개요
Grio는 AI 코칭 서비스를 제공하며, 이를 위해 사용자 데이터의 일부를 외부 AI 모델과 공유합니다. 여기서 가장 중요한 것은 어떤 데이터가, 언제 전송되는지, 그리고 이 과정을 어떻게 통제하는지입니다.
Grio의 데이터 보안은 다음 두 가지 원칙을 따릅니다. 첫째, 센서에서 측정한 원본 데이터는 기기 밖으로 나가지 않습니다. 둘째, 외부 AI와의 데이터 공유 권한은 앱 내 개별 기능이 자체적으로 판단하는 것이 아니라, 데이터가 앱 밖으로 나가는 네트워크 통신 관문에서 일괄적으로 통제됩니다.
계산 원리와 반영 데이터
외부 전송 관문
Grio는 사용자의 개인 데이터를 외부 AI에 전송하기 전 반드시 **외부 AI 데이터 공유 동의(권한)**를 확인합니다. 이 권한 확인은 개별 기능 실행 시점이 아니라 데이터가 외부 서버로 넘어가기 직전의 네트워크 관문에서 이루어집니다. 동의 범위 누락, 상태 오류, 만료된 약관, 검증 실패 등이 발생하면 모든 전송 요청이 즉시 차단됩니다.
전송을 네트워크 관문 한 곳에서 통제하기 때문에, 백그라운드 작업이나 음성 텍스트 변환처럼 눈에 잘 띄지 않는 경로까지 빠짐없이 같은 규칙을 받습니다.
단 한 가지 예외는 회원가입 전 AI 코치가 건네는 인사말입니다. 이때는 해당 1회성 요청에 대해서만 임시 권한을 적용하며, 계정을 생성한 후에는 모든 작업을 포괄하는 정식 권한 동의를 받게 됩니다.
데이터 공유를 철회하면 서버에 철회 상태가 즉시 기록되며, 이는 이전의 모든 동의 내역보다 우선합니다. 철회 즉시 외부 AI로의 모든 요청은 차단됩니다. 단, 이미 전송된 데이터를 되돌릴 수는 없으며, 데이터를 완전히 삭제하려면 철회와 별개로 ‘계정 삭제’ 절차를 진행해야 합니다.
기기를 떠나는 것
| 데이터 | 기기를 떠나나 |
|---|---|
| HealthKit 원본 데이터 | 기기에만 저장됨 |
| 일별 건강 요약 | 전송됨 (개인 식별 불가 형태로 가공) |
| 5분 단위 생체 데이터 | 전송됨 (단순 통계치만 포함, 보존 기간 제한) |
| 상세 차트 표시용 데이터 | 저장하지도 전송하지도 않음 (계정 로그아웃 시 즉시 삭제) |
| 심박수 구간 분포 | 기기에서 자체 계산 (전체 시간 요약본만 전송) |
| 대화, 식단, 사용자가 직접 입력한 기록 | 전송됨 (코칭 서비스를 위한 필수 데이터) |
‘5분 단위 생체 데이터’는 일별 요약만 보낸다는 원칙의 유일한 예외입니다. 전송 항목은 심박수·HRV 평균, 표본 수, 걸음 수, 운동 시간, 시간 정보(경계·시간대·관측 시각), 데이터 출처로 한정됩니다. 이 데이터는 최근의 생체 부하 및 스트레스를 분석하기 위한 용도로만 사용되며 일정 기간 후 자동 삭제됩니다.
삭제와 연결 해제
앱 계정 삭제와 외부 로그인(Apple/Google) 연결 해제는 별개의 과정입니다. 시스템은 외부 로그인 연결 해제가 성공했는지를 먼저 확인하여 중복 해제 시도를 방지합니다. 외부 로그인 연결 해제가 정상적으로 완료되지 않으면 첫 계정 삭제 요청 시 경고 메시지가 표시됩니다. 이후 사용자가 수동 삭제에 한 번 더 동의하면 Grio 계정 내 데이터는 완전히 삭제되며, 외부 서비스 연결 해제가 필요하다는 안내를 받게 됩니다.
이는 외부 로그인 서비스 장애로 사용자의 계정 삭제 권리가 가로막히지 않도록 하면서, 외부 연결 해제가 아직 완료되지 않았음을 명확히 알리기 위한 설계입니다.
예외와 결측값 처리
- 네트워크 관문 검증 오류: 오류 발생 시 전송이 즉시 차단됩니다. 이는 정보 유출을 막기 위한 의도적인 보안 장치입니다.
- 동의 약관 만료: 사용자가 최신 약관에 동의할 때까지 데이터 전송 권한이 없는 것으로 간주합니다.
- Apple 재인증 취소: 삭제 권한 확인을 위한 재인증을 사용자가 취소하면 삭제 요청이 진행되지 않습니다.
주요 참고 사항
Grio는 “건강 데이터가 절대 기기 밖으로 나가지 않는다”고 말하지 않습니다. 대신 어떤 데이터가 어떻게 전송되고, 그 과정을 무엇으로 통제하는지를 밝힙니다. AI 코칭 모델을 사용하면서도 데이터 외부 전송이 전혀 없다고 주장하는 건강 앱이 있다면, 이는 실제로 AI를 사용하지 않거나 데이터 처리 방식을 투명하게 공개하지 않는 것입니다.
코치의 조언 및 행동 가이드
- 약관 동의 상태 확인: 정책이 바뀌면 최신 약관에 동의해야 AI 코칭과 데이터 연동이 정상 작동합니다.
- 데이터 공유 철회: AI와의 데이터 공유를 원치 않는다면 언제든 철회할 수 있습니다. 철회 즉시 외부 전송이 차단되지만, 이미 전송된 과거 데이터는 소급 삭제되지 않습니다.
- 계정 삭제: 서비스를 더 이상 쓰지 않는다면 계정을 삭제하세요. Grio에 보관된 데이터가 모두 파기됩니다.
- 데이터 출처 표시: 각 데이터가 Apple 건강 연동인지, 센서 측정값인지, 직접 입력한 것인지 출처가 명확히 보존됩니다.
자주 묻는 질문
- AI 공유를 철회하면 이미 넘어간 데이터도 지워지나요?
- 아니요, 이미 전송된 데이터까지 소급하여 삭제되지는 않습니다. AI 공유를 철회하면 서버에 철회 기록이 남아 이후의 모든 데이터 전송 요청이 즉시 차단됩니다. 하지만 이전에 외부 AI 제공자에게 전송된 데이터 사본이나 Grio 앱 내의 기록 자체를 삭제하는 것은 아니며, 데이터 삭제는 별도의 절차를 통해 진행해야 합니다.
- 원시 애플워치 표본이 서버로 가나요?
- 아니요. Apple 건강(HealthKit)의 원본 측정 데이터는 기기 외부로 전송되지 않습니다. 서버에 전송되는 데이터는 개인을 식별할 수 없도록 가공된 수치뿐입니다. 일별 요약 수치 및 생체 부하·스트레스 분석용 5분 단위 집계 데이터(심박수/HRV 평균, 걸음 수, 운동 시간 등 최소한의 필수 항목)만 전송됩니다.
- Apple이나 Google 로그인이 안 되면 계정을 못 지우나요?
- 아니요, 지울 수 있습니다. 외부 로그인 서비스(Apple/Google)와 연결 해제가 원활하지 않을 경우, 첫 삭제 요청 시 경고 메시지가 표시됩니다. 이후 사용자가 수동 삭제에 한 번 더 동의하면 Grio 계정은 즉시 삭제되며, 로그인 제공자 측 연결 해제가 필요하다는 안내가 남습니다. 즉, 외부 로그인 서비스의 오류가 사용자의 계정 삭제 권리를 막을 수는 없습니다.