Privasi

Ringkasnya

Perkhidmatan ini menyimpan nama pengguna, cincangan kata laluan dan apa yang anda tulis dalam dialog. Alamat yang disahkan digantikan dengan cincangan berkunci, melainkan anda meminta untuk menerima peringatan. Di dalam dialog, tiada apa-apa yang anda tulis dipaparkan di bawah nama anda, dan tujuh hari selepas dialog selesai ia dimeterai: setiap nama di dalamnya digantikan dengan nama rawak, jadi tiada sesiapa lagi boleh mengatakan siapa menulis apa. Tiada penjejak, tiada analitik dan tiada iklan, dan tiada apa-apa dijual. Dialog yang tidak selesai dipadam selepas beberapa hari yang ditetapkan; yang sudah selesai kekal. Anda boleh meminta salinan data anda, pembetulan atau pemadaman akaun anda. Pelayan terletak di Kesatuan Eropah.

Terjemahan untuk rujukan anda. Teks bahasa Inggeris di bawahnya ialah teks yang mengikat.

Privasi

Kali terakhir dikemas kini 1 September 2026. Apa yang disimpan, mengapa, dan untuk berapa lama — ditulis berdasarkan kod, bukan berdasarkan templat.

Apa yang kami simpan

Nama pengguna dan cincangan kata laluan. Digaram dan dicincang; kami tidak dapat membaca kata laluan anda.
Alamat hanya jika anda memberikannya, dan hanya sehingga anda mengesahkannya. Selepas pengesahan, alamat itu dipadam dan digantikan dengan cincangan berkunci — cukup untuk menguatkuasakan satu peti mel, satu akaun, dan untuk menghantar set semula kata laluan; tidak cukup untuk memulihkan alamat itu. Satu pengecualian, atas pilihan anda: jika anda meminta di papan pemuka anda untuk menerima peringatan daripada penyelaras dialog yang anda sertai, alamat itu disimpan untuk tujuan itu sahaja — paling banyak satu mel bagi setiap peringkat, dihantar oleh platform atas permintaan penyelaras, tidak pernah dipaparkan kepada penyelaras — dan dibuang sebaik sahaja anda memintanya, atau bersama akaun anda.
Apa yang anda tulis: kad, penjelasan, giliran dalam sembang sisi, undi, kaitan, pencalonan. Di dalam sesebuah dialog, semua ini tidak dikaitkan dengan anda di mana-mana bahagian antara muka. Semasa dialog berjalan, pangkalan data merekodkan siapa menulis apa, supaya satu undi seorang dan giliran pusingan dapat berfungsi. Tujuh hari selepas sesebuah dialog selesai, ia dimeterai: setiap nama di dalamnya digantikan dengan nama rawak dan senarai penggantian itu tidak ditulis di mana-mana. Nama penyelaras kekal hanya sebagai penyelaras bilik itu; apa yang ditulis atau diundi oleh penyelaras digantikan seperti orang lain. Mulai saat itu tiada apa-apa pada pelayan ini dapat menyatakan siapa menulis kad mana, memberi undi mana, atau berkata apa dalam sembang sisi — bukan penyelaras, bukan pengendali, bukan perintah mahkamah. Rekod anda sendiri menyimpan tiga perkara: bahawa anda pernah berada dalam bilik itu; ayat yang anda tulis tentang pendirian anda sebelum dan selepas, berserta kedudukan akhir pelekat anda pada peta bilik itu; dan angka anda sendiri daripada bilik itu, seperti berapa banyak kad yang anda tulis, berapa banyak pelekat yang diterima kad-kad itu dan berapa kerap undi anda sama dengan keputusan bilik, dalam bentuk kiraan yang tidak menamakan sebarang kad. Hanya anda boleh membacanya, melainkan anda berkongsi jumlah anda pada pautan anda sendiri (tidak sekali-kali bilik atau kad anda), yang boleh anda tamatkan pada bila-bila masa; memadam akaun anda akan memadamnya dan menamatkan pautan itu. Bilik itu menyimpan satu perkara lagi: kod berkunci bagi setiap orang yang pernah berada di dalamnya, tidak pernah bagi apa-apa yang dilakukannya, supaya dua kumpulan bilik yang berkongsi orang tidak dikira sebagai bebas. Kod itu dibuat daripada nilai rawak pada akaun anda, bukan daripada nama anda; sebaik sahaja akaun anda dipadam, ia tidak merujuk kepada sesiapa.
Dialog mana yang pernah anda sertai. Senarai id bilik pada rekod anda, tidak pernah senarai kad. Inilah yang membolehkan anda mencari bilik semula, membaca bilik peribadi yang pernah anda sertai selepas ia dimeterai, dan ditolak tempat kedua dalam kumpulan bilik yang pernah anda sertai.
Dialog peribadi. Bilik yang dibuka sebagai peribadi boleh dibaca oleh ahlinya dan bukan oleh sesiapa yang lain, pada setiap peringkat dan selepas ia diputuskan — bukan oleh pemohon, bukan oleh orang yang memegang pautan. API, halaman dan suapan perubahan semuanya menolak dengan cara yang sama.
Kuki sesi bertandatangan, yang tamat tempoh selepas 14 hari. Tiada kuki pihak ketiga, tiada analitik, tiada iklan, tiada penjejak.
Senarai ahli organisasi: cincangan berkunci bagi alamat yang diberikan oleh pentadbir, serta petunjuk dua aksara supaya mereka dapat mengenali sesuatu baris. Alamat itu sendiri tidak disimpan.

Apa yang tidak kami simpan

Tiada lokasi, tiada nombor telefon, tiada pengecam iklan, tiada profil yang dibina daripada tingkah laku anda, tiada log IP selain yang disimpan sementara oleh pelayan web. Kami tidak menjual apa-apa kepada sesiapa.

Siapa lagi yang melihatnya

Peserta lain melihat apa yang anda tulis, tidak pernah bahawa anda yang menulisnya.
Penyelaras melihat nama pengguna orang yang meminta untuk menyertai, kerana itu ialah keputusan tentang sama ada seseorang itu layak berada di situ.
Bilik lain melihat sesuatu kad hanya jika anda melepaskannya.
Pemproses: penyedia mel untuk pengesahan dan set semula; penyedia pembayaran jika anda melanggan; hos pelayan. Jika pembantu logik pilihan diaktifkan, ayat-ayat hujah yang anda hantar kepadanya dihantar kepada Anthropic — tiada butiran akaun, dan keputusan tetap dikira pada pelayan ini.
Pengendali boleh membaca pangkalan data. Rekod belum lagi kalis gangguan, dan kami menyatakannya di halaman log masuk dan bukannya membayangkan sebaliknya.

Berapa lama

Dialog yang tidak mencapai petanya dalam tempoh 60 hari selepas dibuka akan dihapuskan, bersama segala-galanya di dalamnya: kerja yang tidak selesai tidak disimpan. Sebaik sahaja peta dibentangkan, rekod kekal.

Akaun anda dan apa yang anda tulis kekal sehingga anda memadamnya. Alamat yang belum disahkan tamat tempoh bersama pautannya. Memadam akaun anda membuang akaun itu dan cincangan maklumat hubungannya. Apa yang anda sumbangkan kepada sesebuah dialog kekal, tanpa nama, kerana undi dan peta orang lain dibina di atasnya — membuangnya akan menulis semula rekod mereka. Itulah peraturan yang sama yang menghalang sesiapa daripada menyunting sejarah demi kepentingan sendiri. Pemeteraian (di atas) menjadikan ketiadaan nama itu kekal: selepasnya, memadam akaun anda membuang hubungan terakhir antara anda dengan sesebuah bilik, iaitu catatan bahawa anda pernah berada di dalamnya.

Apa yang kami pelajari daripadanya

Semasa pemeteraian, dan hanya pada masa itu, sesebuah dialog mengira satu perkara tentang dirinya: kad mana yang berada dalam set pelekat orang yang pandangannya berubah, berbanding mereka yang pandangannya kekal. Ia disimpan sebagai kiraan bagi setiap kad, tidak pernah bagi setiap orang, dan ia dikira sebelum nama-nama digantikan kerana ia tidak dapat dikira selepasnya. Ia dipaparkan pada peta yang sudah diputuskan bersama saiznya, sebagai gambaran, bukan dapatan.

Hak anda

Minta salinan maklumat yang disimpan tentang anda, minta ia dibetulkan, minta akaun anda dipadam, atau bantah cara ia digunakan: hello@mg.truecauses.org. Jika kami tidak dapat memenuhi sesuatu permintaan, kami menyatakan sebabnya. Anda boleh membuat aduan kepada pihak berkuasa perlindungan data anda.

Di mana

Pelayan di Kesatuan Eropah. Penyedia mel dan pembayaran mungkin memproses data di luarnya di bawah perlindungan standard mereka.

Teks Inggeris yang mengikat

Privacy

Last updated 1 September 2026. What is held, why, and for how long — written from the code rather than from a template.

What we hold

A handle and a password hash. Salted and hashed; we cannot read your password.
An address only if you give one, and only until you confirm it. On confirmation the address is deleted and replaced by a keyed hash — enough to enforce one mailbox, one account, and to send a password reset; not enough to recover the address. One exception, at your choice: if you ask on your dashboard to receive reminders from the stewards of dialogues you are in, that address is kept for that one purpose — at most one mail per stage, sent by the platform on a steward's request, never shown to the steward — and removed the moment you say so, or with your account.
What you write: cards, clarifications, side-chat turns, votes, links, nominations. Inside a dialogue these are not attributed to you anywhere in the interface. While the dialogue is running, the database records who wrote what, so that one-vote-each and round robin can work at all. Seven days after a dialogue completes it is sealed: every name inside it is replaced by a random one and the list of replacements is not written anywhere. The steward's name stays only as the room's steward; what the steward wrote or voted is replaced like everyone else's. From then on nothing on this server can say who wrote which card, cast which vote, or said what in a side chat — not the steward, not the operator, not a court order. Your own record keeps three things: that you were in that room; the sentence you wrote about where you stood before and after, with where your stickers ended up on its map; and your own numbers from it, such as how many cards you wrote, how many stickers they drew and how often your vote matched the room's verdict, as counts that name no card. Only you can read them, unless you share your totals at a link of your own (never your rooms or cards), which you can end at any time; deleting your account deletes them and ends the link. The room keeps one more thing: a keyed code for each person who sat in it, never for anything they did, so that two groups of rooms sharing people are not counted as independent. It is made from a random value on your account, not from your name; once your account is deleted, it points at no one.
Which dialogues you were in. A list on your record of room ids, never of cards. It is what lets you find a room again, read a private one you were part of after it is sealed, and be refused a second seat in a group of rooms you already sat in.
Private dialogues. A room opened as private is readable by its members and by nobody else, at every stage and after it is settled — not by an applicant, not by someone holding the link. The API, the page and the change feed all refuse the same way.
A signed session cookie, expiring after 14 days. No third-party cookies, no analytics, no advertising, no trackers.
Organisation rosters: keyed hashes of the addresses an administrator supplied, plus a two-character hint so they can recognise a row. The addresses themselves are not stored.

What we do not hold

No location, no phone number, no advertising identifiers, no profile built from your behaviour, no IP logs beyond what the web server keeps transiently. We sell nothing to anybody.

Who else sees it

Other participants see what you wrote, never that you wrote it.
A steward sees the handle of someone asking to join, because that is a decision about whether a particular person belongs.
Other rooms see a card only if you released it.
Processors: a mail provider for confirmations and resets; a payment provider if you subscribe; the server host. If the optional logic assistant is enabled, the sentences of an argument you submit to it are sent to Anthropic — no account details, and the verdict is computed on this server either way.
The operator can read the database. Records are not yet tamper-evident, and we say so on the sign-in page rather than implying otherwise.

How long

A dialogue that does not reach its map within 60 days of opening is purged, with everything in it: unfinished work is not kept. Once the map is laid out, the record stays.

Your account and what you wrote stay until you delete them. Unconfirmed addresses expire with their link. Deleting your account removes the account and its contact hash. What you contributed to a dialogue stays, unattributed, because other people's votes and maps were built on it — removing it would rewrite their record. That is the same rule that stops anyone editing history in their own favour. Sealing (above) makes the unattribution permanent: after it, deleting your account removes the last link between you and a room, the note that you were in it.

What we learn from it

At sealing, and only then, a dialogue computes one thing about itself: which cards were on the sticker sets of the people whose view moved, against those whose view held. It is kept as counts per card, never per person, and it is computed before the names are replaced because it cannot be computed after. It is shown on the settled map with its size next to it, as a description, not a finding.

Your rights

Ask for a copy of what is held about you, ask for it corrected, ask for your account deleted, or object to how it is used: hello@mg.truecauses.org. If we cannot honour a request we say why. You may complain to your data protection authority.

Where

Servers in the European Union. Mail and payment providers may process data outside it under their standard safeguards.

Terma · Perihal · Cara ia berfungsi