Privacidade e anonimato

Este site existe para que pessoas que não podem votar digam como votariam, sem que isso jamais possa ser atribuído a elas. Aqui está exatamente o que é guardado, o que não é, e o que este site se comprometeu a nunca construir. Se uma afirmação desta página deixar de ser verdadeira, o site deve ser desligado.

O que um voto guarda

• Nacionalidade: mantida como país apenas para as maiores comunidades de Berlim; todas as outras são registradas como região do mundo, antes da gravação. Um país cruzado com um Bezirk pode identificar uma pessoa, e para alguns participantes isso poderia ter consequências migratórias.
• Partido (ou “não votaria” / “prefiro não dizer”) e Bezirk, nunca um código postal, nunca um endereço.
• Idade apenas como faixa (por exemplo 25–34). O número exato é reduzido à faixa antes de qualquer gravação, e o banco de dados recusa uma idade exata.
• A hora em que o voto chegou: minutos e segundos são descartados antes de a linha ser gravada, por isso o banco de dados nunca guarda um horário preciso.
• Um identificador aleatório que não codifica nada, nem mesmo um carimbo de tempo.
• Se o voto foi verificado por e-mail: apenas um sim/não. O endereço em si nunca está no voto.
• Links compartilhados por grupo ou cartaz levam um identificador curto. O site conta visitas, votos e votos confirmados por e-mail por identificador e dia; o identificador nunca é gravado em um voto e nunca pode ser cruzado com um partido.
• Quais páginas e passos do voto são usados é contado por passo, identificador de link e dia, apenas como números: sem identificador pessoal, sem cookie, sem endereço IP, sem caminho além de um nome fixo de página. Navegadores que enviam Do Not Track ou Global Privacy Control não são contados.

O que um voto não guarda

• Nenhum endereço IP, nem mesmo com hash. Um IPv4 com hash pode ser revertido por força bruta em segundos, então isso seria uma promessa impossível de cumprir.
• Nenhum identificador de aparelho, valor de cookie, impressão digital de navegador ou sessão, nada que possa ligar dois votos a uma pessoa.
• Nenhum e-mail. Se você verificar um e-mail, fica apenas um hash com chave usado para recusar duplicatas, que expira depois de 30 dias.
• Nenhuma localização mais precisa que o Bezirk, e nenhum registro de qual cartaz você escaneou.
• Nenhum campo de texto livre de qualquer tipo.

O teste de afinidade com os partidos

Mostrar o seu resultado guarda as suas doze respostas e o partido mais afim, com a hora. Nada mais: sem identificador, sem cookie, sem ligação com qualquer voto. Só agregados são publicados a partir disso, com os mesmos limites da enquete.

Como votos repetidos são impedidos sem rastrear você

Uma verificação anti-robô roda ao enviar, cada conexão de internet pode enviar um número limitado de votos por dia (muitas pessoas compartilham uma conexão), e um cookie aleatório definido pelo próprio voto permite um voto por navegador por dia. O contador de conexão vive em um armazenamento separado e de curta duração, indexado por um hash que não pode ser revertido, expira depois de 24 horas e nunca é gravado no banco de dados que guarda os votos. O contador do navegador é o hash de um número aleatório que nada diz sobre uma pessoa ou conexão; é mantido por 24 horas e depois apagado. O limite por conexão é de propósito maior que um: repúblicas, albergues e wi-fi público são a norma para as pessoas a quem este site se destina.

Como funciona a verificação por e-mail

A verificação é opcional; votos não verificados contam igual. Depois de votar você pode confirmar um e-mail. Um link é enviado, e o endereço vai para a lista de aviso dos resultados descrita acima e para nenhum outro lugar, nunca para o voto. O segredo do link é tratado apenas no seu navegador e guardado apenas como um hash que, por no máximo 48 horas, aponta para o seu voto. Por 24 horas depois de votar o navegador também guarda um bilhete aleatório em um cookie, para que o endereço possa ser adicionado depois a partir do mesmo navegador; ele é apagado assim que é usado. Clicar define um sim/não “verificado” naquele voto, soma um a um contador e destrói o bilhete no mesmo passo (enquanto os links de confirmação ainda não são enviados, deixar um endereço válido, não descartável e ainda não usado define a marca diretamente e o bilhete é destruído na hora); a partir daí nada no banco de dados liga qualquer endereço a qualquer voto. O limite honesto: alguém com acesso à sua caixa de entrada e a uma cópia completa do banco de dados dentro dessas 48 horas poderia saber qual voto é o seu; depois disso, apenas que você participou. A verificação prova que uma caixa de entrada existe, não que uma pessoa é única.

A lista de aviso dos resultados

Se você deixar um e-mail na página de resultados, ele é guardado em texto claro (precisa ser, para enviar o e-mail) em uma tabela separada que contém apenas o endereço, o seu idioma e o dia. Não tem ligação com nenhum voto e é inacessível a partir do navegador. É usado para um único e-mail com os resultados e a comparação com a eleição real, e apagado depois. Escreva para hello@everyberliner.com para ser removido antes.

Como os resultados são publicados

Apenas um conjunto fixo de tabelas-resumo, nunca uma combinação delas. Uma tabela aparece a partir de 200 respostas. A divisão por partido em toda a cidade indica cada partido como porcentagem e não publica contagem alguma; como uma porcentagem pode ser convertida de volta em contagem por quem estime o total, os partidos pequenos ali ficam menos protegidos do que antes de 24 de setembro de 2026, o que foi uma escolha deliberada. Em toda tabela que cruza partido com Bezirk ou com região de nacionalidade, células abaixo de 25 continuam sendo fundidas em “outros”, com uma segunda célula fundida quando necessário, porque são essas combinações que poderiam identificar uma pessoa. Essas contagens são arredondadas. Os resultados são um retrato diário, não um contador ao vivo. Não há como consultar as linhas originais pelo site público, nem para quem opera o site, pela interface pública.

O que nunca será construído

• Nenhum comprovante e nenhum “consultar o meu voto”. Um comprovante é uma ferramenta de coerção e um desanonimizador compartilhável; eleições reais os proíbem pelo mesmo motivo.
• Nenhuma exportação de respostas individuais, nunca, por mais “aberta” que parecesse.
• Nenhuma atribuição da escolha de partido a um local de cartaz ou lote de códigos.
• Nenhum contador ao vivo e nenhuma tabela com dimensão de hora.
• Nenhuma ferramenta de análise de terceiros nas páginas de votação e nenhum mapa de terceiros: o mapa de ruas da página da sua região é servido por este site, então nenhum provedor de mapas sabe que bairro você consulta.

Consultas na área Descobrir

Consultar o seu Wahlkreis ou as candidaturas acontece inteiramente no seu navegador, depois de um único download da lista de candidatos. As suas escolhas ali não são enviadas a lugar nenhum e não têm ligação com o seu voto.

Onde os dados ficam

Em servidores em Frankfurt (UE). Os e-mails são enviados por um provedor configurado para processamento na UE, com rastreamento de cliques e aberturas desativado, porque ambos registrariam quem clicou e quando. Como um voto não tem identificador, o conjunto de dados foi desenhado para ser anônimo e não pseudônimo: não há nada a entregar que aponte para uma pessoa.