Effective: 05/20/26 · Version: 1.0

StackSense Data Retention Policy

StackSense is still in beta; these policies are subject to change as the product evolves. This policy defines how long StackSense keeps each category of personal data, why, and how it gets deleted. It supports the Privacy Policy and internal compliance obligations.

Purpose

Define how long StackSense keeps each category of personal data, why, and how it gets deleted. This document supports the Privacy Policy section 7 and is required by GDPR Article 5(1)(e), Quebec Law 25, and several state privacy laws.

This is both a user-facing commitment (summarized in the Privacy Policy) and an internal engineering specification.

1. Retention principles

We collect only the minimum data needed
We keep it only as long as needed to deliver the service or meet a legal obligation
We delete it on a documented schedule
Users can trigger early deletion through the data rights panel
Some categories must be retained longer because law requires it (billing, tax)
Backups are deleted on a rolling cycle, not instantly, and users are informed of this

2. Retention schedule by data category

Data category	Source	Retention while account active	Retention after account deletion	Legal basis for retention period
Account email and hashed password	User signup	Until account is deleted	Soft-deleted immediately. Hard-deleted within 90 days.	Performance of contract while active. Limited post-deletion for backup cycle.
Supplement, peptide, dose logs	User entry	Until account is deleted	Permanently deleted within 90 days from primary DB. Up to 6 months in backups.	Performance of contract. Health data deletion is mandatory under GDPR right to erasure.
Symptom logs	User entry	Until account is deleted	Permanently deleted within 90 days. Up to 6 months in backups.	Same.
Body composition data	User entry	Until account is deleted	Permanently deleted within 90 days.	Same.
Injection site notes	User entry	Until account is deleted	Permanently deleted within 90 days.	Same.
Photos attached to logs	User upload	Until account is deleted or user deletes the photo	Permanently deleted within 90 days.	Same.
Protocol notes / cycle plans	User entry	Until account is deleted	Permanently deleted within 90 days.	Same.
Subscription tier and status	Stripe + our DB	Until account is deleted	Anonymized after deletion. Tier never linked back.	Service delivery.
Billing records (invoices, payment history)	Stripe	7 years from issuance	7 years from issuance	Canadian tax law (Income Tax Act), Quebec consumer protection law, GAAP. This overrides user deletion requests for billing records only. Users get a clear notice about this in the deletion flow.
Stripe customer record	Stripe	Until account is deleted	Anonymized in Stripe (PII fields cleared) after 90 days. Stripe retains transaction records for their compliance reasons (PCI-DSS, AML).	Stripe DPA defines their retention.
IP address (server logs)	Web server, Vercel	30 days	30 days	Security investigation window. Required for abuse prevention.
User-agent strings, device type	Web server	30 days	30 days	Same.
PostHog / Plausible analytics events	App	90 days	n/a (anonymized at collection)	Trend analysis. Beyond 90 days we use aggregates.
Sentry crash reports (if user opted in)	App	90 days	90 days	Bug investigation.
Email correspondence (to privacy@, support@)	Gmail/Workspace	3 years	3 years	Limitations period for consumer claims. We may shorten this once we have legal counsel.
Compliance records (DPAs, breach register, DPIA, audit logs)	Internal	Indefinite for active records, 7 years after retirement	Same	Required for regulator inspection.
Signup ToS and Privacy acceptance records	DB	Indefinite while account exists, 7 years after deletion	7 years	Required to prove consent in disputes.

3. Definitions

Soft delete: account is marked deleted, user can no longer log in, data is not accessible through the app, but row still exists for the deletion grace period.
Hard delete: row is removed from the primary database.
Backup deletion: data is removed from the primary database but may persist in encrypted backups for the duration of the backup rotation cycle. After the rotation cycle, the backups roll off and the data is gone.
Anonymization: PII fields are nulled or replaced with non-identifying values. The record continues to exist for the legally-required purpose (e.g., billing) but cannot be linked to the user.

4. Deletion grace period

When a user deletes their account, we apply the following grace period to prevent accidents:

0 to 24 hours after deletion request: Account is soft-deleted. User can sign in and reverse the deletion by clicking a recovery link in the deletion-confirmation email.
24 hours to 7 days after deletion: Account remains soft-deleted. Recovery requires emailing privacy@stacksense.ca with proof of identity.
After 7 days: Hard deletion runs on the next nightly cron job. Recovery is no longer possible.
7 days to 90 days: Data is purged from primary DB. Backups roll off on their normal cycle (we use Supabase point-in-time recovery with a 7-day retention plus weekly snapshots retained 30 days, so worst case ~6 months for the oldest snapshot to roll off).
After 90 days: All identifying health data is gone from primary systems. Backups may still hold up to 6-month-old snapshots. We do not selectively delete from backups. When backups age out on rotation, that data is gone.

Users are told this explicitly in the deletion flow and in the Privacy Policy.

6. Exception: legal hold

If StackSense receives a litigation hold or regulator preservation order, the deletion job must skip affected users. Implement an admin flag:

ALTER TABLE users ADD COLUMN legal_hold BOOLEAN DEFAULT FALSE;

Cron job: WHERE deleted_at IS NOT NULL AND purge_after < NOW() AND legal_hold = FALSE.

When a hold is in place, the user remains soft-deleted but data is preserved. Inform the user that we have received a legal order (unless prohibited from doing so).

7. Exception: billing records

Stripe customer records and our local billing-summary records (subscription_history, invoices, payment_history) are retained for 7 years from the transaction date. This is to satisfy:

Canadian Income Tax Act record-keeping rules (6 years)
Quebec Consumer Protection Act dispute window
GAAP financial recordkeeping
Potential chargeback windows (varies but lengthy)

Tell users this in the deletion flow:

When you delete your account, your health data is gone from our active database within 90 days. Your billing records will be retained for 7 years because tax law requires it. These records show only that you paid for the service, the amount, and the date. They do not include health data.

This honors the user's right to erasure to the maximum extent permitted under Article 17(3)(b) GDPR (compliance with legal obligation).

8. User-triggered partial deletions

Users can also delete individual logs (a wrong entry, a private note) without deleting their whole account. These deletions follow the same backup-rotation rule: gone from primary DB immediately, gone from backups on rotation.

We do not maintain a "trash bin" by default. If a user wants undo, that's a product feature, not a compliance one. Currently out of scope.

9. Vendor responsibilities

Each vendor processing user data must also honor deletion within a comparable timeline. Verified via:

Vendor	Their retention commitment	Where documented
Supabase	Honors data deletion within standard backup window	DPA
Vercel	Logs auto-delete on schedule, no persistent user PII	DPA
Stripe	Anonymizes customer PII on request, retains transaction data per their compliance	DPA
Anthropic	No personal data sent under our integration. Generic compound queries only.	DPA + architecture review
PostHog / Plausible	Anonymized at collection, 90-day retention	Privacy settings + DPA
Sentry	90-day retention setting we control	Project settings

When we delete a user, we trigger downstream deletion at each vendor where required.

10. User communication

Summarize this in plain English in the Privacy Policy section 7 and the in-app data rights panel. Don't make users read this whole policy.

User-facing summary:

When you delete your account, your health data is gone from our active database within 90 days. Backups roll off over the following 6 months. Your billing records are retained for 7 years because tax law requires it.

11. Review

This policy is reviewed annually, or whenever:

A new data category is added
A new vendor is engaged
Law changes require it
An incident reveals a gap

Last reviewed: 05/20/26

End of Data Retention Policy. Version 1.0.

Politique de conservation des données StackSense

Cette politique définit pendant combien de temps StackSense conserve chaque catégorie de données personnelles, pourquoi et comment elles sont supprimées. Elle soutient la section 7 de la Politique de confidentialité et les obligations de conformité internes.

Il s'agit à la fois d'un engagement public et d'une spécification technique interne.

1. Principes de conservation

Nous ne collectons que le minimum de données nécessaire
Nous ne les conservons que le temps nécessaire pour fournir le service ou répondre à une obligation légale
Nous les supprimons selon un calendrier documenté
Les utilisateurs peuvent déclencher une suppression anticipée via le panneau de droits des données
Certaines catégories doivent être conservées plus longtemps parce que la loi l'exige (facturation, fiscalité)
Les sauvegardes sont supprimées sur un cycle glissant, pas instantanément, et les utilisateurs en sont informés

2. Calendrier de conservation par catégorie de données

Catégorie de données	Source	Conservation pendant le compte actif	Conservation après suppression du compte	Base juridique du délai de conservation
Adresse e-mail et mot de passe haché	Inscription de l'utilisateur	Jusqu'à la suppression du compte	Suppression logique immédiate. Suppression définitive sous 90 jours.	Exécution du contrat pendant la période active. Conservation limitée après suppression pour le cycle de sauvegarde.
Journaux de suppléments, peptides et dosages	Saisie utilisateur	Jusqu'à la suppression du compte	Suppression définitive sous 90 jours depuis la base de données principale. Jusqu'à 6 mois en sauvegarde.	Exécution du contrat. La suppression des données de santé est obligatoire en vertu du droit d'effacement du RGPD.
Journaux de symptômes	Saisie utilisateur	Jusqu'à la suppression du compte	Suppression définitive sous 90 jours. Jusqu'à 6 mois en sauvegarde.	Idem.
Données de composition corporelle	Saisie utilisateur	Jusqu'à la suppression du compte	Suppression définitive sous 90 jours.	Idem.
Notes sur les sites d'injection	Saisie utilisateur	Jusqu'à la suppression du compte	Suppression définitive sous 90 jours.	Idem.
Photos jointes aux journaux	Téléversement utilisateur	Jusqu'à la suppression du compte ou la suppression de la photo par l'utilisateur	Suppression définitive sous 90 jours.	Idem.
Notes de protocole / plans de cycle	Saisie utilisateur	Jusqu'à la suppression du compte	Suppression définitive sous 90 jours.	Idem.
Niveau et statut d'abonnement	Stripe + notre base	Jusqu'à la suppression du compte	Anonymisation après suppression. Le niveau n'est plus lié.	Prestation du service.
Dossiers de facturation (factures, historique de paiement)	Stripe	7 ans à partir de l'émission	7 ans à partir de l'émission	Loi fiscale canadienne (Loi de l'impôt sur le revenu), loi québécoise sur la protection du consommateur, principes comptables.
Enregistrements client Stripe	Stripe	Jusqu'à la suppression du compte	Anonymisation dans Stripe (champs PII effacés) après 90 jours. Stripe conserve les enregistrements de transaction pour ses obligations de conformité (PCI-DSS, AML).	La DPA Stripe définit leur conservation.
Adresse IP (journaux serveur)	Serveur Web, Vercel	30 jours	30 jours	Fenêtre d'investigation de sécurité. Requise pour la prévention des abus.
Chaînes user-agent, type d'appareil	Serveur Web	30 jours	30 jours	Idem.
Événements analytiques PostHog / Plausible	Application	90 jours	n/a (anonymisés à la collecte)	Analyse des tendances. Au-delà de 90 jours, nous utilisons des agrégats.
Rapports de plantage Sentry (si opt-in)	Application	90 jours	90 jours	Investigation de bugs.
Correspondance e-mail (privacy@, support@)	Gmail/Workspace	3 ans	3 ans	Délai de prescription pour les réclamations des consommateurs. Nous pourrons réduire cela après avis juridique.
Dossiers de conformité (DPA, registre des violations, AIPD, journaux d'audit)	Interne	Indéfini pour les dossiers actifs, 7 ans après mise hors service	Idem	Requis pour inspection des régulateurs.
Registres d'acceptation des CGU et de la Politique de confidentialité	Base de données	Indéfini tant que le compte existe, 7 ans après suppression	7 ans	Requis pour prouver le consentement en cas de litige.

3. Définitions

Suppression logique : le compte est marqué comme supprimé, l'utilisateur ne peut plus se connecter, les données ne sont plus accessibles via l'application, mais la ligne existe pendant la période de grâce.
Suppression définitive : la ligne est supprimée de la base de données principale.
Suppression des sauvegardes : les données sont supprimées de la base de données principale mais peuvent persister dans des sauvegardes chiffrées pendant la durée du cycle de rotation. Après cette durée, les sauvegardes deviennent inutilisables et les données disparaissent.
Anonymisation : les champs PII sont nuls ou remplacés par des valeurs non identifiantes. L'enregistrement existe toujours pour une finalité requise légalement (par exemple, facturation) mais ne peut plus être rattaché à l'utilisateur.

4. Période de grâce de suppression

Lorsque un utilisateur supprime son compte, nous appliquons la période de grâce suivante afin d'éviter les accidents :

0 à 24 heures après la demande de suppression : le compte est supprimé logiquement. L'utilisateur peut se reconnecter et annuler la suppression en cliquant sur un lien de récupération dans l'e-mail de confirmation de suppression.
24 heures à 7 jours après la suppression : le compte reste supprimé logiquement. La récupération nécessite d'écrire à privacy@stacksense.ca avec une preuve d'identité.
Après 7 jours : la suppression définitive est effectuée lors du prochain travail cron nocturne. La récupération n'est plus possible.
7 à 90 jours : les données sont purgées de la base de données principale. Les sauvegardes sont supprimées selon leur cycle normal (nous utilisons la récupération point-in-time Supabase avec une conservation de 7 jours plus des instantanés hebdomadaires conservés 30 jours, soit au pire environ 6 mois pour les instantanés les plus anciens).
Après 90 jours : toutes les données de santé identifiantes sont supprimées des systèmes principaux. Les sauvegardes peuvent encore contenir des instantanés vieux de 6 mois. Nous ne supprimons pas sélectivement des sauvegardes. Lorsque les sauvegardes arrivent en fin de cycle, les données disparaissent.

Nous informons les utilisateurs de cela explicitement dans le flux de suppression et dans la Politique de confidentialité.

6. Exception : conservation juridique

Si StackSense reçoit une mesure de conservation judiciaire ou une ordonnance de régulateur, la tâche de suppression doit ignorer les utilisateurs concernés. Implémenter un indicateur administratif :

ALTER TABLE users ADD COLUMN legal_hold BOOLEAN DEFAULT FALSE;

Tâche cron : WHERE deleted_at IS NOT NULL AND purge_after < NOW() AND legal_hold = FALSE.

Lorsqu'une conservation est en place, l'utilisateur reste supprimé logiquement mais les données sont conservées. Informer l'utilisateur qu'une ordonnance légale a été reçue (sauf si la loi interdit de le faire).

7. Exception : dossiers de facturation

Les dossiers clients Stripe et nos propres dossiers de facturation locale (subscription_history, invoices, payment_history) sont conservés 7 ans à compter de la date de transaction. Cela permet de satisfaire :

La Loi de l'impôt sur le revenu canadienne (6 ans)
La période de contestation de la Loi sur la protection du consommateur du Québec
Les principes comptables généralement reconnus
Les délais potentiels de rétrofacturation (varient mais sont longs)

Informer les utilisateurs de cela dans le flux de suppression :

Lorsque vous supprimez votre compte, vos données de santé sont effacées de notre base de données active sous 90 jours. Vos dossiers de facturation sont conservés pendant 7 ans parce que la loi fiscale l'exige. Ces dossiers ne montrent que que vous avez payé pour le service, le montant et la date. Ils n'incluent pas de données de santé.

Cela respecte le droit à l'effacement de l'utilisateur dans la mesure maximale permise par l'article 17(3)(b) du RGPD (obligation légale).

8. Suppressions partielles déclenchées par l'utilisateur

Les utilisateurs peuvent également supprimer des entrées individuelles (une saisie incorrecte, une note privée) sans supprimer l'ensemble du compte. Ces suppressions suivent la même règle de cycle de sauvegarde : elles disparaissent de la base principale immédiatement, et des sauvegardes lors de leur rotation.

Nous ne maintenons pas de « corbeille » par défaut. Si un utilisateur souhaite annuler une suppression, c'est une fonctionnalité produit, pas une exigence de conformité. Actuellement hors scope.

9. Responsabilités des fournisseurs

Chaque fournisseur traitant des données utilisateur doit également respecter une suppression dans un délai comparable. Vérifié via :

Fournisseur	Engagement de conservation	Où documenté
Supabase	Respecte la suppression dans le délai standard des sauvegardes	DPA
Vercel	Journaux auto-supprimés selon le calendrier, pas de PII utilisateur persistante	DPA
Stripe	Anonymise les PII client sur demande, conserve les données de transaction pour sa conformité	DPA
Anthropic	Pas de données personnelles envoyées via notre intégration. Requêtes génériques sur les composés uniquement.	DPA + revue d'architecture
PostHog / Plausible	Anonymisés à la collecte, conservation de 90 jours	Paramètres de confidentialité + DPA
Sentry	Conservation de 90 jours que nous contrôlons	Paramètres de projet

Lorsque nous supprimons un utilisateur, nous déclenchons la suppression en aval chez chaque fournisseur concerné.

10. Communication aux utilisateurs

Résumez cela en termes simples dans la section 7 de la Politique de confidentialité et dans le panneau des droits des données de l'application. Ne forcez pas les utilisateurs à lire toute cette politique.

Résumé destiné aux utilisateurs :

Lorsque vous supprimez votre compte, vos données de santé sont supprimées de notre base de données active sous 90 jours. Les sauvegardes s'effilent au cours des 6 mois suivants. Vos dossiers de facturation sont conservés pendant 7 ans parce que la loi l'exige.

11. Révision

Cette politique est révisée annuellement, ou chaque fois que :

Une nouvelle catégorie de données est ajoutée
Un nouveau fournisseur est engagé
Des changements législatifs l'exigent
Un incident révèle une lacune

Dernière révision : 05/20/26

Fin de la politique de conservation des données. Version 1.0.