privacy-us — 미국 CCPA/CPRA 전용 스킬
호출 즉시 출력
Starting US (CCPA/CPRA) Privacy Policy generator. Covers: CCPA/CPRA (California) + major state laws VCDPA (Virginia), CPA (Colorado), CTDPA (Connecticut), UCPA (Utah), ICDPA (Indiana 2026), KCDPA (Kentucky 2026), RIDPA (Rhode Island 2026) 인터뷰는 영문·CCPA 용어로 진행합니다. (사용자 답변은 한국어로 해도 됩니다) 몇 가지만 여쭤볼게요.
법령 근거 (MUST READ)
./jurisdictions/us-ccpa/ccpa-checklist.md— CCPA/CPRA 15개 공개 의무·7대 권리·SPI 11종·주법 비교./references/glossary.md— 용어 풀이./references/design-system-detection.md
인터뷰 범위
./scripts/interview.md 중 다음만 수행:
유지 (공통)
- Step 1 서비스 소개
- Step 2 수집 항목 (CCPA 카테고리로 재분류)
- Step 6 처리위탁 (→ Service Providers)
- Step 9 시행일·개정
- Step 9-US 전부 (Q9US-1~10, 아래 참조)
- Step 10 디자인 스타일
- Step 11 최종 확인
생략 (한국 전용)
- Step 3·4·5·7·8 (CCPA에서는 Q9US로 대체)
Step 9-US 질문 (10문항)
Q9US-1. CCPA 적용 여부 확인
미국 CCPA는 다음 중 하나 해당 시 적용됩니다. (§1798.140(d), 2025.1.1 CPI 조정 기준) 1) 직전 회계연도 총 매출 USD 26,625,000 이상 2) 연간 100,000명 이상 CA 거주자·가구·기기 정보를 구매·판매·공유 3) 연 매출 50% 이상이 개인정보 판매·공유에서 발생 이 중 해당되는 것이 있나요? 매출·규모 적어도 캘리포니아 거주자를 대상으로 하면 주의 필요. CPPA가 매년 1월에 CPI로 금액 재조정하므로 배포 전 최신 값 재확인 권장.
Q9US-2. 사업자 기본 정보
CCPA Privacy Policy에 반드시 포함되어야 할 정보입니다. - 법인명 - 주소 - 연락 이메일 - 전화번호 (toll-free 권장) - Privacy Officer 이름·이메일 (있는 경우)
Q9US-3. PI 카테고리·출처·목적·보유기간 매트릭스
CCPA는 수집한 개인정보를 "카테고리"별로 정리해 공개합니다. 예: Identifiers — 이름, 이메일, IP → 출처: Consumer / Device → 목적: 계정 관리, 분석 → 보유: 회원 탈퇴 후 1년 카테고리 기준 (§1798.140(v) 11종): 1. Identifiers (이름·이메일·IP·Customer ID) 2. Customer records (주소·전화·금융정보) 3. Protected class characteristics (성별·인종 등 민감) 4. Commercial information (구매·구독 기록) 5. Biometric information 6. Internet or network activity (브라우징·앱 이용) 7. Geolocation data 8. Sensory data (오디오·비디오) 9. Professional or employment-related information 10. Education information 11. Inferences (프로필 분석 결과)
수집 변수: piCategories[] = [{ category, examples, sources, purposes, retention }]
Q9US-4. Sensitive Personal Information (SPI)
CPRA §1798.140(ae)가 보호하는 "민감 개인정보" 9개 카테고리 중 처리하는 게 있나요? [ ] Social Security Number, 운전면허, 여권 등 정부 식별자 [ ] 금융 계정 번호 + 접근 코드·보안코드 (계좌 접근 가능한 조합) [ ] 정확한 위치 (1,850피트/약 564m 이내) [ ] 인종·민족·종교·노조 가입 [ ] 이메일·SMS·우편 내용 (수신자가 사업자가 아닌 경우) [ ] 유전자 데이터·신경 데이터 [ ] Biometric (고유 식별 목적) [ ] 건강 정보 [ ] 성생활·성적 지향 [ ] 해당 없음 SPI 수집 시 "Limit the Use of My SPI" 링크 의무 + 별도 공개 섹션 필요. 참고: 16세 미만 미성년자 정보는 SPI가 아닌 §1798.120(c) 별도 옵트인 의무. Q9US-8에서 확인.
수집 변수: collectsSensitivePI, spiCategories[]
Q9US-5. Sale or Share (매우 중요)
다음 중 하나라도 하시나요? 1) 개인정보를 금전적 대가로 타사에 판매 → "Sale" 2) 크로스컨텍스트 행태광고 목적으로 타사에 공유 (금전 대가 없어도) → "Share" 예: Google Analytics, Meta Pixel, Google Ads, Facebook Ads, 리타겟팅 광고 대부분 웹사이트는 분석·광고 도구를 쓰므로 "Share" 해당됩니다. 정직하게 답해주세요.
수집 변수: sellsOrShares (boolean), salesAndShares[]
Q9US-6. 서비스 제공자·수신자
개인정보를 받는 주요 서비스 제공자 (CCPA "Service Providers"): - 호스팅: AWS, Vercel, Cloudflare - 결제: Stripe, PayPal - 분석: Google Analytics, Mixpanel - 이메일: SendGrid, Resend - 고객지원: Intercom, Zendesk 각 카테고리마다 어떤 PI를 어떤 목적으로 제공하나요?
수집 변수: serviceProviderDisclosures[]
Q9US-7. 요청 접수·응답 채널
권리 행사 요청을 어떻게 받으시겠어요? 필수 최소 2채널 (CCPA 요구): 1) 온라인 페이지 (예: /privacy-request) 2) 이메일 (예: privacy@example.com) 매출 25M+ 법인은 toll-free 전화도 권장.
수집 변수: rightsRequestUrl, tollFreeNumber, hasTollFree
Q9US-8. 미성년자
16세 미만 사용자가 있나요? - 예 → §1798.120(c) opt-in 의무. 판매·공유 전 명시적 동의 필수. 13~15세: 미성년자 본인의 affirmative opt-in 13세 미만: 부모·보호자 verifiable consent (COPPA 중복 적용) - 아니오 → "16세 미만 정보 수집하지 않음" 선언 참고: 16세 미만 정보는 SPI 카테고리가 아님. 별도 조항(§1798.120(c))에 의한 옵트인 규제.
수집 변수: servesMinors (boolean)
Q9US-9. 자동화 결정 (ADMT, 2026 신규)
AI·알고리즘이 다음을 자동으로 결정하나요? (CPPA 2026 규정) - 고용·대출·보험·교육·의료·주거 접근권 - 광범위한 프로파일링 (행태 추적) 예시가 있으면 서비스·목적·로직 간단히 알려주세요.
수집 변수: hasAutomatedDecision, admtUses[]
Q9US-10. Financial Incentives
개인정보 수집과 연계된 "금전적 인센티브" 프로그램이 있나요? 예: 이메일 구독하면 할인, 데이터 공유 허용 시 포인트 있으면 프로그램 이름·조건 알려주세요. 없으면 "없음".
수집 변수: hasFinancialIncentive, financialIncentives[]
사용 템플릿
./jurisdictions/us-ccpa/privacy-policy.en.mdx.tmpl→src/app/privacy/page.tsx
치환 프로토콜
./scripts/render.md 기본 규칙 + 다음 조건부 블록 추가:
{{#if collectsSensitivePI}}— SPI 섹션{{#if sellsOrShares}}— Do Not Sell/Share 섹션{{#if servesMinors}}— 16세 미만 특수 처리{{#if hasAutomatedDecision}}— ADMT 공개{{#if hasFinancialIncentive}}— 인센티브 공개{{#if hasTollFree}}— Toll-free 채널{{#if hasUsPrivacyOfficer}}— Privacy Officer{{#if hasThirdPartySources}}— 3rd party 소스
UI 컴포넌트
tsx<ConsentModal locale="en" /> <CookieBanner locale="en" variant="bottom-bar" iconSet="lucide" />
Do Not Sell/Share 링크: Footer에 반드시 표시. CCPA 페이지 별도 생성 src/app/do-not-sell-share/page.tsx.
GPC (Global Privacy Control) 자동 준수: CookieBanner에서 navigator.globalPrivacyControl === true 감지 시 자동으로 analytics·marketing 쿠키 거부.
생성 대상 파일
src/mdx-components.tsx src/content/legal/privacy-policy.mdx (CCPA Privacy Policy) src/app/privacy/page.tsx locale="en" src/app/do-not-sell-share/page.tsx (opt-out form) src/app/limit-spi/page.tsx (SPI 제한 form, SPI 수집 시) src/components/legal/ConsentModal.tsx src/components/legal/CookieBanner.tsx src/components/legal/LabelingCard.tsx
검증 키워드 (Write 후)
- "Categories of personal information"
- "Right to Know", "Right to Delete", "Right to Correct", "Right to Opt-Out", "Right to Limit Use", "Data Portability", "Non-Discrimination"
- "Do Not Sell or Share My Personal Information"
- "Sensitive Personal Information" (SPI 수집 시)
- "Authorized agent"
- "45 days"
- "Last Updated"
- "California Consumer Privacy Act"
완료 출력
[Generated] - src/content/legal/privacy-policy.mdx (CCPA/CPRA) - src/app/privacy/page.tsx - src/app/do-not-sell-share/page.tsx - src/app/limit-spi/page.tsx (if SPI collected) - src/components/legal/*.tsx (locale="en") [Checks] - 7 consumer rights covered - Sale/Share disclosure complete - SPI limitation provided (if applicable) - Authorized agent process documented - 45-day response window noted - GPC browser signal honored [Next steps] 1. Add <CookieBanner locale="en" /> to layout (GPC auto-detection built-in) 2. Footer links to /privacy, /do-not-sell-share (mandatory) 3. Signup form: <ConsentModal locale="en" /> 4. Every 12 months: review and update Last Updated date [Reminder] Legal review by US counsel required. CCPA/CPRA administrative penalties (2025 CPI-adjusted): USD 2,663/violation, USD 7,988 if intentional or involving a minor. Statutory base: $2,500 / $7,500. CPPA adjusts amounts per CPI in odd years (§1798.199.95(d)); verify current figures before launch. Data-breach private right of action: USD 100-750 per consumer per incident or actual damages. ────────────────────────────────────────── Feedback, bug reports, or legal update suggestions? Join SpeciAI — a Korean legal AI hub community where lawyers, developers, and founders discuss privacy, CCPA/CPRA, and AI-related legal tooling. → https://discord.gg/wQWpEpnBfE
