جزء من سلسلة Compliance & Regulation
اقرأ الدليل الكاملالامتثال CCPA/CPRA: دليل خصوصية كاليفورنيا للشركات
تعد قوانين الخصوصية في كاليفورنيا هي الأكثر شمولاً في الولايات المتحدة، وهي تنطبق على الشركات في جميع أنحاء العالم التي تستوفي حدودًا معينة. تم توسيع قانون خصوصية المستهلك في كاليفورنيا (CCPA، اعتبارًا من 1 يناير 2020) بشكل كبير من خلال قانون حقوق الخصوصية في كاليفورنيا (CPRA، اعتبارًا من 1 يناير 2023)، والذي أنشأ وكالة إنفاذ مخصصة، وقدم حقوقًا جديدة للمستهلك، ورفع التزامات الامتثال للشركات التي تتعامل مع "المعلومات الشخصية الحساسة". مع قيام وكالة حماية الخصوصية في كاليفورنيا (CPPA) الآن بالعمل والتحقيق النشط في الانتهاكات، أصبحت مخاطر التنفيذ حقيقية ومتنامية.
يغطي هذا الدليل كل ما تحتاج الشركات إلى معرفته لتحقيق الامتثال لـ CCPA/CPRA والحفاظ عليه: حدود النطاق، وحقوق المستهلك، والإفصاحات المطلوبة، وآليات إلغاء الاشتراك، والتزامات تقليل البيانات، ونهج إنفاذ قانون حماية خصوصية المستهلك (CPPA).
الوجبات الرئيسية
- ينطبق قانون CCPA/CPRA على الشركات الربحية التي تستوفي أيًا من الحدود الثلاثة - الإيرادات، أو حجم البيانات، أو الإيرادات من مشاركة البيانات
- يتمتع المستهلكون بـ 11 حق متميز بموجب قانون حماية البيانات الشخصية (CPRA)، بما في ذلك الحق في التصحيح والحق في الحد من استخدام المعلومات الشخصية الحساسة
- يجب أن يكون إلغاء الاشتراك في خيار "عدم البيع أو المشاركة" عبارة عن رابط واحد مرئي بوضوح على صفحتك الرئيسية
- تؤدي المعلومات الشخصية الحساسة (SPI) إلى التزامات إضافية بما في ذلك الحق في الحد من المعالجة
- أصبح تطبيق قانون حماية خصوصية المستهلك (CPPA) نشطًا في عام 2023 بغرامات تصل إلى 7500 دولار لكل انتهاك متعمد
- يجب على الشركات إجراء تقييمات سنوية لحماية البيانات لأنشطة المعالجة عالية المخاطر
- يجب أن تقيد عقود مزود الخدمة استخدام المعلومات الشخصية النهائية
- يجب الكشف عن فترات الاحتفاظ ويجب حذف البيانات عند عدم الحاجة إليها للأغراض المعلنة
عتبات تطبيق CCPA/CPRA
ينطبق CCPA/CPRA على الشركات الربحية التي تجمع المعلومات الشخصية للمستهلكين في كاليفورنيا وتلبي أي واحد من الحدود التالية:
- ** إجمالي الإيرادات السنوية يتجاوز 25 مليون دولار ** (في السنة التقويمية السابقة)
- ** شراء أو بيع أو تلقي أو مشاركة المعلومات الشخصية لأكثر من 100000 مستهلك أو أسرة ** سنويًا (خفضت CPRA عتبة CCPA الأصلية من 50000)
- تحصل على 50% أو أكثر من الإيرادات السنوية من بيع المعلومات الشخصية للمستهلكين أو مشاركتها
النطاق الجغرافي: ينطبق القانون بناءً على مكان إقامة المستهلكين، وليس على مكان تأسيس نشاطك التجاري. ويجب على شركة برمجيات باكستانية تدر إيرادات سنوية بقيمة 30 مليون دولار مع عملاء كاليفورنيا الالتزام بالقرار.
الإعفاءات: تلقت بيانات التوظيف (بيانات موظفي B2B) إعفاءات مؤقتة من قانون CCPA انتهت صلاحيتها في 1 يناير 2023 بموجب قانون CPRA. انتهت أيضًا صلاحية إعفاءات معلومات الاتصال B2B. العديد من المؤسسات المالية معفاة جزئيًا بموجب قانون جرام-ليتش-بليلي؛ البيانات الصحية المغطاة بـ HIPAA لها علاج منفصل.
ملاحظة حول قوانين الولايات الأمريكية الأخرى: بينما يركز هذا الدليل على CCPA/CPRA، اعتبارًا من عام 2025، قامت تسع عشرة ولاية أمريكية بسن قوانين خصوصية شاملة بحدود ومتطلبات مختلفة. يجب على الشركات التي تجري امتثالًا متعدد الولايات تقييم ولاية فرجينيا (VCDPA) وكولورادو (CPA) وكونيتيكت (CTDPA) وتكساس (TDPSA) وغيرها إلى جانب كاليفورنيا.
المعلومات الشخصية والمعلومات الشخصية الحساسة
المعلومات الشخصية (PI) بموجب CCPA/CPRA تعني المعلومات التي تحدد أو تتعلق أو تصف أو يمكن ربطها بشكل معقول بمستهلك أو أسرة معينة أو يمكن ربطها بشكل معقول. وهذا أوسع بشكل ملحوظ من "معلومات التعريف الشخصية" (PII) بموجب قوانين الولايات المتحدة القديمة.
تشمل الفئات التي يتم تناولها بشكل صريح ما يلي:
- المعرفات (الأسماء، البريد الإلكتروني، الهاتف، عنوان IP، أسماء الحسابات، SSN، رقم رخصة القيادة)
- المعلومات التجارية (سجلات المنتجات/الخدمات المشتراة، وتاريخ التصفح/الشراء)
- المعلومات البيومترية
- الإنترنت أو أي نشاط شبكي إلكتروني آخر (سجل التصفح، سجل البحث، التفاعل مع مواقع الويب)
- بيانات تحديد الموقع الجغرافي
- المعلومات المهنية أو المتعلقة بالتوظيف
- معلومات التعليم
- الاستنتاجات المستمدة من أي مما سبق لإنشاء ملفات تعريف المستهلك
المعلومات الشخصية الحساسة (SPI) — إضافة CPRA — تتضمن مجموعة فرعية من المعلومات الشخصية الحساسة التي تتطلب حماية مشددة:
- الضمان الاجتماعي أو رخصة القيادة أو هوية الدولة أو أرقام جواز السفر
- بيانات اعتماد تسجيل الدخول إلى الحساب (اسم المستخدم/البريد الإلكتروني + كلمة المرور أو سؤال الأمان)
- معلومات الحساب المالي + رموز الوصول
- تحديد الموقع الجغرافي الدقيق (في حدود 1/8 ميل)
- الأصل العرقي أو العرقي
- المعتقدات الدينية أو الفلسفية
- عضوية الاتحاد
- محتويات البريد أو البريد الإلكتروني أو الرسائل النصية (ما لم تكن الشركة هي المستلم المقصود)
- البيانات الجينية
- بيانات الحالة الصحية أو الطبية
- التوجه الجنسي أو الحياة الجنسية
- المعلومات البيومترية لتحديد الهوية الفريدة
بالنسبة إلى SPI، يتمتع المستهلكون بالحق الإضافي في الحد من الاستخدام — لا يمكن للشركات استخدام SPI بما يتجاوز ما هو ضروري لتوفير المنتج أو الخدمة المطلوبة (بالإضافة إلى أغراض إضافية محدودة)، ما لم يختار المستهلك الاستخدام على نطاق أوسع.
حقوق المستهلك بموجب CPRA
قامت CPRA بتوسيع حقوق المستهلك الخمسة لـ CCPA إلى أحد عشر. يجب أن يكون لدى الشركات عمليات موثقة لتحقيق كل من:
| حق | الجدول الزمني للاستجابة | ملاحظات |
|---|---|---|
| حق المعرفة (الفئات) | 45 يومًا (قابلة للتمديد 45 يومًا أخرى) | الكشف عن الفئات التي تم جمعها والأغراض في سياسة الخصوصية |
| الحق في المعرفة (قطع محددة) | 45 يومًا (قابلة للتمديد) | قم بتوفير PI محدد تم جمعه عن الفرد |
| حق الحذف | 45 يومًا (قابلة للتمديد) | الحذف المتتالي لمقدمي الخدمات والمقاولين |
| حق التصحيح | 45 يومًا (قابلة للتمديد) | جديد بموجب CPRA — تصحيح PI غير دقيق |
| الحق في إلغاء الاشتراك في البيع/المشاركة | الشرف خلال 15 يوم عمل | تنفيذ رابط "عدم البيع أو المشاركة" |
| الحق في الحد من استخدام SPI | الشرف على وجه السرعة | قم بتنفيذ رابط "الحد من استخدام My Sensitive PI" إذا تمت معالجة SPI لأغراض غير أساسية |
| الحق في عدم التمييز | فوري | لا يمكن رفض الخدمة، أو فرض أسعار مختلفة، أو تقديم خدمة أقل جودة لممارسة الحقوق |
| الحق في النقل | 45 يومًا (قابلة للتمديد) | توفير البيانات بتنسيق سهل الاستخدام |
| الحق في المعرفة حول اتخاذ القرار الآلي | يتطلب وضع القواعد | تطوير لوائح CPPA |
| الحق في الانسحاب من عملية صنع القرار الآلي | يتطلب وضع القواعد | تطوير لوائح CPPA |
| الحق في تصحيح البيانات الشخصية المشتركة مع أطراف ثالثة | 45 يومًا (قابلة للتمديد) | إرشاد أطراف ثالثة لتصحيح |
متطلبات التحقق: قبل الرد على طلبات العملاء، يجب عليك التحقق من هوية مقدم الطلب باستخدام طريقة "آمنة بشكل معقول". بالنسبة للطلبات عبر الإنترنت، عادةً ما يكون عنوان البريد الإلكتروني المطابق + معرف آخر كافيًا. لا يمكنك أن تطلب من المستهلكين إنشاء حسابات فقط لتقديم الطلبات. يجب التعامل مع الطلبات التي لا يمكن التحقق منها لأجزاء محددة من PI كطلبات للفئات فقط.
الوكلاء المعتمدون: يجوز للمستهلكين تعيين وكلاء معتمدين لتقديم الطلبات نيابةً عنهم. قد تطلب من الوكيل تقديم دليل على التفويض الموقع من المستهلك.
متطلبات إشعار الخصوصية
عند التجميع أو قبله: يجب على الشركات إبلاغ المستهلكين بالمعلومات الشخصية التي يتم جمعها ولأي أغراض قبل أو في وقت التجميع. ينطبق هذا على جميع نقاط التجميع: نماذج مواقع الويب، وتطبيقات الأجهزة المحمولة، ونقاط البيع، وروبوتات الدردشة، ومشتريات وسطاء البيانات.
متطلبات سياسة الخصوصية (يتم التحديث كل 12 شهرًا على الأقل):
- فئات PI التي تم جمعها خلال الـ 12 شهرًا الماضية
- الأغراض التي يستخدم من أجلها PI
- فئات PI التي تم بيعها أو مشاركتها خلال الـ 12 شهرًا الماضية
- فئات الأطراف الثالثة التي يتم الكشف لها عن المعلومات الشخصية
- فئات المصادر التي يتم جمع PI منها
- حقوق المستهلك وكيفية ممارستها
- معلومات الاتصال لتقديم الطلبات
- ما إذا كان يتم بيع PI أو مشاركته، وكيفية إلغاء الاشتراك
- ما إذا كانت تتم معالجة SPI لأغراض أخرى غير توفير المنتج/الخدمة
- فترات الاحتفاظ لكل فئة من فئات PI (أو المعايير المستخدمة لتحديد الاستبقاء)
رابط "عدم بيع أو مشاركة معلوماتي الشخصية": يجب أن يكون رابطًا واضحًا وواضحًا على صفحتك الرئيسية وفي سياسة الخصوصية الخاصة بك. إذا كان الرابط موجودًا في تذييل الصفحة أو منطقة التنقل المشتركة عبر موقعك، فهو مؤهل. يجب أن يؤدي الرابط إلى صفحة حيث يمكن للمستهلكين إلغاء الاشتراك بخطوة واحدة (غير مدفونة في نماذج متعددة الخطوات).
رابط "الحد من استخدام معلوماتي الشخصية الحساسة": مطلوب إذا قمت بمعالجة SPI بما يتجاوز ما هو ضروري لتوفير المنتج أو الخدمة المطلوبة. يمكن أن يكون رابطًا منفصلاً أو مدمجًا مع رابط "عدم البيع/المشاركة".
إشارات تفضيلات إلغاء الاشتراك (GPC): يجب على الشركات احترام إشارة التحكم في الخصوصية العالمية (GPC) - وهو إعداد على مستوى المتصفح يمكن للمستهلكين تنشيطه للإشارة إلى إلغاء الاشتراك في البيع والمشاركة. تدعم العديد من المتصفحات التي تركز على الخصوصية GPC أصلاً. يجب أن يكتشف موقع الويب الخاص بك إشارات GPC ويحترمها. وقد استشهدت سلطة حماية المستهلك (CPPA) بالشركات على وجه التحديد لفشلها في احترام GPC.
بيع ومشاركة المعلومات الشخصية
** "البيع"** بموجب CCPA/CPRA يعني الكشف عن المعلومات الشخصية أو إتاحتها لشركة أخرى أو طرف ثالث مقابل مقابل نقدي أو أي مقابل آخر ذي قيمة. وهذا أوسع من الفهم الشائع لـ "بيع البيانات".
** "المشاركة"** بموجب CPRA تضيف إعلانات سلوكية عبر السياق حتى بدون مقابل مالي - تستهدف على وجه التحديد الإعلانات بناءً على تصفح المستهلك عبر مواقع الويب أو الخدمات المختلفة.
من الناحية العملية، من المحتمل أن تشكل الممارسات الشائعة التالية بيعًا أو مشاركة:
- مشاركة PI مع وسطاء البيانات
- استخدام وحدات البكسل الإعلانية التابعة لجهات خارجية (Meta Pixel وGoogle Analytics 4 في الوضع الإعلاني) التي ترسل بيانات المستخدم إلى الأنظمة الأساسية لاستهدافها
- مشاركة قوائم العملاء مع شبكات الإعلان للجماهير المشابهة
- المشاركة في النظم البيئية لتقديم العطاءات في الوقت الحقيقي
متطلبات الموافقة للقاصرين:
- الأعمار من 13 إلى 15 عامًا: يلزم الاشتراك قبل بيع/مشاركة PI الخاصة بهم
- أقل من 13 عامًا: يلزم الاشتراك بين الوالدين/الوصي (ينطبق قانون حماية خصوصية الأطفال على الإنترنت (COPPA) أيضًا)
مقدمو الخدمة مقابل الأطراف الثالثة: المعلومات الشخصية التي يتم الكشف عنها إلى مزود الخدمة بموجب عقد مزود الخدمة المتوافق (تقييد استخدامها لتقديم الخدمات لك) ليست "بيعًا". إن الكشف عن PI إلى طرف ثالث يمكنه استخدامه لأغراضه الخاصة (منصات الإعلان، وسطاء البيانات) هو "بيع" أو "مشاركة". يعد هذا التمييز أمرًا بالغ الأهمية لبنية مشاركة البيانات الخاصة بك.
متطلبات عقد مزود الخدمة: يجب أن يطلب من مزود الخدمة ما يلي:
- عدم بيع أو مشاركة PI المستلمة
- عدم الاحتفاظ بالمعلومات الشخصية أو استخدامها أو الكشف عنها خارج سياق الخدمة
- الامتثال لمتطلبات CPRA المعمول بها
- منح المنشأة حق التدقيق
تقليل البيانات وتحديد الغرض (CPRA)
قدمت CPRA متطلبات واضحة لتقليل البيانات - يجوز للشركات جمع واستخدام واحتفاظ ومشاركة البيانات الشخصية (PI) فقط باعتبارها ضرورية ومتناسبة بشكل معقول لتحقيق الأغراض المذكورة. يمثل هذا تحولًا كبيرًا عن نهج CCPA الذي يركز على الإفصاح.
الآثار المترتبة على التنفيذ:
- تدقيق كل نقطة جمع بيانات والتخلص من جمع البيانات الشخصية غير المستخدمة لأغراض الكشف عنها
- توثيق الغرض التجاري لكل فئة PI تم جمعها
- تكوين جداول الاستبقاء: يجب حذف PI أو إلغاء تحديده عندما لا يعد ضروريًا للأغراض المعلنة
- تجنب الاستخدام الثانوي لـ PI لأغراض لا تتوافق مع غرض التجميع الأصلي دون موافقة المستهلك
الإفصاح عن الاحتفاظ: يجب أن تكشف سياسات الخصوصية عن فترات الاحتفاظ أو معايير تحديد الاحتفاظ لكل فئة من فئات PI. ومن المتوقع أن يصدر قانون CPPA لوائح بتوجيهات أكثر تحديدًا. في الوقت الحالي، قم بتوثيق فترة الاحتفاظ المعقولة والمبررة للأعمال لكل فئة من فئات PI.
تقييمات حماية البيانات وإدارة المخاطر
يتطلب قانون حماية البيانات الشخصية (CPRA) من الشركات إجراء تقييمات المخاطر (تسمى تقييمات حماية البيانات) قبل تنفيذ أنشطة المعالجة التي تمثل خطرًا كبيرًا على المستهلكين. تعمل سلطة حماية المستهلك (CPPA) على تطوير لوائح تحدد الأنشطة التي تتطلب متطلبات التقييم، لكن القانون يحدد بالفعل الفئات بما في ذلك:
- بيع أو مشاركة PI
- معالجة SPI
- التنميط الذي يمثل خطرا كبيرا
- معالجة PI للقصر
- استخدام PI بطرق تشكل خطرًا كبيرًا للضرر
توثيق التقييمات الخاصة بك والاحتفاظ بالسجلات. يجب أن تحدد التقييمات: الغرض من المعالجة، والمؤشر الرئيسي المعني، والمخاطر المحتملة على المستهلكين، والضمانات المطبقة للتخفيف من تلك المخاطر.
تطبيق قانون CPPA والعقوبات
أصبحت وكالة حماية الخصوصية في كاليفورنيا (CPPA) تعمل بكامل طاقتها في عام 2023 كأول هيئة مخصصة لإنفاذ الخصوصية في الولايات المتحدة. يتمتع CPPA بسلطة التحقيق وعقد جلسات استماع إدارية وفرض عقوبات مدنية:
| نوع المخالفة | أقصى عقوبة |
|---|---|
| مخالفة غير مقصودة | 2500 دولار لكل مخالفة |
| مخالفة متعمدة | 7,500 دولار لكل مخالفة |
| مخالفة تتعلق ببيانات القاصر | 7,500 دولار لكل مخالفة (لكل مستهلك) |
يطبق قانون حماية المستهلك (CPPA) عقوبات لكل انتهاك — مما يعني أن كل مستهلك تم انتهاك حقوقه يمثل انتهاكًا منفصلاً. يمكن أن يؤدي خرق البيانات الذي يؤثر على 100000 مستهلك نظريًا إلى غرامات بقيمة 750 مليون دولار (100000 × 7500 دولار). ركز تطبيق قانون حماية خصوصية المستهلك (CPPA) المبكر على الشركات الكبيرة التي تعاني من عدم امتثال منهجي.
الحق الخاص في رفع دعوى: بموجب القسم 1798.150 من قانون CCPA، يتمتع المستهلكون بحق خاص محدود في رفع دعوى بشأن انتهاكات البيانات التي تتضمن معلومات شخصية غير مشفرة أو غير منقحة ناتجة عن فشل الشركة في تنفيذ تدابير أمنية معقولة. الأضرار القانونية: 100-750 دولارًا أمريكيًا لكل مستهلك لكل حادثة، أو تعويضات فعلية إذا كانت أعلى.
قائمة التحقق من الامتثال لـ CCPA/CPRA
- تم الانتهاء من تحليل عتبة التطبيق
- تم الانتهاء من جرد PI وSPI عبر جميع الأنظمة ونقاط التجميع
- تم تحديث سياسة الخصوصية بكل الإفصاحات المطلوبة (مراجعة لمدة 12 شهرًا)
- رابط "عدم بيع أو مشاركة معلوماتي الشخصية" على الصفحة الرئيسية
- رابط "الحد من استخدام معلوماتي الشخصية الحساسة" إن أمكن
- تم تنفيذ الكشف عن مراقبة الخصوصية العالمية (GPC) وتكريمها
- تم إنشاء عملية تلقي طلبات المستهلك (نموذج الويب + الرقم المجاني)
- توثيق إجراءات التحقق من الهوية
- تم توثيق واختبار مسارات عمل الاستجابة لجميع حقوق المستهلك الـ 11
- تتبع وتوثيق جدول زمني للاستجابة لمدة 45 يومًا لجميع الطلبات
- مراجعة عقود مقدمي الخدمة وتحديثها مع الأحكام التي يتطلبها قانون حماية المستهلك
- تمت مراجعة مشاركة بيانات الطرف الثالث (تحديد البيع/المشاركة لكل مستلم)
- تم الانتهاء من تدقيق تقليل البيانات - تم التخلص من جمع PI غير الضروري
- توثيق فترات الاستبقاء وتكوين الحذف الآلي
- تم الانتهاء من تدريب الموظفين على إجراءات الاستجابة لحقوق المستهلك
- تم إجراء تقييمات حماية البيانات لأنشطة المعالجة عالية المخاطر
- يتم تنفيذ آليات موافقة القاصرين إذا تم جمع المعلومات الشخصية الخاصة بالقاصرين
الأسئلة المتداولة
هل ينطبق CCPA/CPRA على بيانات الموظف؟
نعم، اعتبارًا من 1 يناير 2023، عندما أصبح قانون حماية الطفل ساريًا. انتهت صلاحية إعفاءات CCPA المؤقتة لبيانات B2B والموظفين. يتمتع موظفو كاليفورنيا (والمتقدمون للوظائف والمقاولون والمديرون) الآن بنفس الحقوق بموجب CCPA/CPRA مثل المستهلكين فيما يتعلق بمعلوماتهم الشخصية. وهذا يعني أنه يجب على أصحاب العمل في كاليفورنيا تحديث إشعارات الخصوصية للموظفين، وإنشاء عمليات استيفاء الحقوق الخاصة بالمعلومات الشخصية الخاصة بالتوظيف، ومراجعة ممارسات بيانات نظام الموارد البشرية.
ما الفرق بين "البيع" و"المشاركة" في قانون حماية الطفل؟
يتضمن "البيع" الكشف عن المعلومات الشخصية مقابل مقابل نقدي أو أي مقابل آخر ذي قيمة - يمكن أن يكون الدفع أي شيء ذي قيمة، بما في ذلك ترتيبات تبادل البيانات. تمت إضافة "المشاركة" بواسطة CPRA وهي تغطي على وجه التحديد الإعلانات السلوكية عبر السياق حيث تتم مشاركة PI مع أطراف ثالثة لأغراض إعلانية، حتى بدون مقابل نقدي. التأثير العملي: مشاركة بيانات المستخدم مع منصات الإعلان من أجل الاستهداف (حتى لو كنت تدفع لهم، وليس العكس) هي "مشاركة" بموجب قانون حماية البيانات الشخصية (CPRA) وتؤدي إلى تفعيل حقوق إلغاء الاشتراك.
هل تخضع ملفات تعريف الارتباط وتقنيات التتبع لقانون CCPA/CPRA؟
نعم، حيث يقومون بجمع المعلومات الشخصية (بما في ذلك المعرفات عبر الإنترنت مثل عناوين IP) وحيث تتم مشاركة البيانات الناتجة مع أطراف ثالثة لأغراض إعلانية. تشكل العديد من الممارسات الشائعة - Google Analytics مع الميزات الإعلانية، وMeta Pixel، وعلامات الإعلانات الآلية - "مشاركة" لـ PI مع منصات الإعلانات، مما يؤدي إلى تفعيل متطلبات إلغاء الاشتراك. تنفيذ نظام أساسي لإدارة موافقة ملفات تعريف الارتباط (OneTrust وOsano وCookiebot) لإدارة الموافقة واحترام إشارات إلغاء الاشتراك.
كيف تختلف "المعلومات الشخصية الحساسة" الخاصة بـ CPRA عن "الفئات الخاصة" الخاصة باللائحة العامة لحماية البيانات؟
ويحدد كلاهما فئات المعلومات التي تتطلب حماية مشددة، لكنهما يختلفان في المحتوى والمعالجة. تحظر الفئات الخاصة في اللائحة العامة لحماية البيانات (المادة 9) المعالجة دون موافقة صريحة أو استثناء محدد من المادة 9 - وهو شبه حظر. تنشئ SPI الخاصة بـ CPRA حقًا في الحد - يمكن للمستهلكين تقييد الاستخدام لتوفير المنتج/الخدمة المطلوبة، ولكن لا يزال بإمكان الشركات معالجة SPI بموافقة المستهلك لأغراض أوسع. تتضمن قائمة SPI الخاصة بـ CPRA بشكل خاص بيانات اعتماد تسجيل الدخول وتحديد الموقع الجغرافي الدقيق، وهي ليست ضمن الفئات الخاصة للقانون العام لحماية البيانات.
ما المقصود بمقدمي الخدمات مقابل "المقاولين" مقابل "الأطراف الثالثة" بموجب قانون حماية حقوق الطفل؟
أضافت CPRA "المقاولين" كفئة. يتلقى مقدمو الخدمة PI لتقديم خدمة نيابة عنك بموجب عقد يمنعهم من استخدام PI لأغراضهم الخاصة. المقاولون هم الشركات التي تتلقى PI لأغراض تجارية بموجب العقد - على غرار مقدمي الخدمات ولكن متطلبات العقد تختلف قليلاً. تتلقى الأطراف الثالثة المعلومات الشخصية ويمكنها استخدامها لأغراضها الخاصة - ومن المحتمل أن يكون أي كشف لطرف ثالث بمثابة "بيع" أو "مشاركة" يؤدي إلى التزامات إلغاء الاشتراك. إن هيكلة علاقات تبادل البيانات الخاصة بك كمزود خدمة أو علاقات مقاولين (بعقود مناسبة) يتجنب التصنيف على أنه "بيع".
الخطوات التالية
يعد الامتثال لـ CCPA/CPRA برنامجًا مستمرًا، وليس مشروعًا لمرة واحدة. مع إصدار قانون حماية المستهلك (CPPA) للوائح جديدة (من المتوقع وضع قواعد لصنع القرار الآلي في الفترة 2025-2026)، سوف تتطور متطلبات الامتثال. إن بناء برنامج عمليات خصوصية قابل للتطوير - مع الإيفاء الآلي بحقوق المستهلك، ورسم خرائط البيانات، وإدارة الموافقة - هو المسار المستدام.
تساعد ECOSIRE الشركات على تقييم التزامات CCPA/CPRA الخاصة بها، وتنفيذ تدابير الامتثال الفني في منصاتها الرقمية، وإنشاء سير عمل عمليات الخصوصية.
البدء: خدمات ECOSIRE
إخلاء المسؤولية: هذا الدليل لأغراض إعلامية فقط ولا يشكل مشورة قانونية. تعتبر متطلبات CCPA/CPRA معقدة ويتم تحديثها بشكل متكرر من خلال اللوائح وإرشادات التنفيذ. استشر مستشارًا قانونيًا مؤهلاً للحصول على مشورة خاصة بمؤسستك.
بقلم
ECOSIRE Research and Development Team
بناء منتجات رقمية بمستوى المؤسسات في ECOSIRE. مشاركة رؤى حول تكاملات Odoo وأتمتة التجارة الإلكترونية وحلول الأعمال المدعومة بالذكاء الاصطناعي.
مقالات ذات صلة
Audit Preparation Checklist: Getting Your Books Ready
Complete audit preparation checklist covering financial statement readiness, supporting documentation, internal controls documentation, auditor PBC lists, and common audit findings.
Australian GST Guide for eCommerce Businesses
Complete Australian GST guide for eCommerce businesses covering ATO registration, the $75,000 threshold, low value imports, BAS lodgement, and GST for digital services.
Canadian HST/GST Guide: Province-by-Province
Complete Canadian HST/GST guide covering registration requirements, province-by-province rates, input tax credits, QST, place of supply rules, and CRA compliance.
المزيد من Compliance & Regulation
Audit Preparation Checklist: Getting Your Books Ready
Complete audit preparation checklist covering financial statement readiness, supporting documentation, internal controls documentation, auditor PBC lists, and common audit findings.
Australian GST Guide for eCommerce Businesses
Complete Australian GST guide for eCommerce businesses covering ATO registration, the $75,000 threshold, low value imports, BAS lodgement, and GST for digital services.
Canadian HST/GST Guide: Province-by-Province
Complete Canadian HST/GST guide covering registration requirements, province-by-province rates, input tax credits, QST, place of supply rules, and CRA compliance.
Healthcare Accounting: Compliance and Financial Management
Complete guide to healthcare accounting covering HIPAA financial compliance, contractual adjustments, charity care, cost report preparation, and revenue cycle management.
India GST Compliance for Digital Businesses
Complete India GST compliance guide for digital businesses covering registration, GSTIN, rates, input tax credits, e-invoicing, GSTR returns, and TDS/TCS provisions.
Fund Accounting for Nonprofits: Best Practices
Master nonprofit fund accounting with net asset classifications, grant tracking, Form 990 preparation, functional expense allocation, and audit readiness best practices.