게임 개인정보처리방침 작성법

엔진, 스토어, 여러 SDK가 모두 데이터를 보태기 때문에, 대부분의 게임은 개발자가 예상하는 것보다 더 많이 수집합니다. 현실적인 목록에는 보통 다음이 포함됩니다.

• 계정 및 프로필 데이터: 사용자 이름, 이메일, 플랫폼 계정 ID, 아바타, 친구 목록, 연결된 소셜 또는 콘솔 계정
• 기기 데이터: 기기 모델, 운영체제, 언어, IP 주소, 광고 식별자
• 게임플레이 데이터: 진행 상황, 세이브, 점수, 업적, 세션 길이, 레벨 완료 이벤트
• 진단 데이터: 크래시 로그, 스택 트레이스, 성능 지표, 프레임 레이트 데이터
• 구매 데이터: 인앱 결제 영수증, 가상 화폐 잔액, 거래 내역
• 소셜 및 이용자 콘텐츠: 채팅 메시지, 음성 채팅, 클랜 이름, 업로드한 레벨이나 이미지
• 고객 지원 데이터: 플레이어가 보내는 이메일과 문의

Apple의 앱 개인정보 보호 세부사항 안내는 이 점에서 명확합니다. 앱에 게임 세이브, 멀티플레이 매칭, 게임플레이 로직이 있다면 라벨에 게임플레이 콘텐츠를 신고해야 합니다. 항목마다 수집 이유, 전송 위치, 보관 기간을 기록하세요. 이 목록이 방침과 스토어 개인정보 응답의 뼈대가 됩니다.

게임을 Google Play나 App Store에 출시한다면 그렇습니다. Google Play는 개인 정보나 민감한 데이터에 접근하지 않는 게임을 포함해 모든 앱에 개인정보처리방침을 요구하고, Apple은 App Store Connect와 앱 안에 개인정보처리방침 링크를 요구합니다. 광고 SDK 하나가 들어간 하이퍼캐주얼 퍼즐 게임도 대규모 멀티플레이 게임과 똑같이 취급됩니다.

모바일 스토어 밖에서는 스토어 입력란이 아니라 법이 이유가 됩니다. PC, 콘솔, 브라우저 게임이 계정, 텔레메트리, 크래시 보고, 분석을 통해 직접 개인정보를 수집한다면, GDPR 같은 개인정보 보호법은 그 데이터가 어떻게 되는지 플레이어에게 알리도록 요구합니다. 스토어와 콘솔 플랫폼에도 각자의 개발자 계약이 있으므로, 출시하는 플랫폼마다 현행 약관을 확인하세요.

완전히 오프라인인 게임이라도 짧고 정직한 방침이 도움이 됩니다. 여러분의 프로젝트가 그렇다면 데이터를 수집하지 않는 앱의 개인정보처리방침 가이드에서 과장 없이 무엇을 적어야 하는지 확인하세요.

부분 유료화(free-to-play) 게임에서 광고는 가장 큰 개인정보 변수입니다. Google AdMob, Unity Ads, AppLovin 같은 광고 네트워크와, 여러 네트워크를 한 번에 호출하는 미디에이션 계층은 보통 광고를 선택, 전달, 측정하기 위해 기기 식별자, IP 주소, 광고 상호작용 데이터를 처리합니다. 각 네트워크는 무엇을 수집하는지 설명하는 자체 문서를 제공하므로, 빌드에 포함된 정확한 SDK 버전의 문서를 읽어 보세요.

방침에서는 다음을 다루어야 합니다.

• 실제로 통합한 광고 네트워크와 미디에이션 파트너를 각각 밝히거나, 범주별로 설명하고 그들의 방침을 링크하기
• 광고가 개인화되는지, 플레이어가 어떻게 옵트아웃할 수 있는지 설명하기
• 시청 보상으로 게임 내 보상을 준다면 보상형 광고 언급하기
• 광고 식별자를 정직하게 설명하기. iOS에서 추적을 위해 IDFA에 접근하려면 앱 추적 투명성(App Tracking Transparency)을 통한 이용자의 허락이 필요합니다

EU와 영국에서는 개인화 광고를 위해 기기에 정보를 저장하거나 읽으려면 일반적으로 동의가 필요하며, 그래서 많은 게임이 첫 실행 시 동의 요청을 띄웁니다. 픽셀, 식별자, 옵트아웃은 광고 개인정보 고지 가이드에서 더 깊이 다룹니다.

게임 엔진과 백엔드 서비스는 개발을 빠르게 해 주지만, 자체적인 데이터 수집을 가져오기도 합니다. 방침을 쓰기 전에 기억나는 추가 항목만이 아니라 프로젝트에서 실제로 켜져 있는 것을 확인하세요.

스택에 대해 물어볼 질문은 다음과 같습니다.

• 엔진의 분석, 진단, 크래시 보고 서비스가 릴리스 빌드에서 실행되나요?
• Unity를 쓴다면 분석이나 광고 같은 Unity 서비스가 프로젝트 설정에서 켜져 있나요?
• 클라우드 세이브, 리더보드, 매치메이킹, 원격 구성을 위한 백엔드가 플레이어 식별자를 저장하나요?
• Firebase Analytics, Crashlytics, Remote Config를 쓰나요, 그리고 어떤 데이터를 보내나요?
• Google Play 게임즈 서비스나 Game Center 같은 스토어 또는 플랫폼 SDK가 플레이어 ID를 서버로 전달하나요?

각 답은 방침에 이름을 밝힌 제공업체가 되거나, 서비스가 꺼져 있다는 확인이 됩니다. 예를 들어 Firebase는 제품별 데이터 공개 안내를 제공하며, 이는 Firebase 개인정보 고지 가이드에 요약되어 있습니다. 어떤 릴리스에 어떤 SDK 버전이 들어갔는지 짧은 내부 메모를 남겨 두면 플레이어 질문에 답하고 제공업체가 바뀔 때 방침을 빠르게 업데이트할 수 있습니다.

수익화와 소셜 기능은 각각 방침에 몇 줄씩을 더합니다.

인앱 결제. 플레이어가 App Store나 Google Play 결제로 지불하면 결제는 스토어가 처리합니다. Apple은 결제 정보가 앱 밖에서 입력되고 여러분이 그 정보에 전혀 접근하지 않는다면 여러분이 수집한 것이 아니라고 설명합니다. 다만 대개는 구매 영수증이나 거래 ID를 받게 되며, 이를 서버에서 검증하고 구매 복원이나 부정행위 방지를 위해 저장할 수 있습니다. 그 사실과 보관 기간을 밝히세요.

리더보드와 업적. 다른 플레이어에게 공개적으로 표시되는 닉네임과 점수는 설계상 공개되는 개인정보입니다. 방침은 무엇이 공개되는지, 닉네임을 쓸 수 있는지, 항목을 어떻게 삭제하는지 알려야 합니다.

클라우드 세이브와 크로스 프로그레션. 계정에 연결된 세이브는 여러분의 서버나 제공업체의 서버에 저장됩니다. 어디에, 비활성 상태가 된 후 얼마나 오래 보관되는지, 플레이어가 계정을 삭제하면 어떻게 되는지 설명하세요.

가상 화폐나 구독을 판매한다면 환불과 가상 아이템을 다루는 게임 약관도 필요할 수 있습니다. 앱 이용약관을 참고하세요.

플레이어가 여러분이 요청한 적 없는 정보까지 공유하기 때문에, 소셜 기능은 게임 개인정보처리방침에서 가장 신경 써야 하는 부분입니다.

게임에 해당 기능이 있다면 다음 사항을 다루세요.

• 텍스트 채팅: 메시지를 저장하는지, 얼마나 오래 보관하는지, 모더레이션을 위해 검사하거나 검토하는지
• 음성 채팅: 오디오를 실시간으로 중계만 하는지 녹음하는지, 제3자 음성 제공업체가 관여하는지
• 신고와 모더레이션: 플레이어가 다른 플레이어를 신고할 때 어떤 정보를 보관하며 누가 볼 수 있는지
• 이용자 생성 콘텐츠: 다른 플레이어가 볼 수 있는 레벨, 이미지, 이름과 그 삭제 방법
• 차단 및 안전 도구: 무엇을 하며 어떤 데이터에 의존하는지

Apple의 안내는 이용자 간 메시지를 신고하고, 자유 형식 텍스트와 음성 녹음에는 기타 사용자 콘텐츠, 오디오 데이터 같은 범주를 사용하도록 요구합니다. 이용자층에 아동이 있다면, Google Play의 가족 정책은 아동 이용자가 자유 형식 콘텐츠를 주고받기 전에 소셜 기능이 온라인 안전에 관한 앱 내 알림을 보여주고, 성인이 그 기능을 관리할 수 있게 하도록 요구합니다. 핵심 세부 사항은 보관 기간입니다. 모더레이션을 이유로 채팅 로그를 영구 보관하는 것은 정당화하기 어려우므로, 기간을 정하고 공개하세요.

온라인 플레이는 매 판마다 조용히 개인정보를 처리합니다. 매치메이킹과 전용 서버는 플레이어의 IP 주소와 접속 품질을 봅니다. P2P 네트워킹은 세션의 다른 플레이어에게 IP 주소를 노출할 수 있으므로, 이를 막기 위해 쓰는 릴레이 서비스가 있다면 그것과 함께 분명히 밝혀 두는 것이 좋습니다.

안티치트는 별도의 문단을 둘 만합니다. 솔루션에 따라 안티치트 소프트웨어는 부정행위를 탐지하기 위해 기기 및 시스템 정보, 식별자, 게임과 함께 실행 중인 소프트웨어에 관한 세부 정보를 수집할 수 있으며, 일부 도구는 높은 권한으로 실행됩니다. 플레이어가 신경 쓰는 부분이므로 다음을 설명하세요.

• 안티치트 제공업체를 쓴다면 어느 곳인지
• 어떤 범주의 데이터를 왜 검사하는지
• 데이터가 제공업체로 전송되는지, 얼마나 오래 보관되는지
• 그 데이터에 근거한 이용 정지나 계정 제한에 어떻게 이의를 제기할 수 있는지

보안과 부정행위 방지는 정당한 목적이며 GDPR상 정당한 이익에 근거할 수 있지만, 그래도 설명해야 하고 필요한 기간보다 오래 보관해서는 안 됩니다. ‘게임 개선을 위해 기술 데이터를 수집합니다’ 같은 모호한 문구로는 안티치트 검사에 대해 플레이어에게 아무것도 알려주지 못합니다.

계획했든 안 했든 게임은 아이들을 끌어들입니다. 가장 중요한 규칙은 세 가지입니다.

• COPPA는 13세 미만 아동을 대상으로 하거나, 아동으로부터 개인정보를 수집한다는 사실을 실제로 알고 있는 온라인 서비스에 적용됩니다. FTC는 주제, 시각적 콘텐츠, 애니메이션 캐릭터, 음악, 아동 지향적인 활동과 보상을 살펴봅니다. 개정된 COPPA 규칙은 2025년 6월 23일 시행되었으며, 일반 준수 기한은 2026년 4월 22일입니다.
• GDPR 제8조는 아동에게 직접 제공되는 정보사회서비스에서 처리가 동의에 근거하는 경우 부모 동의를 요구합니다. 기본 연령은 16세 미만이며, 회원국은 이를 13세까지 낮출 수 있습니다.
• 영국 연령 적합 설계 코드(Age appropriate design code)는 18세 미만이 이용할 가능성이 있는 앱, 게임, 커넥티드 장난감, 웹사이트에 대해 높은 수준의 개인정보 보호 기본 설정과 기본적으로 꺼진 위치 정보를 포함한 15가지 기준을 정합니다.

플랫폼 규칙도 더해집니다. Google Play의 가족 정책은 식별자, 위치, 광고 SDK를 제한하고, Apple의 키즈 카테고리는 제3자 분석과 광고를 제한합니다. COPPA 개인정보처리방침 가이드와 키즈 앱 개인정보처리방침 가이드를 읽고, 아동 대상 게임은 출시 전에 자격을 갖춘 변호사의 검토를 받으세요.

방침의 핵심 내용은 어디서나 같지만, 플랫폼마다 세부 사항이 달라집니다.

• 모바일: Google Play의 데이터 보안 양식과 Apple의 앱 개인정보 보호 세부사항을 작성해야 하며, 둘 다 방침과 일치해야 합니다. 스토어 등록 정보와 게임 안(예: 설정이나 옵션 메뉴)에 방침을 링크하세요.
• PC 스토어: 스토어가 보통 자체 개인정보처리방침에 따라 결제와 스토어 계정을 처리합니다. 자체 계정, 텔레메트리, 크래시 덤프처럼 게임, 런처, 백엔드가 직접 수집하는 것은 여러분이 공개해야 합니다.
• 콘솔: 플랫폼 보유사가 시스템 계정과 결제를 처리하지만, 타이틀 자체의 온라인 서비스와 분석은 여전히 개인정보 보호법상 공개가 필요하며, 플랫폼 계약이 추가 규칙을 정할 수 있습니다.
• 브라우저 게임: 쿠키, 로컬 스토리지, 분석 태그, 광고 스크립트가 적용됩니다. 이용자층에 따라 동의 요청이 필요할 수 있습니다. 쿠키 배너가 필요할까?를 참고하세요

게임이 크로스 프로그레션으로 여러 플랫폼에 걸쳐 있다면, 어떤 데이터가 플랫폼 간에 이동하는지, 각 계정을 어느 회사가 관리하는지 밝히세요.

앱 개인정보처리방침 생성기로 게임 개인정보처리방침 초안을 만들 수 있습니다. 애플리케이션 사용 사례를 선택한 다음 계정, 분석, 광고 제공업체, 결제, 이용자 콘텐츠, 아동, 플레이어가 사는 지역에 관한 질문에 답하세요. 질문지와 전체 미리보기는 계정 없이 무료이고, 기본 HTML 및 PDF 다운로드도 무료입니다.

조항은 버전이 관리되는 라이브러리에서 결정론적으로 선택되므로, 문서는 여러분이 확인한 내용만 설명합니다. 광고 네트워크와 크래시 보고를 쓴다고 답하면 해당 고지가 나타나고, 쓰지 않는다면 빠집니다. GDPR, 영국, 캘리포니아, COPPA, 브라질, 캐나다, 호주, 뉴질랜드 같은 고급 지역 모듈은 $5이며, 선택형 공개 호스팅은 1회 $0.99가 추가되어 Play Console과 App Store Connect에 붙여 넣을 공개 페이지가 생깁니다.

두 가지 주의 사항이 있습니다. 첫째, 생성기는 빌드를 볼 수 없으므로 SDK 목록이 정확해야 합니다. 둘째, 아동 대상 게임에는 방침 이상의 것, 즉 부모 동의 절차, SDK 제한, 보유 규칙이 필요합니다. 생성된 텍스트는 구조화된 초안으로 보고, 아동 데이터에 대해서는 전문가 검토를 받으세요. 공식 웹사이트가 있는 게임이라면 일반 개인정보처리방침 생성기도 활용할 수 있습니다.