Soukromí

Ve zkratce

Služba uchovává uživatelské jméno, otisk hesla a to, co napíšete v dialozích. Potvrzenou adresu nahradí otisk s klíčem, pokud nepožádáte o připomínky. Uvnitř dialogu se nic, co napíšete, nezobrazuje pod vaším jménem, a sedm dní po dokončení dialogu se dialog zapečetí: každé jméno v něm se nahradí náhodným, takže už nikdo nemůže říct, kdo co napsal. Nejsou tu žádné sledovací prvky, analytika ani reklama a nic se neprodává. Nedokončené dialogy se po pevně daném počtu dní mažou; dokončené zůstávají. Můžete požádat o kopii svých dat, opravu nebo smazání účtu. Servery jsou v Evropské unii.

Překlad pro vaši informaci. Závazný je anglický text pod ním.

Soukromí

Naposledy aktualizováno 1. září 2026. Co uchováváme, proč a jak dlouho — sepsáno podle kódu, ne podle šablony.

Co uchováváme

Uživatelské jméno a otisk (hash) hesla. Se solí a zahashované; vaše heslo přečíst nemůžeme.
Adresu, jen pokud ji uvedete, a jen do jejího potvrzení. Po potvrzení se adresa smaže a nahradí ji otisk s klíčem — ten stačí k tomu, aby platilo jedna schránka, jeden účet, a k odeslání obnovy hesla; nestačí k tomu, aby se adresa dala zjistit. Jedna výjimka, podle vaší volby: pokud na svém přehledu požádáte o připomínky od vedoucích místností v dialozích, kterých se účastníte, adresa se ponechá pro tento jediný účel — nejvýše jeden e-mail za fázi, odeslaný platformou na žádost vedoucího místnosti, vedoucímu nikdy nezobrazený — a smaže se, jakmile o to požádáte, nebo spolu s vaším účtem.
Co napíšete: karty, upřesnění, příspěvky v postranním chatu, hlasy, vazby, návrhy. Uvnitř dialogu vám v rozhraní nejsou nikde přisouzeny. Dokud dialog běží, databáze eviduje, kdo co napsal, aby vůbec mohlo fungovat pravidlo jeden hlas na osobu a střídání po kruhu. Sedm dní po dokončení dialogu se dialog zapečetí: každé jméno v něm se nahradí náhodným a seznam náhrad se nikam nezapíše. Jméno vedoucího místnosti zůstane jen jako jméno vedoucího místnosti; co vedoucí napsal nebo jak hlasoval, se nahradí stejně jako u všech ostatních. Od té chvíle nic na tomto serveru nedokáže říct, kdo napsal kterou kartu, odevzdal který hlas nebo co řekl v postranním chatu — ani vedoucí místnosti, ani provozovatel, ani soudní příkaz. Váš vlastní záznam si ponechá tři věci: že jste byli v té místnosti; větu, kterou jste napsali o tom, kde jste stáli předtím a potom, spolu s tím, kde na mapě místnosti skončily vaše samolepky; a vaše vlastní čísla z ní, například kolik karet jste napsali, kolik samolepek získaly a jak často se váš hlas shodoval s verdiktem místnosti, a to jako počty, které nejmenují žádnou kartu. Číst je můžete jen vy, pokud své součty nesdílíte na vlastním odkazu (nikdy místnosti ani karty), který můžete kdykoli zrušit; smazáním vašeho účtu se smažou i ony a odkaz přestane platit. Místnost si ponechá ještě jednu věc: kód s klíčem pro každého, kdo v ní seděl, nikdy ne pro nic, co udělal, aby se dvě skupiny místností se stejnými lidmi nepočítaly jako nezávislé. Vzniká z náhodné hodnoty na vašem účtu, ne z vašeho jména; jakmile je váš účet smazán, neukazuje na nikoho.
Ve kterých dialozích jste byli. Seznam identifikátorů místností ve vašem záznamu, nikdy karet. Díky němu můžete místnost znovu najít, číst soukromou místnost, jejíž jste byli součástí, i po zapečetění, a díky němu vám nebude přiděleno druhé místo ve skupině místností, ve které jste už seděli.
Soukromé dialogy. Místnost otevřenou jako soukromou mohou číst její členové a nikdo jiný, v každé fázi i po ustálení mapy — ani žadatel, ani někdo, kdo má odkaz. API, stránka i kanál změn odmítají stejně.
Podepsanou cookie relace, která vyprší po 14 dnech. Žádné cookies třetích stran, žádná analytika, žádná reklama, žádné sledovací nástroje.
Seznamy členů organizací: otisky adres s klíčem, které dodal administrátor, a k nim dvouznakovou nápovědu, aby řádek poznal. Samotné adresy se neukládají.

Co neuchováváme

Žádnou polohu, žádné telefonní číslo, žádné reklamní identifikátory, žádný profil sestavený z vašeho chování, žádné záznamy IP adres nad rámec toho, co webový server krátkodobě drží. Nikomu nic neprodáváme.

Kdo to ještě vidí

Ostatní účastníci vidí, co jste napsali, nikdy ne to, že jste to napsali vy.
Vedoucí místnosti vidí uživatelské jméno toho, kdo žádá o připojení, protože jde o rozhodnutí, zda tam konkrétní člověk patří.
Jiné místnosti vidí kartu, jen pokud jste ji uvolnili.
Zpracovatelé: poskytovatel e-mailu pro potvrzení a obnovu hesla; poskytovatel plateb, pokud si předplatíte tarif; hostitel serveru. Pokud je zapnutý volitelný logický asistent, věty argumentu, který mu předložíte, se odešlou společnosti Anthropic — žádné údaje o účtu, a verdikt se v každém případě počítá na tomto serveru.
Provozovatel může číst databázi. Záznamy zatím nejsou zabezpečené proti nepozorovaným úpravám a říkáme to na přihlašovací stránce, místo abychom naznačovali opak.

Jak dlouho

Dialog, který do 60 dnů od otevření nedospěje ke své mapě, se smaže, se vším, co v něm je: nedokončená práce se neuchovává. Jakmile je mapa rozvržená, záznam zůstává.

Váš účet a to, co jste napsali, zůstávají, dokud je nesmažete. Nepotvrzené adresy vyprší spolu s odkazem. Smazáním účtu se odstraní účet i otisk kontaktu. To, čím jste přispěli do dialogu, zůstává, bez přisouzení, protože na tom stojí hlasy a mapy jiných lidí — odstranit to by přepsalo jejich záznam. Je to stejné pravidlo, které každému brání přepisovat historii ve svůj prospěch. Zapečetění (viz výše) dělá anonymizaci trvalou: po něm smazání účtu odstraní poslední spojení mezi vámi a místností, poznámku, že jste v ní byli.

Co se z toho dozvídáme

Při zapečetění, a jen tehdy, dialog spočítá o sobě jedinou věc: které karty byly mezi samolepkami lidí, jejichž názor se posunul, ve srovnání s těmi, jejichž názor zůstal. Uchovává se jako počty na kartu, nikdy na osobu, a počítá se před nahrazením jmen, protože potom už spočítat nejde. Zobrazuje se na ustálené mapě i s velikostí vzorku, jako popis, ne jako zjištění.

Vaše práva

Můžete požádat o kopii toho, co o vás uchováváme, o jeho opravu, o smazání účtu, nebo vznést námitku proti způsobu použití: hello@mg.truecauses.org. Pokud žádosti vyhovět nemůžeme, řekneme proč. Můžete si také stěžovat u svého úřadu pro ochranu osobních údajů.

Kde

Servery v Evropské unii. Poskytovatelé e-mailu a plateb mohou zpracovávat data mimo ni v rámci svých standardních záruk.

Závazný anglický text

Privacy

Last updated 1 September 2026. What is held, why, and for how long — written from the code rather than from a template.

What we hold

A handle and a password hash. Salted and hashed; we cannot read your password.
An address only if you give one, and only until you confirm it. On confirmation the address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account, and to send a password reset; not enough to recover the address. One exception, at your choice: if you ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request, never shown to the steward — and removed the moment you say so, or with your account.
What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside a dialogue these are not attributed to you anywhere in the interface. While the dialogue is running, the database records who wrote what, so that one-vote-each and round robin can work at all. Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random one and the list of replacements is not written anywhere. The steward's name stays only as the room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing on this server can say who wrote which card, cast which vote, or said what in a side chat — not the steward, not the operator, not a court order. Your own record keeps three things: that you were in that room; the sentence you wrote about where you stood before and after, with where your stickers ended up on its map; and your own numbers from it, such as how many cards you wrote, how many stickers they drew and how often your vote matched the room's verdict, as counts that name no card. Only you can read them, unless you share your totals at a link of your own (never your rooms or cards), which you can end at any time; deleting your account deletes them and ends the link. The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did, so that two groups of rooms sharing people are not counted as independent. It is made from a random value on your account, not from your name; once your account is deleted, it points at no one.
Which dialogues you were in. A list on your record of room ids, never of cards. It is what lets you find a room again, read a private one you were part of after it is sealed, and be refused a second seat in a group of rooms you already sat in.
Private dialogues. A room opened as private is readable by its members and by nobody else, at every stage and after it is settled — not by an applicant, not by someone holding the link. The API, the page and the change feed all refuse the same way.
A signed session cookie, expiring after 14 days. No third-party cookies, no analytics, no advertising, no trackers.
Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a two-character hint so they can recognise a row. The addresses themselves are not stored.

What we do not hold

No location, no phone number, no advertising identifiers, no profile built from your behaviour, no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.

Who else sees it

Other participants see what you wrote, never that you wrote it.
A steward sees the handle of someone asking to join, because that is a decision about whether a particular person belongs.
Other rooms see a card only if you released it.
Processors: a mail provider for confirmations and resets; a payment provider if you subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument you submit to it are sent to Anthropic — no account details, and the verdict is computed on this server either way.
The operator can read the database. Records are not yet tamper-evident, and we say so on the sign-in page rather than implying otherwise.

How long

A dialogue that does not reach its map within 60 days of opening is purged, with everything in it: unfinished work is not kept. Once the map is laid out, the record stays.

Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with their link. Deleting your account removes the account and its contact hash. What you contributed to a dialogue stays, unattributed, because other people's votes and maps were built on it — removing it would rewrite their record. That is the same rule that stops anyone editing history in their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account removes the last link between you and a room, the note that you were in it.

What we learn from it

At sealing, and only then, a dialogue computes one thing about itself: which cards were on the sticker sets of the people whose view moved, against those whose view held. It is kept as counts per card, never per person, and it is computed before the names are replaced because it cannot be computed after. It is shown on the settled map with its size next to it, as a description, not a finding.

Your rights

Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may complain to your data protection authority.

Where

Servers in the European Union. Mail and payment providers may process data outside it under their standard safeguards.

Podmínky · O projektu · Jak to funguje