数据处理附录（DPA）

当你（老师或音乐学校）使用 Note & Key 处理居住在欧盟 / 英国 / 欧洲经济区的学生的数据时， 依据 GDPR / UK GDPR 的定义，你是控制者（Controller），Note & Key 是处理者（Processor）。

本 DPA 规定了我们处理这些数据的条款。对于任何需要依赖本 DPA 的客户，本 DPA 纳入 服务条款。如果你的组织需要一份印有其抬头并经双方签署的副本， 请发邮件至 [email protected]，我们会免费会签。

由你决定在 Note & Key 上处理学生个人数据的目的和方式。我们只依据你有记录的指示处理这些数据，即： (a) 你在 App 中执行的操作（创建学生、上传录音、发送账单等），以及 (b) 提供 noteandkey.app 所描述服务所必需的处理。

我们处理以下类别的个人数据：

• 学生数据：姓名、出生日期、乐器、水平、课程安排、老师笔记、考级记录。
• 父母/监护人数据：姓名、电子邮箱、电话。
• 练琴内容：音频录音、视频上传、乐谱 PDF、照片。常常涉及未成年人。
• 通信：App 内消息、反馈评论、账单备注。
• 账单元数据：账单金额、付款方式、付款状态。从不包括卡号。

数据主体类别：工作室管理员、老师、学生（包括未成年人）、学生的父母/监护人。

只要你工作室的账户处于有效状态，我们就会处理这些数据。当你删除账户（或我们因故关闭账户）时， 我们会在 30 天内删除个人数据。备份会在此后的 90 天内清除。

匿名化的汇总数据（例如「所有工作室每月上传总数」）可能会被无限期保留。

我们将对你数据的访问限制在为提供服务而需要访问的人员范围内。所有人员都负有书面保密义务。访问均有日志记录。

我们不会出于任何其他目的访问你的数据。我们不会用你的数据训练机器学习模型。我们不会出售、出租你的数据， 也不会为任何第三方分析你的数据。

我们使用以下子处理者来提供服务。接受本 DPA 即表示你授权此清单。如有变更，我们会至少提前 14 天通过电子邮件并在本页面通知你； 如你有合理异议，可以终止协议。

• Supabase Inc.（数据库、身份验证、存储）。数据视区域存储在美国东部（US-East）或欧盟西部（EU-West）。 非欧盟传输以 SCC 为保障。
• Fly.io Inc.（计算 / 网页托管）。服务器位于加利福尼亚州圣何塞（San Jose, CA）。以 SCC 为保障。
• Stripe Inc.（当你为账单收款连接 Stripe 账户时）。对于银行卡付款处理， Stripe 是依据其自身条款行事的独立控制者，在该环节并非我们的子处理者。
• Resend, Inc.（为我们通过邮件发送的账单提供事务性邮件投递）。位于美国，以 SCC 为保障。
• Apple Inc. 和 Google LLC （推送通知 + App 分发）。

我们实施与风险相称的技术和组织措施，包括：

• 传输中加密（TLS 1.2+）和静态加密（AES-256）。
• Postgres 中的行级安全（RLS）策略——每次查询都限定在调用用户所属的工作室范围内。
• 服务角色密钥存储在 Fly secrets 中，绝不写入代码。
• 按用户发放的访问令牌，有效期短，并轮换刷新令牌。
• 对管理功能的访问进行日志记录。
• 生产数据库上没有持久的管理员会话。

你负责处理你的学生 / 家长依据 GDPR 行使权利（访问、更正、删除、限制处理、可携带、反对）的请求。 我们会协助你，包括：

• 按工作室提供 JSON 格式的自助数据导出（设置 → 账户 → 导出）。
• 在收到请求后 30 天内永久删除某个家庭的账户（设置 → 账户 → 删除）。
• 通过 [email protected] 解答具体个案的问题。

如果我们发现影响你工作室的个人数据泄露，我们会无不当延迟地以书面形式通知你，且无论如何都会在知悉后 72 小时内通知。通知内容将包括泄露的性质、受影响数据主体的类别和大致数量、可能的后果， 以及已采取或拟采取的措施。

你负责依据 GDPR 第 33–34 条通知你的监管机构和受影响的个人。

我们的基础设施主要位于美国。当数据从欧洲经济区、英国或瑞士传输到未获得充分性认定的国家时， 我们视情况依据标准合同条款（欧盟委员会第 2021/914 号决定）或英国国际数据传输协议（IDTA）。

服务条款终止时，我们会在 30 天内（生产环境）和 90 天内（备份）删除所有个人数据。匿名化的汇总数据可能会被无限期保留。

在收到合理的书面请求后，我们每年最多一次提供关于我们安全控制措施的书面摘要，并提供讨论任何具体关切的机会。 对于个人老师客户，我们默认不允许现场审计；较大的机构客户可以要求单独的审计条款。

如本 DPA 与 服务条款发生冲突，在数据处理事项上以本 DPA 为准。

在 Note & Key 上创建工作室并在其中存储个人数据，即表示你接受本 DPA。如需一份印有抬头并经双方签署的版本， 请发邮件至 [email protected]，注明你的组织名称以及数据保护官的地址（如有）。