Chammo 개인정보 처리방침
시행일: 2026년 10월 23일 · 1항의 '익명 사용 통계'는 2026년 10월 31일 시행(2026년 10월 24일 게시)
아너스튜디오(이하 "회사")는 Chammo 메신저·계정 서비스(이하 "서비스")를 운영하면서 아래처럼 개인정보를 처리합니다. 서비스가 실제로 보관하는 것만 적었습니다.
1. 처리하는 개인정보와 목적
| 언제 | 항목 | 목적 |
|---|---|---|
| 구글로 로그인할 때 | 구글 계정 고유 번호(sub), 이메일 주소(구글이 확인한 경우만), 이름 | 계정 만들기·같은 사람의 기기 묶기 |
| 기기를 등록할 때 | 기기 공개 열쇠, 기기 이름, 기기 종류(컴퓨터·폰), 등록·끊은 시각 | 요청이 그 기기에서 왔는지 확인(서명 검증), 기기 목록 |
| 팀을 쓸 때 | 팀 이름, 표시 이름, 역할(소유자·멤버), 초대 코드의 해시값 | 팀·초대·대화방 구성 |
| 메시지를 주고받을 때 | 메시지 본문, 보낸 기기·멤버·계정, 보낸 시각, 사람/참모 구분 표시, 기기별 받은 위치 | 꺼져 있던 기기에 나중에 전달, 순서 보장 |
| 폰과 컴퓨터를 이을 때 | 두 기기 사이를 오가는 암호화된 데이터 묶음(서버가 풀 수 없음) | 폰 ↔ 내 컴퓨터 중계 — 저장하지 않고 넘기기만 합니다 |
| 알림을 켤 때 | 웹 푸시 구독 주소, 마지막 알림 시각 | 새 메시지 알림(알림에는 내용을 넣지 않습니다) |
| 데스크톱 앱을 켤 때(하루 한 번, 끌 수 있음) | 익명 사용 통계 — 무작위 설치 번호의 해시값, 앱 판, OS(맥·윈도우)와 CPU 종류, 앱 언어, 나라 코드(두 글자) | 몇 대가 어느 나라·어떤 기기에서 앱을 쓰는지 세기(서비스 개선) |
| 서비스를 쓰는 동안 자동으로 | 요청 기록(요청 주소·시각·응답 결과, 접속 IP 가 포함될 수 있음), 서명 재사용 방지값(일회용 난수) | 장애 대응·보안(재사용 공격 막기) |
- 메시지 본문은 지금 서버가 읽을 수 있는 상태로 보관합니다. 서버가 내용을 볼 수 없게 하는 종단 간 암호화는 다음 단계에서 넣을 예정이며, 넣기 전까지는 회사의 서버(Cloudflare 위)가 대화 내용을 보관합니다.
- 익명 사용 통계(2026년 10월 31일부터): 설치 번호는 앱이 처음 켜질 때 만드는 무작위 값이며 계정·이름·기기 열쇠와 연결하지 않습니다. 서버는 그 번호를 그대로 두지 않고 비밀 값을 섞은 해시로만 저장합니다. 나라는 접속한 곳의 나라 코드(예: KR)만 쓰고 IP 주소·이름·이메일·메시지 내용·정확한 위치는 저장하지 않습니다. 끄는 법: 앱의 설정 > 기능 > '익명 사용 통계'. 끄면 그때부터 보내지 않습니다.
- 비밀번호는 받지 않습니다. 기기의 비밀 열쇠는 그 기기 밖으로 나가지 않습니다.
- 구글의 접근 토큰·갱신 토큰은 저장하지 않습니다(로그인 확인 직후 버립니다).
- 쿠키: 구글 로그인 도중에만 로그인 확인용 쿠키 하나를 최대 10분 씁니다. 광고·분석 쿠키는 쓰지 않습니다.
- 만 14세 미만은 서비스를 이용할 수 없습니다.
2. 보관 기간과 파기
| 항목 | 보관 기간 |
|---|---|
| 구글 sub·이메일·이름 | 계정을 지울 때까지. 지우면 바로 삭제합니다 |
| 로그인 진행 기록(기기 공개 열쇠·돌려받을 주소·상태) | 로그인은 10분 안에 끝나야 하고, 끝나면 그 안의 구글 정보는 바로 지웁니다. 나머지 기록은 다음 로그인이 시작될 때 지웁니다 |
| 서명 재사용 방지값 | 10분이 지난 값을 다음 요청 때 지웁니다 |
| 기기 공개 열쇠·기기 이름 | 계정이 있는 동안. 기기를 끊거나 계정을 지워도 현재는 끊긴 기기 행(공개 열쇠·기기 이름)이 남습니다 |
| 팀 표시 이름·역할 | 팀에 있는 동안. 팀에서 빠지거나 계정을 지워도 현재는 빠진 멤버 행(표시 이름)이 남습니다 |
| 메시지 | 현재 보관 기한을 정하지 않았습니다. 계정을 지우면 '내 기기끼리' 방의 메시지는 바로 지우지만, 다른 사람과 나눈 팀 대화방 메시지는 상대방도 받는 대화라 남습니다 |
| 웹 푸시 구독 주소 | 알림을 끄거나, 푸시 서비스가 구독이 끝났다고 알릴 때까지. 기기를 끊어도 현재는 남습니다(그 기기로는 알림을 보내지 않음) |
| 요청 기록 | 최대 7일 |
| 익명 사용 통계 | 1년 — 1년 지난 기록은 자동으로 지웁니다 |
파기 방법: 전자 파일은 저장소에서 행을 지워 복구할 수 없게 합니다. 종이로 출력하지 않습니다. 법령에 따라 따로 보존해야 하는 정보는 없습니다.
3. 제3자 제공
개인정보를 제3자에게 제공하지 않습니다. 다만 팀 대화방의 메시지·표시 이름·기기 이름은 같은 방의 상대방에게 전달됩니다(서비스의 기본 기능).
4. 처리 위탁과 국외 이전
서비스는 회사 서버를 따로 두지 않고 아래 업체의 설비에서 돌아갑니다. 서비스 이용 계약을 이행하는 데 필요한 처리위탁·보관으로서, 「개인정보 보호법」 제28조의8 제1항 제3호 가목에 따라 아래 사항을 이 처리방침에 공개합니다.
| 받는 자 | 이전 항목 | 국가·시기·방법 | 목적·보유 기간 |
|---|---|---|---|
| Cloudflare, Inc. (미국, 101 Townsend St, San Francisco, CA 94107 · dpo@cloudflare.com) | 1항의 모든 항목 | 데이터베이스·대화방 저장소는 아시아·태평양 지역 데이터센터(Cloudflare 가 국가를 고정해 주지 않음), 요청 처리는 Cloudflare 전 세계 네트워크 · 서비스를 쓰는 때마다 · 암호화된 통신(TLS)으로 전송 | 서버 실행·데이터 저장·요청 기록 · 2항의 보관 기간과 같음 |
| 이용자 브라우저가 고른 푸시 서비스(예: Apple, Google, Mozilla) | 웹 푸시 구독 주소로 보내는 내용 없는 알림 신호 | 각 업체 국가 · 새 메시지가 올 때 · TLS | 알림 전달 · 각 업체 정책 |
- 구글 로그인은 이용자가 구글(Google LLC, 미국)에 직접 로그인하고, 회사는 구글로부터 1항의 sub·이메일·이름만 받습니다(회사가 구글에 위탁하는 것이 아닙니다).
- 국외 이전을 거부하려면 서비스를 쓰지 않거나 계정을 지우면 됩니다. 거부하면 서비스(메신저·로그인)를 이용할 수 없습니다. 알림만 거부하려면 앱에서 알림을 끄면 됩니다.
5. 이용자의 권리와 행사 방법
- 언제든 자신의 개인정보 열람·정정·삭제·처리정지를 요구할 수 있습니다.
- 앱에서 직접: 기기 이름 바꾸기, 기기 끊기(로그아웃), 계정 지우기(설정 → 계정).
- 앱으로 안 되는 요청(팀 대화방 메시지 삭제 등)은 아래 연락처로 이메일을 보내 주세요. 본인 확인 뒤 지체 없이 처리하고 결과를 알려 드립니다.
- 법정대리인이나 위임받은 사람도 요청할 수 있습니다.
6. 안전성 확보 조치
- 모든 요청은 기기 열쇠 서명(Ed25519)으로 확인하고, 같은 서명은 다시 쓸 수 없게 막습니다.
- 통신은 모두 암호화(TLS)합니다. 비밀번호를 받지 않고, 초대 코드는 해시값만 저장합니다.
- 운영 비밀값(구글 연동·알림 열쇠)은 Cloudflare 의 비밀 저장소에만 두고 접근을 운영자로 제한합니다.
- 다른 팀·다른 계정의 대화방에는 서버가 접속을 거절합니다.
7. 자동 수집 장치
쿠키는 1항의 로그인 확인용 하나뿐이며, 브라우저 설정으로 막을 수 있습니다(막으면 구글 로그인이 되지 않습니다). 웹 방문 분석 도구는 쓰지 않습니다. 데스크톱 앱의 익명 사용 통계는 1항과 같고, 앱 설정 > 기능 > '익명 사용 통계'에서 끌 수 있습니다.
8. 개인정보 보호책임자와 연락처
- 개인정보 보호책임자: 이영광 (아너스튜디오 대표)
- 이메일: support@honorstudio.co.kr
개인정보 침해에 대한 신고·상담은 아래 기관에도 할 수 있습니다. 개인정보침해신고센터(privacy.kisa.or.kr, 국번 없이 118) · 개인정보분쟁조정위원회(www.kopico.go.kr, 1833-6972) · 대검찰청(www.spo.go.kr, 국번 없이 1301) · 경찰청(ecrm.police.go.kr, 국번 없이 182)
9. 바뀔 때
이 처리방침을 바꾸면 시행 7일 전부터 이 주소(chammo.app/privacy)와 앱에 알립니다. 이전 판은 요청하면 보내 드립니다.
Chammo Privacy Policy (English)
Effective: October 23, 2026 · "Anonymous usage statistics" in section 1 takes effect on October 31, 2026 (posted October 24, 2026) · If the Korean and English versions differ, the Korean version prevails.
Honorstudio ("we") runs the Chammo messenger and account service ("Service"). This lists only what the Service actually stores.
1. What we process and why
| When | Data | Purpose |
|---|---|---|
| Google sign-in | Google account ID (sub), email (only if Google verified it), name | Create your account and link your devices |
| Device registration | Device public key, device name, device type (computer/phone), registered/revoked time | Verify that a request came from that device (signature), device list |
| Teams | Team name, display name, role (owner/member), hash of invite codes | Teams, invites, rooms |
| Messages | Message text, sending device/member/account, time, human/assistant label, per-device delivery position | Deliver later to devices that were offline, keep order |
| Connecting phone and computer | Encrypted data passing between the two devices (the server cannot decrypt it) | Relay between your phone and your computer — passed through, never stored |
| Notifications | Web push subscription URL, last notification time | New-message alerts (alerts carry no message content) |
| When the desktop app starts (once a day, can be turned off) | Anonymous usage statistics: a hash of a random install ID, app version, OS (macOS/Windows) and CPU type, app language, country code (two letters) | Counting how many installs use the app, in which countries and on which devices (improving the Service) |
| Automatically | Request logs (URL, time, result; may include IP address), one-time anti-replay values | Troubleshooting and security |
- Message text is currently stored in a form our servers can read. End-to-end encryption is planned for a later stage; until then our servers (on Cloudflare) keep conversation content.
- Anonymous usage statistics (from October 31, 2026): the install ID is a random value the app creates on first launch and is not linked to your account, name or device key. The server never keeps the ID itself, only a hash mixed with a secret value. Location is only the country code of the connection (e.g. KR); we do not store IP addresses, names, emails, message content or precise location. To turn it off: Settings > Features > "Anonymous usage statistics" in the app. Once off, nothing more is sent.
- We never receive passwords. Your device's private key never leaves the device.
- We do not store Google access or refresh tokens (they are discarded right after sign-in).
- One cookie is used only during Google sign-in, for at most 10 minutes. No advertising or analytics cookies.
- The Service is not for children under 14.
2. Retention and deletion
| Data | Kept |
|---|---|
| Google sub, email, name | Until you delete your account, then deleted immediately |
| Sign-in attempt record (device public key, return address, status) | Sign-in must finish within 10 minutes; Google data in it is deleted when it finishes. The rest is deleted when the next sign-in starts |
| Anti-replay values | Values older than 10 minutes are deleted on the next request |
| Device public key and name | While your account exists. Currently, rows of revoked devices (public key, name) remain after revoking or deleting the account |
| Team display name and role | While in the team. Currently, rows of removed members (display name) remain |
| Messages | No retention limit is set yet. Deleting your account removes your "my devices" room immediately, but team room messages stay because the other people received them |
| Push subscription URL | Until you turn alerts off or the push service reports it expired. Currently it remains after a device is revoked (no alerts are sent to it) |
| Request logs | Up to 7 days |
| Anonymous usage statistics | 1 year; older records are deleted automatically |
Deletion means removing the records from storage so they cannot be restored. No law requires us to keep any of this data.
3. Sharing
We do not provide personal data to third parties. Messages, display names and device names in a team room are delivered to the other people in that room, which is how the Service works.
4. Processors and transfers abroad
The Service runs on the providers below. These are processing and storage needed to provide the Service you use (Korean Personal Information Protection Act, Art. 28-8(1)(3)(a)).
| Recipient | Data | Country, timing, method | Purpose, retention |
|---|---|---|---|
| Cloudflare, Inc. (USA, 101 Townsend St, San Francisco, CA 94107, dpo@cloudflare.com) | All data in section 1 | Database and room storage in Asia-Pacific data centers (Cloudflare does not fix a country); requests handled across Cloudflare's global network; whenever you use the Service; over TLS | Running the servers, storage, request logs; as in section 2 |
| The push service your browser uses (e.g. Apple, Google, Mozilla) | A content-free alert signal to your push subscription URL | Their countries; when a new message arrives; over TLS | Delivering alerts; per their policies |
- With Google sign-in you sign in to Google (Google LLC, USA) yourself; we only receive the sub, email and name listed above.
- To refuse these transfers, stop using the Service or delete your account; the messenger and sign-in will then not be available. To refuse only alerts, turn notifications off in the app.
5. Your rights
- You can ask to access, correct, delete or stop processing your data at any time.
- In the app: rename a device, revoke a device (sign out), delete your account (Settings → Account).
- For anything the app cannot do (for example deleting team room messages), email us below. We will verify it is you and act without delay.
- A legal representative or an authorized person may also ask.
6. Security
- Every request is checked with a device-key signature (Ed25519), and a signature cannot be reused.
- All traffic is encrypted (TLS). We do not collect passwords and store invite codes only as hashes.
- Operational secrets (Google sign-in, push keys) live only in Cloudflare's secret store, accessible to the operator.
- Servers refuse access to rooms of other teams or accounts.
7. Automatic collection
Only the sign-in cookie in section 1. You can block it in your browser, but Google sign-in will then not work. We use no web visitor analytics. The desktop app's anonymous usage statistics are as described in section 1 and can be turned off in Settings > Features > "Anonymous usage statistics".
8. Privacy officer and contact
- Privacy officer: Yeong Kwang Lee (CEO, Honorstudio)
- Email: support@honorstudio.co.kr
9. Changes
We announce changes at chammo.app/privacy and in the app at least 7 days before they take effect. Earlier versions are available on request.