תשובה מהירה: חוק פרטיות הצרכן של קליפורניה (CCPA) מעניק לתושבי קליפורניה את הזכות לבטל את הסכמתם למכירה או שיתוף של המידע האישי שלהם. החל מ-1 בינואר 2026, תקנות מתוקנות מחייבות כעת עסקים לכבד אותות העדפה לביטול הסכמה (כגון Global Privacy Control), לאשר באופן גלוי שאותות אלו עובדו, ולהבטיח שזרימות ביטול ההסכמה אינן מורכבות יותר מזרימות ההסכמה. אי-ציות עלול לגרום לקנסות אזרחיים של עד 7,500 דולר לכל הפרה מכוונת.
נקודות מפתח
- ה-CCPA חל על עסקים למטרות רווח העומדים בספי הכנסה, נפח נתונים או מכירת נתונים ספציפיים, ולא על כל חברה הפועלת בקליפורניה.
- החל מ-1 בינואר 2026, עסקים חייבים להציג אישור גלוי כאשר אות העדפה לביטול הסכמה (כגון Global Privacy Control) זוהה וכובד. [3]
- מנגנוני ביטול הסכמה חייבים להיות קלים לשימוש כמו זרימות הסכמה; דפוסי עיצוב כהים המרתיעים מביטול הסכמה אסורים במפורש במסגרת תיקוני 2026. [7]
- לעסקים יש 15 ימי עסקים לכבד בקשת ביטול הסכמה של צרכן לאחר קבלתה. [2]
- "מידע אישי" תחת ה-CCPA הוא רחב: הוא כולל כתובות IP, היסטוריית גלישה, נתוני מיקום גיאוגרפי, הסקות מבוססות התנהגות צרכנים ועוד.
- ה-CCPA וה-GDPR פועלים על מודלי הסכמה שונים מהותית, ביטול הסכמה לעומת הסכמה מפורשת, ועסקים רבים חייבים לציית לשניהם בו זמנית.
- אי-עדכון מדיניות הפרטיות שלך כדי לשקף את זכויות ה-CCPA הוא כשלעצמו פער ציות, בנפרד מכשלים טכניים בביטול הסכמה.
- פלטפורמת ניהול הסכמה כגון Biscotti CMP יכולה להפוך את זיהוי האותות, הצגת אישור ביטול ההסכמה ושמירת רישומי ההעדפות לאוטומטיים.
מהו ה-CCPA ומדוע הוא חשוב לעסק שלך
חוק פרטיות הצרכן של קליפורניה הוא חוק פרטיות ברמת המדינה המעניק לתושבי קליפורניה זכויות ספציפיות לגבי האופן שבו עסקים אוספים, משתמשים ומוכרים את הנתונים האישיים שלהם. הוא חשוב מכיוון שקליפורניה היא הכלכלה החמישית בגודלה בעולם, וכל עסק שנוגע בצרכנים בקליפורניה, ללא קשר למקום מושבו של העסק, עשוי להיות מחויב על פי חוק לציית.
ה-CCPA נחקק במקור בשנת 2018, חוזק על ידי חוק זכויות הפרטיות של קליפורניה (CPRA) בשנת 2020, ועודכן מהותית שוב עם תקנות שאושרו על ידי משרד המשפטים המנהלי של קליפורניה ב-22 בספטמבר 2025, ונכנסו לתוקף ב-1 בינואר 2026. [1][5] תיקוני 2026 אלה הוסיפו חובות חדשות סביב טכנולוגיית קבלת החלטות אוטומטית (ADMT), הערכות סיכונים, ובאופן קריטי עבור רוב העסקים, דרישות עיצוב ואישור מנגנוני ביטול הסכמה. [1][7]
הבנת ה-CCPA מוסבר: כיצד לנהל בקשות ביטול הסכמה עבור צרכנים בקליפורניה אינה עוד אופציונלית עבור עסקים מכוסים. הרף הרגולטורי עלה, והאכיפה באה בעקבותיו.
כיצד אדע אם ה-CCPA חל על החברה שלי
ה-CCPA חל על עסקים למטרות רווח הפועלים בקליפורניה ועומדים לפחות באחד מהספים הבאים:
- הכנסות ברוטו שנתיות העולות על 25 מיליון דולר
- רכישה, מכירה, קבלה או שיתוף שנתי של מידע אישי של 100,000 צרכנים או משקי בית בקליפורניה או יותר
- הפקת 50% או יותר מההכנסות השנתיות ממכירה או שיתוף של מידע אישי של צרכנים בקליפורניה [4][6]
האם ה-CCPA חל על עסקים קטנים מתחת לסף הכנסה מסוים? באופן כללי, לא. אם עסק נופל מתחת לכל שלושת הספים, הוא אינו עסק מכוסה תחת ה-CCPA. עם זאת, ספקי שירותים וקבלנים המעבדים נתונים מטעם עסקים מכוסים כפופים לחובות חוזיות של CCPA גם אם לא היו עומדים בדרישות באופן עצמאי. [2]
מקרה קצה: חברת SaaS קטנה עם הכנסות של פחות מ-25 מיליון דולר אך בסיס משתמשים גדול בשכבת חינם יכולה בקלות לחצות את סף הנתונים של 100,000 צרכנים מבלי להבין זאת.
מה נחשב למידע אישי תחת ה-CCPA
מידע אישי תחת ה-CCPA מוגדר באופן רחב ככל מידע המזהה, מתייחס, מתאר, או יכול להיות מקושר באופן סביר לצרכן או משק בית מסוים. זה חורג הרבה מעבר לשמות וכתובות דוא"ל.
קטגוריות מכוסות כוללות:
| קטגוריה | דוגמאות |
|---|---|
| מזהים | שם, דוא"ל, כתובת IP, מזהה מכשיר |
| מידע מסחרי | היסטוריית רכישות, התנהגות גלישה |
| נתונים ביומטריים | טביעות אצבע, נתוני זיהוי פנים |
| פעילות אינטרנט | קובצי Cookie, היסטוריית חיפושים, אינטראקציות באתר |
| מיקום גיאוגרפי | מיקום מדויק ממכשירים ניידים |
| הסקות | פרופילים שנבנו מנתונים התנהגותיים |
| מידע אישי רגיש | מספרי ביטוח לאומי, נתוני בריאות, מיקום גיאוגרפי מדויק |
הסקות מנתוני צרכנים ליצירת פרופילים על העדפות, מאפיינים או התנהגות כלולות במפורש. [4] זה חשוב עבור טכנולוגיות פרסום, אנליטיקה וצינורות התאמה אישית.
מה ההבדל בין ביטול הסכמה (Opt-Out) לבין הסכמה מפורשת (Opt-In) ב-CCPA
ה-CCPA פועל על מודל ביטול הסכמה (opt-out): עסקים רשאים לאסוף ולהשתמש בנתוני צרכנים כברירת מחדל, אך לצרכנים יש את הזכות לדרוש שנתוניהם לא יימכרו או ישותפו. הסכמה מפורשת (opt-in) נדרשת רק בנסיבות ספציפיות, כגון בעת טיפול במידע אישי של צרכנים מתחת לגיל 16. [4][6]
זהו ההבדל המבני הבסיסי מה-GDPR, הפועל על מודל הסכמה מפורשת (opt-in) הדורש הסכמה מפורשת לפני שרוב עיבוד הנתונים מתחיל. תחת ה-CCPA, שתיקה אינה הסכמה, אך היא גם אינה מונעת עיבוד. תחת ה-GDPR, שתיקה אינה הסכמה ועיבוד אינו יכול להתחיל בלעדיה.
בחר לוגיקת הסכמה מפורשת (opt-in) אם: אתה מטפל בנתונים של קטינים (מתחת לגיל 16) או מעבד קטגוריות מידע אישי רגיש הדורשות הסכמה מפורשת על פי חוקי קליפורניה.
בחר לוגיקת ביטול הסכמה (opt-out) אם: אתה מטפל בנתוני צרכנים סטנדרטיים ממבוגרים ואתה עסק מכוסה תחת ה-CCPA.
כיצד אוכל להגדיר קישור "אל תמכור או תשתף את המידע האישי שלי"
כל עסק מכוסה שמוכר או משתף מידע אישי חייב לספק קישור ברור ובולט שכותרתו "אל תמכור או תשתף את המידע האישי שלי" בדף הבית שלו ובמדיניות הפרטיות שלו. [4][6]
הגדרה צעד אחר צעד:
- בצע ביקורת על זרימות הנתונים שלך כדי לקבוע אם העסק שלך מוכר או משתף מידע אישי כהגדרתו ב-CCPA.
- הוסף את הקישור הנדרש לכותרת התחתונה של אתר האינטרנט שלך ולתפריט ההגדרות של האפליקציה לנייד.
- הגדר את פלטפורמת ניהול ההסכמה שלך כדי ללכוד ולתעד בקשות ביטול הסכמה.
- ודא שזרימת ביטול ההסכמה אינה דורשת יותר צעדים מזרימת ההסכמה; תקנות 2026 אוסרות במפורש חיכוך אסימטרי. [7]
- כבד אותות Global Privacy Control (GPC) באופן אוטומטי אם העסק שלך מעבד נתונים מבוססי דפדפן.
- הצג אישור גלוי לכך שביטול ההסכמה זוהה, לדוגמה, באנר או מצב מתג המציג "אות העדפה לביטול הסכמה כובד". [3]
פלטפורמה כמו Biscotti CMP יכולה להפוך את שלבים 3 עד 6 לאוטומטיים, כולל זיהוי אותות GPC והצגת אישור תואם.
כמה זמן יש לי להגיב לבקשת ביטול הסכמה של צרכן
עסקים חייבים לכבד בקשת ביטול הסכמה של צרכן תוך 15 ימי עסקים מיום קבלתה. [2] זה שונה מחלון התגובה של 45 יום החל על בקשות אחרות לזכויות צרכנים (כגון גישה או מחיקה).
לאחר הכיבוד, העסק חייב גם להודיע לכל צד שלישי שאליו מכר או שיתף את נתוני הצרכן ב-90 הימים הקודמים, ולהורות להם להפסיק להשתמש בנתונים אלה. [6] חובת הודעה זו במורד הזרם מוזנחת לעיתים קרובות ומייצגת פער ציות נפוץ.
האם עדיין אוכל להשתמש בנתונים לאחר שלקוח ביטל את הסכמתו?
לאחר שצרכן מבטל את הסכמתו למכירה או שיתוף, העסק אינו רשאי למכור או לשתף את המידע האישי של אותו צרכן בעתיד. עם זאת, העסק עדיין רשאי להשתמש בנתונים למטרות פנימיות התואמות את מערכת היחסים של הצרכן עם העסק. [4]
אסור במפורש לאחר ביטול הסכמה:
- מכירה או שיתוף של הנתונים עם צדדים שלישיים לצורך פרסום התנהגותי חוצה הקשרים
- שימוש בנתונים באופן שאינו תואם את ההקשר שבו הם נאספו
עדיין מותר לאחר ביטול הסכמה:
- ביצוע העסקה או השירות שהצרכן ביקש
- ניתוח פנימי ומניעת הונאות
- עמידה בחובות משפטיות
טעות נפוצה: הנחה שביטול הסכמה פירושו מחיקת נתונים מלאה. זה לא. צרכנים חייבים להגיש בקשת מחיקה נפרדת כדי להפעיל זכות זו.
CCPA מול GDPR: באיזה מהם עלי לציית?
אם העסק שלך משרת גם תושבי קליפורניה וגם תושבי האיחוד האירופי, סביר להניח שתצטרך לציית לשניהם. ה-CCPA וה-GDPR אינם סותרים זה את זה, ודרישות הציות שונות מספיק כך שמדיניות אחת לעיתים רחוקות מספקת את שניהם.
| גורם | CCPA | GDPR |
|---|---|---|
| מודל הסכמה | ביטול הסכמה (עיבוד ברירת מחדל מותר) | הסכמה מפורשת (נדרשת הסכמה תחילה) |
| היקף גיאוגרפי | תושבי קליפורניה | תושבי האיחוד האירופי/EEA |
| מי מכוסה | עסקים למטרות רווח העומדים בספים | כל ישות המעבדת נתוני תושבי האיחוד האירופי |
| קנסות | עד 7,500 דולר לכל הפרה מכוונת | עד 4% מהמחזור השנתי העולמי |
| זכות למחיקה | כן | כן (הזכות להישכח) |
| ניידות נתונים | כן | כן |
ההשלכה המעשית: באנרים של הסכמה תואמי GDPR אינם תואמי CCPA באופן אוטומטי, מכיוון שה-CCPA דורש מנגנון ביטול הסכמה ספציפי ולא שער הסכמה.
מה קורה אם איני מציית לדרישות ה-CCPA?
אי-ציות חושף עסקים לקנסות אזרחיים של עד 2,500 דולר לכל הפרה לא מכוונת ו-7,500 דולר לכל הפרה מכוונת, הנאכפים על ידי הסוכנות להגנת הפרטיות של קליפורניה (CPPA). [4][6] הפרות הכוללות נתוני קטינים נחשבות מכוונות כברירת מחדל.
לצרכנים יש גם זכות תביעה פרטית בגין הפרות נתונים הנובעות מכשל של עסק ביישום אמצעי אבטחה סבירים, עם פיצויים סטטוטוריים הנעים בין 100 ל-750 דולר לצרכן לכל אירוע. [4]
תיקוני 2026 הרחיבו את סמכות הביקורת של ה-CPPA, כלומר עסקים הכפופים לדרישות הערכת סיכונים עשויים להתמודד עם בדיקה רגולטורית יזומה, לא רק אכיפה תגובתית. [1][7]
האם עלי לעדכן את מדיניות הפרטיות שלי עבור CCPA?
כן. עסקים מכוסים חייבים לשמור על מדיניות פרטיות החושפת, לכל הפחות:
- קטגוריות המידע האישי הנאסף ומטרות האיסוף
- האם מידע אישי נמכר או משותף, וקטגוריות הצדדים השלישיים המעורבים
- זכויות הצרכן הזמינות תחת ה-CCPA (ביטול הסכמה, מחיקה, גישה, תיקון, ניידות)
- כיצד צרכנים יכולים להגיש בקשות למימוש זכויות אלו
- תקופת השמירה עבור כל קטגוריה של מידע אישי [4][6]
מדיניות פרטיות חייבת להתעדכן לפחות פעם ב-12 חודשים. אי-עדכון המדיניות לאחר שינוי מהותי בפרקטיקות הנתונים, כגון הוספת ספק אנליטיקה חדש, הוא כשלעצמו הפרת ציות.
כיצד אוכל לוודא שבקשת ביטול הסכמה של צרכן היא לגיטימית?
עבור בקשות ביטול הסכמה באופן ספציפי, ה-CCPA אינו דורש מעסקים לאמת את זהות הצרכן המגיש את הבקשה. [2] זה מכוון: דרישת אימות זהות עבור ביטולי הסכמה תיצור חיכוך שיערער את הזכות.
עם זאת, עסקים רשאים להשתמש באמצעים סבירים כדי לאשר שבקשה אינה הונאה, כגון אישור כתובת הדוא"ל המשויכת לחשבון. הסטנדרט לאימות ביטול הסכמה נמוך בכוונה מאשר עבור בקשות מחיקה או גישה, שבהן אימות זהות מתאים מכיוון שבקשות אלו כרוכות בחשיפה או השמדה של נתונים.
מקרה קצה: אם בקשת ביטול הסכמה מגיעה באמצעות אות אוטומטי (GPC), אין צורך או היתר לצעד אימות נוסף, האות עצמו מהווה בקשה תקפה. [3][7]
כיצד פועלים מנגנוני ביטול הסכמה באפליקציות לנייד לעומת אתרי אינטרנט?
באתרי אינטרנט, מנגנוני ביטול הסכמה חייבים לכלול את הקישור "אל תמכור או תשתף את המידע האישי שלי" בכותרת התחתונה וחייבים לכבד אותות GPC ברמת הדפדפן. [3][7] באפליקציות לנייד, הדרישות שוות ערך מבחינה פונקציונלית אך היישום שונה:
- אפליקציות לנייד חייבות לכלול את אפשרות ביטול ההסכמה בתפריט ההגדרות של האפליקציה או בקטע העדפות הפרטיות.
- אפליקציות המופצות דרך חנויות אפליקציות חייבות לציית לכל דרישות פרטיות נוספות ברמת הפלטפורמה (כגון App Tracking Transparency ב-iOS), אך דרישות פלטפורמה אלו אינן מחליפות את ציות ה-CCPA.
- אותות אוטומטיים ממערכות הפעלה ניידות חייבים להיות מכובדים באותו אופן כמו אותות GPC מבוססי דפדפן אם העסק מעבד נתונים אלו.
תקנות 2026 מבהירות כי הערוץ (אינטרנט מול אפליקציה) אינו משנה את החובה הבסיסית, רק היישום הטכני שונה.
מהן הטעויות הנפוצות שעסקים עושים בציות ל-CCPA?
גם עסקים בעלי כוונות טובות עושים לעיתים קרובות את הטעויות הבאות:
- התייחסות לביטול הסכמה כהסכמה מפורשת: דרישה מצרכנים לאשר באופן חיובי את ביטול הסכמתם באמצעות מספר שלבים, מה שמפר את דרישת הסימטריה בתיקוני 2026. [7]
- התעלמות מאותות GPC: אי-הגדרת ערימת הטכנולוגיה שלהם לזיהוי וכיבוד אותות דפדפן Global Privacy Control, הנחשבים כעת לבקשות ביטול הסכמה תקפות. [3]
- אי-הצגת אישור ביטול הסכמה: כללי 2026 דורשים אישור גלוי לכך שאות עובד, רישום יומן בקצה האחורי אינו מספיק. [3]
- התעלמות מספקים במורד הזרם: אי-הודעה למקבלי נתונים צד שלישי לאחר קבלת ביטול הסכמה.
- מדיניות פרטיות סטטית: אי-עדכון המדיניות מדי שנה או לאחר שינויים מהותיים בפרקטיקות הנתונים.
- בלבול בין ספקי שירותים לצדדים שלישיים: לספקי שירותים המעבדים נתונים תחת חוזה יש חובות שונות מאשר לצדדים שלישיים המקבלים נתונים למטרותיהם שלהם.
שאלות נפוצות
האם ה-CCPA חל על עמותות? לא. ה-CCPA חל רק על עסקים למטרות רווח. עמותות אינן עסקים מכוסים, אם כי הן עשויות להיות כפופות לחוקי פרטיות אחרים בקליפורניה.
מהו Global Privacy Control (GPC) והאם עלי לכבד אותו? GPC הוא אות ברמת הדפדפן המעביר אוטומטית את העדפת ביטול ההסכמה של צרכן. החל מ-1 בינואר 2026, עסקים מכוסים המעבדים נתוני דפדפן חייבים לכבד אותות GPC כבקשות ביטול הסכמה תקפות ולהציג אישור לכך שהאות עובד. [3][7]
האם עסק יכול לגבות מחיר שונה מצרכנים המבטלים את הסכמתם? באופן כללי לא. ה-CCPA אוסר על עסקים להפלות צרכנים המממשים את זכויות הפרטיות שלהם, כולל גביית מחירים שונים, אלא אם כן ההבדל קשור באופן סביר לערך נתוני הצרכן. [4]
כמה זמן יש לשמור רישומי ביטול הסכמה? ה-CCPA אינו מציין תקופת שמירה אוניברסלית עבור רישומי ביטול הסכמה, אך עסקים צריכים לשמור רישומים מספיק זמן כדי להוכיח ציות במקרה של ביקורת או פעולת אכיפה, בדרך כלל לפחות 24 חודשים נחשב קו בסיס סביר. [6]
האם באנר עוגיות מספק את דרישות ביטול ההסכמה של CCPA? באנר עוגיות לבדו אינו מספיק. ה-CCPA דורש קישור ייעודי "אל תמכור או תשתף את המידע האישי שלי", ותיקוני 2026 דורשים מעסקים לכבד ולאשר אותות GPC באופן עצמאי מכל אינטראקציית הסכמה לעוגיות. [3][7]
מה ההבדל בין "מכירה" ל"שיתוף" תחת ה-CCPA? "מכירה" כרוכה בהחלפת מידע אישי תמורת תמורה כספית. "שיתוף" מכסה חשיפת מידע אישי לצורך פרסום התנהגותי חוצה הקשרים, גם ללא תשלום. שניהם מפעילים זכויות ביטול הסכמה. [4]
האם אני צריך מנגנוני ביטול הסכמה נפרדים לכל קטגוריית נתונים? לא. מנגנון ביטול הסכמה יחיד המכסה מכירה ושיתוף מספיק, אם כי עסקים חייבים לתאר בבירור במדיניות הפרטיות שלהם אילו קטגוריות נתונים מכוסות.
מהי הערכת סיכונים תחת תיקוני CCPA 2026? עסקים המעבדים מידע אישי באופן המציג סיכוני פרטיות משמעותיים, כולל שימוש בטכנולוגיית קבלת החלטות אוטומטית, חייבים לבצע ולתעד הערכות סיכונים לפני תחילת עיבוד זה. [1][7]
מסקנה
ה-CCPA מוסבר: כיצד לנהל בקשות ביטול הסכמה עבור צרכנים בקליפורניה הוא יעד משתנה, ותיקוני 2026 העלו את הרף באופן משמעותי. החובות המרכזיות, מתן מנגנון ביטול הסכמה ברור, כיבוד בקשות צרכנים תוך 15 ימי עסקים, ועדכון מדיניות הפרטיות שלך, נשארות יסודיות. אך הדרישות החדשות סביב אישור אותות GPC, איסור דפוסי עיצוב כהים, והערכות סיכונים של ADMT דורשות גישה שיטתית יותר ממה שקישור כותרת תחתונה סטטי יכול לספק.
צעדים מעשיים הבאים עבור עסקים מכוסים:
- בצע ביקורת על זרימת ביטול ההסכמה הנוכחית שלך מול דרישת הסימטריה של 2026: ספר את הצעדים לביטול הסכמה והשווה אותם לצעדים להסכמה.
- ודא שאתר האינטרנט והאפליקציה לנייד שלך מזהים ומכבדים אותות Global Privacy Control, וכי הודעת אישור גלויה מוצגת כאשר מתקבל אות.
- סקור את רשימת הספקים החיצוניים שלך ואשר כי קיימים נהלי הודעה במורד הזרם עבור זרימות נתונים לאחר ביטול הסכמה.
- עדכן את מדיניות הפרטיות שלך כדי לשקף את פרקטיקות הנתונים הנוכחיות, תקופות השמירה, ואת הרשימה המלאה של זכויות הצרכן.
- הערך פלטפורמת ניהול הסכמה כגון Biscotti CMP כדי להפוך את זיהוי האותות, אישור ביטול ההסכמה ושמירת רישומי ההעדפות לאוטומטיים בערוצי האינטרנט והנייד.
ציות אינו פרויקט חד פעמי. ה-CPPA הוכיחה נכונות להוציא הנחיות ולבצע אכיפה, והסביבה הרגולטורית תמשיך להתפתח. בניית תהליכים ניתנים לחזרה ולביקורת כעת היא העמדה ההגנתית ביותר שעסק מכוסה יכול לנקוט.
הפניות
[1] Navigating New Obligations Under The CCPA Updated Regulations - https://www.lw.com/en/insights/navigating-new-obligations-under-the-ccpa-updated-regulations
[2] Navigating California Consumer Privacy Act 30 Essential FAQs Covered Businesses Including Clarifying Regulations Effective 1/1/26 - https://www.jacksonlewis.com/insights/navigating-california-consumer-privacy-act-30-essential-faqs-covered-businesses-including-clarifying-regulations-effective-1126
[3] Show Me That You've Opted Me Out: New CCPA Rules Require Businesses To Prove Compliance - https://www.nelsonmullins.com/insights/alerts/fcc-download/all/show-me-that-you-ve-opted-me-out-new-ccpa-rules-require-businesses-to-prove-compliance
[4] CCPA Statute Effective 2026-01-01 - https://cppa.ca.gov/regulations/pdf/ccpa_statute_eff_20260101.pdf
[5] CCPA Updates - https://cppa.ca.gov/regulations/ccpa_updates.html
[6] CCPA Requirements 2026: Complete Compliance Guide - https://secureprivacy.ai/blog/ccpa-requirements-2026-complete-compliance-guide
[7] CCPA 2026: Navigating The Expanded Consumer Privacy Compliance Requirements For Businesses - https://www.lathropgpm.com/insights/ccpa-2026-navigating-the-expanded-consumer-privacy-compliance-requirements-for-businesses/
[8] CCPA in 2026: What's Changing in Consent, Consumer Rights, and AI Governance - https://www.onetrust.com/blog/ccpa-in-2026-whats-changing-in-consent-consumer-rights-and-ai-governance/
[9] New CCPA 2026 Regulations: Your Complete Compliance Action Guide - https://captaincompliance.com/education/new-ccpa-2026-regulations-your-complete-compliance-action-guide/
[10] CPPA Regulations - https://cppa.ca.gov/regulations/