손님 정보 다루기

예약자 이름·전화번호처럼 가게가 받아 둔 사람 정보를 어떻게 받고, 얼마나 갖고 있고, 누구와 나눠 보는지에 대한 이야기예요. 적게 받고 짧게 갖고 있을수록 안전해요.

쉽게 말하면

손님 정보는 계산대 서랍의 현금과 같아요. 장사에 필요하니까 받지만, 서랍에 쌓아 둘수록 털릴 이유가 커지죠. 그래서 가게들은 시재만 남기고 나머지는 은행에 넣어요. 명단도 똑같아요. 지금 장사에 쓰는 만큼만 손 닿는 곳에 두고, 나머지는 아예 안 받거나 기한이 지나면 없애요.

비유가 어긋나는 지점도 알아 두면 좋아요. 현금은 도둑맞으면 서랍이 비어서 바로 알아요. 명단은 복사돼도 원본이 그대로 남아 있어서 티가 안 나요. 몇 달 뒤에 손님 전화 한 통으로 알게 되는 일이 흔해요.

그래서 서랍보다 중요한 게 누가 언제 봤는지 남는 기록이에요. 이 문서는 명단을 실제로 다루는 손놀림 이야기예요. 동의를 어떻게 받고 처리방침에 무엇을 적는지는 개인정보 쪽에서 다뤄요.

받아도 되는 것, 받으면 안 되는 것

폼에 칸을 하나 만들 때마다 질문 하나만 하세요. "이 칸이 없으면 오늘 장사가 안 되나?" 답이 한 문장으로 안 나오면 그 칸은 빼는 게 맞아요.

받으려는 것	판단	대신 이렇게
이름·전화번호	예약이나 주문 확인에 쓰면 받아요	칸 옆에 무엇에 쓰는지 한 줄 적어 두세요
이메일	영수증·안내를 메일로 보낼 때만	문자로 충분하면 안 받는 게 나아요
주소	배송이나 방문이 있을 때만	매장 방문 예약이면 필요 없는 칸이에요
생년월일	연령 확인이 실제로 필요한 업종만	생일 이벤트가 목적이면 그 이벤트를 시작할 때 따로 받으세요
주민등록번호	원칙적으로 받으면 안 돼요. 손님이 동의해도 마찬가지예요	본인 확인이 꼭 필요하면 본인확인 서비스를 붙이는 쪽이 맞아요
카드번호·CVC	내 서비스에 저장하지 않아요	결제 화면을 결제대행사로 넘겨 그쪽이 보관하게 해요
계좌번호	환불이나 정산 대상에게만, 그 건이 끝나면 지워요	환불을 결제 취소로 처리하면 계좌를 안 받아도 돼요
건강·종교·정치성향 등	민감정보라 별도 규칙이 붙어요	업종상 꼭 필요하면 전문가에게 확인하세요
만 14세 미만 아이 정보	법정대리인 동의 같은 절차가 추가돼요	아이 대상 서비스가 아니면 가입 연령을 제한하세요

주민등록번호는 동의를 받아도 못 받아요

전화번호는 새면 바꾸면 그만이지만, 주민등록번호는 손님이 평생 바꿀 수 없어요. 그래서 법이 수집 자체를 막아 두고 꼭 필요한 경우만 따로 정해 뒀어요. 내 업종이 그 예외에 들어가는지는 개인정보보호위원회 안내로 직접 확인하세요. 애매하면 안 받는 쪽이 항상 맞아요.

적게 받고, 짧게 갖고 있기

보안 프로그램을 하나 더 붙이는 것보다 폼에서 칸 하나를 지우는 쪽이 효과가 커요. 돈도 안 들고요. 명단에 없는 줄은 샐 수가 없거든요.

그다음이 보관 기간이에요. 기간을 안 정하면 기본값은 "영원히"가 됩니다. 3년 치가 한 번에 새는 사고와 3개월 치가 새는 사고는 피해 범위가 완전히 달라요.

기간을 정해야 하는 이유가 하나 더 있어요. 손님이 "제 정보 아직 갖고 계세요?"라고 물었을 때 답을 할 수 있어야 하거든요. 게다가 오래된 명단은 번호가 바뀌어서 장사에도 잘 안 먹혀요.

1명단마다 목적을 한 줄로 적어요. 예약 확인용, 환불 처리용처럼요.
2그 목적이 끝나는 시점을 적어요. 예약은 방문 다음 날, 문의는 답변을 마친 뒤처럼요.
3법으로 남겨야 하는 것은 따로 떼어요. 거래·결제 기록은 일정 기간 보관하게 정해져 있어요. 기간은 최신 기준을 확인하세요.
4나머지는 지우는 날을 정해요. 달력에 반복 일정으로 넣거나, 만든 화면에 자동 삭제를 넣어 두면 잊지 않아요.
5정한 기간을 처리방침에 그대로 적어요. 적어 둔 대로 지우면 그게 제일 확실한 증거가 돼요.

지운 것도 기록으로 남겨요

언제 어떤 명단을 지웠는지 한 줄씩 남겨 두세요. 나중에 "그 명단 아직 갖고 계시죠?"라는 물음에 날짜로 답할 수 있어요. 그리고 진짜 삭제는 백업에 남은 사본까지 정리해야 끝나요. 본체에서만 지우고 백업에 그대로 남아 있는 경우가 아주 흔해요.

직원과 함께 볼 때

혼자 하는 가게가 아니면 언젠가 남이 명단을 봐요. 문제는 보느냐가 아니라 누가 어디까지 보느냐예요.

누가	볼 수 있어야 하는 것	굳이 안 봐도 되는 것
매장 직원	오늘 예약자 이름과 시간	지난 몇 년 치 명단 전체, 전화번호 목록 내려받기
매니저	이번 달 예약과 취소, 연락처	결제 원본 정보, 계정 삭제 권한
외주 개발자	화면이 도는지 볼 만큼의 가짜 데이터	실제 손님 명단 원본. 외주 계약서에 적어 두세요
나(사장님)	전부와 권한 관리	없어요. 대신 이 계정을 직원과 같이 쓰지는 마세요

계정은 사람마다 하나씩

직원 다섯이 아이디 하나를 돌려 쓰면 사고가 나도 누가 봤는지 알 수 없어요. 사람마다 계정을 주면 그만두는 날 그 계정만 끄면 되고, 기록도 이름으로 남아요. 퇴사 절차 목록에 "권한 끊기"를 한 줄 넣어 두세요.

장면 1 · 직원이 부탁했다

“집에서 내일 예약을 확인하려는데 명단 좀 카톡으로 보내 주세요.”

마음은 알겠지만 보내는 순간 명단이 카톡 서버, 직원 폰, 그 폰의 자동 백업까지 최소 세 곳으로 복사돼요. 그만두는 날 회수할 방법이 없고요. 밖에서도 봐야 한다면 사본을 보내지 말고 로그인해서 보게 하세요. 그래야 나중에 권한을 끊을 수 있어요.

엑셀로 내려받는 순간

실제 유출의 상당수는 해킹이 아니라 사본이에요. 명단을 한 번 내려받으면 그 파일은 서비스의 보호 밖으로 나가요.

개인 노트북을 떠올려 보세요. 잠금은 걸려 있나요, 자동 백업은 어디로 올라가나요. 그 노트북은 카페에서 열리고, 수리를 맡기고, 언젠가 중고로 팔려요. 명단이 그 안에 있는 채로요.

위험한 방법

바탕화면 / 손님명단_최종_최종2.xlsx 메일 첨부로 한 번, 메신저로 한 번

사본이 지금 몇 개인지 사장님도 몰라요. 하나만 새도 명단 전체가 나가요.

안전한 방법

서비스에 로그인해서 화면으로 확인 꼭 필요하면 이번 달 것만, 필요한 칸만

보호 안에 남고, 누가 언제 봤는지 기록에 남아요.

그래도 내려받아야 할 때가 있어요. 세무 정리, 정산, 행사 명단 같은 것들이요. 그럴 땐 규칙 세 가지만 지키세요.

1필요한 줄과 칸만 받아요. 전체 대신 이번 달만, 전화번호 대신 주문번호만으로 되는 경우가 많아요.
2파일에 열기 암호를 걸고, 암호는 파일과 다른 경로로 알려요. 파일과 암호를 같은 메시지에 넣으면 잠근 의미가 없어요.
3쓰고 나면 지워요. 휴지통 비우기까지요. 메일 보낸편지함에 남은 첨부도 같이 지워야 끝이에요.

장면 2 · 외주 개발자가 요청했다

“테스트하려면 실제 손님 데이터가 있어야 정확해요. 명단 파일 하나만 주세요.”

정확하게 하려는 마음은 맞아요. 다만 실제 명단을 테스트 환경에 넣으면 보호가 제일 약한 곳에 진짜 정보를 두는 셈이에요. 이름을 손님1·손님2로, 번호를 실제로 없는 형식의 가짜 번호로 바꾼 사본을 주세요. 개수와 형식만 같으면 테스트는 충분히 돌아가요.

새면 알려야 해요

명단이 샜을 때 조용히 덮는 것은 선택지가 아니에요. 손님에게 알리고 기관에 신고하는 것이 의무로 정해져 있어요. 늦을수록 책임이 커져요.

1구멍부터 막아요. 의심되는 계정 권한을 끊고, 새어 나갔을 수 있는 열쇠(API 키)를 폐기해요. 원인 조사는 그다음이에요.
2무엇이 얼마나 나갔는지 확정해요. 어떤 항목이, 몇 명분이, 언제부터인지요. 여기서 접근 기록이 전부입니다.
3손님에게 알려요. 무엇이 샜는지, 어떤 피해가 생길 수 있는지, 지금 무엇을 하고 있는지, 어디로 문의하면 되는지를 정해진 기한 안에 알립니다.
4기관에 신고해요. 국내는 개인정보보호위원회와 한국인터넷진흥원 창구가 있어요. 기한과 신고 대상 기준은 최신 안내를 확인하세요.
5기록을 남겨요. 언제 알았고, 무엇을 했고, 언제 알렸는지요. 조사에서 제일 먼저 보는 것이 이 기록이에요.

"우리는 작아서 괜찮다"는 없어요

신고 의무는 가게 크기로 면제되지 않아요. 규모에 따라 절차가 달라질 수는 있어도 기준 자체는 정보를 받는 사업자에게 적용돼요. 정확한 기한과 대상, 과태료 기준은 개인정보보호위원회 안내를 확인하세요.

Q. 손님 명단은 결국 어디에 저장되나요?: 예약이나 회원가입 기능을 붙이면 데이터베이스에 쌓여요. 바이브캠퍼스에서는 연결 센터에서 내 데이터베이스를 연결하고, 그 열쇠는 환경변수 금고에 넣어 둡니다. 어디에 쌓이는지 알아야 나중에 확인하고 지울 수 있어요.
Q. 종이 예약 장부는 이런 규칙과 상관없죠?: 똑같이 적용돼요. 판단 기준은 형식이 아니라 내용이에요. 카운터 위에 펼쳐 둔 장부가 화면보다 위험할 때도 많아요. 다 쓴 장부는 그냥 버리지 말고 파쇄하세요.
Q. 손님이 "제 정보 지워 주세요"라고 하면요?: 원칙적으로 지워요. 다만 거래·결제 기록처럼 법에서 보관하게 정한 것은 그 기간 동안 따로 떼어 보관합니다. 지운 뒤에는 지웠다고 알려 주고, 백업 사본에도 남아 있지 않은지 확인하세요.
Q. 단골 관리하려고 오래 갖고 있으면 안 되나요?: 목적을 밝히고 동의를 받으면 기간을 길게 잡을 수 있어요. 다만 "혹시 몰라서"는 목적이 아니에요. 3년 뒤에도 실제로 쓸 명단인지 정직하게 판단해 보세요.
Q. 아는 사장님과 명단을 나눠 봐도 될까요?: 안 돼요. 손님이 내 가게에 준 정보예요. 다른 곳에 넘기려면 별도 동의가 필요하고, 명단을 사고파는 것은 처벌 대상이 될 수 있어요.
Q. 직원이 명단을 들고 나갔어요. 어떻게 하죠?: 권한부터 끊고, 무엇을 언제 내려받았는지 기록으로 확인하세요. 유출로 판단되면 통지와 신고 절차를 밟습니다. 근로계약이나 서약서에 비밀유지 조항이 있으면 대응이 훨씬 쉬워요.

확인해 보세요

예약 폼을 만들다가 "나중에 생일 이벤트 할지 모르니 생년월일도 받아 두자" 생각이 들었어요. 어떻게 할까요?

하나 더

세무 정리하려고 올해 주문 명단을 엑셀로 내려받았어요. 정리를 다 마쳤어요. 이제 뭘 할까요?

직접 해보기

만든 화면이 무엇을 받고 있는지 점검해 보세요

스튜디오의 안전·권리 점검은 만든 화면을 훑어 보고 놓친 것을 심각도별로 알려 줘요. 크레딧을 쓰는 점검이라 실행 전에 금액을 확인하고 진행하고, 결과는 법률 자문이 아니라 참고용 안내예요. 지금 실행하지 않고 어떤 항목을 보는지만 확인해도 도움이 됩니다.

스튜디오 열기

더 깊이 (안 읽어도 괜찮아요)

저장하지 않고 받는 방법도 있어요 · 문의를 받는 화면은 내용을 서버에 쌓지 않고 받는 즉시 내 메일로 보내도록 만들 수 있어요. 남기지 않으면 지킬 것도 없어요. 대신 나중에 화면에서 다시 조회할 수 없으니 무엇을 포기하는지 알고 고르세요. 문의가 하루 몇 건인 가게라면 이 방식이 더 나을 때가 많아요. 문의 폼 쪽에 만드는 이야기가 있어요.

가명 처리로 통계만 남기기 · 매출 분석에 이름은 필요 없어요. 이름과 번호를 떼고 방문 횟수와 금액만 남기면 분석은 그대로 되고 유출 시 피해는 크게 줄어요. 다만 되돌릴 수 있는 열쇠를 같은 곳에 보관하면 여전히 개인정보로 봅니다. 통계용 사본에는 그 열쇠를 두지 마세요.

접근 기록이 사고 때 사장님을 지켜요 · 누가 언제 무엇을 조회하고 내려받았는지 남기는 기능이에요. 평소에는 쓸모없어 보이지만 사고가 나면 이게 전부입니다. 무엇이 샜는지 확정하지 못하면 최악을 가정해서 신고하게 되고, 그러면 통지 범위도 피해 규모도 최대로 잡혀요.

이것만 기억하세요

·칸을 만들 때마다 "없으면 오늘 장사가 안 되나"를 물어요. 안 받은 정보는 샐 수가 없어요
·주민등록번호는 원칙적으로 받지 않아요. 손님이 동의해도 마찬가지예요
·명단마다 보관 기간을 정하고, 그날이 오면 백업 사본까지 지워요
·직원에게 사본을 보내지 말고 계정을 주세요. 그만두는 날 권한을 끊어요
·새면 막고, 확정하고, 손님에게 알리고, 신고해요. 기한은 기관 안내를 확인하세요