개인정보 처리방침

버전 2026-10-22-ko · 시행일 2026-10-22

처리하는 것

TokenMeter가 처리하는 것은 사용량 메타데이터입니다 — 요청 뒤에 있는 계정·기기· 팀·도구·모델, 토큰 수, 시각, 비용, 검증 상태. 본인이 따로 동의하면, 자기 기기에 있는 프로젝트가 어떻게 구성되어 있는지를 나타내는 개수도 처리합니다 — 개수만이며, 아래 '기기'에서 설명합니다. 이와 별개로, 로그인했다는 사실을 기록하고, 열려 있는 각 세션의 기록을 보관하며, 문의하실 때 적어 보내신 내용을 보관합니다 — 각각 아래 '보관'에서 설명합니다. 기기 내 사용 분류를 위해 사람이 직접 입력한 메시지 내용도 읽습니다. 외부 콘텐츠 분류를 켜면 메시지 내용이 저희 게이트웨이를 거쳐 워크스페이스(콘솔에서는 '조직'으로 표시됩니다)가 선택한 모델 제공사로 전송됩니다 — 아래 '기기'에서 설명합니다.

로그인

누군가 로그인하거나, 로그인을 시도했다가 실패하면 저희는 그 시각, 입력된 주소, 요청이 들어온 인터넷 주소, 그리고 브라우저가 스스로 밝히는 설명을 기록합니다. 입력된 주소는 읽을 수 있는 형태로 저장하지 않습니다: 저희는 어떤 주소가 보관된 것과 일치하는지 확인할 수 있을 뿐, 보관된 것에서 주소를 되읽어 낼 수는 없습니다. 이것은 기록을 읽기 어렵게 만드는 것이지 익명으로 만드는 것이 아닙니다 — 인터넷 주소와 브라우저 설명과 시각은 기록된 그대로 남습니다. 이 기록은 잠긴 계정을 조사하고 로그인 화면에 대한 침입 시도를 확인하기 위한 것이며, 그 밖의 용도는 없습니다: 분석에도 쓰지 않고, 마케팅에도 쓰지 않으며, 누구의 계정 기록에도 붙이지 않습니다. 입력된 주소가 이곳의 계정에 해당하는지와 무관하게 기록합니다 — 누군가 잘못 입력한 주소도 실제로 존재하는 주소와 똑같이 기록됩니다.

로그인해 있는 동안, 각 세션에는 그 세션이 열린 인터넷 주소와 브라우저 설명이 함께 남습니다. 본인이 자기 세션을 알아보고, 본인의 것이 아닌 세션을 종료할 수 있도록 하기 위해서입니다. 설정 › 내 계정 › 로그인 보안 (로그인된 세션)에서 보실 수 있습니다.

누구의 데이터인가

구성원의 사용 데이터에 대한 관리 주체는 워크스페이스이며, 저희는 워크스페이스의 지시에 따라 처리합니다. 워크스페이스는 자기 구성원의 데이터를 처리하는 법적 근거를 스스로 기록하며, 저희가 그 근거를 대신 정하지 않습니다.

로그인 기록은 다릅니다. 이 기록은 어느 워크스페이스의 것도 아니라 저희가 저희를 위해 보유하며, 그 관리 주체는 저희입니다 — 이곳에 계정이 없는 주소, 그리고 이곳에 계정을 가진 적이 없는 사람에 대해서도 마찬가지입니다. 법적 근거는 로그인 화면을 안전하게 지키는 데 대한 저희 자신의 정당한 이익(GDPR 제6조 제1항 (f)호)이며, 저희는 그 이익을 기록되는 사람들의 이익과 견주어 보았고 요청하시면 그 판단 과정을 보여 드립니다. 이 제품에서 선택의 주체가 워크스페이스가 아니라 저희인 유일한 항목이며, 그래서 이 방침의 다른 곳에서 안내하는 '워크스페이스 관리자를 통한 경로'가 이 항목에는 적용되지 않습니다.

데이터가 있는 곳

호스팅 서비스는 서울 리전(ap-northeast-2)에서 저희가 운영하는 인프라에서 동작합니다. 각 워크스페이스의 데이터는 애플리케이션 코드가 아니라 데이터베이스가 강제하는 방식으로 다른 모든 워크스페이스와 격리됩니다. 로그인 기록과 저희에게 보내신 문의 내용은 어느 워크스페이스의 것이 아니라 저희의 것이므로 그 격리 밖에 있습니다. 워크스페이스 관리자는 이 둘을 보지 못합니다. 기기 내 분석은 해당 기기 안에서 실행됩니다. 외부 콘텐츠 분류에서는 메시지 내용이 저희 애플리케이션 서버와 콘텐츠 분류 중계 경로, 서울 AWS 리전(ap-northeast-2)에서 저희가 워크스페이스를 위해 운영하는 LiteLLM 게이트웨이를 거쳐 워크스페이스가 선택한 모델 제공사로 전송됩니다. 중계 경로와 게이트웨이는 메시지 내용을 로그에 남기지 않도록 설정합니다. 이 설정이 모델 제공사의 보관 정책을 보증하지는 않습니다.

기기

기기의 등록·승인과 데이터 종류별 선택은 별개입니다. 승인된 기기는 요청별 사용 기록과 아래에 설명한 계정 식별 정보를 보냅니다. 관리자 또는 워크스페이스의 자동 승인 설정이 기기를 승인합니다. 이 두 가지는 설정 › 내 계정 › 내 수집에서 끌 수 없으며, 기기 승인이 철회되거나 기기가 제거되면 중단됩니다. 구성원에게는 기기 메타데이터, 기기 내 콘텐츠 분류, 브라우저 수집과 외부 콘텐츠 분류가 워크스페이스 기본값으로 부여되며 본인이 직접 동의한 행위로 기록되지 않습니다. 기존 개인 ON·OFF와 미래 시점의 결정은 보존합니다. 외부 분류의 누락된 허용은 새 적용 시각으로 기록하며 과거에 소급하지 않습니다. 프로젝트 구성 점검과 제공사 한도 수집은 기본 꺼짐을 유지합니다. 아래에 종류마다 기기에서 무엇을 읽고 무엇을 저희에게 보내는지를 적었습니다. 각 항목은 콘솔의 설정 › 내 계정 › 내 수집에서 변경할 수 있습니다. 기기 항목의 변경은 다음 동의 확인·수집 주기에 반영됩니다.

워크스페이스의 기능 설정만으로 수집이 시작되지는 않습니다. 개인 경로에는 기록된 기본 허용 또는 본인의 선택이 필요합니다. 일부 항목은 별도 조직 수집 정책에 따라 허용될 수 있으며 자체 사전 안내·기기 확인·범위 조건을 충족해야 합니다. 이들은 서로 다른 허용 근거이며 조직 정책이 본인의 동의 행위를 대신 기록하지는 않습니다.

기기 · 메타데이터

기기에서 읽는 것: AI 도구가 스스로 남기는 세션 기록 — 세션이 언제 실행됐는지, 어떤 도구와 모델을 썼는지, 토큰 수. 보내는 것: 그 토큰 수를 일·도구·모델별로 합친 값과 시각, 그리고 하루 단위 수치 둘 — 세션이 몇 번 실행됐는지, 그리고 모델이 읽은 토큰 가운데 얼마가 서브에이전트(도구가 작업의 일부를 맡기려고 띄우는 보조 에이전트)의 몫이었는지. 콘솔은 이것으로 그 비율을 보여줍니다. 둘 다 개수입니다. 이 메타데이터 읽기는 대화 내용을 추출하지 않습니다. 아래의 별도 콘텐츠 분류 읽기에서는 내용을 읽습니다.

기기 · 콘텐츠 분류

기기 내 콘텐츠 분류에서는 에이전트가 Claude Code와 Codex 세션 로그에서 사람이 직접 입력한 메시지 내용을 메모리로 읽어 업무·비업무·모호함으로 분류하고 자격 증명 패턴에 일치하는 횟수를 셉니다. 에이전트는 그 메시지 원문을 디스크에 쓰지 않습니다. 이 기기 내 경로에서는 메시지 원문 대신 하루 단위 토큰 합계와 개수를 보냅니다.

외부 콘텐츠 분류의 기본 정책은 켜짐입니다. 실제 시각이 기록된 허용 또는 별도 조직 정책의 적용 조건이 필요하며, 허용 기록이 없는 상태를 허용으로 보지 않습니다. 기존에 끈 개인 설정은 유지합니다. 조직의 콘텐츠 분류 기능과 모델 연결이 준비되고 기기 내 콘텐츠 분류도 허용되어야 합니다. 호환 에이전트는 입력별 적용 기간을 확인하고 알려진 민감 패턴을 검사한 뒤 최신 사용자 발화의 앞 최대 2,000자만 전송하며, 패턴이 탐지된 발화는 전송하지 않습니다. 메시지는 저희 애플리케이션 서버와 분류 중계 경로, 운영하는 LiteLLM 게이트웨이를 거쳐 조직이 선택한 모델 제공사로 전달됩니다. 중계 경로와 게이트웨이는 메시지 내용을 로그에 남기지 않도록 설정하지만 제공사의 원문 보존 정책을 보증하지 않습니다. 위반 범주별 개수와 일치한 값의 앞 네 글자·뒤 두 글자까지만 남기는 마스킹된 발견 항목을 하루·도구·범주별 최대 12개 저장합니다. 조직 기능을 이용할 수 없는 상태에서도 개인 허용을 철회할 수 있습니다. 기존 기록과 동의 이력은 별도 삭제 절차를 따릅니다.

기기 · 계정 식별

macOS·Linux·Windows에서 에이전트는 Claude Code 계정 파일의 계정 영역을 읽고 여섯 필드를 보냅니다: 계정 이메일, 제공사의 조직 식별자, 제공사의 조직 유형, 제공사의 조직 사용 한도 등급, 구독 생성 시각, 좌석 등급. Codex에서는 로컬 신원 파일의 검증된 신원 정보를 읽어 계정 이메일, 제공사의 기본 조직, 플랜 유형을 보내며, 세션 로그의 플랜 유형도 읽습니다. 이 계정 식별 경로는 ID 토큰·액세스 토큰·갱신 토큰을 저희에게 보내지 않습니다. 이 계정 식별 읽기는 종류별 선택이 아니라 기기 승인에 따라 실행됩니다.

브라우저 수집

macOS·Windows에서 브라우저 수집은 claude.ai, chatgpt.com, gemini.google.com에 해당하는 Chromium 로컬 저장소의 계정 식별 필드와 방문 기록을 읽습니다. 로컬 계정 읽기에서는 이메일, 제공사의 조직, 계정 식별자, 플랜, 사용 한도 정보를 추출합니다. 브라우저 활동 경로에서 보내는 것은 제공사 사이트, 계정 이메일, 방문·대화 횟수 합계, 일별 횟수, 시간대별 횟수, 마지막 방문 시각입니다. 페이지 제목, 대화 본문, 전체 URL은 보내지 않습니다. 이 수집에는 기기 수집 승인과 본인의 브라우저 수집 선택이 필요하며, 관리되는 기기로 확인되거나 관리 상태를 확인할 수 없는 기기는 건너뜁니다.

기기 · 제공사 한도

기본 꺼짐인 Codex 한도 수집은 macOS·Linux·Windows에서 현재 로그인한 사용자의 로컬 Codex 신원·액세스 자격 증명을 읽고 신원을 검증하며, 액세스 토큰은 정해진 OpenAI(chatgpt.com) HTTPS 주소에 사용량을 요청할 때만 사용합니다. 저희에게는 수집 상태와 관측 시각이 전송되며, 관측에 성공하면 계정·사용자 식별값, 사용률, 한도 시간 구간과 초기화 정보도 전송됩니다. 서버는 제공사 사용자 식별값을 워크스페이스별 해시로 저장합니다. ID 토큰·액세스 토큰·갱신 토큰과 제공사 응답 본문은 저희에게 보내지 않습니다.

게이트웨이 · 요청 분석

게이트웨이 요청 분석은 현재 제공되지 않습니다. 워크스페이스 기본값으로 허용이 기록되어 있을 수 있지만, 허용 기록이 분석 실행을 의미하지는 않습니다. 기존 허용 기록은 유지되며 철회할 수 있습니다. 새 철회는 즉시 효력이 발생하도록 기록하며, 과거 기록의 효력 시각은 변경하지 않습니다. 이와 별개로, 이미 게이트웨이를 통과하는 요청의 사용량·비용 보고를 위해 사용 기록에서 요청 식별자, 계정 또는 키 참조값, 모델 식별자, 시각, 토큰 수를 수집합니다. 이 수집이 요청 분석이나 기기 메시지의 외부 콘텐츠 분류를 활성화하지는 않습니다.

내 프로젝트 구성 방식

기본 꺼짐 — 본인이 켜기 전에는 여기 적힌 어떤 것도 읽지 않습니다. 켜면 기기는 세션이 실행된 프로젝트 폴더가 어떻게 구성되어 있는지를 봅니다. 그것도 각 폴더 안의 정해진 두 곳 — 문서 폴더(docs)와 스킬 폴더(.claude/skills) — 안쪽만, 구조만 봅니다: 폴더나 파일이 있는지, 파일이 몇 개인지, 문서가 종류를 적은 메타데이터 블록으로 시작하는지, 그리고 스킬 진입 파일(SKILL.md) 앞부분(최대 4 KiB)에 verdict: 또는 triage:로 시작하는 줄이 있는지 — 그 줄 뒤의 값도, 파일의 다른 내용도 읽지 않습니다. 문서에 무엇이 쓰였는지는 읽지 않고, 메타데이터의 값도 읽지 않습니다. 살펴본 프로젝트 가운데 하나만 보고합니다 — 셀 것이 있었던 프로젝트 중 가장 최근에 작업한 곳입니다.

보내는 것은 체크마다 다음뿐입니다: 체크의 이름과 개정 번호, 판정(적용됨·일부 적용·미적용·판정 불가), 통과한 항목 수와 살펴본 항목 수, 셀 것이 있었던 프로젝트 수, 아래 한도 안에서 읽지 못해 제외한 파일 수, 판정하지 못했을 때 그 이유, 그리고 이 결과가 관측되기 시작한 날짜. 모두 정해진 목록의 단어이거나 숫자입니다. 경로도, 폴더·파일 이름도, 파일 내용도, 오류 메시지도 기기를 떠나지 않습니다.

살펴보는 범위에는 한도가 있고, 한도에 걸리면 결과는 '판정 불가'이지 부분 수치가 아닙니다: 한 번에 프로젝트 폴더 최대 256개(최근 작업 순), 위 두 곳 아래로 최대 64단계, 프로젝트당 최대 2,000개 항목, 파일 하나에서 최대 4 KiB, 그리고 한 번의 검사에 최대 10초 — 매 단계마다 확인합니다.

기기 결과를 누가 보는가

본인은 콘솔의 사용량 › 권장 사항에서 보기 기준을 '내 기기'로 두고 자기 기기의 결과를 봅니다. 워크스페이스 관리자와, 자기 그룹 구성원에 대해서는 그룹 리더가 보기 기준 '조직'에서 같은 결과를 기기별로 봅니다 — 순위도 점수도 없습니다. 위에서 설명한 워크스페이스 기본 동의는 본인의 개별 행위 없이 기록되며, 본인은 각 항목을 끌 수 있습니다.

문의를 보내실 때

콘솔에서 질문이나 문제를 보내시면, 적어 보내신 내용을 주소 및 계정에 등록된 이름과 함께 보관하며, 답변을 위해 저희 직원이 읽습니다. 저희가 가져도 되는 내용만 적어 주십시오 — 입력란은 자유 서술이며 저희가 그 안에 무엇이 들어가는지 미리 검사하지 않습니다.

info@token-monitor.com으로 보내신 메일은 Gmail로 전달되어 Google Workspace/Gmail에서 처리됩니다. 메일은 서울의 AWS에서 수신하며, 사본은 그곳에 30일 동안 보관한 뒤 삭제합니다.

정보주체의 권리

열람·삭제·이동·정정을 요청할 수 있으며, 제품은 네 가지를 모두 구현하고 있습니다. 삭제는 본인을 식별하는 데이터를 제거하거나 가명처리하면서 워크스페이스에 필요한 재무 기록은 남깁니다 — 신원은 그 기록에서 끊어지고, 그러지 않으면 워크스페이스의 지출을 잘못 말하게 될 수치는 보존됩니다. 삭제는 본인 소유였던 모든 기기의 위 하루 단위 수치와 체크 결과도 함께 지웁니다. 요청은 소속 워크스페이스 관리자를 통해 접수합니다.

이곳에 워크스페이스가 없으시다면 — 본인의 주소가 로그인 시도에만 남아 있는 경우입니다 — 요청을 접수해 줄 관리자가 없으므로 info@token-monitor.com으로 연락해 주십시오. 입력됐던 주소를 알려 주시면 저희가 그 주소로 검색하여, 그 주소에 대해 보관 중인 것이 있으면 무엇인지, 없으면 없다고 알려 드리고, 원하시면 삭제합니다. 저희는 이곳에 계정이 없는 주소에 대한 시도도 계정이 있는 주소와 똑같이 기록하므로, 어떤 주소에 대한 답변은 그 주소로 된 계정이 있는지에 대해서는 아무것도 말해 주지 않습니다. 이 요청은 콘솔이 아니라 사람이 직접 처리합니다. 콘솔의 요청 화면은 워크스페이스에 속한 것이고, 그 경우 본인은 어느 워크스페이스에도 속해 있지 않기 때문입니다.

보관

사용 데이터는 워크스페이스가 존재하는 동안 보관됩니다. 다만 제공사 한도 관측값과 한도 도달 기록은 90일이 지난 뒤 다음 정기 삭제 작업이 성공하면 삭제됩니다. 워크스페이스를 닫으면 접근이 종료되고 수집이 중단됩니다. 닫을 때 이미 수집된 사용 기록을 어떻게 할지 선택합니다 — 닫으면서 함께 삭제하거나, 남겨 둡니다. 남기면 그 기록은 저희가 삭제할 때까지 유지됩니다. 계정 기록 자체도 삭제 시점까지 유지됩니다.

로그인 기록은 정해진 주기로 삭제되며 90일을 넘겨 보관하지 않습니다. 이 기간은 워크스페이스를 닫아도 달라지지 않습니다. 이 기록은 워크스페이스가 닫을 수 있는 것이 아니기 때문입니다. 위에서 설명한 세션 기록은 계정이 존재하는 동안 유지되며, 본인이 언제든 직접 종료할 수 있습니다. 콘솔 문의에는 180일 기준의 정기 삭제가 적용됩니다. 콘솔 문의는 저희가 문의 추적에 사용하는 Linear에도 복사되며, 이 사본에도 같은 180일 기준의 정기 삭제가 적용되며, Linear는 삭제된 사본을 최대 30일 동안 휴지통에 보관한 뒤 영구 삭제합니다. 이 삭제 작업은 Gmail로 전달된 메일을 삭제하지 않습니다.

문의

info@token-monitor.com으로 연락하시거나, 소속 워크스페이스 관리자를 통해 문의하실 수 있습니다. 이곳에 워크스페이스가 없으시다면 그 주소가 유일한 경로이며, 그것으로 충분합니다.