Informativa sulla privacy

Questa pagina spiega quali dati conserviamo, quali no e cosa succede a quello che scrive nell'app. È scritta in parole semplici, perché a leggerla è lei, non soltanto un avvocato.

Ultima modifica: 20 settembre 2026. Contatto: hello@epimelea.com.

In breve

Epimelea non ha account nel senso abituale: nessun indirizzo email, nessun numero di telefono, nessun nome, nessun «accedi con Google». Al loro posto lei ha una chiave. Tutto quello che scrive viene cifrato sul suo dispositivo ed è conservato solo in quella forma. Noi non possiamo leggerlo.

Non tutto è cifrato, e lo diciamo chiaramente: il terapeuta è un modello linguistico che gira sui server di un'altra azienda, e il testo di un incontro le arriva non cifrato. Se parla, la sua voce va all'azienda che la trasforma in testo. Perciò non promettiamo che il suo testo non lasci mai il suo dispositivo. La promessa è più stretta: a parte il suo dispositivo, il suo testo va solo ai server di quelle aziende, dove resta per un massimo di trenta giorni.

Quali dati conserviamo

Nulla che la identifichi. Non abbiamo la sua email, il suo numero di telefono, il suo nome o il numero della sua carta. Il nostro database non ha campi per questi dati, di proposito, perché nessuno possa un giorno riempirli «per sicurezza».

Il suo account è un nome d'archivio di due parole, per esempio quiet-harbor. Il server non conserva il nome stesso. Tiene una sua impronta, un valore per verificare la password e copie della sua chiave di cifratura in involucri sigillati. Quegli involucri li apre solo la sua password, il suo codice di recupero o il suo dispositivo. La sua password non arriva mai a noi: l'app ne ricava due valori diversi, ne invia uno come prova e tiene quello che apre la chiave.

Il suo archivio per noi è un dato cifrato. Incontri, note del quaderno, materiali che porta, gli appunti del terapeuta: tutto è cifrato sul suo dispositivo con una chiave che non abbiamo. Non possiamo leggerlo, consegnarlo o recuperarlo. Se perde sia la password sia il codice di recupero, l'archivio è perduto. Nessuno può aiutarla in questo. Dipende da come è costruito il prodotto, non da una decisione che prendiamo caso per caso.

Perché lo conserviamo. Perché anni di lavoro non dipendano da un solo dispositivo. La copia principale dell'archivio è da noi; il dispositivo ne tiene una di lavoro. Un telefono può perdersi, finire in acqua o essere sostituito con uno di un'altra piattaforma, e la storia resta. È l'unico scopo di questa conservazione: teniamo testo cifrato per restituirglielo quando entra con il nome dell'archivio e la password.

Registrazioni di servizio, senza il contenuto delle conversazioni. Teniamo poche registrazioni di lavoro, per far funzionare il servizio e per impedire che venga usato gratuitamente all'infinito. Stanno accanto all'impronta del nome del suo archivio, mai accanto al suo testo:

• consumo e costo per richiesta, la piattaforma (web, iOS, Android) e la versione dell'app;
• il paese in cui è stato creato l'archivio (Cloudflare lo ricava dalla sua connessione);
• la lingua che usa e quale profilo di terapeuta ha risposto;
• gli eventi del controllo di crisi: un livello di gravità, il paese usato per scegliere quale linea mostrare (Cloudflare lo ricava dalla sua connessione) e se è stata mostrata, ma non una parola della conversazione;
• le sue valutazioni del lavoro: tre numeri da 0 a 10 e voti interni, di nuovo senza parole della conversazione;
• lo stato dell'abbonamento: cosa è pagato e fino a quando.

Cloudflare, che ospita il servizio, vede gli indirizzi IP delle richieste in entrata, come fa qualsiasi infrastruttura web. Noi non li colleghiamo al suo archivio.

Segnalazioni di errore. Quando l'app o il server incontrano un errore, una segnalazione va a Sentry, un servizio che raccoglie i crash. La segnalazione contiene il tipo di errore, il punto nel codice, la versione dell'app e la forma della richiesta fallita, cioè il percorso senza alcun identificatore. Non porta con sé nessun suo testo, nessuno screenshot, nessuna registrazione dello schermo, nessun nome d'archivio e nessun indirizzo IP. Le segnalazioni non sono legate al suo archivio: non c'è un campo che dica chi è lei.

Dove finisce la cifratura

Per risponderle, il modello deve leggerla. Durante un incontro il server mette insieme la parte recente della sua conversazione, la invia al fornitore del modello e restituisce la risposta. Il suo archivio su disco resta cifrato, ma il testo inviato è leggibile durante il transito e dalla parte del fornitore.

Gli incontri sono condotti da OpenAI. Quando OpenAI non risponde, la stessa richiesta va invece a Google: una conversazione che si interrompe perché un fornitore è fuori uso non aiuta nessuno. Le condizioni sono le stesse con entrambi. Nei nostri account la conservazione della cronologia è disattivata, ogni richiesta è contrassegnata come da non conservare, e nessuno dei due la usa per l'addestramento.

Una cosa non possiamo cambiarla: un fornitore tiene una copia per un certo tempo, per controlli antiabuso. Presso OpenAI si tratta di un massimo di trenta giorni, i trenta giorni della promessa qui sopra. Intendiamo firmare condizioni che eliminino del tutto questa conservazione. Non le annunceremo finché non saranno firmate.

Se usa la voce, entrano in gioco altre due aziende. Nulla arriva loro direttamente dal suo dispositivo: parla con loro solo il nostro server. La sua voce viene trasformata in testo da ElevenLabs. Le risposte parlate del terapeuta le produce Cartesia.

Ogni trascrizione viene cancellata dalla cronologia di ElevenLabs nella stessa richiesta che l'ha creata. Se la registrazione non è ancora comparsa lì, la cancellazione viene ripetuta. Cartesia non ci dà alcun modo di cancellare quello che ha pronunciato, e quindi non lo promettiamo. I backup di entrambe le aziende sono fuori dalla nostra portata.

Controllo di qualità

Controlliamo la qualità della terapia senza che nessuno legga le sue conversazioni.

Valutazione automatica. Alcuni incontri vengono valutati poco dopo la fine. Un modello separato giudica secondo una griglia come il terapeuta ha condotto la conversazione. Il testo va a uno degli stessi fornitori, quindi non compare nessun nuovo destinatario, e porta lo stesso contrassegno: da non conservare. Nel nostro database restano punteggi, voti e versioni, non una parola della conversazione.

La lettura da parte di una persona avviene solo con il suo consenso. È disattivata di default. La attiva lei, e può disattivarla quando vuole. Lo diciamo chiaramente: una conversazione terapeutica non si può rendere del tutto anonima. I nomi si possono togliere; le circostanze di una vita no. Ritirare il consenso chiude gli accessi successivi, ma quello che è già stato letto resta letto.

Le sue conversazioni non vanno ad addestrare modelli, né con il suo consenso né senza. Non le usiamo per l'addestramento e non le consegniamo a nessuno per quello. Con i fornitori dei modelli lavoriamo in una modalità in cui i dati delle richieste non servono all'addestramento e non restano in nessuna cronologia. Nemmeno la copia di trenta giorni descritta sopra serve all'addestramento: sta lì in caso di un controllo antiabuso e poi viene cancellata.

Pagamento

Il pagamento e i contenuti restano separati: il lato del pagamento sa chi ha pagato e non conosce una sola riga della sua terapia.

Il nome del suo archivio non viene mai inviato a un servizio di pagamento. Prima di un acquisto, l'app ci chiede un codice usa e getta. Quel codice viaggia con il pagamento e torna con la ricevuta, e solo noi possiamo collegarlo al suo archivio. Apple, Google o Paddle sanno quello che serve al pagamento in sé. Con Paddle questo comprende il suo indirizzo email, che a noi non arriva mai. Acquistare tramite App Store o Google Play è la via più riservata: la sua email non ci è visibile affatto. Non conserviamo il contenuto completo delle notifiche di pagamento.

Eliminazione

Eliminare una conversazione, un incontro o l'intero account distrugge le chiavi e i dati stessi. Nulla viene soltanto contrassegnato come nascosto. Una volta distrutta la chiave, quello che resta su disco non è decifrabile da nessuno, noi compresi. Ogni registrazione di servizio che porta la sua impronta viene eliminata. Due cose sopravvivono all'account: i totali giornalieri di spesa, che non portano l'impronta di nessuno, e il conteggio degli archivi avviati da un contrassegno di dispositivo. Quello che elimina sparisce dai backup entro due settimane.

Prima di eliminare qualsiasi cosa, può esportare il suo archivio come una cartella di normali file di testo che si aprono in qualsiasi editor. Anni di lavoro devono sopravvivere a un telefono nuovo, al passaggio a un'altra piattaforma e alla fine di questo progetto.

Per quanto tempo lo conserviamo. Incontri, appunti, temi e il ritratto durano quanto il suo archivio. Non li eliminiamo mai di nostra iniziativa. I materiali che porta a un incontro sono un'altra cosa: sono pesanti, e un archivio abbandonato li terrebbe a nostre spese per sempre. Se non ha mai avuto un abbonamento, eliminiamo i materiali più vecchi di tre mesi. Se il suo abbonamento è finito più di sei mesi fa, eliminiamo i materiali più vecchi di due anni. Finché il suo accesso è aperto non eliminiamo nulla. Quello che di un materiale è stato detto nell'incontro resta; se ne va soltanto il file.

Chi risponde dei suoi dati

I suoi dati sono conservati da Întreprinzător Individual CLIMANOVA NICOLETA (IDNO 1024602013816), str. Feodor Dostoievski 16, of. 20, MD-3100 Bălți, Repubblica di Moldova. Scriva a hello@epimelea.com.

Trattiamo il poco che è elencato qui sopra per far funzionare il servizio per cui è qui. La base giuridica è il nostro contratto con lei.

Il testo di un incontro dice qualcosa sulla sua salute, perciò lo trattiamo solo con il suo consenso esplicito. Lo presta quando inizia un incontro, e lo revoca eliminando l'incontro o l'intero archivio. La revoca vale dal momento in cui la dichiara.

Le aziende nominate sopra si trovano negli Stati Uniti e in altri paesi fuori dall'Unione europea; noi siamo nella Repubblica di Moldova. Se i suoi dati arrivano a loro, è perché l'incontro non potrebbe avvenire altrimenti e perché lei vi ha acconsentito espressamente.

Può chiedere una copia dei suoi dati, correggerli, eliminarli, limitare od opporsi a quello che ne facciamo, e ritirare il suo consenso. Gran parte lo fa da sé: esportare, eliminare un incontro, eliminare l'archivio. Per il resto, ci scriva. Un limite è insito nella costruzione: l'archivio è cifrato con la sua chiave, quindi senza la sua password non possiamo né mostrarglielo né correggerlo.

Se si trova nell'Unione europea e ritiene che abbiamo violato i suoi diritti, può presentare reclamo all'autorità per la protezione dei dati del luogo in cui vive.

Non è un servizio medico

Epimelea non è un servizio medico e non sostituisce uno psichiatra, una diagnosi o una cura. Non è un aiuto d'emergenza. Se è in pericolo adesso, chiami il numero di emergenza del suo paese o una linea di crisi; i numeri per il suo paese sono nell'app.

Minori

Il servizio non è destinato a persone con meno di 18 anni.

Modifiche

Questa informativa può cambiare. Annunceremo ogni modifica significativa nell'app stessa e sul sito. Non possiamo scriverle, perché non abbiamo il suo indirizzo email. La data dell'ultima modifica è sempre indicata in cima a questa pagina.