Ley de Derechos de Privacidad de California (CPRA)

¿Qué es Ley de Derechos de Privacidad de California (CPRA)?

La Ley de Derechos de Privacidad de California (CPRA) fue aprobada por la legislatura del estado en 2020 y entrará en vigencia el 1 de enero de 2023. La CPRA modifica la Ley de Privacidad del Consumidor de California (CCPA) e incluye protecciones adicionales de la privacidad de los consumidores y exige a las empresas que sean transparentes sobre la forma en que recopilan, comparten y utilizan los datos personales de los consumidores.

• La CPRA se aplica a las empresas que hacen negocios en California, recopilan información del consumidor y determinan la forma en que se procesa esa información, y si se aplica uno o más de los siguientes casos:
  
  • que tengan unos ingresos brutos anuales superiores a $25 millones en el año calendario anterior
  • que un 50 % o más de sus ingresos anuales provengan de vender información personal de los consumidores o de compartir información personal con fines de marketing, basado en el comportamiento en contextos cruzados
  • que, por sí sola o en combinación con otra, compre, venda o comparta anualmente la información personal de 100,000 o más consumidores u hogares
• El objeto de la CPRA es complementar la legislación federal y del estado, si fuera posible, aunque no será aplicable si su aplicación fuera reemplazada por la legislación federal o la Constitución de los EE.UU. o del estado de California, o si esta fuese contraria a sus disposiciones. Existen limitaciones en la CPRA para la información relacionada con los consumidores y ciertas empresas en manos de instituciones financieras, que están reguladas por leyes y reglamentos federales.
  

Los derechos de los consumidores de California en virtud de la CPRA incluyen lo siguiente:
Divulgación. Toda empresa debe revelar la información personal recabada, vendida o divulgada con un fin comercial acerca de un consumidor.

• Una empresa que recopile información personal debe dar a conocer las siguientes prácticas de recopilación de información en respuesta a una solicitud verificada de un consumidor:
  • Las categorías de información personal que la empresa haya recopilado acerca del consumidor
  • Las categorías de las fuentes a partir de las cuales se recaba la información personal
  • El fin comercial para el que se recopila la información personal
  • Las categorías de terceros con los que la empresa comparte la información personal
  • La información personal específica que la empresa haya recopilado acerca del consumidor
• Una empresa que venda o comparta información personal de un consumidor o divulgue información personal de un consumidor con fines comerciales debe comunicar las siguientes prácticas de divulgación de información en respuesta a una solicitud verificada de un consumidor:
  • categorías de información personal que la empresa haya recopilado acerca del consumidor
  • categorías de información personal que la empresa haya vendido o compartido acerca del consumidor
  • categorías de terceros a quienes se les haya vendido o con quienes se haya compartido la información personal
  • categorías de información personal vendida o compartida con cada tercero (si la empresa no vendió información personal de los consumidores, deberá informarlo)
  • categorías de información personal que la empresa haya revelado acerca del consumidor con un fin comercial (si la empresa no divulgó información personal de los consumidores con un fin comercial, deberá informarlo)

Derecho a saber. Las empresas que recopilen información personal de un consumidor deben divulgar y entregar una copia de la información personal específica recopilada sobre el consumidor en respuesta a una solicitud verificable del consumidor.

Eliminación. Las empresas deben eliminar la información personal recopilada sobre un consumidor y exigir a los proveedores de servicios y contratistas que eliminen la información personal del consumidor en respuesta a una solicitud verificada del consumidor, con ciertas excepciones.

Podemos rechazar su solicitud de eliminación si es necesario conservar la información para que nosotros o nuestros proveedores de servicios podamos:

• Llevar a cabo la operación para la que recopilamos la información personal, suministrar un bien o servicio que usted solicitó, tomar medidas razonablemente previstas en el contexto de nuestra relación comercial en curso con usted o cumplir nuestro contrato con usted.
• Detectar incidentes de seguridad, protegernos de actividades maliciosas, engañosas, fraudulentas o ilegales o actuar contra los responsables de dichas actividades, y contribuir a garantizar la seguridad y la integridad en la medida en que el uso de su información personal sea razonablemente necesario y proporcional a dichos fines.
• Depurar los productos para identificar y reparar los errores que afecten su funcionalidad prevista.
• Ejercer la libertad de expresión, garantizar el derecho de otro consumidor a ejercer sus derechos de libertad de expresión o ejercer otro derecho previsto por la ley.
• Cumplir la Ley de Privacidad de las Comunicaciones Electrónicas de California (Código penal de California § 1546 y ss.).
• Participar en investigaciones científicas, históricas o estadísticas, públicas o revisadas por expertos que cumplan o se adhieran a todas las demás leyes de ética y privacidad aplicables, cuando la eliminación de la información pueda hacer imposible o perjudicar gravemente la posibilidad de completar dicha investigación, si usted ha dado previamente su consentimiento informado.
• Permitir únicamente usos internos que se ajusten razonablemente a las expectativas de los consumidores en función de su relación con nosotros y que sean compatibles con el contexto en el que usted facilitó la información.
• Cumplir con una obligación legal.
• Hacer otros usos internos y lícitos de esa información que sean compatibles con el contexto en el que usted la entregó.

Corrección. Una empresa debe hacer todo lo que sea comercialmente razonable para corregir la información personal inexacta en respuesta a una solicitud verificada del consumidor.

Prohibición de discriminar. Una empresa no debe discriminar a un consumidor que ejerza cualquiera de sus derechos como tal, en virtud de la CPRA. Sin embargo, toda empresa podrá cobrar precios diferenciales o proveer bienes o servicios de distinta calidad si la diferencia se relaciona razonablemente con el valor que le aportan al consumidor sus propios datos; asimismo, podrá ofrecer incentivos económicos a un consumidor por la recopilación, venta, o eliminación de información personal con su previo consentimiento a la participación.

Opción de exclusión y requisitos del sitio web. Las empresas que venden información personal de los consumidores a terceros, o que comparten información personal de los consumidores con terceros a efectos de marketing basado en el comportamiento en contextos cruzados, deben informar sobre ello a los consumidores y hacerles saber que tienen derecho a exigir que no se venda ni comparta su información personal. Las empresas deben incluir un enlace "No vender ni compartir mi información personal" en su página de inicio de Internet que vincule a una página web que permita al consumidor pedir no vender ni compartir su información personal. Las empresas no deben vender ni compartir la información personal de un consumidor si tienen conocimiento real de que el consumidor es menor de 16 años, a menos que el consumidor de edades comprendidas entre 13 y 16 años, o el padre o tutor del consumidor menor de 13 años, haya autorizado que se venda o comparta la información personal del consumidor. Una empresa que recopile información personal confidencial debe dejar de utilizar o divulgar la información personal confidencial del consumidor para cualquier fin que no sea aquel para el que se recopiló originalmente, en respuesta a una solicitud de exclusión voluntaria del consumidor.

Requisitos de la política de privacidad. Una empresa deberá describir en su política de privacidad en línea o en toda descripción de los derechos de privacidad del consumidor específica de California lo siguiente, debiendo actualizar la información como mínimo una vez cada 12 meses:

• Derechos de los consumidores en virtud de la CPRA, incluido el derecho de exclusión voluntaria del consumidor
• Los métodos para presentar solicitudes del consumidor
• Una lista de las categorías de información personal de los consumidores que la empresa recopiló, vendió o compartió y divulgó con fines comerciales.

Declaración sobre la Ley de Derechos de Privacidad de California

La presente DECLARACIÓN complementa la información contenida en la Notificación de Privacidad de Comerica Bank y de sus subsidiarias y filiales (denominadas de manera colectiva, "nosotros" o "nuestro") y se aplica únicamente a los visitantes, usuarios, y demás personas que residan en el Estado de California (los "consumidores" o "Ud."). Adoptamos esta declaración para cumplir con la Ley de Privacidad del Consumidor de California ("CPRA") y otras leyes sobre privacidad de dicho estado. Todos los términos definidos en la CPRA tienen el mismo significado cuando se utilizan en esta declaración.

Información que recopilamos

Recopilamos información que identifique, describa, se asocie o remita, o bien pueda asociarse o vincularse razonablemente, de manera directa o indirecta, a un consumidor o dispositivo en particular ("información personal"). En particular, recopilamos las siguientes categorías de información personal de consumidores:

La información personal no incluye:

• Información pública de registros gubernamentales.
• Información grupal o anonimizada de consumidores
• Información excluida del alcance de la CCPA, por ejemplo:
  • Información médica o relativa al estado de salud protegida por la Ley de Responsabilidad y Portabilidad del Seguro de Salud del año 1996 (HIPAA) y la Ley de Confidencialidad de la Información Médica de California (CMIA) o datos de ensayos clínicos
  • Información personal protegida por ciertas leyes específicas de cada sector, incluida la Ley de Informe de Crédito Justo (FRCA), la Ley Gramm-Leach-Bliley (GLBA) o la Ley de Privacidad de la Información Financiera de California (FIPA), y la Ley de Protección de la Privacidad de los Conductores del año 1994

Obtenemos las categorías de información personal enunciadas anteriormente de las siguientes fuentes:

• Directamente de nuestros clientes o sus representantes. Por ejemplo, de los documentos que nuestros clientes nos suministran en relación con los servicios para los cuales nos contratan
• Indirectamente de nuestros clientes o sus representantes. Por ejemplo, mediante la información que recopilamos de nuestros clientes en el curso de la prestación de nuestros servicios
• Directa e indirectamente de la actividad registrada en nuestro sitio web (www.comerica.com) Por ejemplo, de las presentaciones efectuadas mediante nuestro portal web o datos de uso del sitio web recopilados automáticamente
• De terceros que interactúan con nosotros en relación con los servicios que prestamos

Uso de la Información Personal

Podemos utilizar o revelar la información personal que recopilamos para los siguientes fines comerciales, de forma individual o conjunta:

• Para cumplir con el objetivo para el cual se suministra la información
• Para suministrarle información, productos o servicios que solicite de nosotros
• Para enviarle alertas y otras notificaciones por email respecto de nuestros productos o servicios, que puedan resultar de su interés
• Para mejorar nuestro sitio web y presentarle sus contenidos
• A los fines de realizar pruebas, investigaciones, análisis y desarrollo de productos
• Según sea necesario o adecuado para proteger los derechos, bienes o seguridad propia, de nuestros clientes o terceros
• Para responder a los requerimientos de las fuerzas de seguridad y según lo requerido por la ley aplicable, sentencia judicial o regulaciones gubernamentales
• Conforme lo que se le haya informado al recopilar su información personal o de cualquier otra manera establecida en la CPRA

No recopilaremos categorías adicionales de información personal ni utilizaremos información personal que recopilamos con fines significativamente diferentes, no relacionados ni compatibles sin previo aviso.

Tratamiento de información personal confidencial. Recopilamos y procesamos Información Personal Confidencial para los fines divulgados en el momento en que recopilamos esta información. No procesamos esta información para fines distintos de aquellos para los que se recopiló originalmente, a menos que lo exija la ley. Usamos y procesamos Información Personal Confidencial recopilada de empleados, solicitantes de empleo o proveedores de California (incluido el origen racial o étnico, las creencias religiosas, el diagnóstico de salud mental o física, la orientación sexual o la condición de ciudadano o inmigrante) para cumplir las leyes, incluidas las leyes antidiscriminación y las leyes de adaptación por discapacidad. Usamos Información Personal Confidencial de otros consumidores (incluido el origen racial o étnico, las creencias religiosas, el diagnóstico de salud mental o física, la orientación sexual o la condición de ciudadano o inmigrante) coin el fin de ofrecer adaptaciones por discapacidad. También utilizamos información personal confidencial para los fines que se indican en este aviso.

Divulgación de información personal
Podemos divulgar su información personal a un tercero con fines comerciales. Cuando divulgamos información personal con fines comerciales, firmamos un contrato en el que se describe la finalidad y se exige al destinatario que mantenga la confidencialidad de la información personal y que no la utilice para ningún otro fin que no sea el cumplimiento del contrato.
Revelamos su información personal con un fin comercial a los siguientes terceros:

• Nuestras filiales
• Proveedores de servicios
• Terceros a quienes Ud. o sus representantes nos hayan permitido revelar su información personal en relación con los productos o servicios que le prestamos a Ud.

Vender información personal. No vendemos información personal a cambio de una contraprestación monetaria o de otro tipo, conforme se define en la CPRA.

Compartir información personal. Compartir su información personal significa ponerla a disposición de un tercero para que pueda utilizarla con el fin de mostrarle publicidad dirigida, o basada en el comportamiento en contextos cruzados. La publicidad dirigida o basada en el comportamiento en contextos cruzados significa que le mostramos un anuncio seleccionado en función de la información personal sobre usted que hemos obtenido o deducido a lo largo del tiempo de sus actividades en sitios web, aplicaciones o servicios en línea de otras empresas que utilizamos para predecir sus preferencias o intereses. La publicidad dirigida no incluye el uso de sus interacciones con nosotros o de la información que nos facilita para seleccionar los anuncios que le mostramos. En los últimos doce (12) meses, no hemos compartido información personal alguna para marketing basado en el comportamiento en contextos cruzados.

Sus derechos y opciones
La CPRA otorga derechos específicos a los consumidores (residentes en California) en relación con su información personal. Esta sección describe sus derechos en virtud de la CPRA y explica cómo puede ejercerlos.

Acceso a información específica y derechos de portabilidad de datos
Usted tiene derecho a solicitar que le divulguemos cierta información sobre la recopilación y el uso que hacemos de su información personal. Puede hacer estas solicitudes hasta dos veces en un periodo de doce (12) meses. Una vez que recibamos y confirmemos su solicitud de consumidor verificable, le revelaremos lo siguiente:

• Las categorías de información personal que recopilamos sobre Ud.
• Las categorías de fuentes de información personal que recopilamos sobre Ud.
• Nuestro fin comercial para el cual recopilamos o vendemos información personal
• Las categorías de terceros con los cuales compartimos dicha información personal
• La información personal específica que recopilamos sobre Ud. (también denominada solicitud de portabilidad de datos)
• Si vendimos o divulgamos información personal con un fin comercial, dos listados por separado revelando:
  • ventas, identificando las categorías de información personal que compró cada categoría de receptor; y
  • divulgaciones con un fin comercial, identificando las categorías de información personal que cada receptor obtuvo

Derecho a solicitar la eliminación de información
Ud. tiene el derecho a solicitar que eliminemos la información personal que recopilamos y retuvimos acerca de Ud., con ciertas excepciones. Una vez que recibamos y confirmemos su solicitud verificable de consumidor, eliminaremos su información personal de nuestros registros, a menos que se aplique alguna excepción. Se incluyen las siguientes excepciones:

• Si los datos ya están regulados por la Ley Gramm-Leach-Bliley (GLBA)
• Si los datos se necesitan para llevar a cabo una operación para la que se recopila información personal con el fin de proporcionar un bien o servicio solicitado por el consumidor.
• Si los datos son necesarios para cumplir obligaciones legales o por motivos regulatorios.
• Si los datos se necesitan para detectar incidentes de seguridad; protegerse contra actividades maliciosas, engañosas, fraudulentas o ilegales; para actuar contra los responsables de dichas actividades.
• Si los datos permiten únicamente usos internos que se ajustan razonablemente a las expectativas del consumidor, en función de su relación con la empresa.

Derecho a solicitar correcciones
Tiene derecho a corregir la información personal que hayamos recopilado y conservado, poniéndose en contacto con nuestro centro de servicio al cliente. Corregiremos su información personal en nuestros registros, a menos que se aplique una excepción.

Derecho de exclusión voluntaria

• No vender mi información personal. Si tiene 16 años o más, tiene derecho, en cualquier momento, a indicarnos que no vendamos su información personal. No vendemos información personal de consumidores que sepamos que son menores de 16 años, a menos que recibamos autorización expresa (el "derecho a adherirse") del consumidor que tenga al menos 13 años, pero aún no 16, o del padre o tutor de un consumidor menor de 13 años. Los consumidores que opten por adherirse a las ventas de información personal pueden renunciar a futuras ventas en cualquier momento.
• No compartir mi información personal. Tiene derecho a pedir que no se comparta su información personal con terceros con fines de publicidad en contextos cruzados o publicidad basada en el comportamiento. Esto no incluye el uso de sus interacciones con nosotros o de la información que nos facilita para seleccionar los anuncios que le mostramos.
• Limitar el tratamiento de información personal confidencial. Tiene derecho a solicitarnos que no procesemos Información Personal Confidencial para ningún fin que no sea aquel para el que la recopilamos originalmente. Solo procesamos la Información Personal Confidencial para el propósito para el que la recopilamos originalmente.

Ejercicio de sus derechos

• Acceso, corrección y eliminación. Para ejercer los derechos de acceso, corrección y eliminación, los residentes de California pueden visitar nuestra página en línea de solicitud en virtud de la CPRA, haciendo clic en el enlace situado en la parte superior o inferior de esta página, o llamándonos al número gratuito 1-800-522-2265. Le pediremos información que nos permita comprobar razonablemente su identidad (que usted es la persona sobre la que recopilamos información personal) y utilizaremos esa información solo para ese fin. Es posible que le pidamos que nos envíe una declaración firmada bajo pena de falso testimonio de que usted es la persona que dice ser. Toda divulgación que proporcionemos solo cubrirá el período de 12 meses anterior a la recepción de su solicitud; no obstante, puede solicitar que se extienda el período de 12 meses para que cubra la información recopilada desde el 1 de enero de 2022, y cumpliremos esa solicitud extendida, a menos que hacerlo implique un esfuerzo desproporcionado.
• Derecho de exclusión voluntaria. Para excluirse de la venta o el uso compartido de su información personal, puede enviarnos una solicitud haciendo clic en el enlace situado en la parte superior o inferior de esta página y seleccionando solicitud de exclusión voluntaria o llamándonos al teléfono gratuito 1-800-522-2265. No es necesario que nos indique que limitemos el procesamiento de Información Personal Sensible, dado que ya limitamos dicho procesamiento.

También puede optar por excluirse activando un control de privacidad global habilitado por el usuario, como un complemento del navegador o un ajuste de privacidad, un ajuste del dispositivo u otro mecanismo, que comunique o señale su opción de excluirse de la venta e intercambio de información personal. Cuando recibamos dicha señal, dejaremos de instalar cookies de terceros, analíticas o de socios publicitarios en su navegador. Así evitará la venta o intercambio de información en relación con ese dispositivo específico a través de cookies a nuestros socios de publicidad o análisis. Esta opción no impide todas las ventas de información ni que se comparta dicha información, ya que no podemos relacionar la identificación de su dispositivo o la dirección del protocolo de Internet con su información personal identificable, como su nombre, número de teléfono, dirección de email o código postal. Si elimina las cookies de su navegador, también se borrarán las indicaciones previas de no vender o no compartir, por lo que debe asegurarse de que su configuración habilitada por el usuario esté siempre activada.

Únicamente Ud. o una persona inscripta ante el Secretario del Estado de California que Ud. autorice para actuar en su nombre, podrá presentar una solicitud verificable de consumidor relacionada con su información personal. Ud. también podrá realizar una solicitud verificable de consumidor en nombre de su hijo menor de edad.

No podemos responder a su solicitud ni suministrarle información personal a menos que verifiquemos su identidad o autoridad para presentar la solicitud y confirmemos que la información personal se relaciona con Ud. Para presentar una solicitud verificable de consumidor no es preciso crear una cuenta con nosotros. Sólo utilizaremos la información personal suministrada en una solicitud verificable de consumidor a los efectos de comprobar la identidad o autoridad del solicitante para presentar la solicitud.

Tiempo y forma de respuesta
Acusaremos recibo de su solicitud de acceso, corrección o eliminación en un plazo de 10 días laborables y haremos todo lo posible por responder a una solicitud verificable de un consumidor, en un plazo de 45 días a partir de su recepción. Si necesitamos más tiempo (hasta un total de 90 días), le informaremos por escrito sobre el motivo y el plazo de prórroga. En caso de tener cuenta con nosotros, entregaremos nuestra respuesta por escrito en dicha cuenta. Si no tiene una cuenta con nosotros, le entregaremos nuestra respuesta por escrito por correo o email, según Ud. lo prefiera. Nuestra respuesta también explicará las razones por las cuales no podemos cumplir con su pedido, si correspondiere.

Si nos pide que no vendamos ni compartamos su información o que limitemos el tratamiento de Información Personal Confidencial, cumpliremos su solicitud de inmediato y, como mínimo, en un plazo de 15 días hábiles. Una vez recibida su solicitud, esperaremos al menos 12 meses antes de pedirle que vuelva a autorizarnos a vender o compartir información personal.

Ausencia de discriminación
No ejerceremos discriminación alguna en su contra por ejercer sus derechos en virtud de la CPRA. A menos que la CPRA lo permita, no efectuaremos los siguientes actos:

• Negarle bienes o servicios.
• Cobrarle precios o tarifas diferenciales por bienes o servicios, incluso mediante el otorgamiento de descuentos u otros beneficios, o la imposición de penalidades.
• Brindarle bienes o servicios de distinto nivel o calidad.
• Sugerirle que podrían aplicarse precios o tarifas diferenciales por bienes o servicios o que podría recibir bienes o servicios de distinto nivel o calidad.

Cambios a nuestra declaración de privacidad
Nos reservamos el derecho a modificar esta declaración de privacidad según nuestro criterio y en cualquier momento. Todos los cambios introducidos a la presente declaración de privacidad estarán disponibles en nuestro sitio web.

Información de contacto
Si tiene preguntas o comentarios acerca de la presente declaración, nuestro Aviso de Privacidad, las formas en las que recopilamos y utilizamos su información personal o sus opciones y derechos respecto de dicho uso, o si desea ejercer sus derechos en virtud de las leyes de California, llame al 1-800-522-2265.