4、企业义务概览：透明度要求、响应请求时限、数据映射、隐私政策更新
好，咱们进入第四讲。说实话，CCPA 落地执行后，很多企业最头疼的不是「要不要做」，而是「到底要做哪些事」。我当年帮一家中型电商做合规改造时，对方法务总监拿着厚厚一沓条款问我：「这些义务，哪些是真正要命的？」
嗯，今天我就把四个核心义务拆开揉碎讲清楚。你想想看，这四点就像汽车的四个轮子——少一个都跑不起来。
4.1 透明度要求：别让用户猜
CCPA 的透明度要求，说白了就是「你收集了什么数据、用来干嘛、跟谁共享了，必须明明白白告诉用户」。我个人习惯把这类义务总结成一句话：别让用户猜。
核心要点：
- 必须在数据收集时或收集前告知用户
- 告知内容需包含数据类别、用途、共享第三方
- 告知方式要显著，不能藏在角落
我在项目中遇到过一家 SaaS 公司，他们把隐私声明放在网站最底部的「法律条款」里，字体小到要放大镜才能看。结果被用户投诉到加州总检察长办公室，罚了 2.5 万美元。嗯，这就是典型的「透明度翻车」。
我的建议：在用户注册、下单、填写表单的关键节点，用弹窗或横幅做「即时告知」。别指望用户会主动去翻你的隐私政策。
4.2 响应请求时限：45天，别超时
CCPA 给了企业 45 天来处理用户的「知情请求」或「删除请求」。注意，是从你收到验证通过的请求那天开始算。我曾经见过一个案例：某公司收到请求后，内部踢了 30 天皮球，最后只剩 15 天来查数据——结果根本来不及。
| 请求类型 | 响应时限 | 延期条件 |
|---|---|---|
| 知情请求 | 45 天 | 可延期 45 天（需通知用户） |
| 删除请求 | 45 天 | 可延期 45 天（需通知用户） |
| 选择退出请求 | 15 天 | 不可延期 |
避坑指南：我曾经帮客户做审计时发现，他们内部把「收到请求」定义为「法务部确认后」。这是错的！CCPA 规定，只要用户通过你指定的渠道（比如邮箱、表单）提交了请求，计时器就开始走了。别自己加戏。
4.3 数据映射：你得知道自己有什么
数据映射，听起来高大上，其实就是「画一张图，标清楚你的数据从哪来、存哪去、谁在用」。我刚开始做合规时，觉得这步可有可无。直到有一次，用户要求删除数据，我们查了三天才发现数据还躺在测试环境的旧数据库里……
为什么会这样？因为没有数据映射，你根本不知道数据散落在哪些角落。我个人习惯用这样的结构来梳理：
数据映射清单（示例）
┌──────────────┬──────────────┬──────────────┬──────────────┐
│ 数据类别 │ 收集来源 │ 存储位置 │ 共享对象 │
├──────────────┼──────────────┼──────────────┼──────────────┤
│ 姓名、邮箱 │ 注册表单 │ 生产数据库 │ 营销工具 │
│ IP 地址 │ 网站访问 │ 日志服务器 │ 分析服务商 │
│ 购买记录 │ 订单系统 │ 数据仓库 │ 财务系统 │
└──────────────┴──────────────┴──────────────┴──────────────┘我的经验：数据映射不是一次性工作。每当你上线新功能、接入新第三方，都要更新这张图。我建议每季度做一次「数据盘点」，就像给家里做大扫除一样。
4.4 隐私政策更新：别只改日期
很多企业更新隐私政策时，就改个「最后更新日期」，内容一字不动。嗯，这其实是在给自己埋雷。CCPA 要求，如果你的数据处理方式发生了实质性变化（比如新增了数据共享、改变了用途），必须更新隐私政策，并且要显著通知用户。
我记得有个案例：某社交平台悄悄在隐私政策里加了一条「我们可能会将您的数据用于 AI 训练」，但没有主动通知用户。结果被集体诉讼，赔了 600 万美元。说白了，用户不是傻子，你改了啥他们迟早会发现。
更新触发条件：
- 新增数据收集类别
- 改变数据使用目的
- 新增或更换数据共享第三方
- 用户权利行使方式发生变化
避坑指南：我曾经见过一家公司，更新隐私政策后只在网站底部加了一行小字。这远远不够。我建议至少通过邮件、App 弹窗、网站横幅三种渠道通知用户。别怕麻烦，被罚了更麻烦。
小结
好，咱们捋一下。企业义务的四块基石：透明度（别让用户猜）、响应时限（45 天别超）、数据映射（知道自己有什么）、政策更新（别只改日期）。你想想看，这四点其实都指向同一个核心——尊重用户的数据权利。
下一讲，我会详细拆解「用户请求处理流程」，包括如何验证身份、如何查找数据、如何生成报告。到时候见。