Privacy PolicyPolítica de Privacidad

1. Scope and layered privacy model1. Alcance y modelo de privacidad por capas

This policy explains how personal data may be processed through the public website, contact forms, institutional access requests, Investor Room, Project Workspace and related digital channels. Because FRANENSA Corporation is a public-facing identity used across a multi-entity platform, the legal entity acting as controller may vary by interaction. The relevant controller must be identified at or before the applicable collection point. For restricted interactions, that identification may also be repeated in the access invitation, NDA, engagement or transaction record.Esta política explica cómo pueden tratarse datos personales a través del sitio público, formularios de contacto, solicitudes de acceso institucional, Investor Room, Project Workspace y canales digitales relacionados. Dado que FRANENSA Corporation es una identidad pública utilizada en una plataforma con múltiples entidades, la persona jurídica que actúe como Responsable puede variar según la interacción. El Responsable pertinente deberá identificarse en o antes del punto de recolección aplicable. En interacciones restringidas, esa identificación podrá reiterarse en la invitación de acceso, NDA, engagement o registro transaccional.

2. Categories of personal data2. Categorías de datos personales

• Identification and professional details: name, organisation, role, title and business contact details.Identificación y datos profesionales: nombre, organización, función, cargo y datos corporativos de contacto.
• Communication data: enquiries, messages, correspondence, meeting or transaction references.Datos de comunicación: consultas, mensajes, correspondencia, referencias de reuniones o transacciones.
• Access and diligence data: stakeholder capacity, NDA/KYC status, project scope, access entitlements, Q&A and audit records.Datos de acceso y diligencia: capacidad del stakeholder, estado NDA/KYC, alcance de proyecto, permisos de acceso, Q&A y registros de auditoría.
• Technical/security data: IP address, timestamps, user agent, session identifiers, authentication and security logs.Datos técnicos/de seguridad: dirección IP, timestamps, user agent, identificadores de sesión, autenticación y logs de seguridad.
• Transaction-related data where relevant: authorised representatives, beneficial ownership/KYC information, signatory and authority evidence, only when lawfully required.Datos transaccionales cuando proceda: representantes autorizados, información de beneficiario final/KYC, evidencia de firma y autoridad, únicamente cuando sea lícitamente requerida.

The public website is not designed to collect sensitive or special-category data. Do not submit such data unless specifically requested through an authorised controlled channel.El sitio público no está diseñado para recopilar datos sensibles o de categoría especial. No suministre dichos datos salvo solicitud específica mediante un canal controlado autorizado.

3. Sources of data3. Fuentes de los datos

Data is obtained directly from you, your organisation, authorised advisers or counterparties, approved due-diligence/KYC sources, and technical systems that generate security and access logs. Publicly available professional information may be used where relevant and lawful.Los datos se obtienen directamente de usted, su organización, asesores o contrapartes autorizadas, fuentes aprobadas de due diligence/KYC y sistemas técnicos que generan registros de seguridad y acceso. Podrá utilizarse información profesional públicamente disponible cuando resulte pertinente y lícito.

4. Purposes and legal bases4. Finalidades y bases jurídicas

The applicable lawful basis may differ by jurisdiction and controller. Where consent is used, it may be withdrawn without affecting prior lawful processing.La base jurídica aplicable puede variar según jurisdicción y Responsable. Cuando se utilice consentimiento, podrá revocarse sin afectar el tratamiento lícito previo.

5. Contact and access-request forms5. Formularios de contacto y solicitud de acceso

Forms are designed to collect the minimum information needed to route an enquiry, validate institutional relationships or assess controlled access. Submission of an access request does not create an account or entitlement. Information may be verified against the organisation, transaction team, NDA, KYC and authorised project scope before access is provisioned.Los formularios están diseñados para recopilar la información mínima necesaria para enrutar una consulta, validar relaciones institucionales o evaluar acceso controlado. El envío de una solicitud de acceso no crea una cuenta ni un derecho. La información podrá verificarse frente a la organización, equipo transaccional, NDA, KYC y alcance autorizado del proyecto antes de habilitar acceso.

6. Investor Room, SharePoint and Microsoft 3656. Investor Room, SharePoint y Microsoft 365

Restricted materials are intended to remain in authorised repositories such as Microsoft 365 / SharePoint. Portal access may be identity-based, entitlement-based, project-specific, module-specific and time-limited. Access events, document links, requests and audit information may be recorded for security, governance, transaction management and compliance.Los materiales restringidos deben permanecer en repositorios autorizados como Microsoft 365 / SharePoint. El acceso al portal puede ser nominativo, basado en permisos, específico por proyecto y módulo y limitado temporalmente. Los eventos de acceso, enlaces documentales, solicitudes y datos de auditoría pueden registrarse para seguridad, gobierno, gestión transaccional y cumplimiento.

Receiving access does not authorise secondary use of personal data or confidential information outside the authorised diligence purpose.Recibir acceso no autoriza el uso secundario de datos personales o información confidencial fuera de la finalidad de diligencia autorizada.

7. Cookies, local storage and similar technologies7. Cookies, almacenamiento local y tecnologías similares

The current public release is designed to use only technologies necessary for security/session management and user-requested preferences such as language and privacy-notice acknowledgement. FRANENSA does not intentionally deploy advertising cookies or behavioural advertising trackers in this release.La versión pública actual está diseñada para utilizar únicamente tecnologías necesarias para seguridad/gestión de sesión y preferencias solicitadas por el usuario, como idioma y constancia del aviso de privacidad. FRANENSA no despliega intencionalmente cookies publicitarias ni rastreadores de publicidad comportamental en esta versión.

• Session/security technologies may be necessary for authenticated services and access controls.Las tecnologías de sesión/seguridad pueden ser necesarias para servicios autenticados y controles de acceso.
• Local storage may remember language and notice acknowledgement on the device.El almacenamiento local puede recordar el idioma y el acuse del aviso en el dispositivo.
• If analytics or non-essential technologies are introduced later, the notice and consent mechanism will be updated where required.Si posteriormente se incorporan analítica o tecnologías no esenciales, el aviso y mecanismo de consentimiento se actualizarán cuando sea requerido.

8. Recipients and processors8. Destinatarios y encargados

Personal data may be shared, on a need-to-know and lawful basis, with relevant FRANENSA entities, authorised personnel, professional advisers, IT/cloud providers, hosting/security providers, Microsoft 365/SharePoint, transaction counterparties, lenders, auditors, insurers, regulators or public authorities where appropriate. Service providers are expected to process data under appropriate contractual, confidentiality and security terms.Los datos personales podrán compartirse, bajo need-to-know y fundamento jurídico, con entidades FRANENSA pertinentes, personal autorizado, asesores profesionales, proveedores IT/cloud, hosting/seguridad, Microsoft 365/SharePoint, contrapartes transaccionales, financiadores, auditores, aseguradores, reguladores o autoridades cuando proceda. Se espera que los proveedores traten datos bajo términos contractuales, de confidencialidad y seguridad apropiados.

9. International data transfers9. Transferencias internacionales de datos

Because FRANENSA operates internationally and uses cloud, hosting and collaboration services, personal data may be accessed or processed across borders. Before a material international transfer, the applicable controller should assess the recipient, country, legal role, purpose, security, onward transfers, retention and the transfer mechanism required by applicable law.Dado que FRANENSA opera internacionalmente y utiliza servicios cloud, hosting y colaboración, los datos personales pueden ser accedidos o tratados transfronterizamente. Antes de una transferencia internacional material, el Responsable aplicable deberá evaluar receptor, país, calidad jurídica, finalidad, seguridad, transferencias posteriores, retención y mecanismo de transferencia exigido por la ley aplicable.

10. Retention, legal hold and deletion10. Retención, legal hold y eliminación

Personal data is not retained indefinitely merely for convenience. Retention is determined by purpose, transaction status, NDA or contractual requirements, statutory/regulatory obligations, limitation periods, tax/accounting requirements, financing requirements, security needs, litigation/legal hold and the applicable records-retention schedule. When the reason for retention ends, data should be deleted, anonymised or archived under controlled conditions.Los datos personales no se conservan indefinidamente por mera conveniencia. La retención se determina por finalidad, estado de la transacción, NDA o requisitos contractuales, obligaciones legales/regulatorias, términos de prescripción, requisitos tributarios/contables, financiación, seguridad, litigio/legal hold y el calendario de retención aplicable. Cuando cese la razón de conservación, los datos deberán eliminarse, anonimizarse o archivarse bajo condiciones controladas.

11. Security and confidentiality11. Seguridad y confidencialidad

FRANENSA applies organisational and technical controls proportionate to risk, including controlled identities, least privilege, access review, authentication, secure repositories, logging, segregation, backup, vulnerability management and incident response. No internet transmission or system can be guaranteed absolutely secure.FRANENSA aplica controles organizacionales y técnicos proporcionales al riesgo, incluidos identidad controlada, least privilege, revisión de accesos, autenticación, repositorios seguros, logging, segregación, backups, gestión de vulnerabilidades y respuesta a incidentes. Ninguna transmisión por Internet o sistema puede garantizarse absolutamente segura.

12. Your rights12. Sus derechos

Depending on the applicable law and processing basis, you may have rights to be informed, access, correct/rectify, update, request deletion/suppression, restrict processing, object, request portability, withdraw consent where consent is the basis, and complain to the competent supervisory authority. Colombian data subjects may also request proof of authorisation where applicable, know the use made of their data and exercise the rights recognised by Law 1581 of 2012.Dependiendo de la ley aplicable y base del tratamiento, usted puede tener derechos a ser informado, acceder, corregir/rectificar, actualizar, solicitar eliminación/supresión, restringir el tratamiento, oponerse, solicitar portabilidad, retirar consentimiento cuando sea la base y presentar reclamación ante la autoridad competente. Los titulares en Colombia también podrán solicitar prueba de autorización cuando aplique, conocer el uso dado a sus datos y ejercer los derechos reconocidos por la Ley 1581 de 2012.

Right to object:Derecho de oposición: where processing relies on legitimate interests and applicable law grants this right, you may object on grounds relating to your particular situation.cuando el tratamiento se base en interés legítimo y la ley aplicable reconozca este derecho, podrá oponerse por motivos relacionados con su situación particular.

13. Exercising rights and verification13. Ejercicio de derechos y verificación

Send privacy requests to info@franensa-energy.com with the subject “Privacy / Data Subject Request”. FRANENSA may request information reasonably necessary to verify identity and authority, particularly where a representative or beneficial owner acts through another person. Requests are routed to the relevant controller and handled under the timelines and procedures required by applicable law.Envíe solicitudes de privacidad a info@franensa-energy.com con el asunto “Privacidad / Solicitud de Titular”. FRANENSA podrá solicitar información razonablemente necesaria para verificar identidad y legitimación, especialmente cuando un representante o beneficiario final actúe por medio de otra persona. Las solicitudes se enrutan al Responsable pertinente y se gestionan bajo los plazos y procedimientos exigidos por la ley aplicable.

Where applicable, individuals may complain to the UK Information Commissioner’s Office (ICO), the Colombian Superintendencia de Industria y Comercio (SIC), or another competent supervisory authority.Cuando aplique, los titulares podrán presentar reclamación ante la Information Commissioner’s Office (ICO) del Reino Unido, la Superintendencia de Industria y Comercio (SIC) de Colombia u otra autoridad competente.

14. Business communications and marketing14. Comunicaciones comerciales y marketing

FRANENSA may communicate with institutional contacts about an existing relationship, enquiry, transaction or relevant opportunity where lawful. Direct marketing will respect applicable consent/opt-out rules. You may ask to stop promotional communications at any time; operational, legal, security or transaction-required notices may still be sent where necessary.FRANENSA podrá comunicarse con contactos institucionales sobre una relación existente, consulta, transacción u oportunidad relevante cuando sea lícito. El marketing directo respetará las reglas aplicables de consentimiento/opt-out. Podrá solicitar el cese de comunicaciones promocionales en cualquier momento; los avisos operativos, legales, de seguridad o requeridos por una transacción podrán continuar cuando sean necesarios.

15. Children and vulnerable persons15. Niños y personas vulnerables

The website and Investor Room are directed to professional and institutional audiences and are not intended for children. FRANENSA does not knowingly seek children’s personal data through these channels.El sitio y el Investor Room están dirigidos a audiencias profesionales e institucionales y no están destinados a menores. FRANENSA no busca conscientemente recopilar datos personales de menores por estos canales.

16. Automated decisions and AI16. Decisiones automatizadas e IA

The current website does not use solely automated decision-making that produces legal or similarly significant effects on visitors. Access screening may use rule-based validation, but final entitlement decisions remain subject to FRANENSA review. Personal data should not be placed into unauthorised AI systems.El sitio actual no utiliza decisiones exclusivamente automatizadas que produzcan efectos jurídicos o similarmente significativos sobre visitantes. El screening de acceso puede utilizar validaciones por reglas, pero las decisiones finales de permisos permanecen sujetas a revisión de FRANENSA. Los datos personales no deben introducirse en sistemas de IA no autorizados.

17. Data incidents17. Incidentes de datos

Actual or suspected personal-data incidents are escalated for containment, evidence preservation, assessment, notification/reporting where required, remediation and lessons learned. Please promptly report suspected unauthorised disclosure or account compromise to info@franensa-energy.com.Los incidentes reales o sospechados de datos personales se escalan para contención, preservación de evidencia, evaluación, notificación/reporte cuando corresponda, remediación y lecciones aprendidas. Reporte inmediatamente sospechas de divulgación no autorizada o compromiso de cuenta a info@franensa-energy.com.

18. Changes to this policy18. Cambios a esta política

This policy may be updated to reflect legal, organisational, technology or service changes. The effective date and version will be updated. Material changes may be communicated through the website or relevant controlled channels.Esta política puede actualizarse para reflejar cambios legales, organizacionales, tecnológicos o de servicios. Se actualizarán la fecha de vigencia y versión. Los cambios materiales podrán comunicarse mediante el sitio o canales controlados pertinentes.