Política de privacidad — OTCValue

Versión 2026-09-30.2 — 30 de septiembre de 2026

1. ¿Quién trata sus datos?

THELOS SAS, 10 rue de Penthièvre, 75008 París, Francia, 789 713 310 RCS Paris, es responsable de los tratamientos que determina para gestionar OTCValue, especialmente cuentas, relación con clientes, facturación y seguridad del servicio.

Contacto para la protección de datos: THELOS SAS, contact@otcvalue.com. Indique «Datos personales» en el asunto si es posible.

Cuando su organización utiliza OTCValue para tratar datos personales con sus propias finalidades, puede ser responsable del tratamiento y THELOS su encargado. Estas operaciones se rigen por el DPA (https://otcvalue.com/Legal/7). Puede ejercer sus derechos sobre esos datos ante su organización; THELOS la asiste y le transmite las solicitudes sujetas a sus instrucciones.

2. Datos y procedencia

Según las funciones utilizadas, pueden incluirse:

- identidad, correo electrónico, perfil, idioma y preferencias de visualización;
- pertenencia a una organización, invitaciones, roles y permisos;
- datos técnicos de autenticación, eventos de conexión, registros de seguridad y diagnóstico;
- datos del cliente y contacto pagador, dirección de facturación, identificadores fiscales, suscripciones, facturas y referencias de pago;
- mensajes al soporte, documentos útiles para resolver solicitudes e historial de tratamiento;
- datos introducidos en carteras, posiciones o campos libres cuando identifiquen a una persona;
- declaración de uso profesional, texto, versión, idioma y fecha; referencias y fechas de aceptaciones contractuales, solicitudes de cancelación y reclamaciones;
- pruebas históricas conservadas si son necesarias para un contrato anterior u obligación legal, sin nueva recogida de residencia del consumidor en el proceso B2B.

Los datos proceden de usted, un miembro autorizado de su organización, el proveedor de pagos o el funcionamiento del servicio. Si un tercero le invita o le designa como contacto de facturación, debe recibir información adecuada.

Los datos financieros de una sociedad no son todos personales. Cuando sean confidenciales, siguen cubiertos por los compromisos contractuales de confidencialidad.

Si proceden de un miembro, invitante o contacto de facturación, THELOS le informa como máximo en su primer contacto, primera comunicación a otro destinatario o plazo legal aplicable, lo que ocurra antes. Puede solicitar la fuente y los datos afectados. La organización cliente sigue siendo responsable de informar sobre los tratamientos que determina.

El servicio no está destinado a recibir datos de salud, opiniones políticas, datos biométricos u otras categorías especiales sin necesidad y marco específico. No envíe contraseñas ni números completos de tarjeta al soporte.

3. Finalidades y bases jurídicas

Gestionar la elegibilidad profesional y las pruebas de declaraciones y aceptaciones: Ejecución contractual si la persona es parte; interés legítimo en gestionar el acceso profesional y acreditar y defender derechos contractuales, según el caso.

Crear una cuenta, prestar la suscripción y responder a solicitudes precontractuales: Ejecución contractual si la persona es parte; interés legítimo en prestar el servicio a la organización para sus representantes y usuarios.

Gestionar invitaciones, roles y preferencias necesarias: Ejecución contractual o interés legítimo en administrar accesos; instrucciones del cliente para tratamientos por su cuenta.

Facturar, seguir los pagos y conservar justificantes exigidos: Ejecución contractual y obligaciones legales contables y fiscales, según la operación.

Prevenir abusos, proteger cuentas y diagnosticar incidentes: Interés legítimo en asegurar el servicio, limitando datos y accesos; obligaciones legales aplicables.

Tramitar soporte y reclamaciones: Ejecución contractual o interés legítimo en atender solicitudes; obligaciones legales para determinados recursos.

Conservar pruebas necesarias y gestionar litigios: Obligación legal cuando exista; interés legítimo en acreditar o defender derechos.

Instalar rastreadores no necesarios, si se incorporan: Consentimiento previo cuando sea obligatorio.

Los datos obligatorios son necesarios para las operaciones indicadas en el formulario; su ausencia puede impedir crear la cuenta, prestar el servicio o emitir la factura. Se identifican los campos opcionales. Esta política no autoriza comunicaciones comerciales. Cualquier actividad comercial prevista debe describirse por separado con su base jurídica y un medio de oposición.

4. Destinatarios

Acceden los miembros autorizados de THELOS para sus funciones, los miembros de su organización dentro de sus permisos y los prestadores necesarios. También pueden comunicarse datos a autoridades, asesores o profesionales contables cuando lo justifique una obligación o necesidad legítima identificada.

Principales destinatarios técnicos identificados:

Microsoft Ireland Operations Limited — Azure: alojamiento del sitio y de la base de datos, tratamiento y copia de seguridad de los datos confiados.

OVH SAS — OVHcloud: alojamiento y transmisión del correo electrónico, incluidos los intercambios con soporte.

Stripe: Pagos y suscripciones; encargado para ciertas operaciones y responsable independiente especialmente para prevenir fraude y cumplir obligaciones regulatorias. Véase su información (https://stripe.com/fr/legal/privacy-center).

Volentio JSD Limited — jsDelivr: Distribución de bibliotecas del sitio; recepción de datos técnicos de conexión al cargarse, conforme a su política de privacidad (https://www.jsdelivr.com/terms/privacy-policy).

5. Ubicación y transferencias

El sitio web, la base de datos principal y sus copias de seguridad se alojan en Francia.

El correo electrónico está alojado por OVHcloud, cuya oferta utilizada prevé el almacenamiento en Francia. Estas ubicaciones no implican que todos los accesos de soporte, las transmisiones de correo y los tratamientos de pagos permanezcan en Francia.

El DPA de Stripe (https://stripe.com/fr/legal/dpa) contempla transferencias a Stripe, LLC en Estados Unidos; su acuerdo de transferencias (https://stripe.com/fr/legal/dta) precisa los mecanismos aplicables. La lista de subencargados de OVHcloud incluye posibles intervenciones desde Canadá y Reino Unido. jsDelivr utiliza también una red internacional. Estos flujos deben distinguirse del almacenamiento principal.

Toda transferencia de datos personales fuera del Espacio Económico Europeo debe identificarse y ampararse en el mecanismo aplicable: decisión de adecuación válida para el destinatario, cláusulas contractuales tipo con las evaluaciones necesarias u otro fundamento legal pertinente.

Puede escribir a contact@otcvalue.com para obtener detalles y copia de las garantías aplicables, con las ocultaciones necesarias para proteger secretos y derechos de terceros.

6. Plazos de conservación

Se definen por finalidad, distinguiendo uso ordinario, archivo restringido y copias de seguridad. La cancelación no justifica conservación general indefinida ni eliminación de justificantes legalmente exigidos.

Cuenta, perfil y accesos: Durante el uso activo; para cuentas gratuitas inactivas durante tres años, revisión manual y aviso al menos treinta días antes de un posible cierre. Se verifican separadamente los derechos de una organización todavía activa. Las solicitudes de supresión se atienden en plazo legal, con excepciones justificadas.

Carteras, posiciones e historiales de negocio: Durante el servicio a la organización, incluido Free, según instrucciones autorizadas. Tras cierre o instrucción de supresión: restitución solicitada y después eliminación de datos innecesarios, sujeto a derechos de recuperación y conservación legalmente necesaria. La inactividad de un miembro no autoriza borrar la organización.

Facturas y documentos contables: Plazo legal aplicable, normalmente diez años desde el cierre del ejercicio correspondiente para documentos contables.

Contratos y pruebas útiles para su ejecución: Archivo restringido cinco años desde el fin de la relación, salvo otro inicio del plazo de prescripción, interrupción o suspensión, obligación especial o litigio identificado. No se justifica conservar toda la cuenta o todos sus mensajes por la sola necesidad de prueba.

Soporte ordinario: Atención de la solicitud y dos años después de su cierre; solo se separan los documentos necesarios para litigios o prueba contractual durante el plazo correspondiente justificado.

Registros de seguridad y diagnóstico técnico: Seis meses móviles; elementos necesarios para un incidente o litigio identificado se extraen y conservan con acceso restringido durante el tiempo necesario. No se aplica a historiales de negocio necesarios para el servicio.

Cola técnica de correos de autenticación: El código prevé la purga tras treinta días desde la creación, salvo mensajes todavía en proceso; el contenido innecesario se borra según el ciclo de envío/caducidad. La prueba de aceptación conservada con la cuenta es distinta de esta cola.

Otros correos y pruebas de envío: Duración de su finalidad —soporte, prueba contractual o contabilidad— según el contenido. Se eliminan duplicados de transporte innecesarios; las facturas no justifican archivar indistintamente todos los buzones.

Copias de seguridad del correo: el proveedor anuncia una conservación de catorce días. Este plazo es distinto del de los mensajes conservados en el buzón y no garantiza la supresión física en catorce días.

Copias de seguridad de la base de datos: ventana de restauración de siete días. Los archivos necesarios para una cadena de restauración completa pueden conservarse hasta una semana adicional y después son eliminados por el proveedor cuando dejan de ser necesarios.

La ventana de siete días permite restaurar la base; no promete eliminar físicamente todas las copias en siete días desde una solicitud. Las copias residuales se reservan a continuidad y restauración, protegidas y excluidas de uso ordinario. Si una restauración reintroduce datos cuya supresión se tramitó, deben volver a suprimirse antes del uso ordinario.

Un litigio, investigación u obligación particular solo justifica conservación adicional de los datos necesarios durante el plazo correspondiente, con acceso restringido. Después se eliminan o anonimizan efectivamente. El procedimiento manual de cierre no dispensa a THELOS de aplicar el calendario.

7. Sus derechos

En las condiciones del RGPD puede solicitar acceso, rectificación, supresión, limitación, portabilidad de datos elegibles y oponerse a tratamientos por interés legítimo. Retirar el consentimiento no afecta a la licitud del tratamiento anterior. Quedan reservadas las reglas francesas sobre instrucciones relativas a datos tras el fallecimiento.

Envíe su solicitud a contact@otcvalue.com identificando cuenta y objeto. Puede requerirse verificación proporcional de identidad; no debe pedirse sistemáticamente copia de documento de identidad. THELOS responde en los plazos legales, normalmente un mes, y explica las prórrogas legalmente permitidas.

THELOS trata manualmente solicitudes de cierre y supresión. La página de datos personales explica cómo escribir a contact@otcvalue.com; no desencadena borrado automático. Indique si solicita cerrar la cuenta, suprimir determinados datos o ambas cosas. Cancelar la suscripción sigue siendo una operación separada en su gestión; volver a la oferta gratuita no elimina datos.

Cerrar un acceso individual puede exigir distinguir datos de la organización cliente y justificantes conservados legalmente. Estas distinciones no permiten rechazar globalmente el derecho de supresión. Puede reclamar ante la CNIL (https://www.cnil.fr/fr/plaintes) o la autoridad competente.

8. Seguridad, decisiones automatizadas y actualizaciones

THELOS debe aplicar medidas adaptadas a los riesgos: control de accesos, protección de las comunicaciones, gestión de incidentes y supervisión de proveedores. La base de datos principal y sus copias de seguridad automáticas están cifradas en reposo. Esta política no anuncia ninguna certificación particular, ausencia de vulnerabilidades ni garantía cuantificada de restauración.

Los tratamientos automatizados identificados incluyen cálculos de valoración y gestión de derechos según oferta y pago. Puede contactar con THELOS para revisar una situación que afecte sus accesos y cuestionar la información utilizada, sin reducir sus derechos legales.

Los cambios de esta política se fechan y son accesibles. Un cambio de finalidad u operación que requiera nuevo consentimiento se trata conforme a las reglas aplicables; publicar una nueva versión no equivale a obtener consentimiento.