보안 안내

올리는 이용 회사의 인사, 급여 및 결재 자료를 위탁받아 보관하는 서비스입니다. 주식회사 페흐도도는 자료의 보호를 서비스 운영의 최우선 원칙으로 삼고 있으며, 본 안내에는 현재 실제로 시행하고 있는 보호 조치를 기재하였습니다. 내용이 변경되는 경우 본 안내를 갱신합니다.

매일

데이터베이스 · 첨부 파일 백업

매월 1회 이상

서비스 전체 보안 점검

72시간 이내

개인정보 사고 통지

AES-256

저장 자료 · 백업 사본 암호화

1. 자료의 보관 위치

• 자료는 국제 보안 인증(SOC 2, ISO 27001 등)을 취득한 클라우드 사업자의 데이터센터에 보관합니다. 데이터센터의 출입 통제와 설비 보호는 해당 사업자의 인증 범위 내에서 관리됩니다.
• 올리는 자체 전산실을 운영하지 아니합니다. 설비 고장, 정전 등 물리적 위험을 전문 사업자의 이중화된 설비를 통하여 관리하기 위함입니다.
• 자료를 위탁받아 처리하는 사업자와 위탁 업무의 내용은 개인정보처리방침 4번(개인정보 처리의 위탁)에 모두 공개합니다.

2. 이용 회사 간 · 이용자 간 분리

• 자료는 이용 회사별로 분리하여 저장하며, 데이터베이스가 각 자료의 소속 회사를 확인하여 다른 회사의 요청에는 제공하지 아니합니다. 화면 단계의 차단에 그치지 아니하고 저장소 단계에서 접근을 통제합니다.
• 이용 회사 내에서도 대표, 업무 담당자, 조직장 및 구성원의 권한을 구분하여, 급여·인사·재무 자료는 해당 업무의 담당자만 열람할 수 있습니다. 담당자의 권한 범위는 이용 회사가 직접 정합니다.
• 첨부 파일과 직인은 비공개 저장소에 보관하며, 열람 권한이 확인된 이용자에게만 단시간 유효한 주소를 통하여 제공합니다.

3. 암호화

• 브라우저, 모바일 애플리케이션 및 PC 메신저와 서버 사이의 모든 통신 구간을 암호화(TLS)합니다.
• 저장되는 자료는 저장 장치 단계에서 암호화(AES-256)합니다.
• 비밀번호는 복호화할 수 없는 방식으로 저장하여 올리의 임직원도 이를 알 수 없습니다.
• 주민등록번호와 계좌번호는 별도로 한 차례 더 암호화하여 저장하며, 담당자가 이를 조회하는 경우 그 기록을 남깁니다.

4. 로그인 보호

• 2단계 인증 — 비밀번호 확인 후 인증 앱 또는 이메일로 발송된 인증 번호를 추가로 확인합니다. 이용 회사는 이를 전체 구성원에게 적용하도록 설정할 수 있습니다.
• 비밀번호는 8자 이상으로서 영문 대문자, 소문자, 숫자 및 특수문자를 조합하여야 합니다.
• 비밀번호를 반복하여 잘못 입력하는 경우 자동 입력 방지 확인을 거치도록 하며, 5회 잘못 입력하는 경우 계정을 잠급니다. 잠긴 계정은 본인의 이메일을 통하여 비밀번호를 재설정하여야 해제됩니다.
• 구성원의 권한을 변경하거나 회수하는 경우 로그인 중인 화면에도 1분 이내에 반영됩니다.

5. 기록과 모니터링

• 개인정보 취급자가 다른 구성원의 개인정보를 조회, 수정 또는 내려받은 기록을 보관하며, 이용 회사의 관리자는 서비스 내에서 이를 확인할 수 있습니다.
• 기록에는 개인정보 자체를 포함하지 아니합니다. 기록이 또 다른 유출 경로가 되는 것을 방지하기 위함입니다.
• 로그인 실패와 서비스 오류를 기록하고, 데이터베이스의 상태를 상시 모니터링하여 이상이 발생하는 경우 담당자에게 즉시 통보합니다.

6. 백업과 복구

• 데이터베이스와 첨부 파일을 매일 새벽 백업합니다.
• 백업 사본은 암호화(AES-256)하여 서비스 운영 환경과 다른 사업자의 저장소에 보관합니다. 어느 한 곳에 사고가 발생하더라도 다른 곳의 사본으로 복구할 수 있습니다.
• 매월 백업으로부터 파일을 복구하여 원본과의 일치 여부를 검증합니다. 복구가 검증되지 아니한 백업은 유효한 백업으로 보지 아니합니다.
• 이용 회사가 실수로 삭제한 자료는 요청이 있는 경우 백업 보관 기간의 범위에서 복구를 지원합니다.

7. 정기 보안 점검

• 매월 1회 이상 서비스 전체를 대상으로 보안 점검을 실시합니다. 점검 영역은 인증 및 권한, 이용 회사 간 자료 분리, 개인정보 및 결제 정보의 노출, 파일 저장소, 외부 연동입니다.
• 발견된 취약점은 위험도(높음 · 중간 · 낮음)를 분류하여 위험도가 높은 순으로 조치하고, 조치 후 실제 차단 여부를 재검증합니다.
• 2026년 10월부터 11월까지 세 차례 전체 점검을 실시하였으며, 높음 등급으로 분류된 항목은 모두 조치를 완료하였습니다.
• 이용 회사의 요청이 있는 경우 점검 범위와 결과에 관한 자료를 문서로 제공합니다.

8. 변경 관리

• 모든 변경 사항은 자동화된 검사(권한, 이용 회사 간 분리, 화면 동작)를 통과한 후 서비스에 반영합니다.
• 소프트웨어의 보안 취약점을 매주 자동으로 검사합니다.
• 데이터베이스 구조를 변경하는 경우 변경 전 상태를 먼저 백업하고, 이용량이 적은 시간대에 작업합니다.
• 접속 키와 비밀 값은 소프트웨어 코드와 분리하여 보관하며, 필요한 경우 즉시 교체합니다.

9. 임직원의 접근 통제

• 이용 회사의 자료에 접근할 수 있는 임직원을 최소한으로 지정하며, 해당 임직원은 모두 비밀 유지 의무를 부담합니다.
• 임직원은 이용 회사의 요청이 있거나 장애 또는 보안 문제의 해결을 위하여 필요한 경우에 한하여, 필요한 최소한의 범위에서 자료를 열람합니다.
• 자료를 광고에 이용하거나 제3자에게 판매하지 아니하며, 인공지능의 학습에 이용하지 아니합니다.

10. 사고 대응

• 장애 발생을 인지한 즉시 복구 작업에 착수하고 관리자에게 상황을 통지합니다. 복구 후 요청이 있는 경우 원인, 조치 내용 및 재발 방지 대책을 문서로 제공합니다.
• 개인정보의 유출 사실을 인지한 경우 늦어도 72시간 이내에 이용 회사에 유출 항목, 경위 및 조치 내용을 통지하고, 이용 회사가 정보주체에 대한 통지와 관계 기관에 대한 신고를 이행하는 데 협조합니다.
• 서비스 중단에 대한 보상과 손해배상의 기준은 이용약관 제18조 및 제19조에서 정합니다.

11. 계약과 약정

올리가 수탁자로서 준수하는 사항은 개인정보 처리위탁 약정에서 정합니다. 엔터프라이즈 이용 회사와는 해당 약정과 비밀 유지, 장애 대응 기준을 계약서로 체결합니다.

12. 문의와 취약점 신고

보안에 관한 문의, 도입 전 보안 검토 자료의 요청 및 취약점 신고: support@allywork.kr