Não existe um número legal de meses para guardar dados de cliques. O Artigo 5(1)(e) do GDPR diz que dados pessoais podem ser mantidos de forma que permita identificar os titulares por no máximo o tempo necessário para as finalidades do tratamento, e deixa o prazo por sua conta (texto acessado em 2026-10-25). Uma autoridade de supervisão não examina a cifra que você escolheu. Ela examina se você consegue explicá-la e demonstrar que a exclusão acontece.
É mais fácil do que parece. Dados de cliques não são uma coisa só. Chegam como uma requisição bruta, viram uma linha de evento e podem terminar como uma contagem que não identifica ninguém. Cada etapa merece um prazo diferente. As obrigações mais amplas em torno de um encurtador estão em GDPR para encurtadores de URL, o artigo principal deste texto.
Também vou dizer onde o Elido está hoje, porque a retenção é um ponto em que as páginas de produto e a realidade se afastam. Está mais organizado do que estava, mas não está terminado.
Por que a pergunta não tem uma resposta única
A limitação do armazenamento é um princípio, não um cronograma. Três fatores decidem o prazo, e os três são seus.
A finalidade vem primeiro. Dados de campanha são necessários até a campanha ser reportada e comparada com a anterior. No máximo um ano para muitas equipes. Três meses para algumas. Dados guardados para detectar abuso de um redirecionamento são necessários apenas enquanto uma investigação puder plausivelmente começar, em geral bem menos.
A base legal vem em segundo. Análises feitas por legítimo interesse precisam passar por um teste de ponderação, e um prazo longo dificulta isso. Tudo o que foi coletado com consentimento sai quando o consentimento é retirado.
Em terceiro estão as obrigações que puxam no sentido contrário: regras fiscais, um contrato com um cliente, uma disputa em andamento, uma retenção regulatória. São legítimas. Também são específicas, então devem constar no registro como exceções nomeadas, não como motivo geral para guardar tudo.
O que o Elido armazena hoje
Este é o estado atual, lido no código em 2026-10-25.
| Dado | O que é armazenado | Exclusão hoje |
|---|---|---|
| Eventos de clique | Endereço IP truncado (IPv4 /24, IPv6 /48), user agent completo, referrer, país, região, cidade, latitude e longitude, dispositivo, navegador | As linhas expiram após o prazo do plano: 90 dias no Free, 1 ano no Pro, 2 anos no Business. O histórico mais antigo está sendo apagado aos poucos |
| Eventos de auditoria | Quem alterou o quê em um workspace | Excluídos após 730 dias por padrão, configurável por workspace (mínimo de 30 dias) |
| Exclusão de conta | O registro do usuário | Anonimizado a pedido; as linhas de cliques de workspaces que a pessoa possui sozinha também podem ser apagadas |
Duas coisas se destacam. Primeiro, o endereço IP é truncado no edge (IPv4 para /24, IPv6 para /48) antes de o clique ser armazenado, mas país, região, cidade e coordenadas aproximadas são derivados antes e mantidos com o clique, e o user agent completo é armazenado. Um IP truncado mais cidade e user agent ainda pode apontar para uma pessoa. Segundo, as linhas de clique expiram após o prazo do plano da página de preços: 90 dias no Free, um ano no Pro e dois anos no Business, aplicado por uma regra de armazenamento carimbada em cada linha na ingestão. Qualquer plano pode encurtar o seu prazo. O histórico anterior à regra está sendo apagado aos poucos, então algumas linhas mais antigas ainda podem estar presentes.
Duas consequências práticas decorrem disso. Se você precisa de minimização estrita hoje, mantenha os campos identificadores fora do que você encaminha e exporta. Se um titular de dados pedir que você apague seus cliques, envie o pedido para [email protected]: a equipe pode excluir os cliques de um visitante por IP truncado e user agent, mas ainda não há uma ferramenta de autoatendimento para isso.
Três camadas, três prazos
Separe os dados de cliques pelo quanto identificam. Essa é a estrutura que sobrevive a uma auditoria, e é a que eu exigiria de qualquer provedor.
O log bruto de requisições, com IP completo, user agent e cabeçalhos, deve viver por dias. Ele existe para depuração e tratamento de abuso. Nada além disso. O evento de clique, com IP truncado ou descartado mais país, dispositivo e campanha, cabe em cerca de doze meses: o suficiente para comparar setembro com setembro, e depois para. O agregado, contagens por dia, link, país e referrer, pode viver indefinidamente porque deixou de ser dado pessoal.
A camada do meio é onde as equipes retêm demais sem perceber, em geral porque a ferramenta guarda tudo por padrão. Se o seu relatório realmente precisa de três anos de detalhe em nível de linha, escreva isso e defenda. Qualquer prazo que você escolher também é o teto do que uma exportação consegue recuperar. Exportar dados de links curtos trata desse ponto, inclusive como distinguir uma exportação magra de uma quebrada.
Um IP completo em um log de requisições é dado pessoal, e um ano dele guardado porque ninguém definiu uma rotação é exposição comprada à toa. O que vale a pena medir na análise de links curtos mostra quais métricas sobrevivem sem o endereço bruto, e são quase todas.
Agregar é a estratégia de retenção
A melhor jogada não é um prazo mais curto. É organizar as coisas de modo que o que você guarda para sempre deixe de ser dado pessoal.
Consolide os eventos em contagens por dia, link, país, referrer e classe de dispositivo, e depois exclua as linhas de onde vieram. O que sobra responde à maioria das perguntas de marketing. Como foi a campanha? Qual região respondeu? A participação do mobile mudou? Não responde nada sobre um indivíduo, e esse é o objetivo.
Duas ressalvas. A anonimização precisa ser irreversível; uma tabela de mapeamento que consiga reconstruir as linhas significa que você pseudonimizou, e os dados continuam no escopo. E grupos pequenos entregam indivíduos. Um link enviado a cinco pessoas, contado por minuto, é reidentificável por qualquer um que conheça as cinco. Agregue em uma granularidade que mantenha os grupos grandes e suprima as células pequenas.
No Elido você pode puxar eventos pela API de análise ou exportá-los como NDJSON em gzip para o seu próprio armazenamento, agregar do seu lado e manter os agregados pelo tempo que a sua política determinar. A expiração do Elido cobre as linhas brutas, e a sua própria cópia é sua para documentar. A análise de links reporta sobre os eventos como armazenados, então planeje com isso em mente.
O que um pedido de exclusão alcança
O Artigo 17 dá ao titular dos dados o direito ao apagamento. Para dados de cliques, a resposta depende do que a linha contém.
Se uma linha guarda um IP completo, uma cidade e um user agent, muitas vezes ela pode ser ligada a uma pessoa, e você deve presumir que um pedido de exclusão a alcança. Se o seu pipeline trunca o endereço na coleta e não guarda nenhum identificador, não há o que encontrar, e você consegue explicar por quê. Os reguladores aceitam essa resposta quando a arquitetura a sustenta.
A resposta também muda no momento em que os cliques são ligados a uma pessoa nomeada, como um CRM que grava eventos de clique em um registro de contato. É uma forma legítima de trabalhar; ela só desloca a obrigação. A decisão de retenção passa a pertencer aos dois sistemas, e o prazo mais longo define a resposta real. Encaminhar cliques de links para a linha do tempo de um CRM mostra o que essa integração grava.
Documentar para sobreviver a uma auditoria
Um cronograma de retenção na cabeça de alguém não é um controle. Quatro artefatos o tornam real, e nenhum leva muito tempo para produzir.
- O registro de atividades de tratamento. O Artigo 30 pede prazos de retenção por categoria. Preencha a coluna com as três camadas em vez de uma única cifra, que estaria errada para os logs brutos ou para os agregados.
- Um mecanismo de exclusão que você possa apontar. Uma expiração configurada, com a configuração visível, vale mais que uma intenção documentada. Se a exclusão é um job agendado, guarde o histórico de execuções. Se o seu provedor não consegue mostrar um, diga isso no registro e liste a etapa manual.
- Backups, declarados explicitamente. Diga por quanto tempo as gerações de backup vivem e o que acontece na restauração. As diretrizes do EDPB mostram como as autoridades enquadram essas perguntas.
- Alinhamento com os contratos de operador. Se a retenção contratual do seu encurtador é mais longa que a sua política, na prática vale o contrato. Leia o DPA antes de escrever a política. O Elido fornece um mediante solicitação.
Não se esqueça das exportações. Um CSV em uma planilha, uma sincronização com um data warehouse, um painel com cache próprio. Cada cópia carrega a obrigação, e nenhuma respeita a expiração que você definiu a montante. Nomeie-as no cronograma.
Um padrão que você pode defender
Se você precisa de um ponto de partida: logs brutos rotacionados em dias, linhas de eventos por cerca de um ano, agregados por prazo indefinido e realmente anônimos, dados baseados em consentimento excluídos na retirada dele, e cada desvio nomeado com seu motivo.
Revise-o todo ano em relação ao que a equipe realmente abre. Quase todo prazo que vi ser encurtado nessa revisão foi encurtado porque relatar além de treze meses acabou sendo algo que as pessoas diziam precisar, e não algo que usavam. Residência de dados na UE para equipes de marketing trata da outra metade, que é onde os dados ficam enquanto você os guarda. O guia de evidências do SOC 2 trata dos artefatos de auditoria que acompanham um cronograma.
Relacionados no blog
- Códigos QR e o GDPR: o que uma leitura coleta
- Consentimento de cookies para links curtos
- O Google Analytics está em conformidade com o GDPR?
- Exportar dados de links curtos: as quatro coisas que você pode levar
- Encurtadores de URL são seguros? O que a verificação pega
- Análises de links curtos: o que vale a pena medir
Perguntas frequentes
Por quanto tempo posso guardar dados de rastreamento de cliques pelo GDPR?
Pelo tempo que você conseguir justificar em relação à finalidade para a qual os coletou, e não mais que isso. O Artigo 5(1)(e) define a limitação do armazenamento como um princípio, não como um número, então não existe um máximo legal para citar. Um regulador pede seu raciocínio por escrito e provas de que a exclusão acontece no cronograma que você escreveu.
Um endereço IP em um log de cliques é dado pessoal?
No caso comum, sim. Um endereço IP identifica uma linha de assinante com a ajuda de informações que a operadora da rede detém, o que basta mesmo que você nunca veja essas informações. Truncá-lo ou descartá-lo na coleta, antes de qualquer gravação, é o que tira o campo do escopo. Verifique se o seu encurtador faz isso: o Elido trunca o endereço no edge (IPv4 para /24, IPv6 para /48) antes de o clique ser armazenado, embora a cidade e o user agent continuem guardados.
As contagens agregadas de cliques estão sujeitas ao GDPR?
Não, desde que sejam realmente anônimas, ou seja, que ninguém consiga singularizar um indivíduo por qualquer meio razoavelmente provável de ser usado. Cliques diários por país passam nesse critério. Cliques por link por minuto de um link enviado a quatro pessoas, não, porque o grupo é pequeno o bastante para reidentificação.
Que prazo de retenção devo definir para a análise de links?
Um padrão defensável é dias para logs brutos de requisições, cerca de um ano para linhas de cliques em nível de evento, para que a comparação ano a ano continue funcionando, e prazo indefinido para agregados anônimos. Uma retenção legal, um contrato ou uma investigação de fraude podem justificar mais tempo, e cada um desses motivos deve constar no seu registro.
Um pedido de exclusão abrange dados de cliques?
Abrange tudo o que está ligado à pessoa. Linhas de cliques que guardam um endereço IP, uma cidade e um user agent são dado pessoal em muitas configurações, então você precisa de um jeito de encontrá-las e removê-las. Cliques ligados a um registro de contato em um CRM são alcançados diretamente. O fluxo de exclusão do Elido anonimiza a conta do usuário, pode excluir as linhas de cliques dos workspaces que a pessoa possui sozinha e permite que a equipe exclua os cliques de um visitante por IP truncado, opcionalmente restringindo por user agent.
Os backups também precisam ser excluídos?
Eles precisam estar cobertos pelo seu cronograma, o que não é o mesmo que ser apagados no mesmo dia. A posição viável é que os backups expirem num ciclo fixo, que os dados restaurados sejam refiltrados antes do uso e que o arranjo esteja documentado. O silêncio sobre backups é o que transforma uma pergunta de rotina em uma não conformidade.
Experimente Elido
Cole uma URL, obtenha um link curto
Sem cadastro. O link vive 30 dias. Cadastre-se para mantê-lo para sempre.
É necessária uma conta grátis. O plano grátis inclui 25 links no total. Já tem uma conta? Entrar