Objetivos del artículo
Obtén información sobre las preguntas frecuentes relacionadas con la CCPA (California Consumer Privacy Act) y la CPRA (California Privacy Rights Act).
La información proporcionada aquí tiene un propósito educativo y no debe interpretarse como asesoramiento legal. Klaviyo alienta a todos sus clientes —y a todos los comerciantes de ecommerce— a buscar asesoría legal para recibir orientación sobre cómo deben cumplir específicamente con la CCPA y la CPRA.
¿Qué es la CCPA?
La CCPA es una ley que entró en vigor el 1 de enero de 2020 y regula cómo las empresas manejan la información personal de los residentes de California.
La CCPA es una respuesta a una brecha percibida en las protecciones de privacidad en Estados Unidos. Las empresas que manejan la información personal de residentes de California deben informar a los residentes sobre las prácticas de privacidad de la empresa y los derechos de privacidad de los residentes, incluido el derecho a:
- Conocer la información personal que una empresa recopila sobre ellos y cómo se usa
- Eliminar la información personal recopilada (con algunas excepciones)
- Excluirse de la venta de su información personal
- No discriminación por ejercer sus derechos en virtud de la CCPA
¿Qué es la CPRA?
La CPRA es una ley que modifica y amplía los requisitos de la CCPA, incluidos los siguientes:
- Agregar una categoría de "información personal sensible"
- Establecer el derecho a limitar el uso y la divulgación de información personal confidencial
- Establecer el derecho a corregir información personal inexacta
- Ampliar el requisito de exclusión voluntaria de "No vender" para incluir el "intercambio" de información personal con fines de publicidad entre contextos (o de terceros)
La CPRA entra en vigor el 1 de enero de 2023.
¿Quién debe cumplir con la CCPA y la CPRA?
Empresas
La mayoría de los requisitos de la CCPA y la CPRA aplican a las “empresas”, definidas como compañías que recopilan la información personal de los consumidores de California, ya sea por cuenta propia o mediante proveedores.
La CCPA aplica a las empresas que cumplen con cualquiera de las siguientes condiciones:
- Maneja la información personal de los residentes de California
- ¿Está “haciendo negocios” en California (incluido interactuar con personas ubicadas en California a través de un sitio web o aplicación de ecommerce o interactivos)?
- Cumple con uno o más de los siguientes umbrales:
- Tienen ingresos brutos anuales superiores a $25 million
- Compra, recibe o vende información personal de 50 000 o más residentes, hogares o dispositivos de California al año
- Obtiene el 50 % o más de sus ingresos anuales de la “venta” de información personal de residentes de California (es decir, la venta incluye divulgar, poner a disposición, transferir o comunicar información personal a terceros a cambio de una contraprestación monetaria u otra de valor)
La CPRA modifica esta aplicabilidad de la siguiente manera:
- Cumple con uno o más de los siguientes umbrales:
- Tuvo ingresos brutos anuales superiores a $25 millones el año pasado
- Compra, vende o comparte información personal de 100 000 o más residentes u hogares de California al año
- Obtiene el 50 % o más de sus ingresos anuales de vender o compartir información personal de residentes de California (compartir incluye divulgar, poner a disposición, transferir o comunicar información personal a un tercero para publicidad conductual entre contenidos, ya sea o no a cambio de una contraprestación monetaria u otra contraprestación de valor).
Proveedores de servicios y contratistas
Para que se considere un proveedor de servicios, una persona o entidad legal debe:
- Procesan información personal en nombre de una empresa
- Estar sujeto a un contrato por escrito que imponga ciertas restricciones y obligaciones en torno al uso de la información personal, incluida la de no:
- Recopilando
- Ventas
- Usar la información personal, salvo cuando sea necesario para cumplir el propósito comercial
Al igual que con los proveedores de servicios, la excepción a una venta o al uso compartido también se aplica a los contratistas conforme a la CPRA. Los contratistas son personas o entidades a las que una empresa pone a disposición información personal, en virtud de un contrato escrito que impone restricciones y obligaciones similares a las que aplican a un proveedor de servicios. Los contratistas también deben contar con una certificación de que el contratista entiende las restricciones y las cumplirá.
Ten en cuenta que la divulgación de datos de una empresa a un proveedor de servicios o contratista no se considera una venta ni un intercambio cuando sea necesaria para cumplir con un propósito comercial.
¿Qué se clasifica como cumplimiento personal?
La CCPA define la información personal de forma muy amplia para incluir información que identifica, describe o es razonablemente capaz de asociarse con un consumidor u hogar en particular. En la práctica, esta definición amplia significa que información como la información de contacto, los datos de transacciones, las direcciones de protocolo de Internet (IP), los identificadores de dispositivos móviles, los datos de secuencia de clics y los detalles del pedido pueden estar dentro del alcance de la definición de información personal de la CCPA y estar sujetos a los requisitos de la CCPA.
La CPRA crea una nueva categoría de información personal, "información personal sensible", y brinda a los consumidores un nuevo derecho para limitar el uso y la divulgación de su información sensible.
La información personal confidencial según la CPRA incluye:
- Número de seguro social
- Número de licencia de conducir
- Número de pasaporte
- Credenciales de la cuenta
- Geolocalización precisa
- Origen racial o étnico
- Creencias religiosas
- Datos biométricos
- Datos genéticos
- Datos de estado
- Información sobre la vida sexual o la orientación sexual de un consumidor
- El contenido del correo postal, correo electrónico y mensajería de texto de una persona consumidora, a menos que la empresa sea el destinatario previsto de la comunicación
Klaviyo no permite que se recopile o almacene información personal confidencial en la plataforma.
¿Qué tengo que hacer para prepararme?
La CCPA y la CPRA son leyes complejas. En este artículo se describen las principales obligaciones conforme a la CCPA y la CPRA en lo que respecta al uso de Klaviyo Service, pero no toma en cuenta todos los requisitos que pueden aplicar a tu negocio. Ponte en contacto con tu asesoría legal para obtener recomendaciones específicas.
Si la CCPA y la CPRA aplican a tu empresa, deberías considerar los siguientes derechos y divulgaciones.
Aviso
Tu empresa debe tener una política de privacidad en el sitio web a la que se pueda acceder en todos los puntos donde se recopila información personal, como los formularios de registro. La política debe incluir, entre otras cosas:
- Categorías de información personal que recopila, vende y, de otro modo, divulga para un propósito comercial
- Categorías de fuentes de la información personal
- Fines empresariales o comerciales para recopilar o vender la información personal
- Descripción de los siguientes derechos de los consumidores y los métodos designados para enviar solicitudes:
- El derecho a eliminar información personal
- El derecho a acceder a las categorías y piezas específicas de información personal
- El derecho a excluirse de la venta o el intercambio de información personal
- El derecho a no sufrir represalias
La CPRA amplía esta lista de derechos de los consumidores para incluir:
- El derecho a corregir información inexacta
- El derecho a limitar el uso y la divulgación de información personal confidencial
- El derecho a optar por no participar en tecnología de toma de decisiones automatizada
La CPRA también exige que las empresas incluyan las siguientes divulgaciones adicionales:
- Si se vende o comparte la información personal de la persona
- El periodo de tiempo que la empresa pretende conservar cada categoría de información personal o los criterios que utilizará para determinar durante cuánto tiempo conservará dicha información
- Si la empresa recopila “información personal sensible”:
- Una divulgación por separado que identifique las categorías de información confidencial recopilada
- El uso y el propósito de estos datos
- Si dicha información se vende o se comparte
Derechos de exclusión
Los consumidores tienen derecho, en cualquier momento, a darse de baja de la venta de sus datos personales a terceros. Tu empresa debe dejar de vender información personal al recibir la solicitud, a menos que el consumidor proporcione una autorización expresa posterior. Las empresas deben esperar al menos 12 meses antes de pedirle a un consumidor que vuelva a aceptar la venta de información personal. Para habilitar este derecho de exclusión voluntaria, las empresas deben, entre otras cosas:
- Proporciona un enlace claro y visible en la página principal del negocio, con el título "No vender mi información personal". El enlace debe permitir que un consumidor, o una persona autorizada por el consumidor, cancele la venta de la información personal del consumidor
- No exigir que un consumidor cree una cuenta para indicar a la empresa que no venda la información personal del consumidor.
La CPRA amplía este derecho existente de exclusión voluntaria y los requisitos de consentimiento (opt-in) para incluir tanto la venta como el uso compartido de información personal. En consecuencia, se debe actualizar el enlace publicado en la página de inicio de una empresa y titularlo "No vender ni compartir mi información personal".
Los consumidores también tienen derecho, en cualquier momento, a optar por no permitir que un tercero venda sus datos personales si compró los datos personales del consumidor a una empresa. El tercero debe dejar de venderlos al recibir la solicitud de exclusión, a menos que el consumidor proporcione una autorización expresa posterior.
Otros derechos del consumidor
Las empresas deben contar con procesos para verificar la identidad de un residente de California al responder a solicitudes para acceder o eliminar información personal. Una vez que se reciba una solicitud de un residente de California y se confirme su identidad, asegúrate de incluir lo siguiente al completar la solicitud, según corresponda, para respetar sus derechos.
Derecho a saber: un consumidor puede solicitar que la empresa divulgue su recopilación y tratamiento de su información personal, lo que incluye lo siguiente:
- Categorías de información personal recopilada sobre ese consumidor (en los 12 meses anteriores)
- Categorías de fuentes de las que se recopila la información personal
- Propósito empresarial o comercial para recopilar o vender información personal
- Categorías de terceros con quienes la empresa divulgó información personal
- Categorías de información que la empresa vende o divulga a terceros
- Información personal específica que ha recopilado sobre ese consumidor
La CPRA modifica y amplía este derecho para exigir lo siguiente:
- Proporcionar información sobre las categorías de información personal “compartida” con terceros
- Eliminar la limitación retrospectiva de 12 meses al exigir que una empresa proporcione más de 12 meses de información, siempre y cuando dicha divulgación no sea "imposible" o "implique un esfuerzo desproporcionado" (este requisito no se aplicaría a ningún dato recopilado por la empresa antes del 1 de enero de 2022)
Derecho de eliminación: La empresa debe eliminar la información del consumidor (sujeto a ciertas excepciones) y notificar a sus proveedores de servicios para que eliminen la información del consumidor. Bajo la CPRA, la empresa debe notificar a sus proveedores de servicios y contratistas, y también notificar a terceros a quienes la empresa haya vendido o compartido (con fines de publicidad entre contextos) la información personal del consumidor, a menos que esto “resulte imposible o implique un esfuerzo desproporcionado” Además, cada proveedor de servicios también debe notificar a sus propios proveedores de servicios posteriores para que eliminen la información del consumidor.
Derecho a corregir información personal inexacta: Una vez que una empresa recibe una solicitud verificada para corregir información personal inexacta, la empresa debe hacer “esfuerzos comercialmente razonables” para corregir dicha información personal según lo indique el consumidor. Se espera orientación adicional sobre esta obligación por parte del Fiscal General de California.
También debes tener en cuenta que, si el consumidor tiene menos de 13 años, se requiere el consentimiento expreso (opt-in) de uno de los padres o de un tutor antes de vender su información personal. Si el consumidor tiene entre 13 y 16 años, se requiere el consentimiento expreso de la persona antes de vender su información personal.
Cumplimiento de solicitudes del consumidor
Debes tener al menos 2 métodos designados para que los consumidores envíen solicitudes de información.
Estos deben incluir, como mínimo:
- Un número de teléfono gratuito (ciertas empresas que operan exclusivamente en línea y tienen una relación directa con el consumidor del que recopilan información personal están exentas del requisito de número gratuito)
- Dirección web, si la empresa tiene un sitio web
Las solicitudes del consumidor deben atenderse dentro de los 45 días posteriores a la recepción de la solicitud, por correo o de forma electrónica (en un formato que permita que el consumidor la proporcione a otra entidad) o a través de una cuenta de usuario. El tiempo de respuesta puede extenderse por 45 días adicionales si es razonablemente necesario según la complejidad y el número de solicitudes, y si se notifica al solicitante de la extensión (detallando los motivos). El proceso de solicitud también debe ser gratuito.
Las empresas no están obligadas a realizar más de dos solicitudes por consumidor en un periodo de 12 meses.
¿Cuál es la función de Klaviyo en virtud de la CCPA y la CPRA en lo que respecta al Klaviyo Service?
Klaviyo no tiene una relación directa con las personas cuya información personal recopilan nuestros clientes y se almacena en nuestra plataforma. Klaviyo actúa como proveedor de servicios, mientras que nuestros clientes son las empresas, ya que procesamos la información personal en nombre de nuestros clientes.
Las obligaciones de Klaviyo con los clientes como proveedor de servicios se establecen en nuestro Acuerdo de procesamiento de datos.
¿Qué está haciendo Klaviyo para permitir que los clientes cumplan?
Los clientes de Klaviyo tienen la capacidad y las herramientas para atender solicitudes de residentes de California para ejercer sus derechos como consumidores de acceder, eliminar o corregir información personal según la CCPA y la CPRA. En específico:
- La plataforma permite a los clientes generar informes sobre la información personal que mantiene sobre los usuarios finales en respuesta a solicitudes de acceso.
- La plataforma permite la eliminación de información personal que mantiene sobre los usuarios finales en respuesta a solicitudes de eliminación, así como la corrección de información personal inexacta en perfiles en Klaviyo.
- Klaviyo no admite y restringe la recopilación y el almacenamiento de información personal confidencial, según nuestra Política de uso aceptable.
Si necesitas asistencia adicional, Klaviyo está listo para adaptarse de forma razonable cuando las limitaciones técnicas requieran soporte.