🔒 개인정보 처리방침
최종 수정일: 2026년 10월 30일
문의처: [email protected]
AMBA는 로컬 퍼스트 데스크톱 애플리케이션입니다. 프로젝트, 파일, 분석 작업은 사용자의 컴퓨터에서 실행됩니다. 다만 AMBA가 네트워크를 전혀 사용하지 않는 것은 아닙니다. 일부 기능은 인터넷을 통해 데이터를 전송합니다. 전송처는 사용자가 선택한 AI 제공업체, 그리고 피드백·크래시 리포트·업데이트 확인·에이전트 카탈로그와, AMBA 계정을 사용하는 경우 그 계정의 모델 요청과 웹 검색을 위해 AMBA가 운영하는 클라우드 서비스(Cloudflare 기반)입니다.
이 페이지는 이러한 모든 데이터 흐름에 대해 무엇이 어디로 전송되는지 설명합니다.
1. 사용자 기기에 남는 데이터
- 프로젝트 파일: 소스(
sources/)의 원본 파일과 프로젝트 폴더의 나머지 위치(예:workings/,reports/)에 있는 작업 파일 및 결과물은 사용자 컴퓨터에서 읽고 씁니다. AMBA는 파일 전체를 AMBA 서버로 업로드하지 않습니다. - 앱 데이터베이스: 프로젝트, 대화, 실행 기록, 설정, 제출한 피드백의 로컬 사본은 로컬 SQLite 데이터베이스에 저장됩니다. 처리 중 생성되는 분석용 테이블은 프로젝트 폴더 안의 AMBA 프로젝트 데이터(
.amba/analytics.db)에 있습니다. 언제든지 삭제할 수 있으며, 다음 분석 때 파일에서 다시 만들어집니다. - 메모리: 앱 데이터베이스에는 저장한 지식 메모(또는 작업 중 에이전트가 저장한 메모)와 커넥터가 프로젝트에 전달한 문서의 검색용 발췌도 저장됩니다. 각 항목은 하나의 프로젝트에 속하며, 프로젝트에 공유되지 않는 한 하나의 에이전트에 속합니다. 에이전트는 다른 프로젝트의 메모리를 볼 수 없습니다. 대화 자체는 메모리에 복사되지 않습니다. 이전 버전에서 업그레이드하면 이전 버전이 메모리에 복사한 대화가 한 번
~/.amba/exports/memory-<날짜>/로 내보내지고(API 키, 토큰, 카드 번호 제거) 메모리에서 삭제됩니다. 이 폴더는 기기에 남아 있으며 삭제할 수 있습니다. - API 키와 커넥터 자격 증명: 운영체제의 자격 증명 저장소(macOS Keychain, Windows Credential Manager, Linux에서는 Secret Service API /
libsecret)에 저장됩니다. 정식 릴리스 빌드는 평문이나 데이터베이스 저장으로 대체하지 않으며, 키체인을 사용할 수 없으면 키는 저장되지 않습니다. 또한 AMBA가 만드는 백업에도 비밀 정보가 포함되지 않습니다. 각 키는 해당 키를 발급한 제공업체로만 전송됩니다. - 크래시 파일: AMBA에 크래시가 발생하면 민감 정보를 가린 크래시 리포트가
~/.amba/last_crash.json에 로컬로 저장됩니다. 전송에 동의하지 않는 한 이 파일은 기기 밖으로 나가지 않습니다(2장 참조). - 스캔한 파일과 이미지: 스캔 PDF와 이미지(PNG, JPG, TIFF 등) 속 글자는 운영체제의 문자 인식(macOS에서는 Apple Vision, Windows에서는 언어가 설치된 경우 Windows 내장 문자 인식)으로 사용자의 컴퓨터에서 인식되며, 결과는 프로젝트의
workings/.cache/ocr/폴더에 캐시됩니다. 이미지는 AI 제공업체나 AMBA로 전송되지 않지만 예외가 하나 있습니다. 사용자의 컴퓨터가 전혀 읽지 못하는 PDF 페이지(쓸 수 있는 텍스트가 없고 기기 내 인식도 확실하지 않은 페이지)는 프로젝트의 AI 제공업체가 대신 읽을 수 있습니다(2장의 읽기 어려운 PDF 페이지의 AI 읽기 참조). 해당 페이지에만 적용되고, 식별 정보 마스킹이 켜져 있으면 프로젝트에서 허용한 뒤에만 이루어집니다. 그 밖에 모델에 전달될 수 있는 것은 인식된 텍스트뿐이며(2장의 파일 발췌본의 일부로), 식별 정보 마스킹도 적용됩니다. 문자 인식이 없는 환경(Linux)에서는 읽을 수 없는 페이지가 어디에도 전송되지 않고, 읽을 수 없다고 에이전트에 알려집니다. - 행동 분석·광고 추적 없음: AMBA는 어떤 파일을 열었는지, 어떤 프롬프트를 실행했는지 기록하는 광고 식별자, 추적 픽셀, 사용 분석을 사용하지 않습니다.
2. 외부로 전송되는 데이터와 전송 시점
AI 요청 (사용자 키, BYOK)
- 시점: 설정한 제공업체로 작업을 실행할 때
- 전송 데이터: 프롬프트, 대화 기록, 작업에 필요한 파일 발췌본이나 도구 결과(텍스트만 전송되며, 페이지 이미지는 아래의 읽기 어려운 PDF 페이지의 AI 읽기에서만 전송됨)
- 전송처: 사용자 컴퓨터에서 선택한 제공업체(예: Anthropic, OpenAI, Google 또는 클라우드 플랫폼: Amazon Bedrock, Google Cloud, Azure OpenAI)로 직접 전송
- 보관 기간: 해당 제공업체의 API 약관을 따릅니다. AMBA는 아무것도 받지 않습니다
AMBA 계정을 통한 AI 요청
- 시점: AMBA 계정을 연결하고(초대 코드) 그 계정의 모델로 작업을 실행할 때
- 전송 데이터: 본인 키를 사용할 때와 같이 프롬프트, 대화 기록, 작업에 필요한 파일 발췌본이나 도구 결과. 여기에 이 기기의 계정 토큰과 실행 ID(작업별 사용 한도 적용용)가 더해집니다. 연결할 때 앱은 초대 코드와 기기 이름(다른 이름을 입력하지 않으면 "AMBA Desktop"과 운영체제 이름)을 전송합니다
- 전송처: AMBA 게이트웨이(
gateway.ambadesk.com, Cloudflare 기반). 게이트웨이는 요청을 미국의 Amazon Bedrock에 있는 Claude로 전달합니다(us-east-1엔드포인트. AWS의 교차 리전 추론으로 미국 내 다른 리전에서 처리될 수 있음) - 보관 기간: 게이트웨이는 요청이나 응답 내용을 저장하거나 로그로 남기지 않습니다. 요금제 한도를 적용하기 위해 요청마다 사용 기록(계정, 기기, 모델, 토큰 수, 크레딧 단위 비용, 상태, 소요 시간, 시각)을 보관합니다. 이 기록은 아직 자동으로 삭제되지 않으며, 삭제를 요청할 수 있습니다(5장). 계정에는 AMBA가 붙인 계정 이름, 요금제와 만료일, 각 기기의 이름과 마지막 사용 시각만 있으며 이메일 주소나 비밀번호는 없습니다. 초대 코드와 기기 토큰은 해시로만 저장되고, 초대 코드 입력 시도 제한에는 IP 주소의 솔트 해시를 사용합니다. AMBA와 Anthropic 모두 사용자의 요청을 모델 학습에 사용하지 않습니다. Amazon Bedrock이 보관하는 데이터는 AMBA 계정에 적용되는 AWS 약관을 따릅니다. 요청이 사용자와 제공업체 사이에서만 오가기를 원하면 본인 키를 사용하세요
AMBA 계정을 통한 웹 검색
- 시점: 허용된 프로젝트에서 에이전트가 웹을 검색하고, 웹 검색이 켜진 AMBA 계정이 연결되어 있으며, 본인의 Tavily 또는 Brave Search 키를 입력하지 않은 경우(본인 키가 있으면 항상 본인 키가 먼저 사용됩니다)
- 전송 데이터: 에이전트가 고른 검색어(최대 400자), 가져올 결과 수, 지정한 경우 뉴스만 또는 기간 지정. 여기에 이 기기의 계정 토큰과 실행 ID. 파일은 전송하지 않습니다
- 전송처: AMBA 게이트웨이(
gateway.ambadesk.com, Cloudflare 기반). 게이트웨이는 AMBA가 관리하는 Tavily 키로 Tavily(미국)에 검색을 보내며, 결과는 같은 경로로 돌아옵니다 - 보관 기간: 게이트웨이는 검색어나 결과를 저장하거나 로그로 남기지 않으며 캐시도 하지 않습니다. 모델 요청과 마찬가지로 검색마다 사용 기록(계정, 기기, "웹 검색", 1크레딧 비용, 상태, 소요 시간, 시각)을 보관합니다. Tavily는 AMBA를 위해 검색을 처리하며, Tavily 약관에 따라 검색어와 결과를 보관하고 AI 모델 학습을 포함한 서비스 개선에 사용할 수 있습니다. AMBA의 Tavily 키를 쓰지 않으려면 본인의 Tavily 또는 Brave Search 키를 입력하거나 웹 검색을 꺼 두세요
읽기 어려운 PDF 페이지의 AI 읽기
- 시점: 사용자의 컴퓨터가 읽지 못한 PDF 페이지(쓸 수 있는 텍스트 레이어가 없고, 기기 내 인식이 없거나 확실하지 않음)를 에이전트가 읽을 때. 식별 정보 마스킹이 켜져 있으면 프로젝트마다 한 번 묻는 질문("이 프로젝트에서 읽기 어려운 PDF 페이지를 AMBA가 AI로 읽어도 될까요?")에 허용을 선택한 뒤에만, 마스킹이 꺼져 있으면 자동으로
- 전송 데이터: 해당 페이지만(그 페이지들만 담은 PDF(Anthropic, Amazon Bedrock의 Claude) 또는 페이지마다 이미지 한 장(OpenAI, Azure OpenAI))과 고정된 지시문. 페이지 내용은 마스킹할 수 없음. 파일 이름과 프로젝트는 전송되지 않음
- 전송처: 사용자 컴퓨터에서 본인 키로 프로젝트의 AI 제공업체에 직접 전송(Anthropic과 Amazon Bedrock에서는 Claude Haiku 5.5, OpenAI와 Azure OpenAI에서는 프로젝트의 모델). AMBA로는 전송되지 않음
- 보관 기간: 해당 제공업체의 API 약관을 따름. 돌려받은 텍스트는 사용자 컴퓨터의
workings/.cache/ocr/에 캐시되므로 각 페이지는 최대 한 번만 전송됨. 각 요청은 이 기기에서 나간 데이터에vision_ocr로 기록됨(제공업체, 모델, 파일, 페이지 수, 크기, 토큰 수. 내용은 기록하지 않음)
피드백
- 시점: 피드백 창에서 보내기를 누를 때
- 전송 데이터: 제목, 내용, 재현 단계(사용자 폴더 경로, 이메일 주소, 전화번호, 신분증 번호, API 키·토큰·비밀번호·개인 키를 자동으로 가린 후), 분류, 평점, 선택 입력 연락처(본문이 아닌 별도 필드로 전송), 선택 실행 컨텍스트(플레이북, 모드, 모델, 실패한 도구, 오류 내용), 앱 버전, OS와 아키텍처, 진단 정보를 켠 경우 창 크기
- 전송처: AMBA의 Cloudflare Worker → Cloudflare D1에 저장. AMBA의 GitHub 이슈 트래커에 이슈가 생성될 수 있습니다(내용, 재현 단계, 진단 정보, 스택 트레이스 포함. 연락처는 절대 포함되지 않습니다). 팀의 Telegram/Discord 채널로 짧은 알림(제목, 분류, OS, 버전)이 전송됩니다. 연락처는 D1에만 저장됩니다
- 보관 기간: 문제가 해결 또는 종료로 표시된 후 180일, 그리고 어떤 경우든 제출 후 365일이 지나면 자동 삭제됩니다. GitHub 이슈는 프로젝트의 공개 기록으로 남습니다. 사용량 제한을 위해 IP 주소의 솔트 해시를 사용하며 약 2일 후 삭제됩니다
크래시 리포트
- 시점: 동의한 경우에만. 크래시 후 다음 실행 시 전송될 내용을 보여 주고 보내기, 보내지 않기, 항상 보내기 중에서 묻습니다. 설정 → 보안 및 금고 → 충돌 보고서(매번 묻기 / 항상 보내기 / 보내지 않기)에서 언제든지 변경할 수 있습니다
- 전송 데이터: 패닉 메시지, 코드 위치, 스택 트레이스(같은 가림 처리 후), 앱 버전, OS와 아키텍처. 오류 기록 없이 예기치 않게 종료된 경우(예: 시스템 웹뷰 내부 충돌)에는 앱 버전, OS, 아키텍처, 세션 시작 시간만 포함합니다. 연락처는 포함하지 않습니다. 파일 내용이나 프롬프트를 의도적으로 포함하지 않지만, 패닉 메시지가 크래시를 일으킨 값을 인용할 수 있습니다
- 전송처: 피드백과 동일(D1, GitHub 이슈, Telegram/Discord 알림)
- 보관 기간: 피드백과 동일. 로컬
last_crash.json은 전송하거나 거부한 후 삭제됩니다
업데이트 확인
- 시점: 앱 실행 시(자동 확인이 켜진 경우) 및 "업데이트 확인"을 클릭할 때
- 전송 데이터: 현재 앱 버전, OS 대상, CPU 아키텍처. 일반 웹 요청과 마찬가지로 Cloudflare가 IP 주소를 볼 수 있습니다
- 전송처:
api.ambadesk.com/v1/update/…(Cloudflare). 업데이트 패키지는r2.ambadesk.com(Cloudflare R2)에서 다운로드 - 보관 기간: AMBA는 업데이트 확인 요청을 저장하지 않습니다. Cloudflare가 표준 접속 로그를 보관할 수 있습니다
에이전트 카탈로그
- 시점: 템플릿 카탈로그를 열거나 새로 고칠 때 캐시를 사용하지 않는 경우
- 전송 데이터: 일반 다운로드 요청만 전송. 프로젝트 데이터나 식별자는 전송하지 않습니다
- 전송처:
r2.ambadesk.com(Cloudflare R2) - 보관 기간: AMBA는 저장하지 않습니다. Cloudflare가 표준 접속 로그를 보관할 수 있습니다
사용자가 연결한 서비스
- 시점: 활성화한 경우에만: 본인 Tavily 또는 Brave Search 키를 사용한 웹 검색, Google Drive, Telegram, MCP 서버
- 전송 데이터: 해당 연동에 필요한 쿼리, 파일, 메시지(사용자 본인의 계정이나 키 사용)
- 전송처: 사용자 컴퓨터에서 해당 서비스로 직접 전송
- 보관 기간: 해당 서비스의 약관을 따릅니다
프로세스와 "나에게 테스트 보내기". 프로세스가 보내는 메시지(알림, 질문, 보고서)는 사용자 본인의 Telegram 봇을 통해 사용자 컴퓨터에서 Telegram으로 직접, 프로세스를 켤 때 표시된 채팅에만 전송됩니다. 프로세스를 단계별로 테스트할 때는 나에게 테스트 보내기를 누르지 않는 한 아무것도 보내지 않습니다. 누르면 [테스트] 표시가 붙은 메시지 1개가 사용자 컴퓨터에서 Telegram으로 본인의 봇을 통해 직접, 본인 채팅에만 전송됩니다(팀에는 보내지 않음). 이 전송은 이 기기에서 나간 데이터에 목적 process_test로 기록되며 실행으로 세지 않습니다.
AMBA는 사용자의 문서, 프롬프트, 피드백을 AI 모델 학습에 사용하지 않습니다.
3. 제3자 처리자
| 처리자 | 역할 |
|---|---|
| Cloudflare (Workers, D1, R2) | api.ambadesk.com, r2.ambadesk.com, AMBA 계정 게이트웨이 gateway.ambadesk.com 운영. 피드백, 크래시 리포트, AMBA 계정과 사용 기록(요청 내용은 절대 포함하지 않음), 해시된 IP 기반 사용량 제한 저장. 업데이트와 카탈로그 배포. 이러한 요청에서 사용자 IP 주소를 볼 수 있습니다 |
| Amazon Web Services (Amazon Bedrock) | AMBA 계정을 통한 요청에 대해 AMBA의 AWS 계정으로 Claude 실행 |
| Tavily | 본인 검색 키가 없을 때 AMBA 계정을 통한 웹 검색을 AMBA가 관리하는 Tavily 키로 실행. Tavily 약관에 따라 검색을 보관·사용할 수 있음 |
| GitHub | 피드백과 크래시 리포트가 이슈로 등록될 수 있는 이슈 트래커 호스팅 |
| Telegram / Discord | 신규 또는 반복 리포트에 대한 짧은 내부 알림 수신 |
| 사용자가 선택한 AI 제공업체 | 사용자 본인의 API 키를 사용할 때 요청을 처리. AMBA는 이 경로에 관여하지 않습니다 |
4. 사용자의 선택
- 본인 API 키 사용(BYOK): 제공업체를 설정하면 요청은 사용자 컴퓨터에서 해당 제공업체로 직접 전송되며 AMBA 서버를 거치지 않습니다.
- AMBA 계정: 선택 사항입니다. 계정 카드의 로그아웃을 누르면 이 기기의 연결이 해제되고 토큰이 키체인에서 삭제됩니다.
- 무료 체험 (종료): 이전 버전은 몇 번의 체험 실행을 AMBA를 거쳐 Google Gemini로 중계했습니다. 이 체험은 더 이상 없으며, Cloudflare에 보관된 익명 기기 카운터는 90일 동안 사용되지 않으면 삭제됩니다.
- 피드백을 보내지 않기: 피드백은 보내기를 눌렀을 때만 전송됩니다. 연락처 칸을 비우고 진단 정보를 끌 수 있습니다. 기밀 내용을 피드백에 붙여 넣지 마세요. 가림 처리는 자동이지만 패턴 기반이므로 모든 경우를 다루지는 못합니다. 전송 후에는 서버가 발급한 참조 ID(예:
AMBA-FB-3F2A9C1B)가 표시되며, 서버에 연결할 수 없으면 기기에만 저장되었다고 표시됩니다. - 자동 업데이트 확인: 설정에서 끌 수 있으며, 수동 확인은 계속 가능합니다.
- 크래시 리포트: 동의하지 않으면 아무것도 전송되지 않습니다. 설정 → 보안 및 금고 → 충돌 보고서에서 매번 묻기(기본값), 항상 보내기, 보내지 않기 중에서 선택하세요.
- 기기 밖으로 나간 데이터 확인: 각 프로젝트의 프로젝트 구성 → 권한 및 보안에 있는 이 기기에서 나간 데이터에서 모든 외부 요청(AI 모델 호출, 웹 검색, 원격 MCP 서버, 전달, 피드백, 크래시 리포트, 업데이트 확인)을 대상, 리전, 크기, 가린 항목과 함께 확인할 수 있으며(내용은 기록하지 않음), 프로젝트의
reports/compliance/폴더로 증빙을 내보낼 수 있습니다. 기록은 기기에 365일간 보관됩니다. - AI 호출 전 식별 정보 마스킹: 프로젝트 구성 → 권한 및 보안에서 마스킹을 켜면 이메일, 전화번호, 주민·사업자 번호, 계좌번호 및 지정한 용어(예: 고객사 이름)를 AI 모델로 보내기 전에 자리표시자로 바꾸고 실제 값은 기기에서 복원합니다. 기본값은 꺼짐이며 패턴 기반이라 완전하지 않고, 정확한 값이 필요한 작업에서는 답변 품질이 떨어질 수 있습니다. 마스킹은 AMBA가 텍스트로 모델에 보내는 모든 내용에 적용됩니다. 페이지 이미지는 마스킹할 수 없으므로, 마스킹이 켜져 있을 때 읽기 어려운 PDF 페이지의 AI 읽기(2장)는 프로젝트에서 허용한 뒤에만 이루어집니다. 이 답은 마스킹 설정 옆의 읽기 어려운 PDF 페이지를 AI가 읽도록 허용에서 언제든 바꿀 수 있습니다.
- 로컬 데이터: 프로젝트, 로컬 데이터베이스,
~/.amba/폴더는 언제든지 삭제할 수 있습니다.
5. 문의 및 삭제 요청
AMBA가 보관 중인 데이터를 확인하거나 피드백, 크래시 리포트, 체험 데이터, AMBA 계정 기록의 삭제를 원하시면 **[email protected]**으로 이메일을 보내 주세요. 기록을 찾을 수 있도록 전송 후 표시된 참조 ID(예: AMBA-FB-3F2A9C1B), 사용한 연락처, 또는 피드백의 대략적인 제출 일시와 제목을 함께 적어 주세요. 보안 취약점 신고와 기타 개인정보 관련 문의도 같은 주소로 받습니다.
6. 방침의 변경
AMBA의 데이터 흐름이 변경되면 이 페이지를 업데이트하고 상단의 날짜를 변경합니다.
최종 수정일: 2026년 10월 30일