Politiques de rétention compatibles analytics produit

La rétention est surface produit

Tout garder scale et juridique; tout effacer aveugle.

Politiques par classe de données.

Tiers d'événements

Analytics, audit, entraînement: TTL distincts.

Séparer PII et métriques anonymes.

• Définir tiers d'événements : analytics produit, audit, entraînement modèle
• Rollups agrégés avant suppression des events bruts
• Documenter base légale et SLA suppression par tier
• Revoir config rétention comme migrations schéma

Rollups avant suppression

Rollups avant suppression brute.

Entonnoirs sur agrégats.

Discipline opérationnelle

Config reviewée comme schéma.

Métriquer les jobs de suppression.

• GDPR — Storage limitation
• Snowplow — Data retention
• Amplitude — Data governance

Classifier les événements avant instrumentation

Analytics produit sans design de rétention devient entrepôt accidentel de comportements sensibles. Définissez classes d'événements : télémétrie strictement opérationnelle, métriques produit pseudonymes et identifiants exigeant base contractuelle avant collecte. Features IA ajoutent attributs dérivés de prompts en tiers restreints même texte redigé. Revoyez ceci au prochain production review, nommez un owner et rattachez un ticket de remédiation daté.

Engineering et juridique co-signent matrice mappant chaque type à durée stockage, chiffrement et consommateurs aval. Quand marketing demande nouvelle étape entonnoir, question revue est impact rétention, pas seulement faisabilité schéma. Revoyez ceci au prochain production review, nommez un owner et rattachez un ticket de remédiation daté.

Suppression doit être prouvable. Jobs batch silencieux laissent conforme sur papier et exposé en pratique. Émettez métriques lignes supprimées, âge backlog et retries comme réconciliation paiement. Revoyez ceci au prochain production review, nommez un owner et rattachez un ticket de remédiation daté. Revoyez ceci au prochain production review, nommez un owner et rattachez un ticket de remédiation daté.

Séparer analytics et logs sécurité

Schémas partagés tentent réutiliser logs sécurité pour analyse entonnoir, brouillant classes rétention que limitation stockage RGPD décrit. Résumés CPRA Californie rappellent rétention pas plus longue que raisonnablement nécessaire—documentez nécessité par champ, pas par base. Revoyez ceci au prochain production review, nommez un owner et rattachez un ticket de remédiation daté.

Tables agrégées préservent tendances après expiry raw si rollups portent mêmes labels classification. Analystes produit gardent vues cohortes ; reviewers privacy TTL raw plus court sans perdre KPI hebdo. Revoyez ceci au prochain production review, nommez un owner et rattachez un ticket de remédiation daté.

Contrôles accès suivent classe données, pas popularité organigramme. Rôles break-glass incident doivent auto-expirer et laisser pistes audit distinctes des groupes self-service analytics. Revoyez ceci au prochain production review, nommez un owner et rattachez un ticket de remédiation daté. Revoyez ceci au prochain production review, nommez un owner et rattachez un ticket de remédiation daté.

• RGPD article 5 — Limitation conservation
• California CPRA — Rétention
• OpenTelemetry — Modèle logs

Checklist opérationnelle rétention et analytics

Les équipes produit traitent la rétention comme paperasse juridique pendant que l'analytics ingère des identifiants indéfiniment. Cassez le cycle : catalogue d'événements dans le même repo que le SDK de tracking, TTL, base légale et cible de rollup par ligne. Les PR ajoutant des propriétés échouent sans mise à jour du catalogue. Les entonnoirs de cohortes survivent à l'expiration du PII brut via agrégats hebdo portant les mêmes labels de classification.

Les rollups gardent les dashboards honnêtes après fermeture des fenêtres de suppression. Vues matérialisées sans clés utilisateur mais avec hashes d'affectation d'expérience ; documentez graphiques raw vs agrégés. Export CSV pour comité de direction : journaliser le principal demandeur et la classe de données. Exports sans piste d'audit échouent plus vite en revue privacy que métriques manquantes.

La réplication transfrontalière casse les promesses naïves. Si les événements atterrissent dans des régions à SLA d'effacement différents, taguez les réplicas ; l'orchestration de suppression suit la politique la plus stricte. Le staging ne doit pas garder d'exceptions TTL prod sans expiration auto ; debug avec vraies lignes utilisateur est un finding d'audit récurrent. Fixtures synthétiques imitent le schéma, pas dumps prod.

Revoyez la rétention comme planification de capacité chaque trimestre. Croissance entrepôt vs lignes supprimées, exceptions, legal holds. Les leads analytics signent les nouveaux flux IA ou paiement confirmant l'absence d'élargissement silencieux des défauts. One-pager all-hands : expirations du mois, rollups de backfill, équipes interrogeant encore des champs périmés. Consignez owner, date de revue et déclencheur rollback dans le même ticket de changement afin que le prochain engineer on-call retrace les décisions sans rouvrir l'incident.