Anonymitet

Et løfte om anonymitet er værdiløst, hvis systemet teknisk kan bryde det. Derfor er anonymiteten her en konstruktion, ikke en politik.

To adskilte registre

Udsendelsesregistret ved, hvem der er inviteret, og om der er svaret. Svarregistret indeholder svarene. Der findes ingen relation mellem dem.

Links uden nøgle

Kun en hash af linket gemmes. Linket virker én gang. Efter brug kan det hverken genskabes eller genåbnes.

Tærsklen på fem

En enhed med færre end fem svar rapporteres ikke. Tærsklen håndhæves i databasefunktionen, så den ikke kan slås fra i brugerfladen.

Ingen rækkefølge at spore

Svar gemmes med en tilfældig sorteringsnøgle, så man ikke kan udlede hvem der svarede hvornår.

Anonymisering frem for sletning

Når en organisation forlader systemet, fjernes identiteten. Talgrundlaget kan blive i normbasen, hvis der er givet samtykke.

Vi kan ikke fortælle en leder, hvem der svarede hvad. Ikke fordi vi ikke vil, men fordi oplysningen ikke findes noget sted.