제1조 총칙 삼경리테일㈜ 및 삼경무역㈜(이하 「회사」)는 리테일 관리 시스템 SRM Works(웹·모바일 앱, 이하 「서비스」)를 운영하며, 서비스를 이용하는 회사 임직원과 협력사(이하 「이용자」)의 개인정보를 「개인정보 보호법」 등 관련 법령에 따라 보호하고 아래와 같이 처리합니다. 임직원의 인사·근태 정보는 근로계약의 이행과 인사 관리를 위해 처리하며, 협력사의 정보는 회사와의 계약 이행 및 이용자의 동의에 따라 처리합니다. 제2조 개인정보의 처리 목적 · 사용자 계정 생성, 본인 확인 및 사용자 인증 · 인사정보 및 조직 정보(회사, 브랜드, 매장, 소속, 직급) 관리 · 근무 스케줄, 근태 관리, 매출 리포트 등 리테일 관리 서비스 제공 · 공지사항 및 업무 알림 제공 · 시스템 운영, 정보보호 및 부정 이용 방지 · 서비스 개선 및 장애 대응 제3조 처리하는 개인정보의 항목 회사는 수집 경로에 따라 다음 개인정보를 처리합니다. ① 회사가 인사·조직 관리를 위해 관리자 웹에서 등록: 성명, 여권 영문명, 국적, 생년월일, 휴대폰 번호, 이메일, 아이디, 초기 비밀번호, 소속·직급·브랜드·매장, 시스템 권한, 입사일·퇴사일, 직원 상태·형태, 승인 상태, BA 승급일자, 사번, 비고 ② 이용자가 앱에서 직접 회원가입 시 입력: 아이디, 비밀번호, 성명, 생년월일, 휴대폰 번호, 국적, 가입 코드 ③ 서비스 이용 과정에서 자동 생성·수집: 로그인 기록, 접속기록(IP), 기기정보, 서비스 이용기록, 개인정보 동의 일시 및 동의한 처리방침 버전, 푸시 알림 토큰(알림 수신에 동의한 경우) ④ 업무 수행 과정에서 생성: 출퇴근 기록, 근무 스케줄, 근태 변경 신청 내역, 매출 리포트 입력 내역, 게시글·첨부 사진 회사는 비고·근태 변경 사유 등 자유 입력란에 건강 상태 등 민감한 정보를 입력하지 않도록 안내하며, 업무에 필요한 최소한의 정보만 기재합니다. 제4조 개인정보의 처리 및 보유 기간 임직원의 개인정보는 재직 기간 동안, 협력사의 개인정보는 해당 이용자의 서비스 이용 기간(퇴사·담당 변경·계정 삭제 시까지) 동안 보유·이용하며, 종료 시 지체 없이 파기합니다. 다만 관계 법령에 따라 보관이 필요한 경우 해당 법령에서 정한 기간 동안 보관합니다. · 근로기준법 제42조에 따른 근로계약·임금·근태 관련 서류: 3년 · 개인정보 안전성 확보조치 기준에 따른 개인정보취급자(관리자) 접속기록: 1년 이상 제5조 개인정보의 파기 절차 및 방법 보유 기간이 지나거나 처리 목적이 달성된 개인정보는 지체 없이 파기합니다. 전자 파일은 복구할 수 없는 방법으로 삭제하고, 종이 문서는 분쇄 또는 소각합니다. 제6조 개인정보의 제3자 제공 회사는 이용자의 개인정보를 제2조의 목적 범위 내에서만 처리하며, 이용자의 별도 동의 또는 법령의 규정이 있는 경우를 제외하고 제3자에게 제공하지 않습니다. 삼경리테일㈜와 삼경무역㈜는 각자 소속 임직원의 개인정보처리자이며, 서비스 운영을 위해 필요한 범위에서 조직·계정 정보를 공동으로 관리합니다. 협력사에게는 해당 브랜드의 매출 리포트 정보만 제공되며, 임직원의 인사·근태 정보는 표시되지 않습니다. 제7조 개인정보 처리의 위탁 및 국외 이전 회사는 서비스 운영을 위해 아래와 같이 개인정보 처리 업무를 위탁하고 있으며, 수탁자가 개인정보를 안전하게 처리하도록 관리·감독합니다. · 수탁자: 주식회사 루멘트 / 위탁 업무: SRM Works 시스템 개발·운영·유지보수 · 수탁자: Amazon Web Services, Inc. / 위탁 업무: 클라우드 서버 인프라 제공(서울 리전, 회사 명의 계정) 서비스의 개인정보는 대한민국 내 AWS 서울 리전(ap-northeast-2)에 보관됩니다. 다만 모바일 푸시 알림 발송에 한하여 아래와 같이 개인정보가 국외로 이전됩니다. · 이전받는 자: Google LLC(Firebase Cloud Messaging) · 이전되는 국가: 미국 · 이전 일시 및 방법: 알림 발송 시 정보통신망을 통한 전송 · 이전 항목: 푸시 알림 토큰, 알림 제목 및 내용 · 이전 목적: 공지사항 및 업무 알림 발송 · 보유·이용 기간: 알림 발송 목적 달성 시까지 기기에서 알림 권한을 허용하지 않거나 해제하면 위 국외 이전은 이루어지지 않습니다. 제8조 정보주체의 권리·의무 및 행사 방법 이용자는 언제든지 개인정보의 열람·정정·삭제·처리정지를 제11조의 보호책임자에게 요구할 수 있으며, 회사는 지체 없이 조치합니다. 다만 법령에 따라 요구가 제한될 수 있습니다. 이용자는 앱 내 [설정 > 계정관리 > 계정 삭제] 메뉴에서 직접 계정을 삭제할 수 있습니다. 제9조 개인정보의 안전성 확보 조치 회사는 개인정보의 안전성 확보를 위해 다음 조치를 취하고 있습니다. · 관리적 조치: 내부 관리계획 수립, 개인정보 취급자 최소화 및 교육 · 기술적 조치: 비밀번호 일방향 암호화(bcrypt) 저장, 관리자 지정 초기 비밀번호의 최초 로그인 시 변경 의무화, 권한별 접근통제, 전송 구간 암호화(HTTPS), 개인정보취급자 접속기록 1년 이상 보관 · 물리적 조치: 클라우드 사업자(AWS)의 데이터센터 물리 보안 및 서버 접근 통제 제10조 개인정보 자동 수집 장치 및 앱 접근권한 서비스는 쿠키로 이용자를 식별하지 않습니다. 모바일 앱은 다음 접근권한을 이용합니다. · 카메라(필수): QR 코드 출퇴근 인증에 사용되며, 허용하지 않으면 출퇴근 기록을 할 수 없습니다. · 사진(선택): 게시글·리포트 사진 첨부 · 알림(선택): 공지사항 및 업무 알림 수신 제11조 개인정보 보호책임자 · 삼경리테일㈜·삼경무역㈜ 개인정보 보호책임자: 이재은 전무 / 02-540-2301(내선 203) / jane.lee@samkyung.net · 개인정보 보호 담당자: 방주현 차장 / 02-540-2301(내선 209) / joohyun.bang@samkyung.net 개인정보 열람·정정·삭제·처리정지 요구와 개인정보 관련 문의는 위 보호책임자에게 하시면 되며, 회사는 지체 없이 답변·처리합니다. 제12조 권익침해 구제 방법 이용자는 개인정보 침해에 대한 신고나 상담이 필요한 경우 아래 기관에 문의할 수 있습니다. · 개인정보침해 신고센터(한국인터넷진흥원): 국번 없이 118 / https://privacy.kisa.or.kr/main.do · 개인정보 분쟁조정위원회: 1833-6972 / www.kopico.go.kr · 대검찰청 사이버수사과: 국번 없이 1301 / www.spo.go.kr · 경찰청 사이버수사국: 국번 없이 182 / ecrm.cyber.go.kr 제13조 처리방침의 변경 이 처리방침은 2026년 9월 24일부터 적용되며, 변경 시 서비스 내 공지사항으로 알립니다.

Article 1 (General Provisions) Samkyung Retail Co., Ltd. and Samkyung Trading Co., Ltd. (collectively, the "Company") operate the retail management system SRM Works (web and mobile app, the "Service"), and protect the personal information of the Company's employees and partner companies who use the Service (collectively, "Users") in accordance with the Personal Information Protection Act and other applicable laws, processing such information as set out below. Employees' personnel and attendance information is processed for the performance of employment contracts and personnel management, and partner companies' information is processed for the performance of contracts with the Company and in accordance with Users' consent. Article 2 (Purposes of Processing Personal Information) · Creating user accounts, verifying identity, and authenticating users · Managing personnel and organizational information (company, brand, store, affiliation, job title) · Providing retail management services such as work schedules, attendance management, and sales reports · Providing notices and work-related notifications · System operation, information security, and prevention of fraudulent use · Service improvement and incident response Article 3 (Items of Personal Information Processed) The Company processes the following personal information depending on the collection channel. ① Registered by the Company on the admin web for personnel/organization management: name, English name as shown on passport, nationality, date of birth, mobile phone number, email, user ID, initial password, affiliation/job title/brand/store, system permissions, hire date/separation date, employee status/type, approval status, BA promotion date, employee number, and remarks ② Entered directly by the User when signing up in the app: user ID, password, name, date of birth, mobile phone number, nationality, and sign-up code ③ Automatically generated/collected while using the Service: login records, access logs (IP), device information, service usage records, the date and time of consent to this Privacy Policy and the version of the Policy consented to, and the push notification token (if the User has consented to receive notifications) ④ Generated in the course of performing work: clock-in/out records, work schedules, attendance change request history, sales report entries, and posts/attached photos The Company advises Users not to enter sensitive information such as health status in free-text fields (e.g., remarks, reasons for attendance changes), and to enter only the minimum information necessary for work. Article 4 (Processing and Retention Period of Personal Information) The Company retains and uses employees' personal information for the duration of their employment, and retains and uses partner companies' Users' personal information for the duration of their use of the Service (until separation, change of assignment, or account deletion), destroying it without delay upon termination. However, where retention is required under applicable laws, the information is retained for the period prescribed by such laws. · Employment contract, wage, and attendance-related documents under Article 42 of the Labor Standards Act: 3 years · Access records of personal information handlers (administrators) under the Standards for Ensuring the Safety of Personal Information: at least 1 year Article 5 (Procedures and Methods for Destroying Personal Information) Personal information whose retention period has expired or whose processing purpose has been achieved is destroyed without delay. Electronic files are deleted using a method that renders them unrecoverable, and paper documents are shredded or incinerated. Article 6 (Provision of Personal Information to Third Parties) The Company processes Users' personal information only within the scope of the purposes set out in Article 2, and does not provide it to third parties except with the User's separate consent or as required by law. Samkyung Retail Co., Ltd. and Samkyung Trading Co., Ltd. are each the personal information controller for their own employees, and jointly manage organizational and account information to the extent necessary to operate the Service. Partner companies are provided only with sales report information for their own brand; employees' personnel and attendance information is not disclosed to them. Article 7 (Outsourcing of Personal Information Processing and Overseas Transfer) The Company outsources the following personal information processing tasks for the operation of the Service, and manages and supervises its trustees to ensure they process personal information safely. · Trustee: Lument Co., Ltd. / Outsourced task: development, operation, and maintenance of the SRM Works system · Trustee: Amazon Web Services, Inc. / Outsourced task: provision of cloud server infrastructure (Seoul region, account held in the Company's name) Personal information handled by the Service is stored in the AWS Seoul region (ap-northeast-2) within the Republic of Korea. However, personal information is transferred overseas as follows solely for the purpose of sending mobile push notifications. · Recipient: Google LLC (Firebase Cloud Messaging) · Country of transfer: United States · Timing and method of transfer: transmitted over the telecommunications network when a notification is sent · Items transferred: push notification token, and the notification's title and content · Purpose of transfer: sending notices and work-related notifications · Retention and use period: until the purpose of sending the notification is achieved If notification permission is not granted on the device, or is later revoked, the above overseas transfer does not occur. Article 8 (Rights and Obligations of Data Subjects and How to Exercise Them) Users may at any time request the Data Protection Officer designated in Article 11 to access, correct, delete, or suspend the processing of their personal information, and the Company will act on such requests without delay. However, such requests may be restricted under applicable laws. Users may delete their own account directly from the app via [Settings > Account > Delete Account]. Article 9 (Measures to Ensure the Safety of Personal Information) The Company takes the following measures to ensure the safety of personal information. · Administrative measures: establishing an internal management plan, and minimizing and training the personnel who handle personal information · Technical measures: one-way encryption (bcrypt) of passwords; mandatory password change upon first login for administrator-issued initial passwords; access control by permission level; encryption of data in transit (HTTPS); and retention of personal information handlers' access records for at least 1 year · Physical measures: physical security of the cloud provider's (AWS) data centers and control of server access Article 10 (Automatic Personal Information Collection Devices and App Access Permissions) The Service does not use cookies to identify Users. The mobile app uses the following access permissions. · Camera (required): used for QR code-based clock-in/out verification; if not granted, clock-in/out cannot be recorded. · Photos (optional): for attaching photos to posts and reports · Notifications (optional): for receiving notices and work-related notifications Article 11 (Data Protection Officer) · Data Protection Officer of Samkyung Retail Co., Ltd. / Samkyung Trading Co., Ltd.: Jane Lee, Executive Director / 02-540-2301 (ext. 203) / jane.lee@samkyung.net · Data Protection Manager: Joohyun Bang, Deputy General Manager / 02-540-2301 (ext. 209) / joohyun.bang@samkyung.net Requests to access, correct, delete, or suspend the processing of personal information, and inquiries regarding personal information, may be directed to the Data Protection Officer above, and the Company will respond and act without delay. Article 12 (Remedies for Infringement of Rights) If Users need to report or seek advice regarding an infringement of their personal information, they may contact the following organizations. · Personal Information Infringement Report Center (Korea Internet & Security Agency): 118 (no area code) / https://privacy.kisa.or.kr/main.do · Personal Information Dispute Mediation Committee: 1833-6972 / www.kopico.go.kr · Cyber Investigation Division, Supreme Prosecutors' Office: 1301 (no area code) / www.spo.go.kr · Cyber Bureau, National Police Agency: 182 (no area code) / ecrm.cyber.go.kr Article 13 (Amendment of the Privacy Policy) This Privacy Policy is effective from September 24, 2026, and any amendments will be announced through in-service notices.