Собственное шифрование стоит отдельного пояснения, потому что от него ждут большего, чем оно даёт. Ключами организации шифруются данные в хранилище - индексы кодовой базы и данные облачных запусков, - и отзыв ключа делает их нечитаемыми. Это сильный рычаг: он превращает удаление из процедуры, за которую надо ручаться, в техническое действие на вашей стороне. Но обработка от этого не переезжает к вам: запрос по-прежнему исполняется там, где исполнялся, и в момент работы данные системе видны. Собственное шифрование отвечает за покой данных, а не за их движение, и подменять им список разрешённых моделей или исключение репозиториев бессмысленно.

Сроки хранения стоит запомнить отдельно, потому что они влияют на планирование. Индексы кодовых баз истекают после шести недель бездействия, снимки окружений облачных запусков - после девяноста дней, а корпоративная политика может задать свои окна хранения. Удаление личной учётной записи заявляет удаление связанных данных в течение тридцати дней, но это не то же самое, что корпоративное завершение работы с арендатором: личная процедура закрывает личные данные, а не следы работы организации. Эти вещи путают, и путаница обходится дорого при аудите.

Различие между истечением и удалением важнее, чем кажется. Истечение срабатывает по бездействию: индекс живёт, пока с репозиторием работают, и исчезает, если о нём забыли. Это ответ на вопрос о накоплении данных, но не ответ на запрос об удалении конкретных сведений - там нужна процедура, а не ожидание. Есть и практическое следствие: возврат к давно не тронутому проекту стоит повторной индексации, и первое обращение к нему будет медленнее обычного. Планировать сроки по истечению можно, полагаться на него как на инструмент удаления - нет.

Отдельно стоит вынести разницу между исключением репозитория и ограничением области. Первое убирает данные из поля зрения полностью: репозиторий как будто не существует для инструмента, его нельзя проиндексировать и нельзя случайно отправить. Второе оставляет доступ, но сужает круг тех, кто может запускать по нему автоматику, то есть управляет людьми и процессами, а не видимостью данных. Для по-настоящему чувствительного кода правильный выбор обычно первый: того, чего нет в области видимости, не отправит ни ошибка настройки, ни неудачная формулировка запроса.

Есть и организационная сторона, которую не решить настройками: процедура удаления по запросу и жизненный цикл арендатора. Их описывают заранее, потому что в момент запроса выясняется, что данные разбросаны по нескольким местам - индексы, снимки облачных запусков, артефакты, журналы аудита, экспорт в сторонние приёмники. Список этих мест с указанием владельца и способа удаления и есть та часть работы, которую нельзя сделать за один день по факту запроса.

Отдельная договорная надстройка нужна там, где в работу попадают медицинские данные. Соглашение о защите таких данных доступно на корпоративном уровне, оформляется через отдел продаж и не возникает само по факту оплаты тарифа. Оно покрывает настольную среду, облачных агентов, Tab, командную строку, мобильный клиент, автоматику и проверку кода, но только при включённом и закреплённом режиме приватности; перечень допустимых моделей задаётся отдельным руководством по настройке. Цена этого - обязанности на вашей стороне: сначала подпись, потом данные, обучение людей тому, что и как отправлять, и самостоятельная оценка сторонних интеграций, потому что договор на них не распространяется.

Инженерный вывод простой: управление данными - это карта хранилищ и сроков, а не один переключатель приватности. Пока вы не можете назвать, где именно лежат данные вашей организации, кто их обрабатывает по договору и когда они исчезнут, заявления о соответствии требованиям опираются на веру, а не на устройство системы.

Типичные провалы предсказуемы. Считать, что личный ключ модели не меняет условий хранения. Ждать от собственного шифрования того, чего оно не даёт. Полагаться на удаление личной учётной записи как на корпоративное завершение. Ограничить область вместо исключения по-настоящему чувствительного репозитория. И не описать заранее, где живут данные и какими сроками они ограничены.