다. 선택형 광고 SDK의 기기·네트워크·광고 이용 정보 처리는 교회 업무 자료 처리와 구분하며 아래 광고 안내가 적용됩니다. 서비스 제공에 필요한 외부 처리와 법령상 요구에 따른 처리는 아래 외부 서비스 안내와 구분합니다.

3. 민감정보와 아동 정보

교회 소속, 신앙·성례·목회 기록과 자유 입력 메모는 내용에 따라 종교적 신념이나 건강 등 민감정보를 드러낼 수 있습니다. 해당 교회는 적용되는 처리 근거를 확인하고 별도 동의가 필요한 경우 일반 개인정보 동의와 구분하여 받아야 합니다.

만 14세 미만 아동의 정보를 동의에 근거해 처리할 때는 법정대리인의 동의를 받고 확인해야 합니다. 각 교회의 지정 담당자가 필요한 동의를 받고 확인하며, 동의 서류는 해당 교회가 자체 관리합니다. 가족 연결이나 부모 연락처 입력, 이 페이지 게시만으로 동의가 이루어지는 것은 아닙니다.

4. 보관과 파기

처리 목적이 종료되거나 정보가 불필요해진 경우, 적법한 삭제 요청·동의 철회가 있는 경우에는 관련 법령과 실제 보유 근거를 확인하여 파기합니다. 아래 1년 기준은 법정 의무 기간이 아니며 모든 정보나 삭제 요청을 일률적으로 1년 유예하는 기준이 아닙니다.

• 교인·학생 자료: 권한 있는 담당자가 타교회 이동·사망·제명을 확인하고 보유 목적·대상·확인일을 지정한 건은 확인일부터 1년 보관 후 파기하는 기준을 적용합니다. 기존 자료의 날짜를 추정해 소급 예약하거나 삭제하지 않습니다.
• 본인 계정 삭제: 앱의 내 정보 또는 계정 설정에서 직접 삭제합니다. 계정의 아이디·이름·인증 이메일·비밀번호 검증 정보·승인 및 권한 정보, 모든 세션·신뢰 기기·인증 요청을 서버에서 즉시 삭제하고 승인자·백업 생성자 등의 본인 계정 연결을 제거합니다. 본인 계정을 일괄 1년 보관하는 예약을 만들지 않습니다. 대표도 승계나 문의를 필수로 거치지 않고 삭제할 수 있습니다.
• 대표 탈퇴와 공동 자료: 대표 연결과 신규 가입 코드를 해제하며 다른 계정에 대표 권한을 자동 부여하지 않습니다. 기존 담당자는 기존 권한만 유지하고 대표 관리 기능은 별도 확인 전까지 공석입니다. 개인 탈퇴가 다른 교인의 공동 자료나 교회 전체 이용 종료를 자동으로 뜻하지 않습니다. 교회 종료·교인/학생 정보의 파기는 별도 범위와 적법한 보유 근거를 확인하며 계정 삭제를 지연시키는 조건으로 사용하지 않습니다.
• 가입 거절: 새 가입 신청을 거절 확정하면 신청 계정과 연결된 비밀번호 검증 정보, 세션·신뢰 기기·이메일 인증 정보를 즉시 삭제합니다. 이미 외부 발송 서비스에 전달된 기록은 별도입니다.
• 로그인 시도 제한 집계: 파기 정책 활성화 이후 새 집계 창은 생성일부터 7일 기한으로 정리합니다. 기존 행이나 다른 종류의 외부 로그까지 모두 7일 후 삭제된다고 보장하지 않습니다.
• 문의 이메일: 7일 파기를 운영 기준으로 정했으나 문의 메일함의 정기 정리는 아직 연결되지 않았습니다. 앱 서버의 정기 작업이 Gmail의 받은편지함·보낸편지함·휴지통까지 삭제하지는 않습니다.
• 인증과 로그인 유지: 이메일 인증코드는 5분, 지원되는 자동로그인·신뢰 기기는 최대 30일의 유효기간을 적용합니다. 유효기간 만료는 서버 행이나 발송사 기록 전체의 즉시 삭제를 뜻하지 않습니다.
• 일반 앱 백업: 사용자가 삭제할 때까지 보관하는 기준이며 파기 대상 정보를 계속 보유할 근거가 되지는 않습니다. 대상의 개인정보 파기 처리 시 해당 교회의 앱 백업 전체도 삭제될 수 있습니다.

이전 자료 조회 요청에는 본인·적법한 요청자 확인과 해당 교회 담당자의 협조가 필요합니다. 요청 가능성이 있다는 이유만으로 모든 자료를 보관하거나 누구에게나 제공하지 않습니다. 별도의 법령상 보존이 필요한 자료는 그 근거·기간에 따라 구분합니다.

서버 파기는 같은 사람으로 명시 연결된 교인·학생 프로필, ID 연결 업무 기록·사진과 가족 자동 연결을 대상으로 합니다. 가족 본인은 보존합니다. 이름만 적힌 메모, 수기 가족명, 별도 첨부, 내보낸 파일과 종이 서류는 담당자가 따로 확인·정리해야 합니다. 전자 자료는 복구·재생을 방지하는 방식으로, 종이 자료는 재식별할 수 없도록 폐기해야 합니다.

정기 작업은 15분 간격으로 실행하도록 설정되어 있으며 처리 대기량·오류에 따라 완료가 지연될 수 있습니다. 예약 후 동일인 연결 범위가 바뀌면 자동으로 범위를 넓혀 지우지 않고 재확인 대상으로 둡니다. 앱의 예약 설정 화면은 아직 배포되지 않았으므로 별도 교인·학생 기록과 교회 종료에 관한 요청은 문의 이메일로 접수할 수 있습니다. 본인 계정 삭제에는 이 절차가 필요하지 않습니다.

재저장을 방지하기 위해 교회 ID, 파기 대상 ID·유형과 처리 시각을 보관합니다. 이름·사진·연락처를 포함하지 않지만 ID가 다른 자료와 연결될 수 있으므로 익명 정보로 보지 않습니다. 이 기록의 보유 상한과 독립 복구 절차는 확인 중입니다.

외부 서버 복구 이력은 앱 백업과 다릅니다. 서버 전체를 과거 시점으로 복원하면 삭제 이력도 되돌아갈 수 있어 삭제 요청 재적용 절차가 필요하며, 해당 독립 절차의 운영 검증은 아직 완료되지 않았습니다. 이용자가 내보낸 Excel·Word·PDF 등 기기 파일은 서버 삭제만으로 함께 삭제되지 않습니다.

5. 외부 서비스와 국외 처리

서비스 제공을 위해 아래 외부 사업자의 인프라를 이용합니다. 처리위탁은 교회 밖 제3자에게 임의로 자료를 제공하는 것과 구분됩니다. 해외 사업자를 이용하므로 국내에만 저장되거나 해외 이전이 없다고 보장하지 않습니다.

국외 처리 항목·국가·수탁자·보관 조건과 적용 근거가 확인되는 대로 이 페이지를 보완합니다. 관련 문의나 처리 거부 요청은 churchbom@gmail.com으로 접수할 수 있습니다. 서비스 핵심 인프라나 인증메일 처리를 거부하는 경우 해당 기능의 이용이 제한될 수 있습니다. 이 안내 자체를 국외 이전 동의 완료로 해석하지 않습니다.

6. 기기 저장과 앱 권한

ID 저장을 선택하면 아이디와 선택 상태가 기기 또는 브라우저에 저장됩니다. 지원되는 설치형 앱에서 자동로그인·신뢰 기기를 선택하면 필요한 인증 정보를 기기 보안 저장 기능으로 보관합니다. 서버 비밀번호 검증 정보와 로그인 유지 정보는 구분됩니다.

로그인 유지와 신뢰 기기는 최대 30일 동안 유효하며 환경·계정 상태에 따라 재로그인이나 재인증이 필요할 수 있습니다. 원하지 않으면 옵션을 선택하지 않거나 저장 정보를 해제하세요. 공용 기기에서는 사용하지 않는 것을 권장합니다.

사진·파일 기능은 사용자가 선택해 등록하거나 내보내는 파일을 처리합니다. 사진 한 장을 선택했다고 기기의 전체 사진첩이나 주소록을 수집하는 것은 아닙니다. 사진·가족 연결·Excel 가져오기에 제3자의 자료가 포함되면 담당자는 입력 권한과 필요한 동의를 확인해야 합니다.

7. 열람 및 계정 삭제 요청

본인과 권한 있는 법정대리인은 개인정보의 열람, 정정·삭제, 처리정지와 동의 철회를 요청할 수 있습니다. 본인 계정은 앱의 내 정보 또는 계정 설정에서 직접 삭제할 수 있으며 이메일 문의나 대표 승인은 필요하지 않습니다. 교회가 별도로 관리하는 교인·학생 자료의 열람·정정·파기 등은 해당 교회 담당자와 범위를 확인합니다.

앱의 ‘내 정보’ 또는 ‘계정 설정 → 내 계정 삭제’에서 삭제 범위를 읽고 본인 아이디와 삭제 확인을 입력하면 계정 삭제를 완료할 수 있습니다. 추가 가입·비밀번호 생성·고객센터 문의·대표 승인은 요구하지 않습니다. 완료 후 모든 기기의 서버 접근 권한을 종료하고 현재 기기의 저장된 로그인 정보를 정리합니다. 다른 기기의 저장 파일은 원격으로 삭제하지 못하지만 남은 인증값은 더 이상 사용할 수 없습니다. 삭제 범위 안내는 설명 페이지이며 안내를 여는 것만으로 삭제되지 않습니다.

8. 개인정보 보호 조치

서비스에는 HTTPS 전송, 교회별 자료 접근 제한, 계정별 메뉴 권한 확인, 관리자 이메일 추가 인증, 비밀번호·인증 토큰의 해시 검증과 로그인 시도 제한을 구성했습니다. 운영자는 최소 권한, 비밀정보 보호와 업데이트, 담당자 접근 관리 및 삭제 요청 처리를 점검합니다.

이 방침은 모든 자료의 절대적인 안전, 모든 저장 정보의 암호화 또는 운영자가 기술적으로 모든 자료에 접근할 수 없다는 보증이 아닙니다. 교회 담당자는 계정 공유를 피하고 담당자 변경 시 권한을 정리해야 합니다.

9. 책임자와 문의

• 서비스 운영자 및 교회봄 계정·로그인·인증메일 개인정보 보호책임자: 김동경
• 공개 문의 이메일: churchbom@gmail.com
• 교회가 입력한 업무 자료 담당자: 각 교회 대표 또는 지정 개인정보 담당자

교회 담당 연락처는 해당 교회가 정보주체에게 안내해야 합니다. 연락이 어려우면 교회봄 문의처에서 요청을 접수해 필요한 범위에서 협조합니다. 외부 상담·신고·분쟁조정 안내는 개인정보 포털에서 확인할 수 있습니다.

10. 변경 안내

개인정보 처리 현황과 방침이 변경되면 이 페이지에 변경 내용과 적용일을 안내합니다. 추가 동의가 필요한 변경은 방침 게시만으로 대신하지 않습니다. 현재 확인 중인 항목을 새로 확인한 경우에도 그 범위를 명시하여 보완합니다.

최초 공개 기준일: 2026년 10월 2일. 본인 계정 직접 삭제 안내 적용일: 2026년 10월 7일. 선택형 iOS 광고 및 Mac 후원 배너 준비 안내: 2026년 10월 13일. 외부 서비스의 확인 중인 보관 조건은 그대로이며 공개 안내와 실제 처리의 일치를 계속 점검합니다.

iOS 1.0.3 개인정보 보호 보완 준비

새 iOS 1.0.3 후보는 비개인화 광고와 함께 Google의 제한적 데이터 처리(RDP)를 요청하도록 준비하고 있습니다. 아직 출시된 업데이트가 아닙니다. 이 앱 단위 설정은 ATT와 필요한 UMP 개인정보 선택을 대신하지 않으며, AdMob 계정 전체나 Android 설정을 변경하지 않습니다. RDP 적용만으로 모든 국가의 법적 준수나 이미 전달된 자료의 삭제를 보장하지 않습니다.

CHBOM privacy policy

CHBOM is a web service and installed app for church member records, attendance, departments, sacraments, events and administration. This English version explains the same processing and unresolved operational conditions as the Korean notice above. It does not certify compliance in every country.

Operator: Donggyeong Kim · Contact: churchbom@gmail.com · English text prepared October 25, 2026. 한국어 방침

1. Responsibilities

Each church determines the purposes, people included and staff permissions for the member, student and work records it enters. The CHBOM operator stores and processes these records to provide the service. This notice does not replace the church's own privacy notice, lawful collection basis or required processor arrangements.

The church owner or designated privacy contact handles church-entered records. Donggyeong Kim is the privacy contact for CHBOM accounts, sign-in and verification emails. If you cannot reach your church, contact churchbom@gmail.com; the operator will cooperate with the church as necessary. This division does not transfer the operator's own protection obligations to the church.

2. Information and purposes

CHBOM does not collect every field at registration. The information depends on the registration type, features used and church entries. It is processed through your input or an authorized church worker's input, selected file imports, authentication and service use.

• Accounts and authentication: username, name, church, administrator verification email, permissions and status, registration and approval information, password-verification hash and salt, verification requests and status, hashed verification values and expiry times. These support registration, church affiliation checks, approval, sign-in, permission management and administrator verification.
• Members and newcomers: name, gender, date of birth and solar/lunar calendar type, contact details, email, address, photo, registration date, family links, church offices, district, small group, fellowship and entered administrative information. These support member, organization and family records, contact and birthday calendars.
• Department students and teachers: name, gender, date or existing year of birth, school, grade, class, teacher, student and parent contact details, address, photo, family links, recent contact date and notes. These support department and class rosters and communication.
• Attendance, sacraments and pastoral work: attendance date, service, status and notes; catechism, baptism, confirmation and infant-baptism records and dates; pastoral visits, events and administrative records. These support worship, education, pastoral work and reports.
• Files, backups and protection: information recognized and registered from selected files, exports, church backups and their creator and creation time. Session and trusted-device tokens, verification hashes, expiry, remembered usernames, sign-in options and login-attempt aggregates support selected sign-in persistence and protection against unauthorized access.

Do not enter government identification numbers, identity-document copies or payment information in notes or attachments when they are unnecessary for the service. Church workers should enter only necessary fields and explain the processing basis and required or optional nature to the people concerned.

The CHBOM operator does not sell church member, student or work records, or use them for ad targeting, advertising analytics or AI training. Optional advertising SDK processing of device, network and advertising-use information is separate from church work records.

3. Sensitive information and children

Church affiliation, faith, sacramental and pastoral records and free-text notes may reveal religious beliefs, health or other sensitive information. The church must establish an applicable processing basis and obtain separate consent where required. The published Korean operating standard requires verified legal-guardian consent when consent is the basis for processing information about children under 14. The designated church worker collects and verifies the necessary consent and keeps the documents. Family links, a parent's contact details or this notice alone do not establish consent. Local rules may differ; this standard is not a declaration that every country's requirements have been met.

4. Retention and erasure

When information is no longer necessary, the processing purpose ends or a valid erasure or withdrawal request is made, applicable law and actual retention grounds must be checked. The one-year standard below is not a universal statutory requirement or a blanket delay for every erasure request.

• Member and student records: when an authorized worker confirms a move to another church, death or removal and specifies the purpose, scope and confirmation date, the operating standard is erasure after one year from confirmation. Existing dates are not guessed or retrospectively scheduled.
• Your account: in-app account deletion immediately removes the server account's username, name, verification email, password-verification information, approvals and permissions, sessions, trusted devices and verification requests. Account links such as approver or backup creator are removed. Your account is not placed in a blanket one-year retention queue. An owner can delete their account without compulsory succession or contacting support.
• Owner departure and shared records: the owner link and new-join code are removed. Another account is not automatically promoted. Existing workers retain only their existing permissions; owner functions remain vacant until separately resolved. One person's departure does not automatically delete other people's shared records or end the whole church service. Separate erasure or closure scope and lawful retention grounds are checked without delaying the person's account deletion.
• Rejected registrations: confirming rejection removes the applicant account and related password-verification data, sessions, trusted-device and email-verification data. Records already held by an external email service are separate.
• Login-attempt aggregates: new aggregate windows created after the cleanup policy was enabled have a seven-day cleanup deadline. This does not promise that all historical rows or external logs are deleted after seven days.
• Inquiry email: the operating target is seven-day cleanup, but mailbox cleanup is not yet connected. Server cleanup does not erase Gmail inbox, sent or trash folders.
• Verification and persistent sign-in: email codes expire after five minutes. Supported persistent sign-in and trusted-device access last at most 30 days. Expiry does not mean immediate deletion of every server row or provider record.
• App backups: the general standard is retention until the user deletes them. A backup is not a basis to retain information that should be erased. Erasing a person's information may also delete that church's app backups.

Requests for previous records require confirmation of identity or lawful authority and cooperation with the church. The possibility of a later request does not justify keeping or disclosing all records. Information subject to a separate statutory retention duty is handled according to its actual basis and period.

Server erasure covers explicitly linked member or student profiles, ID-linked work records and photos and automatic family links; the relatives themselves are preserved. Name-only notes, manually typed family names, separate attachments, exported files and paper records require separate review by the responsible worker. Electronic and paper disposal should prevent recovery or re-identification.

Cleanup is scheduled every 15 minutes but may be delayed by a queue or errors. If a person's links change after scheduling, the scope is flagged for reconfirmation instead of being silently expanded. As the app's scheduling screen is not released, separate member/student or church-closure requests can be made by email. Your own in-app account deletion does not require this procedure.

Church ID, erased-record ID and type, and processing time are kept to prevent re-storage. These contain no name, photo or contact details, but are not treated as anonymous because IDs can link to other records. The retention ceiling and independent recovery procedure remain under review. Provider recovery history differs from app backups: restoring an entire server to an earlier point can also restore erasure history. An independently verified procedure to reapply deletion requests after restoration is not yet complete. Server deletion does not remotely delete previously exported Excel, Word, PDF or other device files.

5. External providers and international processing

CHBOM uses external infrastructure to provide the service. Processing by service providers differs from arbitrary disclosure to unrelated third parties. Data is not guaranteed to stay in Korea or in your country.

• Cloudflare: web and API hosting, D1 database and service storage and delivery of app update files. Depending on the feature, account, church work, photo and request-processing information may be processed. APAC metadata was observed for the operational D1 database, but it does not establish every storage, backup or access country. Exact countries, contracts and processing scope remain under review. Published D1 recovery-history limits are seven days on Free and 30 days on Paid, separate from app-backup deletion; the actual plan and terms remain to be confirmed. Cloudflare privacy policy · D1 recovery history
• Resend: administrator verification and account email. Recipient address, sender information, subject and message are supplied over HTTPS when email is sent. Registration notices may include a church name, owner name and username; verification email includes the code. Resend's published information identifies United States storage, 30-day email/log retention for Free, Pro and Scale, and deletion of residual customer data within 90 days after account termination. The connected account's applicable terms and plan are separately under review. CHBOM's seven-day target is not a promise about all provider records. Resend security and retention · Processing agreement
• Supabase: legacy platform-operator authentication and account-transition integrations remain. Current scope, residual account and authentication records, processing countries, contracts and retention remain under review. This does not mean every new CHBOM account signs in through Supabase. Supabase privacy policy

This notice will be updated as the processing items, countries, providers, retention conditions and applicable basis are confirmed. Send questions or objections to churchbom@gmail.com. Refusing processing necessary for core infrastructure or authentication email may restrict the corresponding function. This notice alone is not completed consent to an international transfer.

6. Device storage and app permissions

If you select Remember username, the username and option are stored on the device or browser. Supported installed apps use device secure storage for selected persistent sign-in or trusted-device authentication information. This differs from the server's password-verification data. Persistence and trust last at most 30 days and may require sign-in or verification again depending on the environment and account state. Leave these options off or clear stored sign-in information if unwanted; avoid them on shared devices.

Photo and file features process files you choose to register or export. Selecting one photo does not mean collecting the whole photo library or address book. Church workers must confirm authority and necessary consent when photos, family links or imports contain other people's information.

7. Access, correction and deletion requests

You and an authorized legal representative can request access, correction, erasure, restriction of processing or withdrawal of consent. You can delete your own account directly in My profile or account settings without email support or owner approval. Requests concerning separately managed church member or student records require scope confirmation with the church.

For optional support when you cannot sign in, or for separate church-record requests, email churchbom@gmail.com with the subject “CHBOM account deletion request,” your church, username, request scope and a way to reply. Do not send passwords, verification codes or identity-document copies. The operator verifies only the necessary identity or lawful authority and cooperates with the church. Individual account deletion, erasure of church-entered member/student records and whole-church closure have different scopes. Any lawful restriction or retention ground is explained.

In the app, read the deletion scope in My profile or Account settings → Delete my account, enter your username and confirm deletion. Additional registration, password creation, support contact or owner approval is not required. All devices lose server access and stored sign-in information on the current device is cleared. Other devices' files cannot be remotely erased, but remaining authentication values no longer grant access. The account-deletion explanation is informational; opening it does not delete an account.

8. Protection measures

CHBOM uses HTTPS, church-specific record access, account menu permissions, administrator email verification, hashed password and authentication-token verification and login-attempt controls. The operator reviews least privilege, secret protection, updates, staff access and erasure requests. These measures do not guarantee absolute safety, encryption of every stored field or that the operator is technically unable to access all records. Churches should avoid account sharing and review access when workers change.

9. Contact

Service operator and privacy contact for CHBOM accounts, sign-in and verification email: Donggyeong Kim, churchbom@gmail.com. The church owner or designated privacy worker is the contact for church-entered work records. Churches should provide their contact details to the people concerned. If contact is difficult, the CHBOM address can receive a request and cooperate within the necessary scope. The Korean privacy portal provides external advice and complaint or dispute-resolution information.

10. Changes

Changes in processing or this policy will be described on this page with their effective date. Publishing a notice does not replace additional consent when required. Newly verified information will identify what was confirmed. First publication: October 2, 2026. Direct account-deletion guidance: October 7, 2026. Optional iOS ads and Mac sponsor preparation guidance: October 13, 2026. English translation and conditional iOS 1.0.3 RDP preparation guidance: October 25, 2026. Unresolved external retention and operational conditions remain unresolved.