Anexo de tratamiento de datos (DPA)

Cuando tú (el maestro o la escuela de música) usas Note & Key para manejar datos de alumnos que viven en la UE / el Reino Unido / el EEE, tú eres el Responsable del tratamiento y Note & Key es el Encargado del tratamiento en el sentido del RGPD / UK GDPR.

Este DPA establece los términos en los que tratamos esos datos. Se incorpora a los Términos del servicio para cualquier cliente que necesite ampararse en él. Si tu organización requiere una copia firmada por ambas partes en su papel membretado, escribe a [email protected] y la firmaremos, sin costo.

Tú determinas los fines y los medios del tratamiento de los datos personales de tus alumnos en Note & Key. Tratamos esos datos únicamente conforme a tus instrucciones documentadas, que son: (a) las acciones que realizas en la app (crear alumnos, subir grabaciones, enviar facturas, etc.) y (b) lo necesario para prestar el servicio descrito en noteandkey.app.

Tratamos las siguientes categorías de datos personales:

• Datos de los alumnos: nombre, fecha de nacimiento, instrumento, nivel, horario de clases, notas del maestro e historial de exámenes.
• Datos de padres/tutores: nombre, correo electrónico y teléfono.
• Contenido de práctica: grabaciones de audio, videos subidos, partituras en PDF y fotos. Con frecuencia involucra a menores.
• Comunicaciones: mensajes dentro de la app, comentarios de retroalimentación y notas de facturas.
• Metadatos de facturación: monto de la factura, método de pago y estado del pago. Nunca números de tarjeta.

Categorías de interesados: administradores de estudio, maestros, alumnos (incluidos menores) y padres/tutores de los alumnos.

Tratamos los datos mientras la cuenta de tu estudio esté activa. Cuando eliminas una cuenta (o la cerramos por causa justificada), eliminamos los datos personales en un plazo de 30 días. Las copias de seguridad se purgan en un plazo adicional de 90 días.

Los datos agregados y anonimizados (por ejemplo, «total de grabaciones subidas al mes en todos los estudios») pueden conservarse indefinidamente.

Restringimos el acceso a tus datos al personal que lo necesita para prestar el servicio. Todo el personal está sujeto a una obligación de confidencialidad por escrito. Los accesos quedan registrados.

No accedemos a tus datos para ningún otro fin. No entrenamos modelos de aprendizaje automático con tus datos. No los vendemos, alquilamos ni analizamos para ningún tercero.

Usamos los siguientes subencargados para prestar el servicio. Al aceptar este DPA autorizas esta lista. Te notificamos los cambios con al menos 14 días de anticipación por correo electrónico y en esta página; puedes rescindir el acuerdo si tienes una objeción razonable.

• Supabase Inc. (base de datos, autenticación, almacenamiento). Datos almacenados en US-East o EU-West según la región. Transferencias fuera de la UE amparadas por SCC.
• Fly.io Inc. (cómputo / hosting web). Servidores en San José, California. Amparado por SCC.
• Stripe Inc. (cuando conectas una cuenta de Stripe para el pago de facturas). Stripe es un responsable del tratamiento independiente para el procesamiento de pagos con tarjeta conforme a sus propios términos, no nuestro subencargado en ese paso.
• Resend, Inc. (envío de correos transaccionales de las facturas que enviamos por correo). Con sede en EE. UU., amparado por SCC.
• Apple Inc. y Google LLC (notificaciones push y distribución de la app).

Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• Cifrado en tránsito (TLS 1.2+) y en reposo (AES-256).
• Políticas de seguridad a nivel de fila (RLS) en Postgres: cada consulta se limita al estudio del usuario que la realiza.
• Claves de rol de servicio guardadas en los secretos de Fly, nunca en el código.
• Tokens de acceso por usuario con caducidad corta y rotación de tokens de actualización.
• Registro de los accesos a funciones administrativas.
• Sin sesiones de administrador persistentes en las bases de datos de producción.

Eres responsable de atender las solicitudes de tus alumnos / padres para ejercer sus derechos conforme al RGPD (acceso, rectificación, supresión, limitación, portabilidad, oposición). Te ayudaremos, entre otras cosas:

• Ofreciendo una exportación de datos de autoservicio por estudio en JSON (Ajustes → Cuenta → Exportar).
• Eliminando de forma permanente la cuenta de un hogar en un plazo de 30 días a partir de la solicitud (Ajustes → Cuenta → Eliminar).
• Respondiendo preguntas sobre casos concretos en [email protected].

Si descubrimos una violación de datos personales que afecte a tu estudio, te lo notificaremos por escrito sin demora indebida y, en cualquier caso, dentro de las 72 horas siguientes a tener conocimiento de ella. El aviso incluirá la naturaleza de la violación, las categorías y el número aproximado de interesados afectados, las consecuencias probables y las medidas adoptadas o propuestas.

Eres responsable de notificar a tu autoridad de control y a las personas afectadas conforme a los artículos 33 y 34 del RGPD.

Nuestra infraestructura está principalmente en Estados Unidos. Cuando se transfieren datos desde el EEE, el Reino Unido o Suiza a un país sin decisión de adecuación, nos basamos en las Cláusulas Contractuales Tipo (Decisión de la Comisión 2021/914) o en el International Data Transfer Agreement (IDTA) del Reino Unido, según corresponda.

Al terminar los Términos del servicio, eliminamos todos los datos personales en un plazo de 30 días (producción) y de 90 días (copias de seguridad). Los datos agregados y anonimizados pueden conservarse indefinidamente.

Previa solicitud razonable por escrito y no más de una vez al año, proporcionaremos un resumen escrito de nuestros controles de seguridad y la oportunidad de comentar cualquier inquietud específica. Por defecto no concedemos auditorías presenciales a clientes que son maestros individuales; los clientes institucionales más grandes pueden solicitar una cláusula de auditoría por separado.

En caso de conflicto entre este DPA y los Términos del servicio, este DPA prevalece en lo relativo al tratamiento de datos.

Al crear un estudio en Note & Key y almacenar datos personales en él, aceptas este DPA. Para obtener una versión firmada por ambas partes en papel membretado, escribe a [email protected] con el nombre de tu organización y la dirección del delegado de protección de datos (si lo hay).