Alguns dados não devem ficar para sempre. Quando alguém sai da tua empresa ou uma pessoa pede que apagues os seus dados, anonimizas essa pessoa. O nome e o endereço de e-mail são então substituídos por um marcador genérico como «Anonymized user 3». Os tickets ficam. Os relatórios, os prazos, os registos de tempo e os valores de satisfação continuam a contar.
Cada pessoa recebe o seu próprio número. Duas entradas com o mesmo número vêm da mesma pessoa. O endereço de e-mail passa a ser «anonymized-3@anonymized.invalid». Não é possível entregar nenhum e-mail a um endereço assim, por isso o sistema ignora-o no envio. O marcador genérico é guardado em inglês e fica em inglês em todas as línguas.
Há dois caminhos. O caminho automático anonimiza contas apagadas ao fim de um número fixo de meses. O caminho imediato anonimiza uma única pessoa de imediato, por exemplo após um pedido de apagamento.
O caminho automático está em «Settings → Security», no cartão «Data protection». O interruptor «Anonymize deleted users automatically» vem desligado de fábrica. Ao lado de «after» indicas o número de meses. São permitidos de 1 a 120, o valor de fábrica é 36. «Save» guarda um número alterado.
O tempo conta a partir do dia em que uma conta foi apagada. O sistema verifica de dez em dez minutos se há uma execução pendente. Executa uma vez por dia, na primeira verificação depois das 03:00 no fuso horário definido em «Settings → General Settings». Cada conta apagada cujo tempo terminou é anonimizada nessa execução.
Quando ligas o interruptor, abre-se primeiro uma janela. Ela lista os utilizadores apagados que a próxima execução vai anonimizar, cada um com o dia da eliminação. Escreve ANONYMIZE no campo e clica em «Confirm». Só então o interruptor fica ligado. Se nesse fuso horário já passou das 03:00, a primeira execução segue dentro de cerca de dez minutos.
A mesma janela aparece quando encurtas o número de meses com o interruptor ligado. Para o desligar não é precisa confirmação.
O tempo só começa quando uma conta é apagada. Arquivar não chega. Uma conta arquivada está apenas bloqueada e pode voltar a qualquer momento, por exemplo após uma licença parental. Para apagar uma conta, clica no símbolo do caixote do lixo «Delete account» na sua linha em «User management».
Antes de acontecer alguma coisa, uma janela diz o que vem a seguir. Se a anonimização automática estiver ligada, indica o número de meses. Uma conta apagada aparece na vista «Archived» com o distintivo «Deleted». O símbolo «Restore account» recupera-a. Para administradores e agentes, a Basic precisa para isso de um lugar livre. Se a conta voltar a ser apagada mais tarde, o tempo recomeça.
A tua própria conta não tem símbolo do caixote do lixo. Só um administrador pode apagar ou arquivar uma conta de administrador. O último administrador ativo não pode ser apagado nem arquivado.
Por isso, quando alguém saiu de vez, apaga a conta em vez de apenas a arquivar. Uma conta arquivada há mais de um ano mostra um símbolo de calendário na sua linha. A dica desse símbolo lembra-te de apagar a conta.
O caminho imediato está na caixa de diálogo da exportação de dados, na área «Anonymize», por baixo dos resultados. Abres a caixa de diálogo a partir da linha de uma conta, ou com «Export by e-mail address» para uma pessoa sem conta.
Se o endereço pertencer a uma conta, clica primeiro em «Use this account». Só assim a própria conta é anonimizada. Uma execução apenas pelo endereço substitui o endereço onde está guardado e deixa a conta como está.
Escreve ANONYMIZE no campo e clica em «Anonymize». Uma conta ativa é primeiro apagada e depois anonimizada. A tua própria conta não pode ser anonimizada. O último administrador ativo também não.
Depois, a linha tem o distintivo «Anonymized». Uma conta assim já não pode ser editada, restaurada nem reativada. Só fica a exportação de dados. Podes voltar a executar a anonimização. O número mantém-se, e os dados restaurados entretanto também são abrangidos.
A caixa «Also clear the content of tickets this person requested» vai mais longe. O número entre parênteses é o número desses tickets. Os seus textos são esvaziados e os seus anexos apagados. Os tickets de outras pessoas em que a pessoa apenas respondeu são só anonimizados.
Verifica antes as tuas obrigações de conservação. Na Alemanha, por exemplo, as cartas comerciais têm de ser guardadas durante seis anos. A caixa de diálogo lembra-te disso. O caminho automático só anonimiza. Nunca esvazia conteúdo.
Se um ficheiro não pôde ser apagado do servidor, a caixa de diálogo indica quantos. A execução conta na mesma como concluída. O sistema não volta a tentar por si.
Cada execução fica registada com a hora, o número do marcador genérico e o que foi alterado. No caminho imediato, o registo indica também quem a iniciou. Não contém nem o nome nem o endereço de e-mail da pessoa.
Anonimizar exige a permissão «Anonymize people». De fábrica só os administradores a têm. Só um administrador a pode usar. Nunca pode ser dada à função «Customer». A caixa de diálogo da exportação de dados exige ainda «Data export (data subject request)».
Limites
Os nomes no texto corrido ficam, por exemplo «Cumprimentos, Max» no fim de um e-mail. Os números de telefone no texto corrido também ficam. Nenhum dos dois pode ser reconhecido de forma fiável. Para os tickets de um cliente existe a caixa para esvaziar o conteúdo.
Se outra conta tiver o mesmo nome próprio e apelido, o nome da pessoa não é substituído no histórico do ticket nem como nome do requerente. Caso contrário, as entradas da outra pessoa também seriam atingidas. O endereço e o telefone são substituídos na mesma. A verificação compara o nome próprio e o apelido. O histórico de atribuições guarda o nome de início de sessão. Por isso, um homónimo que só aparece aí com o nome de início de sessão não é detetado.
As entradas muito antigas do histórico do ticket que ainda não apontam para a conta só têm o nome. Não são reconhecidas.
Um ticket que um agente registou por telefone sem o endereço de e-mail do requerente não é reconhecido. O nome e o número de telefone do requerente ficam nele.
Os endereços nas definições não são alterados, por exemplo nas regras de correio e nas regras de automatização. Se o endereço da pessoa aparecer aí, altera-o tu mesmo.
Se a pessoa voltar a escrever depois da execução, uma nova execução pelo seu endereço abrange também os novos e-mails. Inicias essa execução com «Export by e-mail address». O número continua o mesmo. Uma nova execução sobre a conta anonimizada não encontra os novos e-mails. A conta já não conhece o endereço antigo.
Dos arquivos trata o próprio sistema. Quando restauras um arquivo, cada pessoa anonimizada antes volta a ser anonimizada nos tickets restaurados. A mensagem depois da restauração diz quantas. Um endereço que nesses tickets só aparece no texto corrido não é reconhecido aí. Além disso, a execução noturna a seguir a uma anonimização atualiza os ficheiros de arquivo. O cartão «Prazos de conservação» explica isso.
Com uma cópia de segurança é diferente. Uma cópia feita antes de uma execução ainda contém os dados antigos. Ao restaurar, o «Ticket System Backup & Restore» trata disso. A aplicação pergunta se todas as pessoas anonimizadas no estado de hoje devem voltar a ser anonimizadas. «Yes» está pré-selecionado. O sistema de tickets faz isso depois na execução noturna das 03:00, no fuso horário definido. Isto também vale se o interruptor estiver desligado. Até lá, os nomes delas voltam a ser visíveis. O cartão «Data protection» mostra um aviso com o número. A cópia de segurança também traz de volta o estado do interruptor dessa altura. Por isso, verifica o interruptor depois de restaurar.
Se restaurares uma cópia de outra forma, responderes «No» ou usares «--no-reapply» na linha de comandos, isto não acontece. O caminho automático volta então a encontrar as contas apagadas, desde que o interruptor esteja ligado. As execuções que iniciaste à mão têm de ser repetidas. Para isso ajuda a ligação «Download list of anonymizations» no cartão «Data protection». Descarrega a lista antes de restaurar. Depois, ela já não contém as execuções feitas depois da cópia de segurança. A lista tem uma linha por pessoa anonimizada, com as colunas «Date», «Number», «Account ID», «E-mail hash» e «Content cleared». «Date» é o momento da primeira execução em UTC. «Account ID» só está preenchido se tiver sido anonimizada uma conta. «E-mail hash» é uma impressão digital do endereço que não pode ser revertida. «Content cleared» indica se o conteúdo dos tickets pedidos pela pessoa foi esvaziado. Depois de cada execução, descarrega tu mesmo a lista e guarda-a fora do sistema. Uma cópia de segurança feita antes de uma execução não contém essa execução.
Pedidos de apagamento e pessoas que regressam
Apagar e anonimizar são duas coisas diferentes. «Delete account» apenas oculta uma conta. «Restore account» trá-la de volta. Até lá, o seu endereço de e-mail fica reservado para essa conta. Por isso, um pedido de apagamento é cumprido com «Anonymize» na janela de exportação de dados. Isto não pode ser desfeito. O nome e o endereço são substituídos por «Anonymized user» e o número. A ligação à conta num fornecedor de início de sessão único é eliminada.
Cada endereço de e-mail pertence a uma única conta. Se criares uma conta com um endereço que outra conta já tem, o sistema recusa. A mensagem é «This e-mail address already belongs to another account.» O mesmo vale quando alteras o endereço de uma conta. Se o endereço pertencer a uma conta apagada, a mensagem é «This e-mail address belongs to a deleted account. Restore that account instead.» Restaura então a conta antiga em vez de criares uma nova. As contas anonimizadas não contam. Só têm o endereço do marcador genérico.
Uma conta apagada não pode ser restaurada se, entretanto, outra conta ativa tiver o mesmo endereço. A mensagem é então «This e-mail address already belongs to another account.» Altera primeiro o endereço da outra conta.
Do tempo anterior a esta regra pode haver contas que partilham um endereço. A gestão de utilizadores assinala-as com a nota «This e-mail address belongs to more than one account. Change it so that each account has its own address.» Dá a cada uma destas contas o seu próprio endereço. Até lá, o início de sessão com esse endereço em vez do nome de utilizador não funciona. O e-mail de reposição da palavra-passe também não é enviado.
Se uma pessoa regressar depois de um pedido de apagamento, recebe uma conta nova. Isto acontece, por exemplo, quando volta a iniciar sessão com Google ou Microsoft com o mesmo endereço. Para isso, «Automatically create accounts on first sign-in» tem de estar ligado. A conta anonimizada já não tem o seu endereço e não atrapalha a conta nova.
As anonimizações antigas nunca afetam os tickets novos desta pessoa. Isto vale também depois de restaurar uma cópia de segurança ou um arquivo. Quando uma anonimização é aplicada de novo, só abrange dados criados antes do seu momento.
Se a conta antiga foi apenas apagada e não anonimizada, o sistema recusa o primeiro início de sessão por SSO com esse endereço. O que a pessoa vê depende do fornecedor. Se o fornecedor confirmar o endereço, a mensagem é «An account with this e-mail address was deleted. Ask an administrator to restore it.» Se não o confirmar, a mensagem é «Your e-mail address is not verified with the provider.» Assim o sistema não revela se existe uma conta apagada para um endereço.
Como administrador, tens então dois caminhos. Se restaurares a conta antiga com «Restore account», a pessoa continua a trabalhar nela com o seu histórico. O início de sessão por SSO funciona se a conta já estava ligada a esse fornecedor ou se o fornecedor confirmar o endereço. Se o pedido de apagamento continuar válido, anonimiza a conta antiga. Depois o endereço fica livre e o início de sessão cria uma conta nova.
O autorregisto responde neste caso de forma neutra: «Registration could not be completed. If you already have an account, use the password reset on the sign-in page.» Não revela se existe uma conta para o endereço.
