Acordo de tratamento de dados
Version 2026-09-30.2
Acordo de tratamento de dados pessoais — DPA Versão 2026-09-30.2 — 30 de setembro de 2026 1. Partes, objeto e papéis O cliente profissional identificado no cadastro ou resumo da assinatura, representado quando cabível por seu usuário autorizado, age como controlador das operações que determina. A THELOS SAS, 10 rue de Penthièvre, 75008 Paris, França, 789 713 310 RCS Paris, age como operadora nas operações descritas no anexo A. Se o cliente atua para outro controlador, deve ter as autorizações necessárias e comunicar os requisitos aplicáveis. Essa situação deve constar de condições particulares; não é presumida para todos os clientes. O acordo não rege tratamentos próprios da THELOS, como contabilidade e gestão da relação contratual, descritos na política de privacidade. Dados financeiros não pessoais continuam protegidos pela confidencialidade contratual sem classificação artificial como dados pessoais. A versão francesa prevalece em caso de divergência entre traduções, ressalvado o artigo 1 dos termos de uso. Isso não altera a prioridade do DPA para seu objeto. O DPA é anexo aos termos de uso e aceito conjuntamente no cadastro, inclusive de conta gratuita. Aplica-se somente aos tratamentos de dados pessoais confiados pelo cliente e descritos nos anexos. Sua aceitação não constitui consentimento geral para tratamentos próprios da THELOS. 2. Instruções e finalidades A THELOS trata dados somente conforme instruções documentadas do cliente, inclusive transferências para fora do EEE, salvo obrigação legal contrária. Contrato, parâmetros acordados e solicitações de pessoas autorizadas constituem instruções em seu escopo. Se uma instrução parecer contrária ao RGPD ou ao direito aplicável, a THELOS informa imediatamente o cliente e pede esclarecimento. Se a lei impõe uma operação, informa antes de agir quando permitido. A THELOS não reutiliza dados para finalidade própria incompatível com seu papel de operadora, como revenda ou treinamento de modelo para finalidade alheia ao contrato. Qualquer mudança de papel ou finalidade exige análise e informação adequadas. 3. Obrigações do cliente O cliente determina licitude, finalidades e minimização dos dados confiados, informa as pessoas e organiza seus direitos. Mantém atualizadas as autorizações de quem dá instruções e evita comunicar dados desnecessários. Essas obrigações não diminuem as próprias da THELOS como operadora. Dado sensível ou operação não descrita no anexo A exige avaliação prévia e, se necessário, adaptação do anexo. 4. Confidencialidade e segurança A THELOS limita o acesso às pessoas autorizadas que necessitam conhecer os dados, sujeitas a compromisso de confidencialidade ou obrigação legal adequada. Prestadores posteriores são regidos por este documento. Medidas técnicas e organizacionais devem corresponder à natureza dos dados e aos riscos e ser documentadas no anexo B. Abrangem autorizações, proteção das comunicações, continuidade, restauração, rastreabilidade e incidentes. Medidas anunciadas como operacionais devem poder ser comprovadas. Contratar um serviço de nuvem, por si só, não comprova todas essas medidas. Mudanças significativas das garantias devem ser documentadas e tratadas com o cliente. 5. Suboperadores O cliente autoriza de forma geral os suboperadores identificados no anexo C entregue com o contrato. A THELOS informa o contato autorizado por e-mail, em suporte conservável, pelo menos trinta dias antes de inclusão ou substituição prevista. Informa prestador, operações, locais e garantias úteis à análise. O cliente pode apresentar nesse prazo objeção fundamentada em proteção de dados. A THELOS examina a objeção e busca solução proporcional que mantenha as garantias. Operações contestadas não são confiadas ao novo prestador antes da solução. Se nenhuma solução razoável for acordada, o cliente pode rescindir os serviços afetados sem penalidade e receber os valores antecipados do período não prestado. Isso não reduz recursos legais aplicáveis. A THELOS impõe ao suboperador proteção equivalente para as operações confiadas e continua responsável perante o cliente pelo cumprimento nos termos do RGPD. Prestadores que agem como controladores independentes devem ser distinguidos e ter base própria para comunicação de dados. 6. Assistência e direitos dos titulares A THELOS encaminha sem demora injustificada as solicitações sobre tratamentos em nome do cliente e não decide sozinha a resposta de mérito, salvo instrução ou obrigação legal. Presta assistência adequada para acesso, retificação, exclusão, limitação, portabilidade e outros direitos aplicáveis. Considerando informações disponíveis e natureza do tratamento, auxilia em segurança, avaliações de impacto e eventuais consultas prévias à autoridade. A divisão comercial de custos de assistência não pode neutralizar essas obrigações. 7. Violações de dados pessoais A THELOS notifica o cliente de qualquer violação abrangida pelo DPA sem demora injustificada após tomar conhecimento. Conforme informações disponíveis, descreve dados e pessoas envolvidos, consequências prováveis, medidas tomadas ou propostas e contato do incidente. Pode complementar a notificação em etapas sem demora injustificada. A THELOS preserva elementos úteis, coopera para conter o incidente e documenta suas ações. O cliente decide notificações que lhe cabem às autoridades e aos titulares; a THELOS auxilia. O prazo legal do controlador não deve ser apresentado como espera autorizada para a operadora. 8. Transferências internacionais Locais de tratamento e acesso constam do anexo C. Transferências para fora do EEE só podem ocorrer conforme instruções autorizadas e o capítulo V do RGPD. Devem ser documentados mecanismo aplicável, análise necessária e medidas complementares. A base localizada na França não autoriza implicitamente todos os acessos de países terceiros. Solicitações de autoridades estrangeiras são examinadas conforme o direito aplicável; o cliente é informado quando permitido. 9. Documentação e auditorias A THELOS disponibiliza informações necessárias para demonstrar cumprimento e permite auditorias, inclusive inspeções, pelo cliente ou auditor designado. As modalidades práticas protegem segurança e informações de outros clientes sem impedir controle efetivo. As partes acordam escopo e procedimentos proporcionais, considerando urgência ou solicitação de autoridade. O DPA não impõe limite automático de frequência, certificação obrigatória ou tarifa de auditoria. 10. Término do tratamento Ao terminar os serviços de tratamento e conforme escolha documentada do cliente, a THELOS restitui ou exclui os dados pessoais, depois exclui cópias existentes, salvo conservação legal obrigatória. Dados conservados por essa obrigação são identificados, separados e usados somente para esse fim. Instruções de encerramento de organização, restituição e exclusão são enviadas a contact@otcvalue.com e tratadas manualmente. A THELOS verifica autorização e escopo. A saída de um usuário ou o cancelamento de assinatura não constitui, por si só, instrução de apagar todos os dados da organização. Solicitações de direitos também seguem as regras de assistência deste acordo. A restituição padrão solicitada é gratuita, inclusive Free. A THELOS define com o cliente autorizado o escopo, formato utilizável e entrega segura. As exportações existentes de grades não formam dossiê completo de todos os dados. Não são comunicados dados de outras organizações ou segredos de autenticação. Limites ou exclusões justificados são descritos sem neutralizar direitos obrigatórios de restituição ou mudança de fornecedor. Prazos seguem obrigações aplicáveis e instruções lícitas; períodos de recuperação exigidos são respeitados antes da exclusão. O retorno à oferta gratuita mantendo o uso da organização não encerra por si só o tratamento. Dados necessários continuam conservados no uso ativo conforme instruções autorizadas. Solicitações de encerramento ou exclusão são analisadas e tratadas nos prazos legais. A política de privacidade prevê análise manual após três anos de inatividade de conta gratuita e aviso pelo menos trinta dias antes de possível encerramento, verificados direitos e atividade da organização. Não permite conservação indefinida sem finalidade. A exclusão dos backups segue o ciclo do anexo B; enquanto isso, os dados são protegidos e não reutilizados de forma corrente, e as exclusões devem ser reaplicadas após restauração antes do uso corrente. O cliente recebe confirmação do tratamento distinguindo exclusões concluídas e cópias residuais sujeitas a expiração. A janela de restauração Azure SQL de sete dias não garante exclusão física de todos os backups em sete dias. 11. Relação com a responsabilidade contratual As demandas indenizatórias contratuais do cliente sobre o DPA seguem o limite e as exceções do artigo 9 dos termos de uso e, nas assinaturas pagas, do artigo 9 das condições de assinatura, na medida legalmente permitida. Essas cláusulas não limitam direitos obrigatórios dos titulares nem recursos que não possam ser legalmente limitados, e não reduzem obrigações próprias da THELOS no RGPD. A prioridade do DPA sobre instruções e garantias permanece. Anexo A — Tratamento no serviço padrão Objeto: Fornecimento do OTCValue à organização cliente. Duração: Operações confiadas, depois restituição, exclusão e conservações impostas identificadas. Operações: Coleta por inserção ou importação disponível, armazenamento, cálculo, consulta, gestão de acessos, exportação, suporte, backup e exclusão, conforme funções efetivamente usadas. Finalidades do cliente: Gerir e analisar posições e carteiras e organizar acesso a essas informações. Titulares: Usuários, representantes e contatos da organização; pessoas físicas identificadas em posições, carteiras, nomes de contrapartes, campos livres ou documentos de suporte confiados pelo cliente. Identidade e acessos confiados: Identificadores de membros, nome/sobrenome e contatos profissionais necessários, vínculo, perfis, direitos de carteiras, convites e ações atribuídas a usuários, quando realizados para o cliente. Dados pessoais de negócio: Nomes e referências de carteiras, estratégias e contrapartes; parâmetros e eventos de posições, operações, cálculos, relatórios e históricos quando identificam pessoas; origem de importações e alterações atribuídas a usuários. Limite de classificação: Dado financeiro societário não é automaticamente pessoal. Autenticação própria, pagamento, contabilidade e defesa de direitos da THELOS pertencem às finalidades próprias da política de privacidade, conforme a operação. Categorias especiais: Não previstas no escopo padrão; qualquer necessidade deve ser analisada antes da coleta. Instruções e contato do cliente: Cliente identificado no cadastro ou assinatura; instruções de representantes autorizados e contatos verificados. O cliente comunica a contact@otcvalue.com contato de proteção de dados, mandato específico e atualizações. Ser pagador não constitui mandato geral sobre dados. Contato THELOS: contact@otcvalue.com; não se promete plantão permanente ou prazo numérico de solução, sem atrasar notificações legalmente devidas. Anexo B — Segurança, conservação e continuidade Acessos: Contas autenticadas, autorizações por organização e carteira, gestão de membros e revogação. O cliente atualiza os direitos que administra; a THELOS mantém seus próprios deveres de controle e segurança. Proteção técnica: proteção das comunicações HTTPS, dos formulários contra solicitações falsificadas e dos conteúdos das filas de emails; criptografia em repouso do banco de dados principal e de seus backups automáticos. As chaves e os acessos técnicos são restritos às pessoas autorizadas. Armazenamento e backups: banco de dados principal e backups hospedados na França; janela de restauração de sete dias. Ciclo de backups: Arquivos necessários à cadeia completa podem permanecer até uma semana além dos sete dias e são eliminados pelo Azure quando desnecessários. A janela não garante exclusão física de todas as cópias em sete dias. Continuidade: este DPA não garante objetivo quantificado de recuperação nem percentual de disponibilidade. Os dados residuais dos backups permanecem protegidos e excluídos dos usos habituais. As eliminações já tratadas devem ser reaplicadas antes de os dados restaurados voltarem ao uso habitual. Rastreabilidade e conservação: Eventos de negócio, diagnósticos, provas contratuais e e-mails seguem finalidades e prazos distintos da política de privacidade. Direitos, encerramento, restituição e exclusão são tratados manualmente verificando escopo, autorizações e conservações justificadas. Organização: Acesso limitado a autorizados sujeitos à confidencialidade; incidentes e assistência conforme o DPA. Contato: contact@otcvalue.com. Não se anuncia plantão permanente nem certificação específica. Ausência de garantias numéricas não reduz deveres legais de segurança ou notificação. Anexo C — Prestadores, papéis e localizações A autorização de suboperação cobre operações confiadas pelo cliente. Destinatários de tratamentos próprios da THELOS são distinguidos; constar da lista não concede acesso a todas as carteiras. Microsoft Ireland Operations Limited — Azure: hospedagem, tratamento e backup dos dados confiados, no âmbito do DPA da Microsoft. Banco de dados principal e backups na França conforme o anexo B. Os acessos de suporte e outras transferências seguem o artigo 8. OVH SAS — OVHcloud: hospedagem e encaminhamento de emails, incluindo o conteúdo confiado ao suporte. Endereço: 2 rue Kellermann, 59100 Roubaix, França. Armazenamento informado na França; backups conservados por quatorze dias segundo o fornecedor, sem garantia de eliminação física nesse prazo. São possíveis intervenções a partir do Canadá e do Reino Unido; as transferências seguem o artigo 8. Stripe: Pagamentos e assinaturas, dados de faturamento e referências de pagamento. Condições francesas identificam Stripe Payments Europe, Limited e, para serviços regulados pertinentes, Stripe Technology Europe, Limited. Atua como operadora ou controladora independente conforme a operação, especialmente em obrigações regulatórias e antifraude; não é operadora de todos os dados de negócio. Documentos descrevem transferências à Stripe, LLC nos Estados Unidos: https://stripe.com/fr/legal/dpa e https://stripe.com/fr/legal/dta. Volentio JSD Limited — jsDelivr: Distribuição de bibliotecas e recebimento de dados técnicos de conexão do navegador; operadora da Inglaterra e do País de Gales com rede internacional. O carregamento não implica, por si só, envio de carteiras. Política: https://www.jsdelivr.com/terms/privacy-policy. Operações e garantias são distintas da suboperação dos dados de negócio. O cliente pode pedir informações e garantias pertinentes a contact@otcvalue.com, com ocultações necessárias à segurança e aos direitos de terceiros. Inclusões e substituições de suboperadores seguem o artigo 5.