Эпимелея

Политика приватности

Здесь описано, какие данные у нас есть, каких нет и что происходит с тем, что вы пишете в приложении. Текст написан обычными словами, потому что читать его будете вы, а не только юрист.

Последнее изменение: 8 октября 2026 года. Связь: hello@epimelea.com.

Коротко

В Epimelea нет аккаунта в привычном смысле: ни адреса почты, ни телефона, ни имени, ни входа через Google. Вместо этого у вас есть ключ. Всё, что вы пишете, шифруется на вашем устройстве и хранится только в зашифрованном виде. Прочитать его мы не можем.

Зашифровано не всё, и мы говорим об этом прямо. Терапевт — языковая модель на серверах другой компании, и текст встречи доходит до неё в открытом виде. Если вы говорите голосом, речь уходит в компанию, которая переводит её в текст. Поэтому мы не обещаем, что ваш текст никуда не уходит с устройства. Обещание скромнее: кроме вашего устройства, текст попадает только на серверы этих компаний и хранится там до тридцати дней.

Какие данные у нас есть

Никаких данных, по которым вас можно узнать. У нас нет вашей почты, телефона, имени и номера карты. В базе данных нет даже полей под них. Так сделано нарочно, чтобы никто не заполнил их когда-нибудь «на всякий случай».

Ваш аккаунт — это имя архива из двух слов, например quiet-harbor. Само имя сервер не хранит. У него есть только отпечаток имени, проверочное значение пароля и копии вашего ключа шифрования в защищённых обёртках. Обёртку открывает ваш пароль, код восстановления или само устройство. Пароль до нас не доходит. Приложение выводит из него два значения: одно отправляет нам как подтверждение, второе оставляет у себя, и этим вторым открывается ключ.

Пока вы не сохранили архив, пароль и код восстановления к нему заводит само приложение. Они хранятся только на вашем устройстве: на iPhone в связке ключей, на Android в хранилище Google (Block Store), в браузере под ключом, который нельзя из него вынести. С копией связки ключей iCloud или резервной копией Google запись может переехать на ваш новый телефон в зашифрованном виде, но нам она не передаётся. Если устройство потеряно или данные браузера стёрты, а архив не сохранён, открыть его больше нечем.

Ваш архив для нас — набор зашифрованных данных. Встречи, записи в тетради, материалы, которые вы приносите, заметки терапевта — всё зашифровано на вашем устройстве ключом, которого у нас нет. Мы не можем это прочитать, кому-либо передать или восстановить. Если потеряны и пароль, и код восстановления, архив потерян. Помочь не сможет никто: так устроен продукт, и в каждом отдельном случае мы этого не решаем.

Зачем мы его храним. Затем, чтобы годы работы не зависели от одного устройства. Основная копия архива лежит у нас, на устройстве остаётся рабочая. Телефон можно потерять, утопить или сменить на другой платформе, а история останется. Это единственная цель хранения: мы держим шифротекст, чтобы вернуть его вам, когда вы войдёте именем архива и паролем.

Служебные записи — без содержания разговоров. Чтобы сервис работал и его нельзя было бесконечно нагружать бесплатно, мы храним несколько служебных записей. Они лежат рядом с отпечатком имени архива и никогда рядом с вашим текстом:

Cloudflare, на котором работает сервис, видит IP-адреса входящих запросов, как любая веб-инфраструктура. С вашим архивом мы их не связываем.

Сообщения об ошибках. Когда приложение или сервер спотыкается, сообщение об этом уходит в Sentry — сервис, который собирает падения. В сообщении род ошибки, место в коде, версия приложения и форма неудавшегося запроса: маршрут, из которого вырезаны все идентификаторы. В нём нет ни вашего текста, ни снимков экрана, ни записи происходящего на экране, ни имени архива, ни IP-адреса. С вашим архивом эти сообщения не связаны: поля «кто» в них не существует.

Где шифрование заканчивается

Чтобы ответить вам, модель должна вас прочитать. Во время встречи сервер собирает недавнюю часть вашего разговора, отправляет её поставщику модели и возвращает ответ. Архив на диске остаётся зашифрованным, но отправленный текст читаем в пути и на стороне поставщика.

Встречи ведёт OpenAI. Когда OpenAI не отвечает, тот же запрос уходит в Google: разговор, оборвавшийся из-за чужой поломки, не помогает никому. Условия у обоих одни. Хранение истории в наших учётных записях отключено, каждый запрос помечен «не сохранять», и на обучение он не идёт.

Одного мы сделать не можем: копия запроса остаётся у поставщика на время проверки злоупотреблений. У OpenAI это до тридцати дней, те самые тридцать дней из обещания выше. Мы намерены договориться о полном отказе от хранения. Пока договор не подписан, ссылаться на него мы не станем.

Если вы пользуетесь голосом, добавляются ещё две компании. С вашего устройства к ним ничего не уходит напрямую: обращается к ним наш сервер. Вашу речь расшифровывает ElevenLabs. Реплики терапевта озвучивает Cartesia.

Каждую расшифровку мы удаляем из истории ElevenLabs тем же запросом, который её создал. Если запись ещё не успела там появиться, удаление повторяется. У Cartesia удалить озвученное нечем, и обещать этого мы не будем. Резервные копии обеих компаний нам недоступны.

Проверка качества

Качество терапии мы проверяем так, чтобы это не превращалось в чтение ваших разговоров.

Автоматическая оценка. Часть встреч вскоре после окончания оценивает отдельная модель. Она смотрит по рубрике, как терапевт вёл разговор. Текст уходит одному из тех же поставщиков, нового получателя не появляется. Запрос помечен так же: не сохранять. В нашей базе от этой оценки остаются только баллы, пометки и версии. Ни одного слова из разговора там нет.

Чтение человеком — только с вашего согласия. По умолчанию оно выключено. Включаете его вы, и вы же в любой момент выключаете. Мы говорим об этом прямо: полностью обезличить терапевтический разговор невозможно. Имена убрать можно, а обстоятельства жизни нельзя. Отзыв согласия закрывает дальнейший доступ, но уже прочитанное непрочитанным не станет.

На обучение моделей ваши разговоры не идут, ни с согласием, ни без него. Мы не используем их для обучения и никому не передаём для этого. У поставщиков моделей мы работаем в режиме, где данные запросов на обучение не идут и в истории не сохраняются. Тридцатидневная копия, о которой сказано выше, тоже на обучение не идёт: она лежит на случай проверки злоупотреблений и потом удаляется.

Оплата

Платёж и содержимое разделены нарочно: платёжная часть знает, кто заплатил, и не знает ни строки из вашей терапии.

Имя вашего архива платёжному сервису не передаётся никогда. Перед покупкой приложение запрашивает у нас одноразовый код. Код уходит вместе с платежом и возвращается с чеком, а связать его с вашим архивом можем только мы. Платёжный сервис (Apple, Google или Creem) знает то, что нужно ему для самого платежа. У Creem это в том числе ваш адрес почты, и до нас он не доходит. Покупка через App Store или Google Play — самый приватный путь: почта нам не видна вовсе. Полное содержимое платёжных уведомлений мы не храним.

Удаление

Удаление разговора, встречи или всего аккаунта уничтожает ключи и сами данные, а не помечает их как скрытые. После уничтожения ключа то, что осталось на диске, не может расшифровать никто, включая нас. Служебные записи с вашим отпечатком удаляются все. Аккаунт переживают только суточные итоги расходов, где ничьего отпечатка нет, и счётчик архивов, заведённых с одной метки устройства. Из резервных копий удалённое исчезает в течение двух недель.

Перед удалением архив можно выгрузить папкой обычных текстовых файлов, которые открываются в любом редакторе. Годы работы должны пережить и новый телефон, и переход на другую платформу, и конец этого проекта.

Сколько мы храним. Встречи, заметки, темы и портрет живут столько же, сколько ваш архив. Сами мы их не удаляем никогда. Иначе с материалами, которые вы приносите на встречу: они тяжёлые, и брошенный архив хранил бы их вечно за наш счёт. Если подписки у вас не было ни разу, мы удаляем принесённое старше трёх месяцев. Если подписка кончилась больше полугода назад, мы удаляем принесённое старше двух лет. Пока доступ открыт, мы не удаляем ничего. Сказанное о материале на встрече остаётся, уходит только сам файл.

Кто отвечает за ваши данные

Данные держит Întreprinzător Individual CLIMANOVA NICOLETA (IDNO 1024602013816), str. Feodor Dostoievski 16, of. 20, MD-3100 Bălți, Республика Молдова. Пишите на hello@epimelea.com.

То немногое, что перечислено выше, мы обрабатываем ради сервиса, за которым вы пришли. Основание — наш договор с вами.

Текст встречи говорит о вашем здоровье, поэтому мы обрабатываем его только с вашего явного согласия. Вы даёте его, начиная встречу, и отзываете, удалив встречу или весь архив. Отзыв действует с той минуты, как вы его заявили.

Названные выше компании находятся в США и других странах за пределами Европейского союза, а мы — в Республике Молдова. Если ваши данные доходят до них, то потому, что иначе встречи не состоится, и потому, что вы на это явно согласились.

Вы можете попросить копию своих данных, исправить их, удалить, ограничить обработку или возразить против неё, а также отозвать согласие. Почти всё это вы делаете сами: выгрузка, удаление встречи, удаление архива. Об остальном напишите нам. Одно ограничение заложено в устройстве: архив зашифрован вашим ключом, и без вашего пароля мы не можем ни показать его вам, ни исправить.

Если вы в Европейском союзе и считаете, что мы нарушили ваши права, вы можете пожаловаться в орган по защите данных по месту жительства.

Это не медицинская услуга

Epimelea не медицинская услуга и не заменяет психиатра, диагноз или лечение. Это не неотложная помощь. Если вам угрожает опасность прямо сейчас, звоните в местную экстренную службу или на линию кризисной помощи. Телефоны для вашей страны есть в приложении.

Дети

Сервис не предназначен для людей младше 18 лет.

Изменения

Политика может меняться. О заметных изменениях мы сообщим в самом приложении и на сайте: написать вам письмо мы не можем, потому что вашего адреса почты у нас нет. Дата последнего изменения всегда указана вверху этой страницы.

Русский