Exija uma transição explícita antes de a conversa privada sair
Uma conversa privada não deve virar recomendação ou objeto público apenas porque foi salva, resumida, marcada, convertida em memória ou aberta em outra tela. Trate privacidade como regra de rota. Dê a cada objeto um estado: fonte privada, derivado privado, rascunho para revisão, compartilhamento limitado ou público. Depois liste as superfícies: sugestões dentro do chat, início, notificações, busca, perfil, prévia de compartilhamento, página pública e melhoria do modelo. Em cada rota registre se é permitida, qual ação autoriza, o que aparece na prévia e como voltar. Inferências, trechos, anexos, títulos e resumos não podem herdar um público maior só porque foram processados. Antes de usar material sensível, teste bloqueio e cancelamento com conteúdo único e inofensivo.
Inventarie a fonte e cada objeto derivado
Separe texto, anexo, transcrição, título automático, resumo, memória, rótulo, registro de busca, marca de análise, trecho de notificação, prévia, exportação e postagem. Anote origem, estado, controlador, público e retenção. Um resumo de fonte privada ainda pode manter data rara, relação ou detalhe reconhecível. A OWASP trata divulgação de informação sensível por saídas ou componentes conectados como risco e cita minimização, limpeza e restrições de acesso. Um derivado não fica automaticamente menos sensível. Ele deve herdar o limite mais estreito da fonte até a pessoa ver o resultado exato e aprovar o novo público.
Monte a tabela de estados e superfícies
Coloque estados nas linhas. Fonte e derivado privados ficam bloqueados em perfil público, descoberta, link aberto e recomendação promocional. Rascunho aparece somente na prévia privada da mesma conta. Compartilhamento limitado precisa de destinatário e revogação. Público exige ação voluntária depois da prévia final. Separe recomendação em três rotas: influenciar ordenação da própria conta, mostrar trecho e recomendar para outras pessoas. Cada célula recebe permitido, bloqueado ou desconhecido e sua evidência. Desconhecido não é autorização. Sem resposta atual, mantenha a rota fechada ou não use conteúdo sensível naquela função.
Mostre o resultado, a identidade e o público antes da mudança
A prévia deve exibir texto ou mídia finais, conta visível, destino, público, alcance do link, download e qualquer título, miniatura ou trecho gerado. Veja o resultado renderizado, não apenas o editor, pois cortes, cartões e notificações podem mostrar conteúdo fora da seleção. Outra pessoa presente na conversa privada não autorizou automaticamente o novo público. A FTC lembra que material online pode chegar mais longe e ser copiado. Um alerta sozinho não basta: o cancelamento precisa ser claro e deixar a fonte privada, sem URL, prévia ou notificação criada nos bastidores.
Separe recomendação, notificação, compartilhamento e melhoria
Não reúna ranking, prévia de notificação, descoberta de contatos, publicação, link, anexo de feedback e melhoria do modelo em um só botão. Registre se cada controle altera apenas o futuro ou também derivados existentes. Desligar descoberta não revoga necessariamente um link antigo; apagar a postagem não retira feedback enviado; tirar notificações não exclui o título salvo no histórico. O NIST Privacy Framework orienta olhar o ciclo e os participantes conectados. Preserve, portanto, estados distintos de criação, recomendação, exibição, compartilhamento e exclusão, em vez de um índice geral que esconde responsáveis.
Teste rotas bloqueadas e a volta após cancelar
Crie uma conversa com frase única inofensiva e anexo neutro. Mantenha privada e confira início, busca, notificações, perfil, seletor de compartilhamento e visão sem login. Texto, título e arquivo não devem surgir nas células bloqueadas. Faça um rascunho e cancele antes de publicar; verifique ausência de URL, prévia, notificação e atividade de seguidores. Um compartilhamento limitado só deve ir a endereço controlado e ser revogado depois. Registre versão, conta, aparelho, rota, horário e resultado observável. Se houver exposição inesperada, restrinja o objeto, revogue o link, pause a função e examine outros aparelhos. Não afirme que exclusão recupera capturas ou downloads.
Perguntas frequentes
Uma conversa privada pode influenciar recomendação sem mostrar o texto?
Depende do serviço. Influência no ranking e exibição de trecho são rotas distintas.
Um aviso antes de publicar é suficiente?
Não. Também deve mostrar resultado, conta, destino, público e cancelamento claro.
Excluir a publicação errada remove todas as cópias?
Não. Downloads, capturas, prévias e caches podem seguir caminhos próprios.