Politique de confidentialité

• Le responsable : N.JULIEN, à Sion (VS), qui exploite IntimX sous le nom Artenic. Pour vos données : privacy@intimx.ch (art. 2 et 24).
• Si vous consultez le site : ni compte, ni cookie de mesure, ni traceur. Le journal du serveur ne garde de votre adresse IP que son réseau, ses derniers chiffres effacés, 30 jours au plus ; le site en tire, en mémoire, votre pays et des empreintes à clé pour compter les visites, que nous traitons comme des données personnelles (art. 4, 5 et 13).
• Si vous publiez un profil : votre compte, votre fiche et vos photos, votre dossier d’identité, gardé à part et chiffré, et les décisions de l’équipe ; ces données touchent à votre vie intime (art. 9 et 10).
• Ce qui est public : la fiche que vous publiez ; jamais votre identité ni vos pays masqués (art. 9).
• À qui c’est communiqué : au public pour la fiche, à Infomaniak, qui héberge le site, aux autorités sur ordre écrit, et aux autres destinataires que dit l’art. 15 ; jamais vendu ni loué.
• Où : le site et ses sauvegardes sont en Suisse ; un e‑mail part chez le fournisseur de votre boîte, où qu’il soit, et WhatsApp ou Telegram, si vous les choisissez, sont hors de Suisse (art. 16).
• Combien de temps : chaque durée, donnée par donnée, sauvegardes comprises (art. 17).
• Vos droits : accès, copie, rectification, effacement, export, opposition, à privacy@intimx.ch ; une réponse dans les 30 jours (art. 20 et 21).

La présente politique décrit quelles données personnelles IntimX traite, à quelles fins, sur quelles bases, combien de temps elle les garde, à qui elle les communique, et quels sont vos droits, lorsque vous utilisez le site intimx.ch.

Elle s’applique à toute personne qui consulte le site (visiteurs), qui y publie un profil, solo ou duo (prestataires), qui demande à être recontactée depuis la page « Vous êtes prestataire ? », ou qui s’abonne à la lettre du magazine, ainsi qu’aux personnes du métier dont nous gardons les coordonnées pour le recrutement (art. 8). Les termes définis dans les conditions générales d’utilisation (CGU) s’appliquent par renvoi.

IntimX est un service pour la Suisse : chaque profil présente des services offerts en Suisse, depuis une localité suisse, et IntimX ne s’adresse par aucune publicité à un public hors de Suisse.

Le responsable du traitement (art. 5 let. j LPD) est :

N.JULIEN Sion (VS), Suisse Nom commercial : Artenic

Contact pour la protection des données : privacy@intimx.ch. L’adresse postale complète est communiquée sur toute demande écrite à legal@intimx.ch, sans délai.

L’Éditeur n’a pas désigné de conseiller à la protection des données (art. 10 LPD) : cette désignation n’est pas obligatoire. Pour toute question sur vos données, écrivez directement à privacy@intimx.ch.

Nous traitons vos données pour les finalités suivantes, chacune sur la base indiquée (art. 31 LPD) :

• Fournir le service décrit par les CGU : créer et gérer le compte d’une prestataire, publier sa fiche, lier deux comptes en un profil duo quand les deux membres le veulent, montrer ses moyens de contact au visiteur qui les demande, lui montrer l’audience de sa fiche, tenir le compte des personnes qu’elle invite par son lien et le programme ambassadeurs (CGU art. 9 bis), lui envoyer les e‑mails liés à son compte et lui remettre ses données. Base : le contrat (les CGU).
• Vérifier l’âge et l’identité de chaque prestataire avant toute publication — et, pour une prestataire dont la pièce d’identité est celle d’un État hors de l’Union européenne et de l’AELE, son livret pour étrangers et sa validité, jusqu’à sa date de fin —, et, avant la mise en ligne d’un profil duo, que ses deux membres sont deux personnes. Base : le contrat, qui en fait une condition de publication, et notre intérêt prépondérant à ne jamais publier une personne mineure ni une personne inscrite par un tiers (notamment art. 182, 195 et 196 CP), ni une personne que le droit des étrangers n’autorise pas à exercer en Suisse (art. 11 et 116 LEI).
• Protéger le site et les personnes : bloquer la connexion après des échecs, limiter par connexion les inscriptions, les connexions refusées, les liens de mot de passe, les demandes d’un nouveau lien de confirmation, les demandes de contact, les demandes de la lettre, les demandes de rappel, les signalements et les codes de duo saisis ; traiter les signalements et modérer, ce qui comprend repérer les fiches sans localité, celles dont les prestations ne correspondent pas à la catégorie, et les photos ou les moyens de contact qu’une fiche partage avec un autre compte ; tenir les journaux et les sauvegardes. Base : notre intérêt prépondérant.
• Compter l’audience de chaque fiche, et cacher une fiche dans les pays que sa prestataire choisit, à partir de l’adresse IP du visiteur (art. 4 et 5). Base : notre intérêt prépondérant, et celui de la prestataire à sa discrétion.
• Mesurer l’audience du site entier, en totaux, et les ouvertures des liens de parrainage, par jour et par canal (art. 5). Base : notre intérêt prépondérant.
• Proposer aux prestataires inscrites trois relances liées à leur compte (art. 11). Base : notre intérêt prépondérant ; vous pouvez vous y opposer à tout moment.
• Envoyer la lettre du magazine, et répondre aux personnes qui demandent à être recontactées. Base : votre consentement, que vous pouvez retirer à tout moment, sans effet sur ce qui a été fait avant.
• Prouver votre acceptation des CGU, et que vous avez déclaré avoir lu la présente politique, avec leurs versions. Base : notre intérêt prépondérant.
• Garder pour une autorité, pour un temps limité, les données d’un compte dans les cas de l’art. 18. Base : notre intérêt prépondérant ; les remettre sur ordre écrit d’une autorité (art. 263 et 265 CPP) : une obligation légale.
• Annoncer au Préposé fédéral à la protection des données et à la transparence (PFPDT) une violation de la sécurité des données, lorsque la loi l’exige (art. 24 LPD) : une obligation légale.

Les données d’une prestataire touchent à sa sphère intime, que la loi range parmi les données sensibles (art. 5 let. c LPD) : nous ne les communiquons à un tiers que dans les cas que dit l’art. 15.

Vous consultez le site sans compte : nous ne vous demandons ni nom ni adresse e‑mail. Il n’existe ni compte visiteur, ni avis, ni favori.

La porte d’âge : à votre premier accès, le site vous demande de confirmer que vous êtes majeur ; votre réponse est gardée dans votre navigateur par un cookie (art. 12).

Votre adresse IP : comme pour tout site, votre navigateur la transmet à notre serveur à chaque page. Le site ne l’enregistre jamais entière : le journal du serveur web n’en garde que le réseau, ses derniers chiffres effacés, 30 jours au plus (art. 13). Le site en tire, en mémoire, votre pays, et, selon l’usage, une empreinte calculée avec une clé secrète du serveur (HMAC-SHA-256). Sans cette clé, personne ne peut retrouver une adresse IP à partir d’une empreinte. Avec elle, on le pourrait, en essayant toutes les adresses possibles : la clé reste sur notre serveur, sa copie de secours est gardée à part, jamais avec les sauvegardes de la base, et nous traitons ces empreintes comme des données personnelles, effacées aux durées de l’art. 17.

Votre pays : une prestataire peut masquer sa fiche aux visiteurs de certains pays. Pour respecter ce choix, le serveur déduit le pays de votre connexion à partir de votre adresse IP, grâce à une table des pays (DB-IP Lite) gardée sur notre serveur. Ce calcul se fait en mémoire, le temps de la page : ni l’adresse ni le pays ne sont enregistrés avec votre visite ; le pays n’entre que dans un total du jour des statistiques du site (art. 5). Une fiche masquée dans votre pays vous répond comme une page introuvable. Un VPN change le pays déduit.

Le contact d’une fiche : le numéro ou le nom Telegram qu’elle donne ne s’affiche qu’après que vous l’avez demandé, et cette demande est comptée pour la fiche (art. 5). Une même connexion ne peut demander que 20 contacts par heure et 60 par jour : au-delà, le bouton vous demande d’attendre. Pour tenir cette limite, comme les autres plafonds, le serveur garde une empreinte à clé de la connexion, effacée après 2 jours (art. 17), qui ne dit pas de quelles fiches vous avez demandé le contact ; elle vaut aussi si votre navigateur envoie le signal Global Privacy Control : c’est une protection, non une statistique. Les boutons WhatsApp et Telegram ouvrent ces services avec ce numéro ou ce nom et un message déjà écrit, sans leur dire de quelle page vous venez ; ce que vous y faites relève de leurs propres conditions (art. 16). Un appel se passe hors du site.

Le partage d’une fiche par son bouton est compté pour la fiche, sans plus. L’aperçu d’un lien partagé montre l’image d’IntimX, jamais la photo d’une personne.

Hors du journal du serveur web, le site ne garde rien qui relie vos visites d’un jour à l’autre ou d’une fiche à l’autre.

Statistiques des fiches. Pour chaque fiche, le site compte, par jour (calendrier de Zurich) : les visites, les demandes de contact (numéro, WhatsApp, Telegram), les ouvertures de WhatsApp et de Telegram, et les partages. Pour une visite, il note aussi d’où elle vient, dans une liste fermée (moteur de recherche, autre site, lien direct, page d’accueil, recherche du site, autre fiche, magazine, autre page du site, ou une liste du site par service, catégorie et lieu), et dans quelle langue le site était lu ; jamais l’adresse de la page d’origine ni les mots cherchés.

Une connexion ne compte qu’une fois par jour, par fiche et par mesure. Pour cela, le serveur calcule une empreinte de la connexion avec une clé secrète, propre au jour, à la fiche et à la mesure ; une adresse IPv6 compte pour son réseau (/64). Cette empreinte change chaque jour, ne se relie ni à une autre fiche ni à un autre jour, et s’efface à la fin de sa journée. Elle n’est pas calculée si votre navigateur envoie le signal Global Privacy Control : ce que vous faites sur la fiche n’est alors pas compté. Seuls les totaux du jour restent, 90 jours.

Ne comptent pas : la prestataire elle-même quand sa session est ouverte — sur un profil duo, ses deux membres —, les robots que le site reconnaît, et les pages que le navigateur charge d’avance. Plusieurs personnes derrière une même connexion comptent pour une. Les chiffres sont donc des estimations.

La prestataire ne voit que ces totaux, jamais qui a visité sa fiche. Ils sont effacés avec sa fiche à la fermeture définitive de son compte, et figurent dans l’export de ses données (art. 21). Ceux d’un profil duo sont comptés sous le duo : ses deux membres les lisent, ils sont effacés avec lui (art. 17) et figurent dans l’export de chaque membre (art. 21).

Statistiques du site. Le site compte lui-même ses pages vues, sans cookie de mesure, sans script et sans service tiers. Chaque page du site ouverte par une personne (ni un robot que le site reconnaît, ni une page que le navigateur charge d’avance) ajoute un aux totaux du jour, chacun à part : par type de page, par langue, par provenance (moteur de recherche, autre site, lien direct, ou une page du site), par pays (déduit de l’adresse IP, en mémoire ; seul le total par pays est gardé) et par type d’appareil (téléphone, tablette ou ordinateur, déduit du nom du navigateur, qui n’est pas gardé). Les pages de l’espace des prestataires ne sont pas comptées. Le site compte aussi combien de fois la porte d’âge est montrée et confirmée. L’ouverture d’un lien de parrainage, depuis l’extérieur du site, est comptée par jour et par canal (WhatsApp, Telegram, partage, copie, ou un lien sans canal), sans le code ni rien qui désigne une personne. Un clic sur la carte « Publiez votre profil » d’une liste est compté de même, par jour, sans le lieu ni la catégorie de la liste.

Pour compter les visiteurs du jour, chacun une fois, le serveur calcule une empreinte de la connexion avec une clé secrète, la même pour toutes les pages d’une journée ; une adresse IPv6 compte pour son réseau (/64). Elle change chaque jour, ne sert à aucune autre mesure, et s’efface après 2 jours. Elle n’est pas calculée si votre navigateur envoie le signal Global Privacy Control : vos pages sont alors comptées sans elle. Avec cette empreinte, le site note aussi, une fois par visiteur et par jour, le nom du site d’où il arrive, sans l’adresse de sa page ; sans empreinte, il ne le note pas. Le nom d’un site d’où moins de cinq visiteurs sont venus dans la journée n’est jamais montré, et il s’efface une fois la journée passée.

Chaque total se lit seul, sans croisement. Seuls restent ces totaux et les noms des sites d’origine d’au moins cinq visiteurs par jour, 25 mois, sur notre serveur. Aucune donnée n’est transmise à un tiers.

Toute personne peut signaler une fiche depuis sa page, sans compte : elle choisit un motif dans une liste fermée (faux profil ou photos volées, personne mineure, coordonnées ou contenu interdits, activité illégale, autre) et peut ajouter des précisions, 1000 caractères au plus. Un signalement fait par une prestataire connectée est reçu comme celui d’un visiteur : il ne nomme jamais son auteur.

Une même connexion ne signale une fiche qu’une fois par jour ; après ce premier signalement, elle peut encore en faire deux le même jour pour une personne mineure ou une activité illégale, ou avec des mots qui évoquent une personne mineure ou la traite. Pour tenir ce compte, le serveur garde une empreinte à clé de la connexion, propre au jour et à la fiche, effacée après 30 jours.

Un signalement pour une personne mineure ou une activité illégale, ou dont les mots évoquent une personne mineure ou la traite (un filtre de mots les repère), est annoncé aussitôt à l’équipe, par une alerte qui ne contient ni nom ni texte. Le filtre ne décide rien : une personne de l’équipe examine chaque signalement.

Les précisions d’un signalement ne sont lues que par l’équipe, sur le dossier de la fiche signalée ; elles ne figurent dans aucune alerte ni aucun résumé. Le site ne montre jamais un signalement à la personne signalée ni, pour un profil duo, à ses membres ; une demande d’accès est examinée selon l’art. 26 LPD, et ne donne jamais ce qui permettrait de reconnaître son auteur. Les précisions sont gardées tant que le compte signalé existe, et effacées 30 jours après sa fermeture — celles qui visent un profil duo, 30 jours après la fin du duo ; le signalement lui-même (son motif, sa date, la sorte de mots que le filtre y a repérée et la suite donnée par l’équipe) est gardé 10 ans après la fermeture du compte signalé, ou après la fin du profil duo qu’il vise, puis effacé ou rendu anonyme, sauf procédure en cours.

Si vous vous abonnez à la lettre du magazine, nous gardons votre adresse e‑mail, la langue choisie et les dates de votre demande, de votre confirmation et, le cas échéant, de votre désabonnement ; comme preuve de votre abonnement, une empreinte à clé de l’adresse IP de votre demande et de celle de votre confirmation, jamais l’adresse IP en clair. Rien ne vous est envoyé avant que vous ayez cliqué sur le lien de l’e‑mail de confirmation ; ensuite, un e‑mail quand nous annonçons un nouvel article dans votre langue, et rien d’autre. Chaque envoi contient un lien pour vous désabonner en un clic.

Une adresse jamais confirmée est effacée 7 jours après la dernière demande, avec les empreintes de cette demande. Quand vous vous désabonnez, votre adresse et les empreintes de votre abonnement sont effacées : nous ne gardons qu’une empreinte de votre adresse e‑mail, calculée avec une clé secrète, avec la langue et les dates, 24 mois, pour ne plus vous écrire. Saisie de nouveau, une adresse désabonnée ne reçoit pas plus d’un e‑mail de confirmation par semaine, et rien d’autre sans un clic.

Une même connexion ne peut demander la lettre que cinq fois par jour ; la trace de ces demandes (une empreinte à clé de la connexion) est effacée après 2 jours.

Base : votre consentement, que vous retirez en vous désabonnant.

Sur la page « Vous êtes prestataire ? », le formulaire « Une question ? On vous répond » vous permet de demander qu’IntimX vous recontacte. Vous indiquez un moyen (e‑mail, WhatsApp, Telegram ou téléphone), votre adresse, votre numéro ou votre nom Telegram, et, si vous le souhaitez, votre canton ; nous gardons aussi la langue dans laquelle vous lisiez le site, et la date de votre accord, donné en cochant la case du formulaire.

Par e‑mail, la demande se confirme par un clic : nous vous envoyons aussitôt un e‑mail de confirmation, et rien d’autre avant que vous ayez cliqué sur son lien, valable 24 heures. Une demande ne peut nommer qu’une adresse, et une adresse ne reçoit pas plus d’un e‑mail de confirmation par jour, quelle que soit la personne qui la saisit. Sans clic, la demande est effacée après 7 jours. Comme preuve de votre demande et de sa confirmation, nous gardons, tant que la demande existe, leurs dates, votre adresse e‑mail, et une empreinte à clé de l’adresse IP de chacun des deux gestes ; jamais l’adresse IP en clair.

Une fois votre demande confirmée, une personne de l’équipe vous répond par e‑mail. Nous vous écrivons au plus trois fois à ce sujet, à trois jours d’intervalle au moins. Chaque message contient un lien pour ne plus rien recevoir, qui efface aussitôt votre demande, et toute autre demande ou tout autre contact que nous gardons sous la même adresse. Un programme peut proposer ces messages à l’équipe, sans lire vos coordonnées ; une personne de l’équipe approuve chacun (art. 14).

Par WhatsApp, Telegram ou téléphone, une personne de l’équipe vous contacte par ce moyen ; aucun clic n’est demandé, et rien n’est gardé de votre adresse IP au-delà de 24 heures. WhatsApp et Telegram reçoivent alors votre numéro ou votre nom d’utilisateur, et nos messages, hors de Suisse (art. 15 et 16).

Une même connexion ne fait qu’une demande par jour ; la trace qui le permet (une empreinte à clé de la connexion) est effacée 24 heures après la demande.

Pour le recrutement, nous gardons aussi les coordonnées de personnes du métier que nous avons connues autrement — par une recommandation, un établissement ou un partenaire — et qui nous ont demandé de les contacter, elles-mêmes ou par la personne qui nous les recommande : le moyen de contact, la langue, le cas échéant le canton, un nom, une ville et des notes de l’équipe, ainsi que le suivi des échanges. Une personne de l’équipe peut les contacter, une à une, jamais par Telegram ; le site ne leur envoie aucun e‑mail. Nous le leur disons lors de notre premier contact, au plus tard un mois après avoir enregistré leurs coordonnées, avec leur provenance ; sans ce contact, elles sont effacées.

Chaque demande ou contact reçoit un code d’invitation ; si vous vous inscrivez avec ce code, votre demande est rattachée à votre compte. Une demande ou un contact est effacé 90 jours après le dernier échange, l’inscription ou le refus, ou, sans aucun échange, 90 jours après la demande ; et au plus tard avec l’adresse du compte auquel il a mené, 30 jours après la fermeture de ce compte.

Base : votre consentement, que vous retirez par le lien de chaque message ou en écrivant à privacy@intimx.ch ; pour les personnes connues autrement, notre intérêt prépondérant à recruter, une personne à la fois, et leur demande d’être contactées.

Inscription : votre adresse e‑mail, votre mot de passe (haché avec Argon2id, jamais gardé en clair), le nom affiché que vous choisissez et votre langue. Si vous vous inscrivez par un lien ou un code de parrainage, IntimX garde de quel lien vient votre inscription, quand elle a compté et, si l’équipe reprend l’invitation, quand et pourquoi (fraude ou personne mineure). La personne dont vient ce lien voit seulement combien de personnes invitées ont publié leur profil et comptent pour elle, jamais votre nom. À qui ouvre son lien, IntimX ne montre son nom affiché et son titre que si elle l’a choisi, jamais ses étoiles. L’administrateur de l’équipe voit qui a invité qui ; il regarde les parrainages d’une personne dans deux cas : plus de 4 personnes invitées publiées en 30 jours, ou la reprise d’une invitation pour une personne mineure.

Preuve de votre acceptation : la version des CGU que vous avez acceptée et celle de la présente politique que vous avez déclaré avoir lue, leur date, et une empreinte SHA-256 de votre adresse IP, calculée avec une clé secrète du serveur. Cette empreinte est durable : la même adresse donne toujours la même empreinte, ce qui permet de vérifier la preuve contre une adresse donnée ; elle ne permet pas de retrouver l’adresse sans la clé (art. 4).

Profil, public une fois publié : votre nom affiché, le titre, la présentation, la catégorie (filles, hommes ou trans), le service (escort, massage ou BDSM), la localité, choisie dans la liste officielle des localités suisses, et son canton, les langues que vous parlez, et, si vous les indiquez, vos infos pratiques : tarifs par durée ou « sur demande », horaires, absences datées, si vous recevez ou vous déplacez, prestations choisies dans une liste fermée, moyens de paiement acceptés. Votre numéro de téléphone, avec la mention WhatsApp, et votre nom d’utilisateur Telegram ne s’affichent qu’au visiteur qui les demande. L’adresse de votre page est tirée de votre nom affiché ; vous pouvez la changer tant que votre fiche n’a jamais été publiée, puis elle ne change plus, et elle reste réservée après la fermeture de votre compte (art. 17).

Profil duo : un profil que deux comptes de prestataires tiennent ensemble, leurs deux identités vérifiées. Son nom, ses textes, ses infos pratiques, son moyen de contact, ses photos (avec le nom de qui les a ajoutées) et ses statistiques sont communs aux deux membres ; une photo ajoutée n’est publique qu’une fois acceptée par l’autre membre. Chaque membre voit de l’autre membre son nom affiché, son accord au duo tel qu’il est écrit et, d’un mot, si tout est prêt de son côté, jamais ce qui manque ; jamais son identité, son adresse e‑mail, ses pays masqués ni ses mesures, et le duo ne mène pas à son propre profil. La personne qui saisit un code d’invitation lit le duo tel qu’il serait publié et le nom affiché de qui l’invite, puis l’accepte ou le refuse ; la personne qui a donné le code voit alors le nom affiché de qui l’a saisi, et apprend d’un mot si l’invitation a été refusée, a expiré ou n’est plus valable, jamais pourquoi.

Un code d’invitation n’est montré qu’une fois, à la personne qui le tire, et n’est gardé ni dans la base ni dans un journal : seule son empreinte, calculée avec une clé secrète du serveur. Elle ne sert que 7 jours, et s’efface quand le code sert, quand un nouveau code la remplace, quand l’invitation est retirée ou quand le duo prend fin. Vos pays masqués et votre option des moteurs de recherche sont recopiés sur votre ligne du duo, que l’autre membre ne lit pas : le duo est caché dans tous les pays où un membre cache son propre profil, et retiré des moteurs de recherche dès qu’un membre en retire le sien ; l’autre membre peut s’en apercevoir en le cherchant depuis ces pays ou dans un moteur. Avant sa mise en ligne, et de nouveau quand l’un des deux dossiers d’identité est redécidé, l’équipe regarde les deux dossiers côte à côte et dit s’il s’agit de deux personnes (art. 10). Les mesures et les gestes de l’équipe sur le duo, et leur motif, se lisent dans l’espace de ses deux membres ; une suspension ou un retrait du duo reste lié à ses deux membres tant qu’il tient, même après la fin du duo (art. 17).

Les prestations publiées touchent à votre vie intime : vous les choisissez et les publiez vous-même, vous pouvez les retirer à tout moment, et elles sont effacées à la fermeture définitive de votre compte.

Profil, jamais public : les pays où vous masquez votre fiche (dix au plus, jamais la Suisse) et l’option qui la retire des moteurs de recherche. Ce réglage peut dire d’où vous venez : il n’est inscrit ni dans le journal d’audit ni dans le journal des événements, et il est effacé à la fermeture définitive de votre compte.

Photos : JPEG, PNG, WebP ou HEIC, 12 Mo au plus chacune, 20 au plus par profil. Dès l’envoi, leurs données cachées (lieu, appareil, date) sont retirées, original compris ; une photo HEIC est gardée en JPEG. L’original, sans métadonnées, est gardé pour refaire les deux versions WebP que le site sert.

Connexion : vous n’entrez dans votre espace qu’une fois votre adresse confirmée par le lien de l’e‑mail ; avant, la connexion vous répond comme à un mot de passe erroné, sans compter votre bon mot de passe parmi les échecs qui bloquent votre compte. Pour chaque session, un jeton aléatoire, gardé sous forme de hachage SHA-256, ses dates de création, de dernière activité et d’expiration, et une empreinte durable de votre adresse IP calculée avec la clé secrète du serveur. Après 10 échecs de suite, la connexion à votre compte est bloquée 15 minutes : la trace de ce blocage est effacée dès que vous vous connectez ou choisissez un nouveau mot de passe, et au plus tard 30 jours après la fermeture de votre compte (art. 17). Sur la page qui envoie un nouveau lien de confirmation, l’adresse que vous tapez sert à l’envoi et n’est pas gardée ; la page répond de même à toute adresse.

Décisions de l’équipe : les mesures prises sur votre profil (avertissement, suspension, retrait, levée), leur motif, tiré d’une liste fermée, et la précision que l’équipe a pu y ajouter pour vous ; les dates auxquelles l’équipe, après avoir revu une mesure, a décidé de la maintenir ; les photos que l’équipe a retirées, et leur motif ; le retrait de votre profil des listes le temps d’une correction, et son motif ; les corrections de service, de catégorie ou de localité faites par l’équipe, qu’un e‑mail vous annonce et que votre profil montre. Vous les lisez dans votre espace, un maintien excepté : rien ne vous l’annonce, et l’export de vos données le donne (art. 21). Les e‑mails qui vous annoncent les autres ne disent pas le motif.

E‑mails : la liste des e‑mails que nous vous avons envoyés (leur type et leurs dates), jamais leur texte.

Avant toute publication, une personne de l’équipe vérifie votre identité. Vous déposez : vos prénom, nom et date de naissance ; le recto d’une pièce d’identité (passeport, carte d’identité, livret pour étrangers B, C, L ou G, ou pièce d’identité étrangère) et, si vous le souhaitez, son verso ; un selfie où vous tenez la pièce à côté de votre visage, avec le code à quatre chiffres que la page vous donne, écrit à la main. Chaque pièce pèse 8 Mo au plus. Le site refuse d’emblée une date de naissance de moins de 18 ans.

Si votre pièce d’identité est celle d’un État hors de l’Union européenne et de l’AELE, l’équipe vous demande à sa place votre livret pour étrangers (B, C, L ou G), en regarde le type et la validité avant d’approuver, et note sa date de fin : pour exercer ce métier en Suisse, le droit des étrangers exige une autorisation. Un e‑mail vous prévient 30 jours, puis 7 jours avant, sans dire la date : déposez votre nouveau livret dès que vous l’avez, votre profil reste en ligne pendant que l’équipe le regarde ; sans nouveau livret le jour de l’échéance, l’équipe vous le demande par une nouvelle vérification (ci-dessous ; art. 11 ; CGU art. 12). Rien d’autre n’est demandé : ce livret est gardé comme toute pièce, et sa date de fin avec votre dossier, au coffre. Un nouveau livret déposé avant la date est gardé de même à côté de votre dossier : approuvé, il remplace l’ancien, détruit, et sa date de fin celle de l’ancien ; refusé, il est détruit, et l’ancien vaut jusqu’à sa date.

Ces données sont gardées dans un coffre à part : vos prénom, nom et date de naissance, et le code, y sont chiffrés (AES-256-GCM), et les pièces sont chiffrées sur le disque, avec une clé gardée hors de la base de données. Seule une personne de l’équipe chargée de la vérification les ouvre ; chaque dépôt, chaque ouverture et chaque décision sont inscrits dans un journal de garde que l’équipe ne peut ni modifier ni effacer. Votre selfie n’est jamais publié, jamais comparé aux photos de votre profil, et jamais montré à un programme d’intelligence artificielle.

La décision vous est annoncée par e‑mail ; son motif, tiré d’une liste fermée, et la précision éventuelle de l’équipe s’affichent sur la page « Identité » de votre espace. Un nouveau dépôt remplace le précédent, pièces comprises, et efface la précision de la décision précédente. L’équipe peut vous demander une nouvelle vérification, même après une approbation : votre fiche et vos profils duo quittent alors le site et repassent en brouillon ; une fois le nouveau dossier approuvé, vous remettez votre fiche en ligne, et un membre d’un profil duo l’y remet après un nouveau regard de l’équipe.

Pour un profil duo, une fois les deux identités approuvées et avant sa mise en ligne, puis de nouveau quand l’un des deux dossiers est redécidé, une personne de l’équipe ouvre les deux dossiers côte à côte et dit s’il s’agit de deux personnes ; chaque ouverture est inscrite au journal de garde. Ce regard — sa conclusion, les deux décisions qu’il porte, qui l’a fait et quand — est gardé avec le duo (art. 17). Un duo dont l’équipe ne peut établir qu’il réunit deux personnes est suspendu pour fraude, et ses deux membres en sont prévenus (art. 11).

Les pièces et le selfie sont gardés tant que votre compte existe : l’équipe peut en avoir besoin pour une nouvelle vérification, pour regarder les deux dossiers d’un profil duo, ou pour une autorité (art. 18).

Votre dossier est détruit 30 jours après la fermeture de votre compte, sauf conservation pour une autorité (art. 18). Le journal de garde reste 10 ans après la fermeture, puis il est effacé ou rendu anonyme, sauf procédure en cours : il dit quand le dossier a été déposé, ouvert et décidé, par quel membre de l’équipe et pour quel motif, sans votre nom ni vos pièces.

Hors de son équipe, le site n’écrit qu’aux personnes qui ont ou ont eu un compte, qui se sont abonnées à la lettre du magazine, ou qui ont demandé à être recontactées. Ses e‑mails partent de l’adresse noreply@intimx.ch, par le service d’envoi d’Infomaniak (art. 15) ; personne ne lit cette boîte : une réponse à l’un de ces e‑mails arrive à support@intimx.ch. Un e‑mail ne dit jamais le motif d’une décision : il s’affiche dans votre espace, une fermeture par l’équipe exceptée.

Aux prestataires, les e‑mails liés à votre compte :

• « Bienvenue sur IntimX », à l’inscription, avec le lien de confirmation de votre adresse, valable 24 heures ;
• « Confirmez votre adresse e‑mail », avec un nouveau lien, valable 24 heures : quand vous vous connectez avec le bon mot de passe avant de l’avoir confirmée, ou quand vous le demandez sur la page que donnent nos e‑mails de confirmation (au plus un par heure et trois par 24 heures), quand l’équipe vous l’envoie de nouveau, ou quand elle change votre adresse à votre demande — il part alors à la nouvelle adresse ;
• « L’adresse e‑mail de votre compte IntimX a été changée », à l’adresse que vous quittez, une seule fois, quand l’équipe change à votre demande une adresse que vous aviez confirmée ; il ne dit ni la nouvelle adresse ni aucun nom ;
• « Votre adresse e‑mail a été saisie sur IntimX », si quelqu’un saisit l’adresse de votre compte pour en créer un autre ; au plus une fois par 24 heures ;
• « Choisissez un nouveau mot de passe », quand vous l’avez demandé ; le lien vaut 60 minutes ;
• « Le mot de passe de votre compte IntimX a changé » ;
• « Tentatives de connexion à votre compte IntimX », quand la connexion est bloquée après des échecs ; une fois par blocage, et au plus une fois par 24 heures ;
• les décisions sur votre identité : « Votre identité est vérifiée », « Votre dossier d’identité n’a pas été accepté », « Nous avons de nouveau besoin de vos pièces d’identité » ;
• « Votre livret pour étrangers arrive à échéance », 30 jours avant la date de fin de votre livret, si l’équipe l’a notée à votre vérification (art. 10), puis « Rappel : votre livret pour étrangers arrive à échéance », 7 jours avant ; ni l’un ni l’autre ne dit la date, et ils ne partent plus une fois votre nouveau livret déposé ; sans nouveau livret le jour de l’échéance, l’équipe vous le demande par une nouvelle vérification (« Nous avons de nouveau besoin de vos pièces d’identité ») ;
• les mesures de l’équipe : « Un avertissement concerne votre profil », « Votre profil est suspendu », « Votre profil est retiré d’IntimX », « La mesure qui visait votre profil est levée » ;
• les gestes de l’équipe sur votre contenu : « Une photo a été retirée de votre galerie », « Votre profil est retiré des listes, le temps d’une correction », « Notre équipe a corrigé votre profil », quand une correction de l’équipe a changé quelque chose ;
• pour un profil duo, chaque membre reçoit son propre e‑mail de chaque mesure et de chaque geste de l’équipe sur le duo, qui nomme « votre profil duo » : « Un avertissement concerne votre profil duo », « Votre profil duo est suspendu », « Votre profil duo est retiré d’IntimX », « La mesure qui visait votre profil duo est levée », « Une photo a été retirée de votre profil duo », « Votre profil duo est retiré des listes, le temps d’une correction », « Notre équipe a corrigé votre profil duo » ; aucun e‑mail n’annonce une mesure ou un geste sur un duo terminé ;
• quand un duo prend fin, le membre qui reste reçoit « Votre profil duo n’est plus en ligne », ou « Votre profil duo a pris fin » si le duo n’a jamais été en ligne ; jamais le membre qui part, ni quand une conservation garde l’autre membre ;
• la fermeture : « Votre compte IntimX est fermé », quand vous le fermez, avec le lien pour le réactiver pendant 14 jours ; « Votre compte IntimX est réactivé » ; « Votre compte IntimX a été fermé », quand l’équipe le ferme, sauf pour une personne qui pourrait être mineure et à la demande des autorités, où aucun e‑mail n’est envoyé ;
• « Une personne invitée a publié son profil », quand une personne que vous avez invitée publie son profil et que des jours de mise en avant vous reviennent : il vous dit jusqu’à quand les activer, sans la nommer ;
• « Nos conditions changent le … », au moins 30 jours avant l’entrée en vigueur d’une nouvelle version des CGU et de la présente politique.

Aux prestataires, trois relances liées à votre compte, chacune envoyée une seule fois au plus, et seulement après l’accord d’une personne de l’équipe, à qui un programme les propose (art. 14) :

• « Votre adresse e‑mail n’est pas encore confirmée », un jour après l’inscription, si l’adresse n’est pas encore confirmée et reste celle de l’inscription ;
• « Votre profil n’est pas encore en ligne », deux jours après l’inscription, si le profil n’est pas publié ni votre identité approuvée ;
• « Votre profil peut être publié », deux jours après l’approbation de votre identité, si le profil n’est pas publié.

Au plus un message de ce genre vous parvient par période de 7 jours. Vous pouvez vous y opposer en écrivant à privacy@intimx.ch ; l’équipe refuse alors toute relance qu’on lui propose pour vous.

Aux lecteurs de la lettre du magazine : « Confirmez votre abonnement au magazine IntimX », puis « Nouvel article : … » quand nous annonçons un article dans votre langue (art. 7).

Aux personnes qui demandent à être recontactées par e‑mail : « Confirmez votre demande de contact », puis, une fois la demande confirmée, au plus trois messages : « Votre demande de contact sur IntimX » et ses relances, « IntimX : votre inscription reste ouverte » (art. 8).

IntimX pose trois cookies, tous nécessaires au fonctionnement du site. Comme le veut l’art. 45c let. b LTC, nous vous disons ici chacun, sa finalité, et comment le refuser :

• intimx_session : le jeton de votre session de prestataire. Durée : 30 jours. HttpOnly, Secure, SameSite=Lax.
• intimx_age : votre réponse à la porte d’âge. Durée : 365 jours.
• intimx_locale : la langue choisie, posé seulement lorsque la langue lue diffère de celle de votre navigateur, ou lorsqu’il existe déjà. Effacé à la fermeture du navigateur.

Aucun cookie de mesure d’audience ou de publicité, aucun traceur, rien d’autre gardé dans votre navigateur. Les statistiques (art. 5) se calculent sur notre serveur, sans rien poser sur votre appareil.

Vous pouvez configurer votre navigateur pour refuser les cookies. Sans les deux premiers, la connexion et la confirmation de majorité ne fonctionnent pas.

Le journal du serveur web garde, pour chaque page demandée, l’adresse IP réduite à son réseau — le dernier des quatre nombres d’une adresse IPv4 effacé, et tout ce qui suit les deux premiers groupes d’une adresse IPv6 —, le navigateur et les autres en-têtes que votre navigateur envoie avec la page, sauf ses cookies et ceux qui transmettent d’ordinaire une adresse IP, l’adresse de la page sans ses paramètres (dont l’adresse d’une fiche, qui reprend le nom affiché de sa prestataire, ou le nom d’un profil duo), la date et la réponse du serveur ; jamais l’adresse IP entière, ni le port de la connexion, ni les paramètres d’une adresse (une recherche, un lien de confirmation, un code de duo), ni la page d’où vous venez. Le journal de ses erreurs n’en garde aucune. Il sert à la sécurité et au diagnostic, jamais aux statistiques. Aucune ligne n’y reste plus de 30 jours.

Le journal du système et ceux des programmes du site ne gardent ni adresse IP, ni nom, ni adresse e‑mail, ni texte rédigé par une personne ; aucune ligne n’y reste plus de 30 jours.

Le journal d’audit inscrit les gestes qui changent quelque chose sur le site — une inscription, une publication, une décision de l’équipe, un effacement planifié —, mais pas une simple visite comptée ; le journal des événements inscrit ce qui en découle. Ils nomment chaque compte, et chaque profil duo, par un identifiant technique, jamais par son nom ni son adresse, et gardent le type du geste, sa date, son issue et, pour certains, une clé tirée d’une liste fermée (un motif, une langue) ; jamais un texte libre, ni le code d’invitation d’une inscription. Ils sont gardés comme preuve de ce qui a été fait : jusqu’à 10 ans après la fermeture du compte ou la fin du profil duo qu’ils nomment — une ligne qui ne nomme ni l’un ni l’autre, 10 ans après qu’elle a été écrite —, puis effacés ou rendus anonymes, sauf procédure en cours.

Les alertes et le résumé quotidien que reçoit l’équipe ne contiennent que des nombres et des dates, jamais un nom, une adresse ou un texte.

Un programme aide l’équipe : il repère ce qui attend — une relance due, un e‑mail qui n’est pas parti — et propose un geste, qu’une personne de l’équipe approuve ou refuse. Il ne décide jamais d’une vérification d’identité, d’une mesure, d’une fermeture ni d’un texte légal ; il n’atteint jamais le coffre ; d’un profil duo, il ne lit rien — ni la fiche, ni les photos, ni les statistiques, ni qui en est membre, ni les messages qui en parlent — et n’écrit rien à son sujet ; il n’écrit jamais librement à une personne : un message ne peut venir que d’un catalogue fermé, traduit et vérifié. Ses propositions nomment le compte concerné par son identifiant technique ; cette mention est effacée 90 jours après la proposition, une fois celle-ci décidée. Il ne sait pas qui a invité qui.

Aucun modèle d’intelligence artificielle ne reçoit vos données.

Nous ne vendons ni ne louons vos données. Elles ne sont communiquées qu’aux destinataires suivants :

• Le public : la fiche que vous publiez, telle que l’art. 9 la décrit.
• L’autre membre d’un profil duo, la personne à qui vous donnez un code de duo et celle dont vous saisissez le code : ce que dit l’art. 9.
• La personne dont le lien de parrainage vous a invitée : un nombre, jamais votre nom ; et quiconque ouvre votre propre lien : votre nom affiché et votre titre, si vous l’avez choisi, jamais vos étoiles (art. 9).
• Infomaniak Network SA (Genève, Suisse), qui héberge notre serveur (base de données et fichiers) et transmet nos e‑mails, comme sous-traitant.
• WhatsApp ou Telegram, si vous demandez qu’on vous recontacte par l’un d’eux : votre numéro ou votre nom d’utilisateur, et nos messages (art. 8 et 16).
• Les autorités : la fiche telle que publiée, sur demande écrite d’une autorité suisse identifiée — jamais un profil duo, qui porte les mots et les photos d’une autre personne et ne se remet que sur ordre écrit (art. 18) ; toute autre donnée (identité, selfie, adresse e‑mail, traces de connexion, précisions des signalements), seulement sur ordre écrit (séquestre ou obligation de dépôt, art. 263 et 265 CPP). Une autorité étrangère est renvoyée à la voie de l’entraide (Office fédéral de la justice, fedpol). Le jour même, nous écrivons à l’autorité ce que nous gardons et jusqu’à quand.

Le site ne fait appel à aucun autre prestataire : ni service de cartes, ni mesure d’audience, ni publicité, ni notification. La table des pays (DB-IP Lite) et la liste officielle des localités suisses (swisstopo) sont des fichiers gardés sur notre serveur : leurs éditeurs ne reçoivent rien.

Les boutons WhatsApp et Telegram d’une fiche ne transmettent rien à ces services depuis notre serveur : votre navigateur ouvre ce service avec le numéro ou le nom que donne la fiche et un message déjà écrit ; ce que vous y faites relève de leurs propres conditions (art. 16).

Le site et ses données sont hébergés en Suisse, chez Infomaniak Network SA ; les copies de sauvegarde sont gardées sur ce serveur et sur un serveur de l’Éditeur, en Suisse. Nous ne confions vos données à aucun prestataire hors de Suisse. Certaines données quittent toutefois la Suisse :

• un e‑mail que nous vous envoyons est remis au fournisseur de votre boîte, dans le pays où il se trouve ; cette remise sert directement le service que vous avez demandé (art. 17 al. 1 let. b LPD) ;
• si vous demandez qu’on vous recontacte par WhatsApp ou Telegram, nos messages passent par ces services : WhatsApp les traite notamment aux États-Unis, chez des entreprises certifiées dont la Suisse reconnaît la protection (annexe 1 de l’ordonnance sur la protection des données) ; Telegram, aux Pays-Bas pour un compte ouvert depuis l’Espace économique européen ou le Royaume-Uni, et, pour un compte ouvert ailleurs, dans des pays qu’il ne nomme pas ; vous avez choisi ce moyen après avoir lu, sous ce choix, que ces services traitent vos messages hors de Suisse, où la protection des données n’est pas toujours celle de la Suisse (art. 17 al. 1 let. a LPD) ;
• un bouton WhatsApp ou Telegram d’une fiche ouvre ces services depuis votre navigateur ; leurs serveurs sont hors de Suisse, et ce que vous y faites relève de leurs conditions.

Une fiche publiée se lit depuis tout pays, et les moteurs de recherche peuvent la copier : la loi ne tient pas cette publication pour une communication à l’étranger (art. 18 LPD).

Compte ouvert : vos données sont gardées tant que votre compte existe, sous réserve des durées ci-dessous. Un compte dont l’adresse e‑mail n’a jamais été confirmée est fermé et effacé 30 jours après l’inscription : ce que la fermeture par l’équipe efface aussitôt et ce qui est détruit 30 jours après une fermeture (voir ci-dessous) l’est en une fois, et il en reste ce qui reste d’un compte fermé. Aucun e‑mail ne l’annonce, et la même adresse peut servir à une nouvelle inscription. Un compte dont l’adresse a été confirmée une fois n’est jamais effacé ainsi, même si l’équipe la change ensuite à votre demande.

Fermeture par vous-même : votre fiche et vos profils duo quittent le site aussitôt, et vos sessions sont fermées ; rien n’est effacé pendant 14 jours, et vous pouvez revenir par le lien de l’e‑mail « Votre compte IntimX est fermé », ou en vous connectant, la connexion vous le proposant. Au bout de 14 jours, le contenu de votre fiche (tout ce que vous y avez écrit et choisi, vos pays masqués), vos photos et vos statistiques sont effacés ; vos profils duo prennent fin et sont effacés aussitôt, avec ce que l’autre membre y a écrit et ajouté.

Fermeture par l’équipe : le contenu de la fiche, les photos et les statistiques sont effacés aussitôt, sans délai de grâce ; les profils duo du compte prennent fin et sont effacés de même.

30 jours après la fermeture : votre adresse e‑mail, votre mot de passe, votre dossier d’identité (champs, pièces, selfie, code et, le cas échéant, la date de fin de votre livret pour étrangers), les précisions écrites pour vous par l’équipe, la liste des e‑mails que nous vous avons envoyés, les précisions des signalements qui visaient votre fiche, la trace des contrôles de qualité que l’équipe a faits sur votre fiche et celle d’un blocage de la connexion sont détruits ; votre nom affiché devient « Compte fermé ».

Ce qui reste ensuite, sans votre adresse e‑mail, est gardé 10 ans après la fermeture — la durée générale de la prescription —, puis effacé ou rendu anonyme, sauf procédure en cours : l’identifiant technique du compte, ses dates et, le cas échéant, son code de parrainage, jamais donné à une autre personne ; l’adresse de votre page, tirée de votre nom affiché ou choisie avant sa première publication (art. 9), réservée pendant ce temps afin qu’aucun autre profil ne la reprenne ; la date de première publication ; les signalements reçus, sans leurs précisions, et les mesures prises, avec les dates de leurs maintiens ; la trace d’un contrôle de qualité qui portait aussi sur la fiche d’un autre compte, quand elle est inscrite au nom de ce compte ; le journal de garde de la vérification d’identité ; la preuve de votre acceptation, avec son empreinte d’adresse IP ; les lignes des journaux d’audit et des événements.

Pendant une conservation pour une autorité, le site efface comme d’habitude ce qu’il montrait ; seuls ce que garde la conservation et le dossier d’identité au coffre attendent sa fin (art. 18).

Durées particulières :

• Sessions : une session expire après 30 jours ; sa trace (dates et empreinte de l’adresse IP) est effacée 30 jours après son expiration ou sa fermeture.
• Adresse que votre compte quitte quand l’équipe la change à votre demande : effacée dès que l’e‑mail qui la prévient du changement est parti, et au plus tard 7 jours après le changement ; elle ne sert qu’à cet e‑mail.
• Statistiques des fiches : les empreintes du jour (visites, demandes de contact, ouvertures, partages), jusqu’à la fin de leur journée ; les totaux du jour, 90 jours.
• Statistiques du site : l’empreinte du jour, 2 jours ; le nom d’un site d’origine d’où moins de cinq visiteurs sont venus dans la journée, jusqu’à la fin de cette journée ; les totaux et les autres noms, 25 mois.
• Signalements : l’empreinte de la connexion, 30 jours ; les précisions, tant que le compte signalé existe, puis 30 jours après sa fermeture — pour un profil duo, 30 jours après sa fin ; le signalement lui-même, 10 ans après la fermeture du compte signalé ou la fin du profil duo, puis effacé ou rendu anonyme.
• Plafonds par connexion (inscriptions, connexions refusées, liens de mot de passe, demandes d’un nouveau lien de confirmation, demandes de contact, demandes de la lettre, codes de duo saisis, ceux-ci comptés aussi par compte, codes d’invitation qui ne mènent à personne) : 2 jours. Demande de rappel : 24 heures.
• Lettre du magazine : une adresse jamais confirmée, 7 jours ; les empreintes de la demande et de la confirmation, avec l’adresse ; après un désabonnement, une empreinte à clé de l’adresse e‑mail, 24 mois.
• Demandes de rappel par e‑mail jamais confirmées : 7 jours. Demandes et contacts du recrutement : 90 jours après le dernier échange, l’inscription ou le refus (art. 8).
• Propositions du programme qui assiste l’équipe : l’identifiant du compte, 90 jours après la proposition décidée.
• Parrainage : une invitation qui n’a jamais compté, 12 mois après l’inscription ; le lien entre deux comptes, avec le compte de la personne qui parraine, ou avec celui de la personne invitée, qui ne reste alors qu’un nombre pour l’autre si elle avait compté ; les jours et les mises en avant, avec le compte ; les ouvertures des liens, 25 mois, comme les statistiques du site.
• Profil duo : il prend fin quand un membre le quitte, ou quand le compte d’un membre est fermé pour de bon. Il est effacé 14 jours après sa fin — ses textes, ses photos et leurs fichiers, ses statistiques, les motifs des photos que l’équipe en a retirées —, aussitôt s’il n’a jamais été lié ou à la fermeture définitive du compte d’un membre. 30 jours après sa fin partent son nom, les précisions de ses signalements, celles que l’équipe a écrites avec ses mesures et les « Regardé » rangés sous lui ; et aussi qui en était membre et le regard de l’équipe sur les deux dossiers (sa conclusion, les deux décisions regardées, qui et quand), sauf tant qu’une suspension ou un retrait pèse sur le duo, qu’un signalement pour une personne mineure le vise ou qu’un signalement sur lui reste ouvert, jamais au-delà de la purge des deux comptes ; les e‑mails qui en ont parlé à ses membres oublient alors le duo. Une demande pour rejoindre un duo qui n’a pas abouti part 30 jours après sa fin. L’audit garde les gestes de chaque membre, comme pour tout compte ; la ligne du duo — son adresse, son état, ses dates —, ses signalements et les mesures de l’équipe restent au dossier, comme pour un profil dont le compte est fermé.
• Journal du serveur web et journal du système : 30 jours au plus.
• Journal des acceptations, journal de garde de la vérification d’identité, journal d’audit et journal des événements : comme preuve, jusqu’à 10 ans après la fermeture du compte ou la fin du profil duo qu’ils nomment — une ligne qui ne nomme ni l’un ni l’autre, 10 ans après qu’elle a été écrite —, puis effacés ou rendus anonymes, sauf procédure en cours.

Sauvegardes : chaque nuit, la base de données et les fichiers (photos et pièces chiffrées) sont sauvegardés. Une donnée effacée du site reste dans les sauvegardes jusqu’à 14 jours pour la base de données, et jusqu’à 21 jours pour les photos et les pièces ; la copie gardée hors du serveur, chiffrée en entier, suit les mêmes durées. Les pièces et les champs d’identité y restent chiffrés.

Dans trois cas, une copie de ce qu’un compte contient est mise à part avant tout effacement : quand l’équipe ferme un compte parce que la personne pourrait être mineure ; quand elle le ferme à la demande des autorités ; et quand une autorité pénale suisse, dont la demande a été vérifiée, demande de garder les données d’un compte, qui reste alors ouvert.

Cette copie contient : la fiche telle qu’elle était, avec ses dates et l’adresse de sa page ; les originaux des photos, retirés de la galerie ; l’adresse e‑mail et les dates du compte ; le dossier d’identité — ses pièces et le selfie y sont copiés, et ses champs et son code restent dans le coffre sans être détruits ; les dates et les empreintes d’adresse IP des sessions du compte ; les signalements qui visaient la fiche (leur motif, leurs précisions, leur date et leur suite, jamais qui les a faits) ; qui a invité la personne sur IntimX, et qui elle y a invité, avec les dates de ces invitations. Rien d’autre qui concerne une autre personne que ces invitations et ce que garde l’alinéa suivant.

Une conservation qui vise un compte garde aussi chaque profil duo dont ce compte est ou a été membre — son contenu, ses signalements et une copie de ses photos, celles que l’autre membre y a ajoutées comprises, et d’un duo déjà effacé ce que la base en tient encore, sa ligne et ses signalements —, sans que l’autre membre le sache ; un duo n’est jamais remis avec le profil tel que publié, seulement sur ordre écrit.

Elle est chiffrée sous une clé à elle. Seul un administrateur de l’équipe peut l’ouvrir, et chaque ouverture est inscrite à l’avance dans un journal de garde. Aucun programme automatique et aucun modèle d’intelligence artificielle n’y accède.

Elle est gardée 90 jours. Sur demande écrite de l’autorité, elle peut être prolongée une fois de 90 jours ; au-delà, seulement pendant un séquestre ou une obligation de dépôt ordonnés par écrit. Elle est détruite automatiquement à son échéance, ou plus tôt si l’autorité confirme par écrit qu’elle n’en a plus besoin ; les effacements ordinaires reprennent alors. Sa remise suit l’art. 15.

Une image qui pourrait relever de l’art. 197 CP n’est ni ouverte ni remise par nos outils : elle est retirée du site, signalée à la police, et détruite 30 jours après ce signalement, avec ses copies.

Pendant une conservation, le site efface comme d’habitude ce qu’il montrait ; seuls la copie et le dossier d’identité gardé au coffre attendent sa fin. Quand l’équipe ferme un compte pour une possible minorité ou à la demande des autorités, aucun e‑mail n’est envoyé à la personne, ni à l’autre membre d’un de ses profils duo, et le motif de la fermeture n’est écrit que dans la conservation, détruit avec elle.

IntimX met en œuvre notamment les mesures suivantes :

• Séparation : une base de données PostgreSQL en quatre schémas (application, coffre, système, équipe) et cinq rôles à mots de passe distincts — un par programme (le site, l’envoi des e‑mails et les tâches planifiées, le programme qui assiste l’équipe), un pour la console de l’équipe, un pour les changements de structure. Chaque rôle refuse le mot de passe d’un autre.
• Coffre : votre adresse e‑mail, votre mot de passe haché et votre dossier d’identité sont dans un schéma à part ; l’adresse que votre compte vient de quitter y attend, le temps de l’e‑mail qui la prévient du changement (art. 17). Le programme qui assiste l’équipe n’y a aucun accès. Le programme d’envoi des e‑mails n’y lit, par des portes étroites, que l’adresse d’un compte au moment d’envoyer, ou cette adresse quittée, qu’il oublie dès que l’e‑mail est parti, et quels comptes attendent le rappel de la date de fin de leur livret pour étrangers, sans cette date ; il n’y efface les autres données qu’à leur échéance, sans jamais détenir la clé de chiffrement.
• Chiffrement au repos : vos prénom, nom et date de naissance, le code du selfie et les pièces d’identité sont chiffrés (AES-256-GCM), avec une clé gardée hors de la base de données et hors des sauvegardes.
• Mots de passe hachés avec Argon2id ; jetons de session gardés sous forme de hachage SHA-256 ; empreintes d’adresses IP et des codes d’invitation d’un duo calculées avec une clé secrète (HMAC-SHA-256), que seul le site détient, gardée elle aussi hors des sauvegardes de la base.
• Transport : HTTPS obligatoire, en TLS 1.3 seulement ; cookies Secure.
• Requêtes : l’origine de toute requête qui modifie quelque chose est contrôlée ; cookies SameSite.
• Accès aux lignes : chaque table de données de personnes, dans les schémas application et coffre, impose la sécurité au niveau des lignes de PostgreSQL, y compris au rôle propriétaire. Le site n’écrit dans le journal d’audit, le journal des événements et la file des envois que par des portes étroites, et n’y lit rien.
• Verrouillage : après 10 échecs de connexion, 15 minutes de blocage ; au-delà de 30 essais refusés en une heure depuis une même connexion, celle-ci est freinée ; une même connexion ne peut demander que 20 contacts par heure et 60 par jour (art. 4).
• Journaux : le journal d’audit, le journal des acceptations et le journal de garde ne s’écrivent qu’en ajout. Hors du journal du serveur web (art. 13), aucun journal ni aucune alerte ne contient de nom, d’adresse e‑mail ou de texte rédigé par une personne.
• Console de l’équipe : jamais accessible depuis Internet, seulement par un tunnel chiffré ; on y entre avec une clé d’accès ou un code de secours imprimé, jamais avec un mot de passe ; une pièce d’identité ou une conservation ne s’y ouvre qu’après une nouvelle confirmation faite avec la clé d’un ordinateur ou une clé de sécurité.
• Sauvegardes : chaque nuit, chiffrées puis copiées hors du serveur, sur un serveur de l’Éditeur en Suisse où notre serveur peut ajouter une copie mais jamais en effacer ; la clé qui les déchiffre est gardée hors ligne, ni sur notre serveur ni sur celui de l’Éditeur, et ni la clé de chiffrement du coffre ni la clé des empreintes n’y figurent.
• Violations : nous tenons un registre des violations de la sécurité des données, et nous les annonçons au PFPDT, et aux personnes concernées, lorsque la loi l’exige (art. 24 LPD).

Selon la LPD (art. 25 à 29 et 32), vous pouvez :

• demander l’accès à vos données personnelles et en obtenir une copie, gratuitement ;
• faire rectifier des données inexactes. Votre profil se corrige dans votre espace ; un profil duo aussi, par chaque membre, l’autre membre acceptant chaque modification. Une adresse e‑mail mal tapée à l’inscription ne se corrige pas : le lien de confirmation est parti à l’adresse tapée, et l’on n’entre dans son espace qu’après l’avoir ouvert ; vous créez alors un nouveau compte avec la bonne adresse. Une adresse confirmée est changée par l’équipe, à votre demande, sur l’une de ces deux preuves : une demande écrite envoyée depuis cette adresse à privacy@intimx.ch ; ou, si vous n’avez plus accès à cette boîte, un nouveau dossier d’identité, que l’équipe vous demande de déposer et qu’elle a approuvé depuis moins de 30 jours (votre fiche et vos profils duo quittent le site jusqu’à cette approbation, puis vous les remettez en ligne ; art. 10). Un lien de confirmation part alors à la nouvelle adresse, et vos sessions ouvertes sont fermées : vous vous reconnectez une fois la nouvelle adresse confirmée. L’adresse quittée reçoit un e‑mail qui dit le changement, sans la nouvelle adresse ; elle n’est gardée que pour cet e‑mail (art. 17) ;
• demander l’effacement de vos données : vous fermez vous-même votre compte depuis votre espace (art. 17) ; vous y quittez aussi un profil duo, qui est alors effacé au plus tard 14 jours après sa fin (art. 17) ; pour la lettre du magazine ou une demande de rappel, le lien de chaque message suffit ;
• recevoir vos données dans un format structuré, ou les faire transmettre à un autre responsable (art. 21) ;
• vous opposer à un traitement fondé sur notre intérêt prépondérant, dont les relances (art. 11) ;
• retirer votre consentement à tout moment, sans effet sur ce qui a été fait avant.

Certaines données sont gardées malgré une demande d’effacement, pour les durées de l’art. 17 : les preuves (votre acceptation, journal de garde, journaux d’audit et des événements), les sauvegardes jusqu’à leur échéance, et ce qu’une conservation pour une autorité garde (art. 18).

Sur demande, nous vous indiquons aussi quand votre dossier d’identité a été déposé, ouvert et décidé, d’après le journal de garde.

Nous pouvons refuser, restreindre ou différer une réponse dans les cas que prévoit la loi (art. 26 LPD), par exemple pour protéger un tiers ; nous vous en donnons alors le motif.

Pour exercer vos droits, écrivez à privacy@intimx.ch, depuis l’adresse de votre compte si vous en avez un. Nous répondons dans les 30 jours ; si votre demande demande plus de temps, nous vous le disons avant la fin de ce délai, avec le délai prévu.

Vous pouvez signaler un traitement au Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne, Suisse (edoeb.admin.ch), qui peut ouvrir une enquête (art. 49 LPD) ; un litige se porte devant les tribunaux civils (art. 32 LPD).

Depuis votre espace, page « Compte », vous téléchargez vos données en un fichier (format JSON structuré) :

• votre compte : nom affiché, adresse e‑mail, langue, dates d’inscription et de confirmation ;
• votre acceptation des textes : les versions des CGU et de la présente politique, celle-ci déclarée lue, et leurs dates ;
• vos connexions : les dates de chaque session ;
• votre profil, avec vos infos pratiques, vos pays masqués et l’option des moteurs de recherche ;
• la liste de vos photos, et celles que l’équipe a retirées depuis votre dernier ajout, avec leur motif ; vos photos elles-mêmes vous sont remises sur demande à privacy@intimx.ch ;
• la liste des e‑mails que nous vous avons envoyés (type et dates) ;
• les totaux quotidiens des statistiques de votre fiche, sur 90 jours ;
• les décisions de modération qui vous concernent, avec leur motif, la précision de l’équipe et les dates auxquelles l’équipe a décidé de les maintenir ;
• le parrainage : votre code de parrainage, le nombre de personnes invitées qui ont publié leur profil et comptent pour vous, et votre propre invitation (ses dates et, tant que le compte de la personne dont vient votre lien existe, son code ; jamais le nom ni le compte de cette personne) ; vos jours de mise en avant et vos mises en avant ;
• votre dossier d’identité : son état, la décision, son motif et sa précision, vos prénom, nom et date de naissance, le cas échéant la date de fin de votre livret pour étrangers et l’état du nouveau livret que vous avez déposé (en examen ou refusé, avec son motif et sa précision), et la liste des pièces déposées. Les pièces elles-mêmes vous sont remises sur demande à privacy@intimx.ch.
• les profils duo dont vous faites ou avez fait partie, jusqu’à leur effacement : ce qu’ils disent et leurs dates, si vous les avez créés, vos réglages (votre accord à leur mise en ligne, vos pays masqués, l’option des moteurs de recherche, vos dates d’arrivée et de départ), la liste des photos que vous y avez ajoutées, les photos que l’équipe en a retirées (leur motif et leur date, quel que soit le membre qui les avait ajoutées), les totaux quotidiens de leurs statistiques, et leurs décisions de modération, avec leur motif, la précision de l’équipe et les dates de leurs maintiens ;
• un profil duo déjà effacé, pendant les 30 jours qui suivent sa fin, et au-delà tant qu’une suspension ou un retrait de l’équipe vous lie à lui : que vous en étiez membre (si vous l’avez créé, vos dates d’arrivée et de départ), sa fin, son effacement et ses décisions de modération.

Jamais les données de l’autre membre d’un duo, ni l’union de vos pays masqués.

IntimX est réservé aux personnes majeures (18 ans révolus). Une confirmation d’âge est demandée au premier accès, et la vérification d’identité refuse toute personne de moins de 18 ans. Les photos pornographiques sont interdites (CGU, art. 8).

IntimX ne collecte pas sciemment de données de personnes mineures. Si nous apprenons qu’une personne mineure a ouvert un compte, l’équipe le ferme aussitôt : sa fiche, ses photos et ses profils duo quittent le site et en sont effacés, une copie est gardée pour les autorités selon l’art. 18, et aucun e‑mail n’est envoyé, pas même à l’autre membre d’un de ses profils duo.

Tout signalement qui concerne une personne mineure est traité en priorité absolue : l’équipe en est avertie aussitôt. En cas d’urgence, écrivez aussi à legal@intimx.ch.

L’Éditeur peut modifier la présente politique. Une modification importante est annoncée par e‑mail aux titulaires d’un compte ouvert, au moins 30 jours avant son entrée en vigueur. La date de la version en vigueur est indiquée en tête du document. Les versions antérieures sont disponibles sur demande à support@intimx.ch.

Pour toute question sur la protection de vos données :

Responsable du traitement : N.JULIEN Contact : privacy@intimx.ch

Pour les questions générales : support@intimx.ch Pour les signalements urgents (personne mineure, traite) et les autorités : legal@intimx.ch

Autorité de surveillance : Préposé fédéral à la protection des données et à la transparence (PFPDT) Feldeggweg 1, 3003 Berne, Suisse edoeb.admin.ch