Uma exportação de mensagens de redes sociais só é útil quando você consegue explicar o que ela contém, o que omite, quem pode acessá-la e se ela foi alterada após a captura. Este checklist aborda exportações nativas, metadados, retenção, acesso e verificação sem presumir que o download de uma plataforma seja um registro completo.

1. Comece pelo registro que você precisa preservar

Para estabelecer uma base defensável, preserve mais do que o texto das mensagens. A U.S. National Archives and Records Administration (NARA) afirma que um registro Federal completo deve ter conteúdo, contexto e estrutura, juntamente com metadados associados, como autor e data de criação, e deve ser mantido para garantir confiabilidade e autenticidade (orientação da NARA).

Use isso como teste de integridade:

  • Conteúdo: a exportação da mensagem ou conversa.
  • Contexto: a conta, o perfil, os participantes, o período e o motivo da captura.
  • Estrutura: o formato e a relação entre arquivos, pastas, anexos e registros de mensagens.
  • Metadados: detalhes como autor e data de criação, além do escopo e do horário da exportação registrados por você.

Para este checklist, trate a exportação baixada como a cópia a ser preservada e verifique se ela contém esses elementos. A NARA lista APIs específicas da plataforma, captura da web, métodos manuais e ferramentas de exportação da plataforma como possíveis métodos de captura. Também afirma que, quando um provedor não consegue exportar um registro completo, a organização continua responsável por implementar os requisitos de captura (orientação da NARA).

Se seu plano de preservação também inclui conteúdo social público, o SocialGuardian faz backup automático de posts, stories e vídeos das principais plataformas. O site informa que o backup inclui mídia e metadados, com exportação completa do arquivo disponível a qualquer momento. Conheça o SocialGuardian

2. Mapeie contas, responsáveis e retenção antes de exportar

Crie uma linha para cada rede e perfil antes de solicitar os dados. Registre:

  • Rede e identificador ou URL do perfil
  • Proprietário ou responsável pela conta
  • Finalidade comercial e escopo relevante das mensagens
  • Período solicitado
  • Método e formato de exportação
  • Data da solicitação, data de entrega e responsável pelo acesso
  • Local de armazenamento e regra de retenção
  • Exclusões, atrasos ou avisos conhecidos sobre conteúdo excluído

A plataforma não é o único critério para determinar se uma mensagem pertence a um registro regulado. A FINRA afirma que as obrigações de manutenção de registros de redes sociais dependem de a comunicação ser uma comunicação comercial, e não apenas da plataforma. Também afirma que essa análise não depende do dispositivo ou da tecnologia, inclusive quando se trata de um dispositivo pessoal (Notice 11-39 da FINRA).

A retenção também não é um número universal. Por exemplo:

Regra ou princípio O que a fonte citada diz Como usar no mapa
Registros de corretoras da FINRA Certos registros devem ser preservados por pelo menos três anos, sendo os dois primeiros facilmente acessíveis. Confirme se a comunicação está sujeita à regra aplicável de manutenção de registros.
Documentação da HIPAA Security Rule A documentação obrigatória é retida por seis anos a partir da criação ou da última vigência, o que ocorrer depois. Confirme se o item é uma documentação obrigatória antes de aplicar esse período.
Considerando 39 do GDPR O armazenamento deve ser limitado ao mínimo estritamente necessário, com segurança e confidencialidade adequadas. Defina um período necessário e controles de acesso em vez de reter tudo indefinidamente.

O período da FINRA consta no Notice 11-39, o requisito da HIPAA aparece em 45 CFR 164.316, e a linguagem sobre armazenamento e segurança aparece no considerando 39 do GDPR. Estes são exemplos fundamentados em fontes, não uma política universal de retenção. O NIST recomenda aplicar práticas forenses somente após consultar a administração e o departamento jurídico sobre as leis e regulamentações aplicáveis (NIST SP 800-86).

Não permita que um sistema que apaga ou exclui automaticamente comunicações eletrônicas seja seu único controle de manutenção de registros: a FINRA afirma que esse tipo de tecnologia impediria a retenção das comunicações (Notice 11-39 da FINRA).

3. Exporte mensagens e dados da conta usando fluxos nativos documentados

Use o fluxo oficial correspondente à plataforma e salve os detalhes da solicitação junto com os arquivos resultantes.

Instagram

No desktop, o caminho oficial para iniciar uma exportação é Mais > Configurações > Conta da Meta > Suas informações e permissões > Exportar suas informações > Criar exportação. O Instagram informa que você pode selecionar informações específicas, período, formato, e-mail de notificação e qualidade da mídia antes de iniciar a exportação (Ajuda do Instagram).

Planeje considerando o prazo de entrega: o Instagram informa que uma exportação pronta fica disponível por quatro dias, enquanto o link de exportação pode levar até 30 dias para chegar. A página de ajuda também observa que informações excluídas podem não aparecer e descreve a exportação como protegida por senha e acessível somente ao titular da conta (Ajuda do Instagram). Registre a data da solicitação e a data em que você realmente baixou os arquivos.

Facebook

No desktop, o caminho oficial do Facebook é foto do perfil > Configurações e privacidade > Configurações > Conta da Meta > Suas informações e permissões > Exportar suas informações > Criar exportação. O Facebook permite escolher HTML ou JSON; sua página de ajuda descreve HTML como adequado para navegação em um ZIP e JSON como legível por máquinas (Ajuda do Facebook).

A mesma página de ajuda informa que as exportações prontas permanecem disponíveis por quatro dias e que a exportação é protegida por senha. O Facebook também alerta que as categorias são armazenadas por períodos diferentes e que informações ou conteúdos excluídos não aparecerão na exportação (Ajuda do Facebook; disponibilidade de dados do Facebook). Trate o resultado como uma exportação de informações da conta a ser analisada, não como prova de que todas as mensagens históricas existem.

LinkedIn

O caminho oficial do LinkedIn no desktop é Eu > Configurações e privacidade > Privacidade dos dados > Baixar seus dados. O LinkedIn informa que você pode selecionar categorias específicas ou um download maior: um tipo específico pode chegar em minutos, enquanto um download maior pode levar até 24 horas; o link de download permanece disponível por 72 horas (Ajuda do LinkedIn).

Há duas limitações importantes de escopo. O LinkedIn informa que o recurso de download não está disponível em dispositivos móveis e que fornece os dados pessoais do membro solicitante, não os dados de outros membros (Ajuda do LinkedIn). Registre ambas as limitações no histórico de preservação.

WhatsApp

O procedimento oficial salvo é para Android: abra a conversa > Mais opções > Mais > Exportar conversa > Sem mídia ou Incluir mídia > escolha um método de compartilhamento (Ajuda do WhatsApp).

O WhatsApp afirma que o histórico de conversa exportado é um arquivo de texto, não um arquivo de backup, e não pode ser reimportado. Se você escolher Incluir mídia, as mídias mais recentes enviadas serão adicionadas como anexos. Preserve a exportação de texto e os anexos juntos e não descreva o resultado como um arquivo completo de mídia sem verificar seu escopo (Ajuda do WhatsApp).

Google Takeout e outros arquivos de contas

O Google descreve o Takeout como uma forma de criar um arquivo para manter registros ou transferir dados. Informa que a criação do arquivo pode levar de alguns minutos a alguns dias e que você pode escolher um tipo de arquivo e um tamanho máximo; quando os dados selecionados excedem esse tamanho, vários arquivos são criados (Google Takeout).

O Google também alerta que um arquivo de dados pode não incluir alterações feitas entre a solicitação do download e a criação do arquivo (Google Takeout). Registre o momento da solicitação e da criação do arquivo e mantenha todas as partes.

TikTok e plataformas sem um fluxo documentado aqui

Este material de pesquisa não estabelece um caminho oficial de exportação do TikTok nem uma afirmação sobre a cobertura de mensagens diretas do TikTok. Não copie para o TikTok um caminho do Instagram, Facebook ou LinkedIn. Em vez disso, registre a opção de exportação documentada atualmente pela plataforma, se houver; caso contrário, documente o método e a limitação da captura. A NARA identifica APIs, captura da web, métodos manuais e ferramentas de exportação da plataforma como métodos possíveis, cuja escolha depende da configuração da plataforma e das necessidades organizacionais (orientação da NARA).

Precisa organizar o registro social ao documentar exportações de mensagens? O SocialGuardian lista Instagram, TikTok, YouTube, X, Facebook, LinkedIn, Twitch e Pinterest, e informa que faz backup de mídia e metadados. Veja as opções de configuração

4. Preserve o original, o contexto e o registro de acesso

Mantenha os arquivos originais como foram entregues. Não os sobrescreva ao criar uma cópia de trabalho legível. Junto com a exportação, salve um manifesto contendo:

  • Plataforma, identificador ou URL do perfil e responsável
  • Escopo solicitado e período
  • Horário da solicitação e horário do download
  • Nomes e formatos dos arquivos e quantidade de partes do arquivo
  • Configuração de mídia ou anexos incluídos
  • Observações sobre prazo de entrega e proteção por senha
  • Categorias ausentes, avisos sobre conteúdo excluído ou outras limitações
  • Local de armazenamento e pessoas ou funções autorizadas a acessá-lo

Esta é a aplicação prática do padrão da NARA de conteúdo, contexto, estrutura e metadados (orientação da NARA).

Capturas de tela podem ser um método manual de captura, mas as evidências salvas não estabelecem, por si só, uma captura de tela como registro completo de mensagens. Preserve a exportação nativa quando disponível, mantenha o contexto ao redor e identifique qualquer captura manual como um método com limitação documentada, em vez de chamá-la de completa por padrão.

O escopo documentado do SocialGuardian é o conteúdo social ao redor: o site informa que faz backup automático de posts, stories e vídeos, inclui mídia e metadados e permite exportar um arquivo completo a qualquer momento. Não há evidência aqui para afirmar que ele exporta mensagens privadas; portanto, mantenha o fluxo de exportação de mensagens acima separado da descrição do produto (SocialGuardian).

5. Verifique a integridade e a ausência de alterações nos arquivos

Execute esta planilha de verificação para cada exportação:

  1. Compare a rede, o perfil, as categorias e o período solicitados com o que foi entregue.
  2. Conte todas as partes do arquivo e os anexos; registre arquivos ausentes ou ilegíveis.
  3. Abra o HTML, JSON ou texto entregue e confirme que está legível.
  4. Compare o manifesto com o prazo de entrega e as limitações informadas pela plataforma.
  5. Registre avisos sobre conteúdo excluído e alterações entre a solicitação e a criação do arquivo.
  6. Preserve a exportação original separadamente de qualquer cópia de análise.
  7. Calcule um hash para cada arquivo ou arquivo compactado preservado e armazene o valor no manifesto.
  8. Recalcule o hash quando o arquivo for analisado ou transferido e investigue qualquer alteração no valor.

O NIST define uma função hash como um algoritmo que calcula um valor numérico representando um arquivo de dados ou uma mensagem eletrônica e que depende de todo o conteúdo desse arquivo ou mensagem (glossário de funções hash do NIST). Isso torna o hash útil para verificar se uma exportação salva foi alterada; ele não responde se a exportação original estava completa.

A verificação de integridade é importante porque o Instagram informa que informações excluídas podem não aparecer, o Facebook informa que informações ou conteúdos excluídos não aparecerão, e o Google alerta que alterações feitas entre a solicitação do download e a criação do arquivo podem estar ausentes. Registre cada lacuna e encaminhe-a para análise em vez de tratar silenciosamente uma exportação parcial como completa (Ajuda do Instagram; disponibilidade de dados do Facebook; Google Takeout).

6. Aplique controles de retenção, acesso e preservação

Use o mapa da etapa 2 para aplicar a regra que realmente governa a comunicação. Limite o acesso às pessoas ou funções registradas no manifesto e preserve o motivo de qualquer exceção ou retenção legal. As fontes apoiam as seguintes verificações de governança:

  • A FINRA afirma que a finalidade comercial da comunicação é relevante, e sua regra citada para corretoras exige que certos registros sejam preservados por pelo menos três anos, sendo os dois primeiros facilmente acessíveis (Notice 11-39 da FINRA).
  • O requisito citado da HIPAA Security Rule determina a retenção da documentação obrigatória por seis anos a partir da criação ou da última vigência, o que ocorrer depois (45 CFR 164.316).
  • O considerando 39 do GDPR afirma que o período de armazenamento deve ser limitado ao mínimo estritamente necessário e que os dados pessoais devem ser tratados com segurança e confidencialidade adequadas (GDPR).

A NARA recomenda um grupo de trabalho sobre registros de redes sociais que inclua profissionais de gestão de registros, redes sociais, TI, privacidade e segurança da informação, jurídico e relações públicas (orientação da NARA). Atribua essas funções — ou equivalentes — às responsabilidades de propriedade, revisão, acesso e escalonamento. Aplique a regra somente depois que a equipe responsável e o jurídico confirmarem que ela se ajusta aos dados e à jurisdição.

7. Checklist de preservação de mensagens entre plataformas

Copie isto para seu chamado de preservação:

  • Liste cada rede, identificador ou URL do perfil, responsável e finalidade comercial.
  • Defina as categorias de mensagens e o período a preservar.
  • Selecione a exportação nativa documentada ou outro método de captura documentado.
  • Registre o horário da solicitação, o horário da entrega, o formato, a configuração de mídia e o prazo de entrega.
  • Preserve a exportação original e todas as partes do arquivo e anexos.
  • Preserve o conteúdo, o contexto, a estrutura e os metadados associados.
  • Registre limitações sobre conteúdo excluído, disponibilidade em dispositivos móveis, dados apenas do próprio usuário, conteúdo somente em texto ou prazos.
  • Abra e analise os arquivos entregues.
  • Calcule e armazene um hash para cada arquivo ou arquivo compactado original.
  • Restrinja o acesso e registre o responsável pelo acesso.
  • Aplique a regra de retenção confirmada e qualquer retenção legal.
  • Encaminhe uma exportação incompleta ao responsável por registros, segurança, privacidade ou jurídico.

Um processo de conformidade precisa tanto do registro de exportação das mensagens quanto do registro do conteúdo social ao redor. Use o SocialGuardian para os posts, stories, vídeos, mídia, metadados e exportação completa documentados e mantenha seu manifesto de exportação de mensagens junto aos registros relevantes. Comece agora

FAQ

Qual é a diferença entre fazer backup e arquivar mensagens de redes sociais?

Use a exportação como a cópia a ser preservada e depois compare-a com conteúdo, contexto, estrutura e metadados. Um registro completo pode exigir captura adicional quando o provedor não consegue exportar o registro completo; a NARA afirma que a organização continua responsável por implementar os requisitos de captura (orientação da NARA).

Como exportar mensagens diretas do Instagram para fins de conformidade?

No desktop, use Mais > Configurações > Conta da Meta > Suas informações e permissões > Exportar suas informações > Criar exportação. Selecione as informações, o período, o formato, o e-mail de notificação e a qualidade da mídia. Registre o prazo de quatro dias para a exportação pronta, a possível espera de 30 dias pelo e-mail, a proteção por senha e a limitação sobre informações excluídas (Ajuda do Instagram).

É possível baixar mensagens do Facebook Messenger?

O Facebook documenta uma exportação de informações da conta em HTML ou JSON por meio de foto do perfil > Configurações e privacidade > Configurações > Conta da Meta > Suas informações e permissões > Exportar suas informações > Criar exportação. Analise as categorias entregues em vez de presumir que todas as mensagens históricas estão presentes: o Facebook informa que as categorias têm períodos de armazenamento diferentes e que conteúdos excluídos não aparecerão (Ajuda do Facebook; disponibilidade de dados do Facebook).

Como exportar mensagens ou dados da conta do LinkedIn?

No desktop, use Eu > Configurações e privacidade > Privacidade dos dados > Baixar seus dados. O LinkedIn informa que categorias específicas podem chegar em minutos, um download maior em até 24 horas e que o link permanece disponível por 72 horas. O recurso não está disponível em dispositivos móveis e fornece os dados do próprio membro solicitante, não os dados de outros membros (Ajuda do LinkedIn).

No Android, abra a conversa, escolha Mais opções > Mais > Exportar conversa, selecione Sem mídia ou Incluir mídia e escolha um método de compartilhamento. O WhatsApp informa que o resultado é um arquivo de texto, não um backup reimportável; incluir mídia adiciona como anexos as mídias mais recentes enviadas (Ajuda do WhatsApp). Preserve a exportação e suas limitações no manifesto.

O TikTok permite baixar mensagens diretas e dados da conta?

Este material de evidências não estabelece um caminho de exportação do TikTok nem a cobertura de mensagens diretas. Não deduza um caminho com base em outra plataforma. Consulte a documentação atual do TikTok e registre o método e os limites; a NARA também lista APIs, captura da web, métodos manuais e ferramentas de exportação da plataforma como possíveis métodos de captura (orientação da NARA).

Capturas de tela são suficientes e quais metadados devem ser preservados?

As evidências salvas identificam métodos manuais como uma possibilidade de captura, mas não estabelecem que capturas de tela, sozinhas, sejam um registro completo. Preserve a exportação nativa quando disponível e mantenha conteúdo, contexto, estrutura e metadados associados, como autor e data de criação (orientação da NARA).

Por quanto tempo as mensagens devem ser retidas e como verificar um backup?

Aplique a regra confirmada para a comunicação. Os exemplos citados incluem pelo menos três anos para certos registros de corretoras da FINRA, seis anos para documentação obrigatória da HIPAA e o princípio de armazenamento mínimo estrito do GDPR. Para verificar o backup, compare o escopo com os arquivos entregues, registre as limitações da plataforma, preserve os originais e armazene hashes; o NIST afirma que um hash depende de todo o conteúdo do arquivo ou da mensagem (Notice 11-39 da FINRA; 45 CFR 164.316; GDPR; glossário de funções hash do NIST).