Превратите положение о хранении данных в таймлайн для каждого объекта данных

Начинайте с объекта данных, а не с названия компании

Перечислите объекты отдельно: профиль аккаунта, текст беседы, голосовое или графическое вложение, сохраненное воспоминание, событие активности, предполагаемый интерес, пакет обратной связи, общедоступная ссылка, экспорт, обращение в службу поддержки, платежная запись и журнал безопасности. Затем укажите текущую цель для каждого из них. Чат, сохраненный для того, чтобы вы могли снова его открыть, — это не тот же объект, что и краткосрочный операционный журнал, запись для восстановления аккаунта или предпочтение, сформированное на основе нескольких сессий. Руководство ICO связывает хранение с целью и пересмотром, а не с универсальной продолжительностью. Если в политике указан один срок без уточнения, какие объекты он охватывает, отметьте область применения как неизвестную. Не переносите срок, указанный для видимых чатов, на файлы, воспоминания или технические записи.

Определите событие, которое запускает и сбрасывает таймер

Такой срок, как тридцать дней или два года, не имеет особого смысла без начального события. Отсчет может начинаться с момента сбора, последнего использования, неактивности аккаунта, окончания подписки, запроса на удаление, закрытия обращения в службу поддержки или решения технической проблемы. Узнайте, сбрасывают ли таймер открытие старой беседы, восстановление аккаунта, отправка отзыва или повторное подключение сервиса. Зафиксируйте часовой пояс и укажите, используются ли календарные дни или прошедшие часы, если эта разница имеет значение. Если в продукте указано «после удаления», зафиксируйте, когда запрос был принят и когда элемент исчез из интерфейса. Надежная карточка содержит четыре разные временные метки: время запроса, время удаления из видимости, заявленное окно обработки и окончательную проверку.

Разделяйте активные данные, архив, резервную копию и очередь на удаление

Активное хранилище обеспечивает работу текущей функции. Промежуточный архив может иметь ограниченный доступ и храниться для другой, четко указанной цели. Резервная копия — это копия для восстановления, регулируемая процедурами ротации и восстановления. Очередь на удаление — это состояние процесса, а не гарантия того, что элемент исчез мгновенно. Материалы CNIL разграничивают активное использование, промежуточную архивацию и последующее уничтожение или анонимизацию. Применительно к приложению выясните, доступен ли архивный материал для поиска, используется ли он для персонализации, доступен ли обычным сотрудникам или восстанавливается при аварийном восстановлении. Если восстанавливается резервная копия, узнайте, применяются ли повторно метки удаления. Не считайте элемент полностью удаленным только потому, что он исчез с главного экрана; зафиксируйте состояние, указанное сервисом, и следующий переход.

Отслеживайте производные данные и копии третьих лиц отдельно

Удаление исходной беседы может не прояснить, что происходит с сохраненным воспоминанием, транскриптом, миниатюрой, отметкой модерации, совокупной статистикой или выведенным предпочтением, созданными на ее основе. Выясните, какие производные объекты остаются связанными с источником, какие обновляются, а у каких есть собственный таймер. Сторонние обработчики, подключенные сервисы, пользователи, просматривающие общедоступные ссылки, и люди, загрузившие экспорт данных, также могут иметь отдельные копии. Поставщик может указать, когда он дает обработчику команду на удаление, но он не может удалить файл, который другой человек сохранил на своем устройстве. Добавьте строку получателя с указанием роли, полученных данных, цели, сведений о сроке хранения, зоны ответственности за удаление и способа подтверждения. Это не позволит ошибочно принять внутренний срок сервиса за обязательство, распространяющееся на все внешние копии.

Трактуйте исключения буквально и не додумывайте правила

В политиках иногда описывается ограниченное хранение данных в целях безопасности, разрешения споров, предотвращения мошенничества, ведения учета или технического восстановления. Зафиксируйте заявленную категорию, ограничения доступа, условие окончания хранения и то, остаются ли данные доступными для функций продукта. Не превращайте общие формулировки вроде «по мере необходимости» в произвольные догадки по срокам и не делайте юридических выводов для региона пользователя. FTC особо подчеркивает необходимость сокращения объема данных, в которых нет текущей потребности, поскольку избыточное хранение увеличивает риски. Для принятия взвешенного решения практические вопросы заключаются в том, разъяснено ли исключение, изолированы ли данные от повседневного использования, определена ли конечная точка и какой официальный контакт может прояснить неизвестное. Неизвестное остается неизвестным до тех пор, пока текущий сервис не даст ответ.

Проведите проверку удаления и повторного контроля с фиксацией дат

Создайте тестовую беседу нейтрального содержания с уникальной фразой и без персональных данных. Зафиксируйте аккаунт, устройство, типы объектов и текущую документацию. Удалите ее стандартным предусмотренным способом, затем проверьте историю, поиск, память, файлы, общие ссылки, экспорт и другое устройство, где выполнен вход. Выждите только тот срок, который официально заявлен сервисом, а не цифру, скопированную у другого поставщика, и проверьте снова. Сохраните подтверждение со временем запроса, видимого удаления, формулировкой об очереди или архиве, датой проверки и оставшимися неясными моментами. Повторите процедуру после закрытия аккаунта, серьезного изменения политики или подключения новой интеграции. Тест отражает только тот путь и ту версию, за которыми вы наблюдали лично; он не подтверждает содержимое недоступных резервных копий, поэтому честно обозначайте эти границы.

Продолжить изучение темы