Informativa sulla protezione dei dati

1. Chi è responsabile

Responsabile è unicamente la persona indicata sopra; nessun altro decide insieme a lei che cosa succede ai tuoi dati. Chi, oltre a noi, ne vede qualcosa è indicato nella sezione «Dove si trovano i dati e chi altro li vede».

Non abbiamo nominato alcuna o alcun consulente per la protezione dei dati ai sensi dell’art. 10 LPD.

2. L’essenziale in breve

• Cercare, confrontare e leggere si può senza conto. Ciò che cerchi non lo memorizziamo – con tre eccezioni: se la tua ricerca non trova nulla, per 30 giorni registriamo che cosa è stato cercato, per trovare l’errore; e se nella ricerca clicchi su un annuncio, una casa o un altro portale, con questo clic registriamo con quali filtri hai cercato; e dal 10.10.2026 registriamo ogni ricerca con data e ora, con i suoi filtri tratti dai nostri elenchi e il numero di risultati – senza di te –, e la cancelliamo dopo 30 giorni. Le visualizzazioni le contiamo come totali giornalieri. Se clicchi su un altro portale, un annuncio altrui, la pagina di una casa o un profilo, registriamo inoltre data e ora di questo clic, insieme a un’indicazione approssimativa se smartphone o desktop, il Paese e, se il clic proveniva dalla ricerca, i suoi filtri – senza alcun riferimento a te: nessun indirizzo IP, nessun identificativo del dispositivo, nessun cookie –, e lo cancelliamo dopo 30 giorni. Dal 29.9.2026 contiamo inoltre quanti dispositivi diversi sono passati in un giorno – tramite un’impronta la cui chiave cambia ogni notte, e un cookie che contiene solo il giorno della tua ultima visita; oltre un giorno non ti riconosciamo con questo, e puoi rifiutarlo con un clic. La pubblicità compare solo segnalata e venduta direttamente da noi – nessuna rete pubblicitaria, nessun tracker pubblicitario, nessun servizio di analisi esterno e nessuno script o carattere tipografico caricato da server esterni. I profili messi in evidenza a pagamento portano «In evidenza · a pagamento».
• I dati si trovano su apparecchi propri in Svizzera. Nessun fornitore di hosting, nessuno spazio cloud. Il sito è collegato a internet tramite Cloudflare, un’impresa con sede negli USA; nel farlo vede il tuo indirizzo IP e quale pagina richiami.
• Dagli annunci di altri portali non memorizziamo numeri di telefono in chiaro, né foto, né testi degli annunci, né indirizzi stradali. Nome di lavoro, età e caratteristiche fisiche restano solo finché l’annuncio è online, e sono cancellati sette giorni dopo. Da noi si può cercare per nome di lavoro, con dei limiti.
• Chi pubblica lì un annuncio e non vuole comparire qui si oppone senza conto, con un pulsante sulla scheda.
• Se pubblichi un annuncio qui, il tuo profilo è pubblico e reperibile dai motori di ricerca. L’indirizzo e-mail del tuo conto non lo diventa mai – un indirizzo di contatto che inserisci tu e rendi pubblico invece sì.
• Guardiamo un documento d’identità solo se ti fai verificare. Finché non l’abbiamo esaminato, la tua immagine resta da noi cifrata; con la decisione è cancellata, al più tardi dopo tre giorni.
• Non vendiamo dati su persone. Non appena offriamo rapporti di mercato, vendiamo numeri sull’offerta, sui prezzi e sulla domanda – mai sotto cinque annunci per numero e mai su una singola persona o un singolo annuncio. Che cosa contengono e chi, oltre a noi, vede qualcosa è indicato nella sezione «Dove si trovano i dati e chi altro li vede».
• Se ci paghi qualcosa, non appena esistono offerte a pagamento, conserviamo ordine, fattura e ricevuta per dieci anni, come richiede la legge. Il tuo IBAN e il nome con cui paga la tua banca non li memorizziamo (vedi «Quando paghi»).

3. Quando visiti il sito

L’applicazione non memorizza il tuo indirizzo IP. Conta le visualizzazioni come totali giornalieri. Singolarmente, con data e ora, registra tre cose: i clic su un altro portale, un annuncio altrui, la pagina di una casa o un profilo – in modo approssimativo con il tipo di dispositivo e il Paese e, se il clic proveniva dalla ricerca, con i suoi filtri, ma senza indirizzo IP, senza identificativo del dispositivo e senza cookie, per 30 giorni (vedi «Statistica: contare e registrare senza conoscerti») –, dal 10.10.2026 ogni ricerca – con i suoi filtri tratti da elenchi fissi e il numero di risultati, senza indicare chi sei, 30 giorni, nella stessa sezione sotto «Ricerche con data e ora» –, e le ricerche che non hanno trovato nulla (vedi «Ricerche senza risultati: che cosa è stato cercato»). Un registro di chi ha richiamato che cosa non lo tiene. Al momento dell’accesso, della registrazione e delle segnalazioni contiamo nella memoria di lavoro i tentativi per indirizzo di provenienza, per frenare gli abusi. Questo contatore non finisce mai nella banca dati e sparisce dopo un riavvio.

Ciò che cerchi e quali filtri imposti non lo memorizziamo – né riferito a te né come cronologia. Contiamo come totale giornaliero per tutti insieme quali tipi di ricerca e quali filtri sono stati usati e, dal 4.10.2026, che cosa è stato cercato – ogni valore e ogni termine digitato per sé, senza riferimento a te né agli altri valori della stessa ricerca; come esattamente, è spiegato in «Statistica: contare e registrare senza conoscerti».

C’è un’eccezione, descritta in dettaglio in «Ricerche senza risultati: che cosa è stato cercato»: se la tua ricerca o il tuo confronto prezzi non trova nulla, registriamo che cosa è stato cercato – per 30 giorni, per poter trovare l’errore. Questa riga non è collegata a nulla: nessun conto, nessuna sessione, nessun indirizzo IP, nessun cookie.

Ciò su cui clicchi lo registriamo se si tratta di un altro portale, di un annuncio altrui, della pagina di una casa o di un profilo: con data e ora, ma non riferito a te. Nella riga non c’è nulla da cui potremmo riconoscere te o il tuo dispositivo, e non teniamo alcuna cronologia per visitatore. Dal 5 ottobre 2026 vi figura in modo approssimativo se si trattava di uno smartphone o di un desktop e da quale Paese proveniva il clic. Che cosa contiene esattamente la riga, per quanto tempo resta e che cosa se ne può comunque dedurre è spiegato in «Statistica: contare e registrare senza conoscerti».

Se cerchi un nome, il tuo browser non lo invia nell’indirizzo, ma una volta sola al nostro server. Lì resta sotto un identificativo casuale per al massimo 20 minuti nella memoria di lavoro, affinché tu possa sfogliare i risultati. Se la ricerca per nome trova qualcuno, dal 29.9.2026 contiamo come totale giornaliero quante volte questo nome è stato cercato – per 30 giorni, senza riferimento a te (vedi «Statistica: contare e registrare senza conoscerti»). Se non trova nessuno, il nome cercato finisce nel registro diagnostico descritto più sotto. Dal 4.10.2026 contiamo inoltre ogni nome cercato come totale giornaliero, con o senza risultati, per 90 giorni e anche in questo caso senza riferimento a te. Contro le interrogazioni di massa la ricerca per nome è frenata, per tutti i visitatori insieme e senza indirizzo IP.

Il sito ti imposta al massimo nove cookie. Di questi, sette nascono solo se fai qualcosa per questo:

• sitzung – solo se accedi. Una chiave casuale che mantiene attivo il tuo accesso, illeggibile per gli script, valida al massimo 30 giorni.
• muster – solo se cambi il tema colori. Conserva la tua scelta per un anno, in modalità discreta solo fino alla chiusura del browser.
• diskret – solo se attivi la modalità discreta. Sparisce quando chiudi il browser.
• alter – solo se su un profilo confermi di avere almeno 18 anni per vedere le immagini dietro il controllo dell’età. Contiene il valore fisso «ab18» e nient’altro: nessun nome, nessuna data di nascita, nessun identificativo. Un anno, in modalità discreta solo fino alla chiusura del browser. Per questa conferma non memorizziamo nulla nella nostra banca dati.
• anmeldeweg – solo se premi «Accedi con Google/Apple/Microsoft» o, sulla pagina del tuo conto, «Collega a …». Registra per al massimo dieci minuti quale accesso ha appena avviato il tuo browser (tre valori casuali, la lingua e la pagina a cui vuoi tornare dopo; per un collegamento, in più l’identificativo del tuo conto e un valore di controllo della tua sessione, non la sua chiave), affinché nessuno possa farti passare per tuo un accesso altrui. Vale solo per gli indirizzi sotto /anmeldung/ e viene cancellato non appena torni dal fornitore.
• eigenzugang – solo se accedi con il codice che hai ricevuto confermando un profilo creato per te da qualcun altro. Una chiave casuale, illeggibile per gli script, valida al massimo 30 minuti e cancellata quando esci.

Dal 29 settembre 2026 si aggiunge un cookie che non richiedi: besuch. Contiene due cose – il giorno della tua ultima visita e un valore casuale che non memorizziamo da nessuna parte. Non contiene ciò che fai, cerchi o guardi qui. Da esso contiamo come totale giornaliero quanti dispositivi arrivano per la prima volta e quanti tornano; una cronologia su di te non esiste. Dura sei mesi. Se il tuo browser porta con sé un accesso al nostro sito, lo cancelliamo subito: non deve mai trovarsi accanto al tuo conto.

Puoi rifiutarlo senza avere un conto e senza JavaScript: sulla pagina «La discrezione per noi conta» (nel piè di pagina: «Discrezione») c’è l’interruttore «Non contare questo browser». Non disattiva solo questo cookie, ma l’intero conteggio per questo browser. In modalità discreta il cookie di visita non lo ricevi comunque. E nella finestra anonima del tuo browser sparisce con la finestra – lì ogni visita conta come nuova.

Dal 4 ottobre 2026 se ne aggiunge un secondo: zufallsmuster. Se non hai mai scelto un tema colori, alla prima visita ne estraiamo a sorte uno dei sette e lo annotiamo in questo cookie, affinché resti lo stesso quando ricarichi e su ogni altra pagina. Contiene solo il nome del tema – su ogni dispositivo a cui è toccato lo stesso, la stessa parola –, nessun identificativo e nulla su ciò che fai qui. Sparisce quando chiudi il browser; la volta successiva estraiamo di nuovo. Se scegli tu un tema colori, vale la tua scelta, e cancelliamo zufallsmuster. Puoi rifiutarlo facendo in modo che il tuo browser non accetti i cookie di questo sito; allora ogni pagina ricaricata mostra un tema estratto di nuovo.

Per il resto il sito non imposta alcun cookie. Per questo non c’è nemmeno una finestra di consenso: l’art. 45c LTC esige un’informazione e la possibilità di rifiutare – entrambe si trovano qui e sulla pagina con l’interruttore –, ma non un consenso preventivo.

Il cookie zaehlen lo ricevi se scegli «Non contare questo browser» – sulla pagina «La discrezione per noi conta» o, per noi stessi, nell’area di amministrazione. Contiene solo la parola «nein», è identico su ogni dispositivo escluso e serve a escludere, mai a riconoscere. Un ulteriore cookie, luecken_meldung, esiste solo per noi stessi e solo nell’area di amministrazione; registra per due minuti quale riscontro ha provocato l’ultimo inserimento. Chi visita soltanto il sito non lo riceve mai.

Pubblicità solo segnalata e venduta direttamente da noi – nessuna rete pubblicitaria, nessun tracker pubblicitario, nessun servizio di analisi esterno, nessun pixel di tracciamento, nessuna analisi del tuo comportamento. Da noi una pubblicità è una scheda che disegniamo noi stessi a partire da un testo, sempre con la dicitura «Pubblicità · Committente»; compare sulla pagina iniziale, sulle pagine delle località o nei risultati di ricerca, mai sulla pagina di un profilo, e non carica nulla da server esterni (vedi «Quando fai pubblicità da noi»). I profili che qualcuno fa mettere in evidenza a pagamento compaiono solo in una fascia propria sopra l’elenco dei risultati della ricerca e portano sempre la dicitura «In evidenza · a pagamento»; la fascia non carica nulla da server esterni. Il sito non carica script, caratteri tipografici, mappe o video di altre imprese. Ogni pagina invia l’istruzione «Referrer-Policy: same-origin»: se da qui passi a un altro portale, questo non viene a sapere su quale nostra pagina eri, che cosa hai cercato e quali filtri hai impostato. Verso l’esterno non parte così alcun rimando alla nostra pagina; solo il nostro server sa da quale delle nostre pagine proveniva un clic.

Che il clic provenisse da rosalon, il portale di destinazione lo viene però a sapere dal 19.9.2026. L’indirizzo verso cui ti reindirizziamo porta a tale scopo l’aggiunta «utm_source=rosalon». È uguale per ogni visitatore, ogni clic e ogni annuncio: nessun numero, nessun orario, nessun contrassegno per te. Il portale può dedurne quante persone arrivano da noi – non chi sei, né se l’hai già visitato in precedenza. Se non vuoi trasmettere nemmeno questo: l’aggiunta è ben visibile nella barra degli indirizzi e lì si può cancellare, e le estensioni che rimuovono aggiunte di questo tipo la riconoscono.

Link a servizi esterni. Se sulla pagina di una casa premi su Percorso, Orario o Uber, si apre il servizio di Google, delle FFS o di Uber con l’indirizzo della casa come destinazione; che cosa fa quel servizio con questo dato lo decide lui. Non gli comunichiamo da dove arrivi. Il link a Bolt porta solo alla pagina di Bolt per la zona, senza destinazione.

Punto di partenza e tempi di viaggio. Se cerchi case nelle tue vicinanze, inserisci un NPA o una località oppure lasci che il tuo browser determini la posizione – prima te lo chiede. Arrotondiamo il punto a circa un chilometro prima che lasci il tuo browser, e ancora una volta sul server. Si trova solo nell’indirizzo della pagina, non in un cookie e non nella banca dati; nella cronologia del tuo browser però c’è. Chi vuole evitarlo digita un NPA. Per il tempo di viaggio con i trasporti pubblici il nostro server interroga opentransportdata.swiss, il servizio orario dei trasporti pubblici: con il punto di partenza arrotondato, il centro della località della casa e l’ora, senza il tuo indirizzo IP e senza dati sul tuo browser. I percorsi in auto, in bici e a piedi li calcoliamo sul nostro apparecchio. I risultati li conserviamo solo nella memoria di lavoro; per quanto tempo, è indicato nella tabella più sotto.

Notizie sul traffico e perturbazioni dei trasporti pubblici. Le notizie sul traffico dell’Ufficio federale delle strade (USTRA) il nostro server le recupera per tutta la Svizzera e le conserva solo nella memoria di lavoro; l’USTRA non viene a sapere nulla su di te, sul tuo punto di partenza o sulla casa. Le perturbazioni dei trasporti pubblici arrivano con la risposta di opentransportdata.swiss, senza ulteriori richieste.

L’uscita rapida su ogni pagina passa subito a google.ch, sostituendo la voce nella cronologia, svuota la memoria del browser per questo sito e cancella i cookie muster e zufallsmuster, diskret e alter. Ciò che il tuo browser memorizza per il resto o sincronizza con altri dispositivi, nessun sito web può cancellarlo.

4. Statistica: contare e registrare senza conoscerti

Contiamo le visualizzazioni come totali giornalieri. Di una visualizzazione, in questi contatori resta solo che in quel giorno un contatore aumenta di uno, e precisamente uno per ciascuno dei seguenti elementi: il tipo di pagina (per esempio «pagina del profilo», mai il suo indirizzo con numero o termini di ricerca), la lingua, se smartphone o desktop, il sito web da cui provieni – solo il suo indirizzo principale, per esempio google.ch –, il Paese (più sotto) e, per la pagina di una casa, di quale pagina di casa si trattava. Se arrivi tramite il codice QR su uno dei nostri biglietti da visita o adesivi stampati, contiamo solo di quale si trattava – «Biglietto da visita» o «Adesivo» –, anche in questo caso come totale giornaliero in una riga a parte e nient’altro; l’aggiunta necessaria la togliamo subito dall’indirizzo. Per i motori di ricerca e altri programmi contiamo il loro tipo e un nome breve. Quattro tipi di clic li registriamo inoltre singolarmente, con data e ora, in modo approssimativo con il tipo di dispositivo e il Paese e con i filtri della ricerca da cui proveniva il clic, ma senza indicare chi sei – quali, è spiegato più sotto in «Clic con data e ora».

Da quale Paese proveniva la tua visualizzazione lo contiamo dal 29.9.2026 anche in questo caso come totale giornaliero. Cloudflare, tramite cui il sito è collegato, ci trasmette il Paese come sigla, per esempio «CH» – per farlo non leggiamo il tuo indirizzo IP, e la sigla si trova in una riga a parte, mai insieme a lingua, dispositivo o pagina. Chi arriva tramite la rete Tor viene contato senza Paese. Per i motori di ricerca e altri programmi non contiamo alcun Paese. In forma approssimativa – la Svizzera, la Germania, la Francia, l’Italia, l’Austria, il Liechtenstein o «altro» – dal 5 ottobre 2026 il Paese figura inoltre per ogni clic nell’elenco più sotto («Clic con data e ora»).

Non vengono memorizzati: il tuo indirizzo IP e l’identificativo del tuo browser – il conteggio li legge entrambi per escludere le visualizzazioni dalla nostra rete e per calcolarne l’impronta che cambia ogni giorno (più sotto), e li dimentica nello stesso istante –, l’indirizzo completo con i termini di ricerca e l’indirizzo completo della pagina da cui provieni – se un clic proviene dalla nostra ricerca, dal suo indirizzo prendiamo solo i filtri cliccati (più sotto, «Clic con data e ora») e dimentichiamo il resto. Dell’unico cookie che nasce in questo contesto, nella nostra banca dati non c’è nulla: si trova sul tuo dispositivo, e da noi resta solo una somma. Nei totali giornalieri le caratteristiche non stanno mai insieme in una riga: quale lingua apparteneva a quale provenienza non è scritto da nessuna parte. Una cronologia per persona in questa statistica non esiste. Qualcosa viene registrato singolarmente in tre punti: i clic su una destinazione, con data e ora, in modo approssimativo con il tipo di dispositivo e il Paese e con i filtri della ricerca precedente, ma senza indicare chi sei (più sotto, «Clic con data e ora»), dal 10.10.2026 ogni ricerca con data e ora, i suoi filtri e il numero di risultati, anch’essa senza indicare chi sei (più sotto, «Ricerche con data e ora»), e le ricerche senza risultati (nella sezione «Ricerche senza risultati: che cosa è stato cercato»). Il precaricamento delle pagine, l’area inserzionisti e l’amministrazione non vengono contati, così come le visualizzazioni dalla nostra rete, da amministratori connessi e da dispositivi esplicitamente esclusi con il cookie zaehlen – da te o da noi. I numeri li vediamo solo noi.

Dal 1° ottobre 2026 confrontiamo inoltre il tuo indirizzo IP con gli elenchi pubblici in cui Amazon Web Services, Google Cloud, Microsoft Azure, Oracle Cloud e DigitalOcean indicano gli indirizzi dei loro centri di calcolo, nonché con gli intervalli di indirizzi di altri gestori di centri di calcolo come OVHcloud, Hetzner o Contabo, che ricaviamo dai dati di routing pubblici del RIPE NCC: se una visualizzazione proviene da lì, la contiamo come programma e non come persona, e nel totale giornaliero figura allora solo da quale di questi gestori proveniva – l’indirizzo stesso non lo memorizziamo nemmeno in questo caso.

Dal 29 settembre 2026 contiamo anche quanti dispositivi diversi sono passati in un giorno. Per farlo calcoliamo dal tuo indirizzo IP e dall’identificativo del tuo browser un’impronta – un valore hash dal quale non si può risalire né all’uno né all’altro. La chiave cambia ogni notte: lo stesso collegamento con lo stesso browser dà domani un valore completamente diverso, e i valori non si possono mettere in relazione tra loro, nemmeno da parte nostra. L’indirizzo IP stesso continuiamo a non memorizzarlo mai, nemmeno temporaneamente. La chiave principale non si trova nella banca dati, ma solo nell’ambiente del server.

Queste impronte restano al massimo due giorni. Appena un giorno è terminato, ne resta il semplice numero – «in questo giorno erano tanti dispositivi» –, e i valori stessi sono cancellati. Più a lungo non servirebbero comunque a nulla: con la chiave di ieri non si può confrontare nulla di oggi.

Dal cookie besuch (vedi sopra) contiamo due cose, entrambe solo come totale giornaliero: se un dispositivo in quel giorno è arrivato per la prima volta o è tornato, e quanto tempo è passato dall’ultima visita, in quattro gruppi approssimativi – ieri, da 2 a 7 giorni fa, da 8 a 30 giorni fa, di più. Un dispositivo conta una volta al giorno, non una volta per pagina. Ciò che hai guardato o cercato in un giorno non figura in nessuna di queste righe; dicono solo che qualcuno è passato.

Che cosa questi numeri non possono fare, e anche questo va detto: una persona con smartphone e laptop corrisponde a due dispositivi. Due persone nella stessa rete WLAN con lo stesso browser corrispondono a uno solo. Nella finestra anonima ogni visita conta come nuova. È una stima di quante persone ci sono qui, non un conteggio di persone – ed è volutamente così approssimativa da non dire nulla su di te.

Nemmeno questi totali giornalieri restano per sempre: dopo 24 mesi li cancelliamo. I numeri sull’insieme dei visitatori non riguardano alcuna persona; cancellarli è un nostro impegno e non un obbligo di legge. I numeri per profilo, invece, sono collegati a un annuncio: per loro vale lo stesso termine, e scompaiono inoltre con l’annuncio o con l’account. Due anni bastano per un confronto con l’anno precedente; di più non ci serve.

Anche i clic verso l’esterno li contiamo come totale giornaliero. Un link a un annuncio su un altro portale, al sito web di una casa o alla voce di una casa su un portale passa attraverso un nostro reindirizzamento. Lì un contatore per l’indirizzo principale della destinazione aumenta di uno – per esempio xdate.ch –, e il browser prosegue. Si conta solo quando clicca una persona, non per motori di ricerca e altri programmi; il reindirizzamento avviene in ogni caso. Da quale pagina, non è scritto da nessuna parte; quando è stato cliccato, approssimativamente con quale tipo di dispositivo e da quale Paese e – se il clic proveniva dalla ricerca – con quali filtri è stato cercato, lo registriamo nell’elenco più sotto («Clic con data e ora»). I filtri li trasmette al nostro reindirizzamento il link nella ricerca; l’altro portale non li viene a sapere. Il reindirizzamento avviene solo verso indirizzi che da noi figurano davvero. L’indirizzo di destinazione porta l’aggiunta «utm_source=rosalon» – uguale per tutti i visitatori; che cosa è e che cosa non è, è spiegato sopra in «Quando visiti il sito».

Quale annuncio altrui era, lo contiamo dal 29.9.2026 in una riga a parte: per ogni annuncio cliccato un contatore aumenta di uno, con un identificativo interno e nient’altro – mai il nome di lavoro, mai un numero di telefono, mai l’indirizzo dell’annuncio, mai il portale nella stessa riga, e mai insieme a lingua, dispositivo o provenienza. Questo numero lo vediamo solo noi, nell’area di amministrazione; non figura su nessuna pagina pubblica né nei dati di mercato. Questa riga resta 30 giorni e non, come gli altri totali giornalieri, due anni: un annuncio appartiene a una persona, e una serie più lunga sarebbe una serie temporale su di lei. Chi gestisce l’annuncio può, come finora, opporsi con il pulsante sulla scheda; allora anche questa riga non è più attribuibile. Quando un annuncio è stato cliccato figura inoltre nell’elenco più sotto («Clic con data e ora»), con lo stesso identificativo e lì in modo approssimativo con dispositivo e Paese e i filtri della ricerca precedente.

Anche quale pagina di una casa guardi lo contiamo: per ogni casa un contatore proprio aumenta di uno, con il numero della casa e nient’altro – si trova in una riga a parte e mai insieme a lingua, dispositivo o provenienza. Si conta solo se la casa esiste da noi, e non per motori di ricerca e altri programmi. Una casa è un’attività; chi sei tu non figura in questo numero. Quando è stata richiamata la pagina di una casa lo registriamo inoltre nell’elenco più sotto («Clic con data e ora»), lì in modo approssimativo con dispositivo e Paese e i filtri della ricerca precedente.

Lo stesso contiamo per gli annunci: quale pagina del profilo era. Per ogni profilo un contatore proprio aumenta di uno, con l’identificativo del profilo e nient’altro, in una riga a parte – mai insieme a lingua, dispositivo o provenienza. Un secondo contatore registra che è stato premuto un pulsante di contatto. Si conta solo se il profilo esiste da noi, e non per motori di ricerca e altri programmi. Questi numeri li vede la persona che gestisce l’annuncio, e solo per i propri annunci. Se cancella un annuncio o il suo conto, cancelliamo anche i numeri. Dal 10.10.2026 vediamo questi numeri anche noi, nell’area di amministrazione e lì solo con diritti di amministratore, per annuncio e sommati: per la gestione del sito, per riconoscere gli abusi e per poter consigliare le persone che pubblicano annunci da noi – per esempio quando un annuncio non viene quasi visto. Non figurano su nessuna pagina pubblica né nei dati di mercato. Quando è stata richiamata la pagina di un profilo lo registriamo inoltre nell’elenco più sotto («Clic con data e ora»), lì in modo approssimativo con dispositivo e Paese e i filtri della ricerca precedente; questo elenco lo vediamo noi, nell’area di amministrazione, e anche le sue righe le cancelliamo insieme all’annuncio.

Per un clic del genere figura anche quale dei sette pulsanti era – telefono, SMS, WhatsApp, Telegram, e-mail, modulo di contatto o sito web. Si conta il tipo di pulsante, mai la destinazione dietro di esso: non il numero chiamato, non l’indirizzo a cui si è scritto, non il nome utente. Anche questo è un totale giornaliero per annuncio, senza orario, senza sequenza e senza un solo dato su di te; da sette clic risulta il numero sette e non un percorso attraverso il sito. Quante volte su tutta la piattaforma viene usata ciascuna via di contatto non lo contiamo a parte. Nell’area di amministrazione sommiamo per questo i numeri dei singoli annunci; questa somma non figura su nessuna pagina pubblica né presso la persona che gestisce un annuncio.

I clic che restano sul nostro sito per il resto non li contiamo separatamente; sono visualizzazioni di pagina come tutte le altre. Se un clic su un profilo o su una casa proveniva dal confronto prezzi o dalla ricerca, quindi, non lo veniamo a sapere, e non vogliamo nemmeno saperlo: sarebbe un pezzo di percorso invece di un numero.

Clic con data e ora. Quattro cose non le registriamo solo come totale giornaliero, ma anche singolarmente, in un elenco: il clic su un altro portale o sul sito web di una casa, quale annuncio altrui è stato cliccato, la visualizzazione della pagina di una casa e la visualizzazione di un profilo. In ogni riga figurano sei dati e non un settimo: data e ora, al secondo; il tipo di clic; la destinazione – l’indirizzo principale del portale o del sito web, l’identificativo interno dell’annuncio, il numero della casa o l’identificativo del profilo –; in modo approssimativo il tipo di dispositivo – smartphone o desktop, come nei totali giornalieri; un tablet conta per lo più come desktop –; in modo approssimativo il Paese che Cloudflare indica per il tuo collegamento – la Svizzera, la Germania, la Francia, l’Italia, l’Austria o il Liechtenstein, altrimenti solo «altro», e «sconosciuto» se non è noto alcun Paese; e, se il clic proveniva dalla nostra ricerca, i filtri di quella ricerca. Le righe anteriori al 5 ottobre 2026 non hanno né dispositivo né Paese; non si completa nulla a posteriori. I filtri sono solo ciò che nella ricerca hai cliccato da elenchi fissi: Cantone, raggio in chilometri, rubrica, genere, prestazioni, «Madre e figlia», «Sorelle», «Gemelle», «Albinismo», «Persona di bassa statura» e «Apparecchio dentale», per chi è l’offerta, via di contatto, fascia d’età, autodescrizione, lingua, Paese d’origine, caratteristiche fisiche, prezzo e altezza a scaglioni, «Solo verificati», «Solo protetto» e «Nascondi i profili senza risposta». Non ne fanno mai parte ciò che digiti (la ricerca per nome, il campo di ricerca delle prestazioni), il tuo NPA, una località o posizione, l’origine etnica, «incinta» e il numero di pagina. Per la pagina di una casa e per un profilo li leggiamo dall’indirizzo della pagina di ricerca che il tuo browser trasmette con un clic all’interno del nostro sito; con il clic su un altro portale li trasmette il link al nostro reindirizzamento, e l’altro portale non li viene a sapere. L’indirizzo stesso non lo memorizziamo. Se il clic non proveniva dalla ricerca, lì non c’è nulla; le righe anteriori al 6 ottobre 2026 non hanno filtri. Un clic su un annuncio altrui corrisponde a due righe con lo stesso orario: il portale e l’identificativo dell’annuncio.

In questo elenco non c’è nulla da cui potremmo riconoscerti: nessun indirizzo IP, nessun identificativo del tuo dispositivo o browser e nessuna impronta ricavata da essi, nessun cookie, non il tuo browser e non il tuo sistema operativo, non la pagina da cui provieni, non la tua lingua, nessuna località, nulla di ciò che hai digitato in un campo di ricerca, nessun conto e nessun numero progressivo. Non esiste alcuna chiave tramite cui due righe possano essere attribuite allo stesso visitatore, e non teniamo alcuna cronologia per visitatore. Ciò che se ne può comunque dedurre lo diciamo apertamente: ogni riga è un piccolo profilo delle preferenze di una visita. Se in un giorno ci sono pochi visitatori, la sequenza dei clic mostra che cosa qualcuno ha cliccato uno dopo l’altro – prima questa casa, poi quell’annuncio –, e con i filtri accanto si può ricostruire che cosa qualcuno ha cercato e cliccato. Dispositivo e Paese rendono questa sequenza più facile da leggere: se in un giorno tranquillo c’è un solo smartphone dalla Germania, i suoi clic nell’elenco si possono mettere in fila. Non chi era. Lo stesso vale per una ricerca senza risultati, che registriamo con il suo momento (sezione successiva): se è vicina nel tempo a un clic, è plausibile che entrambi provengano dalla stessa persona.

L’elenco lo vediamo solo noi, nell’area di amministrazione; non figura su nessuna pagina pubblica né nei dati di mercato. Ogni riga la cancelliamo dopo 30 giorni, nell’elaborazione notturna; i totali giornalieri restano come descritto sopra. Se da noi viene cancellato un annuncio o il conto che vi sta dietro, cancelliamo nello stesso istante anche le righe relative a quel profilo. Se un annuncio altrui o una casa sparisce dal nostro archivio, la riga resta fino alla scadenza dei 30 giorni. Si registra solo quando clicca una persona – non per motori di ricerca e altri programmi, non dalla nostra rete, non per amministratori connessi e non per dispositivi esclusi con il cookie zaehlen. Il clic su un pulsante di contatto non figura in questo elenco; resta un totale giornaliero senza orario.

Ricerche con data e ora. Dal 10.10.2026 registriamo inoltre singolarmente ogni ricerca, ogni confronto prezzi e ogni inserimento nel campo di ricerca libera, in un elenco a parte, per vedere che cosa viene cercato e cliccato in sequenza sul sito – cosa, mai chi. Ogni riga contiene: data e ora, al secondo; il tipo (ricerca, confronto prezzi o testo libero); la lingua della pagina; per una ricerca e un confronto prezzi i filtri scelti, solo valori dai nostri elenchi fissi – gli stessi dei clic più sopra, più una città del nostro elenco, le prime due cifre del NPA, le prestazioni e la durata del confronto prezzi e se è stato cercato un nome –, e il numero di risultati; per il campo libero, che cosa ha riconosciuto la ricerca e, per una casa, una località, un servizio, una caratteristica o «nulla trovato», la parola nella stessa grafia semplificata del totale giornaliero. Non vi figurano mai: chi sei – nessun indirizzo IP, nessun cookie, nessuna sessione, nessun conto, nessun dispositivo, nessun Paese –, un nome cercato, un numero di telefono, un indirizzo e-mail, postale o web, il tuo NPA completo, l’origine etnica e «incinta». Il prezzo è lo stesso dei clic: quando ci sono pochi visitatori, dall’ordine si ricostruisce che cosa qualcuno ha cercato e cliccato di seguito – non chi fosse. L’elenco lo vediamo solo noi, nell’area di amministrazione e solo con diritti di amministrazione; ogni riga la cancelliamo dopo 30 giorni, nell’elaborazione notturna, e non entra nella copia di sicurezza. Si registra solo quando cerca una persona – con le stesse eccezioni dei clic.

Anche le ricerche e i confronti prezzi li contiamo come totali giornalieri e solo quando cerca una persona, non per motori di ricerca e altri programmi. Per una ricerca aumenta un contatore per il suo tipo – per nome, per località, con altri filtri o del tutto senza – e un contatore per il nome di ciascun filtro impostato, per esempio «Cantone» o «Colore dei capelli». Per il confronto prezzi aumenta un contatore per il suo tipo – con prestazioni selezionate, solo per il prezzo base di una durata o senza selezione –, uno per ciascuna prestazione selezionata, come numero del nostro elenco fisso delle prestazioni, e uno per la durata scelta, per esempio «60 minuti» o «Notte». Se sfogli oltre nei risultati, non viene contato di nuovo.

In questi contatori vale: si conta il nome di un filtro, mai il suo valore – che è stata fatta una ricerca per Cantone o per NPA, non per quale Cantone e non per quale NPA. Ciò che digiti in un campo di ricerca qui non lo contiamo – solo che il campo è stato usato. Per una ricerca per nome in questi contatori figura solo che c’è stata: non il nome, non il suo identificativo, non la sua lunghezza. Gli unici valori che contiamo in questi contatori sono la prestazione e la durata nel confronto prezzi, ed entrambe provengono dai nostri elenchi fissi, non da ciò che inserisci. Quante volte è stato cercato un nome (dal 29.9.2026) e che cosa viene cercato – anche quale Cantone e che cosa è stato digitato (dal 4.10.2026) – lo contiamo separatamente; i paragrafi relativi si trovano più sotto. Anche questi contatori stanno ciascuno in una riga a parte: quale filtro era impostato insieme a quale altro, a quale ricerca apparteneva, in quale lingua, con quale dispositivo, da quale sito web o a che ora si è cercato non è scritto da nessuna parte.

Dal 22.9.2026 contiamo anche se una ricerca o un confronto prezzi non ha trovato nulla, anche in questo caso come totale giornaliero e solo quando cerca una persona. Si conta solo il tipo di richiesta senza risultati – una ricerca per nome, per località, con altri filtri o del tutto senza, oppure un confronto prezzi –, per esempio «una ricerca per località non ha trovato nulla». Mai quale località, quali filtri o quale nome, e anche questo contatore sta in una riga a parte, senza lingua, dispositivo o orario. Se sfogli oltre, non viene contato di nuovo. Questo vale per questo numero; che cosa è stato cercato lo registriamo dal 27.9.2026 separatamente – nella sezione seguente è spiegato come.

Dal 29.9.2026 contiamo anche quante volte è stato cercato un nome – come totale giornaliero per nome, in una tabella a parte, e solo se la ricerca ha trovato qualcuno. Da noi si cerca per nome di lavoro, il nome di fantasia con cui qualcuno pubblica annunci; ciò che trova qualcosa è quindi l’inizio di un nome che figura comunque apertamente su una scheda da noi. Ciò che non trova nulla – un numero, una frase, un nome con cui nessuno pubblica annunci – non entra in questo numero. La riga porta il nome e il numero, nient’altro: nessuna sessione, nessun indirizzo IP, nessun cookie, nessun dispositivo, nessuna lingua, nessun rimando al risultato. Questa riga resta 30 giorni, come il registro diagnostico, e per lo stesso motivo: il campo di ricerca accetta testo libero. Questi numeri li vediamo solo noi.

Dal 4.10.2026 contiamo anche che cosa viene cercato – come totale giornaliero per valore, in una tabella a parte, e solo quando cerca una persona. Si contano valori dai nostri elenchi fissi – il Cantone, la rubrica, una prestazione, una caratteristica come «Colore dei capelli: biondo» – e ciò che digiti in un campo di ricerca: nella ricerca delle prestazioni, nel campo di ricerca del confronto prezzi e nella ricerca per nome, anche se la ricerca non trova nulla, anche con errori di battitura. Un termine digitato viene memorizzato in minuscolo e accorciato a 100 caratteri al massimo; un numero di telefono, un indirizzo e-mail o un link al suo interno viene prima sostituito – «Lara 079 …» diventa «lara [Telefonnummer]» –, e il numero, l’indirizzo e il link stessi non li memorizziamo mai. Per ogni valore registriamo solo se la ricerca ha trovato qualcosa. Ogni valore sta in una riga a parte: con quale altro valore è stato cercato insieme, da chi, con quale dispositivo, da quale Paese o a che ora non è scritto da nessuna parte. NPA, Comuni, l’origine etnica e «incinta» non li contiamo come valore. I termini digitati restano 90 giorni, i valori da elenchi fissi, come gli altri totali giornalieri, 24 mesi. Se sfogli oltre nei risultati, non viene contato di nuovo. Questi numeri li vediamo solo noi.

Dall’8.10.2026 in cima alla ricerca c’è un campo in cui digiti liberamente – un nome, una casa, una località, una prestazione. Il testo non va nell’indirizzo, ma una volta sola al nostro server; ciò che la ricerca ne ha ricavato resta lì sotto un identificativo casuale per al massimo 20 minuti nella memoria di lavoro. Come totale giornaliero contiamo che cosa è stato cercato: ciò che la ricerca ha riconosciuto – una casa, una località o un NPA, una prestazione, una caratteristica, un nome o nulla – e il termine relativo, scritto in minuscolo e senza accenti, accorciato a 40 caratteri al massimo. Numeri di telefono, indirizzi e-mail e indirizzi o indirizzi web di annunci altrui non li cerchiamo; se digiti qualcosa del genere, contiamo solo che è capitato, e non lo memorizziamo. Ogni termine sta in una riga a parte, senza riferimento a te né agli altri termini: nessuna sessione, nessun indirizzo IP, nessun cookie, nessun dispositivo, nessuna lingua, nessun orario. Queste righe restano 30 giorni. Questi numeri li vediamo solo noi. Ciò che la ricerca ha riconosciuto figura inoltre dal 10.10.2026 con l’orario in un elenco a parte – per un nome, senza il nome (più sopra, «Ricerche con data e ora»).

Non appena offriamo rapporti di mercato (vedi «Dove si trovano i dati e chi altro li vede»), due tipi di questi numeri vi confluiscono, e solo come somme mensili: quante volte sono stati cercati un Cantone, una rubrica e una prestazione, e i termini del campo di testo libero che corrispondono a un servizio, un luogo, una caratteristica dei nostri elenchi o una casa elencata da noi – ogni termine solo a partire da cinque ricerche al mese. Non vi figurano mai un nome cercato, un numero di telefono, un indirizzo e-mail, postale o web, né nulla di una singola visita. «Questi numeri li vediamo solo noi» vale per le righe giornaliere qui sopra; le somme mensili le formiamo prima che le righe giornaliere vengano cancellate alla scadenza del loro termine, e questi termini non cambiano.

Dal 29.9.2026 contiamo anche come è andata a finire una segnalazione di errore: inviata, fallita durante l’invio o respinta dal modulo. Tre contatori, ciascuno in una riga a parte, e lì non c’è altro che una di queste tre parole – non il tuo testo, non l’indirizzo per una risposta, non la pagina che hai segnalato, non la tua lingua e non l’orario. A che scopo: senza questi numeri nessuno si accorge se la funzione di segnalazione si inceppa; una segnalazione che si perde durante l’invio sparirebbe altrimenti senza lasciare traccia. Non viene contato ciò che chiaramente non è stato provocato da una persona. Ciò che è scritto nella segnalazione stessa non finisce mai nella banca dati – è spiegato in «Quando ci segnali un errore».

5. Ricerche senza risultati: che cosa è stato cercato

Se una ricerca o un confronto prezzi non trova nulla, dal 27.9.2026 registriamo che cosa è stato cercato. Viene memorizzato: il momento, il tipo di richiesta e gli inserimenti – i filtri impostati con i loro valori e, per una ricerca per nome, il nome cercato. Per una ricerca con risultati non si registra nulla di tutto ciò.

A che scopo. Per trovare gli errori nella ricerca. «Oggi dodici ricerche non hanno trovato nulla» non dice se un nome è stato elaborato in modo errato, se un filtro esclude troppo o se l’offerta manca davvero. Proprio questa distinzione è lo scopo, e non ce n’è un altro: non lo analizziamo, non ne ricaviamo numeri e non lo trasmettiamo a nessuno.

Per quanto tempo. 30 giorni. Poi la riga è cancellata, la notte successiva, senza che nessuno debba fare nulla.

A che cosa NON è collegato, ed è questo il punto centrale: a nulla. Nessuna sessione, nessun indirizzo IP, nessun cookie, nessuna caratteristica del tuo dispositivo, nessuna lingua, nessun rimando alla pagina da cui provieni e nessun collegamento al tuo conto, se ne hai uno. Le righe non si trovano nemmeno accanto ai totali giornalieri della statistica, e non esiste alcuna chiave con cui si possa mettere in relazione l’una cosa con l’altra. Due righe dello stesso minuto non significano che si trattasse della stessa persona – non possiamo saperlo e non vogliamo saperlo.

Chi lo vede. Solo noi, nell’area di amministrazione, e lì solo con diritti di amministratore.

Non si registra: lo sfogliare dei risultati (è la stessa ricerca), una richiesta da parte di un motore di ricerca o di un altro programma, il precaricamento di una pagina da parte del tuo browser – e nulla di ciò che proviene dalla nostra rete, da un amministratore connesso o da un dispositivo che abbiamo escluso. Sono le stesse eccezioni della statistica.

Perché c’è un termine, anche se il nome cercato figura su ogni scheda da noi. Perché un campo di ricerca accetta testo libero. Per lo più qualcuno digita un nome di lavoro, una località o una parola per una prestazione; talvolta qualcuno digita più di quanto intenda. Contro questo agiscono il termine, il fatto che queste righe stanno a sé e il fatto che si trovano in una tabella propria e non insieme ai numeri.

6. Quando crei un conto

Un conto lo apri o per cercare o per pubblicare annunci. Con un conto per cercare puoi valutare le case. Tenere una lista dei desideri e salvare annunci e case tra i preferiti lo può fare ogni conto. Per cercare, confrontare e leggere non ne hai bisogno.

Sulla pagina del tuo conto puoi in seguito spuntare che offri anche sesso, gestisci una casa o affitti locali, e togliere di nuovo queste spunte, purché non vi sia più collegato nulla. La casella «Voglio affittare locali» dà esattamente un diritto: registrare locali che affitti (vedi «Quando offri locali») – nessun annuncio e nessuna casa. Valutare e offrire si escludono a vicenda: appena il tuo conto offre qualcosa o affitta locali, non valuta più case, e questa possibilità non torna nemmeno se togli di nuovo la spunta. La tua lista dei desideri e i tuoi preferiti restano. Se presenti una richiesta per una casa o ti viene attribuita una casa, impostiamo per te la casella «Gestisco una casa». Che cosa succede in tal caso alle tue valutazioni precedenti lo decidi tu prima – vedi «Valutazioni delle case».

Vengono memorizzati il tuo indirizzo e-mail, la tua password come hash scrypt (non la password stessa) e se l’hai impostata tu, per che cosa hai aperto il conto – resta memorizzato così anche se in seguito imposti altre spunte –, ciò che hai spuntato sulla pagina del conto, la tua lingua, quando lo hai creato e confermato, quando hai effettuato l’ultimo accesso e – se si arriva a tanto – che è stato bloccato e perché.

Registrazione. Sullo schermo compare sempre la stessa frase, che l’indirizzo abbia già un conto o no; ciò che vale davvero è scritto in un’e-mail. Finché non confermi il link che contiene, da noi c’è una registrazione provvisoria: indirizzo, hash della password, lingua, tipo di conto e la chiave del link come hash. La registrazione provvisoria scade dopo 24 ore e viene cancellata appena, dopo tale termine, qualcuno crea di nuovo un conto. Il conto nasce solo con la tua conferma.

Perché così complicato: altrimenti qualcuno potrebbe scoprire con una sola richiesta se un determinato indirizzo ha un conto qui. In questo settore questa domanda la pongono ex partner, familiari e datori di lavoro.

Restare connessi. Al momento dell’accesso nasce una sessione per al massimo 30 giorni; da noi c’è solo un hash della sua chiave. Quando esci, sparisce. Se cambi la password, terminano tutte le tue sessioni, anche su altri dispositivi.

Password dimenticata. Ricevi un link valido 60 minuti; da noi c’è solo il suo hash. Se l’indirizzo non ha un conto, non parte alcuna e-mail.

Accesso con Google, Apple o Microsoft. Invece che con e-mail e password puoi accedere tramite il tuo account presso Google, Apple o Microsoft. In tal caso il fornitore viene a sapere che hai un conto su rosalon e ci registra presso di sé come app che hai usato. Da lui riprendiamo solo il tuo indirizzo e-mail – e solo se lo indica come confermato – nonché l’identificativo con cui ti registra. Se per questo indirizzo esiste già un conto, lo colleghiamo; altrimenti ne creiamo uno, con una password che nessuno conosce – una la imposti sulla pagina del tuo conto sotto «Modi di accesso» o tramite «Password dimenticata?», in entrambi i casi con un link inviato al tuo indirizzo. Se hai effettuato l’accesso, lì puoi anche collegare tu stesso il tuo conto a uno di questi fornitori, anche a un account che presso di lui ha un altro indirizzo e-mail; quell’indirizzo allora non lo riprendiamo. Se il tuo account presso il fornitore appartiene già a un altro conto da noi, non effettuiamo il collegamento. Per ogni collegamento si memorizzano: il fornitore, il suo identificativo per te e quando è stato effettuato il collegamento. Nessuna chiave d’accesso (token), nessun nome, nessuna immagine, nessun momento dei tuoi accessi. Puoi sciogliere il collegamento sulla pagina del tuo conto, purché poi ti resti un modo per entrare nel tuo conto – una password che conosci o un altro fornitore; con il tuo conto viene cancellato. Dopo ogni collegamento e ogni scioglimento ti scriviamo un’e-mail. Per Microsoft accettiamo solo account personali, non account aziendali o scolastici.

7. Lista dei desideri: una ricerca salvata

Con un conto puoi salvare una ricerca – come lista dei desideri, nella ricerca con «Abbonati a questa ricerca» o sulla pagina «Liste dei desideri». Vengono memorizzati il nome che le dai, la lingua dell’e-mail, quando l’hai creata e usata l’ultima volta, se deve inviare e-mail, e i filtri che hai scelto: luogo (Cantoni, città o un NPA con raggio – mai la tua posizione), rubrica, genere, fascia d’età, lingue, provenienza e origine etnica, caratteristiche fisiche (corporatura, altezza, seno, depilazione intima, colore dei capelli, lunghezza dei capelli, colore degli occhi, tatuaggi, piercing, fumatore/fumatrice), prestazioni, vie di contatto, autodescrizione, prezzo all’ora, «solo protetto», «servizio per» e preferenze particolari: «incinta», «madre e figlia», «sorelle», «gemelle», «albinismo», «persona di bassa statura» e «apparecchio dentale».

Questi dati dicono qualcosa di te: che cosa cerchi – e, con le preferenze particolari, l’origine etnica e le caratteristiche fisiche, qualcosa della tua sfera intima. Per questo si trovano solo nel tuo conto, nessuno tranne te li vede e nessuna e-mail li cita. Una ricerca per nome non finisce mai in una lista dei desideri.

Una lista dei desideri è facoltativa, e ogni filtro al suo interno lo imposti tu. I dati sulle tue preferenze possono essere dati personali degni di particolare protezione; li usiamo solo per mostrarti annunci adatti e inviarti l’e-mail relativa, e non li trasmettiamo a nessuno.

Ogni notte confrontiamo gli annunci appena rilevati con i tuoi filtri, secondo le stesse regole della ricerca. Se qualcosa corrisponde, inviamo al massimo un’e-mail per notte e per lista dei desideri. Contiene il nome che hai dato alla lista dei desideri, il numero dei nuovi risultati, fino a quando resta attiva, e dei link – nessun annuncio e nessuna caratteristica. Il nome si trova così anche presso il tuo fornitore di posta e presso il nostro (vedi «Le nostre e-mail»): sceglilo in modo che non ti tradisca se qualcun altro vede le tue e-mail. Disdire si può con un clic nel programma di posta o tramite il link nell’e-mail; la lista dei desideri resta e non invia più nulla. Perché nessun annuncio arrivi due volte, memorizziamo solo quando ti abbiamo scritto l’ultima volta – non quali annunci erano. Tramite il link nell’e-mail vedi i nuovi annunci; li calcoliamo di nuovo a ogni consultazione.

Una lista dei desideri la cancelliamo automaticamente 90 giorni dopo l’ultimo utilizzo. Conta come utilizzo quando la apri o la modifichi o quando in un’e-mail clicchi su «Mantieni». Puoi cancellarla tu in qualsiasi momento, e con il conto sparisce comunque.

8. Le nostre e-mail

Inviamo solo e-mail che riguardano il tuo conto, e solo sei tipi che riguardano il conto stesso: la conferma di una registrazione, l’avviso che per l’indirizzo esiste già un conto, il link per reimpostare la password (anche per impostarla la prima volta), il messaggio che la tua password è stata cambiata, il messaggio che il tuo conto è stato collegato con Google, Apple o Microsoft, e quello che un tale collegamento è stato sciolto – entrambi con un link alla pagina del tuo conto, nel caso non sia stata opera tua. Nessuna pubblicità, nessuna newsletter. Se ne aggiungono altri sette, ciascuno solo se hai attivato o inviato tu la cosa corrispondente: il messaggio che qualcuno ti scrive tramite il modulo di contatto (vedi «Il modulo di contatto»); la comunicazione relativa a un evento che hai inviato tu – pubblicato o respinto, in caso di rifiuto con motivazione; la comunicazione relativa al tuo annuncio, appena lo abbiamo verificato – approvato o respinto, e la motivazione di un rifiuto non è nell’e-mail, ma nel tuo conto; la comunicazione relativa alla verifica del tuo documento, se hai inviato un documento per un profilo che non è in quel momento sottoposto alla verifica – solo che abbiamo deciso, senza l’esito: se la verifica è superata o no e il motivo di un rifiuto li leggi nel tuo conto; un’e-mail quando qualcuno invia tramite il modulo di contatto una richiesta sulla tua offerta di locali – con tipo e Comune dell’offerta, perché tu sappia di quale si tratta (vedi «Quando offri locali»); una comunicazione relativa alla tua offerta di locali, quando l’abbiamo approvata o respinta – senza contenuto, con un link all’accesso, dietro il quale in caso di rifiuto si trova la motivazione; e – se tieni una lista dei desideri – il messaggio notturno che nuovi annunci vi corrispondono. Contiene il nome che hai dato alla tua lista dei desideri, il numero dei nuovi risultati, fino a quando resta attiva, e dei link – nessun annuncio e nessuna caratteristica. Scegli il nome in modo che non ti tradisca se qualcun altro vede le tue e-mail (vedi «Lista dei desideri: una ricerca salvata»).

Non appena apriamo offerte a pagamento, si aggiungono e-mail sui tuoi ordini, solo se hai ordinato qualcosa: l’avviso che una fattura o una ricevuta si trova nel tuo conto, e un promemoria prima che una durata finisca – senza allegato e senza dire per che cosa. Se ordini un rapporto di mercato senza conto, ti inviamo la fattura e, dopo il pagamento, il link al rapporto (vedi «Quando paghi»).

L’oggetto è semplicemente «Il tuo account» e non nomina rosalon. Il mittente è rosalon, indirizzo [email protected].

Perché un’e-mail arrivi, passa attraverso un fornitore di posta: green.ch AG, Industriestrasse 33, 5242 Lupfig, Svizzera. Questo vede il tuo indirizzo e quindi che hai a che fare con noi. Presso di lui si trova anche la nostra casella di posta: ciò che ci scrivi a [email protected] si trova lì. Dai messaggi di errore dell’invio rimuoviamo l’indirizzo prima che vengano memorizzati da qualche parte.

9. Rapporti sulle e-mail inviate a nostro nome

I grandi fornitori di posta come Google ci inviano ogni giorno un rapporto riassuntivo sulle e-mail arrivate da loro con il nostro dominio mittente – anche su quelle che non provengono affatto da noi. È una procedura diffusa contro i mittenti falsificati (DMARC), e l’abbiamo attivata per il nostro dominio. Un rapporto di questo tipo non contiene nemmeno un’e-mail: nessun destinatario, nessun oggetto, nessun testo, nessun allegato. Indica i server di posta che hanno consegnato i messaggi, il numero di e-mail e se i controlli hanno dato esito positivo.

Che cosa ne memorizziamo: per ogni rapporto e ogni server di posta che ha consegnato, il suo indirizzo IP, il numero di e-mail e entrambi i risultati dei controlli – se il server è registrato nel nostro DNS come mittente per il nostro dominio e se le e-mail portavano la nostra firma digitale; inoltre, da quale fornitore proviene il rapporto e quale giorno copre. Un indirizzo di questo tipo appartiene di regola a un centro di calcolo, per esempio al nostro stesso fornitore di posta; occasionalmente può essere il server di una singola persona, per esempio se qualcuno fa inoltrare automaticamente la propria posta. Per ogni recupero registriamo inoltre quando è avvenuto, quanti rapporti ha trovato e se è riuscito.

A che scopo: per accorgerci se qualcuno abusa del nostro nome come mittente, per esempio per spam o e-mail truffaldine, e per vedere se le nostre e-mail arrivano con una firma valida. Per entrambe le cose serve il confronto con le settimane precedenti: se un server è nuovo o se la nostra firma manca improvvisamente, lo si vede solo da ciò che c’era prima.

Per quanto tempo: 90 giorni. Poi cancelliamo i rapporti insieme agli indirizzi nell’elaborazione notturna, senza che nessuno debba fare nulla.

Gli indirizzi non compaiono su nessuna pagina di rosalon, e non li trasmettiamo a nessuno. Se qualcosa salta all’occhio – un server che non conosciamo invia e-mail a nostro nome –, riceviamo noi stessi un avviso per e-mail in cui figura questo indirizzo. Questa e-mail va al nostro indirizzo e, come ogni nostra e-mail, passa per il nostro fornitore di posta (vedi «Le nostre e-mail»), e a nessun altro.

10. Quando pubblichi un annuncio: il tuo profilo

Ciò che inserisci: nome visualizzato, tipo (commerciale o privato), categoria, genere, Cantone, località, NPA, numero di telefono, lingue, caratteristiche, prestazioni, un’autodescrizione (per esempio «Nuova in zona»), titolo e descrizione, prezzi e immagini, e quale di esse è la tua foto di copertina. Inoltre, facoltativamente e singolarmente: attraverso quali vie sei raggiungibile, e per e-mail, sito web o Telegram il relativo indirizzo. Un conto può gestire fino a cinque profili; con la spunta «Faccio da intermediario per altri», senza limite massimo. Il sistema memorizza inoltre quando hai creato, modificato e sottoposto un profilo, quale livello di verifica ha e quale versione delle condizioni hai accettato e quando.

Ciò che diventa pubblico appena il tuo profilo è attivo: tutto tranne NPA, momenti e annotazioni di verifica – quindi anche il tuo numero di telefono. Senza accesso, sotto un indirizzo fisso, e reperibile dai motori di ricerca: il tuo profilo figura nella nostra sitemap. Un interruttore per disattivarlo per singolo profilo è deciso, ma non ancora realizzato.

Un indirizzo e-mail, un sito web e un nome Telegram li mostriamo solo se li inserisci tu e accanto acconsenti espressamente che siano pubblici – per ogni campo singolarmente. Senza questa spunta non memorizziamo l’indicazione. Al sito web che fai inserire non diciamo da dove arrivi. Se svuoti un campo, l’indicazione sparisce, insieme al consenso.

La tua origine etnica. Facoltativamente puoi indicare a quale di sette gruppi ti riconduci: europea, latinoamericana, asiatica, nera, araba, indiana o mista. È un dato personale degno di particolare protezione (art. 5 lett. c LPD), e lo trattiamo solo con il tuo consenso esplicito (art. 6 cpv. 7 lett. a LPD) – con una spunta propria, solo per questa indicazione, non insieme alle CG. Senza questa spunta non la memorizziamo. A che scopo: la mostriamo sul tuo profilo, e chi nella ricerca filtra per questa origine etnica trova il tuo profilo. Con l’indicazione registriamo quando hai dato il consenso e a quale versione del testo di consenso, in quale lingua. Puoi revocare il consenso in qualsiasi momento togliendo la spunta e salvando: allora cancelliamo subito l’indicazione e il consenso, senza alcuna annotazione che siano esistiti. L’origine etnica non è la tua cittadinanza; quella è un’indicazione a sé, e non deduciamo mai l’una dall’altra. Da un annuncio ripreso non riprendiamo alcuna origine etnica.

Pensaci prima di inviare: ciò che è scritto qui può trovarlo tramite un motore di ricerca chiunque cerchi il tuo nome visualizzato o il tuo numero. Ciò che i motori di ricerca hanno copiato una volta non possiamo recuperarlo. Se cancelli un profilo, il suo indirizzo risponde poi con «non esiste più», affinché i motori di ricerca lo dimentichino più in fretta; imporlo non possiamo.

Affinché i motori di ricerca trovino più in fretta le pagine pubbliche nuove o modificate, comunichiamo a Microsoft Bing e ad altri motori di ricerca, tramite il protocollo IndexNow, l’indirizzo di tali pagine – anche l’indirizzo del tuo profilo pubblico. Viene trasmesso solo l’indirizzo della pagina, nessun altro dato e nessun dato sulle visitatrici e sui visitatori. La comunicazione va a un punto di ricezione comune del protocollo, che la inoltra a tutti i motori di ricerca partecipanti. Oggi sono Microsoft Bing (Microsoft Corporation, con sede negli USA), Amazon (Amazon.com, Inc., con sede negli USA), Yandex (Yandex LLC, con sede in Russia), Seznam (Seznam.cz, a.s., con sede in Cechia), Naver (NAVER Corporation, con sede in Corea del Sud) e Yep (Ahrefs Pte. Ltd., con sede a Singapore); l’indirizzo del tuo profilo va quindi in questi Stati. Secondo l’elenco del Consiglio federale, la Cechia ha una protezione dei dati adeguata, gli USA solo per le imprese certificate secondo il quadro per la protezione dei dati tra la Svizzera e gli USA, come Microsoft. La Russia, la Corea del Sud e Singapore non hanno una protezione dei dati adeguata. In questi Stati e ad Amazon comunichiamo l’indirizzo perché sei tu ad averlo reso accessibile a chiunque con il tuo profilo pubblico (art. 17 cpv. 1 lett. e LPD). Per evitare segnalazioni doppie, registriamo per ogni indirizzo segnalato un valore hash e lo stato della pagina. Per le pagine senza riferimento a una persona – località, Cantoni, dati di mercato, case – accanto figura l’indirizzo stesso; l’indirizzo di un profilo per questo non lo memorizziamo mai, solo il suo valore hash. Se un indirizzo non figura più nella nostra sitemap, lo segnaliamo un’ultima volta, affinché i motori di ricerca vedano che lì qualcosa è cambiato, e cancelliamo la voce. Se metti in pausa il tuo profilo o viene bloccato, ciò avviene alla successiva elaborazione, di regola la notte seguente. Se cancelli il tuo profilo, cancelliamo subito il valore hash e segnaliamo nello stesso istante l’indirizzo un’ultima volta agli stessi motori di ricerca; la pagina risponde allora con «non esiste più». Quando un motore di ricerca rimuove la voce lo decide lui stesso. Se questa unica segnalazione non riesce, il motore di ricerca se ne accorge alla sua visita successiva.

Se non vuoi che segnaliamo l’indirizzo del tuo profilo, nel profilo togli la spunta «Avvisare i motori di ricerca del tuo profilo»; all’inizio è già messa. Dalla successiva elaborazione non segnaliamo più alcun indirizzo di questo profilo, in nessuna lingua, e dimentichiamo anche il loro valore hash. Senza la spunta non segnaliamo nemmeno quando metti in pausa o cancelli il tuo profilo. Il tuo profilo resta comunque pubblico e continua a figurare nel nostro elenco e nella nostra sitemap; i motori di ricerca possono trovarlo lì, anche senza la nostra segnalazione. Chi non vuole nemmeno questo mette in pausa il proprio profilo – allora non è più pubblico. Un indirizzo che abbiamo già segnalato, togliere la spunta non lo richiama: il protocollo non prevede alcuna revoca, e ciò che un motore di ricerca ha già appreso, lo sa.

Non sono pubblici il tuo indirizzo e-mail, il tuo NPA, le tue bozze, il momento del tuo ultimo accesso e tutto ciò che riguarda la verifica tranne il badge. Bozze e profili in pausa, bloccati e cancellati non sono accessibili nemmeno tramite il loro indirizzo.

Riprendere il tuo annuncio. Puoi inserire l’indirizzo del tuo annuncio su un altro portale. Lo richiamiamo una volta, nel rispetto del robots.txt del portale, e ti mostriamo un’anteprima. Solo quando confermi riprendiamo nel tuo profilo dati di base, caratteristiche, titolo, descrizione, prezzi e prestazioni, a richiesta anche fino a dodici immagini. Della provenienza memorizziamo solo il nome del portale, non l’indirizzo dell’annuncio. Un profilo ripreso appare al più presto dopo 48 ore, solo con un conto confermato, e fino alla sua verifica non nei motori di ricerca.

Titolo e descrizione li traduciamo automaticamente nelle quattro lingue del sito, sul nostro apparecchio. Nessun testo lascia per questo il nostro apparecchio, nessun servizio esterno lo vede. Le frasi su protezione, pratiche o prezzi non le traduciamo; nella traduzione appaiono nell’originale. La traduzione figura sulla pagina del tuo profilo contrassegnata come «Tradotto automaticamente», con il tuo originale sempre accanto. Se modifichi il tuo testo, cancelliamo subito le vecchie traduzioni e traduciamo di nuovo; se cancelli il testo o il tuo profilo, spariscono anche loro. Nel profilo puoi disattivare «Traduci il testo automaticamente» – allora cancelliamo le traduzioni esistenti, e non ne nascono di nuove. La funzione è realizzata, ma non ancora attivata: l’interruttore si trova nel modulo del tuo profilo, ma oggi non traduciamo nulla, e la pagina del tuo profilo mostra solo il tuo originale. Prima di attivarla, lo scriviamo qui con la data.

Le indicazioni in un annuncio per servizi erotici riguardano la sfera intima e sono dati personali degni di particolare protezione (art. 5 lett. c LPD). Le trattiamo perché acconsenti espressamente e perché concludi con noi un contratto relativo all’annuncio. Puoi revocare il tuo consenso in qualsiasi momento cancellando il profilo.

11. Quando qualcuno crea un profilo per te – o tu per altri

Chi su rosalon pubblica annunci per altri – come manager, agenzia o casa – ci indica prima un nome o una ditta e un numero di telefono, facoltativamente anche l’IDI della ditta. Memorizziamo inoltre quando e in quale versione sono state accettate le condizioni per chi rappresenta altre persone. Nulla di ciò è pubblico, nemmeno sul profilo. Ci servono questi dati per raggiungere questa persona se notiamo qualcosa nel suo conto. Restano finché non vengono modificati o cancellati insieme al conto.

Se qualcuno crea un profilo per te, ha inserito lui i dati che vi figurano e ne è responsabile; per il resto vale per il tuo profilo tutto quanto detto nella sezione precedente. Diventa visibile solo quando confermi tu, tramite il tuo link. Del link memorizziamo solo un valore hash, non il link stesso, inoltre quando è stato generato, fino a quando vale e in quale lingua si apre. Se lo apri, togliamo la chiave dall’indirizzo e la mettiamo per al massimo 20 minuti in un cookie zustimmung che solo il server può leggere. Il link vale una sola volta e al massimo sette giorni.

Se confermi, memorizziamo quando, a quale testo della conferma (versione) e in quale lingua, e che hai dichiarato di avere almeno 18 anni. Da quale dispositivo o da quale rete hai confermato non lo memorizziamo. Per accorgerci comunque se molte conferme per lo stesso conto arrivano dalla stessa rete, calcoliamo nella memoria di lavoro, dal tuo indirizzo IP, un valore di controllo con una chiave che nasce nuova ogni giorno e non è memorizzata da nessuna parte. Nella banca dati figura poi al massimo una nota sul conto della persona che pubblica annunci per te, senza indirizzo e senza valore di controllo. Dopo un riavvio del nostro server il valore di controllo non c’è più.

Se su questa pagina togli delle prestazioni, le cancelliamo dal profilo. Se tocchi «No, non sono io», «I prezzi non sono giusti» o «Ho bisogno di aiuto», memorizziamo solo il momento; il profilo allora non appare, e con «Ho bisogno di aiuto» lo esamina una persona del nostro team. Alla persona che pubblica annunci per te mostriamo in tutti questi casi solo «Non confermato» o «In attesa di verifica», come per qualsiasi altro motivo.

Con la conferma ricevi un codice tutto tuo. Te lo mostriamo una sola volta e lo memorizziamo solo come valore hash. Con esso e il nome sul tuo profilo accedi senza conto, vedi i numeri del tuo profilo, lo disattivi o riattivi oppure lo cancelli – la persona che pubblica annunci per te non può annullarlo. Lì mostri anche il tuo documento, se vuoi il segno «documento visto» o se il tuo nome o un titolo suona molto giovane; vale tutto quanto in «Verifica e badge», con due differenze: non ti mandiamo nessuna e-mail al riguardo, la risposta la leggi nel tuo accesso. E la persona che pubblica annunci per te non vede mai l’immagine né una motivazione, solo se il tuo documento è in attesa di verifica o se è stato visto. L’accesso dura al massimo 30 minuti, in un cookie eigenzugang che solo il server può leggere; quando esci, sparisce. Se rinnovi il codice, quello vecchio non vale più.

La tua conferma è il tuo consenso esplicito (art. 6 cpv. 7 lett. a LPD) al trattamento dei dati e delle immagini di questo profilo. Lo revochi cancellando il profilo con il tuo codice o premendo «Sono io – per favore rimuovetelo» sulla pagina del profilo; con il pulsante il profilo sparisce subito, finché non abbiamo esaminato il caso. La prova della tua conferma, il valore hash del tuo codice e i momenti delle tue risposte restano finché il profilo esiste e sono cancellati con esso.

Per il tuo profilo vedi gli stessi numeri della persona che pubblica annunci per te: visualizzazioni e clic sulle vie di contatto, per giorno, mai chi ha guardato. Gli stessi numeri li vediamo anche noi, nell’area di amministrazione e lì solo con diritti di amministratore.

12. Immagini

Ogni immagine che carichi o riprendi dal tuo annuncio la ricalcoliamo e buttiamo via l’originale. In questo modo vanno persi tutti i metadati, anche fotocamera, momento e luogo dello scatto; il programma verifica poi che non ne sia rimasto nessuno.

Per ogni immagine memorizziamo una somma di controllo e un’impronta dell’immagine che riconosce immagini simili. Descrive l’intera immagine, non un volto. Così saltano all’occhio le immagini che si trovano già su un altro profilo: le tratteniamo finché non le abbiamo guardate. Prima che un profilo appaia per la prima volta, lo guarda qualcuno del nostro team, con tutte le indicazioni e immagini. Le immagini e le modifiche successive appaiono senza nuova verifica, anche se dopo una pausa rendi di nuovo visibile il tuo profilo; possiamo verificarle e rimuoverle in qualsiasi momento.

Un’immagine viene distribuita pubblicamente solo finché il tuo profilo è attivo; un’immagine dietro il controllo dell’età, con l’istruzione ai motori di ricerca di non includerla. I file si trovano sul nostro apparecchio con nomi casuali, lì non cifrati; dal 7 ottobre 2026 ne facciamo ogni notte una copia di sicurezza, solo cifrata (vedi «Protezione e copie di sicurezza»). Se cancelli un’immagine, un profilo o il tuo conto, cancelliamo anche i file; nelle copie di sicurezza figurano ancora finché queste non vengono sovrascritte, al massimo circa due settimane.

Le immagini mostrabili apertamente e la foto di copertina. Se un’immagine non mostra né genitali né atti sessuali – per esempio vestita, in lingerie, anche trasparente, o di schiena –, qualcuno di noi può valutarla come mostrabile apertamente. Allora figura senza controllo dell’età sul tuo profilo e come piccola anteprima nel tuo riquadro nella ricerca, visibile a tutti, e i motori di ricerca possono includerla – a meno che il tuo profilo stesso non figuri nei motori di ricerca, per esempio un profilo ripreso, fino alla sua verifica. Ciò che un motore di ricerca ha incluso una volta, una cancellazione da noi non lo fa sparire con certezza. Ogni altra immagine la mostriamo solo dopo la conferma di avere almeno 18 anni, anche ogni immagine che nessuno ha ancora valutato; senza questa conferma non la distribuiamo, nemmeno ai motori di ricerca. Possiamo modificare la valutazione in qualsiasi momento; un’immagine che carichi di nuovo o il cui file cambia dapprima non è valutata. Come foto di copertina scegli una delle tue immagini: se è valutata come mostrabile apertamente, figura per prima nel tuo riquadro, altrimenti la prima immagine mostrabile apertamente del tuo profilo; se il tuo profilo non ne ha nessuna, il riquadro mostra al posto di un’immagine la dicitura «Foto 18+ nel profilo». Per ogni immagine memorizziamo la nostra valutazione – mostrabile apertamente o no, quando e da chi –, in caso di no per la foto di copertina il motivo che leggi nella tua area, per le altre immagini un motivo solo se ne indichiamo uno; inoltre se e quando hai scelto un’immagine come foto di copertina. Tutto questo sparisce con l’immagine, il profilo o il conto. Cloudflare può tenere in memoria intermedia un’immagine mostrabile apertamente fino a cinque minuti; per questo tempo può esservi ancora richiamabile dopo che l’hai cancellata, hai messo in pausa o cancellato il tuo profilo o noi l’abbiamo valutata diversamente. Un’immagine dietro il controllo dell’età non la lasciamo mai tenere in memoria intermedia da Cloudflare. Il nostro robots.txt blocca ormai solo gli indirizzi delle foto di copertina.

13. Il modulo di contatto

Se pubblichi un annuncio, puoi attivare un modulo di contatto – per tutti coloro che vogliono scriverti senza WhatsApp o telefono. A tale scopo indichi un indirizzo e-mail al quale inoltriamo i messaggi. Questo indirizzo non diventa mai pubblico – non figura sul tuo profilo, né nell’e-mail inoltrata, né in alcuna vista che qualcuno possa richiamare. Puoi disattivare il modulo in qualsiasi momento, e allora cancelliamo anche l’indirizzo.

Chi ti scrive indica un nome o uno pseudonimo, un indirizzo di risposta (e-mail o numero di telefono) e il testo. Ne risulta un’unica e-mail a te, con l’indirizzo di risposta come «Rispondi a». Dopo di che il testo sparisce: non lo memorizziamo – né nella banca dati, né in un registro, da nessuna parte. Questa unica e-mail è l’unica versione. Su rosalon non esiste una casella di posta né una cronologia dei messaggi.

Ciò che resta è un numero: quanti messaggi ha ricevuto il tuo profilo in un giorno – perché nessuno possa intasare una casella di posta. Inoltre contiamo nella memoria di lavoro quanti messaggi arrivano in un giorno da un indirizzo di provenienza – sotto un valore che a mezzanotte viene distrutto insieme alla sua chiave. Nella banca dati non finisce nessun indirizzo, nemmeno come valore hash.

Perché il modulo non diventi un canale di invio per la pubblicità, è frenato – senza servizi esterni e senza dati su di te.

14. Quando offri locali

Se offri locali, memorizziamo tipo, Comune, affitto, disponibilità, la tua descrizione e l’indirizzo al quale inoltriamo le richieste, e inoltre quando hai acconsentito a ricevere richieste tramite il modulo. Una via, un numero civico o un numero di telefono non li accettiamo. Pubblicamente, dopo la nostra verifica, appaiono tipo, Comune e quindi il Cantone, affitto, disponibilità e descrizione, mai il tuo indirizzo e mai a quale conto appartiene l’offerta.

Se qualcuno ti scrive tramite il modulo di contatto, ti inoltriamo il messaggio per e-mail e non ne memorizziamo il testo; resta solo un numero per offerta e giorno. Chi scrive indica gli stessi dati che nel modulo di contatto di un profilo (vedi «Il modulo di contatto»), e il suo indirizzo di risposta figura nell’e-mail a te.

La tua conferma relativa agli obblighi cantonali la memorizziamo con il momento, così come quando, al momento dell’invio, hai accettato le CG e in quale versione, e chi ha verificato la tua offerta e con quale motivazione. Se modifichi tipo, Comune, descrizione o l’indirizzo per le richieste, verifichiamo di nuovo l’offerta, e la tua conferma relativa agli obblighi decade finché non la rilasci di nuovo per la nuova versione. Se cancelli un’offerta o il tuo conto, tutto sparisce; nelle copie di sicurezza figura ancora finché queste non vengono sovrascritte (vedi «Protezione e copie di sicurezza»).

15. Quando paghi

Le offerte a pagamento esistono solo quando le apriamo; lo annunciamo nelle CG e per e-mail. Per ogni ordine vale allora quanto indicato qui.

Che cosa memorizziamo: l’ordine – che cosa hai ordinato, per quale profilo, quale attività o quale offerta di locali, per una messa in evidenza per quale Cantone, quale categoria e quali settimane, inoltre durata, importo e momento –, la fattura e la ricevuta con il loro numero, il tuo numero cliente, l’importo, la data, il mezzo di pagamento (banca o TWINT) e il riferimento di pagamento con cui attribuiamo un pagamento alla tua fattura. Nome e indirizzo figurano su una ricevuta solo se li indichi tu; altrimenti c’è solo il tuo numero cliente.

Che cosa non memorizziamo mai: il tuo IBAN, il nome e l’indirizzo con cui la tua banca invia il pagamento, un numero di carta e il tuo numero TWINT. L’avviso di accredito della nostra banca ne contiene una parte; il programma che lo legge la scarta prima che venga memorizzato qualcosa. Sull’estratto conto della nostra banca queste indicazioni figurano comunque, e lo conserviamo come documento contabile, separato dagli altri dati di rosalon.

Che cosa figura sulla ricevuta: la nostra ditta, il tuo numero cliente, una designazione neutra della prestazione, il periodo e l’importo – nessun nome di profilo, nessuna categoria, nessun luogo. Sul tuo estratto conto e nell’app TWINT figurano come destinatario il nome della nostra ditta, in cui rosalon non compare, e come comunicazione «Online-Dienst» (servizio online) con il numero della ricevuta; che cosa ne mostra la tua banca lo decide lei.

Fattura e ricevuta si trovano nel tuo conto, da consultare e stampare. Per e-mail inviamo solo un avviso, senza allegato (vedi «Le nostre e-mail»).

Chi lo vede: la nostra banca, attraverso cui passa il tuo pagamento, e, se paghi nell’app TWINT, TWINT Acquiring AG, che effettua il trattamento del pagamento come titolare autonoma, secondo la propria informativa sulla protezione dei dati. Entrambe vengono a sapere che ci paghi, quanto e con quale riferimento – non per che cosa.

Per quanto tempo: fatture, ricevute e pagamenti ricevuti li conserviamo per dieci anni dalla fine dell’esercizio, così come gli estratti conto; lo esige la legge per i documenti contabili (art. 958f CO), e qui prevale sul tuo desiderio di cancellazione. Gli ordini restano quanto la loro ricevuta. Se un profilo, un’offerta di locali o un’attività viene cancellato, negli ordini viene meno il riferimento ad esso. Se cancelli il tuo conto, viene meno il collegamento tra esso e i tuoi ordini e le tue ricevute; resta solo il numero cliente, e non possiamo più attribuirlo a nessuno. Nome e indirizzo che hai fatto mettere su una ricevuta ci restano per i dieci anni.

Una messa in evidenza è pubblica: chi vede la fascia nella ricerca vede che per quel profilo è stato pagato – non da chi né quanto. Se qualcuno gestisce il tuo profilo come rappresentante, vedi ogni messa in evidenza del tuo profilo nel tuo accesso personale, lì dai il tuo consenso o la termini. La riga di una messa in evidenza viene cancellata con il profilo; ordine e ricevuta restano come sopra.

Se ordini un rapporto di mercato senza conto, ci serve solo un indirizzo e-mail, e lo usiamo per due cose: la fattura e il link al rapporto, che inviamo dopo il ricevimento del pagamento e che scade dopo un termine. Cancelliamo l’indirizzo e-mail dopo la consegna o, se l’ordine decade senza essere stato pagato, a quel punto; sulla ricevuta figura solo un numero cliente.

16. Quando fai pubblicità da noi

Sulla pagina «Fare pubblicità» puoi chiederci una pubblicità. Ciò che vi indichi – la ditta o il nome con cui fai pubblicità, una persona di contatto, il tuo indirizzo e-mail, facoltativamente un numero di telefono, il settore, lo spazio desiderato, la località, il periodo e il tuo messaggio – lo salviamo per risponderti e concordare con te una pubblicità. Possiamo vederlo solo noi, nell’area di amministrazione; l’e-mail che ci segnala una nuova richiesta indica solo il settore e lo spazio. Non ti inviamo pubblicità e non trasmettiamo le tue indicazioni a nessuno.

Per quanto tempo: cancelliamo la richiesta due anni dopo il suo ricevimento; se ne è nata una pubblicità, due anni dopo la sua fine. Se vuoi che sparisca prima, scrivici – allora la cancelliamo subito. La pubblicità stessa – il nome con cui fai pubblicità, titolo, frase, link, spazio, periodo e ciò che abbiamo concordato – la conserviamo dieci anni dopo la sua fine, come prova di ciò che è stato concordato e fornito. Se è pagata, per fattura e ricevuta vale ciò che si trova sotto «Quando paghi».

Pubblica è solo la pubblicità stessa, finché è in corso: il nome con cui fai pubblicità, titolo, frase e link, sempre con la dicitura «Pubblicità · Nome». Compare sulla pagina iniziale, sulle pagine delle località o nei risultati di ricerca, mai sulla pagina di un profilo.

Che cosa contiamo di una pubblicità: quante volte è stata mostrata e quante volte è stata cliccata, per pubblicità e giorno come totale – niente di più. Per questo non impostiamo alcun cookie e non registriamo né indirizzo IP né dispositivo, paese, orario o pagina, nemmeno sulle persone che vedono o cliccano una pubblicità. I robot non vengono contati, e neppure chi ha scelto «Non contare questo browser». Il clic su una pubblicità passa da un indirizzo da noi che lo conta e poi rimanda al sito senza referer; il sito non viene a sapere da quale delle nostre pagine arrivi. Queste cifre le vediamo noi, e su richiesta il committente vede quelle della propria pubblicità.

17. Quando ci segnali un errore

In cima a ogni pagina c’è «Segnala un errore». Il modulo che vi sta dietro ci invia un’unica e-mail: il tuo testo, la pagina su cui eri e la sua lingua. Un indirizzo per eventuali domande è facoltativo – anche senza puoi segnalare.

Della pagina viene trasmesso solo il percorso, mai la parte dopo il punto interrogativo: ciò che hai cercato o filtrato, così non lo veniamo a sapere. Nessun indirizzo IP, nessuna caratteristica del dispositivo, nessun cookie.

Nella banca dati della tua segnalazione non finisce nulla – nessun testo, nessun indirizzo, nemmeno la pagina su cui eri. Questa unica e-mail è l’unica versione.

Ciò che resta è un totale giornaliero su come è andata a finire una segnalazione: inviata, fallita durante l’invio o respinta dal modulo. In questo numero non c’è altro – nessuna delle tre parole dice qualcosa su di te o sul contenuto della tua segnalazione. Dal 29.9.2026, e per un motivo: prima non si poteva stabilire se una segnalazione fosse mai arrivata. Se l’invio non riesce, altrimenti sparisce senza lasciare traccia – nessuno se ne accorge, né noi né tu. Come si conta è spiegato in «Statistica: contare e registrare senza conoscerti». Che la pagina «Segnala un errore» sia stata richiamata lo contiamo come per ogni pagina.

Anche questo modulo è frenato – senza servizi esterni e senza dati su di te.

18. Verifica e badge

Quando verifichiamo il tuo documento d’identità, lo guardiamo a mano e lo confrontiamo con un selfie che ci mostri: se la persona è maggiorenne, se il documento sembra autentico e se si tratta della stessa persona.

Viene memorizzato: quale profilo, quale procedura (telefono, documento d’identità o video), quando, da chi, superata o no, e una breve annotazione senza lunghe sequenze di cifre. Dopo una verifica del documento o una videoverifica superata, inoltre il giorno in cui è stata confermata la maggiore età – non la tua data di nascita.

Come il tuo documento ci arriva: lo fotografi e ce lo invii tramite la tua area inserzionisti. Se qualcuno gestisce il tuo profilo per te, sei tu a inviarlo, tramite il tuo accesso personale con il tuo codice – mai tramite l’account della persona che pubblica annunci per te. Lo accettiamo solo con il tuo consenso esplicito, e solo per questa singola verifica. Tramite un messenger o per e-mail non accettiamo alcun documento d’identità.

Finché la tua immagine è da noi: cifrata, separata dalle immagini del tuo profilo, sotto nessun indirizzo che qualcuno possa indovinare, e in nessuna copia di sicurezza. Può guardarla solo chi ha il diritto di verificare. La chiave non si trova presso il file – ma sullo stesso apparecchio; chi avesse l’intero apparecchio, avrebbe entrambi. Per questo il termine breve.

Quando: insieme al tuo annuncio, quando lo sottoponi alla verifica – oppure in qualsiasi momento a sé, anche per un profilo che è già visibile o in pausa. Il tuo profilo resta com’è; la verifica cambia solo il segno «Documento visto».

Per quanto tempo: fino alla decisione – con un annuncio approvato o respinto, a sé superata o respinta – e in ogni caso al massimo tre giorni. Il termine scade da solo, anche se nessuno l’ha guardata, e non si può prorogare. Puoi ritirare tu l’immagine in qualsiasi momento; allora è cancellata subito.

Che cosa resta dopo: solo la voce descritta sopra – verificato il, da chi, con quale procedura, superata o no. Non memorizzati, in nessun punto: l’immagine, il numero del documento, la tua data di nascita, il tuo nome tratto dal documento, un estratto da esso o un’impronta dell’immagine con cui si potrebbe ritrovare la foto.

L’approvazione. Se sottoponi un profilo, lo guarda una revisora o un revisore del nostro team – con tutte le indicazioni e immagini, finché attende la verifica – e lo approva o lo respinge. Si registra quale conto ha deciso, quando e, in caso di rifiuto, il motivo. Lo stesso vale per una verifica del documento a sé: superata o respinta, da chi, quando, in caso di rifiuto il motivo; a tale scopo la persona che verifica vede anche le immagini del tuo profilo, finché il documento attende la verifica. Queste voci spariscono con il profilo; se il conto della persona che verifica viene cancellato, restano senza riferimento a lei.

19. Valutazioni delle case

Con un conto per cercare puoi valutare una casa: stelle da 1 a 5 e, se lo desideri, un testo. Vengono memorizzati casa, conto, stelle, testo, lingua e momenti. La tua valutazione porta solo questi due rimandi – alla casa e al tuo conto –, nessun identificativo del dispositivo e nessun collegamento a ciò che hai cercato.

Se sulla pagina del conto spunti che offri sesso, gestisci una casa o affitti locali, e hai già scritto valutazioni, prima ti chiediamo che cosa deve succedere a esse. Scegli l’una o l’altra possibilità:

• Cancellarle prima: le tue valutazioni sono cancellate subito, con stelle, testo e le risposte delle case.
• Lasciarle: le valutazioni restano con casa, stelle, testo, lingua e momenti e continuano a contare. Viene cancellato solo il rimando al tuo conto – lo chiamiamo così: la valutazione è sciolta. Un’annotazione su quando o da quale conto una valutazione è stata sciolta non la creiamo. Nella nostra banca dati, dopo, nulla porta più a te da una valutazione di questo tipo; nel tuo conto non figura più, non puoi né modificarla né cancellarla, e non sparisce con il tuo conto, ma scade dopo dodici mesi come ogni altra. Ciò che hai scritto nel testo resta così come lo abbiamo approvato.

La scelta è definitiva: una valutazione sciolta non riottiene un conto, e il tuo conto in seguito non può più valutare, nemmeno se togli di nuovo la spunta. Nelle copie di sicurezza create prima della tua scelta, le valutazioni figurano ancora con il rimando al tuo conto, finché queste copie non vengono sovrascritte – al massimo circa due settimane (vedi «Protezione e copie di sicurezza»).

Pubblicamente la valutazione appare senza il tuo indirizzo e-mail. Le stelle contano subito, il testo appare solo quando lo abbiamo approvato. Un voto lo mostriamo solo a partire da cinque valutazioni, e mai per un’attività dietro la quale di fatto c’è una singola persona. Si valutano le case, non le persone.

Chi scrive di una casa rivela così di averla frequentata. È l’indicazione più delicata che su rosalon possa nascere su di te. Per questo è limitata nel tempo: dopo dodici mesi una valutazione non appare più e viene cancellata nella successiva elaborazione notturna. Prima, se cancelli il tuo conto o ce lo scrivi, finché è collegata al tuo conto; una valutazione sciolta non è più collegata ad alcun conto e scade dopo i dodici mesi.

Su rosalon non ci sono prenotazioni né pagamenti. Non abbiamo mai visto un numero di carta. I messaggi tra clientela e chi pubblica annunci esistono solo come inoltro unico tramite il modulo di contatto (vedi sopra) – nessuna casella di posta, nessuna cronologia.

20. Segnalazioni

Segnalare si può senza conto. Vengono memorizzati: che cosa è stato segnalato (un profilo, una scheda relativa a un annuncio altrui, una valutazione o una donna sulla pagina di una casa), il motivo, la tua descrizione e un recapito, se lo lasci, la lingua e il momento. La descrizione è facoltativa, salvo che tu segnali una costrizione o scelga «Altro motivo»: allora ci serve, perché senza elementi concreti non possiamo decidere. Non colleghiamo la segnalazione a un conto.

Un profilo segnalato lo togliamo subito dalla rete – salvo che la segnalazione riguardi costrizione, truffa o un’attività commerciale che si spaccia per privata, oppure indichi «Altro motivo»; allora prima guardiamo, e il profilo resta visibile finché non abbiamo deciso. Una valutazione segnalata la nascondiamo subito. La decisione viene presa entro 48 ore.

Se una donna si toglie dalla pagina di una casa («Sono io, toglimi»), non c’è un motivo da scegliere, né descrizione né recapito; la segnalazione indica la casa, non la donna. Affinché nessuno possa svuotare la pagina di una casa, anche questa via è frenata; se il freno scatta, la pagina lo dice. Per questo si conta solo nella memoria di lavoro, sotto un valore che a mezzanotte viene distrutto, non nella banca dati.

Il recapito figura in chiaro presso la segnalazione, affinché possiamo raggiungerti. Viene cancellato 90 giorni dopo la conclusione del trattamento, e solo lui: la segnalazione stessa – che cosa è stato segnalato, il motivo, la tua descrizione e la nostra decisione – resta come prova, anche se il profilo segnalato o la valutazione segnalata viene cancellata.

In caso di sospetta minore età o costrizione, una segnalazione può essere trasmessa a un’autorità o a un servizio specializzato. Come avviene nei dettagli lo stabiliamo con un servizio specializzato e poi lo scriviamo qui.

21. Se il tuo annuncio si trova su un altro portale

Questa sezione riguarda persone che qui non hanno un conto. Leggiamo annunci di altri portali accessibili pubblicamente, per misurare il mercato svizzero e rimandare agli originali nella ricerca e nel riepilogo.

Che cosa memorizziamo da un annuncio altrui:

• portale, indirizzo dell’annuncio, Cantone, località e Comune, i Cantoni che indica come zona d’attività, categoria, tipo, genere, lingue, prezzo e supplementi per singole prestazioni, se il portale lo indica come verificato, e quando lo abbiamo visto per la prima e per l’ultima volta;
• le prestazioni che il portale indica come elenco o che figurano nel testo dell’annuncio, tradotte negli identificativi del nostro vocabolario, senza il testo;
• le vie di contatto – solo se sono offerti telefono, SMS, WhatsApp, Telegram, e-mail o un modulo, mai il numero o l’indirizzo;
• il nome di lavoro che il portale indica come nome, ripulito: solo lettere, nessuna cifra, nessuna @;
• l’età dal campo dell’età del portale come numero, e le caratteristiche che il portale indica come campo o rubrica, per esempio altezza, corporatura, colore dei capelli e degli occhi, Paese d’origine o se la persona fuma;
• due indicazioni degne di particolare protezione (art. 5 lett. c LPD), dalla rubrica del portale o dal testo dell’annuncio (si memorizza solo l’indicazione, mai il testo): se l’annuncio descrive qualcuno come incinta – è un’indicazione sulla salute ed è cancellata al più tardi 180 giorni dopo il primo rilevamento, anche se l’annuncio resta online – e se indica «solo protetto», un’indicazione sulla vita sessuale. «Incinta» figura sulla scheda solo se nella ricerca si filtra per questa indicazione, e se la scheda riunisce più annunci, allora con l’indicazione di quale di essi la contiene; nella ricerca si può filtrare per entrambe, e per «incinta» una pagina propria conta quanti annunci la indicano per Cantone – mai quali;
• se l’annuncio si definisce da sé «madre e figlia», «sorelle» o «gemelle», dal testo dell’annuncio o dal titolo così come figura nell’indirizzo dell’annuncio: si memorizza solo questa parola, mai il testo – una parentela non la verifichiamo. Sulla scheda figura solo se nella ricerca si filtra per questa indicazione, e se la scheda riunisce più annunci, allora con l’indicazione di quale di essi la contiene; nella ricerca si può filtrare per essa, e pagine proprie contano quanti annunci si definiscono così per Cantone;
• se l’annuncio indica da sé l’albinismo, si descrive come persona di bassa statura o indica di portare l’apparecchio ai denti – indicazioni sulla salute, degne di particolare protezione (art. 5 lett. c LPD) –, da un campo del portale o dal testo dell’annuncio: si memorizza solo «albinismo», «persona di bassa statura» o «apparecchio dentale», mai il testo; da un’altezza non deduciamo nulla, e l’indicazione non viene verificata. Sulla scheda figura solo se nella ricerca si filtra per essa, e se la scheda riunisce più annunci, allora con l’indicazione di quale di essi la contiene; nella ricerca si può filtrare per essa, e pagine proprie contano quanti annunci la indicano per Cantone – mai quali;
• invece di un’età, un intervallo d’età, se il portale indica solo un intervallo, per esempio «27–30»;
• dove il portale mostra presso l’annuncio un numero di visualizzazioni («visto 123 volte»), questo numero e quando lo abbiamo letto – al massimo uno al giorno, senza testo. Lo analizziamo solo in forma aggregata, per portale, Cantone e categoria, mai per un singolo annuncio, e non lo mostriamo pubblicamente da nessuna parte;
• dal numero di telefono una chiave di contatto (vedi sotto), inoltre il Paese e se si tratta di un numero mobile o fisso;
• se l’annuncio appartiene a una casa che figura da noi, e a quale (vedi «L’attribuzione a una casa»);
• per un annuncio con cui qualcuno affitta un locale per il lavoro sessuale: il tipo di locale (camera, studio, posto in un salone o appartamento), l’affitto al giorno, alla settimana o al mese, da quando è libero e da che cosa lo abbiamo riconosciuto come annuncio di locale – mai l’indirizzo del locale.

Ciò che non memorizziamo mai: il numero di telefono in chiaro, foto, testi degli annunci, via e numero civico. Il testo dell’annuncio lo leggiamo solo per estrarne prestazioni, prezzo e supplementi e, per gli annunci di locali, tipo, affitto e da quando il locale è libero, inoltre le indicazioni «incinta» e «solo protetto» e se l’annuncio si definisce «madre e figlia», «sorelle» o «gemelle» o indica da sé l’albinismo, la bassa statura o l’apparecchio ai denti; resta nella memoria di lavoro finché tutto questo non è estratto, e poi viene scartato.

Che cosa ne appare pubblicamente: località, categoria, genere, lingue, prezzo, il nome di lavoro, la fascia d’età o l’intervallo indicato dall’annuncio – mai un’età come numero –, le prestazioni e le vie di contatto secondo il portale, per gli annunci di escort la zona d’attività, le caratteristiche fisiche che il portale stesso indica come campo, il rimando all’originale e, se l’annuncio appartiene a una casa, un pulsante verso la pagina di questa casa. Ciascuna di queste indicazioni porta l’aggiunta «secondo l’annuncio»; i campi vuoti non li mostriamo. Dal testo dell’annuncio provengono solo prezzi e prestazioni: le prestazioni che figurano solo nel testo le mostriamo separatamente e con l’aggiunta «dal testo», e nel confronto prezzi ogni cifra indica la sua fonte, anche «dal testo dell’annuncio». Nomi, età e caratteristiche fisiche non li completiamo mai dal testo dell’annuncio. Paese d’origine e origine etnica non li deduciamo mai l’uno dall’altra. Nella ricerca si può filtrare per le caratteristiche e per il nome di lavoro. Gli annunci con un’età inferiore a 18 anni non li mostriamo, e nemmeno altri annunci con lo stesso numero. La ricerca e l’elenco degli annunci possono essere ripresi dai motori di ricerca, con nome di lavoro, fascia d’età e caratteristiche. Se ti opponi, la scheda sparisce subito da noi; in un motore di ricerca solo quando questo rilegge la pagina – glielo segnaliamo noi. Ciò che ha già copiato non possiamo cancellarlo noi stessi. Il nome non figura in alcun indirizzo né in alcun titolo di pagina, e per quanto tempo il nostro server conserva un nome cercato è spiegato in «Quando visiti il sito».

Annunci di locali. Un annuncio con cui qualcuno affitta un locale per il lavoro sessuale non appare come scheda, ma nella nostra panoramica dei locali: con portale, rimando all’originale, Cantone, Comune, tipo di locale, affitto e da quando è libero. Nessun nome, nessun testo, nessun indirizzo del locale.

Il numero di telefono. Affinché la stessa persona non venga contata più volte su più portali, al momento della lettura trasformiamo il numero con una chiave segreta in un valore non reversibile (HMAC) e poi lo scartiamo; non raggiunge mai la banca dati. Chi avesse la chiave potrebbe provare i numeri uno per uno. Per questo è conservata separatamente dalla banca dati e in nessuna copia di sicurezza, e per questo non trattiamo l’archivio come anonimo, ma come dati personali.

L’attribuzione a una casa. A una casa che figura da noi attribuiamo un annuncio solo se appartiene con certezza proprio a questa casa; se resta un dubbio, non lo attribuiamo. Si memorizza unicamente a quale casa appartiene l’annuncio – mai l’indirizzo tratto dall’annuncio, nemmeno come valore hash. Ogni nuova lettura dell’annuncio sostituisce l’attribuzione; una cronologia non esiste.

Per quanto tempo. Nome di lavoro, età e caratteristiche fisiche li cancelliamo appena non vediamo più l’annuncio da sette giorni, alla successiva elaborazione notturna; sul sito un’indicazione che il portale non mostra più può restare fino a quell’elaborazione. Queste tre indicazioni non finiscono in nessuna serie temporale e in nessuna copia di sicurezza. I numeri di visualizzazioni li cancelliamo 400 giorni dopo la lettura. Le altre indicazioni le conserviamo senza limiti di tempo, perché il valore di una misurazione del mercato sta nella serie temporale; se l’annuncio non è più attivo, appaiono soltanto come parte di conteggi, per esempio sulle pagine delle località e nei dati di mercato – lì figura ogni cifra, anche una piccola come 1 o 2.

Opposizione senza conto. Ogni scheda ha un pulsante per opporsi. Di regola la scheda è così subito nascosta, con nome, fascia d’età e caratteristiche. L’opposizione diventa definitiva dopo 24 ore: allora blocchiamo la chiave di contatto – gli annunci con questo numero non li registriamo più nemmeno su altri portali –, e alla successiva elaborazione notturna i dati sono cancellati dalla banca dati. Se l’annuncio non ha un numero, blocchiamo solo il suo indirizzo; un nuovo annuncio sotto un altro indirizzo in tal caso non lo riconosciamo. Affinché nessuno possa svuotare voci altrui, ci sono dei freni; se uno scatta, la scheda resta finché non abbiamo esaminato l’opposizione, e la pagina te lo dice. L’elenco dei blocchi contiene solo valori hash. Se qualcuno ha salvato la tua scheda tra i preferiti da noi, cancelliamo anche questa voce appena l’opposizione è definitiva – alla successiva elaborazione notturna. Una copia di sicurezza dell’archivio di misurazione può contenere ancora un annuncio oggetto di opposizione, finché non viene sovrascritta; nome, età e caratteristiche non vi figurano mai.

Come recuperiamo i dati. Ciò che il robots.txt di un portale blocca non lo richiamiamo. Non falsifichiamo alcun identificativo del browser, non cambiamo indirizzi, non risolviamo CAPTCHA e non accediamo a nulla che si trovi dietro un accesso o un muro a pagamento. Un controllo dell’età che si conferma con un clic e senza alcuna indicazione lo confermiamo. Il nostro programma di raccolta si chiama «rosalon-marktanalyse» e porta un indirizzo di contatto.

Perché non ti informiamo singolarmente: non abbiamo alcun modo di raggiungerti – proprio perché non memorizziamo il tuo numero. Per questo è scritto qui, pubblicamente e per intero.

Le donne sui siti web delle case. Dalla pagina di una casa in cui presenta le sue signore memorizziamo nome, fascia d’età e prestazioni. Nessuna età come numero, nessuna caratteristica fisica, nessuna foto, nessuna descrizione, nessun orario di presenza. Solo finché vi figura: se manca alla visita successiva, al più tardi dopo sette giorni, la voce è cancellata, senza cronologia e in nessuna copia di sicurezza. Nome, fascia d’età e prestazioni vengono pubblicati su una sottopagina propria della casa, che i motori di ricerca non includono; la pagina della casa stessa non nomina alcun nome. Accanto a ogni donna c’è un pulsante proprio «Sono io, toglimi». Senza conto, senza prove e senza indicazioni, con esso di regola è subito nascosta; definitivamente cancellata e bloccata, la voce lo è dopo 24 ore. Se eccezionalmente il pulsante non funziona, la pagina lo dice – allora basta un messaggio a [email protected]. Affinché non ricompaia, conserviamo a tale scopo un valore hash e il giorno, nient’altro.

Il calendario degli eventi. Dai siti web delle case e dalle rubriche party di alcuni portali leggiamo eventi: tipo, data o giorno della settimana, ora, numero di donne, prezzo, Cantone o regione, la casa e il rimando alla fonte. Titolo e testo li leggiamo solo per estrarne queste indicazioni, e non li memorizziamo. Se un evento figura nell’annuncio di una singola persona, appare solo con data fissa, senza nome e senza titolo; il rimando porta al suo annuncio. I nomi delle donne che partecipano a un evento non li riprendiamo. Per quanto tempo resta una voce è indicato nella tabella più sotto.

Attività. Di studi, saloni, club, case chiuse e agenzie teniamo i dati commerciali che pubblicano esse stesse: nome, tipo, indirizzo, telefono, WhatsApp, Telegram, e-mail, sito web e orari di apertura. Per Telegram si tratta del nome utente dell’attività; lo riprendiamo solo da un link al suo account sul sito web della casa stessa, e solo se lì ne troviamo esattamente uno, oppure lo inseriamo a mano – mai da un portale o da un annuncio. Pubblicamente ne mostriamo nome, tipo, località, indirizzo, contatto, orari di apertura e prezzi dal sito web della casa stessa – ciascuno con provenienza e data di aggiornamento. Inoltre mettiamo un link alla voce dell’attività presso ciascun portale su cui l’abbiamo vista l’ultima volta – l’indirizzo della voce, nessun numero preso da lì. Per un’attività dietro la quale, secondo la nostra misurazione, potrebbe esserci una singola persona, mostriamo meno. Nessun orario di apertura, perché sarebbero i suoi orari di presenza; la pagina dice perché. Nessun account Telegram, perché sarebbe il suo account personale. Telefono, WhatsApp ed e-mail figurano lì solo se l’attività li indica sul proprio sito web o se li abbiamo verificati e inseriti a mano. Un numero o un indirizzo e-mail che conosciamo solo dalla sua voce su un portale non lo mostriamo per un’attività di questo tipo e lo cancelliamo alla successiva elaborazione notturna; del numero resta solo la chiave di contatto (vedi sopra). Il link alla sua voce sul portale figura anche per un’attività di questo tipo: porta alla pagina in cui l’attività pubblica essa stessa il proprio contatto. Gli orari di apertura li leggiamo solo dove valgono per l’intera attività; un piano settimanale, giornaliero o di servizio di singole donne non lo leggiamo mai. Telefono ed e-mail li usiamo inoltre per contattare le attività in merito a rosalon; per SMS o messenger non scriviamo a nessuno senza che lo abbia chiesto. Se gestisci un’impresa individuale e la voce ti riguarda personalmente, scrivici, e sparisce.

Durante la visita ai siti web delle attività registriamo inoltre se un sito web si fa pubblicità con il riconoscimento da parte delle casse malati e – per le attività presenti su un portale erotico – se parla di medicina, terapia o benessere senza termini erotici: la parola chiave, la pagina e la data, nessun testo. Queste indicazioni sono visibili solo internamente e vengono cancellate 30 giorni dopo l’ultimo rilevamento; la seconda già prima, non appena una visita trova una parola erotica sul sito web o l’attività non figura più su alcun portale erotico.

Imprese di taxi. Dove non circolano né Uber né Bolt, la pagina di una casa mostra le tre imprese di taxi più vicine. Nome, numero di telefono, NPA e località li riprendiamo dall’elenco taksi.ch; le voci che sembrano riferirsi a una singola persona con numero di cellulare non le riprendiamo. Una voce resta finché taksi.ch non la elenca più; viene mostrato solo ciò che vi abbiamo visto negli ultimi 90 giorni.

22. Dove si trovano i dati e chi altro li vede

I dati si trovano su apparecchi in Svizzera che gestiamo noi stessi. Nessun fornitore di hosting, nessuno spazio cloud, nessun fornitore di servizi che guardi nella banca dati.

Tra il tuo conto e la misurazione del mercato non esiste alcun collegamento nella banca dati, e l’interfaccia web non ha alcun accesso alla misurazione del mercato.

Se accedi con Google, Apple o Microsoft, il nostro server comunica direttamente con il fornitore per confermare l’accesso; ciò che quest’ultimo registra in tale occasione dipende dalla sua informativa sulla protezione dei dati. Chi non preme nessuno di questi pulsanti non ha a che fare con nessuno di questi fornitori – il sito non carica nulla da loro.

Chi, oltre a noi, vede qualcosa:

• il fornitore di posta attraverso cui passano le nostre e-mail: green.ch AG, Industriestrasse 33, 5242 Lupfig, Svizzera (vedi «Le nostre e-mail»);
• Cloudflare, Inc., con sede negli USA: il sito è collegato a internet tramite un tunnel di Cloudflare, e presto anche la risoluzione dei nomi (DNS) del nostro indirizzo passerà per Cloudflare. Cloudflare inoltra le richieste del tuo browser al nostro apparecchio e vede in tal modo il tuo indirizzo IP e la tua richiesta, cioè quale pagina richiami. Cloudflare gestisce centri di calcolo in oltre 100 Stati, anche in Svizzera; secondo le indicazioni di Cloudflare, i dati vengono memorizzati soprattutto negli USA e nello Spazio economico europeo. Secondo l’elenco del Consiglio federale hanno una protezione dei dati adeguata gli Stati dello Spazio economico europeo, gli USA solo per le imprese certificate secondo il quadro per la protezione dei dati tra la Svizzera e gli USA; Cloudflare, Inc. dichiara di essere certificata in tal senso. Per il caso in cui la certificazione venga meno, le condizioni contrattuali di Cloudflare prevedono clausole tipo di protezione dei dati adattate al diritto svizzero (art. 16 cpv. 2 lett. d LPD). Che cosa ne registra Cloudflare e per quanto tempo lo stiamo ancora verificando. Cloudflare conta anche da sé le richieste al nostro sito; questi totali – per giorno il numero di richieste, visualizzazioni di pagina e visitatori e per giorno e Paese il numero di richieste – li recuperiamo ogni notte presso Cloudflare e li conserviamo senza limiti di tempo, come prova di quanto il sito viene visitato. Non contengono alcun indirizzo IP, alcuna pagina, alcun orario né alcuna singola richiesta;
• Google, Apple o Microsoft, solo se accedi con un account presso uno di essi: il fornitore viene a sapere che hai un conto su rosalon e ci conferma il tuo indirizzo e-mail. Ne è responsabile esso stesso, secondo la propria informativa sulla protezione dei dati; a seconda del fornitore la società responsabile ha sede negli USA o in Irlanda. Secondo l’elenco del Consiglio federale l’Irlanda ha una protezione dei dati adeguata, gli USA solo per le imprese certificate secondo il quadro per la protezione dei dati tra la Svizzera e gli USA. Chi non preme nessuno di questi pulsanti non ha a che fare con nessuno di questi fornitori;
• una persona di fiducia che ci sostituisce nella verifica quando non siamo disponibili; vede solo ciò che le serve per la decisione: profili sottoposti con tutte le indicazioni e immagini, la prova per la verifica dell’età fino alla sua cancellazione, immagini caricate in seguito, offerte di locali sottoposte compreso l’indirizzo per le richieste, nonché opposizioni e segnalazioni compreso il recapito. Case, valutazioni, statistica, la gestione dei conti e la misurazione del mercato non li vede, e non ha accesso ai nostri apparecchi;
• motori di ricerca con sede negli USA, in Russia, in Cechia, in Corea del Sud e a Singapore, ai quali tramite IndexNow comunichiamo gli indirizzi di pagine pubbliche nuove, modificate o rimosse – solo l’indirizzo; quale motore di ricerca ha sede dove e su quale base è spiegato in «Quando pubblichi un annuncio: il tuo profilo»;
• opentransportdata.swiss, gestito dalle FFS SA su incarico dell’Ufficio federale dei trasporti, in Svizzera, quando la pagina di una casa interroga un collegamento dei trasporti pubblici: solo due punti arrotondati e l’ora, nulla su di te (vedi «Quando visiti il sito»);
• non appena apriamo offerte a pagamento, la nostra banca in Svizzera, tramite cui vengono pagate le fatture: la banca vede chi ci paga, con importo, data e riferimento (vedi «Quando paghi»);
• TWINT Acquiring AG in Svizzera, se paghi una fattura nell’app TWINT: questa effettua il pagamento come titolare autonoma, secondo la propria informativa sulla protezione dei dati, e viene a sapere che ci paghi e quanto – non per che cosa;
• chi acquista un rapporto di mercato: solo numeri, mai nulla su una persona (paragrafo qui sotto);
• in caso di sospetta minore età o costrizione, eventualmente un’autorità o un servizio specializzato (vedi «Segnalazioni»);
• un’autorità o un tribunale, se siamo obbligati a consegnare i dati.

Non vendiamo dati su persone. Ciò che vendiamo, non appena apriamo offerte a pagamento, sono rapporti di mercato: numeri sull’offerta, sui prezzi e sulla domanda, mai sotto cinque annunci per numero, mai su una singola persona o un singolo annuncio. Della tua visita vi figura solo ciò che confluisce in somme: quante volte si è cercato per Cantone, rubrica e prestazione, e termini di ricerca digitati che corrispondono a un servizio, un luogo, una caratteristica o una casa elencata da noi, come somme mensili a partire da cinque ricerche – mai un nome cercato, mai un numero, un indirizzo e-mail o postale, né nulla di una singola visita (vedi «Statistica: contare e registrare senza conoscerti»).

23. Protezione e copie di sicurezza

Già predisposto: password solo come hash scrypt, chiavi di sessione e dei link solo come hash; ogni interrogazione nell’area inserzionisti verifica se il profilo appartiene al tuo conto; un blocco contro i tentativi ripetuti di indovinare le password; accesso e registrazione non rivelano se un indirizzo ha un conto.

Che cosa manca, e lo diciamo: la banca dati e le immagini non sono memorizzate cifrate sull’apparecchio stesso.

Le copie di sicurezza si fanno ogni notte. Si trovano sull’apparecchio stesso e inoltre su un secondo apparecchio, anch’esso gestito da noi, in Svizzera e nello stesso edificio – protegge dal guasto di un apparecchio, non da incendio, acqua o furto. Su entrambi gli apparecchi restano 14 versioni ciascuno, cioè circa due settimane. La misurazione del mercato la salviamo senza nomi, età e caratteristiche, non cifrata. Conti, profili, valutazioni, preferiti, segnalazioni e le altre voci che nascono qui li salviamo dal 26 settembre 2026 solo cifrati, le immagini dei profili e delle case dal 7 ottobre 2026 allo stesso modo; nessuno degli apparecchi può decifrarli, la chiave non si trova su nessuno di essi. Non entrano in questa copia di sicurezza le schede relative ad annunci altrui, le donne sui siti web delle case, l’immagine del tuo documento d’identità, l’elenco delle ricerche con data e ora, gli accessi in corso e l’elenco dei clic con data e ora.

Ciò che cancelli, quindi, non sparisce ovunque nello stesso istante: nelle copie di sicurezza figura ancora finché l’ultima versione precedente non è sovrascritta, al massimo circa due settimane. Lo stesso vale se lasci le tue valutazioni senza riferimento a te: il rimando al tuo conto figura ancora nelle versioni precedenti, finché queste non vengono sovrascritte. Le usiamo solo per ripristinare i dati dopo un guasto.

Se nonostante tutto succede qualcosa: se una violazione della sicurezza dei dati comporta presumibilmente un rischio elevato per te, la notifichiamo il più rapidamente possibile all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) e ti informiamo, se è necessario per la tua protezione (art. 24 LPD).

24. Per quanto tempo conserviamo che cosa

L’art. 6 cpv. 4 LPD esige che i dati personali siano distrutti o anonimizzati non appena non sono più necessari per lo scopo. Dove sopra manca ancora un termine, lo stabiliamo e lo inseriamo qui.

25. I tuoi diritti

Tutti i diritti li eserciti con un messaggio a [email protected].

• Diritto d’accesso (art. 25 LPD): se e quali dati trattiamo su di te, a quale scopo, per quanto tempo, da dove provengono e a chi li comunichiamo. Gratuitamente, di regola entro 30 giorni. Le valutazioni sciolte non possiamo indicarle: nella banca dati non figura più da quale conto provengono.
• Rettifica e cancellazione (art. 32 LPD): ciò che hai inserito tu lo modifichi o lo cancelli da te nell’area inserzionisti – un profilo o il tuo intero conto con un pulsante, subito e senza conferme. Un conto che non offre nulla lo cancelli sulla pagina del conto. Per tutto il resto scrivici.
• Consegna dei dati (art. 28 LPD): i dati che ci hai fornito, in un formato elettronico usuale.
• Opposizione: contro una scheda relativa a un annuncio altrui con il pulsante sulla scheda, altrimenti con un messaggio.
• Denuncia: all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT).

Come ti riconosciamo. Non confermiamo a nessuno se un determinato indirizzo e-mail ha un conto qui, finché la persona che lo chiede non dimostra di avere accesso a questa casella di posta. Scrivi quindi dall’indirizzo del tuo conto. Se non è più possibile, contattaci comunque; cercheremo un’altra via.

Se ti riguarda un annuncio altrui, senza il numero non possiamo attribuire nulla a una chiave di contatto. Indicaci il numero: lo usiamo per la ricerca e non lo memorizziamo.

26. Modifiche

Questa informativa cambia quando cambia il programma, e ogni versione porta una data. Se una modifica riguarda qualcosa per cui hai dato il consenso, te lo chiediamo di nuovo.