Privacidade

Em resumo

O serviço guarda um nome de utilizador, um hash da palavra-passe e o que escreve nos diálogos. Um endereço confirmado é substituído por um hash com chave, a menos que peça para receber lembretes. Dentro de um diálogo, nada do que escreve é mostrado com o seu nome, e sete dias depois de um diálogo terminar ele é selado: todos os nomes nele são substituídos por nomes aleatórios, para que ninguém possa voltar a dizer quem escreveu o quê. Não há rastreadores, nem análise de utilização, nem publicidade, e nada é vendido. Os diálogos por terminar são apagados ao fim de um número fixo de dias; os terminados ficam. Pode pedir uma cópia dos seus dados, uma correção ou a eliminação da sua conta. Os servidores estão na União Europeia.

Uma tradução para sua referência. O texto em inglês abaixo é o vinculativo.

Privacidade

Última atualização: 1 de setembro de 2026. O que é guardado, porquê e durante quanto tempo — escrito a partir do código e não de um modelo.

O que guardamos

Um nome de utilizador e um hash da palavra-passe. Com sal e hash; não conseguimos ler a sua palavra-passe.
Um endereço apenas se nos der um, e apenas até o confirmar. Na confirmação, o endereço é apagado e substituído por um hash com chave — o suficiente para garantir uma caixa de correio, uma conta, e para enviar uma reposição da palavra-passe; não o suficiente para recuperar o endereço. Uma exceção, por sua escolha: se pedir no seu painel de controlo para receber lembretes dos dinamizadores dos diálogos em que participa, esse endereço é guardado para esse único fim — no máximo uma mensagem por fase, enviada pela plataforma a pedido de um dinamizador, nunca mostrada ao dinamizador — e removido logo que o pedir, ou com a sua conta.
O que escreve: cartões, esclarecimentos, intervenções em chats laterais, votos, ligações, nomeações. Dentro de um diálogo, estes elementos não lhe são atribuídos em parte nenhuma da interface. Enquanto o diálogo está a decorrer, a base de dados regista quem escreveu o quê, para que o voto único por pessoa e a rotação de vez possam funcionar. Sete dias depois de um diálogo terminar, é selado: cada nome nele é substituído por um nome aleatório e a lista de substituições não fica escrita em lado nenhum. O nome do dinamizador fica apenas como dinamizador da sala; o que o dinamizador escreveu ou votou é substituído como o de todos os outros. A partir daí, nada neste servidor consegue dizer quem escreveu que cartão, deu que voto ou disse o quê num chat lateral — nem o dinamizador, nem o operador, nem uma ordem judicial. O seu próprio registo guarda duas coisas: que esteve nessa sala, e a frase que escreveu sobre a sua posição antes e depois. Só o utilizador pode ler qualquer delas. A sala guarda mais uma coisa: um código com chave para cada pessoa que nela esteve, nunca para nada do que fez, para que dois grupos de salas com pessoas em comum não sejam contados como independentes. É gerado a partir de um valor aleatório na sua conta, não do seu nome; depois de a sua conta ser eliminada, não aponta para ninguém.
Os diálogos em que participou. Uma lista de identificadores de salas no seu registo, nunca de cartões. É o que lhe permite voltar a encontrar uma sala, ler uma sala privada de que fez parte depois de selada, e ver recusado um segundo lugar num grupo de salas em que já esteve.
Diálogos privados. Uma sala aberta como privada pode ser lida pelos seus membros e por mais ninguém, em todas as fases e depois de decidida — nem por um candidato, nem por quem tenha a ligação. A API, a página e o fluxo de alterações recusam todos da mesma forma.
Um cookie de sessão assinado, que expira ao fim de 14 dias. Sem cookies de terceiros, sem estatísticas, sem publicidade, sem rastreadores.
Listas de membros de organizações: hashes com chave dos endereços fornecidos por um administrador, mais uma pista de dois caracteres para que este possa reconhecer cada linha. Os endereços em si não são guardados.

O que não guardamos

Nenhuma localização, nenhum número de telefone, nenhum identificador publicitário, nenhum perfil construído a partir do seu comportamento, nenhum registo de IP para além do que o servidor web guarda de forma transitória. Não vendemos nada a ninguém.

Quem mais vê

Os outros participantes veem o que escreveu, nunca que foi o utilizador a escrevê-lo.
Um dinamizador vê o nome de utilizador de quem pede para entrar, porque se trata de decidir se uma determinada pessoa pertence à sala.
Outras salas só veem um cartão se o tiver libertado.
Subcontratantes: um fornecedor de correio eletrónico para confirmações e reposições; um fornecedor de pagamentos se fizer uma assinatura; o alojamento do servidor. Se o assistente de lógica opcional estiver ativo, as frases de um argumento que lhe submeter são enviadas à Anthropic — sem dados da conta, e o veredicto é calculado neste servidor em qualquer caso.
O operador pode ler a base de dados. Os registos ainda não são à prova de adulteração, e dizemo-lo na página de início de sessão em vez de dar a entender o contrário.

Durante quanto tempo

Um diálogo que não chegue ao seu mapa no prazo de 60 dias após a abertura é apagado, com tudo o que contém: o trabalho por terminar não é guardado. Depois de o mapa estar traçado, o registo fica.

A sua conta e o que escreveu ficam até os eliminar. Os endereços não confirmados expiram com a respetiva ligação. Eliminar a sua conta remove a conta e o respetivo hash de contacto. O que contribuiu para um diálogo fica, sem autoria, porque os votos e mapas de outras pessoas foram construídos sobre isso — removê-lo reescreveria o registo delas. É a mesma regra que impede qualquer pessoa de editar a história a seu favor. A selagem (acima) torna a ausência de autoria permanente: depois dela, eliminar a sua conta remove a última ligação entre o utilizador e uma sala, a nota de que esteve nela.

O que aprendemos com isso

Na selagem, e só então, um diálogo calcula uma coisa sobre si próprio: que cartões estavam nos conjuntos de autocolantes das pessoas cuja opinião mudou, face aos das pessoas cuja opinião se manteve. É guardado como contagens por cartão, nunca por pessoa, e é calculado antes de os nomes serem substituídos porque não pode ser calculado depois. É mostrado no mapa decidido com a respetiva dimensão ao lado, como descrição, não como constatação.

Os seus direitos

Pode pedir uma cópia do que está guardado sobre si, pedir a sua retificação, pedir a eliminação da sua conta ou opor-se à forma como é usado: hello@mg.truecauses.org. Se não pudermos satisfazer um pedido, dizemos porquê. Pode apresentar reclamação à sua autoridade de proteção de dados.

Onde

Servidores na União Europeia. Os fornecedores de correio eletrónico e de pagamentos podem tratar dados fora dela ao abrigo das suas garantias habituais.

O texto em inglês, que é o vinculativo

Privacy

Last updated 1 September 2026. What is held, why, and for how long — written from the code rather than from a template.

What we hold

A handle and a password hash. Salted and hashed; we cannot read your password.
An address only if you give one, and only until you confirm it. On confirmation the address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account, and to send a password reset; not enough to recover the address. One exception, at your choice: if you ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request, never shown to the steward — and removed the moment you say so, or with your account.
What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside a dialogue these are not attributed to you anywhere in the interface. While the dialogue is running, the database records who wrote what, so that one-vote-each and round robin can work at all. Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random one and the list of replacements is not written anywhere. The steward's name stays only as the room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing on this server can say who wrote which card, cast which vote, or said what in a side chat — not the steward, not the operator, not a court order. Your own record keeps two things: that you were in that room, and the sentence you wrote about where you stood before and after. Only you can read either. The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did, so that two groups of rooms sharing people are not counted as independent. It is made from a random value on your account, not from your name; once your account is deleted, it points at no one.
Which dialogues you were in. A list on your record of room ids, never of cards. It is what lets you find a room again, read a private one you were part of after it is sealed, and be refused a second seat in a group of rooms you already sat in.
Private dialogues. A room opened as private is readable by its members and by nobody else, at every stage and after it is settled — not by an applicant, not by someone holding the link. The API, the page and the change feed all refuse the same way.
A signed session cookie, expiring after 14 days. No third-party cookies, no analytics, no advertising, no trackers.
Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a two-character hint so they can recognise a row. The addresses themselves are not stored.

What we do not hold

No location, no phone number, no advertising identifiers, no profile built from your behaviour, no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.

Who else sees it

Other participants see what you wrote, never that you wrote it.
A steward sees the handle of someone asking to join, because that is a decision about whether a particular person belongs.
Other rooms see a card only if you released it.
Processors: a mail provider for confirmations and resets; a payment provider if you subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument you submit to it are sent to Anthropic — no account details, and the verdict is computed on this server either way.
The operator can read the database. Records are not yet tamper-evident, and we say so on the sign-in page rather than implying otherwise.

How long

A dialogue that does not reach its map within 60 days of opening is purged, with everything in it: unfinished work is not kept. Once the map is laid out, the record stays.

Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with their link. Deleting your account removes the account and its contact hash. What you contributed to a dialogue stays, unattributed, because other people's votes and maps were built on it — removing it would rewrite their record. That is the same rule that stops anyone editing history in their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account removes the last link between you and a room, the note that you were in it.

What we learn from it

At sealing, and only then, a dialogue computes one thing about itself: which cards were on the sticker sets of the people whose view moved, against those whose view held. It is kept as counts per card, never per person, and it is computed before the names are replaced because it cannot be computed after. It is shown on the settled map with its size next to it, as a description, not a finding.

Your rights

Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may complain to your data protection authority.

Where

Servers in the European Union. Mail and payment providers may process data outside it under their standard safeguards.

Termos · Sobre · Como funciona