Conservazione ed eliminazione dei dati utente

1) Perché è necessario un criterio di conservazione e eliminazione

L'obiettivo è di conservare solo i dati necessari, esattamente quanto necessario, e rimuoverli in modo sicuro al termine dell'elaborazione. Ciò riduce i rischi legali, la superficie d'attacco, i costi dell'infrastruttura e semplifica il controllo (licenze, partner PSP, regolatori).

• Collegamento a scopo/fondamento (contratto, legge, legittimo interesse, consenso).
• Minimizzazione e segregazione (PII) degli alias anonimo.
• Tempi prevedibili e procedure di rimozione dimostrabili.
• Controllo continuo (fogli, report, metriche).

2) Aree dati e supporti architettonici

Zona A - PII/sensibili: KYC, token di pagamento, biometria (se consentito). Crittografia at-rest, RBAC/ABAC rigoroso, JIT.
Zone B - Alias: token stabili per analisti/ML; Divieto di identificazione diretta.
Zone C - Aggregazioni anonime: report/ricerca; è consentito un lungo periodo di conservazione.

• Data Catalog/RoPA (Registro delle attività), Retention Service (regole), Delation Orchestrator (Rimozione completa), WORM (controllo/incidenti).

3) Retenschn-matrice: come comporre

1. Confrontare gli obiettivi di elaborazione e le basi legali di una categoria di dati in base ai tempi.

2. Descrivere i trigger di inizio conteggio (eventi: creazione di conti, ultimo login, chiusura account, fine contratto, transazione finale).

3. Fissare il metodo al termine: eliminazione, anonimizzazione, blocco (quando si desidera «freeze»).

4. Specificare il proprietario e le eccezioni (AML/tasse/controversie/frode).

4) Criteri di conservazione (scheletro)

1. Ambito, ruolo (proprietario dei dati, DPO, Sicurezza, Operations).
2. Definizioni (categorie PD, zone, archivio, bacap, anonimato/alias).
3. Aggancia i dati a obiettivi/motivi e scadenze (riferimento alla matrice di retensh).
4. Gestione delle eccezioni («hold» legale, indagini, richieste regolatorie).
5. Controlli di accesso, crittografia, controllo dei download.
6. Modalità di revisione (trimestrale/in caso di modifiche agli obiettivi/provider).

5) Pipline rimozione e anonimizzazione

• Mark-for-Delation - contrassegna record e dipendenze Controllo delle colline.
• Grace Period: buffer (ad esempio 7-30 giorni) da annullare per errore.
• Soft Delete: insabbiamento logico dai servizi prod; Ferma le mailing/stipendi.
• Hard Delete/Anonymize: pulizia fisica/anonimizzazione irreversibile nell'archivio principale.
• Cascade & Fan-out: cascata in derivati (cache, indici di ricerca, fitch store, DWH, ML).
• Backups: pulizia ritardata per criteri di backup (vedere sotto).
• Evidence - Atto di eliminazione (ID, classificatore, tempo, sistemi), login in WORM.

• Rimuove un oggetto con traccia lineage.
• Operazioni idipotenti, retrai, deduplicazione dei comandi.
• SLA: la maggior parte delle cancellazioni di ≤30 giorni dalla richiesta (se applicabile).
• Controllare i campi «inattivi» - Sostituisci con token/maschera.

6) Backup e repliche: cosa fare con le copie

I firewall ransomware (ransomware-resilienza) sono memorizzati in base a criteri separati; la modifica diretta non è consentita.
La rimozione di un soggetto da un backup viene eseguita attraverso la scadenza del backup e impedisce il ripristino in un ambiente di battaglia, se ciò porta alla re-identificazione.
Documentare: window di archiviazione dei backup (ad esempio, di 3 giorni), script di ripristino e processo di ripristino (post-script per rimuovere nuovamente i record segnati).

7) Eccezioni e «cold»

• Inserisci Legale Hold con base, scadenza e proprietario.
• Blocca l'accesso ai dati per scopi diversi da quelli specificati.
• Rivedere periodicamente le colline e filmare non appena la base è sparita.

8) Documentazione e manufatti

Matrice di retino (versionabile).
Procedura di rimozione (SOP) - Passi, ruoli, SLA, ingrandimento.
Delation Evidence Log (WORM): chi/cosa/quando/risultato.
Backups Policy: tempi, classe di storage, test di ripristino.
Data Lineage Map - Dalle tabelle primarie ai livelli derivati.
Eccezioni/Legale Holds Registrer.

9) Metriche e controllo qualità

Retention Adherence:% dei record eliminati nel grafico.
DeLetion SLA è il percento mediano/95 dalla richiesta/trigger.
Cascade Complition Rate - Percentuale di sistemi in cui è stata completata la rimozione.
Backups Window Compliance - Percentuale di backup rimossi in base alla scadenza.
Access/Export Violations - Lettura/caricamento non autorizzata.
DSR SLA (se applicabile) - Risposte ≤ ate.
Numero di errori di rimozione/rassincronizzazione.

10) Assegno fogli (operativi)

Prima di avviare i fili

• Definita la destinazione/base e l'area di stoccaggio (A/B/C).
• È stata aggiunta una stringa alla matrice retensica (scadenza, trigger, metodo).
• Delation Orchestrator configurato (chiavi, cascate, idempotency).
• Controllo attivato (WORM), aggiornamento RoPA.

Giornaliero/settimanale

• Pianificatore operazioni di eliminazione completato senza errori.
• Nuovi Legali Holds registrati, scaduti - ritirati.
• Report Becap convalidati (creazione/scadenza).

Trimestrale

• Invecchiamento di matrici e eccezioni.
• Test di recupero da backup + «sanitization» script.
• Mappatura delle metriche (SLA, Cascade, Violations), piano di miglioramento.

11) Errori frequenti e come evitarli

Storage di scorte: allineamento rigido agli obiettivi; TTL automatico per categoria.
Nessuna cascata → i dati rimangono nella cache/indice/fitch-store; introdurre un orchestratore universale.
Deve/Stage con prod-PD → usa insiemi sintetici/maschera; spremendo automaticamente i dampi.
Becap fuori dal criterio di identificazione delle finestre, impedimento dei ripristini non autorizzati, test «sanitization».
Nessuna prova di login WORM, record di cancellazione, rapporti regolari.
Miscelare le basi del → dividere marketing/sicurezza/contratto; Non allungare la tempistica «per sicurezza».

12) Esempio di eliminazione personalizzata (script end-to-end)

1. L'utente chiude l'account o invia un DSR da eliminare.
2. Controllo delle eccezioni (AML, controversie) se disponibile - Legale Hold con limiti di scopo.
3. Se non c'è l'hold, Mark-for-Delation Grace ha 14 giorni per la Soft Delete.
4. Hard Delete/Anonymize in un livello transazionale, quindi cascata in cache, indici, DWH, ML-fiche-store.
5. Loging in Evidence Log, aggiornamento dello stato nel profilo/posta.
6. Pulisci i backup dopo la fine della finestra di memorizzazione.

13) Ruoli e responsabilità (RACI)

Data Owner/Domain Lead - tempi e obiettivi aggiornamento della matrice di retino.
DPO/Privacy - conformità al diritto, consulenza sulle eccezioni.
Sicurezza/CISCO: crittografia, disponibilità, controllo, backap/ripristino.
Data Engineering — Deletion Orchestrator, lineage, каскады.
Supporto/Operations - Comunicazioni DSR, stato e SLA.
Legale - colline legali, interazione con regolatori/tribunali.

14) Modelli per il wiki

Retention-Matrix. xlsx/MD (categoria Obiettivo Base)

Deletion-SOP. md (regolazione passo passo con escalation).
Backups-Policy. md (finestre, classi di storage, test-piano di ripristino).
Legal-Holds-Register. md (moduli di produzione/ritiro).
Data-Lineage-Diagram (collegamenti da tabelle a derivati).
Monthly-Privacy-Ops-Report. md (metriche, incidenti, miglioramenti).

15) Road map di implementazione (6 passi)

1. Inventario: mappa dei dati/flussi, mappatura degli obiettivi e delle basi.
2. Matrice retensica: bozza di scadenza + proprietari; concordare con Legale/DPO.
3. Orchestratore di rimozione: chiavi, cascate, igiene becap, logi WORM.
4. Regole/procedure: Retention Policy, Deletion SOP, Backups Policy, Legale Hold.
5. Automazione e monitoraggio: pianificazioni, avvisi, dashboard metriche.
6. Verifiche e formazione: revisione trimestrale, tamplace degli atti, allenamento di recupero.

Totale

Conservazione e rimozione efficiente dei dati è un ciclo gestito, con l'obiettivo di la durata del controllo, rimuovere/anonimizzare in modo sicuro la prova. La segregazione delle zone, la matrice retensica, l'eliminazione a cascata (inclusi i backap), le esclusioni comprensibili e le metriche trasformano la privacy e la compliance in un vantaggio competitivo - senza perdita per la velocità del prodotto e la qualità UX.