Confidentialité

En bref

Le service conserve un pseudo, une empreinte du mot de passe et ce que vous écrivez dans les dialogues. Une adresse confirmée est remplacée par une empreinte à clé, sauf si vous demandez à recevoir des rappels. Dans un dialogue, rien de ce que vous écrivez n’apparaît sous votre nom, et sept jours après la fin d’un dialogue, celui-ci est scellé : chaque nom y est remplacé par un nom aléatoire, si bien que plus personne ne peut dire qui a écrit quoi. Il n’y a ni traceurs, ni outils de mesure d’audience, ni publicité, et rien n’est vendu. Les dialogues inachevés sont supprimés après un nombre de jours fixé ; les dialogues terminés restent. Vous pouvez demander une copie de vos données, une rectification ou la suppression de votre compte. Les serveurs sont situés dans l’Union européenne.

Une traduction pour information. C’est le texte anglais ci-dessous qui fait foi.

Confidentialité

Dernière mise à jour : 1er septembre 2026. Ce qui est conservé, pourquoi, et pendant combien de temps — rédigé à partir du code plutôt que d’un modèle.

Ce que nous conservons

Un pseudo et une empreinte du mot de passe. Salée et hachée ; nous ne pouvons pas lire votre mot de passe.
Une adresse, seulement si vous en donnez une, et seulement jusqu’à ce que vous la confirmiez. À la confirmation, l’adresse est supprimée et remplacée par une empreinte à clé — de quoi garantir une boîte aux lettres, un compte, et envoyer une réinitialisation de mot de passe ; pas de quoi retrouver l’adresse. Une exception, à votre choix : si vous demandez sur votre tableau de bord à recevoir les rappels des responsables des dialogues auxquels vous participez, cette adresse est conservée à cette seule fin — au plus un mail par phase, envoyé par la plateforme à la demande d’un responsable, jamais montré au responsable — et supprimée dès que vous le demandez, ou avec votre compte.
Ce que vous écrivez : fiches, clarifications, interventions dans les discussions annexes, votes, liens, propositions. Dans un dialogue, ces éléments ne vous sont attribués nulle part dans l’interface. Pendant que le dialogue se déroule, la base de données enregistre qui a écrit quoi, pour que la règle d’un vote par personne et le tour de rôle puissent tout simplement fonctionner. Sept jours après la fin d’un dialogue, celui-ci est scellé : chaque nom qu’il contient est remplacé par un nom aléatoire, et la liste des remplacements n’est écrite nulle part. Le nom du responsable ne reste qu’en tant que responsable de la salle ; ce que le responsable a écrit ou voté est remplacé comme pour tout le monde. Dès lors, rien sur ce serveur ne peut dire qui a écrit quelle fiche, émis quel vote ou dit quoi dans une discussion annexe — ni le responsable, ni l’exploitant, ni une décision de justice. Votre propre fiche personnelle garde deux choses : que vous étiez dans cette salle, et la phrase que vous avez écrite sur votre position avant et après. Vous seul pouvez lire l’une et l’autre. La salle garde une chose de plus : un code à clé pour chaque personne qui y a siégé, jamais pour quoi que ce soit qu’elle a fait, afin que deux groupes de salles qui partagent des personnes ne soient pas comptés comme indépendants. Il est tiré d’une valeur aléatoire de votre compte, pas de votre nom ; une fois votre compte supprimé, il ne désigne plus personne.
Les dialogues auxquels vous avez participé. Une liste d’identifiants de salles dans votre fiche personnelle, jamais de fiches. C’est ce qui vous permet de retrouver une salle, de lire après son scellement une salle privée dont vous faisiez partie, et de vous voir refuser une seconde place dans un groupe de salles où vous avez déjà siégé.
Les dialogues privés. Une salle ouverte comme privée est lisible par ses membres et par personne d’autre, à chaque phase et après avoir été tranchée — ni par une personne qui demande à entrer, ni par quelqu’un qui détient le lien. L’API, la page et le flux de modifications refusent tous de la même façon.
Un cookie de session signé, qui expire au bout de 14 jours. Aucun cookie tiers, aucune mesure d’audience, aucune publicité, aucun traceur.
Les listes de membres des organisations : les empreintes à clé des adresses fournies par un administrateur, plus un indice de deux caractères pour qu’il puisse reconnaître une ligne. Les adresses elles-mêmes ne sont pas stockées.

Ce que nous ne conservons pas

Aucune localisation, aucun numéro de téléphone, aucun identifiant publicitaire, aucun profil construit à partir de votre comportement, aucun journal d’adresses IP au-delà de ce que le serveur web garde de façon transitoire. Nous ne vendons rien à personne.

Qui d’autre y a accès

Les autres participants voient ce que vous avez écrit, jamais que c’est vous qui l’avez écrit.
Un responsable voit le pseudo d’une personne qui demande à entrer, parce qu’il s’agit de décider si une personne déterminée a sa place.
Les autres salles ne voient une fiche que si vous l’avez diffusée.
Les sous-traitants : un prestataire de messagerie pour les confirmations et les réinitialisations ; un prestataire de paiement si vous vous abonnez ; l’hébergeur du serveur. Si l’assistant de logique facultatif est activé, les phrases d’un argument que vous lui soumettez sont envoyées à Anthropic — sans données de compte, et le verdict est calculé sur ce serveur dans tous les cas.
L’exploitant peut lire la base de données. Les enregistrements ne sont pas encore protégés contre la falsification, et nous le disons sur la page de connexion plutôt que de laisser entendre le contraire.

Combien de temps

Un dialogue qui n’atteint pas sa carte dans les 60 jours suivant son ouverture est purgé, avec tout ce qu’il contient : le travail inachevé n’est pas conservé. Une fois la carte établie, l’archive reste.

Votre compte et ce que vous avez écrit restent jusqu’à ce que vous les supprimiez. Les adresses non confirmées expirent avec leur lien. La suppression de votre compte efface le compte et son empreinte de contact. Ce que vous avez apporté à un dialogue reste, sans attribution, parce que les votes et les cartes d’autres personnes se sont construits dessus — le retirer réécrirait leur archive. C’est la même règle qui empêche quiconque de réécrire l’histoire à son avantage. Le scellement (ci-dessus) rend l’absence d’attribution définitive : après lui, supprimer votre compte efface le dernier lien entre vous et une salle, la mention que vous y étiez.

Ce que nous en apprenons

Au scellement, et seulement à ce moment-là, un dialogue calcule une chose sur lui-même : quelles fiches figuraient parmi les gommettes des personnes dont l’avis a bougé, par rapport à celles dont l’avis n’a pas bougé. Le résultat est conservé sous forme de nombres par fiche, jamais par personne, et il est calculé avant le remplacement des noms parce qu’il ne pourrait plus l’être ensuite. Il est affiché sur la carte tranchée, avec sa taille à côté, comme une description, pas comme un résultat établi.

Vos droits

Demandez une copie de ce qui est conservé à votre sujet, sa rectification, la suppression de votre compte, ou opposez-vous à son utilisation : hello@mg.truecauses.org. Si nous ne pouvons pas donner suite à une demande, nous disons pourquoi. Vous pouvez introduire une réclamation auprès de votre autorité de protection des données.

Où

Serveurs dans l’Union européenne. Les prestataires de messagerie et de paiement peuvent traiter des données en dehors de celle-ci dans le cadre de leurs garanties habituelles.

Le texte anglais qui fait foi

Privacy

Last updated 1 September 2026. What is held, why, and for how long — written from the code rather than from a template.

What we hold

A handle and a password hash. Salted and hashed; we cannot read your password.
An address only if you give one, and only until you confirm it. On confirmation the address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account, and to send a password reset; not enough to recover the address. One exception, at your choice: if you ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request, never shown to the steward — and removed the moment you say so, or with your account.
What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside a dialogue these are not attributed to you anywhere in the interface. While the dialogue is running, the database records who wrote what, so that one-vote-each and round robin can work at all. Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random one and the list of replacements is not written anywhere. The steward's name stays only as the room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing on this server can say who wrote which card, cast which vote, or said what in a side chat — not the steward, not the operator, not a court order. Your own record keeps two things: that you were in that room, and the sentence you wrote about where you stood before and after. Only you can read either. The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did, so that two groups of rooms sharing people are not counted as independent. It is made from a random value on your account, not from your name; once your account is deleted, it points at no one.
Which dialogues you were in. A list on your record of room ids, never of cards. It is what lets you find a room again, read a private one you were part of after it is sealed, and be refused a second seat in a group of rooms you already sat in.
Private dialogues. A room opened as private is readable by its members and by nobody else, at every stage and after it is settled — not by an applicant, not by someone holding the link. The API, the page and the change feed all refuse the same way.
A signed session cookie, expiring after 14 days. No third-party cookies, no analytics, no advertising, no trackers.
Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a two-character hint so they can recognise a row. The addresses themselves are not stored.

What we do not hold

No location, no phone number, no advertising identifiers, no profile built from your behaviour, no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.

Who else sees it

Other participants see what you wrote, never that you wrote it.
A steward sees the handle of someone asking to join, because that is a decision about whether a particular person belongs.
Other rooms see a card only if you released it.
Processors: a mail provider for confirmations and resets; a payment provider if you subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument you submit to it are sent to Anthropic — no account details, and the verdict is computed on this server either way.
The operator can read the database. Records are not yet tamper-evident, and we say so on the sign-in page rather than implying otherwise.

How long

A dialogue that does not reach its map within 60 days of opening is purged, with everything in it: unfinished work is not kept. Once the map is laid out, the record stays.

Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with their link. Deleting your account removes the account and its contact hash. What you contributed to a dialogue stays, unattributed, because other people's votes and maps were built on it — removing it would rewrite their record. That is the same rule that stops anyone editing history in their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account removes the last link between you and a room, the note that you were in it.

What we learn from it

At sealing, and only then, a dialogue computes one thing about itself: which cards were on the sticker sets of the people whose view moved, against those whose view held. It is kept as counts per card, never per person, and it is computed before the names are replaced because it cannot be computed after. It is shown on the settled map with its size next to it, as a description, not a finding.

Your rights

Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may complain to your data protection authority.

Where

Servers in the European Union. Mail and payment providers may process data outside it under their standard safeguards.

Conditions · À propos · Fonctionnement