Remover e anónima dados

1) Alvo e área

Assegurar que os dados de jogadores, transações e registros operacionais em todos os sistemas (produto/carteira, KYC/AML, RG, marketing/CRM, analista/DWH, logs/ARM), incluindo vendedores/provedores e bacapes, sejam removidos legalmente.

2) Princípios

1. Política antes da prática. Retenção, metas e locais de armazenamento definidos antes da coleta.
2. Minimizar e dividir. Armazéns individuais para PII, torneamento em eventos.
3. Remover = evento comprovado. Qualquer remoção é confirmada pelo artefacto.
4. Fail-Closed. Estado/região desconhecido → proibição de transações PII.
5. Backups-aware. Os Bacaps obedecem às mesmas regras que os dados de combate.
6. «Anonimato em vez de armazenamento indefinido». Se a lei não exige PII, vamos transferir para unidades.

3) Papéis e RACI

DPO/Compliance (Owner) - Política de retenção/remoção, exclusão, auditoria. (A)

Segurança/Infra - criptografia, chaves, apagagem cripto, bacapes/DR.. (R)

Data Platford/Analytics - de-PII pipline, unidades, DWH/DL. (R)

Produt/Engineering/SRE - API remoção, cascatas, testes, observabilidade. (R)

Legal - prazos e restrições locais (AML/licenciamento). (C)

Private Ops/DSAR Team - Remoções/correções personalizadas. (R)

Vendor Gerente - compromissos de vendedor, confirmação de execução. (R)

Auditório Internacional - amostra, CAPA. (C)

4) Taxonomia de dados e padrão de retenção

5) Técnicas técnicas

5. 1 Remoção

Lógico/físico em cascata: soft-delete → job para remoção física.
Crypto-apagado (crypto-shredding): destruição da chave de criptografia segmento/tenante; aplica-se a bacapes/arquivos.
Revocação de tokens: Revogação de tokens de pagamento/rastreador dos provedores.
Nullify/Mask: para campos que exigem a salvação formal da gravação (por exemplo, contabilidade).

5. 2 Apelidação

Substituir os ID primários por tokens; a tabela de correspondência é armazenada separadamente com um KMS separado.

5. 3 Anonimato

Agregação/cocortagem, k- anonimnost/ℓ -diversity, binning, corte de valores raros, privacidade diferencial nos relatórios.

5. 4 Camuflagem de logs

O agente edita o PII na coleta (e. g., e-mail → hash/partial), proibição de identificadores «crus» no APM.

6) Ciclo de vida de remoção

1. Trigger: prazo de retenção, DSAR-erase, encerramento da conta, revogação do consentimento, conclusão do contrato/objetivo.
2. Avaliação: Existem blocos legais? (AML/legal-hold/licença).
3. Orquestra: o pacote erasure é formado por sistemas/vendedores.
4. Execução: cascatas, tokens revoke, cripto-wipe para arquivos.
5. Validação: verificação de registros, controle de sobras (orphaned data).
6. O artefacto é um relatório com as partituras/chaves, o tempo e o volume.
7. Reportagem: dashboard KPI, diário de auditoria/regulador.

7) Zonas de atenção especiais

7. 1 Bacapes/arquivos/DR

Bacapes na mesma região, criptografia e catalogação de chaves.
Realista: a remoção física do imutable-backup é difícil → aplicamos crypto-shredding quando o prazo é atingido.

7. 2 Logos e telemetria

Política PII-free by default; se o PII for inevitável - logs locais, prazos curtos, camuflagem no agente.

7. 3 DWH/analista

Apenas dados de-PII; se necessário, historiadores - anonimizar e cortar a ligação com o PII original.

7. 4 Vendedores e provedores

DPA/Adição: prazos, mecanismos de remoção, confirmação de execução (Certificate of Desturtions/Erase Evidence).

7. 5 Localização por jurisdição

A remoção é feita dentro de um perímetro regional e a exportação de PII fora é proibida; relatórios globais são apenas agregados.

8) API/iventes e modelo de dados

• `retention_due_detected`, `erasure_job_started`, `erasure_job_completed`, `crypto_shred_done`, `vendor_erasure_ack_received`, `erase_validation_failed`, `dsar_erase_linked`, `audit_artifact_saved`.

erasure_job {
id, subject_id_hash    scope{cohort    partition}, trigger{retention    dsar    contract_end    consent_withdrawn},
market, region, systems[], vendors[],
started_at_utc, completed_at_utc, status{ok    partial    failed},
method{cascade    crypto_shred    nullify    token_revoke},
counts{records, tables, bytes}, checksum{before, after},
keys_destroyed[{kms_key_id, destroyed_at_utc, evidence_id}],
validation{orphan_scan:passed    failed, sample_checks[]},
linked_cases{dsar_case_id?}, owner, approvers{dpo, security}, audit_artifacts[]
}

9) Controle e observação

Erasure Coverage é uma fração de sistemas cobertos por remoção automática.
Time-to-Erase - Mediana de tempo desde o desencadeador até a conclusão.
Orphaned Data Rate - registros «órfãos» detectados.
Reserva Crypto-Shred SLA - chaves destruídas a tempo.
Vendor Ack Rate - proporção de confirmações de afastamento dos vendedores dentro do prazo.
DSAR Erase SLA - Cumprimento de prazos para remoções personalizadas.
Auditability Score - disponibilidade de artefatos por amostra.

10) Folhas de cheque

A) Política e design

• Registro de retenção por categoria/mercado aprovado Legal/DPO.
• Mapa de sistemas/vendedores indicando PII/regiões/chaves.
• Métodos definidos: cascata/cripto-wipe/de-PII para analistas.
• Os DPA/contratos foram atualizados (SLA remoção, confirmação).

B) Técnicas e operações

• A API de remoção e o orquestrador de tarefas estão ativados.
• PII-free logs/agentes camuflam campos sensíveis.
• Os bacapes são criptografados e as chaves são segmentadas pelos mercados.
• Auto-estações: DSAR-erase, cron retence, orphan-scan.
• Painel de monitoramento KPI/alert.

C) Auditar e melhorar

• Amostras trimestrais de sistemas/vendedores com artefatos de remoção.
• Teste de DR./recuperação com segmentos remotos.
• CAPA sobre os restos/violações encontrados.

11) Modelos (inserções rápidas)

A) Clauz com vendedor (remoção/retenção)

B) Solução de anonimato (formulário interno)

C) Resposta ao usuário (DSAR-erase concluído)

12) Erros frequentes e prevenção

Remoção da base de dados de combate, mas não de bacapes, → crypto-shredding e registro de chaves.
PII nos logs/ARM. → Camuflagem no agente, retenção curta.
Gravações órfãs (serviços cruzados), → orphan scan e cascatas contratadas.
DWH com caudas PII, → de-PII, antes da exportação, proibição de identificadores crus.
Geração obrigatória de relatórios e armazenamento WORM.
→ SLA e sanções/hold pagamentos antes da confirmação.

13) Plano de implementação de 30 dias

Semana 1

1. Aprovar registro de retenção e matriz de métodos (cascata/cripto/de-PII).
2. Mapear sistemas/vendedores/chaves, marcar perímetros regionais.
3. Especializar o modelo de artefatos e dashboard KPI.

Semana 2

4) Implementar orquestrador de remoções, API e eventos; ligar links DSAR.
5) Incluir camuflagem de logs e regras «PII-free by default».
6) Ajustar crypto-shred para bacapes, segmentação KMS para mercados.

Semana 3

7) De-PII linha de montagem para DWH (cocortes/k-anonimato/binning).
8) Remoções piloto: 20 malas DSAR + 2 partições de retenção; fechar o CAPA.
9) Atualizar DPA com vendedores chave (SLA/confirmação).

Semana 4

10) Lançamento completo; executar dashboard e alertas (Time-to-Erase, Vendor Ack).
11) Teste Dr. com segmento de chaves remotas.
12) Plano v1. 1, diff. privacidade nos relatórios, auto-orphan-scan agendados.

14) Seções interligadas

GDPR: gerenciamento do consentimento do usuário

Política de cookies e sistema CMP

Privaciy by Design: princípios de design

Localização de dados de jurisdição

DSAR: solicitações de dados dos usuários

Criptografia At Rest/In Transit, KMS/BYOK/HYOK

Dashboard complacência e monitoramento/Auditoria interna e externa