Acordo de Processamento de Dados.
Se você usar o OGRECORDS™ como selo, estúdio ou cliente empresarial e, ao fazê-lo, processar dados pessoais de terceiros (por exemplo, seus artistas ou produtores) por meio de nós, o OGR é seu encarregado do tratamento de dados conforme o art. 28 GDPR. Este modelo explica o que acordamos.
Versão preliminar — Data: maio de 2026
1. Objeto e duração do tratamento
O objeto é o tratamento de dados pessoais no contexto das funções de distribuição, divisão de royalties, Smartlink e marketplace de sincronização da plataforma OGR.
O tratamento ocorre durante a vigência do acordo de distribuição entre você e o OGR, bem como por prazos razoáveis de retenção após o seu encerramento.
2. Tipo e finalidade do tratamento
Processamos:
- Dados cadastrais (nome, nome artístico, IBAN, identificação fiscal) dos seus artistas, produtores e beneficiários de royalties.
- Dados de pedido e de faturamento (receitas de streaming, divisões, status de pagamento).
- Dados de auditoria e de login para comprovação e segurança da plataforma.
Finalidade: cumprimento do acordo de distribuição e das obrigações legais de registro e tributárias.
3. Obrigações do OGR como encarregado do tratamento
O OGR se compromete a processar dados pessoais exclusivamente conforme suas instruções documentadas, garantir a confidencialidade de todas as pessoas envolvidas no tratamento e implementar todas as medidas técnicas e organizacionais previstas no art. 32 GDPR.
Concretamente: criptografia em repouso e em trânsito, separação de acesso baseada no princípio do menor privilégio, registro de auditoria, backups regulares com teste de recuperação documentado.
4. Subcontratados
O OGR utiliza os seguintes subcontratados. Você concorda com eles automaticamente ao assinar o contrato; o OGR o informará com antecedência se um subcontratado for adicionado ou substituído, e lhe dará um prazo de 14 dias para se opor:
- AWS (região da UE Frankfurt) — hospedagem (Aurora-Postgres), backups no S3, Bedrock-AI (Claude Haiku/Sonnet).
- Hetzner Online (DE) — hospedagem de servidores via Coolify auto-hospedado.
- Firebase (Google) — autenticação, armazenamento em nuvem, análise, configuração remota, verificação de aplicativos.
- Mailgun (região da UE) — e-mails transacionais + webhook de entrada para tickets de suporte.
- whapi.cloud — canal de WhatsApp Business.
- OneSignal — notificações push.
- Polar.sh — pagamentos recebidos para add-ons Premium e assinatura de suporte prioritário.
- PayPal — pagamentos manuais para artistas fora da UE.
- eSignatures.com — assinatura de contratos (acordo de distribuição).
- Cloudflare — DNS, CDN de borda, proteção contra DDoS.
5. Transferência de dados para países terceiros
Quando os subcontratados transferirem dados para países terceiros (por exemplo, Polar.sh EUA, Mailgun EUA, PayPal EUA/SG, OneSignal EUA), isso se baseia nas cláusulas contratuais padrão (CCS) da Comissão Europeia, versão de 04.06.2021, e medidas técnicas complementares (criptografia, pseudonimização, registro de auditoria).
Você receberá, a pedido, uma lista com detalhes sobre cada transferência para país terceiro.
6. Obrigações de cooperação, exclusão e devolução
O OGR o apoia no cumprimento de suas obrigações conforme os arts. 32-36 GDPR e em solicitações de titulares de dados (arts. 15-22 GDPR).
Após o término do contrato, excluímos ou devolvemos todos os dados pessoais dentro de 90 dias, salvo se houver obrigações legais de retenção.
7. Direito de auditoria
Você tem direito de auditagem uma vez por ano calendário — ou por meio da apresentação dos certificados de segurança e relatórios de penetração atuais do OGR, ou por meio de uma auditoria presencial com 30 dias de antecedência.
Auditorias extraordinárias são possíveis a qualquer momento, em caso de suspeita fundada.
Assinar o DPA
Envie um e-mail para info@og-records.com com o assunto "Solicitação de DPA". Enviamos a versão final pronta para assinatura em PDF e podemos assinar junto com você por DocuSign ou eSignatures.com, se desejar.