A LGPD, a GDPR e a CCPA são regulações de privacidade de dados e, como todo regulamento, seu texto é longo e detalhado. Mas, para facilitar o entendimento, elencamos as principais semelhanças e diferenças. São seis diferenças principais:

## 1\. Território em que cada um é válido

- A LGPD é válida em todo o território brasileiro.
- A GPDR é válida em toda a União Europeia.
- A CCPA é válida apenas no estado da California, EUA. Lembrando que apenas o titular dos dados deve residir na Califórnia; ou seja, a lei é válida para todos que fazem negócios no estado.

Mas, engana-se quem pensa que, por se tratarem de proteção de dados e privacidade, esses regulamentos são meras réplicas um do outro. A conformidade com uma delas não garante a conformidade com as demais.

### 2\. A quais titulares de dados se aplica a lei

- A GDPR é aplicável aos dados pessoais dos titulares dos dados, ou seja, os usuários. Podem ser clientes ou meros visitantes de um site.
- A CCPA é aplicável aos consumidores, famílias e domicílios.

### 3\. A definição de dado pessoal

1. Para a LGPD, dado pessoal é toda informação relacionada a uma pessoa identificada ou identificável. Existem informações que não te identificam pessoalmente; você continua anônimo. Há outras, no entanto, que te identificam individualmente, como nome, e-mail e documentos pessoais.
2. Para a CCPA, dado pessoal é toda informação que identifique, individualmente, uma pessoa ou família. Ou seja, dados anônimos não são considerados pessoais.
3. Para a GDPR, tudo isso é dado pessoal. E há ainda duas categorias distintas: dados tornados públicos pelo próprio titular e dados relacionados a instituições sem fins lucrativos.

Entre essas definições, de dados pessoais, anônimos ou não, há uma mais especial: dados sensíveis.

Dados sensíveis são os que revelam origem racial ou étnica; convicções políticas e religiosas; filiações sindicais; e questões relacionadas à saúde e sexualidade.

A GDPR, ao contrário da LGPD e CCPA, proíbe o uso de dados sensíveis, a não ser que esse uso esteja previsto em lei.

### 4\. Quem trata os dados

A LGPD e a GDPR, em seus respectivos territórios, se aplicam a todo tratamento de dados, com exceção do uso particular. Se é uma empresa, uma ONG ou uma instituição do governo, pouco importa: a lei se aplica.

A CCPA é bem diferente neste quesito. A aplicação desta é, especificamente, para:

1. Empresas com receita bruta anual superior a 25 milhões de dólares;
2. Empresas que recebem dados de mais de 50 mil consumidores, famílias ou dispositivos;
3. Empresas que obtêm mais de 50% da renda através da venda de informações pessoais.

### 5\. Venda de dados pessoais

Na LGPD e na GDPR, para que a venda de dados pessoais seja feita é necessária uma base legal prevista na lei. Não é qualquer um que pode fazer esse serviço.

A CCPA, por outro lado, não proíbe a venda de dados. Apenas estabelece a possibilidade do titular não permitir que seus dados não sejam vendidos. Ou seja, uma pessoa pode concordar ou não com a venda dos próprios dados, e a empresa não pode desacatar essa opção.

### 6\. Multas e penalidades

A GDPR, a LGPD e a CCPA aplicam multas e penalidades diferentes; portanto, cada uma deve ser consultada separadamente. [Neste artigo, você pode ter mais detalhes sobre as multas e penalidades da LGPD.](https://goadopt.io/blog/multas-na-lgpd/)

Já vimos, portanto, que existem diferenças consideráveis entre os três regulamentos. Então quais são as semelhanças?

## Semelhanças entre a LGPD, a GDPR e a CCPA

### 1\. Transparência sobre o uso de dados

Os três regulamentos garantem transparência quanto ao uso de dados: se estão sendo tratados, se podem ser vendidos e com que objetivo estas ações são feitas.

### 2\. Poder de atualizar e excluir dados

Os três regulamentos permitem que o usuário revogue a concessão dos dados, bem como garantem que ele possa atualizá-los quando bem entender.

### 3\. Autoridade responsável

Os regulamentos instituem uma autoridade governamental para garantir que a lei seja cumprida. No caso da LGPD, é a Autoridade Nacional de Proteção de Dados. No caso da CCPA, é o Procurador Geral do estado da Califórnia.

## Preciso me adequar às três leis?

Como vimos nos tópicos anteriores, as leis são válidas para seus respectivos territórios. Se sua empresa trata dados de californianos e brasileiros, é necessário que esteja inteiramente à par da CCPA e da LGPD. Se sua empresa trata os dados de clientes da União Europeia, é necessário que se adeque à GDPR.

Mas, na prática, isso é ainda mais simples. Já que a LGPD é baseada na GDPR, é fácil se adequar às duas legislações. E, tendo em vista que as três se baseiam em princípios de transparência e consentimento, existem três passos que garantirão que seu site não tenha nenhum problema com qualquer uma dessas leis.

## 3 passos para se adequar à LGPD, à GDPR e à CCPA

### 1\. Entenda consentimento e transparência

Algo que a LGPD, a GDPR e a CCPA têm em comum é a prioridade dada à transparência e ao consentimento, que fundamenta a lei na íntegra.

O que isso significa na prática?

Todo usuário precisa saber que está tendo dados coletados e com qual finalidade sua empresa fará esse tratamento de dados. Essas informações precisam estar explícitas. Sabendo disso, o usuário precisa concordar. Isso é transparência e consentimento.

Se o usuário não concordar com o tratamento de dados, ele deve poder expressar isso de forma clara e objetiva. E sua empresa respeitará essa decisão, sem forçá-lo a ceder os dados.

Mas pense bem: fazer isso manualmente tornaria a operação de qualquer empresa complicada. Para facilitar esse serviço, seguimos ao segundo passo:

### 2\. Instale um cookie banner

[Cookie banner](https://goadopt.io/blog/o-que-e-uma-cmp/) é um aviso em texto, como o que você viu quando entrou neste blog. O cookie banner serve para informar ao usuário que o site coleta dados e para pedir o consentimento do usuário para que tenha seus dados coletados. O cookie banner também informa com qual objetivo nós coletamos essas informações.

E o mais importante: registra tudo isso. Nós podemos provar quais dados você concordou em nos fornecer; e isso é de extrema importância para o cumprimento da lei. E, também, você pode dizer, por meio do cookie banner, quais dados deseja fornecer e quais não, ou até mesmo recusar nos passar qualquer informação. E assim fica tudo bem.

Para garantir que essa operação seja feita, a LGPD, a GDPR e a CCPA pedem que haja em cada empresa um responsável. Este profissional é chamado de DPO: Data Protection Officer. E escolhê-lo é o terceiro passo.

### 3\. Eleja um DPO

DPO é o [encarregado de proteção de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/). Sua empresa pode terceirizar este serviço ou eleger algum colaborador interno para exercer essa função.

É o DPO que responde, legalmente, pela política de proteção de dados da empresa, fazendo a ponte entre a empresa e a autoridade de proteção de dados. No caso da LGPD, essa autoridade é a ANPD. No caso da CCPA, é o Procurador Geral da Califórnia.

Com essas boas práticas, sua empresa está garantida nesse cenário de mudanças e amplo debate sobre uso de dados.


GDPR, LGPD e CCPA: o que são essas leis, semelhanças e diferenças

Guia de implementação do Google Consent Mode, do básico ao avançado.

João Bruno Soares

Quando o California Consumer Privacy Act (CCPA) entrou em vigor em 1º de janeiro de 2020, os Estados Unidos ainda não tinham uma lei federal de privacidade. A Califórnia decidiu não esperar e aprovou a lei mais abrangente de proteção de dados do país, que se tornaria referência para praticamente tudo que veio depois.

Dois anos depois, os californianos foram às urnas e aprovaram a Proposição 24, que criou o California Privacy Rights Act (CPRA). E aí as coisas ficam um pouco confusas para quem está de fora.

Este guia explica o que é cada uma, o que mudou, e o que a legislação vigente da Califórnia exige de quem trata dados de consumidores do estado.

## CCPA e CPRA: a mesma lei ou leis diferentes?

Boa pergunta, e a resposta não é simples.

A **CCPA** (California Consumer Privacy Act) é a lei original. Foi aprovada como AB 375 em 2018 e entrou em vigor em 1º de janeiro de 2020. Ela está codificada no California Civil Code § 1798.100 a § 1798.199.100.

A **CPRA** (California Privacy Rights Act) é a Proposição 24, aprovada por referendo popular em 3 de novembro de 2020, com a maioria das disposições operativas a partir de 1º de janeiro de 2023. A CPRA não criou uma lei separada. Ela **emendou e expandiu** a CCPA. Ou seja: o que existe hoje é a CCPA com as mudanças da CPRA incorporadas.

### O que a CCPA tinha originalmente

A CCPA de 2020 garantia aos consumidores californianos direitos básicos: saber o que era coletado, pedir a exclusão dos dados, e recusar a venda dos dados. Era uma lei pioneira e importante, mas com lacunas significativas.

### O que a CPRA mudou a partir de 2023

A CPRA fez alterações profundas:

**Criou a California Privacy Protection Agency (CPPA):** uma agência reguladora independente com poder administrativo exclusivo para implementar e fiscalizar a lei. Antes, era o Attorney General quem fiscalizava. Agora a CPPA tem estrutura própria, poderes investigativos, competência para multas administrativas, e orçamento garantido.

**Adicionou novos direitos:** o direito de corrigir dados imprecisos e o direito de limitar o uso e a divulgação de informações pessoais sensíveis.

**Criou a categoria de "compartilhamento":** separou "venda" de "compartilhamento" para publicidade comportamental contextual cruzada. Isso significa que compartilhar dados com plataformas de anúncios para targeting, mesmo sem receber dinheiro diretamente, passou a exigir opt-out.

**Expandiu a definição de dados sensíveis:** incluiu dados genéticos, dados neurais, informações de saúde, orientação sexual e vida sexual.

**Exigiu o link "Limit the Use of My Sensitive Personal Information":** além do já existente "Do Not Sell or Share My Personal Information."

**Impôs requisitos de minimização de dados e retenção proporcionada.**

| Aspecto | CCPA (2020) | CCPA + CPRA (2023) |
|---|---|---|
| Fiscalização | Attorney General | CPPA (agência independente) + AG |
| Direitos do consumidor | 5 direitos | 7 direitos |
| Links obrigatórios | "Do Not Sell My Personal Information" | "Do Not Sell or Share" + "Limit Sensitive PI" |
| Dados sensíveis | Categoria básica | Expandida (inclui dados neurais) |
| Ação privada | Apenas violações de segurança | Apenas violações de segurança |
| Vigência plena | Jan 2020 | Jan 2023 |

Nos artigos sobre a Califórnia neste blog, tratamos a lei vigente: **CCPA conforme emendada pela CPRA**. Quando precisar consultar apenas as mudanças específicas da CPRA, temos um guia dedicado sobre a [Califórnia CPRA](https://goadopt.io/blog/cpra-california-e-cookies-tudo-o-que-voce-precisa-saber).

## O que é a CCPA/CPRA hoje?

O California Consumer Privacy Act, conforme emendado pela CPRA, é a lei de proteção de dados mais abrangente dos Estados Unidos. Ela garante direitos amplos aos consumidores californianos e cria obrigações detalhadas para empresas que tratam seus dados.

A fiscalização hoje é compartilhada entre a **California Privacy Protection Agency (CPPA)** e o **Attorney General da Califórnia**, com poderes distintos e complementares.

## Quando a CCPA entrou em vigor?

A CCPA original entrou em vigor em **1º de janeiro de 2020**.

As emendas da CPRA tornaram-se operativas em **1º de janeiro de 2023**.

A versão atual da lei, com todos os direitos e obrigações vigentes, aplica-se desde janeiro de 2023.

## Quem precisa cumprir a CCPA?

Conforme § 1798.140(d), a lei se aplica a empresas com fins lucrativos que fazem negócios na Califórnia, coletam dados pessoais de consumidores, e atendem a pelo menos **um** dos seguintes critérios:

Receita bruta anual superior a **US$ 25 milhões** no ano civil anterior.

Compra, vende ou compartilha dados pessoais de pelo menos **100.000 consumidores ou domicílios** por ano.

Deriva **50% ou mais** da receita anual da venda ou compartilhamento de dados pessoais de consumidores.

O threshold de US$ 25 milhões é o mais baixo entre todas as leis estaduais americanas, tornando a CCPA a lei com maior alcance em termos de empresas afetadas.

Entender a distinção entre [controlador e operador](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/) é fundamental para definir as responsabilidades de cada parte.

### Isenções da CCPA

Estão isentos da maioria das obrigações:

Informações de saúde protegidas pela HIPAA e dados de entidades cobertas.

Dados regulados pela California Confidentiality of Medical Information Act.

Informações de crédito ao consumidor reguladas pelo Fair Credit Reporting Act.

Dados financeiros regulados pelo Gramm-Leach-Bliley Act ou pela California Financial Information Privacy Act.

Dados regulados pelo Driver's Privacy Protection Act.

Dados de pesquisas acadêmicas ou de saúde pública com salvaguardas adequadas.

Dados de funcionários e candidatos a emprego quando usados nessa capacidade.

## O que é dado pessoal sob a CCPA?

Conforme § 1798.140(v), dado pessoal é qualquer informação que identifica, se relaciona com, descreve, é razoavelmente capaz de ser associada, ou poderia razoavelmente ser vinculada direta ou indiretamente a um consumidor ou domicílio específico.

Isso inclui identificadores como nome, endereço, IP, e-mail, número de previdência social, carteira de motorista e passaporte. Também inclui informações comerciais, histórico de navegação, dados de geolocalização, informações de áudio e visual, dados de emprego, dados de educação, e inferências derivadas para criar perfis.

Dados desidentificados e informações publicamente disponíveis estão excluídos.

Um [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) completo revela onde esses dados estão sendo gerados e processados no seu ambiente digital.

## O que são informações pessoais sensíveis na CCPA/CPRA?

A CCPA, após as emendas da CPRA, tem uma categoria expandida de "informações pessoais sensíveis" (§ 1798.140(ae)):

Número de previdência social, carteira de motorista, número de identificação do estado ou passaporte.

Login de conta, número de conta financeira, cartão de débito ou crédito em combinação com código de segurança ou senha.

Geolocalização precisa (raio de 1.850 pés ou menos).

Origem racial ou étnica, cidadania ou status de imigração, crenças religiosas ou filosóficas, ou associação sindical.

Conteúdo de e-mails, correspondências e mensagens de texto, exceto quando a empresa é o destinatário pretendido.

Dados genéticos.

Dados neurais: informações geradas pela medição da atividade do sistema nervoso central ou periférico do consumidor.

Processamento de informações biométricas para identificação única.

Informações de saúde coletadas e analisadas.

Informações sobre vida sexual ou orientação sexual.

A inclusão de dados neurais é exclusiva da CCPA/CPRA entre as leis estaduais americanas.

## Quais são os direitos dos consumidores sob a CCPA/CPRA?

A lei garante sete direitos principais:

**Direito de saber e acessar:** confirmar se a empresa processa seus dados e obter as informações específicas coletadas, incluindo categorias de dados, fontes, finalidades, terceiros, e as peças específicas da informação. A solicitação cobre os **12 meses anteriores** ao pedido (§ 1798.110, 1798.115).

**Direito de exclusão:** solicitar a exclusão dos dados pessoais coletados, com obrigação de a empresa notificar prestadores de serviço e terceiros para também excluir (§ 1798.105).

**Direito de correção:** solicitar a correção de dados pessoais imprecisos, adicionado pela CPRA (§ 1798.106).

**Direito de opt-out da venda e do compartilhamento:** recusar que a empresa venda ou compartilhe seus dados, exercível a qualquer momento (§ 1798.120).

**Direito de limitar o uso de informações pessoais sensíveis:** restringir o uso das informações pessoais sensíveis ao necessário para fornecer os produtos ou serviços esperados. Adicionado pela CPRA (§ 1798.121).

**Direito de não discriminação:** exercer qualquer direito sem ser discriminado pela empresa (§ 1798.125).

**Direito de ação privada por violações de segurança:** entrar com ação judicial por danos de US$ 100 a US$ 750 por consumidor por incidente. Único entre as leis estaduais americanas (§ 1798.150).

O controlador tem **45 dias** para responder. O prazo pode ser estendido por mais **45 dias** quando razoavelmente necessário, com notificação dentro do prazo inicial. O atendimento é gratuito. A empresa não precisa atender ao mesmo consumidor mais de **duas vezes em 12 meses** (§ 1798.130(b)).

## Os dois links obrigatórios no site

A CCPA/CPRA exige links específicos nas páginas iniciais do site (§ 1798.135):

**"Do Not Sell or Share My Personal Information":** link claro e conspícuo para página de opt-out da venda e compartilhamento.

**"Limit the Use of My Sensitive Personal Information":** link que permite limitar o uso de informações sensíveis ao necessário para o serviço.

A empresa pode usar um único link combinado para os dois propósitos, desde que permita exercer as duas opções claramente.

Também é possível cumprir honrando o sinal de preferência de opt-out do **Global Privacy Control (GPC)** quando enviado pelo usuário.

## O que é "venda" vs "compartilhamento" na CCPA/CPRA?

Essa distinção criada pela CPRA é fundamental.

**Venda** (§ 1798.140(ad)): transferência de dados por contrapartida monetária **ou outro valor valioso** a terceiros.

**Compartilhamento** (§ 1798.140(ah)): transferência de dados com terceiros para **publicidade comportamental contextual cruzada**, com ou sem contrapartida monetária.

Publicidade comportamental contextual cruzada (§ 1798.140(k)) são anúncios direcionados baseados em dados obtidos das atividades do consumidor em diferentes empresas, sites e aplicações de marcas distintas.

Na prática: passar dados para uma plataforma de anúncios para exibir anúncios personalizados com base no comportamento em outros sites é "compartilhamento" sob a CCPA/CPRA, mesmo sem receber dinheiro diretamente.

## Cookies e a CCPA/CPRA

Cookies que coletam dados pessoais ou permitem identificação de usuários estão diretamente no escopo da CCPA/CPRA.

Antes de disparar qualquer cookie não essencial, o site precisa exibir um [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) claro, oferecer opt-out de venda e compartilhamento, bloquear rastreadores não consentidos, e respeitar o GPC.

A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite identificar quais cookies configuram venda ou compartilhamento e quais requerem os links de opt-out.

## Proteção para menores de 16 anos

O § 1798.120(c) proíbe a venda ou compartilhamento de dados de consumidores com menos de 16 anos sem autorização afirmativa:

Para consumidores entre 13 e 15 anos: a própria autorização do consumidor.

Para consumidores com menos de 13 anos: autorização do pai, mãe ou responsável legal.

Uma empresa que deliberadamente desconsidera a idade do consumidor é tratada como tendo conhecimento real dela.

## A California Privacy Protection Agency (CPPA)

A CPPA (§ 1798.199.10) é governada por um conselho de cinco membros com mandatos de até oito anos. Ela tem poder para:

Aplicar multas administrativas de até **US$ 2.500 por violação** e até **US$ 7.500 por violação intencional** ou envolvendo menores.

Investigar empresas por conta própria ou com base em reclamações.

Conduzir auditorias.

Emitir e revogar regulamentações.

O Attorney General mantém poder para buscar **penalidades civis** de até US$ 2.500 por violação e US$ 7.500 por violação intencional ou envolvendo menores.

Não há prazo garantido de correção antes de ações da CPPA. A agência tem discricionariedade para investigar e agir sem obrigação de conceder prazo prévio.

## O número de telefone gratuito é obrigatório

O § 1798.130(a)(1) exige que a empresa disponibilize dois ou mais métodos designados para submissão de solicitações. Um desses métodos deve ser, no mínimo, um **número de telefone gratuito (0800)**.

Empresas que operam exclusivamente online com relação direta com o consumidor podem se limitar a um endereço de e-mail.

## Aviso de privacidade: atualização a cada 12 meses

O § 1798.130(a)(5) exige que a empresa atualize o aviso de privacidade **pelo menos uma vez a cada 12 meses**, incluindo listas das categorias de dados coletados, vendidos, compartilhados e divulgados para fins de negócios nos 12 meses anteriores.

## Como a AdOpt ajuda com a CCPA/CPRA

A AdOpt registra cada consentimento e opt-out, respeita o GPC quando enviado pelo usuário, bloqueia rastreadores antes do aceite, e gera o log auditável que a empresa precisaria apresentar em uma investigação da CPPA ou do Attorney General.

O escaneamento automático identifica todos os [rastreadores](https://goadopt.io/blog/cookies-e-lgpd/) ativos no site, alimentando o inventário de dados. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Pronto para adequar seu site à CCPA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Comparando CCPA/CPRA com outras leis de privacidade

| Lei | Estado | Threshold | Penalidade | Fiscal | Vigência |
|---|---|---|---|---|---|
| CCPA/CPRA | Califórnia | US$ 25M OU 100K consumidores OU 50% receita | Até US$ 7,5K/violação | CPPA + AG | Jan 2020/Jan 2023 |
| VCDPA | Virgínia | 100K ou 25K + 50% receita | Até US$ 7,5K/violação | AG | Jan 2023 |
| FDBR | Flórida | US$ 1B+ receita global | Até US$ 50K/violação | Dep. Legal Affairs | Jul 2024 |
| NHDPA | New Hampshire | 35K ou 10K + 25% receita | Até US$ 10K/violação | AG | Jan 2025 |
| CPA | Colorado | 100K ou 25K + 50% receita | Até US$ 20K/violação | AG | Jul 2023 |

Para entender como essas [legislações de privacidade](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/) se comparam, nosso guia comparativo aprofunda o tema.

## A CCPA na prática: os três documentos

A adequação à CCPA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/california-ccpa-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/california-ccpa-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/california-ccpa-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.

## FAQ: Califórnia CCPA/CPRA

**1. Qual a diferença entre CCPA e CPRA?**
A CCPA é a lei original de privacidade da Califórnia, em vigor desde 1º de janeiro de 2020. A CPRA (Proposição 24) foi aprovada por referendo em novembro de 2020 e emendou a CCPA com vigência plena a partir de janeiro de 2023. A CPRA não é uma lei separada: ela modificou e expandiu a CCPA. As mudanças mais importantes foram a criação da California Privacy Protection Agency (CPPA), a adição dos direitos de correção e limitação de dados sensíveis, a separação entre "venda" e "compartilhamento", e a expansão da definição de informações pessoais sensíveis.

**2. Quem precisa cumprir a CCPA?**
Empresas com fins lucrativos que fazem negócios na Califórnia e atendem a pelo menos um critério: receita anual superior a US$ 25 milhões; compra, venda ou compartilhamento de dados de 100.000 ou mais consumidores ou domicílios por ano; ou derivação de 50% ou mais da receita da venda ou compartilhamento de dados (§ 1798.140(d)).

**3. Qual a diferença entre "venda" e "compartilhamento" na CCPA/CPRA?**
"Venda" é a transferência de dados por contrapartida monetária ou outro valor valioso a terceiros. "Compartilhamento" é a transferência para publicidade comportamental contextual cruzada, com ou sem contrapartida monetária. A distinção garante que práticas de targeting publicitário também estejam sujeitas ao opt-out, mesmo sem pagamento direto ao site.

**4. O que são os links "Do Not Sell or Share" e "Limit the Use of My Sensitive Personal Information"?**
São links obrigatórios nas páginas iniciais do site (§ 1798.135). O primeiro permite ao consumidor recusar a venda e o compartilhamento. O segundo permite limitar o uso de informações sensíveis. Podem ser dois links separados ou um único combinado que permita exercer as duas opções.

**5. O que é o direito de ação privada na CCPA e por que ele é único?**
O § 1798.150 garante ao consumidor o direito de entrar com ação judicial quando dados não criptografados forem expostos em uma violação de segurança por falha da empresa. O consumidor pode recuperar de US$ 100 a US$ 750 por incidente ou danos reais quando maiores. Esse direito é exclusivo da CCPA entre as leis estaduais americanas de privacidade.

[Quer adequar seu site à CCPA/CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


California CCPA e Cookies: Tudo o que você precisa saber

A **California Privacy Rights Act (CPRA)** é uma legislação abrangente de privacidade de dados que amplia as proteções para os residentes da Califórnia. Ela altera a lei anterior, a **CCPA**, introduzindo novas regras para garantir ainda mais transparência e controle para os consumidores.

Sob a **CPRA**, os indivíduos ganharam direitos reforçados sobre seus dados pessoais, incluindo a capacidade de acessar, excluir e corrigir informações mantidas pelas empresas. A lei exige que as empresas obtenham consentimento explícito antes de coletar, compartilhar ou vender dados.

Além disso, a **CPRA** estabelece diretrizes rígidas para o tratamento de **dados sensíveis**, como informações de saúde ou financeiras. Para fiscalizar tudo isso, foi criada a California Privacy Protection Agency (CPPA), tornando esta uma das **[leis de privacidade](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/ )** mais rigorosas dos EUA.

Para as empresas, a conformidade exige manter a transparência total e responder prontamente às solicitações dos usuários. Por isso, muitas marcas estão recorrendo a soluções como a **[AdOpt](https://goadopt.io/blog/o-que-e-uma-cmp/ )** para garantir que todos os requisitos sejam atendidos.

## Quem precisa cumprir a CPRA?

A CPRA se aplica a empresas que coletam, processam ou compartilham dados de residentes da Califórnia. No entanto, existem critérios específicos para determinar se uma empresa está sob o escopo da lei:

1. **Receita**: Empresas com receita bruta anual de **US$ 25 milhões ou mais**.
2. **Volume de Dados**: Negócios que coletam dados de **100.000 ou mais consumidores** ou dispositivos anualmente.
3. **Publicidade Direcionada**: Se a empresa vende ou compartilha dados para fins de publicidade segmentada.
4. **Dados Sensíveis**: Empresas que lidam com categorias especiais de dados (origem racial, biometria, saúde, etc.) devem seguir regras ainda mais estritas.

Mesmo que sua empresa não atinja esses limites, se você tem presença na Califórnia ou lida com dados sensíveis, a conformidade é essencial. Usar uma **[plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/ )** ajuda a simplificar esse processo.

## Diferenças fundamentais entre CCPA e CPRA

Embora ambas protejam os residentes da Califórnia, a CPRA trouxe mudanças significativas que as empresas precisam conhecer:

### 1. Escopo dos Dados
Enquanto a CCPA focava em dados pessoais gerais, a CPRA introduziu a categoria de **dados pessoais sensíveis**. Isso dá ao consumidor muito mais controle sobre como informações delicadas, como dados financeiros e biométricos, são usadas.

### 2. Novos Direitos do Consumidor
A CPRA fortaleceu os direitos existentes, permitindo que os usuários:

- Solicitem a **correção** de dados imprecisos.
- Limitem o uso de suas informações sensíveis.
- Optem por não participar do **compartilhamento** de dados para publicidade (não apenas da venda).

### 3. Fiscalização e Penalidades
A criação da CPPA trouxe um braço executor independente para a lei. Além disso, as penalidades para violações envolvendo dados de menores de 16 anos tornaram-se muito mais severas.

Para garantir que sua empresa não se perca nessas mudanças, entender a diferença entre **[cookies e local storage](https://goadopt.io/blog/diferenca-cookies-local-storage-session-storage/ )** é um bom ponto de partida técnico.

## Direitos do Consumidor sob a CPRA

A CPRA empodera o cidadão com diversos direitos fundamentais:

- **Direito de Acesso**: Saber exatamente o que a empresa coletou e para quê.
- **Direito de Exclusão**: Solicitar que seus dados sejam apagados (o "direito ao esquecimento").
- **Direito de Correção**: Corrigir informações que estejam erradas ou desatualizadas.
- **Direito de Opt-Out**: Impedir a venda ou o compartilhamento de dados para marketing.
- **Direito de Portabilidade**: Receber seus dados em um formato estruturado para levar para outro serviço.

Respeitar esses direitos é a base para construir uma relação de confiança. Uma **[CMP](https://goadopt.io/blog/o-que-e-uma-cmp/ )** eficiente automatiza o recebimento dessas solicitações, garantindo que nada passe batido.

## A CPRA exige consentimento para Cookies?

Sim! A CPRA exige transparência total sobre o uso de rastreadores. Se um cookie coleta informações como endereço IP ou histórico de navegação para fins de publicidade ou perfil, o consentimento é necessário.

As empresas devem usar um **[banner de cookies](https://goadopt.io/blog/banner-de-cookies/ )** claro, que informe as finalidades da coleta e ofereça opções granulares de escolha. O usuário deve poder gerenciar ou retirar seu consentimento a qualquer momento de forma simples.

## O papel do Encarregado de Dados (DPO)

Ter um **[encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/ )** é uma das melhores práticas para garantir a conformidade contínua. Esse profissional atua como a ponte entre a empresa, os usuários e as autoridades reguladoras.

O DPO ajuda a implementar o conceito de **Privacy by Design**, garantindo que a privacidade seja considerada desde o início de qualquer projeto ou produto. Para apoiar esse trabalho, o uso de ferramentas de **[categorização de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/ )** é indispensável.

## Como escrever uma Política de Privacidade ideal?

Sua **[política de privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/ )** deve ser clara, sem "juridiquês" e fácil de entender. Ela precisa detalhar:

- Quais dados são coletados.
- Para quais finalidades.
- Com quem são compartilhados.
- Como o usuário pode exercer seus direitos.
- Por quanto tempo os dados são retidos.

Manter esse documento atualizado é um requisito legal e uma prova de respeito ao seu cliente. Se você usa o WordPress, existem **[plugins](https://goadopt.io/blog/plugin-cookies-wordpress/ )** que facilitam a integração do seu aviso de privacidade.

## Simplifique sua jornada com a AdOpt

Adequar-se à CPRA não precisa ser um pesadelo burocrático. A AdOpt oferece uma solução completa para gerenciar consentimentos, cookies e direitos dos usuários de forma automatizada e elegante.

**[Agende uma demonstração com nossos especialistas](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria )** e veja como podemos ajudar sua empresa a estar em conformidade com as leis de privacidade mais exigentes do mundo.

## A CPRA na prática: os três documentos

A adequação à CPRA se apoia em três documentos que precisam conversar entre si: a [política de cookies](https://goadopt.io/blog/california-cpra-politica-de-cookies/), que declara cada rastreador e sua finalidade; a [política de privacidade](https://goadopt.io/blog/california-cpra-politica-de-privacidade/), que explica o que você faz com os dados; e o [portal do titular](https://goadopt.io/blog/california-cpra-dsar-portal-do-titular/), onde a pessoa exerce seus direitos e você guarda o registro disso.


CPRA California e Cookies: Tudo o que você precisa saber

O California Consumer Privacy Act (CCPA), conforme emendado pelo California Privacy Rights Act (CPRA) e codificado no Cal. Civ. Code § 1798.100 et seq., exige que o aviso de privacidade seja atualizado a cada 12 meses e contenha listas específicas do que foi coletado, vendido, compartilhado e divulgado no ano anterior.

Esta página cobre uma parte do quadro. Para o escopo completo da CCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CCPA e cookies](https://goadopt.io/blog/ccpa-california-e-cookies-tudo-o-que-voce-precisa-saber/).

Este artigo foca exclusivamente no que a CCPA/CPRA exige da sua Política de Privacidade, com base no texto oficial da lei.

## A CPRA mudou o que a CCPA exige da Política de Privacidade?

Sim, de forma importante. A CPRA (Proposição 24, vigente desde janeiro de 2023) expandiu as obrigações de transparência do aviso de privacidade em três áreas principais:

Adicionou a obrigação de divulgar a categoria de **informações pessoais sensíveis** quando coletadas.

Adicionou os **dois novos links obrigatórios** no site: "Do Not Sell or Share My Personal Information" e "Limit the Use of My Sensitive Personal Information."

Reforçou os requisitos de **minimização de dados** e **retenção proporcionada**, exigindo que a Política inclua o tempo que a empresa pretende reter cada categoria de dado.

Para entender mais sobre o que a CPRA mudou especificamente, temos um guia dedicado sobre a [CPRA da Califórnia](https://goadopt.io/blog/cpra-california-e-cookies-tudo-o-que-voce-precisa-saber). Este artigo trata da lei vigente consolidada.

## O que precisa estar na Política de Privacidade sob a CCPA/CPRA

### 1. Categorias de informações pessoais coletadas

O aviso de privacidade deve listar as categorias de informações pessoais coletadas sobre consumidores nos **12 meses anteriores** (§ 1798.130(a)(5)(B)).

A CCPA/CPRA estabelece categorias específicas que devem ser usadas para essa descrição, conforme § 1798.140(v):

Identificadores (nome, endereço, IP, e-mail, número de previdência social, etc.).

Informações pessoais descritas na Seção 1798.80 da lei da Califórnia.

Características de classificações protegidas sob lei californiana ou federal.

Informações comerciais (registros de propriedade, histórico de compras).

Informações biométricas.

Atividade em internet ou outras redes eletrônicas (histórico de navegação, busca, interações com anúncios).

Dados de geolocalização.

Informações de áudio, eletrônicas, visuais, térmicas, olfativas ou similares.

Informações profissionais ou de emprego.

Informações de educação.

Inferências derivadas para criar perfis sobre preferências, características, comportamento e aptidões.

Informações pessoais sensíveis.

### 2. Categorias de fontes das informações pessoais

O aviso de privacidade deve identificar as categorias de fontes das quais as informações pessoais dos consumidores são coletadas (§ 1798.130(a)(5)(B)(ii)).

Fontes típicas: o próprio consumidor ao preencher formulários, sistemas de analytics, redes de publicidade, parceiros de dados, mídias sociais, fontes publicamente disponíveis.

### 3. A finalidade comercial ou de negócios para a coleta, venda ou compartilhamento

O aviso deve explicar para quê os dados são coletados, vendidos ou compartilhados (§ 1798.130(a)(5)(B)(iii)).

A CCPA/CPRA define "finalidade de negócios" (§ 1798.140(e)) com categorias específicas: auditoria de contagem de impressões de anúncios, garantia de segurança e integridade, depuração de erros, uso transacional de curto prazo, prestação de serviços em nome da empresa, publicidade e marketing (exceto publicidade comportamental contextual cruzada), pesquisa interna, e atividades de verificação de qualidade.

### 4. Categorias de terceiros com quem os dados são compartilhados

O aviso deve identificar as categorias de terceiros com quem a empresa compartilha dados pessoais dos consumidores (§ 1798.130(a)(5)(B)(iv)).

### 5. Lista de categorias vendidas ou compartilhadas nos 12 meses anteriores

O § 1798.130(a)(5)(C) exige que o aviso de privacidade inclua:

Uma lista das categorias de informações pessoais **vendidas ou compartilhadas** sobre consumidores nos 12 meses anteriores, por categoria; ou declaração de que a empresa não vendeu ou compartilhou informações pessoais nesse período.

Uma lista das categorias de informações pessoais **divulgadas para fins de negócios** nos 12 meses anteriores; ou declaração de que nenhuma divulgação ocorreu.

Essas duas listas devem ser mantidas separadas no aviso de privacidade.

### 6. Os direitos dos consumidores e como exercê-los

O aviso deve descrever os direitos garantidos pela CCPA/CPRA e os métodos designados para submissão de solicitações (§ 1798.130(a)(5)(A)):

Direito de saber e acessar (§ 1798.100, 1798.110, 1798.115).

Direito de exclusão (§ 1798.105).

Direito de correção de dados imprecisos (§ 1798.106).

Direito de opt-out da venda e compartilhamento (§ 1798.120).

Direito de limitar o uso de informações pessoais sensíveis (§ 1798.121).

Direito de não discriminação (§ 1798.125).

E os dois ou mais métodos designados para submissão de solicitações, incluindo no mínimo um número de telefone gratuito.

### 7. O período de retenção de cada categoria

O § 1798.100(a)(3) exige que, no ponto de coleta, a empresa informe o período de tempo que pretende reter cada categoria de informações pessoais, incluindo informações pessoais sensíveis, ou os critérios usados para determinar esse período.

A empresa não pode reter as informações pessoais de um consumidor além do razoavelmente necessário para a finalidade declarada.

## Os dois links obrigatórios na página inicial

O § 1798.135 exige que a Política de Privacidade mencione e o site disponibilize, de forma clara e conspícua:

**"Do Not Sell or Share My Personal Information":** link para uma página onde o consumidor pode exercer o opt-out da venda e do compartilhamento dos dados. O compartilhamento, definido como transferência para publicidade comportamental contextual cruzada, está incluído mesmo sem contrapartida monetária.

**"Limit the Use of My Sensitive Personal Information":** link que permite ao consumidor limitar o uso das informações pessoais sensíveis ao que é necessário para fornecer os produtos ou serviços razoavelmente esperados.

A empresa pode usar um único link combinado que permita exercer as duas opções claramente.

Alternativamente, a empresa pode honrar o sinal de preferência de opt-out do **Global Privacy Control (GPC)** quando enviado pelo consumidor, em vez de manter os links. Nesse caso, a Política deve informar que o site respeita o GPC.

## Divulgação de informações pessoais sensíveis

Se a empresa coleta informações pessoais sensíveis, o aviso de privacidade precisa informar expressamente essa prática (§ 1798.100(a)(2)).

Informações pessoais sensíveis sob a CCPA/CPRA (§ 1798.140(ae)) incluem: número de previdência social, carteira de motorista ou passaporte; login e credenciais de acesso a contas financeiras; geolocalização precisa; origem racial ou étnica, status de cidadania, crenças religiosas, filiação sindical; conteúdo de comunicações privadas (exceto quando a empresa é o destinatário); dados genéticos; dados neurais; dados biométricos para identificação; informações de saúde; informações sobre vida sexual ou orientação sexual.

Para cada categoria de informações sensíveis coletadas, a Política precisa explicar:

Para qual finalidade específica são coletadas.

Se são vendidas ou compartilhadas, e com quem.

Como o consumidor pode limitar seu uso (via link "Limit the Use of My Sensitive Personal Information" ou via GPC).

## O lookback de 12 meses

Uma característica específica da CCPA/CPRA é o lookback de 12 meses nas solicitações de acesso.

Quando um consumidor faz uma solicitação de acesso, a resposta deve cobrir o período de 12 meses anteriores ao recebimento da solicitação (§ 1798.130(a)(2)(B)).

Após a adoção de regulamentação específica, o consumidor pode solicitar informações além de 12 meses para dados coletados a partir de 1º de janeiro de 2022, se isso não for impossível ou envolver esforço desproporcional.

A Política de Privacidade deve mencionar esse lookback de 12 meses para deixar claro ao consumidor qual período está coberto pela sua solicitação.

## Métodos de submissão de solicitações: o 0800 é obrigatório

O § 1798.130(a)(1) exige dois ou mais métodos designados para submissão de solicitações, incluindo no mínimo um **número de telefone gratuito**.

Empresas que operam exclusivamente online com relação direta com o consumidor podem se limitar a um endereço de e-mail.

A empresa deve disponibilizar o site para submissão de solicitações se mantiver um site.

A empresa não pode exigir que o consumidor crie uma nova conta para exercer seus direitos. Pode exigir uso de conta existente.

Os dados coletados para verificação da identidade do consumidor podem ser usados apenas para essa finalidade, não para outros propósitos (§ 1798.130(a)(7)).

## Proteção para menores de 16 anos

Se a empresa pode ter consumidores menores de 16 anos, a Política de Privacidade deve descrever as proteções especiais aplicáveis:

Para consumidores entre 13 e 15 anos: a empresa não pode vender ou compartilhar dados sem autorização afirmativa do próprio consumidor (§ 1798.120(c)).

Para consumidores com menos de 13 anos: é necessária autorização do responsável legal.

A empresa que deliberadamente desconsidera a idade é tratada como tendo conhecimento real dela.

O [encarregado de dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) deve garantir que o processo de verificação de idade, quando aplicável, esteja operacional e documentado.

## O direito de ação privada e a Política de Privacidade

O § 1798.150 garante ao consumidor o direito de ação privada por violações de segurança, com danos de US$ 100 a US$ 750 por consumidor por incidente.

Antes de iniciar qualquer ação por danos estatutários, o consumidor deve notificar a empresa por escrito com 30 dias de antecedência. Se a empresa corrigir a violação dentro do prazo e fornecer declaração escrita de que não ocorrerão mais violações, nenhuma ação pode ser iniciada.

A Política de Privacidade deve mencionar esse direito e como o consumidor pode exercê-lo.

## A atualização anual obrigatória

O § 1798.130(a)(5) exige que o aviso de privacidade seja atualizado **pelo menos uma vez a cada 12 meses**.

Essa atualização deve refletir o que foi coletado, vendido, compartilhado e divulgado nos 12 meses anteriores. Não é suficiente manter um aviso genérico e desatualizado: a empresa precisa de um processo interno de revisão anual obrigatória.

Situações que exigem atualização imediata, além da revisão anual:

Adição de nova categoria de dados coletados.

Novos terceiros que recebem dados.

Mudança nas práticas de venda ou compartilhamento.

Novas finalidades de uso dos dados.

Qualquer alteração nos links de opt-out ou nos métodos de submissão.

## Fiscalização e penalidades

As violações da CCPA/CPRA são investigadas e aplicadas pela **California Privacy Protection Agency (CPPA)** e pelo **Attorney General da Califórnia**.

A CPPA pode aplicar multas administrativas de até **US$ 2.500 por violação** e até **US$ 7.500 por violação intencional** ou envolvendo menores. O Attorney General pode buscar penalidades civis nos mesmos valores.

Não há prazo garantido de correção antes de ações da CPPA. A agência tem discricionariedade para investigar sem obrigação de conceder prazo prévio.

## Como a AdOpt apoia a conformidade com a CCPA/CPRA

A AdOpt garante que o que está escrito na Política corresponde ao que acontece de fato no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros. A [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) garante que os mecanismos de opt-out e limitação de uso de dados sensíveis funcionem conforme descrito.

O GPC é respeitado automaticamente quando enviado pelo usuário. O log de cada interação fica documentado.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Privacidade do seu site em conformidade com a CCPA/CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que a Política de Privacidade precisa ter para a CCPA/CPRA

**Link visível e acessível** em todas as páginas do site.

**Atualizada pelo menos uma vez a cada 12 meses** (§ 1798.130(a)(5)).

**Categorias de informações pessoais coletadas** nos 12 meses anteriores (§ 1798.130(a)(5)(B)(i)).

**Categorias de fontes** das informações pessoais (§ 1798.130(a)(5)(B)(ii)).

**Finalidade comercial ou de negócios** para coleta, venda ou compartilhamento (§ 1798.130(a)(5)(B)(iii)).

**Categorias de terceiros** com quem os dados são compartilhados (§ 1798.130(a)(5)(B)(iv)).

**Lista de categorias vendidas ou compartilhadas** nos 12 meses anteriores (§ 1798.130(a)(5)(C)(i)).

**Lista de categorias divulgadas para fins de negócios** nos 12 meses anteriores (§ 1798.130(a)(5)(C)(ii)).

**Direitos dos consumidores** e como exercê-los, com processo e prazos (§ 1798.130(a)(5)(A)).

**Dois ou mais métodos de submissão**, incluindo número de telefone gratuito (§ 1798.130(a)(1)).

**Link "Do Not Sell or Share My Personal Information"** ou declaração de honrar o GPC (§ 1798.135).

**Link "Limit the Use of My Sensitive Personal Information"** quando aplicável (§ 1798.121, 1798.135).

**Categorias de informações pessoais sensíveis** coletadas, quando aplicável (§ 1798.100(a)(2)).

**Período de retenção** de cada categoria de dados (§ 1798.100(a)(3)).

**Lookback de 12 meses** para solicitações de acesso mencionado (§ 1798.130(a)(2)(B)).

**Direito de ação privada** por violações de segurança mencionado (§ 1798.150).

**Proteção para menores** de 13 a 15 anos e menores de 13 (§ 1798.120(c)).

**Política de não discriminação** para consumidores que exercem seus direitos (§ 1798.125).

## FAQ: CCPA/CPRA e Política de Privacidade

**1. Com que frequência a Política de Privacidade precisa ser atualizada pela CCPA/CPRA?**
Pelo menos uma vez a cada 12 meses, conforme § 1798.130(a)(5). Isso é diferente de apenas atualizar quando há mudanças materiais. A empresa precisa de um processo de revisão anual obrigatória, e as listas de categorias vendidas, compartilhadas e divulgadas nos 12 meses anteriores precisam ser atualizadas regularmente.

**2. O que é o "lookback de 12 meses" e como ele afeta a Política de Privacidade?**
O § 1798.130(a)(2)(B) determina que a resposta a uma solicitação de acesso do consumidor deve cobrir os 12 meses anteriores ao recebimento da solicitação. A Política de Privacidade deve mencionar esse período para que o consumidor saiba qual janela temporal está coberta pela sua solicitação.

**3. A Política de Privacidade precisa mencionar o direito de ação privada da CCPA?**
Sim. O § 1798.150 garante ao consumidor o direito de entrar com ação judicial por violações de segurança de dados. A Política deve mencionar esse direito e o processo: o consumidor precisa notificar a empresa por escrito com 30 dias de antecedência antes de iniciar ação por danos estatutários.

**4. O número de telefone gratuito é realmente obrigatório?**
Sim. O § 1798.130(a)(1) exige que a empresa disponibilize dois ou mais métodos designados para submissão de solicitações, incluindo no mínimo um número de telefone gratuito. A exceção são empresas que operam exclusivamente online com relação direta com o consumidor, que podem se limitar a um endereço de e-mail.

**5. O que a CPRA adicionou que ainda não estava na CCPA original?**
A CPRA adicionou: direito de correção de dados imprecisos (§ 1798.106), direito de limitar o uso de informações pessoais sensíveis (§ 1798.121), link obrigatório "Limit the Use of My Sensitive Personal Information", a distinção entre "venda" e "compartilhamento" para publicidade comportamental, a expansão da definição de informações sensíveis (incluindo dados neurais), e exigências de minimização de dados e retenção proporcionada. Tudo isso precisa estar refletido na Política de Privacidade.

[Pronto para estruturar a Política de Privacidade do seu site em conformidade com a CCPA/CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


California CCPA: Política de Privacidade

Quando um site instala um pixel de publicidade, esse pixel coleta dados sobre o comportamento do usuário e os envia para a plataforma de anúncios. Isso configura "compartilhamento" de dados para publicidade comportamental contextual cruzada sob o California Consumer Privacy Act (CCPA), conforme emendado pelo California Privacy Rights Act (CPRA). E compartilhamento exige opt-out.

Esta página cobre uma parte do quadro. Para o escopo completo da CCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CCPA e cookies](https://goadopt.io/blog/ccpa-california-e-cookies-tudo-o-que-voce-precisa-saber/).

Este artigo foca exclusivamente no que a CCPA exige da Política de Cookies: o que precisa estar no documento, como o consentimento e o opt-out precisam funcionar, e o que os requisitos específicos da lei implicam para cada rastreador do seu site.

## Política de Cookies x banner de cookies: a distinção necessária

O [banner de cookies](https://goadopt.io/blog/banner-de-cookies/) é a interface visual. É o que o visitante vê ao acessar o site e onde faz escolhas sobre o que aceita.

A Política de Cookies é o documento detalhado. É onde o usuário encontra informações completas sobre cada tecnologia que opera no site: o que coleta, para quê serve, com quem os dados são compartilhados, por quanto tempo ficam retidos, e como exercer os direitos.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política de Cookies precisa ser acessível pelo link no próprio [aviso de consentimento](https://goadopt.io/blog/por-que-do-aviso-de-cookies/).

## "Venda" e "compartilhamento" de dados via cookies

A distinção criada pela CPRA é fundamental para entender o que a CCPA exige no contexto de cookies.

**Venda** (§ 1798.140(ad)): transferência de dados por contrapartida monetária ou outro valor valioso a terceiros.

**Compartilhamento** (§ 1798.140(ah)): transferência de dados para publicidade comportamental contextual cruzada, com ou sem contrapartida monetária.

Publicidade comportamental contextual cruzada (§ 1798.140(k)) são anúncios baseados em dados obtidos das atividades do consumidor em diferentes empresas, sites e aplicações de marcas distintas.

Na prática, se o seu site tem um pixel que leva dados do comportamento do usuário para uma plataforma de anúncios para exibir anúncios em outros sites, isso é "compartilhamento" sob a CCPA/CPRA, mesmo que você não receba dinheiro diretamente por isso. E compartilhamento exige:

O link "Do Not Sell or Share My Personal Information" na página inicial.

Divulgação clara e conspícua no aviso de privacidade.

Respeito ao opt-out quando exercido.

## O que a CCPA/CPRA exige especificamente para cookies

### Finalidade específica para cada categoria

O § 1798.100(a)(1) exige que a empresa informe, no ponto de coleta, as categorias de dados coletados e as finalidades para as quais são coletados ou usados, e se essas informações são vendidas ou compartilhadas.

Para cookies, isso significa que cada categoria de rastreador precisa ter descrição de finalidade específica. Não funciona escrever "cookies para melhorar sua experiência". Não é uma finalidade.

O que funciona:

"Cookies de analytics: coletam dados de comportamento de navegação, incluindo páginas visitadas, origem do tráfego e duração de sessões. Utilizados para identificar oportunidades de melhoria de conteúdo. Esses dados não são vendidos ou compartilhados com terceiros para publicidade."

"Cookies de publicidade: coletam identificadores de comportamento de navegação que são compartilhados com plataformas de anúncios para publicidade comportamental contextual cruzada. Os dados são compartilhados com parceiros como Meta Ads e Google Ads. Os consumidores podem exercer o opt-out pelo link 'Do Not Sell or Share My Personal Information'."

### As categorias de cookies presentes no site

A Política precisa listar as categorias de rastreadores:

**Cookies necessários:** essenciais para o funcionamento básico. Não configuram venda ou compartilhamento e não precisam do link de opt-out. Mas precisam estar documentados.

**Cookies de analytics:** dependem da configuração. Se os dados ficam apenas nos sistemas da empresa e não são enviados a terceiros para fins de targeting, geralmente não configuram "venda" ou "compartilhamento". Mas a maioria das ferramentas de analytics de grandes plataformas envia dados para o provedor, o que pode configurar divulgação para fins de negócios.

**Cookies de publicidade e retargeting:** quase sempre configuram "compartilhamento" sob a CCPA/CPRA. Meta Pixel, Google Ads, TikTok Pixel, pixels de DSPs programáticas: todos enviam dados para plataformas que usam esses dados para exibir anúncios comportamentais ao usuário em outros sites.

**Cookies funcionais:** lembram preferências do usuário. Geralmente não configuram venda ou compartilhamento se os dados ficam internos.

**Cookies de terceiros:** disparados por serviços externos. A [categorização correta de tags](https://goadopt.io/blog/boas-praticas-na-categorizacao-de-tags/) é o que permite documentar cada um com precisão.

### Com quem os dados de cookies são compartilhados

A Política precisa identificar as categorias de terceiros que recebem dados via cookies.

O § 1798.115(a) exige que, quando o consumidor solicita, a empresa divulgue as categorias de terceiros para quem vendeu ou compartilhou dados, por categoria de dado.

Para cookies, isso significa documentar que, por exemplo: dados de comportamento de navegação foram compartilhados com plataformas de anúncios digitais; dados de sessão foram divulgados a prestadores de serviços de analytics; identificadores de usuário foram compartilhados com redes de anúncios programáticos.

### Período de retenção de cada categoria

O § 1798.100(a)(3) exige que a empresa informe o período de tempo que pretende reter cada categoria de dado, ou os critérios usados para determinar esse período.

Para cookies, a Política deve documentar:

Por quanto tempo cada cookie fica ativo no dispositivo do usuário.

Por quanto tempo os dados coletados via cookie são retidos nos sistemas da empresa.

Se e quando os dados são excluídos.

## O Global Privacy Control (GPC): como tratar no contexto de cookies

O § 1798.135(b) permite que a empresa cumpra os requisitos de opt-out honrando o sinal de preferência de opt-out enviado por plataformas, tecnologias ou mecanismos com o consentimento do consumidor.

O Global Privacy Control (GPC) é o mecanismo mais conhecido que implementa essa funcionalidade. Quando o usuário ativa o GPC no navegador, o site deve interpretar esse sinal como opt-out de venda e compartilhamento.

A Política de Cookies deve mencionar se o site respeita o GPC e como esse mecanismo funciona.

Uma [plataforma de gestão de consentimentos](https://goadopt.io/blog/como-escolher-cmp-plataforma-gestao-consentimentos/) configurada corretamente detecta e honra o GPC automaticamente.

## O link "Limit the Use of My Sensitive Personal Information" e os cookies

Dados de geolocalização precisa (raio de 1.850 pés ou menos) são informações pessoais sensíveis sob a CCPA/CPRA (§ 1798.140(ae)(1)(C)).

Se o site coleta dados de geolocalização precisa via cookies ou scripts de localização para fins além do necessário para fornecer o produto ou serviço solicitado, o consumidor tem o direito de limitar esse uso via o link "Limit the Use of My Sensitive Personal Information" (§ 1798.121).

A Política de Cookies precisa identificar se dados de geolocalização precisa são coletados, para quê são usados, e como o consumidor pode limitar esse uso.

## Proteção especial para menores de 16 anos

O § 1798.120(c) proíbe a venda ou compartilhamento de dados de consumidores com menos de 16 anos sem autorização afirmativa.

Para consumidores entre 13 e 15 anos: a própria autorização do consumidor.

Para consumidores com menos de 13 anos: autorização do responsável legal.

Se o site pode ter usuários menores de 16 anos, a Política de Cookies precisa descrever como dados desses usuários são tratados de forma diferenciada, incluindo como cookies de publicidade são bloqueados sem a autorização adequada.

## Quando atualizar a Política de Cookies

O § 1798.130(a)(5) exige atualização do aviso de privacidade pelo menos uma vez a cada 12 meses. Para a Política de Cookies, isso significa revisão anual obrigatória.

Situações que exigem atualização imediata:

Adição de novo pixel de publicidade.

Nova ferramenta de analytics que envia dados a terceiros.

Novo plugin de chat ou suporte.

Nova integração com CRM ou plataforma de e-mail.

Qualquer parceiro novo que receba dados comportamentais.

O [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/) contínuo é o que mantém o inventário de cookies sincronizado com o documento.

## A anti-evasão da CCPA/CPRA

O § 1798.190 prevê que transações ou séries de etapas criadas intencionalmente para evitar a definição de "venda" ou "compartilhamento", incluindo eliminar a contrapartida monetária para se esquivar da lei, serão desconsideradas.

Isso significa que estruturar acordos de troca de dados sem contrapartida monetária para evitar o opt-out não é uma estratégia válida. A CCPA/CPRA olha para a substância da transação, não apenas para a forma.

## Fiscalização e penalidades

A **California Privacy Protection Agency (CPPA)** pode aplicar multas administrativas de até **US$ 2.500 por violação** e até **US$ 7.500 por violação intencional** ou envolvendo menores. O **Attorney General** pode buscar penalidades civis nos mesmos valores.

Não há prazo garantido de correção antes de ações da CPPA. A agência tem discricionariedade para investigar e agir.

Além disso, o § 1798.150 garante ao consumidor o direito de ação privada por violações de segurança: de US$ 100 a US$ 750 por consumidor por incidente.

## Como a AdOpt ajuda com a Política de Cookies sob a CCPA/CPRA

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política de Cookies.

O [aviso de cookies](https://goadopt.io/blog/por-que-do-aviso-de-cookies/) configurado pela AdOpt bloqueia rastreadores não essenciais antes do aceite, apresenta categorias com descrições claras, oferece opções reais de opt-out, respeita o GPC automaticamente, e documenta cada interação para auditoria.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar a Política de Cookies do seu site em conformidade com a CCPA/CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que sua Política de Cookies precisa ter para a CCPA/CPRA

**Link visível** no rodapé e no próprio banner de cookies.

**Listagem de categorias de cookies** com descrição do que cada uma faz.

**Finalidade específica** para cada categoria, incluindo declaração se os dados são vendidos ou compartilhados.

**Identificação de cookies que configuram "venda" ou "compartilhamento"** conforme definição da CCPA/CPRA.

**Categorias de terceiros** que recebem dados via cookies.

**Link "Do Not Sell or Share My Personal Information"** na página inicial quando há venda ou compartilhamento.

**Link "Limit the Use of My Sensitive Personal Information"** quando dados de geolocalização precisa são coletados para fins além do necessário.

**Global Privacy Control (GPC):** declaração de que o site respeita o sinal quando enviado pelo usuário.

**Período de retenção** de cada categoria de cookie.

**Proteção para menores** de 13 a 15 anos e menores de 13 anos.

**Atualização anual** obrigatória do documento.

**Idioma acessível**, sem juridiquês.

**Ausência de design manipulativo** (dark patterns) nos mecanismos de opt-out.

## FAQ: CCPA/CPRA e Política de Cookies

**1. Um pixel de publicidade sempre configura "compartilhamento" sob a CCPA/CPRA?**
Quase sempre, sim. A CCPA/CPRA define "compartilhamento" como transferência de dados para publicidade comportamental contextual cruzada, com ou sem contrapartida monetária. Um pixel que envia dados de comportamento do usuário no seu site para uma plataforma que usa esses dados para exibir anúncios ao mesmo usuário em outros sites configura compartilhamento. O site precisa do link "Do Not Sell or Share My Personal Information" e deve honrar o opt-out.

**2. O Google Analytics configura "compartilhamento" sob a CCPA/CPRA?**
Depende da configuração. O Google Analytics na configuração padrão envia dados para o Google, que tem suas próprias políticas de uso. Se esses dados são usados pelo Google para targeting de anúncios em outros sites (o que pode ocorrer dependendo das configurações), há risco de configurar compartilhamento. A abordagem mais segura é usar o GA com configurações de privacidade reforçadas e verificar os termos de processamento de dados com o Google.

**3. O que é o Global Privacy Control (GPC) e o site precisa respeitá-lo?**
O GPC é um sinal de navegador que o usuário pode ativar para indicar sua preferência de opt-out de venda e compartilhamento de dados. O § 1798.135(b) permite que a empresa cumpra os requisitos de opt-out honrando o GPC, em vez de manter os links "Do Not Sell or Share" e "Limit Sensitive PI" no site. Ambas as abordagens são válidas: links visíveis no site ou honrar o GPC. A empresa pode escolher uma das duas estratégias.

**4. Cookies de analytics precisam do link "Do Not Sell or Share" na CCPA/CPRA?**
Depende de como os dados são usados. Se os dados do analytics ficam apenas nos sistemas da empresa e não são enviados a terceiros para fins de targeting, geralmente não configuram "venda" ou "compartilhamento". Mas se a ferramenta de analytics é de um grande provedor que pode usar os dados para outros fins, incluindo targeting, há risco. Consultar os termos de processamento de dados da ferramenta é essencial.

**5. O que acontece se o consumidor exercer o opt-out e o site continuar compartilhando dados?**
A continuação da venda ou compartilhamento após opt-out é uma violação direta do § 1798.120(d). A CPPA pode investigar e aplicar multas de até US$ 2.500 por violação ou US$ 7.500 por violação intencional. Além disso, o consumidor afetado pode ter base para ação judicial. A empresa deve aguardar pelo menos 12 meses antes de solicitar novamente o consentimento do consumidor para venda ou compartilhamento.

[Pronto para estruturar a Política de Cookies do seu site em conformidade com a CCPA/CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)


California CCPA: Política de Cookies

Saiba o que é uma DSAR sob a CCPA/CPRA, quais são os direitos garantidos, como estruturar o Portal do Titular, os prazos exatos, e o que acontece quando a empresa não cumpre.

Esta página cobre uma parte do quadro. Para o escopo completo da CCPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo [guia completo da CCPA e cookies](https://goadopt.io/blog/ccpa-california-e-cookies-tudo-o-que-voce-precisa-saber/).

## O que é uma DSAR sob a CCPA/CPRA?

DSAR é a sigla para Data Subject Access Request, ou Solicitação do Consumidor na linguagem da CCPA. É qualquer pedido formal de um residente da Califórnia para exercer os direitos que a lei garante sobre os próprios dados.

Sob a CCPA/CPRA, o consumidor pode fazer solicitações verificáveis para exercer seis direitos principais, mais o direito de ação privada por violações de segurança, que tem fluxo próprio.

Se você já conhece a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), a estrutura do Portal do Titular é familiar. A CCPA/CPRA usa o termo "verifiable consumer request" para descrever solicitações autenticadas.

## Quais são os direitos dos consumidores sob a CCPA/CPRA?

### 1. Direito de saber e acessar (§ 1798.110, 1798.115)

O consumidor pode solicitar que a empresa confirme se processa seus dados e divulgue:

As categorias de informações pessoais coletadas.

As categorias de fontes.

A finalidade comercial ou de negócios para coleta, venda ou compartilhamento.

As categorias de terceiros com quem os dados foram compartilhados.

As **peças específicas** de informações pessoais coletadas sobre o consumidor.

A resposta deve cobrir os **12 meses anteriores** ao recebimento da solicitação.

Se a empresa vende ou compartilha dados, a solicitação também cobre:

As categorias de dados vendidos ou compartilhados, por categoria de terceiro.

As categorias de dados divulgados para fins de negócios, separadamente.

### 2. Direito de exclusão (§ 1798.105)

O consumidor pode solicitar a exclusão de qualquer informação pessoal que a empresa coletou sobre ele.

A empresa deve excluir os dados dos próprios registros e **notificar prestadores de serviço, contratistas e terceiros** para também excluirem, a menos que isso seja impossível ou envolva esforço desproporcional.

A empresa pode manter um registro confidencial de solicitações de exclusão apenas para evitar que o dado do consumidor que pediu exclusão seja revendido.

Há exceções que permitem reter os dados mesmo após solicitação de exclusão, incluindo: completar transações em andamento, garantir segurança, depurar erros, exercer liberdade de expressão, cumprir a lei, realizar pesquisa pública aprovada, e cumprir obrigação legal.

### 3. Direito de correção (§ 1798.106)

Adicionado pela CPRA. O consumidor pode solicitar que a empresa corrija informações pessoais imprecisas, considerando a natureza dos dados e os propósitos do processamento.

A empresa deve usar esforços comercialmente razoáveis para corrigir os dados conforme instruído pelo consumidor.

### 4. Direito de opt-out da venda e compartilhamento (§ 1798.120)

O consumidor pode, a qualquer momento, ordenar à empresa que não venda ou compartilhe suas informações pessoais com terceiros.

Após receber a direção do consumidor, a empresa não pode vender ou compartilhar os dados a menos que o consumidor posteriormente forneça consentimento.

A empresa deve aguardar pelo menos **12 meses** antes de solicitar novamente que o consumidor autorize a venda ou compartilhamento (§ 1798.135(c)(4)).

Para consumidores menores de 16 anos que não consentiram com a venda ou compartilhamento, a empresa deve aguardar pelo menos **12 meses** antes de solicitar o consentimento novamente, ou até o consumidor completar 16 anos (§ 1798.135(c)(5)).

### 5. Direito de limitar o uso de informações pessoais sensíveis (§ 1798.121)

Adicionado pela CPRA. O consumidor pode ordenar à empresa que limite o uso das informações pessoais sensíveis ao que é necessário para fornecer os produtos ou serviços razoavelmente esperados.

Após receber a direção do consumidor, a empresa não pode usar as informações sensíveis para outros fins a menos que o consumidor forneça novo consentimento.

### 6. Direito de não discriminação (§ 1798.125)

O consumidor não pode ser discriminado por exercer qualquer direito garantido pela CCPA/CPRA. A empresa não pode negar produtos ou serviços, cobrar preços diferentes, oferecer qualidade inferior, ou sugerir tratamento diferenciado.

A exceção são programas de incentivo financeiro voluntários onde a diferença de preço ou qualidade está razoavelmente relacionada ao valor que os dados representam para a empresa.

### O direito de ação privada por violações de segurança (§ 1798.150)

Esse direito tem um fluxo diferente dos demais. O consumidor cujos dados não criptografados e não redigidos forem acessados ou expostos em uma violação de segurança pode entrar com ação judicial para recuperar de **US$ 100 a US$ 750** por consumidor por incidente, ou danos reais quando maiores, além de medidas cautelares.

Antes de iniciar qualquer ação por danos estatutários, o consumidor deve notificar a empresa por escrito com **30 dias de antecedência**, identificando as violações específicas. Se a empresa corrigir dentro do prazo e fornecer declaração escrita de que não ocorrerão mais violações, nenhuma ação pode ser iniciada.

## Quais são os prazos para responder?

A CCPA/CPRA é específica nos prazos.

**45 dias** a partir do recebimento de uma solicitação verificável do consumidor (§ 1798.130(a)(2)(A)).

O prazo pode ser estendido por mais **45 dias** quando razoavelmente necessário, considerando a complexidade e o número de solicitações, desde que o consumidor seja notificado dentro do prazo inicial com a justificativa e a razão do atraso (§ 1798.145(h)(1)).

O atendimento é gratuito. A empresa não é obrigada a atender ao mesmo consumidor mais de **duas vezes em um período de 12 meses** (§ 1798.130(b)).

## O que é uma "solicitação verificável do consumidor"?

A CCPA/CPRA usa o termo "verifiable consumer request" (§ 1798.140(ak)) para descrever solicitações que a empresa pode verificar que foram feitas pelo próprio consumidor, por um filho menor, por representante autorizado, ou por detentor de procuração.

A empresa pode autenticar a solicitação usando métodos comercialmente razoáveis. Pode exigir autenticação proporcional à natureza das informações solicitadas, mas não pode exigir que o consumidor crie uma nova conta para fazer a solicitação. Se o consumidor já tem conta, pode exigir o uso dela.

Os dados coletados para verificação de identidade só podem ser usados para essa finalidade, não para outros propósitos (§ 1798.130(a)(7)).

## Como deve ser o canal para submissão de solicitações

O § 1798.130(a)(1) exige dois ou mais métodos designados para submissão de solicitações, incluindo no mínimo um **número de telefone gratuito**.

Empresas que operam exclusivamente online com relação direta com o consumidor podem se limitar a um endereço de e-mail.

Se a empresa mantém um site, deve disponibilizá-lo como canal de submissão.

A empresa não pode exigir que o consumidor crie uma nova conta, mas pode exigir uso de conta existente.

Um Portal do Titular estruturado oferece:

Formulário de submissão com categorias claras (saber/acessar, excluir, corrigir, opt-out de venda/compartilhamento, limitar uso de dados sensíveis).

Processo de verificação de identidade proporcional e não discriminatório.

Confirmação automática de recebimento.

Registro de cada solicitação, ação tomada e resposta enviada.

## Solicitações de representantes autorizados

O consumidor pode autorizar outra pessoa a exercer os direitos em seu nome, incluindo por meio do sinal de preferência de opt-out do GPC (§ 1798.135(e)).

Um agente autorizado pode submeter solicitações. A empresa pode exigir prova de que o agente foi devidamente autorizado pelo consumidor.

Pais ou responsáveis podem exercer direitos em nome de filhos menores.

## Gratuidade: o que a lei determina

O atendimento é gratuito (§ 1798.130(a)(2)(A)). Mas a empresa não é obrigada a fornecer as mesmas informações ao mesmo consumidor mais de **duas vezes em um período de 12 meses** (§ 1798.130(b)).

Para solicitações manifestamente infundadas, excessivas ou repetitivas, a empresa pode cobrar taxa razoável pelos custos administrativos ou recusar. O ônus de demonstrar o caráter excessivo é da empresa (§ 1798.145(h)(3)).

## Como processar cada tipo de DSAR na prática

### Solicitação de acesso e informação

Receba e autentique a identidade do consumidor.

Localize todos os dados pessoais coletados sobre esse consumidor nos 12 meses anteriores em todos os sistemas.

Prepare resposta cobrindo: categorias de dados, categorias de fontes, finalidades, categorias de terceiros, e as peças específicas de informação.

Se a empresa vendeu ou compartilhou dados: liste por categoria de dado e categoria de terceiro (em listas separadas para "vendidos/compartilhados" e "divulgados para fins de negócios").

Entregue em formato prontamente utilizável que permita transmissão de uma entidade para outra sem obstáculos.

Envie dentro do prazo de 45 dias.

### Solicitação de exclusão

Receba e autentique.

Verifique se há exceção legal que permita reter os dados.

Se não houver exceção: exclua dos próprios registros e notifique prestadores de serviço, contratistas e terceiros para também excluírem.

Mantenha apenas o registro confidencial da solicitação para evitar futura revenda.

Confirme ao consumidor.

### Solicitação de correção

Receba e autentique.

Identifique qual dado está impreciso e em quais sistemas está armazenado.

Use esforços comercialmente razoáveis para corrigir conforme instruído pelo consumidor.

Confirme a correção.

Se a solicitação for de correção de informações de saúde e a empresa rejeitar por considerar os dados precisos, o consumidor tem o direito de incluir um adendo de até 250 palavras ao registro.

### Solicitação de opt-out de venda e compartilhamento

Receba a solicitação (pode ser via link "Do Not Sell or Share", via GPC, ou via representante autorizado).

Cesse imediatamente a venda e o compartilhamento dos dados desse consumidor.

Não solicite novamente o consentimento por pelo menos 12 meses.

Notifique quaisquer terceiros que receberam os dados recentemente sobre o opt-out.

### Solicitação de limitação de uso de dados sensíveis

Receba via link "Limit the Use of My Sensitive Personal Information" ou outro mecanismo.

Cesse o uso das informações pessoais sensíveis do consumidor para fins além do necessário para fornecer os produtos ou serviços razoavelmente esperados.

Notifique prestadores de serviço sobre a limitação para que também cessem usos não autorizados.

## Proteção contra discriminação

O § 1798.125 proíbe expressamente que a empresa discrimine consumidores que exercem seus direitos. A empresa não pode:

Negar produtos ou serviços.

Cobrar preços ou taxas diferentes.

Fornecer qualidade diferente de produtos ou serviços.

Sugerir que o consumidor receberá tratamento diferenciado.

Retaliar funcionários, candidatos a emprego, ou contratistas independentes que exercem seus direitos.

A exceção são programas de incentivos financeiros voluntários. A empresa pode oferecer compensação financeira, descontos ou benefícios em troca do uso dos dados, desde que o consumidor consinta expressamente e os incentivos não sejam injustos, irrazoáveis, coercitivos ou abusivos.

## Documentação e registros

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de solicitação.

Processo de autenticação realizado.

Ação tomada.

Data e forma de resposta ao consumidor.

Em caso de recusa: justificativa registrada.

Essa documentação é o que protege a empresa em caso de investigação da CPPA ou do Attorney General.

## A fiscalização compartilhada: CPPA e Attorney General

A **California Privacy Protection Agency (CPPA)** tem poder administrativo para:

Investigar empresas por conta própria ou com base em reclamações.

Aplicar multas de até **US$ 2.500 por violação** e até **US$ 7.500 por violação intencional** ou envolvendo menores.

O **Attorney General da Califórnia** pode buscar penalidades civis nos mesmos valores em ação civil.

Não há prazo garantido de correção antes de ações da CPPA. A agência decide por discricionariedade se e quando inicia uma investigação.

## Como a AdOpt ajuda com o Portal do Titular

A AdOpt registra cada interação de consentimento, opt-out e limitação de uso com timestamp e identificador único. Quando o consumidor exerce o opt-out de venda e compartilhamento, o sistema atualiza automaticamente os rastreadores correspondentes.

O GPC é respeitado automaticamente. O log auditável da AdOpt serve como evidência de conformidade. E quando a legislação muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

[Quer estruturar o Portal do Titular do seu site em conformidade com a CCPA/CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)

## Checklist: o que o Portal do Titular precisa ter para a CCPA/CPRA

**Dois ou mais métodos de submissão**, incluindo número de telefone gratuito (§ 1798.130(a)(1)).

**Site disponível** como canal de submissão se a empresa mantém um site.

**Cobertura dos 6 direitos** da CCPA/CPRA: acesso/informação, exclusão, correção, opt-out de venda/compartilhamento, limitação de dados sensíveis, e não discriminação.

**Lookback de 12 meses** para solicitações de acesso (§ 1798.130(a)(2)(B)).

**Prazo de 45 dias** para resposta, com extensão de +45 dias com notificação (§ 1798.130(a)(2)(A)).

**Atendimento gratuito** mas limitado a duas vezes por consumidor em 12 meses (§ 1798.130(b)).

**Processo de autenticação** proporcional à natureza dos dados, sem exigência de nova conta.

**Aceitação de solicitações de representantes** autorizados, incluindo pais de menores.

**Link "Do Not Sell or Share My Personal Information"** no site quando há venda ou compartilhamento.

**Link "Limit the Use of My Sensitive Personal Information"** quando aplicável.

**Respeito ao GPC** quando enviado pelo usuário.

**Prazo de 12 meses** antes de solicitar novamente consentimento após opt-out.

**Notificação de terceiros** para exclusão dos dados quando a solicitação de exclusão é atendida.

**Registro confidencial** de solicitações de exclusão para garantir não-revenda.

**Documentação** de cada solicitação, ação e resposta.

## Comparativo: prazos do Portal do Titular na CCPA/CPRA

| Tipo de solicitação | Prazo de resposta | Extensão possível |
|---|---|---|
| Acesso/informação, exclusão, correção | 45 dias | +45 dias com notificação |
| Opt-out de venda/compartilhamento | Imediato após recebimento | Não se aplica |
| Limitação de dados sensíveis | Imediato após recebimento | Não se aplica |
| Recontato após opt-out | 12 meses mínimo | Não há extensão |
| Notificação pré-ação privada (segurança) | 30 dias para empresa corrigir | Não há extensão |

## FAQ: CCPA/CPRA e Portal do Titular

**1. A CCPA exige um número de telefone gratuito para o Portal do Titular?**
Sim. O § 1798.130(a)(1) exige que a empresa disponibilize dois ou mais métodos designados para submissão de solicitações, incluindo no mínimo um número de telefone gratuito. A exceção são empresas que operam exclusivamente online com relação direta com o consumidor, que podem se limitar a um endereço de e-mail. Para a maioria das empresas com um site, o número gratuito é obrigatório.

**2. O que é o "lookback de 12 meses" e como ele afeta as solicitações de acesso?**
O § 1798.130(a)(2)(B) determina que a resposta a uma solicitação de acesso deve cobrir os 12 meses anteriores ao recebimento da solicitação. Isso significa que o Portal do Titular precisa ser capaz de recuperar dados coletados nos 12 meses anteriores à data de cada solicitação, o que exige sistemas de rastreamento e retenção adequados.

**3. Quantas vezes por ano a empresa precisa atender gratuitamente?**
Duas vezes em um período de 12 meses por consumidor, conforme § 1798.130(b). Para solicitações além desse limite, ou que sejam manifestamente infundadas ou repetitivas, a empresa pode cobrar taxa razoável pelos custos administrativos ou recusar, demonstrando o caráter excessivo.

**4. Como funciona o direito de ação privada na CCPA e o que o Portal do Titular tem a ver com isso?**
O § 1798.150 garante ao consumidor o direito de entrar com ação por violações de segurança de dados. Antes de iniciar ação por danos estatutários, o consumidor deve notificar a empresa por escrito com 30 dias de antecedência. O Portal do Titular deve ser o canal por onde essas notificações são recebidas e processadas. Se a empresa corrigir dentro do prazo e fornecer declaração escrita adequada, nenhuma ação pode ser iniciada.

**5. A empresa precisa notificar terceiros quando atende a uma solicitação de exclusão?**
Sim. O § 1798.105(c)(1) exige que a empresa notifique qualquer prestador de serviço ou contratista para excluir os dados, e também notifique todos os terceiros para quem os dados foram vendidos ou compartilhados, a menos que isso seja impossível ou envolva esforço desproporcional. A empresa também pode manter um registro confidencial da solicitação de exclusão apenas para garantir que os dados do consumidor que pediu exclusão não sejam revendidos.

[Pronto para estruturar o Portal do Titular do seu site em conformidade com a CCPA/CPRA? Fale com a nossa equipe.](https://meetings.hubspot.com/vrumor/adopt-meeting-valquiria)
