CCPAへの準拠

web サイトとモバイルアプリケーションを通じて、どのようなパブリックおよびプライベートの個人情報が収集されるのかを把握します。 例えば、標準的なCommerce データベースには、次の種類の公開個人情報と非公開個人情報が格納されます。

• パブリック: ウィッシュリスト、製品レビュー

• プライベート：顧客情報、注文情報、報酬ポイント、ギフトレジストリ、アドレス帳、ストアクレジット、支払い方法、請求契約書、ニュースレター購読、招待状。

  Commerceのインストールがカスタマイズされている場合、追加の個人情報が収集される可能性があります。 個人情報は、cookie、タグ、および情報を収集するその他のテクノロジーに格納されている場合もあります。

データを共有する関係者を特定する： このリストには、サービスプロバイダーと第三者が含まれている必要があります。 第三者には、広告ネットワーク、インターネットサービスプロバイダー、データ分析プロバイダー、政府機関、オペレーティングシステムおよびプラットフォーム、ソーシャルネットワーク、消費者データの再販業者などが含まれます。これらの企業は、消費者から個人情報を直接収集しません。

• サービスプロバイダー：業務目的で消費者データにアクセスでき、お客様に代わってサービスを提供するエンティティ。 例えば、Adobeは、カスタマイズ、拡張機能、サービスの開発者と同様に、サービスプロバイダーです。

  Google Universal Analytics、Google Tag Managerなど、お客様が使用しているその他のデータサービスのデフォルト設定を確認し、この規制に準拠するために必要な変更を行います。 詳しくは、Googleのプライバシー設定を参照してください。

• その他の第三者：消費者データを共有または販売するエンティティ。 例えば、広告と引き換えに、消費者データを広告ネットワークと共有できます。

個人情報が収集される[ カスタマージャーニー]の各ポイントと、各ステップで収集される情報の種類を特定します。

サイトへの訪問者には、事前またはデータ収集時点で通知する必要があります。 例えば、カスタム統合を持たないストアは、顧客アカウントの作成時やチェックアウト時に個人情報を収集します。 ストアにカスタム統合がある場合は、データ項目や属性が追加されていることもあります。

各バージョンに適用できるデータフロー図とデータベースエンティティのマッピングについては、次のトピックを参照してください。

• 個人情報の参照（2.x）
• 個人情報の参照（1.x）

データ主体アクセス要求（DSAR）に関与する関係者を特定し、知る、オプトアウト、削除を要求した人物のIDを確認します。 これは、パスワードで保護された顧客アカウントを持っている人、またはゲストとしてストアで買い物をする人が適用されます。

消費者から検証可能な消費者リクエストを受け取ってから45日以内に、権利の要求に応じて消費者に情報を開示および提供します。ただし、それが不可能な場合を除きます。 （この法律には、企業が最長45日間の遅延に対するコンプライアンスを維持するための他の要件が含まれています）。

加盟店は、リクエストを受け取った日から45日以内に各DSARに応答する必要があります。 必要に応じて、加盟店はリクエストを受け取った日から最大90日間、対応までに最大45日かかる場合があります。 これには、加盟店が遅延の理由を説明するように顧客に通知する必要があります。

ストアで必要な通知を提示し、消費者の反応を収集する仕組みを構築する。

対応手順を確立し、次の各要求を文書化します。

• 知っておくリクエスト – お客様のストアへの訪問者には、お客様が個人情報を販売または第三者と共有する必要がある取り決めを通知し、オプトアウトを許可する必要があります。 お客様による個人情報の使用の詳細、およびお客様がデータを共有または販売する関係者は、プライバシーポリシーに維持することができます。

• オプトアウトの要求 – 個人データが貴重な検討と引き換えに販売または第三者に転送される場合、CCPAは、収集された各時点で​個人情報を販売しない リンクを要求します。 チェックボックスやボタンなどの追加のユーザー対応の入力制御は、電子メール通信、web サイトの環境設定、またはデータ収集時にweb サイトフォームで使用して、個人が有効なオプトアウトリクエストを送信できるようにします。

• 削除リクエスト

  • Adobe Commerce Cloudでストアをホストしている販売者は、Adobe サポートに連絡して個人情報の削除をサポートする必要があります。 詳細については、Adobeのテクニカルアカウントマネージャーまたはカスタマーサポートにお問い合わせください。
  • Adobe CommerceまたはMagento Open Sourceをオンプレミスでインストールしている販売者は、独自のプロセスとスクリプトを導入して、リクエストに応じて個人情報を削除する必要があります。

弁護士と連携し、CCPAの要件を満たすためにweb サイトに追加する必要がある通知の種類を決定します。

• 収集のお知らせ：消費者から個人情報が収集されるまでの間に行われる通知。 通知は平易な言葉で書かれ、平均的な人にわかりやすいものでなければなりません。 通知は目立つようにし、web サイトのコンテンツと同じ言語で提供する必要があります。

• オプトアウト権の通知：消費者に個人情報の販売をオプトアウトする権利を通知する通知。

• 金融インセンティブのお知らせ：会社が個人情報と引き換えに受け取る各金融インセンティブ、価格、またはサービスの差額を説明する通知。

• 個人情報の収集および使用に関するリクエストを送信する方法：個人について収集した個人情報を開示するリクエストを送信するための個人に対する手順（以下を含む）:

  • 消費者について収集した特定の個人情報
  • 消費者について収集した個人情報のカテゴリ
  • 個人情報の収集元のカテゴリ
  • 業務目的で販売または開示した消費者に関する個人情報のカテゴリ
  • 業務上の目的で個人情報を販売し、又は開示した第三者の区分
  • 企業が個人情報を収集および/または販売する理由

コンテンツをチームに送信し、可能であれば法務担当者にレビューを依頼します。

通知がどこで表示されるか、どのように機能するか（各訪問、認証時、クリックスルー時）、他のコンテンツに対する通知の位置と形式を決定します。

承認されたコンテンツを開発チームに引き継ぎます。