La incorporación de proveedores no debe generar, de forma involuntaria, resultados de "venta" o "cesión/compartición" ("sharing") en virtud de la California Consumer Privacy Act (CCPA). El fallo operativo suele ser definitorio: en compras se trata al destinatario como proveedor de servicios o contratista, pero en marketing, analítica o adtech actúa como un tercero. La "venta" puede incluir contraprestación valiosa no monetaria conforme a Cal. Civ. Code § 1798.140(ad). Law Laguna redacta y negocia Anexos de Tratamiento y Seguridad de Datos (DPA) que fijan la clasificación prevista del flujo de datos mediante restricciones exigibles, deberes de cooperación y límites de seguridad.
Evite que una clasificación incorrecta de proveedores se convierta en venta o cesión/compartición
El cumplimiento de la California Consumer Privacy Act (CCPA) depende de cómo se clasifican y documentan los flujos de información personal, no solo de si un proveedor es "de confianza". La ley y la normativa distinguen entre "venta", "cesión/compartición" ("sharing") para publicidad comportamental entre contextos (cross-context) y las comunicaciones para un "propósito empresarial" (business purpose), cada una con distintos mecanismos de aviso y de exclusión (opt-out). La definición de "sharing" se dirige a la publicidad comportamental entre contextos conforme a Cal. Civ. Code § 1798.140(ah), que con frecuencia se cruza con cookies, kits de desarrollo de software (SDK) y señales de identidad. Si un contrato no impone las restricciones de proveedor de servicios o contratista acordes con la limitación de finalidad prevista, el destinatario puede ser tratado como un tercero. Law Laguna elabora DPAs con enfoque de implementación, de modo que compras, seguridad y los avisos de privacidad se alineen con la conducta real del proveedor.
Asignamos cada caso de uso del proveedor a la categoría correcta de la CCPA y, a continuación, redactamos cláusulas que los equipos operativos puedan hacer cumplir. Alineamos el DPA con su Notice at Collection y con las divulgaciones de su política de privacidad para evitar escaladas por desajustes. Establecemos obligaciones claras de cooperación y seguridad que respalden los flujos de acceso, supresión y rectificación del consumidor.
-
Clasifique las transferencias de datos para preservar una comunicación por "propósito empresarial" y evitar resultados involuntarios de venta o cesión/compartición vinculados a la publicidad comportamental entre contextos.
-
Haga exigible por contrato la lógica de señales de preferencia de exclusión (opt-out), para que los proveedores respeten en la práctica las limitaciones de "Do Not Sell or Share My Personal Information".
-
Limite el tratamiento de Sensitive Personal Information (SPI) a los Permitted SPI Purposes y respalde, cuando sea necesario, la vía de "Limit the Use of My Sensitive Personal Information".
Un DPA solo es eficaz cuando refleja los flujos de datos reales, las funcionalidades del proveedor y sus avisos públicos. Redactamos con precisión definitoria y con ejecución operativa.
Asesoría Jurídica para operadores orientados al cumplimiento
Con sede en Laguna Beach y al servicio de equipos del sur de California que necesitan una gobernanza de privacidad basada en contratos y lista para su uso. También asistimos a clientes en todo California mediante procesos remotos (remote-first) de contratación con proveedores.
Asesoría Jurídica General (o GC fraccionada)
Usted necesita DPAs que mantengan su clasificación prevista (proveedor de servicios o contratista frente a tercero) en herramientas de marketing, analítica y atención al cliente. Los problemas ocultos aparecen cuando una cookie o un kit de desarrollo de software permite publicidad comportamental entre contextos, generando "sharing" y obligaciones de enlace de opt-out que usted no había previsto.
-
Negociar un DPA para evitar que los proveedores de analítica actúen como terceros.
-
Alinear el anexo de seguridad del proveedor con su vía de escalado de incidentes y con los plazos de solicitudes del consumidor.
-
Marcar cambios (redline) a un anexo de una plataforma que amplía el uso secundario más allá de su Notice at Collection.
Responsable de Compras / Gestión de Proveedores
Usted avanza con rapidez en incorporaciones y renovaciones, pero las plantillas de los proveedores suelen ocultar amplios derechos de uso que entran en conflicto con las restricciones de "service provider". El riesgo oculto es un desajuste entre los compromisos de "Do Not Sell or Share My Personal Information" y lo que realmente hace el producto del proveedor, lo que obliga a renegociaciones a mitad de ciclo y a implementaciones retrasadas.
-
Estandarizar guías operativas (playbooks) de compras para DPAs de proveedores de servicios y contratistas.
-
Resolver una renovación en la que un proveedor se niega a la limitación de finalidad y a los controles de subencargados (subprocessors).
-
Gestionar un anexo de adtech que implica servicios de publicidad comportamental entre contextos.
Director/a de Seguridad de la Información / Seguridad y Cumplimiento
Usted necesita redacción contractual que traduzca expectativas de seguridad en obligaciones medibles, incluidos canales de notificación de incidentes, controles de acceso y cooperación. El riesgo oculto son límites poco claros sobre retención, generación de copias portátiles y soporte de solicitudes del consumidor, lo que crea escaladas internas cuando llegan solicitudes de acceso, supresión o rectificación.
-
Añadir cláusulas de cooperación en caso de brecha que respalden la contención de seguridad y los flujos de respuesta a derechos del consumidor.
-
Exigir criterios de retención que coincidan con las manifestaciones del Notice at Collection y con la capacidad operativa de supresión.
-
Establecer términos de auditoría y aseguramiento acordes con el rol y el perfil de riesgo del proveedor.
Asesoría Jurídica General (o GC fraccionada)
Usted necesita DPAs que mantengan su clasificación prevista (proveedor de servicios o contratista frente a tercero) en herramientas de marketing, analítica y atención al cliente. Los problemas ocultos aparecen cuando una cookie o un kit de desarrollo de software permite publicidad comportamental entre contextos, generando "sharing" y obligaciones de enlace de opt-out que usted no había previsto.
-
Negociar un DPA para evitar que los proveedores de analítica actúen como terceros.
-
Alinear el anexo de seguridad del proveedor con su vía de escalado de incidentes y con los plazos de solicitudes del consumidor.
-
Marcar cambios (redline) a un anexo de una plataforma que amplía el uso secundario más allá de su Notice at Collection.
Responsable de Compras / Gestión de Proveedores
Usted avanza con rapidez en incorporaciones y renovaciones, pero las plantillas de los proveedores suelen ocultar amplios derechos de uso que entran en conflicto con las restricciones de "service provider". El riesgo oculto es un desajuste entre los compromisos de "Do Not Sell or Share My Personal Information" y lo que realmente hace el producto del proveedor, lo que obliga a renegociaciones a mitad de ciclo y a implementaciones retrasadas.
-
Estandarizar guías operativas (playbooks) de compras para DPAs de proveedores de servicios y contratistas.
-
Resolver una renovación en la que un proveedor se niega a la limitación de finalidad y a los controles de subencargados (subprocessors).
-
Gestionar un anexo de adtech que implica servicios de publicidad comportamental entre contextos.
Director/a de Seguridad de la Información / Seguridad y Cumplimiento
Usted necesita redacción contractual que traduzca expectativas de seguridad en obligaciones medibles, incluidos canales de notificación de incidentes, controles de acceso y cooperación. El riesgo oculto son límites poco claros sobre retención, generación de copias portátiles y soporte de solicitudes del consumidor, lo que crea escaladas internas cuando llegan solicitudes de acceso, supresión o rectificación.
-
Añadir cláusulas de cooperación en caso de brecha que respalden la contención de seguridad y los flujos de respuesta a derechos del consumidor.
-
Exigir criterios de retención que coincidan con las manifestaciones del Notice at Collection y con la capacidad operativa de supresión.
-
Establecer términos de auditoría y aseguramiento acordes con el rol y el perfil de riesgo del proveedor.
Redacción, adecuación (retrofit) y clasificación de flujos de datos de DPAs
Law Laguna asiste a equipos que necesitan que la documentación de proveedores refleje la postura correcta conforme a la CCPA y la California Privacy Rights Act (CPRA). Nuestro entregable está diseñado para que lo adopten los equipos jurídico, de compras, de privacidad y de seguridad sin reescribir toda su pila contractual comercial.
Redacción y negociación de DPA
-
Redacción de DPA para relaciones con proveedores bajo CCPA/CPRA (alineación y restricciones de proveedor de servicios/contratista). Redactamos DPAs que designan el rol correcto, limitan el tratamiento a propósitos empresariales (business purposes) y definen el trato de "no tercero" cuando la ley y la normativa lo permiten. Asimismo, incorporamos disposiciones de cooperación y seguridad listas para su implementación y exigibles por los equipos operativos.
-
Cláusulas de soporte operativo de derechos del consumidor. Añadimos términos contractuales que exigen la asistencia del proveedor para solicitudes de acceso, supresión y rectificación, incluida la producción de copias portátiles y la cooperación en la verificación. Las cláusulas se redactan para reducir fricciones en escaladas internas y preservar los plazos de respuesta.
-
Evaluación estratégica: Términos del sitio web, políticas y contratos de cara al consumidor (Evaluación estratégica). Revisamos cómo interactúan sus DPAs con avisos públicos y flujos online, incluidos enlaces de opt-out y de limitación. El objetivo es la trazabilidad entre lo que usted declara y lo que realmente hacen los proveedores.
-
Paquete de alineación aviso-contrato. Vinculamos las restricciones del DPA con su Notice at Collection y su política de privacidad, abarcando categorías, finalidades, marco de retención y postura de enlaces. Esto reduce el riesgo de recopilar categorías no divulgadas o usar datos para finalidades incompatibles sin un nuevo aviso.
Adecuación (retrofit) y revisión de brechas para proveedores existentes
-
Proyecto de adecuación de contratos de proveedores (revisión de brechas + redlines). Revisamos acuerdos marco de servicios existentes y anexos para requisitos de proveedor de servicios o contratista, limitación de finalidad y prohibiciones que, cuando proceda, respalden comunicaciones por propósito empresarial en lugar de venta o cesión/compartición. Entregamos redlines y un plan de negociación que se ajusta al ritmo de compras.
-
Memorando de clasificación de transferencias de datos: análisis de venta vs. sharing vs. comunicación por propósito empresarial, vinculado a cada caso de uso del proveedor. Analizamos cada flujo de datos, incluidas cookies e identificadores, conforme a las definiciones legales de venta y sharing. El memorando se redacta con trazabilidad para auditoría, de modo que las partes interesadas puedan documentar por qué un proveedor se trata como proveedor de servicios, contratista o tercero.
-
Redacción de DPA para relaciones con proveedores bajo CCPA/CPRA (alineación y restricciones de proveedor de servicios/contratista). Para carteras de proveedores de alto volumen, creamos plantillas estándar de DPA y posiciones de reserva (fallback) que encajan en su playbook de compras. Esto reduce el tiempo de renegociación, manteniendo la precisión definitoria.
-
Cláusulas de soporte operativo de derechos del consumidor. Para herramientas de atención al cliente y CRM, añadimos deberes de cooperación alineados con su proceso de recepción y cumplimiento. Esto incluye disposiciones para recuperar datos entre sistemas y producir una copia portátil cuando sea exigible.
Límites de uso de datos y controles sobre Sensitive Personal Information
-
Limitaciones de finalidades permitidas para Sensitive Personal Information (SPI). Restringimos el uso y la divulgación de SPI a los Permitted SPI Purposes y alineamos el lenguaje contractual con los mecanismos de limitación cuando el SPI se utiliza más allá de dichas finalidades. Esto respalda expectativas de proporcionalidad y reduce la ampliación progresiva de funcionalidades (feature creep).
-
Minimización de datos + limitación de finalidad. Exigimos un tratamiento razonablemente necesario y proporcionado para las finalidades declaradas y vinculamos dichas finalidades a los servicios documentados del proveedor. Las cláusulas ayudan a evitar usos secundarios que entren en conflicto con sus avisos y con las expectativas del consumidor.
-
Condicionamiento por consentimiento/aviso para finalidades nuevas o incompatibles. Incluimos desencadenantes claros para determinar cuándo se requiere un nuevo aviso o consentimiento antes de ampliar el tratamiento. Esto respalda la gestión del cambio cuando los equipos de producto habilitan nuevas funcionalidades de proveedores.
-
Alineación de periodo/criterios de retención. Establecemos periodos de retención o criterios que se correspondan con las declaraciones de su Notice at Collection y con su capacidad operativa de supresión. Esto reduce disputas cuando los datos deben suprimirse por una solicitud del consumidor o por la desvinculación del proveedor (offboarding).
Alineación de avisos y flujos operativos
-
Paquete de alineación aviso-contrato. Vinculamos sus divulgaciones sobre categorías, finalidades, postura de venta o sharing y retención con restricciones del DPA que los proveedores deben cumplir. Esto mitiga la desalineación entre documentos públicos y el tratamiento real.
-
Memorando de clasificación de transferencias de datos: análisis de venta vs. sharing vs. comunicación por propósito empresarial, vinculado a cada caso de uso del proveedor. Creamos un registro práctico de cómo se clasifica cada proveedor y por qué. Esto respalda la gobernanza interna y reduce respuestas inconsistentes entre el equipo jurídico, marketing y seguridad de la información.
-
Proyecto de adecuación de contratos de proveedores (revisión de brechas + redlines). Priorizamos "quick wins" para proveedores de alto impacto como analítica, publicidad y plataformas de interacción con clientes. El proyecto se centra en las cláusulas concretas que determinan la clasificación y las obligaciones de aviso.
-
Evaluación estratégica: Términos del sitio web, políticas y contratos de cara al consumidor (Evaluación estratégica). Verificamos que las implementaciones de "Do Not Sell or Share My Personal Information" y "Limit the Use of My Sensitive Personal Information" se correspondan con su postura frente a proveedores. Esto cierra el ciclo entre contratos y flujos de cara al consumidor.
Venta, sharing y propósito empresarial: redacte conforme a la categoría correcta
En virtud de la California Consumer Privacy Act (CCPA), puede producirse una "venta" incluso sin intercambio de dinero si la información personal se transfiere a cambio de contraprestación valiosa conforme a Cal. Civ. Code § 1798.140(ad). El "sharing" se define por separado para la publicidad comportamental entre contextos conforme a Cal. Civ. Code § 1798.140(ah). Una comunicación para un "propósito empresarial" recibe un tratamiento distinto conforme a Cal. Civ. Code § 1798.140(e) y suele ser la postura pretendida para proveedores operativos. El riesgo es que las funcionalidades del proveedor, especialmente el seguimiento basado en cookies, puedan empujar la relación hacia una conducta propia de terceros si el contrato y la implementación no coinciden.
La normativa de California trata determinados acuerdos de publicidad comportamental entre contextos como tratamiento por terceros, incluso cuando un proveedor se presenta por lo demás como "service provider", lo que modifica los mecanismos de aviso y opt-out. Las reglas de notice at collection también se aplican con independencia de cómo se recopile la información personal, incluida la recopilación pasiva, conforme a Cal. Civ. Code § 1798.175. Para muchas empresas, los flujos de datos de personal y de contactos B2B hacen que los DPAs sean relevantes en sistemas de recursos humanos, herramientas de compras y operaciones de clientes.
-
Identifique cada transferencia de información personal, incluidos identificadores únicos y señales a nivel de cookie, y clasifíquela como venta, sharing o comunicación por propósito empresarial.
-
Designe el rol del proveedor como service provider o contractor únicamente cuando el contrato imponga la limitación de finalidad y las demás restricciones exigidas.
-
Prohíba servicios de publicidad comportamental entre contextos cuando pretenda un tratamiento como service provider o contractor, y confirme que la configuración del producto respalda dicha postura.
-
Limite la Sensitive Personal Information (SPI) a finalidades permitidas y documente si para el caso de uso se requieren avisos y enlaces de limitación.
-
Alinee los periodos o criterios de retención con su Notice at Collection y confirme que el proveedor puede ejecutar la supresión al finalizar el contrato y a solicitud.
-
Exija cooperación con solicitudes de acceso, supresión y rectificación, incluida la recuperación segura y la producción de copias portátiles cuando proceda.
Redactamos DPAs para respaldar una clasificación precisa, avisos coherentes y operaciones de privacidad ejecutables conforme al Derecho de California.
Cumplimiento normativo en California
Los DPAs son relevantes bajo la California Consumer Privacy Act (CCPA) porque los contratos con proveedores suelen determinar si un destinatario se trata como service provider, contractor o tercero, lo que afecta directamente a si una transferencia constituye una "venta" conforme a Cal. Civ. Code § 1798.140(ad) o "sharing" para publicidad comportamental entre contextos conforme a Cal. Civ. Code § 1798.140(ah). Si existe venta o sharing, se aplican el derecho de opt-out y las obligaciones de enlace previstas en Cal. Civ. Code §§ 1798.120(b) y 1798.135, con requisitos de presentación en Cal. Code Regs. Title 11, § 7013 y opciones alternativas de "Your Privacy Choices" conforme a Cal. Code Regs. Title 11, § 7015.
Los DPAs también deben reflejar las obligaciones de aviso y las reglas de limitación de finalidad. El notice at collection debe abarcar categorías, finalidades, si la información se vende o se comparte (shared) y el periodo o criterios de retención conforme a Cal. Civ. Code § 1798.100(a) y Cal. Code Regs. Title 11, § 7012. California también prohíbe recopilar categorías no divulgadas y utilizar información para finalidades incompatibles sin un nuevo aviso conforme a Cal. Code Regs. Title 11, §§ 7002(f) y 7012(d). Cuando intervenga Sensitive Personal Information (SPI), surgen mecanismos de limitación y restricciones de finalidades permitidas conforme a Cal. Civ. Code § 1798.121(a) y Cal. Code Regs. Title 11, § 7027(m).
Asesoría Jurídica flexible
Redacción de DPA y redlines
-
Revisar su plantilla de proveedor, mapear la clasificación del flujo de datos y entregar redlines que incorporen, cuando proceda, restricciones de service provider o contractor.
-
Negociar cláusulas prioritarias, incluidas limitación de finalidad, prohibiciones de publicidad comportamental entre contextos, retención y cooperación en solicitudes del consumidor.
-
Finalizar anexos listos para firma que se alineen con su proceso de compras y con el acuerdo marco de servicios (master service agreement).
Adecuación (retrofit) de la cartera de proveedores
-
Inventariar los proveedores clave y, a continuación, priorizar (triage) por tipo de datos, identificadores, Sensitive Personal Information (SPI) y exposición a seguimiento basado en cookies.
-
Estandarizar lenguaje de reserva (fallback) y, después, ejecutar un ciclo repetible de revisión de brechas y redlines en renovaciones y nuevas incorporaciones.
-
Entregar un memorando de clasificación y una matriz de contratación que los equipos de compras y seguridad puedan aplicar de forma coherente.
Alineación de operaciones de privacidad
-
Vincular los términos del DPA con las divulgaciones del Notice at Collection y de la política de privacidad, incluidas categorías, finalidades, marco de retención y postura de enlaces.
-
Añadir cláusulas de implementación para solicitudes de acceso, supresión y rectificación, además de mecanismos de escalado y cooperación con proveedores.
-
Coordinar con los requisitos de seguridad y los procedimientos de respuesta a incidentes para que las obligaciones contractuales coincidan con la realidad operativa.
Los encargos se estructuran para ajustarse al ritmo de compras y a las vías internas de aprobación. Mantenemos la redacción anclada en las definiciones de la California Consumer Privacy Act (CCPA) y en cómo sus proveedores tratan realmente los datos.
Red de Privacidad y Contratos en California
Construya un sistema contrato-aviso que funcione en la práctica
Preguntas frecuentes sobre Anexos de Tratamiento y Seguridad de Datos (DPA)
¿Qué términos contractuales son necesarios para tratar a un proveedor como service provider o contractor conforme a la California Consumer Privacy Act (CCPA)?
Depende: el contrato debe controlar activos de información personal como identificadores, actividad online, registros de clientes y, en algunos casos, Sensitive Personal Information (SPI). El alcance incluye la definición del rol y restricciones exigibles, entre ellas: tratamiento limitado a propósitos empresariales especificados, límites de retención y deberes de cooperación para solicitudes de acceso, supresión y rectificación. El riesgo oculto es denominar a un proveedor "service provider" en una plantilla, pero mantener amplios derechos de reutilización que hacen que el destinatario funcione como un tercero. Law Laguna redacta y marca cambios (redlines) en DPAs para ajustarlos a las expectativas de Cal. Civ. Code §§ 1798.100 to 1798.199.100 y Cal. Code Regs. Title 11, §§ 7000 to 7304 sobre clasificación, avisos y flujos operativos.
¿Compartir datos con un proveedor cuenta como "venta" conforme a la California Consumer Privacy Act (CCPA)?
Depende: compartir activos de información personal como identificadores de cookies, identificadores de dispositivos, identificadores a nivel de hogar y datos de actividad online puede constituir una "venta" incluso sin dinero. El alcance depende de si la transferencia es a cambio de "valuable consideration" y si aplica una excepción, frente a una comunicación para un propósito empresarial definido. El riesgo oculto es asumir que, si no hay pago, no hay "venta", aunque Cal. Civ. Code § 1798.140(ad) cubre contraprestación no monetaria y beneficios habituales de adtech. Law Laguna prepara un memorando de clasificación de transferencia de datos y, a continuación, redacta el DPA y la alineación de avisos necesarios para respaldar la postura pretendida conforme a Cal. Civ. Code § 1798.140(ad), § 1798.140(ah) y § 1798.140(e).
¿Cuándo necesitamos un enlace "Do Not Sell or Share My Personal Information" para el seguimiento relacionado con proveedores?
Sí, necesita el enlace cuando sus flujos de datos implican activos de información personal como identificadores online, IDs de cookies y actividad de navegación que se venden o se comparten (shared). El alcance es la implementación de cara al consumidor más los controles de proveedores: el opt-out debe respetarse en todas las herramientas y destinatarios relevantes y reflejarse en su aviso de opt-out. El riesgo oculto es tratar a un proveedor de publicidad comportamental entre contextos como service provider cuando Cal. Code Regs. Title 11, § 7050(b) puede tratar esa función como conducta de terceros, activando requisitos de opt-out. Law Laguna alinea sus restricciones del DPA y la configuración técnica con Cal. Civ. Code §§ 1798.120(b) y 1798.135 y Cal. Code Regs. Title 11, § 7013 para que sus obligaciones de enlace coincidan con el tratamiento real.
¿Qué debe indicar nuestro Notice at Collection sobre periodos de retención y categorías si los proveedores reciben los datos?
Sí, el Notice at Collection debe abordar activos de información personal como categorías recopiladas, finalidades, si se vende o se comparte (shared) y el periodo o criterios de retención, incluso cuando los proveedores reciban o traten los datos. El alcance es la trazabilidad: sus declaraciones de aviso deben coincidir con la limitación de finalidad, la retención y los mecanismos de supresión del DPA para que el proveedor pueda cumplir durante todo el ciclo de vida. El riesgo oculto es recopilar nuevas categorías mediante una funcionalidad del proveedor sin actualizar el aviso, lo que entra en conflicto con Cal. Code Regs. Title 11, §§ 7002(f) y 7012(d) sobre categorías no divulgadas y finalidades incompatibles. Law Laguna mapea los elementos de datos del proveedor conforme a Cal. Civ. Code § 1798.100(a) y Cal. Code Regs. Title 11, § 7012, y luego redacta términos de retención y supresión que operaciones pueda ejecutar.
¿Cómo debe abordar un DPA la Sensitive Personal Information (SPI) y los "Permitted SPI Purposes"?
Depende: los activos de Sensitive Personal Information (SPI) pueden incluir geolocalización precisa, identificadores gubernamentales y otras categorías de SPI definidas legalmente. El alcance consiste en restringir el uso y la divulgación a Permitted SPI Purposes, documentar necesidad razonable y proporcionalidad, y establecer limitaciones que se integren con sus avisos de limitación de cara al consumidor y con sus flujos internos. El riesgo oculto es permitir que un proveedor use SPI para analítica secundaria o perfilado fuera de finalidades permitidas, lo que puede activar obligaciones de limitación y crear desajustes aviso-contrato. Law Laguna redacta cláusulas de SPI vinculadas a Cal. Civ. Code § 1798.121(a) y Cal. Code Regs. Title 11, § 7027(m), con controles operativos que respalden solicitudes de limitación y la gestión del cambio.
Si un proveedor presta publicidad comportamental entre contextos, ¿podemos seguir tratándolo como service provider o contractor?
No. Prestar servicios de publicidad comportamental entre contextos con activos de información personal como identificadores de cookies, identificadores de dispositivos y actividad online normalmente empuja la relación hacia un tratamiento de tercero para esa función. El alcance consiste en decidir si clasificar el flujo como "sharing", implementar mecanismos de opt-out y ajustar el contrato y la configuración del producto en consecuencia, en lugar de confiar en etiquetas. El riesgo oculto es mantener un anexo de "service provider" mientras el proveedor ejecuta publicidad comportamental entre contextos, lo que puede socavar su clasificación y su postura de avisos. Law Laguna aplica Cal. Civ. Code § 1798.140(ah) y las restricciones referenciadas en Cal. Civ. Code § 1798.140(e)(6), (j)(1)(A)(ii), (ag)(1)(B) y Cal. Code Regs. Title 11, § 7050(b) para redactar términos defendibles.
¿Cómo respaldan los DPAs, operativamente, solicitudes de acceso, supresión y rectificación del consumidor?
Sí, los DPAs deben controlar activos de información personal como identificadores de clientes, datos de cuenta, registros de transacciones y comunicaciones que los proveedores almacenen o traten. El alcance consiste en exigir cooperación para solicitudes de acceso, supresión y rectificación, definir asistencia de verificación y fijar plazos y métodos de transferencia segura para producir una copia portátil cuando proceda. El riesgo oculto es dejar la cooperación como opcional, lo que provoca escaladas internas cuando un proveedor no puede recuperar o suprimir datos dentro de su flujo de respuesta. Law Laguna redacta cláusulas de cooperación operativa alineadas con Cal. Civ. Code §§ 1798.100 to 1798.199.100 y con las expectativas de aviso y flujo en Cal. Code Regs. Title 11, §§ 7000 to 7304.
¿Los empleados y los solicitantes de empleo cuentan como "consumers" a efectos de DPAs con proveedores de recursos humanos en California?
Sí, empleados, candidatos y contratistas pueden estar dentro del ámbito de consumidor, y los DPAs pueden abarcar activos de información personal como identificadores de nómina, datos de beneficios, perfiles de selección y identificadores de dispositivos utilizados en herramientas de personal. El alcance es asegurar que los proveedores de recursos humanos cumplan la limitación de finalidad, los límites de retención y los deberes de cooperación para flujos de acceso, supresión y rectificación que su organización debe gestionar. El riesgo oculto es tratar los datos de recursos humanos como fuera del programa de la California Consumer Privacy Act (CCPA), lo que puede implicar avisos ausentes, criterios de retención poco claros y reutilización por el proveedor más allá de propósitos empresariales. Law Laguna alinea los DPAs de recursos humanos con Cal. Civ. Code § 1798.140(i), Cal. Code Regs. Title 18, § 17014 y la estructura de notice at collection de Cal. Civ. Code § 1798.100(a) y Cal. Code Regs. Title 11, § 7012.
Detenga resultados involuntarios de venta o sharing en contratos con proveedores
La clasificación incorrecta y un lenguaje de DPA poco estricto suelen aflorar más tarde, durante auditorías de cookies, negociaciones de renovación o escaladas por solicitudes del consumidor. Cuando avisos, enlaces y conducta del proveedor no coinciden, los equipos pierden tiempo conciliando divulgaciones públicas con el tratamiento real. La solución es una clasificación "contract-first" y, a continuación, restricciones exigibles y deberes de cooperación que operaciones pueda ejecutar.
Comenzamos con una recepción acotada (intake) de su caso de uso con el proveedor, elementos de datos y postura prevista (service provider, contractor o tercero). Después entregamos redlines, un memorando de clasificación si es necesario, y una lista de verificación de alineación para avisos y flujos operativos.