Accord de traitement des données
Version 2026-09-30.2
Annexe de traitement des données personnelles — DPA Version 2026-09-30.2 — 30 septembre 2026 1. Parties, objet et rôles Le client professionnel identifié lors de l'inscription ou dans le récapitulatif de souscription, représenté le cas échéant par son utilisateur habilité, agit en qualité de responsable du traitement pour les opérations qu'il détermine. THELOS SAS, 10 rue de Penthièvre, 75008 Paris, France, 789 713 310 RCS Paris, agit en qualité de sous-traitant pour les opérations décrites à l'annexe A. Si le client agit lui-même pour un autre responsable, il doit disposer des autorisations nécessaires et communiquer les exigences applicables. Cette situation doit être décrite dans les conditions particulières ; elle n'est pas présumée pour chaque client. L'annexe ne régit pas les traitements propres de THELOS, notamment sa comptabilité ou la gestion de sa relation contractuelle, décrits dans la politique de confidentialité. Les données financières non personnelles restent protégées par la confidentialité contractuelle sans être artificiellement qualifiées de données personnelles. La version française fait foi en cas de divergence entre traductions, sous les réserves prévues à l'article 1 des CGU. Cette règle ne modifie pas la priorité du présent DPA pour son objet. Le présent DPA est annexé aux CGU et accepté avec elles dès l'inscription, y compris pour un compte gratuit. Il s'applique seulement aux traitements de données personnelles confiés par le client et décrits dans ses annexes. Son acceptation ne vaut pas consentement général aux traitements propres de THELOS. 2. Instructions et finalités THELOS traite les données uniquement sur les instructions documentées du client, y compris pour un transfert hors de l'EEE, sauf obligation légale contraire. Le contrat, ses paramètres convenus et les demandes émises par les personnes habilitées constituent des instructions dans leur périmètre. Si une instruction paraît contraire au RGPD ou au droit applicable, THELOS en informe immédiatement le client et demande une clarification. Si la loi impose une opération, THELOS informe le client avant d'agir lorsque cette information est autorisée. THELOS ne réutilise pas les données pour une finalité propre incompatible avec son rôle de sous-traitant, notamment une revente ou un entraînement de modèle pour une finalité étrangère au contrat. Tout changement de rôle ou de finalité nécessite une analyse et une information appropriées. 3. Obligations du client Le client détermine la licéité, les finalités et la minimisation des données confiées ; il informe les personnes et organise l'exercice de leurs droits. Il tient à jour les habilitations des personnes donnant des instructions et évite de communiquer des données inutiles au service. Ces obligations ne diminuent pas les obligations propres de THELOS au titre de sa qualité de sous-traitant. Une donnée sensible ou une opération non décrite à l'annexe A exige une évaluation préalable et, si nécessaire, une adaptation de cette annexe. 4. Confidentialité et sécurité THELOS limite les accès aux personnes autorisées ayant besoin d'en connaître. Ces personnes sont soumises à un engagement de confidentialité ou à une obligation légale appropriée. Les prestataires ultérieurs sont encadrés dans les conditions du présent document. Les mesures techniques et organisationnelles doivent être adaptées à la nature des données et aux risques, et documentées à l'annexe B. Elles couvrent notamment les habilitations, la protection des échanges, la continuité, la restauration, la traçabilité et le traitement des incidents. Une mesure annoncée comme opérationnelle doit pouvoir être justifiée. La souscription d'un service cloud ne constitue pas, à elle seule, la preuve de toutes ces mesures. Les changements significatifs affectant les garanties fournies doivent être documentés et traités avec le client. 5. Sous-traitants ultérieurs Le client autorise de manière générale le recours aux sous-traitants ultérieurs identifiés dans l'annexe C remise avec le contrat. THELOS informe le contact habilité du client par email, sur un support conservable, au moins trente jours avant un ajout ou un remplacement envisagé. L'information précise le prestataire, les opérations, les lieux de traitement et les garanties utiles à son examen. Le client peut présenter dans ce délai une objection motivée relative à la protection des données. THELOS examine l'objection et recherche une solution proportionnée permettant de maintenir les garanties convenues. Les opérations contestées ne sont pas confiées au nouveau prestataire tant que l'objection n'est pas résolue. Si aucune solution raisonnable ne peut être convenue, le client peut résilier les prestations affectées sans pénalité et obtenir le remboursement des sommes prépayées correspondant à la période non fournie. Cette procédure ne réduit pas un recours légal applicable. THELOS impose au sous-traitant ultérieur des obligations de protection équivalentes pour les opérations confiées et reste responsable envers le client de leur exécution dans les conditions prévues par le RGPD. Les prestataires agissant comme responsables autonomes doivent être distingués et disposer de leur propre fondement de communication. 6. Assistance et droits des personnes THELOS transmet sans retard injustifié au client les demandes reçues concernant les traitements réalisés pour son compte et ne décide pas seule d'y répondre au fond, sauf instruction ou obligation légale. Elle fournit une assistance appropriée pour l'accès, la rectification, l'effacement, la limitation, la portabilité et les autres droits applicables. Compte tenu des informations dont elle dispose et de la nature du traitement, elle assiste le client pour la sécurité, l'analyse d'impact et les éventuelles consultations préalables de l'autorité de contrôle. Une répartition commerciale des coûts d'assistance ne peut neutraliser ces obligations. 7. Violations de données personnelles THELOS notifie au client toute violation de données personnelles relevant du présent DPA sans retard injustifié après en avoir pris connaissance. La notification décrit, selon les informations disponibles, les données et personnes concernées, les conséquences probables, les mesures prises ou proposées et le contact chargé de l'incident. Elle peut être complétée par étapes sans retard injustifié. THELOS préserve les éléments utiles, coopère à la maîtrise de l'incident et documente ses actions. Le client décide des notifications qui lui incombent à l'autorité et aux personnes ; THELOS l'assiste. Le délai légal propre au responsable du traitement ne doit pas être présenté comme un délai d'attente autorisé au sous-traitant. 8. Transferts internationaux Les lieux de traitement et d'accès sont décrits à l'annexe C. Un transfert hors de l'EEE ne peut intervenir que conformément aux instructions autorisées et au chapitre V du RGPD. Le mécanisme applicable, l'analyse nécessaire et les mesures complémentaires doivent être documentés. Une localisation de la base en France n'autorise pas implicitement tous les accès depuis un pays tiers. Les demandes d'autorités étrangères doivent être examinées au regard du droit applicable ; le client est informé lorsque cela est permis. 9. Documentation et audits THELOS met à disposition du client les informations nécessaires pour démontrer le respect des obligations applicables et permet les audits, y compris inspections, par le client ou un auditeur mandaté. Les modalités pratiques protègent la sécurité et les informations des autres clients sans empêcher un contrôle effectif. Les parties conviennent d'un périmètre et de modalités proportionnés, en tenant compte de l'urgence ou d'une demande d'autorité. Aucun plafond automatique de fréquence, aucune certification obligatoire ni aucun tarif d'audit ne sont imposés par le présent DPA. 10. Fin du traitement À la fin des prestations de traitement et au choix documenté du client, THELOS restitue ou supprime les données personnelles concernées, puis supprime les copies existantes, sauf obligation légale de conservation. Les données conservées pour une telle obligation sont identifiées, isolées et utilisées uniquement à cette fin. Les instructions de fermeture d'organisation, de restitution et d'effacement sont adressées à contact@otcvalue.com et traitées manuellement. THELOS vérifie l'habilitation de l'interlocuteur et le périmètre des données concernées. Le départ d'un utilisateur et la résiliation d'un abonnement ne constituent pas, à eux seuls, une instruction d'effacer toutes les données de l'organisation. Les demandes d'exercice des droits des personnes suivent également les règles d'assistance prévues par la présente annexe. La restitution standard sur demande est gratuite, Free compris. THELOS précise avec le client habilité le périmètre, le format exploitable et les modalités sécurisées de remise. Les exports existants des grilles ne constituent pas un dossier complet de toutes les données de l'organisation. Les données des autres organisations et les secrets d'authentification ne sont pas communiqués. Les limites ou exclusions justifiées sont décrites sans neutraliser les droits obligatoires de restitution ou de changement de fournisseur. Les délais suivent les obligations applicables et les instructions licites du client ; les périodes de récupération requises sont respectées avant l'effacement. Le retour à l'offre gratuite avec maintien de l'utilisation de l'organisation ne met pas fin, à lui seul, aux prestations de traitement. Les données nécessaires restent conservées pendant cet usage actif, conformément aux instructions autorisées. Les demandes de fermeture ou d'effacement sont examinées et traitées dans les délais légaux applicables. Le calendrier de la politique de confidentialité prévoit un examen manuel après trois ans d'inactivité d'un compte gratuit et un avertissement au moins trente jours avant une éventuelle fermeture, après vérification des droits et de l'activité de l'organisation. Il ne permet pas une conservation indéfinie sans finalité. La suppression des sauvegardes suit le cycle documenté à l'annexe B ; pendant ce délai, les données sont protégées, non réutilisées pour les usages courants et les suppressions doivent être réappliquées en cas de restauration avant toute remise en usage courant. Une confirmation du traitement de la demande, distinguant les suppressions effectuées et les copies résiduelles soumises à expiration, est fournie au client. La fenêtre de restauration Azure SQL de sept jours ne constitue pas une garantie d'effacement physique de toutes les sauvegardes sous sept jours. 11. Articulation avec la responsabilité contractuelle Les demandes d'indemnisation contractuelle du client relatives au présent DPA relèvent du plafond et des exceptions de l'article 9 des CGU et, pour une souscription payante, de l'article 9 des CGV, dans la mesure légalement permise. Ces clauses ne limitent ni les droits impératifs des personnes concernées ni les recours qui ne peuvent légalement être limités, et ne réduisent pas les obligations propres de THELOS résultant du RGPD. La priorité du DPA pour les instructions et garanties de traitement demeure inchangée. Annexe A — Description des traitements du service standard Objet : Fourniture d'OTCValue à l'organisation cliente Durée : Durée des opérations confiées, puis restitution, effacement et conservations imposées identifiées Opérations : Collecte par saisie ou import disponible, stockage, calcul, consultation, gestion des accès, export, support, sauvegarde et effacement, selon les fonctionnalités effectivement utilisées Finalités du client : Gestion et analyse de ses positions et portefeuilles et organisation des accès à ces informations Personnes concernées : Utilisateurs, représentants et contacts de l'organisation ; personnes physiques identifiées dans les positions, portefeuilles, noms de contreparties, champs libres ou pièces de support confiées par le client Identité et accès confiés : Identifiants de membres, nom/prénom et coordonnées professionnelles nécessaires, appartenance, profils, droits sur les portefeuilles, invitations et actions attribuées à un utilisateur, dans la mesure où ces opérations sont effectuées pour le client Données métier personnelles : Noms et références de portefeuilles, stratégies et contreparties ; paramètres et événements de positions, opérations, calculs, rapports et historiques lorsqu'ils identifient une personne ; éléments de provenance des imports et modifications attribués à des utilisateurs Limite de la qualification : Une donnée financière de société n'est pas automatiquement personnelle. Authentification propre du service, paiement, comptabilité et défense des droits de THELOS relèvent de ses finalités propres décrites dans la confidentialité, selon l'opération Données particulières : Non prévues dans le périmètre standard proposé ; toute nécessité doit être analysée avant collecte Instructions et contact client : Client identifié dans la relation d'inscription ou de souscription ; instructions des représentants habilités et contacts vérifiés de l'organisation. Le client communique à contact@otcvalue.com tout contact de protection des données ou mandat particulier et ses mises à jour. La qualité de payeur ne vaut pas mandat général sur les données Contact THELOS : contact@otcvalue.com ; aucune astreinte permanente ou délai chiffré de résolution n'est promis, sans retarder les notifications légalement dues Annexe B — Sécurité, conservation et continuité Accès : comptes authentifiés, habilitations par organisation et portefeuille, gestion des membres et révocation des accès. Le client tient à jour les droits qu'il administre ; THELOS conserve ses propres obligations de contrôle et de sécurité. Protection technique : protection des échanges HTTPS, des formulaires contre les requêtes falsifiées et des contenus des files de courriels ; chiffrement au repos de la base principale et de ses sauvegardes automatiques. Les clés et accès techniques sont réservés aux personnes habilitées. Stockage et sauvegardes : base principale et sauvegardes hébergées en France ; fenêtre de restauration de sept jours. Cycle des sauvegardes : les fichiers nécessaires à une chaîne complète de restauration peuvent être conservés jusqu'à une semaine supplémentaire au-delà de la fenêtre de sept jours, puis purgés par Azure lorsqu'ils ne sont plus nécessaires. Cette fenêtre ne garantit pas l'effacement physique de toutes les copies sous sept jours. Continuité : aucun objectif chiffré de reprise ou pourcentage de disponibilité n'est garanti par ce DPA. Les données résiduelles des sauvegardes restent protégées et exclues des usages courants. Les effacements traités doivent être réappliqués avant remise en usage courant d'une restauration. Traçabilité et conservation : les événements métier, diagnostics, preuves contractuelles et courriels suivent des finalités et durées distinctes, décrites dans la politique de confidentialité. Les demandes de droits, de fermeture, de restitution et d'effacement sont traitées manuellement avec vérification du périmètre, des habilitations et des conservations justifiées. Organisation : accès limité aux personnes autorisées soumises à confidentialité ; traitement des incidents et assistance au client selon le présent DPA. Contact : contact@otcvalue.com. Aucune astreinte permanente ni certification particulière n'est annoncée. Cette absence de garantie chiffrée ne réduit pas les obligations légales de sécurité ou de notification. Annexe C — Prestataires, rôles et localisations L'autorisation de sous-traitance ultérieure porte sur les opérations confiées par le client. Les destinataires des traitements propres de THELOS sont distingués ; leur présence dans cette liste ne leur confère pas accès à tous les portefeuilles. Microsoft Ireland Operations Limited — Azure : hébergement, traitement et sauvegarde des données confiées, dans le cadre du DPA Microsoft. Base principale et sauvegardes en France selon l'annexe B. Les accès de support et autres transferts relèvent de l'article 8. OVH SAS — OVHcloud : hébergement et acheminement des courriels, dont le contenu confié au support. Adresse : 2 rue Kellermann, 59100 Roubaix, France. Stockage annoncé en France ; sauvegardes conservées quatorze jours selon le fournisseur, sans garantie d'effacement physique sous ce délai. Des interventions depuis le Canada et le Royaume-Uni sont possibles ; les transferts relèvent de l'article 8. Stripe : paiement et abonnements, données de facturation et références de paiement. Les conditions françaises identifient Stripe Payments Europe, Limited et, pour les services réglementés concernés, Stripe Technology Europe, Limited. Stripe intervient selon les opérations comme sous-traitant ou responsable autonome, notamment pour ses obligations réglementaires et de prévention de fraude ; il n'est pas sous-traitant de l'ensemble des données métier. Les documents Stripe décrivent notamment des transferts vers Stripe, LLC aux États-Unis : https://stripe.com/fr/legal/dpa et https://stripe.com/fr/legal/dta. Volentio JSD Limited — jsDelivr : diffusion de bibliothèques et réception de données techniques de connexion du navigateur ; opérateur d'Angleterre et du pays de Galles utilisant un réseau international. Ce chargement n'implique pas à lui seul un envoi de portefeuilles. La politique du fournisseur est accessible à https://www.jsdelivr.com/terms/privacy-policy. Les opérations et garanties applicables sont distinguées de la sous-traitance des données métier. Le client peut demander à contact@otcvalue.com les informations et garanties pertinentes, sous les occultations nécessaires aux droits des tiers et à la sécurité. Les ajouts ou remplacements de sous-traitants ultérieurs suivent l'article 5.