CCPA: o que a plataforma cobre

O CCPA é a lei de privacidade do estado da Califórnia, nos Estados Unidos. Ela protege dados pessoais de residentes californianos, e alcança empresas de fora do estado que tratem esses dados.

Para quem serve

Para empresas brasileiras com clientes ou usuários na Califórnia. Na prática, os casos que mais aparecem:

• A empresa vende software ou serviço para consumidores nos Estados Unidos.
• O produto tem usuários americanos, mesmo sem operação lá.
• Um cliente americano exige a conformidade em contrato.

A lei tem limiares de aplicabilidade ligados a porte, volume de dados tratados e receita obtida com dados pessoais. Esses critérios foram alterados por legislação posterior, e definir se a sua empresa está alcançada é uma análise jurídica, não uma leitura de tutorial.

Se você não sabe se o CCPA se aplica, essa é a primeira pergunta a levar ao jurídico, antes de habilitar o framework.

O que ela cobra, em linhas gerais

O CCPA tem uma ênfase diferente da LGPD e do GDPR, e essa diferença é o ponto central deste documento.

Enquanto os regimes brasileiro e europeu se organizam em torno de base legal para tratar, o CCPA se organiza em torno de transparência e direito de recusa. A pergunta que ele faz não é tanto você tem fundamento para tratar?, e sim você contou claramente o que faz, e deu à pessoa a chance de dizer não?

As obrigações se concentram em quatro frentes:

Informar. Deixar claro, antes da coleta, quais categorias de dados são coletadas, para quê, e com quem são compartilhadas.

Permitir recusa. Oferecer ao consumidor o direito de recusar a venda ou o compartilhamento dos seus dados, de forma acessível e sem obstáculo.

Atender pedidos. Responder a solicitações de acesso, de exclusão e de correção, com prazo definido em lei.

Não discriminar. Não penalizar quem exerce esses direitos, seja com preço diferente ou serviço reduzido.

Como o trabalho acontece na plataforma

O framework organiza as exigências em controles, como qualquer outro, e o trabalho substantivo se apoia em dois lugares:

O módulo Privacidade, onde ficam o registro de atividades de tratamento e o registro dos pedidos de titular. A estrutura serve bem: as categorias de dados, as finalidades, os sistemas e os terceiros com quem há compartilhamento são exatamente o que o CCPA exige que você saiba.

O Trust Center, onde a sua empresa publica o aviso de privacidade e o canal pelo qual o consumidor exerce os direitos. Como a lei californiana dá muito peso à acessibilidade desse canal, a página pública deixa de ser um detalhe e passa a ser parte da conformidade.

⚠️ Uma diferença de vocabulário. O módulo Privacidade foi construído com os termos da LGPD, incluindo a lista de bases legais brasileiras.

O CCPA não organiza o tratamento por base legal do mesmo modo. O registro continua útil, e é a sua fonte para responder o que a lei exige, mas não espere encontrar campos com a terminologia californiana. Use a descrição da atividade para registrar o enquadramento quando for necessário.

O que é comprovado automaticamente e o que não é

A parte de segurança se resolve por integração e é compartilhada com outras normas. A parte específica do CCPA é quase toda documental e de processo.

Por onde começar

1. Confirme com o jurídico se a lei se aplica, e a partir de qual momento.
2. Mapeie os compartilhamentos. O CCPA se preocupa especialmente com dados que saem da empresa, inclusive para ferramentas de publicidade e análise.
3. Revise o aviso de privacidade, garantindo que ele descreva categorias, finalidades e destinatários de forma clara.
4. Implemente o canal de recusa e publique-o de forma acessível.
5. Defina o processo de atendimento a pedidos, com responsável e prazo.
6. Registre cada pedido atendido. É a evidência de que o processo funciona, não apenas existe.

O que costuma dar problema

• Ferramentas de publicidade e análise não mapeadas. É onde o compartilhamento acontece sem que ninguém tenha decidido conscientemente.
• Canal de recusa difícil de achar ou com etapas demais. A acessibilidade faz parte da exigência.
• Aviso de privacidade copiado de outro site, que descreve tratamentos que a empresa não faz e omite os que faz.
• Pedidos atendidos sem registro. Sem o registro, não há como demonstrar o atendimento.

⚠️ Esta página descreve o propósito e a estrutura geral das obrigações em linguagem própria, para orientar o uso da plataforma. Ela não é orientação jurídica e não reproduz o texto legal. Limiares de aplicabilidade, prazos e definições devem ser confirmados com assessoria jurídica qualificada no direito norte-americano.