보안 및 신뢰

관련 항목: 개인정보 처리방침 · 서비스 이용약관

1. 개요#

Clevera는 화면 녹화, 제품 영상, 때로는 귀하의 앱에 대한 로그인까지 처리하므로 보안을 제품의 핵심 요소로 다룹니다. 당사는 다음을 설계 원칙으로 합니다:

• 최소 권한 액세스
• 암호화된 데이터 흐름
• 단기 미디어 액세스
• 오픈 웹과 접촉하는 모든 요소의 명확한 격리

2. 한눈에 보기#

3. 인프라#

• 애플리케이션 및 데이터베이스. 서버는 Hetzner EU(독일)에서 Laravel Forge로 관리됩니다. Postgres 데이터베이스와 Redis 큐는 인터넷이 아닌 애플리케이션 서버로부터의 연결만 허용합니다.
• 파일. 녹화물, 업로드 파일 및 생성된 미디어는 미국 내 Amazon S3에 저장되며, 공개 브랜드 자산은 EU(스웨덴)에 저장됩니다. 미디어는 Amazon CloudFront를 통해 전송됩니다.
• 렌더링. 영상은 기본적으로 귀하의 브라우저에서 렌더링되므로 최종 인코딩은 귀하의 기기에서 이루어집니다. 서버 렌더링은 미국 내 AWS Lambda에서 실행됩니다.
• 웹사이트 방문. 귀하를 대신해 웹사이트를 방문하는 구성 요소는 두 곳에서 실행됩니다:
  • 자체 사이트 스캐너. API 키에 접근할 수 없는 별도의 제한된 시스템 사용자로 실행됩니다. 아웃바운드 방화벽이 내부 네트워크 및 클라우드 메타데이터 엔드포인트 접근을 차단하여 서버 측 요청 위조(SSRF)를 방지합니다.
• 브라우저 사용. AI 기반 브라우징은 당사 인프라 외부의 Browser Use 내 격리된 클라우드 브라우저에서 실행됩니다.
• 데이터 위치. 데이터는 주로 미국과 EU에서 처리됩니다. 현재 고객이 선택할 수 있는 데이터 거주지 옵션은 제공하지 않습니다.

4. 데이터 보호#

• 전송 중: Clevera로의 모든 트래픽은 TLS를 사용합니다.
• 저장 시:
  • 애플리케이션 수준에서 다음을 암호화합니다:
    • 통합 OAuth 토큰
    • SSO 비밀 정보
    • 귀하의 제공업체 API 키
    • 임시 웹사이트 자격 증명
    • 제공업체 다운로드 링크
  • 비밀번호는 단방향 해시로만 저장됩니다.
  • 저장된 파일은 클라우드 제공업체의 저장 시 암호화(AWS SSE-S3)를 사용합니다.
• 미디어 액세스: 비공개 미디어는 일반적으로 24시간 이내에 만료되는 서명된 링크를 통해서만 제공됩니다. 업로드는 일회용 사전 서명된 URL을 통해 저장소로 직접 전송됩니다.
• 결제: Lemon Squeezy에서 전적으로 처리합니다. 카드 정보는 당사 시스템에 도달하지 않습니다.
• 데이터 최소화: 각 AI 제공업체에는 작업에 필요한 정보만 전송합니다. 예를 들어, 공유 영상의 시청자 분석은 기기 클래스와 국가 정보만 유지합니다. 악용 방지에는 원시 IP 주소 대신 키가 지정된 해시를 사용합니다.

5. AI 제공업체#

Clevera는 Google(Gemini), Anthropic(Claude), OpenAI의 AI 모델을 사용합니다. 또한 AI 아바타를 위해 HeyGen을 사용합니다.

• 당사는 귀하의 콘텐츠를 학습에 사용하지 않는 상업용 API 약관에 따라 이러한 제공업체를 이용합니다.
• 일부 제공업체는 악용 모니터링을 위해 API 데이터를 제한된 기간(일반적으로 최대 30일) 동안 보관합니다.
• 분석을 위해 업로드한 영상 파일은 작업 후 몇 시간 내에 제공업체에서 삭제됩니다.
• 당사는 귀하의 콘텐츠를 AI 모델 학습에 사용하지 않습니다.

6. AI 웹사이트 조사 및 자격 증명#

“AI로 녹화” 및 웹사이트 조사는 Browser Use의 클라우드 브라우저에서 AI 에이전트를 실행합니다.

• 자격 증명은 모델에 노출되지 않음. 실행을 위해 제공한 자격 증명은 비밀 정보로 브라우저에 전달됩니다. 이는 AI 모델의 프롬프트에 절대 포함되지 않으며 로그에서도 삭제됩니다.
• 단기 저장. 당사 측에서는 자격 증명을 작업이 실행되는 동안에만 암호화된 상태로 보관한 후 폐기합니다.
• 제한된 조사. 조사 실행 시 로그인, 양식 제출 또는 구매를 하지 않도록 지시합니다.
• 저장된 로그인은 선택 사항. 기본적으로 꺼져 있으며 사이트별로 활성화할 수 있습니다. 언제든지 삭제할 수 있으며, 30일 동안 사용하지 않으면 만료됩니다. 계정 삭제 시 함께 삭제됩니다.
• 동의. 에이전트가 계정을 사용하기 전에, 실행을 설정하는 사용자는 Clevera에 해당 계정 접근 권한을 부여할 수 있음을 확인해야 합니다.
• 테스트 계정 사용. 촬영 시 전용 데모 또는 테스트 계정을 사용할 것을 권장합니다.

7. 무료 도구#

clevera.ai/tools에서 제공하는 무료 도구는 계정 없이 작동하므로, 당사는 다음과 같은 방법으로 도구와 사용자를 보호합니다:

• 당사 측 콘텐츠 저장 없음. 입력, 업로드 및 결과물은 메모리에서 처리된 후 응답으로 반환됩니다. 디스크, 데이터베이스 또는 로그에 기록하지 않습니다. 오류 로그에는 AI 제공업체의 오류 메시지가 포함될 수 있으나, 귀하의 입력 내용은 포함되지 않습니다.
• 공개 결과물 없음. 결과물에 대한 공유 링크는 생성되지 않습니다. 결과물은 귀하가 복사하거나 다운로드하기 전까지 브라우저 탭에만 존재합니다.
• 브라우저 전용 도구는 업로드하지 않음. 당사의 미디어 도구 및 계산기는 기기 내에서 파일을 처리합니다. 사용 기록만 전송하며, 파일 내용은 절대 전송하지 않습니다.
• 콘텐츠 기반 파일 검사. 파일 이름이나 선언된 유형뿐만 아니라 콘텐츠를 통해 업로드 유형을 확인합니다.
• 용량 제한. 텍스트는 최대 12,000자, 이미지는 개당 최대 4MB(실행당 1~10개), 동영상은 최대 20MB 또는 공개 YouTube 동영상의 첫 10분까지 가능합니다. 자막의 경우, 브라우저가 오디오의 첫 3분만 추출하여 전송합니다.
• 메타데이터 제거. 브라우저가 이미지를 업로드하기 전에 EXIF 데이터 및 GPS 위치와 같은 사진 메타데이터를 제거합니다.
• 원시 IP 주소 없음. 사용 제한 및 차단에는 귀하의 IP 주소나 네트워크의 키 해시(HMAC)를 사용합니다.
• 봇 검사. AI 도구는 Cloudflare Turnstile을 사용합니다.
• 사용 제한 및 자동 차단. IP 주소 및 네트워크별로 시간당/일일 제한이 적용됩니다. 반복적으로 요청이 거부될 경우 24시간 동안 자동으로 차단됩니다.
• 지출 한도. 지출 한도를 설정하여 무료 도구 사용 비용을 제한함으로써, 무제한적인 AI 사용을 방지합니다.
• 프롬프트 인젝션 방지. 귀하의 입력은 당사의 지침과 분리된 데이터로서 AI 모델에 전달됩니다. 모델의 규칙에 따라 주제를 벗어나거나 유해한 요청은 거부됩니다.
• AI 제공업체. 무료 AI 도구는 유료 티어의 Google Gemini API를 사용하며, 텍스트 도구의 경우 선택에 따라 OpenAI를 사용합니다. 두 업체 모두 모델 학습에 입력 데이터를 사용하지 않습니다. 섹션 5에 설명된 바와 같이, 남용 모니터링을 위해 제한된 기간 동안 API 데이터를 보관할 수 있습니다.

8. 계정 보안#

• 2단계 인증: 인증 앱(TOTP) 코드 및 복구 코드 제공.
• 새 기기 확인: 새로운 기기나 위치에서 로그인할 때 일회용 코드를 이메일로 발송합니다. 신뢰할 수 있는 기기는 주기적으로 재확인합니다.
• 싱글 사인온(SSO):
  • Custom 플랜에서 SAML 2.0 및 OpenID Connect 지원
  • Okta, Microsoft Entra ID, Google Workspace, OneLogin 및 기타 표준 ID 제공업체 지원
  • SSO 보안 정보는 암호화됨
• Google 로그인은 모든 사용자에게 제공됩니다.
• **속도 제한(Rate limiting)**을 통해 로그인, 2단계 인증, 확인 및 API 엔드포인트를 무차별 대입 공격 및 남용으로부터 보호합니다.
• 팀 역할: 소유자(Owner), 관리자(Administrator), 편집자(Editor), 콘텐츠 제작자(Content Creator). 각 역할에 따라 멤버가 확인하고 변경할 수 있는 권한이 제어됩니다.
• 데스크톱 레코더용 API 토큰은 녹화 기능으로 범위가 제한되며 프로필에서 취소할 수 있습니다.

9. 애플리케이션 보안#

• 모든 변경 사항에 대한 코드 리뷰 및 자동화된 테스트 수행.
• CSRF 토큰, 출력 이스케이프, 매개변수화된 데이터베이스 쿼리, 서명된 쿠키 등 일반적인 웹 위험에 대한 프레임워크 보호 조치.
• 업로드된 SVG 파일의 살균(Sanitization) 처리.
• 앱 내에 임베드할 수 있는 사이트를 제한하는 콘텐츠 보안 정책(CSP).
• 모든 수신 웹훅(Lemon Squeezy, HeyGen, Amazon SES)에 대한 서명 확인.
• 소스 제어 외부에서 보안 정보를 관리하며, 최소 권한 서비스 자격 증명 사용.

10. 내부 액세스#

• 프로덕션 환경에 대한 액세스는 필요한 권한을 가진 직원으로 제한됩니다.
• 앱 내 관리 도구는 별도의 관리자 역할이 필요합니다.
• 직원은 귀하가 요청한 지원을 제공하거나, 남용 또는 사고를 조사하거나, 법률이 요구하는 경우에만 고객 콘텐츠를 확인합니다.

11. 로깅 및 모니터링#

• 애플리케이션 및 보안 로그는 문제 해결 및 보안 검토를 위해 약 14~30일간 보관됩니다.
• 높은 오류율, 실패한 작업, 비정상적인 사용 패턴 발생 시 알림을 보냅니다. 일일 비용 보호 장치를 통해 무료 계정의 과도한 사용을 제한합니다.
• 사용량 및 크레딧 측정은 Clevera 내부에 구축되어 있으며, 타사 측정 서비스를 사용하지 않습니다.

12. 사고 대응#

당사는 보안 사고를 분류, 억제 및 해결하기 위한 정의된 프로세스를 따릅니다.

개인정보 유출로 인해 귀하에게 영향이 있는 경우, 법률이 요구하는 바에 따라 지체 없이 해당 고객에게 통지합니다. GDPR에 따라 필요한 경우 72시간 이내에 감독 당국에 통지합니다.

13. 백업 및 연속성#

• Postgres 데이터베이스는 Laravel Forge를 통해 매일 백업됩니다. 각 백업은 압축된 덤프 파일로 클라우드 객체 스토리지에 저장되며, 스토리지 제공업체에 의해 저장 시 암호화되고 7일간 보관됩니다. 오래된 백업은 자동으로 삭제됩니다.
• 당사의 서비스는 소스 제어로부터 재배포가 가능합니다.
• 렌더링, 연구, 생성과 같이 시간이 오래 걸리는 작업은 대기열에 추가되며 실패 시 재시도됩니다.

14. 데이터 보존 및 삭제#

• 귀하의 콘텐츠: 계정이 활성화되어 있는 동안 보관됩니다.
• 휴지통: 휴지통에 있는 항목은 7일 후 영구 삭제됩니다.
• 사용되지 않은 녹화물: 동영상에 사용되지 않은 녹화물은 15일 후 삭제됩니다.
• 계정 삭제는 즉시 시작됩니다. 이 과정에서 다음이 수행됩니다:
  • 구독 취소
  • 토큰 및 저장된 로그인 정보 취소
  • 소유한 팀의 녹화물, 동영상 및 파일을 잠시 후 영구 삭제
• 백업은 보존 일정에 따라 만료됩니다.

자세한 내용은 개인정보 처리방침에서 확인하실 수 있습니다.

15. 규정 준수#

• GDPR, UK GDPR 및 KVKK. 당사는 계정, 결제 및 웹사이트 데이터의 관리자(Controller)입니다. 귀하의 콘텐츠에 대해서는 데이터 처리 부속서(DPA)에 따라 처리자(Processor) 역할을 수행합니다. 국제 데이터 이전은 표준 계약 조항(SCC), 영국 부속서 또는 KVKK 표준 계약을 필요에 따라 사용합니다.
• CPRA. 당사는 개인정보를 판매하거나 공유하지 않으며, 문맥 기반 행동 광고를 수행하지 않습니다.
• SOC 2 / ISO 27001. SOC 2 감사가 진행 중이며 2027년에 완료될 예정입니다. 2027년에 ISO 27001 인증을 획득할 계획입니다.
• DPA: team@clevera.ai에서 요청 시 제공됩니다.

16. 하위 처리자#

데이터 범주 및 위치를 포함한 전체 목록은 개인정보 처리방침에서 확인하실 수 있습니다. DPA에 명시된 바와 같이 중요한 변경 사항이 있을 경우 고객에게 통지합니다.

17. 취약점 공개#

보안 문제를 발견했다고 생각되시면 세부 정보와 재현 단계를 team@clevera.ai으로 이메일 보내주시기 바랍니다.

다음 사항을 준수해 주세요:

• 본인 계정으로만 테스트할 것
• 타인의 데이터에 접근하거나 변경하지 말 것
• 서비스 성능을 저하시키지 말 것
• 자동화된 대량 스캔을 피할 것
• 공개하기 전에 문제를 해결할 수 있는 충분한 시간을 제공할 것

귀하의 보고를 확인하고 진행 상황을 업데이트해 드리며, 원하실 경우 크레딧을 제공합니다. 본 가이드라인을 준수하는 선의의 연구에 대해서는 법적 조치를 취하지 않습니다.

18. 연락처#

보안 및 신뢰: team@clevera.ai
Clevera Teknoloji AŞ, Yenişehir Mah. Kardeşler Cad. 7/2, Sivas, Türkiye