← назадКороткоСервис хранит имя пользователя, хеш пароля и то, что вы пишете в диалогах. Подтвержденный адрес заменяется хешем с ключом, если только вы не просите присылать напоминания. Внутри диалога ничего из написанного вами не показывается под вашим именем, а через семь дней после завершения диалог запечатывается: каждое имя в нем заменяется случайным, и уже никто не может сказать, кто что написал. Нет трекеров, нет аналитики, нет рекламы, и ничего не продается. Незавершенные диалоги удаляются через установленное число дней; завершенные остаются. Вы можете запросить копию своих данных, исправление или удаление аккаунта. Серверы находятся в Европейском союзе.
Перевод для справки. Юридическую силу имеет английский текст под ним.
Конфиденциальность
Последнее обновление: 1 сентября 2026 года. Что хранится, зачем и как
долго — написано по коду, а не по шаблону.
Что мы храним
- Имя пользователя и хеш пароля. С солью и хешированием; прочитать ваш пароль мы не можем.
- Адрес — только если вы его указали, и только до его подтверждения. При подтверждении
адрес удаляется и заменяется хешем с ключом — этого достаточно, чтобы соблюдать правило «один почтовый ящик — одна учетная запись»
и отправить ссылку для сброса пароля, но недостаточно, чтобы восстановить адрес. Одно исключение, по вашему выбору: если вы
попросите в панели управления присылать вам напоминания от ведущих диалогов, в которых вы участвуете, этот адрес
хранится для этой единственной цели — не более одного письма на этап, отправляемого платформой по запросу ведущего,
и никогда не показывается ведущему — и удаляется, как только вы об этом попросите, или вместе с вашей учетной записью.
- То, что вы пишете: карточки, пояснения, реплики в боковом чате, голоса, связи, выдвижения. Внутри
диалога все это нигде в интерфейсе не приписывается вам. Пока диалог
идет, база данных записывает, кто что написал, — иначе не могли бы работать правило «один голос у каждого» и очередность ходов.
Через семь дней после завершения диалог запечатывается: каждое имя в нем заменяется случайным,
а список замен нигде не записывается. Имя ведущего остается только как имя ведущего
комнаты; то, что ведущий написал или за что голосовал, заменяется так же, как у всех. С этого момента ничто
на этом сервере не может сказать, кто написал какую карточку, подал какой голос или что сказал в боковом чате, — ни
ведущий, ни оператор, ни судебное решение. В вашей собственной записи остаются две вещи: то, что вы были в этой
комнате, и предложение, которое вы написали о своей позиции до и после. Прочитать их можете только вы.
Комната хранит еще одно: код с ключом для каждого человека, который в ней участвовал, — но никогда для чего-либо, что он сделал, —
чтобы две группы комнат с общими людьми не считались независимыми. Он создается из случайного
значения в вашей учетной записи, а не из вашего имени; после удаления вашей учетной записи он ни на кого не указывает.
- В каких диалогах вы участвовали. Список идентификаторов комнат в вашей записи, но никогда не карточек. Именно он
позволяет снова найти комнату, читать закрытую комнату, в которой вы участвовали, после ее запечатывания, и получить отказ во
втором месте в группе комнат, где вы уже участвовали.
- Закрытые диалоги. Комнату, открытую как закрытая, могут читать ее участники и никто
другой — на любом этапе и после того, как она завершена, — ни заявитель, ни тот, у кого есть ссылка.
API, страница и лента изменений отказывают одинаково.
- Подписанный файл cookie сеанса, срок действия которого истекает через 14 дн. Никаких сторонних cookie, никакой аналитики,
никакой рекламы, никаких трекеров.
- Списки участников организаций: хеши с ключом от адресов, которые указал администратор, плюс
подсказка из двух символов, чтобы он мог узнать строку. Сами адреса не хранятся.
Чего мы не храним
Никакого местоположения, номера телефона, рекламных идентификаторов, профиля, построенного по вашему поведению,
никаких журналов IP-адресов сверх того, что веб-сервер временно хранит. Мы ничего никому не продаем.
Кто еще это видит
- Другие участники видят то, что вы написали, но никогда — что это написали вы.
- Ведущий видит имя пользователя того, кто просит о присоединении, потому что это решение о том,
место ли в комнате конкретному человеку.
- Другие комнаты видят карточку, только если вы ее отпустили.
- Обработчики: почтовая служба для подтверждений и сброса пароля; платежная система, если вы
оформляете подписку; хостинг сервера. Если включен необязательный логический помощник, предложения довода,
который вы ему отправляете, передаются в Anthropic — без данных учетной записи, а вывод в любом случае вычисляется на этом
сервере.
- Оператор может читать базу данных. Записи пока не защищены от незаметного изменения, и мы говорим об этом на
странице входа, а не делаем вид, что это не так.
Как долго
Диалог, который не дошел до карты в течение 60 дн. после открытия, удаляется вместе со всем,
что в нем есть: незавершенная работа не хранится. Когда карта построена, запись остается.
Ваша учетная запись и то, что вы написали, хранятся, пока вы их не удалите. Неподтвержденные адреса истекают вместе
со ссылкой. Удаление учетной записи удаляет учетную запись и хеш ее контактных данных. То, что вы внесли
в диалог, остается — без указания авторства, потому что на этом построены голоса и карты других людей, и
удаление переписало бы их запись. Это то же правило, которое не дает никому переписывать историю в
свою пользу. Запечатывание (см. выше) делает отсутствие авторства окончательным: после него удаление учетной записи
убирает последнюю связь между вами и комнатой — отметку о том, что вы в ней были.
Что мы из этого узнаем
При запечатывании, и только тогда, диалог вычисляет о себе одно: какие карточки были в наборах
наклеек людей, чья позиция сдвинулась, по сравнению с теми, чья позиция не изменилась. Это хранится как числа по каждой
карточке, но никогда по человеку, и вычисляется до замены имен, потому что после нее это вычислить
нельзя. Это показывается на устоявшейся карте вместе с размером выборки — как описание, а не как вывод.
Ваши права
Вы можете запросить копию того, что о вас хранится, потребовать исправления, удаления вашей учетной записи или
возразить против того, как это используется: hello@mg.truecauses.org. Если мы не можем выполнить запрос, мы объясняем почему. Вы можете
подать жалобу в свой орган по защите персональных данных.
Где
Серверы находятся в Европейском союзе. Почтовая служба и платежная система могут обрабатывать данные за его пределами со своими
стандартными мерами защиты.
Юридически обязывающий текст на английском
Privacy
Last updated 1 September 2026. What is held, why, and for how
long — written from the code rather than from a template.
What we hold
- A handle and a password hash. Salted and hashed; we cannot read your password.
- An address only if you give one, and only until you confirm it. On confirmation the
address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account,
and to send a password reset; not enough to recover the address. One exception, at your choice: if you
ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is
kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request,
never shown to the steward — and removed the moment you say so, or with your account.
- What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside
a dialogue these are not attributed to you anywhere in the interface. While the dialogue is
running, the database records who wrote what, so that one-vote-each and round robin can work at all.
Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random
one and the list of replacements is not written anywhere. The steward's name stays only as the
room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing
on this server can say who wrote which card, cast which vote, or said what in a side chat — not the
steward, not the operator, not a court order. Your own record keeps two things: that you were in that
room, and the sentence you wrote about where you stood before and after. Only you can read either.
The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did,
so that two groups of rooms sharing people are not counted as independent. It is made from a random
value on your account, not from your name; once your account is deleted, it points at no one.
- Which dialogues you were in. A list on your record of room ids, never of cards. It is what
lets you find a room again, read a private one you were part of after it is sealed, and be refused a
second seat in a group of rooms you already sat in.
- Private dialogues. A room opened as private is readable by its members and by nobody
else, at every stage and after it is settled — not by an applicant, not by someone holding the link.
The API, the page and the change feed all refuse the same way.
- A signed session cookie, expiring after 14 days. No third-party cookies, no analytics,
no advertising, no trackers.
- Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a
two-character hint so they can recognise a row. The addresses themselves are not stored.
What we do not hold
No location, no phone number, no advertising identifiers, no profile built from your behaviour,
no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.
Who else sees it
- Other participants see what you wrote, never that you wrote it.
- A steward sees the handle of someone asking to join, because that is a decision about
whether a particular person belongs.
- Other rooms see a card only if you released it.
- Processors: a mail provider for confirmations and resets; a payment provider if you
subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument
you submit to it are sent to Anthropic — no account details, and the verdict is computed on this
server either way.
- The operator can read the database. Records are not yet tamper-evident, and we say so on
the sign-in page rather than implying otherwise.
How long
A dialogue that does not reach its map within 60 days of opening is purged, with everything
in it: unfinished work is not kept. Once the map is laid out, the record stays.
Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with
their link. Deleting your account removes the account and its contact hash. What you contributed
to a dialogue stays, unattributed, because other people's votes and maps were built on it —
removing it would rewrite their record. That is the same rule that stops anyone editing history in
their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account
removes the last link between you and a room, the note that you were in it.
What we learn from it
At sealing, and only then, a dialogue computes one thing about itself: which cards were on the
sticker sets of the people whose view moved, against those whose view held. It is kept as counts per
card, never per person, and it is computed before the names are replaced because it cannot be computed
after. It is shown on the settled map with its size next to it, as a description, not a finding.
Your rights
Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or
object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may
complain to your data protection authority.
Where
Servers in the European Union. Mail and payment providers may process data outside it under their
standard safeguards.