CCPA: Kaliforniýada gizlinlik kanuny

1) CCPA/CPRA näme we kime ulanylýar

CCPA (California Consumer Privacy Act) - Kaliforniýa ştatynyň ýaşaýjylarynyň şahsy maglumatlaryny goramak baradaky kanun. CPRA (California Privacy Rights Act) - CCPA-ny giňeldýän düzedişler (01. 01. 2023).

• Ýyllyk girdejisi ≥ $25 million (global, diňe Kaliforniýadan däl);
• Maglumatlary gaýtadan işlemek ≥ ýylda 100,000 sarp ediji/öý hojalygy/enjam;
• Şahsy maglumatlary satmakdan ýa-da "paýlaşmakdan" alnan ýyllyk girdejiniň 50% -inden ≥.

"Kärhanalara" (for-profit), şol sanda umumy brendde gözegçilik edýän/gözegçilik edýän kompaniýalara degişlidir. Kadadan çykmalar: eýýäm düzgünleşdirilen GIPAA/GLBA/FRCA/COPPA (ulanylyşynyň çäginde), telekeçilik däl guramalar (non-profit).

2) Esasy düşünjeler

Şahsy maglumatlar (PI) - sarp ediji/öý hojalygy/gurluş bilen baglanyşykly ýa-da paýhasly baglanyşykly islendik maglumat.
Duýgur şahsy maglumatlar (SPI) - SSN/pasport/hereketlendiriji belgisi, giriş kodlary bolan maliýe maglumatlary, takyk geolokasiýa, jyns-etnik gelip çykyşy, din, saglyk/biometriýa/genetika, şahsy aragatnaşyk we ş.m.
Satuw (sale) - PI-ni üçünji tarapa gymmaty üçin bermek (pul hökman däl).
Paýlaşmak - pul bolmasa-da, dürli kontekstlerde özüni alyp barş mahabaty (cross-context behavioral advertising) üçin PI bermek.
Üçünji tarap/Hyzmatlary üpjün ediji (service provider )/Potratçy (contractor) - PI ulanmagyň dürli şertnamalaýyn talaplary we çäklendirmeleri bolan kontragentleriň kategoriýalary.

3) Sarp edijileriň hukuklary (önümde hökman durmuşa geçirmek üçin)

1. Habar bermek hukugy (notice at collection): maglumatlaryň haýsy kategoriýalary, maksatlary, "satýarsyňyz/şerite" ýa-da, saklanyş möhleti.
2. Giriş (know) we portlanabilirlik: soňky 12 aýda kategoriýalaryň we anyk maglumatlaryň nusgalary.
3. Aýyrmak (delete): potratçylaryň/üçünji taraplaryň zynjyryny aýyrmaga we habar bermäge borçludyrlar.
4. Düzediş (correct): nädogry PI-leri düzetmegi talap etmek hukugy.

• görünýän baglanyşyklar "Do Not Sell or Share My Personal Information";
• GPC (Global Privacy Control) goldawy - brauzer/giňeltmek üçin awtomatiki signal;
• 6. SPI-ni ulanmagyň çäklendirilmegi: diňe beýan edilen maksatlar üçin (mysal üçin, KUS/howpsuzlyk), sarp edijiniň haýyşy boýunça - "limit use of sensitive PI".
• 7. Diskriminasiýany ulanmazlyk: hukuklaryň amala aşyrylmagy üçin hyzmatlary ýaramazlaşdyryp bolmaz (kanuna laýyk gelýän bolsa, adalatly baha maksatnamalaryna ýol berilýär).

4) Habarnamalar we gizlinlik syýasaty

Notice at collection ýygnamak nokadynda: PI/SPI kategoriýalary, maksatlar, retention, sale/share status, opt-out baglanyşyklary.
Privacy Policy: hukuklar, haýyşlaryň usullary (telefon/web-forma/poçta), alyjylaryň kategoriýalary, retensiýa döwri, PI, GPC-goldaw, barlag/şikaýat proseduralary, soňky täzeleniş senesi.

5) Cookies, adtech и «sharing»

Dürli kontekstlerde islendik özüni alyp baryş mahabaty = "paýlaşmak" opt-out we GPC berjaý edilmegini talap edýär.
Çagalar üçin <16: opt-in (13 ýaşa çenli - diňe ene-atanyň/hossaryň razylygy bilen).
Ret etmäň: banner/ileri tutulýan dolandyryş merkezi, düşnükli kategoriýalar we birmeňzeş "Do Not Sell or Share" düwmesi....
Üçünji tarap SDK/pikselleriniň opt-out-dan soň PI-ni gaýtadan ulanmagy gadagan edýändigine göz ýetiriň (şertnamalar we tehniki sazlamalar arkaly).

6) Üpjün edijiler we potratçylar bilen şertnamalar

• gözegçiniň görkezmesi boýunça däl-de, PI-ni ikinji gezek ulanmagy gadagan etmek;
• howpsuzlygy we hadysalar barada habar bermegi talap etmek;
• sarp edijileriň haýyşlaryny goldamagy (delete/correct/opt-out) we olary zynjyryň aşagyna geçirmegi talap etmek;
• audit/baha bermek hukugyny bermek;
• subprosessorlary we olary çekmegiň şertlerini kesgitlemek.

7) Çagalar/ýaşlar hakynda maglumatlar

13-16: ýetginjegiň öz opt-in.
Ylalaşygyň subutnamalaryny almagyň we saklamagyň tassyklanan mehanizmleri, yzyna almak üçin düşnükli interfeýsler.

8) Howpsuzlyk we wakalar üçin jogapkärçilik

PI-niň göwrümini/duýgurlygyny göz öňünde tutup, howpsuzlygyň esasly çärelerini girizmek borjy.
Talaplara bolan hususy hukuk, maglumatlaryň belli bir kategoriýalary üçin howpsuzlyk borçlarynyň bozulmagy sebäpli ýüze çykan syzmalar bilen çäklenýär: ulanyjy/waka üçin $100 - $750 (ýa-da hakyky zyýan).
Gözegçiligiň administratiw jerimeleri: düzgün bozandygy üçin 2500 dollara çenli we bilkastlaýyn düzgün bozandygy we çagalar bilen baglanyşykly düzgün bozandygy üçin 7500 dollara çenli.
Awtomatiki "düzediş döwri" indi kepillendirilmeýär (düzgünleşdirijiniň islegi boýunça mümkindir).

9) Saklamak we azaltmak

PI/SPI kategoriýalary boýunça saklanyş möhletlerini ýa-da olary kesgitlemegiň ölçeglerini çap etmek talap edilýär.
Görkezilen maksatlar üçin zerurlykdan has köp saklamak gadagandyr (data minimization).
"Retention Schedule" -ni gurmak + aýyrmak/anonimleşdirmek prosesleri, arka gaplarda kaskad.

10) DSR boýunça barlamak we şikaýat etmek

Maglumatlary bermezden/öçürmezden ozal - arza berijiniň barlagy (barlagyň derejesi duýgurlyga baglydyr).
DSR-e düşnükli düşündiriş bilen ýüz öwürmegiň tertibi bolmaly.

11) Haýyşlaryň sanawy, okuw we resminamalar

DSR, SLA/netijeleriň görkezijilerini hasaba almak, ret etmegiň esaslaryny saklamak;

PI/DSR/mahabat bilen işleýän işgärleri her ýyl taýýarlamak;

Data map: PI çeşmeleri, üpjün edijilere/üçünji taraplara akymlar, maksatlar, hukuk esaslary we sale/share statuslary.

12) CCPA/CPRA GDPR bilen nähili baglanyşygy bar (gysgaça)

GDPR subýektler we esaslar boýunça has giňdir, CCPA sarp edijiniň hukuklaryna we satuwyna/şeringine ünsi jemleýär.
CCPA GPC signalyny, paýlaşmak üçin aýratyn opt-out (özüni alyp baryş mahabaty) talap edýär.
SPI (CPRA) kategoriýasy konseptual taýdan GDPR-nyň "ýörite kategoriýalaryna" has ýakyndyr, ýöne re modeim başga: ulanmagy/açmagy çäklendirmek we aýratyn baglanyşyk/proses.
GDPR - DPA/gözegçi-prosessor we global kanunylyk; CCPA-nyň berk şertnamalary bar service provider/contractor/third party we sale/share dolandyryşy.

13) Girizmegiň çek-sanawy (operasiýa)

Syýasatlar we interfeýslar

• Privacy Policy we Notice at collection (PI/SPI kategoriýalary, maksatlar, retention, sale/share).
• "Do Not Sell or Share My PI" + "Limit Use of My SPI" (mümkin bolan ýerlerde) goýuň.
• GPC goldawyny açyň; syýasatda özüni alyp barşyny beýan etmek.
• <13 we 13-16 (opt-in) üçin aýry-aýry prosesler.

DSR prosesleri

• Soraglaryň kanallary (web-forma/telefon/poçta), SLA 45 gün, tassyklama, şikaýat.
• Logistika, hasabat, jogap şablonlary; giriş üçin 12 aýlyk penjiräni hasaba almak.

Adtech и SDK

• Üçünji tarap bellikleriniň/pikselleriň/SDK-nyň sanawy, "sale/share" klassifikasiýasy.
• Opt-out/GPC statuslaryny zynjyrdan aşak geçirmek; idiomalar restricted data processing.
• Synag: opt-out-dan soň hiç hili özüni alyp baryş nyşany ýok.

Şertnamalar we wendorlar

• DPA/service provider/contractor/third party bilen zerur bellikler bilen şertnamalar.
• Subprosessorlaryň sanawy, audit hukugy, ikinji gezek ulanmagy gadagan etmek.

Saklamak we howpsuzlyk

• PI/SPI kategoriýalaryna görä Retention Schedule, aýyrmak/anonimleşdirmek meýilnamasy.
• "Akylly howpsuzlyk çäreleri": şifrlemek, RBAC/ABAC, DLP, magazinesurnallar, IR-meýilnama synaglary.
• Wakalary we habarnamalary düzetmegiň/derňemegiň tertibi.

14) Matrisa "kategoriýa → hereket → interfeýs"

15) Metrikler we hil gözegçiligi

DSR SLA: wagtynda ýapylan%; orta/95-nji percentil.
GPC Honor Rate: signal dogry göz öňünde tutulan sessiýalaryň paýy.
Opt-out Efficacy: şowsuzlykdan soň adtech hadysalarynyň paýy (0-a ýetmeli).
Retention Adherence: Programma boýunça öçürilen ýazgylaryň% -i.
Incident MTTR/MTTD we gaýtalanma.
Vendor Compliance: kontragentleriň barlaglarynyň/auditleriniň netijeleri.

16) Durmuşa geçirmegiň ýol kartasy (6 ädim)

1. Data mapping: çeşmeler, akymlar, bellikler/SDK, PI/SPI kategoriýalary, sale/share.
2. Syýasatçylar: Bellik/Gizlinlik syýasaty, DSR amallary, çaga maglumatlary, GPC.
3. UI we tehniki konturlar: "Do Not Sell or Share"..., "Limit SPI" baglanyşyklary, banner, islegler merkezi, GPC.
4. Şertnamalar: kontragentleriň statuslaryny täzelemek (service provider/contractor/third party), ikinji gezek ulanmagy gadagan etmek, subprosessorlar.
5. Retention & Security: saklaýyş grafikleri, aýyrmak/anonimleşdirmek, IR pleýbuk.
6. Okuw we gözegçilik: okuw, metrika, yzygiderli audit/dolandyryş tagtalary.

17) Ýygy-ýygydan ýalňyşlyklar we olardan nädip gaça durmaly

"Maglumatlary satmaýarys, onda CCPA biziň hakda däl" diýip hasaplamak - paýlaşmak göz öňünde tutulmaýar.
GPC-ni äsgermezlik etmek, öz banneriňiz bar bolsa-da, düzgün bozmakdyr.
Potratçyny PI-ni öz maksatlary üçin ulanmaga mümkinçilik berýän "service provider" hökmünde klassifikasiýa etmek nädogry.
Retention we kriteriýalary görkezmezlik aç-açan talap edilýär.
Arza berijiniň we DSR žurnallarynyň barlanylandygy barada subutnamalaryň ýoklugy.

Jemi

CCPA/CPRA laýyklygy bir banner däl, ulgam: hukuklar üçin aç-açan habarnamalar we UI, GPC we opt-out tehniki goldawy, üpjün edijiler bilen dogry şertnamalar, retention maglumatlary kartasy, şeýle hem ygtybarly DSR we howpsuzlyk prosesleri. Bu elementleri arhitektura we amallara goşmak bilen, kanuny we abraýly töwekgelçilikleri azaldar we önüm tizligi üçin ýitgisiz ulanyjylaryň ynamyny saklarsyňyz.