Published: 1 October 2026
TERMS AND CONDITIONS OF USE
VALENCIA HOLDING GROUP
VHG Group Digital Legal Framework — Instrument MLD-01
Master framework governing access to and use of the digital platforms of the VHG Group and its adhering entities
Version 3.0 — October 2026
Mandatory publication document — Public access
Language notice. The governing language of this instrument is Spanish. This English version is published as a courtesy translation. In the event of any discrepancy, and in particular with respect to Users domiciled in Colombia, the Spanish version prevails, in accordance with the duty to provide information in Spanish imposed by Article 24 of Colombian Law 1480 of 2011.
DOCUMENT CONTROL
Identification
| Field | Detail |
|---|
| Document | MLD-01 — Terms and Conditions of Use |
| Master document | VHG Group Digital Legal Framework (MLD-VHG) |
| Issuing entity | Valencia Holding Group — Parent Company |
| Version | 3.0 |
| Effective date | 1 October 2026 |
| Scope | Digital platforms of VHG and of the entities adhering to the MLD-VHG |
| Covered jurisdictions | United States and Colombia, extending to any other jurisdiction in which the Group may come to operate |
| Governing language | Spanish. English version available as a courtesy translation |
| Status | In force |
Version history
| Version | Date | Description | Status |
|---|
| 1.0 to 2.1 | July to September 2026 | Internal working versions. Not published. | Superseded |
| 3.0 | 1 October 2026 | First published version. Completion of controller identification, single contact channel, alignment of the governing law with the State of Delaware, trademark regime pending registration, and effectiveness with ordinary annual review. | In force |
Use notice
Nature of this instrument. This document constitutes a binding contract of adhesion between the User and the VHG Group entity operating the relevant digital platform. It must be read together with the Privacy Notice (MLD-02), the Cookie Notice (MLD-03) and the Personal Data Processing and Protection Policy (MLD-04), all of which form an integral part of these Terms. Mandatory and public-policy rules of the User's jurisdiction of residence prevail over any provision of this document.
CONTENTS
- Purpose, identification of the provider and formation of consent
- Framework architecture and scope of application
- Nature, purpose and limits of the Site
- Conditions of access and use
- Intellectual and industrial property
- Communications, confidentiality and commercial contact
- Third-party links and content
- Personal data protection
- Availability, representations and liability regime
- Information security and incidents
- Suspension and termination of access
- Amendment of the Framework
- Governing law, dispute resolution and jurisdiction
- Final provisions
- Contact channels and annexes
1. Purpose, identification of the provider and formation of consent
Every contract of adhesion requires, as a condition of validity and enforceability, that the adhering party know precisely who its counterparty is, what it is accepting, and by what means it expresses its will. This section satisfies those three requirements and provides the foundation on which the enforceability of the remainder of this document rests.
1.1 Purpose
These Terms and Conditions of Use (the "Terms") govern access to, browsing of and use of the websites, portals, applications, self-service environments and other online services (collectively, the "Site" or the "Digital Platforms") operated by Valencia Holding Group ("VHG" or the "Parent Company") and by the entities that have formally adhered to the VHG Group Digital Legal Framework (the "Adhering Entities" and, together with VHG, the "VHG Group").
1.2 Identification of the operating entity
In compliance with the disclosure duty imposed by Article 50 of Colombian Law 1480 of 2011 and equivalent standards in the other jurisdictions of operation, the entity responsible for each Digital Platform is identified as follows:
| Field | Detail |
|---|
| Corporate name of the operating entity | Valencia Holding Group LLC |
| Tax identification number (NIT / RUC / EIN) | Withheld from publication. Recorded in Annex A and disclosed to any authority so requiring |
| Principal domicile | Delaware, United States of America |
| Physical address for judicial and administrative service | Delaware, United States of America. Designated formal channel for service: info@vhg.capital |
| Contact email address | info@vhg.capital |
| Contact telephone number | Not published. Single contact channel: info@vhg.capital |
| Commercial registry / registration number | Delaware Division of Corporations. Recorded in Annex A |
| Applicable supervisory authority | United States: Federal Trade Commission. Colombia: Superintendency of Industry and Commerce |
The specific identification of each Adhering Entity and of the platform it operates is set out in Annex A — Adhering Entity Identification Sheet, published and accessible from each Digital Platform. Where a platform is operated jointly by more than one VHG Group entity, Annex A shall specify the allocation of functions and the entity responsible vis-à-vis the User.
1.3 Formation of consent and evidence of acceptance
Accessing, browsing or using the Site constitutes full and unreserved acceptance of these Terms in the version published at the time of access. Where the Site enables registration, account opening, form submission or subscription to communications, acceptance shall be obtained by means of an express affirmative action — an unchecked box, an acceptance button or an equivalent mechanism — with an electronic record of the date, time, version accepted and technical traces of the transaction.
Such expression of will constitutes a data message with full validity and evidentiary weight under Articles 5, 6, 10 and 11 of Colombian Law 527 of 1999 and Decree 2364 of 2012. The VHG Group shall retain acceptance records for the limitation period applicable to actions arising from the relationship and, in any event, for the minimum period imposed by applicable law.
1.4 Capacity and representation
By using the Site, the User represents that it has legal capacity to be bound; that it is at least eighteen (18) years of age or accesses under the authorisation and supervision of a person holding parental authority or legal representation; that, where acting on behalf of a legal entity, it holds sufficient powers of representation; and that the information it provides is truthful, complete, current and lawful.
The VHG Group does not direct its Digital Platforms to minors and does not knowingly collect their personal data. The processing of children's and adolescents' data is governed by section 5.3 of instrument MLD-04.
1.5 Rejection of these Terms
If the User does not accept these Terms, it must refrain from accessing and using the Site. Non-acceptance carries no adverse consequence other than the inability to access functionalities requiring prior acceptance.
2. Framework architecture and scope of application
The VHG Group operates under a parent-company and dependent-unit structure. That structure determines how this Framework is issued, adopted and enforced, and explains how a single body of rules can govern platforms operated by legally distinct entities. This section sets out that mechanism precisely, so that no ambiguity arises as to who is answerable to the User.
2.1 Group structure
Valencia Holding Group is the Parent Company and the issuing unit of the Digital Legal Framework. In that capacity, it defines the minimum standard of digital governance, data protection and user relations applicable across the Group.
The Adhering Entities are legally autonomous companies and business units — controlled entities, affiliates, subsidiaries or entities related to VHG — which adopt this Framework through the adhesion instrument set out in section 2.2. These include, among others, Valencia Capital Group (VCG) and Valencia Investment Group (VIG), as well as any other affiliate, subsidiary, company, brand or business unit that may in future join the Group, be incorporated by it or come under its direct or indirect control. This list is illustrative and not exhaustive: a new entity joins by executing the Deed of Adhesion under section 2.2, without any need to amend this instrument.
Adhesion does not alter the legal personality or the asset autonomy of any entity. Each Adhering Entity is individually and directly answerable to the User for the operation of its own Digital Platforms and for the processing of personal data whose purposes and means it determines. VHG does not, by the mere act of issuing this Framework, assume joint and several liability for the obligations of the Adhering Entities, except where applicable law imposes it.
2.2 Adhesion mechanism
An entity joins the Framework by executing a Deed of Adhesion signed by its legal representative, in the form set out in Annex E. The Deed of Adhesion produces the following effects:
First — Full adoption. The entity adopts the four instruments of the Framework (MLD-01 through MLD-04) as its own internal rules, subject to any mandatory jurisdictional adaptations.
Second — Identification. The entity completes and publishes its Annex A, thereby becoming fully identified to users and authorities.
Third — Functional designation. The entity designates its Data Protection Area and its contact point for the exercise of data subject rights, in accordance with section 2 of instrument MLD-04.
Fourth — Submission to governance. The entity submits to the coordination, verification and reporting functions exercised by the Group Data Protection Office, without prejudice to its legal autonomy.
Fifth — Power to supplement. The entity may issue supplements specific to its activity or jurisdiction, provided such supplements raise the standard of the Framework and neither contradict nor reduce it.
2.3 Covered Users
These Terms apply to any natural or legal person accessing the Digital Platforms, including visitors, current and prospective clients, investors and prospective investors, commercial counterparties, suppliers, contractors, candidates and any third party interacting digitally with the VHG Group.
For the purposes of the liability regime and the jurisdiction clause, a distinction is drawn between:
Consumer User. A natural or legal person who acquires, enjoys or uses a good or service to satisfy a personal, private, family or household need, and a business need where not intrinsically linked to its economic activity, within the meaning of Article 5(3) of Colombian Law 1480 of 2011 or the equivalent rule in its jurisdiction. Such User enjoys the mandatory protections of consumer law, which prevail over any provision of this document to the contrary.
Professional User. A person accessing the Site in the course of its business, professional or institutional activity, in respect of whom the principle of freedom of contract applies, subject to public-policy limits.
2.4 Order of precedence
In the event of conflict between provisions, the following descending order of precedence applies, from which no derogation is permitted:
| Order | Source | Scope |
|---|
| 1 | Mandatory and public-policy rules of the User's jurisdiction of residence or domicile | Always prevail in full |
| 2 | Applicable Jurisdictional Supplement (Annex B) | Adapts the Framework to each legal system |
| 3 | Adhering Entity supplement | Only where it raises the Framework standard |
| 4 | MLD-VHG master framework (MLD-01 to MLD-04) | Group minimum standard |
In the event of conflict between the instruments of the Framework: MLD-04 prevails on matters of personal data; MLD-03 prevails on matters of cookies and tracking technologies; MLD-01 prevails on contractual and use-related matters.
3. Nature, purpose and limits of the Site
The functional delimitation of the Site is not a stylistic formality: it defines the applicable regulatory perimeter and, consequently, the obligations that the VHG Group assumes and those it expressly does not. This section fixes that perimeter precisely.
3.1 Purpose of the Site
The Site is intended exclusively to:
● Disseminate corporate, institutional and informational content of the VHG Group.
● Describe business lines, capabilities, track record and organisational structure.
● Enable channels for contact, enquiry and the initiation of relationships.
● Publish institutional information addressed to investors and stakeholders, on a strictly informational basis.
3.2 Express exclusion of offer, solicitation and advice
The Site does not constitute, and may not be construed as, a commercial offer within the meaning of Article 845 of the Colombian Commercial Code, an invitation to treat, a promise of contract, a solicitation of investment, a public offering of securities, or financial, tax, accounting, legal or investment advice, or any personalised recommendation whatsoever.
No information published on the Site creates any obligation, binding relationship or legitimate expectation for the VHG Group. Legal relationships with the VHG Group arise solely from autonomous, express, written contractual instruments executed by a legal representative holding sufficient powers.
In particular, and without limiting the foregoing:
In Colombia, no communication on the Site constitutes a public offering of securities within the meaning of Article 6.1.1.1.1 of Decree 2555 of 2010 and Law 964 of 2005, nor an activity subject to authorisation by the Financial Superintendency of Colombia, nor advice to a financial consumer under Law 1328 of 2009.
In any other jurisdiction from which the Site is accessed, no communication constitutes a public offering of securities, an invitation to invest, or an activity subject to authorisation, licensing or registration before any authority.
In the United States, no content on the Site constitutes an offer to sell or a solicitation of an offer to buy securities under the Securities Act of 1933 or the Securities Exchange Act of 1934.
Where an Adhering Entity enables transactional, subscription or online onboarding functionality, such functionality shall be subject to a specific supplement and to the applicable sector-specific regulation, and shall not be deemed covered by this exclusion.
3.3 Currency and accuracy of information
Information published corresponds to the date of its publication and may be modified without prior notice. The VHG Group makes reasonable efforts to keep it accurate and current but does not warrant that it is free from error, omission or obsolescence. Figures, projections, estimates and forward-looking statements are illustrative, rest on assumptions valid at the time of preparation and do not constitute a guarantee of future results.
4. Conditions of access and use
Access to the Site is granted under a limited licence whose scope should be stated precisely, both to define what the User may do and to characterise clearly the conduct that triggers suspension of access and, where applicable, legal action.
4.1 Licence of use
The VHG Group grants the User a limited, personal, revocable, non-transferable, non-exclusive and non-sublicensable licence to access the Site and view its content for informational and legitimate relationship purposes. This licence entails no transfer of intellectual or industrial property rights.
4.2 User obligations
The User undertakes to use the Site in accordance with the law, the good faith required in the performance of any contract under Articles 1603 of the Colombian Civil Code and 871 of the Colombian Commercial Code, public policy and accepted standards of conduct; to provide truthful information; to safeguard its access credentials and immediately report any unauthorised use; and to refrain from the conduct described in section 4.3.
4.3 Prohibited conduct
The following conduct is expressly prohibited, among others:
Unauthorised access and manipulation. Accessing or remaining on the Site or any of its systems without authorisation or exceeding the authorisation granted; breaching, circumventing or attempting to circumvent security, authentication or access-control measures.
Interference with operation. Obstructing, overloading, interrupting or degrading the functioning of the Site, its servers or its networks, including denial-of-service attacks.
Interception and extraction of data. Intercepting communications, capturing traffic, or extracting, copying or disclosing data hosted on the Site.
Introduction of harmful code. Uploading, transmitting or disseminating viruses, malicious programs or any code intended to damage, alter or take control of systems or data.
Automated extraction. Using robots, spiders, crawlers, scraping techniques, reverse engineering or any automated method of mass content extraction, and using Site content for the training, fine-tuning or feeding of artificial intelligence systems, without the prior express written authorisation of the VHG Group.
Impersonation and fraud. Impersonating persons or entities, misrepresenting an association with the VHG Group, creating sites or communications that mislead as to their origin, or using the Site for fraudulent purposes.
Harmful use. Using the Site to disseminate unlawful, defamatory or discriminatory content or content harmful to third-party rights, or to cause reputational harm to the VHG Group.
Notice of criminal consequences. In Colombia, the conduct described above may constitute the criminal offences set out in Law 1273 of 2009, including abusive access to a computer system (Art. 269A), unlawful obstruction of a computer system or telecommunications network (Art. 269B), interception of computer data (Art. 269C), computer damage (Art. 269D), use of malicious software (Art. 269E), breach of personal data (Art. 269F) and website spoofing to capture personal data (Art. 269G). The VHG Group reserves the right to pursue all applicable criminal, civil and administrative actions.
4.4 Accounts and credentials
Where the Site enables user accounts, credentials are personal and non-transferable. The User is responsible for operations executed using its credentials, unless it demonstrates unauthorised use previously notified to the VHG Group. The VHG Group may require enhanced authentication mechanisms and periodic credential renewal.
5. Intellectual and industrial property
Protecting the VHG Group's intangible assets requires identifying precisely the legal regime underpinning that protection in each jurisdiction and the actual scope of the rights invoked, avoiding assertions that exceed what is effectively registered or protected.
5.1 Ownership
All Site content — text, designs, graphics, photographs, logos, trademarks, trade names, business signs, databases, software, source and object code, audiovisual materials, methodologies and technical documentation — is owned by the VHG Group or licensed to it by its rightful owners.
5.2 Applicable legal regime
These rights are protected, as applicable, by:
● Colombia and the Andean Community: Andean Decision 486 of 2000 (Common Industrial Property Regime), Andean Decision 351 of 1993 (Common Regime on Copyright and Related Rights), Law 23 of 1982, Law 1915 of 2018, and Law 1581 of 2012 in respect of databases containing personal data.
● Other jurisdictions: the industrial property and copyright rules applicable in each territory where the Group operates or registers its distinctive signs.
● United States: the Copyright Act (17 U.S.C.), the Lanham Act (15 U.S.C. § 1051 et seq.) and the Defend Trade Secrets Act.
● International instruments: the Berne Convention, the Paris Convention and the TRIPS Agreement.
Clarification regarding distinctive signs. Colombia and the Andean Community operate an attributive system: the exclusive right to a trademark is acquired by registration before the competent national office, in accordance with Article 154 of Andean Decision 486 of 2000.
Current registration status. As at the publication date of this instrument, the VHG Group's distinctive signs are pending registration. Accordingly, the VHG Group does not assert in respect of them any trademark exclusivity not yet constituted, and reserves only such actions for unfair competition and undue exploitation of another's reputation as may be available. This does not affect copyright in the Site's content, text, designs and software, which arises upon creation of the work and requires no registration under Article 52 of Andean Decision 351 of 1993. The status of registrations is updated in Annex A.
5.3 Reservation of rights
No licence, assignment or authorisation is granted to the User other than that provided in section 4.1. Reproduction, distribution, public communication, transformation, decompilation, substantial extraction from databases and any commercial exploitation of the content without prior written authorisation are expressly prohibited.
5.4 Notification of infringements
A rightsholder who considers that its intellectual property has been infringed by content published on the Site may notify the VHG Group through the channels in section 15, identifying the right invoked, the allegedly infringing content, its exact location and the claimant's contact details. The VHG Group shall assess the request and adopt such measures as may be appropriate within a reasonable period, without this implying any acknowledgment of liability.
6. Communications, confidentiality and commercial contact
The Site is a channel for receiving communications whose treatment must be clearly delimited, both to protect the User's sensitive information and to define the limits within which the VHG Group may send commercial communications.
6.1 Communications submitted by the User
Information submitted by the User through forms, emails or Site channels shall be processed in accordance with instruments MLD-02 and MLD-04. The VHG Group advises against sending sensitive, confidential, privileged or restricted information through unencrypted channels and does not guarantee the confidentiality of unsolicited information transmitted by open means.
The submission of unsolicited information does not create a contractual, pre-contractual, agency or confidentiality relationship, unless expressly agreed otherwise.
6.2 Trade secrets
Information that the VHG Group identifies as restricted and that meets the requirements of Articles 260 to 266 of Andean Decision 486 of 2000 constitutes a trade secret. Any User gaining access to it, on whatever basis, undertakes not to disclose, exploit or use it for its own benefit or that of third parties.
6.3 Commercial communications
Sending commercial, promotional or informational communications requires the recipient's prior, express and informed authorisation, granted in accordance with instruments MLD-02 and MLD-04. The User may withdraw such authorisation at any time, free of charge, through the same channel by which it was granted or through any of the channels in section 15.
Special rule for Colombia. Contact with consumers is subject to Law 2300 of 2023. Accordingly, contact shall be made only through channels authorised by the consumer and within permitted hours — Monday to Friday from 7:00 to 19:00 and Saturdays from 8:00 to 15:00, with contact prohibited on Sundays and public holidays — respecting the statutory frequency limits and immediately honouring any request not to be contacted.
7. Third-party links and content
The Site may incorporate links, embedded content or functionalities provided by third parties. The VHG Group does not control, monitor, adopt or endorse such content and assumes no responsibility for its accuracy, lawfulness or availability, or for the privacy practices of its operators. Access to third-party resources is at the User's own risk, and the User should review the terms and policies governing each of them.
The presence of a link does not imply association, sponsorship, recommendation or any connection between the VHG Group and the third party.
8. Personal data protection
The processing of personal data carried out through the Digital Platforms is governed in full by:
● MLD-02 — Privacy Notice
● MLD-03 — Cookie and Similar Technologies Notice
● MLD-04 — Personal Data Processing and Protection Policy
Those instruments form an integral part of these Terms. On matters of personal data, their provisions prevail over this document.
The VHG Group processes personal data on the basis of the data subject's prior, express and informed authorisation, in accordance with Article 9 of Colombian Law 1581 of 2012, save in the cases expressly excepted by Article 10 of that law or by the equivalent rule in the applicable jurisdiction.
9. Availability, representations and liability regime
Every exclusion clause has limits that the legal system imposes mandatorily. Drafting such a clause without acknowledging those limits exposes it to total ineffectiveness. This section sets out the actual scope of the VHG Group's representations and of the liability exclusions that are effectively enforceable.
9.1 Availability
The Site is offered on a reasonable-availability basis. The VHG Group may temporarily suspend access for maintenance, updating, security or technical reasons, seeking to minimise impact and, where feasible, giving prior notice.
9.2 Scope of representations
The VHG Group does not warrant that the Site will operate uninterrupted or error-free, or that its content is exhaustive or fit for any particular purpose of the User. These representations are made to the extent permitted by applicable law.
9.3 Limitation of liability and its mandatory limits
To the extent permitted by law, the VHG Group shall not be liable for indirect damages, loss of profits, loss of business opportunity or loss of data arising from the use of, or inability to use, the Site.
Mandatory limits of this clause. This limitation does not apply and shall be deemed unwritten in the following cases: (i) damage caused by wilful misconduct or gross negligence of the VHG Group, in accordance with Article 1522 of the Colombian Civil Code; (ii) damage to life, physical integrity or health; (iii) with respect to Consumer Users in Colombia, to the extent that clauses limiting the supplier's liability, reversing the burden of proof or implying a waiver of consumer rights are null and void by operation of law under Article 43 of Law 1480 of 2011; and (iv) in any other case in which the mandatory law of the User's jurisdiction precludes exclusion.
9.4 Force majeure and fortuitous event
The VHG Group shall not be liable for non-performance arising from force majeure or fortuitous event, as defined in Article 64 of the Colombian Civil Code and the equivalent rule in each jurisdiction, including generalised telecommunications infrastructure failures, third-party cyberattacks exceeding reasonably required security measures, acts of authority and natural disasters.
10. Information security and incidents
The VHG Group implements administrative, technical and physical measures designed to preserve the confidentiality, integrity, availability and traceability of information handled through the Site, proportionate to the risk, the nature of the data and the state of the art.
The User undertakes to report immediately, through the channels in section 15, any vulnerability, incident or unauthorised use of which it becomes aware. The good-faith reporting of vulnerabilities shall not give rise to action against the reporter, provided the reporter has refrained from exploiting the vulnerability, from accessing third-party data and from disclosing it prior to remediation.
The management of incidents affecting personal data, including reporting to supervisory authorities, is governed by section 15 of instrument MLD-04.
11. Suspension and termination of access
The VHG Group may restrict, suspend or terminate a User's access where a breach of these Terms is established, where required by a legal or regulatory obligation or an order of a competent authority, or where duly identified operational or security risks arise.
Any such measure shall be proportionate to the conduct giving rise to it and, unless security reasons, an order of authority or imminent risk require immediate action, shall be preceded by a communication to the User stating the cause and affording an opportunity to respond. Termination does not affect obligations already accrued or the data subject's rights in respect of personal data.
12. Amendment of the Framework
The power to amend a contract of adhesion unilaterally is subject to strict limits. An amendment regime that presumes the User's consent from silence is abusive and, in matters of personal data, contravenes the purpose limitation principle. This section establishes a procedure that preserves the VHG Group's ability to update the Framework without incurring those defects.
12.1 Amendment procedure
The VHG Group may amend these Terms and the other instruments of the Framework. Amendments are subject to the following regime:
Non-substantial amendments — formal corrections, drafting clarifications, updates to contact details or regulatory references — take effect upon publication on the Site, with visible indication of the update date.
Substantial amendments — those altering the subject matter, the rights or obligations of the parties, the liability regime, the governing law or the jurisdiction — shall be communicated to registered Users at least fifteen (15) business days before taking effect, through the contact channel provided by the User, and shall be prominently published on the Site.
Amendments affecting the processing of personal data. Where an amendment entails a change in the purpose of processing, in the categories of data processed or in the recipients, fresh authorisation from the data subject shall be required, with prior notice in accordance with section 7 of instrument MLD-04. The data subject's silence shall not be construed as acceptance.
12.2 User's right
A User who does not accept a substantial amendment may cease using the Site, request the cancellation of its account and exercise its rights of erasure and withdrawal of authorisation, at no cost and without penalty.
12.3 Version control
Each instrument of the Framework identifies its version and effective date. The VHG Group shall keep prior versions accessible for the applicable limitation periods.
13. Governing law, dispute resolution and jurisdiction
The determination of the governing law and the competent court admits neither indeterminacy nor subjection to the unilateral will of one party. This section adopts a tiered regime that respects freedom of contract where the legal system permits it and recognises mandatory competences where these are imposed.
13.1 General rule
Save as provided in the following sections, these Terms are governed by and construed in accordance with the laws of the State of Delaware, United States of America — the jurisdiction of incorporation of Valencia Holding Group LLC — excluding its conflict-of-laws rules, and disputes shall be submitted to the competent courts of that State.
13.2 Special rule for Users in Colombia
For Users domiciled or resident in Colombia, these Terms are governed by Colombian law and disputes are submitted to the jurisdiction of the competent Colombian courts under the rules of the General Procedural Code.
This rule is adopted in recognition that:
● Article 869 of the Colombian Commercial Code provides that the performance of contracts entered into abroad but to be performed in Colombia shall be governed by Colombian law.
● Article 4 of Law 1480 of 2011 confers public-policy status on consumer protection rules, whose application cannot be displaced by agreement of the parties.
● Article 43(5) of Law 1480 of 2011 renders null and void by operation of law any clause compelling the consumer to resort to a person or court other than the competent one.
● Law 1581 of 2012 and its implementing decrees are public-policy rules of mandatory territorial application.
The Consumer User retains, in all cases, the right to apply to the Superintendency of Industry and Commerce in the exercise of its judicial powers under Article 58 of Law 1480 of 2011, and to that authority's Delegate Office for the Protection of Personal Data on matters of personal data.
13.3 Special rule for Users in other jurisdictions
For Users domiciled or resident in jurisdictions other than the foregoing, the mandatory consumer protection and data protection rules of their place of residence shall apply with precedence over the general rule in section 13.1, and the User retains the right to apply to the competent supervisory authority in their territory.
13.4 Pre-litigation mechanisms
Before resorting to judicial proceedings, the parties shall seek to resolve their differences through direct negotiation for a period of thirty (30) calendar days from the written notice of the dispute. This requirement does not suspend limitation or lapse periods, is not enforceable against a Consumer User, and does not limit either party's right to seek interim relief.
14. Final provisions
Entire agreement. These Terms, together with instruments MLD-02, MLD-03 and MLD-04 and their annexes, constitute the entire agreement between the parties regarding use of the Site.
Severability. The invalidity, illegality or unenforceability of any provision shall not affect the validity of the remainder, which shall remain in full force. The affected provision shall be deemed replaced by the valid provision that most closely approximates its economic and legal purpose.
No waiver. Forbearance or the non-exercise of a right by the VHG Group does not constitute a waiver of that right or of its future exercise.
Assignment. The User may not assign its contractual position without the prior written authorisation of the VHG Group. The VHG Group may assign its position to another Group entity or to a successor by reason of corporate reorganisation, notifying the User and fully preserving its rights, in particular those relating to personal data.
Notices. Notices to the VHG Group shall be addressed to the physical address and email address stated in Annex A. Notices to the User shall be sent to the contact details provided by the User, who bears the burden of keeping them current.
Language and versions. The governing language of this instrument is Spanish. The English version is published as a courtesy translation. In the event of discrepancy, and in particular with respect to Users domiciled in Colombia, the Spanish version prevails, in view of the duty to provide information in Spanish imposed by Article 24 of Law 1480 of 2011.
Headings. Titles and headings are included solely for ease of reading and do not affect the construction of the clauses.
Effectiveness and review. These Terms take effect upon publication at https://vhg.capital, on the date stated in the Document Control block, and remain in force until superseded by a later version. The VHG Group subjects them to ordinary review on 1 January each year and to extraordinary review upon any regulatory change, corporate reorganisation or addition of functionality that so warrants.
15. Contact channels and annexes
15.1 Contact channels
| Subject | Channel |
|---|
| General and relationship enquiries | info@vhg.capital |
| Exercise of personal data rights | info@vhg.capital |
| Group Data Protection Office | info@vhg.capital |
| Reporting of incidents and vulnerabilities | info@vhg.capital |
| Notification of intellectual property infringement | info@vhg.capital |
| Judicial and administrative service | Delaware, United States of America — info@vhg.capital |
15.2 Framework annexes
| Annex | Title | Status |
|---|
| A | Adhering Entity Identification Sheet | Issued and published |
| B | Jurisdictional Supplements | Incorporated in section 21 of MLD-04 |
| C | Inventory of Cookies and Similar Technologies | Incorporated in section 6 of MLD-03 |
| D | Register of Databases, Purposes and Retention | Issued — internal document |
| E | Model Deed of Adhesion to the MLD-VHG | Issued — pending execution by VCG and VIG |
| F | Intragroup Personal Data Transmission Master Agreement | Activated upon the first formal adhesion |
| G | Contact Form Authorisation | Issued and applied on the Site |
END OF INSTRUMENT MLD-01
Valencia Holding Group — VHG Group Digital Legal Framework
MLD-01 — Terms and Conditions of Use | Version 3.0 | Governing language: Spanish
Publicado: 1 de octubre de 2026
TÉRMINOS Y CONDICIONES DE USO
VALENCIA HOLDING GROUP
Marco Legal Digital del Grupo VHG — Instrumento MLD-01
Marco maestro de condiciones de acceso y uso de las plataformas digitales del Grupo VHG y de sus entidades adherentes
Versión 3.0 — Octubre de 2026
Documento de publicación obligatoria — Acceso público
CONTROL DEL DOCUMENTO
Identificación
| Campo | Detalle |
|---|
| Documento | MLD-01 — Términos y Condiciones de Uso |
| Documento maestro | Marco Legal Digital del Grupo VHG (MLD-VHG) |
| Entidad emisora | Valencia Holding Group — Casa Matriz |
| Versión | 3.0 |
| Fecha de entrada en vigencia | 1 de octubre de 2026 |
| Alcance | Plataformas digitales de VHG y de las entidades adherentes al MLD-VHG |
| Jurisdicciones cubiertas | Estados Unidos y Colombia, con extensión a las demás jurisdicciones donde el Grupo llegue a operar |
| Idioma rector | Español (castellano). Versión en inglés disponible como traducción de cortesía |
| Estado | Vigente |
Historial de versiones
| Versión | Fecha | Descripción | Estado |
|---|
| 1.0 a 2.1 | Julio a septiembre de 2026 | Versiones internas de trabajo. No publicadas. | Sustituidas |
| 3.0 | 1 de octubre de 2026 | Primera versión publicada. Diligenciamiento de la identificación del Responsable, canal único de contacto, ajuste de la ley aplicable al Estado de Delaware, régimen de marcas en trámite y vigencia con revisión ordinaria anual. | Vigente |
Advertencia de uso
Naturaleza del instrumento. Este documento constituye un contrato de adhesión de carácter vinculante entre el Usuario y la entidad del Grupo VHG que opera la plataforma digital respectiva. Debe leerse conjuntamente con el Aviso de Privacidad (MLD-02), el Aviso de Cookies (MLD-03) y la Política de Tratamiento de la Información y Protección de Datos Personales (MLD-04), instrumentos que forman parte integral de estos Términos. Las normas imperativas y de orden público de la jurisdicción de residencia del Usuario prevalecen sobre cualquier disposición de este documento.
CONTENIDO
- Objeto, identificación del proveedor y formación del consentimiento
- Arquitectura del Marco y ámbito de aplicación
- Naturaleza, finalidad y límites del Sitio
- Condiciones de acceso y uso
- Propiedad intelectual e industrial
- Comunicaciones, confidencialidad y contacto comercial
- Enlaces y contenidos de terceros
- Protección de datos personales
- Disponibilidad, declaraciones y régimen de responsabilidad
- Seguridad de la información e incidentes
- Suspensión y terminación del acceso
- Modificación del Marco
- Ley aplicable, solución de controversias y jurisdicción
- Disposiciones finales
- Canales de contacto y anexos
1. Objeto, identificación del proveedor y formación del consentimiento
Todo instrumento contractual de adhesión requiere, como presupuesto de validez y de oponibilidad, que el adherente conozca con precisión quién es su contraparte, cuál es el objeto de lo que acepta y por qué medio manifiesta su voluntad. Esta sección satisface esos tres presupuestos y constituye el fundamento sobre el cual descansa la exigibilidad del resto del documento.
1.1 Objeto
Estos Términos y Condiciones de Uso (los "Términos") regulan el acceso, la navegación y la utilización de los sitios web, portales, aplicaciones, ambientes de autoservicio y demás servicios en línea (conjuntamente, el "Sitio" o las "Plataformas Digitales") operados por Valencia Holding Group ("VHG" o la "Casa Matriz") y por las entidades que se han adherido formalmente al Marco Legal Digital del Grupo VHG (las "Entidades Adherentes" y, conjuntamente con VHG, el "Grupo VHG").
1.2 Identificación de la entidad proveedora
En cumplimiento del deber de información que impone el artículo 50 de la Ley 1480 de 2011 y de los estándares equivalentes en las demás jurisdicciones de operación, la entidad responsable de cada Plataforma Digital se identifica de la siguiente manera:
| Campo | Detalle |
|---|
| Razón social de la entidad operadora | Valencia Holding Group LLC |
| Número de identificación tributaria (NIT / RUC / EIN) | Reservado. Consta en el Anexo A y se suministra a la autoridad que lo requiera |
| Domicilio principal | Delaware, Estados Unidos de América |
| Dirección física de notificación judicial y administrativa | Delaware, Estados Unidos de América. Canal formal de notificación designado: info@vhg.capital |
| Correo electrónico de contacto | info@vhg.capital |
| Teléfono de contacto | No se publica. Canal único de contacto: info@vhg.capital |
| Registro mercantil / matrícula | Registro de sociedades del Estado de Delaware. Consta en el Anexo A |
| Autoridad de control aplicable | Estados Unidos: Federal Trade Commission. Colombia: Superintendencia de Industria y Comercio |
La identificación específica de cada Entidad Adherente y de la plataforma que opera consta en el Anexo A — Ficha de Identificación de la Entidad Adherente, publicado y accesible desde cada Plataforma Digital. En caso de que una plataforma sea operada conjuntamente por más de una entidad del Grupo VHG, el Anexo A precisará el reparto de funciones y la entidad responsable frente al Usuario.
1.3 Formación del consentimiento y prueba de la aceptación
El acceso, la navegación o la utilización del Sitio implican la aceptación plena y sin reservas de estos Términos en la versión publicada al momento del acceso. Cuando el Sitio habilite registro, apertura de cuenta, envío de formularios o suscripción a comunicaciones, la aceptación se recabará mediante manifestación afirmativa expresa —casilla no premarcada, botón de aceptación o mecanismo equivalente— con registro electrónico de fecha, hora, versión aceptada y trazas técnicas de la operación.
Dicha manifestación constituye mensaje de datos con plena validez y fuerza probatoria conforme a los artículos 5, 6, 10 y 11 de la Ley 527 de 1999 y al Decreto 2364 de 2012. El Grupo VHG conservará los registros de aceptación por el término de prescripción de las acciones derivadas de la relación y, en todo caso, por el término mínimo que imponga la normativa aplicable.
1.4 Capacidad y representación
Al utilizar el Sitio, el Usuario declara que cuenta con capacidad legal para obligarse; que es mayor de dieciocho (18) años o accede bajo autorización y supervisión de quien ejerce la patria potestad o representación legal; que, cuando actúa en nombre de una persona jurídica, cuenta con facultades suficientes de representación; y que la información que suministra es veraz, completa, actualizada y lícita.
El Grupo VHG no dirige sus Plataformas Digitales a menores de edad ni recaba deliberadamente sus datos personales. El tratamiento de datos de niños, niñas y adolescentes se rige por lo previsto en el numeral 5.3 del instrumento MLD-04.
1.5 Rechazo de los Términos
Si el Usuario no acepta estos Términos, debe abstenerse de acceder al Sitio y de utilizarlo. La no aceptación no genera consecuencia adversa alguna distinta de la imposibilidad de acceder a las funcionalidades que requieren aceptación previa.
2. Arquitectura del Marco y ámbito de aplicación
El Grupo VHG opera bajo una estructura de casa matriz y unidades dependientes. Esa estructura determina cómo se emite, se adopta y se hace exigible este Marco, y explica por qué un mismo cuerpo normativo puede regir plataformas operadas por entidades jurídicamente distintas. Esta sección precisa ese mecanismo para evitar cualquier ambigüedad sobre quién responde frente al Usuario.
2.1 Estructura del Grupo
Valencia Holding Group es la Casa Matriz y la unidad emisora del Marco Legal Digital. En tal condición, define el estándar mínimo de gobernanza digital, protección de datos y relacionamiento con usuarios que rige para todo el Grupo.
Las Entidades Adherentes son sociedades y unidades de negocio jurídicamente autónomas, controladas, filiales, subsidiarias o vinculadas a VHG, que adoptan este Marco mediante el instrumento de adhesión previsto en el numeral 2.2. Se encuentran comprendidas, entre otras, Valencia Capital Group (VCG) y Valencia Investment Group (VIG), así como cualquier otra filial, subsidiaria, sociedad, marca o unidad de negocio que en el futuro se incorpore al Grupo, sea constituida por este o quede bajo su control, directo o indirecto. Este listado es meramente enunciativo y no taxativo: la incorporación de una nueva entidad se perfecciona mediante el Acta de Adhesión del numeral 2.2, sin que sea necesario modificar este instrumento.
La adhesión no altera la personalidad jurídica ni la autonomía patrimonial de cada entidad. Cada Entidad Adherente responde de manera individual y directa frente al Usuario por la operación de sus propias Plataformas Digitales y por el tratamiento de los datos personales cuyas finalidades y medios determina. VHG no asume, por el solo hecho de emitir este Marco, responsabilidad solidaria por las obligaciones de las Entidades Adherentes, salvo en los supuestos en que la ley aplicable la imponga.
2.2 Mecanismo de adhesión
La incorporación de una entidad al Marco se perfecciona mediante Acta de Adhesión suscrita por el representante legal de la entidad respectiva, conforme al modelo del Anexo E. El Acta de Adhesión produce los siguientes efectos:
Primero — Adopción integral. La entidad adopta los cuatro instrumentos del Marco (MLD-01 a MLD-04) como normativa propia, con las adaptaciones jurisdiccionales que resulten imperativas.
Segundo — Identificación. La entidad diligencia y publica su Anexo A, quedando plenamente identificada frente a usuarios y autoridades.
Tercero — Designación funcional. La entidad designa su Área de Protección de Datos y su punto de contacto para el ejercicio de derechos, conforme al numeral 2 del instrumento MLD-04.
Cuarto — Sujeción a gobernanza. La entidad se somete a las funciones de coordinación, verificación y reporte que ejerce la Oficialía de Protección de Datos del Grupo, sin perjuicio de su autonomía jurídica.
Quinto — Facultad de suplementar. La entidad puede emitir suplementos específicos para su actividad o jurisdicción, siempre que eleven el estándar del Marco y no lo contradigan ni lo reduzcan.
2.3 Usuarios cubiertos
Estos Términos aplican a toda persona natural o jurídica que acceda a las Plataformas Digitales, incluyendo visitantes, clientes actuales y potenciales, inversionistas y potenciales inversionistas, contrapartes comerciales, proveedores, contratistas, candidatos y cualquier tercero que interactúe digitalmente con el Grupo VHG.
Para efectos del régimen de responsabilidad y de la cláusula de jurisdicción, se distingue entre:
Usuario Consumidor. Persona natural o jurídica que adquiere, disfruta o utiliza un bien o servicio para la satisfacción de una necesidad propia, privada, familiar o doméstica y empresarial cuando no esté ligada intrínsecamente a su actividad económica, en los términos del numeral 3 del artículo 5 de la Ley 1480 de 2011 o de la norma equivalente en su jurisdicción. A este Usuario le asisten las protecciones imperativas del estatuto de consumo, que prevalecen sobre cualquier estipulación en contrario de este documento.
Usuario Profesional. Persona que accede en el marco de su actividad empresarial, profesional o institucional, y respecto de quien rige el principio de autonomía de la voluntad con los límites del orden público.
2.4 Regla de prelación normativa
En caso de conflicto entre disposiciones, se aplicará el siguiente orden descendente de prevalencia, del cual no cabe pacto en contrario:
| Orden | Fuente | Alcance |
|---|
| 1 | Normas imperativas y de orden público de la jurisdicción de residencia o domicilio del Usuario | Prevalecen siempre y en su integridad |
| 2 | Suplemento Jurisdiccional aplicable (Anexo B) | Adapta el Marco a cada ordenamiento |
| 3 | Suplemento de la Entidad Adherente | Solo si eleva el estándar del Marco |
| 4 | Marco maestro MLD-VHG (MLD-01 a MLD-04) | Estándar mínimo del Grupo |
En caso de conflicto entre los instrumentos del Marco: en materia de datos personales prevalece el MLD-04; en materia de cookies y tecnologías de seguimiento prevalece el MLD-03; en materia contractual y de uso prevalece el MLD-01.
3. Naturaleza, finalidad y límites del Sitio
La delimitación funcional del Sitio no es una formalidad de estilo: es el elemento que define el perímetro regulatorio aplicable y, por tanto, las obligaciones que el Grupo VHG asume y las que expresamente no asume. Esta sección fija ese perímetro con precisión.
3.1 Finalidad del Sitio
El Sitio tiene por objeto exclusivo:
● Divulgar contenido corporativo, institucional e informativo del Grupo VHG.
● Describir líneas de negocio, capacidades, trayectoria y estructura organizacional.
● Habilitar canales de contacto, consulta e inicio de relacionamiento.
● Publicar información institucional dirigida a inversionistas y grupos de interés, con carácter estrictamente informativo.
3.2 Exclusión expresa de oferta, solicitación y asesoría
El Sitio no constituye, ni puede ser interpretado como, oferta mercantil en los términos del artículo 845 del Código de Comercio, invitación a ofrecer, promesa de contrato, solicitación de inversión, oferta pública de valores, asesoría financiera, tributaria, contable, legal o de inversión, ni recomendación personalizada de ninguna naturaleza.
Ninguna información publicada en el Sitio genera obligación, vínculo o expectativa legítima para el Grupo VHG. Las relaciones jurídicas con el Grupo VHG únicamente nacen de instrumentos contractuales autónomos, expresos, escritos y suscritos por representante legal con facultades suficientes.
En particular, y sin limitar lo anterior:
En Colombia, ninguna comunicación del Sitio constituye oferta pública de valores en los términos del artículo 6.1.1.1.1 del Decreto 2555 de 2010 y de la Ley 964 de 2005, ni actividad sujeta a autorización de la Superintendencia Financiera de Colombia, ni asesoría al consumidor financiero conforme a la Ley 1328 de 2009.
En las demás jurisdicciones desde las que se acceda al Sitio, ninguna comunicación constituye oferta pública de valores, invitación a invertir ni actividad sujeta a autorización, licencia o registro ante autoridad alguna.
En los Estados Unidos, ningún contenido del Sitio constituye oferta de venta ni solicitación de oferta de compra de valores conforme al Securities Act de 1933 y al Securities Exchange Act de 1934.
Cuando una Entidad Adherente habilite funcionalidades transaccionales, de suscripción o de vinculación en línea, dicha funcionalidad quedará sometida a un suplemento específico y a la normativa sectorial que corresponda, y no se entenderá amparada por esta exclusión.
3.3 Vigencia y exactitud de la información
La información publicada corresponde a la fecha de su publicación y puede modificarse sin aviso previo. El Grupo VHG realiza esfuerzos razonables para mantenerla exacta y actualizada, pero no garantiza que se encuentre libre de errores, omisiones o desactualización. Las cifras, proyecciones, estimaciones y declaraciones prospectivas tienen carácter ilustrativo, se basan en supuestos vigentes al momento de su elaboración y no constituyen garantía de resultados futuros.
4. Condiciones de acceso y uso
El acceso al Sitio se concede bajo una licencia limitada cuyo alcance conviene precisar, tanto para delimitar lo que el Usuario puede hacer como para tipificar con claridad las conductas que habilitan la suspensión del acceso y, en su caso, el ejercicio de acciones legales.
4.1 Licencia de uso
El Grupo VHG otorga al Usuario una licencia limitada, personal, revocable, intransferible, no exclusiva y no sublicenciable para acceder al Sitio y visualizar su contenido con fines informativos y de relacionamiento legítimo. Esta licencia no comporta transferencia alguna de derechos de propiedad intelectual o industrial.
4.2 Obligaciones del Usuario
El Usuario se obliga a utilizar el Sitio conforme a la ley, la buena fe exigible en la ejecución de todo contrato según los artículos 1603 del Código Civil y 871 del Código de Comercio, el orden público y las buenas costumbres; a suministrar información veraz; a custodiar sus credenciales de acceso y notificar de inmediato cualquier uso no autorizado; y a abstenerse de las conductas descritas en el numeral 4.3.
4.3 Conductas prohibidas
Quedan expresamente prohibidas, entre otras, las siguientes conductas:
Acceso y manipulación no autorizados. Acceder o mantenerse en el Sitio o en cualquiera de sus sistemas sin autorización o excediendo la concedida; vulnerar, eludir o intentar eludir medidas de seguridad, autenticación o control de acceso.
Interferencia con la operación. Obstaculizar, sobrecargar, interrumpir o degradar el funcionamiento del Sitio, sus servidores o sus redes, incluyendo ataques de denegación de servicio.
Interceptación y sustracción de datos. Interceptar comunicaciones, capturar tráfico o sustraer, copiar o divulgar datos alojados en el Sitio.
Introducción de código dañino. Cargar, transmitir o difundir virus, programas maliciosos o cualquier código destinado a dañar, alterar o tomar control de sistemas o datos.
Extracción automatizada. Emplear robots, arañas, rastreadores, técnicas de scraping, ingeniería inversa o cualquier método automatizado de extracción masiva de contenido, así como utilizar el contenido del Sitio para el entrenamiento, ajuste o alimentación de sistemas de inteligencia artificial, sin autorización previa, expresa y escrita del Grupo VHG.
Suplantación y fraude. Suplantar la identidad de personas o entidades, falsear la vinculación con el Grupo VHG, crear sitios o comunicaciones que induzcan a error sobre su origen, o utilizar el Sitio con fines fraudulentos.
Uso lesivo. Emplear el Sitio para difundir contenido ilícito, difamatorio, discriminatorio o lesivo de derechos de terceros, o para causar daño reputacional al Grupo VHG.
Advertencia de consecuencias penales. En Colombia, las conductas descritas en los literales anteriores pueden configurar los tipos penales previstos en la Ley 1273 de 2009, entre ellos el acceso abusivo a un sistema informático (art. 269A), la obstaculización ilegítima de sistema informático o red de telecomunicación (art. 269B), la interceptación de datos informáticos (art. 269C), el daño informático (art. 269D), el uso de software malicioso (art. 269E), la violación de datos personales (art. 269F) y la suplantación de sitios web para capturar datos personales (art. 269G). El Grupo VHG se reserva el ejercicio de las acciones penales, civiles y administrativas que correspondan.
4.4 Cuentas y credenciales
Cuando el Sitio habilite cuentas de usuario, las credenciales son personales e intransferibles. El Usuario responde por las operaciones ejecutadas con sus credenciales, salvo que acredite uso no autorizado previamente notificado al Grupo VHG. El Grupo VHG podrá exigir mecanismos de autenticación reforzada y renovación periódica de credenciales.
5. Propiedad intelectual e industrial
La protección del acervo intangible del Grupo VHG exige identificar con exactitud el régimen normativo que la sustenta en cada jurisdicción y el alcance real de los derechos invocados, evitando afirmaciones que excedan lo efectivamente registrado o protegido.
5.1 Titularidad
La totalidad de los contenidos del Sitio —textos, diseños, gráficos, fotografías, logotipos, marcas, nombres comerciales, enseñas, bases de datos, software, código fuente y objeto, materiales audiovisuales, metodologías y documentación técnica— es de titularidad del Grupo VHG o le ha sido licenciada por sus legítimos titulares.
5.2 Régimen normativo aplicable
Estos derechos se encuentran protegidos, según corresponda, por:
● Colombia y Comunidad Andina: Decisión Andina 486 de 2000 (Régimen Común sobre Propiedad Industrial), Decisión Andina 351 de 1993 (Régimen Común sobre Derecho de Autor y Derechos Conexos), Ley 23 de 1982, Ley 1915 de 2018 y Ley 1581 de 2012 respecto de bases de datos que contengan datos personales.
● Demás jurisdicciones: la normativa de propiedad industrial y derecho de autor que resulte aplicable en cada territorio donde el Grupo opere o registre sus signos distintivos.
● Estados Unidos: Copyright Act (17 U.S.C.), Lanham Act (15 U.S.C. § 1051 y ss.) y Defend Trade Secrets Act.
● Instrumentos internacionales: Convenio de Berna, Convenio de París y Acuerdo sobre los ADPIC.
Precisión sobre signos distintivos. En Colombia y en la Comunidad Andina rige un sistema atributivo: el derecho exclusivo sobre una marca se adquiere por su registro ante la oficina nacional competente, conforme al artículo 154 de la Decisión Andina 486 de 2000.
Estado actual del registro. A la fecha de publicación de este instrumento, los signos distintivos del Grupo VHG se encuentran en trámite de registro. En consecuencia, el Grupo VHG no invoca respecto de ellos derechos de exclusiva marcaria aún no constituidos, y se reserva únicamente las acciones por competencia desleal y por aprovechamiento indebido de la reputación ajena que resulten procedentes. Lo anterior no afecta los derechos de autor sobre los contenidos, textos, diseños y software del Sitio, que nacen con la creación de la obra y no requieren registro conforme al artículo 52 de la Decisión Andina 351 de 1993. El estado de los registros se actualiza en el Anexo A.
5.3 Reserva de derechos
No se concede al Usuario licencia, cesión ni autorización distinta de la prevista en el numeral 4.1. Quedan expresamente prohibidos la reproducción, distribución, comunicación pública, transformación, descompilación, extracción sustancial de bases de datos y cualquier explotación comercial del contenido sin autorización previa y escrita.
5.4 Notificación de infracciones
El titular de derechos que considere vulnerada su propiedad intelectual por contenido publicado en el Sitio podrá notificarlo a través de los canales del numeral 15, identificando el derecho invocado, el contenido presuntamente infractor, su ubicación exacta y los datos de contacto del reclamante. El Grupo VHG evaluará la solicitud y adoptará las medidas que correspondan dentro de un término razonable, sin que ello implique reconocimiento de responsabilidad.
6. Comunicaciones, confidencialidad y contacto comercial
El Sitio constituye un canal de recepción de comunicaciones cuyo tratamiento debe quedar claramente delimitado, tanto para proteger la información sensible del Usuario como para precisar los límites dentro de los cuales el Grupo VHG puede dirigirle comunicaciones comerciales.
6.1 Comunicaciones remitidas por el Usuario
La información que el Usuario remita a través de formularios, correos o canales del Sitio será tratada conforme a los instrumentos MLD-02 y MLD-04. El Grupo VHG desaconseja el envío de información sensible, confidencial, privilegiada o sujeta a reserva a través de canales no cifrados y no garantiza la confidencialidad de información no solicitada remitida por medios abiertos.
La remisión de información no solicitada no genera relación contractual, precontractual, de mandato ni de confidencialidad, salvo pacto expreso en contrario.
6.2 Secreto empresarial
La información que el Grupo VHG identifique como reservada y que reúna los requisitos de los artículos 260 a 266 de la Decisión Andina 486 de 2000 constituye secreto empresarial. El Usuario que acceda a ella por cualquier causa se obliga a no divulgarla, explotarla ni utilizarla en beneficio propio o de terceros.
6.3 Comunicaciones comerciales
El envío de comunicaciones comerciales, promocionales o informativas requiere autorización previa, expresa e informada del destinatario, otorgada conforme a los instrumentos MLD-02 y MLD-04. El Usuario puede revocar dicha autorización en cualquier momento, de forma gratuita y por el mismo canal por el que la otorgó o por cualquiera de los canales del numeral 15.
Regla especial para Colombia. Las gestiones de contacto con consumidores se sujetan a la Ley 2300 de 2023. En consecuencia, el contacto se realizará únicamente por los canales autorizados por el consumidor y dentro de los horarios permitidos —lunes a viernes de 7:00 a 19:00 horas y sábados de 8:00 a 15:00 horas, quedando prohibido el contacto en domingos y días festivos—, respetando los límites de frecuencia legalmente establecidos y atendiendo de inmediato la solicitud de no ser contactado.
7. Enlaces y contenidos de terceros
El Sitio puede incorporar enlaces, contenidos embebidos o funcionalidades provistas por terceros. El Grupo VHG no controla, no supervisa, no hace suyos ni respalda dichos contenidos, y no asume responsabilidad por su exactitud, licitud, disponibilidad o por las prácticas de privacidad de sus operadores. El acceso a recursos de terceros se realiza por cuenta y riesgo del Usuario, quien debe consultar los términos y políticas que rigen cada uno de ellos.
La presencia de un enlace no implica asociación, patrocinio, recomendación ni vinculación de ninguna naturaleza entre el Grupo VHG y el tercero.
8. Protección de datos personales
El tratamiento de datos personales realizado a través de las Plataformas Digitales se rige íntegramente por:
● MLD-02 — Aviso de Privacidad
● MLD-03 — Aviso de Cookies y Tecnologías Similares
● MLD-04 — Política de Tratamiento de la Información y Protección de Datos Personales
Dichos instrumentos forman parte integral de estos Términos. En materia de datos personales, sus disposiciones prevalecen sobre las de este documento.
El Grupo VHG procesa datos personales con fundamento en la autorización previa, expresa e informada del Titular, en los términos del artículo 9 de la Ley 1581 de 2012, salvo en los casos expresamente exceptuados por el artículo 10 de la misma ley o por la norma equivalente en la jurisdicción aplicable.
9. Disponibilidad, declaraciones y régimen de responsabilidad
Toda cláusula de exoneración tiene límites que el ordenamiento impone de manera imperativa. Redactarla sin reconocer esos límites la expone a ineficacia total. Esta sección delimita el alcance real de las declaraciones del Grupo VHG y de las exclusiones de responsabilidad que resultan efectivamente oponibles.
9.1 Disponibilidad
El Sitio se ofrece en condiciones de disponibilidad razonable. El Grupo VHG podrá suspender temporalmente el acceso por mantenimiento, actualización, seguridad o causas técnicas, procurando el menor impacto posible y, cuando ello sea viable, con aviso previo.
9.2 Alcance de las declaraciones
El Grupo VHG no garantiza que el Sitio opere de forma ininterrumpida o libre de errores, ni que sus contenidos sean exhaustivos o se ajusten a un propósito particular del Usuario. Estas declaraciones se formulan hasta el límite permitido por la ley aplicable.
9.3 Limitación de responsabilidad y sus límites imperativos
Dentro de los límites que permite la ley, el Grupo VHG no responderá por daños indirectos, lucro cesante, pérdida de oportunidad de negocio o pérdida de datos derivados del uso o de la imposibilidad de uso del Sitio.
Límites imperativos de esta cláusula. Esta limitación no aplica y se entenderá por no escrita en los siguientes supuestos: (i) daños causados por dolo o culpa grave del Grupo VHG, conforme al artículo 1522 del Código Civil colombiano; (ii) daños a la vida, la integridad o la salud de las personas; (iii) frente a Usuarios Consumidores en Colombia, en cuanto las cláusulas que limitan la responsabilidad del proveedor, invierten la carga de la prueba o implican renuncia de derechos del consumidor son ineficaces de pleno derecho conforme al artículo 43 de la Ley 1480 de 2011; y (iv) en cualquier otro caso en que la ley imperativa de la jurisdicción del Usuario impida la exoneración.
9.4 Fuerza mayor y caso fortuito
El Grupo VHG no responderá por incumplimientos derivados de fuerza mayor o caso fortuito, entendidos conforme al artículo 64 del Código Civil colombiano y a la norma equivalente en cada jurisdicción, incluyendo fallas generalizadas de infraestructura de telecomunicaciones, ataques informáticos de terceros que superen las medidas de seguridad razonablemente exigibles, actos de autoridad y desastres naturales.
10. Seguridad de la información e incidentes
El Grupo VHG implementa medidas administrativas, técnicas y físicas orientadas a preservar la confidencialidad, integridad, disponibilidad y trazabilidad de la información gestionada a través del Sitio, en proporción al riesgo, a la naturaleza de los datos y al estado de la técnica.
El Usuario se obliga a reportar de inmediato, por los canales del numeral 15, cualquier vulnerabilidad, incidente o uso no autorizado del que tenga conocimiento. El reporte de buena fe de vulnerabilidades no dará lugar a acciones en contra del reportante, siempre que este se haya abstenido de explotar la vulnerabilidad, de acceder a datos de terceros y de divulgarla antes de su remediación.
La gestión de incidentes que comprometan datos personales, incluido su reporte a las autoridades de control, se rige por el numeral 15 del instrumento MLD-04.
11. Suspensión y terminación del acceso
El Grupo VHG podrá restringir, suspender o terminar el acceso de un Usuario cuando se verifique incumplimiento de estos Términos, cuando lo exija una obligación legal, regulatoria o una orden de autoridad competente, o cuando existan riesgos operativos o de seguridad debidamente identificados.
La medida se adoptará de forma proporcional al hecho que la motiva y, salvo que razones de seguridad, orden de autoridad o riesgo inminente exijan actuación inmediata, será precedida de comunicación al Usuario indicando la causa y otorgándole oportunidad de presentar explicaciones. La terminación no afecta las obligaciones ya causadas ni los derechos del Titular en materia de datos personales.
12. Modificación del Marco
La facultad de modificar unilateralmente un contrato de adhesión está sujeta a límites estrictos. Un régimen de modificación que presuma el consentimiento del Usuario ante su silencio es abusivo y, en materia de datos personales, contraviene el principio de finalidad. Esta sección establece un procedimiento que preserva la capacidad de actualización del Grupo VHG sin incurrir en esos vicios.
12.1 Procedimiento de modificación
El Grupo VHG podrá modificar estos Términos y los demás instrumentos del Marco. Las modificaciones se sujetarán al siguiente régimen:
Modificaciones no sustanciales —correcciones formales, precisiones de redacción, actualización de datos de contacto o de referencias normativas— entrarán en vigencia con su publicación en el Sitio, con indicación visible de la fecha de actualización.
Modificaciones sustanciales —aquellas que alteren el objeto, los derechos u obligaciones de las partes, el régimen de responsabilidad, la ley aplicable o la jurisdicción— se comunicarán al Usuario registrado con una antelación mínima de quince (15) días hábiles a su entrada en vigencia, por el canal de contacto que este haya suministrado, y se publicarán de forma destacada en el Sitio.
Modificaciones que afecten el tratamiento de datos personales. Cuando la modificación implique un cambio en la finalidad del tratamiento, en las categorías de datos tratados o en los destinatarios, se requerirá nueva autorización del Titular y se comunicará previamente conforme al numeral 7 del instrumento MLD-04. El silencio del Titular no se entenderá como aceptación.
12.2 Derecho del Usuario
El Usuario que no acepte una modificación sustancial podrá cesar el uso del Sitio, solicitar la cancelación de su cuenta y ejercer sus derechos de supresión y revocatoria de la autorización, sin costo ni penalidad alguna.
12.3 Control de versiones
Cada instrumento del Marco identifica su versión y fecha de entrada en vigencia. El Grupo VHG mantendrá accesibles las versiones anteriores durante los plazos de prescripción aplicables.
13. Ley aplicable, solución de controversias y jurisdicción
La determinación de la ley aplicable y del juez competente no admite indeterminación ni sujeción a la voluntad unilateral de una de las partes. Esta sección adopta un régimen escalonado que respeta la autonomía de la voluntad allí donde el ordenamiento la permite y reconoce las competencias imperativas allí donde estas se imponen.
13.1 Regla general
Salvo lo dispuesto en los numerales siguientes, estos Términos se rigen e interpretan conforme a las leyes del Estado de Delaware, Estados Unidos de América —jurisdicción de constitución de Valencia Holding Group LLC—, con exclusión de sus normas de conflicto de leyes, y las controversias se someterán a los tribunales competentes de dicho Estado.
13.2 Regla especial para Usuarios en Colombia
Para Usuarios domiciliados o residentes en Colombia, estos Términos se rigen por la ley colombiana y las controversias se someten a la jurisdicción de los jueces colombianos competentes según las reglas del Código General del Proceso.
Esta regla se adopta en reconocimiento de que:
● El artículo 869 del Código de Comercio dispone que la ejecución de los contratos celebrados en el exterior que deban cumplirse en el país se regirá por la ley colombiana.
● El artículo 4 de la Ley 1480 de 2011 confiere carácter de orden público a las normas de protección al consumidor, cuya aplicación no puede ser desplazada por acuerdo de las partes.
● El numeral 5 del artículo 43 de la Ley 1480 de 2011 sanciona con ineficacia de pleno derecho las cláusulas que obliguen al consumidor a acudir a una persona o juez distinto del competente.
● La Ley 1581 de 2012 y sus decretos reglamentarios son de orden público y de aplicación territorial imperativa.
El Usuario Consumidor conserva, en todo caso, la facultad de acudir a la Superintendencia de Industria y Comercio en ejercicio de sus facultades jurisdiccionales, conforme al artículo 58 de la Ley 1480 de 2011, así como ante la Delegatura para la Protección de Datos Personales de dicha entidad en materia de datos personales.
13.3 Regla especial para Usuarios en otras jurisdicciones
Para Usuarios domiciliados o residentes en jurisdicciones distintas de las anteriores, las normas imperativas de protección al consumidor y de protección de datos personales de su lugar de residencia se aplicarán con prevalencia sobre la regla general del numeral 13.1, y el Usuario conservará el derecho de acudir a la autoridad de control competente en su territorio.
13.4 Mecanismos previos de solución
Antes de acudir a la vía jurisdiccional, las partes procurarán resolver sus diferencias mediante arreglo directo durante un término de treinta (30) días calendario contados desde la comunicación escrita de la controversia. Este requisito no suspende términos de caducidad ni prescripción, no es exigible al Usuario Consumidor y no limita el derecho de ninguna de las partes a solicitar medidas cautelares.
14. Disposiciones finales
Integridad del acuerdo. Estos Términos, junto con los instrumentos MLD-02, MLD-03 y MLD-04 y sus anexos, constituyen el acuerdo íntegro entre las partes respecto del uso del Sitio.
Divisibilidad. La invalidez, ilegalidad o inexigibilidad de una disposición no afectará la validez de las restantes, que conservarán plena eficacia. La disposición afectada se entenderá sustituida por aquella válida que más se aproxime a su finalidad económica y jurídica.
No renuncia. La tolerancia o el no ejercicio de un derecho por parte del Grupo VHG no constituye renuncia a este ni a su ejercicio futuro.
Cesión. El Usuario no podrá ceder su posición contractual sin autorización previa y escrita del Grupo VHG. El Grupo VHG podrá ceder su posición a otra entidad del Grupo o a un sucesor por causa de reorganización empresarial, notificando al Usuario y preservando íntegramente sus derechos, en particular los relativos a datos personales.
Notificaciones. Las notificaciones al Grupo VHG se dirigirán a la dirección física y al correo electrónico indicados en el Anexo A. Las notificaciones al Usuario se remitirán a los datos de contacto que este haya suministrado, siendo su carga mantenerlos actualizados.
Idioma y versiones. El idioma rector de este instrumento es el español (castellano). La versión en inglés se publica como traducción de cortesía. En caso de discrepancia, y particularmente frente a Usuarios domiciliados en Colombia, prevalecerá la versión en español, en atención al deber de suministrar información en castellano que impone el artículo 24 de la Ley 1480 de 2011.
Encabezados. Los títulos y encabezados se incluyen únicamente para facilitar la lectura y no condicionan la interpretación de las cláusulas.
Vigencia y revisión. Estos Términos rigen desde su publicación en https://vhg.capital, en la fecha indicada en el bloque de Control del Documento, y permanecen vigentes mientras no sean sustituidos por una versión posterior. El Grupo VHG los somete a revisión ordinaria el 1 de enero de cada año y a revisión extraordinaria ante cualquier cambio normativo, reorganización societaria o incorporación de nuevas funcionalidades que lo justifique.
15. Canales de contacto y anexos
15.1 Canales de contacto
| Asunto | Canal |
|---|
| Consultas generales y de relacionamiento | info@vhg.capital |
| Ejercicio de derechos sobre datos personales | info@vhg.capital |
| Oficialía de Protección de Datos del Grupo | info@vhg.capital |
| Reporte de incidentes y vulnerabilidades | info@vhg.capital |
| Notificación de infracciones de propiedad intelectual | info@vhg.capital |
| Notificación judicial y administrativa | Delaware, Estados Unidos de América — info@vhg.capital |
15.2 Anexos del Marco
| Anexo | Denominación | Estado |
|---|
| A | Ficha de Identificación de la Entidad Adherente | Emitido y publicado |
| B | Suplementos Jurisdiccionales | Incorporados en el numeral 21 del MLD-04 |
| C | Inventario de Cookies y Tecnologías Similares | Incorporado en el numeral 6 del MLD-03 |
| D | Registro de Bases de Datos, Finalidades y Retención | Emitido — documento interno |
| E | Modelo de Acta de Adhesión al MLD-VHG | Emitido — pendiente de suscripción por VCG y VIG |
| F | Contrato Marco de Transmisión de Datos Personales Intragrupo | Se activa con la primera adhesión formal |
| G | Autorización del Formulario de Contacto | Emitido y aplicado en el Sitio |
FIN DEL INSTRUMENTO MLD-01
Valencia Holding Group — Marco Legal Digital del Grupo VHG
MLD-01 — Términos y Condiciones de Uso | Versión 3.0 | Idioma rector: español
Published: 1 October 2026
PRIVACY NOTICE
VALENCIA HOLDING GROUP
VHG Group Digital Legal Framework — Instrument MLD-02
Communication to data subjects regarding the processing of their personal data by the VHG Group and its adhering entities
Version 3.0 — October 2026
Mandatory publication document — Public access
Language notice. The governing language of this instrument is Spanish. This English version is published as a courtesy translation. In the event of any discrepancy, and in particular with respect to data subjects domiciled in Colombia, the Spanish version prevails.
DOCUMENT CONTROL
Identification
| Field | Detail |
|---|
| Document | MLD-02 — Privacy Notice |
| Master document | VHG Group Digital Legal Framework (MLD-VHG) |
| Issuing entity | Valencia Holding Group — Parent Company |
| Legal nature | Privacy Notice (aviso de privacidad) under Articles 2.2.2.25.3.2 and 2.2.2.25.3.3 of Colombian Decree 1074 of 2015 |
| Developing document | MLD-04 — Personal Data Processing and Protection Policy |
| Version | 3.0 |
| Effective date | 1 October 2026 |
| Scope | Personal data processed by VHG and by the entities adhering to the MLD-VHG |
| Governing language | Spanish |
| Status | In force |
Version history
| Version | Date | Description | Status |
|---|
| 1.0 to 2.1 | July to September 2026 | Internal working versions. Not published. | Superseded |
| 3.0 | 1 October 2026 | First published version. Completion of controller identification, single contact channel, alignment of the governing law with the State of Delaware, trademark regime pending registration, and effectiveness with ordinary annual review. | In force |
Use notice
Nature and function of this document. This Privacy Notice is the summary, readily accessible communication by which the VHG Group informs data subjects about the processing of their personal data. It does not replace the Personal Data Processing and Protection Policy (MLD-04), which is the complete document whose adoption is mandatory under Article 2.2.2.25.3.1 of Decree 1074 of 2015 and which is permanently available at the link indicated in section 14 of this Notice.
CONTENTS
- Purpose and nature of this Notice
- Identification of the Data Controller
- Scope of application and group architecture
- Categories of personal data processed
- Purposes of processing
- Basis for processing: authorisation
- Sensitive data and children's data
- Data subject rights
- Procedure and time limits for exercising rights
- Processors, intragroup circulation and international transfers
- Retention of information
- Information security and incidents
- Commercial communications
- Access to the Processing Policy and amendment regime
- Supervisory authorities and contact channels
1. Purpose and nature of this Notice
Transparency towards the data subject requires that essential information about the processing of their data be accessible clearly, concisely and prior to collection. This Notice fulfils that function and refers, for the detailed development of each matter, to instrument MLD-04.
This Privacy Notice (the "Notice") informs any natural person whose personal data is processed by Valencia Holding Group ("VHG" or the "Parent Company") and by the entities adhering to the VHG Group Digital Legal Framework (the "Adhering Entities" and, together, the "VHG Group") of the existence of the applicable processing policies, how to access them, and the essential characteristics of the processing.
It is issued in compliance with Colombian Law 1581 of 2012, Decree 1074 of 2015 — which consolidated Decree 1377 of 2013 — and other concordant provisions of Colombian law, as well as the data protection rules applicable in the other jurisdictions in which the VHG Group operates.
2. Identification of the Data Controller
Precise identification of the controller is not a formality: it determines against whom the data subject exercises their rights and who is answerable to the supervisory authority. It is therefore stated expressly and verifiably.
2.1 Data Controller
| Field | Detail |
|---|
| Corporate name of the controller | Valencia Holding Group LLC |
| Tax identification number (NIT / RUC / EIN) | Withheld from publication. Recorded in Annex A and disclosed to any authority so requiring |
| Principal domicile | Delaware, United States of America |
| Physical address for service | Delaware, United States of America. Designated formal channel for service: info@vhg.capital |
| Email address for the exercise of rights | info@vhg.capital |
| Contact telephone number | Not published. Single contact channel: info@vhg.capital |
| Area responsible for handling enquiries and complaints | VHG Group Data Protection Office |
| Group Data Protection Office | info@vhg.capital |
2.2 Determining the controller in each case
Each Adhering Entity is an autonomous Data Controller in respect of the databases whose purposes and means it determines. The entity operating each digital platform, channel or collection point is identified in Annex A — Adhering Entity Identification Sheet, published and accessible from each platform and available through the channels in section 15.
Valencia Holding Group acts as the Parent Company, exercising governance, coordination and verification functions over the Framework, and is itself a controller in respect of its own databases. Adhesion to the Framework creates no commingling of assets and no joint and several liability among Group entities, save where the law imposes it.
3. Scope of application and group architecture
This Notice applies to personal data processed by VHG and by the Adhering Entities — including Valencia Capital Group (VCG) and Valencia Investment Group (VIG), as well as any other affiliate, subsidiary or business unit that may in future join the Group, be incorporated by it or come under its control; an illustrative, non-exhaustive list — irrespective of the channel through which the data was collected.
Material scope. Unlike instruments of exclusively digital scope, this Notice and instrument MLD-04 cover all databases of the VHG Group, whether digital or physical, including those fed by in-person, telephone, documentary and contractual channels.
Data subjects covered. Visitors and users of digital platforms; current and prospective clients; investors and prospective investors; commercial counterparties; suppliers and contractors and their personnel; candidates for employment; and any natural person interacting with the VHG Group.
Order of precedence. Mandatory data protection rules of the data subject's jurisdiction of residence prevail over this Notice. The applicable jurisdictional supplements are set out in Annex B.
4. Categories of personal data processed
Depending on the nature of the relationship, the VHG Group may process the following categories of data:
| Category | Data included |
|---|
| Identification and contact | Full name, type and number of identity document, nationality, email address, telephone, address, country of residence |
| Professional and business information | Company, position, sector, professional background, corporate contact details |
| Financial and asset information | Only where necessary for the contractual relationship, due diligence or compliance with legal obligations |
| Technical and browsing data | IP address, device identifiers, browser type, usage logs, cookie and similar technology data |
| Communications data | Messages, requests, correspondence and records of interaction with the VHG Group |
| Compliance data | Information required for anti-money-laundering and counter-terrorist-financing purposes, restrictive list screening and counterparty due diligence |
The VHG Group does not knowingly collect sensitive data, save in the circumstances and with the safeguards set out in section 7 and developed in section 5.2 of instrument MLD-04.
5. Purposes of processing
The purpose limitation principle requires that processing serve legitimate, specified purposes communicated to the data subject prior to collection. The purposes declared by the VHG Group are as follows:
Relationship management. Handling enquiries, requests and communications; managing relationships with clients, investors, counterparties, suppliers and contractors; assessing business opportunities and service requests.
Contract performance. Conducting pre-contractual negotiations, entering into, performing, administering and settling contracts, and exercising or defending rights arising from them.
Regulatory compliance. Meeting legal, regulatory, tax, accounting and reporting obligations; responding to requests from competent authorities; and conducting due diligence and counterparty knowledge procedures for anti-money-laundering and counter-terrorist-financing purposes.
Risk management and security. Preventing fraud, protecting the security of information and of persons, and ensuring the traceability of transactions.
Corporate governance. Preparing internal reports, management indicators and controls, and coordinating Group operations.
Platform improvement. Analysing the use of digital platforms to improve their performance, structure and user experience.
Institutional and commercial communications. Sending institutional information, invitations, newsletters and commercial communications, only where the data subject has given specific authorisation and subject to section 13.
Talent management. Conducting candidate selection and assessment processes.
The VHG Group shall not process personal data for purposes other than, or incompatible with, those declared here. Any new purpose shall require the data subject's prior authorisation.
6. Basis for processing: authorisation
This is the point at which international standards and Colombian law differ materially, and treating it imprecisely exposes the controller to a defect of lawfulness. It is therefore stated expressly.
6.1 General rule in Colombia
In Colombia, the processing of personal data requires the data subject's prior, express and informed authorisation, in accordance with Article 9 of Law 1581 of 2012. Authorisation must be obtained by means allowing subsequent consultation, and the controller has a duty to retain evidence of it.
Material clarification. Colombian law does not recognise "legitimate interest" as an autonomous lawful basis for processing. The only cases in which authorisation is not required are those exhaustively listed in Article 10 of Law 1581 of 2012, namely: (i) information required by a public or administrative body in the exercise of its statutory functions or by court order; (ii) data of a public nature; (iii) medical or health emergencies; (iv) processing authorised by law for historical, statistical or scientific purposes; and (v) data relating to the Civil Registry of Persons. Any reference to legitimate interest in VHG Group documents applies exclusively to jurisdictions whose legal systems recognise it.
6.2 Manner of obtaining and evidence
Authorisation is obtained through an express affirmative action — an unchecked box, an acceptance button, a physical or electronic signature, or an equivalent mechanism — with a record of the date, time, version of the text disclosed and technical traces of the transaction. Silence, inactivity or continued use of a platform do not constitute authorisation.
6.3 Withdrawal
The data subject may withdraw authorisation at any time, free of charge, through the channels in section 15. Withdrawal may be total or limited to specific purposes. Withdrawal does not proceed where a legal or contractual duty requires the data to remain in the database, a circumstance that will be communicated to the data subject with reasons.
6.4 Other jurisdictions
In the United States, the applicable federal and state frameworks apply, including Section 5 of the Federal Trade Commission Act. Should the Group come to operate in other jurisdictions, the corresponding supplement will be issued before processing begins. Where Regulation (EU) 2016/679 is applicable, its own lawful bases shall be observed. Details are set out in section 21 of instrument MLD-04.
7. Sensitive data and children's data
7.1 Sensitive data
Sensitive data is data affecting the data subject's privacy or whose misuse may give rise to discrimination, such as data relating to racial or ethnic origin, political orientation, religious or philosophical convictions, trade union or social organisation membership, health data, data concerning sexual life and biometric data.
The processing of sensitive data is prohibited, save in the circumstances set out in Article 6 of Law 1581 of 2012. Where the VHG Group needs to process such data, it shall inform the data subject of the sensitive nature of the data and of the specific purpose, and shall obtain explicit authorisation. The data subject is not obliged to authorise the processing of sensitive data or to answer questions concerning it.
7.2 Children's and adolescents' data
The VHG Group does not direct its platforms to minors and does not knowingly collect their data. Where exceptionally necessary, processing shall be carried out only in respect of data of a public nature, having regard to the best interests of the child and respect for their fundamental rights, with the prior authorisation of the legal representative and taking account of the minor's views where their maturity permits, in accordance with Article 7 of Law 1581 of 2012, Article 2.2.2.25.2.9 of Decree 1074 of 2015 and Constitutional Court Judgment C-748 of 2011.
If the inadvertent collection of a minor's data is detected, the VHG Group shall proceed to its immediate deletion.
8. Data subject rights
Under Article 8 of Law 1581 of 2012, data subjects have the following rights:
To know, update and rectify their personal data before the controller or processor, particularly where the data is partial, inaccurate, incomplete, fragmented, misleading, or where its processing is expressly prohibited or has not been authorised.
To request evidence of the authorisation granted, except where the law provides that authorisation is not required.
To be informed, upon request, of the use made of their personal data.
To lodge complaints with the Superintendency of Industry and Commerce for infringements of the law, once the enquiry or complaint procedure before the controller has been exhausted.
To withdraw authorisation and request deletion of the data where processing does not respect constitutional and statutory principles, rights and guarantees, or where the authority has established an infringement.
To access free of charge their personal data that has been processed.
These rights may be exercised by the data subject, their duly accredited successors, their representative or attorney-in-fact, and by any person acting under a stipulation in favour of a third party.
9. Procedure and time limits for exercising rights
A right without a defined procedure and time limit is illusory. The VHG Group expressly adopts the statutory procedure and periods.
9.1 Available channels
Requests may be submitted through the channels listed in section 15, stating the data subject's name and identification, a precise description of the facts or of the request, an address for service, and any supporting documents.
9.2 Enquiries
Enquiries shall be answered within a maximum of ten (10) business days from the date of receipt. Where this is not possible, the interested party shall be informed before expiry, stating the reasons and the date on which the enquiry will be answered, which may not exceed five (5) business days following expiry of the first period. (Article 14, Law 1581 of 2012.)
9.3 Complaints
Complaints shall be handled within a maximum of fifteen (15) business days from the day following receipt. Where this is not possible, the interested party shall be informed of the reasons for the delay and of the response date, which may not exceed eight (8) business days following expiry of the first period. (Article 15, Law 1581 of 2012.)
If the complaint is incomplete, the interested party shall be requested within five (5) days of receipt to remedy the deficiencies. If two (2) months elapse from the date of that request without the applicant providing the required information, the complaint shall be deemed withdrawn.
If the VHG Group is not competent to resolve the complaint, it shall refer it to the competent party within a maximum of two (2) business days and shall inform the interested party accordingly.
While a complaint is pending, the database shall bear the legend "complaint pending" together with its subject matter, within no more than two (2) business days.
9.4 Procedural prerequisite
Under Article 16 of Law 1581 of 2012, a data subject may lodge a complaint with the Superintendency of Industry and Commerce only once the enquiry or complaint procedure before the controller or processor has been exhausted.
9.5 No charge
The exercise of these rights is free of charge. The VHG Group shall not require payment or condition the handling of a request on any consideration.
10. Processors, intragroup circulation and international transfers
10.1 Data processors
The VHG Group may rely on third parties processing personal data on its behalf — providers of technology, hosting, communications, audit, legal, financial and compliance services — acting as processors under a transmission agreement imposing obligations of confidentiality, security, use limited to the controller's instructions, and return or deletion at the end of the relationship, in accordance with Article 2.2.2.25.5.2 of Decree 1074 of 2015.
10.2 Intragroup circulation
Data flows between VHG and the Adhering Entities take place under the Intragroup Personal Data Transmission Master Agreement (Annex F) and are limited to the purposes declared in section 5. Where the receiving entity determines its own purposes, the flow constitutes a transfer and requires the data subject's authorisation.
10.3 International transfers
Given the Group's international structure, data may be processed in Colombia and the United States of America, the only destinations enabled as at the publication date.
Applicable regime and current destinations. Article 26 of Law 1581 of 2012 prohibits the transfer of personal data to countries that do not provide adequate levels of protection, unless the data subject has given express and unequivocal authorisation or one of the statutory exceptions applies. Under External Circular 005 of 2017 of the Superintendency of Industry and Commerce, the United States of America is among the countries declared to provide an adequate level of protection. As at the publication date, the VHG Group's only processing destinations are Colombia and the United States, both covered by that regime. Any future transfer to a destination not declared adequate shall be made only with the data subject's express and unequivocal authorisation, by means of a declaration of conformity before the Superintendency of Industry and Commerce, or under one of the exceptions in Article 26, and always with contractual clauses guaranteeing an equivalent level of protection.
Full details are set out in section 13 of instrument MLD-04.
11. Retention of information
Personal data shall be retained only for as long as necessary to fulfil the purpose for which it was collected, to meet legal, accounting, tax and regulatory obligations, and to exercise or defend rights during the applicable limitation and lapse periods.
Once those periods expire, data shall be securely deleted or subjected to irreversible anonymisation. Specific criteria and periods are set out in Annex D — Register of Databases, Purposes and Retention.
12. Information security and incidents
The VHG Group adopts administrative, technical, physical and organisational measures that are reasonable and proportionate to the risk, designed to protect personal data against unauthorised access, loss, destruction, alteration, disclosure or misuse, in accordance with the security principle in Article 4(g) of Law 1581 of 2012.
In the event of a security incident compromising personal data, the VHG Group shall activate its incident management protocol, report the event to the Superintendency of Industry and Commerce through the National Database Register within the terms and time limits required by the authority, and notify affected data subjects where the incident entails a risk to their rights.
13. Commercial communications
Sending commercial or promotional communications requires the data subject's specific and separate authorisation, distinct from the general processing authorisation. Such authorisation may be withdrawn at any time, free of charge, through the channels in section 15 or through the unsubscribe mechanism included in each communication.
Special rule for Colombia. Contact with consumers is subject to Law 2300 of 2023: contact shall be made only through channels authorised by the consumer and within permitted hours — Monday to Friday from 7:00 to 19:00 and Saturdays from 8:00 to 15:00, with contact prohibited on Sundays and public holidays — respecting the applicable frequency limits and immediately honouring any request not to be contacted.
14. Access to the Processing Policy and amendment regime
14.1 Access to the Policy
The Personal Data Processing and Protection Policy (MLD-04) contains the full development of the matters summarised in this Notice and is permanently available at:
● Website: https://vhg.capital, through the permanent footer link.
● Email address for requests: info@vhg.capital
● Copy in physical or electronic form: provided free of charge upon the data subject's request through the same channel.
14.2 Amendments
The VHG Group may amend this Notice and Policy MLD-04. Substantial amendments — in particular those affecting the identification of the controller, the purpose of processing, the categories of data or the recipients — shall be communicated to data subjects in advance of taking effect through the available contact channel and prominently published.
Where an amendment entails a change in the purpose of processing, fresh authorisation from the data subject shall be required. The data subject's silence shall not be construed as acceptance.
14.3 Effectiveness
This Notice takes effect upon publication at https://vhg.capital, on the date stated in the Document Control block, and is subject to ordinary review on 1 January each year, as well as to extraordinary review upon any regulatory change that so requires. The VHG Group's databases shall remain in force for as long as the declared purposes and the statutory retention periods subsist, as set out in Annex D.
15. Supervisory authorities and contact channels
15.1 VHG Group channels
| Subject | Channel |
|---|
| Exercise of rights (enquiries and complaints) | info@vhg.capital |
| Area responsible for handling requests | VHG Group Data Protection Office — info@vhg.capital |
| Group Data Protection Office | info@vhg.capital |
| Withdrawal from commercial communications | info@vhg.capital |
| Physical service | Delaware, United States of America — formal channel: info@vhg.capital |
15.2 Supervisory authorities
| Jurisdiction | Authority |
|---|
| Colombia | Superintendency of Industry and Commerce — Delegate Office for the Protection of Personal Data |
| Other jurisdictions | The competent supervisory authority in the data subject's territory of residence |
| United States | Federal Trade Commission and the competent state authorities |
| European Economic Area / United Kingdom | Competent supervisory authority, where applicable |
END OF INSTRUMENT MLD-02
Valencia Holding Group — VHG Group Digital Legal Framework
MLD-02 — Privacy Notice | Version 3.0 | Governing language: Spanish
Publicado: 1 de octubre de 2026
AVISO DE PRIVACIDAD
VALENCIA HOLDING GROUP
Marco Legal Digital del Grupo VHG — Instrumento MLD-02
Comunicación al Titular sobre el tratamiento de sus datos personales por el Grupo VHG y sus entidades adherentes
Versión 3.0 — Octubre de 2026
Documento de publicación obligatoria — Acceso público
CONTROL DEL DOCUMENTO
Identificación
| Campo | Detalle |
|---|
| Documento | MLD-02 — Aviso de Privacidad |
| Documento maestro | Marco Legal Digital del Grupo VHG (MLD-VHG) |
| Entidad emisora | Valencia Holding Group — Casa Matriz |
| Naturaleza jurídica | Aviso de Privacidad conforme a los artículos 2.2.2.25.3.2 y 2.2.2.25.3.3 del Decreto 1074 de 2015 |
| Documento desarrollado | MLD-04 — Política de Tratamiento de la Información y Protección de Datos Personales |
| Versión | 3.0 |
| Fecha de entrada en vigencia | 1 de octubre de 2026 |
| Alcance | Datos personales tratados por VHG y por las entidades adherentes al MLD-VHG |
| Idioma rector | Español (castellano) |
| Estado | Vigente |
Historial de versiones
| Versión | Fecha | Descripción | Estado |
|---|
| 1.0 a 2.1 | Julio a septiembre de 2026 | Versiones internas de trabajo. No publicadas. | Sustituidas |
| 3.0 | 1 de octubre de 2026 | Primera versión publicada. Diligenciamiento de la identificación del Responsable, canal único de contacto, ajuste de la ley aplicable al Estado de Delaware, régimen de marcas en trámite y vigencia con revisión ordinaria anual. | Vigente |
Advertencia de uso
Naturaleza y función de este documento. Este Aviso de Privacidad es la comunicación resumida y de fácil acceso mediante la cual el Grupo VHG informa al Titular sobre el tratamiento de sus datos personales. No sustituye a la Política de Tratamiento de la Información y Protección de Datos Personales (MLD-04), que constituye el documento completo y de obligatoria adopción conforme al artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, y que se encuentra permanentemente disponible en el enlace indicado en el numeral 14 de este Aviso.
CONTENIDO
- Objeto y naturaleza del Aviso
- Identificación del Responsable del Tratamiento
- Ámbito de aplicación y arquitectura de grupo
- Categorías de datos personales tratados
- Finalidades del Tratamiento
- Base del Tratamiento: la autorización
- Datos sensibles y datos de menores de edad
- Derechos del Titular
- Procedimiento y plazos para el ejercicio de derechos
- Encargados, circulación intragrupo y transferencias internacionales
- Conservación de la información
- Seguridad de la información e incidentes
- Comunicaciones comerciales
- Acceso a la Política de Tratamiento y régimen de modificaciones
- Autoridades de control y canales de contacto
1. Objeto y naturaleza del Aviso
La transparencia frente al Titular exige que la información esencial sobre el tratamiento de sus datos sea accesible de forma clara, concisa y previa a la recolección. Este Aviso cumple esa función y remite, para el desarrollo detallado de cada materia, al instrumento MLD-04.
Este Aviso de Privacidad (el "Aviso") informa a toda persona natural cuyos datos personales sean objeto de tratamiento por parte de Valencia Holding Group ("VHG" o la "Casa Matriz") y de las entidades adheridas al Marco Legal Digital del Grupo VHG (las "Entidades Adherentes" y, conjuntamente, el "Grupo VHG"), acerca de la existencia de las políticas de tratamiento aplicables, la forma de acceder a ellas y las características esenciales del tratamiento.
Se expide en cumplimiento de lo dispuesto en la Ley 1581 de 2012, el Decreto 1074 de 2015 —que compiló el Decreto 1377 de 2013— y las demás normas concordantes del ordenamiento colombiano, así como de la normativa de protección de datos aplicable en las demás jurisdicciones donde opera el Grupo VHG.
2. Identificación del Responsable del Tratamiento
La identificación precisa del Responsable no es un formalismo: determina ante quién ejerce el Titular sus derechos y quién responde ante la autoridad de control. Por esa razón se consigna de manera expresa y verificable.
2.1 Responsable del Tratamiento
| Campo | Detalle |
|---|
| Razón social del Responsable | Valencia Holding Group LLC |
| Número de identificación tributaria (NIT / RUC / EIN) | Reservado. Consta en el Anexo A y se suministra a la autoridad que lo requiera |
| Domicilio principal | Delaware, Estados Unidos de América |
| Dirección física de notificación | Delaware, Estados Unidos de América. Canal formal de notificación designado: info@vhg.capital |
| Correo electrónico para el ejercicio de derechos | info@vhg.capital |
| Teléfono de contacto | No se publica. Canal único de contacto: info@vhg.capital |
| Área responsable de la atención de consultas y reclamos | Oficialía de Protección de Datos del Grupo VHG |
| Oficialía de Protección de Datos del Grupo | info@vhg.capital |
2.2 Determinación del Responsable en cada caso
Cada Entidad Adherente es Responsable autónomo del Tratamiento respecto de las bases de datos cuyas finalidades y medios determina. La entidad que opera cada plataforma digital, canal o punto de recolección se identifica en el Anexo A — Ficha de Identificación de la Entidad Adherente, publicado y accesible desde cada plataforma y disponible en los canales del numeral 15.
Valencia Holding Group actúa como Casa Matriz y ejerce funciones de gobernanza, coordinación y verificación sobre el Marco, además de ser Responsable respecto de sus propias bases de datos. La adhesión al Marco no genera confusión patrimonial ni responsabilidad solidaria entre las entidades del Grupo, salvo donde la ley la imponga.
3. Ámbito de aplicación y arquitectura de grupo
Este Aviso aplica a los datos personales tratados por VHG y por las Entidades Adherentes —entre ellas Valencia Capital Group (VCG) y Valencia Investment Group (VIG), así como cualquier otra filial, subsidiaria o unidad de negocio que en el futuro se incorpore al Grupo, sea constituida por este o quede bajo su control; listado enunciativo y no taxativo—, con independencia del canal por el cual hayan sido recolectados.
Alcance material. A diferencia de instrumentos de alcance exclusivamente digital, este Aviso y el instrumento MLD-04 cubren la totalidad de las bases de datos del Grupo VHG, sean digitales o físicas, incluyendo las alimentadas por canales presenciales, telefónicos, documentales y contractuales.
Titulares cubiertos. Visitantes y usuarios de plataformas digitales; clientes actuales y potenciales; inversionistas y potenciales inversionistas; contrapartes comerciales; proveedores y contratistas y su personal; candidatos a vinculación laboral; y cualquier persona natural que interactúe con el Grupo VHG.
Prelación normativa. Las normas imperativas de protección de datos de la jurisdicción de residencia del Titular prevalecen sobre este Aviso. Los suplementos jurisdiccionales aplicables constan en el Anexo B.
4. Categorías de datos personales tratados
Según la naturaleza de la relación, el Grupo VHG puede tratar las siguientes categorías de datos:
| Categoría | Datos comprendidos |
|---|
| Identificación y contacto | Nombre completo, tipo y número de documento de identidad, nacionalidad, correo electrónico, teléfono, dirección, país de residencia |
| Información profesional y empresarial | Empresa, cargo, sector, trayectoria profesional, datos de contacto corporativos |
| Información financiera y patrimonial | Únicamente cuando resulte necesaria para la relación contractual, la debida diligencia o el cumplimiento de obligaciones legales |
| Datos técnicos y de navegación | Dirección IP, identificadores de dispositivo, tipo de navegador, registros de uso, datos de cookies y tecnologías similares |
| Datos de comunicaciones | Mensajes, solicitudes, correspondencia y registros de interacción con el Grupo VHG |
| Datos de cumplimiento | Información requerida para la prevención del lavado de activos y la financiación del terrorismo, verificación en listas restrictivas y debida diligencia de contrapartes |
El Grupo VHG no recolecta deliberadamente datos sensibles, salvo en los supuestos y con las garantías previstas en el numeral 7 y desarrollados en el numeral 5.2 del instrumento MLD-04.
5. Finalidades del Tratamiento
El principio de finalidad exige que el tratamiento obedezca a propósitos legítimos, determinados y comunicados al Titular con anterioridad a la recolección. Las finalidades declaradas por el Grupo VHG son las siguientes:
Gestión del relacionamiento. Atender consultas, solicitudes y comunicaciones; gestionar la relación con clientes, inversionistas, contrapartes, proveedores y contratistas; evaluar oportunidades de negocio y solicitudes de servicio.
Ejecución contractual. Adelantar tratativas precontractuales, celebrar, ejecutar, administrar y liquidar contratos, y ejercer o defender derechos derivados de ellos.
Cumplimiento normativo. Atender obligaciones legales, regulatorias, tributarias, contables y de reporte; responder requerimientos de autoridades competentes; y adelantar la debida diligencia y el conocimiento de contrapartes en materia de prevención del lavado de activos y la financiación del terrorismo.
Gestión de riesgos y seguridad. Prevenir el fraude, proteger la seguridad de la información y de las personas, y garantizar la trazabilidad de las operaciones.
Gobierno corporativo. Elaborar reportes internos, indicadores de gestión y controles, así como coordinar la operación del Grupo.
Mejora de plataformas. Analizar el uso de las plataformas digitales para mejorar su desempeño, estructura y experiencia de usuario.
Comunicaciones institucionales y comerciales. Remitir información institucional, invitaciones, boletines y comunicaciones comerciales, únicamente cuando medie autorización específica del Titular y con sujeción al numeral 13.
Gestión de talento. Adelantar procesos de selección y evaluación de candidatos.
El Grupo VHG no tratará datos personales para finalidades distintas de las aquí declaradas ni incompatibles con ellas. Cualquier finalidad nueva requerirá autorización previa del Titular.
6. Base del Tratamiento: la autorización
Este es el punto en que los estándares internacionales y el ordenamiento colombiano difieren de manera relevante, y su tratamiento imprecisa expone al Responsable a un vicio de licitud. Por ello se precisa expresamente.
6.1 Regla general en Colombia
En Colombia, el tratamiento de datos personales requiere la autorización previa, expresa e informada del Titular, en los términos del artículo 9 de la Ley 1581 de 2012. La autorización debe obtenerse por medios que permitan su posterior consulta, y el Responsable tiene el deber de conservar prueba de ella.
Precisión relevante. El ordenamiento colombiano no contempla el "interés legítimo" como base autónoma de licitud del tratamiento. Las únicas hipótesis en que no se requiere autorización son las taxativamente previstas en el artículo 10 de la Ley 1581 de 2012, a saber: (i) información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; (ii) datos de naturaleza pública; (iii) casos de urgencia médica o sanitaria; (iv) tratamiento autorizado por la ley para fines históricos, estadísticos o científicos; y (v) datos relacionados con el Registro Civil de las Personas. Toda referencia al interés legítimo en documentos del Grupo VHG opera exclusivamente respecto de jurisdicciones cuyo ordenamiento lo reconoce.
6.2 Modo de obtención y prueba
La autorización se obtiene mediante manifestación afirmativa expresa —casilla no premarcada, botón de aceptación, firma física o electrónica, o mecanismo equivalente— con registro de fecha, hora, versión del texto informado y trazas técnicas de la operación. El silencio, la inactividad o el uso continuado de una plataforma no constituyen autorización.
6.3 Revocatoria
El Titular puede revocar la autorización en cualquier momento, de forma gratuita y por los canales del numeral 15. La revocatoria puede ser total o referirse únicamente a determinadas finalidades. No procede la revocatoria cuando exista un deber legal o contractual que imponga la permanencia del dato en la base de datos, circunstancia que será informada al Titular de manera motivada.
6.4 Otras jurisdicciones
En los Estados Unidos aplican los marcos federales y estatales que correspondan, incluida la Sección 5 de la Federal Trade Commission Act. Si el Grupo llegara a operar en otras jurisdicciones, se emitirá el suplemento correspondiente antes del inicio del tratamiento. Cuando resulte aplicable el Reglamento (UE) 2016/679, se observarán sus bases de licitud propias. El detalle consta en el numeral 21 del instrumento MLD-04.
7. Datos sensibles y datos de menores de edad
7.1 Datos sensibles
Son datos sensibles los que afectan la intimidad del Titular o cuyo uso indebido puede generar discriminación, tales como los relativos al origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos u organizaciones sociales, los datos de salud, los de la vida sexual y los datos biométricos.
El tratamiento de datos sensibles está prohibido, salvo en los supuestos del artículo 6 de la Ley 1581 de 2012. Cuando el Grupo VHG requiera tratarlos, informará al Titular el carácter sensible del dato y la finalidad específica, y obtendrá autorización explícita. El Titular no está obligado a autorizar el tratamiento de datos sensibles ni a responder preguntas sobre ellos.
7.2 Datos de niños, niñas y adolescentes
El Grupo VHG no dirige sus plataformas a menores de edad ni recolecta deliberadamente sus datos. Cuando excepcionalmente resulte necesario tratarlos, el tratamiento se realizará únicamente respecto de datos de naturaleza pública, atendiendo al interés superior del menor y al respeto de sus derechos fundamentales, previa autorización del representante legal y con opinión del menor cuando su madurez lo permita, conforme al artículo 7 de la Ley 1581 de 2012, al artículo 2.2.2.25.2.9 del Decreto 1074 de 2015 y a la Sentencia C-748 de 2011 de la Corte Constitucional.
Si se detecta la recolección inadvertida de datos de un menor, el Grupo VHG procederá a su supresión inmediata.
8. Derechos del Titular
Conforme al artículo 8 de la Ley 1581 de 2012, al Titular le asisten los siguientes derechos:
Conocer, actualizar y rectificar sus datos personales frente al Responsable o al Encargado, particularmente cuando sean parciales, inexactos, incompletos, fraccionados, induzcan a error o cuyo tratamiento esté expresamente prohibido o no haya sido autorizado.
Solicitar prueba de la autorización otorgada, salvo cuando la ley disponga que esta no es requisito.
Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos personales.
Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante el Responsable.
Revocar la autorización y solicitar la supresión del dato cuando el tratamiento no respete los principios, derechos y garantías constitucionales y legales, o cuando la autoridad haya determinado la infracción.
Acceder de forma gratuita a sus datos personales que hayan sido objeto de tratamiento.
Estos derechos pueden ser ejercidos por el Titular, sus causahabientes debidamente acreditados, su representante o apoderado, y por quien actúe por estipulación a favor de otro.
9. Procedimiento y plazos para el ejercicio de derechos
Un derecho sin procedimiento ni plazo cierto es de ejercicio ilusorio. El Grupo VHG adopta el procedimiento y los términos legales de manera expresa.
9.1 Canales habilitados
Las solicitudes pueden presentarse por los canales relacionados en el numeral 15, indicando el nombre e identificación del Titular, la descripción precisa de los hechos o de la petición, la dirección de notificación y los documentos que se quieran hacer valer.
9.2 Consultas
Las consultas serán atendidas en un término máximo de diez (10) días hábiles contados desde la fecha de recibo. Cuando no fuere posible atenderlas dentro de dicho término, se informará al interesado antes del vencimiento, expresando los motivos y la fecha en que se atenderá, la cual no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer plazo. (Artículo 14, Ley 1581 de 2012.)
9.3 Reclamos
El reclamo será atendido en un término máximo de quince (15) días hábiles contados desde el día siguiente a su recepción. Cuando no fuere posible atenderlo dentro de dicho término, se informarán al interesado los motivos de la demora y la fecha de respuesta, que no podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término. (Artículo 15, Ley 1581 de 2012.)
Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco (5) días siguientes a su recepción para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo.
Si el Grupo VHG no es competente para resolver el reclamo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de ello al interesado.
Mientras el reclamo se encuentre en trámite, se incluirá en la base de datos la leyenda "reclamo en trámite" y el motivo del mismo, en un término no mayor a dos (2) días hábiles.
9.4 Requisito de procedibilidad
Conforme al artículo 16 de la Ley 1581 de 2012, el Titular solo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo ante el Responsable o Encargado.
9.5 Gratuidad
El ejercicio de estos derechos es gratuito. El Grupo VHG no exigirá pago alguno ni condicionará la atención de la solicitud a contraprestación.
10. Encargados, circulación intragrupo y transferencias internacionales
10.1 Encargados del Tratamiento
El Grupo VHG puede apoyarse en terceros que traten datos personales por su cuenta —proveedores de tecnología, alojamiento, comunicaciones, auditoría, asesoría legal, financiera y de cumplimiento—, quienes actúan como Encargados bajo contrato de transmisión que impone obligaciones de confidencialidad, seguridad, uso limitado a las instrucciones del Responsable y devolución o supresión al término de la relación, conforme al artículo 2.2.2.25.5.2 del Decreto 1074 de 2015.
10.2 Circulación intragrupo
Los flujos de datos entre VHG y las Entidades Adherentes se realizan bajo el Contrato Marco de Transmisión de Datos Personales Intragrupo (Anexo F) y se limitan a las finalidades declaradas en el numeral 5. Cuando la entidad receptora determine finalidades propias, el flujo constituye transferencia y requerirá la autorización del Titular.
10.3 Transferencias internacionales
Dada la estructura internacional del Grupo, los datos pueden ser tratados en Colombia y en los Estados Unidos de América, únicos destinos habilitados a la fecha de publicación.
Régimen aplicable y destinos actuales. El artículo 26 de la Ley 1581 de 2012 prohíbe la transferencia de datos personales a países que no proporcionen niveles adecuados de protección, salvo autorización expresa e inequívoca del Titular o configuración de alguna excepción legal. Conforme a la Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio, los Estados Unidos de América figuran entre los países declarados con nivel adecuado de protección. A la fecha de publicación, los únicos destinos de tratamiento del Grupo VHG son Colombia y los Estados Unidos, ambos amparados por ese régimen. Toda transferencia futura hacia un destino no declarado adecuado se realizará únicamente con autorización expresa e inequívoca del Titular, mediante declaración de conformidad ante la Superintendencia de Industria y Comercio, o al amparo de una de las excepciones del artículo 26, y siempre con cláusulas contractuales que garanticen un nivel de protección equivalente.
El desarrollo completo consta en el numeral 13 del instrumento MLD-04.
11. Conservación de la información
Los datos personales se conservarán únicamente durante el tiempo necesario para cumplir la finalidad que motivó su recolección, para atender obligaciones legales, contables, tributarias y regulatorias, y para el ejercicio o defensa de derechos durante los términos de prescripción y caducidad aplicables.
Vencidos dichos términos, los datos serán suprimidos de forma segura o sometidos a procesos de anonimización irreversible. Los criterios y períodos específicos constan en el Anexo D — Registro de Bases de Datos, Finalidades y Retención.
12. Seguridad de la información e incidentes
El Grupo VHG adopta medidas administrativas, técnicas, físicas y organizativas razonables y proporcionales al riesgo, orientadas a proteger los datos personales frente a acceso no autorizado, pérdida, destrucción, alteración, divulgación o uso indebido, conforme al principio de seguridad del literal g) del artículo 4 de la Ley 1581 de 2012.
En caso de incidente de seguridad que comprometa datos personales, el Grupo VHG activará su protocolo de gestión de incidentes, reportará el evento a la Superintendencia de Industria y Comercio a través del Registro Nacional de Bases de Datos en los términos y plazos exigidos por la autoridad, y comunicará a los Titulares afectados cuando el incidente entrañe un riesgo para sus derechos.
13. Comunicaciones comerciales
El envío de comunicaciones comerciales o promocionales requiere autorización específica y separada del Titular, distinta de la autorización general para el tratamiento. Dicha autorización puede revocarse en cualquier momento, de forma gratuita, por los canales del numeral 15 o mediante el mecanismo de baja incluido en cada comunicación.
Regla especial para Colombia. El contacto con consumidores se sujeta a la Ley 2300 de 2023: se realizará únicamente por los canales que el consumidor haya autorizado y dentro de los horarios permitidos —lunes a viernes de 7:00 a 19:00 horas y sábados de 8:00 a 15:00 horas, quedando prohibido el contacto en domingos y días festivos—, respetando los límites de frecuencia establecidos y atendiendo de inmediato la solicitud de no ser contactado.
14. Acceso a la Política de Tratamiento y régimen de modificaciones
14.1 Acceso a la Política
La Política de Tratamiento de la Información y Protección de Datos Personales (MLD-04) contiene el desarrollo íntegro de las materias resumidas en este Aviso y se encuentra permanentemente disponible en:
● Sitio web: https://vhg.capital, en el enlace permanente del pie de página.
● Correo electrónico de solicitud: info@vhg.capital
● Copia en soporte físico o electrónico: se remite sin costo a solicitud del Titular por el mismo canal.
14.2 Modificaciones
El Grupo VHG podrá modificar este Aviso y la Política MLD-04. Las modificaciones sustanciales —en particular las que afecten la identificación del Responsable, la finalidad del tratamiento, las categorías de datos o los destinatarios— serán comunicadas al Titular con antelación a su entrada en vigencia por el canal de contacto disponible, y publicadas de forma destacada.
Cuando la modificación implique un cambio en la finalidad del tratamiento, se requerirá nueva autorización del Titular. El silencio del Titular no se entenderá como aceptación.
14.3 Vigencia
Este Aviso rige desde su publicación en https://vhg.capital, en la fecha señalada en el bloque de Control del Documento, y se somete a revisión ordinaria el 1 de enero de cada año, así como a revisión extraordinaria ante cualquier cambio normativo que lo exija. Las bases de datos del Grupo VHG tendrán vigencia mientras subsistan las finalidades declaradas y los términos legales de conservación, conforme al Anexo D.
15. Autoridades de control y canales de contacto
15.1 Canales del Grupo VHG
| Asunto | Canal |
|---|
| Ejercicio de derechos (consultas y reclamos) | info@vhg.capital |
| Área responsable de la atención de peticiones | Oficialía de Protección de Datos del Grupo VHG — info@vhg.capital |
| Oficialía de Protección de Datos del Grupo | info@vhg.capital |
| Revocatoria de comunicaciones comerciales | info@vhg.capital |
| Notificación física | Delaware, Estados Unidos de América — canal formal: info@vhg.capital |
15.2 Autoridades de control
| Jurisdicción | Autoridad |
|---|
| Colombia | Superintendencia de Industria y Comercio — Delegatura para la Protección de Datos Personales |
| Otras jurisdicciones | La autoridad de control competente en el territorio de residencia del Titular |
| Estados Unidos | Federal Trade Commission y las autoridades estatales competentes |
| Espacio Económico Europeo / Reino Unido | Autoridad de control competente, cuando resulte aplicable |
FIN DEL INSTRUMENTO MLD-02
Valencia Holding Group — Marco Legal Digital del Grupo VHG
MLD-02 — Aviso de Privacidad | Versión 3.0 | Idioma rector: español
Published: 1 October 2026
COOKIE AND SIMILAR TECHNOLOGIES NOTICE
VALENCIA HOLDING GROUP
VHG Group Digital Legal Framework — Instrument MLD-03
Regime governing the use, classification and consent requirements for cookies and tracking technologies on the digital platforms of the VHG Group
Version 3.0 — October 2026
Mandatory publication document — Public access
Language notice. The governing language of this instrument is Spanish. This English version is published as a courtesy translation. In the event of any discrepancy, and in particular with respect to users domiciled in Colombia, the Spanish version prevails.
DOCUMENT CONTROL
Identification
| Field | Detail |
|---|
| Document | MLD-03 — Cookie and Similar Technologies Notice |
| Master document | VHG Group Digital Legal Framework (MLD-VHG) |
| Issuing entity | Valencia Holding Group LLC — Parent Company |
| Related instruments | MLD-01 (Terms), MLD-02 (Privacy Notice), MLD-04 (Processing Policy) |
| Version | 3.0 |
| Effective date | 1 October 2026 |
| Scope | Digital platforms of VHG and of the entities adhering to the MLD-VHG |
| Website | https://vhg.capital |
| Governing language | Spanish |
| Status | In force |
Version history
| Version | Date | Description | Status |
|---|
| 1.0 to 2.1 | July to September 2026 | Internal working versions. Not published. | Superseded |
| 3.0 | 1 October 2026 | First published version. Declaration of exclusive use of strictly necessary technical cookies, completed inventory, activation regime for non-technical cookies, and completion of controller identification. | In force |
Use notice
Central declaration of this Notice. The VHG Group Site uses strictly necessary technical cookies only. It installs no analytics, advertising, targeting or third-party tracking cookies. Accordingly, no cookie banner or consent management panel is deployed, because there is no processing subject to authorisation to obtain. The addition of any non-technical cookie is subject to the activation regime in section 9, which must be completed before installation.
CONTENTS
- Purpose and relationship to the other instruments
- Scope of application
- Technical definitions
- Declaration of use
- Legal basis by jurisdiction
- Inventory of the Site's cookies
- Data collected and its legal nature
- Browser-level management and consequences of blocking
- Activation regime for non-technical cookies
- Third parties, international transfers and processors
- Data subject rights
- Effectiveness, updates and contact channels
1. Purpose and relationship to the other instruments
Tracking technologies are the point at which regulatory compliance is most directly assessed by authorities, since their deployment is observable from the outside by inspecting the site itself. The regime governing them must therefore be precise and match exactly what the site does: a notice announcing more than actually happens is as defective as one announcing less.
This Cookie Notice (the "Notice") explains how Valencia Holding Group LLC ("VHG" or the "Parent Company") and the entities adhering to the VHG Group Digital Legal Framework (the "Adhering Entities" and, together, the "VHG Group") use cookies and similar technologies on their websites, portals and online services (the "Digital Platforms").
It must be read together with the Terms and Conditions of Use (MLD-01), the Privacy Notice (MLD-02) and the Personal Data Processing and Protection Policy (MLD-04). On matters of personal data, MLD-04 prevails; on matters specific to cookies, this instrument prevails.
2. Scope of application
This Notice applies to all Digital Platforms operated by VHG and by the Adhering Entities — including Valencia Capital Group (VCG) and Valencia Investment Group (VIG), as well as any other affiliate, subsidiary or business unit that may in future join the Group, be incorporated by it or come under its control; an illustrative, non-exhaustive list — to all users accessing them, and to all cookies and similar technologies deployed through those platforms, whether first-party or third-party.
As at the publication date, the only Digital Platform in operation is the corporate site https://vhg.capital, operated by Valencia Holding Group LLC. The operating entity is identified in Annex A.
Each Adhering Entity is the Data Controller in respect of the cookies deployed on the platforms it operates and is answerable for compliance with this Notice on them.
3. Technical definitions
Cookie. A small text file that a website stores on the user's device — computer, tablet or mobile telephone — allowing information about the user's browsing to be retrieved.
First-party cookie. One placed from a domain managed by the VHG Group.
Third-party cookie. One placed from a domain managed by a third party, over which the VHG Group exercises no direct technical control.
Session cookie. One automatically deleted when the browser is closed.
Persistent cookie. One that remains stored on the device for a defined period or until manually deleted.
Strictly necessary technical cookie. One indispensable for transmitting a communication or for providing a service expressly requested by the user, which does not permit identifying the user or building a profile of them, and whose duration is limited to what is strictly required.
Similar technologies. Pixels, web beacons, tags, scripts, device fingerprinting, local storage (localStorage, sessionStorage) and browser-indexed databases, among others. All of these are subject to the same regime as cookies under this Notice, regardless of their technical designation.
4. Declaration of use
This section is the core of the Notice and the declaration that users and authorities can test directly against the Site's actual behaviour.
The VHG Group Site uses strictly necessary technical cookies exclusively. In particular, and expressly, the Site does not install:
● Analytics or audience-measurement cookies, whether first-party or third-party.
● Advertising, targeting, remarketing or frequency-capping cookies.
● Social network or advertising platform pixels or tags.
● Device fingerprinting techniques.
● Third-party cookies for the purpose of tracking user behaviour.
Practical consequence. Since there is no cookie-derived processing subject to authorisation, the Site deploys no cookie banner and no consent management panel. The VHG Group takes the view that a banner requesting consent where there is nothing to consent to misleads the user and undermines the consent mechanism itself.
Duty of correspondence. The Group Data Protection Office shall verify every six months, by technical inspection of the Site, that its actual behaviour matches this declaration. Each verification is documented.
5. Legal basis by jurisdiction
The regime of lawful bases is not uniform across the jurisdictions in which the VHG Group operates. This section differentiates it expressly, because applying an international standard without differentiation is precisely what produces a defect of lawfulness.
5.1 Colombia
In Colombia, the processing of personal data collected through cookies requires the data subject's prior, express and informed authorisation, in accordance with Article 9 of Law 1581 of 2012.
Colombian law does not recognise "legitimate interest" as an autonomous lawful basis. The only exceptions to the authorisation requirement are those exhaustively listed in Article 10 of Law 1581 of 2012.
Technical exception applicable to the Site. No authorisation is required for strictly technical cookies indispensable for transmitting a communication or for providing a service expressly requested by the user, provided they do not permit identifying the user or building a profile of them and their use is limited to the strictly necessary duration. This exception is construed restrictively and does not cover analytics, advertising or audience-measurement cookies. The cookies listed in section 6 fall entirely within this exception.
5.2 United States
Valencia Holding Group LLC is incorporated in the State of Delaware. The applicable federal and state frameworks apply, including Section 5 of the Federal Trade Commission Act on unfair or deceptive practices and, where their applicability thresholds are met — which the Group does not currently reach — state consumer privacy laws.
5.3 European Economic Area and United Kingdom
Where Regulation (EU) 2016/679 or the UK GDPR applies under their territorial scope rules, their own lawful bases shall govern, together with national rules on electronic communications. The exclusive use of strictly necessary technical cookies likewise satisfies the standard of those jurisdictions.
5.4 Application rule
The VHG Group shall apply to each user the regime corresponding to their jurisdiction of access. Where that jurisdiction cannot be determined with reasonable certainty, the most protective applicable standard shall apply by default.
6. Inventory of the Site's cookies
The required transparency is not satisfied by a generic description: the user must be able to know what is placed on their device, for what purpose and for how long. The following is the complete inventory of technologies deployed at https://vhg.capital.
| Category | Specific purpose | Origin | Type | Duration |
|---|
| Browsing session | Maintaining session consistency as the user moves through the Site's pages and preserving the state of a form in progress | First-party — vhg.capital | Session | Deleted when the browser is closed |
| Security and abuse prevention | Protecting the contact form against automated submissions and validating request integrity | First-party — vhg.capital | Session | Deleted when the browser is closed |
| Infrastructure and availability | Request routing, load balancing and content delivery from the nearest node | Hosting and content delivery network provider | Session | Deleted when the browser is closed or within the provider's technical period, not exceeding 24 hours |
None of these cookies permits identifying the user, building a profile of them, or tracking their browsing outside the Site. None is persistent beyond the session or the technical period stated. None is shared with third parties for those parties' own purposes.
Inventory maintenance. This inventory is reviewed at least every six months and whenever the platform, the hosting provider or the Site's functionality changes. Installing any technology not listed in this table, without first updating the inventory and completing the regime in section 9, constitutes a breach of the Framework.
7. Data collected and its legal nature
Through the technical cookies in section 6, the following is processed on a transient basis: a randomly generated session identifier, the IP address for routing and security purposes, and browser technical data necessary to serve content in the appropriate format.
Legal characterisation. IP addresses and device identifiers constitute personal data where they permit identifying the user or making the user identifiable, directly or indirectly. The VHG Group does not use them for that purpose and does not associate them with other data to achieve identification; their processing is limited to what is indispensable for transmission and security. Subsequent statistical aggregation would not alter the personal nature of the data at the moment of collection, which is why the Group refrains from characterising this information as "anonymous". Its processing is governed in full by instrument MLD-04.
This clarification expressly corrects the characterisation as "anonymised information" used in earlier versions in respect of data incorporating IP addresses or device identifiers.
8. Browser-level management and consequences of blocking
Users may manage cookies through their browser settings, where they can generally view stored cookies, delete them, block all or specific categories, and receive alerts before installation. Specific instructions are available in each browser's help or settings section.
Consequences of blocking. Since the Site uses strictly necessary technical cookies only, blocking them entirely may prevent correct browsing, submission of the contact form or delivery of content. There are no cookies the user could selectively refuse without affecting functionality, precisely because no dispensable cookies are installed.
The Site remains accessible in its informational content even under browser restrictions, although certain interactive functions may not operate.
9. Activation regime for non-technical cookies
This section is the safeguard that prevents the declaration in section 4 from eroding over time. It is common for an analytics tool or an advertising pixel to be added on a marketing or vendor decision, without prior legal review; that is precisely the scenario this clause prevents.
The addition of any non-technical cookie or technology to the Site is subject to the following regime, which must be completed beforehand:
First — Internal authorisation. No non-technical cookie may be installed without the prior written approval of the Group Data Protection Office, which shall assess its purpose, proportionality and lawful basis.
Second — Documentary update. The inventory in section 6 and this Notice must be updated before installation, identifying the cookie, its provider, purpose, duration, country of processing and lawful basis.
Third — Consent mechanism. A consent management panel must be implemented meeting at least: prior blocking of the cookie until authorisation is obtained; express affirmative action, with no pre-ticked boxes and no acceptance by scrolling or continued browsing; genuine symmetry between accept and reject, with equal visual prominence and at the same interaction level; granularity by category; a prohibition on conditioning access to informational content upon acceptance; a preference panel permanently accessible from the footer; an evidentiary record of consent including session identifier, date, time, version of the Notice displayed and categories accepted and rejected; and renewal of consent after twelve (12) months.
Fourth — Engagement of the processor. The transmission agreement provided for in Article 2.2.2.25.5.2 of Decree 1074 of 2015 must be executed with the provider, verifying the country of processing and its adequacy status.
Fifth — Communication. The addition is prominently communicated on the Site and triggers a fresh request for consent from users.
Failure to complete any of these steps requires immediate removal of the technology and deletion of the data collected through it.
10. Third parties, international transfers and processors
The Site incorporates no third-party tracking cookies. The only third party with technical access to connection data is the hosting and content delivery network provider, acting as a data processor under a transmission agreement containing the obligations in Article 2.2.2.25.5.2 of Decree 1074 of 2015: confidentiality, security, use limited to the controller's instructions, and return or deletion at the end of the relationship.
International transfers. Technical connection data may be processed in the United States of America, a jurisdiction declared to provide an adequate level of protection by External Circular 005 of 2017 of the Superintendency of Industry and Commerce. The VHG Group carries out no transfers to jurisdictions not declared adequate. Any change of provider or country of processing is subject to the regime in section 13 of instrument MLD-04.
11. Data subject rights
In respect of any personal data arising from the technical cookies, data subjects may exercise the rights to know, update and rectify their data, request evidence of authorisation where required, be informed of the use made of their data, withdraw authorisation, request deletion and lodge complaints with the supervisory authority, under Article 8 of Law 1581 of 2012.
Requests are submitted to info@vhg.capital. The applicable periods are those in Article 14 of Law 1581 of 2012 for enquiries — ten (10) business days, extendable by five (5) — and Article 15 for complaints — fifteen (15) business days, extendable by eight (8) — in accordance with the procedure in section 10 of instrument MLD-04.
12. Effectiveness, updates and contact channels
12.1 Effectiveness and updates
This Notice takes effect upon publication at https://vhg.capital, on the date stated in the Document Control block, and is subject to ordinary review on 1 January each year, as well as to extraordinary review upon regulatory changes, a change of hosting provider, modifications to the Site's functionality or the addition of new technologies.
Substantial amendments shall be prominently communicated. The addition of non-technical cookies is governed by section 9 and shall trigger a fresh request for consent.
12.2 Contact channels
| Subject | Channel |
|---|
| Enquiries about cookies and tracking technologies | info@vhg.capital |
| Exercise of personal data rights | info@vhg.capital |
| VHG Group Data Protection Office | info@vhg.capital |
| Judicial and administrative service | Delaware, United States of America — info@vhg.capital |
END OF INSTRUMENT MLD-03
Valencia Holding Group — VHG Group Digital Legal Framework
MLD-03 — Cookie and Similar Technologies Notice | Version 3.0 | Governing language: Spanish
Publicado: 1 de octubre de 2026
AVISO DE COOKIES Y TECNOLOGÍAS SIMILARES
VALENCIA HOLDING GROUP
Marco Legal Digital del Grupo VHG — Instrumento MLD-03
Régimen de uso, clasificación y consentimiento de cookies y tecnologías de seguimiento en las plataformas digitales del Grupo VHG
Versión 3.0 — Octubre de 2026
Documento de publicación obligatoria — Acceso público
CONTROL DEL DOCUMENTO
Identificación
| Campo | Detalle |
|---|
| Documento | MLD-03 — Aviso de Cookies y Tecnologías Similares |
| Documento maestro | Marco Legal Digital del Grupo VHG (MLD-VHG) |
| Entidad emisora | Valencia Holding Group LLC — Casa Matriz |
| Instrumentos relacionados | MLD-01 (Términos), MLD-02 (Aviso de Privacidad), MLD-04 (Política de Tratamiento) |
| Versión | 3.0 |
| Fecha de entrada en vigencia | 1 de octubre de 2026 |
| Alcance | Plataformas digitales de VHG y de las entidades adherentes al MLD-VHG |
| Sitio web | https://vhg.capital |
| Idioma rector | Español (castellano) |
| Estado | Vigente |
Historial de versiones
| Versión | Fecha | Descripción | Estado |
|---|
| 1.0 a 2.1 | Julio a septiembre de 2026 | Versiones internas de trabajo. No publicadas. | Sustituidas |
| 3.0 | 1 de octubre de 2026 | Primera versión publicada. Declaración de uso exclusivo de cookies técnicas necesarias, inventario diligenciado, régimen de activación para cookies no técnicas y diligenciamiento de la identificación del Responsable. | Vigente |
Advertencia de uso
Declaración central de este Aviso. El Sitio del Grupo VHG emplea únicamente cookies técnicas estrictamente necesarias. No instala cookies analíticas, publicitarias, de segmentación ni de terceros con finalidad de seguimiento. En consecuencia, no se despliega banner ni panel de gestión de consentimiento, porque no hay tratamiento sujeto a autorización que recabar. La incorporación de cualquier cookie no técnica está sometida al régimen de activación del numeral 9, que debe surtirse antes de su instalación.
CONTENIDO
- Objeto y relación con los demás instrumentos
- Ámbito de aplicación
- Definiciones técnicas
- Declaración de uso
- Base jurídica por jurisdicción
- Inventario de cookies del Sitio
- Datos recabados y su naturaleza jurídica
- Gestión desde el navegador y consecuencias del bloqueo
- Régimen de activación para cookies no técnicas
- Terceros, transferencias internacionales y encargados
- Derechos del Titular
- Vigencia, actualización y canales de contacto
1. Objeto y relación con los demás instrumentos
Las tecnologías de seguimiento son el punto donde el cumplimiento normativo se verifica de manera más directa por las autoridades, pues su despliegue es observable desde el exterior mediante inspección del propio sitio. Por esa razón el régimen que las gobierna debe ser preciso y coincidir exactamente con lo que el sitio hace: un aviso que anuncie más de lo que ocurre es tan defectuoso como uno que anuncie menos.
Este Aviso de Cookies (el "Aviso") explica cómo Valencia Holding Group LLC ("VHG" o la "Casa Matriz") y las entidades adheridas al Marco Legal Digital del Grupo VHG (las "Entidades Adherentes" y, conjuntamente, el "Grupo VHG") utilizan cookies y tecnologías similares en sus sitios web, portales y servicios en línea (las "Plataformas Digitales").
Debe leerse conjuntamente con los Términos y Condiciones de Uso (MLD-01), el Aviso de Privacidad (MLD-02) y la Política de Tratamiento de la Información y Protección de Datos Personales (MLD-04). En materia de datos personales prevalece el MLD-04; en materia específica de cookies prevalece este instrumento.
2. Ámbito de aplicación
Este Aviso aplica a todas las Plataformas Digitales operadas por VHG y por las Entidades Adherentes —entre ellas Valencia Capital Group (VCG) y Valencia Investment Group (VIG), así como cualquier otra filial, subsidiaria o unidad de negocio que en el futuro se incorpore al Grupo, sea constituida por este o quede bajo su control; listado enunciativo y no taxativo—, a todos los usuarios que accedan a ellas y a la totalidad de las cookies y tecnologías similares desplegadas a través de dichas plataformas, sean propias o de terceros.
A la fecha de publicación, la única Plataforma Digital en operación es el sitio corporativo https://vhg.capital, operado por Valencia Holding Group LLC. La identificación de la entidad operadora consta en el Anexo A.
Cada Entidad Adherente es Responsable del Tratamiento respecto de las cookies desplegadas en las plataformas que opera y responde por el cumplimiento de este Aviso en ellas.
3. Definiciones técnicas
Cookie. Archivo de texto de pequeño tamaño que un sitio web almacena en el dispositivo del usuario —computador, tableta o teléfono móvil— y que permite recuperar información sobre su navegación.
Cookie propia. La instalada desde un dominio gestionado por el Grupo VHG.
Cookie de tercero. La instalada desde un dominio gestionado por un tercero, sobre la cual el Grupo VHG no ejerce control técnico directo.
Cookie de sesión. La que se elimina automáticamente al cerrar el navegador.
Cookie persistente. La que permanece almacenada en el dispositivo durante un período determinado o hasta su eliminación manual.
Cookie técnica estrictamente necesaria. Aquella indispensable para la transmisión de la comunicación o para la prestación del servicio expresamente solicitado por el usuario, que no permite identificarlo ni construir un perfil sobre él, y cuya duración se limita a lo estrictamente requerido.
Tecnologías similares. Píxeles, balizas web, etiquetas, scripts, huellas digitales de dispositivo (fingerprinting), almacenamiento local (localStorage, sessionStorage) y bases de datos indexadas del navegador, entre otras. Todas ellas quedan sometidas al mismo régimen que las cookies en este Aviso, con independencia de su denominación técnica.
4. Declaración de uso
Esta sección es el núcleo del Aviso y la declaración que el usuario y la autoridad pueden contrastar directamente contra el comportamiento del Sitio.
El Sitio del Grupo VHG emplea exclusivamente cookies técnicas estrictamente necesarias. En particular, y de manera expresa, el Sitio no instala:
● Cookies analíticas o de medición de audiencia, propias o de terceros.
● Cookies publicitarias, de segmentación, de remarketing o de limitación de frecuencia.
● Píxeles o etiquetas de redes sociales o plataformas de anuncios.
● Técnicas de huella digital de dispositivo.
● Cookies de terceros con finalidad de seguimiento del comportamiento del usuario.
Consecuencia práctica. Como no existe tratamiento sujeto a autorización derivado de cookies, el Sitio no despliega banner de cookies ni panel de gestión de consentimiento. El Grupo VHG considera que un banner que solicite consentimiento donde no hay nada que consentir induce a error al usuario y desvirtúa el propio mecanismo de consentimiento.
Deber de coincidencia. La Oficialía de Protección de Datos del Grupo verificará semestralmente, mediante inspección técnica del Sitio, que su comportamiento real coincide con esta declaración. De cada verificación se deja constancia documental.
5. Base jurídica por jurisdicción
El régimen de bases de tratamiento no es uniforme entre las jurisdicciones donde opera el Grupo VHG. Esta sección lo diferencia expresamente, porque aplicar de forma indiferenciada un estándar internacional es precisamente lo que genera un vicio de licitud.
5.1 Colombia
En Colombia, el tratamiento de datos personales recabados mediante cookies requiere autorización previa, expresa e informada del Titular, conforme al artículo 9 de la Ley 1581 de 2012.
El ordenamiento colombiano no reconoce el "interés legítimo" como base autónoma de licitud. Las únicas excepciones al deber de autorización son las taxativamente enumeradas en el artículo 10 de la Ley 1581 de 2012.
Salvedad técnica aplicable al Sitio. No requieren autorización las cookies estrictamente técnicas indispensables para la transmisión de la comunicación o para la prestación del servicio expresamente solicitado por el usuario, siempre que no permitan identificarlo ni construir un perfil sobre él y que su uso se limite a la duración estrictamente necesaria. Esta salvedad se interpreta de forma restrictiva y no ampara cookies analíticas, publicitarias ni de medición de audiencia. Las cookies relacionadas en el numeral 6 se encuentran íntegramente dentro de esta salvedad.
5.2 Estados Unidos
Valencia Holding Group LLC está constituida en el Estado de Delaware. Aplican los marcos federales y estatales que correspondan, incluyendo la Sección 5 de la Federal Trade Commission Act en materia de prácticas desleales o engañosas y, cuando se cumplan sus umbrales de aplicación —que a la fecha el Grupo no alcanza—, las leyes estatales de privacidad del consumidor.
5.3 Espacio Económico Europeo y Reino Unido
Cuando resulte aplicable el Reglamento (UE) 2016/679 o el UK GDPR conforme a sus reglas de ámbito territorial, regirán sus bases de licitud propias junto con las normas nacionales sobre comunicaciones electrónicas. El uso exclusivo de cookies técnicas necesarias satisface igualmente el estándar de esas jurisdicciones.
5.4 Regla de aplicación
El Grupo VHG aplicará a cada usuario el régimen correspondiente a su jurisdicción de acceso. Cuando dicha jurisdicción no pueda determinarse con razonable certeza, se aplicará por defecto el estándar más protector entre los aplicables.
6. Inventario de cookies del Sitio
La transparencia exigible no se satisface con una descripción genérica: el usuario debe poder conocer qué se instala en su dispositivo, con qué finalidad y por cuánto tiempo. El siguiente es el inventario completo de las tecnologías desplegadas en https://vhg.capital.
| Categoría | Finalidad específica | Origen | Tipo | Duración |
|---|
| Sesión de navegación | Mantener la coherencia de la sesión mientras el usuario recorre las páginas del Sitio y conservar el estado de un formulario en curso | Propia — vhg.capital | Sesión | Se elimina al cerrar el navegador |
| Seguridad y prevención de abuso | Proteger el formulario de contacto frente a envíos automatizados y validar la integridad de la petición | Propia — vhg.capital | Sesión | Se elimina al cerrar el navegador |
| Infraestructura y disponibilidad | Enrutamiento de la petición, balanceo de carga y entrega del contenido desde el nodo más próximo | Proveedor de alojamiento y red de distribución de contenido | Sesión | Se elimina al cerrar el navegador o en el plazo técnico del proveedor, no superior a 24 horas |
Ninguna de estas cookies permite identificar al usuario, elaborar un perfil sobre él ni rastrear su navegación fuera del Sitio. Ninguna es persistente más allá de la sesión o del plazo técnico indicado. Ninguna se comparte con terceros para finalidades propias de estos.
Mantenimiento del inventario. Este inventario se revisa como mínimo semestralmente y siempre que se modifique la plataforma, el proveedor de alojamiento o la funcionalidad del Sitio. La instalación de cualquier tecnología no relacionada en esta tabla, sin la actualización previa del inventario y sin surtir el régimen del numeral 9, constituye un incumplimiento del Marco.
7. Datos recabados y su naturaleza jurídica
Mediante las cookies técnicas del numeral 6 se procesan, de forma transitoria: identificador de sesión generado aleatoriamente, dirección IP a efectos de enrutamiento y seguridad, y datos técnicos del navegador necesarios para servir el contenido en el formato adecuado.
Calificación jurídica. La dirección IP y los identificadores de dispositivo constituyen datos personales cuando permiten identificar al usuario o hacerlo identificable, directa o indirectamente. El Grupo VHG no los emplea con esa finalidad ni los asocia a otros datos para lograr la identificación, y su tratamiento se limita a lo indispensable para la transmisión y la seguridad. La agregación estadística posterior no alteraría la naturaleza personal del dato en el momento de su recolección; por ello el Grupo se abstiene de calificar esta información como "anónima". Su tratamiento se rige íntegramente por el instrumento MLD-04.
Esta precisión corrige expresamente la calificación de "información anonimizada" empleada en versiones anteriores respecto de datos que incorporan dirección IP o identificadores de dispositivo.
8. Gestión desde el navegador y consecuencias del bloqueo
El usuario puede administrar las cookies desde la configuración de su navegador, donde generalmente puede consultar las cookies almacenadas, eliminarlas, bloquear todas o determinadas categorías, y recibir alertas antes de su instalación. Las instrucciones específicas se encuentran en la sección de ayuda o configuración de cada navegador.
Consecuencias del bloqueo. Dado que el Sitio emplea únicamente cookies técnicas necesarias, su bloqueo total puede impedir el funcionamiento correcto de la navegación, el envío del formulario de contacto o la entrega del contenido. No existen cookies cuyo rechazo el usuario pueda ejercer selectivamente sin afectar la funcionalidad, precisamente porque no hay cookies prescindibles instaladas.
El Sitio permanece accesible en su contenido informativo aun con restricciones de navegador, si bien determinadas funciones interactivas pueden no operar.
9. Régimen de activación para cookies no técnicas
Esta sección es la garantía de que la declaración del numeral 4 no se erosione con el tiempo. Es habitual que una herramienta de analítica o un píxel publicitario se incorporen por decisión de marketing o de un proveedor, sin revisión jurídica previa; ese es exactamente el escenario que esta cláusula impide.
La incorporación de cualquier cookie o tecnología no técnica al Sitio queda sometida al siguiente régimen, de obligatorio cumplimiento previo:
Primero — Autorización interna. Ninguna cookie no técnica puede instalarse sin aprobación previa y escrita de la Oficialía de Protección de Datos del Grupo, que evaluará su finalidad, su proporcionalidad y su base de licitud.
Segundo — Actualización documental. El inventario del numeral 6 y este Aviso deben actualizarse antes de la instalación, identificando la cookie, su proveedor, su finalidad, su duración, el país de tratamiento y su base de licitud.
Tercero — Mecanismo de consentimiento. Debe implementarse un panel de gestión del consentimiento que cumpla, como mínimo: bloqueo previo de la cookie hasta obtener autorización; manifestación afirmativa expresa, sin casillas premarcadas ni aceptación por desplazamiento o continuación de la navegación; simetría real entre aceptar y rechazar, con igual jerarquía visual y en el mismo nivel de interacción; granularidad por categoría; prohibición de condicionar el acceso al contenido informativo a la aceptación; panel de preferencias accesible de forma permanente desde el pie de página; registro probatorio del consentimiento con identificador de sesión, fecha, hora, versión del Aviso mostrada y categorías aceptadas y rechazadas; y renovación del consentimiento a los doce (12) meses.
Cuarto — Contratación del encargado. Debe suscribirse con el proveedor el contrato de transmisión previsto en el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, con verificación del país de tratamiento y de su nivel de adecuación.
Quinto — Comunicación. La incorporación se comunica de forma destacada en el Sitio y da lugar a una nueva solicitud de consentimiento a los usuarios.
El incumplimiento de cualquiera de estos pasos obliga a la desinstalación inmediata de la tecnología y a la supresión de los datos recabados por su medio.
10. Terceros, transferencias internacionales y encargados
El Sitio no incorpora cookies de terceros con finalidad de seguimiento. El único tercero con acceso técnico a datos de conexión es el proveedor de alojamiento y red de distribución de contenido, que actúa como Encargado del Tratamiento bajo contrato de transmisión con las obligaciones del artículo 2.2.2.25.5.2 del Decreto 1074 de 2015: confidencialidad, seguridad, uso limitado a las instrucciones del Responsable y devolución o supresión al término de la relación.
Transferencias internacionales. Los datos técnicos de conexión pueden ser procesados en los Estados Unidos de América, jurisdicción declarada con nivel adecuado de protección por la Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio. El Grupo VHG no realiza transferencias hacia jurisdicciones no declaradas adecuadas. Cualquier cambio de proveedor o de país de tratamiento se sujeta al régimen del numeral 13 del instrumento MLD-04.
11. Derechos del Titular
Respecto de los datos personales que puedan derivarse de las cookies técnicas, el Titular puede ejercer los derechos de conocer, actualizar, rectificar, solicitar prueba de la autorización cuando esta sea exigible, ser informado sobre el uso de sus datos, revocar la autorización, solicitar la supresión y presentar quejas ante la autoridad de control, en los términos del artículo 8 de la Ley 1581 de 2012.
Las solicitudes se presentan a info@vhg.capital. Los plazos aplicables son los del artículo 14 de la Ley 1581 de 2012 para consultas —diez (10) días hábiles, prorrogables por cinco (5)— y los del artículo 15 para reclamos —quince (15) días hábiles, prorrogables por ocho (8)—, conforme al procedimiento del numeral 10 del instrumento MLD-04.
12. Vigencia, actualización y canales de contacto
12.1 Vigencia y actualización
Este Aviso rige desde su publicación en https://vhg.capital, en la fecha señalada en el bloque de Control del Documento, y se somete a revisión ordinaria el 1 de enero de cada año, así como a revisión extraordinaria ante cambios normativos, cambio de proveedor de alojamiento, modificaciones en la funcionalidad del Sitio o incorporación de nuevas tecnologías.
Las modificaciones sustanciales se comunicarán de forma destacada. La incorporación de cookies no técnicas se rige por el numeral 9 y dará lugar a una nueva solicitud de consentimiento.
12.2 Canales de contacto
| Asunto | Canal |
|---|
| Consultas sobre cookies y tecnologías de seguimiento | info@vhg.capital |
| Ejercicio de derechos sobre datos personales | info@vhg.capital |
| Oficialía de Protección de Datos del Grupo VHG | info@vhg.capital |
| Notificación judicial y administrativa | Delaware, Estados Unidos de América — info@vhg.capital |
FIN DEL INSTRUMENTO MLD-03
Valencia Holding Group — Marco Legal Digital del Grupo VHG
MLD-03 — Aviso de Cookies y Tecnologías Similares | Versión 3.0 | Idioma rector: español
Published: 1 October 2026
PERSONAL DATA PROCESSING AND PROTECTION POLICY
VALENCIA HOLDING GROUP
VHG Group Digital Legal Framework — Instrument MLD-04
Master policy on the governance, processing and protection of personal data of the VHG Group and its adhering entities
Version 2.0 — October 2026
Document subject to mandatory adoption and publication — Public access
Language notice. The governing language of this instrument is Spanish. This English version is published as a courtesy translation. In the event of any discrepancy, and in particular with respect to data subjects domiciled in Colombia, the Spanish version prevails.
DOCUMENT CONTROL
Identification
| Field | Detail |
|---|
| Document | MLD-04 — Personal Data Processing and Protection Policy |
| Master document | VHG Group Digital Legal Framework (MLD-VHG) |
| Issuing entity | Valencia Holding Group — Parent Company |
| Legal nature | Information Processing Policy (política de tratamiento de la información) under Article 2.2.2.25.3.1 of Colombian Decree 1074 of 2015 |
| Related instruments | MLD-01 (Terms), MLD-02 (Privacy Notice), MLD-03 (Cookie Notice) |
| Version | 2.0 |
| Effective date | 1 October 2026 |
| Material scope | All personal databases of the VHG Group, digital and non-digital |
| Validity of databases | For as long as the declared purposes and statutory retention periods subsist (Annex D) |
| Governing language | Spanish |
| Status | In force |
Version history
| Version | Date | Description | Status |
|---|
| 1.0 to 1.1 | July to September 2026 | Internal working versions. Not published. | Superseded |
| 2.0 | 1 October 2026 | First published version. Completion of controller identification, single contact channel, alignment of the governing law with the State of Delaware, trademark regime pending registration, and effectiveness with ordinary annual review. | In force |
Regulatory traceability convention
| Category | Meaning | Treatment |
|---|
| Mandatory rule | Public-policy provision of compulsory application | No derogation permitted |
| Group standard | Rule adopted by VHG above the statutory minimum | Binding on all adhering entities |
| Operational parameter | Time limit, threshold or procedure defined by the Group | Reviewable in the annual update |
| Deployment variable | The single field completed at the time of publication | Marked as 1 October 2026 |
Use notice
Document subject to mandatory adoption. This Policy is the instrument that Colombian law requires of every data controller and cannot be replaced by the Privacy Notice. Its formal adoption by each adhering entity, through a Deed of Adhesion, is a condition for the lawful operation of its databases. Non-compliance exposes the entity to the sanctions in Article 23 of Law 1581 of 2012.
CONTENTS
- Purpose, scope and group architecture
- Identification of the controller and governance structure
- Definitions
- Governing principles
- Data classification and special regimes
- Databases and purposes of processing
- Authorisation regime
- Data subject rights
- Duties of the VHG Group
- Procedure for handling enquiries and complaints
- Data processors and the supplier chain
- Data circulation within the VHG Group
- International transfers and transmissions
- Information security
- Security incident management
- National Database Register
- Retention, deletion and anonymisation
- Demonstrated accountability
- Special processing activities
- Sanctions regime and consequences of non-compliance
- Jurisdictional supplements
- Effectiveness, updating and regulatory monitoring
- Annexes and contact channels
1. Purpose, scope and group architecture
A processing policy is not a declaratory document but the instrument that legally organises the relationship between the Group and the persons whose data it administers. Its effectiveness depends on precisely delimiting what it covers, who applies it, and how it articulates with the Group's corporate structure.
1.1 Purpose
This Policy establishes the principles, criteria, procedures, safeguards and responsibilities governing the processing of personal data by Valencia Holding Group ("VHG" or the "Parent Company") and by the entities adhering to the VHG Group Digital Legal Framework (the "Adhering Entities" and, together, the "VHG Group").
It is adopted in compliance with Article 15 of the Political Constitution of Colombia, Law 1581 of 2012, Decree 1074 of 2015 — which consolidated Decree 1377 of 2013 — and concordant provisions, as well as the rules applicable in the other jurisdictions in which the Group operates.
1.2 Material scope
This Policy covers all personal databases of the VHG Group, irrespective of their medium, format or collection channel. It includes, without limitation:
● Databases fed by digital platforms, portals, applications and online forms.
● Databases arising from contracting with clients, investors, suppliers and contractors.
● Human resources databases, including candidates, employees and former employees.
● Due diligence and counterparty knowledge records.
● Physical, documentary and contractual files.
● Video surveillance and access control systems.
● Communications and customer service records.
This delimitation expressly corrects the exclusively digital scope of earlier instruments.
1.3 Subjective scope
Bound entities. VHG and every Adhering Entity. These include, among others, Valencia Capital Group (VCG) and Valencia Investment Group (VIG), as well as any other affiliate, subsidiary, company, brand or business unit that may in future join the Group, be incorporated by it or come under its direct or indirect control. This list is illustrative and not exhaustive: a new entity joins by executing the Deed of Adhesion under section 1.4, without any need to amend this Policy.
Data subjects covered. Any natural person whose data is processed by the VHG Group: platform users and visitors; current and prospective clients; investors and prospective investors; commercial counterparties; suppliers, contractors and their personnel; candidates and employees; and legal representatives, ultimate beneficial owners and contact persons of legal entities with which the Group deals.
Bound personnel. Directors, legal representatives, employees, contractors and third parties accessing personal data under the responsibility of the VHG Group, whose non-compliance shall give rise to the consequences set out in section 20.2.
1.4 Group architecture and adhesion
Valencia Holding Group is the Parent Company and the issuing unit of this Policy. It defines the mandatory minimum data protection standard for the entire Group and exercises coordination, verification and reporting functions through the Group Data Protection Office.
Each Adhering Entity is an autonomous Data Controller in respect of the databases whose purposes and means it determines. Adhesion creates no commingling of assets, no automatic joint controllership and no transfer of controller status to the Parent Company.
Adhesion is effected through a Deed of Adhesion in the form of Annex E, with the effects set out in section 2.2 of instrument MLD-01. As a condition of adhesion, each Adhering Entity must:
First. Complete and publish its Annex A — Identification Sheet.
Second. Formally designate its Data Protection Area and its contact point for the exercise of rights.
Third. Prepare and maintain its Annex D — Register of Databases, Purposes and Retention.
Fourth. Register its databases in the National Database Register where required under section 16.
Fifth. Execute Annex F — Intragroup Personal Data Transmission Master Agreement.
Power to supplement. Each Adhering Entity may issue its own supplements that raise the standard of this Policy, having regard to its activity, its regulated sector or its jurisdiction. No supplement may reduce, contradict or derogate from it.
1.5 Territorial scope and order of precedence
Under Article 2 of Law 1581 of 2012, the Colombian regime applies to processing carried out in Colombian territory and to controllers or processors not domiciled in Colombia to whom Colombian law applies by virtue of international rules and treaties.
The order of precedence, from which no derogation is permitted, is as follows:
| Order | Source |
|---|
| 1 | Mandatory and public-policy rules of the data subject's jurisdiction |
| 2 | Applicable Jurisdictional Supplement (Annex B and section 21) |
| 3 | Adhering Entity supplement, where it raises the standard |
| 4 | This Policy (MLD-04) |
2. Identification of the controller and governance structure
The law requires that data subjects know precisely against whom they exercise their rights. This section satisfies that requirement and also defines the internal structure that makes the Policy operational.
2.1 Identification of the controller
| Field | Detail |
|---|
| Corporate name | Valencia Holding Group LLC |
| NIT / RUC / EIN | Withheld from publication. Recorded in Annex A and disclosed to any authority so requiring |
| Principal domicile | Delaware, United States of America |
| Physical address for service | Delaware, United States of America. Designated formal channel for service: info@vhg.capital |
| Email address for the exercise of rights | info@vhg.capital |
| Telephone | Not published. Single contact channel: info@vhg.capital |
| Website | https://vhg.capital |
The full identification of each Adhering Entity is set out in Annex A.
2.2 Area responsible for handling requests, enquiries and complaints
In compliance with Article 2.2.2.25.3.1(d) of Decree 1074 of 2015, the following area is designated as responsible for handling requests, enquiries and complaints before which data subjects may exercise their rights:
| Field | Detail |
|---|
| Name of the area | VHG Group Data Protection Office |
| Email address | info@vhg.capital |
| Physical address | Delaware, United States of America |
| Telephone | Not published. Single contact channel: info@vhg.capital |
| Service hours | Permanent electronic intake. Response within the statutory periods, counted in business days |
2.3 Group Data Protection Office
VHG designates a Group Data Protection Office (DPO) with the following functions:
● To maintain, interpret and update the Digital Legal Framework.
● To coordinate and verify implementation of this Policy across the Adhering Entities.
● To advise on impact assessments for high-risk processing.
● To consolidate incident reporting and act as interlocutor with supervisory authorities.
● To present an annual compliance report to the highest management body.
● To approve Adhering Entity supplements.
The DPO exercises its functions with functional independence and may not receive instructions that compromise its technical judgment. Its identification is set out in Annex A.
2.4 Data Protection and Information Governance Committee
A Committee is constituted with participation from the DPO, legal, technology, compliance and risk functions, meeting at least twice a year, responsible for reviewing the state of compliance, materialised incidents, identified gaps and the remediation plan.
3. Definitions
For the purposes of this Policy, the definitions in Article 3 of Law 1581 of 2012 and Article 2.2.2.25.1.3 of Decree 1074 of 2015 are adopted:
Authorisation. The data subject's prior, express and informed consent to the processing of their personal data.
Privacy notice. Verbal or written communication addressed to the data subject informing them of the existence of the processing policies, how to access them, and the purposes of processing.
Database. An organised set of personal data subject to processing.
Personal data. Any information linked to, or capable of being associated with, one or more identified or identifiable natural persons.
Public data. Data that is not semi-private, private or sensitive, such as data relating to civil status, profession or occupation and status as a merchant or public servant, and data contained in public documents, final judgments and public registers.
Semi-private data. Data that is neither intimate nor public in nature and whose knowledge is of interest to the data subject and to a specific group of persons.
Private data. Data of an intimate or restricted nature of interest only to its data subject.
Sensitive data. Data affecting the data subject's privacy or whose misuse may give rise to discrimination.
Data processor. A person who processes personal data on behalf of the controller.
Data controller. A person who decides on the database and on the processing of the data.
Data subject. The natural person whose personal data is processed.
Transfer. The sending of data to a recipient that is itself a controller, located inside or outside the country.
Transmission. The communication of data to a processor so that the latter may process it on behalf of the controller.
Processing. Any operation on personal data, such as collection, storage, use, circulation or deletion.
Security incident. An event compromising the confidentiality, integrity or availability of personal data.
4. Governing principles
The processing of personal data by the VHG Group is subject to the principles set out in Article 4 of Law 1581 of 2012, which operate as criteria for the interpretation of the entire Policy:
Lawfulness. Processing is a regulated activity that must comply with the law and its implementing provisions.
Purpose limitation. Processing serves a legitimate, specified purpose previously communicated to the data subject. No database is used for purposes other than those declared in Annex D.
Freedom. Processing is carried out only with the data subject's prior, express and informed consent. Data is neither obtained nor disclosed without authorisation, save under a legal or judicial mandate.
Accuracy or quality. Information is truthful, complete, exact, current, verifiable and comprehensible. The processing of partial, incomplete, fragmented or misleading data is prohibited.
Transparency. Data subjects are guaranteed the right to obtain, at any time and without restriction, information about the existence of data concerning them.
Restricted access and circulation. Processing is subject to the limits deriving from the nature of the data. Personal data other than public information may not be made available through mass dissemination media unless access is technically controllable.
Security. Information is handled with the technical, human and administrative measures necessary to secure records, preventing their alteration, loss, or unauthorised or fraudulent consultation, use or access.
Confidentiality. All persons involved in processing are obliged to maintain the confidentiality of the information, an obligation that subsists even after their relationship with the Group has ended.
Demonstrated accountability. As an additional Group standard, compliance is not declared: it is documented, measured and evidenced to the data subject and to the authority, in accordance with section 18.
5. Data classification and special regimes
Not all data admits the same treatment. Classification determines the level of authorisation required, the applicable security measures and the limits on circulation, and is therefore the operational starting point for every decision concerning data.
5.1 General classification
Under Law 1581 of 2012 and Constitutional Court Judgment C-748 of 2011, data is classified as public, semi-private, private and sensitive, with increasing levels of protection and restriction on circulation.
5.2 Sensitive data
Rule. The processing of sensitive data is prohibited, save in the cases set out in Article 6 of Law 1581 of 2012: where the data subject has given explicit authorisation, unless the law does not require it; where processing is necessary to safeguard the vital interest of a data subject who is physically or legally incapacitated; where processing is carried out in the course of legitimate activities by a foundation, NGO, association or other non-profit body with a political, philosophical, religious or trade union purpose, in respect of its members; where the data is necessary for the recognition, exercise or defence of a right in judicial proceedings; or where processing has a historical, statistical or scientific purpose and identity-suppression measures are adopted.
Additional safeguards. Where the VHG Group needs to process sensitive data, it shall:
● Inform the data subject that the data is sensitive and of the specific purpose.
● Obtain explicit authorisation, separate from the general authorisation.
● Expressly inform the data subject that they are not obliged to authorise the processing of sensitive data or to answer questions about it.
● Apply enhanced access controls, encryption and distinct audit logging.
● Refrain from conditioning any activity on the provision of sensitive data, save under a legal mandate.
5.3 Children's and adolescents' data
The processing of minors' data is prohibited, save where the data is of a public nature and the processing meets the parameters of Article 2.2.2.25.2.9 of Decree 1074 of 2015: responding to and respecting the best interests of the child, and ensuring respect for their fundamental rights.
The VHG Group:
● Does not direct its platforms or products to minors.
● Requires the authorisation of the legal representative, having taken account of the minor's views where their maturity permits.
● Immediately deletes minors' data collected inadvertently.
● Refrains from profiling or advertising directed at minors.
5.4 Financial and credit data
Where an Adhering Entity administers, reports or consults financial, credit, commercial or service information with information operators, such processing is additionally governed by Law 1266 of 2008 and its implementing rules, with the safeguards specific to that regime — prior notice before an adverse report, right of defence, information retention periods and lapse of adverse data.
Clarification. Law 1266 of 2008 governs financial and credit habeas data; the general personal data protection regime is that of Law 1581 of 2012. The two regimes are concurrent and do not replace one another. This clarification corrects the generic reference to the "Habeas Data Law" used in earlier versions of the Framework.
5.5 Data of legal entities
Data of legal entities is not personal data. However, data of their legal representatives, directors, ultimate beneficial owners, individual shareholders and contact personnel is personal data and is fully subject to this Policy.
6. Databases and purposes of processing
6.1 Register of databases
Each Adhering Entity prepares and keeps current Annex D — Register of Databases, Purposes and Retention, with the following minimum structure:
| Database | Categories of data subjects | Categories of data | Purposes | Lawful basis | Processors | Transfers | Retention period | Security measures |
|---|
| Web contacts and enquiries | Visitors and contacts | Identification, contact details and message content | Handling enquiries and relationship management | Data subject authorisation | Hosting and email provider | United States | Two (2) years from the last interaction | Encryption in transit and at rest; access control |
| Suppliers and contractors | Counterparty personnel | Identification, contact and contractual data | Contract performance and regulatory compliance | Authorisation and contract performance | Legal, accounting and audit advisers | Colombia and United States | Limitation period for contractual actions | Access control and audit logging |
| Talent management | Employment candidates | Identification, contact details and professional background | Candidate selection and assessment | Data subject authorisation | Not applicable | Colombia | Twelve (12) months from the close of the process | Restricted access control |
Annex D is updated at least annually and whenever a database is created, a purpose is modified or a new processor is engaged.
6.2 Declared purposes
The VHG Group processes personal data exclusively for the purposes declared in section 5 of instrument MLD-02, which are incorporated here in full: relationship management; contract performance; regulatory compliance, including anti-money-laundering and counter-terrorist-financing; risk management and security; corporate governance; platform improvement; institutional and commercial communications subject to specific authorisation; and talent management.
Prohibition on undeclared secondary purposes. No Group entity may use personal data for purposes other than, or incompatible with, those declared. Adding a new purpose requires updating Annex D, prior communication to the data subject and fresh authorisation.
7. Authorisation regime
Authorisation is the cornerstone of the Colombian data protection system and the point at which non-compliance most frequently materialises. This section sets out its regime without reference to foreign standards that Colombian law does not recognise.
7.1 Requirements
Authorisation must be prior to collection, express — manifested through unequivocal conduct — and informed, that is, preceded by communication to the data subject of the controller's identity, the purposes of processing, the optional nature of answering questions about sensitive data or minors' data, their rights, and how to access this Policy.
7.2 Absence of legitimate interest as an autonomous basis
Mandatory rule. Colombian law does not recognise "legitimate interest" as an autonomous lawful basis for processing. The only cases in which authorisation is not required are those exhaustively listed in Article 10 of Law 1581 of 2012: (i) information required by a public or administrative body in the exercise of its statutory functions or by court order; (ii) data of a public nature; (iii) medical or health emergencies; (iv) processing authorised by law for historical, statistical or scientific purposes; and (v) data relating to the Civil Registry of Persons. No Group entity may invoke legitimate interest as the basis for processing subject to Colombian law.
7.3 Manner of obtaining and evidence
Authorisation is obtained by means permitting subsequent consultation: a physical document, an electronic signature, an unchecked verification box, an acceptance button, a voice recording with prior warning, or unequivocal conduct of the data subject reasonably permitting the conclusion that authorisation was granted.
The VHG Group retains evidence of authorisation as required by Article 9 of Law 1581 of 2012, recording the date, time, channel, version of the text disclosed and technical traces. This record is retained throughout the processing and, at a minimum, for five (5) years after its termination.
The following do not constitute authorisation: silence, inactivity, pre-ticked boxes, continued browsing or continued use of a service.
7.4 Authorisation for data collected before this Policy took effect
In respect of previously collected data, the VHG Group shall conduct the authorisation request process set out in Article 2.2.2.25.2.4 of Decree 1074 of 2015, using efficient means of communication with the data subject. If, thirty (30) business days after the communication, the data subject has not objected and has continued using the services, authorisation shall be deemed to subsist; otherwise, the data shall be deleted.
7.5 Withdrawal and requests for deletion
Data subjects may withdraw authorisation and request deletion of their data at any time, free of charge, in whole or in part in respect of specific purposes.
Deletion does not proceed where the data subject is under a legal or contractual duty to remain in the database, or where deletion would obstruct judicial or administrative proceedings relating to tax obligations, the investigation of offences or the updating of administrative sanctions. In such cases, the refusal shall be communicated to the data subject with reasons within the time limits in section 10.
8. Data subject rights
Under Article 8 of Law 1581 of 2012, data subjects have the right to: know, update and rectify their data; request evidence of the authorisation granted; be informed of the use made of their data; lodge complaints with the Superintendency of Industry and Commerce once the procedure before the controller has been exhausted; withdraw authorisation and request deletion where applicable; and access their data free of charge.
Standing. These rights may be exercised by the data subject; by their successors, who must evidence that status; by the data subject's representative or attorney-in-fact; and under a stipulation in favour of a third party. Minors' rights shall be exercised by the person empowered to represent them.
Proof of identity. The VHG Group shall verify the applicant's identity through proportionate mechanisms, refraining from requesting excessive information or collecting additional data on the occasion of the request.
9. Duties of the VHG Group
9.1 As controller
Under Article 17 of Law 1581 of 2012, the VHG Group must: guarantee the data subject full exercise of habeas data; request and retain a copy of the authorisation; duly inform the data subject of the purpose and of their rights; keep the information under conditions of security; ensure the information is truthful, complete, exact, current, verifiable and comprehensible; update and rectify the information; supply the processor only with data whose processing has been authorised; require the processor to observe security and privacy conditions; handle enquiries and complaints; adopt an internal manual of policies and procedures; inform the processor where information is under dispute; inform the data subject, on request, of the use made of their data; and inform the data protection authority where breaches of security codes occur and risks arise in the administration of information.
9.2 As processor
Where a Group entity acts as processor on behalf of a third party, it shall observe the duties in Article 18 of Law 1581 of 2012, in particular processing data only in accordance with the controller's instructions and refraining from using it for its own purposes.
10. Procedure for handling enquiries and complaints
A right without a defined procedure is unenforceable. This section adopts the statutory procedure and time limits expressly and verifiably, and constitutes the mandatory minimum standard for every Adhering Entity.
10.1 Channels
Requests are submitted through the channels in section 23.2, stating: the data subject's name and identification; the capacity in which they act and evidence of standing where applicable; a precise description of the request; a physical or electronic address for service; and supporting documents.
10.2 Enquiries
Time limit: ten (10) business days from the date of receipt. Where the enquiry cannot be answered within that period, the interested party shall be informed before its expiry, stating the reasons and the date on which it will be answered, which may not exceed five (5) business days following expiry of the first period. (Article 14, Law 1581 of 2012.)
10.3 Complaints
Time limit: fifteen (15) business days from the day following receipt. Where the complaint cannot be handled within that period, the interested party shall be informed of the reasons for the delay and of the response date, which may not exceed eight (8) business days following expiry of the first period. (Article 15, Law 1581 of 2012.)
| Situation | Action | Time limit |
|---|
| Incomplete complaint | Request to the interested party to remedy | 5 days from receipt |
| Interested party fails to remedy | Complaint deemed withdrawn | 2 months from the request |
| Entity not competent | Referral to the competent party and notice to the interested party | 2 business days |
| Complaint pending | Inclusion of the legend "complaint pending" and its subject matter in the database | 2 business days |
10.4 Procedural prerequisite
Under Article 16 of Law 1581 of 2012, a data subject may lodge a complaint with the Superintendency of Industry and Commerce only once the enquiry or complaint procedure before the controller or processor has been exhausted.
10.5 Record and traceability
Each Adhering Entity maintains a register of requests with a unique reference, date and time of receipt, intake channel, type of request, response date, the substance of the decision and evidence of notification. This register feeds the DPO's annual report and serves as evidence before the authority.
Special rule arising from the single channel. The VHG Group operates a single contact mailbox (info@vhg.capital). Traceability is therefore provided not by the email address but by the procedure: every incoming communication is classified upon receipt as an enquiry, a complaint, a withdrawal request, legal service, an incident report or general correspondence, and those constituting an exercise of rights are immediately entered in the register, triggering the running of statutory periods. Incorrect or late classification of a request neither suspends nor interrupts the periods in sections 10.2 and 10.3.
10.6 No charge
The exercise of rights is free of charge. No payment shall be required and handling shall not be conditioned on any consideration. Information may be supplied by any means, including electronic means, requested by the data subject.
11. Data processors and the supplier chain
The risk of a processing activity does not stop at the boundaries of the organisation: it extends to the entire supplier chain that accesses the data. Its contractual governance is therefore an integral part of the security duty.
11.1 Prior due diligence
Before engaging a processor, the Adhering Entity assesses its technical and organisational security conditions, its location and that of its subcontractors, its certifications, its incident history and its mechanisms for handling data subject rights. The assessment is documented.
11.2 Transmission agreement
Every transmission to a processor is documented in an agreement which, under Article 2.2.2.25.5.2 of Decree 1074 of 2015, must contain at least: the scope and purposes of the processing; the activities the processor will carry out on behalf of the controller; the processor's obligations to the data subject and to the controller; the duty to process data in accordance with the authorised purpose and applicable law; the duty to safeguard the security of the databases; the duty of confidentiality; and the return or deletion of data at the end of the relationship.
11.3 Sub-processors
The processor may not subcontract processing without the controller's prior written authorisation. Authorisation is conditioned on the sub-processor assuming equivalent obligations and on the processor retaining responsibility towards the controller.
11.4 Audit
The controller reserves the right to audit the processor, directly or through an independent third party, on reasonable notice and without disrupting operations.
12. Data circulation within the VHG Group
Membership of the same corporate group does not, on its own, permit the free flow of data between its entities. Each flow requires legal characterisation and its own basis.
12.1 Characterisation of the flow
Transmission. Where a Group entity processes data on behalf of another, following its instructions and without determining its own purposes, it acts as a processor. The flow is governed by the agreement in section 11.2 and requires no additional authorisation from the data subject, provided the purpose has been declared.
Transfer. Where the receiving entity determines its own purposes, it acts as an independent controller. The flow constitutes a transfer and requires the data subject's authorisation, disclosed at the time of collection or requested subsequently.
12.2 Intragroup Master Agreement
VHG and the Adhering Entities execute Annex F — Intragroup Personal Data Transmission Master Agreement, which documents the flows, characterises each entity's position, defines the permissible purposes, establishes common security measures and governs the handling of rights requests where a data subject approaches an entity other than the controller.
12.3 Single point of entry
Data subjects may exercise their rights before any VHG Group entity. The entity receiving the request shall refer it to the controller within two (2) business days and inform the data subject accordingly, without the internal referral affecting the statutory response periods owed to the data subject.
13. International transfers and transmissions
13.1 Applicable regime
Mandatory rule. Article 26 of Law 1581 of 2012 prohibits the transfer of personal data to countries that do not provide adequate levels of protection, meaning those meeting the standards set by the Superintendency of Industry and Commerce. The prohibition does not apply where: the data subject has given express and unequivocal authorisation; the transfer concerns the exchange of medical data required for the data subject's treatment on grounds of health or public hygiene; the transfer concerns banking or stock-exchange transfers under the applicable legislation; the transfer has been agreed in an international treaty to which Colombia is a party; the transfer is necessary for the performance of a contract between the data subject and the controller or for pre-contractual measures, provided authorisation exists; or the transfer is legally required to safeguard the public interest or for the recognition, exercise or defence of a right in judicial proceedings.
13.2 Countries with an adequate level of protection
Under External Circular 005 of 2017 of the Superintendency of Industry and Commerce, the following countries, among others, are declared to provide an adequate level of protection: Germany, Austria, Belgium, Bulgaria, Cyprus, Costa Rica, Croatia, Denmark, Slovakia, Slovenia, Spain, the United States of America, Estonia, Finland, France, Greece, Hungary, Ireland, Iceland, Italy, Latvia, Lithuania, Luxembourg, Malta, Mexico, Norway, the Netherlands, Peru, Poland, Portugal, the United Kingdom, the Czech Republic, the Republic of Korea, Romania, Serbia and Sweden, as well as countries declared adequate by the European Commission.
Current processing destinations. As at the publication date of this Policy, the VHG Group's only processing destinations are Colombia and the United States of America, the latter declared to provide an adequate level of protection by External Circular 005 of 2017. The Group carries out no transfers or transmissions to jurisdictions not declared adequate, including Panama, which does not appear on that list.
Activation rule. Before enabling any flow to a destination not declared adequate, the Group Data Protection Office must verify and document its basis, which may only be: (i) the data subject's express and unequivocal authorisation, specifically informed as to the destination; (ii) a declaration of conformity issued by the Superintendency of Industry and Commerce; or (iii) one of the exceptions in Article 26 of Law 1581 of 2012. No such flow may commence without that prior verification.
13.3 Periodic verification
The list of countries with an adequate level of protection is dynamic. The DPO verifies its currency at least annually and upon any pronouncement by the authority, updating Annex D accordingly.
13.4 Contractual safeguards
Irrespective of the adequacy status of the destination, every international transfer or transmission is documented with clauses imposing on the recipient obligations equivalent to those in this Policy as regards purpose, security, confidentiality, handling of rights, incident notification and return or deletion.
13.5 Declaration of conformity
Where a flow cannot rely on a statutory exception or on the data subject's authorisation, the Adhering Entity shall obtain a declaration of conformity from the Superintendency of Industry and Commerce before commencing the transfer.
14. Information security
The security principle is evidenced not by a statement of intent but by verifiable controls proportionate to the risk. The VHG Group adopts the following minimum standard, binding on every Adhering Entity.
14.1 Administrative measures
● An internal manual of policies and procedures, of which this Policy forms part.
● Formal allocation of roles and responsibilities for each database.
● Confidentiality agreements executed by all personnel and contractors.
● An annual training programme with attendance records and assessment.
● A documented procedure for granting, modifying and revoking access.
14.2 Technical measures
● Access control under the principles of least privilege and need to know.
● Enhanced authentication for access to databases containing sensitive or high-volume information.
● Encryption of information in transit and at rest, in line with the state of the art.
● Audit logging of accesses and operations, retained for a minimum of twelve (12) months and protected against alteration.
● Periodic backups and documented restoration testing.
● Environment segregation and a prohibition on using real personal data in development and testing environments without prior pseudonymisation.
● Vulnerability management and timely patching.
14.3 Physical measures
● Access control to premises, data centres and documentary archives.
● Secure custody and destruction of physical media.
● Clear desk and clear screen protocols.
14.4 Duty of confidentiality
All persons involved in processing are obliged to maintain the confidentiality of the information. This obligation subsists even after their relationship with the VHG Group has ended.
15. Security incident management
15.1 Definition and detection
A security incident is any event that compromises or may compromise the confidentiality, integrity or availability of personal data, including unauthorised access, loss or destruction of information, improper disclosure, cyberattacks and human error affecting data.
15.2 Protocol
| Phase | Action | Maximum time |
|---|
| Detection and internal reporting | Immediate communication to the Data Protection Area and the DPO | Without delay, upon becoming aware |
| Containment | Measures to halt the incident and limit its scope | Immediate |
| Assessment | Determination of scope, categories of data and data subjects affected, and risk to their rights | 72 hours |
| Reporting to the authority | Report to the Superintendency of Industry and Commerce through the National Database Register | Within 15 business days of detection |
| Communication to data subjects | Where the incident entails a risk to data subjects' rights | Without undue delay |
| Remediation and closure | Corrective actions and lessons learned | 30 calendar days |
Reporting to the authority is made in compliance with Article 17(n) of Law 1581 of 2012 and the instructions issued by the Superintendency of Industry and Commerce through the National Database Register. Where an incident affects additional jurisdictions, the notification duties of each shall be discharged in parallel.
15.3 Incident register
Each Adhering Entity maintains an incident register recording the description, date of detection, categories and volume of data affected, measures adopted, reports made and closure status. The DPO consolidates the Group register.
16. National Database Register
Private legal entities are required to register their databases containing personal data in the National Database Register (RNBD) administered by the Superintendency of Industry and Commerce, under Article 25 of Law 1581 of 2012 and its implementing rules.
Applicability threshold. Decree 090 of 2018 limited the registration obligation to companies and non-profit entities with total assets exceeding 100,000 UVT.
Current position of the Group. As at the publication date of this Policy, no VHG Group entity reaches the 100,000 UVT threshold in total assets, so RNBD registration is not required of it. This position is not permanent: the threshold is assessed against each financial year's statements and the UVT value in force for that year. Accordingly, the Group Data Protection Office shall verify the threshold annually, within one month of approval of each Adhering Entity's financial statements, and shall document that verification whether or not the threshold is exceeded. Once exceeded, registration must be effected within the period set by the authority.
Associated obligations. Registered entities must keep the information on their databases current and report, through the RNBD, complaints submitted by data subjects and security incidents, within the time limits set by the authority.
Verification. The DPO verifies annually the registration status of each Adhering Entity and documents that verification, whether or not the entity exceeds the threshold.
17. Retention, deletion and anonymisation
17.1 Retention criteria
Personal data is retained only for as long as necessary to: fulfil the declared purpose; meet legal, accounting, tax, employment and regulatory obligations; and exercise or defend rights during the applicable limitation and lapse periods.
Specific periods by database are set out in Annex D. In the absence of a special rule, the default period is the general limitation period for ordinary actions applicable in the relevant jurisdiction.
17.2 Secure deletion
Once the retention period expires, data is deleted through procedures preventing its recovery, in both production systems and backups, with documentary evidence of the deletion. Where immediate deletion from backups is not technically feasible, the data shall be blocked until backup rotation.
17.3 Anonymisation
As an alternative to deletion, the VHG Group may subject data to irreversible anonymisation, after which it ceases to be personal data. Anonymisation must prevent re-identification by reasonably available means; mere pseudonymisation is not equivalent to anonymisation and does not exempt from compliance with this Policy.
18. Demonstrated accountability
Compliance is not declared: it is evidenced. The principle of demonstrated accountability, incorporated in Article 2.2.2.25.6.1 of Decree 1074 of 2015 and developed by the Superintendency of Industry and Commerce, requires the controller to adopt appropriate, effective and verifiable measures and to demonstrate their implementation.
18.1 Comprehensive Personal Data Management Programme
Each Adhering Entity implements a programme comprising, at a minimum: this Policy and its derived procedures; a current Annex D; the register of authorisations; the register of data subject requests; the incident register; contracts with processors; the international transfer matrix; the annual training plan; and the annual compliance report.
18.2 Privacy by design and by default
Every new product, platform, feature or process involving the processing of personal data incorporates data protection considerations from the design phase, applying by default the most protective configuration, data minimisation and purpose limitation.
18.3 Impact assessment
High-risk processing — large-scale processing of sensitive data, systematic profiling, automated decisions with legal effects, extensive video surveillance, use of biometric data or the incorporation of artificial intelligence systems — requires a prior impact assessment, documented and approved by the DPO.
18.4 Training
Personnel receive training on joining and at least annually, with content differentiated according to their level of access to data. Attendance and assessment records are retained.
18.5 Audit and review
The DPO conducts an annual compliance review of each Adhering Entity, the results of which are presented to the Committee and to the highest management body, together with a remediation plan and assigned owners.
19. Special processing activities
19.1 Video surveillance
The installation of video surveillance systems is limited to the security of persons and property, with visible signage at capture points, a prohibition on capture in areas of reasonable expectation of privacy, restricted access to recordings and a retention period not exceeding thirty (30) calendar days, unless the images document an incident under investigation.
19.2 Commercial communications
Sending commercial communications requires specific and separate authorisation, revocable at any time. In Colombia, Law 2300 of 2023 additionally applies: contact only through channels authorised by the consumer, within permitted hours — Monday to Friday from 7:00 to 19:00 and Saturdays from 8:00 to 15:00, prohibited on Sundays and public holidays — respecting frequency limits and immediately honouring any request not to be contacted.
19.3 Biometric data
Biometric data is sensitive data. Its processing requires explicit and separate authorisation, a prior impact assessment, encrypted storage, a prohibition on use for purposes other than the declared authentication or access control, and the availability of a non-biometric alternative for data subjects who do not authorise it.
19.4 Automated decisions, profiling and artificial intelligence
The VHG Group does not take decisions based solely on automated processing that produce legal effects on, or significantly affect, a data subject, without qualified human intervention and without prior disclosure.
Any artificial intelligence system processing personal data is subject to: a prior impact assessment; documentation of the processing logic and the categories of data used; a prohibition on using personal data for model training without the data subject's specific and informed authorisation; and periodic review of outputs to detect discriminatory bias.
19.5 Employment and candidate data
Candidate data is retained for a maximum of twelve (12) months from the conclusion of the process, unless express authorisation is given for retention in a talent pool. It is prohibited to request information on pregnancy status, sexual orientation, political or trade union affiliation, or any sensitive data unrelated to suitability for the role.
19.6 Anti-money-laundering compliance
The processing of data for due diligence, counterparty knowledge, restrictive list screening and reporting to authorities is carried out on the basis of compliance with legal obligations. Where applicable, the regimes of External Circular 100-000016 of 2020 of the Superintendency of Companies (SAGRILAFT), the Business Transparency and Ethics Programme and the rules of the Financial Information and Analysis Unit shall be observed. The statutory confidentiality of suspicious transaction reports prevails over the data subject's right of access, as provided by law.
20. Sanctions regime and consequences of non-compliance
20.1 Administrative sanctions
Non-compliance with the data protection regime exposes the controller to the sanctions in Article 23 of Law 1581 of 2012, imposed by the Superintendency of Industry and Commerce:
● Personal and institutional fines of up to the equivalent of two thousand (2,000) current statutory monthly minimum wages.
● Suspension of processing-related activities for up to six (6) months.
● Temporary closure of processing-related operations where the suspension period elapses without corrective measures being adopted.
● Immediate and permanent closure of operations involving the processing of sensitive data.
In Panama, the sanctions under Law 81 of 2019 imposed by the competent authority apply; in other jurisdictions, those provided by the relevant regime.
20.2 Internal consequences
Breach of this Policy by directors, employees or contractors constitutes serious misconduct and gives rise to the applicable disciplinary and contractual measures, without prejudice to applicable civil and criminal actions, including those arising from Article 269F of the Criminal Code — breach of personal data, added by Law 1273 of 2009.
21. Jurisdictional supplements
This Policy constitutes the Group's minimum standard. In each jurisdiction, the local regime applies in addition and prevails where more protective.
21.1 Colombia
Principal regime: Article 15 of the Political Constitution; Law 1581 of 2012; Decree 1074 of 2015; Law 1266 of 2008 on financial habeas data; Law 1273 of 2009 on criminal matters; Law 1480 of 2011 on consumer protection; Law 2300 of 2023 on contact with consumers; Law 527 of 1999 on data messages. Supervisory authority: Superintendency of Industry and Commerce — Delegate Office for the Protection of Personal Data.
21.2 Other jurisdictions — contingency regime
The VHG Group does not currently operate databases in jurisdictions other than Colombia and the United States. Should an Adhering Entity become established in, or process data in, another territory, its adhesion shall trigger the issuance of the corresponding jurisdictional supplement before processing begins.
By way of provision, it is recorded that in Panama — a jurisdiction referenced in earlier versions of the Framework — Law 81 of 26 March 2019 on Personal Data Protection applies, as implemented by Executive Decree 285 of 28 May 2021, under the supervision of the National Authority for Transparency and Access to Information (ANTAI), with a regime likewise structured around the data subject's consent.
21.3 United States
Valencia Holding Group LLC is incorporated in the State of Delaware. There is no general federal data protection regime in the United States. The following apply as relevant: Section 5 of the Federal Trade Commission Act on unfair or deceptive practices; state consumer privacy laws where their applicability thresholds are met — which the Group does not currently reach; and any applicable sector-specific regulation. The Group Data Protection Office shall review annually whether any state law becomes applicable by reason of revenue or data-subject volume thresholds being exceeded, and shall document that determination.
21.4 European Economic Area and United Kingdom
The VHG Group does not declare general subjection to Regulation (EU) 2016/679. Where an Adhering Entity offers goods or services to persons in the European Economic Area or monitors their behaviour, within the meaning of Article 3 of the Regulation, it must carry out a formal applicability determination and, where appropriate, adopt the additional measures the Regulation requires, including the possible designation of a representative under its Article 27.
References to "GDPR-aligned standards" in Group documents are voluntary best practice and do not constitute a declaration of applicability.
22. Effectiveness, updating and regulatory monitoring
22.1 Effectiveness
This Policy takes effect upon publication at https://vhg.capital, on the date stated in the Document Control block, and remains in force until superseded by a later version. The publication date is displayed prominently on the site, in compliance with Article 2.2.2.25.3.1(f) of Decree 1074 of 2015.
22.2 Validity of the databases
In compliance with Article 2.2.2.25.3.1(f) of Decree 1074 of 2015, the VHG Group's databases shall remain in force for as long as the declared purposes and the statutory retention periods set out in Annex D subsist, after which the data shall be deleted or anonymised in accordance with section 17.
22.3 Updating
The DPO subjects this Policy to ordinary review on 1 January each year and to extraordinary review in the event of regulatory changes, corporate reorganisations, the addition of new Adhering Entities, the enabling of new platform functionality or material incidents. Each review is documented, whether or not it results in an amendment.
Substantial amendments are communicated to data subjects in advance of taking effect. Where an amendment entails a change in the purpose of processing, fresh authorisation from the data subject is required; silence shall not be construed as acceptance.
22.4 Regulatory monitoring
Monitoring alert. In August 2025 the National Government filed a bill to update the Colombian personal data protection regime, contemplating, among other matters, an expansion of the lawful bases, strengthened autonomy for the supervisory authority, mandatory designation of a data protection officer in certain cases, reinforced protections for minors, new rights in relation to automated decisions and incident notification duties. As at the issuance date of this Policy, Law 1581 of 2012 remains in force and constitutes the applicable regime. The DPO shall monitor the legislative process and shall present to the Committee, within sixty (60) days of any enactment of the new law, a plan to bring the Framework into line with it.
23. Annexes and contact channels
23.1 Annexes
| Annex | Title | Responsible for completion |
|---|
| A | Adhering Entity Identification Sheet | Issued and published |
| B | Jurisdictional Supplements | Incorporated in section 21 of this Policy |
| C | Inventory of Cookies and Similar Technologies | Incorporated in section 6 of MLD-03 |
| D | Register of Databases, Purposes and Retention | Issued — internal document |
| E | Model Deed of Adhesion to the MLD-VHG | Issued — pending execution by VCG and VIG |
| F | Intragroup Personal Data Transmission Master Agreement | Activated upon the first formal adhesion |
| G | Contact Form Authorisation | Issued — texts and implementation specification |
| H | Security Incident Management Procedure | Incorporated in section 15 of this Policy |
23.2 Contact channels
| Subject | Channel |
|---|
| Exercise of rights (enquiries and complaints) | info@vhg.capital |
| Area responsible for handling requests | VHG Group Data Protection Office — info@vhg.capital |
| Group Data Protection Office | info@vhg.capital |
| Security incident reporting | info@vhg.capital |
| Physical service | Delaware, United States of America — formal channel: info@vhg.capital |
23.3 Supervisory authorities
| Jurisdiction | Authority |
|---|
| Colombia | Superintendency of Industry and Commerce — Delegate Office for the Protection of Personal Data |
| Other jurisdictions | The competent supervisory authority in the territory, under the supplement issued when operations are enabled |
| United States | Federal Trade Commission and competent state authorities |
END OF INSTRUMENT MLD-04
Valencia Holding Group — VHG Group Digital Legal Framework
MLD-04 — Personal Data Processing and Protection Policy | Version 2.0 | Governing language: Spanish
Publicado: 1 de octubre de 2026
POLÍTICA DE TRATAMIENTO DE LA INFORMACIÓN Y PROTECCIÓN DE DATOS PERSONALES
VALENCIA HOLDING GROUP
Marco Legal Digital del Grupo VHG — Instrumento MLD-04
Política maestra de gobernanza, tratamiento y protección de datos personales del Grupo VHG y de sus entidades adherentes
Versión 2.0 — Octubre de 2026
Documento de adopción y publicación obligatoria — Acceso público
CONTROL DEL DOCUMENTO
Identificación
| Campo | Detalle |
|---|
| Documento | MLD-04 — Política de Tratamiento de la Información y Protección de Datos Personales |
| Documento maestro | Marco Legal Digital del Grupo VHG (MLD-VHG) |
| Entidad emisora | Valencia Holding Group — Casa Matriz |
| Naturaleza jurídica | Política de Tratamiento de la Información conforme al artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 |
| Instrumentos relacionados | MLD-01 (Términos), MLD-02 (Aviso de Privacidad), MLD-03 (Aviso de Cookies) |
| Versión | 2.0 |
| Fecha de entrada en vigencia | 1 de octubre de 2026 |
| Alcance material | Todas las bases de datos personales del Grupo VHG, digitales y no digitales |
| Vigencia de las bases de datos | Mientras subsistan las finalidades declaradas y los términos legales de conservación (Anexo D) |
| Idioma rector | Español (castellano) |
| Estado | Vigente |
Historial de versiones
| Versión | Fecha | Descripción | Estado |
|---|
| 1.0 a 1.1 | Julio a septiembre de 2026 | Versiones internas de trabajo. No publicadas. | Sustituidas |
| 2.0 | 1 de octubre de 2026 | Primera versión publicada. Diligenciamiento de la identificación del Responsable, canal único de contacto, ajuste de la ley aplicable al Estado de Delaware, régimen de marcas en trámite y vigencia con revisión ordinaria anual. | Vigente |
Convención de trazabilidad normativa
| Categoría | Significado | Tratamiento |
|---|
| Norma imperativa | Disposición de orden público de obligatorio cumplimiento | No admite pacto en contrario |
| Estándar del Grupo | Regla adoptada por VHG por encima del mínimo legal | Obligatoria para todas las entidades adherentes |
| Parámetro operativo | Plazo, umbral o procedimiento definido por el Grupo | Revisable en la actualización anual |
| Variable de despliegue | Único campo que se diligencia al momento de publicar | Marcado como 1 de octubre de 2026 |
Advertencia de uso
Documento de adopción obligatoria. Esta Política constituye el instrumento que la ley colombiana exige a todo Responsable del Tratamiento y no puede ser sustituida por el Aviso de Privacidad. Su adopción formal por cada entidad adherente, mediante Acta de Adhesión, es requisito para la operación lícita de sus bases de datos. Su incumplimiento expone a la entidad a las sanciones del artículo 23 de la Ley 1581 de 2012.
CONTENIDO
- Objeto, alcance y arquitectura de grupo
- Identificación del Responsable y estructura de gobierno
- Definiciones
- Principios rectores
- Clasificación de los datos y regímenes especiales
- Bases de datos y finalidades del Tratamiento
- Régimen de la autorización
- Derechos de los Titulares
- Deberes del Grupo VHG
- Procedimiento de atención de consultas y reclamos
- Encargados del Tratamiento y cadena de proveedores
- Circulación de datos dentro del Grupo VHG
- Transferencias y transmisiones internacionales
- Seguridad de la información
- Gestión de incidentes de seguridad
- Registro Nacional de Bases de Datos
- Conservación, supresión y anonimización
- Responsabilidad demostrada
- Tratamientos especiales
- Régimen sancionatorio y consecuencias del incumplimiento
- Suplementos jurisdiccionales
- Vigencia, actualización y monitoreo normativo
- Anexos y canales de contacto
1. Objeto, alcance y arquitectura de grupo
Una política de tratamiento no es un documento declarativo sino el instrumento que organiza jurídicamente la relación entre el Grupo y las personas cuyos datos administra. Su eficacia depende de que delimite con precisión qué cubre, quién la aplica y cómo se articula con la estructura societaria del Grupo.
1.1 Objeto
La presente Política establece los principios, criterios, procedimientos, garantías y responsabilidades que rigen el tratamiento de datos personales por parte de Valencia Holding Group ("VHG" o la "Casa Matriz") y de las entidades adheridas al Marco Legal Digital del Grupo VHG (las "Entidades Adherentes" y, conjuntamente, el "Grupo VHG").
Se adopta en cumplimiento del artículo 15 de la Constitución Política de Colombia, de la Ley 1581 de 2012, del Decreto 1074 de 2015 —que compiló el Decreto 1377 de 2013— y de las normas concordantes, así como de la normativa aplicable en las demás jurisdicciones donde opera el Grupo.
1.2 Alcance material
Esta Política cubre la totalidad de las bases de datos personales del Grupo VHG, con independencia de su soporte, formato o canal de recolección. Comprende, sin limitarse a ello:
● Bases de datos alimentadas por plataformas digitales, portales, aplicaciones y formularios en línea.
● Bases de datos derivadas de la contratación con clientes, inversionistas, proveedores y contratistas.
● Bases de datos de gestión humana, incluidos aspirantes, colaboradores y excolaboradores.
● Registros de debida diligencia y conocimiento de contrapartes.
● Archivos físicos, documentales y contractuales.
● Sistemas de videovigilancia y control de acceso.
● Registros de comunicaciones y de atención al usuario.
Esta delimitación corrige expresamente el alcance exclusivamente digital de instrumentos anteriores.
1.3 Alcance subjetivo
Entidades obligadas. VHG y toda Entidad Adherente. Se encuentran comprendidas, entre otras, Valencia Capital Group (VCG) y Valencia Investment Group (VIG), así como cualquier otra filial, subsidiaria, sociedad, marca o unidad de negocio que en el futuro se incorpore al Grupo, sea constituida por este o quede bajo su control, directo o indirecto. Este listado es meramente enunciativo y no taxativo: la incorporación de una nueva entidad se perfecciona mediante el Acta de Adhesión del numeral 1.4, sin que sea necesario modificar esta Política.
Titulares cubiertos. Toda persona natural cuyos datos sean tratados por el Grupo VHG: usuarios y visitantes de plataformas; clientes actuales y potenciales; inversionistas y potenciales inversionistas; contrapartes comerciales; proveedores, contratistas y su personal; aspirantes y colaboradores; y representantes legales, beneficiarios finales y personas vinculadas a personas jurídicas con las que el Grupo se relacione.
Personal obligado. Administradores, representantes legales, colaboradores, contratistas y terceros que accedan a datos personales bajo la responsabilidad del Grupo VHG, cuyo incumplimiento dará lugar a las consecuencias del numeral 20.2.
1.4 Arquitectura de grupo y adhesión
Valencia Holding Group es la Casa Matriz y la unidad emisora de esta Política. Define el estándar mínimo obligatorio de protección de datos para todo el Grupo y ejerce funciones de coordinación, verificación y reporte a través de la Oficialía de Protección de Datos del Grupo.
Cada Entidad Adherente es Responsable del Tratamiento autónomo respecto de las bases de datos cuyas finalidades y medios determina. La adhesión no genera confusión patrimonial, ni corresponsabilidad automática, ni traslado de la posición de Responsable a la Casa Matriz.
La adhesión se perfecciona mediante Acta de Adhesión conforme al Anexo E, con los efectos previstos en el numeral 2.2 del instrumento MLD-01. Cada Entidad Adherente debe, como condición de la adhesión:
Primero. Diligenciar y publicar su Anexo A — Ficha de Identificación.
Segundo. Designar formalmente su Área de Protección de Datos y su punto de contacto para el ejercicio de derechos.
Tercero. Levantar y mantener su Anexo D — Registro de Bases de Datos, Finalidades y Retención.
Cuarto. Inscribir sus bases de datos en el Registro Nacional de Bases de Datos cuando le sea exigible conforme al numeral 16.
Quinto. Suscribir el Anexo F — Contrato Marco de Transmisión de Datos Personales Intragrupo.
Facultad de suplementar. Cada Entidad Adherente puede emitir suplementos propios que eleven el estándar de esta Política, atendiendo a su actividad, su sector regulado o su jurisdicción. Ningún suplemento puede reducirlo, contradecirlo ni derogarlo.
1.5 Alcance territorial y prelación normativa
Conforme al artículo 2 de la Ley 1581 de 2012, el régimen colombiano aplica al tratamiento de datos efectuado en territorio colombiano y a los Responsables o Encargados no domiciliados en Colombia a quienes les sea aplicable la ley colombiana en virtud de normas y tratados internacionales.
El orden de prelación, del cual no cabe pacto en contrario, es el siguiente:
| Orden | Fuente |
|---|
| 1 | Normas imperativas y de orden público de la jurisdicción del Titular |
| 2 | Suplemento Jurisdiccional aplicable (Anexo B y numeral 21) |
| 3 | Suplemento de la Entidad Adherente, si eleva el estándar |
| 4 | Esta Política (MLD-04) |
2. Identificación del Responsable y estructura de gobierno
La ley exige que el Titular sepa con exactitud ante quién ejerce sus derechos. Esta sección satisface ese requisito y define, además, la estructura interna que hace operativa la Política.
2.1 Identificación del Responsable
| Campo | Detalle |
|---|
| Razón social | Valencia Holding Group LLC |
| NIT / RUC / EIN | Reservado. Consta en el Anexo A y se suministra a la autoridad que lo requiera |
| Domicilio principal | Delaware, Estados Unidos de América |
| Dirección física de notificación | Delaware, Estados Unidos de América. Canal formal de notificación designado: info@vhg.capital |
| Correo electrónico para el ejercicio de derechos | info@vhg.capital |
| Teléfono | No se publica. Canal único de contacto: info@vhg.capital |
| Sitio web | https://vhg.capital |
La identificación completa de cada Entidad Adherente consta en el Anexo A.
2.2 Área responsable de la atención de peticiones, consultas y reclamos
En cumplimiento del literal d) del artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, se designa como área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular puede ejercer sus derechos:
| Campo | Detalle |
|---|
| Denominación del área | Oficialía de Protección de Datos del Grupo VHG |
| Correo electrónico | info@vhg.capital |
| Dirección física | Delaware, Estados Unidos de América |
| Teléfono | No se publica. Canal único de contacto: info@vhg.capital |
| Horario de atención | Recepción permanente por canal electrónico. Respuesta dentro de los términos legales, en días hábiles |
2.3 Oficialía de Protección de Datos del Grupo
VHG designa una Oficialía de Protección de Datos del Grupo (OPD), con las siguientes funciones:
● Custodiar, interpretar y actualizar el Marco Legal Digital.
● Coordinar y verificar la implementación de esta Política en las Entidades Adherentes.
● Asesorar en la evaluación de impacto de tratamientos de alto riesgo.
● Consolidar el reporte de incidentes y actuar como interlocutor con las autoridades de control.
● Presentar al máximo órgano de administración un informe anual de cumplimiento.
● Aprobar los suplementos de las Entidades Adherentes.
La OPD ejerce sus funciones con independencia funcional y no puede recibir instrucciones que comprometan su criterio técnico. Su identificación consta en el Anexo A.
2.4 Comité de Protección de Datos y Gobierno de la Información
Se constituye un Comité con participación de la OPD, la dirección jurídica, la dirección de tecnología, la función de cumplimiento y la función de riesgos, con reunión semestral como mínimo, encargado de revisar el estado de cumplimiento, los incidentes materializados, las brechas identificadas y el plan de remediación.
3. Definiciones
Para los efectos de esta Política, se adoptan las definiciones de los artículos 3 de la Ley 1581 de 2012 y 2.2.2.25.1.3 del Decreto 1074 de 2015:
Autorización. Consentimiento previo, expreso e informado del Titular para llevar a cabo el tratamiento de sus datos personales.
Aviso de privacidad. Comunicación verbal o escrita dirigida al Titular para informarle sobre la existencia de las políticas de tratamiento, la forma de acceder a ellas y las finalidades del tratamiento.
Base de datos. Conjunto organizado de datos personales objeto de tratamiento.
Dato personal. Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
Dato público. El que no sea semiprivado, privado o sensible, tales como los relativos al estado civil, la profesión u oficio y la calidad de comerciante o servidor público, y los contenidos en documentos públicos, sentencias ejecutoriadas y registros públicos.
Dato semiprivado. El que no tiene naturaleza íntima ni pública y cuyo conocimiento interesa al Titular y a un sector determinado de personas.
Dato privado. El de naturaleza íntima o reservada que solo interesa a su Titular.
Dato sensible. El que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación.
Encargado del Tratamiento. Persona que realiza el tratamiento de datos personales por cuenta del Responsable.
Responsable del Tratamiento. Persona que decide sobre la base de datos y el tratamiento de los datos.
Titular. Persona natural cuyos datos personales son objeto de tratamiento.
Transferencia. Envío de datos a un receptor que a su vez es Responsable y se encuentra dentro o fuera del país.
Transmisión. Comunicación de datos a un Encargado para que este realice el tratamiento por cuenta del Responsable.
Tratamiento. Cualquier operación sobre datos personales, tales como recolección, almacenamiento, uso, circulación o supresión.
Incidente de seguridad. Evento que compromete la confidencialidad, integridad o disponibilidad de datos personales.
4. Principios rectores
El tratamiento de datos personales por el Grupo VHG se sujeta a los principios del artículo 4 de la Ley 1581 de 2012, que operan como criterios de interpretación de toda la Política:
Legalidad. El tratamiento es una actividad reglada que debe sujetarse a lo establecido en la ley y en sus disposiciones reglamentarias.
Finalidad. El tratamiento obedece a una finalidad legítima, determinada y previamente informada al Titular. Ninguna base de datos se utiliza para finalidades distintas de las declaradas en el Anexo D.
Libertad. El tratamiento solo se ejerce con el consentimiento previo, expreso e informado del Titular. Los datos no se obtienen ni divulgan sin autorización, salvo mandato legal o judicial.
Veracidad o calidad. La información es veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.
Transparencia. Se garantiza al Titular el derecho a obtener, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.
Acceso y circulación restringida. El tratamiento se sujeta a los límites derivados de la naturaleza de los datos. Los datos personales, salvo la información pública, no pueden estar disponibles en medios de divulgación masiva sino cuando el acceso sea técnicamente controlable.
Seguridad. La información se maneja con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
Confidencialidad. Todas las personas que intervengan en el tratamiento están obligadas a garantizar la reserva de la información, obligación que subsiste aun después de finalizada su relación con el Grupo.
Responsabilidad demostrada. Como estándar adicional del Grupo, el cumplimiento no se declara: se documenta, se mide y se acredita ante el Titular y ante la autoridad, conforme al numeral 18.
5. Clasificación de los datos y regímenes especiales
No todos los datos admiten el mismo tratamiento. La clasificación determina el nivel de autorización exigible, las medidas de seguridad aplicables y los límites de circulación, por lo que constituye el punto de partida operativo de toda decisión sobre datos.
5.1 Clasificación general
Conforme a la Ley 1581 de 2012 y a la Sentencia C-748 de 2011 de la Corte Constitucional, los datos se clasifican en públicos, semiprivados, privados y sensibles, con niveles crecientes de protección y restricción de circulación.
5.2 Datos sensibles
Regla. Se prohíbe el tratamiento de datos sensibles, salvo en los casos del artículo 6 de la Ley 1581 de 2012: cuando el Titular haya dado su autorización explícita, salvo que la ley no lo requiera; cuando sea necesario para salvaguardar el interés vital del Titular que se encuentre física o jurídicamente incapacitado; cuando el tratamiento sea efectuado en el curso de actividades legítimas por una fundación, ONG, asociación o cualquier organismo sin ánimo de lucro con finalidad política, filosófica, religiosa o sindical, respecto de sus miembros; cuando se refiera a datos necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; o cuando tenga finalidad histórica, estadística o científica con adopción de medidas de supresión de identidad.
Garantías adicionales. Cuando el Grupo VHG requiera tratar datos sensibles:
● Informará al Titular que se trata de datos sensibles y cuál es la finalidad específica.
● Obtendrá autorización explícita y diferenciada de la autorización general.
● Informará expresamente que no está obligado a autorizar el tratamiento ni a responder preguntas sobre datos sensibles.
● Aplicará controles de acceso reforzados, cifrado y registro de auditoría diferenciados.
● Se abstendrá de condicionar cualquier actividad a la entrega de datos sensibles, salvo mandato legal.
5.3 Datos de niños, niñas y adolescentes
El tratamiento de datos de menores está prohibido, salvo cuando se trate de datos de naturaleza pública y cuando el tratamiento cumpla los parámetros del artículo 2.2.2.25.2.9 del Decreto 1074 de 2015: responder y respetar el interés superior del menor, y asegurar el respeto de sus derechos fundamentales.
El Grupo VHG:
● No dirige sus plataformas ni sus productos a menores de edad.
● Requiere autorización del representante legal, previa valoración de la opinión del menor cuando su madurez lo permita.
● Suprime de inmediato los datos de menores recolectados de forma inadvertida.
● Se abstiene de realizar perfilamiento o publicidad dirigida a menores.
5.4 Datos financieros y crediticios
Cuando una Entidad Adherente administre, reporte o consulte información financiera, crediticia, comercial o de servicios ante operadores de información, dicho tratamiento se rige adicionalmente por la Ley 1266 de 2008 y sus normas reglamentarias, con las garantías propias de ese régimen —notificación previa al reporte negativo, derecho de defensa, permanencia de la información y caducidad del dato negativo—.
Precisión. La Ley 1266 de 2008 regula el habeas data financiero y crediticio; el régimen general de protección de datos personales es el de la Ley 1581 de 2012. Ambos regímenes son concurrentes y no se sustituyen entre sí. Esta precisión corrige la remisión genérica a la "Habeas Data Law" empleada en versiones anteriores del Marco.
5.5 Datos de personas jurídicas
Los datos de personas jurídicas no son datos personales. No obstante, los datos de sus representantes legales, administradores, beneficiarios finales, accionistas personas naturales y personal de contacto sí lo son y quedan sujetos íntegramente a esta Política.
6. Bases de datos y finalidades del Tratamiento
6.1 Registro de bases de datos
Cada Entidad Adherente levanta y mantiene actualizado el Anexo D — Registro de Bases de Datos, Finalidades y Retención, con la siguiente estructura mínima:
| Base de datos | Categorías de Titulares | Categorías de datos | Finalidades | Base de licitud | Encargados | Transferencias | Período de retención | Medidas de seguridad |
|---|
| Contactos y solicitudes web | Visitantes y contactos | Identificación, contacto y contenido del mensaje | Atención de consultas y relacionamiento | Autorización del Titular | Proveedor de alojamiento y correo | Estados Unidos | Dos (2) años desde la última interacción | Cifrado en tránsito y en reposo; control de acceso |
| Proveedores y contratistas | Personal de contrapartes | Identificación, contacto y datos contractuales | Ejecución contractual y cumplimiento normativo | Autorización y ejecución del contrato | Asesores legales, contables y de auditoría | Colombia y Estados Unidos | Término de prescripción de las acciones contractuales | Control de acceso y registro de auditoría |
| Gestión de talento | Aspirantes a vinculación | Identificación, contacto y trayectoria profesional | Selección y evaluación de candidatos | Autorización del Titular | No aplica | Colombia | Doce (12) meses desde el cierre del proceso | Control de acceso restringido |
El Anexo D se actualiza al menos anualmente y siempre que se cree una base de datos, se modifique una finalidad o se incorpore un nuevo encargado.
6.2 Finalidades declaradas
El Grupo VHG trata datos personales exclusivamente para las finalidades declaradas en el numeral 5 del instrumento MLD-02, que se entienden aquí íntegramente incorporadas: gestión del relacionamiento; ejecución contractual; cumplimiento normativo, incluida la prevención del lavado de activos y la financiación del terrorismo; gestión de riesgos y seguridad; gobierno corporativo; mejora de plataformas; comunicaciones institucionales y comerciales previa autorización específica; y gestión de talento.
Prohibición de finalidades secundarias no declaradas. Ninguna entidad del Grupo puede emplear datos personales para finalidades distintas de las declaradas ni incompatibles con ellas. La incorporación de una nueva finalidad requiere actualización del Anexo D, comunicación previa al Titular y nueva autorización.
7. Régimen de la autorización
La autorización es el eje del sistema colombiano de protección de datos y el punto donde con mayor frecuencia se materializa el incumplimiento. Esta sección fija su régimen sin remisión a estándares extranjeros que el ordenamiento no reconoce.
7.1 Requisitos
La autorización debe ser previa a la recolección, expresa —manifestada mediante conducta inequívoca— e informada, esto es, precedida de la comunicación al Titular de la identidad del Responsable, las finalidades del tratamiento, el carácter facultativo de responder preguntas sobre datos sensibles o de menores, sus derechos, y la forma de acceder a esta Política.
7.2 Ausencia de interés legítimo como base autónoma
Norma imperativa. El ordenamiento colombiano no contempla el "interés legítimo" como base autónoma de licitud del tratamiento. Las únicas hipótesis en que no se requiere autorización son las taxativamente previstas en el artículo 10 de la Ley 1581 de 2012: (i) información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; (ii) datos de naturaleza pública; (iii) casos de urgencia médica o sanitaria; (iv) tratamiento autorizado por la ley para fines históricos, estadísticos o científicos; y (v) datos relacionados con el Registro Civil de las Personas. Ninguna entidad del Grupo puede invocar el interés legítimo como fundamento de un tratamiento sujeto a la ley colombiana.
7.3 Modos de obtención y prueba
La autorización se obtiene por medios que permitan su posterior consulta: documento físico, firma electrónica, casilla de verificación no premarcada, botón de aceptación, grabación de voz con advertencia previa, o conducta inequívoca del Titular que permita concluir razonablemente que otorgó la autorización.
El Grupo VHG conserva prueba de la autorización en los términos del artículo 9 de la Ley 1581 de 2012, con registro de fecha, hora, canal, versión del texto informado y trazas técnicas. Este registro se conserva durante toda la vigencia del tratamiento y, como mínimo, cinco (5) años después de su terminación.
No constituyen autorización el silencio, la inactividad, las casillas premarcadas, la continuación de la navegación ni el uso continuado de un servicio.
7.4 Autorización para datos recolectados antes de la vigencia de esta Política
Respecto de datos recolectados con anterioridad, el Grupo VHG adelantará el proceso de solicitud de autorización previsto en el artículo 2.2.2.25.2.4 del Decreto 1074 de 2015, empleando mecanismos eficientes de comunicación con el Titular. Si transcurridos treinta (30) días hábiles desde la comunicación el Titular no ha manifestado su oposición y ha continuado utilizando los servicios, se entenderá que la autorización subsiste; en caso contrario, se suprimirán los datos.
7.5 Revocatoria y solicitud de supresión
El Titular puede revocar la autorización y solicitar la supresión de sus datos en cualquier momento, de forma gratuita, total o parcialmente respecto de determinadas finalidades.
No procede la supresión cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos, o cuando la eliminación obstaculice actuaciones judiciales o administrativas relacionadas con obligaciones fiscales, la investigación de delitos o la actualización de sanciones administrativas. En tales casos, la negativa se comunicará al Titular de manera motivada dentro de los plazos del numeral 10.
8. Derechos de los Titulares
Conforme al artículo 8 de la Ley 1581 de 2012, el Titular tiene derecho a: conocer, actualizar y rectificar sus datos; solicitar prueba de la autorización otorgada; ser informado sobre el uso dado a sus datos; presentar quejas ante la Superintendencia de Industria y Comercio una vez agotado el trámite ante el Responsable; revocar la autorización y solicitar la supresión cuando proceda; y acceder de forma gratuita a sus datos.
Legitimación. Estos derechos pueden ejercerse por el Titular; por sus causahabientes, quienes deberán acreditar tal calidad; por el representante o apoderado del Titular; y por estipulación a favor de otro. Los datos de menores serán ejercidos por quien esté facultado para representarlos.
Prueba de identidad. El Grupo VHG verificará la identidad del solicitante mediante mecanismos proporcionales, absteniéndose de solicitar información excesiva o de recolectar datos adicionales con ocasión de la solicitud.
9. Deberes del Grupo VHG
9.1 En calidad de Responsable
Conforme al artículo 17 de la Ley 1581 de 2012, el Grupo VHG debe: garantizar al Titular el ejercicio pleno del habeas data; solicitar y conservar copia de la autorización; informar debidamente al Titular sobre la finalidad y sus derechos; conservar la información bajo condiciones de seguridad; garantizar que la información sea veraz, completa, exacta, actualizada, comprobable y comprensible; actualizar y rectificar la información; suministrar al Encargado únicamente datos cuyo tratamiento esté autorizado; exigir al Encargado el respeto de las condiciones de seguridad y privacidad; tramitar las consultas y reclamos; adoptar un manual interno de políticas y procedimientos; informar al Encargado cuando determinada información se encuentre en discusión; informar a solicitud del Titular sobre el uso dado a sus datos; e informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información.
9.2 En calidad de Encargado
Cuando una entidad del Grupo actúe como Encargado por cuenta de un tercero, observará los deberes del artículo 18 de la Ley 1581 de 2012, en particular tratar los datos únicamente conforme a las instrucciones del Responsable y abstenerse de utilizarlos para finalidades propias.
10. Procedimiento de atención de consultas y reclamos
Un derecho sin procedimiento cierto no es exigible. Esta sección adopta el procedimiento y los términos legales de manera expresa y verificable, y constituye el estándar mínimo obligatorio para toda Entidad Adherente.
10.1 Canales
Las solicitudes se presentan por los canales del numeral 23.2, indicando: nombre e identificación del Titular; calidad en que actúa y prueba de la legitimación cuando corresponda; descripción precisa de la petición; dirección física o electrónica de notificación; y documentos de soporte.
10.2 Consultas
Término: diez (10) días hábiles desde la fecha de recibo. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado antes del vencimiento, expresando los motivos y la fecha en que se atenderá, la cual no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer plazo. (Artículo 14, Ley 1581 de 2012.)
10.3 Reclamos
Término: quince (15) días hábiles contados desde el día siguiente a la recepción. Cuando no fuere posible atenderlo dentro de dicho término, se informarán al interesado los motivos de la demora y la fecha de respuesta, que no podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término. (Artículo 15, Ley 1581 de 2012.)
| Situación | Actuación | Término |
|---|
| Reclamo incompleto | Requerimiento de subsanación al interesado | 5 días desde la recepción |
| Interesado no subsana | Se entiende desistido el reclamo | 2 meses desde el requerimiento |
| Entidad no competente | Traslado al competente e información al interesado | 2 días hábiles |
| Reclamo en trámite | Inclusión de la leyenda "reclamo en trámite" y su motivo en la base de datos | 2 días hábiles |
10.4 Requisito de procedibilidad
Conforme al artículo 16 de la Ley 1581 de 2012, el Titular solo puede elevar queja ante la Superintendencia de Industria y Comercio una vez agotado el trámite de consulta o reclamo ante el Responsable o Encargado.
10.5 Registro y trazabilidad
Cada Entidad Adherente mantiene un registro de solicitudes con radicado único, fecha y hora de recepción, canal de entrada, tipo de solicitud, fecha de respuesta, sentido de la decisión y evidencia de la notificación. Este registro es insumo del informe anual de la OPD y elemento de acreditación ante la autoridad.
Regla especial derivada del canal único. El Grupo VHG opera con un buzón único de contacto (info@vhg.capital). En consecuencia, la trazabilidad no la aporta la dirección de correo sino el procedimiento: toda comunicación entrante se clasifica al momento de su recepción entre consulta, reclamo, solicitud de revocatoria, notificación legal, reporte de incidente o correspondencia general, y las que constituyan ejercicio de derechos se radican de inmediato en el registro con activación del cómputo de términos. La clasificación errónea o tardía de una solicitud no suspende ni interrumpe los plazos de los numerales 10.2 y 10.3.
10.6 Gratuidad
El ejercicio de los derechos es gratuito. No se exigirá pago ni se condicionará la atención a contraprestación alguna. La información podrá ser suministrada por cualquier medio, incluidos los electrónicos, que el Titular solicite.
11. Encargados del Tratamiento y cadena de proveedores
El riesgo de un tratamiento no termina en las fronteras de la organización: se extiende a toda la cadena de proveedores que accede a los datos. Su gobierno contractual es, por tanto, parte integral del deber de seguridad.
11.1 Debida diligencia previa
Antes de vincular a un Encargado, la Entidad Adherente evalúa sus condiciones técnicas y organizativas de seguridad, su ubicación y la de sus subcontratistas, sus certificaciones, su historial de incidentes y sus mecanismos de atención de derechos. La evaluación se documenta.
11.2 Contrato de transmisión
Toda transmisión a un Encargado se documenta mediante contrato que, conforme al artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, contenga como mínimo: el alcance y las finalidades del tratamiento; las actividades que el Encargado realizará por cuenta del Responsable; las obligaciones del Encargado frente al Titular y al Responsable; el deber de dar tratamiento a los datos de acuerdo con la finalidad autorizada y la ley aplicable; el deber de salvaguardar la seguridad de las bases de datos; el deber de guardar confidencialidad; y la devolución o supresión de los datos al término de la relación.
11.3 Subencargados
El Encargado no puede subcontratar el tratamiento sin autorización previa y escrita del Responsable. La autorización se condiciona a que el subencargado asuma obligaciones equivalentes y a que el Encargado conserve la responsabilidad frente al Responsable.
11.4 Auditoría
El Responsable se reserva la facultad de auditar al Encargado, directamente o a través de tercero independiente, con preaviso razonable y sin afectar la operación.
12. Circulación de datos dentro del Grupo VHG
La pertenencia a un mismo grupo empresarial no habilita por sí sola el flujo libre de datos entre sus entidades. Cada flujo requiere calificación jurídica y fundamento propio.
12.1 Calificación del flujo
Transmisión. Cuando una entidad del Grupo trata datos por cuenta de otra, siguiendo sus instrucciones y sin determinar finalidades propias, actúa como Encargado. El flujo se rige por el contrato del numeral 11.2 y no requiere autorización adicional del Titular, siempre que la finalidad esté declarada.
Transferencia. Cuando la entidad receptora determina finalidades propias, actúa como Responsable independiente. El flujo constituye transferencia y requiere autorización del Titular, informada al momento de la recolección o solicitada con posterioridad.
12.2 Contrato Marco Intragrupo
VHG y las Entidades Adherentes suscriben el Anexo F — Contrato Marco de Transmisión de Datos Personales Intragrupo, que documenta los flujos, califica la posición de cada entidad, define las finalidades admisibles, establece medidas de seguridad comunes y regula la atención de derechos cuando el Titular acuda a una entidad distinta de la Responsable.
12.3 Ventanilla única
El Titular puede ejercer sus derechos ante cualquier entidad del Grupo VHG. La entidad que reciba la solicitud la trasladará a la Responsable dentro de los dos (2) días hábiles siguientes e informará de ello al Titular, sin que el traslado interno afecte los términos legales de respuesta frente a este.
13. Transferencias y transmisiones internacionales
13.1 Régimen aplicable
Norma imperativa. El artículo 26 de la Ley 1581 de 2012 prohíbe la transferencia de datos personales a países que no proporcionen niveles adecuados de protección, entendiendo por tales aquellos que cumplan con los estándares fijados por la Superintendencia de Industria y Comercio. La prohibición no rige cuando: el Titular haya otorgado su autorización expresa e inequívoca; se trate del intercambio de datos de carácter médico exigido por el tratamiento del Titular por razones de salud o higiene pública; se trate de transferencias bancarias o bursátiles conforme a la legislación aplicable; se trate de transferencias acordadas en tratados internacionales de los que Colombia sea parte; se trate de transferencias necesarias para la ejecución de un contrato entre el Titular y el Responsable o para la ejecución de medidas precontractuales, siempre que medie autorización; o sean legalmente exigidas para la salvaguardia del interés público o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
13.2 Países con nivel adecuado de protección
Conforme a la Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio, se encuentran declarados con nivel adecuado de protección, entre otros: Alemania, Austria, Bélgica, Bulgaria, Chipre, Costa Rica, Croacia, Dinamarca, Eslovaquia, Eslovenia, España, Estados Unidos de América, Estonia, Finlandia, Francia, Grecia, Hungría, Irlanda, Islandia, Italia, Letonia, Lituania, Luxemburgo, Malta, México, Noruega, Países Bajos, Perú, Polonia, Portugal, Reino Unido, República Checa, República de Corea, Rumania, Serbia y Suecia, así como los países declarados con nivel adecuado por la Comisión Europea.
Destinos actuales de tratamiento. A la fecha de publicación de esta Política, los únicos destinos de tratamiento del Grupo VHG son Colombia y los Estados Unidos de América, este último declarado con nivel adecuado de protección por la Circular Externa 005 de 2017. El Grupo no realiza transferencias ni transmisiones hacia jurisdicciones no declaradas adecuadas, incluida Panamá, que no figura en dicho listado.
Regla de activación. Antes de habilitar cualquier flujo hacia un destino no declarado adecuado, la Oficialía de Protección de Datos del Grupo deberá verificar y documentar su fundamento, que solo podrá ser: (i) autorización expresa e inequívoca del Titular, específicamente informada respecto del destino; (ii) declaración de conformidad emitida por la Superintendencia de Industria y Comercio; o (iii) alguna de las excepciones del artículo 26 de la Ley 1581 de 2012. Ningún flujo de esta naturaleza puede iniciarse sin esa verificación previa.
13.3 Verificación periódica
El listado de países con nivel adecuado es dinámico. La OPD verifica su vigencia al menos anualmente y ante cualquier pronunciamiento de la autoridad, y actualiza el Anexo D en consecuencia.
13.4 Garantías contractuales
Con independencia del nivel de adecuación del destino, toda transferencia o transmisión internacional se documenta con cláusulas que impongan al receptor obligaciones equivalentes a las de esta Política en materia de finalidad, seguridad, confidencialidad, atención de derechos, notificación de incidentes y devolución o supresión.
13.5 Declaración de conformidad
Cuando el flujo no pueda ampararse en una excepción legal ni en la autorización del Titular, la Entidad Adherente tramitará declaración de conformidad ante la Superintendencia de Industria y Comercio antes de iniciar la transferencia.
14. Seguridad de la información
El principio de seguridad no se acredita con una declaración de intenciones sino con controles verificables y proporcionales al riesgo. El Grupo VHG adopta el siguiente estándar mínimo, exigible a toda Entidad Adherente.
14.1 Medidas administrativas
● Manual interno de políticas y procedimientos, del cual esta Política es parte.
● Asignación formal de roles y responsabilidades sobre cada base de datos.
● Acuerdos de confidencialidad suscritos por todo el personal y por los contratistas.
● Programa anual de capacitación con registro de asistencia y evaluación.
● Procedimiento documentado de altas, modificaciones y bajas de accesos.
14.2 Medidas técnicas
● Control de accesos bajo los principios de mínimo privilegio y necesidad de conocer.
● Autenticación reforzada para accesos a bases de datos con información sensible o de alto volumen.
● Cifrado de la información en tránsito y en reposo, conforme al estado de la técnica.
● Registro de auditoría (logs) de accesos y operaciones, con retención mínima de doce (12) meses y protección contra alteración.
● Respaldo periódico y pruebas documentadas de restauración.
● Segmentación de ambientes y prohibición de uso de datos personales reales en ambientes de desarrollo y pruebas sin seudonimización previa.
● Gestión de vulnerabilidades y aplicación oportuna de parches.
14.3 Medidas físicas
● Control de acceso a instalaciones, centros de datos y archivos documentales.
● Custodia y destrucción segura de soportes físicos.
● Protocolos de escritorio y pantalla despejados.
14.4 Deber de confidencialidad
Todas las personas que intervengan en el tratamiento están obligadas a garantizar la reserva de la información. Esta obligación subsiste aun después de finalizada su relación con el Grupo VHG.
15. Gestión de incidentes de seguridad
15.1 Definición y detección
Constituye incidente de seguridad todo evento que comprometa o pueda comprometer la confidencialidad, integridad o disponibilidad de datos personales, incluyendo accesos no autorizados, pérdida o destrucción de información, divulgación indebida, ataques informáticos y errores humanos con impacto sobre datos.
15.2 Protocolo
| Fase | Actuación | Término máximo |
|---|
| Detección y reporte interno | Comunicación inmediata al Área de Protección de Datos y a la OPD | Sin dilación, al conocerse |
| Contención | Medidas para detener el incidente y limitar su alcance | Inmediata |
| Evaluación | Determinación del alcance, categorías de datos y Titulares afectados, y del riesgo para sus derechos | 72 horas |
| Reporte a la autoridad | Reporte a la Superintendencia de Industria y Comercio a través del Registro Nacional de Bases de Datos | Dentro de los 15 días hábiles siguientes a la detección |
| Comunicación a Titulares | Cuando el incidente entrañe riesgo para los derechos de los Titulares | Sin dilación indebida |
| Remediación y cierre | Acciones correctivas y lecciones aprendidas | 30 días calendario |
El reporte a la autoridad se realiza en cumplimiento del literal n) del artículo 17 de la Ley 1581 de 2012 y de las instrucciones impartidas por la Superintendencia de Industria y Comercio a través del Registro Nacional de Bases de Datos. Cuando el incidente afecte jurisdicciones adicionales, se atenderán en paralelo los deberes de notificación de cada una.
15.3 Registro de incidentes
Cada Entidad Adherente mantiene un registro de incidentes con descripción, fecha de detección, categorías y volumen de datos afectados, medidas adoptadas, reportes efectuados y estado de cierre. La OPD consolida el registro del Grupo.
16. Registro Nacional de Bases de Datos
Las personas jurídicas de naturaleza privada están obligadas a inscribir sus bases de datos que contengan datos personales en el Registro Nacional de Bases de Datos (RNBD) administrado por la Superintendencia de Industria y Comercio, conforme al artículo 25 de la Ley 1581 de 2012 y a las normas reglamentarias.
Umbral de aplicación. El Decreto 090 de 2018 limitó la obligación de registro a las sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 UVT.
Situación actual del Grupo. A la fecha de publicación de esta Política, ninguna entidad del Grupo VHG alcanza el umbral de 100.000 UVT en activos totales, por lo que la inscripción en el RNBD no le resulta exigible. Esta circunstancia no es permanente: el umbral se evalúa sobre los estados financieros de cada ejercicio y sobre el valor de la UVT vigente en cada anualidad. En consecuencia, la Oficialía de Protección de Datos del Grupo verificará el umbral anualmente, dentro del mes siguiente a la aprobación de los estados financieros de cada Entidad Adherente, y dejará constancia documental de la verificación, supere o no el umbral. Superado este, la inscripción deberá surtirse dentro del término que fije la autoridad.
Obligaciones asociadas. Las entidades inscritas deben mantener actualizada la información de sus bases de datos y reportar a través del RNBD los reclamos presentados por los Titulares y los incidentes de seguridad, dentro de los términos que fije la autoridad.
Verificación. La OPD verifica anualmente el estado de inscripción de cada Entidad Adherente y deja constancia documental de la verificación, con independencia de que la entidad supere o no el umbral.
17. Conservación, supresión y anonimización
17.1 Criterios de conservación
Los datos personales se conservan únicamente durante el tiempo necesario para: cumplir la finalidad declarada; atender obligaciones legales, contables, tributarias, laborales y regulatorias; y ejercer o defender derechos durante los términos de prescripción y caducidad aplicables.
Los períodos específicos por base de datos constan en el Anexo D. En ausencia de norma especial, el período por defecto es el término general de prescripción de las acciones ordinarias aplicable en la jurisdicción correspondiente.
17.2 Supresión segura
Vencido el período de conservación, los datos se suprimen mediante procedimientos que impidan su recuperación, tanto en sistemas productivos como en respaldos, dejando constancia documental de la supresión. Cuando la supresión inmediata de respaldos no sea técnicamente viable, los datos quedarán bloqueados hasta la rotación del respaldo.
17.3 Anonimización
Como alternativa a la supresión, el Grupo VHG puede someter los datos a anonimización irreversible, tras la cual dejan de ser datos personales. La anonimización debe impedir la reidentificación por medios razonablemente disponibles; la mera seudonimización no equivale a anonimización y no exime del cumplimiento de esta Política.
18. Responsabilidad demostrada
El cumplimiento no se declara: se acredita. El principio de responsabilidad demostrada, incorporado en el artículo 2.2.2.25.6.1 del Decreto 1074 de 2015 y desarrollado por la Superintendencia de Industria y Comercio, obliga al Responsable a adoptar medidas apropiadas, efectivas y verificables, y a demostrar su implementación.
18.1 Programa Integral de Gestión de Datos Personales
Cada Entidad Adherente implementa un programa que comprende, como mínimo: esta Política y sus procedimientos derivados; el Anexo D actualizado; el registro de autorizaciones; el registro de solicitudes de Titulares; el registro de incidentes; los contratos con Encargados; la matriz de transferencias internacionales; el plan anual de capacitación; y el informe anual de cumplimiento.
18.2 Privacidad desde el diseño y por defecto
Todo nuevo producto, plataforma, funcionalidad o proceso que implique tratamiento de datos personales incorpora consideraciones de protección de datos desde su fase de diseño, aplicando por defecto la configuración más protectora, la minimización de datos y la limitación de la finalidad.
18.3 Evaluación de impacto
Los tratamientos de alto riesgo —tratamiento masivo de datos sensibles, perfilamiento sistemático, decisiones automatizadas con efectos jurídicos, videovigilancia extensiva, uso de datos biométricos o incorporación de sistemas de inteligencia artificial— requieren evaluación de impacto previa, documentada y aprobada por la OPD.
18.4 Capacitación
El personal recibe capacitación al ingreso y al menos anualmente, con contenidos diferenciados según su nivel de acceso a datos. Se conserva registro de asistencia y evaluación.
18.5 Auditoría y revisión
La OPD adelanta una revisión anual de cumplimiento de cada Entidad Adherente, cuyos resultados se presentan al Comité y al máximo órgano de administración, con plan de remediación y responsables asignados.
19. Tratamientos especiales
19.1 Videovigilancia
La instalación de sistemas de videovigilancia se limita a finalidades de seguridad de personas y bienes, con señalización visible en los puntos de captación, prohibición de captación en áreas de expectativa razonable de intimidad, acceso restringido a las grabaciones y período de conservación no superior a treinta (30) días calendario, salvo que las imágenes documenten un incidente bajo investigación.
19.2 Comunicaciones comerciales
El envío de comunicaciones comerciales requiere autorización específica y separada, revocable en cualquier momento. En Colombia se observa adicionalmente la Ley 2300 de 2023: contacto únicamente por los canales autorizados por el consumidor, dentro de los horarios permitidos —lunes a viernes de 7:00 a 19:00 horas y sábados de 8:00 a 15:00 horas, prohibido en domingos y festivos—, con respeto de los límites de frecuencia y atención inmediata de la solicitud de no ser contactado.
19.3 Datos biométricos
Los datos biométricos son datos sensibles. Su tratamiento requiere autorización explícita y diferenciada, evaluación de impacto previa, almacenamiento cifrado, prohibición de uso para finalidades distintas de la autenticación o el control de acceso declarados, y disponibilidad de una alternativa no biométrica para el Titular que no autorice.
19.4 Decisiones automatizadas, perfilamiento e inteligencia artificial
El Grupo VHG no adopta decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos sobre el Titular o lo afecten significativamente, sin intervención humana cualificada y sin haberlo informado previamente.
Todo sistema de inteligencia artificial que trate datos personales se somete a: evaluación de impacto previa; documentación de la lógica de tratamiento y de las categorías de datos empleadas; prohibición de emplear datos personales para entrenamiento de modelos sin autorización específica e informada del Titular; y revisión periódica de resultados para detectar sesgos discriminatorios.
19.5 Datos laborales y de candidatos
Los datos de aspirantes se conservan por un período máximo de doce (12) meses desde la finalización del proceso, salvo autorización expresa para su conservación en banco de talento. Se prohíbe solicitar información sobre estado de embarazo, orientación sexual, afiliación política o sindical, o cualquier dato sensible ajeno a la idoneidad para el cargo.
19.6 Cumplimiento en materia de prevención de LA/FT
El tratamiento de datos para debida diligencia, conocimiento de contrapartes, verificación en listas restrictivas y reporte a autoridades se realiza con fundamento en el cumplimiento de obligaciones legales. Cuando resulten aplicables, se observarán los regímenes de la Circular Externa 100-000016 de 2020 de la Superintendencia de Sociedades (SAGRILAFT), el Programa de Transparencia y Ética Empresarial y las normas de la Unidad de Información y Análisis Financiero. La reserva legal de los reportes de operaciones sospechosas prevalece sobre el derecho de acceso del Titular en los términos de la ley.
20. Régimen sancionatorio y consecuencias del incumplimiento
20.1 Sanciones administrativas
El incumplimiento del régimen de protección de datos expone al Responsable a las sanciones del artículo 23 de la Ley 1581 de 2012, que impone la Superintendencia de Industria y Comercio:
● Multas de carácter personal e institucional hasta por el equivalente a dos mil (2.000) salarios mínimos mensuales legales vigentes.
● Suspensión de las actividades relacionadas con el tratamiento hasta por seis (6) meses.
● Cierre temporal de las operaciones relacionadas con el tratamiento una vez transcurrido el término de suspensión sin adoptar los correctivos.
● Cierre inmediato y definitivo de la operación que involucre el tratamiento de datos sensibles.
En Panamá aplican las sanciones de la Ley 81 de 2019 impuestas por la autoridad competente; en las demás jurisdicciones, las que correspondan conforme a su régimen.
20.2 Consecuencias internas
El incumplimiento de esta Política por parte de administradores, colaboradores o contratistas constituye falta grave y da lugar a las medidas disciplinarias y contractuales que correspondan, sin perjuicio de las acciones civiles y penales aplicables, incluidas las derivadas del artículo 269F del Código Penal —violación de datos personales, adicionado por la Ley 1273 de 2009—.
21. Suplementos jurisdiccionales
Esta Política constituye el estándar mínimo del Grupo. En cada jurisdicción se aplica adicionalmente el régimen local, que prevalece cuando resulte más protector.
21.1 Colombia
Régimen principal: artículo 15 de la Constitución Política; Ley 1581 de 2012; Decreto 1074 de 2015; Ley 1266 de 2008 en materia de habeas data financiero; Ley 1273 de 2009 en materia penal; Ley 1480 de 2011 en materia de consumo; Ley 2300 de 2023 en materia de contacto con consumidores; Ley 527 de 1999 en materia de mensajes de datos. Autoridad de control: Superintendencia de Industria y Comercio — Delegatura para la Protección de Datos Personales.
21.2 Otras jurisdicciones — régimen de contingencia
El Grupo VHG no opera actualmente bases de datos en jurisdicciones distintas de Colombia y los Estados Unidos. Si una Entidad Adherente llegara a establecerse o a tratar datos en otro territorio, su adhesión activará la emisión del suplemento jurisdiccional correspondiente antes del inicio del tratamiento.
A título de previsión, se deja constancia de que en Panamá —jurisdicción mencionada en versiones anteriores del Marco— rige la Ley 81 de 26 de marzo de 2019 sobre Protección de Datos Personales, reglamentada por el Decreto Ejecutivo 285 de 28 de mayo de 2021, bajo la supervisión de la Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI), con un régimen igualmente estructurado sobre el consentimiento del titular.
21.3 Estados Unidos
Valencia Holding Group LLC está constituida en el Estado de Delaware. No existe en los Estados Unidos un régimen federal general de protección de datos. Aplican, según corresponda: la Sección 5 de la Federal Trade Commission Act en materia de prácticas desleales o engañosas; las leyes estatales de privacidad del consumidor cuando se cumplan sus umbrales de aplicación —que a la fecha el Grupo no alcanza—; y la normativa sectorial que resulte aplicable. La Oficialía de Protección de Datos del Grupo revisará anualmente si alguna ley estatal pasa a ser aplicable por superación de umbrales de ingresos o de volumen de titulares, y documentará dicha determinación.
21.4 Espacio Económico Europeo y Reino Unido
El Grupo VHG no declara sujeción general al Reglamento (UE) 2016/679. Cuando una Entidad Adherente ofrezca bienes o servicios a personas en el Espacio Económico Europeo o realice seguimiento de su comportamiento, en los términos del artículo 3 del Reglamento, deberá adelantar la determinación formal de aplicabilidad y, en su caso, adoptar las medidas adicionales que este exige, incluida la eventual designación de representante conforme a su artículo 27.
Las referencias a "estándares alineados con el GDPR" en documentos del Grupo tienen carácter de buena práctica voluntaria y no constituyen declaración de aplicabilidad.
22. Vigencia, actualización y monitoreo normativo
22.1 Vigencia
Esta Política rige desde su publicación en https://vhg.capital, en la fecha señalada en el bloque de Control del Documento, y permanece vigente mientras no sea sustituida por una versión posterior. La fecha de publicación se consigna de forma visible en el sitio, en cumplimiento del literal f) del artículo 2.2.2.25.3.1 del Decreto 1074 de 2015.
22.2 Vigencia de las bases de datos
En cumplimiento del literal f) del artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, las bases de datos del Grupo VHG permanecerán vigentes mientras subsistan las finalidades declaradas y los términos legales de conservación previstos en el Anexo D, momento a partir del cual los datos serán suprimidos o anonimizados conforme al numeral 17.
22.3 Actualización
La OPD somete esta Política a revisión ordinaria el 1 de enero de cada año y a revisión extraordinaria ante cambios normativos, reorganizaciones societarias, incorporación de nuevas Entidades Adherentes, habilitación de nuevas funcionalidades en las plataformas o incidentes materiales. De cada revisión —conduzca o no a modificación— se deja constancia documental.
Las modificaciones sustanciales se comunican a los Titulares con antelación a su entrada en vigencia. Cuando la modificación implique un cambio en la finalidad del tratamiento, se requiere nueva autorización del Titular; el silencio no se entenderá como aceptación.
22.4 Monitoreo normativo
Alerta de seguimiento. El Gobierno Nacional radicó en agosto de 2025 un proyecto de ley orientado a actualizar el régimen colombiano de protección de datos personales, que contempla, entre otros aspectos, la ampliación de las bases de licitud, el fortalecimiento de la autonomía de la autoridad de control, la designación obligatoria de un oficial de protección de datos en determinados casos, protecciones reforzadas para menores de edad, nuevos derechos frente a decisiones automatizadas y deberes de notificación de incidentes. A la fecha de emisión de esta Política, la Ley 1581 de 2012 continúa vigente y constituye el régimen aplicable. La OPD monitoreará el trámite legislativo y presentará al Comité, dentro de los sesenta (60) días siguientes a la eventual expedición de la nueva ley, un plan de adecuación del Marco.
23. Anexos y canales de contacto
23.1 Anexos
| Anexo | Denominación | Responsable de diligenciar |
|---|
| A | Ficha de Identificación de la Entidad Adherente | Emitido y publicado |
| B | Suplementos Jurisdiccionales | Incorporados en el numeral 21 de esta Política |
| C | Inventario de Cookies y Tecnologías Similares | Incorporado en el numeral 6 del MLD-03 |
| D | Registro de Bases de Datos, Finalidades y Retención | Emitido — documento interno |
| E | Modelo de Acta de Adhesión al MLD-VHG | Emitido — pendiente de suscripción por VCG y VIG |
| F | Contrato Marco de Transmisión de Datos Personales Intragrupo | Se activa con la primera adhesión formal |
| G | Autorización del Formulario de Contacto | Emitido — textos y especificación de implementación |
| H | Procedimiento de Gestión de Incidentes de Seguridad | Incorporado en el numeral 15 de esta Política |
23.2 Canales de contacto
| Asunto | Canal |
|---|
| Ejercicio de derechos (consultas y reclamos) | info@vhg.capital |
| Área responsable de la atención de peticiones | Oficialía de Protección de Datos del Grupo VHG — info@vhg.capital |
| Oficialía de Protección de Datos del Grupo | info@vhg.capital |
| Reporte de incidentes de seguridad | info@vhg.capital |
| Notificación física | Delaware, Estados Unidos de América — canal formal: info@vhg.capital |
23.3 Autoridades de control
| Jurisdicción | Autoridad |
|---|
| Colombia | Superintendencia de Industria y Comercio — Delegatura para la Protección de Datos Personales |
| Otras jurisdicciones | La autoridad de control competente en el territorio, conforme al suplemento que se emita al habilitarse la operación |
| Estados Unidos | Federal Trade Commission y autoridades estatales competentes |
FIN DEL INSTRUMENTO MLD-04
Valencia Holding Group — Marco Legal Digital del Grupo VHG
MLD-04 — Política de Tratamiento de la Información y Protección de Datos Personales | Versión 2.0 | Idioma rector: español
Published: 1 October 2026
ANNEX A — GROUP ENTITY IDENTIFICATION SHEET
VALENCIA HOLDING GROUP
VHG Group Digital Legal Framework — Annex A
Identification of the Data Controller and of the entities adhering to the MLD-VHG
Version 1.0 — October 2026
Mandatory publication document — Public access
Language notice. The governing language of this instrument is Spanish. This English version is published as a courtesy translation. In the event of any discrepancy, and in particular with respect to data subjects domiciled in Colombia, the Spanish version prevails.
DOCUMENT CONTROL
| Field | Detail |
|---|
| Document | Annex A — Group Entity Identification Sheet |
| Master document | VHG Group Digital Legal Framework (MLD-VHG) |
| Instruments referring to this Annex | MLD-01 s. 1.2 and 2.2; MLD-02 s. 2.2; MLD-03 s. 2; MLD-04 s. 1.4 and 2.1 |
| Version | 1.0 |
| Effective date | 1 October 2026 |
| Governing language | Spanish |
| Status | In force |
Function of this Annex. All four instruments of the Framework refer to this sheet for the specific identification of the Data Controller. Its publication and upkeep is a condition of the Framework's enforceability vis-à-vis data subjects and supervisory authorities. This Annex is updated without any need to amend the published instruments whenever a new Adhering Entity joins or an identification detail changes.
1. Site operator and Data Controller
Valencia Holding Group LLC is the Group's Parent Company, the issuing unit of the Digital Legal Framework and the entity operating the corporate site https://vhg.capital. In that capacity it is the Data Controller for personal data collected through that site.
| Field | Detail |
|---|
| Corporate name | Valencia Holding Group LLC |
| Legal form | Limited Liability Company |
| Jurisdiction of incorporation | State of Delaware, United States of America |
| Status within the Group | Parent Company — controlling entity |
| Status vis-à-vis data subjects | Data Controller |
| Digital platform operated | https://vhg.capital |
| Domicile | Delaware, United States of America |
| Address for judicial and administrative service | Delaware, United States of America |
| Designated formal channel for service | info@vhg.capital |
| Single channel for contact and exercise of rights | info@vhg.capital |
| Telephone | Not published. Service is provided through the designated electronic channel |
| Service hours | Permanent electronic intake. Response within the statutory periods, counted in business days |
| Area responsible for requests, enquiries and complaints | VHG Group Data Protection Office |
| Tax identification (EIN) | Withheld from publication. Held in the internal register and disclosed to any authority so requiring |
| Corporate registration | Delaware Division of Corporations. Held in the internal register |
| Applicable supervisory authorities | United States: Federal Trade Commission. Colombia: Superintendency of Industry and Commerce — Delegate Office for the Protection of Personal Data |
Regarding the address for service. The VHG Group publishes its jurisdiction of domicile and expressly designates the mailbox info@vhg.capital as the formal channel for receiving notices, requests from authorities and requests to exercise data subject rights. The registered agent's full physical address is held in the internal register and is supplied to any authority, or to any data subject demonstrating a legitimate interest, upon request through that channel.
2. Adhering Entities
The following companies are Group subsidiaries and become subject to the Framework upon executing the Deed of Adhesion in Annex E. Each is an autonomous Data Controller in respect of the databases whose purposes and means it determines.
| Field | Valencia Capital Group | Valencia Investment Group |
|---|
| Name | Valencia Capital Group S.A.S. | Valencia Investment Group S.A.S. |
| Abbreviation | VCG | VIG |
| Legal form | Simplified Stock Corporation — Colombian Law 1258 of 2008 | Simplified Stock Corporation — Colombian Law 1258 of 2008 |
| Jurisdiction of incorporation | Colombia | Colombia |
| Registered office | Medellín, Antioquia, Colombia | Medellín, Antioquia, Colombia |
| Tax ID (NIT) | Held in the internal register. Added to this sheet upon adhesion | Held in the internal register. Added to this sheet upon adhesion |
| Status within the Group | Adhering Entity — subsidiary | Adhering Entity — subsidiary |
| Own digital platform | None. Its institutional information is published at https://vhg.capital | None. Its institutional information is published at https://vhg.capital |
| Channel for contact and exercise of rights | info@vhg.capital | info@vhg.capital |
| Supervisory authority | Superintendency of Industry and Commerce — Delegate Office for the Protection of Personal Data | Superintendency of Industry and Commerce — Delegate Office for the Protection of Personal Data |
| Adhesion status | Pending execution of the Annex E Deed | Pending execution of the Annex E Deed |
Illustrative character. This list is not exhaustive. Any other affiliate, subsidiary, company, brand or business unit that may in future join the Group, be incorporated by it, or come under its direct or indirect control — within the meaning of Article 261 of the Colombian Commercial Code — joins the Framework by executing the Deed of Adhesion, requiring only an update to this sheet and no amendment to the published instruments.
3. Group Data Protection Office
| Field | Detail |
|---|
| Name | VHG Group Data Protection Office |
| Nature | Framework governance function with functional independence |
| Scope | All VHG Group entities |
| Contact channel | info@vhg.capital |
| Functions | Maintaining, interpreting and updating the Framework; coordinating and verifying its implementation; advising on impact assessments; consolidating incident reporting; acting as interlocutor with supervisory authorities; presenting the annual compliance report; approving Adhering Entity supplements |
4. Intellectual property — registration status
| Distinctive sign | Jurisdiction | Status | Basis invoked |
|---|
| VHG Group distinctive signs | Colombia | Pending registration before the Superintendency of Industry and Commerce | Until registration is granted, the Group asserts no trademark exclusivity and reserves unfair-competition actions |
| VHG Group distinctive signs | United States | Pending | Until registration is granted, the Group asserts no trademark exclusivity |
| Site content, text, designs and software | All | Protected without registration | Article 52 of Andean Decision 351 of 1993 and the Berne Convention |
Warning. Colombia and the Andean Community operate an attributive system: the exclusive right to a trademark arises from registration, under Article 154 of Andean Decision 486 of 2000. Publicly asserting an exclusivity not yet constituted exposes the Group to a claim of misleading representation. This sheet is updated upon the grant of each registration.
5. National Database Register
| Entity | Exceeds 100,000 UVT in total assets | Registration required | Last verification |
|---|
| Valencia Holding Group LLC | Not applicable — entity not domiciled in Colombia | No | 1 October 2026 |
| Valencia Capital Group S.A.S. | No | No | 1 October 2026 |
| Valencia Investment Group S.A.S. | No | No | 1 October 2026 |
The Data Protection Office verifies this table annually, within one month of approval of each entity's financial statements, in accordance with section 16 of instrument MLD-04, and documents the verification whether or not the threshold is exceeded.
6. Processing destinations and international transfers
| Destination | Nature of the flow | Adequacy status | Basis |
|---|
| Colombia | Processing by the Adhering Entities | Jurisdiction of origin | Not applicable |
| United States of America | Site hosting and corporate email | Declared adequate by External Circular 005 of 2017 of the SIC | Article 26 of Law 1581 of 2012 |
The VHG Group carries out no transfers or transmissions to jurisdictions not declared adequate. Enabling any flow to a different destination requires the Data Protection Office's prior documented verification of its basis, in accordance with section 13 of instrument MLD-04.
7. Updating this sheet
This sheet is updated, without any need to amend the published instruments, whenever: a new Adhering Entity joins; an identification detail of any entity changes; a trademark registration is granted or refused; an entity exceeds the RNBD threshold; or a new processing destination is enabled.
Updating is the responsibility of the Group Data Protection Office, which records the date and reason for each change.
| Version | Date | Reason |
|---|
| 1.0 | 1 October 2026 | Initial issuance |
END OF ANNEX A
Valencia Holding Group — VHG Group Digital Legal Framework
Annex A — Entity Identification Sheet | Version 1.0 | Governing language: Spanish
Publicado: 1 de octubre de 2026
ANEXO A — FICHA DE IDENTIFICACIÓN DE LAS ENTIDADES DEL GRUPO
VALENCIA HOLDING GROUP
Marco Legal Digital del Grupo VHG — Anexo A
Identificación del Responsable del Tratamiento y de las entidades adheridas al MLD-VHG
Versión 1.0 — Octubre de 2026
Documento de publicación obligatoria — Acceso público
CONTROL DEL DOCUMENTO
| Campo | Detalle |
|---|
| Documento | Anexo A — Ficha de Identificación de las Entidades del Grupo |
| Documento maestro | Marco Legal Digital del Grupo VHG (MLD-VHG) |
| Instrumentos que remiten a este Anexo | MLD-01 num. 1.2 y 2.2; MLD-02 num. 2.2; MLD-03 num. 2; MLD-04 num. 1.4 y 2.1 |
| Versión | 1.0 |
| Fecha de entrada en vigencia | 1 de octubre de 2026 |
| Idioma rector | Español (castellano) |
| Estado | Vigente |
Función de este Anexo. Los cuatro instrumentos del Marco remiten a esta ficha para la identificación concreta del Responsable del Tratamiento. Su publicación y actualización es condición de oponibilidad del Marco frente al Titular y ante las autoridades de control. Este Anexo se actualiza sin necesidad de modificar los instrumentos publicados, cada vez que se incorpore una nueva Entidad Adherente o cambie un dato de identificación.
1. Entidad operadora del Sitio y Responsable del Tratamiento
Valencia Holding Group LLC es la Casa Matriz del Grupo, la unidad emisora del Marco Legal Digital y la entidad que opera el sitio corporativo https://vhg.capital. En tal condición es el Responsable del Tratamiento de los datos personales recolectados a través de dicho sitio.
| Campo | Detalle |
|---|
| Razón social | Valencia Holding Group LLC |
| Forma societaria | Limited Liability Company |
| Jurisdicción de constitución | Estado de Delaware, Estados Unidos de América |
| Calidad dentro del Grupo | Casa Matriz — entidad controlante |
| Calidad frente al Titular | Responsable del Tratamiento |
| Plataforma digital operada | https://vhg.capital |
| Domicilio | Delaware, Estados Unidos de América |
| Dirección de notificación judicial y administrativa | Delaware, Estados Unidos de América |
| Canal formal de notificación designado | info@vhg.capital |
| Canal único de contacto y ejercicio de derechos | info@vhg.capital |
| Teléfono | No se publica. La atención se presta por el canal electrónico designado |
| Horario de atención | Recepción permanente por canal electrónico. Respuesta dentro de los términos legales, computados en días hábiles |
| Área responsable de peticiones, consultas y reclamos | Oficialía de Protección de Datos del Grupo VHG |
| Identificación fiscal (EIN) | Reservada. No se publica. Consta en el registro interno y se suministra a la autoridad que la requiera |
| Registro societario | División de Corporaciones del Estado de Delaware. Consta en el registro interno |
| Autoridades de control aplicables | Estados Unidos: Federal Trade Commission. Colombia: Superintendencia de Industria y Comercio — Delegatura para la Protección de Datos Personales |
Sobre la dirección de notificación. El Grupo VHG publica su jurisdicción de domicilio y designa expresamente el buzón info@vhg.capital como canal formal habilitado para la recepción de notificaciones, requerimientos de autoridad y solicitudes de ejercicio de derechos. La dirección física completa del agente registrado se conserva en el registro interno y se suministra a cualquier autoridad o Titular que acredite interés legítimo y la requiera por ese canal.
2. Entidades Adherentes
Las siguientes sociedades son filiales del Grupo y quedan sujetas al Marco una vez suscriban el Acta de Adhesión del Anexo E. Cada una es Responsable del Tratamiento autónomo respecto de las bases de datos cuyas finalidades y medios determina.
| Campo | Valencia Capital Group | Valencia Investment Group |
|---|
| Denominación | Valencia Capital Group S.A.S. | Valencia Investment Group S.A.S. |
| Sigla | VCG | VIG |
| Forma societaria | Sociedad por Acciones Simplificada — Ley 1258 de 2008 | Sociedad por Acciones Simplificada — Ley 1258 de 2008 |
| Jurisdicción de constitución | Colombia | Colombia |
| Domicilio social | Medellín, Antioquia, Colombia | Medellín, Antioquia, Colombia |
| NIT | Consta en el registro interno. Se incorpora a esta ficha al momento de la adhesión | Consta en el registro interno. Se incorpora a esta ficha al momento de la adhesión |
| Calidad dentro del Grupo | Entidad Adherente — filial | Entidad Adherente — filial |
| Plataforma digital propia | No opera plataforma propia. Su información institucional se publica en https://vhg.capital | No opera plataforma propia. Su información institucional se publica en https://vhg.capital |
| Canal de contacto y ejercicio de derechos | info@vhg.capital | info@vhg.capital |
| Autoridad de control | Superintendencia de Industria y Comercio — Delegatura para la Protección de Datos Personales | Superintendencia de Industria y Comercio — Delegatura para la Protección de Datos Personales |
| Estado de adhesión | Pendiente de suscripción del Acta del Anexo E | Pendiente de suscripción del Acta del Anexo E |
Carácter enunciativo. Este listado no es taxativo. Cualquier otra filial, subsidiaria, sociedad, marca o unidad de negocio que en el futuro se incorpore al Grupo, sea constituida por este o quede bajo su control directo o indirecto —en los términos del artículo 261 del Código de Comercio— se incorpora al Marco mediante la suscripción del Acta de Adhesión, con la sola actualización de esta ficha y sin necesidad de modificar los instrumentos publicados.
3. Oficialía de Protección de Datos del Grupo
| Campo | Detalle |
|---|
| Denominación | Oficialía de Protección de Datos del Grupo VHG |
| Naturaleza | Función de gobernanza del Marco con independencia funcional |
| Ámbito | Todas las entidades del Grupo VHG |
| Canal de contacto | info@vhg.capital |
| Funciones | Custodiar, interpretar y actualizar el Marco; coordinar y verificar su implementación; asesorar en evaluaciones de impacto; consolidar el reporte de incidentes; actuar como interlocutor ante las autoridades de control; presentar el informe anual de cumplimiento; aprobar los suplementos de las Entidades Adherentes |
4. Propiedad intelectual — estado de los registros
| Signo distintivo | Jurisdicción | Estado | Fundamento invocado |
|---|
| Signos distintivos del Grupo VHG | Colombia | En trámite de registro ante la Superintendencia de Industria y Comercio | Mientras no se otorgue el registro, el Grupo no invoca exclusividad marcaria y se reserva las acciones por competencia desleal |
| Signos distintivos del Grupo VHG | Estados Unidos | En trámite | Mientras no se otorgue el registro, el Grupo no invoca exclusividad marcaria |
| Contenidos, textos, diseños y software del Sitio | Todas | Protegidos sin necesidad de registro | Artículo 52 de la Decisión Andina 351 de 1993 y Convenio de Berna |
Advertencia. En Colombia y en la Comunidad Andina rige un sistema atributivo: el derecho exclusivo sobre una marca nace del registro, conforme al artículo 154 de la Decisión Andina 486 de 2000. Afirmar públicamente una exclusividad no constituida expone al Grupo a una reclamación por afirmación engañosa. Esta ficha se actualiza al momento de la concesión de cada registro.
5. Registro Nacional de Bases de Datos
| Entidad | Supera 100.000 UVT en activos totales | Inscripción exigible | Última verificación |
|---|
| Valencia Holding Group LLC | No aplica — entidad no domiciliada en Colombia | No | 1 de octubre de 2026 |
| Valencia Capital Group S.A.S. | No | No | 1 de octubre de 2026 |
| Valencia Investment Group S.A.S. | No | No | 1 de octubre de 2026 |
La Oficialía de Protección de Datos verifica este cuadro anualmente, dentro del mes siguiente a la aprobación de los estados financieros de cada entidad, conforme al numeral 16 del instrumento MLD-04, y deja constancia documental de la verificación supere o no el umbral.
6. Destinos de tratamiento y transferencias internacionales
| Destino | Naturaleza del flujo | Nivel de adecuación | Fundamento |
|---|
| Colombia | Tratamiento por las Entidades Adherentes | Jurisdicción de origen | No aplica |
| Estados Unidos de América | Alojamiento del Sitio y correo corporativo | Declarado adecuado por la Circular Externa 005 de 2017 de la SIC | Artículo 26 de la Ley 1581 de 2012 |
El Grupo VHG no realiza transferencias ni transmisiones hacia jurisdicciones no declaradas adecuadas. La habilitación de cualquier flujo hacia un destino distinto requiere la verificación previa y documentada de su fundamento por parte de la Oficialía, conforme al numeral 13 del instrumento MLD-04.
7. Actualización de esta ficha
Esta ficha se actualiza, sin necesidad de modificar los instrumentos publicados, cuando: se incorpore una nueva Entidad Adherente; cambie un dato de identificación de cualquier entidad; se conceda o se deniegue un registro marcario; una entidad supere el umbral del RNBD; o se habilite un nuevo destino de tratamiento.
La actualización corresponde a la Oficialía de Protección de Datos del Grupo, que deja constancia de la fecha y del motivo de cada cambio.
| Versión | Fecha | Motivo |
|---|
| 1.0 | 1 de octubre de 2026 | Emisión inicial |
FIN DEL ANEXO A
Valencia Holding Group — Marco Legal Digital del Grupo VHG
Anexo A — Ficha de Identificación | Versión 1.0 | Idioma rector: español