有关 CCPA 和 CPRA 的常见问题
你将会学到
了解有关 CCPA（加州消费者隐私法）和 CPRA（加州隐私权法）的常见问题。此处提供的信息旨在提供教育意义，不应被视为法律建议。 Klaviyo 鼓励我们的所有客户以及所有电子商务商家寻求法律建议，了解他们具体应如何遵守 CCPA 和 CPRA。
什么是 CCPA？ CCPA 是一项于 2020 年 1 月 1 日生效的法律，规范企业如何处理加州居民的个人信息。 CCPA 是对美国隐私保护方面存在的明显差距的回应。处理加州居民个人信息的公司必须告知居民公司的隐私惯例和居民的隐私权，包括以下权利：
- 了解企业收集的个人信息及其使用方式
- 删除收集的个人信息（部分例外）
- 选择不出售其个人信息
- 行使 CCPA 权利时不受歧视
什么是 CPRA？ CPRA 是一项修订和扩展 CCPA 要求的法律，包括：
- 添加“敏感个人信息”类别
- 建立限制使用和披露敏感个人信息的权利
- 建立纠正不准确个人信息的权利
- 将“不出售”选择退出要求扩展到“共享”个人信息以用于跨上下文（或第三方）广告
CPRA 于 2023 年 1 月 1 日生效。## 谁必须遵守 CCPA 和 CPRA？
企业
大多数 CCPA 和 CPRA 要求适用于“企业”，即自行或使用供应商收集加州消费者个人信息的公司。 CCPA 适用于满足以下条件之一的企业：
- 处理加州居民的个人信息
- 在加利福尼亚州“开展业务”（包括通过电子商务或互动网站或应用程序与位于加利福尼亚州的个人进行互动）
- 满足以下一个或多个阈值：
- 年总收入超过 2500 万美元
- 每年购买、接收或出售 50,000 名或更多加州居民、家庭或设备的个人信息
- 50% 或更多的年收入来自“出售”加州居民的个人信息（即出售包括为了金钱或其他有价值的考虑而向第三方披露、提供、转让或交流个人信息）
CPRA 对此适用性进行了如下修改：
- 满足以下一个或多个阈值：
- 去年的年总收入超过 2500 万美元
- 每年购买、出售或分享 100,000 或更多加州居民或家庭的个人信息
- 50% 或更多的年收入来自销售或分享加州居民的个人信息（共享包括向第三方披露、提供、转移或传达个人信息以进行跨内容行为广告，无论是否出于金钱或其他有价值的考虑。）
服务提供商和承包商
为了被视为服务提供商，个人或法人实体必须：
- 代表企业处理个人信息
- 受书面合同的约束，该合同对个人信息的使用施加了某些限制和义务，包括但不限于：
- – 收集中
- 销售
- 除执行业务目的所必需的情况外，使用个人信息
与服务提供商类似，销售或共享的例外情况也适用于 CPRA 规定的承包商。承包商是企业根据书面合同提供个人信息的个人或实体，该书面合同施加了适用于服务提供商的类似限制和义务。承包商还必须拥有一份证明，证明承包商了解这些限制并将遵守这些限制。请注意，当有必要执行业务目的时，企业向服务提供商或承包商披露数据不被视为销售或共享。
什么被归类为个人遵守？ CCPA 对个人信息的定义非常广泛，包括识别、描述或合理地能够与特定消费者或家庭相关联的信息。实际上，这一广泛的定义意味着联系信息、交易数据、互联网协议 (IP) 地址、移动设备标识符、点击流数据和订单详细信息等信息可能属于 CCPA 个人信息定义的范围，并须遵守 CCPA 的要求。 CPRA 创建了一个新的个人信息类别，即“敏感个人信息”，并为消费者提供了限制其敏感信息的使用和披露的新权利。 CPRA 规定的敏感个人信息包括：
- 社会安全号码
- 驾驶执照号码
- 护照号码
- 帐户凭据
- 精确的地理位置
- 种族或民族血统
- 宗教信仰
- 生物识别数据
- 遗传数据
- 健康数据
- 有关消费者性生活或性取向的信息
- 消费者的邮件、电子邮件和短信的内容，除非企业是通信的预期收件人
Klaviyo 不允许在平台中收集或存储敏感的个人信息。
我需要做什么准备？ CCPA 和 CPRA 是复杂的法律。本文提供了 CCPA 和 CPRA 下可能与 Klaviyo 服务的使用相关的关键义务，但并未考虑可能适用于您的业务的所有要求。请联系您的法律顾问获取具体建议。如果 CCPA 和 CPRA 适用于您的企业，您应考虑以下权利和披露。
通知
您的企业必须在您的网站上制定隐私政策，以便您可以在收集个人信息的所有位置（例如注册表单）访问该政策。除其他外，该政策应包括：
- 出于商业目的而收集、出售和以其他方式披露的个人信息类别
- 个人信息来源的类别
- 收集或出售个人信息的商业或商业目的
- 描述以下消费者权利以及提交请求的指定方法：
- 删除个人信息的权利
- 访问类别和特定个人信息的权利
- 选择不出售或共享个人信息的权利
- 不报复的权利
CPRA 扩大了消费者权利清单，包括：
- 纠正不准确信息的权利
- 限制敏感个人信息的使用和披露的权利
- 选择退出自动化决策技术的权利
CPRA 还要求企业提供以下额外披露：
- 个人的个人信息是否被出售或共享
- 企业打算保留每类个人信息的时间长度或用于确定保留此类信息多长时间的标准
- 如果企业收集“敏感个人信息”：
- 单独披露，确定所收集敏感信息的类别
- 该数据的使用和目的
- 此类信息是否被出售或共享
选择退出权利
消费者有权随时选择不将其个人数据出售给第三方。您的企业必须在收到请求后停止出售个人信息，除非消费者随后提供明确授权。企业必须等待至少 12 个月才能要求消费者选择重新出售个人信息。为了实现这种选择退出的权利，企业必须：
- 在企业主页上提供清晰显眼的链接，标题为“请勿出售我的个人信息”。该链接应使消费者或消费者授权的人能够选择不出售消费者的个人信息
- 不要求消费者创建帐户来指示企业不要出售消费者的个人信息。 CPRA 扩展了现有的选择退出权和选择加入要求，包括个人信息的出售和共享。 因此，企业主页上发布的链接应更新并标题为“请勿出售或分享我的个人信息”。
消费者还有权随时选择不让从企业购买消费者个人数据的第三方出售其个人数据。第三方必须在收到选择退出请求后停止销售，除非消费者随后提供明确授权。
其他消费者权利
企业在响应访问或删除个人信息的请求时必须制定流程来验证加州居民的身份。收到加州居民的请求并确认其身份后，请务必在填写请求时包含以下内容（如适用），以尊重他们的权利。 知情权： 消费者可以要求企业披露其个人信息的收集和处理情况，包括：
- 收集的有关该消费者的个人信息类别（过去 12 个月内）
- 收集个人信息的来源类别
- 收集或出售个人信息的商业或商业目的
- 企业向其披露个人信息的第三方类别
- 企业向第三方出售或披露的信息类别
- 它收集的有关该消费者的具体个人信息
CPRA 修改并扩展了这一权利，要求：
- 提供有关与第三方“共享”的个人信息类别的信息
- 取消 12 个月的回顾限制，要求企业提供超过 12 个月的信息，只要此类披露不是“不可能”或“涉及不成比例的努力”（此要求不适用于企业在 2022 年 1 月 1 日之前收集的任何数据）
删除权： 企业必须删除消费者的信息（但有某些例外），并通知其服务提供商删除消费者的信息。根据 CPRA，企业必须通知其服务提供商和承包商，并通知企业向其出售或共享（出于跨上下文广告目的）消费者个人信息的任何第三方，除非这“被证明不可能或涉及不成比例的努力”。此外，各服务提供商还必须通知自己的下游服务提供商删除消费者的信息。 更正不准确个人信息的权利： 一旦企业收到经过验证的更正不准确个人信息的请求，企业必须按照消费者的指示，采取“商业上合理的努力”来更正所述个人信息。加州总检察长预计将就这一义务提供更多指导。您还应该注意，如果消费者未满 13 岁，则在出售其个人信息之前需要获得父母或监护人的明确同意（选择加入）。如果消费者的年龄在 13 至 16 岁之间，则在出售其个人信息之前需要获得该个人的明确同意。
满足消费者的要求
您必须至少有 2 种指定方法供消费者提交信息请求。这些至少应包括：
- 免费电话号码（某些专门在线运营并与其收集个人信息的消费者有直接关系的企业不受免费电话号码要求的限制）
- 网址（如果企业有网站）
消费者请求必须在收到请求后 45 天内通过邮件或电子方式（以允许消费者将其提供给其他实体的格式）或通过用户帐户予以解决。如果根据复杂性和请求数量合理必要，并且请求者已收到延期通知（详细说明原因），则响应时间可以再延长 45 天。请求过程也必须是免费的。企业无需在 12 个月内为每位消费者执行两次以上的请求。
在与 Klaviyo 服务相关的 CCPA 和 CPRA 下，Klaviyo 的角色是什么？ Klaviyo 与我们的客户收集并存储在我们平台上的个人信息的个人没有直接关系。 Klaviyo 充当服务提供商，而我们的客户则是企业，因为我们代表客户处理个人信息。 Klaviyo 作为服务提供商对客户的义务在我们的数据处理协议 中规定。
Klaviyo 正在采取哪些措施来让客户遵守规定？ Klaviyo 客户有能力和工具满足加州居民的请求，根据 CCPA 和 CPRA 行使其消费者权利访问、删除或更正个人信息。具体来说：
- 该平台允许客户报告其维护的有关最终用户的个人信息以响应访问请求。 – 该平台允许删除个人信息它维护的有关最终用户的删除请求以及更正[个人资料中不准确的个人信息] Klaviyo](https://help.klaviyo.com/hc/en-us/articles/115005247088)。 – 根据我们的可接受的使用政策，Klaviyo 不支持和限制敏感个人信息的收集和存储。
如果您需要额外的帮助，Klaviyo 准备合理地适应技术限制可能需要支持的情况。