Uma exportação de mensagens de redes sociais só é útil quando você consegue explicar o que ela contém, o que omite, quem pode acessá-la e se ela foi alterada após a captura. Esta lista de verificação aborda exportações nativas, metadados, retenção, acesso e verificação sem presumir que o download de uma plataforma seja um registro completo.

1. Comece pelo registro que você precisa preservar

Para estabelecer uma base defensável, preserve mais do que o texto das mensagens. A U.S. National Archives and Records Administration (NARA) afirma que um registro federal completo deve conter conteúdo, contexto e estrutura, além de metadados associados, como autor e data de criação, e deve ser mantido para garantir confiabilidade e autenticidade (orientação da NARA).

Use isso como teste de integridade:

  • Conteúdo: a exportação da mensagem ou conversa.
  • Contexto: a conta, o perfil, os participantes, o período e o motivo da captura.
  • Estrutura: o formato e a relação entre arquivos, pastas, anexos e registros de mensagens.
  • Metadados: detalhes como autor e data de criação, além do escopo da exportação e do registro de data e hora.

Para esta lista, trate a exportação baixada como a cópia que você preservará e verifique se ela contém esses elementos. A NARA lista APIs específicas da plataforma, captura na web, métodos manuais e ferramentas de exportação da plataforma como possíveis métodos de captura. Também afirma que, quando um provedor não consegue exportar um registro completo, a organização continua responsável por implementar os requisitos de captura (orientação da NARA).

Se o seu plano de preservação também inclui conteúdo social público, o SocialGuardian faz backup automático de publicações, stories e vídeos das principais plataformas. O site informa que o backup inclui mídia e metadados, com exportação completa do arquivo disponível a qualquer momento. Conheça o SocialGuardian

2. Mapeie contas, responsáveis e retenção antes de exportar

Crie uma linha para cada rede e perfil antes de solicitar os dados. Registre:

  • Rede e identificador ou URL do perfil
  • Proprietário ou responsável pela conta
  • Finalidade comercial e escopo relevante das mensagens
  • Período solicitado
  • Método e formato da exportação
  • Data da solicitação, data de entrega e responsável pelo acesso
  • Local de armazenamento e regra de retenção
  • Exclusões conhecidas, atrasos ou avisos sobre conteúdo excluído

A plataforma não é o único critério para determinar se uma mensagem pertence a um registro regulado. A FINRA afirma que as obrigações de manutenção de registros de redes sociais dependem de a comunicação ser uma comunicação comercial, não simplesmente da plataforma. Também afirma que essa análise não depende do dispositivo ou da tecnologia, incluindo um dispositivo pessoal (Aviso 11-39 da FINRA).

A retenção também não segue um único prazo universal. Por exemplo:

Regra ou princípio O que a fonte citada afirma Como usar no mapa
Registros de corretoras da FINRA Determinados registros devem ser preservados por pelo menos três anos, com os dois primeiros anos facilmente acessíveis. Confirme se a comunicação está dentro da regra de manutenção de registros aplicável.
Documentação da Regra de Segurança da HIPAA A documentação exigida é mantida por seis anos a partir da criação ou da última vigência, o que ocorrer por último. Confirme se o item é documentação exigida antes de aplicar esse período.
Considerando 39 do GDPR O armazenamento deve ser limitado ao mínimo estritamente necessário, com segurança e confidencialidade adequadas. Defina um período necessário e controles de acesso, em vez de reter tudo indefinidamente.

O período da FINRA está indicado no Aviso 11-39, a exigência da HIPAA aparece no 45 CFR 164.316, e a linguagem sobre armazenamento e segurança aparece no considerando 39 do GDPR. São exemplos baseados em fontes, não uma política universal de retenção. O NIST recomenda aplicar práticas forenses somente após consultar a administração e o departamento jurídico sobre as leis e regulamentações aplicáveis (NIST SP 800-86).

Não permita que um sistema que apaga ou exclui automaticamente comunicações eletrônicas seja seu único controle de manutenção de registros: a FINRA afirma que esse tipo de tecnologia impediria a retenção das comunicações (Aviso 11-39 da FINRA).

3. Exporte mensagens e dados da conta usando fluxos nativos documentados

Use o fluxo oficial correspondente à plataforma e salve os detalhes da solicitação junto com os arquivos resultantes.

Instagram

No desktop, o caminho oficial para iniciar uma exportação é Mais > Configurações > Central de Contas da Meta > Suas informações e permissões > Exportar suas informações > Criar exportação. O Instagram informa que é possível selecionar informações específicas, período, formato, e-mail de notificação e qualidade da mídia antes de iniciar a exportação (Ajuda do Instagram).

Planeje considerando o prazo de entrega: o Instagram informa que uma exportação pronta fica disponível por quatro dias, enquanto o link de exportação pode levar até 30 dias para chegar. A página de ajuda também observa que informações excluídas podem não aparecer e descreve a exportação como protegida por senha e acessível somente ao titular da conta (Ajuda do Instagram). Registre a data da solicitação e a data em que os arquivos foram realmente baixados.

Facebook

No desktop, o caminho oficial do Facebook é foto do perfil > Configurações e privacidade > Configurações > Central de Contas da Meta > Suas informações e permissões > Exportar suas informações > Criar exportação. O Facebook permite escolher HTML ou JSON; sua página de ajuda descreve HTML como adequado para navegação no navegador dentro de um ZIP e JSON como legível por máquina (Ajuda do Facebook).

A mesma página de ajuda informa que as exportações prontas permanecem disponíveis por quatro dias e que a exportação é protegida por senha. O Facebook também alerta que as categorias são armazenadas por períodos diferentes e que informações ou conteúdos excluídos não aparecerão na exportação (Ajuda do Facebook; disponibilidade de dados do Facebook). Trate o resultado como uma exportação de informações da conta para análise, não como prova de que todas as mensagens históricas existem.

LinkedIn

O caminho oficial do LinkedIn no desktop é Eu > Configurações e privacidade > Privacidade dos dados > Baixar seus dados. O LinkedIn informa que é possível selecionar categorias específicas ou um download maior: um tipo específico pode chegar em minutos, um download maior em até 24 horas, e o link de download permanece disponível por 72 horas (Ajuda do LinkedIn).

Há duas limitações importantes de escopo. O LinkedIn informa que o recurso de download não está disponível em dispositivos móveis e que fornece os dados pessoais do membro que faz a solicitação, não os dados de outros membros (Ajuda do LinkedIn). Registre as duas limitações no registro de preservação.

WhatsApp

O procedimento oficial salvo é para Android: abra a conversa > Mais opções > Mais > Exportar conversa > Sem mídia ou Incluir mídia > escolha um método de compartilhamento (Ajuda do WhatsApp).

O WhatsApp afirma que o histórico de conversa exportado é um arquivo de texto, não um arquivo de backup, e não pode ser reimportado. Se você escolher Incluir mídia, a mídia mais recente enviada será adicionada como anexo. Preserve a exportação de texto e os anexos juntos e não descreva o resultado como um arquivo completo de mídia sem verificar seu escopo (Ajuda do WhatsApp).

Google Takeout e outros arquivos de contas

O Google descreve o Takeout como uma forma de criar um arquivo para manter registros ou transferir dados. Informa que a criação do arquivo pode levar de alguns minutos a alguns dias e que é possível escolher um tipo de arquivo e um tamanho máximo; quando os dados selecionados excedem esse tamanho, vários arquivos são criados (Google Takeout).

O Google também alerta que um arquivo de dados pode não incluir alterações feitas entre a solicitação do download e a criação do arquivo (Google Takeout). Registre os horários da solicitação e da criação do arquivo e mantenha todas as partes.

TikTok e plataformas sem um fluxo documentado aqui

Este material de pesquisa não estabelece um caminho oficial de exportação do TikTok nem uma afirmação sobre a cobertura de mensagens diretas do TikTok. Não copie para o TikTok um caminho do Instagram, Facebook ou LinkedIn. Em vez disso, registre a opção de exportação documentada atual da plataforma, se houver; caso contrário, documente o método de captura e a limitação. A NARA identifica APIs, captura na web, métodos manuais e ferramentas de exportação da plataforma como possíveis métodos, cuja escolha depende da configuração da plataforma e das necessidades da organização (orientação da NARA).

Precisa organizar o registro social ao redor enquanto documenta as exportações de mensagens? O SocialGuardian lista Instagram, TikTok, YouTube, X, Facebook, LinkedIn, Twitch e Pinterest, e informa que faz backup de mídia e metadados. Veja as opções de configuração

4. Preserve o original, o contexto e o registro de acesso

Mantenha os arquivos originais conforme foram entregues. Não os sobrescreva ao criar uma cópia de trabalho legível. Junto com a exportação, salve um manifesto contendo:

  • Plataforma, identificador ou URL do perfil e responsável
  • Escopo solicitado e período
  • Data e hora da solicitação e do download
  • Nomes dos arquivos, formatos e quantidade de partes do arquivo
  • Configuração de mídia ou anexos incluídos
  • Observações sobre prazo de entrega e proteção por senha
  • Categorias ausentes, avisos sobre conteúdo excluído ou outras limitações
  • Local de armazenamento e pessoas ou funções autorizadas a acessá-lo

Esta é a aplicação prática do padrão da NARA de conteúdo, contexto, estrutura e metadados (orientação da NARA).

Capturas de tela podem ser um método manual de captura, mas a evidência salva não estabelece que uma captura de tela, sozinha, seja um registro completo de mensagens. Preserve a exportação nativa quando disponível, mantenha o contexto ao redor e identifique qualquer captura manual como um método com limitação documentada, em vez de chamá-la automaticamente de completa.

O escopo de produto documentado do SocialGuardian é o conteúdo social ao redor: o site informa que faz backup automático de publicações, stories e vídeos, inclui mídia e metadados e permite exportar um arquivo completo a qualquer momento. Não há evidência aqui para afirmar que ele exporta mensagens privadas; portanto, mantenha o fluxo de exportação de mensagens acima separado dessa descrição do produto (SocialGuardian).

5. Verifique a integridade e a ausência de alterações nos arquivos

Execute esta planilha de verificação para cada exportação:

  1. Compare a rede, o perfil, as categorias e o período solicitados com o que foi entregue.
  2. Conte cada parte do arquivo e cada anexo; registre arquivos ausentes ou ilegíveis.
  3. Abra a saída HTML, JSON ou de texto entregue e confirme que ela está legível.
  4. Compare o manifesto com o prazo de entrega e as limitações informados pela plataforma.
  5. Registre avisos sobre conteúdo excluído e alterações entre a solicitação e a criação do arquivo.
  6. Preserve a exportação original separadamente de qualquer cópia de análise.
  7. Calcule um hash para cada arquivo ou arquivo compactado preservado e armazene o valor no manifesto.
  8. Recalcule o hash quando o arquivo for analisado ou transferido e investigue qualquer alteração no valor.

O NIST define uma função hash como um algoritmo que calcula um valor numérico representando um arquivo de dados ou uma mensagem eletrônica e que depende de todo o conteúdo desse arquivo ou mensagem (glossário do NIST sobre funções hash). Isso torna o hash útil para verificar se uma exportação salva foi alterada; ele não responde se a exportação original estava completa.

A verificação de integridade é importante porque o Instagram afirma que informações excluídas podem não aparecer, o Facebook afirma que informações ou conteúdos excluídos não aparecerão, e o Google alerta que alterações feitas entre a solicitação do download e a criação do arquivo podem estar ausentes. Registre cada lacuna e encaminhe-a para análise, em vez de tratar silenciosamente uma exportação parcial como completa (Ajuda do Instagram; disponibilidade de dados do Facebook; Google Takeout).

6. Aplique controles de retenção, acesso e preservação legal

Use o mapa da etapa 2 para aplicar a regra que realmente governa a comunicação. Limite o acesso às pessoas ou funções registradas no manifesto e preserve o motivo de qualquer exceção ou preservação legal. As fontes apoiam as seguintes verificações de governança:

  • A FINRA afirma que a finalidade comercial da comunicação importa e que sua regra citada para corretoras exige que determinados registros sejam preservados por pelo menos três anos, com os dois primeiros anos facilmente acessíveis (Aviso 11-39 da FINRA).
  • A exigência citada na Regra de Segurança da HIPAA diz para manter a documentação exigida por seis anos a partir da criação ou da última vigência, o que ocorrer por último (45 CFR 164.316).
  • O considerando 39 do GDPR afirma que o período de armazenamento deve ser limitado ao mínimo estritamente necessário e que os dados pessoais devem ser tratados com segurança e confidencialidade adequadas (GDPR).

A NARA recomenda um grupo de trabalho sobre registros de redes sociais que inclua profissionais de gestão de registros, redes sociais, TI, privacidade e segurança da informação, jurídico e relações públicas (orientação da NARA). Atribua essas funções — ou equivalentes — às responsabilidades de propriedade, análise, acesso e encaminhamento. Aplique a regra somente depois que a equipe responsável e o jurídico confirmarem que ela se ajusta aos dados e à jurisdição.

7. Lista de verificação multiplataforma para preservação de mensagens

Copie isto para o seu chamado de preservação:

  • Liste cada rede, identificador ou URL do perfil, responsável e finalidade comercial.
  • Defina as categorias de mensagens e o período a preservar.
  • Selecione a exportação nativa documentada ou outro método de captura documentado.
  • Registre horário da solicitação, horário da entrega, formato, configuração de mídia e prazo de entrega.
  • Preserve a exportação original e todas as partes do arquivo e anexos.
  • Preserve conteúdo, contexto, estrutura e metadados associados.
  • Registre limitações sobre conteúdo excluído, disponibilidade em dispositivos móveis, dados somente do titular, texto somente ou prazos.
  • Abra e analise os arquivos entregues.
  • Calcule e armazene um hash para cada arquivo original ou arquivo compactado.
  • Restrinja o acesso e registre o responsável pelo acesso.
  • Aplique a regra de retenção confirmada e qualquer preservação legal.
  • Encaminhe uma exportação incompleta ao responsável por registros, segurança, privacidade ou jurídico.

Um processo de conformidade precisa tanto do registro de exportação das mensagens quanto do registro do conteúdo social ao redor. Use o SocialGuardian para suas publicações, stories, vídeos, mídia, metadados e exportação completa documentados; depois mantenha o manifesto de exportação de mensagens junto aos registros relevantes. Comece agora

FAQ

Qual é a diferença entre fazer backup e arquivar mensagens de redes sociais?

Use a exportação como a cópia que você preservará e depois verifique-a quanto a conteúdo, contexto, estrutura e metadados. Um registro completo pode exigir captura adicional quando um provedor não consegue exportar o registro completo; a NARA afirma que a organização continua responsável por implementar os requisitos de captura (orientação da NARA).

Como exportar mensagens diretas do Instagram para fins de conformidade?

No desktop, use Mais > Configurações > Central de Contas da Meta > Suas informações e permissões > Exportar suas informações > Criar exportação. Selecione as informações, o período, o formato, o e-mail de notificação e a qualidade da mídia. Registre o prazo de quatro dias, a possível espera de 30 dias pelo e-mail, a proteção por senha e a limitação relacionada a informações excluídas (Ajuda do Instagram).

É possível baixar mensagens do Facebook Messenger?

O Facebook documenta uma exportação de informações da conta em HTML ou JSON por foto do perfil > Configurações e privacidade > Configurações > Central de Contas da Meta > Suas informações e permissões > Exportar suas informações > Criar exportação. Analise as categorias entregues em vez de presumir que todas as mensagens históricas estejam presentes: o Facebook afirma que as categorias têm períodos de armazenamento diferentes e que conteúdos excluídos não aparecerão (Ajuda do Facebook; disponibilidade de dados do Facebook).

Como exportar mensagens ou dados da conta do LinkedIn?

No desktop, use Eu > Configurações e privacidade > Privacidade dos dados > Baixar seus dados. O LinkedIn informa que categorias específicas podem chegar em minutos, um download maior em até 24 horas e que o link permanece disponível por 72 horas. O recurso não está disponível em dispositivos móveis e fornece os dados do próprio membro solicitante, não os dados de outros membros (Ajuda do LinkedIn).

No Android, abra a conversa, escolha Mais opções > Mais > Exportar conversa, selecione Sem mídia ou Incluir mídia e escolha um método de compartilhamento. O WhatsApp afirma que o resultado é um arquivo de texto, não um backup que possa ser reimportado; incluir mídia adiciona a mídia mais recente enviada como anexos (Ajuda do WhatsApp). Preserve a exportação e suas limitações no manifesto.

O TikTok permite baixar mensagens diretas e dados da conta?

Este material de evidências não estabelece um caminho de exportação do TikTok nem a cobertura de mensagens diretas. Não deduza um caminho com base em outra plataforma. Consulte a documentação atual do TikTok e registre o método e os limites; a NARA também lista APIs, captura na web, métodos manuais e ferramentas de exportação da plataforma como possíveis métodos de captura (orientação da NARA).

Capturas de tela são suficientes e quais metadados devem ser preservados?

As evidências salvas identificam métodos manuais como uma possibilidade de captura, mas não estabelecem que capturas de tela sozinhas sejam um registro completo. Preserve a exportação nativa quando disponível e mantenha conteúdo, contexto, estrutura e metadados associados, como autor e data de criação (orientação da NARA).

Por quanto tempo as mensagens devem ser mantidas e como verificar um backup?

Aplique a regra confirmada para a comunicação. Os exemplos citados incluem pelo menos três anos para determinados registros de corretoras da FINRA, seis anos para documentação exigida pela HIPAA e o princípio de armazenamento mínimo estrito do GDPR. Para verificar o backup, compare o escopo com os arquivos entregues, registre as limitações da plataforma, preserve os originais e armazene hashes; o NIST afirma que um hash depende de todo o conteúdo do arquivo ou da mensagem (Aviso 11-39 da FINRA; 45 CFR 164.316; GDPR; glossário do NIST sobre funções hash).