Acuerdo de Procesamiento de Datos.

1. Objeto y duración del tratamiento

El objeto es el tratamiento de datos personales en el marco de las funciones de distribución, división de regalías, Smartlink y mercado de sincronización de la plataforma OGR.

El tratamiento se realizará durante la vigencia del acuerdo de distribución entre tú y OGR, así como durante los plazos de conservación razonables después de su finalización.

2. Naturaleza y finalidad del tratamiento

Procesamos:

• Datos maestros (nombre, nombre artístico, IBAN, ID fiscal) de tus artistas, productores y beneficiarios de regalías.
• Datos de pedidos y facturación (ganancias por streaming, splits, estado de retiro de fondos).
• Datos de auditoría y de inicio de sesión para fines de prueba y seguridad de la plataforma.

Finalidad: Cumplimiento del acuerdo de distribución y de las obligaciones legales de registro y fiscales.

3. Obligaciones de OGR como encargado del tratamiento

OGR se compromete a tratar los datos personales exclusivamente según tus instrucciones documentadas, a garantizar la confidencialidad de todas las personas involucradas en el tratamiento y a implementar todas las medidas técnico-organizativas según el Art. 32 del RGPD.

Concretamente: cifrado en reposo y en tránsito, separación de acceso por mínimo privilegio, registro de auditoría, copias de seguridad periódicas con pruebas de recuperación documentadas.

4. Subencargados del tratamiento

OGR utiliza los siguientes subencargados del tratamiento. Tú los aceptas generalmente al firmar el contrato; OGR te informará con antelación si se añade o se sustituye un subencargado del tratamiento, y te dará 14 días para oponerte:

• AWS (región UE Fráncfort) — Hosting (Aurora-Postgres), copias de seguridad S3, Bedrock-AI (Claude Haiku/Sonnet).
• Hetzner Online (DE) — Hosting de servidores a través de Coolify autoalojado.
• Firebase (Google) — Auth, Cloud Storage, Analytics, Remote Config, App Check.
• Mailgun (región UE) — Correo electrónico transaccional + webhook de entrada para tickets de soporte.
• whapi.cloud — Canal de WhatsApp Business.
• OneSignal — Notificaciones push.
• Polar.sh — Pagos entrantes para complementos premium y suscripción de soporte prioritario.
• PayPal — Retiros de fondos manuales a artistas de fuera de la UE.
• eSignatures.com — Firma de contratos (acuerdo de distribución).
• Cloudflare — DNS, Edge-CDN, protección DDoS.

5. Transferencia de datos a terceros países

En la medida en que los subencargados del tratamiento transfieran datos a terceros países (por ejemplo, Polar.sh EE. UU., Mailgun EE. UU., PayPal EE. UU./SG, OneSignal EE. UU.), esto se basa en las cláusulas contractuales tipo (CCT) de la Comisión Europea en la versión del 04.06.2021 y medidas técnicas complementarias (cifrado, seudonimización, registro de auditoría).

Recibirás una lista con detalles sobre cada transferencia a terceros países previa solicitud.

6. Obligaciones de cooperación, eliminación y devolución

OGR te apoya en el cumplimiento de tus obligaciones según los Arts. 32-36 del RGPD y en las solicitudes de los interesados (Arts. 15-22 del RGPD).

Tras la finalización del contrato, eliminaremos o devolveremos todos los datos personales en un plazo de 90 días, siempre que no existan obligaciones legales de conservación que lo impidan.

7. Derecho de auditoría

Tienes derecho a auditar el cumplimiento de este DPA una vez por año natural, ya sea mediante la presentación de los certificados de seguridad actuales y los informes de pruebas de penetración de OGR, o mediante una auditoría in situ con 30 días de antelación.

Las auditorías extraordinarias son posibles en cualquier momento si existe una sospecha fundada.

Hacer refrendar el DPA

Escribe a info@og-records.com con el asunto "Solicitud DPA". Te enviaremos la versión final lista para firmar en PDF y, si lo deseas, podemos refrendarla a través de DocuSign o eSignatures.com.

info@og-records.com