Blood Covenant 개인정보처리방침

Blood Covenant Privacy Policy

초안 — 출시 전 전문가 검토 필요

Blood Covenant(이하 "게임")를 운영하는 (운영자 명칭 — 출시 전 확정, 이하 "운영자")는 개인정보 보호법, EU·영국 GDPR, 미국 COPPA·CCPA 등 이용자가 거주하는 나라의 법을 지키며 개인정보를 다음과 같이 처리합니다. 이 문서는 앱 안(설정 → 개인정보처리방침)과 https://legal.bloodcovenant.app/privacy.html 에서 같은 내용으로 볼 수 있습니다.

1. 수집하는 개인정보와 수집 방법

계정: 이메일 주소, 비밀번호(복원할 수 없는 형태로 저장), 가입·로그인 시각. 게스트 계정은 기기에 저장된 익명 계정 번호만 있습니다.
간편 로그인(Google·Apple·카카오): 해당 서비스가 알려 주는 계정 번호, 이메일 주소, 표시 이름. 비밀번호는 받지 않습니다.
연령 확인: 태어난 해와 기기의 국가 코드(법정 연령·결제 한도·국가별 규정 적용용). 한 번만 묻고 바꾸지 않습니다.
게임 이용 기록: 진행·패밀리어·재화·전투·결투·레이드·거래소 기록, 닉네임, 채팅 메시지, 우편, 문의 내용.
기기·보안: 기기 식별값(한 계정을 한 기기에서만 쓰기 위한 것), 푸시 알림 토큰(알림을 켠 경우), 앱 버전.
결제: 스토어(Google Play·App Store)가 알려 주는 거래 번호, 상품, 결제 금액, 결제 시각, 환불 여부. 카드 번호 등 결제 수단 정보는 운영자가 받지 않습니다.
광고: 보상형 광고를 직접 볼 때 광고 서비스(Google AdMob)가 광고 식별자를 처리할 수 있습니다. 광고를 보지 않으면 처리되지 않습니다.
오류 수집: 앱 오류·충돌 정보(기기 모델, OS 버전, 오류 내용, 계정 번호). 화면 내용이나 입력 내용은 보내지 않습니다.

수집 방법: 이용자가 직접 입력, 게임을 이용하는 과정에서 자동 생성, 스토어·로그인 서비스·광고 서비스로부터 전달.

2. 처리 목적과 법적 근거

게임 제공과 진행 저장, 계정 보호, 결제 상품 지급: 서비스 계약의 이행 (GDPR 제6조 1항 (b))
부정 이용·해킹·환불 악용 방지, 오류 개선, 서비스 안정 운영: 운영자의 정당한 이익 (GDPR 제6조 1항 (f))
법정 연령 확인, 미성년자 결제 한도, 결제 기록 보관, 확률형 아이템 규정 준수: 법적 의무 (GDPR 제6조 1항 (c))
푸시 알림, 보상형 광고: 이용자의 동의 (GDPR 제6조 1항 (a)) — 언제든 기기 설정·게임 설정에서 철회할 수 있습니다.
고객 문의 응대, 공지: 서비스 계약의 이행과 정당한 이익.

3. 보유 기간

계정과 게임 이용 기록: 계정이 있는 동안. 계정 삭제를 요청하면 30일 유예 뒤 삭제합니다(유예 기간 중 취소 가능).
결제 기록: 전자상거래법 등에 따라 결제일로부터 5년.
고객 문의 기록: 3년.
접속·보안 기록(기기 식별값, 로그인 시각): 1년.
채팅 메시지: 작성일로부터 90일(신고된 메시지는 처리 완료까지).
오류 수집 정보: 90일.
태어난 해·국가 코드: 계정이 있는 동안(계정 삭제 시 함께 삭제).
법령에 보관 의무가 있으면 그 기간, 분쟁이 진행 중이면 종료 시까지 보관합니다.

4. 제3자 제공

운영자는 개인정보를 판매하지 않으며, 다음 경우 외에는 제3자에게 제공하지 않습니다.

이용자가 동의한 경우.
법령에 따라 수사기관·법원 등이 적법하게 요구한 경우.
다른 이용자에게 보이는 정보: 닉네임, 리더·패밀리어 편성, 결투장 순위, 거래소 매물, 채팅 메시지(이용자가 공개한 범위).

5. 처리 위탁

서비스 운영을 위해 다음 업체에 처리를 맡깁니다. 업체는 위탁받은 목적 외에 사용하지 않습니다.

Supabase, Inc.: 서버·데이터베이스·계정 인증 (서버 위치: 대한민국 서울)
Cloudflare, Inc.: 그림·소리 자료 전송, 관리 페이지 보호, 결제 영수증 확인 서버
Functional Software, Inc. (Sentry): 오류 수집
Google LLC: Google 로그인, Google Play 결제·환불 확인, AdMob 보상형 광고, Firebase 푸시 알림
Apple Inc.: Apple 로그인, App Store 결제·환불 확인
카카오: 카카오 로그인 (한국 이용자가 선택한 경우)
(메일 발송 업체 — 확정 후 기재): 인증 코드·비밀번호 재설정 메일 발송

6. 국외 이전

서버는 대한민국에 있습니다. 대한민국 밖의 이용자(미국·EU·영국·아시아 등)의 정보는 게임 제공을 위해 대한민국으로 이전되어 처리됩니다. EU·영국 이용자의 경우 대한민국은 EU 집행위원회(2021년)와 영국의 적정성 결정을 받은 나라이므로 추가 조치 없이 이전이 허용됩니다. 위 위탁 업체 중 미국 업체로 이전되는 정보는 각 업체의 표준계약조항 또는 EU-미국 데이터 프라이버시 프레임워크에 따라 보호됩니다.

7. 파기

보유 기간이 끝나거나 목적이 달성된 개인정보는 복구할 수 없는 방법으로 지웁니다(전자 파일 삭제, 백업은 백업 주기에 따라 순차 삭제).

8. 이용자의 권리

이용자는 언제든 다음을 요구할 수 있으며, 운영자는 1개월 안(복잡한 경우 최대 3개월)에 답합니다.

열람·사본 요구(이용자가 제공한 정보는 일반적인 파일 형식으로 받을 수 있음 — 이동권)
정정·삭제·처리 정지, 동의 철회
자동화된 결정에 대한 이의: 운영자는 법적 효과를 낳는 자동화된 결정을 하지 않습니다.
계정 삭제: 설정 → 계정 → 계정 삭제에서 직접 할 수 있습니다(30일 유예).
감독기관 신고: 한국 개인정보보호위원회(privacy.go.kr, 국번 없이 118), EU·영국 이용자는 거주국 감독기관, 미국 캘리포니아 이용자는 CCPA에 따른 권리(판매·공유 거부권 — 운영자는 개인정보를 판매·공유하지 않습니다, 알 권리, 삭제권, 차별받지 않을 권리).

요청은 게임 안 설정 → 문의하기 또는 아래 연락처로 하면 됩니다. 본인 확인을 위해 계정 이메일로 확인할 수 있습니다.

9. 아동의 개인정보

이 게임은 대한민국에서는 만 14세 이상, 그 밖의 나라에서는 만 13세 이상만 이용할 수 있습니다. 처음 실행할 때 태어난 해를 확인하며, 기준에 못 미치면 계정을 만들 수 없습니다. 기준 미만 아동의 정보가 수집된 사실을 알게 되면 지체 없이 삭제합니다. 미성년자(대한민국 만 19세 미만, 그 밖의 나라 만 18세 미만)는 결제 한도가 따로 적용되며, 법정대리인은 미성년 자녀의 결제에 대해 문의할 수 있습니다.

10. 안전성 확보 조치

비밀번호의 복원 불가 저장, 전송 구간 암호화(HTTPS), 로그인 정보의 기기 보안 저장소 저장, 서버 접근 권한 최소화와 관리자 2단계 인증, 접근 기록 보관, 결제 영수증의 서버 검증.

11. 자동 수집 장치

게임 앱은 쿠키를 쓰지 않습니다. 보상형 광고를 볼 때만 광고 서비스가 광고 식별자(ADID/IDFA)를 처리할 수 있으며, 기기 설정에서 광고 추적을 제한할 수 있습니다.

12. 개인정보 보호책임자와 연락처

보호책임자: (이름 — 출시 전 확정)
이메일: support@bloodcovenant.app
EU·영국 이용자 대리인: 운영자는 EU·영국에 사업장이 없으며, 처리 규모가 작아 대리인 지정 의무가 없습니다. 필요해지면 이 문서에 기재합니다.

13. 방침의 변경

내용이 바뀌면 시행 7일 전(이용자 권리에 중요한 변경은 30일 전)에 앱 공지와 이 문서로 알립니다.

시행일: (출시일에 확정)

English

(Operator name — to be set before launch) (the "operator") runs Blood Covenant (the "game") and handles personal data under the laws of the places where players live, including Korea's Personal Information Protection Act, the EU and UK GDPR, and the US COPPA and CCPA. This document is shown in the app (Settings → Privacy policy) and at https://legal.bloodcovenant.app/privacy.html with the same content.

1. What we collect and how

Account: email address, password (stored in a form that cannot be reversed), sign-up and sign-in times. A guest account has only an anonymous account number kept on the device.
Social sign-in (Google, Apple, Kakao): the account number, email address and display name that service shares. We never receive your password.
Age check: your birth year and the device's country code (to apply age limits, spending limits for minors and country rules). Asked once and not changed afterwards.
Play records: progress, familiars, resources, battles, duels, raids, bazaar listings, nickname, chat messages, mail, support messages.
Device and security: a device identifier (an account is used on one device at a time), the push notification token (if notifications are on), app version.
Purchases: the transaction id, product, price, time and refund state that the store (Google Play, App Store) reports. We never receive card numbers or other payment details.
Advertising: when you choose to watch a rewarded ad, the ad service (Google AdMob) may process the advertising identifier. Nothing is processed if you do not watch ads.
Error reports: app errors and crashes (device model, OS version, error details, account number). Screen contents and what you type are not sent.

Sources: entered by you, generated while you play, or passed on by the store, sign-in service or ad service.

2. Purposes and legal bases

Providing the game and saving progress, protecting accounts, delivering purchased goods: performance of our contract with you (GDPR Art. 6(1)(b)).
Preventing abuse, cheating and refund fraud; fixing errors; keeping the service stable: our legitimate interests (Art. 6(1)(f)).
Age checks, spending limits for minors, keeping purchase records, loot box rules: legal obligations (Art. 6(1)(c)).
Push notifications and rewarded ads: your consent (Art. 6(1)(a)), which you can withdraw at any time in the device or game settings.
Support and notices: contract performance and legitimate interests.

3. How long we keep data

Account and play records: while the account exists. After a deletion request the account is removed 30 days later (you can cancel during those days).
Purchase records: 5 years from the purchase (e-commerce law).
Support records: 3 years.
Access and security records (device identifier, sign-in times): 1 year.
Chat messages: 90 days from posting (reported messages until the report is handled).
Error reports: 90 days.
Birth year and country code: while the account exists (deleted with the account).
Longer where the law requires it or while a dispute is open.

4. Sharing

We do not sell personal data and share it only:

with your consent;
when the law requires it (courts, authorities acting lawfully);
with other players, to the extent you make it visible: nickname, leader and familiar line-up, arena rank, bazaar listings, chat messages.

5. Processors

These companies process data on our behalf and only for the purposes we set:

Supabase, Inc.: servers, database, account authentication (servers in Seoul, Korea)
Cloudflare, Inc.: art and sound delivery, admin page protection, receipt verification server
Functional Software, Inc. (Sentry): error collection
Google LLC: Google sign-in, Google Play purchase and refund checks, AdMob rewarded ads, Firebase push notifications
Apple Inc.: Apple sign-in, App Store purchase and refund checks
Kakao Corp.: Kakao sign-in (when chosen by players in Korea)
(email provider — to be set): confirmation codes and password reset mail

6. International transfers

Our servers are in the Republic of Korea. Data of players outside Korea (United States, EU, UK, Asia and elsewhere) is transferred to Korea to provide the game. For EU and UK players, Korea holds adequacy decisions from the European Commission (2021) and the UK, so the transfer needs no further safeguards. Data handled by the US processors above is protected by their standard contractual clauses or the EU-US Data Privacy Framework.

7. Deletion

When a retention period ends or a purpose is fulfilled, data is erased so that it cannot be recovered (files deleted; backups rotate out on their schedule).

8. Your rights

You may at any time ask for the following; we answer within one month (up to three months for complex requests):

access and a copy of your data (data you provided in a common file format — portability);
correction, erasure, restriction of processing, withdrawal of consent;
objection to automated decisions: we make no automated decisions with legal effects;
account deletion: Settings → Account → Delete account (30-day grace period);
a complaint to a supervisory authority: Korea's Personal Information Protection Commission (privacy.go.kr), your national authority in the EU or UK, and for California residents the rights under the CCPA (we do not sell or share personal data; the right to know, to delete and not to be discriminated against).

Send requests through Settings → Contact support or the contact below. We may confirm your identity through the account email.

9. Children

The game is for players aged 14 and over in Korea and 13 and over elsewhere. The birth year is checked on first launch and no account can be created below the limit. If we learn that data of a younger child was collected, we delete it without delay. Minors (under 19 in Korea, under 18 elsewhere) have a separate spending limit, and a parent or guardian may contact us about a minor's purchases.

10. Security

Passwords stored irreversibly, encrypted connections (HTTPS), sign-in tokens kept in the device's secure store, least-privilege server access with two-factor authentication for operators, access logs, and server-side verification of purchase receipts.

11. Cookies and identifiers

The app uses no cookies. Only when you watch a rewarded ad may the ad service process the advertising identifier (ADID/IDFA); you can limit ad tracking in the device settings.

12. Contact and data protection officer

Responsible person: (name — to be set before launch)
Email: support@bloodcovenant.app
EU/UK representative: the operator has no establishment in the EU or UK and, given the scale of processing, is not required to appoint one. If that changes, it will be listed here.

13. Changes

Changes are announced in the app and in this document 7 days before they take effect (30 days for changes that matter to your rights).

Effective: (set on the launch date)