Frameworks – CCPA: o que a plataforma cobre
O CCPA é a lei de privacidade do estado da Califórnia, nos Estados Unidos. Ela protege dados pessoais de residentes californianos, e alcança empresas de fora do estado que tratem esses dados.
Para quem serve
Para empresas brasileiras com clientes ou usuários na Califórnia. Na prática, os casos que mais aparecem:
- A empresa vende software ou serviço para consumidores nos Estados Unidos.
- O produto tem usuários americanos, mesmo sem operação lá.
- Um cliente americano exige a conformidade em contrato.
A lei tem limiares de aplicabilidade ligados a porte, volume de dados tratados e receita obtida com dados pessoais. Esses critérios foram alterados por legislação posterior, e definir se a sua empresa está alcançada é uma análise jurídica, não uma leitura de tutorial.
Se você não sabe se o CCPA se aplica, essa é a primeira pergunta a levar ao jurídico, antes de habilitar o framework.
O que ela cobra, em linhas gerais
O CCPA tem uma ênfase diferente da LGPD e do GDPR, e essa diferença é o ponto central deste documento.
Enquanto os regimes brasileiro e europeu se organizam em torno de base legal para tratar, o CCPA se organiza em torno de transparência e direito de recusa. A pergunta que ele faz não é tanto *você tem fundamento para tratar?*, e sim *você contou claramente o que faz, e deu à pessoa a chance de dizer não?*
As obrigações se concentram em quatro frentes:
Informar. Deixar claro, antes da coleta, quais categorias de dados são coletadas, para quê, e com quem são compartilhadas.
Permitir recusa. Oferecer ao consumidor o direito de recusar a venda ou o compartilhamento dos seus dados, de forma acessível e sem obstáculo.
Atender pedidos. Responder a solicitações de acesso, de exclusão e de correção, com prazo definido em lei.
Não discriminar. Não penalizar quem exerce esses direitos, seja com preço diferente ou serviço reduzido.
Como o trabalho acontece na plataforma
O framework organiza as exigências em controles, como qualquer outro, e o trabalho substantivo se apoia em dois lugares:
O módulo Privacidade, onde ficam o registro de atividades de tratamento e o registro dos pedidos de titular. A estrutura serve bem: as categorias de dados, as finalidades, os sistemas e os terceiros com quem há compartilhamento são exatamente o que o CCPA exige que você saiba.
O Trust Center, onde a sua empresa publica o aviso de privacidade e o canal pelo qual o consumidor exerce os direitos. Como a lei californiana dá muito peso à acessibilidade desse canal, a página pública deixa de ser um detalhe e passa a ser parte da conformidade.
⚠️ Uma diferença de vocabulário. O módulo Privacidade foi construído com os termos da LGPD, incluindo a lista de bases legais brasileiras.
O CCPA não organiza o tratamento por base legal do mesmo modo. O registro continua útil, e é a sua fonte para responder o que a lei exige, mas não espere encontrar campos com a terminologia californiana. Use a descrição da atividade para registrar o enquadramento quando for necessário.
O que é comprovado automaticamente e o que não é
| Área | Como é comprovada |
|---|---|
| Segurança dos dados: acesso, criptografia, backup | Integrações |
| Inventário de dados e compartilhamentos | Módulo Privacidade |
| Atendimento a pedidos de consumidores | Registro dos pedidos |
| Aviso de privacidade e canal de recusa | Trust Center e documentos publicados |
| Contratos com terceiros que recebem dados | Módulo Fornecedores e documentos |
| Treinamento de quem atende pedidos | Evidência enviada |
A parte de segurança se resolve por integração e é compartilhada com outras normas. A parte específica do CCPA é quase toda documental e de processo.
Por onde começar
- Confirme com o jurídico se a lei se aplica, e a partir de qual momento.
- Mapeie os compartilhamentos. O CCPA se preocupa especialmente com dados que saem da empresa, inclusive para ferramentas de publicidade e análise.
- Revise o aviso de privacidade, garantindo que ele descreva categorias, finalidades e destinatários de forma clara.
- Implemente o canal de recusa e publique-o de forma acessível.
- Defina o processo de atendimento a pedidos, com responsável e prazo.
- Registre cada pedido atendido. É a evidência de que o processo funciona, não apenas existe.
O que costuma dar problema
- Ferramentas de publicidade e análise não mapeadas. É onde o compartilhamento acontece sem que ninguém tenha decidido conscientemente.
- Canal de recusa difícil de achar ou com etapas demais. A acessibilidade faz parte da exigência.
- Aviso de privacidade copiado de outro site, que descreve tratamentos que a empresa não faz e omite os que faz.
- Pedidos atendidos sem registro. Sem o registro, não há como demonstrar o atendimento.
⚠️ Esta página descreve o propósito e a estrutura geral das obrigações em linguagem própria, para orientar o uso da plataforma. Ela não é orientação jurídica e não reproduz o texto legal. Limiares de aplicabilidade, prazos e definições devem ser confirmados com assessoria jurídica qualificada no direito norte-americano.
Este artigo foi útil?