Privacy

In breve

Il servizio conserva un nome utente, un hash della password e ciò che scrivi nei dialoghi. Un indirizzo confermato viene sostituito da un hash con chiave, a meno che tu non chieda di ricevere promemoria. Dentro un dialogo nulla di ciò che scrivi viene mostrato con il tuo nome, e sette giorni dopo la conclusione di un dialogo questo viene sigillato: ogni nome al suo interno viene sostituito da uno casuale, così nessuno può più dire chi ha scritto che cosa. Non ci sono tracker, né strumenti di analisi, né pubblicità, e non si vende nulla. I dialoghi non conclusi vengono cancellati dopo un numero fisso di giorni; quelli conclusi restano. Puoi chiedere una copia dei tuoi dati, una correzione o la cancellazione del tuo account. I server si trovano nell’Unione Europea.

Una traduzione a scopo di consultazione. Il testo inglese qui sotto è quello vincolante.

Privacy

Ultimo aggiornamento: 1 settembre 2026. Che cosa conserviamo, perché e per quanto tempo — scritto a partire dal codice, non da un modello.

Che cosa conserviamo

Un nome utente e un hash della password. Con salt e hash; non possiamo leggere la tua password.
Un indirizzo solo se ce lo fornisci, e solo finché non lo confermi. Alla conferma l’indirizzo viene eliminato e sostituito da un hash con chiave — sufficiente a garantire una casella di posta, un account, e a inviare la reimpostazione della password; non sufficiente a ricostruire l’indirizzo. Un’eccezione, a tua scelta: se chiedi nel tuo pannello di ricevere promemoria dai facilitatori dei dialoghi a cui partecipi, quell’indirizzo viene conservato per quell’unico scopo — al massimo un’email per fase, inviata dalla piattaforma su richiesta di un facilitatore, mai mostrata al facilitatore — e rimosso nel momento in cui lo chiedi, oppure insieme al tuo account.
Ciò che scrivi: schede, chiarimenti, interventi nelle discussioni a lato, voti, collegamenti, candidature. Dentro un dialogo questi contenuti non ti vengono attribuiti in alcun punto dell’interfaccia. Mentre il dialogo è in corso, la banca dati registra chi ha scritto che cosa, perché il principio di un voto a testa e il giro a turno possano funzionare. Sette giorni dopo la conclusione di un dialogo, questo viene sigillato: ogni nome al suo interno viene sostituito da un nome casuale e l’elenco delle sostituzioni non viene scritto da nessuna parte. Il nome del facilitatore resta solo come facilitatore della stanza; ciò che il facilitatore ha scritto o votato viene sostituito come quello di tutti gli altri. Da quel momento nulla su questo server può dire chi ha scritto quale scheda, espresso quale voto o detto che cosa in una discussione a lato — né il facilitatore, né il gestore, né un ordine di un tribunale. Il tuo registro personale conserva due cose: che hai fatto parte di quella stanza, e la frase che hai scritto su dove ti collocavi prima e dopo. Solo tu puoi leggerle. La stanza conserva un’altra cosa: un codice con chiave per ogni persona che ne ha fatto parte, mai per ciò che ha fatto, perché due gruppi di stanze che hanno persone in comune non vengano contati come indipendenti. È ricavato da un valore casuale del tuo account, non dal tuo nome; una volta eliminato il tuo account, non rimanda a nessuno.
I dialoghi a cui hai partecipato. Un elenco nel tuo registro di id di stanze, mai di schede. È ciò che ti permette di ritrovare una stanza, leggere una stanza privata di cui hai fatto parte dopo che è stata sigillata, e vederti rifiutare un secondo posto in un gruppo di stanze di cui hai già fatto parte.
Dialoghi privati. Una stanza aperta come privata è leggibile dai suoi membri e da nessun altro, in ogni fase e dopo che è stata decisa — non da chi chiede di entrare, non da chi possiede il link. L’API, la pagina e il flusso delle modifiche rifiutano tutti allo stesso modo.
Un cookie di sessione firmato, che scade dopo 14 giorni. Nessun cookie di terze parti, nessuno strumento di analisi, nessuna pubblicità, nessun tracciamento.
Elenchi delle organizzazioni: hash con chiave degli indirizzi forniti da un amministratore, più un indizio di due caratteri perché possa riconoscere una riga. Gli indirizzi in sé non vengono conservati.

Che cosa non conserviamo

Nessuna posizione, nessun numero di telefono, nessun identificativo pubblicitario, nessun profilo costruito sul tuo comportamento, nessun registro degli IP oltre a quanto il server web conserva temporaneamente. Non vendiamo nulla a nessuno.

Chi altro li vede

Gli altri partecipanti vedono ciò che hai scritto, mai che l’hai scritto tu.
Un facilitatore vede il nome utente di chi chiede di entrare, perché si tratta di decidere se una determinata persona ne fa parte.
Le altre stanze vedono una scheda solo se l’hai rilasciata.
Responsabili del trattamento: un fornitore di posta per le conferme e le reimpostazioni; un fornitore di pagamenti se ti abboni; l’hosting del server. Se l’assistente logico facoltativo è attivo, le frasi di un argomento che gli sottoponi vengono inviate ad Anthropic — senza dati dell’account, e il verdetto viene comunque calcolato su questo server.
Il gestore può leggere la banca dati. I registri non sono ancora a prova di manomissione, e lo diciamo nella pagina di accesso anziché lasciar intendere il contrario.

Per quanto tempo

Un dialogo che non arriva alla sua mappa entro 60 giorni dall’apertura viene eliminato, con tutto ciò che contiene: il lavoro non finito non si conserva. Una volta disegnata la mappa, il registro resta.

Il tuo account e ciò che hai scritto restano finché non li elimini. Gli indirizzi non confermati scadono con il loro link. L’eliminazione del tuo account rimuove l’account e il suo hash di contatto. Ciò che hai contribuito a un dialogo resta, senza attribuzione, perché i voti e le mappe di altre persone si sono basati su di esso — rimuoverlo riscriverebbe il loro registro. È la stessa regola che impedisce a chiunque di modificare la storia a proprio favore. La sigillatura (vedi sopra) rende permanente l’assenza di attribuzione: dopo di essa, eliminare il tuo account rimuove l’ultimo legame tra te e una stanza, l’annotazione che ne hai fatto parte.

Che cosa ne ricaviamo

Alla sigillatura, e solo allora, un dialogo calcola una cosa su se stesso: quali schede erano tra i bollini delle persone la cui opinione è cambiata, rispetto a quelle la cui opinione è rimasta la stessa. Viene conservato come conteggi per scheda, mai per persona, ed è calcolato prima che i nomi vengano sostituiti perché dopo non potrebbe essere calcolato. È mostrato sulla mappa decisa con accanto la sua dimensione, come descrizione, non come risultato.

I tuoi diritti

Puoi chiedere una copia di ciò che conserviamo su di te, chiederne la rettifica, chiedere l’eliminazione del tuo account oppure opporti al modo in cui viene usato: hello@mg.truecauses.org. Se non possiamo dare seguito a una richiesta, ne indichiamo il motivo. Puoi proporre reclamo all’autorità per la protezione dei dati personali.

Dove

Server nell’Unione europea. I fornitori di posta e di pagamenti possono trattare dati al di fuori di essa con le loro garanzie standard.

Il testo inglese vincolante

Privacy

Last updated 1 September 2026. What is held, why, and for how long — written from the code rather than from a template.

What we hold

A handle and a password hash. Salted and hashed; we cannot read your password.
An address only if you give one, and only until you confirm it. On confirmation the address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account, and to send a password reset; not enough to recover the address. One exception, at your choice: if you ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request, never shown to the steward — and removed the moment you say so, or with your account.
What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside a dialogue these are not attributed to you anywhere in the interface. While the dialogue is running, the database records who wrote what, so that one-vote-each and round robin can work at all. Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random one and the list of replacements is not written anywhere. The steward's name stays only as the room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing on this server can say who wrote which card, cast which vote, or said what in a side chat — not the steward, not the operator, not a court order. Your own record keeps two things: that you were in that room, and the sentence you wrote about where you stood before and after. Only you can read either. The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did, so that two groups of rooms sharing people are not counted as independent. It is made from a random value on your account, not from your name; once your account is deleted, it points at no one.
Which dialogues you were in. A list on your record of room ids, never of cards. It is what lets you find a room again, read a private one you were part of after it is sealed, and be refused a second seat in a group of rooms you already sat in.
Private dialogues. A room opened as private is readable by its members and by nobody else, at every stage and after it is settled — not by an applicant, not by someone holding the link. The API, the page and the change feed all refuse the same way.
A signed session cookie, expiring after 14 days. No third-party cookies, no analytics, no advertising, no trackers.
Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a two-character hint so they can recognise a row. The addresses themselves are not stored.

What we do not hold

No location, no phone number, no advertising identifiers, no profile built from your behaviour, no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.

Who else sees it

Other participants see what you wrote, never that you wrote it.
A steward sees the handle of someone asking to join, because that is a decision about whether a particular person belongs.
Other rooms see a card only if you released it.
Processors: a mail provider for confirmations and resets; a payment provider if you subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument you submit to it are sent to Anthropic — no account details, and the verdict is computed on this server either way.
The operator can read the database. Records are not yet tamper-evident, and we say so on the sign-in page rather than implying otherwise.

How long

A dialogue that does not reach its map within 60 days of opening is purged, with everything in it: unfinished work is not kept. Once the map is laid out, the record stays.

Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with their link. Deleting your account removes the account and its contact hash. What you contributed to a dialogue stays, unattributed, because other people's votes and maps were built on it — removing it would rewrite their record. That is the same rule that stops anyone editing history in their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account removes the last link between you and a room, the note that you were in it.

What we learn from it

At sealing, and only then, a dialogue computes one thing about itself: which cards were on the sticker sets of the people whose view moved, against those whose view held. It is kept as counts per card, never per person, and it is computed before the names are replaced because it cannot be computed after. It is shown on the settled map with its size next to it, as a description, not a finding.

Your rights

Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may complain to your data protection authority.

Where

Servers in the European Union. Mail and payment providers may process data outside it under their standard safeguards.

Condizioni · Chi siamo · Come funziona