API y retención de datos

Esta página cubre la Claude API (api.anthropic.com), Claude Platform en AWS y Claude en Microsoft Foundry, donde Anthropic es el procesador de datos. En Amazon Bedrock y Google Cloud's Agent Platform, el proveedor de nube es el procesador de datos; consulta la documentación de retención de datos y cumplimiento de esas plataformas para conocer sus controles equivalentes.

Anthropic ofrece dos arreglos de manejo de datos para la Claude API: "zero data retention" (retención cero de datos), o ZDR y preparación para HIPAA. La tabla de elegibilidad de funciones enumera qué funciones de la API cubre cada arreglo. Para conocer las políticas de retención estándar de Anthropic fuera de estos arreglos, consulta la política de retención de datos comerciales y la política de retención de datos de consumidores.



Cómo aborda Anthropic la retención de datos

Diferentes APIs y funciones tienen diferentes necesidades de almacenamiento. Cuando una función no requiere el almacenamiento de los prompts o respuestas del cliente, puede ser elegible para ZDR. Cuando una función necesariamente requiere almacenamiento, Anthropic diseña para la menor huella de retención posible bajo los siguientes compromisos:

• Los datos retenidos nunca se usan para el entrenamiento de modelos sin tu permiso expreso.
• Solo se retiene lo que es técnicamente necesario para que la función funcione. El contenido de la conversación (tus prompts y las salidas de Claude) no se retiene de forma predeterminada; la excepción son los Covered Models, que requieren una retención de 30 días.
• Los datos retenidos se purgan en el "time to live" (tiempo de vida), o TTL, más corto posible, y Anthropic busca dar a los clientes control sobre cuánto tiempo se retienen los datos. Lo que se conserva, y la duración de la retención cuando aplica un TTL específico, está documentado en la página de cada función.

Varios modelos de retención quedan fuera de los arreglos de ZDR y HIPAA descritos en esta página. Los datos accesibles a través de la Compliance API siguen su propio modelo de retención, el Activity Feed retiene datos durante 6 años, y el contenido de chats, archivos y proyectos de claude.ai sigue la política de retención de tu organización configurada en claude.ai > Configuración de la organización > Datos y privacidad.



Retención cero de datos (ZDR)

Bajo un arreglo de ZDR, Anthropic no almacena los prompts ni las respuestas del cliente en reposo después de que se devuelve la respuesta de la API. Para solicitar ZDR para tu organización, contacta al equipo de ventas de Anthropic. ZDR se habilita por organización; cada nueva organización requiere que tu equipo de cuenta habilite ZDR por separado, y la habilitación no se extiende automáticamente a otras organizaciones bajo la misma cuenta.



Qué cubre ZDR

• Claude Messages y Token Counting APIs: ZDR se aplica a estos endpoints para las funciones elegibles enumeradas en la tabla de elegibilidad de funciones. Las funciones que se apoyan en /v1/messages pero están marcadas como "No" en la tabla (como la ejecución de código) no están cubiertas.
• Claude Code: ZDR se aplica cuando Claude Code se usa con claves de API de una organización Comercial (una organización bajo los Términos de Servicio Comerciales de Anthropic, a diferencia de una cuenta de Claude de consumidor) o a través de Claude Enterprise con ZDR habilitado. Si el registro de métricas está habilitado en Claude Code, los datos de productividad, como las estadísticas de uso, están exentos de ZDR y pueden retenerse. Consulta la documentación de ZDR de Claude Code para obtener todos los detalles.
• Claude Platform en AWS: Claude Platform en AWS sigue la misma política de retención de datos que la Claude API de primera parte. ZDR está disponible bajo solicitud; contacta a tu representante de cuenta de Anthropic para habilitarlo.



Qué no cubre ZDR

• Console y Workbench: Cualquier uso en Claude Console o en la interfaz de prueba de prompts de Workbench.
• Claude Managed Agents: Claude Managed Agents es un recurso con estado; las transcripciones de sesión persisten hasta que las elimines.
• Productos de consumidor de Claude: Los planes Claude Free, Pro y Max, incluso cuando los clientes de esos planes usan las aplicaciones web, de escritorio o móviles de Claude o Claude Code.
• Interfaces de producto de Claude Teams y Claude Enterprise: Estas interfaces no son elegibles para ZDR. La excepción es Claude Code usado a través de Claude Enterprise con ZDR habilitado; consulta Qué cubre ZDR.
• Claude for Excel: Actualmente no es elegible para ZDR.
• Claude Fable 5 y Claude Mythos 5: Estos modelos requieren una retención de datos de 30 días y no están disponibles bajo ZDR. Consulta Requisitos de retención de datos específicos por modelo.
• Integraciones de terceros: Los datos procesados por sitios web, herramientas u otras integraciones de terceros no están cubiertos, aunque algunos pueden tener ofertas similares. Revisa las prácticas de manejo de datos de cada servicio.
• "Cross-Origin Resource Sharing" (intercambio de recursos de origen cruzado), o CORS: CORS no es compatible con organizaciones con arreglos de ZDR. Para realizar llamadas a la API desde aplicaciones basadas en navegador, enruta las solicitudes a través de un servidor proxy de backend. Consulta la guía de seguridad de la API para conocer patrones de proxy y el manejo de claves de API.
• Contenido marcado y retenciones legales: Consulta Retención independientemente del arreglo.



Preparación para HIPAA

La Claude API admite integraciones preparadas para HIPAA para organizaciones que manejan "protected health information" (información de salud protegida), o PHI. Con un BAA firmado y una organización habilitada para HIPAA, puedes usar las funciones de la API compatibles para procesar PHI mientras respaldas el cumplimiento de HIPAA de tu organización. Las organizaciones elegibles pueden revisar y ejecutar el BAA y habilitar la preparación para HIPAA directamente desde la Claude Console. La preparación para HIPAA aplica un conjunto más amplio de salvaguardas de privacidad y seguridad que ZDR (cifrado, controles de acceso y registro de auditoría que protegen la PHI durante todo su ciclo de vida) en lugar de requerir la eliminación inmediata. Si tu organización maneja PHI, la preparación para HIPAA es el arreglo que debes usar; no necesitas también ZDR. Consulta la tabla de elegibilidad de funciones para saber qué funciones cubre cada arreglo.



Qué cubre la preparación para HIPAA

• Claude API: La preparación para HIPAA se aplica a la Claude API (api.anthropic.com) para las funciones elegibles enumeradas en la tabla de elegibilidad de funciones.



Qué no cubre la preparación para HIPAA

• Productos de consumidor de Claude: Los planes Claude Free, Pro y Max.
• Console y Workbench: El uso a través de la interfaz de Claude Console (habilitar la preparación para HIPAA desde la configuración de la Console es compatible; procesar PHI a través de la Console no está cubierto).
• Plataformas operadas por socios: Amazon Bedrock y Google Cloud's Agent Platform. Consulta la documentación de cumplimiento de esas plataformas.
• Claude Platform en AWS y Microsoft Foundry: La preparación para HIPAA no está disponible en estas plataformas.
• Integraciones de terceros: Los datos procesados por herramientas o servicios externos conectados a tu aplicación.
• Claude Code: Claude Code no está cubierto bajo la preparación para HIPAA.
• Funciones beta: Las funciones en beta generalmente no están cubiertas bajo el BAA a menos que se enumeren explícitamente como elegibles en la tabla de elegibilidad de funciones.
• Contenido marcado y retenciones legales: Consulta Retención independientemente del arreglo.



Pautas para el manejo de PHI

La información de salud protegida (PHI) incluye cualquier información de salud individualmente identificable. En el contexto de la Claude API, la PHI típicamente aparece en el contenido de los mensajes (prompts y respuestas de Claude), archivos adjuntos (imágenes, PDFs) y nombres de archivo o metadatos asociados con el contenido de los mensajes. No se espera que los siguientes campos contengan PHI bajo el BAA: nombres de espacios de trabajo, información de usuario (nombre, correo electrónico, número de teléfono), datos de facturación y tickets de soporte.

Al usar salidas estructuradas o herramientas con strict: true, la API compila los esquemas JSON en gramáticas que se almacenan en caché por separado del contenido de los mensajes. Estos esquemas en caché no reciben las mismas protecciones de PHI que los prompts y las respuestas. No incluyas PHI en las definiciones de esquemas JSON. Esta restricción se aplica a los nombres de propiedades del esquema, los valores enum, los valores const y las expresiones regulares pattern. La información específica del paciente debe aparecer solo en el contenido de los mensajes, donde está protegida bajo las salvaguardas de HIPAA.



Manejo de errores de HIPAA

Tu BAA firmado es la fuente oficial de verdad sobre qué funciones están cubiertas. La API también aplica estas restricciones automáticamente. Cuando una organización habilitada para HIPAA envía una solicitud que incluye una función no elegible, la API devuelve un error 400 para evitar el uso accidental de funciones no cubiertas por tu BAA:

{
  "type": "error",
  "error": {
    "type": "invalid_request_error",
    "message": "The requested features are not available for HIPAA-regulated organizations without Zero Data Retention: code_execution."
  }
}

El mensaje de error enumera las funciones no elegibles detectadas en la solicitud; elimínalas y vuelve a intentarlo. La frase "without Zero Data Retention" es la redacción propia de la API y no cambia la resolución.



Primeros pasos con la preparación para HIPAA

Hay dos formas de configurar el acceso a la API preparado para HIPAA. La mayoría de las organizaciones pueden habilitarlo directamente en la Claude Console con el BAA estándar de Anthropic; las organizaciones que requieren un BAA negociado deben trabajar con su equipo de cuenta.



Habilitar en la Console (BAA estándar)



Contactar a ventas (BAA personalizado)

Si tu organización requiere un BAA negociado o personalizado, o si la habilitación de autoservicio no está disponible para tu organización, contacta al equipo de ventas de Anthropic. Anthropic ejecutará el BAA y habilitará la preparación para HIPAA para tu organización.



Construye con funciones elegibles

Cualquiera que sea la ruta que uses, confirma qué funciones son compatibles en la tabla de elegibilidad de funciones y revisa las pautas para el manejo de PHI para las funciones que restringen dónde puede aparecer la PHI. Para conocer los requisitos detallados de configuración y cumplimiento, consulta la Guía de Implementación de HIPAA.



Requisitos de retención de datos específicos por modelo

Claude Fable 5 y Claude Mythos 5 están designados como "Covered Models" (Modelos Cubiertos) (consulta el artículo de soporte sobre Covered Models) y requieren una retención de datos de 30 días; por lo tanto, ZDR no está disponible para ninguno de los dos modelos. En la Claude API, las solicitudes a Claude Fable 5 desde una organización cuya configuración de retención de datos no cumple con este requisito devuelven un 400 invalid_request_error:

{
  "type": "error",
  "error": {
    "type": "invalid_request_error",
    "message": "In order to access this model, your organization or workspace must have data retention enabled."
  }
}

El requisito de retención de datos de 30 días se aplica dondequiera que se ofrezcan los Covered Models. En la Claude API (incluida Claude Platform en AWS), Anthropic maneja los datos retenidos. En Amazon Bedrock y Google Cloud's Agent Platform, los datos retenidos permanecen dentro del entorno de tu proveedor de nube; revisa la documentación de cada plataforma para conocer los pasos de habilitación.



Habilitar la retención de 30 días para un espacio de trabajo

Las organizaciones con un arreglo de ZDR pueden hacer que Claude Fable 5 y Claude Mythos 5 estén disponibles en un espacio de trabajo específico habilitando la retención de 30 días solo para ese espacio de trabajo. Los demás espacios de trabajo de la organización mantienen la retención cero de datos.



Elegibilidad de funciones

La siguiente tabla enumera qué funciones de la Claude API son elegibles para los arreglos de ZDR y de preparación para HIPAA.

Cada columna de elegibilidad usa tres valores:

• Sí: La función es totalmente elegible bajo el arreglo. Para ZDR, "Sí" también asume que estás usando un modelo que no requiere retención de datos de 30 días; los Covered Models no están disponibles bajo ZDR independientemente de la elegibilidad de la función.
• Sí (calificado): Tus prompts y las salidas de Claude no se almacenan, pero un artefacto técnico acotado (nombrado en la columna Detalles) se retiene brevemente para que la función funcione. Consulta Cómo aborda Anthropic la retención de datos para conocer los compromisos que rigen estas funciones.
• No: La función no es elegible. Bajo la preparación para HIPAA, la API bloquea las solicitudes que incluyen una función marcada como "No" y devuelve un error 400. Bajo ZDR, la API no bloquea estas funciones; usar una es una elección de salir de tu arreglo de ZDR para esos datos específicos, y se aplica la política de retención documentada de la propia función. Las funciones marcadas como "No" para ZDR son típicamente con estado (almacenan trabajos, archivos o estado de contenedores), razón por la cual no pueden ser de retención cero.



Retención independientemente del arreglo

Incluso con arreglos de ZDR o HIPAA vigentes, Anthropic puede retener datos cuando lo exija la ley o cuando hayan sido marcados por los sistemas automatizados de confianza y seguridad de Anthropic. Como resultado, si un chat o una sesión es marcada, Anthropic puede retener las entradas y salidas hasta por 2 años.



Preguntas frecuentes



Recursos relacionados

• Política de Privacidad
• Salidas estructuradas
• Almacenamiento en caché de prompts
• Procesamiento por lotes
• Referencia de la Files API
• Centro de Confianza