CCPA 执法如何影响 App

加州消费者隐私法（CCPA） 正在重塑移动 App 处理用户数据的方式。以下是您需要了解的：

• 受影响对象：年营收超过 2500 万美元、处理 10 万以上用户的数据，或 50% 以上营收来自出售数据的 App。
• 核心要求:
  • 披露数据收集行为（例如设备 ID 和 IP 地址）。
  • 为用户提供访问、删除或退出数据共享的工具。
  • 通过加密和访问控制保护数据安全。
• 执法力度：违规行为可能导致每次最高 7,988 美元的罚款。典型案例包括 Sephora （罚款 120 万美元）和 DoorDash （罚款 37.5 万美元）。
• 常见错误：缺少“请勿出售”链接、忽略 Global Privacy Control (GPC) 信号以及未经监管的数据共享。

小贴士：从数据审计开始，更新您的 隐私政策，并使用诸如 OneTrust 或 Osano 等工具来简化合规流程。保持合规不仅是为了避免罚款，更是为了建立用户信任并保护您的业务。

App 的 CCPA 核心要求

数据收集披露

App 开发者必须就所收集的数据（如设备标识符、IP 地址和家庭信息）提供清晰、事先的通知 [1]。这些通知应说明数据将如何使用，并在收集任何数据之前易于访问——最好是在 App 设置中。请在通知中列出所有数据类别及其用途 [3]。如果您的 App 出售或共享用户数据，则必须展示醒目的“请勿出售或共享我的个人信息”链接 [3].

CCPA 还强调，在进行这些披露的同时，保障用户权利也至关重要。

用户隐私权

CCPA 赋予应用用户特定权利，开发者有义务在规定期限内予以落实。企业必须至少提供两种供用户提交请求的方式，例如免费电话号码。对于应用，还应提供交互式网页表单。 [4].

以下是处理用户请求的方法：

• 访问请求：在 10 天内确认收到请求，并在 45 天内提供所需数据。
• 删除请求：通过两步确认流程验证请求。
• 选择退出请求：在 15 天内完成选择退出流程，并通知在过去 90 天内接收过该用户数据的第三方。

“对于寻求合规的企业来说，关键因素之一是建立一套管理 CCPA 消费者请求的流程——这类似于 GDPR 下的数据主体访问请求。”——TrustArc [4]

保护用户数据是这些隐私权的核心要素。

数据安全要求

为了支持这些隐私保护措施，CCPA 实施了严格的数据安全标准。核心实践包括：

• 加密：对存储和传输中的数据均采用强加密。
• 访问控制：实施严格的身份验证和授权协议。
• 定期测试：进行常规的安全评估和渗透测试。
• 事件响应：保持数据泄露通知流程的实时更新与就绪。

此外，企业必须将隐私相关活动和用户请求的记录保留 24 个月 [5].

加州总检察长加大移动应用隐私执法力度

CCPA 执法案例

近期案例凸显了加州在移动应用隐私法执法方面的积极态度，巨额罚款已向开发者发出了明确警告：必须达到合规标准。

重大罚款与处罚

加州总检察长和加州隐私保护局 (CPPA) 在打击违反《加州消费者隐私法》(CCPA) 的行为方面表现得非常强硬。以下是两个典型案例：

Sephora 120 万美元和解案 (2022)
Sephora 因多项合规失败被指控，并同意支付 120 万美元：

• 未披露消费者数据销售行为
• 未能遵守 Global Privacy Control (GPC) 信号
• 无视退出 (opt-out) 请求
• 未能在 30 天窗口期内解决违规问题 [2]

“像 Global Privacy Control 这样的技术，对于想要行使数据隐私权的消费者来说是颠覆性的。但如果企业隐瞒其使用客户数据的方式，并无视退出数据销售的请求，那么这些权利就毫无意义。我希望今天的和解案能向那些仍未遵守加州消费者隐私法的企业传递一个强烈的信号。我的办公室正在密切关注，我们将追究相关责任。” —— 总检察长 Rob Bonta [6]

DoorDash 37.5 万美元罚款案 (2024)
DoorDash 因在未获得明确同意的情况下，将客户数据共享给营销合作组织而被罚款 37.5 万美元 [2].

这些案例凸显了反复出现的合规问题，也反映了企业在遵守隐私法方面面临的挑战。

常见的合规错误

移动应用在满足 CCPA 特定要求时常面临困难，从而导致常见的违规行为。以下是常见错误及其规避方法：

执法趋势有两个值得注意的变化：

• 违规行为的 30 天补救期已被取消。
• 对 Global Privacy Control 合规要求的审查力度正在加大 [6].

“总检察官的重点在于法律合规，赋予消费者选择权和控制权。其目的并非为了增加加州隐私基金的收入，而是为了鼓励合规。” —— Melissa G. Powers, LewisRice 律师 [6]

这些执法行动明确释放了一个信号：移动 App 开发者必须在实现营销目标的同时，优先考虑合规性，以应对不断变化的隐私环境。

sbb-itb-f9944d2

CCPA 合规指南

紧跟合规要求对移动应用至关重要，尤其是考虑到近期频发的执法行动。以下是一份实用的指南，助你顺利完成关键步骤。

数据审计步骤

首先，请详细梳理应用收集、处理及共享的所有用户数据。你可以按照以下方式进行：

• 识别数据收集点：记录每一个数据入口，例如注册表单、购买记录、分析工具以及第三方 SDK。
• 对数据进行分类：将其细分为以下类型：
  • 标识符（如姓名、邮箱、设备 ID）
  • 商业数据
  • 在线活动数据
  • 地理位置
  • 生物识别详情
  • 职业信息

隐私政策更新

为符合 CCPA 合规要求，您的隐私政策必须清晰解释数据处理实践。请参考下表：

这些更新对于有效处理用户权利请求至关重要。

用户权利管理

为了符合 CCPA 标准，您需要能够在 45 天内处理隐私请求的系统。以下是重点关注事项：

• 访问请求:

  • 在应用内添加隐私仪表盘。
  • 用用户标识符预填表单，方便用户填写。
  • 对未注册用户使用设备 ID 追踪。

• 删除请求:

  • 自动化工作流以处理数据删除。
  • 确保第三方 SDK 支持数据移除。
  • 详细记录所有删除请求。

数据安全设置

保护用户数据是合规的关键。以下是加强安全性的方法：

• 技术措施:

  • 对传输中的数据使用端到端加密。
  • 对存储的数据加密以确保安全。
  • 设置严格的访问控制和身份验证。
  • 定期进行安全审计。

• 第三方监管:

  • 检查所使用的所有 SDK 是否符合 CCPA 标准。
  • 记录数据共享方式并提供退出 (opt-out) 选项。
  • 定期审查所有第三方的安全实践。

例如， Flurry SDK 包含一个尊重用户偏好并管理数据删除请求的退出 API [1].

CCPA 合规资源

为了达到 CCPA 标准，应用开发者需要合适的工具来简化合规流程。投资数据隐私不仅能建立信任，每投入 1 美元还可能带来高达 2.70 美元的回报 [8]。以下是旨在简化合规评估、隐私管理以及 应用更新 更易于管理。

合规评估工具

这些工具可以帮助评估您的应用对 CCPA 合规要求的达成程度：

这些平台提供自动化的差距分析和实时合规追踪。例如，Osano 帮助 Lattice 降低运营复杂度，让营销与合规工作保持一致，并坚守其隐私优先的承诺 [8].

隐私管理软件

隐私管理工具主要关注四个领域：

• 同意管理：自动收集并追踪用户偏好。
• 数据发现: 扫描并分类个人信息。
• 请求自动化: 在法定的 45 天期限内处理用户权利请求。
• 第三方监控: 追踪数据如何与外部供应商共享。

诸如 Usercentrics 和 iubenda 等解决方案可以高效实现这些功能。例如， iubenda，在 Capterra 上获得 4.5/5 的评分，以在降低运维成本的同时帮助应用保持合规而闻名 [7].

Capgo: 符合 CCPA 标准的应用更新

除了隐私管理，像以下平台 Capgo 可确保您的应用在更新期间持续符合 CCPA 标准。 Capgo 通过提供以下功能来支持合规性：

• 端到端加密 在更新期间保护用户数据。
• 无跨设备追踪 或持久性标识符。
• 透明的数据处理机制 仅使用聚合统计数据。
• 用户自主控制权 提供即时的账号与数据删除选项。

Capgo 已为 1,800 多款生产环境应用成功推送了超过 4.924 亿次更新，且始终严格遵守隐私准则 [9].

“对于追求高效的开发者来说，Capgo 是必备工具。无需通过审核即可修复 Bug，这简直太棒了。” —— Bessie Cooper [9]

结合这些工具与定期审计，有助于保持持续的 CCPA 合规性。

总结：CCPA 合规步骤

遵循前文讨论的策略，以下是确保符合 CCPA 标准的关键行动分解。保持合规意味着需要采取全面措施来保护移动应用中的用户数据。近期的执法案例凸显了违规风险（包括巨额罚款），因此开发者必须严肃对待隐私保护措施。

以下是需要重点关注的三个领域：

• 数据管理与透明度

  • 进行数据盘点，梳理所有收集的个人信息，例如设备标识符和 IP 地址 [1].
  • 追踪并记录每位用户数据的处理流程。
  • 在收集任何信息前，明确告知用户数据收集实践。
  • 审查第三方 SDK，确保其符合合规标准。

• 用户权利实施

  • 建立处理数据访问和删除请求的系统。
  • 确保在法定的 45 天窗口期内响应用户请求。
  • 添加易于查找的“请勿出售或共享我的个人信息”链接。
  • 建立身份验证流程，以安全地管理用户请求。 [10].

• 技术基础设施

  • 使用端到端加密来保护用户数据。
  • 安全地存储用户同意记录。
  • 选择注重隐私的更新工具，例如 Capgo。
  • 定期进行安全审计，并及时更新隐私政策。

为了保持持续合规，可以考虑使用专为满足 CCPA 规则而设计的工具。例如，colenso 分享了他们使用 Capgo 的经验：

“我们通过 Capgo 为超过 5000 名用户推送了生产环境的 OTA 更新。运行非常顺畅，几乎所有用户在 OTA 部署到 @Capgo 后几分钟内就完成了更新。” [9]

返回 How CCPA Enforcement Impacts Apps

如果你正在使用 CCPA 执法如何影响 App 以规划安全与合规，并将其与 加密 以了解 Encryption 中的实现细节， 合规性 有关 Compliance 中的实现细节， Capgo 安全扫描器 关于 Capgo Security Scanner 的产品工作流， Capgo 安全性 关于 Capgo Security 的产品工作流，以及 Capgo 信托中心 关于 Capgo Trust Center 的产品工作流。