Vanliga frågor om CCPA och CPRA

Du kommer att lära dig

Läs mer om vanliga frågor om CCPA (California Consumer Privacy Act) och CPRA (California Privacy Rights Act).

Vad är CCPA?

CCPA är en lag som trädde i kraft den 1 januari 2020 och reglerar hur företag hanterar personuppgifter om invånare i Kalifornien.

CCPA är ett svar på en upplevd brist i integritetsskyddet i USA. Företag som omfattas av CCPA måste informera invånare i Kalifornien om sina rutiner för integritet och invånarnas rättigheter kopplade till integritet, inklusive rätten att:

• Ta reda på vilken personuppgifter ett företag samlar in om dem och hur de används
• Radera den personliga information som samlats in (med vissa undantag)
• Välja bort försäljning av personuppgifter
• Icke-diskriminering för att de utövar sina CCPA-rättigheter

Vad är CPRA?

CPRA är en lag som ändrar och utökar kraven i CCPA, inklusive:

• Lägga till en kategori för "känslig personlig information"
• Fastställa rätten att begränsa användning och utlämnande av känsliga personuppgifter
• Fastställa rätten att korrigera felaktiga personuppgifter
• Utöka kravet på att välja bort ”Sälj inte” till att även omfatta delning av personuppgifter för beteendebaserad annonsering i olika sammanhang

CPRA-ändringarna trädde i kraft den 1 januari 2023.

Vem måste följa CCPA och CPRA?

Företag

De flesta CCPA-krav gäller ”företag”, definierade som vinstdrivande enheter som samlar in personuppgifter om konsumenter i Kalifornien, antingen direkt eller via leverantörer, och som fastställer syftet med och medlen för behandlingen av dessa uppgifter.

CCPA, i den lydelse som ändrats genom CPRA, gäller i allmänhet för företag som uppfyller alla följande villkor:

• Hanterar personuppgifter för invånare i Kalifornien
• Bedriver ”verksamhet” i Kalifornien (inklusive att engagera sig med individer som befinner sig i Kalifornien via en e-handel eller en interaktiv webbplats eller applikation)
• Uppfyller en eller flera av följande tröskelvärden:
  • Hade årliga bruttointäkter på mer än 26 625 000 $ under föregående kalenderår
  • Köper, säljer eller delar årligen den personliga informationen för 100 000 eller fler invånare i Kalifornien eller hushåll
  • Får 50 % eller mer av sina årliga intäkter från att sälja eller dela Kaliforniens invånares personuppgifter. Att sälja inkluderar att lämna ut, göra tillgängliga, överföra eller kommunicera personuppgifter till tredje parter i utbyte mot pengar eller annan värdefull ersättning. Delning omfattar dessa aktiviteter för beteendebaserad reklam över olika kontexter, oavsett om pengar eller annan värdefull ersättning utbyts eller inte.

Intäktströskeln justeras vartannat år. Granska de aktuella monetära tröskelvärdena när du bedömer om ditt företag omfattas.

Tjänsteleverantörer och entreprenörer

För att anses vara en tjänsteleverantör måste en person eller juridisk enhet:

• Behandla personuppgifter för ett företags räkning
• Vara bunden av ett skriftligt avtal som ställer krav och skyldigheter för användningen av personuppgifter, inklusive att förbjuda:
  • Sälja eller dela personuppgifter
  • Att behålla, använda eller lämna ut personuppgifter för andra ändamål än de affärsändamål som anges i avtalet, utom i de fall detta annars tillåts enligt CCPA
  • Att behålla, använda eller lämna ut personuppgifter utanför den direkta affärsrelationen
  • Att kombinera personuppgifter från företaget med uppgifter från andra källor, förutom för ändamål som tillåts enligt CCPA och dess föreskrifter

Precis som för tjänsteleverantörer gäller undantaget för en försäljning eller delning även för entreprenörer enligt CPRA. Entreprenörer är personer eller enheter som personuppgifter görs tillgängliga för av ett företag, enligt ett skriftligt avtal som inför liknande begränsningar och skyldigheter som gäller för en tjänsteleverantör. Entreprenörer måste också ha en certifiering som visar att entreprenören förstår begränsningarna och kommer att följa dem.

Ett utlämnande till en kvalificerad tjänsteleverantör eller entreprenör för ett affärsändamål anses inte vara en försäljning eller delning när de avtalsvillkor som krävs är uppfyllda.

Vad klassificeras som personuppgifter?

CCPA definierar personuppgifter mycket brett och inkluderar information som identifierar, beskriver eller rimligen kan kopplas till en viss konsument eller ett visst hushåll. I praktiken innebär denna breda definition att information som kontaktuppgifter, transaktionsdata, Internet Protocol (IP)-adresser, identifierare för mobila enheter, klickströmsdata och orderuppgifter kan omfattas av CCPA:s definition av personuppgifter och omfattas av CCPA:s krav.

CPRA lade till en kategori av personuppgifter som kallas ”känsliga personuppgifter”. Konsumenter har rätt att begränsa dess användning och utlämnande för andra ändamål än de som tillåts enligt CCPA.

Känsliga personuppgifter enligt CCPA, i dess ändrade lydelse, omfattar:

• Personnummer
• Körkortsnummer eller nummer på statligt ID-kort
• Passnummer
• Kontoinloggning, finansiellt konto, bankkort eller kreditkortsnummer i kombination med inloggningsuppgifter som ger åtkomst till ett konto
• Precis geolokalisering
• Ras eller etniskt ursprung
• Medborgarskap eller immigrationsstatus
• Religiösa eller filosofiska övertygelser
• Fackligt medlemskap
• Biometrisk information som behandlas för att unikt identifiera en konsument
• Genetiska data
• Neurala data som genereras genom att mäta aktivitet i det centrala eller perifera nervsystemet
• Personuppgifter som samlas in och analyseras om en konsuments hälsa
• Personuppgifter som samlas in och analyseras om en konsuments sexliv eller sexuella läggning
• Innehållet i en konsuments post, e-post och textmeddelanden, om inte företaget är den avsedda mottagaren av kommunikationen

Vad behöver jag göra för att förbereda mig?

CCPA och CPRA är komplexa lagar. Den här artikeln beskriver de viktigaste skyldigheterna enligt CCPA och CPRA i den mån de kan vara relevanta för användningen av Klaviyo Service, men den tar inte hänsyn till alla krav som kan gälla för ditt företag. Kontakta din juridiska rådgivare för specifik rådgivning.

Om CCPA och CPRA gäller för ditt företag bör du ta hänsyn till följande rättigheter och informationskrav.

Meddelande

Ditt företag måste lämna ett meddelande senast i samband med att personuppgifter samlas in, även via registreringsformulär, och göra sin sekretesspolicy tillgänglig på sin webbplats. Meddelandet i samband med insamlingen måste innehålla en länk till sekretesspolicyn. Policyn bör bland annat innehålla:

• Kategorier av personuppgifter som företaget samlar in, säljer, delar och på annat sätt lämnar ut för ett affärsändamål
• Kategorier av källor till personuppgifterna
• Affärs- eller kommersiella syften med att samla in, sälja eller dela personuppgifter
• Beskrivning av följande konsumenters rättigheter och de avsedda metoderna för att skicka in begäranden:
  • Rätten att radera personuppgifter
  • Rätten att få tillgång till kategorier och specifika delar av personuppgifter
  • Rätten att välja bort försäljning eller delning av personuppgifter
  • Rätten till icke-repressalier

CPRA utökar den här listan över konsumenters rättigheter så att den omfattar:

• Rätten att korrigera felaktig information
• Rätten att begränsa användningen och utlämnandet av känslig personlig information
• Rättigheter som rör viss användning av teknik för automatiserat beslutsfattande. Företag som använder den för att fatta betydande beslut, till exempel beslut om anställning, boende eller finansiella tjänster, måste uppfylla kraven på meddelande, möjlighet att välja bort och tillgång som gäller specifikt för ADMT enligt ADMT-specific notice, opt-out, and access requirements senast den 1 januari 2027. Rådgör med juridisk rådgivare för att avgöra om dessa krav gäller för din användning.

CPRA kräver också att företag inkluderar följande ytterligare upplysningar:

• Om individens personuppgifter säljs eller delas
• Hur länge verksamheten avser att behålla varje kategori av personuppgifter eller de kriterier som den kommer att använda för att avgöra hur länge den kommer att behålla sådana uppgifter
• Om företaget samlar in ”känsliga personuppgifter”:
  • En separat upplysning som identifierar vilka kategorier av känslig information som samlas in
  • Användningen och syftet med dessa data
  • Om sådan information säljs eller delas

Rättigheter att avsluta

Konsumenter har rätt att när som helst välja att avstå från att deras personuppgifter säljs eller delas. Om ditt företag säljer eller delar personuppgifter måste det respektera dessa begäranden och får inte börja sälja eller dela igen om inte konsumenten senare godkänner det. Du måste vänta minst 12 månader innan du ber en konsument att välja att delta igen. För att stödja denna rätt måste företag bland annat:

• Tillhandahåll en tydlig och väl synlig länk med texten ”Sälj eller dela inte mina personuppgifter” som gör att konsumenten eller deras behöriga ombud kan välja bort. Reglerna tillåter också en alternativ länk med etiketten ”Dina integritetsval” eller ”Dina integritetsval i Kalifornien”. Företag som behandlar signaler för inställningar om att välja bort på det friktionsfria sätt som krävs kan använda undantaget från att visa en separat länk för att välja bort försäljning eller delning.
• Kräv inte att en konsument skapar ett Konto för att kunna välja bort försäljning eller delning av sina personuppgifter.

Konsumenter har också rätt att välja bort försäljning eller delning av sina personuppgifter av en tredje part som har fått dem från ett företag. Den tredje parten måste respektera detta val, om inte konsumenten senare godkänner försäljningen eller delningen.

Andra konsumenträttigheter

Företag måste verifiera identiteten för en person som är bosatt i Kalifornien när de svarar på begäranden om att få veta, radera eller korrigera personuppgifter. När begäran har verifierats ska du lämna informationen eller vidta den åtgärd som krävs för begäran, med förbehåll för tillämpliga undantag. Kräv inte identitetsverifiering för begäranden om att avstå från försäljning eller delning eller att begränsa användningen av känsliga personuppgifter.

Rätt att få information: En konsument kan begära att företaget lämnar upplysningar om hur det samlar in och behandlar konsumentens personuppgifter, inklusive:

• Kategorier av personuppgifter som samlas in om den konsumenten (under de föregående 12 månaderna)
• Kategorier av källor från vilka den personliga informationen samlas in
• Affärs- eller kommersiellt syfte med att samla in, sälja eller dela personuppgifter
• Kategorier av tredje parter som företaget lämnade ut personuppgifter till
• Kategorier av information som företaget säljer eller lämnar ut till tredje part
• Specifika delar av personuppgifter som den har samlat in om den konsumenten

CPRA ändrar och utökar denna rätt för att kräva:

• Tillhandahålla information om kategorierna av personuppgifter som ”delas” med tredje parter
• Tillhandahålla information utöver de föregående 12 månaderna när konsumenten begär det, om det inte är omöjligt eller innebär en oproportionerligt stor ansträngning. Detta krav gäller endast för personuppgifter som samlats in den 1 januari 2022 eller senare.

Rätt till radering: Företaget måste radera konsumentens information (med vissa undantag) och meddela sina tjänsteleverantörer att radera konsumentens information. Enligt CPRA måste företaget meddela sina tjänsteleverantörer och entreprenörer och även meddela alla tredje parter till vilka företaget har sålt eller delat (för annonsering över olika sammanhang) konsumentens personliga information, såvida inte detta ”visar sig omöjligt eller innebär oproportionerlig ansträngning.” Dessutom måste varje tjänsteleverantör också meddela sina egna underleverantörer att radera konsumentens information.

Rätt att korrigera felaktiga personuppgifter: När ett företag får en verifierad begäran måste det göra kommersiellt rimliga insatser för att korrigera felaktiga personuppgifter enligt konsumentens anvisningar. California Privacy Protection Agency’s föreskrifter fastställer krav för hur dessa begäranden ska hanteras.

Om ett företag vet att en konsument är under 16 kräver CCPA ett uttryckligt godkännande innan personuppgifterna säljs eller delas. För konsumenter under 13 måste en förälder eller vårdnadshavare godkänna det. För konsumenter i åldern 13–15 måste konsumenten själv godkänna det. Klaviyo’s policy för acceptabel användning förbjuder insamling eller behandling av information om barn under 13 (eller under 16 inom EES), oavsett denna CCPA-regel om godkännande.

Uppfylla konsumentförfrågningar

Företag som endast är verksamma online och har en direkt relation med de konsumenter vars personuppgifter de samlar in behöver bara ange en e-postadress för begäran om att få veta, radera eller korrigera personuppgifter.

Andra företag måste tillhandahålla minst 2 angivna metoder för dessa förfrågningar, inklusive:

• Ett avgiftsfritt telefonnummer
• Ett sätt att skicka in förfrågningar via företagets webbplats, till exempel ett webbformulär, om företaget har en webbplats

För begäranden om att få veta, radera eller korrigera personuppgifter ska du bekräfta mottagandet inom 10 arbetsdagar och svara inom 45 kalenderdagar från det att du har tagit emot begäran. Identitetsverifiering förlänger inte den här tidsfristen. Om det är rimligt nödvändigt kan du förlänga svarstidsfristen med ytterligare 45 kalenderdagar, men du måste meddela konsumenten om förlängningen och skälen till den inom den inledande 45-dagarsperioden.

Lämna den begärda informationen via ett befintligt användarkonto eller per post eller elektroniskt i ett format som konsumenten kan överföra till en annan enhet. Begäran måste vara kostnadsfria, förutom att CCPA tillåter en skälig avgift för begäranden som är uppenbart ogrundade eller överdrivna. Ditt företag måste kunna visa att detta undantag gäller.

För begäranden om att välja bort försäljning eller delning eller att begränsa användningen och utlämnandet av känsliga personuppgifter ska du följa begäran så snart det är möjligt och senast 15 arbetsdagar efter att du har tagit emot begäran.

Företag är inte skyldiga att lämna ut information som svar på en begäran om att få veta mer än 2 gånger per konsument under en 12-månadersperiod. Den här gränsen gäller inte för begäranden om att radera eller korrigera personuppgifter.

Vilken roll har Klaviyo enligt CCPA och CPRA i relation till Klaviyo Service?

När Klaviyo behandlar personuppgifter för din verksamhets räkning enligt personuppgiftsbiträdesavtalet agerar det som en tjänsteleverantör. Din verksamhet ansvarar för att svara på och uppfylla dina kunders begäranden om konsumenträttigheter.

Klaviyo skyldigheter gentemot kunder som tjänsteleverantör anges i vårt personuppgiftsbiträdesavtal.

Vad gör Klaviyo för att hjälpa kunder att följa kraven?

Klaviyo tillhandahåller verktyg som hjälper dig att svara på begäranden om att få åtkomst till, radera eller korrigera personuppgifter som lagras i ditt Konto. Använd de här verktygen som en del av ditt svar, tillsammans med information och åtgärder som krävs i dina andra system. Din användarroll måste tillåta profilexporter och filnedladdningar för åtkomstförfrågningar samt profilredigering för korrigeringar eller raderingar. Mer specifikt:

• Du kan exportera profilens data för en åtkomstbegäran. I profilen väljer du Profilåtgärder > Exportera profil och sedan Starta export. Gå till Visa alla nedladdningar och välj Ladda ned när exporten är klar för att spara .zip-filen. fil.
• Du kan ta bort en profil och registrera integritetsbegäran. Borttagningen är permanent. Om du också behöver en export ska du ladda ned den innan du tar bort profilen. Välj Profilåtgärder > Ta bort profil, markera Ta bort profil i Efterlevnad med begäran om dataskydd och bekräfta med Ta bort profil. Detta registrerar begäran och påbörjar borttagningen; profilen är fortfarande tillgänglig tills borttagningen är klar.
• Du kan korrigera redigerbar kontaktinformation på profiler i Klaviyo. Välj Profilåtgärder > Redigera kontaktinformation, ange den korrigerade informationen och välj Uppdatera. Granska profilen för att bekräfta ändringen.
• Du måste följa Klaviyos policy för godtagbar användning, som förbjuder insamling, lagring, behandling, sändning eller överföring av vissa uppgifter, inklusive hälsoinformation och icke-offentliga statliga identifikationsnummer.

Ytterligare resurser