Epimelea

Polityka prywatności

Ta strona wyjaśnia, jakie dane przechowujemy, jakich nie, i co dzieje się z tym, co piszesz w aplikacji. Jest napisana prostymi słowami, bo to ty masz ją przeczytać, a nie tylko prawnik.

Ostatnia zmiana: 20 września 2026. Kontakt: hello@epimelea.com.

W skrócie

Epimelea nie ma kont w zwykłym sensie: żadnego adresu e-mail, numeru telefonu, imienia, „zaloguj przez Google”. Zamiast tego dostajesz klucz. Wszystko, co piszesz, jest szyfrowane na twoim urządzeniu i przechowywane wyłącznie w tej postaci. Nie możemy tego przeczytać.

Nie wszystko jest zaszyfrowane i mówimy to wprost: terapeuta jest modelem językowym działającym na serwerach innej firmy, a tekst spotkania dociera do niego nieszyfrowany. Jeśli mówisz na głos, twoja mowa idzie do firmy, która zamienia ją na tekst. Dlatego nie obiecujemy, że twój tekst nigdy nie opuszcza twojego urządzenia. Obietnica jest węższa: poza twoim urządzeniem twój tekst trafia tylko na serwery tych firm, gdzie leży najwyżej trzydzieści dni.

Jakie dane przechowujemy

Nic, co by cię identyfikowało. Nie mamy twojego e-maila, numeru telefonu, imienia ani numeru karty. Nasza baza danych celowo nie ma na nie pól, żeby nikt nie mógł ich kiedyś wypełnić „na wszelki wypadek”.

Twoje konto to dwuwyrazowa nazwa archiwum, na przykład quiet-harbor. Serwer nie przechowuje samej nazwy. Trzyma jej odcisk, wartość do sprawdzania hasła i kopie twojego klucza szyfrującego w zapieczętowanych kopertach. Te koperty otwiera tylko twoje hasło, twój kod odzyskiwania albo twoje urządzenie. Twoje hasło nigdy do nas nie trafia: aplikacja wyprowadza z niego dwie różne wartości, jedną wysyła jako dowód, a drugą, tę otwierającą klucz, zatrzymuje.

Twoje archiwum jest dla nas zaszyfrowanymi danymi. Spotkania, zapiski z zeszytu, materiały, które przynosisz, własne notatki terapeuty — wszystko to jest szyfrowane na twoim urządzeniu kluczem, którego nie mamy. Nie możemy tego przeczytać, przekazać ani przywrócić. Jeśli zgubisz i hasło, i kod odzyskiwania, archiwum przepada. Nikt w tym nie pomoże. Wynika to z tego, jak zbudowany jest produkt, a nie z decyzji podejmowanej w każdym przypadku z osobna.

Po co to przechowujemy. Żeby lata pracy nie zależały od jednego urządzenia. Główna kopia archiwum jest u nas; urządzenie trzyma roboczą. Telefon można zgubić, utopić albo wymienić na taki z innej platformy, a historia zostaje. To jedyny cel tego przechowywania: trzymamy szyfrogram, żeby oddać ci go, gdy zalogujesz się nazwą archiwum i hasłem.

Zapisy techniczne, bez treści rozmów. Trzymamy kilka zapisów roboczych, żeby prowadzić usługę i żeby nie dało się z niej korzystać bez końca za darmo. Leżą obok odcisku nazwy twojego archiwum, nigdy obok twojego tekstu:

Cloudflare, który hostuje usługę, widzi adresy IP przychodzących zapytań, jak każda infrastruktura sieciowa. My nie łączymy ich z twoim archiwum.

Zgłoszenia awarii. Gdy aplikacja albo serwer napotka błąd, zgłoszenie idzie do Sentry, usługi zbierającej awarie. Zgłoszenie zawiera rodzaj błędu, miejsce w kodzie, wersję aplikacji i kształt nieudanego zapytania: ścieżkę bez żadnych identyfikatorów. Nie niesie żadnego twojego tekstu, żadnych zrzutów ekranu, żadnego nagrania ekranu, żadnej nazwy archiwum ani adresu IP. Zgłoszenia nie są powiązane z twoim archiwum: nie ma w nich pola na to, kim jesteś.

Gdzie kończy się szyfrowanie

Żeby ci odpowiedzieć, model musi cię przeczytać. Podczas spotkania serwer składa niedawną część twojej rozmowy, wysyła ją do dostawcy modelu i zwraca odpowiedź. Twoje archiwum na dysku pozostaje zaszyfrowane, ale wysyłany tekst jest czytelny w drodze i po stronie dostawcy.

Spotkania prowadzi OpenAI. Gdy OpenAI nie odpowiada, to samo zapytanie idzie zamiast tego do Google: rozmowa urwana dlatego, że dostawca nie działa, nikomu nie pomaga. Warunki są u obu takie same. Na naszych kontach przechowywanie historii jest wyłączone, każde zapytanie jest oznaczone jako nieprzeznaczone do przechowywania, i żaden z dostawców nie używa go do treningu.

Jednego nie możemy zmienić: dostawca trzyma kopię przez pewien czas, żeby sprawdzać nadużycia. U OpenAI jest to najwyżej trzydzieści dni — te trzydzieści dni z obietnicy powyżej. Zamierzamy podpisać warunki, które usuwają to przechowywanie całkowicie. Nie będziemy się nimi chwalić, dopóki nie zostaną podpisane.

Jeśli korzystasz z głosu, w grę wchodzą jeszcze dwie firmy. Nic nie trafia do nich prosto z twojego urządzenia: rozmawia z nimi tylko nasz serwer. Twoją mowę zamienia na tekst ElevenLabs. Wypowiadane odpowiedzi terapeuty tworzy Cartesia.

Każdą transkrypcję kasujemy z historii ElevenLabs w tym samym zapytaniu, które ją utworzyło. Jeśli zapis jeszcze się tam nie pojawił, kasowanie jest powtarzane. Cartesia nie daje nam żadnego sposobu, by usunąć to, co wypowiedziała, więc tego nie obiecujemy. Kopie zapasowe którejkolwiek z tych firm są poza naszym zasięgiem.

Kontrola jakości

Sprawdzamy jakość terapii w sposób, który nie zamienia się w czytanie twoich rozmów.

Ocena automatyczna. Część spotkań oceniana jest wkrótce po zakończeniu. Osobny model ocenia według rubryki, jak terapeuta poprowadził rozmowę. Tekst idzie do jednego z tych samych dostawców, więc nie pojawia się żaden nowy odbiorca, i niesie to samo oznaczenie: nie przechowywać. W naszej bazie zostają punkty, oceny i wersje, a nie jedno słowo z rozmowy.

Czytanie przez człowieka odbywa się tylko za twoją zgodą. Domyślnie jest wyłączone. Włączasz je ty i możesz wyłączyć w każdej chwili. Mówimy wprost: rozmowy terapeutycznej nie da się uczynić w pełni anonimową. Imiona można usunąć; okoliczności życia nie. Cofnięcie zgody zamyka dalszy dostęp, ale tego, co już przeczytano, nie da się odczytać z powrotem.

Twoje rozmowy nie idą na trenowanie modeli — ani za twoją zgodą, ani bez niej. Nie używamy ich do treningu i nikomu ich w tym celu nie przekazujemy. Z dostawcami modeli pracujemy w trybie, w którym dane zapytań nie służą do treningu i nie zostają w żadnej historii. Opisana wyżej trzydziestodniowa kopia też nie służy treningowi: leży tam na wypadek kontroli nadużyć, a potem jest kasowana.

Płatność

Płatność i treść są rozdzielone z założenia: strona płatnicza wie, kto zapłacił, i nie zna ani jednej linijki twojej terapii.

Nazwa twojego archiwum nigdy nie jest wysyłana do serwisu płatności. Przed zakupem aplikacja prosi nas o jednorazowy kod. Ten kod jedzie razem z płatnością i wraca z potwierdzeniem, a połączyć go z twoim archiwum możemy tylko my. Apple, Google albo Paddle wie to, co jest potrzebne do samej płatności. W przypadku Paddle obejmuje to twój adres e-mail, który nigdy do nas nie trafia. Zakup przez App Store albo Google Play to droga najbardziej prywatna: twojego e-maila w ogóle nie widzimy. Nie przechowujemy pełnej treści powiadomień o płatnościach.

Usuwanie

Usunięcie rozmowy, spotkania albo całego konta niszczy klucze i same dane. Nic nie jest jedynie oznaczane jako ukryte. Gdy klucz zostanie zniszczony, tego, co zostaje na dysku, nie odszyfruje nikt, my też nie. Każdy zapis serwisowy niosący twój odcisk jest usuwany. Dwie rzeczy zostają po koncie: dzienne sumy wydatków, które nie niosą niczyjego odcisku, i licznik archiwów założonych z danego znacznika urządzenia. To, co usuniesz, znika z kopii zapasowych w ciągu dwóch tygodni.

Zanim cokolwiek usuniesz, możesz wyeksportować archiwum jako folder zwykłych plików tekstowych, które otworzy dowolny edytor. Lata pracy powinny przetrwać nowy telefon, przeprowadzkę na inną platformę i koniec tego projektu.

Jak długo to trzymamy. Spotkania, notatki, tematy i portret trwają tyle, co twoje archiwum. Nigdy nie usuwamy ich sami. Materiały, które przynosisz na spotkanie, to inna sprawa: zajmują dużo miejsca, a porzucone archiwum trzymałoby je na nasz koszt na zawsze. Jeśli nigdy nie miałeś subskrypcji, usuwamy materiały starsze niż trzy miesiące. Jeśli twoja subskrypcja skończyła się ponad pół roku temu, usuwamy materiały starsze niż dwa lata. Dopóki twój dostęp jest otwarty, nie usuwamy nic. To, co o materiale powiedziano na spotkaniu, zostaje; znika tylko sam plik.

Kto odpowiada za twoje dane

Twoje dane przechowuje Întreprinzător Individual CLIMANOVA NICOLETA (IDNO 1024602013816), str. Feodor Dostoievski 16, of. 20, MD-3100 Bălți, Republika Mołdawii. Pisz na hello@epimelea.com.

Przetwarzamy to niewiele, co wymieniono wyżej, po to, by prowadzić usługę, po którą przyszedłeś. Podstawą prawną jest nasza umowa z tobą.

Tekst spotkania mówi coś o twoim zdrowiu, dlatego przetwarzamy go tylko za twoją wyraźną zgodą. Udzielasz jej, zaczynając spotkanie, a cofasz ją, usuwając spotkanie albo całe archiwum. Cofnięcie liczy się od chwili, gdy je zgłosisz.

Wymienione wyżej firmy znajdują się w Stanach Zjednoczonych i w innych krajach poza Unią Europejską; my jesteśmy w Republice Mołdawii. Jeśli twoje dane do nich docierają, to dlatego, że inaczej spotkanie nie mogłoby się odbyć, i dlatego, że wyraźnie się na to zgodziłeś.

Możesz poprosić o kopię swoich danych, poprawić je, usunąć, ograniczyć to, co z nimi robimy, albo się temu sprzeciwić, a także cofnąć zgodę. Większość robisz sam: eksport, usunięcie spotkania, usunięcie archiwum. Po resztę napisz do nas. Jedno ograniczenie jest wbudowane: archiwum jest zaszyfrowane twoim kluczem, więc bez twojego hasła nie możemy ci go ani pokazać, ani poprawić.

Jeśli jesteś w Unii Europejskiej i uważasz, że naruszyliśmy twoje prawa, możesz złożyć skargę do organu ochrony danych w miejscu swojego zamieszkania.

To nie jest usługa medyczna

Epimelea nie jest usługą medyczną i nie zastępuje psychiatry, diagnozy ani leczenia. To nie jest pomoc w nagłych wypadkach. Jeśli grozi ci teraz niebezpieczeństwo, zadzwoń pod numer alarmowy swojego kraju albo na telefon zaufania; numery dla twojego kraju są w aplikacji.

Dzieci

Usługa nie jest przeznaczona dla osób poniżej 18 lat.

Zmiany

Ta polityka może się zmieniać. O każdej istotnej zmianie poinformujemy w samej aplikacji i na stronie. Nie możemy do ciebie napisać, bo nie mamy twojego adresu e-mail. Data ostatniej zmiany zawsze widnieje na górze tej strony.

Polski