Política de privacidad

1. Responsable del tratamiento

Responsable: [COMUNIDAD/ASOCIACIÓN — pendiente de acuerdo de junta] (en adelante, «la Comunidad»), en Vilamarxant (Valencia). NIF: [VERIFICAR]. Domicilio: [VERIFICAR]. Contacto en materia de datos: [email protected].

La Comunidad decide qué datos se tratan, para qué y durante cuánto tiempo. La junta actúa en su nombre: no es un responsable distinto.

Corrección respecto de la versión anterior de este texto: la administración de fincas no es la encargada del tratamiento de esta web. No la opera, no la aloja y no accede a sus datos. Lo que decía la versión anterior era incorrecto.

No hay delegado de protección de datos porque en un caso como este no es obligatorio (artículo 37 del RGPD y artículo 34 de la LOPDGDD). El canal de contacto es el correo de arriba.

2. Quién más trata tus datos

La Comunidad no tiene medios técnicos propios. Estos son todos los que intervienen, con su país y su papel:

• Un vecino colaborador (España) — encargado del tratamiento. Desarrolla, aloja y mantiene la web de forma voluntaria y gratuita, por encargo de la Comunidad y siguiendo sus instrucciones. El servidor está en su domicilio, en España, con el disco cifrado. No usa los datos para ningún fin propio.
• Cloudflare, Inc. (Estados Unidos) — subencargado. Publica la web en internet: túnel, certificados de seguridad y red de entrega. Por su forma de funcionar ve el tráfico entre tu navegador y el servidor, no solo tu dirección IP.
• Resend / Plus Five Five, Inc. (Estados Unidos) — subencargado. Envía los correos del servicio (enlace de acceso, avisos urgentes, estado de una incidencia): recibe tu nombre, tu correo y el contenido de esos mensajes.
• Terceros a los que conecta tu navegador, no la Comunidad: OpenStreetMap (Reino Unido), OpenTopoMap (Alemania), Esri (Estados Unidos), NASA GIBS (Estados Unidos), Copernicus EFFIS (Unión Europea) y Open-Meteo (Europa) cuando usas un mapa o la página de incendios; y Windy (Chequia), Google (Estados Unidos) y Blitzortung (Alemania) solo si pulsas el botón de su visor. Reciben tu dirección IP y lo que tu navegador envía siempre; algunos pueden usar cookies propias. No son encargados de la Comunidad: cada uno responde de su propio tratamiento y tiene su propia política.

3. Transferencias internacionales

Cloudflare y Resend son empresas estadounidenses: hay transferencia de datos a Estados Unidos. Ambas declaran estar adheridas al Marco de Privacidad de Datos UE-EE. UU., que la Comisión Europea consideró adecuado en su Decisión de Ejecución (UE) 2023/1795; de forma subsidiaria aplican las cláusulas contractuales tipo aprobadas por la Comisión (artículos 45 y 46 del RGPD).

Puedes pedir copia de esas garantías escribiendo al correo de contacto.

Los proveedores de mapas y de datos meteorológicos a los que conecta tu navegador están, según el caso, en la Unión Europea, en otros países europeos o en Estados Unidos. Cuando la conexión depende de un botón, la decisión es tuya; cuando forma parte del propio mapa, se te avisa justo debajo de él.

4. Qué datos tratamos

Depende de lo que uses. Este es el inventario completo:

• Alta y cuenta: nombre y apellidos, correo electrónico, teléfono (si lo das), la parcela con la que estás vinculado, tu papel —propietario, residente o autorizado— y tus cargos, si tienes alguno.
• Acceso: la sesión abierta, una huella técnica de tu navegador, la huella criptográfica del enlace mágico de acceso y la dirección IP desde la que se pidió ese enlace o se envió una solicitud de alta (dato antiabuso).
• Actividad en el área privada: qué páginas visitas, qué documentos descargas y qué acciones haces, ligado a tu cuenta. En la parte pública la medición es anónima y agregada.
• Documentación de la comunidad: el registro de quién descarga cada acta o documento; las actas recogen la morosidad con identificación (artículo 19 de la Ley de Propiedad Horizontal), y por eso su acceso queda trazado.
• Incidencias, sugerencias y peticiones: lo que escribes, dónde ocurre y las fotografías que adjuntes, a las que se les quitan los datos ocultos, incluida la localización.
• Coche compartido: trayectos, horarios, lugares, teléfono de contacto, plazas, la preferencia «solo mujeres» si la marcas, reservas, valoraciones entre conductor y pasajero y reportes de incidencias; además, una copia de cada trayecto publicado, editado o retirado.
• Directorio de servicios: la ficha que publicas (nombre, oficio, teléfono, correo, fotos), sus valoraciones y el registro de quién contacta con cada ficha y por qué vía.
• Banco del tiempo, Busco/Regalo/Cambio, objetos perdidos y rincón del libro: tus anuncios y sus fotos, el teléfono que decidas mostrar, los movimientos de horas, los avisos de interés, los préstamos y las reclamaciones de objetos.
• Arte y La Memoria: las obras y relatos que envías con tu nombre o con un alias, sus imágenes, comentarios y valoraciones. Son contenidos públicos.
• Reservas de instalaciones: qué instalación, qué día y qué franja.
• Votaciones: tu voto en cada consulta. El recuento se publica de forma agregada.
• Moderación: reportes, avisos, silenciamientos, cierres y sanciones, con su motivo.
• Consentimientos: qué condiciones aceptas, rechazas o revocas, en qué versión, en qué idioma las leíste, una huella criptográfica del texto exacto que viste, la fecha, tu dirección IP y una huella de tu navegador.
• Administración: el registro de las acciones de quienes administran —publicar, editar, cambiar roles, dar de baja— con la persona afectada.
• No se tratan datos de salud, religión, ideología, origen étnico ni orientación sexual. Ten en cuenta, aun así, que lo que escribas libremente en un anuncio de ayuda o en un relato puede revelarlos: escribe solo lo necesario.

5. De dónde salen los datos

Casi siempre los das tú. Hay tres excepciones que conviene conocer, y que la ley obliga a contar (artículo 14 del RGPD):

• El censo de la urbanización procede del padrón que la administración de fincas facilita a la junta. Si tienes cuenta y nunca la solicitaste, tus datos —nombre, apellidos, correo y teléfono— vienen de ahí. Puedes oponerte, corregirlos o pedir la baja escribiendo al correo de contacto.
• Lo que otro vecino publica sobre ti: a quién se entregó un objeto, un movimiento de horas del banco del tiempo, un relato o un comentario que te nombra, un reporte del coche compartido o una fotografía en la que apareces. Quien publica está obligado a tener tu permiso; si aparece algo tuyo sin él, escribe y se retira (canal del apartado 8 del Aviso legal).
• Fichas de profesionales externos dadas de alta por la junta con sus datos de contacto profesional.

6. Para qué se usan y con qué amparo legal

Cada tratamiento tiene su base jurídica. Lo más importante: la gestión de la comunidad no se apoya en tu consentimiento, sino en la ley. No se te pidió permiso para constar en el censo porque no hacía falta, y por eso tampoco puedes «retirarlo»; y tu acceso al área privada nunca depende de que aceptes tratamientos que no son necesarios (artículo 7.4 del RGPD).

• Censo, cuentas, actas, avisos, documentos, convocatorias y trazabilidad de accesos — cumplimiento de una obligación legal de la comunidad (artículo 6.1.c del RGPD y artículos 9 y 16 a 20 de la Ley de Propiedad Horizontal).
• Tu cuenta de acceso y los correos del servicio (enlace de acceso, avisos urgentes, estado de tu incidencia) — el mismo cumplimiento legal, por ser el medio de llevarlo a cabo (artículo 6.1.c), y el interés legítimo de la comunidad en disponer de un canal (artículo 6.1.f).
• Cada módulo que activas —coche compartido, banco del tiempo, objetos perdidos, Busco/Regalo/Cambio, rincón del libro, reservas, votaciones— la ejecución de las condiciones de ese módulo, que aceptas antes de usarlo (artículo 6.1.b).
• Publicar en abierto tu ficha del directorio, tu teléfono, tus obras o relatos, o una fotografía en la que se te identifique — tu consentimiento, pedido aparte, sin casillas premarcadas y revocable en cualquier momento (artículo 6.1.a).
• Seguridad, antiabuso y estadísticas internas —límites de envío, registro de administración, medición de uso del área privada— el interés legítimo de la comunidad en que el servicio funcione y sea auditable (artículo 6.1.f). Puedes oponerte y se valorará tu caso concreto.
• Atender un requerimiento de un juzgado, de la policía o de una administración — obligación legal (artículo 6.1.c).
• Defender a la comunidad frente a una reclamación — interés legítimo y ejercicio de acciones (artículo 6.1.f).

7. Quién ve tus datos

La versión anterior de esta política decía que los datos «no se ceden a terceros». Era falso, y se corrige aquí: esta web está hecha precisamente para que unos vecinos vean cosas de otros, y una parte de ella es pública en internet. Esto es lo que ve cada quien:

• Cualquiera, sin cuenta y desde internet: las fichas del directorio de servicios publicadas en abierto, con el teléfono o el correo que su autor decidió mostrar; las obras de la galería de Arte y los relatos de La Memoria, con el nombre o el alias de su autor; las fotos y textos de la portada; los puntos del mapa; y las peticiones al Ayuntamiento. Los buscadores pueden indexarlo todo.
• Los demás vecinos con cuenta: tu nombre y tu parcela cuando participas en un módulo; tu teléfono en los trayectos de coche compartido y en los objetos perdidos que publiques; tus anuncios del banco del tiempo y de Busco/Regalo/Cambio; tus obras, relatos y comentarios; y tus valoraciones.
• Quien administra la comunidad —junta, gerencia y administración del portal—: el censo, las solicitudes de alta, las incidencias, las sugerencias, el historial de consentimientos, los reportes y las sanciones, y el registro de accesos a documentos.
• Los proveedores del apartado 2, como encargados, y únicamente para prestar su servicio.
• Juzgados, policía y administraciones cuando lo requieran legalmente. En el coche compartido, la copia de cada trayecto se conserva precisamente para poder atender ese requerimiento.
• No se venden datos, no se cede nada con fines publicitarios y no hay decisiones automatizadas ni elaboración de perfiles que produzcan efectos jurídicos sobre ti.

8. Cuánto tiempo se conservan

Esta tabla no está escrita a mano: sale del mismo fichero que ejecuta los borrados, de modo que lo publicado y lo que hace el programa no puedan volver a decir cosas distintas.

«Mientras exista la cuenta» significa mientras seas propietario, residente o autorizado; tras la baja los datos se conservan cinco años, el plazo de prescripción de las reclamaciones civiles (artículo 1964 del Código Civil), y después se eliminan.

Hueco conocido: hoy dar de baja una cuenta cambia su estado pero todavía no anonimiza automáticamente todo lo publicado; la supresión completa se atiende a mano cuando la pides. Está anotado como pendiente en el registro interno de la comunidad.

• 12 meses — Estadísticas de uso de la web: qué página se visitó, cuándo y —solo dentro del área privada— qué vecino la visitó. No hay cookies de seguimiento ni se guarda tu dirección IP.
• 6 meses — Sesiones abiertas: el identificador de tu inicio de sesión y una huella del navegador, para mantenerte dentro sin volver a pedirte el enlace de acceso.
• 24 horas — Enlaces mágicos de acceso: la huella criptográfica del enlace (nunca el enlace) y la IP desde la que se pidió, para frenar abusos.
• 24 horas — Contadores antiabuso: cuántas veces se ha pedido un enlace de acceso o enviado una solicitud desde un correo o una IP dentro de la última hora.
• Mientras exista la cuenta y 5 años después de la baja — Solicitudes de alta: los datos que escribiste al pedir acceso, la versión de los Términos que aceptaste y quién resolvió la solicitud.
• 30 días — Dirección IP desde la que se envió una solicitud de alta (dato antiabuso, no necesario una vez resuelta).
• 5 años — Registro de administración: qué acción hizo cada administrador, sobre qué y cuándo (publicar, editar, cambiar roles, dar de baja…).
• 5 años — Solicitudes de retirada de contenido: la dirección señalada, el motivo, quién la presenta con su nombre y correo, y cómo se resolvió. Puede pedirla cualquiera, tenga cuenta o no.
• 5 años — Quién descargó cada documento de la comunidad y cuándo. Las actas recogen morosidad con identificación (art. 19 LPH), así que su acceso queda trazado.
• 12 meses — Registro de contactos del Directorio de Servicios: qué ficha se contactó, por qué vía y cuándo (con tu nombre solo si tenías la sesión abierta).
• 5 años — Registro del Coche compartido: una copia de cada trayecto publicado, editado o retirado, con los datos que tenía en ese momento —incluido el teléfono de contacto—, a disposición de las autoridades si lo requieren.
• Mientras exista la cuenta y 5 años después de la baja — Historial de consentimientos: qué condiciones aceptaste, rechazaste o revocaste, en qué versión y en qué fecha.
• Mientras exista la cuenta y 5 años después de la baja — Tu cuenta: nombre, apellidos, correo, teléfono, la parcela con la que estás vinculado, tus cargos en la comunidad y las medidas de moderación que se te hayan aplicado.
• Mientras exista la cuenta y 5 años después de la baja — Banco del tiempo: tus anuncios de ayuda ofrecida o pedida y los movimientos de horas en los que participas.
• Mientras exista la cuenta y 5 años después de la baja — Objetos perdidos y encontrados: la publicación, sus fotos, el teléfono de contacto que decidiste mostrar y las reclamaciones recibidas.
• Mientras exista la cuenta y 5 años después de la baja — Busco / Regalo / Cambio: tus anuncios, sus fotos y los avisos de interés de otros vecinos.
• Mientras exista la cuenta y 5 años después de la baja — Directorio de Servicios: la ficha del servicio (nombre, teléfono, correo, fotos) y las valoraciones que recibe.
• Mientras exista la cuenta y 5 años después de la baja — Coche compartido: tus trayectos publicados, las reservas, las valoraciones entre conductor y pasajero y los reportes de incidencias.
• Mientras exista la cuenta y 5 años después de la baja — Rincón del Libro y Club de lectura: los libros que ofreces, los préstamos, las valoraciones y los comentarios del club.
• Mientras exista la cuenta y 5 años después de la baja — Incidencias: lo que reportaste (descripción, ubicación, fotos) y el historial de cómo se resolvió.
• Mientras exista la cuenta y 5 años después de la baja — Reservas de instalaciones: qué instalación, qué día y qué franja reservaste.
• Mientras exista la cuenta y 5 años después de la baja — Buzón de sugerencias: lo que enviaste y la respuesta de la junta.
• Mientras exista la cuenta y 5 años después de la baja — Galería de Arte y La Memoria: las obras y relatos publicados con el nombre o alias de su autor, sus imágenes y las valoraciones y comentarios recibidos.
• Mientras exista la cuenta y 5 años después de la baja — Votaciones de la comunidad: tu voto en cada consulta.
• Sin plazo: forma parte del archivo de la comunidad — Publicaciones institucionales: avisos, documentos y actas, contenido de la portada, puntos del mapa, peticiones al Ayuntamiento y fichas de negocios. El único dato personal es quién los publicó o editó.
• Mientras exista la cuenta y 5 años después de la baja — Directorio de profesionales heredado (nombre, oficio, teléfono, correo), retirado de la web y sustituido por el Directorio de Servicios.

9. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, y retirar los consentimientos que hayas dado, escribiendo a [email protected]. Indica qué pides; si escribes desde el correo de tu cuenta, no hace falta que envíes copia de tu documento de identidad.

Se responde en el plazo de un mes desde que se recibe la solicitud, prorrogable en dos meses más si el caso es complejo, avisándote de la prórroga y de sus motivos (artículo 12.3 del RGPD).

La portabilidad alcanza a lo que se trata por tu consentimiento o por las condiciones de un módulo, no al censo, que se trata por obligación legal.

Si crees que tus datos no se han tratado bien puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es), con independencia de que prefieras escribirnos antes a nosotros.

10. Menores

No se abren cuentas a menores de catorce años: por debajo de esa edad el tratamiento solo es lícito con el consentimiento de quien ejerza la patria potestad o la tutela (artículo 7 de la Ley Orgánica 3/2018). Los menores figuran, en su caso, como autorizados de la cuenta de un adulto, que responde de su uso.

Imágenes de menores: no se publican sin el consentimiento por escrito de ambos progenitores o tutores, y no se publican en la parte abierta a internet aunque ese consentimiento exista. Aun con permiso, se retira cualquier imagen que pueda perjudicar al menor (artículo 4.3 de la Ley Orgánica 1/1996).

Cualquiera de los progenitores puede pedir la retirada en cualquier momento, sin dar explicaciones, y se hace de inmediato.

11. Seguridad

Medidas que están funcionando hoy: conexión cifrada de extremo a extremo; acceso mediante enlace de un solo uso que caduca en una hora, sin contraseñas almacenadas; permisos comprobados siempre en el servidor; cookies de sesión inaccesibles para los programas de la página; límites de intentos; disco cifrado con AES-256 en el servidor; contenedor sin privilegios; borrado de los datos ocultos de las fotografías; saneado del contenido que se publica; registro de las acciones de administración; y copias de seguridad que se verifican restaurándolas (comprobación de integridad y recuento de filas).

Medidas que dependen de la junta y aún no están cerradas: el contrato de encargo del tratamiento, el registro de actividades, el análisis de riesgos y la copia de seguridad guardada fuera del domicilio. Constan como pendientes en el registro interno de la comunidad.

Ningún sistema es infalible, y este se aloja en un domicilio particular. Ese riesgo se someterá a la junta para que lo asuma de forma expresa o decida trasladar la web a un alojamiento profesional.

12. Si ocurre una brecha de seguridad

Si se produce un incidente que afecte a tus datos, la Comunidad lo valorará y, cuando suponga un riesgo para tus derechos, lo notificará a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas (artículo 33 del RGPD). Si el riesgo es alto, te lo comunicará también a ti, sin dilación y en lenguaje claro (artículo 34).

Todos los incidentes, se notifiquen o no, quedan registrados internamente con lo ocurrido, sus efectos y las medidas adoptadas.

Si detectas un fallo de seguridad, avisa a [email protected]: se agradece, y no se toman represalias contra quien informa de buena fe.

13. Cookies y conexiones a terceros

Esta web usa dos cookies, las dos técnicas: una mantiene tu sesión en el área privada y otra recuerda el idioma que has elegido. No hay cookies de publicidad, de analítica ni de seguimiento, ni propias ni ajenas; las estrictamente necesarias no requieren consentimiento, y por eso no verás un banner de cookies: no hay nada que consentir.

La medición de uso de la parte pública es anónima y agregada, sin cookies y sin guardar tu dirección IP. Dentro del área privada, al estar identificado por la cookie de sesión, tu actividad queda ligada a tu cuenta para la gestión de la comunidad y las estadísticas internas (artículo 6.1.f); esos eventos se borran a los doce meses, como dice la tabla del apartado 8.

Los visores de Windy, del tráfico de Google y del mapa de rayos de Blitzortung no se cargan hasta que pulsas su botón; antes se te dice qué proveedor es, de qué país y que recibirá tu dirección IP. Tu elección se recuerda solo durante la visita, sin cookie.

Los mapas sí se cargan al abrirlos, porque son el propio contenido: al usarlos, tu navegador pide las imágenes a OpenStreetMap, OpenTopoMap, Esri, NASA GIBS y Copernicus EFFIS, y la página de incendios consulta la previsión de Open-Meteo. Todos ellos reciben tu dirección IP. Cada mapa lo advierte justo debajo.

14. Registro de consentimientos

Antes de usar el área privada y cada una de sus funciones —Directorio de Servicios, Banco del Tiempo, «Ir y venir», Objetos perdidos, «Busco/Regalo/Cambio», Arte y Exposición, La Memoria de Monte Horquera, votaciones, incidencias y buzón de sugerencias— se te muestran sus condiciones y tienes que aceptarlas expresamente.

De cada aceptación, rechazo o revocación se guarda: qué condición, en qué versión, en qué idioma la leíste, una huella criptográfica del texto exacto que se te mostró, la fecha y la hora, tu dirección IP y una huella de tu navegador. Nunca se guarda lo que haces dentro de la sesión: solo el hecho del consentimiento. La huella del texto permite demostrar, años después, qué decía exactamente aquello que aceptaste.

Este registro no se modifica ni se borra: es la prueba de que el tratamiento estaba consentido (artículo 7.1 del RGPD). Se conserva mientras exista tu cuenta y cinco años después de la baja.

Puedes ver en cualquier momento qué tienes aceptado y revocarlo desde tu perfil; al revocar algo tendrás que volver a aceptarlo la próxima vez que uses esa función. Revocar es tan fácil como aceptar (artículo 7.3 del RGPD).

Quien administra la comunidad puede consultar este historial para la gestión y la auditoría, con el mismo control de acceso que el resto de los datos administrativos.

15. Cambios en esta política

Esta política puede actualizarse. Cada versión lleva número y fecha, y la vigente es siempre la publicada en esta página.

Los cambios que afecten a lo esencial —tratamientos nuevos, destinatarios nuevos, plazos más largos— se anuncian con al menos 30 días de antelación mediante un aviso en la web y un correo a quien tenga cuenta, y las condiciones del área privada tendrán que volver a aceptarse.

Estado de este documento: redactado a partir de una auditoría interna del propio código de la web, sin revisión de abogado colegiado y pendiente de ratificación por la junta, que debe fijar además la denominación exacta, el NIF y el domicilio del responsable — los puntos marcados como [VERIFICAR].