CCPA 执法如何影响 App

加州消费者隐私法 (CCPA) 正在重塑移动 App 处理用户数据的方式。以下是你需要了解的内容：

• 受影响对象年收入超过 2500 万美元、处理 10 万名以上用户的数据，或 50% 以上收入来自出售数据的 App。
• 核心要求:
  • 披露数据收集行为（例如设备 ID 和 IP 地址）。
  • 提供工具，让用户访问、删除数据或选择退出数据共享。
  • 通过加密和访问控制保护数据安全。
• 执法：违规行为可能导致每次事件最高 7,988 美元的罚款。典型案例包括 Sephora （罚款 120 万美元）以及 DoorDash （罚款 37.5 万美元）。
• 常见错误：缺少“请勿出售”链接、忽略 Global Privacy Control (GPC) 信号，以及不受监管的数据共享。

小提示：首先进行数据审计，更新您的 隐私政策，并使用 OneTrust、 或 Osano 等工具来简化合规流程。保持合规不仅是为了避免罚款，还能建立用户信任并保护您的业务。

应用需遵循的 CCPA 核心要求

数据收集披露

App 开发者必须就收集的数据（如设备标识符、IP 地址和家庭信息）提供清晰、事先的通知 [1]。这些通知应说明数据将如何使用，并在收集任何数据之前便于访问——最好放在应用设置中。通知中应包含所有数据类别及其用途 [3]。如果您的应用出售或共享用户数据，您必须显示醒目的“不要出售或共享我的个人信息”链接 [3].

CCPA 还强调在披露这些内容的同时保护用户权利的重要性。

用户隐私权

CCPA 赋予应用用户特定权利，开发者有义务在规定期限内保障这些权利。企业必须提供至少两种供用户提交请求的方式，例如免费电话号码。对于应用，还应提供交互式网页表单 [4].

以下是处理用户请求的方法：

• 访问请求：在 10 天内确认收到，并在 45 天内提供所请求的数据。
• 删除请求：使用两步确认流程来验证请求。
• 选择退出请求：在 15 天内完成选择退出流程，并通知过去 90 天内收到用户数据的第三方。

“对于寻求合规的企业来说，一个关键因素是建立处理 CCPA 下消费者请求的流程——类似于 GDPR 下的数据主体访问请求。” - TrustArc [4]

保护用户数据是这些隐私权的核心要素。

数据安全要求

为支持这些隐私措施，CCPA 强制执行严格的数据安全标准。关键实践包括：

• 加密：对存储和传输的数据应用强加密。
• 访问控制：实施严格的身份验证和授权协议。
• 定期测试：执行常规安全评估和渗透测试。
• 应急响应：保持数据泄露通知流程的更新和就绪状态。

此外，企业必须保留与隐私相关的活动和用户请求记录 24 个月 [5].

加州总检察长推动移动应用隐私执法

CCPA 执法案例

近期案例凸显了加利福尼亚州在强制执行移动应用隐私法方面的积极态度，巨额罚款向开发者发出了必须达到合规标准的明确警告。

重大罚款与处罚

加利福尼亚州总检察长和加利福尼亚隐私保护局（CPPA）一直在积极处理违反《加利福尼亚消费者隐私法》（CCPA）的行为。以下是两个值得注意的案例：

丝芙兰 120 万美元和解案（2022 年）
Sephora 因多项合规违规被点名，同意支付 120 万美元罚款：

• 未披露消费者数据出售行为
• 未遵守全球隐私控制（GPC）信号
• 忽视退出请求
• 未能在 30 天窗口期内处理违规行为 [2]

“像全球隐私控制这样的技术，对于希望行使数据隐私权的消费者来说是一个游戏规则改变者。但如果企业隐瞒其如何使用客户数据，并忽视退出数据出售的请求，这些权利就毫无意义。我希望今天的和解案能向那些仍未遵守加州消费者隐私法的企业发出强烈信号。我的办公室正在密切关注，我们将追究你们的责任。” – 总检察长 Rob Bonta [6]

DoorDash 的 37.5 万美元罚款（2024 年）
DoorDash 因未获得明确同意便与营销合作社共享客户数据，被罚款 37.5 万美元 [2].

这些案例凸显了反复出现的合规问题，并反映了企业在遵守隐私法方面面临的挑战。

常见的合规错误

移动应用往往难以满足 CCPA 的具体要求，因而常出现违规。以下是常见错误及规避方法：

执法方面有两个值得注意的转变：

• 违规行为的 30 天补救期已被取消。
• 对遵守全球隐私控制（GPC）要求的审查力度正在加强 [6].

“总检察长的重点在于法律合规，赋予消费者选择权和控制权。但目的并非为了增加加州隐私基金的收入，而是为了鼓励合规。” – Melissa G. Powers，LewisRice 律师 [6]

这些执法行动表明：移动应用开发者必须优先考虑合规，以应对不断变化的隐私环境，同时实现营销目标。

sbb-itb-f9944d2

CCPA 合规指南

对移动应用来说，持续跟进合规至关重要，尤其是考虑到近期的执法行动。下面这份实用指南将帮你梳理关键步骤。

数据审计步骤

先详细盘点应用收集、处理及共享的所有用户数据。具体可以这样做：

• 识别数据收集点：记录每一个数据输入源，例如注册表单、购买记录、分析工具以及第三方 SDK。
• 对数据进行分类：将其细分为以下类型：
  • 标识符（如姓名、邮箱、设备 ID）
  • 商业数据
  • 在线活动
  • 地理位置
  • 生物识别详情
  • 职业信息

隐私政策更新

为符合 CCPA 要求，您的隐私政策必须清楚说明您的数据实践。可参考下表：

这些更新对于有效处理用户权利请求至关重要。

用户权利管理

要符合 CCPA 要求，您需要能在 45 天内处理隐私请求的系统。以下是重点：

• 访问请求:

  • 在应用内添加隐私 dashboard。
  • 预填用户标识符表单，方便用户操作。
  • 对未注册用户，使用设备 ID 追踪。

• 删除请求:

  • 自动化工作流以处理数据删除。
  • 确保第三方 SDK 支持数据删除。
  • 保留所有删除请求的详细记录。

数据安全设置

保护用户数据是合规的关键部分。以下是如何加强您的安全性：

• 技术措施:

  • 对传输中的数据使用端到端加密。
  • 加密存储的数据以确保其安全。
  • 设置严格的访问控制与身份验证。
  • 定期进行安全审计。

• 第三方监管:

  • 检查你使用的所有 SDK 是否符合 CCPA。
  • 记录数据共享方式，并提供 opt-out 选项。
  • 定期审查所有第三方的安全实践。

例如， Flurry SDK 包含一个 opt-out API，可尊重用户偏好并处理数据删除请求 [1].

CCPA 合规资源

为了满足 CCPA 标准，应用开发者需要合适的工具来简化合规流程。投资数据隐私不仅能建立信任，每投入 1 美元还可能获得高达 2.70 美元的回报 [8]。以下工具旨在简化合规评估、隐私管理以及 应用更新 更易于管理。

合规评估工具

这些工具可帮助评估您的应用与 CCPA 要求的符合程度：

这些平台提供自动化差距分析和实时合规追踪。例如，Osano 帮助 Lattice 降低运营复杂度，让营销与合规工作保持一致，并坚守隐私优先的承诺 [8].

隐私管理软件

隐私管理工具主要聚焦于以下四个领域：

• 同意管理：自动收集并跟踪用户偏好设置。
• 数据发现: 扫描并编目个人信息。
• 请求自动化: 在规定的 45 天期限内处理用户权利请求。
• 第三方监控: 追踪数据如何与外部供应商共享。

诸如 Usercentrics 以及 iubenda 等解决方案可有效提供这些功能。例如， iubenda，在 Capterra 上评分 4.5/5，以帮助应用保持合规、同时尽量减轻运营负担而闻名 [7].

Capgo: CCPA 合规的应用更新

除了隐私管理，像 Capgo 这样的平台可确保您的应用在更新期间持续符合 CCPA 标准。 Capgo 通过提供以下功能来支持合规：

• 端到端加密 以在更新期间保护用户数据。
• 无跨设备追踪 或持久性标识符。
• 透明的数据处理 仅使用聚合统计数据。
• 用户控制权 通过即时的账号与数据删除选项。

Capgo 已成功向 1,800 个生产应用推送超过 4.924 亿次更新，同时始终严格遵守隐私准则 [9].

“对于想提高效率的开发者来说，Capgo 是必备工具。无需审核即可修复 Bug，这一点非常宝贵。” —— Bessie Cooper [9]

将这些工具与定期审计结合使用，有助于持续保持 CCPA 合规。

总结：CCPA 合规步骤

按照前面讨论的策略，下面梳理确保符合 CCPA 的关键行动。保持合规意味着要全面保护移动 App 中的用户数据。近期执法案例凸显了违规风险（包括巨额罚款），因此开发者必须认真对待隐私措施。

以下是需要重点关注的三个领域：

• 数据管理与透明度

  • 进行数据盘点，梳理所有收集的个人信息，例如设备标识符和 IP 地址 [1].
  • 跟踪并记录每位用户数据的处理方式。
  • 在收集任何信息前，明确告知用户数据收集实践。
  • 审查第三方 SDK，确认其符合合规标准。

• 用户权利落实

  • 建立处理数据访问和删除请求的系统。
  • 确保在规定的 45 天期限内处理用户请求。
  • 添加易于查找的“请勿出售或共享我的个人信息”链接。
  • 建立身份验证流程，以安全地管理用户请求 [10].

• 技术基础设施

  • 使用端到端加密来保护用户数据。
  • 安全地存储用户同意记录。
  • 选择注重隐私的更新工具，例如 Capgo。
  • 定期执行安全审计，并持续更新隐私政策。

为了持续合规，建议使用专为满足 CCPA 规则设计的工具。例如，colenso 分享了他们使用 Capgo 的经验：

“我们为 5,000+ 用户在生产环境推送了 Capgo OTA 更新。运行非常顺畅，几乎所有用户在 OTA 部署到 @Capgo 后几分钟内就更新到了最新版本。” [9]

继续阅读：CCPA 执法对 App 的影响

如果你正在使用 CCPA 执法如何影响 App 来规划安全与合规，请结合 加密 了解 Encryption 的实现细节， 合规性 了解合规部分的实现细节， Capgo 安全扫描器 了解 Capgo Security Scanner 的产品工作流， Capgo 安全 用于 Capgo 安全的产品工作流，以及 Capgo 信任中心 用于 Capgo 信任中心的产品工作流。