Eliminar a conta numa aplicação: preparar os dados, a subscrição e a saída

Antes de apagar o perfil, a pessoa quer saber o que vai perder

Imagine alguém que terminou um curso e já não pretende usar a aplicação. Quer eliminar a conta, mas ainda precisa do certificado e gostaria de guardar os trabalhos que entregou. O ecrã limita-se a avisar que a ação é irreversível. A pessoa fica sem perceber se deve avançar, procurar uma exportação ou escrever à escola.

Este exemplo fictício mostra que a primeira dificuldade pode ser informativa. A eliminação não precisa de muitas páginas, mas tem de explicar as consequências que interessam a quem vai sair. Um aviso genérico sobre dados não substitui a indicação de que o histórico de aprendizagem deixará de estar disponível.

Se fizer sentido no produto, ofereça uma forma de descarregar documentos úteis antes da confirmação. Essa opção deve ajudar, não impedir a saída. Obrigar alguém a exportar um ficheiro ou a responder a um questionário para conseguir eliminar a conta acrescenta trabalho sem esclarecer a decisão.

O artigo trata da função e da sua verificação. O que a aplicação faz deve também estar refletido na política de privacidade. Uma boa descrição não compensa um processo que deixa dados esquecidos noutros sistemas.

Defina exatamente o que termina

Uma conta pessoal, a participação numa turma e uma subscrição podem ser coisas distintas. Um formador pode ter acesso a várias escolas. Um aluno pode ter comprado um curso isolado e subscrito outro serviço. O botão de eliminação precisa de um âmbito que a pessoa consiga compreender.

Terminar sessão fecha o acesso naquela sessão. Desinstalar retira a aplicação do telemóvel. Cancelar a renovação altera a relação de pagamento. Eliminar a conta trata da conta e dos dados associados dentro do âmbito aplicável. Uma desativação temporária pode existir, mas não deve ser apresentada como equivalente à eliminação.

Liste o destino de cada elemento relevante: perfil, progresso, trabalhos, mensagens, certificados e compras. Considere conteúdos partilhados com professores ou outros alunos. Uma ligação técnica ao mesmo identificador não resolve, por si só, quem tem direitos sobre cada registo.

As operações pendentes também precisam de tratamento. Não deixe que uma inscrição por resolver se torne um bloqueio sem fim ao pedido. Explique como a pessoa pode acompanhar o assunto e quais os dados estritamente necessários. Contratos, obrigações de conservação e prazos requerem análise adequada ao serviço e aos mercados em que opera.

Escreva primeiro a informação da confirmação

Uma confirmação útil deve indicar o que desaparece, o que será eventualmente conservado por uma razão explicada e o que necessita de uma ação separada. Se houver perda de acesso ao curso, diga-o. Se a subscrição tiver de ser gerida junto de outro fornecedor, mostre o caminho correspondente.

Para a escola do exemplo, o conteúdo poderia explicar a remoção do perfil e do histórico, a existência de regras específicas para determinados registos de operações e a gestão separada de uma subscrição Apple. É um exemplo do tipo de informação, não um texto legal pronto para qualquer aplicação.

Não prometa conclusão antes de ela acontecer. «Recebemos o seu pedido» e «A sua conta foi eliminada» comunicam estados diferentes. Se houver trabalho em curso, explique como chegará a confirmação e como a pessoa poderá pedir esclarecimentos sem criar uma nova conta.

Uma pergunta opcional sobre a razão da saída pode ser útil. Um telefonema comercial obrigatório ou várias tentativas de retenção não tornam a decisão mais segura. A confirmação deve evitar um engano, respeitando ao mesmo tempo a escolha de quem quer sair.

As lojas exigem caminhos que funcionem de verdade

Para as aplicações abrangidas, a Apple prevê o início da eliminação dentro da aplicação. A simples desativação não basta. A orientação distingue ainda uma verificação razoável de passos desnecessários através do apoio ao cliente.

O Google Play exige também um recurso externo, no âmbito da respetiva política. Assim, quem já desinstalou pode pedir a eliminação sem voltar a instalar a aplicação. A página tem de estar associada ao produto de forma reconhecível e permitir iniciar um pedido real.

Teste esse caminho do princípio ao fim. Abra a página num telemóvel sem a aplicação, envie uma solicitação de teste e confirme quem a recebe. Verifique a resposta ao requerente e o seguimento pela equipa. Uma ligação que abre corretamente não garante que exista um processo do outro lado.

Não use a aprovação da loja como certificado jurídico. As condições concretas de conservação e os prazos aplicáveis têm de ser revistos por quem conhece o enquadramento do serviço. Evite copiar de outra aplicação um número de dias que a sua equipa não validou nem consegue cumprir.

Saiba onde a subscrição foi comprada

Um utilizador pode sair da aplicação e continuar a ter uma subscrição gerida pela loja. O artigo de engenharia da RevenueCat sobre eliminação de contas explica bem esta separação. Como é um texto mais antigo, os detalhes operacionais devem ser confirmados na documentação atual.

A documentação atual do perfil de cliente da RevenueCat explica a diferença: eliminar um cliente não cancela automaticamente as subscrições móveis nem as do Stripe Web Payments. Já as subscrições do RevenueCat Billing são canceladas imediatamente. A equipa deve testar cada canal que realmente utiliza, em vez de assumir uma regra única.

*A eliminação de dados e a gestão de pagamentos recorrentes precisam de verificações próprias. A relação depende do fornecedor e do canal de compra.*

Considere também uma compra feita noutro dispositivo. A pessoa pode estar agora num telemóvel diferente e precisar de gerir a subscrição no serviço onde a contratou. Escolher a ligação apenas a partir do sistema operativo atual pode levá-la ao sítio errado.

Cancelar uma renovação, devolver um pagamento e retirar o acesso não são a mesma coisa. O nosso guia de aplicações por subscrição aborda o modelo completo. No percurso de saída, indique apenas o que vai acontecer naquele caso, sem prometer reembolsos ou cancelamentos que a implementação não realiza.

Siga os dados para além da autenticação

Peça uma lista curta dos locais onde o utilizador está representado: serviço de início de sessão, base principal, ficheiros, mensagens, apoio, notificações e fornecedores externos. Para cada local, identifique a ação prevista, o componente responsável e a prova de conclusão.

Impedir o acesso não demonstra que os trabalhos ou as fotografias foram removidos. O exercício guiado do Firebase sobre extensões mostra uma limpeza limitada aos dados configurados. É uma boa forma de perceber que uma ferramenta não conhece automaticamente todas as cópias existentes no produto.

Os conteúdos partilhados merecem uma decisão explícita. Uma mensagem pode ter sido enviada para outra pessoa; um trabalho pode ter comentários de um professor. Defina o resultado visível para cada participante, tendo em conta os direitos e deveres aplicáveis. Trocar o nome por «conta eliminada» não garante, por si só, que todos os dados pessoais foram tratados.

Se alguns registos tiverem de ficar, especifique quais, porquê, durante quanto tempo e com que acessos. «Guardar por segurança» é demasiado amplo. Pense também nas cópias de segurança e no restauro: uma recuperação técnica não deve fazer regressar silenciosamente contas eliminadas ao uso normal.

A equipa precisa de distinguir pedido e conclusão

A eliminação pode passar por várias tarefas no servidor. Um conjunto simples de estados ajuda: recebido, confirmado, em tratamento e concluído. Quando um serviço falha, deve existir uma tarefa pendente identificável, e não um sucesso aparente porque o perfil já desapareceu da base principal.

Suponha que a limpeza da base terminou, mas o armazenamento dos trabalhos está temporariamente indisponível. O sistema precisa de guardar o que falta e repetir essa operação mais tarde, sem reconstruir o perfil. Se o utilizador enviar o pedido duas vezes, o resultado esperado deve manter-se seguro e consistente.

O apoio ao cliente necessita apenas do registo mínimo para acompanhar a solicitação: referência segura, estado e ação pendente. Não conserve uma cópia completa da conta com o argumento de provar que foi eliminada. Defina também quem pode consultar esse acompanhamento e por quanto tempo.

Uma falha de ligação no telemóvel merece teste específico. A app pode não ter recebido a resposta mesmo que o servidor já esteja a trabalhar. Consultar o estado é mais útil do que apresentar uma conclusão inventada ou obrigar a pessoa a começar tudo novamente.

Confirme a identidade sem pedir uma palavra-passe inexistente

Um formulário não deve permitir eliminar uma conta alheia apenas por indicar o respetivo endereço. A verificação deve ser adequada ao risco, com autorização validada no servidor. Chaves administrativas e operações privilegiadas não devem ficar expostas na aplicação.

Por outro lado, quem entrou sempre através da Apple ou de outro fornecedor pode nunca ter definido uma palavra-passe própria da app. Exigi-la no último passo bloqueia um pedido legítimo. Planeie a confirmação em conjunto com os métodos de autenticação e recuperação, incluindo ajuda segura para exceções. Verifique este percurso durante a avaliação de segurança da aplicação.

Verifique as sessões noutros dispositivos e as ligações de notificações. Depois de anunciada a conclusão, um tablet antigo não deve continuar a guardar dados na conta anterior. No caso de Sign in with Apple, a orientação da Apple inclui a revogação dos tokens associados. A equipa técnica deve tratar essas ligações como parte do trabalho, não como detalhe para mais tarde.

O que verificar antes de aceitar a entrega

Crie um perfil de teste com informação fictícia, ficheiros e mensagens. Inicie sessão num segundo dispositivo e use o ambiente de testes do fornecedor para os pagamentos. Depois acompanhe o resultado nos sistemas onde os dados estavam guardados.

Verifique o pedido normal, a solicitação externa sem reinstalação, o duplo envio e a falha temporária de um fornecedor. Confirme que o estado apresentado corresponde ao que aconteceu. Por fim, teste voltar a entrar e restaurar uma compra: esses atos não devem recuperar inesperadamente os antigos dados pessoais.

Uma nova conta vazia criada por escolha expressa é diferente de fazer reaparecer a anterior. Inclua essa distinção na lista de testes antes de publicar. Estes são critérios propostos de aceitação do produto; a análise jurídica continua a ter o seu lugar.

Para discutir a funcionalidade com a Appfyl, reúna os métodos de início de sessão, os locais onde os dados são guardados e os canais de compra. São três pontos de partida simples para uma tarefa que costuma ser subestimada. Um bom processo de saída deixa a pessoa informada e permite à equipa confirmar que cumpriu o combinado.

Perguntas frequentes