Privatnost

Ukratko

Usluga čuva korisničko ime, heš lozinke i ono što pišete u dijalozima. Potvrđena adresa zamenjuje se hešom sa ključem, osim ako zatražite da primate podsetnike. Unutar dijaloga ništa što napišete ne prikazuje se pod vašim imenom, a sedam dana pošto se dijalog završi on se zapečaćuje: svako ime u njemu zamenjuje se nasumičnim, tako da više niko ne može da kaže ko je šta napisao. Nema alata za praćenje, analitike ni oglašavanja, i ništa se ne prodaje. Nedovršeni dijalozi brišu se posle utvrđenog broja dana; završeni ostaju. Možete zatražiti kopiju svojih podataka, ispravku ili brisanje naloga. Serveri su u Evropskoj uniji.

Prevod za vašu informaciju. Obavezujući je engleski tekst ispod njega.

Privatnost

Poslednja izmena: 1. septembar 2026. Šta se čuva, zašto i koliko dugo — napisano na osnovu koda, a ne po šablonu.

Šta čuvamo

Korisničko ime i heš lozinke. Uz so i heširanje; ne možemo da pročitamo vašu lozinku.
Adresu samo ako je date, i samo dok je ne potvrdite. Po potvrdi se adresa briše i zamenjuje hešom sa ključem — dovoljnim da se obezbedi jedno sanduče, jedan nalog, i da se pošalje resetovanje lozinke; nedovoljnim da se adresa povrati. Jedan izuzetak, po vašem izboru: ako na svojoj početnoj stranici zatražite da primate podsetnike od voditelja dijaloga u kojima učestvujete, ta adresa se čuva u tu jednu svrhu — najviše jedan mejl po fazi, koji platforma šalje na zahtev voditelja, a voditelju se nikad ne prikazuje — i uklanja se onog trenutka kada to zatražite, ili zajedno sa vašim nalogom.
Ono što pišete: kartice, pojašnjenja, komentare u bočnim razgovorima, glasove, veze, nominacije. Unutar dijaloga ovo vam nigde u interfejsu nije pripisano. Dok dijalog traje, baza podataka beleži ko je šta napisao, kako bi pravila „jedan glas po osobi” i „krug po krug” uopšte mogla da rade. Sedam dana pošto se dijalog završi, on se pečati: svako ime u njemu zamenjuje se nasumičnim, a spisak zamena se nigde ne zapisuje. Ime voditelja ostaje samo kao ime voditelja sobe; ono što je voditelj napisao ili za šta je glasao zamenjuje se kao i kod svih ostalih. Od tada ništa na ovom serveru ne može da kaže ko je napisao koju karticu, dao koji glas ili šta rekao u bočnom razgovoru — ni voditelj, ni operater, ni sudski nalog. Vaš sopstveni zapis čuva dve stvari: to da ste bili u toj sobi i rečenicu koju ste napisali o tome gde ste stajali pre i posle. Samo vi možete da čitate jedno i drugo. Soba čuva još jednu stvar: šifru sa ključem za svaku osobu koja je bila u njoj, nikad za bilo šta što je ta osoba uradila, kako se dve grupe soba koje dele ljude ne bi računale kao nezavisne. Šifra se pravi od nasumične vrednosti na vašem nalogu, a ne od vašeg imena; kada se vaš nalog obriše, ne upućuje ni na koga.
U kojim ste dijalozima bili. Spisak id-ova soba u vašem zapisu, nikad kartica. To je ono što vam omogućava da ponovo pronađete sobu, da čitate privatnu sobu čiji ste deo bili i pošto je zapečaćena, i da vam bude odbijeno drugo mesto u grupi soba u kojoj ste već bili.
Privatni dijalozi. Sobu otvorenu kao privatnu mogu da čitaju njeni članovi i niko drugi, u svakoj fazi i pošto se reši — ni prijavljeni, ni neko ko ima link. API, stranica i tok izmena odbijaju na isti način.
Potpisani kolačić sesije, koji ističe posle 14 dana. Bez kolačića trećih strana, bez analitike, bez oglašavanja, bez praćenja.
Spiskovi organizacija: heševi sa ključem adresa koje je dostavio administrator, uz nagoveštaj od dva znaka kako bi mogao da prepozna red. Same adrese se ne čuvaju.

Šta ne čuvamo

Nikakvu lokaciju, broj telefona, oglasne identifikatore, profil izgrađen na osnovu vašeg ponašanja, niti IP zapise osim onoga što veb-server privremeno čuva. Ništa nikome ne prodajemo.

Ko još to vidi

Ostali učesnici vide ono što ste napisali, a nikad to da ste vi to napisali.
Voditelj vidi korisničko ime osobe koja traži da se pridruži, jer je to odluka o tome da li određena osoba pripada sobi.
Druge sobe vide karticu samo ako ste je pustili.
Obrađivači: pružalac usluge e-pošte za potvrde i resetovanja; pružalac usluge plaćanja ako se pretplatite; hosting servera. Ako je uključen opcioni pomoćnik za logiku, rečenice argumenta koji mu podnesete šalju se kompaniji Anthropic — bez podataka o nalogu, a presuda se u svakom slučaju izračunava na ovom serveru.
Operater može da čita bazu podataka. Zapisi još nisu zaštićeni tako da se svaka izmena vidi, i to kažemo na stranici za prijavu umesto da nagoveštavamo suprotno.

Koliko dugo

Dijalog koji ne stigne do svoje mape u roku od 60 dana od otvaranja briše se, sa svime što je u njemu: nedovršen rad se ne čuva. Kada je mapa izložena, zapis ostaje.

Vaš nalog i ono što ste napisali ostaju dok ih ne obrišete. Nepotvrđene adrese ističu zajedno sa svojim linkom. Brisanjem naloga uklanjaju se nalog i njegov kontakt heš. Ono čime ste doprineli dijalogu ostaje, bez pripisivanja, jer su na tome izgrađeni tuđi glasovi i mape — njegovo uklanjanje prepravilo bi njihov zapis. To je isto pravilo koje svakoga sprečava da menja istoriju u svoju korist. Pečaćenje (gore) čini uklanjanje pripisivanja trajnim: posle njega, brisanje vašeg naloga uklanja poslednju vezu između vas i sobe, zabelešku da ste bili u njoj.

Šta iz toga saznajemo

Pri pečaćenju, i samo tada, dijalog izračunava jednu stvar o sebi: koje su kartice bile u skupovima nalepnica ljudi čiji se stav pomerio, u odnosu na one čiji je stav ostao isti. Čuva se kao broj po kartici, nikad po osobi, i izračunava se pre nego što se imena zamene, jer posle toga ne može da se izračuna. Prikazuje se na konačnoj mapi, uz broj na kome počiva, kao opis, a ne kao nalaz.

Vaša prava

Možete da zatražite kopiju onoga što se o vama čuva, da zatražite ispravku, da zatražite brisanje svog naloga ili da uložite prigovor na način na koji se koristi: hello@mg.truecauses.org. Ako ne možemo da udovoljimo zahtevu, kažemo zašto. Možete da podnesete pritužbu svom organu za zaštitu podataka o ličnosti.

Gde

Serveri u Evropskoj uniji. Pružaoci usluga e-pošte i plaćanja mogu da obrađuju podatke izvan nje uz svoje standardne mere zaštite.

Obavezujući tekst na engleskom

Privacy

Last updated 1 September 2026. What is held, why, and for how long — written from the code rather than from a template.

What we hold

A handle and a password hash. Salted and hashed; we cannot read your password.
An address only if you give one, and only until you confirm it. On confirmation the address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account, and to send a password reset; not enough to recover the address. One exception, at your choice: if you ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request, never shown to the steward — and removed the moment you say so, or with your account.
What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside a dialogue these are not attributed to you anywhere in the interface. While the dialogue is running, the database records who wrote what, so that one-vote-each and round robin can work at all. Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random one and the list of replacements is not written anywhere. The steward's name stays only as the room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing on this server can say who wrote which card, cast which vote, or said what in a side chat — not the steward, not the operator, not a court order. Your own record keeps two things: that you were in that room, and the sentence you wrote about where you stood before and after. Only you can read either. The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did, so that two groups of rooms sharing people are not counted as independent. It is made from a random value on your account, not from your name; once your account is deleted, it points at no one.
Which dialogues you were in. A list on your record of room ids, never of cards. It is what lets you find a room again, read a private one you were part of after it is sealed, and be refused a second seat in a group of rooms you already sat in.
Private dialogues. A room opened as private is readable by its members and by nobody else, at every stage and after it is settled — not by an applicant, not by someone holding the link. The API, the page and the change feed all refuse the same way.
A signed session cookie, expiring after 14 days. No third-party cookies, no analytics, no advertising, no trackers.
Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a two-character hint so they can recognise a row. The addresses themselves are not stored.

What we do not hold

No location, no phone number, no advertising identifiers, no profile built from your behaviour, no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.

Who else sees it

Other participants see what you wrote, never that you wrote it.
A steward sees the handle of someone asking to join, because that is a decision about whether a particular person belongs.
Other rooms see a card only if you released it.
Processors: a mail provider for confirmations and resets; a payment provider if you subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument you submit to it are sent to Anthropic — no account details, and the verdict is computed on this server either way.
The operator can read the database. Records are not yet tamper-evident, and we say so on the sign-in page rather than implying otherwise.

How long

A dialogue that does not reach its map within 60 days of opening is purged, with everything in it: unfinished work is not kept. Once the map is laid out, the record stays.

Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with their link. Deleting your account removes the account and its contact hash. What you contributed to a dialogue stays, unattributed, because other people's votes and maps were built on it — removing it would rewrite their record. That is the same rule that stops anyone editing history in their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account removes the last link between you and a room, the note that you were in it.

What we learn from it

At sealing, and only then, a dialogue computes one thing about itself: which cards were on the sticker sets of the people whose view moved, against those whose view held. It is kept as counts per card, never per person, and it is computed before the names are replaced because it cannot be computed after. It is shown on the settled map with its size next to it, as a description, not a finding.

Your rights

Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may complain to your data protection authority.

Where

Servers in the European Union. Mail and payment providers may process data outside it under their standard safeguards.

Uslovi · O projektu · Kako radi