Informativa sulla privacy

• Il titolare: N.JULIEN, a Sion (VS), che gestisce IntimX con il nome Artenic. Per i suoi dati: privacy@intimx.ch (art. 2 e 24).
• Se consulta il sito: né account, né cookie di misurazione, né tracker. Il registro del server conserva del suo indirizzo IP solo la rete, con le ultime cifre cancellate, per al massimo 30 giorni; il sito ne ricava, in memoria, il suo Paese e delle impronte con chiave per contare le visite, che trattiamo come dati personali (art. 4, 5 e 13).
• Se pubblica un profilo: il suo account, la sua scheda e le sue foto, la sua pratica d’identità, conservata a parte e cifrata, e le decisioni del team; questi dati toccano la sua vita intima (art. 9 e 10).
• Ciò che è pubblico: la scheda che pubblica; mai la sua identità né i suoi Paesi nascosti (art. 9).
• A chi sono comunicati: al pubblico per la scheda, a Infomaniak, che ospita il sito, alle autorità su ordine scritto, e agli altri destinatari indicati all’art. 15; mai venduti né affittati.
• Dove: il sito e i suoi backup sono in Svizzera; un’e‑mail parte verso il gestore della sua casella di posta, ovunque si trovi, e WhatsApp o Telegram, se li sceglie, sono fuori dalla Svizzera (art. 16).
• Per quanto tempo: ogni durata, dato per dato, backup compresi (art. 17).
• I suoi diritti: accesso, copia, rettifica, cancellazione, esportazione, opposizione, a privacy@intimx.ch; una risposta entro 30 giorni (art. 20 e 21).

La presente informativa descrive quali dati personali IntimX tratta, per quali finalità, su quali basi, per quanto tempo li conserva, a chi li comunica, e quali sono i suoi diritti, quando utilizza il sito intimx.ch.

Si applica a chiunque consulti il sito (visitatori), vi pubblichi un profilo, solo o duo (prestatori), chieda di essere ricontattato dalla pagina «Offre i suoi servizi?», o si iscriva alla newsletter della rivista, nonché alle persone del settore di cui conserviamo i recapiti per il reclutamento (art. 8). I termini definiti nelle condizioni generali d’uso (CGU) si applicano per rinvio.

IntimX è un servizio per la Svizzera: ogni profilo presenta servizi offerti in Svizzera, da una località svizzera, e IntimX non si rivolge con alcuna pubblicità a un pubblico al di fuori della Svizzera.

Il titolare del trattamento (art. 5 lett. j LPD) è:

N.JULIEN Sion (VS), Svizzera Nome commerciale: Artenic

Contatto per la protezione dei dati: privacy@intimx.ch. L’indirizzo postale completo è comunicato senza indugio su ogni richiesta scritta inviata a legal@intimx.ch.

L’Editore non ha designato un consulente per la protezione dei dati (art. 10 LPD): questa designazione non è obbligatoria. Per qualsiasi domanda sui suoi dati, scriva direttamente a privacy@intimx.ch.

Trattiamo i suoi dati per le finalità seguenti, ciascuna sulla base indicata (art. 31 LPD):

• Fornire il servizio descritto dalle CGU: creare e gestire l’account di un prestatore, pubblicarne la scheda, collegare due account in un profilo duo quando entrambi i membri lo vogliono, mostrare i suoi recapiti al visitatore che li richiede, mostrare al prestatore l’audience della sua scheda, tenere il conto delle persone che invita con il suo link e gestire il programma ambasciatori (CGU art. 9 bis), inviargli le e‑mail legate al suo account e consegnargli i suoi dati. Base: il contratto (le CGU).
• Verificare l’età e l’identità di ogni prestatore prima di qualsiasi pubblicazione — e, per un prestatore il cui documento d’identità è quello di uno Stato al di fuori dell’Unione europea e dell’AELS, il suo libretto per stranieri e la sua validità, fino alla sua data di scadenza —, e, prima della messa online di un profilo duo, che i suoi due membri siano due persone. Base: il contratto, che ne fa una condizione di pubblicazione, e il nostro interesse preponderante a non pubblicare mai una persona minorenne né una persona iscritta da un terzo (in particolare art. 182, 195 e 196 CP), né una persona che il diritto degli stranieri non autorizza a esercitare in Svizzera (art. 11 e 116 LStrI).
• Proteggere il sito e le persone: bloccare l’accesso dopo dei tentativi falliti, limitare per connessione le iscrizioni, gli accessi rifiutati, i link per una nuova password, le richieste di un nuovo link di conferma, le richieste di contatto, le richieste della newsletter, le richieste di ricontatto, le segnalazioni e i codici di duo digitati; trattare le segnalazioni e moderare, il che comprende individuare le schede senza località, quelle le cui prestazioni non corrispondono alla categoria, e le foto o i recapiti che una scheda condivide con un altro account; tenere i registri e i backup. Base: il nostro interesse preponderante.
• Contare l’audience di ogni scheda, e nascondere una scheda nei Paesi scelti dal suo prestatore, a partire dall’indirizzo IP del visitatore (art. 4 e 5). Base: il nostro interesse preponderante, e quello del prestatore alla propria discrezione.
• Misurare l’audience dell’intero sito, in totali, e le aperture dei link d’invito, per giorno e per canale (art. 5). Base: il nostro interesse preponderante.
• Proporre ai prestatori iscritti tre solleciti legati al loro account (art. 11). Base: il nostro interesse preponderante; può opporvisi in qualsiasi momento.
• Inviare la newsletter della rivista, e rispondere alle persone che chiedono di essere ricontattate. Base: il suo consenso, che può revocare in qualsiasi momento, senza effetto su ciò che è stato fatto prima.
• Provare la sua accettazione delle CGU, e che ha dichiarato di aver letto la presente informativa, con le loro versioni. Base: il nostro interesse preponderante.
• Conservare per un’autorità, per un tempo limitato, i dati di un account nei casi dell’art. 18. Base: il nostro interesse preponderante; consegnarli su ordine scritto di un’autorità (art. 263 e 265 CPP): un obbligo legale.
• Notificare all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) una violazione della sicurezza dei dati, quando la legge lo esige (art. 24 LPD): un obbligo legale.

I dati di un prestatore toccano la sua sfera intima, che la legge annovera tra i dati personali degni di particolare protezione (art. 5 lett. c LPD): li comunichiamo a un terzo solo nei casi indicati all’art. 15.

Consulta il sito senza account: non le chiediamo né nome né indirizzo e‑mail. Non esistono né account per i visitatori, né recensioni, né preferiti.

Il controllo dell’età: al suo primo accesso, il sito le chiede di confermare di essere maggiorenne; la sua risposta è conservata nel suo browser da un cookie (art. 12).

Il suo indirizzo IP: come per qualsiasi sito, il suo browser lo trasmette al nostro server a ogni pagina. Il sito non lo registra mai per intero: il registro del server web ne conserva solo la rete, con le ultime cifre cancellate, per al massimo 30 giorni (art. 13). Il sito ne ricava, in memoria, il suo Paese, e, a seconda dell’uso, un’impronta calcolata con una chiave segreta del server (HMAC-SHA-256). Senza questa chiave, nessuno può risalire a un indirizzo IP a partire da un’impronta. Con essa, lo si potrebbe fare, provando tutti gli indirizzi possibili: la chiave resta sul nostro server, la sua copia di riserva è conservata a parte, mai con i backup della banca dati, e trattiamo queste impronte come dati personali, cancellate secondo le durate dell’art. 17.

Il suo Paese: un prestatore può nascondere la sua scheda ai visitatori di determinati Paesi. Per rispettare questa scelta, il server deduce il Paese della sua connessione dal suo indirizzo IP, grazie a una tabella dei Paesi (DB-IP Lite) conservata sul nostro server. Questo calcolo avviene in memoria, il tempo di servire la pagina: né l’indirizzo né il Paese sono registrati con la sua visita; il Paese entra solo in un totale giornaliero delle statistiche del sito (art. 5). Una scheda nascosta nel suo Paese le risponde come una pagina inesistente. Una VPN cambia il Paese dedotto.

Il recapito di una scheda: il numero o il nome Telegram che la scheda indica compare solo dopo che lei lo ha richiesto, e questa richiesta è contata per la scheda (art. 5). Una stessa connessione può richiedere solo 20 contatti all’ora e 60 al giorno: oltre, il pulsante le chiede di attendere. Per rispettare questo limite, come gli altri limiti, il server conserva un’impronta con chiave della connessione, cancellata dopo 2 giorni (art. 17), che non dice di quali schede ha richiesto il recapito; vale anche se il suo browser invia il segnale Global Privacy Control: è una protezione, non una statistica. I pulsanti WhatsApp e Telegram aprono questi servizi con quel numero o quel nome e un messaggio già scritto, senza dire loro da quale pagina proviene; ciò che vi fa è soggetto alle loro condizioni (art. 16). Una chiamata avviene fuori dal sito.

La condivisione di una scheda con il suo pulsante è contata per la scheda, nient’altro. L’anteprima di un link condiviso mostra l’immagine di IntimX, mai la foto di una persona.

Al di fuori del registro del server web, il sito non conserva nulla che colleghi le sue visite da un giorno all’altro o da una scheda all’altra.

Statistiche delle schede. Per ogni scheda, il sito conta, per giorno (calendario di Zurigo): le visite, le richieste di contatto (numero, WhatsApp, Telegram), le aperture di WhatsApp e di Telegram, e le condivisioni. Per una visita, annota anche da dove proviene, in una lista chiusa (motore di ricerca, altro sito, link diretto, pagina iniziale, ricerca del sito, altra scheda, rivista, altra pagina del sito, o un elenco del sito per servizio, categoria e luogo), e in quale lingua veniva letto il sito; mai l’indirizzo della pagina di origine né le parole cercate.

Una connessione conta una sola volta al giorno, per scheda e per misurazione. Per questo, il server calcola un’impronta della connessione con una chiave segreta, specifica per il giorno, la scheda e la misurazione; un indirizzo IPv6 conta per la sua rete (/64). Questa impronta cambia ogni giorno, non si collega né a un’altra scheda né a un altro giorno, e si cancella alla fine della sua giornata. Non viene calcolata se il suo browser invia il segnale Global Privacy Control: ciò che fa sulla scheda non viene allora contato. Restano solo i totali giornalieri, per 90 giorni.

Non contano: il prestatore stesso quando la sua sessione è aperta — su un profilo duo, i suoi due membri —, i robot che il sito riconosce, e le pagine che il browser carica in anticipo. Più persone dietro una stessa connessione contano come una. Le cifre sono quindi delle stime.

Il prestatore vede solo questi totali, mai chi ha visitato la sua scheda. Sono cancellati con la sua scheda alla chiusura definitiva del suo account, e figurano nell’esportazione dei suoi dati (art. 21). Quelli di un profilo duo sono contati per il duo: i suoi due membri li leggono, sono cancellati con esso (art. 17) e figurano nell’esportazione di ciascun membro (art. 21).

Statistiche del sito. Il sito conta da sé le sue pagine viste, senza cookie di misurazione, senza script e senza servizi di terzi. Ogni pagina del sito aperta da una persona (né un robot che il sito riconosce, né una pagina che il browser carica in anticipo) aggiunge uno ai totali del giorno, ciascuno a parte: per tipo di pagina, per lingua, per provenienza (motore di ricerca, altro sito, link diretto, o una pagina del sito), per Paese (dedotto dall’indirizzo IP, in memoria; si conserva solo il totale per Paese) e per tipo di dispositivo (telefono, tablet o computer, dedotto dal nome del browser, che non viene conservato). Le pagine dell’area dei prestatori non sono contate. Il sito conta anche quante volte il controllo dell’età viene mostrato e confermato. L’apertura di un link d’invito, dall’esterno del sito, è contata per giorno e per canale (WhatsApp, Telegram, condivisione, copia, o un link senza canale), senza il codice né nulla che designi una persona. Un clic sul riquadro «Pubblichi il suo profilo» di un elenco è contato allo stesso modo, per giorno, senza il luogo né la categoria dell’elenco.

Per contare i visitatori del giorno, ciascuno una volta, il server calcola un’impronta della connessione con una chiave segreta, la stessa per tutte le pagine di una giornata; un indirizzo IPv6 conta per la sua rete (/64). Cambia ogni giorno, non serve a nessun’altra misurazione, e si cancella dopo 2 giorni. Non viene calcolata se il suo browser invia il segnale Global Privacy Control: le sue pagine vengono allora contate senza di essa. Con questa impronta, il sito annota anche, una volta per visitatore e per giorno, il nome del sito da cui arriva, senza l’indirizzo della sua pagina; senza impronta, non lo annota. Il nome di un sito da cui sono arrivati meno di cinque visitatori nella giornata non viene mai mostrato, e si cancella una volta trascorsa la giornata.

Ogni totale si legge da solo, senza incroci. Restano solo questi totali e i nomi dei siti di origine di almeno cinque visitatori al giorno, per 25 mesi, sul nostro server. Nessun dato è trasmesso a terzi.

Chiunque può segnalare una scheda dalla sua pagina, senza account: sceglie un motivo in una lista chiusa (profilo falso o foto rubate, persona minorenne, recapiti o contenuti vietati, attività illegale, altro) e può aggiungere delle precisazioni, al massimo 1000 caratteri. Una segnalazione fatta da un prestatore che ha effettuato l’accesso è ricevuta come quella di un visitatore: non nomina mai il suo autore.

Una stessa connessione segnala una scheda solo una volta al giorno; dopo questa prima segnalazione, può farne ancora due lo stesso giorno per una persona minorenne o un’attività illegale, o con parole che evocano una persona minorenne o la tratta. Per tenere questo conto, il server conserva un’impronta con chiave della connessione, specifica per il giorno e la scheda, cancellata dopo 30 giorni.

Una segnalazione per una persona minorenne o un’attività illegale, o le cui parole evocano una persona minorenne o la tratta (un filtro di parole le individua), è annunciata subito al team, con un avviso che non contiene né nomi né testi. Il filtro non decide nulla: una persona del team esamina ogni segnalazione.

Le precisazioni di una segnalazione sono lette solo dal team, nel fascicolo della scheda segnalata; non figurano in alcun avviso né in alcun riepilogo. Il sito non mostra mai una segnalazione alla persona segnalata né, per un profilo duo, ai suoi membri; una richiesta d’accesso è esaminata secondo l’art. 26 LPD, e non fornisce mai ciò che permetterebbe di riconoscerne l’autore. Le precisazioni sono conservate finché l’account segnalato esiste, e cancellate 30 giorni dopo la sua chiusura — quelle che riguardano un profilo duo, 30 giorni dopo la fine del duo; la segnalazione stessa (il suo motivo, la sua data, il tipo di parole che il filtro vi ha individuato e il seguito dato dal team) è conservata per 10 anni dopo la chiusura dell’account segnalato, o dopo la fine del profilo duo che riguarda, poi cancellata o resa anonima, salvo procedimento in corso.

Se si iscrive alla newsletter della rivista, conserviamo il suo indirizzo e‑mail, la lingua scelta e le date della sua richiesta, della sua conferma e, se del caso, della sua disiscrizione; come prova della sua iscrizione, un’impronta con chiave dell’indirizzo IP della sua richiesta e di quello della sua conferma, mai l’indirizzo IP in chiaro. Nulla le viene inviato prima che abbia cliccato sul link dell’e‑mail di conferma; in seguito, un’e‑mail quando annunciamo un nuovo articolo nella sua lingua, e nient’altro. Ogni invio contiene un link per disiscriversi con un clic.

Un indirizzo mai confermato è cancellato 7 giorni dopo l’ultima richiesta, con le impronte di tale richiesta. Quando si disiscrive, il suo indirizzo e le impronte della sua iscrizione vengono cancellati: conserviamo solo un’impronta del suo indirizzo e‑mail, calcolata con una chiave segreta, con la lingua e le date, per 24 mesi, per non scriverle più. Inserito di nuovo, un indirizzo disiscritto non riceve più di un’e‑mail di conferma alla settimana, e nient’altro senza un clic.

Una stessa connessione può richiedere la newsletter solo cinque volte al giorno; la traccia di queste richieste (un’impronta con chiave della connessione) è cancellata dopo 2 giorni.

Base: il suo consenso, che revoca disiscrivendosi.

Nella pagina «Offre i suoi servizi?», il modulo «Una domanda? Le rispondiamo» le permette di chiedere che IntimX la ricontatti. Indica un canale (e‑mail, WhatsApp, Telegram o telefono), il suo indirizzo, il suo numero o il suo nome Telegram, e, se lo desidera, il suo cantone; conserviamo anche la lingua in cui leggeva il sito, e la data del suo consenso, dato spuntando la casella del modulo.

Per e‑mail, la richiesta si conferma con un clic: le inviamo subito un’e‑mail di conferma, e nient’altro prima che abbia cliccato sul suo link, valido 24 ore. Una richiesta può indicare un solo indirizzo, e un indirizzo non riceve più di un’e‑mail di conferma al giorno, chiunque sia la persona che lo inserisce. Senza clic, la richiesta è cancellata dopo 7 giorni. Come prova della sua richiesta e della sua conferma, conserviamo, finché la richiesta esiste, le loro date, il suo indirizzo e‑mail, e un’impronta con chiave dell’indirizzo IP di ciascuna delle due operazioni; mai l’indirizzo IP in chiaro.

Una volta confermata la sua richiesta, una persona del team le risponde per e‑mail. Le scriviamo al massimo tre volte a questo proposito, ad almeno tre giorni di distanza l’uno dall’altro. Ogni messaggio contiene un link per non ricevere più nulla, che cancella subito la sua richiesta, e qualsiasi altra richiesta o altro contatto che conserviamo con lo stesso indirizzo. Un programma può proporre questi messaggi al team, senza leggere i suoi recapiti; una persona del team approva ciascuno di essi (art. 14).

Per WhatsApp, Telegram o telefono, una persona del team la contatta tramite quel canale; non è richiesto alcun clic, e del suo indirizzo IP non si conserva nulla oltre 24 ore. WhatsApp e Telegram ricevono allora il suo numero o il suo nome utente, e i nostri messaggi, fuori dalla Svizzera (art. 15 e 16).

Una stessa connessione fa solo una richiesta al giorno; la traccia che lo permette (un’impronta con chiave della connessione) viene cancellata 24 ore dopo la richiesta.

Per il reclutamento, conserviamo anche i recapiti di persone del settore che abbiamo conosciuto in altro modo — tramite una raccomandazione, una struttura o un partner — e che ci hanno chiesto di contattarle, di persona o tramite chi ce le raccomanda: il canale di contatto, la lingua, se del caso il cantone, un nome, una città e delle note del team, nonché la cronologia degli scambi. Una persona del team può contattarle, una alla volta, mai tramite Telegram; il sito non invia loro alcuna e‑mail. Lo diciamo loro al nostro primo contatto, al più tardi un mese dopo aver registrato i loro recapiti, con la loro provenienza; senza questo contatto, i recapiti vengono cancellati.

Ogni richiesta o contatto riceve un codice d’invito; se si iscrive con questo codice, la sua richiesta è collegata al suo account. Una richiesta o un contatto è cancellato 90 giorni dopo l’ultimo scambio, l’iscrizione o il rifiuto, o, senza alcuno scambio, 90 giorni dopo la richiesta; e al più tardi con l’indirizzo dell’account a cui ha portato, 30 giorni dopo la chiusura di tale account.

Base: il suo consenso, che revoca con il link di ogni messaggio o scrivendo a privacy@intimx.ch; per le persone conosciute in altro modo, il nostro interesse preponderante a reclutare, una persona alla volta, e la loro richiesta di essere contattate.

Iscrizione: il suo indirizzo e‑mail, la sua password (sottoposta a hash con Argon2id, mai conservata in chiaro), il nome visualizzato che sceglie e la sua lingua. Se si iscrive tramite un link o un codice d’invito, IntimX conserva da quale link proviene la sua iscrizione, quando ha contato e, se il team ritira l’invito, quando e perché (frode o persona minorenne). La persona da cui proviene questo link vede solo quante persone invitate hanno pubblicato il loro profilo e contano per quella persona, mai il suo nome. A chi apre il link di quella persona, IntimX ne mostra il nome visualizzato e il titolo solo se quella persona lo ha scelto, mai le stelle. L’amministratore del team vede chi ha invitato chi; esamina gli inviti di una persona in due casi: più di 4 persone invitate che hanno pubblicato in 30 giorni, o il ritiro di un invito per una persona minorenne.

Prova della sua accettazione: la versione delle CGU che ha accettato e quella della presente informativa che ha dichiarato di aver letto, la loro data, e un’impronta SHA-256 del suo indirizzo IP, calcolata con una chiave segreta del server. Questa impronta è durevole: lo stesso indirizzo dà sempre la stessa impronta, il che permette di verificare la prova rispetto a un indirizzo dato; non permette di risalire all’indirizzo senza la chiave (art. 4).

Profilo, pubblico una volta pubblicato: il suo nome visualizzato, il titolo, la presentazione, la categoria (ragazze, uomini o trans), il servizio (escort, massaggio o BDSM), la località, scelta nell’elenco ufficiale delle località svizzere, e il suo cantone, le lingue che parla, e, se le indica, le sue info pratiche: tariffe per durata o «su richiesta», orari, assenze datate, se riceve o si sposta, prestazioni scelte in una lista chiusa, mezzi di pagamento accettati. Il suo numero di telefono, con l’indicazione WhatsApp, e il suo nome utente Telegram compaiono solo al visitatore che li richiede. L’indirizzo della sua pagina è ricavato dal suo nome visualizzato; può cambiarlo finché la sua scheda non è mai stata pubblicata, poi non cambia più, e resta riservato dopo la chiusura del suo account (art. 17).

Profilo duo: un profilo che due account di prestatori gestiscono insieme, con le loro due identità verificate. Il suo nome, i suoi testi, le sue info pratiche, il suo recapito, le sue foto (con il nome di chi le ha aggiunte) e le sue statistiche sono comuni ai due membri; una foto aggiunta è pubblica solo una volta accettata dall’altro membro. Ciascun membro vede, dell’altro membro, il nome visualizzato, il consenso al duo così com’è scritto e, in una parola, se tutto è pronto da parte sua, mai ciò che manca; mai l’identità, l’indirizzo e‑mail, i Paesi nascosti né le misure dell’altro membro, e il duo non porta al profilo personale di quest’ultimo. La persona che digita un codice d’invito legge il duo così come sarebbe pubblicato e il nome visualizzato di chi la invita, poi lo accetta o lo rifiuta; la persona che ha dato il codice vede allora il nome visualizzato di chi lo ha digitato, e apprende in una parola se l’invito è stato rifiutato, è scaduto o non è più valido, mai perché.

Un codice d’invito è mostrato una sola volta, alla persona che lo genera, e non è conservato né nella banca dati né in un registro: solo la sua impronta, calcolata con una chiave segreta del server. È valida solo per 7 giorni, e si cancella quando il codice viene usato, quando un nuovo codice la sostituisce, quando l’invito è ritirato o quando il duo termina. I suoi Paesi nascosti e la sua opzione dei motori di ricerca sono copiati sulla sua riga del duo, che l’altro membro non legge: il duo è nascosto in tutti i Paesi in cui un membro nasconde il proprio profilo personale, e tolto dai motori di ricerca non appena un membro ne toglie il proprio; l’altro membro può accorgersene cercandolo da quei Paesi o in un motore di ricerca. Prima della sua messa online, e di nuovo quando una delle due pratiche d’identità è oggetto di una nuova decisione, il team esamina le due pratiche affiancate e stabilisce se si tratta di due persone (art. 10). Le misure e gli interventi del team sul duo, e il loro motivo, si leggono nell’area dei suoi due membri; una sospensione o una rimozione del duo resta legata ai suoi due membri finché è in vigore, anche dopo la fine del duo (art. 17).

Le prestazioni pubblicate toccano la sua vita intima: le sceglie e le pubblica personalmente, può ritirarle in qualsiasi momento, e vengono cancellate alla chiusura definitiva del suo account.

Profilo, mai pubblico: i Paesi in cui nasconde la sua scheda (al massimo dieci, mai la Svizzera) e l’opzione che la toglie dai motori di ricerca. Questa impostazione può rivelare da dove proviene: non è registrata né nel registro di audit né nel registro degli eventi, ed è cancellata alla chiusura definitiva del suo account.

Foto: JPEG, PNG, WebP o HEIC, al massimo 12 MB ciascuna, al massimo 20 per profilo. Già al caricamento, i loro dati nascosti (luogo, dispositivo, data) vengono rimossi, originale compreso; una foto HEIC è conservata in JPEG. L’originale, senza metadati, è conservato per rifare le due versioni WebP che il sito serve.

Accesso: entra nella sua area solo una volta confermato il suo indirizzo con il link dell’e‑mail; prima, l’accesso le risponde come a una password errata, senza contare la sua password corretta tra i tentativi falliti che bloccano il suo account. Per ogni sessione, un token casuale, conservato sotto forma di hash SHA-256, le sue date di creazione, di ultima attività e di scadenza, e un’impronta durevole del suo indirizzo IP calcolata con la chiave segreta del server. Dopo 10 tentativi falliti di fila, l’accesso al suo account è bloccato per 15 minuti: la traccia di questo blocco è cancellata non appena accede o sceglie una nuova password, e al più tardi 30 giorni dopo la chiusura del suo account (art. 17). Nella pagina che invia un nuovo link di conferma, l’indirizzo che digita serve all’invio e non viene conservato; la pagina risponde allo stesso modo a qualsiasi indirizzo.

Decisioni del team: le misure adottate sul suo profilo (avvertimento, sospensione, rimozione, revoca), il loro motivo, tratto da una lista chiusa, e la precisazione che il team ha potuto aggiungervi per lei; le date in cui il team, dopo aver riesaminato una misura, ha deciso di mantenerla; le foto che il team ha rimosso, e il loro motivo; il ritiro del suo profilo dagli elenchi in attesa di una correzione, e il suo motivo; le correzioni di servizio, di categoria o di località fatte dal team, che un’e‑mail le annuncia e che il suo profilo mostra. Le legge nella sua area, salvo un mantenimento: nulla glielo annuncia, e l’esportazione dei suoi dati lo indica (art. 21). Le e‑mail che le annunciano le altre non indicano il motivo.

E‑mail: l’elenco delle e‑mail che le abbiamo inviato (il loro tipo e le loro date), mai il loro testo.

Prima di qualsiasi pubblicazione, una persona del team verifica la sua identità. Invia: il suo nome, cognome e data di nascita; il fronte di un documento d’identità (passaporto, carta d’identità, libretto per stranieri B, C, L o G, o documento d’identità estero) e, se lo desidera, il suo retro; un selfie in cui tiene il documento accanto al viso, con il codice di quattro cifre che la pagina le fornisce, scritto a mano. Ogni documento pesa al massimo 8 MB. Il sito rifiuta subito una data di nascita che indica meno di 18 anni.

Se il suo documento d’identità è quello di uno Stato al di fuori dell’Unione europea e dell’AELS, il team le chiede al suo posto il suo libretto per stranieri (B, C, L o G), ne esamina il tipo e la validità prima di approvare, e ne annota la data di scadenza: per esercitare questo mestiere in Svizzera, il diritto degli stranieri esige un’autorizzazione. Un’e‑mail la avvisa 30 giorni, poi 7 giorni prima, senza indicare la data: invii il suo nuovo libretto non appena lo ha, il suo profilo resta online mentre il team lo esamina; senza un nuovo libretto il giorno della scadenza, il team glielo chiede con una nuova verifica (qui sotto; art. 11; CGU art. 12). Nient’altro viene chiesto: questo libretto è conservato come qualsiasi documento, e la sua data di scadenza con la sua pratica, nella cassaforte. Un nuovo libretto inviato prima della scadenza è conservato allo stesso modo accanto alla sua pratica: approvato, sostituisce il vecchio, che viene distrutto, e la sua data di scadenza sostituisce quella del vecchio; rifiutato, viene distrutto, e il vecchio vale fino alla sua scadenza.

Questi dati sono conservati in una cassaforte separata: il suo nome, cognome e data di nascita, e il codice, vi sono cifrati (AES-256-GCM), e i documenti sono cifrati sul disco, con una chiave conservata fuori dalla banca dati. Solo una persona del team incaricata della verifica li apre; ogni invio, ogni apertura e ogni decisione sono iscritti in un registro di custodia che il team non può né modificare né cancellare. Il suo selfie non è mai pubblicato, mai confrontato con le foto del suo profilo, e mai mostrato a un programma di intelligenza artificiale.

La decisione le è annunciata per e‑mail; il suo motivo, tratto da una lista chiusa, e l’eventuale precisazione del team compaiono nella pagina «Identità» della sua area. Un nuovo invio sostituisce il precedente, documenti compresi, e cancella la precisazione della decisione precedente. Il team può chiederle una nuova verifica, anche dopo un’approvazione: la sua scheda e i suoi profili duo lasciano allora il sito e tornano in bozza; una volta approvata la nuova pratica, rimette online la sua scheda, e un membro di un profilo duo lo rimette online dopo un nuovo esame del team.

Per un profilo duo, una volta approvate le due identità e prima della sua messa online, poi di nuovo quando una delle due pratiche è oggetto di una nuova decisione, una persona del team apre le due pratiche affiancate e stabilisce se si tratta di due persone; ogni apertura è iscritta nel registro di custodia. Questo esame — la sua conclusione, le due decisioni a cui si riferisce, chi lo ha fatto e quando — è conservato con il duo (art. 17). Un duo per il quale il team non può stabilire che riunisca due persone è sospeso per frode, e i suoi due membri ne vengono avvisati (art. 11).

I documenti e il selfie sono conservati finché il suo account esiste: il team può averne bisogno per una nuova verifica, per esaminare le due pratiche di un profilo duo, o per un’autorità (art. 18).

La sua pratica è distrutta 30 giorni dopo la chiusura del suo account, salvo conservazione per un’autorità (art. 18). Il registro di custodia resta per 10 anni dopo la chiusura, poi è cancellato o reso anonimo, salvo procedimento in corso: indica quando la pratica è stata inviata, aperta e decisa, da quale membro del team e per quale motivo, senza il suo nome né i suoi documenti.

Al di fuori del suo team, il sito scrive solo alle persone che hanno o hanno avuto un account, che si sono iscritte alla newsletter della rivista, o che hanno chiesto di essere ricontattate. Le sue e‑mail partono dall’indirizzo noreply@intimx.ch, tramite il servizio di invio di Infomaniak (art. 15); nessuno legge questa casella: una risposta a una di queste e‑mail arriva a support@intimx.ch. Un’e‑mail non indica mai il motivo di una decisione: compare nella sua area, salvo una chiusura da parte del team.

Ai prestatori, le e‑mail legate al suo account:

• «Le diamo il benvenuto su IntimX», all’iscrizione, con il link di conferma del suo indirizzo, valido 24 ore;
• «Confermi il suo indirizzo e‑mail», con un nuovo link, valido 24 ore: quando accede con la password giusta prima di averlo confermato, o quando lo richiede nella pagina indicata dalle nostre e‑mail di conferma (al massimo uno all’ora e tre ogni 24 ore), quando il team glielo invia di nuovo, o quando cambia il suo indirizzo su sua richiesta — parte allora verso il nuovo indirizzo;
• «L’indirizzo e‑mail del suo account IntimX è stato cambiato», all’indirizzo che lascia, una sola volta, quando il team cambia su sua richiesta un indirizzo che aveva confermato; non indica né il nuovo indirizzo né alcun nome;
• «Il suo indirizzo e‑mail è stato inserito su IntimX», se qualcuno inserisce l’indirizzo del suo account per crearne un altro; al massimo una volta ogni 24 ore;
• «Scelga una nuova password», quando l’ha richiesto; il link vale 60 minuti;
• «La password del suo account IntimX è stata cambiata»;
• «Tentativi di accesso al suo account IntimX», quando l’accesso è bloccato dopo dei tentativi falliti; una volta per blocco, e al massimo una volta ogni 24 ore;
• le decisioni sulla sua identità: «La sua identità è verificata», «La sua pratica d’identità non è stata accettata», «Abbiamo di nuovo bisogno dei suoi documenti d’identità»;
• «Il suo libretto per stranieri sta per scadere», 30 giorni prima della data di scadenza del suo libretto, se il team l’ha annotata alla sua verifica (art. 10), poi «Promemoria: il suo libretto per stranieri sta per scadere», 7 giorni prima; né l’una né l’altra indica la data, e non partono più una volta inviato il suo nuovo libretto; senza un nuovo libretto il giorno della scadenza, il team glielo chiede con una nuova verifica («Abbiamo di nuovo bisogno dei suoi documenti d’identità»);
• le misure del team: «Avvertimento relativo al suo profilo», «Il suo profilo è sospeso», «Il suo profilo è stato rimosso da IntimX», «La misura che riguardava il suo profilo è stata revocata»;
• gli interventi del team sul suo contenuto: «Una foto è stata rimossa dalla sua galleria», «Il suo profilo è stato tolto dagli elenchi in attesa di una correzione», «Il nostro team ha corretto il suo profilo», quando una correzione del team ha cambiato qualcosa;
• per un profilo duo, ciascun membro riceve una propria e‑mail per ogni misura e ogni intervento del team sul duo, che nomina «il suo profilo duo»: «Avvertimento relativo al suo profilo duo», «Il suo profilo duo è sospeso», «Il suo profilo duo è stato rimosso da IntimX», «La misura che riguardava il suo profilo duo è stata revocata», «Una foto è stata rimossa dal suo profilo duo», «Il suo profilo duo è stato tolto dagli elenchi in attesa di una correzione», «Il nostro team ha corretto il suo profilo duo»; nessuna e‑mail annuncia una misura o un intervento su un duo terminato;
• quando un duo termina, il membro che resta riceve «Il suo profilo duo non è più online», o «Il suo profilo duo è terminato» se il duo non è mai stato online; mai il membro che se ne va, né quando una conservazione riguarda l’altro membro;
• la chiusura: «Il suo account IntimX è chiuso», quando lo chiude, con il link per riattivarlo per 14 giorni; «Il suo account IntimX è stato riattivato»; «Il suo account IntimX è stato chiuso», quando il team lo chiude, salvo per una persona che potrebbe essere minorenne e su richiesta delle autorità, casi in cui non viene inviata alcuna e‑mail;
• «Una persona invitata ha pubblicato il proprio profilo», quando una persona che ha invitato pubblica il suo profilo e le spettano dei giorni in evidenza: le indica fino a quando attivarli, senza nominare questa persona;
• «Le nostre condizioni cambiano il …», almeno 30 giorni prima dell’entrata in vigore di una nuova versione delle CGU e della presente informativa.

Ai prestatori, tre solleciti legati al suo account, ciascuno inviato al massimo una sola volta, e solo dopo il consenso di una persona del team, a cui un programma li propone (art. 14):

• «Il suo indirizzo e‑mail non è ancora confermato», un giorno dopo l’iscrizione, se l’indirizzo non è ancora confermato e resta quello dell’iscrizione;
• «Il suo profilo non è ancora online», due giorni dopo l’iscrizione, se il profilo non è pubblicato né la sua identità approvata;
• «Il suo profilo può essere pubblicato», due giorni dopo l’approvazione della sua identità, se il profilo non è pubblicato.

Al massimo un messaggio di questo tipo le arriva per periodo di 7 giorni. Può opporvisi scrivendo a privacy@intimx.ch; il team rifiuta allora ogni sollecito che gli venga proposto per lei.

Ai lettori della newsletter della rivista: «Confermi la sua iscrizione alla rivista IntimX», poi «Nuovo articolo: …» quando annunciamo un articolo nella sua lingua (art. 7).

Alle persone che chiedono di essere ricontattate per e‑mail: «Confermi la sua richiesta di contatto», poi, una volta confermata la richiesta, al massimo tre messaggi: «La sua richiesta di contatto su IntimX» e i suoi solleciti, «IntimX: la sua iscrizione è ancora aperta» (art. 8).

IntimX imposta tre cookie, tutti necessari al funzionamento del sito. Come prescrive l’art. 45c lett. b LTC, le indichiamo qui ciascuno di essi, la sua finalità, e come rifiutarlo:

• intimx_session: il token della sua sessione di prestatore. Durata: 30 giorni. HttpOnly, Secure, SameSite=Lax.
• intimx_age: la sua risposta al controllo dell’età. Durata: 365 giorni.
• intimx_locale: la lingua scelta, impostato solo quando la lingua letta differisce da quella del suo browser, o quando esiste già. Cancellato alla chiusura del browser.

Nessun cookie di misurazione dell’audience o di pubblicità, nessun tracker, nient’altro conservato nel suo browser. Le statistiche (art. 5) si calcolano sul nostro server, senza impostare nulla sul suo dispositivo.

Può configurare il suo browser per rifiutare i cookie. Senza i primi due, l’accesso e la conferma della maggiore età non funzionano.

Il registro del server web conserva, per ogni pagina richiesta, l’indirizzo IP ridotto alla sua rete — cancellati l’ultimo dei quattro numeri di un indirizzo IPv4 e tutto ciò che segue i primi due gruppi di un indirizzo IPv6 —, il browser e le altre intestazioni che il suo browser invia con la pagina, eccetto i suoi cookie e quelle che trasmettono di solito un indirizzo IP, l’indirizzo della pagina senza i suoi parametri (tra cui l’indirizzo di una scheda, che riprende il nome visualizzato del suo prestatore, o il nome di un profilo duo), la data e la risposta del server; mai l’indirizzo IP intero, né la porta della connessione, né i parametri di un indirizzo (una ricerca, un link di conferma, un codice di duo), né la pagina da cui proviene. Il registro degli errori del server web non conserva alcun indirizzo IP. Serve alla sicurezza e alla diagnostica, mai alle statistiche. Nessuna riga vi resta più di 30 giorni.

Il registro di sistema e quelli dei programmi del sito non conservano né indirizzi IP, né nomi, né indirizzi e‑mail, né testi redatti da una persona; nessuna riga vi resta più di 30 giorni.

Il registro di audit registra le operazioni che cambiano qualcosa sul sito — un’iscrizione, una pubblicazione, una decisione del team, una cancellazione pianificata —, ma non una semplice visita contata; il registro degli eventi registra ciò che ne deriva. Indicano ogni account, e ogni profilo duo, con un identificativo tecnico, mai con il suo nome né con il suo indirizzo, e conservano il tipo di operazione, la sua data, il suo esito e, per alcune, una chiave tratta da una lista chiusa (un motivo, una lingua); mai un testo libero, né il codice d’invito di un’iscrizione. Sono conservati come prova di ciò che è stato fatto: fino a 10 anni dopo la chiusura dell’account o la fine del profilo duo che indicano — una riga che non indica né l’uno né l’altro, 10 anni dopo essere stata scritta —, poi cancellati o resi anonimi, salvo procedimento in corso.

Gli avvisi e il riepilogo quotidiano che riceve il team contengono solo numeri e date, mai un nome, un indirizzo o un testo.

Un programma aiuta il team: individua ciò che è in attesa — un sollecito dovuto, un’e‑mail non partita — e propone un intervento, che una persona del team approva o rifiuta. Non decide mai di una verifica dell’identità, di una misura, di una chiusura né di un testo legale; non accede mai alla cassaforte; di un profilo duo non legge nulla — né la scheda, né le foto, né le statistiche, né chi ne è membro, né i messaggi che ne parlano — e non scrive nulla al riguardo; non scrive mai liberamente a una persona: un messaggio può provenire solo da un catalogo chiuso, tradotto e verificato. Le sue proposte indicano l’account interessato con il suo identificativo tecnico; questa indicazione è cancellata 90 giorni dopo la proposta, una volta che questa è stata decisa. Non sa chi ha invitato chi.

Nessun modello di intelligenza artificiale riceve i suoi dati.

Non vendiamo né affittiamo i suoi dati. Sono comunicati solo ai destinatari seguenti:

• Il pubblico: la scheda che pubblica, così come la descrive l’art. 9.
• L’altro membro di un profilo duo, la persona a cui dà un codice di duo e quella di cui digita il codice: ciò che indica l’art. 9.
• La persona dal cui link d’invito proviene la sua iscrizione: un numero, mai il suo nome; e chiunque apra il suo link: il suo nome visualizzato e il suo titolo, se lo ha scelto, mai le sue stelle (art. 9).
• Infomaniak Network SA (Ginevra, Svizzera), che ospita il nostro server (banca dati e file) e trasmette le nostre e‑mail, in qualità di responsabile del trattamento.
• WhatsApp o Telegram, se chiede che la ricontattiamo tramite uno di essi: il suo numero o il suo nome utente, e i nostri messaggi (art. 8 e 16).
• Le autorità: la scheda così come pubblicata, su richiesta scritta di un’autorità svizzera identificata — mai un profilo duo, che reca le parole e le foto di un’altra persona e si consegna solo su ordine scritto (art. 18); qualsiasi altro dato (identità, selfie, indirizzo e‑mail, tracce di accesso, precisazioni delle segnalazioni), solo su ordine scritto (sequestro od obbligo di consegna, art. 263 e 265 CPP). Un’autorità straniera è rinviata alla via dell’assistenza giudiziaria (Ufficio federale di giustizia, fedpol). Il giorno stesso, scriviamo all’autorità ciò che conserviamo e fino a quando.

Il sito non ricorre a nessun altro servizio esterno: né servizi di mappe, né misurazione dell’audience, né pubblicità, né notifiche. La tabella dei Paesi (DB-IP Lite) e l’elenco ufficiale delle località svizzere (swisstopo) sono file conservati sul nostro server: i loro editori non ricevono nulla.

I pulsanti WhatsApp e Telegram di una scheda non trasmettono nulla a questi servizi dal nostro server: il suo browser apre il servizio con il numero o il nome indicato dalla scheda e un messaggio già scritto; ciò che vi fa è soggetto alle loro condizioni (art. 16).

Il sito e i suoi dati sono ospitati in Svizzera, presso Infomaniak Network SA; le copie di backup sono conservate su questo server e su un server dell’Editore, in Svizzera. Non affidiamo i suoi dati a nessuna impresa al di fuori della Svizzera. Alcuni dati lasciano tuttavia la Svizzera:

• un’e‑mail che le inviamo è consegnata al gestore della sua casella di posta, nel Paese in cui si trova; questa consegna serve direttamente il servizio che ha richiesto (art. 17 cpv. 1 lett. b LPD);
• se chiede che la ricontattiamo tramite WhatsApp o Telegram, i nostri messaggi passano attraverso questi servizi: WhatsApp li tratta in particolare negli Stati Uniti, presso imprese certificate di cui la Svizzera riconosce la protezione (allegato 1 dell’ordinanza sulla protezione dei dati); Telegram, nei Paesi Bassi per un account aperto dallo Spazio economico europeo o dal Regno Unito, e, per un account aperto altrove, in Paesi che non nomina; ha scelto questo canale dopo aver letto, sotto questa scelta, che questi servizi trattano i suoi messaggi fuori dalla Svizzera, dove la protezione dei dati non è sempre quella della Svizzera (art. 17 cpv. 1 lett. a LPD);
• un pulsante WhatsApp o Telegram di una scheda apre questi servizi dal suo browser; i loro server sono fuori dalla Svizzera, e ciò che vi fa è soggetto alle loro condizioni.

Una scheda pubblicata si legge da qualsiasi Paese, e i motori di ricerca possono copiarla: la legge non considera questa pubblicazione una comunicazione all’estero (art. 18 LPD).

Account aperto: i suoi dati sono conservati finché il suo account esiste, fatte salve le durate qui sotto. Un account il cui indirizzo e‑mail non è mai stato confermato è chiuso e cancellato 30 giorni dopo l’iscrizione: ciò che la chiusura da parte del team cancella subito e ciò che è distrutto 30 giorni dopo una chiusura (vedi qui sotto) lo è in una sola volta, e ne resta ciò che resta di un account chiuso. Nessuna e‑mail lo annuncia, e lo stesso indirizzo può servire per una nuova iscrizione. Un account il cui indirizzo è stato confermato una volta non è mai cancellato in questo modo, anche se il team lo cambia in seguito su sua richiesta.

Chiusura da parte sua: la sua scheda e i suoi profili duo lasciano subito il sito, e le sue sessioni vengono chiuse; nulla viene cancellato per 14 giorni, e può tornare con il link dell’e‑mail «Il suo account IntimX è chiuso», o accedendo, poiché l’accesso glielo propone. Al termine dei 14 giorni, il contenuto della sua scheda (tutto ciò che vi ha scritto e scelto, i suoi Paesi nascosti), le sue foto e le sue statistiche vengono cancellati; i suoi profili duo terminano e vengono cancellati subito, con ciò che l’altro membro vi ha scritto e aggiunto.

Chiusura da parte del team: il contenuto della scheda, le foto e le statistiche vengono cancellati subito, senza periodo di grazia; i profili duo dell’account terminano e vengono cancellati allo stesso modo.

30 giorni dopo la chiusura: il suo indirizzo e‑mail, la sua password, la sua pratica d’identità (campi, documenti, selfie, codice e, se del caso, la data di scadenza del suo libretto per stranieri), le precisazioni scritte per lei dal team, l’elenco delle e‑mail che le abbiamo inviato, le precisazioni delle segnalazioni che riguardavano la sua scheda, la traccia dei controlli di qualità che il team ha fatto sulla sua scheda e quella di un blocco dell’accesso vengono distrutti; il suo nome visualizzato diventa «Account chiuso».

Ciò che resta in seguito, senza il suo indirizzo e‑mail, è conservato per 10 anni dopo la chiusura — la durata generale della prescrizione —, poi cancellato o reso anonimo, salvo procedimento in corso: l’identificativo tecnico dell’account, le sue date e, se del caso, il suo codice d’invito, mai dato a un’altra persona; l’indirizzo della sua pagina, ricavato dal suo nome visualizzato o scelto prima della sua prima pubblicazione (art. 9), riservato durante questo periodo affinché nessun altro profilo lo riprenda; la data della prima pubblicazione; le segnalazioni ricevute, senza le loro precisazioni, e le misure adottate, con le date dei loro mantenimenti; la traccia di un controllo di qualità che riguardava anche la scheda di un altro account, quando è registrata a nome di tale account; il registro di custodia della verifica dell’identità; la prova della sua accettazione, con la relativa impronta dell’indirizzo IP; le righe dei registri di audit e degli eventi.

Durante una conservazione per un’autorità, il sito cancella come di consueto ciò che mostrava; solo ciò che la conservazione trattiene e la pratica d’identità nella cassaforte attendono la sua fine (art. 18).

Durate particolari:

• Sessioni: una sessione scade dopo 30 giorni; la sua traccia (date e impronta dell’indirizzo IP) è cancellata 30 giorni dopo la sua scadenza o la sua chiusura.
• Indirizzo che il suo account lascia quando il team lo cambia su sua richiesta: cancellato non appena è partita l’e‑mail che lo avvisa del cambiamento, e al più tardi 7 giorni dopo il cambiamento; serve solo per questa e‑mail.
• Statistiche delle schede: le impronte del giorno (visite, richieste di contatto, aperture, condivisioni), fino alla fine della loro giornata; i totali giornalieri, 90 giorni.
• Statistiche del sito: l’impronta del giorno, 2 giorni; il nome di un sito di origine da cui sono arrivati meno di cinque visitatori nella giornata, fino alla fine di tale giornata; i totali e gli altri nomi, 25 mesi.
• Segnalazioni: l’impronta della connessione, 30 giorni; le precisazioni, finché l’account segnalato esiste, poi 30 giorni dopo la sua chiusura — per un profilo duo, 30 giorni dopo la sua fine; la segnalazione stessa, 10 anni dopo la chiusura dell’account segnalato o la fine del profilo duo, poi cancellata o resa anonima.
• Limiti per connessione (iscrizioni, accessi rifiutati, link per una nuova password, richieste di un nuovo link di conferma, richieste di contatto, richieste della newsletter, codici di duo digitati, questi contati anche per account, codici d’invito che non portano a nessuno): 2 giorni. Richiesta di ricontatto: 24 ore.
• Newsletter della rivista: un indirizzo mai confermato, 7 giorni; le impronte della richiesta e della conferma, con l’indirizzo; dopo una disiscrizione, un’impronta con chiave dell’indirizzo e‑mail, 24 mesi.
• Richieste di ricontatto per e‑mail mai confermate: 7 giorni. Richieste e contatti del reclutamento: 90 giorni dopo l’ultimo scambio, l’iscrizione o il rifiuto (art. 8).
• Proposte del programma che assiste il team: l’identificativo dell’account, 90 giorni dopo la proposta decisa.
• Inviti: un invito che non ha mai contato, 12 mesi dopo l’iscrizione; il legame tra due account, con l’account della persona che invita, o con quello della persona invitata, che resta allora solo un numero per l’altra se aveva contato; i giorni e le messe in evidenza, con l’account; le aperture dei link, 25 mesi, come le statistiche del sito.
• Profilo duo: termina quando un membro lo lascia, o quando l’account di un membro è chiuso definitivamente. È cancellato 14 giorni dopo la sua fine — i suoi testi, le sue foto e i relativi file, le sue statistiche, i motivi delle foto che il team ne ha rimosso —, subito se non è mai stato collegato o alla chiusura definitiva dell’account di un membro. 30 giorni dopo la sua fine vengono cancellati il suo nome, le precisazioni delle sue segnalazioni, quelle che il team ha scritto con le sue misure e le annotazioni «Visto» che lo riguardano; e anche chi ne era membro e l’esame del team sulle due pratiche (la sua conclusione, le due decisioni esaminate, chi e quando), tranne per tutto il tempo in cui una sospensione o una rimozione grava sul duo, una segnalazione per una persona minorenne lo riguarda o una segnalazione su di esso resta aperta, mai oltre l’eliminazione dei due account; le e‑mail che ne hanno parlato ai suoi membri dimenticano allora il duo. Una richiesta di raggiungere un duo che non è andata a buon fine viene cancellata 30 giorni dopo la sua fine. L’audit conserva le operazioni di ciascun membro, come per qualsiasi account; la riga del duo — il suo indirizzo, il suo stato, le sue date —, le sue segnalazioni e le misure del team restano nel fascicolo, come per un profilo il cui account è chiuso.
• Registro del server web e registro di sistema: al massimo 30 giorni.
• Registro delle accettazioni, registro di custodia della verifica dell’identità, registro di audit e registro degli eventi: come prova, fino a 10 anni dopo la chiusura dell’account o la fine del profilo duo che indicano — una riga che non indica né l’uno né l’altro, 10 anni dopo essere stata scritta —, poi cancellati o resi anonimi, salvo procedimento in corso.

Backup: ogni notte, la banca dati e i file (foto e documenti cifrati) vengono salvati. Un dato cancellato dal sito resta nei backup fino a 14 giorni per la banca dati, e fino a 21 giorni per le foto e i documenti; la copia conservata fuori dal server, cifrata per intero, segue le stesse durate. I documenti e i campi d’identità vi restano cifrati.

In tre casi, una copia di ciò che un account contiene viene messa da parte prima di qualsiasi cancellazione: quando il team chiude un account perché la persona potrebbe essere minorenne; quando lo chiude su richiesta delle autorità; e quando un’autorità penale svizzera, la cui richiesta è stata verificata, chiede di conservare i dati di un account, che resta allora aperto.

Questa copia contiene: la scheda così com’era, con le sue date e l’indirizzo della sua pagina; gli originali delle foto, rimossi dalla galleria; l’indirizzo e‑mail e le date dell’account; la pratica d’identità — i suoi documenti e il selfie vi sono copiati, e i suoi campi e il suo codice restano nella cassaforte senza essere distrutti; le date e le impronte dell’indirizzo IP delle sessioni dell’account; le segnalazioni che riguardavano la scheda (il loro motivo, le loro precisazioni, la loro data e il loro seguito, mai chi le ha fatte); chi ha invitato la persona su IntimX, e chi questa vi ha invitato, con le date di questi inviti. Nient’altro che riguardi un’altra persona oltre a questi inviti e a ciò che conserva il capoverso seguente.

Una conservazione che riguarda un account conserva anche ogni profilo duo di cui questo account è o è stato membro — il suo contenuto, le sue segnalazioni e una copia delle sue foto, comprese quelle che l’altro membro vi ha aggiunto, e di un duo già cancellato ciò che la banca dati ne contiene ancora, la sua riga e le sue segnalazioni —, senza che l’altro membro lo sappia; un duo non è mai consegnato con il profilo così come pubblicato, solo su ordine scritto.

È cifrata con una chiave propria. Solo un amministratore del team può aprirla, e ogni apertura è iscritta in anticipo in un registro di custodia. Nessun programma automatico e nessun modello di intelligenza artificiale vi accede.

È conservata per 90 giorni. Su richiesta scritta dell’autorità, può essere prolungata una volta di 90 giorni; oltre, solo durante un sequestro o un obbligo di consegna ordinati per iscritto. È distrutta automaticamente alla sua scadenza, o prima se l’autorità conferma per iscritto che non ne ha più bisogno; le cancellazioni ordinarie riprendono allora. La sua consegna segue l’art. 15.

Un’immagine che potrebbe rientrare nell’art. 197 CP non è né aperta né consegnata dai nostri strumenti: è rimossa dal sito, segnalata alla polizia, e distrutta 30 giorni dopo tale segnalazione, con le sue copie.

Durante una conservazione, il sito cancella come di consueto ciò che mostrava; solo la copia e la pratica d’identità conservata nella cassaforte attendono la sua fine. Quando il team chiude un account per una possibile minore età o su richiesta delle autorità, non viene inviata alcuna e‑mail alla persona, né all’altro membro di uno dei suoi profili duo, e il motivo della chiusura è scritto solo nella conservazione, distrutto con essa.

IntimX attua in particolare le misure seguenti:

• Separazione: una banca dati PostgreSQL in quattro schemi (applicazione, cassaforte, sistema, team) e cinque ruoli con password distinte — uno per programma (il sito, l’invio delle e‑mail e le operazioni pianificate, il programma che assiste il team), uno per la console del team, uno per le modifiche della struttura. Ogni ruolo rifiuta la password di un altro.
• Cassaforte: il suo indirizzo e‑mail, la sua password sottoposta a hash e la sua pratica d’identità si trovano in uno schema separato; l’indirizzo che il suo account ha appena lasciato vi attende per il tempo necessario all’e‑mail che lo avvisa del cambiamento (art. 17). Il programma che assiste il team non vi ha alcun accesso. Il programma di invio delle e‑mail vi legge, attraverso accessi ristretti, solo l’indirizzo di un account al momento dell’invio, o quell’indirizzo lasciato, che dimentica non appena l’e‑mail è partita, e quali account attendono il promemoria della data di scadenza del loro libretto per stranieri, senza tale data; vi cancella gli altri dati solo alla loro scadenza, senza mai detenere la chiave di cifratura.
• Cifratura a riposo: il suo nome, cognome e data di nascita, il codice del selfie e i documenti d’identità sono cifrati (AES-256-GCM), con una chiave conservata fuori dalla banca dati e fuori dai backup.
• Password sottoposte a hash con Argon2id; token di sessione conservati sotto forma di hash SHA-256; impronte degli indirizzi IP e dei codici d’invito di un duo calcolate con una chiave segreta (HMAC-SHA-256), che solo il sito detiene, conservata anch’essa fuori dai backup della banca dati.
• Trasporto: HTTPS obbligatorio, solo in TLS 1.3; cookie Secure.
• Richieste: l’origine di ogni richiesta che modifica qualcosa è controllata; cookie SameSite.
• Accesso alle righe: ogni tabella di dati di persone, negli schemi applicazione e cassaforte, impone la sicurezza a livello di riga di PostgreSQL, anche al ruolo proprietario. Il sito scrive nel registro di audit, nel registro degli eventi e nella coda degli invii solo attraverso accessi ristretti, e non vi legge nulla.
• Blocco: dopo 10 accessi falliti, 15 minuti di blocco; oltre 30 tentativi rifiutati in un’ora da una stessa connessione, questa viene rallentata; una stessa connessione può richiedere solo 20 contatti all’ora e 60 al giorno (art. 4).
• Registri: il registro di audit, il registro delle accettazioni e il registro di custodia accettano solo aggiunte. Al di fuori del registro del server web (art. 13), nessun registro e nessun avviso contiene nomi, indirizzi e‑mail o testi redatti da una persona.
• Console del team: mai accessibile da Internet, solo tramite un tunnel cifrato; vi si entra con una chiave d’accesso o un codice di emergenza stampato, mai con una password; un documento d’identità o una conservazione vi si apre solo dopo una nuova conferma fatta con la chiave di un computer o con una chiave di sicurezza.
• Backup: ogni notte, cifrati e poi copiati fuori dal server, su un server dell’Editore in Svizzera su cui il nostro server può aggiungere una copia ma mai cancellarne; la chiave che li decifra è conservata offline, né sul nostro server né su quello dell’Editore, e né la chiave di cifratura della cassaforte né la chiave delle impronte vi figurano.
• Violazioni: teniamo un registro delle violazioni della sicurezza dei dati, e le notifichiamo all’IFPDT, e alle persone interessate, quando la legge lo esige (art. 24 LPD).

Secondo la LPD (art. 25–29 e 32), può:

• chiedere l’accesso ai suoi dati personali e ottenerne una copia, gratuitamente;
• far rettificare dati inesatti. Il suo profilo si corregge nella sua area; anche un profilo duo, da parte di ciascun membro, con l’altro membro che accetta ogni modifica. Un indirizzo e‑mail digitato male all’iscrizione non si corregge: il link di conferma è partito verso l’indirizzo digitato, e si entra nella propria area solo dopo averlo aperto; crea allora un nuovo account con l’indirizzo giusto. Un indirizzo confermato è cambiato dal team, su sua richiesta, sulla base di una di queste due prove: una richiesta scritta inviata da quell’indirizzo a privacy@intimx.ch; oppure, se non ha più accesso a quella casella, una nuova pratica d’identità, che il team le chiede di inviare e che ha approvato da meno di 30 giorni (la sua scheda e i suoi profili duo lasciano il sito fino a tale approvazione, poi li rimette online; art. 10). Un link di conferma parte allora verso il nuovo indirizzo, e le sue sessioni aperte vengono chiuse: accede di nuovo una volta confermato il nuovo indirizzo. L’indirizzo lasciato riceve un’e‑mail che annuncia il cambiamento, senza il nuovo indirizzo; è conservato solo per questa e‑mail (art. 17);
• chiedere la cancellazione dei suoi dati: chiude personalmente il suo account dalla sua area (art. 17); vi lascia anche un profilo duo, che è allora cancellato al più tardi 14 giorni dopo la sua fine (art. 17); per la newsletter della rivista o una richiesta di ricontatto, basta il link di ogni messaggio;
• ricevere i suoi dati in un formato strutturato, o farli trasmettere a un altro titolare del trattamento (art. 21);
• opporsi a un trattamento fondato sul nostro interesse preponderante, tra cui i solleciti (art. 11);
• revocare il suo consenso in qualsiasi momento, senza effetto su ciò che è stato fatto prima.

Alcuni dati sono conservati nonostante una richiesta di cancellazione, per le durate dell’art. 17: le prove (la sua accettazione, registro di custodia, registri di audit e degli eventi), i backup fino alla loro scadenza, e ciò che una conservazione per un’autorità trattiene (art. 18).

Su richiesta, le indichiamo anche quando la sua pratica d’identità è stata inviata, aperta e decisa, secondo il registro di custodia.

Possiamo rifiutare, limitare o differire una risposta nei casi previsti dalla legge (art. 26 LPD), per esempio per proteggere un terzo; in tal caso gliene indichiamo il motivo.

Per esercitare i suoi diritti, scriva a privacy@intimx.ch, dall’indirizzo del suo account se ne ha uno. Rispondiamo entro 30 giorni; se la sua richiesta richiede più tempo, glielo diciamo prima della fine di questo termine, con il termine previsto.

Può segnalare un trattamento all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT), Feldeggweg 1, 3003 Berna, Svizzera (edoeb.admin.ch), che può aprire un’inchiesta (art. 49 LPD); una controversia si porta davanti ai tribunali civili (art. 32 LPD).

Dalla sua area, pagina «Account», scarica i suoi dati in un file (formato JSON strutturato):

• il suo account: nome visualizzato, indirizzo e‑mail, lingua, date d’iscrizione e di conferma;
• la sua accettazione dei testi: le versioni delle CGU e della presente informativa, quest’ultima dichiarata letta, e le loro date;
• i suoi accessi: le date di ogni sessione;
• il suo profilo, con le sue info pratiche, i suoi Paesi nascosti e l’opzione dei motori di ricerca;
• l’elenco delle sue foto, e quelle che il team ha rimosso dopo la sua ultima aggiunta, con il loro motivo; le sue foto stesse le vengono consegnate su richiesta a privacy@intimx.ch;
• l’elenco delle e‑mail che le abbiamo inviato (tipo e date);
• i totali giornalieri delle statistiche della sua scheda, su 90 giorni;
• le decisioni di moderazione che la riguardano, con il loro motivo, la precisazione del team e le date in cui il team ha deciso di mantenerle;
• gli inviti: il suo codice d’invito, il numero di persone invitate che hanno pubblicato il loro profilo e contano per lei, e l’invito da lei ricevuto (le sue date e, finché esiste l’account della persona da cui proviene quel link, il relativo codice; mai il nome né l’account di tale persona); i suoi giorni in evidenza e le sue messe in evidenza;
• la sua pratica d’identità: il suo stato, la decisione, il suo motivo e la sua precisazione, il suo nome, cognome e data di nascita, se del caso la data di scadenza del suo libretto per stranieri e lo stato del nuovo libretto che ha inviato (in esame o rifiutato, con il suo motivo e la sua precisazione), e l’elenco dei documenti inviati. I documenti stessi le vengono consegnati su richiesta a privacy@intimx.ch.
• i profili duo di cui fa o ha fatto parte, fino alla loro cancellazione: ciò che dicono e le loro date, se li ha creati, le sue impostazioni (il suo consenso alla loro messa online, i suoi Paesi nascosti, l’opzione dei motori di ricerca, le sue date di ingresso e di uscita), l’elenco delle foto che vi ha aggiunto, le foto che il team ne ha rimosso (il loro motivo e la loro data, qualunque sia il membro che le aveva aggiunte), i totali giornalieri delle loro statistiche, e le loro decisioni di moderazione, con il loro motivo, la precisazione del team e le date dei loro mantenimenti;
• un profilo duo già cancellato, durante i 30 giorni che seguono la sua fine, e oltre finché una sospensione o una rimozione del team la lega a esso: che ne era membro (se lo ha creato, le sue date di ingresso e di uscita), la sua fine, la sua cancellazione e le sue decisioni di moderazione.

Mai i dati dell’altro membro di un duo, né l’unione dei Paesi nascosti dei due membri.

IntimX è riservato alle persone maggiorenni (18 anni compiuti). Al primo accesso viene chiesta una conferma dell’età, e la verifica dell’identità rifiuta qualsiasi persona con meno di 18 anni. Le foto pornografiche sono vietate (CGU, art. 8).

IntimX non raccoglie consapevolmente dati di persone minorenni. Se veniamo a sapere che una persona minorenne ha aperto un account, il team lo chiude subito: la sua scheda, le sue foto e i suoi profili duo lasciano il sito e ne vengono cancellati, una copia è conservata per le autorità secondo l’art. 18, e non viene inviata alcuna e‑mail, nemmeno all’altro membro di uno dei suoi profili duo.

Ogni segnalazione che riguarda una persona minorenne è trattata con priorità assoluta: il team ne viene avvisato subito. In caso di urgenza, scriva anche a legal@intimx.ch.

L’Editore può modificare la presente informativa. Una modifica importante è annunciata per e‑mail ai titolari di un account aperto, almeno 30 giorni prima della sua entrata in vigore. La data della versione in vigore è indicata in testa al documento. Le versioni precedenti sono disponibili su richiesta a support@intimx.ch.

Per qualsiasi domanda sulla protezione dei suoi dati:

Titolare del trattamento: N.JULIEN Contatto: privacy@intimx.ch

Per le domande generali: support@intimx.ch Per le segnalazioni urgenti (persona minorenne, tratta) e le autorità: legal@intimx.ch

Autorità di vigilanza: Incaricato federale della protezione dei dati e della trasparenza (IFPDT) Feldeggweg 1, 3003 Berna, Svizzera edoeb.admin.ch