1. Partes, aplicación y prioridad
Este Anexo complementa un contrato vigente de NeighborEase entre la persona o empresa identificada como Operador en la identidad verificada del servicio y la asociación suscriptora cuando se incorpore expresamente y sea aceptado por representantes autorizados. El operador puede ser una persona empresaria individual; no se exige ni presume una LLC. Publicar este texto preparado no completa la identidad ni activa el anexo. Antes de activarlo deben completarse identidad legal verificada, domicilio comercial, contacto de privacidad, fecha de vigencia e infraestructura aprobada.
El anexo regula los datos personales tratados por el operador por cuenta de la asociación. Prevalece frente a condiciones generales incompatibles sobre ese tratamiento. No reduce derechos ni obligaciones que la ley aplicable haga imperativos. Cuando resulte aplicable la Sección 541.104 del Código de Comercio de Texas, el contrato de tratamiento debe cumplir sus requisitos; este anexo preparado no afirma que alguna parte tenga una exención ni que se hayan satisfecho todos los requisitos legales aplicables.
2. Funciones e instrucciones documentadas
La asociación determina las finalidades de sus registros de miembros, inmuebles, comunicaciones comunitarias y encuestas informales, así como quién puede acceder a ellos. Para esas finalidades, el operador trata los datos personales de la asociación únicamente conforme a sus instrucciones documentadas, incluidas las configuraciones y acciones autorizadas en el servicio y las solicitudes escritas autenticadas. La asociación responde de la licitud de sus instrucciones, los avisos y permisos exigibles y la autoridad de sus representantes. Un rol en la plataforma no acredita por sí solo autoridad legal.
El operador no venderá los datos personales de la asociación ni los usará para publicidad dirigida, elaboración independiente de perfiles o fines ajenos. Si una obligación legal vinculante exige un tratamiento distinto de las instrucciones, informará previamente a la asociación, salvo prohibición legal. Identificará sin demora una instrucción que razonablemente considere contraria a la normativa de protección de datos y podrá pausarla mientras las partes resuelven el problema. Las responsabilidades independientes del operador para administrar cuentas, proteger el servicio y gestionar la facturación se describen en el aviso de privacidad, sin reclasificarlas mediante este anexo.
3. Objeto, finalidad, datos y duración
Finanzas opcionales también trata instantáneas de propiedad y miembro y cargos anuales de simulación, importes y vencimientos, pagos simulados y referencias de recibos, reversiones y anulaciones motivadas, recordatorios privados y lectura, permisos financieros expresos, selecciones revisadas de suscripción de simulación y solicitudes privadas de precio con recuentos, intervalos, mensajes y fechas. La finalidad actual es registrar simulaciones, controlar acceso y atender solicitudes de la Asociación, sin mover dinero. La visibilidad de gestores y propietarios depende de permisos y asignación actuales; la asociación no debe presentar un registro de simulación como liquidación real ni notificación legal de cobro.
Los registros de organización incluyen el cargo declarado y la declaración versionada de autorización para la asociación indicada, el idioma, la identidad de la persona y la hora del servidor. Permiten asignar la membresía y conservar un historial trazable de creación, sin verificar de forma independiente la declaración. La declaración original se conserva en el historial aunque cambie después el rol de la persona. La asociación guarda por separado a su Administrador de la comunidad; los cambios de cargo, acceso y administración conservan las membresías afectadas, valores anteriores y nuevos, motivo y hora del servidor.
La administración arquitectónica también trata contacto del propietario e instantáneas de direcciones, propuestas y archivos PDF o imágenes seleccionados, versiones enviadas, nombramientos y motivos de elegibilidad del comité, referencias y comentarios, decisiones humanas, registros de avisos y audiencias externos, recursos y avances de desarrollo. La visibilidad de borradores y documentos enviados depende de los permisos de la solicitud. Esos registros y archivos se incluyen en devoluciones delimitadas cuando se autorizan y en copias operativas cifradas; retirar una solicitud no borra automáticamente su historial ni sus adjuntos.
El objeto es alojar y operar un servicio de administración de asociaciones de Texas. El tratamiento comprende recibir, organizar, almacenar, recuperar, mostrar a usuarios autorizados, corregir, respaldar, restaurar y, conforme a instrucciones lícitas, devolver o eliminar registros. Su finalidad es administrar miembros e inmuebles, derechos configurables de participación en encuestas informales no vinculantes, propuestas, foros y moderación, reuniones y órdenes del día, actas, anuncios, documentos de texto, avisos dentro de la aplicación, preferencias personales de notificación y auditoría relacionada. No ofrece elecciones oficiales, secretas ni jurídicamente vinculantes.
Las personas afectadas incluyen miembros adultos, propietarios, representantes de la junta, contactos autorizados y otras personas cuya información figure lícitamente en registros de la asociación. Los datos pueden incluir nombres y contactos; roles, estado y verificación; etiquetas y direcciones de inmuebles o lotes y vínculos con propietarios; derechos y preferencias en encuestas; contenido de usuarios, enlaces de reuniones y motivos de moderación; fechas e identificadores de auditoría. El tratamiento dura lo que la relación de servicio aplicable y las actividades limitadas de devolución, preservación y eliminación descritas a continuación. El servicio no está destinado a números de Seguro Social, tarjetas completas, documentos de identidad escaneados, registros médicos, datos de menores ni otros datos sensibles innecesarios. La asociación no debe ordenar su tratamiento sin un acuerdo lícito aprobado por separado.
4. Personal autorizado y confidencialidad
El operador permitirá el acceso a los datos personales de la asociación solo al personal y proveedores aprobados que lo necesiten para tareas autorizadas de servicio, seguridad, soporte o cumplimiento legal. Garantizará que las personas autorizadas estén sujetas a obligaciones adecuadas de confidencialidad y reciban instrucciones proporcionadas a su acceso. El acceso administrativo debe limitarse, revisarse y retirarse cuando deje de ser necesario.
La asociación controla el acceso que otorga a sus representantes y miembros y debe actualizarlo oportunamente. El operador mantendrá las restricciones del servicio por rol y asociación; estas no impiden que un destinatario autorizado haga una copia o divulgue información fuera del servicio. Ninguna parte podrá divulgar datos confidenciales de la asociación salvo para la prestación autorizada, por instrucción documentada de la otra parte o por obligación legal.
5. Medidas de seguridad y límites del servicio
El operador mantendrá medidas técnicas y organizativas razonables y adecuadas a los datos y riesgos. La implementación actual incluye sesiones autenticadas, hash de contraseñas con sal, hash de tokens de sesión y recuperación, comprobaciones por rol y asociación, comprobación del origen de solicitudes, HTTPS en la dirección pública, permisos de despliegue restringidos y copias protegidas. Estas medidas reducen riesgos sin garantizar continuidad ni la prevención de todo incidente. Los administradores autorizados pueden acceder a los datos; no hay cifrado de extremo a extremo ni se afirma que la base activa esté cifrada en reposo.
Las copias programadas actuales se cifran y se verifica su restauración. Se conservan catorce instantáneas programadas en el mismo servidor; pueden existir copias adicionales previas a actualizaciones. No hay copia externa configurada. La pérdida o compromiso de un servidor puede afectar tanto a los datos activos como a las copias. La asociación debe conservar sus registros oficiales independientemente y mantener vías alternativas para avisos y acceso a documentos exigibles. Los cambios sustanciales que reduzcan las medidas acordadas requieren información previa y el acuerdo que exija la ley.
6. Solicitudes, evaluaciones e incidentes de seguridad
Teniendo en cuenta la naturaleza del tratamiento y la información disponible, el operador prestará asistencia razonable para solicitudes autenticadas de derechos, medidas de seguridad exigibles, notificaciones legales de incidentes y evaluaciones de protección de datos aplicables. Remitirá a la asociación las solicitudes sobre registros bajo su control, salvo obligación legal de responder directamente. Ninguna parte podrá condicionar un derecho irrenunciable al pago de la suscripción. Las instrucciones y verificaciones de identidad o autoridad utilizarán los canales verificados indicados al activar el anexo.
El operador notificará a la asociación sin dilación indebida cuando tenga conocimiento de un incidente de seguridad que afecte a sus datos personales, facilitará la información razonablemente disponible y la ampliará conforme avance la investigación. La información debe abordar naturaleza y alcance conocidos, consecuencias probables, mitigación y contacto de seguimiento. Las partes cooperarán para contener el incidente, preservar pruebas pertinentes, corregirlo y realizar avisos legales. Esta cláusula no prorroga plazos legales, no inventa un plazo fijo de respuesta ni transfiere a una parte las obligaciones independientes de notificación de la otra.
7. Subencargados, infraestructura y acceso internacional
La integración de un proveedor de pagos reales está prevista. Antes de la activación deben completarse la implementación, validación y revisión. Antes de habilitar Stripe u otro procesador, las partes deben identificar su función real, categorías de datos, medidas y contrato o aviso independiente aplicables en el listado aprobado. Se prevé procesar pagos mediante la cuenta conectada verificada de la propia Asociación y abonar fondos disponibles en su banco designado y verificado, sin agruparlos en la cuenta operativa del Operador. Siguen siendo relevantes los plazos de verificación y abono, devoluciones y retenciones del proveedor. Se describe una estructura prevista, no una comunicación actual de datos, incorporación completada, certificación ni exención para servicios monetarios.
La instalación actual usa el servidor OVHcloud del titular del producto. Antes de la activación, el operador debe identificar en un listado de infraestructura aprobado y disponible para la asociación la entidad contratada, ubicaciones del servidor y copias, otros subencargados y lugares autorizados de administración o soporte. La entidad contratante y región concretas de OVHcloud aún no se han verificado para este anexo. El acceso de desarrollo o soporte desde Alemania debe evaluarse y describirse según el acuerdo real. Este texto no promete que los datos permanezcan exclusivamente en Texas o Estados Unidos.
La asociación autoriza únicamente los subencargados indicados en el listado acordado y los cambios aprobados. El operador avisará con antelación de incorporaciones o sustituciones previstas, permitirá una oportunidad razonable de objeción por motivos de protección de datos y resolverá la objeción o cesará el tratamiento afectado antes de continuar. Celebrará contratos escritos que impongan al subencargado las obligaciones pertinentes del operador, incluidas confidencialidad y medidas adecuadas, y seguirá respondiendo conforme a la ley. Debe obtener efectivamente los contratos necesarios antes de la activación; este anexo no certifica que ya existan contratos ni garantías para transferencias internacionales. La aplicación del RGPD o un mecanismo de transferencia requieren evaluación separada; no se presume certificación ni cláusulas contractuales tipo.
8. Devolución, eliminación y preservación legal
Al terminar los servicios de tratamiento o recibir una instrucción autenticada, el operador, a elección de la asociación y con sujeción a la ley, devolverá o eliminará los datos personales tratados por su cuenta y eliminará las copias restantes, salvo conservación legalmente exigida. Las partes acordarán un formato utilizable y una entrega segura proporcionados a los registros. La aplicación actual dispone de solicitudes de la asociación, historial de revisión y descargas de copias JSON autorizadas. La corrección y eliminación requieren gestión verificada; registrar una solicitud no borra datos ni cierra automáticamente toda la cuenta. Antes de la activación, el operador debe establecer un procedimiento viable de devolución y eliminación y un calendario de conservación publicado.
Una restricción por impago no elimina automáticamente los datos ni la posibilidad de solicitar su devolución a través del canal verificado del operador. Siguen siendo aplicables las comprobaciones de confidencialidad y los derechos de otras personas. Si una ley u obligación vinculante exige conservar datos, el operador limitará datos y acceso a esa finalidad y los eliminará cuando termine la base legal. El calendario acordado debe contemplar la rotación y las copias previas a actualizaciones; catorce copias programadas no equivalen a prometer la eliminación universal en catorce días. Si se restauran datos conservados, deben reaplicarse las restricciones de eliminación y acceso pertinentes.
9. Información, evaluación y responsabilidad
El operador facilitará a la asociación la información razonablemente necesaria para demostrar sus obligaciones de tratamiento y permitirá y cooperará con evaluaciones razonables de la asociación o un evaluador designado, conforme a la ley. Las partes podrán usar primero documentación actual o una evaluación independiente suficientemente cualificada cuando resuelva adecuadamente la solicitud. Toda evaluación debe proteger datos de otras asociaciones, seguridad de infraestructura, secreto profesional y confidencialidad de terceros, sin frustrar un derecho obligatorio de verificación.
Las partes coordinarán alcance, momento y manejo seguro de pruebas razonables. No exigirán contraseñas, claves privadas ni registros de otros clientes cuando otro medio apropiado permita acreditar los hechos. Si se detecta un incumplimiento sustancial, el operador cooperará en un plan de corrección proporcionado. Ningún acuerdo privado de auditoría restringe las facultades legales de una autoridad ni la obligación de proporcionar información exigida por ley.
10. Cambios, instrucciones y derechos protegidos
Los cambios de finalidades, categorías de datos, proveedores o medidas deben documentarse y comunicarse antes de aplicarse, con el acuerdo o consentimiento adicional que exija la ley. Ninguna parte podrá interpretar el silencio sobre una finalidad independiente nueva como autorización para ese uso. El operador informará a la asociación si deja de poder cumplir el anexo, para que las partes corrijan la situación o finalicen lícitamente el tratamiento afectado.
El contrato de servicio vigente regula asuntos comerciales solo en la medida compatible con este anexo y la ley. Ninguna disposición renuncia a derechos irrenunciables de privacidad, consumo, propiedad, acceso a documentos o supervisión pública. El inglés es el original de redacción; el español es una traducción no oficial de cortesía. Ambas versiones y el listado de infraestructura completado deben conciliarse antes de la activación.