Last updated: October 27, 2026
Account: when you sign in with Google we receive your email, name and profile picture. We verify the sign-in token server-side and store these in our database together with your Ink balance and transaction history. Content: topics, drafts and images you submit are processed to generate your articles, and finished articles are saved to your account so you can reopen them. Technical: a session cookie (HTTP-only) keeps you signed in; we do not use advertising or analytics cookies.
Text generation, refinement and review send your input to the provider selected for that request: Anthropic (Claude API) or Google (Gemini API, when available). We use the same selected provider for that request's text processing and review. Automatic image generation, when enabled, separately sends image prompts to OpenAI. Claude article research uses Anthropic's web search tool; Gemini article requests that require web search are currently unavailable. Employment research sends public company and role queries to the configured search service, without your private experience or profile.
Interview preparation sends the selected cover letter, confirmed application information and any answer note you explicitly include to the displayed model provider, after your consent. A blind version is processed separately from its original. Public research does not receive your cover letter. Choosing a different model requires a new transmission confirmation.
Each provider's API processing and retention terms apply. For Gemini we require an active paid billing project: under Google's paid-service terms, prompts and responses are not used to improve Google's products. Limited logging for abuse prevention and legal obligations may still occur, and data may be stored or cached internationally. This is not a promise of zero retention. Preview models may change or become unavailable.
Cover-letter processing may include the company, role, question, posting, supplied experiences, optional profile, and writing context you submit. Provider transmission consent and account-storage consent are separate and off by default. Original and blind documents remain separate; only the version you select is used for interview preparation. We do not sell employment content or use it as another user's reference corpus.
Public employment research sends only confirmed company and role labels and public company or posting URLs to Tavily search and extraction APIs. Private experiences, applicant documents, answer notes, and pasted posting text are not search queries. Search results are untrusted source data; unknown, expired, or conflicting information is not treated as confirmed.
Anthropic normally deletes API inputs and outputs within 30 days, with exceptions for policy enforcement, legal requirements, separately agreed retention and covered-model safety requirements. See Anthropic's current retention policy. API training restrictions are not a zero-retention promise. Penvelle does not represent that a zero-data-retention agreement applies to your request.
Device drafts are saved only after your explicit action, encrypted in this browser with a separate passphrase. Penvelle does not receive or recover that passphrase. Device drafts survive refresh until you delete the draft or clear site data; account deletion does not remotely erase browser files. PDF, DOCX, resume text, and reference writing are read locally. Style analysis sends only the optional numeric style summary with a generation request; reference writing is not transmitted as applicant facts. Only use material you wrote or are authorized to use.
Voice practice is optional. Microphone permission and local-processing confirmation are required for recording. Uploaded or recorded audio and transcription remain in page memory, and are cleared by the delete control, closing the practice view, or leaving the page. The browser downloads speech-model assets from Hugging Face; that host receives ordinary download connection information, not your audio. Model assets may remain in browser cache. Transcription can be inaccurate. If you explicitly copy a transcript into an answer note, saving that note or including it in a paid follow-up uses the separate consent for that operation. We do not infer identity, disability, personality, emotion, or hiring suitability from voice.
Career Vault documents are encrypted and accessible only through the authenticated owner's account until you delete them. Deleting an original leaves an independently saved blind document intact. The full Career Vault deletion control removes original, blind, workspace, and interview documents for that account; account deletion also purges the Vault. Operational request logs must not contain raw employment inputs or generated content. Necessary billing and request-status metadata are distinct from document storage. Always review the employer's current official notice.
Payments are handled by Paddle as Merchant of Record. We never see or store your card details — we receive transaction references, purchased items, amounts, currency, and adjustment status to credit Ink and handle refunds or payment disputes.
Account data and saved articles are stored on Cloudflare. Stored generated images require the owner's login. Employment inputs and drafts are not stored by default. Career Vault stores only the documents or application workspace or interview question set (including its supporting excerpts and answer notes) you explicitly choose to save, encrypted and restricted to your account. Interview results otherwise remain in the current page; encrypted follow-up context is returned to that page and expires after 24 hours. Deleting your account also deletes your Career Vault documents. Account deletion removes the profile, articles, balance, and personal usage history and immediately revokes access to stored images. Image files that cannot be removed immediately remain in a deletion queue for retry. Minimal payment references, adjustment records, security audit records, and keyed account/device hashes are retained to reconcile payments and prevent repeated promotional claims or evasion of payment restrictions; these do not retain article content. For deletion requests concerning retained records, email abigail4867@gmail.com.
We do not sell your data. We share data only with the processors described above (Google sign-in and Gemini API, Anthropic, OpenAI, employment search services, Paddle and Cloudflare) as needed to run the Service, or where required by law.
You may request access, correction, or deletion of your personal data. EU/EEA and UK users have rights under GDPR (access, rectification, erasure, portability, objection); Korean users have rights under PIPA. Contact: abigail4867@gmail.com
세특 안내 갱신일: 2026년 10월 25일. 로그인한 회원은 별도 수업 등록이나 관리자 승인 없이 자료 처리 권한·최종 검토 책임과 선택 공급자의 전송·보관 조건·Ink 비용을 확인한 뒤 교과 세특 초안을 생성할 수 있습니다. 입력 형식 검토와 미리보기까지는 자료를 AI에 전송하지 않으며, ‘초안 만들기’를 누르면 서버 임시 저장과 선택 공급자로의 전송이 시작됩니다.
실제 학생을 관찰한 내용은 이름을 지우거나 문장을 바꾸어도 실제 학생자료입니다. 사용자가 직접 만든 가상 시험자료와 서버가 제공한 고정 합성 예제는 서로 다른 경로로 검사합니다. 가상 자료라는 체크나 개인정보 검사 통과만으로 안전한 익명자료라고 판단하지 않습니다. 이름 제거는 개인정보의 완전한 제거를 뜻하지 않으며, 수행 내용이나 수업 맥락으로 학생을 알아볼 수 있습니다.
생성 전 확인 안내 · SR_MEMBER_CONSENT_20261025: 사용자는 담당 자료를 처리할 권한과 소속 기관의 이용 기준을 스스로 확인하고, AI 초안을 직접 검토합니다. 서버는 이 확인의 안내 버전을 로그인 계정·선택 모델·입력 내용에 연결하여 암호화된 임시 배치에 기록합니다. 사용자의 확인을 기관 허가나 관리자 심사 완료로 기록하지 않습니다. 자료를 바꾸면 확인을 다시 받고, 모델을 바꾸면 공급자·보관 조건과 비용을 다시 확인합니다.
실자료 처리는 소속 기관과 교사의 담당 범위, 처리 근거, 공급자 조건 및 운영 보호조치가 확인된 경우에만 허용합니다. 교사 개인의 전송 확인은 학생의 동의나 기관의 결정을 대신하지 않습니다. 이름은 별도 화면 항목에서 관리하고, 관찰 본문에는 이름·학번·연락처·주소와 불필요한 건강·상담·가정 정보를 넣지 마세요.
허용된 AI 요청은 선택한 모델의 OpenAI, Anthropic 또는 Google API로 전송됩니다. 교육과정·과목·수업 활동·확인한 성취기준과 대상 학생의 임의 Ref, 관찰·수행·피드백·변화, 필요한 메모·AI 초안이 생성·수정·검토에 사용될 수 있습니다. 입력한 기존 기록 원문은 서버의 Byte 잔여량 계산에 사용하며 AI의 새 수행 근거로 보내지 않습니다. 학생 이름과 이름 대응표도 AI 전송 대상에서 제외합니다. 요청 전에 Provider·모델, 학생 수, 전송 항목, Byte 한도와 Ink 견적을 확인하세요. AI 결과는 교사가 사실과 규정을 확인하고 수정하는 초안이며 학교생활기록부에 자동 제출하지 않습니다.
API의 학습 미사용 조건은 무보존 약속과 다릅니다. OpenAI의 기본 안전 로그는 최대 30일이며 법적 의무·안전상 필요에 따른 연장과 모델의 임시 캐시가 있을 수 있습니다. Anthropic은 일반 API 입출력을 통상 30일 내 삭제하지만 정책 위반 조사·법적 의무·계약에 따른 예외가 있습니다. Google Gemini API는 안전 점검을 위한 입력·맥락·출력의 55일 보존과 의심되는 내용의 담당자 검토를 안내합니다. 선택한 공급자의 국외 처리·보관 조건을 생성 전에 표시하며 별도 무보존 계약이 적용된다고 보장하지 않습니다.
허용된 서버 임시 배치는 생성부터 2시간만 접근할 수 있고, 작업 종료 시 live 임시 배치를 삭제합니다. 만료 배치는 접근을 차단하고 5분 주기의 정리 대상이 되며 플랫폼 지연·장애로 물리 삭제가 늦어질 수 있습니다. 삭제 후 늦게 도착한 AI 결과를 배치에 다시 저장하지 않도록 제한합니다. 원문 없는 삭제·정산 기록은 별도로 남습니다. Cloudflare D1 복구 이력에는 요금제에 따라 7일 또는 30일 범위의 암호문이 남을 수 있습니다. 종료 버튼은 공급자 로그, 복구 이력, 교사가 내려받은 CSV나 학교 원본까지 즉시 삭제하지 않습니다.
이전에 제출한 수업·권한 신청의 승인 여부는 새 일반 회원 생성의 요건이 아닙니다. 이전 신청 메타데이터는 기존 보관 기준을 따르며, 미검토·검토 전 철회 신청은 신청일로부터 30일 뒤 만료·정리 대상입니다. 기존 승인·철회 감사 기록과 원문 없는 정산 기록은 임시 학생 자료와 별도로 관리합니다.
교사 입력 원문을 이 기능의 localStorage·분석 로그·공개 URL에 저장하지 않습니다. 브라우저 내용은 새로고침·계정 변경·종료·안전 초기화로 사라질 수 있습니다. 공용 기기와 클립보드, 내려받은 파일은 소속 기관의 기준에 따라 관리하세요. 열람·정정·삭제·처리정지 또는 사고 문의는 학교 담당자 또는 abigail4867@gmail.com로 접수할 수 있습니다. 첫 문의에는 작업 시각·오류 코드·배치 식별자만 적고 학생 원문이나 비밀키를 보내지 마세요. 학교와 Penvelle이 실제로 처리한 범위를 확인하여 협력하며, 이미 삭제한 임시 자료의 복구를 약속하지 않습니다.