Você deve implementar a exclusão criptográfica por usuário para dados de clientes no BigQuery usando recursos nativos da nuvem (sem criptografia personalizada na ingestão). O que você deve usar?

A exclusão criptográfica por usuário exige que cada usuário tenha uma chave de criptografia única para seus dados, permitindo que a exclusão da chave torne os dados irrecuperáveis para aquele usuário específico. As funções AEAD do BigQuery (como AEAD.ENCRYPT e AEAD.DECRYPT) permitem a criptografia e descriptografia de dados dentro do BigQuery usando chaves gerenciadas pelo usuário, o que é fundamental para a exclusão criptográfica por usuário. CMEK (Customer-Managed Encryption Keys) no Cloud KMS, quando associada a uma tabela, criptografa a tabela inteira, não permitindo a exclusão seletiva por usuário. Criptografar dados com CMEK antes de armazená-los no BigQuery ou usar uma biblioteca criptográfica no pipeline de ETL seria uma criptografia personalizada na ingestão, o que a pergunta explicitamente proíbe.