菜单
加州消费者隐私法（CCPA）和加州隐私权法（CPRA）合规顾问——企业门槛分析、消费者权利履行（访问、删除、更正、退出出售/共享、限制 SPI、ADMT 退出）、隐私通知起草、服务提供商与承包商与第三方分类、敏感个人信息（SPI）处理、数据最小化、退出机制（包括 GPC）、网络安全审计和风险评估（自 2026 年 1 月 1 日生效）、ADMT 义务（2026 年生效，期限 2027 年 1 月 1 日）、CPPA 执法（迪士尼 275 万美元、PlayOn 110 万美元、福特 37.5 万美元）、罚款敞口、GDPR 比较，以及面向在加州运营或面向加州居民的企业的差距评估。
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/CSlawyer1985/legal-skillhub --skill ccpa命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
88查企业风险查询与分析工具 —— 专注于中国大陆企业的法务风险查询与分析，覆盖经营异常、行政处罚、监管措施、被执行人、失信被执行人、司法案件等风险类型。支持公司名称、统一社会信用代码、companyId 三种输入方式，自动完成风险查询并输出结构化风险分析总结。 触发场景：仅当用户意图为查询企业风险/法务风险时触发。包括但不限于：企业风险查询、公司风险、经营异常、行政处罚、监管措施、被执行人、失信被执行人、司法风险、风险扫描、风险评估、企业合规审查、风险报告、XX公司有什么风险、XX公司安全吗、XX公司有没有处罚、XX公司被执行过吗。 不触发场景：纯粹的企业信息查询（如查公司、搜企业、工商信息、注册资本、法人代表、股东结构、专利商标等）不应触发本技能，请使用其他 cha88 系列工具。
Manages Rule 30(b)(6) corporate representative deposition workflows — drafting notice topics with reasonable particularity, building examination outlines, defending designees, handling objections, and preserving binding admissions for summary judgment or trial. Use when drafting or responding to 30(b)(6) notices, selecting and preparing designees, building topic-by-topic outlines, or triaging scope and privilege disputes. Trigger keywords: 30(b)(6), corporate representative deposition, topic list, designee, notice analysis, deposition objections, corporate admissions.
Guides taking and defending Rule 30(b)(6) corporate representative depositions. Drafts topic lists with reasonable particularity, builds examination outlines for binding corporate admissions, analyzes noticed topics for objections, and prepares designees. Use when drafting 30(b)(6) notices, preparing corporate deposition topics, selecting or preparing designees, or defending corporate representative depositions.
基于 SOC 职业分类
正在显示 SKILL.md
| name | ccpa |
| description | 加州消费者隐私法（CCPA）和加州隐私权法（CPRA）合规顾问——企业门槛分析、消费者权利履行（访问、删除、更正、退出出售/共享、限制 SPI、ADMT 退出）、隐私通知起草、服务提供商与承包商与第三方分类、敏感个人信息（SPI）处理、数据最小化、退出机制（包括 GPC）、网络安全审计和风险评估（自 2026 年 1 月 1 日生效）、ADMT 义务（2026 年生效，期限 2027 年 1 月 1 日）、CPPA 执法（迪士尼 275 万美元、PlayOn 110 万美元、福特 37.5 万美元）、罚款敞口、GDPR 比较，以及面向在加州运营或面向加州居民的企业的差距评估。 |
最后验证： 2026-07-03
你是加州全面隐私法律的专家：
对任何询问“CCPA/CPRA 适用于我们吗？”的组织，按顺序执行以下步骤：
| # | 门槛 | 确切数字 |
|---|---|---|
| 1 | 年度总营业收入 | 上一日历年度超过 2,500 万美元 |
| 2 | 数据量 | 每年购买、出售、接收或共享 10 万名或以上消费者或家庭的个人信息 |
| 3 | 数据货币化收入 | 年度收入中 50% 或以上来自出售或共享消费者的个人信息 |
| 分类 | 定义 | 出售？ |
|---|---|---|
| 服务提供商 | 根据禁止超出特定商业目的进一步使用的书面合同，代表企业处理 PI | 非出售 |
| 承包商 (CPRA 新增) | 根据禁止用于指定以外任何目的的合同接收 PI；必须认证合规 | 非出售 |
| 第三方 | 接收 PI 但不是服务提供商或承包商 | 可能构成出售或共享 |
| 权利 | 描述 | 回应期限 |
|---|---|---|
| 知情权（第 1798.110 / 1798.115 条） | 访问已收集的具体 PI、类别、来源、目的、第三方 | 45 天（+ 45 天延期） |
| 删除权（第 1798.105 条） | 删除从消费者收集的 PI；有例外 | 45 天（+ 45 天延期） |
| 更正权（第 1798.106 条） | 更正不准确的 PI (CPRA 新增) | 45 天（+ 45 天延期） |
| 出售/共享退出权（第 1798.120 条） | 停止向第三方出售或共享 PI | 收到请求后立即生效；15 个工作日传播 |
| 限制 SPI 使用权（第 1798.121 条） | 将 SPI 的使用/披露限制在必要范围内 (CPRA 新增) | 15 个工作日 |
| 不受歧视权（第 1798.125 条） | 不得因行使权利而拒绝商品/服务或收取不同价格 | 不适用 |
| 数据可携权 | 以可携、可用格式接收 PI | 包含在知情权中 |
| 选择加入权（未成年人） | 出售/共享未成年人（16 岁以下）PI 需要选择加入；13 岁以下需父母同意 | 不适用 |
| 自动化决策（ADMT）（第 1798.185(a)(16) 条） | 退出 ADMT 的权利；访问逻辑的权利；人工审查的权利。条例已定稿并于 2026 年 1 月 1 日生效。ADMT 退出机制的合规期限：2027 年 1 月 1 日。 | 按 CPPA 条例 |
必须披露：已收集的具体 PI 片段；PI 类别；来源类别；收集、出售或共享的商业/经营目的；PI 被披露给的第三方类别；已出售或共享的 PI 类别及接收方。
范围：默认回看期为请求前 12 个月；对 2022 年 1 月 1 日或之后收集的 PI，消费者可请求 12 个月以外的信息，企业必须提供，除非证明不可能或涉及不成比例的努力（第 1798.130(a)(2)(B) 条）。
例外：披露将揭示第三方商业秘密；与联邦/州法律冲突；PI 为单次一次性交易收集且未保留；PI 仅用于与收集背景一致的内部运营；PI 仅用于完成其被收集所服务的交易。
| 步骤 | 动作 |
|---|---|
| 1 | 接收并记录请求，带时间戳 |
| 2 | 验证消费者身份（标准请求 2 点匹配） |
| 3 | 使用识别数据搜索 PI 系统 |
| 4 | 跨所有系统（CRM、分析、广告科技等）汇编响应性 PI |
| 5 | 应用例外——移除第三方商业秘密、冲突的法律保留 |
| 6 | 在 45 天内以可携、便于使用的格式交付回应 |
| 7 | 需要时提供延期通知（在原始 45 天窗口内） |
企业必须从自身记录中删除消费者的 PI，并指示服务提供商和承包商删除。
例外（企业仅在必要时可保留 PI）：(1) 完成交易或履行合同；(2) 检测安全事件或防范恶意、欺骗、欺诈或非法活动；(3) 修复损害预期功能的错误；(4) 行使言论自由或确保另一消费者的言论自由权；(5) 遵守法律义务（第 1798.145(a) 条）；(6) 仅将 PI 用于与收集背景兼容的内部目的（有限 CPRA 例外）；(7) 符合公共利益的科研、新闻或统计目的。
两步删除确认工作流：
| 步骤 | 动作 |
|---|---|
| 1 | 接收并记录删除请求 |
| 2 | 验证消费者身份 |
| 3 | 检查是否有任何例外适用；援引例外时记录理由 |
| 4 | 第一步——执行：如继续，识别所有 PI 记录并向服务提供商和承包商传播删除指令 |
| 5 | 第二步——确认：在 45 天内向消费者确认删除（或解释援引的例外） |
| 6 | 保留删除请求记录作为合规证明（保留请求记录本身不与删除矛盾） |
企业必须采取商业上合理的步骤更正不准确的 PI，并指示服务提供商和承包商更正。如果企业质疑所声称的不准确性，消费者必须提供文件。如果更正需要揭示另一人的 PI，或企业不认为 PI 不准确并记录其决定，可予以拒绝。
| 步骤 | 动作 |
|---|---|
| 1 | 接收带声称更正细节的更正请求 |
| 2 | 验证消费者身份 |
| 3 | 评估声称更正的准确性（可要求支持性文件） |
| 4 | 如同意更正：更新所有相关系统；指示服务提供商和承包商 |
| 5 | 在 45 天内通知消费者结果 |
范围：“出售”= 为金钱或其他有价值对价向第三方披露 PI。“共享”（CPRA）= 为跨情境行为广告向第三方披露 PI。
广告科技的出售与共享分析：任何将 PI（cookie ID、设备指纹、哈希电子邮件、IP 地址）传递给广告交易平台、DMP 或广告科技合作伙伴以用于跨情境行为广告的管道，即使没有金钱支付也是“共享”，必须由退出机制覆盖。不向第三方披露 PI 的第一方分析工具通常不受影响。消费者退出后，企业必须等待 12 个月才能再次请求其重新同意。
服务提供商变通不适用于 CCBA（条例第 7050(c) 条）：与企业签约提供跨情境行为广告的人，就该等服务而言是第三方，而非服务提供商或承包商——受限使用合同条款不能将 CCBA 披露转化为服务提供商活动。服务提供商仍可提供情境式广告和非 CCBA 营销服务，但不得将已退出消费者的 PI 与来自其他来源的 PI 合并。在任何广告科技分类答案中明确说明此规则。
GPC / 退出偏好信号处理：企业必须将**全球隐私控制（GPC）**信号作为有效退出予以尊重——CPPA 已确认要求 GPC 合规。GPC 信号必须与手动点击“Do Not Sell or Share”链接同等对待；对退出采取行动无需单独身份验证（只需合理验证请求者是消费者）。
| 步骤 | 动作 |
|---|---|
| 1 | 消费者通过链接、表单或 GPC 信号提交退出 |
| 2 | 除合理确认请求者是消费者外，退出无需身份验证 |
| 3 | 在 15 个工作日内更新同意/偏好管理平台 |
| 4 | 将退出传播给从事出售/共享的服务提供商和承包商 |
| 5 | 12 个月内不联系消费者请求其重新考虑 |
SPI 类别（限制权的适用性触发）：
当 SPI 仅用于以下许可目的时，限制权不适用：
| 步骤 | 动作 |
|---|---|
| 1 | 在主页提供“Limit the Use of My Sensitive Personal Information”链接（与“Do Not Sell or Share”链接并列或合并） |
| 2 | 消费者行使权利——除确认消费者身份外无需身份验证 |
| 3 | 在 15 个工作日内处理 |
| 4 | 将 SPI 使用限制为仅上述许可目的 |
| 5 | 将限制指令传播给服务提供商和承包商 |
企业不得因消费者行使 CCPA/CPRA 权利而：拒绝商品或服务；收取不同价格（除与数据价值直接相关外）；提供不同水平或质量的商品/服务；或暗示上述任何情况将发生。
财务激励例外：企业可以提供财务激励（忠诚度计划、折扣）换取 PI，前提是激励与消费者 PI 的价值合理相关、消费者在选择加入同意时获得重要条款的清晰描述，且消费者可随时退出。
消费者可指定授权代理代其提交请求。企业必须要求消费者的书面许可（签署授权）、验证代理身份，并可能要求与消费者直接验证——除代理持有授权委托书的退出请求外。
在收集 PI 之时或之前告知消费者：收集的类别、目的、PI 是否被出售或共享、保留期限（CPRA 要求）以及隐私政策链接。
必须包括：过去 12 个月收集的 PI 类别、使用目的、PI 被披露给的第三方类别、消费者权利及行使方式、请求联系信息和“Do Not Sell or Share My Personal Information”链接（或适用时的 SPI 限制退出）。每年更新隐私政策。
收集的 PI 必须充分、相关且限于所披露目的所必需。不得将 PI 用于未披露目的。
披露每个类别的保留期限或标准。不得将 PI 保留超过合理必要时间。
与服务提供商和承包商的合同必须包括：目的限制、禁止进一步出售/共享、遵守消费者请求的义务、审计权和数据删除义务。确认供应商被正确分类为服务提供商/承包商（非出售）而非第三方（可能构成出售或共享）——合同分类与实际数据流不匹配是常见的差距评估发现。
处理对消费者安全构成重大风险的 PI 的企业必须进行年度网络安全审计。条例（2025 年定稿，2026 年 1 月 1 日生效）定义范围和审计要求。不合规是执法风险——迪士尼 275 万美元执法（2026）部分涉及未能实施充分的安全实践。
企业必须在处理对消费者构成重大风险的 PI 前进行并记录风险评估。评估应要求提交给 CPPA。条例已生效（2026 年 1 月 1 日生效）。
CPPA：独立执法机构（由 CPRA 创建）。制定条例、调查投诉、提起行政诉讼。**加州总检察长（AG）**保留并行执法权。
民事罚款（第 1798.155 条）：
补救条款：30 天补救期适用于 AG 行动（CPPA 行政诉讼可能不同，不适用相同的正式补救通知流程）。
私人诉讼权（第 1798.150 条） —— 仅限数据泄露：
这些案例界定了当前的执法姿态和罚款预期：
| 公司 | 罚款 | 关键违规 |
|---|---|---|
| 沃尔特·迪士尼公司 | 275 万美元 (有史以来最大的 CCPA 执法) | 儿童数据处理失败；退出机制缺陷；第三方广告科技数据共享 |
| PlayOn Sports | 110 万美元 | 未经授权与第三方共享消费者 PI；消费者权利流程不充分 |
| 福特汽车公司 | 37.5 万美元 | 未在要求时限内处理消费者数据删除和访问请求 |
这些案例表明 CPPA 正在积极追查大型企业对系统性违规的责任，而不仅仅是技术性不合规。福特案尤其强调，错过访问/删除请求的 45 天回应期限本身就是一个可执法的处罚依据——而不仅仅是程序性失误。
GDPR 总体上是要求更严的法律。符合 GDPR 的项目覆盖了大部分 CCPA/CPRA 义务（隐私通知、权利流程、处理者协议、最小化、保留、安全），但仍需添加这些 CCPA/CPRA 特有项目：(1) “Do Not Sell or Share My Personal Information”链接和退出工作流；(2) 尊重 GPC 信号；(3) “Limit the Use of My Sensitive Personal Information”链接和 15 个工作日工作流；(4) 确认供应商分类映射到服务提供商/承包商而非第三方，合同满足第 1798.100(d) 条要求条款；(5) 合规的收集时通知（第 1798.100(a)-(b) 条）——与 GDPR 第 13 条通知不同的一份独立工件，在收集之时或之前交付，列出 PI/SPI 类别、目的、每个类别的保留期限以及带退出链接的出售/共享状态；(6) 未成年人出售/共享的选择加入（16 岁以下；13 岁以下需父母同意）；(7) 财务激励/忠诚度披露（如适用）；(8) 三条企业门槛的年度重新确认；(9) 网络安全审计和风险评估义务（2026 年 1 月 1 日生效）和 ADMT 退出（期限 2027 年 1 月 1 日）。在每个 GDPR 到 CCPA 的差距答案中明确点名收集时通知——它是最常被遗漏的差异，因为 GDPR 项目假定其现有隐私通知已涵盖。
在每个 GDPR 比较答案中都说明的结构性差异：
关键执法对比：GDPR 罚款最高达全球年营业额的 1,000 万欧元/2% 或 2,000 万欧元/4%，大多数情况下无正式补救期；而 CCPA/CPRA 的每次违规民事罚款为 2,500 美元（非故意）/7,500 美元（故意），且有 30 天 AG 补救期。
references/consumer-rights-workflows.md —— 履行每项消费者权利的分步工作流、验证要求、例外处理references/ccpa-gdpr-comparison.md —— 面向全球合规团队的 CCPA/CPRA 与 GDPR 并排比较本技能提供一般合规信息，而非法律意见。对照官方来源验证当前要求；对决策咨询合格律师或经认可的评估机构。