← назадУкраткоУслуга чува корисничко име, хеш лозинке и оно што пишете у дијалозима. Потврђена адреса замењује се хешом са кључем, осим ако затражите да примате подсетнике. Унутар дијалога ништа што напишете не приказује се под вашим именом, а седам дана пошто се дијалог заврши он се запечаћује: свако име у њему замењује се насумичним, тако да више нико не може да каже ко је шта написао. Нема алата за праћење, аналитике ни оглашавања, и ништа се не продаје. Недовршени дијалози бришу се после утврђеног броја дана; завршени остају. Можете затражити копију својих података, исправку или брисање налога. Сервери су у Европској унији.
Превод за вашу информацију. Обавезујући је енглески текст испод њега.
Приватност
Последња измена: 1. септембар 2026. Шта се чува, зашто и колико
дуго — написано на основу кода, а не по шаблону.
Шта чувамо
- Корисничко име и хеш лозинке. Уз со и хеширање; не можемо да прочитамо вашу лозинку.
- Адресу само ако је дате, и само док је не потврдите. По потврди се
адреса брише и замењује хешом са кључем — довољним да се обезбеди једно сандуче, један налог,
и да се пошаље ресетовање лозинке; недовољним да се адреса поврати. Један изузетак, по вашем избору: ако
на својој почетној страници затражите да примате подсетнике од водитеља дијалога у којима учествујете, та адреса се
чува у ту једну сврху — највише један мејл по фази, који платформа шаље на захтев водитеља,
а водитељу се никад не приказује — и уклања се оног тренутка када то затражите, или заједно са вашим налогом.
- Оно што пишете: картице, појашњења, коментаре у бочним разговорима, гласове, везе, номинације. Унутар
дијалога ово вам нигде у интерфејсу није приписано. Док дијалог
траје, база података бележи ко је шта написао, како би правила „један глас по особи” и „круг по круг” уопште могла да раде.
Седам дана пошто се дијалог заврши, он се печати: свако име у њему замењује се насумичним,
а списак замена се нигде не записује. Име водитеља остаје само као име
водитеља собе; оно што је водитељ написао или за шта је гласао замењује се као и код свих осталих. Од тада ништа
на овом серверу не може да каже ко је написао коју картицу, дао који глас или шта рекао у бочном разговору — ни
водитељ, ни оператер, ни судски налог. Ваш сопствени запис чува две ствари: то да сте били у тој
соби и реченицу коју сте написали о томе где сте стајали пре и после. Само ви можете да читате једно и друго.
Соба чува још једну ствар: шифру са кључем за сваку особу која је била у њој, никад за било шта што је та особа урадила,
како се две групе соба које деле људе не би рачунале као независне. Шифра се прави од насумичне
вредности на вашем налогу, а не од вашег имена; када се ваш налог обрише, не упућује ни на кога.
- У којим сте дијалозима били. Списак ид-ова соба у вашем запису, никад картица. То је оно што
вам омогућава да поново пронађете собу, да читате приватну собу чији сте део били и пошто је запечаћена, и да вам буде одбијено
друго место у групи соба у којој сте већ били.
- Приватни дијалози. Собу отворену као приватну могу да читају њени чланови и нико
други, у свакој фази и пошто се реши — ни пријављени, ни неко ко има линк.
API, страница и ток измена одбијају на исти начин.
- Потписани колачић сесије, који истиче после 14 дана. Без колачића трећих страна, без аналитике,
без оглашавања, без праћења.
- Спискови организација: хешеви са кључем адреса које је доставио администратор, уз
наговештај од два знака како би могао да препозна ред. Саме адресе се не чувају.
Шта не чувамо
Никакву локацију, број телефона, огласне идентификаторе, профил изграђен на основу вашег понашања,
нити IP записе осим онога што веб-сервер привремено чува. Ништа никоме не продајемо.
Ко још то види
- Остали учесници виде оно што сте написали, а никад то да сте ви то написали.
- Водитељ види корисничко име особе која тражи да се придружи, јер је то одлука о томе
да ли одређена особа припада соби.
- Друге собе виде картицу само ако сте је пустили.
- Обрађивачи: пружалац услуге е-поште за потврде и ресетовања; пружалац услуге плаћања ако се
претплатите; хостинг сервера. Ако је укључен опциони помоћник за логику, реченице аргумента
који му поднесете шаљу се компанији Anthropic — без података о налогу, а пресуда се у сваком случају израчунава на овом
серверу.
- Оператер може да чита базу података. Записи још нису заштићени тако да се свака измена види, и то кажемо на
страници за пријаву уместо да наговештавамо супротно.
Колико дуго
Дијалог који не стигне до своје мапе у року од 60 дана од отварања брише се, са свиме
што је у њему: недовршен рад се не чува. Када је мапа изложена, запис остаје.
Ваш налог и оно што сте написали остају док их не обришете. Непотврђене адресе истичу заједно са
својим линком. Брисањем налога уклањају се налог и његов контакт хеш. Оно чиме сте допринели
дијалогу остаје, без приписивања, јер су на томе изграђени туђи гласови и мапе —
његово уклањање преправило би њихов запис. То је исто правило које свакога спречава да мења историју у
своју корист. Печаћење (горе) чини уклањање приписивања трајним: после њега, брисање вашег налога
уклања последњу везу између вас и собе, забелешку да сте били у њој.
Шта из тога сазнајемо
При печаћењу, и само тада, дијалог израчунава једну ствар о себи: које су картице биле у
скуповима налепница људи чији се став померио, у односу на оне чији је став остао исти. Чува се као број по
картици, никад по особи, и израчунава се пре него што се имена замене, јер после тога не може да се
израчуна. Приказује се на коначној мапи, уз број на коме почива, као опис, а не као налаз.
Ваша права
Можете да затражите копију онога што се о вама чува, да затражите исправку, да затражите брисање свог налога или да
уложите приговор на начин на који се користи: hello@mg.truecauses.org. Ако не можемо да удовољимо захтеву, кажемо зашто. Можете
да поднесете притужбу свом органу за заштиту података о личности.
Где
Сервери у Европској унији. Пружаоци услуга е-поште и плаћања могу да обрађују податке изван ње уз своје
стандардне мере заштите.
Обавезујући текст на енглеском
Privacy
Last updated 1 September 2026. What is held, why, and for how
long — written from the code rather than from a template.
What we hold
- A handle and a password hash. Salted and hashed; we cannot read your password.
- An address only if you give one, and only until you confirm it. On confirmation the
address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account,
and to send a password reset; not enough to recover the address. One exception, at your choice: if you
ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is
kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request,
never shown to the steward — and removed the moment you say so, or with your account.
- What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside
a dialogue these are not attributed to you anywhere in the interface. While the dialogue is
running, the database records who wrote what, so that one-vote-each and round robin can work at all.
Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random
one and the list of replacements is not written anywhere. The steward's name stays only as the
room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing
on this server can say who wrote which card, cast which vote, or said what in a side chat — not the
steward, not the operator, not a court order. Your own record keeps two things: that you were in that
room, and the sentence you wrote about where you stood before and after. Only you can read either.
The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did,
so that two groups of rooms sharing people are not counted as independent. It is made from a random
value on your account, not from your name; once your account is deleted, it points at no one.
- Which dialogues you were in. A list on your record of room ids, never of cards. It is what
lets you find a room again, read a private one you were part of after it is sealed, and be refused a
second seat in a group of rooms you already sat in.
- Private dialogues. A room opened as private is readable by its members and by nobody
else, at every stage and after it is settled — not by an applicant, not by someone holding the link.
The API, the page and the change feed all refuse the same way.
- A signed session cookie, expiring after 14 days. No third-party cookies, no analytics,
no advertising, no trackers.
- Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a
two-character hint so they can recognise a row. The addresses themselves are not stored.
What we do not hold
No location, no phone number, no advertising identifiers, no profile built from your behaviour,
no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.
Who else sees it
- Other participants see what you wrote, never that you wrote it.
- A steward sees the handle of someone asking to join, because that is a decision about
whether a particular person belongs.
- Other rooms see a card only if you released it.
- Processors: a mail provider for confirmations and resets; a payment provider if you
subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument
you submit to it are sent to Anthropic — no account details, and the verdict is computed on this
server either way.
- The operator can read the database. Records are not yet tamper-evident, and we say so on
the sign-in page rather than implying otherwise.
How long
A dialogue that does not reach its map within 60 days of opening is purged, with everything
in it: unfinished work is not kept. Once the map is laid out, the record stays.
Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with
their link. Deleting your account removes the account and its contact hash. What you contributed
to a dialogue stays, unattributed, because other people's votes and maps were built on it —
removing it would rewrite their record. That is the same rule that stops anyone editing history in
their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account
removes the last link between you and a room, the note that you were in it.
What we learn from it
At sealing, and only then, a dialogue computes one thing about itself: which cards were on the
sticker sets of the people whose view moved, against those whose view held. It is kept as counts per
card, never per person, and it is computed before the names are replaced because it cannot be computed
after. It is shown on the settled map with its size next to it, as a description, not a finding.
Your rights
Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or
object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may
complain to your data protection authority.
Where
Servers in the European Union. Mail and payment providers may process data outside it under their
standard safeguards.