수집하는 정보

1-1. 앱 내에서 생성한 데이터

루틴 정보, 완료 기록, 컨디션 로그, 일기 등 사용자가 직접 입력하는 모든 데이터는 기기 내부(SQLite)에만 저장됩니다. 별도의 서버로 전송되지 않습니다.

홈 화면 위젯을 추가하시면 루틴·완료·컨디션·스트릭 요약이 기기 내 앱 그룹 저장소(group.com.orvenstudio.sprig)를 통해 위젯에 표시됩니다. 이 데이터는 네트워크로 전송되지 않고 기기 안에만 머뭅니다.

1-2. 자동 수집 데이터 (필수)

모든 알림(루틴 리마인더, 동행·응원 알림 포함)은 기기에서 로컬로 예약되며, 서버 푸시(원격 알림)는 사용하지 않습니다.

1-3. 프리미엄 기능 사용 시 (선택)

* 프리미엄 기능은 현재 준비 중이며, 활성화 전에 별도로 안내드립니다.

1-4. 자동수집장치(광고식별자)

Firebase Analytics는 Android에서 앱 사용 분석을 위해 기기의 광고 식별자(AAID)를 이용할 수 있습니다. 이용자는 언제든지 기기 설정에서 광고 식별자를 재설정하거나 광고 개인화를 거부할 수 있습니다. iOS에서는 광고 식별자(IDFA)를 사용하지 않으며, 앱이 추적(App Tracking Transparency) 대상이 아닙니다(개인정보 매니페스트상 추적 안 함, NSPrivacyTracking=false).

• Android — 설정 → 개인정보 보호 → 광고 → "광고 ID 삭제" 또는 "맞춤 광고 선택 해제"
• iOS — Sprig은 IDFA를 수집하지 않으므로 별도의 추적 거부 설정이 필요하지 않습니다.

1-5. 기기 권한 — 사진 라이브러리

통계 카드를 이미지로 저장할 때만 기기의 사진 라이브러리 접근 권한을 요청합니다. 저장된 이미지는 기기에만 저장되며 외부로 전송되지 않습니다.

정보 이용 목적

운영자는 아래 목적을 위해 이용자의 정보를 처리합니다. EEA / 영국 이용자를 위해 각 목적의 GDPR 법적 근거를 함께 표기합니다.

처리위탁 · 국외이전 · 제3자 제공

3-1. 개인정보 처리위탁

운영자는 서비스 제공을 위해 아래와 같이 개인정보 처리업무를 위탁하고 있으며, 「개인정보 보호법」 제26조에 따라 수탁자가 개인정보를 안전하게 처리하도록 관리·감독합니다.

3-2. 개인정보 국외이전

처리위탁에 따라 이용자의 개인정보 일부가 아래와 같이 국외로 이전됩니다. 이전에 동의하지 않으실 경우 해당 기능을 이용하실 수 없습니다.

3-3. 제3자 제공

운영자는 위 처리위탁 이외에 이용자의 개인정보를 제3자에게 제공하지 않습니다. 법령에 의한 요청이 있는 경우를 제외합니다.

3-4. 관련 서비스의 개인정보 처리방침 링크

데이터 보관 및 보안

보관 기간

기기 내 데이터(루틴, 컨디션, 일기)는 사용자가 앱을 삭제하거나 직접 삭제할 때까지 보관됩니다. Firebase 분석 데이터는 Google 정책(기본 14개월)에 따라 보관됩니다.

보안 조치

• 클라우드 백업 데이터는 업로드 전에 AES-256으로 암호화되어 Google Drive(Android) 또는 iCloud(iOS)에 저장됩니다
• 인증 토큰은 기기의 보안 저장소(Keychain / Keystore)에 보관됩니다
• 서버로 전송되는 데이터는 HTTPS(TLS)로 암호화됩니다

데이터 삭제

기기에서 앱을 삭제하면 기기에 저장된 모든 로컬 데이터(루틴·완료 기록·컨디션·일기)가 함께 삭제됩니다. 현재 앱 내에는 "전체 데이터 삭제" 메뉴가 없으며, 개별 항목은 각 화면에서 삭제할 수 있습니다(설정 → 데이터에서는 백업/복원만 제공). Firebase 분석 데이터 삭제를 원하실 경우 아래 이메일로 문의해 주세요.

이용자의 권리

개인정보 보호법 및 GDPR에 따라 이용자는 다음 권리를 갖습니다.

• 열람권 — 수집된 개인정보 확인 요청
• 정정권 — 부정확한 정보 수정 요청
• 삭제권 — 개인정보 삭제 요청 (잊힐 권리)
• 처리 제한권 — 특정 목적 처리 제한 요청
• 이동권 — 앱의 데이터 내보내기(JSON) 기능으로 직접 이용 가능
• 이의 제기권 — 처리 방식에 대한 이의 제기

아동 개인정보 보호

Sprig은 「개인정보 보호법」 제22조의2에 따라 만 14세 미만 아동을 대상으로 서비스를 제공하지 않습니다. (COPPA가 적용되는 지역에서는 만 13세 미만이 기준입니다.)

앱 내에 별도의 연령 확인 절차는 두고 있지 않으며, 만 14세 미만 아동이 법정대리인의 동의 없이 개인정보를 제공한 사실을 인지하는 경우 해당 정보를 즉시 삭제합니다. 보호자께서 이러한 사실을 발견하신 경우 아래 이메일로 연락해 주시기 바랍니다.

방침 변경 안내

본 방침을 변경할 경우, 변경 사항을 이 페이지에 게시하고 앱 내 알림 또는 업데이트 노트를 통해 안내드립니다. 중요한 변경이 있을 경우 시행 30일 전에 별도로 안내합니다.

변경 후 앱을 계속 사용하면 개정된 방침에 동의한 것으로 간주합니다. 다만 수집 항목·이용 목적·보유 기간의 확대, 제3자 제공, 국외이전 대상의 추가 등 이용자의 권리에 중대한 영향을 미치는 변경에 대해서는 앱 내 별도 동의 절차를 통해 명시적 동의를 받습니다.

문의 및 구제 방법

개인정보보호책임자

추가 권리구제 경로

본 서비스의 조치가 충분하지 않다고 판단되시는 경우, 아래 기관에 피해 구제 또는 분쟁 조정을 신청하실 수 있습니다.

• 개인정보 분쟁조정위원회 — 1833-6972, www.kopico.go.kr
• 개인정보침해 신고센터 (KISA) — 118, privacy.kisa.or.kr
• 대검찰청 사이버범죄수사과 — 1301, www.spo.go.kr
• 경찰청 사이버수사국 — 182, ecrm.police.go.kr

Information We Collect

1-1. User-Created Data

All data you enter — routines, completion logs, condition scores, and diary entries — is stored locally on your device (SQLite) and never transmitted to any server.

If you add the home-screen widget, a summary of your routines, completions, condition, and streak is shared with the widget through an on-device app group container (group.com.orvenstudio.sprig). This data never leaves your device.

1-2. Automatically Collected Data

All notifications — routine reminders and companion/engagement nudges — are scheduled locally on your device. Sprig uses no server push (remote notifications).

1-3. Premium Features (when applicable)

* Premium features are coming soon. You will be notified before activation.

1-4. Advertising Identifier

On Android, Firebase Analytics may use the device advertising identifier (AAID) for usage analysis. You can reset it or opt out of personalized ads at any time in your device settings. On iOS, Sprig does not use the advertising identifier (IDFA) and is not subject to App Tracking Transparency (our privacy manifest declares no tracking, NSPrivacyTracking=false).

• Android — Settings → Privacy → Ads → "Delete advertising ID" or "Opt out of Ads Personalization"
• iOS — Sprig does not collect the IDFA, so no tracking opt-out is required.

1-5. Device Permission — Photo Library

We request photo-library access only when you save a stats card as an image. The saved image is stored on your device and is never transmitted anywhere.

How We Use Information

We process your data for the purposes below. For users in the EEA / UK, the GDPR legal basis for each purpose is noted.

Third-Party Processors & International Transfers

3-1. Data Processors

We rely on the following third-party processors to operate the app. Each processor is bound by a data processing agreement and processes data only under our instructions.

3-2. International Data Transfers

The processors above operate servers in the United States and other jurisdictions. As a result, personal data we process may be transferred outside your country of residence, including from Korea and the EEA/UK to the United States.

For transfers from Korea, we rely on each processor's published policies and safeguards as required by Article 28-8 of the Personal Information Protection Act. For transfers from the EEA / UK, we rely on the European Commission's Standard Contractual Clauses (SCCs) and applicable adequacy decisions published by Google and Apple, supplemented with technical measures such as encryption in transit and at rest.

You may request a copy of the applicable safeguards by contacting us at the address in Section 8.

3-3. No Third-Party Sale or Sharing

Other than the processors listed above, we do not sell, rent, or share your personal data with any third party, except where required by law.

Data Retention & Security

Retention

Local data (routines, conditions, diary) is retained until you delete the app or clear data manually. Firebase analytics data is retained per Google's policy (default 14 months).

Security

• Cloud backup data is encrypted with AES-256 before upload to Google Drive (Android) or iCloud (iOS)
• Auth tokens are stored in the device's secure enclave (Keychain / Keystore)
• All data transmitted to servers is encrypted via HTTPS (TLS)

Deletion

Deleting the app removes all local data (routines, completion logs, conditions, diary) stored on your device. The app does not currently provide a single "delete all data" menu; individual items can be deleted from their respective screens (Settings → Data offers backup/restore only). To request deletion of Firebase analytics data, contact us by email below.

Your Rights

Under GDPR and applicable laws, you have the right to:

• Access — request a copy of your personal data
• Correction — request corrections to inaccurate data
• Deletion — request erasure of your personal data
• Restriction — request restriction of processing
• Portability — export your data via the built-in JSON export
• Objection — object to how your data is processed

You also have the right to lodge a complaint with your local data protection authority. For Korea: the Personal Information Protection Commission (PIPC) and the Korea Internet & Security Agency (KISA). For the EEA / UK: your national supervisory authority.

Children's Privacy

Sprig is not directed to children. The minimum age depends on the applicable law in the user's region:

• Korea — users under the age of 14 may not use the service without the consent of a legal representative (Personal Information Protection Act, Art. 22-2).
• United States (COPPA) — not directed to children under 13.
• EEA / UK (GDPR) — the age of digital consent varies by member state (13–16). Users below this age must obtain parental consent.

We do not run an in-app age verification step. If we become aware that we have collected personal data from a child under the applicable threshold without valid consent, we will delete it promptly. If you are a parent or guardian and believe your child has provided personal data, please contact us at the email in Section 8.

Changes to This Policy

We may update this policy from time to time. Changes will be posted on this page with an updated effective date. For significant changes, we will notify you in-app or via release notes at least 30 days before they take effect.

Continued use of the app after changes constitutes acceptance of the revised policy. However, for changes that materially affect your rights — including expansion of the categories of data collected, purposes of processing, retention periods, new third-party sharing, or new international transfer recipients — we will obtain your explicit consent through an in-app acceptance flow.

Contact Us

If you believe our handling does not resolve your concern, you may lodge a complaint with your local data protection authority — in Korea, the Personal Information Protection Commission (pipc.go.kr) or the KISA Report Center (118, privacy.kisa.or.kr); in the EEA / UK, your national supervisory authority.