2026년 10월 기준 Minds의 데이터 보호 및 보안 운영 방식: DPA(데이터 처리 계약), 데이터 호스팅 위치, 데이터를 처리하는 AI 공급업체, 암호화, 고객 데이터 기반 모델 학습 배제 정책을 다룹니다.
Minds는 GDPR 및 보안 검토에 필요한 문서와 제어 장치를 제공합니다. GDPR 제28조에 따른 데이터 처리 계약(DPA), 위치가 명시된 하위 처리자 목록, 기술적 및 관리적 조치, 개인정보 처리방침이 제공됩니다. 2026년 10월 기준 애플리케이션은 프랑크푸르트에, 데이터베이스는 스톡홀름에 호스팅되며, AI 처리는 EU 집행위원회의 표준계약조항에 따라 미국의 모델 공급업체를 이용합니다. 고객 데이터는 범용 또는 서드파티 모델 학습에 일절 사용되지 않습니다. 실제 규정 준수 여부는 업로드하는 데이터와 귀사의 적법한 처리 근거에 따라 결정되므로, 사내 데이터 보호 책임자(DPO)와 함께 해당 문서를 검토하시기 바랍니다.
보안 및 컴플라이언스 개요 대상 독자
이 문서는 Minds를 검토 중인 데이터 보호 책임자, IT 보안팀, 법무 및 구매 조달팀, 그리고 이들의 질문에 답변해야 하는 리서치 리드를 위해 작성되었습니다. 합성 연구에 GDPR이 어떻게 적용되는지에 대한 전반적인 내용은 합성 응답자는 GDPR을 준수하는가를 참고하세요.
Minds가 처리하는 데이터와 처리 위치
Minds는 귀하와 귀하의 팀이 입력하는 데이터를 처리합니다. 계정 및 사용 데이터, 업로드된 파일 및 자극물, 프롬프트와 Study 답변, 그리고 Minds와 Audiences를 그라운딩하는 데 사용된 출처가 포함됩니다. 하위 처리자 목록에 따르면 다음과 같습니다.
애플리케이션 호스팅은 독일 프랑크푸르트의 DigitalOcean에서 실행됩니다.
데이터베이스 및 인증은 스웨덴 스톡홀름의 Supabase에서 실행됩니다.
AI 처리는 미국의 OpenAI, Anthropic, Google Cloud Vertex AI를 사용하며, 일부 OpenAI 및 Anthropic 요청은 Vercel AI Gateway를 거쳐 해당 공급업체의 비즈니스 API로 라우팅됩니다.
그라운딩을 위한 웹 리서치에는 미국의 Exa, Firecrawl과 같은 공급업체를 활용합니다.
개인정보 처리방침에는 각 공급업체별 법적 근거가 명시되어 있으며, 미국으로의 데이터 이전에 대한 근거로 EU 집행위원회의 표준계약조항을 지정하고 있습니다. 관련 데이터가 EU 외부로 절대 반출되어서는 안 된다는 사내 정책이 있다면, 해당 데이터를 플랫폼에 입력하지 마십시오.
자격 증명, OAuth 토큰 및 API 키는 암호화되어 저장되며 권한 범위가 한정되고 폐기 가능합니다.
DigitalOcean과 Supabase는 SOC 2 Type II 및 ISO 27001 등의 인증을 보유하고 있습니다. 이는 공급업체의 인증이며, 현재 Minds 자체가 SOC 2 보고서나 ISO 인증을 보유하고 있지는 않습니다.
데이터 사용 및 모델 학습
데이터 처리 계약에 따르면 고객 데이터는 범용, 파운데이션, 공유 또는 서드파티 모델을 학습, 파인튜닝 또는 개선하는 데 사용되지 않으며 하위 처리자도 이를 사용할 수 없습니다. 비공개 고객 맞춤형 모델은 문서화된 지침이 있는 경우에만 귀사의 워크스페이스 전용으로 생성됩니다.
Minds 도입이 적합한 조직의 조건
표준계약조항에 따른 미국 기반 AI 모델 공급업체 활용을 포함하여 위에서 설명한 처리 절차를 사내 검토 과정에서 수용할 수 있고, 참가자 모집 없이 합성 연구를 수행하고자 하는 조직에 Minds가 적합합니다.
관련 데이터의 EU 역외 이전을 전면 금지하는 정책이 있거나, 벤더 자체가 직접 취득한 SOC 2 보고서 또는 ISO 인증을 요구하는 경우에는 적합하지 않습니다. 이러한 경우에는 공개 데이터나 집계된 데이터로만 Minds를 사용하거나 다른 구성을 선택하십시오. 체계적인 벤더 검토가 필요하다면 AI 시장 조사 데이터 보안에 대한 GDPR 가이드를 활용하시기 바랍니다.
자주 묻는 질문
Minds는 GDPR을 준수하나요?
Minds는 GDPR 검토에 필요한 요소들을 제공합니다. GDPR 제28조에 따른 데이터 처리 계약(DPA), 공개된 하위 처리자 목록, 기술적 및 관리적 조치, 개인정보 처리방침이 여기에 포함됩니다. 특정 사용 방식이 규정을 준수하는지 여부는 플랫폼에 입력하는 데이터와 귀사의 적법한 처리 근거에 따라 달라지므로, Minds는 모든 사용 사례가 기본적으로 규정을 준수한다고 주장하지 않습니다.
Minds 데이터는 어디에 호스팅되고 처리되나요?
2026년 10월 기준 애플리케이션은 독일 프랑크푸르트의 DigitalOcean에서, 데이터베이스는 스웨덴 스톡홀름의 Supabase에서 실행됩니다. AI 처리는 OpenAI, Anthropic, Google Cloud Vertex AI 등 미국의 모델 공급업체를 활용하며, 개인정보 처리방침에는 이전 근거로 EU 집행위원회의 표준계약조항(SCC)이 명시되어 있습니다. 모든 하위 처리자는 위치와 함께 투명하게 공개되어 있습니다.
Minds는 AI 모델 학습에 고객 데이터를 사용하나요?
사용하지 않습니다. DPA에 따라 고객 데이터는 범용, 파운데이션 또는 서드파티 모델을 학습, 파인튜닝 또는 개선하는 데 사용되지 않으며 하위 처리자 역시 이를 사용할 수 없습니다. 비공개 고객 전용 모델은 고객이 명시적으로 요청한 경우에만 생성됩니다.
Minds는 업로드된 콘셉트와 파일을 어떻게 안전하게 보호하나요?
데이터는 파일 스토리지와 백업을 포함하여 전송 중에는 TLS 1.2 이상으로, 저장 시에는 AES-256으로 암호화됩니다. 고객 데이터는 데이터베이스 수준에서 테넌트별로 분리됩니다. 호스팅 공급업체는 SOC 2 Type II 및 ISO 27001과 같은 인증을 보유하고 있습니다. 다만 이는 공급업체의 인증이며, 현재 Minds 자체가 SOC 2 보고서나 ISO 인증을 보유하고 있지는 않습니다.
Minds를 사용하려면 개인정보를 업로드해야 하나요?
아닙니다. 설명, 공개된 연구 자료, 집계되거나 익명화된 설문조사 결과만으로도 Audiences를 구축할 수 있습니다. 개인정보가 포함된 파일을 업로드하거나 특정 개인의 Mind를 구축하는 경우, 해당 데이터는 DPA에 따라 처리되며 귀사 측의 적법한 처리 근거가 필요합니다.
보안팀에서는 Minds를 어떻게 검토할 수 있나요?
Minds 법적 고지 페이지에 공개된 DPA, 하위 처리자 목록, 기술적 및 관리적 조치, 개인정보 처리방침부터 검토를 시작하시면 됩니다. 엔터프라이즈 고객은 구매 조달 과정에서 추가 질문을 문의할 수 있습니다.
