2、关键术语解析：消费者、企业、服务提供商、第三方、个人信息、销售、共享等核心定义
好，咱们进入第二章。说实话，CCPA 里这些术语，看着都认识，但真正落地的时候，坑特别多。我见过不少团队，就是因为「销售」和「共享」没分清，被罚得挺惨。今天咱们一个一个捋清楚。
2.1 消费者：不只是「买东西的人」
CCPA 里的「消费者」，范围比你想的要宽。它指的是 加州居民，不管他是不是真的在你网站上买了东西。
- 包括：浏览你网站的人、注册了账号但没下单的人、甚至是被别人推荐过来的潜在客户。
- 不包括：公司员工（作为工作场景下的身份）、以及与企业进行 B2B 沟通的代表（这部分在 2023 年后的修正案里有了调整）。
我个人习惯：只要对方是加州居民，并且以个人身份（非企业代表）与我的业务产生交互，我就默认他是消费者。宁可多保护，不要漏保护。
2.2 企业：谁在管这些数据？
CCPA 对「企业」的定义，有明确的量化门槛。不是所有公司都要遵守，只有达到以下任意一条的才算：
| 条件 | 具体标准 |
|---|---|
| 年总收入 | 超过 2500 万美元 |
| 数据量 | 每年买卖或共享 10 万条以上消费者个人信息 |
| 收入来源 | 50% 以上年收入来自出售消费者个人信息 |
嗯，这里要注意。很多初创公司觉得「我还没到 2500 万，不用管」。但如果你做的是数据生意，比如卖用户画像，那第二条门槛很容易就踩到了。我在项目中遇到过一家做精准营销的创业公司，年收入才 800 万，但手里握着 50 万条用户数据，结果被查了。所以别侥幸。
2.3 服务提供商 vs. 第三方：一字之差，天壤之别
这两个角色，是 CCPA 里最容易混淆的。说白了，区别在于 数据能不能「自己用」。
- 服务提供商：按你的指令处理数据。比如云服务器厂商、邮件发送服务商。他们不能把数据拿去做自己的分析，也不能卖给其他人。
- 第三方：可以独立使用数据。比如广告联盟、数据分析公司（如果他们拿数据训练自己的模型）。
避坑指南：我曾经帮一家电商审合同，发现他们把「数据分析服务商」签成了「第三方」。结果对方拿着用户购买记录去优化自己的推荐算法，这其实已经构成了「销售」。后来我们紧急改成了服务提供商协议，并加了数据删除条款。
怎么判断？你想想看，如果对方拿了数据，除了给你干活，还能不能干别的？能，就是第三方；不能，就是服务提供商。
2.4 个人信息：比你想象的更「个人」
CCPA 对个人信息的定义非常宽泛。不只是姓名、电话、地址这些。它还包括：
- 设备标识符：Cookie ID、设备指纹、IP 地址
- 商业信息：购买历史、退货记录
- 生物信息：指纹、面部识别数据
- 推断信息：根据你的行为推测出的「你可能喜欢什么」「你的信用等级」
我曾经踩过的坑：有次做合规审计，产品经理说「我们只收集了用户的浏览器版本，不算个人信息吧？」。我说，浏览器版本 + IP 地址，基本就能唯一识别一个人了。CCPA 看的是「能否关联到个人」，不是看字段名称。
2.5 销售：不只是「一手交钱，一手交货」
CCPA 里的「销售」，定义非常特殊。它指的是 以口头、书面或电子方式，向第三方披露个人信息，以换取金钱或其他有价值的对价。
注意这里的「其他有价值的对价」。什么意思？
- 金钱：直接卖数据，比如 1 块钱 1 条。
- 非金钱：比如你用用户数据去换广告展示机会、换免费的分析工具、甚至换合作伙伴的流量。这些都算「销售」。
为什么会这样？因为 CCPA 的立法者认为，很多互联网公司虽然没直接收钱卖数据，但通过数据交换获得了商业利益，本质上是一样的。
我建议：只要你的数据流向了第三方，并且对方给了你任何形式的回报（哪怕是免费的 API 调用额度），你就应该默认这是一次「销售」。然后给用户提供「不要出售我的个人信息」的链接。
2.6 共享：跨情境的「销售」
「共享」这个词，在 CCPA 的修正案（CPRA）里被特别强调。它指的是 为了跨情境行为广告，而向第三方披露个人信息。
举个例子：你在电商网站看了个手机，然后这个网站把你的浏览记录共享给了广告平台。广告平台在别的 App 里给你推手机广告。这就是「共享」。
它和「销售」的区别在于：
| 行为 | 典型场景 | 用户权利 |
|---|---|---|
| 销售 | 直接卖数据列表 | Opt-out（选择退出） |
| 共享 | 跨站广告追踪 | Opt-out（选择退出） |
嗯，这里要注意。虽然用户的权利都是「选择退出」，但你在隐私政策里必须分别说明。我见过有些公司只写了「我们不出售数据」，但实际在做跨站广告追踪。这其实已经构成了「共享」，属于违规。
2.7 小结：一张图理清关系
好了，咱们总结一下。这几个术语的关系，我个人习惯用一句话概括：
消费者 把 个人信息 交给了 企业。企业可以找 服务提供商 帮忙处理，但不能让他们乱用。如果企业把数据给了 第三方，并且换来了好处，那就是 销售。如果是为了跨站打广告，那就是 共享。
你想想看，是不是清晰多了？下一章咱们聊聊，怎么在实际产品里落地这些定义，尤其是那个「不要出售我的个人信息」的按钮，到底该怎么放。