Uma atualização final: a implementação está agora disponível como um PR pronto para revisão:
O design final é a abordagem de opt-in por administrador descrita acima, em vez da enumeração em nível de site que eu sugeri inicialmente.
Alguns detalhes de UX foram adicionados durante a revisão final:
a preferência por administrador é exibida em Preferências → Interface quando as configurações de nível de site permitem
quando um administrador que optou por participar exclui permanentemente a primeira mensagem/tópico, a confirmação irreversível agora afirma explicitamente que isso excluirá permanentemente o tópico e todas as respostas
quando o administrador não optou por participar, o comportamento e a redação existentes permanecem inalterados
o período de espera para exclusão permanente pelo mesmo administrador ainda é aplicado
as alterações de preferência são registradas nos Registros de Ações da Equipe
Também testei manualmente o caminho completo de opt-in em um tópico descartável com duas respostas e verifiquei posteriormente que o tópico e todas as suas mensagens haviam sido removidos do banco de dados.
As principais verificações de teste/lint do GitHub foram aprovadas; o PR está agora aguardando revisão, com a varredura de segurança ainda na fila no momento da escrita.