Factory: 操作の記録の保存期間と、個人データの削除の求めへの応じ方を決める（外部へ公開する前に）

何を決めるか

Factory の操作の記録（#2384 で入れた。利用者向けの操作 1 回ごとに 1 件追記する）について、次の 2 つを決める。

保存期間: 記録をいつまで残すか。期間を過ぎた記録の消し方
個人データの削除の求めへの応じ方: 利用者が自分のデータの削除を求めたとき（GDPR・個人情報保護法など）、操作の記録をどう扱うか（消す・伏せる・残す理由を示す）

NDF Factory: 画面で行える操作を API と MCP からも同じく行える（機能から起こした配列の入出力・委任の認証・追記だけの操作の記録） #2384 の設計の承認ゲート 1（2026-11-05）で、利用者は「実装の 1 本目より前に、保存期間と削除の求めへの応じ方を設計へ書き足す」を条件に承認した
実装（#2384 を実装する（スプリント lfactory3-4） #2512・スプリント PR スプリント lfactory3-4 #2518）の設計では「未決 2: 外部の利用者へ公開する前に利用者が決める」のままだった（ndf v10.27.19 の時点の設計文書 issues/issue-2384-design.md の 491 行目（いまのリポジトリには無い。git show ndf--v10.27.19:issues/issue-2384-design.md で読める））。確定仕様 docs/specifications/ndf-factory-agent-access.md の「運用」（267 行目）も「記録の保存期間と、利用者からの削除の求めへの応じ方は決めていない。外部の利用者へ公開する前に決める」と書く
ndf v10.27.19 の配布の承認ゲート 2（2026-11-05）で、利用者は「Factory はまだ外部に公開していないので、公開の前に決めれば足りる」として配布を承認した。取りこぼさないよう、この課題に起こす

量の見込み（同じ設計文書の 445 行目。確定仕様には載っていない）: 利用者 1,000 人で月 528 万件、書き込みは月 $3.3。保存は月 2.6 GB ずつ増え、12 か月で約 32 GB・月 $7.9。保存期間を決めると保存の費用は頭打ちになる
記録は許可した鍵からだけ組み、秘密と個人情報の値は書かない（確定仕様 docs/specifications/ndf-factory-agent-access.md の 262 行目）。ただし利用者の識別子は記録に残る