제로투원플로우(021flow)는 여행·출장 일정의 작성, 공유, AI 지원과 구독 제공에 필요한 정보를 처리합니다. 필요한 기능을 사용하지 않으면 해당 기능의 선택 정보를 보내지 않아도 됩니다.
수집하는 정보와 용도
로그인: Google 또는 Apple 계정 식별자, 제공된 이름·이메일, 로그인 세션. 계정 확인과 여행 접근 제어에 사용합니다. 별도 비밀번호는 받지 않습니다.
여행·출장: 직접 입력하거나 올린 목적지, 일정, 동행자, 예약번호·문서, 영수증, 경비, 대화와 기억, 공개 장소 팁. 일정 작성·공유·정산과 요청한 기능에 사용합니다. 예약 문서와 영수증에는 민감한 내용이 들어 있을 수 있으니 업로드 전 확인해 주세요.
기기·이용: 알림을 켠 기기의 푸시 토큰, 서비스 접속·오류 정보, 구매 거래 식별자와 구독 만료 시각. 알림 발송, 장애 대응, 구독 권한 확인에 사용합니다. 카드번호는 Quinjet이 직접 받지 않습니다.
Pro 안내 개선: 계정별로 안내 방식을 나누어 안내 위치·클릭·요금 화면·결제 시작과 확인된 구독 거래의 연결을 비교합니다. 이 임시 기록에는 계정 식별자가 포함되며 31일 뒤 만료됩니다. 여행 문구·예약번호·문서·정확한 위치는 넣지 않습니다. 닫은 안내와 표시 횟수 설정은 마지막 사용 후 최대 31일 동안 유지하고, 계정 삭제 시 함께 지웁니다. 웹의 GPC·Do Not Track과 이 브라우저의 분석 끄기를 반영합니다.
소개 링크로 들어온 방문: 광고·소셜 게시물이나 공유 글 끝의 Quinjet 링크로 웹에 들어오면, 그 링크의 이름(예: 「Instagram 소개」)과 그 뒤 가입·여행 만들기·첫 초대가 있었는지를 날짜별 합계 숫자로만 셉니다. 브라우저 탭에 무작위 방문 번호를 잠시 두며, 계정·이메일·여행 내용과 연결해 저장하지 않고 광고 클릭 식별자는 받지 않습니다. 브라우저의 추적 거부(GPC·Do Not Track)를 켜면 세지 않습니다. 합계는 90일 뒤 지웁니다.
이용 분석(Google Analytics): 어떤 화면과 유입 경로가 가입·여행 만들기·초대·구독으로 이어지는지 보려고 웹에서 Google Analytics를 씁니다. 보내기 전에 주소에서 여행 번호·초대 코드·검색어를 지우고, 이름·이메일·여행 내용은 보내지 않습니다. 계정은 되돌릴 수 없게 바꾼 가명 번호로만 알리며, 앱스토어·웹 구독 결제와 갱신은 별도의 계정 결제 분석에 동의한 경우에만 서버가 가명 번호·거래 번호·상품·금액·통화로 알립니다. 계정 결제 분석은 기본으로 꺼져 있으며 이 페이지에서 동의하거나 철회할 수 있습니다. 광고 저장·광고 맞춤·Google 신호는 끕니다. 브라우저의 추적 거부(GPC·Do Not Track)를 켜면 보내지 않으며, 위에서 이 브라우저의 분석을 끌 수 있습니다. 유럽경제지역(EEA)·영국·스위스에서 접속하거나 접속 국가를 알 수 없으면, 화면 아래 안내에서 「허용」을 고르기 전에는 Google Analytics를 불러오지도 않습니다. 고른 내용은 이 브라우저에만 저장되며, 위의 단추나 첫 화면 바닥글의 「분석 설정」에서 언제든 바꿀 수 있습니다. 접속 국가는 이 판단에만 쓰고 저장하지 않습니다.
선택한 기능: 현재 위치는 주변 장소·이동 판단 또는 사용자가 켠 감시에 사용합니다. 음성 입력은 매 녹음 동의 후 받아쓰기에 사용하며, 결과를 직접 보내기 전 검토할 수 있습니다.
공유와 외부 서비스
선택적 오류 추적은 운영자가 해당 환경에 설정한 경우에만 Sentry로 마스킹된 오류 정보를 보내 장애를 파악합니다. 계정·이메일·요청 본문·토큰·문서 내용은 제외하고 오류 종류·코드 위치 등을 최소한으로 보냅니다. 기본 표본 비율은 10%이며 화면 녹화·첨부·행동 기록은 보내지 않습니다. 설정이 없으면 전송하지 않습니다. 앱의 순수 네이티브 충돌 수집은 별도 검증 전까지 비활성입니다. 법률 검토 필요: 활성화 전에 수탁 계약·실제 처리 국가·접속 정보·보유기간과 고지 근거를 확정해야 합니다.
여행에 초대되어 권한을 받은 사람은 공유 일정과 해당 여행에서 공개로 설정된 자료를 볼 수 있습니다. 비공개 문서는 다른 참여자에게 공개하지 않습니다. 공개 장소 팁은 다른 사용자에게 보일 수 있습니다.
Google·Apple은 로그인과 앱 결제를 처리합니다. AI 동의를 한 경우, 기본 실행 방식은 운영 계정의 Claude Code CLI이며 설정에 따라 Codex CLI를 선택할 수 있습니다. CLI 모드에서는 선택한 제공자 하나만 사용하며 앱이 모델 API를 직접 호출하지 않습니다. API 모드는 별도로 선택한 환경에서만 사용하고, 장소 추천의 두 제공자 전송도 해당 모드의 설정·동의가 있을 때만 이루어집니다. 앱의 AI 동의 화면에 표시되는 제공자가 그때의 기준이며, 제공자가 바뀌면 동의를 다시 받습니다. CLI 모드의 음성 받아쓰기는 비활성입니다. API 모드에서만 녹음별 동의 후 OpenAI 전사 API를 사용합니다. 지도·장소·경로에는 Google과 OpenStreetMap 계열 서비스, 장소 확인에는 위키백과, 날씨와 환율에는 Open-Meteo와 ExchangeRate-API를, 항공편 상태에는 OpenSky Network(보내는 개인정보 없음)를 씁니다. 초대 메일은 Amazon SES로, 모바일 원격 알림은 Expo와 Apple(APNs)을 거쳐 보냅니다. 웹 콘텐츠 전송에는 Cloudflare가 관여합니다. 항공권 가격·운항 상세 조회 제공자(Amadeus·FlightAware)는 현재 연결되어 있지 않으며, 연결하면 아래 표에 추가합니다.
국외 이전
아래 정보는 표에 적힌 기능을 제공하기 위해 해당 시점에 HTTPS로 전송합니다. 각 회사의 공식 정책에서 확인한 보유·이용 기간과 예외를 표시했습니다. 계약·설정에 따라 달라지거나 확인하지 못한 기간은 「확인 중」입니다. 국외 이전을 원하지 않으면 해당 기능(AI·지도·알림·이메일 초대)을 쓰지 않거나 AI 동의를 철회할 수 있습니다. 이 경우에도 일정·예약을 직접 입력하고 볼 수 있습니다.
법률 검토 필요: 아래 국외 이전 고지는 검토 초안입니다. 수탁자별 계약·실제 처리 국가·연락처·법적 근거·거부 시 영향과 미확정 보유기간을 확인 중입니다. 회사 소재국이 모든 처리 국가를 뜻하지는 않습니다.
받는 곳
국가
보내는 항목
보내는 때
받는 곳의 보관 기간
Anthropic (Claude Code CLI)
계약 법인·실제 처리 국가 확인 중
AI 질문·대화와 기억, 관련 여행의 일정·예약·경비, 동행자의 이름·나이대·이동 조건·선호·식사 제한(정확한 나이·자유 메모 제외), 선택한 파일, 기능에 쓴 대략적 위치
AI 동의 후 CLI 모드에서 Claude Code가 선택된 기능을 쓸 때
CLI 모드에서 이 제공자가 선택된 경우에만 전송합니다. 운영 계정의 계약·개인정보 설정과 공급사 정책이 적용되며 실제 보유·이용 기간은 확인 중입니다. 아래 상용 API의 30일 기준을 CLI에 적용하지 않습니다. 로컬 세션 저장을 비활성화하고 요청별 임시 파일을 정리하지만 공급사 보관 자료의 즉시 삭제를 의미하지 않습니다. 법률·계정 계약 검토가 필요합니다.
AI 질문·대화와 기억, 관련 여행의 일정·예약·경비, 동행자의 이름·나이대·이동 조건·선호·식사 제한(정확한 나이·자유 메모 제외), 선택한 파일, 기능에 쓴 대략적 위치
AI 동의 후 CLI 모드에서 Codex가 선택된 기능을 쓸 때
CLI 모드에서 이 제공자가 선택된 경우에만 전송합니다. 운영 계정의 계약·개인정보 설정과 공급사 정책이 적용되며 실제 보유·이용 기간은 확인 중입니다. 아래 API의 30일·store:false 설명을 CLI에 적용하지 않습니다. 로컬 세션 저장을 비활성화하고 요청별 임시 파일을 정리하지만 공급사 보관 자료의 즉시 삭제를 의미하지 않습니다. 법률·계정 계약 검토가 필요합니다.
AI 질문·대화와 기억, 관련 여행의 일정·예약·경비, 동행자 정보(이름·나이대·이동 속도·이동 조건(휠체어·유모차·계단 피하기 등)·배려 수준·관심사·식사 제한. 정확한 나이·자유 메모는 보내지 않음), 선택한 파일, 기능에 쓴 대략적 위치. 동의한 음성 녹음(받아쓰기)
API 모드에서 해당 제공자가 선택된 AI 기능 또는 녹음별 동의 후 받아쓰기
일반 API 악용 감시 로그는 최대 30일(법률·안전상 예외). Quinjet은 Responses 요청에 store:false를 사용합니다. 음성 전사 API는 공식 표상 입력·출력을 보관하지 않습니다. 실제 계약·경유 서버·예외 적용은 확인 중입니다.
계정과 저장한 여행 자료는 서비스를 사용하는 동안 보관합니다. 여행을 지우면 그 여행의 일정·문서·지출·위치 기록과 그 여행에 묶인 AI 대화가 함께 삭제됩니다. 여행에서 나가거나 내보내지면 그 여행의 내 위치 기록·일정 알림·짐 목록·AI 대화와 「나만 보기」로 올린 내 문서가 삭제되고, 투표·메모·지출과 멤버에게 공유한 문서처럼 함께 만든 기록은 여행에 남습니다. 직접 켠 경로 기록은 여행 마지막 날(그보다 늦게 기록한 날이 있으면 그날)부터 30일 뒤 자동으로 삭제되며, 그 전에도 언제든 지울 수 있습니다.
프로필의 계정 삭제에서 삭제 범위를 확인하고 요청할 수 있습니다. 요청 뒤 새 접근을 막고 처리 상태를 표시합니다. 소유 여행은 함께 삭제될 수 있고, 다른 사람이 소유한 여행은 그 사람의 자료(대화·기억·수정 기록 포함)를 유지하면서 내 자료와, 내 이름·이메일·문서가 그대로 들어 있는 사본을 정리합니다. 다만 그 여행에 내가 기록한 지출과 준비물 체크·살 것은 남은 사람들의 정산과 목록이 바뀌지 않도록 남기고, 기록한 사람은 「탈퇴한 멤버」로 표시합니다. 여기에 이메일·사진·계정 정보 같은 개인정보는 남기지 않습니다. 완료 확인용 티켓 해시와 처리 시각은 7일 후 만료되도록 설정되어 있습니다. App Store 구독은 계정 삭제만으로 취소되지 않으므로 Apple에서 별도 관리해야 합니다.
운영 DB 백업은 매일 생성하도록 설정되어 있습니다. 새 백업의 복원 검증·원격 무결성 검증이 성공한 뒤 30일을 초과한 DB 백업을 정리합니다. 30일은 정리 기준이지 삭제 상한이 아닙니다. 작업이 실패하면 정리가 늦어져 30일을 넘길 수 있습니다. 업로드한 문서·표지 파일의 운영 백업은 아직 켜져 있지 않습니다. 계정·여행 삭제는 운영 DB에 반영되지만, 기존 백업에는 정리 시점까지 삭제 전 자료가 남을 수 있습니다.
운영·법률 검토 필요: 서버·접속·오류 로그의 실제 보관기간과 삭제 일정, NAS 버전·복제본은 확인 중입니다. 별도 삭제 원장과 복원 후 삭제 재적용 도구, 문서·표지의 30일 백업 도구는 로컬 합성 자료로 검증했으나 운영 설정·독립 복제본·실제 복원 훈련은 확인되지 않았습니다. 원장은 복원 가능한 백업보다 먼저 없어지면 안 되며 구체적 보유기간은 법률·운영 검토가 필요합니다. 운영 반영 전에는 복원으로 삭제 자료가 되살아날 위험이 남습니다. 백업까지 즉시 삭제된다고 약속하지 않으며 보관·삭제 상태는 아래 연락처로 문의해 주세요.
기기 저장과 선택
앱은 오프라인 이용과 로그인 유지에 필요한 일부 자료를 기기에 저장합니다. 로그아웃·계정 삭제 때 기기 자료를 정리합니다. 브라우저 저장소를 지우면 저장하지 않은 초안이 사라질 수 있습니다. 기기 설정에서 위치·마이크·알림 권한을 끌 수 있으며, 프로필에서 AI 전송 동의를 철회할 수 있습니다.
열람·수정·문의
프로필과 여행 화면에서 정보를 확인·수정할 수 있습니다. 열람, 정정, 삭제, 처리 정지와 그 밖의 개인정보 관련 요청은 [email protected] 또는 070-8676-0210으로 보내 주세요. 개인정보 문의 담당은 제로투원플로우(대표 류성태)입니다. 주소: 경기도 수원시 영통구 법조로 25, A동 2704호. 처리 방식이 바뀌면 이 페이지의 날짜와 내용을 갱신합니다.
Privacy Policy
Review draft dated October 27, 2026 · Quinjet web and mobile apps
Legal review required — document languages: Korean and English are the authoritative document versions; full Japanese, Chinese, Spanish and French translations are not provided, and readers in those languages are governed by this English version. Precedence between Korean and English in a conflict is being reviewed. Mandatory local rights still apply. Contact us if the versions differ.
Zero to One Flow (021flow) processes information needed to provide trip planning, sharing, AI assistance, and subscriptions.
Information and purposes
To improve Pro discovery, we compare account-assigned presentation groups, placement, clicks, plan views and checkout starts with verified subscription transactions. These temporary records include the account identifier and expire after 31 days. They exclude itinerary text, booking references, documents and precise location. Dismissal and frequency preferences are kept for up to 31 days after last use and are removed with account deletion. We honour GPC, Do Not Track and the browser analytics opt-out for this web flow.
We use the identifier, name, and email supplied by your Google or Apple sign-in for account access. Trips may contain plans, companions, reservations, documents, receipts, expenses, conversations, memories, and public place tips that you submit. We use device push tokens for notifications, transaction identifiers for subscription access, and access/error information for service operation. When you open the website from a Quinjet link in an ad, social post, or shared text, we count only daily totals per link name and whether a sign-up, trip, or first invite followed, using a random visit number kept in that browser tab; we do not store it with your account, email, or trip content, do not accept ad click identifiers, honour Global Privacy Control and Do Not Track, and delete the totals after 90 days. We use Google Analytics on the website to see which pages and referral links lead to sign-ups, trips, invites, and subscriptions. Before sending, we remove trip numbers, invite codes, and search terms from page addresses, and we never send names, emails, or trip content. Accounts are identified only by an irreversible pseudonymous number; App Store and web subscription payments and renewals are reported by our server only after separate account purchase analytics consent, using the pseudonymous number, transaction identifier, product, amount and currency. This account setting is off by default and can be granted or withdrawn on this page. Advertising storage, ad personalization, and Google signals are off. Nothing is sent when your browser uses Global Privacy Control or Do Not Track, and you can turn analytics off for this browser below. If you visit from the European Economic Area, the United Kingdom or Switzerland, or your country cannot be determined, Google Analytics is not even loaded until you choose Allow in the notice at the bottom of the screen. Your choice is stored only in this browser and can be changed any time with the button below or Analytics settings in the home page footer. Your country is used only for this decision and is not stored. We do not collect a separate password or payment card number. With your permission, location supports nearby and travel status features; each voice recording is sent for transcription only after its own consent prompt.
Sharing and services
Optional error reporting sends masked error types, code locations and timing to Sentry only when enabled by the operator for that environment. It excludes account information, emails, request bodies, tokens, document contents, cookies and headers. The default sample is 10%; session recordings, attachments and activity breadcrumbs are not sent. Unconfigured environments send nothing. Pure native app crash collection remains disabled pending separate verification. Legal review required: confirm the processor agreement, actual processing countries, connection metadata, retention and notice basis before activation.
Invited trip members can see shared trip content according to their permissions; public place tips can be seen by others. Google and Apple handle sign-in and App Store payments. With AI consent, your questions, relevant trip content (including companions’ names, age bands, walking pace, mobility needs such as a wheelchair, stroller, or avoiding stairs, preferences, and dietary limits; exact ages and free-text notes are not sent), and selected files are sent to the selected provider. The default transport uses Claude Code CLI with the operating account; Codex CLI is an alternative. CLI mode uses one selected provider and does not call model APIs directly from the app. API mode requires an explicit setting; its two-provider recommendations also require the corresponding configuration and consent. The AI consent screen in the app shows the current providers, and we ask again if they change. Voice transcription is disabled in CLI mode; explicit API mode can send recordings to OpenAI with recording-specific consent. Maps, places, and routes use Google and OpenStreetMap services (Nominatim, map tiles, Photon, Overpass, OSRM); Wikipedia verifies place names; Open-Meteo and ExchangeRate-API provide weather and exchange rates; OpenSky Network provides flight status (we download a worldwide snapshot and match flight numbers on our server, so no personal data is sent). Invitation emails are sent through Amazon SES, remote push notifications through Expo and Apple (APNs), and Cloudflare delivers web content. Flight fare and detailed operations providers (Amadeus, FlightAware) are not currently connected.
Information is transferred over HTTPS when needed for the features described above. Recipients include companies based in the United States, United Kingdom, Germany, Switzerland, South Africa and Republic of Korea (SES, Seoul); ExchangeRate-API also identifies servers in Ireland and Germany. A company’s home country does not specify all processing locations. You can avoid a feature’s transfer by not using it, or withdraw AI consent, and still enter and view plans manually.
Legal review required — cross-border transfers: This notice is a review draft. Recipient contracts, actual processing locations, contacts, legal bases, effects of refusal and unconfirmed retention periods need confirmation. The table distinguishes official policy periods from settings or applicability still being confirmed.
Recipient
Retention / use period and source
Anthropic — Claude Code CLI (selected account)
Sent only when this CLI is selected. Retention depends on the operating account agreement, privacy settings and provider policy; the applicable period is being confirmed. The commercial API period below does not apply to CLI use. Local session persistence is disabled and request files are cleaned up; this does not promise immediate deletion by the provider. Legal/account review is required.
Sent only when this CLI is selected. Retention depends on the operating account agreement, privacy settings and provider policy; the applicable period is being confirmed. The API 30-day/store:false descriptions below do not apply to CLI use. Local session persistence is disabled and request files are cleaned up; this does not promise immediate deletion by the provider. Legal/account review is required.
Sent only in environments with error reporting enabled. Retention follows purpose, legal obligations and project settings. The applicable entity, region and error-data period are being confirmed before activation.
Standard abuse logs: up to 30 days, with legal/safety exceptions. Quinjet sends store:false for Responses. The transcription endpoint lists no input/output retention. Contract, gateway and exception applicability are being confirmed.
Standard commercial API inputs/outputs: deleted within 30 days. Different agreements, persistent features, policy enforcement and legal obligations are exceptions. Contract applicability is being confirmed.
Automatically collected non-public personal data and searches: deleted, aggregated or de-identified within 90 days in general, subject to policy exceptions such as legal/security needs. This differs from permanent public contributions.
No user identifiers are submitted; our server downloads a global snapshot. Website logs: up to seven days, except evidence preservation. API-log applicability is being confirmed.
Processed for email delivery. Hard-bounced addresses go on the account suppression list and stay until removed (deleted after 90 days if account sending is paused). Message and delivery-log periods and account settings are being confirmed. Recipients control their own mailbox copies.
Notification contents stay only in memory/queues until handoff to Apple/Google, not in a database. Separate token, receipt and log periods are being confirmed.
Undelivered notifications may be stored for up to 30 days, depending on expiry settings. Token/log retention outside the delivery queue is being confirmed.
Our recorded setting is 14 months for event/user data. Identifier expiry resets on return visits are being confirmed; aggregate reports are outside this retention limit.
We keep your account and saved trips while you use the service. Deleting a trip also deletes its AI conversations. Leaving a trip deletes your location trail, reminders, packing list, AI conversations, and the documents you uploaded as “only me” for that trip; documents shared with members stay, as do votes, notes, and expenses. A route trail you turned on is deleted automatically 30 days after the trip’s last day (or the last recorded day, if later). You can review and request account deletion in your profile. Access stops when the request is accepted; our deletion job removes your account and your content, plus copies in other members’ records that contain your name, email, or documents, while keeping other members’ own conversations, memories, and edit history. Expenses, checklist ticks, and shopping picks you recorded in trips owned by others stay so their settlement and lists do not change; they are shown as “탈퇴한 멤버” (deleted member) and keep no email, photo, or account details. A hashed completion receipt expires after seven days. Deleting Quinjet does not cancel an Apple subscription. Local offline data is cleared on sign-out or account deletion, subject to device behavior. You can disable location, microphone, and notifications in device settings and withdraw AI consent in your profile.
Operational database backups are scheduled daily. Backups older than 30 days are pruned only after a new backup passes restore and remote integrity verification. Thirty days is the pruning rule, not a deletion cap: failures can delay pruning beyond 30 days. Production backups of uploaded documents and covers are not enabled yet. Account/trip deletion affects the operational database; retained backups may still contain earlier copies until pruning.
Operational and legal review required: Actual server/access/error-log retention and NAS versions/replicas are being confirmed. An independent deletion journal, deletion replay and 30-day document/cover backup tools passed local synthetic drills; production configuration, independent replicas and a production restore drill remain unverified. The journal must outlive every restorable backup; its specific retention needs legal and operational review. Deleted data could reappear until the safeguards are applied operationally. We do not claim immediate backup erasure. Contact us for current status.
Your requests and contact
You can review and edit information in your profile and trips. Send access, correction, deletion, or processing questions to [email protected] or 070-8676-0210. Privacy contact: Zero to One Flow, represented by Sungtae Ryu, A-2704, 25 Beopjo-ro, Yeongtong-gu, Suwon-si, Gyeonggi-do, Republic of Korea. We will update this page when our practices change.