Não existe um número legal de meses para manter dados de cliques. O Artigo 5(1)(e) do GDPR pede que os dados pessoais sejam mantidos em forma identificável não mais do que o necessário para a finalidade, deixando o período a seu critério, como o próprio texto deixa claro. O que uma autoridade de supervisão examina não é o número que você escolheu, mas se você consegue explicá-lo.
Isso é mais fácil do que parece, porque dados de cliques não são uma coisa só. Eles chegam como uma solicitação bruta, tornam-se um evento com a maior parte do material identificador removido, e terminam como uma contagem que não identifica ninguém. Cada uma dessas etapas merece uma janela diferente, e separá-las é a maior parte do trabalho. Para as obrigações mais amplas em torno de um encurtador, GDPR para encurtadores de URL é o cornerstone sob o qual esta publicação se enquadra.
Por que a pergunta não tem uma única resposta
A limitação de armazenamento é um princípio, não um cronograma. Três fatores decidem o período, e os três cabem a você determinar.
A finalidade vem primeiro. Dados coletados para relatar uma campanha são necessários até que a campanha tenha sido relatada e comparada com a anterior, o que representa no máximo um ano para muitas equipes e três meses para algumas. Dados coletados para detectar abuso de um redirecionamento são necessários enquanto uma investigação puder plausivelmente ser iniciada, o que costuma ser bem mais curto.
A base jurídica vem em segundo lugar. As análises fundamentadas em interesse legítimo precisam superar um teste de equilíbrio, e uma janela de retenção longa torna esse teste mais difícil de passar. Tudo o que for coletado com base em consentimento tem de ser eliminado quando o consentimento for retirado, prontamente, sem que outra base seja discretamente adotada em seu lugar.
Em terceiro lugar, obrigações que puxam na direção contrária. Regras fiscais, compromissos contratuais com um cliente, uma disputa ativa ou uma retenção regulatória podem exigir que você mantenha algo por mais tempo do que a minimização sugeriria. Essas razões são legítimas e também específicas, o que significa que devem constar no registro como exceções nomeadas, e não como um motivo genérico para manter tudo.
Três níveis, três janelas
A estrutura prática que resiste a uma auditoria separa os dados de cliques de acordo com o quanto eles identificam alguém.
| Nível | O que contém | Janela típica | Por quê |
|---|---|---|---|
| Registro bruto de solicitação | IP completo, agente de usuário, cabeçalhos, timestamp | dias | apenas depuração operacional e combate a abusos |
| Evento de clique | prefixo de rede truncado, país, dispositivo, campanha | cerca de 12 meses | relatórios e comparação ano a ano |
| Agregado | contagens por dia, link, país, referenciador | indefinido | anônimo, não é mais dado pessoal |
O nível intermediário é onde a maioria das equipes retém dados além do necessário sem perceber, geralmente porque a ferramenta de relatórios vem configurada por padrão para manter tudo e ninguém mudou isso. De doze a catorze meses é a janela que permite comparar este setembro com o setembro passado e depois parar. Se os seus relatórios realmente precisam de três anos de detalhe linha a linha, essa é uma decisão para documentar e defender, e não um acidente de configuração.
O nível superior é onde a maioria das equipes pensa de menos. Um endereço IP completo em um registro de solicitação é dado pessoal, e um registro mantido por um ano porque ninguém configurou uma rotação é um ano de exposição comprado à toa. Truncar no momento da coleta, antes que o evento seja gravado, elimina o problema na origem. O que vale a pena medir em análises de links curtos aborda quais métricas sobrevivem a esse truncamento, e a resposta é praticamente todas elas.
A agregação é a estratégia de retenção
A medida mais útil disponível não é escolher uma janela mais curta. É organizar as coisas de modo que aquilo que você mantém para sempre deixe de ser dado pessoal.
Consolide os eventos de cliques em contagens por dia, link, país, referenciador e classe de dispositivo, e depois exclua as linhas de origem. O que resta responde a quase todas as perguntas que uma equipe de marketing faz: como a campanha performou, qual região respondeu, se a participação de dispositivos móveis mudou. O que não consegue responder é qualquer coisa sobre um indivíduo, o que é exatamente o objetivo.
Duas ressalvas. A anonimização precisa ser irreversível, então manter uma tabela de mapeamento capaz de reconstruir as linhas significa que você pseudonimizou em vez de anonimizar, e os dados continuam no escopo. E grupos pequenos traem indivíduos: um link enviado a cinco pessoas, contado por minuto, é reidentificável por qualquer um que conheça essas cinco pessoas. Agregue em uma granularidade que mantenha os grupos grandes, e suprima células que fiquem abaixo de um limiar.
Configurar isso uma vez é melhor do que revisitar o assunto todo ano. As análises de links do Elido truncam o endereço antes que o evento seja armazenado e geram relatórios a partir do agregado, de modo que a decisão de retenção diz respeito apenas ao nível intermediário.
O que um pedido de apagamento realmente alcança
O Artigo 17 dá ao titular dos dados o direito ao apagamento, e a resposta honesta, para dados de cliques bem projetados, é frequentemente que não há nada para apagar.
Se um evento carrega um prefixo de rede truncado, um país, uma classe de dispositivo e uma campanha, nenhuma operação do seu lado consegue conectá-lo à pessoa que está solicitando. Diga isso, explique o design, e o pedido está atendido. Os reguladores não são hostis a essa resposta quando a arquitetura a sustenta.
A resposta muda no momento em que os cliques são vinculados a uma pessoa. Um encurtador que registra qual contato abriu qual link, ou um CRM que grava eventos de cliques em um registro, mantém dados pessoais com um nome atrelado, e um pedido de apagamento alcança tudo isso. Essa é uma forma legítima de trabalhar; ela apenas desloca a obrigação. Se você encaminha cliques para um CRM, a decisão de retenção pertence aos dois sistemas, e o que tiver a janela mais longa define a resposta real. Encaminhar cliques de links para uma linha do tempo de CRM mostra o que essa integração realmente grava.
Documentando por escrito para resistir a uma auditoria
Um cronograma de retenção que existe apenas na cabeça de alguém não é um controle. Quatro artefatos o tornam real.
- O registro das atividades de tratamento. O Artigo 30 pede períodos de retenção por categoria de dado. Preencha a coluna com os três níveis acima em vez de um único número, porque um único número para todos os dados de cliques estará errado para os registros brutos ou errado para os agregados.
- Um mecanismo de exclusão que você consiga apontar. Uma expiração configurada no armazenamento de análises, com a configuração visível, vale mais do que uma intenção documentada. Se a exclusão é um job agendado, mantenha o histórico de execuções.
- Backups, declarados explicitamente. Diga por quanto tempo cada geração de backup vive e o que acontece na restauração. As orientações publicadas pelo CEPD são o ponto de referência para como as autoridades de supervisão enquadram essas questões nos diferentes Estados-Membros.
- Alinhamento com os seus acordos de processamento. Se a retenção contratual do seu encurtador for mais longa do que a sua política, na prática o contrato prevalece. Leia o DPA antes de escrever a política, não depois.
Mais um item que as pessoas esquecem: as exportações. Um CSV puxado para uma planilha, uma sincronização com um data warehouse, uma ferramenta de dashboard com seu próprio cache. Cada cópia carrega consigo a obrigação de retenção, e nenhuma delas respeita a expiração que você configurou a montante. Nomeie-as no cronograma ou aceite que o cronograma descreve apenas parte da realidade.
Um padrão que você consegue defender
Se você precisa de um ponto de partida, esta é uma posição que se sustenta: registros brutos de solicitação rotacionados em poucos dias, eventos de cliques mantidos por cerca de um ano para que a comparação sazonal funcione, agregados mantidos indefinidamente e genuinamente anônimos, tudo o que for baseado em consentimento excluído na retirada, e cada desvio nomeado com o seu motivo.
Depois, revise isso uma vez por ano em função do que a equipe realmente consulta. Quase toda janela de retenção que já vi acabou encurtada depois dessa revisão, porque relatórios além de treze meses se revelaram algo que as pessoas diziam precisar, e não algo que de fato abriam. Residência de dados da UE para equipes de marketing cobre a outra metade da conversa, que é onde os dados ficam armazenados enquanto você os mantém.
Leia a série cornerstone
Esta publicação está no cluster de conformidade. GDPR para encurtadores de URL é o cornerstone, e o guia de evidências SOC 2 aborda os artefatos de auditoria que acompanham um cronograma de retenção.
Relacionados no blog
Perguntas frequentes
Por quanto tempo posso manter dados de rastreamento de cliques sob o GDPR?
Pelo tempo que você conseguir justificar em relação à finalidade para a qual os coletou, e não além disso. O Artigo 5(1)(e) estabelece a limitação de armazenamento como um princípio, não como um número, portanto não há um máximo legal a apontar. O que um regulador pede é o seu raciocínio, registrado por escrito, e evidências de que a exclusão realmente acontece no cronograma que você definiu.
Um endereço IP em um registro de cliques é dado pessoal?
Sim, no caso comum. Um endereço IP identifica uma linha de assinante com a ajuda de informações que uma operadora de rede possui, o que já é suficiente para torná-lo dado pessoal, mesmo quando você nunca obtém essas informações por conta própria. Truncá-lo no momento da coleta, antes que qualquer coisa seja gravada, é o que tira o campo dessa categoria.
Contagens agregadas de cliques se enquadram no GDPR?
Não, a partir do momento em que são genuinamente anônimas, ou seja, quando ninguém consegue isolar um indivíduo a partir delas por qualquer meio razoavelmente suscetível de ser utilizado. Uma contagem diária de cliques por país supera essa barreira com folga. Uma contagem de cliques por link a cada minuto, para um link enviado a quatro pessoas, não supera, porque o grupo é pequeno o suficiente para permitir a reidentificação.
Qual período de retenção devo definir para as análises de links?
Um padrão defensável é curto para registros brutos de solicitação, cerca de um ano para eventos de cliques pseudonimizados, de modo que a comparação ano a ano continue funcionando, e indefinido para agregados anônimos. Ajuste conforme suas próprias finalidades: uma retenção legal, um compromisso contratual ou uma investigação de fraude justificam um prazo mais longo, e cada um desses motivos deve constar no registro.
Um pedido de exclusão abrange dados de cliques?
Abrange tudo o que estiver vinculado à pessoa. Se os seus eventos de cliques carregam apenas um prefixo de rede truncado e nenhum identificador, não há nada para encontrar nem para apagar, e você deve conseguir explicar por quê. Se os cliques estiverem vinculados a um registro de contato em um CRM, é exatamente esse vínculo que um pedido de apagamento alcança.
Os backups também precisam ser excluídos?
Eles precisam estar cobertos pelo cronograma, o que não é o mesmo que serem eliminados no mesmo dia. A posição viável é que os backups expirem em um ciclo fixo, que os dados restaurados sejam refiltrados antes do uso, e que todo o arranjo esteja documentado por escrito. O silêncio sobre backups é o que transforma uma pergunta de rotina em uma constatação de auditoria.
Experimente Elido
Cole uma URL, obtenha um link curto
Sem cadastro. O link vive 30 dias. Cadastre-se para mantê-lo para sempre.
Grátis, sem necessidade de registo · 2 por dia