Personvern

Kort sagt

Tjenesten lagrer et brukernavn, en passordhash og det du skriver i dialoger. En bekreftet adresse erstattes av en nøkkelbasert hash, med mindre du ber om å få påminnelser. Inne i en dialog vises ingenting du skriver under navnet ditt, og sju dager etter at en dialog er fullført, blir den forseglet: hvert navn i den erstattes av et tilfeldig navn, så ingen lenger kan si hvem som skrev hva. Det finnes ingen sporere, ingen analyseverktøy og ingen reklame, og ingenting selges. Uferdige dialoger slettes etter et fast antall dager; ferdige blir liggende. Du kan be om en kopi av dataene dine, en retting eller sletting av kontoen din. Serverne står i EU.

En oversettelse til hjelp for deg. Den engelske teksten under den er den bindende.

Personvern

Sist oppdatert 1. september 2026. Hva som lagres, hvorfor og hvor lenge — skrevet ut fra koden, ikke fra en mal.

Hva vi lagrer

Et brukernavn og en passordhash. Saltet og hashet; vi kan ikke lese passordet ditt.
En adresse bare hvis du oppgir en, og bare til du bekrefter den. Ved bekreftelse blir adressen slettet og erstattet av en nøkkelbasert hash — nok til å håndheve én postkasse, én konto, og til å sende en tilbakestilling av passordet; ikke nok til å gjenskape adressen. Ett unntak, etter ditt valg: hvis du på oversikten din ber om å få påminnelser fra vertene for dialoger du er med i, beholdes den adressen for det ene formålet — høyst én e-post per fase, sendt av plattformen etter anmodning fra en vert, aldri vist for verten — og fjernes i det øyeblikket du ber om det, eller sammen med kontoen din.
Det du skriver: kort, presiseringer, turer i sidesamtaler, stemmer, koblinger, nominasjoner. Inne i en dialog knyttes disse ikke til deg noe sted i grensesnittet. Mens dialogen pågår, registrerer databasen hvem som skrev hva, slik at én stemme hver og tur på omgang i det hele tatt kan fungere. Sju dager etter at en dialog er fullført, blir den forseglet: hvert navn i den erstattes av et tilfeldig navn, og listen over erstatninger skrives ikke ned noe sted. Vertens navn blir bare stående som rommets vert; det verten skrev eller stemte, erstattes som for alle andre. Fra da av kan ingenting på denne serveren si hvem som skrev hvilket kort, avga hvilken stemme eller sa hva i en sidesamtale — verken verten, operatøren eller en rettskjennelse. Din egen oversikt beholder to ting: at du var i det rommet, og setningen du skrev om hvor du sto før og etter. Bare du kan lese noen av dem. Rommet beholder én ting til: en nøkkelbasert kode for hver person som satt i det, aldri for noe de gjorde, slik at to grupper av rom som deler personer, ikke telles som uavhengige. Den lages fra en tilfeldig verdi på kontoen din, ikke fra navnet ditt; når kontoen din er slettet, peker den ikke på noen.
Hvilke dialoger du var med i. En liste i oversikten din over rom-id-er, aldri over kort. Det er den som lar deg finne et rom igjen, lese et privat rom du var med i etter at det er forseglet, og bli nektet en ny plass i en gruppe av rom du allerede har sittet i.
Private dialoger. Et rom som er åpnet som privat, kan leses av medlemmene og av ingen andre, i alle faser og etter at det er avgjort — verken av en søker eller av noen som har lenken. API-et, siden og endringsstrømmen avviser alle på samme måte.
En signert øktinformasjonskapsel, som utløper etter 14 dager. Ingen informasjonskapsler fra tredjeparter, ingen analyse, ingen reklame, ingen sporing.
Organisasjoners medlemslister: nøkkelbaserte hasher av adressene en administrator har oppgitt, pluss et hint på to tegn slik at de kan kjenne igjen en rad. Selve adressene lagres ikke.

Hva vi ikke lagrer

Ingen posisjon, intet telefonnummer, ingen reklameidentifikatorer, ingen profil bygd på atferden din, ingen IP-logger utover det nettserveren midlertidig beholder. Vi selger ingenting til noen.

Hvem andre som ser det

Andre deltakere ser det du skrev, aldri at det var du som skrev det.
En vert ser brukernavnet til den som ber om å bli med, fordi det er en avgjørelse om hvorvidt en bestemt person hører hjemme der.
Andre rom ser et kort bare hvis du har frigitt det.
Databehandlere: en e-postleverandør for bekreftelser og tilbakestillinger; en betalingsleverandør hvis du abonnerer; serverleverandøren. Hvis den valgfrie logikkassistenten er slått på, sendes setningene i et argument du legger fram for den, til Anthropic — uten kontoopplysninger, og konklusjonen beregnes på denne serveren uansett.
Operatøren kan lese databasen. Protokollene er ennå ikke sikret mot ubemerket endring, og det sier vi på innloggingssiden i stedet for å antyde noe annet.

Hvor lenge

En dialog som ikke når kartet sitt innen 60 dager etter at den åpnet, slettes, med alt den inneholder: uferdig arbeid beholdes ikke. Når kartet er lagt fram, blir protokollen stående.

Kontoen din og det du skrev, blir værende til du sletter dem. Ubekreftede adresser utløper sammen med lenken sin. Å slette kontoen din fjerner kontoen og kontakthashen. Det du bidro med i en dialog, blir værende, uten å knyttes til deg, fordi andres stemmer og kart er bygd på det — å fjerne det ville skrive om protokollen deres. Det er den samme regelen som hindrer noen i å redigere historien til egen fordel. Forseglingen (over) gjør anonymiseringen permanent: etter den fjerner sletting av kontoen din den siste forbindelsen mellom deg og et rom, merknaden om at du var med i det.

Hva vi lærer av det

Ved forseglingen, og bare da, beregner en dialog én ting om seg selv: hvilke kort som lå i klistremerkesettene til dem som endret syn, sammenlignet med dem som beholdt sitt. Det lagres som antall per kort, aldri per person, og det beregnes før navnene erstattes, fordi det ikke kan beregnes etterpå. Det vises på det avgjorte kartet med størrelsen ved siden av, som en beskrivelse, ikke et funn.

Dine rettigheter

Be om en kopi av det som er lagret om deg, be om at det rettes, be om at kontoen din slettes, eller protester mot hvordan det brukes: hello@mg.truecauses.org. Hvis vi ikke kan etterkomme en forespørsel, sier vi hvorfor. Du kan klage til din datatilsynsmyndighet.

Hvor

Servere i Den europeiske union. E-post- og betalingsleverandører kan behandle data utenfor EU med sine standard sikkerhetstiltak.

Den bindende engelske teksten

Privacy

Last updated 1 September 2026. What is held, why, and for how long — written from the code rather than from a template.

What we hold

A handle and a password hash. Salted and hashed; we cannot read your password.
An address only if you give one, and only until you confirm it. On confirmation the address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account, and to send a password reset; not enough to recover the address. One exception, at your choice: if you ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request, never shown to the steward — and removed the moment you say so, or with your account.
What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside a dialogue these are not attributed to you anywhere in the interface. While the dialogue is running, the database records who wrote what, so that one-vote-each and round robin can work at all. Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random one and the list of replacements is not written anywhere. The steward's name stays only as the room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing on this server can say who wrote which card, cast which vote, or said what in a side chat — not the steward, not the operator, not a court order. Your own record keeps two things: that you were in that room, and the sentence you wrote about where you stood before and after. Only you can read either. The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did, so that two groups of rooms sharing people are not counted as independent. It is made from a random value on your account, not from your name; once your account is deleted, it points at no one.
Which dialogues you were in. A list on your record of room ids, never of cards. It is what lets you find a room again, read a private one you were part of after it is sealed, and be refused a second seat in a group of rooms you already sat in.
Private dialogues. A room opened as private is readable by its members and by nobody else, at every stage and after it is settled — not by an applicant, not by someone holding the link. The API, the page and the change feed all refuse the same way.
A signed session cookie, expiring after 14 days. No third-party cookies, no analytics, no advertising, no trackers.
Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a two-character hint so they can recognise a row. The addresses themselves are not stored.

What we do not hold

No location, no phone number, no advertising identifiers, no profile built from your behaviour, no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.

Who else sees it

Other participants see what you wrote, never that you wrote it.
A steward sees the handle of someone asking to join, because that is a decision about whether a particular person belongs.
Other rooms see a card only if you released it.
Processors: a mail provider for confirmations and resets; a payment provider if you subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument you submit to it are sent to Anthropic — no account details, and the verdict is computed on this server either way.
The operator can read the database. Records are not yet tamper-evident, and we say so on the sign-in page rather than implying otherwise.

How long

A dialogue that does not reach its map within 60 days of opening is purged, with everything in it: unfinished work is not kept. Once the map is laid out, the record stays.

Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with their link. Deleting your account removes the account and its contact hash. What you contributed to a dialogue stays, unattributed, because other people's votes and maps were built on it — removing it would rewrite their record. That is the same rule that stops anyone editing history in their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account removes the last link between you and a room, the note that you were in it.

What we learn from it

At sealing, and only then, a dialogue computes one thing about itself: which cards were on the sticker sets of the people whose view moved, against those whose view held. It is kept as counts per card, never per person, and it is computed before the names are replaced because it cannot be computed after. It is shown on the settled map with its size next to it, as a description, not a finding.

Your rights

Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may complain to your data protection authority.

Where

Servers in the European Union. Mail and payment providers may process data outside it under their standard safeguards.

Vilkår · Om · Slik fungerer det