Konten ini terakhir diperbarui pada Oktober 2026, dan menampilkan kondisi pada saat konten tersebut ditulis. Kebijakan dan sistem keamanan Google dapat berubah di masa mendatang, seiring upaya kami untuk terus meningkatkan perlindungan bagi pelanggan.
Dokumen ini memberikan ringkasan tentang proses aman yang terjadi saat Anda menghapus data pelanggan di Google Cloud. Seperti yang dijelaskan dalam Google Cloud Persyaratan Layanan, data pelanggan adalah data yang diberikan kepada Google oleh pelanggan atau pengguna akhir melalui layanan yang terkait dengan akun pelanggan.
Dokumen ini menjelaskan cara data pelanggan disimpan dalam penyimpanan di Google Cloud, pipeline penghapusan, dan cara kami mencegah rekonstruksi data yang disimpan di platform kami. Dokumen ini tidak berlaku untuk data yang diproses secara sementara di memori (seperti workload AI generatif yang dikonfigurasi untuk retensi data nol).
Untuk mengetahui informasi tentang komitmen penghapusan data kami, lihat Adendum Pemrosesan Data Cloud (Pelanggan).
Penyimpanan dan replikasi data
Google Cloud menawarkan layanan database dan analisis seperti Bigtable dan Spanner. Sebagian besar aplikasi dan layanan Google Cloud mengakses infrastruktur penyimpanan Google secara tidak langsung menggunakan layanan cloud ini.
Replikasi data sangat penting untuk mencapai solusi yang berlatensi rendah, dengan tingkat ketersediaan tinggi, skalabel, dan tahan lama. Salinan redundan data pelanggan dapat disimpan secara lokal dan regional, bahkan secara global, bergantung pada konfigurasi dan permintaan project Anda. Tindakan yang dilakukan pada data di Google Cloud mungkin direplikasi secara bersamaan di beberapa pusat data, sehingga data pelanggan memiliki ketersediaan tinggi. Jika terjadi perubahan yang memengaruhi performa di lingkungan hardware, software, atau jaringan, data pelanggan akan otomatis dialihkan dari satu sistem atau fasilitas ke sistem atau fasilitas lainnya, sesuai dengan setelan konfigurasi pelanggan. Mengalihkan sistem atau fasilitas memungkinkan project pelanggan terus berjalan dalam skala besar dan tanpa gangguan.
Pada tingkat penyimpanan fisik, data pelanggan disimpan dalam penyimpanan saat tidak digunakan di dua jenis sistem: sistem penyimpanan aktif dan sistem penyimpanan cadangan. Kedua jenis sistem ini memproses data secara berbeda. Sistem penyimpanan aktif adalah server produksiGoogle Cloudyang menjalankan lapisan aplikasi dan penyimpanan Google. Sistem aktif adalah array disk dan drive massal yang digunakan untuk menulis data baru serta menyimpan dan mengambil data dalam beberapa salinan yang direplikasi. Sistem penyimpanan aktif dioptimalkan untuk melakukan operasi baca dan tulis langsung pada data pelanggan dengan kecepatan dan skala yang tinggi.
Sistem penyimpanan cadangan Google menyimpan salinan lengkap dan inkremental dari sistem aktif Google selama jangka waktu yang ditentukan untuk membantu Google memulihkan data dan sistem jika terjadi pemadaman layanan atau bencana yang fatal. Tidak seperti sistem aktif, sistem cadangan dirancang untuk menerima snapshot berkala dari sistem Google dan salinan cadangan akan dihentikan setelah jangka waktu terbatas seiring dibuatnya salinan cadangan baru.
Di seluruh sistem penyimpanan, data pelanggan dienkripsi saat disimpan dalam penyimpanan. Untuk mengetahui informasi selengkapnya, lihat Enkripsi dalam penyimpanan default.
Pipeline penghapusan data
Setelah data pelanggan disimpan di Google Cloud, sistem kami dirancang untuk menyimpan data dengan aman hingga pipeline penghapusan data menyelesaikan tahapannya. Bagian ini menjelaskan tahap penghapusan.
Tahap 1: Permintaan penghapusan
Penghapusan data pelanggan dimulai saat Anda menginisiasi permintaan penghapusan. Umumnya, permintaan penghapusan ditujukan ke resource tertentu, Google Cloud project, atau Akun Google Anda. Permintaan penghapusan mungkin ditangani dengan berbagai cara, tergantung cakupan permintaan Anda:
Penghapusan resource: Resource individual yang berisi data pelanggan, seperti bucket Cloud Storage, dapat dihapus dengan sejumlah cara dari konsolGoogle Cloud atau menggunakan API. Untuk mengetahui informasi selengkapnya, lihat Menghapus bucket.
Untuk workload AI dan agentic, penghapusan resource mungkin memerlukan penghapusan resource turunan atau artefak turunan. Misalnya, proses penghapusan juga dapat menghapus sesi agen, memori di Bank Memori, dan histori percakapan sumber.
Penghapusan project: Sebagai pemilik project Google Cloud , Anda dapat menonaktifkan project. Menghapus project berfungsi sebagai permintaan penghapusan massal untuk semua resource yang terkait dengan nomor project yang sesuai.
Penghapusan Akun Google: Saat Anda menghapus Akun Google Anda, semua project yang tidak terkait dengan organisasi dan yang dimiliki sepenuhnya oleh Anda akan dihapus. Jika ada beberapa pemilik untuk project non-organisasi, project tidak akan dihapus hingga semua pemilik dihapus dari project atau menghapus Akun Google mereka. Proses ini memastikan bahwa project terus berjalan selama memiliki pemilik.
Penghapusan akun Google Workspace atau Cloud Identity: Organisasi yang terikat ke akun Google Workspace atau Cloud Identity akan dihapus saat Anda menghapus akun Google Workspace atau Cloud Identity. Untuk mengetahui informasi selengkapnya, lihat Menghapus Akun Google organisasi Anda.
Penghapusan akun layanan dan identitas agen: Anda dapat menghapus akun layanan secara langsung melalui Identity and Access Management (IAM). Namun, identitas agen terikat dengan siklus proses resource agen hosting-nya dan akan dihapus saat Anda menghapus agen yang mendasarinya.
Anda menggunakan permintaan penghapusan terutama untuk mengelola data Anda. Namun, Google dapat mengeluarkan permintaan penghapusan secara otomatis; misalnya saat Anda mengakhiri hubungan Anda dengan Google.
Tahap 2: Penghapusan sementara
Penghapusan sementara menyediakan periode staging dan pemulihan internal yang singkat untuk membantu memastikan bahwa ada waktu untuk memulihkan data yang telah ditandai untuk dihapus secara tidak sengaja atau karena error. Setiap produk Google Cloud dapat mengadopsi dan mengonfigurasi periode pemulihan yang ditentukan tersebut sebelum data dihapus dari sistem penyimpanan yang mendasarinya, selama periode tersebut sesuai dengan keseluruhan rentang waktu penghapusan Google. Misalnya, akun layanan yang dihapus akan memasuki periode pemulihan 30 hari, yang selama periode tersebut akun layanan dinonaktifkan, tetapi dapat dipulihkan.
Saat project dihapus, Google Cloud akan mengidentifikasi nomor project unik terlebih dahulu, lalu menyiarkan sinyal penangguhan ke produk Google Cloud yang terikat dengan nomor project tersebut. Project memasuki periode pemulihan hingga 30 hari. Selama periode ini, sebagian besar layanan akan menangguhkan operasi dan mempertahankan resource yang terkait dengan nomor project tersebut. Misalnya, Compute Engine menangguhkan instance dan Bigtable menonaktifkan akses ke tabel yang relevan. Beberapa layanan, seperti Cloud Storage dan Pub/Sub, mungkin mulai menghapus resource lebih cepat.
Pada akhir periode pemulihan, Google Cloud akan menyiarkan sinyal penghapusan permanen ke produk yang berlaku untuk menyelesaikan penghapusan logis resource yang tersisa yang terkait dengan nomor project. Google kemudian menunggu, menyiarkan ulang sinyal jika diperlukan, untuk mengumpulkan sinyal konfirmasi (ACK) dari setiap produk guna menyelesaikan penghapusan project.
Saat Akun Google ditutup, Google mungkin memberlakukan periode pemulihan internal hingga 30 hari, bergantung pada aktivitas akun sebelumnya. Setelah periode pemulihan tersebut berakhir, Google akan menyiarkan sinyal yang berisi ID pengguna Akun Google yang dihapus ke produk Google, dan project serta resource Google Cloud yang hanya terkait dengan ID pengguna tersebut akan ditandai untuk dihapus.
Tahap 3: Penghapusan logis dari sistem aktif
Setelah data ditandai untuk dihapus dan periode pemulihan telah berakhir, data akan dihapus secara berturut-turut dari sistem penyimpanan aktif dan cadangan Google. Pada sistem yang aktif, data dihapus dengan dua cara.
Di sebagian besar produk Google Cloud yang menyimpan data, salinan data yang dihapus ditandai sebagai penyimpanan yang tersedia dan ditimpa seiring waktu. Dalam sistem penyimpanan aktif seperti Bigtable, data yang dihapus disimpan sebagai entri dalam tabel terstruktur yang sangat besar. Memadatkan tabel yang ada untuk menimpa data yang dihapus bisa jadi mahal, karena memerlukan penulisan ulang tabel data yang ada (tidak dihapus). Oleh karena itu, pembersihan sampah memori mark-and-sweep dan peristiwa pemadatan utama dijadwalkan untuk terjadi secara berkala guna mengklaim kembali ruang penyimpanan dan menimpa data yang dihapus.
Dalam layanan seperti Cloud Storage, data pelanggan juga dihapus melalui penghapusan kriptografis. Ini adalah teknik standar industri yang membuat data tidak dapat dibaca dengan menghapus kunci enkripsi yang diperlukan untuk mendekripsi data tersebut. Salah satu keuntungan menggunakan penghapusan kriptografis, baik yang melibatkan kunci enkripsi yang disediakan Google maupun yang disediakan pelanggan, adalah penghapusan logis dapat diselesaikan bahkan sebelum semua blok data yang dihapus ditimpa di sistem penyimpanan aktif dan cadangan Google Cloud.
Tahap 4: Masa berlaku dari sistem cadangan
Serupa dengan penghapusan dari sistem aktif Google, data yang dihapus akan dihilangkan dari sistem cadangan menggunakan teknik penimpaan dan kriptografi. Namun, dalam kasus sistem pencadangan, data pelanggan biasanya disimpan dalam snapshot gabungan besar dari sistem aktif. Sistem ini dipertahankan selama jangka waktu statis untuk memastikan kelangsungan bisnis jika terjadi bencana (misalnya, pemadaman layanan yang memengaruhi seluruh pusat data). Sesuai dengan praktik kelangsungan bisnis yang wajar, snapshot penuh dan snapshot inkremental dari sistem aktif dibuat dalam siklus harian, mingguan, dan bulanan, serta dihentikan setelah jangka waktu yang telah ditentukan untuk memberi ruang bagi snapshot terbaru.
Saat dihentikan, cadangan akan ditandai sebagai ruang yang tersedia dan ditimpa saat pencadangan harian, mingguan, atau bulanan baru dilakukan.
Siklus pencadangan yang wajar menerapkan penundaan yang telah ditentukan dalam menyebarkan permintaan penghapusan data melalui sistem pencadangan. Jika data pelanggan dihapus dari sistem aktif, data tersebut tidak akan disalin lagi ke sistem cadangan. Cadangan yang dilakukan sebelum penghapusan akan berakhir secara rutin berdasarkan siklus pencadangan yang telah ditentukan.
Terakhir, penghapusan kriptografis data yang dihapus mungkin terjadi sebelum cadangan yang berisi data pelanggan habis masa berlakunya. Tanpa kunci enkripsi yang digunakan untuk mengenkripsi data pelanggan tertentu, data pelanggan tidak dapat dipulihkan bahkan selama sisa masa pakainya di sistem cadangan Google.
Linimasa penghapusan
Google Cloud dirancang untuk mencapai tingkat kecepatan, ketersediaan, ketahanan, dan konsistensi yang tinggi. Desain sistem yang dioptimalkan untuk atribut performa ini harus diseimbangkan secara cermat dengan kebutuhan untuk mencapai penghapusan data yang tepat waktu. Google Cloud berkomitmen untuk menghapus data pelanggan dalam jangka waktu maksimum sekitar enam bulan (180 hari). Komitmen ini mencakup tahapan pipeline penghapusan Google yang dijelaskan sebelumnya, termasuk hal berikut:
- Tahap 2: Setelah permintaan penghapusan dibuat, data biasanya langsung ditandai untuk dihapus. Tujuan kami adalah melakukan langkah ini dalam jangka waktu maksimum 24 jam. Setelah data ditandai untuk dihapus, periode pemulihan internal hingga 30 hari mungkin berlaku, bergantung pada layanan atau permintaan penghapusan.
- Tahap 3: Penghapusan logis dari sistem aktif memerlukan waktu untuk menyelesaikan tugas pembersihan sampah memori. Proses ini mungkin terjadi segera setelah permintaan penghapusan diterima, bergantung pada tingkat replikasi data dan waktu siklus pembersihan sampah memori yang sedang berlangsung. Setelah permintaan penghapusan dibuat, biasanya diperlukan waktu sekitar dua bulan untuk menghapus data dari sistem aktif. Periode dua bulan ini biasanya cukup untuk memperhitungkan periode pemulihan, menyelesaikan dua siklus pembersihan sampah memori utama, dan memastikan bahwa penghapusan logis telah selesai.
- Tahap 4: Siklus pencadangan Google dirancang untuk menghapus masa berlaku data yang dihapus dalam cadangan pusat data dalam waktu enam bulan setelah permintaan penghapusan. Penghapusan mungkin terjadi lebih cepat, bergantung pada tingkat replikasi data dan waktu siklus pencadangan Google yang sedang berlangsung.
Diagram berikut menunjukkan tahap-tahap pipeline penghapusan Google Cloud dan kapan data dihapus dari sistem aktif dan cadangan.
Sanitasi media
Program sanitasi media yang disiplin meningkatkan keamanan proses penghapusan dengan mencegah serangan forensik atau laboratorium pada media penyimpanan fisik setelah mencapai akhir siklus prosesnya.
Google melacak secara teliti lokasi dan status semua peralatan penyimpanan dalam pusat data kami, melalui akuisisi, pemasangan, penghentian, dan penghancuran, menggunakan kode batang dan tag aset yang dilacak dalam database aset Google. Berbagai teknik seperti identifikasi biometrik, deteksi logam, kamera, penghalang kendaraan, dan sistem deteksi penyusupan berbasis laser digunakan untuk mencegah peralatan keluar dari lantai pusat data tanpa izin. Untuk informasi selengkapnya, lihat Ringkasan desain keamanan infrastruktur Google.
Media penyimpanan fisik dapat dinonaktifkan karena berbagai alasan. Jika gagal lulus uji performa di titik mana pun selama siklus prosesnya, komponen akan dihapus dari inventaris dan dihentikan. Google juga mengupgrade hardware usang untuk meningkatkan kecepatan pemrosesan dan efisiensi energi, atau meningkatkan kapasitas penyimpanan. Baik hardware dinonaktifkan karena kegagalan, upgrade, atau alasan lainnya, media penyimpanan dinonaktifkan menggunakan upaya pengamanan yang sesuai.
Hard drive Google menggunakan teknologi seperti enkripsi disk penuh (FDE) dan penguncian drive untuk membantu melindungi data dalam penyimpanan selama penghentian penggunaan. Saat hard drive dihentikan, individu yang berwenang akan memverifikasi bahwa disk telah dihapus dengan menimpa drive dengan angka nol dan melakukan proses verifikasi beberapa langkah untuk memastikan drive tidak berisi data.
Jika media penyimpanan tidak dapat dihapus karena alasan apa pun, media tersebut akan disimpan dengan aman hingga dapat dihancurkan secara fisik. Bergantung pada peralatan yang tersedia, kami akan menghancurkan dan merusak drive atau mencacah drive menjadi potongan-potongan kecil. Dalam kedua kasus tersebut, disk akan didaur ulang di fasilitas yang aman, sehingga tidak ada yang dapat membaca data di disk Google yang sudah tidak digunakan. Setiap pusat data mematuhi kebijakan pembuangan yang ketat dan menggunakan teknik yang dijelaskan untuk mencapai kepatuhan terhadap NIST SP 800-88 Rev. 2 Guidelines for Media Sanitization dan DoD 5220.22-M National Industrial Security Program Operating Manual.