حریم خصوصی

خلاصه

سرویس یک نام کاربری، هش گذرواژه و آنچه در گفت‌وگوها می‌نویسید نگه می‌دارد. نشانی تأییدشده با هشی کلیددار جایگزین می‌شود، مگر بخواهید یادآوری بگیرید. درون گفت‌وگو هیچ نوشتهٔ شما زیر نامتان نمایش نمی‌یابد، و هفت روز پس از کامل شدن گفت‌وگو مهروموم می‌شود: هر نامی در آن با نامی تصادفی جایگزین می‌شود، تا دیگر کسی نتواند بگوید چه کسی چه نوشت. نه ردیابی هست، نه تحلیل رفتار و نه تبلیغات، و هیچ‌چیز فروخته نمی‌شود. گفت‌وگوهای ناتمام پس از شماری روز معین حذف می‌شوند؛ تمام‌شده‌ها می‌مانند. می‌توانید نسخه‌ای از داده‌هایتان، اصلاح یا حذف حسابتان را بخواهید. سرورها در اتحادیهٔ اروپا هستند.

ترجمه‌ای برای مراجعهٔ شما. متن انگلیسی زیر آن متن الزام‌آور است.

حریم خصوصی

آخرین به‌روزرسانی: 1 سپتامبر 2026. چه چیزی نگه داشته می‌شود، چرا، و تا کی — نوشته‌شده از روی کد، نه از روی یک الگوی آماده.

آنچه نگه می‌داریم

یک نام کاربری و درهمسازی گذرواژه. با نمک و درهم‌سازی‌شده؛ ما نمی‌توانیم گذرواژهٔ شما را بخوانیم.
یک نشانی، فقط اگر آن را بدهید، و فقط تا وقتی که آن را تأیید کنید. با تأیید، نشانی حذف می‌شود و درهمسازی کلیدداری جای آن را می‌گیرد — به اندازه‌ای که قاعدهٔ «یک صندوق پستی، یک حساب» را اعمال کند و بازنشانی گذرواژه را بفرستد؛ نه به اندازه‌ای که نشانی را بازیابی کند. یک استثنا، به انتخاب شما: اگر در پیشخوانتان بخواهید از گردانندگان گفت‌وگوهایی که در آن‌ها هستید یادآوری دریافت کنید، آن نشانی فقط برای همان یک منظور نگه داشته می‌شود — دست‌بالا یک ایمیل در هر مرحله، که سامانه به درخواست یک گرداننده می‌فرستد، و هرگز به گرداننده نشان داده نمی‌شود — و همان لحظه که بگویید، یا همراه حسابتان، برداشته می‌شود.
آنچه می‌نویسید: کارت‌ها، توضیح‌ها، نوبت‌های گفت‌وگوی کناری، رأی‌ها، پیوندها، نامزدی‌ها. درون یک گفت‌وگو این‌ها در هیچ جای رابط کاربری به شما نسبت داده نمی‌شوند. تا وقتی گفت‌وگو در جریان است، پایگاه داده ثبت می‌کند چه کسی چه نوشت، تا «هر نفر یک رأی» و نوبت‌گردشی اصلاً کار کنند. هفت روز پس از کامل شدن یک گفت‌وگو، آن مهروموم می‌شود: هر نامی درون آن با نامی تصادفی جایگزین می‌شود و فهرست جایگزینی‌ها در هیچ جا نوشته نمی‌شود. نام گرداننده فقط به‌عنوان گردانندهٔ اتاق می‌ماند؛ آنچه گرداننده نوشت یا به آن رأی داد مانند هر کس دیگری جایگزین می‌شود. از آن پس هیچ‌چیز روی این سرور نمی‌تواند بگوید چه کسی کدام کارت را نوشت، کدام رأی را داد، یا در گفت‌وگوی کناری چه گفت — نه گرداننده، نه گردانندهٔ خدمت، نه حکم دادگاه. سند خود شما دو چیز را نگه می‌دارد: اینکه در آن اتاق بودید، و جمله‌ای که دربارهٔ موضعتان پیش و پس نوشتید. فقط خودتان می‌توانید هر کدام را بخوانید. اتاق یک چیز دیگر هم نگه می‌دارد: یک کد کلیددار برای هر کسی که در آن نشست، هرگز برای کاری که کرد، تا دو گروه از اتاق‌ها که افرادی مشترک دارند مستقل شمرده نشوند. این کد از یک مقدار تصادفی در حساب شما ساخته می‌شود، نه از نامتان؛ همین که حسابتان حذف شود، به هیچ‌کس اشاره نمی‌کند.
اینکه در کدام گفت‌وگوها بودید. فهرستی در سند شما از شناسه‌های اتاق‌ها، هرگز از کارت‌ها. همین است که به شما امکان می‌دهد اتاقی را دوباره بیابید، اتاق خصوصی‌ای را که عضوش بودید پس از مهروموم شدن بخوانید، و از جایگاه دوم در گروهی از اتاق‌ها که پیش‌تر در آن نشسته‌اید بازداشته شوید.
گفت‌وگوهای خصوصی. اتاقی که خصوصی باز شود برای اعضایش خواندنی است و برای هیچ‌کس دیگر، در همهٔ مرحله‌ها و پس از قطعی شدن — نه برای متقاضی، نه برای کسی که پیوند را دارد. API، صفحه و جریان تغییرات همگی به یک شیوه خودداری می‌کنند.
یک کوکی نشست امضاشده، که پس از 14 روز منقضی می‌شود. بی کوکی شخص ثالث، بی تحلیل آماری، بی تبلیغات، بی ردیاب.
فهرست اعضای سازمان‌ها: درهمسازی‌های کلیددار نشانی‌هایی که یک مدیر داده است، به‌علاوهٔ یک نشانهٔ دونویسه‌ای تا بتواند یک ردیف را بازشناسد. خود نشانی‌ها ذخیره نمی‌شوند.

آنچه نگه نمی‌داریم

نه مکان، نه شمارهٔ تلفن، نه شناسه‌های تبلیغاتی، نه نمایه‌ای ساخته از رفتار شما، نه گزارش IP فراتر از آنچه سرور وب به‌طور گذرا نگه می‌دارد. ما به هیچ‌کس چیزی نمی‌فروشیم.

چه کس دیگری آن را می‌بیند

شرکت‌کنندگان دیگر آنچه را نوشتید می‌بینند، هرگز اینکه شما نوشتید.
گرداننده نام کاربری کسی را که درخواست پیوستن می‌کند می‌بیند، چون این تصمیمی است دربارهٔ اینکه آیا شخصی معین به آنجا تعلق دارد.
اتاق‌های دیگر کارتی را فقط وقتی می‌بینند که آن را رها کرده باشید.
پردازشگران: یک ارائه‌دهندهٔ ایمیل برای تأییدها و بازنشانی‌ها؛ یک ارائه‌دهندهٔ پرداخت اگر مشترک شوید؛ میزبان سرور. اگر دستیار اختیاری منطق فعال باشد، جمله‌های استدلالی که به آن می‌سپارید به Anthropic فرستاده می‌شوند — بی جزئیات حساب، و حکم در هر حال روی همین سرور محاسبه می‌شود.
گردانندهٔ خدمت می‌تواند پایگاه داده را بخواند. سندها هنوز در برابر دستکاری نشان‌دار نیستند، و ما این را در صفحهٔ ورود می‌گوییم، نه اینکه خلاف آن را القا کنیم.

تا کی

گفت‌وگویی که ظرف 60 روز از باز شدن به نقشه‌اش نرسد پاک می‌شود، با هر آنچه در آن است: کار ناتمام نگه داشته نمی‌شود. همین که نقشه چیده شد، سند می‌ماند.

حساب شما و آنچه نوشتید تا وقتی حذفشان کنید می‌مانند. نشانی‌های تأییدنشده همراه پیوندشان منقضی می‌شوند. حذف حساب، حساب و درهمسازی تماس آن را برمی‌دارد. آنچه در یک گفت‌وگو سهم داشتید می‌ماند، بی‌انتساب، چون رأی‌ها و نقشه‌های دیگران بر آن ساخته شده‌اند — برداشتنش سند آن‌ها را بازنویسی می‌کرد. این همان قاعده‌ای است که نمی‌گذارد کسی تاریخ را به سود خودش ویرایش کند. مهروموم کردن (بالا) بی‌انتسابی را دائمی می‌کند: پس از آن، حذف حسابتان آخرین پیوند میان شما و یک اتاق را برمی‌دارد، یعنی یادداشتی که شما در آن بودید.

آنچه از آن می‌آموزیم

هنگام مهروموم شدن، و فقط در آن هنگام، یک گفت‌وگو یک چیز را دربارهٔ خودش محاسبه می‌کند: کدام کارت‌ها در مجموعه‌برچسب‌های کسانی بودند که دیدگاهشان تغییر کرد، در برابر کسانی که دیدگاهشان ثابت ماند. این به‌صورت شمار برای هر کارت نگه داشته می‌شود، هرگز برای هر شخص، و پیش از جایگزینی نام‌ها محاسبه می‌شود چون پس از آن محاسبه‌شدنی نیست. روی نقشهٔ قطعی‌شده همراه اندازه‌اش نشان داده می‌شود، به‌عنوان یک توصیف، نه یک یافته.

حقوق شما

نسخه‌ای از آنچه دربارهٔ شما نگه داشته می‌شود بخواهید، اصلاحش را بخواهید، حذف حسابتان را بخواهید، یا به نحوهٔ استفاده از آن اعتراض کنید: hello@mg.truecauses.org. اگر نتوانیم درخواستی را برآوریم، دلیلش را می‌گوییم. می‌توانید به مرجع حفاظت از داده‌ها در کشورتان شکایت کنید.

کجا

سرورها در اتحادیهٔ اروپا. ارائه‌دهندگان ایمیل و پرداخت ممکن است داده‌ها را بیرون از آن، تحت تدابیر حفاظتی استاندارد خودشان، پردازش کنند.

متن الزام‌آور انگلیسی

Privacy

Last updated 1 September 2026. What is held, why, and for how long — written from the code rather than from a template.

What we hold

A handle and a password hash. Salted and hashed; we cannot read your password.
An address only if you give one, and only until you confirm it. On confirmation the address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account, and to send a password reset; not enough to recover the address. One exception, at your choice: if you ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request, never shown to the steward — and removed the moment you say so, or with your account.
What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside a dialogue these are not attributed to you anywhere in the interface. While the dialogue is running, the database records who wrote what, so that one-vote-each and round robin can work at all. Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random one and the list of replacements is not written anywhere. The steward's name stays only as the room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing on this server can say who wrote which card, cast which vote, or said what in a side chat — not the steward, not the operator, not a court order. Your own record keeps two things: that you were in that room, and the sentence you wrote about where you stood before and after. Only you can read either. The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did, so that two groups of rooms sharing people are not counted as independent. It is made from a random value on your account, not from your name; once your account is deleted, it points at no one.
Which dialogues you were in. A list on your record of room ids, never of cards. It is what lets you find a room again, read a private one you were part of after it is sealed, and be refused a second seat in a group of rooms you already sat in.
Private dialogues. A room opened as private is readable by its members and by nobody else, at every stage and after it is settled — not by an applicant, not by someone holding the link. The API, the page and the change feed all refuse the same way.
A signed session cookie, expiring after 14 days. No third-party cookies, no analytics, no advertising, no trackers.
Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a two-character hint so they can recognise a row. The addresses themselves are not stored.

What we do not hold

No location, no phone number, no advertising identifiers, no profile built from your behaviour, no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.

Who else sees it

Other participants see what you wrote, never that you wrote it.
A steward sees the handle of someone asking to join, because that is a decision about whether a particular person belongs.
Other rooms see a card only if you released it.
Processors: a mail provider for confirmations and resets; a payment provider if you subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument you submit to it are sent to Anthropic — no account details, and the verdict is computed on this server either way.
The operator can read the database. Records are not yet tamper-evident, and we say so on the sign-in page rather than implying otherwise.

How long

A dialogue that does not reach its map within 60 days of opening is purged, with everything in it: unfinished work is not kept. Once the map is laid out, the record stays.

Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with their link. Deleting your account removes the account and its contact hash. What you contributed to a dialogue stays, unattributed, because other people's votes and maps were built on it — removing it would rewrite their record. That is the same rule that stops anyone editing history in their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account removes the last link between you and a room, the note that you were in it.

What we learn from it

At sealing, and only then, a dialogue computes one thing about itself: which cards were on the sticker sets of the people whose view moved, against those whose view held. It is kept as counts per card, never per person, and it is computed before the names are replaced because it cannot be computed after. It is shown on the settled map with its size next to it, as a description, not a finding.

Your rights

Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may complain to your data protection authority.

Where

Servers in the European Union. Mail and payment providers may process data outside it under their standard safeguards.

شرایط استفاده · درباره · روش کار