พระราชบัญญัติความเป็นส่วนตัวของผู้บริโภคแคลิฟอร์เนีย (CCPA) และการขยายเพิ่มเติมของพระราชบัญญัติฉบับนี้คือ พระราชบัญญัติสิทธิความเป็นส่วนตัวของแคลิฟอร์เนีย (CPRA) กำหนดมาตรฐานว่าผู้ให้บริการดิจิทัลควรเก็บและแบ่งปันข้อมูลของลูกค้าในรัฐแคลิฟอร์เนียอย่างไร การปฏิบัติตาม CCPA และ CPRA มีความสำคัญอย่างยิ่งเมื่อคุณเลือกผู้ให้บริการชำระเงิน เพราะค่าปรับต่อการละเมิดหนึ่งครั้งอาจสูงถึงเกือบ 8,000 ดอลลาร์สหรัฐ

ด้านล่างนี้ เราจะอธิบายวิธีเลือกผู้ให้บริการชำระเงินที่สอดคล้องกับ CCPA รวมถึงวิธีประเมินขีดความสามารถด้านความเป็นส่วนตัวของผู้ให้บริการ และแนวทางค้นหาช่องว่างในการปฏิบัติตามข้อกำหนดตั้งแต่ช่วงต้นของขั้นตอนจัดซื้อจัดจ้าง

เนื้อหาหลักในบทความ

• ทำไมพระราชบัญญัติความเป็นส่วนตัวของผู้บริโภคแคลิฟอร์เนียจึงสำคัญต่อการชำระเงิน
  
• ผู้ประมวลผลการชำระเงินใช้ข้อมูลส่วนบุคคลอะไรบ้าง
  
• ควรประเมินการปฏิบัติตามข้อกำหนดของ CCPA ของผู้ให้บริการอย่างไร
  
• มีสัญญาณอะไรบ้างที่บอกว่าการกำกับดูแลข้อมูลด้านการชำระเงินยังไม่เพียงพอ
  
• ทีมจัดซื้อจะจัดโครงสร้างเอกสารคำขอเสนอราคาอย่างไร เพื่อมองเห็นช่องว่างการปฏิบัติตามข้อกำหนดของ CCPA ตั้งแต่ช่วงต้น
  
• Stripe Payments ช่วยอะไรได้บ้าง
  

ทำไมพระราชบัญญัติความเป็นส่วนตัวของผู้บริโภคแคลิฟอร์เนียจึงสำคัญต่อการชำระเงิน

CCPA จะให้สิทธิ์แก่ชาวแคลิฟอร์เนียในการรับรู้ว่าข้อมูลส่วนตัวของตนถูกเก็บอย่างไร ขอให้ลบข้อมูลนั้น และหยุดไม่ให้ข้อมูลถูกนำไปขาย ขอบเขตของ CCPA ครอบคลุมถึง ผู้ให้บริการชำระเงิน เนื่องจากต้องจัดการข้อมูลที่ละเอียดอ่อน รวมถึงชื่อ อีเมล ที่อยู่ หมายเลขบัตร และรายละเอียดธุรกรรม

บ่อยครั้งที่ผู้ให้บริการชำระเงินมักถูกจัดอยู่ในกลุ่ม "ผู้ให้บริการ" ตามกฎหมาย ซึ่งธุรกิจสามารถแบ่งปันข้อมูลลูกค้ากับผู้ให้บริการชำระเงินได้ด้วยเหตุผลที่จำกัดและระบุไว้ชัดเจน และผู้ให้บริการต้องรักษามาตรฐานการคุ้มครองความเป็นส่วนตัวให้เทียบเท่ากัน หากผู้ประมวลผลการชำระเงินนำข้อมูลนั้นไปใช้ในวัตถุประสงค์อื่น (กล่าวคือ วิเคราะห์ประวัติธุรกรรมเพื่อสร้างผลิตภัณฑ์การตลาดของตนเอง) ก็ถือว่าอยู่นอกขอบเขตที่กฎหมายกำหนด

การเพิกเฉยต่อ CCPA อาจทำให้ถูกปรับและเกิดความเสียหายต่อภาพลักษณ์และชื่อเสียง แม้ว่าธุรกิจของคุณจะตั้งอยู่นอกรัฐแคลิฟอร์เนียก็ตาม เนื่องจาก CCPA บังคับใช้กับผู้พำนักในรัฐแคลิฟอร์เนียทุกคน ไม่ว่าธุรกิจของคุณจะตั้งอยู่ที่ใด โดยคล้ายกับระเบียบการคุ้มครองข้อมูลส่วนบุคคลทั่วไปของสหภาพยุโรป (GDPR)

ผู้ประมวลผลการชำระเงินใช้ข้อมูลส่วนบุคคลอะไรบ้าง

ทุกการชำระเงินจะเกี่ยวข้องกับข้อมูลส่วนบุคคลและข้อมูลที่ละเอียดอ่อนหลากหลายประเภท

โดยจะประกอบด้วยข้อมูลดังต่อไปนี้

• ข้อมูลระบุตัวตนของลูกค้า: ชื่อ อีเมล ที่อยู่ไปรษณีย์ และชื่อบัญชี หรือแม้แต่ Internet Protocol Address (ที่อยู่ IP) ที่เก็บระหว่างขั้นตอนการชำระเงินก็ถือเป็นข้อมูลส่วนตัว

• ข้อมูลทางการเงิน: หมายเลขบัตรเครดิตและเดบิต, วันหมดอายุ, รหัสความปลอดภัย รวมถึงหมายเลขบัญชีธนาคารและ Routing Number ซึ่ง CCPA จัดให้ข้อมูลเหล่านี้เป็นข้อมูลส่วนตัวที่ละเอียดอ่อน เนื่องจากสามารถระบุตัวเจ้าของบัญชีทางการเงินได้โดยตรง

• ข้อมูลธุรกรรม: ประวัติการซื้อ มูลค่าคำสั่งซื้อ เวลาประทับ และรายละเอียดของธุรกิจ ซึ่งบันทึกเหล่านี้สามารถเผยให้เห็นรูปแบบการใช้จ่ายที่เชื่อมโยงกับบุคคลแต่ละรายได้

• ข้อมูลการป้องกันการฉ้อโกง: ลายนิ้วมือของอุปกรณ์ ข้อมูลตำแหน่งที่ตั้ง และตัวชี้วัดพฤติกรรมที่ใช้ตรวจจับการฉ้อโกง ล้วนถือเป็นข้อมูลส่วนบุคคลตามกฎหมาย

• ข้อมูลยืนยันตัวตน: ข้อมูลประจำตัวสำหรับสู่ระบบที่มีการเข้ารหัส โทเค็นของบัญชี และบางครั้งรวมถึงตัวระบุแบบไปโอเมตริก เช่น การยืนยันใบหน้าและการสแกนลายนิ้วมือ ถือเป็นข้อมูลที่ละเอียดอ่อน

• การสื่อสารของลูกค้า: อีเมลฝ่ายสนับสนุน บันทึกแชท และบันทึกการโทร มักมีรายละเอียดส่วนบุคคลที่เชื่อมโยงกับบัญชีหรือธุรกรรม

ควรประเมินการปฏิบัติตามข้อกำหนดของ CCPA ของผู้ให้บริการอย่างไร

ผู้ให้บริการชำระเงินจะประมวลผลข้อมูลในนามของคุณ แต่คุณจะต้องมั่นใจว่าผู้ให้บริการดังกล่าวสามารถรองรับคำขอที่ลูกค้ามีสิทธิ์ตามกฎหมายได้

คุณควรพิจารณาเรื่องต่อไปนี้

• การจัดการความยินยอมและการเลือกไม่เข้าร่วม: ภายใต้ CCPA ผู้ให้บริการชำระเงินจำนวนมากไม่จำเป็นต้องได้รับความยินยอมเข้าร่วมเพื่อเก็บข้อมูล แต่ต้องเคารพการตั้งค่า "ไม่ขายหรือไม่แบ่งปันข้อมูล" หากพวกเขาใช้คุกกี้หรือเครื่องมือติดตามเพื่อตรวจจับการฉ้อโกงหรือการวิเคราะห์ข้อมูล คุณควรตรวจสอบให้แน่ใจว่าเรื่องดังกล่าวไม่ขัดกับสิทธิ์ในการเลือกไม่เข้าร่วม

• การเข้าถึงและการเคลื่อนย้ายข้อมูล: ลูกค้ามีสิทธิรู้ว่าธุรกิจถือครองข้อมูลส่วนตัวอะไรบ้าง ซึ่งหมายความว่าผู้ให้บริการของคุณต้องสามารถดึงข้อมูลนั้นออกมาให้ได้เมื่อมีการร้องขอ สอบถามว่าพวกเขาค้นหาและรวบรวมข้อมูลของแต่ละบุคคลอย่างไร (เช่น จากอีเมล โทเค็นบัตร หรือรหัสธุรกรรม) และตรวจสอบยืนยันตัวตนอย่างไรก่อนเปิดเผยข้อมูล ผู้ให้บริการที่มีความพร้อมจะสามารถจัดทำข้อมูลนี้ผ่านอินเทอร์เฟซการเขียนโปรแกรมแอปพลิเคชัน (API) หรือผ่านกระบวนการทำงานที่กำหนดไว้อย่างชัดเจน

• การควบคุมการลบและการเก็บรักษาข้อมูล: โดยทั่วไป ผู้ให้บริการจะต้องลบข้อมูลลูกค้าเมื่อมีการร้องขอ การลบข้อมูลการชำระเงินไม่ใช่เรื่องง่ายเสมอไป ผู้ให้บริการต้องสามารถลบข้อมูลส่วนบุคคลตามคำสั่งของคุณได้ พร้อมทั้งคงไว้เฉพาะข้อมูลที่กฎหมายกำหนดให้ต้องเก็บเพื่อการปฏิบัติตามข้อกำหนด

มีสัญญาณอะไรบ้างที่บอกว่าการกำกับดูแลข้อมูลด้านการชำระเงินยังไม่เพียงพอ

การมองเห็นสัญญาณเตือนว่าการกำกับดูแลข้อมูลยังไม่เพียงพอ จะช่วยลดความเสี่ยงด้านการปฏิบัติตามข้อกำหนดและป้องกันความเสียหายต่อชื่อเสียงในอนาคต

ให้ระวังสิ่งต่อไปนี้

• ไม่มีหลักฐานการปฏิบัติตามข้อกำหนด: ผู้ให้บริการที่มีความเป็นมืออาชีพควรแสดงหลักฐานว่ามีการจัดการข้อมูลอย่างรอบคอบ เช่น รายงานมาตรฐานความปลอดภัยข้อมูลของอุตสาหกรรมบัตรชำระเงิน (PCI DSS), ขั้นตอนการปฏิบัติตาม CCPA ที่จัดทำเป็นเอกสาร, รายงานการควบคุมระบบและองค์กร (SOC) ฉบับที่ 2 หรือใบรับรององค์การระหว่างประเทศว่าด้วยการมาตรฐาน (ISO) ล้วนช่วยยืนยันและให้บริบทประกอบ

• แนวปฏิบัติด้านความปลอดภัยที่ไม่ชัดเจน: การเข้ารหัส การควบคุมสิทธิ์การเข้าถึง และการทดสอบช่องโหว่ ควรเป็นมาตรฐานพื้นฐาน หากผู้ให้บริการเก็บข้อมูลบัตรแบบไม่เข้ารหัส ไม่มีการยืนยันตัวตนหลายปัจจัย หรือไม่สามารถอธิบายแผนรับมือเหตุข้อมูลรั่วไหลได้ ถือเป็นเหตุผลให้ตัดออกจากการพิจารณาทันที

• การใช้ข้อมูลอย่างไม่โปร่งใส: ผู้ให้บริการชำระเงินบางรายนำข้อมูลธุรกรรมไปใช้เพื่อการวิเคราะห์ ทำโฆษณา หรือสร้างโมเดลแมชชีนเลิร์นนิงที่ไม่เกี่ยวข้องกับธุรกิจของคุณ ผู้ให้บริการดังกล่าวต้องเปิดให้ลูกค้าเลือกไม่รับโฆษณาแบบเจาะกลุ่มได้

• การต่อต้านความโปร่งใส: การหลบเลี่ยงระหว่างกระบวนการตรวจสอบข้อมูล (เช่น เลี่ยงตอบตรงๆ เรื่องเส้นทางการเคลื่อนย้ายข้อมูล การเก็บรักษา หรือผู้ประมวลผลย่อย) เป็นสัญญาณเตือนที่ชัดเจน ส่วนสัญญาณน่ากังวลอื่นๆ ได้แก่ ปฏิเสธการกรอกแบบสอบถามความปลอดภัยหรือไม่ยอมให้ตรวจสอบแบบจำกัดขอบเขต

• ขาดการกำกับดูแลด้านความเป็นส่วนตัว: หากผู้ให้บริการไม่มีเจ้าหน้าที่คุ้มครองข้อมูลส่วนตัวหรือทีมกำกับการปฏิบัติตามข้อกำหนด และไม่มีการฝึกอบรมภายในสำหรับพนักงานที่จัดการข้อมูลลูกค้า การบริหารความเสี่ยงของบริษัทนั้นอาจเป็นเพียงการรับมือเชิงรับมากกว่าการ ป้องกันเชิงรุก

ทีมจัดซื้อจะจัดโครงสร้างเอกสารคำขอเสนอราคาอย่างไร เพื่อมองเห็นช่องว่างการปฏิบัติตามข้อกำหนดของ CCPA ตั้งแต่ช่วงต้น

เอกสารคำขอข้อเสนอ (RFP) สำหรับผู้ให้บริการชำระเงิน สามารถช่วยให้คุณเปรียบเทียบระดับความพร้อมด้านการกำกับดูแลข้อมูลของผู้ให้บริการได้

พิจารณาดำเนินการดังต่อไปนี้

• เพิ่มหมวดเฉพาะเรื่องความเป็นส่วนตัว: อย่าเอาเรื่องการคุ้มครองข้อมูลไปซ่อนไว้ในภาคผนวก กำหนดให้การปฏิบัติตาม CCPA เป็นหมวดที่มีการให้คะแนนแยกต่างหาก เพื่อย้ำว่าความเป็นส่วนตัวเป็นหนึ่งในเกณฑ์ทางธุรกิจ ไม่ใช่ประเด็นรอง

• ขอรายละเอียดข้อมูลอย่างเฉพาะเจาะจง: ขอรายการที่ชัดเจนว่าผู้ให้บริการเก็บ ประมวลผล และเก็บรักษา ข้อมูลส่วนตัวอะไรบ้าง เช่น ชื่อ อีเมล ข้อมูลบัตร และรหัสอุปกรณ์ พร้อมเหตุผลว่าทำไมต้องเก็บข้อมูลเหล่านั้น จากนั้น เปรียบเทียบคำตอบระหว่างผู้ให้บริการหลายราย โดยตระหนักว่าการเก็บข้อมูลเกินจำเป็นหรือไม่เกี่ยวข้อง เป็นสัญญาณเตือนที่ควรระวัง

• ตรวจสอบการจัดการสิทธิ์ของลูกค้า: ถามให้ชัดว่าเขาดำเนินการคำขอ เข้าถึงข้อมูลและลบข้อมูลอย่างไร รวมถึงขั้นตอนการยืนยันตัวตนและ ระยะเวลาการดำเนินการ ผู้ให้บริการที่มีความพร้อมควรอธิบายได้แบบทีละขั้นตอนหรือแสดงกระบวนงานตัวอย่างให้ดูได้

• ตรวจดูการเก็บรักษาข้อมูลและขั้นตอนเมื่อยุติสัญญา: กำหนดให้ผู้ให้บริการระบุให้ชัดว่าเก็บรักษาข้อมูลส่วนบุคคลนานเท่าไร อะไรคือเงื่อนไขที่ทำให้ต้องลบข้อมูล และจะจัดการข้อมูลอย่างไรเมื่อสัญญาของคุณสิ้นสุด คุณควรเรียกร้องให้มีคำมั่นว่าจะลบหรือส่งคืนข้อมูลตามคำสั่งของคุณ

• ประเมินความปลอดภัยและความโปร่งใส: ขอรายงานการตรวจสอบ (เช่น SOC ฉบับที่ 2, PCI DSS, ISO/IEC 27001) และขั้นตอนการแจ้งเหตุข้อมูลรั่วไหลที่จัดทำเป็นลายลักษณ์อักษร ผู้ให้บริการที่ไม่สามารถจัดหาเอกสารเหล่านี้ได้ ยังไม่พร้อมสำหรับการปฏิบัติตามข้อกำหนดระดับองค์กร

Stripe Payments ช่วยอะไรได้บ้าง

Stripe Payments มอบโซลูชันการชำระเงินระดับโลกแบบครบวงจรที่ช่วยให้ธุรกิจทุกขนาด ตั้งแต่สตาร์ทอัพที่กำลังเติบโตไปจนถึงองค์กรระดับโลก สามารถรับชำระเงินออนไลน์ ที่จุดขาย และทั่วโลกได้

Stripe Payments ช่วยคุณทำสิ่งต่อไปนี้ได้

• เพิ่มประสิทธิภาพให้ประสบการณ์การชำระเงินของคุณ: สร้างประสบการณ์ที่ราบรื่นให้กับลูกค้าและประหยัดเวลาในการทำงานวิศวกรรมได้หลายพันชั่วโมงด้วย UI การชำระเงินที่สร้างไว้ให้แล้ว, สิทธิ์เข้าถึงวิธีการชำระเงินมากกว่า 125 วิธี และ Link ซึ่งเป็นกระเป๋าเงินที่สร้างโดย Stripe

• ขยายไปสู่ตลาดใหม่ๆ ได้เร็วขึ้น: เข้าถึงลูกค้าทั่วโลกและลดความซับซ้อนและค่าใช้จ่ายในการจัดการหลายสกุลเงินด้วยตัวเลือกการชำระเงินข้ามพรมแดนที่มีให้บริการใน 195 ประเทศและกว่า 135 สกุลเงิน

• รวมการชำระเงินที่จุดขายและทางออนไลน์ไว้ด้วยกัน: สร้างประสบการณ์การค้าแบบแพลตฟอร์มรวมในช่องทางออนไลน์และที่จุดขายเพื่อปรับแต่งการโต้ตอบให้ตรงกลุ่ม ตอบแทนความภักดี และเพิ่มรายได้

• ปรับปรุงประสิทธิภาพการชำระเงิน: เพิ่มรายรับด้วยเครื่องมือการชำระเงินที่กำหนดเองได้และปรับแต่งได้ง่ายๆ ซึ่งรวมถึงระบบป้องกันการฉ้อโกงแบบไม่ต้องเขียนโค้ดและฟังก์ชันขั้นสูงเพื่อเพิ่มอัตราการอนุมัติ

• เดินหน้าได้เร็วขึ้นด้วยแพลตฟอร์มที่ยืดหยุ่นและเชื่อถือได้เพื่อการเติบโต: สร้างบนแพลตฟอร์มที่ออกแบบมาเพื่อขยับขยายไปพร้อมกับคุณ โดยมีระยะเวลาให้บริการที่แทบจะไม่หยุดทำงานเลยในระยะเวลาที่ผ่านมา และมีความน่าเชื่อถือระดับแนวหน้าของวงการ

ดูข้อมูลเพิ่มเติมเกี่ยวกับวิธีที่ Stripe Payments สามารถขับเคลื่อนการชำระเงินออนไลน์และที่จุดขายได้ หรือเริ่มใช้งานเลยวันนี้