Política de privacidad

POLÍTICA DE TRATAMIENTO DE LA INFORMACIÓN Y PROTECCIÓN DE DATOS PERSONALES

VALENCIA HOLDING GROUP Marco Legal Digital del Grupo VHG — Instrumento MLD-04

Política maestra de gobernanza, tratamiento y protección de datos personales del Grupo VHG y de sus entidades adherentes

Versión 2.0 — Octubre de 2026 Documento de adopción y publicación obligatoria — Acceso público

CONTROL DEL DOCUMENTO

Identificación

Historial de versiones

Convención de trazabilidad normativa

Advertencia de uso

Documento de adopción obligatoria. Esta Política constituye el instrumento que la ley colombiana exige a todo Responsable del Tratamiento y no puede ser sustituida por el Aviso de Privacidad. Su adopción formal por cada entidad adherente, mediante Acta de Adhesión, es requisito para la operación lícita de sus bases de datos. Su incumplimiento expone a la entidad a las sanciones del artículo 23 de la Ley 1581 de 2012.

CONTENIDO

1. Objeto, alcance y arquitectura de grupo
2. Identificación del Responsable y estructura de gobierno
3. Definiciones
4. Principios rectores
5. Clasificación de los datos y regímenes especiales
6. Bases de datos y finalidades del Tratamiento
7. Régimen de la autorización
8. Derechos de los Titulares
9. Deberes del Grupo VHG
10. Procedimiento de atención de consultas y reclamos
11. Encargados del Tratamiento y cadena de proveedores
12. Circulación de datos dentro del Grupo VHG
13. Transferencias y transmisiones internacionales
14. Seguridad de la información
15. Gestión de incidentes de seguridad
16. Registro Nacional de Bases de Datos
17. Conservación, supresión y anonimización
18. Responsabilidad demostrada
19. Tratamientos especiales
20. Régimen sancionatorio y consecuencias del incumplimiento
21. Suplementos jurisdiccionales
22. Vigencia, actualización y monitoreo normativo
23. Anexos y canales de contacto

1. Objeto, alcance y arquitectura de grupo

Una política de tratamiento no es un documento declarativo sino el instrumento que organiza jurídicamente la relación entre el Grupo y las personas cuyos datos administra. Su eficacia depende de que delimite con precisión qué cubre, quién la aplica y cómo se articula con la estructura societaria del Grupo.

1.1 Objeto

La presente Política establece los principios, criterios, procedimientos, garantías y responsabilidades que rigen el tratamiento de datos personales por parte de Valencia Holding Group ("VHG" o la "Casa Matriz") y de las entidades adheridas al Marco Legal Digital del Grupo VHG (las "Entidades Adherentes" y, conjuntamente, el "Grupo VHG").

Se adopta en cumplimiento del artículo 15 de la Constitución Política de Colombia, de la Ley 1581 de 2012, del Decreto 1074 de 2015 —que compiló el Decreto 1377 de 2013— y de las normas concordantes, así como de la normativa aplicable en las demás jurisdicciones donde opera el Grupo.

1.2 Alcance material

Esta Política cubre la totalidad de las bases de datos personales del Grupo VHG, con independencia de su soporte, formato o canal de recolección. Comprende, sin limitarse a ello:

● Bases de datos alimentadas por plataformas digitales, portales, aplicaciones y formularios en línea. ● Bases de datos derivadas de la contratación con clientes, inversionistas, proveedores y contratistas. ● Bases de datos de gestión humana, incluidos aspirantes, colaboradores y excolaboradores. ● Registros de debida diligencia y conocimiento de contrapartes. ● Archivos físicos, documentales y contractuales. ● Sistemas de videovigilancia y control de acceso. ● Registros de comunicaciones y de atención al usuario.

Esta delimitación corrige expresamente el alcance exclusivamente digital de instrumentos anteriores.

1.3 Alcance subjetivo

Entidades obligadas. VHG y toda Entidad Adherente. Se encuentran comprendidas, entre otras, Valencia Capital Group (VCG) y Valencia Investment Group (VIG), así como cualquier otra filial, subsidiaria, sociedad, marca o unidad de negocio que en el futuro se incorpore al Grupo, sea constituida por este o quede bajo su control, directo o indirecto. Este listado es meramente enunciativo y no taxativo: la incorporación de una nueva entidad se perfecciona mediante el Acta de Adhesión del numeral 1.4, sin que sea necesario modificar esta Política.

Titulares cubiertos. Toda persona natural cuyos datos sean tratados por el Grupo VHG: usuarios y visitantes de plataformas; clientes actuales y potenciales; inversionistas y potenciales inversionistas; contrapartes comerciales; proveedores, contratistas y su personal; aspirantes y colaboradores; y representantes legales, beneficiarios finales y personas vinculadas a personas jurídicas con las que el Grupo se relacione.

Personal obligado. Administradores, representantes legales, colaboradores, contratistas y terceros que accedan a datos personales bajo la responsabilidad del Grupo VHG, cuyo incumplimiento dará lugar a las consecuencias del numeral 20.2.

1.4 Arquitectura de grupo y adhesión

Valencia Holding Group es la Casa Matriz y la unidad emisora de esta Política. Define el estándar mínimo obligatorio de protección de datos para todo el Grupo y ejerce funciones de coordinación, verificación y reporte a través de la Oficialía de Protección de Datos del Grupo.

Cada Entidad Adherente es Responsable del Tratamiento autónomo respecto de las bases de datos cuyas finalidades y medios determina. La adhesión no genera confusión patrimonial, ni corresponsabilidad automática, ni traslado de la posición de Responsable a la Casa Matriz.

La adhesión se perfecciona mediante Acta de Adhesión conforme al Anexo E, con los efectos previstos en el numeral 2.2 del instrumento MLD-01. Cada Entidad Adherente debe, como condición de la adhesión:

Primero. Diligenciar y publicar su Anexo A — Ficha de Identificación.

Segundo. Designar formalmente su Área de Protección de Datos y su punto de contacto para el ejercicio de derechos.

Tercero. Levantar y mantener su Anexo D — Registro de Bases de Datos, Finalidades y Retención.

Cuarto. Inscribir sus bases de datos en el Registro Nacional de Bases de Datos cuando le sea exigible conforme al numeral 16.

Quinto. Suscribir el Anexo F — Contrato Marco de Transmisión de Datos Personales Intragrupo.

Facultad de suplementar. Cada Entidad Adherente puede emitir suplementos propios que eleven el estándar de esta Política, atendiendo a su actividad, su sector regulado o su jurisdicción. Ningún suplemento puede reducirlo, contradecirlo ni derogarlo.

1.5 Alcance territorial y prelación normativa

Conforme al artículo 2 de la Ley 1581 de 2012, el régimen colombiano aplica al tratamiento de datos efectuado en territorio colombiano y a los Responsables o Encargados no domiciliados en Colombia a quienes les sea aplicable la ley colombiana en virtud de normas y tratados internacionales.

El orden de prelación, del cual no cabe pacto en contrario, es el siguiente:

2. Identificación del Responsable y estructura de gobierno

La ley exige que el Titular sepa con exactitud ante quién ejerce sus derechos. Esta sección satisface ese requisito y define, además, la estructura interna que hace operativa la Política.

2.1 Identificación del Responsable

La identificación completa de cada Entidad Adherente consta en el Anexo A.

2.2 Área responsable de la atención de peticiones, consultas y reclamos

En cumplimiento del literal d) del artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, se designa como área responsable de la atención de peticiones, consultas y reclamos ante la cual el Titular puede ejercer sus derechos:

2.3 Oficialía de Protección de Datos del Grupo

VHG designa una Oficialía de Protección de Datos del Grupo (OPD), con las siguientes funciones:

● Custodiar, interpretar y actualizar el Marco Legal Digital. ● Coordinar y verificar la implementación de esta Política en las Entidades Adherentes. ● Asesorar en la evaluación de impacto de tratamientos de alto riesgo. ● Consolidar el reporte de incidentes y actuar como interlocutor con las autoridades de control. ● Presentar al máximo órgano de administración un informe anual de cumplimiento. ● Aprobar los suplementos de las Entidades Adherentes.

La OPD ejerce sus funciones con independencia funcional y no puede recibir instrucciones que comprometan su criterio técnico. Su identificación consta en el Anexo A.

2.4 Comité de Protección de Datos y Gobierno de la Información

Se constituye un Comité con participación de la OPD, la dirección jurídica, la dirección de tecnología, la función de cumplimiento y la función de riesgos, con reunión semestral como mínimo, encargado de revisar el estado de cumplimiento, los incidentes materializados, las brechas identificadas y el plan de remediación.

3. Definiciones

Para los efectos de esta Política, se adoptan las definiciones de los artículos 3 de la Ley 1581 de 2012 y 2.2.2.25.1.3 del Decreto 1074 de 2015:

Autorización. Consentimiento previo, expreso e informado del Titular para llevar a cabo el tratamiento de sus datos personales.

Aviso de privacidad. Comunicación verbal o escrita dirigida al Titular para informarle sobre la existencia de las políticas de tratamiento, la forma de acceder a ellas y las finalidades del tratamiento.

Base de datos. Conjunto organizado de datos personales objeto de tratamiento.

Dato personal. Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Dato público. El que no sea semiprivado, privado o sensible, tales como los relativos al estado civil, la profesión u oficio y la calidad de comerciante o servidor público, y los contenidos en documentos públicos, sentencias ejecutoriadas y registros públicos.

Dato semiprivado. El que no tiene naturaleza íntima ni pública y cuyo conocimiento interesa al Titular y a un sector determinado de personas.

Dato privado. El de naturaleza íntima o reservada que solo interesa a su Titular.

Dato sensible. El que afecta la intimidad del Titular o cuyo uso indebido puede generar discriminación.

Encargado del Tratamiento. Persona que realiza el tratamiento de datos personales por cuenta del Responsable.

Responsable del Tratamiento. Persona que decide sobre la base de datos y el tratamiento de los datos.

Titular. Persona natural cuyos datos personales son objeto de tratamiento.

Transferencia. Envío de datos a un receptor que a su vez es Responsable y se encuentra dentro o fuera del país.

Transmisión. Comunicación de datos a un Encargado para que este realice el tratamiento por cuenta del Responsable.

Tratamiento. Cualquier operación sobre datos personales, tales como recolección, almacenamiento, uso, circulación o supresión.

Incidente de seguridad. Evento que compromete la confidencialidad, integridad o disponibilidad de datos personales.

4. Principios rectores

El tratamiento de datos personales por el Grupo VHG se sujeta a los principios del artículo 4 de la Ley 1581 de 2012, que operan como criterios de interpretación de toda la Política:

Legalidad. El tratamiento es una actividad reglada que debe sujetarse a lo establecido en la ley y en sus disposiciones reglamentarias.

Finalidad. El tratamiento obedece a una finalidad legítima, determinada y previamente informada al Titular. Ninguna base de datos se utiliza para finalidades distintas de las declaradas en el Anexo D.

Libertad. El tratamiento solo se ejerce con el consentimiento previo, expreso e informado del Titular. Los datos no se obtienen ni divulgan sin autorización, salvo mandato legal o judicial.

Veracidad o calidad. La información es veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el tratamiento de datos parciales, incompletos, fraccionados o que induzcan a error.

Transparencia. Se garantiza al Titular el derecho a obtener, en cualquier momento y sin restricciones, información acerca de la existencia de datos que le conciernan.

Acceso y circulación restringida. El tratamiento se sujeta a los límites derivados de la naturaleza de los datos. Los datos personales, salvo la información pública, no pueden estar disponibles en medios de divulgación masiva sino cuando el acceso sea técnicamente controlable.

Seguridad. La información se maneja con las medidas técnicas, humanas y administrativas necesarias para otorgar seguridad a los registros, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

Confidencialidad. Todas las personas que intervengan en el tratamiento están obligadas a garantizar la reserva de la información, obligación que subsiste aun después de finalizada su relación con el Grupo.

Responsabilidad demostrada. Como estándar adicional del Grupo, el cumplimiento no se declara: se documenta, se mide y se acredita ante el Titular y ante la autoridad, conforme al numeral 18.

5. Clasificación de los datos y regímenes especiales

No todos los datos admiten el mismo tratamiento. La clasificación determina el nivel de autorización exigible, las medidas de seguridad aplicables y los límites de circulación, por lo que constituye el punto de partida operativo de toda decisión sobre datos.

5.1 Clasificación general

Conforme a la Ley 1581 de 2012 y a la Sentencia C-748 de 2011 de la Corte Constitucional, los datos se clasifican en públicos, semiprivados, privados y sensibles, con niveles crecientes de protección y restricción de circulación.

5.2 Datos sensibles

Regla. Se prohíbe el tratamiento de datos sensibles, salvo en los casos del artículo 6 de la Ley 1581 de 2012: cuando el Titular haya dado su autorización explícita, salvo que la ley no lo requiera; cuando sea necesario para salvaguardar el interés vital del Titular que se encuentre física o jurídicamente incapacitado; cuando el tratamiento sea efectuado en el curso de actividades legítimas por una fundación, ONG, asociación o cualquier organismo sin ánimo de lucro con finalidad política, filosófica, religiosa o sindical, respecto de sus miembros; cuando se refiera a datos necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; o cuando tenga finalidad histórica, estadística o científica con adopción de medidas de supresión de identidad.

Garantías adicionales. Cuando el Grupo VHG requiera tratar datos sensibles:

● Informará al Titular que se trata de datos sensibles y cuál es la finalidad específica. ● Obtendrá autorización explícita y diferenciada de la autorización general. ● Informará expresamente que no está obligado a autorizar el tratamiento ni a responder preguntas sobre datos sensibles. ● Aplicará controles de acceso reforzados, cifrado y registro de auditoría diferenciados. ● Se abstendrá de condicionar cualquier actividad a la entrega de datos sensibles, salvo mandato legal.

5.3 Datos de niños, niñas y adolescentes

El tratamiento de datos de menores está prohibido, salvo cuando se trate de datos de naturaleza pública y cuando el tratamiento cumpla los parámetros del artículo 2.2.2.25.2.9 del Decreto 1074 de 2015: responder y respetar el interés superior del menor, y asegurar el respeto de sus derechos fundamentales.

El Grupo VHG:

● No dirige sus plataformas ni sus productos a menores de edad. ● Requiere autorización del representante legal, previa valoración de la opinión del menor cuando su madurez lo permita. ● Suprime de inmediato los datos de menores recolectados de forma inadvertida. ● Se abstiene de realizar perfilamiento o publicidad dirigida a menores.

5.4 Datos financieros y crediticios

Cuando una Entidad Adherente administre, reporte o consulte información financiera, crediticia, comercial o de servicios ante operadores de información, dicho tratamiento se rige adicionalmente por la Ley 1266 de 2008 y sus normas reglamentarias, con las garantías propias de ese régimen —notificación previa al reporte negativo, derecho de defensa, permanencia de la información y caducidad del dato negativo—.

Precisión. La Ley 1266 de 2008 regula el habeas data financiero y crediticio; el régimen general de protección de datos personales es el de la Ley 1581 de 2012. Ambos regímenes son concurrentes y no se sustituyen entre sí. Esta precisión corrige la remisión genérica a la "Habeas Data Law" empleada en versiones anteriores del Marco.

5.5 Datos de personas jurídicas

Los datos de personas jurídicas no son datos personales. No obstante, los datos de sus representantes legales, administradores, beneficiarios finales, accionistas personas naturales y personal de contacto sí lo son y quedan sujetos íntegramente a esta Política.

6. Bases de datos y finalidades del Tratamiento

6.1 Registro de bases de datos

Cada Entidad Adherente levanta y mantiene actualizado el Anexo D — Registro de Bases de Datos, Finalidades y Retención, con la siguiente estructura mínima:

El Anexo D se actualiza al menos anualmente y siempre que se cree una base de datos, se modifique una finalidad o se incorpore un nuevo encargado.

6.2 Finalidades declaradas

El Grupo VHG trata datos personales exclusivamente para las finalidades declaradas en el numeral 5 del instrumento MLD-02, que se entienden aquí íntegramente incorporadas: gestión del relacionamiento; ejecución contractual; cumplimiento normativo, incluida la prevención del lavado de activos y la financiación del terrorismo; gestión de riesgos y seguridad; gobierno corporativo; mejora de plataformas; comunicaciones institucionales y comerciales previa autorización específica; y gestión de talento.

Prohibición de finalidades secundarias no declaradas. Ninguna entidad del Grupo puede emplear datos personales para finalidades distintas de las declaradas ni incompatibles con ellas. La incorporación de una nueva finalidad requiere actualización del Anexo D, comunicación previa al Titular y nueva autorización.

7. Régimen de la autorización

La autorización es el eje del sistema colombiano de protección de datos y el punto donde con mayor frecuencia se materializa el incumplimiento. Esta sección fija su régimen sin remisión a estándares extranjeros que el ordenamiento no reconoce.

7.1 Requisitos

La autorización debe ser previa a la recolección, expresa —manifestada mediante conducta inequívoca— e informada, esto es, precedida de la comunicación al Titular de la identidad del Responsable, las finalidades del tratamiento, el carácter facultativo de responder preguntas sobre datos sensibles o de menores, sus derechos, y la forma de acceder a esta Política.

7.2 Ausencia de interés legítimo como base autónoma

Norma imperativa. El ordenamiento colombiano no contempla el "interés legítimo" como base autónoma de licitud del tratamiento. Las únicas hipótesis en que no se requiere autorización son las taxativamente previstas en el artículo 10 de la Ley 1581 de 2012: (i) información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; (ii) datos de naturaleza pública; (iii) casos de urgencia médica o sanitaria; (iv) tratamiento autorizado por la ley para fines históricos, estadísticos o científicos; y (v) datos relacionados con el Registro Civil de las Personas. Ninguna entidad del Grupo puede invocar el interés legítimo como fundamento de un tratamiento sujeto a la ley colombiana.

7.3 Modos de obtención y prueba

La autorización se obtiene por medios que permitan su posterior consulta: documento físico, firma electrónica, casilla de verificación no premarcada, botón de aceptación, grabación de voz con advertencia previa, o conducta inequívoca del Titular que permita concluir razonablemente que otorgó la autorización.

El Grupo VHG conserva prueba de la autorización en los términos del artículo 9 de la Ley 1581 de 2012, con registro de fecha, hora, canal, versión del texto informado y trazas técnicas. Este registro se conserva durante toda la vigencia del tratamiento y, como mínimo, cinco (5) años después de su terminación.

No constituyen autorización el silencio, la inactividad, las casillas premarcadas, la continuación de la navegación ni el uso continuado de un servicio.

7.4 Autorización para datos recolectados antes de la vigencia de esta Política

Respecto de datos recolectados con anterioridad, el Grupo VHG adelantará el proceso de solicitud de autorización previsto en el artículo 2.2.2.25.2.4 del Decreto 1074 de 2015, empleando mecanismos eficientes de comunicación con el Titular. Si transcurridos treinta (30) días hábiles desde la comunicación el Titular no ha manifestado su oposición y ha continuado utilizando los servicios, se entenderá que la autorización subsiste; en caso contrario, se suprimirán los datos.

7.5 Revocatoria y solicitud de supresión

El Titular puede revocar la autorización y solicitar la supresión de sus datos en cualquier momento, de forma gratuita, total o parcialmente respecto de determinadas finalidades.

No procede la supresión cuando el Titular tenga un deber legal o contractual de permanecer en la base de datos, o cuando la eliminación obstaculice actuaciones judiciales o administrativas relacionadas con obligaciones fiscales, la investigación de delitos o la actualización de sanciones administrativas. En tales casos, la negativa se comunicará al Titular de manera motivada dentro de los plazos del numeral 10.

8. Derechos de los Titulares

Conforme al artículo 8 de la Ley 1581 de 2012, el Titular tiene derecho a: conocer, actualizar y rectificar sus datos; solicitar prueba de la autorización otorgada; ser informado sobre el uso dado a sus datos; presentar quejas ante la Superintendencia de Industria y Comercio una vez agotado el trámite ante el Responsable; revocar la autorización y solicitar la supresión cuando proceda; y acceder de forma gratuita a sus datos.

Legitimación. Estos derechos pueden ejercerse por el Titular; por sus causahabientes, quienes deberán acreditar tal calidad; por el representante o apoderado del Titular; y por estipulación a favor de otro. Los datos de menores serán ejercidos por quien esté facultado para representarlos.

Prueba de identidad. El Grupo VHG verificará la identidad del solicitante mediante mecanismos proporcionales, absteniéndose de solicitar información excesiva o de recolectar datos adicionales con ocasión de la solicitud.

9. Deberes del Grupo VHG

9.1 En calidad de Responsable

Conforme al artículo 17 de la Ley 1581 de 2012, el Grupo VHG debe: garantizar al Titular el ejercicio pleno del habeas data; solicitar y conservar copia de la autorización; informar debidamente al Titular sobre la finalidad y sus derechos; conservar la información bajo condiciones de seguridad; garantizar que la información sea veraz, completa, exacta, actualizada, comprobable y comprensible; actualizar y rectificar la información; suministrar al Encargado únicamente datos cuyo tratamiento esté autorizado; exigir al Encargado el respeto de las condiciones de seguridad y privacidad; tramitar las consultas y reclamos; adoptar un manual interno de políticas y procedimientos; informar al Encargado cuando determinada información se encuentre en discusión; informar a solicitud del Titular sobre el uso dado a sus datos; e informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información.

9.2 En calidad de Encargado

Cuando una entidad del Grupo actúe como Encargado por cuenta de un tercero, observará los deberes del artículo 18 de la Ley 1581 de 2012, en particular tratar los datos únicamente conforme a las instrucciones del Responsable y abstenerse de utilizarlos para finalidades propias.

10. Procedimiento de atención de consultas y reclamos

Un derecho sin procedimiento cierto no es exigible. Esta sección adopta el procedimiento y los términos legales de manera expresa y verificable, y constituye el estándar mínimo obligatorio para toda Entidad Adherente.

10.1 Canales

Las solicitudes se presentan por los canales del numeral 23.2, indicando: nombre e identificación del Titular; calidad en que actúa y prueba de la legitimación cuando corresponda; descripción precisa de la petición; dirección física o electrónica de notificación; y documentos de soporte.

10.2 Consultas

Término: diez (10) días hábiles desde la fecha de recibo. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado antes del vencimiento, expresando los motivos y la fecha en que se atenderá, la cual no podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer plazo. (Artículo 14, Ley 1581 de 2012.)

10.3 Reclamos

Término: quince (15) días hábiles contados desde el día siguiente a la recepción. Cuando no fuere posible atenderlo dentro de dicho término, se informarán al interesado los motivos de la demora y la fecha de respuesta, que no podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término. (Artículo 15, Ley 1581 de 2012.)

10.4 Requisito de procedibilidad

Conforme al artículo 16 de la Ley 1581 de 2012, el Titular solo puede elevar queja ante la Superintendencia de Industria y Comercio una vez agotado el trámite de consulta o reclamo ante el Responsable o Encargado.

10.5 Registro y trazabilidad

Cada Entidad Adherente mantiene un registro de solicitudes con radicado único, fecha y hora de recepción, canal de entrada, tipo de solicitud, fecha de respuesta, sentido de la decisión y evidencia de la notificación. Este registro es insumo del informe anual de la OPD y elemento de acreditación ante la autoridad.

Regla especial derivada del canal único. El Grupo VHG opera con un buzón único de contacto (info@vhg.capital). En consecuencia, la trazabilidad no la aporta la dirección de correo sino el procedimiento: toda comunicación entrante se clasifica al momento de su recepción entre consulta, reclamo, solicitud de revocatoria, notificación legal, reporte de incidente o correspondencia general, y las que constituyan ejercicio de derechos se radican de inmediato en el registro con activación del cómputo de términos. La clasificación errónea o tardía de una solicitud no suspende ni interrumpe los plazos de los numerales 10.2 y 10.3.

10.6 Gratuidad

El ejercicio de los derechos es gratuito. No se exigirá pago ni se condicionará la atención a contraprestación alguna. La información podrá ser suministrada por cualquier medio, incluidos los electrónicos, que el Titular solicite.

11. Encargados del Tratamiento y cadena de proveedores

El riesgo de un tratamiento no termina en las fronteras de la organización: se extiende a toda la cadena de proveedores que accede a los datos. Su gobierno contractual es, por tanto, parte integral del deber de seguridad.

11.1 Debida diligencia previa

Antes de vincular a un Encargado, la Entidad Adherente evalúa sus condiciones técnicas y organizativas de seguridad, su ubicación y la de sus subcontratistas, sus certificaciones, su historial de incidentes y sus mecanismos de atención de derechos. La evaluación se documenta.

11.2 Contrato de transmisión

Toda transmisión a un Encargado se documenta mediante contrato que, conforme al artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, contenga como mínimo: el alcance y las finalidades del tratamiento; las actividades que el Encargado realizará por cuenta del Responsable; las obligaciones del Encargado frente al Titular y al Responsable; el deber de dar tratamiento a los datos de acuerdo con la finalidad autorizada y la ley aplicable; el deber de salvaguardar la seguridad de las bases de datos; el deber de guardar confidencialidad; y la devolución o supresión de los datos al término de la relación.

11.3 Subencargados

El Encargado no puede subcontratar el tratamiento sin autorización previa y escrita del Responsable. La autorización se condiciona a que el subencargado asuma obligaciones equivalentes y a que el Encargado conserve la responsabilidad frente al Responsable.

11.4 Auditoría

El Responsable se reserva la facultad de auditar al Encargado, directamente o a través de tercero independiente, con preaviso razonable y sin afectar la operación.

12. Circulación de datos dentro del Grupo VHG

La pertenencia a un mismo grupo empresarial no habilita por sí sola el flujo libre de datos entre sus entidades. Cada flujo requiere calificación jurídica y fundamento propio.

12.1 Calificación del flujo

Transmisión. Cuando una entidad del Grupo trata datos por cuenta de otra, siguiendo sus instrucciones y sin determinar finalidades propias, actúa como Encargado. El flujo se rige por el contrato del numeral 11.2 y no requiere autorización adicional del Titular, siempre que la finalidad esté declarada.

Transferencia. Cuando la entidad receptora determina finalidades propias, actúa como Responsable independiente. El flujo constituye transferencia y requiere autorización del Titular, informada al momento de la recolección o solicitada con posterioridad.

12.2 Contrato Marco Intragrupo

VHG y las Entidades Adherentes suscriben el Anexo F — Contrato Marco de Transmisión de Datos Personales Intragrupo, que documenta los flujos, califica la posición de cada entidad, define las finalidades admisibles, establece medidas de seguridad comunes y regula la atención de derechos cuando el Titular acuda a una entidad distinta de la Responsable.

12.3 Ventanilla única

El Titular puede ejercer sus derechos ante cualquier entidad del Grupo VHG. La entidad que reciba la solicitud la trasladará a la Responsable dentro de los dos (2) días hábiles siguientes e informará de ello al Titular, sin que el traslado interno afecte los términos legales de respuesta frente a este.

13. Transferencias y transmisiones internacionales

13.1 Régimen aplicable

Norma imperativa. El artículo 26 de la Ley 1581 de 2012 prohíbe la transferencia de datos personales a países que no proporcionen niveles adecuados de protección, entendiendo por tales aquellos que cumplan con los estándares fijados por la Superintendencia de Industria y Comercio. La prohibición no rige cuando: el Titular haya otorgado su autorización expresa e inequívoca; se trate del intercambio de datos de carácter médico exigido por el tratamiento del Titular por razones de salud o higiene pública; se trate de transferencias bancarias o bursátiles conforme a la legislación aplicable; se trate de transferencias acordadas en tratados internacionales de los que Colombia sea parte; se trate de transferencias necesarias para la ejecución de un contrato entre el Titular y el Responsable o para la ejecución de medidas precontractuales, siempre que medie autorización; o sean legalmente exigidas para la salvaguardia del interés público o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.

13.2 Países con nivel adecuado de protección

Conforme a la Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio, se encuentran declarados con nivel adecuado de protección, entre otros: Alemania, Austria, Bélgica, Bulgaria, Chipre, Costa Rica, Croacia, Dinamarca, Eslovaquia, Eslovenia, España, Estados Unidos de América, Estonia, Finlandia, Francia, Grecia, Hungría, Irlanda, Islandia, Italia, Letonia, Lituania, Luxemburgo, Malta, México, Noruega, Países Bajos, Perú, Polonia, Portugal, Reino Unido, República Checa, República de Corea, Rumania, Serbia y Suecia, así como los países declarados con nivel adecuado por la Comisión Europea.

Destinos actuales de tratamiento. A la fecha de publicación de esta Política, los únicos destinos de tratamiento del Grupo VHG son Colombia y los Estados Unidos de América, este último declarado con nivel adecuado de protección por la Circular Externa 005 de 2017. El Grupo no realiza transferencias ni transmisiones hacia jurisdicciones no declaradas adecuadas, incluida Panamá, que no figura en dicho listado.

Regla de activación. Antes de habilitar cualquier flujo hacia un destino no declarado adecuado, la Oficialía de Protección de Datos del Grupo deberá verificar y documentar su fundamento, que solo podrá ser: (i) autorización expresa e inequívoca del Titular, específicamente informada respecto del destino; (ii) declaración de conformidad emitida por la Superintendencia de Industria y Comercio; o (iii) alguna de las excepciones del artículo 26 de la Ley 1581 de 2012. Ningún flujo de esta naturaleza puede iniciarse sin esa verificación previa.

13.3 Verificación periódica

El listado de países con nivel adecuado es dinámico. La OPD verifica su vigencia al menos anualmente y ante cualquier pronunciamiento de la autoridad, y actualiza el Anexo D en consecuencia.

13.4 Garantías contractuales

Con independencia del nivel de adecuación del destino, toda transferencia o transmisión internacional se documenta con cláusulas que impongan al receptor obligaciones equivalentes a las de esta Política en materia de finalidad, seguridad, confidencialidad, atención de derechos, notificación de incidentes y devolución o supresión.

13.5 Declaración de conformidad

Cuando el flujo no pueda ampararse en una excepción legal ni en la autorización del Titular, la Entidad Adherente tramitará declaración de conformidad ante la Superintendencia de Industria y Comercio antes de iniciar la transferencia.

14. Seguridad de la información

El principio de seguridad no se acredita con una declaración de intenciones sino con controles verificables y proporcionales al riesgo. El Grupo VHG adopta el siguiente estándar mínimo, exigible a toda Entidad Adherente.

14.1 Medidas administrativas

● Manual interno de políticas y procedimientos, del cual esta Política es parte. ● Asignación formal de roles y responsabilidades sobre cada base de datos. ● Acuerdos de confidencialidad suscritos por todo el personal y por los contratistas. ● Programa anual de capacitación con registro de asistencia y evaluación. ● Procedimiento documentado de altas, modificaciones y bajas de accesos.

14.2 Medidas técnicas

● Control de accesos bajo los principios de mínimo privilegio y necesidad de conocer. ● Autenticación reforzada para accesos a bases de datos con información sensible o de alto volumen. ● Cifrado de la información en tránsito y en reposo, conforme al estado de la técnica. ● Registro de auditoría (logs) de accesos y operaciones, con retención mínima de doce (12) meses y protección contra alteración. ● Respaldo periódico y pruebas documentadas de restauración. ● Segmentación de ambientes y prohibición de uso de datos personales reales en ambientes de desarrollo y pruebas sin seudonimización previa. ● Gestión de vulnerabilidades y aplicación oportuna de parches.

14.3 Medidas físicas

● Control de acceso a instalaciones, centros de datos y archivos documentales. ● Custodia y destrucción segura de soportes físicos. ● Protocolos de escritorio y pantalla despejados.

14.4 Deber de confidencialidad

Todas las personas que intervengan en el tratamiento están obligadas a garantizar la reserva de la información. Esta obligación subsiste aun después de finalizada su relación con el Grupo VHG.

15. Gestión de incidentes de seguridad

15.1 Definición y detección

Constituye incidente de seguridad todo evento que comprometa o pueda comprometer la confidencialidad, integridad o disponibilidad de datos personales, incluyendo accesos no autorizados, pérdida o destrucción de información, divulgación indebida, ataques informáticos y errores humanos con impacto sobre datos.

15.2 Protocolo

El reporte a la autoridad se realiza en cumplimiento del literal n) del artículo 17 de la Ley 1581 de 2012 y de las instrucciones impartidas por la Superintendencia de Industria y Comercio a través del Registro Nacional de Bases de Datos. Cuando el incidente afecte jurisdicciones adicionales, se atenderán en paralelo los deberes de notificación de cada una.

15.3 Registro de incidentes

Cada Entidad Adherente mantiene un registro de incidentes con descripción, fecha de detección, categorías y volumen de datos afectados, medidas adoptadas, reportes efectuados y estado de cierre. La OPD consolida el registro del Grupo.

16. Registro Nacional de Bases de Datos

Las personas jurídicas de naturaleza privada están obligadas a inscribir sus bases de datos que contengan datos personales en el Registro Nacional de Bases de Datos (RNBD) administrado por la Superintendencia de Industria y Comercio, conforme al artículo 25 de la Ley 1581 de 2012 y a las normas reglamentarias.

Umbral de aplicación. El Decreto 090 de 2018 limitó la obligación de registro a las sociedades y entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 UVT.

Situación actual del Grupo. A la fecha de publicación de esta Política, ninguna entidad del Grupo VHG alcanza el umbral de 100.000 UVT en activos totales, por lo que la inscripción en el RNBD no le resulta exigible. Esta circunstancia no es permanente: el umbral se evalúa sobre los estados financieros de cada ejercicio y sobre el valor de la UVT vigente en cada anualidad. En consecuencia, la Oficialía de Protección de Datos del Grupo verificará el umbral anualmente, dentro del mes siguiente a la aprobación de los estados financieros de cada Entidad Adherente, y dejará constancia documental de la verificación, supere o no el umbral. Superado este, la inscripción deberá surtirse dentro del término que fije la autoridad.

Obligaciones asociadas. Las entidades inscritas deben mantener actualizada la información de sus bases de datos y reportar a través del RNBD los reclamos presentados por los Titulares y los incidentes de seguridad, dentro de los términos que fije la autoridad.

Verificación. La OPD verifica anualmente el estado de inscripción de cada Entidad Adherente y deja constancia documental de la verificación, con independencia de que la entidad supere o no el umbral.

17. Conservación, supresión y anonimización

17.1 Criterios de conservación

Los datos personales se conservan únicamente durante el tiempo necesario para: cumplir la finalidad declarada; atender obligaciones legales, contables, tributarias, laborales y regulatorias; y ejercer o defender derechos durante los términos de prescripción y caducidad aplicables.

Los períodos específicos por base de datos constan en el Anexo D. En ausencia de norma especial, el período por defecto es el término general de prescripción de las acciones ordinarias aplicable en la jurisdicción correspondiente.

17.2 Supresión segura

Vencido el período de conservación, los datos se suprimen mediante procedimientos que impidan su recuperación, tanto en sistemas productivos como en respaldos, dejando constancia documental de la supresión. Cuando la supresión inmediata de respaldos no sea técnicamente viable, los datos quedarán bloqueados hasta la rotación del respaldo.

17.3 Anonimización

Como alternativa a la supresión, el Grupo VHG puede someter los datos a anonimización irreversible, tras la cual dejan de ser datos personales. La anonimización debe impedir la reidentificación por medios razonablemente disponibles; la mera seudonimización no equivale a anonimización y no exime del cumplimiento de esta Política.

18. Responsabilidad demostrada

El cumplimiento no se declara: se acredita. El principio de responsabilidad demostrada, incorporado en el artículo 2.2.2.25.6.1 del Decreto 1074 de 2015 y desarrollado por la Superintendencia de Industria y Comercio, obliga al Responsable a adoptar medidas apropiadas, efectivas y verificables, y a demostrar su implementación.

18.1 Programa Integral de Gestión de Datos Personales

Cada Entidad Adherente implementa un programa que comprende, como mínimo: esta Política y sus procedimientos derivados; el Anexo D actualizado; el registro de autorizaciones; el registro de solicitudes de Titulares; el registro de incidentes; los contratos con Encargados; la matriz de transferencias internacionales; el plan anual de capacitación; y el informe anual de cumplimiento.

18.2 Privacidad desde el diseño y por defecto

Todo nuevo producto, plataforma, funcionalidad o proceso que implique tratamiento de datos personales incorpora consideraciones de protección de datos desde su fase de diseño, aplicando por defecto la configuración más protectora, la minimización de datos y la limitación de la finalidad.

18.3 Evaluación de impacto

Los tratamientos de alto riesgo —tratamiento masivo de datos sensibles, perfilamiento sistemático, decisiones automatizadas con efectos jurídicos, videovigilancia extensiva, uso de datos biométricos o incorporación de sistemas de inteligencia artificial— requieren evaluación de impacto previa, documentada y aprobada por la OPD.

18.4 Capacitación

El personal recibe capacitación al ingreso y al menos anualmente, con contenidos diferenciados según su nivel de acceso a datos. Se conserva registro de asistencia y evaluación.

18.5 Auditoría y revisión

La OPD adelanta una revisión anual de cumplimiento de cada Entidad Adherente, cuyos resultados se presentan al Comité y al máximo órgano de administración, con plan de remediación y responsables asignados.

19. Tratamientos especiales

19.1 Videovigilancia

La instalación de sistemas de videovigilancia se limita a finalidades de seguridad de personas y bienes, con señalización visible en los puntos de captación, prohibición de captación en áreas de expectativa razonable de intimidad, acceso restringido a las grabaciones y período de conservación no superior a treinta (30) días calendario, salvo que las imágenes documenten un incidente bajo investigación.

19.2 Comunicaciones comerciales

El envío de comunicaciones comerciales requiere autorización específica y separada, revocable en cualquier momento. En Colombia se observa adicionalmente la Ley 2300 de 2023: contacto únicamente por los canales autorizados por el consumidor, dentro de los horarios permitidos —lunes a viernes de 7:00 a 19:00 horas y sábados de 8:00 a 15:00 horas, prohibido en domingos y festivos—, con respeto de los límites de frecuencia y atención inmediata de la solicitud de no ser contactado.

19.3 Datos biométricos

Los datos biométricos son datos sensibles. Su tratamiento requiere autorización explícita y diferenciada, evaluación de impacto previa, almacenamiento cifrado, prohibición de uso para finalidades distintas de la autenticación o el control de acceso declarados, y disponibilidad de una alternativa no biométrica para el Titular que no autorice.

19.4 Decisiones automatizadas, perfilamiento e inteligencia artificial

El Grupo VHG no adopta decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos sobre el Titular o lo afecten significativamente, sin intervención humana cualificada y sin haberlo informado previamente.

Todo sistema de inteligencia artificial que trate datos personales se somete a: evaluación de impacto previa; documentación de la lógica de tratamiento y de las categorías de datos empleadas; prohibición de emplear datos personales para entrenamiento de modelos sin autorización específica e informada del Titular; y revisión periódica de resultados para detectar sesgos discriminatorios.

19.5 Datos laborales y de candidatos

Los datos de aspirantes se conservan por un período máximo de doce (12) meses desde la finalización del proceso, salvo autorización expresa para su conservación en banco de talento. Se prohíbe solicitar información sobre estado de embarazo, orientación sexual, afiliación política o sindical, o cualquier dato sensible ajeno a la idoneidad para el cargo.

19.6 Cumplimiento en materia de prevención de LA/FT

El tratamiento de datos para debida diligencia, conocimiento de contrapartes, verificación en listas restrictivas y reporte a autoridades se realiza con fundamento en el cumplimiento de obligaciones legales. Cuando resulten aplicables, se observarán los regímenes de la Circular Externa 100-000016 de 2020 de la Superintendencia de Sociedades (SAGRILAFT), el Programa de Transparencia y Ética Empresarial y las normas de la Unidad de Información y Análisis Financiero. La reserva legal de los reportes de operaciones sospechosas prevalece sobre el derecho de acceso del Titular en los términos de la ley.

20. Régimen sancionatorio y consecuencias del incumplimiento

20.1 Sanciones administrativas

El incumplimiento del régimen de protección de datos expone al Responsable a las sanciones del artículo 23 de la Ley 1581 de 2012, que impone la Superintendencia de Industria y Comercio:

● Multas de carácter personal e institucional hasta por el equivalente a dos mil (2.000) salarios mínimos mensuales legales vigentes. ● Suspensión de las actividades relacionadas con el tratamiento hasta por seis (6) meses. ● Cierre temporal de las operaciones relacionadas con el tratamiento una vez transcurrido el término de suspensión sin adoptar los correctivos. ● Cierre inmediato y definitivo de la operación que involucre el tratamiento de datos sensibles.

En Panamá aplican las sanciones de la Ley 81 de 2019 impuestas por la autoridad competente; en las demás jurisdicciones, las que correspondan conforme a su régimen.

20.2 Consecuencias internas

El incumplimiento de esta Política por parte de administradores, colaboradores o contratistas constituye falta grave y da lugar a las medidas disciplinarias y contractuales que correspondan, sin perjuicio de las acciones civiles y penales aplicables, incluidas las derivadas del artículo 269F del Código Penal —violación de datos personales, adicionado por la Ley 1273 de 2009—.

21. Suplementos jurisdiccionales

Esta Política constituye el estándar mínimo del Grupo. En cada jurisdicción se aplica adicionalmente el régimen local, que prevalece cuando resulte más protector.

21.1 Colombia

Régimen principal: artículo 15 de la Constitución Política; Ley 1581 de 2012; Decreto 1074 de 2015; Ley 1266 de 2008 en materia de habeas data financiero; Ley 1273 de 2009 en materia penal; Ley 1480 de 2011 en materia de consumo; Ley 2300 de 2023 en materia de contacto con consumidores; Ley 527 de 1999 en materia de mensajes de datos. Autoridad de control: Superintendencia de Industria y Comercio — Delegatura para la Protección de Datos Personales.

21.2 Otras jurisdicciones — régimen de contingencia

El Grupo VHG no opera actualmente bases de datos en jurisdicciones distintas de Colombia y los Estados Unidos. Si una Entidad Adherente llegara a establecerse o a tratar datos en otro territorio, su adhesión activará la emisión del suplemento jurisdiccional correspondiente antes del inicio del tratamiento.

A título de previsión, se deja constancia de que en Panamá —jurisdicción mencionada en versiones anteriores del Marco— rige la Ley 81 de 26 de marzo de 2019 sobre Protección de Datos Personales, reglamentada por el Decreto Ejecutivo 285 de 28 de mayo de 2021, bajo la supervisión de la Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI), con un régimen igualmente estructurado sobre el consentimiento del titular.

21.3 Estados Unidos

Valencia Holding Group LLC está constituida en el Estado de Delaware. No existe en los Estados Unidos un régimen federal general de protección de datos. Aplican, según corresponda: la Sección 5 de la Federal Trade Commission Act en materia de prácticas desleales o engañosas; las leyes estatales de privacidad del consumidor cuando se cumplan sus umbrales de aplicación —que a la fecha el Grupo no alcanza—; y la normativa sectorial que resulte aplicable. La Oficialía de Protección de Datos del Grupo revisará anualmente si alguna ley estatal pasa a ser aplicable por superación de umbrales de ingresos o de volumen de titulares, y documentará dicha determinación.

21.4 Espacio Económico Europeo y Reino Unido

El Grupo VHG no declara sujeción general al Reglamento (UE) 2016/679. Cuando una Entidad Adherente ofrezca bienes o servicios a personas en el Espacio Económico Europeo o realice seguimiento de su comportamiento, en los términos del artículo 3 del Reglamento, deberá adelantar la determinación formal de aplicabilidad y, en su caso, adoptar las medidas adicionales que este exige, incluida la eventual designación de representante conforme a su artículo 27.

Las referencias a "estándares alineados con el GDPR" en documentos del Grupo tienen carácter de buena práctica voluntaria y no constituyen declaración de aplicabilidad.

22. Vigencia, actualización y monitoreo normativo

22.1 Vigencia

Esta Política rige desde su publicación en https://vhg.capital, en la fecha señalada en el bloque de Control del Documento, y permanece vigente mientras no sea sustituida por una versión posterior. La fecha de publicación se consigna de forma visible en el sitio, en cumplimiento del literal f) del artículo 2.2.2.25.3.1 del Decreto 1074 de 2015.

22.2 Vigencia de las bases de datos

En cumplimiento del literal f) del artículo 2.2.2.25.3.1 del Decreto 1074 de 2015, las bases de datos del Grupo VHG permanecerán vigentes mientras subsistan las finalidades declaradas y los términos legales de conservación previstos en el Anexo D, momento a partir del cual los datos serán suprimidos o anonimizados conforme al numeral 17.

22.3 Actualización

La OPD somete esta Política a revisión ordinaria el 1 de enero de cada año y a revisión extraordinaria ante cambios normativos, reorganizaciones societarias, incorporación de nuevas Entidades Adherentes, habilitación de nuevas funcionalidades en las plataformas o incidentes materiales. De cada revisión —conduzca o no a modificación— se deja constancia documental.

Las modificaciones sustanciales se comunican a los Titulares con antelación a su entrada en vigencia. Cuando la modificación implique un cambio en la finalidad del tratamiento, se requiere nueva autorización del Titular; el silencio no se entenderá como aceptación.

22.4 Monitoreo normativo

Alerta de seguimiento. El Gobierno Nacional radicó en agosto de 2025 un proyecto de ley orientado a actualizar el régimen colombiano de protección de datos personales, que contempla, entre otros aspectos, la ampliación de las bases de licitud, el fortalecimiento de la autonomía de la autoridad de control, la designación obligatoria de un oficial de protección de datos en determinados casos, protecciones reforzadas para menores de edad, nuevos derechos frente a decisiones automatizadas y deberes de notificación de incidentes. A la fecha de emisión de esta Política, la Ley 1581 de 2012 continúa vigente y constituye el régimen aplicable. La OPD monitoreará el trámite legislativo y presentará al Comité, dentro de los sesenta (60) días siguientes a la eventual expedición de la nueva ley, un plan de adecuación del Marco.

23. Anexos y canales de contacto

23.1 Anexos

23.2 Canales de contacto

23.3 Autoridades de control

FIN DEL INSTRUMENTO MLD-04

Valencia Holding Group — Marco Legal Digital del Grupo VHG MLD-04 — Política de Tratamiento de la Información y Protección de Datos Personales | Versión 2.0 | Idioma rector: español