En cuando a la GDPR, estuve viendo que no especifica cuanto tiempo puedes retener los datos con número específico, y quien eligió 3 años es Sony. Es un número arbitrario.
GDPR te obliga a borrar los datos cuando no esté justificado tenerlos más, y diría yo que si pagaste, ese periodo debería...