Há pouco tempo, uma empresa de soluções de autenticação de identidade no setor sofreu um grave incidente. O fornecedor de dados de terceiros em que confiavam foi invadido por hackers, e informações reais de dezenas de milhares de usuários foram divulgadas. Assim que o evento aconteceu, a raiva dos usuários se voltou instantaneamente para as redes sociais da empresa. E a resposta da empresa pareceu bastante fraca: "Este é um problema do terceiro, também somos vítimas."

Mas o problema está aqui — a legislação simplesmente não aceita essa justificativa. Os usuários foram enganados, e quem deve ser o primeiro a ser responsabilizado é você, não aquele "terceiro misterioso". Essa é também a razão pela qual muitas equipes fundadoras que se consideram "apenas responsáveis pela tecnologia" acabam levando uma forte pancada.

Isso nos leva a uma questão que quase todos os projetos estão fazendo, mas poucos têm coragem de discutir abertamente: compartilhar dados de usuários com terceiros.

A maioria dos termos de uso diz assim: "Podemos compartilhar seus dados com fornecedores de serviços." Uma frase, e parece que a responsabilidade também desaparece junto. Mas alguns projetos começaram a usar uma abordagem diferente. Por exemplo, certos projetos do tipo Oracle, que explicitamente mencionam o conceito de "controlador conjunto" nos termos. À primeira vista, parece uma pilha de jargões legais, mas na verdade há muito mais por trás.

"Controlador conjunto" significa: a parte que recebe seus dados não é apenas um fornecedor de serviços simples. Ela está na mesma embarcação que o projeto original, e ambos devem decidir juntos por que e como tratar seus dados. Legalmente, isso significa que vocês estão vinculados, e ninguém pode fugir dessa responsabilidade.

Não é um jogo de palavras, é uma inversão completa na lógica de responsabilidade. Uma vez que se escreve "controlador conjunto", o projeto deve se comprometer a gerenciar esses parceiros terceiros com os mais altos padrões. E o que isso implica? Significa que você não pode simplesmente passar a responsabilidade adiante. Significa que auditoria, supervisão e responsabilização são essenciais.

Em outras palavras, aqueles projetos que se atrevem a incluir esse conceito nos seus termos estão, na verdade, colocando uma trava sobre si mesmos — uma corrente pesada e difícil de escapar. Parece prejudicial à primeira vista, mas, do ponto de vista do usuário, essa é a verdadeira base da confiança.