Déclaration de protection des données

1. Qui est responsable

Seule la personne mentionnée ci-dessus est responsable ; personne d’autre ne décide avec elle de ce qu’il advient de tes données. Qui d’autre que nous en voit quelque chose figure dans la section « Où se trouvent les données et qui d’autre les voit ».

Nous n’avons pas désigné de conseillère ou de conseiller à la protection des données au sens de l’art. 10 LPD.

2. L’essentiel en bref

• Chercher, comparer et lire se fait sans compte. Ce que tu cherches, nous ne l’enregistrons pas – à trois exceptions près : si ta recherche ne trouve rien, nous notons pendant 30 jours ce qui a été cherché, afin de trouver l’erreur ; et si, dans la recherche, tu cliques sur une annonce, un établissement ou un autre portail, nous notons lors de ce clic avec quels filtres tu as cherché ; et depuis le 10.10.2026, nous notons chaque recherche avec la date et l’heure, avec ses filtres tirés de nos listes et le nombre de résultats – sans toi –, et nous supprimons cela après 30 jours. Nous comptons les consultations en sommes journalières. Si tu cliques sur un autre portail, une annonce externe, la page d’un établissement ou un profil, nous notons en outre la date et l’heure de ce clic, ainsi que, en gros, s’il s’agit d’un mobile ou d’un ordinateur, le pays et, si le clic venait de la recherche, ses filtres – sans toi : pas d’adresse IP, pas d’identifiant d’appareil, pas de cookie –, et nous supprimons cela après 30 jours. Depuis le 29.9.2026, nous comptons en plus combien d’appareils différents sont venus en un jour – au moyen d’une valeur de contrôle dont la clé change chaque nuit, et d’un cookie qui ne contient que le jour de ta dernière visite ; au-delà d’une journée, nous ne te reconnaissons pas par ce moyen, et tu peux le refuser d’un clic. La publicité n’apparaît que signalée et vendue directement par nous – pas de régies publicitaires, pas de traceurs publicitaires, pas de services d’analyse tiers et pas de scripts ni de polices provenant de serveurs tiers. Les profils mis en avant contre paiement portent « Mis en avant · payant ».
• Les données se trouvent sur nos propres appareils en Suisse. Pas d’hébergeur, pas de stockage en nuage. Le site est raccordé via Cloudflare, une entreprise établie aux États-Unis ; celle-ci voit ce faisant ton adresse IP et la page que tu consultes.
• Des annonces d’autres portails, nous n’enregistrons ni numéros de téléphone en clair, ni photos, ni textes d’annonce, ni adresses de rue. Le nom de travail, l’âge et les caractéristiques physiques ne sont conservés que tant que l’annonce est en ligne et sont supprimés sept jours après. Chez nous, on peut chercher par nom de travail, avec des freins.
• Qui publie une annonce là-bas et ne veut pas apparaître ici s’y oppose sans compte, par un bouton sur la carte.
• Si tu publies une annonce ici, ton profil est public et trouvable par les moteurs de recherche. L’adresse e-mail de ton compte ne l’est jamais – une adresse de contact que tu saisis toi-même et que tu rends publique, si.
• Nous ne regardons une pièce d’identité que si tu te fais vérifier. Jusqu’à ce que nous l’ayons regardée, ta photo reste chiffrée chez nous ; avec la décision, elle est supprimée, au plus tard après trois jours.
• Nous ne vendons pas de données sur des personnes. Dès que nous proposons des rapports de marché, nous vendons des chiffres sur l’offre, les prix et la demande – jamais en dessous de cinq annonces par chiffre et jamais sur une personne isolée ou une annonce isolée. Ce qu’ils contiennent et qui d’autre que nous voit quelque chose figure dans la section « Où se trouvent les données et qui d’autre les voit ».
• Si tu nous paies quelque chose, dès qu’il existe des offres payantes, nous conservons la commande, la facture et le justificatif pendant dix ans, comme la loi l’exige. Ton IBAN et le nom sous lequel ta banque paie, nous ne les enregistrons pas (voir « Quand tu paies »).

3. Quand tu visites le site

L’application n’enregistre pas ton adresse IP. Elle compte les consultations en sommes journalières. Une à une, avec la date et l’heure, elle note trois choses : les clics sur un autre portail, une annonce externe, la page d’un établissement ou un profil – en gros avec le type d’appareil et le pays et, si le clic venait de la recherche, avec ses filtres, mais sans adresse IP, sans identifiant d’appareil et sans cookie, pendant 30 jours (voir « Statistiques : compter et noter sans te connaître ») –, depuis le 10.10.2026 chaque recherche – avec ses filtres tirés de listes fixes et le nombre de résultats, sans indication de qui tu es, 30 jours, dans la même section sous « Recherches avec date et heure » –, et les recherches qui n’ont rien trouvé (voir « Recherches sans résultat : ce qui a été cherché »). Elle ne tient aucun journal de qui a consulté quoi. Lors de la connexion, de l’inscription et des signalements, nous comptons les tentatives par adresse d’origine dans la mémoire vive, pour freiner les abus. Ce compteur n’entre jamais dans la base de données et disparaît après un redémarrage.

Ce que tu cherches et les filtres que tu choisis, nous ne les enregistrons pas – ni rattachés à toi ni sous forme d’historique. Est compté, en somme journalière pour tout le monde ensemble, quels types de recherches et quels filtres ont été utilisés et, depuis le 4.10.2026, ce qui a été cherché – chaque valeur et chaque terme tapé pris isolément, sans lien avec toi ni avec les autres valeurs de la même recherche ; la manière exacte figure sous « Statistiques : compter et noter sans te connaître ».

Il y a une exception, et elle est décrite en détail sous « Recherches sans résultat : ce qui a été cherché » : si ta recherche ou ta comparaison des prix ne trouve rien, nous notons ce qui a été cherché – pendant 30 jours, afin de pouvoir trouver l’erreur. Cette ligne n’est rattachée à rien : pas de compte, pas de session, pas d’adresse IP, pas de cookie.

Ce sur quoi tu cliques, nous le notons lorsqu’il s’agit d’un autre portail, d’une annonce externe, de la page d’un établissement ou d’un profil : avec la date et l’heure, mais sans rattachement à toi. La ligne ne contient rien qui nous permettrait de te reconnaître, toi ou ton appareil, et nous ne tenons pas d’historique par visiteur. Depuis le 5 octobre 2026, elle indique en gros s’il s’agissait d’un mobile ou d’un ordinateur et de quel pays venait le clic. Ce que contient exactement la ligne, combien de temps elle reste et ce qu’on peut malgré tout en déduire figure sous « Statistiques : compter et noter sans te connaître ».

Si tu cherches un nom, ton navigateur ne l’envoie pas dans l’adresse, mais une seule fois à notre serveur. Il y reste, sous un identifiant aléatoire, 20 minutes au plus dans la mémoire vive, afin que tu puisses parcourir les résultats. Si la recherche par nom trouve quelqu’un, nous comptons depuis le 29.9.2026, en somme journalière, combien de fois ce nom a été cherché – pendant 30 jours, sans lien avec toi (voir « Statistiques : compter et noter sans te connaître »). Si elle ne trouve personne, le nom cherché va dans le journal de diagnostic ci-dessous. Depuis le 4.10.2026, nous comptons en outre chaque nom cherché en somme journalière, avec ou sans résultat, pendant 90 jours et, là aussi, sans lien avec toi. La recherche par nom est freinée contre les interrogations en masse, pour l’ensemble des visiteurs et sans adresse IP.

Le site te dépose au plus neuf cookies. Sept d’entre eux n’apparaissent que si tu fais quelque chose pour cela :

• sitzung – seulement si tu te connectes. Une clé aléatoire qui maintient ta session ouverte, illisible pour les scripts, valable 30 jours au plus.
• muster – seulement si tu changes de thème de couleurs. Garde ton choix un an, en mode discret seulement jusqu’à la fermeture du navigateur.
• diskret – seulement si tu actives le mode discret. Disparaît quand tu fermes le navigateur.
• alter – seulement si, sur un profil, tu confirmes avoir 18 ans au moins pour voir les photos derrière le contrôle d’âge. Il contient la valeur fixe « ab18 » et rien d’autre : pas de nom, pas de date de naissance, pas d’identifiant. Un an, en mode discret seulement jusqu’à la fermeture du navigateur. Nous n’enregistrons rien sur cette confirmation dans notre base de données.
• anmeldeweg – seulement si tu appuies sur « Se connecter avec Google/Apple/Microsoft » ou, sur la page de ton compte, sur « Lier à … ». Garde pendant dix minutes au plus quelle connexion ton navigateur vient de commencer (trois valeurs aléatoires, la langue et la page sur laquelle tu veux revenir ensuite ; pour une liaison, en plus l’identifiant de ton compte et une valeur de contrôle de ta session, pas sa clé), afin que personne ne puisse te glisser une connexion étrangère. Ne vaut que pour les adresses sous /anmeldung/ et est supprimé dès que tu reviens de chez le fournisseur.
• eigenzugang – seulement si tu te connectes avec le code que tu as reçu en confirmant un profil que quelqu’un a créé pour toi. Une clé aléatoire, illisible pour les scripts, valable 30 minutes au plus et supprimée à la déconnexion.

Depuis le 29 septembre 2026 s’y ajoute un cookie que tu ne demandes pas : besuch. Il contient deux choses – le jour de ta dernière visite et une valeur aléatoire que nous n’enregistrons nulle part. Il ne contient pas ce que tu fais, cherches ou regardes ici. Nous en tirons, en somme journalière, combien d’appareils viennent pour la première fois et combien reviennent ; il n’existe aucun historique te concernant. Il dure une demi-année. Si ton navigateur arrive avec une session ouverte chez nous, nous le supprimons immédiatement : il ne doit jamais se trouver à côté de ton compte.

Tu peux le refuser sans avoir de compte et sans JavaScript : sur la page « La discrétion nous tient à cœur » (dans le pied de page : « Discrétion ») se trouve le réglage « Ne pas compter ce navigateur ». Il ne désactive pas seulement ce cookie, mais tout le comptage pour ce navigateur. En mode discret, tu ne reçois de toute façon pas le cookie de visite. Et dans la fenêtre de navigation privée de ton navigateur, il disparaît avec la fenêtre – chaque visite y compte comme une nouvelle.

Depuis le 4 octobre 2026 s’en ajoute un deuxième : zufallsmuster. Si tu n’as jamais choisi de thème de couleurs, nous en tirons un au hasard parmi les sept lors de la première consultation et le retenons dans ce cookie, afin qu’il reste le même au rechargement et sur chaque page suivante. Il ne contient que le nom du thème – sur chaque appareil qui a tiré le même, le même mot –, aucun identifiant et rien sur ce que tu fais ici. Il disparaît quand tu fermes le navigateur ; la fois suivante, nous tirons à nouveau. Si tu choisis toi-même un thème de couleurs, ton choix s’applique et nous supprimons zufallsmuster. Tu peux le refuser en réglant ton navigateur pour qu’il n’accepte pas les cookies de ce site ; chaque page rechargée montre alors un thème tiré à nouveau.

À part cela, le site ne dépose aucun cookie. C’est pourquoi il n’y a pas non plus de fenêtre de consentement : l’art. 45c LTC exige une information et la possibilité de refuser – les deux figurent ici et sur la page avec le réglage –, mais pas de consentement préalable.

Le cookie zaehlen, tu le reçois si tu choisis « Ne pas compter ce navigateur » – sur la page « La discrétion nous tient à cœur » ou, pour nous-mêmes, dans l’administration. Il ne contient que le mot « nein », est le même sur chaque appareil exclu et sert à exclure, jamais à reconnaître. Un autre cookie, luecken_meldung, n’existe que pour nous-mêmes et seulement dans l’administration ; il garde pendant deux minutes quel retour la dernière saisie a déclenché. Qui ne fait que visiter le site ne le reçoit jamais.

De la publicité seulement signalée et vendue directement par nous – pas de régies publicitaires, pas de traceurs publicitaires, pas de services d’analyse tiers, pas de pixels de comptage, pas d’analyse de ton comportement. Chez nous, une publicité est une carte que nous dessinons nous-mêmes à partir de texte, toujours avec la mention « Publicité · Annonceur » ; elle figure sur la page d’accueil, sur des pages de localité ou dans les résultats de recherche, jamais sur la page d’un profil, et ne charge rien depuis des serveurs tiers (voir « Quand tu fais de la publicité chez nous »). Les profils que quelqu’un fait mettre en avant contre paiement figurent uniquement dans un bandeau séparé au-dessus de la liste de résultats de la recherche et portent toujours la mention « Mis en avant · payant » ; le bandeau ne charge rien depuis des serveurs tiers. Le site ne charge aucun script, aucune police, aucune carte ni aucune vidéo d’autres entreprises. Chaque page envoie l’instruction « Referrer-Policy: same-origin » : si tu passes d’ici à un autre portail, celui-ci n’apprend pas sur quelle page tu étais chez nous, ce que tu as cherché ni quels filtres tu as choisis. Aucun renvoi vers notre site ne sort ainsi vers l’extérieur ; seul notre propre serveur apprend de laquelle de nos pages venait un clic.

Que le clic venait de rosalon, le portail cible l’apprend toutefois depuis le 19.9.2026. L’adresse vers laquelle nous te redirigeons porte pour cela l’ajout « utm_source=rosalon ». Il est le même pour chaque visiteur, chaque clic et chaque annonce : pas de numéro, pas d’heure, aucune marque te concernant. Le portail peut en déduire combien de personnes viennent de chez nous – pas qui tu es, ni si tu as déjà visité ce portail. Si tu ne veux pas transmettre cela non plus : l’ajout figure ouvertement dans la barre d’adresse et peut y être effacé, et les extensions qui suppriment de tels ajouts le reconnaissent.

Liens vers des services tiers. Si, sur la page d’un établissement, tu appuies sur Itinéraire, Horaire ou Uber, le service de Google, des CFF ou d’Uber s’ouvre avec l’adresse de l’établissement comme destination ; ce que ce service en fait, c’est lui qui le détermine. Nous ne lui transmettons pas d’où tu viens. Le lien vers Bolt mène seulement à la page de Bolt pour la région, sans destination.

Point de départ et temps de trajet. Si tu cherches des établissements près de chez toi, tu saisis un code postal ou un lieu, ou tu laisses ton navigateur déterminer ta position – il te le demande auparavant. Nous arrondissons le point à environ un kilomètre avant qu’il ne quitte ton navigateur, puis encore une fois sur le serveur. Il figure seulement dans l’adresse de la page, ni dans un cookie ni dans la base de données ; il figure donc bel et bien dans l’historique de ton navigateur. Qui veut l’éviter tape un code postal. Pour la durée du trajet en transports publics, notre serveur interroge opentransportdata.swiss, le service d’horaires des transports publics : avec le point de départ arrondi, le centre de la localité de l’établissement et l’heure, sans ton adresse IP et sans indications sur ton navigateur. Les trajets en voiture, à vélo et à pied, nous les calculons sur notre propre appareil. Nous ne gardons les résultats que dans la mémoire vive ; pour combien de temps, cela figure plus bas dans le tableau.

Informations routières et perturbations des transports publics. Les informations routières de l’Office fédéral des routes (OFROU), notre serveur les récupère pour toute la Suisse et ne les garde que dans la mémoire vive ; l’OFROU n’apprend rien à cette occasion sur toi, ton point de départ ou l’établissement. Les perturbations des transports publics arrivent avec la réponse d’opentransportdata.swiss, sans autre requête.

La sortie rapide sur chaque page passe immédiatement à google.ch, remplace ce faisant l’entrée dans l’historique, vide la mémoire du navigateur pour ce site et supprime les cookies muster et zufallsmuster, diskret et alter. Ce que ton navigateur enregistre par ailleurs ou synchronise avec d’autres appareils, aucun site web ne peut l’effacer.

4. Statistiques : compter et noter sans te connaître

Nous comptons les consultations en sommes journalières. D’une consultation, il ne reste dans ces compteurs que le fait qu’un compteur augmente de un ce jour-là, et ce séparément pour : le type de page (par exemple « Page de profil », jamais son adresse avec un numéro ou des termes de recherche), la langue, mobile ou ordinateur, le site web d’où tu venais – seulement son adresse principale, par exemple google.ch –, le pays (plus bas), et, pour la page d’un établissement, de quelle page d’établissement il s’agissait. Si tu arrives par le code QR de l’une de nos cartes de visite ou de nos autocollants imprimés, nous comptons seulement de quel support il s’agissait – « Carte de visite » ou « Autocollant » –, également en somme journalière, dans une ligne à part, et rien d’autre ; l’ajout utilisé pour cela, nous le retirons aussitôt de l’adresse. Pour les moteurs de recherche et autres programmes, nous comptons leur type et un nom abrégé. Quatre types de clics sont en outre notés un à un, avec la date et l’heure, en gros avec le type d’appareil et le pays et avec les filtres de la recherche dont venait le clic, mais sans indication de qui tu es – lesquels, cela figure plus bas sous « Clics avec date et heure ».

De quel pays venait ta consultation, nous le comptons depuis le 29.9.2026 également en somme journalière. Cloudflare, par lequel le site est raccordé, nous transmet pour cela le pays sous forme de code, par exemple « CH » – nous ne lisons pas ton adresse IP à cette fin, et le code figure dans une ligne à part, jamais avec la langue, l’appareil ou la page. Qui passe par le réseau Tor est compté sans pays. Pour les moteurs de recherche et autres programmes, nous ne comptons pas de pays. En gros – la Suisse, l’Allemagne, la France, l’Italie, l’Autriche, le Liechtenstein ou « autre » –, le pays figure en outre depuis le 5 octobre 2026 pour chaque clic dans la liste plus bas (« Clics avec date et heure »).

Ne sont pas enregistrés : ton adresse IP et l’identifiant de ton navigateur – le comptage les lit tous deux pour écarter les consultations provenant de notre propre réseau et pour en calculer la valeur de contrôle qui change chaque jour (plus bas), et les oublie au même instant –, l’adresse complète avec les termes de recherche et l’adresse complète de la page d’où tu viens – si un clic vient de notre recherche, nous ne prenons dans son adresse que les filtres cochés (plus bas, « Clics avec date et heure ») et oublions le reste. Du seul cookie qui apparaît à cette occasion, rien ne figure dans notre base de données : il se trouve sur ton appareil, et chez nous il ne reste qu’une somme. Dans les sommes journalières, les caractéristiques ne figurent jamais ensemble dans une même ligne : quelle langue allait avec quelle provenance, cela ne figure nulle part. Il n’existe dans ces statistiques aucun historique par personne. Quelque chose est noté individuellement à trois endroits : les clics vers une destination, avec la date et l’heure, en gros avec le type d’appareil et le pays et avec les filtres de la recherche précédente, mais sans indication de qui tu es (plus bas, « Clics avec date et heure »), depuis le 10.10.2026 chaque recherche avec la date et l’heure, ses filtres et le nombre de résultats, également sans indication de qui tu es (plus bas, « Recherches avec date et heure »), et les recherches sans résultat (dans la section « Recherches sans résultat : ce qui a été cherché »). Le préchargement de pages, l’espace prestataires et l’administration ne sont pas comptés, pas plus que les consultations provenant de notre propre réseau, d’administratrices et administrateurs connectés et d’appareils expressément exclus par le cookie zaehlen – par toi-même ou par nous. Les chiffres, seuls nous les voyons.

Depuis le 1er octobre 2026, nous comparons en outre ton adresse IP avec les listes publiques dans lesquelles Amazon Web Services, Google Cloud, Microsoft Azure, Oracle Cloud et DigitalOcean indiquent les adresses de leurs centres de calcul, ainsi qu’avec les plages d’adresses d’autres exploitants de centres de calcul comme OVHcloud, Hetzner ou Contabo, que nous tirons des données de routage publiques du RIPE NCC : si une consultation vient de là, nous la comptons comme programme et non comme être humain, et la somme journalière indique alors seulement duquel de ces exploitants elle venait – l’adresse elle-même, nous ne l’enregistrons pas non plus à cette fin.

Depuis le 29 septembre 2026, nous comptons aussi combien d’appareils différents sont venus en un jour. Pour cela, nous calculons à partir de ton adresse IP et de l’identifiant de ton navigateur une valeur de contrôle – une valeur de hachage dont on ne peut retrouver ni l’une ni l’autre. La clé change chaque nuit : la même connexion avec le même navigateur donne demain une valeur entièrement différente, et les deux ne peuvent pas être rapprochées, pas même par nous. L’adresse IP elle-même, nous ne l’enregistrons toujours jamais, pas même temporairement. La clé principale ne se trouve pas dans la base de données, mais seulement dans l’environnement du serveur.

Ces valeurs de contrôle restent deux jours au plus. Dès qu’un jour est terminé, il n’en reste que le simple nombre – « ce jour-là, il y avait tant d’appareils » –, et les valeurs elles-mêmes sont supprimées. Plus longtemps, elles ne serviraient de toute façon à rien : avec la clé d’hier, on ne peut rien comparer d’aujourd’hui.

Du cookie besuch (voir plus haut), nous tirons deux choses, toutes deux seulement en somme journalière : si un appareil est venu ce jour-là pour la première fois ou s’il est revenu, et à quand remonte la dernière visite, en quatre groupes grossiers – hier, il y a 2 à 7 jours, il y a 8 à 30 jours, plus longtemps. Un appareil compte une fois par jour, pas une fois par page. Ce que tu as regardé ou cherché un jour donné ne figure dans aucune de ces lignes ; elles disent seulement que quelqu’un est venu.

Ce que ces chiffres ne peuvent pas faire, et cela en fait partie : une personne avec un téléphone et un ordinateur portable, ce sont deux appareils. Deux personnes sur le même Wi-Fi avec le même navigateur n’en font qu’un. En navigation privée, chaque visite compte comme une nouvelle. C’est une estimation du nombre de personnes présentes ici, pas un décompte de personnes – et elle est volontairement si grossière qu’elle ne dit rien de toi.

Ces sommes journalières non plus ne restent pas éternellement : après 24 mois, nous les supprimons. Les chiffres sur l’ensemble des visiteurs ne concernent aucune personne ; les supprimer est un engagement de notre part et non une obligation découlant de la loi. Les chiffres par profil, en revanche, sont rattachés à une annonce : le même délai s’applique à eux, et ils disparaissent en outre avec l’annonce ou le compte. Deux ans suffisent pour une comparaison avec l’année précédente ; nous n’avons pas besoin de plus.

Les clics vers l’extérieur, nous les comptons de même en somme journalière. Un lien vers une annonce sur un autre portail, vers le site web d’un établissement ou vers la fiche d’un établissement sur un portail passe par une redirection propre chez nous. Là, un compteur pour l’adresse principale de la destination augmente de un – par exemple xdate.ch –, et le navigateur poursuit son chemin. N’est compté que le clic d’un être humain, pas celui des moteurs de recherche et autres programmes ; la redirection a lieu dans tous les cas. Depuis quelle page, cela ne figure nulle part ; quand le clic a eu lieu, en gros avec quel type d’appareil et depuis quel pays et – si le clic venait de la recherche – avec quels filtres on a cherché, nous le notons dans la liste plus bas (« Clics avec date et heure »). Les filtres, le lien de la recherche les transmet à notre redirection ; l’autre portail ne les apprend pas. La redirection ne mène qu’à des adresses qui figurent réellement chez nous. L’adresse cible porte l’ajout « utm_source=rosalon » – le même pour tous les visiteurs ; ce qu’il est et ce qu’il n’est pas figure plus haut sous « Quand tu visites le site ».

Quelle annonce externe c’était, nous le comptons depuis le 29.9.2026 dans une ligne à part, à côté : pour chaque annonce cliquée, un compteur augmente de un, avec un identifiant interne et rien d’autre – jamais le nom de travail, jamais un numéro de téléphone, jamais l’adresse de l’annonce, jamais le portail dans la même ligne, et jamais avec la langue, l’appareil ou la provenance. Ce nombre, seuls nous le voyons, dans l’administration ; il ne figure sur aucune page publique ni dans les chiffres du marché. Cette ligne reste 30 jours et non, comme les autres sommes journalières, deux ans : une annonce appartient à une personne, et une série plus longue serait une série chronologique sur elle. Qui gère l’annonce peut, comme jusqu’ici, s’y opposer par le bouton sur la carte ; cette ligne ne peut alors plus non plus être rattachée. Quand une annonce a été cliquée figure en outre dans la liste plus bas (« Clics avec date et heure »), sous le même identifiant et, là, en gros avec l’appareil et le pays et les filtres de la recherche précédente.

La page d’établissement que tu regardes, nous la comptons également : pour chaque établissement, un compteur propre augmente de un, avec le numéro de l’établissement et rien d’autre – il figure dans une ligne à part et jamais avec la langue, l’appareil ou la provenance. Le comptage n’a lieu que si l’établissement existe chez nous, et pas pour les moteurs de recherche et autres programmes. Un établissement est une entreprise ; qui tu es ne figure pas dans ce nombre. Quand une page d’établissement a été consultée, nous le notons en outre dans la liste plus bas (« Clics avec date et heure »), là en gros avec l’appareil et le pays et les filtres de la recherche précédente.

Nous comptons la même chose pour les annonces : de quelle page de profil il s’agissait. Pour chaque profil, un compteur propre augmente de un, avec l’identifiant du profil et rien d’autre, dans une ligne à part – jamais avec la langue, l’appareil ou la provenance. Un second compteur note qu’un bouton de contact a été actionné. Le comptage n’a lieu que si le profil existe chez nous, et pas pour les moteurs de recherche et autres programmes. Ces chiffres, la personne qui gère l’annonce les voit, et seulement pour ses propres annonces. Si elle supprime une annonce ou son compte, nous supprimons les chiffres avec. Depuis le 10.10.2026, nous voyons aussi ces chiffres, dans l’administration et là seulement avec des droits d’administration, par annonce et additionnés : pour l’exploitation, pour détecter les abus et pour pouvoir conseiller les personnes qui publient chez nous – par exemple quand une annonce n’est presque pas vue. Ils ne figurent sur aucune page publique ni dans les chiffres du marché. Quand une page de profil a été consultée, nous le notons en outre dans la liste plus bas (« Clics avec date et heure »), là en gros avec l’appareil et le pays et les filtres de la recherche précédente ; cette liste, c’est nous qui la voyons, dans l’administration, et ses lignes aussi, nous les supprimons avec l’annonce.

Lors d’un tel clic figure aussi lequel des sept boutons c’était – téléphone, SMS, WhatsApp, Telegram, e-mail, formulaire de contact ou site web. Est compté le type de bouton, jamais la destination derrière : ni le numéro appelé, ni l’adresse à laquelle on a écrit, ni le nom d’utilisateur. C’est aussi une somme journalière par annonce, sans heure, sans ordre et sans la moindre indication te concernant ; sept clics donnent le nombre sept, pas un parcours à travers le site. Combien de fois quel moyen de contact est utilisé sur l’ensemble de la plateforme, nous ne le comptons pas à part. Dans l’administration, nous additionnons pour cela les chiffres des différentes annonces ; cette somme ne figure sur aucune page publique ni chez la personne qui gère une annonce.

Les clics qui restent sur notre site, nous ne les comptons pas séparément ; ce sont des consultations de pages comme les autres. Si un clic sur un profil ou un établissement venait de la comparaison des prix ou de la recherche, nous ne l’apprenons donc pas, et nous ne le voulons pas non plus : ce serait un bout de parcours au lieu d’un nombre.

Clics avec date et heure. Quatre choses, nous ne les notons pas seulement en somme journalière, mais en plus une à une, dans une liste : le clic sur un autre portail ou sur le site web d’un établissement, l’annonce externe qui a été cliquée à cette occasion, la consultation de la page d’un établissement et la consultation d’un profil. Chaque ligne contient six indications et pas une septième : la date et l’heure, à la seconde près ; le type de clic ; la destination – l’adresse principale du portail ou du site web, l’identifiant interne de l’annonce, le numéro de l’établissement ou l’identifiant du profil – ; en gros le type d’appareil – mobile ou ordinateur, comme pour les sommes journalières ; une tablette compte le plus souvent comme ordinateur – ; en gros le pays que Cloudflare indique pour ta connexion – la Suisse, l’Allemagne, la France, l’Italie, l’Autriche ou le Liechtenstein, sinon seulement « autre », et « inconnu » si aucun n’est connu ; et, si le clic venait de notre recherche, les filtres de cette recherche. Les lignes d’avant le 5 octobre 2026 n’ont ni appareil ni pays ; rien n’est complété après coup. Les filtres ne sont que ce que tu as coché dans la recherche à partir de listes fixes : canton, rayon en kilomètres, rubrique, genre, prestations, « mère et fille », « sœurs », « jumelles », « albinos », « personne de petite taille » et « appareil dentaire », pour qui est l’offre, moyen de contact, tranche d’âge, autoportrait, langue, pays d’origine, caractéristiques physiques, prix et taille par paliers, « Vérifiés uniquement », « Uniquement protégé » et « Masquer les profils sans réponse ». N’en font jamais partie ce que tu tapes (la recherche par nom, le champ de recherche des prestations), ton code postal, un lieu ou une position, l’ethnie, « enceinte » et le numéro de page. Pour une page d’établissement et un profil, nous les lisons dans l’adresse de la page de recherche que ton navigateur transmet lors d’un clic à l’intérieur de notre site ; pour un clic sur un autre portail, le lien les transmet à notre redirection, et l’autre portail ne les apprend pas. L’adresse elle-même, nous ne l’enregistrons pas. Si le clic ne venait pas de la recherche, rien n’y figure ; les lignes d’avant le 6 octobre 2026 n’ont pas de filtres. Un clic sur une annonce externe donne ici deux lignes avec la même heure : le portail et l’identifiant de l’annonce.

Dans cette liste ne figure rien qui nous permettrait de te reconnaître : pas d’adresse IP, pas d’identifiant de ton appareil ou de ton navigateur ni de valeur de contrôle qui en serait tirée, pas de cookie, ni ton navigateur ni ton système d’exploitation, ni la page d’où tu venais, ni ta langue, aucun lieu, rien de ce que tu as tapé dans un champ de recherche, aucun compte et aucun numéro d’ordre. Il n’existe aucune clé qui permettrait d’attribuer deux lignes au même visiteur, et nous ne tenons pas d’historique par visiteur. Ce qu’on peut malgré tout en déduire, nous le disons ouvertement : chaque ligne est un petit profil des préférences d’une visite. Si, un jour donné, il n’y a que peu de visiteurs, l’ordre des clics montre ce que quelqu’un a cliqué successivement – d’abord cet établissement, puis cette annonce –, et avec les filtres à côté, on peut reconstituer ce que quelqu’un a cherché et cliqué. L’appareil et le pays rendent cette suite plus facile à lire : si, un jour calme, il n’y a qu’un seul téléphone venant d’Allemagne, ses clics peuvent être mis bout à bout dans la liste. Pas qui c’était. Il en va de même pour une recherche sans résultat, que nous notons avec son moment (section suivante) : si elle est proche dans le temps d’un clic, il est probable que les deux viennent de la même personne.

La liste, seuls nous la voyons, dans l’administration ; elle ne figure sur aucune page publique ni dans les chiffres du marché. Chaque ligne, nous la supprimons après 30 jours, lors du traitement nocturne ; les sommes journalières restent comme décrit plus haut. Si une annonce chez nous ou le compte qui la porte est supprimé, nous supprimons au même instant les lignes concernant ce profil. Si une annonce externe ou un établissement disparaît de notre inventaire, la ligne reste jusqu’à l’expiration des 30 jours. Il n’y a de note que lorsqu’un être humain clique – pas pour les moteurs de recherche et autres programmes, pas depuis notre propre réseau, pas pour les administratrices et administrateurs connectés et pas pour les appareils exclus par le cookie zaehlen. Le clic sur un bouton de contact ne figure pas dans cette liste ; il reste une somme journalière sans heure.

Recherches avec date et heure. Depuis le 10.10.2026, nous notons en outre une à une chaque recherche, chaque comparaison de prix et chaque saisie dans le champ de recherche libre, dans une liste à part, afin de voir ce qui est cherché et cliqué à la suite sur le site – quoi, jamais qui. Chaque ligne contient : la date et l’heure, à la seconde ; le type (recherche, comparaison de prix ou texte libre) ; la langue de la page ; pour une recherche et une comparaison de prix, les filtres choisis, uniquement des valeurs de nos listes fixes – les mêmes que pour les clics plus haut, plus une ville de notre liste, le début du code postal sur deux chiffres, les prestations et la durée de la comparaison de prix et le fait qu’un nom a été cherché –, et le nombre de résultats ; pour le champ libre, ce que la recherche a reconnu et, pour un établissement, un lieu, un service, une caractéristique ou « rien trouvé », le mot dans la même écriture simplifiée que dans la somme journalière. N’y figurent jamais : qui tu es – aucune adresse IP, aucun cookie, aucune session, aucun compte, aucun appareil, aucun pays –, un nom cherché, un numéro de téléphone, une adresse e-mail, postale ou web, ton code postal complet, l’origine ethnique et « enceinte ». Le prix est le même que pour les clics : quand il n’y a que peu de visiteurs, l’ordre permet de reconstituer ce que quelqu’un a cherché et cliqué à la suite – pas qui c’était. Cette liste, seuls nous la voyons, dans l’administration et seulement avec des droits d’administration ; chaque ligne, nous la supprimons après 30 jours, lors du traitement nocturne, et elle n’entre pas dans la sauvegarde. N’est noté que ce qu’un être humain cherche – avec les mêmes exceptions que pour les clics.

Les recherches et les comparaisons de prix, nous les comptons de même en sommes journalières et seulement lorsqu’un être humain cherche, pas pour les moteurs de recherche et autres programmes. Pour une recherche, un compteur augmente pour son type – par nom, par lieu, avec d’autres filtres ou entièrement sans – et un compteur pour le nom de chaque filtre choisi, par exemple « Canton » ou « Couleur des cheveux ». Pour la comparaison des prix, un compteur augmente pour son type – avec des prestations sélectionnées, seulement selon le prix de base d’une durée ou sans sélection –, un pour chaque prestation sélectionnée, sous forme de numéro tiré de notre liste fixe des prestations, et un pour la durée choisie, par exemple « 60 minutes » ou « Nuit ». Si tu parcours les résultats plus loin, cela ne compte pas une nouvelle fois.

Dans ces compteurs vaut la règle suivante : est compté le nom d’un filtre, jamais sa valeur – qu’on a cherché par canton ou par code postal, pas quel canton ni quel code postal. Ce que tu tapes dans un champ de recherche, nous ne le comptons pas ici – seulement le fait que le champ a été utilisé. Pour une recherche par nom, ces compteurs indiquent seulement qu’il y en a eu une : ni le nom, ni son identifiant, ni sa longueur. Les seules valeurs que nous comptons dans ces compteurs sont la prestation et la durée dans la comparaison des prix, et toutes deux proviennent de nos propres listes fixes, pas de ta saisie. Combien de fois un nom a été cherché (depuis le 29.9.2026) et ce qui est cherché – y compris quel canton et ce qui a été tapé (depuis le 4.10.2026) –, nous le comptons séparément ; les paragraphes à ce sujet figurent plus bas. Ces compteurs aussi figurent chacun dans une ligne à part : quel filtre était choisi avec quel autre, à quelle recherche il appartenait, dans quelle langue, avec quel appareil, depuis quel site web ou à quelle heure on a cherché, cela ne figure nulle part.

Depuis le 22.9.2026, nous comptons aussi si une recherche ou une comparaison des prix n’a rien trouvé, de même en somme journalière et seulement lorsqu’un être humain cherche. N’est compté que le type de requête sans résultat – une recherche par nom, par lieu, avec d’autres filtres ou entièrement sans, ou une comparaison des prix –, par exemple « une recherche par lieu n’a rien trouvé ». Jamais quel lieu, quels filtres ou quel nom, et ce compteur aussi figure dans une ligne à part, sans langue, appareil ni heure. Si tu parcours les résultats plus loin, cela ne compte pas une nouvelle fois. Cela vaut pour ce nombre ; ce qui a été cherché, nous le notons depuis le 27.9.2026 séparément – la section suivante dit comment.

Depuis le 29.9.2026, nous comptons aussi combien de fois un nom a été cherché – en somme journalière par nom, dans un tableau à part, et seulement si la recherche a trouvé quelqu’un. Chez nous, on cherche par le nom de travail, le nom de fantaisie sous lequel quelqu’un publie ; ce qui trouve quelque chose est donc le début d’un nom qui figure de toute façon ouvertement sur une carte chez nous. Ce qui ne trouve rien – un numéro, une phrase, un nom sous lequel personne ne publie – n’entre pas dans ce nombre. La ligne porte le nom et le nombre, rien d’autre : pas de session, pas d’adresse IP, pas de cookie, pas d’appareil, pas de langue, pas de renvoi au résultat. Cette ligne reste 30 jours, comme le journal de diagnostic, et pour la même raison : le champ de recherche accepte du texte libre. Ces chiffres, seuls nous les voyons.

Depuis le 4.10.2026, nous comptons aussi ce qui est cherché – en somme journalière par valeur, dans un tableau à part, et seulement lorsqu’un être humain cherche. Sont comptées les valeurs de nos listes fixes – le canton, la rubrique, une prestation, une caractéristique comme « Couleur des cheveux : blonds » – et ce que tu tapes dans un champ de recherche : dans la recherche de prestations, dans le champ de recherche de la comparaison des prix et dans la recherche par nom, même si la recherche ne trouve rien, même avec des fautes de frappe. Un terme tapé est enregistré en minuscules et tronqué à 100 caractères au plus ; un numéro de téléphone, une adresse e-mail ou un lien qu’il contient est remplacé auparavant – « Lara 079 … » devient « lara [Telefonnummer] » –, et le numéro, l’adresse et le lien eux-mêmes, nous ne les enregistrons jamais. Pour chaque valeur, nous notons seulement si la recherche a trouvé quelque chose. Chaque valeur figure dans une ligne à part : avec quelle autre valeur elle a été cherchée, par qui, avec quel appareil, depuis quel pays ou à quelle heure, cela ne figure nulle part. Les codes postaux, les communes, l’ethnie et « enceinte », nous ne les comptons pas comme valeur. Les termes tapés restent 90 jours, les valeurs des listes fixes, comme les autres sommes journalières, 24 mois. Si tu parcours les résultats plus loin, cela ne compte pas une nouvelle fois. Ces chiffres, seuls nous les voyons.

Depuis le 8.10.2026, il y a en haut de la recherche un champ dans lequel tu tapes librement – un nom, un établissement, un lieu, une prestation. Le texte ne va pas dans l’adresse, mais une seule fois à notre serveur ; ce que la recherche en a fait y reste, sous un identifiant aléatoire, 20 minutes au plus dans la mémoire vive. En somme journalière, nous comptons ce qui a été cherché : ce que la recherche a reconnu – un établissement, un lieu ou un code postal, une prestation, une caractéristique, un nom ou rien – et le terme correspondant, écrit en minuscules et sans accents, tronqué à 40 caractères au plus. Nous ne cherchons pas d’après des numéros de téléphone, des adresses e-mail ni d’après des adresses ou des adresses web d’annonces externes ; si tu tapes quelque chose de ce genre, nous comptons seulement que cela s’est produit, et nous ne l’enregistrons pas. Chaque terme figure dans une ligne à part, sans lien avec toi ni avec les autres termes : pas de session, pas d’adresse IP, pas de cookie, pas d’appareil, pas de langue, pas d’heure. Ces lignes restent 30 jours. Ces chiffres, seuls nous les voyons. Ce que la recherche a reconnu figure en outre depuis le 10.10.2026 avec l’heure dans une liste à part – pour un nom, sans le nom (plus haut, « Recherches avec date et heure »).

Dès que nous proposons des rapports de marché (voir « Où se trouvent les données et qui d’autre les voit »), deux types de ces chiffres y entrent, et seulement en sommes mensuelles : combien de fois un canton, une rubrique et une prestation ont été cherchés, et les termes du champ de texte libre qui correspondent à un service, un lieu, une caractéristique de nos listes ou un établissement répertorié chez nous – chaque terme seulement à partir de cinq recherches par mois. Il n’y figure jamais un nom cherché, un numéro de téléphone, une adresse e-mail, postale ou web, ni rien d’une visite isolée. « Ces chiffres, seuls nous les voyons » vaut pour les lignes journalières ci-dessus ; les sommes mensuelles, nous les formons avant que les lignes journalières soient supprimées à l’expiration de leur délai, et ces délais ne changent pas.

Depuis le 29.9.2026, nous comptons aussi comment s’est terminé un signalement d’erreur : envoyé, échoué à l’envoi ou refusé par le formulaire. Trois compteurs, chacun dans une ligne à part, qui ne contiennent rien d’autre que l’un de ces trois mots – ni ton texte, ni l’adresse pour une question en retour, ni la page que tu as signalée, ni ta langue, ni l’heure. Pourquoi : sans ces chiffres, personne ne remarque quand la voie de signalement est bloquée ; un signalement perdu à l’envoi aurait sinon disparu sans laisser de trace. N’est pas compté ce qui, de toute évidence, n’a pas été déclenché par un être humain. Ce que contient le signalement lui-même n’entre jamais dans la base de données – cela figure sous « Quand tu nous signales une erreur ».

5. Recherches sans résultat : ce qui a été cherché

Si une recherche ou une comparaison des prix ne trouve rien, nous notons depuis le 27.9.2026 ce qui a été cherché. Sont enregistrés : le moment, le type de requête et les saisies – les filtres choisis avec leurs valeurs et, pour une recherche par nom, le nom cherché. Pour une recherche avec résultats, rien de cela n’est noté.

Pourquoi. Pour que nous trouvions les erreurs dans la recherche. « Aujourd’hui, douze recherches n’ont rien trouvé » ne dit pas si un nom a été mal traité, si un filtre écarte trop ou si l’offre manque vraiment. C’est précisément cette distinction qui est le but, et il n’y en a pas d’autre : nous ne l’analysons pas, nous n’en tirons pas de chiffres et nous ne le transmettons à personne.

Combien de temps. 30 jours. Ensuite, la ligne est supprimée, la nuit suivante, sans que personne ait à faire quoi que ce soit.

À quoi ce n’est PAS lié, et c’est là l’essentiel : à rien. Pas de session, pas d’adresse IP, pas de cookie, aucune caractéristique de ton appareil, pas de langue, pas de renvoi vers la page d’où tu viens, et aucun lien avec ton compte, si tu en as un. Les lignes ne figurent pas non plus à côté des sommes journalières des statistiques, et il n’existe aucune clé permettant de mettre l’un en relation avec l’autre. Deux lignes de la même minute ne signifient pas qu’il s’agissait de la même personne – nous ne pouvons pas le savoir et ne le voulons pas.

Qui le voit. Seulement nous, dans l’administration, et là seulement avec des droits d’administration.

N’est pas noté : le fait de parcourir des résultats (c’est la même recherche), une requête d’un moteur de recherche ou d’un autre programme, le préchargement d’une page par ton navigateur – ni rien de ce qui vient de notre propre réseau, d’une administratrice ou d’un administrateur connecté ou d’un appareil que nous avons exclu. Ce sont les mêmes exceptions que pour les statistiques.

Pourquoi il y a un délai, alors que le nom cherché figure sur chaque carte chez nous. Parce qu’un champ de recherche accepte du texte libre. Le plus souvent, quelqu’un tape un nom de travail, un lieu ou un mot désignant une prestation ; il arrive que quelqu’un tape plus qu’il ne le pense. C’est contre cela qu’agissent le délai, le fait que ces lignes soient isolées et le fait qu’elles se trouvent dans un tableau à part et non avec les chiffres.

6. Quand tu crées un compte

Tu ouvres un compte soit pour chercher, soit pour publier des annonces. Avec un compte pour chercher, tu peux évaluer des établissements. Tenir une liste de souhaits et garder des annonces et des établissements en favoris, tout compte peut le faire. Pour chercher, comparer et lire, tu n’en as pas besoin.

Sur la page de ton compte, tu peux cocher plus tard que tu proposes aussi du sexe, que tu gères un établissement ou que tu loues des locaux, et retirer ces coches tant que plus rien n’y est rattaché. La coche « Je veux louer des locaux » donne exactement un droit : inscrire des locaux que tu loues (voir « Quand tu proposes des locaux ») – aucune annonce et aucun établissement. Évaluer et proposer s’excluent : dès que ton compte propose quelque chose ou loue des locaux, il n’évalue plus d’établissements, et cela ne revient pas non plus si tu retires la coche. Ta liste de souhaits et tes favoris restent. Si tu déposes une demande d’établissement ou si un établissement t’est attribué, nous cochons pour toi « Je gère une maison ». Ce qu’il advient alors de tes évaluations existantes, tu le décides auparavant – voir « Évaluations d’établissements ».

Sont enregistrés ton adresse e-mail, ton mot de passe sous forme de hachage scrypt (pas le mot de passe lui-même) et le fait que tu l’as défini toi-même, la raison pour laquelle tu as ouvert le compte – cela reste enregistré tel quel, même si tu coches d’autres cases plus tard –, ce que tu as coché sur la page du compte, ta langue, quand tu l’as créé et confirmé, quand a eu lieu ta dernière connexion et – le cas échéant – le fait qu’il a été bloqué et pourquoi.

Inscription. L’écran affiche toujours la même phrase, que l’adresse ait déjà un compte ou non ; ce qui s’applique figure dans un e-mail. Jusqu’à ce que tu confirmes le lien qu’il contient, nous gardons une préinscription : adresse, hachage du mot de passe, langue, type de compte et la clé du lien sous forme de hachage. La préinscription devient caduque après 24 heures et est supprimée dès que quelqu’un crée ensuite un compte. Le compte n’est créé qu’avec ta confirmation.

Pourquoi si compliqué : sinon, quelqu’un pourrait découvrir par une seule requête si une adresse donnée a un compte ici. Dans cette branche, ce sont les ex-partenaires, les proches et les employeurs qui posent cette question.

Rester connecté. À la connexion naît une session de 30 jours au plus ; chez nous ne figure qu’un hachage de sa clé. À la déconnexion, elle disparaît. Si tu changes ton mot de passe, toutes tes sessions prennent fin, y compris sur d’autres appareils.

Mot de passe oublié. Tu reçois un lien valable 60 minutes ; chez nous ne figure que son hachage. Si l’adresse n’a pas de compte, aucun e-mail ne part.

Se connecter avec Google, Apple ou Microsoft. Au lieu de l’e-mail et du mot de passe, tu peux te connecter par ton compte chez Google, Apple ou Microsoft. Le fournisseur apprend alors que tu as un compte chez rosalon et nous enregistre chez lui comme application que tu as utilisée. De lui, nous ne reprenons que ton adresse e-mail – et seulement s’il l’indique comme confirmée – ainsi que l’identifiant sous lequel il te connaît. S’il existe déjà un compte pour cette adresse, nous l’y relions ; sinon, nous en créons un, avec un mot de passe que personne ne connaît – tu en définis un sur la page de ton compte sous « Moyens de connexion » ou par « Mot de passe oublié ? », les deux fois par un lien envoyé à ton adresse. Si tu es connecté, tu peux aussi y relier toi-même ton compte à l’un de ces fournisseurs, même à un compte qui a chez lui une autre adresse e-mail ; cette adresse, nous ne la reprenons alors pas. Si ton compte chez le fournisseur appartient déjà à un autre compte chez nous, nous ne faisons pas la liaison. Est enregistré pour chaque liaison : le fournisseur, son identifiant pour toi et le moment de la liaison. Aucune clé d’accès (jetons), aucun nom, aucune photo, aucun moment de tes connexions. Tu peux défaire la liaison sur la page de ton compte, tant qu’il te reste ensuite un moyen d’accéder à ton compte – un mot de passe que tu connais ou un autre fournisseur ; avec ton compte, elle est supprimée. Après chaque liaison et chaque suppression d’une liaison, nous t’écrivons un e-mail. Chez Microsoft, nous n’acceptons que des comptes personnels, pas de comptes d’entreprise ou d’école.

7. Liste de souhaits : une recherche enregistrée

Avec un compte, tu peux enregistrer une recherche – comme liste de souhaits, dans la recherche avec « S’abonner à cette recherche » ou sur la page « Listes de souhaits ». Sont enregistrés le nom que tu lui donnes, la langue de l’e-mail, quand tu l’as créée et utilisée pour la dernière fois, si elle doit envoyer des e-mails, et les filtres que tu as choisis : lieu (cantons, villes ou un code postal avec rayon – jamais ta position), rubrique, genre, tranche d’âge, langues, origine et ethnie, caractéristiques physiques (silhouette, taille, poitrine, zone intime, couleur des cheveux, longueur des cheveux, couleur des yeux, tatouages, piercings, fumeur), prestations, moyens de contact, autoportrait, prix par heure, « Uniquement protégé », « Service pour » et préférences particulières : « enceinte », « mère et fille », « sœurs », « jumelles », « albinos », « personne de petite taille » et « appareil dentaire ».

Ces indications disent quelque chose de toi : ce que tu cherches – et, avec les préférences particulières, l’ethnie et les caractéristiques physiques, quelque chose de ta sphère intime. C’est pourquoi elles figurent seulement dans ton compte, personne d’autre que toi ne les voit, et aucun e-mail ne les mentionne. Une recherche par nom n’entre jamais dans une liste de souhaits.

Une liste de souhaits est facultative, et chaque filtre qu’elle contient, tu le choisis toi-même. Les indications sur tes préférences peuvent être des données personnelles sensibles ; nous ne les utilisons que pour te montrer des annonces correspondantes et t’envoyer l’e-mail à ce sujet, et ne les transmettons à personne.

Chaque nuit, nous comparons les annonces nouvellement recensées avec tes filtres, selon les mêmes règles que la recherche. Si quelque chose correspond, nous envoyons au plus un e-mail par nuit et par liste de souhaits. Il contient le nom que tu as donné à la liste de souhaits, le nombre de nouveaux résultats, la date jusqu’à laquelle elle court, et des liens – aucune annonce et aucune caractéristique. Le nom figure donc aussi chez ton fournisseur de messagerie et chez le nôtre (voir « E-mails de notre part ») : choisis-le de sorte qu’il ne te trahisse pas si quelqu’un d’autre voit tes e-mails. Se désabonner se fait d’un clic dans le programme de messagerie ou par le lien dans l’e-mail ; la liste de souhaits reste alors et n’envoie plus rien. Pour qu’aucune annonce n’arrive deux fois, nous retenons seulement quand nous t’avons écrit pour la dernière fois – pas de quelles annonces il s’agissait. Par le lien dans l’e-mail, tu vois les nouvelles annonces ; nous les calculons à nouveau à chaque consultation.

Une liste de souhaits, nous la supprimons d’office 90 jours après sa dernière utilisation. Compte comme utilisation le fait de l’ouvrir ou de la modifier, ou de cliquer sur « Garder » dans un e-mail. Tu peux la supprimer toi-même à tout moment, et elle tombe de toute façon avec le compte.

8. E-mails de notre part

Nous n’envoyons que des e-mails liés à ton compte, et seulement six types qui concernent le compte lui-même : la confirmation d’une inscription, l’avis qu’il existe déjà un compte pour cette adresse, le lien pour réinitialiser le mot de passe (aussi pour le définir une première fois), le message indiquant que ton mot de passe a été modifié, le message indiquant que ton compte a été relié à Google, Apple ou Microsoft, et celui indiquant qu’une telle liaison a été supprimée – tous deux avec un lien vers la page de ton compte, au cas où ce n’était pas toi. Pas de publicité, pas de newsletter. S’y ajoutent sept autres, chacun seulement si tu as toi-même activé ou soumis la chose correspondante : le message que quelqu’un t’écrit par le formulaire de contact (voir « Le formulaire de contact ») ; la décision concernant un événement que tu as toi-même soumis – validé ou refusé, en cas de refus avec le motif ; la décision concernant ton annonce, dès que nous l’avons vérifiée – validée ou refusée, et le motif d’un refus ne figure pas dans l’e-mail, mais dans ton compte ; la décision concernant la vérification de ta pièce d’identité, si tu as envoyé une pièce d’identité pour un profil qui n’est pas en cours de vérification – seulement le fait que nous avons décidé, sans l’issue : si elle est réussie ou non et le motif d’un refus, tu le lis dans ton compte ; un e-mail lorsque quelqu’un envoie, par le formulaire de contact, une demande concernant ton offre de locaux – avec le type et la commune de l’offre, pour que tu saches de laquelle il s’agit (voir « Quand tu proposes des locaux ») ; une décision concernant ton offre de locaux lorsque nous l’avons validée ou refusée – sans contenu, avec un lien vers la connexion, derrière laquelle figure le motif en cas de refus ; et – si tu tiens une liste de souhaits – le message nocturne indiquant que de nouvelles annonces y correspondent. Il contient le nom que tu as donné à ta liste de souhaits, le nombre de nouveaux résultats, la date jusqu’à laquelle elle court, et des liens – aucune annonce et aucune caractéristique. Choisis le nom de sorte qu’il ne te trahisse pas si quelqu’un d’autre voit tes e-mails (voir « Liste de souhaits : une recherche enregistrée »).

Dès que nous ouvrons des offres payantes, des e-mails concernant tes commandes s’y ajoutent, seulement si tu as commandé quelque chose : l’avis qu’une facture ou un justificatif se trouve dans ton compte, et un rappel avant la fin d’une durée – sans pièce jointe et sans dire pour quoi. Si tu commandes un rapport de marché sans compte, nous t’envoyons la facture et, après le paiement, le lien vers le rapport (voir « Quand tu paies »).

L’objet est simplement « Ton compte » et ne mentionne pas rosalon. L’expéditeur est rosalon, adresse [email protected].

Pour qu’un e-mail arrive, il passe par un fournisseur de messagerie : green.ch AG, Industriestrasse 33, 5242 Lupfig, Suisse. Celui-ci voit ton adresse et donc que tu as affaire à nous. Notre boîte de réception se trouve aussi chez lui : ce que tu nous écris à [email protected] s’y trouve. Des messages d’erreur de l’envoi, nous retirons l’adresse avant qu’ils ne soient enregistrés où que ce soit.

9. Rapports sur les e-mails envoyés en notre nom

Les grands fournisseurs de messagerie comme Google nous envoient chaque jour un rapport groupé sur les e-mails arrivés chez eux avec notre domaine d’expéditeur – y compris sur ceux qui ne viennent pas du tout de nous. C’est une procédure répandue contre les expéditeurs falsifiés (DMARC), et nous l’avons activée pour notre domaine. Un tel rapport ne contient pas un seul e-mail : aucun destinataire, aucun objet, aucun texte, aucune pièce jointe. Il indique les serveurs de messagerie qui ont livré les e-mails, le nombre d’e-mails et si les contrôles ont abouti.

Ce que nous en enregistrons : pour chaque rapport et chaque serveur de messagerie expéditeur, son adresse IP, le nombre d’e-mails et les deux résultats de contrôle – si le serveur est inscrit dans notre DNS comme expéditeur pour notre domaine et si les e-mails portaient notre signature numérique ; en outre, de quel fournisseur provient le rapport et quel jour il couvre. Une telle adresse appartient en règle générale à un centre de calcul, par exemple à notre propre fournisseur de messagerie ; il peut arriver que ce soit le serveur d’une personne individuelle, par exemple lorsque quelqu’un fait transférer automatiquement son courrier. Pour chaque récupération, nous notons en outre quand elle a eu lieu, combien de rapports elle a trouvés et si elle a réussi.

Pourquoi : pour remarquer si quelqu’un abuse de notre nom comme expéditeur, par exemple pour du spam ou des e-mails frauduleux, et pour voir si nos propres e-mails arrivent avec une signature valable. Pour les deux, il faut la comparaison avec les semaines précédentes : si un serveur est nouveau ou si notre signature manque soudain, on ne le voit qu’à ce qui existait auparavant.

Combien de temps : 90 jours. Ensuite, nous supprimons les rapports, adresses comprises, lors du traitement nocturne, sans que personne ait à faire quoi que ce soit.

Les adresses n’apparaissent sur aucune page de rosalon, et nous ne les transmettons à personne. Si quelque chose attire l’attention – un serveur que nous ne connaissons pas envoie des e-mails en notre nom –, nous recevons nous-mêmes un avertissement par e-mail, dans lequel figure cette adresse. Cet e-mail va à notre propre adresse et, comme chacun de nos e-mails, passe par notre fournisseur de messagerie (voir « E-mails de notre part ») ; il ne va à personne d’autre.

10. Quand tu publies une annonce : ton profil

Ce que tu saisis : nom affiché, type (professionnel ou privé), catégorie, genre, canton, lieu, code postal, numéro de téléphone, langues, caractéristiques, prestations, un autoportrait (par exemple « Nouveau dans la région »), titre et description, prix et photos, et laquelle est ta photo de couverture. En outre, facultativement et individuellement : par quels moyens tu es joignable, et pour l’e-mail, le site web ou Telegram, l’adresse correspondante. Un compte peut porter jusqu’à cinq profils ; avec la case « Je fais l’intermédiaire pour d’autres », sans limite. Le système enregistre en outre quand tu as créé, modifié et soumis un profil, quel niveau de vérification il a et quelle version des conditions tu as acceptée et quand.

Ce qui devient public dès que ton profil est actif : tout sauf le code postal, les dates et les mentions de vérification – donc aussi ton numéro de téléphone. Sans connexion, sous une adresse fixe, et trouvable par les moteurs de recherche : ton profil figure dans notre plan du site (sitemap). Un réglage qui permet de désactiver cela pour chaque profil est décidé, mais pas encore construit.

Une adresse e-mail, un site web et un nom Telegram, nous ne les montrons que si tu les saisis toi-même et acceptes expressément, à côté, qu’ils soient publics – champ par champ. Sans cette coche, nous n’enregistrons pas l’indication. Au site web que tu fais figurer, nous ne disons pas d’où tu viens. Si tu vides un champ, l’indication disparaît, accord compris.

Ton ethnie. Tu peux indiquer, de manière facultative, auquel de sept groupes tu t’identifies : européenne, latino-américaine, asiatique, noire, arabe, indienne ou métissée. C’est une donnée personnelle sensible (art. 5, let. c, LPD), et nous ne la traitons qu’avec ton consentement exprès (art. 6, al. 7, let. a, LPD) – avec une coche propre, seulement pour cette indication, pas en même temps que les CG. Sans cette coche, nous ne l’enregistrons pas. Dans quel but : nous la montrons sur ton profil, et qui filtre dans la recherche selon cette ethnie trouve ton profil. Avec l’indication, nous notons quand tu as donné ton consentement et à quelle version du texte de consentement, dans quelle langue. Tu peux révoquer ton consentement à tout moment en retirant la coche et en enregistrant : nous supprimons alors immédiatement l’indication et le consentement, sans mention de leur existence. L’ethnie n’est pas ta nationalité ; celle-ci est une indication distincte, et nous ne déduisons jamais l’une de l’autre. D’une annonce reprise, nous ne reprenons aucune ethnie.

Dis-toi ceci avant d’envoyer : ce qui figure ici peut être trouvé, via un moteur de recherche, par quelqu’un qui cherche ton nom affiché ou ton numéro. Ce que les moteurs de recherche ont copié une fois, nous ne pouvons pas le récupérer. Si tu supprimes un profil, son adresse répond ensuite « n’existe plus », afin que les moteurs de recherche l’oublient plus vite ; nous ne pouvons pas l’imposer.

Pour que les moteurs de recherche trouvent plus vite les pages publiques nouvelles ou modifiées, nous communiquons l’adresse de telles pages à Microsoft Bing et à d’autres moteurs de recherche par le protocole IndexNow – y compris l’adresse de ton profil public. Seule l’adresse de la page est transmise, aucune autre indication et aucune donnée sur les visiteuses et visiteurs. Le signalement va à un point de réception commun du protocole, qui le transmet à tous les moteurs de recherche participants. Aujourd’hui, ce sont Microsoft Bing (Microsoft Corporation, dont le siège est aux États-Unis), Amazon (Amazon.com, Inc., dont le siège est aux États-Unis), Yandex (Yandex LLC, dont le siège est en Russie), Seznam (Seznam.cz, a.s., dont le siège est en Tchéquie), Naver (NAVER Corporation, dont le siège est en Corée du Sud) et Yep (Ahrefs Pte. Ltd., dont le siège est à Singapour) ; l’adresse de ton profil part ainsi dans ces États. Selon la liste du Conseil fédéral, la Tchéquie dispose d’une protection adéquate des données, les États-Unis seulement pour les entreprises certifiées selon le cadre de protection des données entre la Suisse et les États-Unis, comme Microsoft. La Russie, la Corée du Sud et Singapour n’ont pas de protection adéquate des données. Nous communiquons l’adresse dans ces États et à Amazon parce que tu l’as toi-même rendue accessible à tout un chacun avec ton profil public (art. 17, al. 1, let. e, LPD). Afin de ne rien signaler en double, nous notons pour chaque adresse signalée une valeur de hachage et l’état de la page. Pour les pages sans lien avec une personne – lieux, cantons, chiffres du marché, établissements –, l’adresse elle-même figure à côté ; l’adresse d’un profil, nous ne l’enregistrons jamais à cette fin, seulement sa valeur de hachage. Si une adresse ne figure plus dans notre plan du site, nous la signalons une dernière fois, afin que les moteurs de recherche voient que quelque chose a changé à cet endroit, et nous supprimons l’entrée. Si tu mets ton profil en pause ou s’il est bloqué, cela se fait lors du prochain passage, en règle générale la nuit suivante. Si tu supprimes ton profil, nous supprimons immédiatement la valeur de hachage et signalons l’adresse au même instant une dernière fois aux mêmes moteurs de recherche ; la page répond alors « n’existe plus ». Quand un moteur de recherche retire l’entrée, il en décide lui-même. Si ce seul signalement échoue, le moteur de recherche le remarque lors de sa prochaine visite.

Si tu ne veux pas que nous signalions l’adresse de ton profil, décoche dans le profil la case « Prévenir les moteurs de recherche de ton profil » ; elle est cochée dès le départ. À partir du prochain passage, nous ne signalons plus aucune adresse de ce profil, dans aucune langue, et oublions aussi sa valeur de hachage. Sans la coche, nous ne signalons pas non plus quand tu mets ton profil en pause ou le supprimes. Ton profil reste néanmoins public et continue de figurer dans notre annuaire et notre plan du site ; les moteurs de recherche peuvent l’y trouver, même sans notre signalement. Qui ne veut pas cela non plus met son profil en pause – il n’est alors plus public. Une adresse que nous avons déjà signalée, décocher la case ne la rappelle pas : le protocole ne connaît pas de révocation, et ce qu’un moteur de recherche a déjà appris, il le sait.

Ne sont pas publics ton adresse e-mail, ton code postal, tes brouillons, le moment de ta dernière connexion et tout ce qui concerne la vérification, à l’exception du badge. Les brouillons ainsi que les profils en pause, bloqués et supprimés ne sont pas non plus accessibles par leur adresse.

Reprendre ta propre annonce. Tu peux saisir l’adresse de ton annonce sur un autre portail. Nous la consultons une fois, en respectant le robots.txt du portail, et te montrons un aperçu. C’est seulement quand tu confirmes que nous reprenons dans ton profil les données de base, les caractéristiques, le titre, la description, les prix et les prestations, et sur demande aussi jusqu’à douze photos. De la provenance, nous n’enregistrons que le nom du portail, pas l’adresse de l’annonce. Un profil repris apparaît au plus tôt après 48 heures, seulement avec un compte confirmé, et pas dans les moteurs de recherche avant sa vérification.

Le titre et la description, nous les traduisons automatiquement dans les quatre langues du site, sur notre propre appareil. Aucun texte ne quitte notre appareil pour cela, aucun service tiers ne le voit. Les phrases concernant la protection, les pratiques ou les prix, nous ne les traduisons pas ; elles apparaissent dans la traduction en version originale. La traduction figure sur ta page de profil avec la mention « Traduction automatique », ton original toujours à côté. Si tu modifies ton texte, nous supprimons immédiatement les anciennes traductions et traduisons à nouveau ; si tu supprimes le texte ou ton profil, elles disparaissent avec. Dans le profil, tu peux désactiver « Traduire le texte automatiquement » – nous supprimons alors les traductions existantes, et il n’en naît pas de nouvelles. C’est construit, mais pas encore activé : le réglage figure dans ton formulaire de profil, mais aujourd’hui nous ne traduisons rien, et ta page de profil ne montre que ton original. Avant que nous l’activions, ce sera indiqué ici avec la date.

Les indications contenues dans une annonce pour des services érotiques touchent la sphère intime et sont des données personnelles sensibles (art. 5, let. c, LPD). Nous les traitons parce que tu y consens expressément et parce que tu conclus avec nous un contrat portant sur l’annonce. Tu peux révoquer ton consentement à tout moment en supprimant le profil.

11. Quand quelqu’un crée un profil pour toi – ou toi pour d’autres

Qui publie sur rosalon pour d’autres – en tant que manager, agence ou maison – nous indique d’abord un nom ou une société et un numéro de téléphone, et facultativement le numéro IDE de la société. Nous enregistrons en outre quand et dans quelle version les conditions de représentation ont été acceptées. Rien de cela n’est public, pas même sur le profil. Nous avons besoin de ces indications pour joindre cette personne si quelque chose nous frappe sur son compte. Elles restent jusqu’à ce qu’elles soient modifiées ou supprimées avec le compte.

Si quelqu’un crée un profil pour toi, c’est lui qui y a saisi les indications et il en est responsable ; pour le reste, tout ce que dit la section précédente vaut pour ton profil. Il ne devient visible que lorsque tu confirmes toi-même, par ton propre lien. Du lien, nous n’enregistrons qu’une valeur de hachage, pas le lien lui-même, ainsi que le moment où il a été généré, jusqu’à quand il vaut et dans quelle langue il s’ouvre. Si tu l’ouvres, nous retirons la clé de l’adresse et la plaçons pendant 20 minutes au plus dans un cookie zustimmung que seul le serveur peut lire. Le lien vaut une fois et pendant sept jours au plus.

Si tu confirmes, nous enregistrons quand, à quel texte de confirmation (version) et dans quelle langue, et que tu as déclaré avoir 18 ans au moins. Depuis quel appareil ou quel réseau tu as confirmé, nous ne l’enregistrons pas. Pour remarquer malgré tout quand de nombreuses confirmations pour le même compte viennent du même réseau, nous calculons en mémoire vive, à partir de ton adresse IP, une valeur de contrôle avec une clé qui est recréée chaque jour et n’est enregistrée nulle part. Dans la base de données figure ensuite au plus une mention sur le compte de la personne qui publie pour toi, sans adresse et sans valeur de contrôle. Après un redémarrage de notre serveur, la valeur de contrôle a disparu.

Si tu décoches des prestations sur cette page, nous les supprimons du profil. Si tu appuies sur « Non, ce n’est pas moi », « Les prix ne sont pas justes » ou « J’ai besoin d’aide », nous n’enregistrons que le moment ; le profil n’apparaît alors pas, et en cas de « J’ai besoin d’aide », une personne de chez nous l’examine. À la personne qui publie pour toi, nous ne montrons dans tous ces cas que « Non confirmée » ou « En attente de vérification », comme pour tout autre motif.

Avec la confirmation, tu reçois ton propre code. Nous le montrons une seule fois et ne l’enregistrons que sous forme de valeur de hachage. Avec lui et le nom qui figure sur ton profil, tu te connectes sans compte, tu vois les chiffres de ton profil, tu le désactives ou le réactives ou tu le supprimes – la personne qui publie pour toi ne peut pas revenir là-dessus. C’est là aussi que tu montres ta pièce d’identité, si tu veux le signe « pièce d’identité vue » ou si ton nom ou un titre sonne très jeune ; tout ce qui figure sous « Vérification et badge » s’applique, avec deux différences : nous ne t’envoyons pas d’e-mail à ce sujet, tu lis la réponse dans ton accès. Et la personne qui publie pour toi ne voit jamais l’image ni une justification, seulement si ta pièce d’identité attend la vérification ou si elle a été vue. La connexion dure 30 minutes au plus, dans un cookie eigenzugang que seul le serveur peut lire ; à la déconnexion, il disparaît. Si tu renouvelles le code, l’ancien ne vaut plus.

Ta confirmation est ton consentement exprès (art. 6, al. 7, let. a, LPD) au traitement des indications et des photos de ce profil. Tu le révoques en supprimant le profil avec ton code ou en appuyant sur « C’est moi – merci de retirer ce profil » sur la page du profil ; avec le bouton, le profil disparaît immédiatement, jusqu’à ce que nous ayons examiné l’affaire. La preuve de ta confirmation, la valeur de hachage de ton code et les moments de tes réponses restent tant que le profil existe et sont supprimés avec lui.

Pour ton profil, tu vois les mêmes chiffres que la personne qui publie pour toi : consultations et clics sur les moyens de contact, par jour, jamais qui a regardé. Ces mêmes chiffres, nous les voyons aussi, dans l’administration et là seulement avec des droits d’administration.

12. Photos

Chaque photo que tu télécharges ou que tu reprends de ton annonce, nous la recalculons et jetons l’original. Toutes les métadonnées sont alors perdues, y compris l’appareil photo, l’heure et le lieu de la prise de vue ; le programme vérifie ensuite qu’il n’en reste aucune.

Pour chaque photo, nous enregistrons une somme de contrôle et une empreinte d’image qui reconnaît les images semblables. Elle décrit l’image entière, pas un visage. Ainsi, on repère les photos qui se trouvent déjà sur un autre profil : nous les retenons jusqu’à ce que nous les ayons regardées. Avant qu’un profil n’apparaisse pour la première fois, quelqu’un de chez nous le regarde, avec toutes les indications et photos. Les photos et modifications ultérieures apparaissent sans nouvelle vérification, même si tu rends ton profil à nouveau visible après une pause ; nous pouvons les vérifier et les retirer à tout moment.

Une photo n’est diffusée publiquement que tant que ton profil est actif ; une photo derrière le contrôle d’âge, avec l’instruction aux moteurs de recherche de ne pas l’indexer. Les fichiers se trouvent sur notre appareil sous des noms aléatoires, non chiffrés à cet endroit ; ils sont sauvegardés chaque nuit depuis le 7 octobre 2026, uniquement sous forme chiffrée (voir « Protection et sauvegardes »). Si tu supprimes une photo, un profil ou ton compte, nous supprimons les fichiers avec ; dans les sauvegardes, ils figurent encore jusqu’à ce que celles-ci soient écrasées, environ deux semaines au plus.

Les photos montrables ouvertement et la photo de couverture. Si une photo ne montre ni parties génitales ni actes sexuels – par exemple habillée, en lingerie, même transparente, ou de dos –, quelqu’un de chez nous peut la classer comme montrable ouvertement. Elle figure alors sans contrôle d’âge sur ton profil et comme petite image d’aperçu sur ta vignette dans la recherche, visible par tous, et les moteurs de recherche peuvent l’indexer – sauf si ton profil lui-même ne figure pas dans les moteurs de recherche, par exemple un profil repris, jusqu’à sa vérification. Ce qu’un moteur de recherche a indexé une fois, une suppression chez nous ne le fait pas disparaître de manière sûre. Toute autre photo, nous ne la montrons qu’après la confirmation d’avoir 18 ans au moins, y compris toute photo que personne n’a encore classée ; sans cette confirmation, nous ne la diffusons pas, pas même aux moteurs de recherche. Nous pouvons modifier l’évaluation à tout moment ; une photo que tu télécharges à nouveau ou dont le fichier change n’est d’abord pas classée. Comme photo de couverture, tu choisis l’une de tes photos : si elle est classée comme montrable ouvertement, elle figure en premier sur ta vignette, sinon la première photo montrable ouvertement de ton profil ; si ton profil n’en a aucune, la vignette affiche à la place d’une photo la mention « Photos 18+ dans le profil ». Pour chaque photo, nous enregistrons notre évaluation – montrable ouvertement ou non, quand et par qui –, en cas de non pour la photo de couverture le motif que tu lis dans ton espace, pour les autres photos un motif seulement si nous en indiquons un ; en outre, si et quand tu as choisi une photo comme photo de couverture. Tout cela disparaît avec la photo, le profil ou le compte. Cloudflare peut garder en mémoire intermédiaire une photo montrable ouvertement jusqu’à cinq minutes ; pendant ce temps, elle peut encore y être consultable après que tu l’as supprimée, que tu as mis en pause ou supprimé ton profil ou que nous l’avons classée autrement. Une photo derrière le contrôle d’âge, nous ne la laissons jamais garder en mémoire intermédiaire chez Cloudflare. Notre robots.txt ne bloque plus que les adresses des photos de couverture.

13. Le formulaire de contact

Si tu publies une annonce, tu peux activer un formulaire de contact – pour toutes les personnes qui veulent t’écrire sans WhatsApp ni téléphone. Tu indiques pour cela une adresse e-mail à laquelle nous transmettons les messages. Cette adresse ne devient jamais publique – elle ne figure ni sur ton profil, ni dans l’e-mail transmis, ni dans aucune vue que quelqu’un pourrait consulter. Tu peux désactiver le formulaire à tout moment, et nous supprimons alors l’adresse avec.

Qui t’écrit indique un nom ou un pseudonyme, une adresse de réponse (e-mail ou numéro de téléphone) et le texte. Il en résulte un seul e-mail à toi, avec l’adresse de réponse comme « Réponse à ». Ensuite, le texte disparaît : nous ne l’enregistrons pas – ni dans la base de données, ni dans un journal, nulle part. Cet e-mail unique est la seule version. Il n’y a sur rosalon ni boîte de réception ni historique des messages.

Ce qui reste, c’est un nombre : combien de messages ton profil a reçus en un jour – afin que personne ne puisse inonder une boîte de réception. En outre, nous comptons dans la mémoire vive combien de messages arrivent d’une adresse d’origine en un jour – sous une valeur qui est détruite à minuit avec sa clé. Aucune adresse n’en entre dans la base de données, pas même sous forme de valeur de hachage.

Pour que le formulaire ne devienne pas un canal d’envoi de publicité, il est freiné – sans service tiers et sans indications te concernant.

14. Quand tu proposes des locaux

Si tu proposes des locaux, nous enregistrons le type, la commune, le loyer, la disponibilité, ta description et l’adresse à laquelle nous transmettons les demandes, ainsi que le moment où tu as accepté de recevoir des demandes par le formulaire. Nous n’acceptons ni rue, ni numéro de rue, ni numéro de téléphone. Après notre vérification apparaissent publiquement le type, la commune et donc le canton, le loyer, la disponibilité et la description, jamais ton adresse et jamais le compte auquel l’offre appartient.

Si quelqu’un t’écrit par le formulaire de contact, nous te transmettons le message par e-mail et n’enregistrons pas son texte ; il ne reste qu’un nombre par offre et par jour. Qui écrit fournit pour cela les mêmes indications que dans le formulaire de contact d’un profil (voir « Le formulaire de contact »), et son adresse de réponse figure dans l’e-mail qui t’est adressé.

Ta confirmation concernant les obligations cantonales, nous l’enregistrons avec la date et l’heure, de même que le moment où tu as accepté les CG lors de la soumission et dans quelle version, et qui a vérifié ton offre et avec quel motif. Si tu modifies le type, la commune, la description ou l’adresse pour les demandes, nous vérifions à nouveau l’offre, et ta confirmation concernant les obligations tombe jusqu’à ce que tu la donnes à nouveau pour la nouvelle version. Si tu supprimes une offre ou ton compte, tout disparaît ; dans les sauvegardes, cela figure encore jusqu’à ce qu’elles soient écrasées (voir « Protection et sauvegardes »).

15. Quand tu paies

Les offres payantes n’existent qu’à partir du moment où nous les ouvrons ; nous l’annonçons dans les CG et par e-mail. Pour chaque commande, ce qui suit s’applique alors.

Ce que nous enregistrons : la commande – ce que tu as commandé, pour quel profil, quel établissement ou quelle offre de locaux, pour une mise en avant pour quel canton, quelle catégorie et quelles semaines, ainsi que la durée, le montant et le moment –, la facture et le justificatif avec leur numéro, ton numéro de client, le montant, la date, le moyen de paiement (banque ou TWINT) et la référence de paiement qui nous permet d’attribuer un paiement à ta facture. Le nom et l’adresse ne figurent sur un justificatif que si tu les indiques toi-même ; sinon, seul ton numéro de client y figure.

Ce que nous n’enregistrons jamais : ton IBAN, le nom et l’adresse sous lesquels ta banque envoie le paiement, un numéro de carte et ton numéro TWINT. L’avis de crédit de notre banque en contient une partie ; le programme qui le lit l’écarte avant que quoi que ce soit soit enregistré. Sur le relevé de compte de notre banque, ces indications figurent malgré tout, et nous le conservons comme pièce comptable, séparément des autres données de rosalon.

Ce qui figure sur le justificatif : notre raison sociale, ton numéro de client, une désignation neutre de la prestation, la période et le montant – aucun nom de profil, aucune catégorie, aucun lieu. Sur ton relevé bancaire et dans l’app TWINT figurent comme destinataire notre raison sociale, dans laquelle rosalon n’apparaît pas, et comme communication « Online-Dienst » (service en ligne) avec le numéro du justificatif ; ce que ta banque en affiche, c’est elle qui le décide.

La facture et le justificatif se trouvent dans ton compte, pour les consulter et les imprimer. Par e-mail, nous n’envoyons qu’un avis à ce sujet, sans pièce jointe (voir « E-mails de notre part »).

Qui le voit : notre banque, par laquelle passe ton paiement, et, si tu paies dans l’app TWINT, TWINT Acquiring AG, qui effectue le traitement du paiement sous sa propre responsabilité, selon sa propre déclaration de protection des données. Toutes deux apprennent que tu nous paies, combien et avec quelle référence – pas pour quoi.

Combien de temps : les factures, justificatifs et paiements reçus, nous les conservons pendant dix ans après la fin de l’exercice, de même que les relevés de compte ; c’est ce que la loi exige pour les pièces comptables (art. 958f CO), et cela prime ici sur ton souhait d’effacement. Les commandes restent aussi longtemps que leur justificatif. Si un profil, une offre de locaux ou un établissement est supprimé, le lien avec lui disparaît des commandes. Si tu supprimes ton compte, le lien entre lui et tes commandes et justificatifs disparaît ; il n’y figure alors plus que le numéro de client, et nous ne pouvons plus l’attribuer à personne. Le nom et l’adresse que tu as fait inscrire sur un justificatif y restent pendant les dix ans.

Une mise en avant est publique : qui voit le bandeau dans la recherche voit que ce profil a été payé – pas par qui ni combien. Si quelqu’un d’autre gère ton profil pour toi, tu vois chaque mise en avant de ton profil dans ton propre accès, tu y donnes ton accord ou tu y mets fin. La ligne d’une mise en avant disparaît avec le profil ; la commande et le justificatif restent comme indiqué ci-dessus.

Si tu commandes un rapport de marché sans compte, il nous faut seulement une adresse e-mail, et nous l’utilisons pour deux choses : la facture et le lien vers le rapport, que nous envoyons après réception du paiement et qui expire après un délai. Nous supprimons l’adresse e-mail après la livraison ou, si la commande échoit sans avoir été payée, à ce moment-là ; sur le justificatif ne figure qu’un numéro de client.

16. Quand tu fais de la publicité chez nous

Sur la page « Faire de la publicité », tu peux nous demander une publicité. Ce que tu y indiques – l’entreprise ou le nom sous lequel tu fais de la publicité, une personne de contact, ton adresse e-mail, facultativement un numéro de téléphone, la branche, l’espace souhaité, le lieu, la période et ton message –, nous l’enregistrons pour te répondre et convenir d’une publicité avec toi. Seuls nous pouvons le voir, dans l’espace d’administration ; l’e-mail qui nous signale une nouvelle demande ne mentionne que la branche et l’espace. Nous ne t’envoyons pas de publicité et ne transmettons tes indications à personne.

Combien de temps : nous supprimons la demande deux ans après sa réception ; si une publicité en est issue, deux ans après la fin de celle-ci. Si tu veux qu’elle disparaisse plus tôt, écris-nous – nous la supprimons alors immédiatement. La publicité elle-même – le nom sous lequel tu fais de la publicité, le titre, la phrase, le lien, l’espace, la période et ce que nous avons convenu – nous la conservons dix ans après sa fin, comme preuve de ce qui a été convenu et livré. Si elle est payée, ce qui figure sous « Quand tu paies » s’applique à la facture et au justificatif.

Seule la publicité elle-même est publique, tant qu’elle est diffusée : le nom sous lequel tu fais de la publicité, le titre, la phrase et le lien, toujours avec la mention « Publicité · Nom ». Elle figure sur la page d’accueil, sur des pages de localité ou dans les résultats de recherche, jamais sur la page d’un profil.

Ce que nous comptons sur une publicité : combien de fois elle a été affichée et combien de fois elle a été cliquée, par publicité et par jour en total – rien de plus. Pour cela, nous ne posons aucun cookie et n’enregistrons ni adresse IP, ni appareil, ni pays, ni heure, ni page, pas même sur les personnes qui voient une publicité ou cliquent dessus. Les robots ne sont pas comptés, ni qui a choisi « Ne pas compter ce navigateur ». Le clic sur une publicité passe par une adresse chez nous qui le compte, puis redirige vers le site sans referer ; le site n’apprend pas de laquelle de nos pages tu viens. Nous voyons ces chiffres, et sur demande l’annonceur voit ceux de sa propre publicité.

17. Quand tu nous signales une erreur

En haut de chaque page figure « Signaler une erreur ». Le formulaire derrière ce lien nous envoie un seul e-mail : ton texte, la page sur laquelle tu étais, et sa langue. Une adresse pour une question en retour est facultative – sans elle, tu peux signaler tout aussi bien.

De la page, seul le chemin est transmis, jamais la partie après le point d’interrogation : ce que tu as cherché ou filtré, nous ne l’apprenons donc pas. Pas d’adresse IP, aucune caractéristique de l’appareil, pas de cookie.

De ton signalement, rien n’entre dans la base de données – pas de texte, pas d’adresse, pas la page sur laquelle tu étais. Cet e-mail unique est la seule version.

Ce qui reste, c’est une somme journalière sur la manière dont un signalement s’est terminé : envoyé, échoué à l’envoi ou refusé par le formulaire. Ce nombre ne contient rien de plus – aucun des trois mots ne dit quoi que ce soit sur toi ou sur le contenu de ton signalement. Depuis le 29.9.2026, et pour une raison : auparavant, on ne pouvait pas établir si un signalement arrivait jamais. Si l’envoi échoue, il a sinon disparu sans laisser de trace – personne ne le remarque, ni nous ni toi. Comment le comptage se fait figure sous « Statistiques : compter et noter sans te connaître ». Le fait que la page « Signaler une erreur » a été consultée, nous le comptons comme pour toute page.

Ce formulaire aussi est freiné – sans service tiers et sans indications te concernant.

18. Vérification et badge

Quand nous vérifions ta pièce d’identité, nous la regardons à la main et la comparons avec un selfie que tu nous montres : la personne est-elle majeure, le document paraît-il authentique, et s’agit-il de la même personne.

Sont enregistrés : quel profil, quelle procédure (téléphone, pièce d’identité ou vidéo), quand, par qui, réussi ou non, et une brève note sans longues suites de chiffres. Après une vérification réussie par pièce d’identité ou par vidéo, en outre le jour où la majorité a été confirmée – pas ta date de naissance.

Comment ta pièce d’identité nous parvient : tu la photographies et l’envoies par ton espace prestataires. Si quelqu’un gère ton profil pour toi, tu l’envoies toi-même, par ton propre accès avec ton code – jamais par le compte de la personne qui publie pour toi. Nous ne l’acceptons qu’avec ton accord exprès, et seulement pour cette vérification-là. Par une messagerie instantanée ou par e-mail, nous n’acceptons aucune pièce d’identité.

Tant que ta photo est chez nous : chiffrée, séparée de tes photos de profil, sous aucune adresse que quelqu’un pourrait deviner, et dans aucune sauvegarde. Seule une personne chargée de la vérification peut la regarder. La clé ne se trouve pas avec le fichier – mais sur le même appareil ; qui aurait l’appareil entier aurait les deux. D’où le délai court.

Quand : avec ton annonce, quand tu la soumets à la vérification – ou à tout moment séparément, même pour un profil déjà visible ou en pause. Ton profil reste alors tel qu’il est ; la vérification ne change que la mention « Pièce d’identité vue ».

Combien de temps : jusqu’à la décision – avec une annonce : validée ou refusée ; séparément : réussie ou refusée – et dans tous les cas trois jours au plus. Le délai expire de lui-même, même si personne n’a regardé, et il ne peut pas être prolongé. Tu peux retirer la photo toi-même à tout moment ; elle est alors immédiatement supprimée.

Ce qui reste ensuite : seulement l’inscription ci-dessus – vérifié le, par qui, avec quelle procédure, réussi ou non. Ne sont enregistrés nulle part : la photo, le numéro de la pièce d’identité, ta date de naissance, ton nom figurant sur le document, un extrait de celui-ci ou une empreinte d’image permettant de retrouver la photo.

La validation. Si tu soumets un profil, une vérificatrice ou un vérificateur de chez nous le regarde – avec toutes les indications et photos, tant qu’il attend la vérification – et le valide ou le refuse. Sont notés : quel compte a décidé, quand, et en cas de refus le motif. Il en va de même pour une vérification de la pièce d’identité effectuée séparément : réussie ou refusée, par qui, quand, en cas de refus le motif ; pour cela, la personne qui vérifie voit aussi les photos de ton profil, tant que la pièce d’identité attend la vérification. Ces inscriptions disparaissent avec le profil ; si le compte de la personne qui vérifie est supprimé, elles restent sans lien avec elle.

19. Évaluations d’établissements

Avec un compte pour chercher, tu peux évaluer un établissement : des étoiles de 1 à 5 et, si tu le souhaites, un texte. Sont enregistrés l’établissement, le compte, les étoiles, le texte, la langue et les dates. Ton évaluation ne porte que ces deux renvois – vers l’établissement et vers ton compte –, aucun identifiant d’appareil et aucun lien avec ce que tu as cherché.

Si tu coches sur la page du compte que tu proposes du sexe, que tu gères un établissement ou que tu loues des locaux, et que tu as déjà écrit des évaluations, nous te demandons auparavant ce qu’il doit en advenir. Tu choisis l’une ou l’autre option :

• Supprimer avant : tes évaluations sont immédiatement supprimées, avec les étoiles, le texte et les réponses des établissements.
• Laisser en place : les évaluations restent en place avec l’établissement, les étoiles, le texte, la langue et les dates, et continuent de compter. Seul le renvoi vers ton compte est supprimé – nous disons : l’évaluation est détachée. Nous ne gardons aucune trace du moment où une évaluation a été détachée ni du compte dont elle provenait. Dans notre base de données, plus rien ne mène ensuite d’une telle évaluation à toi ; elle ne figure plus dans ton compte, tu ne peux ni la modifier ni la supprimer, et elle ne tombe pas avec ton compte, mais expire après douze mois comme toute autre. Ce que tu as écrit dans le texte reste tel que nous l’avons validé.

Le choix est définitif : une évaluation détachée ne retrouve pas de compte, et ton compte ne peut plus évaluer ensuite, même si tu retires la coche. Dans les sauvegardes faites avant ton choix, les évaluations figurent encore avec le renvoi vers ton compte, jusqu’à ce que ces versions soient écrasées – environ deux semaines au plus (voir « Protection et sauvegardes »).

L’évaluation apparaît publiquement sans ton adresse e-mail. Les étoiles comptent immédiatement, le texte n’apparaît qu’une fois que nous l’avons validé. Nous ne montrons une note qu’à partir de cinq évaluations, et jamais pour une entreprise derrière laquelle se trouve de fait une seule personne. Ce sont des établissements qui sont évalués, pas des personnes.

Qui écrit sur un établissement dit par là qu’il s’y est rendu. C’est l’indication la plus délicate qui puisse naître à ton sujet sur rosalon. C’est pourquoi elle est limitée dans le temps : après douze mois, une évaluation n’apparaît plus et est supprimée lors du traitement nocturne suivant. Plus tôt si tu supprimes ton compte ou si tu nous l’écris, tant qu’elle est rattachée à ton compte ; une évaluation détachée n’est plus rattachée à aucun compte et expire après les douze mois.

Il n’y a sur rosalon ni réservations ni paiements. Nous n’avons jamais vu un numéro de carte. Les messages entre la clientèle et les annonceuses et annonceurs n’existent que sous forme de transmission unique par le formulaire de contact (voir plus haut) – pas de boîte de réception, pas d’historique.

20. Signalements

Signaler se fait sans compte. Sont enregistrés : ce qui a été signalé (un profil, une carte concernant une annonce externe, une évaluation ou une femme sur la page d’un établissement), le motif, ta description et une indication de contact si tu en laisses une, la langue et le moment. La description est facultative, sauf si tu signales une contrainte ou choisis « Autre motif » : nous en avons alors besoin, car sans éléments concrets nous ne pouvons pas décider. Nous ne relions pas le signalement à un compte.

Un profil signalé, nous le mettons immédiatement hors ligne – sauf si le signalement concerne une contrainte, une escroquerie ou une activité commerciale qui se fait passer pour privée, ou s’il indique « Autre motif » ; nous regardons alors d’abord, et le profil reste visible jusqu’à notre décision. Une évaluation signalée, nous la masquons immédiatement. La décision est prise dans les 48 heures.

Si une femme se retire de la page d’un établissement (« C’est moi, retire-moi »), il n’y a pas de motif à choisir, pas de description et pas d’indication de contact ; le signalement nomme l’établissement, pas la femme. Pour que personne ne puisse vider une page d’établissement, cette voie aussi est freinée ; si le frein s’applique, la page le dit. Le comptage à cet effet se fait uniquement dans la mémoire vive, sous une valeur détruite à minuit, pas dans la base de données.

L’indication de contact figure en clair dans le signalement, afin que nous puissions te joindre. Elle est supprimée 90 jours après la clôture du traitement, et elle seule : le signalement lui-même – ce qui a été signalé, le motif, ta description et notre décision – reste conservé comme preuve, même si le profil signalé ou l’évaluation signalée est supprimé.

En cas de soupçon de minorité ou de contrainte, un signalement peut être transmis à une autorité ou à un service spécialisé. Comment cela se déroule en détail, nous le fixerons avec un service spécialisé et l’écrirons ensuite ici.

21. Quand ton annonce figure sur un autre portail

Cette section concerne des personnes qui n’ont pas de compte ici. Nous lisons des annonces d’autres portails consultables publiquement, pour mesurer le marché suisse et pour renvoyer aux originaux dans la recherche et le récapitulatif.

Ce que nous enregistrons d’une annonce externe :

• le portail, l’adresse de l’annonce, le canton, le lieu et la commune, les cantons qu’elle indique comme zone d’intervention, la catégorie, le type, le genre, les langues, le prix et les suppléments pour certaines prestations, si le portail la mentionne comme vérifiée, et quand nous l’avons vue pour la première et pour la dernière fois ;
• les prestations que le portail présente sous forme de liste ou qui figurent dans le texte de l’annonce, traduites dans les identifiants de notre vocabulaire, sans le texte ;
• les moyens de contact – seulement si le téléphone, les SMS, WhatsApp, Telegram, l’e-mail ou un formulaire sont proposés, jamais le numéro ou l’adresse ;
• le nom de travail que le portail indique comme nom, nettoyé : seulement des lettres, pas de chiffres, pas de @ ;
• l’âge tiré du champ d’âge du portail, sous forme de nombre, et les caractéristiques que le portail présente comme champ ou rubrique, par exemple la taille, la silhouette, la couleur des cheveux et des yeux, le pays d’origine ou si la personne fume ;
• deux indications sensibles (art. 5, let. c, LPD), tirées de la rubrique du portail ou du texte de l’annonce (seule l’indication est enregistrée, jamais le texte) : si l’annonce décrit quelqu’un comme enceinte – c’est une indication sur la santé, supprimée au plus tard 180 jours après la première observation, même si l’annonce reste en ligne – et si elle indique « uniquement protégé », une indication sur la vie sexuelle. « Enceinte » ne figure sur la carte que si la recherche filtre selon ce critère et, si la carte regroupe plusieurs annonces, avec l’indication de celle dans laquelle cela figure ; dans la recherche, on peut filtrer selon les deux, et pour « enceinte », une page propre compte combien d’annonces l’indiquent par canton – jamais lesquelles ;
• si l’annonce se désigne elle-même comme « mère et fille », « sœurs » ou « jumelles », tiré du texte de l’annonce ou du titre tel qu’il figure dans l’adresse de l’annonce : seul ce mot est enregistré, jamais le texte – nous ne vérifions aucun lien de parenté. Cela ne figure sur la carte que si la recherche filtre selon ce critère et, si la carte regroupe plusieurs annonces, avec l’indication de celle dans laquelle cela figure ; dans la recherche, on peut filtrer selon ce critère, et des pages propres comptent combien d’annonces se désignent ainsi par canton ;
• si l’annonce se décrit elle-même comme albinos ou comme personne de petite taille ou indique porter un appareil dentaire – des indications sur la santé, qui sont sensibles (art. 5, let. c, LPD) –, tiré d’un champ du portail ou du texte de l’annonce : seul « albinos », « personne de petite taille » ou « appareil dentaire » est enregistré, jamais le texte ; nous ne déduisons rien d’une taille, et l’indication n’est pas vérifiée. Elle ne figure sur la carte que si la recherche filtre selon ce critère et, si la carte regroupe plusieurs annonces, avec l’indication de celle dans laquelle elle figure ; dans la recherche, on peut filtrer selon ce critère, et des pages propres comptent combien d’annonces l’indiquent par canton – jamais lesquelles ;
• au lieu d’un âge, une tranche d’âge, si le portail n’indique qu’une tranche, par exemple « 27–30 » ;
• lorsque le portail affiche un nombre de consultations sur l’annonce (« vue 123 fois »), ce nombre et le moment où nous l’avons relevé – au plus un par jour, sans texte. Nous ne l’analysons que de manière agrégée, par portail, canton et catégorie, jamais pour une annonce individuelle, et ne le montrons nulle part publiquement ;
• à partir du numéro de téléphone, une clé de contact (voir plus bas), ainsi que le pays et s’il s’agit d’un numéro mobile ou fixe ;
• si l’annonce appartient à un établissement que nous répertorions, et auquel (voir « L’attribution à un établissement ») ;
• pour une annonce par laquelle quelqu’un loue un local pour le travail du sexe : le type de local (chambre, studio, place en salon ou appartement), le loyer par jour, semaine ou mois, à partir de quand il est libre et à quoi nous l’avons reconnue comme annonce de local – jamais l’adresse du local.

Ce que nous n’enregistrons jamais : le numéro de téléphone en clair, les photos, les textes d’annonce, la rue et le numéro de rue. Le texte de l’annonce, nous ne le lisons que pour en extraire les prestations, le prix et les suppléments et, pour les annonces de locaux, le type, le loyer et la date à partir de laquelle le local est libre, ainsi que les indications « enceinte » et « uniquement protégé » et le fait que l’annonce se désigne comme « mère et fille », « sœurs » ou « jumelles » se décrit comme albinos ou personne de petite taille ou indique un appareil dentaire ; il reste dans la mémoire vive jusqu’à ce que cela soit extrait, puis il est rejeté.

Ce qui en apparaît publiquement : le lieu, la catégorie, le genre, les langues, le prix, le nom de travail, la tranche d’âge ou la fourchette indiquée par l’annonce – jamais un âge sous forme de nombre –, les prestations et moyens de contact selon le portail, pour les annonces d’escorte la zone d’intervention, les caractéristiques physiques que le portail lui-même présente comme champ, le renvoi vers l’original et, si l’annonce appartient à un établissement, un bouton vers la page de cet établissement. Chacune de ces indications porte la mention « selon l’annonce » ; les champs vides, nous ne les montrons pas. Du texte de l’annonce ne proviennent que les prix et les prestations : les prestations qui ne figurent que dans le texte, nous les montrons séparément et avec la mention « lu dans le texte », et dans la comparaison des prix chaque nombre indique sa source, y compris « du texte de l’annonce ». Les noms, l’âge et les caractéristiques physiques, nous ne les complétons jamais à partir du texte de l’annonce. Le pays d’origine et l’ethnie, nous ne les déduisons jamais l’un de l’autre. Dans la recherche, on peut filtrer selon les caractéristiques et selon le nom de travail. Les annonces indiquant un âge inférieur à 18 ans, nous ne les montrons pas, ni aucune autre annonce avec le même numéro. La recherche et la liste des annonces peuvent être reprises par les moteurs de recherche, avec le nom de travail, la tranche d’âge et les caractéristiques. Si tu t’y opposes, la carte disparaît aussitôt chez nous ; chez un moteur de recherche, seulement lorsqu’il relit la page – nous le lui signalons. Ce qu’il a déjà copié, nous ne pouvons pas le supprimer nous-mêmes. Le nom ne figure dans aucune adresse ni dans aucun titre de page, et combien de temps notre serveur garde un nom cherché figure sous « Quand tu visites le site ».

Annonces de locaux. Une annonce par laquelle quelqu’un loue un local pour le travail du sexe n’apparaît pas comme carte, mais dans notre vue d’ensemble des locaux : avec le portail, le renvoi vers l’original, le canton, la commune, le type de local, le loyer et la date à partir de laquelle il est libre. Pas de nom, pas de texte, pas d’adresse du local.

Le numéro de téléphone. Pour que la même personne ne soit pas comptée plusieurs fois sur plusieurs portails, nous convertissons le numéro, lors de la lecture, avec une clé secrète en une valeur non réversible (HMAC) et le rejetons ensuite ; il n’atteint jamais la base de données. Qui aurait la clé pourrait essayer des numéros un à un. C’est pourquoi elle est conservée séparément de la base de données et dans aucune sauvegarde, et c’est pourquoi nous ne traitons pas l’inventaire comme anonyme, mais comme des données personnelles.

L’attribution à un établissement. À un établissement que nous répertorions, nous n’attribuons une annonce que si elle appartient avec certitude à précisément cet établissement ; s’il reste un doute, nous n’attribuons pas. Seul est enregistré l’établissement auquel l’annonce appartient – jamais l’adresse tirée de l’annonce, pas même sous forme de valeur de hachage. Chaque nouvelle lecture de l’annonce remplace l’attribution ; il n’existe pas d’historique.

Combien de temps. Le nom de travail, l’âge et les caractéristiques physiques, nous les supprimons dès que nous n’avons plus vu l’annonce pendant sept jours, lors du traitement nocturne suivant ; sur le site, une indication que le portail ne montre plus peut rester affichée jusqu’à ce traitement. Ces trois indications n’entrent dans aucune série chronologique ni dans aucune sauvegarde. Les nombres de consultations, nous les supprimons 400 jours après le relevé. Les autres indications, nous les conservons sans limite de durée, parce que la valeur d’une mesure du marché réside dans la série chronologique ; si l’annonce n’est plus active, elles n’apparaissent plus que comme partie de décomptes, par exemple sur les pages de lieu et dans les chiffres du marché – chaque nombre y figure, même un petit comme 1 ou 2.

Opposition sans compte. Chaque carte a un bouton pour s’opposer. En règle générale, la carte est ainsi immédiatement masquée, avec le nom, la tranche d’âge et les caractéristiques. L’opposition devient définitive après 24 heures : nous bloquons alors la clé de contact – les annonces avec ce numéro, nous ne les reprenons plus non plus sur d’autres portails –, et lors du traitement nocturne suivant, les indications sont supprimées de la base de données. Si l’annonce n’a pas de numéro, nous bloquons seulement son adresse ; une nouvelle annonce sous une autre adresse, nous ne la reconnaissons alors pas. Pour que personne ne puisse vider des entrées d’autrui, il y a des freins ; si l’un d’eux s’applique, la carte reste en place jusqu’à ce que nous ayons examiné l’opposition, et la page te le dit. La liste de blocage ne contient que des valeurs de hachage. Si quelqu’un a enregistré ta carte chez nous comme favori, nous supprimons aussi cette entrée dès que l’opposition est définitive – lors du traitement nocturne suivant. Une sauvegarde de l’inventaire de mesure peut encore contenir une annonce ayant fait l’objet d’une opposition jusqu’à ce qu’elle soit écrasée ; le nom, l’âge et les caractéristiques n’y figurent jamais.

Comment nous consultons. Ce que le robots.txt d’un portail bloque, nous ne le consultons pas. Nous ne falsifions aucun identifiant de navigateur, ne changeons pas d’adresses, ne résolvons pas de CAPTCHA et n’accédons à rien qui se trouve derrière une connexion ou un mur payant. Un contrôle d’âge qu’on confirme d’un clic et sans aucune indication, nous le confirmons. Notre robot de collecte se nomme « rosalon-marktanalyse » et indique une adresse de contact.

Pourquoi nous ne t’informons pas individuellement : nous n’avons aucun moyen de te joindre – précisément parce que nous n’enregistrons pas ton numéro. C’est pourquoi cela figure ici, publiquement et intégralement.

Les femmes sur les sites web des établissements. De la page d’un établissement sur laquelle il présente ses dames, nous enregistrons le nom, la tranche d’âge et les prestations. Pas d’âge sous forme de nombre, pas de caractéristiques physiques, pas de photos, pas de descriptions, pas d’horaires de présence. Seulement tant qu’elle y figure : si elle manque lors de la visite suivante, au plus tard après sept jours, l’entrée est supprimée, sans historique et dans aucune sauvegarde. Le nom, la tranche d’âge et les prestations sont publiés sur une sous-page propre de l’établissement, que les moteurs de recherche n’indexent pas ; la page de l’établissement elle-même ne mentionne aucun nom. À côté de chaque femme figure un bouton propre « C’est moi, retire-moi ». Sans compte, sans justificatif et sans indications, elle est ainsi en règle générale immédiatement masquée ; l’entrée est définitivement supprimée et bloquée après 24 heures. Si, exceptionnellement, le bouton ne fonctionne pas, la page le dit – un message à [email protected] suffit alors. Pour qu’elle ne revienne pas, nous conservons à cet effet une valeur de hachage et le jour, rien d’autre.

Le calendrier des événements. Des sites web des établissements et des rubriques « party » de quelques portails, nous lisons des événements : le type, la date ou le jour de la semaine, l’heure, le nombre de femmes, le prix, le canton ou la région, l’établissement et le renvoi vers la source. Le titre et le texte, nous ne les lisons que pour en extraire ces indications, et ne les enregistrons pas. Si un événement figure dans l’annonce d’une personne individuelle, il n’apparaît qu’avec une date fixe, sans nom et sans titre ; le renvoi mène à son annonce. Les noms des femmes qui participent à un événement, nous ne les reprenons pas. Combien de temps une entrée reste figure plus bas dans le tableau.

Établissements. Des studios, salons, clubs, maisons closes et agences, nous répertorions les informations commerciales qu’ils publient eux-mêmes : nom, type, adresse, téléphone, WhatsApp, Telegram, e-mail, site web et heures d’ouverture. Pour Telegram, il s’agit du nom d’utilisateur de l’établissement ; nous ne le reprenons que d’un lien vers son compte sur le propre site web de l’établissement, et seulement si nous y en trouvons exactement un, ou nous l’inscrivons à la main – jamais à partir d’un portail ou d’une annonce. Publiquement, nous en montrons le nom, le type, le lieu, l’adresse, le contact, les heures d’ouverture et les prix tirés du propre site web de l’établissement – chacun avec sa provenance et sa date. En outre, nous mettons un lien vers la fiche de l’établissement sur les portails sur lesquels nous l’avons vu en dernier – l’adresse de la fiche, aucun numéro tiré de là. Pour un établissement derrière lequel se trouve peut-être, selon notre mesure, une seule personne, nous montrons moins. Pas d’heures d’ouverture, parce que ce seraient ses horaires de présence ; la page dit pourquoi. Pas de compte Telegram, parce que ce serait son compte personnel. Le téléphone, WhatsApp et l’e-mail n’y figurent que si l’établissement les indique sur son propre site web ou si nous les avons vérifiés et inscrits à la main. Un numéro ou une adresse e-mail que nous ne connaissons que par sa fiche sur un portail, nous ne le montrons pas pour un tel établissement et le supprimons lors du traitement nocturne suivant ; du numéro, il ne reste que la clé de contact (voir plus haut). Le lien vers sa fiche sur le portail figure aussi pour un tel établissement : il mène à la page sur laquelle l’établissement publie lui-même son contact. Les heures d’ouverture, nous ne les lisons que là où elles valent pour l’établissement entier ; un planning hebdomadaire, journalier ou de service de femmes individuelles, nous ne le lisons jamais. Le téléphone et l’e-mail, nous les utilisons en outre pour démarcher des établissements au sujet de rosalon ; par SMS ou par messagerie instantanée, nous n’écrivons à personne sans y avoir été invités. Si tu gères une entreprise individuelle et que l’entrée te concerne personnellement, écris-nous, et elle disparaît.

Lors de la visite des sites web d’établissements, nous notons en outre si un site web fait de la publicité en invoquant la reconnaissance par des caisses-maladie et – pour les établissements présents sur un portail érotique – s’il parle de médecine, de thérapie ou de bien-être sans termes érotiques : le mot-clé, la page et la date, pas de texte. Ces indications ne sont visibles qu’en interne et sont supprimées 30 jours après la dernière observation ; la seconde plus tôt, dès qu’une visite trouve un mot érotique sur le site web ou que l’établissement ne figure plus sur aucun portail érotique.

Entreprises de taxi. Là où ni Uber ni Bolt ne circulent, une page d’établissement montre les trois entreprises de taxi les plus proches. Le nom, le numéro de téléphone, le code postal et le lieu, nous les reprenons de l’annuaire taksi.ch ; les entrées qui ressemblent à une personne individuelle avec un numéro de mobile, nous ne les reprenons pas. Une entrée reste jusqu’à ce que taksi.ch ne la répertorie plus ; n’est affiché que ce que nous y avons vu au cours des 90 derniers jours.

22. Où se trouvent les données et qui d’autre les voit

Les données se trouvent sur des appareils en Suisse que nous exploitons nous-mêmes. Pas d’hébergeur, pas de stockage en nuage, pas de prestataire qui ait accès à la base de données.

Entre ton compte et la mesure du marché, il n’existe aucun lien dans la base de données, et l’interface web n’a même pas accès à la mesure du marché.

Si tu te connectes avec Google, Apple ou Microsoft, notre serveur communique directement avec le fournisseur pour confirmer la connexion ; ce que celui-ci enregistre à cette occasion est régi par sa propre déclaration de protection des données. Qui n’appuie sur aucun de ces boutons n’a affaire à aucun de ces fournisseurs – le site ne charge rien de chez eux.

Qui d’autre que nous voit quelque chose :

• le fournisseur de messagerie par lequel passent nos e-mails : green.ch AG, Industriestrasse 33, 5242 Lupfig, Suisse (voir « E-mails de notre part ») ;
• Cloudflare, Inc., dont le siège est aux États-Unis : le site est raccordé à internet par un tunnel de Cloudflare, et bientôt la résolution de noms (DNS) de notre adresse passera aussi par Cloudflare. Cloudflare transmet les requêtes de ton navigateur à notre appareil et voit ce faisant ton adresse IP et ta requête, donc quelle page tu consultes. Cloudflare exploite des centres de calcul dans plus de 100 États, y compris en Suisse ; selon les indications de Cloudflare, les données sont enregistrées surtout aux États-Unis et dans l’Espace économique européen. Selon la liste du Conseil fédéral, les États de l’Espace économique européen disposent d’une protection adéquate des données, les États-Unis seulement pour les entreprises certifiées selon le cadre de protection des données entre la Suisse et les États-Unis ; Cloudflare, Inc. indique être ainsi certifiée. Pour le cas où la certification tomberait, les conditions contractuelles de Cloudflare prévoient des clauses types de protection des données adaptées au droit suisse (art. 16, al. 2, let. d, LPD). Ce que Cloudflare en enregistre et pendant combien de temps, nous le vérifions encore. Cloudflare compte aussi lui-même les requêtes adressées à notre site ; ces sommes – par jour le nombre de requêtes, de consultations de pages et de visiteurs, et par jour et par pays le nombre de requêtes –, nous les récupérons chaque nuit chez Cloudflare et les conservons sans limite de durée, comme preuve de la fréquentation du site. Elles ne contiennent aucune adresse IP, aucune page, aucune heure et aucune requête individuelle ;
• Google, Apple ou Microsoft, seulement si tu te connectes avec un compte chez l’un d’eux : le fournisseur apprend que tu as un compte chez rosalon et nous confirme ton adresse e-mail. Il en est lui-même responsable, selon sa propre déclaration de protection des données ; selon le fournisseur, la société responsable a son siège aux États-Unis ou en Irlande. Selon la liste du Conseil fédéral, l’Irlande dispose d’une protection adéquate des données, les États-Unis seulement pour les entreprises certifiées selon le cadre de protection des données entre la Suisse et les États-Unis. Qui n’appuie sur aucun de ces boutons n’a affaire à aucun de ces fournisseurs ;
• une personne de confiance qui nous remplace pour la vérification si nous sommes indisponibles ; elle ne voit que ce dont elle a besoin pour la décision : les profils soumis avec toutes les indications et photos, la preuve de la vérification de l’âge jusqu’à sa suppression, les photos téléchargées ultérieurement, les offres de locaux soumises avec l’adresse pour les demandes, ainsi que les oppositions et les signalements avec l’indication de contact. Elle ne voit pas les établissements, les évaluations, les statistiques, la gestion des comptes et la mesure du marché, et elle n’a pas accès à nos appareils ;
• les moteurs de recherche établis aux États-Unis, en Russie, en Tchéquie, en Corée du Sud et à Singapour, auxquels nous signalons par IndexNow les adresses de pages publiques nouvelles, modifiées ou retirées – seulement l’adresse ; quel moteur de recherche a son siège où, et sur quelle base, figure sous « Quand tu publies une annonce : ton profil » ;
• opentransportdata.swiss, exploité par CFF SA sur mandat de l’Office fédéral des transports, en Suisse, lorsqu’une page d’établissement demande une liaison en transports publics : seulement deux points arrondis et l’heure, rien sur toi (voir « Quand tu visites le site ») ;
• dès que nous ouvrons des offres payantes, notre banque en Suisse, par laquelle les factures sont payées : la banque voit qui nous paie, avec le montant, la date et la référence (voir « Quand tu paies ») ;
• TWINT Acquiring AG en Suisse, si tu paies une facture dans l’app TWINT : celle-ci traite le paiement en tant que responsable propre, selon sa propre déclaration de protection des données, et apprend que tu nous paies et combien – pas pour quoi ;
• qui achète un rapport de marché : seulement des chiffres, jamais rien sur une personne (paragraphe ci-dessous) ;
• en cas de soupçon de minorité ou de contrainte, le cas échéant une autorité ou un service spécialisé (voir « Signalements ») ;
• une autorité ou un tribunal, si nous sommes tenus de communiquer les données.

Nous ne vendons pas de données sur des personnes. Ce que nous vendons, dès que nous ouvrons des offres payantes, ce sont des rapports de marché : des chiffres sur l’offre, les prix et la demande, jamais en dessous de cinq annonces par chiffre, jamais sur une personne isolée ou une annonce isolée. De ta visite, il n’y figure que ce qui se fond dans des sommes : combien de fois on a cherché par canton, rubrique et prestation, et des termes de recherche tapés qui correspondent à un service, un lieu, une caractéristique ou un établissement répertorié chez nous, en sommes mensuelles à partir de cinq recherches – jamais un nom cherché, jamais un numéro, une adresse e-mail ou postale, ni rien d’une visite isolée (voir « Statistiques : compter et noter sans te connaître »).

23. Protection et sauvegardes

Sont en place : les mots de passe uniquement sous forme de hachage scrypt, les clés de session et de lien uniquement sous forme de hachage ; chaque requête dans l’espace prestataires vérifie si le profil appartient à ton compte ; un blocage contre l’essai systématique de mots de passe ; la connexion et l’inscription ne révèlent pas si une adresse a un compte.

Ce qui manque, et nous le disons : la base de données et les photos ne sont pas enregistrées sous forme chiffrée sur l’appareil lui-même.

La sauvegarde a lieu chaque nuit. Les sauvegardes se trouvent sur l’appareil lui-même et en outre sur un second appareil que nous exploitons également nous-mêmes, en Suisse et dans le même bâtiment – il protège contre la panne d’un appareil, pas contre l’incendie, l’eau ou le vol. Sur les deux appareils, 14 versions sont conservées, soit environ deux semaines. La mesure du marché, nous la sauvegardons sans noms, âges et caractéristiques, non chiffrée. Les comptes, profils, évaluations, favoris, signalements et les autres entrées créées ici, nous les sauvegardons depuis le 26 septembre 2026 uniquement sous forme chiffrée, les photos des profils et des établissements depuis le 7 octobre 2026 également ; aucun de ces appareils ne peut les déchiffrer, la clé ne se trouve sur aucun d’eux. N’entrent pas dans cette sauvegarde les cartes concernant des annonces externes, les femmes sur les sites web des établissements, la photo de ta pièce d’identité, la liste des recherches avec date et heure, les connexions en cours et la liste des clics avec date et heure.

Ce que tu supprimes n’a donc pas disparu partout au même instant : dans les sauvegardes, cela figure encore jusqu’à ce que la dernière version antérieure soit écrasée, environ deux semaines au plus. Il en va de même si tu laisses tes évaluations en place sans lien avec toi : le renvoi vers ton compte figure encore dans les versions antérieures, jusqu’à ce qu’elles soient écrasées. Nous n’y recourons que pour restaurer les données après une panne.

Si malgré tout quelque chose arrive : si une violation de la sécurité des données entraîne vraisemblablement un risque élevé pour toi, nous l’annonçons dès que possible au Préposé fédéral à la protection des données et à la transparence (PFPDT) et t’informons si c’est nécessaire à ta protection (art. 24 LPD).

24. Combien de temps nous conservons quoi

L’art. 6, al. 4, LPD exige de détruire ou d’anonymiser les données personnelles dès qu’elles ne sont plus nécessaires au regard des finalités du traitement. Là où un délai manque encore ci-dessus, nous le fixons et l’inscrivons ici.

25. Tes droits

Tu exerces tous tes droits par un message à [email protected].

• Droit d’accès (art. 25 LPD) : si nous traitons des données sur toi et lesquelles, dans quel but, pendant combien de temps, d’où elles proviennent et à qui elles sont communiquées. Gratuitement, en règle générale dans les 30 jours. Les évaluations détachées, nous ne pouvons pas les y mentionner : la base de données n’indique plus de quel compte elles proviennent.
• Rectification et effacement (art. 32 LPD) : ce que tu as saisi toi-même, tu le modifies ou le supprimes toi-même dans l’espace prestataires – un profil ou ton compte entier avec un bouton, immédiatement et sans autre formalité. Un compte qui ne propose rien, tu le supprimes sur la page du compte. Pour tout le reste, écris-nous.
• Remise des données (art. 28 LPD) : les données que tu nous as fournies, dans un format électronique courant.
• Opposition : contre une carte concernant une annonce externe avec le bouton sur la carte, sinon par message.
• Plainte : auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT).

Comment nous te reconnaissons. Nous ne confirmons à personne si une adresse e-mail donnée a un compte ici, tant que la personne qui le demande ne montre pas qu’elle a accès à cette boîte de réception. Écris-nous donc depuis l’adresse de ton compte. Si ce n’est plus possible, contacte-nous quand même ; nous chercherons une autre voie.

Si une annonce externe te concerne, nous ne pouvons rien attribuer à une clé de contact sans le numéro. Indique-nous le numéro : nous l’utilisons pour la recherche et ne l’enregistrons pas.

26. Modifications

Cette déclaration change quand le programme change, et chaque version porte une date. Si une modification concerne quelque chose pour quoi tu as donné ton consentement, nous te le redemandons.