Domande frequenti sul CCPA e sul CPRA

Cosa imparerai

Scopri le domande frequenti su CCPA (California Consumer Privacy Act) e CPRA (California Privacy Rights Act).

Che cos'è il CCPA?

Il CCPA è una legge entrata in vigore il 1° gennaio 2020 e disciplina il modo in cui le aziende gestiscono le informazioni personali dei residenti della California.

Il CCPA è una risposta a una presunta lacuna nelle tutele della privacy negli Stati Uniti. Le aziende che gestiscono le informazioni personali dei residenti della California sono tenute a informare i residenti sulle pratiche di privacy dell’azienda e sui diritti di privacy dei residenti, incluso il diritto di:

• Informati sulle informazioni personali che un'azienda raccoglie su di te e su come vengono utilizzate
• Elimina le informazioni personali raccolte (con alcune eccezioni)
• Rifiuta la vendita delle proprie informazioni personali
• Non discriminazione per l’esercizio dei propri diritti CCPA

Che cos'è il CPRA?

Il CPRA è una legge che modifica e amplia i requisiti del CCPA, tra cui:

• Aggiunta di una categoria di "informazioni personali sensibili"
• Stabilire il diritto di limitare l'uso e la divulgazione di informazioni personali sensibili
• Stabilire il diritto di correggere informazioni personali inesatte
• Estensione del requisito di rifiuto "Do Not Sell" alla "condivisione" di informazioni personali per finalità di pubblicità cross-context (o di terze parti)

Il CPRA diventa operativo il 1° gennaio 2023.

Chi deve rispettare il CCPA e il CPRA?

Aziende

La maggior parte dei requisiti CCPA e CPRA si applica alle “aziende”, definite come società che raccolgono le informazioni personali dei consumatori della California direttamente o tramite fornitori.

Il CCPA si applica alle aziende che soddisfano una delle seguenti condizioni:

• Gestisce le informazioni personali dei residenti in California
• Svolge "attività commerciale" in California (inclusa l'interazione con persone che si trovano in California tramite un sito web o un'applicazione di e-commerce o interattiva)
• Soddisfa una o più delle seguenti soglie:
  • Ha ricavi lordi annuali superiori a 25 milioni di $
  • Acquista, riceve o vende le informazioni personali di 50.000 o più residenti, nuclei familiari o dispositivi della California all'anno
  • Deriva il 50% o più dei suoi ricavi annuali dalla "vendita" delle informazioni personali dei residenti in California (ovvero la vendita include la divulgazione, la messa a disposizione, il trasferimento o la comunicazione di informazioni personali a terze parti in cambio di denaro o di altri corrispettivi di valore)

Il CPRA modifica questo ambito di applicazione come segue:

• Soddisfa una o più delle seguenti soglie:
  • Aveva ricavi lordi annuali superiori a 25 milioni $ l'anno scorso
  • Acquista, vende o condivide informazioni personali di 100.000 o più residenti o nuclei familiari della California ogni anno
  • Deriva il 50% o più dei suoi ricavi annuali dalla vendita o condivisione delle informazioni personali dei residenti in California (la condivisione include la divulgazione, la messa a disposizione, il trasferimento o la comunicazione di informazioni personali a terze parti per la pubblicità comportamentale cross-content, indipendentemente dal fatto che avvenga o meno a fronte di un corrispettivo monetario o di altro valore).

Fornitori di servizi e appaltatori

Per essere considerato un fornitore di servizi, una persona o una persona giuridica deve:

• Elaborare informazioni personali per conto di un'azienda
• Essere vincolato da un contratto scritto che impone determinate restrizioni e obblighi in merito all’uso delle informazioni personali, incluso il divieto di:
  • Raccolta
  • Vendita
  • Utilizzo delle informazioni personali solo nella misura necessaria a svolgere lo scopo commerciale

Analogamente ai fornitori di servizi, l'eccezione a una vendita o condivisione si applica anche agli appaltatori ai sensi della CPRA. Gli appaltatori sono persone o entità a cui un'azienda rende disponibili informazioni personali, ai sensi di un contratto scritto che impone restrizioni e obblighi simili a quelli che si applicano a un fornitore di servizi. Gli appaltatori devono anche avere una certificazione che attesti che l'appaltatore comprende le restrizioni e le rispetterà.

Tieni presente che la divulgazione dei dati da parte di un'azienda a un fornitore di servizi o a un appaltatore non è considerata una vendita o una condivisione quando è necessaria per svolgere una finalità aziendale.

Che cosa viene classificato come conformità personale?

Il CCPA definisce le informazioni personali in modo molto ampio, includendo le informazioni che identificano, descrivono o che possono ragionevolmente essere associate a un consumatore o a un nucleo familiare specifico. In pratica, questa ampia definizione significa che informazioni come dati di contatto, dati sulle transazioni, indirizzi Internet Protocol (IP), identificatori di dispositivi mobili, dati clickstream e dettagli dell’ordine potrebbero rientrare nell’ambito della definizione di informazioni personali del CCPA ed essere soggette ai requisiti del CCPA.

Il CPRA crea una nuova categoria di informazioni personali, "informazioni personali sensibili", e fornisce ai consumatori un nuovo diritto di limitare l'uso e la divulgazione delle loro informazioni sensibili.

Le informazioni personali sensibili ai sensi del CPRA includono:

• Numero di previdenza sociale
• Numero della patente di guida
• Numero di passaporto
• Credenziali dell'account
• Geolocalizzazione precisa
• Origine razziale o etnica
• Credenze religiose
• Dati biometrici
• Dati genetici
• Dati sanitari
• Informazioni riguardanti la vita sessuale o l’orientamento sessuale di un consumatore
• I contenuti della posta, delle e-mail e della messaggistica di testo di una persona consumatrice, a meno che l'azienda non sia il destinatario previsto della comunicazione

Cosa devo fare per prepararmi?

Il CCPA e il CPRA sono leggi complesse. Questo articolo fornisce gli obblighi principali previsti dal CCPA e dal CPRA in relazione all’utilizzo di Klaviyo Service, ma non tiene conto di tutti i requisiti che potrebbero applicarsi alla tua attività. Contatta il tuo consulente legale per una consulenza specifica.

Se il CCPA e il CPRA sono applicabili alla tua azienda, dovresti considerare i seguenti diritti e le seguenti informative.

Avviso

La tua azienda deve avere un’informativa sulla privacy sul tuo sito web che sia accessibile in tutti i punti in cui raccogli informazioni personali, ad esempio tramite moduli d'iscrizione. L’informativa dovrebbe includere, tra le altre cose:

• Categorie di informazioni personali che raccoglie, vende e altrimenti divulga per uno scopo aziendale
• Categorie delle fonti delle informazioni personali
• Scopi aziendali o commerciali per la raccolta o la vendita delle informazioni personali
• Descrizione dei seguenti diritti dei consumatori e dei metodi designati per l’invio delle richieste:
  • Il diritto di eliminare le informazioni personali
  • Il diritto di accesso alle categorie e a specifiche informazioni personali
  • Il diritto di rinunciare alla vendita o alla condivisione di informazioni personali
  • Il diritto di non ritorsione

Il CPRA amplia questo elenco di diritti dei consumatori includendo:

• Il diritto di correggere informazioni inesatte
• Il diritto di limitare l’uso e la divulgazione di informazioni personali sensibili
• Il diritto di rinunciare alla tecnologia di processo decisionale automatizzato

Il CPRA richiede inoltre alle aziende di includere le seguenti informative aggiuntive:

• Se le informazioni personali della persona vengono vendute o condivise
• Il periodo di tempo per cui l’azienda intende conservare ciascuna categoria di informazioni personali o i criteri che utilizzerà per determinare per quanto tempo conserverà tali informazioni
• Se l'azienda raccoglie "informazioni personali sensibili":
  • Un’informativa separata che identifica le categorie di informazioni sensibili raccolte
  • L’utilizzo e la finalità di questi dati
  • Se tali informazioni vengono vendute o condivise

Diritti di opt-out

I consumatori hanno il diritto in qualsiasi momento di rifiutare la vendita dei propri dati personali a terzi. La tua azienda deve interrompere la vendita di informazioni personali al ricevimento della richiesta, a meno che il consumatore non fornisca una successiva autorizzazione esplicita. Le aziende devono attendere almeno 12 mesi prima di chiedere a un consumatore di acconsentire di nuovo alla vendita di informazioni personali. Per abilitare questo diritto di opt-out, le aziende devono, tra le altre cose:

• Fornisci un link chiaro e ben visibile nella homepage dell’azienda, intitolato “Non vendere le mie informazioni personali”. Il link dovrebbe consentire a un consumatore, o a una persona autorizzata dal consumatore, di rinunciare alla vendita delle informazioni personali del consumatore
• Non richiedere a un consumatore di creare un account per indicare all'azienda di non vendere le informazioni personali del consumatore.

Le persone consumatrici hanno anche il diritto, in qualsiasi momento, di rinunciare alla vendita dei propri dati personali da parte di un soggetto terzo che ha acquistato i dati personali della persona consumatrice da un’azienda. Il soggetto terzo deve interrompere la vendita al ricevimento della richiesta di rinuncia, a meno che la persona consumatrice non fornisca una successiva autorizzazione esplicita.

Altri diritti dei consumatori

Le aziende devono disporre di processi per verificare l’identità di un residente in California quando rispondono a richieste di accesso o eliminazione di informazioni personali. Una volta ricevuta una richiesta da un residente della California e confermata la sua identità, assicurati di includere quanto segue quando completi la richiesta, se applicabile, per rispettare i suoi diritti.

Diritto di sapere: un consumatore può richiedere che l'azienda divulghi la raccolta e il trattamento delle sue informazioni personali, inclusi:

• Categorie di informazioni personali raccolte sulla persona consumatrice (nei 12 mesi precedenti)
• Categorie di fonti da cui vengono raccolte le informazioni personali
• Finalità aziendale o commerciale per la raccolta o la vendita di informazioni personali
• Categorie di terze parti con cui l'azienda ha divulgato informazioni personali
• Categorie di informazioni che l'azienda vende o divulga a terze parti
• Elementi specifici di informazioni personali raccolti su quel consumatore

Il CPRA modifica ed estende questo diritto richiedendo:

• Fornire informazioni sulle categorie di informazioni personali “condivise” con terze parti
• la rimozione della limitazione di retroattività di 12 mesi, richiedendo a un'azienda di fornire più di 12 mesi di informazioni, purché tale divulgazione non sia "impossibile" o "comporti uno sforzo sproporzionato" (questo requisito non si applicherebbe ai dati raccolti dall'azienda prima del 1° gennaio 2022)

Diritto di cancellazione: l’azienda deve eliminare le informazioni del consumatore (fatte salve alcune eccezioni) e notificare ai propri fornitori di servizi di eliminare le informazioni del consumatore. In base al CPRA, l’azienda deve notificare ai propri fornitori di servizi e appaltatori e anche notificare a eventuali terze parti a cui l’azienda ha venduto o condiviso (per scopi pubblicitari cross-contestuali) le informazioni personali del consumatore, a meno che ciò “non si dimostri impossibile o comporti uno sforzo sproporzionato”. Inoltre, ogni fornitore di servizi deve anche notificare ai propri fornitori di servizi a valle di eliminare le informazioni del consumatore.

Diritto di correggere informazioni personali inesatte: una volta che un'azienda riceve una richiesta verificata di correggere informazioni personali inesatte, l'azienda deve adottare "sforzi ragionevolmente commerciali" per correggere tali informazioni personali come indicato dal consumatore. Sono attese ulteriori indicazioni su questo obbligo da parte del Procuratore generale della California.

Dovresti anche notare che, se il consumatore ha meno di 13 anni, è richiesto il consenso espresso (opt-in) di un genitore o di un tutore prima di vendere le sue informazioni personali. Se il consumatore ha un’età compresa tra 13 e 16 anni, è richiesto il consenso espresso dell’interessato prima di vendere le sue informazioni personali.

Soddisfare le richieste dei consumatori

Devi avere almeno 2 metodi designati per consentire ai consumatori di inviare richieste di informazioni.

Questi devono includere, come minimo:

• Un numero di telefono verde (alcune aziende che operano esclusivamente online e hanno un rapporto diretto con il consumatore da cui raccolgono informazioni personali sono esentate dal requisito del numero verde)
• Indirizzo web, se l'azienda ha un sito web

Le richieste dei consumatori devono essere evase entro 45 giorni dalla ricezione della richiesta, per posta o elettronicamente (in un formato che consenta al consumatore di fornirla a un’altra entità) o tramite un account utente. Il tempo di risposta può essere prorogato di ulteriori 45 giorni se ragionevolmente necessario in base alla complessità e al numero di richieste e se il richiedente viene informato della proroga (specificandone i motivi). La procedura di richiesta deve essere gratuita.

Le aziende non sono tenute a gestire più di due richieste per consumatore in un periodo di 12 mesi.

Qual è il ruolo di Klaviyo ai sensi del CCPA e del CPRA in relazione al Klaviyo Service?

Klaviyo non ha alcun rapporto diretto con le persone di cui i nostri clienti raccolgono le informazioni personali e le memorizzano sulla nostra piattaforma. Klaviyo opera come fornitore di servizi, mentre i nostri clienti sono le aziende, perché trattiamo le informazioni personali per conto dei nostri clienti.

Gli obblighi di Klaviyo nei confronti dei clienti in qualità di fornitore di servizi sono definiti nel nostro Accordo sul trattamento dei dati.

Cosa sta facendo Klaviyo per consentire ai clienti di conformarsi?

I clienti di Klaviyo hanno la possibilità e gli strumenti per soddisfare le richieste delle persone residenti in California che desiderano esercitare i propri diritti di consumatore per accedere, eliminare o correggere le informazioni personali ai sensi del CCPA e del CPRA. In particolare:

• La piattaforma consente ai clienti di generare report sulle informazioni personali che conserva sugli utenti finali in risposta alle richieste di accesso.
• La piattaforma consente l’ eliminazione di informazioni personali che conserva sugli utenti finali in risposta a richieste di eliminazione e la correzione di informazioni personali inesatte nei profili in Klaviyo.
• Klaviyo non supporta e limita la raccolta e l’archiviazione di informazioni personali sensibili, in base alla nostra Policy di utilizzo accettabile.

Risorse aggiuntive