資料處理附錄（DPA）
最後更新：September 8, 2026。由 Note & Key 營運，位於 Langley, British Columbia, Canada。適用於所在司法管轄區要求簽訂書面資料處理契約（GDPR 第 28 條、UK GDPR 及類似法規）的老師與音樂學校。對其他人而言，本文件僅供參考。
本譯文僅供參考。具有法律效力的是英文版本，如有不一致，以英文版本為準。 閱讀英文版本
適用時機
當你（老師或音樂學校）使用 Note & Key 處理居住在歐盟／英國／歐洲經濟區（EEA）之學生的資料時，依 GDPR／UK GDPR 的定義，你是控制者，Note & Key 是處理者。
本 DPA 規定我們處理該資料的條件。對於任何需要依據本 DPA 的客戶，本 DPA 已納入 服務條款。如果你的組織需要一份印在其信紙上、經我們副署的版本，請寄信至 [email protected]，我們會免費副署。
1. 範圍與角色
由你決定在 Note & Key 上處理學生個人資料的目的與方式。我們僅依照你有紀錄的指示處理該資料，這些指示為：(a) 你在 App 中執行的操作（建立學生、上傳錄音、寄送帳單等），以及 (b) 提供 noteandkey.app 所描述之服務所必需者。
2. 資料類別與資料當事人
我們處理下列類別的個人資料：
- 學生資料：姓名、出生日期、樂器、程度、課程時間表、老師筆記、檢定紀錄。
- 家長／監護人資料：姓名、電子郵件、電話。
- 練習內容：錄音、上傳的影片、樂譜 PDF、照片。經常涉及未成年人。
- 通訊：App 內訊息、回饋評語、帳單備註。
- 帳務中繼資料：帳單金額、付款方式、付款狀態。絕不包含信用卡號碼。
資料當事人類別：教室管理者、老師、學生（包括未成年人）、學生的家長／監護人。
3. 期間
只要你教室的帳號仍在使用中，我們就會處理該資料。當你刪除帳號（或我們因正當理由關閉帳號）時，我們會在 30 天內刪除個人資料。備份會在之後額外的 90 天內清除。
匿名化的彙總資料（例如「所有教室每月的上傳總數」）可能會無限期保留。
4. 保密與存取
我們僅讓為提供服務而需要存取的人員存取你的資料。所有人員均負有書面保密義務。存取行為會被記錄。
我們不會為任何其他目的存取你的資料。我們不會用你的資料訓練機器學習模型。我們不會為任何第三方出售、出租或分析你的資料。
5. 次處理者
我們使用下列次處理者來提供服務。接受本 DPA，即表示你授權此清單。如有變更，我們會至少提前 14 天透過電子郵件及本頁面通知你；若你有合理的反對理由，可以終止本協議。
- Supabase Inc.（資料庫、身分驗證、儲存）。資料依區域存放在 US-East 或 EU-West。非歐盟傳輸以標準契約條款（SCC）為依據。
- Fly.io Inc.（運算／網站託管）。伺服器位於美國加州聖荷西（San Jose, CA）。以 SCC 為依據。
- Stripe Inc.（當你連結 Stripe 帳戶以收取帳單款項時）。就信用卡付款處理而言，Stripe 依其自身條款為獨立的控制者，在該環節並非我們的次處理者。
- Resend, Inc.（我們以電子郵件寄送之帳單的交易性郵件遞送）。位於美國，以 SCC 為依據。
- Apple Inc. 與 Google LLC （推播通知與 App 發行）。
6. 安全性
我們採取與風險相稱的技術及組織措施，包括：
- 傳輸中加密（TLS 1.2 以上）與靜態加密（AES-256）。
- Postgres 中的資料列層級安全性（RLS）政策——每一筆查詢都限定於呼叫者所屬的教室。
- 服務角色金鑰存放在 Fly secrets 中，絕不寫在程式碼裡。
- 每位使用者的存取權杖有效期短，並輪替更新權杖。
- 記錄對管理功能的存取。
- 正式環境資料庫上不保留持續性的管理者工作階段。
7. 資料當事人權利
你負責處理學生／家長依 GDPR 行使權利（存取、更正、刪除、限制處理、可攜性、反對）的請求。我們會協助你，包括：
- 以 JSON 格式為每間教室提供自助式的 資料匯出（設定 → 帳戶 → 匯出）。
- 在收到請求後 30 天內永久刪除某個家庭的帳號（設定 → 帳戶 → 刪除）。
- 透過 [email protected] 回答個案相關的問題。
8. 外洩通知
如果我們發現影響你教室的個人資料外洩事件，我們會在知悉後不無故遲延、且無論如何在 72 小時內以書面通知你。通知內容將包括外洩的性質、受影響當事人的類別與大約人數、可能的後果，以及已採取或擬採取的措施。
你負責依 GDPR 第 33–34 條通知你的監管機關及受影響的個人。
9. 跨境傳輸
我們的基礎設施主要位於美國。若資料從歐洲經濟區、英國或瑞士傳輸至未獲適足性認定的國家，我們會視情況依據標準契約條款（執委會決定 2021/914）或英國國際資料傳輸協議（IDTA）。
10. 終止時的刪除
服務條款終止時，我們會在 30 天內（正式環境）及 90 天內（備份）刪除所有個人資料。匿名化的彙總資料可能會無限期保留。
11. 稽核
在收到合理的書面請求後，我們每年最多一次提供安全控管措施的書面摘要，並提供討論任何具體疑慮的機會。對於個人老師客戶，我們預設不接受現場稽核；規模較大的機構客戶可要求另訂稽核條款。
12. 衝突時的效力
若本 DPA 與 服務條款有所衝突，就資料處理事項而言，以本 DPA 為準。
13. 接受
在 Note & Key 上建立教室並儲存個人資料，即表示你接受本 DPA。如需印在信紙上的副署版本，請寄信至 [email protected]，並附上你的組織名稱及資料保護長（如有）的地址。