Política de privacidade

• O responsável: N.JULIEN, em Sion (VS), que explora a IntimX sob o nome Artenic. Para os seus dados: privacy@intimx.ch (art. 2.º e 24.º).
• Se consultar o site: nem conta, nem cookie de medição, nem rastreador. O registo do servidor só guarda do seu endereço IP a rede, com os últimos algarismos apagados, durante 30 dias no máximo; o site deduz dele, em memória, o seu país e impressões digitais com chave para contar as visitas, que tratamos como dados pessoais (art. 4.º, 5.º e 13.º).
• Se publicar um perfil: a sua conta, a sua página de perfil e as suas fotografias, o seu processo de identidade, guardado à parte e cifrado, e as decisões da equipa; estes dados dizem respeito à sua vida íntima (art. 9.º e 10.º).
• O que é público: a página de perfil que publica; nunca a sua identidade nem os seus países ocultos (art. 9.º).
• A quem é comunicado: ao público, no caso da página de perfil, à Infomaniak, que aloja o site, às autoridades mediante ordem escrita, e aos outros destinatários indicados no art. 15.º; nunca é vendido nem alugado.
• Onde: o site e as suas cópias de segurança estão na Suíça; um e‑mail segue para o fornecedor da sua caixa de correio, onde quer que este esteja, e o WhatsApp ou o Telegram, se os escolher, estão fora da Suíça (art. 16.º).
• Durante quanto tempo: cada prazo, dado a dado, incluindo as cópias de segurança (art. 17.º).
• Os seus direitos: acesso, cópia, retificação, apagamento, exportação, oposição, através de privacy@intimx.ch; uma resposta no prazo de 30 dias (art. 20.º e 21.º).

A presente política descreve que dados pessoais a IntimX trata, para que fins, com que fundamentos, durante quanto tempo os guarda, a quem os comunica e quais são os seus direitos, quando utiliza o site intimx.ch.

Aplica-se a qualquer pessoa que consulte o site (visitantes), que nele publique um perfil, individual ou duo (pessoas prestadoras), que peça para ser recontactada a partir da página «Oferece serviços?», ou que subscreva a newsletter da revista, bem como às pessoas do setor cujos dados de contacto guardamos para o recrutamento (art. 8.º). Os termos definidos nas condições gerais de utilização (CGU) aplicam-se por remissão.

A IntimX é um serviço para a Suíça: cada perfil apresenta serviços oferecidos na Suíça, a partir de uma localidade suíça, e a IntimX não se dirige, através de qualquer publicidade, a um público fora da Suíça.

O responsável pelo tratamento (art. 5.º, alínea j, da LPD) é:

N.JULIEN Sion (VS), Suíça Nome comercial: Artenic

Contacto para a proteção de dados: privacy@intimx.ch. O endereço postal completo é comunicado sem demora, mediante qualquer pedido escrito para legal@intimx.ch.

O Editor não designou um consultor para a proteção de dados (art. 10.º da LPD): esta designação não é obrigatória. Para qualquer questão sobre os seus dados, escreva diretamente para privacy@intimx.ch.

Tratamos os seus dados para as seguintes finalidades, cada uma com o fundamento indicado (art. 31.º da LPD):

• Prestar o serviço descrito nas CGU: criar e gerir a conta de uma pessoa prestadora, publicar a sua página de perfil, ligar duas contas num perfil duo quando os dois membros o querem, mostrar os seus meios de contacto ao visitante que os pede, mostrar-lhe a audiência da sua página de perfil, manter a contagem das pessoas que convida através da sua ligação e o programa de embaixadores (CGU, art. 9.º-bis), enviar-lhe os e‑mails relacionados com a sua conta e entregar-lhe os seus dados. Fundamento: o contrato (as CGU).
• Verificar a idade e a identidade de cada pessoa prestadora antes de qualquer publicação — e, no caso de uma pessoa prestadora cujo documento de identidade seja de um Estado fora da União Europeia e da EFTA, a sua autorização para estrangeiros e a respetiva validade, até à sua data de fim —, e, antes de um perfil duo ser colocado online, que os seus dois membros são duas pessoas. Fundamento: o contrato, que faz disso uma condição de publicação, e o nosso interesse preponderante em nunca publicar uma pessoa menor de idade nem uma pessoa inscrita por um terceiro (nomeadamente art. 182.º, 195.º e 196.º do CP), nem uma pessoa que o direito dos estrangeiros não autoriza a exercer na Suíça (art. 11.º e 116.º da LEI).
• Proteger o site e as pessoas: bloquear o início de sessão após falhas, limitar por ligação as inscrições, os inícios de sessão recusados, as ligações de palavra-passe, os pedidos de uma nova ligação de confirmação, os pedidos de contacto, os pedidos da newsletter, os pedidos de recontacto, as denúncias e os códigos de duo introduzidos; tratar as denúncias e moderar, o que inclui detetar as páginas de perfil sem localidade, aquelas cujos serviços não correspondem à categoria, e as fotografias ou os meios de contacto que uma página de perfil partilha com outra conta; manter os registos e as cópias de segurança. Fundamento: o nosso interesse preponderante.
• Contar a audiência de cada página de perfil, e ocultar uma página de perfil nos países que a respetiva pessoa prestadora escolhe, a partir do endereço IP do visitante (art. 4.º e 5.º). Fundamento: o nosso interesse preponderante, e o da pessoa prestadora na sua discrição.
• Medir a audiência do site inteiro, em totais, e as aberturas das ligações de convite, por dia e por canal (art. 5.º). Fundamento: o nosso interesse preponderante.
• Propor às pessoas prestadoras inscritas três lembretes relacionados com a sua conta (art. 11.º). Fundamento: o nosso interesse preponderante; pode opor-se a eles a qualquer momento.
• Enviar a newsletter da revista, e responder às pessoas que pedem para ser recontactadas. Fundamento: o seu consentimento, que pode retirar a qualquer momento, sem efeito sobre o que foi feito antes.
• Provar a sua aceitação das CGU, e que declarou ter lido a presente política, com as respetivas versões. Fundamento: o nosso interesse preponderante.
• Guardar para uma autoridade, durante um período limitado, os dados de uma conta nos casos do art. 18.º. Fundamento: o nosso interesse preponderante; entregá-los mediante ordem escrita de uma autoridade (art. 263.º e 265.º do CPP): uma obrigação legal.
• Comunicar ao Encarregado Federal da Proteção de Dados e da Transparência (PFPDT) uma violação da segurança dos dados, quando a lei o exige (art. 24.º da LPD): uma obrigação legal.

Os dados de uma pessoa prestadora dizem respeito à sua esfera íntima, que a lei inclui entre os dados sensíveis (art. 5.º, alínea c, da LPD): só os comunicamos a um terceiro nos casos indicados no art. 15.º.

Consulta o site sem conta: não lhe pedimos nem nome nem endereço de e‑mail. Não existe conta de visitante, nem avaliações, nem favoritos.

A confirmação de idade: no seu primeiro acesso, o site pede-lhe que confirme que é maior de idade; a sua resposta é guardada no seu navegador por um cookie (art. 12.º).

O seu endereço IP: como em qualquer site, o seu navegador transmite-o ao nosso servidor em cada página. O site nunca o regista completo: o registo do servidor web só guarda a rede, com os últimos algarismos apagados, durante 30 dias no máximo (art. 13.º). O site deduz dele, em memória, o seu país e, consoante a utilização, uma impressão digital calculada com uma chave secreta do servidor (HMAC-SHA-256). Sem essa chave, ninguém pode encontrar um endereço IP a partir de uma impressão digital. Com ela, seria possível, experimentando todos os endereços possíveis: a chave fica no nosso servidor, a sua cópia de segurança é guardada à parte, nunca com as cópias de segurança da base de dados, e tratamos estas impressões digitais como dados pessoais, apagadas nos prazos do art. 17.º.

O seu país: uma pessoa prestadora pode ocultar a sua página de perfil aos visitantes de certos países. Para respeitar essa escolha, o servidor deduz o país da sua ligação a partir do seu endereço IP, graças a uma tabela de países (DB-IP Lite) guardada no nosso servidor. Este cálculo faz-se em memória, durante o tempo da página: nem o endereço nem o país são registados com a sua visita; o país só entra num total diário das estatísticas do site (art. 5.º). Uma página de perfil oculta no seu país responde-lhe como uma página inexistente. Uma VPN altera o país deduzido.

O contacto de uma página de perfil: o número ou o nome do Telegram que nela é indicado só é mostrado depois de o ter pedido, e esse pedido é contado para a página de perfil (art. 5.º). Uma mesma ligação só pode pedir 20 contactos por hora e 60 por dia: para além disso, o botão pede-lhe que aguarde. Para manter este limite, tal como os restantes limites máximos, o servidor guarda uma impressão digital com chave da ligação, apagada após 2 dias (art. 17.º), que não indica de que páginas de perfil pediu o contacto; aplica-se também se o seu navegador enviar o sinal Global Privacy Control: é uma proteção, não uma estatística. Os botões WhatsApp e Telegram abrem esses serviços com esse número ou esse nome e uma mensagem já escrita, sem lhes dizer de que página vem; o que lá faz rege-se pelas condições próprias desses serviços (art. 16.º). Uma chamada decorre fora do site.

A partilha de uma página de perfil através do respetivo botão é contada para a página de perfil, e nada mais. A pré-visualização de uma ligação partilhada mostra a imagem da IntimX, nunca a fotografia de uma pessoa.

Fora do registo do servidor web, o site não guarda nada que ligue as suas visitas de um dia para o outro ou de uma página de perfil para outra.

Estatísticas das páginas de perfil. Para cada página de perfil, o site conta, por dia (calendário de Zurique): as visitas, os pedidos de contacto (número, WhatsApp, Telegram), as aberturas do WhatsApp e do Telegram, e as partilhas. Para uma visita, regista também de onde vem, numa lista fechada (motor de pesquisa, outro site, ligação direta, página inicial, pesquisa do site, outra página de perfil, revista, outra página do site, ou uma lista do site por serviço, categoria e local), e em que língua o site estava a ser lido; nunca o endereço da página de origem nem as palavras pesquisadas.

Uma ligação só conta uma vez por dia, por página de perfil e por medição. Para isso, o servidor calcula uma impressão digital da ligação com uma chave secreta, própria do dia, da página de perfil e da medição; um endereço IPv6 conta pela sua rede (/64). Esta impressão digital muda todos os dias, não se liga nem a outra página de perfil nem a outro dia, e apaga-se no fim do respetivo dia. Não é calculada se o seu navegador enviar o sinal Global Privacy Control: o que fizer na página de perfil não é então contado. Só ficam os totais diários, durante 90 dias.

Não contam: a própria pessoa prestadora quando a sua sessão está aberta — num perfil duo, os seus dois membros —, os robôs que o site reconhece, e as páginas que o navegador carrega antecipadamente. Várias pessoas por detrás de uma mesma ligação contam como uma. Os números são, por isso, estimativas.

A pessoa prestadora só vê estes totais, nunca quem visitou a sua página de perfil. São apagados com a sua página de perfil no encerramento definitivo da sua conta, e constam da exportação dos seus dados (art. 21.º). Os de um perfil duo são contados no duo: os seus dois membros leem-nos, são apagados com ele (art. 17.º) e constam da exportação de cada membro (art. 21.º).

Estatísticas do site. O próprio site conta as suas páginas vistas, sem cookie de medição, sem script e sem serviço de terceiros. Cada página do site aberta por uma pessoa (nem um robô que o site reconhece, nem uma página que o navegador carrega antecipadamente) acrescenta uma unidade aos totais do dia, cada um à parte: por tipo de página, por língua, por proveniência (motor de pesquisa, outro site, ligação direta, ou uma página do site), por país (deduzido do endereço IP, em memória; só é guardado o total por país) e por tipo de dispositivo (telemóvel, tablet ou computador, deduzido do nome do navegador, que não é guardado). As páginas da área das pessoas prestadoras não são contadas. O site conta também quantas vezes o pedido de confirmação de idade é mostrado e confirmado. A abertura de uma ligação de convite, a partir do exterior do site, é contada por dia e por canal (WhatsApp, Telegram, partilha, cópia, ou uma ligação sem canal), sem o código nem nada que designe uma pessoa. Um clique no cartão «Publique o seu perfil» de uma lista é contado da mesma forma, por dia, sem o local nem a categoria da lista.

Para contar os visitantes do dia, cada um uma vez, o servidor calcula uma impressão digital da ligação com uma chave secreta, a mesma para todas as páginas de um dia; um endereço IPv6 conta pela sua rede (/64). Muda todos os dias, não serve para nenhuma outra medição, e apaga-se após 2 dias. Não é calculada se o seu navegador enviar o sinal Global Privacy Control: as suas páginas são então contadas sem ela. Com esta impressão digital, o site regista também, uma vez por visitante e por dia, o nome do site de onde chega, sem o endereço da sua página; sem impressão digital, não o regista. O nome de um site de onde vieram menos de cinco visitantes no dia nunca é mostrado, e apaga-se depois de passado o dia.

Cada total lê-se isoladamente, sem cruzamentos. Só ficam estes totais e os nomes dos sites de origem de pelo menos cinco visitantes por dia, durante 25 meses, no nosso servidor. Nenhum dado é transmitido a terceiros.

Qualquer pessoa pode denunciar uma página de perfil a partir da respetiva página, sem conta: escolhe um motivo numa lista fechada (perfil falso ou fotografias roubadas, pessoa menor de idade, contactos ou conteúdos proibidos, atividade ilegal, outro) e pode acrescentar pormenores, 1000 caracteres no máximo. Uma denúncia feita por uma pessoa prestadora com sessão iniciada é recebida como a de um visitante: nunca indica o seu autor.

Uma mesma ligação só denuncia uma página de perfil uma vez por dia; depois dessa primeira denúncia, ainda pode fazer mais duas no mesmo dia por uma pessoa menor de idade ou por uma atividade ilegal, ou com palavras que evoquem uma pessoa menor de idade ou o tráfico. Para manter esta contagem, o servidor guarda uma impressão digital com chave da ligação, própria do dia e da página de perfil, apagada após 30 dias.

Uma denúncia por uma pessoa menor de idade ou por uma atividade ilegal, ou cujas palavras evoquem uma pessoa menor de idade ou o tráfico (um filtro de palavras deteta-as), é comunicada imediatamente à equipa, através de um alerta que não contém nem nome nem texto. O filtro não decide nada: uma pessoa da equipa examina cada denúncia.

Os pormenores de uma denúncia só são lidos pela equipa, no processo da página de perfil denunciada; não constam de nenhum alerta nem de nenhum resumo. O site nunca mostra uma denúncia à pessoa denunciada nem, no caso de um perfil duo, aos seus membros; um pedido de acesso é examinado segundo o art. 26.º da LPD, e nunca dá aquilo que permitiria reconhecer o seu autor. Os pormenores são guardados enquanto a conta denunciada existir, e apagados 30 dias após o seu encerramento — os que visam um perfil duo, 30 dias após o fim do duo; a própria denúncia (o seu motivo, a sua data, o tipo de palavras que o filtro nela detetou e o seguimento dado pela equipa) é guardada durante 10 anos após o encerramento da conta denunciada, ou após o fim do perfil duo que visa, sendo depois apagada ou anonimizada, salvo processo em curso.

Se subscrever a newsletter da revista, guardamos o seu endereço de e‑mail, a língua escolhida e as datas do seu pedido, da sua confirmação e, se for o caso, do cancelamento da sua subscrição; como prova da sua subscrição, uma impressão digital com chave do endereço IP do seu pedido e do da sua confirmação, nunca o endereço IP em claro. Nada lhe é enviado antes de clicar na ligação do e‑mail de confirmação; depois, um e‑mail quando anunciamos um novo artigo na sua língua, e nada mais. Cada envio contém uma ligação para cancelar a subscrição num clique.

Um endereço nunca confirmado é apagado 7 dias após o último pedido, juntamente com as impressões digitais desse pedido. Quando cancela a subscrição, o seu endereço e as impressões digitais da sua subscrição são apagados: só guardamos uma impressão digital do seu endereço de e‑mail, calculada com uma chave secreta, com a língua e as datas, durante 24 meses, para não voltarmos a escrever-lhe. Introduzido de novo, um endereço cuja subscrição foi cancelada não recebe mais de um e‑mail de confirmação por semana, e nada mais sem um clique.

Uma mesma ligação só pode pedir a newsletter cinco vezes por dia; o rasto desses pedidos (uma impressão digital com chave da ligação) é apagado após 2 dias.

Fundamento: o seu consentimento, que retira ao cancelar a subscrição.

Na página «Oferece serviços?», o formulário «Uma pergunta? Nós respondemos» permite-lhe pedir à IntimX que volte a entrar em contacto consigo. Indica um meio (e‑mail, WhatsApp, Telegram ou telefone), o seu endereço, o seu número ou o seu nome do Telegram, e, se quiser, o seu cantão; guardamos também a língua em que estava a ler o site, e a data do seu acordo, dado ao assinalar a caixa do formulário.

Por e‑mail, o pedido confirma-se com um clique: enviamos-lhe imediatamente um e‑mail de confirmação, e nada mais antes de clicar na respetiva ligação, válida durante 24 horas. Um pedido só pode indicar um endereço, e um endereço não recebe mais de um e‑mail de confirmação por dia, seja qual for a pessoa que o introduz. Sem clique, o pedido é apagado após 7 dias. Como prova do seu pedido e da sua confirmação, guardamos, enquanto o pedido existir, as respetivas datas, o seu endereço de e‑mail e uma impressão digital com chave do endereço IP de cada uma das duas ações; nunca o endereço IP em claro.

Uma vez confirmado o seu pedido, uma pessoa da equipa responde-lhe por e‑mail. Escrevemos-lhe no máximo três vezes sobre este assunto, com pelo menos três dias de intervalo. Cada mensagem contém uma ligação para deixar de receber o que quer que seja, que apaga imediatamente o seu pedido, e qualquer outro pedido ou qualquer outro contacto que guardemos com o mesmo endereço. Um programa pode propor estas mensagens à equipa, sem ler os seus dados de contacto; uma pessoa da equipa aprova cada uma delas (art. 14.º).

Por WhatsApp, Telegram ou telefone, uma pessoa da equipa entra em contacto consigo por esse meio; não é pedido nenhum clique, e nada é guardado do seu endereço IP para além de 24 horas. O WhatsApp e o Telegram recebem então o seu número ou o seu nome de utilizador, e as nossas mensagens, fora da Suíça (art. 15.º e 16.º).

Uma mesma ligação só faz um pedido por dia; o rasto que o permite (uma impressão digital com chave da ligação) é apagado 24 horas após o pedido.

Para o recrutamento, guardamos também os dados de contacto de pessoas do setor que conhecemos de outra forma — através de uma recomendação, de um estabelecimento ou de um parceiro — e que nos pediram para as contactar, elas próprias ou através da pessoa que no-las recomenda: o meio de contacto, a língua, se for o caso o cantão, um nome, uma cidade e notas da equipa, bem como o acompanhamento das trocas de mensagens. Uma pessoa da equipa pode contactá-las, uma a uma, nunca pelo Telegram; o site não lhes envia nenhum e‑mail. Informamo-las disso no nosso primeiro contacto, o mais tardar um mês depois de termos registado os seus dados de contacto, indicando a respetiva proveniência; sem esse contacto, os dados são apagados.

Cada pedido ou contacto recebe um código de convite; se se inscrever com esse código, o seu pedido fica associado à sua conta. Um pedido ou um contacto é apagado 90 dias após a última troca de mensagens, a inscrição ou a recusa, ou, sem qualquer troca, 90 dias após o pedido; e o mais tardar com o endereço da conta a que conduziu, 30 dias após o encerramento dessa conta.

Fundamento: o seu consentimento, que retira através da ligação de cada mensagem ou escrevendo para privacy@intimx.ch; no caso das pessoas conhecidas de outra forma, o nosso interesse preponderante em recrutar, uma pessoa de cada vez, e o pedido dessas pessoas para serem contactadas.

Inscrição: o seu endereço de e‑mail, a sua palavra-passe (processada com Argon2id, nunca guardada em claro), o nome de apresentação que escolhe e a sua língua. Se se inscrever através de uma ligação ou de um código de convite, a IntimX guarda de que ligação vem a sua inscrição, quando esta contou e, se a equipa retirar o convite, quando e porquê (fraude ou pessoa menor de idade). A pessoa de quem vem essa ligação vê apenas quantas pessoas convidadas publicaram o próprio perfil e contam para essa pessoa, nunca o seu nome. A quem abre a ligação dessa pessoa, a IntimX só mostra o respetivo nome de apresentação e título se essa pessoa o tiver escolhido, nunca as respetivas estrelas. O administrador da equipa vê quem convidou quem; analisa os convites de uma pessoa em dois casos: mais de 4 pessoas convidadas com perfil publicado em 30 dias, ou a retirada de um convite por se tratar de uma pessoa menor de idade.

Prova da sua aceitação: a versão das CGU que aceitou e a da presente política que declarou ter lido, a respetiva data, e uma impressão digital SHA-256 do seu endereço IP, calculada com uma chave secreta do servidor. Esta impressão digital é duradoura: o mesmo endereço dá sempre a mesma impressão digital, o que permite verificar a prova em relação a um determinado endereço; não permite encontrar o endereço sem a chave (art. 4.º).

Perfil, público depois de publicado: o seu nome de apresentação, o título, a apresentação, a categoria (mulheres, homens ou trans), o serviço (escort, massagem ou BDSM), a localidade, escolhida na lista oficial das localidades suíças, e o respetivo cantão, as línguas que fala, e, se as indicar, as suas informações práticas: tarifas por duração ou «sob consulta», horários, ausências com datas, se recebe ou se desloca, serviços escolhidos numa lista fechada, meios de pagamento aceites. O seu número de telefone, com a indicação WhatsApp, e o seu nome de utilizador do Telegram só são mostrados ao visitante que os pede. O endereço da sua página é retirado do seu nome de apresentação; pode alterá-lo enquanto a sua página de perfil nunca tiver sido publicada, depois deixa de mudar, e continua reservado após o encerramento da sua conta (art. 17.º).

Perfil duo: um perfil que duas contas de pessoas prestadoras mantêm em conjunto, com as suas duas identidades verificadas. O seu nome, os seus textos, as suas informações práticas, o seu meio de contacto, as suas fotografias (com o nome de quem as adicionou) e as suas estatísticas são comuns aos dois membros; uma fotografia adicionada só é pública depois de aceite pelo outro membro. Cada membro vê do outro membro o nome de apresentação, a sua aceitação do duo tal como está escrito e, numa palavra, se tudo está pronto do lado desse membro, nunca o que falta; nunca a sua identidade, o seu endereço de e‑mail, os seus países ocultos nem as suas medidas, e o duo não conduz ao perfil próprio desse membro. A pessoa que introduz um código de convite lê o duo tal como seria publicado e o nome de apresentação de quem a convida, e depois aceita-o ou recusa-o; a pessoa que deu o código vê então o nome de apresentação de quem o introduziu, e fica a saber, numa palavra, se o convite foi recusado, expirou ou já não é válido, nunca porquê.

Um código de convite só é mostrado uma vez, à pessoa que o gera, e não é guardado nem na base de dados nem num registo: apenas a sua impressão digital, calculada com uma chave secreta do servidor. Esta só serve durante 7 dias, e apaga-se quando o código é utilizado, quando um novo código a substitui, quando o convite é retirado ou quando o duo termina. Os seus países ocultos e a sua opção relativa aos motores de pesquisa são copiados para a sua linha do duo, que o outro membro não lê: o duo fica oculto em todos os países em que um membro oculta o seu próprio perfil, e é retirado dos motores de pesquisa assim que um membro retira deles o seu; o outro membro pode aperceber-se disso ao procurá-lo a partir desses países ou num motor de pesquisa. Antes de o duo ser colocado online, e de novo quando um dos dois processos de identidade é objeto de nova decisão, a equipa analisa os dois processos lado a lado e declara se se trata de duas pessoas (art. 10.º). As medidas e as ações da equipa sobre o duo, e o respetivo motivo, leem-se na área dos seus dois membros; uma suspensão ou uma remoção do duo continua associada aos seus dois membros enquanto se mantiver, mesmo depois do fim do duo (art. 17.º).

Os serviços publicados dizem respeito à sua vida íntima: escolhe-os e publica-os por si, pode retirá-los a qualquer momento, e são apagados no encerramento definitivo da sua conta.

Perfil, nunca público: os países em que oculta a sua página de perfil (dez no máximo, nunca a Suíça) e a opção que a retira dos motores de pesquisa. Esta definição pode revelar de onde vem: não é inscrita nem no registo de auditoria nem no registo de eventos, e é apagada no encerramento definitivo da sua conta.

Fotografias: JPEG, PNG, WebP ou HEIC, 12 MB no máximo cada uma, 20 no máximo por perfil. Logo no envio, os seus dados ocultos (local, dispositivo, data) são removidos, incluindo do original; uma fotografia HEIC é guardada em JPEG. O original, sem metadados, é guardado para refazer as duas versões WebP que o site disponibiliza.

Início de sessão: só entra na sua área depois de o seu endereço ser confirmado através da ligação do e‑mail; antes disso, o início de sessão responde como se a palavra-passe estivesse errada, sem contar a sua palavra-passe correta entre as falhas que bloqueiam a sua conta. Para cada sessão, um token aleatório, guardado sob a forma de hash SHA-256, as suas datas de criação, de última atividade e de expiração, e uma impressão digital duradoura do seu endereço IP calculada com a chave secreta do servidor. Após 10 falhas seguidas, o início de sessão na sua conta fica bloqueado durante 15 minutos: o rasto desse bloqueio é apagado assim que inicia sessão ou escolhe uma nova palavra-passe, e o mais tardar 30 dias após o encerramento da sua conta (art. 17.º). Na página que envia uma nova ligação de confirmação, o endereço que escreve serve para o envio e não é guardado; a página responde da mesma forma a qualquer endereço.

Decisões da equipa: as medidas tomadas sobre o seu perfil (aviso, suspensão, remoção, levantamento), o respetivo motivo, retirado de uma lista fechada, e o esclarecimento que a equipa possa ter acrescentado para si; as datas em que a equipa, depois de rever uma medida, decidiu mantê-la; as fotografias que a equipa retirou, e o respetivo motivo; a retirada do seu perfil das listas até ser corrigido, e o respetivo motivo; as correções de serviço, de categoria ou de localidade feitas pela equipa, que um e‑mail lhe anuncia e que o seu perfil mostra. Lê-as na sua área, com exceção da manutenção de uma medida: não lhe é anunciada, e a exportação dos seus dados indica-a (art. 21.º). Os e‑mails que lhe anunciam as outras não indicam o motivo.

E‑mails: a lista dos e‑mails que lhe enviámos (o seu tipo e as suas datas), nunca o seu texto.

Antes de qualquer publicação, uma pessoa da equipa verifica a sua identidade. Entrega: o seu nome próprio, apelido e data de nascimento; a frente de um documento de identidade (passaporte, cartão de identidade, autorização suíça para estrangeiros B, C, L ou G, ou documento de identidade estrangeiro) e, se quiser, o seu verso; uma selfie em que segura o documento ao lado do rosto, com o código de quatro algarismos que a página lhe dá, escrito à mão. Cada documento tem 8 MB no máximo. O site recusa à partida uma data de nascimento que corresponda a menos de 18 anos.

Se o seu documento de identidade for de um Estado fora da União Europeia e da EFTA, a equipa pede-lhe, em vez dele, a sua autorização para estrangeiros (B, C, L ou G), verifica o seu tipo e a sua validade antes de aprovar, e regista a sua data de fim: para exercer esta profissão na Suíça, o direito dos estrangeiros exige uma autorização. Recebe um e‑mail de aviso 30 dias e, depois, 7 dias antes, sem indicação da data: entregue a sua nova autorização assim que a tiver, o seu perfil continua online enquanto a equipa a analisa; se não tiver uma nova autorização no dia em que a sua caduca, a equipa pede-lhe a autorização através de uma nova verificação (ver abaixo; art. 11.º; CGU, art. 12.º). Nada mais é pedido: esta autorização é guardada como qualquer documento, e a sua data de fim com o seu processo, no cofre. Uma nova autorização entregue antes da data é guardada da mesma forma ao lado do seu processo: se for aprovada, substitui a anterior, que é destruída, e a respetiva data de fim substitui a da anterior; se for recusada, é destruída, e a anterior vale até à respetiva data.

Estes dados são guardados num cofre à parte: o seu nome próprio, apelido e data de nascimento, e o código, são aí cifrados (AES-256-GCM), e os documentos são cifrados no disco, com uma chave guardada fora da base de dados. Só uma pessoa da equipa encarregada da verificação os abre; cada entrega, cada abertura e cada decisão são inscritas num registo de custódia que a equipa não pode alterar nem apagar. A sua selfie nunca é publicada, nunca é comparada com as fotografias do seu perfil, e nunca é mostrada a um programa de inteligência artificial.

A decisão é-lhe anunciada por e‑mail; o seu motivo, retirado de uma lista fechada, e o eventual esclarecimento da equipa aparecem na página «Identidade» da sua área. Uma nova entrega substitui a anterior, documentos incluídos, e apaga o esclarecimento da decisão anterior. A equipa pode pedir-lhe uma nova verificação, mesmo depois de uma aprovação: a sua página de perfil e os seus perfis duo saem então do site e voltam a rascunho; uma vez aprovado o novo processo, volta a colocar a sua página de perfil online, e um membro de um perfil duo volta a colocá-lo online após uma nova análise da equipa.

No caso de um perfil duo, uma vez aprovadas as duas identidades e antes de ser colocado online, e depois de novo quando um dos dois processos é objeto de nova decisão, uma pessoa da equipa abre os dois processos lado a lado e declara se se trata de duas pessoas; cada abertura é inscrita no registo de custódia. Esta análise — a sua conclusão, as duas decisões a que se refere, quem a fez e quando — é guardada com o duo (art. 17.º). Um duo relativamente ao qual a equipa não consiga estabelecer que reúne duas pessoas é suspenso por fraude, e os seus dois membros são avisados (art. 11.º).

Os documentos e a selfie são guardados enquanto a sua conta existir: a equipa pode precisar deles para uma nova verificação, para analisar os dois processos de um perfil duo, ou para uma autoridade (art. 18.º).

O seu processo é destruído 30 dias após o encerramento da sua conta, salvo conservação para uma autoridade (art. 18.º). O registo de custódia fica durante 10 anos após o encerramento, sendo depois apagado ou anonimizado, salvo processo em curso: indica quando o processo foi entregue, aberto e decidido, por que membro da equipa e com que motivo, sem o seu nome nem os seus documentos.

Fora da sua equipa, o site só escreve às pessoas que têm ou tiveram uma conta, que subscreveram a newsletter da revista, ou que pediram para ser recontactadas. Os seus e‑mails partem do endereço noreply@intimx.ch, através do serviço de envio da Infomaniak (art. 15.º); ninguém lê essa caixa de correio: uma resposta a um desses e‑mails chega a support@intimx.ch. Um e‑mail nunca indica o motivo de uma decisão: este aparece na sua área, com exceção de um encerramento pela equipa.

Às pessoas prestadoras, os e‑mails relacionados com a sua conta:

• «Damos-lhe as boas-vindas à IntimX», na inscrição, com a ligação de confirmação do seu endereço, válida durante 24 horas;
• «Confirme o seu endereço de e‑mail», com uma nova ligação, válida durante 24 horas: quando inicia sessão com a palavra-passe certa antes de o ter confirmado, ou quando a pede na página indicada pelos nossos e‑mails de confirmação (no máximo uma por hora e três em cada 24 horas), quando a equipa lha volta a enviar, ou quando esta altera o seu endereço a seu pedido — segue então para o novo endereço;
• «O endereço de e‑mail da sua conta IntimX foi alterado», para o endereço que deixa, uma única vez, quando a equipa altera, a seu pedido, um endereço que tinha confirmado; não indica nem o novo endereço nem nenhum nome;
• «O seu endereço de e‑mail foi introduzido na IntimX», se alguém introduzir o endereço da sua conta para criar outra; no máximo uma vez em cada 24 horas;
• «Escolha uma nova palavra-passe», quando o pediu; a ligação é válida durante 60 minutos;
• «A palavra-passe da sua conta IntimX foi alterada»;
• «Tentativas de início de sessão na sua conta IntimX», quando o início de sessão é bloqueado após falhas; uma vez por bloqueio, e no máximo uma vez em cada 24 horas;
• as decisões sobre a sua identidade: «A sua identidade está verificada», «O seu processo de identidade não foi aceite», «Precisamos novamente dos seus documentos de identidade»;
• «A sua autorização para estrangeiros está prestes a caducar», 30 dias antes da data de fim da sua autorização, se a equipa a tiver registado na sua verificação (art. 10.º), e depois «Lembrete: a sua autorização para estrangeiros está prestes a caducar», 7 dias antes; nenhum deles indica a data, e deixam de ser enviados depois de entregue a sua nova autorização; se não tiver uma nova autorização no dia em que a sua caduca, a equipa pede-lhe a autorização através de uma nova verificação («Precisamos novamente dos seus documentos de identidade»);
• as medidas da equipa: «Aviso sobre o seu perfil», «O seu perfil está suspenso», «O seu perfil foi retirado da IntimX», «A medida aplicada ao seu perfil foi levantada»;
• as ações da equipa sobre o seu conteúdo: «Foi retirada uma fotografia da sua galeria», «O seu perfil foi retirado das listas até ser corrigido», «A nossa equipa corrigiu o seu perfil», quando uma correção da equipa alterou alguma coisa;
• no caso de um perfil duo, cada membro recebe o seu próprio e‑mail de cada medida e de cada ação da equipa sobre o duo, que refere «o seu perfil duo»: «Aviso sobre o seu perfil duo», «O seu perfil duo está suspenso», «O seu perfil duo foi retirado da IntimX», «A medida aplicada ao seu perfil duo foi levantada», «Foi retirada uma fotografia do seu perfil duo», «O seu perfil duo foi retirado das listas até ser corrigido», «A nossa equipa corrigiu o seu perfil duo»; nenhum e‑mail anuncia uma medida ou uma ação sobre um duo terminado;
• quando um duo termina, o membro que fica recebe «O seu perfil duo já não está online», ou «O seu perfil duo terminou» se o duo nunca esteve online; nunca o membro que sai, nem quando uma conservação mantém o outro membro;
• o encerramento: «A sua conta IntimX está encerrada», quando a encerra, com a ligação para a reativar durante 14 dias; «A sua conta IntimX foi reativada»; «A sua conta IntimX foi encerrada», quando a equipa a encerra, exceto no caso de uma pessoa que poderá ser menor de idade e a pedido das autoridades, casos em que não é enviado nenhum e‑mail;
• «Uma pessoa convidada publicou o próprio perfil», quando uma pessoa que convidou publica o próprio perfil e lhe cabem dias em destaque: indica-lhe até quando os pode ativar, sem nomear essa pessoa;
• «As nossas condições mudam a …», pelo menos 30 dias antes da entrada em vigor de uma nova versão das CGU e da presente política.

Às pessoas prestadoras, três lembretes relacionados com a sua conta, cada um enviado no máximo uma única vez, e só depois do acordo de uma pessoa da equipa, a quem um programa os propõe (art. 14.º):

• «O seu endereço de e‑mail ainda não está confirmado», um dia após a inscrição, se o endereço ainda não estiver confirmado e continuar a ser o da inscrição;
• «O seu perfil ainda não está online», dois dias após a inscrição, se o perfil não estiver publicado nem a sua identidade aprovada;
• «O seu perfil pode ser publicado», dois dias após a aprovação da sua identidade, se o perfil não estiver publicado.

No máximo, chega-lhe uma mensagem deste tipo por cada período de 7 dias. Pode opor-se a elas escrevendo para privacy@intimx.ch; a equipa recusa então qualquer lembrete destinado a si que lhe seja proposto.

Aos leitores da newsletter da revista: «Confirme a sua subscrição da revista IntimX», e depois «Novo artigo: …» quando anunciamos um artigo na sua língua (art. 7.º).

Às pessoas que pedem para ser recontactadas por e‑mail: «Confirme o seu pedido de contacto», e depois, uma vez confirmado o pedido, no máximo três mensagens: «O seu pedido de contacto na IntimX» e os respetivos lembretes, «IntimX: a sua inscrição continua aberta» (art. 8.º).

A IntimX coloca três cookies, todos necessários ao funcionamento do site. Como exige o art. 45.º-c, alínea b, da LTC, indicamos-lhe aqui cada um deles, a sua finalidade e como recusá-lo:

• intimx_session: o token da sua sessão enquanto pessoa prestadora. Duração: 30 dias. HttpOnly, Secure, SameSite=Lax.
• intimx_age: a sua resposta ao pedido de confirmação de idade. Duração: 365 dias.
• intimx_locale: a língua escolhida, colocado apenas quando a língua lida difere da do seu navegador, ou quando já existe. Apagado ao fechar o navegador.

Nenhum cookie de medição de audiência ou de publicidade, nenhum rastreador, nada mais guardado no seu navegador. As estatísticas (art. 5.º) calculam-se no nosso servidor, sem colocar nada no seu dispositivo.

Pode configurar o seu navegador para recusar os cookies. Sem os dois primeiros, o início de sessão e a confirmação de maioridade não funcionam.

O registo do servidor web guarda, para cada página pedida, o endereço IP reduzido à sua rede — apagados o último dos quatro números de um endereço IPv4 e tudo o que se segue aos dois primeiros grupos de um endereço IPv6 —, o navegador e os outros cabeçalhos que o seu navegador envia com a página, exceto os seus cookies e os cabeçalhos que transmitem habitualmente um endereço IP, o endereço da página sem os seus parâmetros (incluindo o endereço de uma página de perfil, que retoma o nome de apresentação da respetiva pessoa prestadora, ou o nome de um perfil duo), a data e a resposta do servidor; nunca o endereço IP completo, nem a porta da ligação, nem os parâmetros de um endereço (uma pesquisa, uma ligação de confirmação, um código de duo), nem a página de onde vem. O registo de erros do servidor web não guarda nenhum endereço IP. Serve para a segurança e o diagnóstico, nunca para as estatísticas. Nenhuma linha lá fica mais de 30 dias.

O registo do sistema e os dos programas do site não guardam nem endereço IP, nem nome, nem endereço de e‑mail, nem texto redigido por uma pessoa; nenhuma linha lá fica mais de 30 dias.

O registo de auditoria inscreve as ações que alteram alguma coisa no site — uma inscrição, uma publicação, uma decisão da equipa, um apagamento planeado —, mas não uma simples visita contada; o registo de eventos inscreve o que daí decorre. Identificam cada conta, e cada perfil duo, por um identificador técnico, nunca pelo seu nome nem pelo seu endereço, e guardam o tipo da ação, a sua data, o seu resultado e, para alguns, uma chave retirada de uma lista fechada (um motivo, uma língua); nunca um texto livre, nem o código de convite de uma inscrição. São guardados como prova do que foi feito: até 10 anos após o encerramento da conta ou o fim do perfil duo que identificam — uma linha que não identifique nem uma nem outro, 10 anos depois de ter sido escrita —, sendo depois apagados ou anonimizados, salvo processo em curso.

Os alertas e o resumo diário que a equipa recebe só contêm números e datas, nunca um nome, um endereço ou um texto.

Um programa ajuda a equipa: deteta o que está pendente — um lembrete devido, um e‑mail que não foi enviado — e propõe uma ação, que uma pessoa da equipa aprova ou recusa. Nunca decide sobre uma verificação de identidade, uma medida, um encerramento nem um texto legal; nunca chega ao cofre; de um perfil duo, não lê nada — nem a página de perfil, nem as fotografias, nem as estatísticas, nem quem é membro dele, nem as mensagens que lhe dizem respeito — e não escreve nada sobre ele; nunca escreve livremente a uma pessoa: uma mensagem só pode vir de um catálogo fechado, traduzido e verificado. As suas propostas identificam a conta em causa pelo seu identificador técnico; essa menção é apagada 90 dias após a proposta, depois de esta ter sido decidida. Não sabe quem convidou quem.

Nenhum modelo de inteligência artificial recebe os seus dados.

Não vendemos nem alugamos os seus dados. Só são comunicados aos seguintes destinatários:

• O público: a página de perfil que publica, tal como descrita no art. 9.º.
• O outro membro de um perfil duo, a pessoa a quem dá um código de duo e aquela cujo código introduz: o que indica o art. 9.º.
• A pessoa de quem vem a ligação de convite com que se inscreveu: um número, nunca o seu nome; e qualquer pessoa que abra a sua própria ligação: o seu nome de apresentação e o seu título, se o tiver escolhido, nunca as suas estrelas (art. 9.º).
• A Infomaniak Network SA (Genebra, Suíça), que aloja o nosso servidor (base de dados e ficheiros) e transmite os nossos e‑mails, na qualidade de subcontratante.
• O WhatsApp ou o Telegram, se pedir que entremos em contacto consigo por um deles: o seu número ou o seu nome de utilizador, e as nossas mensagens (art. 8.º e 16.º).
• As autoridades: a página de perfil tal como publicada, mediante pedido escrito de uma autoridade suíça identificada — nunca um perfil duo, que contém as palavras e as fotografias de outra pessoa e só é entregue mediante ordem escrita (art. 18.º); qualquer outro dado (identidade, selfie, endereço de e‑mail, rastos de início de sessão, pormenores das denúncias), apenas mediante ordem escrita (apreensão ou obrigação de entrega, art. 263.º e 265.º do CPP). Uma autoridade estrangeira é remetida para a via do auxílio judiciário (Serviço Federal de Justiça, fedpol). No próprio dia, escrevemos à autoridade o que guardamos e até quando.

O site não recorre a nenhum outro fornecedor: nem serviço de mapas, nem medição de audiência, nem publicidade, nem notificações. A tabela de países (DB-IP Lite) e a lista oficial das localidades suíças (swisstopo) são ficheiros guardados no nosso servidor: os seus editores não recebem nada.

Os botões WhatsApp e Telegram de uma página de perfil não transmitem nada a esses serviços a partir do nosso servidor: o seu navegador abre esse serviço com o número ou o nome que a página de perfil indica e uma mensagem já escrita; o que lá faz rege-se pelas condições próprias desses serviços (art. 16.º).

O site e os seus dados estão alojados na Suíça, na Infomaniak Network SA; as cópias de segurança são guardadas nesse servidor e num servidor do Editor, na Suíça. Não confiamos os seus dados a nenhum fornecedor fora da Suíça. Alguns dados saem, no entanto, da Suíça:

• um e‑mail que lhe enviamos é entregue ao fornecedor da sua caixa de correio, no país onde este se encontra; essa entrega serve diretamente o serviço que pediu (art. 17.º, n.º 1, alínea b, da LPD);
• se pedir que entremos em contacto consigo por WhatsApp ou Telegram, as nossas mensagens passam por esses serviços: o WhatsApp trata-as nomeadamente nos Estados Unidos, em empresas certificadas cuja proteção a Suíça reconhece (anexo 1 da portaria sobre a proteção de dados); o Telegram, nos Países Baixos no caso de uma conta aberta a partir do Espaço Económico Europeu ou do Reino Unido, e, no caso de uma conta aberta noutro local, em países que não indica; escolheu este meio depois de ter lido, junto dessa escolha, que estes serviços tratam as suas mensagens fora da Suíça, onde a proteção dos dados nem sempre é a da Suíça (art. 17.º, n.º 1, alínea a, da LPD);
• um botão WhatsApp ou Telegram de uma página de perfil abre esses serviços a partir do seu navegador; os seus servidores estão fora da Suíça, e o que lá faz rege-se pelas respetivas condições.

Uma página de perfil publicada pode ser lida a partir de qualquer país, e os motores de pesquisa podem copiá-la: a lei não considera esta publicação uma comunicação para o estrangeiro (art. 18.º da LPD).

Conta aberta: os seus dados são guardados enquanto a sua conta existir, sem prejuízo dos prazos indicados abaixo. Uma conta cujo endereço de e‑mail nunca foi confirmado é encerrada e apagada 30 dias após a inscrição: o que o encerramento pela equipa apaga de imediato e o que é destruído 30 dias após um encerramento (ver abaixo) são apagados de uma só vez, e fica dela o que fica de uma conta encerrada. Nenhum e‑mail o anuncia, e o mesmo endereço pode servir para uma nova inscrição. Uma conta cujo endereço foi confirmado uma vez nunca é apagada desta forma, mesmo que a equipa o altere depois a seu pedido.

Encerramento por si: a sua página de perfil e os seus perfis duo saem imediatamente do site, e as suas sessões são terminadas; nada é apagado durante 14 dias, e pode voltar através da ligação do e‑mail «A sua conta IntimX está encerrada», ou iniciando sessão, sendo-lhe essa possibilidade proposta no início de sessão. Ao fim de 14 dias, o conteúdo da sua página de perfil (tudo o que nela escreveu e escolheu, os seus países ocultos), as suas fotografias e as suas estatísticas são apagados; os seus perfis duo terminam e são imediatamente apagados, juntamente com o que o outro membro neles escreveu e adicionou.

Encerramento pela equipa: o conteúdo da página de perfil, as fotografias e as estatísticas são apagados de imediato, sem período de graça; os perfis duo da conta terminam e são apagados da mesma forma.

30 dias após o encerramento: o seu endereço de e‑mail, a sua palavra-passe, o seu processo de identidade (campos, documentos, selfie, código e, se for o caso, a data de fim da sua autorização para estrangeiros), os esclarecimentos escritos para si pela equipa, a lista dos e‑mails que lhe enviámos, os pormenores das denúncias que visavam a sua página de perfil, o rasto dos controlos de qualidade que a equipa efetuou sobre a sua página de perfil e o de um bloqueio do início de sessão são destruídos; o seu nome de apresentação passa a ser «Conta encerrada».

O que fica depois, sem o seu endereço de e‑mail, é guardado durante 10 anos após o encerramento — o prazo geral de prescrição —, sendo depois apagado ou anonimizado, salvo processo em curso: o identificador técnico da conta, as suas datas e, se for o caso, o seu código de convite, nunca atribuído a outra pessoa; o endereço da sua página, retirado do seu nome de apresentação ou escolhido antes da sua primeira publicação (art. 9.º), reservado durante esse período para que nenhum outro perfil o retome; a data da primeira publicação; as denúncias recebidas, sem os seus pormenores, e as medidas tomadas, com as datas das suas manutenções; o rasto de um controlo de qualidade que incidia também sobre a página de perfil de outra conta, quando está inscrito em nome dessa conta; o registo de custódia da verificação de identidade; a prova da sua aceitação, com a respetiva impressão digital do endereço IP; as linhas dos registos de auditoria e de eventos.

Durante uma conservação para uma autoridade, o site apaga como habitualmente o que mostrava; só o que a conservação guarda e o processo de identidade no cofre aguardam o seu fim (art. 18.º).

Prazos específicos:

• Sessões: uma sessão expira após 30 dias; o seu rasto (datas e impressão digital do endereço IP) é apagado 30 dias após a sua expiração ou o seu fim.
• Endereço que a sua conta deixa quando a equipa o altera a seu pedido: apagado assim que o e‑mail que o avisa da alteração tiver sido enviado, e o mais tardar 7 dias após a alteração; só serve para esse e‑mail.
• Estatísticas das páginas de perfil: as impressões digitais do dia (visitas, pedidos de contacto, aberturas, partilhas), até ao fim do respetivo dia; os totais diários, 90 dias.
• Estatísticas do site: a impressão digital do dia, 2 dias; o nome de um site de origem de onde vieram menos de cinco visitantes no dia, até ao fim desse dia; os totais e os outros nomes, 25 meses.
• Denúncias: a impressão digital da ligação, 30 dias; os pormenores, enquanto a conta denunciada existir, e depois 30 dias após o seu encerramento — no caso de um perfil duo, 30 dias após o seu fim; a própria denúncia, 10 anos após o encerramento da conta denunciada ou o fim do perfil duo, sendo depois apagada ou anonimizada.
• Limites por ligação (inscrições, inícios de sessão recusados, ligações de palavra-passe, pedidos de uma nova ligação de confirmação, pedidos de contacto, pedidos da newsletter, códigos de duo introduzidos, estes contados também por conta, códigos de convite que não conduzem a ninguém): 2 dias. Pedido de recontacto: 24 horas.
• Newsletter da revista: um endereço nunca confirmado, 7 dias; as impressões digitais do pedido e da confirmação, com o endereço; após um cancelamento da subscrição, uma impressão digital com chave do endereço de e‑mail, 24 meses.
• Pedidos de recontacto por e‑mail nunca confirmados: 7 dias. Pedidos e contactos do recrutamento: 90 dias após a última troca de mensagens, a inscrição ou a recusa (art. 8.º).
• Propostas do programa que assiste a equipa: o identificador da conta, 90 dias após a decisão sobre a proposta.
• Convites: um convite que nunca contou, 12 meses após a inscrição; a associação entre duas contas, com a conta da pessoa que convida, ou com a da pessoa convidada, que passa então a ser apenas um número para a outra se tiver contado; os dias e os destaques, com a conta; as aberturas das ligações, 25 meses, como as estatísticas do site.
• Perfil duo: termina quando um membro o deixa, ou quando a conta de um membro é encerrada definitivamente. É apagado 14 dias após o seu fim — os seus textos, as suas fotografias e os respetivos ficheiros, as suas estatísticas, os motivos das fotografias que a equipa dele retirou —, ou imediatamente se nunca tiver sido ligado ou no encerramento definitivo da conta de um membro. 30 dias após o seu fim desaparecem o seu nome, os pormenores das suas denúncias, os esclarecimentos que a equipa escreveu com as suas medidas e as marcações «Visto» arquivadas sob ele; e também quem era membro dele e a análise da equipa aos dois processos (a sua conclusão, as duas decisões analisadas, quem e quando), exceto enquanto uma suspensão ou uma remoção abranger o duo, uma denúncia por uma pessoa menor de idade o visar ou uma denúncia sobre ele continuar em aberto, nunca para além da purga das duas contas; os e‑mails que falaram dele aos seus membros esquecem então o duo. Um pedido para integrar um duo que não teve seguimento desaparece 30 dias após o seu fim. A auditoria guarda as ações de cada membro, como para qualquer conta; a linha do duo — o seu endereço, o seu estado, as suas datas —, as suas denúncias e as medidas da equipa ficam no processo, como para um perfil cuja conta foi encerrada.
• Registo do servidor web e registo do sistema: 30 dias no máximo.
• Registo das aceitações, registo de custódia da verificação de identidade, registo de auditoria e registo de eventos: como prova, até 10 anos após o encerramento da conta ou o fim do perfil duo que identificam — uma linha que não identifique nem uma nem outro, 10 anos depois de ter sido escrita —, sendo depois apagados ou anonimizados, salvo processo em curso.

Cópias de segurança: todas as noites, a base de dados e os ficheiros (fotografias e documentos cifrados) são copiados. Um dado apagado do site fica nas cópias de segurança até 14 dias no caso da base de dados, e até 21 dias no caso das fotografias e dos documentos; a cópia guardada fora do servidor, cifrada na íntegra, segue os mesmos prazos. Os documentos e os campos de identidade ficam aí cifrados.

Em três casos, uma cópia do que uma conta contém é posta à parte antes de qualquer apagamento: quando a equipa encerra uma conta porque a pessoa poderá ser menor de idade; quando a encerra a pedido das autoridades; e quando uma autoridade penal suíça, cujo pedido foi verificado, pede que se guardem os dados de uma conta, que continua então aberta.

Esta cópia contém: a página de perfil tal como estava, com as suas datas e o endereço da sua página; os originais das fotografias, retirados da galeria; o endereço de e‑mail e as datas da conta; o processo de identidade — os seus documentos e a selfie são aí copiados, e os seus campos e o seu código ficam no cofre sem serem destruídos; as datas e as impressões digitais de endereço IP das sessões da conta; as denúncias que visavam a página de perfil (o seu motivo, os seus pormenores, a sua data e o seu seguimento, nunca quem as fez); quem convidou a pessoa para a IntimX, e quem ela aí convidou, com as datas desses convites. Nada mais que diga respeito a outra pessoa além desses convites e do que guarda o parágrafo seguinte.

Uma conservação que visa uma conta guarda também cada perfil duo de que essa conta é ou foi membro — o seu conteúdo, as suas denúncias e uma cópia das suas fotografias, incluindo as que o outro membro nele adicionou, e, de um duo já apagado, o que a base de dados ainda contém dele, a sua linha e as suas denúncias —, sem que o outro membro o saiba; um duo nunca é entregue com o perfil tal como publicado, apenas mediante ordem escrita.

É cifrada com uma chave própria. Só um administrador da equipa a pode abrir, e cada abertura é inscrita previamente num registo de custódia. Nenhum programa automático e nenhum modelo de inteligência artificial lhe tem acesso.

É guardada durante 90 dias. Mediante pedido escrito da autoridade, pode ser prorrogada uma vez por 90 dias; para além disso, apenas durante uma apreensão ou uma obrigação de entrega ordenadas por escrito. É destruída automaticamente no seu termo, ou mais cedo se a autoridade confirmar por escrito que já não precisa dela; os apagamentos habituais recomeçam então. A sua entrega segue o art. 15.º.

Uma imagem que possa estar abrangida pelo art. 197.º do CP não é aberta nem entregue pelas nossas ferramentas: é retirada do site, denunciada à polícia, e destruída 30 dias após essa denúncia, juntamente com as suas cópias.

Durante uma conservação, o site apaga como habitualmente o que mostrava; só a cópia e o processo de identidade guardado no cofre aguardam o seu fim. Quando a equipa encerra uma conta por uma possível menoridade ou a pedido das autoridades, não é enviado nenhum e‑mail à pessoa, nem ao outro membro de um dos seus perfis duo, e o motivo do encerramento só é escrito na conservação, sendo destruído com ela.

A IntimX aplica nomeadamente as seguintes medidas:

• Separação: uma base de dados PostgreSQL com quatro esquemas (aplicação, cofre, sistema, equipa) e cinco funções com palavras-passe distintas — uma por programa (o site, o envio dos e‑mails e as tarefas planeadas, o programa que assiste a equipa), uma para a consola da equipa, uma para as alterações de estrutura. Cada função recusa a palavra-passe de outra.
• Cofre: o seu endereço de e‑mail, a sua palavra-passe processada com hash e o seu processo de identidade estão num esquema à parte; o endereço que a sua conta acabou de deixar aguarda aí, durante o tempo do e‑mail que o avisa da alteração (art. 17.º). O programa que assiste a equipa não tem nenhum acesso a ele. O programa de envio dos e‑mails só lê aí, através de portas estreitas, o endereço de uma conta no momento do envio, ou esse endereço deixado, que esquece assim que o e‑mail é enviado, e quais as contas que aguardam o lembrete da data de fim da sua autorização para estrangeiros, sem essa data; só apaga aí os outros dados no seu termo, sem nunca deter a chave de cifragem.
• Cifragem em repouso: o seu nome próprio, apelido e data de nascimento, o código da selfie e os documentos de identidade são cifrados (AES-256-GCM), com uma chave guardada fora da base de dados e fora das cópias de segurança.
• Palavras-passe processadas com Argon2id; tokens de sessão guardados sob a forma de hash SHA-256; impressões digitais de endereços IP e dos códigos de convite de um duo calculadas com uma chave secreta (HMAC-SHA-256), que só o site detém, guardada também fora das cópias de segurança da base de dados.
• Transporte: HTTPS obrigatório, apenas em TLS 1.3; cookies Secure.
• Pedidos: a origem de qualquer pedido que altere alguma coisa é controlada; cookies SameSite.
• Acesso às linhas: cada tabela de dados de pessoas, nos esquemas aplicação e cofre, impõe a segurança ao nível das linhas do PostgreSQL, incluindo à função proprietária. O site só escreve no registo de auditoria, no registo de eventos e na fila dos envios através de portas estreitas, e não lê nada deles.
• Bloqueio: após 10 falhas de início de sessão, 15 minutos de bloqueio; para além de 30 tentativas recusadas numa hora a partir de uma mesma ligação, esta é travada; uma mesma ligação só pode pedir 20 contactos por hora e 60 por dia (art. 4.º).
• Registos: o registo de auditoria, o registo das aceitações e o registo de custódia só se escrevem por acréscimo. Fora do registo do servidor web (art. 13.º), nenhum registo nem nenhum alerta contém nome, endereço de e‑mail ou texto redigido por uma pessoa.
• Consola da equipa: nunca acessível a partir da Internet, apenas através de um túnel cifrado; entra-se nela com uma chave de acesso ou um código de recuperação impresso, nunca com uma palavra-passe; um documento de identidade ou uma conservação só aí se abre após uma nova confirmação feita com a chave de um computador ou com uma chave de segurança.
• Cópias de segurança: todas as noites, cifradas e depois copiadas para fora do servidor, para um servidor do Editor na Suíça onde o nosso servidor pode acrescentar uma cópia mas nunca apagar nenhuma; a chave que as decifra é guardada offline, nem no nosso servidor nem no do Editor, e nem a chave de cifragem do cofre nem a chave das impressões digitais constam delas.
• Violações: mantemos um registo das violações da segurança dos dados, e comunicamo-las ao PFPDT, e às pessoas afetadas, quando a lei o exige (art. 24.º da LPD).

Segundo a LPD (art. 25.º a 29.º e 32.º), pode:

• pedir o acesso aos seus dados pessoais e obter uma cópia deles, gratuitamente;
• mandar retificar dados inexatos. O seu perfil corrige-se na sua área; um perfil duo também, por cada membro, com o outro membro a aceitar cada alteração. Um endereço de e‑mail mal escrito na inscrição não se corrige: a ligação de confirmação foi enviada para o endereço escrito, e só se entra na área depois de a abrir; cria então uma nova conta com o endereço certo. Um endereço confirmado é alterado pela equipa, a seu pedido, mediante uma destas duas provas: um pedido escrito enviado a partir desse endereço para privacy@intimx.ch; ou, se já não tiver acesso a essa caixa de correio, um novo processo de identidade, que a equipa lhe pede para entregar e que aprovou há menos de 30 dias (a sua página de perfil e os seus perfis duo saem do site até essa aprovação, e depois volta a colocá-los online; art. 10.º). É então enviada uma ligação de confirmação para o novo endereço, e as suas sessões abertas são terminadas: volta a iniciar sessão depois de confirmado o novo endereço. O endereço deixado recebe um e‑mail que anuncia a alteração, sem o novo endereço; só é guardado para esse e‑mail (art. 17.º);
• pedir o apagamento dos seus dados: encerra a sua conta por si a partir da sua área (art. 17.º); também aí deixa um perfil duo, que é então apagado o mais tardar 14 dias após o seu fim (art. 17.º); no caso da newsletter da revista ou de um pedido de recontacto, basta a ligação de cada mensagem;
• receber os seus dados num formato estruturado, ou mandá-los transmitir a outro responsável (art. 21.º);
• opor-se a um tratamento baseado no nosso interesse preponderante, incluindo os lembretes (art. 11.º);
• retirar o seu consentimento a qualquer momento, sem efeito sobre o que foi feito antes.

Alguns dados são guardados apesar de um pedido de apagamento, durante os prazos do art. 17.º: as provas (a sua aceitação, registo de custódia, registos de auditoria e de eventos), as cópias de segurança até ao seu termo, e o que uma conservação para uma autoridade guarda (art. 18.º).

Mediante pedido, indicamos-lhe também quando o seu processo de identidade foi entregue, aberto e decidido, segundo o registo de custódia.

Podemos recusar, restringir ou adiar uma resposta nos casos previstos na lei (art. 26.º da LPD), por exemplo para proteger um terceiro; indicamos-lhe então o motivo.

Para exercer os seus direitos, escreva para privacy@intimx.ch, a partir do endereço da sua conta, se tiver uma. Respondemos no prazo de 30 dias; se o seu pedido exigir mais tempo, comunicamos-lhe isso antes do fim desse prazo, indicando o prazo previsto.

Pode comunicar um tratamento ao Encarregado Federal da Proteção de Dados e da Transparência (PFPDT), Feldeggweg 1, 3003 Berna, Suíça (edoeb.admin.ch), que pode abrir um inquérito (art. 49.º da LPD); um litígio é levado aos tribunais civis (art. 32.º da LPD).

A partir da sua área, na página «Conta», descarrega os seus dados num ficheiro (formato JSON estruturado):

• a sua conta: nome de apresentação, endereço de e‑mail, língua, datas de inscrição e de confirmação;
• a sua aceitação dos textos: as versões das CGU e da presente política, esta declarada lida, e as respetivas datas;
• os seus inícios de sessão: as datas de cada sessão;
• o seu perfil, com as suas informações práticas, os seus países ocultos e a opção relativa aos motores de pesquisa;
• a lista das suas fotografias, e as que a equipa retirou desde a sua última adição, com o respetivo motivo; as próprias fotografias são-lhe entregues mediante pedido para privacy@intimx.ch;
• a lista dos e‑mails que lhe enviámos (tipo e datas);
• os totais diários das estatísticas da sua página de perfil, dos últimos 90 dias;
• as decisões de moderação que lhe dizem respeito, com o respetivo motivo, o esclarecimento da equipa e as datas em que a equipa decidiu mantê-las;
• os convites: o seu código de convite, o número de pessoas convidadas que publicaram o próprio perfil e contam para si, e o seu próprio convite (as suas datas e, enquanto existir a conta da pessoa de quem vem a sua ligação, o seu código; nunca o nome nem a conta dessa pessoa); os seus dias em destaque e os seus destaques;
• o seu processo de identidade: o seu estado, a decisão, o respetivo motivo e esclarecimento, o seu nome próprio, apelido e data de nascimento, se for o caso a data de fim da sua autorização para estrangeiros e o estado da nova autorização que entregou (em análise ou recusada, com o respetivo motivo e esclarecimento), e a lista dos documentos entregues. Os próprios documentos são-lhe entregues mediante pedido para privacy@intimx.ch.
• os perfis duo de que faz ou fez parte, até ao seu apagamento: o que indicam e as respetivas datas, se os criou, as suas definições (o seu acordo para a respetiva colocação online, os seus países ocultos, a opção relativa aos motores de pesquisa, as suas datas de entrada e de saída), a lista das fotografias que neles adicionou, as fotografias que a equipa deles retirou (o respetivo motivo e a respetiva data, seja qual for o membro que as tinha adicionado), os totais diários das respetivas estatísticas, e as respetivas decisões de moderação, com o respetivo motivo, o esclarecimento da equipa e as datas das respetivas manutenções;
• um perfil duo já apagado, durante os 30 dias que se seguem ao seu fim, e para além disso enquanto uma suspensão ou uma remoção da equipa o ligar a ele: que era membro dele (se o criou, as suas datas de entrada e de saída), o fim e o apagamento do duo e as respetivas decisões de moderação.

Nunca os dados do outro membro de um duo, nem a união dos seus países ocultos.

A IntimX está reservada a pessoas maiores de idade (18 anos completos). É pedida uma confirmação de idade no primeiro acesso, e a verificação de identidade recusa qualquer pessoa com menos de 18 anos. As fotografias pornográficas são proibidas (CGU, art. 8.º).

A IntimX não recolhe conscientemente dados de pessoas menores de idade. Se tomarmos conhecimento de que uma pessoa menor de idade abriu uma conta, a equipa encerra-a imediatamente: a sua página de perfil, as suas fotografias e os seus perfis duo saem do site e são dele apagados, é guardada uma cópia para as autoridades segundo o art. 18.º, e não é enviado nenhum e‑mail, nem sequer ao outro membro de um dos seus perfis duo.

Qualquer denúncia que diga respeito a uma pessoa menor de idade é tratada com prioridade absoluta: a equipa é imediatamente avisada. Em caso de urgência, escreva também para legal@intimx.ch.

O Editor pode alterar a presente política. Uma alteração importante é anunciada por e‑mail aos titulares de uma conta aberta, pelo menos 30 dias antes da sua entrada em vigor. A data da versão em vigor é indicada no início do documento. As versões anteriores estão disponíveis mediante pedido para support@intimx.ch.

Para qualquer questão sobre a proteção dos seus dados:

Responsável pelo tratamento: N.JULIEN Contacto: privacy@intimx.ch

Para as questões gerais: support@intimx.ch Para as denúncias urgentes (pessoa menor de idade, tráfico) e as autoridades: legal@intimx.ch

Autoridade de supervisão: Encarregado Federal da Proteção de Dados e da Transparência (PFPDT) Feldeggweg 1, 3003 Berna, Suíça edoeb.admin.ch