Cumplimiento de la CCPA y la CPRA
La CPRA modificó la California Consumer Privacy Act con efectos desde enero de 2023: incorporó el derecho de corrección, límites al uso de la información sensible y una agencia propia encargada de hacerla cumplir. Lo importante para un sitio web es que California funciona al revés que Europa: el seguimiento puede empezar y el visitante debe tener una forma clara de detener la venta o el uso compartido de su información personal.
- California, desde enero de 2020
- Opt-out, no opt-in
- Los umbrales deciden a quién se aplican
Desde 10 € al mes. Sin tarjeta de crédito ni cobro por visitante.
Qué exigen la CCPA y la CPRA
Se aplican a empresas con fines de lucro que superan un umbral de ingresos o de volumen, así que muchos sitios más pequeños quedan totalmente fuera. Antes de adaptar nada, comprueba si te afectan.
- Informar sobre qué información personal recopilas y con qué fin
- Ofrecer una forma clara de oponerse a la venta y al uso compartido
- Atender las solicitudes de acceso, eliminación y corrección
- Permitir al consumidor limitar el uso de su información sensible
- Respetar una señal de opt-out enviada por el navegador
Esta página explica lo que exige la ley y lo que hace nuestro software al respecto. No es asesoramiento jurídico ni puede decirte si tu organización cumple la normativa, porque eso depende de todos los demás datos que tratas.
Qué hace Consent Studio al respecto
Plantea la pregunta californiana, no la europea
Un visitante de California recibe la opción de oponerse a la venta y al uso compartido, en lugar de una solicitud de consentimiento previo. Los valores predeterminados siguen la región del visitante, así que una sola configuración sirve para ambos casos sin que tu equipo tenga que mantener dos.
- Según la región del visitante
- Una sola configuración
- Correcta en ambos casos
Respeta la señal del navegador
Global Privacy Control se trata como un opt-out válido, tal como exige la normativa de California. Importa porque la señal llega antes de que nadie responda al banner, y a una herramienta que solo atiende a los clics se le escapa por completo.
- Global Privacy Control
- Sin necesidad de clic
Registra el opt-out
Un opt-out es una solicitud, y las solicitudes se atienden y se documentan. El registro guarda qué se pidió y cuándo, y eso convierte la afirmación de que respetas los opt-outs en algo que puedes demostrar.
- Con fecha y hora
- Exportable
- Por solicitud
Dónde fallan los sitios con California
Se muestra a todo el mundo el banner de la UE
Parece prudencia, pero deja un vacío. Una solicitud de consentimiento previo no ofrece el mecanismo “Do Not Sell or Share” que exige California, así que un sitio puede bloquear más de lo necesario y aun así carecer del control obligatorio.
Se confunde compartir con vender
La CPRA abarca tanto la venta a cambio de dinero como el uso compartido para publicidad conductual de contexto cruzado. Un sitio que no cobra por los datos puede estar compartiéndolos igualmente, y la mayoría de los píxeles publicitarios hacen exactamente eso.
Se ignora la señal del navegador
Global Privacy Control lo envía el navegador, no el visitante con un clic en tu banner. Las herramientas que solo reaccionan a una interacción con el banner nunca lo ven, y la normativa de California lo trata como un opt-out válido que hay que respetar.
Essential
10 €/al mes
Para un único sitio que tiene que cumplir la normativa, y seguir cumpliéndola.
- Páginas y visualizaciones ilimitadas
- 200 000 acciones de consentimiento al mes
- El stack completo, no una versión básica
Professional
36 €/al mes
Para equipos en crecimiento que se guían por los datos, y las agencias que trabajan para ellos.
Prueba Professional gratisEnterprise
Desde 250 €/al mes
Para un volumen, o una obligación, que un plan estándar no puede cubrir.
Descubre EnterpriseAgencias y revendedores
Compra a precio de partner y factura cada sitio de cliente al precio que tú decidas.
Descubre el programa de partnersSector público
Gobierno, salud y educación funcionan con Enterprise.
Conoce Enterprise
En uso bajo normas como estas, en más de un país
Otras normas que pueden afectarte
Preguntas frecuentes sobre California
¿Se aplica la CCPA a mi empresa?
Solo si eres una empresa con fines de lucro que opera en California y alcanzas uno de los umbrales: tener ingresos brutos superiores a 25 millones de dólares, comprar o vender la información personal de 100 000 o más consumidores u hogares, u obtener la mitad de tus ingresos de venderla o compartirla. Muchos sitios quedan totalmente fuera.
¿Necesito un banner de cookies en California?
No en el sentido europeo. Lo que se exige es informar de lo que recopilas y ofrecer una forma clara de oponerse a la venta y al uso compartido, normalmente un enlace “Do Not Sell or Share My Personal Information”. El consentimiento previo antes de que se cargue nada es un requisito europeo, no californiano.
¿Qué se considera vender o compartir información personal?
Vender abarca la divulgación a cambio de dinero u otra contraprestación de valor, y compartir abarca la divulgación para publicidad conductual de contexto cruzado, aunque no haya dinero de por medio. La mayoría de los píxeles de publicidad y de remarketing entran en la segunda categoría, y ahí es donde tropiezan muchos sitios.
¿Tenemos que respetar Global Privacy Control?
Sí. La normativa de California trata una señal de opt-out del navegador como una solicitud válida, así que hay que respetarla sin que el visitante haga clic en nada de tu banner. Varios estados más de EE. UU. ya exigen lo mismo, y por eso la aplicamos en la primera carga de la página y no después de una interacción.
¿Con Consent Studio ya cumplimos la normativa?
Ninguna herramienta puede lograrlo por sí sola, y cualquier proveedor que diga lo contrario te está vendiendo algo. Consent Studio se ocupa de la parte que puede cubrir una plataforma de consentimiento: preguntar como es debido, hacer que cada etiqueta respete la respuesta, guardar el registro y avisarte cuando el sitio cambia. Lo que tratas en otros lugares es responsabilidad tuya.
¿Dónde se almacenan nuestros datos de consentimiento?
En Ámsterdam, en infraestructura que posee y opera Scaleway, una empresa francesa. Aquí la propiedad importa más que la ubicación: Scaleway es una empresa francesa independiente y no la filial europea de una matriz estadounidense, así que ni ellos ni nosotros estamos sujetos a la CLOUD Act estadounidense. El propio Consent Studio se desarrolla en los Países Bajos y es de propiedad neerlandesa.
Empieza con The Full Consent Stack
Todo lo que necesitas en un solo paquete. Consent Studio trata y almacena los datos de consentimiento de los visitantes de la UE en infraestructura de empresas europeas dentro de la UE (Scaleway, Francia; Bunny, Eslovenia). Qué etiquetas envían datos después, y adónde, lo decides tú en Launcher.
Lee la documentación
Nuestro Centro de ayuda explica paso a paso cada integración, plugin y plantilla, con capturas de pantalla. Lo redactan y lo mantienen al día las mismas personas que desarrollan Consent Studio.