Epimelea

Politique de confidentialité

Cette page explique quelles données nous détenons, lesquelles nous ne détenons pas, et ce qu’il advient de ce que vous écrivez dans l’application. Elle est écrite en mots ordinaires, parce que c’est vous qui devez la lire, et pas seulement un avocat.

Dernière modification : 1er septembre 2026. Contact : hello@epimelea.com.

En bref

Epimelea n’a pas de compte au sens habituel : pas d’adresse e-mail, pas de numéro de téléphone, pas de nom, pas de « connexion avec Google ». À la place, vous avez une clé. Tout ce que vous écrivez est chiffré sur votre appareil avant de le quitter. Ce que le serveur conserve est chiffré, et nous ne pouvons pas le lire.

Il y a une exception, et nous la disons franchement. Le thérapeute est un modèle de langage qui fonctionne sur les serveurs d’une autre entreprise, et le texte d’une séance lui parvient en clair. Notre promesse n’est donc pas « votre texte ne quitte jamais votre appareil ». Elle est plus étroite : votre texte va sur votre appareil et sur les serveurs de l’entreprise qui fournit le modèle, où il est conservé jusqu’à trente jours.

Quelles données nous détenons

Rien qui permette de vous identifier. Nous n’avons ni votre e-mail, ni votre téléphone, ni votre nom, ni votre numéro de carte. Notre base de données n’a même pas de champs pour cela. C’est délibéré : ainsi personne ne les remplira un jour « au cas où ».

Votre compte est un nom d’archive de trois mots, par exemple quiet-harbor-cedar. Le serveur ne conserve pas le nom lui-même. Il en garde une empreinte, une valeur qui sert à vérifier votre mot de passe, et des copies de votre clé de chiffrement dans des enveloppes scellées. Ces enveloppes ne s’ouvrent qu’avec votre mot de passe, votre code de récupération ou votre appareil. Votre mot de passe ne nous parvient jamais : l’application en dérive deux valeurs différentes, envoie l’une comme preuve et garde l’autre, celle qui ouvre la clé.

Pour nous, vos archives sont des données chiffrées. Les séances, les entrées du carnet, les documents que vous apportez, les notes du thérapeute : tout est chiffré sur votre appareil avec une clé que nous n’avons pas. Nous ne pouvons ni les lire, ni les transmettre, ni les restaurer. Si vous perdez à la fois le mot de passe et le code de récupération, les archives sont perdues. Personne ne peut y remédier. C’est ainsi que le produit est conçu, ce n’est pas une décision prise au cas par cas.

Pourquoi nous les conservons. Pour que des années de travail ne dépendent pas d’un seul appareil. La copie principale des archives est chez nous ; l’appareil n’en garde qu’une copie de travail. Un téléphone se perd, tombe dans l’eau ou cède la place à un autre, sur une autre plateforme, et l’histoire reste. C’est la seule finalité de cette conservation : nous gardons des données chiffrées pour vous les rendre lorsque vous entrez avec le nom d’archive et le mot de passe.

Des données techniques, sans le contenu des conversations. Nous conservons quelques données de fonctionnement, pour faire tourner le service et éviter qu’on s’en serve indéfiniment sans payer. Elles sont rangées à côté de l’empreinte du nom de vos archives, jamais à côté de votre texte :

Cloudflare, qui héberge le service, voit les adresses IP des requêtes entrantes, comme toute infrastructure web. Nous ne les relions pas à vos archives.

Rapports d’erreur. Lorsque l’application ou le serveur rencontre une erreur, un rapport part vers Sentry, un service qui collecte les plantages. Ce rapport contient le type d’erreur, l’endroit dans le code, la version de l’application et la forme de la requête qui a échoué : la route, dont tous les identifiants ont été retirés. Il ne contient aucun de vos textes, aucune capture d’écran, aucun enregistrement de l’écran, aucun nom d’archives et aucune adresse IP. Ces rapports ne sont pas liés à vos archives : il n’y a pas de champ « qui ».

Où s’arrête le chiffrement

Pour vous répondre, le modèle doit vous lire. Pendant une séance, le serveur rassemble la partie récente de votre conversation, l’envoie à OpenAI et renvoie la réponse. Vos archives sur le disque restent chiffrées, mais le texte envoyé est lisible en transit et du côté d’OpenAI.

Ce que nous faisons : la conservation de l’historique est désactivée dans notre compte OpenAI, et chaque requête est marquée comme ne devant pas être stockée. Ce que nous ne pouvons pas faire : OpenAI en garde une copie jusqu’à trente jours pour détecter les abus. Ce sont les trente jours de la promesse ci-dessus. Nous avons l’intention de signer des conditions supprimant totalement cette conservation, et nous ne nous en prévaudrons pas tant qu’elles ne seront pas signées.

Si vous utilisez la voix, votre parole et les réponses parlées du thérapeute passent par ElevenLabs. Elles n’y vont jamais directement depuis votre appareil : l’accès à ce service reste sur notre serveur. L’application supprime chaque transcription et chaque réponse vocale de l’historique d’ElevenLabs dans la requête même qui l’a créée. Si l’enregistrement n’y est pas encore apparu, elle recommence. Les sauvegardes d’ElevenLabs sont hors de notre portée.

Contrôle de la qualité

Nous contrôlons la qualité de la thérapie d’une manière qui ne revient pas à lire vos conversations.

Évaluation automatique. Peu après une séance, un modèle distinct évalue selon une grille la façon dont le thérapeute a mené la conversation. Pour cela, le texte part vers le même fournisseur de modèle qui a mené la séance : aucun nouveau destinataire n’apparaît. Il est marqué de la même manière, à ne pas conserver. De cette évaluation, il ne reste dans notre base que des notes, des marques et des versions, pas un mot de la conversation.

La lecture par une personne n’a lieu qu’avec votre accord. Elle est désactivée par défaut. C’est vous qui l’activez, et vous pouvez la désactiver à tout moment. Nous le disons clairement : une conversation thérapeutique ne peut pas être rendue entièrement anonyme. On peut en retirer les noms, pas les circonstances d’une vie. Le retrait de l’accord met fin aux accès ultérieurs, mais on ne peut pas défaire une lecture déjà faite.

Vos conversations ne servent pas à entraîner des modèles, ni avec votre accord, ni sans. Nous ne les utilisons pas pour l’entraînement et ne les transmettons à personne pour cela. Chez les fournisseurs de modèles, nous travaillons dans un mode où les données des requêtes ne servent pas à l’entraînement et ne sont conservées dans aucun historique. La copie de trente jours décrite plus haut ne sert pas non plus à l’entraînement : elle est là en cas de contrôle d’abus, puis elle est supprimée.

Paiement

Paiement et contenu sont séparés par construction : la partie paiement sait qui a payé et ne connaît pas une ligne de votre thérapie.

Le nom de vos archives n’est jamais transmis à un prestataire de paiement. Avant un achat, l’application nous demande un code à usage unique. Ce code voyage avec le paiement et revient avec le reçu, et nous seuls pouvons le relier à vos archives. Apple, Google ou Paddle sait ce qu’il lui faut pour le paiement. Chez Paddle, cela comprend votre adresse e-mail, qui ne nous parvient jamais. L’achat via l’App Store ou Google Play est la voie la plus confidentielle : votre e-mail ne nous est pas visible du tout. Nous ne conservons pas le contenu complet des notifications de paiement.

Suppression

Supprimer une conversation, une séance ou l’ensemble du compte détruit les clés et les données elles-mêmes. Rien n’est simplement marqué comme masqué. Une fois la clé détruite, ce qui reste sur le disque ne peut être déchiffré par personne, nous compris. Les données techniques énumérées ci-dessus peuvent survivre au compte, mais uniquement sous forme anonyme, sans chemin de retour vers une personne.

Avant de supprimer quoi que ce soit, vous pouvez exporter vos archives sous forme de dossier de fichiers texte ordinaires, qui s’ouvrent dans n’importe quel éditeur. Des années de travail doivent survivre à un nouveau téléphone, à un changement de plateforme et à la fin de ce projet.

Qui répond de vos données

Le responsable du traitement de vos données est Întreprinzător Individual CLIMANOVA NICOLETA (IDNO 1024602013816), str. Feodor Dostoievski 16, of. 20, MD-3100 Bălți, République de Moldavie. Écrivez-nous à hello@epimelea.com ; les coordonnées complètes figurent dans les mentions légales.

Le peu de données énumérées plus haut, nous les traitons pour faire fonctionner le service que vous êtes venu chercher. La base légale de ce traitement est le contrat qui nous lie à vous.

Le texte d’une séance touche à votre santé : il n’est donc traité qu’avec votre consentement explicite. Vous le donnez en commençant une séance, et vous le retirez en supprimant la séance ou l’ensemble de vos archives. Le retrait vaut à partir du moment où vous le manifestez.

Les entreprises citées plus haut sont établies aux États-Unis et dans d’autres pays hors de l’Union européenne ; nous-mêmes sommes en République de Moldavie. Si vos données leur parviennent, c’est parce que la séance n’aurait pas lieu autrement, et parce que vous y avez consenti.

Vous pouvez demander une copie de vos données, les corriger, les supprimer, limiter leur traitement ou vous y opposer, et retirer votre consentement. L’essentiel, vous le faites vous-même : exporter, supprimer une séance, supprimer vos archives. Pour le reste, écrivez-nous. Il y a une limite, et elle tient à la conception même : vos archives sont chiffrées avec votre clé, et sans votre mot de passe nous ne pouvons ni vous les montrer, ni les corriger.

Si vous résidez dans l’Union européenne et estimez que nous avons porté atteinte à vos droits, vous pouvez introduire une réclamation auprès de l’autorité de contrôle de votre pays.

Ce n’est pas un service médical

Epimelea n’est pas un service médical et ne remplace ni psychiatre, ni diagnostic, ni traitement. Ce n’est pas un secours d’urgence. Si vous êtes en danger en ce moment même, appelez le numéro d’urgence local ou une ligne d’écoute ; les numéros pour votre pays sont dans l’application.

Enfants

Le service n’est pas destiné aux personnes de moins de 18 ans.

Modifications

Cette politique peut changer. Nous annoncerons toute modification importante dans l’application et sur le site. Nous ne pouvons pas vous écrire, faute d’avoir votre adresse e-mail. La date de la dernière modification figure toujours en haut de cette page.

Français