카페 스탬프 앱, 포인트 카드, 통합 멤버십 프로그램은 한국에서 매우 보편적입니다. 하지만 멤버십 프로그램 운영자 중 많은 분들이 구매 이력 기반 프로파일링과 제휴사 포인트 공유가 개인정보보호법상 별도 동의를 요구한다는 사실을 모르고 계십니다.
멤버십 프로그램이 처리하는 개인정보
| 데이터 유형 | 예시 | 법적 취급 | |------------|------|---------| | 회원 기본 정보 | 이름, 연락처, 생년월일 | 일반 개인정보 | | 구매 이력 | 구매 일시, 금액, 상품 목록 | 일반 개인정보 | | 방문 패턴 | 방문 빈도, 선호 매장, 방문 시간대 | 행동 분석 → 프로파일링 주의 | | 포인트 이력 | 적립·사용 내역 | 금융 정보 인접 | | 위치 기록 | 방문 매장 위치 | 위치 정보 가능 | | 앱 사용 로그 | 쿠폰 열람, 알림 클릭 | 행동 데이터 |
멤버십 가입 동의 설계
흔한 실수: 포인트 가입에 마케팅 동의 끼워 넣기
❌ 잘못된 방식:
□ (필수) 멤버십 이용약관 및 포인트 적립 서비스 전체 동의
(마케팅 수신, 개인정보 제3자 제공 포함)
이 방식은 서비스 이용에 마케팅 동의를 사실상 강제하는 것으로 개인정보보호법 제22조 위반입니다.
✅ 올바른 방식:
□ (필수) 멤버십 이용약관 동의
□ (필수) 개인정보 수집·이용 동의 (포인트 적립·사용 목적)
수집 항목: 이름, 연락처, 구매 이력
보유 기간: 회원 탈퇴 시까지
□ (선택) 마케팅 수신 동의 (이메일, 문자, 앱 푸시)
□ (선택) 구매 이력 기반 맞춤 추천 동의
□ (선택) 제휴사 포인트 공유 동의 (OO 편의점, OO 카드사)
구매 이력 프로파일링
멤버십 데이터의 핵심 가치는 구매 이력 분석입니다. 하지만 이를 어디까지 활용할 수 있는지는 동의 범위에 달려 있습니다.
동의 없이 할 수 있는 것
✅ 포인트 적립·조회·사용 (서비스 제공 목적)
✅ 구매 이력 기반 영수증 재발급 (계약 이행)
✅ 집계 통계 작성 (익명화된 매출 분석)
별도 동의가 필요한 것
⚠️ 개인별 구매 패턴 분석 → 맞춤 상품 추천
→ 처리방침 명시 + 별도 동의 권장
⚠️ 방문 빈도·시간대 분석 → 타겟 프로모션
→ 처리방침 명시 필수
⚠️ 구매 이력을 제휴사에 제공 → 타겟 광고
→ 반드시 별도 동의
제휴 포인트 프로그램의 제3자 제공
OK캐쉬백, 해피포인트 같은 통합 포인트 플랫폼이나 제휴 카드사와 포인트를 연계하는 경우, 개인정보 제3자 제공 동의가 필요합니다.
처리방침 기재 예시
■ 개인정보 제3자 제공 (포인트 제휴)
제공 대상: OO 카드사, OO 편의점
제공 항목: 이름, 연락처, 포인트 이력
제공 목적: 통합 포인트 적립·사용
보유 기간: 회원 탈퇴 또는 제휴 해지 시까지
* 위 제공에 동의하지 않아도 기본 멤버십 서비스를 이용할 수 있습니다.
제3자 제공에 동의하지 않아도 기본 서비스를 이용할 수 있도록 설계해야 합니다.
포인트 소멸과 개인정보 파기
포인트 유효기간 만료
포인트가 소멸해도 회원 자격이 유지되는 동안은 개인정보를 보관할 수 있습니다.
하지만 포인트가 소멸되면서 회원이 비활성 상태로 전환되는 경우:
권장 처리 흐름:
포인트 만료 전 → 안내 이메일/앱 푸시
↓
포인트 소멸 완료
↓
1년 이상 미방문·미사용 회원
→ 개인정보 파기 검토 또는 별도 보관 기간 안내
장기 미사용 회원
개인정보보호법은 1년 이상 서비스를 이용하지 않은 회원의 개인정보를 분리 보관 또는 파기하도록 권고합니다 (정보통신서비스 제공자 기준).
■ 장기 미이용 회원 처리 방침
1년 이상 포인트 적립·사용 이력이 없는 경우:
→ 서비스 이용 의사 확인 이메일/SMS 발송
→ 30일 내 응답 없으면 회원 정보 분리 보관
분리 보관 기간: 추가 1년
→ 이후에도 재이용 없으면 파기
오프라인 매장 멤버십 특이 사항
종이 가입신청서
오프라인에서 종이 신청서로 멤버십을 받는 경우:
- 신청서 자체가 개인정보를 담은 물리적 매체
- 전산 입력 후 신청서를 장기 보관하면 보관 기간 초과 위험
- 입력 완료 후 파기 또는 잠금장치가 있는 곳에 보관
POS 연동 구매 이력
POS 시스템에서 자동으로 수집되는 구매 이력이 멤버십 번호와 연동되는 경우:
- 처리방침에 자동 수집 사실 명시
- POS 벤더가 수탁사인 경우 위탁 계약 체결
실무 체크리스트
동의 설계
- [ ] 멤버십 가입과 마케팅 동의가 분리되어 있다
- [ ] 구매 이력 분석·맞춤 추천은 별도 동의를 받는다
- [ ] 제휴사 포인트 공유에 별도 동의를 받는다
- [ ] 제휴사 동의 거부 시에도 기본 서비스를 이용할 수 있다
데이터 관리
- [ ] 구매 이력을 마케팅 목적으로 사용 시 처리방침에 명시했다
- [ ] 장기 미사용 회원 처리 방침이 있다
- [ ] 오프라인 종이 신청서 보관 및 파기 절차가 있다
제휴 프로그램
- [ ] 제휴 포인트 파트너사와 데이터 처리 위탁·제공 계약을 체결했다
- [ ] 제휴 해지 시 데이터 반환·파기 절차가 있다
PipaGuard로 멤버십 프로그램 점검
구매 이력 프로파일링 동의, 제휴사 제공 설계, 장기 미사용 회원 처리까지 — 멤버십·포인트 프로그램 특화 PIPA 체크리스트를 자동으로 점검받으세요.
pipaguard.vercel.app에서 무료로 시작할 수 있습니다.