Grafici per la conservazione e l'eliminazione dei dati

1) Obiettivo e area

Crea un registro unico di retenzioni e grafici gestiti di rimozione/anonimato per tutti i sistemi e le giurisdizioni per:

Conformarsi alle leggi/licenze (GDPR/ePrivacy/AML/atti locali);
Ridurre al minimo la quantità di PII
garantire la prova dell'esecuzione (manufatti/registri);
ridurre i rischi di incidenti e i costi di storage.

Copertura: account/profilo, KYC/AML, pagamenti/PSP, telemetria per videogiochi, RG/SE, CRM/marketing, affiliati, logi/ARM, analista/DWH, backap/archivi, provider/venditori, tutti i mercati target.

2) Principi

1. Lawful & Purpose-bound. I tempi sono collegati a motivi legali e obiettivi di elaborazione.
2. Data Minimization. Minimi campi/scadenze; «Anonimizzazione anziché conservazione a tempo indeterminato».
3. Local-first. La retensione viene mantenuta all'interno della regione (data residency).
4. Policy-as-Data. I grafici vengono memorizzati come record leggibili automaticamente (schemi), versionati e applicati automaticamente.
5. Fail-Closed. È scaduto o sconosciuto il motivo per il quale non è possibile utilizzare/trigger di rimozione.
6. Auditability. Ogni rimozione/anonimato di un artefatto in un archivio WORM.
7. Backups-aware. I backap/archivi sono sottoposti alle stesse scadenze (segmenti crypto-shredding).

3) Ruoli e RACI

DPO/Head of Compliance (Owner) - Criterio, registro, interpretazione delle norme, eccezioni. (A)

Legale - basi legali/scadenze per i mercati, legal hold. (R)

Sicurezza/Infra - KMS/crypto-shred, accesso ai registri. (R)

Data Platform/Analytics - de-PII/Anonimizzazione, DWH/DL regole. (R)

Engineering/SRE è un orchestratore di retenza, cascata, integrazione con sistemi/venditori. (R)

Product/CRM - Coerenza tra fit e thread supplence. (C)

Vendor Manager - DPA/SLA di rimozione, conferma da provider. (R)

Test Internal - campionamento, CAPA, controllo indipendente. (C)

4) Tassonomia dei dati e della base

Categorie (esempio):

CUS/Età/Biometria - documenti, selfie/vita, verdetti. (Fondamenti: legge/licenza, interesse pubblico; spesso 5-7 anni)
Pagamenti/PCI - token, transazioni/registri, conformeback. (Basi contratto/legge di contabilità/PCI)
Attività di gioco - scommesse/vincite, bonus, sconti. (Basi contratto/licenza, interesse dell'operatore)
RG/SE - Stati di auto-esclusione, controllo di disponibilità/assegno reality. (Fondamenti: legge/licenza, interesse pubblico)
CRM/Marketing - contatti, consenso, storia delle campagne. (Motivi di consenso/legittimo interesse)
Gli affiliati sono click-id, place, terme-hash (nessun giocatore PII). (Basi contratto, legittimo interesse)
Logi/ARM - Apparecchiature (PII-free di default). (Motivi: legittimo interesse/sicurezza)
Analisi/DWH - aggregazioni/alias, feci ML. (Motivi: legittimo interesse/ricerca)

5) Matrice di scadenza (wireframe)

Categoria	Composizione	Retenza (base)	Dopo la scadenza
CUS/biometria	passaporto/selfie/verdetto	5-7 anni (o mercato)	cascata + crypto-shred negli archivi
Pagamenti	operazioni, token	contabilità/PCI	token revoke + maschera degli oggetti
Eventi di gioco	scommesse/vincite/bonus	esigenze aziendali/licenza (ad esempio 5 anni)	apparecchiature de-PII (kohort)
RG/SE	States/flag	durata della licenza/prevenzione	salvare il flag senza PII, eliminare i legamenti
CRM/consenso	e-mail/SMS/push, stringhe TC	fino a otzyva/≤24 mi inattività	Supplence + eliminazione immediata
Logi/ARM	errori/trailer (PII-free)	30-180 giorni	auto-purge/rotazione
Analisi/DWH	unità/k-anon. senza scadenza (se anonimo)	—

💡 I tempi specifici vengono stabiliti a livello di giurisdizione nei profili (vedere l'articolo 7).

6) Eccezioni e blocchi

AML/requisiti di licenza - Priorità sulla richiesta di eliminazione (DSAR-erase), applicazione della limitazione e minimizzazione.
Legale Hold/controversie/indagini - stop bandiera per la rimozione; fissiamo la base e la scadenza.
Diritti terzi/segreti - Modifica/impersonalizzazione durante l'estrazione/esportazione.
Registri operativi (ad esempio contabilità) - Maschera invece di eliminare le chiavi primarie.

7) Profili regionali (modello)


Юрисдикция: ______
KYC/биометрия: срок ___; особые запреты/форматы: ___
Платежи/бухучет: срок ___; маскирование: ___
Игровая активность: срок ___; анонимизация: k≥__
RG/SE: срок ___; политика хранения флага: ___
CRM/согласия: неактивность ≤ __ мес; double opt-in: да/нет
Логи/APM: __ дней; PII-free: да/нет
Бэкапы/архивы: локализация ___; crypto-shred SLA ___
Исключения/легал-холд: условия ___

8) Policy-as-Data: modello di grafica

Memorizzare i grafici come record nel database/registro di configurazione:


retention_rule {
rule_id, version, market, data_class{KYC    PCI    GAME    RG    CRM    LOG    ANON},
lawful_basis{consent    contract    legal_obligation    legit_interest    public_interest},
retention_days, grace_days, action_after{erase    anonymize    mask    revoke_token},
pii{yes/no}, residency_region, backups_policy{crypto_shred:true, kms_key_scope:region},
dsar_applicable{yes/no}, exceptions{aml:true, legal_hold:true},
owner{dpo    legal    security    data}, approved_at_utc, next_review_at_utc
}

Versioning obbligatorio: tutte le modifiche → una nuova versione + piano di migrazione.

9) Flussi di lavoro (sketch)

1. Detection: 'retence _ due _ detected' (cron/stream per eventi di creazione).
2. Elegibility - Verifica delle eccezioni (AML/hold/residency).
3. Orchestrazione - Si forma un pacchetto di sistemi/venditori, una strategia (erase/anonymize).
4. Exection: delete jobs a cascata, revoke token, crypto-shred chiavi segmento in bacapi.
5. Convalida record, orphan scan, controllo selettivo DWH/CAM.
6. Evidence: report (assegno-somma, ID chiavi, tempo, volumi) in WORM; il collegamento al dashboard.
7. Reporting: KPI, alert, CAPE in caso di guasti.

10) Bacapi, archivi e DR

Localizzazione: backup nella stessa regione/blocco.
Crittografia per-region KMS/HSM; le chiavi sono segmentate in base ai mercati/tenanti.
Crypto-shredding - Al termine - Distruzione della chiave del segmento, report con'kms _ key _ id '.
Memorizzazioni immutabili: «in attesa di crypto-shred» nel pianificatore.

11) Analisi/DWH e anonimizzazione

De-PII Pipeline: prima dell'esportazione in DWH - Tornizzazione/taglio/k-anon, bining data/geo, soppressione di valori rari, diff. la privacy sui rapporti.
Report globali: solo aggregazioni Vietare i PII crudi all'esterno della regione.
Il destino degli storici, dopo la scadenza, è la rottura dei legami con gli identificatori primari.

12) Integrazioni con DSAR/CMP/Localizzazione

DSAR-erase: utilizza gli stessi meccanismi di orchestrazione/manufatti In caso di conflitti con AML, il vincolo viene → anziché eliminato.
CMP/Consent: revoca il consenso e attiva immediatamente lo stop-processing e l'attivazione di un timer per la reticenza dei dati di marketing.
Residenza: i grafici vengono applicati in un perimetro regionale, l'esportazione PII è subordinata a meccanismi transfrontalieri.

13) Modello di manufatti di rimozione


erasure_artifact {
job_id, rule_version, market, region, scope{subject    partition    cohort},
systems[], vendors[], method{cascade    crypto_shred    anonymize    mask    revoke_token},
started_at_utc, completed_at_utc, status{ok    partial    failed},
counts{records, tables, bytes}, checksum{before, after},
kms_keys_destroyed[{id, destroyed_at_utc}], orphan_scan{passed    failed},
dsar_case_id?, approvers{dpo, security}, evidence_uri(WORM)
}

14) KPI/KRI e dashboard

Retention Compliance Rate è la percentuale di record che hanno raggiunto la data di scadenza e che sono stati elaborati in SLA.
Time-to-Erase è una variabile mediana/95 dal trigger al completamento.
Backup Crypto-Shred SLA - Quota di segmenti con chiavi distrutte in tempo.
Orphaned Data Rate - Voci Orphaned/repliche non incrono.
Vendor Erasure Ack - Conferma da parte dei venditori entro il termine.
DSAR Linkage è la percentuale di rimozioni associate alle valigette DSAR.
Auditability Score è il% delle attività con un pacchetto completo di manufatti.
Exceptions Mix è la percentuale di voci detenute da AML/hold.

15) Assegno fogli

A) Progettazione e politica

Registro delle retenze per categoria e mercato approvato dal DPO/Legale.
Definite lawful basis e action _ after per ogni record.
Versioning dei grafici e data di revisione successiva.
Mappa dei sistemi/vendor/chiavi e perimetri localizzati.

B) Tecniche e operazioni

L'orchestratore di rettifica è collegato a tutti i sistemi.
Rimozione/occultamento/anonimizzazione a cascata testata.
Crypto-shred per i backup: le chiavi sono segmentate e i report vengono generati.
Orphan-scan e campionamenti di convalida come pianificato.
l'archivio WORM degli artefatti è disponibile per il controllo.

C) Venditori

DPA/SLA: scadenza, formato di conferma, multe.
Conferme trimestrali, eliminazioni di prova.
Elenco nero dei provider con violazioni.

16) Modelli (inserimento rapido)

A) Scrittura grafica (esempio YAML)

yaml
- rule_id: CRM-MKT-EMAIL version: 1.3 market: EU data_class: CRM lawful_basis: consent retention_days: 730  # ≤24 мес неактивности grace_days: 30 action_after: erase pii: true residency_region: EU backups_policy: { crypto_shred: true, kms_key_scope: region }
dsar_applicable: true exceptions: { aml: false, legal_hold: true }
owner: dpo

B) Clausola per il venditore (rimozione/conferma)

💡 Il fornitore si impegna a eliminare/anonimizzare i dati entro N giorni dalla data della richiesta in base al programma di retensione allegato e a fornire la conferma (volume, metodo, tempo, ID chiavi/partiture).

C) Decisione di anonimizzazione (DWH)

💡 È scaduto il periodo di conservazione degli eventi individuali. Conserviamo solo unità C-1, binning data (settimana), geo-regione, soppressione di rari categorie <0,5%.

17) Errori frequenti e prevenzione

Cancellato dalla Prd-BD, ma non dai backup.
I PII entrano in ARM/logi. → PII-free predefinito, occultamento sull'agente, ritenzione breve.
DWH con «code» PII.
Nessun artefatto. Generazione obbligatoria di «erasure _ artifact» e di archiviazione WORM.
Wendor non ha confermato la cancellazione.

18) Piano di implementazione di 30 giorni

Settimana 1

1. Approva la tassonomia/basi e il registro primario per categoria.
2. Prepara profili regionali (EU/UK/...): tempi, eccezioni, bacap.
3. Specifica il modello «retence _ rule» e «erasure _ artifact».

Settimana 2

4) Espandi l'orchestratore di retenza (cron/stream), connetti i sistemi chiave.
5) Configura crypto-shred (KMS), registro delle operazioni chiave.
6) Abilita de-PII pipeline per DWH/report.

Settimana 3

7) Pilota: 2 categorie (CRM/logi) + 1 partitella evento di gioco, anonimizzazione.
8) Test Vendor: richieste di rimozione e conferma.
9) Dashboard KPI/KRI e alert (Time-to-Erase, Orphan Rate).

Settimana 4

10) Rilascio completo; una gelosia trimestrale di grafici e profili regionali.
11) CAPE per i residui/violazioni trovati.
12) Piano v1. 1: orphan-scan automatici e rapporti sui venditori.

19) Sezioni interconnesse

Eliminazione e anonimato dei dati

Query dati DSAR

Localizzazione dei dati per giurisdizione

GDPR Gestione del consenso/Cookies e CMP

Privacy by Design

Crittografia At Rest/In Transit, KMS/BYOK/HYOK

Dashboard compilazione e monitoraggio/Verifiche interne ed esterne