Perché più passaggi
«Elimina il mio account» sembra semplice. In pratica si incrociano tre esigenze. Tu vuoi che i tuoi contenuti spariscano per sempre. L'amministratore vuole poter sospendere un accesso senza distruggere tutto, per esempio il tempo di chiarire un dubbio. E la fatturazione deve poter rispondere più avanti a una domanda su una spesa: quanto, per quale modello, in quale giorno.
Ho quindi separato queste esigenze in passaggi, ciascuno con un effetto chiaro, e li ho resi successivi: si elimina solo un account già disattivato, si cancella solo un account già eliminato. Nessuno resta a metà strada, con una sessione ancora aperta su un account svuotato.
I quattro stati
- Attivo: accedi e LIA lavora per te.
- Disattivato: l'accesso è bloccato, le tue sessioni aperte vengono chiuse e un'e-mail ti avvisa. I tuoi dati restano intatti e l'amministratore può riattivare l'account.
- Eliminato: i tuoi contenuti personali vengono cancellati. L'account conserva il tuo nome e la tua e-mail per il contatto di fatturazione.
- Cancellato: a sua volta sparisce la riga dell'account. I registri di fatturazione restano, ma non sono più collegati a nessun account.
È l'amministratore della tua istanza a far passare un account da uno stato all'altro, dal suo pannello: sei tu a chiedergli l'eliminazione. Un account amministratore non può essere eliminato per questa via.
Cosa sparisce davvero
L'eliminazione riguarda tutto ciò che viene da te o parla di te: conversazioni, ricordi, diario e ritratto, promemoria, routine, documenti e spazi di conoscenza, file sul disco, dati sulla salute, luoghi salvati, il tuo numero di telefono, i registri di ciò che LIA ha fatto per te. Gli accessi ai tuoi servizi collegati vengono revocati presso i fornitori quando possibile. Lo stato interno della tua conversazione e le cache vengono svuotati, e la tua presenza viene rimossa dal mondo condiviso.
Non volevo che una nuova funzione, un giorno, dimenticasse i propri dati. Un test verifica quindi che ogni tabella che contiene dati personali sia coperta dalla cancellazione: una tabella dimenticata fa fallire la build.
La cancellazione è definitiva: riattivare un account eliminato non riporta indietro nulla.
Anche le attività in background si fermano
Una parte del lavoro di LIA si svolge senza di te: notifiche, routine, promemoria, rilettura del diario, rinnovo degli accessi ai tuoi servizi. Un account disattivato non deve continuare a consumare chiamate al modello durante la notte. Prima di agire, queste attività verificano quindi lo stato dell'account, e un account disattivato o eliminato viene semplicemente ignorato. Al momento della disattivazione questa verifica viene aggiornata subito, perché nessuna chiamata passi nel frattempo.
Nemmeno l'accesso con Google cambia lo stato di un account. Una registrazione in attesa resta in attesa, un account bloccato resta bloccato e un account eliminato non torna.
Cosa resta, e perché
Restano i registri dei consumi: token, costi, chiamate ai servizi Google. Permettono di rispondere alla contestazione di una fattura e non contengono le tue conversazioni. I log di audit o di diagnostica possono conservare elementi identificativi secondo il proprio periodo di conservazione, e i backup seguono la politica scelta dall'operatore. Se l'istanza invia il tracciamento delle chiamate ai modelli a uno strumento esterno come Langfuse, ciò che vi si trova segue la conservazione di quello strumento. Questi meccanismi aiutano a rispettare i tuoi diritti; da soli non bastano a certificare che un'installazione sia conforme al GDPR.
Se vuoi tenere il tuo account ma alleggerire ciò che contiene, esistono gesti più leggeri: scollegare un servizio, svuotare la conversazione o scaricare l'archivio dei tuoi dati prima di andartene. I dettagli sono nelle FAQ sulla privacy.
Per approfondire: I tuoi dati restano tuoi: cosa LIA conserva, mostra e cancella.