¿Se aplica la CCPA a mi SaaS?
Si cruza cualquiera de tres umbrales (ingresos, número de consumidores o porcentaje de ingresos por venta), sí.
La CCPA/CPRA se aplica si su empresa cumple cualquiera de tres umbrales: (1) ingresos brutos anuales superiores a $26.625M (cifra de 2025), (2) compra, venta, intercambio o recepción de información personal de más de 100,000 consumidores u hogares de California, o (3) obtener el 50% o más de los ingresos anuales de la venta o el intercambio de información personal de California. Las empresas de SaaS cruzan con mayor frecuencia el segundo umbral en el momento en que tienen una base significativa de usuarios de California, incluso antes de generar ingresos. El Paquete de Cumplimiento de Privacidad incluye un análisis de umbrales por escrito vinculado a su modelo de negocio.
¿Puedo simplemente usar un generador gratuito de Política de Privacidad?
Puede publicar una, pero una política desalineada es peor que ninguna política porque es una declaración por escrito que los reguladores y los demandantes pueden citar en su contra.
Los generadores gratuitos producen rutinariamente políticas que describen erróneamente sus prácticas de datos, indican información de contacto incorrecta del AG, omiten las divulgaciones de sensitive personal information de la CPRA, no incluyen el obligatorio CCPA Notice at Collection y contienen lenguaje de exclusión voluntaria que no coincide con su mecanismo real. La revisión de $575 detecta los peores de estos defectos y le da un borrador corregido que puede publicar.
¿Cuál es la diferencia entre una Política de Privacidad y un DPA?
Una Política de Privacidad es su aviso público a los consumidores. Un DPA es un contrato entre usted y un proveedor o cliente B2B que asigna las responsabilidades de GDPR/CCPA.
Un DPA especifica quién es el controller, quién es el processor, qué categorías de datos se procesan, qué medidas de seguridad se aplican y cómo se gestionan las transferencias internacionales. El Paquete de Cumplimiento de Privacidad incluye ambos porque la mayoría de las empresas de SaaS B2B necesitan ambos, y tienen que ser coherentes entre sí: una política de privacidad que niegue el procesamiento en nombre de los clientes mientras un DPA lo asume crea una contradicción que las acciones de aplicación han citado.
¿Necesito un enlace de exclusión voluntaria de CCPA si aún no genero ingresos?
Posiblemente: no generar ingresos no lo exime de la CCPA. Solo lo hacen los tres umbrales.
Si recopila información personal de usuarios de California y la vende o comparte con terceros (lo que incluye la mayoría de las integraciones de ad-tech y de analítica según la interpretación actual de la CPPA), necesita un enlace "Do Not Sell or Share My Personal Information", un enlace "Limit the Use of My Sensitive Personal Information" si procesa PI sensible, y un mecanismo que respete la señal de preferencia de exclusión voluntaria (Global Privacy Control). La revisión le indica qué enlaces necesita realmente según su stack.
¿Qué pasa si mis clientes son residentes de la UE?
El GDPR se aplica de forma extraterritorial cuando ofrece bienes o servicios a personas en la UE/Reino Unido o monitorea su comportamiento: eso significa un aviso más largo, una base legal para cada actividad y probablemente un representante en la UE.
Necesita un aviso de privacidad conforme al GDPR (más largo y específico que el de la CCPA), una base legal para cada actividad de procesamiento, un representante en la UE si no tiene un establecimiento en la UE, Standard Contractual Clauses para las transferencias internacionales y una plantilla de Data Processing Agreement para sus processors. El Paquete de Cumplimiento de Privacidad incluye la capa de GDPR cuando corresponde; la contratación del representante en la UE en sí es un servicio de proveedor independiente que puedo recomendar.
¿Cuánto tarda el paquete?
De cinco a siete días hábiles para el primer borrador una vez que tengo sus insumos.
Insumos que necesito: la Política de Privacidad actual si la hay, los Términos de Servicio actuales, la lista de subprocessors, la lista de integraciones, las jurisdicciones donde tiene usuarios y una descripción de un párrafo de sus flujos de datos. Se incluye una ronda de revisiones. Si necesita una entrega más rápida por una fecha límite de lanzamiento, dígamelo al momento de la contratación y le cotizaré un cronograma acelerado por separado.
¿Es usted abogado de California?
Sí: California Bar #279869, con licencia desde 2011. Trabajo con clientes de todo el país en asuntos de privacidad y Términos de Servicio.
Soy Sergei Tokmakov, con licencia en California (
CA Bar #279869) desde 2011. El trabajo de privacidad y Términos de Servicio es redacción de contratos y cumplimiento de leyes federales, no litigio específico de un estado, por lo que trabajo con clientes de todo el país. La contratación es por correo electrónico y Zoom.
