Privasi

Singkatnya

Layanan ini menyimpan nama pengguna, hash kata sandi, dan apa yang Anda tulis dalam dialog. Alamat email yang telah dikonfirmasi diganti dengan hash berkunci, kecuali Anda meminta untuk menerima pengingat. Di dalam dialog, tidak ada yang Anda tulis ditampilkan dengan nama Anda, dan tujuh hari setelah sebuah dialog selesai, dialog itu disegel: setiap nama di dalamnya diganti dengan nama acak, sehingga tidak ada lagi yang bisa mengatakan siapa menulis apa. Tidak ada pelacak, tidak ada analitik, dan tidak ada iklan, dan tidak ada yang dijual. Dialog yang belum selesai dihapus setelah sejumlah hari yang tetap; dialog yang sudah selesai tetap disimpan. Anda dapat meminta salinan data Anda, perbaikan data, atau penghapusan akun Anda. Server berada di Uni Eropa.

Terjemahan sebagai rujukan Anda. Teks bahasa Inggris di bawahnya yang mengikat.

Privasi

Terakhir diperbarui 1 September 2026. Apa yang disimpan, mengapa, dan berapa lama — ditulis berdasarkan kode, bukan berdasarkan templat.

Apa yang kami simpan

Nama pengguna dan hash kata sandi. Diberi salt dan di-hash; kami tidak dapat membaca kata sandi Anda.
Alamat hanya jika Anda memberikannya, dan hanya sampai Anda mengonfirmasinya. Saat dikonfirmasi, alamat itu dihapus dan diganti dengan hash berkunci — cukup untuk menegakkan satu kotak surat, satu akun, dan untuk mengirim pengaturan ulang kata sandi; tidak cukup untuk memulihkan alamatnya. Satu pengecualian, atas pilihan Anda: jika Anda meminta di dasbor Anda untuk menerima pengingat dari pemandu dialog yang Anda ikuti, alamat itu disimpan untuk satu keperluan tersebut — paling banyak satu email per tahap, dikirim oleh platform atas permintaan pemandu, tidak pernah ditampilkan kepada pemandu — dan dihapus begitu Anda memintanya, atau bersama akun Anda.
Apa yang Anda tulis: kartu, penjelasan, giliran di obrolan samping, suara, kaitan, pencalonan. Di dalam sebuah dialog, semua ini tidak dikaitkan dengan Anda di mana pun dalam antarmuka. Selama dialog berjalan, basis data mencatat siapa menulis apa, agar aturan satu suara per orang dan giliran bergantian dapat berfungsi. Tujuh hari setelah sebuah dialog selesai, dialog itu disegel: setiap nama di dalamnya diganti dengan nama acak dan daftar penggantiannya tidak ditulis di mana pun. Nama pemandu tetap ada hanya sebagai pemandu ruang itu; apa yang ditulis atau dipilih pemandu diganti seperti milik orang lain. Sejak saat itu tidak ada apa pun di server ini yang dapat mengatakan siapa menulis kartu mana, memberikan suara mana, atau mengatakan apa di obrolan samping — tidak oleh pemandu, tidak oleh operator, tidak oleh perintah pengadilan. Catatan Anda sendiri menyimpan dua hal: bahwa Anda pernah berada di ruang itu, dan kalimat yang Anda tulis tentang posisi Anda sebelum dan sesudah. Hanya Anda yang dapat membaca keduanya. Ruang menyimpan satu hal lagi: kode berkunci untuk setiap orang yang pernah duduk di dalamnya, tidak pernah untuk apa pun yang mereka lakukan, agar dua kelompok ruang yang memiliki orang yang sama tidak dihitung sebagai independen. Kode itu dibuat dari nilai acak pada akun Anda, bukan dari nama Anda; begitu akun Anda dihapus, kode itu tidak menunjuk kepada siapa pun.
Dialog mana saja yang Anda ikuti. Daftar id ruang pada catatan Anda, tidak pernah daftar kartu. Daftar inilah yang memungkinkan Anda menemukan kembali sebuah ruang, membaca ruang privat yang pernah Anda ikuti setelah disegel, dan ditolak dari kursi kedua dalam kelompok ruang yang sudah pernah Anda duduki.
Dialog privat. Ruang yang dibuka sebagai privat dapat dibaca oleh anggotanya dan tidak oleh siapa pun selain mereka, di setiap tahap dan setelah tuntas — tidak oleh pelamar, tidak oleh orang yang memegang tautannya. API, halaman, dan umpan perubahan semuanya menolak dengan cara yang sama.
Cookie sesi bertanda tangan, yang kedaluwarsa setelah 14 hari. Tanpa cookie pihak ketiga, tanpa analitik, tanpa iklan, tanpa pelacak.
Daftar anggota organisasi: hash berkunci dari alamat yang diberikan administrator, ditambah petunjuk dua karakter agar mereka dapat mengenali sebuah baris. Alamatnya sendiri tidak disimpan.

Apa yang tidak kami simpan

Tanpa lokasi, tanpa nomor telepon, tanpa pengenal iklan, tanpa profil yang dibangun dari perilaku Anda, tanpa log IP selain yang disimpan sementara oleh server web. Kami tidak menjual apa pun kepada siapa pun.

Siapa lagi yang melihatnya

Peserta lain melihat apa yang Anda tulis, tidak pernah bahwa Andalah yang menulisnya.
Pemandu melihat nama pengguna orang yang meminta bergabung, karena itu adalah keputusan tentang apakah orang tertentu termasuk di dalamnya.
Ruang lain melihat sebuah kartu hanya jika Anda melepaskannya.
Pemroses: penyedia email untuk konfirmasi dan pengaturan ulang; penyedia pembayaran jika Anda berlangganan; penyedia hosting server. Jika asisten logika opsional diaktifkan, kalimat-kalimat argumen yang Anda ajukan kepadanya dikirim ke Anthropic — tanpa rincian akun, dan putusannya tetap dihitung di server ini.
Operator dapat membaca basis data. Catatan belum dibuat agar setiap perubahan dapat terdeteksi, dan kami menyatakannya di halaman masuk alih-alih menyiratkan sebaliknya.

Berapa lama

Dialog yang belum sampai ke petanya dalam 60 hari sejak dibuka akan dihapus, beserta semua isinya: pekerjaan yang belum selesai tidak disimpan. Setelah peta tersusun, catatannya tetap ada.

Akun Anda dan apa yang Anda tulis tetap ada sampai Anda menghapusnya. Alamat yang belum dikonfirmasi kedaluwarsa bersama tautannya. Menghapus akun Anda menghilangkan akun beserta hash kontaknya. Apa yang Anda sumbangkan pada sebuah dialog tetap ada, tanpa dikaitkan dengan Anda, karena suara dan peta orang lain dibangun di atasnya — menghapusnya berarti menulis ulang catatan mereka. Itulah aturan yang sama yang mencegah siapa pun menyunting sejarah demi kepentingannya sendiri. Penyegelan (lihat di atas) membuat ketiadaan kaitan itu permanen: setelahnya, menghapus akun Anda menghilangkan hubungan terakhir antara Anda dan sebuah ruang, yaitu catatan bahwa Anda pernah berada di dalamnya.

Apa yang kami pelajari darinya

Saat penyegelan, dan hanya saat itu, sebuah dialog menghitung satu hal tentang dirinya: kartu mana yang ada dalam pilihan stiker orang-orang yang pandangannya berubah, dibandingkan dengan orang-orang yang pandangannya tetap. Hasilnya disimpan sebagai jumlah per kartu, tidak pernah per orang, dan dihitung sebelum nama-nama diganti karena tidak dapat dihitung sesudahnya. Hasil itu ditampilkan pada peta yang sudah tuntas beserta ukurannya, sebagai gambaran, bukan temuan.

Hak Anda

Mintalah salinan data yang disimpan tentang Anda, mintalah data itu diperbaiki, mintalah akun Anda dihapus, atau ajukan keberatan atas cara data itu digunakan: hello@mg.truecauses.org. Jika kami tidak dapat memenuhi permintaan, kami menyebutkan alasannya. Anda dapat mengajukan pengaduan kepada otoritas pelindungan data Anda.

Di mana

Server berada di Uni Eropa. Penyedia email dan pembayaran dapat memproses data di luar Uni Eropa berdasarkan perlindungan standar mereka.

Teks bahasa Inggris yang mengikat

Privacy

Last updated 1 September 2026. What is held, why, and for how long — written from the code rather than from a template.

What we hold

A handle and a password hash. Salted and hashed; we cannot read your password.
An address only if you give one, and only until you confirm it. On confirmation the address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account, and to send a password reset; not enough to recover the address. One exception, at your choice: if you ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request, never shown to the steward — and removed the moment you say so, or with your account.
What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside a dialogue these are not attributed to you anywhere in the interface. While the dialogue is running, the database records who wrote what, so that one-vote-each and round robin can work at all. Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random one and the list of replacements is not written anywhere. The steward's name stays only as the room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing on this server can say who wrote which card, cast which vote, or said what in a side chat — not the steward, not the operator, not a court order. Your own record keeps two things: that you were in that room, and the sentence you wrote about where you stood before and after. Only you can read either. The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did, so that two groups of rooms sharing people are not counted as independent. It is made from a random value on your account, not from your name; once your account is deleted, it points at no one.
Which dialogues you were in. A list on your record of room ids, never of cards. It is what lets you find a room again, read a private one you were part of after it is sealed, and be refused a second seat in a group of rooms you already sat in.
Private dialogues. A room opened as private is readable by its members and by nobody else, at every stage and after it is settled — not by an applicant, not by someone holding the link. The API, the page and the change feed all refuse the same way.
A signed session cookie, expiring after 14 days. No third-party cookies, no analytics, no advertising, no trackers.
Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a two-character hint so they can recognise a row. The addresses themselves are not stored.

What we do not hold

No location, no phone number, no advertising identifiers, no profile built from your behaviour, no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.

Who else sees it

Other participants see what you wrote, never that you wrote it.
A steward sees the handle of someone asking to join, because that is a decision about whether a particular person belongs.
Other rooms see a card only if you released it.
Processors: a mail provider for confirmations and resets; a payment provider if you subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument you submit to it are sent to Anthropic — no account details, and the verdict is computed on this server either way.
The operator can read the database. Records are not yet tamper-evident, and we say so on the sign-in page rather than implying otherwise.

How long

A dialogue that does not reach its map within 60 days of opening is purged, with everything in it: unfinished work is not kept. Once the map is laid out, the record stays.

Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with their link. Deleting your account removes the account and its contact hash. What you contributed to a dialogue stays, unattributed, because other people's votes and maps were built on it — removing it would rewrite their record. That is the same rule that stops anyone editing history in their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account removes the last link between you and a room, the note that you were in it.

What we learn from it

At sealing, and only then, a dialogue computes one thing about itself: which cards were on the sticker sets of the people whose view moved, against those whose view held. It is kept as counts per card, never per person, and it is computed before the names are replaced because it cannot be computed after. It is shown on the settled map with its size next to it, as a description, not a finding.

Your rights

Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may complain to your data protection authority.

Where

Servers in the European Union. Mail and payment providers may process data outside it under their standard safeguards.

Ketentuan · Tentang · Cara kerja