La solución perfecta para adaptar tu empresa, app y sitio web a las leyes de privacidad de EE. UU.
Las leyes estatales imponen nuevos requisitos a las empresas y, en consecuencia, también nuevas obligaciones jurídicas y técnicas. Por ello, cumplir con la normativa puede resultar complicado. Nuestras soluciones eliminan las conjeturas sobre el cumplimiento de la normativa, ya que se encargan de las tareas técnicas y jurídicas más pesadas para que tú puedas concentrarte en hacer crecer tu negocio
En general, las leyes de privacidad de los estados de EE. UU., como la CPRA (anteriormente la CCPA) y la VCDPA, te pueden afectar si te diriges a usuarios establecidos en dichos estados y cumples simultáneamente alguno de los requisitos que se indican a continuación.
CPRA
VCDPA
CPA
CTDPA
UCPA
TDPSA
MTCDPA
OCPA
La Ley de Derechos de Privacidad de California (CPRA) se basa en las disposiciones existentes de la CCPA, enriquece los derechos de los consumidores y añade nuevos requisitos para las empresas que tratan datos personales de los residentes en California. Se aplica a las personas jurídicas que operan en California con ánimo de lucro, que tratan datos personales de los consumidores y que cumplen uno o varios de los siguientes requisitos:
ingresos brutos anuales superiores a 25 millones de dólares;
compran, venden o comparten anualmente la información personal de al menos 100.000 consumidores u hogares; u
obtienen al menos el 50% de sus ingresos anuales de vender o compartir* información personal de los consumidores.
* Puede incluir integraciones de terceros en tu sitio web.
La Ley de Protección de Datos de los Consumidores de Virginia (VCDPA) se aprobó en marzo de 2021 y, de este modo, Virginia se convirtió en el segundo estado de Estados Unidos en promulgar una ley integral de privacidad de datos después de California. La VCDPA entró en vigor el 1 de enero de 2023.
Se aplica a las personas que realizan actividades comerciales en Virginia o proporcionan productos o servicios dirigidos a los residentes de Virginia y que:
durante un año natural, controlen o traten datos personales de al menos 100.000 consumidores; o
controlen o traten datos personales de al menos 25.000 consumidores y obtengan más del 50 por ciento de los ingresos brutos de la venta de dichos datos.
La Ley de Privacidad de Colorado (CPA), que entró en vigor el 1 de julio de 2023, está diseñada para proteger los derechos de privacidad de los residentes de Colorado regulando la forma en que las empresas recogen, tratan y almacenan los datos personales.
Se aplica a los responsables del tratamiento que: realicen actividades comerciales en Colorado o se dirijan intencionadamente a los residentes de Colorado con productos o servicios comerciales; y
controlen o traten los datos personales de 100.000 consumidores o más durante un año natural; u
obtengan ingresos de la venta de datos personales y traten o controlen los datos personales de 25.000 consumidores o más.
La Ley de Privacidad de Datos de Connecticut (CTDPA), que entró en vigor el 1 de julio de 2023, exige que proporciones a los consumidores avisos de privacidad claros y de magnitud considerable que incluyan información sobre el tratamiento de datos personales, las finalidades, los derechos de los consumidores y el intercambio con terceros, entre otros requisitos.
Se aplica a las personas que realizan actividades comerciales en Connecticut o fabrican productos o prestan servicios dirigidos a los residentes de Connecticut y que durante el año natural anterior:
controlaron o trataron datos personales de al menos 100.000 consumidores (salvo los datos personales controlados o tratados para completar exclusivamente una transacción de pago); o
controlaron o trataron datos personales de al menos 25.000 consumidores y obtuvieron más del 25% de sus ingresos brutos de la venta de datos personales.
La Ley de Privacidad del Consumidor de Utah (UCPA) es una nueva ley de privacidad del consumidor en Utah que entró en vigor el 31 de diciembre de 2023. La UCPA adopta un enfoque favorable para las empresas en lo que respecta a la privacidad de los consumidores. La UCPA pretende proporcionar una norma viable para las empresas y, al mismo tiempo, proteger los derechos garantizados de los consumidores de Utah.
Se aplica a cualquier organización que:
realiza actividades comerciales en Utah; o
fabrica un producto o presta un servicio dirigido a consumidores residentes en Utah;
tiene unos ingresos anuales de 25.000.000 dólares o más; y
cumple uno o más de los siguientes umbrales:
durante un año natural, controla o trata datos personales de 100.000 consumidores o más; u
obtiene más del 50% de los ingresos brutos de la venta de datos personales; y controla o trata datos personales de 25.000 consumidores o más.
La Ley de Privacidad y Seguridad de los Datos de Texas (TDPSA), también conocida como H.B. 4, se aprobó el 18 de junio por el gobernador Greg Abbott y entró en vigor el 1 de julio de 2024.
La ley resulta de aplicación a:
empresas que realizan operaciones en Texas;
empresas que venden productos o prestan servicios a los residentes en Texas;
empresas que tratan o venden datos personales; y
empresas que no cumplen los requisitos para ser consideradas pequeñas empresas en virtud de la legislación estadounidense. Directrices para la administración de pequeñas empresas.
La Ley de Privacidad de los Datos de los Consumidores de Montana (MTCDPA) entró en vigor el 1 de octubre de 2024. El objetivo de esta ley es brindar a los residentes de Montana más control sobre sus datos personales, a fin de garantizar su privacidad en un mundo digital en constante cambio.
La ley se aplica a las empresas que operan en Montana o se dirigen a sus residentes y que cumplen uno de los siguientes criterios:
controlan o tratan datos personales de al menos 50.000 consumidores (excluidos los datos de transacciones de pago); o
controlan o tratan datos de al menos 25.000 consumidores y obtienen más del 25% de sus ingresos brutos de la venta de datos personales.
Las organizaciones sin ánimo de lucro y algunas otras entidades están exentas del cumplimiento de esta ley.
La Ley de Privacidad del Consumidor de Oregón (OCPA) se aprobó por la gobernadora Tina Kotek el 18 de julio de 2023 y entró en vigor el 1 de julio de 2024. Esta ley está concebida para mejorar los derechos de privacidad de los residentes en Oregón.
La OCPA se aplica aquellas las empresas que operan en Oregón o que suministran productos o servicios a residentes de Oregón y que:
controlan o tratan datos personales de 100.000 o más consumidores de Oregón; o
controlan o tratan datos personales de 25.000 o más consumidores de Oregón y obtienen el 25% de sus ingresos anuales de la venta de estos datos.
Las empresas sin ánimo de lucro tienen un año más, hasta el 1 de julio de 2025, para cumplir esta ley.
CPRA
La Ley de Derechos de Privacidad de California (CPRA) se basa en las disposiciones existentes de la CCPA, enriquece los derechos de los consumidores y añade nuevos requisitos para las empresas que tratan datos personales de los residentes en California. Se aplica a las personas jurídicas que operan en California con ánimo de lucro, que tratan datos personales de los consumidores y que cumplen uno o varios de los siguientes requisitos:
ingresos brutos anuales superiores a 25 millones de dólares;
compran, venden o comparten anualmente la información personal de al menos 100.000 consumidores u hogares; u
obtienen al menos el 50% de sus ingresos anuales de vender o compartir* información personal de los consumidores.
* Puede incluir integraciones de terceros en tu sitio web.
La Ley de Protección de Datos de los Consumidores de Virginia (VCDPA) se aprobó en marzo de 2021 y, de este modo, Virginia se convirtió en el segundo estado de Estados Unidos en promulgar una ley integral de privacidad de datos después de California. La VCDPA entró en vigor el 1 de enero de 2023.
Se aplica a las personas que realizan actividades comerciales en Virginia o proporcionan productos o servicios dirigidos a los residentes de Virginia y que:
durante un año natural, controlen o traten datos personales de al menos 100.000 consumidores; o
controlen o traten datos personales de al menos 25.000 consumidores y obtengan más del 50 por ciento de los ingresos brutos de la venta de dichos datos.
CPA
La Ley de Privacidad de Colorado (CPA), que entró en vigor el 1 de julio de 2023, está diseñada para proteger los derechos de privacidad de los residentes de Colorado regulando la forma en que las empresas recogen, tratan y almacenan los datos personales.
Se aplica a los responsables del tratamiento que: realicen actividades comerciales en Colorado o se dirijan intencionadamente a los residentes de Colorado con productos o servicios comerciales; y
controlen o traten los datos personales de 100.000 consumidores o más durante un año natural; u
obtengan ingresos de la venta de datos personales y traten o controlen los datos personales de 25.000 consumidores o más.
CTDPA
La Ley de Privacidad de Datos de Connecticut (CTDPA), que entró en vigor el 1 de julio de 2023, exige que proporciones a los consumidores avisos de privacidad claros y de magnitud considerable que incluyan información sobre el tratamiento de datos personales, las finalidades, los derechos de los consumidores y el intercambio con terceros, entre otros requisitos.
Se aplica a las personas que realizan actividades comerciales en Connecticut o fabrican productos o prestan servicios dirigidos a los residentes de Connecticut y que durante el año natural anterior:
controlaron o trataron datos personales de al menos 100.000 consumidores (salvo los datos personales controlados o tratados para completar exclusivamente una transacción de pago); o
controlaron o trataron datos personales de al menos 25.000 consumidores y obtuvieron más del 25% de sus ingresos brutos de la venta de datos personales.
UCPA
La Ley de Privacidad del Consumidor de Utah (UCPA) es una nueva ley de privacidad del consumidor en Utah que entró en vigor el 31 de diciembre de 2023. La UCPA adopta un enfoque favorable para las empresas en lo que respecta a la privacidad de los consumidores. La UCPA pretende proporcionar una norma viable para las empresas y, al mismo tiempo, proteger los derechos garantizados de los consumidores de Utah.
Se aplica a cualquier organización que:
realiza actividades comerciales en Utah; o
fabrica un producto o presta un servicio dirigido a consumidores residentes en Utah;
tiene unos ingresos anuales de 25.000.000 dólares o más; y
cumple uno o más de los siguientes umbrales:
durante un año natural, controla o trata datos personales de 100.000 consumidores o más; u
obtiene más del 50% de los ingresos brutos de la venta de datos personales; y controla o trata datos personales de 25.000 consumidores o más.
TDPSA
La Ley de Privacidad y Seguridad de los Datos de Texas (TDPSA), también conocida como H.B. 4, se aprobó el 18 de junio por el gobernador Greg Abbott y entró en vigor el 1 de julio de 2024.
La ley resulta de aplicación a:
empresas que realizan operaciones en Texas;
empresas que venden productos o prestan servicios a los residentes en Texas;
empresas que tratan o venden datos personales; y
empresas que no cumplen los requisitos para ser consideradas pequeñas empresas en virtud de la legislación estadounidense. Directrices para la administración de pequeñas empresas.
MTCDPA
La Ley de Privacidad y Seguridad de los Datos de Texas (TDPSA), también conocida como H.B. 4, se aprobó el 18 de junio por el gobernador Greg Abbott y entró en vigor el 1 de julio de 2024.
La ley resulta de aplicación a:
empresas que realizan operaciones en Texas;
empresas que venden productos o prestan servicios a los residentes en Texas;
empresas que tratan o venden datos personales; y
empresas que no cumplen los requisitos para ser consideradas pequeñas empresas en virtud de la legislación estadounidense. Directrices para la administración de pequeñas empresas.
Desarrollo cronológico de las leyes estatales de Estados Unidos
La Ley de Privacidad de los Consumidores de California (CCPA) entra en vigor con un periodo de gracia de 6 meses.
La Fiscalía General (Office of the Attorney General) ya supervisa y garantiza activamente el cumplimiento de la CCPA, para lo que emite notificaciones de incumplimiento e impone multas si el incumplimiento persiste una vez transcurrido el periodo de subsanación de 30 días.
Empieza el periodo retroactivo de 12 meses previsto en la Ley de Derechos de Privacidad de California (CPRA). Las empresas deben tomar en consideración la información personal recogida y tratada durante los 12 meses previos a la solicitud del consumidor.
Entra en vigor la Ley de Derechos de Privacidad de California (CPRA), que modifica la CCPA. Ya no es aplicable el periodo de subsanación de 30 días.
Para cumplir la CPRA, es posible que tengas que seguir los siguientes pasos:
Es importante tener en cuenta que los pasos que deben adoptarse para garantizar el cumplimiento dependerán de la naturaleza de tu negocio y del tipo de información personal que recoges y tratas.Compruébalo con este cuestionario de 1 minuto
La Ley de Protección de Datos de los Consumidores de Virginia (VCDPA) entra en vigor y empieza a aplicarse.
Para cumplir la VCDPA, es posible que tengas que seguir los siguientes pasos:
Es importante señalar que los pasos específicos que debes seguir para garantizar el cumplimiento dependerán de la naturaleza de tu negocio, del tipo de información personal que recoges y tratas, así como de otros factores.
Empieza a aplicarse la Ley de Derechos de Privacidad de California (CPRA).
La Agencia de Protección de la Privacidad de California (California Privacy Protection Agency) ya supervisa y garantiza activamente el cumplimiento de la CPRA, para lo que impone sanciones o multas en caso de incumplimiento.
Te informamos de que, en virtud de la resolución del Tribunal Superior del condado de Sacramento (Sacramento County Superior Court), la aplicación de la normativa definitiva promulgada por la Agencia de Protección de la Privacidad de California se ha retrasado hasta el 29 de marzo de 2024. Sin embargo, la resolución no afecta a las disposiciones legales de la Ley de Derechos de Privacidad de California (CPRA), en vigor desde el 1 de julio de 2023.
Entra en vigor la Ley de Privacidad de Colorado (CPA).
Para cumplir la CPA, es posible que tengas que seguir los siguientes pasos:
Entra en vigor la Ley de Privacidad de los Datos de Connecticut (CTDPA).
Para cumplir la CTDPA, es posible que tengas que seguir los siguientes pasos:
Para obtener más información sobre cómo cumplir lo anterior, consulta este enlace.
Entra en vigor la Ley de Privacidad de los Consumidores de Utah (UCPA).
Para cumplir la UCPA, es posible que tengas que seguir los siguientes pasos:
Para obtener más información sobre cómo cumplir lo anterior, consulta este enlace.
Entra en vigor el requisito previsto en la Ley de Privacidad de Colorado, según el cual se deben atender las solicitudes de autoexclusión de los consumidores a través de un mecanismo de autoexclusión universal.
Ya está en vigor la Ley de Privacidad del Consumidor de Oregón (OCPA)
Ten en cuenta que las empresas sin ánimo de lucro disponen de un año más, hasta el 1 de julio de 2025, para cumplir esta ley.
Ya está en vigor la la Ley de Privacidad y Seguridad de Datos de Texas (TDPSA).
Ya está en vigor la Ley de Privacidad de los Datos de los Consumidores de Montana (MTCDPA).
Ten en cuenta que las organizaciones sin ánimo de lucro y algunas otras entidades están exentas del cumplimiento de esta ley.
La Ley de Privacidad de los Datos de los Consumidores de Montana exige ahora a las empresas que reconozcan y respeten las señales universales de autoexclusión de los consumidores que opten por excluirse de la venta de sus datos personales o de la publicidad personalizada.
La Ley de Privacidad del Consumidor de Oregón exige ahora que las empresas reconozcan las señales Global Privacy Control de navegadores como Chrome, que permiten a los usuarios optar por la autoexclusión de la venta de datos o de la publicidad dirigida.
¿Qué hay que hacer para cumplir con las leyes de EE. UU.?
Como las normativas difieren ligeramente de un estado a otro, estar al día de cada situación puede ser un trabajo agotador. Las soluciones inteligentes de iubenda aplican las normas más sólidas para ayudarte a cumplirlas con el mínimo esfuerzo. Solo tienes que seleccionar Leyes estatales de EE. UU. en tu generador para cumplir con las principales normativas de todo el país.
Es obligatorio tener una política de privacidad detallada
Requisito de EE. UU.
Las empresas deben incluir información específica en sus políticas de privacidad, incluyendo descripciones de los derechos del consumidor, los socios del tratamiento, sus finalidades, las fuentes y mucho más. Esta información debe ser completa, estar actualizada y ser fácilmente accesible en todo el sitio web/app.
Las políticas no son válidas si les falta la información adecuada
Para cumplir con la normativa, tu política debe contener, como mínimo:
Incluye las categorías de información personal que tu empresa ha vendido o compartido con terceros en los últimos 12 meses, una lista de terceros relevantes y la finalidad de tu empresa. También tienes que indicar si no has vendido ni compartido la información personal de los usuarios en los últimos 12 meses.
Añade una declaración sobre si tu empresa vende o comparte, a sabiendas de que lo hace, la información personal de los usuarios menores de 16 años.
Incluye las categorías de información personal que tu empresa ha revelado (con fines empresariales) a terceros en los últimos 12 meses, una lista de los terceros pertinentes y la finalidad de tu empresa. También debes indicar si no has revelado información personal de los consumidores en los últimos 12 meses.
Indica si tu empresa utiliza o divulga información personal sensible para finalidades distintas de las especificadas en la ley.
Proporciona enlaces a formularios o portales de solicitud en línea para que tus usuarios puedan realizar solicitudes relativas a la recogida, divulgación o venta de su información personal.
Aquí tienes la lista completa de información que debes incluir en tu política de privacidad conforme a los requisitos de la CPRA.
Incluye las categorías de datos personales que trata tu organización.
Incluye la finalidad de tu organización para el tratamiento de los datos personales.
Informa a tus usuarios de cómo pueden ejercer sus derechos (ver más abajo), por ejemplo cómo pueden recurrir una decisión sobre sus solicitudes. Debes proporcionar uno o varios métodos para que los usuarios envíen una solicitud.
Incluye las categorías de datos personales que tu organización comparte con terceros, en su caso.
Incluye las categorías de terceros, en su caso, con los que tu organización comparte datos personales.
En concreto, en la CPA se establece la obligación de proporcionar un aviso de privacidad que incluya la siguiente información:
Categorías de datos personales recogidos o tratados.
Finalidades para las que se tratan las categorías de datos personales.
Cómo y dónde pueden ejercer sus derechos los consumidores, incluida la información de contacto y cómo recurrir la actuación de un responsable del tratamiento en relación con la solicitud de un consumidor.
Categorías de datos personales que se comparten con terceros, en su caso.
Categorías de terceros con los que se comparten los datos personales, en su caso.
La nueva ley de privacidad de Connecticut exige que proporciones a los consumidores un aviso de privacidad claro y de magnitud considerable al que pueda accederse adecuadamente. Aquí tienes una lista de comprobación de lo que debes incluir en tu política de privacidad para cumplir la nueva ley:
Categorías de datos personales: Tu política de privacidad debe incluir una lista de las categorías de datos personales que tratas.
Finalidades del tratamiento: Tu política de privacidad debe indicar claramente las finalidades del tratamiento de datos personales. Esto incluye cualquier motivo por el que recojas y utilices datos personales, como el cumplimiento de un contrato o la prestación de un servicio.
Derechos de los consumidores: Tu política de privacidad debe explicar cómo pueden ejercer los consumidores sus derechos conforme a la ley. Es decir, cómo pueden los consumidores acceder, corregir, eliminar o restringir el tratamiento de sus datos personales. También debes incluir información sobre el proceso que deben seguir los consumidores para recurrir una decisión relacionada con su solicitud.
Compartir con terceros: Si compartes datos personales con terceros, tu política de privacidad debe especificar las categorías de datos personales que compartes.
Categorías de terceros: Tu política de privacidad también debe especificar las categorías de terceros con los que compartes datos personales.
Información de contacto: Tu política de privacidad debe proporcionar una dirección de correo electrónico activa u otro mecanismo en línea que los consumidores puedan utilizar para ponerse en contacto contigo si tienen preguntas o dudas sobre sus datos personales.
Venta o publicidad dirigida: Si tratas datos personales con fines de venta o publicidad dirigida, tu política de privacidad debe indicarlo de forma clara y visible. También debes proporcionar información sobre cómo pueden los consumidores ejercer su derecho de autoexclusión de dicho tratamiento.
Si estás sujeto a la Ley de Privacidad de los Consumidores de Utah (UCPA), debes proporcionar una política de privacidad que sea razonablemente accesible y clara para los consumidores. Tu política de privacidad debe incluir lo siguiente:
Categorías de los datos personales tratados: Identifica los tipos de datos personales que tu organización recoge y trata, como nombres, direcciones de correo electrónico e información de pago.
Finalidades del tratamiento de datos personales: Describe las razones por las que tu organización recoge y trata datos personales, por ejemplo, para atender los pedidos, prestar asistencia al cliente o mejorar productos o servicios.
Derechos de los consumidores: Explica cómo pueden los consumidores ejercer sus derechos, como el derecho a acceder a sus datos personales y a eliminarlos. Ten en cuenta que en la UCPA no se concede a los consumidores el derecho a solicitar la rectificación de datos personales inexactos.
Compartir datos personales: Indica las categorías de datos personales que tu organización comparte con terceros, en su caso. Por ejemplo, puedes compartir información de pago con un procesador de pagos o direcciones postales con una empresa de envíos.
Terceros: Identifica las categorías de terceros con los que tu organización comparte datos personales, en su caso. Puede tratarse de proveedores de servicios o socios de marketing.
La Ley de Privacidad y Seguridad de los Datos de Texas exige que los responsables del tratamiento proporcionen a los consumidores un aviso de privacidad accesible y claro, que describa, entre otras cosas:
las categorías de datos personales, incluidos los datos sensibles, si procede, que se tratan y las finalidades del tratamiento;
cómo pueden los consumidores ejercer sus derechos; y
las categorías de datos personales compartidos con terceros y las categorías de terceros con los que se comparte la información.
Si los responsables del tratamiento venden datos sensibles, están obligados a proporcionar una información adecuada a los consumidores.
Para determinados tipos de tratamiento de datos, los responsables del tratamiento deben realizar evaluaciones completas acerca de la protección de los datos.
Proporciona un aviso de privacidad claro y detallado:
las categorías de datos personales tratados;
finalidades del tratamiento;
intercambio de prácticas;
información de contacto; y
cómo ejercer los derechos de los consumidores.
La OCDPA exige que los responsables del tratamiento ofrezcan a los consumidores un aviso de privacidad claro, accesible y de magnitud considerable. Este aviso debe incluir:
Las categorías de datos personales (incluidos los datos sensibles) tratados por el responsable del tratamiento y las finalidades del tratamiento.
Las categorías de datos personales compartidos con terceros y las identidades de estos terceros.
Detalles de cualquier actividad de tratamiento relacionada con la publicidad personalizada.
Instrucciones sobre cómo los consumidores pueden ponerse en contacto con el responsable del tratamiento y ejercer sus derechos de privacidad, incluido el proceso de reclamación.
SOLUCIÓN
Generador de Políticas de Privacidad y Cookies
Crea tu política de privacidad y cookies en cuestión de minutos.
Se puede personalizar con más de 2000 cláusulas, disponible en 14 idiomas y se actualiza automáticamente si cambia la ley. Nuestro generador te permite crear un documento legal en cuestión de minutos e integrarlo sin problemas en tu web o app.
De conformidad con la CPRA (modificación de la CCPA), debes mostrar un aviso antes o durante el acto de recopilación en el que se informe a los consumidores sobre qué categorías de datos personales se recogen y con qué finalidad. Los consumidores también deben tener la posibilidad de autoexcluirse de este tratamiento. Por tanto, como empresa, tienes la obligación de informar a los consumidores de esta opción y de proporcionarles medios para autoexcluirse.
En particular, debes:
Detectar si un consumidor está o no establecido en California y si ha visitado o no tu sitio web antes.
Dar instrucciones a los terceros pertinentes para que dejen de tratar los datos del consumidor cuando se reciba una solicitud de autoexclusión.
Entregar a los consumidores en la primera visita a tu sitio web una nota informativa en la que se incluyan las declaraciones que resulten necesarias.
Te informamos de que, en virtud de la VCDPA, no hay ninguna indicación de que se requieran enlaces de autoexclusión que permitan a los usuarios autoexcluirse del tratamiento de datos personales para determinadas finalidades .
Las disposiciones de la VCDPA, de hecho, tratan los derechos de autoexclusión de los usuarios de la misma manera que cualquier otro derecho de los usuarios concedido en virtud de la VCDPA.
Tu empresa necesita cumplir las solicitudes de los usuarios de la siguiente manera:
Debes atender la solicitud en un plazo de 45 días. El plazo de respuesta puede ampliarse una única vez con 45 días adicionales cuando sea razonablemente necesario, siempre que informes al usuario de cualquier ampliación del plazo inicial de respuesta de 45 días, así como del motivo de la ampliación.
Si te niegas a tomar medidas en relación con la solicitud de los usuarios, debes informar al usuario al respecto en un plazo de 45 días, indicando la justificación pertinente e instrucciones sobre cómo recurrir la decisión.
Si no puedes autenticar una solicitud con medidas comercialmente razonables, no tienes la obligación de responder a la solicitud y puedes pedir la información adicional que puedas necesitar para autenticar al usuario y su solicitud.
Te informamos de que, según la CPA, no hay indicaciones de que se requieran enlaces de autoexclusión que permitan a los consumidores autoexcluirse del tratamiento de datos personales para determinadas finalidades. Sin embargo, si tratas datos personales con fines de publicidad dirigida o venta, debes proporcionar un método claro y visible para que los consumidores ejerzan su derecho de autoexclusión.
Este método debe estar descrito de forma clara y visible en el aviso de privacidad y permitir su acceso desde fuera del aviso de privacidad.
También debes permitir a los consumidores autoexcluirse del tratamiento de sus datos personales para publicidad dirigida o venta mediante una señal de preferencia de autoexclusión enviada a través de una plataforma, tecnología o mecanismo, con el consentimiento del consumidor. Este mecanismo debe:
No perjudicar injustamente a otros responsable del tratamiento.
Exigir una elección afirmativa e inequívoca por parte del consumidor.
Ser fácil de usar.
Ser lo más coherente posible con otros mecanismos similares exigidos por las leyes o reglamentos federales o estatales.
Permitir al responsable del tratamiento determinar si el consumidor es residente en Connecticut y ha presentado una solicitud legítima de autoexclusión.
Según la Ley de Privacidad de los Consumidores de Utah (UCPA), los consumidores tienen derecho de autoexclusión del tratamiento de sus datos personales con fines de publicidad dirigida o de venta de sus datos personales a terceros. Sin embargo, la UCPA no proporciona directrices específicas sobre cómo debes permitir que los consumidores ejerzan este derecho.
Para cumplir la UCPA, debes:
Proporcionar a los consumidores un medio para presentar solicitudes de autoexclusión.
Especificar el derecho que pretenden ejercer.
Es importante señalar que, según la UCPA, los enlaces de autoexclusión solo se tienen en cuenta en relación con el derecho de los consumidores a autoexcluirse del tratamiento de datos sensibles.
La TDPSA exige el consentimiento expreso del usuario en los siguientes supuestos:
Consentimiento expreso para el tratamiento de datos sensibles: los responsables del tratamiento no pueden tratar datos sensibles sin el consentimiento explícito del usuario. Al tratar datos personales sensibles de menores, los responsables del tratamiento también deben cumplir la Ley de Protección de la Privacidad de Menores en Internet de 1998.
Consentimiento expreso para el tratamiento de datos de menores: A efectos de esta ley, se entiende por menores las personas de menos de 13 años.
Por lo general, las empresas pueden tratar los datos de los consumidores sin su consentimiento si las finalidades del tratamiento son las mismas que se comunicaron inicialmente. Para finalidades que no sean razonablemente necesarias y compatibles con las especificadas inicialmente en la política de privacidad, es necesario obtener el consentimiento del usuario.
Las empresas deben obtener el consentimiento del consumidor para las siguientes finalidades:
Tratamiento de datos sensibles.
El tratamiento de datos personales de menores de 13 a 16 años para la venta y la publicidad personalizada, si la empresa conoce su edad.
Proporciona a los consumidores un método fácil para retirar su consentimiento. Una vez que un consumidor revoque su consentimiento, se debe interrumpir el tratamiento de sus datos personales en un plazo de 45 días.
Mecanismos de autoexclusión
Señalar si los datos personales se venderán o se utilizarán para publicidad personalizada.
Proporcionar métodos para que los consumidores puedan optar por la autoexclusión de la venta de datos, la publicidad personalizada y la elaboración de perfiles.
Reconocer las señales de autoexclusión verificables de los agentes autorizados, incluidos los mecanismos de autoexclusión global.
Para el 1 de enero de 2025, las empresas deberán permitir a los consumidores autoexcluirse de la publicidad personalizada y de la venta de sus datos personales mediante señales de autoexclusión.
Para tratar datos personales que se excedan de lo razonablemente necesario para las finalidades inicialmente indicadas a los consumidores, las entidades deben obtener el consentimiento activo y expreso de los consumidores. Las mismas directrices de consentimiento se aplican a la recogida y tratamiento de cualquier información sensible.
La OCPA establece unos requisitos de consentimiento claros:
Los consumidores deben ejercer una acción clara y afirmativa.
El consentimiento debe ser inequívoco e informado.
El mecanismo de consentimiento no puede evitar, dañar o perjudicar la toma de decisiones de los consumidores.
Debe existir una forma fácil y parecida para que los consumidores retiren su consentimiento en cualquier momento.
La inacción por parte del consumidor no constituye consentimiento.
Además, se requiere el consentimiento activo de un tutor legal para tratar datos de menores de trece años, incluido para publicidad personalizada o la venta de su información.
SOLUCIÓN
Privacy Controls and Cookie Solution para la CCPA
Notifica a los consumidores y gestiona la autoexclusión. Con el Marco de Cumplimiento de la CCPA de IAB integrado.
Nuestra solución te permite:
Muestra un aviso de recogida de datos para informar a los usuarios
Mostrar el enlace "No vendan mi información personal" (DNSMPI) en el aviso y en cualquier otra parte de tu web/app, facilitando así el derecho de autoexclusión de la venta
Detectar la ubicación y aplicar automáticamente los estándares adecuados, incluso cuando hay más de uno. Nuestra solución te permite aplicar a esos mismos usuarios tanto los estándares del RGPD como los de la CPRA (anteriormente CCPA) cuando sea necesario
Registrar y pasar automáticamente las preferencias del usuario (incluido el derecho de autoexclusión) a los proveedores de publicidad que respaldan el Marco de cumplimiento de la CCPA de IAB (como Google y AdRoll)
Privacy Controls and Cookie Solution de iubenda admite la preferencia de autoexclusión
Señales como el GPC
y la GPP
tal y como lo exige la CPRA
Mantén un registro actualizado para la autoexclusión manual
Requisito de EE. UU.
Como se ha mencionado anteriormente, de forma similar a la CPRA (anteriormente CCPA), la mayoría de estas leyes estatales otorgan a los usuarios el derecho de autoexclusión. En los casos donde el tratamiento de los datos sea más o menos manual (es decir, no esté relacionado con los scripts en el sitio web, como es el caso del Email Marketing), es posible que las empresas deban implementar de forma manual la solicitud de autoexclusión.
Además, leyes como la CPRA obligan a no ponerse en contacto con los usuarios durante un mínimo de 12 meses después de la solicitud. Por esta razón, es prudente mantener un registro de los detalles de autoexclusión como el usuario, la fecha y los subcontratistas a los que se debe notificar en caso de nuevas solicitudes.
SOLUCIÓN
Consent Database
Nuestra Consent Database se integra con tus formularios web para que puedas pasar automáticamente los detalles de las preferencias del consumidor, como la autoexclusión, mediante una API a un dashboard intuitivo. Puedes registrar todos los detalles relevantes, incluyendo la fecha y hora de la autoexclusión, la versión de la política de privacidad disponible para el usuario en el momento de la solicitud, el ID del usuario, el email e incluso la dirección IP para ayudar en la verificación de dicha solicitud.
Nuestro Registro de las actividades de tratamiento te permite registrar fielmente los detalles necesarios para cumplir con precisión con las solicitudes de los consumidores.
La solución registra:
detalles de seguridad como qué miembros de tu organización tienen acceso a los datos de los usuarios;
cualquier subcontratista que trata datos en tu nombre;
la finalidad del tratamiento de los datos añadidos manualmente;
Sanción civil de 2.500 $ por infracción o; 7.500 $ por infracción si es intencionada o implica información personal de un menor.
Sanción civil de
hasta 7.500 $ por cada infracción.
Pese a que estas multas no parecen muy elevadas en comparación con otras leyes de privacidad, ten en cuenta que estas sanciones se imponen por cada violación individual y por consumidor. Para una empresa con tan solo unos pocos clientes, estas multas pueden suponer una suma considerable.
En general, ¿cuáles son los principales requisitos para los propietarios de sitios web y apps?
Intercambio y elaboración de perfiles
Si tienes usuarios de EE. UU., es posible que debas cumplir con leyes como la CPRA y la VCDPA a la hora de elaborar perfiles o compartir información de los usuarios. Esto significa que debes informar a los usuarios de que estás tratando sus datos de esta manera y ofrecerles la posibilidad de dejar de compartirlos (autoexclusión).
Registro de consentimientos
Algunas regiones, como Europa y Brasil, te exigen que conserves una prueba del consentimiento (también conocida como registro de consentimientos). En muchos casos, sin este registro, los consentimientos recopilados pueden no considerarse válidos, lo que te colocaría en una situación de infracción de la ley.
Requisitos interregionales
Si tienes usuarios de varias regiones (por ejemplo, Europa y EE. UU.), es posible que tengas que cumplir simultáneamente con las leyes de varias regiones, como la [CPRA] de California o el RGPD de Europa. Esto implica disponer de la información específica de cada región en tus documentos de privacidad y mucho más.
Con la confianza de 130.000 clientes en más de 100 países
"Si, al igual que yo, formas parte de un smart team y odias tener que actualizar tu política de privacidad cada vez que añades código a tu web, entonces iubenda es perfecta para ti. Es increíblemente asequible y muy fácil de usar."
PRUÉBALO ANTES DE COMPRARLO o UTILIZA LA VERSIÓN GRATUITA
3037694 documentos generados hasta ahora
Preguntas frecuentes
¿Cómo prepararse para la CPRA?
La CPRA se convierte en ley el 1 de enero de 2023 y entrará en vigor a partir del 1 de julio de 2023.
En iubenda, siempre estamos atentos a las últimas actualizaciones y nos aseguramos de que todos nuestros documentos y productos se ajusten a tiempo para ayudarte a cumplir con la normativa.
Si ya cuentas con los procedimientos de la CCPA, puede ser una buena idea empezar a revisar tus procesos y tomar nota de algunas cosas:
Estados Unidos suma otra normativa de privacidad de datos con la Ley de Protección de Datos de Virginia (VCDPA).
La VCDPA entra en vigor el 1 de enero de 2023.
Si tu organización entra en el ámbito de aplicación de la VCDPA, debes empezar a buscar soluciones de conformidad que sean de confianza y estén redactadas por abogados.
Así que, si aún no tienes una, empieza hoy mismo a establecer todo lo necesario, ¡y te informaremos cuando las cláusulas estén disponibles!
O apúntate a uno de nuestros próximos webinars para hacerte una idea de los requisitos legales y resolver tus dudas en directo
Todos nuestros productos son conformes al nivel AAA de las WCAG
Una solución de 360° para que tus sitios web y apps cumplan con la ley
Conformidad legal para sitios web y apps
Generador de Políticas de Privacidad y Cookies
Crea tu política de privacidad y cookies en cuestión de minutos.
Se puede personalizar con más de 2000 cláusulas, disponible en 14 idiomas y se actualiza automáticamente si cambia la ley. Nuestro generador te permite crear un documento legal en cuestión de minutos e integrarlo sin problemas en tu web o app.
Gestiona las preferencias de consentimiento según lo requerido por la directiva ePrivacy, el RGPD, la CPRA (modificación de la CCPA) y la LGPD. Nuestra solución, integrada con el TCF de IAB y el marco de cumplimiento de la CCPA
, te permite mostrar un banner de cookies/de consentimiento completamente personalizable, obtener el consentimiento para el uso de cookies, configurar el bloqueo previo (incluido el autobloqueo), establecer las preferencias publicitarias y mucho más.
Adapta tus formularios al RGPD, la CCPA y la LGPD: obtén el consentimiento y registra las decisiones de participación y las autoexclusiones.
Nuestra solución se integra perfectamente con tus formularios de obtención del consentimiento, se sincroniza con tus documentos legales e incluye un dashboard intuitivo que te permite revisar el registro de consentimientos de tus actividades en cualquier momento.
Registra todas las actividades de tratamiento de datos que tienen lugar en tu organización.
Para cumplir con la legislación en materia de privacidad, y particularmente con el RGPD, las empresas deben mantener un registro de cómo almacenan y utilizan los datos de sus usuarios. Nuestra solución te permite documentar fácilmente todas las actividades de tratamiento de datos que se llevan a cabo en tu organización.
