名称

数据保留与删除策略

描述

当需要制定数据保留期限、清理机制或应对用户数据删除请求时使用。该技能按数据类别、用途与法域确定保留期，设计最小化采集、到期删除、备份处理、法律冻结与删除验证流程。适用于产品隐私合规、日志与备份治理、客户尽调准备。关键词：数据保留、数据删除、隐私合规、数据最小化、保留期限、日志保留、备份、法律冻结、删除验证、个人信息、数据治理、GDPR、个人信息保护法、生命周期、归档。

数据保留与删除策略

回答：哪些数据能存、存多久、到期怎么删、怎么证明删掉了。

何时使用

产品上线前需要数据生命周期设计。
用户行使删除权，需要可执行的删除流程。
日志与备份无限增长，需要保留期。
合规审计要求提供删除证据。

不适用：具体法律意见；跨境传输合规（需法务）。

输入

数据资产清单：表、日志、文件、备份、第三方系统。
每类数据的用途、法域与敏感级别。
合同与法规要求的保留期。
现有删除能力与备份周期。

工作流

第 1 步：数据盘点

按实体列出：

存储位置（库、对象存储、日志平台、分析仓库、SaaS）。
用途（履约、风控、分析、审计）。
敏感级别（公开、内部、个人、敏感个人）。
关联关系（能否通过 ID 定位到个人）。

第 2 步：定保留期

按 references/retention-matrix.md：

履约必需：合同期 + 法定年限。
风控与反欺诈：按监管要求，通常较长。
运营分析：聚合后保留，明细短期。
日志：按排障需求，一般 30 到 180 天。
备份：滚动覆盖，不超过主库保留期太多。
临时文件：任务结束即删。

原则：能不存就不存；能聚合就不存明细；能短期就不长期。

第 3 步：最小化与匿名化

采集前确认字段必要性。
非必要字段不落库，或只存哈希。
分析场景优先使用聚合或去标识化数据。
展示层脱敏，导出层审批。

第 4 步：删除机制

按数据形态分别设计：

形态	删除方式	注意
业务表	物理删除或标记删除 + 定期清理	关联表级联
日志	按时间的分区删除	避免逐条删
对象存储	生命周期规则	版本与副本
备份	滚动过期	不能立即删，需说明
分析仓库	分区重建或行级删除	派生表同步
第三方	调用对方删除接口	留存回执

删除请求需覆盖所有副本与派生数据；无法立即删除的备份需说明最长保留期。

第 5 步：法律冻结

发生诉讼、调查或争议时：

暂停相关数据的自动删除。
记录冻结范围、原因、批准人、起止时间。
冻结解除后恢复原保留策略并补删。

第 6 步：验证与证明

删除后抽样查询确认不可检索。
保留删除工单、执行日志、影响行数。
对外提供删除确认，不含敏感细节。
定期审计：随机抽样检查过期数据是否仍在。

检查清单

[ ] 所有数据资产已盘点，含第三方与备份。
[ ] 每类数据有明确保留期与依据。
[ ] 采集字段经过必要性审查。
[ ] 删除流程覆盖主库、日志、对象存储、分析库、备份。
[ ] 删除任务可重试且幂等。
[ ] 法律冻结流程已定义。
[ ] 删除结果有验证与证据留存。
[ ] 过期数据有定期审计。
[ ] 隐私政策与实际实践一致。

输出模板

## 数据资产与保留期
| 数据类别 | 位置 | 用途 | 级别 | 保留期 | 依据 |
| --- | --- | --- | --- | --- | --- |

## 删除流程
1. ...

## 备份说明
...

## 验证方式
...

## 例外与冻结
...

反模式

所有数据永久保留，“以后可能有用”。
删除只删主表，日志与备份仍可还原。
用逻辑删除但从不清理。
备份保留期远长于业务需要且未披露。
删除后无法提供任何执行证据。

参考文件

references/retention-matrix.md：常见数据类别的保留期参考。