CCPA: California Consumer Privacy Act, Cal. Civ. Code §§ 1798.100 et seq. En vigor desde el 1 de enero de 2020.
CPRA: California Privacy Rights Act (Proposition 24, aprobada noviembre 2020). Modificaciones en vigor desde el 1 de enero de 2023. Crea la CPPA.
CPPA: California Privacy Protection Agency — autoridad de cumplimiento creada por la CPRA. Sustituye parcialmente la aplicación por el Attorney General. Web: cppa.ca.gov
Attorney General de California: mantiene competencia concurrente en algunas áreas.
Reglamentos de la CPPA (en continua evolución, verificar fecha): incluyen reglas sobre opt-out signals (GPC), contratos con contratistas/proveedores de servicios, y obligaciones sobre datos de menores.

⚠️ CCPA ≠ RGPD: La CCPA aplica un modelo opt-out (el consumidor opta por salir), no un modelo opt-in como el RGPD. No requiere base jurídica para cada tratamiento, pero sí exige transparencia y respeto de los derechos de opt-out.

⚠️ CCPA es UMBRAL-DEPENDIENTE: Solo aplica a empresas for-profit. Verificar si el sitio auditado supera al menos uno de los tres umbrales (ver Bloque 0).

⚠️ Versión normativa: La CPPA continúa publicando reglamentos. Verificar cppa.ca.gov para actualizaciones antes de finalizar cualquier auditoría.

Paso 0 — Verificación de aplicabilidad (umbral)

La CCPA/CPRA solo aplica a empresas for-profit que hacen negocios en California y cumplen al menos uno de estos tres umbrales:

Umbral	Criterio
A	Ingresos brutos anuales > USD 25 millones
B	Compra, venta, recepción o compartición de datos personales de ≥ 100.000 consumidores o unidades familiares en California por año
C	≥ 50% de los ingresos anuales provienen de la venta o compartición de datos personales de consumidores

Proceso:

Si el sitio es de una ONG, entidad pública o empresa sin ánimo de lucro: CCPA no aplica → reportar como N/A.
Si la empresa es for-profit pero no hay evidencia de superar ningún umbral: reportar como "probablemente no sujeto a CCPA — aplicabilidad a verificar con el cliente".
Si hay indicios de superar uno o más umbrales (escala, publicidad dirigida, e-commerce de volumen, integración con brokers de datos): continuar la auditoría.

Señales que sugieren aplicabilidad:

Publicidad comportamental o programática activa (Google Ads, Meta Pixel, etc.)
Sitios de e-commerce a escala
Operaciones de generación de leads
Empresa con presencia en California o enfocada al mercado de EE.UU.
Integración con data brokers o plataformas de datos de terceros

Si no se puede determinar la aplicabilidad: continuar la auditoría con nota de contingencia.

Paso 0b — Stack tecnológico

Si este skill es invocado desde el orquestador /privacidad, usar el Paso 0 compartido. Si se invoca directamente, ejecutar el Paso 0 del skill rgpd.

Señales adicionales específicas de CCPA/California:

"California Privacy" / "CCPA" / "CPRA" / "Do Not Sell" en el footer o política
"California Residents" en la política de privacidad
"Global Privacy Control" o señal GPC mencionada
".ca.gov" en páginas de referencia de derechos
USD como moneda; sede declarada en California o EE.UU.

Paso 1 — Recopilación de datos del sitio

Rutas comunes de políticas de privacidad CCPA:

/privacy-policy
/privacy
/california-privacy-rights
/ccpa
/do-not-sell
/do-not-sell-my-personal-information

Paso 2 — Detección de sector

Usar la matriz del skill rgpd. Sectores con regulación adicional en California:

Sector	Regulación adicional
Salud	CMIA (Confidentiality of Medical Information Act); posibles exclusiones HIPAA
Financiero	GLBA (Gramm-Leach-Bliley Act) — datos financieros pueden tener exención parcial
Educación	FERPA — datos de estudiantes pueden estar excluidos
Menores	COPPA (federal); CCPA secc. 1798.120(c) — prohibición de venta de datos de menores < 16

⚠️ CCPA tiene interacciones complejas con leyes sectoriales federales. Si aplica un sector regulado, verificar si existen datos excluidos del ámbito de la CCPA.

Paso 3 — Auditoría por bloques

Evaluar: Cumple / Parcial / No cumple / No evaluable

Bloque 1 — Identificación del negocio y datos de contacto (§ 1798.130)

Peso: 10 pts

Verificar en la política de privacidad (Privacy Policy):

Nombre o razón social del negocio
Datos de contacto para ejercicio de derechos: email designado O formulario web
Teléfono gratuito (toll-free) — exigido si el negocio opera en California con consumidores directos (§ 1798.130(a)(1))
Sede o domicilio del responsable (no exigido pero buena práctica)
Fecha de "última actualización" de la política de privacidad

Bloque 2 — Política de privacidad: existencia y acceso (§ 1798.130)

Peso: 5 pts

La CCPA exige una Privacy Policy "conspicuamente publicada":

Existe política de privacidad publicada
Enlace visible en el footer (el término exacto "Privacy Policy" es el estándar)
Accesible desde la página de inicio con un solo clic
Si el negocio tiene app o tienda online: enlace en el punto de recogida de datos
Versión exclusiva para "California Residents" o sección dedicada claramente identificada

Bloque 3 — Política de privacidad: contenido mínimo (§ 1798.110 + § 1798.115 + § 1798.130)

Peso: 15 pts

La CCPA exige informar sobre (1 pt por ítem):

Categorías de datos y finalidades:

Categorías de información personal (PI) recogida en los últimos 12 meses
Finalidades para las que se usa cada categoría de PI
Categorías de fuentes de las que se recoge PI
Categorías de terceros con los que se comparte PI

Ventas y compartición:

Categorías de PI vendida o compartida en los últimos 12 meses (o declaración de que no se vende ni comparte PI)
Categorías de terceros a los que se vende o comparte PI

Información personal sensible (SPI — CPRA):

Si se recoge SPI: categorías específicas de SPI recogidas
Finalidades del tratamiento de SPI
Si SPI se usa más allá de lo necesario para el servicio: derechos de limitación

Periodos de conservación:

Para cada categoría de PI: periodo de conservación o criterios para determinarlo (CPRA — § 1798.100(a)(3))

Derechos del consumidor:

Lista de los 8 derechos (ver Bloque 6)
Mecanismo(s) para ejercerlos
Descripción del proceso de verificación de identidad
Derecho a no ser discriminado por ejercer sus derechos (§ 1798.125)

Menores:

Si el negocio vende datos de menores: mencionar el régimen específico (< 13 años: consentimiento de padre/tutor; 13-15: opt-in del propio menor)

Actualización anual:

La política se actualiza al menos una vez al año (§ 1798.130(a)(5)) — verificar fecha de última actualización

Bloque 4 — Opt-out: "Do Not Sell or Share My Personal Information" (§ 1798.120 + § 1798.121)

Peso: 15 pts

Este es uno de los elementos más específicos de la CCPA. No tiene equivalente directo en el RGPD.

"Venta" y "compartición" (sharing) en la CCPA/CPRA:

Venta: intercambio de PI por dinero u otra contraprestación de valor
Compartición (sharing): transferir PI a un tercero para publicidad comportamental entre contextos (cross-context behavioral advertising) — aunque sea sin pago (CPRA)
Descarga práctica: si el sitio usa Meta Pixel, Google Analytics con señales de audience, Google Ads, o cualquier cookie publicitaria de terceros activa sin opt-out: casi seguramente está "vendiendo" o "compartiendo" PI bajo la definición CCPA

Requisitos:

Enlace "Do Not Sell or Share My Personal Information" o "Do Not Sell My PI" visible en el footer de la página de inicio y de todas las páginas donde se recojan datos
El enlace es funcional y lleva a un mecanismo de opt-out
El mecanismo de opt-out es gratuito
No se exige crear una cuenta para ejercer el opt-out
Si el negocio declara que NO vende ni comparte PI: debe ser verificable (revisar trackers activos antes de aceptar esta declaración)

Global Privacy Control (GPC) — § 1798.135(b) + Reglamentos CPPA:

El sitio reconoce y respeta la señal GPC (obligatorio para negocios sujetos a CPRA)
La política menciona la señal GPC o "señales de preferencia del usuario"

Nota: Si se detectan cookies de publicidad comportamental activas (antes de cualquier opt-out) pero no hay enlace "Do Not Sell or Share": issue crítico.

Bloque 5 — Información Personal Sensible (SPI) y derecho de limitación (§ 1798.121 CPRA)

Peso: 10 pts

La CPRA añade la categoría de Sensitive Personal Information (SPI) con un derecho propio de limitación ("Limit the Use of My Sensitive Personal Information").

Categorías de SPI (§ 1798.140(ae)):

Social Security Number (SSN), número de pasaporte, número de licencia de conducir
Información de cuenta financiera, tarjeta de crédito/débito con credenciales de acceso
Datos de geolocalización precisa
Datos raciales o étnicos, religiosos o filosóficos, sindicales
Datos de correo, emails o SMS privados sin el fin de prestar el servicio
Datos genéticos
Datos biométricos procesados para identificar unívocamente a una persona
Datos de salud (diagnóstico, tratamiento)
Datos sobre vida sexual u orientación sexual

Si el sitio NO recoge ni usa SPI: marcar N/A, 10 pts.

Si recoge o usa SPI:

Categorías de SPI identificadas en la política
Finalidades del tratamiento de SPI declaradas
Enlace separado "Limit the Use of My Sensitive Personal Information" (si la SPI se usa para más de los propósitos permitidos sin limitación)
El mecanismo de limitación es funcional y gratuito
Si la SPI se "vende" o "comparte": el enlace "Do Not Sell or Share" lo cubre también

Bloque 6 — Derechos del consumidor (§ 1798.100–1798.125)

Peso: 15 pts

La CCPA/CPRA reconoce 8 derechos. Plazo de respuesta: 45 días calendario (prorrogables 45 días adicionales con notificación). Máximo 2 solicitudes por categoría por período de 12 meses:

Derecho a saber (§ 1798.110): qué PI se recopila, de dónde, con qué fin, con quién se comparte; período de los últimos 12 meses
Derecho a eliminar (§ 1798.105): solicitar eliminación de PI recopilada; aplican excepciones (legal, seguridad, fraude, etc.)
Derecho a corregir (§ 1798.106 — CPRA): solicitar corrección de PI inexacta
Derecho a opt-out de venta/compartición (§ 1798.120/121): no se puede discriminar al consumidor por ejercerlo (§ 1798.125)
Derecho a limitar el uso de SPI (§ 1798.121 — CPRA): limitar el uso de SPI a los propósitos mínimos necesarios para prestar el servicio
Derecho a la portabilidad (§ 1798.100(d)): recibir PI en formato portable y usable; aplica a solicitudes de acceso
Derecho a no ser discriminado (§ 1798.125): el negocio no puede negar servicios, cobrar más o dar calidad inferior por ejercer derechos CCPA
Derecho a opt-out de decisiones automatizadas (§ 1798.185(a)(16) — Reglamento CPPA): en tramitación; verificar estado actual en cppa.ca.gov

Menores (§ 1798.120(c)):

< 13 años: prohibición de venta salvo consentimiento opt-in del padre/tutor
13–15 años: prohibición de venta salvo consentimiento opt-in del propio menor
Infracción con menores: multa de USD 7.500 por incidente (vs. USD 2.500 otros casos)

Verificar:

Todos los derechos mencionados en la política
Canal funcional para ejercer derechos: email designado Y/O formulario web
Teléfono gratuito disponible (si procede por tamaño de negocio)
Plazo de respuesta de 45 días mencionado
Proceso de verificación de identidad descrito (razonable, no excesivamente oneroso)
Declaración explícita de no discriminación por ejercer derechos

Bloque 7 — Acuerdos con proveedores de servicios y contratistas (§ 1798.140(ag)/(e))

Peso: 10 pts

La CPRA establece tres tipos de terceros receptores de PI:

Service provider (proveedor de servicios): recibe PI solo para prestar el servicio; necesita contrato específico que prohíbe venta/compartición y limita uso
Contractor (contratista): recibe PI bajo contrato pero puede procesarla en sus propios sistemas; también necesita contrato equivalente
Third party (tercero): todos los demás; la venta/compartición con ellos activa el derecho de opt-out

Nota práctica: Los trackers de publicidad (Meta Pixel, Google Ads, etc.) que reciben PI para sus propias finalidades son "terceros", no "service providers" — activan el régimen de opt-out aunque el negocio los llame "proveedores".

Verificar:

La política distingue entre "service providers / contractors" y "terceros"
Si el sitio usa terceros publicitarios: reconoce que comparte/vende PI con ellos
La política menciona que existen contratos con service providers que limitan el uso
No hay trackers de publicidad activos sin haberse declarado en la sección de "venta/compartición"

Bloque 8 — Seguridad y notificación de brechas (§ 1798.100(e) + § 1798.150)

Peso: 5 pts

La CCPA no establece medidas de seguridad específicas, pero exige medidas "razonables". La CPRA añade que el tratamiento debe limitarse a lo necesario.

Derecho de acción privada por brechas (§ 1798.150): Los consumidores cuyos datos fueron comprometidos en una brecha por falta de medidas de seguridad razonables tienen derecho a daños de USD 100 a USD 750 por consumidor por incidente, o los daños reales si son mayores. Esto es un derecho de acción privada — no requiere intervención de la CPPA.

Verificar:

HTTPS activo en todas las páginas
Certificado SSL/TLS válido y no expirado
HSTS habilitado
La política menciona que se adoptan medidas de seguridad razonables
Si la política menciona brechas: describe el proceso o referencia la notificación (California tiene ley de notificación de brechas separada — Cal. Civ. Code § 1798.82)

Bloque 9 — Tratamiento de datos de menores (§ 1798.120(c) + COPPA)

Peso: 5 pts

Si el sitio no está dirigido a menores ni recoge datos de menores: N/A, 5 pts.

Si el sitio puede llegar a menores:

La política indica cómo se gestiona la información de menores
Si recoge datos de menores < 13: menciona el consentimiento parental requerido
Si puede vender datos de menores 13–15: menciona el opt-in del menor requerido
No hay mecanismo para que menores < 13 se registren sin consentimiento parental
Si opera bajo COPPA (federal, < 13): verificar cumplimiento COPPA separadamente

Bloque 10 — Autenticidad y actualización de la política (§ 1798.130(a)(5))

Peso: 10 pts

La CCPA exige que la Privacy Policy sea actualizada al menos cada 12 meses y que refleje las prácticas reales del negocio.

Verificar:

Fecha de "última actualización" o "Last Updated" visible
La fecha es de hace menos de 12 meses respecto a la auditoría
Las categorías de PI declaradas coinciden con los trackers y formularios activos detectados en el Paso 0 (coherencia política vs. realidad técnica)
Si el sitio usa Google Analytics, Meta Pixel, u otros trackers: están declarados en la sección de categorías de PI recogida y de terceros
La política distingue correctamente entre "venta" y "compartición" per CPRA
Si hay prácticas de publicidad comportamental: están reconocidas como "compartición"

Paso 4 — Score global

Score = suma de puntos obtenidos / 100

Rango	Interpretación
80–100	Postura defensible
60–79	Riesgo moderado
40–59	Riesgo alto
0–39	Riesgo crítico

Paso 5 — Clasificación de issues y sanciones (§ 1798.155 + § 1798.150)

Sanciones administrativas (CPPA — § 1798.155):

Conducta	Sanción por violación
Violación no intencional	USD 2.500
Violación intencional	USD 7.500
Violación con datos de menores < 16	USD 7.500 siempre (no existe la escala "no intencional")

No hay límite global establecido por ley, pero el CPPA puede multar por cada "violación" — y si se afecta a miles de consumidores, las multas se multiplican.

Derecho de acción privada (§ 1798.150):

USD 100–750 por consumidor por incidente de brecha de datos
Los daños reales si son mayores
Acciones de clase son posibles

Críticos:

Sin enlace "Do Not Sell or Share" cuando el sitio claramente vende/comparte PI → § 1798.120/121
Trackers publicitarios activos sin declaración ni opt-out → USD 7.500/violación intencional
Sin política de privacidad publicada → § 1798.130
Sin mecanismo para ejercer derechos → § 1798.130
Venta/compartición de datos de menores < 16 sin opt-in → USD 7.500 por violación
Sin HTTPS → § 1798.150 (riesgo de acción privada en caso de brecha)

Medios:

Política existe pero sin sección para residentes de California
Sin teléfono gratuito cuando es exigible
Sin fecha de actualización o desactualizada (> 12 meses)
SPI recogida pero sin enlace "Limit the Use" si aplica
No se menciona el período de conservación de datos (CPRA § 1798.100(a)(3))
Política no distingue "service provider" de "tercero"
GPC no mencionado ni respetado

Bajos:

Falta declaración explícita de no discriminación
Proceso de verificación de identidad no descrito
Plazo de 45 días no mencionado explícitamente

Paso 6 — Output según modo

Guardar en C:/Users/cmano/claude-seo/[cliente]/auditoria_ccpa_[fecha].md o .docx.

Modo --docx: misma estructura que rgpd, adaptada:

Autoridad: CPPA (cppa.ca.gov) + Attorney General de California
Sanciones: USD 2.500 / USD 7.500 por violación; USD 100–750 acción privada por brecha
Umbral de aplicabilidad: incluir sección de "Alcance y aplicabilidad" al inicio
Idioma del informe: inglés (si el sitio auditado es en inglés) o español
Pie de página: hipervínculo "Zythos Media" → https://zythos.media

Actualización normativa

CCPA base: en vigor desde 1 enero 2020.
CPRA modificaciones: en vigor desde 1 enero 2023.
Reglamentos CPPA: en evolución continua — verificar cppa.ca.gov antes de auditorías.
GPC: obligatorio reconocerlo per Reglamentos CPPA; verificar si se ha expandido.
Derecho a opt-out de decisiones automatizadas: en proceso reglamentario — verificar estado.
Versión de esta skill: 1.0.0 (2026-07-08).

ccpa

CCPA / CPRA — Auditoría de Cumplimiento (California, EE.UU.)

Uso

Marco normativo