O que fica quando apagas a tua conta

Desde 24 de maio, uma conta XNeuronal apaga-se na própria aplicação, com dois toques. O servidor confirma que és mesmo tu e depois apaga a conta e tudo o que lhe está ligado: memórias, ligações, conversas, lembretes, definições. Na mesma manhã, a grande limpeza das definições deixou de deixar lembretes órfãos no sino e transcrições de conversas sem dono.

Os domingos da Deolinda

A Helena almoça em casa da mãe quase todos os domingos. A Deolinda tem oitenta e seis anos, uma cozinha que cheira a café a partir das onze e uma maneira muito sua de contar as coisas às voltas. Começa-se pelo bolo de nozes, passa-se pela tia Albertina, que o fazia «com manteiga a mais», chega-se ao ano em que a casa foi comprada, e volta-se ao bolo sem que ninguém tenha apontado quanto açúcar leva.

Desde a primavera, a Helena ganhou um hábito. No carro, antes de arrancar, carrega no botão e repete o que reteve. «O bolo de nozes da mãe: duzentos gramas de miolo de noz, sem fermento, forno brando. A tia Albertina é irmã do avô, morava em Viseu. A casa foi comprada em 1968, com o dinheiro da venda da carrinha.» As frases chegam desarrumadas e a aplicação arruma-as: uma receita, uma pessoa, um pedaço de história de família.

Foi o filho, o Tiago, quem lhe instalou a aplicação, e foi ele quem fez a pergunta uma noite, a olhar para a constelação de memórias no ecrã inicial. «E se um dia quiseres parar, isso tudo vai para onde? Fica lá com eles?»

A pergunta é menos técnica do que parece. Contém três. O que se pode apagar, e fica mesmo apagado? O que fica quando se sai? E aquilo que a Deolinda conta, a quem pertence?

Antes de 24 de maio: sem saída

Até à manhã de 24 de maio, a resposta honesta ao Tiago teria sido incómoda. A aplicação sabia apagar memórias: uma ficha de cada vez, a partir do seu pequeno menu, ou aos lotes nas definições. Mas uma conta, depois de criada, não se apagava na aplicação. Não havia nem botão nem caminho no servidor para isso.

Para uma aplicação cuja proposta é justamente confiar-lhe o que não se quer perder, é uma falha de fundo. Uma memória só inspira confiança se se souber como fechá-la. Conta-se com mais gosto as receitas da mãe, os nomes dos primos e a história da casa a um caderno que se sabe poder queimar, do que a um caderno cuja última página nunca se viu.

Nessa manhã, antes de acrescentar a saída, foi preciso arranjar uma porta que já existia e fechava mal.

A limpeza que deixava rasto

A grande limpeza vive nas definições, na secção Memória. Escolhe-se o que apagar, por famílias (eventos, lembretes, alarmes, tarefas, notas, conversas), e até onde: o que já passou, o que foi concluído, ou tudo. É a ferramenta de quem quer arranjar espaço sem perder tudo: consultas passadas, tarefas terminadas, conversas antigas.

Na manhã de 24 de maio, uma limpeza deixou para trás dois restos incómodos.

O primeiro via-se no ecrã inicial. As memórias apagadas tinham saído do servidor, mas a constelação continuava a mostrá-las. A razão estava na forma como a aplicação fica a saber que uma ficha desapareceu. Quando se apaga uma ficha à mão, parte um sinal com o seu identificador e o ecrã retira-a. A limpeza passava por outro caminho do servidor, que apaga tudo de uma vez, e não partia sinal nenhum. O ecrã julgava, portanto, que nada tinha mudado. Desde as 10h25 desse dia, depois de cada limpeza bem-sucedida parte um sinal de «a memória acabou de ser esvaziada», e o ecrã inicial recarrega tudo.

O segundo via-se no sino, a lista de notificações. Continuava a mostrar lembretes vencidos e resumos da manhã que remetiam para fichas que já não existiam. E o pequeno contador vermelho continuava aceso. O servidor apaga agora, no mesmo movimento, cada notificação cujas fichas desapareceram todas. Um resumo da manhã que citava três compromissos fica enquanto citar um ainda vivo. E o contador desce logo, em vez de esperar pelo minuto seguinte.

As conversas que sobreviviam ao seu resumo

Vinte minutos depois, uma limpeza a sério trouxe à tona um resto mais discreto, e mais importante.

Quando uma conversa termina, a aplicação guarda duas coisas. Uma memória do tipo conversa, com um resumo, que serve para encontrar «do que falávamos da última vez». E, à parte, a transcrição completa da troca. A limpeza das conversas apagava o resumo e esquecia a transcrição. Para a Helena, a conversa tinha desaparecido da lista. No servidor, o texto integral ficava lá, sem nenhuma memória que levasse até ele, e para sempre.

É o pior defeito possível numa função de apagar, porque é invisível. Nada na aplicação mostrava esse texto, por isso nada indicava que continuava lá.

A correção das 10h44 mudou de método, não só de alcance. Em vez de procurar o que dependia das memórias acabadas de apagar, o servidor olha agora para o que continua vivo do lado do dono e apaga todas as notificações e transcrições que não remetem para nada vivo. A diferença conta: os restos deixados por limpezas mais antigas, feitas antes desta correção, também saem na limpeza seguinte. Apagar só vale alguma coisa se também apanhar o que ficou por apagar.

O botão de 24 de maio

Dois minutos depois, às 10h46, chegou o botão.

Está no ecrã Conta, que se abre a partir das definições, por baixo de «Alterar a minha palavra-passe» e «Terminar sessão», a vermelho. Tocar-lhe abre uma confirmação que não tenta segurar-te: «Apagar a tua conta? Ação definitiva. Todos os teus neurónios, conversas, lembretes e preferências serão apagados. A conta não poderá ser restaurada.» Nenhum questionário sobre os motivos, nenhum prazo de reflexão imposto, nenhum e-mail para confirmar.

A escolha de não acrescentar nada é discutível, e foi feita com conhecimento de causa. Muitos serviços mantêm uma conta «adormecida» durante algumas semanas, para o caso de se mudar de ideias. Isso tranquiliza quem tocou depressa demais, e é também uma forma de guardar dados cuja eliminação se pediu. Aqui, é a confirmação que faz de marcha-atrás: diz com todas as letras o que vai sair e que nada vai voltar. Depois de se dizer que sim, o servidor não guarda uma cópia de lado à espera.

Por trás da confirmação acontecem três coisas, por esta ordem.

Primeiro, o telemóvel cancela o registo nas notificações. Não é indispensável, porque o passo seguinte vai apagar esse registo de qualquer forma, mas é mais limpo: entre o pedido e a eliminação completa, nenhum lembrete deve tentar tocar para uma conta que está a desaparecer.

Depois, o telemóvel chama o servidor com a prova de sessão da pessoa. O servidor verifica essa prova sozinho e não aceita mais nada: nenhum identificador passado como parâmetro, nenhuma eliminação da conta de outra pessoa. Se a sessão tiver expirado, a aplicação pede para voltar a iniciar sessão antes de apagar. E então o servidor apaga a conta.

Por fim, a aplicação termina a sessão no telemóvel e o ecrã passa logo para a vista sem conta, como no primeiro arranque.

Uma só eliminação, e tudo o que lhe está ligado

O ponto mais importante não se vê na aplicação. Apagar a conta não é uma lista de tabelas a esvaziar uma a uma, em que bastaria esquecer uma para deixar um resto. Na base de dados, os dados de uma pessoa levam o identificador da sua conta, e a base sabe que têm de desaparecer com ela. Basta apagar a conta: as memórias, as ligações entre elas, o registo das suas alterações, as regras dadas ao assistente, as conversas e as suas transcrições, o sino, os registos de notificações e as definições saem juntos.

É exatamente a lição das duas correções da manhã, vista ao contrário. A limpeza deixava restos porque seguia referências à mão. Apagar a conta não segue nenhuma: apoia-se na única coisa que todos esses dados têm em comum, o dono.

E o modo sem conta? Nesse dia não ganhou botão. Em modo anónimo, as memórias estão ligadas apenas ao aparelho, e o raciocínio de 24 de maio era simples: não há conta para apagar, há uma aplicação para desinstalar. Hoje a regra está escrita no servidor: uma instalação anónima que fica trinta dias sem uso é apagada durante a noite, e a aplicação avisa durante os últimos dez dias.

Uma aplicação para guardar memórias de família, e poder apagá-las a sério?

É mais ou menos a pergunta de quem hesita em confiar a um telemóvel aquilo que a mãe conta. A resposta tem dois tempos, e a página de privacidade e contas resume-os.

Pode-se começar sem conta, e chega para experimentar. Mas uma memória ligada a um só telemóvel desaparece com ele, e é por isso que uma conta vale a pena assim que se guardam coisas que importam. A conta não prende nada: apaga-se na aplicação, e os passos também estão explicados no site, incluindo a possibilidade de o pedir por e-mail.

Entre as duas coisas há a limpeza parcial. A Helena pode apagar as idas à oficina do ano passado sem tocar nas receitas da Deolinda. Os dois gestos não se parecem, e é de propósito: a limpeza escolhe o que sai, apagar a conta não escolhe nada.

O que pertence a quem, desde então

A resposta ao Tiago foi ficando mais precisa depois de 24 de maio, à medida que a aplicação aprendeu a falar com os outros.

A 5 de junho, a eliminação ganhou um registo. Antes de apagar, o servidor escreve uma linha que prova que houve uma eliminação: uma impressão impossível de fazer corresponder à conta, a data e a lista do que foi removido. Nenhum dado pessoal legível. Apaga-se sozinha ao fim de cinco anos. E se a pessoa tinha dado a sua opinião sobre a aplicação, o e-mail associado a essa opinião é retirado antes da eliminação: a opinião fica, anónima.

As imagens não vivem nas mesmas tabelas que as memórias, e a base de dados não lhes chega. Desde 27 de julho, a foto de perfil é retirada explicitamente no momento da eliminação. As imagens das fichas são retiradas por uma varredura noturna, que apaga cada imagem para a qual já nenhuma ficha aponta.

Depois chegou a partilha, e com ela a verdadeira pergunta de família. Uma ficha pode partilhar-se com alguém próximo de duas maneiras, e não sobrevivem da mesma forma a uma saída.

Uma ficha partilhada em modo colaborativo continua a ser de quem a criou. A Helena e a irmã, a Fernanda, marcam a mesma lista, mas a lista é da Helena. Se a Helena apagar a conta, a sua lista vai com ela, e a partilha termina.

Uma ficha oferecida, o modo em que cada um marca para si, passa pelo contrário a ser do destinatário desde o envio. Já não está ligada à original, é dele, com a sua imagem e os seus anexos copiados. Se a Helena oferecer a receita do bolo de nozes ao Tiago e um dia apagar a conta, a receita fica na memória do Tiago. Já não depende da da mãe.

As mensagens trocadas entre amigos dentro da aplicação, pelo contrário, são apagadas dos dois lados juntamente com a conta de quem sai.

O que a Helena fez

A Helena não apagou a conta. Mas a pergunta do Tiago mudou a forma como arruma as coisas.

O que vem da Deolinda, as receitas, os nomes da fotografia de casamento, a história da casa, já não o guarda só para si. Ofereceu a receita do bolo de nozes ao Tiago e à Fernanda, dizendo-o, e cada um tem agora a sua própria ficha. Quando a Fernanda acrescenta que leva «um golinho de rum, a mãe nunca o diz», escreve-o na sua. O que se transmite já não depende de um só telemóvel nem de uma só conta.

E o que só lhe diz respeito a ela, as consultas, as compras, as notas do dia a dia, fica na sua própria memória, com uma porta que sabe onde encontrar.

Também fez alguma limpeza, a verdadeira, a que escolhe. As conversas do inverno passado, quando procurava um canalizador e comparava orçamentos, saíram com um gesto. Os lembretes passados também. Nada do que a Deolinda contou saiu do lugar, porque nada disso era uma conversa ou um lembrete: eram memórias arrumadas, uma receita, uma pessoa, um pedaço de história. E o sino, desta vez, não lhe mostrou lembretes que remetiam para fichas apagadas.

O Tiago fez uma última pergunta, mais prática: e se for ele a sair da aplicação um dia? A receita continua a ser dele enquanto mantiver a conta, e vai com a conta se a apagar. A cópia da mãe não sai do lugar. Cada um a sua memória, cada um a sua porta.

Talvez seja o que 24 de maio mudou de mais útil. Não o botão em si, que se espera ver pouco usado, mas a resposta que agora se pode dar à pergunta do Tiago. O que se guarda para si apaga-se a sério quando se decide. O que se quer transmitir, oferece-se, e então pertence a quem o recebe.

Se quiseres saber como a aplicação escolhe o que guarda antes mesmo de alguém lhe pedir para apagar o que quer que seja, isso é outra história.