Sobre o "nunca apagar vs. LGPD", o roteiro típico é: chega um pedido de eliminação e o time descobre o dado no banco, no histórico, nos backups e num dump de staging esquecido.

Sobre o excision, dois detalhes pegam muita gente:

• só existe no Datomic Pro, via peer API. No Cloud e no Datomic Local, :db/excise não é suportado;
• mesmo no Pro, a remoção só acontece no próximo indexing job. A doc sugere no máximo alguns milhares de datoms por vez em produção e recomenda backup antes. Resultado: mais uma cópia do dado que você queria apagar.

Por isso uma saída bem comum é crypto-shredding: os atributos pessoais vão cifrados com uma chave por titular, guardada fora do banco (KMS, vault), e "apagar" vira destruir a chave. Histórico e backups continuam lá, mas ilegíveis; o que já saiu decifrado pra log ou dump, não. O preço é perder query por valor: buscar por CPF exige um índice à parte (tipo um HMAC), que também precisa ficar fora do Datomic, senão sobra no histórico.

Em fintech ainda tem o art. 16: muita coisa fica guardada por obrigação legal ou regulatória, então o art. 18 raramente significa apagar tudo.

Alguém já levou crypto-shredding pro DPO e foi aceito como eliminação, ou pediram limpeza dos backups também?