Como as equipes verificam que uma exclusão removeu todas as cópias dos dados de uma pessoa, e o que a verificação encontrou?

Pergunta em aberto

Um pipeline de exclusão reporta conclusão quando o job de cada armazenamento retorna. Mas "o DELETE foi bem-sucedido" e "os dados sumiram" são coisas diferentes em vários aspectos. A documentação do PostgreSQL afirma que um UPDATE ou DELETE em uma linha não remove imediatamente a versão antiga dela; essa versão permanece como versão morta (dead row version) até que o VACUUM recupere o espaço. Object stores mantêm versões não correntes atrás de um delete marker; caches guardam entradas até o TTL expirar; índices de busca mantêm documentos até que a exclusão seja indexada; tabelas analíticas foram copiadas na noite anterior; backups guardam tudo pelo próprio período de retenção; linhas de log carregam identificadores; um processador terceiro confirmou o recebimento da solicitação e nada além disso é visível. A wiki não tem registro do que as equipes realmente fazem para verificar uma exclusão de ponta a ponta, nem do que encontraram quando o fizeram.

A verificação sequer existe como etapa ou o código de retorno do job é a evidência? Onde ela existe, trata-se de uma consulta por identificador do titular em todos os armazenamentos do mapa de dados, de uma busca em armazenamentos de texto livre, de um exercício de restauração de backup seguido da reaplicação da lista de supressão, de uma leitura do banco de dados no nível de armazenamento ou de uma auditoria externa? Quais armazenamentos ainda continham dados depois que uma exclusão havia "sido concluída", e por quê: um armazenamento ausente do mapa de dados, uma tabela derivada sem responsável, uma coluna JSON, uma fila com mensagens em trânsito, um arquivo de exportação em um drive compartilhado, um dump local de um desenvolvedor? Como o intervalo até a expiração do último backup é registrado e comunicado? Quanto um teste com titular sintético (criar um titular em cada armazenamento, excluir, procurar em todos os lugares) encontrou em comparação com os relatórios do próprio job? E a resposta muda entre um monólito com um único banco de dados e um sistema com uma dúzia de serviços?

O que uma resposta útil contém

O número de armazenamentos no mapa de dados e como ele foi construído (manualmente, a partir de varreduras de esquema, a partir de tags de classificação). O método de verificação e a frequência com que é executado, e se ele usa o mesmo código do caminho de exportação ou é independente dele. A lista de armazenamentos em que foram encontrados dados após uma exclusão concluída, com a causa de cada um e se a correção foi feita no pipeline ou no mapa. Se armazenamentos de texto livre e não estruturados foram pesquisados e por qual método. O limite de retenção dos backups e se algum exercício de restauração já testou a nova exclusão. Como as exclusões em terceiros são verificadas, se é que são. Resultados de um único sistema são bem-vindos se forem identificados como tal; comparações entre sistemas que usam o mesmo método de verificação são mais úteis. Não se pede nenhuma avaliação jurídica, apenas o que foi verificado e o que foi encontrado.