数据处理协议
如果你作为唱片公司、工作室或企业客户使用 OGRECORDS™，并在此过程中通过我们处理第三方的个人数据（例如你的艺术家或制作人），则 OGR 依据《通用数据保护条例》第28条，是你在数据处理方面的受托方。本模板说明了我们双方约定的内容。
初稿 — 发布时间：2026年5月
1. 处理内容与期限
处理内容为在 OGR 平台的分发、版税分成、Smartlink 及同步市场功能中，对个人数据的处理。
处理期限为：你与 OGR 的分发协议有效期间，以及协议终止后合理的保存期限。
2. 处理的类型与目的
我们处理以下数据：
- 艺术家、制作人及版税收款人的基础信息（姓名、艺名、IBAN、税号）。
- 订单与结算数据（流媒体收益、分成比例、付款状态）。
- 审计与登录数据，用于合规证明与平台安全。
目的：履行分发协议及满足法定记录与税务义务。
3. OGR 作为受托方的义务
OGR 承诺仅根据你的书面指示处理个人数据，确保所有参与处理人员的保密性，并实施符合《通用数据保护条例》第32条的技术与组织措施。
具体包括：静态与传输中数据加密、基于最小权限原则的访问控制、审计日志记录、定期备份及已记录的恢复测试。
4. 分包处理方
OGR 使用以下分包处理方。你通过签署合同即默认同意这些分包方；如需新增或更换分包方，OGR 将提前通知你，并给予你14天的异议期：
- AWS（欧洲法兰克福区域）—— 托管（Aurora-Postgres）、S3 备份、Bedrock-AI（Claude Haiku/Sonnet）。
- Hetzner Online（德国）—— 通过自托管 Coolify 进行服务器托管。
- Firebase（谷歌）—— 身份验证、云存储、分析、远程配置、应用检查。
- Mailgun（欧洲区域）—— 事务性邮件 + 支持工单的入站 Webhook。
- whapi.cloud —— WhatsApp 商业通道。
- OneSignal —— 推送通知。
- Polar.sh —— 高级功能与优先支持订阅的入站付款。
- PayPal —— 向非欧盟艺术家手动付款。
- eSignatures.com —— 合同签署（分发协议）。
- Cloudflare —— DNS、边缘 CDN、DDoS 防护。
5. 向第三方国家传输数据
若分包处理方需将数据传输至第三方国家（例如 Polar.sh 美国、Mailgun 美国、PayPal 美国/新加坡、OneSignal 美国），该传输基于欧盟委员会2021年6月4日版本的《标准合同条款》（SCC），并辅以额外技术措施（加密、去标识化、审计日志）。
如需，我们可提供每个第三方国家数据传输的详细清单。
6. 配合、删除与返还义务
在协议终止后90天内，OGR 将协助你履行《通用数据保护条例》第32至36条规定的义务，并配合处理数据主体的请求（第15至22条）。
如无法律规定的保存义务，我们将删除或返还所有个人数据。
7. 审计权利
你每年有权对本 DPA 的合规性进行一次审计——可选择提供 OGR 当前的安全认证文件与渗透测试报告，或在提前30天通知后进行现场审计。
如存在合理怀疑，可随时进行特别审计。
签署 DPA
请发送邮件至 info@og-records.com，主题注明“DPA申请”。我们将发送可签署的最终版 PDF 文件，如需，也可通过 DocuSign 或 eSignatures.com 完成电子签署。