CCPAの実施がアプリに与える影響

カリフォルニア消費者プライバシー法(CCPA) は、ユーザーデータの管理を含むモバイルアプリの運用を変えます。ここでは、必要なことを知っておく必要があります。

• 対象者: 年間25万ドル以上の収益、100,000人以上のユーザーデータ、またはデータ販売による50%以上の収益を持つアプリ。
• 主な要件:
  • データ収集方法の公開 (デバイスIDやIPアドレスなど)。
  • ユーザーにデータのアクセス、削除、または共有からの除外のためのツールを提供。
  • データの暗号化とアクセス制御でデータを保護。
• 執行: 違反は、1件あたり7,988ドルまでの罰金につながる可能性があります。注目すべき事例としては セファロア （1.2万ドルの罰金） ドアダッシュ （3万7,500ドルの罰金）
• 一般的な間違い: 「販売しない」リンクの欠如、グローバルプライバシーコントロール（GPC）信号を無視し、非規制データ共有。

クイックアドバイス: データアクセントを始め、プライバシーポリシーを更新し、簡素化されたコンプライアンスを実現するツールとして「OneTrust」や「Osano」を使用してください。コンプライアンスは罰金を避けることだけではなく、ユーザーの信頼を築き、ビジネスを保護することです。 CCPAアプリ用の基本要件データ収集の披露 データ収集の披露 __CAPGO_KEEP_0__ __CAPGO_KEEP_0__ __CAPGO_KEEP_0__

__CAPGO_KEEP_0__

__CAPGO_KEEP_0__

アプリ開発者は、収集するデータ（デバイス識別子、IPアドレス、家庭情報など）について、明確かつ事前にお知らせする必要があります。 [1]これらの通知は、データがどのように使用されるかを説明し、データ収集前にアプリの設定内で容易にアクセスできるようにする必要があります。 [3]データカテゴリとその目的をすべて含むこの通知を提供する必要があります。 [3].

アプリがユーザーデータを売りまたは共有する場合、ユーザー個人情報の「売却または共有を拒否する」リンクを表示する必要があります。

CCPAは、ユーザーの権利を保護することの重要性を強調しています。

ユーザープライバシーの権利 [4].

CCPAは、アプリユーザーに特定の権利を付与し、開発者はこれらの権利を指定された時間枠内で尊重する義務があります。

• ビジネスは、少なくとも2つの方法でユーザーが要求を提出できるようにする必要があります。たとえば、料金無料の電話番号。アプリの場合、インタラクティブなWebフォームも利用可能でなければなりません。
• ユーザー要求の取り扱い方法アクセス要求
• 10日以内に受領を確認し、45日以内に要求されたデータを提供する必要があります。: 15 日以内にオプトアウトのプロセスを完了し、過去 90 日間にユーザーのデータを受け取った第三者に通知する。

“CCPA に適合するために取り組む人の主要な要因は、GDPR のデータ主題のアクセス要求と同様の消費者要求の管理プロセスの実装です。” - TrustArc [4]

ユーザーのデータ保護はこれらのプライバシー権の重要な要素です。

データセキュリティ要件

これらのプライバシー措置を支援するために、CCPA は厳格なデータセキュリティ基準を課しています。主な実践には次のものがあります。

• 暗号化: ストレージされたデータと送信されたデータの両方に強力な暗号化を適用する。
• アクセス制御: 严格な認証と承認プロトコルを実装する。
• 定期的なテスト: 定期的なセキュリティ評価と侵入テストを実行する。
• インシデント対応: __CAPGO_KEEP_0__

Additionally, businesses must retain records of privacy-related activities and user requests for 24 months [5].

Mobile app privacy enforcement push from CA Attorney General

CCPA Enforcement Examples

最近のケースは、カリフォルニア州がモバイルアプリのプライバシーの法的措置を厳格に取り組んでいることを示しています。開発者がコンプライアンス基準を満たさない場合、厳重な罰金が明確な警告となります。

重大な罰金と罰則

カリフォルニア州の検事総長とカリフォルニアプライバシープロテクションエージェンシー(CPPA)は、カリフォルニア消費者プライバシーアクト(CCPA)の違反に対して積極的に取り組んでいます。以下は2つの注目事項です。

セファロアの1,200万ドル罰金(2022年)
セファロアは、複数のコンプライアンス違反に対して、1,200万ドルを支払うことで合意しました。

• 顧客データの販売を明らかにせず、グローバルプライバシーコントロール(GPC)シグナルを尊重しなかった
• Not disclosing the sale of consumer data
• __CAPGO_KEEP_0__
• __CAPGO_KEEP_0__ [2]

「グローバルプライバシーコントロールなどのテクノロジーは、データプライバシー権を実行する消費者のために大きな変化をもたらします。 しかし、ビジネスが顧客のデータの使用方法を隠し、オプトアウトの要求を無視することは、権利の意味をなくします。 今日の和解が、カリフォルニアの消費者プライバシーラウを遵守していないビジネスに強いメッセージを送ることを願っています。 私の事務所は、監視しています。 そして、責任を負うことになります。」 – AG Rob Bonta [6]

ドアダッシュの375万ドルの罰金（2024年）
ドアダッシュは、顧客データをマーケティング協同組合に共有したことに対して、明示的な同意を得ることなく罰金を科せられた [2].

これらのケースは、繰り返し発生する非準拠問題を強調し、プライバシーの法令に従うビジネスの課題を浮き彫りにしています。

トップの非準拠ミス

モバイルアプリは、特定のCCPA要件に苦労し、共通の違反につながります。 ここでは、頻発するミスと、それを回避する方法の詳細を紹介します。

__CAPGO_KEEP_10__

• 30日間の違反対処期間の処置が取り消されました。
• グローバルプライバシー制御の要件への適合性に対する監視が高まっています。 [6].

「法務長官の焦点は、法律への適合性、消費者の選択肢、コントロールです。 しかし、カリフォルニアのプライバシーファンドの収益を上げる意図はありません。 それが、適合性を促すことです。」 – Melissa G. Powers、LewisRice法律事務所の弁護士 [6]

モバイルアプリ開発者にとって、コンプライアンスを優先することは、プライバシー規制の変化に合わせてマーケティング目標を達成するための不可欠なステップです。

sbb-itb-f9944d2

CCPA適合性ガイド

モバイルアプリの法的合致を維持することは、最近の取り締まりの実施状況を考慮すると、非常に重要です。ここでは、法的合致を確実に実施するための実用的なガイドを提示します。

データ監査手順

アプリが収集・処理・共有するユーザーデータの詳細なインベントリを作成して始めましょう。以下の手順に従ってください。

• データ収集ポイントを特定するデータ入力源をすべてドキュメント化するには、登録フォーム、購入、分析ツール、第三者 SDK などを含むすべてのソースを記録する必要があります。
• データの分類:
  • 識別子 (例: 氏名、メールアドレス、デバイスID)
  • 商用データ
  • オンライン活動
  • 位置情報
  • 生体情報
  • 職業情報

プライバシーポリシーの更新

プライバシーポリシーでは、CCPAに準拠したデータの取り扱いについて明確に説明する必要があります。以下の表を参考にしてください。

ユーザー権限の要求を効果的に処理するには、これらの更新が不可欠です。

ユーザー権限管理

CCPAに準拠するには、45日以内にプライバシー要求を処理するシステムが必要です。ここに焦点を当てるべき点があります。

• アクセス要求:

  • アプリ内にプライバシー ダッシュボードを追加する
  • ユーザー識別子を事前にフォームに埋め込む
  • 未登録ユーザーにデバイスIDトラッキングを使用する

• 削除要求:

  • データ削除のワークフローを自動化する
  • データ削除をサポートする第三者SDKを使用する
  • すべての削除要求の詳細な記録を保持する

データセキュリティ設定

ユーザーデータの保護は、規制遵守の重要な部分です。セキュリティを強化する方法については、以下のとおりです。

• __CAPGO_KEEP_0__:

  • データが移動するときに、エンドツーエンドの暗号化を使用します。
  • データを暗号化して安全に保管します。
  • 厳格なアクセス制御と認証を設定します。
  • 定期的なセキュリティアウディットを実施します。

• __CAPGO_KEEP_1__:

  • 使用するすべての SDK が CCPA に準拠していることを確認します。
  • データが共有される方法と、オプトアウトのオプションを文書化します。
  • すべての第三者が実施しているセキュリティの実践を定期的にレビューします。

例えば、 Flurry SDKには、ユーザーのプライバシーを尊重し、データの削除を管理するためのオプトアウトAPIが含まれています。 [1].

CCPA適合性リソース

CCPA基準を満たすために、アプリ開発者には、適合性プロセスの簡素化を支援するための適切なツールが必要です。データプライバシーへの投資は、信頼を築くだけでなく、1 ドルあたり 2.70 ドルまでの収益をもたらす可能性があります。 [8]以下のツールは、適合性評価、プライバシー管理、およびアプリの更新をより管理しやすくするように設計されています。 アプリの更新 適合性評価ツール

これらのツールは、CCPA 要件に沿ったアプリの評価を支援します。

ツール

これらのプラットフォームは、自動ギャップ分析とリアルタイムのコンプライアンストラッキングを提供します。例えば、Osanoは Lattice 運用上の複雑さを削減し、コンプライアンス努力とマーケティングを一致させ、プライバシー第一のコミットメントを維持するのに役立ちました [8].

プライバシーマネジメントソフトウェア

__CAPGO_KEEP_0__

• プライバシーマネジメントツールは、以下の4つの主な領域に焦点を当てています。Consent Management
• :ユーザーのプライバシー設定を自動的に収集して追跡します。Data Discovery
• :個人情報をスキャンしてカタログ化します。Request Automation
• :45日以内にユーザーの権利要求を処理します。Third-Party Monitoring

:外部のベンダーとデータが共有されているかどうかを追跡します。 Solutions like Usercentrics そして __CAPGO_KEEP_0__: iubenda これらの機能を効果的に提供する例として __CAPGO_KEEP_0__: iubenda, Capterraで4.5/5の評価を受けていることで知られているのは、運用上の努力を最小限に抑えながらアプリが法令遵守に適合するように支援する能力です [7].

Capgo: CCPA法に適合したアプリの更新

プライバシー管理を超えて、 Capgo アプリが更新の際にCCPA法に適合するように保証する Capgo 法令遵守を支援するために、以下の機能を提供しています

• エンドツーエンド暗号化 ユーザーデータの更新時に保護する。
• デバイス間のトラッキングのない または永続的な識別子なし。
• 透明性のあるデータハンドリング 集計のみの統計情報。
• ユーザーの制御 即時のアカウントとデータの削除オプション。

Capgoは、厳格なプライバシーガイドラインに従いながら、1,800の生産アプリケーションを通じて、492.4百万回の更新を成功させました。 [9].

“Capgo is a must-have tool for developers who want to be more productive. Avoiding review for bug fixes is golden.” - Bessie Cooper [9]

__CAPGO_KEEP_0__は、開発者がより生産的になることを望む開発者にとって必須のツールです。バグ修正のレビューを避けることは金の価値です。” - Bessie Cooper

定期的なアウディットと合わせて使用することで、CCPAの適合性を維持するのに役立ちます。

CCPA に関する議論を遡ってみると、以下の重要なアクションを実施することで、適切な対応を保証することができます。 CCPA に適合することは、モバイル アプリのユーザー データ保護に徹底的なアプローチを取ることです。 最近の取り締まりのケースでは、非適合のリスクが明らかになりました。 これには厳重な罰金が含まれます。 したがって、開発者はプライバシー対策を真剣に取り組む必要があります。

以下の3つの主な領域に焦点を当ててください。

• データ管理と透明性

  • デバイス識別子やIPアドレスなどの個人情報を収集したすべての情報をマップするデータ管理を実施してください。 [1].
  • 各ユーザーのデータの取り扱いを追跡し、記録してください。
  • ユーザー情報を収集する前に、データ収集の実践についてユーザーに明確に説明してください。
  • 3rdパーティのSDKを確認して、適合基準を満たしていることを確認してください。

• ユーザーの権利の実装

  • データアクセスと削除の要求を取り扱うシステムを設定してください。
  • 45日以内にユーザーの要求を処理することを保証してください。
  • 「私の個人情報を売り、共有しないでください」という簡単に見つけることができるリンクを追加してください。
  • ユーザーの要求を安全に管理するための身分確認プロセスを作成してください。 [10].

• 技術基盤

  • エンドツーエンドの暗号化を使用してユーザーデータを保護します。
  • ユーザーの同意を安全に保存する。
  • プライバシーを重視した更新ツールを選択してください、例えばCapgo。
  • 定期セキュリティの検査を実行し、プライバシーポリシーを最新の状態に保つ。

CCPA規制を満たすツールを使用することを検討してください。例えば、コレンスロは自身の経験を「Capgo」で共有しました。

「CapgoのOTA更新を生産環境でCapgoのユーザー5000人以上に展開しました。 OTAの展開後、ほぼ全てのユーザーが数分以内に最新バージョンにアップデートされる非常に滑らかな動作を確認しています。」 [9]