Lovable의 컴플라이언스와 앱 책임 범위

발행 2026.10.21출처 lovable.dev · Talia Moyal

러버블레퍼런스입문자

“Lovable이 SOC 2를 준수한다면, 제 앱도 그런 건가요?”

이런 질문은 정말 자주 받습니다. GDPR, ISO 27001 등도 마찬가지입니다.

Lovable에서, 또는 어떤 AI 소프트웨어 제작 도구에서든 앱을 만들 때 사용자가 그 플랫폼의 인증을 자동으로 함께 받는 것은 아닙니다. 우리의 감사, 인증, 데이터 보호 약속은 여러분이 사용하는 플랫폼에 대한 근거를 제공하지만, 여러분의 책임은 무엇을 만들었는지, 어떤 데이터를 수집하는지, 그리고 비즈니스를 어떻게 운영하는지에 따라 달라집니다.

각 항목이 무엇을 의미하는지, 여러분의 프로젝트를 어떻게 생각해야 하는지, 그리고 앞으로 이 과정을 더 쉽게 만들기 위해 우리가 무엇을 하고 있는지 소개합니다!

Lovable이 보유한 것

Lovable은 SOC 2 Type II, ISO 27001:2022 인증, GDPR 지원, AIUC-1 인증을 공개적으로 문서화하고 있습니다.

표준 또는 규정	의미	여러분의 프로젝트에 대한 의미
SOC 2 Type II	독립 감사인이 정의된 시스템 내 보안 통제를 검토하고, 특정 기간 동안 그 통제가 어떻게 운영되었는지 평가합니다.	Lovable의 보고서를 사용해 공급업체로서의 우리를 평가할 수 있습니다. 하지만 이는 여러분의 비즈니스나 앱에 대한 감사는 아닙니다.
ISO 27001:2022	정보보안 경영시스템에 대한 인증입니다. 즉, 조직이 정의된 범위 내에서 보안 위험을 식별하고, 관리하며, 검토하는 방식을 다룹니다.	Lovable이 정보를 어떻게 보호하는지에 대한 근거를 제공합니다. 우리를 사용한다고 해서 여러분의 조직이 ISO 인증을 받는 것은 아닙니다.
GDPR 지원	GDPR은 개인 데이터 처리에 대한 법적 요구사항을 정합니다. Lovable은 고객의 의무를 지원하기 위해 데이터 처리 약속과 문서를 제공합니다.	여러분은 여전히 프로젝트가 개인 데이터를 어떻게 수집하고, 사용하고, 공유하고, 보관하는지 평가해야 합니다.
AIUC-1	AI 에이전트와 관련된 위험을 다루는 표준입니다. Lovable의 엔터프라이즈 개요에는 독립 감사와 분기별 제3자 테스트가 설명되어 있습니다.	Lovable의 인증이 고객이 만드는 모든 앱이나 AI 워크플로를 인증하는 것은 아닙니다.

기초가 되는 표준에 대해서는 a SOC 2 report review checklist , ISO’s explanation of ISO 27001 , EU’s GDPR guide , AIUC-1 를 참고하세요.

현재의 감사 및 인증 정보는 Lovable’s Trust Center 에서 확인하실 수 있습니다.

왜 여러분의 비즈니스에는 자체 평가와 통제가 필요한가

SOC 2 보고서, ISO 27001 및 AIUC-1 인증은 범위가 정의된 독립적인 제3자 평가에서 나옵니다. 평가자는 조직의 시스템, 통제, 관행을 검토합니다. Lovable의 평가는 그 범위 안에서 Lovable 자체를 대상으로 합니다. 여러분이 우리와 함께 구축한다고 해서 여러분의 비즈니스를 평가하는 것은 아닙니다. 여러분이 사용하는 다른 어떤 AI 플랫폼도 마찬가지입니다.

여러분의 비즈니스에 대해 SOC 2 보고서나 ISO 27001 인증이 필요하다면, 관련 통제와 프로세스를 마련하고, 증거를 수집한 뒤, 자체적인 독립 평가를 거쳐야 합니다. 우리는 인증을 더 쉽게 만들 수 있도록 컴플라이언스 자동화 파트너들과 함께 빌더를 위한 도구를 준비하고 있습니다. 곧 더 자세히 알려드리겠습니다.

GDPR은 다르게 작동합니다. GDPR은 개인을 식별하거나 그들과 연결될 수 있는 정보, 즉 개인 데이터를 보호함으로써 사람들의 프라이버시 권리를 지키는 법입니다. 적용되는 경우, 여러분은 앱과 운영 방식에 필요한 보호 조치를 구축해야 합니다. 여기에는 필요한 데이터만 수집하기, 접근 권한 제한하기, 보관 기간 규칙 설정하기, 그리고 개인 데이터에 대한 접근·정정·삭제 요청을 지원하는 것이 포함됩니다. 또한 처리에 대한 적법한 근거와, 사용자의 데이터가 어떻게 사용되는지에 대한 정확한 정보도 필요합니다. EU GDPR 가이드는 훌륭한 출발점입니다 .

예를 들어, 사용자가 자신의 개인 데이터를 삭제해 달라고 요청하면, 그 요청을 처리할 절차가 필요하고, 삭제가 필요한 경우에는 데이터베이스와 연결된 모든 서비스에서 해당 데이터를 제거할 방법도 필요합니다. 그런 워크플로는 여러분이 앱을 위해 직접 만들고 운영하는 것입니다. Lovable의 컴플라이언스 약속은 여러분의 프로젝트 내부 프로세스가 아니라, 우리가 제공업체로서 데이터를 어떻게 처리하는지에 관한 것입니다.

앱에 대해 GDPR을 어떻게 이해해야 하나요

GDPR은 사람들의 출신지가 아니라 현재 어디에 있는지에 따라 적용됩니다. EU 시민권과는 무관하게 EU에 있는 사람들에게 적용되며, 해외에 거주하는 EU 시민에게는 적용되지 않습니다. 즉, EU에 있는 사람들을 대상으로 서비스를 판매한다면 GDPR 지침을 준수해야 합니다. 영국은 자체적인 GDPR 체계를 가지고 있습니다( EU 적용성 안내 , 영국 GDPR 안내 ).

그다음에는 아래 질문들을 검토하세요.

어떤 개인 데이터를 수집하고, 왜 수집하나요?

계정 정보, 양식 제출 내용, 업로드한 파일, 연결된 서비스에서 수집되는 정보 등 앱이 다루는 정보를 모두 나열하세요. 필요한 것만 수집하고, 각 목적에 대한 적법한 근거를 정하며, 얼마나 오래 보관할지도 결정하세요. 동의는 가능한 적법한 근거 중 하나이지만, 모든 활동에 적합한 근거는 아닙니다. EDPB 실무 FAQ , ICO 데이터 보호 원칙 .

누가 그 데이터의 사용 방식을 결정하나요?

개인 데이터를 왜, 어떻게 처리할지 여러분이 결정한다면, 일반적으로 여러분은 컨트롤러입니다. 다른 조직의 지시에 따라 소프트웨어를 만들고 운영한다면, 프로세서일 수 있습니다. 여러분의 역할에 따라 의무와 필요한 계약이 달라집니다. 앱 안의 개인 데이터에 대해서는 일반적으로 여러분이 컨트롤러이고 Lovable은 여러분의 프로세서입니다. 컨트롤러와 프로세서에 대한 EDPB 가이드 .

데이터는 어디로 가나요?

호스팅, 데이터베이스, 이메일 제공업체, 분석 도구, 결제 서비스, 그리고 추가한 모든 AI 기능까지 전체 경로를 파악하세요. 관련 제공업체와 처리 계약을 검토하세요. 저장 위치뿐 아니라 국제 전송도 확인하세요. 데이터베이스 리전을 EU로 선택했다고 해서 연결된 모든 서비스가 EU 내에서만 데이터를 처리한다는 뜻은 아닙니다. EDPB 국제 전송 안내 .

개인정보 처리방침이 앱을 정확하게 설명하나요?

사람들은 여러분이 어떤 정보를 수집하는지, 왜 수집하는지, 누가 받는지, 얼마나 오래 보관하는지, 그리고 자신의 권리를 어떻게 행사하는지 이해할 수 있어야 합니다. 생성된 개인정보 처리방침은 실제 설정과 대조해 확인해야 합니다. 개인 데이터를 받는 서비스를 추가했다면, 안내문을 업데이트해야 하는지 검토하세요. EDPB 투명성 및 권리 안내 .

개인정보 요청을 처리할 수 있나요?

누군가 자신의 정보에 대한 열람, 정정, 또는 해당되는 경우 삭제를 요청했을 때 어떤 일이 일어나는지 검토하세요. 데이터베이스와 연결된 서비스 전반의 기록, 요청을 처리할 담당자, 그리고 요청자의 신원을 어떻게 확인할지 파악하세요. 개인의 권리에 대한 EDPB 안내 .

데이터에 누가 접근할 수 있는지 테스트했나요?

별도의 계정과 서로 다른 역할로 테스트하세요. 한 고객이 다른 고객의 기록을 읽을 수 있나요? 업로드한 파일이 노출되나요? 퇴사한 직원이 여전히 접근할 수 있나요? 개인 데이터를 어떻게 보호하는지 입증할 수 있도록 결정 사항과 점검 내용을 문서화하세요. ICO 보안 및 책임성 원칙 .

이 질문들은 출발점을 제시합니다. 민감한 데이터, 아동, 또는 더 높은 위험의 처리가 포함된 프로젝트는 적용되는 요구 사항에 대해 추가적인 평가가 필요합니다. 자세한 내용은 플랫폼 규칙을 읽어 주세요.

고객이 SOC 2 보고서를 요청하면 어떻게 하나요?

고객이 귀사의 서비스 자체를 포함하는 SOC 2 보고서를 요구한다면, 독립적인 CPA 법인과 별도의 검토를 진행해야 합니다. 그 검토에서는 조직이 이를 어떻게 운영하는지를 포함해, 귀사가 정의한 시스템과 통제를 살펴봅니다. Lovable의 보고서는 그 작업의 공급업체 검토 부분에 참고가 될 수 있습니다.

트러스트 센터는 보안 관행을 전달하는 데에도 도움이 됩니다. Lovable은 관찰된 통제를 표시하는 프로젝트 기반 트러스트 센터를 제공하지만, 해당 페이지 자체는 인증이나 규정 준수 보장이 아닙니다. Lovable 앱 트러스트 센터가 작동하는 방식 .

우리가 작업 중인 것

우리는 타사 시스템과의 통합, 그리고 이러한 작업의 더 많은 부분을 기본적으로 쉽게 처리할 수 있도록 하는 Lovable 기반 스킬을 개발하고 있습니다.

우리의 목표는 귀하의 프로젝트에 무엇이 필요한지 이해하도록 돕고, 빌드 워크플로 안에서 더 많은 작업을 수행할 수 있게 하는 것입니다. 다만 귀사의 비즈니스, 사용자, 그리고 그들의 데이터에 관한 의사결정은 여전히 직접 내려야 합니다.

다음 프로젝트에서는 Lovable의 채팅이 시작하기에 좋은 곳입니다. 코드 변경 없이 프로젝트를 읽어들이므로, 앱을 함께 살펴보게 하고 데이터 맵을 만드는 데 도움을 요청할 수 있습니다. 즉, 어떤 테이블에 개인 정보나 민감한 데이터가 들어 있는지, 어떤 타사 서비스가 이를 수신하는지, 인증과 접근 규칙이 어떻게 설정되어 있는지, 그리고 필요 이상으로 오래 기록되거나 저장되는 것이 있는지 확인할 수 있습니다.

그다음에는 찾은 내용을 SOC 2 신뢰 서비스 기준(보안, 가용성, 처리 무결성, 기밀성, 프라이버시)과 비교해 보라고 요청하고, 어떤 부분에서 격차가 있을 가능성이 높은지 짚어 달라고 할 수 있습니다.

시작할 때 유용한 프롬프트 몇 가지:

“이 앱이 사용자 데이터를 저장하거나 전송하는 모든 위치와, 각 위치에 누가 접근할 수 있는지 나열해 주세요.”

“데이터베이스 접근 정책을 검토하고, 보면 안 되는 사용자가 읽을 수 있는 테이블이 있으면 표시해 주세요.”

“이런 앱에 적용될 SOC 2 통제는 무엇이며, 그중 Lovable이 처리하는 것과 우리가 처리해야 하는 것은 각각 무엇인가요?”

“SOC 2 감사인과 이야기하기 전에 문서화해야 할 사항의 간단한 체크리스트를 작성해 주세요.”

답변은 출발점으로 활용하세요. Chat은 설정을 이해하고 우선순위를 정하는 데 도움이 되지만, SOC 2는 궁극적으로 코드만이 아니라 조직의 통제와 프로세스에 대한 감사이므로, 정책, 증거, 그리고 독립적인 감사인이 여전히 필요합니다. Chat이 문제를 찾아냈고 이를 수정하고 싶다면 Build로 전환하세요. 대화에서의 맥락은 그대로 이어집니다.

이 게시물은 일반 정보이며, 귀하의 프로젝트에 대한 법률 자문이 아닙니다.