Optra Prism — 개인정보 처리방침

시행일: 2026년 9월 14일 최종 업데이트: 2026년 9월 14일 운영 주체: Grumatic, Inc. ("회사", "당사")

1. 서문

본 개인정보 처리방침은 Grumatic, Inc. ("Optra Prism", "당사")가 Optra Prism 플랫폼, 웹사이트, 대시보드, API, Claude Code 플러그인 및 관련 서비스(이하 "서비스")를 이용하시는 과정에서 정보를 어떻게 수집, 이용, 공유 및 보호하는지를 설명합니다.

본 방침은 다음의 대상에게 적용됩니다:

웹사이트 방문자 — 마케팅 사이트 및 문서를 열람하는 사용자
플랫폼 이용자 — 계정을 생성하고, 플러그인을 설치하며, 대시보드를 사용하는 사용자
API 이용자 — Ingest 서비스 또는 Prism API 및 Worker 서비스 엔드포인트와 상호작용하는 사용자

이용자 데이터(당사 서비스 약관에서 정의된 Customer Data — 텔레메트리, 프롬프트, 트레이스, 로그, 메트릭 등)의 처리에 관하여, 개인정보 보호 법령의 적용을 받는 고객에게는 요청 시 legal@optra-prism.com을 통해 데이터 처리 계약(DPA)을 제공합니다. DPA가 체결된 경우 본 개인정보 처리방침과 DPA는 함께 적용됩니다.

2. 수집하는 정보

2.1 이용자가 직접 제공하는 정보

데이터 유형	예시	수집 목적
계정 정보	이름, 이메일 주소, 조직명, 비밀번호	계정 생성 및 인증
결제 정보	결제 수단, 청구 주소	구독 관리. 유료 플랜을 구독하는 경우에만 수집하며, 현재 이용 중인 결제 처리자는 없고 전체 카드번호는 저장하지 않음
커뮤니케이션	고객 지원 요청, 이메일, 피드백	고객 지원 및 제품 개선
프로필 환경설정	알림 설정, 대시보드 환경설정, 테마	개인화

2.2 자동으로 수집되는 정보

서비스 이용 시 다음 정보가 자동으로 수집됩니다:

데이터 유형	예시	수집 목적
기기 및 브라우저 정보	IP 주소, 브라우저 유형 및 버전, 운영체제, 기기 종류, 화면 해상도	서비스 제공, 보안 및 분석
이용 정보	방문 페이지, 사용 기능, 클릭 패턴, 세션 시간, 타임스탬프	제품 개선 및 분석
제품 분석 및 세션 재생	대시보드의 페이지 조회, 클릭 및 상호작용, 대시보드 세션의 재생 기록(PostHog를 통해 수집)	대시보드 이용 방식 파악 및 사용성 문제 개선
로그 데이터	서버 로그, 오류 리포트, API 요청 메타데이터(호출된 엔드포인트, 응답 코드, 지연시간)	디버깅, 모니터링 및 보안

2.3 Customer Data (플랫폼 데이터)

플러그인, SDK 또는 API를 통해 플랫폼을 이용할 때 다음 데이터가 처리됩니다:

데이터 유형	예시	출처
텔레메트리 데이터	AI 코딩 세션의 OTLP 트레이스, 로그, 메트릭	플러그인 / OTLP 엔드포인트
프롬프트 데이터	LLM 프롬프트, 응답, 모델 메타데이터	플러그인 / 프롬프트 캡처 API
프로젝트 맥락	활동을 작업과 연결하기 위한 프로젝트·저장소 식별 정보, 브랜치, 커밋 식별자	플러그인
커밋 변경 측정	커밋 메타데이터와 변경량 측정치(지원되는 경우)	플러그인
에이전트 활동	작업을 해당 프롬프트와 연결하기 위한 에이전트 메시지 발생 기록	플러그인
개발자 식별자	플러그인이 전송하는 이용자 식별자. 모든 기록은 이를 생성한 개별 개발자에게 귀속됨	플러그인
Prism 점수	프롬프트 효율 점수(PES), 서브세션 효율 점수(SSE), 스킬 점수, 코칭 권고	Prism API 및 Worker 서비스에서 생성
분석 데이터	툴 사용 현황, 오류율, 효율성 지표, 바이브 지표	텔레메트리에서 파생

프롬프트·응답 내용과 도구 활동 상세에는 소스 코드, 파일 경로, 대화에 포함한 정보가 담길 수 있습니다. 에이전트 활동 기록은 에이전트 메시지가 발생했다는 사실을 기록하며, 그 자체로 모든 에이전트 메시지 본문이 수집된다는 의미는 아닙니다.

중요: Customer Data는 이용자의 소유이며, 오로지 서비스 제공을 위해서만 처리됩니다. Customer Data에 관한 당사의 약속은 제5조를 참조하시기 바랍니다.

2.4 제3자로부터 수집하는 정보

출처	데이터 유형	목적
인증 제공자	이용자가 선택한 로그인 제공자(예: Google, GitHub, Microsoft)로부터 받는 OAuth 프로필(이름, 이메일, 아바타)	싱글 사인온

3. 정보의 이용 목적

수집된 정보는 다음 목적으로 이용됩니다:

서비스 운영

플랫폼 제공, 유지 및 개선
이용자 인증 및 계정 관리
텔레메트리, 분석 자료 및 PRISM 점수 처리와 표시
인텔리전스 결과 생성(낭비 탐지, 쓰로틀 분석, 라이트사이징)
고객 지원 요청 응대

보안 및 규정 준수

사기, 남용 및 보안 위협의 탐지 및 방지
무단 접근 모니터링
법적 의무 준수
이용 약관 집행

제품 개선

이용 패턴 분석을 통한 기능 개선(Operational Metadata만을 이용)
벤치마킹 및 연구를 위한 Aggregate Data 생성
오류 디버깅 및 신뢰성 개선

커뮤니케이션

거래 관련 이메일 발송(계정 확인, 청구, 보안 알림)
문의 및 고객 지원 응대

당사는 다음 목적으로 이용자의 정보를 이용하지 않습니다:

개인정보의 제3자 판매
행동 기반 광고 또는 애드테크 프로파일링
Customer Data를 이용한 머신러닝 모델 학습(제5조 참조)

4. 처리의 법적 근거 (EEA/영국 이용자)

이용자가 유럽경제지역(EEA) 또는 영국에 소재한 경우, 당사의 처리 법적 근거는 다음과 같습니다:

법적 근거	적용 범위
계약 이행	계정 관리, 서비스 제공, 청구, Customer Data 처리
정당한 이익	보안, 사기 예방, 제품 개선(Operational Metadata 이용), 분석
동의	마케팅 이메일, 선택적 분석, 필수 쿠키 이외의 쿠키
법적 의무	세무 기록, 법 집행 요청, 규제 준수

동의는 언제든지 철회할 수 있으며, 철회 이전에 이루어진 처리의 적법성에는 영향을 주지 않습니다.

5. Customer Data에 관한 약속

Optra Prism은 민감한 개발자 텔레메트리와 AI 상호작용 데이터를 처리하므로, 당사는 다음을 약속합니다:

5.1 모델 학습 금지. 당사는 Customer Data를 자체 또는 제3자의 머신러닝 모델의 학습, 파인튜닝, 개발, 개선에 이용하지 않습니다. 이는 서비스 이용 기간 중은 물론 그 이후에도 적용됩니다.

5.2 목적 제한. Customer Data는 오로지 다음 목적으로만 처리됩니다: (a) 이용자에게 서비스 제공, (b) 이용자 계정에 대한 PRISM 점수 및 인텔리전스 결과 생성, (c) 법적 의무 준수.

5.3 제3자 LLM 처리. LLM 기반 기능(예: LLM PRISM 점수, 인사이트 리포트)이 활성화된 경우, 평가 및 설명에 필요한 개발자 프롬프트, 어시스턴트 응답, 도구 입력·결과·오류를 포함한 대화 데이터가 다음에서 처리될 수 있습니다:

AWS (Amazon Bedrock) — Amazon Bedrock을 통해 제공되는 Anthropic Claude 및 OpenAI 계열 모델이며, 미국 내 AWS 리전에서 처리됩니다. 프롬프트 데이터는 Anthropic 또는 OpenAI에 직접 전송되지 않습니다. 이 처리에는 AWS 서비스 약관과 해당 모델의 Amazon Bedrock 제공 조건이 적용됩니다. 해당 약관과 AWS가 공개한 Amazon Bedrock 데이터 정책에 따르면, AWS는 Amazon Bedrock의 입력·출력을 모델 학습에 이용하지 않으며 모델 제공사와 공유하지 않습니다. 다만 AWS는 해당 정책에 기술된 바에 따라 부정 이용 탐지를 위해 표시된 입력·출력을 제한된 기간 동안 보관할 수 있습니다.

LLM 기반 처리는 서비스의 필수 구성 요소이며, 현재 계정 단위로 비활성화할 수 없습니다. 이용자는 언제든지 설치 환경에서 플러그인을 제거하여 새로운 프롬프트 데이터의 전송을 중단할 수 있으나, 이미 수집된 데이터가 삭제되는 것은 아닙니다.

5.4 데이터 격리. Customer Data는 조직 단위로 논리적으로 분리되며, 플랫폼 내 접근은 해당 조직의 권한 있는 구성원으로 제한됩니다. 조직 안에서는 권한 있는 팀 열람자가 문서에 설명된 바에 따라 구성원별 활동, 점수, 등급, 리포트를 볼 수 있으며, 개인 리포트가 별도로 제공된다고 해서 개인에 관한 모든 정보가 팀에 비공개인 것은 아닙니다.

5.5 암호화 및 키 관리. Customer Data는 전송 중 TLS 1.2 이상으로 암호화됩니다. Prism 키(prism_*, 플러그인이 서비스에 인증하는 데 사용하는 개발자별 자격증명)는 단방향 암호화 해시 형태로만 저장되며, 원문 키는 발급 또는 교체 응답에서 한 번만 표시되며 이후 다시 조회할 수 없습니다. 분실한 경우 새 키로 교체해야 합니다. 기존 키의 인증용 해시는 유지됩니다.

6. 정보의 공유

당사는 다음의 경우에만 정보를 공유합니다:

6.1 서비스 제공자 (하위 처리자)

당사는 다음 범주의 서비스 제공자를 통해 당사를 대신하여 데이터를 처리합니다:

제공자	목적	처리 데이터
AWS (Amazon Web Services)	AWS 미국 서부(오리건) us-west-2 리전의 클라우드 인프라·스토리지·컴퓨트, 미국 내 Amazon Bedrock을 통한 AI 추론	Customer Data(암호화됨), Operational Metadata
PostHog	제품 분석, 화면 상호작용 자동 수집, 세션 재생(분석 기능이 설정된 배포에서 사용, 기본 수집 엔드포인트는 미국)	사용자·조직 식별자, 이메일·이름 등 계정 속성, 제품 이벤트, 화면 상호작용 및 마스킹된 세션 재생 데이터

모든 하위 처리자는 데이터 처리 조건의 구속을 받습니다. 위 표가 현재 목록이며, 변경 시 갱신합니다.

6.2 법적 요구사항

법률, 규정, 법적 절차 또는 정부 요청에 따라 요구되는 경우 정보를 공개할 수 있습니다. 법적으로 금지되지 않는 한 공개 전에 이용자에게 통지하며, 과도하게 광범위한 요청에 대해서는 이의를 제기합니다.

6.3 사업 양수도

합병, 인수, 파산 또는 자산 매각과 관련하여 이용자의 정보가 인수 주체에 이전될 수 있습니다. 이용자의 정보가 다른 개인정보 처리방침의 적용을 받게 되기 전에 이용자에게 통지합니다.

6.4 동의에 기반한 공유

이용자가 명시적으로 지시한 경우(예: 이용자가 설정한 통합 기능) 제3자와 정보를 공유할 수 있습니다.

6.5 Aggregate Data

당사는 Aggregate Data(비식별화, 익명화, 귀속 불가능한 데이터)를 연구, 벤치마킹 또는 산업 보고서를 위해 제3자와 공유할 수 있습니다. Aggregate Data는 이용자 또는 특정 개인을 합리적으로 식별하는 데 이용될 수 없습니다.

당사는 다음을 수행하지 않습니다:

개인정보의 판매
광고 네트워크와의 개인정보 공유
데이터 브로커에 대한 개인정보 제공

7. 데이터 보관 기간

당사는 계정이 유지되는 동안, 그리고 서비스 제공·분쟁 해결·법령상 보존 의무·세무·보안 목적에 필요한 기간 동안 개인정보와 Customer Data를 보유합니다. 위 목적이 달성되거나 이용자 또는 소속 조직이 삭제를 요청하면 지체 없이, 관련 법령이 정한 기간 내에 삭제하거나 익명 처리합니다. 백업 사본은 백업 주기에 따라 덮어써지며 재해 복구 외의 목적으로 운영 환경에 복원하지 않습니다. 데이터 유형별 보유 기간은 정비되는 대로 공개합니다.

개인을 합리적으로 식별할 수 없는 Aggregate Data는 무기한 보유할 수 있습니다.

8. 이용자의 권리

8.1 모든 이용자

소재지와 관계없이 이용자는 다음을 할 수 있습니다:

열람 — 대시보드에서 계정 정보 및 Customer Data 열람
요청 — privacy@optra-prism.com으로 연락하여 데이터 사본 제공, 부정확한 정보의 정정, 계정 및 관련 데이터의 삭제 요청
중단 — 설치 환경에서 플러그인을 제거하여 언제든지 새로운 데이터 수집 중단

당사는 본인 확인을 거친 요청에 대해 지체 없이, 관련 법령이 정한 기간 내에 응답합니다.

8.2 EEA/영국 이용자 (GDPR)

EEA 또는 영국에 소재한 이용자는 추가로 다음 권리를 가집니다:

접근권: 체계적이고 일반적으로 사용되며 기계 판독 가능한 형식으로 개인정보 사본을 요청할 권리
정정권: 부정확한 개인정보의 정정을 요청할 권리
삭제권: 개인정보 삭제를 요청할 권리("잊힐 권리")
처리 제한권: 개인정보 처리의 제한을 요청할 권리
이동권: 이동 가능한 형식으로 개인정보를 받아 다른 컨트롤러에 이전할 권리
반대권: 정당한 이익에 근거한 처리에 반대할 권리
동의 철회권: 동의 기반 처리에 대해 언제든지 동의를 철회할 권리
이의 제기권: 현지 감독 기관에 이의를 제기할 권리

이 권리를 행사하시려면 privacy@optra-prism.com으로 연락해주시기 바랍니다. 관련 법령이 정한 기간 내에 회신드립니다.

8.3 캘리포니아 거주자 (CCPA/CPRA)

캘리포니아 거주자는 다음 권리를 가집니다:

알 권리: 지난 12개월 동안 수집, 이용, 공유된 개인정보의 공개 요청
삭제권: 개인정보 삭제 요청
정정권: 부정확한 개인정보의 정정 요청
판매/공유 거부권: 당사는 개인정보를 판매하거나 교차 맥락 행동 광고를 위해 공유하지 않으므로 별도의 거부가 필요하지 않음
차별 금지: 권리 행사를 이유로 차별하지 않음

수집된 개인정보 범주 (지난 12개월):

범주	수집	판매	광고용 공유
식별자(이름, 이메일, IP)	예	아니오	아니오
상업 정보(결제)	예	아니오	아니오
인터넷 활동(이용 데이터)	예	아니오	아니오
직업 정보(조직)	예	아니오	아니오
위치정보(IP 기반, 개략적)	예	아니오	아니오

이 권리를 행사하시려면 privacy@optra-prism.com으로 연락해주시기 바랍니다.

8.4 기타 관할권

당사는 브라질의 LGPD, 캐나다의 PIPEDA, 호주의 Privacy Act 등 전 세계 관련 법률에 따른 프라이버시 권리를 존중합니다. 현지법에 따른 권리 행사는 privacy@optra-prism.com으로 연락해주시기 바랍니다.

9. 쿠키 및 추적 기술

9.1 쿠키 유형

유형	목적	예시
필수 쿠키	인증, 보안, 세션 관리	Supabase 인증 쿠키(`sb--auth-token`), CSRF 토큰
기능 쿠키	사용자 환경설정, 테마, 언어 설정	대시보드 설정, 테마 환경설정
분석 쿠키	이용 패턴, 기능 채택도, 세션 재생	PostHog(`ph_*` 쿠키 및 브라우저 저장소, 데이터는 미국에서 호스팅)

9.2 쿠키 관리

브라우저 설정: 브라우저 설정을 통해 쿠키를 차단하거나 삭제할 수 있습니다. 필수 쿠키를 차단하면 기능이 제한될 수 있습니다.

9.3 광고 쿠키 미사용

당사는 광고 쿠키, 광고 네트워크용 추적 픽셀 또는 교차 사이트 추적 기술을 사용하지 않습니다. 실시간 입찰(RTB) 또는 광고 거래소에 참여하지 않습니다.

10. 국가 간 데이터 이전

Customer Data는 미국 내에서 저장 및 처리됩니다. 기본 저장 리전은 AWS 미국 서부(오리건) us-west-2입니다. LLM 기반 기능의 AI 추론은 Amazon Bedrock의 US 지리 추론 프로파일을 통해 수행되며, 요청이 미국 내 여러 AWS 리전으로 라우팅될 수 있습니다. 미국 외 지역에 소재한 경우:

EEA/영국 및 국외 이전을 제한하는 그 밖의 지역: 당사는 적정성 결정이나 승인된 계약상 보호조치 등 적법한 이전 수단이 적용되는 경우에만 개인정보를 이전하며, 전송 구간 암호화와 접근 통제 등 기술적 조치를 함께 적용합니다.
기타 관할권: 관련 법률에서 요구하는 적절한 보호조치를 이행합니다.

EU 데이터 레지던시 옵션을 검토 중입니다. 현 시점의 제공 가능 여부는 sales@optra-prism.com으로 문의해주시기 바랍니다.

11. 데이터 보안

당사는 개인정보와 Customer Data를 무단 접근, 분실, 변조로부터 보호하기 위한 관리적·기술적·물리적 보호조치를 운영합니다. 여기에는 전송 구간 암호화, 운영 시스템에 대한 역할 기반 접근, 플랫폼 내 조직 단위 접근 통제, Prism 키의 단방향 해시 저장, 보안 관련 이벤트 기록이 포함됩니다. 당사는 이러한 조치를 정기적으로 검토하고 개선합니다.

완전히 안전한 시스템은 존재하지 않습니다. 취약점을 발견하신 경우 security@optra-prism.com으로 신고해주시기 바랍니다.

12. 아동의 개인정보

본 서비스는 18세 미만 개인을 대상으로 하지 않습니다. 당사는 아동의 개인정보를 의도적으로 수집하지 않습니다. 18세 미만 아동의 개인정보가 부주의하게 수집된 사실을 인지한 경우 즉시 삭제합니다. 미성년자의 데이터가 수집되었다고 생각되는 경우 privacy@optra-prism.com으로 연락해주시기 바랍니다.

13. 제3자 링크 및 통합

본 서비스는 제3자 웹사이트 링크를 포함하거나 제3자 서비스(예: GitHub, IDE 확장)와 통합될 수 있습니다. 당사는 제3자의 개인정보 처리 관행에 책임을 지지 않습니다. 해당 개인정보 처리방침을 검토하시기를 권장합니다.

14. 방침의 변경

당사는 본 개인정보 처리방침을 수시로 업데이트할 수 있습니다. 중대한 변경 사항은 다음을 통해 통지합니다:

개정된 "최종 업데이트" 일자와 함께 웹사이트에 업데이트된 방침 게시
계정에 등록된 이메일 주소로 이메일 통지 또는 대시보드 공지 표시

중대한 변경은 통지 후 30일이 지나면 효력이 발생합니다. 발효일 이후에도 서비스를 계속 이용하는 것은 변경에 대한 동의로 간주됩니다. 중대한 변경에 동의하지 않는 경우 계정을 해지할 수 있습니다.

15. 문의처

개인정보 관련 문의, 정보 주체 권리 요청 또는 이의 제기는 다음으로 문의해주시기 바랍니다:

Grumatic, Inc. 이메일: privacy@optra-prism.com 법률 문서: dashboard.optra-prism.com/terms, dashboard.optra-prism.com/privacy

해결되지 않은 우려사항이 있는 경우 현지 개인정보 보호 감독 기관에 문의하실 수 있습니다.

부록: 데이터 흐름 요약

개발자 머신
    │
    ├── Claude Code 플러그인 ──→ Ingest 서비스 (ingest.optra-prism.com)
    │   (프롬프트, 텔레메트리)     │
    │                            ├── 인증: Prism 키(prism_*) 검증
    │                            ├── NATS JetStream (발행)
    │                            │         │
    │                            │    Prism API 및 Worker 서비스 (내부)
    │                            │         ├── NATS → S3 (NDJSON/Zstd raw archive)
    │                            │         ├── PRISM 스코어링 → Postgres
    │                            │         └── Raw signals → ClickHouse → Query API
    │                            │
    └── 대시보드 (dashboard.optra-prism.com) ◄──┘── API 응답 (점수, 분석)
        (점수, 분석 조회)

저장: AWS 미국 서부(오리건) us-west-2. AI 추론: Amazon Bedrock, US 지리 추론 프로파일.
모든 데이터는 전송 중(TLS 1.2+) 및 저장 시(AES-256) 암호화됩니다.
Customer Data는 조직별로 격리되며, 고객 간 접근은 없습니다.

변경 이력

일자	요약
2026년 9월 14일	데이터 저장 지역 및 AI 처리 경로 설명 정정(AWS us-west-2 저장, 미국 내 Amazon Bedrock 처리); 하위 처리자 표 및 인증 제공자 설명 정정; 플러그인 수집 항목(프로젝트 맥락, 커밋 변경 측정, 에이전트 활동, 개발자 식별자)과 팀 내 열람 범위 명시; PostHog 제품 분석 및 세션 재생 수집 고지; 고정 보관 기간 표를 목적 기반 보유 기준으로 대체; 권리 행사 방법과 보안 설명을 현행 운영에 맞게 개정; Do Not Track 문구, LLM 비활성화 문구, 미정 표시 삭제; 국외 이전 문안 및 서비스 도메인 갱신. 게시 즉시 시행.
2026년 4월 4일	최초 제정.

일자

요약

2026년 9월 14일

데이터 저장 지역 및 AI 처리 경로 설명 정정(AWS us-west-2 저장, 미국 내 Amazon Bedrock 처리); 하위 처리자 표 및 인증 제공자 설명 정정; 플러그인 수집 항목(프로젝트 맥락, 커밋 변경 측정, 에이전트 활동, 개발자 식별자)과 팀 내 열람 범위 명시; PostHog 제품 분석 및 세션 재생 수집 고지; 고정 보관 기간 표를 목적 기반 보유 기준으로 대체; 권리 행사 방법과 보안 설명을 현행 운영에 맞게 개정; Do Not Track 문구, LLM 비활성화 문구, 미정 표시 삭제; 국외 이전 문안 및 서비스 도메인 갱신. 게시 즉시 시행.

2026년 4월 4일

최초 제정.