CCPA: قانون الخصوصية في كاليفورنيا

1) ما هو CCPA/CPRA وعلى من يطبق

CCPA (قانون خصوصية المستهلك في كاليفورنيا) هو قانون لحماية البيانات الشخصية في كاليفورنيا. CPRA (قانون حقوق الخصوصية في كاليفورنيا) - تعديلات لتوسيع CCPA (ساري المفعول من 01. 01. 2023).

• الإيرادات السنوية ≥ 25 مليون دولار (عالمية، وليس فقط من كاليفورنيا) ؛
• ≥ تجهيز البيانات 100 000 المستهلكين/الأسر المعيشية/الأجهزة سنويا ؛
• ≥50٪ من الإيرادات السنوية من بيع أو «مشاركة» البيانات الشخصية.

ينطبق على الشركات «الهادفة للربح»، بما في ذلك الشركات المسيطرة/الخاضعة للرقابة ذات العلامات التجارية العامة. الاستثناءات: البيانات التي تم تنظيمها بالفعل من قبل HIPAA/GLBA/FRCA/COPPA (ضمن نطاقها)، المنظمات غير الربحية (غير الربحية).

2) المفاهيم الرئيسية

البيانات الشخصية (PI) - أي معلومات تتعلق أو مرتبطة بشكل معقول بمستهلك/منزل/جهاز.
البيانات الشخصية الحساسة (SPI) - رقم SSN/جواز السفر/السائق، التفاصيل المالية مع رموز الوصول، تحديد الموقع الجغرافي بدقة، الأصل العرقي والإثني، الدين، الصحة/القياسات الحيوية/علم الوراثة، الاتصالات الخاصة، إلخ.
البيع - توفير PI لطرف ثالث مقابل القيمة (ليس بالضرورة المال).
المشاركة - توفير PI للإعلان السلوكي في سياقات مختلفة (الإعلان السلوكي عبر السياق)، حتى بدون نقود.
طرف ثالث/مقدم خدمات/متعاقد - فئات من الأطراف المقابلة ذات المتطلبات التعاقدية المختلفة والقيود المفروضة على استخدام الأرقام القياسية.

3) حقوق المستهلك (التي يجب تنفيذها في المنتج)

1. الحق في الإخطار (الإشعار عند الجمع): ما هي فئات البيانات، والأهداف، و «البيع/المشاركة» سواء كانت مدة الصلاحية.
2. الوصول (معرفة) وإمكانية النقل: نسخ من الفئات وبيانات محددة عن الأشهر الـ 12 الماضية.
3. تحذف: يجب حذف سلسلة المقاول/الأطراف الثالثة وإخطارها.
4. صحيح: الحق في طلب تحرير الأرقام القياسية غير الدقيقة.

• الروابط المرئية «لا تبيع أو تشارك معلوماتي الشخصية» ؛
• دعم GPC (التحكم في الخصوصية العالمية) - إشارة المتصفح/الإرشاد التلقائي ؛
• 6. الحد من استخدام SPI: فقط للأغراض المذكورة (على سبيل المثال، CUS/safety)، بناءً على طلب المستهلك - «الحد من استخدام PI الحساس».
• 7. عدم التمييز: لا يمكن تدهور الخدمات لممارسة الحقوق (برامج الأسعار العادلة مسموح بها إذا امتثلت للقانون).

4) الإخطارات وسياسة الخصوصية

إشعار عند نقطة الجمع: فئات PI/SPI، الأهداف، الاحتفاظ، حالة البيع/المشاركة، روابط إلغاء الاشتراك.
سياسة الخصوصية: الحقوق، طرق الطلب (الهاتف/نموذج الويب/البريد)، فئات المستلمين، فترة الاحتفاظ، البيع/المشاركة PI، دعم GPC، إجراءات التحقق/الاستئناف، تاريخ آخر تحديث.

5) ملفات تعريف الارتباط، adtech и «المشاركة»

أي إعلان سلوكي في سياقات مختلفة = «المشاركة» يتطلب إلغاء الاشتراك والامتثال لـ GPC.
بالنسبة للأطفال <16: اختيار الدخول (حتى 13 عامًا - فقط بموافقة الوالد/الوصي).
لا تخفي الرفض: مركز التحكم في اللافتة/التفضيل، والفئات المفهومة وزر موحد «لا تبيع أو تشارك»....
التأكد من امتثال الطرف الثالث SDKs/pixels لحظر إعادة استخدام PI بعد إلغاء الاشتراك (من خلال العقود والإعدادات الفنية).

6) العقود المبرمة مع الموردين والمقاولين

• حظر الاستخدام الثانوي لمؤشرات الاستثمار بخلاف التعليمات الصادرة عن المراقب.
• وطلب إخطار الأمن والحوادث ؛
• الالتزام بدعم طلبات المستهلكين (حذف/تصحيح/إلغاء الاشتراك) وتمريرها عبر السلسلة ؛
• وسلطة مراجعة الحسابات/التقييم ؛
• تحديد المعالجات الفرعية وشروط عملها.

7) بيانات الأطفال/الشباب

13-16: اختيار المراهق الخاص.
الآليات المعتمدة للحصول على أدلة الموافقة وتخزينها، واجهات مفهومة للاستدعاء.

8) الأمن والمسؤولية عن الحوادث

واجب تنفيذ تدابير أمان معقولة على أساس نطاق/حساسية المؤشر العام.
يقتصر الحق الخاص في المطالبة على التسريبات الناجمة عن انتهاك الواجبات الأمنية لفئات معينة من البيانات: 100-750 دولارًا لكل مستخدم/حادث (أو ضرر فعلي).
غرامات الإشراف الإداري: تصل إلى 500 2 دولار عن الانتهاكات وإلى 500 7 دولار عن الانتهاكات والانتهاكات المتعمدة المتعلقة بالأطفال.
لم تعد «فترة التصحيح» التلقائية مضمونة (ممكنة وفقًا لتقدير المنظم).

9) التخزين والتقليل

تريد نشر فترات الاحتفاظ حسب فئة PI/SPI أو معايير تعريفها.
يحظر التخزين لفترة أطول من اللازم للأغراض المذكورة (تقليل البيانات).
تضمين «جدول الاحتفاظ» + عمليات الحذف/إخفاء الهوية، سلسلة تعاقبية في نسخ احتياطية.

10) نداءات التحقق ونداءات نزع السلاح والتسريح وإعادة الإدماج

قبل إصدار/حذف البيانات - التحقق من مقدم الطلب (يعتمد مستوى التحقق على الحساسية).
يجب أن يكون هناك إجراء للطعن في الرفض إلى DSR مع تفسير مفهوم.

11) سجل التحقيق والتدريب والتوثيق

الاحتفاظ بسجلات لممارسات التصحيح والإنعاش، ومؤشرات/نتائج جيش تحرير السودان، وتخزين مبررات الإخفاقات ؛

تدريب سنوي للموظفين العاملين في إدارة البرامج/إدارة شؤون السلامة والأمن/الإعلانات ؛

خريطة البيانات: مصادر PI، التدفقات إلى الموردين/الأطراف الثالثة، الأهداف، الأسس القانونية وحالات البيع/المشاركة.

12) كيفية ارتباط CCPA/CPRA باللائحة العامة لحماية البيانات (موجز)

اللائحة العامة لحماية البيانات أوسع في الموضوعات والأسباب، ويركز قانون حماية المستهلك على حقوق المستهلك والمبيعات/المشاركة.
تتطلب CCPA إشارة GPC، وإلغاء الاشتراك المنفصل للمشاركة (الإعلان السلوكي).
وتقترب فئة المؤشر من الناحية المفاهيمية من «الفئات الخاصة» للائحة العامة لحماية البيانات، ولكن النظام مختلف: تقييد الاستخدام/الإفصاح ووصلة/عملية منفصلة.
وللائحة العامة لحماية البيانات إدارة الشؤون السياسية/معالج التحكم والشرعية العالمية ؛ لدى CCPA عقود صارمة لمقدم/مقاول/طرف ثالث وإدارة البيع/الأسهم.

13) قائمة التنفيذ المرجعية (التشغيل)

السياسات والوصلات البينية

• تحديث سياسة الخصوصية والإشعار عند التحصيل (فئات PI/SPI، الأهداف، الاحتفاظ، البيع/المشاركة).
• مكان «لا تبيع أو تشارك PI الخاص بي» + «حد من استخدام SPI الخاص بي» عند الاقتضاء.
• تمكين دعم GPC ؛ وصف السلوك في السياسة.
• عمليات منفصلة لـ <13 و 13-16 (اختيار الانضمام).

عمليات DSR

• قنوات الطلب (استمارة الويب/الهاتف/البريد)، وجيش تحرير السودان 45 يوما، والتحقق، والطعون.
• نماذج قطع الأشجار والإبلاغ والاستجابة ؛ تمثل نافذة لمدة 12 شهرًا للوصول.

Adtech и SDK

• علامة طرف ثالث/بكسل/مخزون SDK، تصنيف البيع/الأسهم.
• نقل حالات إلغاء الاشتراك/السلسلة العالمية ؛ تقييد معالجة البيانات.
• الاختبار: لا يوجد استهداف سلوكي بعد إلغاء الاشتراك.

العقود والبائعون

• DPA/عقود مع مقدم/مقاول/طرف ثالث مع التحفظات اللازمة.
• سجل المعالج الفرعي، امتياز التدقيق، عدم إعادة التدوير.

التخزين والأمن

• جدول الاحتفاظ حسب فئة PI/SPI، خطة الحذف/إخفاء الهوية.
• «تدابير أمنية معقولة»: تشفير، RBAC/ABAC، DLP، سجلات، اختبارات خطة IR.
• إجراءات تسجيل/التحقيق في الحوادث والإخطارات.

14) مصفوفة العمل → → الواجهة البينية

15) المقاييس ومراقبة الجودة

اتفاقيات الخدمة المستدامة المتعلقة بالحد من الكوارث: إغلاق النسبة المئوية في الوقت المحدد ؛ وسط/95 في المائة.
معدل شرف GPC: نسبة الجلسات التي يتم فيها أخذ الإشارة في الاعتبار بشكل صحيح.
إلغاء الاشتراك الكفاءة: النسبة المئوية لأحداث تقنية الإضافة بعد الفشل (يجب أن تميل إلى 0).
الاحتفاظ بالنسبة المئوية من السجلات المحذوفة في الموعد المحدد.
حادثة MTTR/MTTD وقابلية التكرار.
امتثال البائعين: نتائج عمليات التفتيش/مراجعة الحسابات التي يقوم بها النظراء.

16) خارطة طريق التنفيذ (6 خطوات)

1. رسم خرائط البيانات: المصادر والتدفقات والعلامات/SDK والفئات PI/SPI والبيع/المشاركة.
2. السياسات: إشعار/سياسة الخصوصية، إجراءات DSR، بيانات الأطفال، GPC.
3. واجهة المستخدم والخطوط التقنية: روابط «لا تبيع أو تشارك»...، «حد SPI»، لافتة، مركز التفضيل، GPC.
4. العقود: تحديث أوضاع الأطراف النظيرة (مقدم الخدمات/المقاول/الطرف الثالث)، وحظر الاستخدام الثانوي، والمشاريع الفرعية.
5. الاحتفاظ والأمن: جداول التخزين، الحذف/إخفاء الهوية، دليل IR.
6. التدريب والرصد: الدورات التدريبية، والمقاييس، وعمليات المراجعة المنتظمة/لوحات النتائج للإدارة.

17) الأخطاء المتكررة وكيفية تجنبها

إن افتراض أننا «لا نبيع البيانات، فإن CCPA لا يتعلق بنا» يتم تجاهله من خلال المشاركة.
يعد تجاهل GPC انتهاكًا، حتى لو كان لديك لافتة خاصة بك.
من الخطأ تصنيف المقاول على أنه «مزود خدمة»، مما يسمح له باستخدام PI لأغراضه الخاصة.
لا تحدد الاحتفاظ والمعايير - المطلوبة بشفافية.
عدم وجود أدلة على التحقق من مقدم الطلب وسجلات DSR.

المجموع

إن امتثال CCPA/CPRA ليس لافتة واحدة، ولكنه نظام: إخطارات شفافة وواجهة مستخدم للحقوق، ودعم تقني لشركة البترول العالمية وإلغاء الاشتراك، وعقود صحيحة مع الموردين، وبطاقة بيانات مع الاحتفاظ بها، وعمليات موثوقة للتعليق والأمن. من خلال تضمين هذه العناصر في الهندسة المعمارية والعمليات، فإنك تقلل من المخاطر القانونية والسمعة وتحافظ على ثقة المستخدم دون التضحية بسرعة المنتج.