Preguntas frecuentes sobre la CCPA y la CPRA

Qué aprenderás

Descubre las preguntas frecuentes sobre la CCPA (Ley de Privacidad del Consumidor de California) y la CPRA (Ley de Derechos de Privacidad de California).

¿Qué es la CCPA?

La CCPA es una ley que entró en vigor el 1 de enero de 2020 y regula cómo gestionan las empresas la información personal de los residentes de California.

La CCPA es una respuesta a un supuesto vacío en las protecciones de privacidad en Estados Unidos. Las empresas que gestionan la información personal de los residentes de California deben informar a los residentes sobre las prácticas de privacidad de la empresa y los derechos de privacidad de los residentes, incluido el derecho a:

• Conocer la información personal que una empresa recopila sobre ellas y cómo se utiliza
• Eliminar la información personal recopilada (con algunas excepciones)
• Darse de baja de la venta de su información personal
• No discriminación por ejercer sus derechos según la CCPA

¿Qué es la CPRA?

La CPRA es una ley que modifica y amplía los requisitos de la CCPA, incluidos los siguientes:

• Añadir una categoría de "información personal sensible"
• Establecer el derecho a limitar el uso y la divulgación de información personal confidencial
• Establecer el derecho a corregir información personal inexacta
• Ampliar el requisito de exclusión «No vender» para que incluya el «compartir» información personal con fines de publicidad intercontextual (o de terceros)

La CPRA entra en vigor el 1 de enero de 2023.

¿Quién debe cumplir con la CCPA y la CPRA?

Negocios

La mayoría de los requisitos de la CCPA y la CPRA se aplican a las «empresas», definidas como compañías que recopilan información personal de los consumidores de California, ya sea por su cuenta o mediante proveedores.

La CCPA se aplica a las empresas que cumplen cualquiera de las siguientes condiciones:

• Gestiona la información personal de los residentes de California
• Está «haciendo negocios» en California (incluida la interacción con personas ubicadas en California a través de un sitio web o aplicación de comercio electrónico o interactivo)
• Satisface uno o más de los siguientes umbrales:
  • Tiene unos ingresos brutos anuales superiores a 25 millones $.
  • Compra, recibe o vende información personal de 50 000 o más residentes, hogares o dispositivos de California al año
  • Obtiene el 50 % o más de sus ingresos anuales de «vender» la información personal de residentes de California (es decir, la venta incluye divulgar, poner a disposición, transferir o comunicar información personal a terceros a cambio de una contraprestación monetaria u otra contraprestación valiosa)

La CPRA modifica esta aplicabilidad de la siguiente manera:

• Satisface uno o más de los siguientes umbrales:
  • Tuvo ingresos brutos anuales superiores a 25 millones $ el año pasado
  • Compra, vende o comparte información personal de 100 000 o más residentes u hogares de California al año
  • Obtiene el 50 % o más de sus ingresos anuales de vender o compartir la información personal de residentes en California (compartir incluye divulgar, poner a disposición, transferir o comunicar información personal a un tercero para publicidad conductual entre contenidos, tanto si hay como si no una contraprestación monetaria u otra contraprestación de valor).

Proveedores de servicios y contratistas

Para que se considere un proveedor de servicios, una persona o entidad jurídica debe:

• Procesar información personal en nombre de una empresa
• Estar sujeto a un contrato por escrito que imponga ciertas restricciones y obligaciones en torno al uso de la información personal, incluido no:
  • Recopilando
  • Vender
  • Usar la información personal solo según sea necesario para cumplir con el propósito comercial

Al igual que ocurre con los proveedores de servicios, la excepción a una venta o un intercambio también se aplica a los contratistas en virtud de la CPRA. Los contratistas son personas o entidades a las que una empresa pone información personal a disposición, en virtud de un contrato por escrito que impone restricciones y obligaciones similares a las que se aplican a un proveedor de servicios. Los contratistas también deben contar con una certificación de que el contratista entiende las restricciones y las cumplirá.

Ten en cuenta que la divulgación de datos de una empresa a un proveedor de servicios o contratista no se considera una venta ni un intercambio cuando es necesaria para cumplir un propósito empresarial.

¿Qué se clasifica como cumplimiento personal?

La CCPA define la información personal de manera muy amplia para incluir información que identifica, describe o es razonablemente capaz de asociarse con un consumidor o hogar en particular. En la práctica, esta definición amplia significa que información como la información de contacto, los datos de transacciones, las direcciones de protocolo de Internet (IP), los identificadores de dispositivos móviles, los datos de flujo de clics y los detalles del pedido pueden estar dentro del alcance de la definición de información personal de la CCPA y estar sujetos a los requisitos de la CCPA.

La CPRA crea una nueva categoría de información personal, «información personal confidencial», y ofrece a los consumidores un nuevo derecho para limitar el uso y la divulgación de su información confidencial.

La información personal sensible según la CPRA incluye:

• Número de la Seguridad Social
• Número del permiso de conducir
• Número de pasaporte
• Credenciales de la cuenta
• Geolocalización precisa
• Origen racial o étnico
• Creencias religiosas
• Datos biométricos
• Datos genéticos
• Datos de estado
• Información relativa a la vida sexual u orientación sexual de un consumidor
• El contenido del correo postal, email y mensajería de texto de una persona consumidora, a menos que la empresa sea la destinataria prevista de la comunicación

¿Qué tengo que hacer para prepararme?

La CCPA y la CPRA son leyes complejas. En este artículo se indican las obligaciones clave en virtud de la CCPA y la CPRA en lo que respecta al uso de Klaviyo Service, pero no tiene en cuenta todos los requisitos que pueden aplicarse a tu empresa. Ponte en contacto con tu asesor jurídico para obtener asesoramiento específico.

Si la CCPA y la CPRA son aplicables a tu empresa, deberías considerar los siguientes derechos y divulgaciones.

Aviso

Tu empresa debe tener una política de privacidad en tu sitio web que sea accesible en todos los puntos en los que recopiles información personal, como formularios de registro. La política debe incluir, entre otras cosas:

• Categorías de información personal que recopila, vende y divulga de otro modo con fines comerciales
• Categorías de fuentes de la información personal
• Fines empresariales o comerciales para recopilar o vender la información personal
• Descripción de los siguientes derechos de los consumidores y los métodos designados para enviar solicitudes:
  • El derecho a eliminar información personal
  • El derecho a acceder a las categorías y a partes concretas de información personal
  • El derecho a excluirse de la venta o el intercambio de información personal
  • El derecho a no sufrir represalias

La CPRA amplía esta lista de derechos del consumidor para incluir:

• El derecho a corregir información inexacta
• El derecho a limitar el uso y la divulgación de información personal confidencial
• El derecho a excluirse de la tecnología automatizada de toma de decisiones

La CPRA también exige a las empresas que incluyan las siguientes divulgaciones adicionales:

• Si se venden o se comparten los datos personales de la persona
• El periodo de tiempo durante el cual la empresa pretende conservar cada categoría de información personal o los criterios que utilizará para determinar cuánto tiempo conservará dicha información
• Si la empresa recopila «información personal sensible»:
  • Una divulgación independiente que identifique las categorías de información sensible recopiladas
  • El uso y el propósito de estos datos
  • Si dicha información se vende o se comparte

Derechos de exclusión voluntaria

Los consumidores tienen derecho en cualquier momento a oponerse a la venta de sus datos personales a terceros. Tu empresa debe dejar de vender información personal al recibir la solicitud, a menos que el consumidor proporcione una autorización expresa posterior. Las empresas deben esperar al menos 12 meses antes de solicitar a un consumidor que vuelva a participar en la venta de información personal. Para habilitar este derecho de exclusión, las empresas deben, entre otras cosas:

• Proporciona un enlace claro y visible en la página de inicio de la empresa, con el título «No vender mi información personal». El enlace debe permitir que un consumidor, o una persona autorizada por el consumidor, opte por no participar en la venta de la información personal del consumidor
• No exigir que un consumidor cree una cuenta para indicar a la empresa que no venda su información personal.

Los consumidores también tienen derecho en cualquier momento a optar por excluir que un tercero venda sus datos personales, si el tercero ha comprado los datos personales del consumidor a una empresa. El tercero debe dejar de venderlos cuando reciba la solicitud de exclusión, salvo que el consumidor proporcione una autorización expresa posterior.

Otros derechos del consumidor

Las empresas deben tener procesos para verificar la identidad de un residente de California al responder a solicitudes de acceso o eliminación de información personal. Una vez que se reciba una solicitud de un residente de California y se confirme su identidad, asegúrate de incluir lo siguiente al completar la solicitud según corresponda, para respetar sus derechos.

Derecho a saber: un consumidor puede solicitar que la empresa divulgue su recopilación y tratamiento de su información personal, incluyendo:

• Categorías de información personal recopilada sobre ese consumidor (en los 12 meses anteriores)
• Categorías de fuentes de las que se recopila la información personal
• Finalidad empresarial o comercial de recopilar o vender información personal
• Categorías de terceros con los que la empresa divulgó información personal
• Categorías de información que la empresa vende o divulga a terceros
• Fragmentos concretos de información personal que ha recopilado sobre ese consumidor

La CPRA modifica y amplía este derecho para exigir lo siguiente:

• Proporcionar información sobre las categorías de información personal «compartida» con terceros
• Eliminar la limitación de retroceso de 12 meses exigiendo a una empresa que proporcione más de 12 meses de información, siempre que dicha divulgación no sea "imposible" ni "suponga un esfuerzo desproporcionado" (este requisito no se aplicaría a ningún dato recopilado por la empresa antes del 1 de enero de 2022)

Derecho de eliminación: la empresa debe eliminar la información del consumidor (sujeto a ciertas excepciones) y notificar a sus proveedores de servicios para que eliminen la información del consumidor. Según la CPRA, la empresa debe notificar a sus proveedores de servicios y contratistas, y también notificar a cualquier tercero a quien la empresa haya vendido o compartido (con fines de publicidad entre contextos) la información personal del consumidor, a menos que esto «resulte imposible o implique un esfuerzo desproporcionado». Además, cada proveedor de servicios también debe notificar a sus propios proveedores de servicios posteriores para que eliminen la información del consumidor.

Derecho a corregir información personal inexacta: Una vez que una empresa recibe una solicitud verificada para corregir información personal inexacta, la empresa debe hacer «esfuerzos comercialmente razonables» para corregir dicha información personal según lo indique el consumidor. Se espera que el fiscal general de California proporcione orientación adicional sobre esta obligación.

Ten en cuenta también que, si el consumidor es menor de 13 años, entonces se requiere el consentimiento expreso (opt-in) de un padre, una madre o un tutor legal antes de vender su información personal. Si el consumidor tiene entre 13 y 16 años, entonces se requiere el consentimiento expreso de la persona antes de vender su información personal.

Satisfacer solicitudes de los consumidores

Debes tener al menos 2 métodos designados para que los consumidores envíen solicitudes de información.

Estos deben incluir, como mínimo:

• Un número de teléfono gratuito (ciertas empresas que operan exclusivamente online y tienen una relación directa con el consumidor del que recopilan información personal están exentas del requisito de número gratuito)
• Dirección web, si la empresa tiene un sitio web

Las solicitudes de los consumidores deben atenderse en un plazo de 45 días desde la recepción de la solicitud, por correo o por vía electrónica (en un formato que permita al consumidor proporcionarla a otra entidad) o a través de una cuenta de usuario. El plazo de respuesta puede ampliarse 45 días adicionales si es razonablemente necesario en función de la complejidad y el número de solicitudes, y si se notifica al solicitante dicha ampliación (detallando los motivos). El proceso de solicitud también debe ser gratuito.

Las empresas no están obligadas a tramitar más de dos solicitudes por consumidor en un periodo de 12 meses.

¿Cuál es la función de Klaviyo en virtud de la CCPA y la CPRA en relación con el Klaviyo Service?

Klaviyo no tiene ninguna relación directa con las personas cuya información personal recogen nuestros clientes y almacenan en nuestra plataforma. Klaviyo actúa como proveedor de servicios, mientras que nuestros clientes son las empresas, ya que procesamos la información personal en nombre de nuestros clientes.

Las obligaciones de Klaviyo hacia los clientes como proveedor de servicios se establecen en nuestro Acuerdo de procesamiento de datos.

¿Qué está haciendo Klaviyo para permitir que los clientes cumplan con la normativa?

Los clientes de Klaviyo tienen la capacidad y las herramientas para atender las solicitudes de los residentes de California a fin de ejercer sus derechos como consumidores para acceder a la información personal, eliminarla o corregirla según la CCPA y la CPRA. En concreto:

• La plataforma permite a los clientes informar sobre la información personal que mantiene sobre los usuarios finales en respuesta a solicitudes de acceso.
• La plataforma permite la eliminación de la información personal que mantiene sobre los usuarios finales en respuesta a solicitudes de eliminación y la corrección de información personal inexacta en perfiles en Klaviyo.
• Klaviyo no admite y restringe la recopilación y el almacenamiento de información personal confidencial, de acuerdo con nuestra Política de uso aceptable.

Recursos adicionales