Política de privacidade
Esta página explica quais dados temos, quais não temos e o que acontece com o que você escreve no aplicativo. Está escrita em palavras comuns, porque quem precisa ler é você, e não apenas um advogado.
Última alteração: 1º de setembro de 2026. Contato: hello@epimelea.com.
Em resumo
Na Epimelea não há conta no sentido comum: nem e-mail, nem telefone, nem nome, nem "entrar com o Google". O que você tem é uma chave. Tudo o que você escreve é criptografado no seu aparelho antes de sair dele. No servidor ficam dados criptografados, que não conseguimos ler.
Há uma exceção, e nós a dizemos abertamente: a terapeuta é um modelo de linguagem que roda nos servidores de outra empresa, e o texto do encontro chega até lá sem criptografia. Por isso a promessa não é "o seu texto nunca sai do seu aparelho". Ela é mais estreita: o seu texto vai para o seu aparelho e para os servidores da empresa que fornece o modelo, onde fica guardado por até trinta dias.
Que dados temos
Nada que permita identificar você. Não temos o seu e-mail, o seu telefone, o seu nome nem o número do seu cartão. O nosso banco de dados nem tem campos para isso. É de propósito, para que ninguém os preencha um dia "por precaução".
A sua conta é um nome de arquivo de três palavras, por exemplo quiet-harbor-cedar. O servidor não guarda o nome em si. Ele guarda a impressão digital desse nome, um valor para conferir a sua senha e cópias da sua chave de criptografia em invólucros lacrados. Só a sua senha, o seu código de recuperação ou o seu aparelho abrem esses invólucros. A sua senha não chega até nós: o aplicativo tira dela dois valores diferentes, envia um como prova e fica com o outro, o que abre a chave.
Para nós, o seu arquivo são dados criptografados. Os encontros, as anotações do caderno, os materiais que você traz, os registros da terapeuta: tudo é criptografado no seu aparelho com uma chave que não temos. Não conseguimos ler, entregar nem restaurar esse conteúdo. Se você perder a senha e o código de recuperação, o arquivo se perde. Ninguém consegue ajudar. Isso vem de como o produto é construído, não de uma decisão que tomamos caso a caso.
Para que guardamos. Para que anos de trabalho não dependam de um único aparelho. A cópia principal do arquivo fica conosco, e no aparelho fica uma cópia de trabalho. Um celular pode se perder, cair na água ou ser trocado por outro em outra plataforma, e a história continua. Essa é a única finalidade do armazenamento: guardamos texto criptografado para devolver a você quando você entrar com o nome do arquivo e a senha.
Registros técnicos, sem o conteúdo das conversas. Para o serviço funcionar e não poder ser sobrecarregado de graça sem fim, guardamos alguns registros de trabalho. Eles ficam junto da impressão digital do nome do seu arquivo e nunca junto do seu texto:
- o consumo e o custo por pedido, a plataforma (web, iOS, Android) e a versão do aplicativo;
- o idioma que você usa e qual perfil de terapeuta respondeu;
- os eventos da verificação de crise: um nível, o país que escolheu a linha de crise e se ela foi mostrada, mas nenhuma palavra da conversa;
- as suas avaliações do trabalho: três números de 0 a 10 e marcas internas, também sem palavras da conversa;
- o estado da assinatura: o que está pago e até quando.
A Cloudflare, onde o serviço funciona, vê os endereços IP dos pedidos que chegam, como qualquer infraestrutura web. Não ligamos esses endereços ao seu arquivo.
Relatórios de erro. Quando o aplicativo ou o servidor esbarra num erro, sai um relatório para o Sentry, um serviço que recolhe falhas. O relatório leva o tipo de erro, o lugar no código, a versão do aplicativo e a forma do pedido que falhou: a rota, sem nenhum identificador. Não leva nenhum texto seu, nem capturas de tela, nem gravação de tela, nem o nome do arquivo, nem o endereço IP. Esses relatórios não estão ligados ao seu arquivo: neles não existe o campo "quem".
Onde a criptografia termina
Para responder, o modelo precisa ler você. Durante o encontro, o servidor reúne a parte recente da sua conversa, envia para a OpenAI e devolve a resposta. O seu arquivo no disco continua criptografado, mas o texto enviado é legível no caminho e do lado da OpenAI.
O que fazemos: na nossa conta da OpenAI, a guarda do histórico está desligada, e cada pedido vai marcado para não ser guardado. O que não podemos fazer: a OpenAI mantém uma cópia por até trinta dias para controlar abusos. São esses os trinta dias da promessa acima. Pretendemos assinar condições que eliminem por completo essa guarda, e não vamos alegá-las enquanto elas não estiverem assinadas.
Se você usar a voz, a sua fala e as respostas faladas da terapeuta passam pela ElevenLabs, e nunca direto do seu aparelho: o acesso a esse serviço fica no nosso servidor. O aplicativo apaga cada transcrição e cada resposta falada do histórico da ElevenLabs no mesmo pedido que a criou, e repete a exclusão se o registro ainda não tiver aparecido lá. As cópias de segurança da ElevenLabs estão fora do nosso alcance.
Controle de qualidade
Controlamos a qualidade da terapia de um jeito que não passa por ler as suas conversas.
Avaliação automática. Pouco depois do encontro, um modelo separado avalia, por uma grade de critérios, como a terapeuta conduziu a conversa. O texto vai para o mesmo fornecedor do modelo que conduziu o encontro. Nenhum destinatário novo aparece, e o texto vai marcado da mesma forma: para não ser guardado. Dessa avaliação ficam no nosso banco apenas pontuações, marcas e versões, nenhuma palavra da conversa.
A leitura por uma pessoa só acontece com o seu consentimento. Ela vem desligada; é você que liga e pode desligar a qualquer momento. Dizemos isso com clareza: uma conversa terapêutica não pode ficar totalmente anônima. Os nomes podem ser tirados, as circunstâncias de uma vida não. Tirar o consentimento fecha o acesso seguinte, mas o que já foi lido não volta atrás.
As suas conversas não servem para treinar modelos, nem com consentimento, nem sem ele. Não as usamos para treino nem as entregamos a ninguém para isso. Com os fornecedores de modelos trabalhamos num modo em que os dados dos pedidos não são usados para treino nem ficam guardados em nenhum histórico. A cópia de trinta dias descrita acima também não serve para treino: ela fica ali para o caso de uma verificação de abuso e depois é apagada.
Pagamento
O pagamento e o conteúdo são separados por construção: o lado do pagamento sabe quem pagou e não conhece uma linha da sua terapia.
O nome do seu arquivo nunca é enviado a um serviço de pagamento. Antes da compra, o aplicativo nos pede um código de uso único. Esse código viaja com o pagamento e volta com o recibo, e só nós conseguimos ligá-lo ao seu arquivo. O serviço de pagamento, seja Apple, Google ou Paddle, sabe o que precisa para o próprio pagamento, e no caso da Paddle isso inclui o seu endereço de e-mail, que não chega até nós. Comprar pela App Store ou pelo Google Play é o caminho mais privado: o seu e-mail não fica visível para nós. Não guardamos o conteúdo completo das notificações de pagamento.
Exclusão
Apagar uma conversa, um encontro ou toda a conta destrói as chaves e os próprios dados, em vez de marcá-los como ocultos. Destruída a chave, o que fica no disco não pode ser descriptografado por ninguém, nem por nós. Os registros técnicos listados acima podem sobreviver à conta, mas apenas de forma anônima, sem caminho de volta até uma pessoa.
Antes de apagar qualquer coisa, você pode exportar o seu arquivo como uma pasta de arquivos de texto comuns, que abrem em qualquer editor. Anos de trabalho devem sobreviver a um celular novo, a uma mudança de plataforma e ao fim deste projeto.
Quem responde pelos seus dados
Pelos seus dados responde Întreprinzător Individual CLIMANOVA NICOLETA (IDNO 1024602013816), str. Feodor Dostoievski 16, of. 20, MD-3100 Bălți, República da Moldávia. Escreva para hello@epimelea.com; os dados de registro estão nas informações legais.
O pouco que está listado acima nós tratamos para entregar o serviço que você veio buscar. A base legal para isso é o contrato que temos com você.
O texto de um encontro diz algo sobre a sua saúde, por isso só o tratamos com o seu consentimento explícito. Você o dá ao começar um encontro e o retira ao apagar esse encontro ou o arquivo inteiro. A retirada vale a partir do momento em que você a faz.
As empresas citadas acima ficam nos Estados Unidos e em outros países de fora da União Europeia; nós estamos na República da Moldávia. Os dados só vão para lá porque sem isso o encontro não aconteceria e porque você concordou.
Você pode pedir uma cópia dos seus dados, corrigi-los, apagá-los, limitar o tratamento ou se opor a ele e retirar o consentimento. Quase tudo você faz por conta própria: exportar, apagar um encontro, apagar o arquivo. Para o resto, escreva para nós. Há um limite que vem de como o produto é construído: o arquivo é criptografado com a sua chave e, sem a sua senha, não podemos nem mostrá-lo a você nem corrigi-lo.
Se você está na União Europeia e acha que violamos os seus direitos, pode apresentar uma reclamação à autoridade de proteção de dados do país onde mora.
Não é um serviço médico
A Epimelea não é um serviço médico e não substitui um psiquiatra, um diagnóstico ou um tratamento. Não é ajuda de emergência. Se você estiver em perigo agora, ligue para o número de emergência local ou para uma linha de crise. Os números do seu país estão no aplicativo.
Menores
O serviço não é destinado a pessoas com menos de 18 anos.
Alterações
Esta política pode mudar. Vamos anunciar qualquer alteração relevante no próprio aplicativo e no site. Escrever para você não podemos, porque não temos o seu endereço de e-mail. A data da última alteração está sempre no início desta página.