보안 및 데이터 처리 안내
온프레미스 환경에서 BidFactory가 데이터를 저장하고 외부 서비스와 통신하는 범위를 안내합니다.
1. 적용 범위
이 안내는 고객사의 서버 또는 고객사가 관리하는 전용 인프라에 Docker 기반으로 설치된 BidFactory 제품에 적용됩니다. 고객사와 체결한 보안약정, 개인정보 처리위탁 계약 또는 공급계약에 별도 내용이 있으면 해당 계약이 우선합니다.
2. 데이터 저장 위치
| 데이터 | 기본 저장 위치 |
|---|---|
| 계정·조직·권한 정보 | 고객사 내부 데이터베이스 |
| RFP, 회사자료, 첨부파일 | 고객사 내부 파일·오브젝트 저장소 |
| 제안서 본문과 생성 산출물 | 고객사 내부 데이터베이스 및 저장소 |
| 시스템 로그와 감사 기록 | 고객사 내부 운영환경 |
| 라이선스 인증정보 | 고객사 시스템 및 공급자 라이선스 인증 시스템 |
3. 제품에서 처리되는 데이터
제품은 서비스 제공을 위해 사용자 이름·로그인 이메일·소속·권한, 프로젝트 메타데이터, RFP와 제안자료, 프롬프트·AI 응답, 생성 이미지와 문서, 접속·오류·감사 로그를 처리할 수 있습니다. 고객사는 업무에 불필요한 주민등록번호, 건강정보 등 고위험 개인정보를 입력하지 않아야 합니다.
4. 외부 통신 범위
| 통신 대상 | 목적 | 전송 범위 |
|---|---|---|
| 라이선스 인증 시스템 | 라이선스 유효성 확인 | 라이선스 키, 사업자등록번호, 제품·요금제, 상태·유효기간 등 인증정보 |
| 고객사가 설정한 AI API | 텍스트·이미지 생성 및 분석 | 해당 작업 수행에 필요한 프롬프트와 선택된 문서 문맥 |
| 기타 외부 서비스 | 고객사가 별도로 활성화한 기능 | 활성화 시 사전에 안내된 최소 데이터 |
라이선스 인증 과정에는 제안서 본문, RFP 원문, 첨부파일 또는 생성 산출물을 전송하지 않습니다.
5. 외부 AI API 데이터 처리
- 외부 AI 호출은 고객사가 해당 제공자를 설정하고 기능을 실행할 때 발생합니다.
- 제품은 작업 수행에 필요한 범위로 문서 문맥과 지시문을 구성해 전송합니다.
- API 데이터 보관·학습·국외 처리 조건은 고객사가 체결한 기업용 API 정책에 따릅니다.
- 고객사는 사용하려는 AI 제공자의 보안·개인정보·데이터 거버넌스 조건을 검토하고 승인해야 합니다.
- 외부 전송이 허용되지 않는 데이터는 AI 생성 대상에서 제외해야 합니다.
6. 암호화와 비밀정보 관리
제품은 지원되는 구성에서 웹 통신의 TLS 적용, 저장된 AI API 키 등 비밀정보의 암호화, 비밀번호의 단방향 해시를 사용합니다. 암호화 키, 데이터베이스 계정, 인증서와 운영환경 변수는 고객사 관리자가 안전하게 생성·보관·교체해야 합니다.
7. 접근권한과 감사 기록
제품은 조직·역할에 따른 접근권한과 주요 활동 기록 기능을 제공합니다. 고객사는 최소권한 원칙에 따라 관리자와 일반 사용자를 구분하고, 퇴직·이동 시 권한을 즉시 회수하며, 접속기록의 보관기간과 점검주기를 내부 정책에 맞게 설정해야 합니다.
8. 설치 및 원격지원
- 공급자는 고객사가 승인한 일정, 계정과 접속수단을 통해서만 원격지원합니다.
- 고객사는 가능하면 화면 공유, 일회성 계정, 접속시간 제한과 작업기록을 적용합니다.
- 지원에 필요하지 않은 실제 제안 데이터는 마스킹하거나 테스트 데이터로 대체합니다.
- 지원 종료 후 임시 계정, 파일과 접속권한을 회수합니다.
- 상시 원격접속 계정은 별도 서면 합의 없이 운영하지 않습니다.
9. 백업과 재해복구
데이터베이스, 파일 저장소, 암호화 키와 환경설정의 백업 및 복구계획은 고객사의 운영 책임입니다. 고객사는 백업 암호화, 별도 위치 보관, 접근통제와 정기 복구훈련을 수행해야 합니다. 공급자의 유지보수 범위에 백업 운영이 포함되는지는 별도 계약으로 정합니다.
10. 데이터 보유·이관 및 삭제
프로젝트와 사용자 데이터의 보유기간은 고객사 내부 정책과 관계 법령에 따라 고객사가 결정합니다. 라이선스 종료 전 필요한 데이터를 고객사가 내보내고 백업해야 합니다. 제품 삭제 시 데이터베이스, 파일 저장소, 백업, 로그와 비밀정보를 고객사의 파기 절차에 따라 안전하게 삭제해야 합니다.
11. 고객사와 공급자의 책임 구분
| 고객사 | 공급자 |
|---|---|
| 서버·네트워크·OS·Docker 보안 운영 | 제품 애플리케이션의 보안 설계와 결함 수정 |
| 사용자 권한, 입력 데이터와 적법성 관리 | 제품 보안 업데이트와 취약점 안내 |
| AI 제공자 선택과 외부 전송 승인 | 외부 통신 범위의 제품 문서화 |
| 백업, 복구, 로그 점검과 데이터 파기 | 계약 범위의 설치·유지보수 지원 |
12. 보안사고 및 취약점 대응
제품 취약점이나 이상 동작을 발견한 경우 공급계약서의 보안 연락처로 신고해 주십시오. 공급자는 영향도 확인, 완화조치, 패치와 고객 안내를 계약상 지원 범위에 따라 수행합니다. 고객사 인프라에서 발생한 침해사고는 고객사의 사고대응 절차에 따라 우선 격리·보존·조사해야 합니다.