Stacktube 는 1인 개발이지만, 보안은 정확하게 다룹니다. SOC 2 같은 외부 인증은 없습니다. 대신 모든 보안 결정은 코드로 확인 가능합니다.
1. 우리가 약속하는 것
BYOK · OAuth 토큰 암호화
사용자가 제공한 모든 API 키와 OAuth refresh 토큰은 AES-256-GCM 으로 암호화하여 저장합니다. 평문은 메모리에서만 일시적으로 처리되며, 디스크 · DB · 로그에는 결코 평문으로 남지 않습니다.
Supabase Row Level Security 활성
모든 PostgreSQL 테이블에 RLS 가 켜져 있습니다. 사용자는 자신의 데이터만 조회 · 수정할 수 있고, 같은 테이블에 다른 사용자의 행이 있더라도 SQL 단에서 차단됩니다.
OAuth state CSRF 보호
Google Drive · Dropbox 등 외부 서비스 연결 시, 서명된 state nonce (5분 TTL) 로 CSRF 공격을 차단합니다. 외부 콜백이 위조된 경우 즉시 거절합니다.
72시간 내 침해 통지
보안 사고를 인지한 시점부터 72시간 안에, 영향 받은 사용자에게 등록된 이메일로 직접 알립니다. 사고 범위 · 대응 조치 · 사용자가 취할 행동을 함께 안내합니다.
외부 데이터 processor 명시
사용자 데이터가 거쳐가는 모든 외부 회사를 § 4 에 명시합니다. 새 processor 가 추가되면 본 페이지를 우선 갱신한 뒤 통지합니다.
2. 우리가 약속하지 않는 것 (명확히)
다음은 명시적으로 약속하지 않습니다. 향후 회원 1,000명 도달 시점에 별도로 검토할 예정입니다.
- SOC 2 Type II · ISO 27001 · GDPR DPO 부재 — 외부 감사 인증 없음. 1인 운영의 정직한 한계.
- 24/7 보안 운영 센터 (SOC) 없음 — 야간 · 주말 사고는 다음 영업일까지 대응 지연될 수 있습니다.
- 외부 침투 테스트 미실시 — 정식 론칭 후 회원 1,000명 도달 시 검토.
- 정형 데이터 보존 정책 없음 — 사용자 요청 시 즉시 삭제하며, 별도 retention 기간은 두지 않습니다.
3. 외부 processor
| 회사 | 역할 | 리전 |
|---|---|---|
| Supabase | PostgreSQL DB · 인증 · Storage | Frankfurt (EU) |
| Railway | Worker 컨테이너 호스팅 | US-West |
| Paddle | 결제 처리 · Merchant of Record | UK |
| Anthropic | Claude API — 노트 요약 · 추출 | US |
| Gemini API — 영상 비주얼 분석 · Drive sync | US | |
| YouTube | 자막 · 영상 메타 | US |
이 외 processor 는 사용하지 않습니다. 추가 시 본 페이지가 먼저 갱신됩니다.
4. 보안 사고 신고
보안 취약점을 발견하셨다면 다음 주소로 직접 알려주세요: studio@unstackd.io
- 1주일 내 회신
- 검증된 취약점은 60일 책임 공시
- 신고자 신원은 본인이 공개 허락하기 전까지 비공개
5. 코드 확인 가능 보장
GitHub repository 자체는 공개하지 않습니다. 그러나 다음은 보장합니다.
- 보안 핵심 모듈 1:1 코드 리뷰 — 암호화 · RLS · 인증 모듈에 한해, 요청 시 화상 또는 화면 공유로 함께 코드를 봅니다.
- 데이터 export · 영구 삭제 — 사용자는 자신의 OAuth 토큰 · BYOK 키 · 노트 데이터를 언제든 다운로드하거나 영구 삭제할 수 있습니다. 삭제 요청은 SQL CASCADE 로 즉시 처리됩니다.
마지막 업데이트: 2026년 5월 30일 · 다음 갱신 예정: 회원 1,000명 도달 시점, 또는 6개월 후 (둘 중 빠른 쪽)