Política Marco de Compliance del Grupo Criptan

01 Objeto

La presente Política Marco de Compliance del Grupo Criptan (en adelante, la "Política") tiene por objeto establecer los principios rectores, el marco general de organización, las responsabilidades, los criterios de actuación y los elementos esenciales del Sistema de Gestión de Compliance del Grupo Criptan, a fin de promover una cultura corporativa de cumplimiento, prevenir incumplimientos normativos, detectar conductas irregulares y asegurar una actuación diligente, ética y conforme al ordenamiento jurídico y a la normativa interna aplicable.

La presente Política constituye la norma corporativa de máximo nivel en materia de compliance dentro del Grupo y sirve de marco de referencia para el desarrollo, aprobación, implantación, revisión y mejora continua del resto de políticas, procedimientos, protocolos, controles, metodologías y registros internos que integran el sistema de cumplimiento.

02 Finalidad

La finalidad de esta política es la siguiente:

• Formalizar el compromiso expreso del Grupo Criptan con la legalidad, la ética empresarial, la transparencia, la integridad, la diligencia profesional y la tolerancia cero frente a conductas ilícitas o contrarias a la normativa interna.
• Establecer un marco homogéneo de compliance para las sociedades que integran el Grupo, respetando las particularidades regulatorias, operativas y jurisdiccionales de cada una de ellas.
• Integrar el cumplimiento normativo en la estructura de gobierno corporativo, en la toma de decisiones, en el diseño y prestación de productos y servicios, en la gestión de riesgos, en el uso de tecnología y en las relaciones intragrupo y con terceros.
• Definir los principios, responsabilidades y mecanismos de supervisión necesarios para la identificación, evaluación, prevención, mitigación, detección, gestión y remediación de riesgos de incumplimiento.
• Dotar al Grupo de un marco de actuación razonable, proporcionado y eficaz para el cumplimiento de sus obligaciones normativas, con especial atención a las que resulten aplicables a la entidad regulada del Grupo.

03 Ámbito societario de aplicación

La presente Política resulta de aplicación a las sociedades que integran el Grupo Criptan, y en particular a:

• Criptan Holding, S.L., como sociedad cabecera del Grupo, constituida en España.
• Criptan Trade, S.L., como sociedad operativa del Grupo y entidad que ha obtenido o prevé obtener las autorizaciones, licencias, registros o habilitaciones regulatorias necesarias para el desarrollo de actividades sujetas a supervisión, especialmente en los ámbitos de criptoactivos y servicios de pago.
• Criptan Global, S.A., como sociedad del Grupo constituida en Panamá.

La presente Política tendrá vocación de aplicación a todo el Grupo. No obstante, su intensidad, alcance material y mecanismos de control podrán modularse en atención a la actividad desarrollada por cada sociedad, a su jurisdicción, a su nivel de riesgo y a la normativa que en cada caso resulte aplicable.

En todo caso, Criptan Trade, S.L. quedará sometida a un perímetro reforzado de compliance por razón de su condición de entidad operativa regulada o sujeta a autorización.

En el Anexo I de esta Política se detalla una distribución general de funciones y responsabilidades por sociedad.

04 Ámbito subjetivo de aplicación

La presente Política resulta de aplicación a:

• Los miembros de los órganos de administración de las sociedades del Grupo.
• La alta dirección y personal directivo.
• Todas las personas trabajadoras, cualquiera que sea la modalidad jurídica de su vinculación con las sociedades del Grupo.
• Las funciones de control y supervisión, incluyendo, entre otras, compliance, riesgos, prevención del blanqueo de capitales y de la financiación del terrorismo, protección de datos, seguridad de la información, resiliencia operativa, asesoría jurídica, auditoría interna y control interno.
• Los agentes, representantes, partners, proveedores, externalizadores, prestadores tecnológicos, intermediarios y demás terceros que actúen en nombre de alguna sociedad del Grupo o cuya actuación pueda generar riesgos jurídicos, regulatorios, penales, reputacionales, tecnológicos u operativos para el Grupo.

La adhesión de terceros a los estándares esenciales del sistema de compliance se promoverá, cuando proceda, mediante cláusulas contractuales, procesos de due diligence, controles de homologación, obligaciones de cooperación y mecanismos de supervisión continua.

05 Marco normativo de referencia

El Sistema de Gestión de Compliance del Grupo se configurará atendiendo a la normativa general y sectorial aplicable a cada una de las sociedades del Grupo y, especialmente, a Criptan Trade, S.L., en atención a su actividad, productos, servicios, modelo operativo, tecnología utilizada, jurisdicciones en las que opere y perfil de clientes y terceros.

Sin carácter exhaustivo, el sistema de compliance del Grupo deberá considerar, entre otras, las siguientes materias:

• Regulación de mercados de criptoactivos.
• Regulación de servicios de pago y, en su caso, de dinero electrónico.
• Prevención del blanqueo de capitales y de la financiación del terrorismo.
• Obligaciones de información que acompañan a transferencias de fondos y criptoactivos.
• Resiliencia operativa digital, riesgo TIC, ciberseguridad, continuidad de negocio y gestión de terceros tecnológicos.
• Protección de datos personales, privacidad y seguridad de la información.
• Responsabilidad penal de la persona jurídica y prevención de delitos en el ámbito empresarial.
• Normativa mercantil, societaria, contable, tributaria, laboral, de consumidores, publicidad, competencia, sanciones internacionales y demás disposiciones que resulten aplicables en función de la actividad del Grupo.
• Normativa local de las jurisdicciones en las que operen las sociedades del Grupo, sin perjuicio del necesario alineamiento con los estándares corporativos comunes.

06 Definiciones

A los efectos de la presente Política, los términos que se indican a continuación tendrán el significado siguiente:

• "Grupo" o "Grupo Criptan": conjunto integrado por Criptan Holding, S.L., Criptan Trade, S.L., Criptan Global, S.A. y cualesquiera otras sociedades que en el futuro queden sometidas al control o dirección de la sociedad cabecera y se incorporen expresamente al perímetro de esta Política.
• "Consejo": el órgano de administración de la sociedad correspondiente.
• "Sistema de Gestión de Compliance": conjunto ordenado de principios, políticas, procedimientos, controles, órganos, responsabilidades, actividades de supervisión, evidencias y medidas de mejora continua dirigidos a prevenir, detectar, gestionar y responder frente a riesgos de incumplimiento.
• "Función de Compliance": función interna, unipersonal a la fecha de esta política, responsable del diseño, impulso, coordinación, supervisión y seguimiento del Sistema de Gestión de Compliance.
• "Entidad regulada": la sociedad del Grupo sometida a autorización, licencia, registro, supervisión o control reforzado por parte de autoridades competentes, y en particular, a la fecha de aprobación de esta Política, Criptan Trade, S.L.
• "Riesgo de Compliance": riesgo de sanción legal o administrativa, pérdida financiera, daño reputacional, perjuicio operativo o responsabilidad civil o penal derivado del incumplimiento de leyes, reglamentos, requerimientos supervisores, resoluciones, estándares aplicables o normativa interna.
• "Normativa interna": conjunto de políticas, procedimientos, protocolos, instrucciones, manuales, códigos, guías, metodologías, controles y registros aprobados dentro del Grupo.
• "Tercero relevante": cualquier proveedor, partner, agente, intermediario, externalizador, corresponsal, prestador tecnológico, distribuidor o contraparte cuya actuación pueda generar un riesgo significativo para alguna sociedad del Grupo.
• "Incidente": cualquier hecho o circunstancia que pueda suponer un incumplimiento normativo, una debilidad de control, una irregularidad, una brecha de seguridad, una deficiencia operativa o un evento susceptible de generar consecuencias legales, regulatorias, penales, económicas o reputacionales.

07 Principios rectores

El sistema de gestión de compliance del Grupo se rige por los siguientes principios:

8.1. Legalidad

Todas las actividades del Grupo deberán desarrollarse con pleno respeto al ordenamiento jurídico aplicable, a los requerimientos de las autoridades competentes, a las obligaciones contractuales asumidas y a la normativa interna.

8.2. Integridad y conducta ética

El Grupo actuará conforme a criterios de honestidad, diligencia, buena fe, transparencia y respeto a los valores corporativos, evitando enfoques meramente formales del cumplimiento.

8.3. Tolerancia cero frente a conductas ilícitas

El Grupo manifiesta su rechazo absoluto a cualquier conducta que pueda constituir delito, infracción administrativa, fraude, corrupción, blanqueo de capitales, financiación del terrorismo, falseamiento documental, tratamiento ilícito de datos, ocultación de información, incumplimiento deliberado de obligaciones regulatorias o vulneración de derechos de clientes, empleados o terceros.

8.4. Enfoque basado en riesgo

El sistema de compliance se diseñará, implantará y revisará conforme a un análisis previo y continuo de riesgos, atendiendo al negocio, al entorno regulatorio, al uso de tecnología, a las jurisdicciones, al perfil de clientes y a la relevancia de terceros.

8.5. Proporcionalidad

Las medidas de control, supervisión, prevención y remediación serán adecuadas y proporcionadas a la naturaleza del riesgo, a la sociedad afectada y al posible impacto del incumplimiento.

8.6. Autonomía e independencia de la función de compliance

La Función de Compliance deberá contar con autoridad, acceso a la información, capacidad de escalado y grado de autonomía suficientes para el desempeño eficaz de sus responsabilidades.

8.7. Trazabilidad y evidencia

El Grupo asegurará la adecuada documentación y conservación de evidencias que permitan acreditar el diseño, implantación, funcionamiento, revisión y mejora del sistema.

8.8. Coordinación intragrupo

Las sociedades del Grupo actuarán de forma coordinada en materia de compliance, respetando la autonomía jurídica de cada entidad y las exigencias específicas derivadas de su propia actividad y jurisdicción.

8.9. Mejora continua

El sistema de compliance será objeto de monitorización, revisión periódica, actualización normativa y mejora continua.

08 Compromiso del Consejo y de la alta dirección

El Consejo y la alta dirección de las sociedades del Grupo asumen un compromiso expreso, activo y verificable con el cumplimiento normativo y con la existencia de un Sistema de Gestión de Compliance adecuado y eficaz.

En particular, corresponde al Consejo:

• Aprobar la presente Política y sus modificaciones.
• Impulsar una cultura real de cumplimiento desde el máximo nivel de gobierno.
• Asegurar que el sistema de compliance sea adecuado a la estructura, riesgos y actividad del Grupo.
• Garantizar que la Función de Compliance disponga de autoridad, independencia y recursos suficientes.
• Conocer de forma periódica el estado del sistema, los riesgos principales, las incidencias relevantes, las investigaciones internas, los hallazgos de revisión y los planes de acción.
• Adoptar, cuando proceda, decisiones en materia de remediación, medidas disciplinarias, refuerzo de controles o escalado.

Corresponde a la alta dirección:

• Desplegar efectivamente la presente Política en la operativa diaria.
• Integrar el cumplimiento en los procesos de negocio, tecnología, operaciones, producto y soporte.
• Asegurar la colaboración de las distintas áreas con la Función de Compliance y el resto de funciones de control.
• Impulsar una cultura de responsabilidad y cumplimiento dentro de sus respectivos ámbitos.

09 Estructura de control y líneas de defensa

El Grupo adoptará una estructura de control basada en el principio de segregación de funciones y, cuando resulte apropiado, en el modelo de tres líneas de defensa:

10.1. Primera línea de defensa

Corresponde a las áreas de negocio, operaciones, producto, tecnología y soporte, como responsables directos de la actividad, identificar, gestionar y mitigar los riesgos derivados de su operativa, así como ejecutar los controles que les correspondan.

10.2. Segunda línea de defensa

Corresponde a las funciones de compliance, riesgos, PBCFT, protección de datos, seguridad de la información, resiliencia operativa y demás funciones de supervisión y control de segundo nivel establecer criterios, asesorar, supervisar, revisar y monitorizar el grado de cumplimiento y la eficacia de los controles.

10.3. Tercera línea de defensa

Corresponde a auditoría interna, o a la función que en su caso asuma su rol, proporcionar una revisión independiente sobre la adecuación y eficacia del marco de gobierno, gestión de riesgos y control interno.

La implantación concreta de este modelo deberá adaptarse al tamaño, estructura y complejidad del Grupo, garantizando en todo caso un reparto claro de funciones, ausencia de conflictos incompatibles y adecuada trazabilidad de responsabilidades.

10 Función de compliance

El Grupo contará con una Función de Compliance responsable del diseño, coordinación, impulso, supervisión y seguimiento del Sistema de Gestión de Compliance.

La Función de Compliance ejercerá sus funciones con un grado de autonomía adecuado y con acceso suficiente a la información, a la alta dirección y al Consejo o al órgano delegado competente.

Corresponde a la Función de Compliance, entre otras responsabilidades:

• Identificar, evaluar y revisar los riesgos de compliance del Grupo y de cada sociedad.
• Promover y supervisar el marco de normativa interna en materia de cumplimiento.
• Asesorar a los órganos de gobierno, a la alta dirección y a las áreas operativas sobre obligaciones normativas y criterios de control.
• Supervisar la implantación y eficacia de los controles y medidas de mitigación.
• Coordinarse con las restantes funciones de control.
• Participar en la validación de nuevos productos, servicios, canales, funcionalidades, externalizaciones, relaciones con terceros y proyectos relevantes cuando así proceda.
• Canalizar o supervisar la gestión de incidencias, alertas, investigaciones y planes de remediación.
• Reportar periódicamente al Consejo o al órgano competente sobre el estado del sistema.

11 Especialidad de Criptan Trade, S.L.

Atendiendo a su condición de entidad operativa regulada o sujeta a autorización, Criptan Trade, S.L. quedará sometida a un nivel reforzado de exigencia en materia de compliance, control interno y supervisión.

En consecuencia, deberá contar con mecanismos específicos, documentación suficiente y controles reforzados, al menos, en relación con las siguientes materias:

• Gobierno corporativo y reparto de responsabilidades.
• Evaluación y actualización del mapa de riesgos regulatorios, penales, operativos, tecnológicos y reputacionales.
• Diseño, aprobación, revisión y monitorización de productos y servicios.
• Cumplimiento de obligaciones de información, transparencia y documentación frente a clientes y usuarios.
• Onboarding, conocimiento del cliente, monitorización transaccional, prevención del blanqueo de capitales y cumplimiento de obligaciones sobre transferencias de fondos y criptoactivos.
• Gestión del riesgo TIC, resiliencia operativa, continuidad de negocio, ciberseguridad e incidentes.
• Protección de datos personales y gobernanza del tratamiento.
• Prevención de delitos y mitigación de riesgos de responsabilidad penal de la persona jurídica.
• Externalización, gestión de proveedores críticos y relaciones intragrupo con impacto regulatorio.

12 Obligaciones generales de las personas sujetas

Todas las personas comprendidas en el ámbito de aplicación de la presente Política estarán obligadas a:

• Conocer y respetar la presente Política y la normativa interna relacionada con sus funciones.
• Actuar con diligencia, integridad, profesionalidad y buena fe.
• Participar en las acciones de formación obligatorias.
• Comunicar sin demora los incidentes, irregularidades, incumplimientos o debilidades de control de los que tengan conocimiento.
• Colaborar con las funciones de control, las investigaciones internas y los procesos de revisión o remediación.
• Abstenerse de intervenir en actividades o decisiones que puedan generar conflictos de interés no gestionados adecuadamente.

13 Sistema Interno de Información e investigaciones internas

El Grupo dispondrá de un Sistema Interno de Información como mecanismo para la recepción, análisis, tramitación y seguimiento de comunicaciones relativas a hechos potencialmente irregulares, ilícitos o contrarios a la normativa interna.

La gestión del Sistema Interno de Información y de las investigaciones internas se regirá por los principios de confidencialidad, independencia, objetividad, protección del informante, prohibición de represalias, minimización de accesos, respeto a los derechos de las personas afectadas y adecuada conservación de evidencias.

Las comunicaciones recibidas y las investigaciones que de ellas se deriven podrán dar lugar, según proceda, a medidas correctoras, disciplinarias, contractuales, organizativas o de escalado.

14 Formación y cultura de cumplimiento

El Grupo aprobará y ejecutará planes periódicos de formación y concienciación en materia de compliance, adecuados al perfil de riesgo, responsabilidades y funciones de los distintos colectivos.

La formación tendrá carácter reforzado para las personas que desarrollen funciones vinculadas a regulación sectorial, producto, operaciones, tecnología, pagos, onboarding, atención al cliente, PBCFT, protección de datos, seguridad de la información, gestión de terceros y funciones de control.

15 Relación con terceros y externalización

El Grupo aplicará procedimientos de selección, evaluación, homologación, contratación, seguimiento y reevaluación periódica de terceros relevantes en función del riesgo.

Los contratos con terceros deberán incorporar, cuando proceda, obligaciones específicas en materia de cumplimiento normativo, integridad, prevención del blanqueo de capitales, protección de datos, seguridad de la información, continuidad, derecho de información, cooperación en auditorías o investigaciones, subcontratación y medidas de resolución o remediación.

La externalización de funciones o servicios no eximirá a ninguna sociedad del Grupo de sus responsabilidades legales, regulatorias o de control.

16 Incumplimientos, medidas correctoras y régimen disciplinario

El incumplimiento de la presente Política o de la normativa interna que la desarrolla podrá dar lugar a la adopción de medidas disciplinarias, contractuales, organizativas o de otra naturaleza, de conformidad con la legislación aplicable y con la gravedad de los hechos.

La respuesta frente al incumplimiento deberá ser proporcionada, coherente, documentada y orientada tanto a la depuración de responsabilidades como a la corrección de la causa raíz y a la prevención de recurrencias.

17 Supervisión, revisión y mejora continua

La presente Política será objeto de revisión periódica y, en todo caso, cuando concurra alguna de las siguientes circunstancias:

• Cambios normativos o interpretativos relevantes.
• Obtención, modificación o pérdida de licencias, autorizaciones, registros o habilitaciones.
• Lanzamiento de nuevos productos, servicios, funcionalidades, jurisdicciones o modelos operativos.
• Cambios materiales en la estructura societaria o en los flujos intragrupo.
• Incidentes relevantes, sanciones, inspecciones, requerimientos, hallazgos de revisión o investigaciones significativas.
• Modificaciones sustanciales en el mapa de riesgos.

Toda revisión deberá documentarse adecuadamente y, cuando proceda, dar lugar a la actualización de la normativa interna, de los controles y de los planes de formación.

18 Desarrollo normativo

La presente Política se desarrollará, al menos, mediante los siguientes documentos internos:

• Código Ético y de Conducta.
• Política de Compliance Penal.
• Política de Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo.
• Política de Protección de Datos y Privacidad.
• Política de Seguridad de la Información y Ciberseguridad.
• Política de Resiliencia Operativa Digital y Gestión del Riesgo TIC.
• Política de Transferencias y Travel Rule.
• Política de Gobernanza y Aprobación de Productos y Servicios.
• Política de Due Diligence de Terceros y Externalización.
• Política de Conflictos de Interés.
• Política del Sistema Interno de Información e Investigaciones Internas.
• Cualesquiera otros procedimientos, protocolos, registros y controles que resulten necesarios.

19 Aprobación, entrada en vigor y difusión

La presente Política ha sido aprobada por el Consejo de Administración de Criptan Trade, S.L. con fecha 25 de marzo de 2026, entrando en vigor el mismo día de su aprobación.

La Política será comunicada y puesta a disposición de todas las personas sujetas a su ámbito de aplicación, debiendo adoptarse las medidas necesarias para su difusión efectiva, conocimiento, aplicación y seguimiento dentro del Grupo.

20 Anexo I: Distribución general de funciones y responsabilidades por sociedad

1. Criptan Holding, S.L.

Corresponde a Criptan Holding, S.L., en su condición de sociedad cabecera del Grupo:

• Impulsar la cultura de cumplimiento a nivel de grupo.
• Aprobar, en su caso, el marco corporativo general de compliance.
• Promover la coordinación entre sociedades y funciones de control.
• Supervisar de forma agregada los principales riesgos de cumplimiento del Grupo.
• Apoyar la dotación de recursos, estructuras y mecanismos de supervisión adecuados.
• Velar por que el crecimiento del Grupo sea compatible con un marco de control razonable y suficiente.

Criptan Holding, S.L. no asumirá ni interferirá indebidamente en las responsabilidades regulatorias específicas atribuidas a Criptan Trade, S.L. como entidad regulada, sin perjuicio de su facultad de supervisión a nivel de grupo.

2. Criptan Trade, S.L.

Corresponde a Criptan Trade, S.L., en su condición de entidad operativa regulada o sujeta a autorización:

• Asumir el cumplimiento efectivo de las obligaciones regulatorias directamente vinculadas a su actividad.
• Mantener el marco documental, operativo y de control requerido para el desarrollo de su actividad regulada.
• Identificar, evaluar y mitigar los riesgos regulatorios, operativos, penales, tecnológicos y reputacionales específicos de su actividad.
• Implantar controles reforzados en materia de producto, clientes, transferencias, PBCFT, protección de datos, seguridad de la información, resiliencia operativa y reporting.
• Asegurar la adecuada gestión y supervisión de terceros, externalizadores y relaciones intragrupo con impacto regulatorio.
• Reportar a los órganos de gobierno y funciones de control sobre incidencias, riesgos, deficiencias y planes de acción.

3. Criptan Global, S.A.

Corresponde a Criptan Global, S.A.:

• Respetar los estándares corporativos del Grupo en materia de integridad, control interno y cumplimiento, en la medida compatible con la normativa local aplicable.
• Identificar y escalar al Grupo aquellos riesgos o incidencias que puedan impactar en otras sociedades del Grupo, especialmente en Criptan Trade, S.L.
• Colaborar en los procesos de revisión, auditoría, investigación o remediación que afecten a actividades, flujos o relaciones intragrupo.
• Someter a evaluación reforzada aquellas actividades, operaciones o relaciones que puedan proyectar riesgos regulatorios, penales, de PBCFT, protección de datos o reputacionales sobre entidades del Grupo sujetas a normativa española o europea.

4. Funciones transversales de grupo

Sin perjuicio de la autonomía jurídica de cada sociedad, las funciones transversales de grupo deberán orientarse a:

• Establecer criterios comunes y estándares mínimos.
• Compartir metodologías, herramientas, reportes y buenas prácticas.
• Favorecer la coordinación entre compliance, PBCFT, protección de datos, seguridad, riesgos, auditoría y asesoría jurídica.
• Asegurar una visión consolidada de los riesgos relevantes del Grupo.
• Permitir un escalado claro de incidencias relevantes al órgano competente.