Política de privacidad

• El responsable: N.JULIEN, en Sion (VS), que explota IntimX bajo el nombre Artenic. Para sus datos: privacy@intimx.ch (art. 2 y 24).
• Si consulta el sitio: ni cuenta, ni cookie de medición, ni rastreador. El registro del servidor solo guarda de su dirección IP su red, con sus últimas cifras borradas, 30 días como máximo; el sitio obtiene de ella, en memoria, su país y huellas con clave para contar las visitas, que tratamos como datos personales (art. 4, 5 y 13).
• Si publica un perfil: su cuenta, su ficha y sus fotos, su expediente de identidad, guardado aparte y cifrado, y las decisiones del equipo; estos datos afectan a su vida íntima (art. 9 y 10).
• Lo que es público: la ficha que usted publica; nunca su identidad ni sus países ocultos (art. 9).
• A quién se comunica: al público, la ficha; a Infomaniak, que aloja el sitio; a las autoridades, por orden escrita; y a los demás destinatarios que indica el art. 15; nunca se vende ni se alquila.
• Dónde: el sitio y sus copias de seguridad están en Suiza; un correo electrónico se entrega al proveedor de su buzón, dondequiera que esté, y WhatsApp o Telegram, si los elige, están fuera de Suiza (art. 16).
• Durante cuánto tiempo: cada plazo, dato por dato, copias de seguridad incluidas (art. 17).
• Sus derechos: acceso, copia, rectificación, supresión, exportación, oposición, en privacy@intimx.ch; una respuesta en un plazo de 30 días (art. 20 y 21).

La presente política describe qué datos personales trata IntimX, con qué fines, sobre qué bases, durante cuánto tiempo los guarda, a quién los comunica y cuáles son sus derechos, cuando usted utiliza el sitio intimx.ch.

Se aplica a toda persona que consulta el sitio (visitantes), que publica en él un perfil, individual o de dúo (prestadores), que pide que se le vuelva a contactar desde la página «¿Ofrece servicios?», o que se suscribe al boletín de la revista; así como a las personas del sector cuyos datos de contacto guardamos para la captación (art. 8). Los términos definidos en las condiciones generales de uso (CGU) se aplican por remisión.

IntimX es un servicio para Suiza: cada perfil presenta servicios ofrecidos en Suiza, desde una localidad suiza, e IntimX no se dirige mediante ninguna publicidad a un público fuera de Suiza.

El responsable del tratamiento (art. 5 letra j LPD) es:

N.JULIEN Sion (VS), Suiza Nombre comercial: Artenic

Contacto para la protección de datos: privacy@intimx.ch. La dirección postal completa se comunica sin demora ante cualquier solicitud escrita a legal@intimx.ch.

El Editor no ha designado un asesor de protección de datos (art. 10 LPD): esta designación no es obligatoria. Para cualquier pregunta sobre sus datos, escriba directamente a privacy@intimx.ch.

Tratamos sus datos con las siguientes finalidades, cada una sobre la base indicada (art. 31 LPD):

• Prestar el servicio descrito en las CGU: crear y gestionar la cuenta de un prestador, publicar su ficha, vincular dos cuentas en un perfil de dúo cuando los dos miembros lo quieren, mostrar sus medios de contacto al visitante que los pide, mostrarle la audiencia de su ficha, llevar la cuenta de las personas que invita mediante su enlace y el programa de embajadores (CGU art. 9 bis), enviarle los correos electrónicos relacionados con su cuenta y entregarle sus datos. Base: el contrato (las CGU).
• Verificar la edad y la identidad de cada prestador antes de toda publicación —y, para un prestador cuyo documento de identidad es el de un Estado no perteneciente a la Unión Europea ni a la AELC, su permiso para extranjeros y su validez, hasta su fecha de vencimiento—, y, antes de la puesta en línea de un perfil de dúo, que sus dos miembros son dos personas. Base: el contrato, que lo convierte en una condición de publicación, y nuestro interés preponderante en no publicar nunca a una persona menor de edad ni a una persona inscrita por un tercero (en particular, art. 182, 195 y 196 CP), ni a una persona a la que el derecho de extranjería no autoriza a ejercer en Suiza (art. 11 y 116 LEI).
• Proteger el sitio y a las personas: bloquear el acceso tras intentos fallidos; limitar por conexión las inscripciones, los inicios de sesión rechazados, los enlaces de contraseña, las solicitudes de un nuevo enlace de confirmación, las solicitudes de contacto, las solicitudes del boletín, las solicitudes de recontacto, las denuncias y los códigos de dúo introducidos; tramitar las denuncias y moderar, lo que incluye detectar las fichas sin localidad, aquellas cuyos servicios no corresponden a la categoría, y las fotos o los medios de contacto que una ficha comparte con otra cuenta; llevar los registros y las copias de seguridad. Base: nuestro interés preponderante.
• Contar la audiencia de cada ficha, y ocultar una ficha en los países que elige su prestador, a partir de la dirección IP del visitante (art. 4 y 5). Base: nuestro interés preponderante, y el del prestador en su discreción.
• Medir la audiencia del sitio entero, en totales, y las aperturas de los enlaces de invitación, por día y por canal (art. 5). Base: nuestro interés preponderante.
• Proponer a los prestadores inscritos tres recordatorios relacionados con su cuenta (art. 11). Base: nuestro interés preponderante; usted puede oponerse en cualquier momento.
• Enviar el boletín de la revista, y responder a las personas que piden que se las vuelva a contactar. Base: su consentimiento, que puede retirar en cualquier momento, sin efecto sobre lo que se hizo antes.
• Probar su aceptación de las CGU, y que usted ha declarado haber leído la presente política, con sus versiones. Base: nuestro interés preponderante.
• Guardar para una autoridad, durante un tiempo limitado, los datos de una cuenta en los casos del art. 18. Base: nuestro interés preponderante; entregarlos por orden escrita de una autoridad (art. 263 y 265 CPP): una obligación legal.
• Notificar al Delegado Federal de Protección de Datos y Transparencia (PFPDT) una violación de la seguridad de los datos, cuando la ley lo exige (art. 24 LPD): una obligación legal.

Los datos de un prestador afectan a su esfera íntima, que la ley incluye entre los datos sensibles (art. 5 letra c LPD): solo los comunicamos a un tercero en los casos que indica el art. 15.

Usted consulta el sitio sin cuenta: no le pedimos ni nombre ni dirección de correo electrónico. No existe ni cuenta de visitante, ni opiniones, ni favoritos.

El control de edad: en su primer acceso, el sitio le pide que confirme que es mayor de edad; su respuesta se guarda en su navegador mediante una cookie (art. 12).

Su dirección IP: como en cualquier sitio, su navegador la transmite a nuestro servidor en cada página. El sitio nunca la registra entera: el registro del servidor web solo guarda su red, con sus últimas cifras borradas, 30 días como máximo (art. 13). El sitio obtiene de ella, en memoria, su país y, según el uso, una huella calculada con una clave secreta del servidor (HMAC-SHA-256). Sin esa clave, nadie puede recuperar una dirección IP a partir de una huella. Con ella, se podría, probando todas las direcciones posibles: la clave permanece en nuestro servidor, su copia de respaldo se guarda aparte, nunca con las copias de seguridad de la base de datos, y tratamos estas huellas como datos personales, que se borran en los plazos del art. 17.

Su país: un prestador puede ocultar su ficha a los visitantes de ciertos países. Para respetar esta elección, el servidor deduce el país de su conexión a partir de su dirección IP, gracias a una tabla de países (DB-IP Lite) guardada en nuestro servidor. Este cálculo se hace en memoria, mientras se genera la página: ni la dirección ni el país se registran con su visita; el país solo entra en un total diario de las estadísticas del sitio (art. 5). Una ficha oculta en su país le responde como una página no encontrada. Una VPN cambia el país deducido.

El contacto de una ficha: el número o el nombre de Telegram que indica solo se muestra después de que usted lo haya pedido, y esa solicitud se cuenta para la ficha (art. 5). Una misma conexión solo puede pedir 20 contactos por hora y 60 por día: superado ese límite, el botón le pide que espere. Para aplicar este límite, como los demás topes, el servidor guarda una huella con clave de la conexión, que se borra a los 2 días (art. 17) y que no dice de qué fichas ha pedido usted el contacto; también se aplica si su navegador envía la señal Global Privacy Control: es una protección, no una estadística. Los botones de WhatsApp y Telegram abren esos servicios con ese número o ese nombre y un mensaje ya escrito, sin decirles de qué página viene usted; lo que haga allí se rige por sus propias condiciones (art. 16). Una llamada tiene lugar fuera del sitio.

Compartir una ficha con su botón se cuenta para la ficha, sin más. La vista previa de un enlace compartido muestra la imagen de IntimX, nunca la foto de una persona.

Aparte del registro del servidor web, el sitio no guarda nada que vincule sus visitas de un día a otro o de una ficha a otra.

Estadísticas de las fichas. Para cada ficha, el sitio cuenta, por día (calendario de Zúrich): las visitas, las solicitudes de contacto (número, WhatsApp, Telegram), las aperturas de WhatsApp y de Telegram, y las veces que se ha compartido. Para una visita, anota también de dónde viene, según una lista cerrada (buscador, otro sitio, enlace directo, página de inicio, búsqueda del sitio, otra ficha, revista, otra página del sitio, o una lista del sitio por servicio, categoría y lugar), y en qué idioma se leía el sitio; nunca la dirección de la página de origen ni las palabras buscadas.

Una conexión solo cuenta una vez por día, por ficha y por medición. Para ello, el servidor calcula una huella de la conexión con una clave secreta, propia del día, de la ficha y de la medición; una dirección IPv6 cuenta por su red (/64). Esta huella cambia cada día, no se vincula ni con otra ficha ni con otro día, y se borra al final de su jornada. No se calcula si su navegador envía la señal Global Privacy Control: lo que usted hace en la ficha no se cuenta entonces. Solo quedan los totales del día, 90 días.

No cuentan: el propio prestador cuando su sesión está abierta —en un perfil de dúo, sus dos miembros—, los robots que el sitio reconoce, y las páginas que el navegador carga por adelantado. Varias personas detrás de una misma conexión cuentan como una. Las cifras son, por tanto, estimaciones.

El prestador solo ve estos totales, nunca quién ha visitado su ficha. Se borran con su ficha en el cierre definitivo de su cuenta, y figuran en la exportación de sus datos (art. 21). Los de un perfil de dúo se cuentan bajo el dúo: sus dos miembros los leen, se borran con él (art. 17) y figuran en la exportación de cada miembro (art. 21).

Estadísticas del sitio. El sitio cuenta él mismo sus páginas vistas, sin cookie de medición, sin script y sin servicio de terceros. Cada página del sitio abierta por una persona (ni un robot que el sitio reconoce, ni una página que el navegador carga por adelantado) suma uno a los totales del día, cada uno por separado: por tipo de página, por idioma, por procedencia (buscador, otro sitio, enlace directo, o una página del sitio), por país (deducido de la dirección IP, en memoria; solo se guarda el total por país) y por tipo de dispositivo (teléfono, tableta u ordenador, deducido del nombre del navegador, que no se guarda). Las páginas del espacio de los prestadores no se cuentan. El sitio cuenta también cuántas veces se muestra y se confirma el control de edad. La apertura de un enlace de invitación, desde fuera del sitio, se cuenta por día y por canal (WhatsApp, Telegram, compartir, copiar, o un enlace sin canal), sin el código ni nada que designe a una persona. Un clic en la tarjeta «Publique su perfil» de una lista se cuenta del mismo modo, por día, sin el lugar ni la categoría de la lista.

Para contar los visitantes del día, cada uno una vez, el servidor calcula una huella de la conexión con una clave secreta, la misma para todas las páginas de una jornada; una dirección IPv6 cuenta por su red (/64). Cambia cada día, no sirve para ninguna otra medición, y se borra a los 2 días. No se calcula si su navegador envía la señal Global Privacy Control: sus páginas se cuentan entonces sin ella. Con esta huella, el sitio anota también, una vez por visitante y por día, el nombre del sitio del que llega, sin la dirección de su página; sin huella, no lo anota. El nombre de un sitio del que han llegado menos de cinco visitantes en la jornada nunca se muestra, y se borra una vez pasada la jornada.

Cada total se lee por separado, sin cruces. Solo quedan estos totales y los nombres de los sitios de origen de al menos cinco visitantes al día, 25 meses, en nuestro servidor. Ningún dato se transmite a un tercero.

Toda persona puede denunciar una ficha desde su página, sin cuenta: elige un motivo de una lista cerrada (perfil falso o fotos robadas, persona menor de edad, datos de contacto o contenido prohibidos, actividad ilegal, otro) y puede añadir detalles, 1000 caracteres como máximo. Una denuncia hecha por un prestador que ha iniciado sesión se recibe como la de un visitante: nunca nombra a su autor.

Una misma conexión solo denuncia una ficha una vez al día; después de esa primera denuncia, aún puede hacer dos el mismo día por una persona menor de edad o una actividad ilegal, o con palabras que evocan a una persona menor de edad o la trata. Para llevar esta cuenta, el servidor guarda una huella con clave de la conexión, propia del día y de la ficha, que se borra a los 30 días.

Una denuncia por una persona menor de edad o una actividad ilegal, o cuyas palabras evocan a una persona menor de edad o la trata (un filtro de palabras las detecta), se notifica de inmediato al equipo, mediante una alerta que no contiene ni nombre ni texto. El filtro no decide nada: una persona del equipo examina cada denuncia.

Los detalles de una denuncia solo los lee el equipo, en el expediente de la ficha denunciada; no figuran en ninguna alerta ni en ningún resumen. El sitio nunca muestra una denuncia a la persona denunciada ni, en el caso de un perfil de dúo, a sus miembros; una solicitud de acceso se examina según el art. 26 LPD, y nunca da lo que permitiría reconocer a su autor. Los detalles se guardan mientras existe la cuenta denunciada, y se borran 30 días después de su cierre —los que se refieren a un perfil de dúo, 30 días después del fin del dúo—; la denuncia en sí (su motivo, su fecha, el tipo de palabras que el filtro detectó en ella y la decisión que tomó el equipo) se guarda 10 años después del cierre de la cuenta denunciada, o del fin del perfil de dúo al que se refiere, y luego se borra o se anonimiza, salvo procedimiento en curso.

Si se suscribe al boletín de la revista, guardamos su dirección de correo electrónico, el idioma elegido y las fechas de su solicitud, de su confirmación y, en su caso, de su baja; como prueba de su suscripción, una huella con clave de la dirección IP de su solicitud y de la de su confirmación, nunca la dirección IP en claro. No se le envía nada antes de que haya hecho clic en el enlace del correo de confirmación; después, un correo electrónico cuando anunciamos un nuevo artículo en su idioma, y nada más. Cada envío contiene un enlace para darse de baja con un clic.

Una dirección nunca confirmada se borra 7 días después de la última solicitud, con las huellas de esa solicitud. Cuando usted se da de baja, su dirección y las huellas de su suscripción se borran: solo guardamos una huella de su dirección de correo electrónico, calculada con una clave secreta, con el idioma y las fechas, 24 meses, para no volver a escribirle. Si se vuelve a introducir, una dirección dada de baja no recibe más de un correo de confirmación por semana, y nada más sin un clic.

Una misma conexión solo puede solicitar el boletín cinco veces al día; el rastro de estas solicitudes (una huella con clave de la conexión) se borra a los 2 días.

Base: su consentimiento, que usted retira dándose de baja.

En la página «¿Ofrece servicios?», el formulario «¿Tiene alguna pregunta? Le respondemos» le permite pedir que IntimX le vuelva a contactar. Usted indica un medio (correo electrónico, WhatsApp, Telegram o teléfono), su dirección, su número o su nombre de Telegram y, si lo desea, su cantón; guardamos también el idioma en el que leía el sitio, y la fecha de su consentimiento, dado al marcar la casilla del formulario.

Por correo electrónico, la solicitud se confirma con un clic: le enviamos de inmediato un correo de confirmación, y nada más antes de que haga clic en su enlace, válido durante 24 horas. Una solicitud solo puede indicar una dirección, y una dirección no recibe más de un correo de confirmación al día, sea quien sea la persona que la introduce. Sin clic, la solicitud se borra a los 7 días. Como prueba de su solicitud y de su confirmación, guardamos, mientras existe la solicitud, sus fechas, su dirección de correo electrónico y una huella con clave de la dirección IP de cada uno de los dos actos; nunca la dirección IP en claro.

Una vez confirmada su solicitud, una persona del equipo le responde por correo electrónico. Le escribimos como máximo tres veces sobre este asunto, con al menos tres días de intervalo. Cada mensaje contiene un enlace para no recibir nada más, que borra de inmediato su solicitud, y cualquier otra solicitud o cualquier otro contacto que guardemos con la misma dirección. Un programa puede proponer estos mensajes al equipo, sin leer sus datos de contacto; una persona del equipo aprueba cada uno (art. 14).

Por WhatsApp, Telegram o teléfono, una persona del equipo le contacta por ese medio; no se pide ningún clic, y no se guarda nada de su dirección IP más allá de 24 horas. WhatsApp y Telegram reciben entonces su número o su nombre de usuario, y nuestros mensajes, fuera de Suiza (art. 15 y 16).

Una misma conexión solo hace una solicitud al día; el rastro que lo permite (una huella con clave de la conexión) se borra 24 horas después de la solicitud.

Para la captación, guardamos también los datos de contacto de personas del sector que hemos conocido de otro modo —por una recomendación, un establecimiento o un socio— y que nos han pedido que las contactemos, ellas mismas o a través de la persona que nos las recomienda: el medio de contacto, el idioma, en su caso el cantón, un nombre, una ciudad y notas del equipo, así como el seguimiento de los intercambios. Una persona del equipo puede contactarlas, una a una, nunca por Telegram; el sitio no les envía ningún correo electrónico. Se lo decimos en nuestro primer contacto, a más tardar un mes después de haber registrado sus datos de contacto, junto con su procedencia; sin ese contacto, se borran.

Cada solicitud o contacto recibe un código de invitación; si usted se inscribe con ese código, su solicitud queda vinculada a su cuenta. Una solicitud o un contacto se borra 90 días después del último intercambio, de la inscripción o del rechazo, o, sin ningún intercambio, 90 días después de la solicitud; y a más tardar con la dirección de la cuenta a la que dio lugar, 30 días después del cierre de esa cuenta.

Base: su consentimiento, que usted retira mediante el enlace de cada mensaje o escribiendo a privacy@intimx.ch; para las personas conocidas de otro modo, nuestro interés preponderante en captar, una persona a la vez, y su solicitud de ser contactadas.

Inscripción: su dirección de correo electrónico, su contraseña (guardada como hash Argon2id, nunca en claro), el nombre visible que usted elige y su idioma. Si se inscribe mediante un enlace o un código de invitación, IntimX guarda de qué enlace procede su inscripción, cuándo contó y, si el equipo retira la invitación, cuándo y por qué (fraude o persona menor de edad). La persona de la que procede ese enlace solo ve cuántas personas invitadas han publicado su perfil y cuentan para ella, nunca su nombre. A quien abre su enlace, IntimX solo le muestra su nombre visible y su título si esa persona así lo ha elegido, nunca sus estrellas. El administrador del equipo ve quién invitó a quién; revisa las invitaciones de una persona en dos casos: más de 4 personas invitadas publicadas en 30 días, o la retirada de una invitación por tratarse de una persona menor de edad.

Prueba de su aceptación: la versión de las CGU que usted aceptó y la de la presente política que declaró haber leído, su fecha, y una huella SHA-256 de su dirección IP, calculada con una clave secreta del servidor. Esta huella es duradera: la misma dirección da siempre la misma huella, lo que permite verificar la prueba frente a una dirección dada; no permite recuperar la dirección sin la clave (art. 4).

Perfil, público una vez publicado: su nombre visible, el título, la presentación, la categoría (chicas, hombres o trans), el servicio (escort, masaje o BDSM), la localidad, elegida de la lista oficial de localidades suizas, y su cantón, los idiomas que habla y, si los indica, su información práctica: tarifas por duración o «a consultar», horarios, ausencias con fechas, si recibe o se desplaza, servicios elegidos de una lista cerrada, medios de pago aceptados. Su número de teléfono, con la mención WhatsApp, y su nombre de usuario de Telegram solo se muestran al visitante que los pide. La dirección de su página se forma a partir de su nombre visible; puede cambiarla mientras su ficha no se haya publicado nunca, después ya no cambia, y queda reservada tras el cierre de su cuenta (art. 17).

Perfil de dúo: un perfil que dos cuentas de prestadores llevan conjuntamente, con sus dos identidades verificadas. Su nombre, sus textos, su información práctica, su medio de contacto, sus fotos (con el nombre de quien las añadió) y sus estadísticas son comunes a los dos miembros; una foto añadida solo es pública una vez aceptada por el otro miembro. Cada miembro ve del otro miembro su nombre visible, su acuerdo con el dúo tal como está escrito y, con una sola palabra, si todo está listo por su parte, nunca lo que falta; nunca su identidad, su dirección de correo electrónico, sus países ocultos ni sus medidas, y el dúo no lleva a su propio perfil. La persona que introduce un código de invitación lee el dúo tal como se publicaría y el nombre visible de quien la invita, y después lo acepta o lo rechaza; la persona que dio el código ve entonces el nombre visible de quien lo introdujo, y sabe, con una sola palabra, si la invitación se ha rechazado, ha caducado o ya no es válida, nunca por qué.

Un código de invitación solo se muestra una vez, a la persona que lo genera, y no se guarda ni en la base de datos ni en ningún registro: solo su huella, calculada con una clave secreta del servidor. La huella solo sirve durante 7 días, y se borra cuando se utiliza el código, cuando un nuevo código la sustituye, cuando se retira la invitación o cuando el dúo termina. Sus países ocultos y su opción de los buscadores se copian en su línea del dúo, que el otro miembro no lee: el dúo queda oculto en todos los países en los que un miembro oculta su propio perfil, y se retira de los buscadores en cuanto un miembro retira el suyo; el otro miembro puede darse cuenta buscándolo desde esos países o en un buscador. Antes de su puesta en línea, y de nuevo cuando se vuelve a decidir sobre uno de los dos expedientes de identidad, el equipo examina los dos expedientes uno al lado del otro y dice si se trata de dos personas (art. 10). Las medidas y las actuaciones del equipo sobre el dúo, y su motivo, se leen en el espacio de sus dos miembros; una suspensión o una retirada del dúo sigue vinculada a sus dos miembros mientras se mantiene, incluso después del fin del dúo (art. 17).

Los servicios publicados afectan a su vida íntima: es usted quien los elige y los publica, puede retirarlos en cualquier momento, y se borran en el cierre definitivo de su cuenta.

Perfil, nunca público: los países en los que usted oculta su ficha (diez como máximo, nunca Suiza) y la opción que la retira de los buscadores. Este ajuste puede revelar de dónde viene usted: no se inscribe ni en el registro de auditoría ni en el registro de eventos, y se borra en el cierre definitivo de su cuenta.

Fotos: JPEG, PNG, WebP o HEIC, 12 MB como máximo cada una, 20 como máximo por perfil. En cuanto se envían, sus datos ocultos (lugar, dispositivo, fecha) se eliminan, original incluido; una foto HEIC se guarda en JPEG. El original, sin metadatos, se guarda para rehacer las dos versiones WebP que sirve el sitio.

Inicio de sesión: usted solo entra en su espacio una vez confirmada su dirección mediante el enlace del correo electrónico; antes, el inicio de sesión le responde como si su contraseña fuera errónea, sin contar su contraseña correcta entre los intentos fallidos que bloquean su cuenta. Para cada sesión, un token aleatorio, guardado en forma de hash SHA-256, sus fechas de creación, de última actividad y de expiración, y una huella duradera de su dirección IP calculada con la clave secreta del servidor. Tras 10 intentos fallidos seguidos, el acceso a su cuenta queda bloqueado 15 minutos: el rastro de este bloqueo se borra en cuanto usted inicia sesión o elige una nueva contraseña, y a más tardar 30 días después del cierre de su cuenta (art. 17). En la página que envía un nuevo enlace de confirmación, la dirección que usted escribe sirve para el envío y no se guarda; la página responde igual a cualquier dirección.

Decisiones del equipo: las medidas adoptadas sobre su perfil (advertencia, suspensión, retirada, levantamiento), su motivo, tomado de una lista cerrada, y la aclaración que el equipo haya podido añadir para usted; las fechas en las que el equipo, tras revisar una medida, decidió mantenerla; las fotos que el equipo ha retirado, y su motivo; la retirada de su perfil de las listas mientras dura una corrección, y su motivo; las correcciones de servicio, de categoría o de localidad hechas por el equipo, que un correo electrónico le anuncia y que su perfil muestra. Usted las lee en su espacio, salvo un mantenimiento: nada se lo anuncia, y la exportación de sus datos lo incluye (art. 21). Los correos electrónicos que le anuncian las demás no indican el motivo.

Correos electrónicos: la lista de los correos electrónicos que le hemos enviado (su tipo y sus fechas), nunca su texto.

Antes de toda publicación, una persona del equipo verifica su identidad. Usted presenta: su nombre, apellidos y fecha de nacimiento; el anverso de un documento de identidad (pasaporte, documento nacional de identidad, permiso para extranjeros B, C, L o G, o documento de identidad extranjero) y, si lo desea, su reverso; un selfi en el que sostiene el documento junto a su cara, con el código de cuatro cifras que le da la página, escrito a mano. Cada documento pesa 8 MB como máximo. El sitio rechaza de entrada una fecha de nacimiento que corresponda a menos de 18 años.

Si su documento de identidad es el de un Estado no perteneciente a la Unión Europea ni a la AELC, el equipo le pide en su lugar su permiso para extranjeros (B, C, L o G), examina su tipo y su validez antes de aprobar, y anota su fecha de vencimiento: para ejercer esta actividad en Suiza, el derecho de extranjería exige una autorización. Un correo electrónico le avisa 30 días y luego 7 días antes, sin indicar la fecha: presente su nuevo permiso en cuanto lo tenga, y su perfil sigue en línea mientras el equipo lo examina; si el día del vencimiento no hay un nuevo permiso, el equipo se lo pide mediante una nueva verificación (véase más abajo; art. 11; CGU art. 12). No se pide nada más: este permiso se guarda como cualquier documento, y su fecha de vencimiento con su expediente, en la caja fuerte. Un nuevo permiso presentado antes de la fecha se guarda del mismo modo junto a su expediente: si se aprueba, sustituye al anterior, que se destruye, y su fecha de vencimiento sustituye a la del anterior; si se rechaza, se destruye, y el anterior vale hasta su fecha.

Estos datos se guardan en una caja fuerte aparte: su nombre, apellidos y fecha de nacimiento, y el código, están cifrados en ella (AES-256-GCM), y los documentos están cifrados en el disco, con una clave guardada fuera de la base de datos. Solo los abre una persona del equipo encargada de la verificación; cada presentación, cada apertura y cada decisión se inscriben en un registro de custodia que el equipo no puede ni modificar ni borrar. Su selfi nunca se publica, nunca se compara con las fotos de su perfil y nunca se muestra a un programa de inteligencia artificial.

La decisión se le anuncia por correo electrónico; su motivo, tomado de una lista cerrada, y la eventual aclaración del equipo se muestran en la página «Identidad» de su espacio. Una nueva presentación sustituye a la anterior, documentos incluidos, y borra la aclaración de la decisión anterior. El equipo puede pedirle una nueva verificación, incluso después de una aprobación: su ficha y sus perfiles de dúo salen entonces del sitio y vuelven a borrador; una vez aprobado el nuevo expediente, usted vuelve a poner su ficha en línea, y un miembro de un perfil de dúo lo vuelve a poner en línea tras una nueva revisión del equipo.

Para un perfil de dúo, una vez aprobadas las dos identidades y antes de su puesta en línea, y después de nuevo cuando se vuelve a decidir sobre uno de los dos expedientes, una persona del equipo abre los dos expedientes uno al lado del otro y dice si se trata de dos personas; cada apertura se inscribe en el registro de custodia. Esta revisión —su conclusión, las dos decisiones a las que se refiere, quién la hizo y cuándo— se guarda con el dúo (art. 17). Un dúo del que el equipo no puede establecer que reúne a dos personas se suspende por fraude, y se avisa a sus dos miembros (art. 11).

Los documentos y el selfi se guardan mientras existe su cuenta: el equipo puede necesitarlos para una nueva verificación, para examinar los dos expedientes de un perfil de dúo, o para una autoridad (art. 18).

Su expediente se destruye 30 días después del cierre de su cuenta, salvo conservación para una autoridad (art. 18). El registro de custodia permanece 10 años después del cierre, y luego se borra o se anonimiza, salvo procedimiento en curso: indica cuándo se presentó, se abrió y se decidió el expediente, por qué miembro del equipo y por qué motivo, sin su nombre ni sus documentos.

Fuera de su equipo, el sitio solo escribe a las personas que tienen o han tenido una cuenta, que se han suscrito al boletín de la revista o que han pedido que se las vuelva a contactar. Sus correos electrónicos salen de la dirección noreply@intimx.ch, mediante el servicio de envío de Infomaniak (art. 15); nadie lee ese buzón: una respuesta a uno de estos correos llega a support@intimx.ch. Un correo electrónico nunca indica el motivo de una decisión: este se muestra en su espacio, salvo un cierre por el equipo.

A los prestadores, los correos electrónicos relacionados con su cuenta:

• «Le damos la bienvenida a IntimX», en la inscripción, con el enlace de confirmación de su dirección, válido durante 24 horas;
• «Confirme su dirección de correo electrónico», con un nuevo enlace, válido durante 24 horas: cuando usted accede con la contraseña correcta antes de haberla confirmado, o cuando lo solicita en la página que indican nuestros correos electrónicos de confirmación (como máximo uno por hora y tres cada 24 horas), cuando el equipo se lo vuelve a enviar, o cuando cambia su dirección a petición suya —entonces se envía a la nueva dirección—;
• «La dirección de correo electrónico de su cuenta de IntimX ha cambiado», a la dirección que usted deja, una sola vez, cuando el equipo cambia a petición suya una dirección que usted había confirmado; no indica ni la nueva dirección ni ningún nombre;
• «Su dirección de correo electrónico se ha introducido en IntimX», si alguien introduce la dirección de su cuenta para crear otra; como máximo una vez cada 24 horas;
• «Elija una nueva contraseña», cuando usted lo ha solicitado; el enlace es válido durante 60 minutos;
• «La contraseña de su cuenta de IntimX ha cambiado»;
• «Intentos de acceso a su cuenta de IntimX», cuando el acceso queda bloqueado tras intentos fallidos; una vez por bloqueo, y como máximo una vez cada 24 horas;
• las decisiones sobre su identidad: «Su identidad está verificada», «Su expediente de identidad no ha sido aceptado», «Necesitamos de nuevo sus documentos de identidad»;
• «Su permiso para extranjeros está a punto de caducar», 30 días antes de la fecha de vencimiento de su permiso, si el equipo la anotó en su verificación (art. 10), y después «Recordatorio: su permiso para extranjeros está a punto de caducar», 7 días antes; ninguno de los dos indica la fecha, y dejan de enviarse una vez presentado su nuevo permiso; si el día del vencimiento no hay un nuevo permiso, el equipo se lo pide mediante una nueva verificación («Necesitamos de nuevo sus documentos de identidad»);
• las medidas del equipo: «Aviso sobre su perfil», «Su perfil está suspendido», «Su perfil ha sido retirado de IntimX», «La medida que afectaba a su perfil se ha levantado»;
• las actuaciones del equipo sobre su contenido: «Se ha retirado una foto de su galería», «Su perfil se ha retirado de las listas hasta que lo corrija», «Nuestro equipo ha corregido su perfil», cuando una corrección del equipo ha cambiado algo;
• en el caso de un perfil de dúo, cada miembro recibe su propio correo electrónico de cada medida y de cada actuación del equipo sobre el dúo, que nombra «su perfil de dúo»: «Aviso sobre su perfil de dúo», «Su perfil de dúo está suspendido», «Su perfil de dúo ha sido retirado de IntimX», «La medida que afectaba a su perfil de dúo se ha levantado», «Se ha retirado una foto de su perfil de dúo», «Su perfil de dúo se ha retirado de las listas hasta que lo corrija», «Nuestro equipo ha corregido su perfil de dúo»; ningún correo electrónico anuncia una medida o una actuación sobre un dúo terminado;
• cuando un dúo termina, el miembro que se queda recibe «Su perfil de dúo ya no está en línea», o «Su perfil de dúo ha terminado» si el dúo nunca ha estado en línea; nunca el miembro que se va, ni cuando una conservación cubre al otro miembro;
• el cierre: «Su cuenta de IntimX está cerrada», cuando usted la cierra, con el enlace para reactivarla durante 14 días; «Su cuenta de IntimX se ha reactivado»; «Su cuenta de IntimX ha sido cerrada», cuando el equipo la cierra, salvo en el caso de una persona que podría ser menor de edad y cuando se hace a petición de las autoridades, casos en los que no se envía ningún correo electrónico;
• «Una persona invitada ha publicado su propio perfil», cuando una persona a la que usted ha invitado publica su perfil y a usted le corresponden días de destacado: le indica hasta cuándo activarlos, sin nombrarla;
• «Nuestras condiciones cambian el …», al menos 30 días antes de la entrada en vigor de una nueva versión de las CGU y de la presente política.

A los prestadores, tres recordatorios relacionados con su cuenta, cada uno enviado una sola vez como máximo, y solo tras el acuerdo de una persona del equipo, a la que un programa se los propone (art. 14):

• «Su dirección de correo electrónico aún no está confirmada», un día después de la inscripción, si la dirección aún no está confirmada y sigue siendo la de la inscripción;
• «Su perfil aún no está en línea», dos días después de la inscripción, si el perfil no está publicado ni su identidad aprobada;
• «Su perfil puede publicarse», dos días después de la aprobación de su identidad, si el perfil no está publicado.

Como máximo le llega un mensaje de este tipo por período de 7 días. Puede oponerse escribiendo a privacy@intimx.ch; el equipo rechaza entonces cualquier recordatorio que se le proponga para usted.

A los lectores del boletín de la revista: «Confirme su suscripción a la revista IntimX», y después «Nuevo artículo: …» cuando anunciamos un artículo en su idioma (art. 7).

A las personas que piden que se las vuelva a contactar por correo electrónico: «Confirme su solicitud de contacto», y después, una vez confirmada la solicitud, tres mensajes como máximo: «Su solicitud de contacto en IntimX» y sus recordatorios, «IntimX: su registro sigue abierto» (art. 8).

IntimX instala tres cookies, todas necesarias para el funcionamiento del sitio. Como exige el art. 45c letra b LTC, le indicamos aquí cada una, su finalidad y cómo rechazarla:

• intimx_session: el token de su sesión de prestador. Duración: 30 días. HttpOnly, Secure, SameSite=Lax.
• intimx_age: su respuesta al control de edad. Duración: 365 días.
• intimx_locale: el idioma elegido, que solo se instala cuando el idioma leído difiere del de su navegador, o cuando ya existe. Se borra al cerrar el navegador.

Ninguna cookie de medición de audiencia ni de publicidad, ningún rastreador, nada más guardado en su navegador. Las estadísticas (art. 5) se calculan en nuestro servidor, sin instalar nada en su dispositivo.

Puede configurar su navegador para rechazar las cookies. Sin las dos primeras, el inicio de sesión y la confirmación de la mayoría de edad no funcionan.

El registro del servidor web guarda, para cada página solicitada, la dirección IP reducida a su red —borrados el último de los cuatro números de una dirección IPv4 y todo lo que sigue a los dos primeros grupos de una dirección IPv6—, el navegador y las demás cabeceras que su navegador envía con la página, excepto sus cookies y las cabeceras que transmiten habitualmente una dirección IP, la dirección de la página sin sus parámetros (incluida la dirección de una ficha, que reproduce el nombre visible de su prestador, o el nombre de un perfil de dúo), la fecha y la respuesta del servidor; nunca la dirección IP entera, ni el puerto de la conexión, ni los parámetros de una dirección (una búsqueda, un enlace de confirmación, un código de dúo), ni la página de la que usted viene. El registro de errores del servidor web no guarda ninguna dirección IP. Sirve para la seguridad y el diagnóstico, nunca para las estadísticas. Ninguna línea permanece en él más de 30 días.

El registro del sistema y los de los programas del sitio no guardan ni dirección IP, ni nombre, ni dirección de correo electrónico, ni texto redactado por una persona; ninguna línea permanece en ellos más de 30 días.

El registro de auditoría inscribe las actuaciones que cambian algo en el sitio —una inscripción, una publicación, una decisión del equipo, un borrado programado—, pero no una simple visita contada; el registro de eventos inscribe lo que se deriva de ellas. Ambos nombran cada cuenta, y cada perfil de dúo, por un identificador técnico, nunca por su nombre ni su dirección, y guardan el tipo de la actuación, su fecha, su resultado y, para algunas, una clave tomada de una lista cerrada (un motivo, un idioma); nunca un texto libre, ni el código de invitación de una inscripción. Se guardan como prueba de lo que se ha hecho: hasta 10 años después del cierre de la cuenta o del fin del perfil de dúo que nombran —una línea que no nombra ni lo uno ni lo otro, 10 años después de haberse escrito—, y luego se borran o se anonimizan, salvo procedimiento en curso.

Las alertas y el resumen diario que recibe el equipo solo contienen números y fechas, nunca un nombre, una dirección o un texto.

Un programa ayuda al equipo: detecta lo que está pendiente —un recordatorio que toca enviar, un correo electrónico que no ha salido— y propone una actuación, que una persona del equipo aprueba o rechaza. Nunca decide sobre una verificación de identidad, una medida, un cierre ni un texto legal; nunca accede a la caja fuerte; de un perfil de dúo no lee nada —ni la ficha, ni las fotos, ni las estadísticas, ni quién es miembro de él, ni los mensajes que hablan de él— y no escribe nada sobre él; nunca escribe libremente a una persona: un mensaje solo puede proceder de un catálogo cerrado, traducido y verificado. Sus propuestas nombran la cuenta afectada por su identificador técnico; esta mención se borra 90 días después de la propuesta, una vez decidida esta. No sabe quién ha invitado a quién.

Ningún modelo de inteligencia artificial recibe sus datos.

No vendemos ni alquilamos sus datos. Solo se comunican a los siguientes destinatarios:

• El público: la ficha que usted publica, tal como la describe el art. 9.
• El otro miembro de un perfil de dúo, la persona a la que usted da un código de dúo y aquella cuyo código usted introduce: lo que indica el art. 9.
• La persona cuyo enlace de invitación sirvió para invitarle: un número, nunca su nombre; y cualquiera que abra su propio enlace: su nombre visible y su título, si así lo ha elegido, nunca sus estrellas (art. 9).
• Infomaniak Network SA (Ginebra, Suiza), que aloja nuestro servidor (base de datos y archivos) y transmite nuestros correos electrónicos, como encargado del tratamiento.
• WhatsApp o Telegram, si pide que se le vuelva a contactar por uno de ellos: su número o su nombre de usuario, y nuestros mensajes (art. 8 y 16).
• Las autoridades: la ficha tal como se publicó, a petición escrita de una autoridad suiza identificada —nunca un perfil de dúo, que contiene las palabras y las fotos de otra persona y solo se entrega por orden escrita (art. 18)—; cualquier otro dato (identidad, selfi, dirección de correo electrónico, rastros de conexión, detalles de las denuncias), solo por orden escrita (incautación u obligación de entrega, art. 263 y 265 CPP). Una autoridad extranjera es remitida a la vía de la asistencia judicial (Oficina Federal de Justicia, fedpol). Ese mismo día, indicamos por escrito a la autoridad qué guardamos y hasta cuándo.

El sitio no recurre a ningún otro proveedor: ni servicio de mapas, ni medición de audiencia, ni publicidad, ni notificaciones. La tabla de países (DB-IP Lite) y la lista oficial de localidades suizas (swisstopo) son archivos guardados en nuestro servidor: sus editores no reciben nada.

Los botones de WhatsApp y Telegram de una ficha no transmiten nada a esos servicios desde nuestro servidor: su navegador abre ese servicio con el número o el nombre que indica la ficha y un mensaje ya escrito; lo que haga allí se rige por sus propias condiciones (art. 16).

El sitio y sus datos están alojados en Suiza, en Infomaniak Network SA; las copias de seguridad se guardan en ese servidor y en un servidor del Editor, en Suiza. No confiamos sus datos a ningún proveedor fuera de Suiza. Sin embargo, algunos datos salen de Suiza:

• un correo electrónico que le enviamos se entrega al proveedor de su buzón, en el país en que se encuentre; esta entrega sirve directamente al servicio que usted ha solicitado (art. 17 apdo. 1 letra b LPD);
• si pide que se le vuelva a contactar por WhatsApp o Telegram, nuestros mensajes pasan por esos servicios: WhatsApp los trata, en particular, en los Estados Unidos, en empresas certificadas cuya protección reconoce Suiza (anexo 1 de la Ordenanza sobre la Protección de Datos); Telegram, en los Países Bajos para una cuenta abierta desde el Espacio Económico Europeo o el Reino Unido, y, para una cuenta abierta en otro lugar, en países que no nombra; usted eligió este medio tras haber leído, bajo esta opción, que estos servicios tratan sus mensajes fuera de Suiza, donde la protección de datos no siempre es la de Suiza (art. 17 apdo. 1 letra a LPD);
• un botón de WhatsApp o Telegram de una ficha abre esos servicios desde su navegador; sus servidores están fuera de Suiza, y lo que haga allí se rige por sus condiciones.

Una ficha publicada se puede leer desde cualquier país, y los buscadores pueden copiarla: la ley no considera esta publicación una comunicación al extranjero (art. 18 LPD).

Cuenta abierta: sus datos se guardan mientras existe su cuenta, sin perjuicio de los plazos que figuran más abajo. Una cuenta cuya dirección de correo electrónico nunca se ha confirmado se cierra y se borra 30 días después de la inscripción: lo que el cierre por el equipo borra de inmediato y lo que se destruye 30 días después de un cierre (véase más abajo) se borra de una vez, y de ella queda lo que queda de una cuenta cerrada. Ningún correo electrónico lo anuncia, y la misma dirección puede servir para una nueva inscripción. Una cuenta cuya dirección se ha confirmado una vez nunca se borra de este modo, aunque el equipo la cambie después a petición suya.

Cierre por usted: su ficha y sus perfiles de dúo salen del sitio de inmediato, y sus sesiones se cierran; no se borra nada durante 14 días, y puede volver mediante el enlace del correo electrónico «Su cuenta de IntimX está cerrada», o iniciando sesión, ya que al hacerlo se le propone. Al cabo de 14 días, el contenido de su ficha (todo lo que ha escrito y elegido en ella, sus países ocultos), sus fotos y sus estadísticas se borran; sus perfiles de dúo terminan y se borran de inmediato, con lo que el otro miembro haya escrito y añadido en ellos.

Cierre por el equipo: el contenido de la ficha, las fotos y las estadísticas se borran de inmediato, sin plazo de gracia; los perfiles de dúo de la cuenta terminan y se borran igualmente.

30 días después del cierre: su dirección de correo electrónico, su contraseña, su expediente de identidad (campos, documentos, selfi, código y, en su caso, la fecha de vencimiento de su permiso para extranjeros), las aclaraciones escritas para usted por el equipo, la lista de los correos electrónicos que le hemos enviado, los detalles de las denuncias que se referían a su ficha, el rastro de los controles de calidad que el equipo hizo sobre su ficha y el de un bloqueo del acceso se destruyen; su nombre visible pasa a ser «Cuenta cerrada».

Lo que queda después, sin su dirección de correo electrónico, se guarda 10 años después del cierre —el plazo general de prescripción—, y luego se borra o se anonimiza, salvo procedimiento en curso: el identificador técnico de la cuenta, sus fechas y, en su caso, su código de invitación, que nunca se da a otra persona; la dirección de su página, formada a partir de su nombre visible o elegida antes de su primera publicación (art. 9), reservada durante ese tiempo para que ningún otro perfil la reutilice; la fecha de la primera publicación; las denuncias recibidas, sin sus detalles, y las medidas adoptadas, con las fechas de sus mantenimientos; el rastro de un control de calidad que se refería también a la ficha de otra cuenta, cuando está inscrito a nombre de esa cuenta; el registro de custodia de la verificación de identidad; la prueba de su aceptación, con su huella de dirección IP; las líneas de los registros de auditoría y de eventos.

Durante una conservación para una autoridad, el sitio borra como de costumbre lo que mostraba; solo lo que guarda la conservación y el expediente de identidad en la caja fuerte esperan a su fin (art. 18).

Plazos particulares:

• Sesiones: una sesión expira a los 30 días; su rastro (fechas y huella de la dirección IP) se borra 30 días después de su expiración o de su cierre.
• Dirección que su cuenta deja cuando el equipo la cambia a petición suya: se borra en cuanto ha salido el correo electrónico que avisa a esa dirección del cambio, y a más tardar 7 días después del cambio; solo sirve para ese correo.
• Estadísticas de las fichas: las huellas del día (visitas, solicitudes de contacto, aperturas, veces compartido), hasta el final de su jornada; los totales del día, 90 días.
• Estadísticas del sitio: la huella del día, 2 días; el nombre de un sitio de origen del que han llegado menos de cinco visitantes en la jornada, hasta el final de esa jornada; los totales y los demás nombres, 25 meses.
• Denuncias: la huella de la conexión, 30 días; los detalles, mientras existe la cuenta denunciada, y luego 30 días después de su cierre —para un perfil de dúo, 30 días después de su fin—; la denuncia en sí, 10 años después del cierre de la cuenta denunciada o del fin del perfil de dúo, y luego se borra o se anonimiza.
• Topes por conexión (inscripciones, inicios de sesión rechazados, enlaces de contraseña, solicitudes de un nuevo enlace de confirmación, solicitudes de contacto, solicitudes del boletín, códigos de dúo introducidos, estos contados también por cuenta, códigos de invitación que no llevan a nadie): 2 días. Solicitud de recontacto: 24 horas.
• Boletín de la revista: una dirección nunca confirmada, 7 días; las huellas de la solicitud y de la confirmación, con la dirección; tras una baja, una huella con clave de la dirección de correo electrónico, 24 meses.
• Solicitudes de recontacto por correo electrónico nunca confirmadas: 7 días. Solicitudes y contactos de la captación: 90 días después del último intercambio, de la inscripción o del rechazo (art. 8).
• Propuestas del programa que asiste al equipo: el identificador de la cuenta, 90 días después de la propuesta decidida.
• Invitaciones: una invitación que nunca ha contado, 12 meses después de la inscripción; el vínculo entre dos cuentas, con la cuenta de la persona que invita, o con la de la persona invitada, que entonces solo queda como un número para la otra si había contado; los días y los destacados, con la cuenta; las aperturas de los enlaces, 25 meses, como las estadísticas del sitio.
• Perfil de dúo: termina cuando un miembro lo abandona, o cuando la cuenta de un miembro se cierra definitivamente. Se borra 14 días después de su fin —sus textos, sus fotos y los archivos de estas, sus estadísticas, los motivos de las fotos que el equipo retiró de él—, o de inmediato si nunca estuvo vinculado o en el cierre definitivo de la cuenta de un miembro. 30 días después de su fin se borran su nombre, los detalles de sus denuncias, las aclaraciones que el equipo escribió con sus medidas y las marcas «Visto» archivadas bajo él; y también quién era miembro de él y la revisión del equipo de los dos expedientes (su conclusión, las dos decisiones revisadas, quién y cuándo), salvo mientras una suspensión o una retirada pese sobre el dúo, una denuncia por una persona menor de edad se refiera a él o una denuncia sobre él siga abierta, nunca más allá de la purga de las dos cuentas; los correos electrónicos que hablaron de él a sus miembros olvidan entonces el dúo. Una solicitud para unirse a un dúo que no prosperó se borra 30 días después de su fin. La auditoría guarda las actuaciones de cada miembro, como para cualquier cuenta; la línea del dúo —su dirección, su estado, sus fechas—, sus denuncias y las medidas del equipo permanecen en el expediente, como para un perfil cuya cuenta está cerrada.
• Registro del servidor web y registro del sistema: 30 días como máximo.
• Registro de aceptaciones, registro de custodia de la verificación de identidad, registro de auditoría y registro de eventos: como prueba, hasta 10 años después del cierre de la cuenta o del fin del perfil de dúo que nombran —una línea que no nombra ni lo uno ni lo otro, 10 años después de haberse escrito—, y luego se borran o se anonimizan, salvo procedimiento en curso.

Copias de seguridad: cada noche se hace una copia de seguridad de la base de datos y de los archivos (fotos y documentos cifrados). Un dato borrado del sitio permanece en las copias de seguridad hasta 14 días en el caso de la base de datos, y hasta 21 días en el de las fotos y los documentos; la copia guardada fuera del servidor, cifrada en su totalidad, sigue los mismos plazos. Los documentos y los campos de identidad permanecen cifrados en ellas.

En tres casos, una copia de lo que contiene una cuenta se aparta antes de cualquier borrado: cuando el equipo cierra una cuenta porque la persona podría ser menor de edad; cuando la cierra a petición de las autoridades; y cuando una autoridad penal suiza, cuya solicitud se ha verificado, pide que se guarden los datos de una cuenta, que entonces sigue abierta.

Esta copia contiene: la ficha tal como estaba, con sus fechas y la dirección de su página; los originales de las fotos, retirados de la galería; la dirección de correo electrónico y las fechas de la cuenta; el expediente de identidad —sus documentos y el selfi se copian en ella, y sus campos y su código permanecen en la caja fuerte sin destruirse—; las fechas y las huellas de dirección IP de las sesiones de la cuenta; las denuncias que se referían a la ficha (su motivo, sus detalles, su fecha y la decisión tomada, nunca quién las hizo); quién invitó a la persona a IntimX, y a quién invitó ella, con las fechas de esas invitaciones. Ninguna otra cosa que se refiera a otra persona, aparte de esas invitaciones y de lo que guarda el párrafo siguiente.

Una conservación que se refiere a una cuenta guarda también cada perfil de dúo del que esa cuenta es o ha sido miembro —su contenido, sus denuncias y una copia de sus fotos, incluidas las que el otro miembro añadió, y de un dúo ya borrado, lo que la base de datos aún conserva de él, su línea y sus denuncias—, sin que el otro miembro lo sepa; un dúo nunca se entrega con el perfil tal como se publicó, solo por orden escrita.

Está cifrada con una clave propia. Solo un administrador del equipo puede abrirla, y cada apertura se inscribe de antemano en un registro de custodia. Ningún programa automático ni ningún modelo de inteligencia artificial accede a ella.

Se guarda 90 días. A petición escrita de la autoridad, puede prorrogarse una vez por 90 días; más allá, solo durante una incautación o una obligación de entrega ordenadas por escrito. Se destruye automáticamente a su vencimiento, o antes si la autoridad confirma por escrito que ya no la necesita; los borrados ordinarios se reanudan entonces. Su entrega sigue el art. 15.

Una imagen que pudiera estar comprendida en el art. 197 CP no se abre ni se entrega con nuestras herramientas: se retira del sitio, se notifica a la policía y se destruye 30 días después de esa notificación, con sus copias.

Durante una conservación, el sitio borra como de costumbre lo que mostraba; solo la copia y el expediente de identidad guardado en la caja fuerte esperan a su fin. Cuando el equipo cierra una cuenta por una posible minoría de edad o a petición de las autoridades, no se envía ningún correo electrónico a la persona, ni al otro miembro de uno de sus perfiles de dúo, y el motivo del cierre solo se escribe en la conservación y se destruye con ella.

IntimX aplica, en particular, las siguientes medidas:

• Separación: una base de datos PostgreSQL en cuatro esquemas (aplicación, caja fuerte, sistema, equipo) y cinco roles con contraseñas distintas —uno por programa (el sitio, el envío de los correos electrónicos y las tareas programadas, el programa que asiste al equipo), uno para la consola del equipo y uno para los cambios de estructura—. Cada rol rechaza la contraseña de otro.
• Caja fuerte: su dirección de correo electrónico, su contraseña en forma de hash y su expediente de identidad están en un esquema aparte; la dirección que su cuenta acaba de dejar espera en él el tiempo que tarda en salir el correo electrónico que avisa a esa dirección del cambio (art. 17). El programa que asiste al equipo no tiene ningún acceso a él. El programa de envío de los correos electrónicos solo lee en él, por puertas estrechas, la dirección de una cuenta en el momento de enviar, o esa dirección dejada, que olvida en cuanto ha salido el correo electrónico, y qué cuentas esperan el recordatorio de la fecha de vencimiento de su permiso para extranjeros, sin esa fecha; solo borra en él los demás datos a su vencimiento, sin tener nunca la clave de cifrado.
• Cifrado en reposo: su nombre, apellidos y fecha de nacimiento, el código del selfi y los documentos de identidad están cifrados (AES-256-GCM), con una clave guardada fuera de la base de datos y fuera de las copias de seguridad.
• Contraseñas guardadas como hash Argon2id; tokens de sesión guardados en forma de hash SHA-256; huellas de direcciones IP y de los códigos de invitación de un dúo calculadas con una clave secreta (HMAC-SHA-256), que solo tiene el sitio, guardada también fuera de las copias de seguridad de la base de datos.
• Transporte: HTTPS obligatorio, solo con TLS 1.3; cookies Secure.
• Peticiones: se controla el origen de toda petición que modifica algo; cookies SameSite.
• Acceso a las filas: cada tabla de datos de personas, en los esquemas aplicación y caja fuerte, impone la seguridad a nivel de fila de PostgreSQL, incluso al rol propietario. El sitio solo escribe en el registro de auditoría, el registro de eventos y la cola de envíos por puertas estrechas, y no lee nada en ellos.
• Bloqueo: tras 10 inicios de sesión fallidos, 15 minutos de bloqueo; superados 30 intentos rechazados en una hora desde una misma conexión, esta queda frenada; una misma conexión solo puede pedir 20 contactos por hora y 60 por día (art. 4).
• Registros: el registro de auditoría, el registro de aceptaciones y el registro de custodia solo se escriben añadiendo. Fuera del registro del servidor web (art. 13), ningún registro ni ninguna alerta contiene un nombre, una dirección de correo electrónico o un texto redactado por una persona.
• Consola del equipo: nunca accesible desde Internet, solo mediante un túnel cifrado; se entra en ella con una llave de acceso o un código de recuperación impreso, nunca con una contraseña; un documento de identidad o una conservación solo se abren en ella tras una nueva confirmación hecha con la llave de un ordenador o una llave de seguridad.
• Copias de seguridad: cada noche, cifradas y después copiadas fuera del servidor, en un servidor del Editor en Suiza en el que nuestro servidor puede añadir una copia pero nunca borrar ninguna; la clave que las descifra se guarda sin conexión, ni en nuestro servidor ni en el del Editor, y ni la clave de cifrado de la caja fuerte ni la clave de las huellas figuran en ellas.
• Violaciones: llevamos un registro de las violaciones de la seguridad de los datos, y las notificamos al PFPDT, y a las personas afectadas, cuando la ley lo exige (art. 24 LPD).

Conforme a la LPD (art. 25 a 29 y 32), usted puede:

• solicitar el acceso a sus datos personales y obtener una copia de ellos, gratuitamente;
• hacer que se rectifiquen datos inexactos. Su perfil se corrige en su espacio; un perfil de dúo también, por cada miembro, aceptando el otro miembro cada modificación. Una dirección de correo electrónico mal escrita en la inscripción no se corrige: el enlace de confirmación se envió a la dirección escrita, y solo se entra en el espacio después de haberlo abierto; en ese caso, usted crea una cuenta nueva con la dirección correcta. Una dirección confirmada la cambia el equipo, a petición suya, con una de estas dos pruebas: una solicitud escrita enviada desde esa dirección a privacy@intimx.ch; o, si ya no tiene acceso a ese buzón, un nuevo expediente de identidad, que el equipo le pide que presente y que ha aprobado hace menos de 30 días (su ficha y sus perfiles de dúo salen del sitio hasta esa aprobación, y después usted los vuelve a poner en línea; art. 10). Entonces se envía un enlace de confirmación a la nueva dirección, y se cierran sus sesiones abiertas: usted vuelve a iniciar sesión una vez confirmada la nueva dirección. La dirección dejada recibe un correo electrónico que indica el cambio, sin la nueva dirección; solo se guarda para ese correo (art. 17);
• solicitar la supresión de sus datos: usted cierra personalmente su cuenta desde su espacio (art. 17); allí también abandona un perfil de dúo, que entonces se borra a más tardar 14 días después de su fin (art. 17); para el boletín de la revista o una solicitud de recontacto, basta con el enlace de cada mensaje;
• recibir sus datos en un formato estructurado, o hacer que se transmitan a otro responsable (art. 21);
• oponerse a un tratamiento basado en nuestro interés preponderante, incluidos los recordatorios (art. 11);
• retirar su consentimiento en cualquier momento, sin efecto sobre lo que se hizo antes.

Algunos datos se guardan pese a una solicitud de supresión, durante los plazos del art. 17: las pruebas (su aceptación, registro de custodia, registros de auditoría y de eventos), las copias de seguridad hasta su vencimiento, y lo que guarda una conservación para una autoridad (art. 18).

Previa solicitud, le indicamos también cuándo se presentó, se abrió y se decidió su expediente de identidad, según el registro de custodia.

Podemos denegar, restringir o aplazar una respuesta en los casos que prevé la ley (art. 26 LPD), por ejemplo para proteger a un tercero; en ese caso, le indicamos el motivo.

Para ejercer sus derechos, escriba a privacy@intimx.ch, desde la dirección de su cuenta si tiene una. Respondemos en un plazo de 30 días; si su solicitud requiere más tiempo, se lo decimos antes de que termine ese plazo, con el plazo previsto.

Puede denunciar un tratamiento ante el Delegado Federal de Protección de Datos y Transparencia (PFPDT), Feldeggweg 1, 3003 Berna, Suiza (edoeb.admin.ch), que puede abrir una investigación (art. 49 LPD); un litigio se lleva ante los tribunales civiles (art. 32 LPD).

Desde su espacio, página «Cuenta», usted descarga sus datos en un archivo (formato JSON estructurado):

• su cuenta: nombre visible, dirección de correo electrónico, idioma, fechas de inscripción y de confirmación;
• su aceptación de los textos: las versiones de las CGU y de la presente política, esta declarada leída, y sus fechas;
• sus inicios de sesión: las fechas de cada sesión;
• su perfil, con su información práctica, sus países ocultos y la opción de los buscadores;
• la lista de sus fotos, y las que el equipo ha retirado desde su última adición, con su motivo; sus fotos en sí se le entregan previa solicitud a privacy@intimx.ch;
• la lista de los correos electrónicos que le hemos enviado (tipo y fechas);
• los totales diarios de las estadísticas de su ficha, correspondientes a 90 días;
• las decisiones de moderación que le conciernen, con su motivo, la aclaración del equipo y las fechas en las que el equipo decidió mantenerlas;
• las invitaciones: su código de invitación, el número de personas invitadas que han publicado su perfil y cuentan para usted, y su propia invitación (sus fechas y, mientras exista la cuenta de la persona de la que procede su enlace, su código; nunca el nombre ni la cuenta de esa persona); sus días de destacado y sus destacados;
• su expediente de identidad: su estado, la decisión, su motivo y su aclaración, su nombre, apellidos y fecha de nacimiento, en su caso la fecha de vencimiento de su permiso para extranjeros y el estado del nuevo permiso que usted ha presentado (en examen o rechazado, con su motivo y su aclaración), y la lista de los documentos presentados. Los documentos en sí se le entregan previa solicitud a privacy@intimx.ch.
• los perfiles de dúo de los que forma o ha formado parte, hasta su borrado: lo que dicen y sus fechas, si usted los creó, sus ajustes (su acuerdo con su puesta en línea, sus países ocultos, la opción de los buscadores, sus fechas de llegada y de salida), la lista de las fotos que usted añadió a ellos, las fotos que el equipo retiró de ellos (su motivo y su fecha, sea cual sea el miembro que las había añadido), los totales diarios de sus estadísticas, y sus decisiones de moderación, con su motivo, la aclaración del equipo y las fechas de sus mantenimientos;
• un perfil de dúo ya borrado, durante los 30 días siguientes a su fin, y después mientras una suspensión o una retirada del equipo le vincule a él: que usted era miembro (si lo creó, sus fechas de llegada y de salida), su fin, su borrado y sus decisiones de moderación.

Nunca los datos del otro miembro de un dúo, ni la unión de sus países ocultos.

IntimX está reservado a personas mayores de edad (18 años cumplidos). En el primer acceso se pide una confirmación de edad, y la verificación de identidad rechaza a toda persona menor de 18 años. Las fotos pornográficas están prohibidas (CGU, art. 8).

IntimX no recoge a sabiendas datos de personas menores de edad. Si tenemos conocimiento de que una persona menor de edad ha abierto una cuenta, el equipo la cierra de inmediato: su ficha, sus fotos y sus perfiles de dúo salen del sitio y se borran de él, se guarda una copia para las autoridades según el art. 18, y no se envía ningún correo electrónico, ni siquiera al otro miembro de uno de sus perfiles de dúo.

Toda denuncia relativa a una persona menor de edad se trata con prioridad absoluta: el equipo recibe un aviso de inmediato. En caso de urgencia, escriba también a legal@intimx.ch.

El Editor puede modificar la presente política. Una modificación importante se anuncia por correo electrónico a los titulares de una cuenta abierta, al menos 30 días antes de su entrada en vigor. La fecha de la versión vigente se indica al principio del documento. Las versiones anteriores están disponibles previa solicitud a support@intimx.ch.

Para cualquier pregunta sobre la protección de sus datos:

Responsable del tratamiento: N.JULIEN Contacto: privacy@intimx.ch

Para las preguntas generales: support@intimx.ch Para las denuncias urgentes (persona menor de edad, trata) y las autoridades: legal@intimx.ch

Autoridad de supervisión: Delegado Federal de Protección de Datos y Transparencia (PFPDT) Feldeggweg 1, 3003 Berna, Suiza edoeb.admin.ch