Zum Hauptinhalt springen
Wenn Ihre KI-App kalifornische Verbraucher berührt, landen drei CCPA / CPRA-Pflichten auf dem Request-Pfad selbst: keine Verbraucher-Personeninformationen an ein Modell lecken, das sie nicht braucht (§1798.100), sensiblen personenbezogenen Informationen verschärfte Behandlung geben (§1798.140), und Aufzeichnungen führen, die Sie einem Regulierer zeigen können (§1798.130). Das CCPA / CPRA-Pack verwandelt diese in durchgesetzte Kontrollen, die Sie in einem Aufruf installieren — kein Policy-Verfassen von Grund auf. Diese Seite ist die ccpa ai-Landung: was die Installation des Packs tatsächlich materialisiert, ein konkreter Install-Flow und wohin das Verbraucher-Opt-out-Recht passt. Für die vollständige Content-Ebenen-Referenz folgen Sie den Links, statt sie hier erneut zu lesen.

​
1. Was das CCPA / CPRA-Pack installiert

Das Durchstöbern des Katalogs ist für jedes Workspace-Mitglied kostenlos; das Installieren ist eine Aktion mit kostenpflichtigem Plan und Workspace-Admin (dasselbe Gate wie das Live-Schalten — siehe Plan-Gating). Eine Installation materialisiert echte, editierbare Guardrail-Zeilen, abgebildet auf California-Civil-Code-Abschnitte:
Ein striktes PII-Guardrail, das den Request auf der Input-Stage blockiert, wenn Verbraucher-Personeninformationen (E-Mail, Telefon, SSN, Kreditkarte, IP) vorhanden sind — sodass sie nie den Anbieter erreichen. Das ist eine Hart-Ablehnen-Kontrolle, kein Redaktor.
Ein PII-Guardrail, das sensible Identifikatoren — SSN, Kreditkarte und IBAN — auf beiden Stages maskiert. Maskierte Entitäten rendern als typisierte Tags wie [SSN] und [CREDIT_CARD], sodass die SPI-Kategorie verschärfte, redigierte Behandlung erhält.
Ein Logging-Guardrail, das PII-Vorkommen flaggt und jede Guardrail-Entscheidung als Aufzeichnungsnachweis aufzeichnet — ohne Traffic zu blockieren oder zu modifizieren — und so den signierten Report speist, den Ihr Auditor liest.
Das Pack ist ein Ausgangspunkt, der Ihnen gehört, keine Blackbox. Jede Regel, die es schreibt, ist eine gewöhnliche Guardrail-Zeile, die Sie in der Konsole danach bearbeiten, umordnen, neu ausrichten (input / output / both) oder deaktivieren können. Das gebündelte Entitäts-Set und die Pro-Entität-Aktions-Overrides leben in der Guardrails-Referenz.

​
2. Das CCPA / CPRA-Pack installieren (ein konkreter Ablauf)

Installieren Sie aus der Konsole unter Compliance → Packs, angemeldet als Workspace-Admin auf einem kostenpflichtigen Plan. Die Konsole treibt die Management-Route für Sie unter Verwendung Ihrer Session — das ist eine UserAuth-Route, niemals ein Relay-(sk-orca-…)-Key: 
POST /api/compliance/packs/ccpa/install
Authorization: Bearer <your console session>
Bevor Sie sich festlegen, öffnen Sie den Katalog als Mitglied, um genau zu bestätigen, auf welches Framework Sie abbilden: 
GET /api/compliance/catalog
Authorization: Bearer <your console session>

{
  "key": "ccpa",
  "name": "CCPA/CPRA",
  "framework": "California Consumer Privacy Act (as amended by CPRA)",
  "jurisdiction": "US-CA"
}
Installieren Sie zuerst ins Observe, wenn Sie lieber beobachten, bevor Sie durchsetzen. Die §1798.100-Kontrolle ist ein harter Block — die materialisierte Regel eine Woche lang im Audit-Mode laufen zu lassen zeigt Ihnen genau, welchen Traffic sie abgelehnt hätte, bevor je ein Verbraucher-Request tatsächlich gestoppt wird. Siehe Observe vs. Enforce.

​
3. Die Verbraucher-PII-Kontrolle auf dem Request

Die tragende CCPA-Kontrolle ist, Verbraucher-Personeninformationen vom Modell fernzuhalten, und auf dem Gateway ist das ein PII-Guardrail, ausgewertet bevor der Request den Anbieter erreicht. Das Pack liefert zwei komplementäre Haltungen aus:
KontrolleAktionWas sie abdeckt
Personenbezogene Informationenblock (input)E-Mail, Telefon, SSN, Kreditkarte, IP
Sensible PImask (both)SSN, Kreditkarte, IBAN
Das Blockieren lehnt den Request gänzlich ab; das Maskieren lässt ihn mit sensiblen Identifikatoren durch, die gegen typisierte Tags getauscht sind. Sie entscheiden, welche Haltung zu welchem Traffic passt — beide sind nach der Installation gewöhnliche Guardrail-Zeilen, sodass Sie eine Entität von block auf mask umschalten, das Entitäts-Set verengen oder Ihre eigenen Custom-Entity-Muster (Regex, optionale Luhn-Prüfung) für Identifikatoren hinzufügen können, die für Ihr Produkt spezifisch sind.
Input-Stage-Kontrollen sind vollständig live. Die Live-Maskierung von Streaming-Output ist auf der Roadmap — heute ist die Output-Stage-Maskierung nur nicht-streaming, während ein Output-block auf sowohl Streaming- als auch Nicht-Streaming-Responses durchgesetzt wird. Planen Sie Ihre Verbraucher-PII-Minimierung um die Input-Stage, wo sie vollständig durchgesetzt ist.

​
4. Das Recht auf Opt-out (die menschliche Seite)

Das charakteristische Verbraucherrecht von CCPA — Opt-out aus dem Verkauf oder Teilen personenbezogener Informationen (§1798.120) — und die Notice-at-Collection-Pflicht (§1798.130) sind organisatorische Kontrollen in der Readiness-Checkliste, keine Regeln, die das Gateway für Sie verfassen kann. Sie hängen von Ihren Geschäftsprozessen ab, nicht vom Request-Pfad.
OrcaRouter verfolgt diese als Readiness-Posten, sodass Ihr Auditor das vollständige CCPA-Bild sieht, aber der Do-Not-Sell-Workflow und Ihre Datenschutzrichtlinien-Offenlegungen sind Ihre, sie zu betreiben. Das Gateway weist nach, was es durchsetzt (die PII- und Aufzeichnungskontrollen oben); Sie attestieren, was es nicht sehen kann. Die Aufteilung ist auf der Seite Geteilte Verantwortung abgebildet.

​
5. Residency, Aufbewahrung und Verbraucherlöschung

Drei Workspace-Ebenen-Einstellungen runden eine CCPA-Haltung ab:

Residency für Ihre Nachweise

Stempeln Sie signierte Reports mit einer Region (us / eu / uk / ap / cn / global), sodass ein kalifornischer Auditor US-residenten Nachweis liest. Setzen Sie sie bevor Sie Reports erzeugen — sie regelt das Artefakt, nicht wo die Inferenz läuft.

Log-Aufbewahrung

Die Request-Log-Aufbewahrung ist standardmäßig 30 Tage, serverseitig auf ein 180-Tage-Maximum geklemmt. Sie zu senken verkleinert das Fenster, in dem Verbraucherdaten überhaupt in Logs sitzen.
Eine Verbraucher-Löschanfrage (§1798.105) bildet auf die Account-Selbstlöschung von OrcaRouter ab: ein Frist-dann-Scrub-Flow — Soft-Delete und Login-Block auf Anfrage, ein abbrechbares 30-Tage-Fenster, dann ein irreversibler PII-Scrub, der eine Bereinigung über Request-Logs, Guardrail-Matches und Firewall-Events kaskadiert. Der vollständige Flow ist auf der Seite Recht auf Löschung. Setzen Sie die Residency als Workspace-Admin — eine UserAuth-Route, aus der Konsole getrieben: 
PUT /api/compliance/residency
Authorization: Bearer <your console session>
Content-Type: application/json

{ "region": "us" }

​
6. Beweisen Sie es mit einem signierten Report

Sobald das Pack live ist, erzeugen Sie einen Compliance-Report: er ist SHA-256-gehasht und Ed25519-signiert, sodass ein Auditor verifizieren kann, dass er von OrcaRouter erzeugt und nicht verändert wurde — öffentlich, ohne Login. 
POST /api/compliance/reports
Authorization: Bearer <your console session>
Content-Type: application/json

{ "framework": "ccpa" }
Jeder kann die Signatur gegen den öffentlichen Schlüssel verifizieren, und Sie können einem Auditor einen gescopeten, zeitlich begrenzten Share-Link übergeben. Die Mechanik lebt in Signierter Report und Einen Report verifizieren.

​
7. Wo das hineinpasst

CCPA / CPRA ist ein Framework in der breiteren Compliance-Schleife — ein Pack installieren, es beobachten, durchsetzen, die Residency deklarieren, dann signierten Nachweis ausliefern.

Compliance-Überblick

Die vollständige Schleife — installieren, beobachten, durchsetzen und signierten Nachweis ausliefern.

Was ein Pack installiert

Wie ein Pack Guardrail- und Firewall-Zeilen materialisiert, die Ihnen gehören.

GDPR

Das EU-Datenschutz-Framework — Minimierung, Transfers und Löschung.

Guardrails

Die Content-Ebenen-Referenz — PII-Entitäten, Maskierung und Overrides.
Für die Grenze zwischen dem, was das Gateway unter CCPA durchsetzt, und dem, was Ihnen bleibt — der Opt-out-Workflow, Ihre Offenlegungen, Löschungen auslösen — stellt die Karte Geteilte Verantwortung das CCPA / CPRA-Pack in Kontext.