글로벌 및 다지역 영업 조직이 대화 인텔리전스(Conversation Intelligence) 솔루션을 도입할 때 가장 먼저 직면하는 장벽은 통화 녹음의 법적 정당성과 컴플라이언스입니다. 레비뉴 오퍼레이션(RevOps) 리더는 영업 코칭과 파이프라인 예측 정확도를 극대화하기 위해 전방위적인 통화 데이터 수집을 원하지만, 법무 및 컴플라이언스 부서는 도청 금지 법률, 양방향/전원 동의(Two-Party / All-Party Consent) 규정, 유럽 GDPR, 미국 HIPAA, 그리고 결제 카드 보안 표준인 PCI DSS를 엄격하게 준수해야 합니다.
Gong은 영업 담당자의 주관적 판단에 의존하지 않고 전사적 차원에서 규제 준수를 자동화할 수 있는 강력한 거버넌스 프레임워크를 제공합니다. 본 가이드에서는 지역별 동의 프로필 설정, 웹 회의 사전 동의 페이지 및 음성 안내, Gong Dialer 지역별 예외 규칙, 자동 제외 목록, 그리고 비가역적인 민감 데이터 마스킹(Redaction) 구축 절차를 상세히 설명합니다.
1. 통화 녹음 법적 배경: 일방 동의 vs. 양방향 동의
통화 및 화상 회의 녹음 관련 법률은 상담원과 고객의 위치에 따라 상이합니다:
- 일방 동의(One-Party Consent): 미국 연방 표준 및 다수 주에서는 대화 참여자 중 1명만 녹음에 동의하면 합법입니다. 영업 담당자 본인이 동의의 주체가 될 수 있습니다.
- 양방향/전원 동의(Two-Party / All-Party Consent): 캘리포니아(CIPA 법률), 플로리다, 매사추세츠, 펜실베이니아, 일리노이, 워싱턴주를 비롯하여 독일, 영국(GDPR/DPA), 캐나다 등의 관할권에서는 대화에 참여하는 모든 참가자에게 녹음 사실을 사전에 고지하고 동의를 받아야 합니다.
- 엄격한 법률 우선 원칙: 영업 담당자가 다른 주나 국가의 고객에게 연락할 경우, 일반적으로 더 엄격한 관할권의 법률이 적용됩니다.
Gong의 거버넌스 체계는 크게 **웹 화상 회의(Web Conferencing)**와 **전화 발신(Gong Dialer / Telephony)**의 두 축으로 구성됩니다.
2. 웹 회의 동의 프로필(Consent Profiles) 설정 및 강제 적용
Gong에서는 웹 회의 녹음 동의 체계를 **동의 프로필(Consent Profiles)**을 통해 중앙에서 관리합니다(Admin center > Data capture > Recording consent). 단일 규칙을 전사에 강제하는 대신, 지역이나 사업부별로 독립된 프로필(예: EMEA 프로필, 미국 양방향 동의 주 프로필, APAC 프로필)을 생성하여 할당할 수 있습니다.
1단계: 사전 동의 페이지(Consent Page) 구성
동의 페이지는 외부 참가자가 Zoom, Microsoft Teams, Google Meet 등의 회의실에 입장하기 직전에 브라우저에 표시되는 경량 대기 웹페이지입니다.
- Admin center > Data capture > Recording consent로 이동하여 Add Profile을 클릭하거나 기존 프로필을 선택합니다.
- Consent page를 On으로 활성화하고 Show settings를 확장합니다.
- 단순 활성화(Enable)와 강제 적용(Enforce)의 차이:
- 활성화(Enable): 동의 페이지로 리디렉션되는 회의 링크를 생성합니다. 단, 참가자가 다른 우회 경로(직접 회의실 링크 등)로 접속할 경우 Gong이 녹음을 시도할 수 있습니다.
- 강제 적용(Enforce use of consent page): 모든 외부 참가자가 동의 페이지를 거쳐 명시적으로 동의한 경우에만 Gong이 통화를 녹음합니다. 우회 접속하거나 보호되지 않은 링크를 사용하면 Gong은 즉시 녹음을 취소하고 데이터를 수집하지 않습니다.
- 녹음 없이 회의 참가 허용(Join without recording):
- Allow participants to join without giving consent (recording will be canceled) 옵션을 체크합니다.
- 동의 페이지에 "Join but don't record(녹음하지 않고 참가)" 버튼이 활성화됩니다. 고객이 녹음을 거부하더라도 회의는 정상 진행되므로, 영업 기회를 유지하면서 법적 위험을 제거합니다.
- 브랜딩 및 개인정보 처리방침 연동:
- 회사 공식 로고를 업로드하고 기업 개인정보 처리방침(Privacy Policy) URL을 입력합니다.
- 다국어 현지화를 지원하여 참가자의 브라우저 기본 언어에 맞춰 고지 문구가 자동 렌더링되도록 설정합니다.
2단계: 회의 링크 아키텍처(동적 링크 vs. 정적 링크)
프로필의 Web conferencing providers 항목에서 회의 링크 발급 방식을 정의합니다:
| 링크 유형 | 주요 장점 | 운영상 고려사항 및 제약 | 권장 사용 환경 |
|---|---|---|---|
| 동적 링크(Dynamic Links) | Gong 캘린더 추가 기능을 통해 회의마다 고유 URL 생성; 비인가자 접속 방지; 연속된 회의 간 녹음 중첩 배제; 회의별 개별 동의 징구 | Google Workspace 또는 Outlook 플러그인 전사 설치 필수; 개인 고정 회의실(PMR) 미지원; 일반 Calendly 정적 링크와 호환 제한 | 엔터프라이즈 전담 어카운트 이그제큐티브(AE) 및 공식 제안 회의 |
| 정적 링크(Static Links) | 담당자의 개인 고정 회의실(PMR) 링크 사용; SDR의 AE 대리 예약 및 Calendly, Chili Piper 등 자동 스케줄러와 연동 용이 | 연속된 회의 시 참석자 간 혼선 및 중첩 녹음 위험; 호스트의 대기실 관리 필수; 전화 접속자는 웹 동의 페이지 확인 불가 | 빠른 인바운드 대응을 담당하는 SDR 팀 및 1차 적격성 평가 미팅 |
| 호스트 재량 결정(Let Host Decide) | 담당자가 초대장을 발송할 때 동적/정적 링크를 직접 선택 | 영업 담당자의 준수 여부에 의존하므로 인적 오류 위험 존재 | 컴플라이언스 교육이 철저히 완료된 숙련된 영업 조직 |
3단계: 입실 시 음성 안내(Audio Prompt)
음성 안내는 통화 시작 시 녹음 중임을 자동으로 방송하는 기능으로, 전화 다이얼인 참석자나 브라우저를 띄울 수 없는 회의실 전용 하드웨어 단말 환경에 필수적입니다.
- 동의 프로필에서 Audio prompt를 On으로 전환합니다.
- 방송 시점 선택:
- 오디오가 연결된 첫 번째 외부 손님 입실 직후 1회 재생
- 오디오가 연결된 각 손님 입실 시마다 재생(중도 참가자가 있는 엄격한 전원 동의 관할권에 필수)
- Don't play the audio prompt if the consent page is used 체크: 웹 동의 페이지에서 이미 동의를 완료한 참가자에게는 음성 방송을 생략하여 불필요한 반복을 방지합니다.
- 언어, 음성 성별, 안내 문구를 설정합니다.
4단계: 회의 전 사전 알림 이메일(Pre-call Email)
회의 시작 10~20분 전에 외부 초대자에게 Gong 이메일 서버를 통해 자동으로 리마인드 메일을 발송합니다:
- 회의 시간, 발신자 이름, 회의 제목 등 동적 변수 지원.
- 본문 하단에 회의가 녹음된다는 수정 불가능한 필수 법적 고지문과 회사 개인정보 처리방침 링크가 자동 삽입됩니다.
3. 전화 발신 및 Gong Dialer 녹음 컴플라이언스 관리
영업 담당자가 Gong Dialer를 통해 직접 전화를 걸 때는(Admin center > Settings > Gong Engage > Dialer setup > Recording) 웹 동의 페이지를 활용할 수 없으므로 전화 시스템 레벨의 규칙을 적용해야 합니다.
4가지 전화 녹음 방식
- 자동(Automatic): 통화 연결 즉시 녹음이 시작됩니다.
- 수동(Manual): 기본적으로 녹음되지 않으며, 담당자가 구두 고지 및 동의를 얻은 후 "Record" 버튼을 눌러 녹음을 시작합니다.
- 담당자 측만 녹음(Rep-side only): 담당자의 음성만 녹음하고 상대방의 오디오는 전혀 기록하지 않아 법적 제약을 우회하면서 통화 맥락을 보존합니다.
- 녹음 금지(Don't allow recording): 녹음 버튼을 숨기고 해당 번호에 대한 모든 녹음 기능을 원천 차단합니다.
미국 지역번호(Area Code) 단위의 세부 규칙 재정의
미국 전역을 대상으로 영업하는 RevOps 팀은 전사 단일 규칙을 사용해서는 안 됩니다:
- Dialer setup > Recording에서 기본 녹음 방식(예: 일방 동의 주 대상 Automatic)을 설정합니다.
- + Add customization을 클릭합니다.
- **United States (specific area codes)**를 선택합니다.
- 양방향 동의 주의 지역번호를 쉼표로 구분하여 입력합니다:
- 캘리포니아: 213, 310, 415, 619, 650, 818 등
- 플로리다: 305, 407, 813, 850, 904 등
- 매사추세츠: 617, 508, 781 등
- 펜실베이니아: 215, 412, 610 등
- 해당 지역번호의 녹음 방식을 Manual 또는 Rep-side only로 지정합니다.
- 발신 시 다이얼러 화면에 "고객에게 녹음 사실을 구두로 고지하십시오"라는 컴플라이언스 배너가 표시됩니다.
4. 프라이버시 규칙, 자동 제외 목록 및 데이터 거버넌스
대화 인텔리전스는 업무와 무관한 인사 상담, 이사회 회의, 외부 법률 자문 또는 직원 개인 이메일의 무분별한 수집을 차단해야 합니다.
이러한 정책은 Admin center > Settings > Data protection & privacy에서 관리합니다.
1. 사내 도메인 격리(Internal Domains)
자사 및 자회사의 모든 공식 도메인을 등록합니다(예: company.com):
- 회의 참석자 전원이 사내 도메인 소속인 경우 내부 회의로 자동 분류되어 기본적으로 녹음되지 않습니다.
- 사내 직원 간에 오간 이메일은 Gong 수집 대상에서 완전히 배제됩니다.
2. 수집 전 제외 목록(Exclude Lists)
Gong은 회의 녹음 및 이메일 동기화 전에 제외 목록을 선제적으로 검사합니다:
- 도메인 제외: 외부 법무법인, 회계감사 법인, 벤처캐피털, 경쟁사 도메인 등록(예:
lw.com,ey.com). - 이메일 접미사 제외:
gov를 입력하면.gov도메인을 가진 공공기관 및 정부 관계자가 포함된 미팅과 이메일의 수집이 자동 차단됩니다. - 회의 제목 키워드 제외: 기밀 안건이 포함된 캘린더 미팅을 필터링합니다. 오탐을 방지하기 위해 큰따옴표를 사용한 완전 일치 검색을 권장합니다:
"HR","1-on-1","Interview","Board","Legal","급여","평가".
3. 정보주체 권리 행사(DSAR) 및 잊힐 권리 지원
GDPR 제17조 및 미국 CCPA에 따라 외부 인입 고객은 데이터 삭제를 요구할 수 있습니다:
- Data protection & privacy에서 Delete personal data로 이동합니다.
- 대상자의 이메일 주소 또는 국제 전화번호를 입력하고 SEARCH를 클릭합니다.
- 매칭된 통화 녹음, 스크립트, 이메일, 연락처 메타데이터를 확인하고 DELETE를 클릭하여 영구 삭제합니다.
- RevOps 운영 필수 수칙: Gong에서 삭제하기 전에 연동된 CRM(Salesforce 또는 HubSpot)에서 해당 연락처를 먼저 삭제해야 합니다. 그렇지 않으면 다음 스케줄 동기화 시 다시 Gong으로 데이터가 재유입됩니다.
- Gong의 공개 REST API를 활용한 자동 삭제 파이프라인 구축도 가능합니다:
DELETE /v2/data-privacy/erase-data-for-email-addressDELETE /v2/data-privacy/erase-data-for-phone-number
5. 민감 데이터 자동 비식별화(PII, PCI DSS, PHI 마스킹)
통화가 캡처된 후, 컴플라이언스 팀은 결제 정보와 개인 식별 정보가 미인가 사용자에게 노출되지 않도록 해야 합니다.
Gong은 오디오 처리 파이프라인에서 비가역적인 마스킹 기능을 제공합니다(Admin center > Settings > Data protection & privacy > Information redaction). 마스킹된 내용은 전사 스크립트에서 (REDACTED)로 치환되며, 해당 구간의 오디오는 무음(Mute) 처리됩니다.
1. 숫자 마스킹(Numeric Redaction & PCI DSS 결제 카드 보호)
신용카드 번호, 은행 계좌 번호, 주민등록/사회보장번호 등을 보호합니다:
- 임계값 설정(Threshold): 마스킹할 최소 연속 자릿수를 지정(1, 2, 3, 4자리 이상).
- 1자리 설정: 지나치게 엄격하여 제품 단가, 라이선스 수량 등 영업 협상 수치까지 지워집니다.
- 4자리 이상 설정(권장 표준): 4자리씩 끊어 읽는 신용카드 번호와 계좌번호는 완벽히 제거하면서, 일상적인 영업 대화의 수치는 보존합니다.
- 단위 단어 보존: 영어 구두 표현에서 단위 명사인 "thousand", "million", "billion" 등은 무음 처리되지 않습니다(예: *"fifty thousand"*는 보존되고, 숫자 연속 읽기만 마스킹).
- PCI DSS 인증 범위: Gong의 연례 PCI DSS 인증(SAQ-D 및 QSA 감사)은 전화 시스템에서 인입되는 통화 오디오의 임시 보관 및 비가역적 마스킹 처리 파이프라인을 포함합니다. 마스킹이 완료된 데이터는 Gong 본사도 복구할 수 없습니다.
2. PHI 의료 건강 정보 마스킹(HIPAA 규제 준수)
헬스케어, 원격 진료, 의료기기 기업을 위한 전용 보호 기능입니다:
- Gong 기술 지원팀에 요청하여 활성화하며, 영어 통화에 적용됩니다.
- HIPAA에서 규정하는 9가지 민감 항목을 자동 검출하여 마스킹합니다: 연령(AGE), 날짜(DATE), 성명(NAME), 전화/팩스(PHONE_OR_FAX), 이메일(EMAIL), 식별번호(ID), 웹주소/물리주소(URL/ADDRESS), 직업/직장(PROFESSION).
- AI 분석 트레이드오프: 마스킹된 구간의 오디오와 텍스트가 영구 제거되므로, AI 통화 요약 및 키워드 트래커의 탐지 정확도에 영향을 줄 수 있습니다. 단, 캘린더 참석자 명단 등의 통화 헤더 메타데이터는 유지됩니다.
6. RevOps와 컴플라이언스 팀을 위한 공동 실행 체크리스트
영업 속도를 저해하지 않으면서 견고한 법적 방어선을 구축하기 위한 4단계 추진 로드맵입니다:
- 1단계: 법적 관할권 조사 및 리스크 매핑
- 영업팀이 활동하고 타깃 고객이 위치한 국가 및 지역 목록화.
- 일방 동의 지역과 양방향 동의 및 GDPR 고위험 지역으로 분류.
- 2단계: Gong 관리자 콘솔 기술 설정
- 지역별 Consent Profiles 생성.
- 고위험 지역 외부 미팅에 Consent Page 강제 적용 및 "녹음 없이 참가" 활성화.
- Gong Dialer 미국 양방향 동의 주 지역번호 규칙 적용(수동 또는 담당자 측만 녹음).
- Internal Domains 등록 및 회의 제목/도메인 Exclude Lists 작성.
- 4자리 임계값의 Numeric Redaction 활성화.
- 3단계: 영업 현장 도구 배포 및 교육
- 전사 영업팀에 Gong 캘린더 플러그인(Outlook / Google Workspace) 설치 의무화하여 동적 링크 생성 유도.
- 수동 녹음 환경을 위한 표준 구두 고지 스크립트 교육.
- 4단계: 지속적 감사 및 최적화
- 통화 상태 보고서(Call Status Report)를 정기적으로 검토하여 동의 거부율(Consent Opt-Out Rate) 추적.
- 미녹음 통화의 스킵 코드(Skip Codes)를 점검하여 설정 오류로 인한 비즈니스 누락 방지.