보안

QA Note는 고객 데이터 보호를 최우선으로 합니다. 엔터프라이즈급 보안 체계를 갖추고 있으며, GDPR 기준을 준수합니다.

• 개인정보보호법(PIPA) 2025: 주요 조항 준수
• GDPR: EU 일반 데이터 보호 규정 기준 준수
• 정보통신망법: 통신 비밀 보호, 스팸 방지
• 클라우드컴퓨팅법: 이용자 데이터 보호 및 이전 지원
• 개인정보처리방침 공개
• 쿠키 동의 관리

• 전송 중: TLS 1.2+ (HTTPS 강제)
• 저장 시: AES-256-GCM 암호화
• 비밀번호: argon2id 해싱
• 토큰: 암호화 저장

• 호스팅: Vercel (AWS 기반, SOC 2 인증)
• 데이터베이스: Supabase (AWS, SOC 2 인증)
• 파일 저장: Cloudflare R2 (엔터프라이즈급 보안)

모든 인프라 제공업체는 업계 표준 보안 인증을 보유하고 있습니다.

• RBAC (역할 기반 접근 제어): 조직(Owner, Admin, Member) · 프로젝트(Admin, Member, Viewer)
• 최소 권한 원칙 적용
• 프로젝트별 독립적 권한 관리
• 초대 기반 멤버 추가

• 고객 데이터는 전적으로 고객의 소유
• 데이터를 판매하거나 제3자와 공유하지 않음
• 계정 삭제 시 30일 유예 후 모든 데이터 완전 삭제 (R2 파일 포함)

• 네트워크 요청에서 민감 정보 자동 필터링
• 인증 헤더, API 키, 토큰, 세션 ID 등 자동 마스킹
• URL 쿼리 파라미터 및 요청/응답 본문의 민감 필드 제거

• Supabase 자동 백업 (Point-in-Time Recovery)
• 다중 가용 영역 복제
• 데이터 보관 정책에 따른 자동 정리

• 보안 감사 로그 기록 (로그인 실패, 권한 변경, 계정 삭제 등)
• 위험 이벤트 발생 시 보안 알림 발송

• OAuth 2.0 표준 (GitHub, Google)
• Slack 연동: OAuth V2 인증
• API: Rate Limiting 적용
• CORS 정책 강화

• 결제 처리: PortOne (PCI DSS Level 1 인증)
• 카드 정보를 직접 저장하지 않음
• 모든 결제 통신 암호화

• 학습 금지: 사용자 데이터를 자체 또는 제3자 AI 모델 학습에 사용하지 않습니다
• 최소 전송: AI 기능 사용 시 필요한 최소한의 메타데이터만 전송
• 즉시 삭제: 처리 완료 후 전송 데이터 즉시 삭제

보안 취약점을 발견하신 경우 security@qanote.app으로 알려주세요. 책임 있는 공개(Responsible Disclosure)를 지원합니다. 보고된 취약점은 우선적으로 처리됩니다.