Prywatność

W skrócie

Usługa przechowuje nazwę użytkownika, skrót hasła i to, co piszesz w dialogach. Potwierdzony adres jest zastępowany skrótem z kluczem, chyba że chcesz otrzymywać przypomnienia. W dialogu nic, co piszesz, nie jest pokazywane pod Twoją nazwą, a siedem dni po zakończeniu dialogu zostaje on zapieczętowany: każda nazwa jest w nim zastępowana losową, więc nikt nie może już powiedzieć, kto co napisał. Nie ma trackerów, analityki ani reklam i nic nie jest sprzedawane. Niedokończone dialogi są usuwane po ustalonej liczbie dni; zakończone zostają. Możesz poprosić o kopię swoich danych, ich poprawienie albo usunięcie konta. Serwery znajdują się w Unii Europejskiej.

Tłumaczenie pomocnicze. Wiążący jest tekst angielski poniżej.

Prywatność

Ostatnia aktualizacja: 1 września 2026 r. Co jest przechowywane, w jakim celu i jak długo — opisane na podstawie kodu, a nie szablonu.

Co przechowujemy

Nazwę użytkownika i skrót hasła. Z solą i zahaszowane; nie możemy odczytać Twojego hasła.
Adres tylko wtedy, gdy go podasz, i tylko do czasu jego potwierdzenia. Po potwierdzeniu adres jest usuwany i zastępowany skrótem z kluczem — wystarczającym, by pilnować zasady jedna skrzynka, jedno konto, i by wysłać link do zresetowania hasła; niewystarczającym, by odtworzyć adres. Jeden wyjątek, według Twojego wyboru: jeśli w swoim panelu poprosisz o przypomnienia od osób prowadzących dialogi, w których bierzesz udział, adres ten jest przechowywany wyłącznie w tym jednym celu — najwyżej jedna wiadomość na etap, wysyłana przez platformę na prośbę osoby prowadzącej, nigdy niepokazywana osobie prowadzącej — i usuwany w chwili, gdy o to poprosisz, albo razem z Twoim kontem.
To, co piszesz: karty, wyjaśnienia, wypowiedzi w bocznych czatach, głosy, powiązania, zgłoszenia. W dialogu nie są one nigdzie w interfejsie przypisywane Tobie. Dopóki dialog trwa, baza danych zapisuje, kto co napisał, bo inaczej zasady jeden głos na osobę i wypowiedzi po kolei w ogóle by nie działały. Siedem dni po zakończeniu dialogu zostaje on zapieczętowany: każda nazwa w nim jest zastępowana losową, a lista zamian nie jest nigdzie zapisywana. Nazwa osoby prowadzącej zostaje tylko jako nazwa osoby prowadzącej pokój; to, co osoba prowadząca napisała lub jak głosowała, jest zastępowane tak samo jak u wszystkich innych. Od tej chwili nic na tym serwerze nie pozwala ustalić, kto napisał którą kartę, oddał który głos ani co powiedział w bocznym czacie — ani osoba prowadząca, ani operator, ani nakaz sądowy. Twój własny zapis zachowuje dwie rzeczy: informację o Twoim udziale w tym pokoju oraz Twoje zdanie o własnym stanowisku przed i po. Tylko Ty możesz przeczytać jedno i drugie. Pokój zachowuje jeszcze jedną rzecz: kod z kluczem dla każdej osoby, która w nim uczestniczyła, nigdy dla niczego, co zrobiła, tak aby dwie grupy pokojów z tymi samymi ludźmi nie były liczone jako niezależne. Powstaje on z losowej wartości przypisanej do Twojego konta, a nie z Twojej nazwy; po usunięciu Twojego konta nie wskazuje na nikogo.
Twój udział w dialogach. Lista identyfikatorów pokojów w Twoim zapisie, nigdy kart. To dzięki niej możesz ponownie znaleźć pokój, czytać po zapieczętowaniu prywatny pokój z Twoim udziałem i to dzięki niej nie dostaniesz drugiego miejsca w grupie pokojów, w której Twój udział jest już zapisany.
Dialogi prywatne. Pokój otwarty jako prywatny mogą czytać jego członkowie i nikt inny, na każdym etapie i po rozstrzygnięciu — ani osoba czekająca na przyjęcie, ani ktoś, kto ma link. API, strona i kanał zmian odmawiają w ten sam sposób.
Podpisany plik cookie sesji, wygasający po 14 dniach. Żadnych plików cookie stron trzecich, żadnej analityki, żadnych reklam, żadnych trackerów.
Listy członków organizacji: skróty z kluczem adresów podanych przez administratora oraz dwuznakowa podpowiedź, aby dało się rozpoznać wiersz. Same adresy nie są przechowywane.

Czego nie przechowujemy

Żadnej lokalizacji, numeru telefonu, identyfikatorów reklamowych, profilu zbudowanego na podstawie Twojego zachowania ani logów IP poza tym, co serwer WWW przechowuje przejściowo. Nikomu niczego nie sprzedajemy.

Kto jeszcze to widzi

Inni uczestnicy widzą Twoje wpisy, ale nigdy tego, że są Twoje.
Osoba prowadząca widzi nazwę użytkownika osoby, która prosi o dołączenie, bo jest to decyzja o tym, czy konkretna osoba do pokoju należy.
Inne pokoje widzą kartę tylko po jej udostępnieniu przez Ciebie.
Podmioty przetwarzające: dostawca poczty do potwierdzeń i resetowania haseł; operator płatności, jeśli wykupisz subskrypcję; firma hostingowa serwera. Jeśli włączony jest opcjonalny asystent logiki, zdania argumentu, które mu przekazujesz, są wysyłane do Anthropic — bez danych konta, a werdykt i tak jest obliczany na tym serwerze.
Operator może czytać bazę danych. Zapisy nie są jeszcze zabezpieczone przed niewykrywalną zmianą i mówimy o tym na stronie logowania, zamiast sugerować coś innego.

Jak długo

Dialog, który w ciągu 60 dni od otwarcia nie dojdzie do swojej mapy, jest usuwany wraz ze wszystkim, co zawiera: niedokończona praca nie jest przechowywana. Gdy mapa zostanie ułożona, zapis pozostaje.

Twoje konto i Twoje wpisy pozostają do czasu, aż je usuniesz. Niepotwierdzone adresy wygasają razem z linkiem. Usunięcie konta usuwa konto i skrót danych kontaktowych. Twój wkład w dialog pozostaje, bez przypisania do Ciebie, bo na tej podstawie powstały głosy i mapy innych osób — usunięcie tego zmieniłoby ich zapis. To ta sama zasada, która nie pozwala nikomu zmieniać historii na własną korzyść. Zapieczętowanie (opisane wyżej) czyni brak przypisania trwałym: po nim usunięcie konta usuwa ostatnie powiązanie między Tobą a pokojem, czyli informację o Twoim udziale.

Czego się z tego dowiadujemy

Przy zapieczętowaniu, i tylko wtedy, dialog oblicza jedną rzecz o sobie samym: które karty znalazły się w zestawach naklejek osób, których stanowisko się zmieniło, w porównaniu z tymi, których stanowisko się utrzymało. Jest to przechowywane jako liczby dla każdej karty, nigdy dla osoby, i obliczane przed zastąpieniem nazw, bo potem nie dałoby się tego obliczyć. Jest to pokazywane na rozstrzygniętej mapie wraz z wielkością próby, jako opis, a nie ustalenie.

Twoje prawa

Możesz zażądać kopii przechowywanych o Tobie danych, ich sprostowania, usunięcia swojego konta albo wnieść sprzeciw wobec sposobu ich wykorzystania: hello@mg.truecauses.org. Jeśli nie możemy spełnić żądania, podajemy powód. Masz prawo wnieść skargę do organu ochrony danych osobowych.

Gdzie

Serwery znajdują się w Unii Europejskiej. Dostawcy poczty i operatorzy płatności mogą przetwarzać dane poza nią na podstawie swoich standardowych zabezpieczeń.

Wiążący tekst angielski

Privacy

Last updated 1 September 2026. What is held, why, and for how long — written from the code rather than from a template.

What we hold

A handle and a password hash. Salted and hashed; we cannot read your password.
An address only if you give one, and only until you confirm it. On confirmation the address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account, and to send a password reset; not enough to recover the address. One exception, at your choice: if you ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request, never shown to the steward — and removed the moment you say so, or with your account.
What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside a dialogue these are not attributed to you anywhere in the interface. While the dialogue is running, the database records who wrote what, so that one-vote-each and round robin can work at all. Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random one and the list of replacements is not written anywhere. The steward's name stays only as the room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing on this server can say who wrote which card, cast which vote, or said what in a side chat — not the steward, not the operator, not a court order. Your own record keeps two things: that you were in that room, and the sentence you wrote about where you stood before and after. Only you can read either. The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did, so that two groups of rooms sharing people are not counted as independent. It is made from a random value on your account, not from your name; once your account is deleted, it points at no one.
Which dialogues you were in. A list on your record of room ids, never of cards. It is what lets you find a room again, read a private one you were part of after it is sealed, and be refused a second seat in a group of rooms you already sat in.
Private dialogues. A room opened as private is readable by its members and by nobody else, at every stage and after it is settled — not by an applicant, not by someone holding the link. The API, the page and the change feed all refuse the same way.
A signed session cookie, expiring after 14 days. No third-party cookies, no analytics, no advertising, no trackers.
Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a two-character hint so they can recognise a row. The addresses themselves are not stored.

What we do not hold

No location, no phone number, no advertising identifiers, no profile built from your behaviour, no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.

Who else sees it

Other participants see what you wrote, never that you wrote it.
A steward sees the handle of someone asking to join, because that is a decision about whether a particular person belongs.
Other rooms see a card only if you released it.
Processors: a mail provider for confirmations and resets; a payment provider if you subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument you submit to it are sent to Anthropic — no account details, and the verdict is computed on this server either way.
The operator can read the database. Records are not yet tamper-evident, and we say so on the sign-in page rather than implying otherwise.

How long

A dialogue that does not reach its map within 60 days of opening is purged, with everything in it: unfinished work is not kept. Once the map is laid out, the record stays.

Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with their link. Deleting your account removes the account and its contact hash. What you contributed to a dialogue stays, unattributed, because other people's votes and maps were built on it — removing it would rewrite their record. That is the same rule that stops anyone editing history in their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account removes the last link between you and a room, the note that you were in it.

What we learn from it

At sealing, and only then, a dialogue computes one thing about itself: which cards were on the sticker sets of the people whose view moved, against those whose view held. It is kept as counts per card, never per person, and it is computed before the names are replaced because it cannot be computed after. It is shown on the settled map with its size next to it, as a description, not a finding.

Your rights

Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may complain to your data protection authority.

Where

Servers in the European Union. Mail and payment providers may process data outside it under their standard safeguards.

Regulamin · O projekcie · Jak to działa