Anonimizar um texto (e restaurá-lo)

Para que serve e o que não faz

A política da empresa diz que dados de clientes não podem ser colados em um chat, mas a carta ainda precisa ser escrita. Hoje as pessoas apagam à mão antes e redigitam à mão depois, e sempre esquecem algum dado. Aqui o texto passa por um filtro que troca os dados por marcadores numerados e estáveis: o mesmo IBAN recebe sempre [IBAN_1], em todo o texto, para que quem lê entenda que é sempre a mesma conta. Depois você cola a resposta na segunda caixa e os marcadores voltam a ser os valores reais.

O que esta ferramenta não faz é adivinhar nomes próprios. Distinguir um sobrenome de uma palavra comum é a parte que funciona mal até em ferramentas caras, e errar em silêncio faria você perder a confiança em todo o resto. Os nomes são mascarados selecionando-os com o mouse e clicando em «Mascarar a seleção», ou colando-os na lista de suas palavras: leva dois segundos e não há nada para adivinhar.

Só reconhece o que fecha a conta

Cada tipo de dado tem uma verificação de verdade, a mesma usada pelas páginas deste site que só fazem essa verificação: mod-97 para o IBAN (com o tamanho certo para o país), o caractere de controle para o código fiscal e o número de IVA italianos, Luhn para cartões, a letra de controle para os números DNI e NIE espanhóis. Se a soma não fechar, o dado é deixado como está.

É uma escolha deliberada: preferimos deixar intacto um número de fatura de onze dígitos a encher o texto de marcadores aleatórios. O outro lado da moeda é que um IBAN digitado errado não é mascarado e, portanto, fica em texto aberto: se você esperava vê-lo na lista e ele não está lá, confira os dígitos.

E-mails, endereços web, placas e telefones não têm dígito verificador, então ali olhamos o formato. As placas seguem as letras permitidas na Itália (sem I, O, Q, U) e na Espanha (só consoantes). Os telefones seguem regras cautelosas: de 8 a 15 dígitos, grupos de pelo menos dois dígitos, nunca uma data, nunca um número com separadores de milhar.

A ida e volta completa, em três passos

1. Cole o texto e clique em «Encontrar os dados». A lista de revisão mostra o que foi encontrado, quantas vezes aparece e com qual marcador: você pode desmarcar um item que queira deixar em texto aberto e pode renomear um marcador (por exemplo CLIENT_A em vez de NAME_1) se isso deixar a resposta mais fácil de ler.

2. Copie o texto mascarado e use-o onde precisar. Ninguém pede para você enviar nada a lugar nenhum: a troca acontece aqui mesmo.

3. Cole a resposta na segunda caixa e clique em «Colocar os dados reais de volta». O texto volta completo, com os IBANs e os e-mails nos seus lugares.

Quando o modelo reescreve o marcador

É aqui que essas ferramentas quebram, por isso aqui o cuidado é obsessivo. Um modelo que reescreve o texto pode transformar [EMAIL_1] em [EMAIL 1], em [email_1], em (EMAIL_1), em **[EMAIL_1]** ou até traduzi-lo para [CORREO_1]. A restauração tolera tudo isso: ignora maiúsculas, espaços, acentos e a pontuação em volta do rótulo, e conhece os nomes dos marcadores nos três idiomas do site, então recorre ao tipo mais o número.

Quando, em vez disso, um marcador some de vez, ou aparece um que não corresponde a nada, não devolvemos um texto meio restaurado como se nada tivesse acontecido: surge uma caixa vermelha com a lista dos problemas e a linha exata, a linha da resposta para os marcadores desconhecidos e a linha do texto mascarado para os que sumiram. Você continua recebendo o texto restaurado, mas sabe onde pôr a mão.

O que começa desligado nesta página, e por quê

Nesta página em português, as caixas Código fiscal italiano, Número de IVA italiano, DNI ou NIE, Placa, Data e Código postal começam desligadas, e você as encontra todas no painel «O que procurar»: com um clique você liga a que quiser, com exatamente a mesma verificação por trás. Quatro delas são específicas de um país: o código fiscal e o número de IVA são italianos, o DNI é espanhol, e a regra das placas conhece os formatos italiano e espanhol, não o brasileiro nem o americano, então aqui seriam peso morto até você pedi-las. As datas são outro tipo de decisão: se todas forem mascaradas, o texto deixa de servir para quem precisa lê-lo, porque «pagar até [DATE_1]» não permite a ninguém deduzir nada, e os prazos muitas vezes são justamente o motivo pelo qual a carta está sendo escrita. Um código postal, por sua vez, é um número de cinco dígitos como tantos outros. Quando a página diz que não encontrou nada, ela também lembra quais caixas estavam desligadas.

O mapa existe só nesta página

A ligação entre marcadores e valores reais fica na memória, dentro da aba do navegador: não é salva no dispositivo, não é enviada a nenhum servidor e não sobrevive a um recarregamento da página. Por isso a restauração precisa acontecer na mesma aba em que você mascarou: se você fechar tudo, os marcadores viram letra morta, que é exatamente o que você quer em um computador compartilhado.

Exportar o mapa em JSON existe, mas fica atrás de dois cliques e um aviso vermelho: esse arquivo guarda todos os seus dados em texto aberto ao lado dos marcadores, então vale tanto quanto os próprios dados. O botão «Limpar tudo» remove da página o mapa, os textos e os marcadores de uma só vez.

Os limites, ditos de antemão

Isto é pseudonimização, não anonimização: com o mapa em mãos, o texto volta a ser idêntico ao original, que é justamente o objetivo, mas isso significa que o texto mascarado continua sendo dado pessoal enquanto o mapa existir. Mesmo sem o mapa, um texto pode continuar reconhecível pelo contexto (só uma pessoa na empresa tem aquele cargo naquela cidade).

Telefones e suas próprias palavras podem gerar falsos positivos e falsos negativos: leia sempre a lista de revisão antes de copiar, é para isso que ela existe. Um número de onze dígitos que por acaso passe na verificação do IVA é mascarado como número de IVA, e um telefone escrito sem separadores e sem código do país pode passar batido.

A ferramenta nunca mexe em anexos, imagens ou PDFs: ela trabalha no texto que você cola. Há uma página separada para tarjar um PDF e outra para remover os dados ocultos de uma foto.