Informativa sulla Privacy

The Thunder Trader

Ultimo aggiornamento: [25/05/2026]

Indice

1. Introduzione e Titolare del Trattamento
2. Ambito di applicazione
3. Definizioni
4. Categorie di dati personali trattati
5. Finalità del trattamento e basi giuridiche
6. Trattamento di dati biometrici (categoria particolare ex Art. 9 GDPR)
7. Adempimenti KYC e AML
8. Destinatari dei dati e responsabili del trattamento
9. Trasferimento di dati al di fuori dello Spazio Economico Europeo
10. Periodi di conservazione
11. Diritti dell’Interessato
12. Utenti residenti nel Regno Unito
13. Utenti residenti negli Stati Uniti d’America
14. Misure di sicurezza
15. Minori
16. Modifiche alla presente Informativa
17. Contatti
18. Legge applicabile e Foro competente

1. Introduzione e Titolare del Trattamento

La presente Informativa sulla Privacy descrive le modalità con cui The Thunder Trader raccoglie, utilizza, conserva e protegge i dati personali degli utenti che visitano il sito thethundertrader.com e che accedono alla piattaforma di partecipazione a Performance Arena Event.

Il Titolare del Trattamento (di seguito “Titolare”) è:

LN17 ShapeFuture Limited Flat D, 20/F, Eton Building, 288 Des Voeux Road Central, Sheung Wan, Hong Kong Company Number (CR No.): 80441068 Business Registration Number (BR No.): 80441068-000-05-26-A Email di contatto: legal@thethundertrader.com

Responsabile della Protezione dei Dati (DPO): in fase di designazione. Una volta nominato, i recapiti verranno pubblicati in questa Informativa. Fino a tale momento, ogni comunicazione relativa al trattamento dei dati personali può essere indirizzata all’email del Titolare sopra indicata.

Il Titolare tratta i dati personali nel rispetto del Regolamento (UE) 2016/679 (“GDPR”), del UK GDPR per gli utenti residenti nel Regno Unito, delle normative locali applicabili in materia di antiriciclaggio (AML) e know your customer (KYC), nonché di ogni altra normativa applicabile in base alla residenza dell’utente.

2. Ambito di applicazione

La presente Informativa si applica al trattamento di dati personali effettuato tramite:

• il sito vetrina pubblico thethundertrader.com
• la piattaforma di partecipazione accessibile tramite i sottodomini dashboard.thethundertrader.com, trading.thethundertrader.com, historical.thethundertrader.com e checkout.thethundertrader.com
• le comunicazioni email inviate dal Titolare (newsletter, email transazionali, comunicazioni di servizio)
• i canali di assistenza email support@thethundertrader.com e legal@thethundertrader.com

Restrizioni territoriali. Il servizio non è disponibile a residenti, domiciliati o cittadini di Hong Kong (HKSAR) in considerazione delle specifiche normative locali in materia di concorsi, abilità e protezione del consumatore. Per i residenti negli Stati Uniti d’America si applica una procedura specifica di opt-out, dettagliata nei Termini e Condizioni (art. 25.6) e descritta nella Sezione 13 della presente Informativa.

Età minima. L’utilizzo della piattaforma è riservato esclusivamente a persone fisiche maggiorenni che abbiano compiuto il diciottesimo anno di età. Il Titolare non raccoglie consapevolmente dati personali di soggetti minori di anni 18. Qualora venga a conoscenza di un trattamento di dati relativi a un minore, il Titolare provvederà tempestivamente alla cancellazione di tali dati e alla chiusura dell’account corrispondente.

3. Definizioni

Ai fini della presente Informativa si intendono per:

• Dati personali: qualsiasi informazione riguardante una persona fisica identificata o identificabile, ai sensi dell’Art. 4 GDPR.
• Trattamento: qualsiasi operazione applicata a dati personali, come la raccolta, registrazione, organizzazione, conservazione, consultazione, modifica, comunicazione e cancellazione.
• Titolare del Trattamento: il soggetto che determina le finalità e i mezzi del trattamento. Nel presente caso, LN17 ShapeFuture Limited.
• Responsabile del Trattamento: il soggetto che tratta dati personali per conto del Titolare.
• Interessato: la persona fisica cui si riferiscono i dati personali, ovvero l’utente.
• Partecipante: l’utente registrato che accede a Performance Arena Event tramite acquisto di Platform Credits.
• Performance Reward: il riconoscimento economico discrezionale erogato dal Titolare ai Partecipanti che raggiungono le posizioni più alte del ranking finale di un Performance Arena Event.
• Available Balance: saldo derivante dall’acquisto di Platform Credits, utilizzabile per accedere a Performance Arena Event e rimborsabile entro 14 giorni se non utilizzato.
• Fee Credits Balance: credito promozionale bonus utilizzabile esclusivamente per ridurre la quota di accesso a un evento; non rimborsabile né convertibile in denaro.
• Performance Arena Event: evento di competizione skill-based su simulazione di trading organizzato dalla piattaforma.

4. Categorie di dati personali trattati

Il Titolare tratta diverse categorie di dati personali, raccolti progressivamente in base al livello di interazione dell’utente con il servizio. Non tutti i dati indicati di seguito vengono raccolti per ogni utente: il trattamento è proporzionato al tipo di utilizzo effettivo della piattaforma.

4.1 Dati di navigazione

Raccolti automaticamente al momento della visita al sito o all’accesso alla piattaforma:

• indirizzo IP e dati di geolocalizzazione approssimativa derivati dall’IP
• tipo e versione del browser
• sistema operativo del dispositivo
• pagine visitate, tempi di permanenza, percorsi di navigazione
• referrer (sito di provenienza)
• identificativi tecnici di sessione

4.2 Dati di registrazione account

Raccolti al momento della creazione dell’account utente (Light KYC):

• indirizzo email
• numero di telefono (verificato tramite OTP)
• password (memorizzata in forma cifrata tramite algoritmi di hashing)
• nome utente (handle pubblico)
• preferenze di lingua e comunicazione

4.3 Dati di partecipazione a Performance Arena Event

Raccolti durante la partecipazione del Partecipante agli eventi:

• registrazione e parametri di partecipazione agli eventi
• dati di trading simulato (operazioni aperte e chiuse sull’account demo, prezzi di ingresso e uscita, dimensione delle posizioni, profit/loss simulato, durata delle sessioni)
• piazzamento nel ranking finale
• importo di Performance Reward eventualmente maturato

4.4 Dati di pagamento (acquisto Platform Credits)

Raccolti al momento dell’acquisto di Platform Credits:

• importo, valuta, data e ora della transazione
• ultime quattro cifre della carta di pagamento (per le sole transazioni con carta)
• riferimento alla transazione presso il payment service provider
• indirizzo wallet crypto utilizzato (limitatamente alle transazioni in criptovaluta)

Il Titolare non raccoglie né conserva direttamente i dati completi delle carte di pagamento né le credenziali bancarie degli utenti. Tali dati sono trattati esclusivamente dai payment service provider indicati nella Sezione 8.

4.5 Dati KYC (Full Know Your Customer)

Raccolti esclusivamente al momento della prima richiesta di erogazione di Performance Reward, non al momento del deposito:

• nome, cognome, data di nascita
• nazionalità
• numero e tipologia del documento di identità (passaporto, carta d’identità, patente)
• immagine del documento di identità (fronte/retro)
• prova di residenza (utenza, estratto conto bancario o documento equivalente)
• paese di residenza

4.6 Dati biometrici (categoria particolare di dati personali)

Raccolti contestualmente alla procedura Full KYC:

• immagine facciale (selfie) acquisita tramite procedura di liveness check del fornitore Sumsub
• parametri biometrici facciali derivati e utilizzati per il confronto con il documento di identità e per il rilevamento di tentativi di frode (deep fake, maschere, fotografie statiche, emulatori)

Il trattamento dei dati biometrici è disciplinato in modo specifico nella Sezione 6 della presente Informativa.

4.7 Dati di comunicazione e assistenza

Raccolti nell’ambito di comunicazioni dirette con il Titolare:

• contenuto delle email inviate a support@ o legal@
• richieste e ticket di assistenza
• corrispondenza relativa a richieste di esercizio dei diritti GDPR

4.8 Dati di marketing (su base consensuale)

Raccolti previo consenso espresso dell’utente:

• iscrizione alla newsletter
• preferenze tematiche e segmentazione
• dati di engagement con le email (apertura, click)

5. Finalità del trattamento e basi giuridiche

Il Titolare tratta i dati personali per le finalità di seguito indicate, ciascuna con la propria base giuridica ai sensi dell’Art. 6 GDPR.

Il conferimento dei dati per le finalità 5.1, 5.2, 5.3 e 5.4 è necessario per usufruire del servizio: il rifiuto di fornirli rende impossibile la registrazione, la partecipazione agli eventi o l’erogazione di una Performance Reward. Il conferimento per le finalità 5.9 e 5.11 è invece facoltativo e l’eventuale rifiuto non pregiudica l’utilizzo del servizio.

6. Trattamento di dati biometrici (categoria particolare di dati personali, Art. 9 GDPR)

Il Titolare effettua il trattamento di dati biometrici esclusivamente nell’ambito della procedura Full KYC, attivata al momento della prima richiesta di erogazione di una Performance Reward.

Cosa viene trattato. Una scansione facciale dell’utente, acquisita in tempo reale tramite la procedura di liveness check, e i parametri biometrici da essa derivati. Tali parametri vengono confrontati con la foto presente sul documento di identità per verificare l’autenticità dell’identità dell’utente e per rilevare eventuali tentativi di frode (utilizzo di fotografie statiche, deep fake, maschere, emulatori).

Da chi. L’acquisizione e l’analisi sono eseguite dal fornitore specializzato Sumsub (Sum and Substance Limited), che agisce in qualità di Responsabile del Trattamento ai sensi di accordo di nomina ex Art. 28 GDPR.

Basi giuridiche. Il trattamento è fondato su due basi giuridiche cumulative:

1. Consenso esplicito dell’Interessato, prestato in modo libero, informato e specifico ai sensi dell’Art. 9.2.a GDPR, raccolto prima dell’avvio della procedura di liveness check
2. Obbligo legale del Titolare relativo all’adempimento delle normative antiriciclaggio (AML) e di lotta al finanziamento del terrorismo (CFT) applicabili, ai sensi dell’Art. 9.2.g GDPR

Conseguenze del rifiuto. Il rifiuto di prestare il consenso al trattamento dei dati biometrici comporta l’impossibilità di completare la procedura Full KYC e, conseguentemente, l’impossibilità di ricevere l’erogazione della Performance Reward. La partecipazione a Performance Arena Event resta comunque consentita; il Partecipante potrà inoltre utilizzare il proprio Available Balance per accedere a successivi eventi senza dover completare la procedura Full KYC, finché non richieda l’erogazione di una Performance Reward.

Diritto di revoca. Il consenso al trattamento dei dati biometrici può essere revocato in qualsiasi momento scrivendo all’indirizzo legal@thethundertrader.com. La revoca non pregiudica la liceità del trattamento effettuato prima della revoca stessa, ma comporterà l’impossibilità di erogare ulteriori Performance Reward fino a un’eventuale nuova procedura KYC.

Conservazione. I dati biometrici sono conservati per il tempo strettamente necessario all’esecuzione della verifica e successivamente per il periodo richiesto dagli obblighi AML applicabili (tipicamente 5-7 anni dalla cessazione del rapporto con l’utente). Decorso tale termine, i dati biometrici vengono cancellati o anonimizzati in modo irreversibile.

7. Adempimenti KYC e AML

Il Titolare è soggetto a obblighi di adeguata verifica della clientela (Customer Due Diligence) e di prevenzione del riciclaggio di denaro e del finanziamento del terrorismo. Tali obblighi impongono al Titolare di:

• raccogliere e verificare l’identità dei Partecipanti prima dell’erogazione di Performance Reward
• conservare la documentazione di identificazione per il periodo prescritto dalle normative applicabili
• segnalare alle autorità competenti operazioni sospette
• bloccare l’erogazione di Performance Reward in presenza di anomalie identificative, multi-account o discrepanze tra l’identità documentata e quella dichiarata

Il trattamento dei dati per finalità AML costituisce per il Titolare un obbligo legale e prevale, nei limiti previsti dalla normativa applicabile, sui diritti di cancellazione o limitazione dell’Interessato per la durata del periodo di conservazione obbligatorio.

8. Destinatari dei dati e responsabili del trattamento

I dati personali possono essere trattati, per le finalità sopra indicate, dai seguenti soggetti, che operano in qualità di responsabili del trattamento ex Art. 28 GDPR. Per ciascuno di essi è disponibile presso il Titolare il relativo accordo di nomina.

Oltre ai soggetti sopra indicati, i dati possono essere comunicati a:

• consulenti professionali del Titolare (legali, commercialisti, revisori) per esclusive finalità di compliance e difesa giuridica, vincolati da obblighi di riservatezza
• autorità giudiziarie e amministrative competenti, in caso di richiesta legittima ai sensi delle normative applicabili
• soggetti coinvolti in eventuali operazioni di riorganizzazione societaria, fusione, scissione o cessione di azienda del Titolare, previa adeguata garanzia di protezione dei dati

L’elenco aggiornato dei responsabili del trattamento è disponibile su richiesta scrivendo a legal@thethundertrader.com. Il Titolare si riserva di aggiungere o sostituire fornitori, dandone informazione tramite aggiornamento della presente Informativa.

9. Trasferimento di dati al di fuori dello Spazio Economico Europeo

Alcuni trattamenti comportano il trasferimento di dati personali al di fuori dello Spazio Economico Europeo (SEE). Le destinazioni e le garanzie applicate sono le seguenti:

9.1 Trasferimento verso Hong Kong (Titolare del Trattamento)

Il Titolare LN17 ShapeFuture Limited ha sede a Hong Kong. Hong Kong non è oggetto di una decisione di adeguatezza della Commissione Europea ai sensi dell’Art. 45 GDPR. Pertanto, il trasferimento di dati personali dall’Unione Europea verso il Titolare è effettuato sulla base delle Standard Contractual Clauses (SCC) approvate con Decisione di esecuzione (UE) 2021/914 della Commissione del 4 giugno 2021, completate da misure supplementari tecniche, contrattuali e organizzative individuate a seguito di una Transfer Impact Assessment (TIA) condotta dal Titolare.

Le misure supplementari comprendono, tra le altre: cifratura dei dati in transito e a riposo, controlli di accesso ristretto, segregazione logica dei dati, procedure di risposta a richieste di accesso da parte di autorità pubbliche secondo i principi di necessità e proporzionalità.

Una copia delle SCC applicate e una sintesi della TIA possono essere richieste scrivendo a legal@thethundertrader.com.

9.2 Trasferimento verso il Regno Unito

Per i fornitori con sede nel Regno Unito (Sumsub, FXCM), il trasferimento di dati personali avviene sulla base della decisione di adeguatezza adottata dalla Commissione Europea il 28 giugno 2021, attualmente in vigore.

9.3 Trasferimento verso gli Stati Uniti d’America

Per i fornitori con sede negli Stati Uniti (Twilio/SendGrid), il trasferimento è effettuato verso soggetti aderenti al Data Privacy Framework (DPF) UE-USA, certificati ai sensi della decisione di adeguatezza della Commissione Europea del 10 luglio 2023. Per i trasferimenti non coperti dal DPF, si applicano le Standard Contractual Clauses.

9.4 Trasferimento verso altri paesi terzi

Per eventuali trasferimenti verso altri paesi terzi non oggetto di decisione di adeguatezza, il Titolare adotta una delle seguenti garanzie:

• Standard Contractual Clauses approvate dalla Commissione Europea
• Norme vincolanti d’impresa (Binding Corporate Rules)
• Altre garanzie previste dal Capo V del GDPR

L’utente ha diritto di ottenere copia delle garanzie applicate scrivendo all’email del Titolare.

10. Periodi di conservazione

I dati personali sono conservati per il tempo strettamente necessario al raggiungimento delle finalità per cui sono stati raccolti, secondo i criteri di seguito indicati:

Decorsi i termini sopra indicati, i dati personali sono cancellati o anonimizzati in modo irreversibile, salvo il caso in cui specifici obblighi di legge impongano una conservazione più estesa o sussistano legittimi interessi documentati del Titolare.

11. Diritti dell’Interessato

L’utente, in qualità di Interessato, può esercitare in qualsiasi momento i diritti previsti dagli articoli 15-22 del GDPR:

1. Diritto di accesso (Art. 15): ottenere conferma dell’esistenza di un trattamento dei propri dati personali e accedere a tali dati.
2. Diritto di rettifica (Art. 16): ottenere la correzione di dati inesatti o l’integrazione di dati incompleti.
3. Diritto alla cancellazione – “diritto all’oblio” (Art. 17): ottenere la cancellazione dei propri dati, fatti salvi i casi in cui il Titolare sia tenuto a conservarli per legge (in particolare per gli adempimenti AML descritti nella Sezione 7).
4. Diritto di limitazione del trattamento (Art. 18): ottenere la limitazione del trattamento nei casi previsti.
5. Diritto alla portabilità dei dati (Art. 20): ricevere i propri dati in un formato strutturato, comune e leggibile da dispositivo automatico, e trasmetterli a un altro titolare.
6. Diritto di opposizione (Art. 21): opporsi al trattamento per finalità di marketing diretto in qualsiasi momento, senza necessità di motivazione, e al trattamento basato su legittimo interesse, fornendo una motivazione legata alla propria situazione particolare.
7. Diritto di non essere sottoposto a decisioni automatizzate (Art. 22): non essere sottoposto a una decisione basata unicamente su trattamento automatizzato che produca effetti giuridici. Il Titolare specifica che, sebbene utilizzi procedure automatizzate per la rilevazione di frodi e multi-account, ogni decisione che incide in modo significativo sull’utente (ad esempio sospensione dell’account o blocco di una Performance Reward) viene sempre rivista da un operatore umano prima di essere applicata in via definitiva.
8. Diritto di revoca del consenso (Art. 7.3): revocare in qualsiasi momento il consenso prestato, senza pregiudicare la liceità del trattamento effettuato in precedenza.
9. Diritto di reclamo all’Autorità di controllo (Art. 77): presentare reclamo all’Autorità competente. Per gli utenti residenti in Italia, l’autorità è il Garante per la protezione dei dati personali (www.garanteprivacy.it). Per gli utenti residenti in altri Stati membri dell’UE, è competente l’autorità dello Stato membro di residenza.

Modalità di esercizio. I diritti possono essere esercitati scrivendo a legal@thethundertrader.com. Il Titolare risponde alle richieste senza ingiustificato ritardo e comunque entro un mese dal ricevimento, prorogabile di ulteriori due mesi in casi di particolare complessità, con preventiva comunicazione all’Interessato. L’esercizio dei diritti è gratuito; il Titolare si riserva di richiedere un contributo ragionevole o di rifiutare la richiesta soltanto nei casi previsti dall’Art. 12.5 GDPR (richieste manifestamente infondate o eccessive).

Prima di dare seguito alla richiesta, il Titolare può richiedere ulteriori informazioni necessarie a confermare l’identità del richiedente.

12. Utenti residenti nel Regno Unito

Per gli utenti residenti nel Regno Unito, i diritti sopra elencati si applicano ai sensi del UK GDPR e del Data Protection Act 2018. L’autorità di controllo competente è l’Information Commissioner’s Office (ICO) (www.ico.org.uk).

Il Titolare, in quanto stabilito al di fuori del Regno Unito, non è tenuto alla nomina di un rappresentante UK ai sensi dell’Art. 27 UK GDPR salvo specifici presupposti, valutati caso per caso.

13. Utenti residenti negli Stati Uniti d’America

Come indicato nei Termini e Condizioni della piattaforma (art. 25.6), il servizio non è offerto attivamente a residenti negli Stati Uniti d’America. Gli utenti che dichiarano residenza statunitense al momento della registrazione sono soggetti a una specifica procedura di opt-out e a clausole contrattuali dedicate.

Qualora un utente residente negli Stati Uniti acceda comunque alla piattaforma, si applicano le seguenti previsioni:

• per i residenti in California, ai sensi del California Consumer Privacy Act (CCPA) come modificato dal California Privacy Rights Act (CPRA), l’utente ha diritto a: (i) conoscere quali categorie di dati personali sono raccolte e per quali finalità; (ii) richiedere la cancellazione dei propri dati; (iii) opporsi alla vendita o condivisione dei propri dati (il Titolare non vende dati personali); (iv) non essere oggetto di discriminazione per aver esercitato tali diritti
• per i residenti in altri Stati con normative privacy applicabili (Virginia, Colorado, Connecticut, Utah, e altri), si applicano i diritti previsti dalle rispettive normative

Le richieste possono essere indirizzate a legal@thethundertrader.com.

14. Misure di sicurezza

Il Titolare adotta misure tecniche e organizzative adeguate al rischio per proteggere i dati personali da accessi non autorizzati, perdita accidentale, distruzione, alterazione e divulgazione, in conformità con l’Art. 32 GDPR. Tali misure comprendono, in modo non esaustivo:

• cifratura dei dati in transito (TLS 1.2 o superiore) e a riposo (AES-256)
• segregazione logica dei dati per categoria e per finalità
• controlli di accesso basati sul principio del minimo privilegio
• autenticazione a due fattori (2FA) obbligatoria per gli account amministrativi del Titolare e per gli utenti prima della prima richiesta di Performance Reward
• log delle attività e procedure di rilevamento di anomalie
• backup periodici e procedure di disaster recovery
• formazione del personale sulla protezione dei dati e gestione delle violazioni
• contratti di Data Processing Agreement (DPA) con tutti i Responsabili del Trattamento

In caso di violazione dei dati personali (data breach) che presenti un rischio per i diritti e le libertà degli utenti, il Titolare notifica la violazione all’Autorità di controllo competente entro 72 ore dalla scoperta, e informa gli utenti interessati senza ingiustificato ritardo nei casi in cui la violazione presenti un rischio elevato.

15. Minori

Come indicato nella Sezione 2, il servizio è riservato a persone fisiche maggiorenni di età non inferiore a 18 anni. Il Titolare non raccoglie consapevolmente dati personali di minori di 18 anni.

Qualora un genitore o tutore legale ritenga che un minore abbia fornito dati personali al Titolare senza autorizzazione, è invitato a contattare immediatamente legal@thethundertrader.com per richiedere la cancellazione dei dati e la chiusura dell’eventuale account.

16. Modifiche alla presente Informativa

Il Titolare si riserva il diritto di modificare la presente Informativa in qualsiasi momento per adeguarla a:

• evoluzioni normative
• modifiche organizzative
• modifiche del servizio e dello stack tecnico
• raccomandazioni delle Autorità di controllo

In caso di modifiche sostanziali che incidano sulle finalità o sulle basi giuridiche del trattamento, il Titolare informerà preventivamente gli utenti registrati tramite email all’indirizzo associato all’account e, ove necessario, raccoglierà nuovamente il consenso.

La data dell’ultimo aggiornamento è indicata in apertura della presente Informativa. Si invitano gli utenti a consultare periodicamente la pagina per verificare eventuali modifiche.

17. Contatti

Titolare del Trattamento LN17 ShapeFuture Limited Flat D, 20/F, Eton Building 288 Des Voeux Road Central Sheung Wan, Hong Kong

Email per questioni legali e privacy legal@thethundertrader.com

Email per assistenza generale support@thethundertrader.com

Responsabile della Protezione dei Dati (DPO) In fase di designazione. Recapiti pubblicati in questa Informativa una volta nominato.

Autorità di controllo italiana Garante per la protezione dei dati personali Piazza Venezia 11, 00187 Roma www.garanteprivacy.it

18. Legge applicabile e Foro competente

La presente Informativa è disciplinata, in coordinamento con i Termini e Condizioni del servizio, secondo le previsioni in essi contenute relative a legge applicabile e foro competente.

Per gli utenti che rivestono la qualifica di consumatore residenti nell’Unione Europea, restano impregiudicate le disposizioni inderogabili a tutela del consumatore previste dall’ordinamento del paese di residenza, ivi inclusa la competenza del foro del luogo di residenza per le controversie relative ai propri diritti.

Per ogni questione relativa al trattamento dei dati personali, gli utenti residenti nell’Unione Europea possono inoltre presentare reclamo all’Autorità di controllo dello Stato membro di residenza, come previsto dall’Art. 77 GDPR.

Documento redatto in conformità con il Regolamento (UE) 2016/679 (GDPR), il UK GDPR per gli utenti del Regno Unito, le normative locali di settore applicabili e le linee guida del Comitato Europeo per la Protezione dei Dati (EDPB).