O que é a conformidade com a CCPA/CPRA?
A California Consumer Privacy Act (CCPA) é a lei abrangente de privacidade do consumidor da Califórnia. A California Privacy Rights Act (CPRA), aprovada em 2020, alterou a CCPA e ampliou os direitos dos consumidores e as obrigações das empresas.
Juntas, a CCPA e a CPRA estabelecem requisitos relativos à coleta, ao uso, à divulgação, à venda, ao compartilhamento, à retenção e à proteção de informações pessoais.
As empresas sujeitas à lei devem conhecer suas atividades de tratamento de dados, fornecer divulgações de privacidade adequadas, responder às solicitações dos consumidores, respeitar as preferências de opt-out aplicáveis e manter salvaguardas de segurança apropriadas.
A RegulatoryBridge ajuda as organizações a traduzir esses requisitos em políticas práticas, fluxos de trabalho, controles técnicos e processos contínuos de conformidade.
Quem precisa cumprir a CCPA/CPRA?
A CCPA se aplica a empresas com fins lucrativos que fazem negócios na Califórnia e atendem aos critérios legais aplicáveis.
Esses critérios incluem limites de receita, o volume de informações pessoais de consumidores ou domicílios da Califórnia que são tratadas e a receita obtida com a venda ou o compartilhamento de informações pessoais. Os limites e as definições aplicáveis devem ser conferidos no texto vigente da lei.
A aplicabilidade da CCPA pode ser relevante para:
- Empresas de tecnologia e SaaS
- Empresas de e-commerce e varejo
- Plataformas de publicidade digital
- Fornecedores de tecnologia de marketing
- Organizações de serviços financeiros
- Empresas de saúde e de tecnologia em saúde
- Empresas orientadas por dados
- Fornecedores de IA e analytics
- Empresas internacionais que atendem consumidores da Califórnia
A RegulatoryBridge ajuda as organizações a avaliar se a CCPA se aplica às suas operações e a determinar quais requisitos são relevantes para o seu modelo de negócio.
Principais requisitos de conformidade com a CCPA/CPRA
Avisos de privacidade e transparência
Forneça divulgações claras sobre a coleta e o tratamento de informações pessoais. Isso pode incluir as categorias de informações coletadas, as finalidades do tratamento, informações sobre retenção, as categorias de terceiros, os direitos dos consumidores e as práticas aplicáveis de venda ou compartilhamento.
Direitos de privacidade dos consumidores
Estabeleça processos para atender às solicitações aplicáveis de conhecimento, acesso, exclusão, correção e exercício de outros direitos previstos na lei de privacidade da Califórnia.
Opt-out de venda e compartilhamento
Avalie se as informações pessoais são vendidas ou compartilhadas no sentido da CCPA e ofereça mecanismos de opt-out adequados.
Global Privacy Control
Reconheça e processe os sinais de preferência de opt-out qualificados, quando exigido, incluindo os sinais aplicáveis do Global Privacy Control (GPC).
Informações pessoais sensíveis
Identifique as informações pessoais sensíveis e avalie se são necessárias divulgações adicionais, restrições ou mecanismos para limitar determinados usos e divulgações.
Segurança de dados
Mantenha procedimentos e práticas de segurança razoáveis, adequados às informações pessoais tratadas e aos requisitos legais aplicáveis.
Gestão de fornecedores e contratos
Revise as relações com prestadores de serviços, contratados e terceiros para garantir restrições contratuais e responsabilidades de privacidade adequadas.
Responsabilização e gestão de riscos
Mantenha a documentação, avalie os riscos de privacidade aplicáveis e acompanhe as mudanças nas regulamentações da Califórnia e nas leis estaduais de privacidade correlatas dos Estados Unidos.
Direitos de privacidade do consumidor na Califórnia
A CCPA confere aos consumidores da Califórnia direitos sobre suas informações pessoais, observadas as condições e exceções aplicáveis.
Direito de saber
Os consumidores podem solicitar informações sobre as informações pessoais que uma empresa coleta, usa, divulga, vende ou compartilha, conforme o caso.
Direito de acesso
Os consumidores podem solicitar acesso a informações pessoais específicas abrangidas pela lei.
Direito de exclusão
Os consumidores podem solicitar a exclusão de informações pessoais, observadas as exceções legais.
Direito de correção
Os consumidores podem solicitar a correção de informações pessoais inexatas mantidas por uma empresa abrangida.
Direito de opt-out
Os consumidores podem optar por não permitir a venda ou o compartilhamento de informações pessoais nas circunstâncias previstas pela CCPA.
Direito de limitar determinados usos de informações pessoais sensíveis
Os consumidores podem ter a possibilidade de limitar determinados usos e divulgações de informações pessoais sensíveis.
Direito à não discriminação
As empresas não podem discriminar ilegalmente os consumidores por exercerem seus direitos de privacidade.
Direito à portabilidade dos dados
Quando aplicável, os consumidores podem solicitar informações pessoais em um formato portátil e de fácil utilização.
A RegulatoryBridge ajuda as organizações a estabelecer fluxos de trabalho consistentes para receber, verificar, processar e documentar solicitações de consumidores.
Gestão de solicitações de consumidores da CCPA
Gerenciar solicitações de privacidade em múltiplos aplicativos, bancos de dados e fornecedores terceirizados pode ser um desafio.
A RegulatoryBridge ajuda as organizações a estabelecer processos estruturados de solicitações de consumidores, abrangendo:
- Recebimento de solicitações por canais aprovados
- Verificação de identidade
- Classificação das solicitações
- Localização e recuperação de dados
- Isenções e exceções aplicáveis
- Fluxos de exclusão e correção
- Escalonamento interno
- Preparação da resposta
- Acompanhamento das solicitações
- Evidências e manutenção de registros
Esses processos ajudam as organizações a responder de forma consistente dentro dos prazos legais aplicáveis.
Global Privacy Control (GPC) e gestão de opt-out
As organizações que utilizam tecnologias de publicidade, análise e personalização devem avaliar se suas atividades constituem venda ou compartilhamento de informações pessoais nos termos da CCPA.
Quando exigido, as empresas devem oferecer mecanismos de opt-out adequados e respeitar os sinais de preferência de opt-out qualificados.
A RegulatoryBridge ajuda as organizações a avaliar e gerenciar:
- Sinais do Global Privacy Control
- Inventários de cookies e rastreadores
- Pixels de publicidade
- Tecnologias de análise
- SDKs de terceiros
- Publicidade comportamental entre contextos
- Compartilhamento de dados servidor a servidor
- Preferências de opt-out dos consumidores
- Registros de consentimento e preferências
Uma abordagem coordenada ajuda a garantir que as preferências dos consumidores sejam refletidas nos sites, aplicativos e processos de compartilhamento de dados relevantes.
Avisos de privacidade e divulgações da CCPA
As divulgações de privacidade devem refletir com precisão como a organização coleta, usa, retém e compartilha informações pessoais.
A RegulatoryBridge ajuda as organizações a revisar e manter:
Políticas de privacidade
Documente as práticas de dados relevantes e os direitos de privacidade dos consumidores.
Avisos no momento da coleta
Forneça as informações exigidas no momento da coleta de informações pessoais ou antes dela.
Divulgações sobre venda e compartilhamento
Explique as práticas aplicáveis de venda ou compartilhamento e como os consumidores podem exercer o direito de opt-out.
Divulgações sobre informações pessoais sensíveis
Trate das categorias relevantes de informações pessoais sensíveis e das escolhas aplicáveis dos consumidores.
Avisos de incentivo financeiro
Forneça divulgações quando programas de incentivo financeiro ou de diferenciação de preço ou serviço estiverem sujeitos aos requisitos aplicáveis.
Divulgações sobre retenção
Explique os prazos ou critérios de retenção conforme exigido pelas regras aplicáveis.
Mapeamento de dados e inventário de informações pessoais
A conformidade efetiva com a CCPA começa por entender onde as informações pessoais são coletadas, armazenadas, usadas e divulgadas.
A RegulatoryBridge ajuda as organizações a mapear:
- Categorias de informações pessoais
- Canais de coleta
- Finalidades do tratamento
- Sistemas internos
- Locais de armazenamento de dados
- Destinatários terceiros
- Prestadores de serviços e contratados
- Atividades de venda e compartilhamento
- Práticas de retenção
- Processos de exclusão
Esse inventário serve de base para avisos de privacidade, solicitações de consumidores, avaliações de risco e governança de fornecedores.
Conformidade de fornecedores e prestadores de serviços
Plataformas de terceiros podem introduzir riscos de privacidade e segurança quando acessam ou tratam informações pessoais.
A RegulatoryBridge ajuda as organizações a revisar as relações relevantes com:
- Provedores de nuvem e SaaS
- Plataformas de CRM
- Redes de publicidade
- Provedores de análise
- Processadores de pagamentos
- Plataformas de marketing
- Sistemas de atendimento ao cliente
- Provedores de serviços de IA
- Corretores de dados e outros destinatários de dados
Nossa abordagem dá suporte a inventários de fornecedores, revisões contratuais, avaliações de compartilhamento de dados, gestão de suboperadores e monitoramento contínuo de riscos de privacidade.
Avaliações de risco e auditorias de cibersegurança da CCPA
O marco regulatório da Califórnia, em constante evolução, inclui requisitos relativos a avaliações de risco de determinados tratamentos e a auditorias de cibersegurança.
A aplicabilidade de um requisito específico depende da empresa, das atividades de tratamento, dos limites aplicáveis e dos cronogramas regulatórios pertinentes.
A RegulatoryBridge ajuda as organizações a avaliar sua preparação em:
- Tratamento de informações pessoais
- Dados sensíveis
- Impactos sobre os consumidores
- Controles de segurança
- Gestão de acessos
- Criptografia
- Gestão de vulnerabilidades
- Resposta a incidentes
- Risco de terceiros
- Mitigação de riscos
- Documentação e evidências
Ajudamos as empresas a identificar as obrigações relevantes, priorizar lacunas e desenvolver um roteiro de implementação.
CCPA e tecnologia de tomada de decisão automatizada
As organizações utilizam cada vez mais inteligência artificial e tomada de decisão automatizada em publicidade, personalização, decisões de elegibilidade, definição de perfis e outros processos de negócio.
O marco regulatório da Califórnia trata de determinados usos da tecnologia de tomada de decisão automatizada (ADMT), com aplicabilidade e prazos de conformidade que dependem das disposições pertinentes.
A RegulatoryBridge ajuda as organizações a avaliar:
- Inventários de IA e ADMT
- Finalidades do tratamento
- Impactos sobre os consumidores
- Requisitos de aviso aplicáveis
- Direitos de acesso e de opt-out relevantes
- Avaliações de risco
- Responsabilidades de governança
- Documentação
- Monitoramento e revisão
Essas atividades podem ser integradas a um programa mais amplo de governança de IA e conformidade em privacidade.
CCPA e conformidade com as leis de privacidade de vários estados dos EUA
A Califórnia é apenas uma parte de um cenário crescente de leis estaduais de privacidade nos Estados Unidos. As organizações que atuam em vários estados podem precisar gerenciar requisitos de privacidade sobrepostos, mas não idênticos.
A RegulatoryBridge ajuda as empresas a coordenar marcos regulatórios como:
- CCPA/CPRA da Califórnia
- Virginia Consumer Data Protection Act (VCDPA)
- Colorado Privacy Act (CPA)
- Connecticut Data Privacy Act (CTDPA)
- Utah Consumer Privacy Act (UCPA)
- Texas Data Privacy and Security Act (TDPSA)
- Oregon Consumer Privacy Act (OCPA)
- Montana Consumer Data Privacy Act (MTCDPA)
- Delaware Personal Data Privacy Act
- New Jersey Data Privacy Act
- Outras leis estaduais de privacidade aplicáveis
Uma estrutura unificada pode dar suporte a inventários de dados compartilhados, fluxos de solicitações de consumidores, governança de fornecedores e controles de privacidade comuns, preservando os requisitos específicos de cada estado.
Conformidade com a CCPA para organizações globais
Empresas internacionais podem precisar coordenar as obrigações de privacidade da Califórnia com outras leis de privacidade.
A RegulatoryBridge ajuda as organizações a alinhar seus programas de privacidade entre:
- CCPA/CPRA
- GDPR da UE
- UK GDPR
- DPDPA da Índia
- LGPD do Brasil
- PDPA de Singapura
- APPI do Japão
- Outros marcos regulatórios de privacidade aplicáveis
Essa abordagem ajuda as organizações a manter processos de governança comuns, levando em conta as diferenças de escopo, definições, direitos, isenções e requisitos de implementação.
Nossos serviços de conformidade com a CCPA
Avaliação de preparação para a CCPA
01Determine a aplicabilidade, avalie os controles existentes e identifique lacunas de conformidade.
Inclui:
- Avaliação de escopo
- Mapeamento de dados
- Análise de lacunas
- Revisão de riscos
- Planejamento priorizado de remediação
Gestão de direitos do consumidor
02Estabeleça fluxos de trabalho para solicitações de acesso, exclusão, correção, opt-out e outras solicitações aplicáveis.
Inclui:
- Recebimento de solicitações
- Verificação
- Encaminhamento
- Atendimento
- Acompanhamento
- Documentação
Gestão de avisos de privacidade
03Revise as políticas de privacidade e os avisos aplicáveis para garantir que reflitam as práticas de dados reais.
Inclui:
- Políticas de privacidade
- Avisos no momento da coleta
- Divulgações sobre venda e compartilhamento
- Divulgações relevantes sobre informações sensíveis
Gestão de GPC e opt-out
04Avalie o tratamento dos sinais de opt-out aplicáveis em suas propriedades digitais e acordos de compartilhamento de dados.
Inclui:
- Avaliação do GPC
- Inventário de rastreadores
- Tratamento de preferências
- Fluxos de opt-out
Mapeamento e inventário de dados
05Desenvolva visibilidade sobre as informações pessoais e sua movimentação pela organização.
Inclui:
- Categorias de dados
- Finalidades
- Sistemas
- Destinatários
- Retenção
- Atividades de tratamento
Conformidade de fornecedores e contratos
06Fortaleça a governança de privacidade entre prestadores de serviços, contratados e outros terceiros relevantes.
Inclui:
- Avaliações de fornecedores
- Revisões contratuais
- Análise de compartilhamento de dados
- Monitoramento contínuo
Avaliação de riscos e preparação para auditorias
07Identifique as obrigações aplicáveis da Califórnia em matéria de avaliação e de auditoria de cibersegurança.
Inclui:
- Revisões de aplicabilidade
- Identificação de riscos
- Avaliações de controles
- Gestão de evidências
- Acompanhamento da remediação
Mapeamento de privacidade multiestadual nos EUA
08Coordene controles de privacidade comuns entre as leis estaduais dos Estados Unidos aplicáveis.
Inclui:
- Mapeamento regulatório
- Análise de lacunas específica por estado
- Fluxos de trabalho compartilhados
- Monitoramento regulatório contínuo
Nossa estrutura de implementação da CCPA
Por que escolher a RegulatoryBridge para a conformidade com a CCPA?
Conformidade específica para a Califórnia
Atenda aos requisitos da CCPA/CPRA com base nas atividades da sua organização e nas obrigações regulatórias aplicáveis.
Cobertura multiestadual nos EUA
Coordene controles de privacidade comuns entre vários marcos estaduais sem deixar de lado as diferenças específicas de cada estado.
Integração global de privacidade
Conecte a conformidade na Califórnia ao seu programa internacional de privacidade mais amplo.
Implementação prática
Transforme requisitos legais em processos, controles, responsabilidades e documentação bem definidos.
Governança apoiada por tecnologia
Centralize atividades de conformidade, solicitações de consumidores, evidências, avaliações de fornecedores e atualizações regulatórias.
Monitoramento regulatório contínuo
Mantenha-se informado sobre mudanças que possam afetar suas obrigações de privacidade e prioridades de implementação.
Perguntas frequentes
Construa um programa escalável de conformidade com a CCPA
A conformidade com as leis de privacidade da Califórnia exige mais do que publicar uma política de privacidade. As organizações precisam de visibilidade sobre as informações pessoais, processos confiáveis de solicitações de consumidores, mecanismos de opt-out eficazes, controles adequados de fornecedores e supervisão regulatória contínua.
A RegulatoryBridge ajuda as organizações a construir um programa estruturado de conformidade com a CCPA/CPRA, coordenando ao mesmo tempo os requisitos aplicáveis das leis estaduais de privacidade dos Estados Unidos.