여러분의 정보를 존중하며 다룹니다.

저희는 누구인가

Class2Class ApS(이하 "Class2Class" 또는 "저희")가 Class2Class.org 플랫폼을 운영합니다. 저희는 덴마크 법인입니다. 플랫폼에서 처리되는 개인정보의 처리 주체는 다음과 같습니다:

Class2Class가 파트너 학교를 대신해 처리하는 정보(체결된 개인정보 처리 위탁 계약에 따른 학생 정보의 처리 주체–수탁자 관계)에 대해서는 학교가 처리 주체이고 Class2Class가 수탁자입니다. 제9조를 참고해 주세요.

이 문서가 다루는 범위

이 문서는 다음에 대한 개인정보 처리를 다룹니다:

• Class2Class 웹 플랫폼( class2class.org 도메인) 및 관련 모바일 환경, 하위 도메인의 웹·모바일 플랫폼 포함
• AI 리터러시 및 책임 있는 이용 안내서를 포함한 교사 자료실
• 다음을 통한 고객지원 소통: support@class2class.org, dpo@class2class.org, 그리고 플랫폼 내 지원 챗봇
• 제6조에 설명된 AI 기반 기능

이 문서는 여러분 학교의 자체 시스템이나 저희가 링크한 외부 사이트가 처리하는 개인정보는 쓰지 않습니다 다루지 않습니다. 그것들은 각자의 개인정보 안내가 규율합니다.

저희가 수집하는 개인정보

저희는 플랫폼 운영에 필요한 것만 수집하려 합니다. 아래 항목이 이 문서 작성 시점의 전부입니다.

3.1 여러분이 직접 제공하는 정보

저희는 건강, 종교, 민족, 정치적 견해, 성적 지향, 유전 정보, 고유 식별을 위한 생체 정보, 노동조합 가입 등 민감정보(GDPR 제9조)를 쓰지 않습니다 의도적으로 수집하지 않습니다. 학생이 소감에 종교나 가정 배경을 언급하는 것처럼 프로젝트에서 그런 정보가 우연히 공유된 경우에는 다른 개인정보와 같은 수준으로 보호하며, 교사가 삭제할 수 있습니다.

프로젝트 안에서 공유된 사진과 영상은 교육 자료입니다. 생체 식별을 위해 처리되지 쓰지 않습니다 않고, 얼굴 인식 시스템으로 분석되지 쓰지 않습니다 않으며, 특정인을 고유하게 식별하는 데 쓰이지 쓰지 않습니다 않습니다. GDPR 제9조에서 말하는 생체 정보에 해당하지 않습니다.

3.2 자동으로 수집되는 정보

개인정보를 쓰는 이유와 법적 근거

법적 근거가 동의인 경우 언제든 동의를 철회하실 수 있습니다. 법적 근거가 정당한 이익인 경우 반대하실 수 있습니다. 제11조를 참고해 주세요.

보관 기간 한눈에 보기

저희는 필요한 기간만 개인정보를 보관합니다. 아래는 처리활동기록(ROPA)과 파트너 기관과의 개인정보 처리 위탁 계약에서 정리한 통합 보관 기간표입니다.

Class2Class가 수탁자인 경우(체결된 위탁 계약에 따른 파트너 학교의 학생 정보), 위탁 계약에 정한 보관 기간이 적용됩니다. 위 기간은 Class2Class가 직접 처리 주체로서 관리하는 정보에 대한 것입니다.

AI 기능과 데이터 처리 방식

Class2Class는 다음 원칙에 따라 AI 기능을 운영합니다: "결정은 사람이, AI는 돕습니다." — 결정은 사람이 하고 AI는 돕기만 합니다.

6.1 저희가 쓰는 AI 시스템

이 분류의 근거는 별도 문서인 제6조 제3항 AI 위험 분류 평가서 v.1.0에 정리되어 있으며, 감독기구와 파트너 학교가 요청하시면 제공해 드립니다.

6.2 AI에 대한 저희 약속

• 학생에 대한 자동 판단은 없습니다. 저희는 학생에 대한 자동 판단에 AI를 쓰지 않습니다. 성적도, 배치도, 행동 평가도 마찬가지입니다. 학생에게 실질적인 영향을 주는 결정은 모두 사람이 합니다.
• 여러분의 데이터를 AI 학습에 쓰지 않습니다. 여러분의 결과물, 메시지, 이미지, 수업 녹화물은 저희 모델이든 제3자의 모델이든 AI 학습에 쓰지 않습니다. 모든 AI 수탁사에 계약으로 요구하는 사항입니다.
• AI는 스스로를 밝힙니다. Class2Class에서 AI 시스템과 직접 대화하시는 경우, 현재로서는 고객지원 챗봇이 그렇습니다만, EU 인공지능법 제50조 제1항에 따라 대화 시작 전에 그 시스템이 AI임을 밝힙니다. 프로젝트 생성 도우미와 프로젝트 이미지 생성 기능은 제50조가 말하는 "직접 상호작용"에 해당하지 않습니다. 교사가 불러내 검토하는 도구이며, 결과는 대화가 아니라 초안 제안으로 교사에게 전달됩니다.
• 표시된 내용은 사람이 확인합니다. AI가 표시했다는 이유만으로 콘텐츠를 삭제하거나 정지하거나 이관하지 않습니다. 표시된 내용은 모두 사람이 검토합니다.
• 직원과 교사를 위한 AI 리터러시 저희 직원은 AI 리터러시, 윤리 지침, 아동 보호, 신고 처리에 관한 연례 교육을 이수합니다. AI 기능을 쓰는 교사는 이용약관에 동의할 때, 학생들과 AI 기능을 쓰기 전에 공개된 AI 리터러시 및 책임 있는 이용 안내서를 읽고 적용하겠다고 확인합니다.

전문은 교사 자료실의 AI 리터러시 및 책임 있는 이용 안내서 에서 보실 수 있습니다.

6.3 AI가 내 정보를 처리하지 않기를 원하신다면

고객지원 챗봇은 지원을 받는 여러 경로 중 하나입니다. 챗봇을 거치지 않고 사람 상담을 받고 싶으시면 다음 주소로 support@class2class.org 메일을 보내 주세요. 프로젝트 생성 도우미(텍스트 생성과 프로젝트 표지 이미지 생성)는 교사가 프로젝트 초안에서 직접 불러낼 때만 작동합니다.

어린이와 미성년자 — 무엇이 다른가

Class2Class는 보호자 동의를 거친 13세 미만을 포함해 모든 연령의 학생을 환영합니다. 저희 학생 대부분이 미성년자이므로, 아동 보호를 나중에 덧붙이지 않고 플랫폼 자체에 넣었습니다.

7.1 최소 연령과 확인

Class2Class 이용 최소 연령은 13입니다. 13세 미만 학생은 담당 교사가 보호자 동의를 받고 플랫폼의 동의 절차에서 이를 확인한 경우에만 이용할 수 있습니다. 학생이 13세 이상인지 확인하거나 13세 미만 학생의 보호자 동의를 받는 것은 교사의 책임입니다. 성인은 학생으로 Class2Class를 이용할 수 없습니다.

7.2 교사의 관문 역할

학생은 직접 가입할 수 없습니다. 모든 학생 계정은 교사가 만들고 관리합니다. 이 구조는:

• 어른이 함께 알지 못한 채 어린이가 저희에게 개인정보를 제공할 위험을 줄입니다
• 플랫폼의 모든 학생이 그를 책임지는 교사와 연결되어 있도록 합니다
• 교사가 부적절한 내용을 즉시 삭제하고 필요할 때 학생을 프로젝트에서 뺄 수 있게 합니다

7.3 13세 미만 및 16세 미만의 메시지 제한

7.4 13세 미만 학생의 보호자 동의

13세 미만 학생의 경우:

• 교사가 플랫폼의 동의 절차에서, 보호자가 Class2Class에 대해 안내받았고 학생이 어떤 정보를 제공하게 되며 플랫폼을 어떻게 쓰게 되는지 이해했으며 동의했음을 확인합니다.
• 이 확인은 교사의 신원, 학생의 신원, 표시된 확인 문구의 버전, 시각과 함께 기록되며, 학생의 계정이 닫힌 뒤 5년간 보관됩니다(제5조 참조).
• 인정되는 법적 근거는 미국의 COPPA "학교 승인" 모델과, 그 밖의 지역에서는 처리 주체가 친권 확인을 위해 합리적인 노력을 하도록 허용하는 GDPR 제8조 입니다.
• 교사는 보호자가 실제로 안내를 받고 동의하지 않았다면 동의를 확인해서는 안 됩니다.

보호자로서 다음을 원하신다면:

• 동의 철회: 다음 주소로 연락해 주세요: dpo@class2class.org. 학생의 접근을 즉시 차단해 드립니다. 동의가 철회된 동안에도 학생의 프로젝트 결과물과 학습 기록은 보관됩니다(제7.5조 참조). 자녀의 선생님께 플랫폼에서 동의를 철회해 달라고 하셔도 됩니다. 선생님에게 그 기능이 있습니다.
• 학생 계정의 완전한 삭제: 다음 주소로 연락해 주세요: dpo@class2class.org. 이는 동의 철회보다 강한 조치입니다. 법정 보관 의무가 있는 예외를 제외하고(제5조 참조) 계정과 정보를 삭제하며, 무엇을 삭제했는지 서면으로 확인해 드립니다.
• 자녀에 대해 저희가 가진 정보 확인 (열람권): 다음 주소로 연락해 주세요: dpo@class2class.org.
• 정정이나 갱신: 다음 주소로 연락해 주세요: dpo@class2class.org, 또는 해당 정보를 가지고 있는 학생의 담당 교사에게 갱신을 요청해 주세요.

보호자의 정보 권리 요청에는 GDPR 제12조 제3항에 따라 30일 이내에 답변드립니다.

7.5 동의 철회와 차단 화면

보호자가 동의를 철회하면 학생은 플랫폼을 이용하거나 이동할 수 없고 차단 화면이 표시됩니다. 차단 중에도 계정 자체는 삭제되지 않으며, 학생의 프로젝트 결과물과 학습 기록은 보관되어 동의가 다시 이루어지면 교육 기록을 잃지 않고 이어 갈 수 있습니다. 차단은 교사가 동의 절차에서 동의를 다시 받았음을 확인할 때까지 유지됩니다.

7.6 아동 친화 요약

아동의 정보를 어떻게 다루는지 13~18세 학생을 위해 쉬운 말로 짧게 정리한 문서를 다음 주소에 공개하고 있습니다: class2class.org/privacy-for-students. 교사분들께서 수업에서 소개해 주시기를 권합니다.

국외 이전 — 여러분의 정보가 어디로 가는가

Class2Class는 덴마크 법인입니다. 주된 데이터 보관 위치는 유럽연합 입니다(Supabase, EU 리전 eu-west-1). 일부 수탁사는 유럽경제지역(EEA) 밖에 있으므로, 분석과 고객지원 챗봇, AI 기능을 뒷받침하는 모델 제공사, 동의하신 경우의 마케팅 도구 같은 특정 서비스를 제공하기 위해 개인정보의 일부가 미국이나 다른 제3국으로 이전됩니다.

미국 소재 수탁사마다 유럽연합 집행위원회 표준계약조항(SCCs) 을 적용하고, 이전 영향 평가(TIA) 판결과 Schrems II 및 EDPB 권고 01/2020에 따라 내부에서 관리하는 이전 영향 평가로 이를 보완합니다. 이전 영향 평가는 매년, 그리고 수탁사의 데이터 위치나 계약 조건이 바뀔 때마다 검토합니다.

수탁사가 EU–미국 데이터 프라이버시 프레임워크(DPF) 인증을 받은 경우 — 예를 들어 Google Analytics, Google Cloud / BigQuery, Google Gemini API를 포괄하는 Google LLC가 그렇습니다 — 에는 2023년 7월 10일 유럽연합 집행위원회 적정성 결정 (EU) 2023/1795 를 주된 이전 근거로 함께 적용합니다. 표준계약조항은 예비 근거로 유지하며, 이전 영향 평가도 계속 관리합니다.

현재 수탁사와 각자의 이전 근거는 공개된 저희 수탁사 목록에 있습니다. 주요 내용은 다음과 같습니다:

• Mixpanel (미국 — 표준계약조항 + 이전 영향 평가. 단계적 폐지 중이며 PostHog로 대체되어 과거 데이터만 남아 있습니다)
• CookieYes (인도 — 표준계약조항 + 이전 영향 평가, 동의 관리 플랫폼)
• Google Analytics (미국 — Google LLC DPF 인증 + 예비 근거로 표준계약조항 + 이전 영향 평가 + IP 익명 처리)
• Meta (미국 — 표준계약조항 + 이전 영향 평가, 동의를 받은 마케팅에만 사용)
• Chatbase (미국 — 표준계약조항 + 이전 영향 평가 + 이용자 데이터의 AI 학습 금지 계약 약정)
• OpenAI (미국 — 표준계약조항 + 이전 영향 평가. 기본적으로 학습에 쓰지 않는 표준 API이며 오용 감시를 위해 30일 보관. 프로젝트 생성 도우미의 텍스트 생성을 담당하며 교사 전용입니다)
• Google(Gemini API) (미국 — Google LLC DPF 인증 + 예비 근거로 표준계약조항 + 이전 영향 평가 + 이용자 데이터의 AI 학습 금지 계약 약정. 프로젝트 이미지 생성을 담당하며 교사 전용입니다)
• Anthropic(Claude AI) (미국 — 표준계약조항 + 이전 영향 평가 + 이용자 데이터의 AI 학습 금지 계약 약정. 프로젝트 생성 도우미 텍스트 생성의 기본 모델로 교사 전용이며, BigQuery 데이터 웨어하우스에 대한 직원 전용 내부 분석에도 씁니다)

EEA 밖으로 이전하지 않는 EU 소재 수탁사: Supabase (EU 리전 eu-west-1 — 플랫폼 데이터베이스, 인증, 파일 저장, 실시간 기능), Xano (EU 내 보관, 레거시 인증 경로 전용), Brevo, Vercel (EU 리전, 플랫폼 호스팅과 AI 게이트웨이), PostHog (EU 클라우드, 프랑크푸르트 — 제품 이용 분석. 동의를 받은 경우에만 작동하며 세션 재생은 꺼져 있습니다), Stape (에스토니아 — 자체 서버 사이드 태깅 프록시), Sentry (EU 리전, 프랑크푸르트 — 오류·성능 모니터링. 기본적으로 개인정보를 보내지 않고 남은 이벤트 데이터는 삭제 처리하며 보관 기간은 약 30일입니다), Google Cloud — BigQuery (중앙 데이터 웨어하우스용 EU 리전), Airbyte (BigQuery에 데이터를 적재하는 ETL 파이프라인용 EU 배포).

수탁사

저희는 데이터베이스, 이메일 서비스, 고객지원 챗봇처럼 플랫폼의 일부를 맡기기 위해 수탁사와 협력합니다. 모든 수탁사는:

• 계약 전에 검토를 거치고 이후에도 최소 연 1회 검토를 받습니다
• 다음 주소에 공개되어 있습니다: class2class.org/data-processing-agreement

수탁사의 추가, 교체, 중요한 변경은 최소 30일 전에 체결된 위탁 계약에 등록된 연락처로 파트너와 학교에 알려 드립니다. 파트너와 학교는 개인정보 보호상 합리적인 근거가 있으면 15일 이내에 이의를 제기하실 수 있습니다. 중요한 변경을 알림받고 싶은 개인 이용자(교사, 학부모)는 다음 주소로 연락해 주세요: dpo@class2class.org.

쿠키

쿠키와 유사 기술은 별도의 쿠키 정책이 규율합니다. 쿠키 정책에는 저희가 쓰는 네 가지 쿠키 항목(필수, 기능, 통계, 마케팅), 각 항목의 쿠키, 동의 배너, 그리고 언제든 설정을 바꾸는 방법이 설명되어 있습니다.

저희는 쿠키 강제 동의를 두지 않습니다. 필수가 아닌 쿠키에 동의하지 않으셔도 플랫폼의 핵심 기능을 쓰실 수 있습니다.

여러분의 권리

GDPR에 따라 여러분은 개인정보에 관해 다음 권리를 가지십니다. 저희는 GDPR이 정한 제한적인 예외(예를 들어 삭제 요청이 저희 법적 의무와 충돌하는 경우)를 제외하고 이 모든 권리를 보장합니다.

정보 권리 요청에는 접수일로부터 30일 이내에 답변드립니다(GDPR 제12조 제3항). 요청이 특히 복잡한 경우 최대 60일까지 연장할 수 있으며, 그때는 연장 사실과 이유를 서면으로 알려 드립니다. 이러한 요청에는 비용이 들지 않으나, 명백히 근거가 없거나 과도한 요청은 예외입니다.

아동의 정보에 관한 요청이라면 제7.4조를 참고해 주세요.

이동권 내려받기 파일에는 프로필, 프로젝트, 게시물, 소감, 메시지, 수료증처럼 여러분이 제공하신 정보와 플랫폼에서의 활동 내역이 담깁니다. 저희 운영 데이터베이스에서 만들어 JSON 파일로 제공하며, 요청하시면 CSV로도 드립니다. 종합 분석처럼 저희가 내부적으로 도출한 정보와 다른 이용자에 관한 정보는 제20조의 범위 밖이므로 포함되지 않습니다.

보안

저희는 GDPR 제32조에 따라 개인정보를 보호하기 위한 적절한 기술적·관리적 조치를 시행합니다. 주요 내용은 다음과 같습니다:

• 전송 구간 암호화 — 플랫폼에 대한 모든 연결에 TLS 1.2 이상을 적용합니다.
• 저장 시 암호화 — EU 저장 계층의 Supabase가 제공합니다.
• 비밀번호 저장 — 비밀번호는 다음 방식으로 저장합니다: bcrypt. OWASP와 NIST SP 800-63B가 권장하는 최신 적응형 해시 알고리즘입니다. 해시 처리는 EU의 Supabase Auth에서 이루어집니다. 마이그레이션 이후 로그인하지 않은 이관 계정은 해당 경로가 폐지될 때까지 기존 Xano 저장소로 확인합니다.
• 역할 기반 접근 통제 — Class2Class 직원의 개인정보 접근은 역할에 따라 제한되며 기록됩니다.
• 다중 인증 — 플랫폼 인프라에 대한 관리자 접근에는 반드시 필요합니다.
• 수탁사 실사 — 모든 수탁사는 검토를 거쳤고 위탁 계약을 체결했습니다.
• 정기 보안 점검 — 연례 보안 검토를 실시하고, 사고나 중요한 변화가 있으면 임시 검토를 더합니다.
• 보안 기준 — 저희 통제 항목은 ISO 27001과 SOC 2 기준에 맞춰 정리되어 지속적으로 점검되고 있습니다. ISO 27001 인증 심사와 SOC 2 인증이 진행 중이며 아직 어느 보고서도 보유하고 있지 않습니다. 현재 통제 상태는 저희 트러스트 센터.
• 사고 대응 — 문서화된 개인정보 유출 대응 절차가 탐지, 분류, GDPR 제33조에 따른 72시간 이내 규제 기관 통지, 필요한 경우 제34조에 따른 정보주체 통지를 다룹니다.

저희는 플랫폼에 대한 개인정보 영향평가(DPIA)를 마쳤으며, 10가지 핵심 위험을 찾아내 완화했습니다. 전체 잔여 위험은 낮음에서 보통 수준으로 평가되어 수용 가능합니다. 개인정보 영향평가는 매년 검토합니다.

이 문서의 변경

저희는 서비스의 변화, 적용 법령의 변화, 컴플라이언스 약속의 변화를 반영하기 위해 이 문서를 갱신할 수 있습니다.

통지 기간이 지난 뒤에도 플랫폼을 계속 이용하시면 개정된 문서에 동의하신 것으로 봅니다. 동의하지 않으신다면 통지 기간 중에 계정을 닫으실 수 있습니다. 이용약관 §9.5.

접근성

별도의 접근성 선언문 에 WCAG 2.1 AA 등급과 유럽접근성법에 대한 저희 약속이 담겨 있습니다.

이 개인정보 및 접근성 안내(또는 저희가 공개하는 다른 문서)를 현재 형태로 이용하기 어려우시다면 다음 주소로 support@class2class.org 제목에 "Accessibility"를 적어 보내 주세요. 다른 형식으로 제공해 드리겠습니다.

연락처

전체 신고 체계는 윤리 지침 제10조와 신고 처리 및 내부고발 절차에 설명되어 있습니다.

관련 문서

• 이용약관 v.2.0
• 쿠키 정책
• 수탁사 목록
• 접근성 선언문
• 윤리 지침
• 행동 강령
• 아동 친화 개인정보 요약
• AI 리터러시 및 책임 있는 이용 안내서

이 문서들이 실질적인 내용에서 이 안내와 충돌하는 경우, 정보주체에게 가장 유리한 해석을 적용하고 다음 문서 검토 때 충돌을 정리합니다. 다음 주소로 알려 주세요: dpo@class2class.org . 바로잡겠습니다.