Legal

tting 개인정보 처리방침

버전 v1.0 · 2026년 10월 1일 적용

이 개인정보 처리방침은 미국 델라웨어주 법인 eazlyai, Inc.(이하 “회사”)가 회원의 tting 이용 과정에서 어떤 개인정보를 수집하는지, 이를 어떻게 이용하고 공유하고 보호하는지, 회원에게 어떤 선택권과 권리가 있는지를 설명합니다. 회사는 캘리포니아 온라인 개인정보 보호법(CalOPPA)을 비롯하여 회사에 적용되는 개인정보 보호 법령을 준수합니다.

이 방침은 tting 서비스(웹 앱, iOS 앱, Android 앱, tting.ai)에 적용됩니다. tting 앱은 회사의 계열사 VMS Holdings Co., Ltd. 가 회사를 대신하여 App Store 와 Google Play 에 게시합니다. VMS Holdings 는 수탁자로서 회사를 위해 서비스를 개발하고 운영하기도 합니다(제5조 참고). 회원의 개인정보에 대한 책임은 이 방침에 적힌 대로 eazlyai 에 있습니다. 회사의 다른 웹사이트와 서비스에는 각각의 개인정보 처리방침이 있습니다.

제1조 (수집하는 정보, 이용 목적, 보유 기간)

회사는 서비스 제공에 필요한 개인정보만 수집합니다. 가입과 서비스 이용에 필요한 정보는 회원과의 계약을 이행하기 위해 처리합니다. 그 밖의 정보는 회원의 동의를 받아서만 처리합니다.

선택 동의는 회사가 마케팅 이메일을 제공하는 경우의 마케팅 이메일 하나뿐입니다. 제공하기 전에 처리하는 항목과 보유 기간을 이 방침에 더합니다. 모든 마케팅 메시지에는 수신 거부 방법을 안내하고, 2년마다 동의를 다시 확인합니다. 회사는 Google API 로 받은 데이터를 마케팅이나 광고에 쓰지 않습니다. 제12조 ⑧의 AI 데이터 공유 허용은 회원과의 계약 이행을 위한 처리에 대해 회원이 갖는 통제 수단이며, 별도의 동의가 아닙니다.

가. 회원이 제공하거나 서비스 이용 중 생성되는 정보

이용 목적	수집 항목	보유 기간
가입, 본인 확인, 로그인	이메일 주소, Google 계정 식별자와 Google 이 제공하는 이름과 프로필 사진, Apple 계정 식별자, 로그인 기기 식별자, 세션 정보	계정 해지 시까지, 이후 30일의 복구 기간. 그 뒤 삭제
프로필	이름, 프로필 이미지, 화면 언어	계정 해지 시까지
워크스페이스 운영과 초대	워크스페이스 이름과 로고, 역할, 초대받은 사람의 이메일 주소(계정이 없는 사람 포함)	워크스페이스 삭제 후 30일. 초대 정보는 초대가 만료될 때(7일)까지
AI 대화와 에이전트 실행	대화 내용, 첨부 파일, 산출물, 에이전트 정의(시스템 프롬프트 포함), 워크플로 정의, 실행 기록과 각 단계의 입력과 출력, 인용한 출처	대화와 산출물은 워크스페이스가 있는 동안. 워크플로 실행 기록은 요금제에 따라 7일에서 365일(Free 7일 · Starter 30일 · Pro 와 Team 90일 · Business 365일 · Enterprise 는 협의)
지식 저장과 검색	회원이 올린 문서, 커넥터로 가져온 문서와 회원의 지시에 따라 커넥터로 만들거나 고친 문서와 일정(현재 Notion, Google Drive, Google Calendar, Google Docs, Google Sheets, Google Slides, Gmail 라벨), 색인 데이터	회원이 삭제할 때까지. 워크스페이스 삭제 후 30일을 넘기지 않음
메모리	회원의 전역 메모리와 워크스페이스별 메모리(제12조 ⑥), 그 정보가 생긴 워크스페이스와 에이전트의 식별자	1년 동안 쓰이지 않으면 삭제. 회원이 설정에서 지우거나 제8조 ④에 따라 삭제를 요청하면 삭제. 워크스페이스 메모리는 회원이 그 워크스페이스를 나가거나 내보내지거나 워크스페이스가 삭제될 때에도 삭제
커넥터	외부 서비스의 인증 토큰, 연결한 계정의 식별자(이메일), 별칭, API 토큰(암호화하여 저장)	연결을 해제하거나 워크스페이스에서 내보내지면 즉시 삭제
회원 자신의 LLM 키 사용(회사가 제공하는 경우)	회원이 등록한 API 키(암호화하여 저장)	회원이 삭제할 때까지
결제와 청구	결제 수단 정보(Stripe 가 보관하는 카드의 토큰과 끝자리), 청구 정보, 회원이 인보이스에 넣기로 한 사업자명과 세금 식별번호, 거래 내역, 좌석 수, 포인트 잔액과 구매 기록, 사용량	5년(세무, 회계, 분쟁 대응 목적)
마켓플레이스 구매	구매한 워크스페이스와 사용자의 식별자, 상품, 결제 식별자, 구매 시점의 가격, 구매 상태와 환불 여부	5년(세무, 회계, 분쟁 대응 목적)
결제 분쟁 증빙	약관에 동의한 시각과 그 버전, 결제 확인 메일, 좌석과 포인트가 제공된 시각, 마켓플레이스 상품이 설치된 시각, 이용 기록 요약	마지막 결제일부터 18개월
판매자 프로필	판매자가 게시한 상품에 표시되는 표시 이름	상품이 게시되어 있는 동안
판매자 대금 지급	판매자 식별자, Stripe 연결 계정 식별자, 판매, 잔액, 지급 내역. 신원, 은행 계좌, 세금 정보는 Stripe 가 직접 수집합니다(제5조 ② 참고)	5년(세무, 회계, 분쟁 대응 목적)
미국 판매자 세금 신고	Stripe 를 통해 받은 W-9 서식 정보 중 이름, 주소, 납세자 식별번호, 연간 지급 총액	회사가 제출한 정보신고서의 기록을 세법상 보관해야 하는 기간
마켓플레이스 설치	설치한 사용자의 식별자, 설치한 상품, 설치 시각과 경로	워크스페이스가 있는 동안
알림	알림 설정, 알림 내역, 푸시 전송을 맞춰 보는 데 쓰는 키	알림 내역 2개월. 푸시 토큰은 푸시 플랫폼이 보관하며 회사는 저장하지 않음
고객 지원 요청, 신고, 의견	회원이 보낸 내용, 회사의 답변, 부적절한 응답 신고(대화, 응답, 사유)	3년(분쟁 대응 목적)
약관 동의 기록	회원이 동의한 약관의 버전과 동의 시각, 제12조 ⑧의 AI 데이터 공유 허용을 하거나 철회한 시각과 그 버전	계정 해지 후 5년

Notion, Google Drive, Google Calendar, Google Docs, Google Sheets, Google Slides 커넥터는 회원의 지시에 따라 데이터를 읽고 씁니다. Notion 커넥터는 회원이 연결한 Notion 워크스페이스의 페이지를 읽고, 만들고, 고칩니다. Google Drive 커넥터는 회원이 고른 파일을 읽고 서비스가 만든 파일을 다룹니다. 회원이 고르지 않은 Drive 파일은 가져오지 않습니다. Google Docs, Sheets, Slides 커넥터는 문서를 읽고, 만들고, 고칩니다. Google Calendar 커넥터는 회원이 구독한 캘린더 목록을 읽고, 일정을 읽고, 만들고, 고치고, 지우며, 초대에 응답합니다. Gmail 커넥터는 회원의 라벨 목록을 읽고 라벨을 만드는 일만 합니다. 이메일을 읽거나 메일을 보내지 않습니다. Google Contacts 커넥터는 회원의 기본 Google 계정 정보(이름, 이메일 주소, 프로필 사진)만 쓰고 연락처는 읽지 않습니다. 서비스 밖의 데이터를 만들거나 바꾸는 동작을 하기 전에 승인을 받을지는 이용약관 제11조 ③의 에이전트 승인 설정에 따릅니다.

음성 입력. 회원이 채팅 입력창에서 말로 입력하면, 기기 안에서 또는 기기나 브라우저 자체의 음성 인식 기능이 말을 글자로 바꿉니다. 회사는 음성을 받거나 저장하지 않습니다. 회사에는 회원이 보낸 글자만 전달되며, 회원은 보내기 전에 이를 고칠 수 있습니다. 회사는 이 글자를 다른 대화 내용과 같이 처리합니다. 가능한 경우 음성은 기기 안에서 인식됩니다. 그렇지 않으면 기기나 브라우저가 음성을 음성 인식 제공자(iOS 는 Apple, Android 는 기기에 설정된 음성 인식 서비스로 보통 Google, 웹은 브라우저 제공자로 Chrome 의 경우 Google 등)에게 보내며, 그 제공자가 자체 개인정보 처리방침에 따라 처리합니다. 이는 회원의 기기나 브라우저가 제공하는 기능으로, 이 제공자들은 회사의 수탁자가 아닙니다. 서비스는 회원이 말로 입력하는 동안에만, 회원이 허용한 경우에만 마이크와 음성 인식을 씁니다. 회원은 언제든지 기기나 브라우저 설정에서 이 허용을 끌 수 있습니다.

나. 서비스 이용 중 자동으로 수집되는 정보

이용 목적	수집 항목	보유 기간
서비스 운영, 부정 이용 방지, 사고 대응	IP 주소, 접속 일시, 기기와 브라우저 정보, 앱 버전, 이용 기록, 오류 기록	접속 기록 3개월, 오류 기록 90일
이용 통계	화면 이용 통계(회원을 식별할 수 없는 형태)	14개월
화면 사용성 개선(세션 녹화와 히트맵)	화면 구성, 누르거나 스크롤한 위치, 화면 전환, 기기와 브라우저 정보, IP 주소, 내부 사용자 식별자. 화면의 글자와 이미지, 입력 내용은 기기에서 가린 뒤 보내므로 수집하지 않음	녹화 30일(무작위 표본과 회사가 따로 표시한 녹화는 최대 9개월), 히트맵 최대 9개월
운영자 감사	운영자가 열람하고 변경한 기록	1년

제2조 (보유 기간)

① 회사는 제1조에 적은 목적과 기간에 필요한 동안, 또는 법이 요구하는 동안만 개인정보를 보유합니다.

② 회원이 동의를 철회하거나 보유 기간이 끝나면 회사는 지체 없이 그 정보를 삭제합니다. 회원이 계정을 해지하면 ④의 30일 유예 기간이 지난 뒤 삭제합니다. 다른 법에 따라 일부 정보를 보관해야 하면 그 기간 동안 따로 보관합니다.

③ 회사는 세무, 회계, 법적 의무를 지키고 분쟁을 해결하기 위해 계약, 결제, 대금 지급 기록을 5년, 고객 지원과 불만 기록을 3년, 접속 기록을 3개월 보관합니다.

④ 회원이 계정을 해지하거나 워크스페이스가 삭제되면 그 데이터는 30일의 유예 기간이 지난 뒤 영구히 삭제됩니다. 유예 기간 중에는 cs@vmsforsea.com 으로 복구를 요청할 수 있습니다.

제3조 (아동)

서비스는 아동을 대상으로 하지 않습니다. 서비스를 이용하려면 16세 이상이어야 합니다. 그 나이 미만인 사람의 개인정보를 수집한 사실을 알게 되면 지체 없이 삭제합니다.

제4조 (제3자 제공)

① 회사는 회원의 개인정보를 제1조에 적은 범위에서만 이용하며, 회원의 동의가 있거나 법에 특별한 규정이 있는 경우에만 제3자에게 제공합니다.

② ④와 ⑥의 경우를 제외하고 회사는 개인정보를 제3자에게 제공하지 않습니다. 결제 처리를 위해 Stripe 에 결제 정보를 보내는 것은 제5조 ②에 따른 처리 위탁입니다. 회원이 워크스페이스에 올린 콘텐츠가 같은 워크스페이스의 다른 사람에게 보이는 것, 회원의 지시에 따라 회원이 커넥터로 연결한 외부 서비스에 데이터를 보내는 것은 제3자 제공이 아닙니다.

③ AI 응답을 생성하기 위해 Amazon Web Services(Amazon Bedrock)에 데이터를 보내는 것은 제5조에 따른 처리 위탁입니다. 웹 검색을 위해 Tavily 에 검색어를 보내는 것과 회원이 올린 문서를 텍스트 추출을 위해 Google Document AI 에 보내는 것도 같습니다.

④ 회원이 마켓플레이스에 상품을 게시하면 회원의 표시 이름이 상품 목록에서 다른 사용자에게 보입니다. 회사는 판매자에게 구매자의 이름이나 이메일 주소를 주지 않습니다.

⑤ 회사는 회원의 개인정보를 판매하지 않습니다.

⑥ 회사는 법이나 법적 절차를 따르기 위해, 약관을 집행하기 위해, 또는 회사, 사용자, 다른 사람의 권리, 재산, 안전을 보호하기 위해 개인정보를 공개할 수 있습니다. 회사가 합병, 인수, 투자 유치, 자산 매각에 관련되면 회원의 정보가 그 거래의 일부로 이전될 수 있으며, 이 경우 회원에게 알립니다.

제5조 (처리 위탁)

① 회사는 서비스를 제공하기 위해 다음 업체에 개인정보 처리를 위탁합니다.

수탁자	위탁 업무	보유 기간
VMS Holdings Co., Ltd.(회사의 계열사)	서비스의 개발, 운영, 유지보수, 고객 지원, App Store 와 Google Play 앱 게시	위탁 계약이 끝날 때까지
Amazon Web Services, Inc.	서비스 인프라 운영, 데이터 저장, 이메일 발송, Amazon Bedrock 을 통한 AI 응답 생성	위탁 계약이 끝날 때까지
OpenAI, L.L.C.	지식 검색을 위한 문서와 검색어의 임베딩(벡터 변환)	위탁 계약이 끝날 때까지
AlphaAI Technologies Inc. d/b/a Tavily	에이전트와 워크플로의 웹 검색	위탁 계약이 끝날 때까지
Google LLC	Google 로그인, 푸시 알림(Firebase Cloud Messaging), 이용 통계(Google Analytics), 올린 지식 문서의 텍스트 추출(Google Document AI)	위탁 계약이 끝날 때까지
Functional Software, Inc. d/b/a Sentry	오류 보고 수집(핵심 경로)	위탁 계약이 끝날 때까지
Microsoft Corporation	세션 녹화와 히트맵(Microsoft Clarity)	위탁 계약이 끝날 때까지
Stripe, Inc.	결제 처리(결제 승인과 정산, 환불, 지급거절 처리, 부정 결제 방지), 판매자 대금 지급, 미국 판매자 정보신고서 작성	위탁 계약이 끝날 때까지

② 회사는 결제 처리를 Stripe(Stripe, Inc., 354 Oyster Point Boulevard, South San Francisco, CA 94080, USA)에 위탁합니다. 회사는 결제 승인과 정산, 환불, 지급거절 처리, 부정 결제 방지를 위해 회원의 이메일 주소, 청구 정보(이름, 청구지 주소, 국가), 거래 금액과 통화, 주문 식별자를 Stripe 에 보냅니다. 회원이 입력하는 카드 번호와 보안 코드는 Stripe 의 결제 화면에서 직접 처리됩니다. 회사의 서버를 거치지 않으며 회사는 이를 저장하지 않습니다. 결제 데이터는 TLS 로 암호화되어 전송되며, Stripe 는 PCI DSS 를 준수합니다. 회원이 Stripe 결제 화면에 입력하는 카드 정보, 판매자가 Stripe Express 계정을 연결할 때 내는 신원, 은행 계좌, 세금 정보는 Stripe 가 직접 수집하며 Stripe 자체의 개인정보 처리방침(https://stripe.com/privacy)에 따라 처리합니다. Stripe 는 이 정보를 부정 결제 방지와 법적 의무 이행 같은 자체 목적에도 씁니다. 이 정보에 관한 문의와 권리 행사는 Stripe 에 해 주십시오. 회사는 판매자에게 대금을 지급하고 정보신고서를 제출하는 데 필요한 정보만 Stripe 에서 받습니다.

③ 회원이 커넥터로 직접 연결한 서비스(Google Drive, Notion 등)는 회원의 지시에 따라 연결되는 것으로, 회사의 수탁자가 아닙니다.

④ 회사는 수탁자와의 계약에서 위탁 업무 외의 목적으로 개인정보를 처리하지 못하게 하고(②의 Stripe, 제12조 ③의 Tavily, 제10조 ②의 Microsoft 는 예외), 기술적·관리적 보호조치, 재위탁 제한, 회사의 관리·감독, 손해배상 책임을 정합니다. 회사는 수탁자가 정보를 안전하게 처리하는지 확인합니다.

⑤ 회사의 수탁자는 회사와의 계약이 허용하는 범위에서만 재수탁자를 쓸 수 있습니다. 제6조 ③에 수탁자가 공개하는 재수탁자 목록의 링크를 둡니다.

⑥ 위탁 업무나 수탁자가 바뀌면 회사는 지체 없이 이 방침을 고칩니다. 회원이 있는 나라 밖의 수탁자는 제6조에도 적습니다.

⑦ 회사는 Amazon Bedrock 을 통해 AI 응답을 생성하며, 응답 생성을 위해 모델 사업자에 직접 연결하지 않습니다. 현재 제공하는 모델은 Claude, GPT, Qwen, Kimi 입니다. 응답 생성에 쓰이는 입력은 Amazon Web Services 안에서 처리되며 모델 개발사에 따로 전달되지 않으므로, 모델 개발사는 회사의 수탁자가 아닙니다. 지식 검색을 위해 문서와 검색어를 벡터로 바꾸는 임베딩은 위 표와 제6조에 적은 대로 OpenAI 가 합니다. 에이전트와 워크플로의 웹 검색은 Tavily 가 하고, 회원이 올린 지식 문서(PDF, DOCX, PPTX 파일 등)의 텍스트 추출은 Google Document AI 가 합니다.

제6조 (개인정보의 국외 이전)

① 회사는 미국에서 설립되었으며 미국과 그 밖의 나라의 사용자에게 서비스를 제공합니다. 회사의 인프라는 아일랜드(Amazon Web Services eu-west-1)에 있어 회원의 개인정보는 회원이 사는 나라 밖에서 처리될 수 있습니다. 캘리포니아 거주자를 위한 추가 안내는 제17조에 있습니다.

② 회사는 회원과의 계약을 이행하기 위해, 회사를 대신한 처리와 보관을 목적으로 다음 수령자에게 회원이 사는 나라 밖으로 개인정보를 이전합니다.

수령자	국가	이전 시기와 방법	이전 항목	이용 목적	보유 기간
Amazon Web Services	아일랜드(eu-west-1). AI 응답은 영국(eu-west-2)에서 생성되며, 일부 모델은 Amazon Bedrock 을 제공하는 다른 Amazon Web Services 리전(미국 등)에서 처리될 수 있음	서비스를 이용하는 동안 네트워크로 전송하여 저장	제1조의 모든 항목	인프라 운영, 데이터 저장, Bedrock 을 통한 AI 응답 생성	위탁 계약이 끝날 때까지
VMS Holdings Co., Ltd.	대한민국	서비스를 운영하고 고객 지원 요청을 처리할 때 네트워크로 원격 접근	제5조의 위탁 업무에 필요한 제1조의 항목	서비스 개발과 운영, 고객 지원	위탁 계약이 끝날 때까지
OpenAI, L.L.C.	미국	문서를 색인할 때와 지식을 검색할 때 전송	올리거나 가져온 문서의 텍스트, 검색어	지식 검색을 위한 임베딩	위탁 계약이 끝날 때까지
AlphaAI Technologies Inc. d/b/a Tavily	미국	에이전트나 워크플로가 웹을 검색할 때 전송	AI 모델이 회원의 대화를 바탕으로 작성한 검색어(회원이 입력한 개인정보가 들어갈 수 있음). 사용자나 워크스페이스 식별자는 보내지 않음	웹 검색	위탁 계약이 끝날 때까지
Google LLC	미국. 올린 지식 문서의 텍스트 추출은 Google 의 EU 멀티 리전에서 이루어짐	로그인할 때, 푸시 알림을 보낼 때, 지식 문서를 올릴 때 전송	Google 계정 식별자, 푸시 토큰, 이용 통계. 회원이 올린 지식 문서(복사본은 텍스트 추출이 끝날 때까지만 두었다가 삭제)	로그인, 알림, 통계, 지식 검색을 위해 올린 문서의 텍스트 추출	위탁 계약이 끝날 때까지
Stripe, Inc.	미국	결제할 때와 판매자에게 대금을 지급할 때 전송	이메일 주소, 청구 정보, 거래 금액과 통화, 주문 식별자. 판매자의 경우 판매자 식별자, 판매액과 지급액	결제 처리, 판매자 대금 지급, 정보신고서	위탁 계약이 끝날 때까지
Functional Software, Inc. d/b/a Sentry	미국	오류가 생길 때 전송	오류 기록과 그 안의 요청 정보	오류 수집과 사고 대응	위탁 계약이 끝날 때까지
Microsoft Corporation	미국	서비스를 이용하는 동안 네트워크로 전송	제1조 나.의 세션 녹화와 히트맵 항목	화면 사용성 분석	녹화 30일(일부 최대 9개월), 히트맵 최대 9개월

수령자의 개인정보 문의처는 다음과 같습니다. VMS Holdings Co., Ltd.: vmsholdings@vmsforsea.com · Amazon Web Services, Inc.: 개인정보 요청 양식 https://pages.awscloud.com/DSAR_RTF.html, 410 Terry Avenue North, Seattle, WA 98109-5210, USA · Google LLC: 개인정보 문의 양식 https://support.google.com/policies?p=privpol_privts, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA · Functional Software, Inc. d/b/a Sentry: compliance@sentry.io, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA · Stripe, Inc.: privacy@stripe.com, 354 Oyster Point Boulevard, South San Francisco, CA 94080, USA · OpenAI, L.L.C.: privacy@openai.com, San Francisco, CA, USA · AlphaAI Technologies Inc. d/b/a Tavily: 개인정보 안내 페이지 https://www.tavily.com/privacy, support@tavily.com, 1350 Broadway, 24th Floor, New York, NY 10018, USA · Microsoft Corporation: 개인정보 문의 양식 https://aka.ms/privacyresponse, One Microsoft Way, Redmond, WA 98052, USA

③ 수탁자는 서비스를 제공하기 위해 자체 재수탁자를 쓸 수 있습니다. 재수탁자와 그 소재지는 각 수탁자가 공개하는 목록을 따르며, 그 목록이 바뀌면 회사는 이 방침을 고칩니다. Amazon Web Services 재수탁자 목록 · Google Firebase 재수탁자 목록 · Sentry 재수탁자 목록 · Stripe 서비스 제공자 목록

④ 회원은 제14조의 개인정보 보호책임자에게 이메일로 연락하여 개인정보의 국외 이전을 거부할 수 있습니다. 서비스 제공에 필요한 이전을 거부하면 서비스의 일부 또는 전부를 이용하지 못할 수 있습니다.

⑤ ②의 Amazon Web Services, OpenAI, Tavily, Google(Document AI)로의 이전은 AI 기능과 지식 검색에 필요하므로, 이 이전을 거부하면 그 기능을 이용할 수 없습니다. Stripe 로의 이전은 유료 기능에 필요하므로, 거부하면 유료 기능을 이용할 수 없습니다.

제7조 (정보의 삭제)

① 보유 기간이 끝나거나 처리 목적을 이루어 개인정보가 더 필요 없게 되면 회사는 지체 없이 삭제합니다.

② 다른 법에 따라 정보를 보관해야 하면 별도의 데이터베이스나 저장 장소로 옮깁니다.

③ 전자 파일은 복구할 수 없는 방법으로 삭제합니다.

④ 삭제한 워크스페이스는 30일의 유예 기간이 지나면 영구히 삭제됩니다. 삭제한 데이터는 백업에 최대 30일 남을 수 있습니다.

제8조 (회원의 권리와 행사 방법)

① 회원은 언제든지 자기 개인정보의 열람, 정정, 삭제, 처리 정지를 요청할 수 있으며 동의를 철회할 수 있습니다.

② 방법은 다음과 같습니다. 프로필과 워크스페이스 정보는 서비스에서 고칠 수 있습니다. 계정은 앱이나 웹의 설정에서 해지할 수 있습니다. 대화, 파일, 지식, 산출물은 서비스에서 지울 수 있습니다. 전역 메모리와 현재 워크스페이스의 메모리는 설정에서 보고, 더하고, 고치고, 지울 수 있습니다. 그 밖의 요청은 cs@vmsforsea.com 으로 이메일을 보내 주십시오.

③ 회사는 요청이 회원 본인이나 회원이 권한을 준 사람에게서 온 것인지 확인한 뒤 10일 안에 처리하고 결과를 알려 드립니다. 본인 확인은 요청이 계정의 이메일 주소에서 왔는지, 또는 계정에 로그인한 상태에서 이루어졌는지로 합니다.

④ 회원이 메모리 삭제를 요청하면 회사는 회원의 메모리를 모두 삭제합니다. 회원이 워크스페이스를 나가거나 내보내지거나 워크스페이스가 삭제되면 그 워크스페이스의 회원 메모리는 삭제됩니다. 전역 메모리는 회원이 지우거나 계정을 해지할 때까지 남습니다.

⑤ 팀 워크스페이스에 올린 콘텐츠는 그 워크스페이스를 만든 단체가 관리하며, 회사는 그 단체의 지시에 따라 처리합니다. 회원 본인의 삭제 요청은 계정 정보와 메모리에 적용됩니다. 워크스페이스 콘텐츠에서 자기 정보를 지우려면 워크스페이스 소유자나 관리자에게 요청하십시오. 소유자나 관리자가 지우면 회사는 제7조에 따라 파기합니다.

⑥ 결제와 대금 지급 기록은 법이 보관을 요구하는 동안 삭제할 수 없습니다. 이 기록은 회사와 Stripe 가 보관합니다.

⑦ 회원은 자기 데이터를 내려받을 수 있습니다. 대화를 내보내고 산출물을 내려받을 수 있으며, 회사는 다른 내보내기 방법을 더할 수 있습니다.

⑧ 회원은 법정대리인이나 권한을 준 대리인을 통해 권리를 행사할 수 있습니다. 이 경우 서명한 위임장이 필요합니다.

⑨ 열람이나 처리 정지 요청은 법이 정한 경우 제한될 수 있습니다.

⑩ 회원이 정정이나 삭제를 요청하면 회사는 요청 처리를 마칠 때까지 그 정보를 이용하거나 제공하지 않습니다.

제9조 (안전성 확보 조치)

회사는 다음 조치를 합니다.

기술적 조치. 비밀값은 암호화하여 저장하고 화면, 로그, 실행 기록에서 가립니다. 인증 토큰은 서명하여 짧은 유효기간으로 발급하며, 재사용이 감지되면 세션을 폐기합니다. 리소스에 접근할 때마다 서버가 요청자와 리소스가 같은 워크스페이스에 속하는지 확인합니다. 인증 요청의 발송 횟수를 제한합니다.
관리적 조치. 운영자가 열람하고 변경한 내용은 감사 로그에 기록합니다. 운영자 계정은 승인된 사람에게만 주며 필요가 없어지면 즉시 회수합니다. 운영자는 2단계 인증이 필요한 회사 Google Workspace 계정으로만 로그인합니다. 원칙적으로 운영자는 회원의 대화나 파일 내용을 읽지 않습니다.
암호화. 올린 파일과 산출물은 저장할 때 암호화하고 공개 접근을 막으며, 내려받기 링크는 짧은 시간만 유효합니다. 데이터베이스 연결에는 TLS 를 필수로 적용합니다. 비밀값은 전용 비밀값 저장소에 두고 로그와 실행 기록에서 가립니다. 결제 데이터는 Stripe 의 결제 화면에서 TLS 로 전송되며 회사의 서버를 거치지 않습니다.

제10조 (쿠키와 이와 비슷한 기술)

① 회사는 로그인 상태를 유지하고 서비스를 운영하기 위해 기기 식별자와 세션 정보를 저장합니다. 서비스의 API 는 로그인에 쿠키를 쓰지 않고 요청 헤더로 토큰을 주고받습니다. 웹에서는 분석 도구가 이용 통계와 화면 사용성 개선을 위해 쿠키를 쓸 수 있습니다.

② 회사는 이용 통계를 위해 Firebase 기반 분석 도구를 씁니다. 이 통계는 회사의 화면이 어떻게 쓰이는지를 기록하며 Google API 로 받은 데이터를 포함하지 않습니다. 회사는 화면 사용성을 개선하기 위해 Microsoft Clarity 로 세션 녹화와 히트맵도 만듭니다. 화면의 글자와 이미지, 입력 내용은 기기에서 가린 뒤 보내므로 녹화에 남지 않습니다. 웹에서 Clarity 는 쿠키를 씁니다. 유럽경제지역, 영국, 스위스에서 접속하면 Clarity 는 쿠키를 설정하지 않습니다. Microsoft 는 Microsoft 개인정보처리방침에 적힌 대로 이 데이터를 자체 목적으로도 처리합니다.

③ 회사는 회원의 활동 정보를 맞춤형 광고에 쓰지 않습니다.

④ 회원은 브라우저 설정에서 쿠키를 막을 수 있고, 기기 설정에서 앱 알림과 광고 식별자 사용을 끌 수 있습니다. 이 경우 서비스 이용이 제한될 수 있습니다.

⑤ 기기 접근권한. 앱은 다음 접근권한을 요청할 수 있습니다. 모두 선택 접근권한이며, 허용하지 않아도 그 기능 외의 서비스는 이용할 수 있습니다. 알림: 푸시 알림 발송. 사진: 워크스페이스 로고, 프로필 사진, 채팅 첨부 등 올릴 이미지 선택. 마이크와 음성 인식: 채팅 입력창의 음성 입력(제1조). 각 접근권한은 기기 설정에서 끌 수 있습니다.

제11조 (자동화된 결정)

회사는 회원의 권리나 의무에 중대한 영향을 주는 완전히 자동화된 결정을 하지 않습니다. AI 응답과 워크플로 실행은 회원이 설정하고 검토하는 도구이며, 그 결과를 쓸지는 회원이 정합니다. 미납으로 워크스페이스를 읽기 전용으로 바꾸는 것 외에는 사람의 판단 없이 사용자를 정지하는 규칙이 없습니다. 이용 정지는 운영자가 결정합니다.

제12조 (AI 모델과 회원의 데이터)

① 회원의 대화, 첨부 파일, 연결된 지식, 메모리 가운데 응답 생성에 필요한 부분은 제5조에 따라 Amazon Web Services 로 전송됩니다. 지식 검색을 위해 문서의 텍스트와 검색어는 제5조에 따라 OpenAI 로 전송됩니다. 에이전트나 워크플로가 웹을 검색할 때는 AI 모델이 회원의 대화를 바탕으로 작성한 검색어만 제5조에 따라 Tavily 로 전송됩니다. 검색어에는 회원이 입력한 개인정보가 들어갈 수 있지만, 사용자나 워크스페이스 식별자는 보내지 않습니다. 회원이 지식 문서를 올리면 텍스트 추출을 위해 복사본이 제5조에 따라 Google Document AI 로 전송되며, 추출이 끝나면 복사본은 삭제됩니다.

② 회사는 회원의 콘텐츠로 회사의 AI 모델을 학습시키지 않습니다.

③ AI 응답은 Amazon Bedrock 을 통해 생성되므로, 응답 생성에 쓰인 입력은 Amazon Web Services 안에 머물며 모델 개발사의 모델 학습에 쓰이지 않습니다. OpenAI 의 API 데이터 정책에 따라, OpenAI 로 보낸 임베딩 입력은 OpenAI 의 모델 학습에 쓰이지 않습니다. Tavily 는 자체 개인정보 처리방침에 적힌 대로 검색어를 검색 서비스 개선에 쓸 수 있습니다.

④ 회사가 회원 자신의 API 키 등록과 사용을 허용하는 경우, 그 전송에는 회원과 모델 사업자 사이의 계약이 적용됩니다.

⑤ 회사는 회원의 입력을 모델 사업자에 보내기 전에 비밀값을 가립니다.

⑥ 메모리는 워크스페이스가 아니라 회원의 것입니다. 전역 메모리에는 정해진 항목의 선호(호칭, 언어, 어조, 형식, 길이)만 담기며 회원이 속한 모든 워크스페이스에서 쓰입니다. 워크스페이스 메모리에는 서비스가 그 워크스페이스의 대화에서 익힌 내용이 담기며, 회원이 언급한 다른 사람에 관한 메모가 들어갈 수 있습니다. 워크스페이스 메모리는 그 워크스페이스 안에서만 쓰이고 다른 워크스페이스에서는 쓰이지 않으며, 워크스페이스의 다른 사람과 공유되지 않습니다.

⑦ Workspace API 로 받은 원본 또는 파생 사용자 데이터의 이용은 제한적 사용(Limited Use) 요건을 포함한 Google 사용자 데이터 정책을 준수합니다. 같은 기준은 Google 로그인으로 받은 데이터를 포함하여 Google API 로 받은 모든 데이터에 적용됩니다. 회사는 이 데이터를 회원이 요청한 기능을 제공하고 개선하는 데에만 씁니다. 범용 AI 나 ML 모델의 학습에 쓰지 않고, 마케팅이나 광고에 쓰지 않으며, 제3자에게 판매하거나 이전하지 않고, 신용도 판단이나 대출 목적에 쓰지 않습니다. 기능 제공에 필요한 범위에서 제5조의 수탁자가 회사를 대신해 이 데이터를 처리하는 경우는 제5조와 제6조에 적습니다.

⑧ 회사는 제5조에 적힌, AI 기능에 쓰는 사업자(Amazon Web Services, OpenAI, Tavily, Google)에게 회원의 콘텐츠를 처음 보내기 전에 서비스 안에서 회원의 허용을 받습니다. AI 기능이 서비스의 핵심이므로 이 허용은 계정을 만들고 서비스를 이용하는 데 필요합니다. 회원은 설정에서 계정을 해지하거나 cs@vmsforsea.com 으로 연락하여 언제든지 허용을 철회할 수 있습니다. 허용을 철회하면 회사는 회원의 콘텐츠를 이 사업자들에게 더 보내지 않습니다. 회사는 이 데이터를 제1조에 적은 대로 회원과의 계약을 이행하기 위해 처리합니다. 이 허용은 그 처리에 대해 회원이 추가로 갖는 통제 수단입니다.

제13조 (운영자가 회원 정보를 볼 수 있는 경우)

① 고객 지원과 청구를 위해 회사의 운영자는 회원의 계정 정보, 워크스페이스와 좌석 상태, 대화와 실행의 메타데이터(제목, 시각, 상태, 사용량)를 볼 수 있습니다.

② 운영자는 회원이 동의한 고객 지원 요청, 신고 처리나 약관 또는 법 위반 의심의 조사, 회원이 마켓플레이스에 제출한 상품의 심사, 법이 요구하는 경우에만 대화 본문을 봅니다. 원칙적으로 운영자는 파일 내용을 보지 않으며 파일 목록과 메타데이터만 봅니다. 회사는 같은 목적으로 파일과 에이전트나 워크플로의 정의를 포함한 그 밖의 콘텐츠를 볼 수 있습니다. 이러한 열람은 모두 감사 로그에 기록됩니다.

③ 동의는 다음과 같이 받습니다. 회원이 고객 지원에 문의할 때 “문제 해결을 위해 운영자가 이 대화를 보는 데 동의합니다” 항목을 선택할 수 있습니다. 선택한 경우에만, 그리고 그 문의와 관련된 대화만 열람합니다.

제14조 (개인정보 보호책임자)

① 회사의 개인정보 보호책임자는 개인정보 처리 전반과 회원의 불만 및 요청 처리를 책임집니다.

항목	내용
이메일	vmsholdings@vmsforsea.com

정보 열람 등의 문의와 요청은 cs@vmsforsea.com 으로 보내 주십시오.

② 회원은 서비스 이용과 관련한 개인정보 문의, 불만, 요청을 개인정보 보호책임자에게 보낼 수 있으며, 회사는 지체 없이 답변합니다.

제15조 (불만 제기)

회원은 먼저 제14조의 개인정보 보호책임자에게 개인정보 관련 불만을 제기할 수 있습니다. 회원이 사는 나라의 개인정보 보호 감독기관에 연락할 수도 있습니다.

제16조 (이 방침의 변경)

① 이 방침은 2026년 10월 1일부터 시행합니다.

② 이 방침을 바꿀 때는 시행 최소 7일 전에 서비스 안에 공지합니다. 회원에게 불리한 변경은 최소 30일 전에 공지하고 이메일이나 앱 알림으로도 알립니다. 이전 버전은 서비스 안의 약관 및 정책 화면에서 볼 수 있습니다.

③ 버전 1.0.

④ 회원의 개인정보에 책임을 지는 회사는 미국 델라웨어주 법인 eazlyai, Inc. 입니다.

제17조 (캘리포니아 거주자 안내)

① 회사가 수집하는 개인정보의 범주와 이를 공유할 수 있는 제3자는 제1조, 제5조, 제6조에 있습니다(캘리포니아 사업직업법 §22575(b)(1)).

② 회원은 제8조에 따라 자기 개인정보를 확인하고 변경을 요청할 수 있습니다(§22575(b)(2)).

③ 이 방침의 중요한 변경은 제16조에 따라 알리며, 시행일도 제16조에 적습니다(§22575(b)(3), (4)).

④ 추적 거부(Do Not Track). 서비스는 웹 브라우저의 “Do Not Track” 신호에 응답하지 않습니다(§22575(b)(5)).

⑤ 제3자의 추적. 회사가 이용 통계에 쓰는 Google Analytics 와 화면 사용성 개선에 쓰는 Microsoft Clarity 는 회원이 서비스를 이용할 때 시간과 여러 웹사이트에 걸친 회원의 온라인 활동 정보를 수집할 수 있습니다(§22575(b)(6)). Google Analytics 는 제10조에 따라 브라우저나 기기 설정에서 거부할 수 있습니다. 웹의 Clarity 는 Digital Advertising Alliance 옵트아웃 페이지(https://optout.aboutads.info/)를 이용하거나 브라우저에서 Global Privacy Control 을 켜서 거부할 수 있습니다.

⑥ 캘리포니아 소비자 개인정보 보호법(CCPA). 회사는 현재 CCPA 가 적용되는 기준에 해당하지 않습니다. 회사는 개인정보를 판매하지 않으며, 교차 맥락 행동 광고를 위해 공유하지 않습니다. CCPA 가 적용되기 시작하면 알 권리, 삭제권, 정정권, 거부권, 제한권, 차별받지 않을 권리와 그 행사 방법을 이 조에 더합니다.

⑦ 마케팅 이메일. 회사가 마케팅 이메일을 제공하는 경우 수신에 동의한 사용자에게만 보냅니다. 모든 메시지에는 회사의 우편 주소와 수신 거부 링크를 넣으며, 수신 거부 요청은 10영업일 안에 처리합니다(CAN-SPAM 법).

⑧ 아동. 서비스는 COPPA 에서 말하는 13세 미만 아동을 대상으로 하지 않습니다. 서비스를 이용하려면 16세 이상이어야 합니다(제3조).

tting Privacy Policy

Version v1.0 · Effective 1 October 2026

This Privacy Policy explains what personal information eazlyai, Inc. (“eazlyai,” “we,” “us” or “our”), a Delaware corporation, collects when you use tting, how we use, share and protect it, and what choices and rights you have. We comply with the privacy laws that apply to us, including the California Online Privacy Protection Act.

This policy applies to the tting service (the web app, the iOS app, the Android app and tting.ai). The tting apps are published on the App Store and Google Play by our affiliate VMS Holdings Co., Ltd. on our behalf. VMS Holdings also develops and operates the Service for us as a service provider (see Section 5). eazlyai is responsible for your personal information as described in this policy. Our other websites and services have their own privacy policies.

1. What we collect, why, and how long we keep it

We collect only the personal information we need to provide the Service. We process the information needed for sign-up and for using the Service to perform our contract with you. We process anything else only with your consent.

The only optional consent is for marketing email, if we offer it. Before we do, we’ll update this policy with what we process and how long we keep it. Every marketing message will explain how to opt out, and we’ll reconfirm your consent every two years. We don’t use data received from Google APIs for marketing or advertising. The AI data-sharing permission in Section 12(8) is a control over processing we do to perform our contract with you, not a separate consent.

A. Information you give us or that is created as you use the Service

Why we use it	What we collect	How long we keep it
Sign-up, identity verification and sign-in	Email address; Google account identifier and the name and profile picture Google provides; Apple account identifier; sign-in device identifier; session information	Until you close your Account, plus a 30-day restoration period. Then deleted
Your profile	Name, profile image, display language	Until you close your Account
Running Workspaces and sending invitations	Workspace name and logo, your role, email addresses of people invited (including people who don’t have an Account)	30 days after the Workspace is deleted. Invitation data until the invitation expires (7 days)
AI conversations and Agent runs	Conversation content, attached files, Output, Agent definitions (including system prompts), Workflow definitions, run history and the input and output of each step, cited sources	Conversations and Output as long as the Workspace exists. Workflow run history for 7 to 365 days depending on the plan (Free 7 days · Starter 30 days · Pro and Team 90 days · Business 365 days · Enterprise as agreed)
Storing and searching Knowledge	Documents you upload; documents imported through Connectors, and documents and events created or edited through Connectors at your direction (currently Notion, Google Drive, Google Calendar, Google Docs, Google Sheets, Google Slides and Gmail labels); index data	Until you delete them, and no later than 30 days after the Workspace is deleted
Memory	Your global Memory and your Memory for each Workspace (Section 12(6)), and the identifiers of the Workspace and Agent it came from	Deleted when it hasn’t been used for one year, when you delete it in Settings, or when you ask us to delete it under Section 8(4). Your Memory for a Workspace is also deleted when you leave or are removed from that Workspace, or the Workspace is deleted
Connectors	Authentication tokens for third-party services, the identifier of the connected account (email), nickname, API tokens (stored encrypted)	Deleted immediately when you disconnect or are removed from the Workspace
Using your own LLM key (if we make it available)	The API key you register (stored encrypted)	Until you delete it
Payments and billing	Payment method details (the token and last digits of the card held by Stripe), billing information, the business name and tax ID you choose to add to invoices, transaction history, Seat count, Points balance and purchase records, usage	5 years (for tax, accounting and dispute purposes)
Marketplace purchases	Identifiers of the buying Workspace and user, the product, the payment identifier, the price at the time of purchase, the purchase status and whether it was refunded	5 years (for tax, accounting and dispute purposes)
Evidence for payment disputes	When you agreed to the Terms and which version, payment confirmation emails, when Seats and Points were delivered, when Marketplace products were installed, a summary of your usage	18 months from your last payment
Seller profiles	Your display name as shown on the products you publish	As long as the product is listed
Seller payouts	Seller identifier, Stripe connected account identifier, sales, balance and payout history. Stripe collects your identity, bank account and tax information directly (see Section 5(2))	5 years (for tax, accounting and dispute purposes)
Tax reporting for US Sellers	Name, address and taxpayer identification number from the Form W-9 information collected through Stripe, and annual payment totals	As long as tax law requires us to keep the records of the information returns we file
Marketplace installs	Identifier of the user who installed, the product installed, when and from where	As long as the Workspace exists
Notifications	Notification settings, notification history, a key used to match push deliveries	Notification history for 2 months. Push tokens are held by the push platform, not stored by us
Support requests, reports and feedback	What you send us, our replies, reports of inappropriate responses (the conversation, the response and the reason)	3 years (for dispute purposes)
Records of your agreement to the Terms	The version of the Terms you agreed to and when; the AI data-sharing permission in Section 12(8) you gave or withdrew, its version and when	5 years after you close your Account

The Notion, Google Drive, Google Calendar, Google Docs, Google Sheets and Google Slides Connectors read and write data at your direction. The Notion Connector reads, creates and edits pages in the Notion workspace you connect. The Google Drive Connector reads the files you select and works with files the Service creates. We don’t import Drive files you haven’t selected. The Google Docs, Sheets and Slides Connectors read, create and edit documents. The Google Calendar Connector reads the list of calendars you subscribe to, reads, creates, edits and deletes events, and responds to invitations. The Gmail Connector only reads your list of labels and creates labels. It doesn’t read your email or send mail. The Google Contacts Connector uses only your basic Google account information (name, email address and profile picture) and doesn’t read your contacts. Whether an action that creates or changes data outside the Service asks for your approval first depends on the Agent’s approval setting described in Section 11(3) of our Terms.

Voice input. When you dictate in the chat box, your speech is turned into text on your device or by your device’s or browser’s own speech recognition feature. We don’t receive or store the audio. Only the text you send reaches us, and you can edit it before sending. We handle it like any other conversation content. When possible, your speech is recognized on your device. Otherwise, your device or browser sends it to its speech recognition provider (Apple on iOS; on Android, the recognition service set on your device, usually Google; on the web, your browser’s provider, such as Google for Chrome), which handles it under its own privacy policy. This is a feature of your device or browser, and these providers aren’t service providers acting for us. The Service uses the microphone and speech recognition only while you’re dictating and only with your permission. You can turn this permission off at any time in your device or browser settings.

B. Information collected automatically when you use the Service

Why we use it	What we collect	How long we keep it
Operating the Service, preventing abuse, responding to incidents	IP address, access date and time, device and browser information, app version, usage records, error records	Access logs 3 months; error logs 90 days
Usage statistics	Statistics on how screens are used (in a form that doesn’t identify you)	14 months
Improving how our screens work (session recordings and heatmaps)	Screen layout, where you tap, click or scroll, screen transitions, device and browser information, IP address, and an internal user identifier. Text, images and anything you type are masked on your device before they’re sent, so we don’t collect them	Recordings for 30 days (a random sample and recordings we flag are kept for up to 9 months); heatmaps for up to 9 months
Auditing our operators	Records of what our operators view and change	1 year

2. How long we keep information

(1) We keep personal information only as long as needed for the purposes and periods in Section 1, or as long as the law requires.

(2) When you withdraw your consent or the retention period ends, we delete the information without delay. If you close your Account, we delete your information after the 30-day grace period described in paragraph (4). If another law requires us to keep certain information, we keep it separately for that period.

(3) We keep contract, payment and payout records for 5 years, support and complaint records for 3 years, and access logs for 3 months, to meet our tax, accounting and legal obligations and to resolve disputes.

(4) When you close your Account or a Workspace is deleted, the data is permanently deleted after a 30-day grace period. During the grace period you can ask us to restore it at cs@vmsforsea.com.

3. Children

The Service isn’t directed to children. You must be at least 16 to use it. If we learn that we’ve collected personal information from someone under that age, we delete it without delay.

4. Sharing with third parties

(1) We use your personal information only as described in Section 1, and we share it with third parties only with your consent or where a specific law requires or allows it.

(2) Apart from paragraphs (4) and (6), we don’t share personal information with third parties. Sending payment information to Stripe to process a payment is processing on our behalf under Section 5(2). These aren’t sharing with third parties: Content you upload to a Workspace being visible to other people in the same Workspace, and data sent at your direction to a third-party service you connected through a Connector.

(3) Sending data to Amazon Web Services to generate AI responses through Amazon Bedrock is processing on our behalf under Section 5. So is sending search queries to Tavily for web search and uploaded documents to Google Document AI for parsing.

(4) When you publish a product in the Marketplace, your display name is shown to other users on the product’s listing. We don’t give Sellers the names or email addresses of buyers.

(5) We don’t sell your personal information.

(6) We may disclose personal information to comply with law or legal process, to enforce our Terms, or to protect the rights, property or safety of eazlyai, our users or others. If we’re involved in a merger, acquisition, financing or sale of assets, your information may be transferred as part of that transaction, and we’ll notify you.

5. Service providers that process data for us

(1) We use the following service providers to process personal information on our behalf so that we can provide the Service.

Service provider	What they do for us	How long they keep it
VMS Holdings Co., Ltd. (our affiliate)	Developing, operating and maintaining the Service, customer support, publishing the apps on the App Store and Google Play	Until our contract with them ends
Amazon Web Services, Inc.	Running the Service’s infrastructure, storing data, sending email, generating AI responses through Amazon Bedrock	Until our contract with them ends
OpenAI, L.L.C.	Embedding (converting to vectors) documents and search queries for Knowledge search	Until our contract with them ends
AlphaAI Technologies Inc. d/b/a Tavily	Web search for Agents and Workflows	Until our contract with them ends
Google LLC	Google sign-in, push notifications (Firebase Cloud Messaging), usage statistics (Google Analytics), parsing uploaded Knowledge documents (Google Document AI)	Until our contract with them ends
Functional Software, Inc. d/b/a Sentry	Collecting error reports (critical paths)	Until our contract with them ends
Microsoft Corporation	Session recordings and heatmaps (Microsoft Clarity)	Until our contract with them ends
Stripe, Inc.	Payment processing (authorizing and settling payments, refunds, handling chargebacks, preventing fraud), payouts to Sellers, preparing information returns for US Sellers	Until our contract with them ends

(2) We use Stripe (Stripe, Inc., 354 Oyster Point Boulevard, South San Francisco, CA 94080, USA) to process payments. We send Stripe your email address, billing information (name, billing address, country), the transaction amount and currency, and the order identifier, so Stripe can authorize and settle payments, issue refunds, handle chargebacks and prevent fraud. The card number and security code you enter are handled directly on Stripe’s payment screen. They don’t pass through our servers, and we don’t store them. Payment data is sent encrypted with TLS, and Stripe complies with PCI DSS. Card information you enter on Stripe’s payment screen, and the identity, bank account and tax information a Seller provides when connecting a Stripe Express account, are collected by Stripe directly and handled under Stripe’s own privacy policy (https://stripe.com/privacy). Stripe also uses that information for its own purposes, such as preventing fraud and meeting its legal obligations. For questions about that information or to exercise your rights over it, please contact Stripe. We receive from Stripe only what we need to pay Sellers and to file information returns.

(3) Services you connect directly through a Connector (such as Google Drive and Notion) are connected at your direction. They aren’t service providers acting for us.

(4) Our contracts with service providers prohibit them from processing personal information for any purpose other than the work we give them, except as stated in paragraph (2) for Stripe, in Section 12(3) for Tavily and in Section 10(2) for Microsoft, and set out technical and administrative safeguards, limits on further outsourcing, our oversight and their liability for damages. We check that they handle the information securely.

(5) Our service providers may use sub-processors only as our agreements with them allow. Section 6(3) links to the sub-processor lists they publish.

(6) If the work we outsource or the service providers we use change, we update this policy without delay. Service providers outside your country are also described in Section 6.

(7) We generate AI responses through Amazon Bedrock and don’t connect directly to Model Providers to generate responses. The models currently available are Claude, GPT, Qwen and Kimi. Input used to generate responses is processed within Amazon Web Services and isn’t separately passed to the model’s developer, so those developers aren’t our service providers. Embedding, which converts documents and search queries into vectors for Knowledge search, is done by OpenAI, as shown in the table above and in Section 6. Web search for Agents and Workflows is done by Tavily, and uploaded Knowledge documents (such as PDF, DOCX and PPTX files) are parsed by Google Document AI to extract their text.

6. International data transfers

(1) We’re incorporated in the United States and provide the Service to users in the United States and other countries. Our infrastructure is located in Ireland (Amazon Web Services eu-west-1), so your personal information may be processed outside the country where you live. Additional information for California residents is in Section 17.

(2) To perform our contract with you, we transfer personal information to the following recipients outside the country where you live, for processing and storage on our behalf.

Recipient	Country	When and how	What we transfer	Why	How long they keep it
Amazon Web Services	Ireland (eu-west-1). AI responses are generated in the United Kingdom (eu-west-2), and some models may be processed in other Amazon Web Services regions where Amazon Bedrock is available (such as the United States)	Sent and stored over the network while you use the Service	Everything listed in Section 1	Running infrastructure, storing data, generating AI responses through Bedrock	Until our contract with them ends
VMS Holdings Co., Ltd.	Republic of Korea	Accessed remotely over the network when operating the Service and handling support requests	The items in Section 1 needed for the work described in Section 5	Developing and operating the Service, customer support	Until our contract with them ends
OpenAI, L.L.C.	United States	Sent when documents are indexed and when you search Knowledge	Text of uploaded or imported documents, search queries	Embedding for Knowledge search	Until our contract with them ends
AlphaAI Technologies Inc. d/b/a Tavily	United States	Sent when an Agent or Workflow searches the web	The search query the AI model writes from your conversation (which may include personal information you’ve entered). No user or Workspace identifiers	Web search	Until our contract with them ends
Google LLC	United States. Uploaded Knowledge documents are parsed in Google’s EU multi-region	Sent at sign-in, when push notifications are delivered, and when you upload a Knowledge document	Google account identifier, push token, usage statistics; the Knowledge documents you upload (a copy is kept only until parsing is finished, then deleted)	Sign-in, notifications, statistics, parsing uploaded documents for Knowledge search	Until our contract with them ends
Stripe, Inc.	United States	Sent when you pay, and when a Seller receives a payout	Email address, billing information, transaction amount and currency, order identifier; for Sellers, seller identifier, sales and payout amounts	Payment processing, payouts to Sellers, information returns	Until our contract with them ends
Functional Software, Inc. d/b/a Sentry	United States	Sent when an error occurs	Error records and the request information in them	Collecting errors and responding to incidents	Until our contract with them ends
Microsoft Corporation	United States	Sent over the network while you use the Service	The session recording and heatmap data described in Section 1(B)	Analyzing how our screens are used	Recordings for 30 days (some for up to 9 months); heatmaps for up to 9 months

You can contact the recipients about privacy as follows. VMS Holdings Co., Ltd.: vmsholdings@vmsforsea.com · Amazon Web Services, Inc.: privacy request form https://pages.awscloud.com/DSAR_RTF.html, 410 Terry Avenue North, Seattle, WA 98109-5210, USA · Google LLC: privacy inquiry form https://support.google.com/policies?p=privpol_privts, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA · Functional Software, Inc. d/b/a Sentry: compliance@sentry.io, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA · Stripe, Inc.: privacy@stripe.com, 354 Oyster Point Boulevard, South San Francisco, CA 94080, USA · OpenAI, L.L.C.: privacy@openai.com, San Francisco, CA, USA · AlphaAI Technologies Inc. d/b/a Tavily: privacy page https://www.tavily.com/privacy, support@tavily.com, 1350 Broadway, 24th Floor, New York, NY 10018, USA · Microsoft Corporation: privacy inquiry form https://aka.ms/privacyresponse, One Microsoft Way, Redmond, WA 98052, USA

(3) Service providers may use their own sub-processors to provide their services. Sub-processors and their locations follow the lists each provider publishes, and we update this policy when those lists change: Amazon Web Services sub-processor list · Google Firebase subprocessor list · Sentry subprocessor list · Stripe service providers list

(4) You can object to the transfer of your personal information outside your country by emailing the privacy officer in Section 14. If you object to a transfer that’s needed to provide the Service, you may not be able to use some or all of the Service.

(5) The transfers to Amazon Web Services, OpenAI, Tavily and Google (Document AI) in paragraph (2) are needed for AI features and Knowledge search, so if you object to them, you won’t be able to use those features. Transfers to Stripe are needed for paid features, so if you object, you won’t be able to use paid features.

7. Deleting information

(1) When the retention period ends or we no longer need personal information for its purpose, we delete it without delay.

(2) If another law requires us to keep information, we move it to a separate database or storage location.

(3) We delete electronic files so that they can’t be recovered.

(4) A deleted Workspace is permanently deleted after a 30-day grace period. Deleted data may remain in backups for up to 30 days.

8. Your rights and how to use them

(1) You can ask at any time to access, correct or delete your personal information or to stop us from processing it, and you can withdraw your consent.

(2) Here’s how. You can edit your profile and Workspace information in the Service. You can close your Account in Settings in the app or on the web. You can delete conversations, files, Knowledge and Output in the Service. You can view, add, edit and delete your global Memory and your Memory for the current Workspace in Settings. For anything else, email cs@vmsforsea.com.

(3) After confirming that the request comes from you or from someone you’ve authorized, we act on it within 10 days and let you know the result. We confirm your identity by checking that the request comes from your Account email address or is made while you’re signed in to your Account.

(4) When you ask us to delete your Memory, we delete all of it. When you leave or are removed from a Workspace, or the Workspace is deleted, your Memory for that Workspace is deleted. Your global Memory stays until you delete it or close your Account.

(5) Content uploaded to a team Workspace is managed by the organization that created the Workspace, and we process it on that organization’s instructions. Your own deletion requests cover your account information and your Memory. To remove your information from Workspace content, ask the Workspace Owner or an Admin. Once they delete it, we destroy it as described in Section 7.

(6) We can’t delete payment and payout records while the law requires us to keep them. These records are held by us and by Stripe.

(7) You can download your data. You can export conversations and download Output, and we may add other export options.

(8) You can exercise your rights through a legal representative or an authorized agent. In that case, we need a signed authorization.

(9) Your right to access information or stop its processing may be limited where the law provides.

(10) If you ask us to correct or delete information, we won’t use or share it until we’ve completed your request.

9. How we keep your information safe

We take the following measures.

Technical measures. Secrets are stored encrypted and hidden in screens, logs and run history. Authentication tokens are signed and short-lived, and sessions are revoked if we detect reuse. Every time a resource is accessed, our servers check that the requester and the resource belong to the same Workspace. We limit how many authentication requests can be sent.
Administrative measures. What our operators view and change is recorded in an audit log. Operator accounts go only to approved people and are revoked as soon as they’re no longer needed. Operators sign in only with our company Google Workspace accounts, which require two-factor authentication. As a rule, operators don’t read your conversations or the contents of your files.
Encryption. Uploaded files and Output are encrypted at rest, public access is blocked, and download links work only for a short time. Database connections require TLS. Secrets are kept in a dedicated secrets store and hidden in logs and run history. Payment data is sent over TLS from Stripe’s payment screen and doesn’t pass through our servers.

10. Cookies and similar technologies

(1) We store device identifiers and session information to keep you signed in and to run the Service. The Service’s API doesn’t use cookies for sign-in; it exchanges tokens in request headers. On the web, analytics tools may use cookies for usage statistics and to improve how our screens work.

(2) We use Firebase-based analytics tools for usage statistics. These statistics record how our own screens are used and don’t include data received from Google APIs. We also use Microsoft Clarity to create session recordings and heatmaps so we can improve how our screens work. Text, images and anything you type are masked on your device before they’re sent, so they don’t appear in recordings. On the web, Clarity uses cookies. If you access the Service from the European Economic Area, the United Kingdom or Switzerland, Clarity doesn’t set cookies. Microsoft also processes this data for its own purposes, as described in the Microsoft Privacy Statement.

(3) We don’t use information about your activity for personalized advertising.

(4) You can block cookies in your browser settings, and you can turn off app notifications and the use of advertising identifiers in your device settings. Doing so may limit your use of the Service.

(5) Device permissions. The apps may ask for the following permissions. All of them are optional, and you can use the rest of the Service without them. Notifications: to send you push notifications. Photos: to choose an image to upload, such as a Workspace logo, a profile picture or a chat attachment. Microphone and speech recognition: to turn your speech into text in the chat box (Section 1). You can turn each permission off in your device settings.

11. Automated decisions

We don’t make fully automated decisions that significantly affect your rights or obligations. AI responses and Workflow runs are tools you set up and review, and you decide whether to use their results. Apart from switching a Workspace to read-only for non-payment, no rule suspends a user without human judgment. Suspensions are decided by an operator.

12. AI models and your data

(1) The parts of your conversations, attachments, connected Knowledge and Memory needed to generate a response are sent to Amazon Web Services under Section 5. For Knowledge search, the text of documents and search queries is sent to OpenAI under Section 5. When an Agent or Workflow searches the web, only the search query the AI model writes from your conversation is sent to Tavily under Section 5. The query may include personal information you’ve entered, but no user or Workspace identifiers. When you upload a Knowledge document, a copy is sent to Google Document AI under Section 5 to extract its text, and the copy is deleted once parsing is finished.

(2) We don’t use your Content to train our own AI models.

(3) Because AI responses are generated through Amazon Bedrock, the input used to generate them stays within Amazon Web Services and isn’t used to train the model developers’ models. Under OpenAI’s API data policy, embedding input sent to OpenAI isn’t used to train its models. Tavily may use search queries to improve its search service, as described in its privacy policy.

(4) If we let you register and use your own API key, that transmission is governed by your contract with the Model Provider.

(5) We hide secrets in your input before sending it to a Model Provider.

(6) Memory belongs to you, not to a Workspace. Your global Memory holds only a fixed set of preferences (how you like to be addressed, language, tone, format and length) and is used in every Workspace you’re part of. Your Memory for a Workspace holds what the Service learns from your conversations in that Workspace, which may include notes about other people you mention. It’s used only in that Workspace, never in other Workspaces, and isn’t shared with other people in the Workspace.

(7) The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements. The same standard applies to all data received from Google APIs, including data received through Google Sign-In. We use this data only to provide and improve the features you’ve asked for. We don’t use it to train generalized AI or ML models, don’t use it for marketing or advertising, don’t sell it or transfer it to third parties, and don’t use it to determine creditworthiness or for lending. Where a service provider listed in Section 5 processes this data on our behalf to the extent needed to provide a feature, that is described in Sections 5 and 6.

(8) Before we first send your Content to the providers we use for AI features listed in Section 5 (Amazon Web Services, OpenAI, Tavily and Google), we ask for your permission in the Service. This permission is required to create an Account and use the Service, because AI features are the core of the Service. You can withdraw it at any time by closing your Account in Settings or by contacting us at cs@vmsforsea.com. When you withdraw it, we stop sending your Content to these providers. We process this data to perform our contract with you, as described in Section 1. This permission is an additional control you have over that processing.

13. When our operators can see your information

(1) For customer support and billing, our operators can see your account information, the status of your Workspaces and Seats, and metadata about your conversations and runs (title, time, status and usage).

(2) Operators view the text of a conversation only for a support request in which you’ve agreed to it, to handle a report or investigate a suspected violation of the Terms or the law, to review a product you’ve submitted to the Marketplace, or when the law requires it. As a rule, operators don’t view the contents of your files, only file lists and metadata. We may view other Content, including files and the definition of an Agent or Workflow, for the same purposes. Every such view is recorded in the audit log.

(3) We ask for your consent this way: when you contact support, you can check “I agree that an operator may view this conversation to resolve the issue.” Only if you check it, and only the conversation related to your request, is viewed.

14. Privacy officer

(1) Our privacy officer is responsible for how we handle personal information and for handling your complaints and requests.

Item	Details
Email	vmsholdings@vmsforsea.com

For questions and requests such as access to your information, email cs@vmsforsea.com.

(2) You can send the privacy officer any privacy question, complaint or request about your use of the Service, and we’ll respond without delay.

15. Complaints

You can raise a privacy complaint with the privacy officer in Section 14 first. You can also contact the data protection authority in the country where you live.

16. Changes to this policy

(1) This policy takes effect on 1 October 2026.

(2) When we change this policy, we announce it in the Service at least 7 days before the change takes effect. If a change is unfavorable to you, we announce it at least 30 days in advance and also tell you by email or app notification. You can find previous versions on the Terms and Policies screen in the Service.

(3) Version 1.0.

(4) The company responsible for your personal information is eazlyai, Inc., a Delaware corporation.

17. Notice to California residents

(1) The categories of personal information we collect and the third parties we may share it with are listed in Sections 1, 5 and 6 (Cal. Bus. & Prof. Code §22575(b)(1)).

(2) You can review and request changes to your personal information as described in Section 8 (§22575(b)(2)).

(3) We notify you of material changes to this policy as described in Section 16, which also states the effective date (§22575(b)(3), (4)).

(4) Do Not Track. The Service doesn’t respond to “Do Not Track” signals from web browsers (§22575(b)(5)).

(5) Third-party tracking. Google Analytics, which we use for usage statistics, and Microsoft Clarity, which we use to improve how our screens work, may collect information about your online activities over time and across different websites when you use the Service (§22575(b)(6)). You can opt out of Google Analytics through your browser or device settings as described in Section 10. To opt out of Clarity on the web, use the Digital Advertising Alliance opt-out page (https://optout.aboutads.info/) or turn on Global Privacy Control in your browser.

(6) California Consumer Privacy Act. We don’t currently meet the thresholds that make the CCPA apply to us. We don’t sell personal information or share it for cross-context behavioral advertising. If the CCPA starts to apply, we’ll update this section with your rights to know, delete, correct, opt out and limit, and your right not to be discriminated against, along with how to exercise them.

(7) Marketing email. If we offer marketing email, we’ll send it only to users who opt in. Every message will include our postal address and an unsubscribe link, and we’ll honor opt-out requests within 10 business days (CAN-SPAM Act).

(8) Children. The Service isn’t directed to children under 13 within the meaning of COPPA. You must be at least 16 to use the Service (Section 3).