Què sap de tu un assistent que llegeix el teu correu

Perquè un assistent sigui útil s'ha de recordar de coses. Que la teva gestoria es diu així, que els dimarts no hi ha reunions, que a aquest client se li escriu de vostè. El problema és que "recordar-se" vol dir desar, i desar informació treta del teu correu és una responsabilitat diferent de desar la teva configuració de tema fosc.

Memòria no és historial

Convé separar dues coses que es confonen. L'historial és la còpia dels teus missatges; la memòria és el que el sistema n'ha deduït. "Tens 613 correus d'aquest remitent" és historial. "Treballa amb aquesta gestoria" és memòria.

La memòria és molt més petita i molt més sensible. També és l'única que cal perquè l'assistent funcioni bé el mes que ve. Un disseny raonable desa memòria i no acumula historial més enllà del que necessita per treballar.

Tres propietats que hauria de tenir cada record

• Una font. De quin missatge va sortir. Sense això no pots comprovar si és cert, i un record que no es pot comprovar acaba sent un rumor que el sistema repeteix.
• Una confiança. No és el mateix una dada que surt a vint correus que una deduïda d'una frase ambigua. Barrejar-les fa que l'assistent afirmi bestieses amb la mateixa seguretat amb què encerta.
• Una caducitat. Els fets envelleixen. El càrrec d'algú, un projecte, una adreça. Un record sense data de caducitat és un error futur esperant el seu torn.

I per damunt de les tres: un botó d'oblidar, per record, que funcioni de veritat i no marqui una casella mentre la dada continua allà.

Xifrat per camp, no només "la base de dades està xifrada"

"Les dades estan xifrades en repòs" sol voler dir que el disc ho està, cosa que protegeix contra el robatori del disc i poca cosa més. Si algú accedeix a la base de dades amb credencials vàlides, ho veu tot en clar.

Xifrar per camp —l'assumpte, el remitent, el resum, cadascun amb la seva clau i el seu context— és més feina i canvia el resultat: una consulta solta a la taula no torna res llegible. És la diferència entre protegir l'edifici i protegir el document.

El consentiment ha de ser reversible

Un permís que es demana un cop, al principi, quan l'usuari encara no sap què fa l'aplicació, no és consentiment informat: és un peatge. Els permisos s'haurien de demanar en el moment en què calen, explicant per a què, i treure's igual de fàcil. Si concedir triga un clic i revocar triga un correu a suport, el disseny està dient alguna cosa.

Pots veure què desem exactament, amb quines claus i durant quant de temps a la nostra política de privacitat i a la política de conservació. Hi ha més sobre això als articles de privacitat.