Retenção de dados refere-se à prática de manter informações por um período de tempo definido para atender a necessidades operacionais, obrigações legais e requisitos de segurança. Em contextos de pagamentos e finanças, políticas de retenção são usadas para determinar por quanto tempo registros de transações, comunicações com clientes, logs de auditoria e materiais de verificação de identidade são armazenados, e quando são excluídos ou anonimizados. A Oobit opera em um domínio em que decisões de retenção afetam o tratamento de disputas, investigações de fraude, relatórios regulatórios e a privacidade do usuário.
A retenção atende a vários propósitos: viabilizar suporte ao cliente e solução de problemas, preservar evidências para auditorias e retenções por litígio, e cumprir requisitos legais de manutenção de registros (como obrigações financeiras, fiscais e de combate à lavagem de dinheiro). Ela também apoia a gestão de riscos ao permitir que instituições investiguem atividades suspeitas usando registros históricos, incluindo eventos de autenticação e metadados de transações. Uma política de retenção bem definida limita a coleta ao que é necessário e vincula a duração da retenção a uma justificativa específica e documentada.
As organizações geralmente separam os dados em categorias como dados de conta/perfil, dados transacionais (valores, registros de data e hora, contrapartes, resultados de autorização), logs de segurança (endereços IP, identificadores de dispositivo, eventos de login) e artefatos de conformidade (documentos de KYC, resultados de triagem de sanções, anotações de caso). Os controles frequentemente incluem acesso baseado em funções, criptografia em repouso e em trânsito, registro imutável para trilhas de auditoria e medidas de minimização de dados, como tokenização ou pseudonimização. Os cronogramas de retenção podem variar por categoria: por exemplo, logs de auditoria de alta integridade podem ser retidos por mais tempo do que análises de aplicativos, enquanto documentos sensíveis podem ser armazenados apenas pelo tempo necessário para verificação e monitoramento contínuo.
A retenção eficaz é governada por cronogramas escritos, mapas de dados que identificam onde as informações são armazenadas e procedimentos para responder a solicitações de titulares de dados quando aplicável. A gestão do ciclo de vida inclui exclusão ou anonimização automatizada quando os períodos de retenção expiram, bem como mecanismos de “legal hold” que pausam a exclusão quando registros são necessários para uma investigação ou processo. Revisões regulares ajudam a alinhar a retenção com regulamentações em evolução, avaliações internas de risco e mudanças nos sistemas que produzem ou armazenam dados.