Privatliv

Kort sagt

Tjenesten opbevarer et brugernavn, en hash af adgangskoden og det, du skriver i dialoger. En bekræftet adresse erstattes af en nøglebaseret hash, medmindre du beder om at få påmindelser. Inde i en dialog vises intet af det, du skriver, under dit navn, og syv dage efter at en dialog er afsluttet, bliver den forseglet: hvert navn i den erstattes af et tilfældigt, så ingen længere kan sige, hvem der skrev hvad. Der er ingen trackere, ingen analyseværktøjer og ingen reklamer, og intet sælges. Uafsluttede dialoger slettes efter et fast antal dage; afsluttede bliver liggende. Du kan bede om en kopi af dine data, en rettelse eller sletning af din konto. Serverne står i Den Europæiske Union.

En oversættelse til orientering. Den engelske tekst nedenfor er den bindende.

Privatliv

Senest opdateret 1. september 2026. Hvad der opbevares, hvorfor og hvor længe — skrevet ud fra koden og ikke ud fra en skabelon.

Hvad vi opbevarer

Et brugernavn og en hash af adgangskoden. Saltet og hashet; vi kan ikke læse din adgangskode.
En adresse, kun hvis du giver en, og kun indtil du bekræfter den. Ved bekræftelsen slettes adressen og erstattes af en nøglebaseret hash — nok til at håndhæve én postkasse, én konto, og til at sende en nulstilling af adgangskoden; ikke nok til at genskabe adressen. Én undtagelse, efter dit valg: hvis du på din oversigt beder om at få påmindelser fra tovholderne for de dialoger, du er med i, bevares adressen til netop det formål — højst én mail pr. fase, sendt af platformen på en tovholders anmodning, aldrig vist for tovholderen — og fjernes, så snart du beder om det, eller sammen med din konto.
Det, du skriver: sedler, præciseringer, ture i sidechatten, stemmer, koblinger, nomineringer. Inde i en dialog tilskrives de ikke dig noget sted i brugerfladen. Mens dialogen kører, registrerer databasen, hvem der skrev hvad, så én stemme hver og tur på tur overhovedet kan fungere. Syv dage efter at en dialog er afsluttet, forsegles den: hvert navn i den erstattes af et tilfældigt navn, og listen over erstatninger skrives ingen steder. Tovholderens navn bevares kun som rummets tovholder; det, tovholderen skrev eller stemte, erstattes ligesom alle andres. Derefter kan intet på denne server sige, hvem der skrev hvilken seddel, afgav hvilken stemme eller sagde hvad i en sidechat — hverken tovholderen, operatøren eller en retskendelse. Din egen fortegnelse bevarer to ting: at du var i det rum, og den sætning, du skrev om, hvor du stod før og efter. Kun du kan læse dem. Rummet bevarer én ting mere: en nøglebaseret kode for hver person, der sad i det, aldrig for noget, de gjorde, så to grupper af rum, der deler personer, ikke tælles som uafhængige. Den laves ud fra en tilfældig værdi på din konto, ikke ud fra dit navn; når din konto er slettet, peger den ikke på nogen.
Hvilke dialoger du var med i. En liste i din fortegnelse over rum-id’er, aldrig over sedler. Det er den, der gør, at du kan finde et rum igen, læse et privat rum, du var med i, efter at det er forseglet, og blive nægtet en anden plads i en gruppe af rum, du allerede har siddet i.
Private dialoger. Et rum, der er åbnet som privat, kan læses af sine medlemmer og af ingen andre, i alle faser og efter at det er afgjort — hverken af en ansøger eller af en, der har linket. API’et, siden og ændringsfeedet afviser alle på samme måde.
En signeret sessionscookie, der udløber efter 14 dage. Ingen tredjepartscookies, ingen statistikværktøjer, ingen annoncering, ingen sporing.
Organisationers medlemslister: nøglebaserede hashes af de adresser, en administrator har angivet, samt et hint på to tegn, så vedkommende kan genkende en række. Selve adresserne gemmes ikke.

Hvad vi ikke opbevarer

Ingen placering, intet telefonnummer, ingen annonce-id’er, ingen profil bygget ud fra din adfærd, ingen IP-logs ud over dem, webserveren midlertidigt gemmer. Vi sælger intet til nogen.

Hvem der ellers ser det

Andre deltagere ser det, du skrev, aldrig at det var dig, der skrev det.
En tovholder ser brugernavnet på en, der beder om at komme med, fordi det er en beslutning om, hvorvidt en bestemt person hører til.
Andre rum ser kun en seddel, hvis du har frigivet den.
Databehandlere: en mailudbyder til bekræftelser og nulstillinger; en betalingsudbyder, hvis du tegner abonnement; serverens vært. Hvis den valgfri logikassistent er slået til, sendes sætningerne i et argument, du indsender til den, til Anthropic — ingen kontooplysninger, og afgørelsen beregnes under alle omstændigheder på denne server.
Operatøren kan læse databasen. Fortegnelserne er endnu ikke sikret mod manipulation, og det siger vi på login-siden i stedet for at antyde andet.

Hvor længe

En dialog, der ikke når sit kort inden for 60 dage efter åbningen, slettes med alt i den: ufærdigt arbejde gemmes ikke. Når kortet er lagt ud, bliver historikken.

Din konto og det, du skrev, bliver, indtil du sletter dem. Ubekræftede adresser udløber sammen med deres link. Sletning af din konto fjerner kontoen og dens kontakthash. Det, du har bidraget med til en dialog, bliver, uden tilskrivning, fordi andres stemmer og kort er bygget på det — at fjerne det ville omskrive deres historik. Det er den samme regel, der forhindrer nogen i at redigere historien til egen fordel. Forseglingen (ovenfor) gør fraværet af tilskrivning permanent: derefter fjerner sletning af din konto den sidste forbindelse mellem dig og et rum, noten om, at du var med i det.

Hvad vi lærer af det

Ved forseglingen, og kun da, beregner en dialog én ting om sig selv: hvilke sedler der var blandt klistermærkerne hos de personer, hvis holdning flyttede sig, sammenlignet med dem, hvis holdning stod fast. Det gemmes som antal pr. seddel, aldrig pr. person, og det beregnes, før navnene erstattes, fordi det ikke kan beregnes bagefter. Det vises på det afgjorte kort med sin størrelse ved siden af, som en beskrivelse, ikke som et fund.

Dine rettigheder

Bed om en kopi af det, der opbevares om dig, bed om at få det rettet, bed om at få din konto slettet, eller gør indsigelse mod, hvordan det bruges: hello@mg.truecauses.org. Hvis vi ikke kan imødekomme en anmodning, siger vi hvorfor. Du kan klage til din databeskyttelsesmyndighed.

Hvor

Servere i Den Europæiske Union. Mail- og betalingsudbydere kan behandle data uden for den under deres standardgarantier.

Den bindende engelske tekst

Privacy

Last updated 1 September 2026. What is held, why, and for how long — written from the code rather than from a template.

What we hold

A handle and a password hash. Salted and hashed; we cannot read your password.
An address only if you give one, and only until you confirm it. On confirmation the address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account, and to send a password reset; not enough to recover the address. One exception, at your choice: if you ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request, never shown to the steward — and removed the moment you say so, or with your account.
What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside a dialogue these are not attributed to you anywhere in the interface. While the dialogue is running, the database records who wrote what, so that one-vote-each and round robin can work at all. Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random one and the list of replacements is not written anywhere. The steward's name stays only as the room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing on this server can say who wrote which card, cast which vote, or said what in a side chat — not the steward, not the operator, not a court order. Your own record keeps two things: that you were in that room, and the sentence you wrote about where you stood before and after. Only you can read either. The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did, so that two groups of rooms sharing people are not counted as independent. It is made from a random value on your account, not from your name; once your account is deleted, it points at no one.
Which dialogues you were in. A list on your record of room ids, never of cards. It is what lets you find a room again, read a private one you were part of after it is sealed, and be refused a second seat in a group of rooms you already sat in.
Private dialogues. A room opened as private is readable by its members and by nobody else, at every stage and after it is settled — not by an applicant, not by someone holding the link. The API, the page and the change feed all refuse the same way.
A signed session cookie, expiring after 14 days. No third-party cookies, no analytics, no advertising, no trackers.
Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a two-character hint so they can recognise a row. The addresses themselves are not stored.

What we do not hold

No location, no phone number, no advertising identifiers, no profile built from your behaviour, no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.

Who else sees it

Other participants see what you wrote, never that you wrote it.
A steward sees the handle of someone asking to join, because that is a decision about whether a particular person belongs.
Other rooms see a card only if you released it.
Processors: a mail provider for confirmations and resets; a payment provider if you subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument you submit to it are sent to Anthropic — no account details, and the verdict is computed on this server either way.
The operator can read the database. Records are not yet tamper-evident, and we say so on the sign-in page rather than implying otherwise.

How long

A dialogue that does not reach its map within 60 days of opening is purged, with everything in it: unfinished work is not kept. Once the map is laid out, the record stays.

Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with their link. Deleting your account removes the account and its contact hash. What you contributed to a dialogue stays, unattributed, because other people's votes and maps were built on it — removing it would rewrite their record. That is the same rule that stops anyone editing history in their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account removes the last link between you and a room, the note that you were in it.

What we learn from it

At sealing, and only then, a dialogue computes one thing about itself: which cards were on the sticker sets of the people whose view moved, against those whose view held. It is kept as counts per card, never per person, and it is computed before the names are replaced because it cannot be computed after. It is shown on the settled map with its size next to it, as a description, not a finding.

Your rights

Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may complain to your data protection authority.

Where

Servers in the European Union. Mail and payment providers may process data outside it under their standard safeguards.

Vilkår · Om · Sådan virker det