Política de Retención y Eliminación
El plazo de 90 días es un valor inicial configurable por campaña (nunca menor a 90).
1. Regla general
Los datos y activos de la campaña se conservarán mientras la campaña permanezca activa y durante noventa (90) días calendario después de su cierre formal. Cumplido ese periodo, se procederá a su eliminación, anonimización, pseudonimización o bloqueo según la naturaleza del dato, las obligaciones aplicables y las solicitudes de los titulares.
El plazo cuenta únicamente desde el cierre formal de la campaña (fecha de cierre + 90 días calendario = fecha programada de purga). No se cuenta desde la creación de cada registro, foto, archivo o resultado de IA. Mientras la campaña esté activa no se purga nada por antigüedad. Una campaña cerrada no se reactiva sin una acción administrativa explícita y auditada.
2. Formas de eliminar (qué significa cada una)
| Forma | Qué hace | ¿Reversible? |
|---|---|---|
| Eliminación física | Borra el registro o el archivo | No |
| Seudonimización (supresión de identificadores) | Quita nombre, documento, teléfono, intención y texto libre del contacto. El registro sigue existiendo con su identificador interno, su campaña, su zona, fechas y el historial de auditoría. No es anonimización irreversible: un identificador interno puede vincularse con otros datos; por eso, cuando la ley o una solicitud exijan eliminación completa, se aplica eliminación física | No para los identificadores quitados |
| Bloqueo | Conserva el dato sin usarlo, solo por una obligación legal | Sí, por decisión legal |
| Supresión lógica temporal | Oculta el registro mientras se completa la eliminación | Sí, hasta ejecutar la eliminación |
| Lista de exclusión | Guarda solo un hash del documento para no volver a registrar ni contactar a quien pidió su supresión | No contiene el dato legible |
3. Calendario por tipo de dato
| Dato o activo | Mientras la campaña está activa | Desde el cierre formal |
|---|---|---|
| Contactos y datos operativos | Se conservan | +90 días: seudonimización o eliminación física |
| Fotos de planillas | Se conservan | +90 días: eliminación del archivo |
Texto crudo de IA (raw_ai) y resultados de OCR | Se conservan | +90 días: se vacían |
| Importaciones (borradores y archivos) | Se conservan | +90 días: se vacían |
| Conversaciones con el asistente | Se conservan hasta que la persona las borre | +90 días: se eliminan |
| Documentos cargados (original, texto extraído, fragmentos, resumen y vectores de búsqueda), hechos y diagnósticos | Se conservan; al eliminar un documento se eliminan también sus copias derivadas | +90 días: eliminación de todo lo anterior |
| Archivos generados por IA en versiones anteriores (imágenes, audio) | Se conservan hasta que se eliminen | +90 días: eliminación; antes, si lo pides |
| Eventos de redes (fragmentos de comentarios sin autor, con filtrado parcial de datos personales) y métricas | Se eliminan a más tardar a los 30 días de su lectura (limpieza automática del servidor), o de inmediato junto con la conexión si el Director la desconecta y borra, o ante una solicitud de eliminación de Meta | +90 días: eliminación de cualquier evento restante; las cifras agregadas sin personas pueden conservarse |
| Tokens y conexiones de redes sociales | Hasta que el administrador desconecte | Eliminación a más tardar a los 90 días (inmediata al desconectar) |
| Consentimientos | Vigentes | +90 días: se revocan los operativos; la evidencia mínima se conserva hasta cinco (5) años desde el cierre, para poder acreditar la autorización ante una reclamación |
| Auditoría | Se conserva | Solo lo mínimo, sin datos personales, hasta cinco (5) años desde el cierre; acceso restringido |
| Copias de seguridad | Según el plan del proveedor de base de datos | Las copias vencidas se purgan por rotación |
No existen purgas por antigüedad de 7 o 30 días: esos plazos de versiones anteriores quedan derogados.
4. Solicitudes individuales (en cualquier momento)
Las solicitudes de un titular no esperan al cierre de la campaña: eliminación, revocatoria, corrección, detener comunicaciones, desconexión de una red social, eliminar una foto o documento, o eliminar una voz, imagen o archivo generado con sus datos personales. Se atienden en los plazos legales (consultas, 10 días hábiles; reclamos, 15 días hábiles, prorrogables según la Ley 1581 de 2012), quedan auditadas sin datos personales y prevalecen sobre la regla de conservación, salvo un deber legal o contractual de conservar el dato (en ese caso se explica a la persona y el dato se bloquea).
5. Cómo se ejecuta
- Cierre: el Director cierra la campaña (confirmación escrita). Se registran fecha de cierre, quién cerró y la fecha programada de purga; no se elimina nada al cerrar.
- Simulación (
retention:dry-run): lista solo campañas cerradas cuyo plazo ya venció; no borra. - Ejecución (
retention:execute): exige campaña, tipo de dato, motivo y cantidad esperada; rechaza campañas activas o aún no vencidas; opera sobre una sola campaña; es idempotente; registra cantidades, fecha, responsable y resultado, sin datos personales. - Se hace respaldo y verificación previa antes de purgas.
6. Reglas
- Un contacto no se reutiliza automáticamente en otra campaña.
- La revocatoria o supresión se atiende dentro de los plazos legales (reclamos, 15 días hábiles, prorrogables 8 más).
- Los datos bloqueados no se usan para ninguna finalidad política.
- Los accesos no cambian por esta política: separación por campaña, permisos por rol, tokens nunca legibles por el cliente y sin datos personales en registros técnicos.