니들(NEEDLE)

개인정보 처리방침

시행일: 2026-10-19 · 문의: capri@needlevin.com

English version below

니들(NEEDLE, 이하 "니들")은 서울 동네 레코드샵의 LP 재고를 보여 주는 서비스입니다. 니들은 개인정보 보호법 등 관련 법령을 지키며, 아래와 같이 개인정보를 처리합니다. 니들은 회원가입 없이 쓸 수 있고, 내 컬렉션을 쓰려면 소셜 계정으로 로그인합니다. 광고와 결제는 없고, 제3자 분석·광고·크래시 SDK도 쓰지 않습니다. 다만 푸시 알림을 보내기 위해 Google의 Firebase Cloud Messaging(FCM) SDK는 씁니다(Firebase Analytics·Crashlytics는 쓰지 않습니다). 웹 사이트(needle.vin)는 쿠키를 쓰지 않는 Vercel Web Analytics로 방문 통계만 집계합니다.

1. 개인정보의 처리 목적

• 서비스 제공: 앨범 요청("이 앨범 찾아주세요")을 매장에 전달하고, "정보가 달라요" 신고를 확인해 잘못된 재고 정보를 바로잡습니다.
• 로그인과 내 컬렉션: 로그인한 이용자를 확인하고, 이용자가 담은 판본과 구매 기록·메모·사진을 저장해 본인에게 보여 줍니다. Discogs를 연결한 경우 판본 조회를 이용자의 Discogs 계정으로 처리합니다.
• 남용 방지: 로그인한 이용자의 판본 조회 횟수를 잠시 기록해 지나친 조회를 막습니다.
• 알림 발송: 알림을 허용한 기기에 입고 알림, 매장 확인 알림 같은 푸시 알림을 보내고, 같은 알림이 중복 발송되지 않도록 발송 기록을 남깁니다. 광고성 알림은 보내지 않습니다.
• 서비스 개선: 화면 조회, 버튼 사용, 검색 결과 등 이용 기록을 분석해 서비스를 개선합니다.

2. 처리하는 개인정보 항목

아래 항목은 HTTPS로 니들 서버(Supabase)에 전송되어 저장됩니다.

모든 이용자(로그인하지 않아도)

로그인한 경우(선택)

로그인은 선택입니다. 둘러보기, 찜, 앨범 요청은 지금처럼 로그인 없이 쓸 수 있고, 내 컬렉션을 쓰려면 카카오, Google, Apple(iOS만) 중 하나로 로그인합니다.

알림을 허용한 경우(선택)

알림은 "들어오면 알려 주세요"를 처음 성공시킬 때 기기(OS)의 알림 허용 창으로 묻습니다. 허용한 기기만 아래 항목을 니들 서버(Supabase)에 저장합니다. 허용하지 않아도 알림을 뺀 나머지 기능은 그대로 쓸 수 있습니다.

알림을 보낼 때는 푸시 토큰과 알림 내용(제목, 본문, 이동할 needle.vin 주소)이 Google(FCM)을 거쳐, iOS 기기는 Apple(APNs)까지 거쳐 전달됩니다(6항).

구매가 등 내 컬렉션 정보는 본인만 볼 수 있습니다. 매장 가격 통계에 쓰지 않으며, 다른 이용자에게 공개하지 않습니다.

수집 방법: 계정 정보는 이용자가 고른 로그인 수단(카카오 주식회사, Google LLC, Apple Inc.)이 이용자의 동의에 따라 니들에 제공하며, 니들은 Supabase Auth를 통해 받습니다. 이 로그인 제공자들은 니들의 수탁자가 아니라 정보를 제공하는 쪽(수집 출처)입니다. Google·Apple 로그인은 이용자와 각 제공자 사이에서 그 제공자의 국외 서버에서 이루어집니다. 내 컬렉션과 사진은 이용자가 앱에서 직접 입력하거나 올릴 때 수집합니다.

수집하지 않는 정보

• 위치: 니들은 위치 정보를 받지 않습니다. 위치 권한도 요청하지 않습니다.
• 로그인하지 않으면 이름과 이메일을 받지 않습니다. 로그인하면 위 계정 정보만 받습니다. 전화번호, 연락처, 결제 정보는 수집하지 않습니다. 직접 문의 메일을 보내신 경우는 아래 '외부 서비스'를 참고해 주세요.
• 사진: 자켓 사진으로 판본을 찾을 때 바코드·품번 인식은 기기 안에서 처리합니다. 사진은 이용자가 컬렉션에 담을 때만 올라갑니다.
• 찜 목록은 기기에만 저장됩니다. 다만 찜을 누르고 해제한 기록은 위 이용 기록으로 서버에 남습니다.

검색어와 신고 메모에는 개인정보를 적지 말아 주세요.

외부 서비스

앱의 피드백과 매장 입점 문의는 이메일로 받습니다. 버튼을 누르면 기기의 메일 앱이 열리고, 보내 주신 메일의 주소와 내용(피드백 메일에 자동으로 붙는 앱 버전·OS·기기 모델 포함)은 답변과 문의 처리에만 사용합니다. 문의 메일은 처리를 마친 날부터 1년 동안 보관한 뒤 파기하며, 그 전에 삭제를 요청하시면 지체 없이 파기합니다.

Discogs를 연결한 경우, 판본 조회 요청은 이용자의 Discogs 계정으로 Discogs Inc.(미국)에 보내집니다(6항). 연결하지 않았을 때 니들의 공용 토큰으로 하는 바코드·품번 조회에는 이용자를 식별하는 정보가 담기지 않습니다.

3. 개인정보의 보유 및 이용 기간

2항의 '모든 이용자' 항목은 해당 기기 ID로 마지막으로 이용한 날부터 1년 동안 보관한 뒤 파기합니다. 그 전에 삭제를 요청하시면 지체 없이 파기합니다. 관련 법령에서 보관을 요구하는 경우에는 그 기간 동안 보관합니다. 문의 메일은 이와 별도로 처리를 마친 날부터 1년 동안 보관한 뒤 파기하며, 그 전에 삭제를 요청하시면 지체 없이 파기합니다.

• 계정 정보, 내 컬렉션, 사진, Discogs 연결: 계정이 있는 동안 보관하며, 앱에서 계정을 삭제하면 바로 파기합니다(사진 파일 포함). Discogs 연결은 연결을 해제하면 바로 삭제합니다.
• 계정에 연결된 기기 이용 기록: 계정을 삭제하면 계정과의 연결만 끊고, 위 1년 기준에 따라 파기합니다.
• 판본 조회 횟수: 1시간이 지나면 삭제합니다.
• 푸시 토큰: 마지막으로 갱신한 날부터 1년이 지나면 매일 파기합니다. 계정을 삭제하면 그 계정에 연결된 푸시 토큰은 바로 삭제합니다. 앱이나 기기 설정에서 알림을 끄면 더 이상 알림을 받지 않으며, 이때 저장된 토큰은 위 1년 기준에 따라 파기합니다.
• 알림 발송 기록: 보낸 날부터 1년이 지나면 파기합니다.
• 로그인(인증) 과정에서 수탁자 쪽에 남는 로그는 해당 수탁자의 정책에 따릅니다.

4. 개인정보의 제3자 제공

니들은 개인정보를 제3자에게 제공하지 않습니다. 앨범 요청은 검색어 같은 요청 내용만 모아 매장에 전하며, 기기 ID는 전하지 않습니다. 내 컬렉션 정보는 매장이나 다른 이용자에게 공개하지 않습니다. Discogs 연결은 이용자가 직접 연결한 경우에만 쓰며, 6항에 적었습니다. 푸시 알림 전달에 쓰는 Google(FCM)·Apple(APNs)은 알림을 대신 전달하는 업체이며, 이용 현황은 5항과 6항에 적었습니다.

5. 개인정보 처리의 위탁

카카오·Google·Apple 로그인 제공자는 수탁자가 아니라 계정 정보를 제공하는 쪽입니다(2항 수집 방법).

6. 개인정보의 국외 이전

2항의 개인정보(로그인 계정 정보, 내 컬렉션, 사진 포함)는 Supabase의 대한민국(서울, ap-northeast-2) 리전에 저장되며 국외로 이전하지 않습니다. 다만 웹 사이트(needle.vin)를 호스팅하는 Vercel의 서버가 국외에 있어, 웹 사이트 접속 시 접속 기록이 국외에서 처리될 수 있습니다. 또한 문의 메일은 Google LLC의 서버에서 수신·보관되므로 국외로 이전됩니다. 알림을 허용한 기기에 푸시 알림을 보낼 때는 푸시 토큰과 알림 내용이 Google LLC(FCM)와, iOS 기기는 Apple Inc.(APNs)를 거치며 국외로 이전됩니다. Google·Apple 로그인은 이용자와 각 제공자 사이에서 그 제공자의 국외 서버에서 이루어집니다.

문의 메일을 보내시면 다음과 같이 국외로 이전됩니다.

알림을 허용한 기기에 푸시 알림을 보낼 때 다음과 같이 국외로 이전됩니다.

iOS 기기에는 FCM이 알림을 Apple의 푸시 알림 서비스(APNs)로 넘겨 전달하므로, 같은 알림이 다음과 같이 한 번 더 국외로 이전됩니다. Android 기기에는 해당하지 않습니다.

Discogs를 직접 연결한 경우에만 다음과 같이 국외로 이전됩니다. 연결하지 않았을 때 니들의 공용 토큰으로 하는 바코드·품번 조회에는 이용자를 식별하는 정보가 담기지 않습니다.

7. 개인정보의 파기 절차 및 방법

보유 기간이 끝나거나 처리 목적을 이루었거나 삭제를 요청받은 경우, 지체 없이 해당 정보를 파기합니다. 전자 파일 형태의 정보는 복구할 수 없는 방법으로 삭제합니다.

8. 정보주체의 권리와 삭제 요청

정보주체는 언제든지 자신의 개인정보에 대해 열람, 정정, 삭제, 처리 정지를 요구할 수 있습니다.

로그인한 이용자는 앱의 MY → 내 계정 → 계정 삭제에서 계정과 내 컬렉션(사진 포함), Discogs 연결을 바로 삭제할 수 있습니다. 이때 그 계정에 연결된 푸시 토큰은 바로 삭제되고, 그 계정에 연결된 기기 이용 기록은 연결만 끊기고 3항의 1년 기준에 따라 파기됩니다. 알림만 그만 받고 싶으시면 앱이나 기기 설정에서 알림을 끄시면 됩니다.

앱을 쓸 수 없으면 capri@needlevin.com으로 계정 삭제를 요청하실 수도 있습니다. 로그인에 쓴 이메일로 본인 계정임을 확인한 뒤 지체 없이 삭제합니다. 계정에 연결된 기기 이용 기록도 1년을 기다리지 않고 바로 지우길 원하시면 같은 메일로 요청해 주세요.

로그인하지 않고 쓴 기기의 기록(푸시 토큰 포함)은 앱 안에 삭제 기능이 없습니다. 아래 이메일로 요청해 주세요.

1. capri@needlevin.com으로 삭제 등을 요청하는 메일을 보냅니다.
2. 기기 ID는 앱이 만든 무작위 값이라 이름이나 이메일로는 찾을 수 없습니다. 요청하신 분의 기기 기록임을 확인할 수 있어야 하므로, 확인 방법을 메일로 안내해 드리고 확인되는 대로 지체 없이 처리합니다.
3. 처리 결과를 메일로 알려 드립니다.

9. 만 14세 미만 아동

니들은 만 14세 미만 아동을 대상으로 하지 않으며, 아동의 개인정보를 일부러 수집하지 않습니다.

10. 안전성 확보

모든 통신은 HTTPS로 암호화하며, 서버 접근 권한을 최소한으로 제한합니다.

11. 개인정보 보호책임자

개인정보 침해에 대한 신고나 상담이 필요하면 개인정보침해신고센터(privacy.kisa.or.kr, 국번 없이 118), 개인정보분쟁조정위원회(kopico.go.kr, 1833-6972)에 문의하실 수 있습니다.

12. 방침의 변경

이 방침의 내용이 바뀌면 시행일 7일 전부터 이 페이지에 알리고, 이용자에게 중요한 변경은 앱 안에서도 알립니다. 시행일: 2026-10-19 (이전 시행일: 2026-10-10)

2026-10-19 변경 내용: 소셜 로그인과 내 컬렉션(계정 정보·컬렉션·사진·Discogs 연결) 정보 수집, 앱 안 계정 삭제, 푸시 알림(푸시 토큰 수집, Google Firebase Cloud Messaging과 Apple 푸시 알림 서비스를 통한 알림 전달).

Privacy Policy (English)

Effective: 2026-10-19 · Contact: capri@needlevin.com

Needle ("we") shows LP stock at neighborhood record shops in Seoul. You can use Needle without an account; to use My Collection, you sign in with a social account. There are no ads or payments, and no third-party analytics, advertising or crash-reporting SDKs. The only third-party SDK is Google's Firebase Cloud Messaging (FCM), used to deliver push notifications (we do not use Firebase Analytics or Crashlytics). The website (needle.vin) counts visits with Vercel Web Analytics, which uses no cookies.

What we collect

Sent to our server (Supabase, our processor) over HTTPS:

• An anonymous random device ID generated by the app (not an advertising ID such as IDFA), stored with every record below.
• Usage events: app open, album or shop page views, contact button taps (call, directions, Instagram), favorite on/off, and "Report a problem" taps.
• Search queries (normalized and original, up to 200 characters) and result counts.
• Album requests ("Find this album"): the query and album ID.
• "Report a problem" submissions: listing, shop and album IDs, reason, and an optional note (up to 500 characters).

If you sign in (optional)

Browsing, favorites and album requests work without signing in. To use My Collection, you sign in with Kakao, Google or Apple (Apple on iOS only). We then also store:

• Account info: a random user ID, your email address (if the provider gives one; with Apple's "Hide My Email", the relay address Apple creates), your name or nickname (used as your display name; you can edit it in the app), and which provider you used with that provider's user identifier. We never receive a password.
• My Collection: the releases you add (album and pressing), purchase date, price paid, where you bought it (a shop listed on Needle or a place you type in), and your notes.
• Photos of your records (up to 6 per item), uploaded only when you add them to your collection and stored in private storage (Supabase Storage) that only you can see.
• Discogs connection (optional): your Discogs username and user ID, and the connection token. The token is kept only on our server and never sent to the app or other users.
• A per-minute count of your Discogs lookups made with Needle's shared token, to prevent abuse.
• When you sign in, the usage records left on that device (above) are linked to your account.

If you allow notifications (optional)

The app asks through the system permission prompt the first time you successfully use "Let me know when it arrives". Only if you allow it, we store the following on our server (Supabase):

• Push token: your device ID, your account ID (if signed in), the platform (Android or iOS), the push token (an address Google FCM issues for your device), and when it was last refreshed. Used to send notifications.
• Notification send log: a notification key, your device ID and the time sent, kept to avoid sending the same notification twice. It does not contain the notification text.

When we send a notification, the push token and the notification content (title, body and the needle.vin address to open) are delivered through Google (FCM) and, for iOS devices, Apple (APNs). Notifications are limited to restock alerts and shop confirmation alerts; we send no promotional notifications.

Your collection, including prices you paid, is visible only to you. We do not use it for shop price statistics and do not show it to other users.

Account info is provided to us, with your consent, by the sign-in provider you choose (Kakao Corp., Google LLC or Apple Inc.) through Supabase Auth. These providers are sources of the data, not our processors. Google and Apple sign-in happens between you and the provider on their servers outside Korea.

What we do not collect

Needle does not request or collect your location. Without signing in, we do not receive your name or email; when you sign in, we receive only the account info above. We do not collect your phone number, contacts or payment information; if you email us an inquiry, see below. When you look up a release from a cover photo, barcode and catalog-number recognition happens on your device; photos are uploaded only when you add them to your collection. Favorites are stored on your device; the on/off events are logged as described above.

Feedback and shop partnership inquiries are received by email. The buttons open your device's mail app; we use the address and contents of your email (including the app version, OS and device model added to feedback emails) only to reply and handle your inquiry. We keep inquiry emails for 1 year after the inquiry is resolved, then delete them; if you ask earlier, we delete them without undue delay.

Why, and how long

We use this data to run the service (passing album requests to shops, correcting wrong information, keeping your account and collection, preventing abuse) and to improve it. We keep device-ID records for one year after the last use of the app on your device, then delete them; if you ask earlier, we delete them without undue delay. Account info, your collection, photos and Discogs connection are kept while your account exists and deleted immediately when you delete your account in the app (including photo files); a Discogs connection is deleted as soon as you disconnect it. When you delete your account, your device records are unlinked from it and follow the one-year rule. Lookup counts are deleted after one hour. Push tokens are deleted daily once one year has passed since their last refresh, and tokens linked to your account are deleted immediately when you delete your account; if you turn off notifications in the app or device settings, you stop receiving them and the stored token is deleted under the same one-year rule. The notification send log is deleted one year after sending. Logs kept by our processors during sign-in follow their own policies. We do not sell or share your data with third parties. Inquiry emails are kept separately, for 1 year after the inquiry is resolved (see above).

Processors and overseas transfer

Supabase Inc. (database and storage, sign-in and collection photo storage), Vercel Inc. (web hosting and cookieless website visit statistics via Vercel Web Analytics), Google LLC (receiving and storing inquiry emails via Gmail; delivering push notifications via Firebase Cloud Messaging) and Apple Inc. (delivering push notifications to iOS devices via the Apple Push Notification service, APNs) process data on our behalf. The data listed above, including account info, your collection and photos, is stored in Supabase's Seoul, Korea region (ap-northeast-2) and is not transferred abroad. Vercel's servers are outside Korea, so access logs from visiting the website (needle.vin) may be processed abroad. Inquiry emails you send are received and stored by Google LLC on servers in the United States and other countries where Google operates data centers; they are sent by email over TLS, and include your address, the message, and (for feedback) the app version, OS and device model. We keep them for 1 year after the inquiry is resolved.

If you allow notifications: when we send one, your push token and the notification content (title, body and the needle.vin address to open) are sent from our server over HTTPS to Google LLC (FCM) in the United States and other countries where Google operates servers, and for iOS devices on to Apple Inc. (APNs) in the United States and other countries where Apple operates servers. This is only to deliver the notification, for as long as delivery takes; after that, Google and Apple keep data under their own policies. Android devices are not affected by the Apple step.

Only if you connect Discogs: your release lookups are sent from our server over HTTPS to Discogs Inc. (United States) using your Discogs account (with your connection token), for looking up releases; Discogs keeps data under its own policy. Lookups by barcode or catalog number made with Needle's shared token carry no information that identifies you.

Deleting your data

If you signed in, you can delete your account, collection (including photos) and Discogs connection yourself, right away, in the app: MY → My account → Delete account. Push tokens linked to the account are deleted right away, and device records linked to the account are unlinked and deleted under the one-year rule. To stop notifications only, turn them off in the app or device settings.

If you can't use the app, you can also request account deletion by emailing capri@needlevin.com; we verify that the account is yours using the email you signed in with, then delete it without undue delay. To have the device records linked to your account deleted right away instead of after one year, ask in the same email.

For records from a device you used without signing in (including its push token), please email capri@needlevin.com. That data is tied to a random device ID, so we will reply with a way to verify that the data belongs to your device, then delete it without undue delay.

Children

Needle is not directed at children under 14, and we do not knowingly collect their data.

Changes

We will post changes on this page 7 days before they take effect. Effective 2026-10-19 (previously 2026-10-10): social sign-in and My Collection data, in-app account deletion, and push notifications (push token collection and delivery through Google FCM and Apple APNs).