1개인정보의 처리 목적

운영자는 홈페이지 문의 폼 또는 안내된 이메일 주소로 받은 문의(작품문의, 전시, 협업, 라이선싱, 기타)를 확인하고 회신하기 위해서만 개인정보를 처리합니다. 같은 곳에서 짧은 시간에 반복되는 자동 등록(스팸)을 막는 데에도 필요한 범위에서 처리합니다. 전시 소식이나 홍보 메일 발송에는 이용하지 않습니다.

또한 홈페이지가 어떻게 이용되는지 날짜별·항목별 합계로 파악해 작품 소개와 홈페이지를 개선하기 위해 방문 통계를 냅니다. 개인을 알아보거나 사이트 밖까지 따라다니는 데에는 쓰지 않습니다.

2처리하는 개인정보 항목

문의 폼으로 보내신 내용은 별도의 데이터베이스에 저장하지 않고, 접수 서버가 운영자의 메일함으로 곧바로 전달합니다. 보관되는 곳은 운영자의 메일함입니다.

방문 통계는 방문자마다 따로 기록하지 않고 고유 번호도 붙이지 않습니다. 저장되는 것은 "날짜 × 항목"별 합계 숫자뿐이어서, 저장된 통계로는 특정 개인을 알아볼 수 없습니다.

문의 내용에는 주민등록번호, 계좌번호, 건강 정보 등 필요 이상의 개인정보를 적지 말아 주세요.

3처리의 법적 근거

문의 폼은 정보주체의 동의(「개인정보 보호법」 제15조 제1항 제1호)를 받아 처리하며, 수집·이용 동의 한 가지만 받습니다.

이메일로 직접 보내주신 문의 중 작품·전시·협업·라이선싱에 관한 문의는 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치(같은 항 제4호)로, 그 밖의 문의는 문의에 답하기 위한 운영자의 정당한 이익(같은 항 제6호)으로 회신에 필요한 범위에서만 처리합니다. 문의 처리에 필요하지 않은 내용이 담겨 있으면 확인 후 지웁니다.

자동·반복 접수를 막기 위한 처리(제출 토큰 발급·확인, IP 주소의 해시값)는 폼에 입력을 시작하는 시점부터 이루어지므로 동의에 앞섭니다. 스팸과 자동 등록으로부터 문의 창구를 지키기 위한 최소한의 처리이며(같은 항 제6호), 원문을 남기지 않고 짧게만 보관합니다(4항).

방문 통계는 홈페이지 운영 현황을 파악하기 위한 운영자의 정당한 이익(같은 항 제6호)으로 처리합니다. 개인을 알아볼 수 없는 합계만 남기고, IP 주소는 국가를 알아낸 직후 버리며, 브라우저의 추적 거부 신호(GPC·Do Not Track)를 따르고, 원하시면 언제든 통계에서 빠질 수 있게 해(11항) 필요한 범위를 넘지 않도록 합니다.

4보유 및 이용 기간

• 문의 폼으로 받은 문의와 이메일로 직접 받은 문의 모두 회신을 마친 뒤 1년 동안 운영자의 메일함에 보관한 뒤 파기합니다. 파기는 매월 1회 정리할 때 이루어지므로 실제 삭제가 최대 한 달 정도 늦어질 수 있습니다.
• 반복 접수 확인에 쓰는 해시값과 접수 시각은 10분이 지나면 효력을 잃고, 그 뒤 다음 문의가 들어올 때 접수 서버가 지웁니다. 새 문의가 없으면 그때까지 서버에 남아 있을 수 있으나, 원문이 아닌 해시값입니다.
• 방문 통계의 합계 숫자는 개인을 알아볼 수 없는 정보이므로 기간을 정하지 않고 보관합니다. 접속 IP 주소는 국가를 알아낸 즉시 버리고 저장하지 않습니다.
• 과도한 요청을 막기 위해 IP 주소를 그날만 쓰는 비밀값과 섞어 되돌릴 수 없게 만든 값을 씁니다. 이 값은 10분이 지나면 효력을 잃고 이후 요청이 들어올 때 서버가 지웁니다. 날짜가 바뀌면 비밀값이 달라져 다른 날의 값과 이어 볼 수 없습니다.
• 접수 서버와 통계 서버(같은 카페24 서버)의 웹서버 접속 기록(IP 주소, 접속 시각, 요청 주소 등)은 호스팅 업체(카페24)가 서버 운영과 보안을 위해 최대 7일 보관한 뒤 자동으로 삭제합니다.
• 삭제를 요청하시거나 동의를 철회하시면 지체 없이 파기합니다.
• 문의가 계약으로 이어진 경우, 계약서 등 관련 서류는 문의 기록과 별도로 관계 법령이 정한 기간 동안 보관합니다.

5파기 절차 및 방법

• 운영자는 매월 1회 메일함에서 보관기간(회신 후 1년)이 지난 문의 메일을 확인하고 삭제합니다(휴지통 비우기 포함).
• 접수 서버에는 문의 내용이 남지 않습니다. 반복 접수 확인용 기록은 시간이 지나면 서버가 스스로 지웁니다.

6개인정보의 제3자 제공

운영자는 문의로 받은 개인정보를 제3자에게 제공하지 않습니다. 다만 법률에 특별한 규정이 있는 경우는 예외로 합니다.

7개인정보 처리의 위탁

수탁자에게는 문의 처리에 필요한 범위의 개인정보만 전달되며, 그 밖의 목적으로 이용하지 못하도록 관리합니다.

8개인정보의 국외 이전

문의 폼으로 받은 개인정보는 국외로 이전하지 않습니다. 접수 서버와 메일함 모두 대한민국에 있습니다. 방문 통계도 국외로 이전하지 않으며, 통계 서버는 대한민국(카페24)에 있습니다.

다만 홈페이지 자체는 GitHub Pages(미국)에서 제공되어, 홈페이지를 여는 순간의 접속 기록(IP 주소 등)이 GitHub의 보안 기록에 남습니다. 이 기록은 GitHub이 자체 방침에 따라 관리하며 운영자는 받지 않고, 문의 내용과는 분리되어 있습니다(11항).

9정보주체의 권리와 행사 방법

• 언제든지 자신의 개인정보 열람, 정정·삭제, 처리정지를 요구하거나 동의를 철회할 수 있습니다.
• 열람·정정·삭제·처리정지 요구와 동의 철회는 haedarney@naver.com 에서 접수·처리합니다. 요청을 받은 날부터 10일 이내에 조치하고 결과를 알려드립니다(본인 확인에 걸린 기간을 빼고 다시 세지 않습니다).
• 법정대리인은 그 지위를 확인할 수 있는 자료로, 위임을 받은 대리인은 위임 사실을 확인할 수 있는 자료로 요청할 수 있습니다. 본인 확인에 필요하지 않은 자료는 요구하지 않습니다.
• 법령에 따라 열람·처리정지가 제한되거나 보관 의무가 있어 삭제할 수 없는 경우에는 그 사유를 알려드립니다.
• 방문 통계에는 개인을 알아볼 수 있는 기록이 남지 않아 열람·정정·삭제의 대상이 되는 개인별 기록이 없습니다. 통계에 포함되기를 원하지 않으시면 11항의 방법으로 빠질 수 있습니다.

10개인정보의 안전성 확보조치

• 홈페이지와 문의 접수 서버의 모든 통신을 HTTPS로 암호화
• 문의 내용을 별도로 저장하지 않아, 유출될 수 있는 보관처를 최소화
• 문의 메일함은 운영자 본인 계정으로만 열람하며, 계정에 2단계 인증 적용
• 접수 서버에서 입력값 검증, 자동 접수 차단(숨은 입력칸), 폼을 실제로 연 사람만 접수되도록 하는 단기 제출 토큰, 같은 곳·같은 내용 반복 접수 제한
• 반복 접수 확인에는 IP 주소 원문 대신 비밀키 없이는 되돌릴 수 없는 해시값만 사용하고, 10분이 지나면 다음 접수 때 삭제
• 서버 오류 기록에는 문의 내용·연락처를 남기지 않음
• 접수 서버의 설정 파일은 웹에서 열람할 수 없도록 차단
• 방문 통계는 합계 숫자만 저장하고, IP 주소 원문·방문자별 기록·고유 번호를 남기지 않음
• 국가 판별은 통계 서버에 내려받아 둔 데이터로만 하고, IP 주소를 외부에 보내 조회하지 않음
• 통계 조회는 운영자 계정(2단계 인증)으로만 가능

11자동 수집 장치 및 외부 서비스

• 홈페이지는 광고나 다른 사이트를 넘나드는 추적을 위한 쿠키·도구를 사용하지 않습니다.
• 방문 통계를 위해, 페이지를 열거나 버튼을 누를 때 홈페이지가 짧은 신호를 운영자의 통계 서버(카페24, 국내)로 보냅니다(2항의 항목).
• 브라우저 저장공간(localStorage)에는 다음 값만 둡니다: 언어 선택 · 방문자와 방문을 세기 위한 마지막으로 센 날짜와 마지막 활동 시각 · 이번 방문의 들어온 곳 · 이번 방문에서 이미 누른 버튼 종류(같은 방문에서 두 번 세지 않기 위해) · 첫 화면에서 지난번 처음 본 장(다음에는 다른 장으로 시작하기 위해) · 통계 제외 설정. 이 값들은 이 브라우저 안에서만 쓰이고 서버로 보내지지 않으며, 개인을 식별하는 값은 만들지 않습니다. 브라우저 설정에서 언제든 삭제할 수 있습니다.
• 통계에서 빠지는 방법: 아래 "이 브라우저를 통계에서 제외" 버튼을 누르면 이 브라우저에서는 세지 않습니다(폰·컴퓨터·앱 안 브라우저마다 따로 눌러야 합니다). 브라우저의 추적 거부 신호(GPC 또는 Do Not Track)를 켜 두셔도 세지 않습니다.
• 국가 판별에는 DB-IP(db-ip.com)의 무료 데이터베이스(IP to Country Lite, CC BY 4.0)를 씁니다.
• 문의 폼에서는 자동 등록 방지를 위한 외부 서비스(캡차 등)를 사용하지 않습니다. 접수 서버가 자체적으로 확인합니다.
• 작품 영상 중 YouTube 영상은 방문자가 재생을 선택했을 때만 YouTube(youtube-nocookie.com) 플레이어를 불러오며, 재생 시 YouTube의 개인정보 처리방침이 적용됩니다.
• Press 화면의 기사 사진 일부는 해당 언론사 서버(국내)에서 직접 불러옵니다. 그 화면을 여는 동안 방문자의 접속 정보가 해당 언론사에 전달될 수 있으며, 운영자는 이를 받지 않습니다.
• 홈페이지는 GitHub Pages로 제공되며, GitHub은 보안을 위해 방문자의 IP 주소를 기록합니다. 이 기록은 GitHub이 자체 방침에 따라 관리하며 운영자는 받지 않습니다.
• 문의 접수 서버와 통계 서버(카페24)는 서버 운영과 보안을 위해 접속 기록(IP 주소 등)을 최대 7일 보관한 뒤 자동으로 삭제합니다. 운영자는 이 기록을 다른 목적으로 이용하지 않습니다.

12만 14세 미만 아동

운영자는 만 14세 미만 아동의 개인정보를 수집하지 않습니다. 만 14세 미만 아동은 문의 폼을 이용하지 마시고 법정대리인을 통해 문의해 주세요. 법정대리인의 동의 없이 아동의 개인정보가 접수된 사실을 알게 되면 지체 없이 파기합니다.

13개인정보 보호책임자

• 개인정보 보호책임자: 신다혜 (대표)
• 연락처: haedarney@naver.com

개인정보 침해에 대한 신고·상담은 아래 기관에도 하실 수 있습니다.

• 개인정보침해신고센터 (privacy.kisa.or.kr / 국번 없이 118)
• 개인정보분쟁조정위원회 (www.kopico.go.kr / 1833-6972)
• 대검찰청 (www.spo.go.kr / 국번 없이 1301)
• 경찰청 (ecrm.police.go.kr / 국번 없이 182)

1Purposes

The Operator processes personal information only to review and reply to inquiries received through the Website's contact form or the published email address (artwork inquiry, exhibition, collaboration, licensing, other). It is also processed, to the extent necessary, to block automated or repeated submissions (spam) from the same source within a short time. It is not used for exhibition news or promotional emails.

We also compile visit statistics as daily totals per item to understand how the Website is used and to improve how the works are presented. They are never used to identify you or to follow you across other sites.

2Information processed

What you send through the contact form is not stored in any database; the receiving server passes it straight to the Operator's mailbox, which is where it is kept.

Visit statistics keep no per-visitor records and assign no unique IDs. Only daily totals per item are stored, so the stored statistics cannot identify any individual.

Please do not include unnecessary personal information such as national ID numbers, bank account numbers or health information in your message.

3Legal basis

The contact form relies on your consent (PIPA Article 15(1)1) and asks for a single consent, to the collection and use of your information.

If you email us directly, inquiries about artworks, exhibitions, collaboration or licensing are processed as steps taken at your request in the course of entering into a contract (Article 15(1)4), and other inquiries on the basis of the Operator's legitimate interest in answering them (Article 15(1)6), in both cases only to the extent the reply requires. Anything not needed to handle the inquiry is deleted once noticed.

Processing that blocks automated or repeated submissions (issuing and checking the submit token, hashing the IP address) starts when you begin filling in the form, before consent is given. It is the minimum needed to keep the inquiry channel usable against spam and bots (Article 15(1)6); no original values are kept and the records are short-lived (Section 4).

Visit statistics are processed on the basis of the Operator's legitimate interest in understanding how the Website is used (Article 15(1)6). We keep only totals that cannot identify anyone, discard the IP address right after determining the country, honor browser opt-out signals (GPC, Do Not Track), and let you opt out at any time (Section 11), so the processing stays within what is necessary.

4Retention period

• Inquiries received through the form and by direct email alike are kept in the Operator's mailbox for one year after we reply, then destroyed. Destruction happens during the monthly clear-out, so actual deletion can be up to about a month later.
• The hashes and timestamp used for the repeat-submission check stop being valid after 10 minutes and are erased by the receiving server when the next inquiry arrives. If no new inquiry arrives they may remain until then, but they are hashes, not the original values.
• Visit statistics totals cannot identify individuals and are kept without a set period. IP addresses are discarded as soon as the country is determined and are never stored.
• To block excessive requests we use a value derived from the IP address mixed with a secret that changes every day; it cannot be reversed, stops being valid after 10 minutes and is deleted by the server on a later request. Because the secret changes daily, values from different days cannot be linked.
• The web access logs of the receiving server and the statistics server (the same Cafe24 server) (IP address, time, requested address and similar) are kept by the hosting provider (Cafe24) for server operation and security for up to 7 days and then deleted automatically.
• If you ask for deletion or withdraw your consent, your information is destroyed without delay.
• If an inquiry leads to a contract, contract documents are kept separately from inquiry records for the period required by applicable laws.

5Destruction procedure and method

• Once a month the Operator checks the mailbox for inquiries whose retention period (one year after the reply) has ended and deletes them, including from the trash folder.
• No inquiry content remains on the receiving server. The repeat-submission records are removed by the server itself as they age.

6Provision to third parties

The Operator does not provide personal information received through inquiries to third parties, except where a law specifically requires it.

7Outsourcing of processing

Processors receive only what is needed to handle your inquiry and are not permitted to use it for any other purpose.

8Transfer of personal information outside Korea

Personal information received through the contact form is not transferred outside Korea. Both the receiving server and the mailbox are located in the Republic of Korea. Visit statistics are not transferred abroad either; the statistics server is in the Republic of Korea (Cafe24).

The Website itself, however, is served by GitHub Pages (United States), so opening the site leaves connection data (such as your IP address) in GitHub's security logs. GitHub manages those logs under its own policy, the Operator does not receive them, and they are separate from the content of your inquiry (Section 11).

9Your rights and how to exercise them

• You may at any time ask to access, correct, delete or suspend processing of your personal information, or withdraw your consent.
• Requests to access, correct, delete or suspend processing, and withdrawals of consent, are received and handled at haedarney@naver.com. We act within 10 days of receiving the request and tell you the result; the clock is not restarted after identity checks.
• A legal representative may make the request with evidence of that status, and someone you authorize with evidence of the authorization. We do not ask for documents that identity checking does not require.
• If access or suspension is restricted by law, or information cannot be deleted because the law requires keeping it, we will tell you why.
• Visit statistics contain no records that identify individuals, so there are no per-person records to access, correct or delete. If you prefer not to be counted, you can opt out as described in Section 11.

10Security measures

• All communication with the Website and the receiving server is encrypted with HTTPS
• Inquiry content is not stored separately, keeping the number of places it could leak from to a minimum
• The inquiry mailbox is opened only from the Operator's own account, which has two-step authentication enabled
• The receiving server validates input, blocks automated submissions with a hidden field, issues a short-lived token so that only someone who actually opened the form can submit, and limits repeated or identical submissions
• The repeat-submission check uses a keyed hash instead of the IP address itself, and it is deleted at the next submission once 10 minutes have passed
• Server error logs do not record message content or contact details
• The receiving server's configuration file cannot be opened from the web
• Visit statistics store totals only — no raw IP addresses, per-visitor records or unique IDs
• Country lookup uses a database stored on the statistics server; IP addresses are never sent to outside services
• Only the Operator's account (with two-step verification) can view the statistics

11Automatic collection tools and external services

• The Website does not use cookies or tools for advertising or cross-site tracking.
• For visit statistics, the Website sends a short signal to the Operator's statistics server (Cafe24, Korea) when you open a page or press a button (the items in Section 2).
• Browser storage (localStorage) holds only: your language choice; the last date you were counted and the time of your last activity (to count visitors and visits); where this visit came from; which kinds of buttons you already pressed during this visit (so they are not counted twice); which slide you saw first on the home page last time (so the next visit starts with a different one); and your opt-out setting. These values stay in your browser, are never sent to the server, and no identifier is created. You can delete them in your browser settings at any time.
• How to opt out: press "Exclude this browser from statistics" below and this browser will not be counted (do it separately on each phone, computer or in-app browser). Turning on your browser's opt-out signal (GPC or Do Not Track) also stops counting.
• Country lookup uses DB-IP's free database (IP to Country Lite, db-ip.com, CC BY 4.0).
• The contact form does not use an external bot-check service such as a CAPTCHA; the receiving server performs the check itself.
• For YouTube videos among the artwork videos, the YouTube player (youtube-nocookie.com) loads only when you choose to play a video, and YouTube's privacy policy applies during playback.
• Some article images on the Press page load directly from the publishers' own servers in Korea. While that page is open your connection data may reach those publishers; the Operator does not receive it.
• The Website is served by GitHub Pages, and GitHub logs visitors' IP addresses for security. GitHub manages these logs under its own policy; the Operator does not receive them.
• The inquiry receiving server and the statistics server (Cafe24) keep access logs (such as IP addresses) for server operation and security for up to 7 days and then delete them automatically. The Operator does not use these logs for any other purpose.

12Children under 14

The Operator does not collect personal information from children under 14. If you are under 14, please do not use the contact form; ask your legal representative to contact us instead. If we learn that a child's personal information has been submitted without that consent, we destroy it without delay.

13Privacy officer

• Privacy officer: Shin Dahye (Representative)
• Contact: haedarney@naver.com

You may also report or seek advice about privacy infringement from:

• Personal Information Infringement Report Center (privacy.kisa.or.kr / 118 in Korea)
• Personal Information Dispute Mediation Committee (www.kopico.go.kr / 1833-6972)
• Supreme Prosecutors' Office (www.spo.go.kr / 1301 in Korea)
• Korean National Police Agency (ecrm.police.go.kr / 182 in Korea)