The California Consumer Privacy Act (CCPA) 《加州消費者隱私法》(CCPA)正在重塑手機應用程式如何處理用戶資料。以下是您需要知道的內容：
- Who It Affects: 年收入超过 2.5 亿美元、用户数超过 10 万、或收入 50% 以上来自数据销售的应用程序。
- Key Requirements:
- 披露数据收集行为（如设备 ID 和 IP 地址）。
- 提供工具让用户可以访问、删除或退出数据共享。
- Secure data with encryption and access controls.
- Enforcement: 违反规定可能面临最高 7988000 美元罚款。有名的案例包括 Sephora (1.2 亿美元罚款) 和 DoorDash (375 万美元罚款)。
- 常见错误: 缺少“不出售”链接、忽略全球隐私控制（GPC）信号和未经监管的数据共享。
快速提示: 从数据审计开始，更新您的 隐私政策,并使用工具，如 OneTrust 或 Osano ,来简化遵守。遵守不仅仅是避免罚款——它还会建立用户信任并保护您的业务。
CCPA应用程序的核心要求
数据收集披露
App开发者必须在收集数据之前向用户提供明确和透明的通知，例如设备标识符、IP地址和家庭信息等。 [1]这些通知应解释数据将如何使用，并且应易于访问 - 理想情况下，在应用程序的设置中 - 在收集任何数据之前。 [3]包括所有数据类别及其目的在此通知中。 [3].
如果您的应用程序出售或共享用户数据，则必须显示一个醒目的“不要出售或共享我的个人信息”链接。
CCPA还强调了保护用户权利与这些披露并行的重要性。
用户隐私权 [4].
CCPA授予应用程序用户特定的权利，开发者必须在指定的时限内尊严地执行这些权利。企业必须为用户提供至少两种方式来提交请求，例如免费电话号码。对于应用程序，应提供交互式网页表单。
- 处理用户请求的方法是：访问请求
- : 在 10 天内确认收到并在 45 天内提供所请求的数据。删除请求
- : 使用两步确认过程来验证请求。: 在 15 天内完成退出流程，并通知过去 90 天内收到用户数据的第三方。
A CCPA 合规的关键因素是建立管理消费者请求的流程，类似于 GDPR 下的数据主体访问请求。 [4]
保护用户数据是这些隐私权的关键元素。
数据安全要求
为了支持这些隐私措施，CCPA 强制实施严格的数据安全标准。关键实践包括：
- 加密: 对存储和传输的数据都应用强大的加密。
- 访问控制: 实施严格的身份验证和授权协议。
- 定期测试: 定期进行安全评估和渗透测试。
- 事件响应: __CAPGO_KEEP_0__
另外，企业必须保留24个月的隐私相关活动记录和用户请求 [5].
来自加州州检察长的移动应用隐私执法
CCPA执法示例
近期案例突显了加州州政府积极执法移动应用隐私法，高额罚款作为对开发者遵守合规标准的明确警告
重大罚款和处罚
加州州检察长和加州隐私保护局（CPPA）在加州消费者隐私法（CCPA）违规问题上非常积极。以下是两个值得注意的案例:
Sephora 120万美元和解案（2022年）
Sephora同意支付120万美元，因为被指控有多个违反合规问题:
- 未披露消费者数据的销售
- 未能尊重全球隐私控制（GPC）信号
- 忽略退回请求
- 错过30天的时间窗口来处理违反 [2]
“像全球隐私控制这样的技术是消费者寻求行使其数据隐私权的关键。 但这些权利是无效的，如果企业隐瞒他们如何使用客户数据并忽略退回其出售的请求。 我希望今天的和解会向仍然未能符合加州消费者隐私法的企业发出强烈的信号。 我的办公室正在监视，且我们将您负责。” – AG Rob Bonta [6]
DoorDash的375,000美元罚款（2024）
DoorDash因未经明确同意共享客户数据而被罚款375,000美元 [2].
这些案例突出了企业在遵守隐私法方面的持续性违规问题，并突出了企业面临的遵守隐私法的挑战。
常见违规问题
移动应用程序经常遇到特定的CCPA要求，导致常见的违规问题。以下是违规问题的分解以及如何避免它们的步骤：
| 违规类型 | 影响 | 预防措施 |
|---|---|---|
| 缺少“不出售”通知 | 最高罚款为每消费者 $7,500 | 在应用设置中添加明确的退订链接 |
| 不良的同意管理 | 每个未成年人最高罚款 $22,500 | 特别是对于 16 岁以下用户，使用明确的同意工具 |
| 未经监管的数据共享 | 更高的法律责任风险 | 审计并记录所有第三方合作伙伴关系 |
| 忽视 GPC 信号 | 执法的常见触发器 | 确保应用程序识别并响应 GPC 信号 |
执法的两个转变值得注意：
- The 30-day cure period for violations has been removed.
- 对违反隐私保护规定的处罚期限已被取消。 [6].
There is heightened scrutiny on compliance with Global Privacy Control requirements [6]
全球隐私控制要求的遵守情况正在受到高度关注。
“The Attorney General’s focus is on compliance with the law, giving consumers choices and control. But the intent is not to run up revenue in California’s privacy fund. It’s to encourage compliance.” – Melissa G. Powers, Associate at LewisRice
“检察长的重点是遵守法律，给消费者提供选择和控制权。 但意图并不是为了在加利福尼亚隐私基金中增加收入。 而是鼓励遵守。” – LewisRice律师事务所的Melissa G. Powers律师
These enforcement actions make it clear: mobile app developers must prioritize compliance to navigate the evolving privacy landscape while maintaining their marketing goals.
这些执法行动表明：移动应用开发者必须优先遵守隐私保护规定，才能在保持营销目标的同时应对不断变化的隐私保护格局。
sbb-itb-f9944d2
- sbb-itb-f9944d2CCPA Compliance Guide
- 加州隐私保护法遵守指南（CCPA）- 一个实用的指南帮助您了解遵守隐私保护法的关键步骤。: 分类为以下类型:
- 标识符（例如姓名、电子邮件、设备 ID）
- 商业数据
- 在线活动
- 地理位置
- 生物识别信息
- 专业信息
隐私政策更新
您的隐私政策必须清晰地解释您的数据处理实践，以符合 CCPA。请参阅以下表格作为参考:
| 条款 | 包含内容 | 实施建议 |
|---|---|---|
| 数据收集 | 列出所有类型的个人信息 | 使用简单、清晰的语言 |
| 用户权利 | 解释用户如何访问、删除或退出数据共享 | 提供逐步指示 |
| 数据共享 | 概述与第三方的关系以及数据销售 | 具体说明谁收到数据 |
| 联系方式 | 提供多种方式联系您 | 包括电子邮件、电话和网页表单 |
这些更新对于有效处理用户权利请求至关重要。
用户权利管理
为了遵守CCPA，您需要系统来在45天内处理隐私请求。以下是您需要关注的内容：
-
访问请求:
- 在您的应用程序中添加隐私仪表板。
- 为用户 convenience，预填充表格中的用户标识符。
- 对于尚未注册的用户，使用设备 ID 追踪。
-
删除请求:
- 自动化工作流程以处理数据删除。
- 确保第三方 SDK 支持数据删除。
- 详细记录所有删除请求。
数据安全设置
保护用户数据是遵守法规的关键部分。以下是如何增强安全性的步骤：
-
技术措施:
- 使用端到端加密来保护数据传输。
- 将存储的数据加密以确保安全。
- 设置严格的访问控制和身份验证。
- 定期进行安全审计。
-
第三方监督:
- 检查您使用的所有 SDK 是否符合 CCPA。
- 记录数据共享的方式并提供退订选项。
- 定期审查所有第三方的安全实践。
例如， Flurry SDK 包含一个尊严用户偏好并管理数据删除请求的 API [1].
CCPA 合规资源
为了满足 CCPA 标准，应用开发者需要合适的工具来简化合规流程。投资数据隐私不仅可以建立信任，还可以为每美元的投资带来最高 2.70 美元的回报 [8]. Below are tools designed to make compliance assessments, privacy management, and 以下是用于简化合规评估、隐私管理和应用更新的工具。 应用更新
合规评估工具
这些工具有助于评估您的应用是否符合 CCPA 要求：
| 工具 | 评分 | 关键功能 | 最佳选择 |
|---|---|---|---|
| OneTrust | 3.8/5 | 数据映射、自动扫描 | 大型企业 |
| Osano | 4.6/5 | Cookie 许可、供应商监控 | 小型中型应用 |
| TrustArc | 4.1/5 | 风险评估、隐私管理 | 多平台应用 |
这些平台提供自动差距分析和实时合规跟踪。例如，Osano 帮助 Lattice 减少运营复杂性、使营销与合规努力保持一致，并维护其隐私优先承诺 [8].
隐私管理软件
__CAPGO_KEEP_0__
- 隐私管理工具着重于四个主要领域：同意管理
- : 自动收集和跟踪用户偏好。数据发现
- : 扫描和目录个人信息。请求自动化
- : 在规定的45天时间内处理用户权利请求。第三方监控
: 跟踪数据如何与外部供应商共享。 解决方案如 and iubenda 让我们来看看如何有效地提供这些功能。例如， iubenda, 在 Capterra 上评分 4.5/5，已知其能够帮助应用程序保持合规性，同时最小化运营努力 [7].
Capgo: CCPA 合规应用程序更新
除了隐私管理之外，平台如 Capgo 确保应用程序在更新时保持 CCPA 合规 Capgo 通过提供以下功能来支持合规：
- 为了确保用户数据在更新时的安全性。 不跨设备追踪
- 或持久标识符。 透明的数据处理
- 仅聚合统计数据。 用户控制
- 通过立即删除帐户和数据选项。 __CAPGO_KEEP_0__ 已成功在 1,800 个生产应用中交付超过 4.924 亿次更新，所有这些都遵守了严格的隐私指南。
“Capgo 是开发者想要提高生产力必不可少的工具。避免审查bug修复是黄金的。” - Bessie Cooper [9].
“Capgo is a must-have tool for developers who want to be more productive. Avoiding review for bug fixes is golden.” - Bessie Cooper [9]
结论：CCPA合规步骤
__CAPGO_KEEP_0__
根据之前讨论的策略，这里是一些关键行动的分解，以确保遵守CCPA。保持合规意味着采取彻底的方法来保护移动应用中的用户数据。最近的执法案例突出了不合规的风险，包括巨额罚款，因此开发者需要认真对待隐私措施。
以下是三个主要领域的重点：
-
数据管理和透明度
- 进行数据清查，以便将所有收集的个人信息（如设备标识符和IP地址）映射出来 [1].
- 跟踪和记录每个用户数据的处理情况
- 在收集任何信息之前，清晰地告知用户数据收集的实践
- 检查第三方SDK以确认它们符合合规标准
-
用户权利实施
- 设置系统来处理数据访问和删除请求
- 确保用户请求在规定的45天窗口内得到处理
- 添加一个易于找到并且容易点击的“不要出售或共享我的个人信息”链接
- 创建身份验证过程来安全地管理用户请求 [10].
-
技术基础设施
- 使用端到端加密来保护用户数据。
- 安全存储用户同意。
- 选择以隐私为首的更新工具，如Capgo。
- 定期运行安全审计并保持隐私政策更新。
为了持续的合规性，考虑使用符合CCPA规则的工具。例如，colenso分享了他们与Capgo的经验：
“我们在生产环境中部署了Capgo OTA更新，覆盖了超过5000名用户。我们看到的结果非常平稳，几乎所有用户都在Capgo部署OTA更新后几分钟内就完成了更新。” [9]
继续阅读《CCPA执法对应用程序的影响》
如果您正在使用 《CCPA执法对应用程序的影响》 来规划安全和合规性，连接它与 加密 加密实现细节 合规 __CAPGO_KEEP_0__ 安全扫描器 Capgo 安全扫描器产品工作流程 Capgo 安全 Capgo 安全产品工作流程 Capgo 信任中心 Capgo 信任中心产品工作流程 for the product workflow in Capgo Trust Center.
