사진·영상 촬영과 편집, 얼굴·인물·동물 분석 및 편집 취향 처리는 기기에서 수행합니다. 앱은 사진·영상·분석 결과·비밀 앨범 파일을 광고 요청에 전달하지 않습니다. 시스템 사진 선택기에서 고른 항목에 접근하며, 콜라주와 동영상 이어하기를 위해 앱 전용 복사본을 만들 수 있습니다. 공유를 선택하면 결과가 사용자가 선택한 다른 앱에 전달됩니다.
광고 없는 Candy Studio 구성은 Google Mobile Ads 및 광고 동의 SDK를 포함하지 않습니다. 푸시 알림을 지원하는 새 버전은 공지 전달을 위해 인터넷을 사용합니다. 촬영·편집으로 만든 사진·영상과 분석 결과는 앱이 스스로 서버로 보내지 않습니다. 다만 아래 ‘AI 영상 만들기’ 기능을 사용자가 직접 선택한 경우에는 고른 사진이 서버로 전송됩니다. 사용자가 직접 외부 브라우저, 이메일 또는 공유 앱을 열면 해당 서비스의 정책이 적용됩니다. 이전 광고 포함 배포본을 사용하는 경우 광고 SDK가 IP 주소, 광고 상호작용, 진단 정보 및 기기 식별자를 처리할 수 있으며 아래 Google 안내가 적용됩니다.
Google 광고 SDK 데이터 안내 · Google 개인정보처리방침
알림을 보내기 위해 기기마다 발급되는 푸시 토큰(Google Firebase Cloud Messaging 등록 토큰)과 기기 언어 설정을 수집해 운영자의 알림 발송 서버에 보관합니다. 이름·전화번호·이메일 같은 개인 식별 정보는 보내지 않으며, 사진·영상·얼굴 분석 결과·비밀 앨범 파일은 이 목적으로 전송하지 않습니다. 알림에도 그 파일들을 첨부하지 않습니다. Google Analytics와 BigQuery 알림 전달 내보내기는 사용하지 않습니다. 사진·영상 저장 완료 알림은 기기에서 만듭니다.
수집 시점. 알림 설정 가운데 하나라도 켜져 있을 때 토큰이 발급되어 서버로 전송됩니다. 모두 꺼져 있으면 토큰을 만들지도 보내지도 않습니다. 2026년 10월 배포분부터 알림 설정은 켜진 상태로 시작하므로, 앱을 처음 열 때 토큰이 전송되고 그 사실을 앱이 한 번 알려 드립니다. ‘마이 → 알림 설정’에서 언제든 끌 수 있습니다.
이용 목적. (1) 사용자가 요청한 ‘만들기’ 작업의 완료·실패 안내, (2) 서비스 공지, (3) 수신에 동의한 경우 제휴 서비스의 방송·이벤트·혜택 등 광고성 정보의 발송 대상 선별입니다.
광고성 정보에 대한 동의. 이벤트·혜택 알림은 수신에 동의한 기기에만 발송하며, 모든 광고성 알림의 제목에는 ‘(광고)’ 표시가 붙습니다. 오후 9시부터 오전 8시 사이의 발송에는 별도 동의를 받습니다. 동의·철회한 일시를 함께 보관하고 그 내용을 앱에서 보여 드리며, ‘마이 → 알림 설정’에서 언제든 철회할 수 있습니다.
보관과 파기. 알림을 모두 끄면 서버에 보관된 기기 토큰을 삭제합니다. 앱을 삭제하거나 발송이 실패해 토큰이 더 이상 유효하지 않게 된 경우에도 삭제합니다. 연결에 실패하면 앱이 다음 기회에 다시 시도합니다. 이미 전달된 알림이나 Google의 서비스 운영 기록은 별도 보관 정책이 적용될 수 있습니다.
수탁 및 국외 이전. 알림 전송을 위해 Google LLC의 Firebase Cloud Messaging을 이용하며, 그 과정에서 앱 설치 식별자와 등록 토큰, 서비스 제공에 필요한 앱·기기·연결 정보가 처리됩니다. Firebase 개인정보 보호 안내와 설치 식별자 관리 안내를 참고하세요.
이 기능을 사용자가 직접 선택하면, 고른 사진이 운영자 서버를 거쳐 외부 AI 영상 생성 서비스로 전송됩니다. 영상은 그곳에서 만듭니다. 전송은 HTTPS 암호화 연결로 이루어집니다. 이 기능을 쓰지 않으면 사진은 전송되지 않습니다 —— 촬영과 편집은 기기 안에서만 처리됩니다.
현재 처리를 맡기는 업체는 PixVerse와 Replicate이며, 고른 효과에 따라 둘 중 한 곳이 처리합니다. 두 업체는 별개 회사입니다. 사업자에 따라 약관상 전달된 콘텐츠를 자사 모델 개선에 사용할 수 있으며, 그런 경우 해당 업체는 운영자를 대신해 처리하는 수탁자에 그치지 않습니다. 처음 사용하기 전에 앱에서 이 내용을 고지하고 동의를 받습니다. 동의하지 않으면 사진은 전송되지 않으며 앱의 다른 기능은 그대로 사용할 수 있습니다.
전송되는 항목은 고른 사진, 선택한 효과의 식별자, 재시도 식별자, 앱 버전, 언어 설정과 접속에 따르는 연결 정보입니다. 회원가입이나 이메일은 받지 않으며, 기기마다 무작위 기기 식별자 하나를 발급해 사용합니다. 사진 원본은 전달 직후 운영자 서버에서 삭제합니다. 완성된 영상 주소는 72시간 보관한 뒤 삭제합니다. 사용자는 앱의 ‘설정 → 트렌드 데이터 지우기’에서 언제든지 서버에 있는 이 기기의 기록 전부를 삭제할 수 있습니다.
결과물을 신고하면 해당 결과를 먼저 내리고 운영자가 확인합니다. 신고에는 신고 사유와 사용자가 입력한 설명이 포함됩니다.
AI 영상 만들기에 쓰는 크레딧은 Google Play 인앱 결제로 구매할 수 있습니다. 결제 자체는 Google Play가 처리하며 앱과 운영자는 카드번호·계좌 등 결제수단 정보를 받지 않습니다. 구매가 끝나면 앱이 Google Play가 발급한 구매 토큰과 상품 식별자를 운영자 서버로 보내고, 서버는 그 값을 Google에 확인한 뒤 크레딧을 적립합니다. 같은 구매 토큰은 한 번만 반영됩니다. 운영자는 상품 식별자, 구매 토큰, 적립 결과와 적립 시각을 기기 식별자에 연결해 보관합니다. 이는 중복 적립과 부정 사용을 막고 문의에 답하기 위한 것입니다. ‘설정 → 트렌드 데이터 지우기’로 이 기기의 기록을 삭제할 수 있습니다. 환불·결제 내역은 Google Play 정책이 적용됩니다.
촬영에는 카메라, 구형 Android의 갤러리 저장에는 저장소 쓰기 권한이 필요합니다. 라이브 영상 음성을 사용자가 켠 경우에만 마이크 권한을 요청하며, 음성은 기기에서 영상에 합치고 외부로 자동 전송하지 않습니다. 권한을 거부하면 무음 영상을 계속 사용할 수 있습니다. 알림 권한은 Android가 관리하며, 광고성 알림은 수신에 동의한 기기에만 보냅니다(위 ‘알림과 기기 토큰’ 참조). 비밀 앨범은 기기 인증 및 암호화를 사용하며 앱은 생체 원본을 수집하지 않습니다. 기기 보안 설정 변경이나 키 손실로 앨범을 복구하지 못할 수 있습니다.
앱 전용 복사본과 편집 정보는 해당 작업 삭제, 앱 데이터 삭제 또는 앱 제거로 지울 수 있습니다. 비밀 앨범은 앨범에서 삭제할 수 있습니다. 공개 갤러리나 다른 앱에 저장한 사본은 해당 앱에서 별도로 삭제해야 합니다. 앱 전용 데이터는 Android 자동 백업·이전 제외 규칙으로 구성되어 있으므로 앱 제거 전 필요한 공개 결과를 직접 저장해야 합니다. 광고 관련 정보의 보관·삭제에는 Google 정책과 적용되는 사용자 선택이 적용됩니다.
Candy Camera는 회원가입이나 서버 계정을 제공하지 않습니다. 기기 내 데이터 삭제 방법과 문의 절차는 데이터 삭제 안내를 확인하세요.
개인정보 관련 문의는 admin@studio-sj.co로 보낼 수 있습니다. 개정 방침은 이 공개 주소에 게시합니다.
Effective October 19, 2026 (previous version: October 4, 2026). Operator: StudioSJ. Contact: admin@studio-sj.co.
What changed. We now state that a push token and your device language are collected and stored to deliver notifications, that notification settings start switched on, and how advertising notifications are labelled “(Ad)”, when night delivery requires consent, how long the token is kept and who processes it. See “Notifications and the device token” below. You can turn notifications off at any time in My → Notifications; turning all of them off deletes the token stored on our server.
Capture, editing and preference processing run on the device. The app does not attach photos, face analysis results or private album files to ad requests. Selected media may be copied into private app storage to resume projects. Sharing sends the selected output to the app you choose.
The ad-free Candy Studio configuration includes no Google Mobile Ads or advertising consent SDK. New versions supporting push announcements use the Internet to deliver those announcements. The app does not upload photos, videos or analysis results to an operator server on its own. Photos you select are uploaded only when you choose to use the AI video feature described below. External browsers, email services and sharing apps that you choose have their own policies. Older ad-supported releases may process IP addresses, ad interactions, diagnostics and device identifiers through the advertising SDK; the Google links above apply to those releases.
When you choose this feature, the photo you select is sent through the operator server to an external AI video generation service, which creates the video. The transfer uses an HTTPS encrypted connection. If you do not use this feature, no photo is sent — capture and editing stay on the device.
The providers currently used are PixVerse and Replicate; which one handles a request depends on the effect you choose. Both are separate companies. Depending on a provider's terms, submitted content may be used to improve that provider's own models, in which case the provider is not acting solely as a processor on the operator's behalf. The app discloses this and asks for your agreement before the first upload. If you decline, no photo is sent and the rest of the app still works.
What is sent: the selected photo, the identifier of the chosen effect, a retry identifier, app version, language setting and the connection information that any request carries. There is no sign-up or email address; each device receives one random device identifier. Source photos are deleted from the operator server immediately after they are forwarded. The finished video address is kept for 72 hours and then deleted. Settings → Delete trend data removes everything the server holds for that device at any time.
Reporting a result takes it down first and an operator reviews it afterwards. A report includes the reason and any description you enter.
Credits for AI video creation can be bought through Google Play in-app billing. Google Play handles the payment; the app and the operator never receive card numbers, bank details or other payment instrument data. After a purchase the app sends the Google Play purchase token and the product identifier to the operator server, which verifies them with Google before granting credits. A purchase token is applied only once. The operator stores the product identifier, purchase token, the result and the time it was granted, linked to the device identifier, in order to prevent duplicate grants and abuse and to answer support requests. Settings → Delete trend data removes this record for the device. Refunds and purchase history follow Google Play policies.
To deliver notifications we collect the push token issued to your device (a Google Firebase Cloud Messaging registration token) and your device language, and store them on our notification server. We do not send identifying information such as your name, phone number or email, and your photos, videos, face analysis results and private album files are never sent for this purpose or attached to a notification. Google Analytics and BigQuery delivery export are disabled. Save-complete notifications are generated on the device.
When it is collected. The token is created and sent only while at least one notification setting is on. If all of them are off, no token is created or sent. From the October 2026 release the notification settings start switched on, so the token is sent when you first open the app and the app tells you once that this is the case. You can turn them off at any time in My → Notifications.
How it is used. (1) To tell you when a creation you requested has finished or failed, (2) to deliver service announcements, and (3) where you have consented, to select recipients for partner live streams, events and offers.
Consent for advertising. Event and offer notifications are sent only to devices that have consented, and every advertising notification carries an “(Ad)” label in its title. Delivery between 9 PM and 8 AM requires separate consent. We store the time you consented or withdrew, show it to you in the app, and you can withdraw at any time in My → Notifications.
Retention. When you turn all notifications off, we delete the device token stored on our server. We also delete it when the app is removed or when delivery fails because the token is no longer valid. A failed connection is retried by the app later. Already delivered messages and Google's service operation records may follow separate retention policies.
Processor and international transfer. We use Google LLC's Firebase Cloud Messaging to deliver notifications; that process handles an app installation ID, the registration token and the app, device and connection information needed for delivery. See Firebase privacy and installation ID management.
Camera access enables capture; older Android versions require write permission for gallery saves. Microphone permission is requested only when the user enables live-video sound; audio is combined locally and denial leaves silent video available. The private album uses device authentication and encryption. Android manages biometric templates. Loss or invalidation of the encryption key can prevent recovery. Delete private content through app controls, Android app-data deletion or uninstall. Gallery and shared copies require separate deletion. Android backup and transfer exclusions are configured for private app data. Save needed public outputs before uninstalling.
Candy Camera does not offer registration or a server account. See the data deletion guide for on-device deletion steps and the contact procedure.
Privacy questions may be sent to admin@studio-sj.co. SDK retention and user controls follow Google's policies and applicable choices.