Frihet behöver gränser för att kännas fri.

Sökning och matchning får inte bli hela produkten eller skapa ett hemligt mått på vem som anses mest värdefull.

I praktiken betyder det att vi prioriterar gemensamma rum, ämnen och aktiviteter som kan bära relationer över tid. Profiler behövs för att människor ska kunna presentera sig, men de ska inte göra communityn till ett skyltfönster där alla jämförs på samma skala.

Filter och relevans får hjälpa en medlem att hitta rätt sammanhang. De får däremot inte bli ett osynligt popularitetssystem. När ett resultat påverkas av en regel ska vi kunna förklara den viktigaste orsaken utan att avslöja någon annans privata uppgifter.

Det går att ta tillbaka. Ett ja till en bild, ett samtal eller ett möte får inte smygas över till något annat.

Samtycke är inte en permanent egenskap hos relationen mellan två personer. Det behöver höra ihop med en viss handling, ett visst innehåll, en viss mottagare och ett begripligt syfte. Ett tidigare ja gör inte nästa steg självklart.

Tjänsten stödjer det genom konkreta val: vem får se ett album, vem får ringa, vilken typ av meddelande är välkommen och hur dras tillgången tillbaka? Återkallelse får faktisk effekt i systemet, även om vi samtidigt är ärliga med att en mottagare kan ha hunnit kopiera något.

Att synas i en sökning eller ha en öppen profil är inte samma sak som att bjuda in till alla sorters meddelanden.

Kontaktval prövas precis innan något levereras, inte bara när avsändaren öppnar en profil. På så sätt får ett nytt block, en paus eller en ändrad inställning effekt även om någon redan har en gammal sida öppen.

Olika kontaktvägar kan ha olika regler. Textmeddelanden, bilddelning, röstsamtal och svar på en specifik annons behöver egna medgivanden. En annons får göra kontakten snävare än profilen, aldrig bredare än mottagarens grundskydd.

Exakt plats, privat innehåll och känsliga relationer går inte att räkna ut genom sökresultat eller tekniska detaljer.

Känsliga fält börjar dolda och får tydliga publiker. Plats visas grovt när det räcker, närvarosignaler fördröjs eller avrundas och privata gruppkopplingar ska inte läcka genom räknare, felmeddelanden eller sökfilter.

Det här gäller också metadata. Filnamn, bildadresser, notifieringar och länkar får inte avslöja mer än själva sidan. Integritet är därför en egenskap hos hela leveransen, inte bara en knapp i profilinställningarna.

Pengar får inte ge förtur i kön, medlemskap eller större tillgång till andra människor.

Om betalning införs i framtiden får den gälla tydligt avgränsade kapacitets- eller bekvämlighetsfunktioner som beslutas separat. Den får inte påverka vem som blir medlem, hur en rapport bedöms eller vilka gränser en annan person har satt.

Det finns heller ingen kostnadsfri grundnivå där nödvändiga skydd medvetet är sämre. Att kunna blockera, rapportera, styra kontakt och lämna tjänsten är en del av produkten, inte tillval.

Privat information kan bara öppnas när det behövs för en bestämd uppgift, och känslig åtkomst går att följa i efterhand.

Den som ansvarar för drift behöver kunna starta om en tjänst och se teknisk hälsa, men inte läsa privata meddelanden. En moderator kan behöva se rapporterat material i ett ärende, men inte söka fritt bland andra medlemmars profiler.

Privilegier ska därför tilldelas för ett uppdrag, ett område och en begränsad tid när det behövs. Särskilt känsliga steg kräver en ny säkerhetskontroll, och användningen ska lämna ett granskningsbart spår.