Retención de datos y API

Enfoque de Anthropic para la retención de datos

Las diferentes APIs y características tienen diferentes necesidades de almacenamiento y retención. Cuando una API o característica no requiere almacenamiento de indicaciones o respuestas del cliente, puede ser elegible para ZDR. Cuando una API o característica necesariamente requiere almacenamiento de indicaciones o respuestas del cliente, Anthropic diseña para la huella de retención más pequeña posible. Para estas características:

• Los datos retenidos nunca se utilizan para el entrenamiento de modelos sin tu permiso expreso.
• Solo se retiene lo técnicamente necesario para que la API y la característica funcionen. El contenido de la conversación (tus indicaciones y los resultados de Claude) nunca se retiene a menos que se indique explícitamente.
• Los datos se purgan en el TTL más corto práctico, y Anthropic tiene como objetivo dar a los clientes control sobre cuánto tiempo se retienen los datos. Lo que se retiene y la duración de retención donde se aplica un TTL específico se documenta en la página de cada característica.

En la tabla de elegibilidad de características, algunas características están marcadas como "Sí (calificado)" en la columna elegible para ZDR. Si tu organización tiene un arreglo ZDR, puedes usar estas características con la confianza de que lo que Anthropic retiene es limitado y es requerido para un rendimiento óptimo.

Alcance de la retención cero de datos (ZDR)

Qué cubre ZDR

• Ciertas APIs de Claude: ZDR se aplica a las APIs de Mensajes de Claude y Conteo de Tokens
• Claude Code: ZDR se aplica cuando se usa con claves de API de organización Comercial o a través de Claude Enterprise (ver documentos de ZDR de Claude Code)

Qué NO cubre ZDR

• Console y Workbench: Cualquier uso en Console o Workbench
• Productos de consumidor de Claude: Planes Claude Free, Pro o Max, incluyendo cuando los clientes en esos planes usan las aplicaciones web, de escritorio o móviles de Claude o Claude Code
• Claude Teams y Claude Enterprise: Las interfaces de productos Claude Teams y Claude Enterprise no son elegibles para ZDR, excepto para Claude Code cuando se usa a través de Claude Enterprise con ZDR habilitado para la organización. Para otras interfaces de productos, solo las claves de API de organización Comercial son elegibles para ZDR.
• Integraciones de terceros: Los datos procesados por sitios web de terceros, herramientas u otras integraciones no son elegibles para ZDR, aunque algunos pueden tener ofertas similares. Cuando uses servicios externos en conjunto con la Claude API, asegúrate de revisar las prácticas de manejo de datos de esos servicios.

Disponibilidad para HIPAA

La Claude API admite integraciones listas para HIPAA para organizaciones que manejan información de salud protegida (PHI). Con un BAA firmado y una organización habilitada para HIPAA, puedes usar características de API compatibles para procesar PHI mientras apoyas el cumplimiento de HIPAA de tu organización.

Anteriormente, las organizaciones que requerían disponibilidad para HIPAA en la Claude API necesitaban habilitar ZDR. El acceso a API listo para HIPAA elimina este requisito y proporciona una base para que Anthropic habilite progresivamente características adicionales a medida que se auditen para disponibilidad para HIPAA.

Primeros pasos

Para configurar el acceso a API listo para HIPAA:

Alcance de la disponibilidad para HIPAA

Qué cubre la disponibilidad para HIPAA

• Claude API: La disponibilidad para HIPAA se aplica a la Claude API (api.anthropic.com) para características elegibles listadas en la tabla de elegibilidad de características.

Qué NO cubre la disponibilidad para HIPAA

• Productos de consumidor de Claude: Planes Claude Free, Pro o Max
• Console y Workbench: Uso a través de la interfaz de Claude Console
• Plataformas de terceros: Claude en AWS Bedrock o Google Cloud Vertex AI (consulta la documentación de cumplimiento de esas plataformas)
• Integraciones de terceros: Datos procesados por herramientas externas o servicios conectados a tu aplicación
• Claude Code: Claude Code no está cubierto bajo la disponibilidad para HIPAA
• Características beta: Las características en beta generalmente no están cubiertas bajo el BAA a menos que se listen explícitamente como elegibles en la tabla de elegibilidad de características

Directrices de manejo de PHI

La información de salud protegida (PHI) incluye cualquier información de salud identificable individualmente. En el contexto de la Claude API, PHI típicamente aparece en:

• Contenido de mensajes (indicaciones y respuestas de Claude)
• Archivos adjuntos (imágenes, PDFs)
• Nombres de archivo y metadatos asociados con contenido de mensajes

Los siguientes campos no se espera que contengan PHI bajo el BAA: nombres de espacios de trabajo, información del usuario (nombre, correo electrónico, número de teléfono), datos de facturación y tickets de soporte.

Restricciones de definición de esquema y herramienta

Cuando se usan resultados estructurados o herramientas con strict: true, la API compila esquemas JSON en gramáticas que se almacenan en caché separadamente del contenido del mensaje. Estos esquemas almacenados en caché no reciben las mismas protecciones de PHI que indicaciones y respuestas.

No incluyas PHI en definiciones de esquema JSON. Esta restricción se aplica a:

• Nombres de propiedades de esquema
• Valores de enum
• Valores de const
• Expresiones regulares de pattern

La información específica del paciente solo debe aparecer en contenido de mensajes, donde está protegida bajo salvaguardas de HIPAA.

Manejo de errores de HIPAA

Tu BAA firmado es la fuente oficial de verdad para qué características están cubiertas. La API también aplica estas restricciones automáticamente: cuando una organización habilitada para HIPAA envía una solicitud que incluye una característica no elegible, la API devuelve un error 400 para prevenir el uso accidental de características no cubiertas por tu BAA:

{
  "type": "error",
  "error": {
    "type": "invalid_request_error",
    "message": "The requested features are not available for HIPAA-regulated organizations without Zero Data Retention: code_execution."
  }
}

El mensaje de error lista las características no elegibles detectadas en la solicitud. Elimina estas características de tu solicitud y reintenta.

Elegibilidad de características

La siguiente tabla lista qué características de Claude API son elegibles para arreglos ZDR y disponibilidad para HIPAA. Para organizaciones habilitadas para HIPAA, las características marcadas como "No" en la columna HIPAA se bloquean automáticamente, y las solicitudes que las incluyen devuelven un error 400.

¹ El filtrado dinámico no es elegible para ZDR o HIPAA.

² Aunque la obtención web es elegible para ZDR, los editores de sitios web pueden retener datos de solicitud (como URLs obtenidas y metadatos de solicitud) según sus propias políticas.

³ PHI no debe incluirse en definiciones de esquema JSON. Ver Directrices de manejo de PHI.

Limitaciones y exclusiones

CORS no soportado para ZDR

Intercambio de Recursos de Origen Cruzado (CORS) no es soportado para organizaciones con arreglos ZDR. Si necesitas hacer llamadas de API desde aplicaciones basadas en navegador, debes:

• Usar un servidor proxy de backend para hacer llamadas de API en nombre de tu frontend
• Implementar tu propio manejo de CORS en el servidor proxy
• Nunca exponer claves de API directamente en JavaScript del navegador

Retención de datos para violaciones de política y donde lo requiere la ley

Incluso con arreglos ZDR o HIPAA en lugar, Anthropic puede retener datos donde lo requiere la ley o para combatir violaciones de Política de Uso y usos maliciosos de la plataforma de Anthropic. Como resultado, si un chat o sesión se marca por tal violación, Anthropic puede retener entradas y salidas hasta 2 años.

Preguntas frecuentes

Recursos relacionados

• Política de Privacidad
• Resultados estructurados
• Almacenamiento en caché de indicaciones
• Procesamiento por lotes
• API de Archivos
• Centro de Confianza