US$ 25 मिलियन से ऊपर का राजस्व
यह पहला फ़िल्टर है और अनिवार्य है। इससे कम सालाना राजस्व वाली कंपनी TIPA से बाहर रहती है, भले ही उसके टेनेसी के बहुत विज़िटर हों।
गाइड · अमेरिकी राज्य का कानून
Tennessee Information Protection Act 1 जुलाई 2025 से लागू है और सिर्फ़ बड़ी कंपनियों तक पहुंचता है। इस गाइड में आप समझेंगे कि किसे पालन करना है, विज़िटर को कौन से अधिकार मिले, NIST पर आधारित बचाव कैसे काम करता है और AdSense या Ad Manager वाली साइट के लिए क्या बदलता है।
यह क्या है
TIPA अमेरिका के टेनेसी राज्य का सामान्य प्राइवेसी कानून है। यह 2023 में पारित हुआ और 1 जुलाई 2025 से लागू हुआ। कानून राज्य के निवासियों को उनके डेटा पर अधिकार देता है और इस डेटा का इस्तेमाल करने वाली कंपनियों पर ज़िम्मेदारियां डालता है।
मॉडल Virginia और Colorado के कानूनों जैसा है। विज़िटर डेटा का एक्सेस, सुधार और मिटाना मांग सकता है और डेटा की बिक्री, टारगेटेड विज्ञापन और कुछ तरह की ऑटोमैटिक प्रोफ़ाइलिंग से मना कर सकता है। संवेदनशील डेटा सिर्फ़ सहमति से इस्तेमाल हो सकता है।
दो चीज़ें TIPA को अलग बनाती हैं। पहली ऊंची सीमा: सिर्फ़ US$ 25 मिलियन से ऊपर के सालाना राजस्व वाली कंपनियां कानून में आती हैं। दूसरी NIST पर आधारित बचाव: जो कंपनी NIST के Privacy Framework के अनुरूप लिखित प्राइवेसी प्रोग्राम रखती है, वह उसे मुकदमे में बचाव के रूप में इस्तेमाल कर सकती है।
अमेरिका में विज़िटर्स वाली ब्राज़ीलियाई साइट के मालिक के लिए व्यावहारिक सवाल सरल है: क्या आपका कारोबार सीमाओं से ऊपर है? अगर है, तो साइट को पूरा प्राइवेसी नोटिस, opt-out का साफ़ रास्ता और इस बात का ध्यान चाहिए कि विज्ञापन पार्टनर्स डेटा के साथ क्या करते हैं।
चेकलिस्ट
अगर आपकी कंपनी TIPA की सीमाएँ पार करती है, तो ये बातें काम कर रही होनी चाहिए।
टेनेसी का निवासी लक्षित विज्ञापन, डेटा की बिक्री और कुछ प्रोफ़ाइलिंग से इनकार कर सकता है। साइट को यह रास्ता देना होगा और इनकार से विज्ञापन का अनुरोध बदलना चाहिए।
Google का राज्य नियमों वाला संदेश टेनेसी के विज़िटरों को Do Not Sell or Share My Personal Information लिंक दिखाता है।
<!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
data-restrict-data-processing="1"></ins>
// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
'restrictDataProcessing': true
});कंपनी के पास उचित रूप से सुलभ गोपनीयता सूचना होनी चाहिए। वह समझाती है कि विज़िटर अपने अधिकारों का उपयोग कैसे करे और नकारात्मक जवाब के खिलाफ़ अपील कैसे करे।
हर पेज के फ़ुटर में गोपनीयता लिंक, जो पूरी सूचना तक ले जाता है।
AdSense माँगता है कि गोपनीयता नीति Google और दूसरे विक्रेताओं की विज्ञापन कुकीज़ के बारे में बताए। उसमें यह भी बताना होगा कि विज़िटर वैयक्तिकृत विज्ञापनों से इनकार कैसे करे।
Google सहित तीसरे पक्ष के विक्रेता आपकी साइट या दूसरी साइटों पर पिछली विज़िट के आधार पर विज्ञापन दिखाने के लिए कुकीज़ का उपयोग करते हैं। आप Google की विज्ञापन सेटिंग में जाकर वैयक्तिकृत विज्ञापन बंद कर सकते हैं।
एक्सेस, सुधार, हटाने, पोर्टेबिलिटी और ऑप्ट-आउट के अनुरोधों का जवाब मिलने के 45 दिनों के भीतर देना होगा।
गोपनीयता का एक ईमेल, जिसमें हर अनुरोध के आने की तारीख पर नज़र रखी जाती है।
संवेदनशील डेटा सिर्फ़ विज़िटर की सहमति से प्रोसेस हो सकता है।
स्वास्थ्य साइट विज्ञापन चुनने के लिए पढ़ा गया विषय इस्तेमाल करने से पहले पूछती है: स्वीकार करते हैं? हाँ या नहीं।
असल में
आधिकारिक टूल
Google टेनेसी के लिए प्रमाणित CMP या GPP नहीं माँगता, इसलिए आप Google का अपना संदेश या GPP वाला CMP इस्तेमाल कर सकते हैं।
किसे पालन करना है
कानून उन पर लागू होता है जो टेनेसी में कारोबार करते हैं या राज्य के निवासियों को लक्षित उत्पाद और सेवाएं देते हैं। लेकिन तभी जब कंपनी नीचे के दोनों फ़िल्टर पार करे।
यह पहला फ़िल्टर है और अनिवार्य है। इससे कम सालाना राजस्व वाली कंपनी TIPA से बाहर रहती है, भले ही उसके टेनेसी के बहुत विज़िटर हों।
राजस्व के अलावा, कंपनी को एक कैलेंडर वर्ष में टेनेसी के कम से कम 175,000 उपभोक्ताओं का डेटा नियंत्रित या प्रोसेस करना होगा।
दूसरा प्रवेश द्वार: कम से कम 25,000 उपभोक्ताओं का डेटा और सकल राजस्व का आधा या ज़्यादा व्यक्तिगत जानकारी की बिक्री से।
सरकारी निकाय, वित्तीय संस्थाएं, HIPAA के दायरे वाली स्वास्थ्य संस्थाएं, गैर-लाभकारी संगठन और उच्च शिक्षा संस्थान छूट पाते हैं।
परिभाषाएं
TIPA व्यक्तिगत डेटा की जगह व्यक्तिगत जानकारी शब्द इस्तेमाल करता है। मतलब दूसरे राज्यों के कानूनों जैसा ही है, बिक्री की परिभाषा में एक अहम फ़र्क के साथ।
कोई भी जानकारी जो पहचाने गए या पहचाने जा सकने वाले व्यक्ति से जुड़ी हो या जुड़ सके। साइट के रोज़ के काम में इसमें कुकी, विज्ञापन के आइडेंटिफ़ायर, IP पता और न्यूज़लेटर का ईमेल आते हैं।
नस्लीय या जातीय मूल, धार्मिक आस्था, स्वास्थ्य का निदान, यौन रुझान, आप्रवासन की स्थिति, जेनेटिक और बायोमेट्रिक डेटा, बच्चों का डेटा और 1,750 फ़ुट के दायरे में सटीक जियोलोकेशन।
TIPA में बिक्री का मतलब है व्यक्तिगत जानकारी का पैसे के बदले किसी तीसरे पक्ष से आदान-प्रदान। कानून मूल्य की किसी और चीज़ की बात नहीं करता, जैसा Delaware और Montana जैसे राज्य करते हैं।
ऐसा विज्ञापन जो दूसरी कंपनियों की साइटों और ऐप्स पर समय के साथ विज़िटर के व्यवहार के आधार पर चुना जाए। पेज के संदर्भ पर आधारित विज्ञापन इस परिभाषा में नहीं आता।
लोगों के अधिकार
अनुरोधों का जवाब 45 दिनों के भीतर देना होगा। अगर कंपनी मना करती है, तो उसे कारण बताना होगा और अपील का रास्ता देना होगा।
जानना कि कंपनी उसका डेटा प्रोसेस करती है या नहीं और उस डेटा तक पहुंच पाना।
गलत डेटा का सुधार मांगना, डेटा के प्रकार और इस्तेमाल के उद्देश्य को ध्यान में रखकर।
मांग करना कि उसके दिए या उसके बारे में मिले डेटा को मिटा दिया जाए। जोड़ा हुआ या पहचान हटाया हुआ डेटा बाहर रहता है।
डेटा की एक कॉपी ऐसे फ़ॉर्मेट में पाना जिसे दूसरी सेवा में ले जाया जा सके, जब तकनीकी रूप से संभव हो।
मांग करना कि डेटा टारगेटेड विज्ञापन के लिए इस्तेमाल न हो और बेचा न जाए। विज्ञापन वाली साइटों पर यह अधिकार सबसे ज़्यादा असर डालता है।
ऐसी प्रोफ़ाइलों में डेटा के इस्तेमाल से मना करना जो कानूनी असर वाले या वैसे ही प्रभाव वाले फ़ैसलों तक ले जाएं, जैसे क्रेडिट, आवास या रोज़गार।
साइट की ज़िम्मेदारियां
निगरानी और NIST से बचाव
सिर्फ़ टेनेसी के महान्यायवादी TIPA की निगरानी कर सकते हैं, और उपभोक्ता इस कानून के आधार पर कंपनी पर मुकदमा नहीं कर सकता। मुकदमा शुरू करने से पहले महान्यायवादी को लिखित सूचना भेजनी होगी और कंपनी को सुधारने के लिए 60 दिन देने होंगे। अगर कंपनी सुधार करे और लिखित में बताए, तो मामला रुक जाता है, जब तक खामी दोहराई न जाए। दूसरे राज्यों से अलग, इस अवधि के खत्म होने की कोई तारीख नहीं है।
अगर खामी समय पर नहीं सुधारी गई, तो महान्यायवादी मामले को अदालत ले जा सकते हैं और कानून में तय दीवानी सज़ाएं मांग सकते हैं। महान्यायवादी अपनी जांच या उपभोक्ताओं की शिकायतों के आधार पर कार्रवाई कर सकते हैं, जो साइट, ईमेल या डाक से भेजी जा सकती हैं। जुर्मानों की सटीक राशियां कानून के टेक्स्ट में हैं, और उन्हें वकील से जांच लेना ठीक है।
TIPA एक सकारात्मक बचाव भी देता है। जो कंपनी NIST, यानी अमेरिकी मानक और तकनीक संस्थान, के Privacy Framework या किसी तुलनीय मॉडल के अनुरूप, ठीक तरह से, लिखित प्राइवेसी प्रोग्राम रखती और उसका पालन करती है, वह इसे बचाव के रूप में इस्तेमाल कर सकती है। प्रोग्राम को उपभोक्ता को कानून के अधिकार देने होंगे और फ्रेमवर्क के हर नए वर्शन के दो साल के भीतर अपडेट होना होगा। Global CBPR प्रमाणन को भी ध्यान में रखा जा सकता है।
दराज़ में दस्तावेज़ रखना काफ़ी नहीं है। प्रोग्राम का आकार कंपनी के आकार, गतिविधि के प्रकार और डेटा की संवेदनशीलता से मापा जाता है। विज्ञापनों से कमाने वालों के लिए यह दर्ज करना कि साइट कौन सा डेटा जमा करती है, कौन से पार्टनर्स को वह डेटा मिलता है और opt-out कैसे काम करता है, इस प्रोग्राम की शुरुआत है।
टाइमलाइन
कानून को अपनाने के लिए लंबी अवधि मिली। नवंबर 2026 में यह एक साल से ज़्यादा समय से लागू है।
टेनेसी Tennessee Information Protection Act पारित करता है और सामान्य प्राइवेसी कानून वाले राज्यों की सूची में आता है।
इस तारीख से बनी या पैदा हुई प्रोसेसिंग गतिविधियां डेटा सुरक्षा आकलन के नियम में आती हैं। पहले की गतिविधियां इसके दायरे में नहीं।
TIPA लागू होता है। दायरे वाली कंपनियों को अनुरोधों का जवाब देना, opt-out देना और पूरा प्राइवेसी नोटिस रखना होता है।
महान्यायवादी कानून का सारांश, उपभोक्ताओं और कंपनियों के लिए अक्सर पूछे जाने वाले सवाल और प्राइवेसी की शिकायतों के लिए एक चैनल प्रकाशित करते हैं।
AdSense और Ad Manager वाली साइटें
TIPA कंपनी को यूनिवर्सल opt-out सिग्नल पहचानने के लिए बाध्य नहीं करता, जैसे Global Privacy Control, यानी GPC, जो कुछ ब्राउज़र भेजते हैं। विज़िटर को वही रास्ता इस्तेमाल करना होता है जो साइट देती है। फिर भी GPC का सम्मान करना अच्छा तरीका है और उन राज्यों की समस्याओं से बचाता है जहां वह अनिवार्य है।
Google AdSense और Ad Manager में Privacy & messaging क्षेत्र में अमेरिकी राज्यों के नियमों का संदेश देता है। उसमें टेनेसी भी शामिल राज्यों में है और वह Do Not Sell or Share लिंक दिखाता है। जब विज़िटर मना करता है, तो Google प्रतिबंधित डेटा प्रोसेसिंग, यानी RDP, चालू करता है और ऐसे विज्ञापन देता है जो व्यवहार का इतिहास इस्तेमाल नहीं करते।
जो अपनी CMP इस्तेमाल करते हैं, वे चुनाव IAB Tech Lab के प्रोटोकॉल GPP से पास कर सकते हैं। GPP में टेनेसी का खास सेक्शन है, लेकिन Google के स्वीकृत सेक्शन की सूची में वह नहीं है। Google के लिए रास्ता US National सेक्शन है: उस सेक्शन में बिक्री, साझा करने या टारगेटेड विज्ञापन से इनकार RDP चालू करता है।
RDP को टैग में सीधे भी चालू किया जा सकता है, GPT के restrictDataProcessing पैरामीटर या AdSense के data-restrict-data-processing एट्रिब्यूट से, सिर्फ़ उनके लिए जिन्होंने opt-out मांगा। ज़रूरी बात यह है कि विज़िटर का इनकार सच में विज्ञापन अनुरोध को बदले।
असल में
उस कंपनी के उदाहरण जो कानून की सीमाओं से ऊपर है और प्रोग्रामैटिक विज्ञापनों से साइटों पर कमाई करती है।
आम गलतियां
ये समस्याएं उन साइटों पर अक्सर दिखती हैं जो GDPR और कैलिफ़ोर्निया का ध्यान रखती हैं, लेकिन टेनेसी को भूल जाती हैं।
opt-out का संदेश सालों पहले सिर्फ़ कैलिफ़ोर्निया के लिए सेट हुआ था। टेनेसी के विज़िटर्स को लिंक कभी नहीं दिखता।
फ़ुटर में opt-out का लिंक है, लेकिन वह टेक्स्ट वाले पेज पर ले जाता है। क्लिक के बाद भी विज्ञापन अनुरोध वैसा ही रहता है।
प्राइवेसी नीति कुकी की बात करती है, लेकिन यह नहीं बताती कि डेटा टारगेटेड विज्ञापन के लिए इस्तेमाल होता है या मना कैसे करें।
CMP सिर्फ़ राज्यों के सेक्शन बनाती है जिन्हें Google नहीं पढ़ता। opt-out है, लेकिन Google के विज्ञापनों तक नहीं पहुंचता।
कंपनी 2024 से टारगेटेड विज्ञापनों के लिए डेटा इस्तेमाल करती है, लेकिन उसका कोई डेटा सुरक्षा आकलन दर्ज नहीं है।
समूह की कई साइटें मिलाकर US$ 25 मिलियन के राजस्व से ऊपर जाती हैं, लेकिन हर साइट को ऐसे संभाला जाता है जैसे वह कानून से बाहर हो।
ConsentMode में
सिर्फ़ तब, जब आपकी कंपनी सीमाएं पार करे: US$ 25 मिलियन से ऊपर का सालाना राजस्व और राज्य के कम से कम 175,000 उपभोक्ताओं का डेटा, या 25,000 उपभोक्ता जिनमें आधे या ज़्यादा राजस्व डेटा की बिक्री से आए। ज़्यादातर छोटी साइटें बाहर रहती हैं। फिर भी कम सीमाओं वाले राज्य, जैसे Delaware, Maryland और Nebraska, आपके कारोबार तक पहुंच सकते हैं, इसलिए पूरे अमेरिकी ट्रैफ़िक के लिए opt-out देना ठीक रहता है।
नहीं। कानून यूनिवर्सल opt-out सिग्नल की पहचान मांगता नहीं। लेकिन कई दूसरे राज्य मांगते हैं, इसलिए ज़्यादातर CMP पहले से पूरे अमेरिकी ट्रैफ़िक के लिए GPC संभालती हैं।
Google प्रतिबंधित डेटा प्रोसेसिंग इस्तेमाल करने लगता है और ऐसे विज्ञापन देता है जो विज़िटर का इतिहास इस्तेमाल नहीं करते। इस दर्शक वर्ग के लिए प्रति हज़ार इंप्रेशन कमाई आमतौर पर कम होती है, लेकिन विज्ञापन दिखता रहता है।
नहीं। कानून opt-out मॉडल पर चलता है: साइट विज़िटर के मना करने तक विज्ञापनों के लिए डेटा इस्तेमाल कर सकती है। अपवाद संवेदनशील डेटा है, जिसके लिए पहले से सहमति चाहिए।
नहीं। NIST पर आधारित प्रोग्राम एक वैकल्पिक बचाव है। जांच हो तो वह मदद करता है, लेकिन कंपनी को हर हाल में कानून का पालन करना होता है।
ConsentMode न लॉ फ़र्म है और न CMP। ऑडिट दिखाता है कि साइट opt-out, GPP और प्राइवेसी पेज के साथ असल में क्या करती है, ताकि आप अपने वेंडर और वकील के साथ उसे ठीक करें।
लाइब्रेरी
यह गाइड इन आधिकारिक पेजों से लिखी गई है। सीधे स्रोत पर पढ़ें:
ऑडिट साइट को अमेरिकी विज़िटर की तरह खोलता है और बिना कुछ बदले बताता है कि क्या सुधारना है।