1개인정보의 처리 목적

운영자는 홈페이지 문의 폼 또는 안내된 이메일 주소로 받은 문의(작품문의, 전시, 협업, 라이선싱, 기타)를 확인하고 회신하기 위해서만 개인정보를 처리합니다. 같은 곳에서 짧은 시간에 반복되는 자동 등록(스팸)을 막는 데에도 필요한 범위에서 처리합니다. 전시 소식이나 홍보 메일 발송에는 이용하지 않습니다.

2처리하는 개인정보 항목

문의 폼으로 보내신 내용은 별도의 데이터베이스에 저장하지 않고, 접수 서버가 운영자의 메일함으로 곧바로 전달합니다. 보관되는 곳은 운영자의 메일함입니다.

문의 내용에는 주민등록번호, 계좌번호, 건강 정보 등 필요 이상의 개인정보를 적지 말아 주세요.

3처리의 법적 근거

문의 폼은 정보주체의 동의(「개인정보 보호법」 제15조 제1항 제1호)를 받아 처리하며, 수집·이용 동의 한 가지만 받습니다.

이메일로 직접 보내주신 문의 중 작품·전시·협업·라이선싱에 관한 문의는 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치(같은 항 제4호)로, 그 밖의 문의는 문의에 답하기 위한 운영자의 정당한 이익(같은 항 제6호)으로 회신에 필요한 범위에서만 처리합니다. 문의 처리에 필요하지 않은 내용이 담겨 있으면 확인 후 지웁니다.

자동·반복 접수를 막기 위한 처리(제출 토큰 발급·확인, IP 주소의 해시값)는 폼에 입력을 시작하는 시점부터 이루어지므로 동의에 앞섭니다. 스팸과 자동 등록으로부터 문의 창구를 지키기 위한 최소한의 처리이며(같은 항 제6호), 원문을 남기지 않고 짧게만 보관합니다(4항).

4보유 및 이용 기간

• 문의 폼으로 받은 문의와 이메일로 직접 받은 문의 모두 회신을 마친 뒤 1년 동안 운영자의 메일함에 보관한 뒤 파기합니다. 파기는 매월 1회 정리할 때 이루어지므로 실제 삭제가 최대 한 달 정도 늦어질 수 있습니다.
• 반복 접수 확인에 쓰는 해시값과 접수 시각은 10분이 지나면 효력을 잃고, 그 뒤 다음 문의가 들어올 때 접수 서버가 지웁니다. 새 문의가 없으면 그때까지 서버에 남아 있을 수 있으나, 원문이 아닌 해시값입니다.
• 접수 서버의 웹서버 접속 기록(IP 주소, 접속 시각, 요청 주소 등)은 호스팅 업체(카페24)가 서버 운영과 보안을 위해 최대 7일 보관한 뒤 자동으로 삭제합니다.
• 삭제를 요청하시거나 동의를 철회하시면 지체 없이 파기합니다.
• 문의가 계약으로 이어진 경우, 계약서 등 관련 서류는 문의 기록과 별도로 관계 법령이 정한 기간 동안 보관합니다.

5파기 절차 및 방법

• 운영자는 매월 1회 메일함에서 보관기간(회신 후 1년)이 지난 문의 메일을 확인하고 삭제합니다(휴지통 비우기 포함).
• 접수 서버에는 문의 내용이 남지 않습니다. 반복 접수 확인용 기록은 시간이 지나면 서버가 스스로 지웁니다.

6개인정보의 제3자 제공

운영자는 문의로 받은 개인정보를 제3자에게 제공하지 않습니다. 다만 법률에 특별한 규정이 있는 경우는 예외로 합니다.

7개인정보 처리의 위탁

수탁자에게는 문의 처리에 필요한 범위의 개인정보만 전달되며, 그 밖의 목적으로 이용하지 못하도록 관리합니다.

8개인정보의 국외 이전

문의 폼으로 받은 개인정보는 국외로 이전하지 않습니다. 접수 서버와 메일함 모두 대한민국에 있습니다.

다만 홈페이지 자체는 GitHub Pages(미국)에서 제공되어, 홈페이지를 여는 순간의 접속 기록(IP 주소 등)이 GitHub의 보안 기록에 남습니다. 이 기록은 GitHub이 자체 방침에 따라 관리하며 운영자는 받지 않고, 문의 내용과는 분리되어 있습니다(11항).

9정보주체의 권리와 행사 방법

• 언제든지 자신의 개인정보 열람, 정정·삭제, 처리정지를 요구하거나 동의를 철회할 수 있습니다.
• 열람·정정·삭제·처리정지 요구와 동의 철회는 haedarney@naver.com 에서 접수·처리합니다. 요청을 받은 날부터 10일 이내에 조치하고 결과를 알려드립니다(본인 확인에 걸린 기간을 빼고 다시 세지 않습니다).
• 법정대리인은 그 지위를 확인할 수 있는 자료로, 위임을 받은 대리인은 위임 사실을 확인할 수 있는 자료로 요청할 수 있습니다. 본인 확인에 필요하지 않은 자료는 요구하지 않습니다.
• 법령에 따라 열람·처리정지가 제한되거나 보관 의무가 있어 삭제할 수 없는 경우에는 그 사유를 알려드립니다.

10개인정보의 안전성 확보조치

• 홈페이지와 문의 접수 서버의 모든 통신을 HTTPS로 암호화
• 문의 내용을 별도로 저장하지 않아, 유출될 수 있는 보관처를 최소화
• 문의 메일함은 운영자 본인 계정으로만 열람하며, 계정에 2단계 인증 적용
• 접수 서버에서 입력값 검증, 자동 접수 차단(숨은 입력칸), 폼을 실제로 연 사람만 접수되도록 하는 단기 제출 토큰, 같은 곳·같은 내용 반복 접수 제한
• 반복 접수 확인에는 IP 주소 원문 대신 비밀키 없이는 되돌릴 수 없는 해시값만 사용하고, 10분이 지나면 다음 접수 때 삭제
• 서버 오류 기록에는 문의 내용·연락처를 남기지 않음
• 접수 서버의 설정 파일은 웹에서 열람할 수 없도록 차단

11자동 수집 장치 및 외부 서비스

• 홈페이지는 방문자를 분석하거나 광고를 위해 추적하는 쿠키·도구를 사용하지 않습니다.
• 언어 선택(국문/영문)을 기억하기 위해 브라우저 저장공간(localStorage)에 설정값만 저장합니다. 이 값으로 개인을 식별하지 않으며, 브라우저 설정에서 삭제할 수 있습니다.
• 문의 폼에서는 자동 등록 방지를 위한 외부 서비스(캡차 등)를 사용하지 않습니다. 접수 서버가 자체적으로 확인합니다.
• 작품 영상 중 YouTube 영상은 방문자가 재생을 선택했을 때만 YouTube(youtube-nocookie.com) 플레이어를 불러오며, 재생 시 YouTube의 개인정보 처리방침이 적용됩니다.
• Press 화면의 기사 사진 일부는 해당 언론사 서버(국내)에서 직접 불러옵니다. 그 화면을 여는 동안 방문자의 접속 정보가 해당 언론사에 전달될 수 있으며, 운영자는 이를 받지 않습니다.
• 홈페이지는 GitHub Pages로 제공되며, GitHub은 보안을 위해 방문자의 IP 주소를 기록합니다. 이 기록은 GitHub이 자체 방침에 따라 관리하며 운영자는 받지 않습니다.
• 문의 접수 서버(카페24)는 서버 운영과 보안을 위해 접속 기록(IP 주소 등)을 최대 7일 보관한 뒤 자동으로 삭제합니다. 운영자는 이 기록을 다른 목적으로 이용하지 않습니다.

12만 14세 미만 아동

운영자는 만 14세 미만 아동의 개인정보를 수집하지 않습니다. 만 14세 미만 아동은 문의 폼을 이용하지 마시고 법정대리인을 통해 문의해 주세요. 법정대리인의 동의 없이 아동의 개인정보가 접수된 사실을 알게 되면 지체 없이 파기합니다.

13개인정보 보호책임자

• 개인정보 보호책임자: 신다혜 (대표)
• 연락처: haedarney@naver.com

개인정보 침해에 대한 신고·상담은 아래 기관에도 하실 수 있습니다.

• 개인정보침해신고센터 (privacy.kisa.or.kr / 국번 없이 118)
• 개인정보분쟁조정위원회 (www.kopico.go.kr / 1833-6972)
• 대검찰청 (www.spo.go.kr / 국번 없이 1301)
• 경찰청 (ecrm.police.go.kr / 국번 없이 182)

1Purposes

The Operator processes personal information only to review and reply to inquiries received through the Website's contact form or the published email address (artwork inquiry, exhibition, collaboration, licensing, other). It is also processed, to the extent necessary, to block automated or repeated submissions (spam) from the same source within a short time. It is not used for exhibition news or promotional emails.

2Information processed

What you send through the contact form is not stored in any database; the receiving server passes it straight to the Operator's mailbox, which is where it is kept.

Please do not include unnecessary personal information such as national ID numbers, bank account numbers or health information in your message.

3Legal basis

The contact form relies on your consent (PIPA Article 15(1)1) and asks for a single consent, to the collection and use of your information.

If you email us directly, inquiries about artworks, exhibitions, collaboration or licensing are processed as steps taken at your request in the course of entering into a contract (Article 15(1)4), and other inquiries on the basis of the Operator's legitimate interest in answering them (Article 15(1)6), in both cases only to the extent the reply requires. Anything not needed to handle the inquiry is deleted once noticed.

Processing that blocks automated or repeated submissions (issuing and checking the submit token, hashing the IP address) starts when you begin filling in the form, before consent is given. It is the minimum needed to keep the inquiry channel usable against spam and bots (Article 15(1)6); no original values are kept and the records are short-lived (Section 4).

4Retention period

• Inquiries received through the form and by direct email alike are kept in the Operator's mailbox for one year after we reply, then destroyed. Destruction happens during the monthly clear-out, so actual deletion can be up to about a month later.
• The hashes and timestamp used for the repeat-submission check stop being valid after 10 minutes and are erased by the receiving server when the next inquiry arrives. If no new inquiry arrives they may remain until then, but they are hashes, not the original values.
• The receiving server's web access logs (IP address, time, requested address and similar) are kept by the hosting provider (Cafe24) for server operation and security for up to 7 days and then deleted automatically.
• If you ask for deletion or withdraw your consent, your information is destroyed without delay.
• If an inquiry leads to a contract, contract documents are kept separately from inquiry records for the period required by applicable laws.

5Destruction procedure and method

• Once a month the Operator checks the mailbox for inquiries whose retention period (one year after the reply) has ended and deletes them, including from the trash folder.
• No inquiry content remains on the receiving server. The repeat-submission records are removed by the server itself as they age.

6Provision to third parties

The Operator does not provide personal information received through inquiries to third parties, except where a law specifically requires it.

7Outsourcing of processing

Processors receive only what is needed to handle your inquiry and are not permitted to use it for any other purpose.

8Transfer of personal information outside Korea

Personal information received through the contact form is not transferred outside Korea. Both the receiving server and the mailbox are located in the Republic of Korea.

The Website itself, however, is served by GitHub Pages (United States), so opening the site leaves connection data (such as your IP address) in GitHub's security logs. GitHub manages those logs under its own policy, the Operator does not receive them, and they are separate from the content of your inquiry (Section 11).

9Your rights and how to exercise them

• You may at any time ask to access, correct, delete or suspend processing of your personal information, or withdraw your consent.
• Requests to access, correct, delete or suspend processing, and withdrawals of consent, are received and handled at haedarney@naver.com. We act within 10 days of receiving the request and tell you the result; the clock is not restarted after identity checks.
• A legal representative may make the request with evidence of that status, and someone you authorize with evidence of the authorization. We do not ask for documents that identity checking does not require.
• If access or suspension is restricted by law, or information cannot be deleted because the law requires keeping it, we will tell you why.

10Security measures

• All communication with the Website and the receiving server is encrypted with HTTPS
• Inquiry content is not stored separately, keeping the number of places it could leak from to a minimum
• The inquiry mailbox is opened only from the Operator's own account, which has two-step authentication enabled
• The receiving server validates input, blocks automated submissions with a hidden field, issues a short-lived token so that only someone who actually opened the form can submit, and limits repeated or identical submissions
• The repeat-submission check uses a keyed hash instead of the IP address itself, and it is deleted at the next submission once 10 minutes have passed
• Server error logs do not record message content or contact details
• The receiving server's configuration file cannot be opened from the web

11Automatic collection tools and external services

• The Website does not use cookies or tools that track visitors for analytics or advertising.
• To remember your language choice (Korean/English), only that setting is saved in your browser storage (localStorage). It is not used to identify you, and you can delete it in your browser settings.
• The contact form does not use an external bot-check service such as a CAPTCHA; the receiving server performs the check itself.
• For YouTube videos among the artwork videos, the YouTube player (youtube-nocookie.com) loads only when you choose to play a video, and YouTube's privacy policy applies during playback.
• Some article images on the Press page load directly from the publishers' own servers in Korea. While that page is open your connection data may reach those publishers; the Operator does not receive it.
• The Website is served by GitHub Pages, and GitHub logs visitors' IP addresses for security. GitHub manages these logs under its own policy; the Operator does not receive them.
• The inquiry receiving server (Cafe24) keeps access logs (such as IP addresses) for server operation and security for up to 7 days and then deletes them automatically. The Operator does not use these logs for any other purpose.

12Children under 14

The Operator does not collect personal information from children under 14. If you are under 14, please do not use the contact form; ask your legal representative to contact us instead. If we learn that a child's personal information has been submitted without that consent, we destroy it without delay.

13Privacy officer

• Privacy officer: Shin Dahye (Representative)
• Contact: haedarney@naver.com

You may also report or seek advice about privacy infringement from:

• Personal Information Infringement Report Center (privacy.kisa.or.kr / 118 in Korea)
• Personal Information Dispute Mediation Committee (www.kopico.go.kr / 1833-6972)
• Supreme Prosecutors' Office (www.spo.go.kr / 1301 in Korea)
• Korean National Police Agency (ecrm.police.go.kr / 182 in Korea)