Exigir una transición explícita antes de sacar un chat privado
Una conversación privada no debe convertirse en recomendación ni objeto público por haber sido guardada, resumida, marcada o transformada en memoria. Conviene tratar la privacidad como una regla de rutas. Asigna a cada objeto uno de cinco estados: fuente privada, derivado privado, borrador en revisión, compartido con límite o público. Cruza esos estados con sugerencias dentro del chat, inicio, notificaciones, búsqueda, perfil, vista previa, enlace público y mejora del modelo. En cada cruce anota si está permitido, qué acción lo autoriza, qué verá la persona y cómo volver atrás. Un título, inferencia, extracto, archivo o resumen no hereda un público mayor solo por haber sido procesado. Antes de usar material sensible, ensaya las rutas bloqueadas con contenido único e inofensivo.
Inventariar la fuente y cada objeto derivado
Separa texto, archivo adjunto, transcripción, título automático, resumen, memoria, etiqueta, registro de recuperación, marca de revisión, fragmento de notificación, vista previa, exportación y publicación. Anota origen, estado, responsable, público y conservación. Un resumen aparentemente genérico puede conservar una fecha rara, una relación o una pista reconocible. OWASP identifica la divulgación de información sensible mediante salidas del modelo o componentes conectados y propone minimizar, sanear y restringir el acceso. Por eso el derivado conserva inicialmente el límite más estrecho de la fuente. Solo debe ampliarse cuando la persona haya visto el resultado exacto y elegido expresamente el nuevo público.
Cruzar estados con superficies de salida
Las fuentes y derivados privados quedan bloqueados para perfil público, descubrimiento, enlace abierto y recomendación promocional. Un borrador solo aparece en una vista privada de la misma cuenta. El uso compartido limitado necesita destinatarios identificados y revocación. El estado público exige una publicación voluntaria después de la vista final. Divide además la recomendación en tres rutas: influir en el orden personal, mostrar realmente un extracto y recomendar contenido a otras personas. Marca cada celda como permitida, bloqueada o desconocida y añade la evidencia vigente. Desconocido no equivale a permitido; cuando la documentación no responde, conserva la ruta cerrada o evita allí el contenido sensible.
Mostrar resultado, identidad y audiencia antes del cambio
La vista previa debe enseñar texto o medio final, cuenta visible, destino, público, alcance del enlace, descarga y cualquier título, miniatura o fragmento generado. Revisa el resultado ya renderizado: el recorte, las tarjetas y los avisos pueden revelar elementos fuera de la selección. Que otra persona aparezca en la charla privada no significa que haya aceptado ese nuevo público. La FTC recuerda que el material en línea puede llegar más lejos y conservarse en copias. Un aviso por sí solo no basta. Debe existir una cancelación clara que deje la fuente privada y no cree a escondidas URL, tarjeta pública ni notificación.
Separar recomendaciones, avisos, enlaces y mejora
No agrupes ordenación, previsualización de notificaciones, descubrimiento de contactos, publicación, enlace, adjunto de comentarios y mejora del modelo bajo un botón general. Indica si cada control cambia solo el futuro o alcanza derivados existentes. Apagar el descubrimiento no revoca necesariamente un enlace antiguo; borrar una publicación no retira siempre un paquete de comentarios; desactivar avisos no elimina un título guardado en el historial. El marco de privacidad de NIST propone observar todo el ciclo y los actores conectados. Mantén por tanto un estado, propietario, reversión y comprobación por ruta, en lugar de una puntuación global que oculte límites diferentes.
Probar bloqueos y cancelación con una muestra inocua
Crea una conversación privada con una frase neutral única y un archivo sin información personal. Revisa inicio, búsqueda, notificaciones, perfil, selector de compartir y vista sin sesión. Ningún texto, título o archivo debe surgir donde la matriz indica bloqueo. Después prepara un borrador y cancela antes de publicar; comprueba que no quede URL, vista, aviso ni actividad para seguidores. Si pruebas un enlace limitado, envíalo únicamente a una dirección propia y revócalo. Registra versión, cuenta, dispositivo, ruta, hora y resultado visible. Si algo aparece donde no debe, restringe el objeto, revoca enlaces controlables, pausa esa función y revisa las superficies vecinas sin prometer que se recuperarán copias externas.
Preguntas frecuentes
¿Un chat privado puede influir en recomendaciones sin mostrar el texto?
Depende del servicio. La influencia en el orden y la exposición de un extracto son rutas distintas.
¿Basta un aviso antes de publicar?
No. Deben verse resultado exacto, cuenta, destino, audiencia y una cancelación clara.
¿Borrar una publicación elimina todas las copias?
No. Descargas, capturas, vistas previas y cachés pueden seguir rutas separadas.