보안 안내

1. 로그인

• 비밀번호는 사람마다 다른 16바이트 솔트와 scrypt 방식(n=2¹⁴, r=8, p=1)으로 되돌릴 수 없는 값으로 저장합니다. 저희도 원래 비밀번호를 볼 수 없습니다.
• 로그인 세션과 초대 주소의 원문은 저장하지 않고, SHA-256으로 만든 확인용 값만 저장합니다.
• 같은 아이디에서 비밀번호와 2단계 인증 숫자를 합해 5번 틀리면 그 아이디의 로그인을 15분 동안 잠급니다.
• 로그인 세션은 14일 뒤 끝나며, 한 사람이 동시에 유지할 수 있는 세션은 5개까지입니다.
• 2단계 인증은 RFC 6238(SHA-1 기반 TOTP) 방식으로, 구글 OTP·Microsoft Authenticator 같은 휴대폰 앱에서 30초마다 바뀌는 6자리 숫자를 씁니다. 앞뒤 한 구간까지 받아 주고, 이미 쓴 시간 구간의 숫자는 다시 쓸 수 없습니다. 비밀번호 확인 뒤 5분 안에, 5번 안에 넣어야 합니다.
• 계정 주인은 모든 사람에게 2단계 인증을 요구할 수 있습니다. 켜면 2단계 인증을 설정하지 않은 사람은 보안 설정 화면만 쓸 수 있고, 설정을 마칠 때까지 다른 화면에 들어갈 수 없습니다.
• 구글로 로그인할 때는 딜시그널의 2단계 인증 숫자를 묻지 않고, 구글 계정의 보안(구글 2단계 인증 등)을 따릅니다.

2. 사람마다 권한 나누기

• 계정 주인: 결제와 모든 설정.
• 관리자: 질문·설정 바꾸기.
• 보기만: 결과만 봅니다.
• 고객: 대행사가 초대한 고객사 사람. 정해진 가게 하나의 결과만 봅니다.

권한 밖의 바꾸기 요청은 서버가 막고, 막힌 시도도 활동 기록에 남깁니다.

3. 활동 기록

로그인 성공과 실패, 초대 수락, 화면에서 보낸 바꾸기 요청, 막힌 시도, 자료 내려받기, 2단계 인증을 켜고 끈 것을 남깁니다. 기록은 365일 동안 보관합니다. 손님은 설정 화면에서 최근 90일 치를 보고 200,000건까지 CSV로 내려받을 수 있습니다. 비밀번호와 입력한 글은 기록하지 않습니다.

4. 주고받는 길

• 사이트와 주고받는 내용은 HTTPS로 암호화됩니다.
• 로그인 쿠키는 자바스크립트가 읽을 수 없고(HttpOnly), 암호화된 연결에서만 보내며(Secure), 다른 사이트에서 보낸 요청에는 붙지 않게 했습니다(SameSite=Lax).
• 바꾸는 요청마다 위조 방지 값(CSRF)을 확인합니다.
• 다른 사이트가 이 화면을 틀 안에 몰래 넣지 못하게 막습니다(X-Frame-Options).

5. 자료가 있는 곳

서버는 The Constant Company(Vultr)의 일본 서버입니다. 측정을 위해 질문 글과 가게 정보를 보내는 회사는 개인정보 처리방침에 적었습니다. 아이디·비밀번호·문의 글은 보내지 않습니다.

카드 번호는 토스페이먼츠 결제창에서 받고, 저희 서버에는 오지 않습니다.

6. 백업

서버 안 백업은 14일 동안 둡니다. 서버 밖에는 최근 백업 30개와 달마다 1개씩 12개월치를 둡니다. 서버 밖으로는 암호화된 연결(SSH)로 옮기고, 백업마다 SHA-256 값을 같이 두어 망가졌는지 확인합니다. 백업을 실제로 되살려 보는 훈련을 하고, 35일 넘게 하지 않으면 운영자에게 알림이 갑니다.

7. 아직 없는 것

• 외부 보안 인증: ISMS·SOC 2 인증은 없습니다.
• 회사 계정 통합 로그인(SSO): 지원하지 않습니다. 지금은 아이디·비밀번호 로그인과 구글 로그인만 됩니다.
• 백업 파일 자체의 암호화: 하지 않습니다.

8. 보안 문제 알리기

보안 문제를 발견하시면 도움말 화면의 문의 칸으로 알려 주세요.

9. 사업자 정보

상호

진86

대표자

김형진

사업자등록번호

693-14-02388

통신판매업 신고번호

제 2026-서울강동-1328 호

주소

서울특별시 강동구 천호대로 1024, b동 22층 06호

전화

0502-1923-4523

메일

dealsignalkr@gmail.com