← назадКороткоСервіс зберігає ім’я користувача, хеш пароля і те, що ви пишете в діалогах. Підтверджену адресу замінюють хешем із ключем, якщо ви не просите надсилати нагадування. Усередині діалогу ніщо з написаного вами не показується під вашим ім’ям, а через сім днів після завершення діалог запечатують: кожне ім’я в ньому замінюють випадковим, тож ніхто вже не може сказати, хто що написав. Немає трекерів, аналітики й реклами, і нічого не продається. Незавершені діалоги видаляють через установлену кількість днів; завершені залишаються. Ви можете попросити копію своїх даних, виправлення або видалення облікового запису. Сервери розташовані в Європейському Союзі.
Переклад для довідки. Обов’язковим є англійський текст під ним.
Конфіденційність
Останнє оновлення: 1 вересня 2026 року. Що зберігається, навіщо і як
довго — написано на основі коду, а не шаблону.
Що ми зберігаємо
- Ім’я користувача і хеш пароля. Із сіллю і хешуванням; ми не можемо прочитати ваш пароль.
- Адресу — лише якщо ви її вказали, і лише доки ви її не підтвердите. Після підтвердження
адресу видаляють і замінюють хешем із ключем — цього досить, щоб забезпечити правило «одна поштова скринька — один обліковий запис»
і надіслати лист для скидання пароля, але не досить, щоб відновити адресу. Один виняток, на ваш вибір: якщо ви
попросите на своїй особистій сторінці надсилати вам нагадування від ведучих діалогів, у яких ви берете участь, цю адресу
зберігають лише для цієї мети — щонайбільше один лист на етап, який надсилає платформа на запит ведучого,
і ведучому адресу ніколи не показують, — і видаляють тієї миті, коли ви про це скажете, або разом з обліковим записом.
- Те, що ви пишете: картки, уточнення, репліки в бічних чатах, голоси, зв’язки, висунення. Усередині
діалогу ніде в інтерфейсі їх вам не приписують. Поки діалог
триває, база даних записує, хто що написав, бо інакше правила «один голос на кожного» й черговості взагалі не могли б працювати.
Через сім днів після завершення діалогу його запечатують: кожне ім’я в ньому замінюють випадковим,
а перелік замін ніде не записують. Ім’я ведучого залишається лише як ім’я ведучого
кімнати; те, що ведучий написав чи як голосував, замінюють так само, як і в усіх інших. Відтоді ніщо
на цьому сервері не може сказати, хто написав яку картку, віддав який голос чи що сказав у бічному чаті, — ні
ведучий, ні оператор, ні рішення суду. Ваш власний запис зберігає дві речі: що ви були в тій
кімнаті, і речення, яке ви написали про свою позицію до і після. Прочитати те й інше можете лише ви.
Кімната зберігає ще одне: код із ключем для кожної людини, яка була в ній, але ніколи — для того, що вона робила,
щоб дві групи кімнат зі спільними людьми не вважалися незалежними. Його створюють із випадкового
значення у вашому обліковому записі, а не з вашого імені; щойно ваш обліковий запис видалено, він ні на кого не вказує.
- У яких діалогах ви були. Перелік ідентифікаторів кімнат у вашому записі, ніколи не карток. Саме він
дає змогу знову знайти кімнату, читати закриту кімнату, учасником якої ви були, після її запечатування, і не отримати
другого місця в групі кімнат, у якій ви вже були.
- Закриті діалоги. Кімнату, відкриту як закрита, можуть читати її учасники й ніхто
інший — на кожному етапі і після того, як її вирішено, — ні заявник, ні той, хто має посилання.
API, сторінка і стрічка змін відмовляють однаково.
- Підписаний файл cookie сеансу, термін дії якого спливає через 14 днів. Жодних сторонніх файлів cookie, жодної аналітики,
жодної реклами, жодних трекерів.
- Списки організацій: хеші з ключем для адрес, які надав адміністратор, плюс
підказка з двох символів, щоб він міг упізнати рядок. Самі адреси не зберігаються.
Чого ми не зберігаємо
Жодного місцезнаходження, жодного номера телефону, жодних рекламних ідентифікаторів, жодного профілю на основі вашої поведінки,
жодних журналів IP, крім того, що вебсервер тимчасово зберігає. Ми нічого нікому не продаємо.
Хто ще це бачить
- Інші учасники бачать те, що ви написали, але ніколи — що це написали ви.
- Ведучий бачить ім’я користувача людини, яка просить приєднатися, бо це рішення про те,
чи належить до групи конкретна людина.
- Інші кімнати бачать картку, лише якщо ви її передали.
- Обробники: поштовий сервіс для підтверджень і скидання пароля; платіжний провайдер, якщо ви
оформлюєте підписку; хостинг сервера. Якщо ввімкнено необов’язкового логічного помічника, речення аргументу,
який ви йому подаєте, надсилаються до Anthropic — без даних облікового запису, а вердикт у будь-якому разі обчислюється на цьому
сервері.
- Оператор може читати базу даних. Записи поки не захищені від непомітних змін, і ми кажемо про це на
сторінці входу, а не створюємо іншого враження.
Як довго
Діалог, який не дійшов до своєї мапи протягом 60 днів після відкриття, видаляється з усім,
що в ньому є: незавершену роботу не зберігають. Коли мапу побудовано, запис залишається.
Ваш обліковий запис і те, що ви написали, зберігаються, доки ви їх не видалите. Непідтверджені адреси спливають разом
з посиланням для підтвердження. Видалення облікового запису видаляє обліковий запис і хеш контакту. Те, що ви внесли
в діалог, залишається без підпису, бо на цьому побудовано голоси й мапи інших людей, —
видалення переписало б їхній запис. Це те саме правило, яке не дає нікому редагувати історію на
свою користь. Запечатування (див. вище) робить відсутність підпису остаточною: після нього видалення облікового запису
прибирає останній зв’язок між вами і кімнатою — позначку, що ви в ній були.
Що ми з цього дізнаємося
Під час запечатування, і лише тоді, діалог обчислює одну річ про себе: які картки були в наборах
наліпок людей, чия позиція змінилася, порівняно з тими, чия позиція не змінилася. Це зберігається як кількість для кожної
картки, ніколи — для кожної людини, і обчислюється до заміни імен, бо після неї обчислити це
неможливо. Це показано на вирішеній мапі разом із розміром вибірки, як опис, а не висновок.
Ваші права
Попросіть копію того, що про вас зберігається, попросіть виправити це, попросіть видалити ваш обліковий запис або
заперечте проти того, як це використовується: hello@mg.truecauses.org. Якщо ми не можемо виконати запит, ми пояснимо чому. Ви можете
подати скаргу до свого органу із захисту даних.
Де
Сервери в Європейському Союзі. Поштовий і платіжний провайдери можуть обробляти дані за його межами з дотриманням своїх
стандартних гарантій.
Обов’язковий текст англійською
Privacy
Last updated 1 September 2026. What is held, why, and for how
long — written from the code rather than from a template.
What we hold
- A handle and a password hash. Salted and hashed; we cannot read your password.
- An address only if you give one, and only until you confirm it. On confirmation the
address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account,
and to send a password reset; not enough to recover the address. One exception, at your choice: if you
ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is
kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request,
never shown to the steward — and removed the moment you say so, or with your account.
- What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside
a dialogue these are not attributed to you anywhere in the interface. While the dialogue is
running, the database records who wrote what, so that one-vote-each and round robin can work at all.
Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random
one and the list of replacements is not written anywhere. The steward's name stays only as the
room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing
on this server can say who wrote which card, cast which vote, or said what in a side chat — not the
steward, not the operator, not a court order. Your own record keeps two things: that you were in that
room, and the sentence you wrote about where you stood before and after. Only you can read either.
The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did,
so that two groups of rooms sharing people are not counted as independent. It is made from a random
value on your account, not from your name; once your account is deleted, it points at no one.
- Which dialogues you were in. A list on your record of room ids, never of cards. It is what
lets you find a room again, read a private one you were part of after it is sealed, and be refused a
second seat in a group of rooms you already sat in.
- Private dialogues. A room opened as private is readable by its members and by nobody
else, at every stage and after it is settled — not by an applicant, not by someone holding the link.
The API, the page and the change feed all refuse the same way.
- A signed session cookie, expiring after 14 days. No third-party cookies, no analytics,
no advertising, no trackers.
- Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a
two-character hint so they can recognise a row. The addresses themselves are not stored.
What we do not hold
No location, no phone number, no advertising identifiers, no profile built from your behaviour,
no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.
Who else sees it
- Other participants see what you wrote, never that you wrote it.
- A steward sees the handle of someone asking to join, because that is a decision about
whether a particular person belongs.
- Other rooms see a card only if you released it.
- Processors: a mail provider for confirmations and resets; a payment provider if you
subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument
you submit to it are sent to Anthropic — no account details, and the verdict is computed on this
server either way.
- The operator can read the database. Records are not yet tamper-evident, and we say so on
the sign-in page rather than implying otherwise.
How long
A dialogue that does not reach its map within 60 days of opening is purged, with everything
in it: unfinished work is not kept. Once the map is laid out, the record stays.
Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with
their link. Deleting your account removes the account and its contact hash. What you contributed
to a dialogue stays, unattributed, because other people's votes and maps were built on it —
removing it would rewrite their record. That is the same rule that stops anyone editing history in
their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account
removes the last link between you and a room, the note that you were in it.
What we learn from it
At sealing, and only then, a dialogue computes one thing about itself: which cards were on the
sticker sets of the people whose view moved, against those whose view held. It is kept as counts per
card, never per person, and it is computed before the names are replaced because it cannot be computed
after. It is shown on the settled map with its size next to it, as a description, not a finding.
Your rights
Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or
object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may
complain to your data protection authority.
Where
Servers in the European Union. Mail and payment providers may process data outside it under their
standard safeguards.