Token Forest 개인정보 보호정책

Token Forest는 Claude Code / OpenAI Codex 사용량을 자라나는 픽셀 나무로 바꿔 주는 데스크톱 앱입니다. 본 정책은 앱이 무엇을 읽고, 무엇을 저장하며, 그리고 사용자가 동의한 경우에만 무엇을 업로드하는지 정확히 설명합니다. 동일한 내용이 공개 제품 저장소에 PRIVACY.md로 게시되어 있으며, 그 git 기록이 본 정책의 공개 변경 이력이 됩니다.

• ✦핵심 기능은 전적으로 사용자의 기기에서 실행됩니다. 계정, API 키, 네트워크가 필요 없습니다.
• ✦앱에는 텔레메트리, 광고, 오류 보고가 없습니다. 선택적인 업데이트 확인은 기본적으로 꺼져 있으며, 켜더라도 앱이 스스로 무언가를 설치하지 않습니다 —— 새 버전이 있다는 사실을 알려주고, 원하시면 설치 파일을 내려받아 드릴 뿐 실행은 사용자가 합니다.
• ✦AI 코딩 도구가 이미 로컬에 기록해 둔 사용 로그를 읽습니다 — 사용자의 소스 코드 파일은 읽지 않습니다.
• ✦프롬프트나 대화 내용을 저장하거나 업로드하지 않습니다.
• ✦글로벌 리더보드는 선택 기능이며 기본적으로 꺼져 있습니다. 켜지기 전에 동기화될 모든 항목을 나열한 동의 창을 표시합니다. 끄면 사용자의 기록 삭제를 요청합니다.
• ✦당사는 개인정보를 판매하지 않습니다. 판매할 것이 애초에 없습니다 — 기본 설정에서는 당사가 어떠한 데이터도 받지 않습니다.

Token Forest는 지원 도구가 로컬에 생성한 사용 로그를 읽습니다:

Claude Code:  ~/.claude/projects/**/*.jsonl
OpenAI Codex: ~/.codex/sessions/**/rollout-*.jsonl

이 로그에서 다음을 사용합니다: 토큰 수(입력 / 출력 / 캐시 읽기 / 캐시 쓰기), 타임스탬프, 출처(Claude 또는 Codex), 모델 식별자, 세션 식별자, 프로젝트 디렉터리 이름, Git 브랜치 이름, AI가 생성한 세션 제목, 그리고 메시지 유형 구조(실제 사용자 발화와 도구 결과를 구분하기 위해서만 사용).

로그 한 줄을 파싱할 때 그 전체 내용(프롬프트 텍스트를 포함할 수 있음)이 메모리를 거칩니다. Token Forest는 프롬프트의 의미를 필요로 하지 않으며, 프롬프트나 대화 본문을 자체 데이터 파일에 복사하지도, 업로드하지도 않습니다. 사용자의 소스 코드 파일을 여는 일도 결코 없습니다.

현재 베타는 데이터 파일을 애플리케이션 옆에 저장합니다. 향후 릴리스에서는 표준 사용자별 디렉터리(Windows: %LOCALAPPDATA%\TokenForest\, macOS: ~/Library/Application Support/TokenForest/)로 자동 마이그레이션하여 이동합니다.

이 파일들은 사용자의 기기에 남아 있으며 업로드되지 않습니다. usage_ledger.json에는 파일 경로와 같은 로컬 메타데이터가 포함되어 있어, 같은 컴퓨터의 다른 사용자가 사용자의 파일을 읽을 수 있다면 볼 수 있습니다. 앱의 데이터 폴더는 비공개로 취급하십시오. v0.2.0부터 세션 토큰은 운영 체제의 자격 증명 저장소(macOS는 키체인, Windows는 자격 증명 관리자)에 저장됩니다. account.json에도 사본을 남깁니다 — 자격 증명 저장소를 모르는 구버전이 계정을 찾지 못해 새로 등록하고 리더보드 행이 고아가 되는 것을 막기 위해서입니다. 이 파일들을 삭제하면(또는 제거 후 폴더를 삭제하면) 모든 로컬 데이터가 삭제됩니다.

기본적으로 Token Forest는 어떠한 네트워크 요청도 하지 않습니다. 성장, 버블, 상점, 캡슐 모드, 대시보드는 모두 오프라인에서 작동합니다. 비용 추정은 내장된 가격표를 사용합니다.

온라인에 연결될 수 있는 선택 기능은 리더보드, 가격표 업데이트, 업데이트 확인입니다. 모두 기본적으로 꺼져 있으며, 사용자가 조작하기 전에는 아무 일도 하지 않습니다:

• ✦리더보드 — 기본적으로 꺼짐. 다음 섹션을 참조하세요.
• ✦가격표 업데이트(v0.1.5+) — 대시보드에서 「↻ 가격 업데이트」를 클릭하거나 설정에서 「가격표 자동 업데이트」를 켜면(기본값은 꺼짐, 켜도 하루 최대 1회 확인) 정적 파일 https://tokenforest.com.au/pricing.json 하나를 내려받아, 새로 출시된 모델을 앱 업데이트를 기다리지 않고 가격 계산할 수 있습니다. 이는 다운로드일 뿐입니다: 요청은 사용 데이터, 식별자, 계정을 전혀 담지 않습니다. 파일은 검증 후 로컬에 캐시되며, 실패 시 앱은 내장/캐시된 표를 조용히 계속 사용합니다.
• ✦업데이트 확인(v0.2.1+) — 기본적으로 꺼져 있습니다. 첫 실행 시 환영 창이나 설정 → 정보에서 켤 수 있고, 아무것도 켜지 않고 한 번만 보내는 수동 「업데이트 확인…」도 있습니다. 켜면 앱이 GitHub에 최신 릴리스를 한 번 물어봅니다: GET https://api.github.com/repos/Ericcccccc777/Poietic-TokenForest/releases/latest. 빈도는 성공 후 하루 최대 한 번이며, 연결되지 않을 때는 최대 6시간마다 재시도합니다(하루 최대 4회). 요청에는 본문도, 쿼리 문자열도, 쿠키도, Authorization도 없으며 앱이 설정하는 헤더는 세 개의 고정 상수(User-Agent: TokenForest-update, Accept: application/vnd.github+json, X-GitHub-Api-Version: 2022-11-28)뿐으로 모든 설치에서 동일합니다. 버전 번호, 플랫폼, 식별자, 사용량 데이터는 전혀 담기지 않으며 —— 버전 비교는 사용자의 컴퓨터에서 이루어집니다. 「업데이트 다운로드」를 누르기 전에는 아무것도 내려받지 않습니다. 내려받은 파일은 같은 GitHub 릴리스가 공개한 SHA-256과 대조되고, macOS의 quarantine / Windows의 MOTW 표시를 유지한 채 Finder / 파일 탐색기에서 위치만 알려 줍니다. 앱이 대신 설치하거나, 스스로를 교체하거나, 권한 상승을 요구하는 일은 없습니다. 이 기능을 켜면 GitHub가 새로운 통신 상대가 됩니다: 다른 온라인 서비스와 마찬가지로 GitHub와 그 경로의 네트워크는 자체 정책에 따라 IP 주소, 요청 시각, 표준 서버 로그를 처리할 수 있으며, 업데이트 확인을 켠 컴퓨터는 「대략 어떤 날에 켜져 있었는지」라는 흔적을 GitHub 쪽에 남깁니다.

웹 페이지를 여는 메뉴 항목(예: 리더보드 웹사이트)은 기본 브라우저를 실행할 뿐이며, 데스크톱 앱 자체가 백그라운드에서 무언가를 전송하지 않습니다.

리더보드는 기본적으로 꺼져 있습니다. 「켜기」를 선택하면 동기화될 내용을 정확히 나열한 동의 창이 표시됩니다. 사용자가 확인하기 전에는 아무것도 전송되지 않습니다.

활성화하면 앱은 Supabase(당사의 데이터베이스 제공업체)에 익명 계정을 만들고, 약 30분마다 그리고 시작·나무 전환·종료 등의 시점에 다음을 동기화합니다:

이 열에서 「예」는 공개 페이지에 표시된다는 뜻이고, 「아니요」는 표시되지 않는다는 뜻입니다. 부정행위 방지용 네 숫자는 데이터베이스 차원에서도 잠겨 있습니다: 앱과 웹사이트가 사용하는 공개 읽기 전용 키는 해당 열을 읽는 것 자체가 거부됩니다.

세부 사항: 이름을 비우면 생성되는 익명 이름이 앱 언어로 표시되므로, 리더보드에 사용자의 UI 언어가 간접적으로 반영됩니다.

모델별 구성(v0.2.0+). 리더보드에는 「나무 크기」 외에도 가장 많이 쓴 모델, 제공사 간 비교 같은 보드가 있습니다. 이들은 토큰의 모델별 구성——모델명(예: claude-opus-4-8), 해당 제공사, 4종 토큰 수량과 그 합계——으로 채워집니다.

이 구성은 토큰 리더보드 외에 두 개의 공개 리더보드에도 사용됩니다. 벤더 사용량 리더보드는 모든 플레이어의 토큰을 벤더별·모델별로 합산한 것으로, 커뮤니티 전체 합계입니다. 웹사이트에 표시되는 것은 이 합계이지만, 그 바탕이 되는 플레이어별·모델별 행은 저희 공개 데이터베이스 인터페이스를 통해 읽을 수 있으며 익명 ID와 연결될 수 있습니다. 숲 가치 리더보드는 수집한 토큰의 추정 금액을 보여줍니다. 금액은 저희 서버에서 이미 동기화된 수량에 모델별 공개 단가를 곱해 계산합니다 — 사용자의 기기에서 금액이 전송되지 않으며 새로 업로드되는 항목도 없습니다. 이는 청구서가 아니라 추정치입니다: 구독·할인·무료 한도는 반영되지 않고, 벤더가 가격을 바꾸면 모두의 수치가 동시에 움직이며, 각 토큰이 어느 모델에 속하는지는 사용자 기기에서 온 정보로 독립 검증되지 않습니다. 두 리더보드 모두 집계된 전체 토큰 중 얼마를 포함하는지 명시합니다. 대상은 직접 누른 버블뿐입니다. 각 버블은 「어떤 모델이 소비했는지」의 구성을 지니며, 그 구성은 버블을 수집하는 바로 그 순간——나무 점수가 오르는 것과 같은 순간, 같은 에너지——에 기록됩니다. 누르지 않고 만료된 버블은 양쪽 모두 계산되지 않습니다. 이 집계를 위해 설치 이전의 로그를 뒤지지 않습니다.

제공사는 모델명에서 파생되며 어느 CLI가 로그를 남겼는지와는 무관합니다: DeepSeek·GLM·Kimi를 ANTHROPIC_BASE_URL로 Claude Code에 연결해 쓰는 경우가 흔한데, 출처로 분류하면 Claude로 잘못 집계되기 때문입니다.

날짜는 담지 않습니다. 누적값만 있고 일별·시간별·세션별 분할이 없으므로, 부정행위 방지용 네 숫자와 마찬가지로 언제 일하고 언제 쉬는지 알아낼 수 없습니다. 날짜별 내역은 기기에 남아 대시보드에서 사용됩니다.

집계는 v0.2.0부터 시작합니다. 그 이전에 수집한 토큰은 모델 정보가 없고 소급 보정하지 않으므로 모델 합계는 보통 점수보다 적습니다. 한 번의 동기화에 최대 30개 모델이 실리며(실제 사용자는 보통 5~15개), 초과분은 토큰 수가 적은 순서로 잘려 나갑니다. 모델명은 두 단계로 검증되어, 앱은 엄격한 문자 집합을 벗어나는 것을 단일 「unknown」으로 묶고, 서버도 문자 집합과 금지어 목록을 독립적으로 재확인해 통과하지 못한 행은 버립니다.

어떤 모드에서도 업로드하지 않는 것: 원본 로그, 프롬프트나 대화 내용, 소스 코드, 세션 제목, 파일 경로, 프로젝트 이름, Git 브랜치, 세션별 사용량, 비용 추정, 수집하지 않은 토큰에 관한 일체, 그리고 토큰 사용의 구간별·시간대별 내역 일체——위 모델별 수치의 날짜별 내역을 포함합니다.

다른 온라인 서비스와 마찬가지로, Supabase의 인프라는 서비스를 운영하고 보호하기 위해 표준 연결 데이터(IP 주소, 요청 타임스탬프 등)를 Supabase 자체 정책에 따라 처리합니다.

리더보드 점수는 사용자 본인의 컴퓨터가 계산한 숫자이므로, 그 자체로는 아무것도 증명하지 못합니다——그리고 이는 양날의 검입니다. 누군가는 로컬 파일을 고쳐 점수를 부풀릴 수 있고, 반대로 정직한 헤비 유저가 버블을 하루 종일 모았다가 한 번에 수확하면 부정행위와 똑같이 생긴 급등이 만들어집니다. 이 둘을 구별하기 위해, 점수를 올리는 각 동기화에는 그 상승이 어떻게 이루어졌는지 설명하는 네 개의 집계값이 함께 전송됩니다:

• ✦새 토큰이 몇 개의 5분 구간에 걸쳐 있는지,
• ✦가장 많은 단일 구간의 토큰 수,
• ✦그 합계, 그리고
• ✦가장 이른 구간부터 가장 늦은 구간까지의 기간.

구간은 Claude Code / Codex 로그 자체의 타임스탬프——토큰이 실제로 소비된 시각——를 기준으로 나뉩니다. 따라서 하루 동안 모아둔 것은 「평범한 구간이 여러 개」로 올바르게 읽히며, 「불가능한 급등」이 되지 않습니다.

구간별 타임라인은 의도적으로 업로드하지 않습니다. 5분 단위의 토큰 사용 기록은 당신이 언제 일하고 언제 자는지에 대한 기록이나 마찬가지이기 때문입니다. 네 개의 집계값으로는 그것을 복원할 수 없습니다: 가장 많은 구간이 「얼마나 큰지」는 말해도, 「어느 구간인지」는 결코 말하지 않습니다. 정확한 구간별 수치는 당신의 기기에서 계산되어 네 숫자를 도출하는 데 쓰인 뒤, 기기를 떠나지 않습니다.

이 네 숫자는 공개 리더보드에 표시되지 않습니다——데이터베이스에서 공개용 읽기 전용 역할에 대해 해당 열의 읽기 권한이 취소되어 있습니다. 특정 계정을 검토하는 관리자만 볼 수 있으며, 참고용입니다: 사람의 판단을 돕는 것이지 누구도 자동으로 처벌하지 않습니다. 앱이 자신의 수치를 보증할 수 없는 경우(예: 도중에 업그레이드되었거나, 버블 수확과 동기화 사이에 종료된 경우), 잘못된 값을 보내는 대신 아무것도 보내지 않습니다.

• ✦켜기 — 주기적으로 동기화합니다.
• ✦일시정지 — 업데이트를 중단하며, 마지막 기록은 보드에 남습니다.
• ✦끄기 — 동기화를 중단하고 사용자의 기록 삭제 요청을 보냅니다.

베타 제한 사항을 솔직히 밝힙니다: 삭제 요청이 실패하면(예: 오프라인 상태), 현재 베타는 아직 재시도하거나 확인하지 않습니다. 온라인 상태에서 다시 「끄기」로 전환하면 재전송됩니다. 확인을 동반한 안정적인 삭제 기능은 정식 릴리스 전에 제공될 예정입니다. 당사에 삭제를 요청할 수도 있습니다(「문의」 참조) — 앱에 표시되는 익명 이름/ID를 알려 주십시오. 그리고 account.json의 토큰은 누구에게도 보내지 마십시오.

본 웹사이트는 분석 도구, 광고 추적기, 마케팅 쿠키를 일절 사용하지 않습니다. 호스팅 제공업체는 사이트를 제공하고 보호하기 위해 표준 서버 로그(IP 주소, 사용자 에이전트, 요청한 페이지, 시각)를 처리합니다. 리더보드 페이지는 위에서 설명한 공개 리더보드 행을 읽으며, 열람에 로그인이 필요 없습니다. 본 사이트는 원하는 플레이어에게 배지 이미지도 제공합니다: 그 주소에는 사용자의 익명 ID가 들어 있으며, 리더보드의 해당 행과 같은 공개 수치를 보여 줍니다. 어디에 붙이든 그 페이지의 방문자 — 또는 해당 서비스의 이미지 프록시 — 가 본 사이트에서 이미지를 가져오므로, 위에서 설명한 표준 서버 로그에 그 요청이 남습니다. 향후 분석 등의 서비스를 추가할 경우 본 정책을 먼저 업데이트합니다.

홈페이지에는 데모 영상이 있습니다. 재생을 누르기 전까지 어떤 영상 플랫폼으로도 요청을 보내지 않으며, 정지 상태에서는 본 사이트가 제공하는 정지 이미지만 표시됩니다. 재생을 누르거나 재생 출처를 바꾸는 버튼을 누르면, 영상은 YouTube의 no-cookie 플레이어 도메인에서, 출처를 바꾼 경우에는 Bilibili에서 불러와지며, 그 시점부터 해당 플랫폼이 자체 개인정보처리방침에 따라 쿠키를 설정하고 IP 주소를 수신할 수 있습니다. 영상을 재생하지 않으면 양쪽 모두 완전히 피할 수 있습니다.

당사는 설명한 기능을 위해서만 소수의 제공업체를 이용합니다: Supabase(익명 인증 + 리더보드 데이터베이스), 웹사이트 호스트, 그리고 GitHub(제품 저장소, 이슈, 릴리스 다운로드). 제공업체의 소재 지역과 정책 링크는 최초 정식 릴리스 전에 본 섹션에서 확정합니다.

리더보드 설정 안에 「프로젝트 소개」라는 스위치가 있습니다. 켜면 프로젝트 이름(24자 이내), 한 줄 소개(80자 이내), 링크 하나, 이미지 한 장을 입력할 수 있습니다. 이 네 가지는 리더보드 동기화와 함께 전송되어 여러분의 행 옆에 공개적으로 표시됩니다. 분명히 말해 둘 것이 몇 가지 있습니다:

• ✦기본값은 꺼짐이며, 리더보드 자체가 꺼져 있는 동안에는 아무 일도 하지 않습니다. 한 번도 켠 적이 없다면 이 네 항목은 전혀 전송되지 않습니다. 끄는 순간에만, 저장된 내용을 지우기 위해 네 항목이 빈 값으로 한 번 전송됩니다.
• ✦내용은 여러분이 직접 쓴 그대로, 앞뒤 공백만 제거하여 표시됩니다. 공개하고 싶지 않은 정보는 넣지 마십시오.
• ✦게시를 보류할 수 있습니다. 계정이 검토 중이면 담당자가 확인할 때까지 프로젝트 소개가 리더보드에 표시되지 않습니다. 기록의 나머지 부분은 영향을 받지 않으며, 기다리는 동안 입력한 내용이 삭제되지도 않습니다. 「표시되지 않음」은 「숨겨짐」과 다릅니다: 공개 페이지에서 내려갈 뿐, 입력한 내용은 저희 쪽에 남고 이미지도 원래의 직접 주소를 그대로 유지합니다.
• ✦이미지는 기기를 떠나기 전에 다시 인코딩됩니다 —— 가장 긴 변이 512픽셀 이내, 64 KB 이내로 축소되며 그 과정에서 위치·카메라 정보가 제거됩니다. 휴대폰 사진을 골라도 GPS 좌표는 함께 가지 않습니다.
• ✦스위치를 끄는 것이 곧 내리는 것입니다. 다음 동기화에서 리더보드의 해당 항목이 지워지고 업로드된 이미지도 삭제됩니다. 리더보드를 통째로 끄면 여러분의 행과 함께 삭제됩니다. 여러분 쪽에서만 숨기는 것이 아닙니다. 베타 제한 사항을 솔직히 밝힙니다: 이 정리는 끄기 동작이 당사에 도달한 시점에 이루어지므로, 오프라인이거나 앱의 익명 세션이 만료되어 인증할 수 없는 경우에는 이후 어떤 시도가 성공할 때까지 리더보드의 해당 항목과 이미지가 그대로 남습니다. 당사에 문의하시면 대신 삭제해 드립니다.
• ✦링크는 https:// 로 시작해야 하며 수락 전에 검증됩니다. 텍스트는 표시 이름과 동일한 단어 필터를 기기에서 한 번, 서버에서 다시 한 번 통과합니다.

당사는 「믿어 달라」는 말만으로는 충분하지 않다는 것을 잘 알고 있습니다. 네트워크를 완전히 비활성화해도 앱은 작동합니다 — 직접 시험해 보십시오. 릴리스는 SHA-256 체크섬과 서명 상태를 공개하며, 릴리스 노트에 개인정보나 네트워크 관련 변경 사항을 명시합니다. 다만 초기 네 개 빌드는 예외입니다 — v0.1.0, v0.1.1, v0.1.2는 체크섬을 공개하지 않았고 v0.1.9는 둘 다 없습니다. 소스 코드는 현재 비공개이지만, 「로그만 읽고 아무것도 업로드하지 않는다」는 주장을 독립적으로 감사할 수 있도록 핵심 사용량 리더 구성 요소의 공개를 검토하고 있습니다.

• ✦리더보드를 활성화하지 않고 앱을 완전히 오프라인으로 사용합니다.
• ✦나무 메뉴에서 언제든지 리더보드 동기화를 일시정지하거나 끕니다.
• ✦표시 이름과 지역을 변경하거나 비웁니다.
• ✦앱의 데이터 파일을 삭제/제거하여 로컬 데이터를 삭제합니다.
• ✦「끄기」를 누르면 리더보드 기록의 삭제를 요청합니다. 오프라인이거나 익명 세션이 만료되어 더 이상 인증할 수 없는 등의 이유로 요청이 완료되지 못하면, 이후 어떤 시도가 성공할 때까지 기록이 보드에 남을 수 있습니다(앱은 이 실패를 로컬에 기록합니다). 삭제 확인이나 강제 삭제는 당사에 문의하세요.

향후 버전이 새로운 데이터 처리(텔레메트리, 오류 보고, 새로운 네트워크 통신 대상, 새 리더보드 항목)를 추가하는 경우, 해당 버전을 제공하기 전에 본 정책과 앱 내 동의 내용을 업데이트하고, 릴리스 노트의 「Privacy or network changes」 항목에서 명시합니다.

지금까지 이 절차를 세 번 거쳤습니다: 가격표 업데이트(v0.1.5에 포함, 새로 추가된 통신 상대는 당사 사이트의 호스팅 제공업체), 업데이트 확인(v0.2.1, 새로 추가된 통신 상대는 GitHub), 그리고 프로젝트 소개(v0.2.2, 사용자가 직접 쓰는 항목과 업로드하는 파일이 처음으로 추가되었습니다). 셋 다 기본값은 꺼짐입니다.

발행자:      Poietic Studio
개인정보:    contact@tokenforest.com.au(전용 privacy@tokenforest.com.au 메일함은 준비 중)
보안:        Security 페이지 참조
웹사이트:    https://www.tokenforest.com.au