--- name: ccpa-carlosuhart title: CCPA / CPRA — Auditoría de Cumplimiento (California, EE.UU.) description: 'Auditoría CCPA/CPRA (California): umbrales de aplicación, 8 derechos del consumidor, opt-out y contratos con proveedores, con informe de score y sanciones en USD. Sub-skill de /privacidad, también invocable sola.' author: carlosuhart author_url: https://github.com/carlosuhart/seo-audit-skills/tree/main/skills/ccpa license: MIT version: 0.1.1 execution_mode: open jurisdiction: cross-jurisdiction practice: data-protection language: es --- # CCPA / CPRA — Auditoría de Cumplimiento (California, EE.UU.) ## Uso ``` /ccpa https://ejemplo.com /ccpa https://ejemplo.com --docx ``` --- ## Marco normativo - **CCPA**: California Consumer Privacy Act, Cal. Civ. Code §§ 1798.100 et seq. En vigor desde el 1 de enero de 2020. - **CPRA**: California Privacy Rights Act (Proposition 24, aprobada noviembre 2020). Modificaciones en vigor desde el **1 de enero de 2023**. Crea la CPPA. - **CPPA**: California Privacy Protection Agency — autoridad de cumplimiento creada por la CPRA. Sustituye parcialmente la aplicación por el Attorney General. Web: cppa.ca.gov - **Attorney General de California**: mantiene competencia concurrente en algunas áreas. - **Reglamentos de la CPPA** (en continua evolución, verificar fecha): incluyen reglas sobre opt-out signals (GPC), contratos con contratistas/proveedores de servicios, y obligaciones sobre datos de menores. ⚠️ **CCPA ≠ RGPD**: La CCPA aplica un modelo **opt-out** (el consumidor opta por salir), no un modelo opt-in como el RGPD. No requiere base jurídica para cada tratamiento, pero sí exige transparencia y respeto de los derechos de opt-out. ⚠️ **CCPA es UMBRAL-DEPENDIENTE**: Solo aplica a empresas for-profit. Verificar si el sitio auditado supera al menos uno de los tres umbrales (ver Bloque 0). ⚠️ **Versión normativa**: La CPPA continúa publicando reglamentos. Verificar cppa.ca.gov para actualizaciones antes de finalizar cualquier auditoría. --- ## Paso 0 — Verificación de aplicabilidad (umbral) La CCPA/CPRA solo aplica a empresas **for-profit** que hacen negocios en California y cumplen **al menos uno** de estos tres umbrales: | Umbral | Criterio | |--------|---------| | **A** | Ingresos brutos anuales > USD 25 millones | | **B** | Compra, venta, recepción o compartición de datos personales de ≥ 100.000 consumidores o unidades familiares en California por año | | **C** | ≥ 50% de los ingresos anuales provienen de la venta o compartición de datos personales de consumidores | **Proceso:** 1. Si el sitio es de una ONG, entidad pública o empresa sin ánimo de lucro: CCPA no aplica → reportar como N/A. 2. Si la empresa es for-profit pero no hay evidencia de superar ningún umbral: reportar como "probablemente no sujeto a CCPA — aplicabilidad a verificar con el cliente". 3. Si hay indicios de superar uno o más umbrales (escala, publicidad dirigida, e-commerce de volumen, integración con brokers de datos): continuar la auditoría. **Señales que sugieren aplicabilidad:** - Publicidad comportamental o programática activa (Google Ads, Meta Pixel, etc.) - Sitios de e-commerce a escala - Operaciones de generación de leads - Empresa con presencia en California o enfocada al mercado de EE.UU. - Integración con data brokers o plataformas de datos de terceros Si no se puede determinar la aplicabilidad: continuar la auditoría con nota de contingencia. --- ## Paso 0b — Stack tecnológico Si este skill es invocado desde el orquestador `/privacidad`, usar el Paso 0 compartido. Si se invoca directamente, ejecutar el Paso 0 del skill `rgpd`. Señales adicionales específicas de CCPA/California: - "California Privacy" / "CCPA" / "CPRA" / "Do Not Sell" en el footer o política - "California Residents" en la política de privacidad - "Global Privacy Control" o señal GPC mencionada - ".ca.gov" en páginas de referencia de derechos - USD como moneda; sede declarada en California o EE.UU. --- ## Paso 1 — Recopilación de datos del sitio Rutas comunes de políticas de privacidad CCPA: - `/privacy-policy` - `/privacy` - `/california-privacy-rights` - `/ccpa` - `/do-not-sell` - `/do-not-sell-my-personal-information` --- ## Paso 2 — Detección de sector Usar la matriz del skill `rgpd`. Sectores con regulación adicional en California: | Sector | Regulación adicional | |--------|---------------------| | **Salud** | CMIA (Confidentiality of Medical Information Act); posibles exclusiones HIPAA | | **Financiero** | GLBA (Gramm-Leach-Bliley Act) — datos financieros pueden tener exención parcial | | **Educación** | FERPA — datos de estudiantes pueden estar excluidos | | **Menores** | COPPA (federal); CCPA secc. 1798.120(c) — prohibición de venta de datos de menores < 16 | ⚠️ CCPA tiene interacciones complejas con leyes sectoriales federales. Si aplica un sector regulado, verificar si existen datos excluidos del ámbito de la CCPA. --- ## Paso 3 — Auditoría por bloques Evaluar: **Cumple / Parcial / No cumple / No evaluable** ### Bloque 1 — Identificación del negocio y datos de contacto (§ 1798.130) Peso: 10 pts Verificar en la política de privacidad (Privacy Policy): - [ ] Nombre o razón social del negocio - [ ] Datos de contacto para ejercicio de derechos: email designado O formulario web - [ ] Teléfono gratuito (toll-free) — exigido si el negocio opera en California con consumidores directos (§ 1798.130(a)(1)) - [ ] Sede o domicilio del responsable (no exigido pero buena práctica) - [ ] Fecha de "última actualización" de la política de privacidad ### Bloque 2 — Política de privacidad: existencia y acceso (§ 1798.130) Peso: 5 pts La CCPA exige una Privacy Policy "conspicuamente publicada": - [ ] Existe política de privacidad publicada - [ ] Enlace visible en el footer (el término exacto "Privacy Policy" es el estándar) - [ ] Accesible desde la página de inicio con un solo clic - [ ] Si el negocio tiene app o tienda online: enlace en el punto de recogida de datos - [ ] Versión exclusiva para "California Residents" o sección dedicada claramente identificada ### Bloque 3 — Política de privacidad: contenido mínimo (§ 1798.110 + § 1798.115 + § 1798.130) Peso: 15 pts La CCPA exige informar sobre (1 pt por ítem): **Categorías de datos y finalidades:** - [ ] Categorías de información personal (PI) recogida en los últimos 12 meses - [ ] Finalidades para las que se usa cada categoría de PI - [ ] Categorías de fuentes de las que se recoge PI - [ ] Categorías de terceros con los que se comparte PI **Ventas y compartición:** - [ ] Categorías de PI vendida o compartida en los últimos 12 meses (o declaración de que no se vende ni comparte PI) - [ ] Categorías de terceros a los que se vende o comparte PI **Información personal sensible (SPI — CPRA):** - [ ] Si se recoge SPI: categorías específicas de SPI recogidas - [ ] Finalidades del tratamiento de SPI - [ ] Si SPI se usa más allá de lo necesario para el servicio: derechos de limitación **Periodos de conservación:** - [ ] Para cada categoría de PI: periodo de conservación o criterios para determinarlo (CPRA — § 1798.100(a)(3)) **Derechos del consumidor:** - [ ] Lista de los 8 derechos (ver Bloque 6) - [ ] Mecanismo(s) para ejercerlos - [ ] Descripción del proceso de verificación de identidad - [ ] Derecho a no ser discriminado por ejercer sus derechos (§ 1798.125) **Menores:** - [ ] Si el negocio vende datos de menores: mencionar el régimen específico (< 13 años: consentimiento de padre/tutor; 13-15: opt-in del propio menor) **Actualización anual:** - [ ] La política se actualiza al menos una vez al año (§ 1798.130(a)(5)) — verificar fecha de última actualización ### Bloque 4 — Opt-out: "Do Not Sell or Share My Personal Information" (§ 1798.120 + § 1798.121) Peso: 15 pts Este es uno de los elementos más específicos de la CCPA. No tiene equivalente directo en el RGPD. **"Venta" y "compartición" (sharing) en la CCPA/CPRA:** - **Venta**: intercambio de PI por dinero u otra contraprestación de valor - **Compartición (sharing)**: transferir PI a un tercero para publicidad comportamental entre contextos (cross-context behavioral advertising) — aunque sea sin pago (CPRA) - **Descarga práctica**: si el sitio usa Meta Pixel, Google Analytics con señales de audience, Google Ads, o cualquier cookie publicitaria de terceros activa sin opt-out: casi seguramente está "vendiendo" o "compartiendo" PI bajo la definición CCPA **Requisitos:** - [ ] Enlace "Do Not Sell or Share My Personal Information" o "Do Not Sell My PI" visible en el footer de la página de inicio y de todas las páginas donde se recojan datos - [ ] El enlace es funcional y lleva a un mecanismo de opt-out - [ ] El mecanismo de opt-out es gratuito - [ ] No se exige crear una cuenta para ejercer el opt-out - [ ] Si el negocio declara que NO vende ni comparte PI: debe ser verificable (revisar trackers activos antes de aceptar esta declaración) **Global Privacy Control (GPC) — § 1798.135(b) + Reglamentos CPPA:** - [ ] El sitio reconoce y respeta la señal GPC (obligatorio para negocios sujetos a CPRA) - [ ] La política menciona la señal GPC o "señales de preferencia del usuario" **Nota:** Si se detectan cookies de publicidad comportamental activas (antes de cualquier opt-out) pero no hay enlace "Do Not Sell or Share": issue crítico. ### Bloque 5 — Información Personal Sensible (SPI) y derecho de limitación (§ 1798.121 CPRA) Peso: 10 pts La CPRA añade la categoría de **Sensitive Personal Information (SPI)** con un derecho propio de limitación ("Limit the Use of My Sensitive Personal Information"). **Categorías de SPI (§ 1798.140(ae)):** - Social Security Number (SSN), número de pasaporte, número de licencia de conducir - Información de cuenta financiera, tarjeta de crédito/débito con credenciales de acceso - Datos de geolocalización precisa - Datos raciales o étnicos, religiosos o filosóficos, sindicales - Datos de correo, emails o SMS privados sin el fin de prestar el servicio - Datos genéticos - Datos biométricos procesados para identificar unívocamente a una persona - Datos de salud (diagnóstico, tratamiento) - Datos sobre vida sexual u orientación sexual **Si el sitio NO recoge ni usa SPI:** marcar N/A, 10 pts. **Si recoge o usa SPI:** - [ ] Categorías de SPI identificadas en la política - [ ] Finalidades del tratamiento de SPI declaradas - [ ] Enlace separado "Limit the Use of My Sensitive Personal Information" (si la SPI se usa para más de los propósitos permitidos sin limitación) - [ ] El mecanismo de limitación es funcional y gratuito - [ ] Si la SPI se "vende" o "comparte": el enlace "Do Not Sell or Share" lo cubre también ### Bloque 6 — Derechos del consumidor (§ 1798.100–1798.125) Peso: 15 pts La CCPA/CPRA reconoce 8 derechos. Plazo de respuesta: **45 días calendario** (prorrogables 45 días adicionales con notificación). Máximo 2 solicitudes por categoría por período de 12 meses: 1. **Derecho a saber** (§ 1798.110): qué PI se recopila, de dónde, con qué fin, con quién se comparte; período de los últimos 12 meses 2. **Derecho a eliminar** (§ 1798.105): solicitar eliminación de PI recopilada; aplican excepciones (legal, seguridad, fraude, etc.) 3. **Derecho a corregir** (§ 1798.106 — CPRA): solicitar corrección de PI inexacta 4. **Derecho a opt-out de venta/compartición** (§ 1798.120/121): no se puede discriminar al consumidor por ejercerlo (§ 1798.125) 5. **Derecho a limitar el uso de SPI** (§ 1798.121 — CPRA): limitar el uso de SPI a los propósitos mínimos necesarios para prestar el servicio 6. **Derecho a la portabilidad** (§ 1798.100(d)): recibir PI en formato portable y usable; aplica a solicitudes de acceso 7. **Derecho a no ser discriminado** (§ 1798.125): el negocio no puede negar servicios, cobrar más o dar calidad inferior por ejercer derechos CCPA 8. **Derecho a opt-out de decisiones automatizadas** (§ 1798.185(a)(16) — Reglamento CPPA): en tramitación; verificar estado actual en cppa.ca.gov **Menores (§ 1798.120(c)):** - < 13 años: prohibición de venta salvo consentimiento opt-in del padre/tutor - 13–15 años: prohibición de venta salvo consentimiento opt-in del propio menor - Infracción con menores: multa de USD 7.500 por incidente (vs. USD 2.500 otros casos) Verificar: - [ ] Todos los derechos mencionados en la política - [ ] Canal funcional para ejercer derechos: email designado Y/O formulario web - [ ] Teléfono gratuito disponible (si procede por tamaño de negocio) - [ ] Plazo de respuesta de 45 días mencionado - [ ] Proceso de verificación de identidad descrito (razonable, no excesivamente oneroso) - [ ] Declaración explícita de no discriminación por ejercer derechos ### Bloque 7 — Acuerdos con proveedores de servicios y contratistas (§ 1798.140(ag)/(e)) Peso: 10 pts La CPRA establece tres tipos de terceros receptores de PI: - **Service provider** (proveedor de servicios): recibe PI solo para prestar el servicio; necesita contrato específico que prohíbe venta/compartición y limita uso - **Contractor** (contratista): recibe PI bajo contrato pero puede procesarla en sus propios sistemas; también necesita contrato equivalente - **Third party** (tercero): todos los demás; la venta/compartición con ellos activa el derecho de opt-out **Nota práctica:** Los trackers de publicidad (Meta Pixel, Google Ads, etc.) que reciben PI para sus propias finalidades son "terceros", no "service providers" — activan el régimen de opt-out aunque el negocio los llame "proveedores". Verificar: - [ ] La política distingue entre "service providers / contractors" y "terceros" - [ ] Si el sitio usa terceros publicitarios: reconoce que comparte/vende PI con ellos - [ ] La política menciona que existen contratos con service providers que limitan el uso - [ ] No hay trackers de publicidad activos sin haberse declarado en la sección de "venta/compartición" ### Bloque 8 — Seguridad y notificación de brechas (§ 1798.100(e) + § 1798.150) Peso: 5 pts La CCPA no establece medidas de seguridad específicas, pero exige medidas "razonables". La CPRA añade que el tratamiento debe limitarse a lo necesario. **Derecho de acción privada por brechas (§ 1798.150):** Los consumidores cuyos datos fueron comprometidos en una brecha por falta de medidas de seguridad razonables tienen derecho a daños de **USD 100 a USD 750** por consumidor por incidente, o los daños reales si son mayores. Esto es un derecho de acción privada — no requiere intervención de la CPPA. Verificar: - [ ] HTTPS activo en todas las páginas - [ ] Certificado SSL/TLS válido y no expirado - [ ] HSTS habilitado - [ ] La política menciona que se adoptan medidas de seguridad razonables - [ ] Si la política menciona brechas: describe el proceso o referencia la notificación (California tiene ley de notificación de brechas separada — Cal. Civ. Code § 1798.82) ### Bloque 9 — Tratamiento de datos de menores (§ 1798.120(c) + COPPA) Peso: 5 pts **Si el sitio no está dirigido a menores ni recoge datos de menores:** N/A, 5 pts. **Si el sitio puede llegar a menores:** - [ ] La política indica cómo se gestiona la información de menores - [ ] Si recoge datos de menores < 13: menciona el consentimiento parental requerido - [ ] Si puede vender datos de menores 13–15: menciona el opt-in del menor requerido - [ ] No hay mecanismo para que menores < 13 se registren sin consentimiento parental - [ ] Si opera bajo COPPA (federal, < 13): verificar cumplimiento COPPA separadamente ### Bloque 10 — Autenticidad y actualización de la política (§ 1798.130(a)(5)) Peso: 10 pts La CCPA exige que la Privacy Policy sea actualizada al menos **cada 12 meses** y que refleje las prácticas reales del negocio. Verificar: - [ ] Fecha de "última actualización" o "Last Updated" visible - [ ] La fecha es de hace menos de 12 meses respecto a la auditoría - [ ] Las categorías de PI declaradas coinciden con los trackers y formularios activos detectados en el Paso 0 (coherencia política vs. realidad técnica) - [ ] Si el sitio usa Google Analytics, Meta Pixel, u otros trackers: están declarados en la sección de categorías de PI recogida y de terceros - [ ] La política distingue correctamente entre "venta" y "compartición" per CPRA - [ ] Si hay prácticas de publicidad comportamental: están reconocidas como "compartición" --- ## Paso 4 — Score global ``` Score = suma de puntos obtenidos / 100 ``` | Rango | Interpretación | |-------|---------------| | 80–100 | Postura defensible | | 60–79 | Riesgo moderado | | 40–59 | Riesgo alto | | 0–39 | Riesgo crítico | --- ## Paso 5 — Clasificación de issues y sanciones (§ 1798.155 + § 1798.150) **Sanciones administrativas (CPPA — § 1798.155):** | Conducta | Sanción por violación | |---|---| | Violación no intencional | USD 2.500 | | Violación intencional | USD 7.500 | | Violación con datos de menores < 16 | USD 7.500 siempre (no existe la escala "no intencional") | No hay límite global establecido por ley, pero el CPPA puede multar por cada "violación" — y si se afecta a miles de consumidores, las multas se multiplican. **Derecho de acción privada (§ 1798.150):** - USD 100–750 por consumidor por incidente de brecha de datos - Los daños reales si son mayores - Acciones de clase son posibles **Críticos:** - Sin enlace "Do Not Sell or Share" cuando el sitio claramente vende/comparte PI → § 1798.120/121 - Trackers publicitarios activos sin declaración ni opt-out → USD 7.500/violación intencional - Sin política de privacidad publicada → § 1798.130 - Sin mecanismo para ejercer derechos → § 1798.130 - Venta/compartición de datos de menores < 16 sin opt-in → USD 7.500 por violación - Sin HTTPS → § 1798.150 (riesgo de acción privada en caso de brecha) **Medios:** - Política existe pero sin sección para residentes de California - Sin teléfono gratuito cuando es exigible - Sin fecha de actualización o desactualizada (> 12 meses) - SPI recogida pero sin enlace "Limit the Use" si aplica - No se menciona el período de conservación de datos (CPRA § 1798.100(a)(3)) - Política no distingue "service provider" de "tercero" - GPC no mencionado ni respetado **Bajos:** - Falta declaración explícita de no discriminación - Proceso de verificación de identidad no descrito - Plazo de 45 días no mencionado explícitamente --- ## Paso 6 — Output según modo Guardar en `/[cliente]/auditoria_ccpa_[fecha].md` o `.docx`. Modo `--docx`: misma estructura que `rgpd`, adaptada: - Autoridad: CPPA (cppa.ca.gov) + Attorney General de California - Sanciones: USD 2.500 / USD 7.500 por violación; USD 100–750 acción privada por brecha - Umbral de aplicabilidad: incluir sección de "Alcance y aplicabilidad" al inicio - Idioma del informe: inglés (si el sitio auditado es en inglés) o español - Pie de página: hipervínculo "Zythos Media" → https://zythos.media --- ## Actualización normativa - **CCPA base**: en vigor desde 1 enero 2020. - **CPRA modificaciones**: en vigor desde 1 enero 2023. - **Reglamentos CPPA**: en evolución continua — verificar cppa.ca.gov antes de auditorías. - **GPC**: obligatorio reconocerlo per Reglamentos CPPA; verificar si se ha expandido. - **Derecho a opt-out de decisiones automatizadas**: en proceso reglamentario — verificar estado. - **Versión de esta skill:** 1.0.0 (2026-07-08).