Acuerdo de tratamiento de datos
Version 2026-09-30.2
Anexo de tratamiento de datos personales — DPA Versión 2026-09-30.2 — 30 de septiembre de 2026 1. Partes, objeto y funciones El cliente profesional identificado al registrarse o en el resumen de suscripción, representado en su caso por su usuario autorizado, es responsable de los tratamientos que determina. THELOS SAS, 10 rue de Penthièvre, 75008 París, Francia, 789 713 310 RCS Paris, actúa como encargado para las operaciones del anexo A. Si el cliente actúa a su vez por otro responsable, debe disponer de las autorizaciones necesarias y comunicar los requisitos aplicables. Esta situación debe describirse en condiciones particulares; no se presume para todos los clientes. Este anexo no rige los tratamientos propios de THELOS, como contabilidad y gestión de su relación contractual, descritos en la política de privacidad. Los datos financieros no personales siguen protegidos por confidencialidad contractual sin calificarse artificialmente como personales. La versión francesa prevalece ante divergencias entre traducciones, con las reservas del artículo 1 de las condiciones de uso. Ello no modifica la prioridad del DPA para su objeto. El DPA se anexa a las condiciones de uso y se acepta con ellas desde el registro, incluso para cuentas gratuitas. Solo se aplica a los tratamientos de datos personales confiados por el cliente y descritos en los anexos. Aceptarlo no equivale a consentimiento general para tratamientos propios de THELOS. 2. Instrucciones y finalidades THELOS trata los datos únicamente siguiendo instrucciones documentadas del cliente, incluidas transferencias fuera del EEE, salvo obligación legal contraria. El contrato, los parámetros acordados y las solicitudes de personas autorizadas constituyen instrucciones en su ámbito. Si una instrucción parece contraria al RGPD o al derecho aplicable, THELOS informa inmediatamente al cliente y pide aclaración. Si la ley impone una operación, informa antes de actuar cuando esté permitido. THELOS no reutiliza los datos para fines propios incompatibles con su función de encargado, como reventa o entrenamiento de modelos para fines ajenos al contrato. Cambiar de función o finalidad requiere análisis e información adecuados. 3. Obligaciones del cliente El cliente determina licitud, finalidades y minimización de los datos confiados; informa a las personas y organiza sus derechos. Mantiene actualizadas las autorizaciones de quienes dan instrucciones y evita comunicar datos innecesarios. Estas obligaciones no reducen las propias de THELOS como encargado. Un dato sensible u operación no descrita en el anexo A exige evaluación previa y, si procede, adaptación del anexo. 4. Confidencialidad y seguridad THELOS limita el acceso a personas autorizadas que lo necesitan, sujetas a compromiso de confidencialidad u obligación legal adecuada. Los prestadores posteriores quedan sujetos a este documento. Las medidas técnicas y organizativas deben adecuarse a los datos y riesgos y documentarse en el anexo B. Abarcan autorizaciones, protección de comunicaciones, continuidad, restauración, trazabilidad e incidentes. Toda medida anunciada como operativa debe poder justificarse. Contratar servicios en la nube no acredita, por sí solo, todas estas medidas. Cambios significativos que afecten a las garantías deben documentarse y tratarse con el cliente. 5. Subencargados El cliente autoriza con carácter general a los subencargados identificados en el anexo C entregado con el contrato. THELOS informa al contacto autorizado por correo, en soporte conservable, al menos treinta días antes de añadir o sustituir uno. Identifica prestador, operaciones, lugares y garantías útiles para su examen. El cliente puede formular en ese plazo oposición motivada relativa a protección de datos. THELOS examina la oposición y busca una solución proporcionada que mantenga las garantías. Las operaciones cuestionadas no se confían al nuevo prestador hasta resolverla. Si no se acuerda solución razonable, el cliente puede terminar las prestaciones afectadas sin penalización y obtener devolución de importes anticipados del período no prestado. No se reducen recursos legales aplicables. THELOS impone al subencargado obligaciones equivalentes para las operaciones confiadas y sigue respondiendo ante el cliente por su cumplimiento conforme al RGPD. Deben distinguirse los prestadores que sean responsables independientes y contar con su propio fundamento para comunicar datos. 6. Asistencia y derechos THELOS transmite al cliente sin dilación indebida las solicitudes sobre tratamientos por su cuenta y no decide sola responder sobre el fondo, salvo instrucción u obligación legal. Presta asistencia adecuada para acceso, rectificación, supresión, limitación, portabilidad y otros derechos. Considerando la información disponible y la naturaleza del tratamiento, ayuda en seguridad, evaluaciones de impacto y posibles consultas previas a la autoridad. El reparto comercial de costes de asistencia no puede neutralizar estas obligaciones. 7. Violaciones de datos personales THELOS notifica al cliente cualquier violación cubierta por el DPA sin dilación indebida desde que la conoce. Describe, según la información disponible, datos y personas afectados, consecuencias probables, medidas adoptadas o propuestas y contacto del incidente. Puede completarse por etapas sin dilación indebida. THELOS conserva elementos útiles, coopera para contener el incidente y documenta sus acciones. El cliente decide las notificaciones que le correspondan a autoridades y personas; THELOS lo asiste. El plazo legal del responsable no debe presentarse como tiempo de espera autorizado para el encargado. 8. Transferencias internacionales Los lugares de tratamiento y acceso se describen en el anexo C. Las transferencias fuera del EEE solo pueden realizarse según instrucciones autorizadas y el capítulo V del RGPD. Deben documentarse el mecanismo, análisis necesario y medidas complementarias. Ubicar la base en Francia no autoriza implícitamente todo acceso desde terceros países. Las solicitudes de autoridades extranjeras se examinan conforme al derecho aplicable; se informa al cliente cuando esté permitido. 9. Documentación y auditorías THELOS facilita la información necesaria para demostrar cumplimiento y permite auditorías, incluidas inspecciones, del cliente o auditor designado. Las modalidades prácticas protegen seguridad e información de otros clientes sin impedir un control efectivo. Las partes acuerdan alcance y modalidades proporcionados, atendiendo a urgencias o solicitudes de autoridades. Este DPA no impone límite automático de frecuencia, certificación obligatoria ni tarifa de auditoría. 10. Fin del tratamiento Al terminar los servicios de tratamiento y según la elección documentada del cliente, THELOS devuelve o elimina los datos personales y después elimina las copias existentes, salvo conservación legal obligatoria. Los datos conservados por esa obligación se identifican, aíslan y usan solo con esa finalidad. Las instrucciones de cierre de organización, restitución y supresión se envían a contact@otcvalue.com y se tratan manualmente. THELOS verifica autorización y alcance. La salida de un usuario o cancelación de una suscripción no instruye por sí sola borrar todos los datos de la organización. Las solicitudes de derechos también siguen las reglas de asistencia de este anexo. La restitución estándar solicitada es gratuita, incluido Free. THELOS precisa con el cliente autorizado alcance, formato utilizable y entrega segura. Las exportaciones existentes de tablas no constituyen un expediente completo de todos los datos. No se comunican datos de otras organizaciones ni secretos de autenticación. Se describen límites o exclusiones justificados sin neutralizar derechos obligatorios de restitución o cambio de proveedor. Los plazos siguen las obligaciones aplicables e instrucciones lícitas; se respetan períodos de recuperación exigidos antes de suprimir. Volver a la oferta gratuita manteniendo el uso de la organización no termina por sí solo las prestaciones de tratamiento. Los datos necesarios se conservan durante el uso activo según instrucciones autorizadas. Las solicitudes de cierre o supresión se examinan y tratan en plazos legales. La política de privacidad prevé revisión manual tras tres años de inactividad de cuenta gratuita y aviso al menos treinta días antes de posible cierre, previa verificación de derechos y actividad de la organización. No permite conservación indefinida sin finalidad. Los backups se eliminan según el ciclo del anexo B; mientras tanto se protegen los datos, no se reutilizan de forma ordinaria y se reaplican las supresiones tras una restauración antes del uso ordinario. Se confirma al cliente el tratamiento, distinguiendo eliminaciones realizadas y copias residuales pendientes de vencimiento. La ventana de restauración Azure SQL de siete días no garantiza borrado físico de todos los backups en siete días. 11. Relación con la responsabilidad contractual Las reclamaciones indemnizatorias contractuales del cliente sobre el DPA se sujetan al límite y excepciones del artículo 9 de las condiciones de uso y, para suscripciones pagas, del artículo 9 de las condiciones de suscripción, en la medida legalmente permitida. No limitan derechos imperativos de interesados ni recursos legalmente ilimitables, ni reducen obligaciones propias de THELOS conforme al RGPD. Se mantiene la prioridad del DPA sobre instrucciones y garantías de tratamiento. Anexo A — Descripción del tratamiento del servicio estándar Objeto: Prestar OTCValue a la organización cliente. Duración: Operaciones confiadas, luego restitución, supresión y conservaciones impuestas identificadas. Operaciones: Recogida mediante introducción o importación disponible, almacenamiento, cálculo, consulta, gestión de accesos, exportación, soporte, backup y eliminación, según funciones efectivamente utilizadas. Finalidades del cliente: Gestionar y analizar posiciones y carteras y organizar el acceso a esa información. Interesados: Usuarios, representantes y contactos; personas físicas identificadas en posiciones, carteras, nombres de contrapartes, campos libres o documentos de soporte confiados por el cliente. Identidad y accesos confiados: Identificadores de miembros, nombre/apellidos y contactos profesionales necesarios, pertenencia, perfiles, permisos sobre carteras, invitaciones y acciones atribuidas a usuarios, cuando se realicen por cuenta del cliente. Datos personales de negocio: Nombres y referencias de carteras, estrategias y contrapartes; parámetros y eventos de posiciones, operaciones, cálculos, informes e historiales cuando identifiquen personas; procedencia de importaciones y cambios atribuidos a usuarios. Límite de clasificación: Un dato financiero societario no es automáticamente personal. Autenticación propia, pago, contabilidad y defensa de derechos de THELOS responden a sus finalidades propias descritas en privacidad, según la operación. Categorías especiales: No previstas en el ámbito estándar; debe analizarse cualquier necesidad antes de recogerlas. Instrucciones y contacto del cliente: Cliente identificado al registrarse o suscribirse; instrucciones de representantes autorizados y contactos verificados. El cliente comunica a contact@otcvalue.com cualquier contacto de protección de datos o mandato específico y sus cambios. Ser pagador no constituye mandato general sobre datos. Contacto THELOS: contact@otcvalue.com; no se promete guardia permanente ni plazo numérico de resolución, sin retrasar notificaciones legalmente exigidas. Anexo B — Seguridad, conservación y continuidad Accesos: Cuentas autenticadas, permisos por organización y cartera, gestión de miembros y revocación. El cliente actualiza los derechos que administra; THELOS conserva sus obligaciones propias de control y seguridad. Protección técnica: protección de las comunicaciones HTTPS, de los formularios frente a solicitudes falsificadas y del contenido de las colas de correo; cifrado en reposo de la base de datos principal y de sus copias de seguridad automáticas. Las claves y los accesos técnicos se reservan a las personas autorizadas. Almacenamiento y copias de seguridad: base de datos principal y copias de seguridad alojadas en Francia; ventana de restauración de siete días. Ciclo de backups: Los archivos de una cadena completa de restauración pueden conservarse hasta una semana adicional a los siete días y Azure los purga al resultar innecesarios. La ventana no garantiza eliminación física de todas las copias en siete días. Continuidad: este DPA no garantiza ningún objetivo cuantificado de recuperación ni porcentaje de disponibilidad. Los datos residuales de las copias de seguridad permanecen protegidos y excluidos de los usos habituales. Las supresiones tramitadas deben reaplicarse antes de volver a utilizar normalmente los datos restaurados. Trazabilidad y conservación: Eventos de negocio, diagnósticos, pruebas contractuales y correos siguen finalidades y plazos distintos de la política de privacidad. Solicitudes de derechos, cierre, restitución y supresión se tratan manualmente verificando alcance, autorizaciones y conservaciones justificadas. Organización: Acceso limitado a personas autorizadas sujetas a confidencialidad; gestión de incidentes y asistencia según este DPA. Contacto: contact@otcvalue.com. Sin guardia permanente ni certificación particular anunciadas. La ausencia de garantías numéricas no reduce obligaciones legales de seguridad o notificación. Anexo C — Prestadores, funciones y ubicaciones La autorización de subencargo cubre operaciones confiadas por el cliente. Se distinguen destinatarios de tratamientos propios de THELOS; figurar en esta lista no da acceso a todas las carteras. Microsoft Ireland Operations Limited — Azure: alojamiento, tratamiento y copia de seguridad de los datos confiados, en el marco del DPA de Microsoft. Base de datos principal y copias de seguridad en Francia según el anexo B. Los accesos de soporte y otras transferencias se rigen por el artículo 8. OVH SAS — OVHcloud: alojamiento y transmisión de correos electrónicos, incluido el contenido confiado al soporte. Dirección: 2 rue Kellermann, 59100 Roubaix, Francia. Almacenamiento anunciado en Francia; copias de seguridad conservadas catorce días según el proveedor, sin garantía de supresión física en ese plazo. Son posibles intervenciones desde Canadá y el Reino Unido; las transferencias se rigen por el artículo 8. Stripe: Pagos y suscripciones, facturación y referencias de pago. Las condiciones francesas identifican Stripe Payments Europe, Limited y, para servicios regulados pertinentes, Stripe Technology Europe, Limited. Actúa como encargado o responsable independiente según la operación, especialmente por obligaciones regulatorias y antifraude; no es encargado de todos los datos de negocio. Sus documentos describen transferencias a Stripe, LLC en Estados Unidos: https://stripe.com/fr/legal/dpa y https://stripe.com/fr/legal/dta. Volentio JSD Limited — jsDelivr: Distribución de bibliotecas y recepción de datos técnicos de conexión del navegador; operador de Inglaterra y Gales con red internacional. La carga no implica por sí sola envío de carteras. Política: https://www.jsdelivr.com/terms/privacy-policy. Operaciones y garantías se distinguen del subencargo de datos de negocio. El cliente puede solicitar información y garantías pertinentes a contact@otcvalue.com, con ocultaciones necesarias para seguridad y derechos de terceros. Incorporaciones o sustituciones de subencargados siguen el artículo 5.