Privacy

Sa madaling salita

Ang iniingatan ng serbisyo ay isang username, isang password hash at ang isinusulat mo sa mga diyalogo. Pinapalitan ng keyed hash ang kumpirmadong address, maliban kung hilingin mong makatanggap ng mga paalala. Sa loob ng isang diyalogo, walang isinusulat mo na ipinapakita sa ilalim ng pangalan mo, at pitong araw matapos makumpleto ang isang diyalogo, sineselyuhan ito: pinapalitan ng random na pangalan ang bawat pangalan dito, kaya wala nang makapagsasabi kung sino ang sumulat ng ano. Walang tracker, walang analytics at walang advertising, at walang ibinebenta. Binubura ang mga hindi natapos na diyalogo matapos ang takdang bilang ng araw; nananatili ang mga natapos. Puwede kang humingi ng kopya ng iyong data, pagtatama o pagbura ng iyong account. Nasa European Union ang mga server.

Isang salin para sa iyong sanggunian. Ang tekstong Ingles sa ibaba nito ang may bisa.

Privacy

Huling binago noong 1 Setyembre 2026. Kung ano ang hawak namin, bakit, at gaano katagal — isinulat mula sa code at hindi mula sa isang template.

Ang hawak namin

Isang username at hash ng password. May salt at naka-hash; hindi namin mababasa ang iyong password.
Isang address kung magbibigay ka lang, at hanggang makumpirma mo lang ito. Sa pagkumpirma, binubura ang address at pinapalitan ng keyed hash — sapat para ipatupad ang isang mailbox, isang account, at para magpadala ng password reset; hindi sapat para mabawi ang address. Isang eksepsiyon, ayon sa pili mo: kung hihilingin mo sa iyong dashboard na makatanggap ng mga paalala mula sa mga tagapagpadaloy ng mga diyalogong kinabibilangan mo, iniingatan ang address na iyon para sa iisang layuning iyon — hindi hihigit sa isang mail bawat yugto, ipinapadala ng plataporma sa hiling ng tagapagpadaloy, hindi kailanman ipinapakita sa tagapagpadaloy — at inaalis sa sandaling sabihin mo, o kasama ng iyong account.
Ang isinusulat mo: mga card, paglilinaw, turno sa side chat, boto, ugnayan, nominasyon. Sa loob ng isang diyalogo, hindi ito iniuugnay sa iyo saanman sa interface. Habang tumatakbo ang diyalogo, itinatala ng database kung sino ang sumulat ng ano, para gumana man lang ang isang-boto-bawat-isa at ang round robin. Pitong araw matapos makumpleto ang isang diyalogo, sineselyuhan ito: pinapalitan ng random na pangalan ang bawat pangalan sa loob nito at hindi isinusulat saanman ang listahan ng mga pamalit. Nananatili lang ang pangalan ng tagapagpadaloy bilang tagapagpadaloy ng silid; pinapalitan ang isinulat o ibinoto ng tagapagpadaloy gaya ng sa lahat. Mula noon, walang anuman sa server na ito ang makapagsasabi kung sino ang sumulat ng aling card, nagbigay ng aling boto, o nagsabi ng ano sa side chat — hindi ang tagapagpadaloy, hindi ang operator, hindi ang utos ng korte. Tatlong bagay ang iniingatan ng sarili mong rekord: na naroon ka sa silid na iyon; ang pangungusap na isinulat mo tungkol sa paninindigan mo bago at pagkatapos, kasama kung saan napunta ang mga sticker mo sa mapa ng silid; at ang sarili mong mga numero mula roon, gaya ng ilang card ang isinulat mo, ilang sticker ang nakuha ng mga ito, at gaano kadalas tumugma ang boto mo sa pasya ng silid, sa anyo ng mga bilang na walang card na pinapangalanan. Ikaw lang ang makababasa ng mga ito, maliban kung ibahagi mo ang mga kabuuan mo sa sarili mong link (hindi kailanman ang mga silid o card mo), na maaari mong itigil anumang oras; kapag binura mo ang iyong account, mabubura ang mga ito at mawawalan ng bisa ang link. Isa pang bagay ang iniingatan ng silid: isang keyed code para sa bawat taong naupo rito, hindi kailanman para sa anumang ginawa nila, para hindi mabilang bilang magkahiwalay ang dalawang grupo ng silid na may parehong mga tao. Ginagawa ito mula sa isang random na value sa iyong account, hindi mula sa iyong pangalan; kapag nabura na ang iyong account, wala na itong itinuturong sinuman.
Kung aling mga diyalogo ang kinabilangan mo. Isang listahan sa iyong rekord ng mga id ng silid, hindi kailanman ng mga card. Ito ang nagpapahintulot sa iyong mahanap muli ang isang silid, mabasa ang pribadong silid na kinabilangan mo matapos itong maselyuhan, at matanggihan sa ikalawang puwesto sa isang grupo ng silid na naupuan mo na.
Mga pribadong diyalogo. Ang silid na binuksan bilang pribado ay nababasa ng mga kasapi nito at ng walang iba, sa bawat yugto at matapos itong mapagpasyahan — hindi ng aplikante, hindi ng sinumang may hawak ng link. Pare-pareho ang pagtanggi ng API, ng pahina at ng change feed.
Isang naka-sign na session cookie, na nag-e-expire matapos ang 14 araw. Walang third-party cookie, walang analytics, walang advertising, walang tracker.
Mga listahan ng kasapi ng organisasyon: mga keyed hash ng mga address na ibinigay ng isang administrador, kasama ang dalawang-titik na pahiwatig para makilala nila ang isang hilera. Hindi iniimbak ang mismong mga address.

Ang hindi namin hawak

Walang lokasyon, walang numero ng telepono, walang advertising identifier, walang profile na binuo mula sa iyong kilos, walang IP log maliban sa pansamantalang iniingatan ng web server. Wala kaming ibinebenta kaninuman.

Kung sino pa ang nakakakita nito

Ibang kalahok — nakikita nila ang isinulat mo, hindi kailanman na ikaw ang sumulat nito.
Isang tagapagpadaloy — nakikita niya ang username ng taong humihiling na sumali, dahil pasya iyon kung kabilang ang isang partikular na tao.
Ibang silid — nakikita nila ang isang card kung inilabas mo lang ito.
Mga processor: isang mail provider para sa mga kumpirmasyon at reset; isang payment provider kung mag-subscribe ka; ang host ng server. Kung naka-enable ang opsiyonal na logic assistant, ipinapadala sa Anthropic ang mga pangungusap ng argumentong isinumite mo rito — walang detalye ng account, at sa server na ito pa rin kinukuwenta ang pasya.
Ang operator — kaya niyang basahin ang database. Hindi pa tamper-evident ang mga rekord, at sinasabi namin iyon sa pahina ng pag-sign in sa halip na magpahiwatig ng iba.

Gaano katagal

Ang diyalogong hindi umabot sa mapa nito sa loob ng 60 araw mula nang magbukas ay binubura, kasama ang lahat ng nasa loob nito: hindi iniingatan ang hindi natapos na gawain. Kapag nailatag na ang mapa, nananatili ang rekord.

Nananatili ang iyong account at ang isinulat mo hanggang burahin mo ang mga ito. Nag-e-expire ang mga hindi kumpirmadong address kasabay ng kanilang link. Inaalis ng pagbura sa iyong account ang account at ang contact hash nito. Nananatili ang iniambag mo sa isang diyalogo, nang hindi iniuugnay sa iyo, dahil dito binuo ang mga boto at mapa ng ibang tao — ang pag-alis dito ay muling isusulat ang kanilang rekord. Iyon din ang patakarang pumipigil sa sinuman na baguhin ang kasaysayan para sa sarili nilang pakinabang. Ginagawang permanente ng pagseselyo (nasa itaas) ang hindi pag-uugnay: pagkatapos nito, inaalis ng pagbura sa iyong account ang huling kawing sa pagitan mo at ng isang silid, ang talang naroon ka.

Ang natututuhan namin mula rito

Sa pagseselyo, at sa panahong iyon lang, isang bagay ang kinukuwenta ng diyalogo tungkol sa sarili nito: kung aling mga card ang nasa mga sticker ng mga taong nagbago ang pananaw, kumpara sa mga taong hindi nagbago ang pananaw. Iniingatan ito bilang bilang bawat card, hindi kailanman bawat tao, at kinukuwenta ito bago palitan ang mga pangalan dahil hindi na ito makukuwenta pagkatapos. Ipinapakita ito sa napagpasyahang mapa kasama ang laki nito, bilang paglalarawan, hindi natuklasan.

Ang iyong mga karapatan

Humingi ng kopya ng hawak tungkol sa iyo, ipatama ito, ipabura ang iyong account, o tumutol sa paraan ng paggamit nito: hello@mg.truecauses.org. Kung hindi namin matutugunan ang isang hiling, sasabihin namin kung bakit. Puwede kang magreklamo sa iyong awtoridad sa proteksiyon ng datos.

Saan

Mga server sa European Union. Maaaring magproseso ng datos sa labas nito ang mga mail at payment provider sa ilalim ng kanilang karaniwang mga pananggalang.

Ang may-bisang tekstong Ingles

Privacy

Last updated 1 September 2026. What is held, why, and for how long — written from the code rather than from a template.

What we hold

A handle and a password hash. Salted and hashed; we cannot read your password.
An address only if you give one, and only until you confirm it. On confirmation the address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account, and to send a password reset; not enough to recover the address. One exception, at your choice: if you ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request, never shown to the steward — and removed the moment you say so, or with your account.
What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside a dialogue these are not attributed to you anywhere in the interface. While the dialogue is running, the database records who wrote what, so that one-vote-each and round robin can work at all. Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random one and the list of replacements is not written anywhere. The steward's name stays only as the room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing on this server can say who wrote which card, cast which vote, or said what in a side chat — not the steward, not the operator, not a court order. Your own record keeps three things: that you were in that room; the sentence you wrote about where you stood before and after, with where your stickers ended up on its map; and your own numbers from it, such as how many cards you wrote, how many stickers they drew and how often your vote matched the room's verdict, as counts that name no card. Only you can read them, unless you share your totals at a link of your own (never your rooms or cards), which you can end at any time; deleting your account deletes them and ends the link. The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did, so that two groups of rooms sharing people are not counted as independent. It is made from a random value on your account, not from your name; once your account is deleted, it points at no one.
Which dialogues you were in. A list on your record of room ids, never of cards. It is what lets you find a room again, read a private one you were part of after it is sealed, and be refused a second seat in a group of rooms you already sat in.
Private dialogues. A room opened as private is readable by its members and by nobody else, at every stage and after it is settled — not by an applicant, not by someone holding the link. The API, the page and the change feed all refuse the same way.
A signed session cookie, expiring after 14 days. No third-party cookies, no analytics, no advertising, no trackers.
Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a two-character hint so they can recognise a row. The addresses themselves are not stored.

What we do not hold

No location, no phone number, no advertising identifiers, no profile built from your behaviour, no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.

Who else sees it

Other participants see what you wrote, never that you wrote it.
A steward sees the handle of someone asking to join, because that is a decision about whether a particular person belongs.
Other rooms see a card only if you released it.
Processors: a mail provider for confirmations and resets; a payment provider if you subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument you submit to it are sent to Anthropic — no account details, and the verdict is computed on this server either way.
The operator can read the database. Records are not yet tamper-evident, and we say so on the sign-in page rather than implying otherwise.

How long

A dialogue that does not reach its map within 60 days of opening is purged, with everything in it: unfinished work is not kept. Once the map is laid out, the record stays.

Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with their link. Deleting your account removes the account and its contact hash. What you contributed to a dialogue stays, unattributed, because other people's votes and maps were built on it — removing it would rewrite their record. That is the same rule that stops anyone editing history in their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account removes the last link between you and a room, the note that you were in it.

What we learn from it

At sealing, and only then, a dialogue computes one thing about itself: which cards were on the sticker sets of the people whose view moved, against those whose view held. It is kept as counts per card, never per person, and it is computed before the names are replaced because it cannot be computed after. It is shown on the settled map with its size next to it, as a description, not a finding.

Your rights

Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may complain to your data protection authority.

Where

Servers in the European Union. Mail and payment providers may process data outside it under their standard safeguards.

Mga tuntunin · Tungkol · Paano ito gumagana