O que você vai aprender
Saiba mais sobre as perguntas frequentes relacionadas à CCPA (Lei de Privacidade do Consumidor da Califórnia) e à CPRA (Lei de Direitos de Privacidade da Califórnia).
As informações apresentadas aqui têm caráter educativo e não devem ser interpretadas como aconselhamento jurídico. A Klaviyo incentiva todos os nossos clientes — e todos os vendedores de e-commerce — a buscar aconselhamento jurídico sobre como, especificamente, eles devem cumprir a CCPA e a CPRA.
O que é a CCPA?
A CCPA é uma lei que entrou em vigor em 01/01/2020 e rege como as empresas lidam com as informações pessoais de residentes da Califórnia.
A CCPA é uma resposta a uma lacuna percebida nas proteções de privacidade nos Estados Unidos. As empresas que lidam com as informações pessoais de residentes da Califórnia são obrigadas a informar os residentes sobre as práticas de privacidade da empresa e os direitos de privacidade dos residentes, incluindo o direito de:
- Saber quais informações pessoais uma empresa coleta sobre elas e como elas são usadas
- Exclua as informações pessoais coletadas (com algumas exceções)
- Optar por não permitir a venda das próprias informações pessoais
- Não discriminação por exercer seus direitos sob a CCPA
O que é a CPRA?
O CPRA é uma lei que altera e expande os requisitos do CCPA, incluindo:
- Adicionar uma categoria de "informações pessoais sensíveis"
- Estabelecer o direito de limitar o uso e a divulgação de informações pessoais confidenciais
- Estabelecer o direito de corrigir informações pessoais imprecisas
- Expandir a exigência de opção de não participação de “Não vender” para “compartilhamento” de informações pessoais para fins de publicidade entre contextos (ou de terceiros)
A CPRA entra em vigor em 01/01/2023.
Quem precisa cumprir a CCPA e a CPRA?
Negócios
A maioria dos requisitos da CCPA e da CPRA se aplica a "empresas", definidas como empresas que coletam as informações pessoais de consumidores da Califórnia por conta própria ou usando fornecedores.
A CCPA se aplica a empresas que atendem a qualquer uma das seguintes condições:
- Processa as informações pessoais de residentes da Califórnia
- Está "fazendo negócios" na Califórnia (incluindo interagir com pessoas localizadas na Califórnia por meio de um e-commerce ou site ou aplicativo interativo)
- Atende a um ou mais dos seguintes limites:
- Tem receita bruta anual acima de $ 25 milhões
- Compra, recebe ou vende informações pessoais de 50.000 ou mais residentes, domicílios ou dispositivos da Califórnia anualmente
- Obtém 50% ou mais de suas receitas anuais com a “venda” de informações pessoais de residentes da Califórnia (ou seja, venda inclui divulgar, disponibilizar, transferir ou comunicar informações pessoais a terceiros em troca de contraprestação monetária ou de outra contraprestação valiosa)
A CPRA altera essa aplicabilidade da seguinte forma:
- Atende a um ou mais dos seguintes limites:
- Teve receitas brutas anuais superiores a $ 25 milhões no ano passado
- Compra, vende ou compartilha informações pessoais de 100.000 ou mais residentes ou domicílios da Califórnia por ano
- Deriva 50% ou mais de suas receitas anuais da venda ou compartilhamento de informações pessoais de residentes da Califórnia (compartilhamento inclui divulgar, disponibilizar, transferir ou comunicar informações pessoais a um terceiro para publicidade comportamental entre conteúdos, com ou sem contrapartida monetária ou outra consideração valiosa.)
Prestadores de serviços e contratados
Para ser considerada prestadora de serviços, uma pessoa ou pessoa jurídica deve:
- Processar informações pessoais em nome de uma empresa
- Ficar vinculado(a) a um contrato por escrito que imponha certas restrições e obrigações em relação ao uso de informações pessoais, inclusive não:
- Coleções
- Vendas
- Usar as informações pessoais apenas quando necessário para cumprir a finalidade comercial
Assim como ocorre com provedores de serviços, a exceção para uma venda ou compartilhamento também se aplica a contratados segundo a CPRA. Contratados são pessoas ou entidades às quais uma empresa disponibiliza informações pessoais, de acordo com um contrato por escrito que impõe restrições e obrigações semelhantes às que se aplicam a um provedor de serviços. Os contratados também devem ter uma certificação de que o contratado entende as restrições e irá cumpri-las.
Observe que a divulgação de dados por uma empresa a um prestador de serviços ou contratado não é considerada uma venda ou compartilhamento quando for necessária para cumprir uma finalidade comercial.
O que é classificado como conformidade pessoal?
A CCPA define informações pessoais de forma muito ampla, incluindo informações que identificam, descrevem ou são razoavelmente capazes de ser associadas a um consumidor ou domicílio específico. Na prática, essa definição ampla significa que informações como informações de contato, dados de transação, endereços de Protocolo de Internet (IP), identificadores de dispositivo móvel, dados de clickstream e detalhes de pedido podem estar dentro do escopo da definição de informações pessoais da CCPA e sujeitos aos requisitos da CCPA.
A CPRA cria uma nova categoria de informações pessoais, "informações pessoais sensíveis", e oferece aos consumidores um novo direito de limitar o uso e a divulgação de suas informações sensíveis.
As informações pessoais confidenciais segundo a CPRA incluem:
- Número de seguro social
- Número da carteira de motorista
- Número do passaporte
- Credenciais da conta
- Geolocalização precisa
- Origem racial ou étnica
- Crenças religiosas
- Dados biométricos
- Dados genéticos
- Dados de saúde
- Informações sobre a vida sexual ou orientação sexual de um consumidor
- O conteúdo do correio, e-mail e mensagem de texto de um consumidor, a menos que a empresa seja o destinatário pretendido da comunicação
A Klaviyo não permite que informações pessoais confidenciais sejam coletadas ou armazenadas na plataforma.
O que preciso fazer para me preparar?
A CCPA e a CPRA são leis complexas. Este artigo apresenta as principais obrigações de acordo com a CCPA e a CPRA, conforme possam se relacionar ao uso do Klaviyo Service, mas não leva em conta todos os requisitos que podem se aplicar ao seu negócio. Entre em contato com seu consultor jurídico para receber orientações específicas.
Se a CCPA e a CPRA se aplicarem à sua empresa, você deve considerar os seguintes direitos e divulgações.
Aviso
Sua empresa deve ter uma Política de Privacidade em seu site que seja acessível em todos os pontos em que você coleta informações pessoais, como formulário de registro. A política deve incluir, entre outras coisas:
- Categorias de informações pessoais que ela coleta, vende e divulga para fins comerciais
- Categorias de fontes das informações pessoais
- Finalidades empresariais ou comerciais para coletar ou vender informações pessoais
- Descrição dos seguintes direitos do consumidor e dos métodos designados para enviar solicitações:
- O direito de excluir informações pessoais
- O direito de acessar categorias e partes específicas de informações pessoais
- O direito de optar por não permitir a venda ou o compartilhamento de informações pessoais
- O direito à não retaliação
A CPRA amplia esta lista de direitos do consumidor para incluir:
- O direito de corrigir informações imprecisas
- O direito de limitar o uso e a divulgação de informações pessoais confidenciais
- O direito de optar por não usar tecnologia de tomada de decisão automatizada
A CPRA também exige que as empresas incluam as seguintes divulgações adicionais:
- Se as informações pessoais do indivíduo são vendidas ou compartilhadas
- O período de tempo que a empresa pretende reter cada categoria de informações pessoais ou os critérios que ela usará para determinar por quanto tempo reterá essas informações
- Se a empresa coleta "informações pessoais sensíveis":
- Uma divulgação separada identificando as categorias de informações sensíveis coletadas
- O uso e a finalidade desses dados
- Se essas informações são vendidas ou compartilhadas
Direitos de cancelamento de inscrição
Os consumidores têm o direito, a qualquer momento, de optar por não permitir a venda de seus dados pessoais a terceiros. Sua empresa deve parar de vender informações pessoais ao receber a solicitação, a menos que uma autorização expressa subsequente seja fornecida pelo consumidor. As empresas devem esperar pelo menos 12 meses antes de pedir a um consumidor para optar novamente pela venda de informações pessoais. Para habilitar esse direito de opt-out, as empresas devem, entre outras coisas:
- Forneça um link claro e visível na página inicial da empresa, com o título "Não vender minhas informações pessoais". O link deve permitir que um consumidor, ou uma pessoa autorizada pelo consumidor, recuse a venda das informações pessoais do consumidor
- Não exigir que o consumidor crie uma conta para instruir a empresa a não vender as informações pessoais do consumidor.
A CPRA amplia esse direito de recusa existente e os requisitos de aceitação para incluir tanto a venda quanto o compartilhamento de informações pessoais. Dessa forma, o link publicado na página inicial de uma empresa deve ser atualizado e intitulado "Não vender nem compartilhar minhas informações pessoais".
Os consumidores também têm o direito, a qualquer momento, de optar por não permitir que seus dados pessoais sejam vendidos por terceiros que tenham comprado os dados pessoais do consumidor de uma empresa. O terceiro deve parar de vender ao receber a solicitação de não participação, a menos que uma autorização expressa subsequente seja fornecida pelo consumidor.
Outros direitos do consumidor
As empresas devem ter processos para verificar a identidade de um residente da Califórnia ao responder a solicitações de acesso ou exclusão de informações pessoais. Depois que uma solicitação for recebida de um residente da Califórnia e a identidade dele for confirmada, inclua o seguinte ao concluir a solicitação, conforme aplicável, para respeitar os direitos dele.
Direito de saber: Um consumidor pode solicitar que a empresa divulgue a coleta e o tratamento de suas informações pessoais, incluindo:
- Categorias de informações pessoais coletadas sobre esse consumidor (nos 12 meses anteriores)
- Categorias de fontes das quais as informações pessoais são coletadas
- Finalidade comercial ou empresarial para coletar ou vender informações pessoais
- Categorias de terceiros com os quais a empresa divulgou informações pessoais
- Categorias de informações que a empresa vende ou divulga a terceiros
- Partes específicas de informações pessoais que foram coletadas sobre esse consumidor
A CPRA modifica e amplia esse direito para exigir:
- Fornecer informações sobre as categorias de informações pessoais "compartilhadas" com terceiros
- Remover a limitação de retrospectiva de 12 meses ao exigir que uma empresa forneça mais de 12 meses de informações, desde que tal divulgação não seja "impossível" nem "envolva um esforço desproporcional" (esse requisito não se aplicaria a quaisquer dados coletados pela empresa antes de 01/01/2022)
Direito de exclusão: a empresa deve excluir as informações do consumidor (sujeito a determinadas exceções) e notificar os provedores de serviços para excluir as informações do consumidor. De acordo com a CPRA, a empresa deve notificar seus prestadores de serviços e contratados e também notificar quaisquer terceiros para os quais a empresa tenha vendido ou compartilhado (para fins de publicidade em contexto cruzado) as informações pessoais do consumidor, a menos que isso "se mostre impossível ou envolva esforço desproporcional". Além disso, cada prestador de serviços também deve notificar seus próprios prestadores de serviços subcontratados para excluir as informações do consumidor.
Direito de corrigir informações pessoais imprecisas: Assim que uma empresa recebe uma solicitação verificada para corrigir informações pessoais imprecisas, ela deve empregar “esforços comercialmente razoáveis” para corrigir essas informações pessoais conforme orientado pelo consumidor. Espera-se que o procurador-geral da Califórnia forneça orientações adicionais sobre essa obrigação.
Você também deve observar que, se o consumidor tiver menos de 13 anos, será necessário o consentimento expresso (aceitação) de um dos pais ou responsável antes de vender as informações pessoais dele ou dela. Se o consumidor tiver entre 13 e 16 anos, será necessário o consentimento expresso do indivíduo antes de vender as informações pessoais dele ou dela.
Atender às solicitações dos consumidores
Você deve ter pelo menos 2 métodos designados para que consumidores enviem solicitações de informações.
Isso deve incluir, no mínimo:
- Um número de telefone gratuito (determinadas empresas que operam exclusivamente on-line e têm uma relação direta com o consumidor de quem coletam informações pessoais estão isentas da exigência de número gratuito)
- Endereço da web, se a empresa tiver um site
As solicitações dos consumidores devem ser atendidas em até 45 dias após o recebimento da solicitação, por correio ou eletronicamente (em um formato que permita que o consumidor a forneça a outra entidade) ou por meio de uma conta de usuário. O prazo de resposta pode ser estendido por mais 45 dias, se for razoavelmente necessário com base na complexidade e no número de solicitações, e se o solicitante for notificado sobre a extensão (detalhando os motivos). O processo de solicitação também deve ser gratuito.
As empresas não são obrigadas a atender a mais de duas solicitações por consumidor em um período de 12 meses.
Qual é o papel da Klaviyo sob a CCPA e a CPRA no que se refere ao Klaviyo Service?
A Klaviyo não tem nenhuma relação direta com os indivíduos cujas informações pessoais são coletadas por nossos clientes e armazenadas em nossa plataforma. A Klaviyo atua como prestadora de serviços, enquanto nossos clientes são as empresas, pois processamos as informações pessoais em nome de nossos clientes.
As obrigações da Klaviyo com os clientes como prestadora de serviços estão estabelecidas em nosso Acordo de Processamento de Dados.
O que a Klaviyo está fazendo para permitir que os clientes estejam em conformidade?
Os clientes da Klaviyo têm a capacidade e as ferramentas para atender a solicitações de residentes da Califórnia para exercer seus direitos do consumidor de acessar, excluir ou corrigir informações pessoais de acordo com a CCPA e a CPRA. Especificamente:
- A plataforma permite que os clientes gerem relatórios sobre as informações pessoais que ela mantém sobre os usuários finais em resposta a solicitações de acesso.
- A plataforma permite a exclusão de informações pessoais que ela mantém sobre usuários finais em resposta a solicitações de exclusão e a correção de informações pessoais imprecisas em perfis na Klaviyo.
- A Klaviyo não oferece suporte e restringe a coleta e o armazenamento de informações pessoais sensíveis, conforme a nossa Política de Uso Aceitável.
Se precisar de assistência adicional, a Klaviyo está preparada para oferecer adaptações razoáveis quando limitações técnicas exigirem suporte.