Ubah pernyataan retensi menjadi lini masa untuk setiap objek data

Mulailah dari objek data, bukan nama perusahaan

Cantumkan objek secara terpisah: profil akun, teks percakapan, lampiran suara atau gambar, memori yang disimpan, peristiwa aktivitas, minat yang disimpulkan, paket umpan balik, tautan yang dibagikan, ekspor, tiket dukungan, rekaman penagihan, dan log keamanan. Kemudian sebutkan tujuan saat ini untuk masing-masing objek. Obrolan yang disimpan agar Anda dapat membukanya kembali bukanlah objek yang sama dengan log operasional singkat, rekaman pemulihan akun, atau preferensi yang diambil dari beberapa sesi. Panduan ICO mengaitkan retensi dengan tujuan dan peninjauan, alih-alih durasi universal. Ketika suatu kebijakan memberikan satu periode tanpa menyebutkan objek apa saja yang dicakupnya, tandai cakupan sebagai tidak diketahui. Jangan meminjam durasi untuk obrolan yang terlihat lalu menerapkannya pada berkas, memori, atau rekaman teknis.

Temukan peristiwa yang memulai dan menyetel ulang jam

Periode seperti tiga puluh hari atau dua tahun memiliki sedikit arti tanpa adanya peristiwa pemicu. Periode tersebut mungkin dimulai saat pengumpulan, penggunaan terakhir, ketidakaktifan akun, akhir langganan, permintaan penghapusan, penutupan kasus dukungan, atau penyelesaian masalah teknis. Tanyakan apakah membuka percakapan lama, memulihkan akun, mengirim umpan balik, atau menghubungkan kembali suatu layanan akan menyetel ulang jam tersebut. Catat zona waktu dan apakah hari kalender atau jam berlalu yang digunakan jika perbedaan tersebut penting. Jika produk menyatakan ‘setelah penghapusan,’ catat kapan permintaan tersebut diterima dan kapan item tersebut menghilang dari antarmuka. Kartu yang andal menyimpan waktu permintaan, waktu penghapusan yang terlihat, jendela pemrosesan yang dinyatakan, dan verifikasi akhir sebagai empat tanda waktu yang berbeda.

Pisahkan data aktif, arsip, pencadangan, dan antrean penghapusan

Penyimpanan aktif mendukung fitur yang sedang berjalan. Arsip perantara mungkin dibatasi dan disimpan untuk alasan lain yang telah dinyatakan. Pencadangan adalah salinan pemulihan yang diatur oleh prosedur rotasi dan pemulihan. Antrean penghapusan adalah status proses, bukan janji baru bahwa item tersebut langsung lenyap seketika. Materi CNIL membedakan penggunaan aktif dari pengarsipan perantara dan pemusnahan atau anonimisasi di kemudian hari. Untuk sebuah aplikasi, tanyakan apakah materi yang diarsipkan dapat dicari, digunakan untuk personalisasi, dapat diakses oleh staf biasa, atau dipulihkan selama pemulihan bencana. Jika pencadangan dipulihkan, cari tahu apakah penanda penghapusan diterapkan kembali. Jangan menyebut suatu item telah hilang sepenuhnya hanya karena item tersebut telah hilang dari layar utama; catat status yang disebutkan oleh layanan dan transisi berikutnya.

Lacak data turunan dan salinan pihak yang dibagikan secara terpisah

Menghapus percakapan sumber mungkin tidak menjelaskan apa yang terjadi pada memori yang disimpan, transkrip, gambar mini, tanda moderasi, statistik agregat, atau preferensi kesimpulan yang dibuat darinya. Tanyakan objek turunan mana yang tetap terhubung ke sumber, mana yang diperbarui, dan mana yang memiliki jam retensinya sendiri. Pemroses pihak ketiga, layanan yang terhubung, pelihat tautan publik, dan orang-orang yang mengunduh hasil ekspor juga dapat menyimpan salinan terpisah. Penyedia layanan mungkin menjelaskan kapan mereka menginstruksikan pemroses untuk menghapus, tetapi mereka tidak dapat menghapus berkas yang telah disimpan orang lain ke perangkat mereka sendiri. Tambahkan baris penerima yang memuat peran, data yang diterima, tujuan, petunjuk retensi, tanggung jawab penghapusan, dan rute konfirmasi. Hal ini mencegah periode pihak pertama disalahartikan sebagai tenggat waktu yang mengikat setiap salinan eksternal.

Tafsirkan pengecualian secara sempit dan tanpa mengarang aturan

Kebijakan terkadang menjelaskan retensi terbatas untuk keamanan, penanganan sengketa, pencegahan penipuan, penyimpanan catatan, atau pemulihan teknis. Catat kategori yang dinyatakan, pembatasan akses, kondisi akhir, dan apakah data tetap tersedia untuk fitur-fitur produk. Jangan mengubah frasa yang luas seperti ‘sebagaimana diperlukan’ menjadi angka tebakan, dan jangan menawarkan kesimpulan hukum untuk lokasi pembaca. FTC telah menekankan pengurangan data yang tidak memiliki kebutuhan saat ini karena retensi yang tidak perlu meningkatkan risiko paparan. Untuk keputusan biasa, pertanyaan praktisnya adalah apakah pengecualian tersebut dijelaskan, apakah data diisolasi dari penggunaan rutin, apakah titik akhirnya ditentukan, dan kontak resmi mana yang dapat mengklarifikasi hal yang belum diketahui. Hal yang tidak diketahui tetap tidak diketahui sampai layanan saat ini menjawabnya.

Jalankan pengujian penghapusan dan pemeriksaan ulang berpenanggalan

Buat percakapan uji coba yang tidak berbahaya dengan frasa unik dan tanpa rincian pribadi. Catat akun, perangkat, jenis objek, dan dokumentasi saat ini. Hapus melalui rute yang dipublikasikan, lalu periksa riwayat, pencarian, memori, berkas, tautan yang dibagikan, ekspor, dan perangkat lain yang masuk. Tunggu hanya selama periode yang dinyatakan oleh layanan tersebut, bukan angka yang disalin dari penyedia lain, lalu periksa kembali. Simpan bukti berupa waktu permintaan, penghapusan yang terlihat, pernyataan antrean atau arsip, tanggal verifikasi, dan hal-hal yang masih belum diketahui. Ulangi setelah penutupan akun, perubahan kebijakan besar, atau adanya layanan terhubung yang baru. Pengujian ini hanya menunjukkan rute dan versi yang Anda amati; pengujian ini tidak membuktikan isi pencadangan yang tidak dapat diakses, jadi jelaskan batasan tersebut secara jujur.

Lanjutkan topik ini