Privacidad

En resumen

El servicio guarda un nombre de usuario, un hash de la contraseña y lo que escribes en los diálogos. Una dirección confirmada se sustituye por un hash con clave, salvo que pidas recibir recordatorios. Dentro de un diálogo nada de lo que escribes se muestra con tu nombre, y siete días después de que un diálogo termina se sella: cada nombre que aparece en él se sustituye por uno aleatorio, de modo que ya nadie puede saber quién escribió qué. No hay rastreadores, ni analítica, ni publicidad, y no se vende nada. Los diálogos sin terminar se borran tras un número fijo de días; los terminados se conservan. Puedes pedir una copia de tus datos, una corrección o la eliminación de tu cuenta. Los servidores están en la Unión Europea.

Una traducción para tu referencia. El texto en inglés que aparece debajo es el vinculante.

Privacidad

Última actualización: 1 de septiembre de 2026. Qué se guarda, por qué y durante cuánto tiempo — redactado a partir del código y no de una plantilla.

Qué guardamos

Un nombre de usuario y un hash de la contraseña. Con sal y hash; no podemos leer tu contraseña.
Una dirección solo si nos la das, y solo hasta que la confirmes. Al confirmarla, la dirección se elimina y se sustituye por un hash con clave — suficiente para garantizar un buzón, una cuenta, y para enviar un restablecimiento de contraseña; no suficiente para recuperar la dirección. Una excepción, a tu elección: si pides en tu panel recibir recordatorios de los coordinadores de los diálogos en los que estás, esa dirección se conserva para ese único fin — como máximo un correo por etapa, enviado por la plataforma a petición de un coordinador, nunca mostrado al coordinador — y se elimina en el momento en que lo indiques, o junto con tu cuenta.
Lo que escribes: tarjetas, aclaraciones, turnos del chat lateral, votos, vínculos, nominaciones. Dentro de un diálogo no se te atribuyen en ningún lugar de la interfaz. Mientras el diálogo está en curso, la base de datos registra quién escribió qué, para que el voto único y la ronda por turnos puedan funcionar. Siete días después de que un diálogo se complete, queda sellado: cada nombre que contiene se sustituye por uno aleatorio y la lista de sustituciones no se escribe en ninguna parte. El nombre del coordinador se mantiene solo como coordinador de la sala; lo que el coordinador escribió o votó se sustituye como lo de todos los demás. A partir de entonces nada en este servidor puede decir quién escribió qué tarjeta, emitió qué voto o dijo qué en un chat lateral — ni el coordinador, ni el operador, ni una orden judicial. Tu propio registro conserva dos cosas: que estuviste en esa sala, y la frase que escribiste sobre dónde estabas antes y después. Solo tú puedes leer cualquiera de las dos. La sala conserva una cosa más: un código con clave por cada persona que participó en ella, nunca por nada de lo que hizo, para que dos grupos de salas que comparten personas no se cuenten como independientes. Se genera a partir de un valor aleatorio de tu cuenta, no de tu nombre; una vez eliminada tu cuenta, no apunta a nadie.
En qué diálogos estuviste. Una lista en tu registro de identificadores de salas, nunca de tarjetas. Es lo que te permite volver a encontrar una sala, leer una privada de la que formaste parte después de que se selle, y que se te niegue una segunda plaza en un grupo de salas en el que ya participaste.
Diálogos privados. Una sala abierta como privada solo la pueden leer sus miembros y nadie más, en todas las etapas y después de resuelta — ni un solicitante, ni quien tenga el enlace. La API, la página y el flujo de cambios lo deniegan todos de la misma manera.
Una cookie de sesión firmada, que caduca a los 14 días. Sin cookies de terceros, sin analítica, sin publicidad, sin rastreadores.
Listas de miembros de organizaciones: hashes con clave de las direcciones que proporcionó un administrador, más una pista de dos caracteres para que pueda reconocer cada fila. Las direcciones en sí no se guardan.

Qué no guardamos

Ni ubicación, ni número de teléfono, ni identificadores publicitarios, ni un perfil construido a partir de tu comportamiento, ni registros de IP más allá de lo que el servidor web conserva de forma transitoria. No vendemos nada a nadie.

Quién más lo ve

Los demás participantes ven lo que escribiste, nunca que lo escribiste tú.
Un coordinador ve el nombre de usuario de quien pide unirse, porque se trata de decidir si una persona concreta pertenece al grupo.
Otras salas solo ven una tarjeta si la liberaste.
Encargados del tratamiento: un proveedor de correo para las confirmaciones y los restablecimientos; un proveedor de pagos si te suscribes; el proveedor de alojamiento del servidor. Si el asistente de lógica opcional está activado, las frases de un argumento que le envíes se mandan a Anthropic — sin datos de la cuenta, y el veredicto se calcula en este servidor en cualquier caso.
El operador puede leer la base de datos. Los registros aún no son a prueba de manipulaciones, y lo decimos en la página de inicio de sesión en lugar de dar a entender lo contrario.

Durante cuánto tiempo

Un diálogo que no llega a su mapa en un plazo de 60 días desde su apertura se purga, con todo lo que contiene: el trabajo sin terminar no se conserva. Una vez trazado el mapa, el registro se mantiene.

Tu cuenta y lo que escribiste se mantienen hasta que los elimines. Las direcciones sin confirmar caducan con su enlace. Eliminar tu cuenta borra la cuenta y su hash de contacto. Lo que aportaste a un diálogo se mantiene, sin atribución, porque los votos y los mapas de otras personas se construyeron sobre ello — quitarlo reescribiría su registro. Es la misma regla que impide a cualquiera editar la historia en su propio favor. El sellado (véase arriba) hace permanente la falta de atribución: después de él, eliminar tu cuenta borra el último vínculo entre tú y una sala, la nota de que estuviste en ella.

Qué aprendemos de ello

En el sellado, y solo entonces, un diálogo calcula una cosa sobre sí mismo: qué tarjetas estaban en los conjuntos de adhesivos de las personas cuya opinión cambió, frente a las de aquellas cuya opinión se mantuvo. Se guarda como recuentos por tarjeta, nunca por persona, y se calcula antes de que se sustituyan los nombres porque después no se puede calcular. Se muestra en el mapa resuelto con su tamaño al lado, como una descripción, no como un hallazgo.

Tus derechos

Puedes pedir una copia de lo que se guarda sobre ti, pedir que se rectifique, pedir que se elimine tu cuenta u oponerte a cómo se usa: hello@mg.truecauses.org. Si no podemos atender una solicitud, decimos por qué. Puedes presentar una reclamación ante tu autoridad de protección de datos.

Dónde

Servidores en la Unión Europea. Los proveedores de correo y de pagos pueden tratar datos fuera de ella con sus garantías estándar.

El texto vinculante en inglés

Privacy

Last updated 1 September 2026. What is held, why, and for how long — written from the code rather than from a template.

What we hold

A handle and a password hash. Salted and hashed; we cannot read your password.
An address only if you give one, and only until you confirm it. On confirmation the address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account, and to send a password reset; not enough to recover the address. One exception, at your choice: if you ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request, never shown to the steward — and removed the moment you say so, or with your account.
What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside a dialogue these are not attributed to you anywhere in the interface. While the dialogue is running, the database records who wrote what, so that one-vote-each and round robin can work at all. Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random one and the list of replacements is not written anywhere. The steward's name stays only as the room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing on this server can say who wrote which card, cast which vote, or said what in a side chat — not the steward, not the operator, not a court order. Your own record keeps two things: that you were in that room, and the sentence you wrote about where you stood before and after. Only you can read either. The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did, so that two groups of rooms sharing people are not counted as independent. It is made from a random value on your account, not from your name; once your account is deleted, it points at no one.
Which dialogues you were in. A list on your record of room ids, never of cards. It is what lets you find a room again, read a private one you were part of after it is sealed, and be refused a second seat in a group of rooms you already sat in.
Private dialogues. A room opened as private is readable by its members and by nobody else, at every stage and after it is settled — not by an applicant, not by someone holding the link. The API, the page and the change feed all refuse the same way.
A signed session cookie, expiring after 14 days. No third-party cookies, no analytics, no advertising, no trackers.
Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a two-character hint so they can recognise a row. The addresses themselves are not stored.

What we do not hold

No location, no phone number, no advertising identifiers, no profile built from your behaviour, no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.

Who else sees it

Other participants see what you wrote, never that you wrote it.
A steward sees the handle of someone asking to join, because that is a decision about whether a particular person belongs.
Other rooms see a card only if you released it.
Processors: a mail provider for confirmations and resets; a payment provider if you subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument you submit to it are sent to Anthropic — no account details, and the verdict is computed on this server either way.
The operator can read the database. Records are not yet tamper-evident, and we say so on the sign-in page rather than implying otherwise.

How long

A dialogue that does not reach its map within 60 days of opening is purged, with everything in it: unfinished work is not kept. Once the map is laid out, the record stays.

Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with their link. Deleting your account removes the account and its contact hash. What you contributed to a dialogue stays, unattributed, because other people's votes and maps were built on it — removing it would rewrite their record. That is the same rule that stops anyone editing history in their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account removes the last link between you and a room, the note that you were in it.

What we learn from it

At sealing, and only then, a dialogue computes one thing about itself: which cards were on the sticker sets of the people whose view moved, against those whose view held. It is kept as counts per card, never per person, and it is computed before the names are replaced because it cannot be computed after. It is shown on the settled map with its size next to it, as a description, not a finding.

Your rights

Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may complain to your data protection authority.

Where

Servers in the European Union. Mail and payment providers may process data outside it under their standard safeguards.

Condiciones · Acerca de · Cómo funciona