CCPA לאפליקציות מובייל: זכויות צרכנים ויישום

אם אפליקציית המובייל שלך עובדת עם תושבי קליפורניה והעסק שלך עובר את הספים (הכנסה שנתית של 25 מיליון דולר, או 100 אלף+ צרכנים, או 50%+ מההכנסות ממכירת נתונים), CCPA הוא חובה. אנו מיישמים עמידה ב-CCPA במפתח מלא — מגדירים זכויות opt-out, מחיקה וייצוא נתונים, ומשלבים GPP. יש לנו 5 שנות ניסיון ומעל 30 פרויקטים שהביאו אפליקציות לעמידה בחוקי הפרטיות האמריקאיים.

ההבדל המרכזי מ-GDPR: CCPA אינו דורש הסכמה לפני איסוף נתונים, אך דורש זכות ל-opt-out ממכירת נתונים וזכות למחיקה. זה משנה את ארכיטקטורת היישום. CCPA מקל יותר על הסכמה אך מחמיר יותר על opt-out.

מדוע "מכירת נתונים" תחת CCPA רחבה יותר ממה שנראה?

CCPA מגדיר "מכירה" באופן רחב מאוד: כל העברת נתונים לצד שלישי תמורת "תמורה בעלת ערך" — כולל רשתות פרסום, פלטפורמות אנליטיקה עם נתונים התנהגותיים, וברוקרים של נתונים. העברת נתונים ל-Facebook SDK לצורכי פרסום היא "מכירה" תחת CCPA. משמעות הדבר: רוב האפליקציות עם מונטיזציה מפרסומות "מוכרות" טכנית נתונים וחייבות לספק זכויות opt-out.

כיצד ליישם opt-out: פרטים טכניים

כפתור "Do Not Sell or Share My Personal Information" חייב להיות בולט — ה-App Store לא יקבל אותו מוסתר בטאב החמישי של ההגדרות. בפועל, מקם אותו בתפריט הגדרות הפרופיל הראשי.

// Хранение CCPA opt-out статуса
class CCPAManager {
    private let defaults = UserDefaults.standard
    private let optOutKey = "ccpa_do_not_sell"

    var isOptedOut: Bool {
        get {
            defaults.bool(forKey: optOutKey)
        }
        set {
            defaults.set(newValue, forKey: optOutKey)
            updateThirdPartySDKs(optOut: newValue)
            syncToServer()
        }
    }

    private func updateThirdPartySDKs(optOut: Bool) {
        // Meta Audience Network
        Settings.shared.isAdvertiserDataCollectionEnabled = !optOut

        // Google AdMob — ограниченная обработка данных
        let extras = GADExtras()
        extras.additionalParameters = ["npa": optOut ? "1" : "0"]

        // Adjust
        if optOut {
            Adjust.disableThirdPartySharing()
        }
    }
}

חשוב: ה-opt-out חייב להישמר בין סשנים ולהסתנכרן לשרת — כך שבהתקנה מחדש של האפליקציה ההגדרה תוחזר.

מה זה Global Privacy Control וכיצד ליישם אותו באפליקציית מובייל?

דפדפנים החלו לתמוך ב-Global Privacy Control (GPC) — אות "do not sell" ברמת כותרת HTTP // Хранение CCPA opt-out статуса class CCPAManager { private let defaults = UserDefaults.standard private let optOutKey = "ccpa_do_not_sell" var isOptedOut: Bool { get { defaults.bool(forKey: optOutKey) } set { defaults.set(newValue, forKey: optOutKey) updateThirdPartySDKs(optOut: newValue) syncToServer() } } private func updateThirdPartySDKs(optOut: Bool) { // Meta Audience Network Settings.shared.isAdvertiserDataCollectionEnabled = !optOut // Google AdMob — ограниченная обработка данных let extras = GADExtras() extras.additionalParameters = ["npa": optOut ? "1" : "0"] // Adjust if optOut { Adjust.disableThirdPartySharing() } } } . CPRA (העדכון האחרון) דורש ממפעילים לכבד GPC. באפליקציית מובייל אין GPC בדפדפן, אבל ה-Global Privacy Platform (GPP) של IAB למובייל ממלא את הנישה הזו — הוא מאחסן מחרוזת הסכמה ב-Sec-GPC: 1 / SharedPreferences תחת מפתחות סטנדרטיים שכל ה-SDKs התואמים קוראים אוטומטית.

השוואה בין CCPA ל-GDPR

זכויות צרכנים תחת CCPA

"זכות לדעת" היא לא רק רשימת קטגוריות במדיניות הפרטיות. לפי בקשה, יש לספק נתונים ספציפיים של המשתמש הספציפי מ-12 החודשים האחרונים. זה דורש API בצד השרת שיכול לאגד נתונים לפי userId.

כיצד לאמת בקשות מחיקה?

CCPA אינו מאפשר לבצע בקשות מחיקה ללא אימות זהות — אחרת תוקף יכול למחוק נתונים של חשבון אחר. שיטות מקובלות: אימות אימייל (קישור שנשלח לאימייל), אימות מחדש באפליקציה, SMS OTP. למשתמשים רשומים, אימות מחדש מספיק. לבקשות לא רשומות (באמצעות אימייל או טלפון), אימות דו-שלבי.

עיבוד מוגבל של נתונים רגישים (CPRA)

CPRA הוסיף את הקטגוריה "מידע אישי רגיש" עם זכות להגביל את השימוש בו. זה כולל: מספר תעודת זהות, נתונים פיננסיים, מיקום מדויק, ביומטריה, נתוני בריאות, נתוני ילדים. אלה דורשים כפתור נפרד "Limit the Use of My Sensitive Personal Information".

הודעה על פרטיות בעת האיסוף

CCPA דורש "הודעה בעת האיסוף" — הודעה ברגע איסוף הנתונים. לאפליקציות מובייל: לפני בקשת הרשאת מיקום — הסבר קצר למה וכמה זמן נשמר המיקום. לפני בקשת אנשי קשר — אותו דבר.

מה כוללת עבודת עמידה ב-CCPA

• ביקורת עמידה נוכחית וזיהוי פערים
• יישום כפתור opt-out ואינטגרציה עם SDKs (AdMob, Meta, Adjust)
• הגדרת זכויות מחיקה וייצוא נתונים (לקוח + backend)
• אינטגרציה של IAB Global Privacy Platform (GPP)
• אימות בקשות (אימייל/SMS/אימות מחדש)
• תיעוד לבדיקת App Store
• בדיקות מול סעיף 5.1 בהנחיות בדיקת ה-App Store

לוחות זמנים: יישום בסיסי — בין 2 ל-3 ימים; סט מלא עם backend — בין 4 ל-6 ימים. התמחור נקבע באופן אישי.

צור קשר כדי להעריך את הפרויקט שלך. קבל ייעוץ על עמידה ב-CCPA — אנו מבטיחים מעבר בבדיקת ה-App Store ועמידה בשינויי החוק העדכניים ביותר.