Epimelea

Política de privacidade

Esta página explica quais dados temos, quais não temos e o que acontece com o que você escreve no aplicativo. Está escrita em palavras comuns, porque quem precisa ler é você, e não apenas um advogado.

Última alteração: 8 de outubro de 2026. Contato: hello@epimelea.com.

Em resumo

Na Epimelea não há conta no sentido comum: nem e-mail, nem telefone, nem nome, nem "entrar com o Google". O que você tem é uma chave. Tudo o que você escreve é criptografado no seu aparelho e só fica guardado criptografado. Nós não conseguimos lê-lo.

Nem tudo é criptografado, e nós dizemos isso abertamente: a terapia é conduzida por um modelo de linguagem que roda nos servidores de outra empresa, e o texto do encontro chega até lá sem criptografia. Se você falar, sua voz vai para a empresa que a transforma em texto. Por isso não prometemos que o seu texto nunca sai do seu aparelho. A promessa é mais estreita: fora do seu aparelho, o seu texto vai apenas para os servidores dessas empresas, onde fica guardado por até trinta dias.

Que dados temos

Nada que permita identificar você. Não temos o seu e-mail, o seu telefone, o seu nome nem o número do seu cartão. O nosso banco de dados nem tem campos para isso. É de propósito, para que ninguém os preencha um dia "por precaução".

A sua conta é um nome de arquivo de duas palavras, por exemplo quiet-harbor. O servidor não guarda o nome em si. Ele guarda a impressão digital desse nome, um valor para conferir a sua senha e cópias da sua chave de criptografia em invólucros lacrados. Só a sua senha, o seu código de recuperação ou o seu aparelho abrem esses invólucros. A sua senha não chega até nós: o aplicativo tira dela dois valores diferentes, envia um como prova e fica com o outro, o que abre a chave.

Enquanto você não salvar o seu arquivo, a senha e o código de recuperação são criados pelo próprio aplicativo. Eles ficam só no seu aparelho: no iPhone, nas Chaves do iCloud; no Android, no armazenamento do Google (Block Store); no navegador, sob uma chave que não pode ser tirada dele. Com uma cópia das Chaves do iCloud ou um backup do Google, o registro pode passar criptografado para o seu celular novo, mas nunca é enviado para nós. Se o aparelho for perdido ou os dados do navegador forem apagados e o arquivo não tiver sido salvo, não sobra nada para abri-lo.

Para nós, o seu arquivo são dados criptografados. Os encontros, as anotações do caderno, os materiais que você traz, os registros da terapia: tudo é criptografado no seu aparelho com uma chave que não temos. Não conseguimos ler, entregar nem restaurar esse conteúdo. Se você perder a senha e o código de recuperação, o arquivo se perde. Ninguém consegue ajudar. Isso vem de como o produto é construído, não de uma decisão que tomamos caso a caso.

Para que guardamos. Para que anos de trabalho não dependam de um único aparelho. A cópia principal do arquivo fica conosco, e no aparelho fica uma cópia de trabalho. Um celular pode se perder, cair na água ou ser trocado por outro em outra plataforma, e a história continua. Essa é a única finalidade do armazenamento: guardamos texto criptografado para devolver a você quando você entrar com o nome do arquivo e a senha.

Registros técnicos, sem o conteúdo das conversas. Para o serviço funcionar e não poder ser sobrecarregado de graça sem fim, guardamos alguns registros de trabalho. Eles ficam junto da impressão digital do nome do seu arquivo e nunca junto do seu texto:

A Cloudflare, onde o serviço funciona, vê os endereços IP dos pedidos que chegam, como qualquer infraestrutura web. Não ligamos esses endereços ao seu arquivo.

Relatórios de erro. Quando o aplicativo ou o servidor esbarra num erro, sai um relatório para o Sentry, um serviço que recolhe falhas. O relatório leva o tipo de erro, o lugar no código, a versão do aplicativo e a forma do pedido que falhou: a rota, sem nenhum identificador. Não leva nenhum texto seu, nem capturas de tela, nem gravação de tela, nem o nome do arquivo, nem o endereço IP. Esses relatórios não estão ligados ao seu arquivo: neles não existe o campo "quem".

Onde a criptografia termina

Para responder, o modelo precisa ler você. Durante o encontro, o servidor reúne a parte recente da sua conversa, envia para o fornecedor do modelo e devolve a resposta. O seu arquivo no disco continua criptografado, mas o texto enviado é legível no caminho e do lado do fornecedor.

Os encontros são conduzidos pela OpenAI. Quando a OpenAI não responde, o mesmo pedido vai para o Google: uma conversa interrompida por uma falha alheia não ajuda ninguém. As condições são as mesmas nos dois: nas nossas contas o armazenamento do histórico está desligado, cada pedido vai marcado para não ser guardado, e nenhum dos dois o usa para treinar.

Há uma coisa que não conseguimos evitar: o fornecedor mantém uma cópia por algum tempo, para controlar abusos. Na OpenAI são até trinta dias, os mesmos trinta dias da promessa acima. Pretendemos assinar condições que eliminem por completo esse armazenamento. Enquanto não estiverem assinadas, não vamos invocá-las.

Se você usar a voz, entram mais duas empresas. Nada sai direto do seu aparelho: quem fala com elas é o nosso servidor. O que você diz é transcrito pela ElevenLabs. As respostas do modelo são faladas pela Cartesia.

Apagamos cada transcrição do histórico da ElevenLabs no mesmo pedido que a criou. Se o registro ainda não tiver aparecido lá, repetimos a exclusão. Na Cartesia não há como apagar o que foi falado, e por isso não fazemos essa promessa. As cópias de segurança das duas empresas estão fora do nosso alcance.

Controle de qualidade

Controlamos a qualidade da terapia de um jeito que não passa por ler as suas conversas.

Avaliação automática. Parte dos encontros é avaliada pouco depois de terminarem. Um modelo separado julga, por uma grade de critérios, como a conversa foi conduzida. O texto vai para um desses mesmos fornecedores, então nenhum destinatário novo aparece. Ele vai marcado da mesma forma: não guardar. Dessa avaliação ficam no nosso banco de dados apenas pontuações, marcas e versões, nenhuma palavra da conversa.

A leitura por uma pessoa só acontece com o seu consentimento. Ela vem desligada; é você que liga e pode desligar a qualquer momento. Dizemos isso com clareza: uma conversa terapêutica não pode ficar totalmente anônima. Os nomes podem ser tirados, as circunstâncias de uma vida não. Tirar o consentimento fecha o acesso seguinte, mas o que já foi lido não volta atrás.

As suas conversas não servem para treinar modelos, nem com consentimento, nem sem ele. Não as usamos para treino nem as entregamos a ninguém para isso. Com os fornecedores de modelos trabalhamos num modo em que os dados dos pedidos não são usados para treino nem ficam guardados em nenhum histórico. A cópia de trinta dias descrita acima também não serve para treino: ela fica ali para o caso de uma verificação de abuso e depois é apagada.

Pagamento

O pagamento e o conteúdo são separados por construção: o lado do pagamento sabe quem pagou e não conhece uma linha da sua terapia.

O nome do seu arquivo nunca é enviado a um serviço de pagamento. Antes da compra, o aplicativo nos pede um código de uso único. Esse código viaja com o pagamento e volta com o recibo, e só nós conseguimos ligá-lo ao seu arquivo. O serviço de pagamento, seja Apple, Google ou Creem, sabe o que precisa para o próprio pagamento, e no caso da Creem isso inclui o seu endereço de e-mail, que não chega até nós. Comprar pela App Store ou pelo Google Play é o caminho mais privado: o seu e-mail não fica visível para nós. Não guardamos o conteúdo completo das notificações de pagamento.

Exclusão

Apagar uma conversa, um encontro ou toda a conta destrói as chaves e os próprios dados, em vez de marcá-los como ocultos. Destruída a chave, o que fica no disco não pode ser descriptografado por ninguém, nem por nós. Todo registro técnico com a sua impressão é apagado. À conta sobrevivem apenas os totais diários de gasto, que não levam a impressão de ninguém, e o contador de arquivos criados a partir de uma marca de aparelho. O que você apaga desaparece das cópias de segurança em até duas semanas.

Antes de apagar qualquer coisa, você pode exportar o seu arquivo como uma pasta de arquivos de texto comuns, que abrem em qualquer editor. Anos de trabalho devem sobreviver a um celular novo, a uma mudança de plataforma e ao fim deste projeto.

Quanto tempo guardamos. Os encontros, as notas, os temas e o retrato duram o mesmo que o seu arquivo. Nós nunca os apagamos. Com os materiais que você traz para um encontro é diferente: pesam, e um arquivo abandonado guardaria esses materiais para sempre à nossa custa. Se você nunca teve assinatura, apagamos os materiais com mais de três meses. Se a assinatura terminou há mais de meio ano, apagamos os materiais com mais de dois anos. Enquanto o seu acesso estiver aberto, não apagamos nada. O que foi dito sobre um material no encontro fica; sai apenas o arquivo enviado.

Quem responde pelos seus dados

Pelos seus dados responde Întreprinzător Individual CLIMANOVA NICOLETA (IDNO 1024602013816), str. Feodor Dostoievski 16, of. 20, MD-3100 Bălți, República da Moldávia. Escreva para hello@epimelea.com.

O pouco que está listado acima nós tratamos para entregar o serviço que você veio buscar. A base legal para isso é o contrato que temos com você.

O texto de um encontro diz algo sobre a sua saúde, por isso só o tratamos com o seu consentimento explícito. Você o dá ao começar um encontro e o retira ao apagar esse encontro ou o arquivo inteiro. A retirada vale a partir do momento em que você a faz.

As empresas citadas acima ficam nos Estados Unidos e em outros países de fora da União Europeia; nós estamos na República da Moldávia. Os dados só vão para lá porque sem isso o encontro não aconteceria e porque você concordou.

Você pode pedir uma cópia dos seus dados, corrigi-los, apagá-los, limitar o tratamento ou se opor a ele e retirar o consentimento. Quase tudo você faz por conta própria: exportar, apagar um encontro, apagar o arquivo. Para o resto, escreva para nós. Há um limite que vem de como o produto é construído: o arquivo é criptografado com a sua chave e, sem a sua senha, não podemos nem mostrá-lo a você nem corrigi-lo.

Se você está na União Europeia e acha que violamos os seus direitos, pode apresentar uma reclamação à autoridade de proteção de dados do país onde mora.

Não é um serviço médico

A Epimelea não é um serviço médico e não substitui um psiquiatra, um diagnóstico ou um tratamento. Não é ajuda de emergência. Se você estiver em perigo agora, ligue para o número de emergência local ou para uma linha de crise. Os números do seu país estão no aplicativo.

Menores

O serviço não é destinado a pessoas com menos de 18 anos.

Alterações

Esta política pode mudar. Vamos anunciar qualquer alteração relevante no próprio aplicativo e no site. Escrever para você não podemos, porque não temos o seu endereço de e-mail. A data da última alteração está sempre no início desta página.

Português