Aprende un flujo práctico de retención de datos y retención legal que combina calendarios de eliminación con necesidades de auditoría, para demostrar cumplimiento sin almacenar datos para siempre.
La mayoría de los equipos está de acuerdo en que deben eliminar datos cuando ya no son necesarios. Reduce el riesgo, disminuye el almacenamiento y ayuda a cumplir las normas de privacidad. El problema empieza cuando alguien pregunta: “¿Pueden demostrar lo que pasó?” Esa pregunta puede venir de un auditor, una queja de cliente o una demanda.
Un flujo sólido de retención de datos y retención legal (legal hold) resuelve una tensión difícil: eliminar según el calendario, pero poder mostrar decisiones, accesos y acciones incluso después de que los datos subyacentes hayan desaparecido.
Retención es cuánto tiempo guardas una categoría de datos por una razón comercial o legal. Eliminación es lo que haces cuando ese tiempo termina, incluyendo remover copias y backups en una ventana definida. Un legal hold (retención legal) es una pausa temporal en la eliminación para registros específicos porque una disputa, investigación o normativa exige preservarlos.
“Conservar evidencia” no siempre significa guardar todos los datos para siempre. A menudo implica mantener un conjunto más pequeño y seguro de pruebas que soporte una auditoría sin recrear los datos personales originales. Por ejemplo, puedes conservar:
El objetivo es un proceso repetible que decida qué se elimina, qué se pausa y qué artefactos de auditoría ligeros permanecen.
Esto es guía operativa, no asesoría legal. Los periodos de retención y los disparadores de hold deben revisarse con asesoría legal y coincidir con las normas de tu industria.
No puedes ejecutar un calendario de eliminación limpio ni un legal hold si no sabes qué estás reteniendo. Empieza listando los tipos de datos que recopilas y luego cada sistema que los almacena o copia.
Piensa más allá de “la base de datos”. Los perfiles de clientes pueden estar en la base de datos de la app, pero los mismos detalles también pueden aparecer en tickets de soporte, hilos de correo electrónico, herramientas de chat, hojas de cálculo exportadas y archivos adjuntos. Los logs, backups y analíticas a menudo conservan copias extra que se olvidan.
Una forma simple de mapear esto es anotar cada conjunto de datos y responder tres preguntas: dónde se crea, dónde se copia y quién puede eliminarlo.
Concéntrate en las fuentes que suelen causar sorpresas después:
No todo necesita el mismo tratamiento desde el día uno. Define qué cubre el flujo ahora y qué se añadirá después.
Un primer alcance práctico suele incluir sistemas que controlas (donde puedes eliminar según el calendario), sistemas que deben buscarse durante un legal hold y sistemas que solo almacenan evidencia de auditoría tras la eliminación.
También anota lo que queda fuera del alcance (por ejemplo, notas personales guardadas en portátiles). Esos vacíos son donde suele empezar la mentalidad de “conservar todo para siempre”.
La confusión suele venir de que las personas usan las mismas palabras para significar cosas distintas. Acordad definiciones desde el principio para que el flujo sea más fácil de ejecutar y defender.
Un calendario de retención responde a una pregunta: ¿cuánto tiempo conservamos cada tipo de dato? Normalmente lo fijan la ley, los contratos o necesidades comerciales. Debe ser específico (por ejemplo: tickets de soporte 2 años, facturas 7 años, logs de aplicación 30 días).
Un calendario de eliminación es el plan de ejecución. Responde: ¿cuándo se elimina y cómo se ejecuta? Algunos equipos eliminan en lotes nocturnos, otros de forma continua, y muchos usan eliminación basada en eventos (como “30 días después del cierre de cuenta”). La regla de retención es la norma; el calendario de eliminación es la rutina que aplica la norma.
Un legal hold es una pausa dirigida en la eliminación ligada a un caso, queja, investigación o demanda. Debe incluir alcance (qué personas, cuentas, sistemas o rango de fechas) y propiedad (quién lo aprobó). Un legal hold no debería significar “detener toda eliminación en todas partes”. Significa “detener la eliminación solo para los registros afectados”.
Los requisitos de auditoría son lo que debes poder mostrar después: quién hizo qué, cuándo ocurrió y por qué fue permitido. Las auditorías suelen interesarse más por la evidencia de un proceso consistente que por conservar cada registro para siempre.
Mantén el lenguaje simple:
Un calendario de retención falla cuando parece un libro de leyes o cuando nadie sabe quién decide qué. Para cada tipo de dato, escribe por qué lo conservas, cuánto tiempo lo conservas, qué inicia el conteo y quién es el responsable de la regla.
Agrupa los datos por propósito de negocio, no por dónde están en tus sistemas. “Facturas” es una categoría más clara que “filas en la tabla X”. Mantén el número de categorías lo suficientemente pequeño para que una persona ocupada pueda repasarlo rápido.
Haz explícita la propiedad. Finanzas no debería adivinar lo que Soporte necesita, y Soporte no debería fijar reglas de RR. HH. Asigna a cada categoría un responsable que apruebe cambios y responda preguntas.
Los disparadores importan tanto como el tiempo. “7 años” no significa nada a menos que definas cuándo empieza: cierre de cuenta, fin de contrato, último inicio de sesión, último pago, última actualización de ticket. Elige un disparador por categoría cuando sea posible.
Finalmente, escribe las excepciones en palabras claras. Estas son las razones por las que la eliminación se pausa: disputas, contracargos, revisiones por fraude y legal holds activos. Si la excepción es vaga, la gente tratará todo como excepción.
Aquí hay un formato de tabla simple que los equipos realmente usan:
| Categoría de dato | Propósito comercial | Periodo de retención | Disparador (inicio del conteo) | Responsable | Excepciones (pausa de eliminación) |
|---|---|---|---|---|---|
| Facturas de clientes | Fiscal y contable | 7 años | Factura pagada/emitida | Finanzas | Aviso de auditoría fiscal, disputa |
| Tickets de soporte | Historial de servicio al cliente | 24 meses | Ticket cerrado | Soporte | Disputa abierta, revisión por fraude |
| Perfil de cuenta de usuario | Proveer el servicio | 30 días | Cierre de cuenta | Producto | Retención legal activa, ventana de contracargo |
| Logs de acceso | Monitorización de seguridad | 90 días | Log creado | Seguridad/TI | Investigación de incidentes |
Un buen flujo de retención y legal hold tiene un objetivo: eliminar a tiempo por defecto, pero pausar solo los registros específicos que deben preservarse. El enfoque más fiable es tratar retención, eliminación y holds como eventos separados que comparten un único registro de auditoría.
Crear o actualizar una regla de retención (con responsable). Define el conjunto de datos, la razón (contrato, fiscal, soporte) y el periodo de retención. Registra quién la aprobó y la fecha de vigencia.
Ejecutar trabajos de eliminación con un alcance definido. Convierte reglas en trabajos automatizados que eliminan o anonimizan campos, tablas, archivos e índices de búsqueda específicos. Sé explícito sobre lo que “eliminado” significa en tu organización (borrado definitivo, borrado lógico o anonimización irreversible) y qué sistemas están incluidos.
Colocar un legal hold (congelar solo lo relevante). Cuando surge una disputa, investigación o solicitud regulatoria, crea un registro de hold que apunte a una persona, cuenta, ID de caso, rango de fechas y tipos de datos. El trabajo de eliminación debe omitir solo los registros coincidentes, no toda la base de datos.
Liberar el hold (luego reanudar la eliminación de forma segura). Cuando Legal confirma que el hold terminó, márcalo como liberado. Antes de reanudar la eliminación, confirma que el alcance es correcto y que no hay nuevos holds superpuestos.
Registrar cada acción. Cambios de retención, ejecuciones de eliminación, holds colocados, holds liberados y excepciones manuales. Cada entrada debe incluir marca temporal, actor, aprobador, alcance y resultado (éxito o fallo).
Las aprobaciones son donde los flujos suelen romperse. Mantén roles claros:
Ejemplo: un responsable de soporte cambia la retención de transcripciones de chat de 24 meses a 12 meses tras la aprobación. El trabajo semanal de eliminación borra las transcripciones mayores de 12 meses. Dos meses después, Legal coloca un hold sobre la cuenta de un cliente por una disputa, por lo que solo las transcripciones de ese cliente se congelan; las de todos los demás siguen el calendario.
Un legal hold debería detener la eliminación solo para los registros relevantes, durante el periodo que importe. Si un hold se convierte en “pausar toda la eliminación en todas partes”, generas costes, riesgo y confusión.
Empieza por el alcance. Un hold puede limitarse a usuarios específicos, pedidos, tickets de soporte, proyectos, buzones, carpetas o un rango de fechas como “mensajes del 1 de marzo al 15 de abril”. Cuanto más estrecho sea el alcance, más fácil es defenderlo y menos datos conservas.
Para evitar eliminaciones accidentales, haz que el hold sea legible por máquinas. Eso suele significar una bandera de hold más un ID de hold en cada registro (o en el objeto de caso o pedido que contiene el registro). Tu trabajo de eliminación tendrá entonces una regla estricta: si HoldActive = true, omitir la eliminación y registrar que se omitió por un hold.
Los datos nuevos después de que empiece el hold son una trampa común. Decide desde el principio si el hold es:
Para disputas, los holds continuos suelen ser más seguros (por ejemplo, “todos los nuevos tickets del Cliente X mientras el caso esté abierto”).
Piensa en dos relojes. El reloj de retención define cuándo los datos son elegibles para eliminación. El reloj del hold define si la eliminación está permitida ahora. La retención sigue envejeciendo en segundo plano, pero el hold bloquea la acción final de borrado. Cuando el hold termina, todo lo que esté pasado del periodo de retención queda elegible de inmediato.
Al documentar el hold, escribe lo suficiente para explicar el “por qué” sin sobrecompartir. Manténlo corto: solicitante, fecha, alcance y una razón clara como “disputa de facturación” o “reclamación laboral”.
Los auditores normalmente no necesitan los datos eliminados en sí. Necesitan prueba de que tu proceso está controlado: quién decidió, qué se eliminó, cuándo ocurrió y por qué fue permitido.
Registra los eventos de eliminación como registrarías una transacción financiera. El registro debe tener sentido meses después, incluso para alguien que no estaba en el equipo.
Captura lo esencial para cada evento de eliminación (o anonimización):
También conserva pruebas operativas de que el trabajo se ejecutó y completó, sin almacenar contenido:
Evita copiar registros completos a una base de datos de auditoría “por si acaso”. Eso crea un segundo sistema del que también tendrás que eliminar datos.
Para los logs de auditoría en sí, establece un periodo de retención claro y reglas de acceso. Muchos equipos conservan logs detallados por 12 a 24 meses y luego mantienen un resumen mensual más pequeño por más tiempo si hace falta. Restringe el acceso a un grupo reducido (seguridad, cumplimiento y unos pocos administradores) y registra el acceso a esos logs.
Para facilitar las auditorías, prepara algunos informes sencillos que puedas producir con rapidez: un resumen mensual de eliminación, una lista de excepciones (holds activos, trabajos bloqueados, fallos no resueltos) y un desglose de las principales razones de eliminación.
Ejemplo: si 1.240 cuentas cerradas se eliminaron en julio, tu evidencia puede ser un único registro de ejecución del trabajo que muestre quién aprobó la ejecución, la regla de retención utilizada, la cantidad, el estado de finalización y una lista de excepciones con las 12 cuentas bloqueadas por un legal hold activo.
La mayoría de los programas de retención fallan por una razón: cuando algo parece arriesgado, la gente deja de eliminar. Entonces las excepciones “temporales” se acumulan hasta que nada sale de los sistemas.
Uno de los puntos ciegos más grandes son los backups, réplicas y almacenamiento archivado. Los equipos eliminan el registro principal pero olvidan copias antiguas en snapshots o réplicas de lectura. Sé claro sobre lo que “eliminación” significa en tu política: a menudo significa que la copia de producción se elimina rápido y los backups caducan en una línea temporal separada y fija.
Otro fallo común es poner un legal hold en todo un sistema “por si acaso”. Eso congela datos no relacionados y hace que toda futura eliminación parezca peligrosa. Los holds deben escoparse a personas específicas, rangos de fechas, tipos de registro y a los sistemas que realmente contienen los datos relevantes.
Los vacíos de propiedad también provocan holds permanentes. Si nadie es responsable de aprobar un hold, documentarlo y liberarlo, nunca terminará. Trata los holds como un cambio controlado con roles nombrados.
Las exportaciones son el asesino silencioso de la retención. Puedes eliminar datos en la app y aún tenerlos vivitos en hojas de cálculo, adjuntos de correo, unidades compartidas o extractos BI ad hoc.
Algunas soluciones prácticas evitan el comportamiento de “conservarlo todo”:
El registro es un acto de equilibrio: muy poco y no puedes probar que el flujo funcionó; demasiado y tus logs se convierten en un nuevo problema de privacidad.
Antes de confiar un calendario de eliminación en producción, realiza una prueba de “¿podemos demostrarlo?”. El flujo solo es tan fuerte como el eslabón más débil: el responsable que falta, el backup silencioso o el trabajo que borra lo equivocado.
Realiza un ejercicio de mesa corto con las personas que usarán el proceso (legal, seguridad, TI y el equipo de negocio que posee los datos).
Si algún elemento es difícil de responder, ajusta el flujo antes de que lo ponga a prueba un regulador, auditor o tribunal.
Elige un objeto de datos real (por ejemplo, un perfil de cliente) y síguelo de extremo a extremo: dónde se crea, dónde se copia y cómo se elimina. Luego coloca un legal hold ligado a un ID de caso, ejecuta un trabajo de eliminación, libera el hold y ejecuta la eliminación de nuevo. Guarda el informe y comprueba si alguien fuera de tu equipo puede leerlo.
Un cliente cierra su cuenta el 1 de marzo. Tu política dice: eliminar datos de perfil después de 30 días, eliminar conversaciones de soporte después de 90 días y conservar facturas 7 años (las normas fiscales y contables suelen exigirlo).
El 20 de abril, el mismo cliente presenta una disputa de facturación por una factura de febrero. Aquí es donde el flujo debería sentirse preciso, no alarmante.
Haces dos cosas a la vez. Continúas la eliminación normal para todo lo no relacionado con la disputa. También colocas un legal hold en un pequeño conjunto de registros que prueban lo sucedido.
Lo que se elimina según el calendario (porque no es necesario para la disputa) puede incluir preferencias de marketing, chats antiguos no relacionados con facturación, eventos de uso del producto fuera de la ventana analítica y notas internas que no forman parte de la decisión de facturación.
Lo que guardas como evidencia y pones en hold:
El hold debe ser dirigido: solo facturas y tickets relacionados. No debe congelarse toda la cuenta del cliente salvo que sea necesario.
Cuando la disputa se resuelva, libera el hold, registra el resultado (aprobada, denegada, reembolso parcial) y reanuda las eliminaciones pausadas de los ítems retenidos.
Una auditoría suele hacer preguntas básicas: qué se eliminó, por qué y cómo evitaste la eliminación de los registros en disputa. Debes poder mostrar reglas de retención, fechas de inicio y fin de hold, la lista de IDs retenidos y una traza de eventos que pruebe que las eliminaciones se ejecutaron a tiempo para todo lo demás.
Una política de retención solo funciona cuando se convierte en trabajo rutinario. Empieza pequeño, demuéstralo y luego expande. Elige un tipo de dato (por ejemplo, tickets de soporte), un sistema y un informe que muestre qué se eliminó, qué se retuvo y por qué.
Realiza un piloto breve de 2 a 4 semanas y busca fricciones: responsables poco claros, aprobaciones faltantes y solicitudes de hold que llegan tarde. Corrige eso antes de escalar a más sistemas.
Un plan de despliegue que aguante la presión:
Mantén el procedimiento de hold lo suficientemente corto como para que la gente lo use. Una página es suficiente si responde: quién puede solicitar un hold, quién lo aprueba, qué debe incluir (alcance, motivo, fecha de inicio) y qué ocurre cuando termina.
No dejes que los holds queden abiertos por defecto. Programa recordatorios que obliguen a decidir: renovar el hold con una razón, acortarlo o cerrarlo.
Si gestionas aprobaciones, registros y ejecuciones de eliminación con correos y hojas de cálculo, considera poner el flujo en una app interna para que el proceso sea consistente. Los equipos a veces construyen este tipo de rastreador de retención y hold en AppMaster (appmaster.io) para que reglas, holds y registros de auditoría vivan en un solo lugar y los trabajos de eliminación puedan omitir registros retenidos mientras limpian todo lo demás.
21 ene 2026
8 min
20 ene 20268 min
20 ene 20268 minExperimente con AppMaster con plan gratuito.
Cuando esté listo, puede elegir la suscripción adecuada.
