Questi contenuti sono stati aggiornati per l'ultima volta a ottobre 2026 e rappresentano lo status quo al momento della redazione. I criteri e i sistemi di sicurezza di Google potranno variare in futuro, in virtù del costante miglioramento della protezione per i nostri clienti.
Questo documento offre una panoramica del processo sicuro che viene implementato quando elimini i dati dei clienti su Google Cloud. Come definito nei Termini di servizio diGoogle Cloud , i dati dei clienti sono i dati forniti a Google dai clienti o dagli utenti finali tramite i servizi nell'ambito dell'account.
Questo documento descrive come i dati dei clienti vengono archiviati at-rest inGoogle Cloud, la pipeline di eliminazione e come impediamo qualsiasi ricostruzione dei dati archiviati nella nostra piattaforma. Questo documento non si applica ai dati che vengono elaborati temporaneamente in memoria (ad esempio i workload di AI generativa configurati per la conservazione dei dati pari a zero).
Per informazioni sui nostri impegni in materia di eliminazione dei dati, consulta l'Addendum per il trattamento dei dati Cloud (Clienti).
Archiviazione e replica dei dati
Google Cloud offre database e servizi di analisi come Bigtable e Spanner. La maggior parte delle applicazioni e dei servizi Google Cloud accede all'infrastruttura di archiviazione di Google indirettamente utilizzando questi servizi cloud.
La replica dei dati è fondamentale per ottenere soluzioni a bassa latenza, ad alta affidabilità, scalabili e durevoli. Le copie ridondanti dei dati dei clienti possono essere archiviate a livello locale, regionale e persino globale, a seconda della configurazione e delle esigenze dei progetti. Le azioni intraprese sui dati in Google Cloud potrebbero essere replicate contemporaneamente in più data center, in modo che i dati dei clienti siano a elevata affidabilità. Quando si verificano modifiche che influiscono sulle prestazioni nell'ambiente hardware, software o di rete, i dati dei clienti vengono spostati automaticamente da un sistema o da una struttura a un altro, in base alle impostazioni di configurazione dei clienti. Lo spostamento di sistemi o strutture consente ai progetti dei clienti di continuare a funzionare su larga scala e senza interruzioni.
A livello di archiviazione fisica, i dati dei clienti vengono archiviati at-rest in due tipi di sistemi: sistemi di archiviazione attiva e sistemi di archiviazione di backup. Questi due tipi di sistemi elaborano i dati in modo diverso. I sistemi di archiviazione attivi sono i server di produzione diGoogle Cloudche eseguono i livelli di applicazione e archiviazione di Google. I sistemi attivi sono array di massa di dischi e unità utilizzati per scrivere nuovi dati, nonché per archiviare e recuperare dati in più copie replicate. I sistemi di archiviazione attiva sono ottimizzati per eseguire operazioni di lettura e scrittura in tempo reale sui dati dei clienti in modo rapido e su larga scala.
I sistemi di archiviazione di backup di Google archiviano copie complete e incrementali dei sistemi attivi di Google per un periodo di tempo definito per aiutare Google a recuperare dati e sistemi in caso di interruzione o disastro catastrofico. A differenza dei sistemi attivi, i sistemi di backup sono progettati per ricevere snapshot periodici dei sistemi Google; le copie di backup vengono ritirate dopo un periodo di tempo limitato quando vengono create nuove copie di backup.
In tutti i sistemi di archiviazione, i dati dei clienti vengono criptati quando sono archiviati at-rest. Per ulteriori informazioni, consulta Crittografia at-rest predefinita.
Pipeline di eliminazione dei dati
Dopo che i dati dei clienti sono stati archiviati in Google Cloud, i nostri sistemi sono progettati per archiviarli in modo sicuro fino al completamento delle fasi della pipeline di eliminazione dei dati. Questa sezione descrive le fasi di eliminazione.
Fase 1: richiesta di eliminazione
L'eliminazione dei dati dei clienti inizia quando avvii una richiesta di eliminazione. In genere, la richiesta di eliminazione viene indirizzata a una risorsa specifica, a un progettoGoogle Cloud o al tuo Account Google. Le richieste di eliminazione potrebbero essere gestite in modi diversi a seconda dell'ambito della richiesta:
Eliminazione delle risorse: le singole risorse che contengono dati dei clienti, come i bucket Cloud Storage, possono essere eliminate in diversi modi dalla consoleGoogle Cloud o utilizzando un'API. Per saperne di più, consulta Elimina bucket.
Per i workload di AI e agentici, l'eliminazione di una risorsa potrebbe richiedere l'eliminazione di risorse secondarie o artefatti derivati. Ad esempio, il processo di eliminazione potrebbe eliminare anche le sessioni dell'agente, le memorie in Memory Bank e la cronologia delle conversazioni di origine.
Eliminazione di un progetto: in qualità di proprietario di un progetto Google Cloud , puoi chiudere un progetto. L'eliminazione di un progetto funge da richiesta di eliminazione collettiva per tutte le risorse associate al numero di progetto corrispondente.
Eliminazione dell'Account Google: quando elimini il tuo Account Google, vengono eliminati tutti i progetti non associati a un'organizzazione e di tua proprietà esclusiva. Se sono presenti più proprietari per un progetto non appartenente a un'organizzazione, il progetto non viene eliminato finché tutti i proprietari non vengono rimossi dal progetto o non eliminano i propri Account Google. Questo processo garantisce che i progetti continuino finché hanno un proprietario.
Eliminazione dell'account Google Workspace o Cloud Identity: le organizzazioni associate a un account Google Workspace o Cloud Identity vengono eliminate quando elimini un account Google Workspace o Cloud Identity. Per saperne di più, consulta Elimina l'Account Google dell'organizzazione.
Eliminazione dei service account e delle identità degli agenti: puoi eliminare i service account direttamente tramite Identity and Access Management (IAM). Tuttavia, un'identità agente è associata al ciclo di vita della risorsa agente di hosting e viene eliminata quando elimini l'agente sottostante.
Le richieste di eliminazione vengono utilizzate principalmente per gestire i dati. Tuttavia, Google può emettere richieste di eliminazione automaticamente, ad esempio quando interrompi il tuo rapporto con Google.
Fase 2: eliminazione temporanea
L'eliminazione temporanea prevede un breve periodo di gestione temporanea e recupero interno per garantire che ci sia tempo per recuperare i dati contrassegnati per l'eliminazione per errore o in modo accidentale. I singoli prodotti Google Cloud potrebbero adottare e configurare un periodo di recupero definito prima che i dati vengano eliminati dai sistemi di archiviazione sottostanti, a condizione che il periodo rientri nella cronologia di eliminazione complessiva di Google. Ad esempio, i service account eliminati entrano in un periodo di recupero di 30 giorni durante il quale vengono disattivati, ma possono essere ripristinati.
Quando i progetti vengono eliminati,Google Cloud identifica prima il numero di progetto univoco, quindi trasmette un segnale di sospensione ai prodotti Google Cloud collegati a quel numero di progetto. Il progetto entra in un periodo di recupero di massimo 30 giorni. Durante questo periodo, la maggior parte dei servizi sospende le operazioni e conserva le risorse associate a quel numero di progetto. Ad esempio, Compute Engine sospende le istanze e Bigtable disabilita l'accesso alle tabelle pertinenti. Alcuni servizi, come Cloud Storage e Pub/Sub, potrebbero iniziare a eliminare le risorse prima.
Al termine del periodo di recupero, Google Cloud trasmette un segnale di eliminazione definitiva ai prodotti applicabili per completare l'eliminazione logica delle risorse rimanenti associate al numero di progetto. Google attende, ritrasmettendo l'indicatore quando necessario, per raccogliere un indicatore di conferma (ACK) da ogni prodotto per completare l'eliminazione del progetto.
Quando un Account Google viene chiuso, Google potrebbe imporre un periodo di recupero interno fino a 30 giorni, a seconda dell'attività passata dell'account. Al termine di questo periodo di recupero, Google trasmette un segnale contenente l'ID utente dell'Account Google eliminato ai prodotti Google e i progetti e le risorse Google Cloud collegati esclusivamente a quell'ID utente vengono contrassegnati per l'eliminazione.
Fase 3: eliminazione logica dai sistemi attivi
Dopo che i dati sono stati contrassegnati per l'eliminazione e l'eventuale periodo di recupero è scaduto, i dati vengono eliminati successivamente dai sistemi di archiviazione attivi e di backup di Google. Sui sistemi attivi, i dati vengono eliminati in due modi.
Nella maggior parte dei prodotti Google Cloud che archiviano dati, le copie dei dati eliminati vengono contrassegnate come spazio di archiviazione disponibile e sovrascritte nel tempo. In un sistema di archiviazione attivo come Bigtable, i dati eliminati vengono archiviati come voci all'interno di una tabella strutturata di grandi dimensioni. La compattazione delle tabelle esistenti per sovrascrivere i dati eliminati può essere costosa, in quanto richiede la riscrittura delle tabelle dei dati esistenti (non eliminati). Pertanto, gli eventi di garbage collection mark-and-sweep e di compattazione principale vengono pianificati a intervalli regolari per recuperare spazio di archiviazione e sovrascrivere i dati eliminati.
In servizi come Cloud Storage, i dati dei clienti vengono eliminati anche tramite cancellazione crittografica. Si tratta di una tecnica standard di settore che rende i dati illeggibili eliminando le chiavi di crittografia necessarie per decriptarli. Un vantaggio dell'utilizzo della cancellazione crittografica, che si tratti di chiavi di crittografia fornite da Google o chiavi di crittografia fornite dal cliente, è che l'eliminazione logica può essere completata anche prima che tutti i blocchi eliminati di quei dati vengano sovrascritti nei sistemi di archiviazione attivi e di backup di Google Cloud.
Fase 4: scadenza dai sistemi di backup
Analogamente all'eliminazione dai sistemi attivi di Google, i dati eliminati vengono rimossi dai sistemi di backup utilizzando tecniche di sovrascrittura e crittografia. Nel caso dei sistemi di backup, tuttavia, i dati dei clienti vengono in genere archiviati all'interno di snapshot aggregati di grandi dimensioni dei sistemi attivi. Questi sistemi vengono conservati per periodi di tempo statici per garantire la continuità aziendale in caso di emergenza (ad esempio, un'interruzione che interessa un intero data center). In linea con le ragionevoli pratiche di continuità aziendale, gli snapshot completi e gli snapshot incrementali dei sistemi attivi vengono eseguiti su cicli giornalieri, settimanali e mensili e ritirati dopo un periodo di tempo predefinito per fare spazio agli snapshot più recenti.
Quando un backup viene ritirato, viene contrassegnato come spazio disponibile e sovrascritto man mano che vengono eseguiti nuovi backup giornalieri, settimanali o mensili.
Un ciclo di backup ragionevole impone un ritardo predefinito nella propagazione di una richiesta di eliminazione dei dati attraverso i sistemi di backup. Quando i dati dei clienti vengono eliminati dai sistemi attivi, non vengono più copiati nei sistemi di backup. I backup eseguiti prima dell'eliminazione scadono regolarmente in base al ciclo di backup predefinito.
Infine, la cancellazione crittografica dei dati eliminati potrebbe avvenire prima della scadenza del backup che contiene i dati dei clienti. Senza la chiave di crittografia utilizzata per criptare dati dei clienti specifici, i dati dei clienti non sono recuperabili, nemmeno durante la loro durata rimanente sui sistemi di backup di Google.
Tempistiche di eliminazione
Google Cloud è progettato per raggiungere un elevato livello di velocità, disponibilità, durabilità e coerenza. La progettazione di sistemi ottimizzati per questi attributi di prestazioni deve essere bilanciata attentamente con la necessità di ottenere un'eliminazione tempestiva dei dati. Google Cloud si impegna a eliminare i dati dei clienti entro un periodo massimo di circa sei mesi (180 giorni). Questo impegno incorpora le fasi della pipeline di eliminazione di Google descritte in precedenza, tra cui:
- Fase 2: dopo la richiesta di eliminazione, i dati vengono in genere contrassegnati immediatamente per l'eliminazione. Il nostro obiettivo è eseguire questo passaggio entro un periodo massimo di 24 ore. Dopo che i dati sono stati contrassegnati per l'eliminazione, potrebbe essere applicato un periodo di recupero interno fino a 30 giorni, a seconda del servizio o della richiesta di eliminazione.
- Fase 3: l'eliminazione logica dai sistemi attivi richiede tempo per completare le attività di garbage collection. Questi processi potrebbero verificarsi immediatamente dopo la ricezione della richiesta di eliminazione, a seconda del livello di replica dei dati e della tempistica dei cicli di garbage collection in corso. Dopo la richiesta di eliminazione, in genere sono necessari circa due mesi per eliminare i dati dai sistemi attivi. Questo periodo di due mesi è in genere sufficiente per tenere conto di un eventuale periodo di recupero, completare due cicli principali di garbage collection e garantire il completamento dell'eliminazione logica.
- Fase 4: il ciclo di backup di Google è progettato per far scadere i dati eliminati all'interno dei backup dei data center entro sei mesi dalla richiesta di eliminazione. L'eliminazione potrebbe avvenire prima, a seconda del livello di replica dei dati e della tempistica dei cicli di backup in corso di Google.
Il seguente diagramma mostra le fasi della pipeline di eliminazione di Google Cloud e quando i dati vengono cancellati dai sistemi attivi e di backup.
Sanitizzazione dei supporti
Un programma di sanitizzazione dei supporti disciplinato migliora la sicurezza del processo di eliminazione impedendo attacchi forensi o di laboratorio ai supporti di archiviazione fisici dopo che hanno raggiunto la fine del loro ciclo di vita.
Google monitora meticolosamente la posizione e lo stato di tutte le apparecchiature di archiviazione all'interno dei nostri data center, attraverso l'acquisizione, l'installazione, il ritiro e la distruzione, utilizzando codici a barre e tag asset che vengono monitorati nel database degli asset di Google. Varie tecniche quali l'identificazione biometrica, il rilevamento dei metalli, le telecamere, le barriere per i veicoli e i sistemi di rilevamento delle intrusioni basati su laser sono impiegate per impedire alle apparecchiature di lasciare il piano del data center senza autorizzazione. Per saperne di più, consulta la Panoramica sulla progettazione della sicurezza dell'infrastruttura Google.
I supporti di archiviazione fisici possono essere dismessi per una serie di motivi. Se un componente non supera un test delle prestazioni in qualsiasi momento durante il suo ciclo di vita viene rimosso dall'inventario e ritirato. Google esegue anche l'upgrade dell'hardware obsoleto per migliorare la velocità di elaborazione e l'efficienza a risparmio energetico o per aumentare la capacità di archiviazione. Indipendentemente dal fatto che l'hardware venga dismesso a causa di un guasto, di un upgrade o di qualsiasi altro motivo, i supporti di archiviazione vengono dismessi utilizzando misure di protezione appropriate.
I dischi rigidi di Google utilizzano tecnologie come la crittografia completa del disco (FDE) e il blocco delle unità per proteggere i dati at-rest durante la dismissione. Quando un disco rigido viene ritirato, le persone autorizzate verificano che il disco venga cancellato sovrascrivendo l'unità con zeri ed eseguendo una procedura di verifica in più passaggi per assicurarsi che l'unità non contenga dati.
Se il supporto di archiviazione non può essere per qualche motivo cancellato, viene conservato in modo sicuro finché non può essere distrutto fisicamente. A seconda delle attrezzature disponibili, possiamo schiacciare e deformare l'unità o distruggerla in piccoli pezzi. In entrambi i casi, il disco viene riciclato in una struttura sicura, garantendo che nessuno possa leggere i dati sui dischi Google ritirati. Ogni data center aderisce a una rigorosa policy di smaltimento e utilizza le tecniche descritte per ottenere la conformità alle linee guida per la sanificazione dei supporti NIST SP 800-88 Rev. 2 e al manuale operativo del programma di sicurezza industriale nazionale DoD 5220.22-M.