La ritenzione

01Conservare con una ragione, eliminare con una prova #sec_9021b67c

La ritenzione non consiste nell'applicare la stessa durata a un'intera base. Una piattaforma di governance contiene dati di natura molto diversa: informazioni di lavoro sostituibili, decisioni probanti, segreti crittografici, registri tecnici e statistiche anonimizzate. Conservarli o eliminarli allo stesso modo produrrebbe o un'accumulazione ingiustificata o la distruzione prematura di una prova.

REVIEWIT associa quindi ogni categoria di dati a una classe, un trigger e una regola di fine vita. La durata è solo una parte della regola. Per alcuni oggetti, l'idoneità alla cancellazione dipende da una relazione: un'attestazione ancora viva può prolungare il suo snapshot, un obbligo di rimedio aperto non può essere eliminato, un pacchetto di verifica segue esattamente l'attestazione che serve.

Il principio guida è duplice: non conservare nulla senza scopo e non rendere mai una prova non verificabile eliminando uno dei suoi componenti troppo presto.

02Quattro classi, quattro fini di vita #sec_9eecf111

C1 — Dati operativi. Sono vivi, sostituibili o riproducibili: file temporanei, cache, esportazioni generate, notifiche, registri tecnici. La loro fine vita è generalmente un'eliminazione fisica diretta dopo un breve periodo o la fine della loro utilità.

C2 — Dati probanti. Raccontano un atto o sostengono un'attestazione: decisioni di certificazione, tracce di audit, obblighi di rimedio, manifesti e constatazioni. Non si eliminano come una riga ordinaria. Quando partecipano a una catena di integrità, l'eliminazione lavora per insieme coerente e lascia un marcatore che permette di rilevare che un contenuto è legittimamente scomparso.

C3 — Dati crittografici. Chiavi, generazioni di segreti, ricevute e stati di autorità hanno il proprio ciclo governato da SEAL. La loro durata non è meccanicamente allineata ai dati aziendali, ma non può mai essere più breve di quella della prova da cui dipendono.

C4 — Dati derivati. Statistiche e aggregati possono essere conservati oltre i dati di origine solo se la loro anonimizzazione irreversibile è dimostrata.

La classe descrive il meccanismo di fine vita, non l'importanza apparente del dato. Un documento contabile conservato per dieci anni può rimanere un dato operativo se, al momento opportuno, la sua eliminazione è ordinaria.

03Una politica per profilo, con limiti #sec_bf13aace

Il profilo Standard offre un quadro immediatamente utilizzabile. A titolo di esempio, i risultati della certificazione e l'audit aziendale sono conservati per tre anni, l'audit di sicurezza per dodici mesi, i registri tecnici per novanta giorni, le esportazioni per trenta giorni e i backup in una finestra scorrevole dedicata.

I profili Regolamentato o Personalizzato possono allungare alcune durate. La personalizzazione non è mai una libera immissione «per sempre»: porta un motivo, un approvatore, una data di effetto e una data di revisione. Senza rinnovo, la regola ritorna al profilo di riferimento.

Due limiti impediscono configurazioni incoerenti :

• un limite superiore assoluto, superabile solo con una deroga nominativa, motivata e riesaminata;
• un limite inferiore per i dati esposti a un consumatore esterno tramite flusso incrementale, affinché la finestra di rigioco rimanga realmente utilizzabile.

La finestra di backup non è una durata di conservazione minima. Indica il tempo massimo prima della cancellazione completa di tutte le copie. Un dato può scomparire dai sistemi attivi dopo trenta giorni e diventare completamente cancellato solo dopo la scadenza dei backup che lo contenevano.

04Le dipendenze hanno la priorità sul calendario #sec_3bbd8efa

Una data da sola non è sempre sufficiente per autorizzare una cancellazione.

Lo snapshot di una campagna viene conservato fintanto che un'attestazione attiva lo fa riferimento. Un obbligo di rimedio diventa idoneo solo dopo essere entrato in uno stato terminale, poi rimane protetto dalle attestazioni a cui è collegato. Le notizie, le constatazioni e gli atti del runbook seguono l'obbligo che documentano. Il pacchetto di verifica segue l'attestazione come un'unità indissociabile.

Al contrario, i registri tecnici di esecuzione non acquisiscono una lunga conservazione semplicemente perché hanno contribuito a un'operazione probante. REVIEWIT conserva il risultato e la prova utile, non indefinitamente ogni dettaglio di sfruttamento.

Questo grafico di dipendenze evita due errori classici: eliminare un supporto ancora necessario o conservare tutto "nel caso" per mancanza di sapere cosa sia realmente indispensabile.

05Dimostrare la cancellazione senza conservare il dato cancellato #sec_6d46e81c

Ogni ciclo di conservazione produce un registro di esecuzione: perimetro valutato, regola applicata, volumi trattati e motivi delle non-cancellazioni. Questo registro non viene eliminato dal meccanismo che documenta.

Per i dati concatenati o sigillati, REVIEWIT conserva una prova tecnica non identificante della cancellazione. Permette di distinguere una rimozione autorizzata da un'alterazione clandestina, senza ricreare un identificatore di oggetto né conservare il contenuto eliminato.

Archiviazione e cancellazione rimangono due operazioni diverse. L'archiviazione sposta un contenuto verso un'archiviazione fredda mantenendo la sua capacità di restituzione. La cancellazione lo distrugge senza ritorno. Il sistema rende questa frontiera visibile nei suoi stati e nei rapporti prodotti.

06In sintesi #sec_e5d20280

La conservazione in REVIEWIT è un motore di governance, non un timer globale. Tiene conto della natura dei dati, delle loro dipendenze e delle garanzie attese. Sa spiegare perché un dato rimane, perché un altro parte e produrre una prova durevole della cancellazione senza conservare ciò che doveva scomparire.