Ce contenu a été mis à jour pour la dernière fois en octobre 2026, et correspond à l'état des connaissances à sa date de rédaction. Les règles et les systèmes de sécurité Google peuvent changer par la suite, car nous améliorons continuellement la protection de nos clients.
Ce document présente le processus sécurisé de suppression des données client sur Google Cloud. Comme défini dans les Conditions d'utilisation deGoogle Cloud , les données client sont des données fournies par les clients ou les utilisateurs finaux à Google via les services dans le cadre de leur compte.
Ce document décrit comment les données client sont stockées au repos dansGoogle Cloud, le pipeline de suppression et comment nous empêchons toute reconstruction des données stockées sur notre plate-forme. Ce document ne s'applique pas aux données traitées de manière éphémère en mémoire (comme les charges de travail d'IA générative configurées pour une conservation des données nulle).
Pour en savoir plus sur nos engagements concernant la suppression des données, consultez l'Avenant relatif au traitement des données dans le cloud (Clients).
Stockage et réplication des données
Google Cloud propose des services de base de données et d'analyse tels que Bigtable et Spanner. La plupart des applications et services Google Cloud accèdent indirectement à l'infrastructure de stockage de Google à l'aide de ces services cloud.
La réplication des données est essentielle pour obtenir des solutions à faible latence, disponibilité élevée, évolutives et durables. Les copies redondantes des données client peuvent être stockées localement, régionalement et même mondialement, en fonction de votre configuration et des exigences de vos projets. Les actions sur les données dans Google Cloud peuvent être répliquées simultanément dans plusieurs centres de données, ce qui permet aux données client de rester disponibilité élevée. Lorsque des modifications ayant un impact sur les performances se produisent dans l'environnement matériel, logiciel ou réseau, les données client sont automatiquement transférées d'un système ou d'un site à un autre, en fonction des paramètres de configuration des clients. Le déplacement des systèmes ou des installations permet aux projets des clients de continuer à fonctionner à grande échelle et sans interruption.
Au niveau du stockage physique, les données client sont stockées au repos dans deux types de systèmes : les systèmes de stockage actifs et les systèmes de stockage de sauvegarde. Ces deux types de systèmes traitent les données différemment. Les systèmes de stockage actifs sont les serveurs de production deGoogle Cloudqui exécutent les couches d'application et de stockage de Google. Ils se composent de vastes baies de disques qui servent à écrire de nouvelles données, ainsi qu'à stocker et à récupérer des données dans plusieurs copies répliquées. Les systèmes de stockage actifs sont optimisés pour effectuer des opérations de lecture et d'écriture en direct sur les données client, le tout rapidement et à grande échelle.
Les systèmes de stockage de sauvegarde de Google conservent des copies complètes et incrémentielles des systèmes actifs de Google pendant une période définie. Google est ainsi en mesure de récupérer des données et des systèmes en cas d'interruption ou de sinistre. Contrairement aux systèmes actifs, les systèmes de sauvegarde sont conçus pour recevoir des instantanés périodiques des systèmes Google. En outre, les copies de sauvegarde sont éliminées après une certaine période à mesure que de nouvelles sauvegardes sont effectuées.
Dans les systèmes de stockage, les données client sont chiffrées lorsqu'elles sont stockées au repos. Pour en savoir plus, consultez Chiffrement au repos par défaut.
Pipeline de suppression des données
Une fois que des données client sont stockées dans Google Cloud, nos systèmes sont conçus pour les conserver de manière sécurisée jusqu'à ce que toutes les étapes du pipeline de suppression des données soient terminées. Cette section décrit les étapes de suppression.
Étape 1 – Demande de suppression
La suppression des données client commence lorsque vous envoyez une demande de suppression. En règle générale, les demandes de suppression sont dirigées vers une ressource spécifique, un projetGoogle Cloud ou votre compte Google. Elles peuvent être traitées de différentes manières selon leur champ d'application :
Suppression de ressources : les ressources individuelles contenant des données client, telles que les buckets Cloud Storage, peuvent être supprimées de différentes manières à partir de la consoleGoogle Cloud ou à l'aide d'une API. Pour en savoir plus, consultez Supprimer des buckets.
Pour les charges de travail d'IA et agentiques, la suppression d'une ressource peut nécessiter la suppression des ressources enfants ou des artefacts dérivés. Par exemple, le processus de suppression peut également supprimer les sessions de l'agent, les souvenirs dans la banque de mémoire et l'historique des conversations sources.
Suppression de projet : en tant que Google Cloud propriétaire du projet, vous pouvez arrêter un projet. La suppression d'un projet fonctionne comme une demande de suppression groupée de toutes les ressources liées au numéro de projet correspondant.
Suppression d'un compte Google : lorsque vous supprimez votre compte Google, tous les projets qui ne sont pas associés à une organisation et qui vous appartiennent uniquement sont supprimés. Si un projet n'appartenant pas à une organisation est associé à plusieurs propriétaires, il n'est pas supprimé tant que tous les propriétaires n'en sont pas supprimés ou ne suppriment pas leur compte Google. Ce processus garantit que les projets se poursuivent tant qu'ils ont un propriétaire.
Suppression d'un compte Google Workspace ou Cloud Identity : les organisations liées à un compte Google Workspace ou Cloud Identity sont supprimées lorsque vous supprimez un compte Google Workspace ou Cloud Identity. Pour en savoir plus, consultez Supprimer le compte Google de votre organisation.
Suppression du compte de service et de l'identité de l'agent : vous pouvez supprimer des comptes de service directement via Identity and Access Management (IAM). Toutefois, une identité d'agent est liée au cycle de vie de sa ressource d'agent d'hébergement et est supprimée lorsque vous supprimez l'agent sous-jacent.
Vous utilisez les demandes de suppression principalement pour gérer vos données. Toutefois, Google peut émettre des demandes de suppression automatiquement, par exemple lorsque vous mettez fin à votre relation avec Google.
Étape 2 – Suppression réversible
La suppression réversible vous offre une brève période interne de préparation et de récupération. Elle vous permet de récupérer des données que vous avez accidentellement marquées pour suppression. Les produits Google Cloudindividuels peuvent adopter et configurer une telle période de récupération définie avant que les données ne soient supprimées des systèmes de stockage sous-jacents, à condition que cette période s'inscrive dans le calendrier de suppression global de Google. Par exemple, les comptes de service supprimés entrent dans une période de récupération de 30 jours pendant laquelle ils sont désactivés, mais peuvent être restaurés.
Lorsque des projets sont supprimés,Google Cloud identifie d'abord le numéro de projet unique, puis diffuse un signal de suspension aux produits Google Cloud associés à ce numéro de projet. Le projet entre dans une période de récupération pouvant aller jusqu'à 30 jours. Pendant cette période, la plupart des services suspendent leurs opérations et conservent les ressources liées à ce numéro de projet. Par exemple, Compute Engine suspend les instances et Bigtable désactive l'accès aux tables concernées. Certains services, tels que Cloud Storage et Pub/Sub, peuvent commencer à supprimer des ressources plus tôt.
À la fin de la période de récupération,Google Cloud envoie un signal de suppression aux produits concernés pour terminer la suppression logique des ressources restantes liées au numéro de projet. Google attend ensuite (et, si nécessaire, rediffuse le signal initial) de recevoir un signal de confirmation de la part de chaque produit pour terminer la suppression du projet.
Lorsqu'un compte Google est clôturé, Google peut imposer une période de récupération interne de 30 jours maximum, en fonction des activités passées du compte. Une fois ce délai écoulé, Google envoie un signal contenant l'ID utilisateur du compte Google supprimé aux produits Google, et les projets Google Cloud et ressources qui ne sont associés qu'à cet ID utilisateur sont marqués pour suppression.
Étape 3 – Suppression logique des données des systèmes actifs
Une fois des données marquées pour suppression et l'éventuelle période de récupération écoulée, les données sont supprimées successivement des systèmes de stockage actifs et de sauvegarde de Google. Dans les systèmes actifs, les données sont supprimées de deux manières.
Dans la plupart des produits Google Cloud qui stockent des données, les copies des données supprimées sont marquées comme espace de stockage disponible et écrasées au fil du temps. Dans un système de stockage actif (tel que Cloud Bigtable), les données supprimées sont stockées sous forme d'entrées dans une vaste table structurée. Compacter des tables existantes afin d'écraser des données supprimées peut s'avérer coûteux, car cela implique la réécriture de tables de données existantes (non supprimées). Par conséquent, des opérations de récupération de mémoire par marquage et libération, et des événements majeurs de compactage sont planifiés à intervalles réguliers, ce qui permet de regagner de l'espace de stockage et d'écraser les données supprimées.
Dans des services tels que Cloud Storage, les données client sont également supprimées par le biais de l'effacement cryptographique. Il s'agit d'une technique classique qui rend des données illisibles en supprimant les clés de chiffrement nécessaires à leur déchiffrement. Qu'il s'applique à des clés de chiffrement fournies par Google ou par le client, l'effacement cryptographique présente l'avantage de permettre la suppression logique avant même que tous les blocs supprimés au sein des données n'aient été écrasés dans les systèmes de stockage actifs et de sauvegarde de Google Cloud.
Étape 4 – Expiration des systèmes de sauvegarde
Tout comme pour les systèmes actifs de Google, la suppression des données des systèmes de sauvegarde s'effectue à l'aide de techniques d'écrasement et de chiffrement. Toutefois, dans le cas des systèmes de sauvegarde, les données client sont généralement stockées dans de grands instantanés agrégés des systèmes actifs. Ces systèmes sont conservés pendant des périodes statiques afin d'assurer la continuité de l'activité en cas de sinistre (par exemple, une panne affectant l'ensemble d'un centre de données). Conformément aux pratiques raisonnables de continuité des activités, des instantanés complets et incrémentiels des systèmes actifs sont enregistrés à intervalles quotidiens, hebdomadaires ou mensuels et sont éliminés après une période prédéfinie afin de libérer de la place pour des instantanés plus récents.
Lorsqu'une sauvegarde est éliminée, elle est marquée en tant qu'espace disponible et écrasée par de nouvelles sauvegardes quotidiennes, hebdomadaires ou mensuelles.
Un cycle de sauvegarde raisonnable impose un délai prédéfini lors de la propagation d'une demande de suppression de données via des systèmes de sauvegarde. Lorsque des données client sont supprimées des systèmes actifs, elles ne sont plus copiées dans les systèmes de sauvegarde. Les sauvegardes effectuées avant la suppression expirent régulièrement en fonction du cycle de sauvegarde prédéfini.
Enfin, l'effacement cryptographique des données supprimées peut se produire avant l'expiration de la sauvegarde contenant les données client. Sans la clé de chiffrement utilisée pour chiffrer des données client spécifiques, celles-ci sont irrécupérables, même pendant leur durée de vie restante sur les systèmes de sauvegarde de Google.
Calendrier de suppression
Google Cloud est conçu pour offrir de hautes performances en termes de vitesse, de disponibilité, de durabilité et de cohérence. Il est important que les systèmes optimisés pour ces attributs puissent également permettre une suppression rapide des données. Google Cloud s'engage à supprimer les données client dans un délai maximum de six mois (180 jours). Cet engagement s'applique aux étapes du pipeline de suppression de Google décrit ci-dessus, y compris les étapes suivantes :
- Étape 2 : une fois la demande de suppression effectuée, les données sont généralement immédiatement marquées pour suppression. Notre objectif est d'effectuer cette étape dans un délai maximal de 24 heures. Une fois les données marquées pour suppression, une période de récupération interne de 30 jours maximum peut être appliquée en fonction du service ou de la demande de suppression.
- Étape 3 : la suppression logique des données des systèmes actifs nécessite du temps pour effectuer les tâches de récupération de mémoire. Ces processus peuvent se produire immédiatement après la réception de la demande de suppression, selon le niveau de réplication des données et la fréquence des cycles de récupération de mémoire en cours. Une fois la demande de suppression effectuée, il faut généralement environ deux mois pour supprimer les données des systèmes actifs. Cette période de deux mois est généralement suffisante pour tenir compte de toute période de récupération, effectuer deux cycles de récupération de mémoire majeurs et s'assurer que la suppression logique est terminée.
- Étape 4 : le cycle de sauvegarde de Google est conçu pour que les données supprimées des sauvegardes du centre de données expirent dans les six mois suivant la demande de suppression. La suppression peut survenir plus tôt en fonction du niveau de réplication des données et de la fréquence des cycles de sauvegarde en cours de Google.
Le schéma suivant illustre les étapes du pipeline de suppression de Google Cloudet le moment où les données sont effacées des systèmes actifs et de sauvegarde.
Nettoyage des supports
Un programme rigoureux de nettoyage des supports améliore la sécurité du processus de suppression en empêchant les attaques d'analyse ou de laboratoire sur les supports de stockage physiques une fois qu'ils ont atteint la fin de leur cycle de vie.
Google surveille méticuleusement la position et l'état de tous les équipements de stockage de ses centres de données lors des processus d'acquisition, d'installation, de retrait et de destruction. Nous utilisons pour cela des codes-barres et des identifiants d'appareils que nous suivons dans notre base de données. Nous mettons également en œuvre différentes technologies telles que l'identification biométrique, la détection de métaux, les caméras, les barrières de sécurité pour véhicules et les systèmes de détection des intrusions à laser pour empêcher toute sortie non autorisée du matériel des centres de données. Pour en savoir plus, consultez la présentation de la sécurité sur l'infrastructure Google.
Les supports de stockage physiques peuvent être mis hors service pour diverses raisons. Lorsqu'un composant rate un test de performance au cours de son cycle de vie, il est retiré de l'inventaire et mis hors service. Google met également à niveau le matériel obsolète afin d'améliorer la vitesse de traitement et les économies d'énergie, ou d'augmenter la capacité de stockage. Que la mise hors service d'un support de stockage ait lieu en raison d'une panne, d'une mise à niveau ou pour un autre motif, des mesures de sécurité appropriées sont adoptées.
Les disques durs de Google utilisent des technologies telles que le chiffrement de disque (FDE, Full Disk Encryption) et le verrouillage de disque pour protéger les données au repos pendant la mise hors service. Lors du retrait d'un disque dur, les personnes autorisées vérifient que le disque est bien effacé en remplaçant ses données par des zéros et en effectuant un processus de vérification en plusieurs étapes pour garantir que le disque ne contient aucune donnée.
Si le support de stockage ne peut pas être effacé pour une raison quelconque, il est stocké en toute sécurité jusqu'à ce qu'il puisse être détruit physiquement. Selon l'équipement disponible, nous écrasons et déformons le disque dur ou le déchiquetons. Dans les deux cas, le disque est recyclé dans une installation sécurisée pour que personne ne puisse accéder aux données des disques Google mis hors service. Chaque centre de données respecte une politique de destruction très stricte et met en œuvre les techniques décrites ci-dessus pour assurer la conformité avec la norme NIST SP 800-88 Révision 2 Guidelines for Media Sanitization (Consignes concernant la destruction des supports) et la réglementation DoD 5220.22-M NISPOM (National Industrial Security Program Operating Manual).