Nosso compromisso com a privacidade de dados

A Lei de Privacidade do Consumidor da Califrnia (CCPA, California Consumer Protection Act) entrou em vigor em 1º de janeiro de 2020. Considerada a lei de privacidade mais abrangente até o momento nos EUA, o CCPA tem como objetivo oferecer aos californianos maior controle sobre suas informações pessoais.

Muitas das provisões do CCPA são ambíguas e deixam espaço para interpretação. Com isso em mente, continuaremos a conversar com nossos clientes e parceiros para decidirmos qual a melhor abordagem em relação ao compliance.

Como empresa global com sede na Europa, a Criteo adota o Regulamento Geral de Proteção de Dados (GDPR, General Data Protection Regulation) como padrão mundial para todos os nossos serviços. Além disso, implementamos processos para lidar com os direitos dos usuários e adotamos as melhores práticas em proteção de dados, que vão além das exigências do CCPA. Também somos pioneiros na adoção das melhores práticas do setor, como o programa AdChoices e o IAB Transparency and Consent Framework.

O que é o CCPA?

Embora formulado para proteger as informações pessoais dos californianos, o CCPA poderá ter um impacto em todos os EUA porque as empresas provavelmente o adotarão como padrão nacional de compliance de privacidade.

O CCPA adota uma definição muito ampla de informações pessoais e apresenta requisitos de transparência. Ele oferece novas proteções aos consumidores na Califórnia, incluindo:

direito de saber
direito de opt-out da venda de seus dados

O direito de saber

O CCPA introduz o direito de acesso/portabilidade.

O regulamento permite que os usuários obtenham acesso a informações pessoais específicas que a empresa coletou sobre eles.

Caso um cliente receba uma solicitação de um usuário sobre os dados coletados pela Criteo, o cliente poderá encaminhar o usuário à Política de Privacidade da Criteo, que contém detalhes completos sobre como o usuário poderá obter essas informações e enviar ele mesmo uma solicitação diretamente à Criteo.

Ao receber a solicitação do titular dos dados, a Criteo solicitará ao usuário a respectiva identificação e, em seguida, enviar-lhe-á uma planilha do Excel com todas as informações pessoais relacionadas a ele.

O direito de exclusão

O CCPA introduz o direito de o usuário solicitar que uma empresa exclua toda e qualquer informação pessoal coletada sobre ele.

Tal como ocorre com o procedimento do direito de saber, caso um cliente receba uma solicitação por parte de um usuário acerca dos dados coletados pela Criteo, nosso cliente poderá aconselhar o solicitante a verificar a Política de Privacidade da Criteo, onde ele poderá enviar a solicitação diretamente para nós.

Os clientes não devem enviar para a Criteo as solicitações de exclusão que recebem dos usuários, pois a Criteo não atua como Fornecedor de Serviços.

O direito de opt-out

Os usuários têm o direito de instruir uma empresa a não vender suas informações pessoais a terceiros.

Caso se entenda que nossos clientes e parceiros estão vendendo dados para a Criteo, eles deverão oferecer aos usuários uma forma de exercerem o direito de opt-out.

A proposta de regulamento do Procurador Geral da Califórnia também determina que nossos clientes e parceiros notifiquem todos os terceiros a quem foram vendidas informações pessoais nos últimos 90 dias anteriores à solicitação de opt-out do usuário.

Com o intuito de simplificar esse processo para os usuários, associações de comércio da indústria, como DAA e IAB, vêm trabalhando em padrões para estabelecer como lidar com o opt-out e a respectiva notificação a terceiros.

Como informações pessoais são definidas de acordo com o CCPA?

O CCPA abrange explicitamente determinados tipos de dados, como identificadores online, endereços IP, histórico de navegação, informações a respeito da interação do consumidor com um site, app ou anúncio e dados de geolocalização, caso possam ser razoavelmente vinculados, de maneira direta ou indireta, a um determinado consumidor ou família.

A Criteo não coleta nenhum dado, como nome, sobrenome ou endereço postal, nem mesmo endereço de email, em texto simples, o que nos permitiria identificar uma pessoa. No entanto, nossa tecnologia é capaz de identificar dispositivos ou navegadores.

Dessa forma, esperamos que a maioria dos dados coletados pela Criteo, que já são considerados Dados Pessoais de acordo com o GDPR, sejam considerados Informações Pessoais de acordo com o CCPA.

O que abrange informações pessoais?
IDENTIFICADORES ONLINE
ENDEREÇOS IP
HISTÓRICO DE NAVEGAÇÃO
INTERAÇÃO DO CONSUMIDOR
GEOLOCALIZAÇÃO

Quem deve se preparar para o CCPA?

O escopo territorial e material do CCPA é complexo. Por isso, convém buscar orientação jurídica.

Os anunciantes e varejistas da Criteo que remetem produtos para a Califórnia, bem como os publishers que operam sites e apps de interesse dos californianos, podem enquadrar-se na definição de businesses de acordo com o CCPA, caso qualquer uma das seguintes condições seja verdadeira:

1 > US$ 25 milhões em receita bruta anual

O CCPA também aplicará, pelo menos até certo ponto, a afiliados de empresas que se enquadrem na definição acima.

3 > 50% da receita anual derivada da exibição de anúncios via Criteo a usuários da Califórnia

2 > 50.000 visitantes únicos da Califórnia

Qual é o status da Criteo de acordo com o CCPA?

Como a Criteo determina as finalidades e os meios de processar as informações pessoais dos consumidores, mas não é a entidade com a qual os usuários pretendem interagir primariamente, esperamos que a Criteo seja considerada tanto uma empresa quanto um terceiro.

As tecnologias da Criteo têm como núcleo algoritmos alimentados por Inteligência Artificial, além do Shopper Graph, nossa imensa base de dados de consumidores. Ambos dependem do efeito rede para agregar valor a consumidores e parceiros. Por isso, a Criteo não espera agir como um Fornecedor de Serviços, pois isso limitaria nossa capacidade de operar essas tecnologias.

Requisitos de transparência

O CCPA adiciona requisitos de transparência para a Criteo e para nossos clientes e publishers parceiros, ao mesmo tempo que especifica as obrigações a seguir (estas são as principais obrigações, mas não prometemos fornecer aos nossos clientes e parceiros um checklist exaustivo de compliance).

No rodapé do site (através das configurações e da página de download para apps)

1. Um link Do Not Sell My Personal Information (Não vender minhas informações pessoais) para a página de opt-out
2. Um link para Notice at collection (Aviso sobre coleta de dados)
3. Um link para a política de privacidade completa

Se transações online forem passadas para a Criteo, um aviso também deverá ser fornecido no momento da coleta dos dados.

Aviso sobre coleta de dados

As categorias de informações pessoais compartilhadas com a Criteo com a finalidade de exibir anúncios segmentados:

1. Um link Do Not Sell My Personal Information (Não vender minhas informações pessoais) para a página de opt-out

Página de opt-out

1. Uma descrição dos direitos dos usuários
2. As categorias de informações pessoais compartilhadas com a Criteo
3. Um link para a página de opt-out
4. O aviso de opt-out interno e o mecanismo de escolha: você pode usar uma solução de CMP (Content Marketing Platform) ou de TMS (Tag Management System) para impedir que as tags da Criteo coletem dados após o opt-out

Divulgações

O novo regulamento ainda está sujeito a outras categorias de dados em análise, mas estas são as categorias que nossos anunciantes e publishers deverão divulgar:

1. Identificadores (por exemplo, IDs de cookies, IDs de Publicidade Mobile, endereços IP, agentes de usuários, endereços de email criptografados)
2. Informações comerciais, incluindo registros de produtos ou serviços comprados, obtidos ou considerados (por exemplo, produtos vistos, colocados no carrinho ou comprados)
3. Histórico de navegação (por exemplo, URL dos sites navegados, nome dos aplicativos abertos)
4. Informações de atividades na internet ou em outra rede eletrônica:
   • Interações com um site ou app mobile (por exemplo, anúncios vistos ou clicados)

Trabalhar com a Criteo implica na venda de dados?

A definição de venda vai além de uma simples troca de dinheiro. Inclui disponibilizar informações pessoais para fins monetários ou outro fim valioso.

Como as tags da Criteo coletam informações pessoais em benefício de nossos clientes, elas podem ser entendidas conforme a definição acima. O Procurador Geral da Califórnia publicou propostas de regulamentos em 11 de outubro de 2019, como previsto pelo CCPA. Mas esses regulamentos infelizmente não trataram dessa questão essencial. Portanto, ainda pairam dúvidas em relação ao termo venda, ou seja, pode ocorrer uma venda mesmo quando os dados são trocados puramente como um acessório à transação mais ampla?

Qual o próximo passo para anunciantes e publishers?

1. Determinar até que ponto seus negócios serão afetados pelo CCPA e buscar orientação jurídica, se necessário.
2. Devem estar prontos para atualizar suas políticas de privacidade e implementar mecanismos de escolha.

Para mais informações, entre em contato com seu Estrategista de Conta da Criteo hoje mesmo.

Aviso de isenção de responsabilidade: Este documento resume os principais requisitos relacionados ao CCPA, sem descrever detalhes.