সম্মতি৭ মে ২০২৬ | FlexyConsent

CCPA ও CPRA কুকি কনসেন্ট: ক্যালিফোর্নিয়ার প্রাইভেসি আইন আপনার ওয়েবসাইটের জন্য কী বোঝায়

ক্যালিফোর্নিয়ার প্রাইভেসি ফ্রেমওয়ার্ক বোঝা

ভোক্তা প্রাইভেসি আইন প্রণয়নে ক্যালিফোর্নিয়া যুক্তরাষ্ট্রকে নেতৃত্ব দিয়েছে, এবং এর আইন বিশ্বজুড়ে ওয়েবসাইটগুলোর উপর প্রভাব ফেলে। California Consumer Privacy Act (CCPA), যা ২০২৩ স��লের জানুয়ারি থেকে কার্যকর California Privacy Rights Act (CPRA) দ্বারা উল্লেখযোগ্যভাবে সংশোধিত হয়েছে, এমন সব ব্যবসার উপর দায়িত্ব আরোপ করে যারা ক্যালিফোর্নিয়ার বাসিন্দাদের ব্যক্তিগত তথ্য সংগ্রহ করে — ব্যবসাটি শারীরিকভাবে কোথায় অবস্থিত তা নির্বিশেষে।

ওয়েবসাইট মালিকদের জন্য বাস্তবিক প্রভাব মূলত কুকি, ট্র্যাকিং প্রযুক্তি এবং কীভাবে ব্যবহারকারীর ডেটা তৃতীয় পক্ষের সঙ্গে শেয়ার করা হয়, তা ঘিরে। যদিও ক্যালিফোর্নিয়ার মডেল মূলত ইউরোপের GDPR থেকে ভিন্ন, তবুও এটি কনসেন্ট মেকানিজম এবং ব্যবহারকারীর অধিকার নিয়ে সতর্ক মনোযোগ দাবি ��রে।

CCPA/CPRA: কারা আওতাভুক্ত?

এই আইনটি এমন লাভজনক ব্যবসার ক্ষেত্রে প্রযোজ্য, যারা নিচের যেকোনো একটি সীমা অতিক্রম করে:

বার্ষিক মোট আয় ২৫ মিলিয়ন ডলার-এর বেশি।
প্রতি বছর ১,০০,০০০ বা তার বেশি ক্যালিফোর্নিয়া বাসিন্দা, পরিবার বা ডিভাইসের ব্যক্তিগত তথ্য কেনা, বেচা বা শেয়ার করা।
বার্ষিক আয়ের ৫০ শতাংশ বা তার বেশি ক্যালিফোর্নিয়া বাসিন্দাদের ব্যক্তিগত তথ্য বিক্রি বা শেয়ার করার মাধ্যমে অর্জন করা।

দ্বিতীয় সীমাটি বিজ্ঞাপনভিত্তিক ওয়েবসাইটগুলোর জন্য বিশেষভাবে গুরুত্বপূর্ণ। যদি আপনার সাইট টার্গেটেড বিজ্ঞাপনের জন্য তৃতীয় পক্ষের কুকি ব্যবহার করে এবং উল্লেখযোগ্য পরিমাণ ক্যালিফোর্নিয়া ট্রাফিক পায়, তাহলে শুধুমাত্র এই কুকিগুলোর মাধ্যমেই আপনি বছরে ১,০০,০০০-এর অনেক বেশি ক্যালিফোর্নিয়া ব্যবহারকারীর ডেটা প্রক্রিয়া করে থাকতে পারেন।

অপ্ট-আউট বনাম অপ্ট-ইন: GDPR থেকে মৌলিক পার্থক্য

ওয়েবসাইট অপারেটরদের জন্য এটি বোঝা সবচেয়ে গুরুত্বপূর্ণ পার্থক্য। GDPR-এর অধীনে ডিফল্ট হলো অপ্ট-ইন: ব্যবহারকারী সক্রিয়ভাবে সম্মতি না দেওয়া পর্যন্ত আপনি নন-এসেনশিয়াল কুকি সেট করতে পারবেন না। CCPA/CPRA-এর ��ধীনে ডিফল্ট হলো অপ্ট-আউট: ব্যবহারকারী আপনাকে থামাতে না বলা পর্যন্ত আপনি ব্যক্তিগত তথ্য (কুকি সহ) প্রক্রিয়া করতে পারেন।

এর মানে ক্যালিফোর্নিয়া ভিজিটরদের জন্য কনসেন্ট অভিজ্ঞতা মৌলিকভাবে ভিন্ন দেখায়:

GDPR পদ্ধতি: সব নন-এসেনশিয়াল কুকি ব্লক করুন। একটি ব্যানার দেখান। স্পষ্ট সম্মতির জন্য অপেক্ষা করুন। কেবল তখনই কুকি সেট করুন।
CCPA/CPRA পদ্ধতি: কুকি ডিফল্টভাবে সেট হতে পারে। স্পষ্ট ও দৃষ্টিগোচরভাবে "Do Not Sell or Share My Personal Information" লিংক দিন। যখন ব্যবহারকারী এই অধিকার প্রয়োগ করে, তখন তাদের ডেটা তৃতীয় ��ক্ষের সঙ্গে শেয়ার করা বন্ধ করুন।

তবে গুরুত্বপূর্ণ কিছু ব্যতিক্রম আছে। ১৬ বছরের কম বয়সী নাবালকদের ক্ষেত্রে CCPA/CPRA একটি অপ্ট-ইন মডেল প্রয়োগ করে — তাদের ব্যক্তিগত তথ্য বিক্রি বা শেয়ার করার আগে আপনাকে স্পষ্ট সম্মতি নিতে হবে। ১৩ বছরের কম বয়সী শিশুদের ক্ষেত্রে সেই সম্মতি অবশ্যই অভিভাবক বা গার্ডিয়ানকে দিতে হবে।

"Do Not Sell or Share" প্রয়োজনীয়তা

CPRA মূল CCPA-র "Do Not Sell" অধিকারের পরিসর বাড়িয়ে "sharing" অন্তর্ভুক্ত করেছে — যা বিশেষভাবে তৃতীয় পক্ষের বিজ্ঞাপন কুকির মাধ্যমে হওয়া ডেটা বিনিময়কে লক্ষ্য করে। যখন কোনো ব্যবহারকারী আপনার সাইট ভিজিট করে এবং আপনার কুকি তাদের ব্রাউজিং ডেটা বিজ্ঞাপন নেটওয়ার্কে পাঠায়, তখন সেটি CPRA-এর অধীনে sharing হিসেবে গণ্য হয়, এমনকি সরাসরি অর্থ লেনদেন না হলেও।

আপনার দায়িত্বগুলোর মধ্যে রয়েছে:

আপনার হোমপেজ এবং প্রাইভেসি পলিসিতে "Do Not Sell or Share My Personal Information" শিরোনামের একটি স্পষ্ট লিংক।
ব্যবহারকারীরা যেন সহজে এই অধিকার প্রয়োগ করতে পারে, এমন একটি ব্যবস্থা — কোনো অ্যাকাউন্ট তৈরি করতে বাধ্য না করে।
১৫ কর্মদিবসের মধ্যে অনুরোধটি সম্মান করা।
যারা এই অধিকার প্রয়োগ করে তাদে�� বিরুদ্ধে বৈষম্য না করা (যেমন, ইচ্ছাকৃতভাবে তাদের অভিজ্ঞতা খারাপ করা)।

Global Privacy Control (GPC)

Global Privacy Control হলো একটি ব্রাউজার-লেভেল সিগন্যাল, যা ব্যবহারকারীরা সক্রিয় করতে পারে, যাতে তারা যে প্রতিটি ওয়েবসাইটে যায় সেখানে স্বয়ংক্রিয়ভাবে তাদের অপ্ট-আউট পছন্দটি জানিয়ে দেওয়া যায়। Firefox এবং Brave সহ বড় কিছু ব্রাউজার নেটিভভাবে GPC সাপোর্ট করে, এবং ব্রাউজার এক্সটেনশনগুলো Chrome ও অন্যান্য ব্রাউজারে এই সাপোর্ট যোগ করে।

CPRA রেগুলেশন অনুযায়ী, ব্যবসাগুলোকে GPC সিগন্যাল অবশ্যই সম্মান করতে হবে — এটিকে বৈধ অপ্ট-আউট অনুরোধ হিসেবে গণ��য করে। এর উল্লেখযোগ্য বাস্তবিক প্রভাব রয়েছে:

আপনার ওয়েবসাইটকে Sec-GPC: 1 HTTP হেডার বা navigator.globalPrivacyControl JavaScript প্রপার্টি শনাক্ত করতে সক্ষম হতে হবে।
শনাক্ত হলে, আপনাকে এটিকে ব্যবহারকারীর "Do Not Sell or Share" ক্লিক করার সমতুল্য হিসেবে বিবেচনা করতে হবে।
বিজ্ঞাপনের জন্য ব্যবহৃত তৃতীয় পক্ষের কুকি এই ব্যবহারকারীদের জন্য দমন করতে হবে।

GPC গ্রহণ ক্রমশ বাড়ছে। ধারণা করা হয়, এখন মোট ওয়েব ট্রাফিকের ৫ থেকে ১০ শতাংশ GPC সিগন্যাল বহন করে, এবং ক্যালিফোর্নিয়ার প্রাইভেসি-সচেতন ব্যবহারকারীদের মধ্যে এই হার আরও বেশি।

ক্যালিফোর্নিয়ার জন্য আসলে কখন কুকি ব্যানার দরকার?

অনেক ব্যবসা এখানেই বিভ্রান্ত হয়। কড়া অর্থে, অপ্ট-আউট মডেলের কারণে CCPA/CPRA ইউরোপীয় ধাঁচের কুকি কনসেন্ট ব্যানার বাধ্যতামূলক করে না। তবে আপনার যা থাকা দরকার তা হলো:

সহজে খুঁজে পাওয়া যায় এমন একটি "Do Not Sell or Share" লিংক।
যখন ব্যবহারকারী অপ্ট-আউট করে বা GPC সিগন্যাল পাঠায়, তখন তৃতীয় পক্ষের ডেটা শেয়ারিং দমন করার একটি ব্যবস্থা।
একটি প্রাইভেসি পলিসি, যেখানে কোন ক্যাটাগরির ব্যক্তিগত তথ্য সংগ্রহ করা হয়, কী উদ্দেশ্যে এবং কোন তৃতীয় পক্ষের সঙ্গে ডেটা শেয়��র করা হয় তা প্রকাশ করা আছে।
যেসব সাইট ইউরোপীয় ভিজিটরদেরও সার্ভ করে, তাদের জন্য এমন একটি GDPR-সম্মত কনসেন্ট ব্যানার, যা CCPA অপ্ট-আউট মেকানিজমের সঙ্গে সহাবস্থান করতে পারে।

বাস্তবে, বেশিরভাগ ওয়েবসাইট যারা ইউরোপীয় এবং ক্যালিফোর্নিয়া — উভয় ধরনের অডিয়েন্স সার্ভ করে, তারা একটি একীভূত কনসেন্ট ইন্টারফেস ব্যবহার করে, যা ভিজিটরের অবস্থান অনুযায়ী আচরণ পরিবর্তন করে। এতে দুটি সম্পূর্ণ আলাদা কনসেন্ট সিস্টেম রক্ষণাবেক্ষণের প্রয়োজন পড়ে না।

বাস্তবায়নের ব্যবহারিক দিকগুলো

GDPR-এর পাশাপাশি CCPA/CPRA কমপ্লায়েন্স বা��্তবায়ন করলে দ্বৈত-মোডের একটি চ্যালেঞ্জ তৈরি হয়। আপনার কনসেন্ট ম্যানেজমেন্ট প্ল্যাটফর্মের যা করতে হবে:

ভিজিটরের অবস্থান সঠিকভাবে শনাক্ত করা — IP-ভিত্তিক জিওলোকেশন ব্যবহার করে।
সঠিক আইনি ফ্রেমওয়ার্ক প্রয়োগ করা — EEA/UK ভিজিটরদের জন্য অপ্ট-ইন, ক্যালিফোর্নিয়া ভিজিটরদের জন্য অপ্ট-আউট, এবং অন্যান্য অঞ্চলের ভিজিটরদের জন্য সম্ভাব্যভাবে কোনো প্রয়োজনীয়তা না থাকা।
ক্যালিফোর্নিয়া ভিজিটরদের জন্য "Do Not Sell or Share" লিংক ম্যানেজ করা — ব্যানারের ভেতরে বা আলাদা পেজ এলিমেন্ট হিসেবে।
কোনো তৃতীয় পক্ষের কুকি সেট হওয়ার আগে GPC সিগন্যাল শনাক্ত ও সম্মান করা।
অনুযায়ী কুকি আচরণ নিয়ন্ত্রণ করা — যারা অপ্ট-আউট করেছে তাদের জন্য তৃতীয় পক্ষের বিজ্ঞাপন কুকি ব্লক করা, অথচ ফার্স্ট-পার্টি অ্যানালিটিক্স চালু রাখা।

প্রযুক্তিগত বাস্তবায়নে আরও খেয়াল রাখতে হবে ফার্স্ট-পার্টি অ্যানালিটিক্স কুকি (যা সাধারণত CCPA/CPRA-এর অধীনে ব্যবসায়িক উদ্দেশ্য হিসেবে অনুমোদিত) এবং তৃতীয় পক্ষের বিজ্ঞাপন কুকি (যা sharing হিসেবে গণ্য হয় এবং অপ্ট-আউটের আওতায় পড়ে) — এই দুইয়ের পার্থক্যকে।

ক্যালিফোর্নিয়া ভিজ��টরদের জন্য FlexyConsent জিও-টার্গেটিং

FlexyConsent স্বয়ংক্রিয় জিও-টার্গেটিংয়ের মাধ্যমে এই দ্বৈত-মোড চ্যালেঞ্জ সামলে নেয়। যখন কোনো ক্যালিফোর্নিয়া ভিজিটর আপনার সাইটে আসে, FlexyConsent তার আচরণ CCPA/CPRA প্রয়োজনীয়তার সঙ্গে সামঞ্জস্য করে:

অপ্ট-আউট মোড সক্রিয়করণ: শুরুতেই সব কুকি ব্লক করার বদলে, FlexyConsent প্রয়োজনীয় "Do Not Sell or Share My Personal Information" অপশনটি স্পষ্টভাবে প্রদর্শন করে।
GPC সিগন্যাল শনাক্তকরণ: FlexyConsent স্বয়ংক্রিয়ভাবে Global Privacy Control সিগন্যাল পরীক্ষা করে এবং এটি পাওয়া গেলে কোনো ব্যবহারকারী ইন্টারঅ্যাকশন ছাড়াই তৃতীয় পক্ষের ডেটা শেয়ারিং দমন করে।
ক্যাটাগরি-সচেতন ব্লকিং: যখন কোনো ক্যালিফোর্নিয়া ব্যবহারকারী অপ্ট-আউট করে, FlexyConsent বেছে বেছে বিজ্ঞাপন ও ক্রস-সাইট ট্র্যাকিং কুকি ব্লক করে, অথচ ব্যবসায়িক উদ্দেশ্যের ছাড়ের আওতায় পড়া ফার্স্ট-পার্টি অ্যানালিটিক্স ফাংশনালিটি বজায় রাখে।
নিরবচ্ছিন্ন GDPR সহাবস্থান: একই FlexyConsent ইনস্টলেশন উভয় ফ্রেমওয়ার্ক সামলে নেয়। ইউরোপীয় ভিজিটররা গ্রানুলার ক্যাটাগরি কন্ট্রোলসহ GDPR-সম্মত অপ্ট-ইন ব্যানার দেখে। ক্যালিফোর্নিয়া ভিজিটররা উপযুক্ত অপ্ট-আউট মেকানিজম দেখে। নিয়ন্ত্রিত নয় এমন অঞ্চল থেকে আসা ভিজিটররা আপনার কনফিগারেশন অনুযায়ী ন্যূনতম নোটিস বা কোনো ব্যানারই নাও দেখতে পারে।

Google-certified CMP হিসেবে, যা IAB TCF 2.3 এবং Consent Mode V2 সাপোর্ট করে, FlexyConsent নিশ্চিত করে যে যেই আইনি ফ্রেমওয়ার্কই প্রযোজ্য হোক না কেন, কনসেন্ট সিগন্যাল সঠিকভাবে Google সার্ভিসগুলোতে পৌঁছায়। এর মানে আপনার Google Analytics এবং Google Ads কনফিগারেশন উভয়ই সঠিকভাবে কাজ করবে — অপ্ট-ইন করা ইউরোপীয় ব্যবহারকারীদের জন্য যেমন, তেমনি অপ্ট-আউট না করা ক্যালিফোর্নিয়া ব্যবহারকারীদের জন্যও।

মূল বার্তা: ক্যালিফোর্নিয়ার অপ্ট-আউট মডেলটি GDPR-এর অপ্ট-ইন পদ্ধতির তুলনায় কম কড়া মনে হতে পারে, কিন্তু বাস্তবিক প্রয়োজনীয়তাগুলো — বিশেষ করে GPC সিগন্যাল এবং "sharing"-এর বিস্তৃত সংজ্ঞা — এমন যে, অধিকাংশ বিজ্ঞাপন-নির্ভর ওয়েবসাইটেরই উন্নতমানের কনসেন্ট ম্যানেজমেন্ট সলিউশন প্রয়োজন। উভয় ফ্রেমওয়ার্কের সঙ্গে মানিয়ে নেওয়া জিও-টার্গেটেড কনসেন্ট বাস্তবায়ন করা, সারা বিশ্বে এক ধরনের একক পদ্ধতি প্রয়োগ করার চেয়ে অনেক বেশি নির্ভরযোগ্য।