[ 핀치타임 ](이하 "회사")는 개인정보보호법 제30조에 따라 정보주체의 개인정보를 보호하고 이와 관련한 고충을 신속하고 원활하게 처리할 수 있도록 다음과 같이 개인정보 처리방침을 수립·공개합니다.
제1조 (총칙 및 적용 범위)
① 회사는 "Pixel Air(픽셀에어)"라는 명칭으로, AI 안면인식 기술을 활용하여 행사 현장에서 촬영된 사진을 참가자 개인(이하 “참가자” 또는 “정보주체”)에게 자동 분류·전송하는 서비스(이하 "서비스")를 제공합니다.
② 회사는 서비스 운영 과정에서 취급하는 개인정보를 관련 법령 및 본 처리방침에 따라 적법하게 처리하며, 정보주체의 개인정보와 권익을 보호합니다.
③ 회사는 행사 주최사로부터 개인정보 처리 업무를 위탁받아 수행하는 수탁사이며, 본 서비스와 관련한 개인정보처리자는 각 행사 주최사입니다.
④ 본 처리방침은 개인정보보호법 제26조 제8항에 따라 수탁자에게 준용되는 같은 법 제30조에 근거하여, 회사가 수탁사로서 실제 수행하는 개인정보 처리의 내용을 정보주체가 직접 확인할 수 있도록 수립·공개하는 것입니다. 정보주체에 대한 고지·동의 및 권리 행사의 1차적 주체는 각 행사 주최사이며, 그 처리 기준은 주최사의 개인정보 처리방침 및 위탁계약에 따릅니다. 다만 위탁계약에서 정하는 경우, 회사는 주최사를 대행하여 정보주체로부터 동의를 취득할 수 있습니다.
⑤ 본 처리방침은 회사가 운영하는 참가자용 웹 페이지(QR 동의·등록 페이지, 사진 수령 갤러리 페이지) 및 관련 처리 시스템에서 이루어지는 개인정보 처리에 적용됩니다.
제2조 (수집하는 개인정보 항목 및 처리 목적)
① 회사는 행사 주최사로부터 개인정보 처리 업무를 위탁받아 다음의 개인정보를 수집·처리합니다.
일반 개인정보
성명, 이메일 주소, 휴대폰 번호 중 참가자가 선택한 사진 수신 수단에 해당하는 항목, 본인 확인을 위하여 참가자가 직접 등록한 얼굴 사진(이하 “등록 사진”)
민감정보
등록 사진에서 생성한 안면 특징값
사진 파일
행사 현장에서 촬영된 사진 중 사진 매칭 및 참가자 전송을 위하여 회사 시스템에 업로드된 파일(얼굴 이미지 포함)
동의 및 접속 기록
참가자의 개인정보 처리에 대한 동의 기록, 동의 시점에 자동으로 생성되는 IP 주소 및 접속 일시.
웹 접속 정보
참가자용 웹 페이지 접속 시 통신 과정에서 자동으로 전달되는 IP 주소 및 브라우저 정보. 웹 페이지의 보안 및 전송을 위하여 제7조의 수탁사를 통하여 처리되며, 회사는 이를 별도로 저장하지 않습니다.
처리 목적
AI 안면인식 기반 개인별 사진 자동 분류, 베스트 컷 선별(눈감음·흔들림·노출과다 필터링), 본인 사진 전송, 동의 사실의 기록 및 입증, 서비스 이용 관련 문의 응대
② 본 조의 활용 동의는 언제든지 철회할 수 있으며, 철회 요청 시 회사는 해당 사진의 추가 활용을 즉시 중단하고 보유 중인 해당 사진을 파기합니다. 다만 철회 이전에 이미 배포·게시된 자료의 회수는 기술적·물리적으로 불가능할 수 있으며, 이는 정보주체의 철회권을 제한하는 것이 아니라 이미 완료된 배포 행위의 특성에 따른 것입니다.
③ 행사 주최사가 자체적인 홍보·아카이빙 목적으로 행사 사진을 활용하는 것은 개인정보처리자인 행사 주최사의 처리 영역으로서 본 처리방침의 적용 대상이 아니며, 해당 주최사의 개인정보 처리방침 및 참가 안내에 따릅니다.
제7조 (개인정보 처리의 위탁)
① 회사는 서비스 운영을 위하여 다음과 같이 개인정보 처리 업무를 위탁하고 있습니다.
수탁사
위탁 업무
Amazon Web Services (AWS Korea LLC)
AI 사진분류 및 전송
Railsware Products Studio LLC (Mailtrap)
사진 수령 안내 이메일 발송
Cloudflare, Inc.
웹페이지 보안(DDoS 방어 등) 및 안정적이고 빠른 콘텐츠 제공(CDN)
솔라피 주식회사 (SOLAPI)
사진 수령 안내 문자(SMS) 발송
② 회사가 행사 주최사로부터 위탁받은 업무를 제1항의 수탁사에 재위탁하는 경우, 개인정보보호법 제26조 제6항에 따라 주최사의 사전 동의를 받습니다.
③ 위탁 업무의 내용이나 수탁사가 변경될 경우, 회사는 본 처리방침을 통하여 지체 없이 공개합니다.
제8조 (개인정보의 국외 이전)
① 회사는 서비스 제공을 위하여 아래와 같이 개인정보를 국외로 이전하고 있습니다. 본 이전은 개인정보보호법 제28조의8 제1항 제3호에 따라 계약의 이행 및 정보주체 편의 증진을 위하여 필요한 처리위탁에 해당하며, 같은 조 제2항 각 호의 사항을 다음과 같이 공개합니다.
목적 달성 후 지체 없이 파기 (단, 서비스 제공자의 보안 로그 정책에 따라 일정 기간 보관될 수 있음)
이전 거부 방법
본 국외 이전은 웹 서비스의 보안 및 구동을 위한 필수적인 처리 과정이므로, 이전을 원하지 않으실 경우 웹페이지 접속을 종료(서비스 이용 거부)하셔야 합니다.
② 제1항의 Mailtrap에 대한 국외 이전을 거부하시는 경우 이메일을 통한 사진 수령은 불가능합니다. 다만 문자(SMS) 등 국내에서만 처리되는 다른 수신 수단을 선택하실 수 있으며, 이 경우에도 사진 수령 서비스는 정상적으로 이용하실 수 있습니다.
③ 문자(SMS) 발송을 위한 개인정보는 국내 사업자인 솔라피 주식회사를 통하여 국내에서만 처리되며, 국외로 이전되지 않습니다.
④ 안면 특징값 및 사진 파일은 AWS 서울 리전(ap-northeast-2)에서만 처리·보관되며 국외로 이전되지 않습니다.
제9조 (개인정보의 제3자 제공 및 목적 외 이용)
① 회사는 정보주체의 개인정보를 제3자에게 제공하지 않습니다. 다만 다음 각 호 및 제2항의 경우는 예외로 합니다.
1. 정보주체가 사전에 별도로 동의한 경우
2. 법령에 특별한 규정이 있거나, 수사 목적으로 법령에 정해진 절차와 방법에 따라 수사기관의 요구가 있는 등 법령상 의무를 준수하기 위하여 불가피한 경우
② 행사 사진에는 여러 참가자가 함께 담기는 경우가 많습니다. 이에 따라 참가자 본인이 포함된 사진을 전송해 드리는 과정에서, 같은 사진에 다른 참가자의 모습이 함께 담길 수 있습니다. 회사는 이러한 제공에 대하여 제1항 제1호에 따른 정보주체의 사전 동의를 받으며, 해당 사진이 전달되는 경우를 줄이기 위하여 촬영 단계에서 필요한 조치를 하고 있습니다.
③ 이 경우 사진을 제공받는 자는 해당 사진에 함께 촬영된 다른 참가자이고, 제공되는 항목은 행사 현장에서 촬영된 사진 파일 및 그에 포함된 본인의 초상(얼굴 이미지 등 식별 가능한 시각적 정보)이며, 제공 목적은 서비스를 이용하고자 하는 참가자의 사진 전송입니다. 전송이 완료된 뒤에는 사진이 받으신 분의 기기에 저장되므로, 회사가 이를 회수하거나 관리할 수 없습니다.
④ 촬영 자체를 원하지 않는 참가자 또는 본인이 포함된 사진의 전송 제외를 원하는 참가자는 행사 주최사 또는 회사에 요청하실 수 있으며, 회사는 요청을 받은 즉시 해당 사진을 전송 대상에서 제외합니다.
⑤ 회사는 수집한 개인정보를 판매하거나 광고 목적으로 이용하는 등 처리 목적의 범위를 초과하여 이용하지 않습니다.
제10조 (정보주체의 권리·의무 및 행사 방법)
① 정보주체는 다음과 같은 권리를 행사할 수 있습니다.
열람 요구
수집된 개인정보 및 민감정보의 처리 현황과 내용의 확인을 요구할 수 있습니다.
정정·삭제 요구
부정확한 정보의 수정 또는 불필요한 정보의 삭제를 요구할 수 있습니다.
처리 정지 요구
개인정보 처리의 정지를 요구할 수 있습니다.
동의 철회
언제든지 동의를 철회할 수 있으며, 철회 요청 시 회사가 보유 중인 개인정보 및 안면 특징값을 지체 없이 파기합니다. 다만 이미 참가자 본인에게 전송이 완료된 사진은 참가자 본인의 단말기에 전달된 것으로 기술적으로 회수가 불가능합니다. 이는 정보주체의 동의 철회권을 제한하는 것이 아니라, 이미 완료된 전송 행위의 기술적 특성에 따른 것입니다.
접수일로부터 10일 이내 (부득이한 사유가 있는 경우 10일 범위에서 연장하며, 그 사유를 통보합니다)
대리인에 의한 행사
법정대리인 또는 위임을 받은 자를 통하여 행사할 수 있으며, 이 경우 위임 사실을 확인할 수 있는 서류를 제출하여야 합니다.
③ 행사 참가자의 개인정보에 관한 열람·정정·삭제·처리정지 요구는 개인정보처리자인 해당 행사 주최사에도 하실 수 있습니다. 회사에 접수된 요구는 수탁사로서 지체 없이 처리하며, 필요한 경우 행사 주최사에 통보합니다.
④ 정보주체는 관련 법령을 준수하여야 하며, 타인의 개인정보를 침해하거나 허위의 정보를 제공하여서는 안 됩니다.
제11조 (만 14세 미만 아동의 개인정보 처리)
① 회사는 만 14세 미만 아동의 개인정보를 법정대리인의 동의 없이 처리하지 않습니다.
② 회사는 동의 절차에서 참가자가 만 14세 이상인지 또는 법정대리인의 동의를 받았는지를 확인하며, 개인정보처리자인 행사 주최사는 참가 등록 단계에서 참가자의 연령을 확인합니다.
③ 법정대리인의 동의가 확인되지 않은 경우 해당 아동에 대해서는 서비스를 제공하지 않으며, 이미 수집된 정보가 있는 경우 지체 없이 파기합니다.
④ 만 14세 미만 아동의 참가가 예상되는 행사의 경우, 회사는 행사 주최사와 사전에 법정대리인 동의 절차를 협의합니다.
제12조 (개인정보의 안전성 확보 조치)
회사는 개인정보보호법 제29조 및 같은 법 시행령 제30조에 따라 개인정보의 안전성 확보를 위하여 다음의 조치를 취하고 있습니다.
관리적 조치
개인정보 내부관리계획 수립 및 시행, 개인정보취급자 인원 최소화 및 교육
기술적 조치
전송 구간 암호화(TLS 1.2 이상), 저장 데이터의 AES-256 서버 측 암호화, 접근 권한 관리 및 제한
물리적 조치
개인정보가 저장된 업무용 기기 및 저장매체를 안전한 장소에 보관 및 접근 통제
접속기록 관리
개인정보처리시스템의 접속기록을 관련 고시에서 정하는 기간 이상 보관
제13조 (자동 수집 장치의 설치·운영)
① 본 조는 회사가 운영하는 참가자용 웹 페이지(QR 동의·등록 페이지, 사진 수령 갤러리 페이지)에 적용됩니다.
② 회사는 참가자용 웹 페이지에서 이용자의 행태정보를 수집·분석하기 위한 쿠키(cookie) 등 개인정보 자동 수집 장치를 설치·운영하지 않습니다. 다만 웹 페이지 접속 시 통신 과정에서 자동으로 전달되는 IP 주소 및 브라우저 정보는 본 조의 자동 수집 장치에 의한 수집에 해당하지 아니하며, 그 처리에 관한 사항은 제2조 및 제8조에 따릅니다.
③ 다만 참가자가 화면 상단에서 표시 언어를 직접 선택한 경우에 한하여, 해당 설정값을 참가자의 브라우저 저장소(local storage)에 저장합니다. 이 값은 언어 코드(예: ko, en)만을 담고 있어 개인을 식별할 수 없으며, 회사의 서버로 전송되지 않습니다.
④ 제3항의 저장을 원하지 않는 참가자는 브라우저 설정에서 사이트 데이터를 삭제하거나 저장을 차단할 수 있습니다. 이 경우 페이지를 이동할 때마다 언어를 다시 선택하셔야 합니다.
⑤ 향후 자동 수집 장치를 도입하는 경우, 회사는 그 목적·수집 항목 및 거부 방법을 본 처리방침에 반영하여 사전에 공개합니다.
제14조 (사업자 정보 및 개인정보 보호책임자)
① 본 처리방침상 개인정보 처리에 관한 사업자 정보는 다음과 같습니다.
상호
[ 핀치타임 ]
대표자
[ 윤은실 ]
사업자등록번호
[ 594-30-01670 ]
서비스명
Pixel Air (픽셀에어)
② 회사는 개인정보 처리에 관한 업무를 총괄하여 책임지고 정보주체의 불만 처리 및 피해 구제를 담당하는 개인정보 보호책임자를 다음과 같이 지정하고 있습니다.
본 처리방침은 개인정보보호법 제30조에 따라 수립·공개되었으며, 회사의 개인정보동의서 및 개인정보 처리 위탁계약서와 함께 적용됩니다.
Privacy Policy
[ Pinch of Thyme ] | Service name: Pixel Air
Published: 29 September 2026 | Effective: 6 October 2026 | Version: v1.1
[ Pinch of Thyme ] (the "Company") establishes and discloses this Privacy Policy in accordance with Article 30 of the Personal Information Protection Act ("PIPA") of the Republic of Korea, in order to protect the personal information of data subjects and to handle related grievances promptly and effectively.
This English text is a reference translation provided for the convenience of readers. The Korean version is the official text; in the event of any discrepancy, the Korean version prevails.
Article 1 (General Provisions and Scope of Application)
① The Company provides a service (the "Service") under the name "Pixel Air" that uses AI facial recognition technology to automatically sort photographs taken at an event venue and deliver them to individual participants (each a "Participant" or "data subject").
② The Company processes the personal information it handles in the course of operating the Service lawfully and in accordance with applicable laws and this Privacy Policy, and protects the personal information and interests of data subjects.
③ The Company acts as a processor entrusted by the event host with personal information processing duties. The personal information controller in respect of the Service is the host of each event.
④ This Privacy Policy is established and disclosed pursuant to Article 30 of PIPA, as applied mutatis mutandis to entrusted processors under Article 26(8) of the same Act, so that data subjects may directly review the personal information processing actually carried out by the Company as a processor. The primary party responsible for notice, consent and the exercise of rights vis-à-vis data subjects is the host of each event, and the applicable standards are set out in that host's privacy policy and in the data processing agreement. Where the data processing agreement so provides, the Company may obtain consent from data subjects on behalf of the host.
⑤ This Privacy Policy applies to personal information processing carried out on the participant-facing web pages operated by the Company (the QR consent and registration page and the photo retrieval gallery page) and in the related processing systems.
Article 2 (Categories of Personal Information Collected and Purposes of Processing)
① As entrusted by the event host with personal information processing duties, the Company collects and processes the following personal information.
General personal information
Among the participant's name, email address and mobile telephone number, the items corresponding to the delivery method selected by the participant, and the facial photograph registered by the participant for identity verification (the "Registered Photograph")
Sensitive information
The facial feature vector generated from the Registered Photograph
Photograph files
Among the photographs taken at the event venue, the files uploaded to the Company's system for matching and delivery to participants (including facial images)
Consent and access records
The participant's record of consent to the processing of personal information, and the IP address and access time generated automatically at the time of consent.
Web access information
IP address and browser information transmitted automatically in the course of communication when the participant-facing web pages are accessed. Processed through the sub-processor referred to in Article 7 for the security and delivery of the web pages; the Company does not separately store it.
Purposes of processing
Automatic per-person photograph sorting based on AI facial recognition; best-shot selection (filtering of closed eyes, motion blur and overexposure); delivery of the participant's own photographs; recording and evidencing of consent; and responding to enquiries relating to use of the Service
Nature of processing
Entrusted processing under Article 26 of PIPA. The personal information controller is the host of each event.
Legal basis
PIPA Article 15(1)1, Article 17(1)1, Article 23(1)1 (separate consent of the data subject), and Article 26
② A Participant may refuse the collection and use of personal information and the sub-entrustment of personal information processing duties under paragraph ①. In that case, use of the Service may be restricted.
Article 3 (Retention and Use Period)
① The Company retains and uses personal information for the periods set out below and destroys it without delay upon expiry of the applicable period.
Category
Period
Basis
Participant general personal information (name, contact details)
30 days from the end date of the event
Data processing agreement and consent of the data subject
Registered Photograph
30 days from the end date of the event
The period necessary to complete the Service, including handling of re-delivery requests for undelivered photographs (data processing agreement and consent of the data subject)
Facial feature vector (sensitive information)
Destroyed immediately upon completion of photograph delivery as a matter of principle. It may, however, be retained for up to 30 days from the end date of the event in order to complete the Service, including handling of re-delivery and non-delivery requests, and is destroyed immediately upon expiry of that period.
PIPA Articles 21 and 23
Event photographs (files uploaded to the system)
30 days from the end date of the event
The period necessary to complete the Service, including handling of re-delivery requests for undelivered photographs (data processing agreement)
Electronic consent records (timestamp, IP address, consent items)
5 years from the date of consent
Evidencing consent to the collection and use of personal information
Photographs used for service introduction
Until the earlier of two years from the date of consent or the withdrawal of consent
Separate optional consent of the data subject (Article 6)
② Where a data subject requests deletion of personal information or withdraws consent, the Company destroys the relevant information without delay, regardless of the periods set out in paragraph ①.
Article 4 (Destruction of Personal Information)
① Where the retention period has elapsed or the purpose of processing has been achieved, the Company destroys the personal information concerned without delay.
② The subjects and methods of destruction are as follows.
Facial feature vectors
Deleted using the deletion function of the facial recognition processing system.
Image files
Registered Photographs, event photographs uploaded to the system, thumbnails and delivery archive files are deleted using the deletion function of the storage service.
Information stored in databases
Personal information stored in databases — including names and contact details, participant page access records and electronic consent records — is deleted.
Paper documents
Where consent forms or similar documents have been received in paper form at the venue, they are destroyed by shredding or incineration.
③ Personal information destroyed under paragraph ② cannot be retrieved or restored from the Company's Service or operational systems.
④ The Company maintains a destruction record noting the date and time of destruction, the items destroyed and the person responsible, and provides materials evidencing the outcome of destruction upon request by the event host.
⑤ Information subject to a statutory retention obligation is stored separately from other personal information for the applicable period and is then destroyed.
Article 5 (Processing of Sensitive Information — Biometric Information)
⚠ Facial feature vectors constitute biometric information under Article 18 of the Enforcement Decree of PIPA and are therefore sensitive information. The Company processes them only where it has obtained the data subject's explicit consent, given separately from consent to the processing of general personal information.
① The Company's facial recognition processing operates as follows.
Source of feature generation
The facial photograph registered by the participant for photograph sorting and delivery (the Registered Photograph)
Search method
The facial feature vector generated from the Registered Photograph is used to locate, among the photographs taken at the event venue, those in which that participant appears.
Scope of stored feature vectors
Stored facial feature vectors are limited to those of participants who have consented to use of the Service and registered a facial photograph. Comparison values derived from faces appearing in event photographs are generated transiently during the search process, are not stored, and cease to exist immediately upon completion of the search.
Purposes of processing
Automatic per-person photograph sorting, best-shot selection, and delivery of the participant's own photographs
Processing technology
Amazon Web Services Rekognition
Storage location
AWS Seoul Region (ap-northeast-2). Processed and stored solely within the Republic of Korea and not transferred abroad.
Encryption
AES-256 server-side encryption at rest; TLS 1.2 or higher in transit
Provision to third parties
AWS acts solely as an entrusted processor and does not use the data for any other purpose.
Time of destruction
As provided in Articles 3 and 4 of this Privacy Policy.
② The Company does not use facial feature vectors for any purpose other than per-person photograph sorting and delivery, and does not reuse them for other events or for searches relating to other participants.
③ The Company does not collect facial photographs from participants who have not consented to the processing of facial feature vectors, and does not store or retain their facial feature vectors.
Article 6 (Use of Photographs for Service Promotion)
① Where the Company uses event photographs for the purpose of introducing or promoting its Service, it does so only where it has obtained both the separate optional consent of the data subject and the prior written consent of the event host. Declining to give such consent results in no disadvantage whatsoever in relation to use of the photograph delivery service.
Scope of use
Use in service introduction materials, proposals, the website and online channels and other promotional materials.
Retention period
Until the earlier of two years from the date of consent or the withdrawal of consent
② Consent under this Article may be withdrawn at any time. Upon a withdrawal request, the Company immediately ceases any further use of the photograph concerned and destroys the copy it holds. Recovery of materials already distributed or published prior to withdrawal may be technically and physically impossible; this does not limit the data subject's right of withdrawal but reflects the nature of distribution already completed.
③ Use of event photographs by the event host for its own promotional or archival purposes falls within the processing domain of the event host as the personal information controller, is not governed by this Privacy Policy, and is subject to that host's privacy policy and participation notices.
Article 7 (Entrustment of Personal Information Processing)
① For the operation of the Service, the Company entrusts personal information processing duties as follows.
Sub-processor
Entrusted duties
Amazon Web Services (AWS Korea LLC)
AI photograph sorting and delivery
Railsware Products Studio LLC (Mailtrap)
Sending of photograph retrieval notification emails
Cloudflare, Inc.
Web page security (DDoS protection, etc.) and stable, fast content delivery (CDN)
SOLAPI Co., Ltd.
Sending of photograph retrieval notification SMS messages
② Where the Company sub-entrusts to a sub-processor listed in paragraph ① duties entrusted to it by an event host, it obtains the host's prior consent in accordance with Article 26(6) of PIPA.
③ Where the content of the entrusted duties or the identity of a sub-processor changes, the Company discloses the change without delay through this Privacy Policy.
Article 8 (Cross-Border Transfer of Personal Information)
① The Company transfers personal information abroad as set out below in order to provide the Service. This transfer constitutes entrusted processing necessary for the performance of a contract and for the convenience of the data subject under Article 28-8(1)3 of PIPA, and the matters listed in Article 28-8(2) of the same Act are disclosed as follows.
Transferee
Railsware Products Studio LLC (service name: Mailtrap) | Contact: support@mailtrap.io
Country of transfer
United States of America (Delaware corporation; place of business: Pasadena, California)
Timing and method of transfer
At the time a photograph retrieval notification email (sender address: noreply@pixel-air.com) is sent to the participant, transmitted in encrypted form over the information and communications network
Items transferred
Recipient's name and email address
Transferee's purpose of use
Sending photograph retrieval notification emails to the participant
Transferee's retention and use period
Until completion of the sending process. Sending logs may, however, be retained for a certain period in accordance with the service provider's policy.
Method of refusing transfer
A data subject may notify the Company of a refusal of cross-border transfer at pixelair.co@gmail.com. Upon receipt of such notice, the Company immediately excludes that data subject's email address from cross-border transfer.
Transmitted automatically over the information and communications network at the time a participant accesses a Pixel Air web page
Items transferred
IP address, browser information and other web page access records
Transferee's purpose of use
Web page security (DDoS protection, etc.) and stable, fast content delivery (CDN)
Transferee's retention and use period
Destroyed without delay once the purpose is achieved. Security logs may, however, be retained for a certain period in accordance with the service provider's policy.
Method of refusing transfer
This cross-border transfer is an essential part of the security and operation of the web service. A data subject who does not wish the transfer to occur must therefore close the web page (decline to use the Service).
② Where a data subject refuses cross-border transfer to Mailtrap under paragraph ①, photograph retrieval by email is not possible. The data subject may, however, select another delivery method processed solely within the Republic of Korea, such as SMS, and may in that case continue to use the photograph delivery service without restriction.
③ Personal information used for SMS delivery is processed solely within the Republic of Korea through SOLAPI Co., Ltd., a domestic provider, and is not transferred abroad.
④ Facial feature vectors and photograph files are processed and stored solely in the AWS Seoul Region (ap-northeast-2) and are not transferred abroad.
Article 9 (Provision of Personal Information to Third Parties and Use Beyond the Purpose of Processing)
① The Company does not provide the personal information of data subjects to third parties, except in the cases set out in the following subparagraphs and in paragraph ②.
1. Where the data subject has given separate prior consent
2. Where there is a special provision in a statute, or where an investigative authority makes a request for investigative purposes in accordance with the procedures and methods prescribed by statute, or where it is otherwise unavoidable in order to comply with a statutory obligation
② Event photographs frequently include several participants together. Accordingly, when a photograph in which a participant appears is delivered to that participant, the likeness of other participants captured in the same photograph may also be included. The Company obtains the data subject's prior consent for such provision under paragraph ①.1, and takes measures at the photography stage to reduce the delivery of photographs in which other participants are included in an identifiable form.
③ In this case, the recipients are the other participants photographed in the same photograph; the items provided are the photograph file taken at the event venue and the data subject's likeness contained in it (facial image and other visually identifiable information); and the purpose of provision is delivery of photographs to participants wishing to use the Service. Once delivery is complete the photograph is stored on the recipient's own device, and the Company cannot recover or manage it.
④ A participant who does not wish to be photographed at all, or who wishes to be excluded from delivery of photographs in which they appear, may make a request to the event host or to the Company. Upon receipt of such a request, the Company immediately excludes the relevant photographs from delivery.
⑤ The Company does not use the personal information it has collected beyond the scope of the processing purpose, including by selling it or using it for advertising purposes.
Article 10 (Rights and Obligations of Data Subjects and How to Exercise Them)
① Data subjects may exercise the following rights.
Right of access
To request confirmation of the status and content of processing of their personal information and sensitive information.
Right to rectification and erasure
To request correction of inaccurate information or deletion of unnecessary information.
Right to suspension of processing
To request that processing of personal information be suspended.
Withdrawal of consent
Consent may be withdrawn at any time. Upon a withdrawal request, the Company destroys the personal information and facial feature vectors it holds without delay. Photographs already delivered to the participant have been transmitted to the participant's own device and cannot technically be recovered. This does not limit the data subject's right to withdraw consent but reflects the technical nature of a transmission already completed.
Right to claim damages
To seek redress where damage has arisen from an infringement of personal information.
Within 10 days of receipt (where unavoidable grounds exist, this may be extended by up to a further 10 days, with notice of the grounds)
Exercise through an agent
Rights may be exercised through a legal representative or a duly authorised agent, in which case documentation evidencing the authorisation must be submitted.
③ Requests for access, rectification, erasure or suspension of processing concerning an event participant's personal information may also be made to the relevant event host as the personal information controller. Requests received by the Company are handled without delay in its capacity as an entrusted processor and, where necessary, are notified to the relevant host.
④ Data subjects must comply with applicable laws and must not infringe the personal information of others or provide false information.
Article 11 (Processing of Personal Information of Children Under 14)
① The Company does not process the personal information of children under 14 years of age without the consent of their legal representative.
② The Company confirms during the consent process whether the participant is 14 years of age or older, or has obtained the consent of a legal representative; the event host, as the personal information controller, verifies the participant's age at the registration stage.
③ Where the consent of a legal representative is not confirmed, the Company does not provide the Service to the child concerned and destroys without delay any information already collected.
④ For events at which the participation of children under 14 is anticipated, the Company agrees the legal representative consent procedure with the event host in advance.
Article 12 (Measures to Ensure the Security of Personal Information)
In accordance with Article 29 of PIPA and Article 30 of its Enforcement Decree, the Company takes the following measures to ensure the security of personal information.
Administrative measures
Establishment and implementation of an internal management plan for personal information; minimisation of the number of personnel handling personal information and provision of training
Technical measures
Encryption in transit (TLS 1.2 or higher), AES-256 server-side encryption of stored data, and management and restriction of access privileges
Physical measures
Storage of business devices and storage media containing personal information in secure locations with access control
Access log management
Retention of access logs of the personal information processing system for at least the period prescribed by the relevant public notice
Article 13 (Installation and Operation of Automatic Collection Devices)
① This Article applies to the participant-facing web pages operated by the Company (the QR consent and registration page and the photo retrieval gallery page).
② The Company does not install or operate cookies or other devices that automatically collect personal information for the purpose of collecting or analysing users' behavioural information on its participant-facing web pages. The IP address and browser information transmitted automatically in the course of communication when a web page is accessed do not constitute collection by an automatic collection device under this Article; their processing is governed by Articles 2 and 8.
③ Where a participant has expressly selected a display language at the top of the screen, however, the Company stores that setting in the participant's browser local storage. The value contains only a language code (e.g. ko, en), cannot identify an individual, and is not transmitted to the Company's servers.
④ A participant who does not wish the storage described in paragraph ③ to occur may delete site data or block storage in the browser settings. In that case the language must be selected again on each page.
⑤ Should the Company introduce an automatic collection device in future, it will disclose the purpose, the items collected and the means of refusal in advance by reflecting them in this Privacy Policy.
Article 14 (Business Information and Personal Information Protection Officer)
① The business entity in respect of personal information processing under this Privacy Policy is as follows.
Business name
[ Pinch of Thyme ]
Representative
[ Eunsil Yoon ]
Business registration number
[ 594-30-01670 ]
Service name
Pixel Air
② The Company has designated a Personal Information Protection Officer, who has overall responsibility for personal information processing and handles complaints and remedies for data subjects, as follows.
③ Data subjects may direct all enquiries, complaints and requests for remedy relating to personal information protection arising from use of the Service to the Personal Information Protection Officer, and the Company will respond and act without delay.
Article 15 (Reporting Infringements and Remedies)
Data subjects may seek assistance from the following bodies in order to obtain redress for infringements of personal information.
Organization
Function
Contact
Personal Information Protection Commission
Reporting of personal information infringements and policy enquiries
① This Privacy Policy applies from its effective date, and its content may be amended in response to changes in applicable laws or in the Company's policies.
② Where the Company amends this Privacy Policy, it gives notice from 7 days before the effective date through the participant-facing web pages and through event hosts. Where there is a material change affecting the rights of data subjects, notice is given from 30 days before the effective date.
③ Previous versions of this Privacy Policy are available on request using the contact details in Article 14.
Change of business name (KKOMSIL PHOTO → Pinch of Thyme)
This Privacy Policy is established and disclosed pursuant to Article 30 of the Personal Information Protection Act and applies together with the Company's personal information consent form and data processing agreement.
This English text is a reference translation. The Korean version is the official text and prevails in the event of any discrepancy.