← quay lạiTóm tắtDịch vụ lưu một tên người dùng, một bản băm mật khẩu và những gì bạn viết trong các cuộc đối thoại. Địa chỉ đã xác nhận được thay bằng một bản băm có khóa, trừ khi bạn yêu cầu nhận lời nhắc. Trong một cuộc đối thoại, không có gì bạn viết được hiển thị dưới tên bạn, và bảy ngày sau khi một cuộc đối thoại hoàn tất, nó được niêm phong: mọi tên trong đó được thay bằng một tên ngẫu nhiên, nên không ai còn biết được ai đã viết gì. Không có trình theo dõi, không có phân tích, không có quảng cáo, và không bán gì cả. Các cuộc đối thoại chưa xong bị xóa sau một số ngày cố định; các cuộc đã xong được giữ lại. Bạn có thể yêu cầu bản sao dữ liệu của mình, yêu cầu sửa, hoặc yêu cầu xóa tài khoản. Máy chủ đặt tại Liên minh châu Âu.
Bản dịch để bạn tham khảo. Văn bản tiếng Anh bên dưới là bản có giá trị ràng buộc.
Quyền riêng tư
Cập nhật lần cuối ngày 1 tháng 9 năm 2026. Những gì được lưu giữ, vì sao, và trong bao
lâu — được viết dựa trên mã nguồn chứ không theo một mẫu soạn sẵn.
Những gì chúng tôi lưu giữ
- Một tên người dùng và một bản băm mật khẩu. Có thêm muối và được băm; chúng tôi không thể đọc mật khẩu của bạn.
- Một địa chỉ email, chỉ khi bạn cung cấp, và chỉ cho đến khi bạn xác nhận. Khi xác nhận, địa chỉ
bị xóa và được thay bằng một bản băm có khóa — đủ để bảo đảm mỗi hộp thư một tài khoản,
và để gửi email đặt lại mật khẩu; không đủ để khôi phục địa chỉ. Một ngoại lệ, do bạn lựa chọn: nếu bạn
yêu cầu trên trang tổng quan được nhận lời nhắc từ người điều phối của các cuộc đối thoại bạn tham gia, địa chỉ đó
được giữ lại cho đúng mục đích đó — tối đa một email mỗi giai đoạn, do nền tảng gửi theo yêu cầu của người điều phối,
không bao giờ hiển thị cho người điều phối — và bị xóa ngay khi bạn yêu cầu, hoặc cùng với tài khoản của bạn.
- Những gì bạn viết: thẻ, phần làm rõ, các lượt trong khung trò chuyện bên, phiếu, liên kết, đề cử. Trong
một cuộc đối thoại, những nội dung này không được gán cho bạn ở bất kỳ đâu trên giao diện. Trong khi cuộc đối thoại
đang diễn ra, cơ sở dữ liệu ghi lại ai đã viết gì, để nguyên tắc mỗi người một phiếu và việc lần lượt theo vòng có thể vận hành.
Bảy ngày sau khi một cuộc đối thoại hoàn tất, nó được niêm phong: mọi tên trong đó được thay bằng một tên ngẫu nhiên
và danh sách các thay thế không được ghi lại ở bất kỳ đâu. Tên của người điều phối chỉ còn lại với tư cách người điều phối
của phòng; những gì người điều phối đã viết hay bỏ phiếu được thay thế như của mọi người khác. Từ đó trở đi, không có gì
trên máy chủ này có thể cho biết ai đã viết thẻ nào, bỏ phiếu nào, hay nói gì trong khung trò chuyện bên — kể cả
người điều phối, bên vận hành hay một lệnh của tòa án. Hồ sơ của chính bạn giữ hai điều: rằng bạn đã ở trong phòng
đó, và câu bạn đã viết về lập trường của mình trước và sau. Chỉ bạn đọc được cả hai.
Phòng giữ thêm một điều: một mã có khóa cho mỗi người đã ngồi trong đó, không bao giờ cho bất cứ điều gì họ đã làm,
để hai nhóm phòng có chung người tham gia không bị tính là độc lập. Mã này được tạo từ một giá trị
ngẫu nhiên trong tài khoản của bạn, không phải từ tên của bạn; khi tài khoản của bạn bị xóa, nó không còn trỏ đến ai.
- Bạn đã ở trong những cuộc đối thoại nào. Một danh sách mã định danh phòng trong hồ sơ của bạn, không bao giờ là danh sách thẻ. Chính danh sách này
cho phép bạn tìm lại một phòng, đọc một phòng riêng tư mà bạn từng tham gia sau khi nó được niêm phong, và bị từ chối
chỗ thứ hai trong một nhóm phòng mà bạn đã ngồi.
- Cuộc đối thoại riêng tư. Một phòng được mở ở chế độ riêng tư chỉ các thành viên của nó đọc được, không ai
khác, ở mọi giai đoạn và sau khi đã ngã ngũ — không phải người đăng ký tham gia, không phải người có đường liên kết.
API, trang web và luồng cập nhật đều từ chối theo cùng một cách.
- Một cookie phiên có chữ ký, hết hạn sau 14 ngày. Không có cookie của bên thứ ba, không có công cụ phân tích,
không có quảng cáo, không có trình theo dõi.
- Danh sách thành viên của tổ chức: các bản băm có khóa của những địa chỉ do một quản trị viên cung cấp, kèm một
gợi ý hai ký tự để họ có thể nhận ra từng dòng. Bản thân các địa chỉ không được lưu.
Những gì chúng tôi không lưu giữ
Không có vị trí, không có số điện thoại, không có mã định danh quảng cáo, không có hồ sơ được xây dựng từ hành vi của bạn,
không có nhật ký IP ngoài những gì máy chủ web lưu tạm thời. Chúng tôi không bán gì cho bất kỳ ai.
Ai khác nhìn thấy
- Những người tham gia khác thấy những gì bạn viết, không bao giờ thấy rằng bạn là người viết.
- Người điều phối thấy tên người dùng của người xin tham gia, vì đó là một quyết định về việc
một người cụ thể có thuộc về phòng hay không.
- Các phòng khác chỉ thấy một thẻ nếu bạn đã chia sẻ nó.
- Bên xử lý dữ liệu: một nhà cung cấp email cho việc xác nhận và đặt lại mật khẩu; một nhà cung cấp dịch vụ thanh toán nếu bạn
đăng ký thuê bao; đơn vị lưu trữ máy chủ. Nếu trợ lý logic tùy chọn được bật, các câu của một lập luận
bạn gửi cho nó sẽ được gửi đến Anthropic — không kèm thông tin tài khoản, và kết luận dù sao cũng được tính trên
máy chủ này.
- Bên vận hành có thể đọc cơ sở dữ liệu. Hồ sơ hiện chưa có khả năng phát hiện việc bị sửa đổi, và chúng tôi nói rõ điều này trên
trang đăng nhập thay vì ngụ ý điều ngược lại.
Lưu giữ trong bao lâu
Một cuộc đối thoại không đi đến bản đồ trong vòng 60 ngày kể từ khi mở sẽ bị xóa hoàn toàn, cùng mọi thứ
trong đó: công việc dang dở không được giữ lại. Khi bản đồ đã được dựng xong, hồ sơ được giữ lại.
Tài khoản của bạn và những gì bạn viết được giữ cho đến khi bạn xóa chúng. Các địa chỉ chưa xác nhận hết hạn cùng với
đường liên kết của chúng. Xóa tài khoản sẽ gỡ tài khoản và bản băm liên hệ của nó. Những gì bạn đã đóng góp
cho một cuộc đối thoại vẫn được giữ lại, không gán cho ai, vì phiếu và bản đồ của người khác đã được xây dựng trên đó —
gỡ nó đi sẽ viết lại hồ sơ của họ. Đó cũng chính là quy tắc ngăn bất kỳ ai sửa lịch sử theo hướng
có lợi cho mình. Việc niêm phong (ở trên) làm cho việc không gán danh tính trở thành vĩnh viễn: sau đó, xóa tài khoản
sẽ gỡ mối liên hệ cuối cùng giữa bạn và một phòng, tức ghi chú rằng bạn đã ở trong đó.
Chúng tôi rút ra điều gì từ đó
Khi niêm phong, và chỉ khi đó, một cuộc đối thoại tính một điều về chính nó: những thẻ nào nằm trong bộ
nhãn dán của những người đã thay đổi quan điểm, so với những người giữ nguyên quan điểm. Kết quả được lưu dưới dạng số đếm theo từng
thẻ, không bao giờ theo từng người, và được tính trước khi các tên bị thay thế vì sau đó không thể tính
được nữa. Nó được hiển thị trên bản đồ đã ngã ngũ, kèm quy mô của nó, như một mô tả, không phải một phát hiện.
Quyền của bạn
Bạn có thể yêu cầu bản sao những gì được lưu giữ về bạn, yêu cầu sửa, yêu cầu xóa tài khoản, hoặc
phản đối cách dữ liệu đó được sử dụng: hello@mg.truecauses.org. Nếu chúng tôi không thể đáp ứng một yêu cầu, chúng tôi sẽ nêu lý do. Bạn có thể
khiếu nại với cơ quan bảo vệ dữ liệu của mình.
Ở đâu
Máy chủ đặt tại Liên minh châu Âu. Các nhà cung cấp email và dịch vụ thanh toán có thể xử lý dữ liệu bên ngoài Liên minh châu Âu theo
các biện pháp bảo vệ tiêu chuẩn của họ.
Văn bản tiếng Anh có giá trị ràng buộc
Privacy
Last updated 1 September 2026. What is held, why, and for how
long — written from the code rather than from a template.
What we hold
- A handle and a password hash. Salted and hashed; we cannot read your password.
- An address only if you give one, and only until you confirm it. On confirmation the
address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account,
and to send a password reset; not enough to recover the address. One exception, at your choice: if you
ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is
kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request,
never shown to the steward — and removed the moment you say so, or with your account.
- What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside
a dialogue these are not attributed to you anywhere in the interface. While the dialogue is
running, the database records who wrote what, so that one-vote-each and round robin can work at all.
Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random
one and the list of replacements is not written anywhere. The steward's name stays only as the
room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing
on this server can say who wrote which card, cast which vote, or said what in a side chat — not the
steward, not the operator, not a court order. Your own record keeps two things: that you were in that
room, and the sentence you wrote about where you stood before and after. Only you can read either.
The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did,
so that two groups of rooms sharing people are not counted as independent. It is made from a random
value on your account, not from your name; once your account is deleted, it points at no one.
- Which dialogues you were in. A list on your record of room ids, never of cards. It is what
lets you find a room again, read a private one you were part of after it is sealed, and be refused a
second seat in a group of rooms you already sat in.
- Private dialogues. A room opened as private is readable by its members and by nobody
else, at every stage and after it is settled — not by an applicant, not by someone holding the link.
The API, the page and the change feed all refuse the same way.
- A signed session cookie, expiring after 14 days. No third-party cookies, no analytics,
no advertising, no trackers.
- Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a
two-character hint so they can recognise a row. The addresses themselves are not stored.
What we do not hold
No location, no phone number, no advertising identifiers, no profile built from your behaviour,
no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.
Who else sees it
- Other participants see what you wrote, never that you wrote it.
- A steward sees the handle of someone asking to join, because that is a decision about
whether a particular person belongs.
- Other rooms see a card only if you released it.
- Processors: a mail provider for confirmations and resets; a payment provider if you
subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument
you submit to it are sent to Anthropic — no account details, and the verdict is computed on this
server either way.
- The operator can read the database. Records are not yet tamper-evident, and we say so on
the sign-in page rather than implying otherwise.
How long
A dialogue that does not reach its map within 60 days of opening is purged, with everything
in it: unfinished work is not kept. Once the map is laid out, the record stays.
Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with
their link. Deleting your account removes the account and its contact hash. What you contributed
to a dialogue stays, unattributed, because other people's votes and maps were built on it —
removing it would rewrite their record. That is the same rule that stops anyone editing history in
their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account
removes the last link between you and a room, the note that you were in it.
What we learn from it
At sealing, and only then, a dialogue computes one thing about itself: which cards were on the
sticker sets of the people whose view moved, against those whose view held. It is kept as counts per
card, never per person, and it is computed before the names are replaced because it cannot be computed
after. It is shown on the settled map with its size next to it, as a description, not a finding.
Your rights
Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or
object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may
complain to your data protection authority.
Where
Servers in the European Union. Mail and payment providers may process data outside it under their
standard safeguards.