정보 보안 정책

최종 업데이트: 2026/03/24

회사 등록 정보

회사명: 广州步乡庆商贸有限公司

법정 대표자: 李国兴

연락처: +86 19272709607

회사 이메일: service@mail.toxhuzow.com

설립일: 2025-10-19

통합 사회 신용 코드: 91440111MAG1BJ7Y1U

회사 주소: 广州市白云区南云东街20号101

제1조 (목적)

본 정책은 당사가 운영하는 서비스(이하 “서비스”)에서 수집·처리·보관·전송되는 모든 정보의 기밀성, 무결성, 가용성을 확보하고, 이용자의 개인정보를 안전하게 보호하기 위한 보안 원칙과 구체적인 기술적·관리적 조치를 규정함을 목적으로 합니다.

제2조 (적용 범위)

본 정책은 당사가 제공하는 모든 서비스(웹사이트, 애플리케이션, API 등)와 정보시스템, 그리고 개인정보 및 중요 데이터를 처리하는 모든 업무 단위에 적용됩니다.

제3조 (쿠키 및 유사 기술의 사용)

3.1 쿠키의 정의

쿠키는 이용자가 서비스를 방문할 때 이용자의 브라우저에 저장되는 작은 텍스트 파일로서, 서비스의 원활한 운영과 맞춤형 제공을 위해 사용됩니다.

3.2 쿠키의 유형별 상세

유형	목적	보관 기간
필수 쿠키	로그인 유지, 보안 토큰, 결제 처리 등 서비스의 핵심 기능에 필수적임. 동의 거부 시 기본 서비스 이용이 불가능할 수 있음.	브라우저 종료 시 삭제 또는 별도 만료 기간 적용
성능 쿠키	방문 횟수, 접속 페이지, 오류 발생 통계 등 익명의 정보를 수집하여 서비스 품질 개선에 활용함.	최대 24개월
기능 쿠키	언어 설정, 화면 레이아웃 등 이용자의 선택적 환경 설정을 저장하여 편의성 향상.	최대 12개월
마케팅 쿠키	이용자의 관심사를 기반으로 관련성 높은 콘텐츠를 표시하고, 광효과 분석에 사용됨. (별도 동의 필요)	최대 24개월

3.3 쿠키 관리 및 동의 철회

이용자는 서비스 최초 방문 시 쿠키 설정에 대한 선택권을 행사할 수 있으며, 브라우저 설정 또는 모바일 기기 설정에서 저장된 쿠키를 삭제하거나 향후 저장을 거부할 수 있습니다.

단, 필수 쿠키의 비활성화 시 로그인, 장바구니, 결제 등 일부 서비스 이용에 제한이 발생할 수 있습니다.

제4조 (전송 구간 암호화 – SSL/TLS)

4.1 적용 기술

당사는 모든 네트워크 구간에서 정보의 안전한 전송을 위해 TLS 1.2 이상의 프로토콜을 사용합니다. TLS(Transport Layer Security)는 데이터 암호화, 무결성 검증, 상호 인증을 통해 다음과 같은 위협을 방지합니다.

중간자 공격(MITM)

패킷 스니핑 및 도청

데이터 변조

4.2 인증서 관리

신뢰할 수 있는 공인 인증 기관(CA)에서 발급받은 SSL/TLS 인증서를 적용하며, 유효 기간 만료 전에 자동 갱신 체계를 운영합니다.

적용된 암호 스위트(cipher suite)는 업계 표준에 따라 안전한 알고리즘(예: ECDHE-RSA-AES256-GCM-SHA384)만을 허용하며, 취약한 프로토콜(TLS 1.0, TLS 1.1) 및 암호는 차단합니다.

4.3 적용 범위

웹사이트 및 모바일 애플리케이션의 모든 통신

API 호출, 파일 업로드/다운로드

관리자 시스템 접속

제3자 위탁 시스템 간 데이터 전송

제5조 (저장 데이터 암호화 – AES)

5.1 암호화 기준

당사는 저장되는 개인정보 및 중요 데이터를 AES-256 알고리즘으로 암호화합니다. AES(Advanced Encryption Standard)는 미국 표준 기술 연구소(NIST)에서 검증된 강력한 블록 암호화 방식입니다.

5.2 적용 대상

개인정보(성명, 연락처, 배송지, 이메일, 개인통관고유부호 등)

인증 정보(비밀번호, 인증 토큰 등)

결제 관련 정보

고객 상담 내역 중 민감 정보

5.3 암호화 키 관리

암호화 키는 별도의 키 관리 시스템(KMS)에서 생성, 저장, 교체, 폐기됩니다.

키 접근 권한은 최소 인원에게 최소 권한으로 부여되며, 정기적으로 접근 기록을 감사합니다.

암호화 키는 정기적으로 교체되며, 동일한 키로 장기간 암호화되지 않도록 관리됩니다.

5.4 데이터베이스 암호화

데이터베이스 파일 자체(TDE, Transparent Data Encryption)와 칼럼 단위 암호화를 병행하여 물리적 유출 시에도 데이터 해독을 불가능하게 합니다.

백업 데이터에도 동일한 암호화 수준을 적용합니다.

제6조 (개인정보 수집 및 이용 동의)

당사는 서비스 제공을 위해 아래와 같이 개인정보를 수집·이용합니다. 이용자는 동의를 거부할 권리가 있으며, 동의 거부 시 상품 구매, 배송 서비스 등 일부 서비스 이용이 제한될 수 있습니다.

항목	내용
수집 및 이용 목적	상품 구매 및 결제, 배송 서비스 제공, 고객 상담 및 불만 처리, 부정 거래 방지, 서비스 품질 개선 및 법적 의무 준수
수집 항목	성명, 휴대폰 번호, 배송지 주소(도로명, 상세 주소, 우편번호), 이메일 주소, 개인통관고유부호(해외 배송 시), 서비스 이용 기록(접속 IP, 이용 일시, 기기 정보)
보유 및 이용 기간	회원 탈퇴 시 또는 서비스 종료 시까지 (단, 상법, 전자상거래법 등 관계 법령에 따라 보존이 필요한 경우 해당 기간까지 보관)

6.1 개인정보의 파기 절차 및 방법

보유 기간 종료 시 또는 목적 달성 후 지체 없이 파기합니다.

전자적 파일 형태로 저장된 개인정보는 복구 불가능한 방법(영구 삭제, 포맷, 암호화 폐기 등)으로 삭제합니다.

종이 문서는 분쇄기 또는 소각 방식으로 폐기합니다.

6.2 개인정보의 제3자 제공 및 위탁

당사는 원칙적으로 이용자의 동의 없이 개인정보를 제3자에게 제공하지 않습니다. 단, 관계 법령에 의해 요구되는 경우 또는 위탁 계약을 통해 위탁 업무 수행에 필요한 최소한의 범위에서 제공할 수 있으며, 이 경우 위탁 계약서에 보안 책임 및 감독 조항을 명시합니다.

6.3 이용자의 권리 및 행사 방법

이용자는 언제든지 자신의 개인정보에 대해 열람, 정정, 삭제, 처리정지, 동의 철회를 요구할 수 있으며, 이에 대한 절차는 고객센터 또는 담당 부서를 통해 즉시 처리됩니다.

제7조 (접근 통제 및 권한 관리)

7.1 최소 권한 원칙

모든 직원 및 위탁사 담당자는 업무 수행에 필요한 최소한의 권한만 부여받습니다.

개인정보 처리 시스템에 대한 접근 권한은 직급, 직무, 업무 범위에 따라 차등 부여되며, 권한 부여 시 상급자 승인을 필수로 합니다.

7.2 접근 통제 수단

사용자 계정: 고유 식별자(ID)와 강력한 암호 정책(최소 10자, 영문·숫자·특수문자 조합, 90일 주기 변경)을 적용합니다.

다중 인증(MFA): 관리자 및 중요 시스템 접근 시 2차 인증(OTP, 모바일 인증 등)을 의무화합니다.

접속 IP 제한: 내부망, 특정 IP 구간에서만 관리자 접속을 허용합니다.

7.3 접근 기록 및 감사

모든 접근 이력(로그인, 데이터 조회·변경·다운로드)은 최소 1년 이상 보관·관리됩니다.

이상 접근 탐지 시스템(UEBA)을 운영하여 비정상적인 접근 시도(야간 시간대 대량 다운로드, 권한 상승 시도 등)를 실시간으로 탐지하고 차단합니다.

제8조 (보안 사고 대응 및 재해 복구)

8.1 사고 대응 체계

당사는 정보보안 사고(침해, 유출, 랜섬웨어 등) 발생 시 신속한 대응을 위해 다음 절차를 운영합니다.

단계	내용
1단계: 탐지 및 보고	보안 관제 시스템, 로그 분석, 내부 신고를 통해 사고 인지 후 보안 담당 조직으로 즉시 보고
2단계: 초기 대응	침해 범위 확인, 중요 시스템 격리, 증거 자료 보존, 법적 대응 준비
3단계: 분석 및 복구	근본 원인 분석, 취약점 제거, 데이터 복구, 시스템 정상화
4단계: 사후 조치	재발 방지 대책 수립, 관련 법령에 따른 이용자 및 규제 기관 통지, 보안 제도 개선

8.2 재해 복구 및 백업

중요 데이터는 매일 증분 백업 및 주간 전체 백업을 수행하며, 백업 데이터는 물리적 분리된 장소에 보관합니다.

재해 복구 훈련을 연 1회 이상 실시하여 서비스 중단 시 복구 목표 시간(RTO) 및 복구 시점 목표(RPO)를 충족하도록 합니다.

제9조 (보안 교육 및 인식 제고)

당사는 모든 임직원과 위탁사 직원을 대상으로 정기적인 정보보안 교육을 실시합니다.

신규 입사자 교육: 개인정보 보호 의무, 내부 보안 규정, 사고 사례 중심

정기 교육: 연 1회 이상 법적 의무 사항, 최신 위협 동향, 안전한 개발 및 운영 가이드

수시 교육: 모의 피싱 훈련, 보안 공지 및 긴급 사항 발생 시 즉시 전파

제10조 (보안 감사 및 평가)

내부 감사: 분기별로 접근 권한, 암호화 적용 현황, 로그 관리 실태 등에 대한 정기 감사를 실시합니다.

외부 감사: 연 1회 이상 정보보안 관리 체계(ISMS) 인증 또는 외부 전문 기관의 취약점 점검, 모의 침투 테스트를 수행합니다.

취약점 관리: 점검 결과 도출된 취약점은 위험 수준에 따라 즉시 개선 조치하며, 추적 관리를 수행합니다.

제11조 (정책 개정 및 공지)

본 정책은 관련 법령 제·개정, 서비스 환경 변화, 신규 위협 대응, 감사 결과 등을 반영하여 수시로 개정될 수 있습니다.
개정 사항이 있는 경우 시행일 7일 전부터 서비스 내 공지사항 또는 이메일 등을 통해 고지하며, 기존 이용자에게 불리한 변경 시에는 별도 동의를 받을 수 있습니다.

제12조 (문의 및 권리 행사)

이용자는 본 정책 및 개인정보 처리에 관한 문의, 의견, 권리 행사(열람·정정·삭제·처리정지·동의 철회)를 아래 연락처로 요청할 수 있습니다. 당사는 요청을 받은 날로부터 지체 없이 처리합니다.

이메일: service@mail.toxhuzow.com

전화번호: +86 19272709607