B. 금융 정보 보안

시행일: 2026년 3월 12일

ProgramGarden은 고객의 결제 정보를 직접 저장하지 않으며, 금융 보안 표준을 준수하는 전문 결제 대행사(PG)를 통해 안전하게 처리합니다.

1. 결제 정보의 비저장 원칙 (No Storage of Sensitive Data)

ProgramGarden은 고객의 신용카드 번호, 유효기간, CVC 번호, 비밀번호 등 민감한 금융 정보를 자사 서버나 데이터베이스에 절대 저장하지 않습니다.

모든 결제 정보는 고객이 입력하는 즉시 암호화되어 제휴된 PG사(PortOne)로 직접 전송됩니다.
빌링키(Billing Key)의 암호화 보관: 정기 결제를 위해 부득이하게 보관해야 하는 빌링키는 절대 평문으로 저장되지 않습니다. 빌링키는 Google Cloud KMS + Tink 라이브러리(AES256-GCM) 를 사용한 Envelope Encryption으로 강력하게 암호화되어 데이터베이스에 격리 보관됩니다.
사용자 UID 바인딩: 암호화 시 사용자 UID를 Associated Data로 바인딩하여, 해당 사용자의 요청에서만 복호화가 가능합니다. 타 사용자의 빌링키에 대한 접근은 기술적으로 불가능합니다.

2. 사용자 증권사/거래소 API 키 보안

사용자가 등록하는 외부 증권사 및 거래소의 API 키(앱키, 시크릿키 등)는 다음과 같이 보호됩니다:

KMS Envelope Encryption: 모든 API 키는 빌링키와 동일하게 Google Cloud KMS + Tink (AES256-GCM) Envelope Encryption으로 암호화되어 저장됩니다.
메모리 내 복호화: API 키는 트레이딩 봇 실행 시점에만 메모리 상에서 일시적으로 복호화되며, 사용 후 즉시 메모리에서 소거됩니다. 디스크에는 절대 평문으로 기록되지 않습니다.
운영자 열람 불가: ProgramGarden 운영진이나 관리자를 포함한 어떠한 인원도 저장된 API 키의 원본 값을 조회하거나 열람할 수 없습니다.
사용자 UID 바인딩: 각 API 키는 사용자 UID가 Associated Data로 바인딩되어, 해당 사용자의 컨텍스트에서만 복호화됩니다.

3. 검증된 결제 파트너 및 규정 준수

당사는 국내외에서 보안성과 안정성을 인정받은 결제 대행사와 제휴하여 결제 서비스를 제공합니다.

PCI-DSS 준수: 당사의 결제 파트너(PortOne)는 글로벌 신용카드 데이터 보안 표준인 PCI-DSS (Payment Card Industry Data Security Standard) 인증을 획득한 기업입니다.
전자금융거래법 준수: 국내 전자금융거래법 및 관련 법령을 철저히 준수하여 안전한 전자 결제 환경을 제공합니다.

4. 통신 구간 암호화

결제 과정에서 발생하는 모든 데이터 통신은 최고 수준의 암호화 기술로 보호됩니다.

SSL/TLS 암호화: 결제 페이지 및 결제 정보 전송 구간에는 TLS 1.2 이상의 강력한 암호화 프로토콜이 적용됩니다.
데이터 위변조 방지: 결제 요청 및 응답 데이터에는 해시(Hash) 값 검증 등을 통해 데이터 위변조 여부를 실시간으로 확인합니다.

5. 부정 결제 모니터링 (FDS)

이상 거래 탐지: 비정상적인 패턴의 결제 시도(단시간 내 다회 결제, 비정상적인 고액 결제 등)가 감지될 경우, 시스템이 이를 자동으로 차단하거나 추가 인증을 요구할 수 있습니다.
보안 감사: 결제 관련 로그는 별도로 안전하게 보관되며, 정기적인 보안 감사를 통해 잠재적인 위협을 사전에 식별하고 제거합니다.