Politique de confidentialité

Dernière mise à jour : 24 octobre 2026 (application EpiMaat version 01.00). Cette page décrit ce que l’application fait réellement de vos données, vérifié dans son code.

1. Qui est responsable de vos données ?

Responsable du traitement : EpiMaat, projet personnel et non commercial d’un particulier, Brabant wallon (Belgique). Numéro d’entreprise (BCE) : sans objet (particulier, sans activité commerciale).

Contact pour toute question sur vos données et pour exercer vos droits : epimaat@outlook.be. Aucun délégué à la protection des données n’est désigné ; cette adresse le remplace. Voir aussi les mentions légales.

2. En bref

Vos données de santé sont d’abord enregistrées sur votre appareil. Rien ne part vers le serveur sans une action de votre part (compte de sauvegarde, partage, rapport, alerte, rappel, avis, signalement).
Ce qui part au serveur pour la sauvegarde, le partage et les rapports est chiffré de bout en bout : le serveur garde des données qu’il ne peut pas lire. Deux exceptions, signalées dans l’application : les rappels de traitement (heures des prises ; texte neutre, sans nom de médicament) et l’adresse e-mail du compte.
C’est vous qui décidez qui voit votre suivi (proche, médecin), ce qu’il voit, et vous pouvez retirer l’accès à tout moment.
Pas de publicité, pas de revente, pas d’outil de mesure d’audience, pas de cookie publicitaire.
EpiMaat ne remplace pas un avis médical et n’est pas un dispositif médical de diagnostic ou de traitement. En cas d’urgence, appelez le 112.

3. Quelles données, pourquoi, sur quelle base légale

Les données sur la santé (crises, traitements, état de santé) sont des données « particulières » (art. 9 du RGPD). Lorsqu’elles quittent votre appareil, c’est sur la base de votre consentement explicite (art. 9.2.a), donné par une action claire : case à cocher à la création du compte, choix du partage, activation des rappels, envoi d’un rapport. Vous pouvez retirer ce consentement à tout moment (point 8), sans effet sur ce qui a été fait avant.

3.1 L’application sur votre appareil (avec ou sans compte)

Données : crises (date, heure, durée, type, notes), traitements, profil (nom, date de naissance, groupe sanguin, allergies, contacts d’urgence, médecins ; numéro de registre national (NISS) facultatif), notes, voyages, réglages.
Où : dans le stockage de votre navigateur ou de l’application installée (localStorage, IndexedDB), sur votre appareil uniquement. L’éditeur n’y a pas accès.
Protection : ces données ne sont pas chiffrées sur l’appareil, sauf si vous activez le verrouillage par code PIN. Ce code protège l’usage quotidien (quelqu’un qui prend votre téléphone) ; il ne protège pas contre une personne qui copierait le contenu de l’appareil, car un code de 4 à 8 chiffres se devine vite par ordinateur. Protégez aussi votre appareil par son propre verrouillage.
La déconnexion efface complètement les données de l’application sur l’appareil.

3.2 Ce qui est envoyé même sans compte

Le compte n’est nécessaire que pour la sauvegarde. Les fonctions suivantes envoient des données au serveur même sans compte, uniquement quand vous les utilisez :

Partager mon suivi (proche ou médecin) : un instantané de votre suivi et les messages, chiffrés de bout en bout ; un identifiant technique de l’accès, les empreintes des jetons d’accès, les abonnements aux notifications des appareils concernés et les dates d’activité. Base légale : consentement (art. 6.1.a et 9.2.a).
Invitations (lien, code ou QR d’accès) : un paquet scellé illisible pour le serveur et son empreinte, le temps que l’invitation soit utilisée ou expire.
Mon identifiant EpiMaat (code d’accès unique) : une empreinte de l’identifiant et une clé publique scellée, sans nom ni adresse e-mail.
Lien de récupération d’un rapport : les données du rapport, chiffrées sur l’appareil ; la clé de lecture n’est que dans le lien imprimé (après le « # »), jamais envoyée au serveur. Base légale : consentement (art. 6.1.a et 9.2.a).
Avis et signalements : voir 3.6.
Scan d’un QR code d’information (affiche, brochure) : seulement le nom de la campagne et la date, pour compter les scans. Base légale : intérêt légitime (art. 6.1.f) ; aucune donnée personnelle n’est conservée.

3.3 Le compte de sauvegarde

Adresse e-mail : identifiant du compte ; elle sert aussi à vous envoyer le lien « Mot de passe oublié » et l’avertissement avant suppression d’un compte inactif. C’est la seule donnée personnelle du compte que l’éditeur peut lire, avec le contenu des avis et signalements que vous choisissez d’envoyer.
Mot de passe : il n’est jamais envoyé. L’appareil en dérive une empreinte (PBKDF2, 600 000 itérations), que le serveur hache encore (bcrypt).
Sauvegarde : toutes les données de l’application, chiffrées sur l’appareil (AES-GCM 256 bits) avec une clé tirée de votre mot de passe. Le serveur ne peut pas la lire. Mot de passe oublié = sauvegarde perdue : la remise à zéro par e-mail (lien valable 1 heure, à usage unique) efface la sauvegarde et son historique, garde l’adresse e-mail et fixe un nouveau mot de passe ; les données encore présentes sur votre appareil peuvent alors être sauvegardées à nouveau.
Historique : au plus 10 versions précédentes de la sauvegarde chiffrée, pour réparer une erreur de synchronisation.
Dates d’activité : date de dernière sauvegarde et de dernière connexion (notée au plus une fois par jour), pour appliquer la durée de conservation des comptes inactifs.
Langue de l’application (français, néerlandais, anglais ou italien), pour vous écrire dans votre langue (par exemple l’avertissement avant la suppression d’un compte inactif).
Base légale : exécution du service que vous demandez (art. 6.1.b) et consentement explicite pour les données de santé contenues dans la sauvegarde (art. 9.2.a), donné à la création du compte.

3.4 Alertes de crise

Alerte aux proches via EpiMaat (si vous avez partagé votre suivi) : l’alerte contient l’heure, votre position GPS (si vous l’avez autorisée) et le niveau de batterie du téléphone ; tout cela est chiffré de bout en bout et seuls vos proches peuvent le lire. Pour relancer les proches qui n’ont pas répondu, le serveur garde l’heure de l’alerte et l’identifiant de l’accès pendant 30 minutes au plus.
SMS d’urgence : l’application ouvre l’application SMS de votre téléphone avec un message prêt (avec un lien Google Maps vers votre position). C’est vous qui l’envoyez, par votre opérateur mobile : ce SMS ne passe pas par le serveur d’EpiMaat. Si le destinataire ouvre le lien, Google reçoit les coordonnées.
Base légale : consentement (art. 6.1.a et 9.2.a), donné en configurant les alertes et en autorisant la localisation. La localisation n’est demandée qu’au moment où elle sert ; vous pouvez la refuser dans les réglages du téléphone.

3.5 Rappels de traitement

Si vous les activez (compte nécessaire) : l’heure de chaque prise prévue (les 30 prochains jours), un texte de notification neutre, sans nom de médicament ni dose, une empreinte irréversible qui évite les doublons, et l’abonnement aux notifications de vos appareils. Le serveur ne connaît donc pas vos médicaments, mais il voit les heures de vos prises, nécessaires pour envoyer les rappels. Base légale : consentement explicite (art. 6.1.a et 9.2.a).

3.6 Avis et signalements

Avis (note, recommandation, commentaire) : lié à votre compte, ou sans compte à un identifiant aléatoire propre à l’appareil. Base légale : consentement (art. 6.1.a) ; c’est facultatif.
Signaler un problème : l’espace concerné, l’écran, votre texte, la version de l’application et le type de navigateur ; votre adresse e-mail seulement si vous la donnez pour recevoir une réponse. Une notification sans votre texte est envoyée à l’adresse de contact ci-dessus, avec votre adresse e-mail si vous l’avez donnée (pour vous répondre) ; le signalement lui-même se lit sur le serveur. Base légale : intérêt légitime à corriger les erreurs (art. 6.1.f) ; n’écrivez pas de données de santé dans un signalement.

3.7 Sécurité et statistiques

Sécurité : l’adresse IP de chaque requête sert à limiter les abus (compteurs gardés sous forme d’empreinte calculée avec une clé secrète du serveur, effacés après 25 heures). L’hébergeur tient aussi ses propres journaux techniques. Base légale : intérêt légitime (art. 6.1.f).
Statistiques : uniquement des comptages calculés à partir des tables du serveur (nombre de comptes, comptes actifs selon la date de dernière sauvegarde, scans par campagne, notes moyennes). Jamais le contenu de vos données, aucun outil de mesure d’audience externe. Base légale : intérêt légitime (art. 6.1.f).

4. Le chiffrement de bout en bout, et ses limites

La sauvegarde, les instantanés et messages partagés, les alertes et les rapports sont chiffrés sur votre appareil ; seules les personnes qui ont la clé (vous, vos proches et médecins choisis) peuvent les lire. Une fuite de la base de données ne livrerait donc pas leur contenu. Pour être complet :

Le serveur voit des informations techniques : dates et heures des envois, heure des alertes, type d’événement (alerte, « je vais bien », médicament pris, accusé de lecture…), taille des données, adresse IP.
L’application est elle-même servie par le serveur. Un serveur piraté qui servirait un code modifié pourrait intercepter des données au moment où vous les saisissez : le chiffrement protège contre une fuite des données stockées, pas contre ce cas.
Le code PIN protège l’usage, pas le contenu de l’appareil (voir 3.1).

5. Combien de temps

Données	Durée de conservation
Données sur votre appareil	Jusqu’à ce que vous les supprimiez, vous déconnectiez ou effaciez les données du navigateur.
Compte et sauvegarde chiffrée	Tant que le compte existe. Compte inactif (ni connexion ni sauvegarde) depuis 24 mois : un e-mail vous avertit, puis le compte est supprimé 30 jours plus tard si vous ne vous reconnectez pas.
Historique de sauvegarde	10 versions au plus, 30 jours au plus.
Copies de sauvegarde de la base de données (protection contre la perte de données)	14 jours au plus, puis effacées automatiquement. Une donnée effacée disparaît donc aussi de ces copies au plus tard 14 jours après. Les contenus chiffrés y restent illisibles.
Lien « Mot de passe oublié »	1 heure, usage unique.
Rappels de traitement	Programmés au plus 40 jours à l’avance ; effacés 7 jours après leur heure.
Abonnements aux notifications	Jusqu’à la déconnexion, la suppression du compte ou de l’accès, ou leur expiration chez le service de notification.
Accès d’un proche ou d’un médecin	Jusqu’à ce que vous le retiriez, jusqu’à la fin de la durée choisie, ou après 1 an sans connexion de votre application. Lien jamais ouvert ou accès non accepté : 7 jours. Traces d’un accès retiré : 90 jours.
Messages et instantané partagés	Messages : 30 jours. Instantané : remplacé à chaque mise à jour, effacé avec l’accès.
Invitations	De 15 minutes (code) à 72 heures selon le type (90 jours pour une invitation réutilisable de cabinet) ; empreinte d’une invitation déjà utilisée : 1 an, pour empêcher sa réutilisation.
Mon identifiant EpiMaat	Jusqu’à ce que vous le supprimiez, ou 1 an sans utilisation ; dépôts non relevés : 30 jours.
Clé de secours d’un médecin ou d’un proche (coffre chiffré)	Jusqu’à sa suppression, ou 365 jours sans utilisation.
Relance d’une alerte	30 minutes.
Lien de récupération d’un rapport	30 jours ou 10 ouvertures ; révocable à tout moment.
Signalements (et leur notification par e-mail)	1 an.
Avis	Avec compte : jusqu’à la suppression du compte. Sans compte : 2 ans après la dernière modification.
Compteurs anti-abus	25 heures.
Cookie de session	30 jours si vous cochez « Rester connecté », sinon 12 heures (voir point 7).
Journaux techniques de l’hébergeur	Selon la politique de confidentialité de Hostinger (journaux techniques d’accès, sans lien avec le contenu de votre compte).

6. Qui reçoit vos données

Les proches et médecins que vous choisissez, pour ce que vous décidez de partager. Avant chaque partage, vous choisissez ce qui est partagé ; le NISS fait partie des options (cochées par défaut) et vous pouvez le décocher.
Hébergeur (sous-traitant, art. 28 du RGPD) : Hostinger International Ltd (Chypre) ; serveurs situés dans le centre de données prévu par le contrat d’hébergement ; tout transfert hors de l’Union européenne est encadré par les clauses contractuelles types de la Commission européenne (accord de traitement des données de Hostinger). Il stocke les données chiffrées et le compte.
Services de notification du navigateur ou du téléphone : Google (Firebase Cloud Messaging, Chrome et Android), Apple (Safari, iPhone, iPad), Mozilla (Firefox), Microsoft (Edge). Ils acheminent les notifications ; ils reçoivent l’identifiant technique de l’abonnement et un message chiffré qu’ils ne peuvent pas lire. Ces sociétés peuvent traiter ces données hors de l’Union européenne, notamment aux États-Unis : ces transferts reposent sur le cadre UE–États-Unis de protection des données (Data Privacy Framework) pour les sociétés certifiées, ou sur les clauses contractuelles types de la Commission européenne.
Messagerie de contact : les e-mails que vous envoyez à epimaat@outlook.be et les notifications de signalement sont hébergés par Microsoft (Outlook.com), qui peut aussi les traiter hors de l’Union européenne avec les mêmes garanties.
SMS d’urgence : votre opérateur mobile et, si le lien de position est ouvert, Google (voir 3.4).
Aucune donnée n’est vendue, utilisée pour de la publicité ou transmise à des tiers pour leur propre compte.

__Host-EPIMAAT_SID : cookie de session, uniquement si vous vous connectez à un compte. Il garde la connexion ouverte (30 jours avec « Rester connecté », sinon 12 heures), il est réservé au site (HttpOnly, Secure, SameSite=Lax). Strictement nécessaire : il ne demande pas de consentement.
Stockage local (localStorage, IndexedDB, cache hors ligne) : vos données, vos réglages (dont la langue) et les fichiers de l’application pour fonctionner hors connexion. Rien de tout cela n’est un traceur ni n’est lu par un tiers.

8. Vos droits

Vous avez le droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition (pour les traitements fondés sur l’intérêt légitime), ainsi que le droit de retirer votre consentement à tout moment. Dans l’application, sans rien demander à personne :

accès et portabilité : « Mes données » → export complet (JSON, CSV, PDF) ;
rectification : modifiez ou supprimez chaque saisie ;
effacement : « Supprimer mon compte cloud » (votre mot de passe est demandé) efface immédiatement toutes les données du serveur liées au compte — sauvegarde, historique, rappels, abonnements aux notifications, avis — après retrait des accès des proches et médecins (les copies de sauvegarde de la base, gardées 14 jours au plus, s’effacent ensuite d’elles-mêmes) ;
retrait du consentement : retirez un accès, désactivez les rappels, les alertes ou la localisation, supprimez un lien de rapport ou votre identifiant EpiMaat.

Pour toute autre demande : epimaat@outlook.be. Réponse dans le délai d’un mois. Comme l’éditeur ne peut pas lire vos données chiffrées, il ne peut pas les consulter ni les corriger à votre place : ces actions se font dans l’application.

Vous pouvez introduire une réclamation auprès de l’Autorité de protection des données : rue de la Presse 35, 1000 Bruxelles · +32 2 274 48 00 · contact@apd-gba.be · www.autoriteprotectiondonnees.be.

9. Enfants et adolescents

Pour une personne de moins de 16 ans, l’application est utilisée avec un parent ou un tuteur légal, qui donne le consentement (création du compte, partage, alertes) et exerce les droits en son nom. À partir de 16 ans, la personne peut l’utiliser seule.

10. Usage médical

EpiMaat est un carnet de suivi tenu par le patient. Il ne remplace pas un avis médical, ne pose pas de diagnostic, ne propose pas de traitement et n’est pas un dispositif médical. Aucune décision automatisée produisant des effets à votre égard n’est prise (art. 22 du RGPD) : l’application compte et présente vos données, sans les interpréter. Les alertes dépendent du téléphone, du réseau et des notifications : elles ne garantissent pas une intervention. En cas d’urgence, appelez le 112.

11. Modifications

Toute modification importante de cette politique est annoncée dans l’application. La date de mise à jour figure en haut de cette page.

Laatst bijgewerkt: 24 oktober 2026 (app EpiMaat versie 01.00). Deze pagina beschrijft wat de app echt met uw gegevens doet, nagekeken in de code.

1. Wie is verantwoordelijk voor uw gegevens?

Verwerkingsverantwoordelijke: EpiMaat, persoonlijk en niet-commercieel project van een particulier, Waals-Brabant (België). Ondernemingsnummer (KBO): niet van toepassing (particulier, geen commerciële activiteit).

Contact voor elke vraag over uw gegevens en om uw rechten uit te oefenen: epimaat@outlook.be. Er is geen functionaris voor gegevensbescherming aangesteld; dit adres vervangt hem. Zie ook de wettelijke vermeldingen.

2. Kort samengevat

Uw gezondheidsgegevens worden eerst op uw toestel bewaard. Er gaat niets naar de server zonder een handeling van u (back-upaccount, delen, verslag, waarschuwing, herinnering, mening, melding).
Wat voor de back-up, het delen en de verslagen naar de server gaat, is end-to-end versleuteld: de server bewaart gegevens die hij niet kan lezen. Twee uitzonderingen, die de app vermeldt: de herinneringen voor uw behandeling (uren van de innames; neutrale tekst, zonder naam van het geneesmiddel) en het e-mailadres van het account.
U beslist wie uw opvolging ziet (naaste, arts) en wat hij ziet, en u kunt de toegang op elk moment intrekken.
Geen reclame, geen verkoop, geen tool voor bezoekersmetingen, geen reclamecookie.
EpiMaat vervangt geen medisch advies en is geen medisch hulpmiddel voor diagnose of behandeling. Bel in noodgevallen 112.

3. Welke gegevens, waarom, op welke rechtsgrond

Gegevens over de gezondheid (aanvallen, behandelingen, gezondheidstoestand) zijn « bijzondere » gegevens (art. 9 AVG). Wanneer ze uw toestel verlaten, gebeurt dat op basis van uw uitdrukkelijke toestemming (art. 9.2.a), gegeven door een duidelijke handeling: vakje aanvinken bij het aanmaken van het account, keuze om te delen, herinneringen inschakelen, een verslag versturen. U kunt die toestemming op elk moment intrekken (punt 8), zonder gevolg voor wat ervoor gebeurde.

3.1 De app op uw toestel (met of zonder account)

Gegevens: aanvallen (datum, uur, duur, type, notities), behandelingen, profiel (naam, geboortedatum, bloedgroep, allergieën, noodcontacten, artsen; facultatief rijksregisternummer), notities, reizen, instellingen.
Waar: in de opslag van uw browser of van de geïnstalleerde app (localStorage, IndexedDB), alleen op uw toestel. De uitgever heeft er geen toegang toe.
Bescherming: deze gegevens zijn niet versleuteld op het toestel, tenzij u de vergrendeling met pincode inschakelt. Die code beschermt het dagelijkse gebruik (iemand die uw telefoon neemt); ze beschermt niet tegen iemand die de inhoud van het toestel kopieert, want een code van 4 tot 8 cijfers is met een computer snel te raden. Beveilig uw toestel ook met zijn eigen vergrendeling.
Afmelden wist alle gegevens van de app op het toestel.

3.2 Wat ook zonder account wordt verstuurd

Het account is alleen nodig voor de back-up. De volgende functies sturen gegevens naar de server, ook zonder account, alleen wanneer u ze gebruikt:

Mijn opvolging delen (naaste of arts): een momentopname van uw opvolging en de berichten, end-to-end versleuteld; een technische code van de toegang, vingerafdrukken (hashes) van de toegangssleutels, de meldingsabonnementen van de betrokken toestellen en de activiteitsdata. Rechtsgrond: toestemming (art. 6.1.a en 9.2.a).
Uitnodigingen (link, code of QR voor toegang): een verzegeld pakket dat de server niet kan lezen en de vingerafdruk ervan, tot de uitnodiging gebruikt wordt of verloopt.
Mijn EpiMaat-ID (unieke toegangscode): een vingerafdruk van de ID en een verzegelde publieke sleutel, zonder naam of e-mailadres.
Link om een verslag op te halen: de gegevens van het verslag, versleuteld op het toestel; de leessleutel staat alleen in de gedrukte link (na het « # ») en wordt nooit naar de server gestuurd. Rechtsgrond: toestemming (art. 6.1.a en 9.2.a).
Meningen en meldingen: zie 3.6.
Scan van een informatieve QR-code (affiche, folder): alleen de naam van de campagne en de datum, om de scans te tellen. Rechtsgrond: gerechtvaardigd belang (art. 6.1.f); er worden geen persoonsgegevens bewaard.

3.3 Het back-upaccount

E-mailadres: identificatie van het account; het dient ook om u de link « Wachtwoord vergeten » te sturen en de waarschuwing vóór het wissen van een inactief account. Het is, samen met de inhoud van de beoordelingen en meldingen die u verstuurt, het enige persoonsgegeven van het account dat de uitgever kan lezen.
Wachtwoord: het wordt nooit verstuurd. Het toestel leidt er een vingerafdruk van af (PBKDF2, 600 000 iteraties), die de server nogmaals hasht (bcrypt).
Back-up: alle gegevens van de app, op het toestel versleuteld (AES-GCM 256 bits) met een sleutel afgeleid van uw wachtwoord. De server kan ze niet lezen. Wachtwoord vergeten = back-up verloren: de reset via e-mail (link 1 uur geldig, eenmalig) wist de back-up en de geschiedenis, behoudt het e-mailadres en stelt een nieuw wachtwoord in; de gegevens die nog op uw toestel staan, kunnen dan opnieuw worden geback-upt.
Geschiedenis: hoogstens 10 vorige versies van de versleutelde back-up, om een synchronisatiefout te herstellen.
Activiteitsdata: datum van de laatste back-up en van de laatste aanmelding (hoogstens één keer per dag genoteerd), om de bewaartermijn voor inactieve accounts toe te passen.
Taal van de app (Frans, Nederlands, Engels of Italiaans), om u in uw taal te schrijven (bijvoorbeeld de waarschuwing voordat een inactief account wordt verwijderd).
Rechtsgrond: uitvoering van de dienst die u vraagt (art. 6.1.b) en uitdrukkelijke toestemming voor de gezondheidsgegevens in de back-up (art. 9.2.a), gegeven bij het aanmaken van het account.

3.4 Waarschuwingen bij een aanval

Waarschuwing aan naasten via EpiMaat (als u uw opvolging hebt gedeeld): de waarschuwing bevat het uur, uw gps-positie (als u die hebt toegestaan) en het batterijniveau van de telefoon; dat alles is end-to-end versleuteld en alleen uw naasten kunnen het lezen. Om naasten die niet reageren opnieuw te verwittigen, bewaart de server het uur van de waarschuwing en de code van de toegang gedurende hoogstens 30 minuten.
Nood-sms: de app opent de sms-app van uw telefoon met een klaar bericht (met een Google Maps-link naar uw positie). U verstuurt het zelf, via uw mobiele operator: deze sms gaat niet via de server van EpiMaat. Als de ontvanger de link opent, krijgt Google de coördinaten.
Rechtsgrond: toestemming (art. 6.1.a en 9.2.a), gegeven door de waarschuwingen in te stellen en de locatie toe te staan. De locatie wordt pas gevraagd wanneer ze nodig is; u kunt ze weigeren in de instellingen van de telefoon.

3.5 Herinneringen voor uw behandeling

Als u ze inschakelt (account nodig): het uur van elke geplande inname (de komende 30 dagen), een neutrale meldingstekst zonder naam van het geneesmiddel of dosis, een onomkeerbare vingerafdruk die dubbele meldingen voorkomt, en het meldingsabonnement van uw toestellen. De server kent uw geneesmiddelen dus niet, maar ziet wel de uren van uw innames, die nodig zijn om de herinneringen te versturen. Rechtsgrond: uitdrukkelijke toestemming (art. 6.1.a en 9.2.a).

3.6 Meningen en meldingen

Mening (score, aanbeveling, commentaar): gekoppeld aan uw account, of zonder account aan een willekeurige code van het toestel. Rechtsgrond: toestemming (art. 6.1.a); het is facultatief.
Een probleem melden: de betrokken ruimte, het scherm, uw tekst, de versie van de app en het type browser; uw e-mailadres alleen als u het opgeeft om een antwoord te krijgen. Een melding zonder uw tekst gaat naar het contactadres hierboven, met uw e-mailadres als u het hebt opgegeven (om u te antwoorden); de melding zelf wordt op de server gelezen. Rechtsgrond: gerechtvaardigd belang om fouten te verbeteren (art. 6.1.f); schrijf geen gezondheidsgegevens in een melding.

3.7 Beveiliging en statistieken

Beveiliging: het IP-adres van elke aanvraag dient om misbruik te beperken (tellers bewaard als vingerafdruk, berekend met een geheime sleutel van de server, gewist na 25 uur). De hostingprovider houdt ook eigen technische logbestanden bij. Rechtsgrond: gerechtvaardigd belang (art. 6.1.f).
Statistieken: alleen tellingen op basis van de tabellen van de server (aantal accounts, actieve accounts volgens de datum van de laatste back-up, scans per campagne, gemiddelde scores). Nooit de inhoud van uw gegevens, geen externe tool voor bezoekersmetingen. Rechtsgrond: gerechtvaardigd belang (art. 6.1.f).

4. End-to-end versleuteling, en de grenzen ervan

De back-up, de gedeelde momentopnamen en berichten, de waarschuwingen en de verslagen worden op uw toestel versleuteld; alleen wie de sleutel heeft (u, de naasten en artsen die u kiest) kan ze lezen. Een lek van de database zou de inhoud dus niet prijsgeven. Volledigheidshalve:

De server ziet technische informatie: data en uren van verzending, uur van de waarschuwingen, type gebeurtenis (waarschuwing, « alles goed », geneesmiddel genomen, leesbevestiging…), grootte van de gegevens, IP-adres.
De app zelf wordt door de server aangeboden. Een gehackte server die gewijzigde code zou aanbieden, zou gegevens kunnen onderscheppen op het moment dat u ze invoert: de versleuteling beschermt tegen een lek van de opgeslagen gegevens, niet tegen dat geval.
De pincode beschermt het gebruik, niet de inhoud van het toestel (zie 3.1).

5. Hoe lang

Gegevens	Bewaartermijn
Gegevens op uw toestel	Tot u ze wist, zich afmeldt of de gegevens van de browser wist.
Account en versleutelde back-up	Zolang het account bestaat. Account inactief (geen aanmelding en geen back-up) sinds 24 maanden: u krijgt een waarschuwing per e-mail, daarna wordt het account 30 dagen later gewist als u zich niet opnieuw aanmeldt.
Geschiedenis van de back-up	Hoogstens 10 versies, hoogstens 30 dagen.
Reservekopieën van de database (bescherming tegen gegevensverlies)	Hoogstens 14 dagen, daarna automatisch gewist. Gewiste gegevens verdwijnen dus ook uit deze kopieën, uiterlijk 14 dagen later. Versleutelde inhoud blijft er onleesbaar.
Link « Wachtwoord vergeten »	1 uur, eenmalig.
Herinneringen voor uw behandeling	Hoogstens 40 dagen vooraf gepland; gewist 7 dagen na hun uur.
Meldingsabonnementen	Tot u zich afmeldt, het account of de toegang wordt gewist, of het abonnement verloopt bij de meldingsdienst.
Toegang van een naaste of een arts	Tot u ze intrekt, tot het einde van de gekozen duur, of na 1 jaar zonder aanmelding van uw app. Link nooit geopend of toegang niet aanvaard: 7 dagen. Sporen van een ingetrokken toegang: 90 dagen.
Gedeelde berichten en momentopname	Berichten: 30 dagen. Momentopname: vervangen bij elke update, gewist met de toegang.
Uitnodigingen	Van 15 minuten (code) tot 72 uur volgens het type (90 dagen voor een herbruikbare uitnodiging van een praktijk); vingerafdruk van een al gebruikte uitnodiging: 1 jaar, om hergebruik te verhinderen.
Mijn EpiMaat-ID	Tot u ze wist, of 1 jaar zonder gebruik; niet opgehaalde verzoeken: 30 dagen.
Reservesleutel van een arts of naaste (versleutelde kluis)	Tot ze gewist wordt, of 365 dagen zonder gebruik.
Herhaalde waarschuwing	30 minuten.
Link om een verslag op te halen	30 dagen of 10 keer openen; op elk moment intrekbaar.
Meldingen (en hun bericht per e-mail)	1 jaar.
Meningen	Met account: tot het account wordt gewist. Zonder account: 2 jaar na de laatste wijziging.
Tellers tegen misbruik	25 uur.
Sessiecookie	30 dagen als u « Aangemeld blijven » aanvinkt, anders 12 uur (zie punt 7).
Technische logbestanden van de hostingprovider	Volgens het privacybeleid van Hostinger (technische toegangslogboeken, zonder verband met de inhoud van uw account).

6. Wie ontvangt uw gegevens

De naasten en artsen die u kiest, voor wat u beslist te delen. Vóór elke deling kiest u wat gedeeld wordt; het rijksregisternummer is een van de opties (standaard aangevinkt) en u kunt het uitvinken.
Hostingprovider (verwerker, art. 28 AVG): Hostinger International Ltd (Cyprus); servers in het datacenter dat in het hostingcontract is vastgelegd; elke doorgifte buiten de Europese Unie valt onder de modelcontractbepalingen van de Europese Commissie (verwerkersovereenkomst van Hostinger). Hij bewaart de versleutelde gegevens en het account.
Meldingsdiensten van de browser of de telefoon: Google (Firebase Cloud Messaging, Chrome en Android), Apple (Safari, iPhone, iPad), Mozilla (Firefox), Microsoft (Edge). Zij bezorgen de meldingen; zij ontvangen de technische code van het abonnement en een versleuteld bericht dat zij niet kunnen lezen. Deze bedrijven kunnen deze gegevens buiten de Europese Unie verwerken, met name in de Verenigde Staten: die doorgiften steunen op het gegevensbeschermingskader EU-VS (Data Privacy Framework) voor de gecertificeerde bedrijven, of op de standaardcontractbepalingen van de Europese Commissie.
Contactmailbox: de e-mails die u naar epimaat@outlook.be stuurt en de berichten over meldingen worden gehost door Microsoft (Outlook.com), dat ze ook buiten de Europese Unie kan verwerken, met dezelfde waarborgen.
Nood-sms: uw mobiele operator en, als de locatielink wordt geopend, Google (zie 3.4).
Er worden geen gegevens verkocht, voor reclame gebruikt of aan derden voor eigen doeleinden doorgegeven.

__Host-EPIMAAT_SID: sessiecookie, alleen als u zich bij een account aanmeldt. Hij houdt de aanmelding open (30 dagen met « Aangemeld blijven », anders 12 uur) en is voorbehouden aan de site (HttpOnly, Secure, SameSite=Lax). Strikt noodzakelijk: er is geen toestemming voor nodig.
Lokale opslag (localStorage, IndexedDB, offline cache): uw gegevens, uw instellingen (waaronder de taal) en de bestanden van de app om offline te werken. Niets daarvan is een tracker of wordt door een derde gelezen.

8. Uw rechten

U hebt recht op inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar (voor verwerkingen op basis van gerechtvaardigd belang), en het recht om uw toestemming op elk moment in te trekken. In de app, zonder iemand iets te vragen:

inzage en overdraagbaarheid: « Mijn gegevens » → volledige export (JSON, CSV, PDF);
rectificatie: wijzig of wis elke invoer;
wissing: « Mijn cloudaccount verwijderen » (uw wachtwoord wordt gevraagd) wist onmiddellijk alle servergegevens van het account — back-up, geschiedenis, herinneringen, meldingsabonnementen, meningen — na intrekking van de toegang van naasten en artsen (de reservekopieën van de database, hoogstens 14 dagen bewaard, worden daarna vanzelf gewist);
intrekking van de toestemming: trek een toegang in, schakel herinneringen, waarschuwingen of locatie uit, wis een verslaglink of uw EpiMaat-ID.

Voor elke andere vraag: epimaat@outlook.be. Antwoord binnen een maand. Omdat de uitgever uw versleutelde gegevens niet kan lezen, kan hij ze niet in uw plaats inzien of verbeteren: dat gebeurt in de app.

U kunt een klacht indienen bij de Gegevensbeschermingsautoriteit: Drukpersstraat 35, 1000 Brussel · +32 2 274 48 00 · contact@apd-gba.be · www.gegevensbeschermingsautoriteit.be.

9. Kinderen en jongeren

Voor iemand jonger dan 16 jaar wordt de app gebruikt samen met een ouder of wettelijke voogd, die de toestemming geeft (account, delen, waarschuwingen) en de rechten in zijn naam uitoefent. Vanaf 16 jaar kan de persoon de app zelfstandig gebruiken.

10. Medisch gebruik

EpiMaat is een opvolgingsdagboek dat de patiënt zelf bijhoudt. Het vervangt geen medisch advies, stelt geen diagnose, stelt geen behandeling voor en is geen medisch hulpmiddel. Er wordt geen geautomatiseerd besluit genomen dat u aanmerkelijk treft (art. 22 AVG): de app telt en toont uw gegevens, zonder ze te interpreteren. De waarschuwingen hangen af van de telefoon, het netwerk en de meldingen: ze garanderen geen tussenkomst. Bel in noodgevallen 112.

11. Wijzigingen

Elke belangrijke wijziging van dit beleid wordt in de app aangekondigd. De datum van de laatste update staat bovenaan deze pagina.

Last updated: 24 October 2026 (EpiMaat app version 01.00). This page describes what the app actually does with your data, checked against its code.

1. Who is responsible for your data?

Data controller: EpiMaat, a personal, non-commercial project of a private individual, Walloon Brabant (Belgium). Company number (CBE/BCE): not applicable (private individual, no commercial activity).

Contact for any question about your data and to exercise your rights: epimaat@outlook.be. No data protection officer has been appointed; this address serves instead. See also the legal notice.

2. In short

Your health data are stored on your device first. Nothing goes to the server without an action on your part (backup account, sharing, report, alert, reminder, feedback, problem report).
What goes to the server for backup, sharing and reports is end-to-end encrypted: the server keeps data it cannot read. Two exceptions, flagged in the app: treatment reminders (times of the doses; neutral text, with no medication name) and the account’s e-mail address.
You decide who sees your follow-up (relative, doctor) and what they see, and you can withdraw access at any time.
No advertising, no selling of data, no audience-measurement tool, no advertising cookie.
EpiMaat does not replace medical advice and is not a medical device for diagnosis or treatment. In an emergency, call 112.

3. Which data, why, on which legal basis

Data concerning health (seizures, treatments, state of health) are “special category” data (Art. 9 GDPR). When they leave your device, this is based on your explicit consent (Art. 9(2)(a)), given by a clear action: ticking the box when creating the account, choosing to share, turning on reminders, sending a report. You can withdraw this consent at any time (section 8), without affecting what was done before.

3.1 The app on your device (with or without an account)

Data: seizures (date, time, duration, type, notes), treatments, profile (name, date of birth, blood group, allergies, emergency contacts, doctors; optional national register number (NISS)), notes, trips, settings.
Where: in the storage of your browser or of the installed app (localStorage, IndexedDB), on your device only. The publisher has no access to it.
Protection: these data are not encrypted on the device, unless you turn on the PIN lock. The PIN protects everyday use (someone picking up your phone); it does not protect against someone copying the content of the device, because a 4- to 8-digit code is quickly guessed by a computer. Also protect your device with its own lock.
Signing out completely erases the app’s data on the device.

3.2 What is sent even without an account

An account is only needed for backup. The following features send data to the server even without an account, only when you use them:

Share my follow-up (relative or doctor): a snapshot of your follow-up and the messages, end-to-end encrypted; a technical identifier of the access, fingerprints (hashes) of the access tokens, the notification subscriptions of the devices concerned and activity dates. Legal basis: consent (Art. 6(1)(a) and 9(2)(a)).
Invitations (access link, code or QR): a sealed package the server cannot read and its fingerprint, until the invitation is used or expires.
My EpiMaat ID (single access code): a fingerprint of the ID and a sealed public key, with no name or e-mail address.
Report retrieval link: the report data, encrypted on the device; the reading key is only in the printed link (after the “#”), never sent to the server. Legal basis: consent (Art. 6(1)(a) and 9(2)(a)).
Feedback and problem reports: see 3.6.
Scanning an information QR code (poster, leaflet): only the campaign name and the date, to count scans. Legal basis: legitimate interest (Art. 6(1)(f)); no personal data are kept.

3.3 The backup account

E-mail address: account identifier; it is also used to send you the “Forgot password” link and the warning before an inactive account is deleted. Together with the content of the reviews and reports you choose to send, it is the only personal data of the account that the publisher can read.
Password: it is never sent. The device derives a fingerprint from it (PBKDF2, 600,000 iterations), which the server hashes again (bcrypt).
Backup: all the app’s data, encrypted on the device (AES-GCM 256-bit) with a key derived from your password. The server cannot read it. Forgotten password = backup lost: the reset by e-mail (link valid for 1 hour, single use) erases the backup and its history, keeps the e-mail address and sets a new password; the data still on your device can then be backed up again.
History: at most 10 previous versions of the encrypted backup, to repair a synchronisation error.
Activity dates: date of the last backup and of the last sign-in (recorded at most once a day), to apply the retention period for inactive accounts.
Language of the app (French, Dutch, English or Italian), to write to you in your language (for example the warning before an inactive account is deleted).
Legal basis: performance of the service you request (Art. 6(1)(b)) and explicit consent for the health data contained in the backup (Art. 9(2)(a)), given when creating the account.

3.4 Seizure alerts

Alert to relatives through EpiMaat (if you have shared your follow-up): the alert contains the time, your GPS position (if you allowed it) and the phone’s battery level; all of this is end-to-end encrypted and only your relatives can read it. To remind relatives who have not responded, the server keeps the time of the alert and the access identifier for at most 30 minutes.
Emergency SMS: the app opens your phone’s SMS app with a ready-made message (including a Google Maps link to your position). You send it yourself, through your mobile operator: this SMS does not go through the EpiMaat server. If the recipient opens the link, Google receives the coordinates.
Legal basis: consent (Art. 6(1)(a) and 9(2)(a)), given by setting up alerts and allowing location. Location is only requested when it is needed; you can refuse it in the phone’s settings.

3.5 Treatment reminders

If you turn them on (account required): the time of each planned dose (the next 30 days), a neutral notification text with no medication name or dose, an irreversible fingerprint that prevents duplicates, and the notification subscription of your devices. The server therefore does not know your medications, but it does see the times of your doses, which it needs to send the reminders. Legal basis: explicit consent (Art. 6(1)(a) and 9(2)(a)).

3.6 Feedback and problem reports

Feedback (rating, recommendation, comment): linked to your account, or without an account to a random identifier specific to the device. Legal basis: consent (Art. 6(1)(a)); it is optional.
Report a problem: the space concerned, the screen, your text, the app version and the browser type; your e-mail address only if you give it to receive an answer. A notification without your text is sent to the contact address above, with your e-mail address if you gave it (to answer you); the report itself is read on the server. Legal basis: legitimate interest in fixing errors (Art. 6(1)(f)); do not write health data in a problem report.

3.7 Security and statistics

Security: the IP address of each request is used to limit abuse (counters kept as a fingerprint computed with a secret server key, erased after 25 hours). The host also keeps its own technical logs. Legal basis: legitimate interest (Art. 6(1)(f)).
Statistics: only counts calculated from the server tables (number of accounts, active accounts by date of last backup, scans per campaign, average ratings). Never the content of your data, no external audience-measurement tool. Legal basis: legitimate interest (Art. 6(1)(f)).

4. End-to-end encryption, and its limits

The backup, the shared snapshots and messages, the alerts and the reports are encrypted on your device; only the people who hold the key (you, and the relatives and doctors you choose) can read them. A leak of the database would therefore not reveal their content. To be complete:

The server sees technical information: dates and times of sending, time of alerts, type of event (alert, “I’m fine”, medication taken, read receipt…), size of the data, IP address.
The app itself is delivered by the server. A hacked server delivering modified code could intercept data at the moment you enter it: encryption protects against a leak of stored data, not against that case.
The PIN protects use, not the content of the device (see 3.1).

5. How long

Data	Retention period
Data on your device	Until you delete them, sign out or clear the browser’s data.
Account and encrypted backup	As long as the account exists. Account inactive (no sign-in and no backup) for 24 months: an e-mail warns you, then the account is deleted 30 days later if you do not sign in again.
Backup history	At most 10 versions, at most 30 days.
Backup copies of the database (protection against data loss)	At most 14 days, then erased automatically. Erased data therefore also disappears from these copies at most 14 days later. Encrypted content stays unreadable in them.
“Forgot password” link	1 hour, single use.
Treatment reminders	Scheduled at most 40 days ahead; erased 7 days after their time.
Notification subscriptions	Until you sign out, the account or the access is deleted, or they expire at the notification service.
Access of a relative or doctor	Until you withdraw it, until the end of the chosen duration, or after 1 year without your app connecting. Link never opened or access not accepted: 7 days. Traces of a withdrawn access: 90 days.
Shared messages and snapshot	Messages: 30 days. Snapshot: replaced at each update, erased with the access.
Invitations	From 15 minutes (code) to 72 hours depending on the type (90 days for a reusable practice invitation); fingerprint of an invitation already used: 1 year, to prevent reuse.
My EpiMaat ID	Until you delete it, or 1 year without use; requests not collected: 30 days.
Backup key of a doctor or relative (encrypted vault)	Until it is deleted, or 365 days without use.
Alert reminder	30 minutes.
Report retrieval link	30 days or 10 openings; can be revoked at any time.
Problem reports (and their e-mail notification)	1 year.
Feedback	With an account: until the account is deleted. Without an account: 2 years after the last change.
Anti-abuse counters	25 hours.
Session cookie	30 days if you tick “Stay signed in”, otherwise 12 hours (see section 7).
Host’s technical logs	According to Hostinger’s privacy policy (technical access logs, unrelated to the content of your account).

6. Who receives your data

The relatives and doctors you choose, for what you decide to share. Before each share you choose what is shared; the national register number (NISS) is one of the options (ticked by default) and you can untick it.
Host (processor, Art. 28 GDPR): Hostinger International Ltd (Cyprus); servers in the data centre set by the hosting contract; any transfer outside the European Union is covered by the European Commission’s standard contractual clauses (Hostinger’s data processing agreement). It stores the encrypted data and the account.
Notification services of the browser or phone: Google (Firebase Cloud Messaging, Chrome and Android), Apple (Safari, iPhone, iPad), Mozilla (Firefox), Microsoft (Edge). They deliver notifications; they receive the technical identifier of the subscription and an encrypted message they cannot read. These companies may process these data outside the European Union, in particular in the United States: these transfers rely on the EU–US Data Privacy Framework for certified companies, or on the European Commission’s standard contractual clauses.
Contact mailbox: e-mails you send to epimaat@outlook.be and problem report notifications are hosted by Microsoft (Outlook.com), which may also process them outside the European Union with the same safeguards.
Emergency SMS: your mobile operator and, if the location link is opened, Google (see 3.4).
No data are sold, used for advertising or passed on to third parties for their own purposes.

__Host-EPIMAAT_SID: session cookie, only if you sign in to an account. It keeps you signed in (30 days with “Stay signed in”, otherwise 12 hours) and is restricted to the site (HttpOnly, Secure, SameSite=Lax). Strictly necessary: it does not require consent.
Local storage (localStorage, IndexedDB, offline cache): your data, your settings (including language) and the app’s files so it works offline. None of this is a tracker or is read by a third party.

8. Your rights

You have the right of access, rectification, erasure, restriction, portability and objection (for processing based on legitimate interest), as well as the right to withdraw your consent at any time. In the app, without asking anyone:

access and portability: “My data” → full export (JSON, CSV, PDF);
rectification: edit or delete each entry;
erasure: “Delete my cloud account” (your password is requested) immediately erases all server data linked to the account — backup, history, reminders, notification subscriptions, feedback — after withdrawing the access of relatives and doctors (the backup copies of the database, kept at most 14 days, then erase themselves);
withdrawal of consent: withdraw an access, turn off reminders, alerts or location, delete a report link or your EpiMaat ID.

For any other request: epimaat@outlook.be. Answer within one month. As the publisher cannot read your encrypted data, it cannot view or correct them for you: these actions are done in the app.

You can lodge a complaint with the Belgian Data Protection Authority: Rue de la Presse 35, 1000 Brussels · +32 2 274 48 00 · contact@apd-gba.be · www.dataprotectionauthority.be.

9. Children and teenagers

For a person under 16, the app is used with a parent or legal guardian, who gives consent (account, sharing, alerts) and exercises the rights on their behalf. From 16, the person can use it on their own.

10. Medical use

EpiMaat is a follow-up diary kept by the patient. It does not replace medical advice, does not diagnose, does not propose treatment and is not a medical device. No automated decision producing effects on you is taken (Art. 22 GDPR): the app counts and presents your data without interpreting it. Alerts depend on the phone, the network and notifications: they do not guarantee that anyone will intervene. In an emergency, call 112.

11. Changes

Any significant change to this policy is announced in the app. The date of the last update is shown at the top of this page.

Ultimo aggiornamento: 24 ottobre 2026 (app EpiMaat versione 01.00). Questa pagina descrive ciò che l’app fa realmente dei Suoi dati, verificato nel suo codice.

1. Chi è responsabile dei Suoi dati?

Titolare del trattamento: EpiMaat, progetto personale e non commerciale di un privato, Brabante vallone (Belgio). Numero d’impresa (BCE): non applicabile (privato, nessuna attività commerciale).

Contatto per qualsiasi domanda sui Suoi dati e per esercitare i Suoi diritti: epimaat@outlook.be. Non è stato designato un responsabile della protezione dei dati; questo indirizzo ne fa le veci. Veda anche le note legali.

2. In breve

I Suoi dati sanitari sono registrati prima di tutto sul Suo dispositivo. Niente parte verso il server senza un’azione da parte Sua (account di backup, condivisione, referto, allerta, promemoria, parere, segnalazione).
Ciò che va al server per il backup, la condivisione e i referti è cifrato end-to-end: il server conserva dati che non può leggere. Due eccezioni, indicate nell’app: i promemoria del trattamento (orari delle assunzioni; testo neutro, senza nome del farmaco) e l’indirizzo e-mail dell’account.
È Lei a decidere chi vede il Suo monitoraggio (familiare, medico) e che cosa vede, e può revocare l’accesso in qualsiasi momento.
Nessuna pubblicità, nessuna vendita di dati, nessuno strumento di misurazione dell’audience, nessun cookie pubblicitario.
EpiMaat non sostituisce un parere medico e non è un dispositivo medico di diagnosi o di trattamento. In caso di emergenza, chiami il 112.

3. Quali dati, perché, su quale base giuridica

I dati relativi alla salute (crisi, trattamenti, stato di salute) sono dati « particolari » (art. 9 del GDPR). Quando lasciano il Suo dispositivo, ciò avviene sulla base del Suo consenso esplicito (art. 9.2.a), dato con un’azione chiara: casella da spuntare alla creazione dell’account, scelta di condividere, attivazione dei promemoria, invio di un referto. Può revocare questo consenso in qualsiasi momento (punto 8), senza effetto su ciò che è stato fatto prima.

3.1 L’app sul Suo dispositivo (con o senza account)

Dati: crisi (data, ora, durata, tipo, note), trattamenti, profilo (nome, data di nascita, gruppo sanguigno, allergie, contatti di emergenza, medici; numero di registro nazionale (NISS) facoltativo), note, viaggi, impostazioni.
Dove: nella memoria del Suo browser o dell’app installata (localStorage, IndexedDB), solo sul Suo dispositivo. L’editore non vi ha accesso.
Protezione: questi dati non sono cifrati sul dispositivo, a meno che Lei non attivi il blocco con codice PIN. Questo codice protegge l’uso quotidiano (qualcuno che prende il Suo telefono); non protegge da una persona che copiasse il contenuto del dispositivo, perché un codice da 4 a 8 cifre si indovina rapidamente con un computer. Protegga anche il dispositivo con il suo blocco schermo.
La disconnessione cancella completamente i dati dell’app sul dispositivo.

3.2 Ciò che viene inviato anche senza account

L’account serve solo per il backup. Le seguenti funzioni inviano dati al server anche senza account, solo quando Lei le usa:

Condividere il mio monitoraggio (familiare o medico): un’istantanea del Suo monitoraggio e i messaggi, cifrati end-to-end; un identificativo tecnico dell’accesso, le impronte (hash) dei token di accesso, gli abbonamenti alle notifiche dei dispositivi interessati e le date di attività. Base giuridica: consenso (art. 6.1.a e 9.2.a).
Inviti (link, codice o QR di accesso): un pacchetto sigillato illeggibile per il server e la sua impronta, finché l’invito non viene usato o scade.
Il mio ID EpiMaat (codice di accesso unico): un’impronta dell’ID e una chiave pubblica sigillata, senza nome né indirizzo e-mail.
Link di recupero di un referto: i dati del referto, cifrati sul dispositivo; la chiave di lettura è solo nel link stampato (dopo il « # »), mai inviata al server. Base giuridica: consenso (art. 6.1.a e 9.2.a).
Pareri e segnalazioni: veda 3.6.
Scansione di un codice QR informativo (manifesto, opuscolo): solo il nome della campagna e la data, per contare le scansioni. Base giuridica: legittimo interesse (art. 6.1.f); nessun dato personale viene conservato.

3.3 L’account di backup

Indirizzo e-mail: identificativo dell’account; serve anche a inviarLe il link « Password dimenticata » e l’avviso prima della cancellazione di un account inattivo. Insieme al contenuto delle recensioni e delle segnalazioni che sceglie di inviare, è l’unico dato personale dell’account che l’editore può leggere.
Password: non viene mai inviata. Il dispositivo ne ricava un’impronta (PBKDF2, 600 000 iterazioni), che il server sottopone a un ulteriore hash (bcrypt).
Backup: tutti i dati dell’app, cifrati sul dispositivo (AES-GCM 256 bit) con una chiave ricavata dalla Sua password. Il server non può leggerlo. Password dimenticata = backup perso: il ripristino via e-mail (link valido 1 ora, monouso) cancella il backup e la sua cronologia, mantiene l’indirizzo e-mail e imposta una nuova password; i dati ancora presenti sul Suo dispositivo possono allora essere salvati di nuovo.
Cronologia: al massimo 10 versioni precedenti del backup cifrato, per riparare un errore di sincronizzazione.
Date di attività: data dell’ultimo backup e dell’ultimo accesso (registrata al massimo una volta al giorno), per applicare la durata di conservazione degli account inattivi.
Lingua dell’app (francese, olandese, inglese o italiano), per scriverLe nella Sua lingua (per esempio l’avviso prima dell’eliminazione di un account inattivo).
Base giuridica: esecuzione del servizio da Lei richiesto (art. 6.1.b) e consenso esplicito per i dati sanitari contenuti nel backup (art. 9.2.a), dato alla creazione dell’account.

3.4 Allerte di crisi

Allerta ai familiari tramite EpiMaat (se ha condiviso il Suo monitoraggio): l’allerta contiene l’ora, la Sua posizione GPS (se l’ha autorizzata) e il livello della batteria del telefono; tutto ciò è cifrato end-to-end e solo i Suoi familiari possono leggerlo. Per sollecitare i familiari che non hanno risposto, il server conserva l’ora dell’allerta e l’identificativo dell’accesso per 30 minuti al massimo.
SMS di emergenza: l’app apre l’app SMS del Suo telefono con un messaggio pronto (con un link Google Maps verso la Sua posizione). È Lei a inviarlo, tramite il Suo operatore mobile: questo SMS non passa dal server di EpiMaat. Se il destinatario apre il link, Google riceve le coordinate.
Base giuridica: consenso (art. 6.1.a e 9.2.a), dato configurando le allerte e autorizzando la posizione. La posizione viene chiesta solo quando serve; può rifiutarla nelle impostazioni del telefono.

3.5 Promemoria del trattamento

Se li attiva (account necessario): l’ora di ogni assunzione prevista (i prossimi 30 giorni), un testo di notifica neutro, senza nome del farmaco né dose, un’impronta irreversibile che evita i doppioni e l’abbonamento alle notifiche dei Suoi dispositivi. Il server quindi non conosce i Suoi farmaci, ma vede gli orari delle Sue assunzioni, necessari per inviare i promemoria. Base giuridica: consenso esplicito (art. 6.1.a e 9.2.a).

3.6 Pareri e segnalazioni

Parere (voto, raccomandazione, commento): collegato al Suo account oppure, senza account, a un identificativo casuale proprio del dispositivo. Base giuridica: consenso (art. 6.1.a); è facoltativo.
Segnalare un problema: lo spazio interessato, la schermata, il Suo testo, la versione dell’app e il tipo di browser; il Suo indirizzo e-mail solo se lo indica per ricevere una risposta. Una notifica senza il Suo testo è inviata all’indirizzo di contatto qui sopra, con il Suo indirizzo e-mail se lo ha indicato (per risponderLe); la segnalazione stessa si legge sul server. Base giuridica: legittimo interesse a correggere gli errori (art. 6.1.f); non scriva dati sanitari in una segnalazione.

3.7 Sicurezza e statistiche

Sicurezza: l’indirizzo IP di ogni richiesta serve a limitare gli abusi (contatori conservati sotto forma di impronta calcolata con una chiave segreta del server, cancellati dopo 25 ore). Anche l’hosting tiene i propri registri tecnici. Base giuridica: legittimo interesse (art. 6.1.f).
Statistiche: solo conteggi calcolati dalle tabelle del server (numero di account, account attivi secondo la data dell’ultimo backup, scansioni per campagna, voti medi). Mai il contenuto dei Suoi dati, nessuno strumento esterno di misurazione dell’audience. Base giuridica: legittimo interesse (art. 6.1.f).

4. La cifratura end-to-end e i suoi limiti

Il backup, le istantanee e i messaggi condivisi, le allerte e i referti sono cifrati sul Suo dispositivo; solo le persone che hanno la chiave (Lei, i familiari e i medici che sceglie) possono leggerli. Una fuga del database non ne rivelerebbe quindi il contenuto. Per completezza:

Il server vede informazioni tecniche: date e ore degli invii, ora delle allerte, tipo di evento (allerta, « sto bene », farmaco preso, conferma di lettura…), dimensione dei dati, indirizzo IP.
L’app stessa è fornita dal server. Un server violato che fornisse un codice modificato potrebbe intercettare i dati nel momento in cui Lei li inserisce: la cifratura protegge da una fuga dei dati memorizzati, non da questo caso.
Il codice PIN protegge l’uso, non il contenuto del dispositivo (veda 3.1).

5. Per quanto tempo

Dati	Durata di conservazione
Dati sul Suo dispositivo	Finché non li cancella, non si disconnette o non cancella i dati del browser.
Account e backup cifrato	Finché l’account esiste. Account inattivo (né accessi né backup) da 24 mesi: Le arriva un avviso via e-mail, poi l’account viene cancellato 30 giorni dopo se non si riconnette.
Cronologia del backup	Al massimo 10 versioni, al massimo 30 giorni.
Copie di sicurezza della banca dati (protezione contro la perdita di dati)	Al massimo 14 giorni, poi cancellate automaticamente. Un dato cancellato scompare quindi anche da queste copie al più tardi 14 giorni dopo. I contenuti cifrati vi restano illeggibili.
Link « Password dimenticata »	1 ora, monouso.
Promemoria del trattamento	Programmati al massimo 40 giorni prima; cancellati 7 giorni dopo la loro ora.
Abbonamenti alle notifiche	Fino alla disconnessione, alla cancellazione dell’account o dell’accesso, o alla loro scadenza presso il servizio di notifica.
Accesso di un familiare o di un medico	Finché non lo revoca, fino alla fine della durata scelta, o dopo 1 anno senza connessione della Sua app. Link mai aperto o accesso non accettato: 7 giorni. Tracce di un accesso revocato: 90 giorni.
Messaggi e istantanea condivisi	Messaggi: 30 giorni. Istantanea: sostituita a ogni aggiornamento, cancellata con l’accesso.
Inviti	Da 15 minuti (codice) a 72 ore secondo il tipo (90 giorni per un invito riutilizzabile di uno studio medico); impronta di un invito già usato: 1 anno, per impedirne il riutilizzo.
Il mio ID EpiMaat	Finché non lo cancella, o 1 anno senza utilizzo; richieste non ritirate: 30 giorni.
Chiave di riserva di un medico o di un familiare (cassaforte cifrata)	Fino alla sua cancellazione, o 365 giorni senza utilizzo.
Sollecito di un’allerta	30 minuti.
Link di recupero di un referto	30 giorni o 10 aperture; revocabile in qualsiasi momento.
Segnalazioni (e la loro notifica via e-mail)	1 anno.
Pareri	Con account: fino alla cancellazione dell’account. Senza account: 2 anni dopo l’ultima modifica.
Contatori anti-abuso	25 ore.
Cookie di sessione	30 giorni se spunta « Resta connesso », altrimenti 12 ore (veda punto 7).
Registri tecnici dell’hosting	Secondo l’informativa sulla privacy di Hostinger (registri tecnici di accesso, senza legame con il contenuto del Suo account).

6. Chi riceve i Suoi dati

I familiari e i medici che Lei sceglie, per ciò che decide di condividere. Prima di ogni condivisione Lei sceglie cosa condividere; il numero di registro nazionale (NISS) è una delle opzioni (spuntata per impostazione predefinita) e può toglierla.
Hosting (responsabile del trattamento, art. 28 del GDPR): Hostinger International Ltd (Cipro); server nel centro dati previsto dal contratto di hosting; ogni trasferimento al di fuori dell’Unione europea è disciplinato dalle clausole contrattuali tipo della Commissione europea (accordo sul trattamento dei dati di Hostinger). Conserva i dati cifrati e l’account.
Servizi di notifica del browser o del telefono: Google (Firebase Cloud Messaging, Chrome e Android), Apple (Safari, iPhone, iPad), Mozilla (Firefox), Microsoft (Edge). Recapitano le notifiche; ricevono l’identificativo tecnico dell’abbonamento e un messaggio cifrato che non possono leggere. Queste società possono trattare tali dati al di fuori dell’Unione europea, in particolare negli Stati Uniti: questi trasferimenti si basano sul quadro UE-USA per la protezione dei dati (Data Privacy Framework) per le società certificate, o sulle clausole contrattuali tipo della Commissione europea.
Casella di contatto: le e-mail che invia a epimaat@outlook.be e le notifiche delle segnalazioni sono ospitate da Microsoft (Outlook.com), che può trattarle anche al di fuori dell’Unione europea con le stesse garanzie.
SMS di emergenza: il Suo operatore mobile e, se il link di posizione viene aperto, Google (veda 3.4).
Nessun dato viene venduto, usato per pubblicità o trasmesso a terzi per loro finalità proprie.

__Host-EPIMAAT_SID: cookie di sessione, solo se accede a un account. Mantiene aperto l’accesso (30 giorni con « Resta connesso », altrimenti 12 ore) ed è riservato al sito (HttpOnly, Secure, SameSite=Lax). Strettamente necessario: non richiede consenso.
Memoria locale (localStorage, IndexedDB, cache offline): i Suoi dati, le Sue impostazioni (tra cui la lingua) e i file dell’app per funzionare offline. Nulla di tutto ciò è un tracciatore né viene letto da terzi.

8. I Suoi diritti

Ha diritto di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione (per i trattamenti basati sul legittimo interesse), oltre al diritto di revocare il consenso in qualsiasi momento. Nell’app, senza chiedere nulla a nessuno:

accesso e portabilità: « I miei dati » → esportazione completa (JSON, CSV, PDF);
rettifica: modifichi o cancelli ogni inserimento;
cancellazione: « Eliminare il mio account cloud » (viene chiesta la Sua password) cancella immediatamente tutti i dati del server collegati all’account — backup, cronologia, promemoria, abbonamenti alle notifiche, pareri — dopo la revoca degli accessi di familiari e medici (le copie di sicurezza della banca dati, conservate al massimo 14 giorni, si cancellano poi da sole);
revoca del consenso: revochi un accesso, disattivi promemoria, allerte o posizione, cancelli un link di referto o il Suo ID EpiMaat.

Per qualsiasi altra richiesta: epimaat@outlook.be. Risposta entro un mese. Poiché l’editore non può leggere i Suoi dati cifrati, non può consultarli né correggerli al Suo posto: queste azioni si fanno nell’app.

Può proporre reclamo all’Autorità belga per la protezione dei dati (Autorité de protection des données): Rue de la Presse 35, 1000 Bruxelles · +32 2 274 48 00 · contact@apd-gba.be · www.autoriteprotectiondonnees.be.

9. Bambini e adolescenti

Per una persona di meno di 16 anni, l’app si usa con un genitore o un tutore legale, che dà il consenso (account, condivisione, allerte) ed esercita i diritti in suo nome. Dai 16 anni la persona può usarla da sola.

10. Uso medico

EpiMaat è un diario di monitoraggio tenuto dal paziente. Non sostituisce un parere medico, non fa diagnosi, non propone trattamenti e non è un dispositivo medico. Non viene presa alcuna decisione automatizzata che produca effetti nei Suoi confronti (art. 22 GDPR): l’app conta e presenta i Suoi dati senza interpretarli. Le allerte dipendono dal telefono, dalla rete e dalle notifiche: non garantiscono un intervento. In caso di emergenza, chiami il 112.

11. Modifiche

Ogni modifica importante di questa informativa viene annunciata nell’app. La data dell’ultimo aggiornamento figura in alto in questa pagina.