← tornaEn resumEl servei conserva un àlies, un hash de la contrasenya i el que escriviu als diàlegs. Una adreça confirmada se substitueix per un hash amb clau, tret que demaneu rebre recordatoris. Dins d’un diàleg, res del que escriviu no es mostra amb el vostre nom, i set dies després que un diàleg s’acabi, se segella: cada nom que hi apareix se substitueix per un d’aleatori, de manera que ningú ja no pot dir qui va escriure què. No hi ha rastrejadors, ni analítica, ni publicitat, i no es ven res. Els diàlegs inacabats s’eliminen al cap d’un nombre fix de dies; els acabats es conserven. Podeu demanar una còpia de les vostres dades, una correcció o la supressió del vostre compte. Els servidors són a la Unió Europea.
Una traducció de referència. El text vinculant és l’anglès que hi ha a sota.
Privadesa
Darrera actualització: 1 de setembre de 2026. Què es guarda, per què i durant quant de temps, redactat a partir del codi i no d’una plantilla.
Què guardem
- Un àlies i un hash de la contrasenya. Amb sal i resum criptogràfic; no podem llegir la vostra contrasenya.
- Una adreça només si ens la doneu, i només fins que la confirmeu. En confirmar-la, l’adreça s’esborra i se substitueix per un hash amb clau: n’hi ha prou per garantir una bústia, un compte, i per enviar un restabliment de contrasenya; no n’hi ha prou per recuperar l’adreça. Una excepció, si així ho trieu: si demaneu al vostre tauler rebre recordatoris dels dinamitzadors dels diàlegs on participeu, aquesta adreça es guarda per a aquest únic fi (com a màxim un correu per fase, enviat per la plataforma a petició d’un dinamitzador, mai mostrat al dinamitzador) i s’elimina en el moment que ho digueu, o amb el vostre compte.
- El que escriviu: targetes, aclariments, intervencions als xats laterals, vots, vincles, propostes. Dins d’un diàleg, tot això no se us atribueix enlloc de la interfície. Mentre el diàleg està en marxa, la base de dades registra qui ha escrit què, perquè el vot únic per persona i els torns rotatius puguin funcionar. Set dies després que un diàleg acabi, se segella: cada nom que hi apareix se substitueix per un d’aleatori i la llista de substitucions no s’escriu enlloc. El nom del dinamitzador només es manté com a dinamitzador de la sala; el que el dinamitzador ha escrit o votat se substitueix com el de tothom. A partir d’aquell moment, res d’aquest servidor no pot dir qui va escriure cada targeta, qui va emetre cada vot ni qui va dir què en un xat lateral: ni el dinamitzador, ni l’operador, ni una ordre judicial. El vostre registre en guarda tres coses: que vau ser en aquella sala; la frase que vau escriure sobre la vostra posició abans i després, amb on van anar a parar els vostres gomets al seu mapa; i les vostres xifres d’aquella sala, com ara quantes targetes vau escriure, quants gomets van rebre i quantes vegades el vostre vot va coincidir amb el veredicte de la sala, com a recomptes que no anomenen cap targeta. Només vós podeu llegir-les, tret que compartiu els vostres totals en un enllaç propi (mai les vostres sales ni les vostres targetes), que podeu desactivar en qualsevol moment; si esborreu el vostre compte, s’esborren i l’enllaç deixa de funcionar. La sala en guarda una més: un codi amb clau per a cada persona que hi va participar, mai per a res del que va fer, perquè dos grups de sales que comparteixen persones no es comptin com a independents. Es genera a partir d’un valor aleatori del vostre compte, no del vostre nom; un cop esborrat el compte, no apunta a ningú.
- En quins diàlegs heu participat. Una llista d’identificadors de sales al vostre registre, mai de targetes. És el que us permet tornar a trobar una sala, llegir-ne una de privada en què vau participar després que se segelli, i que se us denegui una segona plaça en un grup de sales on ja vau participar.
- Diàlegs privats. Una sala oberta com a privada la poden llegir els seus membres i ningú més, en totes les fases i un cop resolta: ni qui sol·licita entrar-hi, ni qui té l’enllaç. L’API, la pàgina i el canal de canvis la deneguen de la mateixa manera.
- Una galeta de sessió signada, que caduca al cap de 14 dies. Cap galeta de tercers, cap analítica, cap publicitat, cap rastrejador.
- Llistes de membres d’organitzacions: hashos amb clau de les adreces que ha facilitat un administrador, més una pista de dos caràcters perquè pugui reconèixer cada fila. Les adreces en si no es guarden.
Què no guardem
Cap ubicació, cap número de telèfon, cap identificador publicitari, cap perfil construït a partir del vostre comportament, cap registre d’IP més enllà del que el servidor web guarda de manera transitòria. No venem res a ningú.
Qui més ho veu
- Els altres participants veuen el que heu escrit, mai que ho heu escrit vós.
- Un dinamitzador veu l’àlies de qui demana unir-se, perquè es tracta de decidir si una persona concreta hi pertany.
- Les altres sales només veuen una targeta si l’heu cedida.
- Encarregats del tractament: un proveïdor de correu per a les confirmacions i els restabliments; un proveïdor de pagaments si us subscriviu; l’allotjament del servidor. Si l’assistent lògic opcional està activat, les frases d’un argument que hi envieu s’envien a Anthropic, sense cap dada del compte, i el veredicte es calcula en aquest servidor igualment.
- L’operador pot llegir la base de dades. Els registres encara no permeten detectar manipulacions, i ho diem a la pàgina d’inici de sessió en lloc de donar a entendre el contrari.
Durant quant de temps
Un diàleg que no arriba al seu mapa en 60 dies des que s’obre s’elimina, amb tot el que conté: la feina inacabada no es guarda. Un cop el mapa està traçat, el registre es manté.
El vostre compte i el que heu escrit es mantenen fins que els esborreu. Les adreces sense confirmar caduquen amb el seu enllaç. Esborrar el compte elimina el compte i el seu hash de contacte. El que heu aportat a un diàleg es manté, sense atribució, perquè els vots i els mapes d’altres persones s’hi van basar: eliminar-ho reescriuria el seu registre. És la mateixa regla que impedeix que ningú editi la història al seu favor. El segellat (vegeu més amunt) fa que la manca d’atribució sigui permanent: després, esborrar el compte elimina l’últim lligam entre vós i una sala, la nota que hi vau ser.
Què n’aprenem
En el segellat, i només aleshores, un diàleg calcula una cosa sobre si mateix: quines targetes eren als jocs de gomets de les persones que van canviar de punt de vista, comparades amb les de les que el van mantenir. Es guarda com a recomptes per targeta, mai per persona, i es calcula abans de substituir els noms perquè després ja no es pot calcular. Es mostra al mapa resolt amb la mida de la mostra al costat, com a descripció, no com a troballa.
Els vostres drets
Podeu demanar una còpia del que es guarda sobre vós, demanar-ne la correcció, demanar que s’esborri el vostre compte o oposar-vos a com es fa servir: hello@mg.truecauses.org. Si no podem atendre una sol·licitud, en direm el motiu. Podeu presentar una reclamació a la vostra autoritat de protecció de dades.
On
Servidors a la Unió Europea. Els proveïdors de correu i de pagaments poden tractar dades fora de la Unió amb les seves garanties habituals.
El text vinculant en anglès
Privacy
Last updated 1 September 2026. What is held, why, and for how
long — written from the code rather than from a template.
What we hold
- A handle and a password hash. Salted and hashed; we cannot read your password.
- An address only if you give one, and only until you confirm it. On confirmation the
address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account,
and to send a password reset; not enough to recover the address. One exception, at your choice: if you
ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is
kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request,
never shown to the steward — and removed the moment you say so, or with your account.
- What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside
a dialogue these are not attributed to you anywhere in the interface. While the dialogue is
running, the database records who wrote what, so that one-vote-each and round robin can work at all.
Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random
one and the list of replacements is not written anywhere. The steward's name stays only as the
room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing
on this server can say who wrote which card, cast which vote, or said what in a side chat — not the
steward, not the operator, not a court order. Your own record keeps three things: that you were in that
room; the sentence you wrote about where you stood before and after, with where your stickers ended up
on its map; and your own numbers from it, such as how many cards you wrote, how many stickers they drew
and how often your vote matched the room's verdict, as counts that name no card. Only you can read them,
unless you share your totals at a link of your own (never your rooms or cards), which you can end at any
time; deleting your account deletes them and ends the link.
The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did,
so that two groups of rooms sharing people are not counted as independent. It is made from a random
value on your account, not from your name; once your account is deleted, it points at no one.
- Which dialogues you were in. A list on your record of room ids, never of cards. It is what
lets you find a room again, read a private one you were part of after it is sealed, and be refused a
second seat in a group of rooms you already sat in.
- Private dialogues. A room opened as private is readable by its members and by nobody
else, at every stage and after it is settled — not by an applicant, not by someone holding the link.
The API, the page and the change feed all refuse the same way.
- A signed session cookie, expiring after 14 days. No third-party cookies, no analytics,
no advertising, no trackers.
- Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a
two-character hint so they can recognise a row. The addresses themselves are not stored.
What we do not hold
No location, no phone number, no advertising identifiers, no profile built from your behaviour,
no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.
Who else sees it
- Other participants see what you wrote, never that you wrote it.
- A steward sees the handle of someone asking to join, because that is a decision about
whether a particular person belongs.
- Other rooms see a card only if you released it.
- Processors: a mail provider for confirmations and resets; a payment provider if you
subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument
you submit to it are sent to Anthropic — no account details, and the verdict is computed on this
server either way.
- The operator can read the database. Records are not yet tamper-evident, and we say so on
the sign-in page rather than implying otherwise.
How long
A dialogue that does not reach its map within 60 days of opening is purged, with everything
in it: unfinished work is not kept. Once the map is laid out, the record stays.
Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with
their link. Deleting your account removes the account and its contact hash. What you contributed
to a dialogue stays, unattributed, because other people's votes and maps were built on it —
removing it would rewrite their record. That is the same rule that stops anyone editing history in
their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account
removes the last link between you and a room, the note that you were in it.
What we learn from it
At sealing, and only then, a dialogue computes one thing about itself: which cards were on the
sticker sets of the people whose view moved, against those whose view held. It is kept as counts per
card, never per person, and it is computed before the names are replaced because it cannot be computed
after. It is shown on the settled map with its size next to it, as a description, not a finding.
Your rights
Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or
object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may
complain to your data protection authority.
Where
Servers in the European Union. Mail and payment providers may process data outside it under their
standard safeguards.