Como funciona a eliminação
Você pode eliminar sua conta completa de Modo Próspera:
- No app: Conta → Dados e privacidade → Eliminar minha conta. (Em espanhol: Cuenta → Datos y privacidad → Eliminar mi cuenta.) O app primeiro mostra um plano de eliminação por espaço de trabalho e exige um texto de confirmação exato antes de eliminar qualquer coisa.
- Na web: https://modoprospera.com/eliminar-cuenta/?lang=pt descreve os mesmos passos e a via de solicitação externa (envie um e-mail ao contato de suporte a partir do endereço da conta do Google que você usa para entrar; as solicitações são verificadas contra sua identidade de login e concluídas dentro de 15 dias, a menos que um espaço de trabalho de sua propriedade esteja bloqueado pelas condições de membros ou de contas compartilhadas/conjuntas descritas abaixo, caso em que informamos o que é necessário).
O que acontece em cada espaço de trabalho:
- Um espaço de trabalho de sua propriedade sem outros membros ativos é eliminado por completo, como descrito em Exportação e eliminação.
- Um espaço de trabalho de sua propriedade que ainda tenha outros membros ativos não pode ser eliminado pela eliminação completa da conta na versão protegida atual. Remova cada membro que não seja proprietário pelos controles do domicílio e tente novamente. A eliminação de um espaço com contas compartilhadas ou conjuntas continua indisponível, salvo se um fluxo revisado separadamente for implantado; a gestão de papéis ou a transferência de propriedade não torna esse fluxo disponível.
- Um espaço de trabalho no qual você é membro ou usuário de Somente leitura é abandonado, não eliminado: seu acesso, suas sessões e seus convites pendentes para esse espaço de trabalho terminam, e os comentários da beta que você escreveu ali são eliminados, mas os dados próprios do domicílio (meses fechados, transações, histórico de auditoria) permanecem com o domicílio.
Os convites, a transferência de propriedade e as permissões por conta continuam indisponíveis até que sua capacidade hospedada seja ativada e negociada pelo cliente protegido. O código-fonte ou os esquemas de banco de dados, sozinhos, não tornam um controle visível. O consentimento de eliminação entre várias pessoas não está disponível nesta versão mesmo quando os demais controles do domicílio estão ativos.
Depois que seus espaços de trabalho são processados, todas as suas sessões restantes são revogadas. Se nada mais fizer referência à sua conta, o próprio registro da conta é eliminado. Se a evidência de auditoria conservada em um domicílio que você abandonou ainda fizer referência à sua conta — o que sempre acontece depois de sair de um espaço de trabalho compartilhado — Modo Próspera mantém um registro mínimo de conta como uma referência derivada opaca: seu nome de exibição é substituído pelo marcador interno fixo "Cuenta eliminada" — em espanhol, significa "conta eliminada"; o valor armazenado é o mesmo qualquer que seja o idioma que você use — e não contém nome nem e-mail. Um novo login posterior com a mesma conta do Google pode associar essa referência pseudônima à nova geração do ciclo de vida da conta, mas não restaura dados eliminados de perfil, participação, espaços de trabalho nem finanças.
O backend de Modo Próspera não pode eliminar seu registro de login do Google/Firebase: depois que o backend confirma a eliminação, o app elimina seu usuário do Firebase Authentication a partir do dispositivo, pedindo que você entre novamente antes disso se o Firebase exigir um login recente. Se essa etapa final falhar, o app encerra sua sessão, e você também pode remover o acesso de Modo Próspera nas configurações da sua conta do Google. Para as solicitações de eliminação feitas por e-mail, o operador elimina manualmente o registro do Firebase Authentication no console do Firebase como parte do atendimento.
Eliminar sua conta não impede para sempre que a mesma conta do Google entre novamente. Um login posterior só é aceito com uma autenticação verificada do Firebase cuja hora seja posterior à eliminação concluída mais recente. Ele cria uma nova geração do ciclo de vida da conta e um espaço de trabalho padrão distinto. O marcador do espaço antigo nunca é apagado nem reutilizado, e a nova geração não restaura o perfil, as participações, os espaços de trabalho nem os dados financeiros eliminados. O histórico permanente e minimizado descrito em Retenção impõe esse limite.
Exportação e eliminação
Um proprietário efetivo elegível pode solicitar dentro do app uma exportação filtrada por acesso do espaço de trabalho ativo, incluindo seus dados de configuração/domínio e a evidência analisada elegível de compatibilidade/qualidade de dados, o histórico anual normalizado, os modelos de mapeamento versionados e a telemetria opcional não agregada do solicitante, sem tokens brutos, bytes do extrato bancário original nem registros de espaços de trabalho irmãos. Uma exportação separada do livro-caixa está disponível a qualquer pessoa com sessão iniciada e permissão vigente para exportar uma conta em dinheiro. Ela se limita às movimentações, revisões imutáveis e selos de período em dinheiro que essa pessoa pode exportar; ser proprietário não ignora o limite de uma conta privada de outra pessoa. Um membro ou usuário de Somente leitura não recebe dentro do app a exportação completa do espaço de trabalho e pode pedir ao contato de suporte uma cópia verificada de acesso a outros dados pessoais e registros que possamos revelar legalmente. Os proprietários de domicílio/negócio podem eliminar o espaço de trabalho ativo após uma confirmação exata. A eliminação remove os dados de configuração/domínio, conta, convites, comentários, importações, fechamento de mês, transações e auditoria desse espaço de trabalho, removendo também sua evidência normalizada de histórico anual, os modelos de mapeamento, os consentimentos de telemetria e os eventos de telemetria não agregados, e preserva os demais espaços de trabalho. Os agregados de telemetria k >= 5 já criados expiram conforme o limite de 13 meses, em vez de se tornarem registros de exportação por usuário. Os usuários com sessão iniciada também podem eliminar sua conta inteira, conforme descrito em Eliminação de conta. Um membro ou usuário de Somente leitura pode, em vez disso, sair do domicílio pela ação independente de saída, e um proprietário efetivo pode remover um membro que não seja proprietário. Qualquer uma das ações revoga o acesso e as sessões ativas da pessoa afetada e remove a telemetria opcional não agregada de formatos e seu consentimento, a inscrição no teste fechado de extratos e as linhagens de modelos de mapeamento que ela criou, sem eliminar os meses fechados, as transações nem o histórico de auditoria do domicílio. Conserva os comentários anteriores dessa pessoa até que o domicílio seja eliminado ou até que o autor elimine toda a sua conta.
Os registros conservados permanentemente de forma intencional após uma eliminação são:
- o marcador mínimo de eliminação (ID do espaço de trabalho/domicílio e data e hora da eliminação) descrito acima;
- a evidência já registrada de obrigação e tentativas de limpeza junto ao provedor, conservada indefinidamente como evidência de segurança e auditoria, conforme descrito em Retenção;
- o histórico minimizado do ciclo de vida da conta descrito em Retenção, conservado para bloquear solicitações antigas e provar o limite entre uma eliminação concluída e uma nova geração posterior da conta;
- se alguma vez existiu um artefato cifrado de extrato bancário para o espaço de trabalho, o registro mínimo de limpeza do artefato externo: a obrigação de limpeza, seu histórico de tentativas e a prova de ausência verificada, que contêm apenas identidades opacas ou em forma de resumo criptográfico do localizador de armazenamento e do manifesto seguro, além de motivos, estados e carimbos de data/hora — nunca um nome de arquivo, material de chaves, conteúdo cifrado ou em texto claro, nem valores do extrato. Uma importação de histórico anual cria esse registro, e ele sobrevive à eliminação do espaço de trabalho de onde veio para que a eliminação externa pendente ainda possa ser concluída e provada; e
- a referência de conta opaca mínima conservada quando a evidência de auditoria retida em outro domicílio ainda faz referência a uma conta eliminada, com seu nome de exibição substituído por "Cuenta eliminada".
Os registros temporários de limpeza são consumidos quando seu trabalho termina.
Os dados eliminados do domicílio podem permanecer recuperáveis por um curto período dentro da janela de backup ou restauração do provedor de banco de dados hospedado. Se Modo Próspera algum dia restaurar o banco de dados a partir de um backup após uma solicitação de eliminação, reaplicaremos as solicitações de eliminação afetadas antes de devolver o serviço aos usuários da beta.