Este contenido se actualizó por última vez en octubre de 2026 y representa el statu quo en el momento de su redacción. Es posible que cambien las políticas y los sistemas de seguridad de Google de ahora en adelante, ya que mejoramos la protección de nuestros clientes de forma continua.
En este documento, se ofrece una descripción general del proceso seguro que ocurre cuando borras los datos del cliente en Google Cloud. Según se define en las Condiciones del Servicio deGoogle Cloud , los datos del cliente son los que clientes o usuarios finales proporcionan a Google a través de los servicios que se indican en la cuenta.
En este documento, se describe cómo se almacenan los datos de los clientes en reposo en Google Cloud, la canalización de eliminación y cómo evitamos cualquier reconstrucción de los datos que se almacenan en nuestra plataforma. Este documento no se aplica a los datos que se procesan de forma efímera en la memoria (como las cargas de trabajo de IA generativa que están configuradas para la retención de datos cero).
Para obtener información sobre nuestros compromisos de eliminación de datos, consulta el Anexo de Tratamiento de Datos de Cloud (Clientes).
Almacenamiento y replicación de datos
Google Cloud ofrece servicios de bases de datos y análisis, como Bigtable y Spanner. La mayoría de las aplicaciones y los servicios de Google Cloud acceden a la infraestructura de almacenamiento de Google de forma indirecta con estos servicios en la nube.
La replicación de datos es fundamental para lograr soluciones con baja latencia, alta disponibilidad, escalables y duraderas. Las copias redundantes de los datos del cliente se pueden almacenar a nivel local, regional y también mundial, en función de tu configuración y de las exigencias de los proyectos del cliente. Las acciones que se realizan en los datos en Google Cloud pueden replicarse simultáneamente en varios centros de datos para que los datos del cliente tengan una alta disponibilidad. Cuando se producen cambios que afectan el rendimiento en el hardware, el software o el entorno de red, los datos de los clientes se trasladan automáticamente de un sistema o instalación a otro, según los parámetros de configuración de los clientes. Cambiar de sistema o de instalación permite que los proyectos de los clientes sigan funcionando a escala y sin interrupciones.
En el nivel de almacenamiento físico, los datos del cliente se almacenan en reposo en dos tipos de sistemas: uno de almacenamiento activo y otro de copia de seguridad. Cada tipo de sistema procesa los datos de manera diferente. Los sistemas de almacenamiento activos son servidores de producción deGoogle Cloudque ejecutan las capas de aplicación y almacenamiento de Google. Los sistemas activos son arreglos masivos de discos y unidades que se usan para escribir nuevos datos, así como almacenar y recuperar datos en varias copias replicadas. Los sistemas de almacenamiento activos están optimizados para realizar operaciones de lectura y escritura en vivo en los datos del cliente con rapidez y a escala.
Los sistemas de almacenamiento de copia de seguridad de Google albergan copias incrementales y completas de los sistemas activos de Google durante un período definido a fin de asistir a Google en la recuperación de datos y sistemas en caso de que ocurra una interrupción catastrófica o un desastre. A diferencia de los sistemas activos, los sistemas de copia de seguridad se diseñaron para recibir instantáneas periódicas de los sistemas de Google, por lo que las copias de seguridad se retiran después de un período limitado a medida que se crean nuevas copias de seguridad.
En los sistemas de almacenamiento, los datos del cliente se encriptan cuando se guardan en reposo. Para obtener más información, consulta Encriptación en reposo predeterminada.
Canalización de eliminación de datos
Una vez que los datos del cliente se almacenan en Google Cloud, nuestros sistemas están diseñados para almacenarlos de forma segura hasta que la canalización de eliminación de datos complete sus etapas. En esta sección, se describen las etapas de eliminación.
Etapa 1: Solicitud de eliminación
La eliminación de los datos de los clientes comienza cuando se inicia una solicitud de eliminación. Por lo general, esta solicitud se dirige a un recurso específico, un proyecto deGoogle Cloud o a tu Cuenta de Google. Las solicitudes de eliminación se pueden manejar de diferentes maneras según el alcance de la solicitud:
Borrado de recursos: Los recursos individuales que contienen datos del cliente, como los buckets de Cloud Storage, se pueden borrar de varias maneras desde la consola deGoogle Cloud o con una API. Para obtener más información, consulta Borra buckets.
En el caso de las cargas de trabajo de IA y de agentes, borrar un recurso puede requerir borrar recursos secundarios o artefactos derivados. Por ejemplo, el proceso de eliminación también podría borrar las sesiones del agente, las memorias en el banco de memoria y el historial de conversaciones de origen.
Borrado de proyectos: Como propietario de un proyecto de Google Cloud , puedes cerrarlo. Borrar un proyecto actúa como una solicitud de eliminación masiva de todos los recursos asociados al número de proyecto correspondiente.
Eliminación de Cuentas de Google: Cuando borras tu Cuenta de Google, se borran todos los proyectos que no están asociados con una organización y que son de tu propiedad exclusiva. Cuando hay varios propietarios de un proyecto que no pertenece a una organización, el proyecto no se borra hasta que se quitan todos los propietarios del proyecto o borran sus Cuentas de Google. Este proceso garantiza que los proyectos continúen mientras tengan un propietario.
Borrado de cuentas de Google Workspace o Cloud Identity: Las organizaciones vinculadas a una cuenta de Google Workspace o Cloud Identity se borran cuando borras una cuenta de Google Workspace o Cloud Identity. Para obtener más información, consulta Borra la Cuenta de Google de tu organización.
Borrado de la cuenta de servicio y la identidad del agente: Puedes borrar cuentas de servicio directamente a través de Identity and Access Management (IAM). Sin embargo, la identidad del agente está vinculada al ciclo de vida de su recurso de agente de hosting y se borra cuando borras el agente subyacente.
Las solicitudes de eliminación se usan principalmente para administrar tus datos. Sin embargo, Google puede emitir solicitudes de eliminación automáticamente, por ejemplo, cuando finalizas tu relación con Google.
Etapa 2: Eliminación no definitiva
La eliminación no definitiva proporciona una breve etapa de pruebas y de recuperación interna para garantizar que haya tiempo de recuperar cualquier dato que se haya marcado para su eliminación por accidente o error. Los productos individuales de Google Cloud pueden adoptar y configurar este período de recuperación definido antes de que se borren los datos de los sistemas de almacenamiento subyacentes, siempre y cuando el período se ajuste al cronograma general de eliminación de Google. Por ejemplo, las cuentas de servicio borradas entran en un período de recuperación de 30 días durante el cual se inhabilitan, pero se pueden restablecer.
Cuando se borran proyectos, Google Cloud primero identifica el número de proyecto único y, luego, transmite una señal de suspensión a los productos de Google Cloud que están vinculados a ese número de proyecto. El proyecto ingresa en un período de recuperación de hasta 30 días. Durante este período, la mayoría de los servicios suspenden las operaciones y conservan los recursos vinculados a ese número de proyecto. Por ejemplo, Compute Engine suspende las instancias y Bigtable inhabilita el acceso a las tablas pertinentes. Algunos servicios, como Cloud Storage y Pub/Sub, podrían comenzar a borrar recursos antes.
Al final del período de recuperación, Google Cloud transmite una señal de eliminación definitiva a los productos correspondientes para completar la eliminación lógica de los recursos restantes vinculados al número de proyecto. Luego, Google espera y vuelve a transmitir la señal cuando es necesario para obtener una señal de confirmación (ACK) de cada producto y completar la eliminación del proyecto.
Cuando se cierra una Cuenta de Google, es posible que Google imponga un período de recuperación interno de hasta 30 días en función de la actividad de la cuenta anterior. Después de que venza ese período de recuperación, Google transmite una señal que contiene el ID de usuario de la Cuenta de Google borrada a los productos de Google, y los proyectos y recursos de Google Cloud vinculados únicamente a ese ID de usuario se marcan para su eliminación.
Etapa 3: Eliminación lógica en los sistemas activos
Una vez que los datos se marcan para su eliminación y cualquier período de recuperación haya expirado, los datos se borran sucesivamente de los sistemas de almacenamiento activos y de copia de seguridad de Google. En los sistemas activos, los datos se borran de dos maneras.
En la mayoría de los productos de Google Cloud que almacenan datos, las copias de los datos borrados se marcan como almacenamiento disponible y se reemplazan con el tiempo. En un sistema de almacenamiento activo, como Bigtable, los datos borrados se almacenan como entradas en una tabla estructurada masiva. Compactar las tablas existentes para reemplazar los datos borrados puede ser costoso, ya que implica reescribir las tablas de datos existentes (no borrados). Por lo tanto, la recolección de elementos no utilizados mediante marcado y barrido, y los eventos de compactación principales se programan en intervalos regulares para recuperar espacio de almacenamiento y reemplazar los datos borrados.
En servicios como Cloud Storage, los datos de los clientes también se borran con el borrado criptográfico. Esta es una técnica estándar de la industria que convierte a los datos en ilegibles mediante el borrado de las claves de encriptación necesarias para desencriptar esos datos. Una de las ventajas de usar el borrado criptográfico, sin importar si se trata de claves de encriptación proporcionadas por Google o claves de encriptación proporcionadas por el cliente, es que la eliminación lógica se puede completar incluso antes de que todos los bloques eliminados de esos datos se reemplacen en los sistemas de almacenamiento activos y de copia de seguridad de Google Cloud.
Etapa 4: Expiración en los sistemas de copia de seguridad
De manera similar a la eliminación de los sistemas activos de Google, los datos eliminados se borran de los sistemas de copia de seguridad mediante técnicas de reemplazo y criptografía. Sin embargo, en el caso de los sistemas de copia de seguridad, los datos del cliente suelen almacenarse en instantáneas agregadas grandes de sistemas activos. Estos sistemas se conservan durante períodos estáticos para garantizar la continuidad empresarial en caso de un desastre (por ejemplo, una interrupción que afecte a todo un centro de datos). De acuerdo con las prácticas razonables de continuidad del negocio, las instantáneas incrementales y completas de los sistemas activos se realizan en ciclos diarios, semanales y mensuales, y se retiran después de un plazo predefinido para dejar espacio para las instantáneas más nuevas.
Cuando se retira una copia de seguridad, se marca como espacio disponible y se reemplaza cuando se realizan nuevas copias de seguridad diarias/semanales/mensuales.
Un ciclo de copia de seguridad razonable impone un retraso predefinido en la propagación de una solicitud de eliminación de datos a través de los sistemas de copia de seguridad. Cuando los datos del cliente se borran de los sistemas activos, ya no se copian en los sistemas de copia de seguridad. Las copias de seguridad que se realizaron antes de la eliminación caducan con regularidad según el ciclo de copia de seguridad predefinido.
Por último, es posible que se produzca el borrado criptográfico de los datos borrados antes de que venza la copia de seguridad que contiene los datos del cliente. Sin la clave de encriptación que se usó para encriptar datos específicos del cliente, los datos del cliente son irrecuperables, incluso durante el resto de su vida útil en los sistemas de copia de seguridad de Google.
Cronograma de eliminación
Google Cloud se diseñó para lograr un alto grado de velocidad, disponibilidad, durabilidad y coherencia. El diseño de los sistemas optimizados para estos atributos de rendimiento debe equilibrarse cuidadosamente con la necesidad de lograr la eliminación oportuna de los datos. Google Cloud se compromete a borrar los datos del cliente en un plazo máximo de unos seis meses (180 días). Este compromiso incorpora las etapas de la canalización de eliminación de Google descrita anteriormente, que incluyen las siguientes:
- Etapa 2: Una vez que se realiza la solicitud de eliminación, los datos suelen marcarse para su eliminación inmediata. Nuestro objetivo es realizar este paso en un período máximo de 24 horas. Después de marcar los datos para su eliminación, se puede aplicar un período de recuperación interno de hasta 30 días, según el servicio o la solicitud de eliminación.
- Etapa 3: La eliminación lógica de los sistemas activos requiere tiempo para completar las tareas de recolección de elementos no utilizados. Estos procesos pueden ocurrir inmediatamente después de que se reciba la solicitud de eliminación, dependiendo del nivel de replicación de los datos y la duración de los ciclos de recolección de elementos no utilizados en curso. Después de que se realiza la solicitud de eliminación, por lo general, se tarda alrededor de dos meses en borrar los datos de los sistemas activos. Este período de dos meses suele ser suficiente para tener en cuenta cualquier período de recuperación, completar dos ciclos de recolección de elementos no utilizados importantes y garantizar que se complete la eliminación lógica.
- Etapa 4: El ciclo de copia de seguridad de Google se diseñó para que caduquen los datos borrados en las copias de seguridad del centro de datos en un plazo de seis meses luego de la solicitud de eliminación. La eliminación puede ocurrir antes, según el nivel de replicación de datos y la duración de los ciclos de copia de seguridad en curso de Google.
En el siguiente diagrama, se muestran las etapas de la canalización de eliminación de Google Cloud y cuándo se borran los datos de los sistemas activos y de copia de seguridad.
Saneamiento de medios
Un programa disciplinado de saneamiento de medios mejora la seguridad del proceso de eliminación, ya que evita ataques forenses o de laboratorio en los medios de almacenamiento físico después de que hayan llegado al final de su ciclo de vida.
Google rastrea de forma meticulosa la ubicación y el estado de todos los equipos de almacenamiento dentro de nuestros centros de datos a través de la adquisición, la instalación, el retiro y la destrucción mediante códigos de barras y etiquetas de activos que se rastrean en la base de datos de activos de Google. A fin de evitar que los equipos salgan del piso del centro de datos sin autorización, se usan diversas técnicas, como la identificación biométrica, la detección de metales, las cámaras, las barreras para vehículos y los sistemas de detección de intrusiones con láser. Para obtener más información, consulta la descripción general del diseño de seguridad de la infraestructura de Google.
Los medios de almacenamiento físico se pueden dar de baja por varias razones. Si un componente no pasa una prueba de cumplimiento en cualquier momento de su ciclo de vida, se quita del inventario y se da de baja. Google también actualiza el hardware obsoleto para mejorar la velocidad de procesamiento y la eficiencia energética, o para aumentar la capacidad de almacenamiento. Ya sea que el hardware se retire debido a una falla, actualización o cualquier otra razón, los medios de almacenamiento se dan de baja usando las medidas de protección apropiadas.
Los discos duros de Google usan tecnologías como la encriptación de disco completo (FDE) y el bloqueo de la unidad para proteger los datos en reposo durante el retiro. Cuando se retira un disco duro, las personas autorizadas verifican que el disco se haya borrado reemplazando la unidad con ceros y realizando un proceso de verificación de varios pasos para garantizar que la unidad no contenga datos.
Si los medios de almacenamiento no pueden borrarse por algún motivo, se almacenarán de forma segura hasta que puedan destruirse físicamente. Dependiendo del equipo disponible, aplastamos y deformamos la unidad o la trituramos. En cualquier caso, el disco se recicla en una instalación segura, lo que garantiza que nadie podrá leer los datos de los discos retirados de Google. Cada centro de datos cumple con una política estricta de eliminación y usa las técnicas descritas para cumplir con la Revisión 2 de NIST SP 800-88 Lineamientos para la limpieza de medios y DoD 5220.22-M Manual de operación del Programa Nacional de Seguridad Industrial.