한 줄 요약. StepUp은 로그인한 이용자의 러닝 기록(GPS 경로 포함)과 커뮤니티 활동을 StepUp 서버에 보관합니다. 적립을 서버가 직접 계산하고, 크루·랭킹·코스·땅따먹기를 다른 이용자와 함께 쓰기 위해서입니다. 광고는 없고 광고 식별자는 수집하지 않습니다.
계정은 앱 안(내 정보 › 설정 › 연결된 계정 › 계정 삭제) 또는 계정 삭제 요청 페이지에서 언제든 지울 수 있습니다.
홈페이지 사전 등록은 앱 계정과 별개입니다. 입력한 이메일과 공유 게시물 주소는 출시 안내와 향후 사전 등록 혜택 확인에 사용합니다. 이메일 소유권은 추후 구글 로그인으로 확인합니다.
1. 적용 범위
이 방침은 안드로이드 앱 StepUp(패키지명 com.stepup.android)과
웹사이트 stepupcrew.com에 적용됩니다. 앱에서 링크로 이동하는 외부 서비스(구글 지도 등)에는
각 서비스의 방침이 적용됩니다.
2. 수집하는 정보와 목적
| 항목 | 언제·어떻게 | 목적 | 보관 위치 |
|---|---|---|---|
| 계정 | 구글 로그인 시 이메일·이름·구글 계정 식별자 | 로그인, 프로필 이름 표시 | 서버 |
| 홈페이지 사전 등록 | 직접 입력한 이메일, 동의·등록 시각, 선택적으로 제출한 X·인스타그램·스레드 게시물 및 유튜브·틱톡·릴스 영상 주소 | 출시 안내, 같은 이메일로 구글 로그인한 계정의 사전 등록·공유·크리에이터 혜택 대상 확인 | 서버 |
| 걸음 수 | 기기 걸음 센서(신체 활동 권한). 서버에는 최근 30일의 일별 합계만 | 일일 목표, 적립, 주간 도전 확인 | 기기 · 서버 |
| 러닝 기록 | 러닝을 마칠 때. 시작·종료 시각, 시간, 걸음, GPS 경로(좌표와 시각) | 거리·속도 계산, 부정 적립 판정, 적립액 계산, 랭킹·코스 기록·땅따먹기 | 기기 · 서버 |
| 위치 | 러닝 중에만(위치 권한). 번개러닝 글을 쓸 때의 모임 위치. 파티런 로비·러닝 중 같은 방 사람에게 보이는 현재 위치 | 경로 기록, 모임 장소 표시, 함께 달리기 | 기기 · 서버 |
| 커뮤니티 | 직접 작성·선택할 때. 글·댓글·좋아요, 크루 가입·만들기, 공유한 코스, 신고·차단 | 커뮤니티 기능, 운영(신고 처리) | 서버 |
| 포인트(SUP) | 적립·사용할 때 | 잔액과 내역 | 서버 |
| 알림 | 푸시 토큰(Firebase), 앱 언어, 알림 설정 | 댓글·크루·파티런 알림 | 서버 · Google |
| 이용 통계 | Firebase Analytics — 앱 사용 이벤트(로그인, 러닝 완료와 거리, 크루 가입 등)와 앱 인스턴스 식별자 | 서비스 개선 |
수집하지 않는 것. 전화번호, 주소, 생년월일, 연락처, 사진, 통화 기록, 광고 식별자(AAID). 광고 SDK를 쓰지 않습니다. 백그라운드 위치 권한을 요청하지 않습니다 (러닝 중 화면을 꺼도 기록되는 것은 알림이 보이는 포그라운드 서비스로 동작하기 때문입니다).
다른 이용자에게 보이는 것
- 프로필 이름, 랭킹의 거리·속도·적립, 크루 이름과 크루원 수
- 작성한 글·댓글, 번개러닝의 모임 장소
- 공유한 코스의 경로 — 집이나 직장에서 시작하는 코스를 공유할 때는 주의하세요
- 땅따먹기 지도에는 크루가 차지한 칸(약 200m 육각형)이 보입니다. 개인의 경로는 보이지 않습니다
- 파티런 방 안에서는 같은 방 사람끼리 서로의 현재 위치가 보입니다
3. 처리 위탁과 국외 이전
서비스 운영을 위해 아래 업체에 처리를 맡깁니다. 저장·전송은 모두 암호화(HTTPS)됩니다.
| 업체 | 맡기는 일 | 항목 |
|---|---|---|
| Supabase, Inc. (미국 법인 · 서버는 싱가포르, AWS ap-southeast-1) | 서버 데이터베이스·로그인·서버 함수 | 2장의 서버 보관 항목 전부 |
| Google LLC (미국) | 구글 로그인, Firebase 푸시(FCM), Firebase Analytics | 계정, 푸시 토큰, 이용 통계 |
| MapTiler AG (스위스) | 지도 이미지 제공 | 보고 있는 지도 영역, IP 주소 |
| Cloudflare, Inc. (미국) | 웹사이트(stepupcrew.com) 호스팅 | 웹사이트 접속 기록 |
StepUp 서버의 데이터는 싱가포르에 저장됩니다. Google·MapTiler·Cloudflare의 서버는 한국 밖에 있을 수 있습니다. 보유 기간은 아래 4장과 같습니다. 사전 등록을 원하지 않으면 5장의 연락처로 철회·삭제를 요청할 수 있습니다.
4. 보관 기간과 파기
- 홈페이지 사전 등록 이메일과 공유 게시물 주소는 신청을 철회하면 삭제하며, 앱 출시 후 90일 이내에 삭제합니다.
- 서버의 정보는 계정을 삭제할 때까지 보관하고, 삭제하면 지체 없이 지웁니다. 크루장이 계정을 지우면 크루장 자리는 가장 오래된 크루원에게 넘어갑니다.
- 다른 이용자와의 거래 기록은 상대방 기록에서 내 계정 정보만 지워지고 거래 사실은 남습니다.
- 푸시 토큰은 앱을 지우거나 토큰이 바뀌면 삭제합니다.
- 이용 통계는 Google Analytics 보존 설정(기본 2개월)에 따라 지워집니다.
- 기기 안의 정보는 앱을 삭제하면 함께 지워집니다.
5. 이용자의 권리
- 사전 등록 철회·삭제 — [email protected]으로 요청
- 열람 — 앱 안의 기록·프로필·지갑 화면
- 삭제 — 앱에서 내 정보 › 설정 › 연결된 계정 › 계정 삭제, 또는 계정 삭제 요청 페이지
- 알림·권한 철회 — 앱의 알림 설정, 안드로이드 설정 › 애플리케이션 › StepUp › 권한
- 공유 철회 — 공유한 코스는 코스 화면에서 공유를 끄면 게시판에서 내려갑니다
만 14세 미만 아동의 개인정보를 의도적으로 수집하지 않습니다.
6. 안전성 확보 조치
- 모든 통신은 HTTPS로 암호화합니다.
- 서버의 표는 행 단위 보안 규칙으로 본인 것만 읽고 쓸 수 있고, 적립·지급은 서버 함수만 할 수 있습니다.
- 앱에는 공개용 키만 들어 있고, 관리자 키는 앱에 넣지 않습니다.
7. 방침의 변경
이 방침이 바뀌면 시행일을 갱신하고, 중요한 변경은 앱 안에서 알립니다.
8. 문의
개인정보 관련 문의·삭제 요청: [email protected]
Privacy Policy (English)
StepUp app and website · Effective 2026-09-30. The Korean text above is authoritative; this is a translation for convenience.
In short. For signed-in users StepUp keeps run records (including GPS routes) and community activity on the StepUp server, so the server can compute rewards itself and so crews, rankings, courses and the territory game can be shared with other runners. No ads, and no advertising ID.
You can delete your account any time in the app (Profile › Settings › Connected accounts › Delete account) or on the account deletion page.
Website waitlist registration is separate from an app account. The submitted email and optional social post URLs are used for launch notices and later eligibility checks. Email ownership is checked through Google sign-in later.
1. What we collect and why
| Data | When / how | Purpose | Stored |
|---|---|---|---|
| Account | Google sign-in: email, name, Google account ID | Sign-in, display name | Server |
| Website waitlist | Email you enter; consent and registration times; optional X, Instagram and Threads post URLs, and YouTube, TikTok and Reels video URLs | Launch notices and registration, sharing and creator bonus eligibility checks when the same email signs in with Google | Server |
| Steps | Device step sensor; the server gets daily totals for the last 30 days | Goals, rewards, weekly challenge | Device · Server |
| Runs | When a run ends: times, duration, steps and GPS route (coordinates with timestamps) | Distance/speed, fraud checks, rewards, rankings, course records, territory | Device · Server |
| Location | Only during a run; the meeting point of a flash run you post; your live position inside a party-run room | Route recording, meeting points, running together | Device · Server |
| Community | What you post or choose: posts, comments, likes, crews, shared courses, reports, blocks | Community features, moderation | Server |
| Points (SUP) | When earned or spent | Balance and history | Server |
| Notifications | Push token (Firebase), app language, notification settings | Comment, crew and party-run alerts | Server · Google |
| Usage | Firebase Analytics events (sign-in, run finished and distance, crew joined, …) and an app-instance ID | Improving the service |
Not collected: phone number, address, birth date, contacts, photos, call logs, advertising ID. No ad SDKs. No background location permission.
Visible to other users: your display name; ranking distance/speed/points; posts and comments; flash-run meeting points; routes of courses you share; crew territory cells (about 200 m hexagons, never individual routes); live positions inside the same party-run room.
2. Processors and international transfer
Supabase, Inc. (USA; StepUp data is stored in Singapore, AWS ap-southeast-1) — server database, sign-in and server functions; Google LLC (USA) — Google sign-in, Firebase Cloud Messaging, Firebase Analytics; MapTiler AG (Switzerland) — map images (the map area you view and your IP address); Cloudflare, Inc. (USA) — website hosting. These servers may be outside Korea. All traffic is encrypted (HTTPS).
3. Retention and deletion
Waitlist email and social post URL data is deleted when you withdraw your request, and within 90 days after the app launches. Request waitlist removal at [email protected].
Server data is kept until you delete your account and is deleted promptly when you do. If a crew owner deletes their account, the longest-standing member becomes owner. Trade records keep the fact of the trade but drop your account from them. Analytics data follows Google Analytics retention (2 months by default). On-device data is removed when you uninstall the app.
4. Your rights
View your data in the app; delete it in Profile › Settings › Connected accounts › Delete account or via the account deletion page; withdraw permissions in Android settings; unshare courses any time. We do not knowingly collect data from children under 14.