Privacy

Kort gezegd

De dienst bewaart een gebruikersnaam, een hash van je wachtwoord en wat je in dialogen schrijft. Een bevestigd adres wordt vervangen door een hash met sleutel, tenzij je vraagt om herinneringen te ontvangen. Binnen een dialoog wordt niets wat je schrijft onder je naam getoond, en zeven dagen nadat een dialoog is afgerond, wordt die verzegeld: elke naam erin wordt vervangen door een willekeurige, zodat niemand meer kan zeggen wie wat schreef. Er zijn geen trackers, geen analyses en geen advertenties, en er wordt niets verkocht. Onafgemaakte dialogen worden na een vast aantal dagen verwijderd; afgeronde blijven bestaan. Je kunt vragen om een kopie van je gegevens, een correctie of verwijdering van je account. De servers staan in de Europese Unie.

Een vertaling ter informatie. De Engelse tekst eronder is de bindende.

Privacy

Laatst bijgewerkt op 1 september 2026. Wat er wordt bewaard, waarom en hoe lang — geschreven op basis van de code, niet van een sjabloon.

Wat we bewaren

Een gebruikersnaam en een hash van je wachtwoord. Gezouten en gehasht; we kunnen je wachtwoord niet lezen.
Een adres alleen als je er een opgeeft, en alleen tot je het bevestigt. Bij bevestiging wordt het adres gewist en vervangen door een hash met sleutel — genoeg om één mailbox, één account af te dwingen en een wachtwoordherstel te versturen; niet genoeg om het adres terug te halen. Eén uitzondering, naar jouw keuze: als je op je dashboard vraagt om herinneringen te ontvangen van de gespreksleiders van dialogen waarin je zit, wordt dat adres voor dat ene doel bewaard — hoogstens één mail per fase, door het platform verstuurd op verzoek van een gespreksleider, nooit aan de gespreksleider getoond — en verwijderd zodra je dat zegt, of samen met je account.
Wat je schrijft: kaartjes, toelichtingen, beurten in zijchats, stemmen, koppelingen, voordrachten. Binnen een dialoog worden die nergens in de interface aan jou toegeschreven. Zolang de dialoog loopt, legt de database vast wie wat heeft geschreven, zodat één stem per persoon en de beurtvolgorde überhaupt kunnen werken. Zeven dagen nadat een dialoog is afgerond, wordt hij verzegeld: elke naam erin wordt vervangen door een willekeurige naam, en de lijst van vervangingen wordt nergens vastgelegd. De naam van de gespreksleider blijft alleen staan als gespreksleider van de ruimte; wat de gespreksleider schreef of stemde, wordt vervangen zoals bij iedereen. Vanaf dat moment kan niets op deze server zeggen wie welk kaartje schreef, welke stem uitbracht of wat zei in een zijchat — niet de gespreksleider, niet de exploitant, niet een rechterlijk bevel. Je eigen gegevens bewaren twee dingen: dat je in die ruimte zat, en de zin die je schreef over waar je voor en na stond. Alleen jij kunt die lezen. De ruimte bewaart nog één ding: een code met sleutel voor elke persoon die erin zat, nooit voor iets wat die persoon deed, zodat twee groepen ruimtes die mensen delen niet als onafhankelijk worden geteld. De code wordt gemaakt uit een willekeurige waarde op je account, niet uit je naam; zodra je account is verwijderd, verwijst ze naar niemand.
In welke dialogen je zat. Een lijst in je gegevens met id’s van ruimtes, nooit van kaartjes. Daarmee kun je een ruimte terugvinden, een privéruimte waarvan je deel uitmaakte na de verzegeling lezen, en wordt je een tweede plaats geweigerd in een groep ruimtes waarin je al zat.
Privédialogen. Een ruimte die als privé is geopend, is leesbaar voor haar leden en voor niemand anders, in elke fase en nadat ze is afgerond — niet voor iemand die toegang aanvraagt, niet voor iemand die de link heeft. De API, de pagina en de wijzigingsfeed weigeren allemaal op dezelfde manier.
Een ondertekende sessiecookie, die na 14 dagen verloopt. Geen cookies van derden, geen analytics, geen advertenties, geen trackers.
Ledenlijsten van organisaties: hashes met sleutel van de adressen die een beheerder heeft opgegeven, plus een hint van twee tekens zodat de beheerder een regel kan herkennen. De adressen zelf worden niet opgeslagen.

Wat we niet bewaren

Geen locatie, geen telefoonnummer, geen advertentie-ID’s, geen profiel opgebouwd uit je gedrag, geen IP-logboeken buiten wat de webserver tijdelijk bijhoudt. We verkopen niets aan wie dan ook.

Wie het nog meer ziet

Andere deelnemers zien wat je schreef, nooit dat jij het schreef.
Een gespreksleider ziet de gebruikersnaam van iemand die vraagt om mee te doen, omdat dat een beslissing is over de vraag of een bepaalde persoon erbij hoort.
Andere ruimtes zien een kaartje alleen als je het hebt vrijgegeven.
Verwerkers: een mailprovider voor bevestigingen en wachtwoordherstel; een betaalprovider als je een abonnement neemt; de serverhost. Als de optionele logica-assistent is ingeschakeld, worden de zinnen van een argument dat je eraan voorlegt naar Anthropic gestuurd — zonder accountgegevens, en het oordeel wordt hoe dan ook op deze server berekend.
De exploitant kan de database lezen. De gegevens zijn nog niet manipulatiebestendig, en dat zeggen we op de aanmeldpagina in plaats van iets anders te suggereren.

Hoe lang

Een dialoog die binnen 60 dagen na het openen zijn kaart niet bereikt, wordt gewist, met alles wat erin staat: onafgemaakt werk wordt niet bewaard. Zodra de kaart is uitgezet, blijft het verslag bestaan.

Je account en wat je schreef, blijven tot je ze verwijdert. Onbevestigde adressen verlopen met hun link. Als je je account verwijdert, worden het account en de bijbehorende contacthash verwijderd. Wat je hebt bijgedragen aan een dialoog, blijft, zonder toeschrijving, omdat de stemmen en kaarten van anderen erop zijn gebouwd — het verwijderen zou hun verslag herschrijven. Dat is dezelfde regel die voorkomt dat iemand de geschiedenis in het eigen voordeel bewerkt. Verzegeling (zie boven) maakt het ontbreken van toeschrijving blijvend: daarna verwijdert het verwijderen van je account de laatste verbinding tussen jou en een ruimte, de notitie dat je erin zat.

Wat we ervan leren

Bij de verzegeling, en alleen dan, berekent een dialoog één ding over zichzelf: welke kaartjes op de stickerlijsten stonden van de mensen van wie het standpunt verschoof, tegenover die van wie het standpunt gelijk bleef. Dit wordt bewaard als aantallen per kaartje, nooit per persoon, en het wordt berekend voordat de namen worden vervangen, omdat het daarna niet meer kan worden berekend. Het wordt op de afgeronde kaart getoond met de omvang ernaast, als beschrijving, niet als bevinding.

Je rechten

Vraag om een kopie van wat er over je wordt bewaard, vraag om correctie, vraag om verwijdering van je account, of maak bezwaar tegen het gebruik ervan: hello@mg.truecauses.org. Als we een verzoek niet kunnen inwilligen, zeggen we waarom. Je kunt een klacht indienen bij je toezichthouder voor gegevensbescherming.

Waar

Servers in de Europese Unie. Mail- en betaalproviders kunnen gegevens daarbuiten verwerken onder hun standaardwaarborgen.

De bindende Engelse tekst

Privacy

Last updated 1 September 2026. What is held, why, and for how long — written from the code rather than from a template.

What we hold

A handle and a password hash. Salted and hashed; we cannot read your password.
An address only if you give one, and only until you confirm it. On confirmation the address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account, and to send a password reset; not enough to recover the address. One exception, at your choice: if you ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request, never shown to the steward — and removed the moment you say so, or with your account.
What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside a dialogue these are not attributed to you anywhere in the interface. While the dialogue is running, the database records who wrote what, so that one-vote-each and round robin can work at all. Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random one and the list of replacements is not written anywhere. The steward's name stays only as the room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing on this server can say who wrote which card, cast which vote, or said what in a side chat — not the steward, not the operator, not a court order. Your own record keeps two things: that you were in that room, and the sentence you wrote about where you stood before and after. Only you can read either. The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did, so that two groups of rooms sharing people are not counted as independent. It is made from a random value on your account, not from your name; once your account is deleted, it points at no one.
Which dialogues you were in. A list on your record of room ids, never of cards. It is what lets you find a room again, read a private one you were part of after it is sealed, and be refused a second seat in a group of rooms you already sat in.
Private dialogues. A room opened as private is readable by its members and by nobody else, at every stage and after it is settled — not by an applicant, not by someone holding the link. The API, the page and the change feed all refuse the same way.
A signed session cookie, expiring after 14 days. No third-party cookies, no analytics, no advertising, no trackers.
Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a two-character hint so they can recognise a row. The addresses themselves are not stored.

What we do not hold

No location, no phone number, no advertising identifiers, no profile built from your behaviour, no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.

Who else sees it

Other participants see what you wrote, never that you wrote it.
A steward sees the handle of someone asking to join, because that is a decision about whether a particular person belongs.
Other rooms see a card only if you released it.
Processors: a mail provider for confirmations and resets; a payment provider if you subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument you submit to it are sent to Anthropic — no account details, and the verdict is computed on this server either way.
The operator can read the database. Records are not yet tamper-evident, and we say so on the sign-in page rather than implying otherwise.

How long

A dialogue that does not reach its map within 60 days of opening is purged, with everything in it: unfinished work is not kept. Once the map is laid out, the record stays.

Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with their link. Deleting your account removes the account and its contact hash. What you contributed to a dialogue stays, unattributed, because other people's votes and maps were built on it — removing it would rewrite their record. That is the same rule that stops anyone editing history in their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account removes the last link between you and a room, the note that you were in it.

What we learn from it

At sealing, and only then, a dialogue computes one thing about itself: which cards were on the sticker sets of the people whose view moved, against those whose view held. It is kept as counts per card, never per person, and it is computed before the names are replaced because it cannot be computed after. It is shown on the settled map with its size next to it, as a description, not a finding.

Your rights

Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may complain to your data protection authority.

Where

Servers in the European Union. Mail and payment providers may process data outside it under their standard safeguards.

Voorwaarden · Over · Hoe het werkt