本文上次更新於 2026 年 10 月，內容反映截至撰文時的情況。我們一向持續提升客戶保護措施，因此安全性政策和系統日後可能會有所變動。
本文概略說明在 Google Cloud刪除客戶資料時，系統會執行的安全程序。根據《Google Cloud 服務條款》的定義，客戶資料是指客戶或使用者透過帳戶下的服務提供給 Google 的資料。
本文件說明Google Cloud如何儲存靜態客戶資料、刪除管道，以及我們如何防止任何儲存在平台中的資料遭到重建。本文不適用於在記憶體中暫時處理的資料 (例如設為零資料保留的生成式 AI 工作負載)。
如要瞭解我們對資料刪除的承諾，請參閱《Cloud 資料處理附加條款 (客戶)》。
資料儲存庫和複製
Google Cloud 提供資料庫和數據分析服務，例如 Bigtable 和 Spanner。大多數 Google Cloud 應用程式和服務都是透過這些雲端服務，間接存取 Google 的儲存基礎架構。
資料複製功能是實現低延遲、高可用性、可擴充且耐用解決方案的關鍵。因應本身設定和專案需求，您可以選擇在本機、地區甚至全球層級儲存客戶資料的備援複本。在 Google Cloud 中針對資料所採取的操作，可以同時複製到數個資料中心內，因此客戶資料會具有高可用性。當硬體、軟體或網路環境發生了嚴重影響效能的變動時，系統會依據客戶的設定，自動將客戶資料移轉至其他系統或設施。轉移系統或設施可讓客戶的專案繼續大規模運行，不受干擾。
在實體儲存層級，客戶資料會以靜態形式儲存在兩種系統中：使用中儲存系統和備份儲存系統。這兩種系統處理資料的方式並不相同，使用中的儲存系統是Google Cloud的正式版伺服器，負責執行 Google 的應用程式和儲存層。使用中系統是由磁碟和磁碟機組成的大型陣列，用於寫入新資料，以及儲存和擷取多個副本中的資料。使用中的儲存系統經過最佳化，可快速且大規模地對客戶資料執行即時讀取和寫入作業。
Google 的備份儲存系統會將 Google 運作中系統的完整和增量副本儲存一段時間，以便在發生重大中斷或災難時復原資料和系統。與使用中的系統不同的是，備份系統是用來接收 Google 系統的定期快照，備份複本僅會在一段有限的時間內存在，新備份複本產生後即會淘汰。
在整個儲存系統中，客戶資料在靜態儲存時會經過加密。詳情請參閱「預設靜態資料加密」。
資料刪除管道
客戶資料儲存在 Google Cloud後，系統會安全地儲存資料，直到資料刪除管道完成所有階段。本節將說明刪除階段。
階段 1：刪除要求
當您提出刪除要求，系統就會開始刪除客戶資料。 一般而言，刪除要求針對的是特定資源、Google Cloud 專案或您的 Google 帳戶。根據要求範圍，可能有不同處理方式：
刪除資源：您可以透過Google Cloud 控制台或使用 API，以多種方式刪除含有客戶資料的個別資源，例如 Cloud Storage bucket。詳情請參閱「刪除 bucket」。
如果是 AI 和代理工作負載，刪除資源時可能需要刪除子資源或衍生構件。舉例來說，刪除程序也可能刪除代理工作階段、Memory Bank 中的記憶，以及來源對話記錄。
刪除專案： Google Cloud 專案擁有者可以關閉專案。刪除專案等同於大量刪除要求，會刪除與對應專案編號相關的所有資源。
刪除 Google 帳戶：刪除 Google 帳戶時，系統會刪除所有與組織無關，且僅由您擁有的專案。如果非組織專案有多位擁有者，則必須等到所有擁有者都從專案中移除或刪除其 Google 帳戶後，專案才會刪除。此做法可確保專案只要處在具有擁有者的情況下，就能繼續執行。
刪除 Google Workspace 或 Cloud Identity 帳戶：刪除 Google Workspace 或 Cloud Identity 帳戶時，與該帳戶繫結的組織也會一併刪除。詳情請參閱「刪除貴機構的 Google 帳戶」。
刪除服務帳戶和代理身分：您可以直接透過 Identity and Access Management (IAM) 刪除服務帳戶。不過，代理程式身分會繫結至託管代理程式資源的生命週期，並在您刪除基礎代理程式時一併刪除。
刪除要求主要用於管理資料。不過，Google 可以自動發出刪除要求，例如在您與 Google 終止合作關係時。
階段 2：虛刪除
虛刪除功能提供短暫的內部暫存和復原期，確保您有時間復原不小心或誤標為刪除的資料。個別 Google Cloud 產品可能會採用並設定這類定義的復原期，然後才從基礎儲存系統中刪除資料，前提是該期間符合 Google 的整體刪除時間表。舉例來說，刪除的服務帳戶會進入 30 天的復原期，期間會停用但可還原。
刪除專案時，Google Cloud 會先識別不重複的專案編號，然後向與該專案編號連結的 Google Cloud 產品廣播暫停信號。專案會進入最長 30 天的復原期。在這段期間，大多數服務會暫停運作，並保留與該專案編號相關聯的資源。舉例來說，Compute Engine 會暫停執行個體，Bigtable 則會停用相關資料表的存取權。Cloud Storage 和 Pub/Sub 等部分服務可能會提早刪除資源。
復原期結束時，Google Cloud 會向適用產品廣播清除信號，完成邏輯刪除與專案編號相關聯的剩餘資源。接著，Google 會等待並在必要時重新廣播信號，收集每項產品的確認信號 (ACK)，完成專案刪除作業。
Google 帳戶關閉後，Google 可能會根據過去的帳戶活動，實施最多 30 天的內部復原期。復原期過後，Google 會向 Google 產品廣播含有已刪除 Google 帳戶使用者 ID 的信號，並將僅與該使用者 ID 綁定的 Google Cloud 專案和資源標示為待刪除。
階段 3：從使用中系統邏輯刪除
資料標示為刪除且復原期限過後，就會陸續從 Google 的使用中和備份儲存系統中刪除。在運作中的系統上，資料會以兩種方式刪除。
在大多數儲存資料的 Google Cloud 產品中，已刪除資料的副本會標示為可用儲存空間，並隨著時間推移而遭到覆寫。在 Bigtable 等使用中的儲存系統中，刪除的資料會以項目形式儲存在大型結構化資料表中。壓縮現有資料表以覆寫已刪除的資料可能費用高昂，因為需要重寫現有 (未刪除) 資料的資料表。因此，系統會定期排定標記和清除垃圾收集和主要壓縮事件，以回收儲存空間並覆寫已刪除的資料。
在 Cloud Storage 等服務中，客戶資料也會透過加密抹除方式刪除。這項技術符合業界標準，可刪除解密資料所需的加密金鑰，讓資料無法讀取。無論是使用 Google 提供的加密金鑰，還是客戶提供的加密金鑰，使用加密清除功能的好處之一，就是即使在 Google Cloud的使用中和備份儲存系統中，該資料的所有已刪除區塊尚未遭到覆寫，也能完成邏輯刪除。
階段 4：從備份系統中到期
與從 Google 的使用中系統刪除資料類似，刪除的資料會使用覆寫和密碼編譯技術從備份系統中刪除。不過，如果是備份系統，客戶資料通常會儲存在使用中系統的大型匯總快照中。這些系統會保留一段固定時間，確保在發生災難 (例如影響整個資料中心的中斷事件) 時，業務能持續運作。為確保業務持續運作，我們會每天、每週和每月建立使用中系統的完整和增量快照，並在預先定義的時間後淘汰，以便騰出空間存放最新快照。
備份淘汰後，系統會將其標示為可用空間，並在執行新的每日、每週或每月備份時覆寫。
合理的備份週期會預先定義延遲時間，讓資料刪除要求在備份系統中傳播。從使用中的系統刪除客戶資料後，系統就不會再將資料複製到備份系統。刪除前執行的備份會根據預先定義的備份週期定期到期。
最後，在含有客戶資料的備份到期前，可能會對已刪除的資料進行加密清除。如果沒有用於加密特定客戶資料的加密金鑰，即使客戶資料在 Google 備份系統中的剩餘生命週期內，也無法復原。
刪除時間軸
Google Cloud 的設計旨在實現高速度、可用性、耐用性和一致性。在設計系統時，必須仔細權衡這些效能屬性，並確保能及時刪除資料。 Google Cloud 承諾在最多約六個月 (180 天) 內刪除客戶資料。這項承諾涵蓋前述 Google 刪除管道的各個階段，包括：
- 階段 2：提出刪除要求後，系統通常會立即將資料標示為待刪除。我們的目標是在 24 小時內完成這個步驟。資料標示為刪除後，系統可能會根據服務或刪除要求，套用最多 30 天的內部復原期。
- 階段 3：從使用中的系統邏輯刪除資料，需要時間完成垃圾收集工作。視資料複製層級和進行中的垃圾收集週期時間而定，這些程序可能會在收到刪除要求後立即執行。提出刪除要求後，通常需要約兩個月才能從使用中的系統刪除資料。這兩個月的時間通常足以涵蓋任何復原期、完成兩個主要垃圾收集週期，並確保邏輯刪除作業完成。
- 階段 4：Google 備份週期設計為在刪除要求後的六個月內，使資料中心備份中的已刪除資料過期。視資料複製層級和 Google 持續備份週期的時間而定，刪除作業可能會提早完成。
下圖顯示 Google Cloud刪除管道的各個階段，以及從使用中和備份系統清除資料的時間。
媒體資料清除
嚴謹的媒體清理計畫可防止實體儲存媒體在生命週期結束後，遭到鑑識或實驗室攻擊，進而提升刪除程序的安全性。
Google 會透過條碼和資產標記，精確地追蹤資料中心內所有儲存設備的位置和狀態，從採購、安裝、淘汰到銷毀階段全程監控。我們採用生物特徵辨識、金屬探測、攝影機、車輛障礙物和雷射入侵偵測系統等各種技術，防止設備在未經授權的情況下離開資料中心樓層。詳情請參閱「Google 基礎架構安全性設計總覽」。
實體儲存媒體可能因多種原因而停用。如果元件在生命週期的任一階段未通過效能測試，就會從庫存移除並淘汰。Google 也會升級過時的硬體，以提高處理速度和高效節能，或增加儲存容量。無論硬體是因故障、升級或其他原因而停用，儲存媒體都會採取適當的保護措施停用。
Google 硬碟會使用全磁碟加密 (FDE) 和硬碟鎖定等技術，在汰除期間保護靜態資料。如有硬碟遭到淘汰，授權人員就會使用 0 值覆寫硬碟內容，並執行多步驟驗證程序，確認磁碟的資料是否已清除。
如果儲存媒體因為某些問題而無法清除內容，我們會妥善存放硬碟，直到可供實體銷毀時再進行作業。屆時會依據可用的設備而定，將硬碟摧毀或搗毀成碎片。無論是哪一種情況，磁碟都會在安全設施中回收，確保任何人都無法讀取已淘汰 Google 磁碟上的資料。每個資料中心都必須謹守嚴格的處置政策，並使用所述技術，確保符合 NIST SP 800-88 Rev. 2 Guidelines for Media Sanitization 和 DoD 5220.22-M National Industrial Security Program Operating Manual 的規定。