Este conteúdo foi atualizado pela última vez em outubro de 2026 e representa o estado do momento em que foi escrito. Os sistemas e as políticas de segurança do Google podem mudar no futuro, à medida que a proteção dos clientes é aprimorada.
Neste documento, apresentamos uma visão geral do processo seguro que ocorre quando você exclui os dados do cliente no Google Cloud. Conforme definido nos Termos de Serviço doGoogle Cloud , os dados do cliente são dados fornecidos ao Google por clientes ou usuários finais nos serviços na conta.
Neste documento, descrevemos como os dados do cliente são armazenados em repouso no Google Cloud, o pipeline de exclusão e como evitamos qualquer reconstrução de dados armazenados na nossa plataforma. Este documento não se aplica a dados processados de forma temporária na memória, como cargas de trabalho de IA generativa configuradas para retenção de dados zero.
Para informações sobre nossos compromissos de exclusão de dados, consulte o Aditivo sobre tratamento de dados do Cloud (clientes).
Armazenamento e replicação de dados
OGoogle Cloud oferece serviços de banco de dados e análise, como o Bigtable e o Spanner. A maioria dos aplicativos e serviços do Google Cloud acessa a infraestrutura de armazenamento do Google indiretamente usando esses serviços em nuvem.
A replicação de dados é fundamental para alcançar soluções de baixa latência, altamente disponíveis, escalonáveis e duráveis. Cópias redundantes dos dados do cliente podem ser armazenadas de forma local, regional e até mesmo global, dependendo da sua configuração e das demandas dos projetos do cliente. As ações realizadas em dados no Google Cloud podem ser replicadas simultaneamente em vários data centers, para que os dados do cliente sejam altamente disponíveis. Quando ocorrem mudanças que afetam o desempenho no hardware, no software ou no ambiente de rede, os dados do cliente são transferidos automaticamente de um sistema ou instalação para outro, de acordo com as definições de configuração dos clientes. A mudança de sistemas ou instalações permite que os projetos dos clientes continuem funcionando em escala e sem interrupção.
No nível de armazenamento físico, os dados do cliente são armazenados em repouso em dois tipos de sistemas: sistemas de armazenamento ativo e sistemas de armazenamento de backup. Esses dois tipos de sistemas processam dados de maneiras diferentes. Os sistemas de armazenamento ativo são os servidores de produção doGoogle Cloudque executam as camadas de aplicativos e armazenamento do Google. Os sistemas ativos são matrizes em massa de discos e unidades usadas para gravar novos dados, além de armazenar e recuperar dados em várias cópias replicadas. Os sistemas de armazenamento ativo são otimizados para executar operações de leitura/gravação ao vivo nos dados do cliente em alta velocidade e grande escala.
Os sistemas de armazenamento de backup do Google armazenam cópias completas e incrementais dos sistemas ativos do Google por um período definido para ajudar o Google a recuperar dados e sistemas no caso de uma falha ou um desastre catastrófico. Ao contrário dos sistemas ativos, os sistemas de backup são projetados para receber instantâneos periódicos dos sistemas do Google. As cópias de backup são retiradas após um período limitado conforme novas cópias de backup são feitas.
Em todos os sistemas de armazenamento, os dados do cliente são criptografados quando armazenados em repouso. Para mais informações, consulte Criptografia padrão em repouso.
Pipeline de exclusão de dados
Depois que os dados do cliente são armazenados no Google Cloud, nossos sistemas são projetados para armazenar os dados com segurança até que o pipeline de exclusão de dados conclua as etapas. Nesta seção, descrevemos as etapas de exclusão.
Etapa 1: solicitação de exclusão
A exclusão dos dados do cliente começa quando você inicia uma solicitação de exclusão. Geralmente, uma solicitação de exclusão é direcionada para um recurso específico, um projeto doGoogle Cloud ou sua Conta do Google. Esses pedidos podem ser tratados de maneiras diferentes, dependendo do escopo deles:
Exclusão de recursos: recursos individuais que contêm dados do cliente, como buckets do Cloud Storage, podem ser excluídos de várias maneiras no console doGoogle Cloud ou usando uma API. Para mais informações, consulte Excluir buckets.
Para cargas de trabalho de IA e de agentes, a exclusão de um recurso pode exigir a exclusão de recursos filhos ou artefatos derivados. Por exemplo, o processo de exclusão também pode excluir sessões de agentes, memórias no banco de memória e o histórico de conversas de origem.
Exclusão de projeto: como Google Cloud proprietário do projeto, você pode encerrar um projeto. A exclusão atua como uma solicitação de exclusão em massa de todos os recursos vinculados ao número de projeto correspondente.
Exclusão da Conta do Google: quando você exclui sua Conta do Google, todos os projetos não associados a uma organização e que pertencem exclusivamente a você são excluídos. Quando há vários proprietários para um projeto que não é da organização, ele não é excluído até que todos os proprietários sejam removidos do projeto ou excluam as Contas do Google. Esse processo garante que os projetos continuem enquanto tiverem um proprietário.
Exclusão de conta do Google Workspace ou do Cloud Identity: organizações vinculadas a uma conta do Google Workspace ou do Cloud Identity são excluídas quando você exclui uma conta do Google Workspace ou do Cloud Identity. Saiba mais em Excluir a Conta do Google da sua organização.
Exclusão de conta de serviço e identidade do agente: é possível excluir contas de serviço diretamente pelo Identity and Access Management (IAM). No entanto, uma identidade de agente está vinculada ao ciclo de vida do recurso de agente de hospedagem e é excluída quando você exclui o agente subjacente.
As solicitações de exclusão são usadas principalmente para gerenciar seus dados. No entanto, o Google pode emitir solicitações de exclusão automaticamente. por exemplo, ao encerrar seu relacionamento com o Google.
Etapa 2: exclusão reversível
A exclusão reversível fornece um breve período interno de organização e recuperação. Ela garante que haja tempo para recuperar todos os dados que foram marcados para exclusão por acidente ou por engano. Os produtos individuais do Google Cloud podem adotar e configurar esse período de recuperação definido antes que os dados sejam excluídos dos sistemas de armazenamento subjacentes, desde que o período se encaixe na linha do tempo geral de exclusão do Google. Por exemplo, as contas de serviço excluídas entram em um período de recuperação de 30 dias, em que ficam desativadas, mas podem ser restauradas.
Quando os projetos são excluídos, oGoogle Cloud identifica primeiro o número exclusivo do projeto e, em seguida, transmite um sinal de suspensão para os produtos do Google Cloud que estão vinculados a esse número de projeto. O projeto entra em um período de recuperação de até 30 dias. Durante esse período, a maioria dos serviços suspende as operações e retém os recursos vinculados a esse número de projeto. Por exemplo, o Compute Engine suspende instâncias, e o Bigtable desativa o acesso a tabelas relevantes. Alguns serviços, como o Cloud Storage e o Pub/Sub, podem começar a excluir recursos antes.
No final do período de recuperação, oGoogle Cloud transmite um sinal de limpeza para os produtos aplicáveis para concluir a exclusão lógica dos recursos restantes vinculados ao número do projeto. Em seguida, o Google espera, retransmitindo o sinal quando necessário, para coletar um sinal de confirmação (ACK) de cada produto e concluir a exclusão do projeto.
Quando uma Conta do Google é encerrada, o Google pode impor um período de recuperação interna de até 30 dias, dependendo da atividade anterior da conta. Após esse período de recuperação, o Google transmite um sinal que contém o ID do usuário da Conta do Google excluída para os produtos do Google, e os projetos e recursos do Google Cloud vinculados exclusivamente a esse ID do usuário são marcados para exclusão.
Etapa 3: exclusão lógica de sistemas ativos
Depois que os dados são marcados para exclusão e o período de recuperação expirou, os dados são excluídos sucessivamente dos sistemas de armazenamento ativo e de backup do Google. Nos sistemas ativos, os dados são excluídos de duas maneiras.
Na maioria dos produtos do Google Cloud que armazenam dados, as cópias dos dados excluídos são marcadas como armazenamento disponível e substituídas ao longo do tempo. Em um sistema de armazenamento ativo, como o Bigtable, os dados excluídos são armazenados como entradas em uma tabela estruturada em massa. A compactação de tabelas atuais para substituir dados excluídos pode ser dispendiosa, já que exige a reescrita de tabelas de dados (não excluídos). Portanto, a coleta de lixo com marcação e varredura e os principais eventos de compactação ocorrem em intervalos regulares para recuperar o espaço de armazenamento e substituir dados excluídos.
Em serviços como o Cloud Storage, os dados do cliente também são apagados por meio de exclusão criptográfica. Essa é uma técnica padrão do setor que torna os dados ilegíveis, excluindo as chaves de criptografia necessárias para descriptografar esses dados. Uma vantagem de usar o apagamento criptográfico, seja envolvendo chaves de criptografia fornecidas pelo cliente ou pelo Google, é que a exclusão lógica pode ser concluída mesmo antes da substituição de todos os blocos excluídos desses dados nos sistemas de armazenamento ativos e de backup do Google Cloud.
Etapa 4: expiração de sistemas de backup
Assim como ocorre com a exclusão dos sistemas ativos do Google, os dados excluídos são eliminados dos sistemas de backup usando técnicas de substituição e criptográficas. No caso de sistemas de backup, no entanto, os dados do cliente geralmente são armazenados em grandes snapshots agregados de sistemas ativos. Esses sistemas são retidos por períodos estáticos para garantir a continuidade dos negócios em caso de desastre (por exemplo, uma interrupção que afete um data center inteiro). Em conformidade com as práticas razoáveis de continuidade de negócios, os snapshots completos e snapshots incrementais dos sistemas ativos são capturados em ciclos diários, semanais e mensais. Eles são descontinuados após um intervalo de tempo predefinido para dar espaço aos snapshots mais recentes.
Quando um backup é descontinuado, ele é marcado como espaço disponível e substituído conforme novos backups diários/semanais/mensais são realizados.
Um ciclo de backup razoável impõe um atraso predefinido na propagação de uma solicitação de exclusão de dados por meio de sistemas de backup. Quando os dados do cliente são excluídos dos sistemas ativos, eles não são mais copiados nos sistemas de backup. Os backups realizados antes da exclusão expiram regularmente com base no ciclo de backup predefinido.
Por fim, o apagamento criptográfico dos dados excluídos pode ocorrer antes da expiração do backup que contém os dados do cliente. Sem a chave de criptografia usada para criptografar dados específicos do cliente, esses dados são irrecuperáveis mesmo durante a vida útil restante nos sistemas de backup do Google.
Linha do tempo de exclusão
Google Cloud foi projetado para alcançar um alto grau de velocidade, disponibilidade, durabilidade e consistência. O design de sistemas otimizados para esses atributos de desempenho precisa ser cuidadosamente equilibrado com a necessidade de alcançar a exclusão de dados oportuna. O Google Cloud se compromete a excluir os dados do cliente em um período máximo de seis meses (180 dias). Esse compromisso incorpora os estágios do pipeline de exclusão do Google descritos anteriormente, incluindo os seguintes:
- Etapa 2: depois que a solicitação de exclusão é feita, os dados normalmente são marcados para exclusão imediatamente. Nossa meta é realizar essa etapa em um período máximo de 24 horas. Depois que os dados são marcados para exclusão, um período interno de recuperação de até 30 dias pode ser aplicado, dependendo da solicitação de serviço ou exclusão.
- Etapa 3: a exclusão lógica de sistemas ativos requer tempo para concluir as tarefas de coleta de lixo. Esses processos podem ocorrer imediatamente após o recebimento da solicitação de exclusão, dependendo do nível de replicação de dados e do tempo dos ciclos de coleta de lixo em andamento. Após a solicitação de exclusão, geralmente leva cerca de dois meses para excluir dados dos sistemas ativos. Essa janela de dois meses geralmente é suficiente para considerar qualquer período de recuperação, concluir dois ciclos principais de coleta de lixo e garantir que a exclusão lógica seja concluída.
- Etapa 4: o ciclo de backup do Google foi projetado para invalidar os dados excluídos nos backups do data center dentro de seis meses a partir da solicitação de exclusão. A exclusão pode ocorrer mais cedo, dependendo do nível de replicação de dados e do tempo dos ciclos de backup contínuos do Google.
O diagrama a seguir mostra os estágios do pipeline de exclusão do Google Cloude quando os dados são apagados dos sistemas ativos e de backup.
Sanitização de mídia
Um programa disciplinado de limpeza de mídia aumenta a segurança do processo de exclusão, evitando ataques forenses ou laboratoriais à mídia de armazenamento físico depois que ela atinge o fim do ciclo de vida.
O Google rastreia meticulosamente o local e o status de todos os equipamentos de armazenamento nos nossos data centers por meio de aquisição, instalação, descontinuidade e destruição, usando códigos de barras e tags de recursos rastreados no banco de dados de ativos do Google. Para evitar que os equipamentos saiam do data center sem autorização, usamos várias técnicas como identificação biométrica, detecção de metais, câmeras, barreiras de veículos e sistemas de detecção de intrusão baseados em laser. Para mais informações, consulte a Visão geral do design de segurança da infraestrutura do Google.
A mídia de armazenamento físico pode ser desativada por vários motivos. Se um componente for reprovado em um teste de desempenho em qualquer momento do ciclo de vida, ele será removido do inventário e terá o uso descontinuado. O Google também atualiza hardware obsoleto para melhorar a velocidade de processamento e a eficiência de energia ou aumentar a capacidade de armazenamento. Se o hardware for desativado por falha, atualização ou qualquer outro motivo, a mídia de armazenamento será desativada com as proteções apropriadas.
Os discos rígidos do Google usam tecnologias como a criptografia de disco completo (FDE, na sigla em inglês) e o bloqueio de unidades para proteger os dados em repouso durante a desativação. Quando um disco rígido é descontinuado, indivíduos autorizados verificam se o disco foi apagado substituindo a unidade por zeros e executando um processo de verificação em várias etapas para garantir que ela não contenha dados.
Caso não possa ser apagada por qualquer motivo, a mídia permanecerá armazenada até que possa ser destruída fisicamente. Dependendo do equipamento disponível, podemos esmagar e deformar ou fragmentar a unidade em pequenos pedaços. Em ambos os casos, o disco é reciclado em uma instalação segura, garantindo que ninguém seja capaz de ler dados em discos do Google desativados. Todos os data centers aderem a uma política rígida de descarte e usam as técnicas descritas para garantir a conformidade com o NIST SP 800-88, Rev. 2, Diretrizes para limpeza de mídia e DoD 5220.22-M, Manual de operação do programa de segurança industrial nacional.