Allegato sul trattamento dei dati personali — DPA Versione 2026-09-30.2 — 30 settembre 2026 1. Parti, oggetto e ruoli Il cliente professionale identificato alla registrazione o nel riepilogo dell'abbonamento, eventualmente rappresentato dall'utente autorizzato, agisce come titolare per i trattamenti che determina. THELOS SAS, 10 rue de Penthièvre, 75008 Parigi, Francia, 789 713 310 RCS Paris, agisce come responsabile del trattamento per le operazioni dell'allegato A. Se il cliente agisce a sua volta per un altro titolare, deve avere le autorizzazioni necessarie e comunicare i requisiti applicabili. Tale situazione deve essere descritta nelle condizioni particolari; non si presume per ogni cliente. L'allegato non regola i trattamenti propri di THELOS, inclusi contabilità e gestione del rapporto contrattuale, descritti nell'informativa sulla privacy. I dati finanziari non personali restano tutelati dalla riservatezza contrattuale senza essere artificialmente qualificati come personali. La versione francese prevale in caso di divergenze tra traduzioni, con le riserve dell'articolo 1 delle condizioni d'uso. Ciò non cambia la priorità del DPA per il suo oggetto. Il DPA è allegato alle condizioni d'uso e accettato con esse dalla registrazione, anche per account gratuiti. Si applica soltanto ai trattamenti personali affidati dal cliente e descritti negli allegati. L'accettazione non è consenso generale ai trattamenti propri di THELOS. 2. Istruzioni e finalità THELOS tratta i dati soltanto su istruzioni documentate del cliente, anche per trasferimenti fuori dal SEE, salvo diverso obbligo legale. Contratto, parametri concordati e richieste di persone autorizzate costituiscono istruzioni nel proprio ambito. Se un'istruzione appare contraria al GDPR o al diritto applicabile, THELOS informa immediatamente il cliente e chiede chiarimenti. Se la legge impone un'operazione, informa il cliente prima di agire quando consentito. THELOS non riutilizza dati per finalità proprie incompatibili con il ruolo di responsabile, inclusa rivendita o addestramento di modelli per scopi estranei al contratto. Cambi di ruolo o finalità richiedono analisi e informazioni adeguate. 3. Obblighi del cliente Il cliente determina liceità, finalità e minimizzazione dei dati affidati, informa gli interessati e organizza l'esercizio dei diritti. Aggiorna le autorizzazioni di chi impartisce istruzioni ed evita dati inutili al servizio. Questi obblighi non riducono quelli propri di THELOS come responsabile. Dati sensibili o operazioni non descritte nell'allegato A richiedono valutazione preventiva e, se necessario, adeguamento dell'allegato. 4. Riservatezza e sicurezza THELOS limita l'accesso alle persone autorizzate che ne hanno necessità, vincolate da impegno di riservatezza o adeguato obbligo legale. Gli ulteriori fornitori sono disciplinati da questo documento. Le misure tecniche e organizzative devono essere adeguate alla natura dei dati e ai rischi e documentate nell'allegato B. Comprendono autorizzazioni, protezione degli scambi, continuità, ripristino, tracciabilità e incidenti. Le misure dichiarate operative devono poter essere dimostrate. Acquistare un servizio cloud non dimostra, da solo, tutte queste misure. Cambiamenti significativi delle garanzie devono essere documentati e trattati con il cliente. 5. Sub-responsabili Il cliente autorizza in generale i sub-responsabili identificati nell'allegato C consegnato con il contratto. THELOS informa il contatto autorizzato via e-mail su supporto conservabile almeno trenta giorni prima di un'aggiunta o sostituzione prevista. Indica fornitore, operazioni, luoghi e garanzie utili alla valutazione. Il cliente può presentare in tale termine un'obiezione motivata sulla protezione dei dati. THELOS valuta l'obiezione e cerca una soluzione proporzionata che mantenga le garanzie. Le operazioni contestate non sono affidate al nuovo fornitore prima della risoluzione dell'obiezione. Se non è possibile concordare una soluzione ragionevole, il cliente può cessare le prestazioni interessate senza penali e ottenere rimborso degli anticipi per il periodo non fornito. Non vengono ridotti i rimedi legali applicabili. THELOS impone obblighi di protezione equivalenti al sub-responsabile per le operazioni affidate e resta responsabile verso il cliente del loro adempimento secondo il GDPR. I fornitori titolari autonomi vanno distinti e devono avere un proprio fondamento per la comunicazione. 6. Assistenza e diritti degli interessati THELOS trasmette senza ingiustificato ritardo le richieste riguardanti trattamenti per conto del cliente e non decide da sola la risposta nel merito, salvo istruzione o obbligo legale. Assiste adeguatamente per accesso, rettifica, cancellazione, limitazione, portabilità e altri diritti applicabili. Considerando informazioni disponibili e natura del trattamento, assiste su sicurezza, valutazioni d'impatto ed eventuali consultazioni preventive dell'autorità. La ripartizione commerciale dei costi non può neutralizzare questi obblighi. 7. Violazioni dei dati personali THELOS notifica al cliente le violazioni coperte dal DPA senza ingiustificato ritardo dopo averne conoscenza. Secondo le informazioni disponibili, descrive dati e persone interessati, probabili conseguenze, misure adottate o proposte e contatto dell'incidente. Può integrare la notifica per fasi senza ingiustificato ritardo. THELOS conserva gli elementi utili, collabora al contenimento e documenta le azioni. Il cliente decide le notifiche di sua competenza ad autorità e interessati; THELOS lo assiste. Il termine legale proprio del titolare non deve essere presentato come attesa autorizzata per il responsabile. 8. Trasferimenti internazionali Luoghi di trattamento e accesso sono descritti nell'allegato C. I trasferimenti fuori dal SEE possono avvenire solo secondo istruzioni autorizzate e il capo V del GDPR. Meccanismo applicabile, analisi necessaria e misure supplementari devono essere documentati. La banca dati in Francia non autorizza implicitamente tutti gli accessi da paesi terzi. Le richieste di autorità straniere sono esaminate secondo il diritto applicabile; il cliente è informato quando consentito. 9. Documentazione e verifiche THELOS fornisce le informazioni necessarie a dimostrare l'adempimento e consente verifiche, incluse ispezioni, del cliente o revisore incaricato. Le modalità pratiche proteggono sicurezza e informazioni altrui senza impedire un controllo effettivo. Le parti concordano ambito e modalità proporzionati, considerando urgenza o richieste di autorità. Il DPA non impone limiti automatici alla frequenza, certificazioni obbligatorie o tariffe di audit. 10. Fine del trattamento Alla fine delle prestazioni, a scelta documentata del cliente, THELOS restituisce o cancella i dati personali, quindi cancella le copie esistenti, salvo obbligo legale di conservazione. I dati conservati per tale obbligo sono identificati, isolati e usati soltanto a quel fine. Le istruzioni di chiusura dell'organizzazione, restituzione e cancellazione vanno a contact@otcvalue.com e sono gestite manualmente. THELOS verifica autorizzazione dell'interlocutore e ambito dei dati. Uscita di un utente e disdetta dell'abbonamento non costituiscono da sole istruzione di cancellare tutti i dati dell'organizzazione. Le richieste degli interessati seguono anche le regole di assistenza dell'allegato. La restituzione standard su richiesta è gratuita, anche per Free. THELOS precisa con il cliente autorizzato ambito, formato utilizzabile e consegna sicura. Le esportazioni delle griglie non sono un dossier completo di tutti i dati. Non si comunicano dati di altre organizzazioni o segreti di autenticazione. Limiti o esclusioni giustificati sono descritti senza neutralizzare diritti obbligatori di restituzione o cambio fornitore. I tempi seguono obblighi applicabili e istruzioni lecite; i periodi di recupero dovuti precedono la cancellazione. Il ritorno all'offerta gratuita continuando l'uso dell'organizzazione non termina da solo il trattamento. I dati necessari restano durante l'uso attivo secondo istruzioni autorizzate. Le richieste di chiusura o cancellazione sono esaminate e trattate nei termini legali. L'informativa prevede esame manuale dopo tre anni d'inattività di account gratuito e avviso almeno trenta giorni prima dell'eventuale chiusura, verificati diritti e attività dell'organizzazione. Non autorizza conservazione indefinita senza finalità. La cancellazione dei backup segue l'allegato B; nel frattempo i dati sono protetti, non riutilizzati ordinariamente e le cancellazioni devono essere riapplicate dopo ripristino prima dell'uso corrente. Il cliente riceve conferma della gestione, distinguendo cancellazioni eseguite e copie residue in scadenza. La finestra Azure SQL di sette giorni non garantisce cancellazione fisica di tutti i backup entro sette giorni. 11. Responsabilità contrattuale Le pretese risarcitorie contrattuali del cliente relative al DPA seguono massimale ed eccezioni dell'articolo 9 delle condizioni d'uso e, per abbonamenti a pagamento, dell'articolo 9 delle condizioni di abbonamento, nei limiti legalmente consentiti. Le clausole non limitano diritti imperativi degli interessati o rimedi non limitabili per legge e non riducono gli obblighi propri di THELOS nel GDPR. Resta la priorità del DPA su istruzioni e garanzie del trattamento. Allegato A — Trattamenti del servizio standard Oggetto: Fornitura di OTCValue all'organizzazione cliente. Durata: Operazioni affidate, poi restituzione, cancellazione e conservazioni imposte identificate. Operazioni: Raccolta mediante inserimento o import disponibile, conservazione, calcolo, consultazione, gestione accessi, esportazione, supporto, backup e cancellazione secondo le funzioni effettivamente usate. Finalità del cliente: Gestire e analizzare posizioni e portafogli e organizzare l'accesso alle informazioni. Interessati: Utenti, rappresentanti e contatti; persone fisiche identificate in posizioni, portafogli, nomi di controparti, campi liberi o documenti di supporto affidati dal cliente. Identità e accessi affidati: Identificativi dei membri, nome/cognome e recapiti professionali necessari, appartenenza, profili, diritti sui portafogli, inviti e azioni attribuite agli utenti, quando eseguiti per il cliente. Dati personali operativi: Nomi e riferimenti di portafogli, strategie e controparti; parametri ed eventi di posizioni, operazioni, calcoli, rapporti e storici se identificano persone; provenienza degli import e modifiche attribuite a utenti. Limiti di qualificazione: Un dato finanziario societario non è automaticamente personale. Autenticazione propria, pagamento, contabilità e difesa dei diritti di THELOS appartengono alle finalità proprie descritte nell'informativa, secondo l'operazione. Dati particolari: Non previsti nel perimetro standard; necessità da analizzare prima della raccolta. Istruzioni e contatto cliente: Cliente identificato nel rapporto di registrazione o abbonamento; istruzioni di rappresentanti autorizzati e contatti verificati dell'organizzazione. Il cliente comunica a contact@otcvalue.com contatti privacy, mandati particolari e aggiornamenti. Essere pagatore non equivale a mandato generale sui dati. Contatto THELOS: contact@otcvalue.com; nessuna reperibilità permanente o tempo numerico di soluzione promesso, senza ritardare notifiche legalmente dovute. Allegato B — Sicurezza, conservazione e continuità Accessi: Account autenticati, autorizzazioni per organizzazione e portafoglio, gestione membri e revoca. Il cliente aggiorna i diritti amministrati; THELOS mantiene i propri obblighi di controllo e sicurezza. Protezione tecnica: protezione delle comunicazioni HTTPS, dei moduli dalle richieste contraffatte e dei contenuti delle code di posta; cifratura a riposo del database principale e dei relativi backup automatici. Le chiavi e gli accessi tecnici sono riservati alle persone autorizzate. Archiviazione e backup: database principale e backup ospitati in Francia; finestra di ripristino di sette giorni. Ciclo dei backup: I file necessari alla catena completa possono restare fino a una settimana oltre i sette giorni, poi essere eliminati da Azure quando inutili. La finestra non garantisce cancellazione fisica di tutte le copie in sette giorni. Continuità: il presente DPA non garantisce alcun obiettivo quantificato di ripristino o percentuale di disponibilità. I dati residui dei backup restano protetti ed esclusi dagli usi ordinari. Le cancellazioni già eseguite devono essere riapplicate prima del ritorno all'uso ordinario dei dati ripristinati. Tracciabilità e conservazione: Eventi operativi, diagnostica, prove contrattuali e posta hanno finalità e durate distinte nell'informativa. Diritti, chiusura, restituzione e cancellazione sono gestiti manualmente verificando ambito, autorizzazioni e conservazioni giustificate. Organizzazione: Accesso limitato ad autorizzati vincolati alla riservatezza; gestione incidenti e assistenza secondo il DPA. Contatto: contact@otcvalue.com. Nessuna reperibilità permanente o certificazione particolare annunciata. L'assenza di garanzie numeriche non riduce obblighi legali di sicurezza o notifica. Allegato C — Fornitori, ruoli e ubicazioni L'autorizzazione al sub-trattamento riguarda operazioni affidate dal cliente. I destinatari dei trattamenti propri di THELOS sono distinti; essere inclusi nell'elenco non dà accesso a tutti i portafogli. Microsoft Ireland Operations Limited — Azure: hosting, trattamento e backup dei dati affidati, nell'ambito del DPA Microsoft. Database principale e backup in Francia secondo l'allegato B. Gli accessi di assistenza e gli altri trasferimenti sono soggetti all'articolo 8. OVH SAS — OVHcloud: hosting e trasmissione delle email, compresi i contenuti affidati all'assistenza. Indirizzo: 2 rue Kellermann, 59100 Roubaix, Francia. Archiviazione dichiarata in Francia; backup conservati quattordici giorni secondo il fornitore, senza garanzia di cancellazione fisica entro tale periodo. Sono possibili interventi dal Canada e dal Regno Unito; i trasferimenti sono soggetti all'articolo 8. Stripe: Pagamenti e abbonamenti, fatturazione e riferimenti di pagamento. Le condizioni francesi identificano Stripe Payments Europe, Limited e, per servizi regolamentati pertinenti, Stripe Technology Europe, Limited. Secondo l'operazione opera come responsabile o titolare autonomo, soprattutto per obblighi normativi e antifrode; non è responsabile di tutti i dati operativi. I documenti descrivono trasferimenti a Stripe, LLC negli Stati Uniti: https://stripe.com/fr/legal/dpa e https://stripe.com/fr/legal/dta. Volentio JSD Limited — jsDelivr: Distribuzione librerie e ricezione di dati tecnici di connessione del browser; operatore di Inghilterra e Galles con rete internazionale. Il caricamento non implica da solo invio di portafogli. Informativa: https://www.jsdelivr.com/terms/privacy-policy. Operazioni e garanzie sono distinte dal sub-trattamento dei dati operativi. Il cliente può chiedere informazioni e garanzie pertinenti a contact@otcvalue.com, con oscuramenti necessari a sicurezza e diritti altrui. Aggiunte e sostituzioni dei sub-responsabili seguono l'articolo 5.