Privacy Policy

1. Applicable Legislation

Since this service is aimed at users in the Republic of Korea, as well as the European Economic Area (EEA) and the United Kingdom, this Privacy Policy is governed by the Personal Information Protection Act of Korea and the Act on Promotion of Information and Communications Network Utilization and Information Protection, along with the EU General Data Protection Regulation (GDPR), the UK General Data Protection Regulation (UK GDPR), and the UK Data Protection Act of 2018. Details regarding cookies and similar tracking technologies are outlined in a separate Cookie Policy, which is part of this Privacy Policy.

2. Personal Information Collected and Collection Methods

The Company may collect the following personal information.

• [Mandatory Information] Company name, name, mobile phone number, email address, password
• [Mandatory Information] When submitting a project inquiry: project type, project description, and any other information entered directly by the user
• [Automatically Collected Information] IP address, device information (browser, operating system), cookies, date and time of visit, usage logs, access logs
• [Optional Information] Name, contact details, and any other information provided when participating in surveys or events
• [Optional Information] Email and SMS subscription data provided upon consenting to receive marketing information

2-1. Methods of Collecting Personal Information

• During registration on the website and use of services
• Through customer service inquiries (phone, email, inquiry form)
• Automatic collection through cookies and log analysis tools

3. Purposes of Collecting and Using Personal Information, and Legal Basis for Processing

The Company processes personal information for the purposes outlined below and specifies the legal basis under Article 6 of the GDPR/UK GDPR for users in the EEA and the UK.

• Service provision: receiving and responding to inquiries, and conducting consultations (Basis: performance of a contract - GDPR art. 6(1)(b))
• Member management: identity verification, sending notifications, and managing records (Basis: performance of a contract and legitimate interest - art. 6(1)(b), (f))
• Service improvement: statistics and analysis, and quality enhancement (Basis: legitimate interest or consent - art. 6(1)(f) or (a))
• Marketing use (with consent): providing events, advertising, and benefits (Basis: consent - art. 6(1)(a))
• Legal compliance: dispute resolution and fulfilling legal obligations (Basis: compliance with a legal obligation - art. 6(1)(c))

4. Retention Period and Use of Personal Information

The Company retains personal information until the purpose of collection is fulfilled and promptly deletes it once that purpose is achieved. However, the Company may retain it for the periods specified below in accordance with applicable legislation.

• Service usage logs: 3 years
• Contract and payment records: 5 years
• Consumer dispute records: 3 years
• Access logs: 3 months
• Upon membership cancellation: destroyed promptly, unless information subject to a legal retention obligation is stored separately from other personal information for the required period before destruction

5. Provision of Personal Information to Third Parties

As a general rule, the Company does not provide personal information to third parties. However, it may be provided in the following cases.

• When the user has given prior consent
• When requested in accordance with applicable legislation
• When there is a request from an investigative authority through legal procedures

6. Outsourcing of Personal Information Processing

To ensure the smooth provision of services, the Company outsources personal information processing tasks as described below and exercises management and supervision to ensure secure processing.

• Amazon Web Services, Inc. - Cloud infrastructure operations and data storage
• Google LLC - Service usage analysis (Google Analytics 4) and advertising
• Meta Platforms, Inc. - Advertising and performance measurement
• Cloudflare, Inc. - Security and CDN (content delivery)
• When additional outsourcing arises, such as SMS sending agencies or payment gateway (PG) providers, details will be announced in advance through this Policy or the website.

7. International transfers of personal information

The Company transfers personal information abroad as follows for service operations, applying appropriate safeguards in accordance with Article 28-8 of the Personal Information Protection Act and Chapter V of the GDPR/UK GDPR. Users may refuse international transfers, and such refusal may restrict the use of certain services.

• Recipient: Amazon Web Services, Inc. / Destination country: USA / Transferred items: personal information generated in the course of using the service / Purpose: cloud infrastructure operations / Retention period: until service completion
• Recipient: Google LLC / Destination country: USA / Transferred items: cookies, usage logs, device identifiers / Purpose: analytics and advertising / Retention period: up to 24 months
• Recipient: Meta Platforms, Inc. / Destination country: USA / Transferred items: cookies, advertising identifiers / Purpose: ad targeting / Retention period: up to 3 months
• Recipient: Cloudflare, Inc. / Destination country: USA / Transferred items: IP address, access information / Purpose: security and CDN / Retention period: up to 12 months
• For international transfers of personal information of users from the EEA and the UK, the European Commission's Standard Contractual Clauses (SCC) or the UK International Data Transfer Agreement (IDTA) / the UK Annex to the EU SCCs apply as the transfer basis. A copy of the relevant agreement may be requested and reviewed through the contact details in Section 14.

8. Rights of users and legal representatives

Users may request the following at any time.

• Access to personal information
• Rectification and deletion
• Request for suspension of processing
• Withdrawal of consent
• Request for membership cancellation and account deletion
• (Users from the EEA and the UK) The right to data portability and rights related to automated decision-making

8-1. Right to lodge a complaint with supervisory authorities

Users also have the right to lodge a complaint or request dispute resolution directly with the following supervisory authorities.

• República de Corea: Comisión de Protección de Información Personal (privacy.go.kr / 182, línea gratuita), Centro de Denuncias de Infracciones de Privacidad (privacy.kisa.or.kr / 118, línea gratuita), Comité de Mediación de Disputas sobre Información Personal (kopico.go.kr / 1833-6972)
• Espacio Económico Europeo (EEE): La autoridad de control competente (Autoridad de Protección de Datos) de su Estado miembro de residencia
• Reino Unido: Oficina del Comisionado de Información (ICO) (ico.org.uk)

9. Procedimientos y métodos para la destrucción de la información personal

La información personal se destruye sin demora una vez transcurrido el período de conservación o alcanzada la finalidad del tratamiento.

• Archivos electrónicos: eliminados permanentemente mediante métodos técnicos que hacen imposible su recuperación
• Documentos en papel: triturados o incinerados

10. Uso de cookies y cómo rechazarlas

La Empresa utiliza cookies y tecnologías de seguimiento similares para prestar servicios personalizados. Las cookies funcionales, de análisis y de marketing distintas de las cookies estrictamente necesarias solo se activan tras obtener el consentimiento previo de aceptación (opt-in) del usuario, y el consentimiento puede modificarse o retirarse en cualquier momento a través de "Configuración de cookies" en la parte inferior del sitio web. Los detalles sobre los tipos, finalidades, períodos de conservación y transferencias a terceros e internacionales de las cookies se establecen en una Política de Cookies separada.

Cómo rechazar las cookies: configuración del navegador → privacidad → bloquear cookies. Si rechaza las cookies, el uso de algunos servicios puede verse restringido.

11. Medidas para garantizar la seguridad de la información personal

La Empresa implementa las siguientes medidas para proteger la información personal.

• Medidas administrativas: establecimiento e implementación de un plan de gestión interno, formación periódica de los empleados y gestión de privilegios de acceso
• Medidas técnicas: cifrado de los datos en tránsito (TLS 1.2 o superior), cifrado de los datos almacenados (AES-256), cortafuegos y programas de seguridad, y control de acceso basado en Zero Trust
• Medidas físicas: control de acceso a las salas de servidores y a las áreas de almacenamiento de datos

11-1. Medidas de protección de datos específicas de los servicios de IA

Los detalles sobre las medidas de protección de datos específicas de la IA —como la seudonimización de la información de identificación personal (PII) durante el uso de los servicios de IA (PolyBot, PolyGlot, etc.), el aislamiento de la memoria de las sesiones de conversación y la prohibición de utilizar los datos de los clientes para el reentrenamiento— se establecen en el artículo 1 de la Política de Operación de los Servicios de Inteligencia Artificial (IA).

12. Protección de la información personal de menores

• República de Corea: Nuestros servicios no están dirigidos a menores de 14 años. Si tenemos conocimiento de que se ha recopilado información personal de un menor de 14 años sin consentimiento, adoptaremos medidas inmediatas para suprimirla.
• Espacio Económico Europeo (EEE): En virtud del artículo 8 del RGPD, el consentimiento para el tratamiento de la información personal de un menor puede, por lo general, ser otorgado directamente por el menor a partir de los 16 años y, cuando el menor sea menor de 16 años, el consentimiento debe obtenerse de un progenitor o tutor legal. Cuando un Estado miembro establezca por ley una edad inferior (un mínimo de 13 años), se aplicará dicho umbral.
• Reino Unido: De conformidad con el Código de Diseño Apropiado a la Edad de la Oficina del Comisionado de Información del Reino Unido (ICO), cuando se presuma que un usuario es menor de 18 años, las cookies de marketing y de análisis utilizadas para la elaboración de perfiles se desactivan de forma predeterminada, y la configuración de privacidad se aplica en el nivel de protección más elevado.

13. Representantes en la UE y el Reino Unido

La Empresa está ubicada en la República de Corea y no dispone de un establecimiento en el Espacio Económico Europeo (EEE) ni en el Reino Unido. De conformidad con el artículo 27 del RGPD y el artículo 27 del UK GDPR (Anexo 21 de la UK DPA 2018), la Empresa ha designado a los siguientes representantes.

• Representante en la UE: Peter Cho (correo electrónico: governance@softwarecreation.studio)
• Representante en el Reino Unido: Peter Cho (correo electrónico: governance@softwarecreation.studio)

14. Delegado de Protección de Datos y contacto

Los usuarios pueden dirigir consultas, reclamaciones y solicitudes de reparación relativas a la información personal al Delegado de Protección de Datos que se indica a continuación.

• Delegado de Protección de Datos: Peter Cho (Software Creation Studio)
• Teléfono: 010-2069-1670
• Correo electrónico: governance@softwarecreation.studio
• Dirección: 100 Cheonggyecheon-ro, Jung-gu, Seúl, Signature Tower West, 9F
• Representante en la UE / Representante en el Reino Unido: Peter Cho (governance@softwarecreation.studio)

15. Notificación de cambios en la Política de Privacidad

Esta Política de Privacidad podrá actualizarse en respuesta a cambios en la legislación, la tecnología o mejoras del servicio. En caso de cambios, los motivos y los detalles se anunciarán con antelación en el sitio web.