Política de Retención y Eliminación de Datos

Plazos de conservación por categoría de dato y procedimientos de eliminación. Complementa la Política de Privacidad.

Versión RETENTION-v1.0 · Vigente desde 2026-06-01

Principios

- Minimización: conservar solo lo necesario.
- Plazos definidos por categoría.
- Eliminación segura o anonimización al vencer el plazo.
- Excepciones por obligación legal, litigio o solicitud ARCO pendiente.

Tabla de retención

CategoríaUbicaciónPlazo activoEliminación
Cuenta de usuarioBase de datos (User)Mientras activa30 días tras solicitud de baja; luego anonimización salvo obligación legal
Sesión / cookiesNavegador / servidorSesión o según Política de CookiesExpiración automática
Pedido álbumBD + R210 años datos de facturación; contenido digital según abajoAnonimizar comprador tras plazo fiscal si se solicita supresión
Pedido impresiónBD + archivos lab10 años metadatos; archivos impresión 15 díasCron cleanup-expired-albums / tags FILES_DELETED
Preventa escolarBD (PreCompraOrder)Ciclo lectivo + 12 mesesArchivar o anonimizar
Fotos originalesR2 (Photo.originalKey)45 días desde publicación del álbumCron cleanup-expired-albums: borrado R2 + BD
Previews / watermarksR2Mismo que fotoMismo cron
ZIP descargaR2 + ZipGenerationJobSegún expiresAt del job (orientativo: 7–30 días)Cron cleanup-zip-jobs
Selfie interés álbumR2 + AlbumInterest90 días o fin de álbum (lo primero)Cron biometric-cleanup
Plantilla facial (Rekognition)AWS + AlbumInterest.faceIdMismo que selfiedeleteFace() en cleanup / revocación
Selfie menor preventaR2 (SubjectSelfie)90 días o cierre preventa/canjeProcedimiento de expiración programada
Selfie álbum ocultoR2 + HiddenAlbumAttemptSegún selfieExpiresAt del álbumCron / expiración
Padrón escolarStudent, StudentEnrollment, AlbumStudentRosterEntryCiclo lectivo + 12 mesesProcedimiento manual o cron institucional
Import CSV auditoríaStudentRosterImportRow24 mesesAnonimizar rawRowJson
Marketing opt-inUser.marketingOptIn*Hasta baja + 2 años prueba de consentimientounsubscribedAt
Solicitudes ARCOPrivacyRequest5 añosArchivo
Consentimientos legalesRegistro de aceptaciones10 añosArchivo probatorio

Procedimientos de eliminación

Solicitud del titular (ARCO supresión):
1. Recepción vía /privacidad/solicitud
2. Verificación de identidad
3. Ejecución en plazo orientativo: 15 días hábiles (supresión simple) a 30 días (casos complejos)
4. Comunicación al titular
5. Registro en PrivacyRequest

Revocación biométrica: automática vía API revoke-face-consent o /delete-biometric — plazo máximo 72 h hábiles.

Eliminación por abandono de cuenta: tras 24 meses de inactividad, aviso por email → 30 días → anonimización si no hay pedidos pendientes ni obligación legal.

Copias de seguridad

Los backups pueden conservar datos eliminados hasta 90 días adicionales; luego se rotan sin restauración activa salvo desastre.

Responsables internos

Definir roles: DPO / responsable de privacidad, operaciones (crons), soporte (ARCO).

Revisión

Esta política se revisa al menos anualmente o ante cambios materiales del producto.