Preguntas frecuentes sobre la CCPA y la CPRA

Objetivos del artículo

Obtén información sobre las preguntas frecuentes relacionadas con la CCPA (California Consumer Privacy Act) y la CPRA (California Privacy Rights Act).

¿Qué es la CCPA?

La CCPA es una ley que entró en vigor el 1 de enero de 2020 y regula cómo las empresas manejan la información personal de los residentes de California.

La CCPA es una respuesta a una brecha percibida en las protecciones de privacidad en Estados Unidos. Las empresas sujetas a la CCPA deben informar a los residentes de California sobre sus prácticas de privacidad y los derechos de privacidad de los residentes, incluido el derecho a:

• Conocer la información personal que una empresa recopila sobre ellos y cómo se usa
• Eliminar la información personal recopilada (con algunas excepciones)
• Excluirse de la venta de su información personal
• No discriminación por ejercer sus derechos en virtud de la CCPA

¿Qué es la CPRA?

La CPRA es una ley que modifica y amplía los requisitos de la CCPA, incluidos los siguientes:

• Agregar una categoría de "información personal sensible"
• Establecer el derecho a limitar el uso y la divulgación de información personal confidencial
• Establecer el derecho a corregir información personal inexacta
• Ampliación del requisito de exclusión voluntaria de “No vender” para que incluya el intercambio de información personal para publicidad conductual entre contextos

Las enmiendas de la CPRA entraron en vigor el 1 de enero de 2023.

¿Quién debe cumplir con la CCPA y la CPRA?

Empresas

La mayoría de los requisitos de la CCPA aplican a las “empresas”, definidas como entidades con fines de lucro que recopilan información personal de consumidores de California, ya sea directamente o a través de proveedores, y determinan los propósitos y los medios para procesar esa información.

La CCPA, modificada por la CPRA, por lo general se aplica a las empresas que cumplen con todas las siguientes condiciones:

• Maneja la información personal de los residentes de California
• Realiza “negocios” en California (incluye interactuar con personas ubicadas en California a través de un sitio web o aplicación de ecommerce o interactivos)
• Cumple con uno o más de los siguientes umbrales:
  • Tuvo ingresos brutos anuales superiores a $26,625,000 en el año calendario anterior
  • Compra, vende o comparte anualmente la información personal de 100,000 o más residentes u hogares de California
  • Deriva el 50 % o más de sus ingresos anuales de la venta o el intercambio de información personal de residentes de California. La venta incluye divulgar, poner a disposición, transferir o comunicar información personal a terceros a cambio de una contraprestación monetaria o de otro tipo de valor. El intercambio incluye estas actividades para la publicidad conductual entre contextos, ya sea que se intercambie o no dinero u otra contraprestación de valor.

El umbral de ingresos se ajusta cada 2 años. Revisa los umbrales monetarios actuales al evaluar si tu empresa está cubierta.

Proveedores de servicios y contratistas

Para que se considere un proveedor de servicios, una persona o entidad legal debe:

• Procesan información personal en nombre de una empresa
• Estar sujeto a un contrato por escrito que imponga restricciones y obligaciones sobre el uso de información personal, lo que incluye prohibir:
  • Venta o compartición de la información personal
  • Conservar, usar o divulgar la información personal para fines distintos de los fines comerciales especificados en el contrato, excepto según lo permita la CCPA
  • Retener, usar o divulgar la información personal fuera de la relación comercial directa
  • Combinar información personal de la empresa con información de otras fuentes, excepto para los fines permitidos por la CCPA y sus regulaciones

Al igual que con los proveedores de servicios, la excepción a una venta o al uso compartido también se aplica a los contratistas conforme a la CPRA. Los contratistas son personas o entidades a las que una empresa pone a disposición información personal, en virtud de un contrato escrito que impone restricciones y obligaciones similares a las que aplican a un proveedor de servicios. Los contratistas también deben contar con una certificación de que el contratista entiende las restricciones y las cumplirá.

La divulgación a un proveedor de servicios o contratista que cumpla con los requisitos, con fines comerciales, no se considera una venta ni una compartición cuando se cumplen las condiciones contractuales requeridas.

¿Qué se clasifica como información personal?

La CCPA define la información personal de forma muy amplia para incluir información que identifica, describe o es razonablemente capaz de asociarse con un consumidor u hogar en particular. En la práctica, esta definición amplia significa que información como la información de contacto, los datos de transacciones, las direcciones de protocolo de Internet (IP), los identificadores de dispositivos móviles, los datos de secuencia de clics y los detalles del pedido pueden estar dentro del alcance de la definición de información personal de la CCPA y estar sujetos a los requisitos de la CCPA.

La CPRA agregó una categoría de información personal llamada “información personal sensible”. Los consumidores tienen derecho a limitar su uso y divulgación para fines más allá de los permitidos por la CCPA.

La información personal sensible en virtud de la CCPA, en su versión modificada, incluye:

• Número de seguro social
• Número de licencia de conducir o de tarjeta de identificación estatal
• Número de pasaporte
• Inicio de sesión de la cuenta, cuenta financiera, tarjeta de débito o número de tarjeta de crédito combinados con credenciales que permiten acceder a una cuenta
• Geolocalización precisa
• Origen racial o étnico
• Ciudadanía o estatus migratorio
• Creencias religiosas o filosóficas
• Membresía sindical
• Información biométrica procesada para identificar de forma única a un consumidor
• Datos genéticos
• Datos neuronales generados mediante la medición de la actividad en el sistema nervioso central o periférico
• Información personal recopilada y analizada relacionada con la salud de un consumidor
• Información personal recopilada y analizada sobre la vida sexual o la orientación sexual de un consumidor
• El contenido del correo postal, correo electrónico y mensajería de texto de una persona consumidora, a menos que la empresa sea el destinatario previsto de la comunicación

¿Qué tengo que hacer para prepararme?

La CCPA y la CPRA son leyes complejas. En este artículo se describen las principales obligaciones conforme a la CCPA y la CPRA en lo que respecta al uso de Klaviyo Service, pero no toma en cuenta todos los requisitos que pueden aplicar a tu negocio. Ponte en contacto con tu asesoría legal para obtener recomendaciones específicas.

Si la CCPA y la CPRA se aplican a tu empresa, conviene considerar los siguientes derechos y divulgaciones.

Aviso

Tu empresa debe proporcionar un aviso en el momento de recopilar información personal o antes de hacerlo, incluso a través de formularios de registro, y hacer que su política de privacidad sea accesible en su sitio web. El aviso al momento de la recopilación debe incluir un enlace a la política de privacidad. La política debe incluir, entre otras cosas:

• Categorías de información personal que recopila, vende, comparte y de otro modo divulga con fines comerciales
• Categorías de fuentes de la información personal
• Fines empresariales o comerciales para recopilar, vender o compartir información personal
• Descripción de los siguientes derechos de los consumidores y los métodos designados para enviar solicitudes:
  • El derecho a eliminar información personal
  • El derecho a acceder a las categorías y piezas específicas de información personal
  • El derecho a excluirse de la venta o el intercambio de información personal
  • El derecho a no sufrir represalias

La CPRA amplía esta lista de derechos de los consumidores para incluir:

• El derecho a corregir información inexacta
• El derecho a limitar el uso y la divulgación de información personal confidencial
• Derechos relacionados con ciertos usos de tecnología automatizada para la toma de decisiones. Las empresas que lo utilicen para tomar decisiones importantes, como decisiones sobre empleo, vivienda o servicios financieros, deben cumplir con los requisitos de aviso, exclusión voluntaria y acceso específicos de ADMT antes del 1 de enero de 2027. Consulta con asesoría legal para determinar si estos requisitos se aplican a tu uso.

La CPRA también exige que las empresas incluyan las siguientes divulgaciones adicionales:

• Si se vende o comparte la información personal de la persona
• El periodo de tiempo que la empresa pretende conservar cada categoría de información personal o los criterios que utilizará para determinar durante cuánto tiempo conservará dicha información
• Si la empresa recopila “información personal sensible”:
  • Una divulgación por separado que identifique las categorías de información confidencial recopilada
  • El uso y el propósito de estos datos
  • Si dicha información se vende o se comparte

Derechos de exclusión

Los consumidores tienen el derecho, en cualquier momento, de rechazar la venta o el intercambio de su información personal. Si tu empresa vende o intercambia información personal, debe cumplir con estas solicitudes y no debe reanudar la venta o el intercambio a menos que el consumidor lo autorice posteriormente. Debes esperar al menos 12 meses antes de pedirle a un consumidor que vuelva a aceptar. Para respaldar este derecho, las empresas deben, entre otras cosas:

• Proporciona un enlace “No vender ni compartir mi información personal” claro y visible que permita al consumidor o a su agente autorizado optar por no participar. Las regulaciones también permiten un enlace alternativo con la etiqueta “Tus opciones de privacidad” o “Tus opciones de privacidad de California”. Las empresas que procesan señales de preferencia de exclusión voluntaria de la manera requerida y sin fricción pueden usar la excepción para no mostrar un enlace de exclusión voluntaria de venta o de uso compartido por separado.
• No exijas que un consumidor cree una cuenta para optar por no participar en la venta o el intercambio de su información personal.

Los consumidores también tienen derecho a optar por no participar en la venta o el intercambio de su información personal por parte de un tercero que la haya recibido de una empresa. El tercero debe respetar la exclusión, a menos que el consumidor autorice posteriormente la venta o el intercambio.

Otros derechos del consumidor

Las empresas deben verificar la identidad de un residente de California al responder a solicitudes para saber, eliminar o corregir información personal. Una vez que se verifique la solicitud, proporciona la información o realiza la acción requerida para esa solicitud, sujeta a las excepciones aplicables. No exijas verificación de identidad para solicitudes para optar por no participar en la venta o el intercambio, o para limitar el uso de información personal sensible.

Derecho a saber: Un consumidor puede solicitar que la empresa divulgue la recopilación y el tratamiento de la información personal del consumidor, incluidos:

• Categorías de información personal recopilada sobre ese consumidor (en los 12 meses anteriores)
• Categorías de fuentes de las que se recopila la información personal
• Propósito comercial o empresarial para recopilar, vender o compartir información personal
• Categorías de terceros a quienes la empresa divulgó información personal
• Categorías de información que la empresa vende o divulga a terceros
• Información personal específica que ha recopilado sobre ese consumidor

La CPRA modifica y amplía este derecho para exigir lo siguiente:

• Proporcionar información sobre las categorías de información personal “compartida” con terceros
• Proporcionar información más allá de los 12 meses anteriores cuando el consumidor la solicite, a menos que hacerlo sea imposible o implique un esfuerzo desproporcionado. Este requisito aplica únicamente a la información personal recopilada a partir del 1 de enero de 2022.

Derecho de eliminación: La empresa debe eliminar la información del consumidor (sujeto a ciertas excepciones) y notificar a sus proveedores de servicios para que eliminen la información del consumidor. Bajo la CPRA, la empresa debe notificar a sus proveedores de servicios y contratistas, y también notificar a terceros a quienes la empresa haya vendido o compartido (con fines de publicidad entre contextos) la información personal del consumidor, a menos que esto “resulte imposible o implique un esfuerzo desproporcionado” Además, cada proveedor de servicios también debe notificar a sus propios proveedores de servicios posteriores para que eliminen la información del consumidor.

Derecho a corregir información personal inexacta: Una vez que una empresa recibe una solicitud verificada, debe hacer esfuerzos comercialmente razonables para corregir la información personal inexacta según lo indique el consumidor. Las regulaciones de la Agencia de Protección de la Privacidad de California establecen requisitos para gestionar estas solicitudes.

Si una empresa sabe que un consumidor es menor de 16 años, la CCPA exige una autorización afirmativa antes de vender o intercambiar su información personal. Para consumidores menores de 13 años, un padre, madre o tutor debe autorizarlo. Para consumidores de entre 13 y 15 años, el consumidor debe autorizarlo. La Política de uso aceptable de Klaviyo prohíbe recopilar o procesar información sobre menores de 13 años (o menores de 16 en el EEE), independientemente de esta regla de autorización de la CCPA.

Cumplimiento de solicitudes del consumidor

Las empresas que operan exclusivamente en línea y tienen una relación directa con los consumidores cuya información personal recopilan solo necesitan proporcionar una dirección de correo electrónico para las solicitudes de conocer, eliminar o corregir información personal.

Otras empresas deben proporcionar al menos 2 métodos designados para estas solicitudes, incluidos los siguientes:

• Un número telefónico gratuito
• Una forma de enviar solicitudes a través del sitio web de la empresa, como un formulario web, si la empresa tiene un sitio web

Para las solicitudes de conocer, eliminar o corregir información personal, confirma la recepción dentro de 10 días hábiles y responde dentro de 45 días naturales a partir de la recepción de la solicitud. La verificación de identidad no extiende este plazo. Si es razonablemente necesario, puedes extender el plazo de respuesta por 45 días naturales adicionales, pero debes notificar al consumidor sobre la extensión y sus motivos dentro del periodo inicial de 45 días.

Proporciona la información solicitada a través de una cuenta de usuario existente o por correo, o de forma electrónica, en un formato que el consumidor pueda transferir a otra entidad. Las solicitudes deben ser gratuitas, excepto que la CCPA permite cobrar una tarifa razonable por solicitudes manifiestamente infundadas o excesivas. La empresa debe poder demostrar que esta excepción se aplica.

Para solicitudes para optar por no participar en la venta o el intercambio, o para limitar el uso y la divulgación de información personal sensible, cumple tan pronto como sea posible y a más tardar 15 días hábiles después de recibir la solicitud.

Las empresas no están obligadas a proporcionar información en respuesta a una solicitud de conocer más de 2 veces por consumidor en un periodo de 12 meses. Este límite no aplica a las solicitudes de eliminación o corrección de información personal.

¿Cuál es la función de Klaviyo en virtud de la CCPA y la CPRA en lo que respecta al Klaviyo Service?

Cuando Klaviyo procesa información personal en nombre de tu empresa en virtud del Acuerdo de Procesamiento de Datos, actúa como proveedor de servicios. Tu empresa es responsable de responder y cumplir las solicitudes de derechos del consumidor de tus clientes.

Las obligaciones de Klaviyo con los clientes como proveedor de servicios se establecen en nuestro Acuerdo de procesamiento de datos.

¿Qué está haciendo Klaviyo para permitir que los clientes cumplan?

Klaviyo proporciona herramientas para ayudarte a responder a solicitudes para acceder, eliminar o corregir la información personal almacenada en la cuenta. Usa estas herramientas como parte de tu respuesta, junto con la información y las acciones necesarias en tus otros sistemas. Tu rol de usuario debe permitir las exportaciones de perfiles y las descargas de archivos para las solicitudes de acceso, así como la edición de perfiles para correcciones o eliminaciones. Específicamente:

• Puedes exportar los datos de un perfil para una solicitud de acceso. Desde el perfil, selecciona Acciones del perfil > Exportar perfil y luego Iniciar exportación. Sigue Ver todas las descargas y selecciona Descargar cuando la exportación esté lista para guardar el .zip de formato .csv.
• Puedes eliminar un perfil y registrar la solicitud de privacidad. La eliminación es permanente. Si también necesitas una exportación, descárgala antes de eliminar el perfil. Selecciona Acciones de perfil > Eliminar perfil, marca Eliminar perfil en cumplimiento con la solicitud de privacidad de datos y confirma con Eliminar perfil. Esto registra la solicitud e inicia la eliminación; el perfil permanece accesible hasta que la eliminación se complete.
• Puedes corregir la información de contacto editable en perfiles en Klaviyo. Selecciona Acciones del perfil > Editar información de contacto, ingresa la información corregida y selecciona Actualizar. Revisa el perfil para confirmar el cambio.
• Debes cumplir la Política de uso aceptable de Klaviyo, que prohíbe recopilar, almacenar, procesar, enviar o transmitir ciertos datos, incluida información de salud y números de identificación gubernamental no públicos.

Recursos adicionales